21
Основной задачей информаци онной системы, которую необходимо
разработат ь, является обеспечение контроля над всеми реализуемыми
компанией проектами со стороны высшего руководства, а также отчетность
перед клиентом.
Реализовать описанн ые выше задачи можно путем внедрения системы
управления проектами.
Информационная система управле ния проектами – это важный компонент
корпоративной системы управления проектами, существенным образов
повышающая эффективность проектного менеджмента в организации.
Существующий способ учета выполнен ия проектов с большой
трудоемкостью, разрозненностью св едений, что с бол ьшой вероятностью ведет к
их утере или неправильной интерпретации. На сегодняшний день невозможно в
короткий срок получить сведени я об общем количестве прое ктов, количестве
выполняемых проектов каждым сотрудни ком, провести анали з основных причин
возникновения проблемных вопросов у специалистов.
Кроме того, в отчетный период необходимо составление ан ал и тических
отчетов, включающих в себя анал и з работы менеджера проектов с разбивкой за
каждого специалиста за оп ределенный период, что очень затруднительно.
Ожидаемая экономия рабочего времени составляет около 320 минут
(более 5 часов) ежедневно, что позволяет уве л ичить эффективность работы
сотрудн иков проект ного отдела компании, в том числе менеджера проектов. В
стоимостном выражении, при учете того, что заработная плата сотрудника,
занимающегося подготовкой рассмотренных отчетов, составляет 25000 рублей,
экономия может составить бол ее 13000 рублей ежемесячно.
Кроме того, основными достоинствами автоматизации бизнес-процессов
будут:
• централизованное хранение данных;
• исключение потери данных;
• структуризация данных;
• более оперативная об работка данных;
• выдача результатов в удобной форме на принтер и экран;
• легкое изменение данных;
22
• сокращение времени оформления документов.
Использование персональных компьютеров для автоматизации учета на
предприятии является важной составной частью всей системы информационного
обеспечения офисной деятельности. Сам по себе учет состоит из множества
рутинных операций, свя занных с многократным выполнением одних и тех же
арифметических действий, подготовкой разнообразных по форме отчетных
документов и переносом чисел из одних документов в другие.
Использование программы по автоматизации учета повышает
оперативность и экономичность работы управления предприятия.
Своевре менн ое получение необходимой и нформации и достоверных данных –
основа эффективной раб оты предприятия. Одним из наиболее важных
достои нств компьютерной обработки информации является получение данных
не только о состоянии дел в бухгалтерии, производстве и так далее, но и
комплексных сведений об эффективности работы всего предприятия.
Автоматизация учета позволяет анализировать и пла нировать
деятельность организации.
В таблице 1.2 представлен объем потоков и нформации, обрабатываемых
одним менеджером проектов за год.
Таблица 1.2
Объем потоков данных обрабатываемых документов
№
п/п
Наименование
документа
Объем
документа
в символах
Объем
документов
в месяц
Объем в
документах
в год
Объем в
символах
в год
1
Данные о клиенте
29062
30
360
10462320
2
Заявка
16641
6
72
1198152
3
Проектная
документация
2928
6
72
210816
4
План график
1131
15
180
203580
5
Список исполнителей
2159
120
1440
3108960
Итого по входным
документам
51921
177
2124
15183828
6
План распределения
работ между
специалистами
10359
1
12
124308
7
Отчет о выполнении
1590
6
72
114480
8
Акт выполненных работ
2444
6
72
175968
9
Ведомость
10142
1
12
121704
23
выполненных работ
10
Аналитическая
вед омость
1391
40
480
667680
Итого по выходным
документам
25926
54
648
1204140
ИТОГО
77847
231
2772
16387968
Таким образом, можно сделать вывод, что выполняется очень большое
количество рутинных операций, что может повлечь за собой увеличение
ошиб ок. Возникает возможность ошибок пользователя при вводе данных и
обраб отке данных. Кроме того, тратится время на проверку прав ильности
составле ния ведомост ей и отчетов. Следовательно, уменьшается оператив ность
работы.
Опираясь на вышеизложенные факты и учитывая, что объем информации
имеет тенденцию к росту, можно сделать вывод о целесообразности
использовани я средств вычислительной техники для решения данной задачи.
Целью и с пользования сред ств вычислительной т ехники при этом будет
повышение оперативности решения задачи.
Результатом автоматизации работы менеджера является программа для
учета распределения и учета выполнения проектов, которая способствует
повышению качества и скорости обработки информации, тем самым сни жая
временные затраты, а также сни жению трудовых и стоимостных затрат.
Данная программа должна отвечать следующим требованиям:
• Дружествен ный интерфейс;
• Отсутствие требований специальных знаний для эксплуатации;
• Сохранение ц е л остности данных.
1.2.4 Анализ системы обеспечения информационной безопасности и
защиты информации
Для решения проблем безопасности КС компании, описанных выше,
требуется реализовать ряд задач:
1) Обновить т ре бования в рамках ИБ в процессе разработ ки и
внедрения ИС;
2) Подде ржать соответствие норм и СЗИ в ИС положениям всех
регулирующих документов по ИБ;
24
3) Обновить правовую и нормативную базу под держки ИБ,
скоординировать работу по ЗИ;
4) Подде рживать достоверность, полноту и оперативность прихода
данных, а также подд ерживать информационно процесс определения
управленческих решений;
5) Защитить от третьих лиц процесс работы ИС, обновить СиЗИ, ее
форму, организацию, методики предотвращения и минимизации последствий
ИБ;
6) Предотвратить совмест но с организационно-правовыми мерами и
техническими СЗИ возможные НСД и незаконные посягательства на ИС от
третьих лиц и персонала, не имеющего нужных полномочий;
7) Записывать все события, которые могут влиять на ИБ, полный
контроль и отчетность по каждой реализованной операции, совершённой внутри
ИС;
8) Выявлять, прогнозироват ь и оценивать источники угроз, услови я и
причины, которые помогают повышаться ущербу субъектов, нарушать
корректное функциониров а ние и повышать в ИС п роцесс изучения рисков
реализации угроз, оценив ания возможного ущерба, минимизации неприемлемых
воздействий ИБ, реали зации среды для уменьшения, возмещения и локализации
возможного возмещения ущерба;
9) Подде ржать доступность отката до актуального состояния ИС в
рамках нарушения ИБ;
10) Подготовить совокупную систему ИБ.
Действия, необходимые для ЗИ, состоят из:
1) Правов ой защищенности – законов, актов, процедур и правил,
поддерживающих ЗИ в рамках правового поля;
2) Организационная защищ енность – разделение деятельности
компании и связей с ис полнителями на правовой основе, что позволяет
минимизировать или вообще исключить любой ощ утимый вред;
3) Инженерно-техническая защи щённость – п рименение разных
технических средств, которые защищают от возможного ущерба бизнес-
деятельности.
25
Для обеспечения комплексной информационной безопасности в ТОО
«Black and white» используется интегрирован ная система безопасности
«Интегра-С».
Основные задачи сист емы сл едующие[8]:
• Дистанци онное визуальное и электронное наблюдение за
контролируемыми зонами объектов;
• фиксирование и долговременное хранение фактов возникновения
нештатных ситуаций на объекте с возможностью дальнейшего просмотра записи
всего хода событий;
• комплексное управление системами активной защиты, оповещения
и доступа на территорию объекта;
• автоматизация контрольно-пропускного режима;
• предст авление полной и достоверной информации о состоянии
объекта;
• управление режимами работы объекта;
• передача информации оп еративным дежурным на большие
расстояния;
• защита от несанкционированного доступ а к информации;
• контроль и фиксировани е действий дежурного персонала.
В политике б е зопасности предприятия, в частности, определены
требования по работе с паролями и использованию антивирусных средств.
ИБ реализуется на стороне клиента и стороне сервера.
Главной задачей поддержания ИБ на стороне клиента является
минимизация вероятности возникновения НСД или кражи учетных данных.
Пользоват ел и обязаны соблюдать указанные процедуры поддержания
уровня безопасности при выборе и применении паролей. Они должны следовать
следующим рекомендациям:
1. Созда вать персональные пароли для поддержания подотчетности;
2. Сохранять все пароли в секрете;
3. Не пользоваться записанными паролями, даже в случае, если нельзя
хранить их в защищ енном месте;
26
4. Менять п а рол ь в случае, если есть указания на некую
компрометацию систем или паролей;
5. Подбирать пароли , имеющие не менее 6 символов;
6. Менять пароль периодически (не более чем через 180 суток), не
повторяться и не использовать «циклическое» применение старых паролей;
7. Заменять пароли для отдельных важных системных ресурсов, к
примеру, коды д оступа к определенным системным утилитам;
8. Менять временные пароли при начальной авторизации в системе;
9. Не сохранять пароли в открытых сценариях автоматического входа
в си стемы, к примеру, в макросах или отдельных функцион ал ьных клавишах.
