47
восстановить данные на предыдущий уровень и продолжит доработку,исправляя
ошибки.
2.1.2 Ожидаемые риски на этапах жизненного цикла и их описание
Любой эксплуатируемый и внедряемый разрабатываемый проект может
быть высоко рисковым, поэтому необходимо принимать к вниманию все проблемы
которые могут возникнуть в дальнейшем, в том числе иметь необходимые условия
реализации затрат.
Риски определяются следующими характеристиками:
Источник риска и причина его возникновения. При каком явлении или
обстоятельстве наступил риск
Симптомы риска. Это предсказание на событие риска которое произойдет
или уже осуществилось.
Последствие риска. Это та проблема, которая может возникнуть реализовав
проект в результате случившегося риска
Влияние риска. Это влияние риска на возможность достижения
поставленной цели автоматизации. Как правило, это и есть риски связанные со
стоимостью, технических характеристик проекта и дт.
Предугадать возникновение таких рисков практически не возможно. Риски
могут быть известные, проще говоря такие, что можно будет покрыть затраты,
используя возможное планирование. Естественно, неизвестные риски заранее
предугадать нельзя и прогнозировать каков будет от них ущерб тоже. Главное
выделять достаточное количество ресурсов и времени на реализацию проекта,
определить общение основания и вероятность достижения результатов. [15]
Наиболее распространены риски - несоблюдения сроков реализации проекта
и превышенная стоимость затрат. Причина проявления таких рисков, особенно
разработка информационных технологий, возникают вследствие неготовности и
поспешности фирмы к реализации проектов. При модернизации фирмы, всегда
нужно учитывать объемы затрат с плюсом в убыток. Необходимо знать примерную
сумму величины того, во сколько обойдется владение и обслуживание внедряемой
информационной системы. Точные затраты на информационную систему, могу
быть полностью определены, только после завершения проекта по внедрению
информационной системы. До этого они могут быть только оценены.
48
При внедрении, разрабатываемого программного обеспечения, есть
вероятность подвергнуться следующим рискам:
Руководство может быть не готовым принять изменения процессов в
структуре фирмы.
Плохой выбор исполнителя проекта, консультант должен быть
профессионалом, уверенным в своем деле консультантом.
Оказание каких-либо действий со стороны субъектов в процессе
разработки проекта (изменение технологии).
Назначение полномочий IT отделу, включение в состав всех
сотрудников кого коснется автоматизация, кто будет работать с разрабатываемой
системой.
Наблюдение и анализ всевозможных предметов риска менеджером
проекта.
Главная задача - управлять риском. Это снизит возможность возникновения
нежелательных событий и уменьшение действий, производящих отрицательное
влияние на проект.
Для уменьшения риска, можно использовать такие варианты как :
Анализ и контролирование ситуаций, которые могут привести к риску
Разработка мероприятий по уменьшению последствий риска
Провести оценку влияния мероприятий на предотвращение риска,
анализируя информацию обо всех ситуациях
Составить методику и рекомендации по уменьшению риска, для
выполнения лучшего результата.
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
На работу локальных сетей серьезно может повлиять множество внутренних
угроз, что приведет к потере нужных данных и не малым экономическим затратам.
К таким угрозам можно отнести:
Несанкционированный доступ внешних факторов к примеру,
копирование данных из посторонних источников.
49
При несправной работе программного обеспечения может возникнуть
искажение, порча информации
Резкое и неправильное выключение электропитания вызывает сбои в
системе.
Неправильная работа в системе сотрудниками фирмы может
приводить к поломке системы и всему вышеперечисленному.
Во избежание высокого риска потери данных и несанкционированного
доступа, можно провести ряд административных и технических мероприятий.
Необходимо тщательно проводить мониторинг, разделив его средства на два
класса – стратегические и тактические.
Назначение стратегических средств состоит из контроля над широким
спектром параметров функционирования всей сети и решении проблем
конфигурирования ЛВС.
Назначение тактических средств – мониторинг и устранение неисправностей
сетевых устройств и сетевого кабеля. К стратегическим средствам относятся:
системы управления сетью
встроенные системы диагностики
распределённые системы мониторинга
средства диагностики операционных систем, функционирующих на
больших машинах и серверах.
