Размещено на http://www.allbest.ru/

Автономное образовательное учреждение высшего профессионального образования Курской области

"Курская академия государственной и муниципальной службы"

Кафедра информационной, техносферной безопасности и правовой защиты информации

Выпускная квалификационная работа

Разработка системы инженерно-технической защиты информации для предприятия сервиса

Студента 589 группы

Фафенрод С.С.

Руководитель

к. п. н., доцент Васильев Д.А.

Курск 2013

Содержание

• Введение
• Глава 1. Описание организации
• 1.1 Общие сведения о компании общество с ограниченной ответственностью "ВТИ - Сервис"
• 1.2 Организационная структура общества с ограниченной ответственностью "ВТИ - Сервис"
• 1.3 Функции отделов общества с ограниченной ответственностью "ВТИ - Сервис"
• 1.4 Информационные потоки в общества с ограниченной ответственностью "ВТИ-Сервис"
• 1.5 Анализ с системы защиты информации на объекте исследования
• 1.6 Модель нарушителя
• Глава 2. Основные системы инженерно-технической защиты информации
• 2.1 Понятие системы контроля и управления доступом
• 2.2 Идентификаторы СКУД
• 2.2.1 Биометрические системы идентификации
• 2.3 Исполнительные механизмы СКУД
• 2.4 Обнаружители запрещенных к проносу предметов
• 2.5 Программное обеспечение
• 2.6 Сетевые системы
• 2.7 Автономные системы
• 2.8 Применение СКУД
• 2.9 Анализ существующих систем контроля управлением доступа
• Глава 3. Совершенствование защиты информации
• 3.1 Особенности организации системы инженерно-технической защиты на предприятии "ВТИ сервис"
• 3.2 Расчет стоимости модернизации системы защиты офиса ООО "ВТИ - Сервис"
• Заключение
• Список используемой литературы
• Приложение 1 - Структурная схема видеонаблюдения ООО "ВТИ-СЕРВИС"
• Приложение 2 - Структурная схема локальной вычислительной сети

Введение

Большинство руководителей предприятий уже осознали необходимость защиты своей собственности, внутренней информации, безопасности сотрудников фирмы и т. д. Но некоторые из них ограничились юридической и физической охраной, видимо, из-за недостатка сведений о важности и необходимости технической защиты коммерческой собственности. Системы безопасности в офисе или магазине могут снизить (или полностью ликвидировать) саму вероятность совершения там преступления и во много раз увеличат вероятность его раскрываемости. Охранная и пожарная сигнализация, система аварийного оповещения обеспечат покой вашей фирме и в случае необходимости вовремя предупредят об опасности.[6]

Защита любого объекта включает несколько рубежей, число которых зависит от уровня режимности объекта. При этом во всех случаях важным рубежом будет система управления контроля доступом (далее СКУД) на объект.

Хорошо организованная с использованием современных технических

средств СКУД позволит решать целый ряд задач. К числу наиболее важных, можно отнести следующие:

* противодействие умышленному повреждению материальных ценностей;

* учет рабочего времени;

* защита конфиденциальности информации;

* регулирование потока посетителей;

* контроль въезда и выезда транспорта.

Кроме этого, СКУД является барьером для "любопытных". При реализации конкретных СКУД используют различные способы и реализующие их устройства для идентификации и аутентификации личности. Следует отметить, что СКУД являются одним из наиболее развитых сегментов рынка безопасности как в России, так и за рубежом. По данным ряда экспертов ежегодный прирост рынка СКУД составляет более 25 %. Число специалистов, работающих в сфере технических систем безопасности, превысило 500 тыс. человек [10, с. 8].

Главной целью обеспечения безопасности предприятия является комплексное противодействие, а не воздействие на потенциальные и реальные угрозы, позволяющее успешно функционировать в нестабильных условиях внешней и внутренней среды. При определении угроз обязательно учитываются: характер бизнеса предприятия; регион, в котором ведется деятельность (так называемое "криминальное досье"); схема расположения отдельных объектов предприятия. В этом контексте угрозу безопасности представляет любой фактор, который может привести к ущербу или каким-либо другим образом отразиться на доходах фирмы.

Безопасность предприятия представляет собой своеобразную многоуровневую систему барьеров, включающих в себя такие меры, как установка различных типов сигнализации, организация наблюдения и другие охранные процедуры. Предъявляемые к организации системы безопасности требования будут в итоге зависеть от характера реальной или предполагаемой угрозы персоналу или имуществу фирмы. Следовательно, анализ этих требований - это первый шаг в составлении программы мер безопасности, эффективность которых будет также зависеть и от выделенных на это средств.

С необходимостью решения этих задач сейчас сталкиваются практически все руководители различных коммерческих предприятий. Сегодня руководитель любого ранга должен иметь представление об основных возможностях технических средств безопасности, а вот подбор конкретных видов оборудования должен осуществляться высококвалифицированными техническими специалистами.

Вопросы внешней безопасности коммерческого предприятия или частного лица зачастую уже решаются бронированными дверями, шлюзовой системой пропуска, видеокамерами, охранниками и оружием и т. п., но вопросы внутренней безопасности порой решить куда сложнее. Ограничение доступа посторонних к информации, содержащейся в вашем личном компьютере, потребность быть в курсе того, что происходит на компьютерах фирмы в ваше отсутствие, а также необходимость проверки благонадежности работника - это те вопросы, с которыми часто сталкивается руководитель коммерческой структуры.

Система контроля и управлением доступа отличное средство для регулировки и подсчета реального рабочего времени для каждого члена коллектива, возможность снизить вероятность несанкционированного проникновения на территорию охраняемого объекта, повысить дисциплину на предприятии, ограничения доступа в отдельные зоны с повышенным требованиям к безопасности для рядовых сотрудников. Однако возможности СКУД недостаточно часто используются для организации системы защиты информации для предприятия сервиса, с чем была и определена тема выпускной квалификационной работы: "Разработка системы инженерно-технической защиты информации для предприятия сервиса".

Цель исследования: Провести анализ и выделить предложения по совершенствованию системы инженерно-технической защиты информации предприятия сервиса.

