Для усиления эффективности деятельности фирмы и предотвращения хищений бухгалтеры должны создавать систему внутреннего контроля. Несмотря на обилие публикаций в этой области, проблема внутреннего контроля во многих источниках по бухгалтерскому учету и аудиту рассматривается в отрыве от информационной безопасности.
Для современной системы бухгалтерского учета характерен ряд особенностей, требующих защиты учетной информации:
законодательные нововведения влекут за собой большие изменения как в самой бухгалтерской сфере, так и в области ее компьютеризации (перевод учета на новый план счетов, ввод в действие Налогового кодекса и др.). Без современных аппаратно-программных средств бухгалтер вряд ли сможет получить достоверную и своевременную учетную информацию. А компьютерные технологии в бухгалтерском учете порождают и новые информационные угрозы;
информационная система бухгалтерского учета относится к классу сложных и динамических образований, построенных в многоуровневой архитектуре «клиент-сервер» с поддержкой связи с удаленными компонентами. Опасности подстерегают как внутри системы, так и вне;
в программном обеспечении могут быть умышленные или неумышленные ошибки, создающие проблемы в защите;
усложнение автоматизированного учета требует оценки надежности системы, т.е. свойств ее по выполнению заданных функций при обеспечении сохранности информации и ее достоверности.
Незащищенные учетные данные приводят к серьезным недостаткам в системе управления предприятием:
множеству недокументированных эпизодов управления;
отсутствию у руководства целостной картины происходящего в отдельных структурных подразделениях;
задержки в получении актуальной на момент принятия решения информации;
разногласиям между структурными подразделениями и отдельными исполнителями, совместно выполняющими работу, из-за плохой взаимной информированности;
информационной перегрузке;
увеличению сроков получения ретроспективной информации, накопленной на предприятии;
сложностям получения информации о текущем состоянии документа или делового процесса;
утечке информации вследствие неупорядочения хранения больших объемов документов.
Новые информационные технологии в бухгалтерском учете на базе современных ПЭВМ, с одной стороны, обеспечивают высокое качество выполняемых работ, а с другой - создают множество угроз непредсказуемых и даже катастрофических последствий. К числу таких угроз относятся следующие: проникновение посторонних лиц в базы учетных данных, компьютерные вирусы, ошибочный ввод учетных данных, ошибки в процессе проектирования и внедрения учетных систем и др. Противостоять угрозам можно, только приняв адекватные меры, которые способствуют обеспечению безопасности учетной информации. В этой связи каждый бухгалтер, использующий в своей работе компьютеры и средства связи, должен знать, от чего защищать информацию и как это делать.
Под защитой учетной информации понимается невозможность случайных или преднамеренных воздействий на нее естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям этой информации.
Понятие «информационная безопасность учетных данных» в узком смысле этого слова подразумевает:
надежность работы компьютера;
сохранность ценных учетных данных;
защиту учетной информации от внесения в нее изменений неуполномоченными лицами;
сохранение документированных учетных сведений в электронной связи.
На первый взгляд может показаться, что «информационная безопасность» и «защита безопасности информации» - одно и то же. Однако это не так. Безопасность информации означает защиту информации от многочисленных угроз, в том числе от умышленного и неумышленного искажения, уничтожения и др. Информационная безопасность есть защита объекта, включая и его информационные системы, от каких-то враждебных воздействий, в частности от компьютерных вирусов, от ошибок, несанкционированного доступа к базам данных и т.д.
Прежде чем проектировать какую-либо систему безопасности, определим, что в учете и от кого (чего) нуждается в защите.
К объектам информационной безопасности в учете относятся как информационные ресурсы, содержащие сведения, отнесенные к коммерческой тайне, и конфиденциальную информацию, представленную в виде баз учетных данных, так и средства и системы информатизации - технические средства, используемые в информационных процессах (средства вычислительной и организационной техники, информативные и физические поля компьютеров, общесистемное и прикладное программное обеспечение, в целом автоматизированные системы учетных данных предприятий).
Угроза информационной безопасности бухгалтерского учета заключается в потенциально возможном воздействии на компоненты учетной системы, способном нанести ущерб владельцам информационных ресурсов или пользователям системы.
Правовой режим информационных ресурсов определяется нормами, устанавливающими:
порядок документирования информации;
право собственности на отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах;
порядок правовой защиты информации.
Основный принцип, нарушаемый при реализации информационной угрозы в бухгалтерском учете, - документирование информации. Учетный документ, полученный из автоматизированной информационной системы учета, приобретает юридическую силу после его подписания должностным лицом в порядке, установленном законодательством Российской Федерации.
Все множество потенциальных угроз в учете по природе их возникновения можно разделить на два класса: естественные (объективные) и искусственные.
Естественные угрозы вызываются объективными причинами, как правило, не зависящими от бухгалтера, ведущими к полному или частичному уничтожению бухгалтерии вместе с ее компонентами: землетрясения, пожары и т.п.
Искусственные угрозы связаны с деятельностью людей. Их можно разделить на непреднамеренные (неумышленные), вызванные способностью сотрудников делать какие-либо ошибки в силу невнимательности либо усталости, болезненного состояния и т.п. Например, при вводе сведений в компьютер нажать не ту клавишу, сделать неумышленные ошибки в программе, занести вирус, случайно разгласить пароли.
Преднамеренные (умышленные) угрозы связаны с корыстными устремлениями людей - злоумышленников, намеренно создающих недостоверные документы.
Угрозы безопасности с точки зрения их направленности можно подразделить на следующие группы:
угрозы проникновения и считывания данных из баз учетных данных и компьютерных программ их обработки;
угрозы сохранности учетных данных, приводящие либо к их уничтожению, либо к изменению, в том числе фальсификация платежных документов (платежных требований, поручений и т.п.);
угрозы доступности данных, возникающие, когда пользователь не может получить доступа к учетным данным;
угрозы отказа от выполнения операций, когда один пользователь передает сообщение другому, а затем не подтверждает переданные данные.
В зависимости от источника угроз их можно подразделить на внутренние и внешние.
Источником внутренних угроз является деятельность персонала организации. Внешние угрозы приходят извне от сотрудников других организаций, от хакеров и прочих лиц.
Внешние угрозы можно подразделить:
на локальные, которые связаны с проникновением нарушителя на территорию организации и получением им доступа к отдельному компьютеру или локальной сети;
удаленные, характерные для систем, подключенных к глобальным сетям (Интернету, системе международных банковских расчетов SWIFT и др.).
Такие опасности возникают чаще всего в системе электронных платежей при расчетах поставщиков с покупателями, использовании в расчетах Интернета. Источники таких информационных атак могут находиться за тысячи километров. Воздействию подвергаются не только ЭВМ, но и бухгалтерская информация.
Умышленные и неумышленные ошибки в учете, приводящие к увеличению учетного риска, следующие:
ошибки в записи учетных данных;
неверные коды;
несанкционированные учетные операции;
нарушение контрольных лимитов;
пропущенные учетные записи;
ошибки при обработке или выводе данных;
ошибки при формировании или корректировке справочников;
неполные учетные записи;
неверное отнесение записей по периодам;
фальсификация данных;
нарушение требований нормативных актов;
нарушение принципов учетной политики;
несоответствие качества услуг потребностям пользователей.
