67
описание работ на разных стадиях и этапах разработки АС. Стандарт CDM
рассчитан на использование в проектах с применением Oracle технологий,
который в данном проекте не используются. Стандарт MSF, как было ранее
сказано, в большей степени ориентирован на разработку бизнес-приложений.
Стандарт XP ориентирован на командную работу. В данном проекте будет
использоваться ГОСТ 34.601-90, так как он содержит описание работ на каждом
этапе разработки АС.
Стадии создания ИС.
1. Формирование требований к системе,
2. Разработка концепции,
3. Техническое задание,
4. Технический проект,
5. Оформление документации,
6. Внедрение.
На стадии «Выведение требований к системе» делаются следующие
работы:
• Обследуется объект;
• Формируются требования пользователя;
• Обосновывается необходимость разработки.
В данном этапе задействованы следующие участники: IT-менеджер,
начальник отдела производства. После реализации всех задач составляет ся отчет
о проделанной работе – описание объекта автоматизации, требований к системе,
выражение затрат на создание, введение в эксплуатацию и поддержку,
ожидаемый эффект от внедрения и требуемые условия для нормальной работы
системы.
После выполнения этапа «Выведение требований к системе» создается
вариант концепции. Разрабатывают несколько вариантов концепции и плана
реализации, оценивают ресурсы, необходимые на реализацию ИС и ее
нормальную работу, оценивают недостатки и достоинства каждого метода,
68
сопоставляют требования пользователей и функциональности возможной
системы.
На этапе «Создание концепции» участвует только IT-менеджер. После
того, как работа выполнена, выбирается наиболее удачный из всех подходящих
вариантов, который полностью удовлетворяет всем требованиям.
После этапа «Создание концепции» составляется ТЗ проекта
автоматизации. По его завершению важно его утвердить и согласовать. На
данном этапе участвуют: IT-менеджер и начальник отдела делопроизводства. По
итогам данный пункт может определять - функции ИС и подсистем, состав
отдельных и комплексных задач, концепцию информационной базы, состав
системы управления БД, функции и параметры программных средств.
После утверждения ТЗ идет разработка проектного решения. ITменеджер
и программист разрабатывают логическую и физическую модель БД, а также
определяют общую организацию данных.
После завершения этапа «Составление технического проекта» IT-
менеджер и программист оформляют рабочую документацию, которая
включает: технические и программные требования, руководство пользователя.
После завершения всех работ и написания документации остаётся только
внедрить систему.
Этап внедрения включает в себя: подготовку объекта автоматизации,
обучение сотрудников, проведение строительно–монтажных работ,
пусконаладочных работ, проведение испытаний, опытная эксплуатация и
приемочные испытания. В этом этапе участвуют: IT-менеджер, системный
администратор, начальник делопроизводства. После этого происходит анализ
испытаний ИС, проверка на соответствие ТЗ, устраняются неполадки или
подписываются все акты.
На этапе эксплуатации системы производится ее эксплуатация.
Работы, ожидаемые на этапе эксплуатации, можно разделить на две
группы: плановые и неплановые.
69
К плановым работам будут относятся такие работы, как:
• инсталляция программного обеспечения;
• базовая настройка и проверка работоспособности компонентов
устанавливаемой системы;
• устранение недостатков в конфигурации системы;
• проверка надежности работы системы;
• окончательная донастройка.
Данные работы будут проводиться той же группой, что и на ранних этапах.
В состав этой группы входят сотрудники технического отдела — технические
специалисты и системные администраторы, сотрудники ИТ отдела.
Для разрабатываемого проекта наиболее подойдет каскадная модель для
разработки приложения из-за возможности контроля промежуточных фаз.
Далее произведем выбор стратегии внедрения разработанной системы. В
настоящий момент выделяется четыре стратегии внедрения информационной
системы:
• Параллельная стратегия - для случая, когда старую работающую
систему необходимо заменить новой;
• Скачок – эта стратегия подразумевает резкий переход от одной
системы автоматизации к другой;
• Опытная эксплуатация "пилотного проекта — это тактика "скачка",
но применяемая к ограниченному числу изделий, наиболее успешна в малом
участке деятельности;
• Узкое место - при внедрении "узкого места" план внедрения
выполняется только для "узкого места" и для людей, работающих в нем.
Исходя из описания и условий деятельности компании, а также
особенностей разрабатываемой информационной системы, в качестве стратегии
внедрения была выбрана стратегия Опытная эксплуатация пилотного проекта,
так как в этом случае внедрение системы произойдет с наименьшими потерями
для компании.
70
2.1.2 Ожидаемые риски на этапах жизненного цикла и их описание
Проект создания ИС взаимоотношений с клиентами, как и все остальные
проекты по созданию ПО, включает множество неопределенных моментов,
которые могут повлечь за собой риски срыва реализации проекта.
