46
требования к рабочей среде;
смешанные показатели.
Главным принципом выбора системы управления базами данных
считается определение программного продукта, в наибольшей степени
соответствующего предъявляемым требованиям. Такую задачу решить
довольно сложно. В первую очередь, к системам управления базами данных
предъявляется довольно много требований, которые со временем претерпевают
различные изменения, кроме того, системы управления базами данных имеют
много параметров, что усложняет их сравнение. Помимо этого, информация о
системах управления базами данных часто имеет рекламный характер, из за
которого сложно сделать правильное суждение.
Процедуру выбора системы управления базами данных необходимо
производить в 3 следующих этапа:
на качественном уровне проводить оценку предлагаемых
программных продуктов на пригодность;
оценка технических характеристик выбранных информационных
систем;
оценка производительности программных систем.
В таблице 3 представлена сравнительная таблица 3-х распространенных
систем управления БД, которые сегодня конкурируют на рынке программного
обеспечения по основным показателям.
Модель базы данных 1С: Предприятия 8 имеет ряд особенностей,
отличающих ее от классических моделей систем управления базами данных
(например, основанных на реляционных таблицах), с которыми имеют дело
разработчики в универсальных системах.
Основное отличие заключается в том, что разработчик 1С: Предприятия
не обращается к базе данных напрямую. Непосредственно он работает с
платформой 1С: Предприятия. При этом он может:
описывать структуры данных в конфигураторе,
47
манипулировать данными с помощью объектов встроенного языка,
составлять запросы к данным, используя язык запросов.
Важной особенностью работы с базой данных является то, что в 1С:
Предприятии 8 реализована общая система типов языка и полей баз данных.
Иными словами, разработчик одинаковым образом определяет поля базы
данных и переменные встроенного языка и одинаковым образом работает с
ними.
Этим система 1С: Предприятие выгодно отличается от универсальных
инструментальных средств. Обычно, при создании бизнес-приложений с
использованием универсальных сред разработки, используются отдельно
поставляемые системы управления базами данных. А это значит, что
разработчику приходится постоянно заботиться о преобразованиях между
типами данных, поддерживаемыми той или иной системы управления базами
данных, и типами, поддерживаемыми языком программирования.
Хранение ссылок на объекты
При манипулировании данными, хранящимися в базе данных
1С:Предприятия, зачастую используется объектный подход. Это значит, что
обращение (чтение и запись) к некоторой совокупности данных, хранящихся в
базе, происходит как к единому целому [2]. Например, используя объектную
технику, можно манипулировать данными справочников, документов, планов
видов характеристик, планов счетов и т.д.
Характерной особенностью объектного манипулирования данными
является то, что на каждый объект, как совокупность данных, существует
уникальная ссылка, позволяющая однозначно идентифицировать этот объект в
базе данных.
Платформа 1С:Предприятия обеспечивает операции исполнения
запросов, описания структур данных и манипулирования данными, транслируя
их в соответствующие команды. Это могут быть команды системы управления
48
базами данных, в случае клиент-серверного варианта работы, или команды
собственного движка базы данных для файлового варианта.
Таким образом, можно говорить о том, что для проекта,
рассматриваемого в данном исследовании наиболее более приемлема 1 С
Предприятие.
1С: Предприятие – программный продукт для автоматизации
деятельности предприятий, первоначально предназначался для автоматизаций
управленческого и бухгалтерского учета, в настоящее время охватывает и
другие сферы деятельности [12].
1С: Предприятие состоит из пользовательского режим работы и
технологической платформы. Технологическая платформа своего рода
оболочка над базой данных, которая предоставляет объекты данных и
механизмы управления объектами.
Совокупность взаимосвязанных объектов описываются в виде
конфигураций. При автоматизации каких-либо учетных задач создается своя
конфигурация, которая представляет собой уже законченное прикладное
решение [22].
1С: Предприятие 8.х имеет два основных режима:
Предприятия
Конфигуратор
В режиме Конфигуратор создается Конфигурация, а в режиме запуска
«1С: Предприятие» пользователь получает доступ к функциям, реализованным
в прикладном решении, т.е. конфигураций [13].
Также выпускаются учебные версии 1С, это «1С: Предприятие 8.2
Версия для обучения программированию» и «1С: Бухгалтерия 8. Учебная
версия». Учебные версии предназначены для обучения программированию и
использованию программы.
49
Техническое обеспечение представляет собой систему технических
средств, которые предназначены для работы ИС, а также соответствующая
документация на данные средства и технологические процессы.
В комплекс технических средств входят:
компьютеры;
устройства сбора, обработки, накопления, передачи и вывода
информации – жесткие диски, устройства хранения информации, принтеры,
сканеры, факсимильные аппараты;
системы передачи информации и линий связи – модемы;
эксплуатационные материалы – бумага, CD (DVD) – диски и так
далее.
При выборе персонального компьютера следует руководствоваться
несколькими характеристиками. К ним относятся надежность, финансовые
расходы, производительность, простота использования и так далее. От значения
выше названных параметров напрямую зависит возможность работы с
необходимыми программными средствами, а значит, и успех разработки
системы [17].
Для каждого из компонентов данной система выделяется список
показателей, самых важных при проведении выбора технического обеспечения.
К таким критериям относятся следующие:
тактовая частота процессора;
размер оперативной памяти;
разрешение монитора.
Для решения данной задачи нужно применять персональный компьютер с
уровнем вычислительной мощности AMD 2000 Мгц, или Intel 2000 Мгц, с
размером оперативной памяти от 2 гигабайт. Система полностью
оптимизирована для работы в разрешении экрана 1024х768 на мониторе с
50
диагональю 21 дюйм. Данные технические средства имеют достаточную для
решения задачи конфигурацией.
Сегодня разрозненный парк ПК формирует сложности с их техническим
обслуживанием, ремонтом, в связи с чем следует его унифицировать и
приобрести одинаковые рабочие станции.
Технические характеристики подходящей рабочей станции представлены
в таблице 3.
Таблица 3
Характеристики рабочей станции
Производитель
Hugel
Модель процессора
Intel Atom Single Core N270 – 1.66GHz
Оперативная память
2048Mb
Жесткий диск
160 Gb
Оптический привод
DVD-RW
Видеоадаптер
Интегрирован в чипсет
Разъемы на материнской плате
7 USB, выход S/PDIF, 2xCOM, D-Sub,
DVI, Ethernet, PS/2 (клавиатура), LPT
Корпус
mATX 250W
Операционная система
Windows 10
Размеры (ШхГхВ)
283 х 282 х 95 (мм)
Помимо этого, для работы файл-сервера нужно приобрести
специализированной серверное оборудование, к примеру Team Server 3420P.
В таком виде информационная система будет готова к внедрению
автоматизированной системы контроля поставок товара.
51
2.1.
2.1.1.
Жизненный цикл (далее по тексту – ЖЦ) – период времени, который
начинается с принятия решения о создании программного обеспечения и
заканчивается в момент изъятия его из эксплуатации [1].
Понятие жизненного цикла (ЖЦ) ИС является одним из базовых в
программной инженерии. Жизненный цикл ИС определяется как период
времени, который начинается с момента принятия решения о необходимости
создания ИС и заканчивается в момент его полного изъятия из эксплуатации.
Основным нормативным документом, регламентирующим состав процессов
жизненного цикла, является международный стандарт ISO/IEаC 12207:
“Information Techаnology – Software Life Cyаcle Processes”. ISO – Internаtional
Organization for Standardizаtion – Международная организация по
стандартизации, IEC – Internаtional Electrotechnical Commission –
Международная комиссия по электротехнике. Данный стандарт определяет
структуру жизненного цикла, содержащую процессы, действия и задачи,
которые должны быть выполнены во время создаания ИС.
Наиболее оптимальным вариантом является международный стандарт
ГОСТ Р 12207-2010. В настоящее время этот стандарт является основным
международным документом в области создания и развития программных
продуктов [1].
Жизненный цикл информационной системы можно представить как
череду событий, происходящих с данной системой от процессе ее создания до
утилизации. В данный момент известны и используются такие модели
жизненного цикла, как:
каскадная модель предусматривает поэтапное выполнение всех
пунктов проекта в строгой последовательности. Переход к следующему этапу
означает, что работы на предыдущем были завершены полностью;
52
поэтапная модель с промежуточным контролем. Разработка
информационной системы происходит итерациями обратной связью между
всеми этапами. Данные связи позволяют проводить корректировки и учитывать
реально существующее значение взаимовлияние результатов разработки на
любом этапе; время жизни любого из этапов продлевается на весь период
разработки информационной системы;
цикличная модель. На каждом витке создается очередная версия
готово продукта, уточняются все требования проекта, так же определяется его
качество, далее выявляются потребности, и в конечном счете планируются
работы следующего цикла. Пристальное внимание уделяется таким этапам
разработки, как анализ и проектирование, где реализация тех или иных
решений проверяется и обосновывается посредством создания прототипов
(макетирования).
Для реализации данного проекта необходимо и достаточно использовать
каскадную модель.
Выбор стратегии внедрения
1) Параллельная стратегия — для случая, когда старую работающую
систему необходимо заменить новой.
2) Скачок означает, что прежняя система работала еще в пятницу а в
понедельник начала работать по новой системе [18].
Если данные не столь точные, как хотелось бы, если люди не обучены,
тогда есть риск ввергнуться в хаос, сорвать поставки и финансовые расчеты.
