68
содержанию предназначены для применения ограниченным кругом лиц. Для
решения этой проблемы созданы и активно развиваются методы, средства и
стандарты обеспечения защиты программ и данных от предумышленных
негативных внешних воздействий.
Специфические факторы обеспечения информационной безопасности и
риски, характерные для сложных информационных систем, — целостность,
доступность и конфиденциальность информационных ресурсов, а также ряд
типовых процедур систем защиты — криптографическая поддержка,
идентификация и аутентификация.
Перечислим процессы, которые могут быть отражены пятью этапами
работ и процедур, которые рекомендуется выполнять при поддержке базовых
работ жизненного цикла проектов сложных программных средств, и могут
служить основой для разработки соответствующих планов работ при
управлении и сокращении рисков (рис. 14).
69
Рисунок 14. Процессы поддержки базовых работ жизненного
цикла.
Таким образом, в жизненном цикле информационных систем могут
проявляться риски, как показано на рис. 15:
70
Рисунок 15. Фазы проявления рисков.
Если масштаб проекта ИС в договоре завышен, то следствием могут
быть, прежде всего, риски — ущерб экономических категорий —
превышения планируемых ресурсов: стоимости, трудоемкости, длительности
разработки и числа необходимых специалистов. При этом заказчик терпит
убытки, разработчик получает неоправданную прибыль
2.1.3 Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации.
Обеспечение информационной безопасности достигается системой мер,
направленных:
а) на предупреждение угроз. Предупреждение угроз — это
превентивные меры по обеспечению информационной безопасности в
интересах упреждения возможности их возникновения;
б) на выявление угроз. Выявление угроз выражается в
систематическом анализе и контроле возможности появления реальных или
потенциальных угроз и своевременных мерах по их предупреждению;
в) на обнаружение угроз. Обнаружение имеет целью определение
реальных угроз и конкретных преступных действий;
г) на локализацию преступных действий и принятие мер по
ликвидации угрозы или конкретных преступных действий;
д) на ликвидацию последствий угроз и преступных действий и
восстановление статус-кво.
Для защиты от информационных атак в настоящее время можно
использовать как организационные, так и технические меры защиты.
Организационные средства предусматривают внедрение на предприятии
требований к информационной безопасности автоматизированных систем,
закрепленных в нормативно-правовых документах. К ним относятся политика и
концепция обеспечения информационной безопасности, должностные
инструкции по работе персонала с автоматизированными системами. В состав
технических средств защиты автоматизированных систем входят программные,
аппаратные или программно-аппаратные комплексы.
Контролировать обмен информацией с внешним миром позволяет
система защиты от утечек информации, которая строится на основе одного или
нескольких технологических компонентов.
Основными задачами данной системы являются:
классификация конфиденциальной информации на основе поиска в
72
базе данных;
контроль хранения, обработки и передачи конфиденциальной
информации на персональных компьютерах пользователей;
обнаружение копий конфиденциальной информации на персональных
компьютерах пользователей;
контроль электронной почты, мессенджеров и других web-
приложений;
уведомления специалиста информационной безопасности о
нарушениях корпоративной политики информационной безопасности.
Для борьбы с утечками информации наибольшее распространение
получила технология DLP.
Система DLP позволяет осуществлять блокировку передачи данных
интерфейса компьютера. Данная система должна не только блокировать
передачу данных по сети, но и контролировать порты компьютера.
Недостатками системы является то, что DLP не могут предотвратить съем
данных с экрана, а также предотвратить утечки через ПЭМИН.
DLP делятся на две категории – интегрированные и корпоративные
решения. Корпоративные представляют собой набор программного
обеспечения для установки на различные устройства для мониторинга потока
данных и классификации информации. Интегрированные решения имеют более
узкую спецификацию, они работают промежуточными шлюзами для почтового,
web и других видов трафика.
Полноценная система объединяет в себе контроль над перемещением
информации на всех уровнях. Система представляет собой специализированное
программное обеспечение, состоящее из двух модулей сервера и клиентской
части. Одной из важнейших функций данного решения является возможность
сканирования файлов для обнаружения конфиденциальной информации. В DLP
можно выделить три модуля:
перехватчики;
73
агентские программы;
центральный управляющий сервер.
Анализом информации исходящей из периметра компании занимаются
перехватчики. Они классифицируют информацию и передают на управляющий
сервер. За соблюдением правил печати, отправки, копирования, а также
сохранения на съемный носитель данных следят агентские программы.
Управляющий сервер сопоставляет сведения, поступающие от перехватчиков, и
предоставляет интерфейс проработки инцидентов и построения отчетности.
DLP осуществляет анализ информации на контекст и содержание. Программа
проверяет не только содержание документов, но и размер, формат, заголовки,
источники информации. Для анализа содержания используются следующие
техники:
регулярные выражения – фильтр срабатывает на определенные слова
и фразы. Данный метод прост в использовании, однако существует большой
риск ложных срабатываний;
цифровые отпечатки – с информации снимается цифровой отпечаток
и сравнивается с базой данных в DLP. Недостатком данного метода является
уменьшение производительности;
точное совпадение файлов – сравниваются цифровые отпечатки
файлов. Подход плохо работает при анализе похожих между собой файлов;
частичное совпадение файлов – проверяет частичное совпадение
нескольких файлов;
по словарю – фильтр информации с помощью словаря или
определенных правил;
статистический анализ – использует нейронные сети или
статистические методы. Подход требует обучения системы на большой
выборке данных;
встроенные фильтры – осуществляют сортировку типов данных
74
При разработке программного обеспечения, разграничение прав доступа
будет интегрированной функцией. Для работы данного функционала
потребуется создать логин и пароль на каждого сотрудника, после этого нужно
будет создать роли на каждого пользователя или определенную группу в
соответствии с должностными инструкциями.
2.2 Информационное обеспечение задачи
2.2.1 Характеристика нормативно-справочной, входной и
оперативной информации
Под входной информация понимают информацию, получаемую
человеком или же устройством. Поэтому любая информация, которая требуется
для решения задачи и находится на различных носителях (в первичных
документах, на машинных носителях, в памяти ПК) относится ко входной
информации.
Поэтому на первом этапе составим перечень входной информации с
указанием необходимых реквизитов каждого вида, указав расположение
реквизитов входной информации с описанием полей (реквизитов) входных
документов.
Входная оперативная информация представляет собой заполнение и
ввод в базу данных информации о продукции предприятия.
Нормативно-справочная информация представлена только на
электронных носителях, что позволит существенно облегчить работу с
документами и сократить объем хранимых документов на бумажных
носителях.
75
В системе используются справочники, приведенные в таблице 14.
Таблица 6.
Перечень используемых справочников.
№
Название
справочника
Ответственный
за ведение
Средний
объем
справочника в
записях
Средняя
частота
актуализации
Средний объем
актуализации
1
Должности
Директор
4
2 раза/год
2%
2
Сотрудники
Директор
8
12 раз/год
10%
3
Продукция
Директор
245
40 раз/месяц
20%
4
Клиенты
Директор
476
60 раз/ месяц
20%
5
Заказы
Администратор
920
120 раз/год
48%
Реквизитный состав справочников приведен в таблице 15.
Таблица 7.
Реквизитный состав справочников.
№
Наименование
Перечень реквизитов
1
Должности
Код_должности
Наименование
2
Сотрудники
№_табельный
Фамилия
Имя
Отчество
Дата_рождения
Адрес
Код_должности
Оклад
3
Продукция
Код_продукции
Наименование
Опт_цена
№_табельный
Описание_продукции
Произведено_шт
Дата _пролизводства
Остаток_на_складе
4
Клиенты
Код_клиента
Название_фирмы
76
Адрес_фирмы
5
Заказы
№_заказа
Количество_шт
Код_клиента
Код_продукции
Дата_заказа
2.2.2 Характеристика результатной информации
Описание результатных документов приведено в таблице 16.
Таблица 8.
Характеристики результатных документов.
№
Наименование
документа
Реквизиты
Таблицы, на
основе
которых
формируется
Частота
формирования
Способ
доставки
1
Заявка
Номер
документа
Дата документа
Сотрудник
Клиент
Сотрудник
Клиент
По мере
обращения
Экранная
форма
2
Договор
Номер
документа
Дата документа
Сотрудник
Клиент
Сотрудник
Клиент
По мере
обращения
Экранная
форма
3
Продажа
клиентам
Номер
документа
Дата документа
Сотрудник
Клиент
Сотрудник
Клиент
По мере
обращения
Экранная
форма
5
Поступление
на склад
Номер
документа
Дата документа
Сотрудник
Сотрудник
По мере
поступления
Экранная
форма
2.3 Программное обеспечение задачи
2.3.1 Общие положения (дерево функций и сценарий диалога)
Для управления программой необходимо осуществлять выбор того или
иного пункта меню или подменю, причем всем пунктам меню в соответствие
поставлена индивидуальная функция. Дерево функций представлено на
рисунке 16.
77
Рисунок 3. Дерево функций.
Разработаем сценарий диалога на основании дерева функций для работы
ООО «Алькор», который изобразим с помощью схемы на рисунке 17.
Заставка
Ввод логина и пароля
Главное меню
Справочники
Реализация
Запросы
Отчеты
Должности
Сотрудники
Продукция
Клиенты
Заказы
Продажи
Объем
производства
Заявки за период