51
- анализ;
- проектирование;
- внедрение;
- сопровождение.
Первая стадия «Анализ». Эта стадия начинается с подэтапа «Определение
запросов к будущему сайту». Первой задачей является «Анализ бизнес-
процессов предприятия "КАК ЕСТЬ"». Данную задачу выполняет менеджер
отдела продаж, назначенный генеральным директором в качестве
ответственного лица и IT специалист. В процессе выполнения задачи
формирует структурно - функциональную диаграмму бизнес-процессов
предприятия «КАК ЕСТЬ» в нотации IDEF0. По результатам выполненного
анализа выбирается совокупность задач автоматизации (в контексте данной
работы это - автоматизация задачи ознакомления покупателя с товаром и
упрощение ведения учёта клиентов и продаж в отделе продаж). Данная задача
выполняется IT специалистом. Завершающая задача подэтапа состоит в
«Определении свойств сайта, которые необходимы для решения задачи».
Задача решается менеджером отдела продаж и IT специалистом.
Следующим подэтапом в стадии «Анализ» считается определение
функций будущего сайта и подбор стратегии автоматизации. В подэтапе
участвуют менеджер отдела продаж, IT специалист.
Первая задача подэтапа состоит в анализе существующих разработок в
области создания веб сайтов. Следующей задачей подэтапа считается «Выбор
метода приобретения ИС». Далее следует задача - «Подбор стратегии
автоматизации». Завершающая задача подэтапа состоит в «Определении задач
и целей автоматизации». Необходимо отметить, что данная задача является
ключевой для составления технического задания на разработку веб сайта.
Предпоследним подэтапом стадии «Анализ» считается «Аргументация
проектных решений». Этот подэтап включает в себя три ключевые задачи:
- аргументация проектных решений по ПО;
- аргументация проектных решений по техническому обеспечению;
52
- аргументация проектных решений по ПО.
Целью данных задач является формирование необходимые требования к
вышеперечисленным видам обеспечения ИС сайта предприятия. Участником
данного подэтапа является IT специалист.
Заключительным подэтапом стадии «Анализ» является создание
документации по техническому заданию на разработку сайта.
Следующая стадия «Проектирование». На данной стадии необходимо
выполнить следующие задачи:
- оценить риски проекта;
- разработать информационную модель будущего сайта;
- охарактеризовать всю нормативно-справочную информацию, которая
необходима для функционирования сайта;
- охарактеризовать входные и выходные данные, а также алгоритмы их
расчёта;
- перечислить необходимое программное и техническое обеспечение для
функционирования веб сайта;
- охарактеризовать дерево функций, сценарии диалога, структуру базы
данных проектируемого веб сайта;
- разработать пользовательские интерфейсы;
Данную работу выполняет IT специалист предприятия. Выходной
информацией является проектная документация.
После проектирования наступает стадия реализации проекта. Данная
стадия начинается с подготовки к разработке ПО. Первый подэтап состоит из
следующих задач:
- установка локального сервера Apache;
- скачивание и установка дистрибутива MODx на локальный сервер;
- скачивание и установка дополнительного модуля составления
расписания;
- создание всех модулей сайта согласно ТЗ;
- разработка интерфейса на основе созданных модулей;
53
Все работы выполняет IT специалист предприятия. Конечным
результатом данной стадии является готовый сайт, размещённый на локальном
сервере.
Главной целью стадии Внедрения является размещение в глобальной сети
интернет веб сайта предприятия и его тестирование. Ключевые стратегии
введения системы представлены ниже.
1. Стратегия “Параллельное применение”. Параллельное применение -
синхронно выполняются новая и старая технология решения задачи, итоги их
подлежат сравнению. Ежели полученные результаты согласуются довольно-
таки продолжительное время, то выполняется переход на новую технологию.
Достоинства системы:
- наименьший риск ошибок в виде новых технологий;
- управление введения ИС будет выполняться независимо от обычного
операционного планирования компании.
Недостатки системы:
- удвоение загрузки персонала;
- требуется удвоенные мощности серверов;
- необходимо постоянно сверять результаты работы двух технологий.
2. Стратегия “Скачок”. Скачок - старая технология действует до
конкретного момента, потом осуществляется введение новой технологии, а
после ее введения реализуется исключительно новая технология
Достоинства стратегии:
- минимальная продолжительность переходного периода;
- отсутствуют двойные затраты на деятельность компании;
- новые процессы считаются более оптимальными по причине отсутствия
длительного переходного периода.
Недостатки системы:
- большие риски несоответствия характеристик ИС требованиям
компании;
54
- высокие запросы к действиям по планировании перехода на новую
технологию;
3. Стратегия “Пилотный проект”. Данная стратегия – это стратегия
скачка, применяемая к ограниченному количеству процессов, областью
внедрения, как правило, является небольшой участок компании.
Достоинства системы:
- малый риск выбора неправильного решения, которое не приведёт к
долгому простою всей компании;
- наличие возможности изменять планируемую технологию в ходе
внедрения ИС на участке;
- отсутствуют двойные затраты на внедрение технологии.
Недостатки системы:
- сложно интегрировать информационные потоки создаваемых по новой и
старой технологии;
- необходимо одновременно управлять новой и старой ИС.
4. Стратегия “Узкое место”. Данная стратегия -это автоматизация
минимальной доли производственного процесса, который избирается согласно
критериям их эффективности, которые приводят к увеличению качества
выполнения процессов исключительно в конкретном узком месте.
Достоинства системы:
- после внедрения автоматизации любого узкого места есть возможность
прерывать автоматизацию;
- минимальные запросы к уровню планирования работ по внедрению.
Недостатки системы:
- внедрение полного завершённого цикла планирования на любом из
узких мест - вследствие способности прерывания процесса автоматизации,
может и не завершиться никогда;
- независимость автоматизации узких мест даст возможность к
формированию большого количества лишних программно-аппаратных
решений.
55
В качестве основной стратегии внедрения используется «Пилотный
проект». Такой подход снижает риски и наиболее надёжен при внедрении на
узком участке предприятия.
Во время этапа внедрения IT сотрудником предприятия производится:
- регистрация доменного имени предприятия по согласованию с
генеральным директором;
- установка всех необходимых программных средств на веб-сервер
предприятия;
- перенос готового сайта с локального сервера на веб-сервер;
- проведение тестирование веб сайта;
- устранение ошибок, выявленных в процессе тестирования.
Стадия эксплуатации предусматривает наблюдение за работой ИС, ее
поддержку, доработку технической и программной архитектур, учитывая новые
программные и технические возможности. В процессе выполняется доработка
имеющихся программных модулей, а также доработка проектной и
технической документации. На протяжении первых двух месяцев эксплуатации,
следует еженедельно проводить совещания с участием IT специалиста,
генерального директора и сотрудника отдела продаж, ответственного за
эксплуатацию сайта. Цель таких совещаний заключается не только в выявлении
недостатков ИС, но и в определении потенциальных пути её
усовершенствования. Следовательно, к концу стадии эксплуатации необходимо
устранить все без исключения недостатки ИС, а также реализовать как можно
больше мероприятий по её усовершенствованию.
2.1.2. Ожидаемые риски на этапах жизненного цикла и их описание
Риски на подэтапе «Определение требований к ИС». Главная угроза на
этом подэтапе заключается в недостаточном определении свойств ИС, которые
необходимы для разрешения задачи и в неправильном выборе задач
проектирования (недостаточный или чрезмерно большой объем задач
автоматизации). На стадии эксплуатации это может привести к дополнительной
56
доработке ИС, что влечёт за собой финансовый риск. Риск можно
предотвратить применением инновационных case-средств в процессе
моделирования бизнес-процессов. В случае появления подобного риска
выполняется дополнительное моделирование с применением инновационных
case-средств.
