Размещено на http://www.allbest.ru/

Введение

Развитие общества в последние десятилетия характеризуется стремительным проникновением во все сферы человеческой жизни новых информационно-коммуникационных технологий. Эти изменения привели к формированию качественно нового типа общества, получившего название «информационного». Компьютеризация существенно влияет на процессы обучения, на постановку и решение научных задач, на исследования в области мышления и процессов познания.

В настоящее время деятельность любой организации тесно связана с информационными технологиями. Электронная почта, поиск потенциальных клиентов винтернете, продвижение в социальных сетях, использование IM-мессенджеров длякорпоративного общения, а также онлайн-банкинг - вот без чего невозможно представитьработу малого предприятия. Бизнес зависим от интернета - это факт, однако интернеттаит в себе множество угроз. В соответствии с анализом «лаборатории Касперского» 96%малых предприятий в России за 2014 год столкнулись с киберугрозами.

Актуальность выбранной темы обусловлена тем, что в современных условиях процесс успешного функционирования и экономического развития российских предприятий во многом зависит от совершенствования их деятельности в области обеспечения экономической и информационной безопасности. информационный безопасность компьютер база

Целью данной работы является исследование основ обеспечения информационной безопасности и оценка вероятности кражи данных с компьютеров малого предприятия.

Исходя из поставленной цели в рамках данной работы предлагается решение следующих задач:

- изучение различных подходов к определению понятия информационной безопасности;

- рассмотрение системы обеспечения информационной безопасности на малых предприятиях;

- построение математической модели определения вероятности кражи данных с компьютеров малого предприятия;

- анализ и характеристика информационных ресурсов предприятия ООО «Лазурит»;

- оценка угроз и определения вероятности кражи информационных данных предприятия ООО «Лазурит»;

- выявление методов и средств защиты информации на предприятии;

- разработка мероприятий по совершенствованию системы информационной безопасности.

Объектом исследования в работе является малое предприятие ООО «Лазурит», а именно салон «Леонардо».

Предметом исследования в работе выступает система обеспечения информационной безопасности.

В данной работе были использованы следующие работы в области исследования особенностей безопасности информационных ресурсов: Баранова А.П., Гончарова О.И., Донской, Е. Н., ЕсауловаВ.Т., Козуновой С.С., Конотопова М.В., Ляпиной И.Р., Ломазова А.В., Мельникова Д.А., Мухина И.Н., Петрова С.В., Полунина А., Поляковой Т.А., Родиной Ю.В., Росенко А. П., Окулова Н.С., Савченко И.А.,Прокофьева Д.Н. , Суглобова А.Е., Тимофеева А.М., Шаньгина В.Ф., Шамсуева М.Х. и др.

Методологической основой данной работы послужили методы: анализ литературы, нормативно-правовой документации по теме работы, изучение и обобщение отечественной и зарубежной практики, графоаналитический метод, математическое моделирование.

Теоретическое значение исследования заключается в изучении теоретических основ обеспечения информационной безопасности в малых предприятиях.

Практическое значение исследования состоит в разработке мероприятий по совершенствованию системы информационной безопасности.

Структура работы представлена введением, тремя главами и заключением. Первая глава посвящена изучению теоретических основ обеспечения информационной безопасности на малых предприятиях. Во второй главе проанализирована система информационной безопасности на примере предприятия ООО «Лазурит». Третья глава представлена разработкой рекомендаций по совершенствованию системы информационной безопасности.



1. Теоретические основы обеспечения информационной безопасности на малых предприятиях

1.1 Различные подходов к определению понятия информационной безопасности

Издавна считалось, кто владеет информацией, тот владеет ситуацией. Поэтому еще на заре человеческого общества возникает разведывательная деятельность, поэтому появляются государственные и коммерческие секреты, а в период войн военные.

Стремление сохранить в тайне от других то, что дает преимущество и власть, видимо является главной мотивацией людей в исторической перспективе. Многие собственники в целях защиты своих интересов засекречивают информацию и тщательно ее охраняют или патентуют.

Засекречивание информации приводит к постоянному совершенствованию средств и методов добывания охраняемой информации и к совершенствованию средств и методов защиты информации.

В мировой практике сначала применялись термины «промышленная тайна», «торговая тайна», «тайна кредитных отношений», т.е. название тайны увязывалось с конкретной сферой деятельности.

Российский юрист В. Розенберг сделал попытку объединить эти названия в одном «промысловая тайна» и даже выпустил в 1910 году одноименную книгу. Однако термин не прижился. И в Российской империи и за рубежом окончательно утвердился термин «коммерческая тайна», объединивший тайну любой деятельности, имеющей целью извлечение прибыли.

В России в ноябре 1917 года коммерческая тайна была отменена. Во время НЭПа она неофициально «возродилась», но в дальнейшем использовалась лишь внешнеторговыми предприятиями СССР при контактах с другими странами, однако отечественной законодательной основы под этим не было.

Коммерческая тайна в современной трактовке - информация, данные, сведения, объекты, разглашение, передача или утечка которых третьим лицам могут нанести ущерб интересам или безопасности обладателя.

Стандарт ISO/IEC17799 определяет информационную безопасность как обеспечение конфиденциальности, целостности и наличия информации.

Безопасность это не только защит от преступных посягательств, но и обеспечение сохранности (особенно электронных) документов и информации, а также меры по защите важнейших документов и обеспечению непрерывности и/или восстановлению деятельности в случае катастроф.

Под информационной безопасностью следует понимать защиту субъектов информационных отношений. Основные ее составляющие конфиденциальность, целостность, доступность.

Таким образом, информация признается активом, который, подобно другим активам организации, имеет ценность и, следовательно, должен быть защищен надлежащим образом.

