Разработка регламента проведение аудита информационной безопасности ООО ИнформАльянс

ЗАКЛЮЧЕНИЕ
Экономическая безопасность (финансовая безопасность) представляет собой состояние хозяйствующего субъекта, для которого характерно присутствие стабильного дохода, иных ресурсов, с помощью которых возможно поддержание уровня деятельности организации в настоящей и дальнейшей жизни.
Система экономической безопасности состоит из: сохранения платежеспособности, планирования будущих денежных потоков экономического субъекта, безопасность занятости.
Факторами экономической безопасности предприятий является: применение оперативных и технических методов с целью получения нужной информации о конкурентах, применение методов деловой (конкурентной) разведки, применение методов промышленного шпионажа, применение оперативных и технических методов получения информации о конкурентах.
Финансовое ...

ОГЛАВЛЕНИЕ

ВВЕДЕНИЕ 6
I Аналитическая часть 8
1.1. Технико-экономическая характеристика предметной области и предприятия (Установление границ рассмотрения) 8
1.1.1. Общая характеристика предметной области 8
1.1.2. Организационно-функциональная структура предприятия 21
1.2. Анализ рисков информационной безопасности 23
1.2.1 Идентификация и оценка информационных активов 23
1.2.2. Оценка уязвимостей активов 26
1.2.3. Оценка угроз активам 28
1.2.4. Оценка существующих и планируемых средств защиты 29
1.2.5. Оценка рисков 37
1.3. Характеристика комплекса задач, задачи и обоснование необходимости совершенствования системы обеспечения информационной безопасности и защиты информации на предприятии 44
1.3.1. Выбор комплекса задач обеспечения информационной безопасности 44
1.3.2. Определение места проектируемого комплекса задач в комплексе задач предприятия, детализация задач информационной безопасности и защиты информации 45
1.4. Выбор защитных мер 48
1.4.1. Выбор организационных мер 48
1.4.2. Выбор инженерно-технических мер 56
II Проектная часть 76
2.1. Комплекс организационных мер обеспечения информационной безопасности и защиты информации предприятия 76
2.1.1. Отечественная и международная нормативно-правовая основа создания системы обеспечения информационной безопасности и защиты информации предприятия 76
2.1.2. Организационно-административная основа создания системы обеспечения информационной безопасности и защиты информации предприятия 79
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения информационной безопасности и защиты информации предприятия 85
2.2.1 Структура программно-аппаратного комплекса информационной безопасности и защиты информации предприятия 85
2.2.2. Контрольный пример реализации проекта и его описание 87
III Обоснование экономической эффективности проекта 96
3.1 Выбор и обоснование методики расчёта экономической эффективности 96
3.2 Расчёт показателей экономической эффективности проекта 97
ЗАКЛЮЧЕНИЕ 101
СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ 103
ПРИЛОЖЕНИЕ 112

ВВЕДЕНИЕ
Система обеспечения экономической безопасности – является проблемой, значимой для любой организации. Для предприятия в условиях рыночной экономики важной задачей является повышение надежности системы экономической безопасности. В организации должно быть разработан регламент проведения аудита информационной безопасности, в котором будет отражена роль экономической безопасности. Сегодня способность организации обеспечить собственную безопасность зависит, прежде всего, от устойчивых и высоких темпов развития. Благодаря этому образуются условия независимости организации и высокого уровня ее доходов.
Так, цель анализа экономического риска предприятия заключается в выборе политики экономической безопасности, позволяющей предприятию осуществлять наиболее эффективно свою деятельность при максимальной минимизации экономических рисков.
Данное исследование актуально потому, что позволяет решить ряд практических задач на основе полученных в исследовании данных.
В процессе исследования нами были изучены работы как отечественных, так и зарубежных авторов, таких как: Аверьянова Ю.Г., Алиева Т.Е., Аракельян К.С., Басалай С.И., Безуглая Н.С., Гончаренко Л., Горбунов А.И., Дамдын О.С., Очур Ю.С., Зуб А.Т. и т.д.
Кроме того в работе использовались нормативные акты, такие как: Гражданский кодекс Российской Федерации, закон О частной детективной и охранной деятельности в Российской Федерации, ГОСТ Р ИСО/МЭК 17799-2005 Информационная технология. Практические правила управления информационной безопасностью.
Среди интернет-источников в работе можно выделить статьи: «Практика сферы ИТ», Предотвращение сетевых атак: технологии и решения, Способы авторизации, Теория информационной безопасности.
Целью работы является разработка регламента проведение аудита информационной безопасности ООО ИнформАльянс.
Задачи, требующие решения для достижения данной цели:
анализ теоретических аспектов исследования экономической безопасности предприятия;
проведение оценки существующего уровня и направления укрепления экономической безопасности предприятия (на примере ООО ИнформАльянс);
поиск путей совершенствования правового обеспечения экономической безопасности организации (на примере ООО ИнформАльянс).
Объект работы - ООО ИнформАльянс. Предмет - организационно-экономические и правовые отношения, возникающие в процессе обеспечения экономической безопасности ООО ИнформАльянс.
 

Классификация направлений и методов инженернотехнической защиты информации: предотвращение и нейтрализацию преднамеренных и случайных воздействий на источник информации; скрытие информации и ее носителей от органа разведки (злоумышленника) на всех этапах добывания информации.Также известно, что злоумышленник может использовать для получения информации дополнительные устройства, такие как закладные устройства, диктофоны и др. Поэтому в состав третьего направления защиты входят методы обнаружения, локализации и уничтожения указанных средств, подавления их сигналов.Первое направление объединяет методы, при реализации которых входят следующие процессы: затрудняется движение злоумышленника или распространение стихийных сил к источнику информации; обнаруживается вторжение злоумышленника или стихийных сил в контролируемую зону и их нейтрализация.Предотвращение движения источников угроз воздействия к источникам информации обеспечивается физической защитой, обеспечиваемой, в свою очередь, обеспечивается методами инженерной защиты и технической охраны. Инженерная защита образуется посредством применения искусственных преград, которые могут быть преодолены, именно поэтому следует использовать методы обнаружения вторжений в контролируемые зоны и их нейтрализации, называемые технической охраной объектов защиты. Объекты такой защиты: люди; материальные ценности; носители информации, локализованные в пространстве.Носителями информации, локализованными в пространстве, являются: бумага; машинные носители; фото и кино пленка; продукция; материалы и т.д.Иными словами к носителям информации, локализованным в пространстве, относится все то, что имеет четкие размеры и вес. При этом носители информации, имеющие вид электромагнитных и акустических полей, электрического тока не имеют четких границ и для защиты информации на этих носителях методы инженерной защиты использоваться не могут, поскольку электромагнитное поле с информацией нельзя ограничить физическими методами защиты. В этом случае используют методы скрытия информации.Скрытие информации, которое означает прятание, утаивание включает в себя группу методов защиты информации. Базой данной группы методов являются условия и действия, затрудняющие поиск и обнаружение объектов защиты, распознавание и измерение их признаков, снятие с носителей информации с качеством, достаточным для ее использования. Данные методы способы изменить местоположение, время передачи сообщения, проявление демаскирующих признаков, структуру информации, структуру и энергии носителей, при которых злоумышленник не может непосредственно или с помощью технических средств выделить информацию с качеством, достаточным для использования ее в собственных интересах. При этом можно скрывать и информацию и ее носитель. Выделяют следующие виды сокрытия: пространственное, временное, структурное и энергетическое скрытие.Пространственное скрытие способно создать трудности при осуществлении поиска и обнаружения злоумышленником источника информации в пространстве. Такие трудности при осуществлении поиска и обнаружения злоумышленником источника информации в пространстве создаются путем размещением источника информации в местах, местоположение которых априори злоумышленнику не известно - тайниках. Так, злоумышленнику приходится искать источник. При этом величина области поиска и трудности при обнаружении объекта имеют прямую связь. Так подводные лодки являются серьезной угрозой потому, что имеют высокую пространственную скрытность. При создании тайников необходимо учитывать шаблонность человеческого мышления, которая используется злоумышленниками.К пространственным методам сокрытия относятся стеганографические способы защиты информации, сутью которых является скрытное размещение защищаемой информации, которая представляется в символьной форме, контейнерах - свободных частей носителя, содержащего другую информацию.Самым первым стеганографическим способом скрытия информации является написание сообщения симпатическими (бесцветными без специальной тепловой или химической обработки) чернилами между строк текста. Существуют различные способы записи данных посредством пространственного скрытия информации: запись наколом букв на оборотной стороне этикеток флаконов, банок или бутылок, на внутренней стороне спичечной коробки, внутри яйца и др. С появлением фототехники сталь использоваться метод «микроточки». Данные метод был изобретен немецким ученым Э. Голдбергом. Сутью данного метода является микроизображение разведывательного сообщения размером 0,011 мм2. Изображение наклеивали как точки текста письма, открытки, под марку и иные места безобидной корреспонденции или предметов. Уменьшенные символы достигали размера 1 микрона. Еще больше возможностей для реализации стеганографических способов предоставили компьютерные технологии. Основой компьютерной стеганографии является то, файлы, содержащие оцифрованное изображение или звук, могут быть видоизменены без потери качества контента. Такой эффект обусловлен неспособностью органов чувств человека различать незначительные изменения звука или изображения. Таким образом, в данном контексте контейнеры представляют собой графические и звуковые файлы, содержащие оцифрованное изображение и звук. Младшие разряды многоразрядных кодов могут меняться без существенного ухудшения качества контента. В этих файлах может быть зафиксирована информация. Тем самым будет обеспечено ее эффективное скрытие. Так, например, качество изображения в формате bmp объемом 243 Кбайт незаметно отличается от того же изображения в файле которого помещена иная информация объемом 119 Кбайт.Также, у злоумышленника могут отсутствовать данные о времени, в которое будет передана информация. Таким образом, можно говорить о временном факторе сокрытия информации. Здесь злоумышленнику необходимо обеспечить непрерывность разведки. Так например, большое число операторов и технических средств Агентства национальной безопасности США перманентно ведут прослушку эфира в разных точках пространства в разных частотных диапазонах, чтобы не пропустить и перехватить информативное сообщение в каналах связи своего вероятного противника. При этом сложность обнаружения передаваемого сообщения усиливается при сокращении времени передачи сообщения. Так, фактором, повышающим безопасность передачи сообщения является сокращение времени передачи сообщения, накопленного за время, превышающего время его передачи.При этом, если известно время работу обнаруживающих средств, то также увеличиваются возможности сокрытия информации. При том, что разведка, как известно, ведется скрытно, однако носители средств разведки (самолетов, кораблей, космических аппаратов, автомобилей с дипломатическими номерами) возле контролируемой зоны обнаруживается средствами соответствующих служб, что позволяет принять меры по скрытию информации. Например, «ахиллесовой пятой» наиболее эффективной в мирное время космической разведки является заблаговременное знание контрразведкой точного времени пролета низкоорбитального разведывательного космического аппарата. Службе безопасности порой достаточно для обеспечения эффективной защиты на короткое время (минуты) пролета прекращать информативные излучения и зачехлять защищаемые объекты, наблюдаемые сверху.Таким образом, структурное скрытие достигается изменением или созданием ложного информационного портрета семантического сообщения, физического объекта или сигнала.Третье направление инженернотехнической защиты информации базируется на методах поиска, обнаружения и нейтрализации источников опасных сигналов. Данные источники можно найти по их демаскирующим признакам. Поэтому то эти методы поиска, обнаружения и нейтрализации источников опасных сигналов включают процедуры идентификации источников случайных опасных сигналов по их демаскирующим признакам.Таким образом, выделяют следующие направления инженерно-технической защиты информации: физическая защита; скрытие информации; нейтрализация источников опасных сигналов.II Проектная часть2.1. Комплекс организационных мер обеспечения информационной безопасности и защиты информации предприятия2.1.1. Отечественная и международная нормативно-правовая основа создания системы обеспечения информационной безопасности и защиты информации предприятияДанная работа базируется на ряде правовых актов, частью советских, продолжающих действовать в части, не противоречащей современному законодательству. Они регулируют отдельные правоотношения, касающиеся сферы экономической защиты.Конституция закрепляет право на информацию и на защиту информации. Например, в ней предусмотрено наложение ареста на почтово-телеграфную корреспонденцию, ее осмотр и выемку только в интересах раскрытия преступлений по определению или постановлению суда.Таким образом, Конституция создает предпосылки для правовой защиты информации.Уголовный кодекс устанавливает ответственность за несанкционированное преодоление установленной защиты. Глава 28 УК «Преступления в сфере компьютерной информации» содержит три статьи: «Неправомерный доступ к компьютерной информации», «Создание, использование и распространение вредоносных программ для ЭВМ» и «Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети».Признаки преступлений, предусмотренных в статьях 272 и 274 УК, с технической точки зрения весьма похожи. Различие заключается в правомерности или неправомерности доступа к ЭВМ, системе ЭВМ или их сети. Статья 274 УК отсылает к правилам эксплуатации компьютерной системы, но в статье 272 в качестве одного из последствий указано нарушение работы компьютерной системы, что, с технической точки зрения, является отступлением от правил и режима эксплуатации. Поэтому имеет смысл эти преступления законодательно объединить. В ФЗ «Об информации, информационных технологиях и о защите информации» от 2006 г. дается понятие защиты информации, требования о защите информации, обязанности обладателя информации по ее защите. В ФЗ «О лицензировании отдельных видов деятельности» от 2001 г. фактически указано, что деятельность, связанная с различными типами информации ограниченного доступа подлежит лицензированию, что придает особый статус таким видам деятельности, например, как: деятельность, связанная с защитой государственной тайны, деятельность в области связи, биржевая деятельность, нотариальная деятельность, деятельность профессиональных участников рынка ценных бумаг, осуществление внешнеэкономических операций, использование результатов интеллектуальной деятельности, частная детективная (сыскная) деятельность.ФЗ «О коммерческой тайне» от 2004 г. закрепляет перечень информации, не относящийся к коммерческой тайне и, следовательно, не являющейся объектом защиты. В законе описывается порядок предоставления информации, составляющей коммерческую тайну и охрана такой информации.Постановление от 26 июня 1995 г. № 608 «О Сертификации средств защиты информации» устанавливает порядок сертификации средств защиты информации в Российской Федерации и ее учреждениях за рубежом. В нем перечислены учреждения, обладающие правом сертифицировать средства защиты информации (ЗИ). Естественно, речь идет о государственных органах. То, что этих учреждений несколько, а не одно, обусловлено тем, что все они обладают правом создавать технические средства ЗИ. Для координации деятельности этих учреждений по сертификации создана Межведомственная комиссия по защите государственной тайны.В Постановлении от 26 июня 1995 г. № 608 «О Сертификации средств защиты информации» описывается алгоритм, в котором производится сертификация средств защиты информации. Также представляется список учреждения, имеющих право сертифицировать средства защиты информации (ЗИ). ГОСТ Р 51141–98. Делопроизводство и архивное дело. Термины и определения отражает терминологическую систему понятий в области делопроизводства и архивного дела, в том числе ЗИ. Например, гриф ограничения доступа к документу – реквизит официального документа, свидетельствующий об особом характере информации, ограничивающий круг пользователей документа.В ГОСТ Р ИСО 15489-1-2007 даются рекомендации по выбору носителя информации, средств их физической защиты, процедуры обработки и системы хранения.В ГОСТ Р 53114-2008 перечисляются основные термины защиты информации их определения. Термины применяются при проведении работ по стандартизации в области обеспечения информационной безопасности в организации.ИСО/МЭК 27001 Информационные технологии. Методы защиты. Системы менеджмента защиты информации. Требования. Этот стандарт является правовой основой разработки, внедрения, функционирования, мониторинга, анализа, поддержки и улучшения системы менеджмента информационной безопасности (СМИБ). Несомненно, скорость развития информационных технологий очень велика, поэтому в этот стандарт часто вносятся изменения.Источником обеспечения экономической безопасности организации выступает Закон РФ от 11 марта 1992 г. “О частной детективной и охранной деятельности в Российской Федерации” № 2487-1. Ст. 14 данного правового акта закрепляет, что предприятия, независимо от своих организационно-правовых форм, и располагающиеся на территории Российской Федерации, вправе создавать в составе своих структур подразделения безопасности для осуществления охранно-сыскной деятельности в интересах собственной безопасности учредителя.Информационная сфера - сфера деятельности субъектов, связанная с созданием, преобразованием и потреблением информации.Средства защиты от копирования предотвращают использование ворованных копий программного обеспечения и являются в настоящее время единственно надежным средством – как защищающим авторское право программистов-разработчиков, так и стимулирующим развитие рынка. Под средствами защиты от копирования понимаются средства, обеспечивающие выполнение программой своих функций только при опознании некоторого уникального некопируемого элемента. Таким элементом (называемым ключевым) может быть дискета, определенная часть компьютера или специальное устройство, подключаемое к ПЭВМ. Защита от копирования реализуется выполнением ряда функций: идентификация среды, из которой будет запускаться программа; аутентификация среды, из которой запущена программа; реакция на запуск из несанкционированной среды; регистрация санкционированного копирования; противодействие изучению алгоритмов работы системы.Под средой, из которой будет запускаться программа, подразумевается либо дискета, либо ПЭВМ. Идентификация среды заключается в том, чтобы некоторым образом поименовать среду с целью дальнейшей ее аутентификации. Идентификация дискет может быть проведена по-разному.Первый способ основан на нанесении повреждений на некоторую часть поверхности дискеты- так называемой «лазерной дыры». При таком способе дискета прожигается в некотором месте лазерным лучом. Сделать точно такое же отверстие в дискете-копии и в том же самом месте, как и на дискете-оригинале, достаточно сложно.Второй способ идентификации основан на нестандартном форматировании носителя.Реакция на запуск из несанкционированной среды обычно сводится к выдаче соответствующего сообщения.Федеральный закон № 149 защищает ценную информацию, интеллектуальную собственность от чужих посягательств, обозначая меры для контроля над процессом-вплоть до уголовного характера. Однако используя лазейки в законодательстве злоумышленникам удается нелегально распространять результаты чужой умственной деятельности, что подрывает экономику страны и негативно влияет на происходящие а разных сферах ее экономики процессы.Исходя из вышеперечисленных данных можно сделать вывод, что обеспечиваются как юридические, так и технические меры для защиты информации от копирования, однако на сегодняшний день в России достаточно сложно противостоять подделкам, в том числе из-за активной поддержки со стороны рядовых потребителей.Таким образом, данную сферу регулируют нормативные источники различных уровней. 2.1.2. Организационно-административная основа создания системы обеспечения информационной безопасности и защиты информации предприятияРассмотрим организацию информационной безопасности на данном предприятии. На данном предприятии ведется договорная деятельность. Известно, что при заключении договоров необходимо принимать во внимание нормы гражданского законодательства и определенные правила. Поскольку в составе ООО ИнформАльянс отсутствует собственный юрисконсульт, руководству необходимо изучать законодательство или внедрить в составе предприятия указанную должность.В процессе заключения договоров выделяют три этапа:подготовительный этап (подготовка к подписанию);основной (процесс определения условий договора);заключительный (оформление и непосредственное подписание). Рассмотрим этапы заключения договоров подробнее.На подготовительном этапе заключения гражданского договора стороны определяют свое отношение друг к другу, как к потенциальным партнерам.В данном случае следует упомянуть о таком важном принципе как принцип свободы договора. Иными словами никто не может принуждать субъекта к заключению договора и каждый вправе выбирать партнера, с которым будет заключен договор.После сбора всей этой информации необходимо провести ее анализ. Анализ проводится либо методом экспертных оценок, либо рейтинговой оценки, а также на основе положительной информации по всем аспектам деятельности организации.В результате анализа потенциальные партнеры могут быть подразделены на следующие группы:наиболее надежные партнеры;партнеры средней степени надежности;контрагенты с низкой степенью надежности.Рассмотрим данные группы подробнее.Вся собранная информация о партнерах первой группы характеризуется как положительная. Иными словами партнеры данной группы:выполняют свои обязательства;имеет высокий уровень исполнительской дисциплины по совершаемым сделкам.Вторая группа потенциальный партнеров стремится к выполнению своих обязательств и условий по договору, однако имели случаи неисполнения обязательств или частичного их нарушения.Третья группа потенциальных партнеров характеризуется следующими чертами:не выполняют взятых на себя обязательств;используют нелегальные методы в своей деятельности;занимаются запрещенными видами деятельности;связаны с организованными преступными группировками.В результате проведенного анализа и принятия решения об отнесении потенциального партнера к одной из возможных групп может быть принято следующее решение:отказ от подписания договора с данным контрагентом;подписание протокола о намерениях – это может быть использовано в случае, когда собранной информации оказалось недостаточно и необходима дополнительная проверка для определения надежности потенциального партнера;согласие на подписание договора.Рассмотрим основной этап заключения договора (процесс определения условий договора). После того, как предприятие определилось с выбором контрагента наступает этап обсуждения условий договора – его содержания. Условия договора подразделяются на:существенные;обычные;случайные.Существенные условия договора обязательны при заключении договора и определяются для конкретного вида договора. К ним можно отнести:предмет договора;цена товара;оценка залога и т.д.Обычные условия договора нуждаются в согласовании сторон. Так например, при заключении договора аренды, автоматически вступает в действие условие, предусмотренное ст. 211 ГК РФ, в соответствии с которым риск случайной гибели или случайного повреждения имущества несет его собственник, т.е. арендодатель).Случайные условия необязательны для установления сторонами и в этом случае договор считается заключенным без случайного условия.Структура договора включает в себя следующие элементы:Преамбула, включающую в себя:наименование договора;место и время заключения договора;наименование сторон.