Разработка автоматизированной системы защищенного документооборота в организации ООО "Колхоз"

Размещено на http://www.allbest.ru/

МИНИСТЕРСТВО ОБРАЗОВАНИЯ И НАУКИ РФ

Брянский государственный технический университет

Кафедра «Системы информационной безопасности»

Дисциплина: «Автоматизированные системы защиты информации»

КУРСОВАЯ РАБОТА

на тему: «Разработка автоматизированной системы защищенного документооборота в организации ООО «КОЛХОЗ»

Студент гр. 11-БАС-1

Бородин Д.А.

БРЯНСК 2014

Содержание

• Введение
• 1. Описание исследуемого объекта
• 1.1 Краткая характеристика организации
• 1.2 Анализ основных документопотоков
• 1.3 Выделение конфиденциальных сведений, содержащихся в документах организации
• 1.4 Анализ угроз для конфиденциальной информации
• 1.5 Анализ нормативно законодательной базы
• 1.6 Анализ существующих систем электронного документооборота
• 2. Мероприятия по защите конфиденциальных документов в организации
• 2.1 Модель угроз
• 2.2 Модель нарушителя
• 2.3 Организационно-правовая защита информации
• 2.4 Инженерно-техническая защита информации
• 2.5 Программно-аппаратная защита информации
• 3. Обоснование использования и выбор системы электронного документооборота
• 3.1 Преимущества электронного документооборота над бумажным
• 3.2 Выбор системы электронного документооборота
• 4. Экономические затраты
• 3.3 Экономические затраты на внедряемую СЭД
• 3.4 Экономические затраты на разрабатываемую систему ЗДО
• Заключение
• Список использованной литературы
• Приложение 1. Перечень сведений, составляющих коммерческую тайну ООО «Колхоз»
• Приложение 2. Положение об организации ЭДО в ООО «Колхоз»
• Приложение 3. Должностная инструкция специалиста по ЗДО

Введение

Организации автоматизированного защищенного документооборота в системе информационной безопасности предприятия уделяется, как правило, наименьшее внимание, хотя получение конфиденциальной информации через пробелы в делопроизводстве является наиболее простым и малозатратным способом получения информации. В связи с вышесказанным актуальной на сегодняшний день является задача создания системы конфиденциального документооборота на предприятии составными частями которой являются: бумажный документооборот, электронный документооборот, системы взаимодействия и сопряжения бумажного и электронного документооборота.

• 1. Описание исследуемого объекта

Для разработки защищённого документооборота требуется тщательно изучить направление деятельности организации, так как именно от особенностей её деятельности в дальнейшем и будет зависеть состав конфиденциальных сведений, который будет необходимо защищать.

1.1 Краткая характеристика организации

Общество с ограниченной ответственностью «Колхоз» - элитно-семеноводческое хозяйство, занимающееся выращиванием и реализацией семян элитных зерновых культур, таких как пшеница озимая «Московская-39», рапс яровой «Ратник» и многие другие, для целей сортообновления и сортообмена. ООО «Колхоз» имеет хорошую репутацию среди покупателей и активно сотрудничает с крупными сельскохозяйственными предприятиями растениеводческой отрасли.

В соответствии с федеральным законом «Об обществах с ограниченной ответственностью» (Об ООО) от 08.02.1998 N 14-ФЗ обществом с ограниченной ответственностью признается учрежденное одним или несколькими лицами хозяйственное общество, уставный капитал которого разделен на доли определенных учредительными документами размеров; участники общества не отвечают по его обязательствам и несут риск убытков, связанных с деятельностью общества, в пределах стоимости внесенных ими вкладов.

Особенностью ООО по сравнению с другими формами собственности является то, что учредители общества не отвечают по его обязательствам и несут риск убытков связанных с деятельностью общества, в пределах стоимости внесенных ими вкладов. За текущую деятельность отвечают должностные лица (генеральный директор, главный бухгалтер).

На рассматриваемом предприятии отсутствует служба безопасности, так как для предприятия таких масштабов содержание данного подразделения экономически не целесообразно.

Структурная схема организации представлена на рисунке 1.1.

Рис. 1.1. Структурная схема ООО «Колхоз»

ООО «Колхоз» осуществляет учет результатов работ и оказанных услуг, ведет оперативный, бухгалтерский, налоговый и статистический учет по нормам, действующим в Российской Федерации.

Организация самостоятельно осуществляет свою деятельность, исходя из реального потребительского спроса организаций и учреждений. Все работы в выполняются штатными работниками, а также лицами, принимаемыми по трудовым договорам.

Основные данные организации представлены в табл. 1.1.

Таблица 1.1 Основные данные организации

Название	ООО «Колхоз»
Форма собственности	ООО
Вид деятельности	Выращивание и продажа элитных семян растений
Генеральный директор	Лапухов И. Д.
Юридический адрес	122313, Брянская обл., Брянский р-он, с. Хацапетовка ул. Никифорова д.27
Телефон	Тел/ф. (48323) 5-23-47 / 5-23-49
E-mail	KolhozOOO_Haz@mail.ru
Часы работы	Понедельник - Суббота: с 8.00 до 18.00

В организации работает 37 человек, среди которых 10 (администрация) работают с документами, остальные сотрудники отдела «Авто-тракторный парк». В офисе имеется 8 компьютеров сотрудников. В бухгалтерии и экономическом отделе имеется 3 компьютера. В отделе продаж 2 компьютера. Так же имеется по одному компьютеру у генерального директора, заместителя и секретаря. Юрист работает удаленно. На всех компьютерах установлены антивирусы и индивидуальные пароли. Окна выходят на улицу. На окнах установлены жалюзи, решетки отсутствуют. В помещении установлена сигнализация.

1.2 Анализ основных документопотоков

Документооборот в учреждении осуществляется в виде документопотоков, циркулирующих между пунктами переработки информации (руководители, специалисты) и пунктами технической обработки документов (регистрация, копирование и тиражирование, прием, отправка, формирование дел и т.д.).

В документообороте выделяются следующие потоки документов:

· поступающие (входящие);

· отправляемые (исходящие);

· внутренние.

Рис. 1.2. Внутренний документопоток ООО «Колхоз»

На рис. 1.2 представлен внутренний документопоток, обеспечивающий целенаправленное решение управленческих задач в пределах одной организации.