В условиях обработки данных на ПЭВМ последствия многократно повторенной ошибки или неправильно примененной методики могут оказаться катастрофическими.
Процедуры, в которых обычно возникают ошибки, и их типы представлены в табл. 5.2.
Распространение вычислительной техники привело к резкому сокращению невольных (арифметических) ошибок, но создало дополнительные условия для возникновения ошибок умышленных, связанных с мошенничеством.
Необходимо понять, от кого следует защищать информацию. Часто опасность исходит от сотрудников фирмы, действующих не в одиночку, а в сговоре с другими злоумышленниками.
Мотивы и цели компьютерных преступлений могут быть разными: корысть, желание причинить вред, месть, хулиганство либо желание проверить свои способности и навыки владения компьютером.
Таблица 5.2. Место возникновения бухгалтерских ошибок Сфера преобразования учетньх данньх Вид ошибок Первичный Системати учет (сбор и ре зация и обобще Вывод гистрация) ние Ошибки в записи учетных + данных Неверные коды + + - Несанкционированные учет + + ные операции Нарушение контрольных ли- + + митов Пропущенные учетные записи + + + Ошибки при обработке или + + выводе данных Ошибки при формировании или корректировке справоч + + - ников Неполные учетные записи + + + Неверное отнесение записей + + + по периодам Фальсификация данных + + + Нарушение требований нор + + + мативных актов Нарушение принципов учет + + + ной политики Несоответствие качества услуг + + + потребностям пользователей К законодательным мерам, направленным на создание и поддержание в обществе негативного отношения к нарушениям и нарушителям безопасности информации, относится глава 28 «Преступления в сфере компьютерной информации» раздела IX Уголовного кодекса.
Преступлениями в сфере компьютерной информации являются: неправомерный доступ к компьютерной информации (ст. 272 УК); создание, использование и распространение вредоносных программ для ЭВМ (ст. 273 УК); нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети (ст. 274 УК).
Защита информации в автоматизированных учетных системах строится исходя из следующих основных принципов:
обеспечение физического разделения областей, предназначенных для обработки секретной и несекретной информации;
обеспечение криптографической защиты информации;
обеспечение аутентификации абонентов и абонентских установок;
обеспечение разграничения доступа субъектов и их процессов к информации;
обеспечение установления подлинности и целостности документальных сообщений при их передаче по каналам связи;
обеспечение защиты оборудования и технических средств системы, помещений, где они размещаются, от утечки конфиденциальной информации по техническим каналам;
обеспечение защиты шифротехники, оборудования, технических и программных средств от утечки информации за счет аппаратных и программных закладок;
обеспечение контроля целостности программной и информационной части автоматизированной системы;
использование в качестве механизмов защиты только отечественных разработок;
обеспечение организационно-режимных мер защиты. Целесообразно использование и дополнительных мер по обеспечению безопасности связи в системе;
организация защиты сведений об интенсивности, продолжительности и трафиках обмена информации;
использование для передачи и обработки информации каналов и способов, затрудняющих перехват.
Защита информации от несанкционированного доступа направлена на формирование у защищаемой информации трех основных свойств:
конфиденциальности (засекреченная информация должна быть доступна только тому, кому она предназначена);
целостности (информация, на основе которой принимаются важные решения, должна быть достоверной, точной и полностью защищенной от возможных непреднамеренных и злоумышленных искажений);
готовности (информация и информационные службы должны быть доступны, готовы к обслуживанию заинтересованных лиц всегда, когда в них возникает необходимость).
Для обеспечения защиты учетной информации используют препятствия, управление доступом, маскировку, регламентацию, принуждение, побуждение.
Препятствием нужно считать метод физического преграждения пути злоумышленника к защищаемой учетной информации. Этот метод реализуется пропускной системой предприятия, включая наличие охраны на входе в него, преграждение пути посторонних лиц в бухгалтерию, кассу и пр.
Управление доступом - метод защиты учетной и отчетной информации, реализуемый за счет:
идентификации пользователей информационной системы (каждый пользователь получает собственный персональный идентификатор);
аутентификации - установления подлинности объекта или субъекта по предъявленному им идентификатору (осуществляется путем сопоставления введенного идентификатора с хранящимся в памяти компьютера);
проверки полномочий - проверки соответствия запрашиваемых ресурсов и выполняемых операций по выделенным ресурсам и разрешенным процедурам;
регистрации обращений к защищаемым ресурсам;
информирования и реагирования при попытках несанкционированных действий.
Маскировка - метод криптографической защиты (шифрование) информации в автоматизированной информационной системе предприятия.
Принуждение - защита учетной информации ввиду угрозы материальной, административной или уголовной ответственности.
Побуждение - защита информации путем соблюдения пользователями сложившихся морально-этических норм в коллективе предприятия. В США, например, к морально-этическим средствам относится, в частности, Кодекс профессионального поведения членов ассоциации пользователей ЭВМ.
Юридическая сила документа, хранимого, обрабатываемого и передаваемого с помощью автоматизированных и телекоммуникационных систем, может подтверждаться электронной цифровой подписью. При передаче документов (платежных поручений, контрактов, распоряжений) по компьютерным сетям необходимо доказательство истинности того, что документ был действительно создан и отправлен автором, а не фальсифицирован или модифицирован получателем или каким-либо третьим лицом. Кроме того, существует угроза отрицания авторства отправителем в целях снятия с себя ответственности за передачу документа. Для защиты от таких угроз в практике обмена финансовыми документами используются методы аутентификации сообщений при отсутствии у сторон доверия друг к другу. Документ (сообщение) дополняется цифровой подписью и секретным криптографическим ключом. Подделка подписи без знания ключа посторонними лицами исключается, и подпись неопровержимо свидетельствует об авторстве.
Юридическая сила электронной цифровой подписи признается при наличии в автоматизированной информационной системе программно-технических средств, обеспечивающих идентификацию подписи, и соблюдении установленного режима их использования. Бухгалтер (пользователь) подписывает документы электронной цифровой подписью с использованием личного ключа, известного только ему, передает их в соответствии со схемой документооборота, а аппаратно-программная система проводит проверку подписи. Конфиденциальные документы могут шифроваться на индивидуальных ключах, они недоступны для злоумышленников. Система основывается на стандартах и нормах делопроизводства, практике организации учета документов и контроля действий исполнителей в структурах любой формы собственности (государственной и негосударственной).
Защищенность учетных данных дает возможность:
обеспечить идентификацию/аутентификацию пользователя;
определить для каждого пользователя функциональные права - права на выполнение тех или иных функций системы (в частности, на доступ к тем или иным журналам регистрации документов);
определить для каждого документа уровень конфиденциальности, а для каждого пользователя - права доступа к документам различного уровня конфиденциальности;
обеспечить конфиденциальность документов путем их шифрования, а также шифрования всей информации, передающейся по открытым каналам связи (например, по электронной почте); шифрование производится с использованием сертифицированных криптографических средств;
Переход России к рыночным отношениям выдвигает на первый план проблемы коренной перестройки учета. Если раньше учетная функция управления сводилась к прямому счетоводству и составлению отчетности, то в новых условиях бухгалтер – это центральная фигура управленческого персонала, он главный консультант директора фирмы, аналитик, финансист. Для выполнения новых функций и, прежде всего, создания учета как средства управления и регулирования использование компьютера, а также современных средств связи и коммуникаций жизненно необходимо.
