1.2.4 Анализ системы обеспечения информационной безопасности и защиты информации
У фирмы ООО “Техторг” есть своя политическая деятельность для защищенности. Все работники при поступлении получают должностное руководство, в котором внятно описаны его права и прямые обязанности с точки зрения информационной защиты информации. Любому работнику присваивается логин и пароль в системе доменной авторизации, в рамках которой выдается доступ к конкретным ресурсам приложения.
Защита информации на ПК в фирме осуществляется только программно. Осуществлено ограничение на включение новых периферийных приборов по портам USB, com, ltp и PCI, она исполнена при помощи программного продукта ZLOCK и управляется централизовано на сервере. Для того чтобы подключить другой компонент к компьютеру, надо получить доступ администратора.
Хранение бумажных документов или файлов, а также флэш-накопителей и резервных копии, содержащие информацию, позволяющую установить личность, находятся в закрытой комнате или в закрытой картотеке. Также ограниченный доступ у сотрудников с законной деловой потребностью. Все контролируются, у кого есть ключ.
Вся конфиденциальная информация зашифровывается, даже та, которая отправляется третьим сторонам через общедоступные сети (например, Интернет).
Защита информации в серверной регламентируется следующими ограничениями доступа:
1) Права доступа по электронному пропуску (proxy- карта)
2) Роспись за получение и сдача ключа у охранника.
3)Разблокировка датчиков открытия двери у оперативного дежурного СБ
Средства защиты от инсайдерских угроз в компании, следующие:
За каждым пользователем закреплён компьютер/ноутбук и монитор, которые имеют идентификационный ПИН-код, за который он несет материальную ответственность.
1.3 Анализ существующих разработок и выбор стратегии автоматизации «КАК ДОЛЖНО БЫТЬ»
1.3.1 Анализ существующих разработок для автоматизации задачи
На сегодняшний день на рынке ПО есть множество разнообразных как иностранных, так и Русских услуг, и товаров по автоматизации документооборота фирм, как к примеру традиционный 1С: Документооборот.
В узком смысле информационной системой называют только подмножество компонентов ИС в широком смысле, включающие базы данных, СУБД и специализированные прикладные программы. ИС в узком смысле рассматривают как программно-аппаратную систему, предназначенную для автоматизации целенаправленной деятельности конечных пользователей, обеспечивающую, в соответствии с заложенной в нее логикой обработки, возможность получения, модификации и хранения информации. [4]
Аппаратное обеспечение состоит из устройства ввода / вывода, процессора, операционной системы и мультимедийных устройств. Программное обеспечение состоит из различных программ и процедур. База данных состоит из данных, организованных в необходимой структуре. Сеть состоит из концентраторов, средств связи и сетевых устройств. Люди состоят из операторов устройств, сетевых администраторов и системных специалистов.
Обработка информации состоит из ввода; обработка данных, хранение данных, вывод и контроль. На этапе ввода, данные передаются в системы, которые на этапе обработки обрабатываются программным обеспечением и другими запросами. На этапе вывода данные представляются в структурированном формате и в отчетах. [5]
Перед выбором любой информационной системы всегда встаёт вопрос о требованиях к системе и целях, которые планируется достигнуть в результате внедрения. На текущий момент в исследуемой мной компании ООО “Техторг” уже внедрена ИС 1С: Документооборот и используется более 2 лет, за это время были осознаны некоторые ошибки внедрения и появились некоторые требования по доработке системы. Итак, основными критериями при выборе технологии решения задачи будут следующие условия:
- суммарный бюджет на проект автоматизации не более 100 000 руб.;
- сокращение времени по добавлению новых сотрудников;
- добавление новых функций, такие как, просмотр доходов филиала и расходов, также статистику продаж товаров и др.;
- контроль над обработанными заявками в автоматическом режиме.
1С: Документооборот
Система электронного документооборота может работать в единой базе с продуктом «1С: Зарплата и управление персоналом» или «1С: Управление производственным предприятием», что позволяет комплексно решать и функциональные задачи (например, набор персонала), и учетные (начисление оклада) и управленческие (принятие мотивационного решения о повышении оклада или штрафе), и задачи взаимодействия и передачи информации (прохождения документа по маршруту, связанное со своевременным оповещением всех заинтересованных участников процесса согласно ранее утвержденному порядку).
Megapolis.DocNet
Все документы предприятия онлайн с новыми возможностями:
- Одновременная работа более 60 тыс. пользователей;
- Электронный архив до 100 Тб;
- Работа через интернет браузер или мобильное приложение;
- Защита данных повышенного уровня секретности;
- Открытое API для интеграции со сторонними информационными системами.
Основные модули выполняют задачи регистрации всех типов документов, сканирование и распознавание текстов, параллельного и последовательного согласования, юридически значимого подписания документов ЭЦП или КЭП, создание шаблонов, уведомления, архивирования и контроля полного жизненного цикла документа и работы с ним.
Foss Doc
Система электронного документооборота Foss Doc – решение на платформе Foss Look, предназначенное для создания электронного архива документов, организации корпоративного документооборота (workflow) и автоматизации бизнес-процессов на предприятиях, в учреждениях и организациях любого рода деятельности. Программа позволяет решить большое количество задач, реализация которых возложена на соответствующие модули. Система может быть легко перенастроена с учетом специфики работы каждого конкретного предприятия.
Основные характеристики предоставленных продуктов представлены в таблице 1.5
Исходя из критериев, которые предъявляет компания ООО “Техторг” было решено создать новую, дешевле и более функциональную систему автоматизации по документообороту.
1.3.2 Выбор и обоснование стратегии автоматизации задачи
Определим стратегические и функциональные свойства ИС. Внедряемая ИС автоматизации должна обладать хорошей масштабируемостью и высокой надежностью хранения данных. Так же система должна легко адаптироваться под программную среду объекта внедрения. При внедрении, данная ИС должна иметь возможность гибкой доработки, так как возможно потребуется дальнейшая доработка ИС силами сотрудников ИТ. Система не должна быть загромождена большим количеством ненужных функций. Понятный интерфейс пользователя, функциональный интерфейс администратора и широкую систему отчетов. [6]
Для реализации плана возможно отметить надлежащие рубежи:
- Анализ имеющих место быть процессов учёта работы ИТ отдела фирмы. Заключается в сборе и анализе надлежащих характеристик: количество не произведенных заказов, численность произведенных заказов в день по инженеру, среднее время выполнения заказа.
- Определение абсолютной перечни возможностей, которых надо будет автоматизировать. Определение того что уже есть в системе в данный момент и тех функций, которые станут доступны в процессе разработки и внедрения ИС.
- Выбор стратегии автоматизации. Тест имеющихся типов стратегий автоматизации и подбор более благоприятной к структуре и бизнес процессам фирмы.
- Формирование технического поручения и графика выполнения заданий.
Выбор стратегии автоматизации:
Существует четыре варианта стратегии автоматизации: кусочная (хаотичная) автоматизация, автоматизация по участкам, автоматизация по направлениям и комплексная автоматизация. Кусочная автоматизация предполагает под собой приобретение предприятием без конкретного стратегического плана отдельных фрагментов информационной системы, которые не способны оказать реальной пользы предприятию в целом. Дальнейшее развитие информационной системы предприятия связано с новыми, значительными затратами.
Автоматизация по участкам учитывает автоматизацию отдельных производственных участков, соединенных по набору выполняемых функций. Данный метод автоматизации выбирается при условии, в случае если есть участки, где использование автоматических систем выделяет важный финансовый эффект, к примеру, за счет уменьшения персонала.
Автоматизация по направлениям подразумевает под собой автоматизацию отдельных направлений деятельности компании. В этом случае компания получает полную автоматизацию работы, например, кадровой службы, производства, бухгалтерии или логистики. Такой подход к автоматизации вполне нормален и в дальнейшем интеграция уже автоматизированных направлений в рамках всего предприятия не будет связана с серьезными препятствиями. [7]
Хаотичная, она же кусочная стратегия не подходит, например, как мы автоматизируем весь отдел, в данном случае применяется некоторое количество элементов ИС, такие как интернет сервер, СУБД, серверное приложение, невозможно автоматизировать лишь только долю из них, эффекта от сего станет ноль.
Полная стратегия автоматизации тоже не подходит в нашем случае, так как мы автоматизируем одно из направлений деятельности компании.
Стратегия автоматизации по участкам лучше других подходит в данном дипломном плане, вследствие того собственно, что в нашем случае мы автоматизируем отдел логистики, за смену в нем трудится 5 человек, которые 30 % времени заняты телефонными звонками, а всё остальное время заняты рутинной работой по регистрации и обработке заказов. Автоматизировав этот процесс, возможно, станет уменьшено количество нагрузки на предоставленный отдел, не понижая продуктивности его работы.
