29
1.2.4. Анализ системы обеспечения информационной безопасности и защиты
информации
На текущий момент, когда деятельность компании деятельность компании
автоматизирована с помощью ERP-системы «1С: Предприятие», состояние
информационной безопасности отмечается как хорошее.
Политика безопасности компании реализована в рамках рассматриваемой
задачи следующим образом:
Доступ к каждому компьютеру организации осуществляется с
помощью авторизации, в ходе которой пользователь вводит уникальный логин и
пароль, созданный системным администратором.
Доступ к программному обеспечению «1С. Предприятие» есть
только у сотрудников отделов кадров, финансового отдела, отдела закупок, отдела
продаж и склада. Для доступа к системе необходимо пройти процедуру
авторизации, в ходе которой указываются уникальные логин и пароль для входа в
систему, созданные системным администратором.
Политика безопасности организации основана на принципе «что не
разрешено, то запрещено». В связи с чем у пользователей ПК есть разрешение на
открытие всех файлов, кроме системных, внесение изменений только в те файлы,
которые созданы членами группы пользователя.
Доступ к функционалу «1С: Предприятие» ограничен следующим
правилом: все сотрудники, у которых есть учетная запись могут создавать записи
в программе. Все сотрудники могут вносить изменения в документы, созданными
от их учетной записи. Право на удаление документов есть только у начальников
отделов.
Рассмотрим инженерно-технические средства защиты ресурсов
информационной инфраструктуры компании. В компании применяются
следующие инженерно-технические средства обеспечения информационной
безопасности:
антивирусное программное обеспечение «Kaspersky Total Security
18.0.0.405»;
программные брандмауэры, входящие в состав применяемых
коммутаторов.
30
Помимо этого, в качестве мер защиты ЛВС компании применяются
следующие организационные меры:
в системе назначен администратор безопасности;
за каждое устройство назначен ответственный за его эксплуатацию;
системный блок компьютера опечатывается печатями
ответственного и работника технического отдела;
установка любого программного обеспечения проводится только
сотрудником технического отдела;
запрещено использование неучтенных носителей информации. На
учтенных носителях выполнена маркировка, в том числе гриф хранимой
информации, номер, должность и фамилия сотрудника.
У компании есть сайт, на котором указана информация о компании,
предоставляемых услугах и возможностью составления заявки для обратной
связи. Для защиты сайта от внешних угроз используются следующие методы:
На сервере существует дополнительная аутентификация
пользователей.
Доступ к панели администратора сайта защищен надежным паролем,
который состоит из символов двух алфавитов, цифр и спецсимволов.
Для защиты информации сайта проводится ежеквартальное
сканирование PCI через сервис Trustwave.
Для обеспечения защиты информации сайта используются файлы
.htaccess.
Используется протокол SSL, который позволяет установить
безопасное соединение, при этом все данные передаются в закодированном виде
по протоколу HTTPS.
Сайт регулярно подвергается модерации и администрированию.
В качестве мер защиты от инсайдерских угроз в компании используется
видеонаблюдение. Доступ к помещению офиса компании ограничен. На входе
установлен домофон с видеонаблюдением. Пропуск в помещение офиса
осуществляется офис-менеджером, который выясняет цель визита посетителей и
координирует их.
31
1.3. Анализ существующих разработок и выбор стратегии автоматизации
«КАК ДОЛЖНО БЫТЬ»
1.3.1. Анализ существующих разработок для автоматизации задачи
После того как было обосновано решение о внедрении средств
вычислительной техники для сбора и обработки заявок на изготовление
полиграфической продукции, необходимо принять решение о способе
приобретения программного обеспечения. Способы приобретения программного
обеспечения делятся на 2 категории [3]:
1. Приобретение готового программного обеспечения.
2. Разработка программного обеспечения.
Рассмотрим готовые решения, представленные на рынке. Одним из таких
программных продуктов является программный продукт «АИСТ-Полиграф» [28].
