Eksploatacja zasobów Eksploatacja zasobów informatycznych informatycznych przedsiębiorstwaprzedsiębiorstwa

Planowanie systemu Planowanie systemu informacyjnego w informacyjnego w przedsiębiorstwieprzedsiębiorstwie

Audyt i ocena zasobówAudyt i ocena zasobów

Audyt systemu informacyjnegoAudyt systemu informacyjnego

ProcesProces gromadzenia informacji na temat gromadzenia informacji na temat funkcjonowania i zasobów komputerowychfunkcjonowania i zasobów komputerowych

Przegląd, kontrola i wykrywanie działań Przegląd, kontrola i wykrywanie działań bezprawnychbezprawnych

Proces, w którym niezależna jednostka Proces, w którym niezależna jednostka gromadzi i ocenia dowody o różnicach gromadzi i ocenia dowody o różnicach między wartością wskaźników mierzalnych między wartością wskaźników mierzalnych a ustalonymi kryteriami [Bruce, Dempsey a ustalonymi kryteriami [Bruce, Dempsey 1997]1997]

Kroki postępowania w procesie Kroki postępowania w procesie kontrolnymkontrolnym

Ustalenie stanu obowiązującego (wzorce Ustalenie stanu obowiązującego (wzorce kontrolne),kontrolne),Ustalenie stanu rzeczywistego,Ustalenie stanu rzeczywistego,Porównanie stanu rzeczywistego ze stanem Porównanie stanu rzeczywistego ze stanem pożądanym,pożądanym,Badanie przyczyn, źródeł i warunków, które Badanie przyczyn, źródeł i warunków, które wywołały odchylenia,wywołały odchylenia,Wskazanie dróg usprawnienia,Wskazanie dróg usprawnienia,Wykorzystanie pozytywnych rozwiązań dla Wykorzystanie pozytywnych rozwiązań dla usprawnienia podobnych działań w innych usprawnienia podobnych działań w innych komórkach organizacyjnych.komórkach organizacyjnych.

PorównywaniePorównywanie

Stanu środków z ewidencją,Stanu środków z ewidencją,

Czynności z zapisami,Czynności z zapisami,

Wykonania zadań z obowiązującymi Wykonania zadań z obowiązującymi przepisami,przepisami,

Zachowań z ustalonymi i unormowanymi Zachowań z ustalonymi i unormowanymi zachowaniami,zachowaniami,

Wartości cech zjawisk z ustaleniami i Wartości cech zjawisk z ustaleniami i normami.normami.

Uzasadnienie przeprowadzenia Uzasadnienie przeprowadzenia audytu informatycznegoaudytu informatycznego

Ze względu na wysokie koszty systemu,Ze względu na wysokie koszty systemu,

W celu rozpoznania ogólnego poziomu W celu rozpoznania ogólnego poziomu

zabezpieczeń w przedsiębiorstwie,zabezpieczeń w przedsiębiorstwie,

W celu wpajania zdyscyplinowanego W celu wpajania zdyscyplinowanego

podejścia do zabezpieczeń,podejścia do zabezpieczeń,

W celu ułatwienia identyfikacji aplikacji i W celu ułatwienia identyfikacji aplikacji i

systemów krytycznych.systemów krytycznych.

Zakres audytuZakres audytu

Dane,Dane,

Oprogramowanie,Oprogramowanie,

Procedury,Procedury,

Technika informatyczna,Technika informatyczna,

Personel działu informatycznego,Personel działu informatycznego,

Dokumentacja.Dokumentacja.

Poziomy prowadzenia audytówPoziomy prowadzenia audytów

Zalecenia: ISACF (Information Systems Zalecenia: ISACF (Information Systems Audit and Control Foundation):Audit and Control Foundation):

Poziom IPoziom I – zadań, które generują – zadań, które generują mierzalne efekty,mierzalne efekty,

Poziom IIPoziom II – procesów (serii połączonych – procesów (serii połączonych zadań),zadań),

Poziom IIIPoziom III – domeny obejmujące grupy – domeny obejmujące grupy procesów.procesów.

