Реализация системы безопасности в рамках корпоративной информационной системы
Защита информационных систем, типовые модели обеспечения безопасности базы данных. Защищенные схемы хранения информации. Создание серверной части. Сравнение средств разработки клиентской части. Организационная структура службы компьютерной безопасности.
| Рубрика | Программирование, компьютеры и кибернетика |
| Вид | дипломная работа |
| Язык | русский |
| Дата добавления | 28.10.2017 |
| Размер файла | 227,0 K |
Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже
Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.
Как правило, заказчик хочет получить определенный набор сервисов. Назовем их основными. Например, если заказчиком является банк, то в качестве основных сервисов могут выступать банковская система, система автоматизации офиса, бухгалтерская система самого банка и т.п.
Однако, чтобы основные сервисы могли функционировать, необходимо приобрести ряд вспомогательных сервисов. Имеются в виду серверы баз данных, почтовые серверы, сетевые сервисы, мониторы транзакций и т.д. Операционные системы и оборудование также можно отнести к вспомогательным сервисам. Вообще говоря, предоставление некоторых вспомогательных сервисов может потребовать привлечения дополнительной совокупности услуг. Выражаясь математическим языком, следует вычислить транзитивное замыкание потребных сервисов.
И основные, и вспомогательные сервисы, как правило, могут быть подвергнуты декомпозиции. Так, банковская система состоит из ряда аппаратно-программных подсистем (валютный опердень, рабочее место операциониста и т.п.). Каждую из таких подсистем можно рассматривать как относительно самостоятельный сервис. Сервисы, декомпозиция которых нецелесообразна, мы будем называть атомарными.
Когда выявлены все необходимые основные и вспомогательные сервисы, следует проанализировать информационные потоки между ними. Это важно, чтобы проконтролировать взаимную совместимость сервисов и сформулировать требования к пропускной способности коммуникационных каналов. Когда данный этап завершен, формирование архитектуры будущей системы с содержательной точки зрения в первом приближении можно считать законченным. Следует переходить к разработке мер, необходимых для обеспечения безопасности системы.
В защите нуждаются все сервисы (в том числе вспомогательные) и коммуникационные пути между ними. В то же время, возможно, не все запланированные атомарные сервисы обладают полным набором механизмов безопасности. Интерпретация "Оранжевой книги" для сетевых конфигураций подсказывает правила, по которым следует объединять сервисы. Идея их проста - нужно формировать составные сервисы, обладающие полным набором механизмов безопасности и, с внешней точки зрения, представляющие собой единое целое (нет информационных потоков, идущих к незащищенным компонентам). Приведенное ранее Утверждение 1 гарантирует, что совокупность подобных составных сервисов, соединенных защищенными коммуникационными путями, является надежной системой. Подчеркнем, что здесь важна полнота функциональности каждого компонента, и это является теоретическим обоснованием предлагаемой нами методологии анализа безопасности информационных систем.
Вполне возможно, что из сервисов, выбранных на первом этапе, не удается составить надежной конфигурации. Наиболее распространенной причиной тому, вероятно, может оказаться отсутствие механизмов безопасности в операционных системах класса МS-DOS. В таком случае необходимо привлечение дополнительных сервисов, которые мы будем называть экранирующими. Экранирующие сервисы могут не обладать полезной функциональностью; они нужны лишь для формирования защищенных составных сервисов. Примеры экранирующих сервисов - сервер аутентификации Kerberos и межсетевые экраны (firewalls), защищающие сети организаций от враждебного окружения.
Реализация экранирующих сервисов может потребовать привлечения дополнительных вспомогательных сервисов и, следовательно, новой итерации пересмотра спецификаций. Впрочем, число таких итераций не должно быть большим - процесс быстро сойдется. После этого можно приступать к фазе реализации спецификаций.
Выбор подхода клиент/сервер как основы структурирования информационных систем при рассмотрении программно-технических мер безопасности целесообразен еще и потому, что для каждого сервиса основные цели (конфиденциальность, целостность, доступность) трактуются по-своему. Целостность, с точки зрения системы управления базами данных и с точки зрения почтового сервера, ѕ вещи принципиально разные. Бессмысленно говорить о безопасности локальной или иной сети вообще, если сеть включает в себя разнородные компоненты. Следует анализировать защищенность сервисов, функционирующих в сети. Часто для разных сервисов и защиту строят по-разному. Например, обычно межсетевые экраны свободно пропускают через себя почтовый трафик (почта ѕ относительно безобидный сервис), но контролируют попытки доступа к другим, более мощным или более уязвимым сервисам.
Достижение высокого уровня безопасности невозможно без принятия должных организационных мер. С одной стороны, эти меры должны быть направлены на обеспечение правильности функционирования механизмов защиты и выполняться администратором безопасности системы. С другой стороны, руководство организации, эксплуатирующей средства автоматизации, должно регламентировать правила автоматизированной обработки информации, включая и правила ее защиты, а также установить меру ответственности за нарушение этих правил.
2.2 Организационная структура службы компьютерной безопасности
Для непосредственной организации (построения) и эффективного функционирования системы защиты информации в КИС может быть (а при больших объемах защищаемой информации - должна быть) создана специальная штатная служба защиты (служба компьютерной безопасности).
Служба компьютерной безопасности представляет собой штатное или нештатное подразделение, создаваемое для организации квалифицированной разработки системы защиты информации и обеспечения ее функционирования.
Основные функции службы заключаются в следующем:
формирование требований к системе защиты в процессе создания КИС;
участие в проектировании системы защиты, ее испытаниях и приемке в эксплуатацию;
планирование, организация и обеспечение функционирования системы защиты информации в процессе функционирования КИС
распределение между пользователями необходимых реквизитов защиты;
наблюдение за функционированием системы защиты и ее элементов;
организация проверок надежности функционирования системы защиты;
обучение пользователей и персонала КИС правилам безопасной обработки информации;
контроль за соблюдением пользователями и персоналом КИС установленных правил обращения с защищаемой информацией в процессе ее автоматизированной обработки;
принятие мер при попытках НСД к информации и при нарушениях правил функционирования системы защиты.
Организационно-правовой статус службы защиты определяется следующим образом:
численность службы защиты должна быть достаточной для выполнения всех перечисленных выше функций;
служба защиты должна подчиняться тому лицу, которое в данном учреждении несет персональную ответственность за соблюдение правил обращения с защищаемой информацией;
штатный состав службы защиты не должен иметь других обязанностей, связанных с функционированием КИС;
Сотрудники службы защиты должны иметь право доступа во все помещения, где установлена аппаратура КИС и право прекращать автоматизированную обработку информации при наличии непосредственной угрозы для защищаемой информации:
руководителю службы защиты должно быть предоставлено право запрещать включение в число действующих новых элементов КИС, если они не отвечают требованиям защиты информации;
службе защиты информации должны обеспечиваться все условия, необходимые для выполнения своих функций.
Естественно, все эти задачи не под силу одному человеку, особенно если организация (компания, банк и др.) довольно велика. Более того, в службу компьютерной безопасности могут входить сотрудники с разными функциональными обязанностями. Обычно выделяют четыре группы сотрудников (по возрастанию иерархии):
Сотрудник группы безопасности. В его обязанности входит обеспечение должного контроля за защитой наборов данных и программ, помощь пользователям и организация общей поддержки групп управления защитой и менеджмента в своей зоне ответственности. При децентрализованном управлении каждая подсистема КИС имеет своего сотрудника группы безопасности.
Администратор безопасности системы. В его обязанности входит ежемесячное опубликование нововведений в области защиты, новых стандартов, а также контроль за выполнением планов непрерывной работы и восстановления (если в этом возникает необходимость) и за хранением резервных копий.
Администратор безопасности данных. В его обязанности входит реализация и изменение средств защиты данных, контроль за состоянием защиты наборов данных, ужесточение защиты в случае необходимости, а также координирование работы с другими администраторами.
Руководитель (начальник) группы по управлению обработкой информации и защитой. В его обязанности входит разработка и поддержка эффективных мер защиты при обработке информации для обеспечения сохранности данных, оборудования и программного обеспечения; контроль за выполнением плана восстановления и общее руководство административными группами в подсистемах КИС (при децентрализованном управлении).
Существуют различные варианты детально разработанного штатного расписания такой группы, включающие перечень функциональных обязанностей, необходимых знаний и навыков, распределение времени и усилий. При организации защиты существование такой группы и детально разработанные обязанности ее сотрудников совершенно необходимы.
2.3 Мероприятия по созданию и поддержанию комплексной системы зашиты
Основные организационные и организационно-технические мероприятия по созданию и поддержанию функционирования комплексной системы зашиты включают:
разовые (однократно проводимые и повторяемые только при полном пересмотре принятых решений) мероприятия,
мероприятия, проводимые при осуществлении или возникновении определенных изменений в самой защищаемой КИС или внешней среде (по необходимости);
периодически проводимые (через определенное время) мероприятия;
постоянно (непрерывно или дискретно в случайные моменты времени) проводимые мероприятия.
Разовые мероприятия
К разовым мероприятиям относят:
общесистемные мероприятия по созданию научно-технических и методологических основ (концепции и других руководящих документов) защиты КИС;
мероприятия, осуществляемые при проектировании, строительстве и оборудовании вычислительных центров и других объектов КИС (исключение возможности тайного проникновения в помещения, исключение возможности установки прослушивающей аппаратуры и т.п.);
мероприятия, осуществляемые при проектировании, разработке и вводе в эксплуатацию технических средств и программного обеспечения (проверка и сертификация используемых технических и программных средств, документирование и т.п.);
проведение спецпроверок всех применяемых в КИС средств вычислительной техники и проведения мероприятий по защите информации от утечки по каналам побочных электромагнитных излучений и наводок;
разработка и утверждение функциональных обязанностей должностных лиц службы компьютерной безопасности;
внесение необходимых изменений и дополнений во все организационно-распорядительные документы (положения о подразделениях, функциональные обязанности должностных лиц, инструкции пользователей системы и т.п.) по вопросам обеспечения безопасности программно-информационных ресурсов КИС и действиям в случае возникновения кризисных ситуаций;
оформление юридических документов (в форме договоров, приказов и распоряжений руководства организации) по вопросам регламентации отношений с пользователями (клиентами), работающими в автоматизированной системе, между участниками информационного обмена и третьей стороной (арбитражем, третейским судом) о правилах разрешения споров, связанных с применением электронной подписи;
определение порядка назначения, изменения, утверждения и предоставления конкретным должностным лицам необходимых полномочий по доступу к ресурсам системы;
мероприятия по созданию системы защиты КИС и созданию инфраструктуры;
мероприятия по разработке правил управления доступом к ресурсам системы (определение перечня задач, решаемых структурными подразделениями организации с использованием КИС, а также используемых при их решении режимов обработки и доступа к данным; определение перечня файлов и баз данных, содержащих сведения, составляющие коммерческую и служебную тайну, а также требования к уровням их защищенности от НСД при передаче, хранении и обработке в КИС; выявление наиболее вероятных угроз для данной КИС, выявление уязвимых мест процесса обработки информации и каналов доступа к ней; оценку возможного ущерба, вызванного нарушением безопасности информации, разработку адекватных требований по основным направлениям защиты);
организацию надежного пропускного режима; определение порядка учета, выдачи, использования и хранения съемных магнитных носителей информации, содержащих эталонные и резервные копии программ и массивов информации, архивные данные и т.п.;
организацию учета, хранения, использования и уничтожения документов и носителей с закрытой информацией;
определение порядка проектирования, разработки, отладки, модификации, приобретения, специсследования, приема в эксплуатацию, хранения и контроля целостности программных продуктов, а также порядок обновления версий используемых и установки новых системных и прикладных программ на рабочих местах защищенной системы (кто обладает правом разрешения таких действий, кто осуществляет, кто контролирует и что при этом они должны делать);
создание отделов (служб) компьютерной безопасности или, в случае небольших организаций и подразделений, назначение нештатных ответственных, осуществляющих единое руководство, организацию и контроль за соблюдением всеми категориями должностных лиц требований по обеспечению безопасности программно-информационных ресурсов автоматизированной системы обработки информации;
определение перечня необходимых регулярно проводимых превентивных мер и оперативных действий персонала по обеспечению непрерывной работы и восстановлению вычислительного процесса КИС в критических ситуациях, возникающих как следствие НСД, сбоев и отказов СВТ, ошибок в программах и действиях персонала, стихийных бедствий.
Периодически проводимые мероприятия
К периодически проводимым мероприятиям относят:
распределение реквизитов разграничения доступа (паролей, ключей шифрования и т.п.);
анализ системных журналов, принятие мер по обнаруженным нарушениям правил работы;
мероприятия по пересмотру правил разграничения доступа пользователей к информации в организации;
периодически с привлечением сторонних специалистов осуществление анализа состояния и оценки эффективности мер и применяемых средств защиты. На основе полученной в результате такого анализа информации принимать необходимые меры по совершенствованию системы защиты;
мероприятия по пересмотру состава и построения системы защиты.
Мероприятия, проводимые по необходимости
К мероприятиям, проводимым по необходимости, относят:
мероприятия, осуществляемые при кадровых изменениях в составе персонала системы;
мероприятия, осуществляемые при ремонте и модификациях оборудования и программного обеспечения (строгое санкционирование, рассмотрение и утверждение всех изменений, проверка их на удовлетворение требованиям защиты, документальное отражение изменений и т.п.);
мероприятия по подбору и расстановке кадров (проверка принимаемых на работу, обучение правилам работы с информацией, ознакомление с мерами ответственности за нарушение правил защиты, обучение, создание условий, при которых персоналу было бы невыгодно нарушать свои обязанности и т.д.)
Постоянно проводимые мероприятия
Постоянно проводимые мероприятия включают:
мероприятия по обеспечению достаточного уровня физической защиты всех компонентов КИС (противопожарная охрана, охрана помещений, пропускной режим, обеспечение сохранности и физической целостности СВТ, носителей информации и т.п.);
мероприятия по непрерывной поддержке функционирования и управлению используемыми средствами защиты;
явный и скрытый контроль за работой персонала системы;
контроль за реализацией выбранных мер зашиты в процессе проектирования, разработки, ввода в строй и функционирования КИС;
постоянно (силами отдела службы безопасности) и периодически (с привлечением сторонних специалистов) осуществляемый анализ состояния и оценка эффективности мер и применяемых средств защиты.
2.4 Перечень документов, необходимых для защиты от НСД
Для организации и обеспечения эффективного функционирования комплексной системы компьютерной безопасности должны быть разработаны следующие группы организационно-распорядительных документов:
документы, определяющие порядок и правила обеспечения безопасности информации при ее обработке в КИС (план защиты информации в КИС, план обеспечения непрерывной работы и восстановления информации);
документы, определяющие ответственность взаимодействующих организаций (субъектов) при обмене электронными документами (договор об организации обмена электронными документами).
План защиты информации в КИС должен содержать следующие сведения:
описание защищаемой системы (основные характеристики защищаемого объекта): назначение КИС, перечень решаемых КИС задач, конфигурация, характеристики и размещение технических средств и программного обеспечения, перечень категорий информации (пакетов, файлов, наборов и баз данных, в которых они содержатся), подлежащих защите в КИС и требований по обеспечению доступности, конфиденциальности, целостности этих категорий информации, список пользователей и их полномочий по доступу к ресурсам системы и т.п.;
цель защиты системы и пути обеспечения безопасности КИС и циркулирующей в ней информации;
перечень значимых угроз безопасности КИС, от которых требуется защита и наиболее вероятных путей нанесения ущерба;
основные требования к организации процесса функционирования КИС и мерам обеспечения безопасности обрабатываемой информации;
требования к условиям применения и определение зон ответственности установленных в системе технических средств защиты от НСД;
основные правила, регламентирующие деятельность персонала по вопросам обеспечения безопасности КИС (особые обязанности должностных лиц КИС).
План обеспечения непрерывной работы и восстановления информации должен отражать следующие вопросы:
цель обеспечения непрерывности процесса функционирования КИС, своевременность восстановления ее работоспособности и чем она достигается;
перечень и классификация возможных кризисных ситуаций;
требования, меры и средства обеспечения непрерывной работы и восстановления процесса обработки информации (порядок создания, хранения и использования резервных копий информации и дублирующих ресурсов и т.п.);
обязанности и порядок действий различных категорий персонала системы в кризисных ситуациях по ликвидации их последствий, минимизации наносимого ущерба и восстановлению нормального процесса функционирования системы.
Договор о порядке организации обмена электронными документами должен включать документы, в которых отражаются следующие вопросы:
разграничение ответственности субъектов, участвующих в процессах обмена электронными документами;
определение порядка подготовки, оформления, передачи, приема, проверки подлинности и целостности электронных документов;
определение порядка генерации, сертификации и распространения ключевой информации (ключей, паролей и т.п.);
определение порядка разрешения споров в случае возникновения конфликтов.
Организационные меры являются той основой, которая объединяет различные меры защиты в единую систему.
Выполнение различных мероприятий по созданию и поддержанию работоспособности системы защиты должно быть возложено на специальную службу - службу компьютерной безопасности.
Обязанности должностных лиц должны быть определены таким образом, чтобы при эффективной реализации ими своих функций, обеспечивалось разделение их полномочий и ответственности.
3. Организационно-экономическая часть
3.1 Сегментация потребителей КИС
Залогом успешного продвижения на рынке нового товара или новой услуги является всестороннее ознакомление со структурой данного рынка, от его (рынка) требований и возможностей. Исследуемая информация касается спроса и предложения конкурентов, а также ожиданий конкретных потребителей. При этом реализация направленности товара на весь рынок в целом зачастую представляется нереальной, что можно объяснить заметной неоднородностью рынка, подразумевающей различные потребности отдельных слоев потребителей. Разница в потребностях может быть вызвана различными причинами - социальными, финансовыми, географическими и многими другими. Применительно к программному обеспечению можно сказать, что различные организации и частные лица используют в своей работе различные компьютеры и на данный момент, когда существует более десятка устоявшихся компьютерных платформ, было бы не разумным пытаться охватить весь рынок целиком и поэтому рынок должен быть сегментирован, то есть поделен на однородные части-сегменты, в рамках которых потребитель имеет сходные возможности и потребности.
