50
На полученной матрице рисков выделяются 3 зоны.
Зона светло-серого цвета (низкие значимость и вероятность
возникновения): область толерантного для организации риска, устанавливается
руководством организации. В данную область попали риски с номерами 1, 6, 9,
11. Эти риски проекта не принесут значительного убытка в реализации. Однако
необходимо осуществить постоянный контроль этих рисков.
Зона белого цвета: область риска, который должен быть уменьшен до
уровня толерантности, либо передан третьим лицам. В данную область попали
риски с номерами 2, 3, 5, 7, 8. Данные риски по своим показателям выше
установленной нормы. Именно этими рисками необходимо активно управлять.
Зона темно-серого цвета (высокие значимость и вероятность
возникновения): область неприемлемого риска. Риски, попадающие в эту зону
(риск 4 - превышение сроков выполнения этапов проекта), являются
катастрофическими для проекта.
Выделяются следующие группы пользователей информационной системы:
- руководитель отдела учета налогоплательщиков, определяющий права
пользователей, контролирующий движение информационных потоков в системе;
- руководитель отдела по работе с налогоплательщиками, принимающие
решения о снятии налогоплательщика с учета;
- сотрудник отдела учета налогоплательщиков, выполняющий задачи
заполнения баз данных, формирования и печати отчетности;
- сотрудник отдела по работе с налогоплательщиками, проводящий
выгрузку данных налогоплательщика при его миграции в другой налоговый
орган;
- системный администратор - авторизованный пользователь. После
прохождения авторизации, он открывает общий вид на всю базу данных, и
панель инструментов, после чего администратору становятся доступны все
возможности по добавлению и редактированию записей, а также все функции по
оптимизации и регулирования функционирования базы данных и прав доступа
пользователей;
51
- гость - неавторизированный пользователь. Имеет общедоступный логин
и пароль, после авторизации открывается вид на таблицу - Записи. Имеет доступ
только для просмотра таблицы «Записи».
Количество операторов разрабатываемой информационной системы
должно быть не менее 1 человека.
Защита от внутренних угроз информационной безопасности системы
включает в себя следующие основные моменты [23, c. 166]:
- защита от утечек конфиденциальной информации (программное
средство DeviceLock);
- обеспечение конфиденциальности информации при хранении и
передаче:
шифрование каналов связи (организация VPN, ЭЦП, PKI);
шифрование носителей информации (создание защищенных
контейнеров, построение корпоративной системы шифрования и хранения
данных) при помощи программного комплекса Steganos Security Suite 2007,
выбранного выше;
- система управления уязвимостями (программно-аппаратная реализация
средства оценки защищенности сетей масштаба предприятия Enterprise Scanner).
Возможности Enterprise Scanner:
1) Инвентаризация ресурсов:
- идентифицируются болел 1800 типов ресурсов, включая рабочие
станции, сервера, маршрутизаторы, коммутаторы, приложения и операционные
системы;
- предусмотрено обнаружение новых подключенных устройств;
- процесс обнаружения новых ресурсов проходит с использованием
различных методов и источников: процесс активного сканирования, Active
Directory, Proventia Network ADS, импортирование базы данных ресурсов,
внесение в базу данных ресурсов «вручную»;
- используются различные техники идентификации: Ping sweep, UDP
probe, asset fingerprinting, rapid discovery, NetBIOS-based discovery, TCP
discovery, UDP port discovery, OS fingerprinting, Integrated NMAP 4.0 database;
52
- ресурсы группируются по иерархическому принципу на основе
организационной структуры (AD).
2) Оценка защищенности:
- оценка защищенности обнаруженных ресурсов;
- оценка защищенности с использованием различных проверок:
подключение новых проверок «на лету»;
обновления проверок на основе выхода обновлений технологии Virtual
Patch™;
небольшой объем обновлений (XPU) < 5 Мб;
- эмуляция атак:
тесты без какого-либо воздействия на сетевую инфраструктуру;
анализ возможного эффекта воздействия реальной атаки;
непревзойденная по полноте база данных уязвимостей и программных
ошибок, подготовленная X-Force®;
- сканирование по приоритету критичности ресурсов.
3) Анализ результатов сканирования:
- группирование уязвимостей по приоритету;
- собственная система реакции на инциденты;
- интеграция с системой реакции на инциденты Remedy;
- открытый программный интерфейс (API) для подключения других
систем реакции на инциденты;
- распределение уязвимостей по категориям и ресурсам;
- традиционные рекомендации по устранению уязвимостей
(рекомендация определенного патча);
- интеграция с технологией Virtual Patch™ и системами Proventia IPS.
