48
Рисунок 2.3. Спиральная модель ЖЦ ИC
Существует целый ряд стандартов, в которых регламентируется
жизненный цикл ИС, и вообще программных систем, и предлагается
определенная модель жизненного цикла.
Основные группы процессов, включаемых в жизненный цикл ИС:
• Договорные процессы, связанные с приобретением и поставкой ИС.
• Процессы предприятия, которые будут отражены в системе.
• Проектные процессы.
• Технические процессы, связанные с внедрением, сопровождением,
обеспечением
• Функционирования системы.
• Специальные процессы.
Существует целый ряд стандартов, а в некоторых случаях и процессы
разработки, регламентирующих ЖЦ ПО.
Можно выделить следующие:
• ГОСТ 34.601-90 - стандарт распространяется на автоматизированные
системы, используемые в различных видах деятельности (исследование,
проектирование, управление и т.п.), включая их сочетания, создаваемые в
организациях, объединениях и на предприятиях. Стандарт устанавливает стадии
и этапы создания автоматизированных систем. [1]
• ISO/IEC 12207:2010 - базовый стандарт процессов жизненного цикла
программного обеспечения, ориентированный на различные виды ПО и типы
проектов автоматизированных систем или информационных систем, в которые
ПО входит как часть. Стандарт определяет стратегию и общий порядок в создании
49
и эксплуатации ПО. Он охватывает ЖЦ ПО от концептуализации идей до
завершения ЖЦ [2].
• Custom Development Method CDM (Oracle)- определяет разработку
прикладных информационных систем под заказ - конкретный материал,
детализированный до уровня заготовок проектных документов, рассчитанных на
прямое использование в проектах автоматизированной систесы с опорой на
инструментарий Oracle. Технология основана на использовании
инструментального комплекса Oracle Developer Suite. Технология в основном
ориентирована на разработку программного обеспечения, в котором
приоритетным является разработка и использование базы данных, в том числе
конверсия базы данных при переходе на новое программного обеспечения [10].
• Rational Unified Process RUP. Основой данной технологии является
поэтапное моделирование продукта средствами UML, в ней реализуется
итерационный и инкрементный подход к созданию программного обеспечения.
Разработка системы выполняется в виде нескольких краткосрочных мини-
проектов фиксированной длительности (от 2 до 6 недель), называемых
итерациями. Каждая итерация включает свои собственные этапы анализа
требований, проектирования, реализации, тестирования, интеграции и
завершается созданием работающей системы. Данная технология достаточно
гибкая и имеет возможность масштабирования, то есть подходит как для малых
проектов и рабочих групп, так и для больших. Технология состоит из 4 основных
этапов, сопровождающимися 9-ю видами деятельности (процессами).
• Microsoft Solution Framework (MSF) это набор концепций и
рекомендуемых моделей, которые позволяют разрабатывать и внедрять
информационные системы на основе технологий и инструментальных средств
Microsoft. Многие концепции MSF хорошо известны. MSF является одной из
интерпретаций спиральной (циклической) модели разработки приложений и
базируется на практических результатах организации распределенных
вычислений и применения технологий «клиент-сервер» компании Microsoft, ее
партнеров и заказчиков
• Extreme Programming (XP). одна из гибких методологий разработки
программного обеспечения. Название методологии исходит из идеи применить
50
полезные традиционные методы и практики разработки программного
обеспечения, подняв их на новый «экстремальный» уровень. Так, например,
практика выполнения ревизии кода, заключающаяся в проверке одним
программистом кода, написанного другим программистом, в «экстремальном»
варианте представляет собой «парное программирование», когда один
программист занимается написанием кода, а его напарник в это же время
непрерывно просматривает только что написанный код.
В стандарте ISO/IEC 15288-2005, этапы создания автоматизированных
систем отличаются от рассмотренных выше [3]. Ниже приведены стадий создания
результаты, которые к моменту их завершения должны быть достигнуты, таблице
2.2.
Таблица 2.2.
Стадии создания систем (ISO/IEC 15288)
№ п/п
Стадия
Описание
1
Формирование концепции
Анализ потребностей, выбор
концепции и проектных решений
2
Разработка
Проектирование системы
3
Реализация
Изготовление системы
4
Эксплуатация
Ввод в эксплуатацию и использование
системы
5
Поддержка
Обеспечение функционирования
системы
6
Снятие с эксплуатации
Прекращение использования,
демонтаж, архивирование системы
Для разработки автоматизированных систем используется 3 графических
диаграммы:
“сущность-связь” (Entity Relationship Diagrams), созданные для
графического описания модели данных: набора сущностей и связей между ними.
