28
В результате анализа бизнес-процесса учета и анализа расчетов с
клиентами, которые осуществляются в компании, были выявлены следующие
недостатки текущей организации работы компании:
1. Большие временные затраты на поиск нужной информации в архиве
хранимых оригиналов договоров, счетов на оплату и актов выполненных работ;
2. Замедление работы отдела, связанное с долгим формированием
необходимых документов и отчетов;
3. Влияние фактора ошибок, совершаемых работниками компании при
оформлении документов;
Следствием негативного влияния обозначенных выше факторов на общую
производительность труда в компании является снижение получаемой прибыли.
Таким образом, в настоящее время процесс учета работы с клиентами в
компании налажен неэффективно, что позволяет говорить о необходимости его
автоматизации.
Одним из направлений развития работы с клиентами является
использование сервисов обмена мгновенными сообщениями, что позволяет
более четко реагировать на запросы, поступающие от клиентов.
1.2.3 Обоснования необходимости использования вычислительной
техники для решения задачи
Автоматизация основных производственных процессов обеспечивает
компании существенные конкурентные преимущества, в первую очередь за счет
сокращения временных и человеческих ресурсов, затрачиваемых на выполнение
производственных процессов. Внедрение подобных систем позволяет
минимизировать ошибки и злоупотребления, вызванные человеческим
фактором, уменьшить затраты времени на поиск, сбор, обработку и выдачу
информации, сократить объемы ручной работы, улучшить качество
управленческой и оперативной информации, благодаря чему повышается
обоснованность принятия решений в компании.
Процесс формирования, обработки и выполнения заявки описан в схеме
документооборота, которая представлена на рисунке 1.11.
29
Заявка
Действие
Заявитель
Регистрация заявки
Учет выполнения заявки
Исполнитель
Заявка
Заявка
Сотрудник,
принимающий заявку
Опрос клиента
Проверка
выполнения
Заявка
Закрытие
Распределение заявки
Заявка
Заявка
Получение заявки
Заявка
Исполнитель
Заявка
Рисунок 1.11 Схема документооборота заявки ООО «Вест»
Оценим временные затраты на выполнение повседневных операций
менеджером по продажам при учете продаж услуг(таблица 1.2).
Таблица 1.2
Временные характеристики процессов менеджера по продажам
Наименован
ие действия
Количество
выполняемых
действий за день
Время
выполнения одной
операции, минут
Итого,
минут
Учет клиента
10
5
50
Формирован
ие коммерческого
предложения
10
10
100
Заключение
договора
10
20
200
Контроль
первичных
документов
10
15
150
Подготовка
обобщенных
отчетов
10
5
50
30
Наименован
ие действия
Количество
выполняемых
действий за день
Время
выполнения одной
операции, минут
Итого,
минут
Подсчет
экономических
показателей
10
10
100
Получение
статистической
отчетности за
период (раз в
неделю)
0,14
60
8,4
ИТОГО, минут:
658
В таблице 1.3 приведены планируемые характеристики после
использования разработанной ИС.
Таблица 1.3
Расчет эффекта использования
Наименование
действия
Количество
выполняемых
действий за день
Время
выполнения одной
операции, минут
Итого,
минут
Учет клиента
10
5
50
Формирование
коммерческого
предложения
10
10
50
Заключение
договора
10
2
100
Контроль
первичных
документов
10
15
20
Подготовка
обобщенных отчетов
10
1
150
Подсчет
экономических
показателей
10
1
10
Получение
статистической
отчетности за период
(раз в неделю)
0,14
1
10
ИТОГО, минут:
340
Существующая информационная инфраструктура не позволяет силами
менеджера по продажам консолидировать информацию о работе с клиентами в
оперативные сроки, что соответственно затрудняет процесс анализа продаж.
31
Следовательно, в результате внедрения информационной системы учета
продаж экономия рабочего времени для каждого сотрудника может достигнуть
320 минут ежедневно, что позволяет увеличить эффективность работы
сотрудников компании.
