67
благополучие, а иногда и жизнь многих людей. Такова плата за усложнение и
повсеместное распространение автоматизированных систем обработки
информации.
Под информационной безопасностью понимается защита информационных
систем от случайного или преднамеренного вмешательства, наносящего ущерб
владельцам или пользователям информации.
На практике важнейшими являются три аспекта информационной
безопасности [1]:
- доступность (возможность за разумное время получить требуемую
информационную услугу);
- целостность (актуальность и последовательность обработки информации,
ее защита от уничтожения и несанкционированных изменений);
- конфиденциальность (защита от несанкционированного чтения).
Нарушения доступности, целостности и конфиденциальности информации
могут быть вызваны различными опасными воздействиями на информационные
компьютерные системы.
Современная информационная система представляет собой сложную
систему, состоящую из большого числа компонентов различной степени
автономности, которые связаны и обмена данными. Почти каждый компонент
можно внешне подвергнуть действию или потерпеть неудачу. Компоненты
автоматизированной информационной системы можно разделить на следующие
группы [4]:
аппаратное обеспечение – компьютер и его составные части (процессор,
Оперативная память, жесткая память, материнская плата и др.), периферийных
устройств, коммуникационных линий и т. д.;
программное обеспечение системы-операционные системы и
системные программы, утилиты, драйверы, диагностические программы,
офисные программы, программные приложения и т.д.
данные по призмы хранятся временно или постоянно на магнитных
средствах массовой информации, напечатанных, архивах, журналах системы, etc.;
персонал компании – персонал и пользователи.
Опасности компьютерной информационной системы можно разделить на
68
случайные и преднамеренные. Анализ опыта проектирования, изготовления и
эксплуатации информационных систем показывает, что информация
подвергается различным случайным воздействиям на всех этапах жизненного
цикла системы. Причинами случайных воздействий при эксплуатации могут
быть:
аварийная ситуация из-за стихийных бедствий и отключения
электроэнергии;
сбоев и неисправностей оборудования;
ошибки в программном обеспечении;
ошибки в работе персонала;
помехи в линиях связи из-за воздействия окружающей среды.
Преднамеренное разоблачение-это умышленные действия преступника. В
качестве нарушителя могут выступать служащий, посетитель, конкурент.
Действия нарушителя могут быть обусловлены разными мотивами:
- недовольство сотрудников своей карьерой;
- взятка;
- любопытство;
- конкурс;
- нытье, желает проявить себя любой ценой.
Наиболее распространенной и разнообразной формой компьютерных
нарушений является несанкционированный доступ (несанкционированный
доступ). НСД использует любую ошибку в системе защиты и возможен при
нерациональном выборе средств защиты, их некорректной установке и настройке.
Провести классификацию каналов УА, позволяющую осуществлять кражу,
модификацию или уничтожение информации:
1. Через людей:
- кража носителей информации;
- чтение информации с экрана или клавиатуры;
- считывание информации из распечатки с подачки.
2. Через программу:
- перехвата паролей;
- расшифровка зашифрованной информации;
69
- копирование информации из СМИ.
3. Через инструмент:
- соединение, специально разработанное оборудование, которое
обеспечивает доступ к информации;
- перехват бортового электромагнитного излучения от оборудования,
линий связи, сетей электропитания, etc.
Следует остановиться на угрозах, которые могут подвергаться
компьютерной сети. Основной характеристикой любой компьютерной сети
является то, что ее компоненты распределены в пространстве. Связь между
узлами сети осуществляется физически с помощью сетевых линий и программно
с помощью механизма Сообщений. В этом случае управляющие сообщения и
данные, пересылаемые между узлами сети передаются в виде пакетов обмена.
Компьютерная сеть характеризуется тем, что от них удаленных атак, при атаке
может подвергаться не только конкретный компьютер, а информация,
передаваемая по сети.
Формирование режима информационной безопасности-проблема
комплексная. Меры по ее решению можно подразделить на пять уровней:
законодательство (законы, нормативные акты, стандарты и т.д.);
этические (различные правила поведения, нарушение которых приводит
к снижению престижа конкретного человека или целой организации);
управленческие (действия общего характера, осуществляемые
управляющей организацией);
физические (механические, электрические и электронно-механические
препятствия на возможных путях проникновения потенциальных нарушителей);
программно-аппаратное обеспечение (электронные устройства и
специальные программы защиты информации).