Предмет исследования: процессы инженерно-технической защиты информации предприятия сервиса.

Объект исследования: совершенствование инженерно-технической защиты информации предприятия сервиса.

База исследования коммерческое предприятие сервиса ВТИ-СЕРВИС.

В соответствии с темой, целью, объектом и предметом исследования были определены следующие задачи:

· проанализировать системы инженерно-технической защиты информации предприятия ВТИ - Сервис;

· рассмотреть основные системы инженерно-технической защиты информации;

· разработать предложения по совершенствованию системы защиты информации предприятия ВТИ-Сервис.

Выпускная квалификационная работа выполнена на 77 листах и содержит 11 схем и 5 таблиц.

Глава 1. Описание организации

1.1 Общие сведения о компании общество с ограниченной ответственностью "ВТИ - Сервис"

ООО "ПРЕДПРИЯТИЕ ВТИ-СЕРВИС" было создано в 1996 году. Основной деятельностью компании является:

· продажа торгового и компьютерного оборудования;

· предоставление услуг в сфере безопасности и мониторинга;

· предоставление услуг IT - сферы.

· продажа и техническое обслуживание ККТ и другого торгового оборудования.

Данная компания предлагает широкий ассортимент профессионального торгового оборудования лучших российских и зарубежных производителей.

ВТИ-СЕРВИС предлагает качественное оказание услуг для предприятий и индивидуальных предпринимателей в сфере информационных технологий и обслуживания торгового оборудования. ВТИ-СЕРВИС предоставляет свои услуги в сфере безопасности и мониторинга. ВТИ-СЕРВИС обеспечивает разработку и внедрение комплексных систем безопасности, информационных систем мониторинга и управления охраной объектов защиты (их поставку, монтаж, наладку и дальнейшее обслуживание). Компания осуществляет продажу и установку информационных систем мониторинга транспорта.

Компания имеет пятнадцатилетний опыт автоматизации предприятий в сфере торговли, ресторанного и гостиничного бизнеса, работы с АЗС, развлекательными и детскими игровыми центрами, салонами красоты и предприятиями других видов деятельности.

С 2000 года начали заниматься автоматизацией предприятий торговли, автомобильных заправок и пунктов приема коммунальных платежей.

В 2004 году компания провела первую самостоятельную комплексную автоматизацию супермаркета самообслуживания продуктов питания.

В 2005 году стали партнерами компании "UCS". Это открыло возможность предоставлять заказчикам лучшее решение для автоматизации бизнес процессов в сфере общественного питания, отдыха и развлечений (HoReCa).

В этом же году ООО "ПРЕДПРИЯТИЕ ВТИ-СЕРВИС" получило награду - лучший дистрибьютор Компании "АТОЛ Технологии".

В 2006 году компания стала партнером компании"1С".

В 2008 году ООО "ПРЕДПРИЯТИЕ ВТИ-СЕРВИС" отмечено наградой за: "Лучшее продвижение марки Fprint в ЦФО" группой компаний "АТОЛ".

В 2008 году для удобства клиентов ООО "ПРЕДПРИЯТИЕ ВТИ-СЕРВИС" открыло новый филиал в Курске и Железногорске.

Со времени своего основания, предоставляя качественный уровень сервиса, компания хорошо зарекомендовала себя как среди заказчиков, так и среди поставщиков. Поэтому большинство ведущих поставщиков торгового оборудования выбрали своими гарантийными и сервисными центрами в регионе, а также центрами компетенции и распространения запасных частей.

Сейчас компания имеет большое количество внедрений автоматизированных систем в: торговле, управлении рестораном, работой АЗС, развлекательным центром, гостиницей, детским игровым центром, салоном красоты и другими видами деятельности по Курску и области и занимает одну из лидирующих позиций в своей сфере деятельности. Сегодня коллектив насчитывает более 50 человек. Это сплоченная, эффективно работающая команда профессионалов [31].

1.2 Организационная структура общества с ограниченной ответственностью "ВТИ - Сервис"

Коммерческая организация "ВТИ-сервис" находится в управлении директором, в подчинении которому находятся 8 отделов. Во главе каждого отдела стоит начальник отдела. Обязанности начальника отдела состоят в организации контроля трудовой деятельности отдела. Общая политика и стратегия развитие предприятия разрабатывается на совещаниях и планерках. Также существуют ежедневные отчеты по работе отдела.

Так как функционирование каждого отдела невозможно без информационного и документального взаимодействия между ними, то для анализа системы защиты в первую очередь рассматривается область обязанностей каждого отдела, а также внутриорганизационные документопотоки. Структура организации представлена на рисунке 1.1

Рисунок 1 - Организационная структура ООО "ВТИ - Сервис"

1.3 Функции отделов общества с ограниченной ответственностью "ВТИ - Сервис"

Центр Технического Обслуживания (ЦТО) "ВТИ - Сервис" имеет обширный перечень обслуживаемой кассовой техники, в том числе как отдельно взятых фискальных регистраторов, так и целиком POS-систем. Менеджеры оформят документы, предоставят журнал кассира-операциониста и журнал вызова механика, окажут услуги по фискализации ККТ в органах ИФНС и, при необходимости, проводят обучение персонала работе на кассовом аппарате. Специалисты проводят настройку оборудования и конфигурирование программного обеспечения под заказчика.

Также, ЦТО предлагает широкий спектр услуг по гарантийному и сервисному обслуживанию, капитальному ремонту и настройке практически любых видов банковского оборудования.

Регистрация ККМ в налоговой инспекции, оформление документов ККМ для ИФНС, обслуживание чекопечатающих машин (ЧПМ, АСПД), обслуживание кассовых аппаратов (ККМ), обслуживание весового оборудования, обслуживание оборудования для работы с деньгами, комплексное обслуживание POS-систем, обслуживание парковочных комплексов, обслуживание принтеров этикеток (ШК), обслуживание платежных терминалов,

Отдел кадров выполняет следующие задачи:

· Подбор, расстановка и воспитание кадров.

