Введение

В настоящее время в нашей стране идет бурный процесс информатизации практически всех сфер общественной деятельности. Хотя бумажный документооборот все еще преобладает над электронным документооборотом в силу довольно слабой распространенности последнего, объем корпоративных электронных документов удваивается каждые три года.

С развитием вычислительной техники и электронных технологий обработки и передачи информации на расстоянии, а так же согласно федеральным программам, проводимым в России, осуществился переход к электронному документообороту, позволившему автоматизировать многие процессы делопроизводства.

Центр сертификации или удостоверяющий центр - это организация или подразделение организации, которая выпускает сертификаты ключей электронной цифровой подписи, это компонент глобальной службы каталогов, отвечающий за управление криптографическими ключами пользователей . Открытые ключи и другая информация о пользователях хранится удостоверяющими центрами в виде цифровых сертификатов.

Центр регистрации определяется как объект, ответственный за идентификацию и аутентификацию субъекта сертификата, но неспособный подписывать и издавать сертификат . Между центром регистрации и удостоверяющим центром идёт постоянный информационный обмен.

Существует объективная необходимость обеспечения защиты информации как на этапе информационного взаимодействия между центром регистрации и удостоверяющим центром, так и в процессе обработки и хранения информации, внутреннего документооборота центра регистрации.

Объектом исследования является подсистема защиты обособленного подразделения ООО «Центр защиты информации «Гриф». Предметом исследования является качество системы защиты информации подразделения.

В настоящий момент обособленное подразделение ООО «ЦЗИ «Гриф», которое является по своему функциональному назначению центром регистрации, имеет собственную систему безопасности, построенную в соответствии с инструкцией по безопасности, разработанной в соответствии с требованиями основных документов в сфере информационной безопасности. Тем не менее, практический опыт показал, что исходная система безопасности обособленного подразделения имеет ряд недостатков.

Целью данного проекта является разработка подсистемы защиты информации, которая бы более эффективной, чем исходная.

Основными задачами дипломного проекта являются диагностический анализ предприятия ООО «ЦЗИ «Гриф», исследование основных угроз и разработка обобщённой модели системы защиты информации.

1.
Диагностический анализ ООО «ЦЗИ «ГРИФ»

1.1 Общая характеристика ООО «ЦЗИ «Гриф»

Центр защиты информации «Гриф» является организацией, специализирующейся на предоставлении услуг в области информационных технологий и защиты информации. Компания основана в 2008 году и успешно работает на рынке.

Центр защиты информации «Гриф» в соответствии Федеральным законом ФЗ-1 от 10.01.2002 «Об электронной цифровой подписи» предоставляет следующие услуги:

Изготавливает сертификаты ключей подписей;

Создает ключи электронных цифровых подписей по обращению участников информационной системы с гарантией сохранения в тайне закрытого ключа электронной цифровой подписи;

Приостанавливает и возобновляет действие сертификатов ключей подписей, а также аннулирует их;

Ведет реестр сертификатов ключей подписей, обеспечивает его актуальность и возможность свободного доступа к нему участников информационных систем;

Проверяет уникальность открытых ключей электронных цифровых подписей в реестре сертификатов ключей подписей и архиве удостоверяющего центра;

Выдает сертификаты ключей подписей в форме документов на бумажных носителях и (или) в форме электронных документов с информацией об их действии;

Осуществляет по обращениям пользователей сертификатов ключей подписей подтверждение подлинности электронной цифровой подписи в электронном документе в отношении выданных им сертификатов ключей подписей.

Сертификат уполномоченного лица удостоверяющего центра внесен в Единый государственный реестр. Сертификаты и ключи ЭЦП изготавливаются с использованием сертифицированного ФСБ РФ средства криптографической защиты «КриптоПро CSP» и соответствуют государственным стандартам Российской Федерации. Весь обмен информацией с Центром Регистрации Удостоверяющего Центра осуществляется с использованием защищенного протокола TLS с одно и двусторонней аутентификацией.

1.2 Анализ функциональной структуры ООО «ЦЗИ «Гриф»

Анализ функциональной структуры предприятия предполагает анализ процесса функционирования всей системы предприятия, который представляет собой взаимодействие ее элементов, обеспечивающее выполнение намеченных целей в условиях воздействия внешних факторов на основе имеющихся ресурсов.

Под функциональной структурой подразумевается специализация подразделений по отдельным функциям управления на всех уровнях иерархии системы . Такая организация значительно повышает качество управления благодаря специализации руководителей в более узких областях деятельности.

Общая деятельность предприятия представляет собой совокупность деятельности предприятия в различных функциональных областях, которая отражается в процессах.

.2.1 Построение функциональной схемы ООО «ЦЗИ «Гриф»

Функциональная структурная схема предприятия представляет собой результат декомпозиции системы по функциональному принципу.

Рассмотрим основные подсистемы системы управления предприятием. К ним относятся:

Производственная система;

Обеспечивающая система;

Организационно-управленческая система.

Производственная подсистема включает в себя функциональную область по оказанию услуг населению.

Организационно-управленческая подсистема представляет собой второе звено функциональной системы ООО «ЦЗИ «Гриф» и включает в себя области:

Организацию производства;

Организацию обеспечения;

Управление производством;

Управление обеспечением.

Обеспечивающая подсистема ООО «ЦЗИ «Гриф» включает в себя:

Финансового обеспечения;

Информационного обеспечения;

Правового обеспечения;

Кадрового обеспечения;

Обеспечения транспортом, сырьем и материалами.

Таким образом, мы можем рассмотреть функции каждой подсистемы в декомпозиции.

Функциональная структура, представленная таким образом, даёт наглядное представление об иерархической структуре каждой из подсистем, без учёта деления элементов по процессам, происходящим в каждой из представленных областей.

Деление каждой из областей на внутренние процессы необходимо рассматривать в рамках отдельной декомпозиции, которая будет представлена далее. Функциональная структурная схема, построенная на основании проведенного анализа функционирования предприятия, представлена на рисунке 1.1.

Рисунок 1.1 - Функциональная структура ООО «ЦЗИ «Гриф»

1.2.2 Детализация функциональных областей управления

Каждая из функциональных областей управления предприятием предполагает наличие целого ряда внутренних процессов, связанных с ней.

Детализация функциональных областей управления ООО «ЦЗИ «Гриф» помогает раскрыть их внутреннюю структуру.

Для демонстрации взаимосвязи функциональных областей и процессов, вытекающей из анализа, представим информацию в таблице 1.1.

Таблица 1.1 - Таблица взаимосвязи функциональных областей и процессов предприятия

1.3 Анализ организационно-управленческой структуры ООО «ЦЗИ «Гриф»

Организационно-управленческая структура предприятия сформирована таким образом, что обеспечивает:

Оперативное реагирование на изменение рыночной ситуации;

Закрепление каждой функции, реализуемой предприятием, за каким-либо ее структурным подразделением;

Распределение и персонификацию ответственности за организацию и выполнение функций, реализуемых предприятием и принятие управленческих решений в каждой из областей.

Эффективное распределение принятия управленческих решений.

Каждый отдел предприятия является самостоятельным структурным подразделением ООО «ЦЗИ «Гриф». За назначение и увольнение начальников отделов лично отвечает генеральный директор.

Между главами отделов постоянно проводятся совещания, на которых принимается основная часть решений стратегического и тактического характера в рамках каждого отдела. От качества работы каждого отдела зависит качество работы всего предприятия в целом, поэтому к управлению предприятием необходим комплексный подход, который и достигается за счёт распределения ролей по отделам, в соответствии со специализацией каждого, но сохранения централизованной системы управления.

Каждое подразделение несёт ответственность за выполнение определённого круга задач.

Выделяется три уровня системы: верхний, средний и оперативный.

Организационно-управленческая структура предприятия ООО «ЦЗИ «Гриф» отражена на рисунке 1.2

Рисунок 1.2 - Организационно-управленческая структура предприятия ООО «ЦЗИ «Гриф»

К ключевым задачам отдела кадров можно отнести:

Подбор и распределение кадров на предприятии, путём оценки их квалификации и деловых качеств;

Организацию оформления сотрудников в связи с приёмом, увольнением или переводом на другую должность по всем правилам текущего законодательства;

Выдачу справок о трудовой деятельности сотрудников, а также заполнение, ведение и хранение трудовых книжек, ведение учёта документации отдела;

Размещение объявлений и приёме на работу, обработка поступающих резюме, приём соискателей;

Оформление документов и изучение материалов по вопросам нарушения трудовой дисциплины;

Организацию периодических медицинских осмотров и ознакомление новых работников с правилами текущего трудового распорядка предприятия;

Подбор инженеров-технологов, руководителей и служащих и оформление необходимых документов;

Осуществление инструктажа и ознакомления работников с предприятием;

Изучение дел работников, их личных и деловых качеств и предоставление руководству отчётов и рекомендаций по передвижению сотрудников по ступеням иерархии предприятия;

Обеспечение готовности документов в сфере пенсионного страхования и ведение учёта в системе Государственного пенсионного страхования;

Организация табельного учёта и обязательного медицинского страхования сотрудников.

К основным задачам юридического отдела можно отнести:

Обеспечение соответствия деятельности организации требованиям текущего законодательства, защиту правовых интересов предприятия;

Работа с договорами и исками, учёт судебной практики;

Осуществление правовой экспертизы актов организации, нормативно-правовых актов органов местного самоуправления;

Доведение до персонала особенностей текущего законодательства и порядок применения в работе подразделениями организации;

Участие во взаимодействии с правоохранительными органами, а также с органами государственной власти и местного самоуправления;

Разработка и утверждение нормативно-правовых актов внутри организации;

Анализ правовой базы и учёт нормативных актов организации.

Главной задачей отдела снабжения является обеспечение компании всеми необходимыми для ее деятельности материальными ресурсами.

Ключевые задачи финансово-экономического отдела:

Организация финансово-экономической деятельности предприятия и его подразделений;

Обеспечение расстановки в интересах предприятия личного состава бухгалтерских и финансовых служб с учетом их служебной квалификации, опыта, деловых и личных качеств;

Организация работы по обеспечению сохранности денежных средств и финансовой документации;

Организация работы по рассмотрению поступающих от личного состава жалоб и предложений по вопросам финансово-экономической деятельности;

Проведение проверок по фактам финансовых нарушений;

Определение источников и размеров финансовых ресурсов на предприятии.

Основными задачами бухгалтерии являются:

Составление отчётности, объективно отражающей финансовое состояние организации, и её деятельности для внутреннего пользования руководства и других уполномоченных лиц организации, а также, при необходимости, и партнёров;

Анализ и оценка использования внутренних резервов организации;

Выявление незадействованных производственных резервов и их мобилизация с целью последующего эффективного использования;

Предотвращение ситуаций, в которых деятельность организации может приносить убытки и попадать в положение финансовой неустойчивости;

Своевременное предоставление необходимой информации внутренним пользователям бухгалтерской отчётности для проведения различных контрольных мероприятий и осуществления хозяйственных операций с надлежащей эффективностью и целесообразностью.