Основная угроза на подэтапе «Определение функций ИС и стратегий
автоматизации» заключается в неправильном определении стратегии
автоматизации и функций ИС. На этом подэтапе имеется риск ошибочного
выбора метода приобретения ИС. Риск можно предотвратить при помощи
основательного анализа всех вариантов. При возникновении, риск можно
устранить выполнением повторного анализа всех вариантов выбора ИС. Риск
взаимосвязан с риском ошибочного определения стратегии автоматизации и
функций ИС. Такой риск можно предотвратить и устранить применением
инновационных case-средств при выполнении анализа.
Риски на подэтапе «Разработка проекта автоматизации». Основная
угроза заключается в разработке неэффективного плана-графика по
автоматизации: применение излишних ресурсов или их недостаточность.
Данный риск считается финансовым; его можно предотвратить применением
передовых автоматизированных средств проектирования. При возникновении
риск можно устранить, применяя повторную корректировку плана-графика по
автоматизации.
На подэтапе «Создание информационного обеспечения задачи» основные
угрозы заключаются в разработке неверной информационной модели и
прототипов экранных форм, неудобных для пользователя. Риск можно
предотвратить по согласованию прообразов экранных форм с будущими
пользователями. Этот риск можно устранить при помощи дополнительной
доработки экранных форм и применяя систему ModelViewControl (MVC).
На подэтапе «Подготовка к созданию ПО» основная угроза заключается
в неправильной формализации расчётов показателей. Риск можно устранить
посредством тестирования программных модулей на стадии введения.
57
На подэтапе «Создание ПО» основная угроза состоит в неправильной
разработке программы. Данный риск можно устранить применением для
программирования языка 4-го поколения CLARION, который при
программировании показывает неправильности различных компонентов
создаваемого программного средства. Следует учесть, что тестирование
программных модулей будет выполняться на стадии введения.
Угроза на стадии «Введение» заключается в неправильном тестировании
технического обеспечения программных модулей. Данный риск можно
предотвратить применением лицензионного стендового оборудования, а
устранить можно при помощи двойного тестирования. На стадии
«Сопровождение» основные угрозы заключаются в поломке оборудования,
моральном устаревание ПС и ПО. Первый риск можно предотвратить при
помощи гибкости созданной ИС и при помощи оперативной доработки
программной архитектуры. Второй риск можно предотвратить при помощи
постоянного мониторинга состояния оборудования.
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Нормативно-правовая база включает в себя такие группы документов,
которые учтены при соблюдении безопасности информации:
I. Международное правовое обеспечение, которое составлено
международными нормативными актами, ратифицированные Российской
Федерацией, а также международные договоры, которые инициировала
Российская Федерация.
II. Международное нормативно-техническое обеспечение, в которое входят
международные Регламенты, Рекомендации, Стандарты в информационной
области и в сфере информационной безопасности.
III. Государственное правовое обеспечение, в которое входят нормативные
акты РФ (Конституция РФ, Указы Президента России, Федеральные законы),
подзаконные акты (Распоряжения и Постановления Правительства РФ,
58
нормативные акты уполномоченных федеральных органов государственной
власти), подзаконные и нормативные акты субъектов России.
IV. Государственное нормативно-техническое обеспечение, в которое
входят действующие в РФ технические стандарты, регламенты (отраслевые,
государственные), руководящие документы, подзаконные акты
уполномоченных федеральных органов государственной власти
преимущественно имеющие нормативно-технический характер.
