Диагностичен анализ на ооо "чи" лешояд. Подсистема за сигурност на отделно подразделение LLC „Център за информационна сигурност „Grif“ Подробна информация за функционалните области на управление
Въведение
В момента в нашата страна протича бърз процес на информатизация на почти всички сфери на обществената дейност. Въпреки че управлението на документи на хартиен носител все още преобладава над електронното, поради сравнително ниското разпространение на последното, обемът на корпоративните електронни документи се удвоява на всеки три години.
С развитието на компютърните технологии и електронните технологии за обработка и предаване на информация от разстояние, както и в съответствие с федералните програми, провеждани в Русия, беше направен преход към електронно управление на документи, което направи възможно автоматизирането на много работни процеси в офиса.
Сертифициращ орган или сертифициращ орган е организация или подразделение на организация, която издава сертификати за електронни ключове. цифров подпис, е глобалният компонент на услугата директория, отговорен за управлението на криптографските ключове на потребителите. Публичните ключове и друга информация за потребителите се съхраняват от сертифициращите органи под формата на цифрови сертификати.
Регистриращият орган се дефинира като субект, отговорен за идентифициране и удостоверяване на субекта на сертификат, но неспособен да подписва и издава сертификат. Между регистрационния център и сертифициращия център има постоянен обмен на информация.
Съществува обективна необходимост от осигуряване на защита на информацията както на етапа на информационно взаимодействие между регистрационния център и сертифициращия център, така и в процеса на обработка и съхранение на информация, вътрешен документооборот на регистрационния център.
Обект на изследването е подсистемата за защита на отделно подразделение на LLC „Център за защита на информацията „Гриф“. Предмет на изследването е качеството на системата за информационна сигурност на звеното.
В момента отделно подразделение на CZI Grif LLC, което е регистрационен център по функционално предназначение, има собствена система за сигурност, изградена в съответствие с инструкциите за сигурност, разработени в съответствие с изискванията на основните документи в областта на информационната сигурност . Практическият опит обаче показва, че оригиналната система за сигурност на отделен блок има редица недостатъци.
Целта на този проект е да се разработи подсистема за информационна сигурност, която да бъде по-ефективна от оригиналната.
Основните цели на дипломния проект са диагностичният анализ на предприятието CZI Grif LLC, изследването на основните заплахи и разработването на обобщен модел на системата за информационна сигурност.
Диагностичен анализ на CZI GRIF LLC
Обща характеристика на CZI Grif LLC
Център за информационна сигурност "Гриф" е организация, специализирана в предоставянето на услуги в областта на информационните технологии и информационната сигурност. Компанията е основана през 2008 г. и успешно работи на пазара.
Центърът за информационна сигурност "Grif" в съответствие с Федералния закон FZ-1 от 10 януари 2002 г. "За електронния цифров подпис" предоставя следните услуги:
Произвежда сертификати за ключове за подпис;
Създава ключове за електронни цифрови подписи по желание на участниците информационна системас гаранция за запазване в тайна на частния ключ на електронния цифров подпис;
Суспендира и подновява сертификатите за ключове за подпис и ги анулира;
Поддържа регистър на сертификатите за ключове за подпис, осигурява неговата актуалност и възможност за свободен достъп до него от участниците в информационните системи;
Проверява уникалността на публичните ключове на електронните цифрови подписи в регистъра на сертификатите за ключове за подпис и архива на удостоверителния център;
Издава сертификати за ключове за подпис под формата на хартиени документи и (или) под формата на електронни документи с информация за тяхната валидност;
Извършва, по искане на потребителите на сертификати за ключ за подпис, потвърждение на автентичността на електронен цифров подпис в електронен документ във връзка с издадените им сертификати за ключове за подпис.
Сертификатът на упълномощеното лице на сертифициращия център е включен в Единния държавен регистър. EDS сертификатите и ключовете се произвеждат с помощта на CryptoPro CSP, сертифициран от Федералната служба за сигурност на Руската федерация и отговарят на държавните стандарти на Руската федерация. Целият обмен на информация с Регистрационния център на Удостоверяващия орган се извършва по защитения TLS протокол с едно- и двупосочна автентификация.
Включен е в регистъра на малкия и среден бизнес:от 01.08.2016 г. като малък бизнес
Специални данъчни режими:опростена данъчна система (СТС)
Информация за връзка:
Данни за компанията:
TIN: 7610081412
КПП: 761001001
OKPO: 88733590
OGRN: 1087610003920
OKFS: 16 - Частна собственост
ОКОГУ: 4210014 - Организации, учредени от юридически лица или граждани, или юридически лица и граждани съвместно
OKOPF: 12300 - Дружества с ограничена отговорност
OKTMO: 78715000001
ОКАТО:- Рибинск, Градове с регионално подчинение на Ярославска област, Ярославска област
Бизнеси в близост: АД "ВОЛЖАНИН", ПК "БАЗИС", МУУП "АПТЕКА N 23" НА ГРАДСКИЯ РАЙОН РИБИНСК ООД "ИНДУСТРИАЛНА И ТЪРГОВСКА КОМПАНИЯ "СЕВЕРСНАБ" -
дейности:
основен (според OKVED код rev.2): 63.11 - Дейности по обработка на данни, предоставяне на информационни хостинг услуги и свързани дейности
Допълнителни дейности според OKVED 2:
Учредители:
Регистрация в Пенсионния фонд на Руската федерация:
Регистрационен номер: 086009035983
Дата на регистрация: 13.10.2008
Име на PFR органа:Държавна институция - Управление на Пенсионния фонд на Руската федерация в Рибинск, Ярославска област (междурайонна)
Държавен регистрационен номер на вписванията в Единния държавен регистър на юридическите лица: 2087610089543
23.10.2008
Регистрация във Фонда за социално осигуряване на Руската федерация:
Регистрационен номер: 761006509576001
Дата на регистрация: 15.10.2008
Име на органа на FSS:Държавна институция - Ярославски регионален клон на Фонда за социално осигуряване на Руската федерация
Държавен регистрационен номер на вписванията в Единния държавен регистър на юридическите лица: 2087610089840
Дата на вписване в Единния държавен регистър на юридическите лица: 23.10.2008
Според rkn.gov.ru от 24 януари 2020 г., според TIN, компанията е включена в регистъра на операторите, обработващи лични данни:
Регистрационен номер:
Дата на регистрация на оператора в регистъра: 17.09.2010
Основание за вписване на оператора в регистъра (номер на поръчката): 661
Адрес на местоположение на оператора: 152914, област Ярославъл, област Рибинск, Рибинск, ул. Звездная, 1, ап. 53
Начална дата на обработка на лични данни: 21.09.2009
Субекти на Руската федерация, на чиято територия се извършва обработката на лични данни: Ярославска област
Цел на обработката на лични данни: с цел предоставяне на услугите на сертифициращ център - изработване на сертификати за ключове за подпис, изпълнение на изискванията на трудовото законодателство.
Описание на мерките, предвидени в чл. 18.1 и 19 от закона: Организационни мерки: 1. Разработване, ревизия, поддържане на актуална вътрешна документация (правилници, заповеди, инструкции и др.), която осигурява реда за обработка на лични данни. 2. Поставяне на технически средства, предназначени за обработка на лични данни в специално обособени помещения с ограничен достъп. З. Предприемане на мерки за контрол на съответствието на системите за лични данни с изискванията за информационна сигурност. 4. Отчитане на носители на лични данни. Технически мерки: 1. Предоставяне на софтуер и хардуер за защита на информацията от неоторизиран достъп, а именно: 1.1. регистрация на действията на потребителите и обслужващия персонал, 1.2. контрол на целостта и действията на потребителите, обслужващия персонал, 1.3 използване на защитени комуникационни канали и защитна стена, 1.4 предотвратяване на въвеждането на злонамерени програми (вирусни програми) и софтуерни раздели в информационните системи, 2. Осигуряване на излишък на технически средства, дублиране на масиви и носители за съхранение. 3. Използване на сертифицирани инструменти за информационна сигурност.
Категории лични данни: фамилия, име, бащино име, година на раждане, месец на раждане, дата на раждане, място на раждане, адрес, професия, серия и номер на документ за самоличност, информация за датата на издаване на посочения документ и издаващия орган, номер на удостоверение за държавно пенсионно осигуряване, информация за мястото работа и длъжност, TIN, пол, знания чужд език, образование, професия, семейно положение, състав на семейството, информация за военна регистрация.
Категории субекти, чиито лични данни се обработват: собственост на: физически лица (клиенти на удостоверителния център, подали заявка за изготвяне на сертификати за ключове за подпис), служители, които имат трудово правоотношение с юридическо лице.
Списък с действия с лични данни: събиране, систематизиране, натрупване, съхранение, унищожаване на лични данни чрез специализиран софтуер, съхранение на лични данни на хартиен носител.
Обработка на лични данни: смесен, с предаване по вътрешната мрежа на юридическо лице, с предаване по интернет
Правно основание за обработка на лични данни: ръководейки се от Федерален закон № 152-FZ от 27 юли 2006 г. „За личните данни“, Федерален закон № 1-FZ „За електронния цифров подпис“ от 13 декември 2001 г. (член 9), Федерален закон от 6 април 2011 г. № 63- Федерален закон „За електронен подпис"(членове 14,15,17), Постановление на правителството на Руската федерация от 15 септември 2008 г. № 687 "За одобряване на Правилника за характеристиките на обработката на лични данни, извършвана без използване на инструменти за автоматизация" , Кодекса на труда на Руската федерация (членове 85-90), писмено съгласиепредмет, правилника на сертифициращия център.