1.2.4 Анализ системы обеспечения информационной безопасности и
защиты информации
В ходе деятельности рассматриваемого предприятия информационная
безопасность обеспечивается по следующим направлениям [5]:
правовая защита включает: Законодательство РФ, собственные
нормативно-правовые документы, в том числе: положение о сохранении
конфиденциальной информации, перечень сведений, составляющих
коммерческую тайну, инструкция о порядке допуска сотрудников к
конфиденциальной информации, положение о делопроизводстве и
документообороте, обязательство сотрудника о неразглашении
конфиденциальной информации, памятка сотруднику о сохранении
коммерческой тайны;
организационная защита включает режимно-административные и
организационные мероприятия. К ним относятся: организация службы
безопасности, организация внутри объектного и пропускного режимов,
организация работы с сотрудниками по неразглашению сведений, составляющих
коммерческую и служебную тайну, организация работы с документами,
организация работы по анализу внешних и внутренних угроз;
инженерно-техническая защита – предусматривает применение
различных технических, электронных и программных средств, предназначенных
для защиты информации[6].
К таким средствам относятся следующие применяемые программные
обеспечения:
Антивирусное программное обеспечение (EsetNod 32);
программные брандмауэры, входящие в состав применяемых
коммутаторов;
32
средства идентификации и аутентификации пользователей (usb-
ключи eToken фирмы Алладин).
Безопасность информации разработанной ЭИС в настоящее время
обеспечивается за счет применения следующих мер[7]:
Использование встроенного брандмауэра в маршрутизаторах, а
также фильтрации по MAC-адресам и аутeнтификации пользоватeлeй;
использованием антивирусного программногообеспечения ;
соблюдением регламента работы с документами в бумажной и
электронной форме;
использованием резервного копирования информации;
использование организационных и кадровых мер.
Для обеспечения комплексной информационной безопасности в ООО
«Вест» используется интегрированная система безопасности «Интегра-С».
Основные задачи системы следующие[8]:
Дистанционное визуальное и электронное наблюдение за
контролируемыми зонами объектов;
фиксирование и долговременное хранение фактов возникновения
нештатных ситуаций на объекте с возможностью дальнейшего просмотра записи
всего хода событий;
комплексное управление системами активной защиты, оповещения
и доступа на территорию объекта;
автоматизация контрольно-пропускного режима;
представление полной и достоверной информации о состоянии
объекта;
управление режимами работы объекта;
передача информации оперативным дежурным на большие
расстояния;
защита от несанкционированного доступа к информации;
контроль и фиксирование действий дежурного персонала.
В политике безопасности предприятия, в частности, определены
требования по работе с паролями и использованию антивирусных средств.
33
Пользователи обязаны соблюдать указанные процедуры поддержания
уровня безопасности при выборе и применении паролей. Они должны следовать
следующим рекомендациям:
1. Создавать персональные пароли для поддержания подотчетности;
2. Сохранять все пароли в секрете;
3. Не пользоваться записанными паролями, даже в случае, если нельзя
хранить их в защищенном месте;
4. Менять пароль в случае, если есть указания на некую
компрометацию систем или паролей;
5. Подбирать пароли, имеющие не менее 6 символов;
6. Менять пароль периодически (не более чем через 180 суток), не
повторяться и не использовать «циклическое» применение старых паролей;
7. Заменять пароли для отдельных важных системных ресурсов, к
примеру, коды доступа к определенным системным утилитам;
8. Менять временные пароли при начальной авторизации в системе;
9. Не сохранять пароли в открытых сценариях автоматического входа
в системы, к примеру, в макросах или отдельных функциональных клавишах.