Под информационной безопасностью понимают следующее:
защищенность информации и поддержание инфраструктуры от
случайных или преднамеренных воздействий естественного или искусственного
характера, чреватых нанесением ущерба владельцам или пользователям
информации;
механизм защиты, обеспечивающий конфиденциальность,
целостность и доступность информации;
свойство информации сохранять конфиденциальность , целостность и
доступность. [5]
Что бы защититься от внутренних угроз, необходимо определить группы
пользователей разрабатываемой системы и назначить им соответствующие права
50
доступа к папкам и модулям системы, определить требования к паролям и частоте
их смены, а также другие параметры использования ИС.
В таблице 3.1.1. показаны разграничения прав пользователей.
Каждое рабочее место представляет собой отдельную программу, доступ к
которой происходит по вводу логина и пароля, с помощью которого можно войти
только в определенную учетную запись. Главной учетной записью является
аккаунт администратора, в котором осуществляется распределения прав доступа к
модулям, добавление новых разработок и обновлений по требованию.
Таблица 3.1.1
Разграничение прав пользователей
Группы
пользователей
Общая папка
"Отчеты"
Общая папка
"Каталог
оборудования"
Модуль
"приходно-
кассовые
ордера"
Доступ
в
Internet
Продавец
Чтение
Чтение/создание/
удаление
Чтение/создание/
удаление
Полный
Администратор
Полный
Полный
Полный
Полный
Руководитель
Чтение/создание/
удаление
Чтение/создание/
удаление
Чтение
Полный
Бухгалтер
Чтение/создание/
удаление
Чтение
Чтение
Полный
Склад
Чтение
Чтение/создание/
удаление
Чтение
Полный
Необходимо так же распланировать защиту от внешних угроз (безопасность
каналов, протоколы, аутентификация, шифрование, безопасная пересылку ключей
и т.д.).
Для этого проведет анализ, данные которого отображены в таблице 3.1.2,
проектируемых программных и аппаратных средств.
Таблица 3.1.2
Состав проектируемых программных и аппаратных средств
51
Нормативные правовые
акты, нормативные
правовые документы,
стандарты
(международные и
отечественные)
Антивирус
ные и
антишпион
ские
средства
Преактивная
защита от
внешних угроз
и защита
внешнего
периметра
Защита
от
сетевы
х угроз
Защита от
инсайдерских
угроз и
защита
информацион
ных ресурсов
"Кодекс Российской
Федерации об
административных
правонарушениях" от
30.12.01, №195-ФЗ ст.
13.12, 13.13, 13.14
KasperskyA
ntivirus,
KAV
Корпоративные
продукты
Safe’n’Sec
Outpost
Security
Suite
OnlineSecurity
Audit
Национальный стандарт
РФ "Защита
информации. Основные
термины и определения"
(ГОСТ Р 50922-2006)
Doctor
WEB
Программное
средство
DeviceLock
BestCry
pt
Национальный стандарт
РФ "Методы и средства
обеспечения
безопасности. Часть 1.
Концепция и модели
менеджмента
безопасности
информационных и
телекоммуникационных
технологий" (ГОСТ Р
ИСО/МЭК 13335-1 —
2006)
IntegrityAnt
i-Spyware
Государственный
стандарт РФ "Аспекты
безопасности. Правила
52
включения в стандарты"
(ГОСТ Р 51898-2002)
Федеральный Закон
Российской Федерации
"Об информации,
информационных
технологиях и о защите
информации" от
27.07.2006г. № 149-ФЗ
Политика безопасности выбирается исходя из существующих проблем ООО
"Икар" в сфере безопасности информационных систем.
Информационными ресурсами входящих в оборот информации являются
аппаратные средства. Политика безопасности отвечает за надежность и качество
работы, это их главная задача. Все аппаратные средства находиться на учете, по
всем оборудованиям имеется документ номенклатура, в котором указано его место
размещения, типаж. Каждое оборудование имеет правила эксплуатации, которые
необходимо соблюдать. Поставку оборудования заказывают у проверенных и
надежных поставщиков фирмы. Так же рекомендуется раз в месяц проводить
диагностику оборудования.
Существуют правила безопасности для программных средств:
Вести учет по всему программному обеспечению.
Использовать только лицензионное ПО.
Настройку и установку проводит инженер, обладающий
профессиональными навыками.
Обязательное тестирование внедряемого программного обеспечения.
Обучение сотрудников использованию программы.
Оповестить сотрудников (пользователей), о его правах и правила
пользования программным обеспечением.
Вовремя проводить обновление программного обеспечения.
Выполнить системные требования для работы с программным
обеспечением на ПК.
