ГЛАВА 2. ХАРАКТЕРИСТИКА КОМПЛЕКСА ЗАДАЧ, ЗАДАЧИ И ОБОСНОВАНИЕ НЕОБХОДИМОСТИ СОВЕРШЕНСТВОВАНИЯ СИСТЕМЫ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННО БЕЗОПАСНОСТИ ПРИ ПЕРЕВОЗКАХ
2.1. Выбор комплекса задач обеспечения информационной безопасности
Для организации и управления процессом транспортных перевозок в АО «Тандер» используется информационная система, разработанная 1С, «TMS Логистика: Управление перевозками».
Система имеет модульную структуру. Каждый модуль позволяет автоматизировать определенный вид задач управления процессами перевозок (рисунок 6).
Рисунок 6 – Модульная структура системы
Конфигурация поддерживается и обновляется отдельно. Некоторые конфигурации являются неофициальными вертикалями, предоставленными партнерами.
Алгоритм работы информационной системы представлен на рисунке 7.
| Алгоритм работы ИС |
| 1 Формирование цепочки перевозок |
| 2 Планирование единой цепочки |
| 3 Выбор непосредственного подрядчика |
Рисунок 7 – Алгоритм работы информационной системы 1С: «TMS Логистика: Управление перевозками»
Варианты интеграции «1С:ТМС Логистика. Управление перевозками» представлен на рисунке 8.
Рисунок 8 – Варианты интеграции «1С:ТМС Логистика. Управление перевозками»
Основными компонентами «TMS Логистика: Управление перевозками» являются информационная база объекта управления, программное обеспечение, вычислительная система, пользователи.
Сервер и база данных. Для управления кластером было реализовано несколько COM-объектов. Кластер серверов может предоставить один или несколько рабочих процессов для обслуживания клиентских подключений. Рабочие процессы могут функционировать на одном или нескольких компьютерах.
Кластер серверов TMS Логистика: Управление перевозками.1 может работать под управлением ОС Linux. Система TMS Логистика: Управление перевозками.1 теперь работает с базой данных PostgreSQL, которая работает как под ОС Windows, так и под ОС Linux.
В числе актуальных угроз безопасности информационных систем АО «Тандер» при организации транспортных перевозок можно выделить такие как:
| несанкционированный доступ к информации в связи с недостатками аутентификации пользователей |
| нарушение целостности и сохранности данных из-за низкой отказоустойчивости сервера |
| угроза компьютеру, локальной сети или отдельным узлам от внешних атак, вредоносного программного обеспечения |
Рисунок 9 – Перечень актуальных угроз безопасности информационных систем АО «Тандер» при организации транспортных перевозок
Для устранения данных угроз требуется:
1 ограничение и контроль доступа к незащищенным службам узла сети;
2 формирование регламента порядка доступа к службам;
3 регистрирование и учет попыток доступа к устройству извне и от объектов внутренней сети;
4 препятствование получению информации об устройстве или сети.
Таким образом, комплекс задач обеспечения информационной безопасности транспортных перевозок в АО «Тандер» включает обеспечение конфиденциальности данных, обеспечение целостности данных, обеспечение аутентификации, обеспечение аутентичности.
2.2. Определение места проектируемого комплекса задач в комплексе задач предприятия, детализация задач информационной безопасности и защиты информации
Рассмотрим состав и содержание функций управления. Перечень функций дается в соответствии с нормативными и методическими документами их регламентирующими (положениями об отделе, должностными инструкциями, уставом организации и пр.).