Выбирая пароль, нельзя применять;
1. День, месяц и год рождения;
2. ФИО, ID, регистрационный номер авто;
3. ID на название рабочего отдела;
4. Телефон или группу символов, которая включает только цифры;
5. ID пользователей, их имена, а также ID групп и другие системные
ID;
6. Много одинаковых символов, которые стоят друг за другом;
7. Символы, включающие только буквы.
Главным средством, которое значительно усложняет кражу учетных
данных, является антивирусная защита.
Пользователям необходимо следовать указанным процедурам
поддержания антивирусной защиты при вводе данных в систему с
подключенных флэш-носителей, применении электронной почты и копировании
данных их глобальной сети.
34
Также не следует отключать работающие на ПК средства антивирусной
защиты и применять внешние флэш-носители без их начальной антивирусной
проверки.
Важно четко следовать следующим рекомендациям:
• Устанавливать только легальное ПО и запретить применение
«пиратских» программ;
• Проводить периодические проверки программ и данных в системах,
имеющих критически важные производственные процессы. Нахождение
неопознанных или случайных файлов и нужно расследовать при помощи
формальных процедур;
• Флэшки и другие внешние носители неизвестного происхождения
нужно проверять на наличие вирусов до момента их активного использования;
• Важно разработать необходимые управленческие процедуры и
обязанности по оперативному реагированию в момент поражения систем
компьютерными вирусами и принятию мер по минимизации последствий от их
реализации. Нужно подготовить надлежащие планы обеспечения постоянной
работы компании даже в случае вирусного заражения, а также планы резервного
копирования и восстановления всех нужных данных и программ.
Антивирусное ПО нужно применять следующим образом:
• ПО для нахождения отдельных вирусов нужно использовать для
проверки компьютеров и носителей данных на наличие отдельных явных
вирусов либо в виде меры предосторожности, либо в качестве повседневной
процедуры;
• ПО для нахождения изменений, внесенных в данные, нужно
установить по мере необходимости на ПК для выявления изменений в
работающих программах.
Вопросы безопасности разработанного сайта делят на 2 большие
категории: внутренние, которые угрожают функционированию проекта и
исходят от самих пользователей, и внешние, которые являются угрозой в первую
очередь для пользователей проекта.
35
Внутренние элементы защиты затрагивают не только потенциальные
уязвимости в коде, которые могут привести к различным видам атак, например,
SQL-инъекциям, XSS и т.п.
Внешние элементы защиты веб-приложения включают такую
особенность, что разработчик не имеет почти никакого доступа к компьютеру
пользователя – чаще всего его область влияния ограничивается браузером.
Поэтому главной задачей является реализация защиты пользователя в случае
воровства данных его активной сессии или получение злоумышленником
доступа к его данным для входа: логина, пароля, кража e-mail и т.п.
Далее будут рассмотрены и предложены решения для различных областей
внутренних и внешних элементов защиты.
SQL-инъекция является самым популярным средством взлома сайтов и
программ, работающих с БД, основанная на внедрении в запрос некого SQL-
запроса.
Внедрение SQL, в рамках применяемой СУБД и условий внедрения дает
шанс атакующему выполнить отдельный запрос к БД (к примеру, прочитать
содержимое всех таблиц, удалить, добавить или скорректировать данные), иметь
доступ для чтения или записи отдельных файлов и реализации произвольных
команд на исходном сервере.
Межсайтовый скриптинг, также известный, как XSS, является
уязвимостью интерактивных ИС в сети. XSS возникает, когда в составляемые
сервером страницы каким-то образом попадают пользовательские скрипты.
Специфика таких атак состоит в том, что вместо самой атаки сервера они
применяют уязвимый сервер для реализации атаки на клиента (подробнее на рис.
8).
Описанные выше XSS атаки являются не единственным способом кражи
данных пользователя. ПК сотрудника может быть заражен вирусом или его
данные могут перехватываться из его сети, с помощью анализатора трафика.
Поэтому нужно как можно сильнее затруднить возможность применения
злоумышленником данных сессии другого пользователя. Известным методом
для защиты от кражи сессионных данных стала проверка на смену IP-адреса в
рамках единой пользовательской сессии. Но, как стало известно, DHCP у
36
поставщиков услуг Интернет-соединения (провайдеров) зачастую настроен так,
что IP-адрес в течение конкретного сеанса связи с Интернетом может меняться
до нескольких раз за час. Да и статический IP-адрес не гарантия того, что
пользователь будет тот же: злоумышленник может быть в той же локальной
сети, что и атакованный.
Как уже упоминалось, инструменты web-разработчика ограничены
стандартными данными, доступными средствами html, так что следующим
шагом в развитии данной системы стала проверка данных, содержащих
информацию о браузере пользователя (UserAgent), а также параметрах его
экрана: разрешении, цветовой схеме и т.п., которые доступны инструментами
JavaScript. Данное изменение позволило более стабильно отслеживать кражи
сессионных данных, ведь изменение браузера или параметров экрана в рамках
одной сессии одним пользователем очень маловероятно.
Совокупность подобных проверок уже сейчас внедрена в базовый
алгоритм инициализации сессии пользователя. Проверка, в случае наличия
MAC-адреса, почти полностью гарантирует безопасность сессионных данных,
однако, даже в случае применения обычного браузера, что происходит зачастую,
проверки стандартных данных чаще всего бывает достаточно.
Далее в данной системе может быть проверка IP-адреса пользователя, в
случае его смены, на неизменность параметров, доступных через WHOIS, таких
как: ID Интернет провайдера, город и т.д.
Стандартным средством определения считаются регистрационные данные
пользователя: имя пользователя и пароль. Если эти данные у пользователя
крадут, то есть риск безвозвратной потери контроля над аккаунтом.
1.3 Анализ существующих разработок и выбор стратегии
автоматизации «КАК ДОЛЖНО БЫТЬ»
1.3.1 Анализ существующих разработок для автоматизации задачи
Рассмотрим некоторые из существующих мессенджеров обмена
мгновенными сообщениями.
37
1. Staply. Мессенджер с проектным функционалом. Позволяет:
составить иерархию групп; создавать задачи, задавать сроки, важность и
ответственность в рабочих группах; осуществлять контроль над группами.
2. Slack. Корпоративный мессенджер с поддержкой интеграции с
десятками сторонних сервисов. Объединяет в одном окне обсуждения в общих
темах (каналах), приватных группах и личных сообщениях. Позволяет
осуществлять видеозвонки; хранить сообщения без доступа к сети.
3. HipChat. Представляет собой групповой чат, видеочат для команд и
компаний с возможностями обмена файлами и демонстрацией экрана.
4. Битрикс24. Система управления внутренним информационным
ресурсом компании для коллективной работы над задачами, проектами и
документами, для эффективных внутренних коммуникаций. Позволяет
контролировать, делегировать, оценивать задачи; создавать резервные копии в
нескольких местах; работать в нескольких комнатах одновременно.
5. Skype. Программное обеспечение с закрытым кодом,
обеспечивающее текстовую, голосовую и видеосвязь через Интернет между
компьютерами.
6. Facebook. Социальная сеть для общения с друзьями, коллегами,
одноклассниками и с теми, кто живет, работает и учится неподалеку.
7. Вконтакте. Универсальное средство для общения, которым
ежедневно пользуются десятки миллионов человек.
8. Telegram. Кроссплатформенный мессенджер для смартфонов и
других устройств, позволяющий обмениваться текстовыми сообщениями и
медиафайлами различных форматов. Поддерживает ботов. Предоставляет:
доступ к смайлам и стикерам; возможность настройки оформления.
9. ICQ. Централизованная служба мгновенного обмена сообщениями
сети Интернет.
На основе функций аналогов и поставленных задач можно выделить
следующие критерии:
• интеграция со сторонними сервисами;
• создание иерархии групп;
• распределение управляющим участников по ролям;