Разработка организационных мер защиты информации на предприятии.

Министерство образования и науки Российской Федерации
Федеральное государственное бюджетное образовательное 
учреждение высшего образования
 «Московский государственный университет технологий и управления 
имени К.Г. Разумовского (Первый казачий университет)»
Университетский колледж информационных технологий


ВЫПУСКНАЯ КВАЛИФИКАЦИОННАЯ РАБОТА
(ДИПЛОМНЫЙ ПРОЕКТ)
тема:Разработка организационных мер защиты информации на предприятии ООО «КМК».

Студент:	___________________	Авраменко А.С.
	(подпись студента)	          (Ф.И.О. студента)
Группа:	З-408	
Специальность:	10.02.03 «Информационная безопасность 
	     автоматизированных систем»
Руководитель:	__________________	Николаева С.В.
	(подпись руководителя)	          (Ф.И.О.руководителя)
Консультанты:
Экономическая часть	__________________	         Фомина В.С.
	(подпись консультанта)	           (Ф.И.О.консультанта)
Эл/техническая часть	__________________	Литаврин И.С.
	(подпись консультанта)	           (Ф.И.О.консультанта)
Нормоконтроль	___________________	Коннова И.Г.
	(подпись консультанта)	           (Ф.И.О.консультанта)


АННОТАЦИЯ
      Пояснительная записка содержит 67 страниц, в том числе, 8таблиц, 25 источников.
      В данном проекте ставиться задача обеспечить организационную защиту предприятия ООО «КМК».

      СПИСОК СОКРАЩЕНИЙ
      АС – Автоматизированная система
      ИС – Информационная система
      ИСПД – Информационная система персональных данных
      КМЦ - Карбоксиметилцеллюлоза
      КСЗИ – Комплексная система защиты информации
      ОАСС – Отраслевые автоматизированные системы
      ОЗУ – Оперативное запоминающее устройство 
      ОС – Операционная система
      СЗИ – Средства защиты информации 
      СКЗИ – Средства криптографической защиты информации
      НСД – Несанкционированный доступ
      ФОТ – Фонд оплаты труда
      
      
         

      СОДЕРЖАНИЕ
ВВЕДЕНИЕ	5
1	ТЕОРЕТИЧЕСКАЯ ЧАСТЬ	7
1.1.	Сущность и задачи защиты информации на предприятии.	7
1.2.    Меры и методы защиты информации	12
1.3 Основные направления защиты документированной информации.	17
2	СПЕЦИАЛЬНАЯ ЧАСТЬ ПРОЕКТА	21
2.1. Описание предприятия	21
2.2.	Определение требований к средствам защиты информации объекта	24
2.3.	Аудит информационной безопасности.	32
2.4.	Организационно-правовое направление защиты	38
2.5.	Программно-аппаратные направления защиты	43
2.6.	Инженерно-технические направление защиты	47
3ЭКОНОМИЧЕСКАЯ ЧАСТЬ	48
4ТЕХНИКА БЕЗОПАСНОСТИ И ОХРАНА ТРУДА	52
4.1.Основные нормативные акты, устанавливающие требования электробезопасности.	52
4.2.Требования к персоналу, допускаемому к обслуживанию электроустановок.	53
4.3.   Группы по электробезопасности электротехнического персонала и условия их присвоения.	56
4.4. Средства защиты, предназначенные для обеспечения электробезопасности.	58
4.5. Организационные мероприятия по обеспечению безопасного провдения работ в электроустановках.	61
ЗАКЛЮЧЕНИЕ	63
СПИСОК ИСПОЛЬЗУЕМЫХ ИСТОЧНИКОВ	65
      