Таким образом, при данной системе распределения ролей и функций на предприятии, достигается наибольшая эффективность реализации её основной деятельности, связанная с узкой специализацией каждого отдела ООО «ЦЗИ «Гриф».

.4 Анализ целей ООО «ЦЗИ «Гриф»

Цель представляет собой идеальный или реальный предмет сознательного или бессознательного стремления субъекта, финальный результат, на который преднамеренно направлен процесс .

Постановка целей предполагает создание иерархической системы главных целей, которые будут разбиваться на более узкие конкретные цели.

Адекватная постановка целей деятельности позволяет точно выбрать способны и средства их достижения и максимально эффективно их достигнуть.

Для анализа целей предприятия необходимо построить дерево целей на основе имеющейся информации о системе. В данной иерархической системе цели более низкого уровня будут выступать средствами для достижения целей более высокого уровня.

Нам необходимо построить правильную, но простую модель. Для этого следовать будем следующим принципам:

Принципу полноты. Он подразумевает полное достижение цели благодаря достижению подцелей.

Принципу суперпозиции подцелей. Подцели представляются независимыми.

Принципу конечности декомпозиции Алгоритм декомпозиции включает в себя конечное число шагов .

С помощью таблицы 1.2 проиллюстрируем классификацию подцелей.

Исходя из анализа целей предприятия, построим дерево целей, которое показано на рисунке 1.3.

Таблица 1.2 - Анализ целей предприятия ООО «ЦЗИ «Гриф»

Рисунок 1.3 - Дерево целей ООО «ЦЗИ «Гриф»

Таким образом, мы получаем дерево целей, отвечающее заявленным принципам, отражающее структуру целей ООО «ЦЗИ «Гриф».

.5 Выявление проблемных ситуаций ООО «ЦЗИ «Гриф»

Эффективность процесса управления предприятием во многом зависит от того, насколько хорошо выявляются проблемные ситуации в процессе производства и насколько оперативное и качественное решение принимается после выявления. Каждое предприятие необходимо рассматривать, учитывая специфику его работы.

При возникновении проблемы - ситуации расхождения между желаемым и реальным состоянием системы - применяется комплекс мер по преодолению такой ситуации .

Наиболее оптимальным признаётся комплексный подход решения проблемных ситуаций. При таком подходе важно правильно сформулировать ряд проблем и взаимосвязей между ними и решать не каждую проблему в отдельности, а группу проблем на том или ином уровне иерархии системы.

Для поэтапного рассмотрения проблемных ситуаций рассматривается каждый из уровней системы предприятия .

Любая из возможных ситуаций рассматривается на предмет расхождения между желаемым и действительным, а затем, выбирается метод решения, наиболее подходящий для разрешения данной ситуации.

Применительно к анализу ООО «ЦЗИ «Гриф», в качестве проблем будут, прежде всего, рассматриваться ситуации, при которых достижение подцелей может оказаться невозможным или затруднительным, что, в свою очередь, может помешать достижению ключевой цели организации.

Для представления возможных путей решения проблемных ситуаций предприятия сформируем перечень возможных проблем.

Анализ проблемных ситуаций ООО «ЦЗИ «Гриф» отражён в таблице 1.3.

Таблица 1.3 - Анализ проблемных ситуаций ООО «ЦЗИ «Гриф»

Таким образом, из составленной таблицы видно, что значительная часть проблем организации связана с обработкой, хранением, систематизацией и использованием информации различного рода, на различных уровнях.

Проблема хищения информации будет решена в процессе разработки данного проекта путём анализа имеющейся системы защиты информации, выявления недостатков этой системы и разработки новой, модифицированной системы защиты информации.

2. Анализ подсистемы проверки целостности и аутентичности информации ООО «ЦЗИ «Гриф»

Важными инструментами безопасности являются процедуры, позволяющие убедиться в целости и аутентичности данных. Проанализируем подсистему проверки целостности и аутентичности информации ООО «ЦЗИ «Гриф».

Способ, позволяющий шифровать сообщения, обмениваясь ключами по открытым каналам связи, был придуман в середине 70-х годов прошлого столетия, а в начале восьмидесятых появился первый реализующий его алгоритм - rsa. Теперь пользователь может сгенерировать два связанных между собой ключа - ключевую пару . Один из этих ключей по несекретным каналам рассылается всем, с кем пользователь хотел бы обмениваться конфиденциальными сообщениями. Этот ключ называют открытым (англ. public key). Зная открытый ключ пользователя, можно зашифровать адресованное ему сообщение, но расшифровать его позволяет лишь вторая часть ключевой пары - закрытый ключ (private key). При этом открытый ключ не дает возможности вычислить закрытый: такая задача, хоть и разрешима в принципе, но при достаточно большом размере ключа требует многих лет машинного времени. Для сохранения конфиденциальности получателю необходимо лишь хранить в строгом секрете свой закрытый ключ, а отправителю - убедиться, что имеющийся у него открытый ключ действительно принадлежит адресату .

Так как для шифрования и расшифровки используются различные ключи, алгоритмы такого рода назвали асимметричными. Наиболее существенным их недостатком является низкая производительность - они примерно в 100 раз медленнее симметричных алгоритмов . Поэтому были созданы криптографические схемы, использующие преимущества как симметричных, так и асимметричных алгоритмов:

Для шифрования файла или сообщения используется быстрый симметричный алгоритм, причем ключ шифрования генерируется случайным образом с обеспечением приемлемых статистических свойств;

Небольшой по размерам симметричный ключ шифрования шифруется при помощи асимметричного алгоритма с использованием открытого ключа адресата и в зашифрованном виде пересылается вместе с сообщением;

Получив сообщение, адресат своим закрытым ключом расшифровывает симметричный ключ, а с его помощью - и само сообщение.

Чтобы избежать шифрования всего сообщения при помощи асимметричных алгоритмов, используют хеширование: вычисляется хеш-значение исходного сообщения, и только эта короткая последовательность байтов шифруется закрытым ключом отправителя. Результат представляет собой электронную цифровую подпись . Добавление такой подписи к сообщению позволяет установить:

Аутентичность сообщения - создать подпись на основе закрытого ключа мог только его хозяин;

Целостность данных - вычислить хеш-значение полученного сообщения и сравнить его с тем, которое хранится в подписи: если значения совпадают, значит, сообщение не было изменено злоумышленником после того, как отправитель его подписал.

Таким образом, асимметричные алгоритмы позволяют решить две задачи: обмена ключами шифрования по открытым каналам связи и подписи сообщения. Чтобы воспользоваться этими возможностями, нужно сгенерировать и сохранить две ключевые пары - для обмена ключами и для подписей. В этом нам поможет CryptoAPI.

Каждый криптопровайдер располагает базой данных, в которой хранятся долговременные ключи пользователей. База данных содержит один или более контейнеров ключей . Пользователь может создать несколько контейнеров с различными именами (именем контейнера по умолчанию является имя пользователя в системе).

Подключение к контейнеру производится одновременно с получением контекста криптопровайдера при вызове функции cryptacquirecontext - имя контейнера ключей передается функции вторым ее аргументом. Если второй аргумент содержит пустой указатель (nil), то используется имя по умолчанию, то есть имя пользователя. В том случае, если доступ к контейнеру не нужен, можно передать в последнем аргументе функции флаг crypt_verifycontext; при необходимости создать новый контейнер используется флаг crypt_newkeyset; а для удаления существующего контейнера вместе с хранящимися в нем ключами - crypt_deletekeyset.

Каждый контейнер может содержать, как минимум, две ключевые пары - ключ обмена ключами и ключ подписи. Ключи, используемые для шифрования симметричными алгоритмами, не сохраняются .

После создания контейнера ключей необходимо сгенерировать ключевые пары обмена ключами и подписи. Эту работу в CryptoAPI выполняет функция cryptgenkey (провайдер, алгоритм, флаги, ключ):

Провайдер - дескриптор криптопровайдера, полученный в результате обращения к функции cryptacquirecontext;

Алгоритм - указывает, какому алгоритму шифрования будет соответствовать создаваемый ключ. Информация об алгоритме, таким образом, является частью описания ключа. Каждый криптопровайдер использует для обмена ключами и подписи строго определенные алгоритмы. Так, провайдеры типа prov_rsa_full, к которым относится и microsoft base cryptographic provider, реализуют алгоритм rsa;

Флаги - при создании асимметричных ключей управляет их размером. Используемый нами криптопровайдер позволяет генерировать ключ обмена ключами длиной от 384 до 512 бит, а ключ подписи - от 512 до 16384 бит. Чем больше длина ключа, тем выше его надежность, поэтому не рекомендуется для использования ключ обмена ключами длиной менее 512 бит, а длину ключа подписи не рекомендуется делать меньше 1024 бит. По умолчанию криптопровайдер создает оба ключа длиной 512 бит . Необходимую длину ключа можно передать в старшем слове параметра флаги:

Ключ - в случае успешного завершения функции в этот параметр заносится дескриптор созданного ключа.

В поле "Контейнер" можно указать имя контейнера ключей; если оставить это поле пустым, будет использован контейнер по умолчанию. После генерации ключа в memo-поле выводится отчет о его параметрах. Для этого используется функция cryptgetkeyparam (ключ, параметр, буфер, размер, флаги). Чтобы получить информацию о требуемом параметре, нужно через второй аргумент функции передать соответствующую константу: kp_algid - идентификатор алгоритма, kp_keylen - размер ключа, и т. д.

procedure tgenerateform.okbtnclick(sender: tobject); cont: pchar; : string; : hcryptprov; , signkey: hcryptkey;

flag, keylen: dword;

{считываем имя контейнера} length(containeredit.text) = 0 cont:= nil:= containeredit.text; := stralloc(length(err) + 1); (cont, err); ; (@hprov, cont, nil, prov_rsa_full, 0);

{генерация ключа обмена ключами (key exchange key)} kekcheckbox.checked then

{считываем длину ключа и помещаем ее в

старшее слово параметра ФЛАГИ} := strtoint(keyexchlenedit.text);

flag:= keylen shl 16; not cryptgenkey(hprov, at_keyexchange, flag, @keyexchkey) then

{обработка ошибок}.lines.add(""); .lines.add("Создан ключ обмена ключами:"); := 4; not cryptgetkeyparam(keyexchkey, kp_keylen, @keylen, @flag, 0) then

{обработка ошибок}reportmemo.lines.add(" длина ключа - " + inttostr(keylen)); := 4; not cryptgetkeyparam(keyexchkey, kp_algid, @keylen, @flag, 0) then

{обработка ошибок}reportmemo.lines.add(" алгоритм - " + algidtostr(keylen));

{функция algidtostr здесь не приводится. Она состоит из единственного

оператора case, отображающего целый идентификатор алгоритма в строку}

{генерация ключа подписи (signature key)} skcheckbox.checked then

{выполняется аналогично генерации ключа обмена ключами};

cryptreleasecontext(hprov, 0);

При экспорте данные ключа сохраняются в одном из трех возможных форматов:

Publickeyblob - используется для сохранения открытых ключей. Поскольку открытые ключи не являются секретными, они сохраняются в незашифрованном виде;

Privatekeyblob - используется для сохранения ключевой пары целиком (открытого и закрытого ключей). Эти данные являются в высшей степени секретными, поэтому сохраняются в зашифрованном виде, причем для шифрования используется сеансовый ключ (и, соответственно, симметричный алгоритм);

Simpleblob - используется для сохранения сеансовых ключей. Для обеспечения секретности данные ключа шифруются с использованием открытого ключа получателя сообщения.

