Разработка системы защищенного документооборота на примере коммерческого банка. Курсовая работа разработка системы защищенного документооборота на примере коммерческого банка Исполнитель Русин А. О
 Скачать 1.54 Mb.
|
1 2 Размещено на http://www.allbest.ru/ НЕГОСУДАРСТВЕННОЕ ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕ ВЫСШЕГО ПРОФЕССИОНАЛЬНОГО ОБРАЗОВАНИЯ «смоленский ГУМАНИТАРНЫЙ УНИВЕРСИТЕТ» КУРСОВАЯ РАБОТА Разработка системы защищенного документооборота на примере коммерческого банка Исполнитель: Русин А.О. Студент: 4 курса, гр. 42 ОиТЗИ Науч. руководитель: Андреева А.В. Смоленск 2012 Смоленский Гуманитарный Университет Факультет компьютерных технологий, экономики и дизайна Кафедра информационных технологий и безопасности ЗАДАНИЕ на курсовую работу Русина А.О. Тема: «Разработка системы защищенного документооборота на примере коммерческого банка» закреплена на заседании кафедры информационных технологий и безопасности, протокол № ___ от ___________2012 г. Целевая установка: анализ и разработка системы защищённого документооборота. Основные вопросы, подлежащие разработке: Анализ нормативной законодательной базы. Анализ документооборота организации и структурирование защищаемой информации. Оценка рисков информационных угроз безопасности защищенного документооборота. Совершенствование документационного обеспечения управления (ДОУ) системы информационной безопасности организации. Срок предоставления законченной работы: “20” декабря 2012 г. Дата выдачи задания: “13” сентября 2012 г. Руководитель: Андреева А.В. Задание получил: “13” сентября 2012 г. законодательный документооборот информационный защищенный Оглавление Введение Глава 1. Анализ нормативной законодательной базы Глава 2. Краткая характеристика коммерческого банка 2.1 Формирование режима безопасности информации 2.2 Оценка рисков информационных угроз безопасности защищённого документооборота Глава 3. Анализ документооборота банка 3.1 Анализ системы защиты конфиденциальной информации 3.1.1 ДБО BS-Client, «Банк-Клиент» 3.1.2 Kaspersky Business Space Security 3.2 Рекомендации по улучшению защищённого документа оборота 3.2.1 Организационно-правовые мероприятия 3.2.2 Программно-аппаратный комплекс «ТРИТОН» 3.2.3 Идентификаторы Rutoken 3.2.4 Clientless Endpoint 3.2.5 NETDEFEND межсетевой экран Заключение Список используемой литературы Приложение Введение Целью данной работы является анализ и разработка системы защищённого документооборота. Предметом исследования является «Разработка системы защищенного документооборота на примере коммерческого банка». Организации документооборота в системе коммерческого банка является актуальной и одной из наиболее важнейших тем. Хищение конфиденциальной информации через пробелы в делопроизводстве является наиболее простым получения информации, что не приемлемо для такой организации как коммерческий банк. В связи с вышесказанным актуальной на сегодняшний день является задача создания системы конфиденциального документооборота составными частями которой являются: бумажный документооборот, электронный документооборот, системы взаимодействия и сопряжения бумажного и электронного документооборота. Данная курсовая работа - попытка улучшить безопасность документооборота на примере коммерческого банка. В ходе работы будет проведен анализ защищенности ЭВМ, анализ методов защищенного документооборота. В ходе написания курсовой работы будут разработаны предписания, по улучшению безопасности, которые позволят существенно снизить риск утечки и хищения информации. Территориальные рамки исследования ограничены РФ. Исследования будут актуальны лишь на территориях, где действует «Доктриной информационной безопасности Российской федерации». Глава 1. Анализ нормативной законодательной базы В данной курсовой работе мы будем обращаться к законодательной базе РФ, связанной с защитой информации исследуемой области. Ниже указан перечень документов, которые подпадают под тематику исследования курсовой работы. Доктрина информационной безопасности Российской Федерации Утверждена Президентом Российской Федерации 9.09.2000 г. № Пр-1895 Ф.З."О БАНКАХ И БАНКОВСКОЙ ДЕЯТЕЛЬНОСТИ" от 02.12.1990 N 395-1 статья 1. Основные понятия настоящего Федерального закона Кредитная организация - юридическое лицо, которое для извлечения прибыли как основной цели своей деятельности на основании специального разрешения (лицензии) Центрального банка Российской Федерации (Банка России) имеет право осуществлять банковские операции, предусмотренные настоящим Федеральным законом. Кредитная организация образуется на основе любой формы собственности как хозяйственное общество. Банк - кредитная организация, которая имеет исключительное право осуществлять в совокупности следующие банковские операции: привлечение во вклады денежных средств физических и юридических лиц, размещение указанных средств от своего имени и за свой счет на условиях возвратности, платности, срочности, открытие и ведение банковских счетов физических и юридических лиц. Согласно ст. 26 закона «О банках и банковской деятельности» к банковской тайне относится информация об операциях, счетах и вкладах клиентов и корреспондентов. По российскому законодательству кредитная организация гарантирует тайну банковского счета и банковского вклада, операций по счету и сведений о клиенте. Статья 40. Правила бухгалтерского учета в кредитной организации Правила ведения бухгалтерского учета, представления финансовой и статистической отчетности, составления годовых отчетов кредитными организациями устанавливаются Банком России с учетом международной банковской практики. Банк России устанавливает особенности ведения бухгалтерского учета государственной корпорацией "Банк развития и внешнеэкономической деятельности Кредитная организация, Банк России, организация, осуществляющая функции по обязательному страхованию вкладов, гарантируют тайну об операциях, о счетах и вкладах своих клиентов и корреспондентов. Все служащие кредитной организации обязаны хранить тайну об операциях, о счетах и вкладах ее клиентов и корреспондентов, а также об иных сведениях, устанавливаемых кредитной организацией, если это не противоречит федеральному закону. В соответствии со специальными требованиями и рекомендациями по технической защите конфиденциальной информации, утвержденными приказом Гостехкомиссии России от 30 августа 2002 года, конфиденциальная информация - информация с ограниченным доступом, не содержащая сведений, составляющих государственную тайну, доступ к которой ограничивается в соответствии с законодательством Российской Федерации Перечень конфиденциальной информации утвержден Указом Президента Российской Федерации от 6 марта 1997 г. N 188. К настоящему времени принят ряд законодательных актов, в которых регулируются отношения, связанные с различными видами конфиденциальной информации: ФЗ о национальной платёжной системе от 25.12.2012 N 267-ФЗ Настоящий Федеральный закон устанавливает правовые и организационные основы национальной платежной системы, регулирует порядок оказания платежных услуг, в том числе осуществления перевода денежных средств, использования электронных средств платежа, деятельность субъектов национальной платежной системы, а также определяет требования к организации и функционированию платежных систем, порядок осуществления надзора и наблюдения в национальной платежной системе. Федеральный закон от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации"; Федеральный закон от 29 июля 2004 г. N 98-ФЗ "О коммерческой тайне"; Федеральный закон от 27 июля 2006 г. N 152-ФЗ "О персональных данных". В статье 5 Федерального закона "Об информации, информационных технологиях и защите информации" даётся классификация информации в зависимости от порядка её распространения, Законодатель разделяет информацию на следующие группы: информацию, свободно распространяемую; информацию, предоставляемую по соглашению лиц, участвующих в соответствующих отношениях; информацию, которая в соответствии с федеральными законами подлежит предоставлению или распространению; информацию, распространение которой в Российской Федерации ограничивается или запрещается. В статье 9 говориться, что Федеральными законами устанавливаются условия отнесения информации к сведениям, составляющим коммерческую тайну, служебную тайну и иную тайну, обязательность соблюдения конфиденциальности такой информации, а также ответственность за ее разглашение. Ниже будут рассмотрены упомянутые законы. Коммерческая тайна в соответствии с законом "О коммерческой тайне" определена как конфиденциальность информации. Данная конфиденциальность дает возможность обладателю коммерческой тайны получить при равных возможностях экономическую выгоду в виде сохранения на рынке, в виде увеличения доходов и сокращения расходов. Содержание коммерческой тайны - это экономическая, в том числе финансовая, научно-техническая, в том числе "ноу-хау", и производственная информация. Чтобы вышеуказанная информация получила статус коммерческой тайны, в отношении этой информации обладателем должен быть введен режим коммерческой тайны. Кроме того, эта информация должна иметь действительную или потенциальную коммерческую ценность в силу того, она неизвестна никому, кроме ее обладателя. Также не должно быть свободного доступа к этой информации. Режим коммерческой тайны определен в законе как меры, которые предпринимает ее обладатель для охраны ее конфиденциальности. Эти меры носят правовой, организационный, технический и иной характер. В статье 4 закона содержится норма о том, кому принадлежит право решать, относится или нет информация к коммерческой тайне. Данное право принадлежит обладателю такой информации с учетом положения данного Закона. Весьма важна для понимания совокупности норм закона статья 5, закрепляющая состав сведений, которые не могут составлять коммерческую тайну. Перечислим сведения, которые не могут составлять коммерческую тайну: содержащихся в учредительных документах юридического лица, документах, подтверждающих факт внесения записей о юридических лицах и об индивидуальных предпринимателях в соответствующие государственные реестры; содержащихся в документах, дающих право на осуществление предпринимательской деятельности; о составе имущества государственного или муниципального унитарного предприятия, государственного учреждения и об использовании ими средств соответствующих бюджетов; о загрязнении окружающей среды, состоянии противопожарной безопасности, санитарно-эпидемиологической и радиационной обстановке, безопасности пищевых продуктов и других факторах, оказывающих негативное воздействие на обеспечение безопасного функционирования производственных объектов, безопасности каждого гражданина и безопасности населения в целом; о численности, о составе работников, о системе оплаты труда, об условиях труда, в том числе об охране труда, о показателях производственного травматизма и профессиональной заболеваемости, и о наличии свободных рабочих мест; о задолженности работодателей по выплате заработной платы и по иным социальным выплатам; о нарушениях законодательства Российской Федерации и фактах привлечения к ответственности за совершение этих нарушений; об условиях конкурсов или аукционов по приватизации объектов государственной или муниципальной собственности; о размерах и структуре доходов некоммерческих организаций, о размерах и составе их имущества, об их расходах, о численности и об оплате труда их работников, об использовании безвозмездного труда граждан в деятельности некоммерческой организации; о перечне лиц, имеющих право действовать без доверенности от имени юридического лица; обязательность раскрытия которых или недопустимость ограничения доступа к которым установлена иными федеральными законами. Права обладателей коммерческой тайны закреплены в ст.7 Закона. Данные права приобретаются владельцем с момента установления режима коммерческой тайны для той или иной информации. Обладатель имеет следующие права: устанавливать, изменять и отменять режим коммерческой тайны; использовать информацию, составляющую коммерческую тайну, для собственных нужд; разрешать или запрещать доступ к информации, составляющей коммерческую тайну, определять порядок и условия доступа к этой информации; вводить в гражданский оборот информацию, составляющую коммерческую тайну, на основании договоров, предусматривающих включение в них условий об охране конфиденциальности этой информации; требовать от юридических и физических лиц, получивших доступ к информации, составляющей коммерческую тайну, органов государственной власти, иных государственных органов, органов местного самоуправления, которым предоставлена информация, составляющая коммерческую тайну, соблюдения обязанностей по охране ее конфиденциальности; требовать от лиц, получивших доступ к информации, составляющей коммерческую тайну, в результате действий, осуществленных случайно или по ошибке, охраны конфиденциальности этой информации; защищать в установленном законом порядке свои права в случае разглашения, незаконного получения или незаконного использования третьими лицами информации, составляющей коммерческую тайну, в том числе требовать возмещения убытков, причиненных в связи с нарушением его прав. Ст.10-13 Закона посвящены охране коммерческой тайны. Общими мерами обеспечения соблюдения конфиденциальности информации являются следующие: разработка перечня информации, относящейся к коммерческой тайне; ограничение и регламентирование доступа к носителям информации; определение круга лиц, имеющих права доступа к информации; разработка и закрепление правил по регулированию отношений по использованию информации, составляющей коммерческую тайну, в системе трудовых договоров, договоров с контрагентами; нанесение на документы, договора, составляющие коммерческую тайну надписи "конфиденциальная информация", при этом необходимо указывать обладателя информации (место нахождения, наименование). После принятия вышеуказанных мер режим коммерческой тайны считается установленным. Кроме того, обладатель информации В статье 5 Федерального закона "Об информации, информационных технологиях и защите информации", признанной коммерческой тайной, вправе применить разрешенные, не противоречащие закону, методы и средства технической защиты носителей конфиденциальной информации. Ст.11 Закона посвящена охране конфиденциальной информации в рамках трудовых правоотношений. Здесь работодатель для охраны коммерческой тайны обязан: составить перечень информации, составляющей коммерческую тайну; ознакомить с указанным перечнем под роспись всех сотрудников, доступ к коммерческой тайне которых необходим по долгу службы; ознакомить под роспись сотрудников с режимом коммерческой тайны и мерой ответственности за его нарушение; обеспечить условия для соблюдения режима коммерческой тайны на рабочих местах. Получение работником сведений, составляющих коммерческую тайну, осуществляется только с его согласия, за исключением случая, когда получение таких сведений прямо предусмотрено его трудовыми обязанностями. В случае незаконного установления режима коммерческой тайны относительно информации, к которой работник получил доступ при исполнении им своих трудовых обязанностей, он может обжаловать это в суде. Для защиты конфиденциальности информации работник должен придерживаться следующих правил. Он обязуется: выполнять установленный в организации режим коммерческой тайны; не разглашать сведения, составляющие коммерческую тайну, и не использовать без согласия работодателя и его контрагентов эти сведения в личных целях; вернуть все имеющиеся у него документы, содержащие информацию, составляющую коммерческую тайну; не разглашать вышеуказанные сведения после окончания трудового договора. Если между работником и работодателем было заключено соглашение о неразглашении коммерческой тайны с указанием срока такого неразглашения, то работник обязан хранить молчание по поводу коммерческой тайны в течение этого срока. Если данное соглашение не заключалось, то в течение трех лет с момента прекращения трудового договора. При разглашении коммерческой тайны работник обязан возместить причиненный работодателю ущерб. Федеральный закон от 27.07.06 № 152-ФЗ “О персональных данных” регулирует отношения по обработке информации, относящейся к физическим лицам (субъектам персональных данных), в государственных и муниципальных органах юридическими и физическими лицами (операторами). Рассмотрим положения данного Закона, касающиеся трудовых правоотношений. К персональным данным относится любая информация о физическом лице: фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы и другая информация. Обработкой персональных данных признаются действия (операции) с ними, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в т. ч. передачу), обезличивание, блокирование, уничтожение данных. Одной из важнейших норм Закона является обязанность оператора по обеспечению конфиденциальности персональных данных, полученных от субъекта, что подразумевает недопущение распространения такой информации без согласия на это субъекта, к которому они относятся. Есть и исключения: например, на обработку общедоступных персональных данных (т.е. уже содержащихся в открытых для общественности справочниках, адресных книгах) получения такого согласия не требуется. Также не требуется согласия субъекта и в том случае, если обработка его персональных данных осуществляется в целях исполнения договора, одной из сторон которого является данный субъект, в частности трудового договора. Что же касается хранения работодателем данных о лицах, с которыми его не связывают договорные отношения, то получение согласия на их обработку обязательно. На обработку своих персональных данных субъект должен дать согласие, причем он имеет право его отозвать в любой момент. Согласие может быть выражено в устной или письменной форме - в зависимости от категории персональных данных, а также характера их обработки. Согласие субъекта персональных данных в письменной форме требуется в следующих случаях: при обработке специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни. Обрабатывать такие сведения без письменного согласия субъекта категорически запрещено (за исключением случаев, когда они являются общедоступными). Письменное согласие на подобные действия необходимо, даже если субъекта персональных данных и оператора связывают договорные отношения. В общественных объединениях или религиозных организациях обработка специальных категорий персональных данных членов (участников) осуществляется при условии, что персональные данные не будут распространяться без согласия субъектов, данного в письменной форме; при обработке биометрических персональных данных - сведений, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность (сведения об особенностях строения папиллярных узоров пальцев рук человека, сетчатки глаз, о коде ДНК и т.д.). Это требование также должно соблюдаться независимо от наличия договорных отношений между субъектом персональных данных и оператором, кроме отношений, связанных с прохождением государственной гражданской службы; при передаче персональных данных субъекта оператором через Государственную границу РФ органу власти иностранного государства, физическому или юридическому лицу иностранного государства, не обеспечивающему адекватную защиту прав субъекта персональных данных. В соответствии с Законом "о персональных данных" письменное согласие субъекта на обработку его персональных данных должно включать: фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; наименование (фамилия, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных; цель обработки персональных данных; перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; срок, в течение которого действует согласие, а также порядок его отзыва. Оператор обязан предоставить субъекту персональных данных доступ к его данным в любой момент по просьбе субъекта. У субъекта есть право на получение следующей информации: подтверждение факта обработки персональных данных оператором, а также цель такой обработки; способы обработки персональных данных, применяемые оператором; сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ; перечень обрабатываемых персональных данных и источник их получения; сроки обработки персональных данных, в т. ч. сроки их хранения; сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его данных. В том случае, если оператор осуществляет обработку персональных данных с нарушением требований закона, субъект вправе обжаловать его действия в Федеральную службу по надзору в сфере связи, которая является уполномоченным органом по защите прав субъектов персональных данных, или в суд. Что касается хранения персональных данных, то оно может реализовываться оператором как на материальных носителях, так и путем включения данных сведений в информационные системы персональных данных. Важно, что оператор при обработке подобной информации обязан принимать необходимые организационные и технические меры, в частности использовать шифровальные (криптографические) средства, для защиты персональных данных от неправомерного или случайного доступа к ним, от уничтожения, изменения, блокирования, копирования, распространения. Вывод: В ходе изучения законодательной базы в области защиты конфиденциальной информации комерчекого банка и защиты личных даных. Было расмотрена основная законодательная база каасаемая конфединцальности документобарота. На основании анализа законодательной базы были выявлены основные нормативныне документы в соответствии с которыми будет проводится реструктиризация документооборота банка. 1 2 |