При разумном делении рынка на сегменты все инструменты маркетинга внутри него могут быть оптимально скоординированы. Именно поэтому сегментация рынка считается очень важным аспектом деятельности предприятия.
3.2 Методика определения сегментов рынка
При первичной сегментации рынка целесообразно выделить сегменты товаров потребительского спроса и производственного назначения. Такая классификация важна, поскольку подчеркивает различия в характеристиках продуктов и последствиях для маркетолога.
Для дальнейшего деления рынка на сегменты можно воспользоваться различными критериями в зависимости от следующих факторов:
географического положения потребителей (регион, страна);
типа потребителя (величина предприятия, интенсивность потребления, отрасль, место в производственном процессе);
типа процесса, для которого приобретается продукция (административная деятельность, движение товара, производственный процесс);
покупательского спроса (клиент/потенциальный клиент, связь с поставщиком, частота и величина закупок);
На рынках сбыта товаров широкого потребления используют другие критерии. Классическими являются следующие показатели:
социально-экономические (образования, доходы);
демографические (возраст, пол, состав семьи);
географические
Однако следует учитывать, что всех потребителей на рынке не так-то легко разделить по категориям. Поведение потребителя в последнее время становиться все более дифференцированным, возникают различные «стили жизни» внутри общества.
Для формирования сегментации рынка используются элементы таксономического анализа - построение диаграмм Чекановского [1]. Исходным шагом, предопределяющим правильность конечных результатов, является оформление матрицы наблюдений. Эта матрица содержит наиболее полную характеристику изучаемого множества объектов и имеет вид:
X=
где w - число объектов; n - число признаков; ik - значение признака k для объекта i.
Признаки, включенные в матрицу, могут быть неоднородны, поскольку описывают разные свойства объектов. Кроме того, различаются единицы их измерения. Поэтому надлежит выполнить предварительное преобразование, которое заключается в стандартизации признаков. Это преобразование производится в соответствии с формулой
причем
k = 1, 2, ..., n:
- стандартное отклонение признака k;
zik - стандартизованное значение признака k для объекта i .
После стандартизации переменных переходят к процедуре - расчету матрицы расстояний с учетом всех элементов матрицы наблюдений. Чаще всего для этого расчета используется средняя абсолютная разность значений признаков:
(r, s = 1, 2, ... , w)
Матрицу расстояний можно записать в следующем виде:
C =
Здесь символ Cij обозначает расстояние между элементами i и j.
Дальнейшее преобразование вышеприведенной матрицы заключается в том, что исчисленные расстояния разбиваются на классы по заранее установленным интервалам. Затем каждому выделенному классу присваивают условный знак: если элемент принадлежит интервалу - “X”, иначе “-”. Преобразованная таким образом таблица называется неупорядоченной диаграммой Чекановского (табл. 1).
Таблица 1
|
1 |
2 |
W |
|||
|
1 |
X |
- |
X |
- |
|
|
2 |
- |
- |
- |
X |
|
|
… |
… |
… |
… |
… |
|
|
W |
- |
X |
- |
X |
В приведенной неупорядоченной диаграмме очередность записи случайна. На это указывает явственный разброс символов, обозначающих разницу между изучаемыми элементами: наименьшее численное расстояние - “”; наибольшее расстояние, т.е. пары элементов, наиболее разнящиеся между собой, - “-”. Для их линейного упорядочения следует произвести перегруппировку знаков “” и “-”. Перегруппировка должна выполняться таким образом, чтобы знаки “X” оказались как можно ближе к главной диагонали диаграммы. С этой целью строки и столбцы таблицы переставляются до тех пор, пока не получится упорядоченная диаграмма.
3.3 Поиск сегментов рынка для корпоративной информационной системы
Рынок данной системы достаточно узок и специализирован. То же самое можно сказать о многих корпоративных информационных системах. Система предназначена для облегчения и автоматизации ведения учета на крупных предприятиях и в рамках корпорации. Учет может включать в себя как чисто бухгалтерский, так и управленческий и кадровый.
Для проведения сегментации можно выделить следующие группы потенциальных потребителей систем подобного уровня:
Средние и крупные промышленные предприятия;
Средние и крупные коммерческие фирмы;
Торговые дома и крупные магазины;
Средние и круные оптовые торговцы;
Финансовые структуры;
Теперь рассмотрим характеристики данного программного обеспечения:
Распространенность аппаратно-программной платформы;
Удобный интерфейс;
Архитектура клиент-сервер;
Цена.
Теперь составим таблицу наблюдений, оценив в баллах каждый признак для каждого потребителя по десятибалльной шкале.
|
Параметры/Потребители |
Платформа |
Интерфейс |
Архитектура |
Цена |
|
|
Промышленные предприятия |
1 |
3 |
10 |
1 |
|
|
Коммерческие фирмы |
6 |
5 |
8 |
4 |
|
|
Торговые дома и крупные магазины |
10 |
10 |
8 |
9 |
|
|
Оптовые торговцы |
5 |
6 |
10 |
8 |
|
|
Финансовые структуры |
10 |
9 |
9 |
10 |
X=
Рассчитываем матрицу расстояний с учетом всех элементов матрицы наблюдений:
;
; ;
; ;
; ;
;
Итак, мы получили матрицу расстояний:
С=
Для получения неупорядоченной диаграммы Чекановского разбиваем полученные значения на классы по правилу: если элемент меньше 2.5, то на его место ставится “X”, иначе ничего не ставим.
|
1 |
2 |
3 |
4 |
5 |
||
|
1 |
X |
|||||
|
2 |
X |
X |
||||
|
3 |
X |
X |
||||
|
4 |
X |
X |
||||
|
5 |
X |
X |
Проведя перегруппировку столбцов и строк путем перестановки сначала 3-го и 4-го столбцов, а затем таких же строчек, получаем упорядоченную диаграмму Чекановского:
|
1 |
2 |
4 |
3 |
5 |
||
|
1 |
X |
|||||
|
2 |
X |
X |
||||
|
4 |
X |
X |
||||
|
3 |
X |
X |
||||
|
5 |
X |
X |
В результате мы выделили два сегмента - в одном из них располагаются потребители 2 и 4, в другом - 3 и 5.