Одним из первых российских законов, посвященных вопросам информационной безопасности, следует считать Федеральный закон «Обинформации, информационных технологиях и о защите информации» от 27 июля 2006 года. В нем даются основные определения, намечаютсянаправления, в которых должно развиваться законодательство в данной области, регулируются отношения, возникающие при:

1) осуществленииправа на поиск, получение, передачу, производство и распространение информации;

2) применении информационных технологий;

3) обеспечении защиты информации.

Также в законе представлены определения основных понятий в сфере информационной безопасности.

Так, информационные технологии определяются как процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов; информационная система - как совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационныхтехнологий и технических средств; обладатель информации - как лицо, самостоятельно создавшее информацию либо получившее на основаниизакона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам и т.д.

Совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности Российской Федерации представлены в Стратегии национальной безопасностиРФ (2015) и Доктрине информационной безопасности РФ (2016). В Стратегии национальной безопасности РФ информационная безопасность рассматривается как неотъемлемая составляющая национальной безопасности России, поскольку «все большее влияние на характер международной обстановки оказывает усиливающееся противоборство в глобальном информационном пространстве, обусловленное стремлением некоторых стран использовать информационные и коммуникационные технологии для достижения своих геополитических целей, в том числе путем манипулирования общественным сознанием и фальсификации истории…. Появляются новые формы противоправной деятельности, в частности с использованием информационных, коммуникационных и высоких технологий» .

В Доктрине информационной безопасности РФ информационная безопасность определяется как «состояние защищенности личности,общества и государства от внутренних и внешних информационных угроз, при котором обеспечиваются реализация конституционных прав и свободчеловека и гражданина, достойные качество и уровень жизни граждан, суверенитет, территориальная целостность и устойчивое социально-экономическое развитие Российской Федерации, оборона и безопасность государства» .

Информационная безопасность - механизм защиты, обеспечивающий:

- конфиденциальность: доступ к информации только авторизованных пользователей;

- целостность: достоверность и полноту информации методов ее обработки;

- доступность: доступ к информации и связаннымс ней активам авторизованных пользователей по мере необходимости.

Другими важными компонентами, которым большое внимание уделяется профессионалами в области компьютерной безопасности, являются контроль над доступом и строгое выполнение обязательств.

Контроль над доступом подразумевает не только факт, что пользователь имеет доступ только к имеющимся ресурсам и услугам, но и тот факт, чтоу него есть право доступа к ресурсам, которые он законно ожидает. Что касается строгого выполнения обязательств, то это подразумевает невозможность отказа пользователям того, что он отправил сообщение и наоборот. Существенными проблемами, связанными с обеспечением компьютерной безопасности, также являются борьба с компьютерной преступностью (попытки предотвращения, обнаружения атак) и конфиденциальность (анонимность) в киберпространстве.

В развитых зарубежных государствах (США, государства Европейского Союза, Канада и др.) защита национальных интересов от злоупотреблений в использовании информационно-коммуникационных технологий трактуется в контексте «кибербезопасности» и «сетевой безопасности».

«Кибербезопасность» рассматривается как защищенность от внешних и внутренних угроз безопасности киберпространства. Это пространство образуется взаимосвязанной сетью инфраструктур, обеспечивающих реализацию информационных технологий различного назначения.

В Стратегии обеспечения национальной безопасности киберпространства США (2011 г.) отмечается, что политика государства направлена на «защиту от нанесения ущерба работе информационных систем критическихинфраструктур и, таким образом, на содействие защите людей, экономикии национальной безопасности США». При этом государство стремится, содной стороны, уменьшить уязвимость объектов киберпространства к угрозам «прежде, чем они могут нанести ущерб кибернетическим системам,поддерживающим критические инфраструктуры страны, а с другой - гарантировать, что такие нарушения киберпространства будут нечастыми,будут иметь минимальную длительность, с нарушениями можно будетсправиться и такие нарушения будут причинять наименьший возможный ущерб».

Общая схема явлений, охватываемых понятиями «информационная безопасность», «кибербезопасность» и «сетевая безопасность» представле-на на рисунке 1.1.

Рисунок 1.1. - Соотношение понятий «информационная безопасность», «кибербезопасность» и «сетевая безопасность»

Понятие «сетевая безопасность» - защищенность глобальных и национальных телекоммуникационных сетей от нежелательного доступа всеть со стороны третьих лиц, от нарушения сохранности данных и эффективного функционирования сети в целом.

В структуре регулируемых правом общественных отношений в области обеспечения информационной безопасности выделяются следующиеосновные составляющие:

- объекты информационной безопасности;

- угрозы информационной безопасности;

- субъекты информационной сферы .

Информационная сфера образуется совокупностью информации,информационной инфраструктуры, субъектов, осуществляющих сбор, формирование, распространение и использование информации, а также системы регулирования возникающих при этом общественных отношений

Распространение информации может быть либо движущим, либо сдерживающим фактором развития всех сторон жизни. Соответственно, как справедливо писал В.Т. Есаулов, плодами общественного прогресса пользуются различные силы, в том числе и деструктивные, что ведет к возникновению принципиально новых угроз жизнедеятельности отдельного человека, социальной группы, функционированию государств и мирового сообщества в целом.

Это требует более подробного рассмотрения самого понятия «угроза информационной безопасности РФ».

Исследователи предлагали разнообразные варианты трактовки термина:

- угрозы информационной безопасности - это использование различных видов информации против того или иного социального (экономического, военного, научно-технического и т. д.) объекта с целью изменения его функциональных возможностей или полного поражения;

- угрозой информационной безопасности называется потенциально возможное событие, процесс или явление, которое посредством воздействия на информацию или компоненты автоматизированной информационной системы может прямо или косвенно привести к нанесению ущерба интересам субъектов информационных отношений;

- угрозы информационной безопасности - это различные обстоятельства (условия, факторы состояния), т.е. опасные воздействия на информацию, информационную инфраструктуру, реализацию правового статуса человека и гражданина в области информационной деятельности, а также опасные действия, связанные с причинением вреда реализации национальных интересов, связанных с этими объектами.

