47
аудитории (производители программных и аппаратных средств ОИБ,
эксперты, администраторы информационных систем).
Целями стандартизации являются:
Повышение уровня безопасности жизни и здоровья граждан, имущества
физических и юридических лиц, государственного и муниципального имущества,
объектов с учетом риска возникновения чрезвычайных ситуаций природного и
техногенного характера, повышение уровня экологической безопасности,
безопасности жизни и здоровья животных и растений;
Обеспечение конкурентоспособности и качества продукции (работ, услуг),
единства измерений, рационального использования ресурсов;
взаимозаменяемости технических средств (машин и оборудования, их составных
частей, комплектующих изделий и материалов), технической и информационной
совместимости, сопоставимости результатов исследований (испытаний) и
измерений, технических и экономико-статистических данных, проведения
анализа характеристик продукции (работ, услуг), исполнения государственных
заказов, добровольного подтверждения соответствия продукции (работ, услуг);
Содействие соблюдению требований технических регламентов;
Создание систем классификации и кодирования технико-экономической и
социальной информации, систем каталогизации продукции (работ, услуг), систем
обеспечения качества продукции (работ, услуг), систем поиска и передачи
данных, содействие проведению работ по унификации.[3]
Также в компании имеется набор нормативно-правовых документов таких
как:
1. Должностные инструкции для сотрудников
2. Общий регламент информационной безопасности, описывающий
порядок обращения сотрудников с информацией, составляющей
коммерческую тайну, а также использования программно-аппаратных
средств, разработанных специально для нужд предприятия.
3. Регламент использования средств обмена данными, электронной почты
и работы в сети Интернет.
С целью повышения эффективности исполнения регламентирующих
указаний на предприятии настроена служба Active Directory, интегрированная с
48
Windows Server 2012 R2. Данная служба позволяет управлять удостоверениями и
взаимоотношениями, формирующими сеть организации. Active Directory дает
возможность централизованно настраивать параметры систем, пользователей и
приложений и управлять этими параметрами. Доменные службы Active Directory
(AD DS) хранят данные каталогов и управляют взаимодействием между
пользователями и доменами, в том числе входом в домен, проверкой подлинности
и поиском в каталоге. Кроме того, интегрированные роли поддерживают средства
и технологии управления удостоверениями и доступом, которые позволяют
централизованно управлять технологиями и учетными данными и предоставлять
доступ к устройствам, приложениям и данным только уполномоченным
пользователям. [30]
Версия Active Directory предлагает следующие службы:
Комплекс доменных служб, включающих в себя отслеживание последних
изменений всех параметров, точную настройку политик паролей для
отдельных групп внутри доменов, средства по развертке базы с
ограниченным доступом в целях обеспечения безопасности, процедуры по
восстановления компонентов базы;
Службы облегченного доступа к каталогам;
Службы сертификатов, упрощающие процесс присвоения и поверки
сертификатов;
Службы федерации AD с контролем проверки подлинности учетных
записей;
Службы управления правами с возможностью интеграции с различными
программными продуктами.
Конфигурирование и поддержку системы обеспечения информационной
безопасности осуществляет узкий круг специалистов технического отдела. В
некоторых случаях выполнение данной задачи берет на себя сторонняя компания,
однако, данный подход может негативно сказаться на общем уровне
безопасности. Начальник технического отдела отвечает за работоспособность
всей системы и контроль защиты информации.
Обеспечение информационной безопасности реализуется на двух уровнях -
программном и аппаратном.
49
На программном уровне безопасность обеспечивается путем настройки в
серверной операционной системе MS Windows Server 2012 R2, службах Active
Directory и антивирусном пакете Kaspersky следующих пунктов:
Настройка прав доступа к операционной системе и системным
приложениям;
Создание групп пользователей и распределение прав между ними;
Организация парольной защиты;
Логирование действий (контроль трафика, почты, действий
пользователей).
На аппаратном уровне осуществляется регулярное резервное копирование
данных с серверов на отдельные носители. Также проводятся меры по защиты
информационных ресурсов на web-портале компании.
В целях поддержания безопасности на предприятии проводится постоянный
мониторинг областей, представляющих собой наибольшие источники угроз
информационной безопасности, таких как:
Преднамеренная утечка данных;
Заражение системы вирусами;
Халатность сотрудников в отношении информации, составляющей
коммерческую тайну;
Кража и порча оборудования компании;
Различные программные и аппаратные сбои.
Из данного списка можно сделать вывод, что опасность утечки данных
представляет достаточную угрозу для компании. Несоблюдение условий
конфиденциальности в отношении персональных данных клиентов, отчетов по
финансовым показателям, деталей договоров с клиентами и поставщиками,
объектов интеллектуальной собственности может привести к последствиям
различной степени тяжести для всех сторон.
В целях снижения рисков ведется постоянный мониторинг и ограничение
пользователей в использовании сети Интернет и мобильных накопителей.
Для фильтрации входящего и исходящего трафика на предприятии
используется межсетевой экран (firewall). Фильтрация осуществляется путем
50
создания набора правил для проверки сетевых пакетов во время их движения с
последующим пропуском или блокировкой.
Межсетевой экран позволяет обеспечить защиту или изоляцию приложений
от нежелательного трафика из сети Интернет.
51
1.3. Анализ существующих разработок и выбор стратегии автоматизации
«КАК ДОЛЖНО БЫТЬ»
1.3.1. Анализ существующих разработок для автоматизации задачи
В целом, автоматизированные системы управления предприятием чаще всего
делятся на три основные группы.
К системам первой группы относятся простые («коробочные») продукты,
реализующие небольшое число бизнес-процессов организации. Основной сферой
их применения является локальное использование (один персональный
компьютер), либо небольшая сеть. Типичным примером подобной системы
являются небольшие торговые, бухгалтерские и складские системы, широко
предоставленные на рынке. Отличительной особенностью подобных продуктов
является их, по сравнению с другими группами, легкость в освоении и внедрении,
что, в сочетании с низкой ценой, приносит им популярность и
распространенность на различных предприятия в сфере малого бизнеса, а также,
в некоторых случаях, и в достаточно крупных организациях.
Ко второй группе относятся системы среднего класса с большей глубиной
внедрения и широтой охвата функций. Данные системы представлены
внушительным ассортиментом не только на российском, но и на западном рынке.
Как правило, это учетные системы, которые позволяют вести учет финансовой,
логистической, сбытовой, закупочной деятельности предприятия. В большинстве
случаев, настройку подобных систем берет на себя фирма-разработчик, в
дополнение к этому проводя обучение пользователей компании. Системы
подобного типа предназначены в первую очередь для средних и некоторых
крупных организаций в силу своей функциональности и более высокой, по
сравнению с первым классом, стоимости.
К высшему классу относятся системы, отличающиеся высоким уровнем
детализации хозяйственной деятельности предприятия. Современные версии
таких систем обеспечивают планирование и управление всеми ресурсами
организации и поэтому получили название ERP-систем (Enterprise Resource
Planning). Как правило, при внедрении таких систем производится моделирование
существующих на предприятии бизнес-процессов и настройка параметров
системы под требования бизнеса. Однако, значительная избыточность и большое
52
количество настраиваемых параметров системы обуславливают длительный срок
её внедрения, а также необходимость наличия на предприятии специального
подразделения или группы специалистов, которые буду осуществлять
перенастройку системы в соответствии с изменениями бизнес-процессов. [8]
Как было сказано выше, системы начального уровня охватывают
ограниченное число бизнес-процессов. Входящие в данный класс программные
продукты могут отличаться друг от друга по стоимости, целевому назначению,
реализации и т.п., однако, они непременно имеют между собой много общих черт.
Большинство программных продуктов данного типа проектируются небольшими
группами разработчиков по заказу конкретного заказчика. Количество
пользователей систем этого класса варьируется от одного сотрудника
(руководитель отдела или подразделения) до нескольких десятков. В целом, такие
системы достаточно нетребовательны к выделяемым программно-аппаратным
ресурсам, что позволяет их успешно эксплуатировать на предприятиях с
различным уровнем оснащенности. При описании систем такого рода часто
употребляется термин «коробочный продукт», под которым подразумевается то,
что при покупке системы, все процессы по установке и настройке перед
эксплуатацией ложатся на персонал компании-покупателя (специалистов
технического отдела или, в отдельных случаях, непосредственных пользователей
будущей системы). Данное определение верно лишь отчасти, так как
подавляющее большинство фирм-разработчиков программного обеспечения
закладывают в свои продукты максимум доступных возможностей, что создает
необходимость её дополнительной настройки перед использованием. Кроме того,
некоторые системы имеют возможности интеграции с другими программными
продуктами данного класса. Все это приводит к тому, что реальная стоимость
внедрения «коробочной» системы будет значительно выше ожидаемой за счет
затрат на сервисные услуги, которые потребуются организации при покупке. На
российском рынке примером подобных систем являются продукты фирм 1С и
«Инфин».
Появление на российском рынке систем среднего уровня было обусловлено
потребностями клиентов в более функциональном инструменте, расширяющем
Прогресс охватываемых задач. Многими разработчиками были предприняты
53
действия по увеличению возможностей своих продуктов. В состав подобных
решений входят следующие подсистемы: управление производством,
бухгалтерский учет, материально-техническое снабжение. Так как система
рассчитана на работу с большим количеством пользователей, основной
архитектурой данной системы является клиент-серверная. За счет того, что
системы подобного класса охватывают большое число процессов, общее
количество параметров её настройки может достигать значительно числа. При
выборе данного класса систем особое внимание необходимо обращать на услуги
по внедрению, предоставляемые фирмой-разработчиком. В типовой состав услуг,
как правило, входит:
Анализ деятельности предприятия (предпроектное обследование),
включающее в себя сбор данных о типовых бизнес-процессах предприятия,
документообороте и формировании наглядных для заказчика отчетов;
Установка и настройка системы в соответствии результатами предыдущего
этапа;
Обучение персонала, задействованного в работе с внедряемой системой;
Сопровождение программного продукта.
Примером систем данного класса в России являются отдельные версии
продуктов компании 1С, а также решения компаний АйТи и Галактика.
Как было отмечено ранее, системы высшего уровня обеспечивают
планирование и управление всеми ресурсами организации. Системы подобного
класса насчитывают описания тысяч бизнес-процессов. Подобная избыточность
необходима для использования на предприятиях практически любой сферы. С
ростом количества охватываемых бизнес-процессов и числа настраиваемых
параметров, существенно увеличивается и суммарная стоимость решения, причем
основной статьей расходов являются затраты на внедрение. Причиной этого
является то, что внедрение системы такой сложности подразумевает проведение
реинжиниринга бизнес-процессов и общей реорганизации деятельности, что
влечет за собой дополнительные затраты (прямые и косвенные). Однако,
перспективы высоких затрат признаются незначительными при оценке
возможных плюсов, которые дает подобный комплекс, таких как глобальное
планирование и управление производственными процессами, что в условиях
54
современной рыночной экономики и высокого уровня конкуренции в различных
отраслях может дать значительные конкурентные преимущества.
Признанными лидерами на российском рынке являются продукты компании
SAP, Baan и Oracle. Предлагаемые решения имеют полную локализацию и могут
быть успешно внедрены во многие отечественные компании.
Программное обеспечение, выполняющее задачи, предъявляемые к
проектируемой системе, можно отнести к категории help desk. Были рассмотрены
несколько вариантов подобных систем, предлагаемых для внедрения в России.
IntraService. Программный продукт включает в себя следующие модули:
Служба Service Desk представляет собой единую точку контакта (SPOC)
для всех потребителей услуг компании. Специалисты службы
осуществляют регистрацию различных типов запросов, разрешают
максимально возможное число инцидентов на первой линии поддержки и
назначают исполнителей на инцидент в случае невозможности решить его
на первой линии.
Заявки и инциденты - основной модуль системы IntraService. Список заявок
поддерживает групповые операции над заявками, возможности поиска,
фильтрации, сортировки и сохранения получившихся представлений для
быстрого доступа к ним в дальнейшем. Карточка заявки представляет
оперативную и архивную информацию по заявке.
База знаний - с помощью базы знаний пользователь может самостоятельно
найти ответ на свой вопрос, что позволяет снизить нагрузку на службу
поддержки. Вы можете самостоятельно формировать структуру базы
знаний, размещать в ней статьи с ответами на часто возникающие вопросы
и решениями типовых инцидентов.
Учет активов. Модуль учета активов позволяет вам вести каталог
оборудования и создавать инциденты с привязкой к конкретному
оборудованию.
osTicket спроектирована как система с набором средств для быстрой и
эффективной поддержки пользователей. Основные возможности включают:
55
Web и Email Поддержка. Запросы могут быть созданы по email, через
онлайн форму или по телефону (создается персоналом). Гибкая
конфигурация и отображение;
Авто оповещение. Автоматическая отправка сообщения когда открыта
новая заявка или получено сообщение. Настраиваемые почтовые шаблоны;
Готовые ответы. Готовые ответы для часто задаваемых вопросов;
Внутренние Сообщения. Добавление внутренних сообщений к заявкам для
персонала;
Темы обращения. Настройка темы обращения для веб-заявок;
Предупреждения и уведомления. Сотрудники и клиенты получают
оповещения по электронной почте о ходе работ над заявками. Уведомления
имеют гибкие настройки;
Контроль доступа. Полный контроль над персоналом по средствам групп и
отделов;
Назначение и передача заявок. Назначение заявок сотруднику или отделу;
Без регистрации. Нет необходимости в регистрации пользователей (для
входа используется ID/email);
История. Сохраняются все запросы и ответы.
DocsVision. Решение, построенное на базе Docsvision, позволяет эффективно
решать задачи, связанные с поддержкой ИТ-инфраструктуры предприятия.
Система предоставляет возможности для регистрации, обработки, контроля
исполнения и поиска заявок пользователей, а также для создания
формализованных автоматизированных бизнес-процессов и контроля над ходом
их выполнения. Возможностями системы являются:
Единая точка регистрации обращений пользователей (заявок) - через веб-
интерфейс системы и электронную почту;
Возможность автоматического и полуавтоматического назначения заявок
согласно принятым правилам, действующим на предприятии;
Повышение "прозрачности" процесса и удовлетворённости конечного
пользователя за счёт своевременного информирования;
Контроль загруженности сотрудников поддержки;
56
Возможность эскалации инцидента на "вторую линию" поддержки с
поддержкой обратной связи;
Назначение приоритетности и сроков исполнения заявкам;
Готовые отчёты по наиболее часто востребованной статистике.
Возможность предоставления дополнительной отчётности за счёт простой
настройки;
Ведение Базы Знаний по инцидентам;
Возможность "бесшовной" интеграции с системой электронного
документооборота DocsVision.