46
технологическими процессами, что улучшает качество решений и влияние на
бизнес.
Модель управления MSF (которую ранее называли моделью процессов
MSF) позволяет быстро получать высококачественные результаты с помощью
проверенного жизненного цикла проекта, определяющего основные действия
по проекту.
Групповая модель MSF позволяет масштабировать проекты,
гарантировать выполнение потребностей заинтересованных лиц и определяет
роли и ответственности на основе целей.
Модель управления MSF (которую ранее называли моделью процессов
MSF) позволяет быстро получать высококачественные результаты с помощью
проверенного жизненного цикла проекта, определяющего основные действия
по проекту.
2.1.2. Ожидаемые риски на этапах жизненного цикла и их описание
В процессе жизненного цикла ИС могут возникать различные риски, в
связи с которыми может быть сорвана разработка. Для их избежания
выполняется оценка вероятных рисков и разрабатываются методы, с помощью
которых можно обойти данные риски или минимизировать их влияние.
Рассмотрим самые распространенные риски по этапам жизненного цикла
ИС в соответствии с выбранным стандартом.
Фаза разработки концепции – возможен риск сознания концепции,
которую в дальнейшем будет сложно и даже невозможно реализовать. В
разработки концепции должно приводиться описание основных функций
разрабатываемой ИС. Главное создать основу, и дальше развивать созданную
систему.
Фаза планирования – на данном этапе планирования возможен риск
допущения ошибок, разработка оптимистичных планов проекта, в которые
организация не успеет уложиться, в результате чего придется повышается
время разработки, что в свою очередь приведет к удорожанию проекта в целом.
47
К фазе планирования необходимо отнестись с особым вниманеи, следить за
каждым этапом и проводить анализ реалистичности результатов.
Фаза разработки – возможен рисок того что разработка какого-либо
модуля будет связана с большими трудностями, что какая-та функция будет
затруднять продвижение разработки. На этом этапе важно своевременно
определить проблемный модуль или задачу и по возможности упростить ее,
заменить другой или вообще убрать из проекта.
Фаза стабилизации – на данном этапе возможен риск выявления
множества ошибок в программном коде, что в свою очередь потребует больших
расходов на доработку и устранения всех обнаруженных ошибок [17].
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Система мероприятий, направленных на защиту информации в
разрабатываемой системе включает в себя несколько аспектов:
защита информации в информационной системе от различных
внутренних угроз;
защита информации от внешних угроз.
Защита от внешних угроз производится посредством применения таких
методов:
применением программно-аппаратных систем;
разработкой и реализацией политик безопасности;
применением защищенных каналов связи при передаче данных;
использованием антивирусных средств;
физической защитой помещений с ценной информацией.
Характеристика применемых средств от внешних угроз информационной
безопасности представлена в таблице 4.
Таблица 4
Характеристика используемых средств от внешних угроз
информационной безопасности
48
Способ (метод)
Описание (наименование средства)
Программно-аппаратные
комплексы защиты
информации
Межсетевой экран TrustAccess
Разработка и соблюдение
политик безопасности
ограничение доступа пользователей к
информации;
анализ и статистика
нарушений
информационной
безопасности;
информационный мониторинг;
распределение
ответственности по
обеспечению
информационной
безопасности;
определение порядка работы с информацией,
являющейся конфиденциальной.
Защита каналов связи
протокол SSH
СЗИ TrustAccess - Сертифицированный распределенный межсетевой
экран высокого класса защиты для управления доступом внутри защищаемой
сети
СЗИ TrustAccess предназначено для решения следующих типовых задач:
Разделение локальной сети на сегменты, обрабатывающие защищаемую
информацию
Разграничение доступа к информационным системам на сетевом уровне
Основные возможности
Аутентификация
В TrustAccess реализован собственный механизм аутентификации,
основанный на протоколе Kerberos, обеспечивающий защиту от
прослушивания, попыток подбора и перехвата паролей
Контроль целостности
Встроенная подсистема контроля целостности TrustAccess обеспечивает
слежение за неизменностью содержимого служебных файлов
Централизованный сбор событий
49
В TrustAccess реализован централизованный сбор и аудит событий
информационной безопасности со всех компьютеров, на которых установлены
компоненты системы
Фильтрация
TrustAccess может ограничивать сетевые соединения на уровне
служебных протоколов, периодов времени, пользователей или их групп,
параметров прикладных протоколов
Централизованное управление
TrustAccess позволяет централизованно управлять учетными записями
абонентов, списком защищаемых компьютеров, а также средствами и
механизмами защиты
Система отчетов
TrustAccess предоставляет наглядные отчеты о происходящих на
защищаемых компьютерах событиях, сетевой активности и конфигурации
системы
Преимущества:
Быстрое развертывание без изменения существующей инфраструктуры
Разграничение доступа в терминальной среде, защита виртуальных
машин
Поддержка ролевого разграничения доступа
Централизованное управление и аудит событий ИБ
Защита ИСПДн и ГИС
Кроме того, TrustAccess, установленный на сегментированные участки
сети, позволяет снизить уровень защищенности ПДн или класс защищенности
ГИС сегментированных участков и, соответственно, сэкономить на защите.
TrustAccess состоит из следующих программных компонентов:
сервер управления TrustAccess – центральная часть,
обеспечивающая взаимодействие всех компонентов TrustAccess, обработку и
хранение данных. Включает в свой состав ПО протокола Kerberos,
применяемое для аутентификации абонентов TrustAccess, а также ПО,
50
используемое для регистрации событий безопасности и хранения
конфигурации TrustAccess. Устанавливается на выделенный сервер
(рекомендуется) или на один из компьютеров сети, функционирующий под
управлением ОС Windows (например, рабочее место администратора
безопасности или защищаемый сервер);
агент межсетевого экрана TrustAccess – предназначен для
аутентификации субъектов доступа и защищаемых объектов, образования
доверенного канала передачи данных и обеспечения функции разграничения
доступа к защищаемым объектам;
АРМ администратора TrustAccess – обеспечивает
централизованное управление механизмами защиты и абонентами.
Устанавливается на рабочее место администратора безопасности;
сервер обработки событий – предназначен для сбора и обработки
данных аудита с агентов и с сервера управления;
сервер построения отчетов – обеспечивает генерацию отчетов на
сервере обработки событий;
Программное обеспечение компонентов TrustAccess работает под
управлением операционных систем семейства Windows.
Программное обеспечение агента межсетевого экрана может быть
установлено на компьютеры сети с доменной архитектурой как локально, так и
дистанционно, с помощью механизма групповых политик Active Directory [18].
Для анализа трафика в компьютерной сети и недопущения сетевых атак
на серверах предприятия предлагается установить систему обнаружения
сетевых атак IDS Snort
Snort является открытой Network Intrusion Detection/Prevention System
(NIDS/NIPS) системой, позволяющей проводить анализ трафика в реальном
времени, а также логинг пакетов в IP сетях. Он позволяет анализировать
протоколы верхних уровней на предмет поиска и соответствия нужного
содержимого и может использоваться для обнаружения различных атак, таких
51
как buffer overflows, stealth port scans, CGI attacks, SMB probes, OS fingerprinting
attempts и других.
Для работы IDS/IPS Snort необходим как можно более мощный сервер с
большим объёмом дискового пространства для хранения базы событий.
Для развертывания Snort нужно установить и настроить несколько
программ:
ОС FreeBSD или MS Windows;
Snort – сам сенсор с детекторами для выявления атак;
Libpcap – сниффер для захвата пакетов;
СУБД MySQL – для хранения БД событий;
PHP – язык разработки для Web;
Apache – web-сервер;
Basic Analysis and Security Engine (BASE) – консоль управления и
просмотра событий (alerts);
Oinkmaster – утилита для обновления сигнатур и некоторые другие.
Также будет необходима настройка коммутатора в локальной сети для
сбора интересного трафика.
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и её описание
Информационная модель - это схема движения входных, промежуточных
и результативных потоков и функций предметной области. К тому же она
объясняет, на ании каких входных документов и какой нормативно-справочной
информации происходит выполнение функций по обработке данных и
формирование конкретных выходных документов. Информационная модель
приведена на рисунке 9.
52
Рисунок 7. Информационная модель системы
В соответствии с приведенной информационной моделью, работа
системы осуществляется следующим образом.
Делопроизводитель системы ведет список объектов строительства,
используя справочник «Объекты строительства» и Список документов изменяя
содержимое таблицы «Документы». Также он изменяет содержимое данной
таблицы, редактируя данные для доступа к системе каждого сотрудника.
Сотрудник регистрирует движение документов, используя справочник
изменяя содержимое таблиц Приием документа, Отправка документа и Архив.
2.2.2. Характеристика нормативно-справочной, входной и оперативной
информации
В системе используются справочники, приведенные в таблице 7.
Таблица 7
Перечень используемых справочников
53
Название
справочника
Ответственный
за ведение
Средний
объём
справочника
в записях
Средняя
частоту
актуализации
Средний
объем
актуализации,
%
Документы
Делопроизводитель
100
1 раз в месяц
20
Вид документа
Делопроизводитель
10
1 раз в год
15
Организации
Делопроизводитель
20
1 раз в год
15
Объекты
строительства
Делопроизводитель
500
1 раз в месяц
25
Ответственные
лица
Делопроизводитель
20
1 раз в месяц
25
Список документов, находящихся в архиве, а также список документов,
находящихся на контроле, отличаются наличием места хранения.
Таблица 8
и Описание в входных на документов
№
пп
Наименова-
ние
Реквизиты
Таблицы, на
основе
которых
формируется
Частота
формирован
ия
1
Прием
Документа
Номер
Дата
Отправитель
Получатель
Объект
Регистрация
Вид документа
Документ
Количество
экземпляров
Одобрен
Вид
документа
Документ
Ответственн
ые лица
Объекты
строительства
Организации
По мере
необходимости
2
Отправка
документа
Номер
Дата
Отправил
Получил
Объект
Вид документа
Документ
Количество
экземпляров
Вид
документа
Документ
Ответственн
ые лица
Объекты
строительства
Организации
По мере
необходимости
3
Архив
Номер
Дата
Объект
Номер папки
Вид документа
Документ
Количество
экземпляров
Вид
документа
Документ
Объекты
строительства
По мере
необходимости
54
2.2.3 Характеристика результатной информации
Экранные и формы в отчетов наописаны но в как таблице 9.
Таблица 9
Описание и выходных в документов
№
пп
Номенклатура
Реквизиты
Таблицы, на
основе
которых
формируется
Частота
формирован
ия
1
Входящие
Номер
Дата
Отправитель
Получатель
Объект
Регистрация
Вид
документа
Документ
Количество
экземпляров
Одобрен
Вид
документа
Документ
Ответственн
ые лица
Объекты
строительства
Организации
Ежемесячно
2
Исходящие
Номер
Дата
Отправил
Получил
Объект
Вид
документа
Документ
Количество
экземпляров
Вид
документа
Документ
Ответственн
ые лица
Объекты
строительства
Организации
Ежемесячно
3
Архив
Номер
Дата
Объект
Номер папки
Вид
документа
Документ
Количество
экземпляров
Вид
документа
Документ
Объекты
строительства
Ежемесячн
2.3. Программное обеспечение задачи
2.3.1. Общие положения (дерево функций и сценарий диалога)
Сценарий диалога очень прост и схож с интерфейсом множества
программных продуктов, с которыми пользователь уже возможно имел дело.
55
Использование структурированного меню и дочерних форм позволит
конечному потребителю приложения наиболее быстро добраться до
необходимой ему задачи.
Работа с информационной системой начинается с главной формы, через
которую можно выйти в нужную подсистему (рисунок 9).
Рисунок 8. Дерево функций информационной системы
В программе представлены следующие справочники:
Объекты строительства
Организации
Вид документа
Документ
Ответственные лица
В справочниках хранится вся информация о документах, объектах
строительства, ответственных дицах.
Отчеты, с помощью которых делопроизводитель владеет полной
информацией о документах,. это: