48
MSF фокусируется на таких условиях:
согласование технологических и деловых целей;
установление четких целей, ролей и ответственностей для проекта;
осуществление итеративного процесса на основании вех и контрольных
точек;
эффективная реакция на изменения;
упреждающее управление рискам.
В этой статье описываются следующие основные элементы MSF.
Базовые принципы и образ мышления MSF, которые помогут группам и
их членам оптимизировать совместную работу при реализации решения.
Групповая модель MSF позволяет масштабировать проекты,
гарантировать выполнение потребностей заинтересованных лиц и определяет
роли и ответственности на основе целей.
Модель управления MSF (которую ранее называли моделью процессов
MSF) позволяет быстро получать высококачественные результаты с помощью
проверенного жизненного цикла проекта, определяющего основные действия
по проекту.
Базовые принципы и образ мышления MSF
В основе Microsoft Solution Framework (MSF) лежат принципы и образы
мышления, представляющие собой годы опыта. Эти годы были сформированы
в концепциях, справедливых для различных моделей, процессов и дисциплин
MSF. Хотя они проистекают из здравого смысла, понять их и правильно
реализовать не так просто. Однако это поможет группам эффективно создавать
качественные продукты.
Основные принципы
Следующие принципы и концепции MSF направляют проектную группу
для реализации качественного решения. Каждый член группы должен понимать
и принимать эти принципы при взаимодействии с другими участниками
группы, их организацией и заинтересованными лицами. В основании MSF
положено 9 базовых принципов.
49
Открытое взаимодействие. Для того, чтобы ваша группа работала
достаточно эффективно, вы и остальные участники должны делиться
соответствующими уровнями данных с членами, группами и работниками
организации. Группа должна видить природу создаваемого решения и то, каким
образом будут взаимодействовать члены группы и внешние контакты.
Проблема заключается в установлении соответствующего уровня всех
взаимоотношений и данных, которые будут общедоступны.
Общее представление увеличивает эффективность и динамичность
группы, что в свою очередь обеспечивает возможность участникам быстро
принимать правильные решения в контексте осуществления поставленного
представления. Общее представление помогает также восполнять пробелы в
требованиях при их выявлении.
Предоставление полномочий участникам группы представляет не только
один из методов выживания в динамичной среде, но также и методтворческого
поиска для эффективного решения задач и взаимопомощи. Если членам группы
не позволить осуществлять свои лучшие навыки и качества полностью, не
только их спектр их творческих возможностей будет сужен, но также и их
моральный дух не будет на высоте и следовательно, вы не сможете создать
продуктивную группу.
Реализация инкрементальных результатов. Данная реализация связана с
2-мя следующими аспектами:
- нужно убедиться, что предоставляемые результаты оптимальны для
заинтересованных лиц;
необходимо определить оптимальные инкременты для предоставления
результатов, то есть, "частот доставки".
Поскольку изменения могут происходить довольно часто и в самое
худшее время, наличие гибкого метода для обработки изменений поможет вам
максимально сократить простои, которые связаны с ними. Гибкость
предполагает, что организация готова к различным изменениям и может с
легкостью адаптироваться к ним.
50
Инвестируйте в качество. Многие компании применяют понятие
качества, но в тоже время не понимают, как его квантифицировать. Качество
представляет собой то, что нужно проактивно внедрять в жизненный цикл
доставки решения.
Если все уровни организации не будут основываться на том, что раньше
действовало и не действовало, каких от них можно ожидать улучшений в
дальнейшем? Члены группы должны осознавать то, что обучение идет на всех
уровнях:
- на проектном уровне;
на уровне отдельного лица;
на уровне организации.
В том случае, если клиент ведет работу вместе с проектной группой, вы
повышаете возможность успеха проекта. Однако это се же не значит, что
клиенты должны выполнять всю работу за вашу группу. Тем не менее когда
клиенты непосредственно и последовательно ведут сотрудничество с
проектной группой, полученное решение больше соответствует их
требованиям. Сотрудничество с клиентами представляет выгоду для всех
участников, так как оно помогает избавиться от неопределенности, уменьшить
время устранения проблем с требованиями и повысить понимание группой
ценностного предложения решения посредством регулярных контактов.
Образ мышления
Базовые принципы, описанные выше, определяют, как сориентировать
группу, чтобы добиться успеха. Ориентация отдельных членов группы для
более эффективной работы называется "образом мышления". Каждый образ
мышления помогает членам группы добиться своей цели при реализации
решения. В идеале члены группы так комфортно себя чувствуют в рамках этих
образов мышления, что они используют их не только на работе, но и вне ее.
Если все понимают главную и вспомогательные цели, разделяют общее
представление, знают свои роли и ответственности, то все действуют как
равные и относиться к ним следует одинаково. Это не следует расценивать как
51
предложение организовать анархию или комитет. Это значит, что все члены
группы разделяют ответственность за успешную реализацию проекта. Каждая
роль ответственна за соответствующие аспекты проекта, а все роли несут
коллективную ответственность за проект в целом. Как видно, роль
руководителя программы по-прежнему есть, но она сконцентрирована на
реализации проекта в рамках заданных ограничений, а не на управлении
членами группы.
