Красина Ф.А. Автоматизированная обработка налоговой информации

Подождите немного. Документ загружается.

Рис. 4.4 − Выходные потоки данных для ППО АИС региональной инспекции

4.6 Системно-технические компоненты АИС

Подсистемы телекоммуникаций

Подсистемы телекоммуникаций предназначены для организации

взаимодействия различных служб, функционирующих на территориально-

удаленных площадках. Подсистемы телекоммуникаций обеспечивают воз-

можность организации прозрачной циркуляции информационных потоков

вне зависимости от характера информации, территориального расположе-

ния источника и потребителя информации и служат основой для сопряже-

ния распределенных систем голосовой связи и систем передачи данных.

Система телекоммуникаций включает в себя следующие подсистемы:

• подсистема кабельных линий связи;

• оборудование опорной цифровой сети (ОЦС);

• оборудование подключения к опорной цифровой сети (оборудова-

ние «последней мили»);

• оборудование офисных телефонных систем.

Локальные вычислительные сети (ЛВС)

ЛВС объекта предназначена для решения следующих задач:

• организации единого информационного пространства Объекта;

• обеспечения надежного и быстродействующего соединения поль-

зователей с серверами и сервисами Объекта;

• возможность организации внутри ЛВС групп пользователей, объе-

диненных по производственному принципу;

• обеспечение разграничения доступа к различной информации и

сервисам.

Процесс создания (или модификация) ЛВС состоит из нескольких

этапов.

1. Постановка задачи.

На этом этапе формируется задание на создание (или модификацию)

сети. При этом учитываются следующие факторы:

• количество рабочих мест, которые необходимо подключить в сеть;

• используемое оборудование (компьютеры, принтеры, сканеры и т.п.);

• тип существующей сети и используемое активное оборудование;

• используемое программное обеспечение;

• объемы информации, передаваемые между сотрудниками;

• способ работы с информацией (коллективная обработка файлов,

работа с базами данных, последовательная обработка документов и т.п.);

• сроки хранения информации;

• время восстановления работоспособности сети после сбоя или

разрушения;

• необходимость контроля и управления активными сетевыми уст-

ройствами и рабочими местами пользователя;

• планы развития предприятия, увеличения рабочих мест, объемов

информации.

На основе этой информации вырабатывается решение по архитекту-

ре сети, используемого программного обеспечения и выбору типа сервера.

Вариант критериев дан в табл. 4.1.

Таблица 4.1 − Критерий выбора серверов

№

п/п

Тип рабо-

чих стан-

ций

Способ обработ-

ки информации

Тип серве-

ра

Операционная

система

1 Pentium,

x-Terminal

Все виды Intel, SUN Windows

NT,

Solaris,

PC-

UNIX

2 Pentium -II Обработка фай-

лов

Intel Windows NT

3 Pentium -II Документооборот SUN, Intel Solaris, Windows

4 Pentium -II Работа с базами

данных

SUN, Intel Solaris, Windows

5 Pentium -II Работа со средст-

вами связи

SUN, Intel Solaris, Windows

6 Pentium –III Все виды SUN, Intel Solaris, Windows

7 Pentium –III Обработка изо-

бражений

Silicon

Graphics

Onix

8 Pentium -III Издательская

деятельность

Intel Windows NT

2. Обследование помещений и существующей сети.

На этом этапе проводится осмотр помещений на предмет прокладки

сети. Анализируется техническо-строительная документация. Выбираются

места для установки сервера (серверов) и активного сетевого оборудова-

ния.

При наличии существующей сети учитывается, какие элементы су-

ществующей кабельной системы и активного оборудования могут быть

использованы в дальнейшем.

3. Создание технического проекта.

На этом этапе создается проект-задание на создание вычислительной

сети. В проект-задание входят:

• описание задач, для решения которых предназначена данная сеть;

• описание архитектуры сети с обоснованием выбора;

• описание предлагаемого активного сетевого оборудования с обос-

нованием выбора;

• описание предлагаемого компьютерного оборудования (серверов,

рабочих станций, принтеров и т.п.) с обоснованием выбора;

• описание предлагаемого программного обеспечения, сетевых про-

токолов и т.п.;

• описание предлагаемых систем управления и аудита сети;

• описание технологии сети и систем маркировки кабелей;

• поэтажные планы прокладки кабельной сети с обозначением типа

кабелей, способов прокладки и количества кабелей;

• список предлагаемого оборудования и материалов с указанием ко-

личества (метража), цены и стоимости;

• дополнительные пункты (обучение, настройка сети и др.).

