Модернизация комплексной системы защиты конфиденциальных документов на предприятии на примере ООО «АВТОКОННЕКС»

Страницы 1 2

Содержание

Введение
1. Теоретическая часть
1.1 Конфиденциальные документы
1.2. Комплексная система защиты конфиденциальных документов
2. Аналитическая часть
2.1 Анализ возможности реализации угроз утечки конфиденциальной информации на предприятии
2.2. Анализ организационных мер по обеспечению безопасности конфиденциальной информации на предприятии
2.3. Модернизация комплексной системы зашиты конфиденциальных документов на предприятии
2.4 Экономический расчет
3. Охрана труда
Заключение
Список используемой литературы
Приложения

Введение

В настоящее время защита персональных данных является одной из наиболее актуальных задач для большинства коммерческих компаний. Это обусловлено тем, что 26 января 2007 года вступил в силу Федеральный закон «О персональных данных», в котором сформулированы требования по защите персональных данных. При этом, согласно статье 25, информационные системы как коммерческих, так и государственных организаций должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 января 2011 года.
Таким образом, Федеральный закон «О персональных данных» требует от каждой организации, обрабатывающее персональные данные, обеспечить безопасность этой категории информации и принять необходимые организационные и технические меры для их защиты от несанкционированного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий.
Целью дипломной работы является модернизация комплексной системы защиты ПДн в ООО «Автоконнекс», как пример использования комплекса различных мер защиты для достижения желаемого результата – безопасности информации. Для достижения этой цели были поставлены следующие задачи:
— изучить конфиденциальные документы;
— рассмотреть комплексную систему защиты конфиденциальных документов;
— проанализировать возможности реализации угроз утечки конфиденциальной информации на предприятии ООО «Автоконнекс»;
— проанализировать организационные меры по обеспечению безопасности конфиденциальной информации на предприятии ООО «Автоконнекс»;
— рассмотреть модернизацию комплексной системы зашиты конфиденциальных документов на предприятии ООО «Автоконнекс»;
— произвести экономический расчет.
Объектом исследования является система защиты информации в ООО «Автоконнекс». Предметом исследования является модернизация комплексной системы защиты информации в ООО «Автоконнекс».
Работа состоит из введения, двух глав, заключения и списка используемой литературы.