Экспорт ключей в CryptoAPI выполняется функцией cryptexportkey (экспортируемый ключ, ключ адресата, формат, флаги, буфер, размер буфера):

Экспортируемый ключ - дескриптор нужного ключа;

Ключ адресата - в случае сохранения открытого ключа должен быть равен нулю (данные не шифруются);

Формат - указывается один из возможных форматов экспорта (publickeyblob, privatekeyblob, simpleblob);

Флаги - зарезервирован на будущее (должен быть равен нулю);

Буфер - содержит адрес буфера, в который будет записан ключевой blob (binary large object - большой двоичный объект);

Размер буфера - при вызове функции в этой переменной должен находиться доступный размер буфера, а по окончании работы в нее записывается количество экспортируемых данных. Если размер буфера заранее не известен, то функцию нужно вызвать с параметром буфер, равным пустому указателю, тогда размер буфера будет вычислен и занесен в переменную размер буфера.

Экспорт ключевой пары целиком, включая и закрытый ключ, может понадобиться для того, чтобы иметь возможность подписывать документы на различных компьютерах (например, дома и на работе), или для сохранения страховочной копии. В этом случае нужно создать ключ шифрования на основании пароля и передать дескриптор этого ключа в качестве второго параметра функции cryptexportkey.

Запросить у криптопровайдера дескриптор самого экспортируемого ключа позволяет функция cryptgetuserkey (провайдер, описание ключа, дескриптор ключа). Описание ключа - это либо at_keyexchange, либо at_signature.

texportform.okbtnclick(sender: tobject); cont: pchar; : string; : hcryptprov; , expkey: hcryptkey; : pbyte; : dword; : file;

hash: hcrypthash;

{если ни один ключ не выбран - выход}

if not (kekcheckbox.checked or skcheckbox.checked) then exit;

{если нужен пароль, т.е. экспортируется ключевая пара целиком}

if passwedit.enabled and (passwedit.text <> passw2edit.text) then

begin ("Ошибка при вводе пароля! Повторите ввод.", mterror, ., 0); ; ;

"считываем" имя контейнера и подключаемся к криптопровайдеру

если нужен ключ шифрования - создаем его на основании пароля

{ключ обмена ключами} kekcheckbox.checked then

{получаем дескриптор ключа} (hprov, at_keyexchange, @key);

{определяем размер буфера для экспорта ключа}

if (whatradiogroup.itemindex = 0) then (key, 0, publickeyblob, 0, nil, @buflen) cryptexportkey(key, expkey, privatekeyblob, 0, nil, @buflen); (pbuf, buflen);

{экспортируем данные} (whatradiogroup.itemindex = 0) then (key, 0, publickeyblob, 0, pbuf, @buflen) cryptexportkey(key, expkey, privatekeyblob, 0, pbuf, @buflen);

{освобождаем дескриптор ключа обмена ключами

(сам ключ при этом не уничтожается)} (key); .title:= "Укажите файл для сохранения ключа обмена ключами";

if savedialog1.execute then (f, savedialog1.filename); (f, 1); (f, pbuf^, buflen); (f); ("Ключ обмена ключами успешно сохранен", mtinformation, ., 0); ; true; {keyexchange}

{ключ подписи} skcheckbox.checked then

{аналогично ключу обмена ключами}

until true; {signature}

если создавался ключ на основании пароля - уничтожаем его,

после чего освобождаем контекст криптопровайдера

Экспортированные таким образом открытые части ключей необходимы для проверки подписи и расшифровки сеансового ключа.

Импорт ключевых пар во вновь созданный контейнер является отдельной процедурой. Необходимо запросить у пользователя название контейнера и пароль, подключиться к провайдеру, создать на основании пароля ключ, считать из файла импортируемые данные в буфер, после чего воспользоваться функцией cryptimportkey (провайдер, буфер, длина буфера, ключ для расшифровки, флаги, импортируемый ключ). При необходимости обеспечить возможность экспорта импортируемой ключевой пары впоследствии в параметре флаги необходимо передать значение crypt_exportable, иначе случае вызов для данной ключевой пары функции cryptexportkey приводит к ошибке.

Выводы

1. Проведён поэтапный анализ ООО «ЦЗИ «Гриф».

2. В результате анализа функциональной структуры построена функциональная модель предприятия.

Выявлены основные цели, стоящие перед предприятием, и способы их достижения. Построено дерево целей.

Выявлены основные проблемные ситуации и определены методы их разрешения.

Выбрана проблемная ситуация для решения в дипломном проекте.

Выявлены основные задачи, стоящие перед организацией и расставлены приоритеты в решении задач. Анализ показал целесообразность и необходимость решения задачи, рассматриваемой в данной работе.

2.
Анализ угроз информационной безопасности обособленного подразделения ООО «ЦЗИ «ГРИФ»

.1 Анализ специфики информационных процессов в инфраструктуре открытых ключей (PKI)

Основным функциональным назначением рассматриваемого обособленного подразделения ООО «ЦЗИ «Гриф» является функция центра регистрации. Центр регистрации является одним из важнейших конечных компонентов инфраструктуры открытых ключей.

Для того чтобы определить основные угрозы безопасности обособленного подразделения, необходимо рассмотреть подразделение в качестве элемента системы, с которой оно ведёт активное взаимодействие.

Инфраструктура открытых ключей представляет собой комплексную систему, сервисы которой реализуются и предоставляются с использованием технологии открытых ключей. Цель PKI состоит в управлении ключами и сертификатами, посредством которого корпорация может поддерживать надежную сетевую среду . PKI позволяет использовать сервисы шифрования и выработки цифровой подписи согласованно с широким кругом приложений, функционирующих в среде открытых ключей.

Основными компонентами PKI являются:

Удостоверяющий центр;

Регистрационный центр;

Репозиторий сертификатов;

Архив сертификатов;

Конечные субъекты (пользователи).

Взаимодействие компонентов PKI иллюстрирует рисунок 1.1. В составе PKI функционируют подсистемы выпуска и аннулирования сертификатов, создания резервных копий и восстановления ключей, выполнения криптографических операций, управления жизненным циклом сертификатов и ключей. Клиентское программное обеспечение пользователей взаимодействует со всеми этими подсистемами.

Фундаментальная предпосылка криптографии с открытыми ключами заключалась в том, что два незнакомых субъекта должны иметь возможность безопасно связываться друг с другом. Например, если пользователь А желает отправить конфиденциальное сообщение пользователю В, с которым он ранее не встречался, то для шифрования сообщения он должен иметь возможность связать каким-либо образом пользователя В и его открытый ключ . Для сообщества потенциальных пользователей, объединяющего сотни тысяч или миллионов субъектов, наиболее практичным способом связывания открытых ключей и их владельцев является организация доверенных центров. Этим центрам большая часть сообщества или, возможно, все сообщество доверяет выполнение функций связывания ключей и идентификационных данных (идентичности) пользователей.

Такие доверенные центры в терминологии PKI называются удостоверяющими (УЦ); они сертифицируют связывание пары ключей с идентичностью, заверяя цифровой подписью структуру данных, которая содержит некоторое представление идентичности и соответствующего открытого ключа. Эта структура данных называется сертификатом открытого ключа (или просто сертификатом). Сертификат представляет собой некое зарегистрированное удостоверение, которое хранится в цифровом формате и признается сообществом пользователей PKI законным и надежным . Для верификации электронного сертификата используется электронная цифровая подпись УЦ - в этом смысле удостоверяющий центр уподобляется нотариальной конторе, так как подтверждает подлинность сторон, участвующих в обмене электронными сообщениями или документами.

Хотя УЦ не всегда входит в состав PKI (особенно небольших инфраструктур или тех, которые оперируют в закрытых средах, где пользователи могут сами эффективно выполнять функции управления сертификатами), он является критически важным компонентом многих крупномасштабных PKI. Непосредственное использование открытых ключей требует дополнительной их защиты и идентификации для установления связи с секретным ключом. Без такой дополнительной защиты злоумышленник может выдавать себя как за отправителя подписанных данных, так и за получателя зашифрованных данных, заменив значение открытого ключа или нарушив его идентификацию. Все это приводит к необходимости проверки подлинности - верификации открытого ключа..

Удостоверяющий центр объединяет людей, процессы, программные и аппаратные средства, вовлеченные в безопасное связывание имен пользователей и их открытых ключей. Удостоверяющий центр известен субъектам PKI по двум атрибутам: названию и открытому ключу. УЦ включает свое имя в каждый выпущенный им сертификат и в список аннулированных сертификатов (САС) и подписывает их при помощи собственного секретного ключа. Пользователи могут легко идентифицировать сертификаты по имени УЦ и убедиться в их подлинности, используя его открытый ключ.

Регистрационный центр (ЦР) является необязательным компонентом PKI. Обычно ЦР получает от удостоверяющего центра полномочия регистрировать пользователей, обеспечивать их взаимодействие с УЦ и проверять информацию, которая заносится в сертификат . Сертификат может содержать информацию, которая предоставлена субъектом, подающим заявку на сертификат и предъявляющим документ (паспорт, водительские права, чековую книжку и т.п.) или третьей стороной (например, кредитным агентством - о кредитном лимите пластиковой карты). Иногда в сертификат включается информация из отдела кадров или данные, характеризующие полномочия субъекта в компании (например, право подписи документов определенной категории). ЦР агрегирует эту информацию и предоставляет ее УЦ.

УЦ может работать с несколькими регистрационными центрами, в этом случае он поддерживает список аккредитованных регистрационных центров, то есть тех, которые признаны надежными. УЦ выдает сертификат РЦ и отличает его по имени и открытому ключу. ЦР выступает как объект, подчиненный УЦ, и должен адекватно защищать свой секретный ключ. Проверяя подпись ЦР на сообщении или документе, УЦ полагается на надежность предоставленной ЦР информации.

ЦР объединяет комплекс программного и аппаратного обеспечения и людей, работающих на нем. В функции ЦР может входить генерация и архивирование ключей, уведомление об аннулировании сертификатов, публикация сертификатов и САС в каталоге LDAP и др. Но ЦР не имеет полномочий выпускать сертификаты и списки аннулированных сертификатов. Иногда УЦ сам выполняет функции ЦР.