4. Согласование графика работ.

5. Монтаж кабельной системы.

6. Установка и подключение активного оборудования и серверов.

Подключение активного оборудования и серверов осуществляется обу-

ченным персоналом и включает в себя:

• установку оборудования в монтажные шкафы;

• подключение кабельной системы;

• подключение системы электроснабжения (фильтров, источников

бесперебойного питания и т.п.);

• тестирование оборудования.

7. Установка программного обеспечения.

Установка программного обеспечения включает в себя установку се-

тевых операционных систем, прикладного обеспечения для решения функ-

циональных задач, программное обеспечение управления и аудита сети.

8. Настройка сети.

Этот этап включает в себя настройку активных сетевых устройств,

программного обеспечения, измерения производительности сети при пол-

ной и частичной нагрузке, проверку систем резервирования и автоматиче-

ского восстановления данных.

Для настройки и аудита сети используется разнообразное оборудо-

вание и программное обеспечение. Один из вариантов включает:

• тесты кабельной системы (например, от фирмы Micro Test);

• устройство анализа сетевых протоколов и информационных пото-

ков (например, Snifer);

• программу Sistem Information из пакета Norton Utilities для грубой

оценки производительности;

• системы управления сетью (из числа таких, как НР OpenView,

SUN Net Manager, Novell ManageWise).

9. Подготовка приемо-сдаточной документации. Приемо-сдаточная

документация включает:

• паспорт кабельной системы с указанием точных мест прокладки

кабелей, установки оборудования, маркировки кабелей и др.;

• паспорт сетевых операционных систем с указанием параметров

установки, сетевых протоколов и всех изменений;

• паспорт активного сетевого оборудования с указанием всех до-

полнительно установленных модулей, версий программного обеспечения,

режимов подключения и пр.

10. Оценка стоимости проекта.

Если принять суммарную стоимость работ за 100 %, то удельный вес

(%) стоимости отдельных этапов составляет:

Разработка технического задания 15

Закупка и поставка оборудования и материалов 60

Монтаж и установка оборудования 10

Настройка системы 15

Инженерные подсистемы

Инженерные подсистемы обеспечивают функционирование АИС ин-

спекции на физическом уровне. Для обеспечения функционирования АИС

создаются следующие инженерные подсистемы: структурированная ка-

бельная система (СКС) и система гарантированного электропитания.

СКС представляет собой иерархическую кабельную систему здания

или группы зданий, состоящую из нескольких структурных подсистем.

Она состоит из набора медных и оптических кабелей, кросс-панелей, со-

единительных шнуров, кабельных разъемов, модульных гнезд, информа-

ционных розеток и вспомогательного оборудования. Все перечисленные

выше элементы интегрируются в единую систему и эксплуатируются со-

гласно определенным правилам.

СКС обеспечивает возможность гибкого изменения конфигурации

кабельной сети. При перемещении служб и персонала внутри здания дос-

таточно сделать необходимые переключения на кросс-панелях.

СКС обеспечивает подключение локальной АТС, одновременную

работу компьютерной и телефонной сети, охранно-пожарной сигнализа-

ции, управление различными инженерными системами зданий и сооруже-

ний, используя общую среду передачи. Таким образом, структурированная

кабельная система представляет собой универсальное и гибкое решение

задачи создания коммуникационной инфраструктуры здания или группы

зданий.

Неструктурированная кабельная система строится быстрее, однако

ее гораздо сложнее модернизировать. Неструктурированная проводка для

локальных сетей и телефонии сохраняется без переоборудования в течение

3-5 лет, для систем наблюдения и контроля – в течение 2-3 лет. В то же

время структурированная система строится основательно как всякое дол-

говременное сооружение.

4.7 Обеспечение безопасности информационных ресурсов

Общие сведения. В соответствии с требованиями к АИС налоговой

службы должна быть обеспечена безопасность информационных ресурсов,

хранимой и обрабатываемой информации. Решением этой задачи является

построение специализированной подсистемы – подсистемы безопасности

АИС.

Согласно действующему Руководящему Документу (РД) Гостехко-

миссии РФ «Концепция защиты автоматизированных систем от несанк-

ционированного доступа», работа подсистемы безопасности обеспечивает-

ся согласованными мерами на законодательном, организационном и про-

граммно-техническом уровнях.

