28
защиты целостности и секретности информации и процессов выдачи
результатов расчетов конечному пользователю и т.д.
Исходя из описанных недостатков, необходимо осуществить расчёт
планируемого эффекта.
1.2.4 Анализ системы обеспечения информационной безопасности
и защиты информации
Существует косвенные и прямые каналы утечки информации.
Косвенные каналы утечки информации
Ниже приведем примеры косвенных каналов утечки информации:
- использование подслушивающих устройств (радио, электронные);
-дистанционное видеонаблюдение, фотографирование, прослушивание;
- перехват побочных электронных волн;
- кража или утеря носителей информации.
Прямые (непосредственные) каналы утечки информации
Теперь опишем примеры прямых каналов утечки:
- Утечка информации вследствие несоблюдения коммерческой тайны;
- Прямое копирование;
- Маскировка под пользователей КС;
- Разграничение доступа.
Основные утечки информации:
Интернет, Интранет, Электронная почта.
Съёмные носители – это cd диски, дискеты в которых можно хранить и
передавать информацию. Защита компьютера с помощью антивирусных
программ и программ безопасной работы в интернете. Для этого:
· Безотлагательно установить Антивирус;
· Регулярно обновлять сигнатуры угроз, входящие в состав программы.
Обновление можно проводить несколько раз в день при возникновении
29
вирусных эпидемий - в таких ситуациях новые сигнатуры угроз на находятся
серверах обновлений;
Задать рекомендуемые экспертами параметры защиты вашего
компьютера. Постоянная защита начинает действовать сразу после
включения компьютера и затрудняет вирусам проникновение на компьютер;
Задать рекомендуемые экспертами параметры для полной проверки
компьютера и запланируйте ее выполнение не реже одного раза в неделю.
Регулярно просматривать список установленных программ на
компьютере:
Для этого можно воспользоваться пунктом Установка/удаление
программ в Панели инструментов или просто просмотреть содержимое
каталога Program Files, каталога автозагрузки. Таким образом, можно
обнаружить программное обеспечение, которое было установлено на
компьютер без нашего ведома.
По результатам анализа компании политики безопасности
(нормативно-правовые и организационно-распорядительные документы,
регламенты, процедуры, должностные инструкции, можно выявить такие
средства:
· политика управления доступом;
· политика использования паролей;
· политика определения уровня конфиденциальности информации;
· политика передачи информации третьим лицам и организациям;
· политика использования Интернета;
· политика использования электронной почты;
· политика резервного копирования;
Эти документы, в совокупности с организационно-распорядительными
документами (приказами и распоряжениями по организации), полностью и
30
четко определяют разделение обязанностей и ответственности персонала за
обеспечение ИБ.
Из должностных инструкций складывается, что специалист по ИБ
обязан:
Выполнять мероприятия по обеспечению безопасности в
информационной системе Компании.
Реализовывать принятые Руководством Компании решения по
обеспечению информационной безопасности.
Определять возможные угрозы безопасности информации,
осуществлять поиск уязвимостей программного и аппаратного обеспечения.
Использовать технологии обнаружения не санкционированного
доступа или предотвращения уничтожению информации и ресурсов.
Осуществлять внедрение технических и программных средств защиты.
Разрабатывать процедуры защиты коммуникационного оборудования,
систем хранения данных, персональных компьютеров и серверов Компании.
Проводить проверки эффективности действий и работоспособности,
также разрабатывать предложения по улучшению эффективности системы.
Контролировать и реагировать на поступающие сигналы о нарушениях
безопасности.
Осуществлять аудит компонентов информационной системы Компании
с целью проверки правильности настроек в области информационной
безопасности, а также соответствия законодательным и нормативным актам
РФ.
Участвовать в принятии решений внедрении и совершенствовании
компонентов ИС в целях ИБ.
Взаимодействовать с сотрудниками Отдела информационных
технологий и Отдела информационной безопасности с целью повышения
уровня информационной безопасности Компании, совместном
незамедлительном реагировании на всевозможные угрозы и риски
31
защищаемой информации и активов Компании, совместных действиях и
принятии решения в кризисных ситуациях
Взаимодействовать со сторонними компаниями по вопросам,
связанным с обеспечением информационной безопасности Компании,
осуществлять поиск поставщиков для закупки оборудования, подготавливать
к заключению и вести договора с поставщиками программных и аппаратных
средств.
Проинформировать руководство в случае найденных уязвимостей в
предприятие.
