Note explicative de l'exemple de projet technique. Note explicative au projet technique selon GOST. Modes de fonctionnement du système

Un exemple de "Note explicative" (P2 sur), développé pour un système automatisé de mesure et d'information pour le comptage d'électricité commercial (AIIS KUE) conformément à k, et document. par je. Edition du 20/06/2018.

Note explicative (P2 selon GOST 34.201-89) du système automatisé de mesure et d'information pour le comptage d'électricité commercial (AIIS KUE) (exemple)

Créé le 25/03/2014 11:48:18

Attention! Les pré-requis techniques du marché de gros de l'électricité (WEM), dont les références aux points sont contenues dans les exemples de documents pour les systèmes automatisés de mesure et d'information pour le comptage commercial de l'électricité (AIIS KUE), changent assez souvent, mais pas par nous, mais par l'administrateur du système commercial (ATS). Veuillez traiter cela avec compréhension.

Tous les documents combat, qui en ont réussi de nombreux, y compris des examens à l'Entreprise unitaire fédérale "Institut panrusse de recherche pour la normalisation et la certification en génie mécanique" (VNIIMASH) de ROSSTANDART, il n'y a donc aucun doute.

Pour obtenir libre une version abrégée de n'importe quel *.pdf suffit pour cliquer sur la page de titre. Le document s'ouvrira dans le navigateur avec l'option de. Versions complètes documents - payants, ils peuvent être obtenus dans le format pour un certain montant, en utilisant. Tout document peut être finalisé pour les besoins spécifiques du client pendant un certain temps. Les termes sont en cours de discussion.

27.10.2016 09:57:23

Cet article traite de l'étape de conception technique liée à l'une des étapes du cycle de vie du système la sécurité des informations(NIB) - la phase "conception", qui, conformément à norme nationale GOST 34.601-90 suit immédiatement le développement des termes de référence pour un système de sécurité de l'information.

1. Développement de la documentation technique du projet pour NIB

Le cycle de vie d'un système de sécurité de l'information (ci-après - SIS) dans vue générale se compose des étapes suivantes :

• analyse des besoins pour l'ISS ;
• motif;
• la mise en oeuvre;
• la mise en oeuvre;
• exploitation.

Cet article traite de l'étape du projet technique liée à l'étape de "conception" et, conformément à la norme nationale GOST 34.601-90, suit immédiatement l'élaboration des termes de référence du système de sécurité de l'information.

1.1. Pourquoi développer une documentation pour NIB ?

La réponse à cette question doit être envisagée sur deux plans : dans le plan du propriétaire ressources d'information(pour la protection duquel le NIS est créé) et dans le plan du développeur direct du NIS.

Pour le propriétaire des ressources d'information, il est important d'obtenir le résultat sous la forme d'un système de sécurité de l'information fonctionnel qui réduit les risques de compromettre les informations à accès restreint dans l'organisation. Le projet technique dans ce cas sert à développer les bases fondamentales du futur système, à savoir, il comprend une description de la façon dont la SSI sera construite et fonctionnera, quelles mesures et moyens assureront la protection des informations, quelles sont les possibilités de développement et l'amélioration du système. À la fin du développement d'un projet technique pour un système de sécurité de l'information, le client reçoit un ensemble complet de documentation pour le NIS, qui décrit toutes les nuances techniques du futur système.

Pour l'exécuteur direct au stade du projet technique, il est nécessaire de définir l'architecture du SNI la plus appropriée, ainsi que de faire bon choix mesures et moyens de protection des informations dans l'organisation. Il est également important de s'assurer que les caractéristiques et propriétés du système sont conformes aux termes de référence, ou de justifier, avec la participation et le consentement du Client, l'ajustement des exigences spécifiées dans les TDR afin d'augmenter l'efficacité de le système en cours de création.

Ainsi, à la suite de l'élaboration de la documentation technique du projet, le Client aura des réponses aux questions suivantes :

• quelle est l'architecture générale du NIB ;
• quelles mesures et quels moyens seront utilisés pour mettre en œuvre les exigences en matière de protection des informations ;
• comment le NIS fonctionnera ;
• quels changements dans l'organisation, nécessaires pour augmenter le niveau de sécurité de l'information, découleront de l'introduction de l'ISS ;
• si les exigences du Client (exigences commerciales) et les exigences des actes juridiques réglementaires dans le domaine de la sécurité de l'information seront prises en compte dans le développement et la mise en œuvre de l'ISS et, si oui, comment.

L'entrepreneur en cours d'élaboration de la documentation technique du projet recevra les résultats suivants :

• la base de la transition vers les étapes suivantes de la construction du SNI, à savoir les étapes de documentation de travail et de mise en œuvre ;
• compréhension de l'architecture, des technologies et des outils utilisés, de l'ordre de construction du système ;
• comment les exigences du client (exigences métier) et les documents réglementaires dans le domaine de la sécurité de l'information pour le système sont mis en œuvre.

1.2. Aperçu des approches d'élaboration de la documentation technique du projet

Le développement d'un projet technique pour un système de sécurité de l'information est le plus souvent réalisé sur la base de normes et de documents d'orientation pertinents. Et pour institutions publiques leur utilisation est obligatoire, et à des fins commerciales, il est recommandé. En pratique organisations commerciales utilisez également les normes de l'État lors de l'élaboration de la documentation technique du projet pour les raisons suivantes :

• approche éprouvée à plusieurs reprises pour la création de systèmes d'information;
• structure et contenu réfléchis des documents;
• un ensemble de documents suffisant pour le développement et la description de presque n'importe quel système.

