24
г) ведение логов (ведется контроль логов, Windows Server
пользователей, контроль трафика интернет, контроль почты).
Аппаратный – бекапы (резервное копирование) серверов.
Также ведется защита интернет - магазина компании ЗАО «Артур-
Фарм», применяются следующие меры:
персонал проходит обучение в сфере информационной безопасности.
доступ к ресурсам сайта производится по логину и сложному паролю.
после неудачных 10 попыток авторизации возможность авторизации
предоставляется через 10 минут.
после доступа к ресурсам сайта фиксируется: IP адрес, логин, время входа.
права на доступ к файлам в каталогах ограничены в соответствующих
файлах настроек сайта.
в коде сайта предусмотрена защита от SQL и PHP инъекций
используются услуги хостинг провайдера по сокрытию данных о сайте и
защите от DOS атак.
производится ежеквартальная смена паролей на доступ к управлению
интернет – магазином, базам данных SQL, FTP серверу.
производится бекап (базы SQL, FTP файлов) 4 раза в месяц
В ЗАО «Артур-Фарм» производится постоянный мониторинг наиболее
опасных угроз информационной безопасности:
1) Хищение и порча данных сотрудниками;
2) Вирусы;
3) Кража оборудования;
4) Аппаратные и программные сбои.
Наиболее уязвимым местом в защите является угроза хищения такой
информации как: персональные данные клиентов; финансовые отчеты, детали
конкретных сделок, интеллектуальная собственность компании; бизнес-планы.
Поэтому руководители отделов компании ведут ежедневный мониторинг своих
подчиненных, IT-отдел контролирует права доступа к корпоративной
информации на файловый сервер, производит мониторинг электронной почты
25
сотрудников, контролирует интернет канал путем закрытия доступа к
социальным сетям и личной почте.
Если утечку информации удается предотвратить, сотрудник несет
ответственность за нарушение внутренней ИБ. К нарушителю применяются одна
или несколько санкций:
1) Выговор;
2) Строгий выговор;
3) Штраф;
4) Принудительно - «добровольное» увольнение из компании;
5) Увольнение из компании согласно статье с заведением личного
уголовного дела
Предупреждением и устранением появления вирусов и программных
сбоев занимается IT-отдел, аппаратных сбоев – сервисный отдел. Защиту от
физического взлома и кражи оборудования осуществляет охрана помещения.
26
1.3 Анализ существующих разработок и выбор стратегии
автоматизации «КАК ДОЛЖНО БЫТЬ»
1.3.1 Анализ существующих разработок для автоматизации
задачи
В стандартном электронном магазине, в котором используется
так называемая корзина товаров, пошаговый процесс оплаты покупки с
использованием ПИС WebMoney должен выглядеть примерно так:
- После того как покупатель сформировал корзину товаров и определился
с покупкой, на одном из этапов оформления заказа ему предлагается выбрать
способ оплаты. Для реализации расчетов посредством WebMoney Transfer
необходимо добавить в интерфейс вариант выбора данного способа.
- На следующей после выбора способа оплаты странице программное
обеспечение магазина автоматически выписывает счет на WM-идентификатор
клиента. В тексте страницы браузера клиенту предлагается оплатить данный
счет для доставки покупки.
- Клиент получает счет в своем WM Keeper и оплачивает его.
- Далее программное обеспечение магазина проверяет оплату счета
и делает соответствующую запись в базе данных магазина. На этом шаге можно
предоставить клиенту возможность проверить на отдельной странице факт того,
что его WebMoney поступили на кошелек магазина, и заказ принят магазином
к исполнению.
- На последнем шаге службе доставки и/или складской службе магазина
выдается список оплаченных заказов с целью доставки покупки клиенту.
Определим технологию взаимодействия модуля приема платежей с
серверной системой ПИС WebMoney. В настоящее время существует 3
официально поддерживаемых способа автоматического приема WebMoney на
сайте:
1. Web Merchant Interface
2. Click&Buy Interface
27
3. Выписка WM-счета с последующей проверкой оплаты. Реализуется
с помощью XML-интерфейсов X1 и X3.
Поскольку разрабатывается модуль для интернет - магазина, он должен
обладать функциональной автономностью и допускать модернизацию и
модификацию в соответствии с меняющимися реалиями работы магазина. По
этой причине предпочтительно использовать наиболее технологически сложный,
но и наиболее перспективный подход на основе XML-интерфейсов,
обеспечивающий максимальную масштабируемость системы приема платежей.
Так как сайт создан посредством Yii фреймворка версии 1.1.16 [23], был
произведен поиск готового модуля приема платежей через платежную систему
Webmoney конкретно для данного фреймворка. В результате поиска найден
единственный модуль приема платежей представителя компании «CFutures»
Вячеслава Руднева, соответствующий указанной версии [15].
Модуль Руднева имеет простую интеграцию, методы хорошо
документированы. Модуль позволяет оплачивать по одному заказу:
Для перехода к покупке заказа необходимо передать GET запросом
идентификатор заказа. Это осуществляется либо помещением
ссылки в текст, либо помещением виджета
«WmPayFormWidget.php» в нужное место кода сайта.
