78
Сегодня существует три общепринятых стратегии управления
рисками:
• Избегание рисков – проекта строится так, чтобы исключить
возможность появления любого риска;
• Делегирование рисков – проекта строится так, чтобы передать
все риски третьей стороне (инвесторам, банкам, заказчикам и т.п.);
• Принятие рисков – риски считаются неизбежной
составляющей проекта, реализуется постоянный мониторинг симптомов их
проявления, часто дорабатывается план действий в случае возникновения
рисков.
Модно рассмотреть две базовые категории рисков – прямые и
косвенные. На прямые риски проектная команда еще как-то можно
повлиять, а вот косвенные риски нельзя проконтролировать в принципе.
Риски делят на 2 основных вида:
1) Ресурсные риски:
• Организация (делала ли компания прежде проекты
аналогичной сложности, есть ли формальный процесс создания ПО и т.п.);
• Финансирование (обеспечено ли на 100% финансирование
проекта, утверждена ли стоимость проекта или она все еще предмет для
обсуждений, точно ли проведена оценка затрат и т.п.);
• Персонал (хватает ли людей для выполнения проекта, имеют
ли они нужные навыки и опыт, случалось ли им раньше работать вместе и
т.п.);
• Время (актуален ли план проекта, как критична установленная
дата завершения проекта и т.п.);
• Бизнес (что будет, если конкурент выйдет на рынок быстрее,
выгода, полученная от осуществления проекта больше, чем затраты на
него, что случится, если ключевые поставщики в силах будут выполнить
свои обязательства и т.п.);
79
2) Технические риски:
• Область действия проекта (могут ли меняться критерии
правильного завершения проекта, требования понятны и стабильны,
область действия четко фиксирована или будет расширяться в будущем и
т.п.);
• Технологии (применялась ли используемая технология раньше
или она только что разработана, есть ли необычные или инновационные
технические решения, с которыми проектная команда раньше не могла
сталкиваться и т.п.);
• Внешние зависимости (зависит ли проект от выполнения
других проектов, зависит ли успех проекта от сторонних продуктов или
поставщиков и т.п.).
В данном проекте можно выделить следующие основные риски на
каждом этапе жизненного цикла (таблица 8).
Таблица 8Основные риски на этапах жизненного
цикла информационной системы
Этап
Риск
Мероприятия
80
Проектирование
- неправильное
определение рамок
и масштабов
проекта;
- проектирование
ошибочных
функций и
интерфейсов
будущей системы;
- выбор
неправильных
технологий и
методов решения
поставленных
задач;
- несоблюдение
требований
заказчика при
проектирование
будущей системы
или постоянное
изменение
требований.
- обеспечение
стабильности границ
проекта, определенных
на начальном этапе,
вплоть до окончания
проекта;
- качественное
планирование работ;
- своевременная
идентификация
проектных рисков и
разработка
рекомендаций по
снижению рисков;
- обеспечение проекта
необходимыми
ресурсами;
- обязательное
утверждение и
согласование по
проектным решениям
Разработка
Недостаточно
ресурсов для
выполнения
комплексного и
нагрузочного
тестирования
Заключить договор со
специализированной
организацией на
выполнение ею этих
работ.
Недостаточно опыта
у персонала
заказчика, который
будет
эксплуатировать
систему
Предоставить заказчику
услуги собственного
специалиста для
первоначального
сопровождения системы
и постепенного
обучения персонала
заказчика.
81
Внедрение
- увеличение
нагрузки на
персонал;
- несогласованность
действий персонала
исполнителя и
сотрудников
предметных
областей
- проведение обучения
персонала заказчика
работы с системой;
- составление плана
внедрения ИС
Источник: разработано автором
Кроме того, в процессе эксплуатации и сопровождения
разработанной ИС могут возникнуть:
технические риски;
риски персонала.
Причинами технических рисков становятся:
• Использование вредоносных программ (логические бомбы,
вирусы, трояны, черви, шифровальщики), активированные в корыстных
целях внутри найденных ошибок (дыр) в ПО,
• Перехват данных по сетям связи, воровство данных;
• Неправильная эксплуатация оборудования;
• Проблемы в работе третьего лица (к примеру, провайдера
Интернет услуг), что влечет за собой недоступность передачи отчетов из
филиалов и контроля работы филиалов;
• Расхождение функциональных возможностей системы
текущим бизнес-процессам в комплекс задач ввиду проведенных
реорганизационных изменений.
Минимизировать данные обстоятельства можно, соблюдая
некоторые моменты:
• Подробное тестирование и выявление ошибок на этапе
создания проекта;
82
• Устранение всех недочетов и ошибок в минимальные сроки
силами прошедших подготовку на этапе внедрения технических
специалистов;
• Сам администратор сети обязан следить за безопасностью
данных, применять и вовремя обновлять антивирусное ПО, грамотно
настроить FireWall, разделяющий локальную и внешнюю сеть, давать
работникам компании возможность работы только с той информацией,
которая им нужна для реализации своих служебных обязанностей;
• Разделение клиентского и серверного оборудования, а также
привлечение обученного работе с системой опытного персонала;
• Доступность альтернативных средств выхода в Интернет или
наличие других способов отправки информации;
• Запись и фиксирование всех технических условий и их
утверждение со всеми основными участниками проекта;
• Обязательное утверждение проведенных изменений.
Факторами реализации риска персонала становится такие
обстоятельства, как:
• Нарушение режима ИБ – есть вариант утечки данных из-за
злоумышленных действий сотрудников и не желании взаимодействовать с
новой системой;
• Не отражен этап выхода их проекта представителей заказчика.
В противовес этому выступает:
• Реализация системы поощрений персонала заказчика,
применяющего систему;
• Прием на работу сотрудников при условии сохранения
коммерческой тайны, в противном случае – использование штрафных или
иных санкций;
• Грамотное планирование сроков проекта и момента
завершения работы над проектом со стороны исполнителя.
83
2.1.3 Организационно-правовые и программно-аппаратные
средства обеспечения информационной безопасности и защиты
информации
При эксплуатации разработанной информационной системы для
обеспечения её безопасности от внешних и внутренних угроз используется
комплекс мер по защите информации. В этот комплекс прежде всего
входят средства, позволяющие ограничить доступ пользователей к
различным модулям системы.
Для защиты от внутренних угроз в системе используется политика
разделения прав доступа. Характеристика политики приведена в таблице 9.
Таблица 9Разграничение прав пользователей
Группы
пользоват
елей
ПМ
Авториз
ация
ПМ
формиров
ание
заявок
ПМ
формиров
ания
отчетов
ПМ
работы со
справочни
ками
Админис.ат
ор
Полный
доступ
Полный
доступ
Полный
доступ
Полный
доступ
Сотрудник
отдела оп
работе с
клиентами
Чтение
Чтение
Чтение
Полный
Источник: разработано автором
Для обеспечения физической информации файрвол, веб-сервер,
сервера IDS и контроля за трафиком и все сервера данных находится в
отдельном помещении, доступ в которое разрешен только
администраторам, у которых есть ключ или магнитная карта к этой
комнате (комната закрыта). Помещение оборудовано принудительной
вентиляцией и пожарной защитой (полуавтоматической). Вход в офис
компании должен осуществляться только по магнитным картам.
2.2 Информационное обеспечение задачи
84
2.2.1 Информационная модель и её описание
Информационная модель представляет собой схему движения
входных, промежуточных и результативных потоков и функций
предметной области. Кроме того, она объясняет, на основе каких входных
документов и какой нормативно-справочной информации происходит
выполнение функций по обработке данных и формирование конкретных
выходных документов. Информационная модель представлена на рисунке
9.