Репозиторий - специальный объект инфраструктуры открытых ключей, база данных, в которой хранится реестр сертификатов (термин «реестр сертификатов ключей подписей» введен в практику Законом РФ «Об электронной цифровой подписи»). Репозиторий значительно упрощает управление системой и доступ к ресурсам . Он предоставляет информацию о статусе сертификатов, обеспечивает хранение и распространение сертификатов и САС, управляет внесениями изменений в сертификаты. К репозиторию предъявляются следующие требования:

Простота и стандартность доступа;

Регулярность обновления информации;

Встроенная защищенность;

Простота управления;

Совместимость с другими хранилищами (необязательное требование).

Репозиторий обычно размещается на сервере каталогов, организованных в соответствии с международным стандартом X.500 и его подмножеством. Большинство серверов каталогов и прикладное программное обеспечение пользователей поддерживают упрощенный протокол доступа к каталогам LDAP (Lightweight Directory Access Protocol). Такой унифицированный подход позволяет обеспечивать функциональную совместимость приложений PKI и дает возможность доверяющим сторонам получать информацию о статусе сертификатов для верификации цифровых подписей.

На архив сертификатов возлагается функция долговременного хранения и защиты информации обо всех изданных сертификатах. Архив поддерживает базу данных, используемую при возникновении споров по поводу надежности электронных цифровых подписей, которыми в прошлом заверялись документы. Архив подтверждает качество информации в момент ее получения и обеспечивает целостность данных во время хранения. Информация, предоставляемая УЦ архиву, должна быть достаточной для определения статуса сертификатов и их издателя. Архив должен быть защищен соответствующими техническими средствами и процедурами. Конечные субъекты, или пользователи, PKI делятся на две категории: владельцы сертификатов и доверяющие стороны . Они используют некоторые сервисы и функции PKI, чтобы получить сертификаты или проверить сертификаты других субъектов. Владельцем сертификата может быть физическое или юридическое лицо, приложение, сервер и т.д. Доверяющие стороны запрашивают и полагаются на информацию о статусе сертификатов и открытых ключах подписи своих партнеров по деловому общению.

Представленная в данном подразделе информация позволяет нам продолжить декомпозицию по информационным процессам, происходящим в рассматриваемой системе.

Таким образом, можно сказать, что от безопасности обособленного подразделения во многом зависит безопасность общей системы инфраструктуры открытых ключей, в которую обособленное подразделение входит в качестве центра регистрации.

2.2 Анализ информационного обмена между обособленным подразделением и удостоверяющим центром

Между обособленным подразделением, которое будем далее называть центром регистрации (ЦР), и удостоверяющим центром (УЦ) происходит активный информационный обмен в процессе оказания услуг. В этот информационный обмен неизбежно вовлекается и конечный пользователь услуг предприятия.

Действия УЦ ограничены политикой применения сертификатов (ППС), которая определяет назначение и содержание сертификатов. УЦ выполняет адекватную защиту своего секретного ключа и открыто публикует свою политику, чтобы пользователи могли ознакомиться с назначением и правилами использования сертификатов. Ознакомившись с политикой применения сертификатов и решив, что доверяют УЦ и его деловым операциям, пользователи могут полагаться на сертификаты, выпущенные этим центром. Таким образом, в PKI удостоверяющие центры выступают как доверенная третья сторона.

Удостоверяющий центр доверяет регистрационному центру проверку информации о субъекте. Регистрационный центр, проверив правильность информации, подписывает её своим ключом и передаёт удостоверяющему центру, который, проверив ключ регистрационного центра, выписывает сертификат.

ЦР обеспечивает принятие, предварительную обработку внешних запросов на создание сертификатов или на изменение статуса уже действующих сертификатов.

ЦР обеспечивает:

Разграничение доступа к элементам управления ЦР на основе состава представленного Администратором взаимодействия с пользователем собственного электронного сертификата, определяющего ролевую принадлежность администратора и уровня полномочий.

2. Получение и обработку запроса от Администраторов взаимодействия с пользователями на выпуск сертификата или изменение статуса уже выпущенного сертификата с последующей передачей запроса в ЦС.

Хранение заверенных запросов и журналов событий в течение установленного срока, предусмотренного регламентом работы системы, в составе которой функционирует УЦ.

Резервное копирование на внешние носители локального архива.

Выполнение функций администрирования ЦР.

Политика безопасности ЦР предполагает обработку в ЦР запроса в формате PKCS#10. Область действия - запрос на создание электронного сертификата с локально (внешне, по отношению к УЦ) формированием ключевой пары. Срок действия сертификатов, созданных с помощью данного вида запросов, определен в конфигурации УЦ. На основе технологии данного вида запроса (в зависимости от конфигурации и принятой политики безопасности) в УЦ считаться допустимыми могут следующие разновидности:

Запрос сформирован не зарегистрированным ранее пользователем. Особенностью формата PKCS#10 является то, что запрос на формирование сертификата подписывается на закрытом ключе, соответствующий открытый ключ которого еще не зарегистрирован в системе и на него еще не выпущен сертификат. Поэтому для ЦР запрос является анонимным, фиксируется лишь тот факт, что составитель запроса владеет закрытым ключом и для соответствующего ему открытого ключа запрашивает выпустить заверенный в УЦ сертификат. Подобного рода запросы непосредственно не рекомендуются к обработке в ЦР.

2. Запрос сформирован как переиздание уже существующего, действующего на данный момент времени сертификата. Запрос упаковывается в оболочку CMC (RFC 2797). Техническая реализация позволяет сформировать такого вида запрос, не предоставляя пользователю возможности внести изменения в состав сертификата, причем контроль ведется как на абонентском пункте, так и на программном уровне в ЦР. Недостатком данного вида запросов является отсутствие контроля над числом самостоятельно выпущенных сертификатов пользователя.

Запрос сформирован на основе созданного ранее специального регистрационного сертификата (содержится специальное расширение, ограничивающее область применения только регистрационными процедурами). Запрос упаковывается в оболочку CMC (RFC 2797) с подписью на закрытом ключе регистрационного сертификата. Техническая реализация обеспечивает одноразовое использование регистрационных сертификатов.

Запрос создан самим пользователем и доставлен в службу Администраторов взаимодействия с пользователями (нет непосредственной доставки запроса в ЦР). Предварительно подобный запрос должен быть проверен на предмет истинности указанной информации и упакован в CMS за подписью Администратора взаимодействия с пользователями имеющего полномочия по выпуску сертификатов. Таким же способом могут быть приняты запросы и в режиме переиздания для собственных или регистрационных сертификатов.

Процесс взаимодействия ЦР и УЦ при обслуживании клиента оператором ЦР показан на рисунке 2.2.

информационный обмен аутентичность защита

2.3 Анализ подсистемы обмена зашифрованными сообщениями

Одним из ключевых компонентов системы защиты информации обособленного подразделения можно считать компонент шифрования. Данный компонент мы рассмотрим подробно и представим в виде модели.

Асимметричные алгоритмы позволяют легко обменяться ключами шифрования по открытому каналу связи, но работают слишком медленно.

Симметричные алгоритмы работают быстро, но для обмена ключами требуют наличия защищенного канала связи и нуждаются в частой смене ключей. Поэтому в современных криптосистемах используются сильные стороны обоих подходов.

Так, для шифрования сообщения используется симметричный алгоритм со случайным ключом шифрования, действующим только в пределах одного сеанса сеансовым ключом.

Чтобы впоследствии сообщение могло быть расшифровано, сеансовый ключ подвергается шифрованию асимметричным алгоритмом с использованием открытого ключа получателя сообщения. Зашифрованный таким образом сеансовый ключ сохраняется вместе с сообщением, образуя цифровой конверт. При необходимости цифровой конверт может содержать сеансовый ключ в нескольких экземплярах - зашифрованный открытыми ключами различных получателей .

Для создания электронной цифровой подписи необходимо вычислить хеш заданного файла и зашифровать этот «цифровой отпечаток сообщения» своим закрытым ключом - «подписать». Чтобы подпись впоследствии можно было проверить, необходимо указать, какой алгоритм хеширования использовался при ее создании. Листинг программы приведён в приложении А.

2.4 Анализ основных типов угроз информационной безопасности обособленного подразделения

На основе полученных сведений можно проанализировать основные типы угроз безопасности защищаемой информации обособленного подразделения на различных этапах информационного процесса.

На этапе хранения необработанных документов на бумажных носителях мы сталкиваемся с угрозой утери персональных данных. Документы могут быть потеряны либо украдены злоумышленником.

В центре регистрации:

Отсутствует система документооборота;

Не ведётся учёт документов, содержащих персональные данные;

Не предусмотрены меры ограничения доступа к документам.

За этапом хранения бумажной информации следует этап оцифровки имеющихся данных.

Этап оцифровки предполагает некоторую дополнительную обработку документов:

Присвоение заявлениям регистрационного номера;

Процесс регистрации заявителя в системе удостоверяющего центра посредством подачи заявки на регистрацию с внесёнными идентификационными данными;

Сканирование документов, именование сканов в соответствии с регистрационными номерами.

Хранение данных на бумажных носителях;

Хранение данных на жёстком диске.

На данном этапе актуальны следующие угрозы:

Угроза несанкционированного доступа к защищаемой информации, в том числе и с помощью программных закладок, вирусов;

Угроза копирования защищаемой информации;

Угроза модификации защищаемой информации;

Угроза утери, хищения защищаемой информации.

После этого избыточные данные на бумажных носителях - черновики, лишние копии заявлений, содержащие персональные данные - выбрасывают. Здесь мы сталкиваемся с тем, что образуется вещественный канал утечки информации и появляется угроза получения персональных данных злоумышленником, так как не предусмотрена технология уничтожения бумажных носителей.

Следует также заметить, что порядок уничтожения данных, имеющихся на жёстком диске, после выкладывания их на сервер УЦ, не определён.

Документооборот между ЦР и УЦ осуществляется двумя способами:

Посредством почтовых отправлений;

На данном этапе актуальны следующие типы угроз:

Угроза перехвата и модификации защищаемой информации при передаче по сети Интернет;

Угроза подмены сервера УЦ злоумышленником для получения конфиденциальной информации.

Данный перечень угроз безопасности не является полным, но в нём отражены наиболее актуальные угрозы, с которыми приходится сталкиваться в процессе функционирования центра регистрации.

После построения модели угроз информационной безопасности центра регистрации, становится возможной разработка улучшенной модели системы защиты информации обособленного подразделения ООО «ЦЗИ «Гриф».

Выводы

1. Проведено исследование специфики информационных процессов в инфраструктуре открытых ключей, компонентом которой по функциональному назначению является обособленное подразделение.

Выявлены основные процессы, происходящие между обособленным подразделением и системой более высокого уровня, которые могут подвергаться угрозам.

3. Детально описан один из ключевых процессов, затрагивающих генерацию конфиденциальной информации - процесс обслуживания клиента оператором ЦР.

