57
Неопределенности, влияющие на проект, могут грозить ему
отрицательными последствиями, вплоть до полного провала, или
положительными. Неопределенности первого вида принято называть рисками
проекта, а второго — благоприятными возможностями.
Суть работы по управлению рисками состоит в том, чтобы оценить их
размер, выработать эффективные и экономичные меры по уменьшению этого
размера и затем убедиться, что риски заключены в приемлемые рамки (и
остаются таковыми). Следовательно, управление рисками включает в себя два
вида деятельности, которые чередуются циклически:
(пере)оценку (измерение) рисков;
выбор эффективных и экономичных защитных средств (нейтрализация
рисков).
По отношению к выявленным рискам возможны следующие действия:
ликвидация риска (например, за счет устранения причины);
уменьшение риска (например, за счет использования дополнительных
защитных средств);
принятие риска (и выработка плана действия в соответствующих
условиях).
Процесс управления рисками можно подразделить на следующие этапы:
выбор анализируемых объектов и уровня детализации их рассмотрения;
выбор методики оценки рисков;
идентификация активов;
анализ угроз и их последствий, определение уязвимостей в защите;
оценка рисков;
выбор защитных мер;
реализация и проверка выбранных мер;
оценка остаточного риска.
Процесс управления рисками представляет собой процесс выявления
контроля и устранения или минимизации последствий непредсказуемых
событий. На различных этапах жизненного цикла информационной системы
различные риски могут реализоваться по разному. Ожидаемые риски на разны
этапах жизненного цикла и план реагирования при возникновении рисковых
58
ситуаций представлены в таблице. Риски влияющие на его ход проекта
представлены в таблице 2.1.
Таблица 2.1
Риски влияющие на ход проекта
Виды
рисков/варианты
менеджмента рисков
Снижение видов риска
Снижение вероятности
возникновения риска
Риски, связанные с
масштабом проекта
Детальный анализ каждого
этапа работ, взаимодействия
участников, организации
работ
Детально проработанная программа
качества, отработанное управление
конфигурацией проекта,
специальные процедуры
взаимодействия участников
Риски, связанные с
недостаточным
опытом в сфере ИТ
Проведение обучения
пользователей, включая
руководство, соблюдение
технологий работы
Разработка и утверждение
концепции проекта на
возможно более ранней его
стадии
Технические риски
проекта
Обучение участников
проекта технологии
проектных работ,
инструментальным
средствам
Использование стандартов
предприятия на проектные
работы, разработка стандартов
проекта
Организационные
риски проекта
Обучение участников
проекта, тренинги команды,
как можно более полная
формализация деятельности
Включение в команду
администратора проекта,
детальное распределение ролей
в проекте
Операционные
риски проекта
Многократное тестирование
созданных продуктов,
тщательная экспертиза
документов
Строгое выполнение процедур
программы качества
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
В Российской Федерации к нормативно-правовым актам в области
информационной безопасности относятся следующие нормативно-правовые
акты [10]:
1. Акты федерального законодательства: Международные договоры РФ,
Конституция РФ, Законы федерального уровня (включая федеральные
конституционные законы, кодексы), Указы Президента РФ, Постановления
правительства РФ, Нормативные правовые акты федеральных министерств и
59
ведомств, Нормативные правовые акты субъектов РФ, органов местного
самоуправления и т. д.
2. К нормативно-методическим документам можно отнести:
методические документы государственных органов России: Доктрина
информационной безопасности РФ; Руководящие документы ФСТЭК
(Гостехкомиссии России); Приказы ФСБ;
стандарты информационной безопасности, из которых выделяют:
Международные стандарты; Государственные (национальные) стандарты
РФ; Рекомендации по стандартизации; Методические указания [14, 15].
Система информационной безопасности строится на основе
международного стандарта по обеспечению информационной безопасности ISO
17799 («Нормы и правила при обеспечении безопасности информации»).
