Глава 2. Выявление угроз безопасности информации исследуемого объекта
2.1. Определение информационных потоков и информации, циркулирующей в организации
На данном предприятии имеем штат сотрудников в количестве 4 человека:
Руководитель предприятия.
Бухгалтер.
Провизор (Старший фармацевт).
Маркировщик товара.
Проанализировав деятельность фирмы, была составлена следующая схема информационных потоков между сотрудниками фирмы.
Рис. 3. Схема информационных потоков
Таблица 2. Описание информационных потоков
№ |
Название потока |
Сведения содержащиеся в потоке |
Канал передачи |
Канал утечки |
1 |
Руководитель → Бухгалтер |
Сведения об экономической деятельности предприятия (доходы, расходы, кредитные обязательства); Сведения о заработной плате сотрудников; Сведения об оплате счетов партнеров. |
Вещественный |
Визуально-оптический канал (при передаче документов); Материально-вещественный канал. |
2 |
Бухгалтер → Руководитель |
Отчет об экономической деятельности предприятия; Отчет о зарплате сотрудников в виде справки 2НДФЛ; Второй экземпляр расчета по начисленным и уплаченным страховым взносам на обязательное пенсионное страхование в Пенсионный фонд Российской Федерации, страховым взносам на обязательное медицинское страхование в федеральный фонд обязательного медицинского страхования и территориальные фонды обязательного медицинского страхования плательщиками страховых взносов, производящими выплаты и иные вознаграждения физическим лицам с отметкой о принятии отчета; Второй экземпляр расчета по начисленным и уплаченным страховым взносам на обязательное социальное страхование на случай временной нетрудоспособности и в связи с материнством и по обязательному социальному страхованию от несчастных случаев на производстве и профессиональных заболеваний, а также по расходам на выплату страхового обеспечения с отметкой о принятии отчета.
|
Вещественный |
Визуально-оптический канал (при передаче документов); Материально-вещественный канал. |
3 |
Руководитель → Провизор |
Организационно правовые запросы (приказы, распоряжения); Запрос о выполнении рабочих показателей; Направления на обучение, повышение квалификации; Меры взыскания. |
Вещественный |
Визуально-оптический канал (при передаче документов); Материально-вещественный канал. |
№ |
Название потока |
Сведения содержащиеся в потоке |
Канал передачи |
Канал утечки |
4 |
Провизор → Руководитель |
Отчеты о выполнении приказов, распоряжений; Отчеты (справки) о прохождении обучения, повышения квалификации, переквалификации; Заявления (отпуск, увольнение, выдача формы); Отчет о выполненной работе.
|
Вещественный |
Визуально-оптический канал (при передаче документов); Материально-вещественный канал. |
5 |
Провизор → Бухгалтер |
Запрос об оплате счетов партнерами; Запрос справок; Инкассация. |
Вещественный |
Визуально-оптический канал (при передаче документов); Материально-вещественный канал. |
6 |
Бухгалтер → Провизор |
Отчет об оплате счетов клиентами; Выдача справок; Инкассационная ведомость. |
Вещественный |
Визуально-оптический канал (при передаче документов); Материально-вещественный канал. |
7 |
Поставщик → Руководитель |
Приходная накладная со счетами фактурами (2 экземпляра); Протокол согласования цен (цена поставщика, НДС, розничная цена). |
Электронный Вещественный |
Визуально-оптический канал (при создании и передаче документов); Материально-вещественный канал; Акустический канал (при переговорах с поставщикам). |
8 |
Руководитель → Поставщик |
Накладная со счетами фактурами (один экземпляр с подписью руководителя); Второй экземпляр протокола согласования цен с отметкой о принятии. |
Вещественный |
Визуально-оптический канал (при передаче документов); Материально-вещественный канал; Акустический канал (при переговорах с поставщикам). |
9 |
Клиент → Провизор |
Рецепты на получение сильнодействующих лекарственных средств. |
Вещественный |
Материально-вещественный канал. |
10 |
Провизор → Клиент |
Чек об оплате. |
Вещественный |
Материально-вещественный канал. |
11 |
Бухгалтер → Налоговая |
Подоходный налог; Страховые взносы; Единый вмененный налог.
