46
неадекватный выбор процессов ЖЦ и вовлеченных в них участников;
принятие неверных проектных решений;
внесение разработчиком дефектов на уровне архитектурных решений;
внесение разработчиком недокументированных возможностей в ИС в
целом или в ее отдельные компоненты;
неадекватная (неполная, противоречивая и пр.) реализация
предъявленных к ИС требований;
сборка ИС с нарушением предъявляемых требований, приводящая к
появлению недокументированных возможностей в ИС либо к неадекватной
реализации требований;
разработка некачественной документации;
неверное конфигурирование ИС;
приемка ИС, не отвечающей требованиям, установленным в компании;
внесение недокументированных возможностей в ИС в процессе
проведения приемочных испытаний посредством использования
недокументированных возможностей функциональных тестов и тестов ИБ [16].
Безопасность при разработке ИС может быть обеспечена следующими
мерами:
1. Определение процедур разработки ИС. С целью снижения вероятности
возникновения проблем с безопасностью заранее должны быть определены
методы и средства разработки. Они должны охватывать все используемые языки
программирования (C++, JavaScript, SQL и пр.).
2. Организация среды разработки. Для организации безопасного
процесса разработки рекомендуется выделить рабочие места ответственных лиц
в отдельный защищенный сетевой сегмент, обеспечить рабочие места
средствами антивирусной безопасности и защиты от НСД, использовать
"чистую" лицензионную политику. Эти простые меры позволят значительно
снизить риски несанкционированного доступа и изменения кода посторонними
лицами.
3. Обучение персонала методам безопасной разработки. Понимание
проблем безопасности современных приложений и новых способов атак крайне
необходимо для создания защищенной ИС, поэтому проведение тренингов по
47
ИБ для разработчиков может существенно повысить качество и безопасность
ИС.
4. Анализ и тестирование исходных кодов на наличие уязвимостей и не
декларированных возможностей. Исходные коды должны периодически
анализироваться с помощью автоматизированных средств или в ручном режиме
на наличие распространенных ошибок, в том числе: межсайтовый скриптинг,
переполнение буфера, ошибки при проверке входных данных для обработки,
ошибки в процессе обработки данных, пароли в открытом виде и т.д.
Альтернативным решением может стать использование услуг третьих сторон по
анализу кода на уязвимость.
5. Разработка (получение) документации на ИС. Документация на ИС
должна включать описание применяемых защитных мер и функций, описанных
в техническом задании. С точки зрения ИБ документация как минимум должна
содержать:
• описание ролевой системы;
• описание механизмов доступа, регистрации событий, целостности,
резервирования;
• параметры настроек безопасности.
При приобретении ИС необходимо уделить особое внимание
оформлению договорных обязательств. Помимо указанных выше требований по
обеспечению безопасной разработки и поставки ИС, на поставщика должна быть
возложена ответственность на случай возникновения каких-либо инцидентов
ИБ, связанных с некачественной разработкой, нарушением правил поставки и
пр. Также следует учитывать наличие у разработчика необходимых лицензий на
разработку и эксплуатацию средств и систем защиты.
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Система мероприятий, направленных на защиту данных в
разрабатываемой системе включает ряд аспектов, а именно:
защита данных непосредственно в ИС от различных внутренних
угроз;
48
защита информации от внешних угроз.
Для защиты от внутренних угроз в системе действует политика
разделения прав доступа. Характеристика политики представлена в таблице 8.
Таблица 8
Разграничение прав пользователей
Группы
пользовате
лей
Модуль
«Авторизация»
Модуль
«Справочник
и»
Модуль
«Документы»
Модуль
«Отчеты»
Сотрудники
Чтение
Полный
Чтение
Ограничен
Руководитель
Чтение
Нет
Полный
Полный
Администра-
тор системы
Полный
Полный
Полный
Полный
Защита от внешних угроз выполняется посредством применения таких
методов:
применение программно-аппаратных систем;
разработкой и ведение политик безопасности;
применение защищенных средств связи при передаче данных;
применение антивирусных средств;
физическая защита помещений с наиболее ценными данными.
К аппаратным средствам защиты информации относятся самые
различные по принципу действия, устройству и возможностям технические
конструкции, обеспечивающие пресечение разглашения, защиту от утечки и
противодействие несанкционированному доступу к источникам
конфиденциальной информации.
Аппаратные средства защиты информации применяются для решения
следующих задач:
1) проведение специальных исследований технических средств
обеспечения производственной деятельности на наличие возможных каналов
утечки информации;
2) выявление каналов утечки информации на разных объектах и в
помещениях;
3) локализация каналов утечки информации;
4) поиск и обнаружение средств промышленного шпионажа;
49
5) противодействие несанкционированному доступу к источникам
конфиденциальной информации и другим действиям.
Системы защиты компьютера от чужого вторжения весьма разнообразны
и классифицируются, как:
1) средства собственной защиты, предусмотренные общим программным
обеспечением;
2) средства защиты в составе вычислительной системы;
3) средства защиты с запросом информации;
4) средства активной защиты;
5) средства пассивной защиты и другие.
Основные направления использования программной защиты
информации
Можно выделить следующие направления использования программ для
обеспечения безопасности конфиденциальной информации, в частности такие:
1) защита информации от несанкционированной доступа;
2) защита информации от копирования;
3) защита программ от копирования;
4) защита программ от вирусов;
5) защита информации от вирусов;
6) программная защита каналов связи.
Программные средства защиты имеют следующие разновидности
специальных программ:
1) идентификации технических средств, файлов и аутентификации
пользователей;
2) регистрации и контроля работы технических средств и пользователей;
3) обслуживания режимов обработки информации ограниченного
пользования;
4) защиты операционных средств ЭВМ и прикладных программ
пользователей;
5) уничтожения информации в защитные устройства после
использования;
6) сигнализирующих нарушения использования ресурсов;
50
7) вспомогательных программ защиты различного назначения.
Защита информации от несанкционированного доступа
Для защиты от чужого вторжения обязательно предусматриваются
определенные меры безопасности. Основные функции, которые должны
осуществляться программными средствами, это:
1) идентификация субъектов аи объектов;
2) разграничение (иногда и полная изоляция) доступа к вычислительным
ресурсам и информации;
3) контроль и регистрация действий с информацией и программами.
Наиболее распространенным методом иде нтификации является
парольная идентификация . Однако практика показывает, что парольная защита
данных является слабым звеном, так как пароль можно подслушать или
подсмотреть, перехватить или просто разгадать.
Средства защиты от копирования предотвращают использование
ворованных копий программного обеспечения и являются в настоящее время
единственно надежным средством – как защищающим авторское право
программистов-разработчиков, так и стимулирующих развитие рынка. Под
средствами защиты от копирования понимаются средства, обеспечивающие
выполнение программой своих функций только при опознании некоторого
уникального не копируемого элемента. Защита от копирования реализуется
выполнением ряда функций, являющихся общими для всех систем защиты:
1. Идентификация среды, из которой будет запускаться программа
(дискета или ПК);
2. Аутентификация среды, из которой запущена программа;
3. Реакция на запуск из несанкционированной среды;
4. Регистрация санкционированного копирования;
5. Противодействие изучению алгоритмов работы системы.
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и еѐ описание
Информационная модель – это совокупность информации об объекте,
описывающая свойства и состояние объекта, процесса или явления, а также
51
связи и отношения с окружающим миром [17]. Информационная модель
представлена на рисунке 8.
Рисунок 8. Информационная модель системы
Администратор системы регистрирует Объекты недвижимости,
применяя справочники «Район» и изменяя содержимое таблицы «Площади».
Также он меняет содержимое данной таблицы, корректируя информацию для
работы риэлторов.
Работник регистрирует спрос и предложение, применяя
документыЗаявка и Предложение
Руководитель учавствует в подписании итогового соглашения, используя
таблицу и документ Договор.
2.2.2. Характеристика нормативно-справочной, входной и
оперативной информации
Для работы с постоянной и условно постоянной информацией с
52
некоторым множеством значений в системе используются справочники.
Разрабатываемая конфигурация учетной системы выполняет ряд функций по
сбору, обработке и отображению необходимой информации. Основная или
постоянная информация заносится в справочники, каждый из которых
представлен отдельной формой для удобства доступа к необходимой
информации [15].
В созданной конфигурации имеются следующие справочники (таб. 9)
Таблица 9
Сводная таблица справочников
Название
справочни-ка;
Ответствен
ный за его
ведение;
Средний
объѐм
справочни
ка в
записях;
Средняя
частота
актуализ
ации;
Средний объем
актуализации (в
записях или в
процентах);
Клиенты
Риэлтор
100
1 раз в
месяц
10
Вид
недвижимости
Риэлтор
10
1 раз в год
10
Арендодатели
Риэлтор
20
1 раз в год
10
Площади
Риэлтор
500
1 раз в
месяц
25
Район
Риэлтор
10
1 раз в год
10
Суть ведения учета представляет из себя ввод документов в базу данных.
Для ввода информации используются следующие документы:
Таблица 10
Описание входных документов
№
пп
Номенклатура
Реквизиты
Таблицы, на
основе
которых
формируется
Частота
формирова
ния
1
Заявка
Номер
Дата
Арендатор
Район
Вид
недвижимости
Площадь
Цена
Район
Вид
недвижимости
Ежемесяч
но
2
Предложени
е
Номер
Дата
Район
Вид
Ежемесяч
но
53
Арендодатель
Район
Вид
недвижимости
Площадь
Цена
недвижимости
3
Договор
Номер
Дата
Арендатор
Арендодатель
Вид
недвижимости
Площадь
Цена
Арендатор
Арендодатель
Вид
недвижимости
Ежемесяч
но
2.2.3 Характеристика результатной информации
Результатная информация должна отображаться на экранных формах в
соответствии с формой выходного документа, отчетах по документу или
журналу документов. Для работы с результатными документами обязательным
является наличие печатной формы, которая перед печатью должна быть
просмотрена в электронном виде, а так же разработана отчетность выполняющая
группировку данных по документам и оборотам [19].
Отчет представляет из себя готовые вычисленные результаты
деятельности компании в виде похожем на Excel или Word.
Отчет может существовать отдельно от конфигурации и базы данных –
его можно сохранить в файл. В этом случае он называется «внешний отчет».
Экранные формы отчетов описаны в таблице 11
Таблица 11
Описание выходных документов
№
пп
Номенклатура
Реквизиты
Таблицы, на
основе
которых
формируется
Частота
формирова
ния
1
Список
клиентов
Номер
Дата
Район
Арендатор
Район
Вид
недвижимости
Ежемесяч
но
54
Вид
недвижимости
Площадь
Цена
2
Предложение
Номер
Дата
Район
Вид
недвижимости
Площадь
Цена
Район
Вид
недвижимости
Ежемесяч
но
3
Договора
Номер
Дата
Арендатор
Арендодатель
Вид
недвижимости
Площадь
Цена
Арендатор
Арендодатель
Вид
недвижимости
Ежемесяч
но
2.3. Программное обеспечение задачи
2.3.1. Общие положения (дерево функций и сценарий диалога)
Сценарий диалога очень прост и схож с интерфейсом множества
программных продуктов, с которыми пользователь уже возможно имел дело.
Использование структурированного меню и дочерних форм позволит конечному
потребителю приложения наиболее быстро добраться до необходимой ему
задачи.
Работа с информационной системой начинается с главной формы, через
которую можно выйти в нужную подсистему (рисунок 9).
55
Рисунок 9. Дерево функций информационной системы
В разработанной программе предусмотрены два пользователя – Мастер и
Администратор. Дерево диалога изображено на рисунке 10.
Функции
Основные
Ведение
справочников
Ведение
документов
Получение
отчетов
Служебные
Календарь
Управление
окнами
Настройки
Помощь