Управление рисками на предприятии (на примере ООО «Эксперт-недвижимость»). Часть 4.

---

Страница:   1   2   3   4

---

4.1 Основы методологии информационного обеспечения бизнеса

На сегодняшний день для процветания любой фирмы необходимо качественное и своевременное управление ее деятельностью. В условиях 21 века — века цифровых технологии и информации, главным условием правильности решений, принимаемых организациями, является их исчерпывающая осведомленность. Выполнение этого условия в настоящее время возможно только на базе современных информационных технологий. Поэтому сейчас все фирмы: организации малого и среднего бизнеса, крупных промышленных комплексов — разрабатывают и внедряют автоматизированные информационные системы поддержки своей деятельности. Внедрение подобных систем повышает оперативность и достоверность получаемой информации, сокращается время на текущий сбор и обработку информации, а это приводит к высвобождению рабочего времени, как руководителей и специалистов для решения перспективных проблем, так и рядовых сотрудников для более качественного и продуктивного выполнения своих функций. Появляется возможность периодического анализа информации и выявления проблемных ситуаций.

Понятия «информационное обеспечение бизнеса» очень многогранно.

Под термином «информационное обеспечение» понимается следующее [33]:

• органически взаимосвязанную совокупность элементов, взаимодействие которых организовано определенным образом в единую технологию, реализующую правила и методологические принципы эффективного преобразования информации в соответствии с потребностями управления;
• «информационное обеспечение» — это сведения, знания, предоставляемые потребителю в ходе работ по удовлетворению его информационных потребностей, и соответствующим образом обработанная информация;
• «информационное обеспечение» — это одна из составляющих современных автоматизированных систем, рассматриваемая наряду с техническим, программным и иными видами обеспечения;
• сложный динамичный комплексный процесс, обеспечивающий удовлетворение информационных потребностей управленцев и выполняющий функции рационализации деятельности аппарата управления, то есть процесс предоставления информации отдельным лицам или группам (пользователям информационных систем) в соответствии с их информационными потребностями.

Таким образом, информационное обеспечение бизнеса – это преобразование информации с помощью технических средств для обеспечения наиболее эффективного управления всеми процессами организации.

Составляющими структуры системы информационной поддержки являются:

• автоматизация бухгалтерского и налогового учета;
• автоматизация МСФО (IFRS) и GAAP AS;
• автоматизация бизнес-процессов;
• автоматизация складского управления;
• автоматизация расчета заработной платы;
• автоматизация управления маркетингом;
• бюджетирование и финансовое планирование и т.д.

Рассмотрим составляющие структуры данной системы более подробно.

Бухгалтерский и налоговый учет являются необходимыми инструментами управления любой организацией, позволяющими наладить эффективную работу в условиях рыночных отношений. В современных кризисных условиях роль и значение комплексного управления учетными процессами еще более возрастает.

Таким образом, комплексный подход к управлению процессами бухгалтерского и налогового учета осуществляется посредством автоматизации этих процессов. Автоматизация бухгалтерского и налогового учета представляет собой готовые решения для ведения учета в организациях, осуществляющих любые виды коммерческой деятельности, и является наиболее эффективным инструментом управления деятельностью фирмы.

Бухгалтерский учет традиционно называют языком общения бизнеса. Очевидно, что интернационализация бизнеса обусловливает необходимость и интернационализации языка его общения как в прямом, так и в переносном смысле. Так в процессе интеграции бизнес-систем была выявлена необходимость определения понятных всем участникам правил, по которым будут составляться документы, необходимые для делового общения. С 1973 по 2001 год Комитетом по международным стандартам финансовой отчетности (IASC) были разработаны стандарты финансовой отчетности и выпущены под названием International Accounting Standards (IAS).[34] Сегодня в него входит более 100 стран. Выпускаемые в настоящее время стандарты называются IFRS (International Finantional Reporting Standarts) — Международные стандарты финансовой отчетности. Таким образом, в систему МСФО входят два вида стандартов — IAS и IFRS. С 2005 года все компании в Европейском союзе обязаны готовить консолидированную отчетность в соответствии с принципами МСФО (Международные стандарты финансовой отчетности). В США, где сейчас применяются собственные стандарты бухгалтерского учёта US GAAP, в августе 2008 года Комиссией по ценным бумагам и биржам был представлен предварительный план перехода на МСФО и отказа от GAAP.

В соответствии с этим планом, уже с 2010 года транснациональные американские компании (ожидается, что к этому времени их будет не менее 110) будут в обязательном порядке предоставлять отчётность по МСФО.

Предполагается, что с 2014 года формирование отчётности по МСФО станет обязательным для всех американских компаний.[35] В России же в1998 году принята и исполняется программа реформирования бухгалтерского учёта в соответствии с МСФО. В частности, с 2005 года все кредитные организации обязаны подготавливать отчётность в соответствии с нормами МСФО. Сегодня все больше российских компаний составляют финансовую отчетность в соответствии с международными стандартами. Прежде всего, это компании, ориентированные на публичные рынки финансирования или привлечение инвестиций международных финансовых организаций.

Таким образом, Международные стандарты финансовой отчетности (МСФО) — это совокупность общепринятых правил квалификации, признания, оценки и раскрытия хозяйственных операций и финансовых показателей для составления финансовой отчетности хозяйствующими субъектами большинства стран мира. [36] МСФО представляют собой систему документов, состоящую из предисловий к положениям по МСФО, разъяснений принципов подготовки и представления финансовой отчетности, стандартов и разъяснений (интерпретаций) к ним. Каждый из указанных документов имеет собственное значение, но, являясь элементом системы, не может применяться отдельно от остальных ее составляющих. Сегодня МСФО признаны глобальными стандартами во всем мире.