Pour l'élaboration de la documentation pour l'étape du projet technique (TP) sur le NIB, les normes d'État et les documents d'orientation de la série 34 sont utilisés:

• GOST 34.201-89 "Types, exhaustivité et désignation des documents lors de la création de systèmes automatisés." Cette norme spécifie :
  • types et noms des documents de l'étape TP ;
  • exhaustivité de la documentation;
  • désignations de documents acceptées ;
  • règles de désignation des NIB et de leurs parties.
• GOST 34.003-90 "Termes et définitions" ;
• GOST 34.601-90 «Systèmes automatisés. Étapes de la création. La norme précise :
  • liste des étapes de travail réalisées au stade TP;
  • Description détaillée les travaux réalisés au stade TP ;
  • liste des organisations participant à la création du SNI ;
• RD 50-34.698-90 « Systèmes automatisés. Exigences relatives au contenu des documents. Ce document d'orientation précise les exigences relatives au contenu des documents de l'étape de l'AT.

Il est important de comprendre que selon les normes de la série 34, un projet technique est une étape dans la création d'un système, et pas seulement un ensemble de documents. Cette étape dans la pratique est souvent combinée avec l'étape projet de conception, qui sert à développer plusieurs solutions préliminaires et à justifier la plus appropriée. Une telle combinaison est autorisée par la norme, mais il faut garder à l'esprit que cela ne nie pas la nécessité d'atteindre les objectifs de la phase de conception préliminaire.

Le plus souvent, l'étape de conception du projet est développée lorsque les exigences des spécifications techniques du système peuvent être mises en œuvre de plusieurs manières fondamentalement différentes, et également s'il n'y a pas de méthodes préférées sans ambiguïté parmi ces méthodes.

Cependant, il convient de noter que les normes ci-dessus sont trop générales et mettent principalement en œuvre une conception et une fonction structurelle générale. Pour développer la partie substantielle des documents de l'étape de conception technique, les concepteurs utilisent des informations provenant des sources suivantes :

Documents réglementaires en vigueur (NLA) qui réglementent les exigences de protection de telle ou telle information d'accès limité. Ces RLA présentent les exigences relatives aux mesures de protection des informations dans les systèmes d'information, décrivent les nuances de la mise en œuvre de ces mesures et des mesures de renforcement supplémentaires. Parmi les APM en vigueur, on distingue :

• ordonnance du FSTEC de Russie du 18 février 2013 n ° 21 «portant approbation de la composition et du contenu des mesures organisationnelles et techniques visant à assurer la sécurité des données personnelles lorsqu'elles sont traitées dans des systèmes d'information sur les données personnelles»;
• ordonnance du FSTEC de Russie du 11 février 2013 n ° 17 "portant approbation des exigences relatives à la protection des informations qui ne sont pas un secret d'État contenues dans les systèmes d'information de l'État"
• ordonnance du FSTEC de Russie du 14 mars 2014 n ° 31 «Sur l'approbation des exigences visant à assurer la protection des informations dans systèmes automatisés fabrication et procédés technologiques sur critique objets importants, des objets potentiellement dangereux, ainsi que des objets qui présentent un danger accru pour la vie et la santé des personnes et pour l'environnement environnement naturel;
• document méthodologique "Mesures de protection de l'information dans les systèmes d'information de l'État", approuvé par le FSTEC de Russie le 11 février 2014

Les exigences de protection des informations à accès restreint et les listes de mesures de protection varient pour les SI de différents niveaux/classes de sécurité. Si les informations de l'organisation n'appartiennent pas à la personne protégée conformément à Lois fédérales RF (par exemple, un secret officiel), alors le propriétaire de ces informations peut utiliser les approches proposées dans ces actes juridiques pour construire un SSI d'entreprise.

Normes russes et étrangères décrivant différentes approches aux modalités de mise en œuvre des étapes du cycle de vie de la construction du SNI, y compris les étapes du projet technique :

• une série de normes d'état GOST R ISO / IEC 2700X, identiques normes internationales ISO/CEI 2700X. Ces normes décrivent approche processus PDCA (Plan, Do, Check, Act) à la mise en œuvre du cycle de vie du système de management de la sécurité de l'information, qui fait partie intégrante du SSI ;
• NIST SP 800-64 est une norme du National Institute of Standards and Technology des États-Unis qui décrit cycle de la vie développement de systèmes d'information;
• NIST SP 800-37 est une norme du National Institute of Standards and Technology des États-Unis qui fournit des conseils sur l'intégration de la gestion des risques dans le cycle de vie du développement des systèmes d'information.

Documentation opérationnelle du fabricant pour les équipements de sécurité de l'information et les équipements auxiliaires. Ces documents contiennent des informations techniques complètes sur les outils utilisés dans la construction de l'ISS, y compris ceux qui ne sont pas directement liés à la mise en œuvre des mesures IS, par exemple, les serveurs, les systèmes de stockage de données, les outils de virtualisation et autres. L'ensemble général de ces documents pour différents fabricants est différent et dépend, entre autres, de l'exécution d'un outil particulier (matériel/logiciel). Vous trouverez ci-dessous un ensemble standard de documentation opérationnelle pour les outils de sécurité de l'information utilisés pour développer des documents pour l'étape de projet technique :

• description générale (fiche technique);
• guide de l'administrateur (peut inclure des informations locales et gestion centralisée);
• Manuel d'utilisation;
• guide d'installation et de déploiement rapide (pour le matériel SIG);
• Manuel de l'opérateur;
• guide de déploiement de l'infrastructure virtuelle (pour logiciel SIG);

Informations générales sur les architectures NIS disponibles, meilleures pratiques en termes de construction du NIS, conseils sur la sécurité et l'intégration des systèmes de sécurité de l'information entre eux, informations sur les problèmes d'interaction de divers systèmes de sécurité de l'information. Des exemples de telles informations peuvent inclure les documents suivants :

• guides d'architecture des systèmes de sécurité de l'information, par exemple : Defense-in-Depth, Cisco SAFE, Check Point SDP et autres ;
• meilleures pratiques en matière de sécurité de l'information, telles que celles disponibles sur ces liens (https://www.sans.org/reading-room/whitepapers/bestprac/ , http://csrc.nist.gov/publications/nistpubs/800-14 / 800-14.pdf). Ces documents sont le plus souvent présentés sur langue Anglaise, cependant, tout fabricant russe d'équipements de sécurité de l'information a ses propres meilleures pratiques pour la mise en œuvre d'équipements de protection et peut les fournir sur demande ;
• guides de sécurité pour les IPS et les environnements d'exploitation. Un exemple est la section "Sécurité" sur le portail officiel de Microsoft (https://technet.microsoft.com/ru-ru/library/dd637672.aspx).