Наличност на трансгранично предаване: Не
Подробности за местоположението на базата данни: Русия
Информация за приходите и разходите според Федералната данъчна служба от 19 октомври 2019 г. според TIN 7610081412:
| Година | доходи | Разходи | Приходи - Разходи |
| 2018 | 22 109 000 търкайте. | 21 717 000 търкайте. | 392 000 търкайте. |
Информация за платените суми на данъци и такси според Федералната данъчна служба от 19 октомври 2019 г. според TIN 7610081412:
| Година | име | Сума |
| 2018 | Транспортен данък | 23 171 търкайте. |
| 2018 | Данък, начислен във връзка с прилагането на опростената данъчна система | 189 529 търкайте. |
| 2018 | Осигурителни премии за задължително социално осигуряване при временна нетрудоспособност и във връзка с майчинство | 0 търкайте. |
| 2018 | Осигурителни и други вноски за задължително пенсионно осигуряване, кредитирани в Пенсионния фонд на Руската федерация | 634 137 търкайте. |
| 2018 | Застрахователни премии за задължително здравно осигуряване на работещото население, кредитирани в бюджета на Федералния фонд за задължително медицинско осигуряване | 0 търкайте. |
| Финансови отчети (счетоводни данни): | |||
| Кодът | Индекс | смисъл | Мерна единица. |
| F1.1110 | Нематериални активи | 0 | хиляди търкайте. |
| F1.1120 | Резултати от изследвания и разработки | 0 | хиляди търкайте. |
| F1.1130 | Нематериални активи за търсене | 0 | хиляди търкайте. |
| F1.1140 | Материални активи за проучване | 0 | хиляди търкайте. |
| F1.1150 | дълготрайни активи | 0 | хиляди търкайте. |
| F1.1160 | Доходни инвестиции в материални ценности | 0 | хиляди търкайте. |
| F1.1170 | Финансови инвестиции | 841 | хиляди търкайте. |
| F1.1180 | Отсрочени данъчни активи | 0 | хиляди търкайте. |
| F1.1190 | Други нетекущи активи | 0 | хиляди търкайте. |
| Ф1.1100 | Общо за раздел I - Нетекущи активи | 841 | хиляди търкайте. |
| F1.1210 | Запаси | 1252 | хиляди търкайте. |
| Ф1.1220 | Данък добавена стойност върху придобити ценности | 0 | хиляди търкайте. |
| F1.1230 | Вземания | 14811 | хиляди търкайте. |
| F1.1240 | Финансови инвестиции (с изключение на паричните еквиваленти) | 0 | хиляди търкайте. |
| Ф1.1250 | Пари и парични еквиваленти | 5522 | хиляди търкайте. |
| F1.1260 | Други текущи активи | 0 | хиляди търкайте. |
| Ф1.1200 | Общо за раздел II - Текущи активи | 21585 | хиляди търкайте. |
| Ф1.1600 | БАЛАНС (актив) | 22426 | хиляди търкайте. |
| F1.1310 | Уставен капитал (основен капитал, упълномощен фонд, вноски на другари) | 0 | хиляди търкайте. |
| F1.1320 | Изкупени собствени акции от акционери | 0 | хиляди търкайте. |
| F1.1340 | Преоценка на нетекущи активи | 0 | хиляди търкайте. |
| F1.1350 | Допълнителен капитал (без преоценка) | 0 | хиляди търкайте. |
| Ф1.1360 | Резервен капитал | 0 | хиляди търкайте. |
| F1.1370 | Неразпределена печалба (непокрита загуба) | 0 | хиляди търкайте. |
| Ф1.1300 | Общо за раздел III - Капитал и резерви | 22370 | хиляди търкайте. |
| F1.1410 | Привлечени средства | 0 | хиляди търкайте. |
| F1.1420 | Отсрочени данъчни задължения | 0 | хиляди търкайте. |
| Ф1.1430 | Прогнозни задължения | 0 | хиляди търкайте. |
| F1.1450 | Други задължения | 0 | хиляди търкайте. |
| Ф1.1400 | Общо за раздел IV - Дългосрочни задължения | 0 | хиляди търкайте. |
| F1.1510 | Привлечени средства | 0 | хиляди търкайте. |
| Ф1.1520 | Задължения | 56 | хиляди търкайте. |
| F1.1530 | приходи от бъдещите периоди | 0 | хиляди търкайте. |
| F1.1540 | Прогнозни задължения | 0 | хиляди търкайте. |
| Ф1.1550 | Други задължения | 0 | хиляди търкайте. |
| Ф1.1500 | Общо за раздел V - Текущи задължения | 56 | хиляди търкайте. |
| Ф1.1700 | БАЛАНС (пасивен) | 22426 | хиляди търкайте. |
| F2.2110 | Приходи | 21813 | хиляди търкайте. |
| Ф2.2120 | Себестойност на продажбите | 21403 | хиляди търкайте. |
| Ф2.2100 | Брутна печалба (загуба) | 410 | хиляди търкайте. |
| Ф2.2210 | Разходи за продажба | 0 | хиляди търкайте. |
| F2.2220 | Разходи за управление | 0 | хиляди търкайте. |
| Ф2.2200 | Печалба (загуба) от продажби | 410 | хиляди търкайте. |
| F2.2310 | Приходи от участие в други организации | 0 | хиляди търкайте. |
| Ф2.2320 | Вземаема лихва | 0 | хиляди търкайте. |
| Ф2.2330 | Процент за плащане | 0 | хиляди търкайте. |
| F2.2340 | Други доходи | 296 | хиляди търкайте. |
| F2.2350 | други разходи | 314 | хиляди търкайте. |
| Ф2.2300 | Печалба (загуба) преди данъци | 392 | хиляди търкайте. |
| Ф2.2410 | Текущ данък върху доходите | 284 | хиляди търкайте. |
| F2.2421 | включително постоянни данъчни задължения (активи) | 0 | хиляди търкайте. |
| Ф2.2430 | Промяна на отсрочените данъчни задължения | 0 | хиляди търкайте. |
| F2.2450 | Промяна в отсрочените данъчни активи | 0 | хиляди търкайте. |
| Ф2.2460 | Друго | 0 | хиляди търкайте. |
| Ф2.2400 | Нетен доход (загуба) | 108 | хиляди търкайте. |
| F2.2510 | Резултатът от преоценката на нетекущи активи, които не са включени в нетната печалба (загуба) за периода | 0 | хиляди търкайте. |
| F2.2520 | Резултат от други операции, които не са включени в нетната печалба (загуба) за периода | 0 | хиляди търкайте. |
| Ф2.2500 | Кумулативен финансов резултат за периода | 0 | хиляди търкайте. |
Въведение
В момента в нашата страна протича бърз процес на информатизация на почти всички сфери на обществената дейност. Въпреки че управлението на документи на хартиен носител все още преобладава над електронното, поради сравнително ниското разпространение на последното, обемът на корпоративните електронни документи се удвоява на всеки три години.
С развитието на компютърните технологии и електронните технологии за обработка и предаване на информация от разстояние, както и в съответствие с федералните програми, провеждани в Русия, беше направен преход към електронно управление на документи, което направи възможно автоматизирането на много работни процеси в офиса.
Сертифициращ орган или сертифициращ орган е организация или подразделение на организация, която издава сертификати за ключ за електронен цифров подпис, той е компонент на глобалната услуга за справочници, отговорна за управлението на криптографските ключове на потребителите. Публичните ключове и друга информация за потребителите се съхраняват от сертифициращите органи под формата на цифрови сертификати.
Регистриращият орган се дефинира като субект, отговорен за идентифициране и удостоверяване на субекта на сертификат, но неспособен да подписва и издава сертификат. Между регистрационния център и сертифициращия център има постоянен обмен на информация.
Съществува обективна необходимост от осигуряване на защита на информацията както на етапа на информационно взаимодействие между регистрационния център и сертифициращия център, така и в процеса на обработка и съхранение на информация, вътрешен документооборот на регистрационния център.
Обект на изследването е подсистемата за защита на отделно подразделение на LLC „Център за защита на информацията „Гриф“. Предмет на изследването е качеството на системата за информационна сигурност на звеното.
В момента отделно подразделение на CZI Grif LLC, което е регистрационен център по функционално предназначение, има собствена система за сигурност, изградена в съответствие с инструкциите за сигурност, разработени в съответствие с изискванията на основните документи в областта на информационната сигурност . Практическият опит обаче показва, че оригиналната система за сигурност на отделен блок има редица недостатъци.
Целта на този проект е да се разработи подсистема за информационна сигурност, която да бъде по-ефективна от оригиналната.
Основните цели на дипломния проект са диагностичният анализ на предприятието CZI Grif LLC, изследването на основните заплахи и разработването на обобщен модел на системата за информационна сигурност.
1.
Диагностичен анализ ООД "JI "GRIF"
1.1 Общи характеристики на CZI Grif LLC
Център за информационна сигурност "Гриф" е организация, специализирана в предоставянето на услуги в областта на информационните технологии и информационната сигурност. Компанията е основана през 2008 г. и успешно работи на пазара.
Центърът за информационна сигурност "Grif" в съответствие с Федералния закон FZ-1 от 10 януари 2002 г. "За електронния цифров подпис" предоставя следните услуги:
Произвежда сертификати за ключове за подпис;
Създава ключове за електронни цифрови подписи по заявка на участниците в информационната система с гаранция за запазване в тайна на частния ключ на електронния цифров подпис;
Суспендира и подновява сертификатите за ключове за подпис и ги анулира;
Поддържа регистър на сертификатите за ключове за подпис, осигурява неговата актуалност и възможност за свободен достъп до него от участниците в информационните системи;
Проверява уникалността на публичните ключове на електронните цифрови подписи в регистъра на сертификатите за ключове за подпис и архива на удостоверителния център;
Издава сертификати за ключове за подпис под формата на хартиени документи и (или) под формата на електронни документи с информация за тяхната валидност;
Извършва, по искане на потребителите на сертификати за ключ за подпис, потвърждение на автентичността на електронен цифров подпис в електронен документ във връзка с издадените им сертификати за ключове за подпис.
Сертификатът на упълномощеното лице на сертифициращия център е включен в Единния държавен регистър. EDS сертификатите и ключовете се произвеждат с помощта на CryptoPro CSP, сертифициран от Федералната служба за сигурност на Руската федерация и отговарят на държавните стандарти на Руската федерация. Целият обмен на информация с Регистрационния център на Удостоверяващия орган се извършва по защитения TLS протокол с едно- и двупосочна автентификация.
1.2 Анализ на функционалната структура на CZI Grif LLC
Анализът на функционалната структура на предприятието включва анализ на процеса на функциониране на цялата система на предприятието, който представлява взаимодействието на нейните елементи, осигуряващи изпълнението на набелязаните цели под въздействието на външни фактори въз основа на наличните ресурси.
Под функционална структура се разбира специализацията на подразделения за отделни управленски функции на всички нива от йерархията на системата. Такава организация значително подобрява качеството на управление поради специализацията на мениджърите в по-тесни области на дейност.
Цялостната дейност на предприятието е съвкупност от дейности на предприятието в различни функционални области, което се отразява в процесите.
.2.1 Изграждане на функционална схема на CZI Grif LLC
Функционалната блокова схема на предприятието е резултат от разлагането на системата според функционалния принцип.
Помислете за основните подсистеми на системата за управление на предприятието. Те включват:
производствена система;
Система за осигуряване;
Организационна и управленска система.
Производствената подсистема включва функционална зона за предоставяне на услуги на населението.
Организационно-управленската подсистема е втората връзка във функционалната система на CZI Grif LLC и включва следните области:
Организация на производството;
Организация на подкрепа;
Производствен контрол;
Управление на провизии.
Поддържащата подсистема на CZI Grif LLC включва:
Финансова сигурност;
Информационна поддръжка;
Правна подкрепа;
Персонал;
Осигуряване на транспорт, суровини и материали.
По този начин можем да разгледаме функциите на всяка подсистема в декомпозицията.
Така представената функционална структура дава нагледно представяне на йерархичната структура на всяка една от подсистемите, без да се отчита разделянето на елементите според процесите, протичащи във всяка една от представените области.
Разделянето на всяка от областите на вътрешни процеси трябва да се разглежда в отделна декомпозиция, която ще бъде представена по-долу. Функционалната блокова диаграма, изградена на базата на анализа на функционирането на предприятието, е показана на фигура 1.1.
Фигура 1.1 - Функционална структура на CZI Grif LLC
1.2.2 Детайлизиране на функционалните области на управление
Всяка от функционалните области на управлението на предприятието включва редица вътрешни процеси, свързани с него.
Детайлизирането на функционалните области на управление на CZI Grif LLC помага да се разкрие тяхната вътрешна структура.
За да демонстрираме връзката на функционалните области и процесите, произтичащи от анализа, представяме информацията в таблица 1.1.
