Анализ информационной безопасности на предприятии ООО "Вист и Ко"

Адрес: 346500, Ростовская обл., г. Шахты, ул. Горняк,1.

Учредители:  Лантратов Олег Игоревич

Лантратова Наталия Петровна  

Банк: ООО "Дон-Тексбанк" МКБ г. Шахты, р/с 40702810500000000070

Директор: Лантратов Олег Игоревич

Зам. Директора: Лантратова Наталия Петровна

Гл. бухгалтер: Кистина  Елена Александровна

Общество с ограниченной ответственностью "Вист и Ко" имеет следующие структурные подразделения, расположенные по адресу Ростовская обл., г.Шахты, ул. Горняк,1:

• отдел розничной торговли;
• отдел оптовых продаж;
• сервисный центр.

На сегодняшний день ООО "Вист и Ко" ведет активную деятельность по следующим направлениям:

• розничная торговля (компьютерная и оргтехника, расходные материалы, комплектующие, аксессуары);
• ремонт и техническое обслуживание компьютерной и оргтехники;
• набор текстов, распечатки на различных марках принтеров, сканирование, копировально-множительные работы, работа в сети Интернет.

Общество с ограниченной ответственностью "Вист и Ко" имеет широкий круг постоянных клиентов, среди которых наиболее крупными являются ООО «Дон-Тексбанк», ИСОиП (ф) ДГТУ, ЗАО ШЗГШО, ГОУ ЧС, Центр занятости населения. Большой удельный вес в товарообороте компании, который постоянно увеличивается, занимают покупатели, функционирующие на бюджетной основе, различные учебные заведения (средне образовательные, профессиональные лицеи и проч.), а также муниципальные образования.

На рисунке 3 представлена организационная структура управления предприятия ООО «Вист и Ко».

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Рисунок 3 – Организационная структура управления

 

Из данного рисунка выясним, чем занимается каждый участник этой структуры:

Директор занимается управлением, организацией и регулированием работы предприятия. Заместитель директора следит за обслуживанием и за работой торгового отдела. Главный бухгалтер ведет финансовый учет, распределяет доходы внутри предприятия. Администратор торгового отдела следит за продажей и поставкой товара. В обязанности Администратора сервисного центра входит: Прием и выдача оборудования, консультирование клиентов, оповещение клиентов о сроках окончания работ, а так же предварительное согласование стоимости ремонта. Инженер отвечает за безопасность на предприятии. Техник следит за работоспособностью оборудования. Водитель обслуживает покупателей, а так же осуществляет доставку товара от поставщиков. Технический персонал следит за гигиеной помещения.

2.1.1 Техническое оснащение предприятия

В процессе работы на предприятии используются различные технические средства. Все структурные подразделения оснащены компьютерной техникой, которая помогает повысить производительность труда управленческого персонала.

В таблице 1 представлена оснащенность предприятия компьютерной техникой и различными техническими средствами.

Таблица 1 – Оснащенность ООО «Вист и Ко» компьютерной техникой

Наименование технического средства	Количество
Компьютер	8
Принтер	2
Многофункциональное устройство (МФУ)	4
Факс	1
Модем	1

 

На компьютерах, используемых в процессе деятельности предприятия, установлена операционная система «Windows 7», также все компьютеры имеют возможность выхода в глобальную сеть Internet.

Предприятие использует локальную вычислительную сеть, состоящую на данный момент времени из 4 компьютеров, а так же глобальную сеть – Интернет, доступ к которому имеют все компьютеры сети.

На предприятии была организованна одноранговая локальная вычислительная сеть, которая используется небольшой группой сотрудников, работающих на предприятии, с целью:

• сосредоточения хранения информации на одном компьютере;
• облегчения поиска информации, ее обработки;
• обеспечения пользователям сети потенциальную возможность совместного использования ресурсов всех компьютеров;
• использовать специализированные приложения;
• работать с общим устройством – принтером.

Одноранговая архитектура в сети означает отсутствие выделенного сервера, каждая рабочая станция может выполнять функции клиента и сервера, предоставляя другим узлам сети право доступа ко всем или некоторым из имеющихся в их распоряжении локальным ресурсам (файлам, принтерам, программам).

2.1.2 Kaspersky Small Office Security

В качестве программного метода защиты информации используется антивирусная система Kaspersky Small Office Security - это решение для небольших организаций, имеющих собственную локальную компьютерную сеть размером не более десяти компьютеров.

Корпоративный антивирус защищает компьютерную сеть от вирусов и прочих угроз. Kaspersky Small Office Security обеспечивает комплексную защиту персонального компьютера. Комплексная защита включает в себя защиту компьютера, защиту данных и защиту пользователей, а также удаленное управление функциями Kaspersky Small Office Security на компьютерах сети. Для решения задач комплексной защиты в составе решения предусмотрены различные функции и компоненты защиты.

Основные функции Kaspersky Small Office Security:

1. Защита компьютера.

Компоненты защиты Kaspersky Small Office Security предназначены для защиты компьютера от известных и новых угроз, сетевых атак, мошенничества, спама и нежелательной информации. Каждый тип угроз обрабатывается отдельным компонентом защиты. Имеется возможность включать и выключать компоненты защиты независимо друг от друга, а также настраивать их работу.

Программы, в безопасности которых специалисты не уверены, можно запускать в специальной безопасной среде.

