44
Рисунок 33 - Процессы жизненного цикла проекта автоматизации
–к организационным процессам относят[9, с.85]
процесс формирования инфраструктуры,
процесс управления,
процесс усовершенствования,
процесс обучения.
В рамках выпускной квалификационной работы будут затрагиваться
вопросы приобретения, поставки, эксплуатации и сопровождения, поэтому более
подробно их и рассмотрим. (Рисунок 34).
Основными процессами жизненного цикла проекта автоматизации являются:
а) Процесс приобретения - действия заказчика, который получает данный
программный продукт;
б) Процесс доставки осуществляется поставщиком, который доставляет
заказчику программный продукт или услугу;
45
Рисунок 34– Исполнители процессов жизненного цикла программного
продукта
в) Процесс разработки - осуществляется разработчиком, и охватывает
работы по разработке программного продукта и её компонентов в соответствии с
установленными требованиями. [18] В этот процесс входят следующие действия:
анализ требований к программному продукту;
проектирование архитектуры программного продукта;
подробное проектирование программного продукта;
кодирование и тестирование программного продукта;
интеграция программного продукта;
квалификационное тестирование программного продукта;
интеграция программного продукта;
квалификационное тестирование программного продукта;
46
установка программного продукта;
приёмка программного продукта.
г) Процесс эксплуатации действия оператор, который будет эксплуатировать
программный продукт.
д) Процесс сопровождения действия, которые выполняются службой
сопровождения. Изменения, вносимые в существующий программный продукт, не
должны нарушать его целостность[10]. Процесс охватывает следующие действия:
анализ проблем и запросов на модификация программного продукта;
модификация программного продукта;
проверка программного продукта;
перенос программного продукта;
снятие программного продукта с эксплуатации.
2.1.2. Ожидаемые риски на этапах жизненного цикла и их описание
Соблюдение этапов жизненного цикла проекта автоматизации, уже
гарантирует минимизацию рисков, так как весь жизненный цикл проекта
автоматизации разделён на этапы, на каждом этапе есть роли, за которыми
закреплены цели, которые должны быть достигнуты и всё же на каждой фазе есть
некоторые риски:
В фазе выработки концепции могут возникнуть следующие риски:
Нарушение сроков проекта и его бюджета – снизить этот риск,
возможно только детально прорабатывая задачи и цели проекта.
Неправильно состав исполнителей – минимизировать этот риск
возможно только тщательным подбором специалистов.
На фазе планирования могут возникнуть следующие риски:
Неверная архитектура выбираемого решения – появление этого риска
зависит от компетенции руководителя проекта
В фазе разработки возможны следующие риски:
Неправильная интерпретация технического задания - необходимо
более чёткая проработка технического задания
47
Отсутствие должной квалификации у программиста и инженера -
снижение данного риска за счет обращение к сторонним специалистам или
аутсорсингу.
В фазе тестирования могут возникнуть следующие риски:
Риски неоконченного тестирования - данный риск возникает при
неполном тестировании, или невозможности полного тестирования. Решается
путем повторного тестирования или проверки на испытательном стенде.
В фазе внедрения могут возникнуть следующие риски:
Риски неправильного принятия решения о законченности части
проекта - устраняется путем доработки при следующей итерации.
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Под угрозами информации принято понимать потенциальные или реальные
возможные действия по отношению к информационным ресурсам организации,
приводящие к неправомерному овладению охраняемыми сведениями.
Такими действиями являются:
ознакомление с конфиденциальной информацией различными путями
и способами без нарушения ее целостности;
модификация информации в криминальных целях как частичное или
значительное изменение состава и содержания сведений;
разрушение (уничтожение) информации как акт вандализма с целью
прямого нанесения материального ущерба.
В конечном итоге противоправные действия с информацией приводят к
нарушению ее конфиденциальности, полноты, достоверности и доступности, что
приводит к нарушению режима управления и его качества в условиях ложной или
неполной информации.
Угрозы безопасности информационных систем классифицируются по
нескольким признакам (Рисунок 35)
48
Рисунок 35- Угрозы безопасности информационных систем
1. Угрозы нарушения конфиденциальности - направленны на получение
(кражу) конфиденциальной информации из сети. При реализации этих угроз
информация становится известна лицам, которые не должны были иметь к ней
доступ, к данному виду угроз относят: [20]
несанкционированный доступ к информации, хранящейся в системе,
несанкционированный доступ, к информации переданный по каналам
(сети) данных,
копирование информации, к которой получен несанкционированный
доступ.
2. Угрозы нарушения целостности информации, хранящейся в системе или
переданные через сеть передачи данных, направленные на изменение или
искажение данных, которое может приводить к нарушению качества информации
или полного уничтожения данных. Данная угроза особенно актуальна при передачи
информации в компьютерных сетях и телекоммуникационных системах.
Умышленные нарушения целостности информации, не следует путать с его
несанкционированное изменение, которое выполняется уполномоченными
пользователями с определенной целью. [21]
49
3. Угрозы нарушения доступности системы (отказ в обслуживании),
направлен на создание ситуаций, когда определенные действия или информация о
системе будет блокировать доступ к некоторым из своих ресурсов.
4. Причины, возникновения случайных воздействий:
чрезвычайные ситуации, стихийные бедствия, перебои в подаче
электроэнергии;
ошибки в программном обеспечении;
ошибки обслуживающего персонала;
помехи в линии связи или ошибки из-за плотного трафика в системе
(что характерно для беспроводных сетей).
5. Преднамеренное воздействие связано с целенаправленными действиями
злоумышленника, в качестве которого могут выступать любые заинтересованные
лица (конкурент, посетитель, персонал и т.д.). Действия злоумышленника может
быть вызвано различными мотивами: обидой работника в его карьере,
материальный интерес, любопытство, конкуренция и стремление самоутвердиться
любой ценой и т.д. [7]
6. Внутренние угрозы инициируются персоналом объекта, на котором
хранится конфиденциальная информация. Причиной этих угроз может служить
нездоровый климат в коллективе, или неудовлетворенность сотрудников, которые
могут причинить вред информации.
Кроме того, есть так называемый "человеческий фактор", когда человек
случайно, совершает действия, которые приводят к раскрытию конфиденциальной
информации или к нарушению доступа к информационной системе. Под этим
понимают, например, создание примитивных паролей или хранение сложного
пароля пользователя на бумажном носителе на видном месте и так далее. Утечка
конфиденциальной информации может произойти при использовании
незащищенных каналов связи, например, телефонной связи.
7. Под внешними угрозами угроз безопасности, понимают угрозы исходящие
из внешней среды, такие как: [13]
50
внешние сетевые атаки, направленных на искажение, уничтожение,
кражу информации, которая приведет к отказу информационных систем ы
предприятия;
распространение вредоносного программного обеспечения;
рассылки спама;
воздействие на электромагнитные источники, приводящие к
нарушению нормального функционирования (отказа) аппаратного и программного
обеспечения;
перехват информации с помощью радиоприемников;
воздействие на инженерные сети;
воздействие на персонал завода с целью получения конфиденциальной
информации.
В современном мире, когда люди ежедневно пользуются Интернетом риск
внешних угроз увеличивается во много раз.
Каналы несанкционированного доступа к информации классифицируются по
компонентам автоматизированных информационных систем: [12]
1. Посредством человека:
хищение носителей информации;
чтение информации с экрана или клавиатуры;
чтение информации из распечатки.
2. Посредством программ:
перехват паролей;
расшифровка зашифрованной информации;
копирование информации с носителя.
3. Посредством аппаратного воздействия (рисунок 4):
подключение специально разработанных аппаратных средств,
обеспечивающих доступ к информации;
перехват побочных электромагнитных излучений от аппаратуры,
линий связи, сетей электропитания и т. д.