1. Теоретическая часть

1.1 Конфиденциальные документы

Документы, содержащие сведения, которые составляют негосударственную тайну (служебную, коммерческую, банковскую, тайну фирмы и др.) или содержат персональные данные, именуются конфиденциальными.
Несмотря на то, что конфиденциальность является синонимом секретности, этот термин широко используется исключительно для обозначения информационных ресурсов ограниченного доступа, не отнесенных к государственной тайне.
Конфиденциальность отражает ограничение, которое накладывает собственник информации на доступ к ней других лиц, т.е. собственник устанавливает правовой режим этой информации в соответствии с законом.
Вместе с тем к конфиденциальным документам нельзя относить учредительные документы, уставы предпринимательских структур, финансовую документацию, сведения о заработной плате персонала и другую документированную информацию, необходимую правоохранительным и налоговым государственным органам.
Под конфиденциальным документом понимается необходимым образом оформленный носитель документированной информации, содержащий сведения, которые относятся к негосударственной тайне и составляют интеллектуальную собственность юридического или физического лица. Обязательным признаком конфиденциального документа является наличие в нем информации, подлежащей защите.
К конфиденциальным относятся следующие документы:
— в государственных структурах — документы, проекты документов и сопутствующие материалы, относимые к служебной информации ограниченного распространения (называемые в чиновничьем обиходе документами для служебного пользования), содержащие сведения, отнесенные к служебной тайне, имеющие рабочий характер и не подлежащие опубликованию в открытой печати;
— в предпринимательских структурах и направлениях подобной деятельности — документы, содержащие сведения, которые их собственник или владелец в соответствии с законодательством имеет право отнести к коммерческой (предпринимательской) тайне, тайне фирмы, тайне мастерства;
— независимо от принадлежности — документы и базы данных. фиксирующие любые персональные (личные) данные о гражданах, а также содержащие профессиональную тайну, технические и технологические новшества (до их патентования), тайну предприятий связи, сферы обслуживания и т. п.
Называть конфиденциальные документы секретными или ставить на них гриф секретности не допускается.
Особенностью конфиденциального документа является то, что он одновременно представляет собой:
— массовый носитель ценной, защищаемой информации; основной источник накопления и объективного распространения этой информации, а также ее неправомерного разглашения или утечки;
— обязательный объект защиты.
Конфиденциальность документов всегда имеет значительный разброс по срокам ограничения свободного доступа к ним персонала фирмы (от нескольких часов до многих лет).
Следует учитывать, что основная масса конфиденциальных документов после окончания их исполнения или работы с ними теряет свою ценность и конфиденциальность.
Например, переписка до заключения контракта может иметь гриф конфиденциальности, но после его подписания этот гриф с письменного разрешения первого руководителя фирмы снимается. Оставшиеся конфиденциальными исполненные документы, сохраняющие ценность для деятельности фирмы, формируются в дела в соответствии с номенклатурой дел.
Период нахождения конфиденциальных документов в делах может быть — кратковременным или долговременным в зависимости от ценности информации, содержащейся в документах дела.
Период конфиденциальности документов определяется по указанному выше перечню конфиденциальных сведений и зависит от специфики деятельности фирмы. Например, производственные, научно-исследовательские фирмы обладают более ценными документами, чем торговые, посреднические и др. Документы долговременного периода, конфиденциальности (программы и планы развития бизнеса, технологическая документация ноу-хау, изобретения до их патентования и др.) имеют усложненный вариант обработки и хранения, обеспечивающий безопасность информации и ее носителя. Документы кратковременного периода конфиденциальности, имеющие оперативное значение для деятельности фирмы, обрабатываются и хранятся по упрощенной схеме и могут не выделяться из технологической системы обработки открытых документов при наличии в этой системе минимальных защитных, контрольных и аналитических элементов.

