1. Організаційно-штатна структура

1. Завдання

• розробити організаційно-штатну структуру організації;

• розробити план приміщень з вказівкою автоматизованого робочого місця (АРМ);

• розробити перелік відомостей, що відносяться до комерційної таємниці підприємства.

Таблиця 1.1  Вихідні данні

Варіант	21
Площа приміщенні, м2	160
Висота приміщення, м	3,0
Кількість вікон	7
Кількість співробітників	14
Вид діяльності	Виготовлення рекламних продуктів, а саме, проспектів, буклетів, тиражування дисків, копіювання, виготовлення макетів, розробка фірмових стилів та інше
Поверховість (загальна й конкретна)	5/9
Опис території	Бізнес-центр

2. Розробка організаційно-штатної структури

Згідно умови курсової роботи, створюємо організаційно-штатну структуру підприємства (рис. 1.1).

Штат 14 чоловік:

Директор  1;

Бухгалтер  1;

Менеджер по роботі з персоналом  1;

Дизайнер  2;

Вантажник  2;

Клінінг менеджер  1;

Менеджер по роботі з клієнтами  1;

Системний адміністратор 1;

Оператор ПК  3;

Технік  1.

Рисунок 1.1  Організаційно-штатна структура

1.3 Розробка плану приміщень з вказівкою автоматизованих робочих місць (АРМ)

Згідно завдання до КР, розробимо план приміщення з вказівкою автоматизованих робочих місць (рис. 1.2).

Таблиця 1.2  Опис приміщень підприємства

№	Позначення в плані	Найменування приміщення
1	2	3
1	R1	Кабінет менеджера по роботі з персоналом
2	R2	Кімната відпочинку
3	R3	Менеджер по роботі з персоналом
4	R4	Кабінет директора
5	R5	Кабінет бухгалтера
6	R6	Кабінет дизайнера
7	R7	Кімната для вантажників

Продовження таблиці 1.2

1	2	3
8	R8	Складське приміщення
9	R9	Склад готової продукції
10	R10	Кімната клінінг менеджера
11	R11	Жіночій туалет
12	R12	Чоловічій туалет
13	R13	Серверне приміщення
14	R14	Кабінет тех.відділу
15	R15	Приміщення з копіювальними апаратами
16	R16	Аварійний вихід
17	E1	Ліфт
18	W1, W2,…, W7	Вікна у відповідних кімнатах
19	D1, D2,…,D18	Двері у відповідних кімнатах

Рисунок 1.2  План приміщення

Таблиця 1.3  Умовні позначення до рисунка 1.2

Зображення на схемі	Найменування
	Персональний комп’ютер
	М’ягке крісло
	Копіювальний апарат
	Кімнатні рослини
	Стаціонарній телефон
	Диван
	Мікрохвильова піч
	Холодильник
	Круглий стіл
	Крісло
	Робочий стіл

3. Визначення переліку відомостей які можна віднести до комерційної таємниці підприємства

У Цивільному кодексі поняття комерційної таємниці трактується як інформація, яка є секретною в тому розумінні, що вона в цілому чи в певній формі та сукупності її складових є невідомою та не є легкодоступною для осіб, які звичайно мають справу з видом інформації, до якого вона належить, у зв’язку з цим має комерційну цінність та була предметом адекватних існуючим обставинам заходів щодо збереження її секретності, вжитих особою, яка законно контролює цю інформацію (ст. 505 ЦКУ).

Статтею 420 ЦКУ визначено, що комерційна таємниця є об’єктом інтелектуальної власності. Відповідно майнові права інтелектуальної власності на комерційну таємницю належать особі, яка правомірно визнала інформацію комерційною таємницею, якщо інше не встановлено договором.

Зокрема, до майнових прав інтелектуальної власності на комерційну таємницю належать:

• право на використання комерційної таємниці;

• виключне право дозволяти використання комерційної таємниці;

• виключне право перешкоджати неправомірному розголошенню, збиранню або використанню комерційної таємниці;

• інші майнові права інтелектуальної власності, встановлені законом (ст. 506 ЦКУ).