1.3. Développement d'une conception technique pour le NIB conformément à GOST 34

L'élaboration des documents pour l'étape technique du projet à l'INS est le plus souvent réalisée par des intégrateurs de ces services et est mise en œuvre principalement selon le schéma suivant :

Détermination de la liste des documents en cours d'élaboration - ces informations sont indiquées dans Termes de référence sur NIB. Dans certains cas, le développeur de documents, en accord avec le Client, peut étendre ou réduire cette liste, si cette possibilité est prévue dans les TDR ;

Développement de modèles de documents pour l'étape TP - la structure est utilisée conformément à RD 50-34.698-90 et GOST 2.106 (pour certains documents), exécution conformément à GOST 2.105-95 ;

Élaboration de la partie substantielle des documents. Les exigences du système sont définies dans les termes de référence du NIB. Conformément à ces exigences, une liste de mesures techniques et organisationnelles de protection nécessaires à la mise en œuvre dans le système est déterminée. Les mesures de protection peuvent être définies dans les actes juridiques pertinents (selon le type d'informations protégées), les normes d'entreprise et les politiques de sécurité de l'information, ainsi que sur la base de la présence de menaces de sécurité actuelles identifiées au stade de l'élaboration du modèle de menace de l'organisation. Sur la base de la liste des mesures de protection, le développeur ISS sélectionne les outils de protection de l'information appropriés et développe la structure fonctionnelle du système de sécurité de l'information (sous-systèmes, composants). Plus loin dans les documents de conception technique, il est décrit mise en œuvre pratique des mesures de protection basées sur le SIG sélectionné ou des mesures organisationnelles dans l'infrastructure de l'organisation.

Coordination de la documentation développée et des solutions qui y sont présentées avec le Client du système.

Lors de l'élaboration de la documentation technique du projet, le plus souvent, il n'est pas nécessaire d'élaborer une liste complète des documents spécifiés dans GOST 34.201-89, car cette norme est obsolète et certains documents ne tiennent pas compte des tendances de développement et des technologies des systèmes d'information modernes. . L'ensemble minimum de documents requis pour décrire un système de sécurité de l'information est le suivant :

• énoncé du projet technique ;
• note explicativeà projet technique;
• schème structure fonctionnelle;
• schéma structurel d'un complexe de moyens techniques;
• organigramme;
• liste des articles achetés.

A la demande du Client ou si le NIS est un système complexe à plusieurs composants, les documents suivants peuvent être développés en complément :

• schéma d'automatisation ;
• description des fonctions automatisées ;
• la description aide à l'information systèmes ;
• description de l'ensemble des moyens techniques ;
• description du logiciel ;
• description de la structure organisationnelle.

Il convient de noter que GOST 34.201-89 permet d'élargir la gamme de documents au stade TP, cependant, dans la pratique, ces documents sont plus que suffisants.

Fiche de conception technique

Désignation : TP.

Ce document est destiné à décrire la liste des documents élaborés au stade du projet technique. Le nombre de pages de chacun des documents développés est également indiqué.

Note explicative au projet technique

Désignation : P2.

Ce document est le document principal pour l'étape TP et comprend une description de l'architecture de l'ISS, des mesures techniques et organisationnelles, des fonctions de l'ISS, des complexes logiciels et matériels, etc. Selon la norme, il se compose de quatre sections principales :

• dispositions générales;
• description du processus d'activité;
• principales solutions techniques ;
• mesures pour préparer l'objet d'automatisation à la mise en service du système.

Schéma de structure fonctionnelle

Désignation : C2.

Ce document décrit la structure logique du NIS, à savoir :

• les sous-systèmes et composants logiques inclus dans le NIS ;
• fonctions mises en œuvre au moyen de sous-systèmes et de composants ;
• les liens d'information entre les éléments logiques du NIS et les types de messages dans l'échange.

Schéma structurel d'un ensemble de moyens techniques

Désignation : C1.

Ce document comprend une description des éléments suivants du NIS :

• des moyens techniques dans le cadre des sous-systèmes logiques et des composants du NIS ;
• canaux de communication et d'échange entre moyens techniques avec indication des protocoles de transport.

Organigramme

Désignation : C0.

Ce document décrit structure organisationnelle organisations en matière de gestion du SRI, à savoir :

• divisions et les personnes responsables les organisations impliquées dans le fonctionnement du SNI ;
• les fonctions exercées et les communications entre les départements et les personnes responsables.

Liste des produits achetés

Désignation : V.-P.

Ce document comprend une liste de tous les logiciels et matériels, ainsi que les licences utilisées dans la création du NIS. Développé conformément à GOST 2.106.

Noter. Il convient également de noter ici que le document directeur RD 50-34.698-90 permet l'ajout de tout document de l'étape TP (inclusion de rubriques et d'informations autres que celles proposées), la fusion de rubriques, ainsi que l'exclusion de certaines rubriques individuelles. Les décisions à ce sujet sont prises par le développeur de documents de l'étape TP et sont basées sur les fonctionnalités du NIS créé.

1.4. Règles de développement de la documentation

• conformité structurelle normes d'état;
• le strict respect des exigences des spécifications techniques du système ;
• application de modèles de documents (application de styles uniformes, balisage, champs, etc.);
• approche individuelle et utilisation simultanée des développements existants lors du remplissage des sections de documents.

Note explicative au projet technique :

• le développement du document est effectué dans l'environnement Microsoft Word, une fois le développement terminé, il est recommandé de convertir le document au format PDF pour plus de commodité ;
• les termes et abréviations doivent être les mêmes dans toutes les sections du document ;
• il est recommandé d'éviter les répétitions explicites et l'augmentation inutile du volume du document ;
• les solutions techniques doivent être décrites avec le plus de détails possible, en indiquant :
  • architecture et technologies utilisées ;
  • emplacements des logiciels et du matériel dans l'infrastructure de l'organisation ;
  • outils de sécurité de l'information utilisés avec une description de leurs caractéristiques, des fonctions mises en œuvre, des informations de certification ;
  • paramètres de base des outils de sécurité de l'information en termes de mécanismes de protection, d'adressage, de routage, d'interaction avec les systèmes et outils associés, etc. ;
  • commandes, méthodes d'accès à celles-ci et leurs emplacements d'installation ;
  • schémas (structurels, fonctionnels, organisationnels) :
    • développer des diagrammes dans l'environnement Microsoft Visio;
    • après développement, insérer des diagrammes dans un document à l'aide de la boîte de dialogue Collage spécial au format EMF (métafichier Windows) ;
    • développer des schémas séparés pour le système, les sous-systèmes et les composants des sous-systèmes ;
    • rendre la conception des schémas du même type, en utilisant les mêmes éléments, abréviations, icônes, styles de texte, etc.

1.5. Ressources pour vous aider à développer la documentation

Une énorme quantité d'informations est publiée sur Internet, ce qui, à un degré ou à un autre, peut aider à l'élaboration de la documentation technique du projet. Les principales ressources sont présentées dans le tableau ci-dessous.

Table. Ressources de conception technique NIS

type de ressource	Informations	Exemples de ressources
Portails Internet des autorités exécutives fédérales	Règlements, des lignes directrices, registres (y compris les installations de sécurité de l'information certifiées), bases de données (y compris les bases de données des vulnérabilités et des menaces)	fstec.ru clsz.fsb.ru minsvyaz.ru/ru/
Portails Internet des constructeurs de SI, distributeurs de solutions de sécurité de l'information	Description des solutions de sécurité de l'information, documentation opérationnelle pour la sécurité de l'information, matériel et articles analytiques	codedesecurite.com kaspersky.com/ drweb.ru/ ptsecurity.ru/ infowatch.ru/ infotecs.ru/ cisco.com/c/ru_ru/index.html checkpoint.com altx-soft.ru
Ressources spécialisées en sécurité de l'information	Comparaison des solutions de sécurité de l'information, articles de revue sur les solutions de sécurité de l'information, tests de solutions de sécurité de l'information, informations techniques approfondies sur les technologies de sécurité de l'information	anti-malware.ru bis-expert.ru safe.cnews.ru securitylab.ru/ www.vulners.com/ csrc.nist.gov itsecurity.com owasp.org sans.org

1.6. Exemples de documents de l'étape du projet technique

Pour comprendre les exigences relatives au contenu de la documentation de l'étape TP, des exemples de remplissage des principaux documents (sections de document) sont présentés ci-dessous.

1.6.1. Note explicative au projet technique

La note explicative est un document assez volumineux, voici donc un exemple du contenu de la section "Solutions techniques de base" en termes d'un des sous-systèmes ISS - le sous-système d'analyse de sécurité.

Sous-système d'analyse de sécurité NIS

Structure et composition du sous-système

Le sous-système d'analyse de la sécurité (SAS) est conçu pour surveiller systématiquement l'état de sécurité des postes de travail automatisés (AWP) des serveurs du personnel et de l'organisation. La base du PAZ est l'outil logiciel "Test" produit par la société LLC "Information Security". SZI Test a un certificat de FSTEC de Russie pour la conformité Caractéristiques(TU) sur la sécurité de l'information et sur le 4e niveau de contrôle de l'absence de capacités non déclarées.

La composition du PAZ comprend les éléments suivants :

• serveur de gestion du serveur de test ;
• console de test console de gestion.

La description des composants du sous-système est présentée dans le tableau ci-dessous.

Table. Composants PAZ

Composant	La description
Serveur de gestion du serveur de test	Assure la gestion des tâches d'analyse, remplit les fonctions de surveillance de l'état de sécurité du poste de travail et des serveurs de l'organisation. Les paramètres d'analyse sont définis par l'administrateur du SI sur le serveur de gestion du serveur de test. Tout informations collectées les résultats de l'analyse sont stockés dans le stockage du serveur de test basé sur le système de gestion de base de données Microsoft SQL Server 2008
Console de test Console de gestion	Permet à l'administrateur du SI de se connecter au serveur de test, de visualiser et de modifier sa configuration, de créer et de modifier des tâches pour effectuer des analyses, de visualiser des informations sur l'avancement des tâches et leurs résultats. La console de gestion est installée sur le poste de travail de l'administrateur de la sécurité de l'information

Fourniture de fonctionnalités

PAZ fournit les fonctions suivantes :

• mise en œuvre d'une protection proactive des postes de travail et des serveurs de l'organisation en surveillant l'état de la sécurité de l'information ;
• automatisation des processus de contrôle du respect des politiques internes et de certaines normes de sécurité ;
• réduction des coûts d'audit et de contrôle de sécurité, préparation de rapports d'état ;
• automatisation de l'inventaire des ressources, de la gestion des vulnérabilités, de la conformité aux politiques de sécurité et des processus de contrôle des changements.

Solution pour un complexe d'outils matériels et logiciels

La liste des logiciels et matériels utilisés par l'ESD est donnée dans le tableau ci-dessous.

Table. Logiciel- moyens techniques RAINURE

Serveur de contrôle PAZ

Moyens techniques

Le serveur physique utilisé comme serveur de gestion du SIS doit répondre aux exigences techniques du logiciel et du système d'exploitation qui y sont installés, indiquées dans le tableau ci-dessous.

Table. Exigences pour le système d'exploitation et le logiciel du serveur de gestion PAZ

Logiciel	Les pré-requis techniques
	CPU	RAM, Mo
Microsoft Windows Server 2008 R2	3000 MHz, 4 cœurs	8192
Microsoft SQL Server 2008 R2
Tester le logiciel du serveur

Logiciel

Système d'exploitation du serveur de gestion

Le système d'exploitation Windows 2008 R2 est installé sur le serveur de gestion de la manière habituelle à partir d'une distribution amorçable.

L'OS du serveur de gestion est géré à la fois localement depuis la console et via le protocole RDP.

SGBD du serveur de gestion

L'installation de la base de données Microsoft SQL Server 2008 R2 s'effectue sous un compte disposant des droits d'administrateur local à l'aide de l'assistant d'installation standard du package de distribution fourni par le développeur du produit.

Tester le logiciel du serveur

Le logiciel Test Server est installé sur le serveur de gestion à l'aide de l'assistant d'installation standard.

La configuration initiale et la gestion ultérieure du logiciel Test Server en mode normal s'effectuent à l'aide de la console de gestion Test Console installée sur le poste de l'administrateur du SI.

poste administrateur SI

Moyens techniques

En tant que plate-forme, un poste de travail existant d'un employé de l'unité organisationnelle responsable de la sécurité des informations est utilisé, exécutant le système d'exploitation de la famille Microsoft Windows.

Les moyens techniques du poste administrateur du SI doivent présenter les caractéristiques de configuration matérielle suivantes (au moins recommandées) :

• processeur 2 GHz ;
• RAM 4 Go ;
• Disque dur 80 Go.

Logiciel

Tester le logiciel de la console

Le poste de l'administrateur du SI, sur lequel est installé le logiciel Test Console, doit fonctionner sous l'un des systèmes d'exploitation suivants :

• Microsoft Windows 7, 32 et 64 bits ;
• Microsoft Windows 8/8.1, 32 et 64 bits.

De plus, pour le bon fonctionnement du logiciel de la console de gestion Test Console, le poste de l'administrateur du SI doit être équipé de Microsoft .NET Framework version 3.5 SP1 ou supérieure, et les paramètres de sécurité de l'OS utilisé doivent permettre l'accès au Test Server.

L'installation du logiciel Test Console sur le poste de travail de l'administrateur PAZ est effectuée à l'aide de l'assistant d'installation standard du logiciel Test Server avec la possibilité d'installer la console de gestion Test Console et d'autres paramètres par défaut.

Interaction avec les systèmes associés

Pour le PAZ, les éléments adjacents sont :

• moyens du sous-système de pare-feu ;
• services d'annuaire Active Directory ;
• Poste de travail et serveurs de l'organisation.

Pour assurer l'interaction du réseau avec les systèmes adjacents et directement entre les composants ESD eux-mêmes, le passage du trafic réseau nécessaire doit être organisé.

Pour pouvoir recevoir des mises à jour de la base de connaissances et des modules du logiciel de test pour le scanner Test Server, il est nécessaire de fournir un accès au serveur Web update.com d'Information Security LLC update.com sur le port 443/tcp.

Lors de la numérisation en mode PenTest, l'interaction entre le scanner Test Server et le poste de travail et les serveurs de l'organisation s'effectue via le protocole IP. Lors de l'analyse en mode Audit et Conformité, les protocoles de contrôle à distance WMI, RPC, etc. En conséquence, pour le serveur de test, il est nécessaire de fournir un accès aux ports réseau des nœuds scrutés en utilisant les protocoles de contrôle à distance appropriés.

Étant donné que PAZ, lors de l'analyse en modes Audit et Conformité, utilise des protocoles de contrôle à distance pour l'analyse, les outils d'analyse du logiciel de test doivent être authentifiés et autorisés sur le nœud analysé. Dans PAZ, pour scanner les nœuds dans les modes Audit et Conformité dans chacun des types de nœuds (poste de travail, serveur, systèmes applicatifs, SGBD, etc.) Comptes avec des privilèges administratifs.

Tous les événements de sécurité des informations enregistrés sont stockés dans le SGBD Microsoft SQL. Ces événements peuvent être envoyés via des connecteurs spéciaux au sous-système de surveillance des événements IS.

Exploitation et maintenance du PAZ

Utilisateurs du sous-système

L'exploitation et la maintenance des outils PAZ sont assurées par des employés de l'organisation ayant le rôle fonctionnel d'"administrateur du SI".

Un administrateur SI est un spécialiste dont les tâches incluent :

• définir des paramètres pour analyser les nœuds d'organisation ;
• configuration et lancement des tâches d'analyse ;
• analyse des résultats d'analyse de vulnérabilités, d'erreurs de configuration ou de non-conformité aux exigences des normes techniques des systèmes d'information ;
• contrôle de l'élimination des vulnérabilités;
• formation de normes et d'exigences applicables pour assurer la sécurité des postes de travail et des serveurs de l'organisation.

Modes de fonctionnement du système

Mode de fonctionnement régulier

En fonctionnement normal, la PAZ fonctionne 24 heures sur 24, 7 jours sur 7.

En fonctionnement normal, l'administrateur du SI effectue :

• analyse planifiée et non planifiée des nœuds ;
• génération de rapports;
• mise à jour des bases de connaissances et des modules du logiciel Test.

Opération d'urgence

En cas de dysfonctionnement des moyens PAZ, le fonctionnement du sous-système est perturbé. La violation de l'opérabilité des moyens PAZ n'affecte pas le fonctionnement du poste de travail et des serveurs de l'organisation.

1.6.2. Schéma de structure fonctionnelle

Les diagrammes fonctionnels peuvent être développés pour l'ensemble du NIS ou pour une partie de celui-ci, comme un sous-système ou un composant.

Un exemple de schéma fonctionnel général de la NIB est présenté dans la figure ci-dessous.

1.6.3. Schéma structurel d'un ensemble de moyens techniques

Un schéma fonctionnel d'un complexe de moyens techniques peut être développé à la fois pour l'ensemble du NIS et pour ses parties - sous-systèmes et composants. L'opportunité d'élaborer des schémas pour certaines parties du NIS est déterminée par l'échelle du système et les détails requis.

Exemple diagramme de l'ensemble des moyens techniques du SNI est illustré dans la figure ci-dessous.

Une note explicative au projet technique est l'un des principaux documents inclus dans la documentation établie à l'étape conception technique. La notice explicative contient informations générales sur le système en cours de conception, la justification des solutions techniques retenues pour sa réalisation, ainsi que le plan d'action grâce auquel il est prévu de mettre le système en service.

Structure et décoration

Une note explicative est rédigée conformément à la norme interétatique GOST 2.106-96, qui décrit Exigences généralesà la compilation de texte et documents de conception, le contenu de ses sections est décrit dans le document directeur RD 50-34.698-90, qui réglemente les exigences relatives au contenu des documents pour les systèmes de contrôle automatisés.

Ce document, conformément aux normes et directives, devrait être composé de plusieurs sections :

"Dispositions générales"
En indiquant le nom du système de contrôle automatisé en cours de développement, les documents sur la base desquels le système est en cours de développement - termes de référence, contrats - organisations impliquées dans la conception, les étapes et les délais de mise en œuvre des travaux, les objectifs de développement du système, son objectif et sa portée, les aspects techniques et documentation normative, ainsi que l'ordre des travaux de conception.

"Description du processus d'activité"
La note explicative du projet technique contient des informations générales sur le fonctionnement du système développé.

"Solutions techniques de base"
La structure du système avec une liste de sous-systèmes, des méthodes et des moyens d'échanger des composants du système avec des données, la relation de l'UA avec d'autres systèmes et des modes de fonctionnement est donnée. Il doit également énumérer les qualifications et le nombre d'employés, les fonctions du système, les moyens techniques qui assurent son fonctionnement, les besoins en informations et en logiciels.

"Étapes de préparation du système pour le fonctionnement"
Une liste des travaux sur la formation du personnel, apportant les données de sortie du système sous une forme adaptée à une utilisation ultérieure, organisant les lieux de travail, ainsi que d'autres activités qui répondent aux spécificités de la mise en service d'un système particulier est donnée.

Ci-dessous un exemple (échantillon) de document de projet " Note explicative au projet technique de création d'un système automatisé"sur la base de directives méthodologiques RD 50-34.698-90. Ce document est formé par un informaticien au stade conception technique du système d'information.

Comme exemple de développement d'un système d'information, le projet de mise en place d'un système d'information et d'analyse a été retenu. "Entrepôt de données d'entreprise".

Sur la page ci-dessous se trouve contenu de la notice explicative du projet technique conformément à GOST, dans chacune des sections brièvement les exigences pour le contenu et le texte de l'exemple de remplissage sont données(mis en évidence par une ligne verticale).

Sections de la note explicative :

Dispositions générales

Principales solutions techniques

Décisions sur la structure du système, les sous-systèmes, les moyens et les méthodes de communication pour l'échange d'informations entre les composants du système

Solutions pour l'interconnexion de l'UA avec les systèmes adjacents, assurant sa compatibilité

Solutions pour les modes de fonctionnement, diagnostic du fonctionnement du système

Décisions sur le personnel et les modalités de son travail

Informations sur la garantie des caractéristiques de consommation du système spécifiées dans les termes de référence, qui déterminent sa qualité

La composition des fonctions, des complexes de tâches mis en œuvre par le système

Composition et placement de complexes de moyens techniques

Notice explicative du projet technique.

L'objectif principal de la création d'un SI est d'accélérer le "processus de vente", ainsi que d'augmenter l'efficacité des employés. Pour garantir le bon fonctionnement du système, les logiciels suivants doivent être installés sur les ordinateurs où il est utilisé :

• - OS de la famille Windows ;
• - 1C : Entreprise 8 ;

De nouvelles données sont entrées dans le système avant le début des travaux, cela est nécessaire pour entrer les soldes initiaux. Pour limiter les modifications non autorisées, une autorisation est utilisée lors de l'entrée dans le programme. Si le mot de passe est entré de manière incorrecte, le système affichera un message et ne vous permettra pas de vous connecter à la base de données.

Le système a trois tâches principales :

• - maintenance des répertoires ;
• - entretenir les entrepôts ;
• - enregistrement des ventes ;
• - édition de rapports.

L'application DB pour IP est développée à l'aide de l'environnement logiciel 1C: Enterprise 8. Pour héberger le système, des ordinateurs personnels sont utilisés qui sont à la disposition de l'entrepreneur individuel pour lequel le système est développé.

Schème fonctionnel structures

Les exigences générales pour la fonctionnalité du système en cours de conception sont illustrées à l'aide du diagramme VI de la figure 1

Tableau -2 La section principale du script d'exécution du VI "Ajouter des données de répertoire"

	Modifier les données du répertoire
	Magasinier, PI
	Maintenir à jour les informations sur les objets du domaine
Brève description	L'utilisateur ajoute un nouvel élément de répertoire et le note. Le système enregistre les données modifiées dans la base de données
Condition préalable	1. L'utilisateur est autorisé dans le système. 2. L'utilisateur a le droit d'ajouter des données au répertoire
postcondition	1. L'élément de répertoire est écrit dans la base de données. 2. L'élément de répertoire est affiché sous la forme d'une liste de répertoires

Tableau -3 Déroulement typique des événements du scénario d'exécution du VI "Ajouter des données de répertoire"

Tableau -4 Exclusions du scénario d'exécution du VI "Ajouter des données de répertoire"

Tableau -5 La section principale du script d'exécution du VI "Définir les prix des articles"

Tableau - 6 Déroulement type des événements du scénario d'exécution du VI "Fixer les prix des articles"

Tableau -7 Exclusions du scénario d'exécution du VI "Définir les prix des articles"

Tableau -8 La section principale du scénario d'exécution VI "Enregistrer la réception des marchandises"

Tableau -9 Déroulement typique des événements du scénario d'exécution du VI "Enregistrer la réception des marchandises"

Gestes des acteurs	Réponse du système
1. Le magasinier exécute la commande pour créer un nouveau document "Réception de marchandises"	2. Le système affiche le formulaire de document
3. Le magasinier renseigne les détails de l'en-tête Exception #1 : le magasinier remplit manuellement le champ Numéro
4. Le magasinier ajoute une nouvelle ligne dans la section tabulaire de la page Produits	5. Le système affiche une nouvelle ligne
6. Le magasinier renseigne la colonne Nomenclature	7. Le système substitue la valeur des colonnes
8. Le magasinier renseigne la colonne Quantité	9. Le système calcule la valeur des colonnes Montant,
10. Le système affiche dans le pied de la partie tabulaire les valeurs totales des colonnes Total
11. Le magasinier entre nouveau produit(retournez à l'étape 4) ou exécutez la commande Write Exception #2 : La valeur du champ Numéro n'est pas unique	12. Le système enregistre nouveau document"Réception des marchandises" dans la base de données
13. Le magasinier exécute la commande Imprimer -	14. Le système affiche le formulaire imprimé ordre de réception
15. Le magasinier exécute la commande Imprimer	16. Le système imprime l'ordre de réception
17. Le magasinier exécute la commande Fermer le formulaire d'impression	18. Le système ferme la plaque d'impression
19. Le magasinier exécute la commande Fermez le document "Réception des marchandises"	20. Le système ferme le formulaire du document "Réception des marchandises"

Tableau -10 Exceptions pour le scénario d'exécution du VI "Enregistrer la réception de marchandises"

Les valeurs des colonnes somme et total sont calculées par la formule :

Montant = Quantité * Prix

Tableau -11 section du scénario d'exécution du VI "Faire des ventes"

Tableau -12 Déroulement type du scénario pour l'exécution du VI "Faire des ventes"

Gestes des acteurs	Réponse du système
Paiement pour un document "vente"
1. Le responsable exécute la commande pour créer un nouveau document de vente	2. Le système affiche la forme des documents "ventes"
4. Gestionnaire affichant le document
5. Le système conserve le document
9. Le système imprime

Tableau - 13 Exceptions du scénario d'exécution du VI "Enregistrer un document"

Table -14 section du script pour l'exécution du VI "Réservation"

Tableau -15 Déroulement typique du scénario pour l'exécution du VI "Faire des ventes"

Gestes des acteurs	Réponse du système
Réservation de produit
1. Le gestionnaire exécute la commande pour créer un nouveau document de réservation	2. Le système affiche le formulaire des documents de "réservation"
3. Le gestionnaire saisit des données sur le client, le produit acheté et les services achetés
4. Gestionnaire affichant le document Exception #1 tous les champs ne sont pas remplis	5. Le système conserve le document
6. Le gestionnaire exécute la commande Imprimer	7. Le système affiche le document imprimable terminé
8. Le gestionnaire exécute la commande Imprimer	9. Le système imprime
10. Le gestionnaire exécute la commande Fermer le formulaire d'impression	11. Le système ferme la plaque d'impression
11. Le gestionnaire exécute la commande Fermer le document "prestation de services"	12. Le système ferme le formulaire de document

Tableau - 16 Exceptions du scénario d'exécution du VI "Enregistrer un document"

Tableau -17 VI "Créer un rapport"

Développement de la structure du répertoire

Annuaire "Entrepreneurs" conçu pour stocker des informations sur les clients, les fournisseurs.

Tableau -15 Détails de l'ouvrage de référence Clients

Le statut juridique est de type enum. Cela signifie que lorsque ce champ est sélectionné, une liste de trois statuts apparaîtra : IP, Physique. Personne, Organisation.

Création annuaire "Des employés". Conçu pour stocker des informations sur les employés de l'organisation. Vous permet de lier une vente à un employé spécifique.

Tableau -16 Détails du répertoire Employés

Création annuaire "Entrepôts". Conçu pour déterminer le lieu de stockage des marchandises. L'IP aura deux entrepôts - Trading Point 1 et Trading Point 2.

Création répertoires "Option Articles" et "Supplémentaire Propriétés". Ces références sont destinées à définir des caractéristiques supplémentaires pour une nomenclature particulière, c'est-à-dire que les moniteurs peuvent être identiques, mais les couleurs seront différentes. Ces répertoires seront appelés sous la forme du répertoire de nomenclature. La valeur de ces champs est affichée dans le document "Ventes".

Création annuaire "Nomenclature". Pour comptabiliser les biens achetés auprès d'un fournisseur, nous allons créer un ouvrage de référence "Nomenclature".

Les éléments du répertoire Nomenclature seront combinés en groupes en fonction de leur objectif fonctionnel, de sorte que le répertoire aura la forme d'une hiérarchie "hiérarchie de groupes et d'éléments".

Tableau -17 Exigences du livre de référence Nomenclature

Développement de la structure du registre d'information "Prix de la nomenclature"

Pour stocker le coût des unités de nomenclature, nous allons créer un registre d'informations avec le nom "Prix". La fréquence du registre est inférieure à une seconde (c'est-à-dire que les prix peuvent être suivis à tout moment), le mode d'enregistrement est indépendant.