Domeny funkcjonalneDomeny funkcjonalne

Planowanie strategii informatyzacji,Planowanie strategii informatyzacji,

Akwizycja i wprowadzanie rozwiązań Akwizycja i wprowadzanie rozwiązań

techniki informatycznej,techniki informatycznej,

Dostarczanie i instalowanie systemów,Dostarczanie i instalowanie systemów,

Monitorowanie systemów i ocena Monitorowanie systemów i ocena

zastosowań techniki informatycznej.zastosowań techniki informatycznej.

Techniki przeprowadzania Techniki przeprowadzania audytówaudytów

Testy zgodności – dla weryfikacji Testy zgodności – dla weryfikacji

poprawnego wykonania procedur poprawnego wykonania procedur

przetwarzania lub procesów rejestracji przetwarzania lub procesów rejestracji

danych,danych,

Testy uzasadniające – dla analizy Testy uzasadniające – dla analizy

rzeczywistych danych.rzeczywistych danych.

Kontrola typowych procedurKontrola typowych procedur

Wykorzystania oprogramowania i praw Wykorzystania oprogramowania i praw autorskich,autorskich,

Zakupu oprogramowania,Zakupu oprogramowania,

Instalowania oprogramowania,Instalowania oprogramowania,

Przeprowadzania szkoleń,Przeprowadzania szkoleń,

Indywidualnego wykorzystania Indywidualnego wykorzystania oprogramowania,oprogramowania,

Wymiany i likwidacji oprogramowania.Wymiany i likwidacji oprogramowania.

Audyt jako narzędzie Audyt jako narzędzie identyfikacji finansów ITidentyfikacji finansów IT

Elementów (aktywów) systemów Elementów (aktywów) systemów informacyjnych, które są użyteczne, przydatne i informacyjnych, które są użyteczne, przydatne i w pełni funkcjonalne,w pełni funkcjonalne,

Elementów, które są niezbędne, ale Elementów, które są niezbędne, ale wykorzystywane są poniżej standardu i wykorzystywane są poniżej standardu i wymagają częściowej odnowy,wymagają częściowej odnowy,

Elementów, które stanowią nadwyżki i muszą Elementów, które stanowią nadwyżki i muszą być usunięte,być usunięte,

Brakujących elementów, które muszą zostać Brakujących elementów, które muszą zostać zakupione.zakupione.

Cechy poprawnych audytówCechy poprawnych audytów

Stosowność,Stosowność,

Bezstronność,Bezstronność,

Obiektywizm oceny,Obiektywizm oceny,

Powtarzalność,Powtarzalność,

Niezależność:Niezależność:

Od audytowanego podmiotu,Od audytowanego podmiotu,

Od zespołu odpowiedzialnego za system,Od zespołu odpowiedzialnego za system,

Od decydenta/sponsora informatyzacji.Od decydenta/sponsora informatyzacji.

Inwentaryzacja oprogramowaniaInwentaryzacja oprogramowania

Wykorzystywane oprogramowanie,Wykorzystywane oprogramowanie,

Oprogramowanie kluczowe w Oprogramowanie kluczowe w

przedsiębiorstwie,przedsiębiorstwie,

Zarządzanie licencjami,Zarządzanie licencjami,

Procesy doskonalenia (zakupów, Procesy doskonalenia (zakupów,

wymiany, itp.) wykorzystywanego wymiany, itp.) wykorzystywanego

oprogramowania,oprogramowania,

Zabezpieczenia, autoryzacja itd.Zabezpieczenia, autoryzacja itd.

Inwentaryzacja oprogramowania Inwentaryzacja oprogramowania - przykład - przykład

Krok 1 – klasyfikacja oprogramowania:Krok 1 – klasyfikacja oprogramowania: Oprogramowanie wspomagające procesy biznesowe,Oprogramowanie wspomagające procesy biznesowe,

Oprogramowanie systemowe i narzędziowe,Oprogramowanie systemowe i narzędziowe,

Krok 2 – opis oprogramowania:Krok 2 – opis oprogramowania: Szczegółowy opis głównych aplikacji: producent, zastosowanie, Szczegółowy opis głównych aplikacji: producent, zastosowanie,

funkcjonalność, informacje techniczne,funkcjonalność, informacje techniczne,

Opis zastosowania biznesowych aplikacji dodatkowych,Opis zastosowania biznesowych aplikacji dodatkowych,

Zestawienie oprogramowania systemowego i narzędziowego,Zestawienie oprogramowania systemowego i narzędziowego,

Krok 3 – zarządzanie licencjami:Krok 3 – zarządzanie licencjami: Zestawienie ilości posiadanych licencji oprogramowania z podziałem Zestawienie ilości posiadanych licencji oprogramowania z podziałem

zgodnym z klasyfikacją,zgodnym z klasyfikacją,

Zestawienie (wstępne) potrzeb w zakresie zakupu (odnowienia) licencji.Zestawienie (wstępne) potrzeb w zakresie zakupu (odnowienia) licencji.

Inwentaryzacja oprogramowania Inwentaryzacja oprogramowania - przykład cd.- przykład cd.

Przykładowe zestawienie informacji o oprogramowaniuPrzykładowe zestawienie informacji o oprogramowaniu

Lp. Grupa Nazwa Przeznaczenie Autor Jęz. Program

1. A ASImport Aplikacja do wymiany danych pomiędzy bazą danych Synergy oraz Exact Globe 2003; dane w formacie XML.

Exact C++C++

2. D Hurt Wystawianie faktur, WZ, potwierdzanie zamówienia, rejestracja płatności, projektantów i kojarzenie ich z zamówieniami (prowizje).

Opracowanie wewnętrzne

Delphi Delphi

Inwentaryzacja oprogramowania Inwentaryzacja oprogramowania - przykład cd.- przykład cd.

Systemy operacyjne użytkowane w przedsiębiorstwie:Systemy operacyjne użytkowane w przedsiębiorstwie: Serwery: Windows 2003 Serwer, Windows 2000 Serwer, Windows Serwery: Windows 2003 Serwer, Windows 2000 Serwer, Windows

NT 4.0 Serwer,NT 4.0 Serwer, Stacje robocze: Windows XP Professional, Windows NT 4.0,Stacje robocze: Windows XP Professional, Windows NT 4.0,

Używane oprogramowanie narzędziowe:Używane oprogramowanie narzędziowe: Check Point SecurePlatform – firewall VPNCheck Point SecurePlatform – firewall VPN,, 8e6 Xstop – oprogramowanie filtrujące dla sieciowego ruchu z 8e6 Xstop – oprogramowanie filtrujące dla sieciowego ruchu z

internetu,internetu, Kaspersky Anti-Virus for Checkpoint Firewall-1 – oprogramowanie Kaspersky Anti-Virus for Checkpoint Firewall-1 – oprogramowanie

filtrujące przeciwwirusowe,filtrujące przeciwwirusowe, Trend Micro ScanMail Suite dla Microsoft Exchange – Trend Micro ScanMail Suite dla Microsoft Exchange –

oprogramowanie przeciwwirusowe dla MS Exchange,oprogramowanie przeciwwirusowe dla MS Exchange, Computer Associates InOculateIT (e-Trust) – oprogramowanie Computer Associates InOculateIT (e-Trust) – oprogramowanie

przeciwwirusowe dla komputerów użytkowników,przeciwwirusowe dla komputerów użytkowników, Veritas Backup – oprogramowanie do wykonywania zapasowych Veritas Backup – oprogramowanie do wykonywania zapasowych

kopii danych.kopii danych.

Inwentaryzacja oprogramowania Inwentaryzacja oprogramowania - przykład cd.- przykład cd.