Это универсальная система автоматизации деятельности полиграфических
предприятий. Она позволяет оптимизировать деятельность в условиях:
многообразия продуктов и услуг;
большого потока заказов;
относительно небольшой численности персонала;
краткости производственного цикла.
Система имеет модульную структуру, которая позволяет автоматизировать
следующие функции:
1. Формирование клиентской базы.
2. Планирование работы с клиентами.
3. Учет заказов и осуществление предварительных расчетов.
4. Возможность указывать большое количество параметров для каждой
позиции заказа.
5. Автоматизация стоимости заказа.
6. Учет материалов, необходимых для производства.
7. Планирование производства полиграфической продукции.
Особенностями этой системы являются: универсальность,
настраиваемость, ориентация на продажи, уровень автоматизации,
масштабируемость, документация.
32
Система «1С: Полиграфия 2» является программным модулем системы
«1С», но может использоваться с другими системами [27]. Основной функцией
программы является расчет и управление заказами клиентов. В системе есть
комплекс справочников, которые позволяют вести учет следующих данных:
1. Информации об оборудовании.
2. Параметрах печати.
3. Видах продукции.
4. Учет производства продукции.
Также система формирует отчет по выполнению заказов и сравнению
плановых показателей с фактическими. Преимуществами этой системы являются:
надежность, производительность и масштабируемость;
работа в режиме «тонкого» и «толстого» клиента;
возможность создания мобильных рабочих мест;
возможность настройки интерфейса для конкретного пользователя
или группы пользователей с учетом роли пользователя, его прав доступа и
индивидуальных настроек.
Программный продукт «ASystem» представляет собой
автоматизированную систему управления полиграфическим предприятием [26].
Поскольку эта система предназначена для комплексной автоматизации
полиграфического предприятия, она обладает широким функционалом.
Ее основными функциями являются:
оперативное управление основным производством;
ведение управленческого учета;
анализ результатов полиграфической деятельности;
расчет стоимости и себестоимости заказа;
расчет нормы производительности и потребности в основных
материалах и бумаге;
контроль всех стадий выполнения заказа;
планирование загрузки оборудования и оценка времени выполнения
каждой стадии технологического процесса;
планирование потребности в материалах;
управление производством заказа;
33
анализ результатов производственной и коммерческой деятельности
предприятия.
Система работает на клиент-серверной архитектуре, и позволяет
обеспечить стабильную производительность предприятия вне зависимости от
количества подключенных рабочих мест.
Программное обеспечение, предназначенное для автоматизации
выделенного бизнес-процесса, должно отвечать следующим критериям:
1. Иметь возможность создания и редактирования номенклатуры.
2. Учитывать заказы.
3. Учитывать выполнение заказа.
4. Формировать отчетность о выполнении заказа.
5. Обеспечивать надежность функционирования.
6. Обладать приемлемой стоимостью.
Проанализируем соответствие представленных программных продуктов
выделенным критериям. Оценку будет проводиться по пятибалльной шкале, где
«5» - означает полное соответствие выделенному критерию, а «1» - полное
несоответствие критерию. Оценка производилась на основании данных,
представленных на сайтах компаний-разработчиков программных средств.
Оценка соответствия критериям представлена в таблице 4.
Таблица 4
Анализ программных продуктов
Критерий
Аист-
Полиграф
1С:
Полиграфия 2
ASystem
Редактирование номенклатуры
4
5
5
Учет заказов
5
5
5
Учет выполнения заказа
3
4
4
Формирование отчетности
4
4
4
Надежность
2
4
3
Стоимость
5
2
2
Итого
25
24
23
В результате проведенного анализа было установлено, что перечисленные
системы обладают избыточным функционалом, большая часть которого не
требуется для выполнения поставленной задачи. Отсюда следует несоответствие
критерия стоимости – она выше планируемого бюджета проекта. Еще одним
важным критерием является надежность. Согласно результатам проведенного
34
анализа, она находится на среднем уровне. Поэтому был сделан вывод об
отсутствии программного обеспечения, автоматизирующего выбранный процесс,
на рынке.
1.3.2. Выбор и обоснование стратегии автоматизации задачи
Стратегия автоматизации бизнес-процессов организации представляет
собой подход и набор методов, согласно которым будет осуществляться
автоматизация выбранной задачи.
Существует несколько видов стратегий автоматизации [5]:
кусочная (хаотичная) автоматизация;
автоматизация по участкам;
автоматизация по направлениям;
комплексная автоматизация.
Первый вариант стратегии автоматизации включает в себя приобретение
отдельных модулей программного продукта без какого-либо стратегического
плана. Такой вариант стратегии обладает низкой эффективностью, поскольку
отдельные фрагменты информационной системы не способны оказать пользу
компании, а дальнейшая автоматизация приведет к значительным затратам.
Следующий вариант процесса автоматизации предполагает автоматизацию
отдельных бизнес-процессов, которые объединены по набору выполняемых
функций. Выбор этого способа оптимален в том случае, когда существуют
участки, в которых применение автоматизированных систем дает значительный
экономический эффект.
Способ автоматизации по направлениям предполагает автоматизацию
отдельных направлений деятельности компании. При этом достигается полная
автоматизация направления деятельности. Этот подход является оптимальным в
том случае, когда дальнейшая интеграция автоматизированных функций не будет
связана с серьезными препятствиями.
Комплексная автоматизация предполагает внедрение программного
продукта, автоматизирующего работу компании в целом [10].
Кусочная стратегия автоматизации не подходит для рассматриваемой
задачи, поскольку в рамках ее решения будет автоматизирована деятельность
35
целого отдела, при этом будут использованы несколько составляющих
информационной системы: СУБД и клиент-серверное приложение.
Стратегии полной автоматизации также не является подходящей,
поскольку будет автоматизировано одно из направлений деятельности компании.
В рамках рассматриваемой задачи, подходящей является стратегия
автоматизации по направлениям, поскольку будет автоматизирован процесс
обработки заявок на предоставление полиграфических услуг, которые
выполняется двумя отделами: продаж и полиграфии.
1.3.3. Выбор и обоснование способа приобретения ИС для автоматизации задачи
Рассмотрим существующие способы приобретения информационных
систем для автоматизации обработки заявок на полиграфические услуги.
Приобретение информационных систем может осуществляться одним из
перечисленных способов:
1. Покупка готовой специализированной ИС.
2. Разработка ИС своими силами.
3. Разработка ИС сторонней фирмой.
4. Покупка системы и её доработка.
Рассмотрим вариант покупки готовой информационной системы,
автоматизирующей бизнес-процесс обработки заявок на полиграфические услуги.
Ранее были рассмотрены программные системы, представленные на рынке, и был
сделан вывод о том, что они не в полной мере удовлетворяют потребностям
организации, поэтому покупка готовой информационной системы не подходит.
Рассмотрим вариант с покупкой системы и ее доработкой. Доработка
информационной системы под потребности организации является трудоемкой и
добавление необходимого информационных систем под нужды компании
потребует внесения значительных изменений исходного кода и бизнес-логики.
Поэтому оба варианта приобретения информационной системы были отклонены.
Следующая группа вариантов приобретения информационных систем
подразумевает разработку информационной системы, удовлетворяющей
требованиям организации. Поскольку в компании есть специалисты с
36
необходимой квалификацией для разработки программного обеспечения,
подходящим будет являться вариант разработки системы своими силами.
1.4. Обоснование проектных решений
1.4.1. Обоснование проектных решений по информационному
обеспечению
Поскольку в системе будут храниться и обрабатываться данные только о
заявках и сотрудниках, в ней не будут использованы международные
классификаторы. При этом в системе будет применяться простая кодировка
объектов справочников и таблиц с помощью последовательной нумерации в
процессе создания записей в базе данных.
Условно-постоянная информация будет храниться в следующих
справочниках:
1. Отдел.
2. Сотрудник.
3. Вид услуги.
4. Статус заявки.
Входным документом рассматриваемой задачи является заявка на
полиграфические услуги, которая составляется в свободной форме специалистами
отделов продаж или полиграфии. У заявки отсутствует унифицированная форма,
в связи с чем потребуется оригинальное проектирование формы при разработке
системы.
Выходным документом процесса является акт приема-передачи заказа. Акт
имеет унифицированную форму, поэтому проектирование оригинальной формы
документа не потребуется. В акте содержатся данные о наименовании изделия,
которые будут выданы клиенту, их количестве и дате выдачи. Также в документе
отмечено какой сотрудник выдал заказ.
Для отслеживания процесса производства продукции будут использоваться
статусы заявок, которые будут присваиваться заявкам сотрудниками организации.
Для каждой заявки должны быть предусмотрены следующие статусы, которые
будут давать пользователю возможность отслеживания:
1. Новая.
37
2. Изготовление.
3. Готово к выдаче.
4. Выдано.
1.4.2. Обоснование проектных решений по программному обеспечению
Информационные системы позволяют пользователям осуществлять сбор и
обработку данных. Для хранения данных используются базы данных. Различают
следующие виды баз данных [12]:
1. Иерархические.
2. Сетевые.
3. Реляционные.
В настоящее время широко применяются реляционные базы данных в связи
со следующими факторами [17]:
Они обладают простотой, поскольку в реляционной модели данных
существует всего одна информационная конструкция, формализующая табличное
представление данных.
Наличие теоретически обоснованных методов нормализации
отношений позволяет получать базу данных с заданными характеристиками.
Независимость данных заключается в том, что при необходимости
внесения изменений в структуру реляционной базы данных, требуется внесение
минимальных изменений.
Помимо перечисленных достоинств, в организации уже используется
реляционная СУБД. Поэтому, с целью минимизации конфликтов в процессе
интеграции, для разработки информационной системы будет использована
реляционная база данных.
Для управления реляционной базой данных используется реляционная
СУБД. На рынке широко представлены как коммерческие, так и бесплатные
СУБД. Наиболее востребованными на рынке являются следующие СУБД:
Microsoft SQL Server;
PosgreSQL;
IBM DB2;
Oracle database.
38
СУБД IBM DB2 является кроссплатформенной, обеспечивает стабильную
работу базы данных [12]. Недостатками системы являются высокая стоимость и
низкая производительность. СУБД Microsoft SQL Server обладает большим
пакетом инструментов, стабильностью работы и низкими затратами на
администрирование. Недостаток системы заключается в том, что она работает
только на платформе Windows. СУБД Oracle обладает высокой
производительностью, легкостью интегрирования приложений и устойчивостью
к большим потокам данных. Недостатком является высокая стоимость,
необходимость приобретения мощного оборудования и персонала для поддержки
СУБД.
Ввиду перечисленных свойств реляционных СУБД был сделан выбор в
пользу СУБД Microsoft SQL Server, поскольку эта СУБД уже используется в
организации для функционирования системы «1С: Бухгалтерия».
Для разработки информационной системы будет использован объектно-
ориентированный подход к программированию, потому что он позволяет
осуществлять конструирование из компонентов, обладающих простыми
инструментами, что дает возможность абстрагироваться от деталей реализации.
При этом данные и операции вместе образуют определенную сущность, и они не
«размазываются» по всей программе, как это нередко бывает в случае
процедурного программирования. Использование локализации программного
кода и данных улучшает наглядность и удобство сопровождения программного
обеспечения.
Рассмотрим языки программирования Java и C++. Если программа
написана на C# и должна работать на машинах с операционной системой Windows
и Linux, тогда потребуются компиляторы для перечисленных платформ и два
разных исполняемых файла. В случае с языком программирования Java,
сгенерированный байт-код может выполняться на любом компьютере, на котором
установлена виртуальная Java-машина.
Гибкость языка отвечает за легкость добавления к разработанному
программному обеспечению новых функциональных возможностей,
использованию существующих библиотек. Язык программирования C# обладает