Интеграция системы пользовательских данных с корпоративными базами на примере сектора консалтинговых услуг



Рис. 12. Примеры использования VPN для защиты сетей различных масштабов

Для обеспечения защищенного удаленного доступа к ресурсам организации из любой точки с помощью стандартных web-браузеров используется организация виртуальной частной сети SSL VPN. SSL (Secure Sockets Layer или уровень защищённых сокетов) - криптографический протокол, который обеспечивает установление безопасного соединения между клиентом и сервером [29]. Система защищенного удаленного доступа позволяет организовать работу с внутренними информационными ресурсами компании сотрудникам и партнерам, работающим вне офиса - с домашнего компьютера, через WiFi-доступ в аэропортах, кафе, торговых центрах, интернет-кафе, через сеть партнера по бизнесу и т.д.

Однако, удаленные рабочие станции могут содержать вредоносные, шпионские программы и не иметь средств обеспечения безопасности, тем самым подвергая информационную систему компании дополнительным угроза. Поэтому защищенный удаленный доступ к ресурсам организации должен осуществляться с компьютера, управляемого компанией. Для защиты от несанкционированного доступа к информации также необходима аутентификация пользователей с использованием электронных ключей.

Системы идентификации и аутентификации

Система идентификации и аутентификации обеспечивает аппаратную авторизацию пользователей при доступе к информационным ресурсам компании на основе токенов - компактных устройств в виде USB-брелоков и смарт-карт, содержащих личную информацию (см. рис.8). Токены могут применяться для хранения многосимвольных сложных паролей, персональных данных пользователей, цифровых сертификатов, ключевой информации (при использовании сервисов, основанных на ЭЦП), бесконтактных «электронных проходных», использоваться при интеграции с системами контроля и управления доступом в помещения, системами учета рабочего времени персонала и т.д. Токены повышают уровень дисциплины сотрудников компании.

В рамках построения системы идентификации и аутентификации применяются системы, основанные на использовании:

защищенных носителей информации (USB ключей и смарт-карт с защищенной памятью), позволяющих полностью отказаться от парольной аутентификации;

технологии одноразовых паролей (One Time Password);

технологии единого входа (Single Sign On).

Система идентификации и аутентификации позволяет пользователям организации:

повысить защищенность своей информации и обеспечить к ней безопасный доступ;

всегда иметь при себе персональные цифровые данные (сертификаты ЭЦП, ключи шифрования, коды доступа);

значительно снизить риск раскрытия используемых аккаунтов;

проходить единую аутентификацию в приложениях [20].

Рис. 13. Схема работы корпоративной системы идентификации и аутентификации

Системы web-фильтрации

Системы контроля входящего web-трафика анализируют поток данных, поступающий по сетевым каналам организации в ответ на запросы пользователей, на предмет их потенциальной опасности. Система в режиме онлайн изолирует опасный трафик от внутренней сети организации, предотвращая возможные угрозы.

Системы web-фильтрации часто работают так: система устанавливается на выделенный сервер и подключается к корпоративному прокси-серверу (или зеркалирующему порту до прокси-сервера), дублируя себе проходящий web-трафик пользователей (см. рис. 14).

Когда сотрудник запрашивает в браузере какую-либо страницу, система web-фильтрации фиксирует инициатора и время запроса, запрошенный ресурс и его категорию по базе.

Если запрошенный web-ресурс принадлежит к «черной» категории, система посылает запрос на прокси-сервер об отмене доступа пользователю [23].



Рис. 14. Схема работы системы web-фильтрации

Комплекс резервного копирования и восстановления данных

Важной частью мер, направленных на обеспечение надежного функционирования информационных систем, является создание развитой системы резервного копирования и восстановления данных.

Система резервного копирования представляет собой программно-аппаратный комплекс, предназначенный для создания дополнительных копий критически важной информации. Такие системы являются одним из необходимых методов обеспечения непрерывности бизнеса. По данным Gartner, среди компаний, пострадавших от катастроф и переживших крупную необратимую потерю корпоративных данных, 43% не смогли продолжить свою деятельность.

В отличие от систем архивирования данных, резервные копии не предназначены для долгого хранения и по мере необходимости удаляются. При этом скорость восстановления информации с них значительно выше, так как в качестве носителей могут использоваться достаточно емкие и недорогие хранилища [23].

Вывод: Современные организации обладают, как правило, сложной, территориально распределенной корпоративной информационной системой, большим количеством критичных информационных ресурсов и работают в условиях растущих репутационных рисков и непрерывно меняющихся внешних требований к защите информации. В свою очередь, системы терминального доступа создаются и внедряются в совершенно разных условиях, исходя из разных обстоятельств, задач и ограничений, поэтому состав технических средств, образующих систему терминального доступа, может быть разным. В такой ситуации обеспечить безопасность и защиту информации в информационных системах при адекватных расходах возможно лишь при использовании системного подхода, который подразумевает внедрение в компании КСИБ (комплексной системы информационной безопасности). Реализация и администрирование комплекса средств защиты требует создания интерфейса пользователя, доступного для изучения и работы не-технических специалистов: наряду с очевидными плюсами, внедрение КСИБ влечет за собой существенный недостаток - необходимость предоставления доступа к информации сторонним специалистам (разработчикам), что, в свою очередь, может привести к утечке информации. Именно поэтому финальным и ключевым этапом обеспечения безопасности информационного ресурса является разработка оболочки представления данных конечному пользователю и обучение персонала.