ИС
Спр Статус заявки
Спр Статус
заявки*
Спр Пользователь
Т Заявка
Т Услуги в заявке*
Спр Услуга
Т Услуги в заявке
Т Заявка*
Учет
клиентов
Учет
сотрудников
Список
сотрудников
Учет типов
пользовател
ей
Список услуг
Учет заказа
Сотрудник
Сотрудник
Список
клиентов
Учет услуг
список
клиентов
список
договоров
Отчет Заявка
Отчет Заявка
Отчет Договор
Отчет
Договор
Спр
Пользователь*
Спр Тип
пользователя*
Спр Тип
пользователя
Спр Услуга*
Список типов
пользователей
Журнал учета
заявок
Журнал
учета заявок
Прайс-лист
Прайс-лист
Отчет по
работе
менеджеров
список
пользовател
ей
Рисунок 9 Информационная модель системы
Источник: разработано автором
Информационная модель включает в себя три области – область 1, в
которой происходит заполнение справочников, область 2, в которой
показана, как осуществляется учет выданных книг, и область 3, где
указано, каким образом осуществляется получение выходных документов.
Пользователь системы на основании имеющихся документов вводит
данные в справочники системы, тем самым подготавливая ее к работе.
85
После этого происходит учет клиентов и заказов, на основании чего
формируются выходные документы, перечисленные на модели,
исключительно в электронной форме.
2.2.2 Характеристика нормативно-справочной, входной и
оперативной информации
Справочники информационной системы являются особой группой
наборов данных. Справочники предназначены для систематизации
различной информации: типов, марок, возможных значений параметров и
т.п. Результатом такой систематизации становится то, что, занося
некоторую информацию в систему, пользователь может вводить те и
только те значения, которые содержатся в соответствующем справочнике
[6]. Это, во-первых, облегчает ввод, во-вторых, устраняет некоторые
ошибки (опечатки), в третьих, упрощает последующий анализ.
Справочники не предоставляются уже наполненными, поэтому
требуется их предварительная настройка. Кроме того, в процессе
эксплуатации, может возникнуть потребность корректировки справочных
значений или добавление новых. Перечень используемых справочников
приведен в таблице 10.
Таблица 10 Перечень используемых справочников
Названи
е
справочн
ика
Ответстве
нный за
ведение
Средний
объём
справочн
ика в
записях
Средняя
частота
актуализ
ации
Средний
объем
актуализа
ции, %
Пользоват
ель
Админис.ат
ор
5
1 раз в год
10
Статус
заявки
Админис.ат
ор
100
1 раз в год
20
Тип
пользоват
еля
Админис.ат
ор
50
1 раз в год
20
Услуга
Админис.ат
50
1 раз в год
20
86
ор
Источник: разработано автором
Реквизитный состав справочников приведен в Таблице 11.
Таблица 11 Реквизитный состав справочников
Наименование
Перечень реквизитов
Тип пользователя
Название;
Права.
Статус заявки
Название статуса
Услуга
Название услуги;
Описание услуги;
Стоимость.
Пользователи
фамилия;
имя;
отчество;
статус в системе;
пароль;
логин;
дата регис.ации.
Источник: разработано автором
В системе используются следующие входные документы:
сведения о пользователях, поступающие от инспектора по
кадрам компании;
заявки, поступающие от клиентов;
Сведения о клиентах;
Список услуг, поступающий от директора компании.
Список пользователей содержит следующие сведения о
пользователях системы:
фамилия;
имя;
отчество;
должность.
На основании данного документа формируется содержимое
справочника Пользователи.
87
При учете услуги используются такие реквизиты, как ее описание и
стоимость.
При учете заявок учитываются данные клиента, данные объекта
охраны, оказываемые услуги, документы.
2.2.3 Характеристика результатной информации
В качестве выходных в разработанной системе учета работы с
клиентами формируются следующие документы:
список пользователей – содержит перечень пользователей;
список клиентов – содержит перечень клиентов;
список договоров– содержит перечень договоров;
Отчет Заявка;
Отчет Договор;
Журнал учета заявок;
Прайс-лист;
Отчет по работе менеджеров.
Отчет Заявка содержит следующие реквизиты:
Код заявки
Дата регистрации
Договор (Дата)
Договор (Номер)
Клиент
Название объекта
Адрес объекта
Описание объекта
Дата отправки последнего Email сообщения
Количество отправленных Email сообщений