Комплексная система защиты информации на предприятии

Оглавление Введение

1. Теоретические основы

1.1 Рассмотрение нормативной базы в области построения комплексной системы защиты информации

1.2 Информация, подлежащая защите, определение источников информации

2. Анализ защиты информационных ресурсов ООО «ТК Партнёр»

2.1 Организационная структура ООО «ТК Партнер»

2.2 Анализ информационных потоков

2.3 Анализ информационных ресурсов

2.4 Анализ программно-технических средств, используемых в ООО «ТК Партнёр»

2.5 Анализ защищаемого помещения и каналов утечки

2.6 Модель угроз нарушителя Заключение Библиографический список Введение Прохождение производственной практики имеет большое значение в процессе подготовки будущих специалистов. Необходимость ее для студента заключается в том, что это отличная возможность объединить знания, полученные в процессе обучения, с практическими навыками, полученными на предприятии и хорошая возможность получить первоначальный опыт, так необходимый начинающему специалисту при трудоустройстве.

Из этого можем сделать вывод, что главная цель практики заключается в закреплении и углублении практических знаний, полученных при изучении специальных дисциплин, приобретении практических навыков и умений.

Объектом прохождения производственной практики является ООО «ТК Партнёр», которая была создана в 2007 году. Компания работает в области перевозок сборных грузов по России. Управляющий офис Компании находится в Оренбурге. Филиалы Компании открыты во многих городах страны.

Компания «ТК ПАРТНЕР» охватывает всю территорию России — от Калининграда до Дальнего Востока. Компания постоянно расширяет свою географию!

В Компании «ТК ПАРТНЕР» работают только профессиональные сотрудники. Для доставки грузов Клиентам мы используем следующие виды транспорта: автомобили, авиа и железнодорожный транспорт.

Компания «ТК ПАРТНЕР» регулярно расширяет область присутствия, открывая новые филиалы, осваивает новые виды транспорта.

Обязательный спутниковый мониторинг за автомобилем, уходящим в рейс, позволяет повысить управляемость и безопасность транспортного парка, исключить непредвиденные ситуации, и своевременно сообщить клиенту о том, где сейчас находится его груз.

Основные предоставляемые услуги ООО «ТК Партнёр» являются:

· перевозка грузов авиа, ЖД и авто — рейсами между пунктами приёма-выдачи в городах России;

· забор груза от грузоотправителя до склада приёма груза;

· доставка груза от пункта выдачи груза до получателя;

· курьерская доставка срочной корреспонденции;

· информирование о прибытии и выдаче груза.

Целью прохождения практики является исследование процессов защиты информации в ООО «ТК Партнёр» и предложение путей улучшения способов её защиты.

В соответствии с целью были выявлены основные задачи:

· Рассмотрение нормативно-методической базы в области построения КСЗИ;

· исследование организационной структуры предприятия, выявление видов конфиденциальной информации и ресурсов, подлежащие защите;

· анализ системы обработки данных, классификация активов, подлежащих защите;

· обоснование актуальных угроз и определение нарушителей информационных процессов в информационной системе организации;

· исследование способов защиты информационных ресурсов;

· анализ каналов утечки информации;

· формулировка выводов о состоянии КСЗИ в организации.

Период прохождения практики: с 01 июля по 21 июля 2013 года.

Руководителем практики на предприятии был Богданов Сергей Борисович.

1. ТЕОРЕТИЧЕСКИЕ ОСНОВЫ

1.1 Рассмотрение нормативной базы в области построения комплексной системы защиты информации информация поток ресурс утечка При прохождении практики и для написания данной отчётности была отобрана нормативная база, состоящая из следующих документов:

· устав организации ООО «ТК Партнёр»;

· правила внутреннего распорядка и работы складских помещений ООО «ТК Партнёр»;

· ГОСТ Р 50 739−95. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования. Госстандарт России;

· ГОСТ Р 50 922−2006. Защита информации. Основные термины и определения. Госстандарт России;

· ГОСТ Р 51 275−2006. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения. Госстандарт России;

· ГОСТ Р 51 624−2000. Защита информации. Автоматизированные системы в защищенном исполнении. Общие требования;

· ГОСТ Р 52 069;2003. Защита информации. Система стандартов. Основные положения;

· ГОСТ Р ИСО/МЭК 17 799−2005. Информационная технология. Методы и средства обеспечения безопасности. Практические правила управления информационной безопасностью;

· ГОСТ Р ИСО/МЭК 18 028−1-2008. Информационная технология. Методы и средства обеспечения безопасности. Сетевая безопасность информационных технологий. Менеджмент сетевой безопасности;

· ГОСТ Р ИСО/МЭК ТО 19 791−2008. Информационная технология. Методы и средства обеспечения безопасности. Оценка безопасности автоматизированных систем;

· ГОСТ Р ИСО/МЭК 13 335−1-2006. Информационная технология. Методы и средства обеспечения безопасности. Часть 1. Концепция и модели менеджмента безопасности информационных и телекоммуникационных технологий;

· Приказ ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;

· Постановление Правительства Российской Федерации от 15.09. 2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

Проектирование защищенных информационных систем процесс довольно сложный, который предполагает наличие соответствующих знаний и опыта, у ее создателей.

Потребитель может не вникать в разработку такого проекта и подробности его развития, однако он обязан контролировать каждый его этап на предмет соответствия техническому заданию и требованиям нормативных документов. В свою очередь, персональный опыт проектировщиков требует использования существующих нормативных документов в данной области для получения наиболее качественного результата.

Таким образом, процесс проектирования защищенных информационных систем должен основываться на знании и строгом выполнении требований существующих нормативных документов, как со стороны ее разработчиков, так и со стороны заказчиков.

В организации ООО «ТК Партнёр» соблюдены далеко не все требования из представленной нормативной базы, многие из них попросту игнорированы.

1.2 Информация, подлежащая защите, определение источников информации Защита информации — это комплекс мероприятий, проводимых с целью предотвращения утечки, хищения, утраты, несанкционированного уничтожения, искажения, модификации (подделки), несанкционированного копирования, блокирования информации и т. п. Поскольку утрата информации может происходить по сугубо техническим, объективным и неумышленным причинам, под это определение подпадают также и мероприятия, связанные с повышением надежности сервера из-за отказов или сбоев в работе винчестеров, недостатков в используемом программном обеспечении и т. д.

Существует 4 уровня защиты информации:

· предотвращение — только авторизованный персонал имеет доступ к информации и технологии;

· обнаружение — обеспечивается раннее обнаружение преступлений и злоупотреблений, даже если механизмы защиты были обойдены;

· ограничение — уменьшается размер потерь, если преступление все-таки произошло, несмотря на меры по его предотвращению и обнаружению;

· восстановление — обеспечивается эффективное восстановление информации при наличии документированных и проверенных планов по восстановлению.

Существует два источника информации, на которых базируется оценка компании: внутренний и внешний. Под внутренними источниками понимаются официальные каналы распространения информации в фирме, предоставление информации руководству компаний, ее структурных подразделений, филиалов и представительств. Под внешними — любая другая информация, полученная из внешней среды организации: СМИ, партнеров, конкурентов, клиентов, властей и т. п. (информирование акционеров, а также государственных финансовых органов, налоговых инспекций, кредитных организаций, страховых компаний, государственных органов статистики, инвестиционных фондов, органов государственной власти и управления, органов местного самоуправления, предприятий-поставщиков).

Анализируя источники информации на предприятии, можно выделить следующие:

· документы;

· люди;

· представительство на ярмарках, салонах, конференциях;

· производимая продукция или оказываемые услуги;

· технические средства обеспечения производственной деятельности;

· косвенные источники (мусор, реклама, публикации в печати);

· информация на технических носителях.

