77
последовательный переход на следующий этап после полного завершения
предыдущего. Данная модель применима для отдельных несвязных задач, не
требующих выполнения информационной интеграции и совместимости
программного, технического и организационного сопровождения. Применение
каскадной модели к большим и сложным проектам вследствие большой
длительности процесса проектирования и изменчивости за это время
требований, приводит к их практической не реализуемости. Достоинства
каскадной модели: на каждой стадии формируется законченный набор
проектной документации, отвечающий критериям полноты и согласованности;
выполняемые в логической последовательности стадии работ позволяют
планировать сроки завершения всех работ и соответствующие затраты [4].
Недостатки каскадной модели: позднее обнаружение проблем; выход из
календарного графика, запаздывание в получении результатов; избыточное
количество документации; невозможность разбить систему на части (весь
продукт разрабатывается за один раз); высокий риск создания системы, не
удовлетворяющей изменившимся потребностям пользователей.
Каскадная модель может использоваться при создании ПО, для которого в самом
начале разработки можно достаточно точно и полно сформулировать все
требования, с тем, чтобы предоставить разработчикам свободу реализовать их
технически как можно лучше. Однако реальный процесс создания ПО никогда
полностью не укладывается в такую жесткую схему. Процесс создания ПО
носит, как правило, итерационный характер: результаты очередной стадии часто
вызывают изменения в проектных решениях, выработанных на более ранних
стадиях. Таким образом, постоянно возникает потребность в возврате к
предыдущим стадиям и уточнении или пересмотре ранее принятых решений.
Спиральная модель ЖЦ ИС предполагает проектирование ИС «сверху-
вниз», при этом сначала определяется состав функциональных подсистем ИС.
При использовании данной модели ПО создается в несколько итераций (витков
спирали методом прототипирования. Каждый виток спирали соответствует
отдельной версии ПО или прототипу. Прототип – действующий программный
компонент, реализующий отдельные функции и внешние интерфейсы
разрабатываемого ПО [4; 8; 25]. Достоинства спиральной модели: ускорение
78
разработки; постоянное участие заказчика в процессе разработки; разбивка
большого объема работы на небольшие части; снижение риска (снижение
вероятности непредсказуемого поведения системы).
Недостатки спиральной модели: сложность планирования; сложность
применения модели с точки зрения менеджеров и заказчика; напряженный
режим работы для разработчиков [4].
Спиральная модель ЖЦ используется для больших проектов.
Разрабатываемый интернет-проект для ОЗТ не является таковым. Однако в
процессе работы приходится постоянно обращаться к предыдущим наработкам.
Например, сайт ОЗТ был сделан в процессе выполнения курсовой работы, сейчас
этот web-ресурс нуждается в переработке, чтобы использовать новые
достижения в области web-технологий. Это необходимо сделать для улучшения
работы ОЗТ в достижении уставных целей. Исходя из выше сказанного, мы
остановили своей выбор на спиральной (поэтапной) модели ЖЦ с
промежуточным контролем.
Общеизвестные стандарты жизненного цикла следующие [4]:
- ГОСТ 34.601-90 – распространяется на автоматизированные системы и
устанавливает стадии и этапы их создания. В большей степени соответствует
каскадной модели жизненного цикла.
- ISO/IEC 12207:1995 – стандарт на процессы и организацию жизненного
цикла. Распространяется на все виды заказного ПО.
- Custom Development Method (методика Oracle) – технологический
материал, детализированный до уровня заготовок проектных документов,
рассчитан на использование в проектах с применением Oracle.
- Rational Unified Process (RUP) – предполагает итеративную модель
разработки, включает четыре фазы: начало, исследование, построение и
внедрение. Цикл – прохождение через четыре фазы – завершается генерацией
версии системы. Циклы могут повторяться.
- Microsoft Solution Framework (MSF) – сходна с предыдущей, в большей
степени ориентирована на разработку бизнес-приложений.
- Extreme Programming (XP) – экстремальное программирование, разработка
ведётся с использованием последовательно дорабатываемых прототипов.
79
- ГОСТ Р ИСО \ МЭК 12207-99 - «Информационная технология. Процессы
жизненного цикла программных средств», действующего в РФ с 2000 года.
Стандарт применим для широкого класса систем, но его основное
предназначение – поддержка создания компьютеризованных систем [4].
Специфика работы ОЗТ, как некоммерческой организации, члены которой
работают на добровольной основе, состоит в том, что не нужно жёстко
планировать выполнение работ. Следовательно, напряжённого ритма работы для
разработчика не будет. Есть время для встреч администратора и заказчика в лице
председателя ОЗТ для обсуждения проекта. Всё это снимает недостатки
спиральной модели ЖЦ, указанные выше [8].
Альтернативой монументальным методологиям проектирования ИС
являются так называемые методологии экстремального проектирования и
разработки [25]. Основное отличие этих методологий от монументальных в том,
что они практически не используют документирования проектных решений, как
на концептуальном, так и на логическом уровне. А основным документом
считают тексты программ, разработанных в обеспечение работы ИС. В качестве
методологии такой разработки могут рассматриваться основы универсальной
методологии RUP, разработанной фирмой Rational Software. Эта методология
согласуется с рекомендациями международного стандарта ГОСТ Р ИСО \ МЭК
12207-99. Ценность этой методологии (RUP) не только в том, что она является
универсальной и может с методической точки зрения поддерживать множество
проектов по разработке ИС, но и в том, что она построена по компонентному
принципу и может достаточно легко быть модифицирована для поддержки
небольших проектов.
Исходя из выше изложенного, мы принимает стандарт ISO/IEC 12207 для
разработки web-проекта для ОЗТ, как наименее жёсткий из рассмотренных [4;
25]. В этом стандарте, по сравнению с другими, мало ограничений, что
соответствует специфики работы ОЗТ, как некоммерческой организации.
Проекты (задачи деятельности) ОЗТ не имеют жёстких временных ограничений,
не нужно документировать проектные решения. Нет также
внутриведомственных и других административно-правовых ограничений. ОЗТ
действует только в рамках законодательства РФ.
80
Первый этап ЖЦ ИС (приобретение) - предполагает действия и задачи
заказчика, приобретающего ПО. Второй этап (поставка) предполагает действия и
задачи, выполняемые поставщиком. В ОЗТ эти два этапа выполнялись
одновременно администратором, председателем, пресс-секретарём и
помощником. Целью этапов являлось приобретение ПО и оборудования для
выполнения уставных целей ОЗТ. Основное оборудование и ПО приобретал
администратор ОЗТ – индивидуальный предприниматель – для организации
компьютерного зала, где оказывают соответствующие услуги населению и
работают члены ОЗТ. Пресс-секретарь и помощник приобретали оборудование и
ПО самостоятельно. В 2003 было принято решение о создании компьютерного
зала, где оказывают услуги населению, связанные с использованием
вычислительной техники и информационных технологий, в том числе интернет.
Для этого использовались средства как ОЗТ, так и личные. Результаты
обследования деятельности ОЗТ представлены в разделе 1.1.1. Анализ рынка
соответствующего оборудования и ПО проводил, в основном, администратор
(разделы 1.3.1; 1.4.2 и 1.4.3). Председатель также участвовал в приобретении
специфического ПО (раздел 1.1.3).
Целью третьего этапа ЖЦ ИС – разработки - являются все работы по
созданию ПО и его компонент в соответствии с заданными требованиями,
включая оформление проектной и эксплуатационной документации [8]. В 2015 г.
Совет ОЗТ оформил техническое задание на разработку web-сайта
общественных организаций «Общество защиты тигра» и «Преображенского
клуба естествознания «Оазис" [31]. Исполнитель – администратор ИС ОЗТ. В
задании были определены требования к компонентам сайта. В результате сайт
был разработан и внедрён. Тестирование проводилось браузерами Mozilla
Firefox и Opera, Internet Explorer.
В настоящее время разрабатывается web-проект для ОЗТ на основе
имеющегося сайта организации средствами Денвера. Определены техническое
задания (см. стр. 2-6) и специальное требование (использование клиент –
серверной БД). В результате определены модель ЖЦ и стандарт разработки (см.
выше). Разработан проект БД. Интернет-проект разрабатывается средствами
Денвер на сервере администратора и рабочей станции председателя. В конечном
81
итоге будет произведена оценка соответствия проекта требованиям технического
задания.
Целью четвёртого этапа ЖС ИС – эксплуатации - являются работы по
внедрению компонентов ПО, конфигурирование БД и рабочих мест [8], т.е.
внедрение системы. Существуют следующие основные стратегии внедрения
системы:
1) Параллельное использование - параллельно используются старая и новая
технология решения задачи, их результаты сравниваются. Если результаты
согласуются между собой длительное время, то осуществляется переход на
новую технологию. Достоинства этой стратегии внедрения: минимальный риск
ошибок при использовании новых технологий; управление внедрением ИС
может осуществлять независимо от обычного операционного планирования
компании. Недостатки: двойная загрузка персонала; потребности в удвоенных
мощностях серверов; необходимость постоянной сверки результатов работы
двух технологий.
2) Скачек – стратегия внедрения ИС, при которой старая технология
работает до определенного момента, затем осуществляется внедрение новой
технологии, а после внедрения реализуется только новая технология.
Достоинства: минимальная длительность переходного периода; нет двойных
затрат на деятельность компании; новые процессы являются наиболее
оптимальными в виду отсутствия переходного периода. Недостатки этой
стратегии внедрения ИС: высокие риски несоответствия качества ИС
требованиям компании; высокие требования к процессу планирования перехода
на новую технологию.
3) Пилотный проект - тактика скачка применяема к ограниченному числу
процессов, областью применения обычно является небольшой участок.
Достоинства: минимальный риск выбора неверного решения, которое не
приводит к длительному простою всего предприятия; возможность изменения
планируемой технологии в процессе внедрения ИС на участке; отсутствие
двойных затрат на реализацию технологии. Недостатки: сложность интеграции
информационных потоков формируемых по старой и новой технологиям;
необходимость управления старой и новой ИС одновременно.
82
4) Узкое место - автоматизация малой части производственного процесса,
который обычно выбирается по критериям, их эффективности, приводящих к
повышению качества реализации процессов только в определенном узком месте.
Достоинства: после автоматизации каждого узкого места имеется возможность
прервать автоматизацию; минимальные требования к уровню планирования
работ внедрения. Недостатки: выполнение полного цикла планирования на
каждом из узких мест, из-за возможности прерывания автоматизации процесс
может не закончится никогда; независимость автоматизации узких мест может
привести к формированию избыточного множества программно аппаратных
решений.
В нашем случае лучше всего подходит стратегия «скачек». Старая версия
интернет-проекта ОЗС используется до момента разработки новой версии на
основе современных web-технологий, затем работает только новый интернет-
проект.
На четвёртом этапе ЖЦ ИС необходимо выбирать бесплатный или
малобюджетный хостинг. Web-проект внедряется в интернет на выбранный
хостинг. Тестируется в разных браузерах. В дальнейшем производится реклама
продукта. Ответственные за этот этап – администратор, председатель и пресс-
секретарь, помощник, активные члены ОЗТ и сочувствующие. Администратор
внедряет проект на выбранный хостинг, конфигурирует рабочие места.
Председатель и пресс-секретарь принимают участие в конфигурировании БД.
Они же, помощник и другие члены ОЗТ и сочувствующие занимаются рекламой
проекта. А именно: рассылают ссылки на адрес сайта, публикуют информацию о
сайте в СМИ. Результатом этого процесса является ввод в эксплуатацию и
использование разработанного web-сайта ОЗТ.
Целью пятого этапа ЖЦ ИС – сопровождения - является активизация при
изменениях программного продукта и соответствующей документации,
а также внесение изменений в ПО в целях исправления ошибок, повышения
производительности или адаптации к изменившимся условиям [8].
Ответственный за этот этап – администратор ОЗТ. В результате разработанный
web-сайт должен быть отлажен.
83
Таким образом, для разработки интернет-проекта для ОЗТ были
рассмотрены виды ЖЦ и выбрана спиральная модель с промежуточным
контролем. Такой цикл предполагает создание прототипов, таковой был
разработан ещё в 2015 году (сайт ОЗТ). Разработка ведётся по стандарту
ISO/IEC 12207, как наиболее удовлетворяющему специфической деятельности
ОЗТ, где нет жёстких временных ограничений и ограничений в требованиях.
Соответственно этому стандарту описаны работы по этапам ЖЦ и
ответственные за каждый из них. Используется стратегия внедрения интернет-
проекта «скачек».
2.1.2 Ожидаемые риски на этапах жизненного цикла и их описание
При проектировании ИС зачастую существует высокий риск создания
системы, не удовлетворяющей изменившимся потребностям пользователей. В
нашем случае используется спиральная модель ЖЦ с промежуточным
контролем, который уменьшает появления таких рисков из-за снижения
вероятности непредсказуемого поведения системы. Это достигается тем, что на
каждом этапе разрабатывается модель ИС, которая согласуется с потребностями
пользователей. Итеративная разработка, характерная для спиральной модели
жизненного цикла, позволяет быстро реагировать на меняющиеся требования,
обнаруживать и устранять риски на ранних стадиях проекта.
Основные типы рисков, возможные при проектировании интернет-проекта
для ОЗТ являются финансовые риски и риски, связанные с невыполнением
сроков.
На первом (приобретение) и втором (поставка) этапах ЖЦ ИС возможно
приобретение некачественного ПО и оборудования. Для этого нужно
приобретать лицензионное ПО, которое можно обновлять через Интернет. В
свою очередь для этого необходимо иметь различные средства защиты,
описанные в разделе 1.2.4. Качественное оборудование необходимо приобретать
в специализированных фирменных магазинах, или у поставщиков,
положительно зарекомендовавших себя на протяжении ряда лет. Необходимо
также, чтобы приобретаемое оборудование имело талоны гарантийного
обслуживания. В условиях работы ОЗТ эти два этапа ЖЦ ИС являются наиболее
84
подвержены рискам. Т.к. оборудование приобретается в фирменных магазинах
далеко от места офиса ОЗТ, то даже гарантийное обслуживание предполагает
затрату средств и времени, т.к. необходимо вести оборудование до места
ремонта или обмена. Для преодоления таких рисков необходимо анализировать
имеющуюся в Интернет информацию о магазинах и приобретаемых у них
продуктах.
Основным риском третьего (разработка) и пятого этапа ЖЦ ИС
(сопровождения) является возможная недостаточная квалификация
администратора ИС, отсутствие у него соответствующих знаний. Такие риски
преодолеваются обучением.
Рисками четвёртого этапа ЖЦ ИС (эксплуатация) связаны с выбором
бесплатного или малобюджетного хостинга. Такие хостинги существуют за счёт
рекламы. Поэтому, если сайт ОЗТ будет мало посещаться, то есть риск его
закрытия службой хостинга. Чтобы преодолеть такой риск нужно рекламировать
сайт: помещать в разделы интересную информацию и фотографии, рассылать
ссылки на сайт и т.д.
Таким образом, основные риски проекта связаны с приобретение ПО,
оборудования, выбором хостинга. Ожидаемые риски преодолеваются
правильным выбором типа ЖЦ ИС, выбором надёжных магазинов, где
приобретается лицензионное ПО и «неломающееся» оборудование, правильным
выбором хостинга. Немаловажное значение имеет повышение квалификации
разработчиков.
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Организационные и программно-аппаратные средства обеспечения ИБ и ЗИ
в ОЗТ описаны в разделе 1.2.4. Правовые средства обеспечения безопасности в
ОЗТ не разработаны. Защита от внутренних угроз предусматривает разработку
внутренней политики безопасности, разграничение прав доступа и др.
Администратором и председателем ОЗТ были определены пользователи и их
группы для назначения им соответствующих прав доступа к папкам и модулям
системы (табл. 4).
85
Таблица №4
Разграничение прав пользователей в ОЗТ
Пользователи
их группы
Общая папка
«Рейд»
Общая папка
«Конфликт»
Общая папка
«Тигр-ID»
Общая
папка
«Фотореги-
страция»
Доступ в
Интернет
Председатель
Чтение/созда-
ние/удаление
Чтение/созда-
ние/удаление
Чтение/соз-
дание/уда-
ление
Чтение/соз-
дание/уда-
ление
Не
ограничен
Админист-
ратор ИС
Чтение/созда-
ние/удаление
Чтение/созда-
ние/ удаление
Чтение/соз-
дание/уда-
ление
Чтение/соз-
дание/уда-
ление
Не
ограничен
Пресс-
секретарь
Чтение/созда-
ние/удаление
Чтение/созда-
ние/удаление
Чтение
Чтение
Не
ограничен
Помощник
Чтение
Чтение/созда-
ние/ удаление
Чтение
Чтение
Не
ограничен
Активные
члены ОЗТ
Чтение/созда-
ние/удаление
Чтение
Чтение
Чтение
Ограни-
чен
Защита от внешних угроз предусматривает безопасность каналов,
протоколы, аутентификация, шифрование, безопасная пересылку ключей и т.д.
Состав имеющихся и проектируемых программных и аппаратных средств
представлен в таблице 5.
Члены ОЗТ работают на добровольной основе, информация и знания,
полученные в результате деятельности организации, должны быть
обнародованы. В этой связи политика безопасности в ОЗТ не должна
предусматривать жёстких мер, например, таких как подписание договоров,
шифрование данных. Исключением служат сведения о незаконной торговле
дериватами тигра и других животных, т.к. работа с ними связана с опасностью.
Поэтому доступ к БД, где фиксируется такие сведения, есть только у
председателя, соответствующий файл имеет пароль.
Все программные продукты, используемые в ОЗТ, должны быть
лицензированные, аппаратные средства приобретены в проверенных фирмах с
гарантией (раздел 2.1.2).
В то же время в ОЗТ есть риски инсайдерских угроз, связанные с
ошибочными действиями пользователей. Для этого нужно разработать
письменную инструкцию для членов ОЗТ по пользованию аппаратными
средствами и интернет (табл. 5), т.к. как описывалось в разделе 1.2.4,
86
наибольшие угрозы ИБ и ЗИ возникают при пользовании всемирной сети. На
сервере ОЗТ имеется защита от сетевых угроз (табл. 5).
Таблица №5
Имеющиеся и проектируемые программные и аппаратные средства
обеспечения ИБ и ЗИ в ОЗТ
Средства ИБ и ЗИ
Имеющиеся
Проектируемые
Нормативно-правовые акты
организации, стандарты
(международные и
отечественные)
Устные инструкции,
стандартов нет.
Письменная
инструкция согласно
ГОСТ Р 50739-95.
Антивирусные и
антишпионские средства
Антивирусные средства -
Kaspersky Anty-Virus; нет
антишпионских средств
Антишпионские
средства - Ashampoo
AntiSpy.
Проактивная защита от
внешних угроз и защита
внешнего периметра
Служебное помещение не
доступно
Использование
автоматических
камер слежения
Защита от сетевых угроз
Средства "Firewall"
То же
Защита от инсайдерских
угроз и защита
информационных ресурсов
Изоляция аппаратных
средств, пароли
Разграничение прав
доступа к БД
Физическая защита
информации
Изоляция сервера,
рабочих станций,
дежурство в служебном
помещении
То же, приобретение
блоков
бесперебойного
питания на каждую
рабочую станцию
Инсайдерские угрозы ИС ОЗТ минимизируются разграничением прав
пользователей (табл. 4), только председатель и администратор ИС ОЗТ имеют
наибольшие права доступа ко всем ресурсам. К кодам разрабатываемого сайта
доступ имеет только администратор.
Физическая защита достаточно хорошо разработана в ОЗТ (раздел 1.2.4;
табл. 5), предусматривает круглосуточную охрану помещений, где находятся
аппаратные средства, обеспечивается дежурными и техническими средствами.
Таким образом, в ОЗТ есть антивирусные средства защиты информации,
есть защита от сетевых угроз, проработаны защита от инсайдерских угроз,
осуществляется физическая защита. Необходимо разработать письменную
инструкцию по защите информации, приобрести антишпионские средства, блоки
бесперебойного питания для рабочих станций.