96
работоспособности и качества программных продуктов, материалов,
необходимых для организации обучения персонала, и т.д.
Эксплуатация включает в себя работы по внедрению компонентов ПО, в
том числе конфигурирование базы данных и рабочих мест пользователей,
обеспечение эксплуатационной документацией, проведение обучения персонала
и т.д., и непосредственно эксплуатацию, в том числе локализацию проблем и
устранение причин их возникновения, модификацию ПО в рамках
установленного регламента, подготовку предложений по совершенствованию,
развитию и модернизации системы.
Стандарт ISO/TEC 12207 не предлагает конкретную модель ЖЦ и методы
разработки ПО. Его регламенты являются общими для любых моделей ЖЦ,
методологий и технологии разработки. Стандарт ISO/TEC 12207 описывает
структуру процессов ЖЦ ПО, но не конкретизирует в деталях, как реализовать
или выполнить действия и задачи, включенные в эти процессы.
Для разрабатываемой Системы учета контрольных и экспертно-
аналитических проверок наилучшим образом подходит спиральная модель
жизненного цикла. Данная модель ЖЦ является основной для выбранного
мной стандарта ISO/TEC 12207 и является более эффективной по сравнению с
другими, что позволяет получить на выходе более качественный продукт при
небольшом количестве задействованного персонала и относительно коротким
графиком проектирования, кроме того спиральная модель позволяет наращивать
программное обеспечение путем создания новых версий [16].
Теперь рассмотрим детально фазы жизненного цикла системы учета
контрольных и экспертно-аналитических проверок. Разберемся
непосредственно с технологией внедрения. Существуют следующие основные
стратегии внедрения системы:
1) Стратегия «Параллельное использование». Параллельное использование -
параллельно выполняются старая и новая технология решения задачи, их
результаты сравниваются. Если результаты согласуются длительное время, то
осуществляется переход на новую технологию.
Плюсы:
97
- минимальный риск ошибок в виде новых технологий;
- управления внедрения ИС может осуществлять независимо от обычного
операционного планирования компании.
Минусы:
- двойная загрузка персонала;
- потребности в удвоенных мощностях серверов;
- необходимость постоянной сверки результатов работы 2х технологий.
2) Стратегия «Скачек». Скачек - старая технология работает до определенного
момента, затем осуществляется внедрение новой технологии, а после внедрения
реализуется только новая технология
Плюсы:
- минимальная длительность переходного периода;
- нет двойных затрат на деятельность компании;
-новые процессы являются наиболее оптимальными в виду отсутствия
переходного периода.
Минусы:
- высокие риски несоответствия качества ИС требованиям компании;
- высокие требования к процессу планирования перехода на новую технологию;
3) Стратегия «Пилотный проект». Пилотный проект - тактика скачка
применяема к ограниченному числу процессов, областью применения обычно
является небольшой участок.
Плюсы:
- минимальный риск выбора неверного решения, которое не приводит к
длительному простою всего предприятия;
- возможность изменения планируемой технологии в процессе внедрения ИС на
участке;
- отсутствие двойных затрат на реализацию технологии.
Минусы:
- сложность интеграции информационных потоков формируемых по старой и
новой технологии;
- необходимость управления старой и новой ИС одновременно.
98
4) Стратегия «Узкое место». Узкое место - автоматизация малой части
производственного процесса, который обычно выбирается по критериям, их
эффективности приводящих к повышению качества реализации процессов
только в определенном узком месте.
Плюсы:
- после автоматизации каждого узкого места имеется возможность прервать
автоматизацию;
- минимальные требования к уровню планирования работ внедрения.
Минусы:
- выполнение полного цикла планирования на каждом из узких мест - ввиду
возможности прерывания автоматизации процесс может, не закончится некогда;
- независимость автоматизации узких мест может привести к формированию
избыточного множества программно - аппаратных решений.
Чаще всего в Счетной палате Чукотского автономного округа при
внедрении информационных систем различных уровней используется стратегия
«Пилотный проект». Эта стратегия уже зарекомендовала себя и привычна для
сотрудников Счетной палаты. Не нарушая традиций, мной выбрана стратегия
внедрения Системы учета контрольных и экспертно-аналитических проверок –
«Пилотный проект» или, как чаще еще называют – «опытная эксплуатация».
2.1.2. Ожидаемые риски на этапах жизненного цикла и их описание
При осуществлении любого проекта всегда возникает ситуация, связанная с
неопределенностью, неполнотой или неточностью информации об условиях
реализации проекта и связанных с ними затратах и результатах. Все участники
проекта заинтересованы в том, чтобы исключить возможность провала проекта
из-за таких неопределенных ситуаций. Для того чтобы снизить потери от
возможных просчетов и избежать провала проекта в целом, методология
управления проектами предусматривает специальные процедуры, помогающие
учесть факторы неопределенности и риска на всех фазах и этапах проекта.
99
Зная виды и значимость рисков, можно на них воздействовать, снижая их
отрицательное влияние на эффективность проекта. Следовательно, создается
реальная возможность управлять ими.
Этап подготовки проекта
• Риск персонала
Риски:
- Привлечение неопытного персонала к выполнению проекта;
- Включение в состав разработчиков «случайных» сотрудников, а не
ключевых участников автоматизируемых процессов;
- Отсутствие единой стратегии автоматизации;
- Отсутствие единой цели и задачи проекта;
- Отсутствие мотивации сотрудников;
- Негативное отношение персонала к проекту;
- Необдуманный план ведения работ.
Способы предотвращения:
- Активное взаимодействие с руководством в ходе проекта и своевременное
принятие решений;
- Участие в проекте ведущих специалистов и профессиональных
консультантов;
- Четко сформулированные цели проекта;
- Проработка общей стратегии автоматизации организации;
- Стабильный состав рабочей группы в течение всего проекта;
• Риск ведения проекта
Риски:
- Неверное определение рамок и масштаба проекта;
- Проектирование ошибочных функций системы;
- Выбор неправильных технологий и методов решений задач;
- Не соблюдение требования конечного пользователя;
Способы предотвращения:
- Обеспечение стабильности границ проекта, которые определяются на
начальном этапе и остаются неизменными вплоть до окончания проекта;
- Качественное планирование выполняемых работ;
100
- Обеспечение проекта необходимыми ресурсами;
- Утверждение и согласование проектного решения;
- Установление высокого порога принятия изменений;
• Риск неверного планирования.
Риски:
- Неэффективный организационный план внедрения системы;
- Срыв сроков выполнения работ по этапам;
Способы предотвращения:
- На ранних стадиях проекта проведение аудита, распределение ролей и
стимулирование;
- Документирование всех работ и обеспечение доступа к данным всем
участникам проекта;
Этап разработки
• Риск персонала
Риски:
- Увольнение ключевых сотрудников, ответственных за проведение
разработки;
Недопонимание между участниками проекта из-за отсутствия налаженной
системы коммуникации;
- Неверное понимание задачи проектирования;
Способы предотвращения:
- Тщательный подбор сотрудников, участвующих в проекте;
- Налаженная система коммуникации между сотрудниками, постоянное
документирование изменений системы;
• Технические риски
Риски:
- Приостановка разработки из-за ошибок в используемом программном
обеспечение;
- Пользовательская документация охватывает не все функции системы;
Способы предотвращения:
- Использование только проверенного ПО, проведение регулярного
резервного копирования данных;
101
- Проверка документации на полноту сведений;
Этап внедрения
• Риск персонала
Риски:
- Несогласованность действий разработчика и специалистов предметной
области;
Нежелание сотрудников работать с новой системой и связанные с этим
трудности их обучения;
- Неучастие руководства в проекте;
Способы предотвращения:
- Обучения сотрудников работе с системой;
- Составление плана внедрения системы;
- Обоснование необходимости автоматизации персоналу;
- Вовлечение руководства в проект и активное взаимодействие с ним в ходе
всего проекта;
• Технические риски
Риски:
- Потеря данных при внедрении системы;
Способы предотвращения:
- Привлечение квалифицированных сотрудников, имеющих опыт в
подобных проектах;
Этап эксплуатации и сопровождения
• Технические риски
Риски:
- Ошибки в программе, приводящие к невозможности ее использования;
- Некорректная эксплуатация оборудования;
- Несоответствие функционального набора системы из-за реорганизации
компании.
Способы предотвращения:
- Тщательное тестирование и модификации во время разработки системы;
-
Документирование технических условий и их согласование;
102
2.1.3. Организационно-правовые и программно-аппаратные
средства обеспечения информационной безопасности и защиты
информации
Система учета контрольных и экспертно-аналитических проверок
разрабатывалась в соответствии с нормативной базой обеспечения
информационной безопасности Счетной палаты Чукотского автономного округа.
Примеры, выдержки из Положений, Распоряжений, фрагменты Приказов по
исполнению обработки персональных данных, защищаемых информационных
ресурсах и т.п. приведены в приложениях к настоящему проекту.
Прежде всего, Система использует вход с авторизацией. Пользователи и
роли пользователей назначаются Администратором, согласно должностным
инструкциям пользователей.
