53
Таким образом, каскадный метод более всего подходит к конкретной
разработке, следовательно, используем стандарт ISO/IEC 12207.
2.1.2 Ожидаемые риски на этапах жизненного цикла и их
описание
В этом разделе приводится описание рисков, которые могут возникнуть в
процессе жизненного цикла информационной системы. К рискам относится
появление обстоятельств, делающих невозможным получение ожидаемых
результатов, нанесение материального ущерба.
Существуют проектные риски и технические и бизнес-риски.
Проектные возникают на этапе планирования и связаны с бюджетом,
графиком работ, изменениями в текущем законодательстве, проблемами с
персоналом.
Техническими рисками являются обстоятельства, связанные техническими
решениями и человеческим фактором.
Бизнес-риски связаны с финансовой поддержкой, к которой можно отнести,
например, сокращение бюджета. Бизнес-риски не могут быть исключены совсем,
но могут быть минимизированы.
В таблице 2.1 описаны характеристики дефектов программного продукта
Таблица 2.1
Характеристики дефектов программного продукта
Этапы
Типы первичных
дефектов и ошибок
Формирование
требований
Разработка требований к
ПО
Дефекты в исходных
требованиях заказчика
Проектирование
Планирование работ
Дефекты,
обусловленные
сложностью проекта
Проектирование
архитектуры системы
Ошибки планирования
и проектирования
программного средства
Детальное
проектирование
программы
Системные и
алгоритмические
ошибки в проекте
54
Реализация
Программирование
Программные ошибки
компонентов
программного средства
Тестирование
Тестирование
программного
обеспечения
Программные и
алгоритмические
ошибки программного
средства
Ввод в действие
Разработка
документации
Дефекты и ошибки
документов
Эксплуатация и
сопровождение
Эксплуатация
программного
обеспечения
Программные дефекты.
Риски возникающие на этапе эксплуатации:
1. Риск активных действий злоумышленников для защиты, от которых
необходимо применять средства защиты от внешних угроз такие как применение
антивирусных программ, системы защиты от несанкционированного доступа,
защита локальной сети от внешних вторжений с помощью межсетевых экранов.
2. Риски случайных негативных дефектов системы или ошибочных действий
пользователя в результате которых функциональная работоспособность системы
может выйти из строя не полностью, но невозможно выполнение требуемых
функций и требований к качеству информации для потребителей.
Для того чтобы снизить риски, связанные с дефектами в системе,
необходимо проводить тщательное тестирование с приближенными к реальности
данными, а для исключения ошибок связанных с действиями пользователей при
проектировании надо исключить возможность ввода неправильных данных и
защиту от удаления и порчи данных.
На стадии доработки информационной системы могут появляться
следующие риски:
Нежелание персонала работать в новой системе;
Отсутствие поддержки со стороны ключевых участников;
Не участие руководства;
Для того чтобы минимизировать перечисленные риски необходимо довести
до персонала необходимость внедрения проекта, вовлекать руководство в
проектактивно взаимодействуя сними в ходе реализации проекта.
55
2.1.3 Организационно-правовые и программно-аппаратные
средства обеспечения информационной безопасности и защиты
информации
Для реализации мер по защите информации в разрабатываемой
информационной системе применяются следующие шаги:
Защита от внутренних угроз непосредственно в информационной системе,
которая подразумевает разграничение прав пользователей. Пример разграничения
прав приведен в таблице 2.2.
Таблица 2.2
Разграничение прав пользователей
Предмет доступа
Специалист АДО
Экономист
Внутренние
документы
Чтение/ Редактирование/
Регистрация
Чтение/Редактирование
Входящие
документы
Чтение/ Редактирование/
Регистрация
Чтение
Исходящие
документы
Чтение/ Редактирование/
Регистрация
Чтение/Редактирование
Мероприятия
Чтение/ Редактирование
Чтение
Проекты
Чтение/ Редактирование
Чтение
Следующим шагом является защита от внешних угроз для реализации
которых используются следующие способы:
Используются программно-аппаратные комплексы
Соблюдение разработанной политики информационной безопасности
Использование защищенных каналов связи
Использование антивирусных продуктов
Использование программных средств защиты от несанкционированного
доступа.
В таблице 2.3 приведены используемые средства защиты от внешних угроз.
Таблица 2.3
Используемые средства защиты от внешних угроз информационной
безопасности
Способ (метод)
Описание (наименование средства)
56
Программно-аппаратные комплексы
МЭ AlTell Neo 120
Разработка и соблюдение политик
безопасности
разграничение прав пользователей;
анализ нарушений информационной
безопасности;
распределение ответственности по ИБ.
определение порядка работы с
защищаемой информацией.
Антивирусная защита
Kaspersky Endpoint Security
Физическая защита помещений
СКУД «Sigur»
ALTELL NEO 120 является программно-аппаратным комплексом с
собственной операционной системой на базе ядра linux который реализует все
требования к защите информации для автоматизированных систем до класса
защищенности 1Б.
Altell предназначен для защиты локальной сети от внешних угроз. Для
защиты АРМ сотрудников, непосредственно на рабочих местах применяется
средство защиты информации Dallas Lock 8.0 который предназначен для защиты
конфиденциальной информации, в том числе содержащейся в
автоматизированных системах до класса 1Г включительно, в государственных
информационных системах (ГИС) до 1 класса защищенности включительно, в
информационных системах персональных данных (ИСПДн) для обеспечения 1
уровня защищенности ПДн, в автоматизированных системах управления
производственными и технологическими процессами (АСУ ТП) до 1 класса
защищенности включительно. Программный продукт выполняет следующие
функии:
идентификация и аутентификация в информационной системе;
управление доступом к компонентам информационной системы и
информационным ресурсам;
ограничение программной среды;
регистрация событий безопасности в информационной системе;
обеспечение целостности информационной системы и информации.
57
2.2 Информационное обеспечение задачи
2.2.1 Информационная модель и её описание
Информационная модель отображает схему потоков движения входных,
промежуточных и результирующих данных, а также функций предметной
области. Кроме того, в ней объясняется на основе каких входных данных и какой
нормативно-справочной информации проводится обработка и формируются
выходные документы.
На рис. 2.1. представлена информационная модель
58
Рис. 2.1 Информационная модель системы
59
Вышеприведенная информационная модель иллюстрирует работу
информационной системы, которая функционирует следующим образом.
Администратор заводит сотрудников используя справочники «Сотрудники»
и «Должности» и определяет права доступа в системе каждому пользователю.
Сотрудник в свою очередь регистрирует документы используя справочник
«Типы документов» и модифицируя таблицу Документы.
Со стороны руководителя происходит формирование резолюции с
использованием таблицы документы и заполнением таблицы Резолюции.
Информационная модель состоит из трех областей – первая область, в
которой происходит заполнение справочников, вторая область, в которой
показана, как осуществляется работа с документами, и третья область, где
указано, каким образом осуществляется получение выходных документов.
В первой области основываясь на входных документах администратор
заполняет следующие справочники:
Подразделения
Пользователи
Роли пользователей
Номенклатура
Виды документов
Заполнение справочников происходит с использованием соответствующих
форм.
Во второй области используются экранная форма регистрация папки и
документа. В результате информация о документах и папках сохраняется в
справочниках.
В третей области администратор и пользователь системы получает на экран
состав справочников, а также список документов и папок. При этом используются
данные из всех справочников системы и таблицы Документы. При необходимости
данные документы можно вывести на печать.
2.2.2 Характеристика нормативно-справочной, входной и
оперативной информации
60
В качестве входной информации в разработанной информационной системе
документооборота используются документы и сведения:
Перечень подразделений предприятия;
Список сотрудников предприятия;
Номенклатура дел.
Данные документы вносятся в систему вначале ее работы.
В системе используются справочники, приведенные в таблице 2.4.
Таблица 2.4
Перечень используемых справочников
№
пп
название
справочника
ответственный
за ведение
средний объём
справочника в
записях
среднюю
частоту
актуализации
средний объем
актуализации,
%
1
Структура
подразделения
Администратор
30
1 раз в месяц
10
2
Группы
доступа
Администратор
10
1 раз в год
10
3
Пользователи
Администратор
100
1 раз в год
10
4
Номенклатура
Пользователь
200
1 раз в год
25
5
Папки
Пользователь
250
ежедневно
25
6
Адреса
Пользователь
150
ежедневно
10
7
Файл
Пользователь
100
ежедневно
10
Справочник «Структура предприятия» содержит наименование всех
подразделений предприятия.
На рисунке 2.2 приведен макет формы справочника «Структура
предприятия».
61
Рис. 2.2 Макет формы справочника «Структура предприятия»
Макет формы справочник «Роли» пользователей включает наименование
роли пользователя, а также определенные права на чтение, добавление или
удаление документов, файлов, папок представлены на (рис. 2.3).
Рис. 2.3 Макет формы справочника «Роли пользователей»
62
В макет формы справочника «Пользователи» содержатся следующие
сведения(рис. 2.4):
Имя пользователя
Фамилия ;
Имя и отчество;
Подразделение;
Должность;
Рис. 2.4 Макет формы справочника «Пользователи»
Макет формы справочника «Номенклатура дел» (рис.2.5) составляется в ходе
использования номенклатуры дел бумажного документооборота и содержит
следующие реквизиты:
Наименование;
Номер тома;
Количество страниц;