37
Исполнитель заносит данные в одну из четырёх таблиц БД. Председатель и
(или) администратор проверяет эту таблицу. Члены ОЗТ используют эти данные
в БД для написания отчётов, научных публикаций и заметок в СМИ, которые
затем помещаются на сайте ОЗТ. В Минюст отправляется ежегодный отчёт.
В таблице №2 даны оценки потоков информации, которые появляются в
результате деятельности ОЗТ.
Таблица №2
Оценка потоков информации в ОЗТ
Вид деятельности
Показатель
Объём
Объем в документах
Проведение рейдов
Кол-во рейдов
90-100 в год
90-100 строк в
Excel
Расследование
случаев
конфликтных
ситуаций
Кол-во случаев
До 20 в год
Около 20 строк
Фотоучёт и
фоторегистрация
тигров
Количество
«попаданий»
тигров в камеры,
количество
фотографий
Более 250
«попаданий»,
более 1000
фотографий
в год
Более 250 строк
Обработка данных и
анализ информации
Кол-во
публикаций:
на сайте;
в СМИ;
научные статьи
До 20 в год
2-3 в месяц
3-4 в год
Основные недостатки, существующие в практике обработки потоков
данных в ОЗТ следующие. Данные, получаемые в результате основной
деятельности ОЗТ (табл. 1, 2) зачастую долго не заносятся в БД, т.к. занимается
этим только один-два сотрудника, один из которых заносит их вначале в
полевой дневник. Со временем детали забываются, и данные в БД могут
содержать неточности, или прочерки.
38
Часто данные просто теряются. Например, количество рейдов больше, чем
это видно из таблицы №2 и Приложения 1. Из таблицы «Рейд» (Приложение 1)
следует, что в рейдах часто участвуют одни и те же членами ОЗТ. На самом же
деле, часто рейды осуществляют и другие члены организации, информация о
них просто не попадает в БД. В результате выходные потоки информации
(публикации на сайте ОЗТ, публикации в СМИ и научных изданиях) могут быть
неполными, задерживаются, что отрицательно сказывается на работе ОЗТ, и,
следовательно, на реализации охраны тигра.
Таким образом, использование вычислительной техники для реализации
уставной деятельности ОЗТ выполнимо и актуально. Автоматизация
деятельности ОЗТ приведёт к устранению и минимизации недостатков,
связанных с потерей информации.
1.2.4. Анализ системы обеспечения информационной безопасности и
защиты информации
Функционально безопасность ИС можно разделить на 1) физическую, 2)
технологическую и 3) логическую [7; 12].
1) Физическая безопасность включает персонал, меры и преграды,
препятствующие проникновению несанкционированных лиц на недоступные для
них объекты. ОЗТ осуществляет свою деятельность на базе компьютерного зала
индивидуального предпринимателя, который является администратором ИС
Общества. Зал, где предприниматель и его помощники обслуживают клиентов и
где могут работать члены Общества и сочувствующие, изолирован от остального
помещения. Имеется только одна дверь, соединяющая компьютерный зал и
служебные помещения, где расположены серверная комната, комната для
работы председателя ОЗТ, кухня и комната отдыха. Физический доступ в
служебные помещения посторонним лицам воспрещён, в них круглосуточно
присутствует дежурный. Если дежурный покидает помещение, все двери
закрываются на внутренние замки. Вход между компьютерным залом и
служебным помещением охраняла породистая немецкая овчарка, которая
содержалась в служебном помещении. Овчарка прошла обучение и имеет
соответствующий сертификат.
39
К серверу, рабочей станции и ноутбуку председателя имеют физический
доступ только он сам и администратор. Остальные члены ОЗТ и сочувствующие
могут работать только на остальных рабочих станциях в компьютерном зале без
доступа в служебное помещение, где находятся сервер и аппаратное
оборудование председателя. Такие меры могут защитить от инсайдерских угроз:
хищения и порчи данных сотрудниками организации, ошибки при пользовании
программного и аппаратного обеспечения и т.д.
2) Для обеспечения технологической безопасности в информационных
системах используются различные технические устройства. В ОЗТ используется
расположенный на электрическом щите автоматический выключатель ИЭК ВД1-
63 УХЛ-4, управляемый дифференциальным током. Переключатель
предназначен для предотвращения возгораний и пожаров, возникающих
вследствие протекания токов утечки и замыканий на землю и оперативных
включений и отключений указанных цепей [46].
Для предотвращения выхода из строя оборудования и потери информации
при перепаде напряжения в электрической сети или выключении питания на
рабочей станции председателя используется блок бесперебойного питания марки
DNS 800VA, модели Extra LCD 800VA, с характеристиками: input: 200 Vac, 50
Hz; output: 200 Vac, 50 Hz.
Для предотвращения потери информации в ОЗТ используется также
хранение одних и тех же данных на разных рабочих станциях, хранение
информации на внешних твёрдых дисках (2 единицы).
3) Логическая безопасность заключается в использовании программных
средств борьбы с компьютерными вирусами, защиты от несанкционированного
доступа, идентификации и кодирования информации [7; 12]. Одно из основных
правил ИБ и ЗИ, которое должно выполняться администратором ИС – на сервере
и рабочих станциях должны быть установлены антивирусные программы,
которые нужно регулярно обновлять через интернет. Это делается для того,
чтобы программа могла выявлять и уничтожать новые вирусы. Антивирусная
программа обязательно должна отслеживать передачу и обработку информации
в реальном времени, чтобы можно было определить вирусную активность на
самых ранних стадиях, что также реализовано во всех современных программах.
40
Не рекомендуется открывать программы из ненадежных источников и
присланные по электронной почте присоединенные командные файлы
(executable attachment). К ним относятся файлы с расширениями: .exe; .bat; .com,
.vbs и др., которые способны запустить на компьютере пользователя программу
отслеживания его регистрационных данных. Необходимо сначала сохранить это
приложение в файл и проверить его антивирусной программой или удалить
сообщение целиком [44].
Администратор должен знать, что программы, которыми пользуются при
работе в Интернет, могут содержать ошибки безопасности (уязвимости или, как
их ещё называют, "дыры"). Они могут позволить злоумышленнику
заблокировать компьютер пользователя или получить несанкционированный
доступ к нему через интернет. Производители операционных систем и
прикладных программ регулярно публикуют информацию об обнаруженных
уязвимостях ПО. Например, компания Microsoft для этих целей поддерживает
web-сайт [56] и исправленные версии программ [7; 12; 44].
В ОЗТ на рабочих станциях и сервере используется антивирусная
программа лаборатории Касперского «Kaspersky Anty-Virus», которая обладает
следующими возможностями [47]:
А) Защита в Интернет: защита от программ блокировки экрана, программа
имеет модуль проверки ссылок.
Б) Защита личных данных: анти-фишинг и виртуальная клавиатура.
В) Безопасность системы: средства очистки компьютера; диск аварийного
восстановления; поиск уязвимостей; защита от руткитов; установка на
заражённый компьютер.
Г) Базовая защита: бесплатное автоматическое обновление и переход на
новую версию; файловый и почтовый антивирусы; IM-антивирус; проактивная
защита; мониторинг активности программ; защита от эксплойтов.
Наиболее действенным средством защиты сервера и рабочих станций при
работе в Интернет является установка специальной программы, называемой
"Firewall", которая и установлена на сервере ОЗТ. Она контролирует все аспекты
взаимодействия компьютера с сетью и предотвращает попытки небезопасных
подключений к аппаратуре извне, а также может защищать внешнюю сеть от
41
посягательств с компьютера пользователя. Настройка подобных программ
требует некоторой квалификации и хорошего знания сетевых технологий,
поэтому этим в ОЗТ занимается администратор ИС.
Защита от несанкционированного доступа в ОЗТ осуществляется с
помощью паролей, разграничения прав доступа для разных пользователей.
Пароли устанавливаются не только при входе в систему, но и для отдельных БД
и файлов (например, БД по незаконной торговле частями тела тигра).
Необходимо регулярно менять пароль, особенно для доступа в интернет.
Делать это рекомендуется не реже одного раза в месяц. Не рекомендуется
активизировать предлагаемую системой опцию "Сохранить пароль", так как в
этом случае работа "хакеров" заметно упрощается вследствие кражи из
компьютера пользователя одного единственного файла. Обычный ввод пароля
"вручную" при каждом выходе в интернет защитит от наиболее
распространенного сценария кражи паролей. При первоначальном вводе и смене
пароля необходимо помнить, что он не должен содержать элементарных данных,
например, имени пользователя, т.е. не должен поддаваться логике. Пароли не
следует хранить в общедоступных местах [44].
Администратору ИС, как и обычным пользователям, необходимо знать, что
для того, чтобы получить их логин и пароль злоумышленники могут рассылать
провокационные письма с предложением посетить страницу с указанным
адресом для каких-либо целей. Например, для проверки работы нового
абонентского сервиса или при временном переносе определенных сервисных
страниц, профилактике и т.д. На указанной странице, которая может повторять
фирменный стиль официального web-сайта, пользователям предлагается
авторизация и окна ввода логина и пароля [44].
Для функционирования web-сайта необходимо использовать средства
защиты от внешних угроз. Как показала практика, сайт ОЗТ в наибольшей
степени страдает от спама. Сайт размещён на бесплатном хостинге, поэтому
обилие рекламы и, следовательно, спама неизбежно. В ОЗТ нет возможности
держать сотрудника, который бы уничтожал спам. Администратор был
вынужден отказаться от размещения на сайте ОЗТ гостевой книги, что
неблагоприятно влияет на осуществление уставной деятельности организации.
42
Обеспечением ИБ и ЗИ в ОЗТ занимается администратор под общим
руководством председателя организации. Администратор повышает свою
квалификацию – дистанционно учится в МФПУ на факультете электронного
обучения по направлению «Прикладная информатика» (см. раздел Техническое
задание), где изучает специализированную литературу, посвященную
безопасности в сети интернет. Он также время от времени просматривает
размещенные в Интернет популярные материалы, посвященные теме
безопасности.
Администратор ОЗТ проводит инструктаж по информационной ИБ и ЗИ
членов Общества. Основное внимание уделяется работе в интернет. Основные
положения инструктажа по работе в интернет следующие [44] (с учётом
вышеизложенного):
Т.к. самым распространённым средством проникновения вирусов является
электронная почта, то не рекомендуется:
открывать письма, поступившие по электронной почте, если адресат
неизвестен;
открывать письма, если в разделе «Тема» не указана какая-либо
информация;
переходить по незнакомым ссылкам, которые приходят на электронную
почту;
скачивать неизвестные файлы, пришедшие на электронную почту;
открывать подозрительные рекламные баннеры, предлагающие мгновенное
обогащение или другие нереально выгодные услуги и сервисы;
пользоваться программами для «взлома» онлайн сервисов, игр и программ;
посещать хакерские и пиратские сайты.
Необходимо:
переводить нежелательную корреспонденцию в разряд «Спам» или в
«Чёрный список»;
проверять адресную строку браузера перед вводом личной информации;
следить за адресами, на которые ведут ссылки;
внимательно относиться к предупреждениям поисковых систем о сайтах,
распространяющих вирусы;
43
внимательно относиться к файлам, загружаемым через BitTorrent,
DirectConnect и другие файлообменные сети.
Таким образом, в ОЗТ политика безопасности направлена в наибольшей
степени на физическую защиту ИС, есть программные средства ИБ.
Проработана безопасность работы в сети интернет. Аппаратные же средства
зашиты недостаточны, это связано с затратой денежных средств, которые в ОЗТ
направляются, как правило, на основную деятельность.
1.3. Анализ существующих разработок и выбор стратегии
автоматизации «КАК ДОЛЖНО БЫТЬ»
1.3.1. Анализ существующих разработок для автоматизации задачи
Главная задача автоматизации деятельности ОЗТ – создание баз данных и
использование полученной информации для написания статей и заметок и их
размещения на web-сайте в рамках разрабатываемого интернет-проекта.
Для автоматизации бизнеса предприятия Фирма «1С» предлагает продукт
«1С:Предприятие 8» [9], который предоставляет широкие возможности:
1. Для ведения бухгалтерского учета, управленческого учета и расчета
заработной платы.
2. Для решения задач планирования и оперативного управления.
3. Для комплексной автоматизации задач организационной и
хозяйственной деятельности производственных предприятий, торговых,
финансовых организаций, бюджетных учреждений, предприятий сферы услуг.
В настоящее время предлагается (распространяется) огромное количество
готовых прикладных решений, определяющих бизнес-логику предприятий
разных типов и сфер деятельности, т.е. заготовки под конкретные схемы учета и
типы предприятий [9].
По своей структуре система программ «1С:Предприятие 8» включает в
себя платформу и прикладные решения, разработанные на ее основе. Сама
платформа «1C:Предприятие 8» не является программным продуктом для
конечных пользователей, которые обычно работают с одним или несколькими
прикладными решениями (конфигурациями), разработанными на данной
платформе. Такой подход позволяет автоматизировать различные виды
44
деятельности, используя единую технологическую платформу «1С:Предприятие
8» [9].
ОЗТ необходимо автоматизировать создание БД и управление ими, т.е.
внедрить СУБД. СУБД - система управления базой данных - комплекс языков и
программ, позволяющий создавать БД и управлять ее функционированием [51].
СУБД обрабатывает обращения к базе данных, поступающие от пользователей,
прикладных процессов и выдает необходимые им сведения. Характеризуется
используемой моделью и средствами администрирования, разработкой
прикладных процессов, работы в информационной сети.
Типовая организация СУБД состоит из следующих частей и их функций:
- Ядро отвечает за управление данными во внешней и оперативной памяти,
управление транзакциями и журнализацию. При использовании архитектуры
"клиент-сервер" ядро является основной составляющей серверной части
системы.
- Компилятор языка SQL.
- Подсистема поддержки времени исполнения, которая интерпретирует
программы манипуляции данными, создающие пользовательский интерфейс с
СУБД.
- Сервисные программы (внешние утилиты), обеспечивающие ряд
дополнительных возможностей по обслуживанию информационной системы.
СУБД классифицируются по модели данных, по степени распределённости, по
способу доступа к БД. По последнему критерию СУБД делятся на файл-
серверные, клиент-серверные и встраиваемые [51].
В файл-серверных СУБД файлы данных располагаются централизованно на
файл-сервере. СУБД располагается на каждом клиентском компьютере (рабочей
станции). Доступ СУБД к данным осуществляется через локальную сеть.
На данный момент файл-серверные СУБД считаются устаревшими. Примеры
таких СУБД - Microsoft Access, Paradox, dBase.
Клиент-серверная СУБД располагается на сервере вместе с БД и
осуществляет доступ к БД непосредственно, в монопольном режиме. Все
клиентские запросы на обработку данных обрабатываются клиент-серверной
45
СУБД централизованно. Примеры таких СУБД: Oracle, Firebird, Interbase, IBM
DB2, MS SQL Server, Sybase, PostgreSQL, MySQL, ЛИНТЕР, MDBS [51].
Встраиваемая СУБД — библиотека, которая позволяет унифицированным
образом хранить большие объёмы данных на локальной машине. Доступ к
данным может происходить через SQL либо через особые функции СУБД.
Встраиваемые СУБД быстрее обычных клиент-серверных и не требуют
установки сервера, поэтому востребованы в локальном ПО, которое имеет дело с
большими объёмами данных (например, геоинформационные системы).
Примеры встраиваемых СУБД: OpenEdge, SQLite, BerkeleyDB, один из
вариантов Firebird, MySQL, Sav Zigzag, Microsoft SQL Server Compact, ЛИНТЕР
[51].
Для разработки web-сайтов существуют текстовые и графические
редакторы [2]. Текстовые редакторы появились раньше, предлагают более
гибкие возможности и демонстрируют аккуратные результаты по сравнению с
визуальными редакторами.
Notepad++. Функциональные возможности редактора практически
неограниченны, но производители заявляют лишь о части самых необходимых
для общего числа пользователей функциях программы [2]:
- Подсветка и сегментация синтаксиса.
- Пользовательские настройки подсветки и сегментации программного кода.
- Совместимые с языком Perl регулярные выражения для поиска и замены
кода.
- Опциональный интерфейс программы: свёртывание, наличие вкладок с
кнопкой «закрыть», панель вкладок, вертикальные вкладки и вертикальный
список документов.
- Карта документов.
- Автозаполнение и выпадающий список параметров функций.
- Много опциальных возможностей выделения фрагментов кода.
- Многооконный интерфейс с вкладками.
Текстовый редактор PsPad (Windows) обладает следующими
возможностями [2]:
46
- Программа работает с синтаксисом популярных языков
программирования.
- Программа имеет возможность автозаполнения.
- В арсенале есть множество готовых шаблонов для множества различных
языков.
- Есть функции автозамены.
- Есть запись макросов.
- Окно проектов, закладок в интернете и встроенный FTP клиент.
- Многооконный интерфейс с возможностью удобной группировки окон.
- Пользовательская подсветка синтаксиса.
- Проверка правописания с помощью встроенной программы и словарей с
сайта (пока что поддерживается не так много языков, русский словарь весьма
ограничен).
Текстовый редактор PHPeditor является относительно простым продуктом,
для работы с HTML и PHP (Hypertext Preprocessor), обладает следующими
возможностями [2]:
- Главным плюсом данной программы является мощная функция поиска и
замены сразу по нескольким файлам, которая работает очень быстро.
- Программа имеет возможность подсветки синтаксиса HTML, PHP.
- Есть инспектор кода HTML и PHP.
- Включён встроенный сервер, для проверки серверных приложений.
- Много вкладочный интерфейс.
- Функции вставки.
- Поддержка макросов.
- Запись шаблонов кода с небольшим первоначальным набором.
Визуальные редакторы для разработчиков Web-сайтов [2]:
- Macromedia Dreamweaver MX - функциональные возможности этой
программы обширны. Она работает практически с любыми данными
мультимедиа.
- Adobe Golive и Adobe LiveMotion. Неограниченные функциональные
возможности при разработке, вёрстке, и нарезке страниц.