62
2.1.2. Ожидаемые риски на этапах жизненного цикла и их описание
Любой сложный проект, а особенно проект разработки программного
обеспечения, содержит в себе много неопределенных моментов, которые
влекут за собой риски реализации проекта[10].
Управление рисками заключается в их раннем выявлении и разработке
мер либо полностью предотвращающих их возникновение, либо
минимизирующих их последствия.
В настоящее время существует три общепринятых стратегии управления
рисками:
Избегание рисков – проект реорганизуется таким образом, чтобы
исключить возможность возникновения рисков;
Делегирование рисков – проект реорганизуется таким образом,
чтобы переложить риски на третью сторону (заказчика, банки, вендора и т.п.);
Принятие рисков – риски признаются в качестве неизбежной
составляющей проекта, проводится постоянный мониторинг симптомов их
наступления, постоянно корректируется план действий в случае наступления
рисков[11].
Различают две основные категории рисков – прямые и опосредованные.
На прямые риски проектная команда может каким-то образом повлиять, а
опосредованные риски команда контролировать не может в принципе.
Риски делятся на следующие основные виды:
Ресурсные риски:
o Организация (выполняла ли организация прежде проекты такого
масштаба, существует ли формальный процесс разработки программного
обеспечения и т.п.);
o Финансирование (полностью ли обеспечено финансирование
проекта, фиксирована ли стоимость проекта или она является предметом для
обсуждения, точно ли выполнена оценка затрат и т.п.);
63
o Люди (достаточно ли людей для выполнения проекта, обладают ли
они необходимыми навыками и опытом, работали ли они вместе раньше и
т.п.);
o Время (реалистичен ли план проекта, насколько критичной
является дата окончания проекта и т.п.);
o Бизнес (что произойдет, если конкурент выйдет на рынок первым,
выгода, полученная от реализации проекта больше, чем затраты на него, что
произойдет, если ключевые поставщики не смогут выполнить свои
обязательства и т.п.);
Технические риски:
o Область действия (scope) проекта (могут ли быть измерены
критерии успешного завершения проекта, требования стабильны и хорошо
поняты, область действия жестко фиксирована или может расширяться в
будущем и т.п.);
o Технологии (отлажена ли применяемая технология или она только
была разработана, и т.п.) [12];
o Внешние зависимости (зависит ли проект от других параллельных
проектов, зависит ли успех проекта от внешних поставщиков технологий
и/или продуктов и т.п.).
В данном проекте можно выделить следующие основные риски на
каждом этапе жизненного цикла (табл. 9).
64
Таблица 9
Основные риски на этапах жизненного цикла информационной системы
Этап
Риск
Мероприятия
Заказ
Несоответствие
выделенного бюджета
масштабу проекта
Переговоры по увеличению
бюджета или отказ от
участия в проекте
Заказ
Неформализуемая задача
(невозможно
автоматизировать те или
иные бизнес-процессы или
стоимость такой
автоматизации превысит
ожидаемую выгоду)
Пересмотреть область
действия проекта с целью
выделения отдельных
задач, поддающихся
автоматизации.
Провести детальный анализ
бизнес-процессов и
предложить комплекс
мероприятий по их
реорганизации.
65
Проектирование
- неправильное
определение рамок и
масштабов проекта;
- проектирование
ошибочных функций и
интерфейсов будущей
системы;
- выбор неправильных
технологий и методов
решения поставленных
задач;
- несоблюдение требований
заказчика при
проектирование будущей
системы или постоянное
изменение требований.
- обеспечение стабильности
границ проекта,
определенных на
начальном этапе, вплоть до
окончания проекта;
- качественное
планирование работ;
- своевременная
идентификация проектных
рисков и разработка
рекомендаций по
снижению рисков;
- обеспечение проекта
необходимыми ресурсами;
- обязательное утверждение
и согласование по
проектным решениям
Разработка
Недостаточно ресурсов для
выполнения комплексного
и нагрузочного
тестирования
Заключить договор со
специализированной
организацией на
выполнение ею этих работ.
Недостаточно опыта у
персонала заказчика,
который будет
эксплуатировать систему
Предоставить заказчику
услуги собственного
специалиста для
первоначального
сопровождения системы и
постепенного обучения
персонала заказчика.
Внедрение
- увеличение нагрузки на
персонал;
- несогласованность
действий персонала
исполнителя и сотрудников
предметных областей
- проведение обучения
персонала заказчика
работы с системой;
- составление плана
внедрения ИС
66
Кроме того, в процессе эксплуатации и сопровождения разработанной
ИС могут возникнуть:
технические риски;
риски персонала.
Факторами технических рисков являются:
ошибки в программе вызывающие простой системы;
невозможность осуществления требуемых действия, «зависание»
программы;
использование вредоносных программ (вирусы, черви, трояны,
логические бомбы), использование в корыстных целях найденных ошибок
(дыр) в программах,
перехват информации по телекоммуникациям, воровство
информации;
некорректная эксплуатация оборудования;
приостановка деятельности третьего лица (например, провайдера
Интернет услуг), что повлечет за собой невозможность передачи отчетов из
филиалов и контроля деятельности филиалов;
несоответствие функциональных возможностей системы бизнес-
процессам в комплекса задач в следствие реорганизационных изменений.
Предотвратить данные обстоятельства можно, соблюдая следующие моменты:
тщательное тестирование и выявление ошибок на этапе
разработки;
устранять в кратчайшие сроки ошибки силами прошедших
подготовку на этапе внедрения технических специалистов;
администратор сети должен следить за безопасностью
информации,
использовать и вовремя обновлять антивирусные программы,
правильно настроить FireWаll, которые будут разделять локальную и
внешнюю сеть, предоставить работникам организации возможность работы
67
только с той информацией, которая им необходима для исполнения своих
служебных обязанностей;
разделение клиентского и серверного оборудования, а также
необходимо привлечение обученного работе с системой квалифицированного
персонала;
наличие альтернативных средств доступа в Интернет или других
способов передачи данных;
документирование технических условий и их согласование со
всеми заинтересованными участниками проекта;
обязательное утверждение любых изменений.
Факторами возникновения риска персонала являются следующие
обстоятельства:
нарушение информационной безопасности работы - возможна
утечка информации из-за злоумышленных действий сотрудников и не
желании работать с новой системой;
не определен этап выхода их проекта консультантов заказчика.
В противовес этому может выступать:
организация системы поощрений использующего систему
персонала заказчика;
прием на работу сотрудников при условии не разглашения
коммерческой тайны в противном случая - применение штрафных санкций;
четкое планирование сроков проекта и момента прекращения
работы над проектом со стороны исполнителя.
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
68
Для ограничения использования беспроводной сети она защищена
шифрованием по протоколу WEP2, а также настроена фильтрация клиентов по
MAC-адресам.
Кроме того, используется система видеонаблюдения, система
пожаротушения и система контроля и управления доступом.
В компании разработана и применяется политика безопасности.
Целями политики безопасности являются:
сохранение конфиденциальности критичных информационных
ресурсов;
обеспечение непрерывности доступа к информационным ресурсам
Компании для поддержки бизнес деятельности;
защита целостности деловой информации с целью поддержания
возможности по оказанию услуг высокого качества и принятию эффективных
управленческих решений;
повышение осведомленности пользователей в области рисков,
связанных с информационными ресурсами;
определение степени ответственности и обязанностей
сотрудников по обеспечению информационной безопасности.
Руководители подразделений должны обеспечить регулярный контроль
за соблюдением положений политики. Кроме того, должна быть организована
периодическая проверка соблюдения информационной безопасности с
последующим представлением отчета по результатам указанной проверки
руководству.
Требования политики распространяются на всю информацию и ресурсы
обработки информации. Соблюдение политики обязательно для всех
сотрудников (как постоянных, так и временных). В договорах с третьими
лицами, получающими доступ к информации, должна быть оговорена
обязанность третьего лица по соблюдению требований политики
безопасности.
69
К основным задачам администратора разрабатываемой информационной
системы на платформе «1С: Предприятие» в условиях относят:
- работу с пользовательскими учетными записями (введение новых
учетных записей), изменение уровня доступа к системе, удаление
пользователя из системы;
- создание групповых политик (назначение групповых прав доступа);
- макроооперации с информационными базами (установка обновлений,
тестирование БД, реорганизация, сжатие и др.);
- резервное копирование базы данных;
- восстановление баз данных;
- организация хранения копий баз данных;
- разработка нормативных документов в области функционала
администратора БД.
Эффективное управление пользовательскими учетными записями
позволит повысить защищенность системы, снизить вероятность ошибок
пользователей вследствие влияния человеческого фактора, позволить
реализовать протоколирование действий пользователей.
Рассмотрим организацию технологии администрирования
информационных ресурсов разрабатываемой в ВКР информационной
системы.
Основными методами администрирования ПО «1С: Предприятие»
является администрирование на уровне программного обеспечения
(регулирует доступ к режимам работы программного обеспечения), а также
администрирование на уровне контроллера домена (регулирует доступ к ПО
через доменные учетные записи пользователей).
Обязанности администратора ПО «1С:Предприятие» возложены на ИТ-
специалиста.
На рис. 11 приведена схема документооборота администрирования ПО
«1С: Предприятие».
70
Начальник отдела
Заявка на доступ
Администратор БД
Таблицы доступа
к БД, Профиль
доступа
Парольная
карточка
Рисунок 11 – Схема документооборота в администрировании ПО 1С
Как показано на рисунке 11, организация предоставления доступа
пользователей к ПО 1С организована следующим образом:
1. Начальник профильного отдела подает формализованную заявку на
предоставление прав доступа к БД 1С:Предприятие на имя администратора
базы данных.
Заявка содержит следующие позиции:
- тип действия: предоставление, изменение, закрытие прав доступа;
- доменное имя специалиста;
- ФИО и должность специалиста;
- уровень доступа;
- срок исполнения заявки.
Заявка визируется руководителем организации.
2. Администратор базы данных вносит изменения в документы
«Таблица разграничения доступа к информационным ресурсам», «Профиль
разграничения доступа к информационным ресурсам».
3. При необходимости администратор формирует парольную карточку
доступа к базе данных для выдачи пользователю и выдает ее под роспись с
отметкой в соответствующем журнале.
4. Администратор базы данных информирует начальника профильного
отдела об исполнении заявки.
71
В табл. 10 приведена таблица разграничения прав групп пользователей
к информационной системе.
Таблица 10. Разграничение прав пользователей.
Группы
пользователей
НСИ
Транзакции
Аналитическая
отчетность
Менеджеры
клиентов
Чтение/создани
е/удаление
Чтение/создание
/удаление
Права отсутствуют
Администратор
ы ИС
Чтение/создани
е/удаление
Чтение/создание
/удаление
Чтение/создание/уда
ление
Топ-менеджеры
Чтение
Чтение
Полный
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и её описание