Бизнес представляет собой процесс, совокупность разных действий (шагов, этапов, функций), которые осуществляются в определенном порядке и направлены на достижение конечной цели компании, включает в себя деятельность всех участников процесса, и взаимодействие между ними (сотрудники компании, руководство, клиенты).[37] Таким образом, деятельность любой организации можно представить в виде различных взаимосвязанных бизнес-процессов. Поэтому управление бизнес-процессами компании является первоочередной задачей руководителя, от которой зависит успех и реализация всего бизнеса. Существуют три вида бизнес-процессов [34]:

Управляющие — бизнес-процессы, которые управляют функционированием системы. Примером управляющего процесса может служить корпоративное управление и стратегический менеджмент.

Операционные — бизнес-процессы, которые составляют основной бизнес компании и создают основной поток доходов. Примерами операционных бизнес-процессов являются снабжение, производство, маркетинг и продажи.

Поддерживающие — бизнес-процессы, которые обслуживают основной бизнес. Например, бухгалтерский учет, подбор персонала, техническая поддержка и другие.

Сегодня каждый руководитель стремится организовать работу своей компании так, чтобы все бизнес-процессы выполнялись строго по намеченному плану, без сбоев, с минимальными затратами времени на механическую бумажную работу. В настоящее время самым эффективным способом организации бизнеса является автоматизация бизнес-процессов на базе создания собственной или внедрения готовой информационной системы, адаптированной под конкретную компанию-заказчика.

На сегодняшний день различают ручные, автоматические и автоматизированные информационные системы управления фирмой. [37]

Ручные информационные системы характеризуются тем, что все операции выполняются человеком, у таких систем отсутствуют современные технические средства переработки информации.

Автоматические информационные системы выполняют все операции по переработке информации без участия человека.

Автоматизированные информационные системы управления представляют собой синтез ручных и автоматических систем, предполагая участие и человека и компьютера. В настоящее время это самый современный вид информационных систем, с помощью которого все рутинные операции по обработке данных отводится компьютеру.

В большинстве своем автоматизация бизнес-процессов предприятия представляет собой единую базу, в которой хранится вся информация и позволяет получать доступ к любым документам в электронном виде из единой базы. Всё это высвобождает время для сотрудников, которые смогут оперативно и своевременно получать нужную информацию без лишних усилий. Системы автоматизации бизнес-процессов делают все процессы в бизнесе прозрачными. Руководитель может следить за проектами и ходом работы сотрудников.

Таким образом, автоматизация бизнес процессов предприятия – это четкость, структурированность и доступность информации, снижение доли человеческого фактора и ненужной бумажной работы. [38] Механизмы автоматизации бизнес процессов позволяют сократить издержки любого производства и сделать бизнес более эффективным.

Автоматизация управления бизнес-процессами является особенно необходимой для крупных предприятий. Но в первую очередь всё во многом зависит от управления, а значит, от руководителя организации. Системы автоматизации бизнес процессов, автоматизация менеджмента – это инструменты, от эффективного применения которых во многом зависит успех хозяйственной деятельности всей организации в целом.

В настоящее время все больше компаний испытывают потребность в получении оперативной и достоверной информации для принятия качественных управленческих решений. Предприятия уделяют внимание не только анализу результатов своей работы, но и планированию дальнейшей деятельности. Это выражается в стремлении эффективно использовать собственные ресурсы и возможности.

На сегодняшний день одним из наиболее востребованных инструментов для оперативного планирования и управления компанией являются системы бюджетирования и финансового планирования.  Финансовое планирование позволяет автоматизировать стратегическое и оперативное планирование (бюджетирование), план – фактный анализ, моделирование, анализ и прогнозирование финансового состояния организации в целом.

Автоматизация бюджетирования имеет неоспоримые преимущества для организации, такие как [39]:

• формирование бюджетов различного уровня, начиная от бюджетов отдельных подразделений, до консолидированных бюджетов холдинга;
• формирование как базовых бюджетов: бюджет движения денежных средств, бюджет доходов и расходов, прогнозный баланс, так и управленческих бюджетов с уникальной структурой (бюджеты проектов, направлений деятельности, подразделений);
• автоматизация процесса планирования (в системе закладываются методики планирования принятые в компании);
• упрощение сбора фактических данных для бюджетов, гибкая настройка правил трансляции;
• анализ бюджетов и их исполнения по аналитическим разрезам бюджетирования.

Таким образом, внедрение системы бюджетирования позволяет руководителям: прогнозировать развитие компании в краткосрочной и долгосрочной перспективе, оперативно и точно получать фактические данные, таким образом контролируя исполнение запланированных показателей, выбирать верную стратегию развития, контролировать расходы и осуществлять эффективное управление денежными средствами.

Можно сделать вывод о том, что разработка и внедрение автоматизированных информационных систем поддержки деятельности организации необходимо для повышения уровня достоверности информации, оперативности в деятельности организации; для периодического анализа информации и выявления проблемных ситуаций (рисков) на предприятии, то есть для повышения эффективности управления организацией на базе использования комплексного подхода к принятию управленческих решений.

4.2 Элементы информационного обеспечения бизнеса

С каждым годом растет количество информационных систем различной направленности и компаний, внедряющих или разрабатывающих эти системы. Практически все предлагаемые программные решения позиционируются как полнофункциональные комплексные управленческие системы, обеспечивающие автоматизацию всех основных бизнес-процессов любого предприятия (торгового, производственного, сервисного), а компании, предлагающие эти системы,— соответственно, как лидеры отрасли. Компании-разработчики и компании, внедряющие информационные системы, пытаются определенным образом позиционироваться (и с помощью позиционирования показать изначальные преимущества своей системы перед конкурентной).

Во всей совокупности информационных систем управления можно выделить два больших класса: финансово-управленческие системы и производственные системы. Финансово-управленческие системы включают подклассы локальных и малых интегрированных систем. Такие системы предназначены для ведения учета по одному или нескольким направлениям (бухгалтерия, сбыт, склады, учет кадров и т.д.).[40]

Системами этой группы может воспользоваться практически любое предприятие, которому необходимо управление финансовыми потоками и автоматизация учетных функций. Системы этого класса по многим критериям универсальны, хотя довольно часто разработчиками предлагаются решения отраслевых проблем, например, особые способы начисления налогов или управление персоналом с учетом специфики регионов и т.д.