Функциональное моделирование (StructuredAnalysisandDesign
Technique), которое описывает процессы функционирования системы. Оно
строится по иерархическому типу и позволяют в наглядной форме отобразить
51
последовательность операций, которые необходимы для выполнения каждой
функции этой системы [9]
Существует несколько типов этих диаграмм:
o IDEF0 - предназначенная для описания и формализации бизнес-
процессов
o IDEF1 – используется для создания модели, при которой
представлена структура информации, необходимая для поддержки
функций производственной системы
o IDEF2, методология динамического моделирования развития
систем.
Диаграммы потоков данных (DataFlowDiagrams, DFD). Это
методология графического анализа, в которой описываются внешние по
отношению к самой системе источники и адресаты данных, функции, потоки
данных и хранилища, к которым осуществляется доступ.
Для разрабатываемой информационной системы подходит каскадная
модель жизненного цикла, так как, сложность разрабатываемой системы не
велика и использование более сложной модели является не разумным. Данная
модель ЖЦ подходит для выбранного нами стандарта ГОСТ 34.601-90. К
следующему этапу переход осуществляется после выполнения работ
предыдущего этапа, выполнив подготовку документации, необходимой для
работы других разработчиков при возможности планирования сроков выполнения
работа и оценке затрат на выполнение.
2.1.2 Ожидаемые риски на этапах жизненного цикла и их
описание
Каждый проект по проектированию информационной системы обязательно
включает множество задач, которые связаны с управлением проектом,
разработкой программного обеспечения, проектированием информационной
системы и интеграцией. Каждая из этих задач, сама по себе является проектом с
имеющимися особенностями, следовательно, в ходе разработки имеются риски.
52
Заказчик имеет риски связаны с неудовлетворительным достижением целей
проекта, а также не эффективно вложенными средствами. Исполнитель имеет
риски, связанные с возможностью резкого увеличения себестоимости работ по
сравнению с плановой. Ведение параллельных и кардинально отличающихся по
своему характеру работ, может привести к тому, что степень риска проекта
многократно возрастет [13].
В таблице 2.3 приведены наиболее характерные риски.
Таблица 2.3.
Характерные риски и методы их минимизации
Виды рисков/варианты
менеджмента рисков
Снижение видов риска
Снижение вероятности
возникновения риска
Риски, связанные с
масштабом проекта
Детальный анализ
каждого этапа работ,
взаимодействия
участников, организации
работ
Детально проработанная
программа качества,
отработанное
управление
конфигурацией проекта,
специальные процедуры
взаимодействия
участников
Риски, связанные с
недостаточным опытом
в сфере ИТ
Проведение обучения
пользователей, включая
руководство,
соблюдение технологий
работы
Разработка и
утверждение концепции
проекта на возможно
более ранней его стадии
Технические риски
проекта
Строгий отбор
проектной команды по
квалификационным
критериям. Обучение
участников проекта
технологии проектных
работ,
инструментальным
средствам
Использование
стандартов предприятия
на проектные работы,
разработка стандартов
проекта
Организационные риски
проекта
Обучение участников
проекта (курс
"управление проектом"),
тренинги команды, как
можно более полная
формализация
деятельности
Включение в команду
администратора
проекта, детальное
распределение ролей в
проекте
53
Операционные риски
проекта
Многократное
тестирование созданных
продуктов, тщательная
экспертиза документов
Строгое выполнение
процедур программы
качества
2.1.3 Организационно-правовые и программно-аппаратные
средства обеспечения информационной безопасности и защиты
информации
Комплекс мероприятий по защите информации в разрабатываемой системе
содержит в себя следующие аспекты:
защита информации от внутренних факторов;
защита информации от внешних факторов.
Защита от внутренних факторов осуществляется использованием политики
прав доступа к системе. Характеристика политики приведена в таблице 2.4.
Таблица 2.4.
Права доступа к системе
Пользователи
Справочник
пропуска
Справочник
клиенты
Справочник
заявки
Сотрудники
Чтение
Чтение
Чтение
Администратор
Полный
Полный
Полный
Для защиты от внешних факторов воздействия используются следующие
способы:
использование программно-аппаратного комплекса
разработка и соблюдение политики безопасности
использование защищенного канала связи при передаче данных
использование антивирусных программ
защита помещений от физического доступа
54
Характеристика используемых средств от внешних факторов
информационной безопасности приведена в таблице 2.5.
В состав СКУД КОДОС входят следующие элементы:
Контроллер-концентратор СКД сетевой СК-05– Используется для
управления исполнительными устройствами, хранения базы данных пропусков, а
также регистрации событий.
Контроллер замка сетевой КД-01– Данный контроллер является
электронным устройством, работающим в составе сетевой СКД «BRAVO», и
предназначенным для управления электромагнитными замками,
электромеханическими защелками, а также турникетами сторонних
производителей. В качестве ключей доступа могут использоваться ключи
TouchMemory либо электронные бесконтактные карты при использовании
считывателей СВ-01.