3. Обоснование вариантов повышения надежности и защищенности подсистемы терминального доступа к системам ELMA и 1С: Предприятие, оценка экономических показателей от внедрения

КСИБ включает в себя набор взаимосвязанных организационных мер, программно-технических средств и процессов управления на всех уровнях деятельности организации: стратегическом, тактическом и операционном (см. рис. 15).

Рис. 15. Комплексная система информационной безопасности

Выделяют три основных направления, необходимых для построения КСИБ:

Решения по управлению ИБ, направленные на построение в организации эффективных процессов управления;

Решения по обеспечению соответствия требованиям, направленные на защиту информации в соответствии с актуальными требованиями законодательства РФ, контролирующих, регулирующих и сертификационных органов;

Решения по обеспечению ИБ, направленные на защиту информации и информационной системы организации от внешних и внутренних угроз информационной безопасности [16].

Тема данной работы, в той или иной степени, охватывает область всех рассмотренных вопросов. За процессом представления данных конечному пользователю стоит огромная работа технических специалистов и управленцев по выбору программных, аппаратных или программно-аппаратных средств, обеспечения надежности и защищенности подсистемы терминального доступа.

3.1 Подбор компонентов системы обеспечения информационной безопасности

Начнем подбор компонентов со списка требований и основополагающих правил:

В основу подбора компонентов ложится модель так называемого «полного перекрытия» - в системе защиты с полным перекрытием для всех возможных угроз безопасности существуют механизмы защиты, препятствующие осуществлению этих угроз. Если это не так, эффект от остальных компонентов равен нулю.

Российское законодательство требует применение только сертифицированных решений.

Экономическая составляющая вопроса играет не самую главную роль.

Лучше выбирать решения от одних разработчиков и интеграторов, так как исключается фактор несостыковки компонентов, уменьшается стоимость и время внедрения, уменьшается стоимость последующей технической поддержки.

За криптографическую защиту конфиденциальной информации нашего банка будет отвечать профессиональная система Secret Disk NG от компании «Аладдин Р.Д.» - ведущий российский разработчик и поставщик средств аутентификации, продуктов и решений для обеспечения информационной безопасности и защиты конфиденциальных данных. Защита ведется на ПК и съемных носителях информации от копирования, хакерских атак и любого несанкционированного доступа. При записи информации на электронные носители данное решение автоматически кодирует данные, а при копировании происходит расшифровка данных. При обращении к защищенной информации пользователь проходит двухфакторную идентификацию и аутенфкацию. Для ее осуществления использовали систему на базе продукта eToken Pro (а не имеющего международную сертификацию rutoken) от того же разработчика и интегратора, вследствие чего исключили фактор несостыковки.

Рис. 16. USB-ключ eToken PRO

Для дешифрования пользователю необходимо иметь смарт-карту или USB-ключ (см. рис.16) и только после этого вводится PIN-код (Personal Identification Number или личный опознавательный номер). Ввиду существования такого комплекта интегрированных решений отказались от других рассмотренных кандидатов, у которых не было данного преимущества:

McAfee Endpoint Encryption

Домен-К (ИнфоТеКС)

ИнфоТеКС ViPNet SafeDisk

КриптоПро CSP

Secret Disk NG помогает привести уровень информационной безопасности организации в соответствие с рядом обязательных требований стандарта PCI DSS и требованиям принятого в России Федерального закона №152-ФЗ «О персональных данных» [12].

В качестве претендентов на роль системы защиты конфиденциальных данных от внутренних угроз было рассмотрено шесть наиболее известных и популярных в России комплексных DLP-систем:

Российские:

InfoWatch Traffic Monitor Enterprise

SecurIT Zgate и SecurIT Zlock

Дозор Джет

Зарубежные:

Symantec Data Loss Prevention

Websense Data Security Suite

Trend Micrо Data Loss Prevention

Согласно проведенному исследованию на портале anti-malware.ru, информация для которого была предоставлена самими разработчиками, система от Symantec на фоне других конкурентов выглядела наиболее привлекательно [13].

Данная система предотвращения утечек информации осуществляет:

мониторинг и контроль перемещения конфиденциальной информации по сетевым каналам связи (email, web, ftp, интернет-пейджеры);

контроль действий пользователей на своих локальных рабочих станциях (применительно только к операциям, связанным с отторжением конфиденциального содержимого -- на USB-накопитель, запись на диски, через локальные сетевые соединения или печать);

сканирование корпоративной сети предприятия (в том числе файловые сервера, порталы, системы документооборота и конечные рабочие станции) на предмет неупорядоченного хранения сведений конфиденциального характера;

приведение уровня информационной безопасности организации в соответствие с рядом требований Федерального закона № 152-ФЗ «О персональных данных», № 98-ФЗ «О коммерческой тайне» и международного стандарта PCI DSS.

Перебрав большой список недостающих компонентов, я наткнулась на серию презентаций специалистов Cisco об обеспечении информационной безопасности в банковской и страховой сферах, где защита персональных данных играет особую роль. Устройство Cisco ASA 5500, (см. рис.17) будет выступать в качестве пограничного устройства, контролирующего подключение к сети Интернет [16].

Рис. 17. Cisco ASA 5500 Series

Данное устройство сочетает в себе механизмы защиты периметра с помощью межсетевого экрана, отражения атак с помощью системы предотвращения вторжений, построения VPN и SSL VPN для защиты удаленного доступа и межофисного взаимодействия, а также борьбы с вредоносными программами с помощью антивируса, антиспама, antispyware, антифишинга и контроля доступа к Интернет-сайтам.