|
Вещественный |
Визуально-оптический канал (при передаче документов); Материально-вещественный канал. |
№ |
Название потока |
Сведения содержащиеся в потоке |
Канал передачи |
Канал утечки |
12 |
Бухгалтер → Банк |
Платежные поручения. |
Вещественный |
Визуально-оптический канал (при передаче документов); Материально-вещественный канал. |
13 |
Банк → Бухгалтер |
Выписку с приложением вторых экземпляров платежных поручений. |
Вещественный |
Визуально-оптический канал (при передаче документов); Материально-вещественный канал. |
14 |
Бухгалтер → Пенсионный фонд |
Расчет по начисленным и уплаченным страховым взносам на обязательное пенсионное страхование в Пенсионный фонд Российской Федерации, страховым взносам на обязательное медицинское страхование в федеральный фонд обязательного медицинского страхования и территориальные фонды обязательного медицинского страхования плательщиками страховых взносов, производящими выплаты и иные вознаграждения физическим лицам (один раз в квартал). |
Электронный Вещественный |
Визуально-оптический канал (при создании и передаче документов); Материально-вещественный канал. |
15 |
Пенсионный фонд → Бухгалтер |
Второй экземпляр расчета по начисленным и уплаченным страховым взносам на обязательное пенсионное страхование в Пенсионный фонд Российской Федерации, страховым взносам на обязательное медицинское страхование в федеральный фонд обязательного медицинского страхования и территориальные фонды обязательного медицинского страхования плательщиками страховых взносов, производящими выплаты и иные вознаграждения физическим лицам с отметкой о принятии отчета. |
Электронный Вещественный |
Визуально-оптический канал (при создании и передаче документов); Материально-вещественный канал. |
16 |
Бухгалтер → Социальное страхование |
Расчет по начисленным и уплаченным страховым взносам на обязательное социальное страхование на случай временной нетрудоспособности и в связи с материнством и по обязательному социальному страхованию от несчастных случаев на производстве и профессиональных заболеваний, а также по расходам на выплату страхового обеспечения (один раз в квартал). |
Вещественный |
Визуально-оптический канал (при передаче документов); Материально-вещественный канал. |
№ |
Название потока |
Сведения содержащиеся в потоке |
Канал передачи |
Канал утечки |
17 |
Социальное страхование → Бухгалтер |
Второй экземпляр расчета по начисленным и уплаченным страховым взносам на обязательное социальное страхование на случай временной нетрудоспособности и в связи с материнством и по обязательному социальному страхованию от несчастных случаев на производстве и профессиональных заболеваний, а также по расходам на выплату страхового обеспечения с отметкой о принятии отчета. |
Вещественный |
Визуально-оптический канал (при передаче документов); Материально-вещественный канал. |
18 |
Руководитель → Маркировщик товара |
Протокол согласования цен (цена поставщика, НДС, розничная цена), для создания ценников.
|
Вещественный |
Визуально-оптический канал (при передаче документов); Материально-вещественный канал. |
19 |
Маркировщик товара→ Руководитель |
Возврат протокола согласования цен (цена поставщика, НДС, розничная цена). |
Вещественный |
Визуально-оптический канал (при передаче документов); Материально-вещественный канал. |
Как видно из таблицы 2 в основном это бумажные и электронные документы, а также речевая информация, содержащаяся в беседах сотрудников и телефонных разговорах. Вся документация имеющая ценность для организации хранится в кабинете руководителя.
В ходе исследования информационных потоков данной организации были выявлены угрозы информационной безопасности, реализуемые через каналы утечки информации. Наиболее опасными каналами утечки информации являются: визуально-оптический, материально вещественный и акустический. Конкретные объекты утечки информации по выявленным каналам рассмотрены в таблице 3.
Таблица 3. Каналы утечки информации с объекта защиты
№ |
Тип канала утечки информации |
Реализация канала утечки |
1 |
Визуально-оптический канал |
Окно кабинета руководителя выходящего на проезжую часть |
Окно кабинета руководителя выходящего во внутренний двор аптеки |
||
2 |
Материально-вещественный канал |
Документы на бумажных носителях |
Персонал предприятия |
||
Производственные отходы |
||
3 |
Акустический канал |
Стены помещения |
Батареи |
||
Окна контролируемого помещения |
Для информации, угрозы которой могут быть реализованы по выявленным каналам утечки данных, может быть рассчитана цена элемента информации (смотри таблицу 4).
Считается, что цена элемента информации может быть определена двумя способами – методом экспертных оценок и по формулам.
Определение цены элемента информации методом экспертных оценок может осуществляться, если известен ущерб, который будет причинен фирме в случае утечки этой информации. При этом вид и объем информации не влияют на эту цену.
Цена элемента информации может вычисляться по формуле, учитывающей объем информации и цену единицы ее объема.
В расчете цены элемента информации, размещенного на электронном носителе будем использовать формулу [16, с. 125]:
C = V · S, где:
C – цена элемента информации.
V – объем информации в Кб.
S – условная цена единицы информации.
В расчете цены элемента информации, размещенного на бумажном носителе воспользуемся формулой:
C = 2.5· V · S, где:
C – цена элемента информации.
V – объем информации в страницах.
S – условная цена единицы информации.
Условная цена единицы информации для данной организации составляет 1000 рублей.
Таблица 4. Расчет цены информации в организации
№ |
Наименование элемента информации |
Место нахождения источника информации |
Объем в Кб |
Объем в стр. |
Вид расчета (Ф -формула; Э -экспертная оценка) |
Цена элемента информации |
1 |
Бюджет фирмы |
Стол с компьютером руководителя, шкаф в кабинете руководителя |
0 |
350 |
Ф |
875000 |
2 |
Денежные операции (финансы) |
Стол, шкаф в кабинете руководителя |
550 |
0 |
Ф |
550000 |
№ |
Наименование элемента информации |
Место нахождения источника информации |
Объем в Кб |
Объем в стр. |
Вид расчета (Ф -формула; Э -экспертная оценка) |
Цена элемента информации |
|
3 |
Личные сведения о сотрудниках фирмы |
Стол, шкаф в кабинете руководителя |
0 |
80 |
Ф |
200000 |
|
4 |
Сведения о заработной плате работников |
Стол с компьютером в кабинете руководителя |
0 |
40 |
Ф |
100000 |
|
5 |
Место хранения реализуемой продукции |
Складское помещение организации |
0 |
30 |
Ф |
75000 |
|
6 |
Экономические прогнозы |
Компьютер, шкаф в кабинете руководителя |
600 |
0 |
Э |
300000 |
|
7 |
Стратегия действия на рынке |
Стол с компьютером, шкаф в кабинете руководителя |
0 |
100 |
Ф |
250000 |
|
8 |
Безопасность предприятия |
Стол в кабинете руководителя |
0 |
90 |
Ф |
225000 |
|
9 |
Каналы приобретения медицинских препаратов |
Стол с компьютерам, шкаф в кабинете руководителя |
0 |
250 |
Ф |
625000 |
|
10 |
Сведения о партнёрах |
Стол с компьютерам, шкаф в кабинете руководителя |
50 |
0 |
Ф |
50000 |
|
11 |
Сведения об экономическом состоянии фирмы |
Стол с компьютером, шкаф в кабинете руководителя |
400 |
0 |
Э |
400000 |
|
В результате чего защищаемая информация была представлена в виде отдельных элементов информации. Была рассчитана цена элемента информации, основанная на объеме информации в организации. Из этого можно сделать вывод, о том какая информация наиболее важна для организации.