66
На этапе обучения пользователей и опытно-промышленной
эксплуатации возникают риски участия неграмотных специалистов в
тестировании системы. Другим аспектом является вновь управление
коммуникации, только уже при опытной эксплуатации и обучении
пользователей, так как их участие и содействие крайне важно для
последующего успеха проекта.
Процесс управления рисками проекта – это область знаний,
включающая в себя процессы планирования управления рисками, их
идентификации и анализа, реагирования на риски, мониторингу и
управлению рисками проекта.
В процессах анализа и планирования реагирования, мониторинга и
управления рисками принимают участие все участники проекта.
Все идентифицированные риски Проекта необходимо включать в
реестр рисков. Реестр рисков изменяется, дополняется и уточняется по
мере выполнения следующих процессов [25]:
1. идентификация новых рисков;
2. качественный анализ рисков (ранжирование рисков,
расстановка приоритетов);
3. определение стратегии реагирования на риск;
4. мониторинг и управление рисками.
Процесс количественного анализа рисков для упрощения
процедуры управления рисками не выполняется.
В момент идентификации риска требуется определить его
категорию. Отнесение риска к определенной категории необходимо
выполнять в соответствии со схемой «Категории рисков» (рис. 2.3).
67
Проект
Технический Внешний Организационный
Управление
проектом
Требования
Технология
Степень
сложности и
интерфейсы
Эффективность
и надежность
Качество
Субподрядчики и
поставщики
Предписания
контролирующих
органов
Рынок
Заказчик
Погодные
условия
Ресурсы
Финансирование
Расстановка
приоритетов
Оценки
Планирование
Контроллинг
Коммуникации
Рис. 2.3 Категории рисков
Для определения влияния риска на проект необходимо
использовать матрицу определения степени воздействия (таблица 2.1).
Таблица 2.1
Матрица определения степени воздействия
Показатели
Влияние
Очень низкое
0,05
Низкое
0,10
Умеренное
0,20
Высокое
0,40
Очень
высокое
0,80
Стоимость
Незначительно
е увеличение
стоимости
Увеличение
стоимости
< 10%
Увеличение
стоимости
10 - 20%
Увеличение
стоимости
20 - 40%
Увеличение
стоимости >
40%
Сроки
Незначительно
е увеличение
времени
Увеличение
времени
< 5%
Увеличение
времени 5 -
10%
Увеличение
времени 10 -
20%
Увеличение
времени > 20%
Содержание
Едва заметное
уменьшение
содержания
Затронуты
второстепен
ные области
содержания
Затронуты
основные
области
содержания
Уменьшение
содержания
неприемлемо
для
Функциональног
о Заказчика
Конечный
продукт
проекта
фактически
бесполезен
Ранжирование рисков необходимо производить по матрице
вероятность/воздействие (таблица 2.2).
68
Таблица 2.2
Матрица вероятности и последствий
Вероятность
Угрозы
Благоприятные возможности
0,05
0,10
0,20
0,40
0,80
0,80
0,40
0,20
0,10
0,05
0,90
0,05
0,09
0,18
0,36
0,72
0,72
0,36
0,18
0,09
0,05
0,70
0,04
0,07
0,14
0,28
0,56
0,56
0,28
0,14
0,07
0,04
0,50
0,03
0,05
0,10
0,20
0,40
0,40
0,20
0,10
0,05
0,03
0,30
0,02
0,03
0,06
0,12
0,24
0,24
0,12
0,06
0,03
0,02
0,10
0,01
0,01
0,02
0,04
0,08
0,08
0,04
0,02
0,01
0,01
При выборе стратегии реагирования на риск (таблица 2.3)
необходимо руководствоваться результатами качественного анализа –
ранжирования рисков.
Таблица 2.3
Стратегии реагирования на риски
Стратегии работы с рисками - угрозами
Стратегии работы с благоприятными
возможностями
Уклонение
Снижение
Передача
Использовани
е
Совместное
использование
Усиление
-изменение
плана
проекта;
- проведение
экспертизы,
уточнение
требований
проекта
-
дополнительное
финансирование
;
- увеличение
количества
ресурсов;
- уменьшение
объема работ
или снижение
требований
- деление
риска с
другими
участниками
проекта;
- страхование
- привлечение
к участию в
проекте более
квалифицирова
нного
персонала;
- обеспечение
более высокого
качества
- передача
ответственност
и третьей
стороне;
- создание
совместных
предприятий;
- проведение
совместных
мероприятий
- изменение
"масштаба"
благоприятно
й
возможности;
- укрепление
причин
возможности
- влияние на
источник
возможности
Общая стратегия реагирования на риски - Принятие
Используется, когда исключить риски маловероятно или иная тактика невозможна. Активное
принятие - создание резерва на непредвиденные обстоятельства, который включает в себя время,
деньги или ресурсы
В рамках данной работы не рассматриваются благоприятные
возможности, в укрупненном виде рассмотрены и оценены основные
категории рисков, возникающие в ходе реализации проекта по этапам по
жизненному циклу (таблица 2.4). Стоит отметить, что на каждом этапе
также действуют риски, указанные для предыдущих этапов жизненного
цикла.
69
Таблица 2.4
Основные категории рисков и стратегия реагирования на них в
разрезе жизненных этапов проекта
Риск
Причина риска
Категория
Величина
Стратегия
реагирования
Анализ и подготовка проекта
Недостаток
выделенных и
ресурсов, что
приведет к срыву
сроков или
снижению
качества системы
Неверная
расстановка
приоритетов
Организационны
й
Степень
воздействия
-0,4
(высокая).
Вероятност
ь -0,5.
Величина –
0,2.
Снижение:
разработка Устава
проекта с
определением
приоритетности
проекта
Уклонение:
внесение изменений
в Устав в части
плана и сроков
реализации
Неверная
постановка
задачи, что в
дальнейшем
приведет к срыву
сроков или
недостаточному
качеству системы
Недостаточное
качество
обследования, его
недостаточная
глубина или
ошибки
Организационны
й
Степень
воздействия
-0,4
(высокая).
Вероятност
ь -0,75.
Величина –
0,28.
Снижение
(привлечение
квалифицированног
о персонала к
обследованию)
Передача
(привлечение
подрядчика)
Концептуальное проектирование
Срыв сроков и в
целом
реализации
системы
реализации
проекта
Возможные
проблемы с
контрактными
отношениями с
контрагентами
Внешний
Степень
воздействия
-0,8 (очень
высокая).
Вероятност
ь -0,3.
Величина –
0,24.
Снижение (отбор
подрядчиков,
прошедших отбор
по строгим
критериям
надежности и
устойчивости
функционирования,
в соответствии с
действующими
конкурсным
процедурами)
Реализация проекта
Срыв сроков
реализации
проекта,
недостаточное
качество
реализации
проекта
Неверная или
недостаточная
мотивация
команды
Недостаточная
квалификация
персонала
Управление
проектом
Степень
воздействия
-0,2
(умеренная)
.
Вероятност
ь -0,5.
Величина –
0,1.
Передача
(привлечение
подрядчика)
70
Потеря данных,
потеря
трудоспособност
и системы,
создание
нетрудоспособно
й системы
Ошибки
несоответствия
требований,
технологий,
степени
сложности
Технический
Степень
воздействия
-0,8 (очень
высокая).
Вероятност
ь -0,5.
Величина –
0,2.
Снижение:
реализация проекта
в строгом
соответствии с
технической и иной
документацией по
проекту
Передача
(привлечение
подрядчика)
Обучение пользователей и опытно-промышленная эксплуатация
Незнание
функционала
системы
пользователями
Неэффективный
процесс обучения
пользователей
Организационны
й
Степень
воздействия
-0,2
(умеренная)
.
Вероятност
ь -0,5.
Величина –
0,1.
Передача
(привлечение
подрядчика)
Неэффективное
использование и
применение
системы
Невыстроенный
проект
коммуникаций с
пользователями и
администраторам
и системы
Управление
проектом
Степень
воздействия
-0,2
(умеренная)
.
Вероятност
ь -0,5.
Величина –
0,1.
Снижение: наличие
организационной
схемы управления
проектом,
выделенная горячая
линия и емейл для
работы с
пользователями,
регламента
поддержки
пользователей
Процесс выявления рисков – постоянный процесс, и все новые
риски выносятся на обсуждение на совещания по проекту.
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Информационная безопасности и защита информации в рамках АС
МиАЭ включает в себя:
- защиту от внутренних угроз;
- защиту от внешних угроз;
- политику безопасности, а также тех или иных программных и
аппаратных средств [21].
Защита от внутренних угроз заключается в том, что система
обеспечивает возможность ролевого разграничения прав доступа
пользователей и администраторов к своим информационным ресурсам в
71
соответствии с разработанной матрицей доступа. Матрицей доступа
является отношение множества бизнес-ролей пользователей системы к
набору ее бизнес-функций (операций, отчетов, данным и др.)
Система обеспечивает возможность ведения и централизованного
администрирования единого списка пользователей, отражающего права
доступа пользователей к системе, а также возможность мониторинга и
протоколирования действий пользователей при работе с функциями
системы.
Концепция присвоения ролей и полномочий в рамках системы
приведена в Приложении 4.
Что касается защиты от внешних угроз, то состав применяемых
программных и аппаратных средств приведен в п.1.1.3, а также в 1.2.4
настоящей работы, включая описание нормативно-правовых актов
компании. Все указанные средства применяются и в рамках реализации
настоящего проекта.
Кроме того, для успешной реализации каждого отдельного проекта
реализуется ряд мероприятий для обеспечения информационной
безопасности, в том числе по проекту АС МиАЭ утвержден Устав проекта,
в котором освещены вопросы и утверждены процедуры по управлению
версиями и изменениями, тестирования компонент системы, в том числе
предназначенных для эксплуатации на средствах вычислительной техники
клиентов.
Для минимизации рисков в сфере информационной безопасности на
этапе приемки и ввода действий утверждена Программа и методика
внедрения, в которой предусмотрен контроль развертывания компонент
системы в информационной инфраструктуре общества, контроль
проведения опытной эксплуатации, а также проведения приемочных
испытаний.
Для обеспечения информационной безопасности в стадии
промышленной эксплуатации утвержден порядок эксплуатации системы,
72
предусматривающий контроль корректности версий и целостности
специализированных приложений при передаче из среды разработки и
тестирования, а также контроль выполнения требований проектной и
эксплуатационной документации в части размещения и установления
параметров настройки технических защитных мер, реализации
организационных защитных мер.
Кроме того, разработан и утвержден отдельный документ,
регламентирующий защиту данных от разрушений при авариях. Так,
разработана документация, описывающая средства и методику
эксплуатации программного обеспечения, обеспечивающие сохранность
информации в базе данных при авариях и отдельных сбоях, а также
восстановление данных по состоянию на конец рабочего дня,
предшествующего аварии.
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и её описание
Информационная модель представляет собой схему, отражающую
преобразование информационных реквизитов от источников информации
до её получателей или, иными словами, процесс обработки информации в
информационной системе.
Информационная модель АС МиАЭ отображена на рис. 2.4.
73
Рис.2.4 Информационная модель АС МиАЭ
Данная информационная модель включает в себя сразу несколько
источников. «ИС» - данные загружаемые из подсистем SAP ERP,
«Пользователь АС МиАЭ» - ручной ввод информации в формы ввода по
расходу ТЭР транспортом и «Служба НСИ» - ручное ведение справочной
информации по заявкам от пользователей. Все входящие данные
автоматически консолидируются в инфо-кубе «Транспортные средства»,
на основании которого строятся отчетные формы в различных разрезах.
2.2.2. Характеристика нормативно-справочной, входной и
оперативной информации
В рамках разработки АС МиАЭ были созданы следующие
справочники (таблица 2.5):
74
Таблица 2.5
Таблица справочников в системе
Наименование
справочника
Ответственный
Средний
объем, кол-во
записей
Частота
актуализации
Объем
актуализации,
%
Виды
транспортных
средств
Служба НСИ
6
Ежеквартально
0%
Топливно-
энергетические
ресурсы
Служба НСИ
5
Ежеквартально
0%
Мероприятия
Служба НСИ
15
Ежеквартально
0%
Тип мероприятия
Служба НСИ
3
Ежеквартально
0%
Тип данных
Служба НСИ
3
Ежеквартально
0%
Транспортные
средства
Служба НСИ
1200
Ежеквартально
5-10%
Справочник «Виды транспортных средств» используется для
определения вида транспортного средства (ТС), таких как спецтехника,
грузовой или легковой транспорт и типа потребляемого им топлива
(бензин, дизель, газ), содержит следующие поля (таблица 2.6).
Таблица 2.6
Поля справочника «Виды транспортных средств»
Наименование поля
Техническое
наименование
поля
Тип поля
Длина поля
Код вида
транспортного
средства
ZMIEVIDAV
NUMERIC
3
Вид транспортного
средства
TEXT
CHAR
40
Тип ТС
ZMIETIPAV
CHAR
10
Справочник «Топливно-энергетические ресурсы» используется для
определения типа потребляемого энергетического ресурса (электричество,
тепло, виды топлива), содержит следующие поля (таблица 2.7).
Таблица 2.7
Поля справочника Топливно-энергетические ресурсы»
Наименование поля
Техническое
наименование
поля
Тип поля
Длина поля
Код топливно-
энергетического ресурса
ZMIETER
NUMERIC
3
Наименование
топливно-
энергетического ресурса
TEXT
CHAR
20
75
Справочник «Мероприятия» используется для определения
мероприятия в рамках которого потребляется энергетические ресурсы
(операционная деятельность и т.п.), содержит следующие поля (таблица
2.8).
Таблица 2.8
Поля справочника «Мероприятия»
Наименование поля
Техническое
наименование
поля
Тип поля
Длина поля
Код мероприятия
ZMIEMER
NUMERIC
3
Наименование
мероприятия
TEXT
CHAR
60
Тип мероприятия
ZMIEMERT
CHAR
20
Справочник «Тип мероприятия» используется для определения
типа мероприятия, в рамках которого потребляется энергетические
ресурсы, содержит следующие поля (таблица 2.9).
Таблица 2.9
Поля справочника «Тип мероприятия»
Наименование поля
Техническое
наименование
поля
Тип поля
Длина поля
Код типа мероприятия
ZMIEMERT
NUMERIC
3
Наименование типа
мероприятия
TEXT
CHAR
20
Справочник «Тип данных» используется для определения типа
данных в рамках которого потребляется энергетические ресурсы
(плановые или фактические), содержит следующие поля (таблица 2.10).
Таблица 2.10
Поля справочника «Тип данных»
Наименование поля
Техническое
наименование
поля
Тип поля
Длина поля
Код типа данных
ZMIEDATYP
NUMERIC
3
Наименование типа
данных
TEXT
CHAR
20
Справочник «Транспортные средства» используется для
определения транспортного средства потребляющего ТЭР, содержит
следующие поля (таблица 2.11).