Сетевые станции (персональные компьютеры, сетевые принтеры) подключаются к сети по каналам Ethernet. При этом каждая станция подключается непосредственно к одному из портов Ethernet-коммутатора.
К коммутатору 1 подключается сервер баз данных.
К одному из портов Ethernet коммутатора 2 подключается многопротокольный модульный маршрутизатор Cisco 3640. В его конструктив установлен модуль с интерфейсами Ethernet - два порта (Интерфейсы Ethernet предназначены для подключения к ЛВС организации) и два порта с последовательными интерфейсами. Управляется с помощью универсального программного обеспечения Cisco IOS, которое поддерживает протоколы локальных и глобальных сетей, оптимизирует работу с глобальными сетями, контролирует межсетевой доступ и возможность осуществления маршрутизации между VLAN-ами и управление потоками трафика. Имеется поддержка PPP как для входящих (dialin), так и для исходящих (dialout) соединений. Также в программное обеспечение, поставляемое вместе с маршрутизатором, добавлена опция обеспечения безопасности данных, передаваемых по WAN - интерфейсам. В настоящее время обеспечивается безопасность данных, передаваемых по протоколу IP.
Для осуществления мониторинга сети используется SNMP-адаптеры, подключенные к SuperStack II PS Hub. Повторитель в свою очередь подключен к каждому из коммутаторов и маршрутизатору. Мониторинг осуществляется по протоколу SNMP.
2.2. Информационные ресурсы (классификация объектов)
Данные, с которыми работают сотрудники организации ООО «КРГ», относятся к конфиденциальным, поскольку несут действительную коммерческую ценность в силу неизвестности и не владения ею третьими лицами. Ниже перечислены все данные, которые будут создаваться, использоваться и храниться в разрабатываемой системе.
Общая информация по основным объектам МГ и ГРС (адрес, управленческий состав на объекте, телефоны);
Информация по техническим характеристикам основных объектов МГ и ГРС;
Информация по техническим характеристикам основных устройств МГ и ГРС;
Информация по событиям (авариям/ремонтным работам);
Графическое представление объектов и устройств МГ и ГРС в виде схем различного типа (хранятся в файлах):
5.1 Общая схема подключения основных объектов и устройств МГ;
5.2 Схемы узлов подключения газа (по различным объектам, расположенным на общей схеме МГ, за исключением тех, для которых предусматриваются специализированные схемы);
5.3 Схемы месторождений;
5.4 Технологические схемы ГРО;
5.5 Технологические схемы Трансгазов;
5.6 Схема низких сетей (схемы ГРС);
5.7 Технологические схемы подключения потребителей (по каждому – основные и резервные схемы).
Поскольку данные, описывающие стратегические расположения и реальные физические наименования объектов и устройств газопровода и газораспределительной сети относятся к государственной тайне, было принято решение в рамках дипломного проекта использовать только аббревиатуры объектов. Использование реальных географических координат при разработке системы не требуется, так как для ОДС важным является условное расположение объектов с основными техническими характеристиками, а также способы подключения потребителей газа.
Каждый из объектов информационной системы имеет свой жизненный цикл, который состоит из следующих стадий:
создание объекта субъектом;
хранение объекта;
передача объекта от хранилища к месту обработки и обратно;
обработка объекта (создание нового объекта, его модификация и удаление).
В соответствии с данным жизненным циклом можно определить основные действия с объектом:
хранение объекта;
передача объекта;
обработка (создание, модификация, уничтожение) объекта.
2.3. Пользователи ИС (классификация субъектов)
Генеральный директор организации ООО «Комирегионгаз» - осуществление общего контроля деятельности предприятия, в частности контроля деятельности оперативно-диспетчерской службы. То есть субъект, использующий объекты;
Системный администратор – внедрение ИС в информационную структуру организации, настройка возможностей взаимодействия с другими программными продуктами, в частности, контроль правильности функционирования системы. То есть субъект, администрирующий объекты (обеспечивающий среду работы с объектами);
Начальник ОДС – использование ИС, контроль правильности и своевременность наполнения. То есть субъект, создающий, использующий и контролирующий использование объектов объекты;
Диспетчера ОДС (сменные) – непосредственное наполнение БД, создание схем, использование в производственном процессе, формирование отчетов. То есть субъекты, создающие и использующие объекты.
2.4. Класс безопасности
Все классы оценки автоматизируемых систем разделяют на 3 группы, которые различаются особенностями обработки и хранения информации.
