26
26
Существующий процесс имеет следующие недостатки:
- Сложность мониторинга деятельности конторы;
- Сложность в составлении отчетной документации;
- Возможность утраты информации из-за возможных ошибок
консультанта;
- Ручная обработка информации;
- Снижение эффективности в работе менеджера;
- Трудоемкость в оформлении документов и отчетности при
необходимости работать с большими размерами данных;
- Отсутствие единого упорядоченного архива истории взаимоотношения с
клиентами;
- Трудоёмкость проведения взаиморасчётов с клиентами.
Выполним расчет предполагаемого эффекта от внедрения средств
автоматизации таблица 2.
Таблица 2
Расчет эффекта внедрения
Действие
Время, которое
затрачивается при
базовой технологии/
мин.
Время, которое
затрачивается по
предлагаемому
варианту/ мин.
Учет клиентов
10-20
5
Учет входящих документов
40
5
Учет исходящих документов
40
5
Формирование отчетности
60
5
Итого:
150
20
Таким образом, при действующей системе каждый из основных процессов
занимает до 60 минут, а в сумме за рабочий день на это тратится приблизительно
3 часа рабочего времени. С внедрением предлагаемой системы это время
сократится до 15-20 минут. Кроме того, основными достоинствами
автоматизации также будет являться меньший риск допущения ошибок в
документах и отчетной документации за счет электронной формы их
формирования, а также автоматизированного ввода данных.
Поскольку предприятие является электронной торговой площадкой,
размещенной в сети Интрент в виде интернет-магазина, то в рамках работы
предлагается внедрение системы управления сайтом для ведения учета
27
27
статистических данных и формирования отчетности данного интернет-магазина.
1.2.4. Анализ системы обеспечения информационной безопасности и
защиты информации
К программным методам и средствам обеспечения безопасности сетей
относят: защиту средствами ОС, средства сетевой защиты, защита баз данных с
помощью СУБД, средства антивирусной защиты, системы обнаружения
вторжений, средства анализа защищенности и автоматизированные средства
управления политикой безопасности [5].
У правильно сконфигурированной Windows, под управлением которой
находится большинство рабочих станций организации, с установленными
соответствующими обновлениями, на многих рабочих станциях существуют
области FAT32, что снижает общую безопасность этих станций. Для повышения
эффективности системы защиты в перечисленные условия необходимо также
добавить исключение физического доступа внешнего злоумышленника к
компьютеру, запрет загрузки с внешнего носителя, документально
подкрепленный запрет установки «хакерских» программ со стороны внутренних
пользователей.
Новые виды атак появляются постоянно, поэтому защита должна быть
многоуровневой, включать как программные, так и организационные методы и
строиться на противостоянии не конкретной атаке, а классу атак [6]. На текущий
момент защита не носит комплексный характер. Скачиваются и
устанавливаются не все обновления. Нет ограничений по видам деятельности
под определенными операционными системами.
В сети применяются следующие меры защиты:
- на рабочих местах пользователей применяются средства разграничения
доступа при входе в систему, встроенные в ОС;
- на серверах используются средства разграничения доступа и механизмы
аудита, встроенные в ОС;
- на рабочем месте администратора применяются встроенные в ОС
средства блокировки сеансов пользователей;
- администрирование системы удаленно через Интернет не производится.
28
28
Средства сетевой защиты
- экранирование внутренней сети путем использования межсетевого
экрана. Пропускная способность используемого межсетевого экрана достаточна
для данной сети;
- использование фильтров на маршрутизаторе;
- взаимодействие с внешней сетью через proxy-сервер;
Безопасность баз данных
В качестве системы управления базами данных на предприятии
используется MS SQL Server 2016. Для защиты баз данных применяются
встроенные в СУБД MS SQL Server 2016 механизмы безопасности, такие как,
SQL Server-аутентификация, управление доступом на основе ролей SQL Server,
аудит. Обновления скачиваются и устанавливаются регулярно. Также регулярно
производится архивное копирование базы данных.
Все сотрудники имеют права доступа в соответствии со служебными
обязанностями. Пароль администратора доступен двум сотрудникам:
генеральному директору и сотруднику, его заменяющему на время отсутствия.
По результатам исследований самого авторитетного международного
английского журнала «VirusBulletin» AVP Касперского замыкает 5-ку лучших
антивирусов по результатам последних 15-ти испытаний.
