53
2 Проектная часть
2.1 Разработка проекта автоматизации
2.1.1 Процессы жизненного цикла проекта автоматизации
Жизненный цикл программного обеспечения (ПО) определяет период
времени, наступающий с момента принятия решения о важности разработки ПО и
оканчивающийся в момент его фактического изъятия из пользования. Этот цикл —
процесс создания и эволюции ПО.
Понятие ЖЦ ПО пришло тогда, когда разработчики осознали важность
перехода от единоличных кустарных методов разработки программ к
технологичному промышленному их созданию. И зачастую в подобных ситуациях
многие пытаются перенести в свою сферу опыт их других направлений
производства. Таким образом было перенято понятие ЖЦ.
Главные этапы ЖЦ ПО:
Исследование требований,
Построение макета,
Программирование,
Отладка и исправление ошибок,
Внедрение и использование.
Нюансом разработки ПО становится принятие решений на первичных этапах
с их реализацией на заключительных этапах. Ошибки в требованиях к ПО могут
привести не только к потерям в процессе создания и использования, но и к
полному провалу проекта. Корректировка и изменения в спецификациях ПО
зачастую влечет за собой повторение всех следующих этапов построения модели и
реализации ПО.
Сам ЖЦ ПО является непрерывным процессом, начинающимся в момент
принятия решения о важности его создания и оканчивающимся в момент его
окончательного выведения из эксплуатации.
Главный нормативный документ, контролирующий ЖЦ ПО –
международный стандарт ГОСТ Р ИСО/МЭК 12207-2010. (ISO, International
Organization of Standardization – Общемировая компания по стандартизации, IEC,
International Electrotechnical Commission – Международная коллегия по
электротехнике). Он отражает структуру ЖЦ, включающую в себя процессы,
действия и задачи, реализуемые за время разработки ПО.
Исходя их этого стандарта, структура ЖЦ ПО основана на 3 группах
процессов:
54
Рисунок 2.1 Процессы ЖЦ ПО
Любой такой процесс определяется некоторыми задачами и методами их
решения, начальными данными, приобретенными на предыдущем этапе, и
результатами. Итогами анализа, у примеру, становятся функциональные и
информационные модели, а также соответствующие им диаграммы. ЖЦ ПО носит
итерационный характер: итоги прошедшего этапа влекут изменения в проектных
решениях, основанных на более ранних этапах.
ЖЦ информационных продуктов и услуг является базой для ЖЦ
информационных технологий и, конечно, самих ИС. Следовательно, всё
вышесказанное можно отнести и к ИС.
ИС включены в состав СУБД и являются узконаправленным
инструментальным и прикладным (пользовательским) ПО.
Модель жизненного цикла ПО отражает структуру, определяющую
последовательность реализации и взаимосвязь процессов, действий и задач в
рамках всего ЖЦ. Модель ЖЦ зависит от специфики, масштаба и трудности проекта
и конкретных условий, в которых система развивается и работает.
Сегодня наибольшее распространение получили три базовые модели ЖЦ:
Задачная модель;
Каскадная модель (70-85 г.г.);
Спиральная модель (сегодняшние дни).
ЖЦ программных средств (ПС) обычно представляет собой набор этапов,
работ и операций в порядке их реализации и взаимосвязях, определяющих
ведение работ от составления технического задания до финальных испытаний ряда
версий и завершения эксплуатации ПС или ИС. Подобные стандарты состоят из
55
правил описания начальной информации, методики выполнения операций,
осуществляют контроль технологических процессов и правил представления их
результатов. Еще они определяют содержание технологических и
эксплуатационных документов на комплексы ПО. Они выражают организационную
структуру коллектива, поддерживают распределение и планирование заданий,
реализуют контроль над этапами разработки комплекса ПС.
Для составления жизненных циклов (ЖЦ) ИС был выбран стандарт ISO 12207,
как стандарт, включающий в себя большинство автоматизированных систем (АС) и
ПС, где ПС – малая часть всего плана работ. Международный стандарт ISO/IEC
12207 показывает стратегию и общий порядок в разработке и использовании ПО,
он охватывает ЖЦ ПО от зарождения идей до окончания цикла. Определение
стандарта: система — это совокупность одного или более процессов, аппаратных
средств, ПО, оборудования и людей для реализации возможности удовлетворения
конкретных потребностей или целей.
