Файл: Построение модели угроз малого предприятия розничной торговли продуктами питания.pdf

Содержание:

Введение

В настоящее время с широким распространением информационных и коммуникационных технологий особую актуальность приобретают задачи обеспечения защиты информации. Специфика работы с информационными системами связана с наличием ряда рисков, предполагающих возможности утраты, утечки, искажения информации. Информационные ресурсы в настоящее время представляют собой высокоценный актив, обеспечение сохранности которого является залогом успешности функционирования организаций различного рода деятельности. Потери информации с высокой вероятностью могут приводить к простоям в работе сотрудников организаций, что приводит к прямым убыткам, связанным с потерями в клиентской базе, просрочкам в исполнении заказов и подготовке документов и др.

В качестве объектов обрабатываемой информации выступают: финансовые данные, элементы коммерческой тайны, объекты, охраняемые законодательством об авторском праве, а также данные о личной жизни и состоянии здоровья людей. Утечки информации, содержащей коммерческую тайну, могут выступать в качестве причины прямых убытков, вплоть до возникновения угрозы функционированию предприятия.

Цель курсовой работы: построение модели угроз информационной безопасности для предприятия розничной торговли продуктами питания.

Задачи:

- анализ индикаторов обеспечения информационной безопасности;

- анализ угроз информационной безопасности ООО «Едок»;

- определение нарушителя, построение модели угроз;

- анализ инструментов и механизмов обеспечения информационной безопасности ООО «Едок».

Объект исследования – система информационной безопасности ООО «Едок»

Предмет исследования – модель угроз системы безопасности ООО «Едок»

В ходе работы были использованы следующие методы: расчетный, абстрактно-логический, метод сравнения, аналитический, опрос, наблюдения, нормативный.

1. Система безопасности предприятия

1.1 Общая характеристика предметной области

Ведение бизнеса в России связано с решением сложных задач, работой в условиях конкурентной среды. Стремительная компьютеризация различных организаций облегчило взаимодействие между внутренними структурами, оптимизировало процессы, однако открыло возможность для совершения неправомерных действий, нарушающих конфиденциальность информации.

Проблемы обеспечения безопасности возникают перед каждой организацией не только в периоды кризисов, но и при работе в условиях стабильной экономической среды, комплекс решаемых при этом целевых задач имеет существенное различие.

При анализе различных определений термина «безопасность» определяется несколько элементов указанного понятия. Во-первых, безопасность может представляет собой состояние объекта угрозы, объекта опасности. Причем в данном случае оценивается уровень защищенности от опасностей и угроз. Безопасность также может трактоваться как способность объекта (человека, общества) к сохранению своей сущности и основных характеристик в условиях целенаправленных, разрушающих внешних воздействий или угроз, возникающих в самом объекте. В-третьих, безопасность представляет собой свойство системы, построенной на принципах устойчивости, само регуляции, целостности. Безопасность призвана защитить каждое из указанных свойств системы, так как разрушительное воздействие на любое из этих свойств приведет к гибели системы в целом.

Угрозы – потенциально и реально возможные неблагоприятные воздействия к информационным активам, приводящие к неправомерному владению сведениями. В основе угроз лежат как природные, так и человеческие факторы, случайные или преднамеренные. Для обеспечения безопасности должны быть выявлены те источники, которые в первую очередь могут стать объектами неправомерных действий. Классификация угроз представлена на Рисунке 1.

ПО МАСШТАБУ:

Глобальные, региональные, организация

ПО ПРИЧИНЕ:

Преднамеренные, случайные, закономерные, стихийные

ПО ОБЪЕКТАМ:

Персонал, финансы, материальные ценности, информация

УГРОЗЫ

РАСПОЛОЖЕНИЕ ИСТОЧНИКА: Внутреннее, внешнее

ПО ВЕЛИЧИНЕ УЩЕРБА:

Предельный, Значительный, незначительны

ПО ХАРАКТЕРУ УЩЕРБА:

Материальный, моральный

Рисунок 1. Классификация угроз

Каждое предприятие определяет источники угроз безопасности информации, способы их реализации, а также обеспечивает комплексный подход для противодействия несанкционированному доступу.

Статистика основных угроз и основных потерь на предприятии показывает, что 70% угроз исходит от персонала, кассиров, продавцов и поставщиков, 25% - от покупателей и 5% форс-мажорные угрозы.

Процедура построения модели угроз информационной безопасности состоит из нескольких последовательных шагов:

1. Определение источников и объектов угроз;
2. Определение целей угроз со стороны злоумышленников;
3. Выявление способов доступа и реализации угроз:
4. Направления и способы защиты информации;
5. Оценка материального ущерба и других последствий возможной реализации угроз.

При проведении оценки показателей защищенности предприятия необходимо основываться на результатах аудита, проводимого специалистами в области системы безопасности. Основные источники данных для оценки уровня защищённости включают [4]:

- анализ внутренней нормативной документации компании и документов сторонних организаций, определяющих политику в области обеспечения информационной безопасности компании;

- анализ результатов проведения опросов среди сотрудников компании;

- оценку деятельности сотрудников компании;

- анализ инженерной защиты, пожарной безопасности, контроля и наблюдения.

