79
достаточно проблематичному дальнейшему ведению бизнеса, а в определенных
случаях невозможным вообще.
Задачи по защите информации возлагаются на службу информационных
технологий.
Далее необходимо разработать ряд нормативно-распорядительных
документов:
1. Концепция обеспечения информационной безопасности
организации.
Концепция определяет основные цели и задачи, а также общую стратегию
построения комплексной системы обеспечения информационной безопасности,
требования и базовые подходы к их реализации, состав критичных
информационных ресурсов и основные принципы их защиты.
Содержание: термины и определения, общие положения, содержание
концепции, описание объекта защиты, основные принципы обеспечения ИБ,
организация работ по обеспечению ИБ, меры обеспечения ИБ, распределение
ответственности и порядок взаимодействия подразделений, порядок
категорирования защищаемой информации, модель нарушителя безопасности,
модель угроз безопасности, требования по обеспечению ИБ, ответственность за
нарушение ИБ, история изменений.
2. Правила работы пользователей в корпоративной сети компании.
Настоящий документ определяет основные правила по обеспечению
информационной безопасности при работе пользователей в корпоративной сети
компании.
Содержание: термины и определения, общие положения, общие
требования безопасности, предъявляемые к пользователям корпоративной сети,
нецелевое использование средств обработки информации, предупреждение
распространения компьютерных вирусов, требования по обеспечению
безопасности при работе в сети Интернет и с электронной почтой,
ответственность за обеспечение ИБ.
3. Политика и регламент резервного копирования и восстановления
данных.
80
Настоящая политика определяет общие требования, основные принципы и
процедуры осуществления резервного копирования информационных ресурсов
компании. Она также устанавливает ответственность должностных лиц службы
безопасности за выполнение и контроль этих процедур.
Содержание: термины и определения, общие сведения, основные
положения, требования к системе резервного копирования, требования по
копированию и восстановлению различных категорий данных, обеспечение
безопасности резервных копий, контроль процедур резервного копирования,
регламент резервного копирования, ответственность.
4. План восстановления работоспособности информационной системы
после аварии.
Настоящий план определяет основные меры, методы и средства
сохранения работоспособности информационной системы компании при
возникновении различных аварийных ситуаций, а также порядок работ по
восстановлению процессов обработки информации в случае нарушения
работоспособности информационной системы и ее основных компонентов.
Кроме того, план описывает действия различных категорий персонала
информационной системы в аварийных ситуациях по ликвидации их
последствий и минимизации наносимого ущерба.
Содержание: введение, основные положения, рабочие группы по
ликвидации последствий аварии, технические условия для серверных
помещений, определение приоритетов для прикладных систем, средства
обеспечения непрерывной работы и восстановления, резервный вычислительный
центр, тестирование плана, сопровождение плана.
5. Комплексный план защиты информационных ресурсов компании от
несанкционированного доступа.
Назначением настоящего плана является документирование
согласованных решений, а также разработка и подготовка достаточного набора
процедур для предотвращения попыток НСД, реагирования на попытки НСД и
ликвидации последствий НСД.
План определяет мероприятия, которые необходимо проводить на
протяжении всего периода эксплуатации системы в целях предотвращения
81
попыток НСД и своевременного их обнаружения. План, также, определяет
методы и стратегии реагирования на попытки НСД и процедуры ликвидации
последствий НСД.
Содержание: организация реагирования и предотвращения попыток НСД,
предупреждение попыток НСД, выявление попыток НСД, реагирование на
попытки НСД, ликвидация последствий НСД.
6. Политика обеспечения безопасности удаленного доступа к ресурсам
корпоративной сети компании.
Под удаленным доступом к ресурсам корпоративной сети компании
понимаются все виды доступа, осуществляемые по внешним каналам связи и с
использованием устройств доступа, расположенных за пределами охраняемой
зоны и не контролируемых компании. Основными видами удаленного доступа
являются:
• Доступ к корпоративной сети по коммутируемым каналам связи с
использованием модемов и телефонной сети;
• Доступ мобильных пользователей к корпоративной сети с
использованием VPN каналов связи типа «компьютер-сеть» через сеть Интернет;
• Подключений удаленных подразделений компании к
корпоративной сети с использованием VPN каналов типа сеть-сеть через сеть
Интернет.
Содержание: термины и определения, общие положения, требования по
обеспечению безопасности удаленного доступа, контроль, ответственность.
7. Политика обеспечения безопасности при взаимодействии с сетью
Интернет.
Настоящая политика определяет:
• ответственность службы безопасности компании за обеспечение ИБ
при подключении различных участков корпоративной сети к сети Интернет;
• требования к конфигурации средств защиты, включая
маршрутизаторы и МЭ;
• требования к программным системам и оборудованию,
размещаемым в демилитаризованной зоне корпоративной сети;
82
• порядок осуществления контроля защищенности внешнего
периметра корпоративной сети.
