Проектирование системы контроля и управления доступом на предприятии

ВВЕДЕНИЕ 3
1 Теоретическая часть 7
1.1 Характеристика предметной области и предприятия 7
1.1.1 Общая характеристика предметной области 7
1.1.2 Организационно-функциональная структура предприятия 7
1.2 Анализ рисков информационной безопасности 10
1.2.1 Идентификация и оценка информационных активов 10
1.2.2 Оценка угроз активам 15
1.2.3 Оценка рисков 20
1.2.4 Оценка существующих средств защиты 23
1.3 Выбор комплекса задач обеспечения информационной безопасности 34
1.4 Понятие и классификация СКУД 35
1.5 Нормативно-правовая база в области работ, связанных с СКУД 37
1.6 Техническое задание, описание объекта 38

ВВЕДЕНИЕ

В современных условиях можно утверждать: информация стала значимым и стратегическим ресурсом - одним из основных богатств любого предприятия.
Разворачивающееся вокруг информационного ресурса соперничество, борьба за достижение и удержание информационного превосходства начинают занимать все более значимое место.
Становится очевидным, что с глобализацией информационной сферы эффективность систем обеспечения информационной безопасности становится решающим фактором в политике любого субъекта. И, напротив, неэффективность системы информационной безопасности может привести к авариям и катастрофам, последствия которых могут вызвать крупномасштабные экономические затраты.
Сущность информационной безопасности для большинства специалистов видится в невозможности нанесения вреда объекту защиты, его свойствам или деятельности по выполнению своих функций.
...

1.1.2 Организационно-функциональная структура предприятия

Организационно-штатная структура управления ООО . приведена на рисунке 1.1.

/
Рисунок 1.1 Организационно-штатная структура управления ООО .

Организационная структура рассматриваемого предприятия является традиционной для такого вида организаций и включает в себя следующие подразделения:
• отдел продаж;
• финансовый отдел;
• тендерный отдел;
• отдел закупок;
• отдел маркетинга;
• отдел складской логистики;
• ИТ-отдел.
Руководит деятельностью предприятия генеральный директор, которому подчиняются начальники отделов. Кроме того, существует заместитель генерального директора, который в сущности дублирует функции генерального директора и выполняет их в его отсутствие.
Далее рассмотрим основные функции перечисленных выше отделов.
...

1.2.1 Идентификация и оценка информационных активов

В настоящее время обеспечением информационной безопасности компании занимаются сотрудники отдела информационных технологий по поручению начальника данного отдела. Анализ рисков информационной безопасности проводится вышеупомянутыми лицами с последующим докладом руководителю компании через начальника отдела ИТ.
В компании циркулирует информация конфиденциального характера
( коммерческая тайна, персональные данные), и открытые сведения.
Защите подлежат все информационные ресурсы содержащие конфиденциальную информацию независимо от ее представления и местонахождения в информационной среде компании.
...

1.2.2 Оценка угроз активам

Угроза – это потенциальная возможность случайным или преднамеренным образом нарушить информационную безопасность
Основными источниками угроз для защищаемой информации в рассматриваемой компании являются:
• Угроза утечки вещественной информации (незаконный доступ к физическим объектам защиты);
• Угроза утечки информации по техническим каналам;
• Угроза НСД к данным, обрабатываемым в локальной сети.
Угрозы утечки информации по техническим каналам включают в себя:
• Угроза утечки акустической (речевой) информации;
• Угроза утечки видовой информации;
• Угроза утечки информации по каналу ПЭМИН.
...

1.2.3 Оценка рисков

Среди известных методов оценки рисков ИБ можно выделить следующие: Cramm, Octave, RiskWatch, RA2, Callio Secura 17799, Proteus. Выбор методики – важная подготовительная работа для последующих этапов оценки рисков, влияющая на эффективность и адекватность всего процесса.
В ООО «ЕкатеренбургГорСтрой» используется методика анализа рисков информационной безопасности [4] на основе нечёткого логического вывода в соответствии с [5] «Информационная технология. Практические правила управления информационной безопасностью».
Процесс анализа рисков информационной безопасности состоит из трёх этапов:
1. Подготовка к проведению анализа рисков информационной безопасности;
2. Анализ сценариев возможных инцидентов информационной безопасности;
3. Определение степени риска информационной безопасности и подбор рекомендаций по управлению рисками информационной безопасности.
Специалист определяет следующие входные данные для каждого информационного актива:

1.2.4 Оценка существующих средств защиты

Организацию режима информационной безопасности и эксплуатацию СЗИ ИС Компании осуществляет группа по защите информации , которая входит в отдел информационных технологий. Организационная структура группы представлена на рисунке 1.2.

