47
Встраиваемые СУБД (FirebirdEmbedded, SQLite, Microsoft SQL
ServerCompact и пр.)[55]являются частью готового программного продукта,
а потому не требуют процедуры самостоятельной установки. Их основное
назначение – локальное хранение данных приложения, поэтому они и не
рассчитаны на коллективное использование в сети.
По типу схемы лицензирования различают [38]:
• коммерческие промышленные СУБД;
• бесплатные СУБД.
Большинство файл-серверных и встраиваемых СУБД
бесплатны(PostgreSQL, Firebird, MySQL) [38, 54].
Большинство производителей коммерческих СУБД
позволяютиспользовать бесплатные версии своих продуктов с урезанным
функционалом и производительностью.
Преимуществабесплатных СУБД:
• ихдоступность,
• низкие требования к ресурсам ПК,
• относительнобогатый функционалом
• высокая производительность при грамотной настройке.
Недостатки:
• отсутствие гарантии того, что через определенное время проект
не перестанет существовать,
• малое количество специалистов, способных обслуживать
данный тип СУБД.
Преимущества коммерческих СУБД:
• высокая производительность и надёжность,
• хорошая задокументированность
• масштабируемость,
• поддержка,
48
• разнообразие встроенных инструментов для разработки и
администрирования.
Недостатки:
• высокая стоимость,
• высокие требования к ресурсам ПК.
Сравним две наиболее распространенных СУБД: MySQL [38] и Oracle
[33] (Таблица 1.9)
Таблица 1.9
Сравнение СУБД
Возможность
MySQL
Oracle
Основные характеристики
Стоимость
+ (OpenSource)
+ (Высокая)
ACID
+
+
Целостность данных
+/-
+
Транзакции
+
+
Unicode
+
+
Ограничения
Макс.размер базы
Неограниченно
Неограниченно
(4Гб на блок)
Макс. размер таблицы
256Тб
4Гб*размер
блока
Макс. размер столбца
64KB
8KB
Макс. число строк на
столбец
4,0964
1000
Макс. символьный размер
64 Кб
32767б
Макс. числовой размер
64 Бит
126 Бит
Мин. значение даты
1000
−4712
49
Макс. значение даты
9999
9999
Окончание таблицы 1.9
Возможность
MySQL
Oracle
Макс. размер строки
64
30
Контроль доступа
Сетевое кодирование
+ (SSL с 4.0)
+
Правила полноты пароля
-
+
Доступ через патчи
+/-
+
Ограничение подключений
-
+
Сертификаты безопасности
-
+
По совокупности характеристик целесообразно выбрать MySQL, т.к.
данная СУБД обеспечивает все необходимые возможности и она
предпочтительна с точки зрении стоимости.
1.4.3.Обоснование проектных решений по техническому обеспечению
Как было показано в разделе 1.1.3 техническое обеспечение
предприятия полностью отвечает требованиям необходимым для внедрения
информационной системы по автоматизации учета загруженности
персонала.
50
II Проектная часть
2.1.Разработка проекта автоматизации
2.1.1.Этапы жизненного цикла проекта автоматизации
В качестве стандарта жизненного цикла в данной работе примем ISO
15288 «Информационная технология. Системная инженерия. Процессы
жизненного цикла систем». Выделим на его основе этапы жизненного цикла
проекта автоматизации задачи учета загруженности персонала:
1. Предварительное проектирование:
1.1. Выбор проектных решений по аспектам разработки
проекта;
1.2. Описание реальных компонент проекта;
1.3. Оформление и утверждение технического проекта.
2. Детальное проектирование:
2.1. Разработка структуры базы данных;
2.2. Создание документации на закупку и установку
программных продуктов;
3. Разработка технического рабочего проекта.
4. Разработка методологии реализации функций управления с
помощью информационной системы
5. Тестирование информационной системы;
6. Внедрение информационной системы:
6.1. Ввод программного продукта;
6.2. Обучение персонала;
6.3. Сдача и подписание актов приемки-сдачи работ.
7. Эксплуатация и сопровождение информационной системы:
7.1. Эксплуатация информационной системы;
7.2. Общее сопровождение системы.
51
В качестве модели жизненного цикла в данном случае целесообразно
выбрать каскадную схему [24, 47], т.к. в данном случае на начальном этапе
разработки сформулированы четкие требования к системе, кроме того
автоматизация задачи учета загруженности персонала реализуется на
основе готового программного продукта. На рисунке 2.1. представлена
соответствующая схема жизненного цикла проекта.
Рисунок 2.1. Схема жизненного цикла проекта.
В качестве стратегии внедрения проекта целесообразно использовать
опытную эксплуатацию пилотного проекта, т.к. пользоваться системой
будет ограниченный круг лиц, при этом риски возникновения нештатных
ситуаций будут минимальны.
1.1
1.2
1.3
5
2.2
2.1
3
4
6.1
6.2
6.3
7.2
7.1
52
2.1.2.Ожидаемые риски на этапах жизненного цикла и их описание
Рассмотрим основные риски, которые могут возникнуть на различных
этапах жизненного цикла (Таблица 2.1).