Бухгалтер должен принимать непосредственное участие в создании компьютерной информационной системы бухгалтерского учета, ставить задачи и контролировать достоверность данных, их соответствие реальным хозяйственным операциям, анализировать бухгалтерскую информацию и исправлять неблагоприятные ситуации.
Новые информационные технологии в бухгалтерском учете на базе современных ПЭВМ, с одной стороны, обеспечивают высокое качество выполняемых работ, а с другой, - создают множество угроз, приводящих к непредсказуемым и даже катастрофическим последствиям. К числу таких угроз относятся следующие: проникновение посторонних лиц в базы учетных данных, повсеместное распространение компьютерных вирусов, ошибочный ввод учетных данных, ошибки в процессе проектирования и внедрения учетных систем и др. Противостоять возможной реализации угроз можно только приняв адекватные меры, которые способствуют обеспечению безопасности учетной информации. В этой связи каждый бухгалтер, использующий в своей работе компьютеры и средства связи, должен знать, от чего защищать информацию и как это делать.
Под защитой учетной информации понимается состояние защищенности информации и поддерживающей ее инфраструктуры (компьютеров, линий связи, систем электропитания и т.п.) от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям этой информации. *
Понятие информационной безопасности учетных данных в узком смысл этого слова подразумевает:
надежность работы компьютера;
сохранность ценных учетных данных;
защиту учетной информации от внесения в нее изменений неуполномоченными лицами;
сохранение документированных учетных сведений в электронной связи.
К объектам информационной безопасности в учете относятся:
информационные ресурсы, содержащие сведения, отнесенные к коммерческой тайне, и конфиденциальную информацию, представленную в виде баз учетных данных ** ;
средства и системы информатизации – технические средства, используемые в информационных процессах (средства вычислительной и организационной техники, информативные и физические поля компьютеров, общесистемное и прикладное программное обеспечение, в целом автоматизированные системы учетных данных предприятий). *
Угроза информационной безопасности бухгалтерского учета заключается в потенциально возможном действии, которое посредством воздействия на компоненты учетной системы может привести к нанесению ущерба владельцам информационных ресурсов или пользователям системы.
Правовой режим информационных ресурсов определяется нормами, устанавливающими:
порядок документирования информации;
право собственности на отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах ** ;
порядок правовой защиты информации.
Основный принцип, нарушаемый при реализации информационной угрозы в бухгалтерском учете, - это принцип документирования информации *** . Учетный документ, полученный из автоматизированной информационной системы учета, приобретает юридическую силу после его подписания должностным лицом в порядке, установленном законодательством Российской Федерации.
Все множество потенциальных угроз в учете по природе их возникновения можно разделить на два класса: естественные (объективные) и искусственные.
Естественные угрозы вызываются объективными причинами, как правило, не зависящими от бухгалтера, ведущими к полному или частичному уничтожению бухгалтерии вместе с ее компонентами. К таким стихийным явлениям относятся: землетрясения, удары молнией, пожары и т.п.
Искусственные угрозы связаны с деятельностью людей. Их можно разделить на непреднамеренные (неумышленные), вызванные способностью сотрудников делать какие-либо ошибки в силу невнимательности, либо усталости, болезненного состояния и т.п. Например, бухгалтер при вводе сведений в компьютер может нажать не ту клавишу, сделать неумышленные ошибки в программе, занести вирус, случайно разгласить пароли.
Преднамеренные (умышленные) угрозы связаны с корыстными устремлениями людей – злоумышленников, намеренно создающих недостоверные документы.
Угрозы безопасности с точки зрения их направленности можно подразделить на следующие группы:
угрозы проникновения и считывания данных из баз учетных данных и компьютерных программ их обработки;
угрозы сохранности учетных данных, приводящие либо к их уничтожению, либо к изменению, в том числе фальсификация платежных документов (платежных требований, поручений и т.п.);
угрозы доступности данных, возникающие, когда пользователь не может получить доступа к учетным данным;
угроза отказа от выполнения операций, когда один пользователь передает сообщение другому, а затем не подтверждает переданные данные.
В зависимости от источника угроз их можно подразделить на внутренние и внешние.
Источником внутренних угроз является деятельность персонала организации. Внешние угрозы приходят извне от сотрудников других организаций, от хакеров и прочих лиц.
Внешние угрозы можно подразделить на:
локальные, которые предполагают проникновение нарушителя на территорию организации и получение им доступа к отдельному компьютеру или локальной сети;
удаленные угрозы характерны для систем, подключенных к глобальным сетям (Internet, система международных банковских расчетов SWIFT и др.).
Такие опасности возникают чаще всего в системе электронных платежей при расчетах поставщиков с покупателями, использовании в расчетах сетей Internet. Источники таких информационных атак могут находиться за тысячи километров. Причем воздействию подвергаются не только ЭВМ, но и бухгалтерская информация.
Умышленными и неумышленными ошибками в учете, приводящими к увеличению учетного риска, являются следующи:
ошибки в записи учетных данных;
неверные коды;
несанкционированные учетные операции;
нарушение контрольных лимитов;
пропущенные учетные записи;
ошибки при обработке или выводе данных;
ошибки при формировании или корректировке справочников;
неполные учетные записи;
неверное отнесение записей по периодам;
фальсификация данных;
нарушение требований нормативных актов;
нарушение принципов учетной политики;
несоответствие качества услуг потребностям пользователей.
Процедуры, в которых обычно возникают ошибки и их типы, представлены в таблице 8 (172).
Для предприятий, учреждений и организаций независимо от форм собственности ключевым вопросом является обеспечение защиты информационных ресурсов, в том числе бухгалтерской информации и отчетности. Программа «1С:Бухгалтерия государственного учреждения 8» редакции 2 соответствует современным требованиям информационной безопасности. О возможностях программы по защите информации рассказывают в статье эксперты 1С.
Для обеспечения информационной безопасности организации, учреждения, предприятия должны быть созданы такие условия, при которых использование, потеря или искажение любой информации о состоянии организации, в том числе бухгалтерской и финансовой, работниками организации или внешними лицами (пользователями) с высокой степенью вероятности не приведут в обозримом будущем к возникновению угроз прерывания деятельности организации.
Актуальность проблем информационной безопасности на государственном уровне подтверждается принятием Доктрины информационной безопасности в Российской Федерации (утв. Президентом РФ 09.09.2000 № Пр-1895). Одной из составляющих национальных интересов Российской Федерации в информационной сфере является защита информационных ресурсов от несанкционированного доступа, обеспечение безопасности информационных и телекоммуникационных систем, как уже развернутых, так и создаваемых на территории России.
