Статья на тему "Защита персональных данных в Центральной дистрибьютерской компании"

МОСКОВСКИЙ ФИНАНСОВО-ПРОМЫШЛЕННЫЙ УНИВЕРСИТЕТ «СИНЕРГИЯ»

Факультет электронного обучения_

Направление 09.03.02 Кафедра ЭО
(код) (аббревиатура)

ТЕМА: «Защита персональных данных в Центральной
дистрибьютерской компании»

Обучающийся
(Ф.И.О. полностью) Подпись

Руководитель
(Ф.И.О. полностью) Подпись

Декан ФЭО
(Ф.И.О. полностью) Подпись

МОСКВА 2018 г.

Факультет Электронного обучения Кафедра _ЭО
Направление _ 09.03.02_

ЗАДАНИЕ НА РАБОТУ

Студент
(Фамилия Имя Отчество)

1. Тема работы
«Защита персональных данных в Центральной дистрибьютерской компании»
Утверждена приказом университета № от « »_ 2017 г.

2. Срок сдачи студентом законченного проекта « » 2017 г.

3. Исходные данные по работе: Данные, собранные в период прохождения практики, нормативно-правовая база по вопросам информационной безопасности, учебные и научные издания.
4. Содержание разделов работы Введение
1 Аналитическая часть
1.1 Технико-экономическая характеристика предметной области и предприятия (Установление границ рассмотрения)
1.1.1 Общая характеристика предметной области
1.1.2 Организационно-функциональная структура предприятия
1.2 Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов
1.2.2 Оценка уязвимостей активов
1.2.3 Оценка угроз активам
1.2.4 Оценка существующих и планируемых средств защиты
1.2.5 Категорирование информации
1.2.6 Потенциальные каналы утечки информации
1.2.7 Оценка рисков
1.3 Характеристика комплекса задач, задачи и обоснование необходимости совершенствования системы обеспечения информационной безопасности и защиты информации на предприятии
1.3.1 Выбор комплекса задач обеспечения информационной безопасности
1.3.2 Определение места проектируемого комплекса задач в комплексе задач предприятия, детализация задач информационной безопасности и защиты информации
1.4 Выбор защитных мер
1.4.1 Выбор организационных мер
1.4.2 Выбор инженерно-технических мер
2 Проектная часть
2.1. Комплекс организационных мер обеспечения информационной безопасности и защиты информации предприятия

2.1.1. Отечественная и международная нормативно-правовая основа создания системы обеспечения информационной безопасности и защиты информации предприятия
2.1.2. Организационно-административная основа создания системы обеспечения информационной безопасности и защиты информации предприятия
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения информационной безопасности и защиты информации предприятия
2.2.1. Структура программно-аппаратного комплекса информационной безопасности и защиты информации предприятия
2.2.2. Контрольный пример реализации проекта и его описание
3. Обоснование экономической эффективности проекта
3.1. Выбор и обоснование методики расчёта экономической эффективности
3.2. Расчёт показателей экономической эффективности проекта Заключение
Список использованной литературы Приложение

5. Основные вопросы, подлежащие разработке
В главе 1 необходимо выполнить анализ деятельности компании и уровня ее информатизации: технико-экономическая характеристика предметной области предприятия, анализ деятельности; характеристика комплекса задач и обоснование необходимости усовершенствования системы безопасности; анализ рисков информационной безопасности, характеристика комплекса задач, задачи и обоснование необходимости совершенствования системы обеспечения информационной безопасности и защиты информации на предприятии, выбор защитных мер.
В главе 2 выполнить Комплекс организационных мер обеспечения информационной безопасности и защиты информации предприятия, Комплекс проектируемых программно- аппаратных средств обеспечения информационной безопасности и защиты информации предприятия.
В главе 3 приводится методика расчета показателей экономической эффективности и расчеты, выполненные в соответствии с изложенной методикой. Расчетные данные следует представить в виде таблиц и диаграмм, отражающие сравнение величины ущерба до и после реализации мер по защите информации.
С детальным рассмотрением содержания каждого пункта, а также примерами схем и таблиц необходимо ознакомиться в «Методических указания по проектированию для направления «Информационные системы», специальности
«Информационные системы и технологии», специализация «Безопасность информационных систем», размещенных на сайте факультета ИСиТ в разделе «Материалы». При подготовке проекта вы можете пользоваться дополнительными литературными источниками, а также основной литературой, список которой приведен ниже.

6. Список литературы

1. Федеральный закон от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" С изменениями и дополнениями от: 27 июля 2010 г., 6 апреля, 21 июля 2011 г., 28 июля 2012 г., 5 апреля 2013 г.
2. Федеральный закон от 27.07.2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации» (с последующими изменениями и дополнениями от 28.07.2012).
3. Федеральный закон РФ от 27 июля 2006 года № 152-ФЗ «О персональных данных».
4. ГОСТ Р ИСО/МЭК 15408-1-2002. Информационная технология. Методы и средства обеспечения. Критерии оценки безопасности информационных технологий. Ч.1. Введение и общая модель.
5. ГОСТ Р ИСO/МЭК 27001-2006. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности.
6. ГОСТ Р ИСО/МЭК 17799-2005. Практические правила управления информационной безопасностью.
7. Адаменко М.А., Основы классической криптологии. Секреты шифров и кодов, Издательство: ДМК Пресс, 2012, 256 с.
8. Александр Поляков, Безопасность Oracle глазами аудитора. Нападение и защита, Издательство: ДМК Пресс, 2014, 336 с.
9. Алишер Исамидинов, Защита коммерческой тайны в сфере трудовых отношений, Издательство: Ленанд, 2014, 120 с.
10. Анатолий Малюк, Анализ и прогнозирование потребности в специалистах по защите информации, Издательство: Горячая Линия – Телеком, 2014, 214 с.
11. Владимир Мельников, Александр Куприянов, Александр Схиртладзе, Защита информации. Учебник, Издательство: Образовательно-издательский центр "Академия", 2014, 304 с.
12. Владимир Платонов, Программно-аппаратные средства защиты информации. Учебник, Издательство: Academia, 2014, 336 с.
13. Вячеслав Ищейнов, Михаил Мецатунян, Организационное и техническое обеспечение информационной безопасности. Защита конфиденциальной информации. Учебное пособие, Издательство: ДРОФА; 2014, 256 с.
14. Гашков С. Б., Применко Э. А., Черепнев М. А., Криптографические методы защиты информации, Издательство: Академия, 2010, 304 с.
15. Геннадий Бузов, Защита информации ограниченного доступа от утечки по техническим каналам, Издательство: Горячая Линия – Телеком, 2014, 594 с.
16. Гришина Н. В., Комплексная система защиты информации на предприятии, Издательство: Форум, 2010, 240 с.
17. Джуди Новак, Стивен Норткатт, Дональд Маклахен, Как обнаружить вторжение в сеть. Настольная книга специалиста по системному анализу, Издательство: Лори, 2012, 384 с.
18. Конвенция совета Европы «О защите физических лиц при автоматизированной обработке персональных данных»
19. Лебедев А. В., Защита компьютера от вирусов, хакеров и сбоев. Понятный самоучитель, Издательство: Питер, 2013, 160 с.
20. Малюк А. А., Пазизин С. В., Погожин Н. С., Введение в защиту информации в автоматизированных системах, Издательство: Горячая Линия – Телеком, 2011, 146 с.
21. Мельников В. П., Клейменов С. А., Петраков А. М., Информационная безопасность и защита информации, Издательство: Академия, 2012, 336 с.
22. Минзов А.С. Методология применения терминов и определений в сфере информационной, экономической и комплексной безопасности бизнеса. Уч-мет. пособие.-М.:ВНИИ геосистем, 2011.84 с.
23. Емельянова Н., Партыка Т., Попов И., Защита информации в персональном компьютере. Учебное пособие, Издательство: Форум, Инфра-М, 2015, 368 с.
24. Хорев П., Программно-аппаратная защита информации. Учебное пособие, Издательство: Форум, Инфра-М, 2015, 352 с.
25. Рябко Б. Я., Фионов А. Н., Криптографические методы защиты информации, Издательство: Горячая Линия – Телеком, 2012, 230 с.
26. Сергеева Ю. С., Защита информации. Конспект лекций, Издательство: А- Приор, 2011, 128 с.
27. Сердюк В. А., Организация и технологии защиты информации. Обнаружение и предотвращение информационных атак в автоматизированных системах предприятий, Издательство: Высшая Школа Экономики, 2011, 576 с.
28. Сонг Ян, Криптоанализ RSA, Издательство: НИЦ "Регулярная и хаотическая динамика", Институт компьютерных исследований, 2011, 312 с.

Дата выдачи задания «01» _декабря 2017 г.

Декан ФЭО
подпись

Руководитель
подпись

Студент
подпись

Оглавление

Введение 8
1 Аналитическая часть 11
1.1 Технико-экономическая характеристика предметной области и предприятия (Установление границ рассмотрения) 11
1.1.1 Общая характеристика предметной области 11
1.1.2 Организационно-функциональная структура предприятия 13
1.2 Анализ рисков информационной безопасности 18
1.2.1 Идентификация и оценка информационных активов 18
1.2.2 Оценка уязвимостей активов 25
1.2.3 Оценка угроз активам 30
1.2.4 Оценка существующих и планируемых средств защиты 35
1.2.5 Категорирование информации
41
1.2.6 Потенциальные каналы утечки информации 43
1.2.7 Оценка рисков 46
1.3 Характеристика комплекса задач, задачи и обоснование необходимости
совершенствования системы обеспечения информационной безопасности и защиты информации на предприятии 49
1.3.1 Выбор комплекса задач обеспечения информационной безопасности 49
1.3.2 Определение места проектируемого комплекса задач в комплексе задач предприятия, детализация задач информационной безопасности и защиты
информации 52
1.4 Выбор защитных мер 56
1.4.1 Выбор организационных мер 56
1.4.2 Выбор инженерно-технических мер 58
2 Проектная часть 65
2.1. Комплекс организационных мер обеспечения информационной безопасности и защиты информации предприятия 65
2.1.1. Отечественная и международная нормативно-правовая основа создания системы обеспечения информационной безопасности и защиты информации
предприятия 65
2.1.2. Организационно-административная основа создания системы
обеспечения информационной безопасности и защиты информации предприятия 72
2.2. Комплекс проектируемых программно-аппаратных средств обеспечения
информационной безопасности и защиты информации предприятия 77
2.2.1. Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия 77
2.2.2. Контрольный пример реализации проекта и его описание 83
3. Обоснование экономической эффективности проекта 89
3.1. Выбор и обоснование методики расчёта экономической эффективности 89
3.2. Расчёт показателей экономической эффективности проекта 95
Заключение 100
Список использованной литературы 103
Приложение 106

Введение

Современный мир все чаще прибегает к услугам автоматизированных систем контроля и управления доступом. На многочисленных предприятиях автоматизация используются для повышения безопасности объекта, сохранности материальных ценностей и информации, обеспечения дисциплины и внутреннего порядка.
Система контроля и управления доступом включает в себя совокупность организационных и технических средств, при помощи которых решаются задачи управления допуском людей в помещения различной категории, зоны ограниченные в доступе, учета и контроля. Пропускные пункты, входы/выходы в здания и помещения оснащаются средствами обеспечивающие ограниченность доступа. Данное оборудование подключаются к контроллерам системы, которые объединяются в сеть и подключаются к головному компьютеру, с которого, осуществляется управление и контроль функционирования системы. Идентификация людей в системе проходит через бесконтактные пластиковые карты с индивидуальным кодом. Каждая карта является носителем информации о владельце карты и уровне доступа, так же используется в качестве пропуска или ключа. Система фиксирует все перемещения персонала, данная информация используется для организации учета рабочего времени и контроля за дисциплиной [4,6].
СКУД – это система контроля и управления доступом, а проявляться эта система может даже в электронном замке квартирной двери. Назначение СКУД достаточно примитивно – обеспечить автоматическую фильтрацию посетителей по признаку – можно войти/нельзя. При этом «замок» может быть не одним устройством, а их совокупностью, объединённой целью – преградить доступ в помещения, поэтому в системах контроля доступа такие «замки» обозначаются термином «исполнительные устройства», которые могут принимать вид собственно замка (электромагнитного и электромеханического), турникета, шлагбаума или электромеханической защёлки. Автоматическая фильтрация посетителей позволяет контролировать ситуацию, безопасность персонала и сохранность материальных ценностей и информации, а также порядок на объекте. Качество выполнения этой совокупности задач зависит от вида СКУД, её функциональности и удобства работы с самой системой.

Без систем контроля доступа невозможно обеспечить безопасность общественных и частных объектов, техники и людей. Куда бы мы ни отправились, нам приходится сталкиваться с теми или иными элементами систем управления доступом. Технологии совершенствуются, и если раньше нам приходилось лишь проходить через вертушки общественных приемных или турникеты в метро, то сейчас практически везде можно увидеть камеры видеонаблюдения или предупреждающие таблички о скрытой съемке.
Без подобных систем не обойтись в супермаркетах и аэропортах, ведь службам безопасности необходимо видеть, что творится в помещениях магазинов или наблюдать, кем и на каких условиях осуществляется заказ самолета. Камеры устанавливаются на улицах городов для контроля над перемещениями людей и транспорта, а в некоторых оживленных местах на автострадах или дорогах можно увидеть системы распознавания автомобильных номерных знаков. Даже домофоны, к которым все уже давно привыкли, являются частью систем безопасности, позволяют оградить жильцов от непрошеных гостей или хищений собственности. Обойтись без обеспечения безопасности порой и вовсе невозможно, но что системы безопасности нам дают, кроме контроля? Вопрос частной жизни давно открыт. С появлением первых систем аудио- или видеонаблюдения, нам пришлось задуматься над тем, как влияют на поведение общественности всевозможные камеры и контроллеры. Разумеется, многим неприятно осознавать тот факт, что за ними наблюдают: тогда, к примеру, чтобы избежать огласки, некоторые нанимают частный самолет вместо того, чтобы проходить жесткий контроль в общественном аэропорту. Как говорится, предупрежден, значит, вооружен – со знанием того, что в магазине осуществляется видеонаблюдение, потенциальный злоумышленник уже не рискнет пронести мимо кассы какой-либо неоплаченный предмет, а скандалист не станет лишний раз ругаться с продавцом или хамить окружающим. Получается, что благодаря системам контроля и управления доступом, нам удается наладить более спокойную обстановку, снизить количество конфликтов и уровень преступности.
Однако, само приобретение системы СКУД не является залогом спокойствия – все элементы, будь то камеры, домофоны или турникеты, необходимо правильно, со знанием дела, установить. Когда за дело берутся высококлассные специалисты, системы устанавливаются максимально корректно и грамотно, что дает нам уверенность и спокойствие.
Объектом исследования является Центральная дистрибьютерская компания, предметом исследования – обеспечение информационной безопасности компании с использованием СКУД. Целью работы является разработка системы информационной безопасности, включая организационные, инженерно-технические и программные средства защиты.
Задачами работы являются:
• Анализ состояния системы защиты информации в компании;
• Выделение информационных активов, подлежащих защите, определение средств и методов защиты;
• Расчет срока окупаемости системы информационной безопасности.

Список использованной литературы
1. Федеральный закон от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" С изменениями и дополнениями от: 27 июля 2010 г., 6 апреля, 21 июля 2011 г., 28 июля 2012 г., 5 апреля 2013 г.
2. Федеральный закон от 27.07.2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации» (с последующими изменениями и дополнениями от 28.07.2012).
3. Федеральный закон РФ от 27 июля 2006 года № 152-ФЗ «О персональных данных».
4. ГОСТ Р ИСО/МЭК 15408-1-2002. Информационная технология. Методы и средства обеспечения. Критерии оценки безопасности информационных технологий. Ч.1. Введение и общая модель.
5. ГОСТ Р ИСO/МЭК 27001-2006. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности.
6. ГОСТ Р ИСО/МЭК 17799-2005. Практические правила управления информационной безопасностью.
7. Адаменко М.А., Основы классической криптологии. Секреты шифров и кодов, Издательство: ДМК Пресс, 2012, 256 с.
8. Исамидинов А., Защита коммерческой тайны в сфере трудовых отношений, Издательство: Ленанд, 2014, 120 с.
9. Малюк А, Анализ и прогнозирование потребности в специалистах по защите информации, Издательство: Горячая Линия – Телеком, 2014, 214 с.
10. Мельников В, Защита информации. Учебник, Издательство: Образовательно-издательский центр "Академия", 2014, 304 с.
11. Платонов В. Программно-аппаратные средства защиты информации. Учебник, Издательство: Academia, 2014, 336 с.
12. Вячеслав Ищейнов, Михаил Мецатунян, Организационное и техническое обеспечение информационной безопасности. Защита конфиденциальной информации. Учебное пособие, Издательство: ДРОФА; 2014, 256 с.
13. Гашков С. Б., Применко Э. А., Черепнев М. А., Криптографические методы защиты информации, Издательство: Академия, 2010, 304 с.
14. Геннадий Бузов, Защита информации ограниченного доступа от утечки по техническим каналам, Издательство: Горячая Линия – Телеком, 2014, 594 с.
15. Гришина Н. В., Комплексная система защиты информации на предприятии, Издательство: Форум, 2010, 240 с.
16. Джуди Новак, Стивен Норткатт, Дональд Маклахен, Как обнаружить вторжение в сеть. Настольная книга специалиста по системному анализу, Издательство: Лори, 2012, 384 с.
17. Лебедев А. В., Защита компьютера от вирусов, хакеров и сбоев. Понятный самоучитель, Издательство: Питер, 2013, 160 с.
18. Малюк А. А., Пазизин С. В., Погожин Н. С., Введение в защиту информации в автоматизированных системах, Издательство: Горячая Линия – Телеком, 2011, 146 с.
19. Мельников В. П., Клейменов С. А., Петраков А. М., Информационная безопасность и защита информации, Издательство: Академия, 2012, 336 с.
20. Емельянова Н., Партыка Т., Попов И., Защита информации в персональном компьютере. Учебное пособие, Издательство: Форум, Инфра-М, 2015, 368 с.
21. Хорев П., Программно-аппаратная защита информации. Учебное пособие, Издательство: Форум, Инфра-М, 2015, 352 с.
22. Рябко Б. Я., Фионов А. Н., Криптографические методы защиты информации, Издательство: Горячая Линия – Телеком, 2012, 230 с.
23. Сергеева Ю. С., Защита информации. Конспект лекций, Издательство: А-Приор, 2011, 128 с.
24. Сердюк В. А., Организация и технологии защиты информации. Обнаружение и предотвращение информационных атак в автоматизированных системах предприятий, Издательство: Высшая Школа Экономики, 2011, 576 с.
25. Сонг Ян, Криптоанализ RSA, Издательство: НИЦ "Регулярная и хаотическая динамика", Институт компьютерных исследований, 2011, 312 с.
26. Осмоловский С., Универсальная защита информации. Прецизионная теория информации, Издательство: Издательский дом фонда "Сталинград", 2014, 266 с.
27. Шаньгин В. Ф., Комплексная защита информации в корпоративных системах, Издательство: Форум, Инфра-М, 2010, 592 с.
28. Шепитько Г. Е., Экономика защиты информации, Издательство: МФЮУ, 2011, 64 с.