56. Методика определения совокупной стоимости владения информационной системой (модель тсо)

В экономической оценке информационных проектов используются как традиционные финансовые, так и новые модели. В 90-е годы появляется концепция экономической оценки совокупной стоимости владения информационной системой (TCO). Основная идея – минимизация стоимости владения при заданных параметрах функциональных возможностей информационной системы. Наиболее общим определением ТСО информационной системы является следующее: полный комплекс затрат, связанных с приобретением, внедрением и использованием системы, и воспринимаемый как единые затраты на информационную систему в процессе ее создания и эксплуатации.

Разные методики предполагают различную классификацию этих затрат: первоначальные и последующие, прямые и косвенные, явные и скрытые, фиксированные и текущие. Например, затратная составляющая «Затраты, связанные с последствиями некомпетентных действий пользователей», учитывает потери от запланированных и незапланированных простоев, потери производительности в случаях самоподдержки пользователей, фактически измеряет эффективность управления информационных систем. Эти издержки являются скрытыми, так как не отслеживаются и тем более не измеряются. Однако, согласно исследованиям компании Interpose, они составляют не менее 50% средних расходов организаций на информационные технологии.

Подробный перечень статей затрат позволяет, при соответствующем уровне организации сбора данных управленческого учета, рассчитать совокупную стоимость владения информационными системами предприятия и, тем самым, обосновывать эффект внедрения новшеств уменьшением этой самой стоимости.

Основной недостаток метода определения совокупной стоимости владения по сравнению с прочими состоит в том, что он показывает только расходную часть внедрения информационной системы. Круг применения данного метода ограничивается выбором одного из альтернативных проектов с предполагаемым одинаковым  эффектом использования в уровне доходов.

Информационная безопасность

57. Методы идентификации и аутентификации. Способы аутентификации – пользователь «знает», пользователь «имеет» и пользователь «есть»

Идентификацию и аутентификацию можно считать основой программно-технических средств безопасности, поскольку остальные сервисы рассчитаны на обслуживание именованных субъектов.

Идентификация и аутентификация - это первая линия обороны, "проходная" информационного пространства организации.

Идентификация позволяет субъекту (пользователю, процессу, действующему от имени определенного пользователя, или иному аппаратно-программному компоненту) назвать себя (сообщить свое имя). Посредством аутентификации вторая сторона убеждается, что субъект действительно тот, за кого он себя выдает. В качестве синонима слова "аутентификация" иногда используют словосочетание "проверка подлинности".

Аутентификация бывает односторонней (обычно клиент доказывает свою подлинность серверу) идвусторонней (взаимной). Пример односторонней аутентификации - процедура входа пользователя в систему.

В сетевой среде, когда стороны идентификации/аутентификации территориально разнесены, у рассматриваемого сервиса есть два основных аспекта:

• что служит аутентификатором (то есть используется для подтверждения подлинности субъекта);

• как организован (и защищен) обмен данными идентификации/аутентификации.

Субъект может подтвердить свою подлинность, предъявив по крайней мере одну из следующих сущностей:

• нечто, что он знает (пароль, личный идентификационный номер, криптографический ключ и т.п.);

• нечто, чем он владеет (личную карточку или иное устройство аналогичного назначения);

• нечто, что есть часть его самого (голос, отпечатки пальцев и т.п., то есть свои биометрические характеристики).

Существует три основных типа аутентификационной информации:

1. Проверяемый пользователь знает некую уникальную информацию. Пример: парольная аутентификация.

2. Пользователь имеет некий предмет с уникальными характеристиками или содержимым. Примеры: смарт-карта, USB-токен и т.д.

3. Аутентификационная информация является неотъемлемой частью пользователя. Пример: отпечаток пальца и другие виды биометрической аутентификации (биометрической называется аутентификация пользователя по его биометрическим признакам).

В любом из этих случаев процедура аутентификации выполняется в два следующих этапа:

1. У пользователя однократно берется некий эталонный образец аутентификационной информации, например, запрашивается пароль (или данный образец генерируется случайным образом и затем записывается на смарт-карту пользователя). Данный образец хранится у субъекта системы, проверяющего аутентификацию – модуля аутентификации (например, сервера, который выполняет аутентификацию пользователей). Обычно существует некоторое время действия данного эталона, по завершении которого эталонный образец перезапрашивается.

2. Каждый раз при выполнении аутентификации у пользователя запрашивается аутентификационная информация, которая сравнивается с эталоном. На основе данного сравнения делается вывод о подлинности пользователя.

Фактически, в модуле аутентификации хранится некая таблица соответствий идентификаторов пользователей (например, имен пользователей, вводимых ими при входе в систему) и эталонных образцов – см. таблицу 1.

Таблица 1.

Идентификатор пользователя	Эталон
ID1	E1
ID2	E2
…	…
IDN	EN

Эталон может храниться как в «чистом» виде, так и в качестве результата некоторого преобразования запрошенной информации.