      ВВЕДЕНИЕ

      Основной целью моей работы над дипломным проектомзаключается в разработке организационных мер защиты информации на предприятии ООО «Новокузнецкий металлургический комбинат».
      Реализация предложенного проекта позволит повысить уровень защищенности информационных систем предприятия.
      При разработке и построении всеобъемлющей системы информационной безопасности необходимо придерживаться определенных методологических принципов исследования, проектирования, производства, эксплуатации. Системы информационной безопасности относятся к сложным системам, и для их строительства могут использоваться различные принципы построения систем, с учетом специфики решаемых ими задач.
      Система защиты должна быть спроектирована таким образом, чтобы обеспечить надлежащую степень защиты данных.
     В первой главе дипломной работы представлена теоретическая часть.
     Во второй главе дипломной работы представлена характеристика объекта защиты, описан документооборот предприятия, приведён технический паспорт объекта защиты и рассмотрен состав его информационной системы, представлены результаты аудита информационной безопасности защищаемого объекта. В ходе проведения аудита информационной безопасности был выполнен анализ информации, циркулирующей на защищаемом объекте, определены её виды, гриф и степень секретности; выявлены угрозы, актуальные для данной информации. Помимо этого, были проанализированы действующие средства и методы защиты информации и дана оценка их работе.
     В третьей главе дипломной работы приводится расчёт суммарных затрат на комплексную защиту объекта и обоснование экономической целесообразности разработки КСЗИ.
     В четвертой главе дипломной работы проведены требования к инженерно-техническому персоналу в части соблюдения требований электробезопасности.
     В пятой главе дипломной работы приводятся выводы и предложения по совершенствованию дипломного проекта.
     В заключении дипломной работы сформулированы общие выводы касательно разработанной комплексной системы защиты.
      
      

1 ТЕОРЕТИЧЕСКАЯ ЧАСТЬ

1.1. Сущность и задачи защиты информации на предприятии
      Обеспечение информационной безопасности является одним из необходимых в бизнесе в агрессивной рыночной экономике.
      В современном деловом мире происходит процесс переноса материальных активов в сторону информации. По мере развития организации ее информационная система становится более сложной, основной задачей которой является максимизация эффективности ведения бизнеса в постоянно меняющихся условиях конкуренции на рынке.
      Учитывая информацию как товар, можно сказать, что информационная безопасность в целом может привести к значительной экономии средств, в то время как ущерб, нанесенный ей, приводит к материальным затратам. Например, раскрытие технологии изготовления оригинального продукта приведет к появлению аналогичного продукта, но от другого производителя, а также вследствие нарушения информационной безопасности владелец технологии или, может быть, автор, потеряет часть рынка и т. д. С другой стороны, информация является предметом управления, и ее изменение может привести к катастрофическим последствиям в объекте управления.
      Информационная безопасность, а также защита информации - это сложная задача, направленная на обеспечение безопасности, осуществляемую внедрением системы безопасности. Проблема защиты информации многогранна и сложна и охватывает ряд важных задач. Проблемы информационной безопасности постоянно усугубляются процессами проникновения во все сферы общества технических средств обработки и передачи данных и, прежде всего, компьютерных систем.
      На сегодняшний день сформулированы три основных принципа, которые должны обеспечивать безопасность информации.
      • целостность данных - защита от сбоев, приводящих к потере информации, а также защита от несанкционированного создания или уничтожения данных; 
      • конфиденциальность информации;
      • доступность информации для всех авторизованных пользователей.
      Широкое использование компьютерных технологий в автоматизированных системах обработки и управления информацией усугубило проблему защиты информации, распространяющейся в компьютерных системах от несанкционированного доступа.
      Защита информации в компьютерных системах имеет ряд специфических особенностей, связанных с тем, что информация не жестко связана со средой, ее можно легко и быстро копировать и передавать по каналам связи.
