58
неопределенных ситуаций. Для снижения потери от возможных просчетов и
избегания срыва проекта, методологии управления проектами содержат
специальные процедуры, которые помогают учесть факторы неопределенности и
риска на этапах проекта.
Предугадывая виды и значения рисков, возможно на них влиять, тем самым
уменьшая их плохое влияние на эффективность проекта. Так, появляются
реальные возможности управлять ими. Факторы риска и неопределенности
которые подвергаются учету в расчетах эффективности, когда при разных
возможных условиях реализации затраты и результаты по проекту различны.
Этап подготовки проекта.
1. Риск сотрудников.
Риски:
• Привлечение неопытных сотрудников к выполнению проекта;
• Вхождение в состав разработчиков «случайных» сотрудников, а не
основных участников автоматизируемых бизнес процессов;
• Отсутствие общей стратегии автоматизации;
• Отсутствие общей цели и задачи проекта;
• Отсутствие мотивирования сотрудников;
• Негативное отношение сотрудников к проекту;
• Непродуманный план ведения работ.
Способы устранения рисков:
• Полное взаимодействие с руководством в ходе проекта и своевременное
принятие решений;
• Участие в проекте лучших специалистов и профессиональных
консультантов;
• Грамотно сформулированные цели проекта;
• Проработка основной стратегии автоматизации организации;
• Постоянный состав рабочей группы в течение всего проекта.
59
2. Риски ведения проекта.
Риски:
• Неверное определение границ и масштаба проекта;
• Проектирование функций системы с ошибками;
• Выбор неверных технологий и методов решений задач;
• Не соблюдение требований заказчика.
Способы предотвращения:
• Обеспечение четких границ проекта, которые определяются на начальном
этапе и остаются неизменными вплоть до окончания проекта;
• Качественное планирование выполнения работ;
• Обеспечение проекта нужными ресурсами;
• Утверждение и согласование проектных решений;
• Установка высокого порога принятия изменений.
3. Риски неверного планирования.
Риски:
• Непродуманный организационный план внедрения системы;
• Срывы сроков выполнения работ на каждом этапе.
Способы предотвращения:
• На ранних стадиях проекта проведение проверок, организация командной
работы, распределение ролей и стимулирование сотрудников;
• Документирование всех работ и обеспечение доступа к данным по работам
всем участникам проекта.
Этап разработки.
60
4. Риски персонала.
Риски:
• Увольнение основных сотрудников, ответственных за проведение
разработки;
• Недопонимание между разработчиками проекта из-за отсутствия
налаженной системы коммуникации;
• Неверное представление задачи проектирования;
• Выбор программистов без опыта работы с подобными системами.
Способы предотвращения:
• Грамотный подбор сотрудников, участвующих в проекте;
• Налаженная система взаимосвязи между сотрудниками, постоянное
документирование изменений системы.
5. Технические риски.
Риски:
• Задержка разработки из-за ошибок в использованном программном
обеспечении;
• Пользовательская документация описывает не все функции системы.
Способы предотвращения:
• Применение только проверенного лицензионного ПО, проведение
регулярного резервного копирования данных;
• Проверка документации на состав сведений.
Этап внедрения.
61
6. Риски персонала.
Риски:
• Несогласованность в действиях разработчика и специалистов предметной
области;
• Нежелание сотрудников учится работать с новой системой и связанные с
этим трудности их обучения;
• Неучастие руководства организации в проекте.
Способы предотвращения:
• Грамотное обучения сотрудников заказчика работе с системой;
• Составление четкого плана внедрения системы;
• Обоснование необходимости автоматизации всему персоналу организации;
• Привлечение руководства к проекту и активное взаимодействие с ним в
ходе всего проекта.
7. Технические риски.
Риски:
• Потеря важных данных при внедрение системы.
• Способы предотвращения:
• Привлечение квалифицированных сотрудников, имеющих большой опыт в
подобных проектах.
Этап эксплуатации и сопровождения.
8.Технические риски.
Риски:
• Ошибки в системе, приводящие к невозможности ее использования;
• Неграмотная эксплуатация оборудования;
62
• Несоответствие функционального набора системы из-за внутренних
изменениях в организации.
Способы предотвращения:
• Поэтапное тестирование и модификации во время разработки системы;
• Документирование всех технических условий и их согласование.
Применительно к внедряемой системе учета заявок следует отметить такие
риски: нарушение конфиденциальности информации; нарушение целостности
информации; нарушение доступности информации.
2.1.3. Организационно-правовые и программно-аппаратные
средства обеспечения информационной безопасности и защиты
информации
В соответствии общим тенденциям, основными источниками по угрозе
безопасности данных в компании являются[5]:
• угроза по каналам утечки вещественных данных (незаконного доступа к
физическим объектам защиты);
• угроза по утечке данных по техническим каналам;
• угроза НСД к информации, обрабатываемой в локальной сети.
Угрозы по утечке данных по техническим каналам могут включать в себя:
• угроза по утечке акустических (речевых) данных;
• угроза по утечке видимых данных;
• угроза по утечке данных по каналу ПЭМИН.
Наиболее значительными угрозами безопасности данных для организации
(способы причинения ущерба субъектам информационных отношений) есть:
• нарушения конфиденциальности (разглашения, утечки) сведений,
включающих служебные или коммерческие тайны, а также персональных
данных;
63
• нарушения функционирования компонентов информационной системы,
блокировка данных, не соблюдение технологического процесса, срывы по
своевременному решению задач;
• нарушения целостности (искажения, подмены, уничтожения)
информационных, программных и других ресурсов, а также
фальсификации (подделки) документов.
Наиболее распространены следующие аппаратные средства защиты
данных:
• специализированные регистры с целью хранения реквизитов защиты:
пароля, идентифицирующего кода, грифа или уровня секретности;
• устройств по измерению индивидуальных характеристик человека
(голоса, отпечатков) для его дальнейшей идентификации;
• схем по прерыванию передачи данных в линии связи с целью
периодической проверки адреса выдачи информации;
• устройств для шифрования данных (криптографические методы).
Первоначально криптография применяла методы шифрования данных -
обратимого преобразования, открытого (исходного) текста на основании
секретного алгоритма и/или ключа в шифрованный текст (шифротекст).
В целях защиты периметров информационных систем создаются[6]:
• система охранной и пожарной сигнализации;
• система цифрового видео наблюдения;
• система контроля и управления доступом (СКУД).
Защита данных от утечки по техническим каналам — это комплекс
организационных, организационно-технических и технических мероприятий,
предотвращающих или уменьшающих бесконтрольный выход
конфиденциальных данных за пределы контролируемой зоны[8].
64
В основу утечек ложится неконтролируемый перенос конфиденциальных
данных посредством акустического, светового, электромагнитного,
радиационного и другого поля и материального объекта.
Причина утечки заключается, как правило, с несовершенстве норм по
сохранению данных, а также в нарушении этих норм (в том числе и
несовершенных), отступлении от правил по обращению с соответствующим
документом, техническим средством, образцом продукции и другим материалом,
который содержит конфиденциальные данные.
Условия включают в себя разнообразные факторы и обстоятельства,
которые происходят в процессе научных, производственных, рекламных,
издательских, отчетных, информационных и иных действий предприятий
(организаций) и создают предпосылки для утечки данных. Данными факторами и
обстоятельствами могут, например, быть[11]:
• недостаточные знания сотрудниками компании правил защиты данных и
непонимания (или недопонимания) необходимости по их тщательному
соблюдению;
• применение неаттестованного технического средства обработки
конфиденциальных данных;
• осуществление слабого контроля за соблюдением правил защиты данных
правовыми, организационными и инженерно-техническими мерами;
• текучести кадров, в том числе имевших доступ к сведениям
конфиденциального характера.
В основе защиты информации лежит разграничение прав доступа.
Разграничения прав для различных пользователей представлены в таблице 2.2.
65
Таблица № 2.2
Разграничение прав пользователей
Группы
пользователей
Общая
папка
Сотрудник
и
Модуль
Номенклатур
а
Модуль
контаген
ты
Модуль
реализация
Доступ в
Internet
Сотрудники
Чтение
Чтение
Чтение/
создание
Чтение
Ограничен
Начальники
отделов
Чтение/соз
дание/удал
ение
Чтение
Чтение/
создание
Чтение
Ограничен
Бухгалтерия
Чтение
Чтение/создан
ие/ удаление
Полный
Полный
Не ограничен
Системный
администрат ор
Чтение/соз
дание/удал
ение
Чтение/создан
ие/ удаление
Полный
Полный
Не ограничен
Защита данных от утечки по визуально-оптическому каналу — это
комплекс мероприятий, предотвращающих или ослабляющих возможность
выхода конфиденциальных данных за пределы контролируемой зоны за счет
распространения световой энергии[10].
Для защиты данных от утечки по визуально-оптическому каналу
рекомендовано:
• применение объектов защиты, исключая отражение света в стороны где
возможно расположение злоумышленника (пространственные
ограждения);
• уменьшение отражательных свойств объектов защиты;
• уменьшение освещенности объектов защиты
66
(энергетические ограничения);
• использование средств по преграждению или значительному ослаблению
отраженного света: ширмы, экраны, шторы, ставни, темные стекла и другие
преграждающие среды, преграды;
• применение средств маскирования, имитации и других с целью защиты и
введения в заблуждение злоумышленника;
• использование средств пассивной и активной защиты источника от
неконтролируемого распространения отражательного или излученного
света и других излучений;
• осуществление маскировки объектов защиты, варьируя отражательными
свойствами и контрастом фона;
• применение маскирующих средств по сокрытию объектов можно в виде
аэрозольных завес и маскирующих сеток, красок, укрытий.
В качестве оперативного средства по сокрытию нашли широкое
применение аэрозольные завесы. Это взвешенные в газообразной среде
мельчайшие частицы разнообразных веществ, которые в зависимости от размера
и агрегатного сочетания формируют дым, копоть, туман. Они предотвращают
дальнейшее распространение отраженного от объекта защиты света. Хорошим
светопоглощающим свойством обладает дымообразующее вещество[12].
Защита данных от утечки по акустическому каналу — это комплекс
мероприятий, предотвращающих или ослабляющих возможность выхода
конфиденциальных данных за пределы контролируемой зоны за счет
акустических полей.
В целях определения эффективности защиты звукоизоляции применяются
шумомеры. Шумомеры — это измерительные приборы, которые преобразуют
колебания звукового давления в показания, которые соответствуют уровням
67
звукового давления. В сфере акустической защиты речи применяются аналоговый
шумомер.
По точности определения показаний шумомеры делятся на четыре класса.
Шумомер нулевого класса служит для проведения лабораторных измерений,
первого — для проведения натурных измерений, второго — для применения в
общих целях; шумомер третьего класса применяется для проведения
ориентированных измерений. В практике для проведения оценки по степени
защищенности акустических каналов применяется шумомер второго класса, редко
— первого[18].
Измерение акустической защищенности проводится методом образцового
источника звука. Образцовым может называться источник с заведомо заданным
уровнем мощности на заданной частоте.
Защита данных от утечки по электромагнитным каналам — это комплекс
мероприятий, предотвращающих или уменьшающих возможность
неконтролируемого выхода конфиденциальных данных за пределы
контролируемой зоны за счет электромагнитных полей побочного характера и
наводок.
Для защиты данных от утечки по электромагнитным каналам используются
как общие методы по защите от утечки, так и специфические — именно для
данного вида каналов. Кроме этого, защитные действия возможно
классифицировать на конструкторско-технологические решения, которые
ориентированы на исключения возможностей по возникновению данных каналов,
и эксплуатационные, которые связанны с обеспечением условия применения того
или иного технического средства в условиях производственной и трудовой
деятельности[20].
Конструкторско-технологическое мероприятие по локализации
возможностей по образованию условий возникновения каналов утечки данных за
счет побочного электромагнитного излучения и наводок в технических средствах