4) Генерация отчетов:
- генерация отчетов согласно организационной структуре организации;
- группирование ресурсов в отчетах по уровню рисков, по
географическому, территориальному, сетевому и другим признакам;
- более 1800 видов отчетов;
- представление в виде PDF, CSV, HTML;
- планировщик создания отчетов.
53
Основными направлениями мер по обеспечению политики безопасности
информации Межрайонной ИФНС России № 26 по Ростовской области являются
[32, c. 264]:
- работа с персоналом;
- обеспечение безопасности речевой информации;
- обеспечение защиты интеллектуальной собственности;
- идентификация, проверка подлинности и контроль доступа на объект, в
помещения, к ресурсам автоматизированной системы, реализация
функциональных обязанностей пользователей, администрирование
компьютерных сетей;
- защита АРМ пользователей, коммуникационных средств, серверов,
внешних носителей информации, данных и программ в процессе обмена;
- обеспечение физической безопасности оборудования;
- обеспечение безопасности при разработке и сопровождении
информационных подсистем;
- обеспечение безопасности при взаимодействии с внешними системами и
сторонними организациями;
- защита информации от утечки по техническим каналам;
- организация контроля эффективности принимаемых мер защиты.
Структура программно-аппаратного комплекса сетевой защиты
Межрайонной ИФНС России № 26 по Ростовской области представлена в
приложении 5.
Для полноценного обеспечения информационной безопасности
информационной системы процедуры снятия с налогового учета и выгрузки
данных налогоплательщика при его миграции в другой налоговый орган в
Межрайонной ИФНС России № 26 по Ростовской области предлагается
использовать программные защитные средства, способные решать следующие
задачи по обеспечению безопасности информации:
- обеспечение контроля входа в информационную систему и загрузки баз
данных при помощи уникальных идентификаторов (логин, пароль, код и др.);
- обеспечение ограничения доступа пользователей к определенным
компонентам информационной системы и ее внешним ресурсам;
54
- защита программного обеспечения, обеспечивающего выполнение
процессов для определенного пользователя, от посторонних субъектов;
- обеспечение безопасности потоков конфиденциальных данных;
- безопасность информации от воздействия вирусного программного
обеспечения;
- уничтожение остаточных данных конфиденциального характера в
открытых после введения паролей файлах в оперативной памяти;
- формирование протоколов об уничтожении и стирании остаточных
конфиденциальных данных;
- обеспечение целостности данных путем внедрения избыточной
информации;
- автоматическое обеспечение безопасности работы пользователей
информационной системы на основе данных протоколирования информации с
последующей подготовкой отчетов в регистрационном журнале системы.
Защита от внутренних угроз безопасности также включает в себя
разграничение прав доступа к информации системы учета налогоплательщиков,
разрабатываемой системы автоматизации процедуры снятия с налогового учета
и выгрузки данных налогоплательщика при его миграции в другой налоговый
орган в Межрайонной ИФНС России № 26 по Ростовской области (таблица 2.7).
Таблица 2.7
Разграничение прав доступа
Пользователи
Авториза
ция
Главное
окно
Справочник
и
Базы
данных
Снятие с
налоговог
о учета и
выгрузка
данных
Руководитель отдела
учета
налогоплательщиков
Чтение
Полный
Полный
Чтение
Полный
Руководитель отдела по
работе с
налогоплательщиками
Чтение
Полный
Полный
Чтение
Полный
Сотрудник отдела учета
налогоплательщиков
Чтение
Чтение
Чтение
Полный
Полный
Сотрудник отдела по
работе с
налогоплательщиками
Чтение
Чтение
Чтение
Чтение
Полный
Администратор
Полный
Полный
Полный
Полный
Полный
55
Система должна позволять редактировать или удалять ошибочно
вводимую информацию или карточку. Система при сохранении и выгрузке
данных должна проверять информацию на дублирование, предупреждать о
невозможности её внесения в систему.
2.2. Информационное обеспечение задачи
Информационная модель системы снятия с налогового учета и выгрузки
данных налогоплательщика при его миграции в другой налоговый орган в
Межрайонной ИФНС России № 26 по Ростовской области представлена на
рисунке 2.1.
Рис. 2.1. Информационная модель системы
Сотрудники
Сотрудники
Администратор
Администратор
ИС
ИС
Управление
пользователями
Управление
пользователями
Миграция
налогоплател
ьщиков
Миграция
налогоплател
ьщиков
Спр
«Налогоплате
льщики»
Спр
«Налогоплате
льщики»
Спр*
«Налогоплател
ьщики»
Спр*
«Налогоплател
ьщики»
Т «Категория
налогоплательщик
ов»
Т «Категория
налогоплательщик
ов»
Т* «Категория
налогоплательщик
ов»
Т* «Категория
налогоплательщик
ов»
Спр «Запросы
налогоплатель
щиков»
Спр «Запросы
налогоплатель
щиков»
Спр* «Запросы
налогоплатель
щиков»
Спр* «Запросы
налогоплатель
щиков»
Спр
«Документы»
Спр
«Документы»
Спр*
«Документы»
Спр*
«Документы»
Спр
«Требования к
заявлениям»
Спр
«Требования к
заявлениям»
Спр*
«Требования к
заявлениям»
Спр*
«Требования к
заявлениям»
Спр «Знания»
Спр «Знания»
Спр* «Знания»
Спр* «Знания»
Спр*
«Сотрудники»
Спр*
«Сотрудники»
Спр «Сотрудники»
Спр «Сотрудники»
Спр
«Должности»
Спр
«Должности»
Спр*
«Должности»
Спр*
«Должности»
Спр «Налоговые
органы»
Спр «Налоговые
органы»
Спр* «Налоговые
органы»
Спр* «Налоговые
органы»
Спр «Извещения о
приеме запросов»
Спр «Извещения о
приеме запросов»
Спр* «Извещения о
приеме запросов»
Спр* «Извещения о
приеме запросов»
Спр «Отказы»
Спр «Отказы»
Спр* «Отказы»
Спр* «Отказы»
Спр
«Подтверждения»
Спр
«Подтверждения»
Спр*
«Подтверждения»
Спр*
«Подтверждения»
Отчет
Отчет
Руководитель отдела учета
налогоплательщиков
Руководитель отдела учета
налогоплательщиков
56
В состав информационной системы входят следующие базы данных:
налогоплательщики - данные о налогоплательщиках, загружаются в
систему из АИС «Налог-3»;
категория налогоплательщиков - данные о категориях
налогоплательщиков (физическое или юридическое лицо с разделением на
подкатегории – физического лица по возрасту, полу, роду деятельности;
юридического лица по характеру бизнеса, форме собственности);
запросы налогоплательщиков - информация о запросах
налогоплательщиков на процедуры миграции в другой налоговый орган;
документы - данные о документации налогоплательщика, хранящейся в
Межрайонной ИФНС России № 26 по Ростовской области;
требования к заявлениям - информация о структуре заявления
налогоплательщика на миграцию в другой налоговый орган с формой заявления
для распечатки;
знания – общая характеристика сведений, необходимых сотруднику при
подготовке процедуры миграции налогоплательщика в другой налоговый орган:
бланки подтверждения налогоплательщику, сведения из действующего
законодательства;
сотрудники – данные об ответственных сотрудниках, должностных
обязанностях сотрудников, ролях в системе;
должности – сведения о должностях сотрудников;
налоговые органы – сведения о налоговых органах, в которые
проведены (проводятся) процедуры миграции налогоплательщиков;
извещения о приеме запросов – сведения о приеме запросов
налогоплательщиков, о принятии их к сведению ответственных лиц;
отказы – сведения об отказах в процедурах миграции
налогоплательщиков с указанием причин;
подтверждения миграции – сведения о подтвержденных процедурах
миграции налогоплательщиков;
57
отчеты – результирующие отчеты по выполнению процедур миграции
налогоплательщика в другой налоговый орган в Межрайонной ИФНС России №
26 по Ростовской области.
Выгрузка данных налогоплательщиков проводится на основании сведений
из баз «документы», «подтверждения миграции», «налоговые органы» через
модуль системы «выгрузка данных». В результате выгрузки информация о
налогоплательщиках остается только в разработанной системе, полностью
стираясь из АИС «Налог-3».
Рассмотрим процесс снятия с налогового учета и выгрузки данных
налогоплательщика при его миграции в другой налоговый орган в Межрайонной
ИФНС России № 26 по Ростовской области «как должно быть» (приложение 6).
Для формирования выходных документов на серверах приложений и
рабочих станциях объектов автоматизации федерального, регионального и
местного уровней ФНС России установлены офисные приложения типа MS
Office 2003, 2007 и 2010, использование которых предполагается и по
результатам текущей автоматизации.
Отметим, что учетные операции ведутся сотрудниками отделов учета
налогоплательщиков и по работе с налогоплательщиками. Выгрузка данных
подтверждается строго руководителем отдела учета налогоплательщиков.
На выходе при работе системы получаем: учетные данные по запросам и о
приеме запросов, информацию о налоговом органе – субъекте миграции,
информацию о подтверждении / отказе миграции, сведения о выгруженных
данных, отчеты о результатах работы системы.
В приложении 7 представлена Декомпозиция диаграммы «To-Be»
процесса учета и выгрузки данных налогоплательщика при его миграции в
другой налоговый орган в Межрайонной ИФНС России № 26 по Ростовской
области.
Бизнес-процесс (как должно быть) включает 6 подпроцессов:
1. Принять запрос налогоплательщика – остается без изменений.
2. Ввести данные о направлении миграции – из официальной системы
учета налоговых органов вводятся сведения о налоговом органе – субъекте
миграции налогоплательщика.
58
3. Получить данные из АИС «Налог-3» - все сведения о
налогоплательщике, включая учетные данные об архивной документации,
выгружаются в систему автоматизации процесса учета и выгрузки данных
налогоплательщика при его миграции в другой налоговый орган.
4. Отметить подтверждение / отказ миграции – на основе сведений
налогоплательщика руководитель отдела учета налогоплательщиков принимает
решение о разрешении или отказе в миграции.
5. Выгрузить данные – данные выгружаются на основе подтверждения
руководителя отдела учета налогоплательщиков Межрайонной ИФНС.
6. Сформировать отчет – отчет формируется как в целом за весь срок
работы системы, так и за заданный пользователем период. В состав отчета
включаются: сведения о налогоплательщике, налоговом органе, заявках,
выгруженных данных.
Основное изменение заключается в упрощении процедур учета и выгрузки
данных налогоплательщика при его миграции в другой налоговый орган. На
вход в систему подаются сведения о запросах налогоплательщиков, направлении
миграции, данные налогоплательщика из АИС «Налог-3» (общие сведения, база
документации в архиве), подтверждение выгрузки данных из баз данных.
Система реализует взаимодействие с АИС «Налог-3» и позволяет вести
необходимую отчетность по процедурам миграции налогоплательщиков в
другой налоговый орган в Межрайонной ИФНС России № 26 по Ростовской
области.
Выходными данными информационной системы снятия с налогового
учета и выгрузки данных налогоплательщика при его миграции в другой
налоговый орган в Межрайонной ИФНС России № 26 по Ростовской области
являются:
- отчеты и запросы по выполнению процедур снятия с налогового учета и
выгрузки данных налогоплательщиков (отчет по категориям
налогоплательщиков, по подтверждениям и отказам, по операциям за период);
- отчеты и запросы по заявкам налогоплательщиков, по исполнителям;
- отчеты и запросы об ответственных сотрудниках;
- отчеты и запросы по выгрузке данных налогоплательщиков;
59
-отчеты по налогоплательщикам за период, перемещению
налогоплательщиков.
2.3. Программное обеспечение задачи
Дерево функций информационной системы представлено в приложении 8.
Дерево функций представляет собой иерархическую структуру действий,
реализованных в информационной системе. Все действия (функции)
программного продукта можно разделить на два основных подмножества:
1) служебные функции - идентичны для всех автоматизированных систем
управления предприятием на современном уровне развития аппаратных и
программных средств. Функции этого вида призваны обеспечить безопасность
ввода, обработки и хранения информации, облегчить работу с системой, сделать
ее наиболее удобной и незатруднительной для конечного пользователя.
2) основные функции управления и обработки данных - свойственны как
информационным системам любой специализации, так и именно данной
информационной системы. Они отражают особенности процесса обработки
информации, получения результатов, ведения информационной базы проекта.
Эти функции организованы в том порядке и в том составе, которые
продиктованы условиями обработки и управления данными в конкретной
предметной области.
Сценарий диалога информационной системы представлен в приложении 9.
Каждый элемент справочника характеризуется кодом и наименованием. Система
поддерживает режим автоматической нумерации элементов, при котором она
самостоятельно может генерировать код для нового элемента справочника.
Кроме этого система позволяет осуществлять контроль уникальности кодов
справочника, не разрешая создавать элементы с одинаковыми кодами.
Главной особенностью информационной системы является наличие связи
контроля процедур снятия с налогового учета и выгрузки данных
налогоплательщика при его миграции в другой налоговый орган в Межрайонной
ИФНС России № 26 по Ростовской области с учетом деятельности