Результатом этого этапа является следующая таблица 5:
Таблица 5
Состав функций объекта по операциям и исполнителям
| Виды функций по положениям и другим нормативным материалам | Состав процедур (операций) по функциям | Основные документы | Исполнители | |
| 1. Организовывать коммерческую деятельность АО «Тандер» | 1.1 Организовывать деятельность персонала АО «Тандер» | Положение о персонале Должностные инструкции | Специалисты групп ТАНДЕР Оператор ТАНДЕР Логистик\ | |
| 1.2 Организовывать деятельность служб АО «Тандер» | Положение об отделе
| Специалисты групп ТАНДЕР Оператор ТАНДЕР Логистик\ | ||
| 2. Руководить финансово-хозяйственной деятельностью АО «Тандер» | 2.1 в области материально-технического обеспечения | Планы Приказы Годовые отчеты | Специалисты групп ТАНДЕР Оператор ТАНДЕР Логистик\ | |
| 2.2 В области мате-риального обеспечения | Планы Приказы | Специалисты групп ТАНДЕР Оператор ТАНДЕР Логистик\ | ||
| 2.3 В области анкетирования клиентов почтового отделения | Договора поставки Приказы | Специалисты групп ТАНДЕР Оператор ТАНДЕР Логистик\ | ||
| 2.4 В области транспорт-ного и административно-хозяйственного обслуживания | Приказы | Специалисты групп ТАНДЕР Оператор ТАНДЕР Логистик\ | ||
| Виды функций по положениям и другим нормативным материалам | Состав процедур (операций) по функциям | Основные документы | Исполнители | |
Обязательной рабочей документацией, отражающей состав информации в объекте является логико-информационная схема объекта, которая имеет следующий вид (таблица 6):
Таблица 6
Логико-информационная схема АО «Тандер»
| Перечень процедур | Исполнители | Входная информация | Выходная информация |
| 1. Организация деятельности персонала АО «Тандер» | Директор ГМ «Магнит» АО «Тандер» | Положение о персонале Должностные инструкции | Отчеты руководителей служб |
| 2. Организация деятельности служб АО «Тандер» | Директор ГМ «Магнит» АО «Тандер» | Положение об отделе
| Отчеты руководителей служб |
| 3. Руководство ФХД АО «Тандер» в области материально-технического обеспечения | Логистик | Планы Приказы | Отчеты руководителей служб
|
| 4. Руководство ФХД АО «Тандер» в области материального обеспечения | Логистик | Планы Прогнозы
| Отчеты руководителей служб |
| 5. Руководство в области анкетирования клиентов почтового отделения | Специалисты групп ТАНДЕР и Оператор ТАНДЕР | Договора поставки Приказы | Отчеты руководителей служб |
| 6. Руководство ФХД в области транспортного и административно-хозяйственного обслуживания | Логистик | Приказы
| Отчеты руководителей служб |
| 7. Обеспечение эффективного использования ресурсов АО «Тандер» | Логистик | Планы Прогнозы
| Отчеты руководителей служб |
| 8. Разработка нормативов использования ресурсов | Логистик | Планы
| Отчеты руководителей |
Система программ «транспортных перевозок» включает в себя платформу и прикладные решения, разработанные на ее основе, для автоматизации деятельности организаций и частных лиц. Сама платформа не является программным продуктом для использования конечными пользователями, которые обычно работают с одним из многих прикладных решений (конфигураций), разработанных на данной платформе. Такой подход позволяет автоматизировать различные виды деятельности, используя единую технологическую платформу.
Графико-вербальная модель отражает состав и движение информации в объекте, представленные схематично и имеющие словесное описание.
Обязательной рабочей документацией, отражающей состав информации в объекте является логико-информационная схема объекта, которая имеет следующий вид (таблица 7):
Таблица 7
Логико-информационная схема защиты информационной системы
| Перечень процедур | Входная информация | Выходная информация |
| Обеспечение конфиденциальности данных | Финансово-экономические данные учета | Отчетность компании |
| Обеспечение целостности данных | Первичный учет | Сводка показателей за определенный период |
| Обеспечение аутентификации | Организация режима пользования ИС | Учет пользователей системы |
| Обеспечение аутентичности | Регулирование пользователей с правом изменения данных ИС | Запрет несанкционированного изменения данных |
| Повышение уровня защищенности данных за счет отказоустойчивости | Контроль хранения данных | Получение архивных показателей |
| Контроль доступа к ИС извне и от объектов внутренней сети | Регистрирование попыток доступа | Учет попыток доступа |
Требования к обеспечению безопасности информационной системы на базе платформы «TMS Логистика: Управление перевозками» применяются согласно «РД 50-34.698-90. Методические указания. Информационная технология. Комплекс стандартов и руководящих документов на автоматизированные системы. Автоматизированные системы. Требования к содержанию документов».
Требования к математическому обеспечению: используются стандартные методы подсчетов итогов и расчетов необходимых величин (итоги, суммы, производные величины).
Требования к информационному обеспечению: данные хранятся в системе в SQL базе данных, передача данных в системе осуществляется посредством базы данных, данные по межмодульным связям не передаются, то есть, чтобы передать определенные данные из одного модуля системы в другой, их нужно сохранить в базе данных, а другому модулю взять из базы данных. Поддержка совместимости с другими программными средствами отсутствует. Используется СУБД MySQL. Данные поступают в систему путем ручного ввода оператором, на этапе ввода данных осуществляется необходимая проверка вводимой информации. Поступающая в систему информация классифицируется и упорядочивается определенным образом (в случае документов – по дате создания документа, в случае материала, клиента или поставщика по типу, классу и в алфавитном порядке). Информация из системы не передается ни в какое другое приложение за исключением печатных форм документов, устанавливаемых в очередь печати на существующем в системе менеджере состояния принтера. Данные в системе сохраняются и представляются в виде таблиц. К системе не предъявляются дополнительные требования к защите данных от потери в случае программного или аппаратного сбоя, рекомендовано сохранение резервных копий базы данных по окончании рабочего дня. В базе данных невозможно сохранить одни и те же данные два раза, т. е. при добавлении новых данных система проверяет базу данных на предмет существования таких данных, в случае обнаружения система выдаст ошибку о невозможности продолжения операции и не сохранит данные.