· Изучение деловых и моральных качеств работников по их практической деятельности.

· Создание резерва кадров для выдвижения на руководящие и материально ответственные должности.

· Организация и проведение всех видов подготовки и повышения квалификации кадров. Организация проведения аттестации работников предприятия, ее методическое и информационное обеспечение, участие в анализе результатов аттестации, осуществление постоянного контроля за ходом выполнения решений аттестационной комиссии.

· Учет кадров.

· Обеспечение прав, льгот и гарантий работников предприятия

Отдел продаж выполняет следующие задачи:

Занимается реализацией торгового оборудования:

Кассовое оборудование, фискальные регистраторы, кассовые аппараты, чеко-печатающие устройства, чекопечатающие устройства на базе пассивных ККМ, прочее для касс, POS системы, весовое оборудование, оборудование для работы со штрих-кодом, платежные терминалы и комплектующие, видеонаблюдение, системы безопасности и мониторинга

Бухгалтерия выполняет следующие задачи:

· Организация бухгалтерского учета хозяйственно-финансовой деятельности.

· Контроль за экономным использованием материальных, трудовых и финансовых ресурсов.

· Осуществление единой политики предприятия в области финансов. Разработка финансовой стратегии предприятия и базы для его финансовой устойчивости.

· Организация финансовой деятельности предприятия с целью наиболее эффективного использования всех видов ресурсов в процессе производства и реализации продукции (работ, услуг) и получения максимальной прибыли.

· Контроль и управление использованных оборотных средств предприятия, кредитов. Участие в планировании себестоимости продукции и рентабельности производства.

· Анализ финансово-экономического состояния предприятия.

· Разработка учетной и налоговой политики Организация работы по перечислению платежей и взносов по налогам и сборам в федеральный бюджет, местный бюджет, в государственные внебюджетные социальные фонды.

· Выработка кредитной политики предприятия.

· Взаимодействие с кредитными учреждениями по вопросам предоставления кредитных ресурсов.

· Управление издержками

· Обеспечение своевременности налоговых платежей, расчетов с кредиторами и поставщиками.

Отдел сервиса занимается:

Гарантийный ремонт оборудования, ремонт кассовых аппаратов (ККМ),ремонт весового оборудования, ремонт счетчиков банкнот, ремонт счетчиков монет, ремонт упаковщиков банкнот, ремонт купюроприемников, ремонт принтеров этикеток (ШК), ремонт сканеров штрих кода (ШК),ремонт терминалов сбора данных, ремонт POS-систем, ремонт Денежных ящиков, ремонт лентопротяжных механизмов на кассах, ремонт компьютерного оборудования, ремонт контроллеров GameKeeper, ремонт парковочного оборудования, ремонт прочего оборудования.

Отдел IT занимается:

Внедрением автоматизированных решений в различных отраслях, таких как предприятия торговли, рестораны, бары кафе, гостиницы, кинотеатры, детские развлекательные центры и т.д. Проведение обучение персонала, консультации при возникновении спорных ситуаций на объекте заказчика, по телефону и удалённо через интернет. Так же предлагают проведение профилактических и диагностических работ, которые рекомендует фирма производитель. Проведение такого вида работ позволяет своевременно спрогнозировать замену элементов, которые быстро изнашиваются.

Настройка торгового оборудования

· Консультации по телефону и online

· Обслуживание IT-инфраструктуры офисов

· Прокладка сетей (ЛВС)

· Сборка, настройка и ремонт ПК

· Отдел IT программисты 1C

Занимается установкой, обслуживанием и разработкой конфигураций на платформе 1С. Являясь представителем 1С компания имеет доступ к последним обновлениям и свежей информации от фирмы 1С. Специалисты фирмы проходят регулярное обучение и имеют сертификаты по платформе и по продуктам 1С.

Также обслуживания и сопровождения баз данных 1С:Предприятие на 7 и 8 платформе. Программисты компании ВТИ - Сервис способны автоматизировать бизнес с помощью типовых конфигураций 1С, настроив их под поставленные задачи. Настроить или разработать обмен между различными конфигурациями 1С или с другими программами имеющими интерфейс обмена. Внесения изменения в конфигурацию или разработать новую, для повышения эффективности работы заказчика.

Специалисты занимаются:

· Обновлением, установкой и настройкой 1С

· Составлением отчётов и их обработкой

· Обменом данными с 1С Предприятием

· Изменением и разработкой 1С конфигураций

· Обучением 1С

· Подключением оборудования к 1С

· Обслуживанием 1С

Отдел АТХ занимается доставкой оборудования и специалистов к заказчикам, как по городу, так и область.[31]

1.4 Информационные потоки в общества с ограниченной ответственностью "ВТИ-Сервис"

Сущность построения схемы информационных потоков данной организации, заключается в выявление на ее основании элементов организационной структуры ООО "ВТИ - Сервис" на которые необходимо обратить особое внимание, при совершенствовании системы защиты информации. Данная схема представлена на рисунках 2 и 3.



Рисунок 2 - информационное взаимодействие между отделами, директором и финансовым директором

Рисунок 3 - схема информационных потоков между отделами

В таблице 1 представлена расшифровка цифровых обозначений.