      Известно очень много угроз информации, которые могут быть реализованы как наружу нарушителями, так и внутренними нарушителями.
      В области информационной безопасности и компьютерной безопасности в целом наиболее важными являются три группы проблем:
1. Нарушение конфиденциальности информации;
2. Нарушение целостности информации;
3. Нарушение работоспособности информационно-вычислительных систем
      Защита информации становится важной проблемой государственной безопасности, когда речь идет о государственной, дипломатической, военной, промышленной, медицинской, финансовой и другой конфиденциальной секретной информации. Огромные массивы такой информации хранятся в электронных архивах, обрабатываются в информационных системах и передаются по телекоммуникационным сетям. Основные свойства этой информации - конфиденциальность и целостность должны поддерживаться юридически, а также организационными, техническими и программными методами.
      Конфиденциальность информации подразумевает введение определенных ограничений на круг лиц, имеющих доступ к этой информации. Степень конфиденциальности выражается в некоторой установленной характеристике (особая важность, совершенно секретно, для служебного пользования, а не для печати и т. д.), которая субъективно определяется владельцем информации в зависимости от содержания информации, которая не является общедоступной, предназначенная для ограниченного числа лиц, являются секретом. Естественно, установленная степень конфиденциальности информации должна сохраняться при ее обработке в информационных системах и при передаче по телекоммуникационным сетям.
      Другим важным свойством информации является ее целостность (интегральность). Информация завершена, если она правильно (адекватно) отражает предметную область в любое время. Целостность информации в информационных системах обеспечивается своевременным вводом в нее достоверной (правильной) информации, подтверждением правды информации, защитой от искажений и разрушений (стиранием).
      Несанкционированный доступ к информации лиц, не допущенных к ней, умышленные или непреднамеренные ошибки операторов, пользователей или программ, неправильные изменения информации из-за сбоев оборудования приводят к нарушению этих важных свойств информации и делают ее непригодной и даже опасной. Его использование может привести к материальному или моральному ущербу, поэтому создание системы информационной безопасности становится неотложной задачей. Безопасность информации понимается как защита информации от нежелательного раскрытия (нарушение конфиденциальности), искажение (нарушение целостности), потеряили снижение доступности информации, а также ее незаконное тиражирование.
      Безопасность информации в информационной системе или телекоммуникационной сети обеспечивается способностью этой системы сохранять конфиденциальность информации, когда она вводится, выводится, передается, обрабатывается и хранится, а также противостоит ее уничтожению, краже или искажению. Безопасность информации обеспечивается посредством организации доступа к ней, защиты ее от перехвата, искажения и введения ложной информации. Для этой цели используются физические, технические, аппаратные средства, прошивка и программное обеспечение. Последние занимают центральное место в системе информационной безопасности в информационных системах и телекоммуникационных сетях.
      Цели безопасности:
1. защита информации в каналах связи и базах данных криптографическими методами;
2. подтверждение подлинности объектов данных и пользователей (аутентификация сторон, устанавливающих связь);
3. обнаружение нарушений целостности объектов данных;
4. обеспечение защиты технических средств и помещений, в которых обрабатывается конфиденциальная информация, от утечки через боковые каналы и, возможно, от электронных устройств для извлечения информации, которые могут быть введены в них;
5. защита программных продуктов и компьютерных средств от внедрения в них программных вирусов и закладок;
6. защита от несанкционированных действий на канале связи от лиц, не допущенных к средствам шифрования, но преследующая цель компрометации секретной информации и нарушения работы абонентских станций;
7. организационные и технические меры, направленные на обеспечение сохранения конфиденциальных данных
      


      1.2 Меры и методы защиты информации
      Для обеспечения безопасности информации в офисных сетях проводятся различные мероприятия, объединенные концепцией «системы информационной безопасности». Система защиты информации представляет собой набор мер, программного и аппаратного обеспечения, правовых и этических норм, направленных на противодействие угрозам нарушителей, с тем чтобы свести к минимуму возможный ущерб пользователям и владельцам систем.
      Традиционные меры по противодействию утечке информации подразделяются на технические и организационные.
      Технические меры включают в себя защиту от несанкционированного доступа к системе, резервирование особо важных компьютерных подсистем, организацию компьютерных сетей с возможностью перераспределения ресурсов в случае нарушения работы отдельных линий связи, установку оборудования для обнаружения пожара и пожаротушения, оборудование для обнаружения воды, принятие структурных мер для защиты от краж, саботажа, саботажа, взрывов, установки резервных энергосистем, оснащения помещений замками, установки аварийных сигналов и многое другое.
      Организационные меры включают защиту сервера, тщательный подбор персонала, исключение случаев критической работы только одного человека, наличие плана восстановления сервера после сбоя, универсальность защиты от всех пользователей (включая высшее руководство).
      Несанкционированный доступ к информации может возникать во время предотвращения или ремонта компьютеров путем считывания остаточной информации на носителе, несмотря на его удаление пользователем с использованием обычных методов. Другой способ - прочитать информацию отперевозчика во время ее транспортировки без защиты внутри объекта или региона.
      Современные компьютерные средства построены на интегральных схемах. Когда такие схемы работают, происходят высокочастотные изменения уровней напряжения и тока, что приводит к возникновению в силовых цепях, в эфире, в соседнем оборудовании и т. д. Электромагнитные поля и помехи, которые с помощью специальных инструментов могут быть преобразованы в обработанную информацию. По мере уменьшения расстояния между приемником и аппаратным обеспечением злоумышленника увеличивается вероятность получения и расшифровки такого рода информации.
      Несанкционированное ознакомление с информацией также возможно путем прямого подключения нарушителя к «шпионским» средствам связи к каналам связи и сетевому оборудованию.
      Традиционными методами защиты информации от несанкционированного доступа являются идентификация и аутентификация, защита паролем.
      Идентификация и аутентификация. В компьютерных системах сосредоточена информация, право на использование, которое принадлежит определенным лицам или группам лиц, действующих по личной инициативе или в соответствии с должностными обязанностями. Для обеспечения безопасности информационных ресурсов, устранения возможности несанкционированного доступа, для усиления контроля за авторизованным доступом к конфиденциальной или секретной информации, внедряются различные системы идентификации, аутентификации объектов и контроля доступа. В основе построения таких систем лежит принцип разрешения и исполнения только таких запросов на информацию, в которых имеются соответствующие признаки санкционированных полномочий.
      Ключевыми понятиями в этой системе являются идентификация и аутентификация. 
      Идентификация - это назначение для конкретного объекта или объекта уникального имени или изображения. 
      Аутентификация - это установление подлинности, то есть проверка того, является ли объект (субъект) действительно тем, кем он себя утверждает.
      Конечной целью процедур идентификации и аутентификации объекта (субъекта) является признание его информацией ограниченного использования в случае положительной проверки или отказа в допуске в случае отрицательного результата аудита.
      Объектами идентификации и аутентификации могут быть: 
1. люди (пользователи, операторы и т. д.); 
2. технические средства (мониторы, рабочие станции, абонентские пункты);
3. документы (руководство, распечатки и т. д.); 
4. магнитныесреды; 
5. информация на экране монитора и т. д.
      Аутентификация объекта может выполняться аппаратным устройством, программой, человеком и т. д.
      Защита паролем. Пароль представляет собой набор символов, определяющих объект. При выборе пароля возникают вопросы о его размере, его сопротивлении несанкционированному выбору, способе его использования. Естественно, чем длиннее длина пароля, тем больше безопасность будет обеспечена системой, так как для ее угадывания потребуется много усилий. В то же время выбор длины пароля во многом определяется развитием аппаратного обеспечения, его базовой базой и скоростью.
      В случае пароля необходимо периодически заменять его новым, чтобы уменьшить вероятность его перехвата путем прямой кражи носителя, удаления его копии и даже физического принуждения человека. Пароль вводится пользователем в начале взаимодействия с компьютерной системой, иногда в конце сеанса (в особых случаях пароль нормального вывода может отличаться от входного). Для обеспечения права пользователя через определенные промежутки времени может быть предоставлен пароль.
      Пароль может использоваться для идентификации и аутентификации терминала, с которого пользователь входит в систему, а также для восстановления подлинности компьютера в отношении пользователя.
Для идентификации пользователей сложные системы могут применяться с точки зрения технической реализации, гарантируя подлинность пользователя на основе анализа его индивидуальных параметров: отпечатков пальцев, рисунков ручной линии, радужной оболочки глаза, тембра голоса и т. д.
      Широкое распространение было обнаружено в физических методах идентификации с использованием носителей кода паролей. Такие носители проходят в системах контроля доступа; Пластиковые карточки с именем владельца, его код, подпись; пластиковые карты с магнитной полосой; пластиковые карты со встроенным микрочипом (смарт-карта); карты оптической памяти и т. д.
      Средства защиты информации методами реализации можно разделить на три группы:
1. программные;
2. программно-аппаратные;
3. аппаратные;
      Программные средства для защиты информации - это специально разработанные программы, которые реализуют функции безопасности компьютерной системы, выполняют функцию ограничения доступа пользователей к паролям, ключам, многоуровневому доступу и т. Д. Эти программы могут быть реализованы практически в любой операционной системе, дружелюбный. Как правило, эти программные средства обеспечивают достаточно высокую степень защиты системы и имеют умеренные цены. Когда вы подключаете такую систему к глобальной сети, вероятность нарушения безопасности возрастает. Поэтому этот метод защиты приемлем для локальных замкнутых сетей, которые не имеют внешнего выхода.
      Программно-аппаратные средства реализуются на универсальных или специализированных микропроцессорах, которые не требуют модификаций в схемах при изменении алгоритма функционирования. Эти устройства также адаптируются в любой операционной системе, имеют большую степень защиты. Они будут стоить немного больше (их цена зависит от типа операционной системы). В этом случае этот тип устройства является наиболее гибким инструментом, позволяющим вносить изменения в конфигурацию по желанию заказчика. Прошивка обеспечивает высокую степень защиты локальной сети, подключенной к глобальной сети.
      Оборудование относится к устройствам, в которых функциональные узлы реализованы на очень больших интегральных системах с неизменным алгоритмом работы. Этот тип устройства адаптируется в любой операционной системе, является самым дорогим в разработке, обеспечивает высокие технологические требования к производству. В то же время эти устройства обладают наивысшей степенью защиты, они не могут быть реализованы и вносить конструктивные или программные изменения. Использование аппаратного обеспечения затруднено из-за их высокой стоимости и статичности алгоритма.
      Программное обеспечение и аппаратные средства, уступающие аппаратной скорости, в то же время упрощают модификацию алгоритма работы и не имеют недостатков в программных методах.
      Отдельная группа мер по обеспечению безопасности информации и идентификации несанкционированных запросов включает программы обнаружения нарушений в режиме реального времени.

      1.3 Основные направления защиты документированной информации
      В соответствии с этими угрозами формируются задачи защиты информации в потоках документов, направленные на предотвращение или смягчение этих угроз.
      Основным направлением защиты документированной информации от возможных опасностей является формирование безопасного рабочего процесса, то есть использование в обработке и хранении документов специализированной технологической системы, обеспечивающей безопасность информации на любых носителях.
      Защищенный поток документов означает контролируемое перемещение конфиденциальной документированной информации о регулируемых точках для приема, обработки, просмотра, выполнения, использования и хранения в суровых условиях обеспечения организационной и технологической безопасности, как носителя информации, так и самой информации.
      В дополнение к общим принципам рабочего процесса безопасный рабочий процесс основан на ряде дополнительных принципов:
* Ограничение доступа персонала к документам, делам и базам данных, бизнес, сервис или производственные потребности;
* Личная ответственность должностных лиц за выдачу разрешения на доступ к сотрудникам к конфиденциальной информации и документам;
* Личная ответственность каждого сотрудника за безопасность доверенного перевозчика и конфиденциальность информации;
* Строгое регулирование процедуры работы с документами, файлами и базами данных для всех категорий персонала, включая первых менеджеров.
      Несколько иной контент приобретает в защищенном рабочем процессе принцип избирательности при доставке и использовании конфиденциальной информации. Его основой является система разрешения (демаркации) компании доступа персонала к конфиденциальной информации, документам и базам данных. Целью избирательности являетсяне только скорость, с которой документированная информация доставляется потребителю, но и доставка информации только ему, работа с которой разрешена в соответствии с его функциональными обязанностями. Селективность распространяется не только на входящие документы, но и на документы, составляемые сотрудниками на рабочих местах или с которыми только знакомы сотрудники.
      Безопасность потока документов достигается за счет:
* Одновременное использование режимов (разрешительных, ограничительных) и технологических методов, включенных в систему для обработки и хранения конфиденциальных документов;
* Нанесение отличительной отметки (грифа) на чистого носителя конфиденциальной информации или документа, включая сопроводительный, который позволяет отличить их от общего потока документов;
* Формирование независимых, изолированных потоков конфиденциальных документов и (часто) дальнейшее их разделение на подпотоки в соответствии с уровнем конфиденциальности перемещаемых документов;
* Использование автономной технологической системы для обработки и хранения конфиденциальных документов, которые не вступают в контакт с системой обработки открытых документов.
      Выполнение конфиденциального документа понимается как процесс документирования управленческих решений и действий, результатов выполнения задач и задач, назначенных менеджерами и сотрудниками фирмы, и назначения задач, назначений и реализации функций, назначенных им в описание вакансии.
      Факторами, инициирующими процесс выполнения, являются:
* Получение руководителем, работником (исполнителем) полученного документа;
* Письменное или устное указание начальника;
* Устный запрос информации или принятия решений от других фирм,учреждений и отдельных лиц;
* Задания и инструкции, включенные в планы работы, графики работы, описания должностных обязанностей и другие организационные и планировочные документы;
* Полезная информация, полученная из реферативных и информационных сборников, рекламных публикаций.
      В отличие от процесса реализации, использование документа подразумевает его включение в систему информации и документации, которая обеспечивает выполнение других документов, осуществление управленческих действий и решений. Для использования в работе обычно приходят законодательные акты, организационные и правовые, нормативные, административные, справочные и информационные документы, различные рекламные публикации и научно-техническая информация. Процесс ознакомления с конфиденциальным документом заключается в информировании сотрудника компании или другого заинтересованного лица, осуществляемого в соответствии с решением уполномоченного лидера по конфиденциальному документу, о решении или решении другой организационной структуры, принятой этим менеджером.
      Защита документированной информации в потоке документов обеспечивается комплексом различных мер режима, технологического, аналитического и контрольного характера. При перемещении документа во время выполнения каждого этапа процедура или исполнение обработки обязательно сопровождаются набором связанных операций учета, фиксацией документа для конкретного сотрудника и его личной ответственностью за безопасность перевозчика и конфиденциальностью информации.
      Технологический процесс учета конфиденциальных документов включает в себя ряд процедур, которые являются обязательными для любого вида бухгалтерского учета и любого вида обработки и хранения этих документов. В процессе учета, распространения, рассмотрения, передачи поступающих документов исполнителям и возврата документов выполняется ряд технологических и ограничительных операцийдля обеспечения физической целостности документа и его частей, а также для предотвращения раскрытия и утечки информации информацию, содержащуюся в документе.
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
2 СПЕЦИАЛЬНАЯ ЧАСТЬ ПРОЕКТА