51
Особенности современных информационных технологий, прямо или
косвенно влияющих на безопасность информации в сетях, являются [6]:
1. Увеличение числа автоматизированных процессов в системах обработки
данных, а также усиление важности принятого на основании их решений;
2. Территориальное распределение компонентов компьютерных систем и
передачи информации между этими компонентами;
3. Усложнение программного и аппаратного обеспечения компьютерных
систем;
4. Накопление и длительное хранение больших объемов данных на
электронных носителях, часто не имеющих бумажных копий;
5. Интеграция в единую базу данных информации различного назначения и с
различным режимом доступа;
6. Прямой доступ к ресурсам компьютерных систем, многих пользователей
различных категорий с различными полномочиями в системе;
7. Рост стоимости компьютерных системных ресурсов.
Меры по защите информации и сетей регулируются в России нормами
закона «Об информации, информационных технологиях и о защите информации»
[3].
Комплексное обеспечение сетевой безопасности означает, что эти меры
направлены на предотвращение нарушений безопасности, которые происходят при
передаче информации по сетям, а также меры, определяющие, что нарушение
безопасности было.
В современной практике выделяют следующие группы средств,
обеспечивающих комплексную защиту информации (рисунок 5) : [9]
Организационные меры;
Инженерно-технические
· Антивирусные средства;
· Защита паролем;
· Криптографические средства;
· Стенографические средства.
52
Рисунок 36 – Методы защиты информации
Организационные методы защиты информации - это регулирование
производственной деятельности и реализации отношения к нормативно-правовой
базы, которое исключает или значительно затрудняет незаконное владение
конфиденциальной информации. Данный метод защиты ориентирован на
организацию работы с персоналом, с документы и организацию использования
технических средств по анализу угроз информационной безопасности.
Организационные методы создаются в каждой организации в соответствии с
условиями их деятельности, в результате чего, в компании существуют конкретные
методы и стандарты защиты, однако, они подчиняются общим законам, таким как:
Осуществление политики безопасности персонала;
Разграничение доступа к информации в соответствии с
функциональностью каждого работника;
Отсутствие максимального доступа сотрудников к информации;
Физическая демаркация административных и производственных
процессов в сети;
Организация сети на основе домена.
Информационная безопасность включает в себя защиту организационными
средствами без применения технических средств, возможные варианты
организационного решения по защите информации:
53
удаление оборудование и систем от границы контролируемых зон,
насколько это возможно,
размещения, например, трансформаторные подстанции и цепи
заземления в контролируемой зоне,
удаление вспомогательных технических средств и систем, линии
которых выходят за пределы контролируемой зоны,
запрещение использования оборудование и систем с паразитной
генерацией для обработки информации,
проведение специальных проверок технических средств на отсутствие
закладочных устройств.
Организационно-технические меры требуют выполнение комплекса мер,
предписанных нормативными документами.
Общие принципы защиты конфиденциальной информации, включают
следующие пункты [4]:
Непрерывность средства защиты информации ;
Достаточность средства защиты информации;
Сложность средства защиты информации;
Последовательность средства защиты информации;
Эффективность средства защиты информации.
Для осуществления мер по защите информации, необходимо
использовать сертифицированные технические средства защиты информации.
Система безопасности - это организованная совокупность специальных
органов, служб, средств, методов и мер для обеспечения защиты жизненно важных
интересов граждан, предприятий или государства от внутренних и внешних угроз.
Главной задачей системы безопасности является разработка и реализация мер по
защите информация, техническое обслуживание системы, защита и восстановление
объектов, поврежденных в результате каких-либо противоправных действий.
Все эти задачи помогают в достижении раннего обнаружения угроз,
оперативного предупреждения, нейтрализации, подавления, локализации и
уничтожения, а также атаки отражения.