Таблица 1.1 - Таблица на връзката между функционалните области и корпоративните процеси
Функционална област Вътрешни процеси на функционалната област 1. Предоставяне на услуги на населението 1.1.Търсене на клиенти. 1.2 Предоставяне на услуги и тяхната поддръжка. 3. Информационна поддръжка 3.1.Осигуряване на ръководството на оперативна информация за вземане на управленски решения. 3.2 Организация на ефективно използване на информационните ресурси. 3.3 Осигуряване на намаляване на цикъла на управление. 4. Правна подкрепа 4.1 Предоставяне на правна информация на ръководството и служителите на организацията 4.2 Подпомагане на работата на организацията в съответствие със законодателството на Руската федерация. 5.Персонал 5.1.Персонал. 5.2.Отчитане на движението на персонала. 5.3.Планиране на численост на персонала. 5.4.Съставяне на щатно разписание. 5.5.Изготвяне на поръчки. 5.6 Планиране на ваканция. 6. Осигуряване на транспорт, суровини и материали 6.1.Отчитане на движението на материали и оборудване. 6.2.Контрол на качеството и съхранение на материалите. 6.3 Дейности по закупуване. 6.4.Определяне на нуждите от материали, ресурси и компоненти. 7. Оперативно управление 7.3.Приемане на управленски решения. 7.6.Управление на поръчките. 7.8 Управление на складове. 7.7.Управление на деловодството. 7.9.Управление на продажбите. 7.1.Разработване на стратегически планове. 7.2.Комуникация с външната среда. 7.5.Управление на производствената работа. 7.4.Оформяне на поръчки и нареждания. 8.Управление на производството 8.1 Управление на оборудването. 8.2.Управление на качеството на предоставяните услуги. 8.3.Изготвяне на резюмета и работни графици. 9. Планиране на управление 9.1.Определяне на режима на работа на предприятието. 9.2 Планиране на производствения капацитет. 9.3.Планиране на труд. 9.4 Финансово планиране. 9.5.Анализ на резервите икономическа дейност. 9.6.Управление на средствата на предприятието. 9.7.Управление на капиталовите инвестиции. 1.3 Анализ на организационната и управленска структура на CZI Grif LLC
Организационната и управленска структура на предприятието се формира по такъв начин, че да осигурява: Бързо реагиране на промените в пазарната ситуация; Възлагане на всяка изпълнявана от предприятието функция на някое от неговите структурни подразделения; Разпределение и персонифициране на отговорността за организацията и изпълнението на изпълняваните от предприятието функции и приемане на управленски решения във всяка една от областите. Ефективно разпределение на вземането на управленски решения. Всеки отдел на предприятието е самостоятелно структурно подразделение на CZI Grif LLC. Главният изпълнителен директор е лично отговорен за назначаването и освобождаването на ръководителите на отдели. Постоянно се провеждат срещи между ръководителите на отдели, на които се вземат по-голямата част от стратегическите и тактически решения във всеки отдел. Качеството на работата на цялото предприятие като цяло зависи от качеството на работа на всеки отдел, следователно е необходим интегриран подход за управление на предприятието, което се постига чрез разпределяне на ролите между отделите, в съответствие със специализацията на всеки, но поддържане на централизирана система за управление. Всяко подразделение отговаря за изпълнението на определен набор от задачи. Има три нива на системата: горно, средно и оперативно. Организационната и управленска структура на предприятието CZI Grif LLC е показана на фигура 1.2 Фигура 1.2 - Организационна и управленска структура на предприятието LLC "CZI" Grif " Основните задачи на отдел "Човешки ресурси" включват: Подбор и разпределение на персонала в предприятието, чрез оценка на тяхната квалификация и бизнес качества; Организиране на регистрация на служители във връзка с наемане, уволнение или преместване на друга длъжност в съответствие с всички правила на действащото законодателство; Издаване на удостоверения за трудовата дейност на служителите, както и попълване, поддържане и съхраняване на трудови книжки, поддържане на записи на ведомствена документация; Поставяне на обяви и наемане, обработка на входящи автобиографии, приемане на кандидати; Оформяне на документи и проучване на материали за нарушения на трудовата дисциплина; Организиране на периодични медицински прегледи и запознаване на новите служители с правилата на текущия трудов график на предприятието; Подбор на технологи, ръководители и служители и оформяне на необходимите документи; Провеждане на инструктаж и запознаване на служителите с предприятието; Изучаване на делата на служителите, техните лични и бизнес качества и предоставяне на ръководството на отчети и препоръки за движението на служителите по стъпките на йерархията на предприятието; Осигуряване на готовност на документи в областта на пенсионното осигуряване и водене на отчетност в системата на Държавното пенсионно осигуряване; Организиране на графики и задължителни медицински застраховки за служителите. Основните задачи на правния отдел включват: Осигуряване на съответствието на дейността на организацията с изискванията на действащото законодателство, защита на законните интереси на предприятието; Работа с договори и искове, отчитане на съдебната практика; Извършване на правна експертиза на актове на организацията, нормативни правни актове на местните власти; Довеждане до вниманието на персонала на особеностите на действащото законодателство и реда за прилагане в работата на подразделенията на организацията; Участие във взаимодействие с правоприлагащите органи, както и с държавни органи и местно самоуправление; Разработване и одобряване на нормативни правни актове в рамките на организацията; Анализ на нормативната уредба и отчитане на нормативната уредба на организацията. Основната задача на отдела за снабдяване е да осигури на компанията всички материални ресурси, необходими за нейната дейност. Основни задачи на финансово-икономическия отдел: Организация на финансово-стопанската дейност на предприятието и неговите поделения; Осигуряване на разполагане в интерес на предприятието на персонал от счетоводни и финансови услуги, като се вземат предвид тяхната служебна квалификация, опит, бизнес и лични качества; Организация на работа по осигуряване на безопасността на средствата и финансовата документация; Организиране на работа по разглеждане на жалби и предложения, получени от персонал по въпроси на финансово-стопанската дейност; Извършване на проверки по факти за финансови нарушения; Определяне на източниците и размерите на финансовите ресурси в предприятието. Основните задачи на счетоводството са: Изготвяне на отчети, отразяващи обективно финансовото състояние на организацията и нейната дейност за вътрешно ползване от ръководството и други упълномощени лица на организацията, както и, ако е необходимо, партньори; Анализ и оценка на използването на вътрешните резерви на организацията; Идентифициране на неизползваните производствени резерви и тяхното мобилизиране с цел последващо ефективно използване; Предотвратяване на ситуации, при които дейността на организацията може да причини загуби и да изпадне в положение на финансова нестабилност; Своевременно предоставяне на необходимата информация на вътрешните потребители на финансови отчети за различни контролни дейности и стопански операции с подходяща ефективност и експедитивност. По този начин с тази система на разпределение на роли и функции в предприятието се постига най-голяма ефективност при изпълнението на основните му дейности, свързана с тясната специализация на всеки отдел на CZI Grif LLC. .4 Анализ на целите на ООО CZI Grif
Целта е идеален или реален обект на съзнателния или несъзнателен стремеж на субекта, крайният резултат, към който процесът умишлено е насочен. Поставянето на цели включва създаването на йерархична система от основни цели, които ще бъдат разбити на по-тесни специфични цели. Адекватното поставяне на целите на дейността ви позволява точно да изберете способните и средствата за постигането им и да ги постигнете възможно най-ефективно. За да се анализират целите на предприятието, е необходимо да се изгради дърво от цели въз основа на наличната информация за системата. В тази йерархична система целите от по-ниско ниво ще действат като средство за постигане на цели от по-високо ниво. Трябва да изградим правилен, но прост модел. За да направим това, ще следваме следните принципи: Принципът на пълнотата. Той предполага пълното постигане на целта чрез постигане на подцели. Принципът на наслагване на подцелите. Подцелите изглеждат независими. Принцип на крайност на декомпозицията Алгоритъмът за декомпозиция включва краен брой стъпки. Използвайки таблица 1.2, ние илюстрираме класификацията на подцелите. Въз основа на анализа на целите на предприятието ще изградим дърво от цели, което е показано на фигура 1.3. Таблица 1.2 - Анализ на целите на предприятието LLC "CZI" Grif " Средства за постижение Критерий за ефективност С0 - максимална печалба С01 - увеличение на броя на сключените договори C1 - максимално подобряване на качеството на предоставяните услуги C11 - повишаване на квалификацията на служителите; С12 - увеличаване на броя на съдружниците; C13 - максимално подобряване на качеството на предоставяните услуги; Повишаване нивото на конкурентоспособност и повишаване на влиянието на компанията в областта на информационната сигурност C2 - осигуряване на високо ниво на професионална компетентност C21 - ефективност на управлението на персонала; C22 - изучаване на опита от работа с персонал. Повишаване на професионалното ниво на служителите Фигура 1.3 - Дървото на целите на LLC "JI "Grif" По този начин получаваме дърво от цели, което отговаря на посочените принципи, отразяващи структурата на целите на CZI Grif LLC. .5 Идентифициране на проблемни ситуации LLC CZI Grif
Ефективността на процеса на управление на предприятието до голяма степен зависи от това колко добре се идентифицират проблемните ситуации в производствения процес и колко бързо и ефективно се взема решение след идентифицирането. Всяко предприятие трябва да се разглежда, като се вземат предвид спецификите на неговата работа. Ако възникне проблем – ситуация на несъответствие между желаното и реалното състояние на системата – се прилага набор от мерки за преодоляване на такава ситуация. Най-оптималният е интегриран подход за решаване на проблемни ситуации. При този подход е важно правилно да се формулират редица проблеми и връзките между тях и да се решава не всеки проблем поотделно, а група проблеми на едно или друго ниво от системната йерархия. За поетапно разглеждане на проблемни ситуации се разглежда всяко от нивата на корпоративната система. Всяка от възможните ситуации се разглежда за несъответствие между желаното и действителното и след това се избира методът на решение, който е най-подходящ за разрешаване на тази ситуация. Във връзка с анализа на CZI Grif LLC, като проблеми, преди всичко ще бъдат разгледани ситуации, при които постигането на подцелите може да бъде невъзможно или трудно, което от своя страна може да попречи на постигането на ключовата цел на организацията . За да представим възможните начини за решаване на проблемни ситуации на предприятието, ще съставим списък с възможни проблеми. Анализът на проблемните ситуации на CZI Grif LLC е показан в Таблица 1.3. Таблица 1.3 - Анализ на проблемните ситуации на ООО CZI Grif
Проблемна ситуация Методи за решение 1. Спад в качеството на управление на предприятието 1.1.Увеличаване на документопотока на организацията 1. Счетоводна автоматизация 1.2.Увеличено време за вземане на решение, влошаване на качеството му 1. Автоматизиране на събирането и обработката на информация 2. Модификация на схемата за анализ на ситуацията 1.3 Неправилно тактическо и стратегическо планиране 1. Анализ на оперативната информация и създаване на система за планиране 2.Намаляване на качеството на услугата 2.1 Понижаване на качеството на услугите 1. Извършване на промени в системата, като се вземат предвид коментарите на клиентите 2.2 Погрешно изложение на техническите спецификации 1. Създаване на многоетапна система за съгласуване на техническото задание с клиента 2.5 Нарастване на броя на грешките при анализа на информацията 1. Автоматизация на анализа и събирането на информация. 2.6 Кражба на търговска информация и лични данни 1. Анализ на съществуващата система за защита, идентифициране на слабостите и разработване на модифицирана система за управление на документи 3. Намалено качество счетоводство 3.1.Трудности при организиране и търсене на информация 1. Автоматизация и въвеждане на електронен документооборот. 2. Промяна на счетоводните методи. 3.2 Нарастване на броя на грешките при отчитане на ДМА 3.3.Увеличаване на времето за обработка на данните 4. Понижаване на качеството на работата на службата за персонал 4.1.Злоупотреба с власт от служители на организацията 1. Разработване на комплекс от мерки за повишаване на отговорността на служителите при изпълнение на техните задължения 2. Привличане на служителите към административна отговорност в съответствие с кодекс на труда RF Така от таблицата се вижда, че значителна част от проблемите на организацията са свързани с обработката, съхранението, систематизирането и използването на информация от различен вид, на различни нива. Проблемът с кражбата на информация ще бъде решен при разработването на този проект чрез анализ на съществуващата система за информационна сигурност, идентифициране на недостатъците на тази система и разработване на нова, модифицирана система за информационна сигурност. 2. Анализ на подсистемата за проверка на целостта и автентичността на информацията на LLC "CZI "Grif"
Важни инструменти за сигурност са процедурите за гарантиране на целостта и автентичността на данните. Нека анализираме подсистемата за проверка на целостта и автентичността на информацията на OOO CZI Grif. Метод, който ви позволява да криптирате съобщения чрез обмен на ключове по отворени комуникационни канали, е изобретен в средата на 70-те години на миналия век, а в началото на осемдесетте години се появява първият алгоритъм, който го прилага, rsa. Сега потребителят може да генерира два свързани ключа - двойка ключове. Един от тези ключове се изпраща по несекретни канали до всеки, с когото потребителят би искал да обменя поверителни съобщения. Този ключ се нарича публичен ключ. Познавайки публичния ключ на потребителя, можете да шифровате съобщението, адресирано до него, но само втората част от двойката ключове, частният ключ, може да го дешифрира. В същото време публичният ключ не дава възможност за изчисляване на частния ключ: въпреки че подобна задача по принцип е разрешима, тя изисква много години компютърно време за достатъчно голям размер на ключа. За да запази поверителността, получателят трябва само да пази своя частен ключ в строга тайна, а подателят трябва да се увери, че публичният ключ, който притежава, всъщност принадлежи на получателя. Тъй като за криптиране и декриптиране се използват различни ключове, алгоритмите от този вид се наричат асиметрични. Най-същественият им недостатък е ниската им производителност – те са около 100 пъти по-бавни от симетричните алгоритми. Следователно са създадени криптографски схеми, които се възползват както от симетрични, така и от асиметрични алгоритми: За криптиране на файл или съобщение се използва бърз симетричен алгоритъм, а ключът за криптиране се генерира на случаен принцип с приемливи статистически свойства; Малък симетричен ключ за криптиране се криптира с помощта на асиметричен алгоритъм, използвайки публичния ключ на получателя и се изпраща криптиран заедно със съобщението; След като получи съобщението, адресатът дешифрира симетричния ключ със своя частен ключ, а с негова помощ и самото съобщение. За да се избегне криптирането на цялото съобщение с асиметрични алгоритми, се използва хеширане: хеш стойността на оригиналното съобщение се изчислява и само тази кратка последователност от байтове се криптира с частния ключ на подателя. Резултатът е електронен цифров подпис. Добавянето на такъв подпис към съобщение ви позволява да зададете: Автентичност на съобщението - само неговият собственик може да създаде подпис въз основа на частния ключ; Цялост на данните - изчислете хеш стойността на полученото съобщение и я сравнете с тази, съхранена в подписа: ако стойностите съвпадат, тогава съобщението не е променено от нападателя, след като подателят го е подписал. По този начин асиметричните алгоритми позволяват решаването на два проблема: обмен на ключове за криптиране през отворени комуникационни канали и подпис на съобщение. За да се възползвате от тези функции, трябва да генерирате и съхранявате две двойки ключове - за обмен на ключове и за подписи. CryptoAPI ще ни помогне в това. Всеки доставчик на крипто има база данни, която съхранява дългосрочни потребителски ключове. Базата данни съдържа един или повече ключови контейнери. Потребителят може да създаде множество контейнери с различни имена (по подразбиране името на контейнера е потребителското име в системата). Връзката с контейнера се осъществява едновременно с получаване на контекста на криптографския доставчик при извикване на функцията cryptacquirecontext - името на контейнера с ключ се предава на функцията като неин втори аргумент. Ако вторият аргумент съдържа нулев указател (nil), тогава се използва името по подразбиране, тоест потребителското име. В случай, че достъпът до контейнера не е необходим, можете да предадете флага crypt_verifycontext в последния аргумент на функцията; ако е необходимо да се създаде нов контейнер, се използва флагът crypt_newkeyset; и да изтриете съществуващ контейнер заедно със съхранените в него ключове - crypt_deletekeyset. Всеки контейнер може да съдържа най-малко две двойки ключове - ключ за обмен и ключ за подпис. Ключовете, използвани за криптиране от симетрични алгоритми, не се съхраняват. След като създадете контейнера с ключове, трябва да генерирате двойки ключове за обмен и подпис. Тази работа в CryptoAPI се извършва от функцията cryptgenkey (доставчик, алгоритъм, флагове, ключ): Доставчик - дескриптор на cryptoprovider, получен в резултат на извикване на функцията cryptacquirecontext; Алгоритъм - показва на кой алгоритъм за криптиране ще отговаря генерираният ключ. По този начин информацията за алгоритъма е част от описанието на ключа. Всеки доставчик на криптовалути използва строго определени алгоритми за обмен и подписване на ключове. По този начин доставчиците от типа prov_rsa_full, които включват основния криптографски доставчик на Microsoft, прилагат алгоритъма rsa; Флагове - когато създавате асиметрични ключове, контролира техния размер. Криптографският доставчик, който използваме, ви позволява да генерирате ключ за обмен на ключове с дължина от 384 до 512 бита, а ключ за подписване - от 512 до 16384 бита. Колкото по-дълга е дължината на ключа, толкова по-висока е неговата надеждност, следователно не се препоръчва използването на ключ за обмен на ключ с дължина по-малка от 512 бита и не се препоръчва дължината на ключа за подпис да е по-малка от 1024 бита. По подразбиране доставчикът на крипто генерира и двата ключа с дължина 512 бита. Необходимата дължина на ключа може да бъде предадена във високата дума на параметъра flags: Ключ - в случай на успешно завършване на функцията, в този параметър се въвежда дескрипторът на създадения ключ. В полето "Контейнер" можете да посочите името на контейнера с ключ; оставяйки това поле празно, ще използва контейнера по подразбиране. След генериране на ключа, в полето за бележка се извежда отчет за неговите параметри. За това се използва функцията cryptgetkeyparam (ключ, параметър, буфер, размер, флагове). За да получите информация за необходимия параметър, трябва да прехвърлите съответната константа през втория аргумент на функцията: kp_algid - идентификатор на алгоритъма, kp_keylen - размер на ключа и т.н. процедура tgenerateform.okbtnclick(sender: tobject); cont:pchar; :низ; :hcryptprov; , знаков ключ: hcryptkey; флаг, keylen: dword; (прочетете името на контейнера) length(containeredit.text) = 0 cont:= nil:= containeredit.text; := stralloc(дължина(грешка) + 1); (продължение, грешка); ; (@hprov, продължи, нула, prov_rsa_full, 0); (генериране на ключове за обмен на ключове) kekcheckbox.checked тогава (прочетете дължината на ключа и го поставете висока дума на параметъра FLAGS) := strtoint(keyexchlenedit.text); флаг:= keylen shl 16; не cryptgenkey(hprov, at_keyexchange, flag, @keyexchkey) тогава (обработка на грешка).lines.add(""); .lines.add("Създаден ключ за обмен на ключ:"); := 4; не cryptgetkeyparam(keyexchkey, kp_keylen, @keylen, @flag, 0) след това (обработка на грешки)reportmemo.lines.add(" дължина на ключа - " + inttostr(keylen)); := 4; не cryptgetkeyparam(keyexchkey, kp_algid, @keylen, @flag, 0) след това (обработка на грешки)reportmemo.lines.add(" алгоритъм - " + algidtostr(keylen)); (Функцията algidtostr не е показана тук. Състои се от единичен case изявление, което съпоставя идентификатор на целочислен алгоритъм в низ) (генериране на ключ за подпис) skcheckbox.checked след това (извършва се подобно на генерирането на ключове за обмен); cryptreleasecontext(hprov, 0); При експортиране ключовите данни се записват в един от трите възможни формата: Publickeyblob - използва се за съхранение на публични ключове. Тъй като публичните ключове не са секретни, те се съхраняват некриптирани; Privatekeyblob - използва се за съхраняване на цялата двойка ключове (публични и частни ключове). Тези данни са силно секретни, следователно се съхраняват в криптирана форма, а ключът на сесията (и съответно симетричен алгоритъм) се използва за криптиране; Simpleblob - използва се за съхраняване на ключове за сесия. За да се гарантира поверителност, ключовите данни се криптират с публичния ключ на получателя на съобщението. Експортирането на ключове в CryptoAPI се извършва от функцията cryptexportkey (експортиран ключ, дестинационен ключ, формат, флагове, буфер, размер на буфера): Експортиран ключ - дескрипторът на необходимия ключ; Целеви ключ - в случай на запазване на публичния ключ, той трябва да е равен на нула (данните не са криптирани); Формат – определя един от възможните формати за експортиране (publickeyblob, privatekeyblob, simpleblob); Флагове - запазени за бъдещето (трябва да е нула); Буфер – съдържа адреса на буфера, в който ще бъде записан ключовото блоб (двоичен голям обект); Размер на буфера - когато функцията се извика, тази променлива трябва да съдържа наличния размер на буфера и в края на работата в нея се записва количеството експортирани данни. Ако размерът на буфера не е известен предварително, тогава функцията трябва да бъде извикана с параметър на буфера, равен на нулев указател, тогава размерът на буфера ще бъде изчислен и въведен в променливата за размер на буфера. Може да се наложи да експортирате цялата двойка ключове, включително частния ключ, за да можете да подписвате документи на различни компютри (например у дома и на работа) или да запазите резервно копие. В този случай трябва да създадете ключ за криптиране въз основа на паролата и да подадете манипулатор към този ключ като втори параметър на функцията cryptexportkey. Функцията cryptgetuserkey (доставчик, описание на ключ, дескриптор на ключ) ви позволява да поискате дескриптора на експортирания ключ от доставчика на крипто. Описанието на ключа е или at_keyexchange, или at_signature. texportform.okbtnclick(sender: tobject); cont:pchar; :низ; :hcryptprov; , expkey: hcryptkey; : pbyte; :dword; :файл; hash:hcrypthash; (ако не е избран клавиш - излезте) ако не (kekcheckbox.checked или skcheckbox.checked), тогава излезте; (ако е необходима парола, т.е. цялата двойка ключове се експортира) ако passwedit.enabled и (passwedit.text<>passw2edit.text) след това begin("Грешка при въвеждане на парола! Моля, опитайте отново.", mterror, ., 0); ; ; „прочетете“ името на контейнера и се свържете с доставчика на криптовалута ако имате нужда от ключ за криптиране - създайте го въз основа на паролата (ключ за обмен на ключове) kekcheckbox.checked тогава (вземете манипулатор на ключ) (hprov, at_keyexchange, @key); (дефинираме размера на буфера за експортиране на ключа) if (whatradiogroup.itemindex = 0) then (key, 0, publickeyblob, 0, nil, @buflen) cryptexportkey(key, expkey, privatekeyblob, 0, nil, @buflen); (pbuf, буфер); (износ на данни) (whatradiogroup.itemindex = 0) след това (ключ, 0, publickeyblob, 0, pbuf, @buflen) cryptexportkey(key, expkey, privatekeyblob, 0, pbuf, @buflen); (освободете дръжката на ключа за обмен на ключове (самият ключ не се унищожава в този случай)) (ключ); .title:= "Посочете файл, за да запазите ключа за обмен на ключове"; ако savedialog1.execute тогава (f, savedialog1.filename); (f, 1); (f, pbuf^, buflen); (е); („Ключът за обмен на ключове е запазен успешно“, информация, ., 0); ; вярно; (размяна на ключове) (ключ за подпис) skcheckbox.checked тогава (подобно на ключа за обмен на ключове) до истина; (подпис) ако ключът е създаден въз основа на парола, ние го унищожаваме, след което пускаме контекста на криптографския доставчик Публичните части на ключовете, експортирани по този начин, са необходими за проверка на подписа и дешифриране на ключа на сесията. Импортирането на двойки ключове в новосъздадения контейнер е отделна процедура. Трябва да попитате потребителя за името и паролата на контейнера, да се свържете с доставчика, да създадете ключ въз основа на паролата, да прочетете импортираните данни от файла в буфера и след това да използвате функцията cryptimportkey (доставчик, буфер, дължина на буфера , ключ за декриптиране, флагове, импортиран ключ). Ако е необходимо да се осигури възможност за експортиране на импортираната двойка ключове по-късно, стойността crypt_exportable трябва да бъде предадена в параметъра flags, в противен случай извикването на функцията cryptexportkey за тази двойка ключове води до грешка. заключения 1. Извършен е поетапен анализ на CZI Grif LLC. 2. В резултат на анализа на функционалната структура е изграден функционален модел на предприятието. Идентифицирани са основните цели, които стоят пред предприятието и начините за тяхното постигане. Изградено е дърво за цели. Идентифицират се основните проблемни ситуации и се определят методи за тяхното разрешаване. В дипломния проект се избира проблемна ситуация за решаване. Идентифицирани са основните задачи, които стоят пред организацията и се определят приоритетите при решаването на проблемите. Анализът показа осъществимостта и необходимостта от решаване на проблема, разгледан в тази статия. 2. .1 Анализ на спецификата на информационните процеси в инфраструктурата с публичен ключ (PKI)