Единый комплекс всех этих мер по противодействию угрозам безопасности
с целью минимизации возможности повреждения образует систему защиты.
Надежная система безопасности должна соответствовать следующим
принципам:
стоимость защиты должна быть меньше, чем размер возможного ущерба;
каждый пользователь должен иметь минимальный уровень доступа,
70
необходимый для работы;
более эффективная защита, более простой пользователь для работы с
ним;
возможность отключения в случае чрезвычайной ситуации;
специалисты, имеющие отношение к системе защиты, должны в полной
мере понимать принципы ее функционирования и в случае сложных ситуаций и
адекватно реагировать;
защищенной будет вся система обработки информации;
разработчики системы защиты, не должны быть среди тех, кого эта
система будет контролироваться.
система защиты от вредителей должна обеспечивать подтверждение
правильности их работы;
лицам, занимающимся информационной безопасностью, необходимо
взять на себя личную ответственность;
объекты защиты разделяются на группы, так что существует нарушение
безопасности в одной из групп не влияет на безопасность других;
надежная система защиты должна быть полностью протестирована и
согласована;
защита от проблем становится более эффективной и гибкой, если
позволяет изменить эти настройки от администратора;
система защиты от поломок должна быть разработана исходя из
предположения, что пользователи будут совершать серьезные ошибки и, в целом,
иметь худшие намерения;
наиболее важные и критические решения должны приниматься
человеком;
существование механизмов защиты должно быть скрыто от
пользователей, работа которых находится под контролем.
Рассмотрим основные угрозы безопасности данных проекта методами
профилактики:
1. Используйте неисправную проводку, которая особенно опасна и может
вызвать не только неисправность, но и пожар. Естественно, "Казахтелеком"
обязан соблюдать правила пожарной безопасности и регулярно проверять
71
работоспособность электропроводки.
2. Неосторожное обращение с компьютером: падение, удары, жидкости.
Для системного блока капли и неровности, как правило, не опасны, но жидкости,
особенно при работе ПК – это очень опасно. Также возможно упасть посетители
монитора (клиенты) могут упасть монитор, случайно ударяющ его или
задействующ над проводами. Поэтому, важно тщательно обеспечить все провода
и заключить место работы для всех работников.
3. Кража компьютера или жесткого диска, для целей продажи и в целях
использования базы данных клиентов для такой защиты целесообразно
использование видеонаблюдения, охранной и тревожной кнопки для вызова
полиции.
4. Средством защиты программного обеспечения является установка
лицензионного программного обеспечения, регулярное Обновление базы данных
антивирусного сканирования ESET NOD32 Antivirus 4.2.76.1, установка паролей
при входе в программу, обучение персонала работе с программным обеспечением,
а также регулярное хранение резервных копий баз данных.
1.4 Анализ существующих разработок и выбор стратегии
автоматизации
1.4.1 Анализ существующих разработок для автоматизации задачи
Сегодня мировой телекоммуникационный рынок биллинговых систем
насчитывает более 80 производителей ПО, а количество предлагаемых ими
продуктов для различных сетей связи приближается к 200. Самые крупные и
известные из них имеют сотни инсталляций.
Они удовлетворяют всем требованиям, которые определяются слоганом
«Разные услуги — один счет», т.е. умеют обрабатывать и тарифицировать услуги
разных типов (телефония, передача данных, доступ в интернет), обслуживать
клиентов независимо от типа связи (проводная, мобильная, спутниковая) и при
этом вести один баланс клиента и выставлять единый счет. На отечественном
рынке биллинговых решений имеется около 50 тиражируемых
сертифицированных систем (по данным испытательной лаборатории технических
72
средств связи «Итекон» — http://www.itecon.ru).
Проведенный нами анализ существующих на российском рынке
биллинговых систем позволяет выделить две основные группы программного
обеспечения: «базовый» биллинг, решающий минимально необходимый набор
задач биллинга, и биллинг «большой» — программный комплекс, решающий
практически все вопросы по биллингу и предназначенный для крупных опера
торов. К крупным операторам относятся операторы сотовой связи, имеющие до
100 тыс. новых подписчиков ежемесячно, а так же интернет-провайдеры с
клиентской базой более 100 тыс. абонентов. Разработчики биллинговых решений
для крупных операторов стремятся выпускать не просто биллинговую систему в
классическом понимании, а автоматизированный комплекс управления
предприятием.