В отличие от Oracle CDM стандарт ISO 12207 одинаково нацелен на
организацию действий каждой из двух сторон: поставщик (создатель) и покупатель
(клиент). Применяется в разных случаях, даже когда обе стороны внутри одной
компании. В отличии от CDM, стандарт ISO состоит из более крупных обобщенных
процессов: «покупка», «доставка», «создание» и т.п. Любой процесс разделен на
набор действий, а каждое действие — на совокупность задач. Важно одно отличие
ISO: любой процесс, действие или задача определяется и реализуется другим
процессом по мере необходимости, причем нет ранее заданных
последовательностей (конечно, в рамках сохранения логики связей по начальным
сведениям задач и т.п.).
Развивающийся характер стандарта зависит от способа выражения
последовательности выполнения процессов и задач, когда один процесс в случае
необходимости вызывает другой или его часть. Стандарт отражает архитектуру,
процессы, разделы и подразделы ЖЦ ПС, а также указывает список необходимых
работ и подробно описывает содержание каждой из них. Архитектура ЖЦ ПС в
стандарте основывается на 3 основных компонентах:
Покупка или поставка,
Создание,
Использование.
Стандарт не включает конкретные методы действий, а также заготовки
решений или документации. Он отражает архитектуру процессов ЖЦ ПО, но не
углубляется в детали реализации или выполнения услуги и задачи, включенных в
процессы. Стандарт не указывает конкретную модель ЖЦ или метод создания ПО,
но показывает, что стороны участники использования стандарта несут
ответственность за выбор модели ЖЦ для проекта ПО, за подгонку процессов и
56
задач стандарта к этой модели, за обоснованный выбор и использование методов
создания ПО, за реализацию действий и задач, уместных для проекта ПО.
Покупка или поставка. Цель этапа – предложение разработчику от заказчика,
на выполнение автоматизированной системы. На этом этапе заключается договор,
корректируются его условия и требования. Участники этапа – ответственный от
лица заказчика, который контролирует и уточняет направления для разработчиков.
А так же менеджер проекта от лица разработчиков. Он принимает от заказчика
требования, подписывает договор, и согласует начальные установки и задачи для
работы. На этом этапе заказчик должен предоставить развернутое техническое
задание (ТЗ), менеджер утверждает его, уточняются некоторые детали задания и
согласовываются средние сроки выполнения разработки.
Создание. Создание ПО разбито на множество небольших этапов,
призванных обеспечить создание ИС, отвечающей требованиям заказчика, и в
договоренные сроки:
Исследование требований к системе;
Построение системной архитектуры;
Исследование требований к ПС;
Построение архитектуры ПС;
Детальное проектирование ПС;
Реализация и тестирование ПС;
Внедрение ПС;
Квалификационная проверка системы;
Начало эксплуатации ПС;
Финальная приемка ПС.
Основные участники на этом этапе – это менеджер проектов и
непосредственные разработчики. Сам менеджер разбивает задачу разработки ПС
на вышеперечисленные этапы, следит за их выполнением, контролирует ход
выполнения за каждым разработчиком. При необходимости сам участвует в
разработке или координации действий между отдельными разработчиками.
Определяет участки работы для каждого отдельного разработчика в зависимости
от квалификации и опыта, определяет степень универсальности взаимодействия
отдельных частей ПС, разрешает коллизии и спорные моменты.
Разработчики принимают план работ, поле деятельности и конкретные
задачи для выполнения. Определяют для себя методы решения своих задач,
согласовывают пути взаимодействия с программными частями других
разработчиков, спецификации функций, протоколов передачи данных, и др.
57
Использование. На этом этапе проводятся тестовые испытания ПС,
определяются сильные и слабые моменты, недоработки, и слаженность работы
всех компонентов. При выявлении недоработок определяются перечень указаний
для исправлений разработчиками.
Существуют следующие основные стратегии внедрения системы:
1) Стратегия “Параллельное использование”. Параллельное использование -
параллельно выполняются старая и новая технология решения задачи, их
результаты сравниваются. Если результаты согласуются длительное время, то
осуществляется переход на новую технологию.
Плюсы:
- минимальный риск ошибок в виде новых технологий;
- управления внедрения ИС может осуществлять независимо от обычного
операционного планирования компании.
Минусы:
- двойная загрузка персонала;
- потребности в удвоенных мощностях серверов;
- необходимость постоянной сверки результатов работы 2х технологий.
2) Стратегия “Скачек”. Скачек - старая технология работает до
определенного момента, затем осуществляется внедрение новой технологии, а
после внедрения реализуется только новая технология
Плюсы:
- минимальная длительность переходного периода;
- нет двойных затрат на деятельность компании;
- новые процессы являются наиболее оптимальными в виду отсутствия
переходного периода.
Минусы:
- высокие риски несоответствия качества ИС требованиям компании;
- высокие требования к процессу планирования перехода на новую
технологию;
3) Стратегия “Пилотный проект”. Пилотный проект - тактика скачка
применяема к ограниченному числу процессов, областью применения обычно
является небольшой участок.
Плюсы:
58
- минимальный риск выбора неверного решения, которое не приводит к
длительному простою всего предприятия;
- возможность изменения планируемой технологии в процессе внедрения
ИС на участке;
- отсутствие 2х затрат на реализацию технологии.
Минусы:
- сложность интеграции информационных потоков формируемых по старой
и новой технологии;
- необходимость управления старой и новой ИС одновременно.
4) Стратегия “Узкое место”. Узкое место - автоматизация малой части
производственного процесса, который обычно выбирается по критериям, их
эффективности приводящих к повышению качества реализации процессов только в
определенном узком месте.
Плюсы:
- после автоматизации каждого узкого места имеется возможность прервать
автоматизацию;
- минимальные требования к уровню планирования работ внедрения.
Минусы:
- выполнение полного цикла планирования на каждом из узких мест - ввиду
возможности прерывания автоматизации процесс может, не закончится некогда;
- независимость автоматизации узких мест может привести к формированию
избыточного множества программно аппаратных решений.
Таким образом, в условиях ограниченного бюджета и начальной стадии
автоматизации логичным будет выбрать стратегию внедрения «Узкое место».
2.1.2 Ожидаемые риски на этапах жизненного цикла и их описание
Данный раздел описывает риски, которые могут возникнуть на этапах ЖЦ
задачи разработки ИС управления персоналом. Риском является возможность
появления обстоятельств, обусловливающих неуверенность или невозможность
получения ожидаемых результатов от реализации поставленной цели, нанесение
материального ущерба, опасность валютных потерь и др. Существуют следующие
типы рисков:
59
Проектный тип рисков. В него включены риски, которые связаны с ошибками
в бюджете; в графике работ; с проблемами персонала организации; риски
различных изменений в текущем законодательстве.
Технический тип рисков. К нему относят риски, связанные с проблемами
реализации технических решений и человеческим фактором, а именно риски,
связанные с неспособностью специалистов выполнить необходимую задачу.
Тип бизнес-рисков. Он содержит в себе риски, которые связаны с
финансовой поддержкой задачи учета, или, другими словами, риски сокращения
бюджета, приводящие не только к сокращению проекта и его задач, но и к его
полному провалу в случае не достижения основной цели; риск потери интереса к
задаче ведения и учета внутренних заказов оборудования со стороны конечных
пользователей, риски при оценке рынка данного вида учета. Данный тип рисков
невозможно исключить, но его можно минимизировать.
Чтобы уменьшить величину данных типов рисков необходимо иметь
достаточно компетентных и квалифицированных сотрудников, имеющих большой
опыт работы в соответствующей области и при этом взаимозаменяемых на
сотрудников, не менее соответствующих данным характеристикам (таблица 2.1).
Таблица 2.1
Характеристики дефектов программного продукта
Этапы возникновения дефектов и ошибок
Типы первичных дефектов и ошибок
программного средства и
документации
Формирование
требований
Разработка требований
к ПО
Дефекты исходных требований
заказчика
Проектирование
Планирование работ
Дефекты, обусловленные реальной
сложностью проекта
Проектирование
архитектуры системы
Ошибки планирования и системного
проектирования программного
средства
Детальное
проектирование ПО
Системные и алгоритмические
дефекты и ошибки проекта
Реализация
Кодирование ПО
Программные дефекты и ошибки
компонентов и документов
программного средства
Тестирование
Тестирование ПО
Программные и алгоритмические
ошибки программного средства и
документации
60
Ввод в действие
Разработка
документации
Дефекты и ошибки обобщающих
документов
Эксплуатация и
сопровождение
Эксплуатация ПО
Программные дефекты.