Сегментация рынка привела к следующим результатам - были выделены два сегмента:
Средние и крупные коммерческие фирмы и оптовые торговцы;
Торговые дома и финансовые структуры.
Для первой группы более архитектура клиент-сервер, позволяющая иметь разветвленную сеть филиалов, связанных единым информационным центром.
Для второй группы более важными оказываются цена, удобство интерфейса, а также доступность и распространенность программно-аппаратной платформы - в то время как крупные и средние фирмы могут позволить себе установку суперкомпьютеров, которые обычно применяются в качестве хранилищ данных, для мелких мало-бюджетных организаций возможность использования имеющегося парка машин класса IBM PC с установленными на них операционными системами Windows NT или Windows'95, является хорошим стимулом для приобретения данного программного продукта.
4. Производственная и экологическая безопасность
4.1 Обеспечение комфортных условий при работе с ПЭВМ
На современном этапе создание новой техники ставит задачу не только облегчить труд человека, но и привести к изменению его роли и места в производственном процессе. В условиях технического прогресса увеличивается количество объектов, которыми он должен управлять, возрастают скорости управляемых им процессов, широкое применение получает дистанционное управление. Технический прогресс в машиностроении связан с внедрением автоматических линий, станков с программным управлением и кибернетических устройств. В связи с этим возрастает роль охраны труда, призванной не только облегчить труд человека, но и сделать условия труда комфортными. При рассмотрении вопросов охраны труда большое внимание уделяется производственному освещению, оздоровлению воздушной среды, защите от шума, электробезопасности, пожарной безопасности и др.
4.2 Психофизиологические опасные и вредные производственные факторы
Психофизиологические факторы в зависимости от характера действия делятся на следующие группы: физические перегрузки (статические, динамические) и нервно-психические перегрузки (умственное перенапряжение, перенапряжение анализаторов, монотонность труда, эмоциональные перегрузки).
Монотонность или монотония - психическое состояние человека, вызванное однообразием восприятий или действий.
Под утомлением понимается процесс понижения работоспособности, временный упадок сил, возникающий при выполнении определенной физической или умственной работы.
Для уменьшения влияния этих факторов необходимо применять оптимальные режимы труда и отдыха в течении рабочего дня:
- общее время работы за дисплеем не должно превышать 50% всего рабочего времени программиста;
- при обычной работе за компьютером необходимо делать 15-минутные перерывы через каждые два часа, а при интенсивной работе - через каждый час;
- не следует превышать темп работы порядка 10 тысяч нажатий клавиш в час (примерно 1500 слов);
- обязательно ставить на дисплеи экранные, в частности, поляризационные, фильтры, в несколько раз снижающие утомляемость глаз;
Рабочая поза оказывает значительное влияние на эффективность работы человека. Основные требования к рабочим местам при выполнении работы сидя приведены в ГОСТ 12.2.033-78 "ССБТ. Рабочее место при выполнении работ сидя. Общие эргономические требования".
При организации рабочего места программиста необходимо придерживаться следующих рекомендаций:
- рабочее место должно быть оборудовано так, чтобы исключать неудобные позы и длительные статические напряжения тела;
- поскольку найти такое идеальное положение для тела, в котором можно было бы пребывать в течении всего дня, вряд ли возможно, для большинства людей комфортабельным может быть рабочее место, которое можно приспособить, как минимум, для двух позиций (при этом положение оборудования должно соответствовать выполняемой работе и привычкам пользователя).
К обслуживанию и работе на ЭВМ допускаются лица прошедшие медосмотр при поступлении на работу. Последующий медосмотр проводится раз в два года.
4.3 Требования к производственному освещению
Правильно спроектированное и выполненное производственное освещение обеспечивает возможность нормальной производственной деятельности. Сохранность зрения человека, состояние его центральной нервной системы и безопасность на производстве в значительной мере зависят от условий освещения.
Производственное освещение должно удовлетворять следующим требованиям:
Освещенность должна соответствовать характеру труда, который определяется объектом различия, фоном, контрастом объекта с фоном.
Необходимо обеспечить достаточно равномерное распределение яркости на рабочей поверхности, а также в пределах окружающего пространства. Светлая окраска потолка, стен и производственного оборудования способствует созданию равномерного распределения яркости в поле зрения.
На рабочей поверхности должны отсутствовать резкие тени. Особенно вредны движущиеся тени, которые могут привести к травмам. Тени необходимо смягчать, применяя, например, светильники со светорассеивающими молочными стеклами. На окнах необходимо предусматривать солнцезащитные устройства (например жалюзи).
В поле зрения должна отсутствовать блескость. Блескость - повышенная яркость светящихся поверхностей, вызывающая нарушение зрительных функций (ослепленность), т.е. ухудшение видимости объектов. Блескость снижают уменьшением яркости источника света или выбором рациональных углов светильника.
Величина освещенности должна быть постоянной во времени. Колебания освещенности, вызванное резким изменением напряжения в сети, приводят к значительному утомлению. Пульсация освещенности связана также с особенностями работы газоразрядной лампы. Снижение коэффициента пульсации с 55 до 5% (при трехфазном включении) приводит к повышению производительности труда на 15%.
Следует выбирать оптимальную направленность светового потока. Наибольшая видимость достигается при падении света под углом 60 градусов к его нормали, а наихудшая при нуле градусов.
Следует выбирать необходимый состав спектра освещения. Это существенно при работах, где требуется правильная цветопередача.
Все элементы осветительных установок должны быть достаточно долговечными, электро- и взрыво- безопасными.
Обеспечение этого условия достигается применением зануления или заземления, ограничением напряжения для питания местных или переносных светильников до 42 вольт и ниже.
Анализируя условия работы программиста получаем следующие требования к производственному освещению:
- наименьшая допустимая освещенность от общего oсвещения составляет 300 лк;
- при работе за компьютером желательно, чтобы освещенность рабочего места не превышала 2/3 нормальной освещенности помещения;
- экран дисплея не должен быть ориентирован в сторону источников света (окон, настольных ламп и т.п.);
при размещении рабочего места рядом с окном угол между экраном дисплея и плоскостью окна должен составлять не менее 90 градусов (для исключения бликов), прилегающую часть окна желательно зашторить;
- не следует располагать дисплей непосредственно под источником освещения или вплотную с ним;
- стена позади дисплея должна быть освещена примерно так же, как и его экран;
- яркость для блестящих поверхностей более 0.2 кв.м не должна превышать 500 кд/кв.м;
- показатель ослепленности не должен превышать 40 единиц;
- коэффициент пульсаций 10 20 %.