Такие системы рассчитаны на высокие нагрузки, уме ют обрабатывать
большой спектр услуг, имеют модули для поддержки всех аспектов деятельности
оператора, охватывая и техно логический цикл работы с абонентами, и
бухгалтерские функции.
Однако конечная сумма затрат на их инсталляции может достигать
нескольких сотен тысяч долларов. Наиболее известными системами класса
«больших» биллинговых систем с большой инсталляционной базой являются, на
наш взгляд, пять перечисленных ниже отечественных продуктов. Система
автоматизации предприятия связи CBOSS, разработанная компанией SoftPro,
имеет 69 клиентов в России и за рубежом, включая лидера отрасли, компанию
МТС.
Система имеет уникальную для российского рынка тарификацию с учетом
разницы во времени в 9 часовых поясах, рассчитана на абонентскую базу,
содержащею 2 миллиона учетных записей, и предназначена для операто ров
сотовой и спутниковой связи (см. http://www.cboss.ru).
Информационно-биллинговая система BIS петербургской компании Петер-
Сервис предназначена для «зета» услуг сотовой связи различных стандартов,
может обслуживать до 1 миллиона абонентов и имеет около 30 инсталляций в 6
странах мира (см. http://www.billing.ru).
Система Flagship компании Protek ориентирована не только на операторов
73
сотовой связи, но и на операторов, предоставляющих услуги фиксированной
(проводной и беспроводной) связи. Система имеет 16 инсталляций, в том числе,
используется московским сотовым оператором «ВымпелКом»; рассчитана на
обслуживание более 300 тыс. абонентов. Поддержка в системе ISP и Intemet-
телефонии реализована в виде отдельных модулей. Система для тарификации
услуг сотовой и традиционной проводной телефонной связи (в том числе
междугородней) Fastcom разработана фирмой «Форс-холдинг», имеет 10
внедрений. Перечисленные системы изначально разработаны для крупного
оператора сотовой или традиционной связи. Функции обработки интернет-
трафика как дополнительной услуги реализованы в некоторых из них, исходя из
потребностей телефонного оператора в одновременном предоставлении
интернет-услуг своим клиентам.
Крупнейшей системой, разработанной в нашей стране для интернет сервис-
провайдера, является биллинговая система «Абсолют» компании Сервокомп. Она
предназначена для учета интернет-услуг, услуг передачи данных и
телематических услуг. Система используется 50 ведшими Интернет-провайдером
России и СНГ, в их число входит крупнейший оператор Москвы МТУ-Информ.
Базовая поставка стоит около 60 тыс. долларов.
Системы Zenon компании Zenon N.S.P. и Атлант-ISP производителя
«Атлант-Информ» занимают промежуточные позиции между «тяжеловесными» и
«легкими» разработками. Минусами этих систем также является высокая цена,
необходимость в дорогостоящие комплекте СУБД Oracle, не входящем в базовую
поставку, жесткие требования к аппаратной платформе. «Малые» биллинговые
системы ориентированы на обслуживание ISP среднего и мелкого масштаба и
характеризуются невысоки ми требованиями к аппаратной платформе.
Плюсами таких продуктов являются невысокая цена, простота внедрения и
эксплуатации. Типичными представителями этого класса систем можно назвать
продукты Tizona компании Quarta-Telecommunications, Ti-Bill компании ТОП-
Инфо, «Барсум» петербургской компании Рексофт, Bill-master компании Inline. К
сожалению, для них характерно отсутствие широкой адаптивности,
масштабируемости и интегрируемости, часто отсутствует техническая
документация и инсталляционная версия (система может быть установлена
74
только производителем).
В некоторых системах (Bill-master) не предусмотрена возможность
конструирования тарифных планов (простейшие планы и типы услуг заданы в
системе, добавление новых требует доработки системы), ограничен набор
сервисов. Цена «малого биллинга» варьируется в диапазоне от 4 до 7 тыс.
долларов и вполне доступна начинаюшему оператору. Однако нужно учитывать,
что потенциальный пользователь такой системы рано или поздно может
столкнуться с проблемой модернизации или замены биллинга, что приведет к
дополнительным затратам, которые трудно спрогнозировать.
Подводя итог, нужно отметить, что несмотря на многочисленные
предложения в биллинговом программном обеспечении, поиск «своей»
биллинговой системы остается для оператора нетривиальной задачей, что
подтверждается и сравнительно небольшим числом инсталляций.
Причины этого в следующем:
1. «Тяжелые» биллинговые системы разрабатывались специально для
операторов общенационального масштаба, они недоступны среднему оператору,
а иногда их стоимость не оправдана и для крупного оператора. Расходы на
биллинг не ограничиваются его инсталляцией, требуются расходы на аппаратную
платформу, требования к которой предъявляются очень жест кие, на поддержку
дополнительного ПО.
2. «Малые» решения для биллинга порой не обладают нужной оператору
функциональностью и дополнительными функциями, с ростом компании
перестают отвечать технологическим требованиям из-за слабой
масштабируемости, требуют поддержки, сопровождения и развития на всех
этапах эксплуатации.
3. Все представленные системы обладают недостаточной гибкостью.
Обеспечивая необходимый функциональный минимум, системы могли бы иметь
дополнительные модули, подключаемые за отдельную плату при необходимости.
Таким образом, оператор мог бы собирать свою биллинговую систему, как
конструктор, определяя только требующуюся ему конфигурацию, и только за нее
платить деньги.
4. В основном, системы предъявляют требования к дополнительному ПО,
75
хотя используя стандартный SQL, можно было бы по решению оператора
использовать в качестве СУБД свободно- распространяемую или ту, которая им
уже куплена, и при необходимости без доработки системы переходить на более
производительные СУБД.
5. Практически отсутствует универсальный подход к обрабатываемым
услугам. В основном, системы являются специализированными. Даже если
система декларирует большой набор предоставляемых услуг, отсутствует
возможность расширения этого набора по желанию оператора. Такая
возможность могла бы быть обеспечена разработкой универсального ядра,
способного обрабатывать любые ресурсы, и дополнительных модулей,
унифицирующих форматы данных для каждого типа услуги.
1.4.2 Обоснование способа приобретения ИС для автоматизации
задачи
Существует несколько способов приобретения ИС:
Разработка системы под заказ сторонних разработчиков.
- Разработать свою собственную систему.
- Покупать готовые решения.
- Аутсорсинг.
Разработка пользовательских систем сторонних разработчиков занимает
много времени за счет гармонизации новой системы и приведет к значительным
денежным затратам.
Покупка готового решения предполагает наличие на рынке систем
автоматизации для решения сложных задач. В связи со спецификой решаемой
проблемы на рынке готовых решений нет.
Аутсорсинг просто невозможен из-за того, что аэропорт является
стратегическим объектом и Вы не можете доверять функции по их управлению
третьим лицам.
Принимая во внимание собственные информационные ресурсы, в фирме
наименее затратными по времени и денежными ресурсами станет выбор
собственного развития.
76
Способы приобретения ИС - это совокупность действий от принятия
решения о необходимости информационной системы до ее внедрения на
предприятии.
Существует несколько способов автоматизации сложных задач:
- покупка готовых решений;
- покупка и завершение;
– собственная разработка.
Приобрести готовое решение простым способом приобретения системы, но
невозможно найти программный продукт, идеально подходящий для предприятия
и отвечающий всем необходимым требованиям. Долгосрочная адаптация
программного обеспечения в соответствии с потребностями предприятия, и
требует постоянной консультации вспомогательных услуг.
Покупка и доработка программного продукта полезна только тогда, когда
вам нужна небольшая доработка. На объекте часто сталкиваются с такими
проблемами, как отсутствие подробной документации, что усложняет процесс.
Если вы заказываете комплектацию у сторонних компаний, то технологическими
компаниями и методами разработки программы станут известные зарубежные
организации.
Разработка информационной системы будет включать в себя все
необходимые функциональные возможности. Будут учитываться особенности
функционирования предприятия, пожелания сотрудников. Поскольку продукт
разрабатывается самостоятельно, всегда можно изменить индивидуальные
потребности внутреннего клиента.
1.4.3 Обоснование стратегии автоматизации задачи
Как правило, разработка систем автоматизации специалистами
осуществляется в несколько этапов:
- Определение типа автоматизированной системы;
- Разработка и согласование технического задания, определение
дополнительных функций и возможностей;
- Определение расчетного уровня компьютерных навыков пользователей