2.1. Описание предприятия
      Общество с ограниченной ответственностью «Новокузнецкий металлургический комбинат» является одним из лидеров российской металлургии. Это металлургический комплекс, производственные мощности которого включают коксовый завод, две доменные печи, сталелитейные и сталеплавильные заводы, цех для обжима металла, две машины непрерывной разливки жидкого металла и рельсовые производства.
      ООО «НКМК» - предприятие вертикально интегрированной горно-металлургической компании EvrazGroup S.A, одного из пятнадцати лидеров мировой металлургической промышленности. Завод был создан 5 мая 2003 года на базе производственных мощностей легендарного КМЦ, который более семидесяти лет поставлял свою продукцию в различные районы России и за рубежом. 
      Новокузнецкий металлургический комбинат является ведущим производителем железнодорожных изделий в России и единственным предприятием, производящим трамвайные рельсы. В целом, номенклатура продукции НКМК насчитывает более 100 единиц. Это высококачественная прокатка (круги), заготовка для прокатки, канал, угол, шаровое стальное шлифование, горячекатаный лист, чугун и литье, коксохимические продукты, заготовки труб и судосметалл для потребности речного судостроения.
      Организация имеет следующую организационную структуру:
      • управляющий директор НКМК;
      • главный инженер НКМК;
      • Директор НКМК по вопросам производства;
      • Директор НКМК по обеспечению материалами;
      • Директор НКМК по финансам и экономике;
      • Директор НКМК по кадрам;
      • Директор по продажам НКМК.
      Далее по иерархии находятся отделы и цеха.
      На сегодняшний день информационная безопасность ООО «Кузнецкий металлургический завод» оставляет желать лучшего. Различные документы (технические, экономические) находятся в общественном доступе, что позволяет практически любому сотруднику компании (начиная с основателя и заканчивая водителем) свободно ознакомиться с ним.
      Экономическая документация (отчеты, накладные, счета-фактуры, счета и т. д.) размещаются в папках и полках в шкафу, который не заблокирован, а также хранится электронным способом в локальной сети предприятия, доступ к которому осуществляется сотрудниками всех уровней фирмы. Для успешной работы компании необходимо создать отдел информационной безопасности.
      Предприятие в основном использует программное обеспечение Microsoft.
      Сотрудники не подписывают никаких соглашений о неразглашении информации, относящейся к коммерческой тайне, и следователно может распространить такую информацию.
      Набор осуществляется через двухэтапное собеседование:
1. Общение с непосредственным руководителем (который идентифицирует навыки и способности потенциального сотрудника);
2. Общение с основателем (более личное по своему характеру и заключение такого диалога может быть либо «работаем вместе», либо «не работаем вместе»).
      Все это требует большого внимания со стороны руководства и грамотной программы обеспечения информационной безопасности компании, поскольку сегодня на ОАО «Кузнецкий металлургический завод» много конкурентов, которые вряд ли упустят возможность воспользоваться, например, клиентской базой или базы поставщиков.
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
2.2. Определение требований к средствам защиты информации объекта
      Для определения требований к ИС мы используем двумя приказами: «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования к информационной безопасности».
      Согласно приказам и приведенным выше данным, информационная система ООО «Кузнецкий металлургический комбинат» относится к 1-й группе классов AС. Класс AC – 1Д.
      Первая группа включает в себя многопользовательскую AС, в которой одновременно обрабатывается информация и (или) информация о различных уровнях конфиденциальности сохраняется. Не все пользователи имеют право доступа ко всей информации АС. Группа содержит пять классов: 1Д, 1Г, 1В 1Б и 1A.
      Требования к классу защиты 1Д.
      Для подсистемы управления доступом:
      идентификация и проверка подлинности объектов доступа при входе в систему с паролем условно-постоянных действий длиной не менее шести буквенно-цифровых символов (выполняемых объектами ОС).
      Подсистема регистрации и учета:
