58
Способы предотвращения:
Грамотный подбор сотрудников, участвующих в проекте;
Налаженная система взаимосвязи между сотрудниками, постоянное
документирование изменений системы.
5. Технические риски.
Риски:
Задержка разработки из-за ошибок в использованном программном
обеспечении;
Пользовательская документация описывает не все функции системы.
Способы предотвращения:
Применение только проверенного лицензионного ПО, проведение
регулярного резервного копирования данных;
Проверка документации на состав сведений.
Этап внедрения.
6. Риски персонала.
Риски:
Несогласованность в действиях разработчика и специалистов
предметной области;
Нежелание сотрудников учится работать с новой системой и связанные
с этим трудности их обучения;
Неучастие руководства организации в проекте.
Способы предотвращения:
Грамотное обучения сотрудников заказчика работе с системой;
Составление четкого плана внедрения системы;
Обоснование необходимости автоматизации всему персоналу
организации;
Привлечение руководства к проекту и активное взаимодействие с ним в
ходе всего проекта.
7. Технические риски.
Риски:
Потеря важных данных при внедрение системы.
Способы предотвращения:
59
Привлечение квалифицированных сотрудников, имеющих большой опыт
в подобных проектах.
Этап эксплуатации и сопровождения.
8.Технические риски.
Риски:
Ошибки в системе, приводящие к невозможности ее использования;
Неграмотная эксплуатация оборудования;
Несоответствие функционального набора системы из-за внутренних
изменениях в организации.
Способы предотвращения:
Поэтапное тестирование и модификации во время разработки системы;
Документирование всех технических условий и их согласование.
Применительно к внедряемой системе учета заявок следует отметить
такие риски: нарушение конфиденциальности информации; нарушение
целостности информации; нарушение доступности информации.
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
В соответствии общим тенденциям, основными источниками по угрозе
безопасности данных в компании являются[5]:
угроза по каналам утечки вещественных данных (незаконного доступа к
физическим объектам защиты);
угроза по утечке данных по техническим каналам;
угроза НСД к информации, обрабатываемой в локальной сети.
Угрозы по утечке данных по техническим каналам могут включать в себя:
угроза по утечке акустических (речевых) данных;
угроза по утечке видимых данных;
угроза по утечке данных по каналу ПЭМИН.
Наиболее значительными угрозами безопасности данных для организации
(способы причинения ущерба субъектам информационных отношений) есть:
60
нарушения конфиденциальности (разглашения, утечки) сведений,
включающих служебные или коммерческие тайны, а также персональных
данных;
нарушения функционирования компонентов информационной системы,
блокировка данных, не соблюдение технологического процесса, срывы по
своевременному решению задач;
нарушения целостности (искажения, подмены, уничтожения)
информационных, программных и других ресурсов, а также
фальсификации (подделки) документов.
Наиболее распространены следующие аппаратные средства защиты
данных:
специализированные регистры с целью хранения реквизитов защиты:
пароля, идентифицирующего кода, грифа или уровня секретности;
устройств по измерению индивидуальных характеристик человека
(голоса, отпечатков) для его дальнейшей идентификации;
схем по прерыванию передачи данных в линии связи с целью
периодической проверки адреса выдачи информации;
устройств для шифрования данных (криптографические методы).
Первоначально криптография применяла методы шифрования данных -
обратимого преобразования открытого (исходного) текста на основании
секретного алгоритма и/или ключа в шифрованный текст (шифротекст).
В целях защиты периметров информационных систем создаются[6]:
система охранной и пожарной сигнализации;
система цифрового видео наблюдения;
система контроля и управления доступом (СКУД).
Защита данных от утечки по техническим каналам — это комплекс
организационных, организационно-технических и технических мероприятий,
предотвращающих или уменьшающих бесконтрольный выход
конфиденциальных данных за пределы контролируемой зоны[8].
В основу утечек ложится неконтролируемый перенос конфиденциальных
данных посредством акустического, светового, электромагнитного,
радиационного и другого поля и материального объекта.
61
Причина утечки заключается, как правило, с несовершенстве норм по
сохранению данных, а также в нарушении этих норм (в том числе и
несовершенных), отступлении от правил по обращению с соответствующим
документом, техническим средством, образцом продукции и другим
материалом, который содержит конфиденциальные данные.
