27
данных, преимущества в скорости поиска, выборе и сортировке и
корректировке данных. Еще одним неоспоримым преимуществом
использования автоматизированной информационной системы является
обеспечение минимальных трудовых и стоимостных затрат на обработку
данных, улучшение качества обслуживания и повышение экономической
эффективности за счёт более точного предоставления необходимых
документов [6].
Рисунок 7. Схема документооборота ООО Наяда-Столица
1.2.4. Анализ системы обеспечения информационной безопасности и
защиты информации
Требования по обеспечению информационной безопасности при
создании и эксплуатации системы обусловлена характером обрабатываемой в
рамках системы и передаваемой по каналам связи информации. В первую
очередь это касается конфиденциальной информации (персональные данные,
бухгалтерская отчетность, зарплата, цены на материалы и т.д.). Подобного
рода информация необходима для стратегических целей, которые ставятся
руководством предприятия, а также она попадает в перечень информации,
28
которую работодатель обязан защитить согласно Федеральному
законодательству Российской Федерации.
Надежная защита информации от несанкционированного доступа
предусматривает использование принципов и методов защиты, типовых для
всех государственных организаций. К ним относятся две группы методов
защиты.
1. Организационные методы защиты:
• создание резервного центрального информационно-вычислительного
комплекса, территориально разнесенного с действующим в настоящее время;
• запрет доступа посторонним лицам в помещение, где установлены
серверы системы;
• разделение и уточнение запросов на изменение данных, а в наиболее
ответственных случаях - их подтверждение.
2. Анализ существующих программных и аппаратных средств ИБ и ЗИ,
их использование в ООО "Наяда".
Программно-технические методы защиты:
• управление атрибутами файлов и каталогов с целью
регламентирования доступа к ним со стороны пользователей;
• регистрация пользователей на серверах приложений с обязательным
использованием пароля и применением механизма принудительной смены
пароля по истечении определенного времени;
• регистрация обращений к защищаемым данным;
• контроль за использованием защищаемых данных;
• регистрация попыток несанкционированного доступа;
• применение криптографических средств защиты при передаче и
обработке специальной информации;
• разграничение доступа к данным (по элементам, разрешенным
процедурам, условиям выполнения операций и др.).
В ООО "Наяда-Столица" установлен антивирус Kaspersky, программа
для всесторонней защиты компьютера от проникновения опасного кода.
29
Kaspersky состоит из файлового антивируса, отвечающего за проверку
локальных и загруженных объектов, почтовых и IM-модулей, сканирующих
вложения в соответствующих клиентах, web-антивируса, следящего за
безопасностью запрошенных URL, и специальной надстройки Kaspersky
Secure Connection. Данная функция представляет собой надежный VPN-
сервис, через который можно пропускать трафик в общественных Wi-Fi-
сетях.
Программно-аппаратные и организационно-технические меры
защиты, взаимно дополняя друг друга, образуют систему информационной
безопасности. Информационная безопасность удовлетворяет требованиям
Федеральных законов:
• Федеральный закон от 27.07.2006 N 149-ФЗ (ред. от 19.07.2018) "Об
информации, информационных технологиях и о защите информации" [1].
• ГОСТ Р 50922-2006 — Защита информации. Основные термины и
определения.
• Р 50.1.053-2005 — Информационные технологии. Основные термины
и определения в области технической защиты информации.
• ГОСТ Р 51188—98 — Защита информации. Испытание программных
средств на наличие компьютерных вирусов. Типовое руководство.
• ГОСТ Р 51275-2006 — Защита информации. Объект информатизации.
Факторы, воздействующие на информацию. Общие положения.
• ГОСТ Р ИСО/МЭК 15408-1-2008 — Информационная технология.
Методы и средства обеспечения безопасности. Критерии оценки
безопасности информационных технологий. Часть 1. Введение и общая
модель.
• ГОСТ Р ИСО/МЭК 15408-2-2008 — Информационная технология.
Методы и средства обеспечения безопасности. Критерии оценки
безопасности информационных технологий. Часть 2. Функциональные
требования безопасности.
30
• ГОСТ Р ИСО/МЭК 15408-3-2008 — Информационная технология.
Методы и средства обеспечения безопасности. Критерии оценки
безопасности информационных технологий. Часть 3. Требования доверия к
безопасности.
• ГОСТ Р ИСО/МЭК 15408 — «Общие критерии оценки безопасности
информационных технологий» — стандарт, определяющий инструменты и
методику оценки безопасности информационных продуктов и систем; он
содержит перечень требований, по которым можно сравнивать результаты
независимых оценок безопасности — благодаря чему потребитель принимает
решение о безопасности продуктов. Сфера приложения «Общих критериев»
— защита информации от несанкционированного доступа, модификации или
утечки, и другие способы защиты, реализуемые аппаратными и
программными средствами.
• ГОСТ Р ИСО/МЭК 17799 — «Информационные технологии.
Практические правила управления информационной безопасностью».
Прямое применение международного стандарта с дополнением — ISO/IEC
17799:2005.
• ГОСТ Р ИСО/МЭК 27001 — «Информационные технологии. Методы
безопасности. Система управления безопасностью информации.
Требования». Прямое применение международного стандарта — ISO/IEC
27001:2005.
• ГОСТ Р 51898-2002 — Аспекты безопасности. Правила включения в
стандарты.
• "ГОСТ Р 56939-2016. Национальный стандарт Российской Федерации.
Защита информации. Разработка безопасного программного обеспечения.
Общие требования" (утв. и введен в действие Приказом Росстандарта от
01.06.2016 N 458-ст)
Система выполнена в соответствии с ГОСТ Р 51583-2000 «Порядок
создания автоматизированных систем в защищенном исполнении», а также
соответствует требованиям положения «Специальных требований и
31
рекомендаций по технической защите конфиденциальной информации» и
методическим рекомендациям по обеспечению информационной
безопасности в ООО "Наяда-Столица".
1.3 Анализ существующих разработок и выбор стратегии автоматизации
«документооборота»
1.3.1 Анализ существующих разработок для автоматизации задачи
Деятельность любой компании сопровождается огромным
количеством официальных документов. Система автоматизации или система
электронного документооборота (СЭД) обеспечивает поддержку
управленческих процессов, позволяет автоматизировать работу с
документами. Объектами СЭД являются не только документы, но и бизнес-
процессы, которые отражены в их движении.
Автоматизация электронного документооборота на предприятии
преследует следующие цели [3]:
• минимизация рутинных операций и сокращение количества ручной
работы;
• формирование единого массива электронных документов и создание
удобной поисковой системы;
• уменьшение и полная ликвидация бумажных носителей информации;
• разработка алгоритмов прохождения документов в соответствии с
технологическими процессами;
• поддержка административных процессов;
• быстрый обмен внутренней документацией между сотрудниками и
подразделениями;
• ускорение формирования указаний и распоряжений, а также контроля
их выполнения;
• планирование распределения рабочего времени персонала, контроль
деятельности сотрудников;
• разработка технологии трансфера служебной документации через
внешние системы;
32
• приведение схемы делопроизводства к единому алгоритму;
Система электронного документооборота имеет ряд неоспоримых
преимуществ по сравнению с традиционным подходом к делопроизводству:
• повышение производительности за счет быстрого доступа к любой
категории документов; поддержание актуальности информации;
• снижение влияние “человеческого фактора”;
• сокращение материальных издержек, связанных с созданием и
хранением документов; создание условий для эффективного взаимодействия
между подразделениями;
• возможность коллективной работы над служебной документацией;
• уменьшение потребностей в персонале;
• снижение рисков потери или повреждения информации;
автоматизация составления отчетов; интеграция системы с офисными
программами;
Внедрение электронного документооборота способствует росту
дисциплинированности, повышению корпоративного сознания работников
компании, поскольку им легче воспринимать официальную документацию,
Система управления документооборотом позволяющее персоналу
создавать, изменять, осуществлять поиск электронных документов, а также
передавать их, отправлять уведомления, выдавать задания.
Применяемые в процессе автоматизации новейшие технологии,
решают многие задачи во время классификации СЭД.
Принято выделять следующие виды систем:
• Клиент-серверные (основные модели управления размещены на
выделенном сервере, пользователей взаимодействует с СЭД через
специальный интерфейс, клиентскую часть);
• Действующие на основе баз данных (интегрированы с базами SQL,
Oracle и т.п., информация хранится в базе, а для ее обработки используются
отдельные модули);
33
• Основанный на технологиях web (обеспечивают удаленный доступ к
серверу без специальных клиентских приложений, позволяют использовать
web браузеры в качестве пользовательского интерфейса);
• «Облачные» системы (используют сервер хостинг-провайдера);
Среди современных технологий, обеспечивающих эффективное
функционирование СЭД можно выделить:
• хранение электронных документов;
• поточное сканирование;
• оптическое распознавание текста;
• штрих-кодирование;
• электронно-цифровые подписи;
• полнотекстовый и атрибутивный поиск.
Обзор рынка программных средств СЭД-систем приведен в таблице 5
Таблица 5
Категории СЭД -систем
№
Параметры
1С:Предприятие
Парус
Галактика
1
Архитектура
системы
2-х звенная: сервер
СУБД + толстый
клиент
2-х звенная
Архитектура
«клиент-сервер»
3-х звенная
2
СУБД
MS SQL Server
Oracle
PostgreSQL
3
Стоимость одного
рабочего места
1650 р.
8 000 р.
14 000 р.
4
Операционная
система
Microsoft Windows,
Linux
Microsoft
Windows,
Linux
Microsoft
Windows,
Astra Linux
5
Системные
требования
Процессор Intel
Pentium IV/Xeon 2,4
ГГц и выше
Оперативная
память 1024 Мб и
выше
Жесткий диск 40Гб
и выше
Устройство чтения
компакт-дисков
SVGA-видеокарта
Процессоры Intel
Xeon с частотой
от 2 ГГц в
количестве,
определяющимся
из расчета
Процессор
Intel Pentium
IV/Xeon 2
ГГц и выше
Оперативная
память 1024
Мб и выше
6
Наличие web-
интерфейса
да
нет
да
7
Удаленный доступ
да
да
да
34
Проанализировав все категории СЭД, я пришел к выводу, что для
ООО "Наяда-Столица" подходит «1С: Предприятие 8.3». Это - единая
платформа для автоматизации деятельности организации: менеджерского,
бухгалтерского, кадрового, управленческого и финансового учета.
Интеграция соответствующих прикладных решений (конфигураций)
программы позволяет управлять всеми аспектами деятельности всего
холдинга, одной компании, ее подразделений и разными направлениями
бизнеса в универсальной рабочей среде. Пользователь самостоятельно
выбирает нужные прикладные решения для своего предприятия и работает с
ними в единой защищенной системе управления бизнес-процессами. Все
конфигурации построены на общих принципах, их можно настраивать и
изменять под специфику организации, расширять и дополнять, без проблем
приобретать обновления и новые версии [13].
1.3.2 Выбор и обоснование стратегии автоматизации задачи
Во время автоматизации организации, нужно определить ключевую
стратегию, которая содержат в себе основные, базовые принципы. А для
этого нужно выяснить следующие компоненты [14]:
- определение деятельности предприятия, к какой цели оно стремится,
в какой последовательности оно будет автоматизировано;
- определен способ автоматизации: по участкам, направлениям,
комплексная автоматизация;
- комплекс внутренних стандартов, поддерживаемых на предприятии;
- какой материальной базой обладает предприятие;
- установка сроков работ;
- процедура управления изменениями плана.
Попробуем разобраться в основных вариантах стратегии
автоматизации [15]:
1) Хаотичная (кусочная) автоматизация является одним из наиболее
непродуктивных видов инвестирования средств для развития предприятия. У
нее нет стратегического плана дальнейшего развития. При таком подходе
35
процесс продвижения информационных технологий определяется
ограниченными, сиюминутными задачами, без какого бы то ни было
дальнейшего развития бизнеса, без учета его потребностей в будущем.
Предприятие получит всего лишь обособленные (или кусочные) прикладные
системы. Конечно, выбрав подобное решение, такую стратегию, можно
сберечь время и финансы, но если в дальнейшем возникнет необходимость в
модернизации (поменяется бизнес-направленность предприятия), при этом
понадобится полная автоматизация, использование системы будет не
рациональным и экономически невыгодным.
2) Автоматизация по участкам. Такой подход автоматизации
происходит в том случае, если у предприятия недостаточно инвестиций. В
этом случае автоматизируются лишь отдельные производственные или
управленческие подразделений, или если имеющиеся участки приносят
высокий экономический результат. Такая автоматизация годится для
производственных участков.
4) Полная автоматизация. Этот подход требует достаточно больших
финансовых и временных вливаний, он должен очень тщательно продуман и
запланирован, поскольку в этом случае затрагивается система, в которой
находится большое количество элементов всевозможных уровней и
назначений. Сюда входят и подсистемы, модули, блоки управления,
затрагиваются задачи, управленческие процедуры, функции и т. д., что
позволяет применять общий алгоритм для расчета подобных задач. А это
устраняет дублирование поскольку все собрано в одной единой системе.
Я постарался проанализировать перечисленные виды автоматизации
применительно к ООО "Наяда-Столица" и пришел к следующим выводам:
Что касается хаотичной стратегии, то она не подходит, так как, если в
будущем встанет вопрос о модернизации, использование системы будет не
рациональным. Комплексная автоматизация предусматривает полную
автоматизацию всех функциональных направлений работы компании, а
также необходимы длительные временные рамки для внедрения и приличные
36
финансовые затраты, к которым в данный момент компания не готова.
Автоматизация по участкам предполагает, автоматизацию лишь отдельных
производственных или управленческих подразделений. Больше всего
подходит способ автоматизации по направлению, так как в данном случае
происходит автоматизация направления "Nayada - After sale" (пост
гарантийное обслуживание клиентов). Автоматизировав это направление,
компания получит более качественное, быстрое обслуживание клиентов, а
также экономический эффект.
1.3.3 Выбор и обоснование способа приобретения ИС для автоматизации
комплекса задач
Существуют различные подходы к решению проблемы приобретения
информационной системы. Но нужно помнить главное, что принятие
решения о необходимости внедрения ИС на предприятии должно быть
детально продуманным и конкретным. Можно по-разному приобрести ИС,
например:
• разработать самим или заказать;
• покупка ИС может быть как отечественной, так и зарубежной
разработкой
• Можно ИС купить, а потом доработать под себя, либо заказать на
стороне эту доработку;
• взять в аренду.
Рассмотрим подробней каждый из способов.
Если покупать готовое решение, то нужно понимать, что оно должно
полностью соответствовать схемам ведения бизнеса. Однако, это непростая
задача, поскольку производители систем автоматизации пытаются
подстроить решения под всех потенциальных клиентов. А потому эти
системы либо перегружены ненужным для конкретного покупателя
функционалом, за который приходится платить, либо система представляет
собой только каркас для построения решения под конкретного потребителя.
Ни тот, ни другой вариант не подходят для решения поставленной задачи,