1.3 Выделение конфиденциальных сведений, содержащихся в документах организации

Конфиденциальная информация - информация с ограниченным доступом, не содержащая сведений, составляющих государственную тайну, доступ к которой ограничивается в соответствии с законодательством Российской Федерации. В соответствии с Указам Президента РФ «Об утверждении перечня сведений конфиденциального характера», к конфиденциальной информации на рассматриваемом предприятии можно отнести сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность, а также сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (приложение 1).

Выделим в каких отделах ООО «Колхоз» циркулируют документы, содержащие информацию, подлежащую защите.

Сотрудники бухгалтерии работают со следующими документами:

· счета;

· банковские выписки;

· личные карточки сотрудников;

· трудовые книжки сотрудников;

· приказы по личному составу;

· бухгалтерская отчётность.

В отделе по продажам обрабатываются следующие документы, содержащие конфиденциальную информацию:

· договора с клиентами;

· договора с поставщиками;

· счета.

Сотрудник приемной директора (секретарь) работает с деловой перепиской предприятия, а также принимает документы на подпись директора, которые могут содержать конфиденциальную информацию. Юрист предприятия занимается разработкой договоров, а также проверкой документов, разработанных деловыми партнёрами предприятия. Директор предприятия имеет доступ ко всем документам, циркулирующим в ООО «Колхоз» (рис. 1.3).

Рис. 1.3. Движение документов внутри ООО «Колхоз»

1.4 Анализ угроз для конфиденциальной информации

Под угрозами конфиденциальной информации принято понимать потенциальные или реально возможные действия по отношению к информационным ресурсам, приводящие к неправомерному овладению охраняемыми сведениями.

Угрозы информационной безопасности делятся на два основных типа - естественные и искусственные угрозы.

К естественным угрозам можно отнести пожары, наводнения, ураганы, удары молний и другие стихийные бедствия, явления и несчастные случаи, которые не зависят от человека.

Искусственные угрозы делятся на непреднамеренные и преднамеренные угрозы.

Непреднамеренные угрозы - это действия совершенные по неосторожности, незнанию, невнимательности или из любопытства. Сюда можно отнести установку на компьютер программ, которые не входят в список необходимых для работы, и могут стать причиной нестабильной работы системы и потеря информации (табл. 1.2).

Таблица 1.2 Непреднамеренные угрозы

Источники угрозы	Мотивация	Возможные последствия
Хакер	Восстание Деньги Статус	Вторжение в систему, НСД
Компьютерный преступник	Денежно-кредитная выгода Разрушение информации Месть	Компьютерное преступление, мошенническое действие, вторжение в систему
Индустриальный шпионаж (компании иностранного происхождения)	Конкурентно-способное преимущество	Экономическая разведка, информационное воровство, НСД
Инсайдер	Рассерженные, небрежные и уволенные служащие. Любопытство, месть, неумышленные ошибки и упущения, денежная выгода	Нападение на служащего, системные ошибки, вторжения в систему, перехват, мошенничество, внедрение вредоносного кода

Преднамеренные угрозы - это угрозы, связанные со злым умыслом. К преднамеренным угрозам относятся внешние и внутренние атаки от агентов конкурентных организаций, либо собственных сотрудников недовольных, например, заработной платой или статусом в фирме. Помимо этого к внутренним угрозам можно отнести неквалифицированную внутреннюю политику компании по организации информационных технологий и управлению безопасностью, отсутствие соответствующей квалификации персонала по обеспечению деятельности и управлению объектом защиты.

К внешним преднамеренным угрозам относятся угрозы хакерских атак, утечка конфиденциальной информации на носителях информации и по каналам связи, несанкционированное проникновение на объект защиты, несанкционированный доступ к носителям информации и каналам связи с целью хищения, искажения, уничтожения, блокирования информации, преднамеренные и непреднамеренные действия поставщиков услуг по обеспечению безопасности и поставщиков технических и программных продуктов.

Результатом реализации угроз информации может быть:

· утрата (разрушение, уничтожение);

· утечка (извлечение, копирование, подслушивание);

· искажение (модификация, подделка);

· блокирование.

1.5 Анализ нормативно законодательной базы

В соответствии со специальными требованиями и рекомендациями по технической защите конфиденциальной информации, утвержденными приказом Гостехкомиссии России от 30 августа 2002 года, конфиденциальная информация - информация с ограниченным доступом, не содержащая сведений, составляющих государственную тайну, доступ к которой ограничивается в соответствии с законодательством Российской Федерации

Перечень конфиденциальной информации утвержден Указом Президента Российской Федерации от 6 марта 1997 г. N 188. К настоящему времени принят ряд законодательных актов, в которых регулируются отношения, связанные с различными видами конфиденциальной информации:

· Федеральный закон от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

· Федеральный закон от 29 июля 2004 г. N 98-ФЗ «О коммерческой тайне»;

· Федеральный закон от 27 июля 2006 г. N 152-ФЗ «О персональных данных».

В статье 5 Федерального закона «Об информации, информационных технологиях и защите информации» даётся классификация информации в зависимости от порядка её распространения, Законодатель разделяет информацию на следующие группы:

· информацию, свободно распространяемую;

· информацию, предоставляемую по соглашению лиц, участвующих в соответствующих отношениях;

· информацию, которая в соответствии с федеральными законами подлежит предоставлению или распространению;

· информацию, распространение которой в Российской Федерации ограничивается или запрещается.

В статье 9 говориться, что Федеральными законами устанавливаются условия отнесения информации к сведениям, составляющим коммерческую тайну, служебную тайну и иную тайну, обязательность соблюдения конфиденциальности такой информации, а также ответственность за ее разглашение. Ниже будут рассмотрены упомянутые законы.

Коммерческая тайна в соответствии с законом «О коммерческой тайне» определена как конфиденциальность информации. Данная конфиденциальность дает возможность обладателю коммерческой тайны получить при равных возможностях экономическую выгоду в виде сохранения на рынке, в виде увеличения доходов и сокращения расходов. Содержание коммерческой тайны - это экономическая, в том числе финансовая, научно-техническая, в том числе «ноу-хау», и производственная информация.

Чтобы вышеуказанная информация получила статус коммерческой тайны, в отношении этой информации обладателем должен быть введен режим коммерческой тайны. Кроме того, эта информация должна иметь действительную или потенциальную коммерческую ценность в силу того, она неизвестна никому, кроме ее обладателя. Также не должно быть свободного доступа к этой информации.

Режим коммерческой тайны определен в законе как меры, которые предпринимает ее обладатель для охраны ее конфиденциальности. Эти меры носят правовой, организационный, технический и иной характер.

В статье 4 закона содержится норма о том, кому принадлежит право решать, относится или нет информация к коммерческой тайне. Данное право принадлежит обладателю такой информации с учетом положения данного Закона.

Весьма важна для понимания совокупности норм закона статья 5, закрепляющая состав сведений, которые не могут составлять коммерческую тайну. Перечислим сведения, которые не могут составлять коммерческую тайну:

· содержащиеся в учредительных документах юридического лица, документах, подтверждающих факт внесения записей о юридических лицах и об индивидуальных предпринимателях в соответствующие государственные реестры;

· содержащиеся в документах, дающих право на осуществление предпринимательской деятельности;

· о составе имущества государственного или муниципального унитарного предприятия, государственного учреждения и об использовании ими средств соответствующих бюджетов;

· о загрязнении окружающей среды, состоянии противопожарной безопасности, санитарно-эпидемиологической и радиационной обстановке, безопасности пищевых продуктов и других факторах, оказывающих негативное воздействие на обеспечение безопасного функционирования производственных объектов, безопасности каждого гражданина и безопасности населения в целом;

· о численности, о составе работников, о системе оплаты труда, об условиях труда, в том числе об охране труда, о показателях производственного травматизма и профессиональной заболеваемости, и о наличии свободных рабочих мест;

· о задолженности работодателей по выплате заработной платы и по иным социальным выплатам;

· о нарушениях законодательства Российской Федерации и фактах привлечения к ответственности за совершение этих нарушений;

· и другие.

Права обладателей коммерческой тайны закреплены в ст.7 Закона. Данные права приобретаются владельцем с момента установления режима коммерческой тайны для той или иной информации. Обладатель имеет следующие права:

· устанавливать, изменять и отменять режим коммерческой тайны;

· использовать информацию, составляющую коммерческую тайну, для собственных нужд;

· разрешать или запрещать доступ к информации, составляющей коммерческую тайну, определять порядок и условия доступа к этой информации;

· вводить в гражданский оборот информацию, составляющую коммерческую тайну, на основании договоров, предусматривающих включение в них условий об охране конфиденциальности этой информации;

· требовать от юридических и физических лиц, получивших доступ к информации, составляющей коммерческую тайну, органов государственной власти, иных государственных органов, органов местного самоуправления, которым предоставлена информация, составляющая коммерческую тайну, соблюдения обязанностей по охране ее конфиденциальности;

· требовать от лиц, получивших доступ к информации, составляющей коммерческую тайну, в результате действий, осуществленных случайно или по ошибке, охраны конфиденциальности этой информации;

· защищать в установленном законом порядке свои права в случае разглашения, незаконного получения или незаконного использования третьими лицами информации, составляющей коммерческую тайну, в том числе требовать возмещения убытков, причиненных в связи с нарушением его прав.

Ст.10-13 Закона посвящены охране коммерческой тайны. Общими мерами обеспечения соблюдения конфиденциальности информации являются следующие:

· разработка перечня информации, относящейся к коммерческой тайне;

· ограничение и регламентирование доступа к носителям информации;

· определение круга лиц, имеющих права доступа к информации;

· разработка и закрепление правил по регулированию отношений по использованию информации, составляющей коммерческую тайну, в системе трудовых договоров, договоров с контрагентами;

· нанесение на документы, договора, составляющие коммерческую тайну надписи «конфиденциальная информация», при этом необходимо указывать обладателя информации (место нахождения, наименование).

После принятия вышеуказанных мер режим коммерческой тайны считается установленным.

Кроме того, обладатель информации, признанной коммерческой тайной, вправе применить разрешенные не противоречащие закону методы и средства технической защиты носителей конфиденциальной информации.

Ст.11 Закона посвящена охране конфиденциальной информации в рамках трудовых правоотношений. Здесь работодатель для охраны коммерческой тайны обязан:

· составить перечень информации, составляющей коммерческую тайну;

· ознакомить с указанным перечнем под роспись всех сотрудников, доступ к коммерческой тайне которых необходим по долгу службы;

· ознакомить под роспись сотрудников с режимом коммерческой тайны и мерой ответственности за его нарушение;

· обеспечить условия для соблюдения режима коммерческой тайны на рабочих местах.

Получение работником сведений, составляющих коммерческую тайну, осуществляется только с его согласия, за исключением случая, когда получение таких сведений прямо предусмотрено его трудовыми обязанностями. В случае незаконного установления режима коммерческой тайны относительно информации, к которой работник получил доступ при исполнении им своих обязанностей, он может обжаловать это в суде.

Для защиты конфиденциальности информации работник должен придерживаться следующих правил. Он обязуется:

· выполнять установленный в организации режим коммерческой тайны;

· не разглашать сведения, составляющие коммерческую тайну, и не использовать без согласия работодателя и его контрагентов эти сведения в личных целях;

· вернуть все имеющиеся у него документы, содержащие информацию, составляющую коммерческую тайну;

· не разглашать вышеуказанные сведения после окончания трудового договора.

Если между работником и работодателем было заключено соглашение о неразглашении коммерческой тайны с указанием срока такого неразглашения, то работник обязан хранить молчание по поводу коммерческой тайны в течение этого срока. Если данное соглашение не заключалось, то в течение трех лет с момента прекращения трудового договора.

При разглашении коммерческой тайны работник обязан возместить причиненный работодателю ущерб.

1.6 Анализ существующих систем электронного документооборота

На момент анализа на предприятии абсолютно не были реализованы организационные меры по защите информации, однако были представлены программно-аппаратные и инженерно-технические средства защиты информации. Из инженерно-технических мероприятий стоит отметить наличие сейфа в бухгалтерии. Программно-аппаратные средства защиты информации на предприятии представлены ниже.

АРМ «Клиент» АС «Клиент-Сбербанк»

Рабочее место «Клиент» автоматизированной системы «Клиент-Сбербанк» предназначено для ввода, редакции и отправки документов в банк, а так же получения из банка информации о проведенных платежах, выписок по счетам, справочных данных и почты свободного формата.

Применяемые в системе «Клиент-Сбербанк» процедуры электронной подписи и шифрования передаваемых файлов исключают злоумышленный перехват, прочтение и искажение передаваемой информации. Процедура электронной подписи удовлетворяет стандартам Российской Федерации ГОСТ Р34.10-94 «Информационная технология».

Криптографическая защита информации. Система электронной цифровой подписи на базе асимметричного криптографического алгоритма» и ГОСТ Р34.11-94 «Информационная технология. Криптографическая защита информации. Функция «хэширования», а процедура шифрования - требованиям ГОСТ 28147-89. При работе с системой различным категориям пользователей могут быть назначены различные права, что обеспечивает дополнительный уровень защиты от несанкционированного использования программы. Встроенная в программное обеспечение транспортная подсистема обмена данными с банком использует стандартный протокол TCP/IP, что позволяет устанавливать сеанс связи через глобальные сети.

Внешний вид окна АРМ «Клиент» АС «Сбербанк-Клиент» представлен на рисунке 1.4.



Рис. 1.4. АРМ «Клиент» АС «Клиент-Сбербанк»

Программа отправки электронной отчетности через Интернет «Астрал Отчет»

Программный продукт, предназначенный для отправки электронной отчетности через Интернет. Позволяет реализовывать юридически значимый защищенный электронный документооборот с контролирующими органами и контрагентами с использованием электронной подписи.

Основной функционал:

1. отправка формализованной отчетности в шесть контролирующих органов:

Рис. 1.5

2. встроенный редактор, позволяющий быстро получить доступ к актуальным формам отчетности;

3. автоматическое обновление форм отчетности и программного обеспечения на рабочем месте пользователя;

4. импорт данных из программ автоматизации бухгалтерского учета, поддерживающих выгрузку в текущем формате;

5. форматно-логический контроль подготовленной отчетности перед отправкой;

6. контроль прохождения отчетности и обработка предусмотренных протоколом стадий электронного документооборота;

7. обмен с контролирующими органами неформализованными документами (ФНС, ПФР, Росстат);

8. отправка запросов на информационное обслуживание в ФНС и ПФР;

9. подготовка и отправка реестра листов нетрудоспособности в ФСС;

10. формирование и отправка макетов пенсионных дел, необходимых для назначения пенсии;

11. встроенный календарь бухгалтера.

Дополнительные возможности:

· получение выписок ЕГРЮЛ, ЕГРИП;

· встроенный модуль документооборота позволяет реализовать юридически значимый электронный документооборот между организациями;

· сетевой режим обеспечивает доступ нескольких пользователей к единой базе данных;

· офф-лайн режим дает возможность подготовки отчетов при отсутствии подключения к сети Интернет;

· связь с техподдержкой позволяет задать интересующий вас вопрос можно прямо из программы!

Антивирус «ESET NOD32 Antivirus 5»

Антивирус ESET NOD32 Antivirus 5 - эффективный инструмент для постоянного мониторинга состояния компьютера, надежно блокирующий попытки вирусов, троянских программ, почтовых червей, шпионского ПО и других вредоносных объектов проникнуть в систему из любых внешних источников. Антивирус ESET NOD32 Antivirus 5 удобен в использовании и нетребователен к системным ресурсам - может быть установлен на любой ПК, на котором установлена ОС Windows.

Отличительные особенности ESET NOD32 Antivirus 5 для Windows:

· возможность работы на уже инфицированном компьютере и исключительная вирусоустойчивость выделяют ESET NOD32 Antivirus 5 среди всех других аналогичных программ;

· сканер ESET NOD32 Antivirus 5 можно запустить с внешнего носителя без установки в системе;

· большинство атаковавших систему вирусов могут быть устранены уже во время установки антивируса ESET NOD32 Antivirus 5 при сканировании памяти и файлов автозагрузки. Более того, непосредственно перед сканированием (в процессе установки) предусмотрена возможность обновления вирусных баз.

2. Мероприятия по защите конфиденциальных документов в организации

Среди мероприятий по защите конфиденциальных сведений в организации можно выделить несколько основных направлений:

· разработка модели угроз;

· разработка модели нарушителя;

· организационно-правовая защита;

· инженерно-техническая защита;

· программно-аппаратная защита.

Построенная в соответствии с этими аспектами система защиты будет охватывать основную часть спектра вероятных каналов утечки данных из организации.

2.1 Модель угроз

При построении системы защиты ключевым этапом является построение частной модели угроз для конкретной организации, в частности ООО «Колхоз». На основании этой модели в дальнейшем подбираются адекватные и достаточные средства для обеспечения программно-аппаратной защиты рассматриваемой организации.