Условия включают в себя разнообразные факторы и обстоятельства,
которые происходят в процессе научных, производственных, рекламных,
издательских, отчетных, информационных и иных действий предприятий
(организаций) и создают предпосылки для утечки данных. Данными факторами
и обстоятельствами могут, например, быть[11]:
недостаточные знания сотрудниками компании правил защиты данных и
непонимания (или недопонимания) необходимости по их тщательному
соблюдению;
применение неаттестованного технического средства обработки
конфиденциальных данных;
осуществление слабого контроля за соблюдением правил защиты данных
правовыми, организационными и инженерно-техническими мерами;
текучести кадров, в том числе имевших доступ к сведениям
конфиденциального характера.
В основе защиты информации лежит разграничение прав доступа.
Разграничения прав для различных пользователей представлены в таблице 8.
62
Таблица № 8
Разграничение прав пользователей
Группы
пользова-
телей
Общая папка
Сотрудники
Модуль
Закрепленная
оргтехника
Модуль
Заявки
Модуль
Выполнение
заявок
Доступ в
Internet
Сотрудники
Чтение
Чтение
Чтение/
создание
Чтение
Ограничен
Начальники
отделов
Чтение/создани
е/удаление
Чтение
Чтение/
создание
Чтение
Ограничен
Специалист
ИТ отдела
Чтение
Чтение/создание
/ удаление
Полный
Полный
Не
ограничен
Системный
администрат
ор
Чтение/создани
е/удаление
Чтение/создание
/ удаление
Полный
Полный
Не
ограничен
Защита данных от утечки по визуально-оптическому каналу — это
комплекс мероприятий, предотвращающих или ослабляющих возможность
выхода конфиденциальных данных за пределы контролируемой зоны за счет
распространения световой энергии[10].
Для защиты данных от утечки по визуально-оптическому каналу
рекомендовано:
применение объектов защиты, исключая отражение света в стороны где
возможно расположение злоумышленника (пространственные
ограждения);
уменьшение отражательных свойств объектов защиты;
уменьшение освещенности объектов защиты (энергетические
ограничения);
использование средств по преграждению или значительному ослаблению
отраженного света: ширмы, экраны, шторы, ставни, темные стекла и
другие преграждающие среды, преграды;
применение средств маскирования, имитации и других с целью защиты и
введения в заблуждение злоумышленника;
63
использование средств пассивной и активной защиты источника от
неконтролируемого распространения отражательного или излученного
света и других излучений;
осуществление маскировки объектов защиты, варьируя отражательными
свойствами и контрастом фона;
применение маскирующих средств по сокрытию объектов можно в виде
аэрозольных завес и маскирующих сеток, красок, укрытий.
В качестве оперативного средства по сокрытию нашли широкое
применение аэрозольные завесы. Это взвешенные в газообразной среде
мельчайшие частицы разнообразных веществ, которые в зависимости от размера
и агрегатного сочетания формируют дым, копоть, туман. Они предотвращают
дальнейшее распространение отраженного от объекта защиты света. Хорошим
светопоглощающим свойством обладает дымообразующее вещество[12].
Защита данных от утечки по акустическому каналу — это комплекс
мероприятий, предотвращающих или ослабляющих возможность выхода
конфиденциальных данных за пределы контролируемой зоны за счет
акустических полей.
В целях определения эффективности защиты звукоизоляции применяются
шумомеры. Шумомеры — это измерительные приборы, которые преобразуют
колебания звукового давления в показания, которые соответствуют уровням
звукового давления. В сфере акустической защиты речи применяются
аналоговый шумомер.
По точности определения показаний шумомеры делятся на четыре класса.
Шумомер нулевого класса служит для проведения лабораторных измерений,
первого — для проведения натурных измерений, второго — для применения в
общих целях; шумомер третьего класса применяется для проведения
ориентированных измерений. В практике для проведения оценки по степени
защищенности акустических каналов применяется шумомер второго класса,
редко — первого[18].
Измерение акустической защищенности проводится методом образцового
источника звука. Образцовым может называться источник с заведомо заданным
уровнем мощности на заданной частоте.
64
Защита данных от утечки по электромагнитным каналам — это комплекс
мероприятий, предотвращающих или уменьшающих возможность
неконтролируемого выхода конфиденциальных данных за пределы
контролируемой зоны за счет электромагнитных полей побочного характера и
наводок.
Для защиты данных от утечки по электромагнитным каналам
используются как общие методы по защите от утечки, так и специфические —
именно для данного вида каналов. Кроме этого, защитные действия возможно
классифицировать на конструкторско-технологические решения, которые
ориентированы на исключения возможностей по возникновению данных
каналов, и эксплуатационные, которые связанны с обеспечением условия
применения того или иного технического средства в условиях производственной
и трудовой деятельности[20].
Конструкторско-технологическое мероприятие по локализации
возможностей по образованию условий возникновения каналов утечки данных
за счет побочного электромагнитного излучения и наводок в технических
средствах обработки, а также передачи данных сводится к рационально
конструкторско-технологическому решению, к числу которых относят:
экранировать элементы и узлы аппаратуры; ослаблять электромагнитные,
емкостные, индуктивные связи между элементами и токонесущими
проводами;
производить фильтрацию сигналов в цепях питания и заземления и других
мер, связанных с применением ограничителей, которые развязывают цепи,
систем взаимной компенсации, ослабителей в целях ослабления или
уничтожения ПЭМИН.
Защита данных от утечки по материально-вещественному каналу — это
комплекс мероприятий, предотвращающих или ослабляющих возможность
неконтролируемого выхода конфиденциальных данных за пределы
контролируемой зоны в виде производственных или промышленных
отходов[14].
65
Правовая защита - специалированные правовые правила, процедура и
мероприятие, создаваемое в целях обеспечения информационной безопасности
компании[16].
Организационная защита – регламентация в производственной
деятельности и взаимоотношений исполнителей на нормативно-правовой
основе, использующих нанесённый ущерб. Организационная защита
обеспечивается:
Организацией режима по охране, работе с кадрами, документами;
Использованием технического средства безопасности;
Использованием информационно-аналитических работ по выявлению
угроз.
Инженерно-техническая защита это применение разнообразных
технических средств по обеспечению защиты конфиденциальных данных.
Инженерно-техническая защита применяет такие средства как:
Физическое - устройство, инженерное сооружение, организационная мера,
исключающая или затрудняющая проникновение к источникам
конфиденциальных данных (систем ограждения, систем контроля доступа,
запирающих устройств и хранилищ);
Аппаратное - устройство, которое защищает от утечки, разглашения и от
технического средства промышленного шпионажа
Программное средство.
66
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и её описание
Основа функционирования любого предприятия данные, которые
накапливаются или являются промежуточными в процессе хозяйственной
деятельности. Организацию информационного обеспечения в любых системах
управления основываются на понятии информационной базы, под которой
понимается совокупность упорядоченность информации, к которой данный
сотрудник имеет доступ с целью отбора, передачи или редактирования.
Информационные базы могут иметь вид реляционной БД или просто набор
различных файлов (например, файлы Microsoft Office). В нашем случае данные
хранятся в БД.
Информационные системы обслуживают некую сферу деятельности,
называемая предметная область.
Информационное обеспечение предполагает формирование его
информационной базы, регламентирует информационную связь и определяет
состав и содержание всей системы информационный отображений.
В составе информационного обеспечения включается два комплекса:
компоненты вне машинных информационных обеспечений (классификаторы
технико-экономической информации и документы) и внутри машинных
обеспечений [14, стр. 122].
Применительно к работе специалиста, первоочередная задача при его
разработке есть формирование внутри машинной информационной модели,
которые представляют собой совокупности специальным образом
сформированных на машинных носителях массивов (файлов), БД и их
информационных связей.
В современном мире можно считать доказанным, что главной задачей
проектирования интерфейса работника заключается не в том, чтобы
рационально «вписать» сотрудника в контур управления, а в том, чтобы, исходя
из задач управления объектом, разработается система взаимодействия двух
равноправных партнеров (человек-оператор и аппаратно-программный комплекс
АСУ), рационально управляемая объектом управления.
67
Работа проектировщиков БД в большей степени зависит от качеств
информационных моделей. Информационные модели не должны содержать
никаких непонятных конструкций, которые нет возможностей реализовать в
рамках выбранной СУБД. Следует также отметить, что информационные модели
создаются для того, чтобы на их основе можно было бы строить модели данных,
то есть должны учитывать особенности реализации выбранных СУБД.
Выполнение проектов по реализации ИС принято делить на стадии
анализа (прежде чем создать ИС, необходимо понимание и описание бизнес-
логику предметной области), проектирование (необходимость определить
модуль и архитектуру будущей системы), непосредственное кодирование,
тестирование и сопровождение. Известно, что исправления ошибок,
допущенные на предыдущих стадиях, обходится примерно в 10 раз дороже, чем
на текущих, из этого следует, что наиболее критичной является первая стадия
проекта. Поэтому очень важно иметь эффективное средство по автоматизации
ранних этапов реализации проекта.
При создании рабочего места важными являются также обеспечения
соответствий информационных потребностей пользователей. Состав
функциональной задачи рабочего места должен полностью обеспечить
пользователя данными, необходимыми для выполнений ими своих функций. И
при этом очень часто надо ограничивать доступ с рабочих мест к информации,
не являющейся необходимой. Информационная модель представлена на рисунке
8.