67
оценка и поиск возможных рисков, которые могут появляться на
различных этапах работы;
выбор эффективных защитных средств по снижению возможности
появления риска или исключения риска как такового.
Для каждого риска выбираются меры по его снижению или полному
предотвращению. Цель управления рисками заключается в том, чтобы их
определить и свести к минимуму их возникновение. Контроль за рисками
осуществляется на всех этапах жизненного цикла информационной системы.
Виды рисков, влияющих на ход проекта по автоматизации формирования
информационной карты товара в АО «Фирма НТЦ КАМИ» представлены в
таблице 2.1.
Таблица 2.1
Виды рисков влияющих на ход проекта
Виды
рисков/варианты
менеджмента рисков
Снижение видов риска
Снижение вероятности
возникновения риска
Риски, связанные с
масштабом проекта
Четкое формулирование целей
проекта, его масштабов и
функций автоматизации
Детально проработанная
программа качества,
отработанное управление
конфигурацией проекта
Риски, связанные с
недостаточным
опытом в сфере ИТ
Проведение обучения
пользователей, включая
руководство, соблюдение
технологий работы
Разработка и утверждение
концепции проекта на
возможно более ранней его
стадии
Технические риски
проекта
Обучение участников проекта
технологии проектных работ,
инструментальным средствам
Использование стандартов
предприятия на проектные
работы, разработка стандартов
проекта
Организационные
риски проекта
Обучение участников проекта,
тренинги команды, как можно
более полная формализация
деятельности
Включение в команду
администратора проекта,
детальное распределение
ролей в проекте
68
Поскольку АО «Фирма НТЦ КАМИ» является компанией, занимающейся
разработкой программных средств, их тиражированием и внедрением, то данные
риски могут сводиться к минимуму за счет опыта компании, используемой
методологии и стандартов компании.
В АО «Фирма НТЦ КАМИ» для исключения возможности нанесения
вреда, а так же получения несанкционированного доступа к данным проекта
необходимо обеспечить их защиту, резервное копирование и обеспечить работу
с версиями программных модулей при коллективной разработке. Для этого
применяются современные средства разработки, где каждая версия разработчика
хранится в едином хранилище. На организационном уровне такого рода вопросы
решаются обеспечением защиты информации путём подписания каждым
пользователем обязательства о неразглашении коммерческой тайны, которое
налагает ответственность за передачу конфиденциальной информации третьим
лицам.
2.1.3 Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
В Российской Федерации к нормативно-правовым актам в области
информационной безопасности относят как международные стандарты, так и
национальные стандарты и нормативные акты, которые регулируют
деятельность по обеспечению информационной безопасности предприятия.
Согласно стандартов ГОСТ Р ИСО/МЭК 17799-2005 и ГОСТ Р ИСО/МЭК
27001-2005 оценка рисков производится в комплексе, при оценке
информационных активов организации, их стоимости, возможных угроз и
рисков их возникновения и оценка последствий их возникновения.
Управление информационной безопасностью организации выполняется в
соответствии с требованиями следующих нормативно-правовых и методических
документов:
федеральный закон от 27.07.2006 № 149-ФЗ «Об информации,
информационных технологиях и защите информации»;
федеральный закон от 27.07.2006 №152-ФЗ «О персональных
данных»;
69
ГОСТ 34.201-89 «Информационная технология. Комплекс
стандартов на автоматизированные системы. Виды, комплектность и
обозначение документов при создании автоматизированных систем»;
международный стандарт по обеспечению информационной
безопасности ISO 17799 («Нормы и правила при обеспечении безопасности
информации»);
международный стандарт ISO/IEC 17799:2005 —
«Информационные технологии — Технологии безопасности — Практические
правила менеджмента информационной безопасности». Международный
стандарт, базирующийся на BS 7799-1:2005;
международный стандарт ISO/IEC 27001:2005 —
«Информационные технологии — Методы обеспечения безопасности —
Системы управления информационной безопасностью — Требования».
Международный стандарт, базирующийся на BS 7799-2:2005 [26].
Главной целью любой системы информационной безопасности является
обеспечение устойчивого функционирования объекта, предотвращение угроз его
безопасности, защита законных интересов собственника информации от
противоправных посягательств, недопущение хищения финансовых средств,
разглашения, утраты, утечки, искажения и уничтожения служебной
информации, обеспечение нормальной производственной деятельности всех
подразделений объекта.
Достижение заданных целей возможно в ходе решения следующих
основных задач:
отнесение информации к категории ограниченного доступа
(служебной тайне, коммерческой тайне, персональным данным);
прогнозирование и своевременное выявление угроз безопасности
информационным ресурсам, причин и условий, способствующих нанесению
финансового, материального и морального ущерба;
создание условий для максимально возможного возмещения и
локализации ущерба [24, 25].
70
Степень выполнение основных задач по обеспечению информационной
безопасности в АО «Фирма НТЦ КАМИ» представлены в таблице 2.2.
