46
Этим система 1С: Предприятие выгодно отличается от универсальных
инструментальных средств. Обычно, при создании бизнес-приложений с
использованием универсальных сред разработки, используются отдельно
поставляемые системы управления базами данных. А это значит, что
разработчику приходится постоянно заботиться о преобразованиях между
типами данных, поддерживаемыми той или иной системы управления базами
данных, и типами, поддерживаемыми языком программирования.
Хранение ссылок на объекты
При манипулировании данными, хранящимися в базе данных
1С:Предприятия, зачастую используется объектный подход. Это значит, что
обращение (чтение и запись) к некоторой совокупности данных, хранящихся в
базе, происходит как к единому целому [2]. Например, используя объектную
технику, можно манипулировать данными справочников, документов, планов
видов характеристик, планов счетов и т.д.
Характерной особенностью объектного манипулирования данными
является то, что на каждый объект, как совокупность данных, существует
уникальная ссылка, позволяющая однозначно идентифицировать этот объект в
базе данных.
Платформа 1С:Предприятия обеспечивает операции исполнения
запросов, описания структур данных и манипулирования данными, транслируя
их в соответствующие команды. Это могут быть команды системы управления
базами данных, в случае клиент-серверного варианта работы, или команды
собственного движка базы данных для файлового варианта.
Таким образом, можно говорить о том, что для проекта,
рассматриваемого в данном исследовании наиболее более приемлема 1 С
Предприятие.
1С: Предприятие – программный продукт для автоматизации
деятельности предприятий, первоначально предназначался для автоматизаций
47
управленческого и бухгалтерского учета, в настоящее время охватывает и
другие сферы деятельности [12].
1С: Предприятие состоит из пользовательского режим работы и
технологической платформы. Технологическая платформа своего рода
оболочка над базой данных, которая предоставляет объекты данных и
механизмы управления объектами.
Совокупность взаимосвязанных объектов описываются в виде
конфигураций. При автоматизации каких-либо учетных задач создается своя
конфигурация, которая представляет собой уже законченное прикладное
решение [22].
1С: Предприятие 8.х имеет два основных режима:
Предприятия
Конфигуратор
В режиме Конфигуратор создается Конфигурация, а в режиме запуска
«1С: Предприятие» пользователь получает доступ к функциям, реализованным
в прикладном решении, т.е. конфигураций [13].
Также выпускаются учебные версии 1С, это «1С: Предприятие 8.2
Версия для обучения программированию» и «1С: Бухгалтерия 8. Учебная
версия». Учебные версии предназначены для обучения программированию и
использованию программы.
1.4.3. Обоснование проектных решений по техническому обеспечению
Техническое обеспечение представляет собой систему технических
средств, которые предназначены для работы ИС, а также соответствующая
документация на данные средства и технологические процессы.
В комплекс технических средств входят:
компьютеры;
48
устройства сбора, обработки, накопления, передачи и вывода
информации – жесткие диски, устройства хранения информации, принтеры,
сканеры, факсимильные аппараты;
системы передачи информации и линий связи – модемы;
эксплуатационные материалы – бумага, CD (DVD) – диски и так
далее.
При выборе персонального компьютера следует руководствоваться
несколькими характеристиками. К ним относятся надежность, финансовые
расходы, производительность, простота использования и так далее. От значения
выше названных параметров напрямую зависит возможность работы с
необходимыми программными средствами, а значит, и успех разработки
системы [17].
Для каждого из компонентов данной система выделяется список
показателей, самых важных при проведении выбора технического обеспечения.
К таким критериям относятся следующие:
тактовая частота процессора;
размер оперативной памяти;
разрешение монитора.
Для решения данной задачи нужно применять персональный компьютер с
уровнем вычислительной мощности AMD 2000 Мгц, или Intel 2000 Мгц, с
размером оперативной памяти от 2 гигабайт. Система полностью
оптимизирована для работы в разрешении экрана 1024х768 на мониторе с
диагональю 21 дюйм. Данные технические средства имеют достаточную для
решения задачи конфигурацией.
Сегодня разрозненный парк ПК формирует сложности с их техническим
обслуживанием, ремонтом, в связи с чем следует его унифицировать и
приобрести одинаковые рабочие станции.
Технические характеристики подходящей рабочей станции представлены
в таблице 3.
49
Таблица 3
Характеристики рабочей станции
Производитель
Hugel
Модель процессора
Intel Atom Single Core N270 – 1.66GHz
Оперативная память
2048Mb
Жесткий диск
160 Gb
Оптический привод
DVD-RW
Видеоадаптер
Интегрирован в чипсет
Разъемы на материнской плате
7 USB, выход S/PDIF, 2xCOM, D-Sub,
DVI, Ethernet, PS/2 (клавиатура), LPT
Корпус
mATX 250W
Операционная система
Windows 10
Размеры (ШхГхВ)
283 х 282 х 95 (мм)
Помимо этого, для работы файл-сервера нужно приобрести
специализированной серверное оборудование, к примеру Team Server 3420P.
В таком виде информационная система будет готова к внедрению
автоматизированной системы контроля поставок товара.
50
II. Проектная часть
2.1. Разработка проекта автоматизации
2.1.1. Этапы жизненного цикла проекта автоматизации
Жизненный цикл (далее по тексту – ЖЦ) – период времени, который
начинается с принятия решения о создании программного обеспечения и
заканчивается в момент изъятия его из эксплуатации [1].
Понятие жизненного цикла (ЖЦ) ИС является одним из базовых в
программной инженерии. Жизненный цикл ИС определяется как период
времени, который начинается с момента принятия решения о необходимости
создания ИС и заканчивается в момент его полного изъятия из эксплуатации.
Основным нормативным документом, регламентирующим состав процессов
жизненного цикла, является международный стандарт ISO/IEаC 12207:
“Information Techаnology – Software Life Cyаcle Processes”. ISO – Internаtional
Organization for Standardizаtion – Международная организация по
стандартизации, IEC – Internаtional Electrotechnical Commission –
Международная комиссия по электротехнике. Данный стандарт определяет
структуру жизненного цикла, содержащую процессы, действия и задачи,
которые должны быть выполнены во время создаания ИС.
Наиболее оптимальным вариантом является международный стандарт
ГОСТ Р 12207-2010. В настоящее время этот стандарт является основным
международным документом в области создания и развития программных
продуктов [1].
Жизненный цикл информационной системы можно представить как
череду событий, происходящих с данной системой от процессе ее создания до
утилизации. В данный момент известны и используются такие модели
жизненного цикла, как:
каскадная модель предусматривает поэтапное выполнение всех
пунктов проекта в строгой последовательности. Переход к следующему этапу
означает, что работы на предыдущем были завершены полностью;
51
поэтапная модель с промежуточным контролем. Разработка
информационной системы происходит итерациями обратной связью между
всеми этапами. Данные связи позволяют проводить корректировки и учитывать
реально существующее значение взаимовлияние результатов разработки на
любом этапе; время жизни любого из этапов продлевается на весь период
разработки информационной системы;
цикличная модель. На каждом витке создается очередная версия
готово продукта, уточняются все требования проекта, так же определяется его
качество, далее выявляются потребности, и в конечном счете планируются
работы следующего цикла. Пристальное внимание уделяется таким этапам
разработки, как анализ и проектирование, где реализация тех или иных
решений проверяется и обосновывается посредством создания прототипов
(макетирования).
Для реализации данного проекта необходимо и достаточно использовать
каскадную модель.
Выбор стратегии внедрения
1) Параллельная стратегия — для случая, когда старую работающую
систему необходимо заменить новой.
2) Скачок означает, что прежняя система работала еще в пятницу а в
понедельник начала работать по новой системе [18].
Если данные не столь точные, как хотелось бы, если люди не обучены,
тогда есть риск ввергнуться в хаос, сорвать поставки и финансовые расчеты.
3) Опытная эксплуатация пилотного проекта — это тактика скачка, но
применяемая к ограниченному числу изделий. Область применения стратегии
— малый участок деятельности. Такой подход наиболее надежен, он снижает
риск, и сегодня практически все фирмы применяют эту тактику.
4) Узкое место — это наиболее критичная малая часть
производственного процесса. При внедрении узкого места план внедрения
выполняется только для узкого места и для людей, работающих в нем.
52
При стратегии узкого места объем работ уменьшается значительно, и при
заданных ресурсах узкое место может быть завершено в более короткие сроки,
чем внедрение во всей фирме.
Свойство этой стратегии — сосредоточение на узком месте в
производственном процессе — упрощает внедрение.
Узкое место служит испытательным полигоном для дальнейших работ.
Оно может явиться успешным примером, помогающим внедрению во всей
фирме.
Выбираем стратегию внедрения узкое место.
2.1.2. Ожидаемые риски на этапах жизненного цикла и их описание
В ходе жизненного цикла информационной системы всегда могут
возникнуть риски, могущие сорвать разработку. Для их избежания проводится
оценка вероятных рисков и разрабатываются способы, позволяющие избегнуть
эти риски или минимизировать их влияние.
Существуют различные типы моделей ЖЦ ИС, и разные компании могут
использовать наиболее удобные для себя подходы.