      Обеспечивание регистрации входа (выхода) субъектов доступа к системе или регистрации загрузки и инициализации операционной системы и ее выключения программного обеспечения. Выход из системы или остановка не выполняется во время аппаратного отключения AC.Параметры регистрации указаны (реализованы с помощью ОС):
1. Дата и время ввода (выхода) субъекта доступа к системе (из системы) или загрузки системы (стоп);
2. Результат попытки войти: удачная или неудачная - несанкционированная;
3. Идентификатор (код или фамилия) субъекта, представленный при попытке доступа;
4. Регистрация всех защищенных носителей с помощью их маркировки и с регистрацией учетных данных (регистрационной карточки) (осуществляется организационными мерами);
5. Регистрация защищенных носителей в журнале (файловом кабинете) с регистрацией их выпуска (приема) (осуществляется организационными мерами).
      Подсистема обеспечения целостности:
1. Обеспечение целостности программного обеспечения СЗИ от несанкционированного доступа, обработанной информации и неизменной программной среды (реализуемой ОС);
2. Физическая защита СВТ (устройств и носителей информации), обеспечивающая контроль доступа к неавторизованным лицам в помещения АС и наличие надежных препятствий для несанкционированного проникновения в помещения АС и хранения носителей информации, особенно вне рабочего времени (осуществляется организационными и инженерными мерами);
3. Периодическое тестирование функций СЗИ из НСД при изменении программной среды и персонала АС с помощью тестовых программ, имитирующих попытки посторонних лиц (осуществляемых организационными мерами);
4. Наличие средств для восстановления СЗИ из НСД, предусматривающее обслуживание двух копий программного обеспечения СЗИот несанкционированного доступа и их периодическое обновление и мониторинг работоспособности (осуществляется организационными мероприятиями, а также использование систем резервного копирования).
      Для информационных систем первого класса в многопользовательском режиме обработки персональных данных и различных прав доступа к ним пользователей используют следующие основные методы защиты информации:
* Определение, документирование и утверждение руководством организации цели обработки персональных данных.
* Определение необходимости уведомления Уполномоченного органа по защите прав субъектов персональных данных на обработку персональных данных.
* Определение и документирование процедуры уничтожения персональных данных (в том числе материальных носителей персональных данных).
* Определение и документирование процедуры обработки запросов от субъектов персональных данных (или их законных представителей) в отношении обработки их персональных данных.
* Определение и документирование процедуры действий в случае запросов Уполномоченного органа по защите прав субъектов персональных данных или других надзорных органов, осуществляющих контроль и надзор в области персональных данных.
      Для каждой цели обработки персональных данных определение, документирование и утверждение руководством организации:
* Объем и содержание персональных данных;
* Время обработки, включая условия хранения персональных данных;
* Необходимость получения согласия субъектов персональных данных.
* Проведение классификации персональных данных в соответствии с серьезностью последствий потери свойств безопасности персональных данных для субъекта персональных данных.

Различают следующие категории персональных данных:
* Персональные данные, классифицированные в соответствии с Федеральным законом «О персональных данных», к специальным категориям персональных данных;
* Персональные данные, классифицированные в соответствии с Федеральным законом «О персональных данных» для биометрических персональных данных;
* Персональные данные, которые не могут быть назначены отдельным категориям персональных данных, биометрическим персональным данным, публичным или безличным персональным данным;
* Персональные данные, классифицированные в соответствии с Федеральным законом «О персональных данных» публичным или безличным персональным данным.
      Передача персональных данных в организацию третьей стороной с согласия субъекта персональных данных. В случае, если организация поручает обработку персональных данных третьей стороне на основании договора, существенным условием для такого договора является обязательство предоставить .......................