Разработанная система является многопользовательской в плане одновременного доступа нескольких пользователей к ней, поскольку одновременно с системой могут работать генеральный директор организации, администратор системы, начальник диспетчерской службы и диспетчера ОДС. При этом все права доступа и возможные действия строго разграничены между пользователями. Следовательно, разрабатываемую ИС необходимо отнести к 3 группе. При этом информация, обрабатываемая и хранящаяся в системе, является конфиденциальной, а, следовательно, к ней необходимо применить класс защиты 1Г (или С2 – по «Оранжевой книге»).
2.5. АО и ПО, достаточное для функционирования ИС
Сервер:
АО: - промышленный сервер
объем оперативной пaмяти – 2 Gb;
винчестер (HDD) – 1000 Gb;
сетевой интерфейс
ПО: - операционная система - Microsoft Advansed Server 2000;
СУБД – SQL Server 2000;
Клиент:
АО: - компьютер на базе Intel Pentium-IV 2000 Mhz;
объем оперативной памяти – 512 Мb;
винчестер (HDD) - 60 Gb;
монитор SVGA с разрешением не ниже 1024х768;
сетевой интерфейс
ПО: - операционная система - Windows XP;
офисный пакет программ - Microsoft Office XP;
программный продукт «AutoCAD 2000»;
антивирусная программа «DrWeb 4.32b».
3. Управление рисками. Экономический аспект
Как правило, представления потребителя о безопасности информационных технологий в конечном счете сводятся в основном к времени простоя информационной системы, а точнее к времени ее восстановления. При этом ему приходится учитывать все возможные причины сбоев. В результате, явно или неявно, расходы предприятий на информационные технологии всегда включают и расходы на обеспечение их безопасности. Следует отметить, что применяемые в каждом конкретном случае средства (и соответствующие расходы) адекватны риску: чем больше предполагаемые потери предприятия от простоя той или иной информационной системы, тем дороже обходятся превентивные меры безопасности.
Поэтому необходимо количественно оценить риски простоев при потере (полной/частичной) информации и при сбоях работы системы.
Сотрудники ОДС ООО «КРГ» осуществляют оперативное управление газоснабжением потребителей, осуществляя ежеминутную непрерывную работу по сбору и обработке информации по реализации газа. У ООО «КРГ» заключено порядка 500 договоров на подачу газа другим промышленным и частным предприятиям, а также договора с населением. Соответственно, простой в работе предприятия из-за сбоев в системе может принести ущерб около 100 тыс. руб. в день, начиная со второго дня простоя, а процесс восстановления работоспособного состояния порядка 5 тыс. руб. в день.
Следует учесть информацию конфиденциального характера (данные по объектам газопровода, их технические характеристики, персональные данные потребителей и т. д.), разглашение которой может в еще большей степени увеличить ущерб в связи с возможными последствиями. В лучшем случае будут предъявлены иски от предприятий-потребителей на суммы в среднем 10 тыс. руб. о разглашении данных, являющихся их коммерческой тайной, а отсюда ущерб репутации и негативное общественное мнение. Потеря доверия клиентов является очень серьезным убытком для любого предприятия. Но нельзя исключить и самые глобальные последствия, возможные при разглашении данных ввиду неспокойного положения в стране, связанного с террористическими актами. В результате ущерб может вылиться в очень большую сумму из учета восстановления последствий.
Будем рассматривать только затраты, связанные со сбоями в работе системы и её восстановлении, а также возможные предъявленные иски от предприятий-потребителей.
Для обеспечения защиты системы от сбоев необходимо выявить возможные точи отказа:
Рабочая станция диспетчера (поскольку отказ в работе машин начальника ОДС, администратора системы и генерального директора не так критичны относительно выполнения основного бизнес-процесса);
Сервер;
Коммуникации.
Утечка информации может произойти:
Использование съемных носителей.
Вирусы.
Выход в Интернет без поддержания требуемого уровня безопасности.
Использование нелицензионного ПО.
Примерная сумма ущерба при простоях за 2 дня может составить:
100 тыс. руб. (упущенная выгода) + 10 тыс. руб. (работа по восстановление системы) = 110 тыс. руб.
Примерная сумма ущерба при предъявлении исков на разглашение информации от 50 предприятий потребителей:
10 тыс. руб.*50 = 500 тыс. руб.
4. Процедуры информационной безопасности
4.1 Законодательные меры (ЗМ)
При создании политики безопасности необходимо учитывать положения Конституции, Уголовного, Процессуального, Гражданского и Трудового кодексов и других законов. Поэтому целесообразно выделить те государственные законы, указы и постановления, под которые попадает разрабатываемая система.