Таблица 1 - Расшифровка цифровых обозначений

Номер связи	Взаимодействующие отделы	Документы из отдела указанного первым	Документы в отдел указанный первым	Степень конфиденциальности
1	директор- отдел кадров	распорядительные документы, заявки на: предложения по составлению графиков отпусков, копий приказов о приеме, увольнении	утверждение графиков отпусков	конфиденциально
2	директор - начальник отдела ЦТО	распорядительные документы, заявки на тех. обслуживание клиентов	отчеты о техническом обслуживании клиентов	конфиденциально
3	директор - бухгалтер	распорядительные документы, запросы об организации бухгалтерского учета.	отчеты по запросам, отчеты по использованию ресурсов.	конфиденциально
4	директор-начальник отдела продаж	распорядительные документы. Запросы по обеспечению потребностей предприятия на ресурсы,	договоры с поставщиками, отчеты по обеспечению потребностей предприятия на ресурсы.	конфиденциально
5	директор - отдел АТХ	распорядительные документы.	отчеты о состоянии ТС	общего доступа
6	директор-начальник отдела IT	распорядительные документы, инструкции, письма	отчеты о продельной работе отдела.	конфиденциально
7	директор - секретарь	распорядительные документы.	договора с поставщиками и клиентами	конфиденциально
8	финансовый директор - отдел АТХ	распорядительные документы.	отчеты о стоимости ТО ТС	конфиденциально
9	директор - финансовый директор	распорядительные документы, запросы по состоянию финансов предприятия	финансовые отчеты	строго конфиденциально
10	директор - внешняя среда	не регламентируются	распорядительные документы правительства РФ, местной администрации	общего доступа
11	отдел кадров - бухгалтерия	запросы на справки о размере зарплаты для оформления пенсии, график отпусков	заявки на рабочих и служащих, запросы на новые кадры	конфиденциально
12	отдел кадров - начальник отдела IT	проекты приказов, графики отпусков	заявки на рабочих и служащих, запросы на новые кадры, сведения о перемещении сотрудников по служебной лестнице	конфиденциально
13	отдел кадров - начальник отдела продаж	проекты приказов, графики отпусков	заявки на рабочих и служащих, запросы на новые кадры, сведения о перемещении сотрудников по служебной лестнице	конфиденциально
14	отдел кадров - начальник отдела ЦТО	проекты приказов, графики отпусков	заявки на рабочих и служащих, запросы на новые кадры, сведения о перемещении сотрудников по служебной лестнице	конфиденциально
15	отдел кадров - АТХ	проекты приказов, графики отпусков	заявки на рабочих и служащих, запросы на новые кадры	конфиденциально
16	отдел кадров - секретарь	проекты приказов, графики отпусков	заявки на рабочих, запросы на новые кадры, сведения о перемещении сотрудников по служебной лестнице	конфиденциально
17	IT отдел-отдел ЦТО	инструкции отчеты о ресурсах	инструкции отчеты о ресурсах письма	общего доступа
18	отдел продаж - отдел АТХ	Заявки на доставку оборудования и специалистов к клиентам	путевые листы	общего доступа
19	бухгалтерия- начальник отдела IT	помощь работникам предприятия в вопросах бух. учета	отчеты по затратам, запросы на помощь в осуществлении бухгалтерского учета	конфиденциально
20	бухгалтерия- начальник отдела продаж	методическая помощь работникам предприятия по вопросам бухгалтерского учета, контроля и отчетности	отчеты по затратам ресурсов, запросы на помощь в осуществлении бухгалтерского учета, контроля и отчетности	конфиденциально
21	бухгалтерия - отдел АТХ	методическая помощь работникам предприятия по вопросам бухгалтерского учета, контроля и отчетности	отчеты по затратам ресурсов, запросы на помощь в осуществлении бухгалтерского учета, контроля и отчетности	конфиденциально
22	бухгалтерия- начальник отдела ЦТО	методическая помощь работникам предприятия по вопросам бухгалтерского учета, контроля и отчетности	отчеты по затратам ресурсов, запросы на помощь в осуществлении бухгалтерского учета, контроля и отчетности	конфиденциально
23	начальник отдела IT-IT отдел: 1С	распорядительные документы, заявки на выполнение работ	отчеты по выполнимым работам	общего доступа
24	начальник отдела ЦТО - отдел сервиса: ЦТО	распорядительные документы, заявки на выполнение работ	отчеты по выполнимым работам	общего доступа
25	секретарь-начальник отдела IT	заявки на обслуживание поступившие от клиентов	не регламентировано	общего доступа
26	секретарь-начальник отдела ЦТО	заявки на обслуживание поступившие от клиентов	ответы на заявки	общего доступа
27	Начальник отдела IT-Внешняя среда	Письма, техническая поддержка online	Не регламентировано	общего доступа
28	Отдел сервиса - Внешняя среда	Сервисная поддержка клиентов	Не регламентировано	общего доступа
29	Отдел IT программирования - Внешняя среда	Письма техническая поддержка online	Не регламентировано	общего доступа
30	отдел ЦТО - внешняя среда	сервисная поддержка клиентов	не регламентировано	общего доступа
31	отдел продаж - Внешняя среда	реклама, информация для СМИ, информация для запрашивающих юридических или физических лиц	запросы информации от СМИ, юридических или физических лиц	общего доступа
32	секретарь - внешняя среда	принятие заявок от клиентов	заказы ресурсов поставщикам	конфиденциально
33	начальник отдела продаж - отдел продаж	распорядительные документы, письма	отчеты о продажи товаров и услуг	конфиденциально

1.5 Анализ с системы защиты информации на объекте исследования

биометрический идентификация доступ информационный

Проанализировав здание, где располагается ВТИ-Сервис, расположение камер наблюдения, охранно-пожарных датчиков и составления схематичной схемы здания. Это показано на рисунках 4, 5, 6. Также структурной схемы локально вычислительной сети - рисунок 7. Рисунок 8- структурная схема видео наблюдения. Схемы локальной вычислительной сети и схему видео наблюдения можно посмотреть в приложениях.

Посредством информации осуществляются циклически повторяющиеся стадии процесса управления - получения, переработки сведений о состоянии управляемого объекта и передачи ему управляющих команд. Следовательно, с помощью информации реализуется связь между субъектом и объектом и между управляющей и управляемой частями общей системы управления.

Рассмотренный выше документооборот организации можно проанализировать по степени конфиденциальности.

Таблица 2 - Классификация документов по конфиденциальности и средства защиты информации, используемые для их хранения.

Важная информация	Степень конфиденциальности	Кого интересует	Меры по защите информации (существующие)
персональные данные	строго конфиденциально	сотрудники организации	металлический шкаф, кодовый замок
трудовые договоры	доступно
личные дела	конфиденциально	сотрудники организации, внешние нарушители	оборудованное помещение, металлические шкафы
извещения	доступно
заявления	ограниченного доступа	сотрудники организации	оборудованное помещение, Металлические шкафы
отчет	конфиденциально	сотрудники организации, внешние нарушители	оборудованное помещение, металлические шкафы
письма	ограниченного доступа	внешние нарушители	специальное оборудование

При исследовании структуры информационных потоков, были выявлены виды информации, циркулирующие в ООО "ВТИ - Сервис" и существующие меры по защите информации.

