4. Анализ системы обеспечения информационной безопасности и защиты информации

Одной из основополагающих составных частей успешной деятельности современного предприятия является развитие системы обеспечения информационной безопасности и защиты информации. Необходимость проведения мероприятий в этой области объясняется хранением в информационной системе личных данных об учащихся, что является конфиденциальной информацией. Недобросовестные конкуренты готовы пойти на противоправные действия для того, чтобы завладеть чужой информацией, а завладев ею, использовать ее во вред конкурентам. Другой важной стороной обеспечения информационной безопасности является защита от намеренного или случайного уничтожения данных, что приведет к потере информации важной как для оперативной работы учреждения, так и для аналитической отчетности.

При ведении бумажного учета в ДЮСШ №5 ситуация с обеспечением информационной безопасности и защиты информации обстоит весьма посредственно. Данные о учащихся и их здоровье, преподавателях, и оплате за обучение хранятся в виде бумажных документов в шкафах сотрудников, а отработанные документы – в архиве. При этом ничто не мешает посторонним сотрудникам ознакомиться с этими документами или скопировать их, а злоумышленнику выкрасть их. Должностные инструкции о необходимости соблюдения порядка хранения документов вряд ли остановят злоумышленника, поставившего перед собой цель завладеть ими. При бумажном варианте ведения дел также велика вероятность потери документов, а также намеренного или случайного уничтожения документов.

При использовании компьютеризированного варианта работы уровень информационной безопасности повышается на порядок. Сама система автоматизированного документооборота заставляет пользователя быть более ответственным в этом вопросе.

Технически информационная безопасность и защита информации осуществляется при помощи системы паролей для доступа к ресурсам информационной системы разного уровня. Прежде всего, это пароль входа пользователя в операционную систему его рабочего места. Ввод этого пароля открывает пользователю доступ к ресурсам данного компьютера и к документам, хранящимся на нем. При этом политика безопасности должна быть настроена таким образом, чтобы пользователь не был полным «хозяином» на своем рабочем месте и не мог, например, установить вредоносное программное обеспечение или программы по копированию информации. Ограничение прав несколько осложняет работу пользователей, но при этом дает гарантию защищенности данных. Необходимо всегда находить баланс между удобством и комфортом работы пользователя и безопасностью хранения корпоративной информации или информации о клиентах.

Когда пользователь вводит свой пароль входа в операционную систему, он получает доступ не только к ресурсам данного компьютера, но и к ресурсам компьютерной сети предприятия. Это возможно в том случае, если пользователь входит на компьютер как доменный или сетевой пользователь. В этом случае отнестись к разграничению прав пользователей в сети нужно еще более внимательно. Настроить права сетевого пользователя нужно таким образом, чтобы дать ему возможность беспрепятственно работать со своими документами, но при этом ограничить доступ к документам, прав на работу с которыми у него нет, либо это только права на просмотр. В этом случае решается одновременно задача защиты данных от несанкционированного доступа и от случайной их порчи.

Прерогативой распределения прав пользователей обладает на предприятии системный администратор. Именно он должен разграничить права пользователей по доступу к документам и приложениям как в сети так и на локальных компьютерах.

Вторым уровнем защиты информации является парольная защита доступа непосредственно в автоматизированную систему работы ДЮСШ №5, реализованную в системе 1С:Предприятие 8.1. Система 1С:Предприятие имеет в своем составе механизм ведения списка пользователей и разграничения их прав доступа к данным. В результате можно гибко настроить доступ пользователей только к нужным данным в информационной системе, скрыв от несанкционированного доступа и от возможности случайной порчи данные, доступа к которым у данного пользователя нет.

Третьим уровнем парольной защиты информации является пароль доступа к безе данных SQL Server при построении клиент-серверного варианта архитектуры работы системы 1С:Предприятие 8.1. В данном варианте работы данные, хранящиеся в базе данных защищены не только системой разграничения прав доступа пользователей системы 1С:Предприятие но и системой SQL Server, что на порядок повышает уровень безопасности работы.

Обязанность распределения прав доступа пользователей к данным, хранящимся в информационной системе 1С:Предприятие 8.1 лежит на администраторе системы. Он должен настроить права каждого пользователя таким образом, чтобы не создавая ему трудностей в работе, ограничить ему доступ к данным, доступа к которым у него нет. Совместно с системным администратором они настраивают и доступ к базе данных SQL Server.

Неоспоримым фактором, повышающим уровень информационной безопасности и защиты информации при внедрении электронной системы учета продаж является возможность при необходимости «спасти» всю базу данных документов на каком-либо электронном носителе при возникновении, например, стихийных бедствий. В дальнейшем эта копия базы данных может быть развернута на новом месте и работа с документами продолжена с того места, на котором она прервалась.

Кроме организации парольной защиты информации не стоит пренебрегать и физической защитой информации. Целесообразно разместить сервера компьютерной сети, системы 1С:Предприятие и сервера баз данных SQL Server (при клиент-серверном варианте работы) в отдельной комнате (серверной) в которой кроме специальных условий, необходимых для работы серверов (кондиционирование, вентилирование,…) создать и специальные условия, исключающие проникновение посторонних лиц. Это может быть система управления доступом, либо другие организационные меры.

Не смотря на планируемое внедрение в ДЮСШ №5 автоматизированной системы, работа с бумажными документами все равно будет иметь место. Так, например, договора, заключенные с клиентами, имеют юридическую силу лишь на бумажных носителях. Организация хранения таких документов, исключающая возможность доступа к ним посторонних лиц, или сотрудников, не имеющих к ним доступа является немаловажным пунктом в обеспечении общей системы информационной безопасности. Целесообразно организовать архив, в котором хранились бы такие документы и регламентировать доступ в него сотрудников. Возможность проникновения посторонних лиц исключить физическими методами (железная дверь, решетки на окнах).