52
Таблица 2.2. Характеристика используемых средств от внешних
угроз информационной безопасности
Способ (метод)
Описание (наименование средства)
Программно-аппаратные
комплексы защиты
информации
КСЗИ «Панцирь-К»
Разработка и соблюдение
политик безопасности
- ограничение доступа пользователей к
информации;
- анализ и статистика нарушений
информационной безопасности;
- информационный мониторинг;
- распределение ответственности по
обеспечению информационной
безопасности;
- определение порядка работы с
информацией, являющейся
конфиденциальной.
Защита каналов связи
протокол SSH
Антивирусная защита
Kaspersky Total Space Security
Физическая защита помещений
- система контроля и управления доступом;
- оборудование помещений решетками на
окнах;
- разграничение прав доступа в помещения.
КСЗИ «Панцирь-К» для ОС Windows 7/8/10 собственными
средствами реализует все технические требования, регламентируемые для
АС класса защищенности 1Г.
Для шифрования данных в КСЗИ реализована возможность
подключения криптопровайдеров «Signal-COM CSP» (ЗАО «Сигнал
КОМ») и «КриптоПро CSP 3.0» (ЗАО «Крипто-Про»), сертифицированных
ФСБ России по требованиям безопасности информации к классам «КС1» и
«КC2».
Система предназначена для защиты информации, обрабатываемой на
автономном компьютере, либо на компьютерах в составе корпоративной
сети. КСЗИ служит для эффективного противодействия, как известным,
53
так и потенциально возможным атакам на защищаемые ресурсы, что
обеспечивается устранением архитектурных недостатков защиты
современных ОС.
КСЗИ может применяться для защиты, как от внешних, так и от
внутренних ИТ-угроз, обеспечивая эффективное противодействия атакам и
со стороны хакеров, и со стороны инсайдеров (санкционированных
пользователей, допущенных к обработке информации на защищаемом
вычислительном средстве).
КСЗИ также может использоваться для эффективного
противодействия вирусным атакам и шпионским программам.
SSH (Secure Shell - Защищенная оболочка) - это сетевой протокол,
обеспечивающий защищенную аутентификацию, соединение и безопасную
передачу данных между хостами сети, путем шифрования, проходящего
через него трафика, с возможной компрессией данных. Важной
функциональной особенностью, является возможность создания
защищенных, шифрованных туннелей, для безопасной передачи через
небезопасную среду (например интернет), других сетевых протоколов, так-
же с возможность сжатия трафика. Кроме того протокол SSH отлично
работает с форвардингом (переадресация, перенаправление) портов одной
машины на порты другой в том числе и форвардинг удаленных клиентов
XWindow.
Безопасность протокола SSH обеспечивается следующими
программными решениями:
- Шифрование всего трафика, проходящего через SSH соединение,
выполняемое по одному из возможных алгоритмов, выбираемых в
процессе переговоров сторон сеанса связи. Шифрованние трафика
соединения, препятствует его перехвату и использованию в
злонамеренных целях. За счет выбора различных алгоритмов шифрования,
систему становится очень гибкой, позволяя, например, не использовать
алгоритмы, в которых были обнаружены уязвимости или потенциальные
54
угрозы безопасности, или использовать только те алгоритмы, которые
поддерживаются каждой из сторон;
- Аутентификация SSH сервера, производится всегда, при любом
соединении, что не позволяет подменить трафик или сам сервер;
- Аутентификация SSH клиента, может происходить различными
способами, что, с одной стороны, дклает сам процесс аутентификации
более безопасным, с другой, делает систему еще более гибкой, упрощая
работу с ней;
- Контроль целостности сетевых пакетов, дает возможность
отследить незаконные изменения трафике соединения, в случае
обнаружения данного факта, соединение обрывается незамедлительно;
- ВременнЫе параметры аутентификации, предотвращают
возможность использования перехваченных и через некоторое время,
расшифрованных данных соединения.
Протокол SSH поддерживает довольно разнообразные методы
аутентификации и авторизации удаленных клиентов на SSH сервере, в том
числе:
GSSAPI-based аутентификация
Host-based аутентификация;
Аутентификация пользователя с помощью публичного ключа;
Аутентификация «вызов-ответ» (challenge-response);
Аутентификация пользователя по паролю.
Системой контроля и управления доступом (СКУД) называется
совокупность программно-технических средств и организационно-
методических мероприятий, с помощью которых решается задача контроля
и управления посещением отдельных помещений, а также оперативный
контроль перемещения персонала и времени его нахождения на
территории объекта.
В состав СКУД Bravo входят следующие элементы:
55
Контроллер-концентратор СКД сетевой СК-05 - Используется для
управления исполнительными устройствами, хранения базы данных
пропусков, а также регистрации событий.
Контроллер замка сетевой КД-01 - Данный контроллер является
электронным устройством, работающим в составе сетевой СКД
«BRAVO», и предназначенным для управления электромагнитными
замками, электромеханическими защелками, а также турникетами
сторонних производителей. В качестве ключей доступа могут
использоваться ключи Touch Memory либо электронные
бесконтактные карты при использовании считывателей СВ-01.
Считыватель бесконтактный СВ-01 - Устройство предназначено для
идентификации карт доступа пользователей типа Proximity.
56
2.2 Управление проектом автоматизации
2.2.1 Описание системы принятия управленческих решений
При принятии решений руководитель вынужден исходить из своих
субъективных представлений об эффективности возможных альтернатив и
важности различных критериев. Однако при принятии субъективных
решений существует и объективная составляющая, которая выражается в
предопределенности действий при заданном сценарии действий.
Результативность (эффективность) каждого сценария действий
определяется в некоторой системе показателей, оценки по которым служат
основанием для выбора. Оценки показателей носят прогнозный характер,
часть из них может быть получена экспертным путем, но наиболее
надежный способ получения оценок заключается в применении
математических моделей. Вид модели, а зачастую это комплекс моделей,
зависит от предметной области, т. е. вида деятельности, в рамках которой
возникает рассматриваемая проблема. Прогнозирующие модели позволяют
получать также оценки развития процесса по заданному сценарию во
времени, что может представлять дополнительную информацию,
влияющую на результат выбора.
Итак, лицу, принимающему решение (ЛПР), предъявляются для
выбора варианты, представленные своими векторными оценками,
отдельные координаты которых (частные показатели) должны
соответствовать его понятийным представлениям о предметной области.
Только в этом случае ЛПР сможет сформулировать свои предпочтения по
каждому показателю, что позволяет применять уже определенные
формализованные процедуры сравнения вариантов для выбора
единственного варианта или, по крайней мере, сужения множества
альтернативных.
Таким образом, можно определить, что система поддержки принятия
решения (СППР) должна включать в себя два основных блока:
57
модели прогнозирования оценок показателей рассматриваемых
вариантов;
модели и процедуры формализации предпочтений ЛПР и
упорядочивание рассматриваемых вариантов в порядке
предпочтительности.
Собственно задача формирования вариантов (сценариев) действий
выходит за рамки СППР, хотя очевидно, что по результатам
прогнозирования исходных вариантов появляется дополнительная
информация для генерирования последующих.
2.2.2 Формирование команды проекта автоматизации
Архитектор команды разработчиков отвечает за разработку
архитектуры своей части системы. Эта роль важна, так как архитектор
определяет и разрабатывает основание всей будущей системы и неудачное
решение может привести к провалу проекта. Архитектура – это область
повышенного риска и последствия неудачи здесь очень значительны.
Реализация решений лежит на разработчике. Эта роль требует
соблюдения баланса между творческим подходом к решению задач и
соблюдением требований к проекту. Необходимо также приспосабливаться
к изменяющимся ситуациям, так как у заказчика могут меняться
требования к системе. Современные технологии создания ПО позволяют
отслеживать эти изменения за счет итеративного характера разработки.
Технический лидер – это самый опытный разработчик в команде. Он
направляет деятельность разработчиков, тестировщиков и аналитиков.
Технический лидер – это правая рука руководителя проекта.
Во всех проектах по разработке программного обеспечения команда
разработчиков использует множество различных инструментов,
технологий и процессов. Специалист по инструментальным средствам
устанавливает и настраивает инструментарий среды разработки и
подготавливает его для использования.
58
Руководитель ИТ-подразделения отвечает за поддержку и работу
продукта, разработанного в проекте, при его внедрении у заказчика, за
организацию рабочей среды, за обеспечение необходимыми аппаратными
средствами, за соблюдение стандартов безопасности.
Специалист по заключению контрактов работает со всеми
контрактами по проекту, в его компетенцию входит управление проектом с
точки зрения бизнеса.
2.2.3 Средства коллективной работы над проектом автоматизации
Для выбора СКР предлагается использовать обзор, представленный в
таблице 2.3 и 2.4. Вышеприведенный обзор включает всего три средства
коллективной разработки, хотя всего таких программ, конечно, гораздо
больше. К сожалению, все имеющиеся средства перечислить невозможно.
Достаточно полный список ссылок на сайты производителей СКР можно
найти по адресу http://www.cs.colorado.edu/users/andre/configuration_manage
ment.html. В таблице 2.3 приведена таблица возможностей некоторых
коммерческих СКР, а в таблице 2.4 - некоммерческих.
Таблица 2.3 Коммерческие средства разработки
Название программы
VC
Cnf
Brn
Shr
Net
FS
Srv
cmd
GUI
jc
Bc
Bt
Price
Perforce
+
+
+
-
+
-
S
+
-
+
-
-
$500
GP-Version
+
-
+
+
+
+
S
-
+
-
p
+
$325
MKS Source Integrity P.E
+
+
+
p
+
+
S
+
+
+
+
-
$599
Code Co-op 2.0
+
+
-
-
*
+
W
-
+
-
-
-
$150
CS-RCS
+
-
+
-
+
+
S
-
+
-
-
-
$75
PVCS Version Manager
+
-
-
-
-
+
S
=
+
-
-
-
~$620
StarTeam
+
+
+
+
+
+
S
-
+
+
-
+
~$650
VERSIONS 2.0
+
+
+
-
-
+
S
-
+
-
-
-
~$220
TLIB 5.5
+
+
+
-
-
+
S
+
=
-
-
-
$225
Visual SourceSafe 6.0
+
+
+
+
*
+
S
+
+
-
-
-
$549
59
Таблица 2.4 Некоммерческие средства разработки
Название программы
VC
Cnf
Brn
Shr
Net
FS
Srv
Cmd
GUI
Jc
Bc
Bt
Lic
Revision Control System
(RCS)
+
-
+
-
-
+
S
+
-
-
-
-
GNU
Concurrent Versions System
(CVS) 1.10
+
+
+
+
+
+
S
+
*
-
-
-
GNU
CSSC (free version of
SCCS)
+
-
+
-
-
+
S
+
-
-
-
-
GNU
Proj. Rev. Control System
(PRCS)
+
+
+
+
-
+
S
+
-
-
-
-
GNU
Aegis (by Peter Miller) 3.12
+
+
+
-
*
+
B
+
-
-
+
-
GNU
Условные обозначения:
VC – поддержка контроля версий;
Cnf – автоматизация разрешения конфликтов;
Brn – поддержка ветвления версий;
Shr – возможность использования одного файла в нескольких
проектах;
Net – доступ к БД проекта по сети (TCP/IP);
FS - доступ к БД проекта с использованием файловой системы;
Srv – серверный ли тип этой СКР (S - серверный, W - бессерверный,
B - работа в обоих режимах);
Cmd – наличие интерфейса командной строки;
GUI – наличие графического интерфейса;
jc - автоматизация управления распределением обязанностей;
bc - контроль и ускорение сборки проекта;
bt - встроенная система поиска ошибок;
Lic – условия распространения (для некоммерческих средств).
+ имеется
- отсутствует
= имеется в большинстве поставок
* поддерживается внешними средствами
60
~ не удалось получить точных сведений
p находится в зачаточном состоянии
Как видно из таблиц, цена за одно рабочее место пропорциональна
количеству "плюсиков". С другой стороны, практика показывает, что
поставщики относительно дорогого ПО предлагают достаточно
качественную техническую поддержку. Это поможет тем, кто впервые
связался с СКР, сэкономить значительное количество времени
61
2.3 Информационное обеспечение задачи
2.3.1 Информационная модель и её описание
Информационная система автоматизации почтовых рассылок
предназначена для отдела оформления подписки. Она будет содержать
данные об подписных изданиях и подписчиках, тем самым значительно
увеличит скорость документооборота и облегчит работу персонала,
уменьшив количество затрат.
Цели и задачи информационной системы автоматизации почтовых
рассылок:
упрощение работы;
увеличение производительности труда;
увеличение скорости информационных потоков на предприятии;
понижение затрат;
искоренение лишнего документооборота.
Пользователи должны иметь элементарные навыки по работе с ЭВМ,
а также ознакомиться с информационной системой автоматизации
почтовых рассылок. Пользователи должны распределить обязанности по
работе с системой, они обязаны следить за поведением информационной
системы автоматизации почтовых рассылок (учитывать возможные сбои
или неполадки).
Информационная система автоматизации почтовых рассылок должна
удовлетворять следующим требованиям:
отвечать требованиям заказчика;
обеспечивать минимальные затраты;
поднять производительность труда;
быть надежной в эксплуатации;
окупиться в заданные сроки;
легкость внедрения и доведения до персонала.
Функции информационной системы автоматизации почтовых