Помимо функциональных, система Cisco ASA 5500 Series имеет ряд экономических и эксплуатационных преимуществ. В их числе возможность наращивания сервисов посредством ПО и аппаратных модулей, стандартизация платформы на разных объектах, упрощенный процесс эксплуатации с использованием общей службы управления и мониторинга для множества сервисов безопасности, а также упрощенный процесс поиска и устранения неисправностей. Профиль сервисов устройства позволяет оптимизировать их под определенную инфраструктуру и определенные функции, так что возможно стандартизовать устройство защиты ASA 5500 Series для многих сфер применения в сети. Иначе для решения тех же самых задач потребовалось бы множество разнообразных платформ и систем управления. Такой адаптивный подход - "одно устройство, много назначений" - сокращает число платформ, которые приходится устанавливать и администрировать, и в то же время создает общую среду эксплуатации и управления для всех этих устройств. Это упрощает конфигурирование, мониторинг, техническое обслуживание и обучение персонала службы безопасности. В целом, оценивая влияние, которое система ASA 5500 Series может оказать на реализацию основных бизнес-процессов заказчика, Алексей Лукацкий, менеджер по развитию бизнеса Cisco System в России, характеризует его как "защиту бизнес-процессов от простоев в результате нарушений их защищенности". А вот экономика данного решения, по его мнению, достаточно проста и складывается из следующих факторов:

снижение затрат на приобретение системы защиты - вместо шести решений (МСЭ, IPS, VPN, антивирус, антиспам, контроль URL) приобретается всего одно;

снижение затрат времени и средств на обучение - вместо прохождения шести (минимум) курсов достаточно только одного;

снижение времени на внедрение системы защиты - вместо шести решений ставится всего одно;

снижение затрат на борьбу с последствиями эпидемий за счет отражения этих эпидемий;

снижение затрат на каналы связи за счет организации VPN через Интернет [16].

Давайте посчитаем: покупка, установка и настройка ASA 5510 + сертификация с максимальным количеством пользователей равным 150 для сервера обойдется примерно в 300 тысяч рублей. ASA 5510 на 10 пользователей + сертификация для филиалов обойдется в 15000 руб. за каждый, в общей сложности еще 150000 руб. И возьмем, к примеру, стоимость популярных в России продуктов, которые данное устройство замещает (см. табл. 1).

Таблица 1. Стоимость популярных в России продуктов

Область	Продукт	Стоимость, руб.
IPS\IDS (младшие модели в линейках)	StoneGate IPS 1030	286000
	Cisco IPS 4240	450000
Антивирус	Касперского	101000
	NOD 32	88000
	Dr. Web	89000
FireWall\VPN\SSL\Web-фильтрация	ViPNet Coodinator HW1000	142000
	StoneSoft StoneGate FW-310	121000
	S-Terra CSP VPN Gate 1000	71000

И в среднем только стоимость покупки комплекта данных решений, не говоря уже об установке и настройке, превышает стоимость системы, построенной на базе продукта Cisco ASA 5500.

Однако, не стоит забывать, что существует угроза заражения компьютеров изнутри, а не только из сети, стоит установить еще и антивирусы на каждое рабочее место. Предпочтение отдадим продукту от «Лаборатории Касперского», ввиду высоких позиций во всех просмотренных рейтингах. На 100 рабочих мест это обойдется в 114400 рублей [22].

Как бы ни были надежны аппаратные средства, как бы хорошо ни было протестировано программное обеспечение, всегда существует вероятность потери информации. Так что нам обязательно необходимо позаботиться о построении системы резервного копирования и восстановления данных.

Варианты:

Acronis True Image Echo Enterprise Server

Backup Exec System Recovery Server Edition

Symantec Backup Exec for Windows Servers

CA ARCserve Backup

NetBackup

Логика выбора тут довольно проста, так как ELMA работает именно под Windows Server, а 1С: Предприятие является многоплатформенной системой, то выбирать систему резервного копирования и восстановления следует из заточенных и сертифицированных под ОС от Microsoft, то есть Windows. Symantec Backup Exec for Windows Servers обойдется в 28000 рублей в год [26].

Стоит упомянуть, почему мы не последовали четвертому принципу, озвученному в начала данной главы: лучше выбирать решения от одних разработчиков, так как исключается фактор несостыковки компонентов. То есть не использовали антивирус от Symantec. Обязательной для антивирусных программ, используемых в организациях, работающих с персональными данными, является наличие сертификата ФСБ. Не найдя доказательство данному факту у антивируса от Symentec, предпочтение было отдано «Касперскому». Совокупная стоимость данного варианта представлена в таблице 2.

Таблица 2. Совокупная стоимость варианта №1

Предложенный выше набор компонентов по большей части состоит из программных средств и по своей природе не может обеспечивать требований необходимых для защиты системы терминального доступа и обеспечивающих ее преимущества, озвученных во второй главе данной работы:

быть аппаратными (неподверженными модификациям извне);

активными (независимыми от процессоров внешних устройств и при этом находящимися во взаимодействии, образующими систему);

иметь аппаратно-реализованную криптографическую подсистему (позволять организовать доверенный обмен данными по сети);

при этом СЗИ, используемые на терминальных клиентах должны быть персональными или включать персональное средство

Данных требований в полной мере возможно добиться, если урезать обычные ПК наших 100 пользователей до уровня аппаратного терминала, использовав внедренную и успешно работающую в целом ряде государственных информационных систем разработку компаний КАМИ и ОКБ САПР (опытно-конструкторское бюро) - на базе комплекса ПАК Аккорд (программно-аппаратный комплекс) с контроллерами Аккорд-АМДЗ (аппаратный модуль доверенной загрузки) и ПСКЗИ (персональное средство криптографической защиты информации) ШИПКА (шифрование, идентификация, подпись, коды аутентификации) в качестве аппаратной части (см. рис. 18).

Рис. 18. ПАК Аккорд и ПСКЗИ ШИПКА

Согласно принципу о непрерывности контура защиты, а также исходя из современного устройства терминальных систем, комплекс средств защиты информации должен быть установлен на всех входящих в систему СВТ (средства вычислительной техники) - и на серверах, и на терминалах.

Аккорд-АМДЗ помимо собственно доверенной загрузки операционной системы (взаимная аутентификация производится путем обмена пакетами, подписанными ЭЦП терминалом и сервером) реализует также функции аппаратной блокировки подключаемых устройств (принтеров, сканеров и прочих) - c помощью специальных реле, дисковых устройств - с помощью специального SATA-блокиратора (Serial Advanced Technology Attachment), и USB-устройств - с помощью специального USB-блокиратора. Кроме того контроллер оснащен реле отключения питания, что позволяет ему отключить ПК (персональный компьютер) в том случае, если через установленное время после включения компьютера управление не было передано контроллеру [25]. То есть отпадает необходимость в дорогих и трудоемких в обслуживании DLP-решениях.

Двухфакторная идентификация и аутентификация пользователей, подключающихся к терминальному серверу, происходит посредством ПСКЗИ ШИПКА (см. рис. 19). Ключи имеют интерфейс USB и бывают двух типов: первый - для доверенной загрузки ОС -- он используется пользователем, а второй - для администрирования и настройки.

Рис. 19. Двухфакторная идентификация и аутентификация пользователей

Разграничение прав доступа, ведение журналов протоколирования событий производится также в зависимости от данных, полученных с ключа.

Аккорд имеет интерфейс подключения внешних антивирусных модулей. В качестве такого модуля может применяться антивирусное ядро Vba32, разработанное фирмой ВирусБлокАда, или антивирусное ядро Dr. Web [17]. Последний и будет интегрирован в нашу систему.

Таблица 3, представленная ниже, показывает, что обе совокупности решений составлены исключительно из сертифицированных решений, что соответствует российскому законодательству в банковской сфере и сфере защиты персональных данных.

Таблица 3. Сертификаты

В виду рассмотренных вариантов имеет следующую информацию о стоимости, представленную в таблице 4.

Таблица 4. Совокупная стоимость вариантов

Видим, что совокупная стоимость подобранных комплектов решений существенно не различается. Столь малая величина не должна стать главным критерием в выборе, тем более, если речь идет о защите ПД (персональные данные).

Далее будут описаны и реализованы некоторые методики по количественной оценке систем обеспечения защиты информации, и не только с качественной стороны, но и со стороны экономического обоснования.

3.2 Обоснование подобранных вариантов, оценка экономических показателей от внедрения и интеграции

Под защищенностью ИС будем понимать степень адекватности реализованных в ней механизмов защиты информации существующим в данной среде функционирования рискам, связанным с осуществлением угроз безопасности информации. Под угрозами безопасности информации традиционно понимается возможность нарушения таких свойств информации, как конфиденциальность, целостность и доступность. На практике всегда существует большое количество не поддающихся точной оценке возможных путей осуществления угроз безопасности в отношении ресурсов ИС.

В идеале каждый путь осуществления угрозы должен быть перекрыт соответствующим механизмом защиты. Данное условие является первым фактором, определяющим защищенность ИС.

Вторым фактором является прочность существующих механизмов защиты, характеризующаяся степенью сопротивляемости этих механизмов попыткам их обхода, либо преодоления.

Третьим фактором является величина ущерба, наносимого владельцу ИС в случае успешного осуществления угроз безопасности.

Для того, чтобы математически определить показатель защищенности, рассмотрим формальную модель системы защиты ИС. Основой формального описания систем защиты традиционно считается модель системы защиты с полным перекрытием, в которой рассматривается взаимодействие области угроз, защищаемой области и системы защиты.

Таким образом, модель может быть представлена в виде трех множеств: Т= {ti} - множество угроз безопасности, О = {oj} - множество объектов (ресурсов) защищенной системы, М= {mk} - множество механизмов безопасности.

Элементы этих множеств находятся между собой в определенных отношениях, собственно и представляющих систему защиты. Для описания системы защиты обычно используется графовая модель. Множество отношений «угроза - объект» образует двухдольный граф {Т, О}. Цель защиты состоит в том, чтобы перекрыть все возможные ребра в графе. Это достигается введением третьего набора М, в результате получается трехдольный граф {Т, М, О}, представленный на рисунке 20.

Рис. 20. Модель системы защиты с полным перекрытием

Развитие модели предполагает введение еще двух элементов. Пусть V- набор уязвимых мест, определяемый подмножеством декартова произведения {ТхО}: v=<ti, oj>. Под уязвимостью системы защиты понимают возможность осуществления угрозы Т в отношении объекта O (на практике под уязвимостью системы защиты обычно понимают те свойства системы, которые либо способствуют успешному осуществлению угрозы, либо могут быть использованы злоумышленником для ее осуществления).

Определим В как набор барьеров, определяемый декартовым произведением {VxM}: b=< ti, oj, mk >, представляющих собой пути осуществления угроз безопасности, перекрытые средствами защиты. В результате получаем систему, состоящую из пяти элементов: <Т, О, М, V, В>, описывающую систему защиты с учетом наличия уязвимостей, которая представлена на рисунке 21.