Находя заказ по его идентификатору в таблице «Заказы» модуль
перенаправляет клиента на страницу, где формируется виджет
«WmPayFormWidget.php» с кнопкой «оплатить». На странице поля
формы для отправки на Мерчант-сервер скрыты, пользователь
видит только кнопку «оплатить».
Для работы модуля необходимо добавить таблицу «wmoptions»,
хранящую записи о кошельке магазина, режиме тестирования
платежа, секретном ключе.
Модуль также не содержит правил для разделения доступа по
ролям пользователей. В результате чего, пользователь может
изменить настройки – записи в таблице «wmoptions»,
28
Предполагается, что соответствующие правила и настройки, будут
добавлены администратором, при внедрении модуля на сайт.
Кроме того, указанный модуль бесплатен и реализуется с помощью
XML-интерфейсов X1 и X3
Можно выделить следующие преимущества работы с
автоматизированной системой приема платежей Webmoney:
Снижаются временные затраты на обслуживание запросов
клиентов, что делает работу интернет - магазина более
эффективной.
Снижаются затраты живого труда сотрудников на подготовку
счетов на оплату заказов.
Повышается эффективность системы хранения данных в базе
данных предприятия.
Повышаются возможности для взаимодействий как между
структурными подразделениями интернет - магазина, так и между
сотрудниками и клиентами.
Упрощаются механизмы защиты информации, особенно
передаваемой через интернет в рамках использования электронных
платежных систем.
Таким образом, для осуществления автоматизации приема платежей в
электронном магазине через платежную систему WebMoney имеется полностью
подходящий модуль Вячеслава Руднева, требующий небольшой доработки:
добавления функционала корзины покупателя и уменьшения, необходимых для
осуществления фактического платежа, кликов пользователей.
29
1.3.2 Выбор и обоснование стратегии автоматизации задачи
Разработка стратегии реализации любого крупного проекта производится
поэтапно, на каждом этапе решается определенная задача. Приведем описание
этапов автоматизации.
Первый этап – анализ области деятельности предприятия.
Рассматриваемое предприятие ведет розничную торговлю товарами и
медикаментами.
Второй этап – анализ технологий информационной системы. В
условиях конкурентного бизнеса стратегии ведения бизнеса играют
определяющую роль в получении прибыли. Разработка собственных
информационных систем сопряжена с большими затратами и рисками, поэтому в
качестве альтернативы автоматизированной системы стали все чаще
использовать набор сочетающихся программ (принцип mix-and-match) и, в
случае необходимости, дополнять набор собственными доработками. Эта
тенденция привела к появлению базовых систем, пользователям теперь
предлагаются консультации, направленные на сокращение времени внедрения
системы и повышение квалификации персонала.
ЗАО «Артур-Фарм» использует программное обеспечение корпорации
Microsoft: Windows server 2012 R2, веб-сервер IIS 8, сервер DHCP, Active
Directory, сервер баз данных MS SQL Server 2014 и модуль PHP 5.5.11.
Третий этап - выбор стратегии автоматизации. Существует следующие
варианты стратегии автоматизации: кусочная (хаотичная), по участкам, по
направлениям и комплексная автоматизация.
Кусочная автоматизация характеризуется приобретением компанией
частей без конкретного плана создания и развития системы, при этом часто
части информационной системы недостаточно согласуются между собой,
поэтому требуется дальнейшая доработка, предполагающая дополнительные
финансовые затраты. Данное решение позволяет сэкономить время и средства на
развертывание системы. Но при последующей модернизации, которая будет
затрагивать полную автоматизацию, использование системы будет не
рациональным и экономически невыгодным
30
Автоматизация по участкам производится на отдельных участках,
объединенных по выполняемым функциям, в случае если предполагается
значительное увеличение прибыли или улучшение качества работы.
Автоматизация по направлениям подразумевает под собой автоматизацию
отдельных направлений деятельности предприятия. От автоматизации по
участкам отличается тем, что в процессе автоматизации участвует все
подразделения, функционирование которых связано с автоматизируемым
направлением.
Полная автоматизация предполагает создание системы, состоящей из
большого количества элементов различных уровней и различного назначения, к
которым относятся подсистемы, модули, блоки управления, задачи,
управленческие процедуры, функции и т.д. Это в свою очередь, делает
возможным использование одного алгоритма для расчета схожих задач. При
должном планировании удается избежать дублирования справочников в разных
системах, указав ссылки (также можно создать один справочник). Тем не менее,
полная автоматизация требует значительных финансовых и временных затрат, а
также очень точного и тщательного планирования.
В нашем случае будет выбрана стратегия автоматизации по участкам.
Вследствие этого предприятие сможет автоматизировать деятельность по работе
с клиентами, получив при этом экономический эффект
Четвертый этап - определение требований разрабатываемой системы.
На данном этапе определяются характеристики и выявляются требования для
разрабатываемой системы.
Пятый этап - анализ существующих разработок. После установления
требований к разрабатываемой системе необходимо рассмотреть существующие
разработки, наиболее перспективные выделить и описать преимущества и
недостатки конкретной разработки.
Шестой этап - выбор способа приобретения. После рассмотрения
имеющихся разработок, принимается решение относительно приобретения или
собственной разработки информационной системы.
31
1.3.3 Выбор и обоснование способа приобретения ИС для
автоматизации комплекса задач
Информационную систему можно купить или арендовать готовую,
заказать изготовление специалистам, доработать существующую или
разработать с нуля. Рассмотрим каждый из вариантов на соответствие решаемой
задаче [3].
Предлагаемые готовые системы создаются разработчиками в качестве
универсальных, чтобы удовлетворить различные задачи различных предприятий,
поэтому они либо перегружены лишним функционалом, за который нужно еще и
платить, либо представляют собой каркас, требующий дальнейшей доработки.
Заказ у стороннего разработчика может полностью решить поставленную
задачу, но часто ставит предприятие в зависимость от этих разработчиков, при
ее изменении. Также при этом возможно потребуется переработка
существующей системы, что также ведет к затратам.
Доработка (в том числе и приобретение) существующей системы
возможна, если требуется выполнить небольшой объем работы, что часто
затруднительно без развернутой документации.
Аренда информационной системы дает возможность получать
улучшенный функционал и помощь от арендаторов, но в долгосрочной
перспективе с финансовой точки зрения часто такое решение является не
выгодным. Кроме того, компания рискует лишиться ресурсов, доверия клиентов,
репутации, в случае атаки на арендаторов, или некорректных действий со
стороны арендаторов.
Поскольку решение задачи предполагает небольшой объем работы, а
также наличия бесплатной основы, удовлетворяющей требованиям задачи, был
выбран вариант доработка существующей системы.
32
1.4 Обоснование проектных решений
1.4.1 Обоснование проектных решений по информационному
обеспечению
Информационное обеспечение представляет собой совокупность
унифицированных систем документации и информационных массивов, единой
системы классификации и кодирования информации [5].
Информационное обеспечение состоит из компонентов внемашинного
информационного обеспечения: классификаторы технико-экономической
информации, методические инструктивные материалы, документы, и
внутримашинного – макеты/экранные формы для ввода первичных данных в
ЭВМ или вывода результатной информации, структуры информационной базы:
входных, выходных файлов, базы данных [10].
Для поиска и обработки информации ее необходимо сначала
классифицировать (упорядочить), а затем закодировать, используя
классификатор.
Классификатор — это документ, посредством которого осуществляется
формализованное описание экономической информации в экономической
информационной системе, которая в свою очередь содержит наименования
объектов, классификационных группировок и их кодовые обозначения [10].
По сфере действия выделяют отраслевые, локальные,
общегосударственные (общесистемные) и международные классификаторы
Международные классификаторы являются частью Системы
международных экономических стандартов (СМЭС) и используются для
передачи информации между организациями разных стран мирового сообщества
[10].
Общегосударственные (общесистемные) классификаторы используются
для организации процессов передачи и обработки информации между
экономическими системами государственного уровня внутри страны.
Отраслевые классификаторы используются для выполнения процедур
обработки информации и передачи ее между организациями внутри отрасли.
33
Локальные классификаторы используют в пределах отдельных
предприятий. В ЗАО «Артур – Фарм» используются локальные классификаторы.
Основным компонентом внемашинного информационного обеспечения,
применяемым в процессе управления экономическим объектом является система
документации. Система документации представляет собой совокупность
взаимосвязанных форм документов, которые регулярно используются в
процессе управления экономическим объектом. Документ же представляет
собой определенную совокупность сведений, расположенных на материальном
носителе в соответствии с установленной формой, направленных на
использование в решении экономических задач.
Неавтоматизированные экономические информационные системы
характеризуются чрезмерным количеством форм документов, дублированием
информации, содержащейся в этих документах, вследствие этого, низкой
достоверностью и их запутанностью. Обработка подобных документов требует
дополнительного анализа их достоверности, ведет к дополнительным затратам
времени. Для упрощения работы с системой документации применяют
следующее процедуры:
производится анализ текущих документов, выбираются и, при
необходимости, изменяются формы документов таким образом, чтобы каждая
форма документа была уникальной и соответствовала имеющимся стандартам
либо задавала соответствующий стандарт;
имеющиеся документы переводятся в электронный вид, вводятся
новые информационные технологий для их обработки.
Текущая тенденция к переводу документов в электронный вид для
упрощения работы с ними, а также для уменьшения финансовых затрат
компании предполагает получение входных документов через сеть, поэтому
они должны иметь структуру, максимально упрощающую работу с ними, в целях
улучшения производительности компании. Поскольку входные документы
являются результатными в других задачах, считается, что входные и
результатные документы должны иметь привычную и удобную для
пользователей табличную форму, содержащей в краткой форме необходимые