Таблица 2.2
Анализ выполнения основных задач по обеспечению информационной
безопасности
Основные задачи по обеспечению информационной безопасности
Степень
выполнения
обеспечение безопасности производственной деятельности,
защита информации и сведений, являющихся коммерческой
тайной;
высокая
организация работы по правовой, организационной и инженерно-
технической (физической, аппаратной, программной и
математической) защите коммерческой тайны;
высокая
организация специального делопроизводства, исключающего
несанкционированное получение сведений, являющихся
коммерческой тайной;
высокая
предотвращение необоснованного допуска и открытого доступа к
сведениям и работам, составляющим коммерческую тайну;
высокая
обеспечение охраны территории, зданий помещений, с
защищаемой информацией
высокая
обеспечение безопасности информации при передаче по каналам
связи
высокая
В организации повсеместно используется антивирусная защита Kaspersky
Endpoint Security 10 на каждом рабочем месте сотрудников и серверном
оборудовании.
Для защиты информации от внешних угроз в АО «Фирма НТЦ КАМИ»
используется межсетевой экран – программный или аппаратный маршрутизатор,
позволяющий осуществлять фильтрацию пакетов данных.
Используемые программные средства для обеспечения информационной
безопасности:
настройка доступа средствами операционных систем Microsoft
Windows Server 2016, Active Directory;
71
права доступа (к операционной системе Windows 8.1, Windows
Server, Терминальный доступ Windows Server);
права пользователя системы (разграничены права доступа
пользователей «1С Предприятие», файловый сервер);
парольная защита доступа к локальным техническим ресурсам и
программному обеспечению (защита от отключения антивируса, запрет
изменения конфигурации и реестра операционной системы, контроль
конфигурации оборудования);
аппаратные средства резервирования данных – бекапы (резервное
копирование) серверов раз в месяц.
Для защиты от внутренних угроз в системе используется политика
разделения прав доступа. Характеристика политики приведена в таблице 2.3.
Таблица 2.3
Разграничение прав пользователей
Пользователь
Справочники
Документы
Отчеты
Сервисные
компоненты БД
Начальник
специального
отдела ИБ
Полный
Полный
Полный
Чтение
Специалисты ИТ
Полный
Полный
Полный
Нет
Администратор
Чтение
Чтение
Полный
Полный
Физический уровень защиты:
система видеонаблюдения;
система контроля доступа;
противопожарная и аварийная сигнализация.
Все двери в кабинеты и служебные помещения закрываются на ключ,
ключи хранятся на пульте охраны. В помещениях организации установлены
датчики противопожарной охраны, пульт противопожарной охраны установлен
в помещении охраны.
В организации используются камеры видеонаблюдения по одной на
каждом этаже. С их помощью охрана, осуществляет контроль за этажами.
72
2.2 Информационное обеспечение задачи
2.2.1 Информационная модель и её описание
Информационная модель — модель объекта, представленная в виде
информации, описывающей существенные для данного рассмотрения параметры
и переменные величины объекта, связи между ними, входы и выходы объекта и
позволяющая путём подачи на модель информации об изменениях входных
величин моделировать возможные состояния объекта.
С помощью информационной модели проще понять и описать те
операции, которые будут выполняться в разрабатываемой ИС
«Информационные карты» АО «Фирма НТЦ КАМИ», а так же здесь
определяется какие данные должны присутствовать в обработке.
Данная модель показывает, какую информацию и о каких объектах
необходимо хранить в БД информационной системы [26].
Описываются все экранные формы и операции, которые необходимо
разработать для каждой области автоматизации и для каждого пользователя.
Рассмотрев информационную модель можно сказать, что она описывает
все операции и всех заинтересованных лиц, которые будут работать с системой и
получать результатные данные из нее.
Основными участниками информационной модели являются:
1. Начальник специального отдела;
2. Сотрудники специального отдела.
3. Администратор.
Информационная модель предметной области отражает все объекты
проектируемой информационной системы, а также взаимосвязи ролей
пользователей с объектами информационной системы [19].
Информационная модель задачи, представленная в виде схемы данных на
рис. 2.1, представляет собой структурное представление движения
информационных потоков (путь данных) с момента поступления входной
информации до момента выдачи выходных форм. Результатная информация
представлена в виде документов и отчетов, которые предоставляются для
каждого пользователя системы.
73
Начальник
специального
отдела
ИС «Информационные карты» АО «Фирма НТЦ
КАМИ»
Сотрудник
специального
отдела
Спр.
Статус
Спр. Права
доступа
Спр. Группы
пользователей
Т. Расположение
ТС
Т. Расположение
ПО
Т. Технические
средства
Т.
Информационная
карта
Спр.
Сотрудник
Спр.
Пользователь
Т. Договор
Отчет по
техническим
средствам
Расположение
ТС
Спр.
Правила
доступа
Спр. ПО
Технические
средства
Размещение
ПО
Форма
справочника
Отчет по
информационным
картам
Отчет по
размещению
Отчет по
договорам
Отчет по ПО
Спр.
Подразделе
ние
Спр.
Информацион
ный ресурс
Спр.
Организация
Спр. Тип
работ
Спр.
