58
Безопасность при разработке ИС может быть обеспечена следующими мерами:
1. Определение процедур разработки ИС. С целью снижения вероятности
возникновения проблем с безопасностью заранее должны быть определены методы и
средства разработки. Они должны охватывать все используемые языки
программирования (C++, JavaScript, SQL и пр.).
2. Организация среды разработки. Для организации безопасного процесса
разработки рекомендуется выделить рабочие места ответственных лиц в отдельный
защищенный сетевой сегмент, обеспечить рабочие места средствами антивирусной
безопасности и защиты от НСД, использовать "чистую" лицензионную политику. Эти
простые меры позволят значительно снизить риски несанкционированного доступа и
изменения кода посторонними лицами.
3. Обучение персонала методам безопасной разработки. Понимание проблем
безопасности современных приложений и новых способов атак крайне необходимо
для создания защищенной ИС, поэтому проведение тренингов по ИБ для
разработчиков может существенно повысить качество и безопасность ИС.
4. Анализ и тестирование исходных кодов на наличие уязвимостей и
недекларированных возможностей. Исходные коды должны периодически
анализироваться с помощью автоматизированных средств или в ручном режиме на
наличие распространенных ошибок, в том числе: межсайтовый скриптинг,
переполнение буфера, ошибки при проверке входных данных для обработки, ошибки
в процессе обработки данных, пароли в открытом виде и т.д. Альтернативным
решением может стать использование услуг третьих сторон по анализу кода на
уязвимость.
5. Разработка (получение) документации на ИС. Документация на ИС должна
включать описание применяемых защитных мер и функций, описанных в
техническом задании. С точки зрения ИБ документация как минимум должна
содержать:
59
· описание ролевой системы;
· описание механизмов доступа, регистрации событий, целостности,
резервирования;
· параметры настроек безопасности.
При приобретении ИС необходимо уделить особое внимание оформлению
договорных обязательств. Помимо указанных выше требований по обеспечению
безопасной разработки и поставки ИС, на поставщика должна быть возложена
ответственность на случай возникновения каких-либо инцидентов ИБ, связанных с
некачественной разработкой, нарушением правил поставки и пр. Также следует
учитывать наличие у разработчика необходимых лицензий на разработку и
эксплуатацию средств и систем защиты.
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Система мероприятий, направленных на защиту данных в разрабатываемой
системе включает ряд аспектов, а именно:
- защита данных непосредственно в ИС от различных внутренних угроз;
- защита информации от внешних угроз.
Для защиты от внутренних угроз в системе действует политика разделения
прав доступа. Характеристика политики представлена в таблице 6.
Таблица 6
Разграничение прав пользователей
Группы
пользовате
лей
Модуль
«Авторизация»
Модуль
«Регистрация
документа»
Модуль
«Постановка
на контроль»
Модуль
«Резолюц
ия»
Сотрудники Чтение Полный Чтение Ограничен
Руководитель Чтение Нет Полный Полный
Администра-
тор системы
Полный Полный Полный Полный
Защита от внешних угроз выполняется посредством применения таких
методов:
- применение программно-аппаратных систем;
- разработкой и ведение политик безопасности;
- применение защищенных средств связи при передаче данных;
60
- применение антивирусных средств;
- физическая защита помещений с наиболее ценными данными.
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и её описание
Информационная модель – это совокупность информации об объекте,
описывающая свойства и состояние объекта, процесса или явления, а также связи и
отношения с окружающим миром. Информационная модель представлена на рисунке
7.
Рисунок 7. Информационная модель системы
61
Администратор системы регистрирует работников, применяя справочник
«Должности» и изменяя содержимое таблицы «Сотрудники». Также он меняет
содержимое данной таблицы, корректируя информацию для доступа к системе
каждого работника.
Работник регистрирует документы, применяя документ и справочник «Типы
документов» и изменяя содержимое таблицы Документы.
Руководитель формирует резолюцию к документу, применяя таблицу
Документы и формируя таблицу Исполнение.
2.2.2. Характеристика нормативно-справочной, входной и оперативной
информации
В системе применяются справочники, представленные в таблице 8.
Таблица 8
Перечень используемых справочников
Название
справочника
Ответственный
за ведение
Средний
объём
справочника
в записях
Средняя
частоту
актуализации
Средний
объем
актуализации,
%
Должности Делопроизводитель 100 1 раз в месяц 10
Подразделения Делопроизводитель 10 1 раз в год 10
Сотрудники Делопроизводитель 20 1 раз в год 10
Документы Делопроизводитель 500 1 раз в месяц 25
Задачи Делопроизводитель 10 1 раз в год 10
2.2.3 Характеристика результатной информации
Результатноя информация представлена в виде отчетов и описана в таблице 9
Таблица 9
62
Описание выходных документов
№
пп
Номенклатура Реквизиты Таблицы, на
основе
которых
формируется
Частота
формирова
ния
1 Создание
·
Номер
· Дата
· Документ
· Задачи
· Подразделен
ие
·
Документ
· Задачи
· Подразделен
ие
·
Ежедневно
1 Регистрация
·
Номер
· Дата
· Документ
· Отметка о
регистрации
·
Документ
·
·
Ежедневно
1 Исполнение
·
Номер
· Дата
· Документ
· Задачи
· Подразделен
ие
· Исполнен
·
Документ
· Задачи
· Подразделен
ие
· Сотрудники
·
Ежедневно
2.3. Программное обеспечение задачи
2.3.1. Общие положения (дерево функций и сценарий диалога)
Сценарий диалога одовольно прост и имеет схожесть с интерфейсом многих
программных продуктов, с которыми пользователь уже скорей всего имел дело.
Применение структурированного меню и дочерних форм обеспечит возможность
конечному потребителю приложения максимально быстро добраться до необходимой
ему задачи.
63
Имея уже установленное представление выходной и входной информации,
основной задачей при разработке внутримашинной информационной базы является
создание структуры БД, которая обеспечивает:
- простоту и удобство работы;
- необходимые условия доступа к подбазам с учетом санкционированного
доступа к информации;
- достаточную производительность для работы в режиме реального
времени.
Структурно программа составляется из модулей, которые выполняют
отдельные операции, входящие в состав функционального набора АРМ.
По своему существу, диалог представляет собой процесс обмена сообщениями
между пользователем и вычислительной машиной, при котором производится
постоянная смена ролей информатора и реципиента, при этом смена паролей должна
быть достаточно оперативной.
Работа с информационной системой начинается с главной формы, через
которую можно выйти в необходимую подсистему (рисунок 8).
Рисунок 8. Дерево функций информационной системы
В программе представлены следующие справочники:
- должности
64
- подразделения;
- сотрудники
- документы;
- задачи.
Отчеты, а также, операции над ними. Это:
- создание;
- регистрация;
- исполнение.
Система является диалоговой, т.е. выполняет с функциональной точки зрения
процесс обмена сообщениями между пользователями и ЭВМ, при котором,
осуществляется постоянная смена ролей информатора и реципиента.
Для просмотра информации об общем объеме зарегистрированных документов
формируется отчет.
65
Рисунок 9. Сценарий диалога информационной системы
2.3.2. Характеристика базы данных
В базе данных отражается информация об определенной предметной области.
Предметная область - часть реального мира, которая представляет интерес для
данного исследования.
В автоматизированных ИС отражение предметной области создается путем
информационной модели. В зависимости от условия рассмотрения различают модели
данных нескольких уровней. Количество реально выделенных и поддерживаемых
самостоятельно уровней моделей зависит от особенностей системы управления
базами данных.
ER-модель является одним из компонентов концептуальной модели.
Использование ER- моделирования предоставляет много преимуществ:
66
- предписывая определенную методологию моделирования, делает анализ
предметной области более конкретным и целенаправленным;
- служит удобным средством документирования проекта;
- обеспечивает возможность вести проектирование АИС без привязки к
конкретной целевой системе управления базами данных и производить выбор
последней в любой момент.
В данной выпускной квалификационной работе ER-модель построена в ERWin
(рисунок 9).
Рисунок 9. ER-диаграмма в среде ERwin
ERwin имеет два уровня представления модели — логический и физический.
В данной работе, в соответствии с описанной предметной областью, были
выявлены следующие сущности: Документы, Задачи, Подразделения, Сотрудник,
Должности.
Для того, что бы реализовать связь M:M на физическом уровне были
добавлены дополнительные таблицы «Создание», «Исполнение», «Регистрация».
67
На основе физической модели была создана база данных в 1 С Предприятие.
Таблица 10
Описание таблиц базы данных
Наименование Хранимые данные
Подразделения Данные о подразделениях
Должности Данные о должностях
Сотрудники Данные о сотрудниках
Задачи Данные о задачах
Документы Данные о докуументах
Создание Данные о создании документов
Регистрация Данные о регистрации документов
исполнение Данные об исполнении документов
Характеристика каждой таблицы базы данных приведена ниже, в таблицах 11–
18.
Таблица 11
Таблица Задачи
Название поля Идентификатор
поля
Тип поля Длина
поля
Приме
чание
Код задачи Код задачи Счетчик Ключев
ое поле
Название Название Строка 20
Описание Описание Строка 20
Таблица 12
Таблица Должности
Название поля Идентификатор
поля
Тип поля Длина
поля
Приме
чание
Код должности Код должности Счетчик Ключев
ое поле
Название Название Строка 20
Таблица 13
Таблица Сотрудники
Название поля Идентификатор
поля
Тип поля Длина
поля
Приме
чание
Код сотрудника Код сотрудника Счетчик Ключев
ое поле
ФИО ФИО Строка 20
Телефон Телефон Строка 10
Код должности Код должности Счетчик
Код места Код места Счетчик
Таблица 14