4.4 Защита от излучений
Основным источником эргономических проблем, связанных с охраной здоровья людей, использующих в своей работе персональные компьютеры, являются дисплеи (мониторы), особенно дисплеи с электронно-лучевыми трубками. Они представляют собой источники наиболее вредных излучений, неблагоприятно влияющих на здоровье операторов.
. Частотный состав (спектр) излучения монитора характеризуется наличием рентгеновских, ультрафиолетовых, инфракрасных и других электромагнитных колебаний. Опасность рентгеновского и части других излучений большинством ученых признается пренебрежимо малой, поскольку их уровень достаточно невелик и в основном поглощается покрытием экрана. Наиболее тяжелая ситуация связана, по-видимому, с полями излучений очень низких частот (ОНЧ) и крайне низких частот (КНЧ), которые, как выяснилось, способны вызывать биологические эффекты при воздействии на живые организмы. Было обнаружено, что электромагнитные поля с частотой порядка 60 Гц могут инициировать изменения в клетках животных (вплоть до нарушения синтеза ДНК). Особенно поразительным для исследователей оказался тот факт, что, в отличие, например, от рентгеновского излучения, электромагнитные волны обладают необычным свойством: опасность их воздействия при снижении интенсивности излучения не уменьшается, мало того, некоторые поля действуют на клетки тела только при малых интенсивностях или на конкретных частотах.
Специальные измерения показали, что мониторы действительно излучают магнитные волны, по интенсивности не уступающие уровням магнитных полей, способных обусловливать возникновение опухолей у людей.
Как это ни странно, но до сих пор нет нормативов для излучений КНЧ-магнитных полей, хотя в некоторых странах (в том числе в Швеции и Канаде) разработаны стандарты для излучений ОНЧ-магнитных полей. Большое число поставщиков - например, фирмы IBM, DEC и Philips - продают мониторы, удовлетворяющие указанным стандартам. Кроме того, любой монитор, работающий не на ЭЛТ, имеет то преимущество, что не излучает переменных компонент, связанных с наличием систем вертикального и горизонтального отклонения электронного луча.
Пользователям персональных компьютеров, желающим снизить уровень облучения переменными магнитными полями, следует расположить мониторы так, чтобы расстояние до них составляло величину, равную расстоянию вытянутой руки (с вытянутыми пальцами). Поскольку магнитные поля сзади и по бокам большинства мониторов значительно сильнее, чем перед экраном, пользователи должны располагать свои рабочие места на расстоянии не менее 1.22 м от боковых и задних стенок других компьютеров. Следует иметь в виду, что магнитное излучение ни чем не задерживается.
4.5 Электробезопасность
Электроэнергия получила широкое применение во всех отраслях промышленности. С электроэнергией связаны в той или иной степени все работающие. .при неумелом обращении или несоблюдении установленных требований электрический ток представляет серьезную опасность.
С применением персональных ЭВМ эта проблема встает особенно остро, поскольку систему электропитания нужно проложить по всему помещению, где расположены ПЭВМ.
Действующими правилами устройства электроустановок все помещения подразделены на три класса:
Помещения без повышенной опасности: сухие, с нормальной температурой воздуха, с токонепроводящими полами.
Помещения с повышенной опасностью: сырые с относительной влажностью воздуха ( длительной ) более 75%, жаркие с температурой воздуха, длительно превышающей +30 градусов по Цельсию, с полами из токопроводящих материалов; с большим количеством выделяющейся токопроводящей технологической пыли, оседающей на проводах и проникающей внутрь электроустановок; с размещением электроустановок с металлическими корпусами, имеющих соединения с землей, металлоконструкций зданий и технологического оборудования, допускающих одновременное соприкосновение с ними.
Помещения особо опасные; особо сырые с относительной влажностью воздуха близкой к 100%, с химически активной средой, одновременно наличием двух или более условий, свойственных помещениям с повышенной безопасностью.
Помещение, в котором будет эксплуатироваться система, относится к первому классу по опасности поражения электрическим током.
ГОСТ 12.4.011-75 в разделе ` Средства коллективной защиты ` определяет следующий перечень основных видов средств защиты от поражения электрическим током: устройства оградительные, автоматического контроля и сигнализации, защитного заземления и зануления, автоматического отключения, выравнивания потенциалов и понижения напряжения, дистанционного управления; изолирующие устройства и покрытия; предохранительные устройства; молниеотводы и разрядники; знаки безопасности.
ГОСТ 12.2.007-75 устанавливает требования безопасности, предотвращающие или уменьшающие до допустимого уровня воздействие на человека электрического тока; электрической искры или дуги; движущихся частей изделия; частей изделия, нагревающихся до высоких температур; опасных и вредных веществ, выделяющихся при эксплуатации.
Рассмотрим основные средства защиты от поражения электрическим током.
Защитное заземление - это преднамеренное электрическое соединение с землей или ее эквивалентом металлических нетоковедущих частей электрического и технологического оборудования, которые могут оказаться под напряжением.
Защитное заземление является простым , эффективным и широко распространенным способом защиты человека от поражения электрическим током при прикосновении к металлическим поверхностям, оказавшимся под напряжением. Обеспечивается это снижением напряжения между оборудованием, оказавшимся под напряжением, и землей до безопасной величины.
Зануление является одним из средств, обеспечивающих безопасную эксплуатацию электроустановок. Оно выполняется присоединением к неоднократно заземленному нулевому проводу корпусов и других конструктивных металлических частей электрооборудования, которые нормально не находятся под напряжением, но могут оказаться под ним при повреждении изоляции.
Зануление, как и защитное заземление, предназначено для устранения опасности поражения людей электрическим током. Обеспечение комфортных условий при работе с ПЭВМ при пробое изоляции и переходе напряжения на корпус. Но выполняется эта задача другим способом - автоматическим отключением оборудования поврежденной установки от сети.