1.3.3 Выбор и обоснование способа приобретения ИС для автоматизации комплекса задач
Для автоматизации процессов управления и информационного обеспечения рассматриваются три способа приобретения программного обеспечения:
- Покупка готовой специализированной ИС;
- Разработка ИС своими силами;
- Разработка ИС сторонней фирмой;
- Покупка системы и её доработка;
Ниже приведена таблица 1.6, в которой сравниваются критерии отбора, способа приобретения программного продукта.
Покупка: Так называемую коробочную версию продукта в дипломном проекте рассматривать не буду, так как там нечего проектировать.
Покупка плюс доработка: Это покупка уже готового решения с возможностью дописать функционал силами самих производителей ПО либо сделать это средствами своей компании, то есть программистом, работающим в компании на постоянной основе, в этом случае язык программирования программиста должен совпадать или хотя бы быть близок к тому языку программирования, на котором пишет программист компании.
Разработка: В данном случае можно использовать внешних разработчиков, предоставив им чёткое техническое задание или разрабатывать ПО силами ИТ специалистов, работающих в компании. В обоих случаях это весьма трудозатратный проект с внедрением, который займет не менее чем полгода.
Приобретение плюс доработка были избраны исходя из критериев, описанных в пункте 1.3.1 т.к. на этот момент применяемая ИС внедрена не наиболее наилучшим образом и ведущей процесс регистрации и обработки заказов мало автоматизирован. Плюсом данного заключения станет вероятность параллельной работы в системе без кардинальных перемен во время доработки. Этот вариант нормально подходит еще вследствие того, собственно, что в случае если что-нибудь происходит не так, то всякий раз возможно остановится, изучить и начать интеграцию снова, совместно с тем, главная система станет продолжать функционировать исправно. Еще не считая способности откатиться в начало, в критериях не всеобъемлемости бюджета, этот вариант станет единственным правильным заключением.
1.4 Обоснование проектных решений
1.4.1 Обоснование проектных решений по информационному обеспечению
В данном дипломном проекте будет использоваться только локальный классификатор, так как никаких других классификаторов РФ в системе не используется. Классифицировать будем заявки по приоритетности заявки, по компании и по зоне ИТ, к которой принадлежит эта заявка (тип заявки).
Значительную долю вне машинного ИО составляет документация. В условиях автоматизации важное значение придается унификации документации, устанавливающей единые требования к содержанию и построению документов. Унифицированные формы документов вырабатываются как для всех предприятий РФ (например, формы бухгалтерской отчетности), так и для отдельных предприятий (например, формы управленческой отчетности). Унификация заключается в тщательном отборе и четком определении необходимой номенклатуры документов. При этом определяются сферы назначения и использования документов и выявляются специфические особенности, характерные для соответствующих видов документов. Документы могут быть унифицированными и локальными.
В данном дипломном проекте использованы локальные документы: «Заявка на закупку материальных ценностей», «Заявка на регистрацию пользователя и доступ к программным ресурсам», «Заявка на устранение неполадок», «Заявка на доступ к сетевым ресурсам». Информационные файлы формируются на основе исходной информации, содержащейся в вышеуказанных первичных документах — основных носителях первичной экономической информации в системах машинной обработки данных. К ним предъявляется ряд требований:
- достаточная полнота информации для решения задачи;
- исключение избыточности информации;
- достоверность и своевременность информации;
- согласованность форм первичных документов с макетами размещения информации на машинном носителе;
- логичность построения документа.
Существует три способа организации информационной базы (ИБ): файловая организация ИБ; интегрированная ИБ и смешанная организация ИБ.
Под файловой организацией ИБ понимается локальное размещение базы на компьютере, доступ к которому других пользователей осуществляется стандартными методами ОС для обмена данными по сети, например, в MS Windows это Sharing и Security, что уменьшает скорость обработки данных в локальной базе. Под смешанной организацией ИБ подразумевается распределённая база данных, хранящаяся на нескольких серверах и реплицирующая изменения в каждой из них по расписанию, данная структура ИБ используется в системах класса ERP для работы в одной ИБ территориально удалённым офисам одновременно.
В данном дипломном проекте наиболее целесообразной организацией ИБ считаю интегрированную организацию ИБ, так как размер базы будет увеличиваться каждый день на 100-200 записей. И оптимальным выбором будет использование СУБД вместо файлового хранения базы данных.
1.4.2 Обоснование проектных решений по программному обеспечению
Программное обеспечение – неотъемлемая часть компьютерной системы. Оно является логическим продолжением технических средств. Сфера применения конкретного компьютера определяется созданным для него программным обеспечением. Сам по себе компьютер не обладает знаниями ни в одной области применения. Все эти знания сосредоточены в выполняемых на компьютерах программах. [8] В отличие от аппаратного обеспечения, которое описывает физические аспекты компьютера, программное обеспечение — это общий термин, используемый для обозначения приложений, сценариев и программ, работающих на устройстве. Программное обеспечение можно рассматривать как переменную часть компьютера, а аппаратную часть как неизменную часть.
Программное обеспечение часто подразделяется на прикладное программное обеспечение или загружаемые пользователем программы, которые удовлетворяют необходимые нужды или потребности, и системное программное обеспечение, которое включает в себя операционные системы и любые программы, поддерживающие прикладное программное обеспечение. Термин промежуточное программное обеспечение иногда используется для описания программирования, которое является посредником между прикладным и системным программным обеспечением или между двумя различными типами прикладного программного обеспечения. Например, промежуточное программное обеспечение может использоваться для отправки запроса удаленной работы из приложения на компьютере, на котором установлена операционная система одного типа, на приложение на компьютере с другой операционной системой.
Дополнительной категорией программного обеспечения является утилита, представляющая собой небольшую полезную программу с ограниченными возможностями. Некоторые утилиты поставляются с операционными системами. Как и приложения, утилиты, как правило, устанавливаются отдельно и могут использоваться независимо от остальной части операционной системы. Критериями выбора ПО, установленного на ПК пользователей является максимальная минимизация времени процесса описание заявки/неисправности пользователей и отправки заявки используя корпоративную почту компании. В рамках корпоративного стандарта в компании используется MS Outlook 2010. Для запуска этой программы на компьютере пользователя должна быть также установлена ОС, поддерживающая запуск данного приложения. В связи с корпоративным стандартом используется версия ОС MS Windows 10 PRO, так как на данный момент, это единственная ОС поддерживаемая компанией Microsoft в России (остальные версии на данный момент уже не поддерживаются) и имеющая возможность работать в доменной инфраструктуре (версия Windows 10 Home не поддерживает работу в домене). Исходя из этих обоснований критерий Win 10 Pro Rus будет использована в качестве пользовательской ОС. Итог: на рабочих станциях пользователей (клиентов) должны быть установлены следующие программные продукты:
- Операционная система Windows 10 Pro Rus
- Почтовый клиент MS Outlook 2010
Программа по обработке документооборота – это программа, разработанная в ходе написания дипломного проекта на языке программирования C#, которая реализует весь документооборот на фирме. Критериями выбора архитектуры реализации проектируемого Программного Комплекса являются:
- совместимость с существующей инфраструктурой серверов;
- возможность создания резервных копий данных и просматривать статистку по обработанным заявкам.
При выборе ОС под данное решение был выбран MS Windows Server 2017, так как данный вид серверных ОС не сильно требователен к ресурсам, а также давно используются в инфраструктуре компании.
Для серверной части необходимо также выбрать систему управления базами данных (СУБД). В таблице 1.7 представлены основные современные СУБД.
В качестве СУБД для программы будет использоваться Microsoft SQL Server 2017. Выбор в пользу компании Microsoft сделан не случайно, потому что язык разработки выбран тоже компании Microsoft.
Закупка нового сервера не обязательна, так как база данных программного продукта может быть расположена на уже имеющемся сервере. При создании данного сервера компания закладывала около 50 процентов мощности закупаемого сервера на будущую масштабируемость системы, но не смотря на рост базы данных загруженность сервера возросла всего на 15 процентов.
В рамках уже существующей базы данных в ней будут созданы дополнительные таблицы и связи между ними. Добавленные таблицы не будут на прямую связаны с основными функциональными таблицами базы данных.
Рассмотрим основные методы и средства проектирования. В таблице 1.8 сравниваются между собой основные средства проектирования.
Таблица № 1.8
Основные средства проектирования.
1.4.3 Обоснование проектных решений по техническому обеспечению
Написание программы сервиса, обрабатывающего документооборот предприятия, было решено на языке C#. Такой выбор был сделан не случайно. Во-первых, администратор предприятия имеет опыт работы с данным языком программирования. Во-вторых, данный язык действительно не сложен в освоении и среди фрилансеров в интернете легко найти программиста, который при правильно поставленном техническом задании сможет в поставленные сроки выполнить данную разработку, стоимость разработки ПО на C# гораздо ниже, чем разработка на основе таких громоздких продуктов как C++ или Delphi. В-третьих, данный язык очень активно развивается и имеет открытую архитектуру и легко позволяет сделать графический интерфейс в виде виндовс форм.