1.2 Система обеспечения информационной безопасности на малых предприятиях

Для каждого предприятия внешние и внутренние угрозы могут быть как сугубо индивидуальными, так и распространенными во всей экономической среде. Учитывая ихколичество и разнообразие можно сделать вывод, что надежная защита любой организациивозможна только при комплексном и системном подходе к ее организации.

Малый и средний бизнес (МСБ) в России, в последнее время, имеет жизненно важное значение для роста экономики и играет значительную роль в обеспечении занятости населения субъектов РФ. Понятие МСБ можно охарактеризовать как преимущественно устойчивые и рентабельные предприятия, хорошо структурированные, с квалифицированным менеджментом и хорошо отлаженным механизмомфинансирования, где семья и друзья выступают не второстепенным фактором.

Одной из главных проблем в развитии предприятий МСБ является обеспечение информационной безопасности. Как правило, предприятия выделяют не более 10% своего дохода на защиту коммерческих интересов, а чаще не считают это необходимым. В настоящее время, сохранность и конфиденциальность информации - один из жизненно важных аспектов для функционирования предприятия. Таким образом, информационная безопасность занимает одно из ключевых мест при организации деятельности любого бизнеса .

На современном этапе развития предпринимательской деятельности большое значение уделяется не банковским картам физических лиц, а счетам и конфиденциальной информацииорганизаций, потеря или искажение которой приносит финансовые и организационные проблемы, К такой информации можно отнести:

- финансовые отчеты;

- базы данных клиентов;

- деловая переписка;

- детали конкретных сделок;

- интеллектуальная собственность;

- бизнес планы.

Система экономической безопасности предприятия (СЭБ) - это комплекс организационно - управленческих, режимных, технических, профилактических ипропагандистских мер, направленных на качественную реализацию защиты интересовпредприятия от внешних и внутренних угроз.

Особенностью и, одновременно, сложностью при построении системы экономической безопасности для малого предприятия является тот факт, что ее действенность во многомзависит от человеческого фактора. Как показывает практика, даже при наличии напредприятии профессионального специалиста по обеспечению экономическойбезопасности и современных технических средств, добиться желаемых результатов сложно,пока в коллективе каждый сотрудник не осознает важность и необходимость внедряемых мер экономической безопасности.

В настоящее время взаимосвязь экономической и информационной безопасности является очевидной. Подавляющее большинство расчетов, денежных переводов, передачистратегически важных данных производится в электронном виде. Следовательнопоявляются уязвимости, связанные с несовершенством защиты информационныхтехнологий, которыми активно пользуются злоумышленники.

В последнее время отмечается рост кибератак именно на небольшие компании. Это связано с тем, что малый и средний бизнес не обладает средствами высокоуровневойзащиты, которые используют крупные предприятия. Ограниченный объем затрат наобеспечение информационной безопасности делает малые предприятия особенноуязвимыми.

Малый и средний бизнес, в отличие от больших компаний, не считает приоритетной задачу разработки четкой стратегии развития IT - инфраструктуры своего предприятия, напервое место ставится продуктовая, операционная или маркетинговая деятельность.

Отсюда и возникают проблемы, связанные с информационной безопасностью. Немаловажной причиной является отсутствие квалифицированного персонала, в редкихслучаях небольшие компании могут похвастаться наличием в штате IT - специалиста.

Обычно его функции выполняет опытный пользователь из числа штатных сотрудников или, в лучшем случае, приходящий системный администратор.

Малым и средним предприятиям доступна большая гибкость при решении вопросов информационной безопасности. Они могут выбрать различные аппаратные комплексы,специализированное программное обеспечение для установки на стандартные серверы илиобратиться к внешним поставщикам, предоставляющим услуги информационной безопасности .

Таким образом можно сделать вывод, что даже для малого предприятия вопросыинформационной безопасности являются важными и актуальными. Существующиетенденции говорят о том, что малые предприятия, в силу отсутствия эффективной системыобеспечения экономической и информационной безопасности, являются наиболеепривлекательными целями для атак со стороны злоумышленников. Современные методыобеспечения информационной безопасности позволяют прогнозировать, предотвращать иликвидировать угрозы информации при сравнительно не больших затратах, однако наданный момент руководство большинства малых организаций не считает необходимымналичие системы обеспечения информационной безопасности.

1.3 Математическая модель определения вероятности кражи данных с компьютеров малого предприятия

Известно, что безопасность информации ограниченного распространения (ИОР) обеспечивается на всех стадиях её жизненного цикла. Однако, с точки зрения соблюдения конфиденциальности информации, важнейшим этапом является этап использования ИОР по назначению. Исследования показывают, что именно на этом этапе имеет место наибольшее количество несанкционированных воздействий. В то же время анализ статистических данных показывает, что большинство случаев несанкционированного доступа к ИОР связаны с так называемыми антропогенными факторами. В свою очередь антропогенные факторы обусловлены деятельностью или бездеятельностью человека, приводящей к преднамеренным или непреднамеренным ошибкам, как собственника, так и пользователей конфиденциальной информации. Это связано с нарушением правил обращения с конфиденциальной информацией, недостаточным уровнем знаний, умений и практических навыков по применению существующих средств и методов защиты информации. Указанные обстоятельства свидетельствуют о необходимости рассмотрения АИС как сложной человеко-машинной системы, для которой характерны признаки, присущие сложным системам.

Практика показывает, что оптимизация процесса обеспечения безопасности ИОР возможна на основе разработки новых, более современных защитных механизмов с учетом воздействия на человеко-машинную информационную систему различных угроз.

Это связанно с тем, что существующие методы и методики,применяемые для оценки безопасности ИОР, не ориентированы на получение количественных результатов. В связи этим актуальной научной проблемой, обусловленной острой потребностью обеспечения безопасности ИОР, является разработка методов, адаптированных к процессам и явлениям, возникающим в человеко-машинных информационных системах направленных на количественную оценку таких проявлений .

Как показано в основу методов исследования безопасности ИОР может быть положено математическое описание процесса воздействия на АИС и ее структуры элементы различных угроз, вследствие чего, система может переходить в различные состояния, обусловленные проявлением или не проявлением угроз, возникновение или не возникновением особой ситуации, нарушением безопасности ИОР, последствиям от реализации различных угроз и величиной ущерба, наносимого собственнику ИОР .

Понятие Марковского случайного процесса применительно к АИС.

Пусть на АИС в произвольный момент времени t_iвоздействует i-я угроза. В результате такого действия АИС переходит из состояния S₀ в состояние S_i. Представим процесс перехода АИС из S₀ -го состояния S_i - е состояние как это показано на рис .1.2

_-Рисунок 1.2. - Процесс перехода АИС из S_{0 -}- го состояния в S₁ -е состояние в результате воздействия i-й угрозы можно представить следующим образом



Пусть в момент времени t<t₀ АИС находилась в стационарном состояние предшествующем воздействию воздействиюi-й угрозы. Такое состояние характеризует предысторию процесса - прошлое состояние АИС до момента времени t₀ . В момент времени t₀ на АИС воздействует i- я угроза, в результате которой АИС за время t₁=t₀+ переходит в состояние S₀-о в состояние S₁ -e. Если такой процесс соответствует Марковскому случайному процессу, то можно предсказать такой переход , учитывая только настоящее состояние АИС -S₀ и, забыв о ее предыстории. Само состояние S₀ зависит от прошлого, но, как только оно достигнуто, о прошлом состояние можно забыть.

Таким образом, Марковском случайно процессе будущие состояние АИС зависит от прошлого только через настоящие.

Итак, случайный процесс применительно к АИС называется Марковским , если для любого момента времени t₀ вероятно характеристики АИС в будущем зависят только от ее состояния в данный момент t₀ и не зависят от того , когда и как АИС пришла в это состояние.

Из выше сказанного следует, что для такого случайного процесса характерны: случайная смена состояний АИС и вероятностная связь между предшествующими и последующими состояниями; зависимость между случайной сменой состояний АИС и временем воздействия на АИС различных угроз.

Процесс называется процессом с непрерывным временем, если моменты возможных переходов из состояния в состояние не фиксированы заранее, а не определены, случайны, т.е. переход может осуществляться в любой момент времени .

Для Марковского случайного процесса с непрерывным временем существует закономерность, что время между наступлениями того или иного события является случайным, но подчиненным определенному закону. Этот закон называется показательным, а именно:



P(t)=1- (1.1)

где t - время воздействия угроз на АИС;

л - интенсивность воздействия;

P(t) - вероятность воздействия угрозы за промежуток времени ?t.Частные случаи, вытекающие из выражения (1.1):

если ?t > 0, тогда P(t)=0;если ?t > ?, тогда P(t)=1.

Для описания поведения такого случайного Марковского процесса используется интенсивность переходов л_ij(t), показывающее вероятность перехода системы, находящейся в состоянии jв состоянии i в момент времени t можно составить систему дифференциальных уравнений,

P_j(t)=_ij(t)P_i(t),

решение которой определяет вероятность P_j(t) нахождение системыj-м состоянии в момент времени t.

При однородном во времени непрерывном Марковском случайном процессе условные интенсивности переходов, записываются в виде матрицы,

А=||||, (1.2)

постоянны.Тогда система дифференциальных уравнений переходит в систему алгебраических уравнений, которую легко решить, используя преобразования Лапласа.

Поток событий - это последовательность однородных событий, следующих одно за другим в случайные моменты времени, например поток угроз (внутренних,внешних и др.).

Важной характеристикой потока событий является его интенсивность л- среднее число событий в единицу времени.Интенсивность потока л может быть постоянна (л=const) или переменна (л=var).

Поток событий называется регулярным, если события следуют одно за другим через равные промежутки времени.

Поток событий называется стационарным, если его вероятностные характеристики не зависят от времени.

Поток событий называется потоком без последствий, если для любых двух непересекающихся интервалов времени и , число событий, попадающихся на один из них, не зависит от того, сколько событий попало на другой.

Наглядной формой представления таких воздействий являются графы, с помощью которых представляются все возможные варианты событий, которые могут иметь место при воздействии на систему внешних факторов. Вершины графа обозначают события, а ребра - связи между ними. На каждом ребре графа можно указать соответствующую данному событию вероятность. Такой граф называется взвешенным. В теории вероятностей он носит название дерева событий или дерева возможных исходов. Граф состояний позволяет легко посчитать вероятности возможных исходов после нескольких этапов процесса.

Другой вид графа - ориентированный взвешенный граф, вершины которого обозначают не события, а состояния системы. Вершины графа соединяются стрелками, указывающими направление возможных переходов из состояния в состояние.

Если вероятности переходов связаны только с предшествующими состояниями, то реализуется процесс без последствий, или простая цепь Маркова.

Если вероятность переходов связана с учетом более ранних состояний (предыстории), то цепь Маркова называют сложной.

Если полагают, что на рассматриваемом отрезке времени переходные вероятности не зависят от номера испытания, то такая цепь Маркова называется однородной.

Цепи Маркова, в которых переходные вероятности зависят от номера испытания (различных факторов, способствующих переходу системы в различные состояния) называются неоднородными.

Переходная матрица, как правило, дополняется матрицей начального состояния. Существует два способа задания начального состояния: детерминированный (неслучайный); случайный.