Управление рисками состоит в их раннем выявлении и принятии мер,
которые позволят либо 100% предотвратить их возникновение, либо значительно
уменьшат последствия.
Сегодня существует три общепринятых стратегии управления рисками:
• Избегание рисков – проект строится так, чтобы исключить
возможность появления любого риска;
• Делегирование рисков – проект строится так, чтобы передать все
риски третьей стороне (инвесторам, банкам, заказчикам и т.п.);
• Принятие рисков – риски считаются неизбежной составляющей
проекта, реализуется постоянный мониторинг симптомов их проявления, часто
дорабатывается план действий в случае возникновения рисков.
Модно рассмотреть две базовые категории рисков – прямые и косвенные.
На прямые риски проектная команда еще как-то можно повлиять, а вот
косвенные риски нельзя проконтролировать в принципе.
Риски делят на 2 основных вида:
1) Ресурсные риски:
• Организация (делала ли компания прежде проекты аналогичной
сложности, есть ли формальный процесс создания ПО и т.п.);
• Финансирование (обеспечено ли на 100% финансирование проекта,
утверждена ли стоимость проекта или она все еще предмет для обсуждений,
точно ли проведена оценка затрат и т.п.);
• Персонал (хватает ли людей для выполнения проекта, имеют ли они
нужные навыки и опыт, случалось ли им раньше работать вместе и т.п.);
71
• Время (актуален ли план проекта, как критична установленная дата
завершения проекта и т.п.);
• Бизнес (что будет, если конкурент выйдет на рынок быстрее, выгода,
полученная от осуществления проекта больше, чем затраты на него, что
случится, если ключевые поставщики в силах будут выполнить свои
обязательства и т.п.);
2) Технические риски:
• Область действия проекта (могут ли меняться критерии правильного
завершения проекта, требования понятны и стабильны, область действия четко
фиксирована или будет расширяться в будущем и т.п.);
• Технологии (применялась ли используемая технология раньше или
она только что разработана, есть ли необычные или инновационные технические
решения, с которыми проектная команда раньше не могла сталкиваться и т.п.);
• Внешние зависимости (зависит ли проект от выполнения других
проектов, зависит ли успех проекта от сторонних продуктов или поставщиков и
т.п.).
В данном проекте можно выделить следующие основные риски на каждом
этапе жизненного цикла (таблица 2.1).
Таблица 2.1
Основные риски на этапах жизненного цикла
информационной системы
Этап
Риск
Мероприятия
72
Проектирование
- неправильное
определение рамок и
масштабов проекта;
- проектирование
ошибочных функций и
интерфейсов будущей
системы;
- выбор неправильных
технологий и методов
решения поставленных
задач;
- несоблюдение требований
заказчика при
проектирование будущей
системы или постоянное
изменение требований.
- обеспечение стабильности
границ проекта, определенных
на начальном этапе, вплоть до
окончания проекта;
- качественное планирование
работ;
- своевременная
идентификация проектных
рисков и разработка
рекомендаций по снижению
рисков;
- обеспечение проекта
необходимыми ресурсами;
- обязательное утверждение и
согласование по проектным
решениям
Разработка
Недостаточно ресурсов для
выполнения комплексного и
нагрузочного тестирования
Заключить договор со
специализированной
организацией на выполнение
ею этих работ.
Недостаточно опыта у
персонала заказчика,
который будет
эксплуатировать систему
Предоставить заказчику
услуги собственного
специалиста для
первоначального
сопровождения системы и
постепенного обучения
персонала заказчика.
Внедрение
- увеличение нагрузки на
персонал;
- несогласованность
действий персонала
исполнителя и сотрудников
предметных областей
- проведение обучения
персонала заказчика работы с
системой;
- составление плана
внедрения ИС
Кроме того, в процессе эксплуатации и сопровождения разработанной ИС
могут возникнуть:
• технические риски;
• риски персонала.
Причинами технических рисков становятся:
• Использование вредоносных программ (логические бомбы, вирусы,
трояны, черви, шифровальщики), активированные в корыстных целях внутри
найденных ошибок (дыр) в ПО,
• Перехват данных по сетям связи, воровство данных;
73
• Неправильная эксплуатация оборудования;
• Проблемы в работе третьего лица (к примеру, провайдера Интернет-
услуг), что влечет за собой недоступность передачи отчетов из филиалов и
контроля работы филиалов;
• Расхождение функциональных возможностей системы текущим
бизнес-процессам в комплекс задач ввиду проведенных реорганизационных
изменений.
Минимизировать данные обстоятельства можно, соблюдая некоторые
моменты:
• Подробное тестирование и выявление ошибок на этапе создания
проекта;
• Устранение всех недочетов и ошибок в минимальные сроки силами
прошедших подготовку на этапе внедрения технических специалистов;
• Сам администратор сети обязан следить за безопасностью данных,
применять и вовремя обновлять антивирусное ПО, грамотно настроить FireWall,
разделяющий локальную и внешнюю сеть, давать работникам компании
возможность работы только с той информацией, которая им нужна для
реализации своих служебных обязанностей;
• Разделение клиентского и серверного оборудования, а также
привлечение обученного работе с системой опытного персонала;
• Доступность альтернативных средств выхода в Интернет или
наличие других способов отправки информации;
• Запись и фиксирование всех технических условий, и их утверждение
со всеми основными участниками проекта;
• Обязательное утверждение проведенных изменений.
Факторами реализации риска персонала становится такие обстоятельства,
как:
74
• Нарушение режима ИБ – есть вариант утечки данных из-за
злоумышленных действий сотрудников и не желании взаимодействовать с новой
системой;
• Не отражен этап выхода их проекта представителей заказчика.
В противовес этому выступает:
• Реализация системы поощрений персонала заказчика,
применяющего систему;
• Прием на работу сотрудников при условии сохранения
коммерческой тайны, в противном случае – использование штрафных или иных
санкций;
• Грамотное планирование сроков проекта и момента завершения
работы над проектом со стороны исполнителя.
2.1.3 Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
При эксплуатации разработанной информационной системы для
обеспечения её безопасности от внешних и внутренних угроз используется
комплекс мер по защите информации. В этот комплекс прежде всего входят
средства, позволяющие ограничить доступ пользователей к различным модулям
системы.
Для защиты от внутренних угроз в системе используется политика
разделения прав доступа. Характеристика политики приведена в таблице 2.2.
Таблица 2.2
Разграничение прав пользователей
Группы
пользователе
й
ПМ
Авторизац
ия
ПМ
формирован
ие заявок
ПМ
формирован
ия отчетов
ПМ работы со
справочника
ми
Администрат
ор
Полный
доступ
Полный доступ
Полный доступ
Полный доступ
Сотрудник
отдела оп
работе с
клиентами
Чтение
Чтение
Чтение
Полный
75
В целях защиты информационной системы проводятся следующие
мероприятия:
• обеспечение сетевой безопасности;
• обеспечение локальной безопасности;
• обеспечение физической безопасности.
Для обеспечения сетевой безопасности используются следующие
средства:
• фильтрация трафика;
• ограничение доступа в интернет и во внутреннюю сеть;
• антивирусная фильтрация;
• система обнаружения атак;
• контроль содержания трафика;
• протоколирование и регулярный мониторинг доступа.
Локальная безопасность обеспечивается осуществлением следующих
мероприятий:
• антивирусный контроль;
• аппаратная защита от несанкционированного доступа;
• криптографическая защита данных;
• защита персональным файрволом;
• резервирование данных;
• протоколирование доступа.
Для обеспечения физической информации файрвол, веб-сервер, сервера
IDS и контроля за трафиком и все сервера данных находится в отдельном
помещении, доступ в которое разрешен только администраторам, у которых есть
ключ или магнитная карта к этой комнате (комната закрыта). Помещение
оборудовано принудительной вентиляцией и пожарной защитой
(полуавтоматической). Вход в офис компании должен осуществляться только по
магнитным картам.
76
Все пользователи должны придерживаться установленных процедур
поддержания безопасности при выборе использовании паролей. Они обязаны
соблюдать следующие инструкции:
• Обязательно устанавливать персональные пароли для обеспечения
подотчётности;
• Хранить все пароли в секрете;
• Не записывать пароли на бумаге, если бумажные носители не могут
быть сохранены в надежном месте;
• Менять пароль каждый раз, когда есть указания на возможную
компрометацию системы или паролей;
• Использовать пароли, содержащие не менее 6 знаков;
• Изменять все пароли через регулярные промежутки времени (не
более 180 суток) и не использовать повторного или циклического применения
старых паролей;
• Как можно чаще менять пароли для доступа к системным утилитам
и привилегированным системным ресурсам;
• Всегда изменять временные пароли при входе в систему;
• Не использовать пароли в открытых сценариях автоматического
входа – макросах или функциональных клавишах.
При выборе паролей не рекомендуется использовать:
• Дату рождения;
• Инициалы и регистрационные номера автомобилей;
• Названия и идентификаторы структурных подразделений;
• Номера телефоном и другие группы символов, состоящее из одних
цифр;
• Пользовательские, системные и групповые идентификаторы;
• Более двух одинаковых символом;
• Группы символов, состоящие из одних букв.