Обеспечение информационной безопасности Российской Федерации в сфере экономики играет ключевую роль в обеспечении национальной безопасности Российской Федерации. Воздействию угроз информационной безопасности Российской Федерации в сфере экономики наиболее подвержены:
Угрозами информационной безопасности предприятия, учреждения, организации, связанными с бухгалтерским учетом и отчетностью, являются угрозы:
Программа «1С:Бухгалтерия государственного учреждения 8» редакция 2 (далее - Программа) соответствует современным требованиям информационной безопасности. Для повышения степени защиты от несанкционированного доступа информации, хранящейся в Программе, предусмотрены следующие возможности:
Рассмотрим подробнее данные возможности Программы.
Механизм аутентификации - это один из инструментов администрирования. Он позволяет определить, кто именно из пользователей, перечисленных в списке пользователей системы, подключается к Программе в данный момент, и предотвратить несанкционированный доступ в Программу.
В «1С:Бухгалтерии государственного учреждения 8» редакции 2 поддерживается три вида аутентификации, которые могут использоваться в зависимости от конкретных задач, стоящих перед администратором информационной базы:
Если для пользователя не указан ни один из видов аутентификации, такому пользователю доступ к Программе закрыт.
Если необходимо, чтобы пользователь входил в Программу с паролем, который будет проверяться, следует включить флаг Аутентификация 1С:Предприятия (см. рис. 1). Он включается по умолчанию вместе с флагом Вход в программу разрешен .
Состояние аутентификации «1С:Предприятия» выводится под флагом.
Рис. 1
При создании нового пользователя ему Программой автоматически назначается пустой пароль. Чтобы его изменить, следует воспользоваться командой Установить пароль в карточке пользователя (см. рис. 1).
В форме Установка пароля необходимо ввести Новый пароль для входа в Программу, написать его повторно в поле Подтверждение .
Хороший пароль должен состоять не менее чем из восьми символов, включать в себя заглавные и прописные латинские буквы, цифры, символы (подчеркивание, скобки и т. д.) и быть малопонятным выражением. Нежелательно, чтобы пароль совпадал с именем пользователя, полностью состоял из цифр, содержал понятные слова, чередующиеся группы символов. Примеры хороших паролей: "nj7{jhjibq*Gfhjkm, F5"njnGhkmNj;t{HI. Примеры неудачных паролей: Иванов, qwerty, 12345678, 123123123. Подробнее см. документацию «1С:Предприятие 8.3. Руководство администратора».
В Программе предусмотрена возможность автоматической проверки сложности пароля .
По умолчанию в целях безопасности пароль при вводе не показывается. Для того чтобы видеть, какие символы вводятся, следует включить флаг Показывать новый пароль .
Для автоматической генерации пароля можно воспользоваться кнопкой Создать пароль . Пароль будет создан Программой.
Для сохранения пароля необходимо нажать на кнопку Установить пароль .
После этого состояние аутентификации 1С:Предприятие меняется на Пароль установлен . В карточке пользователя кнопка меняет значение на Сменить пароль .
Для удобства администрирования и обеспечения безопасности у всех пользователей предусмотрен флаг , который нужен, чтобы пользователь сменил пароль, заданный администратором, на свой. При включенном флаге пользователь будет обязан самостоятельно ввести свой пароль, который больше никто не будет знать.
Если флаг Потребовать смену пароля при входе не включен, и установленный ранее пароль не устраивает по каким-то причинам, то можно поменять его в любой момент в карточке пользователя.
Включенный флаг Пользователю запрещено изменять пароль запрещает пользователю, не имеющему полные права, самостоятельно задавать и изменять пароль.
Реквизиты Потребовать смену пароля при входе и Срок действия можно увидеть в карточке пользователя и в отчете Сведения о пользователях (Сведения о внешних пользователях ).
В форме Настройки входа (раздел Администрирование , команда панели навигации Настройки пользователей и прав ) раздельно для внутренних и внешних пользователей Программы можно настроить такие параметры как:
На рисунке 2 представлена настройка для внутренних пользователей.
Рис. 2
Аналогичная настройка предусмотрена для внешних пользователей.
При установленном флаге Пароль должен отвечать требованиям сложности программа проверяет, чтобы новый пароль:
Минимальную длину пароля можно изменить, поставив флаг напротив одноименного поля и указав необходимую длину пароля (рис. 3).
Рис. 3
Предусмотрено две настройки смены пароля: периодическая или по требованию администратора.
Для периодической смены пароля необходимо ограничить срок действия пароля настройками Минимальный срок действия пароля и Максимальный срок действия пароля . По истечении установленного срока Программа предложит пользователю поменять пароль.
Максимальный срок действия пароля - срок после первого входа с новым паролем, после которого пользователю потребуется сменить пароль, по умолчанию 30 дней.
Минимальный срок действия пароля - срок после первого входа с новым паролем, в течение которого пользователь не может сменить пароль, по умолчанию 1 день.
Для смены пароля по требованию администратору необходимо установить флаг Потребовать установку пароля при входе в карточке пользователя. При первом входе в Программу она потребует сменить пароль, заданный администратором, на свой.
Чтобы исключить создание пользователями повторяющихся паролей, необходимо включить настройку Запретить повторение пароля среди последних и установить количество последних паролей, с которыми будет сравниваться новый пароль.
Для защиты от несанкционированного доступа в Программу можно установить ограничение для пользователей, не работающих в программе определенный период времени, например, 45 дней.
По истечении указанного срока программа не позволит пользователю войти в Программу. Открытые сеансы пользователей автоматически завершаются не более чем через 25 минут после того, как вход в Программу был запрещен.
В карточке пользователя, которая доступна в персональных настройках Программы, по гиперссылке Установить ограничения можно указать дополнительные ограничения на вход в Программу (рис. 4).
Рис. 4
С помощью переключателя можно установить ограничение на вход в Программу:
Отчет Сведения о пользователях (рис. 5) предназначен для просмотра сведений о пользователях Программы, включая настройки для входа (свойства пользователя информационной базы). Необходимость в отчете возникает, если требуется выполнить групповой анализ настроек для входа (имени для входа, видов аутентификации и других).
Отчет открывается из списка Пользователи (Внешние пользователи ) по команде Все действия - Сведения о пользователях (Все действия - О внешних пользователях ). В зависимости от вида списка Программа автоматически выбирает нужный вариант отчета.
Сведения о внутренних и внешних пользователях в одном отчете можно открыть через панель действий раздела Администрирование по команде Сведения о пользователях .
Необходимость в отчете возникает, если требуется выполнить групповой анализ настроек для входа (имени для входа, видов аутентификации и других).
Рис. 5
С помощью кнопки Настройки... можно открыть список полей и при необходимости добавить нужные поля в отчет. Например, можно добавить в отчет поля Потребовать смену пароля при входе и Срок действия .
В заключение следует отметить, что управление доступом в Программу - это только один из элементов защиты данных, предоставляемых Программой.
Постановлением Правительства РФ от 01.11.12 № 1119 утверждены Требования к защите персональных данных при их обработке в информационных системах персональных данных, где определены уровни защищенности персональных данных при их обработке в информационных системах персональных данных в зависимости от угроз безопасности этих данных. В соответствии с этими требованиями приказом ФСТЭК России от 18.02.13г. № 21 детализированы состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных.
Нормы действующего законодательства о персональных данных предъявляют дополнительные требования и к программным продуктам, в частности, к программному обеспечению, являющемуся средствами защиты информации.
Для обеспечения защиты персональных данных предназначен защищенный программный комплекс (ЗПК) «1С:Предприятие, версия 8.3z», который является сертифицированным ФСТЭК России программным средством общего назначения со встроенными средствами защиты информации от несанкционированного доступа (НСД) к информации, не содержащей сведений, составляющих гостайну.
ЗПК «1С:Предприятие 8.3z» позволяет блокировать:
Совместное использование типовой «1С:Бухгалтерии государственного учреждения» редакции 2 и ЗПК «1С:Предприятие 8.3z» позволяет создать информационную систему персональных данных всех уровней защищенности, и дополнительная сертификация этого прикладного решения не требуется.
Использование ЗПК«1С:Предприятие 8.3z» совместно с сертифицированными ФСТЭК операционными системами, СУБД и другими сертифицированными средствами позволяет полностью выполнить требования вышеуказанных нормативных документов.
Поскольку «1С:Бухгалтерия государственного учреждения» обеспечивает обмен данными с органами Федерального Казначейства, Налоговыми органами, с информационными системами о государственных и муниципальных платежах (ГИС ГМП), учета федерального имущества (АСУФИ), регистрации и начисления платежей (ИС РНИП) и др. через Интернет, для выполнения требований безопасности объект должен быть обеспечен сертифицированными средствами межсетевого экранирования.
Разумеется, необходимо ежедневно проверять компьютеры, на которых установлена Программа, на наличие вредоносных компьютерных программ с использованием сертифицированных в системе сертификации ФСТЭК России средств антивирусной защиты.
Создать концепцию обеспечения информационной безопасности шинного завода, имеющего конструкторское бюро, бухгалтерский отдел, использующий систему “Банк-клиент”. В процессе производства используется система система антивирусной безопасности. Предприятие имеет удаленные филиалы.
Если эта работа Вам не подошла внизу страницы есть список похожих работ. Так же Вы можете воспользоваться кнопкой поиск
Федеральное государственное бюджетное образовательное учреждение
высшего профессионального образования
“ВОЛГОГРАДСКИЙ ГОСУДАРСТВЕННЫЙ ТЕХНИЧЕСКИЙ УНИВЕРСИТЕТ”
Факультет подготовки инженерных кадров
Кафедра САПР и ПК
по курсу
“Методы и средства защиты информации”
Выполнил:
студент гр. АУЗ-361с
И.А.Тюляева
"___" ___________ 2013г
Проверил:
преподаватель каф. САПРиПК
В.В.Натров
"___" __________ 2013г.
Волгоград, 2013
Создать концепцию обеспечения информационной безопасности шинного завода, имеющего конструкторское бюро, бухгалтерский отдел, использующий систему “Банк-клиент”. В процессе производства используется система система антивирусной безопасности. Предприятие имеет удаленные филиалы.
Сформировать концепцию защиты информационных ресурсов шинного завода.
Под информационной безопасностью понимается защищенность системы от случайного или преднамеренного вмешательства в нормальный процесс ее функционирования, от попыток несанкционированного получения информации, модификации или физического разрушения ее компонентов.
Предложенный подход к защите информации обеспечит целостное видение проблемы, повышение качества, следовательно, и надежности защиты информации.
На основании имеющихся в организации локальных нормативных актов о коммерческой тайне работник, имеющий к ней отношение по характеру работы, подписывает обязательство о неразглашении соответствующих сведений.
Обладателем информации, составляющей коммерческую тайну, полученной в рамках трудовых отношений, является работодатель.
Допуск должностных лиц к коммерческой тайне предусматривает:
Ответственность за информационную безопасность организации несет директор завода и системный администратор.
Сотрудники несут личную ответственность за безопасность любой информации, используемой и (или) сохраненной с применением их учетных записей в компании. Ответственным за неразглашение сведений конфиденциального характера, доступной по рабочей необходимости, является сотрудник, получивший доступ к этим сведениям. Для обеспечения контроля над неразглашением сведений конфиденциального характера составляется письменное свидетельство с подписями данного сотрудника и администратора информационной безопасности.
Мера ответственности за разглашение сведений конфиденциального характера определяется законодательными актами Российской Федерации.
Вся информация в организации должна быть категорирована. Категории критичности и связанные с ними меры защиты для производственной информации должны учитывать производственную необходимость в коллективном использовании информации или ограничении доступа к ней, а также ущерб для организации, связанный с несанкционированным доступом или повреждением информации.
Информация в организации подразделяется на конфиденциальную и открытую.
Конфиденциальная информация информация, доступ к которой ограничивается в соответствии с законодательством Российской Федерации и представляет собой коммерческую, служебную или личную тайны, охраняющиеся её владельцем. Перечень сведений, относящиеся к коммерческой тайне, представлены в Приложении 1 и утвержден директором завода.
Открытая информация информация, сокрытие которой запрещено законом. Информация, не принадлежащая к перечню сведений, является открытой.
Правила доступа к сведениям описывается соответствующими Политиками доступа (Приложение 2).
Для защиты критических информационных ресурсов организации используются следующие средства технической защиты:
Политика антивирусной безопасности описывается в Приложении 3.
Политика подключения организации к филиалу по локальной вычислительной сети описывается в Приложении 4.
Оценка риска предполагаемого ущерба от возникновения угрозы информационно-технической безопасности описывается в Приложении 5.
Описание работы с приложением «Банк-Клиент» описывается в Приложении 6.
Идентификация и аутентификация пользователей информационной системы завода производится по имени и паролю конкретного пользователя.
Все изменения в данном документе проводятся только соответствующим приказом директора завода при обязательном согласовании с ответственным за информационную безопасность.
Перечень сведений конфиденциального характера
|
п/п |
Наименование сведений |
Примечание |
|
Сведения бухгалтерского учета |
База данных «1С», документы (бухгалтерская отчетность) |
|
|
Сведения финансового учета |
База данных «1С», документы (финансовая отчетность) |
|
|
Сведения о типе и размещении оборудования |
План размещения |
|
|
Сведения о характере и объеме производства продукции |
База данных «1С», документы (затраты на производство) |
|
|
Сведения по стратегии и тактике деятельности организации |
Документы (бизнес-план) |
|
|
Сведения о клиентах и партнерах |
База данных «1С» |
|
|
Сведения о разработках конструкторского бюро |
Документы (чертежи, химический состав материалов) |
|
|
Сведения аппаратном и программное обеспечение ПК, пароли, ключи, коды и процедуры доступа к информации |
Лицензионное соглашение, база данных «1С» |
|
|
Персональная информация работников завода |
База данных «1С», личные дела сотрудников |
|
|
Сведения о платежах и переводах денежных средств через «Банк-Клиент» |
База данных «1С», договоры с контрагентами |
|
п/п |
Защищаемые данные |
|
База данных «1С» |
|
|
Бухгалтерская отчетность (Документы) |
|
|
Финансовая отчетность (Документы) |
|
|
План размещения оборудования (Документы) |
|
|
Затраты на производство (Документы) |
|
|
Бизнес-план (Документы) |
|
|
Чертежи, химический состав материалов |
|
|
Лицензионное соглашение |
|
|
Личные дела сотрудников |
|
|
Договоры с контрагентами |
Политика доступа к бухгалтерскому учету и финансовой отчетности
|
п/п |
Наименование |
Доступ |
|
Директор завода |
Чтение |
|
|
Заместитель директора завода |
Чтение |
|
|
Руководитель конструкторского бюро |
Чтение |
|
|
Бухгалтер |
Чтение Запись |
|
|
Заместитель бухгалтера |
Чтение Запись |
|
|
Бухгалтер расчетчик заработной платы |
Чтение Запись |
|
|
Ведущий экономист |
Чтение Запись |
|
|
Экономист |
Чтение |
|
|
Системный администратор |
Полный |
Сотрудники завода, обладающие удаленным доступом к сети организации, несут такую же ответственность, как и в случае локального подключения к сети организации.
