15
4. Непосредственно сам контент (вне зависимости от происхождения,
административный либо пользовательский) в форме данных,
хранимых в Базах данных, подключаемых к веб-приложению (БД).
Каждый из перечисленных структурных элементов, с точки зрения
информационной безопасности представляет собой обособленный тип
цифровых реликтов, для которого существует собственный набор методов,
правил и инструментов защиты. Так, современная индустрия веб-
разработки представляет целый ряд возможностей для контроля доступа в
процессе разработки, развертывания и функционирования веб-приложения.
Условно, их можно разделить на две основные группы:
1. Защита и доступ к программному коду веб-приложения —
организуется как на уровне протоколов (ssh + git), так и на уровне
конкретных комплексных программных платформ (Github, Gitlab,
Bitbucket).
2. Защита и доступ к данным — организуется как на уровне контроля
учетных записей СУБД (штатные механизмы MySQL, postgres), так и
на уровне самого веб-приложения (системы контроля учетных
записей с реализацией на уровне приложения).
Для каждой группы характерны разные подходы в оценке рисков. Так,
на первый взгляд, злоумышленник, получивший доступ к данным,
представляет большую опасность, однако в реальности утечку данных
фактически проще выявить и как правило своевременно принять
соответствующие меры. А вот злоумышленник, имеющий доступ к
программному коду может представлять более скрытую, глубокую и
долгоиграющую опасность, которая может проявиться значительно позже
[8, стр.211-215].
16
Говоря об оценке рисков информационных систем, невозможно
обойти стороной такое понятие как «уязвимость» — некая слабость,
которую возможно использовать для нарушения целостности системы,
нарушении ее ключевых функций или краже (порче) содержащейся в ней
информации [7, стр.19].
Согласно расписанным ранее функциям обозреваемой
информационной системы в большей степени уязвимыми для атак
злоумышленников являются программно-аппаратные средства, которые
занимаются осуществлением сбора, передачи, обработки, хранения и других
операций с информацией, в том числе хранящие конфиденциальные и
персональные данные.
Основными принципами информационной безопасности являются:
● Целостность — возможность способности информации
сохранять изначальный вид, а также структуру в процессе
хранения и после ее неоднократной передачи. Право на
удаление или внесение изменений есть только у владельца или
у конкретного пользователя с данным правом.
● Достоверность — указание принадлежности информации
владельцу или доверенному лицу.
● Конфиденциальность — данная характеристика указывает на
необходимость ограничения доступа к информационным
ресурсам.
● Доступность — данный принцип означает, что информация,
находящаяся в свободном доступе, должна быть предоставлена
всем имеющим доступ пользователям своевременно и
беспрепятственно [9, стр.72].
17
Основными способами противодействия угрозам информационной
безопасности или информационным рискам являются:
● снижение — внедрение мер безопасности и противодействия
для устранения уязвимостей и предотвращения угроз;
● передача — перенос затрат, связанных с реализацией угроз на
третьих лиц: страховые или аутсорсинговые компании;
● принятие — формирование финансовых резервов в случае, если
стоимость реализации мер безопасности превышает
потенциальный ущерб от реализации угрозы;
● отказ — отказ от чрезмерно рисковой деятельности [21, стр.34].
Угрозы бывают внутренними или внешними. Внешние угрозы
являются попыткой получения доступа к данным злоумышленниками и
сопровождаются взломом серверов, сетей, аккаунтов работников, а также
считывание информации, передающейся по техническим каналам.
Внутренние угрозы подразумевают под собой неправомерные
действия сотрудников, рабочего отдела или управления компании. В
результате сотрудник компании, который работает с персональной
информацией, может выдать ее посторонним. Практически данная угроза
встречается наиболее часто. Работник может несколько лет передавать
информацию конкурентам. Это легко реализовать, поскольку действия
авторизованного пользователя администратор безопасности не станет
квалифицировать как угрозу.
Несанкционированный доступ может быть произведен несколькими
способами:
● Через сотрудников, способных передавать персональные
данные посторонним, а также забирать физические носители
18
или получать доступ к охраняемой информации через
напечатанные документы;
● С помощью ПО злоумышленники производят атаки,
направленные на кражу пар «логин-пароль», перехват
криптографических ключей для расшифровки данных, а также
последующего копирования информации.
● При помощи аппаратных компонентов автоматизированной
системы, например, использование прослушивающих
устройств или применение технологий считывания
информации.