У свою чергу, стаття 162 Господарського кодексу України визначає, що суб’єкт господарювання, який є власником технічної, організаційної або іншої комерційної інформації, має право на захист від незаконного використання цієї інформації третіми особами за умов, що ця інформація має комерційну цінність у зв’язку з тим, що вона невідома третім особам і до неї немає вільного доступу інших осіб на законних підставах, а власник інформації вживає належних заходів до охорони її конфіденційності. Строк правової охорони комерційної таємниці обмежується в часі.

Отже, можна з впевненістю сказати, що склад та обсяг відомостей, що становлять комерційну таємницю, порядок їх захисту визначаються самостійно її власником або керівником підприємства з дотриманням чинного законодавства.

Підприємство має право розпоряджатися такою інформацією на власний розсуд і здійснювати щодо неї будь-які законні дії, не порушуючи при цьому права третіх осіб.

Крім того, підприємство як власник відомостей, які є комерційною таємницею, має право призначати особу (осіб), яка буде володіти, користуватися і розпоряджатися такою інформацією, визначати правила обробки інформації та доступу до неї, а також встановлювати інші умови щодо комерційної таємниці.

Але, слід зазначити, що не будь-якій інформації підприємство може надати статус комерційної таємниці, обмеживши таким чином доступ до неї третіх осіб і, перш за все, контролюючих органів.

Про це йдеться у частині 2 статті 505 ЦКУ, якою визначено перелік відомостей, що становлять комерційну таємницю. Зокрема, нею можуть бути відомості технічного, організаційного, комерційного, виробничого та іншого характеру, за винятком тих, які відповідно до закону не можуть бути віднесені до комерційної таємниці.

Також зазначені відомості можуть бути визнані такими, що становлять його комерційну таємницю, громадянином-підприємцем, який здійснює підприємницьку діяльність без створення юридичної особи.

Склад та обсяг відомостей, які становлять комерційну таємницю підприємства, визначаються його керівником з урахуванням постанови Кабінету Міністрів України «Про перелік відомостей, що не становлять комерційної таємниці» від 9 серпня 1993 р. № 611 (далі — Постанова № 611).

Усі види інформації, які можуть вважатися комерційною таємницею, умовно можна розділити на дві групи: технічна інформація і комерційна інформація.

До першої групи належать незапатентовані науково-технічні розробки, бази даних та інші комп’ютерні програми, створені підприємством, усі види «ноу-хау», технічні проекти, промислові зразки, незапатентовані товарні знаки тощо. Слід мати на увазі, що об’єкти інтелектуальної власності, щодо яких отримано патенти або авторські свідоцтва, до складу комерційної таємниці зараховувати нема сенсу, оскільки подібні об’єкти охороняються відповідним законодавством (Зокрема, Законами України «Про охорону прав на винаходи і корисні моделі» від 15 грудня 1993 р. № 3687-ХІІ, «Про авторське право і суміжні права» від 23 грудня 1993 р. № 3792-ХІІ, «Про охорону прав на промислові зразки» від 15 грудня 1993 р. № 3688-ХІІ, «Про охорону прав на знаки для товарів і послуг» від 15 грудня 1993 р. № 3689-ХІІ).

До другої групи віднесено умови контрактів, дані про постачальників і покупців, інформація про переговори, маркетингові дослідження, дані про розрахунок відпускних цін, розміри знижок тощо.

На даному підприємстві перелік конфіденційної інформації складають такі відомості:

1. Структура кадрів і виробництва

2. Персональні данні співробітників

3. Дані про тип і розміщення встаткування

4. Плани розвитку підприємства

5. Бюджет

6. Дані про постачальників та клієнтів

7. Дизайнерські проекти

8. Майнове положення

9. Рівень виторгу

10. Боргові зобов’язання

11. Стан кредиту

12. Розміри і умови банківських кредитів

2 МОДЕЛЮВАННЯ ОБ’ЄКТУ ЗАХИСТУ

2.1 Завдання

• моделювання об’єкту захисту;

• побудова структурної моделі захисту;

• побудова просторової моделі об’єкта захисту;

• моделювання загроз безпеці інформації.

2.2 Моделювання об’єкту захисту

З позиції системного підходу сукупність взаємопов’язаних елементів, що функціонують з метою забезпечення безпеки інформації, утворюють систему захисту інформації. Такими елементами є люди, тобто керівники, співробітники служби безпеки; об’єкт захисту, представляє собою будівлю, інженерні конструкції, засоби обчислювальної техніки, технічні засоби захисту інформації та контролю її ефективності. Проектування необхідної системи захисту інформації починається з системного аналізу існуючої системи захисту інформації, який включає:

а) моделювання об’єкту захисту:

• визначення джерел інформації, що захищається (люди, документи, фізичні поля, матеріальні об’єкти);

• опис просторового розташування основних місць розташування джерела інформації, що захищається;

б) моделювання загроз безпеки інформації:

• моделювання фізичного проникнення зловмисника до джерела інформації;

• моделювання технічних каналів витоку.

Для створення повної моделі об’єкта захисту необхідно для початку визначити ту інформацію, яку необхідно захищати, тому необхідно провести її структурування.

Структурування інформації здійснюється шляхом класифікації у відповідності з функціями, завданнями і структурою організації з прив’язкою елементів інформації до її джерелу. Деталізацію інформації доцільно проводити до рівня, на якому елементу інформації відповідає одне джерело.

Моделювання полягає в аналізі на основі просторових моделей можливих шляхів розповсюдження інформації за межі контрольованої зони.

2.3 Структурна модель

Моделювання об’єктів захисту починається з побудови структурної моделі. Для цього виділяється інформація, що підлягає захисту. Т.к. фірма комерційна, то для опису рівня секретності використовується три грифи конфіденційності: конфіденційно, строго конфіденційно і комерційна таємниця. Гриф конфіденційності використовується для розрахунку ціни інформації.

Виберемо наступні ціни одиниці інформації (Кб) в залежності від грифу конфіденційності:

Комерційна таємниця  1 (100 у.о. за 1 МБ інформації)

Строго конфіденційно  0,6 (10 у.о.)

Конфіденційно  0,3 (1 у.о.)

Існує декілька способів обчислення ціни інформації.

Ціна інформації може обчислюватися залежно від збитку, що буде заподіяний фірмі при її витоку. У цьому випадку ціна інформації встановлюється методом експертних оцінок.

Ціна інформації також обчислюється по загальному обсязі інформації по формулі:

(2.1)

де, Ц  ціна інформації, О  об’єм інформації в Кб, Ц_лб  ціна інформації за 1 Кб.

Обсяг інформації в Кб може бути обчислений як:

(2.2)

де, О_циф  об’єм інформації в цифровому вигляді, О_бум  об’єм інформації в паперовому вигляді, О_о  середній об’єм інформації на 1 сторінці.

Середній обсяг інформації в сторінці розміром А4 для шрифту кеглем 14 становиться приблизно 4 тисячі знаків, що становить 4 Кб. З огляду на те, що аркуші практично не бувають заповненими повністю, можна прийняти середній обсяг інформації в 2,5 Кб на сторінку.

Необхідно врахувати, що інформація в паперовому й цифровому виді не повинна дублювати одна одну, тобто в цій формулі враховується тільки обсяг унікальної інформації. Також необхідно застосувати для обчислення обсяг корисної інформації, тобто інформації в чистому виді, тому що іноді невелика кількість інформації може займати значні обсяг. Особливо це характерно для електронної інформації.

Для обліку корисної інформації введемо «Коефіцієнт корисної цифрової інформації» (КК). У базі даних обсягом 2 Мб може втримуватися всього 100 Кб корисної інформації  весь інший обсяг займають службові дані, що не мають практичної цінності. У цьому випадку «КК цифрової інформації» буде становити . Наприклад, в MsWord при створенні документа без графічних картинок «КК цифрової інформації» буде становити не більше 15%.

Очевидно, що не всі елементи інформації мають однакову вартість, тому обчислювати ціну інформації можна тільки для інформації, що має гриф конфіденційно. Для такої інформації обчислення методом експертних оцінок буде неефективним, і обчислення за допомогою застосування обсягу інформації буде мати незначну погрішність. У всіх інших випадах ціна інформації визначається методом експертних оцінок.

Для суворо конфіденційної інформації, що становить комерційну таємницю, ціна інформації заповнюється методом експертних оцінок. За отриманими даними можна заповнити таблицю.

