46
Продолжение таблицы 8.
Стадии
Этапы работ
5. Технический проект
5.1. Разработка проектных решений по системе и еѐ
частям.
5.2. Разработка документации на АС и еѐ части.
5.3. Разработка и оформление документации на поставку
изделий для комплектования АС и (или) технических
требований (технических заданий) на их разработку.
5.4. Разработка заданий на проектирование в смежных
частях проекта объекта автоматизации.
6. Рабочая
документация
6.1. Разработка рабочей документации на систему и еѐ
части.
6.2. Разработка или адаптация программ.
7. Ввод в действие
7.1. Подготовка объекта автоматизации к вводу АС в
действие.
7.2. Подготовка персонала.
7.3. Комплектация АС поставляемыми изделиями
(программными и техническими средствами, программно-
техническими комплексами, информационными
изделиями).
7.4. Строительно-монтажные работы.
7.5. Пусконаладочные работы.
7.6. Проведение предварительных испытаний.
7.7. Проведение опытной эксплуатации.
7.8. Проведение приѐмочных испытаний.
8. Сопровождение АС
8.1. Выполнение работ в соответствии с гарантийными
обязательствами.
8.2. Послегарантийное обслуживание.
Целью этапа формирования требований к АС является сбор данных об
объекте автоматизации и осуществляемых видах деятельности. Получаемая на
этом этапе информация представляет собой требования, предъявляемые к
проектируемой АС.
Целью этапа разработки концепции АС является оценка возможностей
реализации требований пользователя. На выходе этого этапа получается
информация о возможных путях достижения требований.
Целью этапа разработки технического задания является составление и
систематизация полученных требований и технических решений для
реализации проекта автоматизации. Выходным документом здесь является
техническое задание.
47
Целью этапа разработки эскизных решений является определение
функций АС и еѐ укрупнѐнная структура. Результатом выполнения этого этапа
служит определѐнная программная и аппаратная архитектура проектируемой
АС.
Целью этапа технического проекта является разработка основного
функционала системы в полном объѐме. В результате завершения этого этапа
получается АС, готовая к проведению документирования и внедрения.
На этапе документирования целью является создание понятной и
согласованной документации, отражающей работу АС в полном объѐме.
Результатом этого этапа является техническая документация, необходимая для
полного описания совокупности принятых проектных решений в объѐме,
достаточном для дальнейшего выполнения работ по созданию АС.
Целью этапа внедрения является подготовка объекта автоматизации к
вводу АС в действие. Результатом этого этапа выступает готовая к работе АС,
развѐрнутая на объекте автоматизации.
На этапе сопровождения целью является осуществление работ по
поддержанию работоспособности системы и устранению недостатков.
Результатом этого этапа является полностью работоспособная АС.
22
2.1.2. Ожидаемые риски на этапах жизненного цикла и их описание
Основными рисками на стадиях формирования требований, разработки
концепции и технического задания являются риски, связанные с неправильной
интерпретацией целей проекта, и следовательно, неправильной постановкой
задач, что может привести к выбору неподходящих средств для реализации
проекта, как программных, так и аппаратных. При этом исправление ошибок
анализа среды, в которой будет работать система, может быть трудно
исправимо, что в свою очередь, повлечѐт переработку системы или еѐ
отдельных компонентов с нуля.
22
Чистов Д.В. Проектирование информационных систем: учебник и практикум для академического
бакалавриата. М.: Издательство Юрайт, 2017. – 258 с. – Серия: Бакалавр. Академический курс.
48
На стадии технического проекта существуют риски, связанные с
выбором программного и технического обеспечения. Так, например, используя
свободное программное обеспечение, разработчик обязан принять и следовать
его лицензии. Свободное ПО разрабатывается большим сообществом и
предоставляется «как есть», что значит, любые изменения в текущем продукте
и его обновлениях не могут быть изменены только лишь по желанию
некоторых пользователей. Этот факт закрепляет за основными разработчиками
открытых программных продуктов возможность коренным образом влиять на
направление разработки. Риск для конечных пользователей продукта здесь
состоит не только в невозможности прямо влиять на ход развития, но и в том,
что они не имеют влияния на качество получаемого продукта, также принимая
его «как есть».
При реализации проекта автоматизации также возникают риски,
связанные с качеством создаваемого продукта, которое здесь зависит от
квалификации разработчика и поставленных сроков разработки. Сроки проекта
зависят от объема задач, предусмотренных функциональными рамками
проекта. Очевидно, сокращения сроков проекта можно добиваться путем
привлечения дополнительных человеческих ресурсов. Однако эта зависимость
не является прямо пропорциональной и имеет определенные ограничения, при
достижении которых дальнейшее привлечение на проект новых сотрудников не
приведет к сокращению сроков, а наоборот, может их увеличить. При этом
общая стоимость проекта будет возрастать, так как каждый новый сотрудник,
вовлеченных в проект, будет вносить свой вклад в себестоимость проекта.
23
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
При организации доступа к сайту возможно использование одного из
двух существующих протоколов передачи гипертекста: HTTP и HTTPS.
Протокол HTTP обеспечивает возможность получать различные ресурсы,
23
Риски проекта автоматизации [Электронный ресурс] // ECM-Journal - Журнал об электронном
контенте, документах и бизнес-процессах URL: https://ecm-journal.ru/docs/Riski-proekta-avtomatizacii.aspx (дата
обращения: 05.03.2020).
49
например HTML-документы. Протокол HTTP лежит в основе обмена данными
в Интернете. HTTP является протоколом клиент-серверного взаимодействия,
что означает инициирование запросов к серверу самим получателем, обычно
веб-браузером. Полученный итоговый документ будет (может) состоять из
различных частей документов, являющихся частью итогового документа:
например, из отдельно полученного текста, описания структуры документа,
изображений, видеофайлов, скриптов и других компонентов.
Соединение управляется на транспортном уровне, и потому
принципиально выходит за границы HTTP. Хотя HTTP не требует, чтобы
базовый транспортного протокол был основан на соединениях, требуя только
надѐжность, или отсутствие потерянных сообщений (т.е. как минимум
представление ошибки). Среди двух наиболее распространенных транспортных
протоколов Интернета, TCP надѐжен, а UDP - нет. HTTP впоследствии
полагается на стандарт TCP, являющийся основанным на соединениях
несмотря на то, что соединение не всегда требуется.
HTTP/1.0 открывал TCP-соединение для каждого обмена
запросом/ответом, имея два важных недостатка: открытие соединения требует
нескольких обменов сообщениями, и потому медленно, хотя становится более
эффективным при отправке нескольких сообщений, или при регулярной
отправке сообщений: теплые соединения более эффективны, чем холодные.
Для смягчения этих недостатков, HTTP/1.1 предоставил конвейерную
обработку и устойчивые соединения: лежащее в основе TCP соединение можно
частично контролировать через заголовок Connection. HTTP/2 сделал
следующий шаг, добавив мультиплексирование сообщений через простое
соединение, помогающее держать соединение теплым и более эффективным.
В свою очередь, протокол HTTPS обеспечивает конфиденциальность
обмена информацией по каналу связи путѐм шифрования. Благодаря
использованию сертификатов подлинности, при передаче пакетов данных
становится возможным определить, действительно ли принимающая или
передающая сторона является тем, за кого себя выдаѐт. Шифрование данных
50
основано на протоколах SSL и TLS, что позволяет обеспечивать защиту
информации по трѐм аспектам: аутентификации, сохранности данных и их
шифрования.
Однако, начиная с 2014 года протокол SSL является нежелательным для
использования, так как в нѐм были обнаружены уязвимости, позволяющие
злоумышленникам похищать данные, передаваемые по каналу связи. С этого
момента предпочитаемым протоколом шифрования является TLS, который на
момент написания данной выпускной квалификационной работы существует в
версии 1.3.