Категория
Т. Состав
карты ТС
Спр. *
Статус
Спр. *
Права
доступа
Спр. * Группы
пользователей
Спр. *
Сотрудник
Спр *.
Пользователь
Спр. *
Правила
доступа
Спр. *
ПО
Спр. *
Подразделе
ние
Спр. *
Информацион
ный ресурс
Спр. *
Организация
Спр. * Тип
работ
Спр. *
Категория
Т. *
Расположение ТС
Т. *
Расположение
ПО
Т.* Технические
средства
Т. *
Информационная
карта
Т. *
Договор
Т. * Состав
карты ТС
Информационная
карта
Список инф.
карт
Договор
Отчет по правам
доступа и
пользователям
Информационная
карта
Программное
обеспечение
1
2
3
Администратор
Отчет по
расположению ТС
Рис. 2.1 Информационная модель
73
74
На основании выделенных областей можно сказать, что будет
выполняться несколько типов операций, ориентированных на различных
пользователей, но все связанны непосредственно с учетом технических средств
и формирования информационной карты товара в процессе работы специального
отдела, а так же описание деятельности подразделений и предприятий в
процессе изучения информационной безопасности объекта аттестации и его
технических средств..
Область 1 отражает действия администратора, который работает по
заполнению справочной информации работой с базой данных, ее поддержку
резервирование и восстановление после сбоев. Введенная в справочники
информация может уточняться и изменяться сотрудниками специального отдела.
Администратор определяет права доступа сотрудников, согласно регламента
доступа к информационным ресурсам предприятия и допуска к информации по
объекту изучения.
Область 2 отражает действия начальника специального отдела. Работа
заключается в обработке заявок на работу с техническими средствами и
формирования первоначальной информационной карты товара, распределения
занятости сотрудников отдела, определения прав доступа и обследования
предметной области аттестуемого предприятия. Для поиска используется форма
для поиска документов по журналам документов, так же предусмотрена
возможность просмотра формы документа. Для добавления информации в ИС
необходимы соответствующие формы, которые заполняют сотрудники, данные
из этих форм хранятся в таблицах.
Для оформления журналов в печатном виде формируется отчет. Для
поиска документа используется форма поиска информации по журналам.
Область 3 отражает работу специалиста специального отдела при работе с
ИС «Информационные карты» АО «Фирма НТЦ КАМИ», а именно получения
информационной карты товара, ее изменение после проведенных работ или
получения определенного результата, пометка о размещении технических и
программных средств в компании, для которой производится аттестация и
изучение технических средств..
75
Все операции имеют отражение в таблицах и справочниках БД.
Некоторые показатели и результатные данные представляют собой расчеты,
которые будут выполняться автоматически при запуске программы, тем самым
нет необходимости создания для них хранилищ данных.
По информационной модели можно сказать, что различные операции по
наполнению БД могут выполнять различные пользователи. Но есть операции,
которые направлены для автоматизации конкретных действий должностных лиц
[3].
2.2.2 Характеристика нормативно-справочной, входной и
оперативной информации
При решении задачи работы с заявками используется ряд
классификаторов и кодов, которые представлены в таблице 2.4. Краткие
обозначения систем кодирования представлены в таблице 2.5. Краткие
обозначения видов классификаторов и система кодирования для предметной
области представлены в таблице 2.6.
Таблица 2.4
Перечень обозначений систем кодирования
Система кодирования
Краткое обозначение
Порядковая
П
Серийно-порядковая
СП
Разрядная (позиционная)
Р
Комбинированная (смешанная)
К
Таблица 2.5
Перечень обозначений видов классификаторов
Вид классификатора
Краткое обозначение
Общегосударственный
ОГ
Отраслевой
О
Локальный
Л
Международный
М
76
Таблица 2.6
Краткие обозначения видов классификаторов
Наименование
объекта
Разряд
кода
Система
кодиров
ания
Вид
классифи
катора
Пример кодируемого множества
Код
Значение
Сотрудники
6
П
ОГ
000001 -
999999
Номер сотрудника
Подразделения
6
П
Л
000001 -
999999
Код подразделения
организации
Пользователь
6
П
Л
000001 -
999999
Код пользователя
Организация
6
П
Л
000001-
999999
Номер организации в
системе
Программное
обеспечение
6
П
Л
000001-
999999
Локальный код ПО
организации
Информационная
карта товара
6
П
Л
000001-
999999
Номер карты в
системе
Технические
средства
6
П
Л
000001-
999999
Номер ТС в системе
В процессе описания структуры записи файлов для описания типа полей
записи используются сокращенные обозначения, приведенные в таблице 2.7.
Таблица 2.7
Перечень обозначений типов полей записи базы данных
Наименование типа поля записи
Полное название
Краткое обозначение
Символьный тип
Character
A
Числовой тип
Numerical
N
Календарная дата
Date
D
Автосчетчик
AutoNumber
AN
Для оформления документов необходимы справочники, которые должны
содержаться в системе и пополняться по мере поступления информации. За
наполнение каждого справочника отвечает определенный специалист
организации. В системе обрабатывается большой объём информации: входной,
нормативно-справочной. В таблице 2.8 представлен перечень и описание