Таблица 2.1. Модель угроз

Наименование угрозы	Вероятность реализации угрозы (Y2)	Возможность реализации угрозы (Y)	Опасность угрозы	Актуальность угрозы	Меры по противодействию угрозе
					Технические	Организационные
1. Угрозы от утечки по техническим каналам
1.1. Угрозы утечки акустической информации	10	10%	Высокая	Неактуальная	Использование генераторов шума.	Инструкции операторов, работающих с конфиденциальной информацией
						Положение о конфиденциальной информации
1.2. Угрозы утечки видовой информации	5	10%	Средняя	Неактуальная	Системы контроля доступа. Кодовые замки	Ограничение доступа в помещения, в которых происходит обработка конфиденциальной информации.
						Установка дисплея, клавиатуры и принтера таким образом, чтобы исключить просмотр посторонними лицами содержания экрана.
1.3. Угроза утечки информации по каналам ПЭМИН	0	10%	Низкая	Неактуальная	Применение передатчиков помех	Написание должностных инструкций для сотрудников
					Экранировании источника излучения
2. Угрозы несанкционированного доступа к информации
2.1. Угрозы уничтожения, хищения аппаратных средств ИС носителей информации путем физического доступа к элементам ИС
2.1.1. Кража ПЭВМ	5	75%	Высокая	Актуальная	Использование блокираторов - замков безопасности («локеры»).	Пропускного режима на территории, в здании, помещениях, идентификации транспорта и персонала компании.
					Установка сигнального устройства	Системы охраны территории.
2.1.2. Кража носителей информации	10	75%	Высокая	Актуальная	Ограничение доступа внутрь корпуса компьютера путем установления механических запорных устройств.	Хранение магнитных носителей в тщательно закрытых прочных шкафах.
					Шифрование данных при помощи криптографических программ	Допуск к решению задач на компьютер по обработке секретной, конфиденциальной информации проверенных должностных лиц
					Уничтожение информации непосредственно после ее использования.	Учет носителей информации
2.1.3. Кража ключей доступа	5	50%	Низкая	Актуальная	Хранение в сейфе	Инструкция пользователя
2.1.4. Кражи, модификации, уничтожения информации.	5	25%	Низкая	Актуальная	Шифрование данных при помощи	Акты установки средств защиты
					Система защиты от НСД
					Использование антивирусных систем защиты
					Шифрование разделов жесткого диска
					Использование средства криптографической защиты
					Установка межсетевого экрана
2.1.5. Вывод из строя узлов ПЭВМ, каналов связи	5	50%	Средняя	Актуальная	Организация питания компьютера от отдельного источника питания	Пропускной режим на территории
					Использование стабилизатора напряжения, при подключении ПЭВМ	Физическая охрана ПЭВМ
						Постоянное наблюдение за каналами связи
						Проектировка размещения каналов связи
2.1.6. Несанкционированное отключение средств защиты	5	50%	Средняя	Неактуальная	Отключение компьютера от локальной сети или сети удаленного доступа при обработке на нем конфиденциальной информации	Инструкция администратора безопасности
						Акт установки средств защиты
						Инструкция пользователя
2.2. Угрозы хищения, несанкционированной модификации или блокирования информации за счет несанкционированного доступа (НСД) с применением программно-аппаратных и программных средств (в том числе программно-математических воздействий);
2.2.1. Действия вредоносных программ (вирусов)	10	75%	Высокая	Актуальная	Использование антивирусного программного обеспечения	Инструкция пользователя
						Инструкция по антивирусной защите
						Инструкция администратора безопасности
2.2.2. Установка ПО не связанного с исполнением служебных обязанностей	2	10%	Низкая	Неактуальная	Настройка политики администрирования	Определение технологического процесса обработки информации
						Ограничение прав пользователя
						Инструкция пользователя
2.3. Угрозы не преднамеренных действий пользователей и нарушений безопасности функционирования ИС из-за сбоев в программном обеспечении, а также от угроз неантропогенного (сбоев аппаратуры из-за ненадежности элементов, сбоев электропитания) и стихийного (ударов молний, пожаров, наводнений и т.п.) характера.
2.3.1. Утрата ключей и атрибутов доступа	10	75%	Высокая	Актуальная	Дублирование ключей и атрибутов доступа	Журнал учета паролей
						Инструкция администратора безопасности
2.3.2. Непреднамеренная модификация (уничтожение) информации сотрудниками	5	50%	Средняя	Актуальная	Настройка прав доступа	Инструкция пользователя
2.3.3. Непреднамеренное отключение средств защиты	5	50%	Средняя	Неактуальная	Доступ к установлению режимов работы средств защиты предоставляется только администратору безопасности	Инструкция пользователя
						Защита от «дурака»
2.3.4. Выход из строя аппаратно-программных средств	2	15%	Низкая	Неактуальная	Дублирование аппаратно-программных средств	Резервное копирование
2.3.5. Сбой системы электроснабжения	5	50%	Средняя	Актуальная	Использование электрогенераторов	Резервное копирование
2.3.6. Стихийное бедствие	0	25%	Средняя	Актуальная	Аварийная сигнализация	Разработка плана эвакуации
2.4. Угрозы преднамеренных действий внутренних нарушителей
2.4.1. Доступ к информации, модификация, уничтожение лицами не допущенных к ее обработке	10	50%	Средняя	Актуальная	Использование систем шифрования данных и систем защиты от НСД	Акт установки средств защиты
						Разрешительная система допуска
						Определение технологического процесса обработки информации
2.4.2. Разглашение информации, модификация, уничтожение сотрудниками допущенными к ее обработке	10	50%	Средняя	Актуальная	Использование систем шифрования данных и систем защиты от НСД	Обязательство о не разглашении
						Инструкция пользователя

2.2 Модель нарушителя

По отношению к ООО «Колхоз» нарушители могут быть разделены на внешних и внутренних нарушителей.

Внутренние нарушители

В качестве потенциальных внутренних нарушителей ООО «Колхоз» рассматриваются:

· сотрудники организации, не допущенные к ресурсам информационных систем организации, но имеющие доступ в здания и помещения;

· персонал, обслуживающий технические средства информационной системы организации;

· руководители различных уровней.

Внешние нарушители

В качестве потенциальных внешних нарушителей ООО «Колхоз» рассматриваются:

· бывшие сотрудники организации;

· представители организации?, взаимодействующих по вопросам технического обеспечения организации;

· посетители здании? и помещении? организации;

· конкурирующие с организацией элитно-семеноводческие хозяйства и сельскохозяйственные производители;

· контрагенты организации;

· члены преступных организации?, сотрудники спецслужб или лица, действующие по их заданию;

· лица, случайно или умышленно проникшие в информационную систему организации из внешних телекоммуникационных сетей (хакеры).

В отношении внутренних и внешних нарушителей принимаются следующие ограничения и предположения о характере их возможных действий:

· нарушитель скрывает свои несанкционированные действия от других сотрудников организации;

· несанкционированные действия нарушителя могут быть следствием ошибок пользователей, эксплуатирующего и обслуживающего персонала, а также недостатков принятой технологии обработки, хранения и передачи информации;

· в своей деятельности вероятный нарушитель может использовать любое имеющееся средство перехвата информации, воздействия на информацию и информационные системы, адекватные финансовые средства для подкупа персонала, шантаж, методы социальной инженерии и другие средства и методы для достижения стоящих перед ним целей;

· внешний нарушитель может действовать в сговоре с внутренним нарушителем.

2.3 Организационно-правовая защита информации

Организационно-правовые нормы обеспечения безопасности и защиты информации на любом предприятии отражаются в совокупности учредительных и организационных документов.

В ООО «Колхоз» отсутствуют какие-либо положения или инструкции регламентирующие работу сотрудника по электронному документообороту. Вышеупомянутые инструкции или положения будет необходимо разработать (приложения 2,3).