53
Учитывая требования обеспечения безопасности информации необходимо
включить следующие средства:
средства ограничения прав доступа;
средства регистраций явлений безопасности;
антивирус;
криптографическая защита;
защита технически средств ;
защита информационных средств;
защита конфигурации.
2.2. Информационное обеспечение задачи
2.2.1 Информационная модель и её описание
Реализацию проектов по созданию ИС принято разбивать на стадии анализа
(прежде чем создавать ИС, необходимо понять и описать бизнес-логику
предметной области), проектирования (необходимо определить модули и
архитектуру будущей системы), непосредственного кодирования, тестирования и
сопровождения. Известно, что исправление ошибок, допущенных на предыдущей
стадии, обходится примерно в 10 раз дороже, чем на текущей, откуда следует, что
наиболее критическими являются первые стадии проекта. Поэтому крайне важно
иметь эффективные средства автоматизации ранних этапов реализации проекта и
понимать весь процесс организации информационной системы, как это будет
выглядеть.
Деятельность фирмы ООО «Икар»можно распределить на следующие
области(см. рис. 2.2.1.):
Область 1
Отображает процесс администрирования ИС программистом,а именно
процесс управления учетными записями сотрудников. Справочник «Физические
лица» содержит информацию о сотрудников и переплетается в данном процессе со
справочником «Учетные записи».
54
Это объясняет то, что у каждого пользователя информационной система,
есть своя учетная запись логин пароль, под которой у него есть доступ к
определенным функциям, в соответствии с правовыми нормами фирмы.
Рисунок 2.2.1 Информационная модель деятельности фирмы ООО "Икар"
Область 2
Отображает то, что из базы ИС, в рамках моделируемой задачи,
используется пять справочников:
Поставщики
Номенклатура
Клиенты
Физические лица
Учетные записи
Акции
Склад
Должность
(Под справочником понимается обычная таблица, которая содержит
условно-постоянную информацию).
Область 3.
Отображает процесс ввода информации от менеджера по продажам.
Менеджер, оформляя продажу в программе, использует справочную информацию о
55
клиентах, акциях, номенклатуре, поставщике оборудования (если это не услуга, а
продажа) и информацию о том, кто регистрировал продажу.
Область 4
Отображает процесс ввода информации от кладовщика.
Кладовщик, оформляя документ на покупку оборудования, использует
справочники:
«Поставщики»,
«Номенклатура»,
«Склад».
Область 5
Отображает, что моделируемая информационная система представит на
выходе.
При каждом процессе, получится разный итог.
К примеру, клиент получит квитанцию об оплате, менеджер получит
приходный кассовый ордер, а сформированная кладовщиком заявка на закупку
товара, оформлена для заведующего фирмой.
Итог, по информационной модели, можно понять, какие справочники и
входные документы (информация) задействованы при выполнении определенной
функции, каждого затрагиваемого для автоматизации процесса, субъекта.
Это важно для дальнейшей разработки требующейся системы и цель ее
необходимости.
Информационная модель представляет собой схему, отражающую
преобразование информационных реквизитов от источников информации до её
получателей или, иными словами, процесс обработки информации в
информационной системе.
Перед тем, как рассмотреть возможное содержание самой модели, были
рассмотрены правила, которые сделали интерпретацию обозначений на модели
однозначной.
При построении модели были учтены физические основы работы
информационной системы и технологии её взаимодействия с внешними ИС и
пользователями моделируемой ИС.
56
2.2.2. Характеристика нормативно-справочной, входной и оперативной
информации
Для дальнейшей разработки информационной системы, необходимо
составить описание состава входных документов, входных файлов и справочников,
соответствующих им экранных форм размещения данных.
В частности, входными документами является информация о клиентах,
товаре, поставщиках, оборудовании. Так же, не стоит забывать, о необходимости
создания справочников. С помощью справочников заводиться список товаров, в
который один раз заносится этот товар. В будущем, что бы на форме указать товар
в документах, достаточно выбрать его из готового списка (справочника).
Дополнительный плюс — когда заносится товар в список, можно указывать какие-
либо данные по нему, например дата производства, поставщик и дт.
Таким образом, справочники в 1С Предприятие – это готовые списки
данных, которые нужны для учета – товары, клиенты и прочее.
Пользователи, имеющие определенные права и доступ, могут дополнять и
изменять эти списки самостоятельно. На рисунке 2.2.2 показана форма
"справочники", которые являются первыми для заполнения элементами в
программе.
Рисунок 2.2.2 Форма "Справочники"