42
направлении. Задачей для автоматизации выбираем кредитование в сфере
регистрации кредитных заявок физических лиц и оценке их кредитоспособности
с помощью системы скоринга (системы анализа рисков).
Стоимость скоринговой системы может колебаться в среднем в пределах от
20 до 200 тыс. долларов, что говорит о перспективах самостоятельной
разработки подобных систем. В работе в качестве скоринговых моделей будем
реализовывать лишь множественные линейную и логарифмическую регрессии
как наиболее перспективные.
Для работы компьютеров менеджеров выберем операционную систему
Windows 8.1. В качестве базы данных выберем клиент-серверную СУБД MSSQL.
В качестве языка программирования – C# (си-шарп).
43
II Проектная часть
2.1.Разработка проекта автоматизации
2.1.1.Этапы жизненного цикла проекта автоматизации
В качестве этапов жизненного цикла выберем стандарт ISO/IEC 15288
«System life cycle processes», который впервые был принят в 2002 году.
Стандарт ISO/IEC 15288 устанавливает единый подход для описания
жизненного цикла систем, созданных человеком. Он определяет множество
процессов и связанную с ними терминологию (в том числе: жизненный цикл,
модель жизненного цикла, процесс, стейкхолдер и т.д.).
Выделенные из этих множеств процессы могут быть применены на
протяжении всего жизненного цикла для управления и исполнения этапов
жизненного цикла системы [14, стр. 65-66].
Стандарт также описывает процессы, поддерживающие определение,
управление и улучшение процессов жизненного цикла, используемых внутри
организации или проекта.
Организации и проекты могут использовать эти процессы жизненного
цикла при приобретении и поставке системы.
ISO/IEC 15288 предлагает похожую схему рассмотрения жизненного цикла
системы в виде набора процессов. Каждый процесс описывается набором его
результатов (outcomes), которые достигаются при помощи различных видов
деятельности. Всего выделено 26 процессов (см. табл. 4), объединяемых в 5
групп.
Функции, выполняемые этими процессами, характеризуются в терминах
определенных целей, результатов и множества действий и задач, образующих
процесс. Каждый процесс жизненного цикла, приведенный в табл. 4, может
применяться в любое время по жизненному циклу, когда это востребовано.
Рекурсивное использование процессов (т. е. повторяемое использование
того же самого процесса или множества процессов) применяется к
последовательным уровням системных элементов из структуры системы — это
основной аспект приложения настоящего стандарта [1].
44
Таблица №4
Процессы жизненного цикла систем по ISO 15288 [25]
Процессы
выработки
соглашений
Процессы уровня
организации
Процессы уровня
проекта
Технические
процессы
Приобретение
системы;
Поставка
системы
Управление
окружением;
Управление
инвестициями;
Управление
процессами;
Управление
ресурсами;
Управление
качеством
Планирование;
Оценивание;
Мониторинг;
Управление
рисками;
Управление
конфигурацией;
Управление
информацией;
Выработка
решений
Определение
требований;
Анализ требований;
Проектирование
архитектуры;
Реализация;
Интеграция;
Верификация;
Валидация;
Передача в
использование;
Эксплуатация;
Поддержка;
Изъятие из
эксплуатации
В процессы выработки соглашений относятся продукты, которые
поставляются для использования эксплуатируемой системой – это используемые
в проекте клиент-серверные базы данных MSSQL и среда разработки Microsoft
Visual Studio 2017. Эти этапы относятся к наиболее простым, но наиболее
затратным на начальном этапе разработки.
Процесс управления моделью обеспечивает политику жизненного цикла,
процессы, модели и процедуры, совместимые с целями организации, которые
определяются, адаптируются, совершенствуются и поддерживаются. В нашем
случае организацией выбрана ПАО «Сбербанк» с целью разработки скоринговой
модели с учетом документооборота компании.
45
Цель процесса управления ресурсами - обеспечить организацию
необходимыми человеческими ресурсами и поддерживать их компетентность на
уровне, совместимом с бизнес-потребностями. На этом этапе проводится поиск
разработчиков и тестировщиков разрабатываемой модели. Данный этап является
один из наиболее ответственных, т.к. от него зависит результат всего процесса в
целом. В нашем случае разработчиком выступает автор ВКР, а тестировщиком –
сотрудники ПАО «Сбербанк».
Цель процесса управления качеством - соответствие продуктов, услуги и
реализации процесса управления качеством организационным и проектным
целям управления качеством и достижение удовлетворенности заказчика. С
учетом этого в проекте проводится постоянный мониторинг тех требований,
которые выдвигает банк.
В рамках управления знаниями, в проекте используются те определения и
формы, которые установлены банком.
Цель процесса планирования проекта - произвести и скоординировать
эффективные и осуществимые планы.
Цель процесса оценки и контроля проекта - обеспечить сбалансированность
и выполнимость планов, определить статус проекта, его технического
выполнения и реализации процессов. Эту цель выполняет руководитель
выпускного проекта и руководство банка.
Цель процесса управления рисками - непрерывно идентифицировать и
анализировать риски, реагировать на них и контролировать. Данный этап
подробно расписан в п. 2.1.2.
Цель управления конфигурацией - управлять и контролировать системные
элементы и конфигурации по жизненному циклу. Управление конфигурацией
также гарантирует содержательность между продуктом и определением
конфигурации, связанным с этим продуктом. В рамках данного этапа
разрабатываются два типа конфигураций – конфигурация скорингового проекта
для администратора системы (возможность редактирования строки соединения и
учетных записей пользователей) и для менеджера банка (создание кредитной
заявки и ее сопровождение до согласования).
46
Все остальные процессы и этапы, указанные в табл. 4 стандарта, являются
последующими пунктами ВКР и рассматриваются в инфологической модели
проекта и в п. 1.4. Их подробно рассматривать не будем.
2.1.2. Ожидаемые риски на этапах жизненного цикла и их описание
Использование информационных систем и технологий связано с
определенной совокупностью рисков. Оценка рисков необходима для контроля
эффективности деятельности в области информационной безопасности,
принятия целесообразных защитных мер и построения эффективных
экономически обоснованных систем защиты.
Основу риска образуют возможные уязвимости и угрозы для организации,
поэтому выявление потенциальных или реально существующих рисков
нарушения конфиденциальности и целостности информации, распространения
вредоносного программного обеспечения и финансового мошенничества,
классификация угроз информационной безопасности является одной из
первичных задач по защите приложений.
Управление рисками включает в себя два вида деятельности, которые
чередуются циклически:
регламентную оценку рисков;
выбор эффективных и экономичных защитных средств
(нейтрализация рисков).
По отношению к выявленным рискам возможны следующие действия:
ликвидация риска (например, за счет устранения уязвимости);
уменьшение риска (например, за счет использования
дополнительных защитных средств или действий);
принятие риска (и выработка плана действия в соответствующих
условиях).
Основные виды атак, вызванные прокладкой и обслуживанием ЛВС,
рассмотрены в табл. 5.
47
Таблица №5
Описание рисков (атак)
Описание рисков (атак)
Ущерб
Вероятность
Физическое повреждение магистрального кабеля
ЛВС и сети WiFi организации
2
2
Неавторизованное использование ПО
2
3
Ошибка технического обслуживания АРМ
1
3
Ошибки ПО
1
4
Ошибка при техническом обслуживании ЛВС и сети
WiFi
1
2
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
В Windows имеется два инструмента, которые позволяют манипулировать
содержимым групп пользователей операционной системы Windows. Другими
словами, добавить пользователя в определенную группу или, наоборот,
выкинуть его оттуда под силу сразу двум инструментам Windows:
1.Консоль Управление компьютером.
2.Редактор локальной групповой политики.
Доступ разграничивается только на уровне каталогов. Ограничение доступа
к отдельным файлам не проводится.
Назначение прав доступа выполняется на базе групп безопасности.
Назначение прав доступа на отдельные учетные записи пользователей не
проводится. Явно запрещающие полномочия доступа (deny permissions) не
применяются.
Разграничение прав доступа проводится только на уровне файловой
системы. На уровне сетевых протоколов SMB/CIFS права не разграничиваются
(Группа «Все» – полномочия «Чтение/Запись» / Everyone – Change).
При настройке сетевого доступа к файловому информационному ресурсу в
настройках SMB/CIFS устанавливается опция «Перечисление на основе доступа
(Access based enumeration)».
48
В вычислительной сети пользователи выборочно наделяются правами
доступа к каталогам и создаются группы для предоставления доступа к общим
сетевым ресурсам (см. табл. 6).
Таблица №6
Разграничение прав пользователей
Группы
пользователе
й
Уровни
доступа к
внутренним
ресурсам
Модуль для
администрато
ра
Модуль для
менеджера
Доступ в
Internet
Менеджер
По
необходимост
и ограничение
доступа к
папкам
Отсутствует
Полный
Идентификация
пользователя,
ограничение по
IP-адресу
адресата и
источника,
ограничение по
входящей и
исходящей
корреспонденц
ии
Системный
администрат
ор
Права
администрато
ра во всех
каталогах
Полный
Редактирован
ие
пользователей
Все сетевые
ресурсы
Допуск персонала к работе с защищаемыми информационными ресурсами
банка осуществляется только после его ознакомления с настоящими
политиками, а так же иными инструкциями пользователей отдельных
информационных систем. Согласие на соблюдение правил и требований
настоящих политик подтверждается подписями сотрудников в «Журнале
проведения инструктажа по информационной безопасности».
49
В качестве программно-аппаратной защиты информации можно
использовать резервное копирование, которое подразделяется на различные
виды в зависимости от задач, которые ставятся перед реализующим его
программным обеспечением. В одних случаях пользователям необходимо лишь
создавать копии важных файлов, хранящихся на диске, в других — создавать
полноценные образы операционной системы с возможностью отката всех
предыдущих изменений.
Компонент Windows Backup And Restore [32] (Архивация и
Восстановление) стал доступен пользователям начиная с выхода операционной
системы Windows Vista и отвечает за создание полного бекапа операционной
системы с возможностью инкрементного резервирования. С выходом
операционной системы Windows 8 этот компонент сменил название на Windows
7 File Recovery. Хотя он ничего из своего функционала и не потерял, Microsoft
рекомендует использовать для резервирования данных новую утилиту File
History, которая включена в операционные системы Windows 8 и Server 2012, но
о ней мы расскажем чуть позже. Windows Backup And Restore позволяет
создавать автоматический полный бекап на сменный носитель, оптические
диски или в специальное место на удаленном сервере.
Последняя возможность доступна только для определенных редакций
Windows 7/8, так как позиционируется как решение для ИT-администраторов
компаний. Полный бекап системы в случае использования этого компонента
предполагает не только сохранение файлов пользователей, но и возможность
создания образа всей операционной системы и резервирование отдельных
дисков компьютера. Для пользователя также доступно создание исключительно
образа системы, который впоследствии можно не только извлечь на новый
носитель этого компьютера, но и использовать как виртуальный диск в системах
виртуализации.
Windows File History, новый компонент операционных систем Windows 8 и
Server 2012, в некотором роде замещает своего предшественника — Windows
Backup And Restore. Он призван заменить только инкрементное файловое
резервирование, в то время как создание образов системы и режим полного
50
резервного копирования могут быть выполнены исключительно с помощью
Windows 7 File Recovery.
Компонент Windows File History [27] изначально разрабатывался как
удобное и практичное решение для пользователей, которым необходим
прозрачный способ резервирования своих важных данных. При разработке этой
утилиты особое внимание было уделено простоте инициализации процесса в
сочетании с возможностью удобного и быстрого просмотра всех сохраненных
данных.
Процесс резервирования с помощью новой утилиты происходит незаметно
для пользователя в автоматическом режиме и не требует от него
дополнительных действий. Нельзя не отметить модифицирования
резервирования на сетевые устройства, что позволяет легко и удобно работать с
сохраненными файлами, если используются мобильные подключения или
слабые каналы связи.
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и её описание
Информационная модель представляет собой схему, отражающую
преобразование информационных реквизитов от источников информации до её
получателей или, иными словами, процесс обработки информации в
информационной системе.
Далее приведена информационная модель задачи по одобрению кредита с
использованием скоринговой модели (рис. 9).
Область 1 отображает процесс конфигурирования ИС в части ввода
пользователей ИС и их редактирования, а также изменения строки подключения
к базе данных.
Форма «Авторизация администратора» получает данные от файла со
строкой соединения «string.string» и таблицы «Users» и предполагает
выполнение лишь операции авторизации в ИС.
Форма «Редактирование пользователей» предполагает выполнение двух
видов операций:
51
Решение по
кредиту
Т «Users»
Авторизация
администратора
Менеджер ИС Администратор
Т «Tasks»
Т «Klients»
Ф «string.string»
Клиент
Авторизация
менеджера
Т* «Users»
Т* «Tasks»
Т* «Klients»
Т* «Kredits»
Т* «Guarantor»
Т* «Jobs»
Т* «ZP»
Ф* «string.string»
Т* «Tasks»
Редактирование
пользователей
Главное окно
Кредитная
заявка
Личные данные
Трудовая
деятельность
Поручители
Заявка на кредит
1
2
3
4
Рисунок 9. Информационная модель скоринговой системы