Проведён поэтапный анализ информационных процессов внутри обособленного подразделения.

5. На основе анализа построена модель угроз информационной безопасности центра регистрации.

Таким образом, на основе анализа информационных процессов во внутренней системе обособленного подразделения ООО «ЦЗИ «Гриф», а также анализа процессов взаимодействия обособленного подразделения как элемента системы более высокого порядка, был выявлен перечень актуальных угроз информационной безопасности и построена модель угроз.

.
Разработка улучшенной модели подсистемы защиты информации обособленного подразделения

.1 Построение исходной подсистемы защиты информации обособленного подразделения

Для того чтобы проанализировать модель системы защиты обособленного подразделения, прежде всего, нужно построить модель канала передачи информации с момента приёма документов у клиента до момента передачи защищаемой информации в удостоверяющий центр.

Диаграмма деятельности UML информационных процессов центра регистрации представлена на рисунке 3.1.

Рисунок 3.1 - Диаграмма деятельности UML информационных процессов центра регистрации

Начальными этапами работы с принятыми документами являются этапы хранения и обработки данных. В результате обработки лишние персональные данные уничтожаются, документы сканируются, т.е. дублируются в цифровом виде и снова хранятся до момента передачи в удостоверяющий центр.

1. На этапах хранения документов на бумажных носителях не предусмотрены конкретные меры защиты, учёта, классификации информации.

2. На этапах обработки и хранения информации на жёстком диске предусмотрены следующие меры защиты:

Вход в систему по паролю;

Наличие антивирусного программного обеспечения;

Подписывание изображений с помощью ЭЦП уполномоченного лица ЦР перед последующим выкладыванием их на сервер.

3. На этапе выкладывания на сервер изображений предусмотрены следующие меры защиты:

Для организации защищенного канала передачи данных УЦ и ЦР и аутентификации используются: АПКШ «Континент», СКЗИ КриптоПро CSP и протокол КриптоПро TLS.

Существует необходимость разработать модель подсистемы безопасности центра регистрации. Для того чтобы защита была комплексной, подсистема безопасности должна функционировать на всех уровнях системы и на всех этапах информационных процессов, происходящих в обособленном подразделении ООО «ЦЗИ «Гриф». При таком подходе можно будет предотвратить реализацию угроз информационной безопасности на всех этапах информационного обмена и проконтролировать эффективность подсистемы безопасности.

Для дальнейшей разработки подсистемы безопасности необходимо построить первичную модель, на основе которой будет строиться новая подсистема безопасности.

Модель существующей на данный момент системы защиты информации обособленного подразделения представлена на рисунке 3.2.

3.2 Разработка улучшенной модели подсистемы защиты центра регистрации

Проанализировав существующую модель системы защиты информации ЦР и основные угрозы безопасности, было выявлено, что в модель защиты нужно внести изменения.

Каждому этапу информационного процесса, происходящего в рассматриваемой системе, соответствует ряд мер, обеспечивающих информационную безопасность.

На этапе хранения необработанных документов на бумажных носителях мы сталкиваемся с угрозой утери и несанкционированного доступа к персональным данным.

Для данного этапа предлагается:

Ограничить доступ к персональным данным посредством опечатывания двери и контроля посещения помещения, в котором хранятся персональные данные;

Установить сигнализацию и заключить договор пультовой охраны с вневедомственными органами;

Организовать отдел документооборота для центра регистрации, вести учёт перемещения принятых документов в журналах.

Данные организационные меры защиты позволяют одновременно контролировать персональные данные и на этапе хранения уже обработанных документов.

На этапе оцифровки и хранения информации степень защиты признана достаточной для того, чтобы защитить персональные данные и при этом не снижать эффективность функционирования центра регистрации ниже предельных значений. Дополнительно предлагается:

Использовать специализированное программное обеспечение для контроля доступа к операционной системе и данным на жестком диске;

Разработать парольную политику для обособленного подразделения.

На этапе уничтожения лишних данных предлагается:

Использовать шредер 3 уровня секретности, рассчитанный на обслуживание малого офиса;

Использовать специализированное программное обеспечение для удаления данных с жёсткого диска;

Определить сроки уничтожения избыточных данных на носителях различного типа.

Использовать сейф для хранения конфиденциальной информации организации;

Разработать документацию, подробно описывающую персональную ответственность каждого сотрудника в сфере защиты информации;

Разработать инструкции по обращению с конфиденциальной информацией, персональными данными;

Разработать инструкцию по действиям в чрезвычайных ситуациях;

Вести журналы учёта ключевых носителей, журналы основных событий информационной системы.

Таким образом, каждый этап, на котором происходит информационный обмен, подвергается отдельной модификации с помощью применения организационных, правовых или программно-аппаратных средств защиты информации. Наличие этапов и рекомендаций к каждому этапу позволяет построить модифицированную модель системы защиты информации центра регистрации, которую мы впоследствии сможем сравнить с предыдущей моделью.

С учётом внесённых изменений, построим модифицированную модель системы защиты информации центра регистрации (Рисунок 3.3).

Выводы

1. Проведён анализ проблемы построения улучшенной системы защиты.

2. Построена обобщённая модель информационных процессов центра регистрации.

Построена модель существующей системы защиты информации центра регистрации. Выявлены недостатки существующей системы защиты информации.

Разработана модель подсистемы обмена зашифрованными сообщениями.

Разработана обобщённая модель системы защиты информации.

В процессе исследования был проведён анализ существующей системы защиты информации. Для этого потребовалось построить обобщённую модель информационных процессов центра регистрации, а затем - модель существующей системы защиты информации центра регистрации.

Были выявлены основные угрозы безопасности центра регистрации. В результате анализа основных угроз безопасности, был создан перечень актуальных угроз и модель угроз безопасности центра регистрации.

4. Экономическое обоснование проекта

.1 Обоснование целесообразности разработки проекта

Одним из важнейших вопросов при разработке проекта является вопрос о целесообразности его разработки.

В данном разделе представлено экономическое обоснование разработки подсистемы защиты информации обособленного подразделения ООО «Центр защиты информации «Гриф».

Разрабатываемая подсистема не требует адаптации и существенных денежных затрат и имеет короткий срок разработки и окупаемости.

.2 Расчёт окупаемости затрат на разработку проекта

1. Расчёт текущих затрат на обособленное подразделение.

Расчёт текущих затрат на офис производится по формуле 4.1.

где - затраты на заработную плату,

Затраты на аренду помещения,

Затраты на электричество,

Затраты на печать.

25000 + 10000*2 = 45000 - зарплата инженера по защите информации обособленного подразделения и сотрудников (2) - инженеров-программистов.

=*0.34= 15300 руб.

130 + 170=300 руб.

8000 + 45000 + 300 + 15300=68600 руб.

Оборудование выделено главным филиалом, амортизация не учитывается.

Доход от эксплуатации проекта в месяц.

Доход от эксплуатации проекта равен затратам при потере информации. Для расчёта дохода от эксплуатации проекта в месяц воспользуемся формулой 4.2.

где - доход от эксплуатации проекта в месяц,

150000 руб. - доход от использования защищаемой информации,

Затраты на содержание офиса (в месяц) ,

150000 + 68600 = 218600 руб.

3. Затраты на создание проекта.

Затраты на создание проекта рассчитываются по формуле (4.3):

где - затраты на создание проекта,

Стоимость машинного времени,

Отчисления в социальные фонды,

Накладные затраты.

Расчет затрат на заработную плату.

Расчет затрат на заработную плату разработчика произведём по формуле (4.4):

, (4.4)

где = 1, число категорий разработчиков, принимающих участие в разработке, = 1 человек, число разработчиков i-ой категории,

25000 руб/мес, заработная плата в месяц,

3 месяца, время разработки,

Расчет отчислений в социальные фонды.

Расчёт отчислений в социальные фонды, с учётом предыдущей формулы, будет рассчитываться по формуле (4.5):

75000*0,34 = 25500 руб.

3.Расчет стоимости машинного времени.

Расчёт стоимости машинного времени необходимо провести по формуле (4.5):

, (4.5)

где =480 ч., при времени разработки 3 месяца,

стоимость одного машинного часа,

1920 ч., действительный годовой фонд времени,

Амортизационные отчисления,

Затраты на электроэнергию,

Затраты на заработную плату обслуживающего персонала,

Накладные расходы,

Отчисления в социальные фонды.

Амортизационные отчисления.

Амортизация основных средств представляет собой денежное выражение возмещения затрат путем перенесения стоимости основных средств на себестоимость продукции и рассчитывается по формуле (4.6):

, (4.6)

где = 1, число видов оборудования,

1 , количество i-го оборудования (компьютеров) ,

25000 руб., стоимость одного i-го оборудования (компьютера),

5 лет, срок службы одного i-го оборудования (компьютера),

Затраты на электроэнергию.

Для расчёта затрат на электроэнергию воспользуемся формулой (4.7):

где =1, количество компьютеров,

0,5 КВт, потребляемая мощность,

4,5 рублей, стоимость одного КВт-ч,

160 часов, количество машинного времени за месяц,

12 месяцев,

Заработная плата обслуживающего персонала.

Заработная плата обслуживающего персонала рассчитывается по формуле (4.8):

, (4.8)

где = 1, число категорий работников, обслуживающих компьютер,

1 человек, число работников i-ой категории, обслуживающих компьютер,

25000 руб/мес, заработная плата в месяц,

12 месяцев,

Накладные расходы.

Накладные затраты на обслуживание компьютера будут составлять 50% от заработной платы обслуживающего персонала

5, (4.9)

где 150 000 руб.

Отчисления в социальные фонды.

Единый социальный налог составляет 34% от затрат на заработную плату.

Рассчитывается для годового фонда времени

= 0,34* 25000 руб.

Считаем по зарплате инженера по защите информации, который обслуживает систему.

8500*12=102000 руб.

Стоимость машинного времени.

559227.2/1920=292.35 руб/ч

4. Расчет затрат на расходные материалы.

Для расчёта затрат на расходные материалы необходимо воспользоваться формулой (4.10):

, (4.10)

где - число видов материалов,

Количество материалов i-го вида,

Стоимость i-го вида материала, руб.

1750 руб.

Таблица 4.1 - Используемые расходные материалы при разработке

1.Расчет накладных затрат.

Накладные затраты на разработку системы будут составлять 50% от заработной платы и рассчитываются по формуле (4.11):

, (4.11)

37 500 руб.

Суммарные затраты на разработку.

Суммарные затраты на разработку рассчитываются по формуле (4.12):

где - стоимость машинного времени,

Затраты на накладные затраты,

Затраты на расходные материалы,

Затраты на заработную плату,

Отчисления в социальные фонды,

37500 + 1750 + + 75000 + 25500 = 280078 руб.

5. Расчет срока окупаемости разработки с учетом процентной ставки.