Основой для шифрования в этих протоколах является наличие у каждой
стороны сертификата подлинности. Однако, двухсторонняя авторизация не
является обязательной, так как серверу не обязательно знать, кем именно
является клиент. Сервер только обслуживает входящие запросы, не запрашивая
ресурсы самостоятельно. Клиент же в свою очередь, при запросе ресурса у
сервера должен быть уверен в том, что ему ответит именно тот сервер, у
которого был запрошен ресурс. Иначе существует возможность проведения
атаки типа «человек-по-середине», которая подразумевает модификацию
передаваемого сообщения на пути от сервера к клиенту или наоборот. В этом
случае, клиент не знает точно, от кого приходит сообщение и предполагает, что
его автором является сервер, к которому он обращался, а соответственно, если
клиент доверяет этому серверу, то информация, получаемая таким образом
будет обрабатываться в соответствии с теми алгоритмами, которые
предназначены для безопасных источников информации, что может привести к
утечке данных или их повреждению.
Также, для обеспечения безопасности передачи конфиденциальных
данных, следует предусмотреть систему шифрования паролей для доступа к
административной панели сайта. Несмотря на тот факт, что база данных
находится на сервере и не представлена в сети непосредственно, существует
вероятность проведения атаки с использованием уязвимостей конкретной БД,
что может привести к утечке данных для авторизации на сайте, а
51
следовательно, и к потере контроля над самим сайтом, что немедленно
повлечѐт экономические проблемы. На этот случай целесообразно хранить в
базе данных не сами пароли доступа, а их контрольные суммы в виде
результатов их обработки хеш-функциями, которые, принимая на вход одну и
ту же величину производят для неѐ одну и ту же контрольную сумму, что
позволяет производить операцию сравнения для двух контрольных сумм и
считать еѐ равносильной операции сравнения двух исходных паролей.
Такой способ хранения паролей может быть достигнут двумя
способами: при помощи хеширования паролей на стороне веб-сервера или на
стороне базы данных. При использовании функций хеширования на стороне БД
алгоритм составления хеша ограничен возможностями самой БД, так как при
внесении изменений в записи таблицы возможно использование только тех
функций, которые доступны в БД. Однако, существует возможность создания
собственных функций, которые будут вычислять значение хеша для пароля.
При этом реализация алгоритма полностью возлагается на разработчика
системы в то время, как при произведении этих расчѐтов на стороне сервера
существует возможность подключения сторонних криптографических пакетов,
которые значительно упрощают процесс создания уникальных хешей. Также
можно воспользоваться встроенными возможностями языка программирования
для генерации хешей.
24
Таблица 9.
Разграничение прав доступа пользователей
Группа
пользователей
Информация о
заявках
Информация о
нарядах
Доступ в
Интернет
Директора
Чтение, запись,
удаление
Чтение, запись,
удаление
Не ограничен
Бухгалтерия
Чтение, запись,
удаление
Чтение, запись
Не ограничен
Бригадиры
Чтение
Чтение
Ограничен
Рабочие
Чтение
Чтение
Вне локальной
сети
Клиенты
Запись (создание)
Нет
Не ограничен
24
Никифоров С.Н. Методы защиты информации. Защита от внешних вторжений: учебное пособие – 2-е
изд.. стер. – СПб.: Издательство «Лань», 2019. – 96 с.: ил. – (Учебники для вузов. Специальная литература).
52
Для организации защиты информации от несанкционированного
доступа в ИС предусмотрен механизм разделения прав доступа пользователей.
В таблице 9 показаны права на осуществляемые в системе действия для всех
групп пользователей, осуществляющих взаимодействие с ИС, включая
клиентов организации.
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и еѐ описание
В системе существует два вида источников данных – справочники и
таблицы. В справочниках хранится информация, которая используется для
подстановки в поля экранных форм. К такой информации относятся списки
услуг, бригад и пользователей системы. Эта информация обновляется
значительно реже, чем другие записи.
В справочнике «Пользователи» хранится информация о существующих
в системе пользователях, их данных и правах доступа к информации.
В справочнике «Бригады» содержится информация о существующих в
системе бригадах, которые представляют собой именованные наборы записей о
пользователях. Также, каждая бригада имеет своего бригадира. Этот
справочник используется в формировании наряда на выполнение работ при
указании бригады, выполняющей работу, и бригадира, ответственного за
выполнение наряда.
В справочник «Услуги» заносится информация о предоставляемых
компанией услугах, на которые может производиться запись при помощи
формы создания заявки.
В таблицах хранится информация о заявках и нарядах на их выполнение.
Записи о заявках создаются информационной системой на основе данных,
передаваемых клиентом при помощи формы создания заявки. Затем эта запись
используется бухгалтером для формирования наряда на выполнение
соответствующих работ.
После создания заявки на оказание услуг, бухгалтер создаѐт наряд,
связанный с ней, в котором указывает бригаду, которая будет выполнять
53
заявку, а также перечисляет работы по заявке и ответственных за их
выполнение.
Помимо управления заявками и нарядами, в системе существует форма
просмотра списка нарядов, позволяющая просматривать текущие наряды.
Также, через неѐ осуществляется доступ к форме изменение наряда.
После завершения всех работ распечатывается электронный документ
наряда с перечнем всех указанных работ, который подписывается бригадиром
соответствующей бригады и передаѐтся бухгалтерию для дальнейшего учѐта
заработной платы рабочих.
На рисунке 11 изображена информационная модель системы, которая
отражает связи источников данных, экранных форм, пользователей и
документов, существующих в системе.
Рисунок 11. Информационная модель
ИС
Управление
заявкой
Управление
нарядом
Создание
заявки
Список нарядов
Заявки
Наряды
СПР
Пользователи
СПР
Бригады
Бухгалтер
Клиент
Бригадир
СПР
Услуги
Наряд на
выполнение
заявки
Бухгалтер
Заявки*
Наряды*
54
2.2.2. Характеристика нормативно-справочной, входной и оперативной
информации
Одним из ключевых элементов деятельности предприятия являются
заявки на оказание услуг. Они хранятся в форме записей в базе данных,
создаваемых при помощи специально разработанной экранной формы,
позволяющей клиенту обратиться за оказанием услуги в компанию через
интерфейс сайта.
В заявке содержится ключевая информация, необходимая для
последующего заключения договора на оказание услуг, а именно:
ФИО клиента;
Контактные данные клиента (номер телефона и адрес электронной
почты);
Адрес;
Удобное время для звонка сотрудника компании;
Наименование услуги, на оказание которой создаѐтся заявка.
Экранная форма создания заявки представлена на рисунке 12.
Рисунок 12. Экранная форма создания заявки
55
Так как заявка создаѐтся каждый раз, когда клиент обращается в
компанию с целью получения услуг, то частота создания этого документа
находится в прямой зависимости от частоты обращений клиентов в компанию.
Основным внутренним документом, позволяющим отслеживать
деятельность сотрудников компании, является наряд на выполнение работ по
оказанию услуг. В этом документе содержится перечень выполняемых работ по
каждой конкретной заявке, что позволяет использовать его в качестве основы
для итогового расчѐта заработной платы рабочих сотрудников компании.
Помимо перечня работ, в наряде указываются лица, ответственные за их
выполнение, а также бригадир, который распределяет работы и контролирует
их выполнение.
Наряд на выполнение работ создаѐтся директором компании и далее
передаѐтся назначенному бригадиру. Создание наряда происходит после
подписания договора об оказании услуг с клиентом, который создаѐтся на
основе его заявки. На один договор создаѐтся один наряд, в котором
перечисляются все необходимые для оказания услуги работы. На рисунке 13
представлен фрагмент экранной формы, демонстрирующий элементы
управления для назначения рабочих на заявку. Эти элементы располагаются на
форме управления заявкой клиента
Рисунок 13. Экранная форма создания наряда
Для организации работы системы, в ней определены справочники,
содержащие информацию о пользователях, услугах и бригадах.
В справочнике «Пользователи» хранится информация о данных для
авторизации пользователей (логин и контрольная сумма пароля), а ФИО