Таблица 2.1
Основные риски, которые могут возникнуть на различных этапах
жизненного цикла
Номер
Этап
Риск
Устранение
1
Предварительное
проектирование
Недальновидный
анализ сроков
проекта и его
бюджета
Детальная
проработка
целей и задач
проекта
2
Детальное
проектирование
Неправильно
подобранный
состав
исполнителей и как
следствие
отсутствие
командной работы
Тщательный
подбор
специалистов на
основе
тестирования
3
Разработка технического
рабочего проекта
Тоже, что в и п.2
Тоже, что в и п.2
4
Разработка методологии
реализации функций
управления с помощью
информационной
системы
Тоже, что в и п.2
Тоже, что в и п.2
5
Тестирование
информационной
системы
Неоконченное
тестирование
Повторное
тестирование
53
Окончание таблицы 2.1
Номер
Этап
Риск
Устранение
6
Внедрение
информационной
системы
Неправильное
принятие решения
о завершенности
внедрения
Доработка данного
этапа
7
Эксплуатация и
сопровождение
Возникновение
ошибок в
эксплуатации
системы
Привлечение
сопровождающей
организации для
решения проблем.
2.1.3.Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Проведем выбор основных средств защиты. Приоритетные
направления в разработке системы безопасности [56, 63]:
• разработка и официальное утверждение политики
безопасности;
• разработка документов, закрепляющих обязанности
сотрудников по соблюдению политики безопасности,
позволяющих привлечь к ответственности;
• усиление физической защиты (особенно серверной);
Защита информации от несанкционированного доступа.
В качестве основных критериев для принятия того или иного средства
защиты локальной вычислительной сети предприятия выберем их
54
стоимость и наличие сертификатов соответствия требованиям РД
Гостехкомиссии.
Как показал анализ рисков, наиболее вероятными нарушителями
могут являться сотрудники предприятия, не обрабатывающие данную
информацию, поэтому необходимо в первую очередь защитить эту
информацию от них.
Для этого достаточно встроенных средств Windows. Таким образом,
администратору следует лишь настроить политики безопасности на
компьютере, согласовать их с руководством, ознакомить пользователей.
Рассмотрим основные встроенные средства защиты от
несанкционированного доступа.
Встроенные средства шифрования.
Для защиты данных, хранящихся на жестком диске, используется
шифрующая файловая система (EFS – Encrypting File System), а также
утилита Bit Locker операционной системы Windows 10 [56, 63]. Данные
системы позволяют шифровать заданные папки и файлы, ограничивая
доступ к ним посторонних лиц. EFS шифрует файлы при помощи открытого
ключа и алгоритма симметричного шифрования. После обработки доступ к
информации не может получить никто, кроме зашифровавшего ее
пользователя, либо пользователя со статусом агента восстановления файлов
EFS (например, представитель службы безопасности). Так как данный
механизм шифрования интегрирован в файловую систему, то его работа
является незаметной для пользователей, и, соответственно, атака на такую
систему крайне затруднена.
Отметим, что такой механизм шифрования обеспечивает защиту
данных даже в случае, если будет совершен обход системы контроля
доступа NTFS [63].
Парольная защита[56].
55
Рекомендуется проводить следующую политику парольной защиты
(данные опции настраиваются в «Панель управления\Администрирование\
Локальные параметры безопасности»):
• Максимальное время хранения пароля: Определяет период
времени (в днях), в течение которого может использовать один
и тот же пароль, прежде чем система попросит пользователя
сменить его. От 0 до 999 дней. 0 – «вечный» пароль.
• Минимальная длина пароля: Определяет минимально
возможную длину пароля. От 0 до 14 символов. Рекомендуется
не менее 8 символов.
• Минимальное время хранения пароля: Определяет период
времени (в днях), в течение которого пользователь не может
сменить свой новый пароль. От 0 до 999 дней. Рекомендуется не
менее 15.
• Требование неповторяемости пароля: Определяет количество
новых уникальных паролей, которые должен использовать
пользователь, прежде чем он сможет снова назначить свой
старый пароль. От 0 до 24 паролей. Рекомендуется не менее 10.
• Требования к паролю: Пароль должен отвечать следующим
характеристиками устойчивости:
o Не должен содержать имени пользователя (или части
имени).
o Длина не меньше 6 символов.
o Должен содержать символы из следующих предлагаемых
категорий (как минимум из 3): буквы A-Z, буквы a-z,
цифры 0-9, спецсимволы.
• Блокировка учетной записи: Разрешимое количество попыток
аутентификации, после которого происходит блокирование
учетной записи. Рекомендуемое значение 3 попытки.
56
Администратор должен требовать от пользователей, чтобы те
генерировали свои пароли случайно, не используя для этого информацию,
которая может быть известна потенциальным злоумышленникам (свои
имена, информацию, характеризующую самого пользователя и т.д.), а так
же, чтобы пользователи не хранили свой пароли на материальных носителях
(например, записывали их на бумагу, обратную сторону клавиатуры и т.д.).
Аудит[17].
Оценка эффективности системы безопасности является необходимым
этапом ее жизненного цикла, для чего требуется ведение журнала ее аудита.
Мониторинг создания и преобразования объектов позволяет
контролировать потенциальные угрозы системе безопасности, формируют
документальное подтверждение при возникновении нарушений, а также
создают благоприятные условия для повышения уровня ответственности
пользователей.
Операционная система Windows 10 позволяет реализовать аудит
системы безопасности на основе встроенных средств, которые позволяют
отслеживать различные события. Выделим основные из них:
• доступ к различным объектам;
• управление и доступ к учетным записям пользователей
и групп;
• вход и выход в систему.
Кроме того, на предприятии имеется информация, которую нужно
передавать в пенсионный фонд РФ, поэтому для защиты компьютеров,
обрабатывающих эту информацию предлагается внедрить средство защиты
информации от несанкционированного доступа.
В настоящее время на отечественном рынке данной продукции
представлена три хорошо зарекомендовавших себя системы:
• Secret Net компания «Код безопасности» [63]
• Страж NT научно-производственный центр «Модуль» [63]