Основната функционална цел на разглежданото отделно подразделение на CZI Grif LLC е функцията на регистрационния център. Регистриращият орган е един от най-важните крайни компоненти на инфраструктурата с публичен ключ. За да се определят основните заплахи за сигурността на отделно подразделение, е необходимо подразделението да се разглежда като елемент от системата, с който активно взаимодейства. Инфраструктурата с публичен ключ е сложна система, чиито услуги се реализират и предоставят с помощта на технология с публичен ключ. Целта на PKI е да управлява ключове и сертификати, чрез които една корпорация може да поддържа надеждна мрежова среда. PKI позволява услугите за криптиране и цифров подпис да се използват съвместно с широк спектър от приложения, работещи в среда с публичен ключ. Основните компоненти на PKI са: Център за проверка; Регистрационен център; Хранилище на сертификати; Архив на сертификати; Крайни субекти (потребители). Взаимодействието на PKI компонентите е илюстрирано на Фигура 1.1. Като част от PKI има подсистеми за издаване и отмяна на сертификати, създаване на резервни копия и възстановяване на ключове, извършване на криптографски операции и управление на жизнения цикъл на сертификатите и ключовете. Потребителският клиентски софтуер взаимодейства с всички тези подсистеми. Основната предпоставка на криптографията с публичен ключ беше, че две непознати субекти трябва да могат да комуникират сигурно един с друг. Например, ако потребител А иска да изпрати поверително съобщение до потребител Б, с когото не се е срещал преди, тогава, за да криптира съобщението, той трябва да може по някакъв начин да свърже потребител Б и неговия публичен ключ. За общност от потенциални потребители, обединяваща стотици хиляди или милиони субекти, най-практичният начин за свързване на публичните ключове и техните собственици е организирането на доверени центрове. Тези центрове се доверяват от по-голямата част от общността или евентуално от цялата общност, за да изпълняват функции за свързване на ключове и идентификация на потребителя (идентификация). Такива доверени центрове в терминологията на PKI се наричат сертифициращи центрове (CAs); те удостоверяват свързването на двойка ключове с идентичност чрез цифрово подписване на структура от данни, която съдържа някакво представяне на самоличността и съответния публичен ключ. Тази структура от данни се нарича сертификат за публичен ключ (или просто сертификат). Сертификатът е вид регистрирана самоличност, която се съхранява в цифров формат и е призната като легитимна и доверена от общността на потребителите на PKI. За проверка електронен сертификатизползва се електронен цифров подпис на ТО – в този смисъл удостоверителният център се оприличава на нотариална кантора, тъй като потвърждава автентичността на страните, участващи в обмена на електронни съобщения или документи. Въпреки че CA не винаги е част от PKI (особено малки инфраструктури или такива, работещи в затворена среда, където потребителите могат ефективно да изпълняват функции за управление на сертификати сами), той е критичен компонент на много широкомащабни PKI. Директното използване на публични ключове изисква тяхната допълнителна защита и идентификация, за да се установи връзка с секретния ключ. Без такава допълнителна защита нападателят може да се представя за подателя на подписаните данни и за получателя на криптираните данни, като замести стойността на публичния ключ или наруши неговата идентичност. Всичко това води до необходимостта от удостоверяване – проверка на публичен ключ. CA обединява хората, процесите, софтуера и хардуера, участващи в сигурното свързване на потребителски имена и техните публични ключове. Сертифициращият орган е известен на субектите на PKI чрез два атрибута: име и публичен ключ. CA включва името си във всеки сертификат, който издава, и в списъка за анулиране на сертификати (CRL) и ги подписва със собствен частен ключ. Потребителите могат лесно да идентифицират сертификати по името на CA и да проверят тяхната автентичност, като използват публичния му ключ. Регистриращият орган (CR) е незадължителен компонент на PKI. Обикновено CA получава от сертифициращия орган правомощието да регистрира потребители, да осигури взаимодействието им с CA и да провери информацията, която е въведена в сертификата. Сертификатът може да съдържа информация, предоставена от лицето, което кандидатства за сертификат и представя документ (паспорт, шофьорска книжка, чекова книжка и др.) или трета страна (например кредитна агенция - за кредитния лимит на пластмасова карта ). Понякога сертификатът включва информация от отдела за персонал или данни, които характеризират авторитета на субекта в компанията (например правото на подписване на документи от определена категория). CR обобщава тази информация и я предоставя на CA. СО може да работи с няколко регистрационни центъра, като в този случай поддържа списък с акредитирани регистрационни центрове, тоест тези, които са признати за надеждни. CA издава сертификат на RA и го разграничава по неговото име и публичен ключ. CR действа като обект, подчинен на CA и трябва да защитава адекватно своя секретен ключ. Когато проверява подписа на RA върху съобщение или документ, CA разчита на надеждността на информацията, предоставена от RA. CR обединява комплекс от софтуер и хардуер и хората, работещи върху него. Функциите на CA могат да включват генериране и архивиране на ключове, уведомление за анулиране на сертификат, публикуване на сертификати и CAC в директорията LDAP и т.н. Но CA няма правомощия да издава сертификати и списъци за анулиране на сертификати. Понякога самият CA изпълнява функциите на CR. Хранилище - специален обект на инфраструктурата на публичните ключове, база данни, която съхранява регистър на сертификати (терминът "регистър на сертификати за ключове за подпис" е въведен на практика със Закона на Руската федерация "За електронния цифров подпис"). Хранилището значително опростява управлението на системата и достъпа до ресурси. Той предоставя информация за състоянието на сертификата, съхранява и разпространява сертификати и CAC и управлява промените в сертификатите. Хранилището има следните изисквания: Лекота и стандарт на достъп; Редовност на актуализиране на информацията; Вградена сигурност; Лесно управление; Съвместимост с други хранилища (по избор). Хранилището обикновено се хоства на сървър на директории, организиран според международния стандарт X.500 и подмножество от него. Повечето сървъри на директории и приложения софтуерпотребителите поддържат Lightweight Directory Access Protocol (LDAP). Този унифициран подход позволява оперативна съвместимост на PKI приложенията и позволява на разчитащите страни да получат информация за състоянието на сертификатите за проверка на цифрови подписи. Функцията за дългосрочно съхранение и защита на информацията за всички издадени сертификати е възложена на архива на сертификатите. Архивът поддържа база данни, използвана в случаи на спорове относно надеждността на електронните цифрови подписи, използвани за удостоверяване на документи в миналото. Архивът потвърждава качеството на информацията в момента на нейното получаване и гарантира целостта на данните по време на съхранение. Информацията, предоставена от CA на архива, трябва да е достатъчна за определяне на статуса на сертификатите и техния издател. Архивът трябва да бъде защитен с подходящи технически средства и процедури. Крайните субекти или потребители на PKI попадат в две категории: притежатели на сертификати и доверяващи се страни. Те използват някои от услугите и функциите на PKI за получаване на сертификати или проверка на сертификати от други субекти. Собственикът на сертификат може да бъде физическо лице или субект, приложение, сървър и др. Доверяващите се страни изискват и разчитат на информация за състоянието на сертификатите и публичните ключове за подпис на техните партньори за бизнес комуникация. Информацията, представена в този подраздел, ни позволява да продължим разлагането по информационни процеси, протичащи в разглежданата система. Така може да се каже, че сигурността на отделен субект до голяма степен зависи от сигурността на цялостната инфраструктурна система с публичен ключ, в която изолираният субект е включен като регистрационен център. 2.2 Анализ на обмена на информация между обособено подразделение и сертифициращ център
Между отделно подразделение, което по-нататък ще наричаме регистрационен център (CR), и сертифициращ център (CA), има активен обмен на информация в процеса на предоставяне на услуги. Крайният потребител на услугите на компанията неизбежно участва в този обмен на информация. Действията на CA са ограничени от политиката за прилагане на сертификати (CPP), която определя целта и съдържанието на сертификатите. CA защитава адекватно своя частен ключ и публично публикува своята политика, така че потребителите да могат да се запознаят с целта и правилата за използване на сертификати. Преглеждайки политиката за сертификати и решавайки, че имат доверие на CA и неговите бизнес операции, потребителите могат да разчитат на сертификати, издадени от този орган. По този начин в PKI CA действат като доверена трета страна. Сертифициращият орган се доверява на регистрационния орган, за да провери информацията за обекта. Регистрационният център, след като провери коректността на информацията, я подписва със своя ключ и я прехвърля в сертифициращия център, който, след като провери ключа на регистрационния център, издава сертификат. CA осигурява приемане, предварителна обработка на външни заявки за създаване на сертификати или за промяна на статуса на вече валидни сертификати. CR предоставя: Разграничаване на достъпа до контролите на CR въз основа на състава на собствения електронен сертификат, представен от Администратора за взаимодействие с потребителя, което определя ролята на администратора и нивото на правомощия. 2. Получаване и обработване на заявка от администратори за взаимодействие с потребители за издаване на сертификат или промяна на статуса на вече издаден сертификат, с последващо предаване на заявката до ОС. Съхранение на сертифицирани заявки и дневници на събития за определен период, предвиден от оперативните разпоредби на системата, в която работи CA. Архивиране на външен носител на локалния архив. Изпълнение на административни функции на ЧР. Политиката за сигурност на CR предполага, че CR ще обработи заявка във формат PKCS#10. Обхват - заявка за създаване на електронен сертификат с локално (външно, по отношение на CA) формиране на двойка ключове. Периодът на валидност на сертификатите, създадени с помощта на този тип заявка, се определя в конфигурацията на CA. Въз основа на технологията на този тип заявка (в зависимост от конфигурацията и приетата политика за сигурност) следните типове могат да се считат за приемливи в CA: Заявката е генерирана от по-рано нерегистриран потребител. Характеристика на формата PKCS#10 е, че заявката за генериране на сертификат се подписва с частен ключ, чийто съответен публичен ключ все още не е регистриран в системата и все още не е издаден сертификат за него. Следователно заявката е анонимна за CA, записва се само фактът, че инициаторът на заявката притежава частния ключ и иска издаване на сертификат, заверен от CA за съответния публичен ключ. Заявки от този вид не се препоръчват директно за обработка в CR. 2. Заявката се формира като преиздаване на вече съществуващ, валиден в момента сертификат. Заявката е обвита в CMC обвивка (RFC 2797). Техническата реализация прави възможно генерирането на такава заявка, без да се дава възможност на потребителя да прави промени в състава на сертификата, а контролът се извършва както на абонатната станция, така и на програмно ниво в CR. Недостатъкът на този тип заявка е, че няма контрол върху броя на самоиздадените потребителски сертификати. Заявката се генерира въз основа на специално регистрационно удостоверение, създадено по-рано (има специално разширение, което ограничава обхвата на приложение само до процедурите за регистрация). Заявката е опакована в CMC обвивка (RFC 2797), подписана на частния ключ на регистрационния сертификат. Техническото изпълнение осигурява еднократно използване на удостоверения за регистрация. Заявката е създадена от самия потребител и доставена на услугата „Администратори за взаимодействие с потребители“ (няма директна доставка на заявката до CA). Преди това такава заявка трябва да бъде проверена за истинността на посочената информация и пакетирана в CMS, подписан от администратора за взаимодействие с потребители с правомощия да издава сертификати. По същия начин могат да се приемат заявки в режим на преиздаване за собствени или регистрационни удостоверения. Процесът на взаимодействие между CA и CA при обслужване на клиент от CA оператора е показан на фигура 2.2. защита на автентичността на обмена на информация 2.3 Анализ на подсистемата за криптирани съобщения
