27
В офисах компании функционирует локальная вычислительная сеть,
основанная на клиент-серверной архитектуре. Сотрудники имеют возможность
обращаться к базе данных клиентов, заказов. Грамотно построенные система
управления правами локальной сети и использование файрволов повышает
безопасность конфиденциальной информации.
В компании используется развитая на сегодняшний день система
управления проектами на основе технологии Bitrix. Она позволяет эффективно
работать над одним проектом нескольким сотрудникам, даже при их
территориальном разделении [8]. Сотрудники могут получать доступ к общим
файлам, календарям, событиям, находясь в разных офисах и городах.
На данный момент для учета рабочего времени не используется
специализированного ПО.
1.3.2 Определение средств автоматизации для решения задачи
исследования
С точки зрения программной архитектуры, информационная система
представляет собой распределенное клиент-серверное приложение.
Система должна обеспечивать механизм авторизации пользователей,
после которого каждой группе пользователей будет предоставляться отдельный
интерфейс.
Рассмотрим диаграмму развертывания ИС (Рисунок 1.5).
28
Рис. 1.5 – Структура аппаратного обеспечения ИС
Из рисунка видно, что ИС состоит из следующих компонентов:
компьютеры с установленными программными клиентами
коммутатор
сервер.
На сервере работает СУБД и модули сопряжения с остальными системами
предприятия.
Компьютеры и сервер соединяются с помощью коммутаторов.
1.3.3 Определение уровня защиты информации для исследуемой
задачи
Штатные механизмы обеспечения безопасности информационной
системы включают в себя [8]:
Аутентификацию и авторизацию;
Защиту на уровне ролей базы данных;
Использование схемы данных;
Использование принципа наименьшей привилегии;
29
Шифрование данных.
Одним из ключевых средств обеспечения безопасности является
авторизация пользователей. Многие из остальных видов защиты прямо или
косвенно используют этот механизм. Зачастую при создании базы данных
используется аккаунт администратора (SA) [9]. Этот аккаунт создается
автоматически в процессе установки SQL Server и широко используется в атаках
на базу данных. Если хакеры вторгаются на SQL Server с привилегиями SA, они
могут получить практически неограниченный доступ к системе. Поэтому
рекомендуется создать новую учетную запись и распространить на нее права
администратора, а затем отключить учетную запись SA. Таким образом, одним
из основных способов защиты базы данных является грамотное использование
механизма авторизации и аутентификации [10]. Согласно принципам
наименьшей привилегии, учетные записи должны иметь доступ только к тем
таблицам базы данных, которые они изменяют или считывают.
Аутентификация Windows SQL Server начиная с версии 2012 имеет два
режима аутентификации для доступа к базам данных: режим проверки
подлинности Windows и аутентификация SQL Server.
Режим проверки подлинности Windows используется по умолчанию в
процессе установки SQL Server и всегда должен быть включен. Он обеспечивает
лучшую безопасность чем аутентификация SQL Server [11]. В режиме проверки
подлинности Windows учетные данные пользователя подтверждаются Windows,
а затем доверяются SQL Server. При сравнении с аутентификацией Windows
аутентификация SQL Server имеет некоторые недостатки в безопасности, такие
как меньшее количество схем паролей, отсутствие протокола безопасности
Kerberos, а также разглашение пароля при автоматическом подключении
приложения [12]. Тем не менее, проверка подлинности SQL Server необходима,
если предполагается использовать приложения, которые требуют поддержки
операционных систем помимо Windows.
Вторым важным методом обеспечения безопасности, который требует
реализации, является шифрование данных. Базы данных часто содержат важную
информацию, такую как личные данные, номера счетов, кредитных карт. Чтобы
обеспечить необходимую безопасность этих данных, необходимо использовать
30
шифрование. SQL Server позволяет использовать один или несколько
механизмов для шифрования [13].
Симметричные ключи.
Симметричный ключ может использоваться для шифрования и
дешифрования. По сравнению с другими механизмами он менее безопасен.
Несмотря на это, он по-прежнему настоятельно рекомендуются для шифрования
конфиденциальных данных из-за высокой производительности.
Асимметричные ключи.
Асимметричный ключ содержит два ключа: закрытый ключ и открытый
ключ. Данные можно шифровать данные одним из двух ключей и расшифровать
их с помощью другого [14]. Асимметричный ключ более безопасен, чем
симметричный ключ, но использует больше ресурсов сервера.
Сертификаты.
Сертификаты предназначены для защиты соединений SQL Server и
шифрования данных. Их можно получить с помощью SQL Server или заказать у
доверенного стороннего источника.
Прозрачное шифрование данных (TDE).
TDE выполняет шифрование на уровне базы данных. Перед записью
данных на диск TDE шифрует всю базу данных и расшифровывает ее при ее
просмотре [15].
Для базы данных планируется реализовать шифрование с помощью
сертификата.
1.4 Анализ существующих разработок и выбор стратегии
автоматизации
1.4.1 Анализ существующих разработок для автоматизации задачи
Статистические данные показывают, что порядка 50%, а то и больше,
рабочего времени сотрудники тратят не на свои должностные обязанности, а на
личные дела [16]. В это понятие можно включить опоздания на работу,
своевольный уход раньше положенного времени, обеды, продолжающиеся
больше отведенных временных рамок, использование интернета в личных целях,
31
в особенности социальных сетей. Неправильное использование рабочего
времени сотрудниками влечёт за собой колоссальные убытки компаниям,
которые оплачивая полный рабочий день, в ответ получают всего 50% или
меньше отработанного времени. Для решения данной проблемы на всё большем
количестве предприятий вводятся системы учёта рабочего времени, которые
контролируют рабочий процесс. Такие системы способны не только
подсчитывать время, отработанное сотрудниками, но и проанализировать его
эффективность. Для контроля рабочего времени сотрудников существуют
автоматизированные инструменты – СКУД (система контроля и управления
доступом), DLP-системы (системы предотвращения утечек конфиденциальной
информации) и автоматизированные системы контроля времени [17].
Если рассматривать СКУД, то стоит отметить, что и руководитель, и
сотрудники уже изучили все возможности таких систем, и даже научились
обходить их. Например, можно передать карту коллеге, и он в нужный момент
приложит её за вас, и система запишет вам своевременный приход или уход.
Основной же задачей DLP-систем считается защита от утечки
информации [18]. Использование данных систем осуществляется только с
письменного согласия сотрудником, так как производится “мониторинг”
сотрудников, для контроля перемещения корпоративной информации “на
сторону”. Наверное, самый жесткий способ контролировать персонал, при
котором перехватывается вся переписка сотрудников и информация личного
характера, зачастую негативно сказывается на настрое коллектива. DLP-система
не лучший вариант для учёта рабочего времени, она больше подходит под
решение проблем безопасности данных.
Система учёта рабочего времени считается самым интересным решением
контроля времени для руководителей [19]. Программа фиксирует и анализирует
время, отработанное тем или иным сотрудником. Немаловажным считается то,
что программное обеспечение не только подсчитывает рабочее время, а также
анализирует эффективность его использования. Возможна интеграция с
внешними система, такими как 1С, СКУД и другими [20].
Существует немалое количество информационных систем учёта рабочего
времени. Рассмотри некоторые из них.
32
Дисциплина. Основной функцией программы является анализ
продуктивности. В программу встроено деление программ по уровню
полезности, три звезды – самые полезные программы, две звезды – уровень
полезности средний и так далее. Например, какая-то программа, используемая
непосредственно в работе сотрудника, получит три звезды, а образно говоря
какая-нибудь “Косынка” всего одну. На этих данных и рассчитывается такой
показатель как эффективность. Деления на продуктивное и не продуктивное
время отсутствует. Один из минусов программы, это то, что её возможно легко
обойти, а именно принеся на работу личный ноутбук или планшет, и используя
программы с малым количеством звёзд исключительно на ноутбуке или
планшете.
Офисметрика. Основной функцией программы является анализ
продуктивности. Несмотря на то, что основная специализация анализ
продуктивности, не имеет разделения времени на продуктивное и нет. Выдаёт
статистику по количеству нажатий клавиш “мыши” и клавиатуры. Собирается
также статистика посещаемых сайтов и их отношение к работе.
Обходится также как и предыдущая программа.
CrocoTime. Основной функцией программы является анализ
продуктивности. Подсчитывает продуктивное и непродуктивное время. Выдаёт
статистику по опозданиям и сверхурочной работы. Способна отправлять
уведомления о нарушениях сразу на почту руководителя.
Программу можно обойти, точно таким же способом, как и первые две.
Некоторые подобные программы имеют делать скриншоты и даже
подключаться к веб-камере, что естественно негативно влияет на обстановку в
коллективе.
Системы учета рабочего времени должны помочь в достижении
следующих целей:
повышение трудовой дисциплины;
повышение уровня мотивации сотрудников;
объективное принятие управленческих решений;
упрощение подготовки отчётов и другие.
33
Подводя итог, можно сделать вывод, что ни одна из существующих
систем не подходит для решения поставленных задач. Большинство систем
легко обойти, и важно учитывать все возможные обходы, контролировать не сам
процесс, а выполненный объем за день, необходимые нормы и установки.
1.4.2 Обоснование способа приобретения ИС для автоматизации
задачи
Для автоматизации бизнес-процесса планируется разработать
информационную систему учета рабочего времени. Для проектирования будут
применяться следующее ПО:
Microsoft Visio. С его помощью будут проектироваться бизнес-
процессы.
CASE SAP Power Designer. С его помощью будут проектироваться
модели данных.
СУБД MS SQL Server 2012. Данный набор программ будет
выполнять функцию базы данных в проекте.
Среда программирования Microsoft Visual Studio.
Необходимые пакеты будут куплены. Предполагается отказаться от
покупки коробочных версий ПО из-за их более высокой стоимости.
1.4.3 Обоснование стратегии автоматизации задачи
Стратегия автоматизации бизнес-процессов управления
взаимоотношениями с клиентами состоит из следующих этапов [21]:
1. Анализ бизнеса.
2. Анализ стратегии развития бизнеса.
3. Определение стратегических свойств ИС.
4. Определение функциональности ИС в целом.
5. Выбор стратегии автоматизации:
хаотичная;
по участкам;
34
по направлениям;
полная.
6. Формирование комплексного проекта.
7. Определение архитектуры.
8. Формирование бизнес-плана.
Составим IDEF0 модель системы учета рабочего времени. Контекстная
диаграмма представлена на рисунке 1.6.
Рис. 1.6 – Контекстная диаграмма бизнес-процесса учета рабочего
времени
Как видно из контекстной диаграммы, для ведения учета рабочего
времени планируется использовать следующие данные:
личные данные сотрудника;
данные о выполняемых проектах;
должностная информация сотрудника.
Регулироваться данные бизнес-процесса будет следующими
нормативными актами:
35
трудовой кодекс Российской Федерации (ТК РФ);
трудовой договор, заключаемый между сотрудником и
организацией;
закон №402-ФЗ, регламентирующий составление табеля учета
рабочего времени.
Управлять процессом будет сотрудник отдела кадров, который курирует
соблюдение соглашения о количестве рабочих часов, указанных в трудовом
договоре, и представитель руководства, который назначает работу сотрудникам
и проверяет ее результаты. Инструментом контроля является система учета
рабочего времени.
Результатом данного бизнес-процесса является автоматизированное
формирование по требованию табеля учета рабочего времени и отчета по
оценкам деятельности каждого сотрудника организации.
Декомпозиция данной модели представлена на рисунке 1.7
Рис. 1.7 – Декомпозиция бизнес-процесса учета рабочего времени
36
Как видно из рисунка, бизнес-процесс можно разделить на следующие
подпроцессы:
назначение сотруднику работы над проектом;
ведение учета рабочего времени;
ведение учета выполнения проекта;
ведение учета командировок, прогулов, больничных;
составление табеля учета рабочего времени;
составление отчета об эффективности работы сотрудника.
1.5 Обоснование проектных решений
1.5.1 Обоснование проектных решений по информационному
обеспечению
Информационное обеспечение – это совокупность единой системы
классификации и кодирования информации, унифицированных систем
документации, схем информационных потоков, циркулирующих в организации,
а также методология построения БД [22].
Информационное обеспечение (ИО) предназначено для:
представления данных, которое используется при обработке;
представления связей между данными;
организации пользовательского интерфейса для взаимодействия
пользователя с системой;
оптимизации использования данных в рамках управления
предприятия.
Основные задачи создания и совершенствования системы ИО:
определить пользователей, которые будут работать с
информационной системой, определить состав и форму представления данных;
определить источники данных и обеспечить к ним доступ для
ресурсов системы;
организовать и привести к единому стандарту процессы и средства
работы с информацией, такие как сбор, хранение, обработка, передача;