Изучать и следить за изменениями законодательных и нормативных
актов РФ.
Следить за сохранением тайны предприятия и конфиденциальной
информации клиентов и сотрудников.
Производить внутренний контроль в целях противодействия финансово
терроризма.
Выполнять требования руководства.
1.3 Анализ существующих разработок и выбор стратегии
автоматизации «КАК ДОЛЖНО БЫТЬ»
1.3.1 Анализ существующих разработок для автоматизации задачи
В данный промежуток времени существует множество программных
обеспечений от разных разработчиков разных стран, которые помогают
автоматизировать IT процессы в компаниях где это действительно
необходимо. Автоматизированные ИС помогаю компаниям уменьшить
нагрузку на персонал и обеспечить более быструю его работу. Для
автоматизации существует много классов для нас же подойдёт класс CRM.
CRM Класс подойдёт для работы с клиентами, продажа билетов.
Компания, планирующая внедрение CRM-системы, ориентируется, таким
образом, на решение приоритетной задачи — повышение эффективности
32
бизнес-процессов, сосредоточенных на клиенте, которому обеспечивается
персональное обслуживание.
Итак, основными критериями при выборе технологии решения задачи
будут следующие условия: Контроль обработки оформления билета,
сокращение времени на обработку билета.
Рассмотрим существующие разработки по управлению продажи
билетов.
Один из них это HP OpenView AssetCenter.
Система HP OpenView AssetCenter представляет собой решение для
управления жизненным циклом корпоративных ИТ-активов, подкрепленное
самой современной методологией, призванной упростить эксплуатацию
системы и формирование вспомогательных процессов. Она помогает
компаниям предоставлять высококачественные, экономически эффективные
услуги и уже почти два десятилетия применяется для улучшения
обслуживания и оптимизации стоимости активов, для снижения рисков,
связанных с безопасностью и соблюдением стандартов раскрытия
информации, а также для приведения работы ИТ-служб в соответствие с
коммерческими целями компаний. Система OpenView AssetCenter состоит из
нескольких ключевых модулей и обеспечивает ИТ-службам одно из самых
универсальных решений для автоматизации и жесткого контроля всех
капиталовложений компании в ИТ. Она служит основой организации работы
для компаний, которые хотят создавать дополнительную стоимость за счет
автоматизации процессов управления активами. Система выходит за рамки
обычного отслеживания движения активов, предлагая всеобъемлющий и
полностью интегрированный набор приложений для управления всем
жизненным циклом ИТ-активов.
Ещё одним экземпляром является System Center Operations Manager
(SCOM) (ранее Microsoft Operations Manager, MOM) — программа компании
Microsoft для управления и мониторинга ИТ-сервисов, приложений, серверов
33
в гетерогенной среде Windows, UNIX и Linux. Этот продукт способен
консолидировать информацию о функционировании различных компонентов
ИТ-инфраструктуры, обеспечивая её обобщенное представление в единой
консоли.
И последний кандидат IBM Tivoli — кроссплатформенное ИС для
управления информационными ресурсами в следующих областях:
оперативный мониторинг (например, какие серверы или какое активное
сетевое оборудование в данный момент работает или не работает), основные
продукты: Monitoring, Network Manager, Composite Application Manager;
мониторинг производительности (например, на сколько процентов
загружены вычислительные мощности — позволяет планировать развитие
инфраструктуры и предотвращать сбои, вызванные избыточной нагрузкой),
основные продукты: Monitoring, Composite Application Manager,
Netcool/Proviso; управление рабочими станциями (инвентаризация рабочих
станций, управление программным обеспечением на рабочих станциях,
управление уровнем обновлений операционных систем рабочих станций),
продукты семейства Provisioning Manager; управление идентификационными
данными сотрудников предприятия и управление доступом (системы
однократного ввода логина/пароля, системы управления доступа к
информационным ресурсам на основе учетной записи — логина, системы
управления учетными записями, соответствие информационных ресурсов
корпоративным политикам безопасности), основные продукты Identity
Manager, семейство Access Manager, Security Compliance Manager;
управление системами хранения (ленточными библиотеками, дисковыми
массивами), продукты Storage Manager, Productivity Center, Storage Volume
Control; управление активами предприятия (EAM), продукты семейства
Maximo; мониторинг бизнес-процессов предприятия (корреляция состояния
информационных ресурсов, решающих одну бизнес задачу, например,
корпоративная почта, автоматизированная система обслуживания
34
банкоматов), мониторы для руководителей ИТ-отделов предприятий,
продукты Business Service Manager.
Сравнительный анализ ИС
Первая характеристика — это интерфейс у HP OpenView AssetCente
интуитивно понятный, лишний функционал отключается. У System Center
Operations Manager он также интуитивно понятен, лишний функционал также
отключается. У IBM Tivoli интуитивно понятный, отсутствует
дополнительный функционал.
Вторая характеристика — это Кросс Платформенность у HP OpenView
AssetCente и IBM Tivoli присутствует, у System Center Operations Manager
отсутствует.
Третья характеристика — это возможность доработки своими силами, у
HP OpenView AssetCente существует свой API, также есть возможность
подключать дополнительные модули. У System Center Operations Manager
отсутствует, следует использовать технологии ASP.net. У IBM Tivoli
Отсутствует.
Исходя из критериев, к целям автоматизации нами был куплен и
используется на данный момент ИС HP OpenView AssetCente. А также
подключены некоторые модули.
1.3.2 Выбор и обоснование стратегии автоматизации задачи
Выбор стратегии автоматизации — это выбор способа и действий
внедрения в ИС.
Существует всего четыре стратегии автоматизации: Хаотичная;
Комплексная; По участкам; По направлению;
35
Хаотичная стратегия не подходит нам по причине что хаотичная
стратегия не подразумевает использование ИС в долгосрочно варианте, а
также не имеет возможности для расширения в бедующем нашей системы.
Комплексная стратегия подразумевает перед собой полное
автоматизирования деятельности предприятия что не совсем нужно нам.
Автоматизация по участкам предполагает, автоматизацию отдельных
отделов компании, в данном случае предполагается автоматизация не всех
процессов, выполняемых каким-либо из отделов компании.
Способ автоматизации по направлению, наиболее подходящий, так как
в данном случае происходит автоматизация отдельных групп бизнес-
процессов компании. Разработка стратегии автоматизации.
Стратегия автоматизации по направлению лучше всего подходит в
данном дипломном проекте, потому что в нашем случае мы автоматизируем
деятельность одного направления, обработки и продажи билетов. Тем самым
это не будет препятствовать работе другим бизнес процессов. Совершив
автоматизацию данного процесса, мы совершим сокращения нагрузки на
сотрудников касс.
1.3.3 Выбор и обоснование способа приобретения ИС для
автоматизации комплекса задач
Покупка + доработка была выбрана так как на данный момент
используемая внедрена не самым лучшим образом и основной процесс
регистрации и обработки заявок недостаточно автоматизирован.
Преимуществом данного решения будет возможность без остановки
работы других бизнес процессов во время доработки ИС, и возможность
строгого соответствия при доработке функционала, и возможность
остановить разработку и проанализировать все найденные недочёты в
проекте. И также в случае ограниченности бюджета этот вариант способа
36
приобретения ИС подойдёт нам.
1.4 Обоснование проектных решений
1.4.1. Обоснование проектных решений по информационному
обеспечению
37
Информационное обеспечение (ИО) включает в себя: Систему
классификации и кодирования;
Систему унифицированной документации, используемой в ИО;
Информационную базу.
Классификатор — это свод наименований и признаков, объектов,
кодовых унификаций. Классификаторы нужны для описания данных.
Существуют три группы. Это общегосударственные, отраслевые, и
локальные.
Разрабатываемая автоматизированная система будет использоваться в
организации, в которой, существует сформированный документооборот, где
все входные и выходные документы имеют установленные формы.
Работа с информацией будет происходить посредством экранных форм,
то есть будут спроектированы экранные формы для хранения переменной,
условно-постоянной информации (данные о поезде, местах в составе,
пассажирах) и реквизитов документов, хранящихся в бумажном виде.
В данном дипломном проекте будет использоваться
общегосударственный классификатор, так как никаких других
классификаторов РФ в системе не используется.
Далее будет обоснован способ организации информационной базы.
Основными способами организации баз данных является создание
централизованных и распределенных баз данных.
Системы централизованных баз данных с сетевым доступом
предполагают архитектуры: файл-сервер и клиент-сервер
Файл-сервер. В данном случае сервер, на котором лежит база данных,
является исключительно хранилищем и не обладает каким-либо
функционалом, позволяющим производить математические и/или логические
вычисления.
Клиент-сервер. При использовании данной архитектуры, на самом
сервере, содержащим базу данных, функционирует некоторое программное
обеспечение, которое называется сервером баз данных.