Компонентът за криптиране може да се счита за един от ключовите компоненти на системата за информационна сигурност на отделно подразделение. Ще разгледаме подробно този компонент и ще го представим като модел. Асиметричните алгоритми улесняват обмена на ключове за криптиране през отворен комуникационен канал, но те са твърде бавни. Симетричните алгоритми са бързи, но обменът на ключове изисква защитен канал за комуникация и изисква чести промени на ключовете. Следователно съвременните криптосистеми използват силните страни и на двата подхода. Така че, за криптиране на съобщение, се използва симетричен алгоритъм с произволен ключ за криптиране, който е валиден само в рамките на същата сесия като ключа на сесията. За да може по-късно съобщението да бъде декриптирано, ключът на сесията се криптира с асиметричен алгоритъм, използвайки публичния ключ на получателя на съобщението. Ключът на сесията, криптиран по този начин, се съхранява със съобщението, образувайки цифров плик. При необходимост цифровият плик може да съдържа сесионен ключ в няколко копия – криптиран с публичните ключове на различни получатели. За да създадете електронен цифров подпис, е необходимо да изчислите хеша на дадения файл и да криптирате този „цифров пръстов отпечатък на съобщението“ с вашия частен ключ – „sign“. За да бъде впоследствие проверен подписът, е необходимо да се посочи кой алгоритъм за хеширане е използван за създаването му. Списъкът на програмата е даден в Приложение А. 2.4 Анализ на основните видове заплахи за информационната сигурност на обособено подразделение
Въз основа на получената информация е възможно да се анализират основните видове заплахи за сигурността на защитената информация на отделно подразделение на различни етапи от информационния процес. На етапа на съхраняване на необработени документи на хартия сме изправени пред заплахата от загуба на лични данни. Документите могат да бъдат загубени или откраднати от натрапник. В регистрационния център: Няма система за управление на документи; Не се съхраняват документи, съдържащи лични данни; Няма мерки за ограничаване на достъпа до документи. Етапът на съхраняване на хартиена информация е последван от етапа на цифровизиране на наличните данни. Етапът на цифровизация включва допълнителна обработка на документи: Присвояване на регистрационен номер на заявленията; Процесът на регистрация на кандидат в системата на удостоверителния център чрез подаване на заявление за регистрация с въведените идентификационни данни; Сканиране на документи, именуване на сканирания според регистрационните номера. Съхранение на данни на хартия; Съхранение на данни на твърд диск. На този етап са уместни следните заплахи: Заплахата от неоторизиран достъп до защитена информация, включително чрез софтуерни отметки, вируси; Заплаха от копиране на защитена информация; Заплаха от промяна на защитена информация; Заплаха от загуба, кражба на защитена информация. След това излишните данни на хартия - чернови, допълнителни копия на приложения, съдържащи лични данни - се изхвърлят. Тук се сблъскваме с факта, че се формира материален канал за изтичане на информация и съществува заплаха от получаване на лични данни от нападател, тъй като технологията за унищожаване на хартиени носители не е предвидена. Трябва също да се отбележи, че процедурата за унищожаване на данни на твърдия диск след качването им на CA сървъра не е дефинирана. Документопотокът между CR и CA се осъществява по два начина: По поща; На този етап са подходящи следните видове заплахи: Заплахата от прихващане и модифициране на защитена информация при предаване през Интернет; Заплахата от замяна на CA сървъра от нападател за получаване на поверителна информация. Този списък със заплахи за сигурността не е изчерпателен, но отразява най-важните заплахи, срещани при работата на регистрационния център. След изграждане на модел на заплахи за информационната сигурност на регистрационния център, става възможно да се разработи подобрен модел на системата за информационна сигурност на отделно подразделение на CZI Grif LLC. заключения 1. Извършено е проучване на спецификата на информационните процеси в инфраструктурата с публичен ключ, чийто компонент по функционално предназначение е обособен подраздел. Идентифицирани са основните процеси, протичащи между отделно подразделение и система от по-високо ниво, които могат да бъдат изложени на заплахи. 3. Подробно е описан един от ключовите процеси, влияещи върху генерирането на поверителна информация – процесът на обслужване на клиент от CR оператора. Извършен е поетапен анализ на информационните процеси в обособен подраздел. 5. На базата на анализа е изграден модел на заплахи за информационната сигурност на регистрационния център. По този начин, въз основа на анализа на информационните процеси във вътрешната система на отделно подразделение на CZI Grif LLC, както и анализа на процесите на взаимодействие на отделно подразделение като елемент от система от по-висок порядък, списък на текущата информационна сигурност бяха идентифицирани заплахи и беше изграден модел на заплаха. . .1 Изграждане на първоначална подсистема за информационна сигурност на обособен участък
За да се анализира модела на системата за сигурност на отделно подразделение, на първо място е необходимо да се изгради модел на канала за предаване на информация от момента на получаване на документи от клиента до момента на прехвърляне на защитената информация към център за сертифициране. Диаграмата на дейността на UML информационните процеси на регистрационния център е показана на фигура 3.1. Фигура 3.1 - Диаграма на дейността на UML на информационните процеси в регистрационния център Началните етапи на работа с приетите документи са етапите на съхранение и обработка на данните. В резултат на обработката ненужните лични данни се унищожават, документите се сканират, т.е. се дублират в цифров вид и се съхраняват отново, докато бъдат прехвърлени в сертифициращия център. 1. На етапите на съхраняване на документи на хартиен носител няма специфични мерки за защита, отчитане и класифициране на информацията. 2. На етапите на обработка и съхранение на информация на твърд диск се осигуряват следните мерки за защита: Вход с парола; Наличие на антивирусен софтуер; Подписване на изображения с цифров подпис на упълномощено лице на CR преди публикуването им на сървъра. 3. На етапа на качване на изображения на сървъра се осигуряват следните мерки за защита: За организиране на защитен канал за предаване на данни за CA и CR и за удостоверяване се използват: APKSh "Континент", CIPF CryptoPro CSP и CryptoPro TLS протокол. Необходимо е да се разработи модел на подсистемата за сигурност на регистрационния център. За да бъде защитата изчерпателна, подсистемата за сигурност трябва да функционира на всички нива на системата и на всички етапи от информационните процеси, протичащи в отделно подразделение на CZI Grif LLC. С този подход ще бъде възможно да се предотврати прилагането на заплахи за информационната сигурност на всички етапи на обмена на информация и да се контролира ефективността на подсистемата за сигурност. За по-нататъшно развитие на подсистемата за сигурност е необходимо да се изгради първичен модел, на базата на който ще бъде изградена нова подсистема за сигурност. Моделът на съществуващата в момента система за информационна сигурност на обособено подразделение е показан на фигура 3.2. 3.2 Разработване на подобрен модел на подсистемата за защита на регистрационния център След анализ на съществуващия модел на системата за информационна сигурност на ЧР и основните заплахи за сигурността беше установено, че моделът на защита трябва да бъде променен. Всеки етап от информационния процес, протичащ в разглежданата система, съответства на редица мерки, осигуряващи информационната сигурност. На етапа на съхраняване на необработени документи на хартия сме изправени пред заплахата от загуба и неоторизиран достъп до лични данни. За този етап се предлага: Ограничаване на достъпа до лични данни чрез запечатване на вратата и контролиране на достъпа до помещенията, където се съхраняват лични данни; Инсталиране на алармена система и сключване на договор за дистанционна защита с неведомствени органи; Организирайте отдел за управление на документи за регистрационния център, водете записи за движението на приетите документи в дневниците. Тези организационни мерки за защита ви позволяват едновременно да контролирате личните данни и на етапа на съхранение на вече обработени документи. На етапа на дигитализация и съхранение на информацията степента на защита се признава за достатъчна за защита на личните данни и в същото време да не намалява ефективността на регистрационния център под граничните стойности. Предлага се допълнително: Използвайте специализиран софтуер за контрол на достъпа до операционната система и данните на твърдия диск; Разработете политика за пароли за отделно подразделение. На етапа на унищожаване на ненужните данни се предлага: Използвайте шредер с 3 нива на секретност, предназначен за обслужване на малък офис; Използвайте специализиран софтуер за изтриване на данни от твърдия диск; Определете времето за унищожаване на излишни данни на носители от различен тип. Използвайте сейф за съхранение на поверителна информация на организацията; Разработване на документация, която подробно описва личната отговорност на всеки служител в областта на информационната сигурност; Разработване на инструкции за работа с поверителна информация, лични данни; Разработване на инструкции за действия при извънредни ситуации; Поддържа логове на ключови медии, логове на основните събития на информационната система. Така всеки етап, на който се осъществява обменът на информация, подлежи на отделна модификация чрез използване на организационни, правни или софтуерни и хардуерни средства за защита на информацията. Наличието на етапи и препоръки за всеки етап ни позволява да изградим модифициран модел на системата за информационна сигурност на регистрационния център, който по-късно можем да сравним с предишния модел. Като вземем предвид направените промени, ще изградим модифициран модел на системата за защита на информацията на регистрационния център (Фигура 3.3). заключения 1. Извършен е анализ на проблема за изграждане на подобрена система за защита. 2. Изграден е обобщен модел на информационните процеси на регистрационния център. Изграден е модел на съществуващата система за защита на информацията на регистрационния център. Разкриват се недостатъците на съществуващата система за информационна сигурност. Разработен е модел на подсистема за обмен на криптирани съобщения. Разработен е обобщен модел на системата за информационна сигурност. В хода на проучването беше извършен анализ на съществуващата система за информационна сигурност. За да направите това, беше необходимо да се изгради обобщен модел на информационните процеси на регистрационния център, а след това - модел на съществуващата система за защита на информацията на регистрационния център. Установени са големи заплахи за сигурността на регистрационния център. В резултат на анализа на основните заплахи за сигурността бяха създадени списък на текущите заплахи и модел на заплахите за сигурността на регистрационния център. 4. Икономическа обосновка на проекта .1 Обосновка за разработване на дизайна Един от най-важните въпроси при разработването на проекта е въпросът за осъществимостта на неговото развитие. Този раздел представя икономическа обосновка за разработването на подсистема за информационна сигурност за отделно подразделение на Grif Information Security Center LLC. Разработената подсистема не изисква адаптация и значителни парични разходи и има кратък период на развитие и изплащане. .2 Изчисляване на възстановяването на разходите за разработване на проекта 1. Изчисляване на текущи разходи за обособено подразделение. Изчисляването на текущите разходи за офиса се извършва по формула 4.1. къде е цената на заплатите, Разходите за наемане на помещенията разходи за електроенергия, Разходи за печат. 25000 + 10000 * 2 = 45000 - заплата на инженер по информационна сигурност на отделно подразделение и служители (2) - софтуерни инженери. =*0,34= 15300 rub. 130 + 170 \u003d 300 рубли. 