Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 3)

Перечень субъектов, персональные данные которых обрабатываются в отделе:

-работников АО "АК "ЖДЯ"

-пользователей услуг АО "АК "ЖДЯ"

-физических лиц, состоящих в договорных и иных гражданско-правовых отношениях с АО "АК "ЖДЯ"

Отдел в своей деятельности обрабатывает следующий перечень персональных данных:

1.персональные данные работников АО "АК "ЖДЯ"

-фамилия;

-имя;

-отчество;

-пол;

-дата рождения;

-место регистрации и фактического проживания;

-место рождения;

-сведения об образовании;

-сведения о неоконченном образовании;

-сведения о состоянии в браке;

-сведения о воинском учете;

-дата прохождения аттестации;

-решение комиссии об аттестации;

-даты начала и окончания обучения;

-вид повышения квалификации;

-наименование учебного заведения;

-вид документа о повышении квалификации;

-данные об отпусках;

-гражданство;

-данные о детях;

-сведения о знании языков;

-расчетный счет;

-номер страхового свидетельства государственного пенсионного страхования;

-СНИЛС;

-ИНН;

-реквизиты документа о присвоении квалификационной категории;

-профессия по штатному расписанию;

-табельный номер;

-должность;

-объем работы по занимаемой должности;

-подразделение;

-разряд;

-характер работы;

-вид работы;

-стаж работы;

-основание исчисления стажа;

-ставка;

-тип документа, удостоверяющего личность;

-реквизиты документа, удостоверяющего личность;

-расчетный счет;

-место работы;

-страховой стаж;

-оклад;

-начисления;

-средний заработок;

-дата приема на работу;

-дата увольнения;

-дата выхода на пенсию;

-льготы;

-пособия.

Персональные данные пользователей услуг АО "АК "ЖДЯ":

- фамилия, имя, отчество;

-дата рождения;

-место рождения;

-вид и номер документа, удостоверяющего личность, по которому приобретается проездной документ (для несовершеннолетних - свидетельство о рождении или его нотариально заверенная копия);

-пункт отправления, пункт назначения, вид маршрута следования (беспересадочный, транзитный);

-дата поездки.

В соответствии с программами поощрения пользователей услуг АО "АК "ЖДЯ" дополнительно обрабатываются следующие персональные данные:

-пол;

-дата и место рождения;

-контактный телефон;

-адрес электронной почты;

-полный почтовый адрес участника программы;

-гражданство;

-индивидуальный номер налогоплательщика.

3.персональные данные физических лиц, состоящих в договорных и иных гражданско-правовых отношениях с АО "АК "ЖДЯ":

-фамилия;

-имя;

-отчество;

-ИНН;

-СНИЛС;

-банковский счет.

4.5.Связь ИСПДн отдела с другими организациями

Организации, с которыми отдел осуществляет обмен информацией:

• ИФНС, ПФР, ФСС (обмен осуществляется в электронном зашифрованном виде);

В УФК РФ по Республике Саха (Якутия), данные формируются посредством ПО «АРМ Клиента СЭД». Сформированный отчет, содержащий персональные данные субъектов ПДн шифруется при помощи программы «КриптоПро CSP» и подписывается ЭЦП главного бухгалтера или директора компании. ПК «Континент-АП» формирует защищенный канал связи, по которому происходит обмен информацией.

В отделения ФТС, ПФР, ФСС данные формируются и передаются посредством ПО «СБиС++ Электронная отчетность и документооборот». Сформированный отчет, содержащий персональные данные субъектов ПДн шифруется при помощи программы «КриптоПро CSP» и подписывается ЭЦП главного бухгалтера или директора компании.

С иными юридическими или физическими лицами обмен данными осуществляется исключительно на бумажных носителях.

4.6. Беспроводная сеть, применяемая в отделе бухгалтерского учета и отчетности.

Беспроводная сеть отдела организованна на базе стандарта IEEE 802.1 (Wi-Fi). Топология применяемой сети Basic Service Set (BSS), BSS - это группа станций, связывающихся одна с другой. Технология BSS предполагает наличие особой станции, которая называется точка доступа AP (Access Point). Точка доступа - это центральный пункт связи для всех станций BSS. Клиентские станции не связываются непосредственно одна с другой. Вместо этого они связываются с точкой доступа, а уже она направляет кадры к станции-адресату. В таблице 4.6 представлены сегменты беспроводной сети.

Таблица 4.6. Сегменты беспроводной сети.

4.6.1. Оценка дальности распространения сигнала беспроводной сети.

Для оценки дальности распространения сигнала беспроводной сети, была применена программа TamoGraphSiteSurvey версии 4.1.

С помощью программы построена карта распространения радиосигнала (потерь радиосигнала).

На рисунке 4.6.1 представлена построенная с помощью программы TamoGraphSiteSurvey карта распространения радиосигнала.