При проведении устных опросов работников компании делается вывод об уровне соответствия оцениваемой деятельности регламентам внутренней нормативной документации.

Анализ существующей политики безопасности и изучение потенциальных источников угроз позволит построить модель угроз предприятия для выявления основных направлений защиты информации.

1.2 Источники угроз и оценка уязвимостей на предприятии

Для построения модели угроз предприятия необходимо полное обследования объекта на предмет общей защищенности. Нужно выявить наиболее важные активы организации, вероятные каналы утечки и возможные угрозы, связанные с активами.

Угроза утечки информации актуальна для предприятий в сфере торговли. Очевидно, что наиболее ценными активами предприятий является информационный документооборот. Это и сведения о поставщиках, оптовых и розничных ценах, информации в области статистики и логистики, информация о финансах организации.

Уязвимость информации в сфере торговли в первую очередь связан с тем, что конкуренты заинтересованы в обладании вышеуказанной информации. Это позволит понять стратегию компании, узнать преимущества и недостатки и поможет вытеснить их с рынка.

Каждое предприятия должно составлять перечень конфиденциальных сведений, к которым относятся: производственная информация, научно-техническая информация, организационные документы, уставы, личные данные сотрудников, данные о рынке, данные о поставщиках, оптовых и розничных ценах, информация о безопасности, программные и технические средства защиты информации.

Приведем классификацию возможных угроз безопасности предприятия розничной торговли (Таблица 1).

Таблица 1

Возможные угроза предприятия

Таким образом, внутренние источники угроз являются наиболее вероятными и часто встречающимися. Основная угроза предприятия – это его сотрудники. В связи с этим, основное внимание должно быть уделено кадровой безопасности, которая включает в себя комплекс мер, связанных с работой, поведением персонала, трудовым отношениям. И эти занимается не только служба безопасности, но и менеджер персонала.

Особыми каналами утраты конфиденциальной информации является сотрудничество и переговоры с другими фирмами, поставщиками, клиентами. Также следует обращать внимания на технические средства шпионажа конкурентов.

Оценка угрозы – это оценка нанесенного ущерба организации. Ущерб делят на материальный, моральный и физический. По степени тяжести последствий делится на: низкую, среднюю, значительную и высокую.

Ущерб предприятия может быть выражен в неполучении прибыли, дополнительных затрат на технику, ПО, ремонт, затраты на корректировку стратегии, поиск новых сотрудников и другие.

1.3 Система безопасности магазина розничной торговли ООО «Едок»

В ходе изучения деятельности ООО «Едок» был проведён анализ системы безопасности, определены возможные и существующие угрозы, составлен комплекс мер по обеспечению защиты информации.

ООО «Едок» - розничное предприятие торговли продуктами питания. Организация не производит товар, а закупает его у крупных поставщиков. Основной целью организации является получение прибыли за счет покупки и перепродажи товара.

Основная деятельность организации:

• Анализ рынка потребителя;
• Закупка товара;
• Поступление товара на склад;
• Продажа.

ООО «Едок» вкладывает часть денежных средств в обеспечение безопасности документооборота и магазина в целом. Система безопасности состоит из инженерно-технической защиты (ИТЗ) и отдела физической охраны и режима.

Объекты защиты информации в ООО «Едок»:

1. Обрабатываемая информация
2. Состав активов предприятия
3. Финансовый поток предприятия
4. Стратегия организации для достижений бизнес-целей
5. Персональные данные
6. Маркетинговые исследования

Система защиты безопасности ООО «Едок» включают:

1. Деятельность службы безопасности (видеонаблюдение, бюро пропусков, пожарная безопасность, защита по периметру)
2. Аппаратно-программные средства защиты

Деятельность Службы Безопасности ООО «Едок» основывается на правовых, юридических и организационных документах предприятия: Закон Российской Федерации «О безопасности", Закон о предприятиях и предпринимательской деятельности, Устав предприятия.

В службу безопасности входит отдел охраны и режима, который обеспечивают охрану здания, организацию и контроль пропускного режима, обеспечивает безопасность в экстремальных условиях (пожар, стихийное бедствие и т.д.). Также осуществляется контроль и охрана перевозок со склада, ежегодные инспекции и обучение персонала.

К отделу информационной безопасности относится группа инженерно-технической защиты. К функциям отдела относятся: блокирование несанкционированного доступа к информации с помощью технических средств, разработка перечня конфиденциальной информации, обеспечение режима допуска, контроль посетителей, расследование нарушений, защита баз данных, создание криптографических и программных средств защиты, обеспечение режима секретности документов.

Рассмотрим динамику количества штатных единиц сотрудников, работающих в области информационной безопасности относительно общей штатной численности компании (Рисунок 2).

Рисунок 2. Динамика количества штатных единиц сотрудников, работающих в области информационной безопасности относительно общей штатной численности компании ООО «Едок»