Считыватель бесконтактный СВ-01– Устройство предназначено для
идентификации карт доступа пользователей типа Proximity.
Конвертер интерфейсов RS422/USB – Устройство предназначено для
подключения устройств с выходным интерфейсом RS422 (концентратор) на
расстоянии до 1200 м к компьютеру через интерфейс USB [17].
Таблица 2.5.
Характеристика используемых средств от внешних угроз
информационной безопасности
Способ (метод)
Описание (наименование средства)
Программно-аппаратные
комплексы защиты информации
СКУД Кодос
55
Разработка и соблюдение политик
безопасности
ограничение доступа пользователей к
информации;
анализ и статистика нарушений
информационной безопасности;
информационный мониторинг;
распределение ответственности по
обеспечению информационной
безопасности;
определение порядка работы с
информацией, являющейся
конфиденциальной.
Защита каналов связи
Безопасная оболочка SSH
Антивирусная защита
Eset Nod32
Физическая защита помещений
система контроля и управления
доступом;
оборудование помещений решетками
на окнах;
разграничение прав доступа в
помещения.
SSH (SecureShell – Защищенная оболочка) – это сетевой протокол,
обеспечивающий защищенную аутентификацию, соединение и безопасную
передачу данных между хостами сети, путем шифрования, проходящего через
него трафика, с возможной компрессией данных. Важной функциональной
особенностью, является возможность создания защищенных, шифрованных
туннелей, для безопасной передачи через небезопасную среду (например,
интернет), других сетевых протоколов, также с возможность сжатия трафика.
Кроме того, протокол SSH отлично работает с форвардингом (переадресация,
перенаправление) портов одной машины на порты другой, в том числе и
форвардинг удаленных клиентов XWindow.
Безопасность протокола SSH обеспечивается следующими программными
решениями:
56
Шифрование всего трафика, проходящего через SSH соединение,
выполняемое по одному из возможных алгоритмов, выбираемых в процессе
переговоров сторон сеанса связи. Шифрование трафика соединения, препятствует
его перехвату и использованию в злонамеренных целях. За счет выбора различных
алгоритмов шифрования, систему становится очень гибкой, позволяя, например,
не использовать алгоритмы, в которых были обнаружены уязвимости или
потенциальные угрозы безопасности, или использовать только те алгоритмы,
которые поддерживаются каждой из сторон;
Аутентификация SSH сервера, производится всегда, при любом
соединении, что не позволяет подменить трафик или сам сервер;
Аутентификация SSH клиента, может происходить различными
способами, что, с одной стороны, делает сам процесс аутентификации более
безопасным, с другой, делает систему еще более гибкой, упрощая работу с ней;
Контроль целостности сетевых пакетов, дает возможность отследить
незаконные изменения трафике соединения, в случае обнаружения данного факта,
соединение обрывается незамедлительно;
Временные параметры аутентификации, предотвращают
возможность использования перехваченных и через некоторое время,
расшифрованных данных соединения [6].
Протокол SSH поддерживает довольно разнообразные методы
аутентификации и авторизации удаленных клиентов на SSH сервере, в том числе:
GSSAPI-based аутентификация
Host-based аутентификация;
Аутентификация пользователя с помощью публичного ключа;
Аутентификация «вызов-ответ» (challenge-response);
Аутентификация пользователя по паролю.
Системой контроля и управления доступом (СКУД) называется
совокупность программно-технических средств и организационно-методических
мероприятий, с помощью которых решается задача контроля и управления
посещением отдельных помещений, а также оперативный контроль перемещения
персонала и времени его нахождения на территории объекта.
57
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и её описание
Информационная модель можно представить в виде схемы движения
входных, промежуточных и выходных данных, а также функций предметной
области. Она также описывает, на основе каких входных данных и какой
нормативно-справочной информации происходит выполнение функций по
обработке данных и формирование конкретных выходных документов.
Информационная модель представлена на рисунке 2.4.
Область 1 отображает, что из ИС OTRS в рамках моделируемой задачи
поступает заявка на доступ в Дата Центр.
Область 2 отображает то, что из базы ИС Citron в рамках моделируемой
задачи используются 5 таблицы.
Область 3 отображает процесс создания пропуска.
Предполагается, что создание пропуска будет состоять из следующих
этапов:
Из ИС OTRS приходит заявка от клиента на пропуск.
Затем с помощью таблиц Т Клиенты и Т Компания происходит
создание пропуска.
Область 4 отображает то, что проектируемая ИС предоставляет на выходе:
клиент получает ответ о созданном пропуске.
сотрудник видит заявку на пропуск и ответ клиенту.