Универсальность приводит к тому, что цикл внедрения таких систем невелик, поэтому иногда можно купить программу и самостоятельно установить ее на персональном компьютере.

Финансово-управленческие системы значительно более гибкие в адаптации к нуждам конкретного предприятия. Часто предлагаются «конструкторы», с помощью которых можно практически полностью «перекроить» исходную систему, самостоятельно, или с помощью поставщика установив связи между таблицами баз данных или отдельными модулями. Несмотря на то, что общая конфигурация систем может быть достаточно сложна, практически все финансово-управленческие системы способны работать на персональных компьютерах в обычных сетях передачи данных Novell Netware или Windows NT. Они опираются на технологию, которая характеризуется высокой загрузкой сетевых каналов для передачи данных между сервером и рабочими станциями. Только отдельные из предлагаемых в России систем такого класса были разработаны для промышленных баз данных (Oracle, SYBASE, Progress, Informix, SQL Server).

В основном использовались более простые средства разработки Clipper, FoxPro, dBase, Paradox, которые начинают давать сбои на сложных конфигурациях сети и при увеличении объемов обрабатываемых данных. Производственные системы включают подклассы средних и крупных интегрированных систем. Эти системы, в первую очередь, предназначены для управления и планирования производственного процесса. Учетные функции, хотя и глубоко проработаны, выполняют вспомогательную роль. Поэтому иногда невозможно выделить модуль бухгалтерского учета, так как информация в бухгалтерию поступает автоматически из других модулей.

Производственные системы значительно более сложны в установке (цикл внедрения может занимать от 6-9 месяцев до полутора лет и более). Это обусловлено тем, что система покрывает потребности всего производственного предприятия, что требует значительных совместных усилий сотрудников предприятия и поставщика программного обеспечения.[40]

Производственные системы часто ориентированы на одну или несколько отраслей и/или типов производства: серийное сборочное (электроника, машиностроение), мало-серийное и опытное (авиация, тяжелое машиностроение), дискретное (металлургия, химия, упаковка), непрерывное (нефте — и газодобыча). Наличие встроенных моделей для определенных типов

производства отличает производственные системы друг от друга. У каждой из этих систем есть глубоко проработанные направления и функции, разработка которых только начинается или вообще не ведется. Все производственные системы разработаны с помощью промышленных баз данных. Таким образом, производственные системы по многим параметрам значительно более жесткие, чем финансово-управленческие.

Основными возможностями производственных систем в области автоматизации бизнеса, которые выделила Aссоциация MESA (MES – это система управления производством) являются [41]:

1. Контроль состояния и распределение ресурсов.
2. Оперативное/детальное планирование.
3. Диспетчеризация производства.
4. Управление документами.
5. Сбор и хранение данных.
6. Управление персоналом.
7. Управление качеством продукции.
8. Управление производственными.
9. Управление производственными фондами (техобслуживание).
10. Отслеживание истории продукта.
11. Анализ производительности.

Таким образом, данные возможности и преимущества производственных систем в области автоматизации бизнеса позволяют связать воедино все бизнес-процессы предприятия с производственными процессами.

Кроме того, дают возможность оперативно поставлять объективную и подробную информацию руководству, проводит анализ и определять наиболее эффективное решение проблемы. Например, для конкретного руководителя таким решением может быть переход на другие источники сырья, внедрение систем автоматизации в определенные точки технологического процесса, изменение графика поставок или сокращение ручного труда.

Финансово-управленческих системы относят к малым интегрированным системам. В большей степени они нацелены на автоматизацию непроизводственных предприятий (малые и средние предприятия в сфере торговли и услуг). К основным возможностями финансово-управленческих систем в области автоматизации бизнеса можно отнести то, что они могут быть гибко настроены на нужды конкретного предприятия. Такие системы хорошо интегрируют деятельность предприятия и универсальны.

В настоящее время на отечественном рынке существует достаточно большое количество разнообразных отечественных и зарубежных информационных систем, начиная от локальных, ориентированных на решение узких задач, и заканчивая крупными интегрированными системами, обеспечивающими автоматизацию всех бизнес-процессов предприятия. Выбор типа информационной системы зависит от целей и задач, стоящих перед руководством компании.

Риелторская деятельность сопряжена с оперированием довольно большим объемом информации по продаваемым объектам недвижимости и их владельцам. В процессе качественного анализа существующих рисков ООО «Эксперт-недвижимость» было выявлено, что реальную угрозу представляют юридические риски, такие как «утечка информации», «экономический шпионаж».

Данные риски, прежде всего, связаны с недостаточной защищенностью баз данных о клиентах агентства и объектах недвижимости.  Защита данных от несанкционированного доступа является одной из приоритетных задач при проектировании любой информационной системы.

Следствием возросшего в последнее время значения информации организации стали предъявлять высокие требования к конфиденциальности данных. Системы управления базами данных стали доминирующим инструментом в этой области. Обеспечение информационной безопасности СУБД (систем управления базами данных) приобретает решающее значение для обеспечения необходимого уровня безопасности организации в целом.

Для СУБД важны три основных аспекта информационной безопасности:

• конфиденциальность, целостность и доступность;
• средства защиты от несанкционированного доступа к информации;
• гарантированная защита информации на тот период времени, пока несанкционированный доступ к ней влечет какие-либо последствия.

Разграничение доступа к данным также описывается в базе данных посредством ограничений, и информация об этом хранится в ее системном каталоге. Иногда дополнительная информация может быть запрошена из операционных систем, в окружении которых работают сервер баз данных и клиент, обращающийся к серверу баз данных.

В зависимости от центра ответственности данной риэлторской компании ООО «Эксперт-недвижимость» необходимо распределить риски и использовать для этого определенные ресурсы (Таблица 16).

 

Таблица 16 — Распределение рисков и соответствующих ресурсов для управления ими в зависимости от цента ответственности

 

Таким образом, можно сделать вывод: в OOO «Эксперт-недвижимость» существуют определенные риски, связанные с деятельностью фирмы. Их минимизация необходима для нормального функционирования организации.

Для повышения эффективности в области управления юридическими рисками («утечка информации», «экономический шпионаж») в ООО «Эксперт-недвижимость» предлагается ввести информационную систему управления доступом к информации, базе данных агентства недвижимости.

Потери, связанные с несанкционированным доступом:

• несанкционированное копирование, уничтожение или подделка информации;
• ознакомление с конфиденциальной информацией.

Программные средства защиты, в том числе: средства идентификации и аутентификации пользователей, средства управления доступом, протоколирование и аудит. Обеспечение требуемой защиты информационных ресурсов предприятий достигается применением дополнительных инструментальных средств. Средства анализа защищенности операционных систем позволяют осуществлять ревизию механизмов разграничения доступа, идентификацию и аутентификацию, мониторинг, аудит. Кроме этого, средствами данного класса проводится контроль целостности и неизменности программных средств и системных установок и проверка наличия уязвимостей системных и прикладных служб для ЭВМ, реализующих функции защиты информации от несанкционированного доступа, ознакомления, копирования, модификации, уничтожения и блокирования.

Программно-технические средства защиты информации от несанкционированного копирования включают:

• средства защиты носителей данных;
• средства предотвращения копирования программного обеспечения, установленного на ПЭВМ.

Программно-технические средства прерывания работы программы пользователя при нарушении им правил доступа включают:

• принудительное завершение работы программы;
• блокировка компьютера.

Программно-технические средства выдачи сигнала тревоги при попытке несанкционированного доступа к информации включают:

• средства регистрации некорректных обращений пользователей к защищаемой информации;
• средства организации контроля за действиями пользователей ПЭВМ.

Для решения поставленных выше задач в ООО «Эксперт-недвижимость» были предложены для внедрения информационные системы защиты информации такие как: Microsoft Windows Server Standard 2008 со

встроенной службой Windows Rights Management Services (RMS) и система защиты информации от несанкционированного доступа «Страж NT» (версия 3.0).

Для того чтобы определить преимущества использования систем различными категориями пользователей от внедрения информационной системы необходимо определить желательное поведение сотрудников через систему целей. Механизмы стимулирования в этом случае привязываются к степени достижения цели, которая должна характеризоваться некоторым показателем (Таблица 17)

 

Таблица 17 — Цели сотрудников ООО «Эксперт-недвижимость»

 

Таким образом, данные системы, предлагаемые к внедрению в ООО «Эксперт-недвижимость» обеспечивают предотвращение копирования программ, установленных на ПЭВМ (программа «Риелтор»), а также контроль доступа к базе данных агентства.

4.3 Выбор и внедрение информационной системы в организации

Информация является одним из наиболее ценных ресурсов любой компании, поэтому обеспечение защиты информации является одной из важнейших и приоритетных задач.

Безопасность информационной системы — это свойство, заключающее в способности системы обеспечить ее нормальное функционирование, то есть обеспечить целостность и секретность информации. Для обеспечения целостности и конфиденциальности информации необходимо обеспечить защиту информации от случайного уничтожения или несанкционированного доступа к ней. Под целостностью понимается невозможность несанкционированного или случайного уничтожения, а также модификации информации. Под конфиденциальностью информации — невозможность утечки и несанкционированного завладения хранящейся, передаваемой или принимаемой информации.

Известны следующие источники угроз безопасности информационных систем:

• антропогенные источники, вызванные случайными или преднамеренными действиями субъектов;
• техногенные источники, приводящие к отказам и сбоям технических и программных средств из-за устаревших программных и аппаратных средств или ошибок в ПО;
• стихийные источники, вызванные природными катаклизмами или форс-мажорными обстоятельствами.

В свою очередь антропогенные источники угроз делятся:

• на внутренние (воздействия со стороны сотрудников компании) и внешние (несанкционированное вмешательство посторонних лиц из внешних сетей общего назначения) источники;
• на непреднамеренные (случайные) и преднамеренные действия субъектов.

Существует достаточно много возможных направлений утечки информации и путей несанкционированного доступа к ней в системах и сетях:

• перехват информации;
• модификация информации (исходное сообщение или документ изменяется или подменяется другим и отсылается адресату);
• подмена авторства информации (кто-то может послать письмо или документ от вашего имени);
• использование недостатков операционных систем и прикладных программных средств;
• копирование носителей информации и файлов с преодолением мер защиты;
• незаконное подключение к аппаратуре и линиям связи;
• маскировка под зарегистрированного пользователя и присвоение его полномочий;
• введение новых пользователей;
• внедрение компьютерных вирусов и так далее.

Для обеспечения безопасности информационных систем применяют системы защиты информации, которые представляют собой комплекс организационно — технологических мер, программно — технических средств и правовых норм, направленных на противодействие источникам угроз безопасности информации.

При комплексном подходе методы противодействия угрозам интегрируются, создавая архитектуру безопасности систем. Необходимо

отметить, что любая системы защиты информации не является полностью безопасной. Всегда приходиться выбирать между уровнем защиты и эффективностью работы информационных систем.

К средствам защиты информации ИС от действий субъектов относятся:

• средства защита информации от несанкционированного доступа;
• защита информации в компьютерных сетях;
• криптографическая защита информации;
• электронная цифровая подпись;
• защита информации от компьютерных вирусов.

Средства защита информации от несанкционированного доступа. Получение доступа к ресурсам информационной системы предусматривает выполнение трех процедур: идентификация, аутентификация и авторизация.

Идентификация — присвоение пользователю (объекту или субъекту ресурсов) уникальных имен и кодов (идентификаторов).

Аутентификация — установление подлинности пользователя, представившего идентификатор или проверка того, что лицо или устройство, сообщившее идентификатор является действительно тем, за кого оно себя выдает. Наиболее распространенным способом аутентификации является присвоение пользователю пароля и хранение его в компьютере.

Авторизация — проверка полномочий или проверка права пользователя на доступ к конкретным ресурсам и выполнение определенных операций над ними. Авторизация проводится с целью разграничения прав доступа к сетевым и компьютерным ресурсам.

Защита информации в компьютерных сетях. Локальные сети предприятий очень часто подключаются к сети Интернет. Для защиты локальных сетей компаний, как правило, применяются межсетевые экраны — брандмауэры (firewalls).

Экран (firewall) — это средство разграничения доступа, которое позволяет разделить сеть на две части (граница проходит между локальной сетью и сетью Интернет) и сформировать набор правил, определяющих условия прохождения пакетов из одной части в другую. Экраны могут быть реализованы как аппаратными средствами, так и программными.

Криптографическая защита информации. Для обеспечения секретности информации применяется ее шифрование или криптография. Для шифрования используется алгоритм или устройство, которое реализует определенный алгоритм. Управление шифрованием осуществляется с помощью изменяющегося кода ключа.

Извлечь зашифрованную информацию можно только с помощью ключа. Криптография — это очень эффективный метод, который повышает безопасность передачи данных в компьютерных сетях и при обмене информацией между удаленными компьютерами.

Электронная цифровая подпись. Для исключения возможности модификации исходного сообщения или подмены этого сообщения другим необходимо передавать сообщение вместе с электронной подписью. Электронная цифровая подпись — это последовательность символов, полученная в результате криптографического преобразования исходного сообщения с использованием закрытого ключа и позволяющая определять целостность сообщения и принадлежность его автору при помощи открытого ключа. Другими словами сообщение, зашифрованное с помощью закрытого ключа, называется электронной цифровой подписью. Отправитель передает незашифрованное сообщение в исходном виде вместе с цифровой подписью. Получатель с помощью открытого ключа расшифровывает набор символов сообщения из цифровой подписи и сравнивает их с набором символов незашифрованного сообщения. При полном совпадении символов можно утверждать, что полученное сообщение не модифицировано и принадлежит его автору.

Защита информации от компьютерных вирусов. Компьютерный вирус – это небольшая вредоносная программа, которая самостоятельно может создавать свои копии и внедрять их в программы (исполняемые файлы), документы, загрузочные сектора носителей данных и распространяться по каналам связи.

Несанкционированный доступ к информации и ее копирование, модификация необходимо устранить в ООО «Эксперт-недвижимость», ятобы избежать риска — «утечка информации».

Несанкционированный доступ к информации — это доступ к информации, хранящейся на различных типах носителей (бумажных, магнитных, оптических и т. д.) в компьютерных базах данных, файловых хранилищах, архивах, секретных частях и т. д. различных организаций путём изменения (повышения, фальсификации) своих прав доступа.

Другими словами, это доступ к информации в нарушение должностных полномочий сотрудника, доступ к закрытой для публичного доступа информации со стороны лиц, не имеющих разрешения на доступ к этой информации. Так же иногда несанкционированным доступом называют получение доступа к информации лицом, имеющим право на доступ к этой информации, в объёме, превышающем необходимый для выполнения служебных обязанностей. Это активные действия по созданию возможности распоряжаться информацией без согласия собственника.

Создание и эксплуатация систем защиты информации является сложным и ответственным процессом. Система защиты должна быть достаточной, надежной, эффективной и управляемой. Эффективность защиты информации достигается не количеством денег, потраченных на ее организацию, а способностью ее адекватно реагировать на все попытки несанкционированного доступа к информации.

Основная угроза информационной безопасности компьютерных систем исходит непосредственно от сотрудников. С учетом этого необходимо максимально ограничивать круг информации, к которой допускаются сотрудники и круг действий, которые они могут совершать при работе с данной информацией. При этом каждый сотрудник должен иметь минимум полномочий по доступу к конфиденциальной информации.

Для достижения цели – создания системы управления юридическими рисками данного предприятия исходя из вышесказанного, необходимо проанализировать различные виды программного обеспечения для внедрения операционная система Microsoft Windows Server Standard 2008 со встроенной службой Windows Rights Management Services (RMS) и система защиты информации от несанкционированного доступа»Страж NT» (версия 3.0). Необходимо рассмотреть функционал данных программ для того, чтобы выбрать наиболее оптимальную для внедрения на данном предприятии (Таблица 18).

 

Таблица 18 — Критерии оценки информационной системы и выбора информационной системы

 

Исходя из данных, представленных в таблице, можно сделать следующие выводы. Наиболее оптимальной информационной системой защиты информации для внедрения на данном предприятии будет операционная система Microsoft Windows Server Standard 2008 со встроенной службой Windows Rights Management Services (RMS). Это дополнительная служба для Windows Server Standard 2008, помогающая предотвратить несанкционированное обращение к электронной информации в онлайновом и автономном режиме, копирование программ, установленных на ПЭВМ (программа «Риелтор»), а также обеспечивает контроль доступа к базе данных агентства.

 

RMS расширяет стратегию безопасности предприятия, защищая информацию с помощью строгих политик использования, которые сопровождают эти данные, куда бы они не попали. Можно определить круг лиц и уровень доступа их к информации, а также операции, которые можно производить с информацией. Организация может создавать собственные шаблоны политик разграничения доступа, такие как «Конфиденциально-только для чтения». Эти шаблоны можно непосредственно применять например, к сведениям о клиентах и объектах недвижимости и электронным письмам.

Служба Windows Rights Management Services обеспечивает ограничение режима просмотра и использования данных:

• шифрование: ограничивает аудиторию просмотра данных – это смогут делать только уполномоченные пользователи;
• используются строгие и постоянные политики разграничения доступа к информации;

Также RMS позволяет сторонним разработчикам информационных технологий интегрировать средства защиты информации в свои продукты для создания универсальных платформенных решений.

Служба Windows Rights Management Services обладает следующими преимуществами:

• защита секретной информации от несанкционированного использования;
• обеспечение непрерывной защиты информации, куда бы эта информация не попала;
• минимальный объем работ по администрированию и легкость эксплуатации;
• централизованно определяемые и управляемые политики использования информации в полной мере реализуются для данных в электронном виде;
• система ведет аудит всей информации с ограниченным доступом;
• предлагаемая гибкая технология удобна в администрировании и хорошо поддается расширению функций.

Процесс внедрения информационной системы состоит из нескольких этапов, представленных в Таблице 19.

Таблица 19 — Этапы внедрения информационной системы

 

Документирование проекта внедрения данной информационной системы состоит из следующих этапов (Таблица 20)

Таблица 20 — Этапы документирования проекта

 

Данные документы служат в конечном итоге достижению одной цели: подтверждению качества конечного результата, понимаемого комплексно:

• соблюдение сроков и ресурсных ограничений;
• обеспечение требуемой функциональности;
• достижение целевых рабочих характеристик (производительности, времени ответа, надежности и т.п.).

Служба управления правами Windows Rights Management Services (RMS) появилась в ряду многочисленных внеочередных обновлений Windows Server 2003. Продукт, работа над которым велась на протяжении первых месяцев после выхода данной версии операционной системы, является первым воплощением большинства возможностей организационного управления правами на информацию на предприятиях.

Служба Windows RMS обеспечивает защиту уязвимых электронных сообщений и других документов при помощи технологий регулирования прав с целью ограничения возможностей чтения, печати, пересылки, редактирования и прочих манипуляций с документами.

Служба Windows RMS предоставляет предприятиям средства регулирования прав на использование внутренних документов, подобно технологии Digital Rights Management (DRM). В частности, защита уязвимых данных в Windows RMS строится на базе платформы, использующей стратегии Read only (только для чтения), Print (печать) и Do not forward (пересылка запрещена). Возможно создание собственной стратегии, определяющей специальные правила, например, в отношении конфиденциальной информации компаний (политика company confidential). Кроме того, служба Windows RMS предусматривает возможность ограничения срока действия документов конкретной датой.

Служба Windows RMS не обеспечивает защиту документов предприятий от некоторых угроз. Некоторые приложения могут игнорировать функцию мгновенного снимка экрана в Windows, что позволяет записывать содержимое кадра, казалось бы защищенного службой Windows RMS. Тем не менее технология Windows RMS обладает широкими возможностями предупреждения посягательств на документ.

Использование полного набора функциональных возможностей технологии Windows RMS предполагает выполнение ряда требований. Технология работает только на Windows 2003 и требует установки пакета обновлений Microsoft SQL Server 2000 Service Pack 3 (SP3). Правда, в испытательных условиях допускается также использование Microsoft SQL Server 2000 Desktop Engine (MSDE) SP3 или более поздней версии. Серверный вариант Windows RMS должен функционировать внутри домена на базе Active Directory (AD) и использовать службы Microsoft Message Queue Services (MSMQ), Microsoft Internet Information Services (IIS) 6.0 и ASP.NET. К числу поддерживаемых систем относятся Windows 2003, Windows XP, Windows 2000 SP3, Windows Me и Windows 98 Second Edition (Win98SE). Все перечисленные клиентские продукты требуют загрузки клиентского варианта Windows RMS, для развертывания которого можно применить технологию групповых политик (Group Policy) либо собственную систему развертывания программных средств.

Установление особого режима конфиденциальности направлено на создание условий для обеспечения физической защиты носителей конфиденциальной информации.

Требования устанавливаемого на предприятии особого режима конфиденциальности оформляются в виде организационно-распорядительных документов и доводятся для ознакомления до сотрудников предприятия.

Ограничение доступа к конфиденциальной информации способствует созданию наиболее эффективных условий сохранности конфиденциальной информации. Необходимо четко определять круг сотрудников, допускаемых

к конфиденциальной информации, к каким конкретно сведениям им разрешен доступ и полномочия сотрудников по доступу к конфиденциальной информации.

Как показывает практика работы, для разработки необходимого комплекса мероприятий по защите информации желательно привлечение квалифицированных экспертов в области защиты информации.

Как уже отмечалось выше, эффективность защиты информации в автоматизированных системах достигается применением средств защиты информации (СЗИ). Под средством защиты информации понимается техническое, программное средство или материал, предназначенные или используемые для защиты информации.

В настоящее время на рынке представлено большое разнообразие средств защиты информации, которые условно можно разделить на несколько групп: средства, обеспечивающие разграничение доступа к информации в автоматизированных системах; средства, обеспечивающие защиту информации при передаче ее по каналам связи; средства, обеспечивающие защиту от утечки информации по различным физическим полям, возникающим при работе технических средств автоматизированных систем; средства, обеспечивающие защиту от воздействия программ-вирусов; материалы, обеспечивающие безопасность хранения, транспортировки носителей информации и защиту их от копирования.

Системы защиты информации (СЗИ) предусматривают ведение специального журнала, в котором регистрируются определенные события, связанные с действиями пользователей, например запись (модификация) файла, запуск программы, вывод на печать и другие, а также попытки несанкционированного доступа к защищаемым ресурсам и их результат.

Особо стоит отметить наличие в СЗИ защиты загрузки операционной системы с гибких магнитных дисков и CD-ROM, которая обеспечивает защиту самих средств защиты от «взлома» с использованием специальных технологий. В различных СЗИ существуют программные и аппаратно-программные реализации этой защиты, однако практика показывает, что программная реализация не обеспечивает необходимой стойкости.

Несмотря на функциональную общность средств защиты информации данной группы, СЗИ различных производителей различаются: условиями функционирования (операционная среда, аппаратная платформа, автономные компьютеры и вычислительные сети); сложностью настройки и управления параметрами СЗИ; используемыми типами идентификаторов; перечнем событий, подлежащих регистрации; стоимостью средств защиты.

С развитием сетевых технологий появился новый тип СЗИ — межсетевые экраны (firewalls), которые обеспечивают решение таких задач, как защита подключений к внешним сетям, разграничение доступа между сегментами корпоративной сети, защита корпоративных потоков данных, передаваемых по открытым сетям.

Защита информации при передаче ее по каналам связи осуществляется средствами криптографической защиты (СКЗИ). Характерной особенностью этих средств является то, что они потенциально обеспечивают наивысшую защиту передаваемой информации от несанкционированного доступа к ней. Помимо этого, СКЗИ обеспечивают защиту информации от модификации (использование цифровой подписи и имитовставки).

Как правило, СКЗИ функционируют в автоматизированных системах как самостоятельное средство, однако в отдельных случаях СКЗИ может функционировать в составе средств разграничения доступа как функциональная подсистема для усиления защитных свойств последних.

Обеспечивая высокую степень защиты информации, в то же время применение СКЗИ влечет ряд неудобств: стойкость СКЗИ является потенциальной, то есть гарантируется при соблюдении ряда дополнительных требований, реализация которых на практике осуществляется довольно сложно.

В целом, при определении необходимости использования средств криптографической защиты информации, необходимо учитывать то, что применение СКЗИ оправдано в случаях явного перехвата действительно конфиденциальной информации.

Радикальным способом защиты информации от утечки по физическим полям является электромагнитное экранирование технических устройств и помещений, однако это способ требует значительных капитальных затрат и практически не применяется.

Материалы, обеспечивающие безопасность хранения, транспортировки носителей информации и защиту их от копирования. В основном это специальные тонкопленочные материалы с изменяющейся цветовой гаммой или голографические метки, которые наносятся на документы и предметы (в том числе и на элементы компьютерной техники автоматизированных систем). Они позволяют: идентифицировать подлинность объекта; контролировать несанкционированный доступ к ним.

Существуют различные средства анализа защищенности компьютерных сетей. Широкое развитие корпоративных сетей, интеграция их с информационными системами общего пользования помимо явных преимуществ порождает новые угрозы безопасности информации. Причины возникновения новых угроз характеризуются: сложностью и разнородностью используемого программного и аппаратного обеспечения корпоративных сетей; большим числом узлов сети, участвующих в электронном обмене информацией, их территориальной распределенностью и отсутствием возможности контроля всех настроек; доступностью информации корпоративных систем внешним пользователям (клиентам, партнерам и пр.) из-за ее расположения на физически соединенных носителях.

Применение описанных выше средств защиты информации, а также встроенных в операционные системы механизмов защиты информации не позволяет в полной мере ликвидировать эти угрозы. Наличие постоянных или временных физических соединений является важнейшим фактором, который влияет на повышение уязвимостей корпоративных систем из-за брешей в используемых защитных и программных средствах и утечки информации вследствие ошибочных или неграмотных действий персонала.

Информационное обеспечение риэлторского бизнеса играет важную роль для эффективной работы организации в целом. На сегодняшний день информационная емкость рынка недвижимости очевидна. Информационные технологии выступают как инструмент работы каждого риэлтера. Защита информации об объектах недвижимости и клиентах агентства дает фирме очевидные преимущества.

Одной из составляющих непрерывной защиты информации является защита на всем отрезке ее существования: от момента создания, в процессе ее хранения и передачи и вплоть до момента уничтожения. Владелец информации определяет, кто из пользователей может получать к ней доступ, как и в течение какого времени можно её использовать. Наиболее эффективным решением для защиты данных в организации является система непрерывной защиты информации, которое строится на базе Microsoft Windows Rights Management System Windows RMS хорошо интегрируется в корпоративную информационную систему.

Microsoft RMS позволяет защищать информацию не только внутри корпоративной сети, но и данные, отправляемые за ее пределы, что позволяет

снизить до минимума вероятность наступления юридических рисков ООО «Эксперт-недвижимость» («утечка информации», «экономический шпионаж»).

Также внедрение данной информационной системы позволит обеспечить и нформационную безопасность по следующим критериям:

• конфиденциальность — защита от несанкционированного получения информации;
• целостность — защита от несанкционированного изменения информации;
• доступность — защита от несанкционированного удержания информации.

Заключение

Данная дипломная работа была посвящена вопросу организации системы управления рисками в ООО «Эксперт-недвижимость». Была достигнута поставленная в дипломной работе цель, а именно: проведение всесторонних теоретических исследований в области управления риском предприятии, анализ существующего положения ООО «Эксперт-недвижимость» относительно выявления, оценки и управления рисками, осуществление собственно оценки рисков, разработка мероприятий по совершенствованию технологии управления риском на предприятии.

В теоретической части работы были исследована природа и экономическое содержание риска, рассмотрены теоретические основы управления риском на предприятии, приведены общие методы снижения риска, разработан механизм управления рисками предприятия в современных условиях хозяйствования. Анализ трудов отечественных и зарубежных исследователей теории и практики минимизации риска, текущего состояния и тенденций развития отечественной экономики, проблем и особенностей деятельности предприятий реального сектора подтверждает актуальность и своевременность разработки механизма управления рисками предприятия в современных условиях хозяйствования и подчеркивает необходимость его внедрения в практику деятельности финансово-экономических подразделений субъектов хозяйствования.

На основе теоретических материалов был проведен финансово-экономический анализ данного предприятия, анализ системы управления предприятием, а также анализ процесса управления рисками в ООО «Эксперт-недвижимость» и методов, используемых на предприятии для минимизации наиболее важных рисков при совершении сделок с недвижимым имуществом.

На основании проведенного анализа можно сделать следующие выводы. В целом финансовое положение ООО «Эксперт-недвижимость» за 2 квартал 2010 года улучшилось, однако уровень ликвидности предприятия низкий, предприятие нерентабельно, то есть положение данного предприятия нельзя назвать устойчивым. В целях стабилизации положения агентства и снижения кризисности, необходимо осуществлять управление рисками.

Специфика отрасли (недвижимость) в которой работает ООО «Эксперт-недвижимость» состоит в наличии, большого количества рисков, сопровождающих деятельность агентства. Так как компания молодая и не отличается особой устойчивостью, вероятность наступления различных рисков возрастает. Результаты анализа показали, что в данном агентстве недвижимости управлению рисками уделяется незначительное внимание и как таковой полноценной системы управления ими не существует. Деятельность ООО «Эксперт-недвижимость», также как деятельность любого предприятия, основана на сделках. В зависимости от характера сделки, ее условий, порядка реализации могут возникать те или иные риски. Наиболее значимыми рисками при проведении сделок в данном агентстве недвижимости являются экономические (изменение рыночной ситуации в целом), финансовые (возможное снижение ликвидности компании) и юридические риски.

Финансовые риски присутствуют практически при всех операциях с недвижимостью, а их игнорирование может привести к банкротству и ликвидации компании. Также специфика экономико-правового оборота недвижимости заключается в многоступенчатости сделок с недвижимостью и требует особого внимания к юридической стороне проводимых сделок.

Юридические риски для данного агентства выражаются в риске мошенничества, в частности сговор продавца с покупателем, обман со стороны сотрудников фирмы, желание завладеть информацией, а также риск упущенной выгоды, а именно риск наступления косвенного (побочного) финансового ущерба.

Анализ методов, используемых для минимизации наиболее важных рисков при совершении риелторским агентством ООО «Эксперт-недвижимость» сделок с недвижимым имуществом показал, что на исследуемом предприятии основными являются метод юридического анализа сделки до момента ее заключения, то есть проведение правовой экспертизы проектов договоров и оценки надежности клиентов; агентство рекомендует своим клиентам использовать механизм титульного страхования — страхования потери имущества в результате утраты права собственности. Но данных методов не достаточно для эффективной и безболезненной работы организации в целом.

Для риелторской компании ООО «Эксперт-недвижимость» была проведена идентификация наиболее распространённых рисков при совершении сделок с недвижимостью, проведен качественный и количественный анализ рисков, составлена карта рисков предприятия. Для анализа была использована матрица вероятностей и последствий исходя из которой, можно сделать вывод, что все риски, выявленные в ООО «Эксперт-недвижимость», по рагу риска относятся к высоким. Вероятность наступления данных рисков очень велика, тяжесть последствий при их реализации оценивается как критическая. Таковыми являются финансовые и юридические риски организации. Это еще раз подтверждает, что риелторский бизнес – это зона довольно серьезных рисков, оказывающих существенное влияние на функционирование организации в целом. С учетом выводов, сделанных на основе анализа финансового состояния исследуемого предприятия, рисков и методов, используемых для их снижения, были разработаны рекомендации по совершенствованию системы управления рисками данного агентства недвижимости.

Во-первых, был предложен проект для организации системы управления рисками в ООО «Эксперт-недвижимость».

Проект предусматривает, привлечение со стороны компании (антирискового управляющего) в области управления рисками. Проект обязательно должен включать разработку организационной структуры после привлечения данного специалиста, разработку перечня операций, выполняемых антирисковым управляющим. Также было предложено совершенствование системы способов минимизации рисков, используемой в ООО «Эксперт-недвижимость». Наиболее опасные по своим последствиям финансовые риски было предложено нейтрализовать путем страхования: страхование временной прибыли и страхование от потери дохода в результате изменения конъюнктуры рынка; введение в организации имущественной ответственности всех лиц, в случае нанесения ущерба; самострахование или резервирование средств на покрытие непредвиденных расходов – создание резервного фонда на случай непредвиденных затрат.

Отрасль недвижимости характеризуется наличием острой конкурентной борьбы. Поэтому было предложено периодическое проведение маркетинговых исследований для управления экономическими рисками: изучение возможных действий конкурентов и предпочтений клиентов. Кроме вышеперечисленных рекомендаций по снижению рисков ООО «Эксперт-недвижимость» могут быть использованы методы минимизации рисков, связанные с включением дополнительных пунктов в контракты по сделкам, например, обеспечение компенсации возможных финансовых потерь по рискам, возникающим в ходе проведения сделок с недвижимостью, за счет предусматриваемой системы штрафных санкций.

Далее был рассмотрен процесс управления рисками, основой которого стал анализ реализации инвестиционного проекта ООО «Эксперт-недвижимость». Инвестиционный проект заключался в проведении PR-кампании услуг агентства через собственный Интернет-сайт. В ходе проведенного анализа предполагаемого инвестиционного проекта были выявлены возможные риски проекта, проведен их качественный и количественный анализ, рассчитан экономический эффект и эффективность от управления рисками данного проекта. Управление рисками, их обработка позволили выявить и снизить до минимума существующие вероятные угрозы по данному инвестпроекту и получить запланированную прибыль.

Информационное обеспечение риэлторского бизнеса играет важную роль для эффективной работы организации в целом. Информационная емкость рынка недвижимости очевидна. Информационные технологии выступают как инструмент работы каждого риэлтера. Поэтому далее был разработан спецраздел данного дипломного проекта – «Информационное обеспечение бизнеса». Это позволило рассмотреть основы методологии и элементы информационного обеспечения бизнеса и на основании этого выбрать информационной системы, для внедрение в данной организации. Для достижения цели – создания системы управления юридическими рисками данного предприятия — защиты от «утечки информации» исходя из вышесказанного, были проанализировать различные виды программного обеспечения для внедрения: операционная система Microsoft Windows Server Standard 2008 со встроенной службой Windows Rights Management Services (RMS) и система защиты информации от несанкционированного доступа»Страж NT» (версия 3.0). По ряду критериев для внедрения была выбрана операционная система Microsoft Windows Server Standard 2008 со встроенной службой Windows Rights Management Services. Внедрение данной информационной системы позволит обеспечить информационную безопасность по критериям конфиденциальности, целостности и доступности информации.

Таким образом, осуществляя предпринимательскую деятельность придется иметь дело с неопределенностью и повышенным риском. Задача компании, состоит не в том, чтобы избегать неизбежного риска, а в том, чтобы предвидеть его, стремясь снизить до возможно более низкого уровня.

---

Страница:   1   2   3   4

---