Сотрудник никому не должен передавать или посылать по электронной почте свой пароль на вход в систему, включая даже членов семьи.
Сотрудники, имеющие привилегию удаленного доступа, должны гарантировать, что их компьютеры, которые удаленно подключены к сети, не подключены в то же самое время ни в какую другую сеть, за исключением домашних сетей, которые находятся под полным управлением сотрудника.
Сотрудники, имеющие привилегию удаленного доступа к сети организации, не должны использовать адреса электронной почты компании для ведения собственного бизнеса.
Политика антивирусной безопасности определяет совокупность правил, задающих и ограничивающих виды деятельности объектов и участников комплексной системы антивирусной защиты, ее основные цели и область ее применения, а также устанавливает меру ответственности за нарушение этих правил.
Внедрение комплексной системы антивирусной защиты включает в себя следующие этапы:
К использованию в организации (а также в ее филиалах) допускаются только лицензионные антивирусные средства, централизованно закупленные отделом программного и технического обеспечения у разработчиков (поставщиков) указанных средств, рекомендованные к применению отделом информационной безопасности. Если необходимо использовать антивирусные средства, не вошедшие в перечень рекомендованных отделом информационной безопасности, их применение следует согласовать с системным администратором.
Для установки и настройки антивирусного контроля на компьютерах и серверах осуществляется системным администратором.
Филиалы организации получают доступ к локальной вычислительной сети завода посредством организации каналов связи.
Необходимо организовать 2 канала связи основной и запасной (резервный).
Для создания основного канала используется выделенный канал (xDSL ), а для создания запасного коммутируемый (модем).
Для выделенного канала используется технология 100BASE-FX.
Подключение и настройку доступа осуществляет отдел программного и технического обеспечения при участии отдела информационной безопасности.
В качестве протоколов обмена по каналу связи используется исключительно стек протоколов TCP / IP . Протоколы уровня приложений: POP 3, SMTP , FTP .
Ответственность за организацию и качество доступа несет отдел программного и технического обеспечения организации и системный администратор.
Ответственность за безопасность доступа несет системный администратор.
Оценка риска предполагаемого ущерба
|
п/п |
Наименование угрозы |
Риск % |
Потери |
|
Несанкционированный доступ к БД «1С» |
Денежная потеря |
||
|
Подмена информации |
|||
|
Нежелательная корреспонденция |
Потеря производительности |
||
|
DDos-атаки |
|||
|
Нарушение режима безопасности злоумышленниками (атаки) |
Потеря производительности, затруднение деятельности |
||
|
Сбои в электроснабжение |
Потеря производительности, затруднение деятельности |
||
|
Потеря производительности, затруднение деятельности |
|||
|
Уязвимости применяемого ПО |
Потеря производительности, затруднение деятельности |
||
|
Аппаратные сбои серверного и пользовательского оборудования |
Потеря производительности, затруднение деятельности |
||
|
Потеря производительности, денежная потеря |
|||
|
Потеря производительности, денежная потеря |
|||
|
Потеря производительности, затруднение деятельности |
|||
|
Кража информации |
Денежная потеря |
||
|
Антропогенные катастрофы |
Потеря производительности, затруднение деятельности |
||
|
Денежная потеря |
|||
|
Ошибка персонала ТП |
Потеря производительности, затруднение деятельности |
||
|
Денежная потеря |
|||
|
Нарушение работоспособности систем или данных, несанкционированное изменение системной конфигурации, файлов данных, отчетов и т.п. со стороны внутренних нарушителей |
Потеря производительности, денежная потеря, затруднение деятельности |
|
п/п |
Наименование угрозы |
Риск % |
Потери |
|
DDos-атаки |
Потеря производительности, затруднение деятельности |
||
|
Отсутствие реализации отказоустойчивости серверов и массивов |
Потеря производительности, затруднение деятельности |
||
|
Отсутствие резервного копирование БД |
Затруднение деятельности, денежная потеря |
||
|
Злоупотребление средствами аудита |
Потеря производительности, денежная потеря |
||
|
Злоупотребление средствами обработки информации |
Потеря производительности, денежная потеря |
||
|
Злоупотребление ресурсами или активами предприятия |
Потеря производительности, денежная потеря |
||
|
Несанкционированный доступ к ресурсам ЛВС |
Потеря производительности, затруднение деятельности |
||
|
Активное и пассивное прослушивание каналов связи |
Денежная потеря |
||
|
Ошибка персонала ТП |
Потеря производительности, затруднение деятельности |
||
|
Нарушение прав интеллектуальной собственности |
Денежная потеря |
Работа с приложением «Банк-Клиент»
Система «Банк-Клиент» предназначена для обмена электронными документами и связи между банком и его клиентами и обеспечивает клиенту возможность оперативного управления собственными счетами в банке, миниминизируя время прохождения платежных документов.
Для начала работы необходимо ввести имя пользователя и пароль в соответствующие поля. Система проверит права доступа к системе и в случае корректно введенных данных после ввода переменного кода доступа вы попадете на страницу «Клиент» в системе «Банк-Клиент».
Меню системы «Банк-Клиент» содержит пункты «Клиент», «Счета», «Документы», «Выписки», «Справочники», «Сообщения», «Настройки» и «Выход».
Клиент.
Счета.
Все лицевые счета клиента занесены в таблицу со следующими графами:
Если номер счета подчеркнут и выделен другим цветом, это означает, что по этому счету можно просмотреть выписку, при этом происходит автоматический переход в раздел «Выписки».
Документы.
Все документы располагаются в таблице, в графах которой содержатся следующие данные:
Раздел «Документы» предусматривает выполнение следующих операций:
Возможна работа с группой документов.
Выписки.
В раздел «Выписки» можно попасть двумя способами: выбрав пункт меню «Выписки» или нажав на номере счета в разделе «Счета».
Раздел «Выписки» предусматривает формирование, просмотр и печать выписок по всем зарегистрированным в системе счетам (кроме счетов депо) за установленный период времени.
Справочники.
Для удобства заполнения платежных документов в системе «Банк клиент онлайн» предусмотрена возможность использования следующих справочников:
В разделе «Справочники» также можно просмотреть список созданных шаблонов и адресную книгу.
Настройки.
В разделе «Настройки» приведена персональная информация пользователя и предусмотрена возможность изменения пароля на вход в систему.
Выход.
Нажатие на кнопку меню «Выход» завершает сеанс работы в системе «Банк-Клиент».
Другие похожие работы, которые могут вас заинтересовать.вшм> |
|||
| 13721. | МЕТОДЫ И СРЕДСТВА ЗАЩИТЫ КОМПЬЮТЕРНОЙ ИНФОРМАЦИИ | 203.13 KB | |
| Задачи защиты информации: обеспечение целостности и сохранности информации; ограничение доступа к важной или секретной информации; обеспечение работоспособности информационных систем в неблагоприятных условиях. Оптимальный вариант это и резервирование и копирование Угроза раскрытия Важная или секретная информация попадает в руки у которых нет доступа к ней. Угроза отказа обслуживания несоответствие реальной нагрузки и максимально допустимой нагрузки информационной системы; случайное резкое увеличение числа запросов к... | |||
| 12259. | Создание электроннного пособия по предмету «Методы и средства защиты информации» для выполнения лабораторных работ по модулю «Хэш значения» | 18.23 MB | |
| Запустите Fedor14 VM Экземпляр Инструкции. Вход в систему к Fedor14 Инструкции. Запустите Терминальную Консоль Инструкции. Переход в режим пользователя Root Инструкции. | |||
| 4642. | Программные средства защиты информации в сетях | 1.12 MB | |
| Различные способы защиты информации использовались людьми на протяжении тысячелетий. Но именно в течение нескольких последних десятилетий криптография – наука о защите информации – переживает невиданный доселе прогресс, обусловленный | |||
| 9929. | Алгоритмические методы защиты информации | 38.36 KB | |
| Для нормального и безопасного функционирования этих систем необходимо поддерживать их безопасность и целостность. Что такое криптография Криптография наука о шифрах долгое время была засекречена так как применялась в основном для защиты государственных и военных секретов. В настоящее время методы и средства криптографии используются для обеспечения информационной безопасности не только государства но и частных лиц организаций. Пока криптографические алгоритмы для рядового потребителя тайна за семью печатями хотя многим уже... | |||
| 20199. | Основные методы защиты информации | 96.33 KB | |
| Юридические основы информационной безопасности. Основные методы защиты информации. Обеспечение достоверности и сохранности информации в автоматизированных системах. Обеспечение конфиденциальности информации. Контроль защиты информации. | |||
| 5309. | Виды производственного освещения. Методы и средства коллективной и индивидуальной защиты от шума | 23.15 KB | |
| Действие шума на организм человека Шум как гигиенический фактор это совокупность звуков различной частоты и интенсивности которые воспринимаются органами слуха человека. Характер производственного шума зависит от вида его источников. Неприятное воздействие шума зависит и от индивидуального отношения к нему... | |||
| 17819. | Разработка системы защиты информации офиса | 598.9 KB | |
| Утечка любой информации может отразиться на деятельности организации. Особую роль играет конфиденциальная информация, потеря корой может повлечь большие изменения в самой организации и материальные потери. Поэтому мероприятия по защите информации в данное время очень актуальны и важны. | |||
| 9219. | СРЕДСТВА ОТРАЖЕНИЯ ИНФОРМАЦИИ | 160.12 KB | |
| Одним из свойств систем измерения (CИ) ЛА является необходимость автоматического отображения информации. Отображение информации - это свойство технической системы воспроизводить следы информационных воздействий и результаты переработки информации. В настоящее время в основном используют три способа информации: сигнализацию, индикацию и регистрацию. | |||
| 8076. | Биометрия, как способ контроля доступа и защиты информации | 15.71 KB | |
| Биометрика же напротив она представляет собой методику распознавания и идентификации людей на основе их индивидуальных психологических или физиологических характеристик: отпечаток пальцев геометрия руки рисунок радужной оболочки глаза структура ДНК и т. Биометрическая защита по предъявлению отпечатков пальцев Это самый распространенный статический метод биометрической идентификации в основе которого лежит уникальность для каждого человека рисунка папиллярных узоров на пальцах. Для... | |||
| 18765. | Проблемы защиты информации в Internet. Интернет-угрозы | 28.1 KB | |
| Другими словами: в архивах свободного доступа Internet можно найти любую информацию по всем спекторам деятельности человека от научных открытий до телепрограммы. Вирус находит и угнетающе действует на программы а также выполняет какие-нибудь вредоносные действия. Тем самым внешне работа зараженной программы выглядит так же как и незараженной. Действия которые производит вирус могут выполнятся с большой скоростью и без каких-либо сообщений из-за чего пользователь не моет заметить некорректной работы компьютера или программы. | |||
Бывает так, что налоговый и финансовый учет в организации расходится настолько значительно, что это уже стыдно показывать, а лучше вообще не показывать. Есть смысл принять меры и выделить ресурсы для решения такой задачи. В данной статье описано конкретное решение для небольшой фирмы или подразделения. При значительном увеличении рабочих мест стоит менять концепцию, хотя некоторые элементы можно оставить.
У нас есть право защищать нашу собственность, а находящаяся у нас информация - наша собственность. Самое главное здесь - это еще и наша ответственность. Если фирма сама не позаботиться об информационной безопасности - пенять на попранные различными службами права, зачастую бессмысленно. Надо брать и делать. Самому брать и делать, не перекладывать на аутсорсинг - это Ваша безопасность. И это не сложно. С чего начать? Как начать? Итак, если мы решаем, что ответственны и готовы защищать, тогда нужно сделать так, чтобы подобного рода защита не отнимала много времени, была эффективна и стоила не дорого, а желательно бесплатно. Именно этими критериями мы будем руководствоваться при выборе того или иного инструмента, а также реализации концепции в целом.
Определяемся с ситуацией.
Для более четкого понимания, что же мы хотим сделать - приведу ситуацию, которая может легко сложиться в любом офисе (потому, что мы в России). Сидим, пьем чай - дверь выбивают, в комнату вбегают напущено злые молодые люди, с явным намереньем сделать нам неприятно. Таки мы вынуждены прерваться. Люди культурно просят нас поставить чашки с чаем и подальше отодвинуться от компьютеров, поскольку их товарищи спали и видели, как смогут занять наши рабочие места, на предмет почитать что же там пишут… И таки поскольку, бабушке одного из них тоже интересно, то они естественно хотят забрать на почитать все наши компьютеры.
Вот именно для такой ситуации и будем стараться, чтобы их бабушка довольствовалась телевизором. А также позаботимся, чтобы к нам и в другое время (когда никого нет) любители прозы и поэзии со своими родственниками приходили только для оплаты сломанной двери.
Что мы прячем?
Надо четко понять, что именно представляет ценность или угрозу для нас. Какую именно информацию мы скрываем и зачем. Нет никакого смысла прятать все. Это растянет временные рамки того же бэкапа. Информация должна быть четко структурирована и понимание что где лежит, должно присутствовать. Все ли машины нужно заводить в систему?
Основная цель - не допустить изъятия компрометирующей информации, не допустить возможности копирования и желательно вообще не иметь исправных компьютеров на рабочем месте. Обеспечить сохранность и доступность информации.
Формулируем Идеальный Конечный Результат (ИКР)
Информация легко доступна;
Информацию нельзя унести с собой или легко скопировать;
Система так же работает в ваше отсутствие, информируя Вас о внешних условиях;
Системе не страшен пожар и физическое изъятие носителей системы;
Система имеет удаленное управление (идеально не получается - управление все равно будет).
Наши ревизоры должны лицезреть «пустые» машины и картинку вроде этой:
В рамках данной статьи не будем касаться удаленных серверов в Малайзии или других странах. Это хорошее решение, но мы хотим рассмотреть именно ситуацию, когда все части системы находятся в одном (или) нескольких помещениях.
Выявляем противоречия:
Компьютеры должны работать и не должны работать;
- информацию можно извлечь и нельзя извлечь;
- информацию можно унести и нельзя унести;
- информацию можно уничтожить и нельзя уничтожить;
- мы не должны касаться компьютеров - а нам и не надо!
Устранив, все пять противоречий, мы сформируем рабочую систему для хранения и использования информации, а также ограничим к ней доступ.
Для этих целей используем следующие инструменты, которые интегрируем в систему:
1. TrueCrypt
- бесплатная программа для шифрования: дисков целиком, системных дисков, областей дисков, файловых контейнеров.
2. Handy Backup
- программа для резервного копирования файловой структуры. Можно использовать по сети, ставить задачи - собирать файлы и папки с различных машин, архивировать, шифровать и прочее. Стоимость можно узнать на торрентах.
3. GSM розетки
- для удаленного включения и выключения питания по смс. Разброс цен от 2400 руб. до 10 000 руб. за розетку или пилот. Количество розеток будет зависеть от целей, которые вы ставите (одна машина или двадцать, при минималистичном подходе можно развести питание на 3 компа, но обратите внимание на мощности машин, мониторы и принтеры в розетки не подключаем). При выборе обратите внимание на удобство управления и качество приема.
4
. CC
U825
- GSM контроллер - разработка наших Тульских умельцев (есть море аналогов, но цена/ качество/ надежность). Рекомендую именно данную многоконтурную систему - несколько лет у нас проработал младший аналог без ложных срабатываний. Независимый источник питания и цена.. 7000 рублей. Есть еще CCU422 - стоит дешевле, но сильно урезана по количеству контуров и глубине настройки.
5
. Кн
опка паники
- опционально. Если не хотите заморочек с дополнительным контуром в CCU приобретите еще и ее. Стоит как GSM розетка примерно. Смысл - посылает на несколько заранее запрограммированных номеров SMS, с заранее подготовленным текстом.
6. Каме
ры и видеосервер
- это на Ваше усмотрение. Данные опции помогают более точно удаленно подтвердить проникновение. Мы их касаться не будем.
Разберем каждый инструмент отдельно - от «как выглядит» до настройки.
Раздел интеграции системы находится в разработке и будет доступен на нашем сайте аудиторской фирмы в ближайшее время
TrueCrypt
Handy Backup
GSM розетки
CCU825
Кнопка паники
камеры и видеосервер (не буду рассматривать)
Интеграция системы.
Регламент.Самая важная часть системы. Что должно входить:
Все сотрудники, имеющие отношение к системе должны понимать, что они делают в сложной, стрессовой ситуации (а так оно и есть - руки начнут дрожать, голова перестанет соображать, ноги подкашиваться - это ж блин бухгалтерши, а не незабвенный и всеми горяче уважаемый Железный Феликс Эдмундович). Понимать так, чтобы нажать туда, куда надо нажать, и позвонить тому, кому надо позвонить. Еще лучше назначить премию - кто первый, тому 100 долларов. Только особо премию не завышайте, а то бухгалтер подойдет как к бизнес процессу - сама их вызывать начнет.
- желательно раз в месяц отрабатывать ситуацию, например, вечером, каждую третью пятницу месяца. По времени займет минуты, максимум час. А спать руководство будет спокойнее.
- понимание остатков на сим-картах в GSM модулях. Сильно зависит от выбранного тарифного плана и количества смс оповещений. Так же от выбранных Вами розеток (должен быть способ проверить баланс, не вынимая симку из розетки и не вставляя ее в телефон). СМС должны отправляться нескольким сотрудникам, чтобы иметь избыточнось и снизить риски а-ля «телефон дома забыл». Контроль раз в месяц - докладываем деньги.
- проверяем, пишет ли наш handy backup резервные архивы по кругу в десяти частях? Нет ли ошибок в задачах программы. Если есть - исправляем. Так же раз в месяц.
- отправляем смс, или гасим тревожной кнопкой все машины. Включаем. Ничего не работает. Везде черный экран - сказка! Не везде? Разбираемся почему - этот момент мы и вылавливали ежемесячными тревогами. Разобрались. Вводим пароли, монтируем винты. Запускаем резервное копирование. Все работает - сказка!
- внимательно проверяем (ВАЖНО - много раз сталкивался) - все ли компьютеры подключены к GSM розетке, а только потом к упсу? Как, наоборот? Он же не выключиться, если наоборот. Исправляем.
- назначаем ответственного за регламент, его заместителя, заместителя заместителя - в общем, при любых внешних обстоятельствах регламент должен выполняться. Иначе это уже не система.
Недостатки системы.
Зависимость системы от перезагрузки, машины после включения представляют собой набор запчастей, а не компьютеры. Надо руками вводить пароли, монтировать диски. Так что желательно чтобы они вообще не выключались (на ваше усмотрение).
- зависимость системы от GSM связи - рекомендуем сразу проверить качество приема конкретного сотового оператора. Если сигнала нет, значит, надо сделать чтобы был - внешняя антенна и т.д. Иначе вы не сможете погасить компьютеры и как следствие прямо при Вас можно переписать с них данные.
- ежемесячные затраты на СМС, очень немного (даже можно было бы пренебречь), при выборе правильного тарифа и оператора.
- зависимость от соблюдения регламента (у Вас он вообще есть?). Система должна проверяться полностью примерно раз в месяц, исходя из опыта, отслеживаться настройки бэкапов и сам факт их проведения. Поскольку хоть все и автоматически, но каждый инструмент в отдельности имеет свой уровень безотказной работы (Handy может зависнуть - хотя на практике не видел, розетка нестабильно начать работать). Лучше с подобным столкнуться при регламентной проверке, нежели в иной ситуации.
Самое слабое звено
Сотрудники. Можно было бы и не продолжать, но.. вот здесь я бы позвал сисадмина (распределение прав пользователям и кто что может делать - выходит за рамки данной статьи). Скажу только, что я бы с большой продуманностью подходил к вопросу кому давать доступ и кому пароли - может как раз разным людям. Здесь слишком широкое поле, для обобщенных рассуждений. Оставляю это на совести руководителя. Так же как составление и проведение регламентных работ.
Заключение
В данной статья мы изложили примерный инструментарий, который целесообразно (с позиций цена/качество/надежность) использовать для решения задачи защиты и сохранности информации организации. Мы не претендуем на оригинальность в этом жанре и изложили чисто практические приемы, чтобы Вы могли обдумать варианты и сразу их реализовать. Ваши задачи могут быть сложнее или проще, но мы надеемся, что тот набор инструментов, которые мы здесь описали, поможет Вам в их решении.
С уважением, Независимый консультант
Павел Иванович Егоров.