Тестирование проводилось на макровирусах, полиморфных, т.н.
стандартных вирусах и «диких вирусах». Использование списка «диких
вирусов» (WildList) позволяет получить объективную оценку надежности того
или иного антивирусного средства.
По результатам последних 5-ти проверок AVP Касперского делит первое
место с Eset (NOD32).
Копия программы, используемой в организации, является лицензионной,
количество приобретенных лицензий незначительно превышает количество
рабочих мест, таким образом, имеется резерв лицензий, и при необходимости
увеличить число рабочих станций не потребуется дополнительных закупок.
Антивирусные базы обновляются ежедневно на сервере и на рабочих станциях.
На рабочие станции обновления рассылаются автоматизировано.
Программа - бесспорный лидер по тщательности проверки
29
29
подозрительных объектов. Антивирус Касперского обнаруживает вирусы в
архивированных и упакованных файлах более 1200 форматов, а также лечит
файлы форматов ZIP, ARJ, CAB и RAR. Кроме того, компания предлагает
круглосуточную техническую поддержку.
Рабочие станции большинства пользователей находятся под контролем
резидентного монитора. Антивирус поддерживает различные платформы, в
частности все те, что используются на предприятии, и имеет сертификаты и
лицензии ГТК и ФСБ России.
Таким образом, обеспечиваемый уровень защиты от вирусов можно
признать достаточно высоким.
Система обнаружения вторжения (IDS) позволяет выявлять/блокировать
попытки взлома ЛВС и оповещать об этом. В настоящее время на предприятии
такие системы в сети не используются. Необходимость применения IDS и ее
место в комплексной системе безопасности возникает по мере развития
информационных технологий, которое происходит как на стороне владельца
информационной системы, так и на стороне злоумышленника. Межсетевого
экрана и антивируса становится недостаточно, если есть вероятность получения
контроля над системой (ОС, СУБД) со стороны несанкционированного
пользователя.
Следует учитывать, что степень сложности IDS требует соответствующей
квалификации обслуживающего ее персонала. С установкой IDS администратор
получает еще одну обязанность - необходимость постоянно просматривать
журналы протоколирования событий, однако это необходимая малая жертва,
благодаря которой он избавит себя от гораздо более серьезных проблем. На
настоящий момент для принятия решения о внедрении в систему безопасности
системы обнаружения вторжений необходимо сформировать требования к
защите, провести обследование рынка таких систем.
Своевременность обнаружения уязвимостей непосредственно связана с
частотой опроса. Кроме необходимых плановых проверок задача контроля
защиты периодически возникает при изменении, обновлении компонентов
информационной системы, изменении конфигурации операционной системы и
т.п.
30
30
В ЛВС на предприятии в настоящий момент средства анализа
защищенности не применяются, хотя потребность в них существует. Такие
средства облегчают анализ защищенности используемых механизмов
обеспечения информационной безопасности. Сканеры безопасности - позволяют
установить собственную политику безопасности, автоматизировать анализ
уязвимостей и создать отчеты, которые эффективно связывают информацию об
обнаруженных уязвимостях с подробными корректирующими действиями на
всех уровнях организации. Использование этих средств поможет определить
уязвимости на узлах сети и устранить их до тех пор, пока ими воспользуются
злоумышленники.
Причины того, что вопрос использования сканера защищенности
заслуживает внимания, заключаются в следующем:
- многие пользователи не имеют никакого представления о защите, и
часто действуют так, что могут скомпрометировать систему защиты
организации.
- опытные пользователи, самостоятельно администрирующие свои
рабочие станции, могут непреднамеренно ослабить защиту всей сети, используя
дополнительный винчестер, модем для личного удобства, слабые или
скомпрометированные пароли и т.д. Организационные меры в данном случае
будут менее действенны (будут расценены как оскорбительное недоверие), чем
периодическая проверка защищенности администратором сети, отвечающим за
безопасность.
- неустановленные патчи ОС, уязвимые сервисы, плохая настройка по
умолчанию, или устаревший Java Security Manager в Web-броузере, лучше всего
устраняются как системой анализа защищенности на уровне ОС, так и уровне
сети.