В Устав организации необходимо внести дополнения, перечисленные ниже. Раздел «Права и обязанности» следует дополнить следующими пунктами:

Фирма имеет право:

· определять состав, объем и порядок защиты конфиденциальной информации;

· требовать от сотрудников защиты конфиденциальной информации;

· осуществлять контроль за соблюдением мер обеспечения экономической безопасности и защиты конфиденциальной информации.

Фирма обязана:

· обеспечить экономическую безопасность и сохранность конфиденциальной информации;

· осуществлять действенный контроль выполнения мер экономической безопасности и защиты конфиденциальной информации.

Необходимо также добавить раздел «Конфиденциальная информация», который будет содержать следующее:

· общество организует защиту своей конфиденциальной информации;

· состав и объем сведений конфиденциального характера, и порядок их защиты определяются генеральным директором.

Внесение перечисленных дополнений даёт администрации предприятии право:

· создавать организационные структуры по защите коммерческой тайны или возлагать эти функции на соответствующих должностных лиц;

· издавать нормативные и распорядительные документы, определяющие порядок выделения сведений, составляющих коммерческую тайну, и механизмы их защиты;

· включать требования по защите коммерческой тайны в договоры по всем видам хозяйственной деятельности (коллективный и совместные со смежниками);

· требовать защиты интересов фирмы перед государственными и судебными органами;

· распоряжаться информацией, являющейся собственностью фирмы, в целях извлечения выгоды и недопущения экономического ущерба коллективу и собственнику средств производства.

Для защиты конфиденциальной информации в организации должны быть разработаны следующие нормативно-правовые документы:

· перечень сведений, составляющих коммерческую тайну;

· договорное обязательство о неразглашении коммерческой тайны;

· инструкция по защите коммерческой тайны.

Защита информации, представленной в электронном виде, должна осуществляться в соответствии с требования РД ФСТЭК, и СТР-К (специальные требования и рекомендации по технической защите конфиденциальной информации).

В первую очередь следует разработать перечень сведений, составляющий коммерческую тайну. Сведения, включенные в Перечень, имеют ограниченный характер на использование (применение). Ограничения, вводимые на использования сведений, составляющих коммерческую тайну, направлены на защиту интеллектуальной, материальной, финансовой собственности и других интересов, возникающих при организации трудовой деятельности работников (персонала) её подразделений, а также при их сотрудничестве с работниками других предприятий.

Далее должна быть разработана инструкция, регламентирующая порядок доступа сотрудников к конфиденциальной информации, порядок создания, учёта, хранения и уничтожения конфиденциальной документов организации.

2.4 Инженерно-техническая защита информации

Среди мер защиты информации все больший вес объективно приобретает инженерно-техническая защита информации, основанная на применении различных технических средств обеспечения безопасности информации.

Для обеспечения безопасности конфиденциальной информации, в первую очередь рекомендуется провести следующие инженерно-технические мероприятия:

1. Установить металлические решётки с замками на все окна;

2. Установить источники бесперебойного питания, обеспечивающие работу компьютеров, при отключении питания электрической сети (сравнительная характеристика ИБП представлена в таблице 3.1);

3. Установить надёжную взломостойкую металлическую дверь во входе в предприятие (сравнительный анализ взломостойких дверей представлен в таблице 3.2).

4. Установить надежные межкомнатные двери в кабинеты сотрудников организации, оборудованных замком, гарантирующим её надёжное закрытие (сравнительный анализ дверей представлен в таблице 3.3).

5. Установить в кабинет директора устройство для уничтожения бумажных носителей с конфиденциальной информацией (сравнительный анализ шредеров приведён в таблице 3.4).

6. Установить противопожарную систему на всем предприятии (сравнительный анализ противопожарных систем представлен в таблице 3.5).

Примерно через три-шесть месяцев работы стоимость данных, хранящихся на новом рабочем компьютере, начинает превышать стоимость самого компьютера. Для сервера сети такая ситуация может возникнуть уже через несколько недель после его установки. Вместе с тем известно, что только 25-50% проблем от общего числа сбоев компьютерных систем возникают из-за программных или аппаратных сбоев. Во всех остальных случаях (а это почти половина) причиной тому является некачественное электроснабжение. Установка источника бесперебойного питания необходима для предотвращения повреждений оборудования и сбоев в работе систем. Первоочередной задачей ИБП прежде всего считается обеспечение нормального, корректного завершения работы при неожиданном отключении электроэнергии.

Поэтому бесперебойному питанию следует уделить особое внимание.

В результате анализа был выбран ИБП «Mustek PowerMust Office 650» стоимостью 1300 руб.

Таблица 3.1 Сравнительный анализ ИБП

Производитель	Модель	Максимальная мощность	Тип ИБП	Цена, руб	Гарантия, мес
		полная, В*A	активная, Вт
Apollo	Model: 1062F/620VA	620	350	line-interactive (AVR)	1300	12
MGE UPS Systems	Pulsar Elipse 500	480	280	offline	2400	24
Mustek	PowerMust Office 650	650	390	offline	1700	24
Powercom	BNT-600AP	600	360	line-interactive (AVR)	1540	24

Любая входная металлическая дверь, прежде всего, выполняет защитную функцию, поэтому при ее выборе такой показатель как взломостойкость играет важнейшую роль. За успешность попыткам взлома входной двери отвечают дверное полотно, замки и петли, качеству и надежности которых необходимо уделить особое внимание.

Таблица 3.2 Сравнительный анализ взломостойких дверей

Торговая марка/ модель	Размеры	Толщина дверного полотна	Кол-во листов металла/ толщина	Замок основной/ дополнительный	Цена
Форпост 58 ВК	По выбору заказчика	80 мм	1/1.5 мм	Гардиан сувальдный 30.11/ Гардиан цилиндровый 32.01	От 14 800 руб.
Кремний АРГО	По выбору заказчика	70 мм	1/1.8 мм	ГАРДИАН 32.11 цилиндровый/ ГАРДИАН 30.01 сувальдный	От 18 000 руб.
Город мастеров Лидер 6	По выбору заказчика	80 мм	1/1.5 мм	Master-Lock цилиндровый с функцией NoKey	От 16 170 руб.

