Разработка проекта совершенствования системы защиты конфиденциальной информации организации

Она оптимизирует закупки, отслеживает статус заказов и минимизирует риск ошибок при вводе данных. Также СБИС может обмениваться данными с 1С, что упрощает процесс ведения документооборота.ПАО «Северсталь» пользуется программой для работы с тендерами – FindTenders. Необходимо отметить, что это информационный ресурс, который предоставляет возможности поиска тендеров и дальнейшего управления ими в пределах сайта. На всех компьютерах в обязательном порядке установленSkype. Он в основном используется для коммуникаций между отделами, филиалами. Также, необходимо не отметить продукты MicrosoftOffice, которые установлены на предприятии и используются для формирования документов различного назначения.Работы по обеспечению информационной безопасности проводятся централизованно, на всех этапах жизненного цикла информационных систем и основываются как на требованиях законодательства Российской Федерации, так и на лучших международных стандартах и практиках.В организации выбран централизованный подход к обеспечению информационной безопасности. Стандарты, регламенты, требования к ИТ-инфраструктуре и системе защиты информации разработаны централизованно и едины для всех территориальных подразделений.Все создаваемые информационные системы проходят аудит на соответствие требованиям информационной безопасности, что позволяет обеспечить безопасную архитектуру систем. Контроль на соответствие предъявляемым требованиям уже эксплуатируемых систем обеспечивается как внутренним, так и внешним аудитом, а также проверками регуляторов в области информационной безопасности. В 2020 году проведен аудит информационной безопасности (тест на проникновение) внешней компанией. Были разработаны дистанционные курсы «Электронная подпись» и «Повышение осведомленности ИТ-специалистов в вопросах обеспечения информационной безопасности при эксплуатации и администрировании информационных систем». В заключаемые договоры с контрагентами вносятся требования по защите персональных данных в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», а также требования по защите конфиденциальной информации.Доступ к базам данных и файлам предполагает: ― руководитель должен рекламировать состав работников, допущенных к конфиденциальным базам данных (далее БД) и файлам, а администратор базы данных контролировать систему доступа; ― учёт состава БД и файлов; ― фиксацию имен пользователей и операторов в памяти компьютера, имеющих доступ к ним, наименование БД и файлов;― регистрация попытки при несанкционированном входе в БД; регистрацию ошибок, совершенных пользователем, автоматическую передачу сигнала тревоги охране и автоматическое выключение компьютера.Коды, пароли, ключи, ключевые слова, шифры, а также специальные программные продукты и аппаратные средства, то есть атрибуты системы защиты информации в ЭВМ разрабатываются, меняются специализированной организацией. Далее сотрудник данной фирмы или системный администратор персонально сообщает каждому пользователю. Не допускается применять пользователю своих кодов2.3. Разработка проекта мероприятий направленных на повышение безопасности информации организацииНедостаточная квалификация кадров, слабая система обучения и подготовки, неэффективная система мотивации, некачественная проверка кандидатов при приеме способны существенно повлиять на организацию безопасности в ПАО «Северсталь».Наиболее адекватным механизмом по контролю звеньев управления и различных аспектов функционирования организации, реализуемым специалистами независимого контрольного органа в целях помощи менеджменту компании является внутренний аудит. Внедрение этой структуры в систему управления безопасностью организации позволяет менеджменту предпринять профилактические меры, помогает заранее выявить ошибки, недочеты и уязвимые места в построении системы безопасности, может использоваться в качестве меры объективного контроля лояльности и профессионализма персонала организации.В настоящий момент основная функция контроля над организацией безопасности возложена на начальников отделов. Они являются связующим звеном, между требования поступающими от вышестоящего руководства и ключевыми звеньями организации – отделами.Основная работа по организации безопасности на данный момент проводится один раз в год, посредством проведения производственных проверок отделения. В регламенте организации разработан чек лист проверки и проводимые мероприятия по выявленным нарушениям.Однако ключевым моментом является тот факт, что вследствие невысокой укомплектованности штата организация мероприятий по устранению нарушений носит формальный характер – сотрудникам повторно отправляются инструкции в электронном виде.В целях решения подобной проблемы необходима разработка регламента, в котором будет последовательно указана система мероприятий внутреннего аудита по предупреждению нарушений в системе безопасности ПАО «Северсталь». Представим данную систему мероприятий на рисунке 2.3.Рисунок 2.3 - Система мероприятий внутреннего аудита по предупреждению нарушений в системе безопасностиПредставленная на рисунке 2.3 система мероприятий внутреннего аудита по предупреждению нарушений в системе безопасности базируется на последовательной реализации мероприятий по выявлению фактов нарушений системы безопасности, принятии ответных мер и разработке на будущее защитных механизмов.Только результат такой синергии дает реальную оценку безопасности и приводит к выработке действенного плана мероприятий по управления выявленными нарушениями в системе безопасности, становясь, в том числе отдельным инструментом менеджмента.Проведем календарное планирование проекта. Перечень работ и их основное содержание представим в таблице 2.4Таблица 2.4 - Перечень и характеристика основных работ по проектуШифрработыПредшествующаяработаСодержание работыПродолжительность, неделиАОпределение целей, состава работ и участников2БАРазработка регламента3ВАИзучение возможности информирования сотрудников1ГБФормирование локальных нормативных актов3ДВ, ГПроведение обучения по новой системе безопасности3ЕДОзнакомление сотрудников с документацией под роспись1Представим календарное планирование в виде сетевого графика на рисунке 2.4Рисунок 2.4. Сетевой график инновационного проектаОбщее время выполнения проекта составляет 12 недель.Сформируем карту качества проекта в таблице 2.5Таблица 2.5 - Карта качества проектаОжидаемые результатыКритерии достиженияПовышение качества безопасностисоответствие проекту увеличения безопасности;соответствие ожиданиям сотрудников;стимулирование сотрудников на высокоэффективную работу.Методическое обеспечениесоответствие требованиям законов;полнота и комплексность созданных локально – нормативных актов.ЗАКЛЮЧЕНИЕВ любой крупной организации (школа, офис, банк и т.д.) должен быть системный администратор, который обслуживает компьютеры, сеть интернет, учетные записи пользователей и т.д. Обычно именно он и отвечает за информационную безопасность в организации. В крупных компаниях принято использовать сеть с доменом, чтобы каждый пользователь имел свою учетную запись с индивидуальным логином и паролем и не мог получить доступ к данным. Системный администратор обеспечивает безопасный доступ в сеть интернет, блокирует доступ к подозрительным сайтам, следит за обновлениями программного обеспечения, защищает внутреннею сеть организации от хакерских атак.Для обеспечения информационной безопасности используются различные программно-технические способы и средства. Например: средства авторизации, системы резервного копирования, межсетевые экраны, шифрование данных, цифровая подпись, сертификаты и многое другое. Про каждое из этих средств можно говорить много, но все эти средства имеют одну главную цель, это обеспечение информационной безопасности.Информационная безопасность это огромное направление, которое можно долго изучать и говорить о нем, главное быть внимательными, не разглашать свои личные данные и хранить их в безопасном месте.Управление рисками в области безопасности в ПАО «Северсталь» должно протекать обоснованно, с использованием результатов оценки угроз и при учете возможностей по реализации мероприятий по их устранению. Существует множество видов рисков, каждый из которых необходимо оценивать, устранять и контролировать своими, специфическими методами, что требует высокого профессионализма персонала организации и исследования.Таким образом, оценка, учет и предвидение отдельных рисков в деятельности ПАО «Северсталь» позволит повысить эффективности политики безопасности организации.