Источники конфиденциальной информации дают полные сведения о составе, содержании и направлении деятельности предприятия (организации). Поэтому грамотная система защиты, разработанная с учетом всех особенностей, позволит предотвратить многие проблемы.

Всю информацию, движущуюся в ООО «ТК Партнер», можно разделить на три вида:

а) Конфиденциальная информация, с ограничением допуска посторонних лиц (вопросы касающиеся внутреннего распорядка, устав);

б) Персональные данные (база данных клиентов и сотрудников) в) Открытая информация, не подлежащая защите, утечка которой не нанесет вреда организации.

2. АНАЛИЗ ЗАЩИТЫ ИНФОРМАЦИОННЫХ РЕСУРСОВ ООО «ТК ПАРТНЁР»

2.1 Организационная структура ООО «ТК Партнер»

Генеральный директор предприятия управляет пятью основными отделами предприятия ООО «ТК ПАРТНЕР»:

· финансовым отделом

· диспетчерским отделом;

· коммерческим отделом;

· отделом маркетинга;

· техническим отделом.

Финансовый отдел компании ООО «ТК Партнер» является самостоятельным структурным подразделением предприятия и подчиняется непосредственно директору. Отдел обеспечивает компетентное и эффективное управление финансами и их контролем для достижения целей компании. Финансовый отдел:

· занимается решением широкого ряда организационных и финансовых вопросов;

· разрабатывает в установленные сроки проекты финансовых планов предприятия со всеми необходимыми расчетами;

· определяет потребности собственных оборотных средств по элементам и расчет нормативов оборотных средств;

· распределяет квартальные финансовые показатели по месяцам.

Диспетчерский отдел создается и ликвидируется приказом директора предприятия. Начальник диспетчерского отдела распределяет обязанности между сотрудниками отдела и утверждает их должностные инструкции. Отдел подчиняется непосредственно директору предприятия. Диспетчерский отдел занимается:

· обеспечением выполнения работ в соответствии с производимыми программами, договорными обязательствами, календарными графиками и сменно-суточными заданиями;

· проведением нормативно-плановых расчетов по определению количества перевозимых грузов, сроков подач;

· обеспечением своевременного получения необходимой плановой документации.

Коммерческий отдел возглавляет начальник, назначаемый на должность приказом директора предприятия. Коммерческий отдел занимается:

· организацией процесса взаимодействия с заказчиками;

· координацией деятельности сотрудников;

· ведением и взаимодействием с ключевыми заказчиками;

· определением долговременной стратегии коммерческой деятельности и финансовых планов предприятия;

· обеспечением выполнения договорных обязательств по поставкам грузов (по количеству, номенклатуре, качеству, срокам и другим условиям поставок);

· обеспечением своевременной выплаты заработной платы работникам предприятия.

Отдел маркетинга. Главной целью данного отдела является выработка рекомендаций по формированию и проведению производственно — сбытовой политики предприятия, а также координация деятельности в этой области всех подразделений предприятия. Отдел маркетинга не подменяет другие подразделения, а ориентирует деятельность других подразделений на рынок и коррелирует их работу с общими для всего предприятия целями рыночной деятельности.

Главные задачи отдела маркетинга:

· оценка конъюнктуры рынка, постоянный анализ результатов коммерческой деятельности предприятия и факторов, на них влияющих;

· разработка прогнозов продаж и рыночной доли предприятия, проведение ситуационного рыночного анализа;

· совместно с другими подразделениями предприятия и руководством предприятия выработка целей и стратегий рыночной деятельности.

Технический отдел. В своей деятельности технический отдел руководствуется уставом предприятия и положением. Основными задачами отдела является качественное и своевременное решение технических вопросов и заданий руководства предприятия, а также поддержание парка технического оборудования предприятия в рабочем состоянии. Технический отдел выполняет:

· техническое оснащение предприятия;

· обеспечение эффективности проектных решений;

· экономическое обоснование необходимости переоборудования;

· размещение заказов в сторонних организациях;

· организация складского хозяйства.

Рисунок 2.1 — Организационная система предприятия ООО «ТК Партнёр»

2.2 Анализ информационных потоков Рассмотрим внутренние информационные потоки (Рисунок 2.2). В диспетчерский отдел поступают приказы и распоряжения от генерального директора компании (1). Ответом, на приказы от директора, из диспетчерского отдела предоставляется отчётная документация (2) по решённым вопросам и отчётная документация по исполненным заявкам клиентов. Из бухгалтерии предоставляются сметы по расходам компании (2), начисления заработной платы сотрудникам на заверение директору ООО «ТК Партнёр». Бухгалтерия так же получает приказы и распоряжения от руководителя организации. Осуществляемое взаимодействие между клиентами компании и диспетчерским отделом включает приём груза для перевозки (3) и выдачу груза (4).

Рисунок 2.2 — Внутренние информационные потоки ООО «ТК Партнер»

Рассмотрим внешние информационные потоки ООО «ТК Партнёр» (Рисунок 2.3). Внешнее взаимодействие компании намного обширнее. Отдел маркетинга занимается рекламированием компании (1) и увеличением числа постоянных клиентов. Компания производит страховку всех перевозимых грузов, коммерческий отдел еженедельно предоставляет документацию в страховую компанию (2), при порче груза требует компенсацию от страховщиков (3). Так же коммерческий отдел предоставляет отчётную документацию своим партнёрам и инвесторам (4). Финансовый отдел, в свою очередь, осуществляет выдачу и получение денежных средств (3) отделу маркетинга, техническому отделу для закупки оборудования (5), агенству недвижимости для аренды складских помещений (6), финансовым и деловым партнёрам. Диспетчерский отдел принимает и выдаёт попутные грузы (7) от сторонней транспортной компании. При непредвиденной ситуации диспетчерский отдел вызывает вспомогательную помощь по урегулированию конфликтов со стороны ЧОПа (8).

Рисунок 2.3 — Внешние информационные потоки ООО «ТК Партнер»

2.3 Анализ информационных ресурсов Информационные ресурсы — это совокупность данных, организованных для получения достоверной информации; документы и массивы документов, отдельные и в информационных системах.

Информационные ресурсы предприятия представлены в документах массивов информации на машинных носителях, архивах, фондах, библиотеках.

Информационные ресурсы, частью которых является и информационные технологии, имеют в данном определении четкую структуру в соответствии с методикой их создания, оценки и инвентаризации.

Более подробный анализ информационных ресурсов в организации ООО «ТК Партнер» представлен в таблице 2.1.

Таблица 2.1 Анализ информационных ресурсов компании ООО «ТК Партнёр»

2.4 Анализ программно-технических средств, используемых в ООО «ТК Партнёр»

С помощью программно-технических средств можно в определенной мере решать как основные задачи защиты в вычислительных системах (от хищения, от потери, от сбоев и отказов оборудования), так и защиту от ошибок в программах.

Решение этих задач в системах защиты обеспечивается следующими способами:

· защитой от несанкционированного доступа к ресурсам со стороны пользователей и программ;

· защитой от несанкционированного использования ресурсов при наличии доступа;

· защитой от некорректного использования ресурсов;

· внесением структурной, функциональной и информационной избыточности;

· высоким качеством разработки программно-аппаратных средств.

Рассмотрим программно-технические средства, используемые на предприятии ООО «ТК Партнёр» (Таблица 2.2).

Таблица 2.2 — Программно-технические средства ООО «ТК Партнёр»

Как мы видим, организация ООО «ТК Партнёр» надёжно защищена программными средствами. Все версии программ регулярно обновляются специалистами. Так же организация хранит все важные данные в облачном сервисе для исключения непреднамеренного удаления информации.

2.5 Анализ защищаемого помещения и каналов утечки Организация ООО «ТК Партнёр» расположена на втором этаже двухэтажного здания. Вблизи сооружения находятся и другие постройки, такие как продовольственный магазин, жилой многоэтажный дом, сельскохозяйственные корпуса. Схематический план помещения организации можно увидеть на рисунке 2.4.

Рисунок 2.4 — Схематический план помещения ООО «ТК Партнёр»

Как видно на рисунке 2.4 весь второй этаж сооружения занят организацией ООО «ТК Партнёр». Двери кабинетов открываются наружу (в холл). Всего на этаже расположены три камеры видеонаблюдения, физического контроля компания не имеет, камеры пишут на регистратор с защищённым жёстким диском объёмом 1 Тбайт. Дверь от лестницы в прихожую (6) постоянно открыта в рабочее время, а дверь из прихожей в холл закрыта в часы обеденного перерыва с 13:00 до 14:00.

Персональные компьютеры расположены в каждом кабинете, все они имеют выход в Интернет и объединены локальной сетью. Принтеры установлены в кабинете генерального директора (1), в коммерческом отделе (5), финансовом отделе (4). Стационарные телефоны установлены в кабинетах 1, 3, 4, 5 (Рисунок 2.4), технический отдел (2) не имеет стационарного телефона.

Существуют следующие виды утечки информации:

1. Радиоизлучение монитора.

2. Микрофонный эффект, закладки в телефонном аппарате.

3. Стекло вибрация, видеонаблюдение.

4. Вибрация стен, перекрытий, систем отопления, вентиляции, дверей.

5. Анализ передаваемых данных (электромагнитное излучение, использование атак по сети, паразитное радиоизлучение, вирусы).

6. Прослушивание телефонного и факс-модемного трафика.

7. Жучки, направленные микрофоны.

8. Доступ посторонних лиц.

9. Человеческий фактор.

Радиоизлучение монитора. Перехват изображения монитора достаточно распространенный способ хищения информации. Это становится возможным в связи с его паразитным излучением, прием которого возможен до 50 м. В ООО «ТК Партнёр» нет необходимой защиты от данной угрозы.

Микрофонный эффект. Акустические колебания микрофона или обмоток звонка возникают при положенной трубке и могут быть сняты с телефонного кабеля, например, на АТС. Также нет защиты.

Видеонаблюдение за помещением. Это возможно как через окно, так и с помощью вмонтированных камер в предметы помещения, либо в вещи постороннего человека, попавшего в закрытое помещение. На окне помещения имеются поворотные жалюзи, защищающие от съема видовой информации через окно. Посторонние лица имеют возможность разглядеть информацию на мониторе.

Считывание вибрации стекла. Такое удаленное действие возможно с помощью лазера. В помещении стоят двойные стеклопакеты, следовательно эта угроза нейтрализована.

Организация ООО «ТК Партнёр» не имеет факсимильного аппарата, таким образом, исключён перехват трафика.

Решётки на окнах помещения не установлены.

2.6 Модель угроз нарушителя Модель угроз нарушителя представляет собой его комплексную характеристику отражающую его возможное психологическое состояние, уровень физической и технической подготовленности, осведомленности, которая позволяет оценить степень его способности в практической реализации проникновения.

В рассматриваемом случае учитываются только угрозы объекту, включающие несанкционированное проникновение. Но следует иметь в виду, что конечная цель проникновения может быть различной, она зависит от категории объекта, облика возможного нарушителя и может варьироваться от простой кражи до террористического акта.

В таблице 2.3 рассмотрена модель угроз нарушителя для ООО «ТК Партнёр».