1.2. Комплексная система защиты конфиденциальных документов

Открытые (не конфиденциальные документы) должны быть защищены от их утраты, конфиденциальная документированная информация, в том числе и коммерческая тайна, требует защиты не только от утраты, но и от утечки информации.
Утечка информации представляет собой неправомерный, то есть неразрешенный, несанкционированный выход конфиденциальной информации за пределы защищаемой зоны ее функционирования.
Основная цель защиты конфиденциальной информации, в том числе коммерческой тайны, состоит в том, чтобы, как говорят профессионалы, предотвратить ее утечку, овладение ею конкурентами. В ряде случаев требуется защита и «чужих» коммерческих секретов, которые могут быть доверены предприятию другими лицами, организациями. Отсутствие такой защиты может лишить предприятие выгодных партнеров, клиентов.
Утрата и утечка защищаемой документированной информации обусловлены уязвимостью информации. Под уязвимостью информации следует понимать неспособность информации самостоятельно противостоять воздействиям, которые нарушают ее установленный статус.
Уязвимость документированной информации – понятие собирательное. Она существует вообще, а проявляется в различных формах. К таким формам относятся (в скобках указаны существующие варианты названий форм):
— хищение носителя информации или отображенной в нем информации (кража);
— потеря носителя информации (утеря);
— несанкционированное уничтожение носителя информации или отображенной в нем информации (разрушение);
— искажение информации (несанкционированное изменение, модификация, подделка, фальсификация);
— блокирование информации;
— разглашение информации (распространение, раскрытие).
Та или другая форма уязвимости документированной информации может реализоваться в результате преднамеренного или случайного дестабилизирующего воздействия различными способами на носитель документированной информации или саму информацию со стороны источников воздействия. Такими источниками могут быть люди, электронно-вычислительные машины, программы обработки информации, стихийные бедствия и другие форсмажорные обстоятельства. Способами дестабилизирующего воздействия на информацию могут являться ее копирование, записывание, передача, съем, заражение программ обработки информации вирусом, нарушение технологии обработки и хранения информации, выход из строя и нарушение режима работы технических средств обработки и передачи информации, физическое воздействие на информацию и др.
Если формы уязвимости документированной информации реализуются, это приводит или может привести к утрате информации, а ее разглашение приводит к утечке информации.
Обеспечение защиты конфиденциальной информации включает в себя:
— разработку инструкций по соблюдению режима конфиденциальности для лиц, допущенных к КТ;
— ограничение доступа к носителям информации, содержащим КТ;
— ведение делопроизводства, обеспечивающего выделение, учет и сохранность документов, содержащих КТ;
— использование организационных, технических и иных средств защиты КТ;
— осуществление контроля за соблюдением установленного режима охраны КТ.
Допуск работника к конфиденциальной информации осуществляется с его согласия. Работодатель имеет право отказать в приеме на работу тому, кто не хочет брать на себя обязательства по сохранению коммерческой тайны.
Все сотрудники фирмы должны при поступлении на работу подписать обязательство или договор о неразглашении коммерческой тайны и об ответственности за ее сохранность. В этом документе основными являются следующие обязательства:
— не разглашать сведения, составляющие КТ, которые будут доверены, или станут известны при исполнении служебных обязанностей, в том числе в течение определенного срока после увольнения из фирмы;
— соблюдать доведенные до сведения сотрудника требования по защите КТ;
— не использовать сведения, составляющие КТ, без согласия ее владельца.
Обязательство составляется в одном экземпляре и хранится в специальном или личном деле работника не менее 5 лет после его увольнения.
Для обеспечения защиты документированной информации также необходимо:
— на первом этапе определить конкретный состав информации, содержащей конфиденциальные сведения в организации и составить «Перечень сведений, содержащих конфиденциальную информацию», введя его в действие приказом руководителя;
— на втором этапе уже на основании этого перечня – составляется список конкретных конфиденциальных документов, требующих простановки на них грифа ограничения доступа и более строгих правил работы;
— в том числе, должно быть установлено: кто и на какой стадии работы имеет право и должен проставлять на проекте документа гриф о его конфиденциальности;
— прежде чем получить доступ к конфиденциальным сведениям и документам, должностные лица должны под расписку ознакомиться с этим перечнем сведений и списком документов;
— пройти инструктаж о сохранности конфиденциальной информации и быть предупреждены об ответственности за ее утечку;
— при этом могут налагаться ограничения на контакты с прессой и другими лицами, не владеющими той или иной конфиденциальной информацией;
— с сотрудников может быть взята подписка с обязательством не разглашать, сведения конфиденциального характера и в течении определенного времени после увольнения из организации.
Как правило, в каждой организации утверждается самостоятельная, учитывающая ее специфику, делопроизводственная инструкция о работе с документами, содержащими конфиденциальную информацию.
Для ограничения доступа к информации, содержащей конфиденциальные сведения, руководитель издает специальный приказ о введении «Перечня сведений, содержащих КТ предприятия», мер по охране этих сведений, установлению круга лиц, имеющих доступ к этой информации, и правил работы с документами, имеющими гриф «КТ». Сотрудники предприятия должны под расписку ознакомиться с приказом и приложениями к нему.
Примерный перечень сведений, составляющих КТ предприятия ООО «Автоконнекс»
Приложение
к приказу директора ЗАО
от 00.00.00 №
Перечень сведений,
оставляющих КОММЕРЧЕСКУЮ ТАЙНУ ООО «АВТОКОННЕКС»
Размер кредитов, которые взяла или собирается взять фирма
Объем производства продукции (в месяц, квартал, год)
Наименования фирм-контрагентов
Размер прибыли, получаемой за месяц, квартал, год
Распределение прибыли
Цели, задачи и тактика переговоров с деловыми партнерами
Условия коммерческих контрактов, платежей, услуг
Степень заинтересованности в приобретении товара или услуг
Заработная плата сотрудников предприятия
Характер, репутация и другие данные о персонале предприятия.
Регионы сбыта продукции.
Направления маркетинговых исследований предприятия.
Директор Подпись
М.П.
В случае необходимости этот перечень может быть дополнен и также заверен подписью руководителя с проставлением новой даты.
Если сведения из «Перечня…» переносятся в документы, то документы становятся конфиденциальными, и от того, как будет организована работа с ними, зависит успешная деятельность предприятия.
Порядок обеспечения сохранности КТ предприятия может быть закреплен в трудовом контракте (договоре) с работником.
Ведение делопроизводства, обеспечивающего учет и сохранность документов, содержащих конфиденциальные сведения, предусматривает выполнение ряда рекомендаций.
Приказом руководителя предприятия назначается должностное лицо (лица), ответственное за учет, хранение и использование документов, содержащих конфиденциальные сведения. Это может быть сотрудник, для которого работа с документами КТ является основной служебной обязанностью, или секретарь-референт предприятия. Эти лица несут персональную ответственность за утерю документов или утечку информации из них.