Существующие средства защиты информации.

На данном объекте существуют следующие средства инженерно-технической защиты информации:

· Видеонаблюдение (внутреннее и внешнее).

· Металлические двери.

· Сейфы.

· Металлические шкафы.

· Охранно-пожарная сигнализация.

Систему видео наблюдения можно посмотреть на рисунках 4, 5 и 6. Установлено 11 видеокамер, 3 из которых охватывают внешний периметр.

Рисунок 4 - Расположение охранно-пожарной системы 1 этажа



Рисунок 5 - Расположение охранно-пожарной системы 2 этажа

Рисунок 6 - Расположение охранно-пожарной системы 3 этажа

Условные обозначения:

· 1 - датчики пожарной сигнализации и датчики движения;

· 2 - металлические двери;

· 3 - окна с датчиками разбития;

· 4 - шкафы и сейфы;

· 5 - слепые зоны

Центральный блок управления охранно-пожарной системы находится на первом этаже в кабинете инженеров. Датчики пожарной сигнализации установлены по всем трём этажам. В каждом кабинете и проходе установлено по 2 датчика пожарной сигнализации, кроме складов, сан. узлов и приемной директора. Также установлены датчики движения по всем коридорам и лестницам здания.

Металлические двери установлены на складе и серверной комнате на 1 этаже, во всех остальных кабинетах и складе 2 этажа установлены деревянные и пластиковые двери с вставкой из стекла.

Сейфы расположены на 1 этаже в торговом зале, на 2 этаже в кабинете директора и финансового директора, а также в приемной. Металлические шкафы расположены в кабинетах, расположенных на 1 этаже в кабинете инженеров, на втором этаже во всех кабинетах, кроме склада и столовой, и на третьем этаже в кабинете IT-отдела расположенного по левую сторону от кабинета менеджера по кадрам. Во всех остальных кабинетам установлены деревянные шкафы для хранения архивных документов и документов не сданных в архив.

1.6 Модель нарушителя

Нарушитель - лицо, предпринявшее попытки выполнения запрещенных операций по ошибке, незнанию или осознанно, со злым умыслом (из корыстных интересов или без таковых, ради игры или удовольствия, с целью самоутверждения) и использующее для этого различные возможности, методы и средства[25].

Нарушитель [adversary, син. участник нечестный, нарушитель внутренний] - участник протокола, нарушающий предписанные протоколом действия[19].

Для оценки вероятности угроз необходимо иметь модель нарушителя, предусматривающую различные возможности нарушителя по доступу к информационным ресурсам компьютерно-кассовых систем и по техническим возможностям реализации угроз. Источником угроз в данной модели является внешний или внутренний субъект, получивший некоторые возможности доступа к сети со штатными средствами автоматизированной системы и средствами вычислительной техники, имеющий определенный уровень знаний в области эксплуатации и защиты средств вычислительной техники.

На основе проведённого анализа объекта ВТИ-Сервис, ниже представлена модель нарушителя, которая предусматривает 3 уровня возможности получения доступа нарушителем к информации:

· Первый уровень - отсутствие полномочий доступа к ресурсам ККС Нарушитель первого уровня не располагает именами зарегистрированных пользователей сети, он может вести разведку имен и паролей легальных пользователей.

· Второй уровень - у нарушителя имеются полномочия на запуск ряда задач (программ) из фиксированного набора, реализующего заранее предусмотренные функции по обработке информации. Как правило, это пользователи сети, права которых определяются в принятой политике безопасности.

· Третий уровень - определяется возможностью нарушителя создания и запуска собственных программ с новыми функциями по обработке информации. Пользователями третьего уровня полномочий наиболее часто являются внешние информационные посредники. Он может располагать любыми фрагментами информации о топологии и технических средствах обработки информации сети, любыми фрагментами конфиденциальных данных, к которым данный пользователь имеет доступ.

Классификация возможных нарушителей безопасности информации производится по группам, приведенным в Таблице 3.

Таблица 3 - Модель нарушителя информационной безопасности

Группа нарушителя	Уровень возможностей
Внешние нарушители
конкуренты	II- III
преступные организации	II- III
посетители	I
хакеры	I
информационные посредники (разработчики используемых программных средств и средств защиты)	III
Внутренние нарушители
информационные посредники (сетевые администраторы, администраторы БД)	III
пользователи рабочих станций	II
руководители	III
сотрудники отделов разработки и сопровождения программного обеспечения	II- III
сотрудники, предполагающие уволиться с работы	II- III

Выводы:

В ходе проведенного анализа предприятия выявлена организационно-управляющая структура деятельности предприятия, проанализированы информационные потоки организации и в ходе анализа системы защиты информации предприятия ВТИ-Сервис нами были выявлены следующие недостатки:

В уже существующей системе видеонаблюдения остаются слепые зоны, документация хранится в простых деревянных шкафах, отсутствует система разграничения доступа в организацию.

Глава 2. Основные системы инженерно-технической защиты информации

2.1 Понятие системы контроля и управления доступом

Система контроля и управления доступом (СКУД) - совокупность программно-аппаратных технических средств безопасности, имеющих целью ограничение и регистрацию входа-выхода объектов (людей, транспорта) на заданной территории через "точки прохода": двери, ворота, КПП [4, с. 14].

Сегодня СКУД - это не только набор пропускных конструкций, контроллеров, считывателей и т. д., а сложный комплекс организационных и технических мероприятий, процесс управления доступом в котором автоматизирован и практически не требует участия персонала [6, с. 38].

Под доступом будем понимать - перемещения людей, транспорта и других объектов в (из) помещения, знания, территории [2, с.7].