Рис. 21. Модель системы защиты, содержащей уязвимости

В идеале каждый механизм защиты должен исключать соответствующий путь реализации угрозы. В действительности же механизмы защиты обеспечивают лишь определенную степень сопротивляемости угрозам безопасности, поэтому в качестве характеристик элемента набора барьеров b=<ti, oj, mk> может рассматриваться набор <В, У, С>, где В - вероятность появления угрозы; У - величина ущерба при удачном осуществлении угрозы в отношении защищаемых объектов (уровень серьезности угрозы); a С - степень сопротивляемости механизма защиты m, характеризующаяся вероятностью его преодоления [8].

Надежность барьера b =<ti, oj, mk> характеризуется величиной остаточного риска Р, связанного с возможностью осуществления угрозы t в отношении объекта информационной системы о при использовании механизма защиты т. Эта величина определяется по формуле 1.

Р = ВЧУЧ(1 - С) (1)

где: Р - величина остаточного риска;

В - вероятность появления угрозы;

У - величина ущерба при удачном осуществлении угрозы в отношении защищаемых объектов;

С - степень сопротивляемости механизма защиты.

Для нахождения примерной величины защищенности S можно использовать формулу 2.

З = 1/Р₀, (2)

где: З - защищенность;

Р₀ - сумма всех остаточных рисков при(0 < В,У < 1),(0 ? С < 1).

Рис. 22. Вероятность появления угроз информационной безопасности



Используя данные исследования специалистов аналитического центра Perimetrix [23], в рамках которого опросили сотрудников 1046 российских компаний различных отраслей экономики с 01 декабря 2008 г. по 23 января 2009 года (см. рис. 22), был произведен расчет коэффициентов защищенности для обоих вариантов (см. табл. 5).

Таблица 5. Расчет коэффициентов защищенности

Исходя из полученных результатов, представленных в таблице 5, можно сделать вывод, что совокупность решений, основанных большей частью на аппаратной платформе во главе с ПАК Аккорд обеспечивают большую защищенность современным угрозам ИБ, чем ее «программный» оппонент.

Следующим исследуемым показателем является надежность. Применительно к средству защиты информации, надежность - это свойство средства обеспечивать защиту информации в течение заданного промежутка времени.

Введем два важнейших параметра, характеризующих надежность средства защиты: интенсивность отказов или среднее число отказов в единицу времени, среднее время восстановления системы защиты после отказа.

Также одна из основных характеристик надежности средства защиты - это интенсивность восстановления (µ). При этом необходимо учитывать, что в течение всего времени восстановления можно считать средство защиты отказавшим, а защищаемый объект - незащищенным [9].

µ = 1 / T (3)

где: µ - интенсивность восстановления;

Т - среднее время восстановления системы защиты после отказа.

Определив ключевые понятия надежности средства защиты, уже можно смело говорить о самом коэффициенте надежности P:

P = 1 - (л / µ), при (л / µ) < 1 (4)

где: Р - коэффициент надежности;

л - интенсивность отказов;

µ - интенсивность восстановления.

Таблица 6. Расчет коэффициента надежности

Как мы видим и по данным расчетам (см. табл.6) лидер не изменился. Это обуславливается в первую очередь меньшим временем перезагрузки системы.

Для оценки экономической составляющей воспользуемся методикой, которая начала свою историю с компании Gartner Group в 1987 г. Благодаря фирме Interpose, образованной в 1994 г., методика переросла в принципиально новую модель анализа финансовой стороны использования информационных технологий. Я говорю о ТСО (Total Cost of Ownership или совокупная стоимость владения).

При расчетах будет использована модель TCO, разработанная компанией Microsoft совместно с Interpose. IT-затраты в ней разбиваются на две категории, прямые:

на аппаратное и программное обеспечение (покупка или аренда, новая установка или обновление и т. д.);

на управление (сетевое и системное администрирование, проектирование);

на поддержку (служба технической поддержки, обучение, контракты на поддержку и сопровождение);

на разработку (постановка задачи и разработка приложений, документации, тестирование и сопровождение);

на телекоммуникации (каналы связи и их обслуживание).

И косвенные:

пользовательские затраты (персональная поддержка, неформальное обучение, ошибки и просчеты);

простои (потеря производительности из-за выхода из строя оборудования или профилактические плановые остановки работы) [13].

По данным Interpose построена диаграмма, где затраты представлены в процентном соотношении (см. рис. 23).



Рис. 23. Структура IT-затрат предприятия

Исходя из этих данных, были произведены расчеты TCO на 5 лет, учитывая дисконтирование (см. табл. 7 и табл. 8). TCO учитывает налоги, капитальные вложения и эксплуатационные затраты без амортизационных отчислений, то есть текущие издержки.

Таблица 7. Расчет ТСО варианта №1

Таблица 8. Расчет ТСО варианта №2



Зная TCO, то есть затраты, мы можем рассчиать еще один основной показатель при выборе варианта вложения инвестиций - это ROI (Return on Investment или возврат от инвестиций). Расчет ROI в настоящее время становится одним из важных инструментов, используемых компаниями при принятии решения о покупке ПО.

И = (В - З) / З Ч100%, (5)

где: И - возврат инвестиций, %;

В - выгода, руб.;

З - затраты (TCO), руб.

При расчете ROI от средств защиты информации - Return on Investment for Security или ROSI - используется подход, аналогичный расчету ROI затрат на страхование. Впервые термин ROSI был введен в употребление специалистами в области IT-security после публикации в начале 2002 года статьи в журнале CIO Magazine «Finally, a Real Return on Security Spending». То есть, ситуацией возникновения риска считается ситуация, аналогичная страховому случаю. Своеобразным «страховым случаем» может называться каждый ИБ-инцидент - утечка информации, взлом системы, заражение системы и так далее. И выгодой в нашем случае будет являться сумма сохраненой прибыли от выдачи кредитов (см. рис. 24).

