26
-угрозы преднамеренных действий;
- угрозы непреднамеренных действий
Угрозы, связанные с недекларируемыми возможностями в программном
обеспечении (ПО):
- угрозы, связанные с недекларируемыми возможностями в системном ПО;
- угрозы, связанные с недекларируемыми возможностями в прикладном
ПО. c. угрозы, связанные с форс-мажорными обстоятельствами;
Угрозы, связанные с внедрением аппаратных (программно-аппаратных)
закладок; e. угрозы, связанные с внедрение вредоносных программ. По способам
реализации угроз безопасности ПДн: a. угрозы несанкционированного доступа к
информации:
- угрозы доступа (проникновения) в определенную среду ИСПДн;
Угрозы создания нештатных режимов работы программно-аппаратных
средств ИСПДн;
Угрозы программно-математического воздействия. По виду нарушаемого
свойства безопасности: a. угрозы, направленные на нарушение целостности
информации;
Угрозы, направленные на нарушение доступности информации; c. угрозы,
направленные на нарушение конфиденциальности информации.
Угрозы НСД к ПДн представляют собой набор источников НСД,
уязвимостей программного и аппаратного обеспечения ИСПДн, способов
реализации угроз, объектов воздействия и возможных деструктивных действий
[2].
По существующим типам источников УБПДн можно выделить такие
классы угроз как:
- угрозы, которые связаны с действиями лиц непреднамеренными или
преднамеренными, у которых есть доступ в КЗ с ИСПДн, а также пользователей
ИСПДн, создающие угрозы прямо в ИСПДн Компании;
- угрозы, которые связаны с действиями лиц непреднамеренными или
преднамеренными, у которых нет доступа в КЗ с ИСПДн, которые реализуют
27
угрозы вне КЗ из внешних сетей международного обмена или сетей общего
информационного пользования.
- угрозы, которые появились в результате внедрения аппаратных закладок;
- угрозы, которые появились в результате внедрения вредоносных
программ.
Цель выпускной квалификационной работы обеспечение защиты
персональных данных на ООО «Волга». Целью проекта является создание и
разработка системы для защиты персональных данных.
При разработке преследовались такие цели:
Создать полностью автоматизированную информационную систему
«Защиты персональных данных». Такая система должна помогать в области
защиты информации.
1.2.3. Обоснование необходимости использования вычислительной
техники для решения задачи
Техническое задание (далее ТЗ) на разработку ЭИС разработано в
соответствии с ГОСТом 34.602-89.
ТЗ необходимо для определения требований и порядка создания (развития
или модернизации - далее создания) автоматизированной системы, в
соответствии с которым проводится разработка автоматизированной системы
управления, и ее приемка при вводе в действие.
1) Общие сведения:
1.1 Наименование: система «Работа с кандидатами».
1.2 Разработчик: студент факультета прикладной информатики Нетпаев
Руслан Батырханулы
1.3 Заказчик: фирмы.
2) Назначение и цели создания (развития) системы:
2.1 Назначение:
28
Система предназначена для автоматизации деятельности службы
директора по персоналу для полного перехода от ручного документооборота при
подборе персонала к электронному.
2.2 Цели создания:
Разрабатывается для службы директора по персоналу. В результате
внедрения, адаптации и доработки программы предполагается сокращение
трудовых затрат на ведение документооборота по поступающим кандидатам,
имеющимся вакансиям и результатам оценки кандидатов.
3) Характеристики объекта автоматизации:
Условия эксплуатации: эксплуатация системы будет осуществляться в
пределах шести рабочих мест - менеджера по подбору персонала (четверо
человек), специалиста, ведущего специалиста и директора по персоналу, условия
обычные.
4) Требования к системе:
4.1 Надёжность: обязательное наличие источника бесперебойного
питания;
4.2 Безопасность: право доступа в систему. Пароль для защиты
информации от несанкционированного доступа;
4.3 Требования к обеспечению: для данной программы необходимо
программное обеспечение операционная система Windows XP Professional,
минимальное аппаратное обеспечение Pentium 1500 MHz, оперативная память
512 Мб.
5) Требования к составу и содержанию работ по созданию системы:
Ввод информации (вводится соответствующая информация);
Удаление записей или пометка на удаление (при удалении одной записи
все остальные записи должны сохраняться);
Возможность внесения изменений в записях;
Возможность добавления записей по каким-либо новшествам или
изменениям;
В ходе работы с программой записи будут изменяться, эта функция
29
должна реализовываться и при этом база данных должна работать без сбоев;
Обеспечение отказоустойчивости программы, в случае возникновения
сбоя время восстановления должно быть минимальным;
Возможность ежедневного резервного копирования.
1.2.4. Анализ системы обеспечения информационной безопасности и
защиты информации
Создаваемая автоматизированная информационная система под названием
«Защита персональных данных» должна полностью отвечать требованиям,
которые выдвигаются к программным продуктам современного образца.
В целом, разрабатываемая система обязана соответствовать таким
основным требованиям:
- располагать определённым комплектом функций для обработки данных
по кадровому учету;
- иметь необходимый набор возможностей для внесения и обработки
сведений по кадровому учету;
- обладать достаточным комплектом видов отчетов, которые требуются
для полноценного ведения кадрового учета;
- располагать доступным и простым интерфейсом пользователя;
- обладать предельным количеством возможностей, которыми наделены
современные программные продукты, являющиеся её конкурентами;
- отличаться минимальными системными запросами для полноценной
работы с ней на тех компьютерах, которые сегодня относятся к старым
модификациям.
Проектируемая автоматизированная информационная система обязана
располагать возможностями для обработки значительного количества как
входной, так и выходной информации, которая требуется для выполнения
кадрового учета сотрудников учреждения. Также она обязана генерировать все
необходимые типы отчетов и требуемых форм для дальнейшего их вывода на
печать [25].
30
При разработке этой автоматизированной информационной системы
принимался во внимание анализ программного обеспечения, которое
установлено на персональных компьютерах разных организаций. Из полученной
информации следует, что практически во всех случаях используется пакет
Microsoft Office. В связи с тем, что автоматизированная информационная
система создавалась при ориентации на пакет Office, соответственно, этот
программный продукт будет функционировать на персональном компьютере,
поддерживающем работу Microsoft Office. Также нужно учитывать, что с
повышением производительности персонального компьютера возрастает и
работоспособность каждого программного продукта, включая и проектируемую
информационную автоматизированную систему, именуемую «Защита
персональных данных».
1.3. Анализ существующих разработок и выбор стратегии
автоматизации «КАК ДОЛЖНО БЫТЬ»
1.3.1. Анализ существующих разработок для автоматизации задачи
В результате проведения анализа разработок автоматизированных рабочих
мест, касающихся темы данной ВКР, было выявлено множество программных
продуктов, частично отвечающих требованиям, предъявляемым ИС. Данные
разработки можно приобрести непосредственно у разработчиков или в интернет-
магазинах программного обеспечения. Рассмотрим несколько предложений.
Таблица 2
Анализ существующих разработок
№
Наименование
Описание
1
Ripe Exe 0.9.8
Ripe Exe 0.9.8 адаптировано специально для разработчиков
ПО. Приложение Ripe Exe осуществляет защиту программ в
формате PE от возможного несанкционированного
копирования, анализа алгоритма работы, модификации или
снятия "дампа" с образа программы в памяти.
Продолжение таблицы 2
№
Наименование
Описание
31
2
Fox Secret 1.00
Fox Secret 1.00 - это приложение с возможностью
реализации стеганографических и криптографических
алгоритмов для обеспечения защиты и укрытия вашей
конфиденциальной информации от других пользователей и
злоумышленников.
3
CompuSec PC
Security Suite
5.2
CompuSec PC Security Suite 5.2 представляет собой
профессиональную систему безопасности, которая
устанавливает пароль для загрузки вашей системы и
осуществляет поддержку полного шифрования вашего
жесткого диска.
4
Скрыватель
3.2.8.3
Скрыватель 3.2.8.3 – это небольшая бесплатная утилита,
которая предназначена для сокрытия от посторонних глаз
папок, файлов и дисков на вашем компьютере. Программа
Скрыватель не требует установки и довольно проста в
использовании.
5
Microsoft Private
Folder 1.0
даст возможность пользователям создать папку защищенную
паролем. Программа Microsoft Private Folder будет очень
полезным инструментом, если пользователем компьютера
являются несколько человек.
Из анализа представленных продуктов можно сделать следующие выводы:
1) Требуются затраты на покупку самого программного обеспечения, затем
на его доработку и настройку.
2) Затраты на сервисное обслуживание.
3) В случае использования онлайн-продуктов (например DR. WEB
CUREIT! 03-06-2018, ZHPCLEANER 2018.6.1.126, MCAFEE STINGER
12.1.0.2777) , требуется регулярная оплата пользованием, как самого продукта,
так и Интернетом.
В данном случае наиболее оптимальным вариантом является разработка
собственного программного продукта, отвечающего всем требованиям и
качествам рабочего места менеджера для ИП. Кроме того, можно сократить
расходы, используя уже приобретенное техническое и программное
обеспечение.
32
Такое большое количество различных видов отчетов позволит отследить
любое движение товарно-материальных ценностей, создавая при этом
прозрачность и снижая вероятность воровства товарно-материальных ценностей
со складов.
1.3.2. Выбор и обоснование стратегии автоматизации задачи
В ходе проектирования информационных систем организаций
современного образца их архитектура должна создаваться при учёте сразу
нескольких заинтересованных сторон. Также она должна быть предельно
простой для пользователей, предоставлять разработчикам возможность
создавать план и графики системы, устанавливать главные интерфейсы,
технологии и функции, а также оценивать график и бюджет реализации проекта.
Вместе с тем, архитекторы информационных систем несут ответственность за
подготовку осуществимой и приемлемой концепции системы уже на раннем
этапе ее создания, обеспечение поддержки цельности данной концепции в
течение проектирования и определение пригодности окончательного варианта
системы для применения клиентом.
Создание архитектуры информационной системы является процессом
предоставления описаний архитектур информационных систем настолько
подробно, чтобы гарантировать их наибольшую полезность в ходе
непосредственной разработки.
При этом к архитектуре информационной системы выдвигаются такие
основные требования:
- полное соответствие задачам организации;
- отчётливость в требованиях;
- устремлённость в разработке;
- вероятность адаптации;
- наличие такого свойства как гибкость.
Именно при соблюдении перечисленных условий становится возможным
создать эффективную и совершенную архитектуру информационной системы
33
определённой организации [15,17].
На сегодня используются следующие программные архитектуры:
- файл-серверная архитектура;
- клиент-серверная архитектура;
- архитектура многоуровневого характера.
Укажем, что организация информационных систем с применением
выделенных файл-серверов считается самой распространенной по той причине,
что ныне имеется множество персональных компьютеров с разным уровнем
развитости, а также можно относительно дешево связать PC в единые локальные
сети. Преимущество данной организации состоит в том, что опираясь на файл-
серверные архитектуры можно сохранить автономность прикладного (зачастую
системного) программного обеспечения, функционирующего на всех
компьютерах сети. Элементы информационной системы, реализуемые на
различных компьютерах, вступают во взаимодействие лишь благодаря общему
хранилищу файлов, которое размещается на файл-сервере. Стандартно в любом
компьютере выполняется дублирование как прикладных программ, так и средств
управления БД. Файл-сервер выступает расширением дисковой памяти,
разделяемым компьютерами комплекса. Существует два способа
функционирования системы в так называемой файл-серверной архитектуре:
1) Работа многопользовательского характера на файл-сервере с
локальными таблицами. Предполагается, что файл OLAP-приложения и система
Контур Стандарт располагаются на клиентском компьютере, в то время как
таблицы исходной информации – на файл-сервере. Такой подход довольно
удобен, когда одни исходные данные применяются для осуществления разными
пользователями многих видов анализа. К примеру, учетные сведения, которые
были выгружены в dbf-файл из OLTP-системы, анализируют руководитель и
бухгалтер, при этом каждый из них использует своё аналитическое приложение.
2) Работа многопользовательского характера с исходными данными (под
видом локальных таблиц) и OLAP-приложениями на файл-сервере. В этом
случае на пользовательском компьютере устанавливается лишь Контур Стандарт
34
с OLAP-машиной. Подобная архитектура гарантирует работу целой группы
пользователей (к примеру, бухгалтерии) с одним аналитическим приложением.
Подчеркнём, что доступ пользователей этой группы к файлу OLAP-приложения
обычно регламентируется специальными средствами операционной системы [4].
Далее отметим, что сегодня архитектура «клиент-сервер» считается
доминирующей концепцией при разработке распределенных сетевых
приложений, а также предполагает обмен данными и взаимодействие между
ними. Её основными компонентами выступают:
- комплект серверов, которые предоставляют информацию либо услуги
иного рода программам, обращающимся к ним;
- комплект клиентов, которые применяют сервисы, предоставляемые
серверами;
- сеть, гарантирующая взаимодействие между серверами и клиентами.
Рассмотреть схему клиент-серверной архитектуры можно на рисунке 12.
Следует учитывать, что серверы обладают независимостью друг от друга.
Клиенты, по аналогии с серверами, так же независимы и функционируют
параллельно. При этом клиенты не привязаны жёстко к серверам. Уже стала
типичной ситуация, когда один сервер может одновременно обрабатывать
запросы разных клиентов, в то время как клиент способен отсылать запросы то
одному серверу, то другому. При этом клиенты могут знать о наличии доступных
серверов, но не владеть информацией о существовании всех прочих клиентов.
Считается, что серверы и клиенты – это, в первую очередь, программные
модули. Зачастую они пребывают не на одном, а на разных компьютерах. Тем не
менее, бывают и такие ситуации, когда обе программы (клиентская и серверная)
физически находятся на одной машине. Тогда сервер преимущественно именуют
локальным. Обычно модель клиент-серверного взаимодействия устанавливается
распределением обязанностей между сервером и клиентом.
35
Рисунок 12 – Клиент-серверная архитектура
В целом, логически выделяют три основных операции:
- уровень предоставления информации, являющийся, по сути,
интерфейсом пользователя, который несёт ответственность за предоставление
информации пользователю, а также передачу от него различных управляющих
команд;
- прикладной уровень, на котором реализуется требующаяся обработка
данных (т.е. он осуществляет основную логику приложения);
- уровень управления информационными данными, обеспечивающий
сохранение информации и предоставление к ней доступа.
Клиент-серверная архитектура, состоящая из двух уровней, предполагает
взаимодействие таких двух программных модулей как серверного и клиентского.
Исходя из того, как именно между ними разделяются названные ранее функции,
выделяют:
- модель тонкого клиента, который предусматривает, что управление
данными и логика приложения сконцентрирована на сервере, тогда как
клиентская программа гарантирует лишь функции уровня представления;
- модель толстого клиента, предусматривающая, что сервер лишь
управляет информационными данными, в то время как обработка данных и
интерфейс пользователя находятся на стороне клиента.
Далее отметим, что архитектура приложения разделяет прикладные и