82
должны быть обучены средствам и технологиям м программирования,
которые приняты в компании.
2.1.2. Ожидаемые риски на этапах жизненного цикла и их описание
Риски на подэтапе «Определение требований к информационной
системе». Основной риск на этом подэтапе заключается в недостаточном
определении свойств информационной системы, требуемых для
обеспечения решения задачи и неправильный выбор задач проектирования.
Это на практике может потребовать осуществления в том числе доработки
информационной системы, что может привести к появлению финансового
риса. Риск можно предотвратить за счет использования на практике case-
средств при моделировании осуществляемых бизнес-процессов. При
появлении подобного риска проводится дополнительное моделирование с
применением при этом case-средств.
На подэтапе «Определение функций информационной системы и
стратегий автоматизации» основным риском является прежде всего
неверное практическое определение функций информационной системы и
стратегии автоматизации. На этом подэтапе есть риск неправильного
выбора способа приобретения информационной системы. Риск
предотвращается анализом всех существующих вариантов. В случае
появления, риск устраняется на практике за счет осуществления повторного
анализа имеющихся вариантов выбора информационной системы. Данный
риск связан с риском неправильного определения функций
информационной системы и стратегии автоматизации. А устранить его
возможно за счет применения на практике современных case-средств в
процессе осуществления анализа.
Риски на подэтапе «Разработка проекта автоматизации». Главный из
имеющихся рисков заключается в создании недостаточно эффективного
плана-графика осуществления автоматизации: использование лишних
ресурсов или недостаточность этих ресурсов. Этот риск является
83
финансовым, предотвратить его возможно за счет применения на практике
различных современных автоматизированных средств проектирования.
На подэтапе «Разработка информационного обеспечения задачи»
основной возможный риск заключается в создании неправильной
информационной модели и неудобных для пользователей прототипов
экранных форм. Данный риск можно предотвратить по согласованию
прототипов экранных форм с будущими пользователями. В случае его
появления устранить имеющийся недостаток возможно за счет проведения
доработки экранных форм и использования Model View Control (MVC).
На подэтапе «Подготовка к разработке программмного обеспечения»
главный риск заключается прежде всего в неправильной формализации
расчетов показателей. Данный риск на практике можно устранить за счет
тестирования программных модулей на этапе их внедрения.
На подэтапе «Разработка программного обеспечения» главный риск
состоит в первую очередь в некорректной разработке программы. А
устранить его возможно за счет применения при программировании языка
4 поколения CLARION, указывающего на некорректности разных
элементов программных средств. Важно, помимо всего прочего, также
принимать во внимание то, что программные модули подвергаются
тестированию на этапе их практического внедрения.
Риск на этапе «Внедрение» представляет собой некорректное
тестирование технического обеспечения отдельных модулей программы.
Этот риск на практике можно вполне успешно предотвратить за счет
применения лицензионного стендового оборудования. В случае появления
его возможно устранить за счет проведения двойного тестирования. На
этапе «Сопровождение» главными являются риски, состоящие в поломкеа
оборудования, в моральном устаревании используемого программного
обеспечения и ПС. Первый риск предотвращается за счет регулярного
мониторинга состояния оборудования. Что касается второго риска, то его
возможно на практике предотвратить за счет гибкости разработанной
84
информационной системы и своевременной доработки программной
архитектуры.
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Комплекс мер, направленных на обеспечение защиты информации в
разрабатываемой системе включает аспекты:
· защита от внутренних угроз сведений в ИС ;
· защита сведений от различных возможных внешних угроз.
Для обеспечения на практике надежной защиты от возможных
внутренних угроз в системе применяют на практике политику разделения
прав доступа. Характеристика данной политики указана в табл. 2.1.
Табл. 2.1.
Разграничение прав пользователей
Группы
пользователей
Модуль
«Авторизаци
я»
Модуль
«Регистраци
я
документов
»
Модуль
«Постанов
ка на
контроль»
Модуль
«Резолюци
я»
Сотрудники ОД
Чтение
Полный
Чтение
Ограничен
Руководитель
Чтение
-
Полный
Полный
Администратор
Полный
Полный
Полный
Полный
Защита от различных имеющихся внешних угроз осуществляется на
практике за счет применения таких способов:
- разработки и соблюдения политик безопасности;
- физической защитой помещений с ценной информацией;
- применением антивирусных средств;
85
- применением различных программно-аппаратных комплексов;
- применением при осуществлении передачи информации
защищенных каналов связи;
Характеристика средств, применяемых от внешних угроз
информационной безопасности дана в табл. 2.2
Табл. 2.2.
Характеристика средств от внешних угроз информационной безопасности
Применяемый способ
Описание (название конкретного
применяемого средства)
Программно-аппаратные
комплексы защиты сведений
КСЗИ «Панцирь-К»
Разработка и соблюдение
политики безопасности
- анализ и статистика нарушений,
допускаемых в сфере информационной
безопасности;
- распределение мер ответственности по
обеспечению на практике достаточной
информационной безопасности;
- ограничение доступа пользователей к
сведениям;
- определение порядка работы с
информацией, которая является
конфиденциальной;
- осуществление информационного
мониторинга.
Антивирусная защита
Kaspersky Total Space Security
86
Защита используемых
каналов связи
использование протокола SSH
Физическая защита
помещений
- разграничение прав доступа в
помещения;
- оборудование помещений оконными
решетками;
- система контроля и управления
доступом.
«Синергия» для операционной системы Windows 7/10 реализует
своими средствами различные технические требования, которые
регламентируются для АС класса 1Г.
Для обеспечения шифровки сведений в НОУ «Синергия» реализована
была на практике возможность подключения криптопровайдеров «Signal-
COM CSP», а также «КриптоПро CSP 3.0», которые были сертифицированы
в ФСБ России в соответствии с требованиями безопасности информации к
классам «КС1», «КC2».
Система предназначается для обеспечения на практике защиты
сведений, которые обрабатываются на автономном ПК или на ПК в составе
корпоративной сети. НОУ «Синергия» служит для осуществления
эффективного противодействия и известным, и потенциальным атакам на
ресурсы, что обеспечивается за счет устранения имеющихся архитектурных
недостатков защиты современных операционных систем.
КСЗИ может использоваться с целью обеспечения защиты и от
внешних, и от различных внутренних ИТ-угроз, в том числе со стороны
хакеров и инсайдеров (санкционированных пользователей, которые были
допущены к обработке сведений на защищаемом вычислительном
средстве).
87
КСЗИ может использоваться в том числе для обеспечения
противодействий различным шпионским программам и вирусным атакам.
SSH представляет собой сетевой протокол, который обеспечивает
осуществление защищенной аутентификации, соединение и безопасную
передачу сведений между хостами сети, посредством шифрования трафика,
с возможной компрессией используемых данных. Важная функциональная
особенность - это возможность создания шифрованных туннелей для
обеспечения безопасной передачи через небезопасную среду (к примеру,
Интернет). Протокол SSH также способен хорошо работает с форвардингом
(осуществление перенаправления, переадресации) портов одной машины на
порты другой машины, включая форвардинг удаленных клиентов XWindow.
Безопасность SSH обеспечивается за счет таких программных
решений:
· Аутентификация SSH клиента, может осуществляться на практике
самыми разными способами, что делает аутентификацию более безопасной,
а саму систему более гибкой, упрощая работу с ней;
· Аутентификация SSH сервера, осуществляется всегда, при любом
соединении, что не позволяет подменить трафик или сервер;
· Шифрование всего трафика, который проходит через SSH
соединение, выполняемое по одному из алгоритмов, выбираемых при
переговорах сторон сеанса связи. Шифрование трафика соединения в итоге
обеспечивает воспрепятствование его перехвату. За счет выбора разных
алгоритмов шифрования система в итоге оказывается гибкой, позволяя не
использовать алгоритмы, в которых были обнаружены уязвимости или
угрозы безопасности;
· ВременнЫе параметры аутентификации, которые позволяют
предотвратить возможность использования перехваченных данных
соединения;
88
· Контроль целостности сетевых пакетов, обеспечивает на практике
возможность отследить незаконные изменения в трафике соединения, при
обнаружении данного факта соединение сразу же прерывается.
Протокол SSH поддерживает разные методы осуществления
аутентификации и авторизации удаленных клиентов на SSH сервере,
включая:
· Host-based аутентификация;
· Аутентификация «вызов-ответ»;
· GSSAPI-based аутентификация;
· Аутентификация пользователя на основании пароля;
· Аутентификация пользователя при помощи использования для этой
цели публичного ключа.
Системой контроля и управления доступом (СКУД) называют
совокупность разнообразных применяемых на практике программно-
технических средств, а также различных организационно-методических
мероприятий, при помощи которых решаются задачи контроля и
управления за посещением отдельных помещений и т. д.
В СКУД Bravo входят такие составные компоненты:
· Считыватель бесконтактный СВ-01 для осуществления
идентификации карт доступа пользователей типа Proximity;
· Контроллер замка сетевой КД-01 - это электронное устройство,
которое работает в составе СКД «BRAVO», применяется на практике с
целью управления электромеханическими защелками, электромагнитными
замками, турникетами сторонних производителей. Ключами доступа могут
быть Touch Memory или электронные бесконтактные карты при применении
при этом считывателей СВ-01;
· Конвертер интерфейсов RS422/USB для подключения устройств с
выходным интерфейсом RS422 на расстоянии до 1200 м к ПК посредством
USB.
89
· Контроллер-концентратор СКД СК-05 - применяют для хранения
базы данных пропусков, управления исполнительными устройствами, для
обеспечения регистрации различных событий.
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и её описание
Методика разработки информационной модели предполагает
осуществление моделирования нового варианта организации ИС
предметной области «Синергия», а именно:
1. полного состава информации, которая требуется на практике с
целью решения комплекса задач АРМ;
2. отражение информации на разных типах носителей;
3. отражение преобразования информации, начиная от получения
первичной переменной и условно-постоянной информации, ее загрузки в
файлы и заканчивая получением файлов с результатной информацией и ее
последующей выдачей пользователю;
4. состава файлов с первичной, промежуточной и результатной
информацией;
5. информационную потребность для каждой из существующих
задач комплекса;
6. адресатов выдачи и получения информации;
7. состава результатных документов для каждой из решаемых
задач, которые реализуются на рассматриваемом АРМе;
8. взаимосвязей входных, промежуточных и результатных
информационных потоков и задач, которые реализуются на данном АРМе.
В описании информационной модели требуется объяснить, на основе
каких именно из входных документов и какой информации происходит на
практике выполнение функций по обработке данных и формирование
выходной документации.
Информационная модель строится в 2 разных формах:
90
● схема в соответствии с ГОСТ (пример дан в Прилож. 15);
● структурно–функциональная модель или диаграмма потоков
данных по методологии Гейна/Сарсона, Йодана/ДеМарко. Для нее
целесообразно использование CASE средств, к примеру Design/IDEF.
Пункт 2.1.3. Характеристика первичных документов с нормативно-
справочной и входной информацией представляет описание состава
входной документации и справочников. При этом важно уделять внимание
в том числе таким вопросам:
● при описании входной документации требуется привести в
приложении формы документов; перечень первичных показателей в них;
источник получения документа; число строк;
● описание экранной формы документа должно включать в себя
макет экранной формы в приложении, особенностей служебной и рабочей
зон макета, содержание всех используемых имеющихся подсказок, которые
нужны пользователю для заполнения макета, перечень различных
справочников, подключаемых автоматически при заполнении данного
макета.
2.2.2. Характеристика нормативно-справочной, входной и
оперативной информации
Этот пункт представляет описание состава входных документов и
справочников, экранных форм данных и структуры файлов. При этом важно
в первую очередь уделять внимание таким вопросам:
● описание экранной формы входной документации должно
содержать макет экранной формы в приложении, особенности организации
служебной и рабочей зон макета, состав подсказок, а также их содержание -
подсказки требуются для заполнения макета, перечень справочников,
которые подключаются автоматически при заполнении макета;
● при описании входной документации требуется приведение в
приложении форм документов; перечень первичных показателей в них;
источник получения того или иного документа; в каком именно файле
91
используется информация из документа, дается структура документа,
указывается количество строк в нем;
● описание структур файлов с условно-постоянной информацией
содержит такие же сведения, как и для файлов с оперативной информацией,
но при этом также добавляются сведения, касающиеся частоты
актуализации файла и объема актуализации;
● описание структур входных файлов с оперативной
информацией должно включать в себя таблицу с описанием названий всех
полей; по каждому из имеющихся файлов обязательно должна содержаться
информация о ключевом поле, числе записей, длине записей, длительности
хранения, способе обращения, способе организации, объеме в байтах.
Требуется отметить соответствие проектируемых файлов входным
документам и справочникам. Описывается структура записи всех
информационных файлова.
Если информационная база организована в виде БД, дается описание
и других её составных элементов (триггеров, ключей, применяемых бизнес-
правил).
2.2.3. Характеристика результатной информации
Это один из наиболее важных пунктов в проектной части, он
представляет обзор результатов решения задач, которые были изначально
поставлены в аналитической части. Это решения с точки зрения предметной
технологии. Каждую форму, ведомость, экран требуется обязательно
описать отдельно.
Каждая из экранных форм должна быть универсальна, в ней не
должно быть никаких избыточных сведений. Правила конструирования
экранных форм должны при этом в полной мере соответствовать
существующим принципам контент-инжиниринга.