Поддержка и обеспечение информационной безопасности включают
комплекс различных мер, которые защищают от доступа к информации
третьих лиц. Меры информационной безопасности направлены также на
защиту от повреждений, искажений, блокировки или копирования
информации. Принципиально, чтобы все задачи решались одновременно,
только тогда обеспечивается полноценная, надежная защита.
При проведении атак, нарушитель пользуется уязвимостями
информационной системы. Если в информационной системе нет
уязвимостей, то и атака станет невозможной. Вот почему поиск и
устранение уязвимости в информационной системе является одним из
важнейших механизмов защиты.
19
1.2. Организационно-функциональная структура предприятия
«OCBS» — это многофункциональная веб-студия полного цикла,
способная решать нестандартные и сложные задачи в различных областях
при помощи индивидуального дизайнерского подхода. Основным
направлением деятельности студии является создание и продвижение
интернет-сайтов. В своей работе студия практикует индивидуальный
подход и к решению каждой задачи относится максимально ответственно.
Для понимания подхода студии стоит процитировать её сайт:
«Большинство клиентов приходят к нам со словами «Нам необходима
помощь в решении нескольких задач» и мы решаем эти задачи. Среди них
не только компании из России, но и из Европейских стран. Со многими мы
никогда не встречались лично. Тем не менее, с помощью современных
средств связи и инструментов управления проектами нам удается
выполнять заказы успешно и своевременно. Выполнив заказ, мы
продолжаем сотрудничество, решаем задачи поддержки и развития или
получаем новый заказ.» [30].
Студия дизайна OCBS работает на рынке информационных услуг с
2008 года и в разные периоды времени была представлена различными
организационно-правовыми формами: так при открытии студия была ООО,
после чего стала ИП. На данный момент брендовое название OCBS
принадлежит индивидуальному предпринимателю Мордовскому Ивану
Алексеевичу. Подобные метаморфозы были связаны с экономической
ситуацией в стране и приходящемися на соответствующие периоды
экономическими кризисами. Примечательно что за все время
существования студии, основная команда участвующая в производственном
процессе практически не менялась. Студия пережила период банкротства и
прекращения активной деятельности в 2015-2016 годах после чего вновь
20
вернулась на рынок, как ради поддержки прошлых проектов так и ради
разработки новых.
В рамках данной квалификационной работы, организационно-
правовая форма компании значения не имеет, поэтому в тексте работы будет
использовано в первую очередь, брендовое наименование.
Кроме разработки интернет-сайтов и различных программных
решений, основанных на применении веб-технологий, студия дизайна
OCBS, как можно понять из названия, также оказывает услуги графического
дизайна, а именно: разработка логотипа и фирменного стиля, различных
сопроводительных графических материалов и дизайна печатной
полиграфии, однако данные направления деятельности являются скорее
второстепенными.
В качестве универсальной единицы измерения трудозатрат в студии
принято использовать значения в рабочих часах студии. Стоимость
рабочего часа устанавливается для каждого заказчика и проекта отдельно, и
зависит от сложности и трудоемкости задач проекта, а также от
квалификации специалистов, задействованных в разработке. Для
большинства проектов стоимость часа студии находится в пределах от 1 до
1,5 тыс. руб.
Для обозначения рабочего часа во внутренней и внешней
документации принято сокращение «раб.ч.». Стоимость рабочего часа
согласовывается с заказчиком перед началом работы над проектом и
закрепляется в договоре. Любые дальнейшие изменения стоимости
рабочего часа возможны только через подписание дополнительного
соглашения к договору, либо через расторжение старого и заключение
нового договора.
Основные характеристики предметной деятельности студии дизайна
OCBS представлены в таблице 1:
Таблица 1.
21
Основные характеристики видов деятельности
№ п/п
Наименование характеристики
Примерные показатели
1.
Количество рабочих часов студии для разработки
среднего проекта
100-150 раб.ч.
2.
Количество проектов любой сложности,
выполняемых за год (в т.ч. учитывается
поддержка проектов дольше года)
20 проектов
3.
Среднее количество задач, приходящихся на
поддержку каждого проекта
30-50 шт.
4.
Среднее количество рабочих часов студии,
приходящихся на все задачи поддержки
600-100 раб.ч.
5.
Общее количество проектов с 2008 года.
более 250 проектов
6.
Средняя месячная выручка со всех видов
деятельности студии
~ 375 тыс.руб. в мес.
7.
Средняя годовая выручка со всех видов
деятельности студии
~ 4,5 млн. руб. в год
Организационная структура — документ, схематически отражающий
состав и иерархию подразделений предприятия. Организационная
структура устанавливается исходя из целей деятельности и необходимых
для достижения этих целей подразделений, выполняющих функции,
составляющие бизнес-процессы организации. Организационная структура
определяет распределение ответственности и полномочий внутри
организации. Как правило, она отображается в виде органиграммы —
графической схемы, элементами которой являются иерархически
упорядоченные организационные единицы (подразделения, должностные
позиции).
Студия дизайна OCBS по своим основным показателям формально
относится к малому бизнесу, что в свою очередь, обуславливает и
организационно-функциональную структуру, представленную на рисунке
1:
22
Рис.1. Организационно-функциональная структура студии дизайна
OCBS
Во главе студии стоит директор, который непосредственно
взаимодействует с техническим, финансовым и арт-директором.
Финансовый директор отвечает за все юридические и финансовые
вопросы студии, а также ставит задачи менеджерам и контролирует их
выполнение. Менеджеры в свою очередь отвечают за коммуникацию с
представителями заказчиков, составляют коммерческие предложения и
формализуют задачи, поступающие от клиентов.
Арт-директор решает вопросы художественной ценности
выполняемых проектов, контролирует общее качество всех графических
материалов, а также отвечает за аспекты, связанные с юридической
чистотой графических материалов (проверка графических исходников).
Арт-директору подчиняется главный дизайнер, отвечающий за
Директор
Фин. директор Арт-директор
Тех. директор
Главный
дизайнер
Дизайнеры
Frontend
Разработчики
Backend
Разработчики
Менеджеры Тимлид
23
распределение задач по дизайнерам и коллаборацию их работы, а также
консолидацию итоговых графических материалов, помогает
организовывать их интеграцию в проекты.
Технический директор отвечает за вопросы организации работы всех
разработчиков, определяет направление и стандарты по которым ведется
работа, принимает решение об используемом технологическом стеке, а
также руководит тимлидом. Тимлид организует работу подопечных
разработчиков и консолидацию результатов их работы. Рядовые
разработчики в студии делятся по основному спектру выполняемых ими
задач на Frontend и Backend, условно отвечающие за реализацию
клиентской и серверной частей разрабатываемых веб-приложений
соответственно [25].
Такая организационно-функциональная структура студии
репрезентативна для ее производственного процесса. Фактически,
организация управленческого «триединства», подотчетного директору
позволяет соблюдать соответствующую автономность каждого из
направлений деятельности и при этом избегать иерархических проблем
главенства одного из направлений, иными словами, организационная,
техническая и графическая стороны сосуществуют практически на одном
уровне, ни одно из направлений не является явно главенствующим и
определяющим единолично вектор развития разрабатываемых проектов.
Помимо главенствующей организационной роли, директор также решает
возможные возникающие противоречия между каждым из трех
функциональных направлений.
Структура - это внутреннее строение организации, наличие отдельных
частей и соотношение между ними, степень жесткости или гибкости
организационной конфигурации, типы взаимодействий между внутренними
элементами.
24
Организация, как и любая сложная система, строится по
иерархическому, многоуровневому принципу. Уровень управления
определяется элементами системы, одинаково удаленными от верхнего
структурного звена и имеющими схожие права. Для реализации функций
управления системы создается специальный аппарат, структура которого
определяется составляющими его звеньями и количеством иерархических
ступеней управления. Структура управления должна обеспечивать единство
устойчивых связей между ее составляющими и надежное
функционирование системы в целом. Разумно созданная структура системы
управления в значительной мере определяет ее эффективность, так как
обеспечивает устойчивость связей между множеством составляющих
компонентов объекта управления и обеспечивает целостность системы. Она
связывает отдельные элементы системы в единое целое, существенно
влияет на формы и организацию планирования, оперативного управления,
способы организации работ и их координацию, дает возможность измерить
и сравнить результаты деятельности каждого звена системы.
Оптимальная организационная структура, соответствующая
динамичным изменениям внешней среды, способна решить следующие
задачи: координацию работы всех функциональных служб предприятия;
четкое определение прав и обязанностей; полномочий и
ответственности всех участников управленческого процесса.
Своевременная корректировка структуры способствует повышению
эффективности деятельности предприятия, а обоснованный выбор
организационной структуры в значительной мере определяет стиль
управления и качество трудовых процессов.
Линейная организационная структура, которая часто называется
пирамидальной, бюрократической, - строго иерархически организована,
характеризуется разделением зон ответственности и единоначалием.
.Линейная структура оправданно применяется в небольших двухуровневых