Такой упорядоченный набор величин (чисел) называется вектором, а сами величины или числа - компонентами вектора. Различают вектор-строку и вектор- столбец. В данном случае понятие вектора в абстрактном пространстве является пространством вероятностей.

Постановка задачи. Допущения. Граф состояния системы. Пусть на АИС за конечное время воздействует n простейших потоков угроз с интенсивностями. л_i, i=1,n.

Пусть м_i - интенсивность парирования последствий i-й угрозы. Соответственно,R_i - вероятность парирования, R_i - вероятность не парирования i-й угрозы.

Тогда, м_i,R_i - интенсивность парирования, а м_i,R_i - интенсивность не парирования последствий воздействия на АИС потока угроз.

Допущения:

- поток парирования и не парирования угрозы простейший;

- возможности по парированию последствий воздействия на АИС i-й угрозы не ограничены, т.е. м_i,?л_i

- так как рассматриваются простейшие потоки, то появление одновременно двух и более угроз является невозможным событием.

Для определения вероятности благополучного исхода при воздействии на АИС потока угроз представим систему АИС в виде графа (см. рисунок 1.3). n В соответствии с рисунком1.3. можно составить матрицу интенсивностей перехода вида (1.3).



Рисунок 1.3. - Граф состояний АИС

В соответствии с рисунком 1.2. АИС в момент времени может находиться в одном из следующих состояний:

- состояние «0» - поток угроз за время не проявился;

- состояние «1», …,i , …,n - одна из угроз проявилась;

- состояние «n+1 » - неблагополучное поглощающее состояние, при котором угроза реализовалась.

Матрица (1.3) обладает следующими свойствами:диагональные члены матрицы равны сумме остальных элементов данной строки, взятых с обратным знаком; сумма всех элементов каждой строки равна нулю; число нулевых строк в матрице интенсивностей переходов соответствует количеству поглощающих со- стояний; интенсивность перехода равна нулю при отсутствии стрелки.

Определение вероятностей перехода АИС в каждое возможное состояние. Для определения вероятностей перехода АИС в каждое возможное состояние воcпользуемся системой дифференциальных уравнений Колмогорова, в соответствии с которыми можно написать.

=-P₀()ⁿ_i=2i+µ_iR_iP_i(),

=_iP₀() µ_iP_i(),(1.4)

=ⁿ_i=1µ_iR_iP_i().



Применяя к системе дифференциальных уравнений (1.4) прямое преобразование Лапласа с учетом исходных данных P₀(0)=1, P_i(0)=P_n+1(0)=0 и с учетом того, что _i()e^-Sd=P_i(0)+SP_j(S), получим следующие выражения для определения вероятностей в соответствии с графом состояний (см.рисунок 1.3)

-P₀(0)+SP₀(S)=-л₀P₀(S)+_iR_iP_i(S),

-P_i(0)+SP_i(S)=л_iP₀(S)-µ_iR_iP_i(S), (1.5)

-P_n+1(0)+SP_n+1(S)=_iR_i(S),

где P_i(S)= _i(ф)e^-Stdф -искомое изображение.

При начальных условиях система уравнений (1.5) примет вид:

(S+л₀)P₀(S)=_iR_i(S)=1,

-л_iP₀(S)+(S+µ_i)P_i(S)=0, (1.6)

-_iR_iP_i(S)+SP_n+i(S)=0.

По правилу Крамера искомые изображения определяются отношением:

P_i(S)=, j=1,n, (1.7)

где ?(S)=S[(S+л₀)+µ_i)-_iµ_iR_i+µ_l)] - главный определитель системы; ?_j(S) - частный определитель системы, находится из главного определителя путем замены j-го столбца коэффициентами, стоящими в правых частях уравнений (1.6).

Частные определители, полученные с помощью введения определителей по индукции, будут равны:



?₀(S)S+µ_l),

?_i(S)=Sл₀+ µ_l), (1.8)

?_n+1(S)=_iµ_iR_i+µ_l)].

С учетом указанного и при условии, что с_j(S)=,с(S)= система уравнений (1.6) примет вид:

P₀(S)===,

P_i(S)===, (1.9)

P_n+1(S)===.

Окончательно с учетом (1.8) выражения (1.9) примут вид:

Тогда из (10) следует, что вероятность благополучного исхода от воздействия на АИС n независимых потоков внутренних угроз определяется следующим выражением:а вероятность противоположного события, т.е не-благополучного исхода будет равна

Частные случаи:

1.Интенсивность парирования i-го потока угрозы µ_i равно интенсивности воздействия i-го потока угрозы

Пусть µ_i,т.е интенсивность парирования последствий i-го потока угроз равна интенсивности i-го потока угроз.

Тогда изображения вероятностей можно представить следующим образом:

Функции q_i(S) и (S) могут быть представлены в виде полиномов с коэффициентами b_i и c_i , а именно :

Из выражения (1.12) следует, что изображения вероятностей P_j(S) являются правильными рациональными дробями, у которых степени полиномов числителей численно меньше полиномов знаменателей.

Тогда применяя к (1.12), табличное преобразование Лапласа, получим следующее выражение для характеристических оригиналов искомых вероятностей:

e^S_{kф ,} еслиP_j(S) =

(1.13)

e^S_{kф ,}еслиP_j(S) =

G^-1(P_j(S)) =

a[ + ], еслиP_j(S) = .

где щ - количество корней i- го характеристического уравнения; a - константа.

Тогда с учетом нормированного условия , где P_j -вероятность нахождения АИС в i - м состоянии, можно записать, что конечная вероятность

P_БИ(ф) = (1.14)

Характеризует благополучный исход, а

Q_БИ(ф) =1- =P_n+1(ф)

Неблагополучный исход от воздействия на АИС различных угроз.