Некоторые специфические задачи, которые требуется выполнять эпизодически, а не постоянно, реализуются с помощью дополнительных инструментов и мастеров: например, настройка браузера Microsoft Internet Explorer или устранение следов активности пользователя в системе.

Защиту компьютера в реальном времени обеспечивают следующие компоненты защиты:

• Файловый Антивирус;
• Почтовый Антивирус;
• Веб-Антивирус;
• IM-Антивирус;
• Проактивная защита;
• Контроль программ;
• Сетевой экран;
• Мониторинг сети;
• Защита от сетевых атак;
• Анти-Спам;
• Анти-Фишинг;
• Анти-Баннер;
• Безопасные платежи.

2. Защита информации.

Для защиты данных от утери, несанкционированного доступа или кражи в Kaspersky Small Office Security предназначены функции: резервное копирование, шифрование данных и менеджер паролей.

3. Веб-политики .

Для защиты сотрудников от угроз, связанных с работой на компьютере и в интернете, в Kaspersky Small Office Security предназначены веб-политики.

Веб-политики позволяют установить гибкие ограничения доступа к интернет-ресурсам и программам для разных пользователей компьютера. Кроме того, эта функция позволяет просматривать статистические отчеты о действиях контролируемых пользователей.

4. Центр управления.

Часто сеть включает в себя несколько компьютеров, что затрудняет управление безопасностью. Уязвимость одного компьютера ставит под угрозу всю сеть.

Центр управления Kaspersky Small Office Security позволяет запускать задачи проверки на вирусы и обновления для всей сети или для выбранных компьютеров, управлять резервным копированием данных, а также настраивать веб-политики для всех компьютеров сети непосредственно со своего рабочего места. Таким образом, обеспечивается удаленное управление безопасностью всех компьютеров, входящих в локальную сеть.

2.2 Анализ информационной безопасности  предприятия с помощью программы  КОНДОР

"КОНДОР 2005" – мощная система разработки и управления политикой безопасности информационной системы компании на основе стандарта ISO 17799. Это современный и удобный инструмент для разработки всех основных положений информационной безопасности и управления процессом внедрения этих положений на практике.

Система "КОНДОР 2005" состоит практически из всех положений стандарта ISO 17799, сформулированных в виде вопросов, отвечая на которые специалист получает полную картину: какие в системе положения выполняются, а какие нет. У каждого положения стандарта задан по умолчанию вес, который характеризует степень критичности данного положения для поддержания необходимого уровня защищенности.

Веса, заданные в системе по умолчанию, разработаны экспертами Digital Security. Учитывая, что универсальные значения весов не могут учесть все особенности различных компаний, в программе предусмотрена возможность изменения весов при работе с положениями стандарта. Система анализирует риск невыполнения каждого положения политики безопасности и ранжирует их по степени критичности, что дает возможность определить приоритет планируемых действий.

Результатом работы системы "КОНДОР 2005" является отчет, содержащий все выполненные и не выполненные в компании положения стандарта ISO 17799, анализ эффективности внедрения невыполненных положений, комментарии экспертов.

Для проведения анализа информационной безопасности предприятия ООО «Вист и Ко» ответим на вопросы касающиеся контроля доступа и организационных мер, представленные ПО «Кондор 2005». В итоге результаты тестирования были представлены в виде графика на рисунке 4.

Рисунок 4 – График невыполненных требований и рисков

Верхний график представляет собой группу организационных мер, а нижний – контроля доступа (приложение А).

Таблица 2 – Сводные данные

В результате оценки риска был выявлен его высокий уровень. Выделим наиболее значимые невыполненные меры защиты информационной безопасности в области организационных мер и контроля доступа.

Организационные меры:

1. В организации должны проводиться регулярные совещания руководителей по вопросам обеспечения информационной безопасности.

2. На совещаниях руководителей основных подразделений организации должен обсуждаться ряд обязательных тем:

• выработка специальных методик и политик, связанных с информационной безопасностью: анализ рисков, классификация уровней безопасности;
• обеспечение обратной связи (оценка адекватности принимаемых мер безопасности в существующих системах) и координация внедрения средств обеспечения информационной безопасности в новые системы или сервисы.

3. Должны быть четко определены зоны ответственности каждого владельца ресурса, несущего ответственность за обеспечение его безопасности.

4. Должен быть определен процесс внедрения нового оборудования в информационную систему.

5. При необходимости доступа сторонних организаций к ресурсам организации, нужно оценить риски информационной безопасности, чтобы определить требования к мерам защиты и проверкам.

6. При необходимости доступа сторонних организаций к ресурсам организации, нужно оценить риски информационной безопасности, чтобы определить требования к мерам защиты и проверкам.

7. Соглашение с аутсорсинговыми организациями должно включать следующие требования:

• Принципы обеспечения целостности и конфиденциальности деловой информации организации;
• Положения, описывающие физические и логические проверки, распределяющие или ограничивающие доступ авторизованных пользователей к важной информации;
• Принципы поддержания доступности сервисов в случае инцидентов в области информационной безопасности;
• Уровень физической безопасности, который должен обеспечиваться для оборудования аутсорсинговых организаций.

Контроль доступа.

1. В определении  правил контроля доступа необходимо  учитывать положение "Запрещено все, что не разрешено явно".

2. Доступ в многопользовательской информационной системе должен контролироваться формальными процедурами регистрации пользователей, которые включают: