41
методологии лежит командная работа, четкая коммуникация между
исполнителем и заказчиком в течение всего срока проекта, а сама разработка
реализуется методом последовательной доработки прототипов.
Стандарт ISO/IEC серии 15288.
В стандарте ISO/IEC 12207 нет конкретной модели жизненного цикла и
методик разработки, его характеристики становятся общими для любых моделей
жизненного цикла. Моделью обычно называется структура, позволяющая
выразить последовательность реализации и взаимосвязи процессов, задач и
действий в процессе всего жизненного цикла.
Остановимся на модели Rational Unified Process (RUP), которая предлагает
итеративную модель разработки, включающую четыре фазы: начало,
исследование, построение и внедрение. Она полностью определяет наши
требования и реализует нужный подход.
В связи с небольшим объемом проектных работ, а также характером
проекта выберем каскадную модель для описания жизненного цикла. В
соответствии с этим в него будут входить следующие этапы:
• Формирование требований
• Проектирование
• Реализация
• Тестирование
• Ввод в действие
• Эксплуатация и сопровождение
В качестве стратегии внедрения ИС в ООО «Трейлер Авеню» был выбран
«Пилотный проект».
Пилотный проект – это первый этап внедрения, позволяющий убедиться в
применимости и эффективности предлагаемой системы до eѐ окончательного
внедрения, обучить сотрудников компании работе с системой, а также определить и
спланировать организационные и технические мероприятия на этапе
42
промышленного внедрения. Пилотный проект позволяет уменьшить затраты и
ускорить полномасштабное внедрение.
Данная стратегия внедрения информационной системы была выбрана,
потому что это наиболее часто используемая компаниями стратегия. Такой
подход снижает риск и наиболее надежен.
При разработке и внедрении ИС существует много причин, приводящих к
возникновению рисков: ошибки в выборе стратегии проекта, нечетко
поставленные цели и задачи, изменение внешних и внутренних требований,
низкая квалификация персонала и т. Д [9].
Одна из важных особенностей предлагаемой модели - управление рисками
такого проекта, которое во многом строится на управлении конфигурацией ИС и
процессами проекта. Основные риски и способы их уменьшения приведены в
таблице 2.1.
Таблица 2.1
Основные риски при разработке проекта и способы их снижения
Снижение
Виды рисков
Снижение видов
Распределение
вероятности
риска
риска
возникновения
риска
Разделение
Детально
проекта на
Детальный анализ
проработанная
несколько
каждого этапа
программа
Риски, связанные
подпроектов,
работ,
качества,
с масштабом
выделение
взаимодействия
отработанное
проекта
пилотного проекта
участников,
управление
по подсистемам
организации работ
конфигурацией
(ограниченного
проекта
масштаба)
Риски, связанные
Проведение
Согласование
Разработка и
большинства
обучения
утверждение
с недостаточным
проектных
пользователей,
концепции
опытом в сфере
документов,
включая
проекта на
ИТ
согласование всех
руководство,
возможно более
изменений в
43
соблюдение
функциональности
ранней его
технологий работы
системы
стадии
Строгий отбор
Документально
проектной команды
зафиксированная
Использование
по
персональная
стандартов
квалификационным
ответственность
предприятия на
критериям.
Технические
участников
проектные
Обучение
риски проекта
проекта,
работы,
участников проекта
документальное
разработка
технологии
фиксирование
стандартов
проектных работ,
всех изменений в
проекта
инструментальным
процессе проекта
средствам
Обучение
участников проекта
Включение в
(курс "управление
Включение
команду
проектом"),
администратора
Организационные
представителей
тренинги команды,
проекта,
риски проекта
заказчика в
как можно более
детальное
рабочие группы
полная
распределение
формализация
ролей в проекте
деятельности
Фиксирование
Строгое
Многократное
отсутствия
выполнение
Операционные
тестирование
претензий
процедур
риски проекта
созданных
заказчика по
программы
продуктов [10]
каждому этапу
качества
работы
Обеспечение информационной безопасности можно рассматривать как
одну из важнейших задач для любой компании, работающей с информацией,
разглашение которой может дорого стоить. Характерным в такой работе
является то, что почти каждый человек понимает для себя важность защиты
данных, но на практике лишь несколько понимают необходимость такой защиты
и представляют реальные последствия и методы их предотвращения. У
большинства же людей информационная угроза ассоциируется с сфенами из
популярных фильмов о «хакерах». На практике же все не так просто, ведь ИБ
44
обязана учитывать множество факторов, которые так или иначе связаны с
рассматриваемым объектом.
Каждый год появляется множество новый научных открытий, особенно
заметно это в сфере информационных технологий. Реализуются новые
технологии обработки данных, их хранения, передачи, благодаря этому растут и
вычислительные мощности, направляемые на преодоление даже самых
современных систем защиты. Продвижение таких направлений, как физика волн,
радиоэлектроника, электромагнитные импульсы, позволяют изобретать все
более изощренные способы получения данных, при которых даже не
устанавливается непосредственного контакта с компьютером жертвы.
Защита ресурсов обычно осуществляется на этапе их разработки,
эксплуатации, производства или модернизации, а также в неразрывной цепочке
ввода, обработки, передачи и хранения данных. Применение таких принципов
позволяет дать возможность создавать СЗИ, у которой нет слабых звеньев как на
отдельных этапах жизненного цикла КС, так и при работе любого элемента и
выбранного режима работы КС. Однако сейчас в филиале такая взаимосвязь
отсутствует.
Механизмы защиты, которые активно применяются для создания систем
защиты, должны быть увязаны с временем, местом и характером действий.
Комплексность также предполагает реализацию различных методов и свойств
защиты данных: программных, технических, криптографических, правовых или
операционных. Поэтому даже простая СЗИ является комплексной.
Система защиты должна иметь несколько уровней, которые перекрывают
друг друга, т.е. подобные системы строят обычно по типу «матрешки»:
• Контроль по периметру объекта;
• Контроль по периметру здания;
• Охрана внутри помещений;
• Защита аппаратных средств;
45
• Защита программных средств;
• Защита данных.
В рассматриваемом филиале сейчас реализована только защита по
периметру, а также частичная защита данных.
Для построения системы защиты важно определить принципы, опираясь
на которые она будет построена. СКЗИ - это сложная система, которая
функционирует в основном у условиях неопределенности, и требует
значительных материальных затрат. Поэтому определив основные параметры
СКЗИ можно выявить базовые подходы к ее построению.
Принцип законности состоит в том, что принимаемые меры соответствуют
законодательству РФ о защите данных, а если законы ответствуют, то соответствие
должно опираться на другие нормативные документы по защите.
Исходя из принципа полноты защищаемых данных, охране подлежит не
только информация, которая составляет коммерческую, государственную или
служебную тайну, но и та часть доступной информации, утрата которой может
принести серьезный ущерб ее собственнику или владельцу. Внедрение данного
принципа позволяет обеспечить охрану интеллектуальной собственности.
Принцип обоснования защиты связан с установлением экспертного
заключения о целесообразности засекречивания и защиты той или иной
информации, а также возможных экономических и других последствия от такой
защиты исходя из интересов самого государства, общества и социума. Такой
подход позволяет расходовать средства на защиту только тех данных, утрата
которых действительно может нанести серьезный ущерб владельцу.
Принцип внедрение специальных подразделений по защите данных
заключается в том, что подобные подразделения особенно актуальны для
организации комплексной защиты, поскольку только спецслужбы могут
разрабатывать и внедрять разного рода защитные мероприятия и вести контроль
за их выполнением.
46
Требование участия в защите всех заинтересованных лиц исходит из того,
что защита данных является служебной обязанностью того сотрудника, которые
имеет к ней доступ и работает с ней в силу должностных обязанностей, при этом
такое участие может только увеличить надежность защиты.
Принцип персонального ответа за защиту данных требует, чтобы каждый
сотрудник отвечал персонально за неразглашение и сохранность вверенной ему
защищаемой информации, а за ее утрату или распространение нес уголовную,
административную или другую ответственность.
Принцип наличия и применения всех необходимых средств для защиты
заключается в том, что СКЗИ обязывает с одной стороны, участия в ней
руководства и всех исполнителей, которые соприкасаются с защищаемыми
данными, с другой стороны – использования разных организационных форм и
методов, и с третьей стороны – наличия важных материально-технических
ресурсов, которые включают в себя технические средства безопасности.
Принцип превентивности исходных мер по защите данных
предусматривает заблаговременное опережающее принятие мер по защите
данных еще до начала разработки или получения какой-либо информации. Это
принцип показывает четкую необходимость проектирования защищенных
информационных технологий.
Многие источники угроз используют уязвимости для нарушения
безопасности данных, получения некой выгоды (в виде нанесения ущерба
собственнику данных). Кроме того, реальны и не злонамеренные действия
источников угрозы, которые просто активируют уязвимости, наносящие
непосредственный вред.
Каждой угрозе можно сопоставить разные уязвимости. Ослабление или
полное устранение уязвимостей в значительной степени может влиять на
реализацию угрозы безопасности данных.
2.2 Информационная модель и её описание
47
Информационная модель представляет собой схему движения входных,
промежуточных и результативных потоков и функций предметной области.
Кроме того, она объясняет, на основе каких входных документов и какой
нормативно-справочной информации происходит выполнение функций по
обработке данных и формирование конкретных выходных документов.
Информационная модель представлена на рис. 2.1.
ИС Сотрудник
Сведения о
Сведения о
сотрудниках
статьях расхода
Составление
планируемого
бюджета
Ввод
Ввод групп
Ввод статей
Составление
статей
фактического
сотрудников
расходов
расходов
бюджета
Спр
Спр Статьи
Спр Расходы
Т Бюджет
Т Бюджет
Анализ
Сотрудники
расходов
план
факт
бюджета
Спр
Спр Статьи
Сотрудники*
расходов*
Спр
Расходы*
Т Бюджет
Т Бюджет
план*
факт*
Планируемый
Фактический
Результат
анализа
бюджет
бюджет
бюджета
Планируемый
Фактический
Анализ бюджет
бюджет
бюджет
Сотрудник
Рисунок 2.1 Информационная модель
48
В соответствии с информационной моделью работа системы строится
следующим образом. Сотрудник, используя экранный формы, производит
первоначальное наполнение справочников. Далее сотрудник вводит данные по
составлению маркетинговых исследований, вводя данные по планируемым
мероприятиям, в результате чего формируется бюджет исследования. После
проведения маркетингового исследования производится учет фактических затрат
и сравнение их с планируемыми.
Входной информацией для разрабатываемой системы является
информация о размере расходов на маркетинговые исследования. Данная
информация импортируется вводится сотрудником вручную, на основании
текущего анализа рынка.
Выходной информацией разрабатываемой системы являются отчеты о
планируемых и фактических расходах на осуществление маркетинговых
исследований.
Выделим основные сущности разрабатываемой системы :
• статья расхода — хранит данные о наименовании типа расхода;
• расходы — хранит данные о конкретных размерах расходов;
• справочник сотрудников — содержит информацию о сотрудниках,
привлекаемых для выполнения маркетинговых исследований;
• справочник маркетинговых исследований – содержит данные о
конкретных маркетинговых исследованиях;
• бюджет планируемый – хранит данные о результатах планирования
бюджета.
• бюджет фактический – хранит данные о результатах фактического
бюджета.
Справочники информационной системы являются особой группой
наборов данных. Справочники предназначены для систематизации различной
информации: типов, марок, возможных значений параметров и т.п. Результатом
такой систематизации становится то, что, занося некоторую информацию в
систему, пользователь может вводить те и только те значения, которые
содержатся в соответствующем справочнике [2]. Это, во-первых, облегчает ввод,
49
во-вторых, устраняет некоторые ошибки (опечатки), в третьих, упрощает
последующий анализ [11].
Справочники не предоставляются уже наполненными, поэтому требуется
их предварительная настройка. Кроме того, в процессе эксплуатации, может
возникнуть потребность корректировки справочных значений или добавление
новых.
В разработанной информационной системе используются справочники,
приведенные в Таблице 2.3.
Таблица 2.2
Перечень используемых справочников
Название
Ответственныи
Среднии
Средняя
Среднии объем
справочника
за ведение
объём
частота
актуализации,
справочника в
актуализации
%
записях
Сотрудники
Администратор
50
1
раз в месяц
10
Статьи расходов
Администратор
20
1
раз в год
10
Расходы
Администратор
500
1
раз в неделю
25
Реквизитный состав справочников приведен в Таблице 2.4.
Таблица 2.3
Реквизитный состав справочников
Наименование
Перечень реквизитов
Сотрудники
ФИО
Телефон
паспорт;
адрес;
специализация;
ставка
Статьи расходов
Наименование
Расходы
Наименование расхода;
Статья расходов;
Стоимость единицы
50
В системе используются следующие входные документы:
•
•
сведения о сотрудниках, поступающие от отдела кадров;
прайс-лист на расходы, формируемый в результате анализа рынка.
Список пользователей содержит следующие сведения о пользователях
системы:
•
•
•
•
фамилия;
имя;
отчество;
должность;
На основании данного документа формируется содержимое справочника
Сотрудники.
Документ Прайс-лист в своем составе имеет наименование расхода
(включая статью расхода), артикул, а также его стоимость за единицу измерения.
На основании данного документа формируется содержимое справочников
Расходы, Статьи расходов.
В качестве оперативной информации в системе используются данные о
планируемом и фактическом бюджете маркетингового исследования.
Оперативная информация учитывается путем сохранения в двух таблицах базы
данных — Бюджет планируемый и Бюджет фактический..
Данные о бюджете поступают ежедневно, общим объемом около 150
документострок.
Результатной информацией для разработанной системы по анализу
бюджета маркетингового исследования являются три документа:
• Планируемый бюджет на съёмку;
• Фактический бюджет на съёмку;
• Анализ бюджета.
Данные документы содержат следующие реквизиты: