36
Не автоматизирована и не унифицирована система регистрации
обращений, т.е. имеется несовершенство организации сбора и регистрации исходной
информации.
Низкая точность и оперативность обработки большого объема данных,
необходимых для управления процессом обработки обращений.
Не эффективная система управления приемом посетителей, низкая
оперативность.
Отсутствие точной статистики регистрации обращений (в журналах
недостаточно полей и вследствие ручного заполнения записи не стандартизованы).
Данные в журналах содержат персональную информацию в отношении
застрахованных лиц, поэтому уязвимы с точки зрения несанкционированного
доступа, копирования и подмены.
Схема документооборота представлена на рисунке 1.11.
Действие
Исполнитель
1. Получение
обращения и
прилагаемых
документов
2. Учет
обращения
Исполнитель
Обращение
Отчет
Внутренняя
переписка
(запросы)
Регистратор
клиентской службы
3. Обработка
обращения
Запись в журнале
учета обращений
Руководитель
клиентской службы
4.Отправка
ответа на
обращение
Ответ на
обращение
Отчет
Запись в журнале
учета ответов на
обращения
Отчет
Рисунок 1.11 - Фрагмента схемы документооборота АССП в контексте
работы с обращениями граждан
37
Использование вычислительной техники для решения различных задач в
организации позволяет снизить административные накладные расходы, повысить
производительность труда, рационализировать ведение дел и повысить
эффективность управления.
Экономический эффект от внедрения автоматизированной системы
регистрации обращений граждан достигается за счет следующих оптимизационных
процессов:
1. Сокращение сроков рассмотрения обращений граждан достигается,
во-первых, за счет замены бумажного ведения журналов учёта на
автоматизированное. Сокращается количество ошибок и опечаток в журнале. За счет
подключения различных справочников унифицируются записи. Во-вторых,
появляется возможность выявлять повторные обращения и создавать дубликаты
запросов. В-третьих, появляется возможность автоматически создавать ответы на
бланках организации с использованием шаблонов ответов для типовых случаев
(повторный запрос) также сокращает количество инстанций прохождения
документов. В-четвертых, достигается упрощение и ускорение подготовки отчетов
для руководства. По нашему исследованию, уменьшение среднего времени
регистрации обращения может снижено на 10-20%, а за счет повышения качества
оперативного управления обработкой запросов среднее время ответа на обращение
может сократиться на 15-30%.
2. Повышение информационной безопасности работы с документами,
исключение количества случаев утери документов по обращению за счет
контроля всего жизненного цикла обращения и переписки по нему, применения
программных и технических мер защиты информации.
3. Обеспечение соблюдения норм законодательства Республики
Таджикистан по работе с обращениями граждан и организаций за счет
унификации процессов документооборота, включения в состав автоматизированной
системы модулей, обеспечивающих упрощение контроля сроков исполнения
поручений и резолюций, а также хранение информации по обращениям за любое
количество лет.
4. В более масштабном плане экономический эффект от внедрения
системы регистрации обращений граждан можно обнаружить в повышении
38
качества обслуживания населения, повышении доверия людей к органам
социального обеспечения населения и государственной власти в целом.
1.2.4 Анализ системы обеспечения информационной безопасности и
защиты информации
Для обеспечения информационной безопасности в Агентстве социального
страхования и пенсии при Правительстве Республики Таджикистан разрабатывается
и реализуется политика безопасности, в решении которой принимают участие
практически все структурные подразделения. Это обусловлено следующим:
1. Агентство является социально-значимой организацией, деятельность
которой связана с жизненными интересами значительного числа клиентов (как
физических, так и юридических лиц);
2. В процессе деятельности Агентству становится доступна
конфиденциальная информация: сведения о доходах, счетах и вкладах (банковская
тайна), сведения о застрахованных лицах (персональные данные) и медицинская
информация (врачебная тайна). В случае разглашения, граждане, чьи права
нарушены, вправе потребовать от АССП возмещения причиненного ущерба.
В связи с этим Агентство реализует меры по защите значимой информации в
соответствии с действующими на территории Республики Таджикистан законами,
нормативными документами и нормами эффективности защиты информации [12,
13].
Политика обработки информации в АССП определяет принципы, цели,
условия и способы обработки конфиденциальной и служебной информации,
перечни субъектов и видов обрабатываемых в Агентстве данных, функции
структурных подразделений и должностных лиц при обработке информации, права
субъектов данных, а также реализуемые требования по защите информации. Таким
образом, объектом системы защиты информации является циркулирующая,
обрабатываемая, хранимая и передаваемая в подразделениях АССП служебная и
конфиденциальная, ценная и значимая информация, и поддерживающая ее
инфраструктура. Система защиты информации реализуется комплексом правовых,
режимных, технических, организационных, программно-аппаратных и
криптографических мер [13].
39
Непосредственно ответственным за обеспечение информационной
безопасности является Управление информационных технологий, которое в рамках
своих полномочий решаются вопросы обеспечения информационной безопасности
другими подразделениями, такими как [23]:
1. Правовой отдел.
2. Управление кадров и специальных работ.
3. Управление дел.
Управление информационных технологий вправе:
1. Требовать от всех структурных подразделений и пользователей
соблюдения требований информационной безопасности, предоставления подробной
информации, необходимой для осуществления им своих функций.
2. Осуществлять проверку состояния любых системных и информационных
ресурсов и технологий в АССП, приостанавливать, либо ограничивать, их
функционирование в случаях нарушения требований политики и прочих
руководящих документов по информационной безопасности.
3. Вносить предложения руководству Агентства о прекращении, либо
изменении режима функционирования указанных систем и технологий, а также о
мерах и санкциях в отношении должностных лиц, действия которых подвергают
риску информационную безопасность АССП.
Меры, необходимые и достаточные для обеспечения Агентством выполнения
политики безопасности включают:
принятие ведомственных нормативных актов и инструкций в области
обработки и защиты служебной информации;
организацию обучения и проведение методической работы с работниками
структурных подразделений АССП, занимающими должности, включенные в
перечень должностей, замещение которых предусматривает осуществление
обработки служебной и конфиденциальной информации;
получение согласий граждан на обработку их персональных данных, за
исключением случаев, предусмотренных законодательством Республики
Таджикистан;
обеспечение раздельного хранения служебной информации различных
категорий;
40
хранение материальных носителей с конфиденциальной информацией с
соблюдением условий, обеспечивающих ее сохранность и исключающих
несанкционированный доступ к ней;
- осуществление внутреннего контроля соответствия обработки служебной
информации законам Республики Таджикистан «Об информации» и «О защите
информации».
Стратегические и тактические задачи создания, модернизации и развития
информационных систем, архитектуры безопасности и защитных механизмов
включаются в перспективные, годовые, квартальные или в тематические планы
АССП, согласовываются с заинтересованными подразделениями и утверждаются
Директором Агентства.
В соответствии с разработанной в Агентстве политикой безопасности,
определяются следующие меры защиты:
1. Организационные меры защиты.
Здесь, прежде всего, предусмотрены такие меры, как регламентация функций
администратора информационной безопасности соответствующим положением;
административное и территориальное отделение технических средств и персонала,
задействованных в разработке и отладке программного обеспечения от
технологических процессов обработки конфиденциальной и служебной
информации. Организован учет всех внешних носителей информации,
задействованных в технологических процессах обработки и передачи электронных
документов, в том числе предназначенных для ведения архивов. Состав
используемого программного обеспечения фиксируется в соответствующих
паспортах. Установлены правила доступа на объекты, в помещения, в
информационные системы. Для этого применяются сертифицированные и
централизованные системы охраны и управления доступом.
Особое внимание в области организационных мер защиты уделено работе с
персоналом по линии Управления кадров и специальных работ. Речь идет об
ознакомлении с кандидатами на открытые вакансии, их изучение и проверку, а также
обучение персонала требованиям информационной безопасности.
Кроме того, реализован непрерывный мониторинг событий безопасности для
своевременного выявления и пресечения попыток несанкционированного доступа к
41
защищаемой информации, а также контроль эффективности организационных мер
защиты. Одной из систем сбора и анализа событий, применяемых в АССП, является
система GFI Event Manager, позволяющая консолидировать и упорядочивать данные
журналов аудита.
2. Физические меры защиты.
В рамках этого направления предусмотрено наличие штата охранников,
установлен контрольно-пропускной режим в автопарке и на всех входах в здание
Агентства, подразумевающий учет перемещений сотрудников, посетителей,
материальных ценностей и носителей информации, руководителей и т.д. Также
регламентировано оснащение помещений, в которых хранится или обрабатывается
информация ограниченного доступа, средствами предотвращения физического
проникновения - решеток на окнах, металлических дверей и сейфов.
3. Аппаратно-программные и технические меры защиты.
В этой области предусмотрено оснащение рабочих компьютеров сотрудников
сертифицированными средствами защиты от несанкционированного доступа к
ресурсам ПЭВМ, в том числе парольную защиту. Сотрудниками Управления
информационных технологий осуществлено разграничение доступа к компьютерам
клиентской службы Управления делами средствами операционной системы. Это
сделано для создания каждому сотруднику защищенного хранилища данных на
рабочем компьютере. Смена паролей пользователей происходит в зависимости от
категории хранимой и обрабатываемой информации по графику от трех месяцев до
одного года.
Современные автоматизированные системы обработки информации и
управления, в том числе системы электронного документооборота и управления
предприятием представляют собой сложные системы, состоящие из множества
компонентов. Среди этого множества компонентов можно выделить разнообразные
сервера, шлюзы, системное и прикладное программное обеспечение, сетевые
адаптеры, концентраторы, коммутаторы, маршрутизаторы и соединительные
(кабельные) системы, все они являются потенциальными источниками угроз.
Кроме того, широкое использование Интернета и Интернет-технологий
(облачные технологии, Web 2.0) привело к качественному изменению
вычислительных сетей, что значительно увеличивает области применения
42
Интернета, в месте с тем создает дополнительные угрозы информационной
безопасности связанные с широким использованием Интернет - технологий, в том
числе угрозы несанкционированного доступа, утечки информации
конфиденциального характера и так далее.
Разграничение доступа для сетевых сервисов реализуется на трёх уровнях
стека TCP/IP - канальном, сетевом и прикладном. На канальном уровне
разграничение доступа осуществляется на основе виртуальных локальных сетей
VLAN (Virtual Local Area Network), на которые разделяется сеть Управления АССП.
Деление на такие виртуальные сети производится при помощи настроек
коммутаторов, в которых каждый физический порт включается в определённую
виртуальную сеть. Хосты могут свободно обмениваться данными друг с другом в
рамках одной виртуальной сети, а управление взаимодействием между различными
виртуальными сетями осуществляется посредством списков контроля доступа ACL
(Access Control List). В этих списках определяются правила, в соответствии с
которыми разрешается или запрещается информационный обмен между разными
сетями VLAN.
Разграничение доступа на прикладном уровне реализуется средствами
прикладного программного обеспечения, установленного на серверах сети
Агентства, которое обеспечивает идентификацию и аутентификацию
администратора и некоторых пользователей портала и назначает им
соответствующие права доступа к файловым ресурсам.
Кроме программных средств защиты информации применяются и
технические, например, модем-роутер, установленный для создания сети, оснащен
дополнительным программным обеспечением осуществляющим обнаружение
потенциальных угроз.
Для осуществления информационной безопасности на рабочих местах
пользователей используются различное антивирусное программное обеспечение.
Обновление антивирусных баз происходит своевременно, что позволяет свести к
минимуму заражение вирусами рабочие станции.
Совокупность основных мероприятий по обеспечению информационной
безопасности в АССП и их параметры приведены в таблице 1.4.
43
Таблица № 1.4
Основные мероприятия по обеспечению безопасности в Управлении АССП
Мероприятие
Содержание
Затраты, сом.
Разграничение
доступа
При помощи средств защиты, входящих в эту
подсистему, сеть АССП подразделяется на четыре
функциональных сегмента:
сегмент демилитаризованной зоны;
сегмент служебных серверов
сегмент управления
коммуникационный сегмент.
Разграничение доступа реализуется подсистемой на
трёх уровнях стека TCP/IP - канальном, сетевом и
прикладном.
300 - 700
Антивирусная
защита
Обеспечивает выявление и удаление
информационных вирусов, которые могут
присутствовать в ресурсах сети АССП. Подсистема
состоит из двух компонентов – модулей-датчиков и
модуля управления антивирусными датчиками.
100 – 300
в год
Обнаружение
вторжений и анализ
защищенности
Создается одноименная подсистема, целью которой
является выявление сетевых атак, направленных на
информационные ресурсы АССП. Подсистема
включает в себя следующие компоненты:
модули-датчики;
модуль выявления атак;
модуль реагирования на обнаруженные атаки;
модуль хранения данных вторжения.
1400-2300
Криптографическая
защита
Предназначена для обеспечения защищённого
удалённого взаимодействия с компьютерами сети
АССП. Базируется на применении систем
удаленного защищенного доступа
1500 – 2000
Резервирование
данных
Сущность мероприятия заключается во внедрении в
структуру дополнительно параллельно
включенного элемента. Внедрение
дополнительного, резервирующего элемента
позволяет повысить надежность системы в два раза.
300-700
Защита от
программных сбоев
Дополнительная отладка программных продуктов.
Создание системы непрерывного мониторинга
ситуации.
900-1400
Меры
организационной
безопасности
Постоянное обновление IT-инфраструктуры. Смена
паролей пользователей. Разграничение прав
доступа к ресурсам. Мониторинг активности
сотрудников Агентства.
1400-1500 в
квартал
1.3 Анализ существующих разработок и выбор стратегии
автоматизации «КАК ДОЛЖНО БЫТЬ»
1.3.1 Анализ существующих разработок для автоматизации задачи
44
При существующей технологии решения задачи регистрации и учета
обращений граждан в клиентской службе используются возможности штатного
программного обеспечения, а именно менеджер электронных таблиц Excel из пакета
Microsoft Office. Фактически, сотрудники кадровой службы дублируют записи
бумажных журналов в электронные таблицы аналогичного формата. Такое решение
позволяет объединять информацию из различных журналов в один файл, который
затем предоставляется руководству клиентской службы. С другой стороны, данная
технология не устраняет недостатки бумажной технологии, но дополнительно
усложняет процессы документооборота и серьезно снижает уровень
информационной безопасности.
В настоящее время на рынке программного обеспечения представлено
значительное количество предложений, которые по своим характеристикам в целом
удовлетворяют стоящим перед проектом требованиям. При этом, однако, они не
локализованы под таджикский язык. А во-вторых, разработаны под
законодательство Российской Федерации, а не Республики Таджикистан. Тем не
менее, рассмотрим несколько примеров программных продуктов.
Учет обращений граждан и организаций (Разработчик – GalkaSoft,
www.galkasoft.ru). Программа предназначена для учета данных по обращениям
граждан и организаций, а также для хранения и обработки данных о рассмотрении
этих обращений. Она может быть легко перенастроена под условия любой
организации. Программа допускает изменение количества и названий некоторых
полей в картотеке.
Данная программа позволяет автоматизировать учет обращений граждан и
организаций. Она дает возможность не только быстро получить информацию по
конкретному обращению, но также сформировать отчет по результатам обработки
обращений за определенный период времени.
Программа проста в обращении и подходит даже для неподготовленных
пользователей. Сотрудник, знающий основы делопроизводства, может быстро
освоить работу с программой. Программный продукт не требует
специализированного обучения, что решает проблему необходимости переобучения
сотрудников в случае кадровых перестановок, рисунок 1.12.
45
Особое внимание при разработке программы было уделено сохранности
данных. Высокая степень надежности программы и регулярное автоматическое
резервное копирование данных позволяют отказаться от бумажного
делопроизводства и существенно облегчить работу по учету и обработке
информации.
Рисунок 1.12 - Экранная форма окна программы «Учет обращений граждан и
организаций»
В программе применяется собственная система персонализации
пользователей. Она дает возможность гибко назначать права пользователям на
отдельные операции, а также разграничивать группы пользователей и назначать
права сразу всей группе. Кроме того, все действия, производимые с обращениями,
могут автоматически вноситься в базу данных с отметкой об авторе и дате внесения
изменения в обращение.
Программа работает под управлением операционных систем Windows 98,
Windows ME, Windows 2000 или Windows XP. Для формирования отчетов и списков
требуется установить Microsoft Excel 97/2000 или более позднюю версию.
Программа хранит всю информацию в базе данных Access, что минимизирует
требования к оборудованию. Возможна настройка программы под Microsoft SQL.
Данная программа является условно-бесплатной (Shareware). Период оценки
программы 30 дней.