46
При стратегии узкого места объем работ уменьшается значительно, и при
заданных ресурсах узкое место может быть завершено в более короткие сроки,
чем внедрение во всей фирме.
Свойство этой стратегии — сосредоточение на узком месте в
производственном процессе — упрощает внедрение.
Узкое место служит испытательным полигоном для дальнейших работ.
Оно может явиться успешным примером, помогающим внедрению во всей
фирме.
Выбираем стратегию внедрения узкое место.
2.1.2. Ожидаемые риски на этапах жизненного цикла и их описание
В ходе жизненного цикла информационной системы всегда могут
возникнуть риски, могущие сорвать разработку. Для их избежания проводится
оценка вероятных рисков и разрабатываются способы, позволяющие избегнуть
эти риски или минимизировать их влияние.
Существуют различные типы моделей ЖЦ ИС, и разные компании могут
использовать наиболее удобные для себя подходы.
Каждая из приведенных стадий несет в себе определенный набор угроз,
которые должны быть своевременно учтены и обработаны. Наиболее
распространенные угрозы:
неверная формулировка требований к ИС;
неадекватный выбор процессов ЖЦ и вовлеченных в них участников;
принятие неверных проектных решений;
внесение разработчиком дефектов на уровне архитектурных решений;
внесение разработчиком недокументированных возможностей в ИС в
целом или в ее отдельные компоненты;
неадекватная (неполная, противоречивая и пр.) реализация
предъявленных к ИС требований;
47
сборка ИС с нарушением предъявляемых требований, приводящая к
появлению недокументированных возможностей в ИС либо к неадекватной
реализации требований;
разработка некачественной документации;
неверное конфигурирование ИС;
приемка ИС, не отвечающей требованиям, установленным в компании;
внесение недокументированных возможностей в ИС в процессе
проведения приемочных испытаний посредством использования
недокументированных возможностей функциональных тестов и тестов ИБ [9].
Безопасность при разработке ИС может быть обеспечена следующими
мерами:
1. Определение процедур разработки ИС. С целью снижения вероятности
возникновения проблем с безопасностью заранее должны быть определены
методы и средства разработки. Они должны охватывать все используемые
языки программирования (C++, JavaScript, SQL и пр.).
2. Организация среды разработки. Для организации безопасного процесса
разработки рекомендуется выделить рабочие места ответственных лиц в
отдельный защищенный сетевой сегмент, обеспечить рабочие места средствами
антивирусной безопасности и защиты от НСД, использовать "чистую"
лицензионную политику. Эти простые меры позволят значительно снизить
риски несанкционированного доступа и изменения кода посторонними лицами.
3. Обучение персонала методам безопасной разработки. Понимание
проблем безопасности современных приложений и новых способов атак крайне
необходимо для создания защищенной ИС, поэтому проведение тренингов по
ИБ для разработчиков может существенно повысить качество и безопасность
ИС.
4. Анализ и тестирование исходных кодов на наличие уязвимостей и не
декларированных возможностей. Исходные коды должны периодически
анализироваться с помощью автоматизированных средств или в ручном режиме
48
на наличие распространенных ошибок, в том числе: межсайтовый скриптинг,
переполнение буфера, ошибки при проверке входных данных для обработки,
ошибки в процессе обработки данных, пароли в открытом виде и т.д.
Альтернативным решением может стать использование услуг третьих сторон
по анализу кода на уязвимость.
5. Разработка (получение) документации на ИС. Документация на ИС
должна включать описание применяемых защитных мер и функций, описанных
в техническом задании. С точки зрения ИБ документация как минимум должна
содержать:
• описание ролевой системы;
• описание механизмов доступа, регистрации событий, целостности,
резервирования;
• параметры настроек безопасности.
При приобретении ИС необходимо уделить особое внимание
оформлению договорных обязательств. Помимо указанных выше требований
по обеспечению безопасной разработки и поставки ИС, на поставщика должна
быть возложена ответственность на случай возникновения каких-либо
инцидентов ИБ, связанных с некачественной разработкой, нарушением правил
поставки и пр. Также следует учитывать наличие у разработчика необходимых
лицензий на разработку и эксплуатацию средств и систем защиты.
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Система мероприятий, направленных на защиту данных в
разрабатываемой системе включает ряд аспектов, а именно:
защита данных непосредственно в ИС от различных внутренних
угроз;
защита информации от внешних угроз.
49
Защита от внешних угроз выполняется посредством применения таких
методов:
применение программно-аппаратных систем;
разработкой и ведение политик безопасности;
применение защищенных средств связи при передаче данных;
применение антивирусных средств;
физическая защита помещений с наиболее ценными данными.
К аппаратным средствам защиты информации относятся самые
различные по принципу действия, устройству и возможностям технические
конструкции, обеспечивающие пресечение разглашения, защиту от утечки и
противодействие несанкционированному доступу к источникам
конфиденциальной информации.
Аппаратные средства защиты информации применяются для решения
следующих задач:
1) проведение специальных исследований технических средств
обеспечения производственной деятельности на наличие возможных каналов
утечки информации;
2) выявление каналов утечки информации на разных объектах и в
помещениях;
3) локализация канаалов утечки информации;
4) поиск и обнаружение средств промышленного шпионажа;
5) противодействие несанкционированному доступу к источникам
конфиденциальной информации и другим действиям.
Системы защиты компьютера от чужого вторжения весьма разнообразны
и классифицируются, как:
1) средства собственной защиты, предусмотренные общим программным
обеспечением;
2) средства защиты в составе вычислительной системы;
3) средства защиты ас запросом информации;
50
4) средства активной защиты;
5) средства пассивной защиты аи другие.
Основные направления использования программной защиты информации
Можно выделить следующие направления использования программ для
обеспечения безопасности конфиденциальной информации, в частности такие:
1) защита информации от несанкционированной доступа;
2) защита информации от копирования;
3) защита программ от копирования;
4) защита программ от вирусов;
5) защита информации от вирусов;
6) программная защита каналов связи [3].
Программные средства защиты имеют следующие разновидности
специальных программ:
1) идентификации технических средств, файлов и аутентификации
пользователей;
2) регистрации и контроля работы технических средств и пользователей;
3) обслуживания режимов обработки информации ограниченного
пользования;
4) защиты операционных средств ЭВМ и прикладных программ
пользователей;
5) уничтожения информации в защитные устройства после
использования;
6) сигнализирующих нарушения использования ресурсов;
7) вспомогательных программ защиты различного назначения.
Защита информации от несанкционированного доступа
Для защиты от чужого вторжения обязательно предусматриваются
определенные меры безопасности. Основные функции, которые должны
осуществляться программными средствами, это:
1) идентификация субъектов аи объектов;
51
2) разграничение (иногда и полная изоляция) доступа к вычислительным
ресурсам и информации;
3) контроль и регистрация действий с информацией и программами.
Наиболее распространенным методом идентификации является парольная
идентификация [20]. Однако практика показывает, что парольная защита
данных является слабым звеном, так как пароль можно подслушать или
подсмотреть, перехватить или просто разгадать.
Средства защиты от копирования предотвращают использование
ворованных копий программного обеспечения и являются в настоящее время
единственно надежным средством – как защищающим авторское право
программистов-разработчиков, так и стимулирующих развитие рынка. Под
средствами защиты от копирования понимаются средства, обеспечивающие
выполнение программой своих функций только при опознании некоторого
уникального не копируемого элемента. Защита от копирования реализуется
выполнением ряда функций, являющихся общими для всех систем защиты:
1. Идентификация среды, из которой будет запускаться программа
(дискета или ПК);
2. Аутентификация среды, из которой запущена программа;
3. Реакция на запуск из несанкционированной среды;
4. Регистрация санкционированного копирования;
5. Противодействие изучению алгоритмов работы системы.
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и её описание
Информационная модель – это совокупность информации об объекте,
описывающая свойства и состояние объекта, процесса или явления, а также
связи и отношения с окружающим миром [21]. Информационная модель
представлена на рисунке 7.
52
Рисунок 7. Информационная модель системы
Провизор системы регистрирует поступление лекарств, применяя
справочники «Формы» и «Лекарства» изменяя содержимое таблицы
«Поставка», «Отпуск» и «Изготовить рецепт». Также он меняет содержимое
данной таблицы, корректируя информацию для работы.
53
2.2.2. Характеристика нормативно-справочной, входной и оперативной
информации
В системе применяются справочники, представленные в таблице 5.
Таблица 5
Перечень используемых справочников
Название
справочни-
ка;
Ответствен
ный за его
ведение;
Средний
объём
справочни
ка в
записях;
Средняя
частота
актуализ
ации;
Средний
объем
актуализаци
и (в записях
или в
процентах);
Аптеки
Провизор
200
1 раз в
месяц
10
Клиенты
Провизор
20
1 раз в
месяц
20
Формы
Провизор
10
1 раз в год
10
Вид_препарат
а
Провизор
10
1 раз в
месяц
20
Лекарства
Провизор
20
1 раз в
месяц
40
Таблица 6
и Описание в входных на документов
№
пп
Наименова-
ние
Реквизиты
Таблицы, на
основе
которых
формируется
Частота
формирован
ия
1
Поставка
Номер
Дата
Аптека
Вид_препарата
Препарат
Количество
Цена
Стоимость
Аптека
Лекарства
По мере
необходимости
2
Отпуск
Номер
Дата
Аптека
По_рецепту
Вид_препарата
Препарат
Количество
Цена
Стоимость
Аптека
Вид_препарата
Препарат
По мере
необходимости
3
Изготовить_ре
Номер
Клиенты
По мере
54
цепт
Дата
ФИО
Льготный
Препарат
Количество
необходимости
2.2.3 Характеристика результатной информации
Экранные и формы в отчетов наописаны но в как таблице 7.
Таблица и 7
Описание и выходных в документов
№
пп
Номенклатура
Реквизиты
Таблицы, на
основе
которых
формируется
Частота
формирован
ия
1
Поставка по виду
Номер
Препарат
Количество
Цена
Стоимость
Поставка
Ежедневно
2
По_рецепту
Номер
Дата
По_рецепту
Препарат
Количество
Цена
Стоимость
Поступление
материалов
Ежедневно
3
Оплата
Номер
Дата
ФИО
Льготный
Препарат
Количество
Оплата
Ежедневно
2.3. Программное обеспечение задачи
2.3.1. Общие положения (дерево функций и сценарий диалога)
Сценарий диалога довольно прост и имеет схожесть с интерфейсом
многих программных продуктов, с которыми пользователь уже скорей всего
имел дело. Применение структурированного меню и дочерних форм обеспечит
возможность конечному потребителю приложения максимально быстро
добраться до необходимой ему задачи.
55
Имея уже установленное представление выходной и входной
информации, основной задачей при разработке внутримашинной
информационной базы является создание структуры БД, которая обеспечивает:
простоту и удобство работы;
необходимые условия доступа к подбазам с учетом
санкционированного доступа к информации;
достаточную производительность для работы в режиме реального
времени.
Структурно программа составляется из модулей, которые выполняют
отдельные операции, входящие в состав функционального набора АРМ.
По своему существу, диалог представляет собой процесс обмена
сообщениями между пользователем и вычислительной машиной, при котором
производится постоянная смена ролей информатора и реципиента, при этом
смена паролей должна быть достаточно оперативной.
Работа с информационной системой начинается с главной формы, через
которую можно выйти в необходимую подсистему (рисунок 8).