63
– Знание программного продукта.
Недостатки:
– Требуется разработка методологии управления проектом и четкое
следование ей,
– Необходимость решения вопроса занятости сотрудников, выделенных
(или нанятых) для реализации проекта.
Для реализации задач дипломного проектирования наиболее
предпочтительным видится внедрение системы своими силами. В качестве
стратегии внедрения системы была выбрана параллельная стратегия, когда
менеджеры одновременно будут работать ручная и новая система, и их
выходные документы сравниваются.
2.1.2 Ожидаемые риски на этапах жизненного цикла и их описание
Любой проект по созданию информационной системы предприятия
всегда включает множество задач, связанных с общим управлением проектом,
разработкой ПО, проектированием ИС, внедрением, каждая из которых сама по
себе является проектом с присущими ему особенностями. Поэтому в ходе
разработки существуют различные риски.
Риски заказчика связаны с неполным достижением целей проекта и не
эффективно израсходованными средствами, а риски исполнителя - с
возможностью резкого превышения фактической себестоимости работ по
сравнению с плановой. Необходимость ведения параллельных и подчас
принципиально отличающихся по своему характеру работ приводит к тому, что
многократно возрастает уровень риска проекта.
Наиболее характерные риски и методы из минимизации приведены в
таблице 5.
Таблица 5 – Возможные риски проекта и способы их минимизации
Виды
рисков/варианты
менеджмента рисков
Снижение видов риска
Снижение вероятности
возникновения риска
Риски, связанные с
масштабом проекта
Детальный анализ каждого этапа
работ, взаимодействия участников,
Детально проработанная
программа качества,
64
Виды
рисков/варианты
менеджмента рисков
Снижение видов риска
Снижение вероятности
возникновения риска
организации работ
отработанное управление
конфигурацией проекта,
специальные процедуры
взаимодействия участников
Риски, связанные с
недостаточным
опытом в сфере ИТ
Проведение обучения пользователей,
включая руководство, соблюдение
технологий работы
Разработка и утверждение
концепции проекта на возможно
более ранней его стадии
Технические риски
проекта
Строгий отбор проектной команды
по квалификационным критериям.
Обучение участников проекта
технологии проектных работ,
инструментальным средствам
Использование стандартов
предприятия на проектные
работы, разработка стандартов
проекта
Организационные
риски проекта
Обучение участников проекта (курс
"управление проектом"), тренинги
команды, как можно более полная
формализация деятельности
Включение в команду
администратора проекта,
детальное распределение ролей
в проекте
Операционные риски
проекта
Многократное тестирование
созданных продуктов, тщательная
экспертиза документов
Строгое выполнение процедур
программы качества
2.1.3 Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Проблема правового регулирования отношений в сфере обеспечения
информационной безопасности является для России одной из важнейших. От ее
решения во многом зависит сохранение, приумножение и защита
информационных ресурсов, становление международного авторитета и
снижение криминальной напряженности в стране, защита прав, свобод и
безопасности человека в системе информационных отношений.
Правовое обеспечение информационной безопасности включает
комплекс законодательных и иных правовых актов, устанавливающих правовой
статус субъектов информационных отношений, субъектов и объектов защиты,
методы, формы и способы защиты, их правовой статус.
Законодательная база в сфере информационной безопасности включает
пакет Федеральных законов, Указов Президента РФ, постановлений
Правительства РФ, межведомственных руководящих документов и стандартов.
65
Основополагающими документами по информационной безопасности в РФ
являются Конституция РФ и Концепция национальной безопасности
(рисунок 20).
Рисунок 20 – Правовое обеспечение информационной безопасности
В Конституции РФ гарантируется «тайна переписки, телефонных
переговоров, почтовых, телеграфных и иных сообщений», «право свободно
искать, получать, передавать, производить и распространять информацию
66
любым законном способом», «гарантируется свобода массовой информации»,
т. е. массовая информация должна быть доступна гражданам.
Концепция национальной безопасности РФ, введенная указом Президента
РФ № 24 в январе 2000 г., определяет важнейшие задачи обеспечения
информационной безопасности РФ:
– реализация конституционных прав и свобод граждан РФ в сфере
информационной деятельности;
– совершенствование и защита отечественной информационной
инфраструктуры, интеграция России в мировое информационное пространство;
– противодействие угрозе развязывания противоборства в
информационной сфере.
Для обеспечения прав граждан в сфере информационных технологий и
решения задач информационной безопасности, сформулированных в
Концепции национальной безопасности РФ, разработаны нормативные и
законодательные акты :
1. Закон РФ от 21.06.1993 г. № 5485-1 «О государственной тайне»
регулирует отношения, возникающие в связи с отнесением сведений к
государственной тайне, их рассекречиванием и защитой в интересах
обеспечения безопасности РФ.
2. Закон РФ «Об информации, информационных технологиях и о защите
информации» от 27.08.2006 г. № 149-ФЗ (новая редакция закона от 27.07.2010
N 227-ФЗ) — является одним из основных базовых законов в области защиты
информации, который регламентирует отношения, возникающие при
формировании и использовании информационных ресурсов РФ на основе
сбора, накопления, хранения, распространения и предоставления потребителям
документированной информации, а также при создании и использовании
информационных технологий, при защите информации и прав субъектов,
участвующих в информационных процессах и информатизации.
Ответственность за нарушения в сфере информационной безопасности
определяется Уголовным кодексом РФ (Статья 138. Нарушение тайны
67
переписки, телефонных переговоров, почтовых, телеграфных или иных
сообщений; Статья 140. Отказ в предоставлении гражданину информации;
Статья 183. Незаконное получение и разглашение сведений, составляющих
коммерческую или банковскую тайну; Статья 237. Сокрытие информации об
обстоятельствах, создающих опасность для жизни и здоровья людей; Статья
283. Разглашение государственной тайны; Статья 284. Утрата документов,
содержащих государственную тайну; Статья 272. Неправомерный доступ к
компьютерной информации; Статья 273. Создание, использование и
распространение вредоносных программ для ЭВМ; Статья 274. Нарушение
правил эксплуатации ЭВМ, системы ЭВМ или их сети) и Кодексом РФ об
административных правонарушениях [
2
].
К аппаратным средствам защиты информации относятся электронные и
электронно-механические устройства, включаемые в состав технических
средств КС и выполняющие некоторые функции обеспечения информационной
безопасности. Критерием отнесения устройства к аппаратным, а не к
инженерно-техническим средствам защиты является обязательное включение в
состав технических средств КС.
К основным аппаратным средствам защиты информации относятся:
– устройства для ввода идентифицирующей пользователя информации;
– устройства для шифрования информации;
– устройства для воспрепятствования несанкционированному включению
рабочих станций и серверов (электронные замки и блокираторы).
Под программными средствами защиты информации понимают
специальные программы, включаемые в состав программного обеспечения КС
исключительно для выполнения защитных функций. К основным программным
средствам защиты информации относятся:
– программы идентификации и аутентификации пользователей КС;
– программы разграничения доступа пользователей к ресурсам КС;
2
Правовое обеспечение информационной безопасности. Основные законодательные акты РФ в области защиты
информации http://poisk-ru.ru/s79477t1.html
68
– программы шифрования информации;
– программы защиты информационных ресурсов от
несанкционированного изменения, использования и копирования.
Заметим, что под идентификацией, применительно к обеспечению
информационной безопасности КС, понимают однозначное распознавание
уникального имени субъекта КС. Аутентификация означает подтверждение
того, что предъявленное имя соответствует данному субъекту (подтверждение
подлинности субъекта) [
3
].
Надежность функционирования проектируемой АИС должна
обеспечиваться следующими способами:
1. надежностью приобретаемых технических средств;
2. надежностью разрабатываемого программного обеспечения.
К программным средствам и методам обеспечения информационной
безопасности, которые будут реализованы в системе, можно отнести:
— парольная защита операционной системы;
— разграничение доступа сотрудников предприятия;
— хранение резервных копий БД на нескольких носителях;
— периодическое проведение выборочных проверок вводимой и
хранимой информации;
— использование систем бесперебойного питания;
— использование антивирусных систем, брандмауэров для защиты
рабочих мест.
Разрабатываемое программное обеспечение также должно позволять:
1. откат введенных данных до выполнения транзакций на сохранение;
2. запрет ввода некорректной информации;
3. запрет выхода из программы без сохранения информации.
В качестве критерия надежности АИС и ее компонентов определяется
время восстановления работоспособности системы в целом при возникновении
любой аварийной ситуации. Указанное время не должно превышать 12 часов.
3
Современные технологии защиты информации http://www.intuit.ru/studies/courses/1162/285/lecture/7164?page=2
69
Функциональная область защиты информации должна включать в себя
следующие функции защиты, реализуемые разными компонентами системы:
1. функции, реализуемые операционной системой и СУБД;
2. функции защиты, реализуемые на уровне программного
обеспечения;
3. функции администрирования средств передачи данных в сети;
4. функции администрирования средств безопасности.
При создании системы ведения базы данных АИС должны быть
применены в полном объеме необходимые средства операционной системы и
комплексом программных средств АИС для защиты информации от
несанкционированного доступа.
В качестве обязательных средств защиты информации должны
использоваться система паролей на уровне администрирования операционной
системы.
Защита информации средствами администрирования следующая:
1. сервер БД не должен быть сетевым сервером общего пользования,
не использоваться как Internet или почтовый сервер;
2. выполнение регламентных и других работ на сервере должно
производится в присутствии специалиста, ответственного за информационную
безопасность;
3. основной пароль системы должен быть известен только системному
администратору.
Сохранность информации должна обеспечиваться физическими и
организационными мерами.
К комплексу физических мер относятся:
1. наличие внешней памяти достаточной емкости;
2. обеспечение работы клиентского программного обеспечения только
на уровне транзакций.
К комплексу организационных мер относятся:
70
1. обеспечение доступа в помещение в нерабочее время только в
экстренных случаях, с обязательным протоколированием времени, сроков и
причин пребывания в помещении;
2. ежедневный backup (резервное копирование базы данных);
3. ежечасный backuplog (резервное копирование транзакций);
4. дублирование резервной копии БД на внешнем носителе;
5. хранение не менее трех последних резервных копий.
Носители информации должны храниться в контролируемых
уполномоченными лицами местах, с ограниченным доступом.
Защита от влияния внешних воздействий должна обеспечиваться:
1. стандартными техническими средствами (UPS, заземление и
прочие);
2. организационными средствами (разграничение доступа).
При разработке пользовательского интерфейса необходимо соблюдать
следующие правила:
1. цветовая гамма пользовательского интерфейса должна быть
выдержана в мягких тонах, сообщения, требующего особого внимания
пользователя, должны быть выделены ярким цветом;
2. разрешение экрана должно обеспечивать спокойное восприятие
информации с экрана;
3. одинаковые элементы управления для идентичных операций;
4. идентичные элементы управления в различных функциях должны
иметь одинаковые «иконки» (вставка, удаление и прочие);
5. стандартным операциям должны соответствовать «горячие»
клавиши;
6. вложенность меню не должна превышать трех уровней;
7. при использовании управляющих элементов интерфейса не должны
допускаться перекрещивания движения руки и движения глаз;
8. в диалоговом режиме должна соблюдаться однозначность
восприятия вопроса.
71
2.2 Информационное обеспечение задачи
2.2.1 Информационная модель и её описание
Информационная модель представляет собой схему движения входных,
промежуточных и результативных потоков и функций предметной области.
Кроме того, она объясняет, на основе каких входных документов и какой
нормативно-справочной информации происходит выполнение функций по
обработке данных и формирование конкретных выходных документов.
В качестве информационной модели будем использовать схему данных
(ГОСТ 19.701-90). Схемы данных отображают путь данных при решении задач
и определяют этапы обработки, а также различные применяемые носители
данных. Схема данных состоит из следующих элементов:
- символов данных (символы данных могут также указывать вид носителя
данных);
- символов процесса, который следует выполнить над данными (символы
процесса могут также указывать функции, выполняемые вычислительной
машиной);
- символов линий, указывающих потоки данных между процессами и
(или) носителями данных;
- специальных символов, используемых для облегчения написания и
чтения схемы.
Весь цикл обработки информации можно разбить на два этапа:
1. Прием, обработка и ввод первичной входящей информации
(паспортные данные клиентов, реквизиты организаций (отделы, подразделения,
перечень запчастей и т.д.).
2. Формирование документов (списков складских ордеров, перечень
заявок на ремонт).
Графическое представление информационной модели отражено на
рисунке 21.
72
Рисунок 21 – Информационная модель