Рис. 24. Данные для расчета ROSI



Исходя из величины прожиточного минимума и средней заработной платы по России, была определена сумма возможного ежемесячного взноса (см. табл. 9)

Таблица 9. Расчет возможной среднестатистической суммы ежемесячнго взноса по России

Прожиточный минимум, руб.	Средняя заработная плата, руб.	Возможная сумма ежемесячного взноса, руб.
6287	24310	18023

И далее произведен расчет среднестатистического кредита по России, представленный на рисунке 25.

Рис. 25. Расчет среднестатистического кредита по России

Далее, исходя из вероятности появления угроз, которая была указана на рисунке 17, учитывая коэффициент величины ущерба из таблицы 5, и сумме сохраненной прибыли мы можем посчитать общие потери за год, если не будет СОИБ. Предположим, что наш банк - клиент консалтинговой фирмы выдает по 7 кредитов в месяц, тогда средние потери в год составят 13207692,26 рублей (см. табл. 10).



Таблица 10. Расчет сохраненной прибыли

Так же в сфере инвестиций крайне важны такие показатели как ИД (индекс доходности) и ЧДД (чистый дисконтированный доход).

ИД в нашем случае будет рассчитываться по формуле 6.

Д = Ч/К + 1 (6)

где: Д - индекс доходности;

Ч - чистый дисконтированный доход, руб.;

К - сумма дисконтированных инвестиций, руб.

Расчеты экономических показателей представлены в таблице 11 и 12.

Таблица 11. Расчеты экономических показателей варианта № 1



Таблица 12. Расчеты экономических показателей варианта № 2

Как мы видим, в экономической сфере оправданней по всем показателям вариант №1. К пятому году дисконтированные затраты практически уравниваются ввиду значительно меньшей стоимости продления лицензий у варианта №2, нежели чем у варианта №1 (67900 руб. против 286112 руб. соответственно)

ЧДД в обоих случаях положительное в первый же год и для расчета сроков окупаемости рассмотрим детальнее первые месяцы после внедрения (см. табл. 13 и табл. 14). Дисконтирование не применялось, потому как при расчете по месяцам дает незначительные отклонения.

Таблица 13. Расчет сроков окупаемости варианта № 1



Таблица 14. Расчет сроков окупаемости варианта №2

По данным из вышеизложенной таблицы был построен график, представленный на рисунке 26.

Рис. 26. График сроков окупаемости

Мы видим, что варинат № 1 имеет срок окупаемости чуть меньше 5 месяцев, варинат № 2 имеет срок окупаемости примерно 6 месяцев, что было очевидно ввиду отставания последнего по всем экономическим показателям.

Итак, мы имеем два варианта СОИБ, первый основан больше на програмной части, второй на аппаратной. Первоначальная стоимость данных решений различается не сильно. По показателям защищенности и надежности «аппаратный» вариант в разы обходит своего «програмного» оппонента. Однако, с экономической точки зрения первый вариант смотрится куда лучше по всем показателям, нежели второй (см. табл. 15).

Таблица 15. Сводная таблица

По данным из вышеизложенной таблицы была построена сводная лепестковая диаграмма, наглядно сравнивающая оба варианта (см. рис. 27).

Рис. 27. Сводная диаграмма

Вывод: На практике получение точных значений приведенных характеристик затруднено, так как понятия угрозы и ущерба при краже ПД трудноформализуемы, а определение вероятности осуществления угрозы не может базироваться на статистическом анализе. Так же и оценка степени сопротивляемости механизмов защиты всегда является субъективной. Однако данные методики успешно применяются и, как мы видим, дают вполне реальные результаты, основываясь большей частью на экспертных оценках.

3.3 Интеграция систем пользовательских данных с архитектурой баз данных ELMA и 1C и оценка экономической эффективности

По результатам проведенного исследования и анализа в условиях сформулированной референтной модели были выдвинуты и проверены гипотезы о состоятельности аппаратно- и программно-ориентированных систем защиты информации. Из специфики информационного ресурса очевидно следует, что наиболее эффективным (при учете стохастических труднопрогнозируемых факторов рынков) является комплексный подход к вопросу обеспечения ИБ (информационной безопасности). Формирование программно-аппаратной технологической базы является одной из ключевых, но не последней мерой разрешения вопроса ИБ.

Согласно модели TCO, разработанной компанией Microsoft совместно с Interpose, приведенной и описанной в предыдущей главе, пользовательские затраты относятся к категории косвенных в разрезе ИТ бюджета предприятия, но, как следует из рассмотренных вариантов архитектуры системы ИБ, они же имеют наибольшую в любой из выбранных конфигураций.

Референтная модель создана таким образом, чтобы подчеркнуть сложности процессов интеграции разнородной информации, различающихся архитектур приложений и разнопонятийных систем; в ней присутствует наиболее предпочтительная в улсовиях российского рынка ИТ услуг связка ELMA - 1С: Предприятие, реализованные на ОС Windows и сконфигурированные с MySQL, но даже в таких оптимальных условиях создание программно-аппаратного комплекса защиты имеет свои сложности. Вместе с тем, свои структурные сложности возникают и при сведении «мозаики» ИТ-комплекса в единую систему, в частности - на этапе интеграции пользовательских баз с корпоративными базами данных.

Возникающие задачи

При создании системы интеграции возникает ряд задач, состав которых зависит от требований к ней и используемого подхода. К ним, в частности, относятся:

* Разработка архитектуры системы интеграции данных

* Создание интегрирующей модели данных, являющейся основой единого пользовательского интерфейса в системе интеграции

* Разработка методов отображения моделей данных и построение отображений в интегрирующую модель для конкретных моделей, поддерживаемых отдельными источниками данных

* Интеграция метаданных, используемых в системе источников данных

* Преодоление неоднородности источников данных

* Разработка механизмов семантической интеграции источников данных

К числу основных средств, используемых для обеспечения интеграции информационных ресурсов, относятся конверторы данных, интегрирующие модели данных, механизмы отображения моделей данных, объектные адаптеры (Wrappers), посредники (Mediators), онтологические спецификации, средства интеграции схем и интеграции онтологических спецификаций, а также архитектура, обеспечивающая взаимодействие средств, используемых в конкретной системе интеграции ресурсов.

Возвращаясь к референтной модели исследовательской работы, хотелось бы систематизировать путь, проходимый пользователем ИС для совершения операции с обращением к базам данных предприятия; на первом этапе пользователь, используя ключ идентификации (один из вариантов) проходит идентификацию в системе (на данном этапе безопасность информации обеспечивается на уровне программно-аппаратного решения), активизация пользователя в системе и его распознавание служит отправной точкой его взаимодействия со средой. В зависимости от кластера, к которому принадлежит пользователь, на втором этапе он создает специфичный запрос (по протоколам), зачастую требующий в ходе своего выполнения получение профилей разноформатной и неструктурированной информации. В случае описанной референтной модели речь идет об обращении к системам ELMA и 1С: Предприятие.

Нами уже определены затраты предприятия на организацию системы безопасности данных, доказана эффективность внедрения вышеназванных продуктов и их защиты. Завершительным этапом формирования ИТ инфраструктуры данной модели является интеграция программных сервисов и баз данных предприятия (трансакционных и пользовательских).

В системах интеграции данных наибольшее распространение получила архитектура с посредником. На посредник возлагается задача поддержки единого пользовательского интерфейса на основе глобального представления данных, содержащихся в источниках, а также поддержку отображения между глобальным и локальным представлениями данных. Пользовательский запрос, сформулированный в терминах единого интерфейса, декомпозируется на множество подзапросов, адресованных к нужным локальным источникам данных. На основе результатов их обработки синтезируется полный ответ на запрос. Используются две разновидности архитектуры с посредником - Global as View и Local as View. Первая из них (Global as View) предусматривает определение М.Р. Когаловский. Методы интеграции данных в информационных системах глобального представления интегрированных данных в терминах заданных представлений локальных источников. Такой подход более эффективен в случае, когда множество всех используемых источников предопределено. Если система интеграции предназначена для поддержки полного материализованного представления интегрируемых данных, процессы конверсии данных из источников в их единое глобальное представление осуществляются единовременно. При использовании второй разновидности рассматриваемой архитектуры (Local as View) предполагается, что представление для каждого из локальных источников данных определяется в терминах заданного интегрирующего глобального представления. Хотя в этом случае усложняется отображение пользовательских запросов в среду локальных источников данных, такой подход допускает динамичность состава множества источников данных. Каждый новый источник может подключаться к системе, как на стадии разработки, так и на стадии функционирования. Очевидно, что в рассматриваемой модели наиболее оптимальным будет использование второго подхода.

Согласно экспертной оценке заместителя генерального директора компании Elma, Пономарева В.В., интеграция модулей 1С: Предприятие и ELMA при обработке запроса, единовременно обращаемого к двум базам данных, экономит в среднем 7 минут на совершение каждой трансакции.

Рис. 28. Схема интеграции сервисов ELMA и 1C: Предприятие

Из схемы интеграции сервисов (рис. 28) очевидно следует, что для пользователя значительно удобнее обращение не более, чем в одну систему для совершения каждой трансакции. То есть, при внедрении новой технологии (в нашем случае ELMA внедряется, тогда как 1С уже успешно используется), пользователь не просто должен получить возможность более удобного выполнения операционных задач (проведение кредитных заявок в нашей модели), но и не потерять массив, накопленный в базе уже используемого программного продукта. Упрощение выполнения операций (отсутствие потребности дублировать вручную информацию о кредитных заявках, в качестве примера) так же положительно сказывается на снижении вероятности ошибок пользователей. В секторе референтной модели каждая ошибка такого рода ведет за собой экономические потери, и в долгосрочной перспективе, несмотря на сложности точной оценки человеческого фактора, эффективность описанных мер не вызывает сомнения.



Заключение

Необходимость обеспечения безопасности информации в наше время - не только требование законодательства, но и объективная реальность. Особенно информационная защищенность важна для кредитно-финансовых организаций. Современные банки обладают, как правило, сложной, территориально распределенной корпоративной информационной системой, большим количеством критичных информационных ресурсов и работают в условиях растущих репутационных рисков и непрерывно меняющихся внешних требований к защите информации.

В свою очередь, системы терминального доступа создаются и внедряются в совершенно разных условиях, исходя из разных обстоятельств, задач и ограничений, поэтому состав технических средств, образующих систему терминального доступа, может быть разным. В такой ситуации обеспечить безопасность и защиту информации в информационных системах при адекватных расходах возможно лишь при использовании системного подхода, который подразумевает внедрение в компании комплексной системы обеспечения информационной безопасности, которая включает несколько связанных друг с другом решений из разных направлений. Обоснование выбора конкретного решения затруднено ввиду невозможности получения на практике точных значений приведенных характеристик, так как понятия угрозы и ущерба при краже персональных данных трудноформализуемы, а определение вероятности осуществления угрозы не может базироваться на статистическом анализе. Так же и оценка степени сопротивляемости механизмов защиты всегда является субъективной. Однако данные методики успешно применяются и, как мы видим, дают вполне реальные результаты, основываясь большей частью на экспертных оценках.

