51
Временные и материальные издержки являются следствием
отсутствия оптимизации на этапе подготовки и его необходимостью в
целом. Очевидна существенная разница между временными
характеристиками описанных процессов при автоматизации и при ее
отсутствии.
Таблица 4
Сравнительная характеристика процессов при автоматизации и при ее
отсутствии
Действие
Среднее
количество
за рабочий
день
Время,
необходимое
для выполнении
одного
действия, минут
Общее
время,
минут
Расхождение
во временных
затратах
Распечатка
тестов и бланка
ответа
10
3–5
30–50
27–47
Авторизация в
программе
10
0,3
3
Раздача тестов и
бланка ответов
10
0,3
3
2
Открытие
формы теста
10
0,1
1
Сбор тестов и
бланков ответов
10
0,3
3
2,9
Обращение и
запись в базе
10
0,01
0,1
Ручная
обработка
результатов
10
5–10
50–100
49,9–99,9
Автоматическая
обработка
результатов
10
0,01
0,1
Перенос
результатов в
файл Excel
10
1
10
10
База содержит
результат
тестирования
0
0
0
52
Минимальные затраты времени на организацию и проведение
тестирования для 10 сотрудников МЦРКПО составляют около 90 мин,
однако, при увеличении количества тестируемых, время увеличивается
пропорционально. При внедрении АИС вне зависимости от количества
участников, среднее время увеличивается настолько незначительно, что по
сути остается прежним.
Информационные системы и технологии позволяют полностью
избавить процесс от необходимости использовать дополнительное
оборудование, например, принтер. Затраты на расходные материалы,
бумагу или краску полностью исчезают. Дальнейшая утилизация
бумажных носителей информации также не требуется.
Немаловажным фактором является возможность реализации гибкой
системы оценки. В режиме онлайн можно изменить процент правильных
ответов в соответствии положительной оценке.
При возникновении срочной необходимости внесения изменений в
вопрос теста, достаточно сделать пару кликов мышкой. В печатном
варианте теста оперативное внесение изменений не представляется
возможным.
Таким образом, эффект от внедрения составит экономию рабочего
времени и полностью исключит материальные затраты, а также обеспечит
структурированное и централизованное хранение данных, снижение риска
потери данных, оперативную обработку и внесение изменений данных[10].
1.2.4. Анализ системы обеспечения информационной безопасности и
защиты информации
Политика МЦРКПО в области обеспечения информационной
безопасности и защиты информации базируется на следующих документах
нормативно–правового и организационно–распорядительного характера:
53
– Приказ Об организации обработки и защиты персональных данных
(ПДн);
– Положение об обработке ПДн в МЦРКПО;
– Политика обработки ПДн в МЦРКПО;
– Порядок контроля процессов обработки и обеспечения
безопасности ПДн в МЦРКПО;
– Порядок осуществления субъектом ПДн прав, предусмотренных
Федеральным законом от 27.07.2006 №152–ФЗ «О персональных данных»
в МЦРКПО;
– Процедура взаимодействия с уполномоченным органом по защите
прав субъектов ПДн в МЦРКПО;
– Процедура обработки обращений субъектов ПДн в МЦРКПО;
– Инструкция о порядке проведения разбирательств по фактам
нарушений порядка обработки и защиты персональных данных,
приводящих к снижению уровня защищенности ПДн в МЦРКПО;
– Политика мониторинга событий и управления инцидентами
информационной безопасности в МЦРКПО;
–Парольная политика в МЦРКПО;
– Положение по организации и проведению работ по обеспечению
безопасности ПДн при их обработке в МЦРКПО;
–Частная модель угроз безопасности ПДн при их обработке в
МЦРКПО.
В целях защиты персональных данных от несанкционированного
доступа и иных неправомерных действий мероприятия по организации и
обеспечению технической защиты ПДн для каждой информационной
системы персональных данных (ИСПДн) включают:
–Выявление актуальных угроз безопасности ПДн на основе анализа
информационной системы персональных данных (ИСПДн) и актуализации
Модели угроз безопасности ПДн;
54
–Определение уровня защищенности ПДн при их обработке в
ИСПДн на основании установленных критериев в соответствии с
Постановлением Правительства РФ от 01.11.2011 № 1119 «Об
утверждении Требований к защите персональных данных при их обработке
в информационных системах персональных данных»;
–Выбор и реализацию методов и способов защиты информации в
информационной системе на основе Моделей угроз и нарушителей
безопасности ПДн и в зависимости от уровня защищенности ПДн, который
необходимо обеспечить при их обработке в ИСПДн;
–Внедрение соответствующих программных, аппаратных и
программно–аппаратных средств защиты информации.
Частная модель угроз безопасности персональных данных при их
обработке в информационной системе в МЦРКПО включает типы угроз:
– Угрозы утечки информации по техническим каналам: угрозы
утечки акустической (речевой) информации, угрозы утечки видовой
информации, угрозы утечки информации по каналам ПЭМИН;
– Угрозы НСД: Угрозы НСД, связанные с действиями нарушителей,
имеющих доступ к ИСПДн, угрозы, связанные с реализацией протоколов
сетевого взаимодействия, реализуемые внутри распределенной сети,
угрозы внедрения по сети вредоносных программ (программно–
математического воздействия);
Защита ПДн, обрабатываемых в ИСПДн, от несанкционированного
доступа и иных неправомерных действий осуществляться в МЦРКПО
следующими методами и способами:
–Реализация разрешительной системы допуска пользователей
(обслуживающего персонала) к информационным ресурсам ИСПДн и
связанным с ее использованием работам, документам;
–Ограничение доступа в помещения, где размещены технические
средства, ИСПДн, а также носители информации, содержащие ПДн;
55
–Разграничение доступа пользователей (обслуживающего персонала)
к информационным ресурсам (включая ПДн), программным средствам
обработки и защиты ПДн;
–Регистрация действий пользователей (обслуживающего персонала)
ИСПДн, мониторинг попыток несанкционированного доступа;
–Учет и хранение носителей информации содержащих ПДн, их
обращение, исключающее хищение, подмену и уничтожение;
–Резервирование технических средств, дублирование массивов и
носителей содержащих ПДн;
–Использование защищенных каналов связи для передачи ПДн;
–Размещение технических средств ИСПДн, позволяющее
осуществлять обработку ПДн в пределах контролируемой территории;
–Периодический анализ защищенности ИСПДн, предполагающий
применение специализированных программных средств (сканеров
безопасности);
–Предотвращение внедрения в ИСПДн вредоносных программ
(программ–вирусов) и программных закладок;
–Регистрация событий и мониторинг процессов обработки ПДн;
–Использование средств антивирусной защиты;
–Централизованное управление системой защиты ПДн.
Разграничение доступа пользователей и управление групповой
политикой пользовательской среды осуществляется службой каталогов
Active Directory (AD) для ОС Windows Server. Контроллеры домена
находятся на каждой территориальной площадке МЦРКПО[2].
56
Таблица 5
Сводная информация по компонентам системы
Компонент
ИСПДн
Установленное ПО
Количество
Размещение
ОС
СУБД
ППО
Контроллер
домена
Windows
Server
2012
Standart
Microsoft
Active
Directory
–
На каждой
из площадок
Все
площадки
МЦРКПО
Доменные службы AD осуществляют централизованное хранение
сведений о конфигурации и всех объектов дерева каталогов, а также
запросов на проверку подлинности.
Проверкой подлинности занимается служба сертификатов. Данные
шифруются для передачи по незащищенным каналам связи,
идентификация пользователя или компьютера происходит с
использованием закрытого ключа.
Службы управления правами устанавливают права доступа
сотрудников к документам в соответствии с их правами.
В МЦРКПО на пользовательских станциях установлено
антивирусное ПО Касперский Endpoint Protection 10.
Обновление антивирусных баз и модулей производится ежедневно.
Контроль целостности обновлений и программной части ведется
встроенными средствами антивирусного ПО.
1.3. Анализ существующих разработок и выбор стратегии
автоматизации «КАК ДОЛЖНО БЫТЬ»
1.3.1. Анализ существующих разработок для автоматизации задачи
Среди специализированных программных продуктов для аттестации
персонала, основную лидирующую позицию занимает «1С:Зарплата и
управление персоналом 8 КОРП». В программе обеспечивается поддержка
57
всех процедур и регламентов, необходимых для проведения аттестации
сотрудников МЦРКПО (Рис. 16, 17, 18).
Рис.16 – Модуль формирования Положения об аттестации
Рис.17 – Модуль формирования Приказа об аттестации
1С:Зарплата и управление персоналом 8 КОРП позволяет:
– Вести учет данных о результатах оценки сотрудников;
– Анализировать изменения компетенций по сотрудникам за
определенный период;
58
– Сопоставлять результаты оценки с требованиями, предъявляемыми
к должности, и принимать соответствующие кадровые решения
(необходимость обучения, включение в кадровый резерв и т.п.);
– Сравнивать изменение профессионального уровня сотрудников
между собой, чтобы максимально эффективно управлять кадровым
потенциалом компании [29].
Рис.18 – Модуль оценки компетенций сотрудников
Рис.19 – Модуль сопоставления результатов оценки с требованиями
59
В программе возможна формировка перечня формализованных
критериев оценки или компетенции (Рис. 19). Оценка профессиональных и
личностных качеств сотрудников МЦРКПО в форме опроса возможна
благодаря формированию перечня вопросов и отправке на электронный
почтовый ящик. Однако, результаты опроса требуется внести вручную.
Несмотря на все достоинства данного ПО, описанные процедуры
относятся к подготовительному этапу процесса оценивания. Программный
продукт не предполагает прохождение тестирования. Таким образом,
основная задача по автоматизации процесса тестирования остается не
решенной.
Существует также ряд небольших программ–конструкторов тестов и
онлайн – сервисов. Рассмотрим несколько из них более подробно:
Рисунок 20 – Окно сервиса «Мастер–тест»
Онлайн конструктор «Мастер–тест» (Рис. 20) прост в использовании,
после регистрации в качестве преподавателя, можно приступать к
созданию тестов. Участникам тестирования предлагается пройти по ссылке
60
и ответить на вопросы теста. Очевидно, что данный сервис больше
подходит для собственной проверки знаний, и не подходит для крупных
организаций. Отсутствует доступ к БД с участниками и результатами для
дальнейшей обработки данных.
Аналогичным образом дистанционную проверку знаний
осуществляет сервис «Let’s test» (Рис.21). В свободной для
распространения версии можно создать неограниченное количество
тестов, однако прохождение возможно только внутри сайта, а интеграция с
сайтом организации обойдется около 990 рублей в месяц за базовый пакет
[29].
Рис. 21 – Окно сервиса «Let’s test»
Готовые программные продукты для локального пользования не
предполагают авторизацию сотрудника, ведение базы, возможность внести
изменения в существующем функционале (Рис. 22, 23).