2. Оценки вероятностей последствий от реализации угроз безопасности ИОР с учетом воздействия на АИС одного потока угроз.Для практических расчетов наиболее часто имеет случай, когда на АИС воздействует один поток угроз, т.е. n=1. Пусть на АИС, в течении времени ф, воздействует один поток угроз с интенсивностью - л, интенсивность парирования - µ и вероятность парирования потока угроз - R/ Тогда из системы уравнений (1.13) при n=1 изображения вероятностей примут следующий вид:

P₀(S) = =,

P₁(S) = =, (1.16)

P_n+1(S) = =,



где с(S) = S²+S_c1+c0, с₁=л+µ, с₀=лµR.

Применяя к (1.16) обратное преобразование Лапласа с учетом (1.14) и (1.15) получим выражения для определения искомых вероятностей, а именно:

P₀(ф) P₀(ф) = [(µ-л-?) -(µ-л-)]; (1.17)

где

Тогда с учетом (14) и (15) вероятность благополучного исхода от воздействия на АИС одного потока угроз будет равна

P_БИ(ф)=P₀(ф)+P(ф), (1.20)

а вероятность неблагополучного исхода

Q_БИ(ф)=P_n+1(ф) (1.21)

Случай, когда л=µ. Тогда выражения (17), (18),(19) будут иметь вид:

P₀(ф)=e^-лt[^ф+^ф], (1.22)

P₁(ф)=e^-лt[^ф-^ф],

P_n+1(ф)=1-e^-лt[^ф-]

Конечные вероятности (1.17), (1.18) и (1.19) определяются используются выражения (1.22), (1.23) и (1.24).

Учитывая переходные интенсивности для матрицы (1.3), система дифференциальных уравнений имеет следующий вид:

Применяя к системе дифференциальных уравнений (1.25) принятое преобразование Лапласа с учетом исходных данных P₀(0)=1, P₁(0)=P₂(0) = P₃(0)=0 представляется возможным получить выражения для определения вероятностей P₀(),P₁(),P₂(),P₃().

Обоснована применимость Марковских случайных процессов для оценки влияния различных угроз на безопасности конфиденциальной информации. Дано понятие Марковского случайного процесса с учетом воздействия АИС различных угроз. Показано, что Марковские случайные процессы могут быть использованы для оценки вероятности благополучного или неблагополучного исхода при воздействие на АИС угроз. Для определения указанных вероятностей целесообразно представит последовательность перехода АИС из одного i-го состояния в другое j-е виде графа состояний,которые называются цепью Маркова.



2. Анализ системы информационной безопасности на предприятии ООО «Лазурит»

2.1 Краткая характеристика предприятия ООО «Лазурит»

Объектом исследования в данной работе выступает ООО «Лазурит», а конкретно салон «Леонардо», основным видом деятельности которого является продажа лакокрасочных изделий.

Рассмотрим организационную структуру, приведенную на рисунке 2.1.

Рисунок 2.1. - Организационная структура салона «Леонардо»



Как показывает рисунок 2.1, управляет данным субъектом директор, которому подчинены заместитель директора и административный отдел. В состав административного отдела входит торговый агент, в обязанности которого входят: поддержание и расширение клиентской базы; заключение договоров с поставщиками; контроль кредиторской задолженности; мерчендайзинг; презентация товаров и услуг.

В состав обслуживающего персонала входят уборщики помещений (торгового зала, склада и административного помещения).

Курированием отдела продаж и склада занимается заместитель директора. Складом управляет заведующий складом, а который координирует работу сотрудников склада.

Стоит отметить, что в организации отсутствует централизованная бухгалтерия и данный участок представлен одним бухгалтером.

Рассмотрим реализацию признаков малого бизнеса на примере ООО «Лазурит». Динамика и структура численности персонала ООО «Лазурит» приведены в таблице 2.1.

Таблица 2.1 - Динамика и структура численности работников ООО «Лазурит»

Показатель	2014 год	Уд.вес,%	2015 год	Уд.вес,%	2016 год	Уд.вес,%
Численность - всего:	22	100	16	100	16	100
руководство	2	9,09	2	12,50	2	12,50
администрация	4	18,18	3	18,75	3	18,75
администратор зала	2	9,09	2	12,50	2	12,50
продавец-консультант	8	36,36	8	50,00	7	43,75
продавец-кассир	3	13,64	3	18,75	3	18,75
работники склада	3	13,64	2	12,50	2	12,50

Таблица 2.1 показывает, что динамика численности персонала ООО «Лазурит» соответствует критериям малого бизнеса, при этом необходимо отметить снижение динамики численности персонала за анализируемый период. Так же стоит отметить, что в структуре численности персонала наибольший удельный вес занимают продавцы-консультанты - более 40% по данным на 2016 год. Далее для определения эффективности деятельности ООО «Лазурит» проанализируем результаты финансовой деятельности, представленные в таблице 2.2.

Таблица 2.2 - Анализ результатов финансовой деятельности ООО «Лазурит»

Показатель	2014 год	2015 год	2016 год	Отклонение 2016 года от
				2014 года	2015 года
				тыс. руб.	%	тыс. руб.	%
Доходы и расходы по обычным видам деятельности
Выручка от продажи товаров, работ и услуг	58523	58033	56 646	-1 877	96,79	-1 387	97,61
Себестоимость	49515	32726	29211	-20304	58,99	-3515	89,26
Валовая прибыль	9008	25307	27 435	18 427	304,56	2 128	108,41
Коммерческие расходы	0	0	0	0		0
Управленческие расходы	0	0	0	0		0
Прибыль (убыток) от продаж	9008	25307	27 435	18 427	304,56	2 128	108,41
Прочие доходы	171239	2621	2107	-169132	1,23	-514	80,39
Прочие расходы	184525	27638	49678	-134847	26,92	22040	179,75
Чистая прибыль (убыток) отчетного периода	917	3429	2 616	1699	285,28	-813	76,29

Как показывает рисунок 2.2., величина выручки, полученной по результатам 2016 года составила 56 646 тыс. рублей, что соответствует критериям малого бизнеса. Так же необходимо отметить снижение величины выручки в анализируемом периоде.



