26
1.2.4. Анализ системы обеспечения информационной безопасности и защиты
информации
Рассмотрим систему обеспечения информационной безопасности и защиты
информации, применяемую в организации. Процесс обеспечения информационной
безопасности состоит из следующих направлений [12]:
правовая защита, представляющая собой законодательство РФ, а
также внутренние нормативно-правовые документы организации: положение об
обеспечении конфиденциальности информации, список сведений, которые
составляют коммерческую тайну, регламент допуска сотрудников к
конфиденциальной информации, положение о делопроизводстве и
документообороте, обязанности сотрудника о неразглашении конфиденциальной
информации, памятка сотруднику о сохранении коммерческой тайны;
организационные меры обеспечения конфиденциальности
информации включают в себя перечень режимно-административных и
организационных мероприятий. К таким мероприятиям относят: организацию
службы безопасности, организацию внутриобъектового и пропускного режимов,
организацию работы с сотрудниками, направленную на неразглашение сведений,
которые составляют коммерческую и служебную тайну, организацию режима
работы с документами, организацию работ по анализу внешних и внутренних
угроз;
инженерно-технические методы защиты информации представляют
собой процесс применения комплекса технических, электронных и программных
средств, которые направлены на обеспечение защиты информации.
К таким средствам относятся следующие применяемое программное
обеспечение:
антивирусное программное обеспечение (встроенный антивирус ОС
Windows 10);
программные брандмауэры, входящие в состав применяемых
коммутаторов;
средства, направленные на идентификацию и аутентификацию
пользователей (usb-ключи Activkey).
27
Кроме того, для защиты ЛВС организации применяются следующие методы:
в организации назначен администратор безопасности;
за каждым устройством закреплен сотрудник, отвечающий за его
эксплуатацию;
системный блок компьютера опечатывается печатями ответственного
сотрудника;
CD-ROM сняты с системных блоков компьютеров;
установка какого-либо программного обеспечения может проводиться
только ответственными за установку ПО сотрудниками;
запрещается применение неучтенных носителей информации. На
учтенных носителях выполнена маркировка, в том числе гриф хранимой
информации, номер, должность и фамилия сотрудника.
Далее рассмотрим основные возможности применяемого программного
обеспечения. USB-ключи ActivKey обладают небольшим размером и удобной
формой. При этом они способны обеспечить надежную защиту информации с
помощью системы двухфакторной аутентификации, использования цифровой
подписи и шифрования данных аналогично тому, как это реализовано в смарт-
картах. Устройства ActivKey имеют прямое подключение к системному блоку с
помощью USB-портов, что позволяет экономить ресурсы информационной
инфраструктуры. При осуществлении подсоединения ключа к USB-порту
осуществляется процесс аутентификации на рабочей станции, сетевых ресурсах. А
при осуществлении удаленного доступа, USB-ключи могут осуществить
авторизацию в приложениях и обеспечить защиту данных и транзакций. USB-
ключи ActivKey применяются в качестве идентификаторов для сотрудников
организации, они помогают управлять персональными данными, обеспечить
функции PKI и надежно сохраняют идентификационные данные пользователей.
Для обеспечения защиты информации организации от источников
внутренних угроз в системе применяется разграничение прав доступа.
Защита конфиденциальной информации от внешних угроз осуществляется с
помощью применения следующих методов:
использование программно-аппаратных комплексов;
использование защищенных каналов связи при передаче данных;
28
разработка и соблюдение политики безопасности;
применение антивирусных средств;
физическая защита помещений, в которых хранится
конфиденциальная информация.
Процесс обеспечения информационной безопасности компании
регламентирован следующими нормативно-правовыми и организационно-
распорядительными документами:
1. Концепцией обеспечения конфиденциальности информации.
2. Правилами обеспечения информационной безопасности при работе
пользователей в корпоративной сети организации.
3. Комплексным планом защиты информационных ресурсов от
несанкционированного доступа.
4. Политикой и Регламентом процесса резервного копирования и
восстановления данных.
5. Антивирусной политикой, Инструкцией по защите от компьютерных
вирусов, Стандартом на антивирусное ПО.
6. Политикой управления доступом к ресурсам корпоративной сети.
7. Политикой обеспечения безопасности при взаимодействии с сетью
Интернет, Парольной политикой.
8. Руководством по защите конфиденциальной информации, Перечнем
сведений, которые составляют конфиденциальную информацию, Соглашением о
конфиденциальности.
9. Политикой обеспечения физической безопасности помещений и
оборудования организации.
10. Политикой информационной безопасности.
В перечисленных документах указаны положения в соответствии с их
названиями, а также установлены ответственные лица и ответственность за
нарушение указанных правил.
29
1.3. Анализ существующих разработок и выбор стратегии автоматизации
«КАК ДОЛЖНО БЫТЬ»
1.3.1. Анализ существующих разработок для автоматизации задачи
Рассмотрим существующие автоматизированные системы учета рабочего
времени. Программный продукт «Yaware» предназначен для автоматизации
процесса учета рабочего времени сотрудников организации с последующим
формированием отчётности для руководства [26]. В системе формируется два типа
отчетов:
Отчет «Остался после работы» помогает осуществить контроль
превышения рабочего времени персона. Руководитель подразделения будет знать,
чем занимаются сотрудники компании на своих рабочих местах после окончания
рабочего дня. В связи с этим программное обеспечение пригодится в тех случаях,
когда сотрудникам запрещено находиться в офисе после работы.
Отчет «По деятельности сотрудника» предоставляет данные о
нарушениях дисциплины. В отчете включена информация об использовании
рабочего времени, включая данные о нарушениях, к которым относятся: опоздания
и уходы раньше положенного времени, а также общее количество отработанных
часов в организации и их продуктивность.
Интерфейс программного продукта представлен на рисунке 9.
Рисунок 9. Интерфейс программного продукта «Yaware»
30
Программный продукт «primeERP» является облачным приложением,
которое позволяет вести учет рабочего времени сотрудников организаций.
Программный продукт разработан чешской компанией «ABRA Software» [27].
Система включает в себя несколько приложений, которые могут использоваться в
онлайн-интерфейсе, планшете или телефоне. К ним относятся приложение
«TimeTracking», предназначенное для контроля рабочего времени сотрудников, и
приложение «Billing», предназначенное для выставления счетов на основании
затраченного времени. Интерфейс программного продукта представлен на рисунке
10.
Рисунок 10. Интерфейс программного продукта «primeERP»
Программный продукт «Большой Брат» позволяет отмечать временные
периоды, связанные с пребыванием на рабочем месте, обеденными перерывами и
простоями; помимо этого, система позволяет осуществить контроль интернет-
трафика и формировать отчетность, связанную с использованием рабочего времени
[24].
По заявлениям разработчиков программного продукта, сотрудники
компании перешли на работу по гибкому графику, поскольку система позволяет
точно учитывать (а потом оплачивать) время переработки. Помимо этого,
появилась возможность предложения заказчикам почасовой схемы оплаты труда и
предоставления им полного отчета о том, как было потрачено оплаченное время.
Программный продукт «TimeCamp»является проектным трекингом, в
котором пользователь может самостоятельно задавать время работы и описывать
31
какой задачей занимался [25]. В программном продукте есть клиентская версия,
которая устанавливается на компьютер сотрудника и осуществляет сбор данных о
временных интервалах, проведенных за компьютером и запущенных приложениях.
Программа позволяет устанавливать начало и конец рабочего дня, а также
высчитывает его продолжительность. Этот временной интервал оказывает влияние
на процесс работы клиентской версии. Агент не собирает информацию об
активности сотрудника в нерабочее время.
Руководитель может изменять в программе тип рабочего времени: отпуск,
больничный или деловая поездка для каждого сотрудника. Программа формирует
отчет «Посещаемость», в котором содержатся данные о рабочем времени каждого
сотрудника на каждый день месяца. Интерфейс программы представлен на рисунке
11.
Рисунок 11. Интерфейс программного продукта
Для оценки степени соответствия параметров программного продукта,
автоматизирующего процесс учета рабочего времени, потребностям организации,
необходимо выделить ряд критериев.
Критериями оценки соответствия программного продукта будут:
32
1. Функциональность решения. К потребностям организации относятся:
ввод и хранение данных о рабочем времени, формирование табеля учета рабочего
времени и формирование аналитической отчетности.
2. Принцип работы. Степень автоматизации процесса сбора данных и
специфика собираемых данных.
3. Информативность отчетов.
4. Гибкость настройки системы: способ настройки системы,
необходимость ввода данных для авторизации.
5. Доступ к статистике. Наличие возможности предоставить
пользователю доступ к собственной статистике и возможность назначения ролей,
разграничивающих доступ.
6. Качество интерфейса.
7. Стоимость системы, которая включает затраты на приобретение,
поддержку и обновление лицензии.
С помощью приведенных выше критериев проанализируем соответствие
системы потребностям организации. Для этого введем шкалу оценки. Оценка будет
производиться по пятибалльной системе, где «1» обозначает полное
несоответствие критерию, а «5» – полное соответствие критерию. Результаты
оценки представлены в таблице 4.
Таблица 4
Анализ программных продуктов, автоматизирующих учет
рабочего времени
Критерий
Yaware
primeERP
Большой
брат
TimeCamp
Функциональность
3
4
4
3
Принцип работы
3
4
5
4
Информативность
отчетов
4
4
3
4
Гибкость настройки
5
3
3
3
Наличие статистики
4
3
4
4
Интерфейс
4
5
4
3
Стоимость
5
4
5
4
Итого
28
30
28
29
На основании проведенного анализа можно заключить, что перечисленные
системы не удовлетворяют требованиям к функциональности решения и не
обладают необходимой гибкостью настройки. В целом все перечисленные системы
показывают среднюю степень соответствия выделенным критериям. В связи с
33
этим, при их внедрении будет необходимость доработки функционала системы под
требования организации.
1.3.2. Выбор и обоснование стратегии автоматизации задачи
Рассмотрим существующие виды стратегии автоматизации:
1. Хаотичная стратегия автоматизации направлена на внедрение
информационных технологий в те бизнес-процессы, где необходима срочная
локальная автоматизация. Такой подход может не отвечать реальным потребностям
бизнеса. Стратегия хаотичной автоматизации является несистематизированной,
поэтому не приносит необходимого эффекта. В результате такого подхода к
автоматизации в организации присутствуют множество разрозненных прикладных
систем.
2. Стратегия автоматизации бизнес-процессов организации по участкам
заключается в том, что автоматизации подлежат отдельные производственные или
управленческие подразделения, которые будут объединены по функциональному
признаку. Эта стратегия чаще всего применяется при автоматизации
производственных участков. Для обеспечения эффективности такой стратегии
необходимо осуществить предварительное стратегическое и оперативное
планирование процесса автоматизации.
3. Стратегия автоматизации по направлениям представляет собой
процесс автоматизации выделенных направлений деятельности организации,
например, производства, сбыта или управления финансами. При применении
стратегии автоматизации по направлениям деятельности необходимо обязательное
участие всех организационных подразделений, которые функционально связаны с
автоматизируемым направлением.
4. Стратегия полной автоматизации управления предприятием включает
в себя внедрение автоматизированной системы, состоящей из комплекса
программных модулей различного назначения. Примером такой стратегии является
внедрение системы класса ERP, которая охватывает все процессы организации.
Поскольку в организации уже существует система, автоматизирующая
большинство бизнес-процессов, необходимо, используя стратегию автоматизации
34
по направлениям, разработать программный модуль для учета рабочего времени
сотрудников организации.
1.3.3. Выбор и обоснование способа приобретения ИС для автоматизации
задачи
Рассмотрим существующие способы приобретения информационных систем
для автоматизации поставленной задачи. Приобретение информационных систем
может осуществляться одним из перечисленных способов:
1. Покупка готовой специализированной ИС.
2. Разработка ИС своими силами.
3. Разработка ИС сторонней фирмой.
4. Покупка системы и её доработка [21].
Рассмотрим вариант покупки готовой информационной системы,
автоматизирующей бизнес-процесс учета рабочего времени. Ранее были
рассмотрены программные системы, представленные на рынке, и был сделан вывод
о том, что они не удовлетворяют потребностям организации, поэтому покупка
готовой информационной системы не потребуется.
Рассмотрим вариант с покупкой системы и ее доработкой. Доработка
информационной системы под потребности организации является трудоемкой и
добавление необходимого информационных систем под нужды компании
потребует внесения значительных изменений исходного кода и бизнес-логики.
Поэтому оба варианта приобретения информационной системы были отклонены.
Следующая группа вариантов приобретения информационных систем
подразумевает разработку информационной системы, удовлетворяющей
требованиям организации. Поскольку в компании отсутствуют специалисты с
необходимой квалификацией для автоматизации бизнес-процесса, вариант
разработки системы своими силами не подходит. Следовательно, подходящим
будет являться вариант разработки системы силами сторонней организации.
35
1.4. Обоснование проектных решений
1.4.1. Обоснование проектных решений по информационному обеспечению
Рассмотрим состав и содержание входных и выходных документов процесса
учета рабочего времени. Входными документами являются:
заявления (заявление о предоставлении ежегодного оплачиваемого
отпуска, заявление о предоставлении отпуска без сохранения заработной платы);
больничные листы;
приказы (приказ о привлечении работника к сверхурочной работе).
Из перечисленных документов заявления и приказы не имеют
унифицированной формы. Больничный лист выдается медицинской организацией и
имеет унифицированную форму, представленную на рисунке 12.
Рисунок 12. Унифицированная форма больничного листа