Введение…………………………………………………………………….……3

Глава 1. Актуальность проведения модернизации ИС………………………..4

1. Актуальность проведения модернизации информационной системы………………………………………………………….………………..4

Глава 2. Исследование существующей ИС ЗАО "ТюмБит"….………………6

2. Исследование существующей информационной системы…………….…...6

2.1. Персональные данные………………………………………………..8

2.2. Модель угроз………………………………………………………....16

2.3. Модель нарушителя………………………………………………….19

2.4. Существующие средства защиты……………………………….......20

Глава 3. Анализ рисков. Разработка комплекса мероприятий по модернизации существующей системы ИБ……………………………………20

3. Анализ рисков……………………………………………………………..…20

3.1. Метод оценки информационных рисков………………………........21

3.2. Определение стоимости информационных ресурсов……………...21

3.3 Расчет значения вероятности реализации угроз, действующих через уязвимость………………………………………………………………………..22

3.4 Анализ и оценка ущерба……………………………………………...22

3.5. Выявленные недостатки……………………………………………..23

3.6 Мероприятия по снижению информационных рисков…………….24

3.7 Расчет необходимых затрат на усовершенствование информационной безопасности……………………………………………….32

Заключение………………………………………………………………………34

Список используемой литературы…………………………………………….35

Приложение 1: Инструкция по проведению антивирусного контроля на автоматизированном рабочем месте

Приложение 2: Инструкция администратора

Приложение 3: Инструкция по работе со съемными носителями информации.

В дипломной работе проводится проверка и модернизация защиты информационной системы по работе с персональными данными отдела кадров.

ЗАО ТюмБит - это компания работающая в сфере информационных технологий и консалтинга.

Существует несколько основных направлений:

1. Консалтинг

2. Автоматизация предприятия

3. IT-инфраструктура

4. Гарант

Актуальность дипломной работы определяется проблемой информационной безопасности. Сегодня успешная бизнес-деятельность компаний напрямую зависит от системы защиты информации. Это можно объяснить увеличением обрабатываемых конфиденциальных данных в корпоративной информационной системе. Сегодня на рынке безопасности есть достаточно средств по обеспечению информационной безопасности. Многие компании, постоянно изучающие рынок информационной безопасности, видят, что ранее вложенные средства не принесли желаемого результата, например по причине старения оборудования или программного обеспечения.

Есть два варианта решения данной проблемы:

1. Замена старого оборудования

2. Модернизация существующей системы безопасности.

Первый вариант требует больших капиталовложений, а последний является менее затратным, но требует решения ряда вопросов, таких как: совместимости старого оборудования с новым и как обеспечить централизованное управление модернизированной системы в которой есть и старые и новые аппаратно-программные средства.

Обследование автоматизированной системы предприятия позволяет оценить текущую безопасность корпоративной информационной системы и правильно подойти к вопросу обеспечения безопасности.

Целью данной работы является усовершенствование информационной системы по работе с персональными данными в отделе кадров ЗАО ТюмБит.

Из поставленной цели вытекают следующие задачи:

1. Проведение обследования АС на предприятии

2. Построение модели угроз

3. Усовершенствовать систему по работе с персональными данными в соответствии с законно ФЗ №152 "О персональных данных".

Объектом исследования является информационная система по работе с персональными данными отдела кадров ЗАО ТюмБит.

Предметом исследования являются программно-аппаратные средства и организационные методы защиты персональных данных.

Теоретической основой дипломной работы является использование информации в содержании закона ФЗ №152 "О персональных данных".

Практическая значимость работы заключается в том, что ее результаты помогут повысить степень защиты персональных данных предприятия путём предложенных методов модернизации информационной системы по работе с персональными данными.

Законодательство РФ

1. Закон РФ от 27 ноября 1992 г. № 4015-I "Об организации страхового дела в Российской Федерации"

2. Федеральный закон от 27 июля 2006 года № 149-ФЗ "Об информации, информационных технологиях и о защите информации"

3. Указ Президента РФ от 6 марта 1997 г. № 188 "Об утверждении перечня сведений конфиденциального характера";

4. ФЗ от 27 июля 2006 г. № 152-ФЗ "О персональных данных";

5. Постановление Правительства РФ от 17 ноября 2007 г. № 781, утверждающее "Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных";

6. Совместный приказ от 13 февраля 2008 г. № 55/86/20 ФСТЭК, ФСБ, Мининформсвязь, утверждающий "Порядок проведения классификации информационных систем персональных данных";

7. Кодекс Российской Федерации об административных правонарушениях от 30 декабря 2001 года № 195-ФЗ (с изменениями и дополнениями от 30 июня 2003 г. №86-ФЗ);

8. Уголовный кодекс Российской Федерации от 13 июня 1996 года № 63-ФЗ (с изменениями и дополнениями от 8 декабря 2003 г. №162-ФЗ);

Документы ФСТЭК России:

9. "Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных";

10. "Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных";

11. "Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных";

12. "Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных";

13. Руководящий документ. Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации

14. Руководящий документ. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации

15. Руководящий документ. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации

16. Руководящий документ. Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа. Показатели защищенности от несанкционированного доступа к информации

17. ГОСТ Р ИСО/МЭК 15408 2002. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий.

18. ГОСТ Р ИСО/МЭК 17799-2005 Информационная технология. Практические правила управления информационной безопасностью

от 19 июня 2002 года № 187

Примечаний нет.