Содержание: термины и определения, общие сведения, назначение,
область действия, основные положения, контроль доступа пользователей к
ресурсам сети Интернет, контроль доступа пользователей сети Интернет к
ресурсам корпоративной сети, требования к настройке внешних
маршрутизаторов, требования к настройке систем, размещаемых в
демилитаризованной зоне, ответственность.
8. Антивирусная политика и инструкция по защите от компьютерных
вирусов.
Настоящий документ определяется систему мер, предпринимаемых
службой безопасности компании, направленных на защиту компьютеров,
входящих в состав корпоративной сети компании от компьютерных вирусов,
троянских программ и прочих деструктивных программных кодов, а также
устанавливает требования к конфигурации комплексной системы антивирусной
защиты корпоративной сети и мероприятия, обеспечивающие поддержание этой
системы в работоспособном состоянии.
Содержание: общие сведения, основные положения, структура и состав
средств антивирусной защиты, требования к конфигурации средств
антивирусной защиты, контроль функционирования системы антивирусной
защиты, ответственность.
9. Политика выбора и использования паролей и ключей.
Настоящая политика устанавливает требования к порядку выбора,
хранения, использования, периодичности смены и другим вопросам, связанным
с применением механизмов парольной аутентификации в информационных
системах компании.
Содержание: термины и определения, общие сведения, основные
положения, правила выбора паролей, обеспечение конфиденциальности паролей,
контроль, ответственность.
10. Правила предоставления доступа к ресурсам корпоративной сети.
Правила определяют:
83
• порядок предоставления сотрудникам доступа к ресурсам
корпоративной сети компании;
• порядок отмены доступа;
• порядок изменения прав доступа;
• требования, предъявляемые к сотрудникам компании в связи с
предоставлением им доступа к ресурсам корпоративной сети;
• порядок осуществления контроля доступа;
• ответственность сотрудников компании.
Содержание: термины и определения, общие сведения, назначение,
область действия, основные положения, порядок предоставления доступа к
ресурсам корпоративной сети, порядок отмены доступа к ресурсам
корпоративной сети, порядок изменения прав доступа к ресурсам корпоративной
сети, контроль, ответственность.
11. Политика аудита информационной безопасности.
Политика аудита информационной безопасности определяет:
• нормативную базу для деятельности внутренних и внешних
аудиторов;
• полномочия внешних и внутренних аудиторов;
• ответственность аудиторов за обеспечение ИБ и нормального
режима функционирования информационных систем компании;
• порядок и условия проведения аудита ИБ и анализа рисков.
Процедура внутреннего аудита информационной безопасности описывает
процесс сбора и анализа информации, необходимой для оценки уровня
информационной безопасности компании при проведении внутреннего аудита.
Данная процедура позволяет оценить адекватность реализованных в
информационных системах механизмов безопасности, соответствие системы
обеспечения ИБ бизнес требованиям, требованиям политики безопасности и
законодательства.
Содержание: термины и определения, общие сведения, основные
положения, порядок и условия проведения аудита в компании, анализ и
управление рисками, ответственность.
84
12. Соглашение о соблюдении режима информационной безопасности,
заключаемое со сторонними организациями.
Настоящее соглашение заключается с целью обеспечения безопасности
информационных ресурсов компании, доступ к которым предоставляется
партнеру на период действия соглашения. По настоящему соглашению партнер
обязуется сохранять в тайне и не разглашать информацию, составляющую
служебную и/или коммерческую тайну компании, а также обеспечить
выполнение требований по защите информации от НСД, компьютерных вирусов
и прочих угроз, связанных с нарушением доступности или целостности
информационных ресурсов компании.
Содержание: общие положения, предмет соглашения, права и обязанности
сторон, хранение документов, ответственность сторон, срок действия
соглашения, разрешение споров.
Для защиты от внутренних угроз в системе используется политика
разделения прав доступа. Характеристика политики приведена в таблице 2.1.
Таблица 0.1
Разграничение прав пользователей
Группы
пользователей
Модуль
«Авторизация»
Модуль «Учет
заявок»
Модуль
«Ввод
данных»
Модуль
«Отчеты»
Сотрудник
Чтение
Нет
Нет
Ограничен
Администратор
системы
Полный
Полный
Полный
Полный
85
2.2 Информационное обеспечение задачи
2.2.1 Информационная модель и её описание
Информационная модель представляет собой схему движения входных,
промежуточных и результативных потоков и функций предметной области.
Рисунок информационной модели приведен на рисунке 2.4.
