3. Жизненный цикл программного обеспечения. Фазы жц, их характеристики артефакты.

ЖЦ ПО определяется как период времени, который начинается с момента принятия решения о необходимости создания ПО и заканчивается в момент его полного изъятия из эксплуатации. ЖЦ включает в себя последовательность процессов, действия и задач, которые должны быть выполнены. Сегодня существует большое количество подходов, методов и технологий создания ПО, однако базовым наборов таких процессов являются:

1. процесс приобретения ПО, средств разработки и общесистемного ПО;

2. процесс поставки (инициирование поставки, подготовка договора, планирование, выполнение и контроль, проверка и оценка);

3. процесс разработки (подготовительные работы, анализ требований, проектирование архитектуры системы, кодирование и тестирование, интеграция, установка и приемка);

4. процесс эксплуатации (обучение персонала, эксплуатационное тестирование, эксплуатация, поддержка пользователей);

5. процесс сопровождения (анализ проблем и запросов на модификацию ПО, модификация ПО, проверка и приемка, перенос ПО в другую среду, снятие ПО с эксплуатации);

Выделяют еще вспомогательные процессы, такие как:

• документирование процессов проектирования и разработки;

• обеспечения качества продукта (системы) и процесса (работ);

• верификации (формальное доказательство соответствия системы требованиям Заказчика) и аттестации (подтверждение и оценка проведенного тестирования);

• аудит (определение соответствия требованиям, планами условиям договора);

• разрешение проблем (анализ и решение проблем, независимо от их происхождения или источника, которые обнаружены в ходе разработки, эксплуатации, сопровождения или других процессов).

16. Классификация угроз и механизмы защиты (по характеру воздействия, по причине появления используемой ошибки защиты).

1. По характеру воздействия

Пассивные угрозы. Это угрозы, связанные с ошибками:

1. Процесса проектирования, разработки и изготовления систем и их компонентов (здания, сооружения, помещения, компьютеры, средства связи, ОС, прикладные программы и др.).

2. В работе аппаратуры из-за некачественного ее изготовления.

3. Процесса подготовки и обработки информации (ошибки программистов и пользователей из-за недостаточной квалификации и некачественного обслуживания, ошибки операторов при подготовке, вводе и выводе данных, корректировке и обработке информации).

Механизмы защиты: Периодически повышать квалификацию программистов, проводить обучение пользователей, вести дополнительное тестирование ПО. Для данных, вводимых в программу четко определять и устанавливать область допустимых значений. В программе предусматривать обработку всех возможных исключений. Вести контроль качества поступающей от поставщиков аппаратуры и разрабатывать регламенты ее эксплуатации.

Активные угрозы. Это угрозы:

1. Связанные с НСД к ресурсам АИС (внесение технических изменений в СВТ и средства связи, подключение к СВТ и каналам связи, хищение различных видов носителей информации: дискет, описаний, распечаток и других материалов, просмотр вводимых данных, распечаток, просмотр «мусора»).

2. Реализуемые бесконтактным способом (сбор электромагнитных излучений, перехват сигналов, наводимых в цепях (токопроводящие коммуникации), визуально-оптические способы добычи информации, подслушивание служебных и научно-технических разговоров и т. п.).

Механизмы защиты: Организовать политику безопасности на предприятии, в т.ч. организовать охрану помещений предприятия и охрану внешней территории. Выделить отдельное помещение для пользователей, сгруппировав пользователей, работающих с одинаковой конфиденциальной информацией (туда же поставить принтер). Организовать регламент доступа сотрудников в помещения (кто, куда имеет право входить, где хранятся ключи от помещения и как их получить), регламент для хранителя экрана. Для управления доступом организовать дискретный метод доступа (идентификация и аутентификация). Если не требуется частый выход в Интернет, то целесообразно иметь отдельный компьютер, не подключенный к сети предприятия. Для сохранности данных использовать резервное копирование и архивирование. Для избежания проблемы прослушивания сетевого трафика необходимо вместо hub’ов использовать коммутаторы. В этом случае информация от отправителя будет направляться только получателю. Для избежания маскировки (подмены) привязать MAC-адреса сетевых устройств к портам коммутатора, т.е. каким MAC-адресам разрешено отправлять и получать пакеты. Для надежности каналов связи между ЛВС можно организовать VPN. Во избежание наводок использовать экранированный кабель и прокладывать так, чтобы к нему не было физического доступа (лучше всего по коридору), упаковывать в короба, для каждого пользователя выделять Ethernet розетку. Во избежание прослушивания не прокладывать кабель вблизи окон и батарей. Можно сделать экранированными стены, пол, потолок. Использовать межсетевые экраны для фильтрации трафика. Производить очистку памяти после использования. И т.д.