Данные для расчета срока окупаемости с учетом процентной ставки 17 % приведены в таблице 4.2

Таблица 4.2 - Данные для расчета срока окупаемости с учетом процентной ставки

280078/218600 * 31=39,7 ~ 40 дней

Срок окупаемости приблизительно = 1 месяц 9 дней

5. Чистая текущая стоимость доходов (NPV).

Для однократной инвестиции в данном случае NPV рассчитывается по формуле (4.13):

, (4.13)

где = C 0 - сумма инвестиции, равная стоимости разработки проекта,

d t - доходы,

i - процентная ставка (инфляция),

n - период времени,

Таким образом, получаем:

Выводы

Из расчётов можно увидеть, что затраты на проект быстро окупятся. Действительно, срок окупаемости проекта приблизительно 1 месяц 9 дней.

Такой экономический эффект достигается за счёт невысокой стоимости разработки проекта и предотвращении значительных денежных потерь, которые подразделение ООО «ЦЗИ «Гриф» могло бы понести при потере информации.

Таким образом, можно сделать вывод об экономической целесообразности внедрения подсистемы защиты информации в ООО «ЦЗИ «Гриф».

Величина ЧДД имеет положительное значение, что свидетельствует об экономической эффективности проекта.

5. Безопасность жизнедеятельности и экологичность проекта

.1 Анализ вредных и опасных производственных факторов, действующих на оператора ЭВМ

Опасным производственным фактором является такой фактор производственного процесса, воздействие которого на работающего приводит к травме или резкому ухудшению здоровья .

Вредный производственный фактор может стать опасным в зависимости от уровня и продолжительности воздействия на человека.

Длительное воздействие на человека вредного производственного фактора приводит к заболеванию.

Опасные и вредные производственные факторы подразделяются по природе действия на следующие группы:

Физические;

Химические;

Биологические;

Психофизиологические.

При выборе помещения для обособленного подразделения учитывались особенности работы и потребность работников в безопасных условиях труда. Путём создания соответствующих условий труда, фирма сокращает затраты на выплату компенсаций, которые влекло бы за собой наличие опасных и вредных производственных факторов, а также, затраты на оплату больничных листов.

В процессе труда на оператора ПЭВМ оказывает действие ряд опасных и вредные производственные факторы, перечисленных ниже.

К физическим факторам, которые могут воздействовать на работника ОП ООО «ЦЗИ «Гриф» можно отнести:

Повышенные уровни электромагнитного излучения;

Повышенный уровень статического электричества;

Повышенный уровень шума;

Повышенный или пониженный уровень освещенности.

Также, актуальными являются такие психофизиологические факторы, как:

Напряжение зрения;

Напряжение внимания;

Интеллектуальные нагрузки;

Эмоциональные нагрузки;

Длительные статические нагрузки;

Нерациональная организация рабочего места.

Рассматриваемое в проекте помещение ОП ООО «ЦЗИ «Гриф» можно отнести к помещениям вычислительных центров. Таким образом, большинство норм, которые необходимо соблюдать при работе в данном помещени, можно найти в СанПиН 2.2.2/2.4.1340-03.

Размеры помещения составляют: длина 4 м, ширина 5 м, высота 3 м. Общая площадь равна 20 кв.м, объём - 60 м 3 . В помещении работают 2 сотрудника, т.е. на каждого приходится по 30 м 3 , что соответствует санитарным нормам - не менее 15 м 3 - СанПиН 2.2.2/2.4.1340-03. (Гигиенические требования к персональным электронно-вычислительным машинам и организации работы).

Рациональное цветовое оформление помещения направленно на улучшение санитарно-гигиенических условий труда, повышение его производительности и безопасности.

Снижение шума в источнике излучения обеспечивается применением упругих прокладок между основанием машины, прибора и опорной поверхностью. В качестве прокладок можно использовать резину, войлок, пробку, амортизаторы различной конструкции. Под настольные шумящие аппараты можно подкладывать мягкие коврики из синтетических материалов. Крепление прокладок организовывается путем приклейки их к опорным частям. Рациональная планировка помещения и размещения оборудования в помещении является важным фактором, позволяющим снизить шум при существующем оборудовании .

Таким образом, для снижения шума создаваемого на рабочих местах внутренними источниками, а также шума, проникающего извне, необходимо:

Ослабить шум источников шума (применение звукоизолирующих кожухов и экранов);

Снизить эффект суммарного воздействия отраженных звуковых волн (путём звукопоглощающих поверхностей конструкций);

Применять рациональное расположение оборудования в помещении;

Использовать архитектурно-планировочные и технологические решения изоляций источников шума.

Требования кпомещениям для работы с ПЭВМ описаны в санитарно-эпидемиологических правилах и нормативах СанПиН 2.2.2/2.4.1340-03. (Гигиенические требования к персональным электронно-вычислительным машинам и организации работы).

Эксплуатация ПЭВМ в помещениях без естественного освещения допускается только при наличии расчетов, обосновывающих соответствие нормам естественного освещения и безопасность их деятельности для здоровья работающих. Далее будет предоставлен расчёт искусственного освещения в помещении, в специально выделенной для этого главе.

Оконные проемы должны быть оборудованы регулируемыми устройствами типа жалюзи .

Для внутренней отделки интерьера помещений, где расположены ПЭВМ, должны использовались диффузно-отражающие материалы с коэффициентом отражения для потолка - 0,7-0,8; для стен - 0,5-0,6; для пола - 0,3-0,5.

Описываемое помещение оборудовано защитным заземлением (занулением) в соответствии с техническими требованиями по эксплуатации.

При размещении рабочих мест с ПЭВМ расстояние между рабочими столами с видеомониторами (в направлении тыла поверхности одного видеомонитора и экрана другого видеомонитора), составляет не менее 2,0 м, а расстояние между боковыми поверхностями видеомониторов - не менее 1,2, что соответствует требованиям СанПиН.

Экраны видеомониторов находятся от глаз пользователя на расстоянии 600-700 мм, но не ближе 500 мм с учетом размеров алфавитно-цифровых знаков и символов.

Конструкция рабочего стула (кресла) должна обеспечивать поддержание рациональной рабочей позы при работе на ПЭВМ позволять изменять позу с целью снижения статического напряжения мышц шейно-плечевой области и спины для предупреждения развития утомления .

Поэтому рабочий стул (кресло) снабжено подъемно-поворотным механизмом и регулируется по:

Углам наклона сиденья и спинки;

Расстоянию спинки от переднего края сиденья.

Поверхность сиденья, спинки и других элементов стула (кресла) д полумягкая, с нескользящим и слабо электризующимся и воздухопроницаемым покрытием, обеспечивающим легкую очистку от загрязнений.

Общие эргономические требования к рабочим местам при выполнении работ в положении сидя устанавливает ГОСТ 12.2.032-78. В соответствии с ним в помещении подразделения:

Используются рабочие столы с высотой рабочей поверхности 725 мм (для легких работ);

Используются кресла с подъемно-поворотным устройством;

Конструкция кресел обеспечивает регулировку высоты опорной поверхности сиденья в пределах 400-500 мм и углов наклона вперед до 15 градусов и назад до 5 градусов.

Каждое кресло оборудовано подлокотниками, что сводит к минимуму неблагоприятное воздействие на кистевые суставы рук .

Обеспечение требований к освещению на рабочих местах, оборудованных ПЭВМ, является очень важным пунктом работы, так как операторы ПЭВМ могут подвергаться большому количеству вредных факторов, связанных с освещённостью - при данном разряде работы нагрузка на зрение будет достаточно серьёзной.

Искусственное освещение в помещениях для эксплуатации ПЭВМ должно осуществляться системой общего равномерного освещения.

Освещенность на поверхности стола в зоне размещения рабочего документа должна быть 300-500 лк. Освещение не должно создавать бликов на поверхности экрана. Освещенность поверхности экрана не должна быть более 300 лк.

Источником света в помещении являются лампы дневного света, расположенные на высоте потолка - 3 м. расстояние между светильниками 1,5 м. В рассматриваемом помещении качество освещения соответствует нормативным данным, приведенным в таблице 5.1.

Таблица 5.1 - Оптимальные параметры освещенности помещений с ЭВМ

Проведем оценку соответствия фактической освещенности нормативной.

Характеристика выполняемой работы соответствует разряду IV, подразряду B (контраст - большой, фон - светлый). Минимальная освещённость от комбинированного освещения 400 лк, общее освещение 200 лк.

Потребная освещённость при комбинированном освещении газоразрядными лампами от светильников общего освещения 200 лк, от местного - 150 лк;

Параметры помещения:

Длина l = 5 м

Ширина d = 4 м

Высота h = 3м

Высоту рабочей поверхности примем равной 0,8 м, монтаж светильников осуществляется на потолок, следовательно, высота подвеса светильников:

Тип светильников - ЛПО 46 с лампами ЛД. Учитывая, что данные светильники имеют малые размеры по одной из осей по сравнению с размерами по другим осям (длина - 1245 мм, ширина - 124 мм), они являются линейными светящимися элементами. Расстояние между светильниками в ряду положим равным 0,05 м и будем рассматривать ряды светильников как светящие линии. Потребную мощность ламп вычислим с помощью точечного метода расчёта освещённости.

Тип ЛПО 46 имеет косинусную кривую силы света и соответствующее отношение расстояния между светящимися полосами к высоте подвеса:

Вычислим расстояние между рядами светильников.

м

Расстояние от стены до первого ряда:

0,3..0,4 м

Соответственно, число рядов - 2. Приведём план расположения светильников (Рисунок 5.1).

Рисунок 5.1 - Схема расположения светильников на плане помещения

Рисунок 5.2 - Расчетная схема (поперечный разрез помещения)

Расчётную точку А выбирали в наименее освещённом месте (Рисунок 5.2). Для случая, когда расчетная точка совпадает с проекцией конца светящего элемента на расчетную плоскость, можно воспользоваться линейными изолюксами, поэтому разобьём ряды светильников на «полуряды» так, чтобы проекции их концов совпадали с точкой А.

Помимо системы искусственного освещения, важную роль в создании условий труда оператора выполняют визуальные эргономические параметры ЭВМ. Предельные значения этих параметров приведены в таблице 5.3.

Таблица 5.3 - Визуальные эргономические параметры ЭВМ

Таким образом, видно, что подход к обеспечению эргономичных условий труда работников складывается из правильного сочетания множества факторов и является комплексным.

5.2 Возможные аварийные или чрезвычайные ситуации (сбои, отказы в работе)

Обеспечение электробезопасности обособленного подразделения

К одному из наиболее актуальных типов аварийных и чрезвычайных ситуаций можно отнести ситуации, которые могут возникнуть вследствие недостаточного уровня обеспеченности электробезопасности.

За обеспечением электробезопасности подразделения следят сотрудники подразделения и мастер-электрик, обслуживающий здание, в котором арендуется помещение. Производится систематическая проверка состояния электропроводки, предохранительных щитов, шнуров, с помощью которых включаются в электросеть компьютеры, осветительные приборы, другие электроприборы.

В рассматриваемом помещении находятся применяемые в работе компьютеры, принтеры, сканеры, бесперебойные источники питания, которые могут быть причиной поражения людей электрическим током. Во всех приборах применены современные меры защиты.

Воздух в помещении достаточно увлажнён, чтобы снизить риск возникновения электростатического напряжения.

Обеспечение противопожарной защиты обособленного подразделения

Другим актуальным типом аварийных и чрезвычайных ситуаций являются ситуации, которые могут возникнуть вследствие недостаточного уровня обеспеченности противопожарной защиты обособленного подразделения.

Противопожарная защита - это комплекс организационных и технических мероприятий, направленных на обеспечение безопасности людей, на предотвращение пожара, ограничение его распространения, а также на создание условий для успешного тушения пожара .

Пожарная безопасность - состояние объекта, при котором исключается возможность пожара, а в случае его возникновения предотвращается воздействие на людей опасных факторов пожара и обеспечивается защита материальных ценностей .

Пожарная безопасность помещения обособленного подразделения ООО «Центр защиты информации «Гриф» обеспечивается системой предотвращения пожара и системой пожарной защиты. Во всех служебных помещениях присутствует «План эвакуации людей при пожаре», регламентирующий действия персонала в случае возникновения очага возгорания и указывающий места расположения пожарной техники.

Источниками зажигания в обособленном подразделении ООО «Центр защиты информации «Гриф» могут быть ЭВМ, приборы технического обслуживания, устройства электропитания, кондиционирования воздуха, где в результате различных нарушений образуются перегретые элементы, электрические искры и дуги, способные вызвать возгорание горючих материалов.

Для тушения пожаров на начальных стадиях применяются огнетушители.

Газовые огнетушители применяются для тушения жидких и твердых веществ, а также электроустановок, находящихся под напряжением .

В помещениях применяются главным образом углекислотные огнетушители, достоинством которых является высокая эффективность тушения пожара, сохранность электронного оборудования, диэлектрические свойства углекислого газа, что позволяет использовать эти огнетушители даже в том случае, когда не удается обесточить электроустановку сразу.

Помещение обособленного подразделения оборудовано датчиками пожарной безопасности, которые выходят на пульт охраны здания. На пульте охраны постоянно дежурит сотрудник, ответственный за пожарную безопасность здания. Коридоры здания оснащены громкоговорителями для эвакуации людей в случае пожара.

В необходимых местах размещены ручные огнетушители.

Пожарная безопасность обособленного подразделения ООО «Центр защиты информации «Гриф» обеспечивается системой предотвращения пожара и системой пожарной защиты.

В служебных помещениях вывешены «Планы эвакуации людей при пожаре», регламентирующие действия персонала в случае возникновения очага возгорания и указывающие места расположения противопожарной техники.

5.3 Воздействие проектируемого объекта на окружающую среду в процессе его изготовления и в процессе эксплуатации (загрязнения воздуха, воды, почв, твердые отходы, энергетические загрязнения)

Проектируемым объектом является модифицированная система безопасности обособленного подразделения ООО «ЦЗИ «Гриф». В большинстве своём проект сводится к разработке и принятию мер организационного характера, которые бы позволили обеспечить контроль доступа к помещению и охраняемым объектам, и к мониторингу значительных событий, происходящих в системе.

В процессе проектирования объекта были использованы экологически чистые материалы и инструменты разработки.

Системы вентиляции помещения имеют фильтры, предотвращающие возможность попадания в окружающую среду вредных веществ, как в процессе эксплуатации, так и в случае возникновения чрезвычайной ситуации.

Проектируемый объект в процессе эксплуатации не наносит вреда в виде загрязнений воздуха, воды и почв. Все твёрдые отходы утилизируются в соответствии с установленными правилами утилизации. Для утилизации люминесцентных ламп используются специальные контейнеры, которые, по мере заполнения, заменяются пустыми. Содержимое же заполненных контейнеров транспортируется в специальные пункты приёма.

Масштабы использования проектируемого объекта небольшие. Использование новейших современных материалов и технологий, в сочетании с малыми размерами объекта, приводят к уровню энергетического загрязнения, который значительно далёк от превышения нормы.

Выводы

В соответствии с принятыми нормами в отделе информационных технологий ООО НПО «Инженерные системы» обеспечивается необходимый микроклимат, минимальный уровень шума, созданы удобные и правильные с точки зрения эргономики рабочие места, соблюдены требования технической эстетики и требования к ЭВМ.

Для сотрудников отдела в процессе работы одним из важнейших факторов, влияющих на производительность труда при длительной зрительной работе, является достаточная освещенность рабочего места. Это достигается правильным выбором и расположением осветительных приборов. Специальные мероприятия обеспечивают электробезопасность и пожаробезопасность сотрудников.

Заключение

В процессе исследования проведён диагностический анализ предприятия ООО «Центр защиты информации «Гриф», в результате которого построена функциональная модель предприятия. Выявлены основные цели, стоящие перед предприятием, и способы их достижения. Выявлены основные проблемные ситуации и определены методы их разрешения. Выбрана проблемная ситуация для решения в дипломном проекте.

Проведено исследование специфики информационных процессов в инфраструктуре открытых ключей, компонентом которой по функциональному назначению является обособленное подразделение. Выявлены основные процессы, происходящие между обособленным подразделением и системой более высокого уровня, которые могут подвергаться угрозам. Детально описан один из ключевых процессов, затрагивающих генерацию конфиденциальной информации, процесс обслуживания клиента оператором центра регистрации. Представлена модель подсистемы обмена зашифрованными сообщениями. Проведён поэтапный анализ информационных процессов внутри обособленного подразделения. На основе анализа построена модель угроз информационной безопасности центра регистрации.

Построена обобщённая модель информационных процессов центра регистрации. Построена модель исходной системы безопасности обособленного подразделения. Выявлены недостатки существующей системы безопасности. Разработана обобщённая модель системы защиты информации.

Для каждого из этапов информационного обмена выработан ряд мер по защите информации. Устранены недостатки и уязвимости исходной системы безопасности, благодаря чему увеличивается эффективность информационного обмена и уменьшается риск хищения конфиденциальной информации или персональных данных.

Были решены основные поставленные задачи и достигнута цель проекта - разработана подсистема безопасности обособленного подразделения ООО «Центр защиты информации «Гриф».

Список использованных источников

1. ГОСТ Р 34.10-2001. Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи - Взамен ГОСТ Р 34.10-94, введ. 2002-07-01. М.: Издательство стандартов, 2001. - 12 с.

2. Полянская, О. Ю., Горбатов, В. С. Инфраструктуры открытых ключей. / О. Ю. Полянская, В. С. Горбатов - Лаборатория Знаний, 2007 г. - 73 с.

Бердникова, Т. Б. Анализ и диагностика финансово-хозяйственной деятельности предприятия. / Т. Б. Бердникова - Инфра-М, 2007 г. - 101 с.

Коноков, Д.Г., Рожков, К.Л. Организационная структура предприятий. / Д.Г. Коноков, К.Л. Рожков - Институт стратегического анализа и развития предпринимательства, 2006 г. - 38 с.

Гончарук, В.А. Алгоритмы преобразований в бизнесе. / В.А. Гончарук - Москва, 2008 г. - 11 с.

Галатенко, В. А. Стандарты информационной безопасности. / В. А. Галатенко - Университет информационных технологий, 2009 г. - 55 с.

Ярочкин, В. И. Информационная безопасность: учебник для студентов вузов / В. И. Ярочкин. - М. : Академический Проект, 2003. - 640 с.

Горбатов В.С., Полянская О.Ю. Доверенные центры как звено системы обеспечения безопасности корпоративных информационных ресурсов / В.С. Горбатов, О.Ю. Полянская - Информационный бюллетень Jet Info, № 11 (78), 1999. - 20 с.

Белов, Е. Б., Лось, П. В., Мещеряков, Р. В., Шелупанов, А.А. Основы информационной безопасности: учеб. пособие для вузов / Е. Б. Белов, В. П. Лось, Р. В. Мещеряков, А. А. Шелупанов. - М. : Горячая линия - Телеком, 2006. - 544 с.

Федеральный закон «Об Электронной Цифровой Подписи» от 8 апреля 2011 года №63 - ФЗ: принят Гос. Думой 06 апр. 2011 г. : одобрен Советом Федерации 8 апр. 2011 г. / Делопроизводство. - 2011 - № 4. - С. 91-98.

Полянская, О. Ю. Технология PKI как основа формирования безопасной среды ведения бизнеса. Сборник научных трудов ХIII Всероссийской научной конференции «Проблемы информационной безопасности в системе высшей школы» / О.Ю. Полянская. - М. : МИФИ, 2006 - С. 96-97.

Завидов, Б. Д. Электронная цифровая подпись. Правовое значение. Анализ законодательства и законопроектов / Б. Д. Завидов. - М. : Экзамен, 2001 - 32 с.

Данжани, Н., Кларк Д. Средства сетевой безопасности / Н. Данжани, Д. Кларк. - М. : КУДИЦ-Пресс, 2007. - 368 с.

Фороузан, Б. А. Криптография и безопасность сетей / Б. А. Фороузан. - М. : Бином. Лаборатория знаний, 2010 - 784 с.

Ильиных, Е. В., Козлова, М. Н. Комментарий к Федеральному закону «Об электронной цифровой подписи» / Е. В. Ильиных, М. Н. Козлова. - М. : Юстицинформ, 2005 - 80 с.

Молдовян, Н.А. Теоретический минимум и алгоритмы цифровой подписи / Н. А. Молдовян. - СПб: БХВ-Петербург, 2010 - 304 с.

Гришина, Н.В. Организация комплексной системы защиты информации / Н. В. Гришина. - М. : Гелиос, 2007 - 256 с.

Некраха, А. В., Шевцова Г. А. Организация конфиденциального делопроизводства и защита информации / А. В. Некраха, Г. А. Шевцова. - СПб: Академический проект, 2007- 224 с.

Ищейнов, В. Я., Мецатунян, М. В. Защита конфиденциальной информации / В. Я. Ищейнов, М. В. Мецатунян. - М. : Форум, 2009 - 256 с.

Малюк, А. А. Информационная безопасность. Концептуальные и методологические основы защиты информации. Учебное пособие / А. А. Малюк. - М. : Горячая Линия - Телеком, 2004 - 280 с.

Мельников, В. П., Клейменов, С.А., Петраков, А. М. Информационная безопасность и защита информации / В. П. Мельников, С. А. Клейменов, А. М. Петраков. - М. : Академия, 2009 - 336 с.

Семкин, С. Н., Семкин, А. Н. Основы правового обеспечения защиты информации / С. Н. Семкин, А. Н. Семкин. - М. : Горячая Линия - Телеком, 2008 - 240 с.