Рисунок 1.
...

1.3 Выбор комплекса задач обеспечения информационной безопасности

Разработка системы информационной безопасности преследует цели обеспечения информационной безопасности компании.
Основываясь на пункте 1.2, в том числе на результатах оценки рисков информационным активам организации, делаем вывод, что для Компании наиболее актуальными методами повышения информационной безопасности являются:
• создание (совершенствование) разграничительной системы допуска сотрудников к документам различных степеней важности и средствам их обработки;
• обеспечение физической защиты доступа к местам хранения и обработки конфиденциальных документов (коммерческая тайна, персональные данные).

Перечисленные методы являются задачами разработки защиты информационной системы.
Данные мероприятия разрабатываются и выполняются путем разработки и внедрения средств инженерно-технической защиты информации, а именно, системы контроля управления доступом.


1.4 Понятие и классификация СКУД

Согласно ГОСТ Р 54831-2011 «Средства и системы контроля управления доступом. Классификация. Общие технические требования. Методы испытаний» система контроля и управления доступом (СКУД) - совокупность средств контроля и управления, обладающих технической, информационной, программной и эксплуатационной совместимостью.
Под контролем и управлением доступом в ГОСТе понимается следующее: комплекс мероприятий, направленных на ограничение и санкционирование доступа людей, транспорта и других объектов в (из) помещения, здания, зоны и территории подлежащей защите[8].
Далее рассмотрим классификацию СКУД изображенную на рисунке 1.6.
/
Рисунок 1.6 - Классификация СКУД

Автономные СКУД - как правило рассчитаны на обслуживание небольшого числа пользователей. Они работают с одним исполнительным устройством без передачи информации на центральный пункт охраны(ПК) и без контроля со стороны оператора.
...

1.5 Нормативно-правовая база в области работ, связанных с СКУД

В современных условиях СКУД играют все большую роль в области информационной безопасности. Первый стандарт на эти системы был разработан в 1998 г. ГОСТ Р 51241 98 «Средства и системы контроля и управления доступом. Классификация. Общие технические требования. Методы испытаний» Это первый российский стандарт, который рассматривает технические средства СКУД с точки зрения обеспечения безопасности от несанкционированного проникновения С 01.09.2011 г. данный ГОСТ был заменен на ГОСТ Р 54831-2011.
ГОСТы[8,9] и руководящие документы используемые при проектировании СКУД:
• ГОСТ 26139-84 «Интерфейс для автоматизированных систем управления рассредоточенными объектами. Общие требования»;
• ГОСТ Р 53704-2009 Системы безопасности комплексные и интегрированные;
• РД 78.36.005-99 «Выбор и применение систем контроля и управления.
...

1.6 Техническое задание, описание объекта

Настоящее техническое задание предусматривает проектирование системы контроля и управления доступом (СКУД) в помещении компании ООО . в г. Екатеринбург ул. Белинского д.39 . Офис компании занимает весь пятый этаж бизнес центра.Количество сотрудников составляет 269 человек. . На данный момент на предприятии пропускной режим реализован на основе турникета, который никакой функции ограничения и защиты от физического доступа к информационным системам, на которых обрабатывается конфиденциальная информация, не имеет .
Цель:
Обеспечить контролируемый доступ сотрудников и посетителей через наружную дверь, а также контролируемый доступ внутренних помещений.
Проектом предусматриваются локальные зоны безопасности с различным уровнем доступа:
◦ Кабинет ген. директора ;
◦ Кабинет заместителя ген. Директора;
◦ Серверная;
◦ Кабинеты всех существующих отделов;
◦ Архив.
...

2 Практическая часть

2.1 Выбор инженерно-технических мер (СКУД)

Сегодня современный рынок СКУД в России имеет большое количество разнообразной продукции, и при этом постоянно расширяется: на нем представлены как отечественные, так и зарубежные производители. И это тот случай когда отечественные производители ничуть не уступают зарубежным.
Для того, чтобы выбрать систему контроля управления и доступа, в 2016г. был проведен опрос организаций занимающихся продажами, монтажом данного оборудования на территории г. Екатеринбурга. В качестве опрашиваемых выступили классифицированные специалисты организаций - руководители предприятий, инженеры, принимающие непосредственное участие в продаже и монтаже СКУД.
В результате исследования определились самые популярные марки СКУД которые используют организации занимающиеся в данной области. К этим маркам относятся такие системы как: PERCo, Bolid, PARSEC.
...