На этапе эксплуатации возможны риски, возникающие по причинам:
1) Злоумышленных, активных воздействий заинтересованных лиц. Для
защиты от внешних угроз необходимо применять средства обеспечения защиты
программ и данных (аутентификация пользователей, защита локальной сети при
помощи межсетевых экранов, применение антивирусных программ и пр.).
2) Случайных негативных проявлений внешней среды, дефектов системы
или ошибочных действий пользователей. Основными источниками отказовых
ситуаций могут быть некорректные исходные требования, сбои и отказы в
аппаратуре, дефекты или ошибки в программах и данных функциональных задач,
проявляющиеся при их исполнении в соответствии с назначением. При таких
воздействиях внешняя, функциональная работоспособность систем может
разрушаться не полностью, однако невозможно полноценное выполнение
заданных функций и требований к качеству информации для потребителей.
Для снижения рисков, связанных с дефектами системы, необходимо
проводить тщательное тестирование на контрольных примерах, приближенных к
действительности. Для снижения рисков, связанных с ошибочными действиями
пользователей, необходимо предусмотреть защиту от применения ошибочных
действий по удалению и порче данных.
На стадии доработки могут возникнуть следующие риски:
• увеличение нагрузки на персонал - несогласованность действий
персонала исполнителя и сотрудников предметных областей;
• трудности с обучением персонала заказчика из-за нежелания работать
с новой системой;
• отсутствие поддержки внедрения ИС со стороны отдельных ключевых
участников проекта;
• неучастие руководителей в проекте.
Для минимизации указанных рисков необходимо принимать следующие
меры:
• проведение обучения персонала работы с системой;
• доведение до персонала смысла внедрения автоматизированной
системы;
61
• активное вовлечение высшего руководства в проект, активное
взаимодействие с ним в ходе проекта и своевременное принятие решений,
необходимых для нормальной реализации проекта.
2.1.3 Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Комплекс мер по защите информации в разрабатываемой системе включает
в себя следующие аспекты:
защита информации непосредственно в информационной системе от
внутренних угроз;
защита информации от внешних угроз.
Для защиты от внутренних угроз в системе используется политика
разделения прав доступа. Характеристика политики приведена в таблице 2.2.
Таблица 2.2
Разграничение прав пользователей
Группы
пользователей
Модуль
«Авторизация»
Модуль
«Регистрация»
Модуль
«Справочники»
Модуль
«Отчеты»
Сотрудники
предприятия
Чтение
Нет
Чтение
Ограничен
Менеджеры
Чтение
Полный
Чтение
Полный
Администратор
системы
Полный
Полный
Полный
Полный
Защита от внешних угроз осуществляется путем применения следующих
способов:
- использованием программно-аппаратных комплексов;
- разработкой и соблюдение политик безопасности;
- использованием защищенных каналов связи при передаче информации;
- использованием антивирусных средств;
- физической защитой помещений с наиболее ценной информацией.
62
Характеристика используемых средств от внешних угроз информационной
безопасности приведена в таблице 2.2.
Таблица 2.3
Характеристика используемых средств от внешних угроз информационной
безопасности
Способ (метод)
Описание (наименование средства)
Программно-аппаратные комплексы
защиты информации
КСЗИ «Панцирь-К»
Разработка и соблюдение политик
безопасности
- ограничение доступа пользователей к
информации;
- анализ и статистика нарушений
информационной безопасности;
- информационный мониторинг;
- распределение ответственности по
обеспечению информационной
безопасности;
- определение порядка работы с
информацией, являющейся
конфиденциальной.
Антивирусная защита
ESET NOD32 Smart Security 4.2
Физическая защита помещений
СКУД «Elsys»
КСЗИ «Панцирь-К» для ОС Windows 2000/XP/2003 собственными средствами
реализует все технические требования, регламентируемые для АС класса
защищенности 1Г.
Для шифрования данных в КСЗИ реализована возможность подключения
криптопровайдеров «Signal-COM CSP» (ЗАО «Сигнал КОМ») и «КриптоПро CSP 3.0»
(ООО «Крипто-Про»), сертифицированных ФСБ России по требованиям
безопасности информации к классам «КС1» и «КC2».
Система предназначена для защиты информации, обрабатываемой на
автономном компьютере, либо на компьютерах в составе корпоративной сети.
КСЗИ служит для эффективного противодействия, как известным, так и
потенциально возможным атакам на защищаемые ресурсы, что обеспечивается
устранением архитектурных недостатков защиты современных ОС.
СКУД «Elsys» состоит из следующих элементов: