Людський фактор в управлінні інформаційними ресурсами

1

4. Людський фактор в управлінні інформаційними ресурсами.

Існує багато причин негативного ставлення людей до нововведень.
Негативні моменти впровадження нових інформаційних систем і технологій вте, що ставлення до них змінюється в залежності від рівня знанькористувача в області прикладних задач інформаційних технологій і відпотенційних можливостей скорочення невиробничих організацій. Дужечасто персонал не утворений, не стимульований, не готовий. До того ж,впровадження інформаційних технологій часто руйнує неформальні зв'язки.
Які причини впливають на поглиблення і розширення позитивного сприйняттяінформаційних технологій?
Дослідження показали, що ставлення до нових технологій змінюється взалежно від двох факторів:
1. Від рівня знань користувача в області прикладних задач інформаційнихтехнологій (аналітики добре сприймають текстові та табличні процесори,інформаційно-пошукові системи і т.п. Малознайомі області, наприклад,відеоконференції зустрічають погано).
2. Від потенційних можливостей скорочення непродуктивних операцій
(працівники, що відвідують велику кількість конференцій, добре сприймаютьвідеоконференції, так як вони економлять їм час).
Службовці, які пропрацювали в фірмі багато років, менш освічені і займаютьневеликі пости, як правило, самі несприйнятливі до інформаційнихтехнологіями. Вік окремо від посади є найменшістотний фактор для сприйняття інформаційних технологій.
Заходи щодо створення привабливості впровадження інформаційних технологій.
До них відносяться:

> впровадження засобів автоматизації, істотно скорочує менш продуктивно витрачається час, який є джерелом найбільшої незадоволеності інтелектуальних працівників;

> залучення майбутніх користувачів до вибору і створення нових автоматизованих місць, облік їх думки;

> відмова від прагнення до негайного загального схвалення нових засобів і відповідних переміщень персоналу, які можуть ганізації та інформаційна система.
Культура організації - це певний звід занять про те, що повиннаробити організація, де і для кого. Все інше - технологія,цінності, норми, публічні заяви і т.д. - Це все лише наслідки зцієї культури. Організаційна культура набагато сильніша, ніж ІТ.
Більшість організацій роблять усе можливе, щоб уникнути змін доосновних культурних установках, тому майже завжди ІТ підбирають дляпідтримки культури, а не навпаки. Організаційні зміни займаютьнабагато більше часу, ніж технологічні. Коли культурні установкиперестають відповідати реальності, члени цієї культури можутьігнорувати реальність, заперечувати її, намагатися її змінити для відповідностікультурі. Культура ж змінюється тільки тоді, коли помирає підтримуючаїї організація або до влади приходить протилежна група, яка всезмінює.
Організаційне опір змінам.
З огляду на те, що ІС потенційно змінює структуру, культуру, політику тароботу організації, існує значний опір з бокуорганізації.
1. Боротьба за владу між різними групами. За доступ до ресурсів.
2. Значне опір службовців, яким необхідно вчитися. Іноді великі боси боятися вчитися, так як це може вплинути на їх статус в організації. Іноді це проблеми фізичного спрямування.
Це опір призводить до збоїв багатьох систем. Тому при плануваннівведення ІС необхідно оцінити ступінь опору.

ВОДА

4. Вимоги до системи управління інформаційними ресурсами організації

Керівникам фірм, що планують покращити свій бізнес через ефективне управління інформаційними ресурсами, варто взяти до уваги наступні положення:

1. Наявність інформації сама по собі не вирішує всіх проблем управління, лише тільки визначає перелік заходів, які необхідно здійснити.

2. З отриманою інформацією необхідно працювати. Це може робити кваліфікований експерт-аналітик профільної сторонньої фірми, або треба налагодити її обробку силами власного персоналу.

3. Робота з інформацією скоротить запас вільного часу особисто керівника і співробітників. При цьому можна втратити контроль над ходом розробки правильного рішення, отже приймати невиправдані інтуїтивні рішення.

4. Доведеться стримувати опір осіб середнього і нижнього рівня управління. Мотивація їх поведінки досить проста: вони не бажають змінювати що-небудь у своїй роботі, вони бояться застосування нестандартних підходів.

5. Оцінюйте вартість одержуваної інформації, щоб її ціна не стала вищою за комерційну вартість результату її використання.

6. Інформація, надана фахівцю, є для нього сировиною та інструментом. Чим добротніша сировина та довершеніший інструмент, тим ефективнішою і продуктивнішою буде праця фахівця при вирішенні проблеми.

Управління всіма видами інформаційних ресурсів, використовуваних у діяльності організації, потребує розв'язання таких завдань:

            управління опрацюванням і рухом інформації;

            управління використанням інформації.

Управління процесами опрацювання та обміну інформацією включає такі заходи:

1. Регулювання інформаційних потоків - інформація повинна бути структурована за певними категоріями, повинні бути виявлені споживачі кожної категорії інформації і канали її одержання.

Одним з можливих способів широкого інформування працівників про діяльність підприємства є інформаційні бюлетені, які можуть розповсюджуватись як у друкованому вигляді, так і за допомогою сучасних інформаційних технологій.

2. Організація системи зворотного зв'язку, за допомогою якої орган управління одержує інформацію про поточний стан об'єкта управління.

3. Впровадження сучасних інформаційних технологій.

Сучасні концепції управління інформаційною діяльністю на підприємствах широко застосовують ідеї інформаційної логістики[1] для побудови моделей інформаційної діяльності підприємства, які відображають взаємозв'язки між інформаційними потоками. Концептуальні засади інформаційної логістики ми будемо розглядати як окрему тему.

Впровадження комп'ютерних технологій дозволяє застосовувати менеджмент ділових процесів (Workflow Management), який представляє собою управління інформаційною логістикою на базі комп'ютерної технології і має на меті забезпечення діяльності з виконання господарських завдань необхідною інформацією відповідного виду, обсягу, якості, у відповідні терміни й у відповідному місці. Цій темі також буде приділена увага в рамках даного курсу.

Застосування зазначених концепцій дозволяє побудувати інформаційну модель організації, яка є схемою потоків інформаційних повідомлень, використовуваних у процесі управління, відображає різні процедури виконання функцій управління організацією і пов'язує кожне завдання з вхідними і вихідними документами. Теорія і методика інформаційного забезпечення і документування управлінських процесів, управління документацією (в тому числі електронною) потребує вивчення самої схеми управління, змісту управлінських зв'язків, впливу управлінської дії суб'єкта, що керує, на керований об'єкт, а також проблем, пов'язаних із наступним користуванням документами у їх динамічному стані, тобто потребує застосування методології інформаційного менеджменту.

Зважаючи на те, що значну частину інформаційних потоків в організації складає персональна, або прихована, інформація – персональне знання, нерозривно пов'язане з індивідуальним досвідом, в останні роки інтерес фахівців націлено на концепцію управління знаннями - Knowledge Management (КМ). – Управління знаннями – це організація управлінських дій на базі всіх інформаційних ресурсів фірми. Мета КМ – виявити та повернути на користь фірми всю наявну у неї інформацію, досвід і кваліфікацію працівників, з метою підвищення якості обслуговування клієнтів та скорочення періоду реагування на зміну ринкових умов.

Вирішення проблем, пов'язаних із технічним, технологічним, лінгвістичним забезпеченням потребує застосування методології інноваційного менеджменту, стратегічного менеджменту і менеджменту проектів.

Управління використанням інформації ґрунтується на концепції життєвого циклу інформаційного ресурсу, модель якого представлена на рис. 6.

Рис. 6. Життєвий цикл інформаційного ресурсу

Життєвий цикл інформаційного ресурсу визначає цикл взаємодії фахівця і системи:

                       визначення цілей (особистих, корпоративних, суспільних) і змісту інформації, необхідної для їх досягнення;

                       створення, збирання, зберігання і пошук інформації;

                       передавання інформаційних ресурсів користувачам і їх використання;

                       оновлення у процесі використання, пов'язане з оновленням властивостей, якостей, підвищенням продуктивності, інших ознак;

                       утилізація та ліквідація.

Розглянемо, які функції управління виконуються на кожному з етапів життєвого циклу інформаційного ресурсу (див. табл. 2).

Типовими завданнями є виконання основних функцій менеджменту, таких як планування, організація, координація, контроль.

Таблиця 2. Функції управління на етапах життєвого циклу інформаційного ресурсу

Керуючись для надання інформації принципом just-in-time, прийнятим для організації постачання ресурсами, треба мати на увазі, що будь-яка інформація цінна лише тим, що на її основі приймаються ті чи інші рішення. Тобто, щоб зрозуміти призначення й цінність будь-якої інформації необхідно розглядати її в межах конкретного "управлінського" або "технологічного циклу", у якому саме вона й може бути затребувана.

Розглянемо спочатку управлінські цикли[2]. Відповідно до сучасних підходів до управління в будь-якій бізнес-системі виділяють процеси, що відносяться до двох аспектів менеджменту, які умовно позначають як "менеджмент ресурсів" і "менеджмент організації". Вони істотно відрізняються один від одного об'єктами управління, базовим моделями й, відповідно, - управлінськими циклами.

У якості стандартного для будь-якої компанії можна прийняти деякий управлінський цикл, який містить наступний набір управлінських операцій:

1) Збір інформації;

2) Прийняття рішення;

3) Реалізація цього рішення;

4) Облік і Контроль;

5) Аналіз;

6) Регулювання.

Будь-яка функціональна галузь управління, наприклад, маркетинг або стратегічний менеджмент, уважається повною мірою підтриманою у компанії, якщо вона містить зазначений набір управлінських операцій.

В основі циклу управління ресурсами (наприклад, фінансовими або матеріальними) лежить розрахунок або імітаційне моделювання й контроль результатів:

a.   вибір (або отримання від системи верхнього рівня) цільового критерію оцінки якості рішення;

b.   збір інформації про ресурси підприємства або можливості зовнішнього середовища;

c.   прорахунок варіантів (з різними припущеннями про можливі значення параметрів);

d.   вибір оптимального варіанта - прийняття рішення (ресурсного плану);

e.   облік результатів (і звітність);

f.     порівняння із прийнятим критерієм оцінки (контроль результатів);

g.   аналіз причин відхилень і регулювання (повернення до a, b або c).

В основі циклу організаційного менеджменту (тобто організації систематичного виконання будь-якої цілеспрямованої діяльності в компанії) лежить структурне або процесне моделювання й процедурний контроль:

a.        визначення складу завдань (окремих функцій, операцій);

b.        вибір виконавців (розподіл зон і ступеня відповідальності);

c.        проектування процедур (послідовності й порядку виконання);

d.       узгодження й затвердження регламенту виконання (процесу, плану заходів);

e.        звітність про виконання;

f.         контроль виконання (процедурний контроль);

g.        аналіз причин відхилень і регулювання (повернення до a, b або c).

Глибина й ступінь деталізації циклів залежить від рівнів управління. Природно, що найбільш повний управлінський цикл реалізується в процесах стратегічного рівня. Ось, наприклад, які варіанти деталізації зустрічаються найчастіше:

1.       Збір інформації:

a.       Визначення складу збираної інформації;

b.       Визначення форм звітності.

2.       Прийняття рішення:

a.       Аналіз альтернатив;

b.       Підготовка варіантів рішення;

c.       Ухвалення рішення;

d.      Прийняття критеріїв оцінки.

3.       Реалізація:

a.       Планування;

b.       Організація;

c.       Мотивація;

d.      Координація.

4.       Облік і Контроль виконання:

a.       Облік результатів;

b.       Порівняння за прийнятими критеріями.

5.       Аналіз:

a.       Аналіз додаткової інформації;

b.       Діагностика можливих причин відхилень;

6.       Регулювання:

a.       Регулювання на рівні реалізації (повернення до п.3);

b.       Регулювання на рівні прийняття рішення (повернення до п. 1, 2).

Відповідно й вимоги до інформації й старанності підготовки рішень тут пред'являються особливі.

Прикладом циклу організаційного управління може слугувати класичний цикл Шухардта –Дьомінга – PDCA (рис. 7)

Рисунок 7 - Цикл PDCA

У цьому циклі, важливо те, що дії треба оцінювати стосовно того, що сплановано, а не стосовно того, що зроблено або вийшло. Планується й контролюється результат і процедура процесу, а рішення приймаються на основі його детального вивчення й аналізу. Отже тут важливою є точна процедурна інформація.

Що ж стосується "технологічних" циклів то тут важко ввести будь-яку типізацію. Тут можна знову ж таки звернутись до стандартів менеджменту якості або стандартів CALS (Continuous Acquisition and LifeCycle Support – "безперервний збір даних і підтримка життєвого циклу"), які "стандартизують" поняття "життєвого циклу продукції" (life cycle). Слід зазначити, що концепція CALS, що виникла в США існує менше десяти років, а її європейський аналог - PLM (Product Lifecycle Management – "управління життєвим циклом виробів") і того менше. Їх місія - забезпечити потреби індустріального виробництва, і насамперед науковомісткого й високотехнологічного машинобудування. Особливістю технологій CALS/PLM, що інтенсивно розвиваються в останні роки, є синтез предметних дисциплін й ІТ. Головні цілі цього синтезу такі: створення електронного опису виробу, що містить необхідні дані по його виробництву й супроводу на всіх наступних етапах життєвого циклу (експлуатація й обслуговування, ремонт, модернізація, логістичний супровід, утилізація); створення наскрізної технології обробки інформації учасниками життєвого циклу виробу на всіх його етапах, що забезпечує максимум повторного використання електронних даних при передачі даних між компонентами інформаційних систем (величезну роль у цьому відіграють системи CALS-стандартів); створення технології інформаційної взаємодії учасників життєвого циклу виробів, як основи для проведення спільних робіт.

На рисунку 8 представлено життєвий цикл продукції відповідно до стандарту ISO 9000:2000.

Рис. 8 Життєвий цикл продукції відповідно до стандарту ISO 9000:2000

Наведений на рис. 8 перелік стосується верхнього рівня управління і прийнятний для будь-якої продукції, інформаційних продуктів і послуг, у тому числі. На більш низьких рівнях, як точний склад, так і порядок реалізації підпроцесів "життєвого циклу" обумовлений галузевою специфікою. Зокрема, можна звернутись до розглянутої раніше моделі життєвого циклу інформаційного ресурсу (рис. 6).

Нині провідними гравцями на інформаційному ринку інтенсивно опрацьовується концепція  Управління життєвим циклом інформації (Information Lifecycle Management, ILM).

Концепція ILM заснована на оцінці рівня значимості для підприємства тієї чи іншої інформації на кожному етапі її існування. Значимість визначається правилами й процедурами компанії: співробітники, державні регулювальні органи, замовники й партнери, які впливають на бізнес-правила, будучи авторами корпоративної інформації різних типів. Інформаційні системи управляють інформацією на основі цих правил, супроводжуючи її на всьому її життєвому шляху.

Однак ILM - це не набір технологій, а інтегрований комплекс організаційних й апаратно-програмних рішень.

За твердженням аналітиків, реалізація концепції Information Lifecycle Management дозволить інтегрувати процеси обробки інформації протягом усього її життєвого циклу, істотно зменшити вартість володіння, збільшивши продуктивність і гарантувавши необхідний рівень обслуговування.

Концепція ILM є результатом еволюції технологій, і невипадково, різні вендори мають різні точки зору на ILM. Більш докладно з концепцією та найбільш відомими ILM-рішеннями ми познайомимось пізніше, оскільки концепція ILM також є предметом окремої теми у рамках цього курсу.

Отже, повноцінна технологія управління життєвим циклом інформації повинна:

 мати у своєму розпорядженні дані про логічну організацію інформаційних об'єктів;

 мати у своєму розпорядженні дані про архітектуру прикладних даних корпоративної бази;

 мати у своєму розпорядженні дані про організаційну структуру (джерела даних), інфраструктуру підприємства і його телекомунікації (для цього існує ще один різновид ILM - Infrastructure Lifecycle Management);

 мати у своєму розпорядженні дані про мобільність і шляхи міграції інформаційних об'єктів при виконанні бізнес-процесів;

 забезпечувати механізми захисту даних, заснованих на логічній організації даних про вироби й фізичній ізоляції відповідних сегментів даних;

 ураховувати обмеження ІТ-інструментів на організацію зберігання даних.

3

Современные информационные технологии.

Информационная безопасность.

К.т.н. НАУ Чунарьова А.В., Чунарьов А.В.

Національний авіаційний університет (НАУ), Україна

УПРАВЛІННЯ ІНФОРМАЦІЙНОЮ БЕЗПЕКОЮ

СУЧАСНИХ ІКСМ НА БАЗІ МІЖНАРОДНИХ

СТАНДАРТІВ ISO

Вступ

Сучасний етап розвитку інформаційної безпеки потребує комплексного підходу до розробки та впровадження методів і засобів захисту ресурсів інформаційно-комунікаційних систем та мереж (ІКСМ), як на технічному, так і на організаційному рівні, тобто реалізації комплексного процесу. Комплексний процес організації безпеки в першу чергу повинен включати заходи управління інформаційною безпекою. Зазначений процес забезпечує механізми та методи, які дозволяють реалізувати комплексну політику інформаційної безпеки організації ІКСМ. Інформаційна безпека – реалізація процесу захисту інформації від широкого діапазону загроз, що здійснюється з метою забезпечення ефективності та надійності функціонування ІКСМ.

Постановка задачі

Міжнародні стандарти серії ISO (ISO/IEC 17799, ISO 27001) є основоположними в сфері управління інформаційною безпекою. Вони представляють собою модель системи менеджменту, яка визначає загальну організацію процесів, класифікацію даних, системи доступу, напрямки планування та удосконалення системи безпеки, відповідальність співробітників і оцінку ризику.

Метою даною статті є аналіз сучасних заходів управління інформаційної безпеки ІКСМ на базі міжнародних стандартів ISO. Виділення переваг застосування системи управління інформаційної безпеки на базі міжнародних стандартів серії ISO.

Основна ідея стандарту – забезпечення надійного захисту інформаційних ресурсів ІКСМ та забезпечити організацію ефективного доступу до даних й процесу їх обробки згідно визначених послуг. Створити систему менеджменту інформаційної безпеки, мета якої скорочення матеріальних втрат, зв'язаних з порушенням безперервності функціонування.

Заходи управління інформаційної безпеки

Сучасні ІКСМ уразливі до ряду мережних загроз, які можуть бути результатом реалізації несанкціонованого доступу, а також розкриття, викривлення або модифікації інформації. Щоб захистити сучасні інформаційні ресурси та послуги від загроз, необхідно застосовувати відповідні заходи управління безпекою.

Під управлінням інформаційної безпеки будемо розуміти циклічний процес, що включає: постановку задачі захисту інформації; збір та аналіз даних про стан інформаційної безпеки в ІКСМ; оцінку інформаційних ризиків; планування заходів з обробки ризиків; реалізацію і впровадження відповідних механізмів контролю; розподіл ролей і відповідальності; політику безпеки; навчання та мотивацію персоналу, оперативну роботу по здійсненню захисних заходів; моніторинг (аудит) функціонування механізмів контролю, оцінку їх ефективності та надійності. Процес впровадження системи управління інформаційної безпеки включає оцінку поточного стану інформаційного забезпечення захисту інформації ІКСМ, формування комплексу заходів щодо забезпечення оптимального рівня на основі оцінки ризиків.

Після ідентифікації вимог безпеки, варто вибирати й застосовувати заходи управління, таким чином, щоб забезпечувати впевненість у зменшені ризиків. Засоби управління можуть бути обрані із стандартів або з безлічі інших документів та заходів управління визначених для даного класу систем, або можуть бути розроблені, щоб задовольнити потреби компанії відповідно до обраної політики безпеки.

Згідно з міжнародним стандартом ISO 27001, система управління інформаційною безпекою – це «частина загальної системи управління організації, яка заснована на оцінці ризиків, яка створює, реалізує, експлуатує, здійснює моніторинг, перегляд, супровід і вдосконалення загальної інформаційної безпеки».

У відповідності з вимогами ISO/IEC 27001 система управління інформаційної безпеки повинна містити такі етапи [1,2] :

1 етап - планування - фаза створення, створення переліку інформації, оцінки ризиків і вибору заходів та механізмів захисту;

2 етап - дія - етап реалізації та впровадження відповідних заходів;

3 етап - перевірка - фаза оцінки ефективності та надійності функціонування створеної системи. Проведення внутрішнього аудиту системи, виявлення недоліків.

4 етап - удосконалення - виконання коригувальних дій по покращенню функціонуванню системи;

При створенні системи управління інформаційної безпеки потрібно керуватися відповідними заходами. Заходи управління варто вибирати, ґрунтуючись на відношенні вартості реалізації послуг та впровадження систем безпеки й зниження ризиків і можливих втрат, якщо відбудеться порушення безпеки ІКСМ.

Деякі із заходів управління в стандартах та нормативних документах, можуть розглядатися, як керівні принципи для управління інформаційною безпекою й можуть бути застосовні для організацій політики безпеки. Розглянемо заходи управління інформаційної безпеки із законодавчої точки зору та узагальнені для сучасних ІКСМ [3].

Якщо розглядати заходи управління із законодавчої точки зору, то вони включають:

1.   – захист даних і таємність особистої інформації;

2.   – охорону інформаційних ресурсів організації;

3.   – права на інтелектуальну власність.

Заходи управління сучасних ІКСМ включають :

    документи, що стосується політики інформаційної безпеки ;

    розподіл обов'язків, пов'язаних з інформаційною безпекою;

    структура підрозділів й навчання, пов'язані з інформаційною безпекою ;

    повідомлення про інциденти, пов'язаних з безпекою ;

    управління безперервністю.

Слід зазначити, що: хоча всі заходи управління в стандартах та нормативних документах є важливими, але застосування якого-небудь засобу управління повинне відповідати ризикам та можливим загрозам даної ІКСМ.

В загальному випадку система управління безпекою повинна включати (рис.1) :

    аутентифікацію (користувачів, даних, додатків, послуг, тощо);

    авторизацію (авторизований перелік цін, ключових торговельних документів, партнерів, користувачів, керівництва);

    аудит інформаційних ресурсів та послуг.

Рис.1 Базова система управління інформаційної безпеки

Переваги застосування системи управління інформаційної безпеки на базі міжнародних стандартів серії ISO:

                        Забезпечення безперервності.

Від якості застосовуваних новітніх технологій захисту інформації залежить не тільки збереження в конфіденційних інформації, а й взагалі існування конкретних інформаційних і телекомунікаційних сервісів, послуг та програм.

                        Мінімізація ризиків.

Впровадження системи управління інформаційної безпеки дозволить зменшити інформаційні ризики, розкрадання і неправильне використання обладнання, пошкодження та порушення роботи інформаційної системи організації за рахунок розмежування фізичного доступу та впровадження механізму моніторингу (аудиту) стану інформаційної безпеки. Оцінка та мінімізація ризиків дозволить ідентифікувати загрози інформаційним ресурсам та послугам, оцінити їх уразливість й імовірність виникнення загроз, а також можливий руйнівний вплив при реалізації несанкціонованих доступу.

                        Зниження витрат на інформаційну безпеку.

Застосування передових технологій зі створення, моніторингу та поліпшення інформаційної безпеки дозволяє знизити витратну частину бюджету, що зачіпає забезпечення інформаційної безпеки.

                        Забезпечення цілісності, конфіденційності та доступності критичних інформаційних ресурсів ІКСМ.

                        Забезпечення комплексного та централізованого контролю рівня захисту інформації.

Висновок

На основі проведеного аналізу сучасних заходів управління інформаційної безпеки ІКСМ на базі міжнародних стандартів ISO виділено, що управління безпекою ІКСМ є важливим аспектом забезпечення безпеки властивостей інформаційних ресурсів та послуг в мережах передачі даних. Для досягнення й підтримки безпеки в інформаційно-комунікаційних системах та мережах, потрібен визначений діапазон засобів та заходів управління. В роботі виділено ряд переваг застосування системи управління інформаційної безпеки на базі міжнародних стандартів серії ISO в сучасних ІКСМ