Защитное отключение выполняется в дополнение или взамен заземления. Отключение осуществляется автоматами. Защитное отключение рекомендуется в тех случаях, когда безопасность не может быть обеспечена путем устройства заземления или когда его трудно выполнить.
Защитное отключение обеспечивает быстрое - не более 0.2 с - автоматическое отключение установки от питающей сети при возникновении в ней опасности поражения током.
Изоляция имеет важное значение в электроустановках, она защищает их от чрезмерной утечки токов, предохраняет людей от поражения током и исключает возникновение пожаров.
Правилами устройства электроустановок определено, что сопротивление изоляции сети на участке между двумя смежными предохранителями между любыми проводами должно быть не более 0.5 МОм.
Проводка в производственных помещениях выполняется изолированными проводами или кабелями, которые в местах, где возможны их механические повреждения, укладываются в металлические трубы.
4.6 Санитарно-профилактические мероприятия и расчет воздухообмена
Учитывая характер работ климатические условия в помещении должны быть:
температура 20-25 градусов Цельсия;
влажность воздуха 40-60%.
Реально условия могут поддерживаться только кондиционером. Кондиционирование воздуха создает и автоматически поддерживает внутри помещения независимо от наружных метеоусловий заданную температуру, относительную влажность и скорость движения воздуха. Кондиционеры автономные общего назначения обеспечивают автоматическое регулирование воздуха в помещениях от 18 до 28 градусов Цельсия с точностью до одного градуса. Изготавливают кондиционеры с регулированием относительной влажности от 30 до 10%.
Одним из основных параметров по оптимизации микроклимата и состава воздуха в помещении является обеспечение надлежащего воздухообмена.
Санитарными нормами установлено, что объем производственных помещений на одного работающего должен составлять не менее 15 кубометров, а площадь помещения не менее 4.5 кв.м.
В производственных помещениях объемом до 20 кубометров на одного работающего при отсутствии загрязнения воздуха производственными вредностями вентиляция должна обеспечивать подачу наружного воздуха в количестве не менее 30 куб.м./час на одного работника, а в помещениях объемом 20 кубометров на одного работающего - не менее 20 куб.м./час. Во всех указанных случаях при этом должны быть выдержаны нормы по температуре и влажности воздуха.
Помещение, где будет эксплуатироваться система, имеет площадь 24.5 кв.м. и объем 81 кубометр. Учитывая вышеприведенные требования найдем допустимое количество одновременно работающих человек N.
а) N < 24.5/4.5 = 5.5
б) N < 81/15 = 5.4
Получаем, что для выполнения указанных требований в данном помещении могут работать не более пяти человек.
Расчет воздухообмена
Исходные данные:
Норма температуры в рабочей зоне для помещений, характеризуемых избытком [ >23 Вт/м 3] теплоты для легкой работы t = 20-22 o C;
Объем помещения : 81 кубометр.
Количество компьютеров в помещении К = 2;
Мощность, выделяемая аппаратурой:
Монитор150 Вт
ЭВМ IBM PC\AT250 Вт
итого W = 400 Вт.
Количество работающих: 5.
При расчете будем исходить из требований санитарно - профилактических норм, предъявляемых к помещениям типа дисплейного класса:
Для одного человека необходимо L = 30м3/ч воздуха. Для удаления тепла, выделенного аппаратурой, тоже необходим воздухообмен.
Для расчета будем использовать следующую формулу:
L = Qя / ( p * c * ( tух - tпр ) )
где Qя-явно выделяемое тепло в помещении в Дж/ч;
p-плотность воздуха - 1, 2 кг/м3;
c-теплоемкость воздуха - 1 кДж/кг;
tух-температура воздуха, уходящего из помещения;
tпр-температура воздуха, подаваемого в помещение;
tух обычно определяется по формуле:
tух = tрз + (H-L)
где tрз -температура в рабочей зоне;
H-высота от пола до центра вытяжного отверстия;
t-температурный градиент (0.5-1.5о С/м);
L-высота от пола до рабочей зоны.
Найдем явно выделяющееся избыточное тепло:
Qя = W*t*K = 400Вт*1час*5 = 2000 кДж
температура удаляемого воздуха
tух = 22оС + 1, 5*(2, 5 - 1) = 24.3оС
Пусть t поступающего воздуха tп = 20оС
Тогда
L = 2000 кДж / ( 1.2*1*( 24.3-20 )) = 390 м3/ч
Таким образом получаем, что система воздухообмена должна обеспечивать собственную производительность 390 м3/ч для поддержания нормального микроклимата при обеспечении кондиционером температуры поступающего воздуха не более 20оС.
4.7 Методы очистки воздуха
Концентрация вредных веществ, содержащихся в промышленных выбросах, определяет оптимальные решения по охране атмосферы: высококонцентрированные выбросы направляются в аппараты газопылеулавливания для последующей утилизации; низкоконцентрированные - подвергаются окислению или рассеиванию в атмосфере через трубы той или иной высоты, поскольку современный уровень техники не может обеспечить их экономичное и эффективное обогащение с последующей очисткой.
Выбор метода очистки вентиляционных выбросов определяется их составом, количеством и агрегатным состоянием вредных веществ, а также требованиями, предъявляемыми к вторичным продуктам. Вентиляционные выбросы в атмосферу могут представлять собой гетерогенные системы: газ - твердое вещество и газ - жидкость, а также гомогенную систему газ - газ.
В нашем случае источниками загрязнения является пыль, содержащаяся в воздухе. Отсюда можно сделать вывод , что вентиляционные выбросы представляют собой гетерогенную систему, которая в первую очередь подвергается разделению методами отстаивания и фильтрования.
Отстаивание. Метод основан на разделении системы Г - Т под действием сил тяжести и применяется в основном для отделения взвешенных грубо- и мелкодисперсионных примесей.
Фильтрование. Метод основан на разделении систем Г-Т с помощью пористого материала (ткань, бумага, сетки, полимерные пленки и металлокерамика и т.д.) и применяется для отделения взвешенных частиц на поверхности фильтрующих материалов под действием сил прилипания. Степень очистки зависит от размеров частиц, их концентрации и их свойств.