2. Аналитическая часть

2.1 Анализ возможности реализации угроз утечки конфиденциальной информации на предприятии

Объектами защиты в соответствии с политикой безопасности ООО «Автоконнекс» являются:
1. Конфиденциальная информация, в том числе информация, содержащая сведения, составляющие коммерческую тайну и персональные данные.
2. Состав сведений конфиденциального характера, содержание которых определено в документе «Перечень сведений конфиденциального характера, обрабатываемых в организации», утверждаемым Генеральным директором ООО «Автоконнекс».
3. Информационные ресурсы ООО «Автоконнекс» различного уровня доступа, содержащие конфиденциальную информацию.
4. Параметры конфигурации средств защиты информации ООО «Автоконнекс».
Технические меры обеспечения безопасности информации, обрабатываемой с использованием ООО «Автоконнекс», реализованы в комплексной системе защиты, данной автоматизированной системы (АС) и представляют собой применение следующих подсистем безопасности:
1. Защиты от несанкционированного доступа.
2. Защиты сетевого периметра системы (периметр, на котором находится АС).
3. Защиты информации при ее приеме и передаче.
4. Защиты от вредоносных программно-математических воздействий (воздействие на защищаемую информацию с помощью вредоносных программ).
5. Контроля защищенности сетевой структуры системы (телефонные линии, ЛВС и т.д.).
В подсистемах защиты от НСД, защиты сетевого периметра, приема, передачи и контроля защищенности использованы сертифицированные по требованиям безопасности информации средства защиты информации и средства электронной подписи.
В подсистеме защиты от вредоносных программно-математических воздействий использованы средства антивирусной защиты с регулярно обновляемыми базами вирусных сигнатур.
Перечень защищаемых данных и ресурсов АС ООО «Автоконнекс» представлен ниже в табл. 2.1.

Таблица 2.1 

Перечень защищаемых данных и ресурсов АС ООО «Автоконнекс», права субъектов доступа к АС ООО «Автоконнекс»

Таким образом, в АС ООО «Автоконнекс» предусмотрено разграничение доступа субъектов и объектов доступа к конфиденциальной информации. Это позволяет ограничить доступ к информационной базе АС ООО «Автоконнекс» и отследить возможные факты несанкционированного доступа (НСД).
В состав эксплуатационной документации входят технологические инструкции персоналу, исполняющему указанные роли, техническая документация производителя технических средств, включая средства защиты информации, документы, регламентирующие предоставление услуг потребителям.
В настоящий момент в организации доступ к АС ООО «Автоконнекс» осуществляется только посредством логина и пароля, чего не достаточно. Это может привести к тому, что, используя соответствующие программы, можно подобрать логин и пароль. В некоторых случаях, если пароль устанавливается непосредственно сотрудником, пароль можно подобрать исходя из общих знаний о человеке. Более надежным вариантом аутентификации является электронный замок, который должен быть у каждого сотрудника ООО «Автоконнекс», который имеет доступ к АС ООО «Автоконнекс».
Так же не производится шифрование информации в базе. Для более полной организации защиты необходимо шифровать данные ключом, известным только определенной категории сотрудников ООО «Автоконнекс».
Одной из главных задач при разработке системы защиты информации является построение модели угроз. Это позволяет в полном объеме оценить слабые места автоматизированной системы. В соответствии с пунктом 2 статьи 19 ФЗ «О персональных данных» обеспечение безопасности персональных данных достигается, в частности определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных, т.е. разработкой модели угроз.
Основными группами угроз, на противостояние которым направлены цели и требования безопасности, являются:
1. Угрозы, связанные с осуществлением несанкционированного доступа (ознакомления) с информацией, содержащей сведения о клиентах и его запросах.
2. Угрозы, связанные с несанкционированным копированием (хищением) информации, содержащей сведения о клиенте (в том числе БД запросов и обслуживания в целом).
3. Угрозы, связанные с осуществлением доступа к информации, содержащей сведения о запросах и обслуживании, без разрешения на то ее владельца (субъекта запросов).
4. Угрозы, связанные с нарушением доступности информации, содержащей сведения о запросах и обслуживании, передаваемой заинтересованным лицам.
5. Угрозы, связанные с перехватом информации, содержащей сведения о запросах и обслуживании, из каналов передачи данных с использованием специализированных программно-технических средств.
6. Угрозы, связанные с потерей (утратой) информации, содержащей сведения о запросах и обслуживании, вследствие сбоев (отказов) программного и аппаратного обеспечения.
7. Угрозы, связанные с отрицанием фактов отправления запросов на обслуживание.
8. Угрозы, связанные с внедрением компьютерных вирусов и другого вредоносного программного обеспечения.
9. Угрозы, связанные с осуществление несанкционированных информационных воздействий (направленных на «отказ в обслуживании» для сервисов, модификацию конфигурационных данных программно-аппаратных средств, подбор аутентификационной информации и т.п.).
Модель угроз является обязательным пунктом в построении системы защиты информации. Данная мера необходима для выявления слабых мест АС ООО «Автоконнекс», эффективной постановки задачи.
Из вышеперечисленного списка угроз можно сделать вывод, что основными направлениями разработки системы защиты информации будут защита от НСД при приеме, передачи и хранении конфиденциальной информации.

2.2. Анализ организационных мер по обеспечению безопасности конфиденциальной информации на предприятии

Сотрудниками ООО «Автоконнекс» подписывается обязательство установленной формы о неразглашении полученных при выполнении служебных (должностных) обязанностей и включенных в документ «Перечень сведений конфиденциального характера, обрабатываемых в организации» сведений.
Для мест размещения технических средств (помещений) АС ООО «Автоконнекс» определяются границы контролируемой зоны, свободный доступ в которую для посторонних лиц запрещен.
Доступ обслуживающего персонала в помещение, где расположены технические средства АС ООО «Автоконнекс», допускается только в присутствии лиц, ответственных за обеспечение безопасности информации при ее обработке в АС ООО «Автоконнекс».
Входные двери технических помещений размещения оборудования АС ООО «Автоконнекс» снабжаются средствами (замками и иными устройствами), препятствующими неконтролируемому самостоятельному физическому доступу посторонних лиц. Посторонними лицами считаются сотрудники Общества, которым не предоставлено право самостоятельного доступа к техническим средствам АС, а также лица, не являющиеся сотрудниками Общества.
В Обществе устанавливается режим прохода на территорию (помещения) офиса, включая служебные помещения. При этом исключается нахождение посторонних лиц на территории помещений Общества без контроля со стороны ответственных сотрудников. Режим пропуска в служебные помещения определяется руководителем Общества.
Исключается возможность визуального (в том числе с использованием оптических средств наблюдения) просмотра информации ограниченного доступа с устройств визуализации информации (видеодисплейных терминалов и устройств вывода на печать).
Входные двери помещений, где размещены средства АС ООО «Автоконнекс», на время отсутствия в них ответственного персонала, обслуживающего АС ООО «Автоконнекс», закрываются на замок, опечатываются и сдаются под охрану.
Корпуса аппаратных средств, входящих в состав АС ООО «Автоконнекс» (сервер, АРМ, сетевое оборудование) снабжаются средствами контроля вскрытия (опечатываются).
Хранение документов, содержащих конфиденциальную информацию, а также хранения ключевых носителей с закрытыми ключами электронной подписи производится в специальных хранилищах (шкафах) сейфового типа. Ответственность за сохранность носителей и документов возлагается руководителем Общества на сотрудников в персональном порядке.
В отношении сотрудников, назначенных на исполнение обязанностей администратора и оператора АС ООО «Автоконнекс», осуществляются строгие отборочно-кадровые мероприятия, исключающие возможность появления среди них злоумышленников.

Страницы 1 2