76
которых выпускается версия для внутреннего или внешнего использования.
Прохождение через четыре основные фазы называется циклом разработки,
каждый цикл завершается генерацией версии системы. Если после этого работа
над проектом не прекращается, то полученный продукт продолжает развиваться
и снова минует те же фазы. Суть работы в рамках RUP - это создание и
сопровождение моделей на базе UML.[1]
Модель процессов MSF (MSF process model) представляет общую
методологию разработки и внедрения IT-решений. Особенность этой модели
состоит в том, что благодаря своей гибкости и отсутствию жестко навязываемых
процедур она может быть применена при разработке весьма широкого круга
IT-проектов. Эта модель сочетает в себе свойства двух стандартных
производственных моделей: каскадной (waterfall) и спиральной (spiral). [1]
Extreme Programming (XP). Экстремальное программирование
(самая новая среди рассматриваемых методологий) сформировалось в 1996 году.
В основе методологии командная работа, эффективная коммуникация между
заказчиком и исполнителем в течение всего проекта по разработке ИС, а
разработка ведется с использованием последовательно дорабатываемых
прототипов.[1]
Стандарт ISO/IEC серии 15288. В стандарте ISO/IEC 12207 не
предлагается конкретной модели жизненного цикла и методов разработки, его
рекомендации являются общими для любых моделей жизненного цикла. Под
моделью как правило подразумевается структура, определяющая
последовательность выполнения и связи процессов, действий и задач во время
жизненного цикла.[1]
В настоящее время используются две базовые модели жизненного цикла –
это каскадная и спиральная модели. В каскадной модели процесс разработки
строится поэтапно, шаг за шагом. Переход к следующему этапу происходит
только после завершения предыдущего. В спиральной модели разработка
проходит по нарастающей. Вначале разрабатывается система с высоким уровнем
абстракции, а далее эта разработка постепенно приобретает более конкретные
черты. Для жизненного цикла нашей информационной системы была выбрана
77
каскадная модель, потому что для подобных систем наиболее удобен этапный
подход.
Переход к следующему этапу происходит только после завершения всех
работ на предыдущем этапе включая подготовку полного пакета документации,
достаточной для того, чтобы (Рисунок 2.1) разработка могла быть продолжена
другими разработчиками, а также есть возможность планирования сроков
завершения работ и затрат на их выполнение.
Анализ
На этом этапе проводится исследование
проблемы, которая должна быть решена,
четко формулируются все требования
заказчика. Результатом, получаемым на
этом этапе, является техническое
задание, согласованное со всеми
заинтересованными сторонами.
Разработка проектных решений,
удовлетворяющих всем требованиями,
сформулированным в ТЗ. Результатом
этого этапа является комплект проектной
документации, содержащей все
необходимые данные для реализации
проекта.
Последний этап — сдача
готового проекта, и ввод
его в эксплуатацию.
Проектирование
Реализация
Внедрение
Сопровождение
Проводится проверка полученного
программного обеспечения на предмет
соответствия требованиям, заявленным в
ТЗ. Опытная эксплуатация позволяет
выявить различного рода скрытые
недостатки, проявляющиеся в реальных
условиях работы информационной
системы.
Реализация проекта. Здесь осуществляется
разработка программного обеспечения в
соответствии с проектными решениями,
полученными на предыдущем этапе.
Методы, используемые для реализации, не
имеют принципиального значения.
Результатом выполнения этого этапа
является готовый программный продукт.
Рис. 2.1 Каскадная схема разработки ПО.
Каскадный подход отлично зарекомендовал себя при построении
относительно простых ИС, когда в самом начале разработки можно достаточно
точно и полно сформулировать все требования к системе. Основным
недостатком этого подхода является то, что реальный процесс создания системы
никогда полностью не укладывается в такую жесткую схему, постоянно
возникает потребность в возврате к предыдущим этапам и уточнении или
пересмотре ранее принятых решений. В результате реальный процесс создания
ИС оказывается соответствующим поэтапной модели с промежуточным
контролем (Рисунок 2.2.). [4]
78
Анализ
Проектирование
Реализация
Внедрение
Сопровождение
Рис. 2.2 Реальный процесс разработки ПО по каскадной схеме.
Как можно заметить, каскадный метод является наиболее подходящим для
конкретной разработки, поэтому необходимо воспользоваться стандартом
ISO/IEC 12207.
Этот стандарт определяет основные процессы жизненного цикла
информационной системы:
Приобретение (действия и задачи заказчика, приобретающего ПО)
Поставка (действия и задачи поставщика, который снабжает
заказчика программным продуктом или услугой)
Разработка (действия и задачи, выполняемые разработчиком:
создание ПО, оформление проектной и эксплуатационной документации,
подготовка тестовых и учебных материалов и т. д.)
Эксплуатация (действия и задачи оператора — организации,
эксплуатирующей систему)
Сопровождение (действия и задачи, выполняемые сопровождающей
организацией, то есть службой сопровождения). Сопровождение — внесение
изменений в ПО в целях исправления ошибок, повышения производительности
или адаптации к изменившимся условиям работы или требованиям.[9]
79
2.1.2 Ожидаемые риски на этапах жизненного цикла и их
описание
Под риском проекта понимают потенциальную, численно измеримую
возможность неблагоприятных ситуаций и связанных с ними последствий в виде
ущерба, убытков, неблагоприятного изменения основных управляемых
параметров проекта. Такие ситуации могут возникать в связи с
неопределенностью, то есть со случайными изменениями условий
экономической деятельности, неблагоприятными, в том числе форс-мажорными,
обстоятельствами, а также в связи с возможностью получения непредсказуемого
результата в зависимости от предпринятого или не предпринятого действия.
Процесс управления рисками является однозначно необходимым для
реализации успешных ИТ-проектов. В условиях развивающегося рынка и спроса
на ИТ услуги, их поставщики должны обеспечивать высочайшее качество услуг,
которое можно организовать только при учете и анализе рисков. В числе рисков,
необходимо упомянуть отсутствие понимания роли и места информационных
технологий, сомнения в окупаемости ИТ-проектов, неготовность работников к
использованию новых технологий в целом, а информационных технологий - в
особенности, скудную материально-техническую базу многих предприятий,
которая не позволяет в достаточно мере развивать ИТ.
Современные информационные системы являются сложными
многофункциональными решениями, и их внедрение, что характерно, требует
значительных экономических и временных затрат.
Успех информационного проекта заключен во многих факторах. Однако,
наиболее важными являются следующие три: время, качество, ресурсы. Главная
задача руководителя ИТ-проекта – грамотно использовать существующие
ресурсы для того, чтобы соблюсти сроки и бюджет. Соответственно основные
риски, как правило, характерные для любых ИТ-проектов заключаются в срыве
сроков разработки, несоответствия требуемому качеству и превышению затрат
на разработку. Но главной причиной возникновения этих рисков, особенно в ИТ-
проектах, является неготовность предприятия к реализации подобных проектов.
80
Говоря о проектах внедрения ИТ необходимо отметить, что все новые
технологии вынуждены реализовываться в условиях неопределенности и
отсутствия поддержки окружающей среды. Так происходит потому, что
осуществление большинства ИТ-проектов, в особенности крупных, происходит
в условиях невозможности применения обычных методов управления.
Уникальность целей проекта и отсутствие необходимого опыта в компании
вызывает неопределенность относительно выбора новых технологий,
определения методов и средств достижения поставленной цели, принятия той
или иной методологии.
Управление рисками на современных предприятиях – тщательно
планируемый процесс. Процесс управления рисками не должен рассматриваться
в виде самостоятельной задачи, а как часть изменения существующей системы
управления. Целью управления рисками, в итоге, является повышение
эффективности производства за счет контроля деятельности предприятия и
максимальная отдача от используемой методики.
Существует большое количество методик, предлагающих различные
варианты и методы управления проектными рисками.Однако следует учитывать,
что проекты внедрения, в своем большинстве, уникальны в связи со спецификой
организации компании, сложившейся структурой и текущими бизнес
процессами. В методике обязательно найдутся некоторые нюансы, которые в
некоторых аспектах не подходят для конкретной компании. Это означает, что
процесс управления рисками в большей степени определяется спецификой
отрасли и направлением деятельности предприятия. Зачастую специалисты
разрабатывают собственный подход к управлению рисками, который
представляет собой комбинацию из других методик и специально приспособлен
к конкретным требованиям компании. Повсеместное распространение
информационных технологий требует особого внимания к разработке
специальных методов управления рисками, связанными с внедрением и
использованием информационных технологий на предприятии.
Теперь необходимо поэтапно рассмотреть актуальные риски
разрабатываемого проекта.
81
На этапе проектирования есть возможность возникновения
технологического риска. Он проявляется в виде несоответствия
разрабатываемого проекта реальной задаче по причине некорректного выбора
технологии. Такой риск минимизируется путем скрупулезного анализа
производственных процессов и их отношений, в том числе путем
сравнительного выбора используемых технологий.
На этапе разработки существует вероятность риска реализации проекта –
риска того, что предприятие не сумеет успешно реализовать проект в
установленные временные и экономические рамки, или риск, что создание
рабочего решения закончится неудачно. Такой риск снижается увеличением
эффективности управления командой разработчиков. Но в целом этот риск
весьма мал, ввиду отсутствия жетских временных рамок в реализации.
На этапе внедрения весьма вероятен организационный риск, который
обуславливается малоэффективым внедрением. Для противостояния этому
риску, требуется составить четкий план внедрения и и выполнять его более
тщательно.
На этапе эксплуатации также возможен риск того, что эксплуатационные
расходы разрабатываемой системы возрастут до неприемлимого уровня.
Проявляется такой риск в виде существенного роста затрат на поддержку
автоматизированной системы. Но из-за наличия резерва серверного
оборудования данный риск имеет околонулевые шансы на возникновение.
2.1.3 Организационно-правовые и программно-аппаратные
средства обеспечения информационной безопасности и защиты
информации
Конфиденциальную информацию можно разделить на предметную и
служебную. Служебная информация (например, пароли пользователей) не
относится к определенной предметной области, в информационной системе она
играет техническую роль, но ее раскрытие особенно опасно, поскольку оно
чревато получением несанкционированного доступа ко всей информации, в том
числе предметной.
82
Существует два основных вида обеспечения информационной
безопасности – это защита от внутренних угроз и защита от внешних угроз.
Защита от внутренних угроз может быть реализована путем разграничения
доступа к компьютерам с помощью стандартных функций операционной
системы. Кроме того, доступ к информационной системе будет открыт
исключительно тем пользователям, которые должны осуществлять работу с
информационной системой.
Защита от внешних угроз реализована в компании благодаря
использованию маршрутизатора. Маршрутизатор позволяет обеспечить защиту
как от вирусного программного обеспечения, так и от целенаправленных атак
злоумышленников.
Защита от компьютерных вирусов и других программных действий и
изменений является самостоятельным направлением защиты процессов
переработки информации в компьютерных системах. Недооценка этой
опасности может иметь серьезные последствия для информации пользователей.
Знание механизмов действия вирусов, методов и средств борьбы с ними
позволяет эффективно организовать противодействие вирусам, свести к
минимуму вероятность заражения и потерь от их воздействия. [5]
Для защиты от внутренних угроз в системе используется политика
разделения прав доступа. Характеристика политики приведена в таблице 2.1.
Таблица 2.1
Разграничение прав пользователей
Группы
пользователей
Модуль
«Заявки»
Модуль
«Справочники»
Модуль
«Сотрудники»
Модуль
«База
данных»
Клиент
Чтение
Нет
Нет
Ограничен
Сотрудник
отдела
Ограничен
Ограничен
Ограничен
Ограничен
Администратор
Полный
Полный
Полный
Полный
83
Также защита от внешних угроз осуществляется путем применения
следующих способов:
использованием защищенных каналов связи при передаче
информации;
использованием антивирусных средств;
использованием программно-аппаратных комплексов;
разработкой и соблюдение политик безопасности;
физической защитой помещений с наиболее ценной информацией.
В целях защиты информационной системы проводятся следующие
мероприятия:
обеспечение сетевой безопасности;
обеспечение локальной безопасности;
обеспечение физической безопасности.
Для обеспечения сетевой безопасности используются следующие
средства:
контроль траффика;
делегирования прав доступа к интернету и интранету;
фильтрация траффика;
система обнаружения атак;
логирование и мониторинг доступа.
Локальная безопасность обеспечивается осуществлением следующих
мероприятий:
антивирусная защита;
программная защита доступа;
криптографическая защита данных;
защита персональным файрволом;
резервирование данных;
протоколирование доступа.
Важным достоинством использования серверов баз данных является
возможность встроить развитую систему безопасности сервера в систему
84
безопасности информационной системы. В частности, серверы баз данных
позволяют четко разграничить доступ различных пользователей к объектам
информационного хранилища, записывать все действия, производимые
пользователем, итегрировать систему безопасности ИС в систему безопасности
компьютерной сети.[15]
Для обеспечения физической безопасности все серверное оборудование
установлено в изолированном помещении, доступ в которое возможен только
администраторам, у которых есть ключ или магнитная карта к этой комнате
(комната закрыта). Помещение оборудовано принудительной вентиляцией и
пожарной защитой (полуавтоматической). Доступ на предприятие
осуществляется только по магнитным картам.
2.2 Информационное обеспечение задачи
2.2.1 Информационная модель и её описание
Информационная модель (Рис. 2.3.) позволяет понять процесс движения
информации в информационной системе, с момента поступления в нее
информации, до момента вывода обработанной информации.
В системе предусмотрены следующие роли:
1. Администратор. Отвечает за настройки системы, выдачу прав и
ролей пользователям, наполнением справочников. Имеет доступ ко всем
объектам системы.
85
Рис. 2.3 Информационная модель