Успех измеряется с точки зрения ценности для бизнеса. Это значит
предоставление не только того, что клиентам необходимо, но и того, чего они
хотят и ценят. Для этого каждый член группы должен понимать, что именно
клиенты считают ценным. Если клиент не получит бизнес-ценность, проект
подвергается риску, например, группа может сбиться с пути, потратить много
лишнего времени, усилий и средств, или же проект может быть вообще
отменен.
Решение должно быть перспективным. При анализе компонентов
решения из-за размера и сложности большинства проектов члены группы
иногда слишком приглядываются к маленьким деталям и забывают про
решение в целом. Поэтому столько внимания уделяется общему
представлению. По мере того как члены группы предоставляют свои
компоненты, им необходимо взглянуть на общую цель и представление
решения. Слишком часто подгруппа оптимизирует свою область, считая, что
они действуют ради общего блага. Но затем они обнаруживают, что им
необходимо переработать определенные аспекты, чтобы их компонент был
согласован с решением. Члены группы запутываются в деталях и забывают про
цельное решение.
Группа не только должна инвестировать в качество, но участники также
должны видеть, что качество — такая же их ответственность, как и других
членов группы, поэтому свои задачи не следует делегировать кому-то другому.
Качество — это общая ответственность в рамках всего жизненного цикла
разработки решения. Этот образ мышления не только позволяет повысить
52
качество собственных результатов члена группы, но и улучшает эффективность
процессов и управление проектом. Благодаря ему каждый член группы
стремится лучше понять, какие навыки необходимы для достижения общей
цели. Отслеживая качество собственной работы и предоставляя наилучшие
результаты, члены группы смогут постоянно улучшать конечный продукт.
Иногда для достижения конечной цели недостаточно гордиться своими
навыками. Члены группы должны овладевать новыми навыками, чтобы стать
лучше. Учитывая, что большинство проектов, групп и сред уникальны, каждый
проект предоставляет возможности для обучения, эксперимента, а также
совершенствования навыков, процессов и процедур. Чтобы воспользоваться
этими возможностями, непрерывные процессы обучения и адаптации должны
существовать на всех уровнях организации, а не только для членов группы.
Внедряется уровни качества обслуживания. Качество обслуживания
(QoS) определяет операционные характеристики решения, например
ожидаемый уровень доступности. Важно, чтобы заинтересованные лица и
члены группы, не только специалисты по архитектуре, понимали принципы
качества обслуживания и знали, как их реализация влияет на конечный
результат. В противном случае заинтересованные лица и члены группы,
вероятно, будут делать неявные предположения о том, как решение должно
работать. Так как подобные предположения редко согласованы, каждому члену
группы необходимо принимать явные решения с самого начала работы над
проектом, чтобы обеспечить нужные уровни качества обслуживания. Таким
образом, неявные предположения преобразуются в явные требования к QoS,
которые явно встраиваются в решение с самого начала работы, а не
надстраиваются впоследствии.
Поощряется солидарность. С точки зрения разработки ПО солидарность
означает доверие, честность, ответственность и уважение для всех аспектов
работы. Она, в том числе, определяет:
как взаимодействовать с членами группы, с организацией и
заинтересованными лицами;
53
как участвовать в проекте и помогать в реализации проекта, в том числе
эффективно использовать корпоративные, проектные и вычислительные
ресурсы (к которым относятся общие ресурсы, информация и знания).
Солидарные члены группы действуют для общего блага.
Выполняются свои обязательства. Несмотря на многие встроенные
проверки MSF полагается на доверие и полноправные полномочия, чтобы
добиться которых, члены группы, в том числе, должны выполнять свои
обязательства. MSF формирует среду, в которой члены группы и
заинтересованные лица могут доверять результатам своих коллег. Так как
проект — это набор независимых действий, то если один член группы не
выполняет свои обязательства, он ставит под угрозу весь проект.
Модель группы MSF
Модель группы MSF разделяет типичные операции для реализации
решения и ответственности в семь групп. Эти группы взаимозависимы и
многоплановы. Как указано в таблице ниже, чтобы использовать
сбалансированный подход, эти роли могут предоставить уникальный взгляд на
то, что необходимо для проекта, что необходимо отстаивать и какие цели
должны быть связаны с реализацией решения. Эти роли можно объединять для
небольших групп и расширять для больших групп.
Эти роли не подразумевают какую-либо организационную диаграмму или
набор должностей, так как они сильно отличаются в разных организациях и
группах. Чаще всего эти роли распределяются среди различных групп в ИТ-
организации и, иногда, в сообществе бизнес-пользователей, а также среди
внешних консультантов и партнеров
2.1.2. Ожидаемые риски на этапах жизненного цикла и их описание
В ходе жизненного цикла информационной системы всегда могут
возникнуть риски, могущие сорвать разработку. Для их избежания проводится
оценка вероятных рисков и разрабатываются способы, позволяющие избегнуть
эти риски или минимизировать их влияние.
54
Существуют различные типы моделей ЖЦ ИС, и разные компании могут
использовать наиболее удобные для себя подходы.
Каждая из приведенных стадий несет в себе определенный набор угроз ,
которые должны быть своевременно учтены и обработаны. Наиболее
распространенные угрозы :
неверная формулировка требований к ИС;
неадекватный выбор процессов ЖЦ и вовлеченных в них участников;
принятие неверных проектных решений;
внесение разработчиком дефектов на уровне архитектурных решений;
внесение разработчиком недокументированных возможностей в ИС в
целом или в ее отдельные компоненты;
неадекватная (неполная, противоречивая и пр.) реализация
предъявленных к ИС требований;
сборка ИС с нарушением предъявляемых требований, приводящая к
появлению недокументированных возможностей в ИС либо к неадекватной
реализации требований;
разработка некачественной документации;
неверное конфигурирование ИС;
приемка ИС, не отвечающей требованиям, установленным в компании;
внесение недокументированных возможностей в ИС в процессе
проведения приемочных испытаний посредством использования
недокументированных возможностей функциональных тестов и тестов ИБ.
Безопасность при разработке ИС может быть обеспечена следующими
мерами:
1. Определение процедур разработки ИС. С целью снижения вероятности
возникновения проблем с безопасностью заранее должны быть определены
55
методы и средства разработки. Они должны охватывать все используемые
языки программирования (C++, JavaScript, SQL и пр.).
2. Организация среды разработки. Для организации безопасного процесса
разработки рекомендуется выделить рабочие места ответственных лиц в
отдельный защищенный сетевой сегмент, обеспечить рабочие места средствами
антивирусной безопасности и защиты от НСД, использовать "чистую"
лицензионную политику. Эти простые меры позволят значительно снизить
риски несанкционированного доступа и изменения кода посторонними лицами.
3. Обучение персонала методам безопасной разработки. Понимание
проблем безопасности современных приложений и новых способов атак крайне
необходимо для создания защищенной ИС, поэтому проведение тренингов по
ИБ для разработчиков может существенно повысить качество и безопасность
ИС.
4. Анализ и тестирование исходных кодов на наличие уязвимостей и
недекларированных возможностей. Исходные коды должны периодически
анализироваться с помощью автоматизированных средств или в ручном режиме
на наличие распространенных ошибок, в том числе: межсайтовый скриптинг,
переполнение буфера, ошибки при проверке входных данных для обработки,
ошибки в процессе обработки данных, пароли в открытом виде и т.д.
Альтернативным решением может стать использование услуг третьих сторон
по анализу кода на уязвимость.
5. Разработка (получение) документации на ИС. Документация на ИС
должна включать описание применяемых защитных мер и функций, описанных
в техническом задании. С точки зрения ИБ документация как минимум должна
содержать:
описание ролевой системы;
56
описание механизмов доступа, регистрации событий, целостности,
резервирования;
параметры настроек безопасности.
При приобретении ИС необходимо уделить особое внимание
оформлению договорных обязательств. Помимо указанных выше требований
по обеспечению безопасной разработки и поставки ИС, на поставщика должна
быть возложена ответственность на случай возникновения каких-либо
инцидентов ИБ, связанных с некачественной разработкой, нарушением правил
поставки и пр. Также следует учитывать наличие у разработчика необходимых
лицензий на разработку и эксплуатацию средств и систем защиты.
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Система мероприятий, направленных на защиту данных в
разрабатываемой системе включает ряд аспектов, а именно:
защита данных непосредственно в ИС от различных внутренних
угроз;
защита информации от внешних угроз.
Для защиты от внутренних угроз в системе действует политика
разделения прав доступа. Характеристика политики представлена в таблице 6.
Таблица 6
Разграничение прав пользователей
Группы
пользовате
лей
Модуль
«Авторизация»
Модуль
«Регистрация
документа»
Модуль
«Постановка
на контроль»
Модуль
«Резолюц
ия»
Сотрудники
Чтение
Полный
Чтение
Ограничен
Руководитель
Чтение
Нет
Полный
Полный
Администра-
тор системы
Полный
Полный
Полный
Полный
Защита от внешних угроз выполняется посредством применения таких
методов:
применение программно-аппаратных систем;
57
разработкой и ведение политик безопасности;
применение защищенных средств связи при передаче данных;
применение антивирусных средств;
физическая защита помещений с наиболее ценными данными.
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и её описание
Информационная модель – это совокупность информации об объекте,
описывающая свойства и состояние объекта, процесса или явления, а также
связи и отношения с окружающим миром. Информационная модель
представлена на рисунке 7.