- риски, связанные с администраторами, включая не отвечающие политике
безопасности значения в системном реестре, требования к паролям или
несанкционированные изменения в конфигурации системы, легче
идентифицировать с помощью системы сканирования сетевого уровня, а затем,
для полного анализа, использовать средства системного уровня. Риски,
связанные с деятельностью пользователя, включая совместное использование
31
31
директорий, отказ запускать антивирусное ПО, использование модемов в обход
МСЭ, лучше всего определяются средствами анализа защищенности системного
уровня.
На фоне отсутствия комплексной системы защиты внедрение отдельно
взятых систем такого рода, а также систем анализа защищенности, будет
являться мерой эпизодического, местного характера и не принесет должного
эффекта. Поэтому отсутствие IDS и сканеров безопасности можно
рассматривать не как отдельный недостаток существующей системы защиты, а
как составляющую проблемы отсутствия комплексной системы защиты.
Принципиальная характеристика автоматизированных средств управления
политикой безопасности – это выработка единой политики для данного типа
устройств, сегмента сети, операционной системы, группы пользователей и
применение этой политики в корпоративной сети.
Наличие автоматизированных средств управления политикой
безопасности подразумевает присутствие следующих факторов в организации:
- Развитой инфраструктуры безопасности, т.к. данное программное
обеспечение должно управлять именно имеющимися механизмами
безопасности, иметь возможность общаться с устройствами безопасности для
получения от них информации и направления им управляющих действий. На
текущий момент уровень развития системы безопасности не предоставляет
возможности внедрения таких продуктов;
- Квалифицированного персонала для управления безопасностью, т.к. без
детального представления принципов работы механизмов безопасности
автоматизированное управление безопасностью бесполезно и рискованно. Таким
образом, при расчете эффективности относительно стоимости необходимо
учитывать затраты на обучение сотрудника, выполняющего обязанности
администратора безопасности.
Одной из основных целей обеспечения информационной безопасности
предприятия является необходимость предотвращения или снижение уровня
ущерба, интересы которых затрагиваются при проведении атак на объекты
защиты, материального, морального и иного случайного или преднамеренного
32
32
ущерба из-за нарушения конфиденциальности, целостности, достоверности,
подконтрольности и доступности защищаемой информации.
К объектам защиты относятся информационные ресурсы, обрабатываемые
в рамках инфраструктуры сети, а также информационные ресурсы самой
инфраструктуры сети, влияющие на эффективность обеспечения
информационной безопасности.
1.3 Анализ существующих разработок и выбор стратегии автоматизации
«КАК ДОЛЖНО БЫТЬ»
1.3.1 Анализ существующих разработок для автоматизации задачи
Рассмотрим программное обеспечение, предназначенное для учета
статистических данных интернет-магазина и формирования отчетности. На
рынке представлены следующие системы:
1. «Crosss».
2. «Advse».
3. «RUSH-ANALYTICS».
Система «Crosss» осуществляет следующие функции:
Разработку товарных рекомендаций;
Сбор e-mail;
Тигерризацию и персонализацию e-mail-рассылок.
Система проводит анализ запросов покупателей и, с помощью 20
алгоритмов, позволяет определить причину, по которой пользователь покинул
сайт. Затем он отправляет потенциальному клиенту напоминание о товарах по
электронной почте, что не позволяет ему забыть о конкретном интернет-
магазине. Это позволяет организации осуществить сбор базы электронных
адресов, которые будут использованы для рассылок.
Аналитическая система «Advse» позволяет выявить причины низкой
эффективности контекстной рекламы. Эта система позволяет изучить
контекстную рекламу конкурентов и дать рекомендации, на основании которых
интернет-магазин обретет конкурентные преимущества. Статистика этой
системы позволит выявить следующие данные:
по каким запросам видна реклама конкурентов;
33
33
какие словосочетания используют конкуренты.
Анализ рекламных кампаний конкурентов позволяет найти минус-слова
для использования в рекламе ресурса. Это позволит сравнить позиции
рекламных объявлений и разработать рекламную кампанию на основе данных о
конкурентах.
Вместе с запросами о конкурентах пользователь получает:
стоп-слова (слова с низкой эффективностью);
медиаплан (лучшие слова и словосочетания);
сводку – быструю оценку рекламных кампаний.
Система «RUSH-ANALYTICS» отличается простотой и удобством, а
также она объединяет все инструменты, которыми пользуется специалист по
SEO. Помимо этого, в системе предусмотрен механизм оценки эффективности
их применения. Программа осуществляет сбор семантики и кластеризацию
запросов. Преимуществом системы является то, что одна платформа помогает
рассчитать сразу несколько показателей эффективности Интернет-ресурса. С
помощью кластеризации система подбирает осмысленные группы, делает
объемную работу по систематизации данных, облегчая аналитику владельцу
интернет-бизнеса.
Для выбранных информационных систем разработаем ряд критериев, по
которым будет проводиться оценка соответствия требованиям. Критериями
выбора информационной системы будут являться:
Простота и удобство использования.
Функциональность.
Безопасность.
Удобство навигации.
Стоимость.
Выбранные системы будут оценены по выделенным критериям по
пятибалльной шкале, в которой «1» означает полное несоответствие критерию, а
«5» - полное соответствие. Оценка платформ приведена в таблице 4.
Таблица 4
Анализ программного обеспечения
Критерий
Crosss
Advse
RushAnalytics
Простота управления
4
4
5
34
34
Критерий
Crosss
Advse
RushAnalytics
Безопасность
5
3
3
Удобство навигации
4
4
1
Стоимость
3
3
4
Функциональность
2
3
3
Итого
18
17
16
По результатам анализа программного обеспечения, представленного на
рынке, можно сделать вывод о том, что оно не обладает функционалом,
необходимым для предприятия. Например, оно осуществляет сбор статистики,
но не проводит анализ данных и формирование отчетности, а также
перечисленные системы больше направлены на рекламу, чем на формирование
маркетинговой стратегии.
1.3.2 Выбор и обоснование стратегии автоматизации задачи
Стратегия автоматизации содержит в себе основные принципы, которые
используются при автоматизации компании ИМ «ДОКТОР ТЕХНО». В состав ее
входят такие составляющие [10]:
- цели: сферы деятельности компании и очередность, в которой они будут
автоматизированы
- стратегии автоматизации: по направлениям, участкам, комплексная
автоматизация, хаотичная.
-· техническая долгосрочная политика - комплект внутренних стандартов,
поддерживаемых в торговой компании
-· ограничения: временные, финансовые, и др.
- процедура управления изменениями плана.
Процесс автоматизации - одна из возможностей достижения
стратегических бизнес-целей, а не процесс, который развивается по собственным
внутренним законам. Основой стратегии автоматизации должна быть стратегия
бизнеса компании: миссия компании, направленность и модель бизнеса.
Стратегия автоматизации компании представляет собой план, который
согласован по целям и срокам с главной стратегией компании.
Критериями выбора должной стратегии автоматизации в компании ИМ
«ДОКТОР ТЕХНО» являются временные и финансовые ограничения. Исходя из
35
35
этого рассмотрим возможность внедрения одной из четырёх представленных
стратегий автоматизации:
Автоматизация хаотичная – предполагает установку частей
информационной системы (ИС) по мере возможностей. Она представляет собой
заплатку и с точки зрения долгосрочного эффекта является самым неудачным
вариантом, при хаотичной автоматизации полностью отсутствует
стратегический план развития информационной системы и потребность в ее
внедрении чаще всего определяется сиюминутными целями.
Автоматизация по участкам – это процесс автоматизации отдельных
управленческих или производственных подразделений компании, которые
объединены по функциональному признаку. Такой процесс характеризуется
наибольшей трудоемкостью. Для эффективного внедрения автоматизации по
участкам необходимо наличие оперативных и стратегических планов компании.
Данный метод применяется тогда, когда недостаточно инвестиционных ресурсов
для полной автоматизации компании, когда при автоматизации участка
достигается существенный эффект.
Автоматизации по направлениям – это автоматизация направлений
(бизнес-процессов), отдельных групп, таких как управления финансами,
производство и сбыт:
1) ожидается, меняем объект, меняем предметную область;
2) выбор системы имеет сильную зависимость от типа услуг и
составляющих затрат;
3) внедрив систему, мы получим "конструктор” рабочих
автоматизированных мест.
Комплексные стратегии автоматизации являются распространением
систем автоматизации на всю функциональную направленность деятельности
предприятия благодаря проведению системной интеграции (объединения) ИС в
процессе их внедрения. Разделяют полную автоматизацию на:
1) автоматизацию с внутренней интеграцией – используют ее в качестве
единого информационного хранилища одной СУБД (клиент -> сервер -> ядро->
СУБД)