Таблиця 2.1 - Розрахунок вартості конфіденційної інформації

Найменування елемента інформації	Гриф конфіденційності	Обсяг інформації в електронному вигляді	КК цифрової інформації, %	Обсяг інформації в паперовому вигляді (стр.)	Ціна (у.е.)
1	2	3	4	5	6
Структура кадрів і виробництва	К	5,2 Мб	78 %	Дублює ел. інформацію	5,2
Персональні данні співробітників	К	2,5 Мб	37%	Дублює ел. інформацію	2,5
Дані про тип і розміщення встаткування	К	2,2 Мб	33%	Дублює ел. Інформацію	2,2
Плани розвитку підприємства	К	5,8 Мб	87%	Дублює ел. Інформацію	5,8
Бюджет	К	3 Мб	45%	Дублює ел. Інформацію	3
Боргові зобов’язання	К	2,7 Мб	40%	Дублює ел. інформацію	2,7
Розмір комісії	К	1,5 Мб	22%	Дублює ел. інформацію	1,5

Продовження таблиці 2.1

1	2	3	4	5	6
Витрати	К	1,4 Мб	21%	Дублює ел. інформацію	1,4
Боргові зобов’язання	К	2 Мб	30%	Дублює ел. інформацію	2
Рівень виторгу	К	1,5 Мб	22%	Дублює ел. інформацію	1,5
Стан кредиту	К	1,9 Мб	28%	Дублює ел. інформацію	1,9
Розміри та умови банківських кредитів	К	1,3 Мб	19%	Дублює ел. інформацію	1,3
Комерційні зв’язки	К	5 Мб	75%	Дублює ел. інформацію	5
Дані про постачальників та клієнтів	К	5,6 Мб	84%	Дублює ел. інформацію	5,6

Таблиця 2.2 - Структурна модель підприємства

№	Найменування елемента інформації	Гриф конфіденційності	Ціна інформації	Найменування джерела інформації	Місце знаходження джерела інформації
1	2	3	4	5	6
	Дизайнерські проекти	КТ	10000	Дизайнерський відділ	Сервер, комп’ютер дизайнера
	Організація праці	КТ	2000	Директор	Комп’ютер директора
	Стан обладнання	КТ	500	Технік	У кабінеті техніка
	Майнове положення	КТ	1100	Бухгалтер	Сервер, комп’ютер бухгалтера
	Рівень доходів	КТ	4000	Бухгалтер	Комп’ютер бухгалтера
	Картки клієнтів	КТ	5500	Менеджер по роботі з клієнтами	Сейф і комп’ютер у кабінеті менеджера по роботі з клієнтами
	Відомості про постачальників	КТ	3200	Бухгалтер	Комп’ютер бухгалтера
	Умови по угодах	КТ	2100	Директор	Сейф і комп’ютер директора
	Умови контрактів	КТ	1800	Директор	Сейф і комп’ютер директора

Продовження таблиці 2.2

1	2	3	4	5	6
	Умови платежу по контрактах	СК	1800	Директор	Сейф і комп’ютер директора
	Відомості про плани підприємства по розширенню виробництва	СК	1300	Директор	Комп’ютер директора
	Стан банківських рахунків підприємства	СК	3900	Бухгалтер, директор	Комп’ютер бухгалтера і директора

Таблиця 2.3 – Опис об’єкта захисту

Назва приміщення	Кабінет Директора
Поверх	П’ятий
Вікна	2 вікна
Двері	1 двері
Сусідні приміщення	Справа – Кабінет Менеджера по роботі з персоналом, прямо – Кабінет Бухгалтера
Приміщення над стелею	Охоронне агентство
Приміщення під підлогою	Юридична фірма
Вентиляція	Кондиціонер - 2
Батареї опалення	2 трубчасті батареї, розм. під вікнами
Ланцюги живлення	3 електророзетки, напруга 220 В
Телефон	1 - стаціонарній телефон
Радіостанція	Відсутня
Електронні годинники	Відсутні
Побутові радіозасоби	Відсутні
Побутові електроприлади	2 – кондиціонери
ПЕОМ	1 ПК на архітектурі Intel x86
Технічні засоби охорони	Не передбачено
Телевізійні засоби	Не передбачено
Пожежна сигналізація	Не передбачено
Інші засоби	1 - робоче місце, 1 - м’яке крісло, 1 прямокутний стіл, 8 крісел

Таблиця 2.4 – Опис об’єкта захисту

Назва приміщення	Кабінет бухгалтера
Поверх	П’ятий
Вікна	Відсутні
Двері	дерев’яні двері - 1
Сусідні приміщення	Ззаду – Кабінет Директора, Прямо – Кабінет дизайнерів
Приміщення над стелею	Охоронне агентство
Приміщення під підлогою	Юридична фірма

Продовження таблиці 2.4

Вентиляція	1 кондиціонер
Батареї опалення	1 трубчаста батарея
Ланцюги живлення	2 розетки
Телефон	1 стаціонарний телефон
Радіостанція	Немає
Електронні годинники	Немає
Побутові радіозасоби	Немає
Побутові електроприлади	Немає
ПЕОМ	1 ПК на архітектурі Intel x86
Технічні засоби охорони	Не передбачено
Телевізійні засоби	Не передбачено
Пожежна сигналізація	Не передбачено
Інші засоби	2 крісла, 1 робоче місце, 2 шкафчики

Таблиця 2.5 – Опис об’єкта захисту

Назва приміщення	Кабінет дизайнерів
Поверх	П’ятий
Вікна	1 вікно
Двері	1 двері
Сусідні приміщення	Ззаду – Кабінет бухгалтера
Приміщення над стелею	Охоронне агентство
Приміщення під підлогою	Юридична фірма
Вентиляція	1 кондиціонер
Батареї опалення	1 трубчаста батарея, розм. під вікном
Ланцюги живлення	4 розетки
Телефон	Немає
Радіостанція	Немає
Електронні годинники	Немає
Побутові радіозасоби	Немає
Побутові електроприлади	Немає
ПЕОМ	2 ПК на архітектурі Intel x86
Технічні засоби охорони	Не передбачено
Телевізійні засоби	Не передбачено
Пожежна сигналізація	Не передбачено
Інші засоби	2 робочих місця, 2 крісла

2.4 Моделювання загроз безпеці інформації

Моделювання загроз безпеки інформації передбачає аналіз способів її розкладання, змін або знищення з метою оцінки збитку.

Моделювання загроз передбачає:

• моделювання способів фізичного проникнення зловмисника до джерел інформації;

• моделювання технічних каналів витоку інформації.

Дія зловмисника по добування інформації й матеріальних цінностей визначається поставленими цілями й завданнями, мотивацією, кваліфікацією й технічною оснащеністю. Прогноз способів фізичного проникнення варто почати із з’ясування, кому потрібно інформація, що захищається. Для створення моделі зловмисника необхідно подумки програти з позиції зловмисника варіанти проникнення до джерел інформації. Чим більше при цьому буде враховано факторів, що випливають на ефективність проникнення, тим вище буде ймовірність відповідності моделі реальній практиці. В умовах відсутності інформації про зловмисника краще переоцінити погрозу, хоча це може привести до збільшенню витрат.

2.4.1 Моделювання способів фізичного проникнення

Нам необхідно змоделювати рiзнi способи фізичного проникнення зловмисника та доступу його до захищається інформації. Найменування елементів інформації та їх ціна береться з таблиці 2.2. Кімната призначення залежить від місця розташування елемента інформації.

Шлях складається за планами приміщення з позначеними кімнатами і дверима. Він складається з послідовності вікон (W) i дверей (D), які потрібно подолати зловмиснику для досягнення мети .

2.4.1Оцінка реальності шляху

Реальність шляху є ймовірність вибору зловмисником цього шляху. Вона визначається методом експертних оцінок. Імовірність залежить від простоти реалізації безпосередньо цього шляху проникнення. Очевидно, що через деякі вікна й двері легше проникнути, тому враховувалося кілька міркувань:

• проникнути легше через вікно, що виходить на вулицю, ніж через вікно, що виходить у внутрішній двір будівлі;

• проникнути легше через двері, ніж через вікно;

• легше проникнути у вікно, що не містить додаткових засобів захист, ніж у вікно із гратами;

• проникнути легше через звичайні двері, ніж через залізну;

• к вікно першого поверху легше забратися, ніж у вікно другого (тому що впритул до будинку не прилягають будь-які будинки й немає пожежних сходів, дах перебуває під контролером; також грати на вікнах першого поверху вертикалі, тобто забратися по них на другий поверх неможливо);

• чим більше потрібно минути перешкод, тим шлях менш імовірний;

Залежно від цих міркувань вибирається оцінка реальності шляху: для малоймовірних шляхів вона дорівнює 0,1, для ймовірних – 0,5, для найбільш імовірних – 0,9.

Величину загрози знаходимо за формулою:

(2.3)

де, - величина загрози, - оцінка реальності, - цiна iнформацiї. Пiсля знаходження величини загрози необхiдно провести ранжування. Вибираємо рiзнi ранги для більш точного визначення важливості захисту даного елемента інформації. Значення величини загрози для кожного рангу наведені в таблиці 2.6. Після отримання всіх значень заповнюється таблиця 2.7.

Таблиця 2.6 – Значення величини загрози для кожного рангу

Інтервал величини загрози	Ранг загрози
30000  	1
10000 – 29999	2
1000 – 9999	3
100 – 999	4
50 – 99	5
1 – 49	6

Таблиця 2.7 – Модель способів фізичного проникнення зловмисника до джерела інформації

Модель способів фізичного проникнення зловмисника до джерела інформації
№	Найменування ел. інформації	Ціна інформації	Ціль (кімната)	Шлях проникнення	Оцінка реальності шляхів	Величина загрози	Ранг загрози
1	2	3	4	5	6	7	8
1	Дизайнерські проекти	10000	R6	1)W7; 2)D12-D5; 3)D14-D5;	0,1 0,9 0,1	1000 9000 1000	3 3 3

Продовження таблиці 2.7

1	2	3	4	5	6	7	8
2	Організація праці	2000	R4	1)W6 2)W5 3)D12-D3 4)D13-D3	0,1 0,1 0,9 0,5	200 200 1800 1000	4 4 3 3
3	Стан обладнання	500	R15	1)D13-D15-D17 2)D14-D1-D15-D17 3)D13-D16-D18 4)D12-D16-D17	0,5 0,1 0,1 0,5	250 50 50 250	4 5 5 4
4	Майнове положення	1100	R5	1)D12-D4 2)D16-D1-D4 3)D13-D4	0,9 0,1 0,1	990 110 110	4 4 4
5	Рівень доходів	4000	R5	1)D12-D4 2)D14-D1-D4 3)D13-D4	0,9 0,1 0,1	990 110 110	4 4 4
6	Картки клієнтів	5500	R1	1)D14 2)D13-D1 3)W1	0,9 0,1 0,1	4950 550 550	3 4 4
7	Відомості про постачальників	3200	R5	1)D12-D4 2)D13-D4 3)D14-D1-D4	0,9 0,1 0,1	990 110 110	4 4 4
8	Умови по угодах	2100	R4	1)W6 2)W5 3)D12-D3 4)D13-D3	0,1 0,1 0,9 0,5	200 200 1800 1000	4 4 3 3
9	Умови контрактів	1800	R4	1)W6 2)W5 3)D12-D3 4)D13-D3	0,1 0,1 0,9 0,5	200 200 1800 1000	4 4 3 3
10	Умови платежу по контрактах	1800	R4	1)W6 2)W5 3)D12-D3 4)D13-D3	0,1 0,1 0,9 0,5	200 200 1800 1000	4 4 3 3
11	Відомості про плани підприємства по розширенню виробництва	1300	R4	1)W6 2)W5 3)D12-D3 4)D13-D3	0,1 0,1 0,9 0,5	200 200 1800 1000	4 4 3 3
12	Стан банківських рахунків підприємства	3900	R5	1)D12-D4 2)D13-D4 3)D14-D1-D4	0,9 0,1 0,1	990 110 110	4 4 4

Таблиця 2.8 – Формування пропозицій поліпшення захищеності приміщень

№	Найменування елемента інформації	Ранг загрози	Пропозиції по поліпшенню захисту
1	Дизайнерські проекти	3	Встановлення в Кабінеті дизайнерського відділу датчик розбиття вікон	Встановити датчики руху найбільш важливих приміщеннях, датчики розкриття дверей, також встановити відео камеру для спостереженням за дверима D12
2	Організація праці	3	Встановити в Кабінеті директора датчик розбиття вікон,
3	Картки клієнтів	3	Замінити двері D14 на металеві
4	Відомості про постачальників	4	Обладнати Кабінет бухгалтера сейфом