65
- наличие возможности изменять планируемую технологию в ходе
внедрения ИС на участке;
- отсутствуют двойные затраты на внедрение технологии.
Недостатки системы:
- сложно интегрировать информационные потоки создаваемых по новой и
старой технологии;
- необходимо одновременно управлять новой и старой ИС.
4. Стратегия “Узкое место”. Данная стратегия -это автоматизация
минимальной доли производственного процесса, который избирается согласно
критериям их эффективности, которые приводят к увеличению качества
выполнения процессов исключительно в конкретном узком месте.
Достоинства системы:
- после внедрения автоматизации любого узкого места есть возможность
прерывать автоматизацию;
- минимальные запросы к уровню планирования работ по внедрению.
Недостатки системы:
- внедрение полного завершённого цикла планирования на любом из узких
мест - вследствие способности прерывания процесса автоматизации, может и не
завершиться никогда;
- независимость автоматизации узких мест даст возможность к
формированию большого количества лишних программно-аппаратных решений.
В качестве основной стратегии внедрения используется «Пилотный
проект». Такой подход снижает риски и наиболее надёжен при внедрении на
узком участке предприятия.
Во время этапа внедрения IT сотрудником предприятия производится:
- регистрация доменного имени предприятия по согласованию с
генеральным директором;
- установка всех необходимых программных средств на веб-сервер
предприятия;
- перенос готового сайта с локального сервера на веб-сервер;
- проведение тестирование веб сайта;
- устранение ошибок, выявленных в процессе тестирования.
66
Стадия эксплуатации предусматривает наблюдение за работой ИС, ее
поддержку, доработку технической и программной архитектур, учитывая новые
программные и технические возможности. В процессе выполняется доработка
имеющихся программных модулей, а также доработка проектной и технической
документации. На протяжении первых двух месяцев эксплуатации, следует
еженедельно проводить совещания с участием IT специалиста, генерального
директора и сотрудника отдела продаж, ответственного за эксплуатацию сайта.
Цель таких совещаний заключается не только в выявлении недостатков ИС, а и в
определении потенциальных пути её усовершенствования. Следовательно, к
концу стадии эксплуатации необходимо устранить все без исключения
недостатки ИС, а также реализовать как можно больше мероприятий по её
усовершенствованию.
2.1.2. Ожидаемые риски на этапах жизненного цикла и их
описание
Риски на подэтапе «Определение требований к ИС». Главная угроза на
этом подэтапе заключается в недостаточном определении свойств ИС, которые
необходимы для разрешения задачи и в неправильном выборе задач
проектирования (недостаточный или чрезмерно большой объем задач
автоматизации). На стадии эксплуатации это может привести к дополнительной
доработке ИС, что влечёт за собой финансовый риск. Риск можно предотвратить
применением инновационных case-средств в процессе моделирования бизнес-
процессов. В случае появления подобного риска выполняется дополнительное
моделирование с применением инновационных case-средств.
Основная угроза на подэтапе «Определение функций ИС и стратегий
автоматизации» заключается в неправильном определении стратегии
автоматизации и функций ИС. На этом подэтапе имеется риск ошибочного
выбора метода приобретения ИС. Риск можно предотвратить при помощи
основательного анализа всех вариантов. При возникновении, риск можно
устранить выполнением повторного анализа всех вариантов выбора ИС. Риск
взаимосвязан с риском ошибочного определения стратегии автоматизации и
67
функций ИС. Такой риск можно предотвратить и устранить применением
инновационных case-средств при выполнении анализа.
Риски на подэтапе «Разработка проекта автоматизации». Основная угроза
заключается в разработке неэффективного плана-графика по автоматизации:
применение излишних ресурсов или их недостаточность. Данный риск считается
финансовым; его можно предотвратить применением передовых
автоматизированных средств проектирования. При возникновении риск можно
устранить, применяя повторную корректировку плана-графика по
автоматизации.
На подэтапе «Создание информационного обеспечения задачи» основные
угрозы заключаются в разработке неверной информационной модели и
прототипов экранных форм, неудобных для пользователя. Риск можно
предотвратить по согласованию прообразов экранных форм с будущими
пользователями. Этот риск можно устранить при помощи дополнительной
доработки экранных форм и применяя систему ModelViewControl (MVC).
На подэтапе «Подготовка к созданию ПО» основная угроза заключается в
неправильной формализации расчётов показателей. Риск можно устранить
посредством тестирования программных модулей на стадии введения.
На подэтапе «Создание ПО» основная угроза состоит в неправильной
разработке программы. Данный риск можно устранить применением для
программирования языка 4-го поколения CLARION, который при
программировании показывает неправильности различных компонентов
создаваемого программного средства. Следует учесть, что тестирование
программных модулей будет выполняться на стадии введения.
Угроза на стадии «Введение» заключается в неправильном тестировании
технического обеспечения программных модулей. Данный риск можно
предотвратить применением лицензионного стендового оборудования, а
устранить можно при помощи двойного тестирования. На стадии
«Сопровождение» основные угрозы заключаются в поломке оборудования,
моральном устаревание ПС и ПО. Первый риск можно предотвратить при
помощи гибкости созданной ИС и при помощи оперативной доработки
68
программной архитектуры. Второй риск можно предотвратить при помощи
постоянного мониторинга состояния оборудования.
2.1.3. Организационно-правовые и программно-аппаратные
средства обеспечения информационной безопасности и защиты
информации
Нормативно-правовая база включает в себя такие группы документов,
которые учтены при соблюдении безопасности информации:
I. Международное правовое обеспечение, которое составлено
международными нормативными актами, ратифицированные Российской
Федерацией, а также международные договоры, которые инициировала
Российская Федерация.
II. Международное нормативно-техническое обеспечение, в которое входят
международные Регламенты, Рекомендации, Стандарты в информационной
области и в сфере информационной безопасности.
III. Государственное правовое обеспечение, в которое входят нормативные
акты РФ (Конституция РФ, Указы Президента России, Федеральные законы),
подзаконные акты (Распоряжения и Постановления Правительства РФ,
нормативные акты уполномоченных федеральных органов государственной
власти), подзаконные и нормативные акты субъектов России.
IV. Государственное нормативно-техническое обеспечение, в которое входят
действующие в РФ технические стандарты, регламенты (отраслевые,
государственные), руководящие документы, подзаконные акты уполномоченных
федеральных органов государственной власти преимущественно имеющие
нормативно-технический характер.
Документы, относящиеся к I группе (международное правовое
обеспечение) обладают преимущественным правом при обеспечении
информационной безопасности в сетях связи 3-го поколения, если другое не
предусматривается законодательством РФ. К этой группе относятся:
a. Европейская Конвенция о защите прав человека и основных свобод
(1996 г.);
69
b. Всеобщая декларация прав человека, которую утвердила и
провозгласила Генеральная Ассамблея ООН (1948 г.);
c. Пакт о политических и гражданских правах (1976 г.);
d. Европейская Конвенция от 28.01.1981 г. об охране личности по
отношению к автоматизированному обрабатыванию персональных данных;
e. Директива Европейского Парламента и Совета Европейского Союза
95/46/ЕС об обрабатывании персональных данных;
f. Директива Европейского Парламента и Совета Европейского Союза
97/66/ЕС об обрабатывании персональных данных;
и некоторые другие международные договорённости, признаваемые РФ.
Эти документы затрагивают некоторые важные и характерные для
российского национального законодательства такие вопросы, как:
требования к системе безопасности;
общие цели безопасности;
требования управления безопасностью.
требования, относящиеся к управлению доступом;
оценка рисков и угроз, связанных с любой угрозой,
идентификация ситуации и привлечённых сторон;
определение механизмов выявления и противодействия возможным
угрозам и восстановления нормальной работы информационной системы;
механизмы анонимности: временные идентификаторы с симметричным
ключом; секретность подлинности с применением асимметричного ключа;
анонимный доступ;
механизмы аутентификации: с асимметричным ключом, с
симметричным ключом, с "нулевым знанием";
механизмы конфиденциальности: потоковое шифрование, блочное
шифрование;
механизмы по обеспечению целостности: шифрование с добавлением
избыточности, асимметричный ключ, симметричный ключ;
не криптографические механизмы безопасности: регистрация
пользователя, верификация пользователя, подсчёт вызовов;
70
механизмы по управлению безопасностью: управление версиями,
распределение ключей;
механизмы неотказуемости: цифровая подпись;
и многочисленные другие вопросы.
К основным организационным мерам относятся: совершенствование
политик безопасности, разработка документов, конкретизирующий меры по
соблюдению безопасности информации по конкретным вопросам и угрозам. [21-
22]
Документированная политика ИБ обязана заявлять о приверженности
руководителей и определять подход к управлению ИБ на предприятии.
Политику ИБ необходимо довести до сведения абсолютно всех
пользователей предприятия в актуальной, понятной и доступной форме
читателям, которым она предназначается [24].
Политика ИБ обязана быть составляющей более общей
документированной политики.
Следовательно, основная организационная мера должна заключаться в
разработке политики ИБ, ознакомлении с ее положениями всего персонала и в
строгом их соблюдении.
Следовательно, опираясь на необходимые меры по защите информации в
рассматриваемом предприятии, необходимо определить состав политики
безопасности, которая разрабатывается [33-37].
Основываясь на данных подсистем были осуществлена разработка
ключевых требований, касающихся обеспечения ИБ на предприятии,
охватывающих такие частные документы:
1. Правила парольной защиты;
2. Регламент применения системы электронного документооборота;
3. Правила защиты от злонамеренного ПО и вирусов.
Помимо этого, чтобы определить правила по работе с сотрудниками при
приёме на работу и увольнении с неё, и при возникновении нештатных
ситуаций, осуществлена разработка инструкции по работе с сотрудниками, в
которую вошли:
71
1. Инструкция по приёму на работу и допуску новых работников к работе
в АС и наделению их полномочиями, необходимыми для доступа к ресурсам
системы.
2. Инструкция по увольнению сотрудников и лишения их полномочия
доступа в систему.
3. Инструкция по действиям разных категорий сотрудников, включая
работников отдела безопасности информации, по устранению последствий
чрезвычайных (нештатных или аварийных) ситуаций, при их возникновении.
На рассматриваемом предприятии уже применяются средства по
инженерно-технической защите, например, система охранной сигнализации.
Также к инженерно-техническим мерам относятся система контроля и
управления доступом. Поскольку информационные активы главным образом
представлены бумажными документами и файлами на магнитных дисках, то
считается целесообразным внедрение системы защищённого электронного
документооборота [25].
Выполним краткое сравнение имеющихся систем, предоставляющих
возможность организации безопасного обмена документами внутри предприятия
(см. приложение 1).
ViPNet CUSTOM предназначен для организации защищённого
взаимодействия клиент-клиент, тогда как большей частью VPN -решений
остальных производителей обеспечивается лишь соединение уровня сервер-
клиент либо сервер-сервер. Это предоставляет возможность реализации любой
необходимой политики разграничения доступа в пределах всей защищённой
сети и уменьшения нагрузки на VPN -серверы, поскольку в процессе
взаимодействия клиент-клиент VPN -сервер не используется в процедурах по
шифрованию трафика между такими клиентами [10].
Технология ViPNet реализовывает функции брандмауэра для
защищённых и открытых соединений, IM-клиента, почтовых служб, назначение
виртуальных адресов видимости и систем обнаружения вторжений (IDS).
Чтобы организовать сеть ViPNet необходимо установить на рабочие
компьютеры ПО ViPNet. При этом нет необходимости приобретения
72
дополнительного оборудования и изменения существующей топологии сети
(рисунок 2.1).
Рис. 2.1 Технология VipNet
Протокол, применяемый в технологии ViPNet, способен обеспечить
защищённую передачу данных посредством любых каналов связи, посредством
любых устройств NAT/PAT — даже, когда Интернет-провайдер пытается
создавать помехи для установления соединения при помощи запрета VoIP либо
посредством авторизующих соединений IPSec.
Используя ViPNetCUSTOM, сетевой администратор располагает всеми
необходимыми средствами для выполнения задачи организации защищённой
сети. Неограниченная масштабируемость решения предоставляет возможность
обеспечения надёжной и быстрой защиты как локальной сети небольшого
предприятия, которая применяет выход в глобальную сеть либо модемный пул
для подсоединения удалённых пользователей, так и распределённых
корпоративных сетей крупных коммерческих и государственных предприятий,
при этом не изменяя привычного алгоритма применения установленных ранее на
сети приложений. Поставляется ViPNetCUSTOM в комплекте с крипто-ядром
Домен К, сертифицированным ФАПСИ.
73
Решение ViPNetCustom предназначено для объединения в общую
защищённую VPN-сеть произвольного количества рабочих станций, локальных
сетей и мобильных пользователей (рисунок 2.2).
Рис. 2.2 Компоненты системы VipNet
В решение ViPNetCUSTOM могут входить такие программные
компоненты:
ViPNet [Координатор] — выполняет все без исключения серверные
функции в пределах защищённой сети: сервер защищённой почты, межсетевой
экран, криптошлюз, криптомаршрутизатор и пр.
ViPNet [Администратор] — несёт ответственность за
администрирование и развёртывание защищённой сети, в том числе и за
функции Удостоверяющего Центра.
ViPNet [Клиент] — выполняет все без исключения функции клиентов в
пределах защищённой сети: персональный сетевой экран, клиентское
шифрование, контроль сетевой активности приложений, развитая система
74
аудита, интегрированная система выявления атак (IDS), клиент защищённой
почтовой службы и пр.
ViPNet — это гораздо больше, нежели просто VPN. Помимо служб,
способных обеспечить защиту компьютера клиента, ViPNet [Клиент] включает в
себя полный комплект бизнес-приложений, которые необходимы современному
успешному бизнесу: защищённые службы по организации конференций, обмену
сообщениями, файловому обмену, а также почтовая служба «Деловая почта».
В процессе взаимодействия между собой различных сетевых узлов, когда
межсетевые экраны с преобразованием адресов отсутствуют между ними,
применяется протокол IP/241. Такой протокол считается более экономичным,
поскольку не обладает UDP-заголовком размером 8 байт. После шифрования
исходный пакет упаковывается в пакет IP-протокола номер 241.
Когда меж сетевыми узлами расположен межсетевой экран, который
преобразовывает сетевые адреса (включая координатор ViPNet), в
автоматическом режиме применяется протокол UDP, позволяющий IP-пакетам
проходить посредством межсетевых экранов. После шифрования исходный
пакет упаковывается в UDP-пакет. Чтобы настроить соединение между узлами
на межсетевом экране следует указать разрешающее правило для UDP-
протокола с фиксированным портом источника. В общем случае порт
назначения не задаётся, так как он регистрируется по пакетам от узла получателя
(рисунок 2.3).
Рис. 2.3 Взаимодействие сетевых узлов ViPNet при помощи протоколов IP/UDP
На сетевых узлах ViPNet могут настраиваться такие типы подсоединения
к внешней сети:
1 Подсоединение посредством координатора, обеспечивающего
трансляцию адресов для сетевых узлов ViPNet. Тип межсетевого экрана —
Координатор.