Аутентификация пользователей осуществляется буквенно - цифренным
паролем длиной не менее 6-ти и не более 15 символов. Аутентификация
проводится только при положительном результате аутентификации. При этом
пароль не должен содержать более двух одинаковых или трех располагающихся
на соседних в ряду клавишах устройства ввода (клавиатуры) подряд идущих
символов. При вводе не правильного пароля, более заданных администратором
раз неправильно введенных паролей, система информирует об этом пользователя
сообщением на экране. Обеспечивается блокирование учетной записи
пользователя после следующих подряд трех или задаваемых администратором
количества неудачных попыток аутентификации, при этом регистрируется факт
и причины блокировки в журнале аудита.
Хранение паролей осуществляется в базе данных, в защищенном виде.
Система учета контрольных и экспертно-аналитических проверок совместима с
применяемыми в Счетной палате Чукотского автономного округа средствами
защиты информации от несанкционированного доступа, так доступ к http
серверу с клиентского места осуществляется с учетом контроля сетевым экраном
сервера разрешенных пар IP+MAC адресов. Таким образом обеспечивается
защита персональной информации от угроз внутри локальной сети Счетной
палаты.
103
Наконец, обеспечена физическая защита информации на физических
жестких дисках. Во-первых, на сетевом хранилище организован RAID 5 (можно
выше) – полное зеркалирование дисков хранилища, таким образом, физический
выход из строя магнитного накопителя информации не приведет к ее потере. Во-
вторых, мной используется утилита шифрования жестких дисков – VeraCrypt,
которая умеет создавать зашифрованный виртуальный диск в файловом
контейнере, защита осуществляется путём полного шифрования содержимого
устройства. Поэтому доступ к конфиденциальной информации даже при
банальной краже сетевого хранилища или диска из него останется закрытым.
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и её описание
Обрабатываемая Системой информация хранится в базе данных Системы.
Элементами хранения являются данные контрольных мероприятий (далее по
тексту «Проверка»), пользователей, ролей пользователей, классификатора
нарушений. Система принимает для обработки и хранения следующие данные:
Модель данных «Проверка»:
- номер редакции плана проверок;
В течении года коллегией Счетной палаты вносятся изменения в план проверок
на текущий год. Пункты плана могут меняться, добавляться и сортироваться в
другой последовательности. В связи с этим в базе данных предусмотрено поле
для хранения номера редакции плана.
- номер пункта плана проверок;
В базе данных предусмотрено поле для хранения номера пункта плана по
которому проводится проверка.
- наименование проверки;
В базе данных предусмотрено поле для хранения наименования проверки,
которое отражает тему проверки и название объекта проверки.
- тип проверки;
104
Поле данных позволяет хранить одни из предустановленных вариантов названия
типа проверки.
- участники проверки;
Поле данных позволяет хранить список названий организаций в случае их
участия в совместных и параллельных проверках.
- поручители;
Поле данных позволяет хранить список названий организаций в случае наличия
организаций, поручивших проведения проверки.
- объекты проверки;
Поле данных позволяет хранить список названий объектов проверки.
- статус проверки;
Поле данных позволяет хранить одни из предустановленных вариантов названия
статуса проверки.
- дата создания;
Поле данных позволяет хранить дату добавления проверки в систему.
- создатель;
Поле хранит идентификатор пользователя создавшего проверку.
- пользователи;
Список идентификаторов пользователей и их видов доступа, допущенных к
просмотру или редактированию проверки.
- контроль;
Поле данных хранит значение указывающее что проверка находится на
контроле.
- решения;
Список решений по проверке или комментариев пользователей по изменению
состояния проверки.
Модель данных «Объект проверки»:
- название проверяемого объекта;
Поле данных позволяет хранить список названий организаций, подлежащих
проверке.
- тип объекта проверки;
105
Поле данных позволяет хранить один из предустановленных вариантов названия
типа объекта проверки.
- нарушения;
Поле данных позволяет хранить список нарушений найденных в ходе проверки;
Модель данных «Нарушение»:
- тип нарушения;
Поле данных позволяет хранить один из предустановленных вариантов названия
типа нарушения.
- количество нарушений;
Поле позволяет хранить количество нарушений данного типа.
- редакция классификатора нарушений;
Поле позволяет хранить номер редакции классификатора нарушений из которого
были взяты данные о нарушении.
- номер нарушения;
Поле для хранения номера нарушения позволяющего индифицировать его
принадлежность к конкретному разделу классификатора нарушений и его
позицию в нем.
- название нарушения;
Поле для хранения названия нарушения из классификатора.
- основание;
Поле позволяет хранить правовые обоснования квалификации нарушения.
- единица измерения;
Позволяет хранить описание единиц измерения данного нарушения
- группа нарушения;
Поле хранит номер группы нарушения по классификатору нарушений;
- ответственность;
Позволяет хранить описание меры ответственности за данное нарушение.
- деньги;
Позволяет хранить сумму средств данного нарушения.
- количество с оценкой
Поле позволяет хранить количество нарушений из общей суммы с финансовой
оценкой.