Для разделения системы Г-Т используют пористые, тканевые и зернистые фильтры. Очистку от крупнодисперсной пыли проводят в фильтрах, заполненных коксом, песком, гравием и т.п. Бумажные и тканевые фильтры используют для очистки газов с низким содержанием пыли. Тканевые фильтры на основе шерсти и хлопка используются до температуры 100oС, а на основе полимеров - до 250oС. Фильтры из металлокерамики применяются для газов с температурой до 500oС.
С целью увеличения степени очистки газов в них вводят жидкость, обрабатывают в ультразвуковом или электромагнитном поле. В результате очистки образуются газ и твердые продукты. уловленные продукты в зависимости от состава очищаемого газа либо используются вторично в производстве, либо подлежат дополнительной обработке.
Заключение
В результате работы над системой безопасности и аудита были решены следующие задачи:
Разработана технология организации безопасной КИС.
Разработана структура и осуществлена реализация системы безопасности в рамках корпоративной информационной системы.
Разработаны процедуры, функции и триггеры для обеспечения работы системы на уровне СУБД.
Разработаны классы для Centura, осуществляющие вызов соответствующих процедур и функций PL/SQL и обеспечивающие прозрачный слой между пользователем и базой данных.
При работе над системой был получен опыт написания хранимых процедур, функций и триггеров PL/SQL, а также всевозможных программных ресурсов, предосталяемых операционной системой Windows NT.
Следует заметить, что разработанная система безопасности и аудита на уровне идеи, а не реализации, может быть применена и в других аналогичного класса задач. Однако, применение подобной системы для задач, требующих очень большого числа одновременно работабщих пользователей (таких, как Интернет-проекты), может привести к неоправданным задержкам. В этом случае следует упростить эту систему до уровня, приемлемого для подобных задач.
Список литературы
Безопасность баз данных [А. Саймон, СУБД №1 1197]
Безопасность компьютерных систем [Константин Пьянзин, LAN № 8 1997]
Информационная безопасность [Владимир Галатенко, АО "Инфосистемы Джет" Vladimir.Galatenko@jet.msk.su, Открытые Системы № 5 1995]
Информационная безопасность [В.А. Галатенко АО "Инфосистемы Джет" Vladimir.Galatenko@jet.msk.su, Открытые Системы № 4 1995]
Информационная безопасность [В. Галатенко АО "Инфосистемы Джет" Vladimir.Galatenko@jet.msk.su, Открытые Системы № 6 1995]
Информационная безопасность [В. Галатенко, Открытые Системы № 1 1996]
Информационная безопасность систем управления базами данных [Н.И.Вьюкова, В.А.Галатенко, СУБД № 1 1996]
Как обеспечить информационную безопасность предприятия [Уинн Швартау, Сети № 4 1997]
Castano S., Fugini M., Martella G., Samarati P. Database Security, Addison-Wesley, 1995г
Федеральный Закон "Об информации, информатизации и защите информации". - "Российская газета", 22 февраля, 1995
Singh, Leigh, Zafian, et al., Oracle 7.3 Developer's Guide, SAMS Publishing, Indianapolis, 1997
Ф. Котлер. Основы маркетинга, М., 1996
Приложение
Примеры процедур и функций PL/SQL, предназначенных для обеспечения работы системы безопасности
--Created:30.05.99
--Author : Тарабрин Б.К.
--Theme: Набор тригеров на таблицу sisbrlparval
CREATE OR REPLACE PACKAGE dtasisbrlparval AS
/*
Пакет содержит структуры, процедуры и функции, необходимые
Подобные документы
Предпосылки создания системы безопасности персональных данных. Угрозы информационной безопасности. Источники несанкционированного доступа в ИСПДн. Устройство информационных систем персональных данных. Средства защиты информации. Политика безопасности.
курсовая работа [319,1 K], добавлен 07.10.2016Система формирования режима информационной безопасности. Задачи информационной безопасности общества. Средства защиты информации: основные методы и системы. Защита информации в компьютерных сетях. Положения важнейших законодательных актов России.
реферат [51,5 K], добавлен 20.01.2014Реализация базы данных и серверной части информационной системы склада средствами СУБД Microsoft SQL Server. Анализ предметной области, информационных задач, пользовательской системы. Программа реализации проекта. Выработка требований и ограничений.
курсовая работа [2,4 M], добавлен 15.11.2015Понятие, значение и направления информационной безопасности. Системный подход к организации информационной безопасности, защита информации от несанкционированного доступа. Средства защиты информации. Методы и системы информационной безопасности.
реферат [30,0 K], добавлен 15.11.2011Анализ рисков информационной безопасности. Оценка существующих и планируемых средств защиты. Комплекс организационных мер обеспечения информационной безопасности и защиты информации предприятия. Контрольный пример реализации проекта и его описание.
дипломная работа [4,5 M], добавлен 19.12.2012Определение автоматизированных информационных систем. Обоснование выбора среды разработки информационной системы. Создание запросов для выбора информации. Логическая и физическая структура реляционной базы данных. Разработка интерфейса пользователя.
курсовая работа [2,1 M], добавлен 16.04.2017Нормативно-правовые документы в сфере информационной безопасности в России. Анализ угроз информационных систем. Характеристика организации системы защиты персональных данных клиники. Внедрение системы аутентификации с использованием электронных ключей.
дипломная работа [2,5 M], добавлен 31.10.2016Исследование системы безопасности предприятия ООО "Информационное партнерство". Организационная структура компании, направления обеспечения информационной безопасности. Используемые средства защиты; методы нейтрализации и устранения основных угроз.
курсовая работа [149,1 K], добавлен 18.08.2014Особенности информационной безопасности банков. Человеческий фактор в обеспечении информационной безопасности. Утечка информации, основные причины нарушений. Комбинация различных программно-аппаратных средств. Механизмы обеспечения целостности данных.
контрольная работа [22,3 K], добавлен 16.10.2013Основные принципы и условия обеспечения информационной безопасности. Защита информации от несанкционированного и преднамеренного воздействия, от утечки, разглашения и иностранной разведки. Цели, задачи и принципы системы ИБ. Понятие политики безопасности.
презентация [118,4 K], добавлен 19.01.2014
