27
1.2.4. Анализ системы обеспечения информационной безопасности и
защиты информации
Проанализируем систему обеспечения информационной безопасности и
защиты информации. Доступ к каждому компьютеру организации осуществляется с
помощью авторизации, в ходе которой пользователь вводит уникальный логин и
пароль, созданный системным администратором.
Доступ к программному обеспечению ЕАС ОПС осуществляется с помощью
авторизации, в ходе которой указываются уникальные логин и пароль для входа в
систему, созданные администратором системы.
Политика безопасности организации основана на принципе «что не
запрещено, то разрешено». В связи с чем у пользователей ПК есть разрешение на
открытие всех файлов, кроме системных, внесение изменений только в те файлы,
которые созданы членами группы пользователя.
Доступ к функционалу системы «ЕАС ОПС» ограничен следующим
правилом: все сотрудники, у которых есть учетная запись могут создавать записи в
программе. Все сотрудники могут вносить изменения в документы, созданными от
их учетной записи. Право на удаление документов есть только у руководителей
отделов.
Рассмотрим инженерно-технические средства защиты ресурсов
информационной инфраструктуры компании. В компании применяются следующие
инженерно-технические средства обеспечения информационной безопасности:
антивирусное программное обеспечение.
программные брандмауэры, входящие в состав применяемых
коммутаторов.
Помимо этого, в качестве мер защиты ЛВС компании применяются
следующие организационные меры:
в системе назначен администратор безопасности;
за каждое устройство назначен ответственный за его эксплуатацию;
системный блок компьютера опечатывается печатями ответственного и
работника технического отдела;
установка любого программного обеспечения проводится только
сотрудником технической поддержки;
28
запрещено использование неучтенных носителей информации. На
учтенных носителях выполнена маркировка, в том числе гриф хранимой
информации, номер, должность и фамилия сотрудника.
У компании есть сайт, на котором размещена информация о предоставляемых
и есть возможность отслеживания отправлений. Для защиты сайта от внешних угроз
используются следующие методы:
На сервере существует дополнительная аутентификация пользователей.
Доступ к панели администратора сайта защищен надежным паролем,
который состоит из символов двух алфавитов, цифр и спецсимволов.
Для защиты информации сайта проводится ежеквартальное
сканирование PCI через сервис Trustwave.
Для обеспечения защиты информации сайта используются файлы
.htaccess.
Используется протокол SSL, который позволяет установить безопасное
соединение, при этом все данные передаются в закодированном виде по протоколу
HTTPS.
Сайт регулярно подвергается администрированию.
1.3. Анализ существующих разработок и выбор стратегии автоматизации
«КАК ДОЛЖНО БЫТЬ»
1.3.1. Анализ существующих разработок для автоматизации задачи
Автоматизация терминалов обработки заказов широко применяется за
рубежом, однако на территории России в основном автоматизированы пункты
выдачи заказов. Рассмотрим рынок программного обеспечения автоматизации
терминалов обработки заказов. Компания «Soft-logic» осуществляет разработку
программного обеспечения для почтоматов – комплекса программных и
технических средств для отправки и получения отправлений [18]. Программное
обеспечения, разработанное компанией, - «Pay-Point» - предназначено для
автоматизации почтового сервиса и построения широкой сети доставки товаров с
помощью установки почтовых терминалов. Программное обеспечение позволяет
удаленно управлять почтоматом. В нем полностью автоматизирован процесс
обработки заказа от отправления до получения, включая оплату. Также программа
29
позволяет контролировать процесс доставки отправления с осуществлением
рассылки по SMS, E-mail и Telegram. Система «Pay-Point» обладает возможностью
возврата товара и поддерживает различные способы оплаты.
Компания «Виоланта» разработала программное обеспечение для почтоматов
курьерской службы [19]. Система «ViPost» предоставляет клиентам личный кабинет,
доступ к которому осуществляется через браузер. В личном кабинете клиент вводит
данные отправления и распечатывает стикеры со штрих-кодом. Затем клиент
приходит к почтомату, сканирует стикер и осуществляет оплату доставки. После
оплаты отправление помещается в ячейку и отправляется к получателю. Получателю
на номер телефона приходит код и адрес почтомата. Он приходит по указанному
адресу, вводит на терминале код и открывает ячейку с отправлением.
«Инжиниринговая и производственная компания» разработала программное
обеспечение «Engy» для почтово-платежных терминалов самообслуживания,
которое обладает следующими функциональными возможностями [17]:
Определение веса отправления;
Ввод данных для отправки;
Расчет стоимости отправки;
Прием оплаты отправления;
Печать чеков.
Для рассмотренного программного обеспечения выделим критерии, которые
позволят оценить соответствие возможностей программных продуктов требованиям
организации. Основным критерием является функционал решения. Система должна
автоматизировать взвешивание, ввод данных адресатов, расчет стоимости отправки,
прием платежа, генерацию кода отправления и выдачу квитанции.
Следующим важным критерием является системные требования
программного обеспечения [11]. Оно должно запускаться на серверном и
клиентском оборудовании организации и обеспечивать работу без зависаний.
Качество дизайна системы является важным для организации потому что если
клиенту будет непонятно как взаимодействовать с системой, он не будет ее
использовать, это приведет к очередям в окна операторов и покажет полную
неэффективность внедрения программного продукта.
30
Следующим критерием является надежность системы. Система должна
работать без сбоев и зависаний. База данных системы должна регулярно
архивироваться для минимизации простоев в работе и потери отправлений.
Стоимость является немаловажным критерием. Поскольку организация
получает финансирование из бюджета, а также имеет в распоряжении собственные
средства, стоимость не должна превышать определенного порога.
По выделенным критериям проведем оценку рассмотренных программных
продуктов. Оценка будет производиться по десятибалльной шкале, в которой 1
означает низкое соответствие, а 10 – полное соответствие требованиям. Оценка
программных продуктов представлена в таблице 4.
Таблица 4
Оценка программных продуктов
Критерий
Pay-Point
ViPost
Engy
Функциональные возможности
6
5
10
Системные требования
8
6
3
Качество дизайна
3
10
5
Надежность
9
6
7
Стоимость
5
9
2
Всего
31/50
36/50
27/50
В результате анализа было выявлено следующее: программные продукты
«Pay-Point» и «ViPost» не обладают требуемым функционалом, поэтому в случае
внедрения организации нужно будет сделать финансовые вложения для доработки
системы. Системные требования этих программных продуктов позволят не
проводить модернизацию парка системного оборудования организации. При этом
система «Pay-Point» имеет низкое качество дизайна и достаточно высокую
стоимость. А система «ViPost» имеет качественный дизайн, но не обладает
достаточной надежностью. Система «Engy» полностью удовлетворяет
функциональным требованиям, но требует больших ресурсов аппаратного
обеспечения. Качество дизайна имеет средний показатель. А ее стоимость является
сильно завышенной. Поэтому внедрение готовых программных продуктов было
отклонено.
1.3.2. Выбор и обоснование стратегии автоматизации задачи
Выделяют следующие виды стратегии автоматизации:
кусочная (хаотичная) автоматизация;
31
автоматизация по участкам;
автоматизация по направлениям;
комплексная автоматизация.
Первый вариант стратегии автоматизации включает в себя приобретение
отдельных модулей программного продукта без какого-либо стратегического плана.
Такой вариант стратегии обладает низкой эффективностью, поскольку отдельные
фрагменты информационной системы не способны оказать пользу компании, а
дальнейшая автоматизация приведет к значительным затратам.
Следующий вариант процесса автоматизации предполагает автоматизацию
отдельных бизнес-процессов, которые объединены по набору выполняемых
функций. Выбор этого способа оптимален в том случае, когда существуют участки,
в которых применение автоматизированных систем дает значительный
экономический эффект.
Способ автоматизации по направлениям предполагает автоматизацию
отдельных направлений деятельности компании. При этом достигается полная
автоматизация направления деятельности. Этот подход является оптимальным в том
случае, когда дальнейшая интеграция автоматизированных функций не будет
связана с серьезными препятствиями.
Комплексная автоматизация предполагает внедрение программного продукта,
автоматизирующего работу компании в целом [17].
Кусочная стратегия автоматизации не подходит для рассматриваемой задачи,
поскольку в рамках ее решения будет автоматизирована деятельность целого отдела,
при этом будут использованы несколько составляющих информационной системы:
СУБД и клиент-серверное приложение [7].
Стратегии полной автоматизации также не является подходящей, поскольку
будет автоматизировано одно из направлений деятельности компании.
В рамках рассматриваемой задачи, подходящей является стратегия
автоматизации по участкам, поскольку в этом случае будет автоматизирована
деятельность, которая выполняется на участке приема регистрируемых почтовых
отправлений. При автоматизации этого участка произойдет сокращение временных
затрат на выполнение бизнес-процесса, потому что отправитель сможет
самостоятельно осуществлять отправление посылки с помощью терминала.
32
В рамках выбранной стратегии автоматизации, процесс разработки
программного обеспечения будет включать следующие этапы:
обследование бизнес-процессов, формирование модели «как есть»,
выявление потребностей будущих пользователей системы;
разработка концепции информационной системы, в котором
описываются основные задачи и цели внедрения информационной системы;
составление модели бизнес-процессов «как будет», которая описывает
планируемое изменение бизнес-процессов, вызванное появлением информационной
системы;
разработка технического задания на информационную систему, в
котором описываются ключевые требования к функциональным возможностям,
интерфейсу, надежности, безопасности и пр.;
разработка технического проекта информационной системы, в котором
отражаются основные проектные решения, архитектура решения, определяется
необходимое оборудование и дополнительное программное обеспечение;
кастомизация информационной системы - настройка существующих и
разработка новых модулей информационной системы, настройка форм отчетов и
документов;
развертывание информационной системы на площадке заказчика,
загрузка исторических данных, финальное тестирование информационной системы;
обучение сотрудников компании работе в информационной системе,
опытная эксплуатация системы;
интеграция новой системы со смежными информационными системами
компании (необходима интеграция с системой «ЕАС ОПС»);
перевод системы в промышленную эксплуатацию;
сопровождение информационной системы.
1.3.3. Выбор и обоснование способа приобретения ИС для автоматизации задачи
Автоматизация бизнес-процессов организации с помощью внедрения
информационных систем может осуществляться разными способами. Наиболее
часто осуществляется внедрение готового программного продукта. Такой способ
33
является наиболее простым, потому что на рынке представлены готовые разработки
информационных систем. Для внедрения необходимо только купить нужную
систему, выполнить установку и настройку. Несмотря на простоту, этот способ
имеет недостаток, который заключается в том, что бизнес-логика системы не
подходит для автоматизируемого бизнес-процесса. Выше были рассмотрены
системы автоматизации процесса приема регистрируемых отправлений, которые не
подходят для рассматриваемой задачи.
Если система частично может автоматизировать бизнес-процесс, можно
доработать ее функциональные возможности. Это может осуществляться как самим
разработчиком системы, так и сторонней организацией или специалистами той
организации, которая покупает систему. В рассматриваемом случае такой вариант
не является подходящим потому что рассмотренные системы не подходят не только
по функциональным возможностям, но и по системным требованиям, дизайну и
стоимости.
Поскольку варианты с приобретением системы для рассматриваемой задачи
не подходят, можно рассмотреть непосредственно разработку системы. При
разработке системы на этапе предпроектного обследования учитываются
особенности бизнес-процессов каждой организации, разрабатываются варианты
оптимизации бизнес-процесса и под утвержденный заказчиком вариант
разрабатывается программное обеспечение. Такой способ автоматизации является
более дорогим, потому что программное обеспечение разрабатывается под
индивидуальные потребности организации, однако это показывает большую
эффективность.
Разработка системы может осуществляться как сторонним разработчиком, так
и подразделением информационных технологий в организации. ФГУП «Почта
России» не располагает штатом персонала, которые бы могли осуществлять
автоматизацию и разработку программного обеспечения, поэтому для разработки
программного обеспечения будет использована сторонняя организация.
34
2. Проектная часть
2.1. Обоснование проектных решений
2.1.1. Обоснование проектных решений по информационному обеспечению
Для принятия обоснованных решений по информационному обеспечению
рассматриваемой задачи необходимо описать состав входных и выходных
документов. Входной документ задачи – это паспорт отправителя. Согласно
паспортным данным заполняется информация об отправителе, которая делится на
две категории:
1. Данные об отправителе (ФИО, адрес проживания).
2. Данные о документе (серия, номер, дата выдачи и орган выдачи
паспорта).
Эта информация необходима в том случае, когда получатель не забирает
отправление и оно отправляется обратно отправителю.
Выходным документом задачи является квитанция. В квитанции содержатся
следующие данные:
1. Данные отправителя (только ФИО).
2. Данные получателя (ФИО и адрес назначения).
3. Трек-номер отправления (состоит из 14 символов).
4. Стоимость отправления.
Входные и выходные документы вводятся в информационную систему с
помощью форм ввода данных. Формы ввода данных должны содержать поля. Если
документ является унифицированным, разработчикам не потребуется проектировать
макет формы документа, потому что перечень и наименование полей уже известны.
В противном случае разработчики проектируют макет формы самостоятельно.
Входные и выходные документы процесса приема регистрируемых почтовых
отправлений имеют унифицированные формы, поэтому проектирование
оригинальных форм документа не потребуется.
Форма входного документа должна содержать следующие поля:
1. Фамилия отправителя.
2. Имя отправителя.
3. Отчество отправителя.
4. Серия паспорта.
35
5. Номер паспорта отправителя.
6. Орган выдачи паспорта.
7. Дата выдачи паспорта.
Форма выходного документа имеет следующие поля:
1. ФИО отправителя.
2. ФИО получателя.
3. Адрес получателя.
4. Вес отправления.
5. Стоимость отправления.
6. Дата приема отправления.
7. Трек-номер отправления.
8. Индекс почтового отделения, в котором совершена отправка.
Также в системе должны присутствовать формы переменной информации,
которая включает:
1. Вес отправления.
2. Расстояние доставки.
3. Стоимость отправления.
Состав классификаторов процесса отправки регистрируемых отправлений
включает в себя:
1. Перечень стран.
2. Перечень областей.
3. Перечень населенных пунктов.
4. Перечень улиц.
5. Перечень домов.
6. Перечень индексов.
7. Перечень расстояний между населенными пунктами.
Для всей перечисленной информации можно использовать международные
классификаторы.
Для проектирования форм входной, выходной, справочной и переменной
информации будет использован ручной способ, при котором в среде
программирования создаются формы и на них доставляются элементы управления:
надписи, поля, кнопки и т.д.
36
Планируется следующая организация функционирования программного
обеспечения: на сервере будет установлена серверная часть программного
обеспечения. На терминалах будет установлена клиентская часть программного
обеспечения. Для обмена данными между клиентским и серверным приложением
будет использован сервер приложений. Поэтому при разработке информационной
системы будет использована трёхуровневая архитектура, которая включает в себя:
сервер, сервер приложений и клиентское программное обеспечение.
Вся информация, обрабатываемая информационной системой будет
храниться в базе, которая расположена на сервер. Следовательно, информационная
база должна иметь клиент-серверную архитектуру [8]. База данных должна быть
централизованной. Она должна быть однородной т.е. распределенной все серверы
базы данных будут продуктами одного производителя. База данных должна отвечать
требованиям производительности, поэтому будут использоваться параллельные
серверы базы данных. Для обновления данных будут использованы типовые
процедуры обновления. Для защиты данных будет использоваться шифрование
данных.
2.1.2. Обоснование проектных решений по программному обеспечению
Данные в разрабатываемой системе будут храниться и обрабатываться в базе
данных. В настоящее время существуют следующие виды баз данных [12]:
1. Иерархические.
2. Сетевые.
3. Реляционные.
Иерархические базы данных данные представлены в виде древовидной
структуры, что позволяет эффективно использовать память компьютера, обеспечить
высокую скорость обработки, простоту и удобство работы с данными [4]. Основу
сетевых баз данных составляет граф [14]. Любой элемент сетевой базы данных
может быть связан с другим ее элементом. Достоинствами такой базы данных
является оперативность и низкие затраты памяти. А недостатком являются большая
сложность и жесткость схемы базы данных. В реляционных базах данных данные
представляют собой совокупность двумерных таблиц [5]. Это позволяет наглядно
представлять данные и лаконично описывать операции над ними. При этом данные