На законодательном уровне необходимо обеспечить соответствие

подсистемы безопасности требованиям нормативных документов РФ.

Защита на организационном уровне обеспечивается формированием

политики безопасности, описывающей категории информации, хранимой и

обрабатываемой в АИС, соотнесение существующих и планируемых ин-

формационных ресурсов информации различных категорий, основные

риски, связанные с информационными сервисами, обеспечивающими дос-

туп к указанным ресурсам, и ограничения, накладываемые средствами их

минимизации.

Среди организационных мер особо выделяются процедурные меры,

обеспечивающие реализацию политики безопасности персоналом, исполь-

зующим АИС и осуществляющим ее обслуживание.

Для реализации политики безопасности создается комплекс про-

граммно-технических средств, обеспечивающих формирование рубежей

защиты информации с реализацией на них следующих механизмов безо-

пасности:

• аутентификации и авторизации;

• разграничения доступа;

• мониторинга и аудита;

• шифрования;

• cегментации и экранирования.

Основой проработки решений подсистемы безопасности является

анализ рисков, проводимый при проектировании и построении АИС. При

этом принимаются во внимание классы рисков: техногенные, антропоген-

ные, стихийные.

К техногенным рискам относятся:

• отказы программного и аппаратного обеспечения (выход из строя

аппаратных компонентов, проявление программных ошибок в сервере

СУБД либо в базовом или прикладном программном обеспечении);

• разрушение данных (выход из строя носителей информации, унич-

тожение информации в результате аппаратной или программной ошибки).

К антропогенным рискам относятся:

Риски со стороны обслуживающего персонала:

• отступление (случайное или умышленное) от установленных пра-

вил эксплуатации либо отсутствие необходимых регламентов в сочетании

с неквалифицированными действиями персонала;

• ошибки при (пере)конфигурировании системы (непонимание уст-

ройства информационной системы и вызванные этим некорректные дейст-

вия либо небрежность при выполнении переконфигурирования);

• разрушение информации в результате неквалифицированных дей-

ствий персонала или воздействия вредоносного ПО (вирусы и т.п.);

• нежелание выполнения обслуживающим персоналом своих обя-

занностей.

Риски со стороны потенциальных злоумышленников:

• разрушение или повреждение аппаратуры (террористический акт,

акты вандализма и т.п.);

• нарушение работы систем связи, электропитания, водоснабжения,

кондиционирования (как результат злонамеренных действий);

• получение доступа к сетям связи и проведение различных атак.

К стихийным рискам относятся:

• разрушение или повреждение аппаратуры, информации (аварии,

пожары, протечки и другие стихийные бедствия);

• нарушение работы систем связи, электропитания, водоснабжения,

кондиционирования (как результат стихийных бедствий);

• разрушение или повреждение помещений (как результат стихий-

ных бедствий);

• исчезновение ключевых сотрудников;

• пропажа документов.

За пределами рассмотрения остаются риски, связанные с масштаб-

ным разрушением поддерживающей инфраструктуры. Для противодейст-

вия подобным рискам нужны меры нелокального характера, связанные с

организацией территориально удаленного резервного вычислительного

центра.

Детальная иерархия рисков и мер по их минимизации вырабатывает-

ся на стадии технорабочего проектирования АИС.

На основе предварительного анализа рисков выдаются рекомендации

по мерам организационного и процедурного характера и строится много-

уровневая подсистема безопасности АИС.

Организационный уровень

Организационные меры. Должностные обязанности администрато-

ра безопасности и порядок их выполнения определяются в документе

«План обеспечения безопасности информационной системы предприятия».

Этот документ описывает наиболее общие вопросы, связанные с безопас-

ностью системы, и содержит ссылки на следующие документы:

1) план восстановления работоспособности АИС в случае аварии;

2) план проведения аудита;

3) программы обучения и проведения инструктажей пользователей

и администраторов АИС;

4) план защиты информационных ресурсов предприятия от НСД;

5) процедура резервного копирования и восстановления;

6) формальная процедура внесения изменений в ПО АС;

7) формальная процедура установки прав доступа к системным сер-

висам и ресурсам АИС;

8) должностные инструкции администраторов, пользователей и об-

служивающего персонала.

Для организации и обеспечения эффективного функционирования

комплексной системы информационной безопасности должны быть разра-

ботаны следующие группы организационно-распорядительных докумен-

тов:

• определяющие порядок и правила обеспечения безопасности ин-

формации при ее обработке в АС (план защиты информации в АС, план

обеспечения непрерывной работы и восстановления информации);

• определяющие ответственность взаимодействующих организаций

(субъектов) при обмене электронными документами (договор об организа-

ции обмена электронными документами).