Рисунок 2.2 - Динамика выручки ООО «Лазурит», тыс. руб

Рисунок 2.3. - Динамика чистой прибыли ООО «Лазурит»

Данные, приведенные в таблице 2.2 и на рисунках 2.2. и 2.3., свидетельствуют о рентабельной деятельности ООО «Лазурит»: по результатам трех анализируемых периодов организация получает прибыль. Основной причиной снижения величины полученной прибыли в 2016 году стало снижение объемов продаж на 2,39% в сравнении с предыдущим годом. Стоит отметить, что величина убытка, полученного по результатам 2016 года вдвое больше, чем в 2014 году, и более чем в 3 раза превышает результат 2015 года.



2.2 Анализ и характеристика информационных ресурсов предприятия ООО «Лазурит»

Формирование структуры информационной системы ООО «Лазурит» необходимо начинать с качественного анализа информационного поля предприятия, которое можно подразделить на внутреннее и внешнее. Внутреннее информационное поле объединяет следующую информацию:

- первичные документы;

- данные внутреннего документооборота (бумажного и электронного), включая приказы и распоряжения руководителя и администрации всех звеньев;

- данные бухгалтерского учета и другой обязательной отчетности за текущийи прошлые периоды;

- результаты анализа финансово-хозяйственной деятельности;

- другие данные.

На рисунке 2.4. представлены все информационные ресурсы ООО «Лазурит» и их взаимосвязи информационными потоками.

Рисунок 2.4 - Основные информационные ресурсы ООО «Лазурит», салон «Леонардо»



Информационный поток, обслуживающий движение материального потока. Материальный поток двигается от первичного источника (например, поставщика товара)через цепь транспортных и посреднических звеньев к конечномупотребителю. На каждом этапе своего движения материальный поток сопровождаетсяопределенными первичными документами, которые фиксируют хозяйственныеоперации, и содержат информацию о состоянии материального потока.

Информационный поток, обслуживающий процесс управления ООО «Лазурит» - этот потокобслуживает основные функции управления предприятием: прогнозирование,планирование, организацию, регулирование, координацию, контроль, принятие решений ит.д. Для этого он выдает информацию о движении материального потока, но не в видепервичных документов, а в виде полученных на их основе сводных (агрегированных)показателей хозяйственной деятельности предприятия. Предоставление таких данных винформационную систему - это основная функция бухгалтерского (финансового иуправленческого) учета, а также блока экономического анализа.

Важные информационные ресурсы обслуживают процесс управления персоналом предприятия. В них происходит поступление в систему бухгалтерского учета информациио количестве фактически отработанного времени, по этим данным происходит начислениезаработной платы пенсионных и иных видов социальных отчислений. В рамках этогоинформационного потока проходят все кадровые приказы, распоряжения об измененияхштатного расписания и т.п.

Построенная модель информационных ресурсов и взаимосвязанных информационных потоков позволяет выделить логическую структуру модулей комплексной автоматизированной информационной системы ООО «Лазурит»:

1. Планирование и бюджетирование (план-прогноз продаж, планирование потребностей в товарах, распределении; финансовоепланирование: синхронное планирование и оптимизация).

2. Управление сбытом (управление взаимоотношениями с клиентами CRM; ведение реестра договоров на поставку продукции; формирование приказов на отгрузку товара; управление складом; учет расчетов с покупателями, таможенное декларирование; электронная коммерция;печать приказов и страховых квитанций; формирование отчетности по отгрузке товаров; контроль ожидаемых зачетов и денежных средств в пути; ведение «кредитнойлинии» клиента).

3. Управление закупками (ведение реестра договоров на закупку товара; складской учет: оформление приходных и расходных документов, оформление накладных на внутреннее перемещение, оформление товарно-транспортных накладных, учет малоценных и быстроизнашивающихся предметов,формирование данных для секторов расчетов с поставщиками и подрядчиками,формирование отчетности по движению ТМЦ; учет запланированных поступлений; учет расчетов с поставщиками, управление и оптимизация цепочек поставок).

4. Управление персоналом (нормирование трудозатрат, штатное расписание и кадровый учет; табельный учет; учет «горячего стажа»; подготовка отчетности для ПФР).

5. Бухгалтерский учет (главная книга и баланс; учет основных средств: подготовка документации по поступлению, выбытию и перемещениюосновных средств, расчет амортизационных отчислений, формирование возрастнойструктуры оборудования; финансовые средства и расчеты: взаимозачетные; касса и банк; материальный учет запасов; реализация;налоговый учет; учет расчетов по подотчетным суммам; расчет заработной платы, учеткредитов сотрудникам; прочие бухгалтерские операции; подготовка отчетности для ГНИ).

6. Управление финансами и экономический анализ хозяйственной деятельности (калькуляция фактической себестоимости товара; формирование и анализ; анализ затрат на 1 рубль товарной продукции,

анализ дебиторской и кредиторской задолженности; экспортные и валютные операции;оценка текущей деятельности; анализ финансового состояния предприятия; формированиебюджетов и контроль их исполнения; анализ рентабельности).

7. Маркетинг (прогнозирование состояния рынка сбыта товаров; планирование рекламных компаний; прогноз изменения рынков сырья и основныхматериалов).

8. АРМы руководителя и аналитика (поддержка принятия решения DSS, стратегическое планирование).

9. Подсистема электронного документооборота (контроль исполнения

поручений; управление нормативно-техническойдокументацией; договора на поставку товаров, на снабжение).