Таблица 2.3 — Модель угроз нарушителя

Заключение

Цель производственной практики, которая заключалась в исследовании процессов защиты информации, была достигнута. В процессе прохождения были изучены информационные системы, меры и средства для их защиты, официальные документы предприятия, нормативная и методическая документация, которые позволили решить многие поставленные задачи. В ходе прохождения учебно-ознакомительной практики я ознакомился с организационной структурой, рассмотрел информационную систему обработки персональных данных, построил для неё модель угроз и модель нарушителя, определил класс и тип и рассчитал актуальные угрозы ИСПДн. Также ознакомился с новыми программными средствами обеспечения безопасности информации. Осмотрел различное оборудование и получил краткую характеристику по каждому из них. В процессе прохождения практики я влился в рабочий коллектив, почувствовал весь рабочий процесс предприятия.

Немаловажным является тот факт, что в процессе прохождения учебно-ознакомительной практики были получены новые теоретические и практические знания в области информационной безопасности:

1. Рассмотрение нормативно-методической базы в области построения комплексной системы защиты информации.

2. Анализ системы обработки данных.

3. Исследование организационной структуры предприятия, выявление видов конфиденциальной информации и ресурсов.

4. Обоснование актуальных угроз и определение нарушителей информационных процессов в системе организации.

5. Исследование способов защиты информационных ресурсов в системе.

6. Анализ каналов утечки информации на предприятии.

7. Формулировка выводов о состоянии комплексной системы защиты информации в организации.

Во время прохождения практики, я сделал вывод, что состояние защищенности ООО «ТК Партнёр» является удовлетворительным. С целью совершенствования системы защиты в ООО «ТК Партнер» следует провести следующие мероприятия:

· осуществлять более тщательный контроль соблюдения правил хранения рабочей документации сотрудников предприятия;

· регулярно проверять и обслуживать все информационные системы и информационные инфраструктуры на работоспособность;

· разграничить доступ к файлам, каталогам, дискам;

· установить программы защиты от спама;

· установить источники бесперебойного питания.

Исходя из всего вышеизложенного, можно сделать выводы, что все поставленные на производственную практику цели и задачи были выполнены.

Библиографический список

1. Приказ ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;

2. ГОСТ Р 50 739−95. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования. Госстандарт России;

3. ГОСТ Р 50 922−2006. Защита информации. Основные термины и определения. Госстандарт России;

4. ГОСТ Р 51 275−2006. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения. Госстандарт России;

5. ГОСТ Р 51 624−2000. Защита информации. Автоматизированные системы в защищенном исполнении. Общие требования;

6. ГОСТ Р 52 069;2003. Защита информации. Система стандартов. Основные положения;

7. ГОСТ Р ИСО/МЭК 17 799−2005. Информационная технология. Методы и средства обеспечения безопасности. Практические правила управления информационной безопасностью;

8. ГОСТ Р ИСО/МЭК 18 028−1-2008. Информационная технология. Методы и средства обеспечения безопасности. Сетевая безопасность информационных технологий. Менеджмент сетевой безопасности;

9. Галатенко, В. А. Стандарты информационной безопасности: справ. пособие / В. А. Галатенко — М.: Интернет-университет информационных технологий, 2006. — 328 c.

10. Грибунин, В. Г. Комплексная система защиты информации на предприятии: учебное пособие для вузов / В. Г. Грибунин, В. В. Чудовский. — М.: Издательский центр «Академия», 2009. — 416 с.

11. Куприянов, А. И. Основы защиты информации: учеб. Пособие для студ. высш. учеб. заведений/ А. И. Куприянов, А. В. Сахаров, В. А. Шевцов — М.: Издательский центр «Академия», 2006. — 256 с.

12. Петраков, А. В. Основы практической защиты информации: учебное пособие / А. В. Петраков — М.: Радио и связь, 2004.-368с.

13. Попов, Л.И., Зубарев А. В. Основные принципы повышения эффективности реализации мероприятий по комплексной защите информации. «Альтпресс», 2009. -512c.

14. Семкин, С. Н. Защита информации. Основы информационной безопасности объектов: курс лекций / С. Н. Семкин — Орел.: ВИПС, 2000. — 269 с.