49
ГОСТ 34.601–90 – стандарт распространяется на
автоматизированные системы, применяемые в разных видах деятельности,
включая их сочетания, создаваемые в компаниях. Стандарт определяет
этапы и стадии разработки автоматизированной системы;
ISO 12207 – стандарт используется при приобретении систем,
программных продуктов и предоставления соответствующих услуг
(сопровождение, внедрение). А также при поставке, создании, эксплуатации
и сопровождении программных систем и программных компонентов
программно-аппаратных средств внутри организации и вне ее;
ISO 15288 – стандарт регламентирует общие основы процессов,
которые составляют жизненной цикл систем, разработанных человеком;
RUP (Rational Unified Process – рациональный унифицированный
процесс) – это метод разработки ПО, созданная и распространяемая
корпорацией Rational Software. Она описывает упорядоченный способ
распределения задач и обязанностей в организации-разработчике;
XP (eXtreme Programming) – метод содержит в себе совершенно
другие базовые принципы, в отличие от RUP. Главными чертами данного
метода являются установление точных кратковременных планов,
постоянное перепланирование, непосредственное общение с заказчиком.
Данная модель больше подходит для инновационных и
полуисследовательских проектов;
MSF (Microsoft Solutions Framework – метод создания
программных решений) – В модели процессов приводится общее описание
организации работ над проектом по разработке и внедрению ИТ-решений.
В этом проекте следует использовать методологию разработки и
внедрения IT-решений – Microsoft Solution Framework (MSF). Данной
методологии будет достаточно.
Платформа Microsoft Solutions Framework (MSF) реализует гибкий
подход, который позволяет быстрее создавать технологические решения,
50
привлекая меньше людей, снижая риски и повышая уровень качества. MSF
помогает группам напрямую устранить основные проблемы с
технологическими процессами, что улучшает качество решений и влияние на
бизнес.
Модель управления MSF (которую ранее называли моделью процессов
MSF) позволяет быстро получать высококачественные результаты с
помощью проверенного жизненного цикла проекта, определяющего
основные действия по проекту.
Групповая модель MSF позволяет масштабировать проекты,
гарантировать выполнение потребностей заинтересованных лиц и определяет
роли и ответственности на основе целей.
Модель управления MSF (которую ранее называли моделью процессов
MSF) позволяет быстро получать высококачественные результаты с
помощью проверенного жизненного цикла проекта, определяющего
основные действия по проекту.
2.1.2. Ожидаемые риски на этапах жизненного цикла и их
описание
В процессе жизненного цикла ИС могут возникать различные риски, в
связи с которыми может быть сорвана разработка. Для их избежания
выполняется оценка вероятных рисков и разрабатываются методы, с
помощью которых можно обойти данные риски или минимизировать их
влияние.
Рассмотрим самые распространенные риски по этапам жизненного
цикла ИС в соответствии с выбранным стандартом.
Фаза разработки концепции – возможен риск сознания концепции,
которую в дальнейшем будет сложно и даже невозможно реализовать. В
разработки концепции должно приводиться описание основных функций
разрабатываемой ИС. Главное создать основу, и дальше развивать созданную
систему.
51
Фаза планирования – на данном этапе планирования возможен риск
допущения ошибок, разработка оптимистичных планов проекта, в которые
организация не успеет уложиться, в результате чего придется повышается
время разработки, что в свою очередь приведет к удорожанию проекта в
целом. К фазе планирования необходимо отнестись с особым вниманеи,
следить за каждым этапом и проводить анализ реалистичности результатов.
Фаза разработки – возможен рисок того что разработка какого-либо
модуля будет связана с большими трудностями, что какая-та функция будет
затруднять продвижение разработки. На этом этапе важно своевременно
определить проблемный модуль или задачу и по возможности упростить ее,
заменить другой или вообще убрать из проекта.
Фаза стабилизации – на данном этапе возможен риск выявления
множества ошибок в программном коде, что в свою очередь потребует
больших расходов на доработку и устранения всех обнаруженных ошибок
[17].
2.1.3. Организационно-правовые и программно-аппаратные
средства обеспечения информационной безопасности и защиты
информации
Система мероприятий, направленных на защиту информации в
разрабатываемой системе включает в себя несколько аспектов:
защита информации в информационной системе от различных
внутренних угроз;
защита информации от внешних угроз.
Защита от внешних угроз производится посредством применения таких
методов:
применением программно-аппаратных систем;
разработкой и реализацией политик безопасности;
применением за
α
щищенных ка
α
на
α
лов связи при переда
α
че да
α
нных;
использова
α
нием а
α
нтивирусных средств;
52
физической за
α
щитой помещений с ценной информа
α
цией.
Ха
α
ра
α
ктеристика
α
применемых средств от внешних угроз
информа
α
ционной безопа
α
сности предста
α
влена
α
в та
α
блице 4.
Та
α
блица
α
4
Ха
α
ра
α
ктеристика
α
используемых средств от внешних угроз
информа
α
ционной безопа
α
сности
Способ (метод)
Описа
α
ние (на
α
именова
α
ние средства
α
)
Програ
α
ммно-а
α
ппа
α
ра
α
тные
комплексы за
α
щиты
информа
α
ции
Межсетевой экра
α
н TrustAccess
Ра
α
зра
α
ботка
α
и соблюдение
политик безопа
α
сности
огра
α
ничение доступа
α
пользова
α
телей к
информа
α
ции;
а
α
на
α
лиз и ста
α
тистика
α
на
α
рушений
информа
α
ционной
безопа
α
сности;
информа
α
ционный мониторинг;
ра
α
спределение
ответственности по
обеспечению
информа
α
ционной
безопа
α
сности;
определение порядка
α
ра
α
боты с информа
α
цией,
являющейся конфиденциа
α
льной.
За
α
щита
α
ка
α
на
α
лов связи
протокол SSH
СЗИ TrustAccess - Сертифицированный распределенный межсетевой
экран высокого класса защиты для управления доступом внутри защищаемой
сети
СЗИ TrustAccess предназначено для решения следующих типовых
задач:
Разделение локальной сети на сегменты, обрабатывающие
защищаемую информацию
Разграничение доступа к информационным системам на сетевом
уровне
Основные возможности
Аутентификация
53
В TrustAccess реализован собственный механизм аутентификации,
основанный на протоколе Kerberos, обеспечивающий защиту от
прослушивания, попыток подбора и перехвата паролей
Контроль целостности
Встроенная подсистема контроля целостности TrustAccess
обеспечивает слежение за неизменностью содержимого служебных файлов
Централизованный сбор событий
В TrustAccess реализован централизованный сбор и аудит событий
информационной безопасности со всех компьютеров, на которых
установлены компоненты системы
Фильтрация
TrustAccess может ограничивать сетевые соединения на уровне
служебных протоколов, периодов времени, пользователей или их групп,
параметров прикладных протоколов
Централизованное управление
TrustAccess позволяет централизованно управлять учетными записями
абонентов, списком защищаемых компьютеров, а также средствами и
механизмами защиты
Система отчетов
TrustAccess предоставляет наглядные отчеты о происходящих на
защищаемых компьютерах событиях, сетевой активности и конфигурации
системы
Преимущества:
Быстрое развертывание без изменения существующей инфраструктуры
Разграничение доступа в терминальной среде, защита виртуальных
машин
Поддержка ролевого разграничения доступа
Централизованное управление и аудит событий ИБ
Защита ИСПДн и ГИС
54
Кроме того, TrustAccess, установленный на сегментированные участки
сети, позволяет снизить уровень защищенности ПДн или класс
защищенности ГИС сегментированных участков и, соответственно,
сэкономить на защите.
TrustAccess состоит из следующих программных компонентов:
сервер управления TrustAccess – центральная часть,
обеспечивающая взаимодействие всех компонентов TrustAccess, обработку
и хранение данных. Включает в свой состав ПО протокола Kerberos,
применяемое для аутентификации абонентов TrustAccess, а также ПО,
используемое для регистрации событий безопасности и хранения
конфигурации TrustAccess. Устанавливается на выделенный сервер
(рекомендуется) или на один из компьютеров сети, функционирующий под
управлением ОС Windows (например, рабочее место администратора
безопасности или защищаемый сервер);
агент межсетевого экрана TrustAccess – предназначен для
аутентификации субъектов доступа и защищаемых объектов, образования
доверенного канала передачи данных и обеспечения функции
разграничения доступа к защищаемым объектам;
АРМ администратора TrustAccess – обеспечивает
централизованное управление механизмами защиты и абонентами.
Устанавливается на рабочее место администратора безопасности;
сервер обработки событий – предназначен для сбора и обработки
данных аудита с агентов и с сервера управления;
сервер построения отчетов – обеспечивает генерацию отчетов на
сервере обработки событий;
Программное обеспечение компонентов TrustAccess работает под
управлением операционных систем семейства Windows.
Программное обеспечение агента межсетевого экрана может быть
установлено на компьютеры сети с доменной архитектурой как локально, так
55
и дистанционно, с помощью механизма групповых политик Active Directory
[18].
Для анализа трафика в компьютерной сети и недопущения сетевых атак
на серверах предприятия предлагается установить систему обнаружения
сетевых атак IDS Snort
Snort является открытой Network Intrusion Detection/Prevention System
(NIDS/NIPS) системой, позволяющей проводить анализ трафика в реальном
времени, а также логинг пакетов в IP сетях. Он позволяет анализировать
протоколы верхних уровней на предмет поиска и соответствия нужного
содержимого и может использоваться для обнаружения различных атак,
таких как buffer overflows, stealth port scans, CGI attacks, SMB probes, OS
fingerprinting attempts и других.
Для работы IDS/IPS Snort необходим как можно более мощный сервер
с большим объёмом дискового пространства для хранения базы событий.
Для развертывания Snort нужно установить и настроить несколько
программ:
ОС FreeBSD или MS Windows;
Snort – са
α
м сенсор с детектора
α
ми для выявления а
α
та
α
к;
Libpcap – сниффер для за
α
хва
α
та
α
па
α
кетов;
СУБД MySQL – для хра
α
нения БД событий;
PHP – язык ра
α
зра
α
ботки для Web;
Apache – web-сервер;
Basic Analysis and Security Engine (BASE) – консоль упра
α
вления и
просмотра
α
событий (alerts);
Oinkmaster – утилита
α
для обновления сигна
α
тур и некоторые другие.
Та
α
кже будет необходима
α
на
α
стройка
α
коммута
α
тора
α
в лока
α
льной сети для
сбора
α
интересного тра
α
фика
α
.
56
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и её описание
Информа
α
ционна
α
я модель - это схема
α
движения входных,
промежуточных и результа
α
тивных потоков и функций предметной обла
α
сти. К
тому же она
α
объясняет, на
α
ка
α
ких входных документов и ка
α
кой норма
α
тивно-
спра
α
вочной информа
α
ции происходит выполнение функций по обра
α
ботке
да
α
нных и формирова
α
ние конкретных выходных документов.
Информа
α
ционна
α
я модель приведена
α
на
α
рисунке 7.
Рисунок 7. Информа
α
ционна
α
я модель системы
В соответствии с приведенной информа
α
ционной моделью, ра
α
бота
α
системы осуществляется следующим обра
α
зом.
Делопроизводитель системы ведет список объектов строительства
α
,
используя спра
α
вочник «Объекты строительства
α
» и Список документов
изменяя содержимое та
α
блицы «Документы». Та
α
кже он изменяет содержимое
57
да
α
нной та
α
блицы, реда
α
ктируя да
α
нные для доступа
α
к системе ка
α
ждого
сотрудника
α
.
Сотрудник регистрирует движение документов, используя спра
α
вочник
изменяя содержимое та
α
блиц Приием документа
α
, Отпра
α
вка
α
документа
α
и
А
Α
рхив.
2.2.2. Характеристика нормативно-справочной, входной и
оперативной информации
В системе используются справочники, приведенные в таблице 5.
Таблица 5
Перечень используемых справочников
Название
справочника
Ответственный
за ведение
Средний
объём
справочника
в записях
Средняя
частоту
актуализации
Средний
объем
актуализации,
%
Документы
Делопроизводитель
100
1 раз в месяц
20
Вид документа
Делопроизводитель
10
1 раз в год
15
Организации
Делопроизводитель
20
1 раз в год
15
Объекты
строительства
Делопроизводитель
500
1 раз в месяц
25
Ответственные
лица
Делопроизводитель
20
1 раз в месяц
25
Список документов, находящихся в архиве, а также список документов,
находящихся на контроле, отличаются наличием места хранения.
2.3. Программное обеспечение задачи
2.3.1. Общие положения (дерево функций и сценарий диалога)
Сцена
α
рий диа
α
лога
α
очень прост и схож с интерфейсом множества
α
програ
α
ммных продуктов, с которыми пользова
α
тель уже возможно имел дело.
Использова
α
ние структурирова
α
нного меню и дочерних форм позволит
конечному потребителю приложения на
α
иболее быстро добра
α
ться до
необходимой ему за
α
да
α
чи.
58
Работа с информационной системой начинается с главной формы,
через которую можно выйти в нужную подсистему (рисунок 8).
Рисунок 8. Дерево функций информационной системы
В программе представлены следующие справочники:
Объекты строительства
Организации
Вид документа
Документ
Ответственные лица
В справочниках хранится вся информация о документах, объектах
строительства, ответственных дицах.
Отчеты, с помощью которых делопроизводитель владеет полной
информацией о документах,. это:
входящие;
исходящие
архив.