Презентация на тему «Программно-аппаратные средства защиты информации АРМ специалиста отдела кадров»

Слайд 1

МИНИСТЕРСТВО ОБРАЗОВАНИЯ МОСКОВСКОЙ ОБЛАСТИ

Государственное автономное профессиональное образовательное учреждение Московской области «Подмосковный колледж «Энергия»

(ГАПОУ МО «ПК «Энергия»)

КУРСОВАЯ РАБОТА

ТЕМА:Программно-аппаратные защиты информации АРМ

специалиста отделов кадров

ООО Ромашка

Слайд 2

Актуальность темы

Защита кадровых данных особенно важна, потому что в отделе кадров хранятся паспортные сведения, СНИЛС, ИНН, банковские реквизиты и данные о здоровье работников. С 30 мая 2025 года штрафы за нарушения в сфере персональных данных заметно выросли, а за несвоевременное уведомление о утечке для организаций они достигают от ста тысяч до трехсот тысяч рублей. Именно поэтому даже одно рабочее место кадровика требует не формальной, а действительно многослойной защиты.

Слайд 3

Цель исследования

Цель работы состоит в разработке комплекса защиты для автоматизированного рабочего места специалиста отдела кадров, который учитывает актуальные угрозы и требования закона. Для этого анализируются объект исследования, предмет исследования и практические меры, способные снизить риск утечки сведений. Такой подход позволяет связать правовые требования, технические средства и реальные условия работы.

Слайд 4

Нормативная база

Основу правового регулирования составляют закон о персональных данных, глава четырнадцатая Трудового кодекса, постановление Правительства номер тысяча сто девятнадцать и приказ Федеральной службы по техническому и экспортному контролю номер двадцать один. Эти документы задают и уровень защищенности, и перечень обязательных мер, включая аутентификацию, управление доступом, антивирусную защиту и резервное копирование. В две тысячи двадцать пятом году также усилились требования к отдельному оформлению согласия и к хранению данных на территории России.

Слайд 5

Главные угрозы

Наиболее опасной оказалась не внешняя атака, а действия внутреннего пользователя, который уже имеет доступ к системе. Достаточно скопировать базу на флешку, оставить компьютер разблокированным или ошибочно отправить документ не тому адресату. Поэтому защита должна контролировать не только сеть, но и каждое действие сотрудника на рабочем месте.

Слайд 6

Объект Уровень защищенности

Для условной организации с восьмьюдесятью пятью работниками и тремя рабочими местами отдела кадров определен третий уровень защищенности. Это связано с тем, что на таких рабочих местах обрабатываются специальные категории данных, включая сведения о здоровье, например больничные листы и заключения медосмотров. Если бы таких данных не было, уровень мог бы быть четвертым, но наличие медицинских сведений повышает требования.

Слайд 7

1

Параметр

Значение

Организация

ООО «Ромашка», оптовая торговля

Численность работников

85 человек

Отдел кадров

начальник отдела, 2 специалиста

Количество АРМ

3 (АРМ-КД-01, АРМ-КД-02, АРМ-КД-03)

Прикладное ПО

1С:Зарплата и управление персоналом, офисный пакет, почтовый клиент, браузер, клиент сдачи отчётности

Сервер

SRV-1: база 1С, файловое хранилище, резервные копии

Сеть

ЛВС, домен Windows, выход в Интернет через шлюз

Помещение

кабинет 18 м² с замком, сейф для бумажных личных дел

Субъекты ПДн

85 работников и около 300 записей об уволенных и кандидатах

Слайд 8

3

Параметр

Значение

Категория данных

специальные (сведения о здоровье)

Субъекты

работники оператора

Число субъектов

менее 100 000

Тип актуальных угроз

третий

Уровень защищённости

УЗ-3

Слайд 9

3

Параметр

Значение

Категория данных

специальные (сведения о здоровье)

Субъекты

работники оператора

Число субъектов

менее 100 000

Тип актуальных угроз

третий

Уровень защищённости

УЗ-3

Слайд 10

Выявленные недостатки

При обследовании было обнаружено девять недостатков, среди которых особенно опасны общая учетная запись, слабый пароль, отсутствие контроля флешек и незапрещенная загрузка с внешнего носителя. Отдельную угрозу создает хранение резервной копии на том же сервере, где находится основная база данных. Отсутствие журнала событий делает невозможным полноценный контроль действий пользователей и анализ инцидентов.

Слайд 11

2

№

Недостаток

Последствие

1

Общая учётная запись на всех АРМ отдела

Невозможно установить автора действия

2

Пароль из 6 символов, срок действия не ограничен

Компрометация доступа

3

USB-порты не контролируются

Копирование базы на личный носитель

4

Загрузка с внешнего носителя не ограничена

Обход пароля ОС

5

Бесплатный антивирус без централизованного управления

Нет контроля обновлений

6

Резервная копия хранится на сервере с оригиналом

Потеря обоих экземпляров

7

Нет журнала событий безопасности

Позднее выявление инцидента

8

Уволенные работники блокируются несвоевременно

Сохранение доступа

9

Сканы паспортов пересылаются обычной почтой

Раскрытие данных при ошибке или перехвате

Слайд 12

Оценка рисков

Шесть угроз были оценены по сочетанию вероятности и возможного ущерба, и наибольшие значения получили компрометация пароля и заражение вредоносной программой. После внедрения защитных мер суммарный риск снижается с девяноста пяти до тридцати баллов, то есть примерно на две трети. Это показывает, что даже для небольшого рабочего места правильно подобранные меры дают заметный результат.

Слайд 13

4

Угроза

P

I

R до

Меры

R после

Компрометация пароля

4

5

20

токен + PIN, блокировка при подборе

8

Заражение вредоносным ПО

4

5

20

антивирус, замкнутая программная среда

6

Утечка через USB

4

4

16

контроль и белый список носителей

4

Кража ПК или диска

3

5

15

шифрование диска, пломбы

5

Загрузка с внешнТаблица 4 — Оценка рисков до и после внедрения мер

Угроза

P

I

R до

Меры

R после

Слайд 14

Выбор средств

Для реализации защиты предложен набор сертифицированных средств, включающий систему контроля доступа, антивирус, токены для входа и средство электронной подписи. В качестве основного решения выбрана система, которая закрывает все необходимые меры в одном продукте и при этом дешевле альтернативы. Дополнительно рабочее место включено в отдельный сегмент сети, а резервное копирование организовано на отдельное устройство.

Слайд 15

5

Группа

Реализация на АРМ отдела кадров

ИАФ

индивидуальные учётные записи, двухфакторный вход по токену и PIN

УПД

роли «специалист», «начальник отдела», «администратор»; запрет локальных прав администратора у пользователей

ОПС

замкнутая программная среда: запуск только разрешённых программ

ЗНИ

учёт носителей, белый список USB, журнал выдачи

РСБ

журналирование входов, изменения прав, подключения USB, запуска ПО; доступ к журналу ограничен

АВЗ

сертифицированный антивирус с центральным управлением и автообновлением

АНЗ

контроль обновлений ОС ежемесячно, проверка уязвимостей ежеквартально

ОЦЛ

контроль целостности системных файлов и программного обеспечения

ОДТ

ежедневное копирование базы 1С, хранение копии на отдельном устройстве, тест восстановления ежемесячно

ЗТС

замок кабинета, сейф, пломбы на корпусах

ЗИС

персональный межсетевой экран, отдельный сегмент сети для отдела

ИНЦ

регламент реагирования, сроки 24 и 72 часа

УКФ

эталонный образ АРМ, журнал изменений конфигурации, согласование установки ПО с ответственным за безопасность

Слайд 16

Экономическая эффективность

Стоимость основного варианта защиты составляет около ста пятидесяти одной тысячи рублей, а ежегодные расходы — около тридцати двух тысяч. При этом ожидаемый ущерб от инцидентов снижается с трехсот семидесяти пяти до семидесяти пяти тысяч рублей в год, а чистый эффект составляет примерно двести шестьдесят восемь тысяч рублей. Таким образом, вложения в защиту окупаются примерно за семь месяцев.

Слайд 17

6

Критерий

Secret Net Studio 8

Dallas Lock 8.0-С

Сертификат ФСТЭК

№ 3745, до 16.05.2030

№ 2945, до 16.08.2029

Разграничение доступа

дискреционное и мандатное

дискреционное и мандатное

Контроль USB-устройств

да

да

Замкнутая программная среда

да

да

Контроль целостности

да

да

Персональный межсетевой экран

модуль в составе комплекта

отдельный модуль (около 2 300 руб.)

Предзагрузочная защита

требует отдельного средства доверенной загрузки

встроена в редакцию «С»

Цена на 1 АРМ

около 13 125 руб. («Постоянная защита», бессрочно)

около 18 600 руб. (базовая лицензия)

Слайд 18

Заключение

В работе достигнута поставленная цель: определен третий уровень защищенности, построена модель угроз и подобраны меры по приказу номер двадцать один. Также выбраны сертифицированные средства защиты, разработаны организационные меры, программа испытаний и экономическое обоснование. Полученный подход можно применять для защиты кадровых данных в небольшой организации, где требуется сочетать законность, практичность и разумные затраты.