Przykładowe zestawienie informacji o posiadanych licencjachPrzykładowe zestawienie informacji o posiadanych licencjach

Lp. Nazwa Producent Ilość posiadanych

licencji

Ilość wykorzystywana

UWAGI

1. Windows XP Professional

Microsoft 250 250250 Planowany zakup Planowany zakup 20 licencji – 20 licencji – styczeń 2008styczeń 2008

2. Norton Antywirus

SymantecSymantec 250250 225225 Na pozostałych Na pozostałych stacjach MKS-vir – stacjach MKS-vir – planowana planowana wymiana na NAV wymiana na NAV grudzień 2007grudzień 2007

3. AutoCAD 2004

AutodeskAutodesk 55 1010 5 instalacji 5 instalacji próbnych 30 próbnych 30 dniowych – dniowych – planowany zakup planowany zakup 5 licencji5 licencji

Inwentaryzacja sprzętuInwentaryzacja sprzętuUżytkowany sprzęt:Użytkowany sprzęt:

Serwery,Serwery, Stacje robocze,Stacje robocze, Drukarki,Drukarki, Urządzenia pomocnicze,Urządzenia pomocnicze,

Infrastruktura:Infrastruktura: Urządzenia sieciowe,Urządzenia sieciowe, Okablowanie,Okablowanie, Urządzenia pomocniczeUrządzenia pomocnicze..

Inwentaryzacja sprzętu - Inwentaryzacja sprzętu - przykład przykład

Podstawowe informacje o serwerachPodstawowe informacje o serwerach

Wszystkie serwery zbudowane są w technologii Wszystkie serwery zbudowane są w technologii rack mountrack mount. Większość . Większość

wyposażona jest w dwa procesory, na ogół Intel Xeon-A (2400 MHz), wyposażona jest w dwa procesory, na ogół Intel Xeon-A (2400 MHz),

ewentualnie Pentium IIIE (933 MHz). Podsystemy dyskowe serwerów ewentualnie Pentium IIIE (933 MHz). Podsystemy dyskowe serwerów

łączu SCSI w technologii łączu SCSI w technologii hot-swaphot-swap, w najważniejszych serwerach dyski w , w najważniejszych serwerach dyski w

macierzach RAID. Pamięć operacyjna serwerów ma kontrolę i korekcję macierzach RAID. Pamięć operacyjna serwerów ma kontrolę i korekcję

błędów (ECC). błędów (ECC).

Podstawowe informacje o stacjach roboczychPodstawowe informacje o stacjach roboczych

Pentium III 1,5 GHz, 254 MB RAM, 60 GB HDD – standard (90%), Pentium III 1,5 GHz, 254 MB RAM, 60 GB HDD – standard (90%),

pozostałe stacje bardzo zróżnicowane,pozostałe stacje bardzo zróżnicowane,

Informacje o urządzeniach dodatkowychInformacje o urządzeniach dodatkowych

Drukarki HP laserowe (seria LJ2200) 80% - pozostałe , plotery Drukarki HP laserowe (seria LJ2200) 80% - pozostałe , plotery

atramentowe HP.atramentowe HP.

Inwentaryzacja sprzętu - Inwentaryzacja sprzętu - przykład cd.przykład cd.

Przykładowe zestawienie informacji o wykorzystywanym sprzęciePrzykładowe zestawienie informacji o wykorzystywanym sprzęcie

Nazwa serwera Serwer1

Przeznaczenie Aplikacja Inżynier

Producent płyty głównej Intel

BIOS AMI (03/13/03)

Chipset Intel Plumas-533 E7501

Procesor/y Dual Intel Xeon-A, 2400 MHz

Pamięć RAM 3840 MB (2x 1024 MB/266 MHz ECC,

Zainstalowane dyski SEAGATE ST336607LC SCSI Disk Device (34 MB)

Organizacja dysków RAID-1

Partycje C: (NTFS) 34993 MB (7576 MB free) D: (NTFS) 34993 MB (32172 MB free)

Zainstalowane karty sieciowe Intel(R) Advanced Network Services

Prędkość połączenia z siecią 100

Inne urządzenia ATI RAGE XL PCI Family (8 MB)