8000 + 45000 + 300 + 15300=68600 rub. Оборудването се разпределя от основния клон, амортизацията не се взема предвид. Приходи от експлоатацията на проекта на месец. Приходът от работата на проекта е равен на разходите за загуба на информация. За да изчислим приходите от експлоатацията на проекта на месец, ще използваме формула 4.2. къде е доходът от експлоатацията на проекта на месец, 150 000 рубли. - доходи от използване на защитена информация, Разходи за поддръжка на офиса (на месец), 150000 + 68600 = 218600 рубли Разходите за създаване на проект се изчисляват по формулата (4.3): къде е цената за създаване на проект, Цената на машинното време Вноски в социални фондове, режийни разходи. Изчисляване на разходите за заплати. Ще изчислим цената на заплатата на разработчика по формулата (4.4): където = 1, броят на категориите разработчици, участващи в разработката, = 1 човек, броя на разработчиците от i-та категория, 25 000 рубли/месец, заплатана месец, 3 месеца, време за разработка, Изчисляване на вноските в социалните фондове. Изчисляването на вноските в социалните фондове, като се вземе предвид предишната формула, ще се изчисли по формулата (4.5): 75000 * 0,34 \u003d 25500 рубли. Изчисляването на разходите за машинно време трябва да се извърши по формулата (4.5): където \u003d 480 часа, с време за разработка 3 месеца, цена на един машинен час, 1920 часа, валиден годишен фонд от време, амортизационни отчисления, разходи за електроенергия, заплати на поддържащия персонал, режийни разходи, Вноски в социалните фондове. Амортизационни отчисления. Амортизацията на дълготрайните активи е паричен израз на възстановяване на разходите чрез прехвърляне на стойността на дълготрайните активи към себестойността на производството и се изчислява по формулата (4.6): където = 1, броят на видовете оборудване, 1 , брой i-то оборудване (компютри) , 25 000 рубли, цената на едно i-то оборудване (компютър), 5 години, експлоатационен живот на едно i-то оборудване (компютър), Разходи за електроенергия. За да изчислим цената на електроенергията, използваме формулата (4.7): където =1, броят на компютрите, 0,5 kW, консумация на енергия, 4,5 рубли, цената на един kWh, 160 часа, количеството машинно време на месец, 12 месеца, Заплащане на обслужващия персонал. Заплатата на обслужващия персонал се изчислява по формулата (4.8): където = 1, броят на категориите работници, обслужващи компютъра, 1 човек, броят на служителите от i-та категория, обслужващи компютъра, 25 000 рубли / месец, заплата на месец, 12 месеца, Режийни разходи. Режийните разходи за поддръжка на компютъра ще бъдат 50% от заплатата на персонала по поддръжката 5 където 150 000 рубли. Вноски в социалните фондове. Единният социален данък е 34% от разходите за заплати. Изчислено за годишния фонд от време Отчитаме заплатата на инженер по информационна сигурност, който поддържа системата. 8500*12=102000 rub. Цената на машинното време. 4. Изчисляване на себестойността на консумативите. За да изчислите цената на консумативите, трябва да използвате формулата (4.10): къде е броят на видовете материали, Броят на материалите от i-ти тип, Цената на i-тия тип материал, руб. 1750 рубли. Таблица 4.1 - Консумативи, използвани при разработката тип материал № Име на продукта Цената на i-тия тип материал, руб. Брой материали от i-ти тип Касета за принтер Пачка хартия А4 Набор от папки и папки Комплект канцеларски материали Режийните разходи за разработване на системата ще бъдат 50% от заплатата и се изчисляват по формулата (4.11): 37 500 рубли. Общи разходи за разработка. Общите разходи за разработка се изчисляват по формулата (4.12): къде е цената на машинното време, режийни разходи, разходи за консумативи, разходи за заплати, Вноски в социални фондове, 37500 + 1750 + + 75000 + 25500 = 280078 рубли 5. Изчисляване на срока на изплащане на разработката, като се вземе предвид лихвеният процент. Данните за изчисляване на периода на изплащане, като се вземе предвид лихвения процент от 17%, са дадени в таблица 4.2. Таблица 4.2 - Данни за изчисляване на срока на изплащане с отчитане на лихвения процент 280078/218600 * 31=39,7 ~ 40 дни Период на изплащане приблизително = 1 месец 9 дни 5. Нетна настояща стойност на дохода (NPV). За еднократна инвестиция в този случай NPV се изчислява по формулата (4.13): където = ° С 0
- сумата на инвестицията, равна на разходите за разработване на проекта, dt- доходи, и- лихвен процент (инфлация), н- период от време, Така получаваме: заключения От изчисленията се вижда, че разходите по проекта бързо ще се изплатят. Действително, периодът на изплащане на проекта е приблизително 1 месец 9 дни. Такъв икономически ефект се постига поради ниската цена на разработването на проекта и предотвратяването на значителни финансови загуби, които подразделение на CZI Grif LLC би могло да понесе, ако информацията бъде загубена. По този начин можем да заключим, че е икономически целесъобразно да се въведе подсистема за информационна сигурност в CZI Grif LLC. Стойността на NPV има положителна стойност, което показва икономическата ефективност на проекта. 5. Безопасност на живота и екологичност на проекта .1 Анализ на вредни и опасни производствени фактори, засягащи компютърния оператор Опасният производствен фактор е такъв фактор в производствения процес, чието въздействие върху работника води до нараняване или рязко влошаване на здравето. Вреден производствен фактор може да стане опасен в зависимост от нивото и продължителността на излагане на хора. Продължителното излагане на вреден производствен фактор води до заболяване. Опасните и вредните производствени фактори се разделят според естеството на действието в следните групи: физически; химически; биологичен; Психофизиологични. При избора на помещения за обособено подразделение бяха взети предвид особеностите на работа и необходимостта на служителите от безопасни условия на труд. Създавайки подходящи условия на труд, компанията намалява разходите за изплащане на обезщетения, което би довело до наличието на опасни и вредни производствени фактори, както и разходите за заплащане на болнични листове. В процеса на работа редица опасни и вредни производствени фактори, изброени по-долу, влияят на оператора на компютър. Физическите фактори, които могат да повлияят на служителя на SE LLC "CZI "Grif" включват: Повишени нива на електромагнитно излъчване; Повишено ниво на статично електричество; Повишено ниво на шум; Високо или ниско ниво на светлина. Релевантни са и такива психофизиологични фактори като: Напрежение в окото; Напрежение на вниманието; Интелигентни натоварвания; Емоционални натоварвания; Дълги статични натоварвания; Нерационална организация на работното място. Помещенията на OP LLC "CZI" Grif ", разглеждани в проекта, могат да бъдат отнесени към помещенията на компютърните центрове. По този начин повечето от нормите, които трябва да се спазват при работа в тази стая, могат да бъдат намерени в SanPiN 2.2.2 / 2.4.1340-03. Размерите на помещението са: дължина 4 м, ширина 5 м, височина 3 м. Общата площ е 20 кв.м, обем - 60 м 3. В помещението работят 2 служители, т.е. всеки има 30 m 3, което отговаря на санитарните стандарти - най-малко 15 m 3 - SanPiN 2.2.2 / 2.4.1340-03. (Хигиенни изисквания за персонални електронни компютри и организация на работа). Рационалното цветово оформление на помещенията е насочено към подобряване на санитарно-хигиенните условия на труд, повишаване на неговата производителност и безопасност. Намаляването на шума в източника на излъчване се осигурява чрез използването на еластични уплътнения между основата на машината, устройството и носещата повърхност. Като уплътнения могат да се използват каучук, филц, корк, амортисьори с различен дизайн. Под настолни шумни устройства могат да се поставят меки постелки от синтетични материали. Закрепването на уплътненията се организира чрез залепването им към носещите части. Рационалното разположение на помещението и разполагането на оборудването в помещението е важен фактор за намаляване на шума със съществуващото оборудване. По този начин, за да се намали шума, генериран на работните места от вътрешни източници, както и шума, проникващ отвън, е необходимо: Намаляване на шума от източниците на шум (използване на звукоизолирани корпуси и екрани); Намаляване на ефекта от общото въздействие на отразените звукови вълни (чрез звукопоглъщащи повърхности на конструкциите); Прилагайте рационално подреждане на оборудването в стаята; Използвайте архитектурни, планови и технологични решения за изолиране на източниците на шум. Изискванията към помещенията за работа с компютър са описани в санитарните и епидемиологичните правила и разпоредби SanPiN 2.2.2 / 2.4.1340-03. (Хигиенни изисквания за персонални електронни компютри и организация на работа). Работата на компютър в помещения без естествено осветление е разрешена само ако има изчисления, които оправдават спазването на стандартите за естествено осветление и безопасността на техните дейности за здравето на работниците. Освен това ще бъде предоставено изчисляването на изкуственото осветление в стаята в глава, специално посветена на това. Отворите на прозорците трябва да бъдат оборудвани с регулируеми щори. За вътрешна декорация на интериора на помещенията, където се намира компютърът, трябва да се използват дифузно-отразителни материали с коефициент на отражение за тавана 0,7-0,8; за стени - 0,5-0,6; за пода - 0,3-0,5. Описаното помещение е оборудвано със защитно заземяване (зануляване) в съответствие с Технически изискванияза операция. При поставяне на работни места с компютър разстоянието между настолни компютри с видео монитори (по посока на задната повърхност на един видео монитор и екрана на друг видео монитор) е най-малко 2,0 m, а разстоянието между страничните повърхности на видео мониторите е най-малко 1.2, което отговаря на изискванията на SanPiN. Екраните на видеомониторите са разположени на разстояние 600-700 mm от очите на потребителя, но не по-близо от 500 mm, като се вземе предвид размерът на буквено-цифровите знаци и символи. Дизайнът на работния стол (стол) трябва да гарантира поддържането на рационална работна стойка при работа на компютър, да ви позволява да промените стойката си, за да намалите статичното напрежение на мускулите на шията-раменната област и гърба, за да предотвратите развитието на умора. Следователно работният стол (фотьойл) е оборудван с повдигащ и завъртащ механизъм и се регулира според: Ъглите на седалката и облегалката; Разстоянието на облегалката от предния ръб на седалката. Повърхността на седалката, облегалката и другите елементи на стола (стола) е полумека, с неплъзгащо се и леко наелектризирано и дишащо покритие, което осигурява лесно почистване от замърсявания. Общите ергономични изисквания за работните места при извършване на работа в седнало положение са установени от GOST 12.2.032-78. В съответствие с него в помещенията на звеното: Използват се работни маси с височина на работната повърхност 725 мм (за лека работа); Използват се кресла с повдигащо и завъртащо устройство; Дизайнът на столовете осигурява регулиране на височината на опорната повърхност на седалката в рамките на 400-500 мм и ъгли на наклон напред до 15 градуса и назад до 5 градуса. Всеки стол е оборудван с подлакътници, което минимизира неблагоприятните ефекти върху ставите на китките на ръцете. Осигуряването на изискванията за осветление на работните места, оборудвани с компютри, е много важен момент от работата, тъй като операторите на персонални компютри могат да бъдат изложени на голям брой вредни фактори, свързани с осветлението - с тази категория работа натоварването на зрението ще бъде доста сериозно. Изкуственото осветление в помещенията за работа на компютъра трябва да бъде осигурено от система за общо еднообразно осветление. Осветеността на повърхността на масата в зоната, където е поставен работният документ, трябва да бъде 300-500 lux. Осветлението не трябва да създава отблясъци върху повърхността на екрана. Осветеността на повърхността на екрана не трябва да надвишава 300 lux. Източникът на светлина в помещението са флуоресцентни лампи, разположени на височина на тавана 3 м. Разстоянието между лампите е 1,5 м. В разглежданото помещение качеството на осветлението отговаря на нормативните данни, дадени в таблица 5.1. Таблица 5.1 - Оптимални параметри на осветеност на помещения с компютър Ще оценим съответствието на действителната осветеност с нормативната. Характеристиката на извършената работа отговаря на категория IV, подкатегория B (контраст - голям, фон - светъл). Минималната осветеност от комбинираното осветление е 400 lux, общата осветеност е 200 lux. Необходимата осветеност за комбинирано осветление с газоразрядни лампи от общо осветителни тела е 200 lux, от локално осветление - 150 lux; Опции за стая: Дължина l = 5 m Ширина d = 4 m Височина h = 3м Ще вземем височината на работната повърхност равна на 0,8 м, монтажът на тела се извършва на тавана, следователно височината на окачването на телата: Тип осветително тяло - LPO 46 с LD лампи. Като се има предвид, че тези лампи са с малки размери по една от осите в сравнение с размерите по останалите оси (дължина - 1245 мм, ширина - 124 мм), те са линейни светещи елементи. Разстоянието между лампите в един ред се задава равно на 0,05 m и ще разглеждаме редовете лампи като светещи линии. Изчисляваме необходимата мощност на лампата, използвайки точковия метод за изчисляване на осветеността. Тип LPO 46 има косинусова крива на интензитета на светлината и съответното съотношение на разстоянието между светещите ленти към височината на окачването: Изчислете разстоянието между редовете осветителни тела. Разстояние от стената до първия ред: 0.3..0.4 m Съответно броят на редовете е 2. Нека да дадем план за местоположението на телата (Фигура 5.1). Фигура 5.1 - Разположение на телата на етажния план Фигура 5.2 - Схема за изчисление (напречно сечение на стаята) Изчислената точка А е избрана на най-слабо осветеното място (Фигура 5.2). За случая, когато изчислената точка съвпада с проекцията на края на светещия елемент върху изчислената равнина, можете да използвате линеен изолукс, така че разделяме редовете лампи на „полуредове“, така че проекциите на техните краища да съвпадат с точка А. В допълнение към системата за изкуствено осветление, важна роля в създаването на работните условия на оператора играят визуалните ергономични параметри на компютъра. Граничните стойности за тези параметри са дадени в Таблица 5.3. Таблица 5.3 - Визуални ергономични параметри на компютъра По този начин може да се види, че подходът за осигуряване на ергономични условия на труд за работниците се състои от правилната комбинация от много фактори и е сложен. 5.2 Възможни аварийни или аварийни ситуации (неизправности, повреди в работата) Осигуряване на електрическата безопасност на обособено подразделение Един от най-важните видове аварийни и аварийни ситуации включват ситуации, които могат да възникнат поради недостатъчно ниво на електрическа безопасност. Електрическата безопасност на поделението се следи от служителите на поделението и главния електротехник, който поддържа сградата, в която се наемат помещенията. Извършва се систематична проверка на състоянието на електрическите кабели, предпазните щитове, кабелите, с помощта на които компютри, осветителни устройства и други електрически уреди се свързват към електрическата мрежа. Във въпросното помещение има използвани в работата компютри, принтери, скенери, непрекъсваеми захранвания, които могат да причинят токов удар на хората. Всички устройства са оборудвани с най-съвременни мерки за сигурност. Въздухът в помещението е достатъчно овлажнен, за да се намали рискът от електростатичен разряд. Осигуряване на противопожарна защита на обособено подразделение Друг релевантен вид аварийни и аварийни ситуации са ситуациите, които могат да възникнат поради недостатъчно ниво на противопожарна защита на отделно подразделение. Противопожарната защита е съвкупност от организационни и технически мерки, насочени към осигуряване на безопасността на хората, предотвратяване на пожар, ограничаване на разпространението му, както и създаване на условия за успешно гасене на пожар. Пожарна безопасност - състоянието на обекта, при което е изключена възможността за възникване на пожар, а при възникването му се предотвратява въздействието върху хората на опасни пожарни фактори и се осигурява защита на материалните активи. Пожарната безопасност на помещенията на отделното подразделение на Grif Information Security Center LLC се осигурява от противопожарна система и система за противопожарна защита. Във всички офис помещения има „План за евакуация на хора при пожар”, който регламентира действията на персонала при възникване на пожар и посочва местоположението на противопожарната техника. Компютри, устройства Поддръжка, захранване, климатични устройства, където в резултат на различни нарушения се образуват прегрявани елементи, електрически искри и дъги, които могат да причинят запалване на горими материали. Пожарогасителите се използват за гасене на пожари в началните етапи. Газовите пожарогасители се използват за гасене на течни и твърди вещества, както и на електрически инсталации под напрежение. В помещенията се използват предимно пожарогасители с въглероден диоксид, чието предимство е високата ефективност при гасене на пожар, безопасността на електронното оборудване, диелектричните свойства на въглеродния диоксид, което прави възможно използването на тези пожарогасители дори когато не е възможно незабавно да се изключи електрическата инсталация. Помещенията на обособено подразделение са оборудвани със сензори за пожарна безопасност, които отиват към централата за охрана на сградата. Служител, отговарящ за пожарната безопасност на сградата, постоянно дежури на централата за охрана. Коридорите на сградата са оборудвани с високоговорители за евакуация на хора в случай на пожар. Ръчните пожарогасители са разположени, където е необходимо. Пожарната безопасност на отделно подразделение на Grif Information Security Center LLC се осигурява от противопожарна система и система за противопожарна защита. В служебните помещения са поставени „Планове за евакуация на хора при пожар”, които регламентират действията на персонала в случай на пожар и посочват местоположението на противопожарната техника. 5.3 Въздействие на проектирания обект върху околната среда по време на неговото производство и експлоатация (замърсяване на въздуха, водата, почвата, твърди отпадъци, енергийно замърсяване) Проектираният обект е модифицирана система за сигурност на обособено подразделение на CZI Grif LLC. В по-голямата си част проектът се свежда до разработване и приемане на организационни мерки, които биха позволили да се контролира достъпът до помещенията и защитените обекти и да се наблюдават значими събития, възникващи в системата. В процеса на проектиране на съоръжението са използвани екологично чисти материали и средства за разработка. Системите за вентилация на помещенията разполагат с филтри, които предотвратяват възможността от навлизане на вредни вещества в околната среда, както по време на работа, така и в случай на авария. Проектираното съоръжение по време на експлоатация не причинява вреда под формата на замърсяване на въздуха, водата и почвата. Всички твърди отпадъци се изхвърлят в съответствие с установените правила за изхвърляне. За изхвърляне на луминесцентни лампи се използват специални контейнери, които при напълване се заменят с празни. Съдържанието на напълнените контейнери се транспортира до специални пунктове за събиране. Мащабът на използване на проектирания обект е малък. Използване на най-новите съвременни материалии технологията, съчетана с малкия размер на съоръжението, води до нива на енергийно замърсяване, които са доста под нормата. заключения В съответствие с приетите стандарти отделът за информационни технологии на NPO Engineering Systems LLC осигурява необходимия микроклимат, минимално ниво на шум, удобни и ергономично правилни работни места, отговарят на техническите естетични изисквания и изискванията за компютър. За служителите на отдела в процеса на работа един от най-важните фактори, влияещи върху производителността при продължителна визуална работа, е достатъчното осветяване на работното място. Това се постига чрез правилния избор и разположение на осветителните тела. Специални мерки осигуряват електрическата безопасност и пожарната безопасност на служителите. Заключение В хода на проучването беше извършен диагностичен анализ на предприятието LLC „Център за защита на информацията „Гриф“”, в резултат на което беше изграден функционален модел на предприятието. Идентифицирани са основните цели, които стоят пред предприятието и начините за тяхното постигане. Идентифицират се основните проблемни ситуации и се определят методи за тяхното разрешаване. В дипломния проект се избира проблемна ситуация за решаване. Направено е проучване на спецификата на информационните процеси в инфраструктурата с публичен ключ, чийто компонент по функционално предназначение е обособен подраздел. Идентифицирани са основните процеси, протичащи между отделно подразделение и система от по-високо ниво, които могат да бъдат изложени на заплахи. Подробно е описан един от ключовите процеси, засягащи генерирането на поверителна информация, процесът на обслужване на клиент от оператор на регистрационен център. Представен е модел на подсистема за обмен на криптирани съобщения. Извършен е поетапен анализ на информационните процеси в обособен подраздел. Въз основа на анализа е изграден модел на заплахи за информационната сигурност на регистрационния център. Изграден е обобщен модел на информационните процеси на регистрационния център. Изграден е модел на първоначалната система за сигурност на обособен подраздел. Разкриват се недостатъците на съществуващата система за сигурност. Разработен е обобщен модел на системата за информационна сигурност. За всеки от етапите на обмена на информация са разработени редица мерки за защита на информацията. Отстранени са слабостите и уязвимостите на оригиналната система за сигурност, като по този начин се повишава ефективността на обмена на информация и се намалява рискът от кражба на поверителна информация или лични данни. Основните поставени задачи бяха решени и целта на проекта беше постигната - беше разработена подсистема за сигурност за отделно подразделение на Grif Information Security Center LLC. Списък на използваните източници 1. GOST R 34.10-2001. Информационни технологии. Криптографска защита на информацията. Процеси за генериране и проверка на електронен цифров подпис - въведен е вместо GOST R 34.10-94. 2002-07-01. М.: Издателство на стандартите, 2001. - 12 с. 2. Полянская, О. Ю., Горбатов, В. С. Инфраструктури с публичен ключ. / О. Ю. Полянская, В. С. Горбатов - Лаборатория на знанията, 2007 - 73 с. Бердникова, Т. Б. Анализ и диагностика на финансово-стопанската дейност на предприятието. / Т. Б. Бердникова - Инфра-М, 2007 - 101 с. Коноков, Д.Г., Рожков, К.Л. Организационна структурапредприятия. / Д.Г. Коноков, К.Л. Рожков – Институт за стратегически анализи и развитие на предприемачеството, 2006 – 38 с. Гончарук, В.А. Алгоритми за трансформации в бизнеса. / В.А. Гончарук - Москва, 2008 - 11 с. Галатенко, В. А. Стандарти за информационна сигурност. / В. А. Галатенко - Университет за информационни технологии, 2009 - 55 с. Ярочкин, В. И. Информационна сигурност: учебник за студенти / В. И. Ярочкин. - М.: Академичен проект, 2003. - 640 с. Горбатов В.С., Полянская О.Ю. Доверени центрове като връзка в системата за сигурност на корпоративните информационни ресурси / В.С. Горбатов, О.Ю. Полянская - Бюлетин на Jet Info, No 11 (78), 1999. - 20 с. Белов, Е. Б., Лос, П. В., Мещеряков, Р. В., Шелупанов, А. А. Основи на информационната сигурност: учеб. ръководство за университети / Е. Б. Белов, В. П. Лос, Р. В. Мещеряков, А. А. Шелупанов. - М. : Гореща линия - Телеком, 2006. - 544 с. Федерален закон "За електронния цифров подпис" от 8 април 2011 г. № 63 - FZ: приет от държавата. Дума 06 апр. 2011 г.: одобрен от Съвета на федерацията на 8 април. 2011 г. / Офис работа. - 2011 - бр. 4. - С. 91-98. Полянская, О. Ю. PKI технологията като основа за създаване на сигурна бизнес среда. Сборник с научни трудове от XIII Всеруска научна конференция "Проблеми на информационната сигурност в системата на висшето образование" / О.Ю. Полянская. - М. : МИФИ, 2006 - С. 96-97. Завидов, Б. Д. Електронен цифров подпис. Правно значение. Анализ на законодателството и законопроектите / Б. Д. Завидов. - М.: Изпит, 2001 - 32 с. Данджани, Н., Кларк Д. Средства за мрежова сигурност / Н. Данджани, Д. Кларк. - М. : КУДИЦ-Прес, 2007. - 368 с. Форузан, Б. А. Криптография и сигурност на мрежите / Б. А. Форузан. - М.: Бином. Лаборатория на знанията, 2010 - 784 с. Ilinykh, E. V., Kozlova, M. N. Коментар на федерален закон„За електронния цифров подпис“ / Е. В. Илиних, М. Н. Козлова. - М.: Юстицинформ, 2005 - 80 с. Молдовян, Н.А. Теоретичен минимум и алгоритми за цифров подпис / N. A. Moldovyan. - Санкт Петербург: BHV-Петербург, 2010 - 304 с. Гришина, Н.В. Организация на цялостна система за информационна сигурност / Н. В. Гришина. - М. : Хелиос, 2007 - 256 с. Некраха, А. В., Шевцова Г. А. Организация на поверителна деловодство и защита на информацията / А. В. Некраха, Г. А. Шевцова. – Санкт Петербург: Академичен проект, 2007 – 224 с. Ишейнов, В. Я., Мецатунян, М. В. Защита на поверителна информация / В. Я. Ишчейнов, М. В. Мецатунян. - М. : Форум, 2009 - 256 с. Малюк, А. А. Информационна сигурност. Концептуални и методологически основи на информационната сигурност. Учебник / А. А. Малюк. - М. : Гореща линия - Телеком, 2004 - 280 с. Мелников, В. П., Клейменов, С. А., Петраков, А. М. Информационна сигурност и защита на информацията / В. П. Мелников, С. А. Клейменов, А. М. Петраков. - М.: Академия, 2009 - 336 с. Семкин, С. Н., Семкин, А. Н. Основи на правната подкрепа за защита на информацията / С. Н. Семкин, А. Н. Семкин. - М. : Гореща линия - Телеком, 2008 - 240 с. Арутюнов, В. В. Информационна сигурност / В. В. Арутюнов. - М. : Liberea-Bibinform, 2008 - 56 с. Чипига, А. Ф. Информационна сигурност автоматизирани системи/ А. Ф. Чипига. - М. : Helios ARV, 2010 - 336 с. Корт, С.С. Теоретична основазащита на информацията / С. С. Корт. - М. : Helios ARV, 2004 - 240 с. Снитников, А. А. Лицензиране и сертифициране в областта на информационната сигурност / А. А. Снитников. - М. : Helios ARV, 2003 - 192 с. Василенко, О. Н. Числово-теоретични алгоритми в криптографията / О. Н. Василенко - МЦНМО, 2003 - 15 с. Zemor, J. Cryptography Course / J. Zemor – Институт за компютърни изследвания, 2006 – 27 стр. Бабаш, А. В. История на криптографията. Част I / А. В. Бабаш - Хелиос АРВ, 2002 - 42 с. Стандарти за пожарна безопасност NPB 105-03. Определяне на категориите помещения, сгради и външни инсталации за опасност от експлозия и пожар. - одобрен. със заповед на Министерството на извънредните ситуации на Руската федерация от 18 юни 2003 г. N 314 - М .: Издателство "Стандарти", 2003. - 4 стр. Лапин, В. Л. Безопасност на живота. / В.Л. Лапин – Висше училище, 2009 – 147 с. Зотов, B.I., Kurdyumov V.I. Безопасност на живота в производството. / Б. И. Зотов, В. И. Кърдюмов - КолосС, 2009 - 92 с.
Анализ на заплахите за информационната сигурност на отделно подразделение на CZI "GRIF" LLC
Разработване на усъвършенстван модел на подсистема за защита на информацията на обособен отдел
3. Разходите за създаване на проект.
, (4.4)
3. Изчисляване на разходите за машинно време.
, (4.5)
, (4.6)
, (4.8)
, (4.9)
\u003d 0,34 * 25 000 рубли. 
559227.2/1920=292.35 търкайте/ч
, (4.10)
1. Изчисляване на режийни разходи.
, (4.11)
, (4.13)
м 
