55
«Мониторинг состояния техники и ПО» выполняются наиболее рутинные
операции.
Так, в бизнес-процессе «Регистрировать факт возникновения
неисправности» были выявлены следующие минусы:
Во-первых, факт возникновения неисправности (регистрация заявки)
осуществляется вручную в журнале учёта заявок. Сотрудники техподдержки
зачастую забывают делать отметки в журнале, и в дальнейшем, начальник
отдела владеет некорректной информацией о поступивших проблемах, сроках их
решения и т.д, что негативно сказывается на процессе контроля работы отдела.
Во-вторых, офисный сотрудник, обратившись к одному специалисту
техподдержки, может быть перенаправлен к другому специалисту техподдержки
в случае занятости первого. И таким образом, сотрудника могут долго
перенаправлять от одного инженера к другому. То есть отсутствует единая точка
контакта, которая связывала бы офис со службой технической поддержки без
непосредственного физического контакта.
Таким образом, в результате внедрения разрабатываемой ИС, мы решим
эти проблемы. Тогда схема изменённого бизнес-процесса будет выглядеть
следующим образом (рисунок 14):
Авторизоваться
в ИС
Поиск
решения
или
База
знаний
Оформить
заявку
Данные о
неисправн
ости
Заявка на
устранение
или
Заявка на
установку
Уведомление
назначенного
специалиста
техподдержки
1
2
3
Рисунок 14. Изменённый бизнес-процесс «Регистрировать факт возникновения
неисправности»
В результате имеем следующие элементарные процессы:
56
1. Авторизоваться в ИС. Сотрудник компании, который столкнулся с
неисправностью, заходит в ИС с помощью своего индивидуального логина и
пароля. После авторизации он может заполнить заявку с подробным описанием
проблемы или сразу решить проблему самостоятельно.
2. Поиск решения. В разрабатываемой ИС есть так называемый Центр
знаний, в котором размещена информация о часто возникающих
вопросах/проблемах, с подробным описанием путей решения проблем и
способах их самостоятельного устранения. Таким образом, авторизованный в
системе пользователь может самостоятельно найти ответ и самостоятельно
устранить неисправность.
3. Оформить заявку. Если решения по проблеме в Центре знаний не
найдено, или сотрудник не стал пользоваться Центром знаний, тогда он
составляет заявку. Он заполняет определённую форму с конкретными
фиксированными полями, и подробно описывает суть проблемы и причины её
возникновения, если необходимо, то прикрепляет скрины экрана/ошибок и т.д.
Далее заявка автоматически регистрируется, и на основании введённых данных,
подбирает специалиста техподдержки для решения заявки, и отправляет ему
оповещение о поступившей заявке.
Структура бизнес-процесса «Передать заявку на исполнение» в целом не
требует изменений, но технологию его реализации следует заменить. Внедрив
автоматизированную ИС, она будет автоматически сама выбирать наиболее
подходящего сотрудника техподдержки для решения заявки и после выбора
специалиста, отправлять ему сообщение о том, что ему поступила в работу
заявка. Тем самым решится проблема неравнозначной рабочей нагрузки у
инженеров техподдержки, а также проблема своевременного оповещения и
оптимального расхода рабочего времени.
Модернизация бизнес-процесса «Передать заявку на исполнение»
отображена на рисунке 15.
57
Инициализация
заявки в
системе
Выбрать
подходящего
специалиста
Профессиональн
ый уровень
сотрудника
Загруженность
(наличие
незавершённых
заявок)
Данные о
заявке
Отправить
уведомление
Присвоить
заявку
1
2 3 4
Рисунок 15. Изменённый бизнес-процесс «Передать заявку на исполнение»
В результате имеем следующие операции:
1. Инициализация заявки в системе. Как только сотрудник,
авторизованный в ИС, заполняет форму заявки, она сохраняется и происходит её
инициализация в системе.
2. Выбрать подходящего специалиста. ИС, основываясь на
параметрах поступившей заявки, а также профессионального уровня
(направленности) и загруженности (наличия незавершённых заявок в работе)
специалиста техподдержки автоматически выбирает наиболее подходящую
кандидатуру.
3. Присвоить заявку. После выбора кандидатуры, система присваивает
ему заявку на выполнение.
4. Отправить уведомление. На электронную почту инженера
техподдержки отправляется уведомление о поступлении нового задания.
Таким образом, изменив данные бизнес-процессы, главными
действующими лицами становятся информационная система и сотрудник-
инициатор заявки. Теперь сотруднику не нужно бегать от одного специалиста
техподдержки к другому в поисках, кто из них поможет ему в решении
проблемы. А нагрузка на специалистов техподдержки теперь будет
распределяться пропорционально, и не возникнет такой ситуации, когда у
одного инженера в работе находится много заявок, а у другого их совсем нет.
58
Также факт регистрации отметки о заявке в бумажном журнале учёта будет
упразднён. Не нужно будет записывать вручную информацию о заявке,
фиксировать все этапы работы с заявкой. Так как регистрация будет
происходить автоматически, и вся информация о заявке будет храниться в
электронном виде - в базе данных (БД), что упростит работу не только
инженерам техподдержки, но и начальнику отдела при составлении различных
отчётов по заявкам и работе отдела.
В таблице 16 приведён расчёт эффекта от внедрения ИС с точки зрения
высвобождения времени сотрудников технической поддержки, которое они
смогут рационально расходовать непосредственно на выполнение технических
работ и контроль качества работы отдела.
Таблица № 16
Расчёт эффекта от внедрения ИС
Среднее количество
за рабочий день,
штук
Время, на
выполнение
одного действия,
минут
Общее
время,
минут
Регистрация заявки
20
0
0
Поиск необходимой
информации
20
1
20
Анализ информации за
период
0,5
5
2,5
ИТОГО, минут:
22,5
Из таблицы видно, что при внедрении ИС, будет значительная
ежедневная экономия времени (около 6 часов) за счёт того что, например,
регистрация заявок будет происходить автоматически, без участия инженеров. А
на поиск необходимой информации и составление отчётов будет уходить
порядка 22 минут, за счёт того что вся информация будет храниться в
электронном виде, и её легко можно сортировать с помощью фильтров,
затрачивая на это не более 1 - 5 минут.
59
Кроме этого внедрение автоматизированной ИС внесёт в работу
техподдержки такие преимущества как:
Данные будут храниться централизовано.
Будет исключена возможность потери данных.
Вся информация будет структурирована.
Данные будут обрабатывать более оперативно.
Составление отчётов за считанные минуты, с возможностью вывода
их на печать.
Возможность легко вносить изменения.
Сокращение времени работы с документами и ускорение процесса
исполнения самой заявки.
1.3.3. Определение уровня защиты информации для исследуемой
задачи
Основной целью обеспечения информационной безопасности (ИБ)
является защита информационно-вычислительных систем компании и её
пользователей от возможного нанесения ущерба компании и его клиентам
посредством реализации угроз ИБ.
Информационно-вычислительная система (ИВС) - множество
(совокупность) взаимосвязанных аппаратных и программных средств и
технологий, предназначенных для обработки, передачи и хранения информации
в электронном виде.
Для достижения данной цели в компании ведётся система
информационной безопасности (СИБ), которая обеспечивает эффективное
решение следующих задач:
Защита от вмешательства в процесс функционирования ИВС
злоумышленников или нарушителей.
Разграничение доступа зарегистрированных пользователей к ИВС.
Протоколирование действий пользователей при использовании
защищаемых ресурсов ИВС в системных журналах и постоянный контроль
корректности действий пользователей системы.
60
Защита от несанкционированной модификации и контроль
целостности используемых в ИВС программных средств, а также защита
системы от внедрения несанкционированных программ, включая компьютерные
вирусы.
Защита информации, хранимой и обрабатываемой в ИВС, а также
передаваемой по каналам связи, от несанкционированного разглашения или
искажения.
Обеспечение аутентификации пользователей, участвующих в
информационном обмене.
Своевременное выявление источников угроз ИБ, причин и условий,
способствующих нанесению ущерба пользователям информации, создание
механизма оперативного реагирования на угрозы ИБ и негативные тенденции.
Мониторинг событий и действий пользователей компании с целью
выявления нарушений ИБ.
Расследование нарушений ИБ, подготовка предложений по
устранению нарушений и способствовавших им условий, подготовка
предложений по применению мер дисциплинарного воздействия в отношении
лиц, нарушающих требования по ИБ.
Решение задач обеспечения ИБ компании достигается:
Контролем модернизации и регламентацией процессов обработки
информации, передачи и хранения информации в ИВС и действий работников
компании, а также действий персонала, осуществляющего обслуживание и
модификацию программных и технических средств ИВС.
Выработкой и реализацией требований по ИБ в информационных
системах, технологиях и бизнес-процессах как применяемых, так и планируемых
к применению в компании.
Полнотой, реальной выполнимостью и непротиворечивостью
требований организационно-распорядительных документов по вопросам
обеспечения ИБ.
61
Наделением каждого работника минимально необходимыми для
выполнения им своих функциональных обязанностей полномочиями по доступу
к ресурсам ИВС.
Принятием эффективных мер обеспечения физической целостности
технических средств и непрерывным поддержанием необходимого уровня
защищённости компонентов ИВС, применением технических (программно-
аппаратных) средств защиты ИВС и непрерывной административной
поддержкой их использования.
Разграничением потоков информации и запрещением передачи
сведений ограниченного распространения по каналам связи в незащищённом
виде.
Постоянным мониторингом сетевых ресурсов, выявлением
уязвимостей, своевременным обнаружением и нейтрализацией внешних и
внутренних угроз ИБ.
Чётким знанием и строгим соблюдением всеми работниками,
использующими и обслуживающими аппаратные и программные средства ИВС,
требований организационно-распорядительных документов по вопросам
обеспечения ИБ.
Персональной ответственностью за свои действия каждого
работника, участвующего в рамках своих функциональных обязанностей, в
процессах обработки информации и имеющего доступ к ресурсам ИВС.
Эффективным контролем за соблюдением работниками компании и
работниками сторонних организаций, имеющих в установленном порядке
временный доступ к сети компании для выполнения работ в интересах компании
или выполняющих контролирующие функции, требований по обеспечению ИБ.
Проведением анализа эффективности и достаточности принятых
мер и применяемых средств защиты информации, разработкой и реализацией
предложений по совершенствованию системы защиты информации в ИВС.
Повышением осведомлённости работников компании по вопросам
обеспечения ИБ.
Основными объектам ИВС компании, подлежащими защите, являются:
62
информационные ресурсы, вне зависимости от форм хранения,
включающие конфиденциальную и открытую информацию;
система формирования, распространения и использования
информационных ресурсов, библиотеки, архивы, базы и банки данных,
технологии, регламенты и процедуры сбора, обработки, хранения и передачи
информации;
информационная инфраструктура, включающая системы обработки
и анализа информации, технические и программные средства её обработки,
передачи и отображения, в том числе каналы информационного обмена и
телекоммуникации, системы и средства защиты информации, объекты и
помещения, в которых размещены компоненты ИВС.
В компании имеются следующие категории пользователей и
обслуживающего персонала с различными полномочиями по доступу к
информационным ресурсам ИВС:
Пользователи - работники структурных подразделений головной
организации и филиалов компании.
Системные администраторы - работники компании, ответственные
за функционирование системообразующих компонентов ИВС компании
(почтовая система, сетевое оборудование, системы управления базами данных и
др.).
Администраторы прикладных ИС - работники компании,
ответственные за функционирование информационных систем ИВС компании
(Стек-ЖКХ, 1С и др.).
Разработчики прикладного ПО - работники, осуществляющие
разработку прикладного ПО.
Специалисты по обслуживанию технических средств
вычислительной техники - работники компании, осуществляющие обслуживание
технических средств вычислительной техники.
Работники сторонних организаций, имеющие временный доступ к
ИВС для выполнения необходимых работ в интересах компании.
63
Ответственным по защите информации в АО «ЕРИЦ ЯНАО» является
начальник отдела программно-технической поддержки.
Уязвимыми компонентами ИВС компании являются АРМ, серверное
оборудование, сетевые устройства, канали и средства связи, с которых могут
быть предприняты попытки несанкционированного доступа к информации,
несанкционированных действий, реструктуризации и дезорганизации работы
сети, перехвата информации, анализа трафика и реализации других способов
вмешательства в процессы обмена данными.
Техническая политика в области обеспечения ИБ компании направлена
на реализацию комплекса организационно-технических мероприятий по защите
информационных ресурсов и компонентов ИВС в условиях рисков нарушения
ИБ при обработке и хранении информации в ИВС, а также передаче её по
каналам связи.
В рамках технической политики обеспечения ИБ компании
осуществляются:
Реализация разрешительной системы допуска пользователей к
работам, документам и конфиденциальной информации.
Выработка правил аутентификации, авторизации и политики
паролей при доступе к ресурсам ИВС.
Ограничение доступа персонала и посторонних лиц в помещения,
где проводятся работы конфиденциального характера и размещены средства
информатизации и коммуникации, на которых обрабатывается (хранится,
передаётся) информация конфиденциального характера, непосредственно к
самим средствам информатизации и коммуникациям.
Разграничение доступа пользователей и обслуживающего персонала
к информационным ресурсам, программным средствам обработки и защиты
информации в подсистемах различного уровня и назначения, входящих в ИВС.
Учёт документов, информационных массивов, компонентов ИВС,
съёмных носителей информации, содержащих сведения ограниченного
распространения, пользователей, регистрация действий пользователей и
64
обслуживающего персонала, контроль за несанкционированным доступом и
действиями пользователей, обслуживающего персонала и посторонних лиц.
Безопасная настройка серверов и рабочих мест пользователей.
реализующая установление требования по обеспечению ИБ.
Периодический анализ защищённости информационных ресурсов и
систем, в том числе, при внесении изменений в прикладное ПО.
Предотвращение внедрения в ИВС компьютерных вирусов и других
деструктивных программ.
Криптографическая защита информации, обрабатываемой и
передаваемой средствами вычислительной техники и связи.
Реализация запрета использования защищаемой информации в
качестве тестовых данных.
Необходимое резервирование технических средств и дублирование
массивов и носителей информации.
На регулярной основе начальник отдела программно-технического
обеспечения проводит контроль эффективности обеспечения ИБ с целью оценки
эффективности обеспечения ИБ, своевременного выявления и предотвращения
угроз ИБ, совершенствования СИБ на основе проведения аудита ИБ,
мониторинга и контроля защитных мер, анализа функционирования СИБ и иных
контрольных мероприятий. По результатам аудита подготавливается отчёт,
содержащий полные, чёткие и достаточные записи по результатам аудита ИБ.
В целях оперативного и постоянного сбора, обработки и анализа событий
ИБ могут использоваться как штатные (входящие в состав ИС компании)
источники событий ИБ, так и специализированные средства мониторинга ИБ и
выявления уязвимостей.
К основном штатным источникам информации по событиям ИБ
относятся:
контроллер домена, в котором хранятся данные и настройки среды;
система антивирусной защиты;
межсетевые экраны;
электронная почтовая система;