Система контроля доступа помогает не только обеспечивать сохранность материальных ценностей, безопасность персонала и посетителей, но и организовать учет рабочего времени сотрудников, а также упорядочивать порядок передвижения людей по объекту.

Основные задачи:

· ограничение доступа на заданную территорию

· идентификация лица, имеющего доступ на заданную территорию

· управление доступом на заданную территорию (кого, в какое время и на какую территорию пускать)

Дополнительные задачи:

· учёт рабочего времени;

· расчет заработной платы (при интеграции с системами бухгалтерского учёта);

· ведение базы персонала / посетителей;

· интеграция с системой безопасности.

Например:

· с системой видеонаблюдения для совмещения архивов событий систем, передачи системе видеонаблюдения извещений о необходимости стартовать запись, повернуть камеру для записи последствий зафиксированного подозрительного события;

· с системой охранной сигнализации (СОС), например, для ограничения доступа в помещения, стоящие на охране, или для автоматического снятия и постановки помещений на охрану.

· с системой пожарной сигнализации (СПС) для получения информации о состоянии пожарных извещателей, автоматического разблокирования эвакуационных выходов и закрывания противопожарных дверей в случае пожарной тревоги [10, с. 9].

В общем виде СКУД может иметь в своем составе следующие элементы:

· исполнительные механизмы (замки, турникеты, шлюзы);

· электронные идентификаторы (пластиковые карточки, "электронные таблетки" и другие устройства);

· считыватели (пластиковых карточек и прочих электронных идентификаторов);

· устройства ввода персонального кода (PIN-кода);

· биометрические устройства идентификации личности;

· устройства управления исполнительными механизмами (контроллеры, концентраторы);

· оборудование сопряжения локальной сети СКУД с компьютером;

· программное обеспечение администратора системы.

Основой любой системы являются блоки концентраторов с подключенными считывателями идентификационных ключей, охранными датчиками и электромеханическими запорными устройствами (замки, шлагбаумы, турникеты).

Контроллер - электронные устройства, контролирующие работу считывателей и управляющие устройствами исполнительными. Устройства исполнительные принимают команды управления с контроллеров и обеспечивают блокировку возможных путей несанкционированного проникновения через устройства заграждения (двери, ворота, турникеты, кабины прохода и т.п.) людей, имущества, транспорта в помещения, здания и на территорию [3, с. 5].

Именно контроллер принимает решение, пропустить или нет человека в данную дверь. Контроллеры исполнительных устройств СКУД - сложные электронные приборы, которые могут быть реализованы в виде отдельных блоков либо встроены в корпус соответствующего исполнительного устройства. Контроллер хранит в своей памяти коды идентификаторов со списком прав доступа каждого.

Кроме обмена информацией с концентраторами СКУД по линиям связи осуществляют: анализ информации, поступающей с устройств чтения электронных идентификаторов, устройств ввода PIN-кода и биометрических идентификаторов, выдачу на основании этого анализа управляющих сигналов на отпирание (запирание) исполнительных устройств; контроль состояния исполнительных устройств (открыто или закрыто); хранение в оперативной энергонезависимой памяти журнала перемещений; регистрацию попыток несанкционированного доступа. Важно, чтобы контроллер мог работать даже в случае аварии электросети, имел резервный источник питания.

Считыватель (ридер) - это устройство, предназначенное для считывания специальной кодовой информации, хранимой в идентификаторе, и ее передаче в виде заранее определенного сигнала в контроллер. Считыватели могут быть ручными, стационарными и стационарными автоматическими, имеющими связь с системой [1, с. 3].

В зависимости от принципов работы идентификатора меняется и технология считывания кода.

Считыватель должен быть отделен от контроллера, чтобы снаружи цепи, по которым возможно открывание замка, были недоступны. Считыватель предпочтительно использовать в вандалозащищенном исполнении. Самыми вандалостойкими являются считыватели бесконтактных карт.

В качестве средств доступа (идентификатора личности) могут быть применены любые контактные или бесконтактные карты, электронные ключи или даже сигнал от видеокамеры, которая, определив номер автомашины, подаст команду на открывание шлагбаума. В системе контроля и управления доступом состояние контролируемых зон, события и отчеты могут отображаться в реальном масштабе времени на экране компьютера.

По количеству точек доступа и пользователей СКУД подразделяются на следующие виды:

· малые, имеющие несколько единиц точек доступа (офисы);

· средние, имеющие десятки точек доступа и тысячи пользователей (банки, предприятия, учреждения, гостиницы);

· большие, имеющие сотни точек доступа и десятки тысяч пользователей (крупные промышленные предприятия, аэропорты).

По методу управления пропускными конструкциями (двери, турникеты, шлюзы и т. п.) все системы подразделяют на автономные (локальные), централизованные (сетевые) и комбинированные.

Автономные системы управления доступом управляют одним или несколькими пропускными конструкциями, без трансляции информации на центральный пульт и без контроля со стороны оператора. Предназначены для обеспечения контроля и управления доступом в отдельное помещение. Автономная система обычно состоит из самостоятельного контроллера (хранящего в себе базу данных идентификаторов и управляющего работой остальных элементов системы) и исполнительного устройства (электромагнитный замок, защелка).

Идентификаторы пользователя могут быть различными (магнитные, штриховые). Для обеспечения правильности работы всей системы используется датчик положения двери, сама дверь оснащается доводчиком, а контроллер - резервным источником питания. Программное обеспечение позволяет отслеживать перемещения сотрудников по территории, вести учет рабочего времени сотрудников, осуществлять визуальный контроль личности (в интегрированных системах). Автономные системы с накоплением информации позволяют также накапливать информацию обо всех проходах через точку доступа (дверь, турникет) - дату, время, идентификационный номер [9, с. 485].

Сетевые системы контроля и управления доступом взаимодействуют с пропускными конструкциями, осуществляя обмен информацией с центральным пультом. Оператор может оперативно управлять системными устройствами - дистанционно заблокировать замки или открыть их (например, в случае пожара). В такой системе все контроллеры соединены друг с другом через компьютер. Сетевые системы используются для управления несколькими пунктами прохода (проходные, офисные помещения, помещения с повышенным уровнем безопасности, объекты на улице). Удельная стоимость одной точки прохода в сетевой системе всегда выше, чем в автономной. Однако сетевые системы незаменимы для больших объектов, так как управление десятками дверей, на которых установлены автономные системы, становится очень большой проблемой.

Автономные системы дешевле, проще в эксплуатации (часто установка и настройка такой системы доступна даже не очень подготовленному человеку), а по эффективности иногда ничуть не хуже сетевых. Но в них невозможно создавать отчеты и передавать информацию по событиям, они не могут управляться дистанционно. При этом автономные системы не требуют прокладки сотен метров кабеля, устройств сопряжения с компьютером, да и самого компьютера тоже.

На практике создаются и комбинированные системы, включающие функции как автономных, так и сетевых. Компьютерное управление в этих системах для оператора имеет приоритет по отношению к собственному. Модульный принцип построения позволяет конструировать и наращивать СКУД в зависимости от текущих потребностей. Существует возможность выбрать именно те функции системы, которые необходимы сегодня, и добавлять те или иные опции по мере необходимости. Универсальность СКУД предполагает обеспечение работы сети исполнительных устройств СКУД с использованием универсальных интерфейсов. Важной для обеспечения универсальности СКУД является возможность обеспечения ее взаимодействия с системами пожарно-охранной сигнализации, охранного телевидения, охраны периметра, жизнеобеспечения объекта, разграничения доступа к информационным ресурсам на логическом и программно-аппаратном уровне, применения единого электронного идентификатора на всем объекте защиты и единой базы данных администратора безопасности объекта, а также вывода тревожной информации в унифицированном виде на компьютер администратора в реальном масштабе времени (интегрированные системы).[12]

2.2 Идентификаторы СКУД

В любой СКУД имеется некий идентификатор (ключ), который служит для определения прав владеющего им человека. В качестве электронных идентификаторов в СКУД могут использоваться: штрихкодовые, магнитные или интеллектуальные (смарт-карты) пластиковые карточки; "электронные таблетки" (Touch Memory); виганд-карточки, где носителем информации является материал, из которого они изготовлены; карточки дистанционного считывания, излучающие радиосигнал. Кроме того, в качестве идентификатора могут использоваться код, набираемый на клавиатуре, а также ряд биометрических признаков человека [21, с. 16].

Карта доступа или брелок-идентификатор могут быть переданы другому лицу, могут быть украдены или скопированы, код может быть подсмотрен. Более надежны с этой точки зрения биометрические устройства аутентификации. Они обеспечивают опознание сотрудников и посетителей путем сравнения некоторых индивидуальных биологических параметров личности с параметрами, хранящимися в их памяти, и выдачи в контроллер исполнительного механизма информации о результате опознания. Однако существует возможность без больших усилий подделать некоторые биометрические признаки (отпечатки пальцев наиболее легко воспроизводимы), поэтому в организациях, где требуется высокий уровень защищенности, используют одновременно несколько идентификаторов - например, карточку и код, отпечаток пальца и карту или код. Сегодня выпускаются карточки с высоким уровнем защищенности (используются мощные схемы криптографирования), где ключи для шифрования может назначать сам пользователь.

"Электронные таблетки" (Touch Memory) представляют собой микросхему, расположенную в прочном металлическом корпусе. Кодовая информация записывается в память данной схемы. Для идентификации нужно приложить таблетку к считывателю. Скорость считывания - 0,1 сек. Некоторые модели позволяют заносить информацию о пользователе. Достоинствами являются компактность, высокая стойкость к механическим повреждениям, коррозии, перепадам температур и небольшая стоимость (сравнимая со стоимостью карточек с магнитной полосой).

Карточка со штриховым кодом представляет собой пластину с нанесенными на нее полосами черного цвета (штрихами). Кодовая информация содержится в изменяющейся ширине штрихов и расстоянии между ними. Код с такой карточки считывается оптическим считывателем. На магнитную карточку кодовая информация записывается на магнитной полосе. Штриховой код можно просто запачкать грязью. Магнитную карту легко поцарапать в кармане.

Перфорированная карточка представляет собой пластину (пластмассовую или металлическую). Кодовая информация на перфорированную карточку наносится в виде отверстий, расположенных в определенном порядке. Код с карточек считывается механическими или оптическими считывателями.

Кодовая информация на виганд-карточке содержится на определенным образом расположенных тонких металлических проволочках, приклеенных специальным клеем. Информация с карточки считывается электромагнитным считывателем.

Проксимити-технологии имеют массу достоинств - намного большую по сравнению с другими способами идентификации надежность и долговечность, отсутствие источника питания (в пассивных картах). Проксимити-считыватель постоянно посылает радиосигнал. Карта при попадании в зону действия считывателя принимает его излучение и в ответ посылает сигнал, содержащий записанный на микросхеме код. Расстояние между считывателем и картой зависит от мощности считывателя и варьируется от 5 см до нескольких метров. Отсутствие механического контакта в процессе работы позволяет делать идентификаторы произвольной формы (даже в виде гвоздя), идентификатор можно имплантировать в объект идентификации. Достоинствами являются сложность подделки, возможность применения криптоалгоритмов (шифрования) [22, с. 55].

В литературе иногда используется другое название этой технологии - системы радиочастотной идентификации и регистрации объектов (RFID-системы). Они также осуществляют идентификацию объекта по уникальному цифровому коду, излучаемому закрепленной на объекте электронной меткой-транспондером. Используются как активные (с питанием от встроенной батареи), так и пассивные транспондеры. Транспондеры выпускаются с различным типом организации памяти. Это транспондеры RO (Read Only), содержащие записанный на заводе уникальный код, и R/W (Read Write) транспондеры, код в которые заносится пользователем, многостраничные транспондеры, имеющие пользовательскую память объемом до 1 кБ, а также транспондеры, память которых защищена "плавающим" кодом. Системы различаются несущей частотой используемых сигналов, типом модуляции, протоколом радиообмена, объемом возвращаемой транспондером информации.

В настоящее время выделяют три основных частотных диапазона, в которых работают системы RFID:

· Низкочастотный диапазон (до 150 кГц). Недостатками низкочастотных систем RFID являются низкая скорость радиообмена и сложность изготовления высокоиндуктивных антенн транспондеров. Низкая скорость обмена не позволяет ридеру (считывателю) различать несколько транспондеров, одновременно находящихся в поле его антенны.

· Среднечастотный диапазон (13,56 МГц). Дальность обмена системы составляет около 50 см и позволяет идентифицировать до 30 транспондеров, одновременно находящихся в поле антенны ридера, в секунду.

· Высокочастотный диапазон (850-950 МГц и 2,4-5 ГГц). Используется для идентификации на достаточно больших расстояниях (10-15 м) объектов, двигающихся со скоростями до 200 км/ч. Большие расстояния действия высокочастотных систем RFID достигаются за счет применения остронаправленных антенн считывателей и высоких мощностей запросного сигнала. Стоимость таких систем значительно выше [20, с. 50].

Смарт-карта "умная карта" представляет собой пластиковую карточку, имеет встроенный микроконтроллер со всеми его атрибутами (процессор, оперативная память, энергонезависимая память с файловой системой, средства ввода-вывода, дополнительные сопроцессоры). Основные преимущества смарткарт - большой объем памяти и высокая защищенность информации от попыток модификации и дублирования. Недостаток - высокая стоимость. Является типовым оборудованием соответствующих автоматизированных систем, может быть достаточно просто внедрена практически в любую произвольную систему.

PIN-код. Носителем кодовой информации является память человека. Пользователь автономно набирает на клавиатуре код и этим дает сигнал исполнительному устройству.

2.2.1 Биометрические системы идентификации

Биометрические системы идентификации наиболее эффективны, так как в них распознаются не физические носители информации, а признаки или особенности самого человека (уникальная персональная информация). Системы доступа и защиты информации, основанные на таких технологиях, являются не только самыми надежными, но и самыми удобными для пользователей на сегодняшний день. Все биометрические устройства предъявляют специфические требования к программным и аппаратным средствам. В любой системе аутентификации пользователи сначала должны быть зарегистрированы. Многие биометрические системы позволяют пользователям делать это самостоятельно.

Все методы биометрической идентификации можно разделить на статические методы, которые строятся на физиологической характеристике человека, то есть его уникальном свойстве, данном ему от рождения и неотъемлемом от него (как отпечатки пальцев), и динамические методы, которые базируются на поведенческой характеристике человека, особенностях, характерных для подсознательных движений в процессе воспроизведения какого-либо действия (подписи, речи, динамики клавиатурного набора и т. п.).

Отпечатки пальцев человека (папиллярные узоры) представляют особый интерес в качестве источника информации для идентификации личности в силу уникальных индивидуальных признаков. Процент отказа в доступе уполномоченных пользователей составляет меньше 0,000001.

В настоящее время насчитывается несколько практически используемых систем, имеющих время реакции 1-3 с и основанных на примерно одинаковых подходах к распознаванию, но отличающихся рядом параметров. Существуют два основополагающих алгоритма распознавания отпечатков: по отдельным деталям (характерным точкам) и по рельефу всей поверхности пальца, а также комбинация этих алгоритмов. В дактилоскопических СКУД применяются алгоритмические решения, позволяющие отличить "живой" палец от "мертвого", - это определение температуры прикладываемого пальца, отслеживание во времени динамики потоотделения поверхности кожи пальца и характера деформации рисунка папиллярных линий на окне сканера. Считыватели отпечатков пальцев вызывают у людей некоторый дискомфорт, хотя современные дактилоскопические считыватели не хранят сами отпечатки пальцев, а только некую их математическую модель, по которой отпечаток не восстанавливается.

Лицевая термография - идентификация личности по схеме расположения кровеносных сосудов лица (аналогично происходит распознавание по рисунку вен на руке). По надежности и затратам времени, необходимого для всей процедуры идентификации, этот метод сопоставим с дактилоскопическим. Метод лицевой термографии базируется на результатах исследований, показавших, что вены и артерии лица каждого человека создают уникальную температурную карту. Специально разработанная инфракрасная камера позволяет сканировать информацию для фиксированных зон лица. Результат сканирования - термограмма - является уникальной характеристикой человека. Система позволяет провести идентификацию даже в случае, когда человек находится на другом конце неосвещенной комнаты. На точность термограммы не влияют ни высокая температура тела, ни охлаждение кожи лица в морозную погоду, ни естественное старение организма человека. Система обеспечивает близкую к 100 % точность распознавания независимо от использования специальных масок или даже проведения пластических операций, так как термограмма - это схема расположения внутренних кровеносных сосудов.

Существуют еще четыре метода распознавания лица:

· анализ изображений в градациях серого на предмет отличительных характеристик лица;

· анализ отличительных черт (метод адаптирован к изменению мимики);

· анализ на основе нейронных сетей, основан на сравнении "особых точек", способен идентифицировать лица в трудных условиях;

· автоматическая обработка изображения лица, основана на выделении расстояний и отношений расстояний между легкоопределяемыми особенностями лица человека.

На этих четырех принципах построена система автоматической идентификации и слежения за лицами через телекамеры. Возможности системы позволяют производить запись изображения лиц исходя из наилучшего найденного в процессе захвата ракурса. На основе полученного видеосигнала с помощью специальных алгоритмов производится обработка изображения на предмет выделения лиц. Составляется фототека лиц, которая сохраняется в архиве. Возможен поиск в базе данных лиц по времени и дате.

Технология идентификации человека по форме кисти руки основана на анализе трехмерного изображения кисти. Данный способ не является высоконадежным, что связано, в первую очередь с большой изменяемостью формы кисти как в течение жизни человека, так и в относительно короткие сроки. Менее существенный недостаток - сравнительно большие размеры приемного устройства (минимальный размер в плоскости не может быть меньше размера кисти, а в высоту составляет более 20 см). Некоторым достоинством данного способа является малый объем математического "портрета" кисти руки (всего 9 кБ).