Требования к лингвистическому обеспечению: приложения системы создаются на языке программирования Delphi, база данных –SQL.
Требования к содержанию документов с решениями по информационному обеспечению
Перечень входных данных информационной системы на базе платформы «TMS Логистика: Управление перевозками»:
– данные о поставщиках (ИНН, юридический адрес, наименование полное и краткое, банковские реквизиты);
– данные об оптовиках (ФИО, адрес, телефон, номер карты, другие данные заносимые в поле примечание);
– данные о клиентах (ФИО, адрес, телефон);
– данные о корпоративных клиентах (ИНН, юридический адрес, фактический адрес, наименование, банковские реквизиты);
– поступление материала (дата поступления, номер документа, наименования поступившего материала, количество поступившего материала, цена, наименование поставщика);
– реализация материала (дата продажи, вид продажи, номер документа, наименования проданного материала, количество проданного материала, наименование покупателя, скидка);
– данные о постановке брака на учет (дата принятия, номер документа, наименование «поставщика брака», причина неисправности, также в примечание указывается, кто был поставщиком данного материала) и др.
Перечень выходных данных информационной системы на базе платформы «TMS Логистика: Управление перевозками»:
– печатная форма приходной накладной, сохраненной в базе данных;
– печатная форма расходной накладной, сохраненной в базе данных;
– печатная форма счет-фактуры;
– печатная форма счета на оплату материала;
– печатная и рабочая форма прайс-листа;
– печатная форма кредитного уведомления;
– печатная форма гарантийного талона;
– печатная и рабочая форма заказ – листа покупателя;
– печатная форма договора на поставку материала;
– печатная форма складских остатков;
– рабочая форма складского резерва;
– рабочая форма складского уведомления об отпуске материала со склада;
– рабочая форма складского уведомления о постановке материала в резерв и др.
Любому сохраненному объекту базе данных автоматически присваивается уникальный номер в своем классе (накладные, складские уведомления, поставщик, товар).
Состав информационного обеспечения. Для работы системы используется база данных, созданная и функционирующая средствами MySQL. Функционирование программы без базы данных невозможно. База данных состоит из следующих наборов данных:
– приходная накладная;
– заказ-лист;
– складские остатки;
– складской резерв;
– складское уведомление;
– прайс-лист;
– поставщик;
– клиент;
– накладная;
– счет-фактура;
– счет на оплату;
– гарантийный талон;
Информация вносится в базу вручную пользователем программы. Введенная информация проверяется вышестоящими сотрудниками фирмы:
– информацию, сохраненную в базе кладовщиком, проверяют менеджер и бухгалтер, в зависимости от вида информации;
– информацию, сохраненную в базе менеджером, проверяют бухгалтер и директор.
Откорректировать введенную информацию менеджер и кладовщик может в течение недели с момента сохранения ее в базе данных или до конца текущего отчетного месяца. Менеджер может изменить информацию в течение месяца, но не позднее начала следующего отчетного месяца.
Стрелки контекстной диаграммы для диаграммы А0 «Бизнес-процесс защиты информационной системы на базе платформы «TMS Логистика: Управление перевозками» представлены в таблице 8.
Таблица 8
Стрелки контекстной диаграммы для диаграммы А0 «Бизнес-процесс защиты информационной системы на базе платформы «TMS Логистика: Управление перевозками»
| Название стрелки | Тип стрелки |
| Обеспечение конфиденциальности данных | INPUT |
| Обеспечение целостности данных | INPUT |
| Повышение уровня защищенности данных за счет отказоустойчивости | INPUT |
| Контроль доступа к ИС извне и от объектов внутренней сети | INPUT |
| Финансово-экономические данные учета Отчетность компании | OUTPUT |
| Первичный учет Сводка показателей за определенный период | OUTPUT |
| Контроль хранения данных Получение архивных показателей | OUTPUT |
| Регистрирование попыток доступа Учет попыток доступа | OUTPUT |
| Запрос на информацию | CONTROL |
| Нормативные документы по защите информации | CONTROL |
Формирование IDEFO диаграмм проведено в BPWin 4.1.1.
Стрелки контекстной диаграммы А0 «Бизнес-процесс защиты информационной системы на базе платформы «TMS Логистика: Управление перевозками» из таблицы 8 представлены на рисунке 10.
Рисунок 10 – Стрелки контекстной диаграммы А0 «Бизнес-процесс защиты информационной системы на базе платформы «TMS Логистика: Управление перевозками»
Процесс А.0. «Защита информационной системы от целенаправленных разрушающих воздействий (атак)» представлен в таблице 9.