Рисунок 4.6.1 Карта распространения радиоволн.

Из представленной карты видно, что уровень сигнала на прилежащей территории отображен преимущественно зеленым цветом, что соответствуют уровню сигнала выше среднего. На неохраняемой парковки отображен преимущественно желтый и оранжевый цвет, что соответствует уровню сигнала средний и ниже среднего. На территории парка, уровень сигнала отображен преимущественно темно оранжевый, что соответствует низкому уровню сигнала. Из этого можно сделать вывод, что уровень сигнала за приделами контролируемой зоны, является достаточным для подключения к сети.

4.7.Структура обработки ПДн

Автоматизированная обработка иных категорий ПДн работников, физических лиц, состоящих в договорных и иных гражданско-правовых отношениях с компанией осуществляется на 5 АРМ и одном сервере БД в следующих программных комплексах:

• СБиС++ Управление персоналом Бюджет

• 1С: Предприятие 8.2;

• СБиС++ Бухгалтерия;

• Firebird

• СБиС++ Электронная отчетность и документо­оборот;

• ПК «КриптоПро»;

• ПК «Континент-АП»;

• ПО «АРМ Клиента СЭД»;

• ПК «SberSign 5.6».

Также для обработки ПДн используется пакет офисных программ: «Microsoft Windows 7 Service Pack 1»

Персональные данные хранятся на серверах БД и на жестких дисках АРМ пользователей, к которым имеют доступ ограниченный перечень лиц. На всех АРМ работают по одному сотруднику.

С АРМ 4 осуществляется отправка отчетов в контролирующие органы (ПФР, ФНС) в зашифрованном виде с помощью ПК «СБиС++ Электронная отчетность» и ПК «КриптоПро», отправка отчетов в ФСС в зашифрованном виде с помощью ПК «СБиС++ Электронная отчетность» и ПК «КриптоПро». Осуществляется обмен информацией с УФК по Республике Саха (Якутии) в зашифрованном виде с помощью ПК «КриптоПро», ПК «Континент-АП», ПК «SberSign 5.6», ПО «АРМ Клиента СЭД».

Элементы ИСПДн расположены в одном зданиях компании. Все элементы расположены на одном этаже в двух кабинетах. Подключение этих АРМ к основной ЛВС компании осуществляется через проводной кабель. А передача ПДн между АРМ 1-4 осуществляется с помощью технологии беспроводного доступа Wi-Fi.

Аутентификация пользователей ПЭВМ, на которых обрабатываются персональные данные, осуществляется с помощью персонального логина и пароля. Сложность пароль соответствует требованиям безопасности обработки информации конфиденциального характера. Пользователи имеют разные права доступа к сетевым ресурсам. Пользователи получают доступ к ПДн только после прохождения авторизации на собственных АРМ в ОС и специализированном ПО. Согласно доменным политикам, пользователи на своих АРМ ограничены в правах настройки и установки стороннего программного обеспечения.

На сервере БД данные архивируются каждый день. Срок хранения каждого архива – 10 суток.

Антивирусная защита осуществляется с применением сертифицированного ПО « Антивирус Касперского 6.0 для Windows Workstation». Обновление антивирусных баз происходит ежедневно с внутреннего ресурса компании.

5.Модель вероятного нарушителя информационной безопасности

Источниками угроз безопасности ПДн в ИСПДн могут быть:

• нарушитель;

• носитель вредоносной программы;

• источники, не связанные с деятельностью человека (техногенные источники);

• стихийные бедствия.

5.1.Описание возможных нарушителей

По наличию права постоянного или разового доступа в контролируемую зону (КЗ) ИСПДн нарушители подразделяются на два типа:

• внешние нарушители — физические лица, не имеющие права пребывания на территории контролируемой зоны, в пределах которой размещается оборудование ИС;

• внутренние нарушители — физические лица, имеющие право пребывания на территории контролируемой зоны, в пределах которой размещается оборудование ИС.

Возможности внешних и внутренних нарушителей существенным образом зависят от действующих в пределах КЗ режимных и организационно-технических мер защиты, в том числе по допуску физических лиц к ПДн и контролю порядка проведения работ

5.1.1.Внешний нарушитель

В качестве внешнего нарушителя информационной безопасности, рассматривается нарушитель, который не имеет непосредственного доступа к техническим средствам и ресурсам системы, находящимся в пределах контролируемой зоны.

Исходя из особенностей функционирования и расположения ОТСС ИСПДн отдела, к внешним нарушителям могут относиться:

• лица, зашедшие в здание компании, лица, находящиеся близ здания компании, бывшие сотрудники, знакомые и родственники сотрудников (01);

• клиенты провайдера ОАО «Ростелеком» (02);

• работники провайдера ОАО «Ростелеком»(03).

Предполагается, что лица категории 01-03 могут иметь возможность:

• осуществлять несанкционированный доступ к каналам связи, выходящим за пределы контролируемой зоны;

• осуществлять несанкционированный доступ через автоматизированные рабочие места, подключенные к сетям связи общего пользования и (или) сетям международного информационного обмена;

• осуществлять несанкционированный доступ к информации с использованием специальных программных воздействий посредством программных вирусов, вредоносных программ, алгоритмических или программных закладок;

• осуществить несанкционированный доступ через элементы информационной инфраструктуры ИСПДн, которые в процессе своего жизненного цикла (модернизации, сопровождения, ремонта, утилизации) оказываются за пределами контролируемой зоны;

• осуществлять несанкционированный доступ через информационные системы взаимодействующих ведомств, организаций и учреждений при их подключении к ИСПДн.

5.1.2.Внутренний нарушитель

Возможности внутреннего нарушителя существенным образом зависят от действующих в пределах контролируемой зоны ограничительных факторов, из которых основными являются реализация комплекса организационно-технических мер, в том числе по подбору, расстановке и обеспечению высокой профессиональной подготовки кадров, допуску физических лиц внутрь контролируемой зоны и контролю за порядком проведения работ, направленных на предотвращение и пресечение несанкционированных действий.

Исходя из особенностей функционирования ИСПДн, допущенные к ней физические лица, имеют разные полномочия на доступ к информационным, программным, аппаратным и другим ресурсам ИСПДн в соответствии с принятой политикой информационной безопасности (правилами).

К внутренним нарушителям могут относиться:

• обслуживающий и технический персонал отдела и другие сотрудники, не допущенные к обработке ПДн (11);

• пользователи ИСПДн (12);

• администраторы ИСПДн (13);

• разработчики и лица, обеспечивающие поставку, сопровождение и ремонт технических средств ИСПДн (14);

К нарушителям типа 11 относятся обслуживающий персонал, сотрудники охраны, работники инженерно-технических служб, технический персонал, сотрудники, не допущенные к обработке ПДн. Предполагается, что лица категории 11 имеют доступ в КЗ ИСПДн, при этом не владеют аутентификационной информацией.

Предполагается, что нарушитель типа 11 может:

• иметь доступ к фрагментам информации, содержащей ПДн и распространяющейся по внутренним каналам связи ИСПДн;

• располагать фрагментами информации о топологии ИСПДн (коммуникационной части подсети) и об используемых коммуникационных протоколах и их сервисах;

• располагать именами и вести выявление паролей зарегистрированных пользователей;

• изменять конфигурацию технических средств ИСПДн, вносить в неё программно-аппаратные закладки и обеспечивать съем информации, используя непосредственное подключение к техническим средствам ИСПДн.

К нарушителям типа 12 относятся пользователи ИСПДн. Предполагается, что эти лица имеют ограниченный доступ к ресурсам ИСПДн с рабочего места.

Предполагается, что нарушитель типа 12:

• обладает всеми возможностями лиц категории 11;

• знает, по меньшей мере, одно легальное имя доступа в ИСПДн;

• обладает всеми необходимыми атрибутами (например, паролем), обеспечивающими доступ к некоторому подмножеству ПДн ИСПДн;

• располагает персональными данными, к которым имеет доступ.

К нарушителям типа 13 относятся зарегистрированные пользователи ИСПДн с полномочиями администратора ИСПДн. На нарушителей типа 13 возложены задачи по администрированию программно-аппаратных средств и баз данных ИСПДн для интеграции и обеспечения взаимодействия различных подсистем, входящих в состав ИСПДн.

• обладает всеми возможностями лиц категории 12;

• обладает полной информацией о системном и прикладном программном обеспечении, используемом в ИСПДн;

• обладает полной информацией о технических средствах и конфигурации ИСПДн;

• имеет доступ ко всем техническим средствам сегмента (фрагмента) ИСПДн;

• обладает правами конфигурирования и административной настройки технических средств;

• имеет доступ ко всем техническим средствам обработки информации и данным ИСПДн.

К нарушителям типа 14 относятся зарегистрированные пользователи ИСПДн с полномочиями администратора ИСПДн. На нарушителей типа 14 возложены задачи по администрированию программно-аппаратных средств защиты информации в ИСПДн, по организации осуществления мероприятий, направленных на защиту ПДн.

• обладает всеми возможностями лиц категории 13;

• обладает правами конфигурирования и административной настройки технических средств, средств защиты информации ИСПДн.

К нарушителям типа 14 относятся лица, обеспечивающие установку, настройку и сопровождение программного обеспечения, обрабатывающего персональные данные, в отделе. Предполагаются, что нарушители типа 15 могут иметь разовый допуск к СЗ.

Характеристики

Список файлов ВКР