Цель в виде повышения надежности и защищенности подсистемы терминального доступа к системам управления бизнес-процессами и электронного документооборота ELMA и 1С: Предприятие на основе совершенствования аппаратного и программного обеспечения, а так же разработки комплексной интегрированной системы администрирования пользователем, достигнута.

Поставленные задачи выполнены:

Проанализирована референтная модель, использующая терминальный доступ к системам ELMA и 1С: Предприятие.

Оценены основные направления повышения надежности и защищенности подсистем терминального доступа на основе совершенствования аппаратного и программного обеспечения.

Обоснованы варианты повышения надежности и защищенности подсистемы терминального доступа к системам ELMA и 1С: Предприятие на основе совершенствования аппаратного и программного обеспечения, оценены экономические показатели от внедрения.

Проведен анализ эффективности интеграции систем пользовательских данных с БД ELMA и 1C



Список литературы

1. Федеральный закон Российской Федерации № 152-ФЗ «О персональных данных»: Принят Государственной думой 27 июля 2006 года.

2. Федеральный закон Российской Федерации N 98-ФЗ «О коммерческой тайне»: Принят Государственной Думой 9 июля 2004 года.

3. Стандарт Банка России по обеспечению информационной безопасности организаций банковской системы Российской Федерации: Принят распоряжением Банка России от 25 декабря 2008 года № Р-1674

4. Payment Card Industry Data Security Standard 2.0 (PCI DSS): Принят Советом по стандартам безопасности индустрии платежных карт 28 октября 2008 года.

5. П. Стасинопулос, М.Х. Смит, К. Харгроувс, Ч. Деша Проектирование систем как единого целого. Интегральный подход к инжинирингу для устойчивого развития. - М: Эксмо при поддержке Внешэкономбанка, 2012.

6. В.Б. Волков, Н.В. Макарова, Информатика. Учебник для ВУЗов - СПБ: Издательство Питер, 2011.

7. Н.Н. Воробьев Теория игр для экономистов - кибернетиков - М: Издательство НАУКА, 1985.

8. В.Б. Щербаков, С.А. Ермаков, Безопасность беспроводных сетей. Стандарт IEEE 802.11 - М: РадиоСофт, 2010.

9. А.В. Васильков, И. А. Васильков Безопасность и управление доступом в информационных системах. - М.: Форум, 2010.

10. В. Зима, А. Молдовян, Н. Молдовян Безопасность глобальных сетевых технологий, СПб.: BHV, 2008.

11. Ф. Брукс Мифический человеко-месяц. Как создаются программные системы - СПБ: Символ Плюс, 2012.

12. С.А. Петренко, В.А. Курбатов Политики безопасности компании при работе в Интернет. - М.: ДМК Пресс, 2011.

13. В. Скиба, В. Курбатов Руководство по защите от внутренних угроз информационной безопасности, - СПб.: Питер, 2008.

14. А.Ф. Чипига Информационная безопасность автоматизированных систем. - М.: Гелиос АРВ, 2011.

15. В.Ф. Шаньгин Информационная безопасность компьютерных систем и сетей, - М.: Инфра-М, 2011.

16. accord.ru - один из сайтов ОКБ САПР, посвящённый ПАК Аккорд и семейству продуктов на его основе.

17. aladdin-rd.ru - официальный сайт компания "Аладдин Р.Д.", российского разработчика и поставщика средств аутентификации, формирования ЭЦП, продуктов и решений для информационной безопасности.

18. anti-malware.ru - независимый информационно-аналитический центр, полностью посвященный информационной безопасности.

19. bpmsoft.org - портал о BPMS и процессному подходу к управлению.

20. cbr.ru- официальный сайт Центрального банка Российской Федерации

21. cisco.com - официальный сайт мирового лидера в области сетевых технологий.

22. drweb.com - официальный сайт российского разработчика средств информационной безопасности под маркой «Dr.Web».

23. elma-bpm.ru - официальный сайт BPMS и СЭД ELMA.

24. gks.ru - официальный сайт Федеральной службы государственной статистики

25. agentura.ru - информационно-аналитический ресурс, содержащий материалы и аналитические статьи о безопасности информационных ресурсов и деятельности спецслужб.

26. habrahabr.ru - интернет-портал о будущем IT-рынка в целом и интернет-экономике.

27. infowatch.ru - официальный сайт российской компании-разработчика программных продуктов для защиты информации от внутренних угроз.

28. kaspersky.ru - официальный сайт российского разработчика средств информационной безопасности под маркой «Касперский».

29. perimetrix.ru - официальный сайт разработчика решений для реализации режима секретности конфиденциальности данных.

30. securitylab.ru - информационный портал о событиях в области защиты информации, интернет права и новых технологиях.

31. shipka.ru - один из сайтов ОКБ САПР, посвященный ПСКЗИ ШИПКА и семейству продуктов на ее основе.

32. symantec.com - официальный сайт мирового лидера в области решений для обеспечения безопасности, хранения данных и управления системами.

33. tadviser.ru - российский интернет-портал и аналитическое агентство, посвященный анализу IT-систем.

34. websense.com - официальный сайт разработчика комплексных систем корпоративной web-безопасности.

35. wikipedia.org - интернет энциклопедия.

36. Глубинные интервью с экспертами ИТ-отрасли (сотрудники компаний Cisco и Microsoft, специалисты по развитию бизнеса и евангелисты). Формат проведения: получение экспертной оценки в вопросах обеспечения информационной безопасности и минимизации рисков утечки информации, связанной с ошибками пользователей. Все интервью проведены в мае, 2013.

Размещено на Allbest.ru