Федеральный закон РФ «Об информации, информационных технологиях
и о защите информации» в ст. 16 ч. 1 содержит определение понятия «защита
информации». Она включает в себя меры правового, организационного и
технического характера, целью которых является недопущение неправомерного
доступа, уничтожения, модифицирования, блокирования, копирования,
предоставления, распространения, а также от иных неправомерных действий в
отношении информации; соблюдение режима конфиденциальности
информации; обеспечение доступа к информации [16].
Для ЭВМ или базы данных адаптация программы представляет собой
внесение изменений исключительно в целях обеспечения функционирования
программы для ЭВМ или базы данных на конкретных технических средствах
пользователя или под управлением конкретных его программ [1].
Главной целью любой системы информационной безопасности является
обеспечение устойчивого функционирования объекта, предотвращение угроз его
безопасности, защита законных интересов собственника информации от
противоправных посягательств, недопущение хищения финансовых средств,
разглашения, утраты, утечки, искажения и уничтожения служебной
информации, обеспечение нормальной производственной деятельности всех
подразделений объекта.
Достижение заданных целей возможно в ходе решения следующих
60
основных задач:
отнесение информации к категории ограниченного доступа (служебной
тайне);
прогнозирование и своевременное выявление угроз безопасности
информационным ресурсам, причин и условий, способствующих
нанесению финансового, материального и морального ущерба;
создание условий для максимально возможного возмещения и
локализации ущерба, наносимого неправомерными действиями
физических и юридических лиц, ослабление негативного влияния
последствий нарушения информационной безопасности на достижение
стратегических целей [20, 28].
Выполнение основных задач по обеспечению информационной
безопасности Ленинградской АЭС представлены в таблице 2.2.
Таблица 2.2
Анализ выполнения основных задач по обеспечению информационной
безопасности
Основные задачи по обеспечению информационной
безопасности
Степень выполнения
обеспечение безопасности производственной деятельности,
защита информации и сведений, являющихся
коммерческой тайной;
высокая
организация работы по правовой, организационной и
инженерно-технической (физической, аппаратной,
программной и математической) защите коммерческой
тайны;
высокая
организация специального делопроизводства,
исключающего несанкционированное получение сведений,
являющихся коммерческой тайной;
высокая
предотвращение необоснованного допуска и открытого
доступа к сведениям и работам, составляющим
коммерческую тайну;
высокая
выявление и локализация возможных каналов утечки
конфиденциальной информации в процессе повседневной
производственной деятельности и в экстремальных (авария,
пожар и др.) ситуациях;
высокая
обеспечение охраны территории, зданий помещений, с
защищаемой информацией
высокая
обеспечение безопасности информации при передачи по
каналам связи
средняя
В Ленинградской АЭС имеются нормативно-правовые и организационно-
распорядительные документы такие как:
61
1. Регламент информационной безопасности:
доступ сотрудников к служебной информации, составляющей
коммерческую тайну;
доступ к использованию программного обеспечения,
сконфигурированного для использования в подразделениях
Ленинградской АЭС («1С Предприятие»).
2. Регламенты использования сети Internet, электронной почты
Ленинградской АЭС.
В компании также имеются нормативно-правовые и организационно-
распорядительные документы такие как:
1. Регламент информационной безопасности:
план размещения основных и вспомогательных технических средств и
систем;
план контролируемой зоны предприятия;
перечень защищаемых ресурсов;
организационно-распорядительная документация разрешительной
системы доступа персонала к защищаемым ресурсам АРМ;
описание технологического процесса обработки информации;
технологические инструкции пользователям АРМ и администратору
безопасности информации;
данные по уровню подготовки кадров, обеспечивающих защиту
информации.
Для автоматизации задачи обеспечения безопасности информационных
систем предполагается внедрение в систему защиты информации компании
криптографических систем. Криптографические методы являются наиболее
эффективными средствами защиты информации в автоматизированных
системах. А при передаче информации по протяженным линиям связи они
являются единственным реальным средством предотвращения
несанкционированного доступа.
Для защиты информации от внешних угроз в Ленинградской АЭС
используется межсетевой экран – программный или аппаратный маршрутизатор,
62
позволяющий осуществлять фильтрацию пакетов данных. В организации
активно используется система защиты информации SecretNet.
Программный уровень:
настройка доступа средствами операционных систем Microsoft Windows
Server 2008, Active Directory;
права доступа (к операционной системе Windows 7, Windows Server,
Терминальный доступ Windows Server);
права пользователя системы (разграничены права доступа пользователей
«1С Предприятие», файловый сервер);
парольная защита, доступ к базе (установлены пароли на программные
продукты, такие как: Касперский, «1С Предприятие»);
аппаратные средства резервирования данных – бекапы (резервное
копирование) серверов;
производится резервное копирование хранилищ данных (базы SQL, FTP
файлов) 4 раза в месяц.
Физический уровень:
система видеонаблюдения;
система контроля доступа;
противопожарная и аварийная сигнализация [16, 18].
Вход в здание администрации блокируется в нерабочее время. Охрана
осуществляет контроль посетителей по пропускам и производит запись
посетителей. Доступ к хозяйственным и офисным помещениям осуществляется
только с разрешения руководителя подразделения и по согласованию с охраной.
Доступ непосредственно в производственные помещения Ленинградской АЭС
закрыт, и предоставляется только на основании распоряжения руководителя, по
согласованию с охраной после выполнения проверки.
Все двери в кабинеты и служебные помещения закрываются на ключ,
ключи хранятся на пульте охраны. В помещениях организации установлены
датчики противопожарной охраны, пульт противопожарной охраны установлен
в помещении охраны.
В организации используются камеры видеонаблюдения по одной на
каждом этаже. С помощью, которых охрана осуществляет контроль за этажами.
63
Настройку и поддержку информационной безопасности и защиты
информации осуществляет – узкий круг IT специалистов, IT отдела. Начальник
IT отдела отвечает за контроль и работоспособность информационной
безопасность и защиты информации.
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и её описание
Информационная модель — модель объекта, представленная в виде
информации, описывающей существенные для данного рассмотрения параметры
и переменные величины объекта, связи между ними, входы и выходы объекта и
позволяющая путём подачи на модель информации об изменениях входных
величин моделировать возможные состояния объекта.
Информационная модель задачи, представленная в виде схемы данных на
рис. 2.1, представляет собой структурное представление движения
информационных потоков (путь данных) с момента поступления входной
информации до момента выдачи выходных форм.
С помощью информационной модели проще понять и описать те
операции, которые будут выполняться в разрабатываемой ИС, а так же здесь
определяется какие данные должны присутствовать в обработке.
Данная модель показывает, какую информацию и о каких объектах
необходимо хранить в БД информационной системы [24]. Описываются все
экранные формы и операции, которые необходимо разработать для каждой
области автоматизации и для каждого пользователя.
Рассмотрев информационную модель можно сказать, что она описывает
все операции и всех заинтересованных лиц, которые будут работать с системой и
получать результатные данные из нее.
Основными участниками информационной модели являются:
1. Начальник IT отдела;
2. Сотрудники IT Отдела;
3. Бухгалтерия.
64
Начальник IT
отдела
Администратор
ИС
Сотрудник IT
отдела
Бухгалтерия
Спр.
Сотрудник
Спр.
Причина
поломки
Спр. Тип
оборудования
Т.
Размещение
Т. Заявка на
обслуживание
Т. Списание
оборудования
Т. Замена
Спр.
Детали
Спр.
Оборудование
Т.
Поломки
Отчет по поломкам
Отчет по закупкам
Списание
оборудования
Спр.
Марка
Спр.
Организация
Замена
оборудования
Поломки
Заявки на
обслуживание
Размещение
оборудования
Работа с БД
Регистрация
оборудования
Отчет по заявкам
Отчет по
размещению
Отчет по списанию
Отчет по замене
комплектующих
Спр. *
Сотрудник
Спр. *
Причина
поломки
Спр. * Тип
оборудования
Т. *
Размещение
Т. * Заявка на
обслуживание
Т. * Списание
оборудования
Т. *
Замена
Спр. *
Детали
Спр. *
Оборудование
Т. *
Поломки
Спр. *
Марка
Спр. *
Организация
Детали и
комплектую-
щие
Закупка
оборудования
Т.
Закупка
Т. *
Закупка
Рис. 2.1 Информационная модель
64
65
На основании рассмотрения информационной модели можно сказать, что
будет выполняться несколько типов операций, ориентированных на различных
пользователей, но все связанны непосредственно с учетом ремонта и
модернизации компьютерного оборудования.
Область 1 отражает действия сотрудника IT отдела, который должен
иметь полную информацию об оборудовании, деталях, выполнении ремонта и
поломках обслуживаемого оборудования. Сотрудники IT отдела вносят
информацию об имеющемся оборудовании. Производят физическое размещение
оборудование по подразделениям и заносят информацию в информационную
систему.
Для добавления информации в ИС необходимы соответствующие формы,
которые заполняют сотрудники, данные из этих форм хранятся в таблицах.
Для оформления журналов в печатном виде формируется отчет. Для
поиска документа используется форма поиска информации по журналам.
Область 2 отражает действия начальника IT отдела. Работа заключается в
обработке заявок на ремонт с целью распределения занятости сотрудников
отдела по обслуживанию, ремонту и модернизации оборудования. Каждое
обращение поступающее в ИТ отдел разделяются по типам, исходя из типа
обращения начальник ИТ отдела формирует тот или иной документ. Начальник
ведет учет установки оборудования, заявки на закупку оборудования в случае
его отсутствия и списания его. Для поиска используется форма для поиска
документов по журналам документов, так же предусмотрена возможность
просмотра формы документа.
Область 3 отражает участие бухгалтерии при работе с системой учета
ремонта и модернизации компьютерного оборудования в виде получения отчета
по заявкам на закупку, поскольку будет производится трата финансовых средств,
и необходим контроль за сметой расходов.
Область 4 отражает деятельность администратора БД по работе с базой
данных и непосредственно с таблицами БД с целью поддержки безопасности,
резервного копирования.
Все операции имеют отражение в таблицах и справочниках БД.
Некоторые показатели и результатные данные представляют собой расчеты,
66
которые будут выполняться автоматически при запуске программы, тем самым
нет необходимости создания для них хранилищ данных. По информационной
модели можно сказать, что различные операции по наполнению БД могут
выполнять различные пользователи. Но есть операции, которые направлены для
автоматизации конкретных действий должностных лиц [3].
2.2.2. Характеристика нормативно-справочной, входной и
оперативной информации
При решении задачи работы по учету ремонта и модернизации
компьютерного оборудования используется ряд классификаторов и кодов
которые определены на этапе выбора информационного обеспечения. Системы
кодирования которые могут быть использованы при работе с документами в
информационной системы представлены в таблице 2.3. Краткие обозначения
систем кодирования представлены в таблице 2.4.
Краткие обозначения использующихся видов классификаторов в
информационной системе учета ремонта и модернизации оборудования
представлены в таблице 2.5.
Таблица 2.3
Перечень обозначений систем кодирования
Система кодирования
Краткое обозначение
Порядковая
П
Серийно-порядковая
СП
Разрядная (позиционная)
Р
Комбинированная (смешанная)
К
Таблица 2.4
Перечень обозначений видов классификаторов
Вид классификатора
Краткое обозначение
Общегосударственный
ОГ
Отраслевой
О
Локальный
Л
Международный
М