10. Служебное администрирование и управление политикой безопасности (управление доступом: настройка полномочий пользователей, организацияпользовательских групп, ограничение доступа к данным; поддержание логической ифизической целостности данных системы; операционный мониторинг действийпользователей; статистический контроль активности пользователей; мониторингсистемных ошибок; контроль возникновения, анализ причины и сохранение контекстаошибок разработчика; конфигурация параметров системы: настройка на «владельцасистемы», настройка на специфику учета и организации хозяйственной деятельности,настройка системных параметров системы, настройка размещения данных).

Говоря о физической реализации выделенных логических блоков информационной системы ООО «Лазурит», следует отметить, что корпоративная информационная система строится как единый комплекспрограммно-технических и организационных решений, охватывающих все технологические, финансовые и хозяйственные процессы, и объединяя все подразделения в единое информационное пространство.

2.3 Оценка угроз и определения вероятности кражи информационных данных предприятия ООО «Лазурит»

Для оценки возможных угроз информационных данных ООО «Лазурит» (салон «Леонардо») рассмотрим схему помещения салона с размещением источников информационных систем.

Рисунок 2.5 - Схема помещения салон

Итак, как показывает рисунок 2.5. сеть внутри салона построена по топологии «Звезда» посредством портового коммутатора. Компьютер в основном помещении подключен беспроводным соединением, 3 компьютера в подсобном помещении через кабель. Сам коммутатор подключен кабелем к серверной торгового центра.

Далее с целью оценки вероятности кражи информационных данных предприятия ООО «Лазурит» применим математическую модель, представленную в п. 1.3.

Показательный закон для исследуемого объекта будет выглядеть следующим образом:

P(t)=1- =1 - =0,85 (2.1)

где t - время воздействия угроз на АИС ;

л - интенсивность воздействия;

P(t) - вероятность воздействия угрозы за промежуток времени ?t.Частные случаи, вытекающие из выражения (2.1):

если ?t > 0, тогда P(t)=0; если ?t > ?, тогда P(t)=1.

Как было показано выше, важной характеристикой потока событий является его интенсивность л- среднее число событий в единицу времени. Интенсивность потока л может быть постоянна (л=const) или переменна (л=var).

Построенная матрица содержит совокупность состояний, которые означают:

- состояние «0» - поток угроз за время не проявился;

- состояние «1», …,i , …,n - одна из угроз проявилась;

- состояние «n+1 » - неблагополучное поглощающее состояние, при котором угроза реализовалась.

Для определения вероятностей перехода АИС в каждое возможное состояние воcпользуемся системой дифференциальных уравнений Колмогорова, в соответствии с которыми можно написать.

=-P₀()ⁿ_i=2i+µ_iR_iP_i() =-1 = 0,87 ,

=_iP₀() µ_iP_i() = 0,40-0,33=0,07(2.2)

=ⁿ_i=1µ_iR_iP_i()=ⁿ_i=10,33·1 =0,33



Применяя к системе дифференциальных уравнений прямое преобразование Лапласа, получим следующие выражения для определения вероятностей:

-P₀(0)+SP₀(S)=-л₀P₀(S)+_iR_iP_i(S) = -1+0=-0,45·1+ =-0,12

-P_i(0)+SP_i(S)=л_iP₀(S)-µ_iR_iP_i(S) = 0+1=0,40·1-0,33=0,07, (2.3)

-P_n+1(0)+SP_n+1(S)=_iR_i(S) = -1+1= ,

где P_i(S)= _i(ф)e^-Stdф -искомое изображение.

При начальных условиях система уравнений примет вид:

(S+л₀)P₀(S)=_iR_i(S)=1,

-л_iP₀(S)+(S+µ_i)P_i(S)=0, (2.4)

-_iR_iP_i(S)+SP_n+i(S)=0.

Частные определители, полученные с помощью введения определителей по индукции, будут равны:

?₀(S)S+µ_l) = 1·+0,33) =1,33 ,

?_i(S)=Sл₀+ µ_l)= 0,40·+0,33) =0,53, (2.5)

?_n+1(S)=_iµ_iR_i+µ_l)]=0,45·0,33·1=0,14.

С учетом указанного и при условии, что с_j(S)=,с(S)=система уравнений примет вид:

P₀(S)====1,

P_i(S)====1, (2.6)

P_n+1(S)====1.

Окончательно с учетом (2.5) выражения (2.6.) примут вид:

= = 0,74

= 0,39

Пусть µ_i,т.е интенсивность парирования последствий i-го потока угроз равна интенсивности i-го потока угроз.

Тогда изображения вероятностей можно представить следующим образом:

.

Тогда с учетом нормированного условия , где P_j -вероятность нахождения АИС в i - м состоянии, можно записать, что конечная вероятность

P_БИ(ф) = =0,67. (2.9)

Таким образом, полученная вероятность угроз информационных данных по исследуемому объекту составляет 0,67 (67%), что означает достаточно высокий уровень риска в рамках коммерческой деятельности.

Для предотвращения существующих угроз и ликвидации недостатков существующей системы безопасности информационных данных в ООО «Лазурит» необходима разработка направлений совершенствования.



3. Разработка рекомендаций по совершенствованию системы информационной безопасности

3.1 Методы и средства защиты информации на предприятии

В настоящее время невозможно представить направление малого бизнеса, не использующее информационные технологии для проведения финансовых расчетов, организации документооборота, рекламы своей деятельности, поиска поставщиков и покупателей, реализации онлайн-сервисов, использования информации как объекта товарно-денежных отношений.

Однако существуют факторы, которые могут не только дезорганизовать работу любого предприятия или организации, но и остановить на какое-то время всю деятельность.

Киберпреступники в последнее время большое внимание уделяют малому бизнесу, считая его сферой более легкого получения информации о персональных данных сотрудников и средств с банковских счетов работников и предприятия.

...