Аннотация
ВВЕДЕНИЕ 4
1. ПРОБЛЕМЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ 6
1.1. ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ 6
1.2. УГРОЗЫ ИНФОРМАИОННОЙ БЕЗОПАСНОСТИ 8
1.3. ПОЛИТИКА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ 11
2. БЕЗОПАСНОСТЬ SAP ERP 15
2.1. ОБЗОР ТЕКУЩЕГО СОСТОЯНИЯ СИСТЕМЫ 15
2.2. ПРОЦЕСС ВЕДЕНИЯ ПОЛНОМОЧИЙ 19
2.3. ВЕДЕНИЕ РЕЕСТРА КРИТИЧЕСКИХ ПОЛНОМОЧИЙ 19
2.3.1. ПРОТОКОЛИРОВАНИЕ СОБЫТИЙ БЕЗОПАСНОСТИ 19
2.3.2. ПРОТОКОЛИРОВАНИЕ ИЗМЕНЕНИЙ В ТАБЛИЦАХ 20
2.3.3. ПРОТОКОЛИРОВАНИЕ ДОСТУПА У SAP GATEWAY 20
2.4. СОЗДАНИЕ СТРУКТУРЫ РЕЕСТРА 21
3. РЕАЛИЗАЦИЯ 24
3.1. РЕАЛИЗАЦИЯ РЕЕСТРА КРИТИЧЕСКИХ ПОЛНОМОЧИЙ 24
3.2. ВНЕДРЕНИЕ SoD 26
ЗАКЛЮЧЕНИЕ 38
ЛИТЕРАТУРА 39
ПРИЛОЖЕНИЕ 1 Текст программы 41
В наше время, активно развивающихся информационных технологий, успешное функционирований больших и средних компаний невозможно без грамотно вытроенной IT-инфраструктуры, которая позволяет компании правильно и эффективно существовать, и развиваться. В связи с этим важную роль начинает играть информационная безопасность, так как вся информация компании находится в цифровом виде. Поэтому жизненно важно защищать информацию компании как от внешних, так и от внутренних нарушителей.
Основополагающую роль в IT-инфраструктуре компании играет ERP система, которая практически помогает управлять всеми бизнес процессами компании, так что она содержит саму важную бизнес информацию. Главным механизмом защиты является разграничение полномочий пользователей в ERP системе. Данный механизм позволяет в соответствии с бизнес ролями каждого сотрудника дать ему соответствующие полномочия по работе с той или иной информацией. Это необходимо, поскольку на рынке огромное количество конкурентов и от того, как работает фирма, как настроены ее роли в системе будет зависеть ее конкурентоспособность. Именно поэтому разработка и совершенствование ERP-системы на сегодняшний день является актуальной темой.
Разграничение полномочий также не гарантирует того, что с данными ничего не случится. Для этого необходимо выделить те данные в информационной системе, которые являются для компании важными. Сотрудникам, отвечающим за эти данные необходимо создавать объекты полномочий. Такие объекты полномочий будут являться критическими и контроль за ними должен быть на постоянной основе. При любом входе в объекты критических полномочий должна создаваться запись в журнале и при искажении данных в будущем можно было бы проследить, кто это сделал. Такой контроль позволит свести к минимуму искажение данных.
Целью работы является разработка системы управления безопасностью на уровне данных в системе SAP ERP на НПО «Электромашина». Для достижения поставленной цели необходимо выполнить следующие задачи.
1. Изучить систему безопасности SAP ERP.
2. Выявить уязвимые места информационной системы.
3. Изучить процесс управления полномочиями.
4. Внедрить матрицу SoD.
5. Разработать структуру реестра критических объектов полномочий.
6. Реализовать программу, которая будет осуществлять мониторинг вхождения критических объектов полномочий в действующие роли продуктивной системы предприятия и оповещающую администратора системы.
7. Провести тестирование.
8. При успешном тестировании, внедрить все разработки в продуктивную систему.
Объект исследования - система безопасности SAP ERP на предприятии НПО «Электромашина».
В первой главе квалификационной работы рассказывается про информационную безопасность. Приведены примеры угроз информационной безопасности, а также способы их решения.
Во второй главе показана структура и описание реестра критических объектов полномочий. Описан процесс ведения полномочий.
В третьей главе выпускной квалификационной работы приведена реализация программы, которая осуществляет мониторинг вхождения критических объектов полномочий в действующие роли системы предприятия.
В результате выполнения выпускной квалификационной работы была изучена система безопасности SAP ERP. Выявлены проблемные места, а также уязвимости, которые позволяли пользователям совершать действия, которые не допускаются им по служебным обязанностям. Предложены способы решения выявленных проблем.
Изучена система управления полномочиями. Разработан свой процесс ведения полномочий. Выявлены критические объекты полномочий. Искажение данных объектов может понести для предприятия большие финансовые потери.
Разработана структура реестра критических объектов полномочий. Описан регламент добавления и ведения данных полномочий. Разработка была интегрирована в общую систему управления безопасностью.
Реализована программа, которая будет осуществлять мониторинг вхождения критических объектов полномочий в действующие роли системы и оповещающая администратора системы.