ИС
Спр Модели
Спр Клиент
Т Сотрудники
Т Заказ
Т Дефекты_в_заказе
Спр Запчасти
Спр Запчасти
Спр Дефекты
Спр Модели
Учет
брендов
Учет
сотрудник
ов
Список
сотрудников
Учет
запчастей
Список
моделей
Учет
заказа
Сотрудник
Т Заказ
Сотрудник
Список
брендов
Учет
моделей
Список
заказов
Список
заказов
Детализация
заказа
Детализац
ия заказа
Анализ
стоимости
Анализ
стоимости
Прогноз
количества
заказов
Прогноз
количеств
а заказов
Спр Клиент
Т Дефекты_в_заказе
Спр Бренды
Спр Бренды
Т Сотрудники
Спр Дефекты
Т Оборудование
Т Оборудование
Учет
дефектов
Список
запчастей
Список
дефектов
Рисунок 2.4 Информационная модель системы учета ремонта оборудования
Заполнение справочников происходит при первом запуске системы, далее
они только редактируются. При использовании основных справочников
происходит учет продаж, в ходе которого записывается информация в таблицу
Продажи. Отчетные документы формируется в виде экранных форм на
основании выбора форм сортировки и могут быть выведены на печать или
экспортированы в формат *.xlsx.
86
2.2.2 Характеристика нормативно-справочной, входной и
оперативной информации
Под входной информацией понимается вся информация, необходимая для
решения задачи и расположенная на различных носителях: первичных
документах, машинных носителях, в памяти персонального компьютера. С этой
целью составляются перечень входной информации и состав реквизитов каждого
вида входной информации, расположение реквизитов входной информации,
описание полей (реквизитов) входных документов [13].
Значительное место в автоматизированной системе учета занимает
нормативно-справочная информация. Нормативно-справочная информация ―
это условно‒постоянная составляющая общей корпоративной информации, она
используется при регламентации деятельности компании, обеспечивая
целостность данных, сопровождающих бизнес-процессы компании.
По назначению нормативно-справочная информация используется для:
идентификации единиц информации;
информационно-поисковых целей;
формирования характеристик объектов учета;
обеспечения информационных взаимосвязей и расчетов.
Другими словами, нормативно-справочная информация ― это ядро
единого информационного пространства организации, включающее в себя набор
справочников, словарей, классификаторов, стандартов, регламентов,
используемых в деятельности организации.
В системе используется следующая входная информация:
Список сотрудников компании;
Список моделей оборудования;
Список брендов оборудования;
Список запчастей с указанием их стоимости;
Список дефектов (неисправностей оборудования) с указанием
стоимости.
Данная информация применяется для первичного заполнения
справочников системы. В ходе дальнейшей работы осуществляется регистрация
87
клиентов, ремонтируемых оборудования, а также заказов. Для хранения этой
информации используются Таблицы Клиенты, Оборудование, Заказы.
В ходе работы программы осуществляется также редактирование заказов.
Для обеспечения работы системы предусмотрены справочники,
приведенные в Таблице 2.2.
Таблица 2.2
Перечень используемых справочников
№
пп
название
справочника
ответственный
за ведение
средний
объём
справочника
в записях
среднюю
частоту
актуализации
средний объем
актуализации,
%
1.
Клиент
Администратор
45
1 раз в месяц
10
2.
Модели
оборудования
Администратор
150
1 раз в год
10
3.
Бренды
Администратор
250
1 раз в год
10
4.
Дефекты
Администратор
45
1 раз в месяц
10
5.
Запчасти
Администратор
45
1 раз в месяц
10
Все документы могут поступать как бумажной, так и в электронной
формах.
2.2.3 Характеристика результатной информации
Информацию, полученную в результате обработки первичной и
промежуточной информации о совершенных хозяйственных операциях,
называют результатной. Именно для достижения получения итоговой
информации и используется сбор и обработка данных. Она позволяет оценить
работу организации и принимать управленческие и оперативные решения.
Результатной информацией, формируемой в ходе работы системы,
являются следующие документы:
Список клиентов;
Список заказов;
Детализация заказа;
Анализ стоимости выполненных работ за каждого инженера;
Прогноз количества заказов на основании учтенных ранее заказов.
88
Список клиентов содержит ФИО клиента и номер его телефона. Список
заказов отображает все заказы в данный момент, содержит такие реквизиты, как
номер заказа, его статус, дату начала, дату окончания, стоимость, а также ФИО
сотрудника, который его выполнял . Также в этой форме рассчитываются такие
показатели, как общее количество заказов, общая стоимость заказов, средняя,
максимальная и минимальная стоимость.
2.3 Программное обеспечение задачи.
2.3.1 Общие положения (дерево функций и сценарий диалога)
Основным действующим лицом в разработанной системе является
сервисный инженер, который производит регистрацию заявки на ремонт, а также
формирование результатных документов. Дерево функций для инженера
представлено на Рисунке 2.5.