31
обеспечен 2-й уровень защищенности персональных данных, соответствующий
требованиями, предъявляемыми к защите информации в нормативно правовых
актах, а именно Постановлении Правительства РФ от 01.11.2012 № 1119 «Об
утверждении требований к защите персональных данных при их обработке в
информационных системах персональных данных», Приказом ФСТЭК России от
11 февраля 2013 г. № 17 «Об утверждении требования о защите информации, не
составляющей государственную тайну, содержащихся в государственных
информационных системах» (в ред. Приказа ФСТЭК России от 15.02.2017 №
27), Приказом ФСБ России от 10 июля 2014 г. № 378 «Об утверждении состава и
содержания организационных и технических мер по обеспечению безопасности
персональных данных при их обработке в информационных системах
персональных данных с использованием средств криптографической защиты
информации, необходимых для выполнения установленных Правительством
Российской Федерации требований к защите персональных данных для каждого
из уровней защищенности».
Организация использует рекомендуемые Санкт-Петербургским
государственным казѐнным учреждением «Городской информационно-
расчетный центр» (ГИРЦ) меры, разработанные на основании мер,
предусмотренных проектом системы защиты информации в ЭСРН для
организаций использующих эту ИС. Ниже приведен список рекомендаций из
соглашения об использовании государственной информационной системы
«Автоматизированная информационная система «Электронный социальный
регистр населения Санкт-Петербурга» и поручении оператором пользователю
обработки персональных данных:
1. Утвердить приказом руководителя перечень лиц, доступ которых к
персональным данным, обрабатываемым в ЭСРН, необходим для выполнения
ими служебных (трудовых) обязанностей. Обязать лиц, допущенных к обработке
персональных данных сохранять конфиденциальность персональных данных
ставших известными им при исполнении служебных обязанностей и установить
ответственность за ее нарушение.
2. Ограничить доступ в помещения, в которых постоянно размещаются
стационарные технические средства, имеющим доступ в ЭСРН, средства защиты
32
информации, а также средства обеспечения функционирования, с целью
исключения возможности неконтролируемого проникновения или пребывания в
этих помещениях лиц, не имеющих права доступа в эти помещения.
3. Исключить возможность использования на рабочих станциях имеющим
доступ к ЭСРН съемных машинных носителей информации (флэш-накопители,
внешние накопители на жестких дисках и иные устройства).
4. На рабочих станциях, имеющих доступ к ЭСРН использовать
антивирусную защиту с постоянно обновляемой антивирусной базой.
Антивирусное программное обеспечение должно иметь действующий
сертификат соответствия не ниже 5 класса по защите информации и прошедшие
проверку не ниже чем по 4 уровню контроля отсутствия недекларированных
возможностей.
5. Исключить возможность выхода в публичную сеть (интернет) с рабочих
мест имеющим доступ к ЭСРН.
6. Исполнять требования по защите информации, предусмотренные
регламентом защищенного сегмента Единой мультисервисной
телекоммуникационной сети исполнительных органов государственной власти
(далее — ЕМТС), используемого для предоставления канала передачи
информации между контролируемыми территориями Пользователя и Оператора
для взаимодействия с серверами ЭСРН.
7. Осуществлять размещение устройств вывода (отображения)
информации, подключенные к рабочим станциям, имеющим доступ к ЭСРН,
исключающее ее несанкционированный просмотр.
Разработаны локальные акты по вопросам обработки персональных
данных: «Положение о защите персональных данных» (см. Приложение Л). В
учреждении утверждена приказом политика обработки персональных данных.
Обеспечивается учет машинных носителей персональных данных.
Осуществляется внутренний контроль соответствия обработки
персональных данных настоящему Федеральному закону и принятым в
соответствии с ним нормативным правовым актам, требованиям к защите
персональных данных.
33
Работники учреждения, непосредственно осуществляющие обработку
персональных данных, ознакомлены с положением законодательства РФ о
персональных данных, в том числе с требованиями к защите персональных
данных, документами, определяющими политику учреждения в отношении
обработки персональных данных, локальными актами по вопросам обработки
персональных данных.
Приняты правила доступа к персональным данным, обрабатываемым в
информационной системе персональных данных, а также обеспечивается
регистрация и учет всех действий, совершаемых с персональными данными в
информационной системе персональных данных.
Персональные данные доступны для строго определенного круга
работников, в здании установлены охранная и пожарная сигнализация, сведения
на бумажных носителях хранятся в запирающихся металлических шкафах,
определены места хранения персональных данных, физическая охрана,
предусматривающая контроль доступа в помещения информационной системы
посторонних лиц
Обезличивание ПД — действия, делающие невозможным без
использования дополнительной информации определить принадлежность ПД
конкретному лицу[1]. Для разрабатываемой ИС не актуально потому, что
персональные данные будут в основном использоваться внутри одного
отделения, и для защиты ПД будет использоваться разграничение прав доступа к
данным.
1.3. Анализ существующих разработок и выбор стратегии
автоматизации «КАК ДОЛЖНО БЫТЬ»
1.3.1. Анализ существующих разработок для автоматизации
задачи
В настоящее время существует очень малое количество
автоматизированных информационных систем, осуществляющих решение
задачи автоматизации деятельности учреждений социального обслуживания
населения.
34
Существующая система АИС ПУКДССО как следует из ее названия
создана для учета услуг оказанных в организациях социального обслуживания в
масштабе города, и обладает крайне ограниченным набором возможностей по
автоматизации работы конкретных учреждений социального обслуживания
населения.
Такие решения как «Программный комплекс «Социальное обслуживание
населения» компании «АСС-БИЗНЕС СОФТ» имеют перегруженный интерфейс
работы, в котором большое внимание уделено планированию обслуживания, а
не удобному учѐту услуг.
Другие программные решения по автоматизации организаций
социального обслуживания имеют несовпадающие направления работы, как
например программный комплекс «Катарсис», который автоматизирует работу
региональной службы занятости.
Основные недостатки существующих систем — это:
отсутствие функций автоматизации документооборота;
не учитывается специфика работы отделений;
неоптимальная эргономичность форм ввода услуг.
В связи с этим было принято решение о разработке собственной
автоматизированной информационной системы АИС ТриУСОН. Конечно,
идеальным вариантом, было бы доработка существующей АИС ПУКДССО, на
данный момент подобное предложение было отклонено разработчиками данного
ПО. Однако, если в будущем данный вопрос будет решѐн, то возможна
интеграция разработанной системы с АИС ПУКДССО.
1.3.2. Выбор и обоснование стратегии автоматизации задачи
Разработка информационных систем для автоматизации процессов
обычно осуществляется специалистом в несколько этапов [6, c.10]:
1. определение типа информационной системы, ее архитектуры,
степени автоматизации, характер обработки данных, сферу
применения, масштаб;
2. выбор модели жизненного цикла;
35
3. разработка и согласование технического задания, какие функции
она должна решать в первую очередь;
4. проектирование информационной системы;
5. разработка и согласование дизайна;
6. разработка первой версии информационной системы согласно
техническому заданию и выбранному дизайну;
7. тестирование и внедрение;
8. уточнение технического задания и переход к пункту 5 для
разработки следующей версии ПО.
Рассмотрим основные виды стратегии автоматизации:
1. Кусочная (хаотичная) — является наиболее неэффективным видом
инвестирования средств для развития организации. При таком подходе процесс
внедрения информационной системы определяется локальными моментальными
задачами. При выборе данной стратегии можно сэкономить время и средства, но
в будущем при возможной необходимости модернизации, которая будет
затрагивать полную автоматизацию, использование системы будет не
рациональным и экономически невыгодным.
2. Автоматизация по участкам направлена на процесс автоматизации
отделений организации, которые объединены по функциональному признаку.
Если у организации не хватает инвестиций для полной автоматизации, или же
существующие участки дают большой экономический эффект, в данном случае
применяется автоматизация по участкам.
3. Автоматизация по направлениям применяется для автоматизации
отдельных направлений деятельности рассматриваемой организации, отличается
от автоматизации по участкам тем, что автоматизация предполагает участие всех
подразделений, связанных с автоматизируемым направлением. Конечным
результатом этой стратегии может служить полная автоматизация деятельности
организации.
4. Полная автоматизация. Применяя данный вид автоматизации,
разрабатывается система, состоящая из различных отделов различного
назначения, что позволяет применять один алгоритм для решения похожих
задач. Так как все собрано в одной системе, исключается дублирование
36
различных справочников в разных системах. Полная автоматизация требует
больших временных и финансовых затрат.
Основной вид СПб ГБУСОН «КЦСОН Адмиралтейского района Санкт-
Петербурга» это оказание услуг, эту деятельность можно разделить по
направлениям (например: формам обслуживания), каждое из которых тем не
менее имеет свои особенности. Поэтому, при разработке информационной
системы учета и статистического анализа услуг АИС ТриУСОН, было принято
использовать стратегию автоматизации по направлениям, с дальнейшей
возможностью интегрировать систему с существующими решениями или
расширить систему.
1.3.3. Выбор и обоснование способа приобретения ИС для
автоматизации задачи
Было принято решение о разработке собственной информационной
системы, а не адаптация существующей, по следующими причинам:
Так как основными пользователями информационной системы будут
люди с различными уровнями образования, со средним возрастом
более сорока лет, большинство из которых не имеют опыта работы со
специализированным ПО.
В связи с большим количеством услуг оказываемых ежемесячно,
требуется хорошая эргономичность форм ввода данных.
Отсутствие потребности в таких средствах как «проводки», налоговые
отчисления, и прочих специальных возможностях.
В отделе кадров, бухгалтерском отделе и контрактном отделе уже
внедрены специализированные информационные системы, однако
работа этих систем почти полностью отделена от деятельностью по
учету услуг (примечание: сумма к оплате за услуги для получателя
СУ может иметь нелинейную зависимость от количества и стоимости
услуг).
Специфика работы в социальной сфере подразумевает, что
практически вся деятельность по составлению и обработке документов
37
приходится на организацию, в связи с чем нет необходимости в
сложных схемах проводки документов.
Рассмотрев основные варианты приобретения, основываясь на
возможностях и специфики работы СПб ГБУСОН «КЦСОН Адмиралтейского
района Санкт-Петербурга», был выбран вариант разработки собственной
информационной системы, которая будет полностью удовлетворять
потребностям организации, так как будет уникальным продуктом.
1.4. Обоснование проектных решений
1.4.1. Обоснование проектных решений по информационному
обеспечению
Информационное обеспечение ИС можно определить как совокупность
единой системы классификации и кодирования информации, унифицированных
систем документации, схем информационных потоков, циркулирующих в
организации, и методология построения баз данных.
Информационное обеспечение ИС является средством для решения
следующих задач:
обеспечения однозначного и эффективного представления
информации в системе (назначения уникального ключа);
обеспечение средств анализа и обработки информации с учетом
характера связей между объектами (на основе классификации
объектов);
организации взаимодействия пользователей с системой;
обеспечения эффективного использования информации для
управления деятельностью организации (на основе унифицированной
системы документации).
Информационное обеспечение ИС включает два комплекса: внемашинное
информационное обеспечение (классификаторы технико-экономической
информации, документы, методические инструктивные материалы) и
внутримашинное информационное обеспечение (макеты/экранные формы для
ввода первичных данных в ЭВМ или вывода результатной информации,
структуры информационной базы: входных, выходных файлов, базы данных).
38
Рассмотрим внемашинное информационное обеспечение.
Для того чтобы обеспечить эффективный поиск, обработку на ЭВМ и
передачу по каналам связи информации, ее необходимо представить в цифровом
виде. С этой целью ее нужно сначала упорядочить (классифицировать), а затем
формализовать (закодировать) с использованием классификатора.
Классификатор — это систематизированных свод наименований
группировок объектов, признаков и их кодовых обозначений. Классификаторы
служат средством описания данных, обуславливают единство классификации и
кодирования информации и предназначены для обеспечения машинной
обработки и выдачи данных в удобной форме потребителям при решении
различных задач. В зависимости от применения они делятся на три группы:
общегосударственные классификаторы,
отраслевые (ведомственные) классификаторы, используемые в
пределах определенной отрасли (ведомства);
локальные классификаторы, используемые в пределах организации
или группы организации.
В данном дипломном проекте будет использоваться отраслевой перечень
государственных услуг Санкт-Петербурга в сфере социальной защиты населения
, а также локальные классификаторы.
Рассмотрим основные входные документы:
индивидуальная программа предоставления социальных услуг
(ИППСУ), на основании которой заключается договор;
справки о доходах;
льготных категориях;
справки об инвалидности;
индивидуальная программа реабилитации и абилитации.
Существует три способа организации информационной базы (ИБ):
файловая организация ИБ, интегрированная ИБ, смешанная организация ИБ.
В данном дипломном проекте в связи большим числом записей (до ста
тысяч записей) об оказанных услугах вводимых ежемесячно и необходимостью
совместной работы, целесообразно использовать интегрированная ИБ. При
39
централизации управления данными с помощью СУБД обеспечивается
совместимость этих данных, уменьшение их избыточности.
Существует три основных модели логической структуры базы данных (по
способу установления связей между данными): иерархическая, сетевая и
реляционная. Также иногда выделяют дополнительные модели баз данных:
объектно-ориентированные, объектно-реляционные, постреляционные (введены
многозначные поля) и многомерной[16, с. 28].
Для разрабатываемого проекта предпочтительно использование
реляционной база данных по следующим причинам:
единообразие представления данных (привычное для пользователей
представление данных в виде таблиц)[8, с. 107];
наличие реляционно-полного языка для работы с данными (можно
быстро сформировать связи между таблицами для правильного
построения запроса к базе данных);
наличие теоретически обоснованных методов нормализации
отношений в БД, что позволяет минимализировать избыточность
информации, избежать аномалий обновления данных, обойтись без
дополнительных проверок целостности данных;
независимость данных — когда необходимо изменить структуру
реляционной базы данных, то это приводит к минимальным
изменениям в программном продукте;
архитектура построения связи более проста, чем при использовании
сетевой или иерархической структуры.
Для решения поставленной задачи задействованы такие классификаторы
объектов, как: услуги, отделения, работники отделения, работники, должности
работников, договора, услуги договоров, дополнтительные сведения к договорам
и дополнительным соглашениям, РИПСО, услуги РИПСО, адреса, квитанции,
приходы денежных средств, получатели СУ, категории получателей СУ,
прожиточные минимумы.
Перейдем к рассмотрению внутримашинного информационного
обеспечения. Оно включает макеты (экранные формы) для ввода первичных
40
данных в ЭВМ или вывода результатной информации, и структуры
информационной базы: входных, выходных файлов, базы данных.
Результаты работы программы отображается в таких документах как:
отчеты (центра, групп отделений, отделений, по категориям
получателей СУ, клубов и кружков, работников);
договора, акты, квитанции, расчеты оплаты, заключения,
дополнительные соглашения к договорам;
экранные формы.
Для ввода, редактирования и отображения информации используются
экранные формы. При этом для эффективности работы системы экранные
формы спроектированы по следующим принципам:
1. Пользователь вводит информацию один раз. То, что когда уже было
введено в систему, не надо вводить повторно.
2. Проверка ввода данных пользователя. Компоненты формы
ограничивают ввод значений в пределах допустимого алфавита.
3. Дружественный интерфейс, интуитивно понятный пользователю.
1.4.2. Обоснование проектных решений по программному
обеспечению
Программное обеспечение (ПО) — совокупность программ системы
обработки информации и программных документов, необходимых для
эксплуатации этих программ[3].
В качестве основных критериев в выборе ПО для разработки ИС было
обеспечение: совместимости с существующим аппаратным и программным
обеспечением, платформонезависимости, надежности, длительный период
поддержки (англ. Long term support, LTS) — минимизации затрат на
сопровождение и поддержку, минимализация затрат на приобретение.
Клиент-серверная архитектура (см. рисунок 4) для разрабатываемой ИС
была выбрана по следующим причинам:
она позволяет одновременно и совместно использовать общий набор
данных хранящихся на сервере;