Выбирая пароль, нельзя применят ь;
1. День, месяц и год рождения;
2. ФИО, ID, регистра ционный номер авто;
3. ID на название рабочего отдела;
4. Телефон или группу с имволов, которая включает только цифры;
5. ID пользователей, их имена, а также ID групп и другие системные
ID;
6. Много одинаковых с имволов, которые стоят друг за другом;
7. Символы, включающие только б уквы.
Главным средством, которое значительно усложняет кражу учетных
данных, является антивирусная защита.
Пользоват ел ям необходимо следовать указанным процедура м
поддержания антивирусной защиты при вводе данных в систему с
подключенных флэш-носителей, применении электронной почты и копировании
данных их глобальной сети.
Также не следует отключать работающие на ПК средства антивирусной
защиты и применять внешние флэш-носители без их начальной антивирусной
проверки.
Важно четко следовать следующим рекомендациям:
• Устанавливать только легальное ПО и запретить применение
«пиратских» программ;
27
• Проводить периодические проверки программ и данных в системах,
имеющих критически важные производственные процессы. Нахождение
неопознанных или случайных файлов и нужно расследов а ть при помощи
формальных процедур;
• Флэшки и другие внешние носители неизвестного происхождени я
нужно прове рять на наличие вирусов до момента их активного исп ользования;
• Важно разработать необходимые управленческие процедуры и
обязанности по оперативному реагированию в момент поражения систем
компьютерными вирусами и принятию мер по минимизации последствий от их
реализации. Нужно подготовить надлежащие планы обеспечения постоянной
работы компании даже в случае вирусного заражения, а также планы резервного
копирования и восстанов л е ния всех нужных данных и программ.
Антивирусное ПО нужно применять следующим образом:
• ПО для нахождения отдельных вирусов нужно использовать для
проверки компьютеров и нос ителей данных на наличие отдельных явных
вирусов либо в виде меры предосторожности, либ о в качестве повседневной
процедуры;
• ПО для нахождения изменений, внесенных в данные, нужно
установ ить по мере необходимости на ПК для выявления изменений в
работающих программах.
Вопросы безопасности разработанного сайта делят на 2 большие
категории: в нутренние, которые угрожают функционированию проекта и
исходят от самих пользователей, и внешние, которые являются угрозой в перв ую
очередь для пользователей проекта.
Внутренние элементы защиты затрагивают не только потенциальные
уязвимости в коде, которые могут привести к различным видам атак, на пример,
SQL-инъекциям, XSS и т.п.
Внешние элементы защиты веб-приложения включают такую
особенность, что разработчик не имеет почти никакого доступа к компьютеру
пользователя – чаще всего его область влияния ограничив а ется браузером.
Поэтому главной задачей является реализация защиты пользовател я в случае
28
воровс тва данных его активной сессии или получение злоумышленником
доступ а к его данных для входа: логина, пароля, кража e-mail и т.п.
Далее будут рассмотрены и предложены решения для различных областей
внутре нних и внешних элементов защиты.
SQL-инъекция яв ляется самым популярным средством взлома сайтов и
программ, работ ающих с БД, основанная на внедрении в запрос некого SQL-
запроса.
Внедрение SQL, в рамках применяемой СУБД и условий внедрения, дает
шанс атакующему выполнит ь отдельный запрос к БД (к примеру, прочитать
содержимое всех таблиц, удалить, добавить или скорректировать данные), иметь
доступ для чтения и/или записи отдельных файлов и реализации произвольных
команд на исходном сервере.
Межсайтовый скрипти нг, также известный, как XSS, является
уязвимость ю интерактивных ИС в сети. XSS возникает, когда в состав л яемые
сервером страницы каким-то образом попадают пользовательские скрипты.
Специфика таких атак состоит в том, что вместо самой атаки сервера они
применяют уя звимый сервер для реализации атаки на клиента (подробнее на рис.
8).
Описанные выше XSS атаки являются не единственным способом кражи
данных пользователя. ПК сотрудника может быть заражен вирусом или его
данные могут перехватываться из его сети, с помощью анализатора трафика.
Поэтому нужно как можно сил ьнее затруднить возможность применения
злоумышленником данных сессии другого пользователя. Извест н ым методом
для защиты от кражи сессионных данных стала проверка на смену IP-адреса в
рамках единой пользовательской сессии. Но, как стало известно, DHCP у
постав щиков услуг Интернет-соединен ия (провайдеров) зачастую настроен так,
что IP-а дрес в течение конкретного сеанса связи с Интернетом может меняться
до нескольких раз за час. Да и стат и ческий IP-адрес не гарантия того, что
пользователь будет тот же: злоумышленник может быть в той же локальной
сети, что и атакованный.
Как уже упоминалось, инструменты web-разработчика ограничены
станд артными данными, доступными средствами html, так что следующим
29
шагом в развитии данн ой системы ст ал а проверка данных, содержащих
информацию о браузере пользователя (UserAgent), а также параметрах его
экрана: разрешении, цветовой схеме и т.п., которые доступны инструментами
JavaScript. Данное изменение позволило более стабильно отслеживать кражи
сессионных данных, ведь изменение браузера или параметров экрана в рамках
одной сессии одним пользователем очень маловероятно.
Совокупность подобных проверок уже сейчас внедрен в базовый алгоритм
инициализации сессии пользов ателя. Проверка, в случае наличия MAC-адреса,
почти полностью гарантирует безопасность сессионных данных, однако, даже в
случае п рименения обычного браузера, что происходит зачастую, проверки
станд артных данных чаще всего бывает достаточно.
Далее в данн ой системе может быть проверка IP-адреса пользователя, в
случае его смены, на неизменность параметров, доступных через WHOIS, таких
как: ID Интернет провайдера, город и т.д.
Станда ртным средством определения счит аются регистрационные данные
пользователя: имя пользователя и пароль. Если эти данные у п ол ьзователя
крадут, то есть риск безвозвратной п отери контроля над аккаунтом.
1.3 Анализ существующих разработок и вы б ор стратегии
автоматизации «КАК ДОЛЖНО БЫТЬ»
1.3.1 Анализ существующих разработок для автоматизации задачи
Система управления проектами (СУП) яв ляется сов окупностью
организационных и технических методик и инструментов, поддерживающих
управление проект ами в компании и позволяющих повышать эффективность их
внедрения. Зачастую понятие СУП определяется более узко, как АИС или ИС
управления проектами, т.е. как некая программа. Методическую и
организационную составля ющие обычно включают в термин корпорат ивной
СУП.
qTrack – некая СУП с интересными возможностями взаимодей ствия -
сервис полностью объединён с e-mail: описывать задачи т е перь также легко, как
30
по e-mail, а контроли ровать их выполнен ие максимально уд обно, как в трекере.
Основные возможности имеются бесплатно.
Мегаплан — это российс кая СУП, позволяющая устанавливать задачи и
поручения, отслеживать их реализацию, хранить БД сотрудников фирмы,
учитывать ин сторию клиентов и т.д . [1]. Создатели ПО - одноименная компания
Мегаплан.
ПО становится полноценным Groupware продукт ом. Программа может
работать как на личном сервере компании, так и на серверах поставщика
продукта «Мегаплан» (SaaS). Сейчас это почти еди нственный российский
программный кмплекс, успешно прод ающийся как SaaS сервис. [2]
Основная особ енность «Мегаплана» в его SaaS-редакции состоит в
визуализации программы, которая создана с учетом повышенных требован ий по
простоте п рименения и эргономике рабочего стола. Для этого архитекторы
применяли новые веб-технологии AJAX – все рабочие блоки на страницах
можно обновить без ее перезагрузки, что значительно снижает нагрузку на
сервер и процент передающегося трафика. Интерфейс сервиса работает на
любом текущем веб-браузере, что говорит о том, что компания не станет
работать н какой-то специфичной и устаревшей программной версии.
Дизайн меню и базовый набор модулей созданы в студии Студии Артемия
Лебедева.
Worksection – отечест венная онлайн-система для контроля проектов.
Включает dashboard, задачи с описаниями, календарь, файл овую систему,
инструмент для учет а времени, тэги. Есть поддержка SSL, пользовательского
FTP и т.п. Программа простая и д оступная.
Сравнение разработок по основным параметрам представлено в таблице
1.3.
Таблица 1.3
Сравнение систем управления проектами
Параметры
qTrack
Мегаплан
Worksection
Claris
teamtools
ПланФикс
Объединение
сотрудн иков в
группы
+
-
+
-
+
-
Подключение
клиентов в
+
+
-
+
-
+