Документы, относящиеся к I группе (международное правовое
обеспечение) обладают преимущественным правом при обеспечении
информационной безопасности в сетях связи 3-го поколения, если другое не
предусматривается законодательством РФ. К этой группе относятся:
a. Европейская Конвенция о защите прав человека и основных свобод
(1996 г.);
b. Всеобщая декларация прав человека, которую утвердила и
провозгласила Генеральная Ассамблея ООН (1948 г.);
c. Пакт о политических и гражданских правах (1976 г.);
d. Европейская Конвенция от 28.01.1981 г. об охране личности по
отношению к автоматизированному обрабатыванию персональных данных;
e. Директива Европейского Парламента и Совета Европейского Союза
95/46/ЕС об обрабатывании персональных данных;
f. Директива Европейского Парламента и Совета Европейского Союза
97/66/ЕС об обрабатывании персональных данных;
и некоторые другие международные договорённости, признаваемые РФ.
Эти документы затрагивают некоторые важные и характерные для
российского национального законодательства такие вопросы, как:
требования к системе безопасности;
общие цели безопасности;
требования управления безопасностью.
требования, относящиеся к управлению доступом;
оценка рисков и угроз, связанных с любой угрозой,
59
идентификация ситуации и привлечённых сторон;
определение механизмов выявления и противодействия возможным
угрозам и восстановления нормальной работы информационной системы;
механизмы анонимности: временные идентификаторы с симметричным
ключом; секретность подлинности с применением асимметричного ключа;
анонимный доступ;
механизмы аутентификации: с асимметричным ключом, с
симметричным ключом, с "нулевым знанием";
механизмы конфиденциальности: потоковое шифрование, блочное
шифрование;
механизмы по обеспечению целостности: шифрование с добавлением
избыточности, асимметричный ключ, симметричный ключ;
не криптографические механизмы безопасности: регистрация
пользователя, верификация пользователя, подсчёт вызовов;
механизмы по управлению безопасностью: управление версиями,
распределение ключей;
механизмы неотказуемости: цифровая подпись;
и многочисленные другие вопросы.
К основным организационным мерам относятся: совершенствование
политик безопасности, разработка документов, конкретизирующий меры по
соблюдению безопасности информации по конкретным вопросам и угрозам.
[25]
Документированная политика ИБ обязана заявлять о приверженности
руководителей и определять подход к управлению ИБ на предприятии.
Политику ИБ необходимо довести до сведения абсолютно всех
пользователей предприятия в актуальной, понятной и доступной форме
читателям, которым она предназначается [24].
Политика ИБ обязана быть составляющей более общей
документированной политики.
60
Следовательно, основная организационная мера должна заключаться в
разработке политики ИБ, ознакомлении с ее положениями всего персонала и в
строгом их соблюдении.
Следовательно, опираясь на необходимые меры по защите информации в
рассматриваемом предприятии, необходимо определить состав политики
безопасности, которая разрабатывается [30].
Основываясь на данных подсистем, была осуществлена разработка
ключевых требований, касающихся обеспечения ИБ на предприятии,
охватывающих такие частные документы:
1. Правила парольной защиты;
2. Регламент применения системы электронного документооборота;
3. Правила защиты от злонамеренного ПО и вирусов.
Помимо этого, чтобы определить правила по работе с сотрудниками при
приёме на работу и увольнении с неё, и при возникновении нештатных
ситуаций, осуществлена разработка инструкции по работе с сотрудниками, в
которую вошли:
1. Инструкция по приёму на работу и допуску новых работников к работе
в АС и наделению их полномочиями, необходимыми для доступа к ресурсам
системы.
2. Инструкция по увольнению сотрудников и лишения их полномочия
доступа в систему.
3. Инструкция по действиям разных категорий сотрудников, включая
работников отдела безопасности информации, по устранению последствий
чрезвычайных (нештатных или аварийных) ситуаций, при их возникновении.
На рассматриваемом предприятии уже применяются средства по
инженерно-технической защите, например, система охранной сигнализации.
Также к инженерно-техническим мерам относятся система контроля и
управления доступом. Поскольку информационные активы главным образом
представлены бумажными документами и файлами на магнитных дисках, то