Техническое обеспечение — это совокупность технических средств, компьютерной техники, средств передачи информации, используемых в автоматизированных системах управления и в информационных системах.
Для функционирования программы обработки документации на предприятии потребуются следующие элементы технического обеспечения:
- ПК-сервер – это основная ЭВМ, на которой будет создана сама база данных в СУБД, а также данный сервер будет являться сервером БД. На нем же будет размещена база данных. Характеристики данного сервера представлены в таблице выше;
- ПК-пользователя (рабочая станция) – это пользовательский ПК, посредством которого будут создаваться запрос на получения указанного запроса;
- средства организации ЛВС – в данный перечень входят активные (маршрутизатор, коммутатор, шлюз и тд.) и пассивные (сегменты ЛВС, коммутационные розетки и тд.) компоненты локальной вычислительной сети.
Для каждого элемента мы выберем несколько критериев, наиболее критичных при осуществлении выбора.
Серверы — это самые незаметные системы в целой сети компьютеров. Их прячут от посторонних глаз, не выставляя напоказ, но берегут, как зеницу ока. Идеальный сервер — система, которая стоит в уголочке или в шкафу-стойке, и о ней все забыли. Этим он отличается от обычных ПК или рабочей станции. И подход к выбору сервера гораздо более жесткий и прагматичный, чем к любой другой системе. При этом специфика сервера — преднамеренная избыточность основных компонентов. И горе тому, кто пренебрежет этой «природной сутью» его в попытках сэкономить.
Главными критериями выбора серверной платформы являются специфика решаемых сервером задач и количество автоматизированных рабочих мест, которые объединяются в сеть. После этого остается только выбрать производителя.
Для Сервера СУБД в рамках одного ПК основным критерием выбора будет отказоустойчивость и пропускная способность сетевого интерфейса. Исходя из среднего арифметического числа заказов в день, которое оформляет 500 заказов с ежеминутным выборочным опросом программы базы данных на присутствие свежих заказов в основе, а еще загруженности сетевой инфраструктуры на 30 процентов и загруженности коллективного сервера баз данных на 25 процентов, нет надобности закупать высокопроизводительный сервер с сетевым адаптером скоростью в 1Gbps, довольно ограничиться интерфейсом в 100 Mbps. Итогом анализа критериев по серверному оборудованию будет использование того же сервера, который использовался в компании ранее. В качестве сервера баз данных (БД) используется сервер, построенный на платформе HP ProLiant DL365 G5, он обладает следующими характеристиками, представленными в таблице 1.9
Таблица № 1.9. Характеристики сервера БД.
Два процессора позволяют, при использовании SQL сервера, эффективно распараллеливать задачи, выполняемые на сервере.Рассмотрим данную платформу подробнее:
- 16 Гб оперативной памяти достаточно для обработки больших объемов информации, используемых на данный момент в БД, а также последующего увеличения вычислительной нагрузки, так как на данный момент пиковый размер занятой оперативной памяти составляет 6 Гб.
- Использование 6 жестких дисков обусловлено следующими соображениями:
Для достоверного функционирования операционной системы сервера санкционирован RAID массив из 2-ух строгих дисков объемом по 74 ГБ (такого размера довольно для работы ОС). Операционная система нарочно размещена порознь от файлов БД из мнения защищенности и производительности.
Для достоверного сбережения данных в формате Structured Query Language (SQL) санкционирован массив строгих дисков наибольшего размера 300 Гб. Предоставленного размера довольно для внедрения свежего перечня возможностей, на данный момент размер занятого места занимает 53Гб, при условии того собственно, что в БД хранятся записи за 3 года.
Так же отдельно необходимо хранить данные в форматах mdf (файл базы данных), а также транзакции в виде файлов ldf (файл транзакций), для чего необходим еще один массив, аналогичный предыдущему по размеру.
Использование дополнительного питания повышает отказоустойчивость системы.
Для ПК-пользователя и ПК-инженера основными критерием выбора оборудования в данном случае являются его технические характеристика, и что не менее важно, соответствие утвержденным корпоративным стандартам. Таким образом, для персональных компьютеров основным критерием выбора является утвержденный список конфигураций ПК. (B6000-ITX: Core i3-9100/ 8 Гб/ 1 Тб/ UHD Graphics 630) Характеристики данной конфигурации описаны в таблице 1.10
Таблица № 1.10. Характеристика конфигурации ПК пользователя.
Продолжение таблицы № 1.10