3) Опытная эксплуатация пилотного проекта — это тактика скачка, но
применяемая к ограниченному числу изделий. Область применения стратегии
— малый участок деятельности. Такой подход наиболее надежен, он снижает
риск, и сегодня практически все фирмы применяют эту тактику.
4) Узкое место — это наиболее критичная малая часть
производственного процесса. При внедрении узкого места план внедрения
выполняется только для узкого места и для людей, работающих в нем.
53
При стратегии узкого места объем работ уменьшается значительно, и при
заданных ресурсах узкое место может быть завершено в более короткие сроки,
чем внедрение во всей фирме.
Свойство этой стратегии — сосредоточение на узком месте в
производственном процессе — упрощает внедрение.
Узкое место служит испытательным полигоном для дальнейших работ.
Оно может явиться успешным примером, помогающим внедрению во всей
фирме.
Выбираем стратегию внедрения узкое место.
В ходе жизненного цикла информационной системы всегда могут
возникнуть риски, могущие сорвать разработку. Для их избежания проводится
оценка вероятных рисков и разрабатываются способы, позволяющие избегнуть
эти риски или минимизировать их влияние.
Существуют различные типы моделей ЖЦ ИС, и разные компании могут
использовать наиболее удобные для себя подходы.
Каждая из приведенных стадий несет в себе определенный набор угроз,
которые должны быть своевременно учтены и обработаны. Наиболее
распространенные угрозы:
неверная формулировка требований к ИС;
неадекватный выбор процессов ЖЦ и вовлеченных в них участников;
принятие неверных проектных решений;
внесение разработчиком дефектов на уровне архитектурных решений;
внесение разработчиком недокументированных возможностей в ИС в
целом или в ее отдельные компоненты;
неадекватная (неполная, противоречивая и пр.) реализация
предъявленных к ИС требований;
54
сборка ИС с нарушением предъявляемых требований, приводящая к
появлению недокументированных возможностей в ИС либо к неадекватной
реализации требований;
разработка некачественной документации;
неверное конфигурирование ИС;
приемка ИС, не отвечающей требованиям, установленным в компании;
внесение недокументированных возможностей в ИС в процессе
проведения приемочных испытаний посредством использования
недокументированных возможностей функциональных тестов и тестов ИБ [16].
Безопасность при разработке ИС может быть обеспечена следующими
мерами:
1. Определение процедур разработки ИС. С целью снижения вероятности
возникновения проблем с безопасностью заранее должны быть определены
методы и средства разработки. Они должны охватывать все используемые
языки программирования (C++, JavaScript, SQL и пр.).
2. Организация среды разработки. Для организации безопасного процесса
разработки рекомендуется выделить рабочие места ответственных лиц в
отдельный защищенный сетевой сегмент, обеспечить рабочие места средствами
антивирусной безопасности и защиты от НСД, использовать "чистую"
лицензионную политику. Эти простые меры позволят значительно снизить
риски несанкционированного доступа и изменения кода посторонними лицами.
3. Обучение персонала методам безопасной разработки. Понимание
проблем безопасности современных приложений и новых способов атак крайне
необходимо для создания защищенной ИС, поэтому проведение тренингов по
ИБ для разработчиков может существенно повысить качество и безопасность
ИС.
4. Анализ и тестирование исходных кодов на наличие уязвимостей и не
декларированных возможностей. Исходные коды должны периодически
анализироваться с помощью автоматизированных средств или в ручном режиме
55
на наличие распространенных ошибок, в том числе: межсайтовый скриптинг,
переполнение буфера, ошибки при проверке входных данных для обработки,
ошибки в процессе обработки данных, пароли в открытом виде и т.д.
Альтернативным решением может стать использование услуг третьих сторон
по анализу кода на уязвимость.
5. Разработка (получение) документации на ИС. Документация на ИС
должна включать описание применяемых защитных мер и функций, описанных
в техническом задании. С точки зрения ИБ документация как минимум должна
содержать:
• описание ролевой системы;
• описание механизмов доступа, регистрации событий, целостности,
резервирования;
• параметры настроек безопасности.
При приобретении ИС необходимо уделить особое внимание
оформлению договорных обязательств. Помимо указанных выше требований
по обеспечению безопасной разработки и поставки ИС, на поставщика должна
быть возложена ответственность на случай возникновения каких-либо
инцидентов ИБ, связанных с некачественной разработкой, нарушением правил
поставки и пр. Также следует учитывать наличие у разработчика необходимых
лицензий на разработку и эксплуатацию средств и систем защиты.
2.1.3. --
Система мероприятий, направленных на защиту данных в
разрабатываемой системе включает ряд аспектов, а именно:
защита данных непосредственно в ИС от различных внутренних
угроз;
защита информации от внешних угроз.