Каждая из приведенных стадий несет в себе определенный набор угроз,
которые должны быть своевременно учтены и обработаны. Наиболее
распространенные угрозы:
неверная формулировка требований к ИС;
неадекватный выбор процессов ЖЦ и вовлеченных в них участников;
принятие неверных проектных решений;
внесение разработчиком дефектов на уровне архитектурных решений;
внесение разработчиком недокументированных возможностей в ИС в
целом или в ее отдельные компоненты;
неадекватная (неполная, противоречивая и пр.) реализация
предъявленных к ИС требований;
53
сборка ИС с нарушением предъявляемых требований, приводящая к
появлению недокументированных возможностей в ИС либо к неадекватной
реализации требований;
разработка некачественной документации;
неверное конфигурирование ИС;
приемка ИС, не отвечающей требованиям, установленным в компании;
внесение недокументированных возможностей в ИС в процессе
проведения приемочных испытаний посредством использования
недокументированных возможностей функциональных тестов и тестов ИБ [16].
Безопасность при разработке ИС может быть обеспечена следующими
мерами:
1. Определение процедур разработки ИС. С целью снижения вероятности
возникновения проблем с безопасностью заранее должны быть определены
методы и средства разработки. Они должны охватывать все используемые
языки программирования (C++, JavaScript, SQL и пр.).
2. Организация среды разработки. Для организации безопасного процесса
разработки рекомендуется выделить рабочие места ответственных лиц в
отдельный защищенный сетевой сегмент, обеспечить рабочие места средствами
антивирусной безопасности и защиты от НСД, использовать "чистую"
лицензионную политику. Эти простые меры позволят значительно снизить
риски несанкционированного доступа и изменения кода посторонними лицами.
3. Обучение персонала методам безопасной разработки. Понимание
проблем безопасности современных приложений и новых способов атак крайне
необходимо для создания защищенной ИС, поэтому проведение тренингов по
ИБ для разработчиков может существенно повысить качество и безопасность
ИС.
4. Анализ и тестирование исходных кодов на наличие уязвимостей и не
декларированных возможностей. Исходные коды должны периодически
анализироваться с помощью автоматизированных средств или в ручном режиме
54
на наличие распространенных ошибок, в том числе: межсайтовый скриптинг,
переполнение буфера, ошибки при проверке входных данных для обработки,
ошибки в процессе обработки данных, пароли в открытом виде и т.д.
Альтернативным решением может стать использование услуг третьих сторон
по анализу кода на уязвимость.
5. Разработка (получение) документации на ИС. Документация на ИС
должна включать описание применяемых защитных мер и функций, описанных
в техническом задании. С точки зрения ИБ документация как минимум должна
содержать:
• описание ролевой системы;
• описание механизмов доступа, регистрации событий, целостности,
резервирования;
• параметры настроек безопасности.
При приобретении ИС необходимо уделить особое внимание
оформлению договорных обязательств. Помимо указанных выше требований
по обеспечению безопасной разработки и поставки ИС, на поставщика должна
быть возложена ответственность на случай возникновения каких-либо
инцидентов ИБ, связанных с некачественной разработкой, нарушением правил
поставки и пр. Также следует учитывать наличие у разработчика необходимых
лицензий на разработку и эксплуатацию средств и систем защиты.
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Система мероприятий, направленных на защиту данных в
разрабатываемой системе включает ряд аспектов, а именно:
защита данных непосредственно в ИС от различных внутренних
угроз;
защита информации от внешних угроз.
55
Для защиты от внутренних угроз в системе действует политика
разделения прав доступа. Характеристика политики представлена в таблице 4.
Таблица 4
Разграничение прав пользователей
Группы
пользовате
лей
Модуль
«Авторизация»
Модуль
«Регистрация
документа»
Модуль
«Постановٜ
ка
на контроль»
Модуль
«Резолюц
ия»
Сотрудники
Чтение
Полный
Чтение
Ограничен
Руководитель
Чтение
Нет
Полный
Полный
Администра-
тор системы
Полный
Полный
Полный
Полный
Защита от внешних угроз выполняется посредством применения таких
методов:
применение программно-аппаратных систем;
разработкой и ведение политик безопасности;
применение защищенных средств связи при передаче данных;
применение антивирусных средств;
физическая защита помещений с наиболее ценными данными.
К аппаратным средствам защиты информации относятся самые
различные по принципу действия, устройству и возможностям технические
конструкции, обеспечивающие пресечение разглашения, защиту от утечки и
противодействие несанкционированному доступу к источникам
конфиденциальной информации.
Аппаратные средства защиты информации применяются для решения
следующих задач:
1) проведение специальных исследований технических средств
обеспечения производственной деятельности на наличие возможных каналов
утечки информации;
2) выявление каналов утечки информации на разных объектах и в
помещениях;
3) локализация канаалов утечки информации;