Таблица 9
Процесс А.0.
| Название работы | Определение работы |
| Управлять | Обеспечение конфиденциальности данных Обеспечение целостности данных |
| Выполнять | Обеспечение аутентификации Обеспечение аутентичности |
Также данные таблицы представлены на рисунке 11.
Рисунок 11 – Процесс А.0
Процесс А.1. «Управлять защитой сохранения данных» представлен в таблице 10.
Таблица 10
ПроцессА.1. «Управлять защитой сохранения данных»
| Название работы | Определение работы |
| Сбор и анализ необходимой информации | Получение и анализ архивных данных компании, а также резервных копий |
| Повышение уровня защищенности данных за счет отказоустойчивости | Внедрение отказоустойчивого и сбалансированного сервера |
| Контроль за исполнением бизнес-процесса | Корректируется план защиты данных |
Детализация процесса представлена на рисунке 12.
Рисунок 12 – Процесс А.1. «Управлять защитой сохранения данных»
Процесс А2. «Защита компьютера, локальной сети или отдельных узлов от внешних атак» представлен в таблице 11.
Таблица 11
Процесс А2. «Защита компьютера, локальной сети или отдельных узлов от внешних атак»
| Название работы | Определение работы |
| Выявление потребности в защите | Анализ данных отделов компании |
| Подготовка мероприятий | Сбор информации для первичной документации |
| Внедрение мероприятий | Формирование первичной документации |
| Анализ уровня защищенности системы | Согласование первичной документации |
Данные таблицы проиллюстрированы на рисунке 13.
Рисунок 13 – Процесс А.2 «Защита компьютера, локальной сети или отдельных узлов от внешних атак»
В результате обследования предметной области определены входные (первичные) документы, необходимые для решения комплекса задач.
2.3 Выбор защитных мер
Выбор защитных мер осуществляется в соответствии с идентифицированными рисками, выбранным комплексом задач обеспечения информационной безопасности.
Рабочей документацией данного раздела является:
А) Контекстная диаграмма моделируемого процесса с описанием входов, выходов, управления и механизмов
Б) Схема декомпозиции моделируемого процесса.
Далее прецедент декомпозируется на блоки, соответствующие основным шагам прецедента (таблица 12).
Таблица 12
Стрелки контекстной диаграммы для диаграммы А0 «Бизнес-процесс защиты информационной системы на базе платформы «TMS Логистика: Управление перевозками»
| Название стрелки | Определение стрелки | Тип стрелки |
| Обеспечение конфиденциальности данных | Финансово-экономические данные учета Отчетность компании | INPUT |
| Обеспечение целостности данных | Первичный учет Сводка показателей за определенный период | CONTROL |
| Обеспечение аутентификации | Организация режима пользования ИС Учет пользователей системы | CONTROL |
| Обеспечение аутентичности | Регулирование пользователей с правом изменения данных ИС Запрет несанкционированного изменения данных | CONTROL |
| Повышение уровня защищенности данных за счет отказоустойчивости | Контроль хранения данных Получение архивных показателей | MECHANISM |
| Контроль доступа к ИС извне и от объектов внутренней сети | Регистрирование попыток доступа Учет попыток доступа | OUTPUT |
Диаграммы бизнес-процессов представлены ниже (рисунок 14).
Рисунок 14 – Стрелки контекстной диаграммы А0 «Бизнес-процесс защиты информационной системы на базе платформы «TMS Логистика: Управление перевозками»
Процесс А.0. «Защита информационной системы от целенаправленных разрушающих воздействий (атак)» с учетом предлагаемых изменений представлен в таблице 13.
Таблица 13
Процесс А.0. «Защита информационной системы от целенаправленных разрушающих воздействий (атак)»
| Название работы | Определение работы |
| Управлять | Обеспечение конфиденциальности данных Обеспечение целостности данных |
| Выполнять | Обеспечение аутентификации Обеспечение аутентичности |
Процесс проиллюстрирован на рисунке 15.
Рисунок 15 – Процесс А.0. «Защита информационной системы от целенаправленных разрушающих воздействий (атак)»
Рисунок 16 – Процесс А.1. «Управлять защитой сохранения данных»
Рисунок 17 – Процесс А.2 «Защита компьютера, локальной сети или отдельных узлов от внешних атак»
Таким образом, на основании проведенного исследования нами были выделены следующие проблемы управления защитой информационной системой на базе платформы «TMS Логистика: Управление перевозками»:
1 Обеспечение конфиденциальности данных.
2 Обеспечение целостности данных.
3 Обеспечение аутентификации.
Решение данных проблем предлагается путем:
– внедрения криптографической защиты;
– перехода на сервер на RAID-5;
– внедрения Comodo FW.