Tableau -18 Structure du registre d'information Tarifs

La propriété Leading indique que l'entrée de registre d'informations est intéressante tant que l'objet dont la référence est sélectionnée comme valeur de cette dimension dans cette entrée existe. Lorsqu'un objet est supprimé, toutes les entrées du registre d'informations pour cet objet seront automatiquement supprimées.

Développement de la structure du document "Réception des marchandises"

Le document "Réception des marchandises" est destiné à refléter le fait de la réception des marchandises achetées par l'organisation.

Tableau-19 détails du document "Réception de marchandises (facture de réception)"

Tableau -19 Détails de la partie tabulaire du document "Réception des marchandises"

Un code a été écrit pour calculer automatiquement les valeurs des colonnes Montant, lors de la modification des valeurs des colonnes Quantité, Prix.

La forme du document ressemblera à celle illustrée à la figure 2




Figure 2- Formulaire de document Réception des marchandises

Développement de la structure du document "Ventes"

Le document de prestation de services est destiné à enregistrer les activités d'un entrepreneur individuel. Il contrôle la radiation des biens, des services qui ont été achevés et vous permet également d'afficher un rapport sur le travail des employés.

Tableau -20 Détails du document "Ventes"

Tableau -21 Détails de la section tabulaire du document Ventes

Développement de la structure du document "Réservation"

Le document "Réservation" est destiné à la réservation produit existant dans l'entrepôt, et en cas de pénurie, prendre la partie manquante de la marchandise pour le client. Il est également nécessaire de réserver la marchandise jusqu'au paiement par le client du prix de la commande. Ce document est conçu pour contrôler les soldes de stocks afin d'éviter tout malentendu avec le client.

Tableau -20 Détails du document "Réservation"

Tableau -21 Détails de la partie tabulaire du document Réservation

Développement structures document "Saisir primaire vestiges"

Ce document est nécessaire pour entrer les soldes initiaux dans la base de données.

Ses détails sont similaires au document "Reçu facture".

Création rapport "Des produits"

Le rapport Marchandises est conçu pour visualiser rapidement l'annulation et la réception des marchandises. C'est-à-dire qu'il permet à l'utilisateur de voir combien d'articles sont actuellement localisés, combien ont été vendus.

Dans l'environnement 1C Enterprise 8, il existe un générateur de rapports qui vous permet de développer rapidement un rapport en générant des requêtes et une conception basée sur des tableaux.

Création rapport « Registre des documents de vente »

Ce rapport est conçu pour générer un registre des documents "ventes". En outre, divers rapports seront implémentés dans le système, qui seront similaires en termes de structure de création.

Création les rôles et rendez-vous leur utilisateurs

Administration de la liste des utilisateurs 1C:Enterprise et attribution de rôles en fonction de leur fonctions officielles- très les points importants pour organiser l'interface de la solution appliquée dans son ensemble et délimiter les droits et les actions de ses utilisateurs individuels.

Les utilisateurs doivent être empêchés d'effectuer des actions sur les objets de la base de données. Par exemple, le magasinier peut créer des documents d'entrée de marchandises et enregistrer des documents, puisqu'il est responsable de l'enregistrement de l'entrée de marchandises. Le responsable, quant à lui, devrait avoir accès à l'ajout d'annuaires de clients, à la rédaction d'un document "vente", "réservation", mais en même temps il ne devrait pas avoir accès à la réception des marchandises.

Les objets de configuration de rôle sont utilisés pour décrire ces autorisations. Chaque utilisateur du système se voit attribuer un ou plusieurs rôles.

Les rôles sont créés en fonction des autorisations requises pour que différents groupes d'utilisateurs accèdent aux informations. Les rôles suivants seront implémentés dans notre système :

• - administrateur - dans le système 1C:Enterprise, il doit y avoir un rôle qui inclut tous les droits pour travailler avec les données IS ;
• - magasinier ;
• - gestionnaire;
• - IP.

L'attribution des rôles aux utilisateurs s'effectue via l'élément de menu principal Administration -> Utilisateurs.



Figure 3 - Création d'un utilisateur "Administrateur" avec le rôle "Administrateur"



Figure 4 - Liste des utilisateurs du système

Le droit de suppression interactif est désactivé pour tous les objets de base de données pour tous les rôles.

Édition commande interface sections et travail table

Améliorer l'interface de commande de l'application, paramétrer la visibilité des commandes par rôles et le bureau rend l'application plus conviviale et lui donne un look complet.

Trions les commandes en fonction de la priorité et de la fréquence d'utilisation dans les groupes suivants :

• - barre de navigation.Important ;
• - barre de navigation Normale ;
• - barre de navigation. aussi;
• - barre d'action. Créer et
• - barre d'action.



Figure 5 - Interface de commande de la section « Comptabilité matières » d'un utilisateur ayant le rôle « Magasinier »



Figure 6 - Interface de commande de la section "Fourniture de services" d'un utilisateur ayant le rôle "Gestionnaire"




Figure 7 - Interface de commande de la section "Entreprise" d'un utilisateur ayant le rôle "Directeur"



Figure 8 - Interface de commande de la section "Retail.Electronics" d'un utilisateur ayant le rôle "Administrateur"

Le bureau est conçu pour accueillir les documents, rapports, répertoires, etc. les plus fréquemment utilisés par l'utilisateur. Lorsque vous démarrez 1C:Enterprise, la section Bureau devient active par défaut et les formulaires nécessaires s'ouvrent immédiatement dans l'espace de travail de l'application.




Figure 9 - Bureau d'un utilisateur avec le rôle de "Storekeeper"




Figure 10 - Bureau pour un utilisateur avec le rôle "Manager"

automatisation de gros documentation du logiciel