Арутюнов, В. В. Защита информации / В. В. Арутюнов. - М. : Либерея-Бибинформ, 2008 - 56 с.

Чипига, А. Ф. Информационная безопасность автоматизированных систем / А. Ф. Чипига. - М. : Гелиос АРВ, 2010 - 336 с.

Корт, С. С. Теоретические основы защиты информации / С. С. Корт. - М. : Гелиос АРВ, 2004 - 240 с.

Снытников, А. А. Лицензирование и сертификация в области защиты информации / А. А. Снытников. - М. : Гелиос АРВ, 2003 - 192 с.

Василенко, О. Н. Теоретико-числовые алгоритмы в криптографии / О. Н. Василенко - МЦНМО, 2003 г. - 15 с.

Земор, Ж. Курс криптографии / Ж. Земор - Институт компьютерных исследований, 2006 г. - 27 с.

Бабаш, А. В. История криптографии. Часть I / А. В. Бабаш - Гелиос АРВ, 2002 г. - 42 с.

Нормы пожарной безопасности НПБ 105-03. Определение категорий помещений, зданий и наружных установок по взрывопожарной и пожарной опасности. - утв. приказом МЧС РФ от 18 июня 2003 г. N 314 - М.: Издательство стандартов, 2003. - 4 с.

Лапин, В. Л. Безопасность жизнедеятельности. / В.Л. Лапин - Высшая школа, 2009 г. - 147 с.

Зотов, Б. И., Курдюмов В. И. Безопасность жизнедеятельности на производстве. / Б. И. Зотов, В. И. Курдюмов - КолосС, 2009 г. - 92 с.

Введение

В настоящее время в нашей стране идет бурный процесс информатизации практически всех сфер общественной деятельности. Хотя бумажный документооборот все еще преобладает над электронным документооборотом в силу довольно слабой распространенности последнего, объем корпоративных электронных документов удваивается каждые три года.

С развитием вычислительной техники и электронных технологий обработки и передачи информации на расстоянии, а так же согласно федеральным программам, проводимым в России, осуществился переход к электронному документообороту, позволившему автоматизировать многие процессы делопроизводства.

Центр сертификации или удостоверяющий центр - это организация или подразделение организации, которая выпускает сертификаты ключей электронной цифровой подписи, это компонент глобальной службы каталогов, отвечающий за управление криптографическими ключами пользователей . Открытые ключи и другая информация о пользователях хранится удостоверяющими центрами в виде цифровых сертификатов.

Центр регистрации определяется как объект, ответственный за идентификацию и аутентификацию субъекта сертификата, но неспособный подписывать и издавать сертификат . Между центром регистрации и удостоверяющим центром идёт постоянный информационный обмен.

Существует объективная необходимость обеспечения защиты информации как на этапе информационного взаимодействия между центром регистрации и удостоверяющим центром, так и в процессе обработки и хранения информации, внутреннего документооборота центра регистрации.

Объектом исследования является подсистема защиты обособленного подразделения ООО «Центр защиты информации «Гриф». Предметом исследования является качество системы защиты информации подразделения.

В настоящий момент обособленное подразделение ООО «ЦЗИ «Гриф», которое является по своему функциональному назначению центром регистрации, имеет собственную систему безопасности, построенную в соответствии с инструкцией по безопасности, разработанной в соответствии с требованиями основных документов в сфере информационной безопасности. Тем не менее, практический опыт показал, что исходная система безопасности обособленного подразделения имеет ряд недостатков.

Целью данного проекта является разработка подсистемы защиты информации, которая бы более эффективной, чем исходная.

Основными задачами дипломного проекта являются диагностический анализ предприятия ООО «ЦЗИ «Гриф», исследование основных угроз и разработка обобщённой модели системы защиты информации.

Диагностический анализ ООО «ЦЗИ «ГРИФ»

Общая характеристика ООО «ЦЗИ «Гриф»

Центр защиты информации «Гриф» является организацией, специализирующейся на предоставлении услуг в области информационных технологий и защиты информации. Компания основана в 2008 году и успешно работает на рынке.

Центр защиты информации «Гриф» в соответствии Федеральным законом ФЗ-1 от 10.01.2002 «Об электронной цифровой подписи» предоставляет следующие услуги:

Изготавливает сертификаты ключей подписей;

Создает ключи электронных цифровых подписей по обращению участников информационной системы с гарантией сохранения в тайне закрытого ключа электронной цифровой подписи;

Приостанавливает и возобновляет действие сертификатов ключей подписей, а также аннулирует их;

Ведет реестр сертификатов ключей подписей, обеспечивает его актуальность и возможность свободного доступа к нему участников информационных систем;

Проверяет уникальность открытых ключей электронных цифровых подписей в реестре сертификатов ключей подписей и архиве удостоверяющего центра;

Выдает сертификаты ключей подписей в форме документов на бумажных носителях и (или) в форме электронных документов с информацией об их действии;

Осуществляет по обращениям пользователей сертификатов ключей подписей подтверждение подлинности электронной цифровой подписи в электронном документе в отношении выданных им сертификатов ключей подписей.

Сертификат уполномоченного лица удостоверяющего центра внесен в Единый государственный реестр. Сертификаты и ключи ЭЦП изготавливаются с использованием сертифицированного ФСБ РФ средства криптографической защиты «КриптоПро CSP» и соответствуют государственным стандартам Российской Федерации. Весь обмен информацией с Центром Регистрации Удостоверяющего Центра осуществляется с использованием защищенного протокола TLS с одно и двусторонней аутентификацией.

Состоит в реестре субъектов малого и среднего предпринимательства: с 01.08.2016 как малое предприятие

Специальные налоговые режимы: упрощенная система налогообложения (УСН)

Контактная информация:

Реквизиты компании:

ИНН: 7610081412

КПП: 761001001

ОКПО: 88733590

ОГРН: 1087610003920

ОКФС: 16 - Частная собственность

ОКОГУ: 4210014 - Организации, учрежденные юридическими лицами или гражданами, или юридическими лицами и гражданами совместно

ОКОПФ: 12300 - Общества с ограниченной ответственностью

ОКТМО: 78715000001

ОКАТО: - Рыбинск, Города областного подчинения Ярославской области, Ярославская область

Предприятия рядом: АО "ВОЛЖАНИН" , ПК "БАЗИС" , МУУП "АПТЕКА N 23" ГОРОДСКОГО ОКРУГА Г РЫБИНСК ООО "ПРОМЫШЛЕННО-ТОРГОВАЯ КОМПАНИЯ "СЕВЕРСНАБ" -

Виды деятельности:

Основной (по коду ОКВЭД ред.2): 63.11 - Деятельность по обработке данных, предоставление услуг по размещению информации и связанная с этим деятельность

Дополнительные виды деятельности по ОКВЭД 2:

Учредители:

Регистрация в Пенсионном фонде Российской Федерации:

Регистрационный номер: 086009035983

Дата регистрации: 13.10.2008

Наименование органа ПФР: Государственное учреждение - Управление Пенсионного фонда Российской Федерации в г.Рыбинске Ярославской области (межрайонное)

ГРН внесения в ЕГРЮЛ записи: 2087610089543

23.10.2008

Регистрация в Фонде социального страхования Российской Федерации:

Регистрационный номер: 761006509576001

Дата регистрации: 15.10.2008

Наименование органа ФСС: Государственное учреждение - Ярославское региональное отделение Фонда социального страхования Российской Федерации

ГРН внесения в ЕГРЮЛ записи: 2087610089840

Дата внесения в ЕГРЮЛ записи: 23.10.2008

По данным rkn.gov.ru от 24.01.2020 по ИНН компания состоит в реестре операторов, осуществляющих обработку персональных данных:

Регистрационный номер:

Дата внесения оператора в реестр: 17.09.2010

Основание внесения оператора в реестр (номер приказа): 661

Адрес местонахождения оператора: 152914, Ярославская область, Рыбинский р-н, г. Рыбинск, ул Звездная, д. 1, кв. 53

Дата начала обработки персональных данных: 21.09.2009

Субъекты РФ, на территории которых происходит обработка персональных данных: Ярославская область

Цель обработки персональных данных: с целью предоставления услуг удостоверяющего центра - изготовления сертификатов ключей подписи, исполнения требований трудового законодательства.

Описание мер, предусмотренных ст. 18.1 и 19 Закона: Организационные меры: 1. Разработка, доработка, поддержание в актуальном состоянии внутренней документации (положения, приказы, инструкции и т.п.), обеспечивающей порядок обработки персональных данных. 2. Размещение технических средств предназначенных для обработки персональных данных в специально выделенных помещениях с ограниченным доступом. З. Проведение мероприятий по контролю соответствия систем персональных данных требованиям по безопасности информации. 4. Учет носителей персональных данных. Технические меры: 1. Обеспечение программными и техническими средствами защиты информации от НСД, а именно: 1.1. регистрация действий пользователей и обслуживающего персонала, 1.2. контроль целостности и действий пользователей, обслуживающего персонала, 1.3 использование защищенных каналов связи и межсетевого экрана, 1.4 предотвращение внедрения в информационные системы вредоносных программ (программ-вирусов) и программных закладок, 2. Обеспечение резервирования технических средств, дублирование массивов и носителей информации. 3. Использование сертифицированных средств защиты информации.

Категории персональных данных: фамилия, имя, отчество,год рождения,месяц рождения,дата рождения,место рождения,адрес,профессия, серия и номер документа, удостоверяющего личность, сведения о дате выдачи указанного документа и выдавшем его органе, номер свидетельства государственного пенсионного страхования, сведения о месте работы и занимаемой должности, ИНН, пол, знание иностранного языка, образование, профессия, состояние в браке, состав семьи, сведения о воинском учете.

Категории субъектов, персональные данные которых обрабатываются: принадлежащих: физическим лицам (клиентам удостоверяющего центра, подавшим заявления на изготовление сертификатов ключей подписи), работникам, состоящим в трудовых отношениях с юридическим лицом.

Перечень действий с персональными данными: сбор, систематизация, накопление, хранение, уничтожение персональных данных посредством специализированного программного обеспечения, хранение персональных данных на бумажных носителях.

Обработка персональных данных: смешанная,с передачей по внутренней сети юридического лица,с передачей по сети Интернет

Правовое основание обработки персональных данных: руководствуясь Федеральным законом №152-ФЗ от 27.07.2006 «О персональных данных», Федеральным законом №1-ФЗ «Об электронной цифровой подписи» от 13 декабря 2001 г. (ст.9), Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи» (ст. 14,15,17), Постановлением Правительства РФ от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», Трудовым кодексом РФ (ст. 85-90), письменным согласием субъекта, регламентом удостоверяющего центра.

Наличие трансграничной передачи: нет

Сведения о местонахождении базы данных: Россия

Сведения о доходах и расходах по данным ФНС от 19.10.2019 по ИНН 7610081412:

Сведения об уплаченных суммах налогов и сборов по данным ФНС от 19.10.2019 по ИНН 7610081412: