41
злоумышленником доступа к его данных для входа: логина, пароля, кража
e-mail и т.п.
Далее будут рассмотрены и предложены решения для различных
областей внутренних и внешних элементов защиты.
SQL-инъекция является самым популярным средством взлома сайтов
и программ, работающих с БД, основанная на внедрении в запрос некого
SQL-запроса.
Внедрение SQL, в рамках применяемой СУБД и условий внедрения,
дает шанс атакующему выполнить отдельный запрос к БД (к примеру,
прочитать содержимое всех таблиц, удалить, добавить или скорректировать
данные), иметь доступ для чтения и/или записи отдельных файлов и
реализации произвольных команд на исходном сервере.
Межсайтовый скриптинг, также известный, как XSS, является
уязвимостью интерактивных ИС в сети. XSS возникает, когда в
составляемые сервером страницы каким-то образом попадают
пользовательские скрипты. Специфика таких атак состоит в том, что вместо
самой атаки сервера они применяют уязвимый сервер для реализации атаки
на клиента (подробнее на Рисунок 8).
Описанные выше XSS атаки являются не единственным способом
кражи данных пользователя. ПК сотрудника может быть заражен вирусом
или его данные могут перехватываться из его сети, с помощью анализатора
трафика.
Поэтому нужно как можно сильнее затруднить возможность
применения злоумышленником данных сессии другого пользователя.
Известным методом для защиты от кражи сессионных данных стала
проверка на смену IP-адреса в рамках единой пользовательской сессии. Но,
как стало известно, DHCP у поставщиков услуг Интернет-соединения
(провайдеров) зачастую настроен так, что IP-адрес в течение конкретного
сеанса связи с Интернетом может меняться до нескольких раз за час. Да и
42
статический IP-адрес не гарантия того, что пользователь будет тот же:
злоумышленник может быть в той же локальной сети, что и атакованный.
Как уже упоминалось, инструменты web-разработчика ограничены
стандартными данными, доступными средствами html, так что следующим
шагом в развитии данной системы стала проверка данных, содержащих
информацию о браузере пользователя (UserAgent), а также параметрах его
экрана: разрешении, цветовой схеме и т.п., которые доступны
инструментами JavaScript. Данное изменение позволило более стабильно
отслеживать кражи сессионных данных, ведь изменение браузера или
параметров экрана в рамках одной сессии одним пользователем очень
маловероятно.
Совокупность подобных проверок уже сейчас внедрен в базовый
алгоритм инициализации сессии пользователя. Проверка, в случае наличия
MAC-адреса, почти полностью гарантирует безопасность сессионных
данных, однако, даже в случае применения обычного браузера, что
происходит зачастую, проверки стандартных данных чаще всего бывает
достаточно.
Далее в данной системе может быть проверка IP-адреса пользователя,
в случае его смены, на неизменность параметров, доступных через WHOIS,
таких как: ID Интернет провайдера, город и т.д.
Стандартным средством определения считаются регистрационные
данные пользователя: имя пользователя и пароль. Если эти данные у
пользователя крадут, то есть риск безвозвратной потери контроля над
аккаунтом.
1.3 Анализ существующих разработок и выбор стратегии
автоматизации «КАК ДОЛЖНО БЫТЬ»
1.3.1 Анализ существующих разработок для автоматизации
задачи
43
Система управления проектами (СУП) является совокупностью
организационных и технических методик и инструментов,
поддерживающих управление проектами в компании и позволяющих
повышать эффективность их внедрения. Зачастую понятие СУП
определяется более узко, как АИС или ИС управления проектами, т.е. как
некая программа. Методическую и организационную составляющие обычно
включают в термин корпоративной СУП.
qTrack – некая СУП с интересными возможностями взаимодействия -
сервис полностью объединён с e-mail: описывать задачи теперь также легко,
как по e-mail, а контролировать их выполнение максимально удобно, как в
трекере. Основные возможности имеются бесплатно.
Мегаплан — это российская СУП, позволяющая устанавливать задачи
и поручения, отслеживать их реализацию, хранить БД сотрудников фирмы,
учитывать историю клиентов и т.д. [1]. Создатели ПО - одноименная
компания Мегаплан.
ПО становится полноценным Groupware продуктом. Программа
может работать как на личном сервере компании, так и на серверах
поставщика продукта «Мегаплан» (SaaS). Сейчас это почти единственный
российский программный комплекс, успешно продающийся как SaaS
сервис. [2]
Основная особенность «Мегаплана» в его SaaS-редакции состоит в
визуализации программы, которая создана с учетом повышенных
требований по простоте применения и эргономике рабочего стола. Для этого
архитекторы применяли новые веб-технологии AJAX – все рабочие блоки
на страницах можно обновить без ее перезагрузки, что значительно снижает
нагрузку на сервер и процент передающегося трафика. Интерфейс сервиса
работает на любом текущем веб-браузере, что говорит о том, что компания
не станет работать н какой-то специфичной и устаревшей программной
версии.
44
Дизайн меню и базовый набор модулей созданы в студии Студии
Артемия Лебедева.
Worksection – отечественная онлайн-система для контроля проектов.
Включает dashboard, задачи с описаниями, календарь, файловую систему,
инструмент для учета времени, тэги. Есть поддержка SSL,
пользовательского FTP и т.п. Программа простая и доступная.
Сравнение разработок по основным параметрам представлено в
таблице 3.
Таблица 3 Сравнение систем управления проектами
Параметры
qTrac
k
Мегапл
ан
Worksecti
on
Clari
s
teamtoo
ls
ПланФи
кс
Объединение
сотрудников
в группы
+
-
+
-
+
-
Подключение
клиентов в
систему
+
+
-
+
-
+
Система
оповещений
по e-mail
+
+
+
-
+
-
Система
оповещений
по jabber
+
-
+
-
+
-
Внутренняя
система
оповещений
+
-
+
-
+
-
SSL-
шифрование
+
+
-
+
-
+
Общее
количество
баллов
3.5
5
3.5
3.5
3
6
Наличие
сущности
"Проект"
+
-
+
-
+
-
Разграничени
е
доступа к
проектам
+
+
-
+
-
+
Диаграмма
Ганта
+
+
+
-
+
-
Наличие
сущности
"Задача"
+
-
+
-
+
-
Вложенность
задач
+
-
+
-
+
-
Разграничени
е
+
+
-
+
-
+
45
доступа к
задачам
Возможность
указать
точную дату
выполнения
+
+
+
-
+
-
Возможность
указать
точное время
выполнения
+
-
+
-
+
-
Статусы
состояния
задач
+
-
+
-
+
-
Повторяющие
ся задачи
+
+
-
+
-
+
Рассмотренные решения выполняют свойственные такого рода
системам задачи, однако имеют один общий недостаток – избыточность
функций и сложность внедрения и дальнейшего администрирования.
Поэтому необходимо разрабатывать систему управления проектами
самостоятельно, с учетом всех требований внутреннего заказчика.
1.3.2 Выбор и обоснование стратегии автоматизации задачи
Выбор стратегии автоматизации, один из важнейших этапов всей
предпроектной подготовки. Из-за неверного выбора внедряемая система
может не только не приносить достаточной прибыли, но и наоборот,
замедлить производство.
Стратегия автоматизации обычно строится на нескольких базовых
принципах:
• Цель – сферы деятельности компании и сформированная
последовательность, в которой они будут автоматизироваться;
• Способы реализации – применение комплексной
автоматизации, а также по участкам и направлениям;
• Техническая политика – совокупность поддерживаемых
предприятием внутренних стандартов;
46
• Возможные ограничения – временные, финансовые и т.п.;
• Реализация процедуры управления изменениями в планах.
В первую очередь стратегия автоматизации должна соответствовать
основным задачам бизнеса, а в само понятие обязательно должны входить
пути достижения данного соответствия. При составлении стратегического
плана должны учитываться важные факторы, такие, как:
• Средний период полного изменения технологий производства;
• Среднее время жизненного цикла продукции компании;
• Долгосрочные планы главных поставщиков и их дальнейшее
развитие;
• План развития самой компании, включающий все
слияния/разделения, увеличение или уменьшение продукции и численности
сотрудников;
• Изменения в функциях персонала.
Важно понимать, что автоматизацию можно назвать одним из
способов достижения бизнес-целей, и это не самостоятельный процесс,
развивающийся по своим законам. В любой стратегии автоматизации во
главе есть основная цель бизнеса компании – миссия, направление
деятельности и модель бизнеса. Поэтому стратегия автоматизации – это
всего лишь четкий план со своими сроками и видами деятельности.
Нужно также учитывать и основные ограничения при выборе
стратегии автоматизации, а именно:
• Временные ограничения;
• Финансовые ограничения;
• Технические ограничения;
• Человеческий фактор.
Финансовые ограничения обычно определяются суммой инвестиций,
которые компания способна внести в развитие автоматизации.
Временные ограничения в данном случае связаны со следующими
факторами:
47
• необходимостью обучения персонала;
• тратой времени на внедрение системы.
Обычно к ограничениям, связанным с человеческим фактором и его
влиянием относят следующие:
• Особенности трудового законодательства и рынка труда,
• Отношение самого персонала к процессам автоматизации.
Сегодня можно выделить две главные стратегии оптимизации: это
подгонка уже созданного программного продукта под определенный
бизнес-процесс или полная реорганизация бизнес-процесса и автоматизация
уже упрощенной структуры. Сам выбор стратегии оптимизации чаще всего
зависит от перспектив развития организации-заказчика, а также
экономических возможностей компании.
Помимо этого, существует несколько стратегий оптимизации, а
именно:
1) Кусочная (хаотичная) автоматизация, которая представляет из
себя один из самых неэффективных методов инвестирования средств для
подъема компании. Под самой автоматизацией обычно понимают
отсутствие плана дальнейшего развития и создания. И такой подход обычно
характеризуют сиюминутные внедрения информационных технологий,
которые очень часто не соответствуют реальным потребностям бизнеса. И
в таком случае само предприятие получит прикладную систему, но ее
стоимость будет сопоставима в качественным комплексным решением.
Выбирать данную стратегию можно лишь в том случае, если нужно
сэкономить средства и время на внедрение системы. Но все дальнейшие
шаги к модернизации будут стоить значительно дороже и станут
нерациональными и экономически невыгодными.
2) Другой вид автоматизации – по участкам. Она предполагает
обновление отдельных производственных или управленческих линий,
которые сопоставимы по функциональным особенностям. Данный метод
применяется в том случае, если у компании нет лишних средств на
48
автоматизацию в полном объеме, а выбранные участки дают хороший
экономический рост, поэтому применяется она часто на производственных
участках.
3) Третий вид – автоматизация по направлениям, которая
предполагает полную автоматизацию отдельных видов деятельности
компании. Основной отличительной особенностью от автоматизации по
участкам является тот факт, что вся деятельность предполагает охват
абсолютно всех подразделений и служб, задействованных в
автоматизируемом направлении. Финальным этапом этого метода часто
является полная автоматизация компании.
4) И последний вариант – полная автоматизация, предполагающая
некую систему, состоящую из множества элементов разного уровня и
значения. В такую систему обычно входят другие подсистемы, модули,
функции, блоки управления, текущие задачи и т.д. Такое построение
позволяет использовать один и тот же алгоритм для просчета разных задач,
а также исключается дублирование данных из разных источников,
поскольку все находиться итак в одной системе. Основным минусом полной
автоматизации можно выделить необходимость большого количества
затрат на реализацию такой схемы, а также высокий уровень
первоначального планирования и расчетов.
Проанализировав данные варианты стратегий, была выбрана
стратегия по направлениям, так как это наиболее подходящий вариант для
рассматриваемого предприятия.
1.3.3 Выбор и обоснование способа приобретения ИС для
автоматизации комплекса задач
Способы приобретения ИС – это комплекс действий от определения и
формализации решения о важности ИС до момента внедрения данной
49
системы на предприятии. Выделяют несколько способов приобретения
информационных систем, а именно:
• Самостоятельная или заказная разработка;
• Покупка готовой ИС (зарубежной или отечественной);
• Покупка + доработка (как самостоятельно, так и на заказ);
• Стандартная аренда.
А теперь внимательно рассмотрим каждый вариант на предмет его
применения к автоматизации некоторой поставленной задачи.
Если выбирается покупка готового продукта, то необходимо выбрать
такое решение, которые будет полностью удовлетворять всем бизнес-
процессам компании. Сегодня это сделать очень сложно, поскольку
практически все производители стараются угодить всем и просто
перегружают свой софт совершенно ненужным функционалом, за который
все равно нужно платить. Либо готовое решение представляет только
каркас, на котором уже строится необходимый функционал для
потребителя. Оба данных решения никак не подходят для реализации
задачи, поскольку подразумевают большие вложения денежных средств в
саму систему автоматизации.
Приобретаемая система не подойдет компании и из-за нехватки
функциональности, в ней хуже реализовано будущее развитие ИС, будет
необходим длительный срок адаптации под конкретные нужды компании, а
также неудобства будет вызывать частое обращение в службу поддержки.
Другой вариант – заказ у сторонних разработчиков, который позволит
получить ИС, подходящую под бизнес-правила компании, но это только на
текущий момент. В случае каких-то изменений бизнес-процессов придется
вновь преобразовывать систему, что выльется в лишние затраты на
модернизацию ИС.
Вариант с покупкой и доработкой также возможен, но в случае, если
требуется небольшая доработка без изменения самого ядра ИС, которое
иногда проблематично настроить из-за неполной документации.
50
Вариант с арендой ИС имеет сразу несколько больших преимуществ:
• Открывает новые инновационные возможности за счет
сотрудничества с поставщиками интеллектуальных услуг мирового уровня,
а также дарит ценный опыт во взаимодействиях и партнерстве;
• Дает компании возможность быстро перестаиваться под
изменяющиеся реалии рынка – всегда проще найти другого поставщика, чем
закупать новое оборудование, перестраивать внутреннюю деятельность и
ликвидировать старые мощности;
• Ускоряет получение новых навыков и ресурсов.
Однако в этом методе есть и свои нюансы – компания рискует вывести
слишком много видов деятельности за свои пределы и в случае
нестабильной ситуации может утратить то, что приносило ей популярность
и успех на рынке.
Поэтому наиболее оптимальным решением становится то, что ИС
будет разрабатываться в стенах компании собственными силами, поскольку
компания располагает квалифицированными специалистами для разработки
и внедрения подобного вида систем. Но все-таки разработка такого рода
предполагает, что у компании имеются специалисты, способные провести
анализ бизнес-процессов, а следом разработать и внедрить систему для их
автоматизации. А поскольку автоматизация затрагивает одно достаточно
большое направление, всем специалистам не составит труда провести
работы по проектированию, разработке и финальному внедрению системы
автоматизации.
Создаваемая ИС будет включать в себя весь необходимый
функционал, а также будет учитывать особенности работы и пожелания
сотрудников компании, следовательно, будет являться уникальным
продуктом, что позволит быстро изменить в случае чего функциональность
по требованию заказчика.
1.4 Обоснование проектных решений