77
В обработчике данного события разработчик может отказаться как от
открытия формы, так и от выполнения стандартных действий при открытии
формы, если, например, будут не выполнены требуемые условия. Набор
стандартных действий, которые выполняются после события ПередОткрытием и до
события ПриОткрытии, разный для разных форм и определяется расширением
формы, соответствующим основному реквизиту формы. Так, для формы объекта
справочника после события ПередОткрытием будет выполнена процедура
генерации нового кода справочника (если это необходимо) и, также, будет вызван
обработчик события ПриУстановкеНовогоКода.
Событие ПриОткрытии появляется при открытии формы до показа её окна
пользователю. Это событие необходимо для выполнения действий, которые надо
выполнить лишь в том случае, когда форма наверняка будет открыта. В отличие от
процедуры ПередОткрытием, изменение значений реквизитов формы в этом
обработчике приведет к установке модифицированности формы.
Событие ПередЗакрытием появляется при закрытии формы до закрытия окна
формы. В обработчике этого события разработчик может отказаться как от
закрытия формы, так и от выполнения стандартных действий при закрытии формы,
если например, не выполнены требуемые условия. Набор стандартных действий,
выполняемых после события ПередЗакрытием, так же различен для различных
форм, и определяется расширением формы, соответствующим основному
реквизиту формы. Так, если документ был изменен, одним из стандартных
действий станет запрос сохранения изменений перед закрытием формы.
Событие ПриЗакрытии появляется при закрытии формы после закрытия окна
формы. В обработчике этого события можно описать алгоритм, который будет
выполнен в случае, когда форма будет наверняка закрыта.
В качестве примера рассмотрим модуль формирования отчета «Расписание».
При вызове модуля производится формирование отчета по расписанию курсов.
Развернутая блок – схема представлена на рисунке 29.
78
Начало
Установка
соединения с
сервером БД
Фильтр таблицы
курсы по коду
расписания
Открытие таблиц
Курсы и
расписание
Формирование
отчета
Вывод данных в
виде отчета
Конец
Рисунок 29 - Развернутая блок-схема работы модуля «Расписание»
2.4. Разработка системы обеспечения информационной безопасности и
защиты информации
Произведем выбор программно-аппаратных средств обеспечения
информационной безопасности для исследуемой системы.
1. Выбор средства антивирусной защиты (САВЗ).
В рассматриваемой организации наиболее целесообразно применение САВЗ
типа «А», предназначенные для централизованного администрирования
средствами антивирусной защиты, установленными на компонентах
информационных систем (серверах, автоматизированных рабочих местах)
совместно с типом «Б» и «В», соответствующие 5 классу защиты или выше. При
выборе САВЗ будут рассматриваться комплексные решения, имеющие в своём
составе дополнительные модули, которые обеспечивают защиту от НСД. Среди
79
САВЗ, имеющих сертификацию ФСТЭК на момент написания ВКР можно
выделить 3 продукта категории Endpoint Security:
- Kaspersky Endpoint Security 10 для Windows;
- Dr.Web Enterprise Security Suite 10;
- Symantec Endpoint Security 12.
Все указанные выше комплексные решения САВЗ сертифицированы ФСТЭК
на соответствие профилям антивирусной защиты ИТ.САВЗ.Б2.ПЗ,
ИТ.САВЗ.В2.ПЗ, ИТ.САВЗ.Г2.ПЗ, ИТ.САВ3.А2.ПЗ, кроме Symantec Endpoint
Security 12, который сертифицирован на соответствие РД НДВ по 4 уровню
контроля и ТУ, а значит не соответствует требованиям ФСТЭК (приказ №21).
Исходя из этого далее будем рассматривать оставшиеся два продукта от компаний
Kaspersky Lab и Dr.Web.
В ходе анализа функциональных возможностей комплексов, а также их
производительности и совместимости с ПО, установленным на АРМ и серверах
Организации учитывались результаты тестов, опубликованных в сети Internet и
пилотные испытания на тестовой площадке. Также были учтены ценовой фактор и
политика лицензирования.
По результатам проведённого анализа было принято решение о закупке
комплекса САВЗ Dr.Web Enterprise Security Suite 10 имеющий в своём составе
следующие компоненты защиты:
классический файловый сигнатурный антивирус (включая эвристические
методы обнаружения неизвестных модификаций угроз);
персональный брандмауэр на уровне рабочей станции;
система предотвращения вторжений на уровне рабочей станции (Hosted
Intrusion Prevention System — HIPS);
песочница для обнаружения неизвестных и сложных вредоносных
программ;
репутационные технологии для проверки файлов, URL и электронных
писем;
контроль приложений (запускаемых на рабочей станции);
антируткит (обнаружение скрытых угроз);
80
проверка электронной почты на рабочей станции (антивирус, антиспам,
антифишинг);
веб-антивирус (проверка передаваемого трафика HTTP и скачиваемых
файлов);
IM-антивирус (проверка передаваемых файлов через мессенджеры);
контроль внешних устройств, подключаемых к рабочей станции;
возможности централизованного управления. Поддерживаемые
платформы (тип платформы рабочей станции, на которой может быть развернут
продукт).
Указанные компоненты покрывают 90% угроз, связанных с НСД к
защищаемой информации.
2. Выбор пограничного межсетевого экрана.
При выборе межсетевого экранам обратимся к Информационному
сообщению ФСТЭК об утверждении требований к МЭ, где указано, что для
обеспечения 3 и 4 уровня защищённости ПДн необходимо использовать
межсетевой экран уровня сети (тип «А») соответствующий 5 классу защиты.
Одними из наиболее оптимальных программно-аппаратных средств
межсетевого экранирования, имеющих сертификаты ФСТЭК и ФСБ на
сегодняшний день являются продукты компании Cisco:
Cisco ASA5505-K8;
Cisco ASA5510-K8;
Cisco ASA5540-K8;
Cisco PIX-515E.
Cisco ASA 5500 Series обеспечивает наиболее качественный класс защиты
сетей, отличается хорошим показателем надежности и высокой функциональности.
Выбор модели определяется активной нагрузкой на межсетевой экран,
необходимым количеством сетевых интерфейсов, возможностью встраивания
модулей обнаружения вторжений, а также других уникальных возможностей
модели.
При выборе конкретной модели оборудования учитывался ценовой
показатель, а также сертификацию ФСТЭК на соответствие требованиям к МЭ для
обеспечения 4 уровня защищённости ПДн. В результате проведённого анализа
81
была выбрана модель Cisco ASA 5550. Выбранный продукт обеспечивает
проактивную защиту от атак, контролировать сетевую активность и обеспечивать
гибкое подключение при помощи технологии виртуальных частных сетей, а также
реализует защищённый VPN доступ к корпоративной сети Организации из сети
Интернет с использованием надёжных алгоритмов шифрования и двухфакторной
аутентификации. Также следует отметить, что программно-аппаратный МЭ Cisco
ASA 5500- X сертифицирован ФСТЭК по 4 классу для МЭ при ограничениях ТУ
(может использоваться для защиты информации в ИСПДн до 2 класса
включительно).
Программно-аппаратные экраны дополняются персональными межсетевыми
экранами (ПМЭ), которые применяются в процессе взаимодействия рабочих
машин пользователей информационной системы со смежными системами в
локальных вычислительных сетях.
На АРМ и серверах организации планируется внедрение ПМЭ в составе
комплексного решения Dr.Web Enterprise Security Suite 10.
Подведем итог.
В результате проведённых исследований рынка СЗИ были выбраны
сертифицированные СЗИ.
Для замены межсетевого экрана на физической границе ИС (тип «А»)
Организации был выбран программно-аппаратный МЭ Cisco ASA 5550, имеющий
сертификацию ФСТЭК по 4 классу для МЭ при ограничениях ТУ (может
использоваться для защиты информации в ИСПДн до 2 класса включительно).
В качестве замены антивирусного ПО было выбрано комплексное решение
от компании Dr.Web - Dr.Web Enterprise Security Suite 10, имеющий в своём составе
компоненты защиты от угроз НСД, а также модуль защиты почты, Web-браузера и
встроенный персональный межсетевой экран.
Стоит отметить, что предлагаемые меры минимизируют риски реализации
актуальных угроз безопасности ПДн Организации, а также соответствуют
требованиям законодательства в области защиты персональных данных.
82
2.5. Контрольный пример реализации проекта и его описание
Модуль программы создан для учёта документации и отчетности. Для этого
в базе данных собраны сведения, по всем направлениям работы включая сведения
по сотрудникам, клиентам, курсам, расписанию занятий и договорам.
Работа с программой заключается в выборе необходимого модуля,
просмотра сведений, работы с данными и печати данных. Все данные обновляются
автоматически при добавлении или изменении информации в базе данных.
При запуске «СЭМЗ» запускается окно работы (рис. 35).
Рисунок 35 – Окно программы
Для работы с программой необходимо выбрать пункт на панели меню (рис.
36).
83
Рисунок 36 – Окно программы
Рассмотрим все справочники для работы с программой. Первым
справочником является «Клиенты» (рис. 37).
Рисунок 37 – Справочник «Клиенты»
Для добавления нового клиента необходимо в меню нажать кнопку
«Добавить» (рис. 38).
84
Рисунок 38 – Справочник «Клиенты» добавление
После внесения данных проверяем их наличии в форме (рис. 39).
Рисунок 39 – Справочник «Клиенты» добавление
Все остальные справочники заполняются аналогично.
Для записи на курс клиента и формирования договора необходимо выбрать
курс и заполнить данные договора (рис. 40, 41).
85
Рисунок 40 – Справочник «Курсы»
Рисунок 41 – Справочник «Договора»
Для добавления нового договора необходимо открыть форму добавления и
заполнить новые данные (рис. 42).
86
Рисунок 42 – Форма «Новый договор»
После добавления данных они отображаются в форме (рис. 43).
Рисунок 43 – Форма «Новый договор»
И в общей форме договоров (рис. 44).