Все двери в представленной таблице имеют IV класс взломостойкости и в результате анализа оптимальным вариантом была выбрана дверь производителя «Форпост» 58 ВК модель, стоимостью 14800 руб.

Таблица 3.3 Сравнительный анализ межкомнатных дверей

Торговая марка / модель	Особенности и комплектация	Замки для минимальной комплектации	Цена
Супер-двери Элегант	Толщина полотна: 50 мм, 70 мм, глубина короба: 80 мм, толщина стали: полотна - 1.2 мм, короба - 2 мм, масса: ~60кг, тройной уплотнитель, покрытие полотна: PVC - полихлорвинил, основание двери из теплошумоизоляционного огнестойкого материала, 4 скрытых сейфовых навеса, 13 ригельный основной замок с противовзломными накладками, 4 ригельный дополнительный замок повышенной секретности	CISA (Италия)	От 8 000 руб.
Форпост 11TS Венеция	Комплектация двери: Толщина двери 67 мм; 3 контура уплотнения; Скрытые регулируемые петли; Комплексная защита цилиндра ЩИТ; Цилиндр MASTER-LOCK 5+1+5 АнтиБампинг; Замок системы No key (без ключа); Дополнительный сувальдный замок.	CISA (Италия)	От 7 400 руб.
Форпост 21Z Классика	Комплектация двери: Толщина двери 50 мм; 2 контура уплотнения; Подсветка ключа Masterlight; Скрытые регулируемые петли; Комплексная защита цилиндра ЩИТ; Цилиндр MASTER-LOCK 3+1+5; Дополнительный замок.	MOTTURA (Италия)	От 7 000 руб.

В результате анализа оптимальным вариантом была выбрана дверь производителя «Форпост 11 TS Венеция» стоимостью 7400 руб., сертифицированная по IV классу на стойкость к взлому.

Шредер используется для измельчения бумаги в очень мелкие полоски или крошечные кусочки. Правительственные организации, предприятия и частные лица используют шредеры для уничтожения частных или конфиденциальных документов: счетов, кредитных карт, банковских выписок и других документов, которые могут быть использованы для мошенничества или кражи личных данных.

Таблица 3.4 Сравнительный анализ шредеров

Модель	Уровень секретности	Размер частицы (мм)	Кол-во листов за раз	Габариты (мм), вес (кг)	Цена
HSM S5	1	1,9х1,9	6-7	297x163x354,1,8	1 872 руб.
GLADWORK VS710CD	3	4х40	7	320х210х380, 4,2	2 772 руб.
HSM Shredstar X5	3	4х38	6-7	328х207х391, 3,2	3 960 руб.

В результате анализа устройств для уничтожения бумаги, оптимальным вариантом стал шредер GLADWORK VS 710CD стоимостью 2 772 руб., так как его цена снисходительна, и он отвечает основным требованиям.

При подборе противопожарных систем необходимо опираться на размер организации. Для нашего предприятия нужна сравнительно небольшая сигнализация, плюс 8 датчиков дыма к ней. Сравнительный анализ охранно-пожарных сигнализаций представлен в таблице 3.5.

Таблица 3.5 Сравнительный анализ охранно-пожарных сигнализаций

Наименование модели	Описание	Количество датчиков в комплекте	Цена
Сибирский Арсенал - Гранит-4А	Гранит-4А Прибор приёмно-контрольный, 4 зоны, GSM-терминал, автодозвон по линиям ГТС, речевые сообщ., РИП, АКБ 7Ач	Нет в комплекте (600 руб. за штуку)	5 100 руб.
«TAVR»	Беспроводная передача данных, где действует GSM-связь. Поддержка 3 доверенных телефонных номеров для оповещения голосовым сообщением по звонку и 3 телефонных номеров для оповещения при помощи SMS.	1 датчик дыма / 1 датчик температуры (400 руб. за штуку)	4 900 руб.
Сигнал-20П (SMD)	До 20 радиальных шлейфов сигнализации Программируемый выбор типа шлейфов сигнализации: тип 1: пожарный тепловой двухпороговый; тип 2: пожарный комбинированный однопороговый; (с возможностью подключения тепловых и дымовых извещателей); тип 3: пожарный дымовой двухпороговый; тип 4: охранный тип	2 датчика дыма (600 руб. за штуку)	2 653 руб.

В результате анализа устройств охранно-пожарных сигнализаций, оптимальным вариантом стала система Сигнал-20П (SMD), плюс к ней требуется докупить еще 6 датчиков дыма для полноценной защиты предприятия, каждый из которых стоит 600 рублей. Общая сумма затраты на охранно-пожарную сигнализацию составляет - 6253 рубля.

2.5 Программно-аппаратная защита информации

Программно-аппаратные средства защиты информации призваны реализовывать несколько мер и соответствующих им методов по противодействию злоумышленнику при возможности его физического доступа к компьютерам автоматизированной? системы.

Рассмотрим каким угрозам может подвергнуться информация на компьютерах ООО «Колхоз»:

· копирование, подмена, изменение, удаление, хищение информации с жёстких дисков компьютеров;

· нанесение физического вреда носителям информации с целью её уничтожения;

· заражение компьютера вирусным или шпионским программным обеспечением для кражи информации.

На рисунке 2.1 представлена принципиальная схема локальной сети ООО «Колхоз».

Рис. 2.1. Принципиальная схема ЛВС ООО «Колхоз»

Для защиты данной ЛВС необходимо провести следующие работы:

· выбор и установка межсетевого экрана;

· выбор и установка антивирусного ПО на все компьютеры;

· выбор и установка системы резервного копирования;

· выбор и установка ПО для шифрования конфиденциальной информации.

Комплекс данных работ может гарантировать минимально-необходимый уровень безопасности, циркулирующий в ЛВС ООО «Колхоз».

Для того чтобы застраховаться от считывания информации путём копирования, удаления и т.д. нужно использовать блокировку компьютеров путем установления паролей на каждый из них. С этой задачей справится и обычная система мандатного разграничения доступа в Windows.

Против нанесения физического вреда носителям информации (флешки, диски и внешние жесткие диски) надежно справиться инженерно-техническая защита организации.

Для защиты компьютера от вирусных и шпионских атак подойдёт хороший антивирус. На рынке IT-услуг сейчас представлено огромное множество антивирусных решений. Сравнительная характеристика антивирусов показана в таблице 3.6.

Таблица 3.6 Сравнительная характеристика антивирусных программ

Антивирус	Найдено угроз	% определения	Время на поиск	Загрузка ЦП, %	Цена, руб.
Kaspersky	3695	96,3	23 мин	80-95	1479
McAfee	3489	90,1	12 мин	60-80	1432
Dr. Web	2968	77,3	1 мин 10 сек	50-60	6123
AVG	2840	74	5 мин 32 сек	15-30	1740
Symantec	2497	65	6 мин 10 сек	40-50	666
TrustPort	2107	54,9	45 сек	40-50	1295
ESET NOD32	1949	50,8	1 мин 10 сек	40-50	1600

В результате анализа антивирусных ПО самым надежным был выявлен Kaspersky Internet Security. Этот продукт будет установлен на 5 компьютерах ООО «Кохоз», что составит общую сумму затрат - 7395 руб.

Так же необходима установка межсетевого экрана. Межсетевой экран или сетевой экран - комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов на различных уровнях модели OSI в соответствии с заданными правилами.

Основной задачей сетевого экрана является защита компьютерных сетей или отдельных узлов от несанкционированного доступа. Также сетевые экраны часто называют фильтрами, так как их основная задача - не пропускать пакеты, не подходящие под критерии, определённые в конфигурации. Сравнительный анализ межсетевых экранов представлен ниже.

D-link DFL-260E

Межсетевые экраны NetDefend UTM обеспечивают законченное решение для управления, мониторинга и обслуживания безопасной сети. Среди функций управления: удаленное управление, политики управления полосой пропускания, блокировка по URL/ключевым словам, политики доступа и SNMP. Также поддерживаются такие функции сетевого мониторинга, как уведомление по e-mail, системный журнал, проверка устойчивости и статистика в реальном времени.

Таблица 3.7 Характеристики МЭ D-link DFL-260E

Входной интерфейс	10/100/1000BASE-TX
Количество выходных портов 10/100/1000BASE-TX	6
Кол-во портов WAN	1
Кол-во USB-портов	2
Межсетевой экран (FireWall)	поддерживается
DHCP-сервер	поддерживается
Предназначено для установки	в помещениях
Размер (ШхВхГ)	280 х 44 х 180 мм
Гарантия	12 мес.
Цена	20 467 руб.

Межсетевой экран ССПТ-2

Межсетевой экран типа ССПТ-2 является межсетевым экраном нового поколения (патент РФ 2214623, патент US 7281129), реализующим функции межсетевого экрана, но при этом остающимся «невидимым» для любых протоколов и тестовых воздействий, что достигается за счет отсутствия физических и логических адресов на его фильтрующих интерфейсах.

Назначение и область применения:

На базе ССПТ-2 реализуются высокоэффективные масштабируемые решения по защите информации в компьютерных сетях на базе технологии Ethernet. Устройство FNP используется как основное средство защиты для реализации различных политик информационной безопасности с помощью:

· фильтрации пакетов на канальном, сетевом, транспортном и прикладном уровнях;

· управления транспортными соединениями между отдельными узлами ЛВС или виртуальной ЛВС (VLAN);

· контроля контента данных на прикладном уровне с учетом направления, времени и типа протоколов передачи трафика.

Функциональные характеристики:

1. Многоуровневая скрытная фильтрация пакетов по совокупности критериев.

2. Контроль транспортных соединений (до 40000 ТСР сессий) на основе проверки соответствия каждого пакета контексту выбранной ТСР сессии.

3. Трансляция сетевых адресов (режим NAT) в режиме «стелс» для сокрытия структуры внутренней сети с выделением «демилитаризованной зоны».

4. Ведение журналов регистрации пакетов и их выгрузка по запросам администратора сети с использованием протоколов FTP и SYSlog.

5. Контроль доступа к интерфейсу управления на основе списка доверенных сетевых адресов.

Цена: 59 000 руб.

Comodo Firewall Pro

Сегодня в интернете можно найти только два бесплатных полноценных сетевых экрана - Comodo Firewall Pro и ZoneAlarm Free остальные серьёзные программы этого класса стали платными. Между тем по своему функционалу Comodo вряд ли в чём-то уступит аналогичным коммерческим продуктам. Он может использоваться как на домашних компьютерах, так и в корпоративных сетях. Программа не требует от пользователя глубоких знаний принципов работы и защиты сетей. На предприятиях, где необходима работа с глобальной сетью, установка межсетевого экрана просто необходима.

Перечислим основные функции программы Comodo Firewall Pro:

· система правил доступа приложений к Интернет;

· анализатор поведения программ;

· мониторинг доступа к файлам программ сторонними процессами;

· средства противодействия различным видам проникновений и атак, в том числе DDoS;

· интеграция с центром безопасности Windows;

В результате анализа межсетевых экранов для ООО «Колхоз», выбор пал на бесплатный программный межсетевой экран Comodo Firewall Pro.

FBackup - резервное копирование

Для организации резервного копирования целесообразно использовать программу FBackup. Данная программа является средством для резервного копирования и аварийного восстановления данных на отдельном компьютере, имеющим широкий ряд опций, таких как возможность резервного копирования систем целиком или отдельных файлов и папок, аварийное восстановление отдельных файлов и папок или диска целиком, удаленное управление задачами резервного копирования и восстановления данных, восстановление систем на различное оборудование. Использование описанной выше программы позволяет снизить вероятность угроз целостности и доступности информации, содержащейся на компьютере.

Программа FBackup распространяется бесплатно.

TrueCrypt - «сейф» для важных данных

Программа TrueCrypt создает на компьютере специальную защищенную область. Операционная система воспринимает эту область как файл или диск. Отличие между обычным диском и защищенным пространством TrueCrypt в том, что на обычном диске данные (по умолчанию) никак не защищены, а TrueCrypt шифрует данные "на лету", практически незаметно для пользователя, и тем самым обеспечивает надежную защиту без каких-либо специальных манипуляций с файлами. Более того, внутри "обычной" защищенной области TrueCrypt умеет размещать данные, которые не просто зашифрованы, но и совершенно скрыты от посторонних глаз: никто, кроме вас, не будет подозревать об их существовании.