План защиты информации в АИС должен содержать следующие

сведения:

• описание защищаемой системы (основные характеристики защи-

щаемого объекта): назначение АС, перечень решаемых АС задач, конфи-

гурацию, характеристики и размещение технических средств и программ-

ного обеспечения, перечень категорий информации (пакетов, файлов, на-

боров и баз данных, в которых они содержатся), подлежащей защите в АС,

и требований по обеспечению доступности, конфиденциальности, целост-

ности этих категорий информации, список пользователей и их полномочий

по доступу к ресурсам системы и т.п.;

• цель защиты системы, а также пути обеспечения безопасности АС

и циркулирующей в ней информации;

• перечень угроз безопасности АС, от которых требуется защита, и

наиболее вероятных путей нанесения ущерба;

• основные требования к организации процесса функционирования

АС и мерам обеспечения безопасности обрабатываемой информации;

• требования к условиям применения и определение зон ответствен-

ности установленных в системе технических средств защиты от НСД;

• основные правила, регламентирующие деятельность персонала по

вопросам обеспечения безопасности АС (особые обязанности должност-

ных лиц АС).

План обеспечения непрерывной работы и восстановления информа-

ции должен отражать следующие вопросы:

• цель обеспечения непрерывности процесса функционирования

АС, своевременность восстановления ее работоспособности и пути ее дос-

тижения;

• перечень и классификацию возможных кризисных ситуаций;

• меры и средства обеспечения непрерывной работы и восстановле-

ния процесса обработки информации (порядок создания, хранения и ис-

пользования резервных копий информации и дублирующих ресурсов и

т.п.);

• обязанности различных категорий персонала системы в кризисных

ситуациях и порядок действий по ликвидации их последствий, минимиза-

ции наносимого ущерба и восстановлению нормального процесса функ-

ционирования системы.

Договор о порядке организации обмена электронными документами

должен включать документы, в которых отражаются:

• разграничение ответственности субъектов, участвующих в про-

цессах обмена электронными документами;

• определение порядка подготовки, оформления, передачи, приема,

проверки подлинности и целостности электронных документов;

• определение порядка генерации, сертификации и распространения

ключевой информации (ключей, паролей и т.п.);

• определение порядка разрешения споров в случае возникновения

конфликтов;

• для обеспечения разделения полномочий и ответственности долж-

ностных лиц в договоре должны быть четко определены их обязанности.

Процедурные меры. К процедурному уровню относятся меры безо-

пасности, реализуемые персоналом. Процедурные меры, направленные на

обеспечение информационной безопасности, можно разделить на следую-

щие группы:

1) физическая защита;

2) управление персоналом;

3) поддержание работоспособности;

4) реагирование на нарушение режима безопасности;

5) планирование восстановительных работ.

Меры физической защиты. Меры физической защиты основаны на

применении технических средств визуального наблюдения, связи и охран-

ной сигнализации, а также на применении разного рода механических,

электро- или электронно-механических устройств и сооружений, специ-

ально предназначенных для создания физических препятствий на возмож-

ных путях проникновения и доступа потенциальных нарушителей к ком-

понентам системы и защищаемой информации. Стандартным требованием

к системе физической защиты информации является надежная защита от:

• неправомочного доступа к аппаратуре обработки информации в

производственных помещениях;

• неправомочного выноса носителей информации персоналом, за-

нимающимся обработкой данных;

• неправомочного использования сервисов обработки информации;

• неправомочной передачи данных из автоматизированной системы;

• бесконтрольного ввода данных в систему;

• обработки данных без санкции владельца информации;

• неправомочного считывания, изменения или стирания данных в

процессе их передачи или во время транспортировки носителей информа-

ции.

Управление персоналом. Руководство организации, эксплуати-

рующей автоматизационную систему, должно регламентировать правила

автоматизированной обработки информации, включая правила ее защиты,

а также установить меру ответственности за нарушение этих правил. Это

меры организационного характера, регламентирующие процессы функ-

ционирования системы обработки данных, использование ее ресурсов,

деятельность персонала, а также порядок взаимодействия пользователей с

системой для исключения возможности реализации угроз безопасности.

Они включают:

• мероприятия, осуществляемые при проектировании, строительст-