System operacyjny Microsoft Windows Server 2003, Standard Edition

OS Service Pack None

Inne

OcenaOcena

OrganizacyjnaOrganizacyjna

TechnicznaTechniczna

Kryteria oceny organizacyjnejKryteria oceny organizacyjnej

FunkcjonalnośćFunkcjonalność,,Opisuje stopień pokrycia (funkcjonalnego) przez Opisuje stopień pokrycia (funkcjonalnego) przez system procesów w przedsiębiorstwie,system procesów w przedsiębiorstwie,NowoczesnośćNowoczesność,,Opisuje aktualność zastosowanych rozwiązań Opisuje aktualność zastosowanych rozwiązań technicznych i organizacyjnych,technicznych i organizacyjnych,DopasowanieDopasowanie do potrzebdo potrzeb,,Opisuje stopień dopasowania wielkości i jakości Opisuje stopień dopasowania wielkości i jakości systemu do potrzeb przedsiębiorstwa,systemu do potrzeb przedsiębiorstwa,EkonomicznośćEkonomiczność,,Opisuje w jakim stopniu opłacalne jest Opisuje w jakim stopniu opłacalne jest eksploatowanie systemu.eksploatowanie systemu.

FunkcjonalnośćFunkcjonalność

Czy w przedsiębiorstwie funkcjonują Czy w przedsiębiorstwie funkcjonują wszystkie potrzebne podsystemy wszystkie potrzebne podsystemy (moduły)?(moduły)?

Czy w ramach poszczególnych modułów Czy w ramach poszczególnych modułów realizowane są wszystkie potrzebne realizowane są wszystkie potrzebne funkcje?funkcje?

Czy występuje nadmiarowość Czy występuje nadmiarowość funkcjonalna?funkcjonalna?

Nowoczesność (aktualność)Nowoczesność (aktualność)

Czy funkcjonujące w przedsiębiorstwie Czy funkcjonujące w przedsiębiorstwie podsystemy są zgodne z uznawanymi podsystemy są zgodne z uznawanymi standardami? standardami?

Czy występuje konieczność uaktualnienia Czy występuje konieczność uaktualnienia któregoś z modułów?któregoś z modułów?

Czy występuje konieczność Czy występuje konieczność unowocześnienia całego systemu?unowocześnienia całego systemu?

Czy stosowane są nowoczesne Czy stosowane są nowoczesne technologie?technologie?

Dopasowanie do potrzebDopasowanie do potrzeb

Czy wykorzystywane systemy są Czy wykorzystywane systemy są odpowiedniej „wielkości”?odpowiedniej „wielkości”?

Czy wykorzystuje się systemy Czy wykorzystuje się systemy odpowiedniej klasy?odpowiedniej klasy?

Czy któryś z modułów stwarza wyjątkowe Czy któryś z modułów stwarza wyjątkowe trudności w eksploatacji?trudności w eksploatacji?

Czy stosowane są odpowiednie Czy stosowane są odpowiednie technologie?technologie?

EkonomicznośćEkonomiczność

Zagadnienie bardzo skomplikowane, Zagadnienie bardzo skomplikowane, wielokryterialne. Wiele podejść i metod wielokryterialne. Wiele podejść i metod oceny.oceny.

Osobno ocenia się zakup i wdrożenie Osobno ocenia się zakup i wdrożenie modułów (lub całego systemu).modułów (lub całego systemu).

Osobno ocenia się koszty bieżącej Osobno ocenia się koszty bieżącej eksploatacji.eksploatacji.

Ocenia się również koszty dodatkowe.Ocenia się również koszty dodatkowe.

Poświęcone będą osobne zajęcia. Poświęcone będą osobne zajęcia.

Ocena technicznaOcena techniczna

Ocena wykorzystywanego oprogramowania,Ocena wykorzystywanego oprogramowania, Ocena programistyczna,Ocena programistyczna, Ocena zabezpieczeń,Ocena zabezpieczeń, Ocena ergonomiczna,Ocena ergonomiczna,

Ocena wykorzystania sprzętuOcena wykorzystania sprzętu Testy wydajnościowe (najczęściej serwerów),Testy wydajnościowe (najczęściej serwerów), Kontrola i testowanie stacji roboczych,Kontrola i testowanie stacji roboczych, Ocena zabezpieczeń sprzętowych,Ocena zabezpieczeń sprzętowych, Analiza ruchu sieciowego i obciążeń serwerów.Analiza ruchu sieciowego i obciążeń serwerów.

Powiązania pomiędzy systemami Powiązania pomiędzy systemami (podsystemami)(podsystemami)

Powiązania logiczne,Powiązania logiczne,

Powiązania fizyczne,Powiązania fizyczne,

Powiązania pomiędzy serwerami,Powiązania pomiędzy serwerami,Powiązania pomiędzy serwerami a Powiązania pomiędzy serwerami a

stacjami roboczymi,stacjami roboczymi,Powiązania z sieciami zewnętrznymi.Powiązania z sieciami zewnętrznymi.

Schematy powiązańSchematy powiązań

LogicznychLogicznych::Przepływy danych,Przepływy danych,Komunikacja pomiędzy serwerami,Komunikacja pomiędzy serwerami,

FizycznychFizycznych::Komputery,Komputery,Połączenia sieciowe (okablowanie, Połączenia sieciowe (okablowanie,

gniazda, itd.)gniazda, itd.)Urządzenia sieciowe (przełączniki, routery, Urządzenia sieciowe (przełączniki, routery,

modemy, itd.)modemy, itd.)

Schematy powiązań - przykładSchematy powiązań - przykładPrzepływ danychPrzepływ danych

SYSTEM

Oracle

Dane

Apl. ProEngineer

xxxx1

SERWER5BAZA

(Oracle)

Parametry doboru

SERWER3

Oferty

Dane xxx

SERWER AAA PROJECT

Oferty

Dokumenty, zadania, raporty

Kalendarz, spotkania

Inżynier

Lokalny, zdalny

YYYY1

SERWER4

Http(s) Http(s)

Http(s), Pop3 (ssl), imap4 (ssl), smtp (ssl)

Schematy– przykład cd.Schematy– przykład cd.Komunikacja pomiędzy serweramiKomunikacja pomiędzy serwerami::

SERWER 7

SERWER 13

SERWER BB

SERWER

SERWER 1

SERWER 11

SERWER 4

SERWER 6

SERWER 3

SERWER 2

SERWER 8

SERWER 5

SERWER AA

SERWER 12

SERWER 10

SERWER 9

LAN EXTERNAL

1,59

GB

175

MB

120 GB

28,78 GB

22,1 GB

17,7 GB

14,1 GB

2,08 GB

50 GB 60 GB30 GB 15 GB

50,85 GB 51,1 GB

11,4

GB

5,26 GB

1,69 G

B

200

GB

1,42

GB

240 MB

7,15

GB

7,4

GB

6,16 GB

3,27 GB

2,64 GB

1,53

GB

1,7

GB

1,21 GB

8,99 GB

45 GB 35 GB

440 MB

282

MB

28,7 GB

14,3 GB

6,1

GB

5,9 GB

0,98 GB

384 MB

1,59 GB

201 MB

17,3

GB

11,5 GB

6,5 GB

3,4 GB

839 MB

336 MB

197 MB

180 MB

Zestawienia - przykładZestawienia - przykład

Transfer danych związany z backupem:Transfer danych związany z backupem:

Serwer backupowy Serwer backupowany Transfer tygodniowy [GB]

Backup 1 Dane 1 25

  SQL Serwer 51,0

  Baza 6,1

  Poczta 7,3

Transfer danych:Transfer danych:

SerwerTransfer

tygodniowy [MB]Transfer

tygodniowy [Mb]

Transfer uśredniony przez 7 dni (24h/dzień)

Mbit/s

Transfer uśredniony przez 7 dni (12h/dzień)

Mbit/s

Baza 1731 13848 0,0229 0,0458

Serwer 5386 43088 0,0712 0,1425

Zapas1 1454 11632 0,0192 0,0385

Analiza obciążeń serwerów Analiza obciążeń serwerów Obciążenie:Obciążenie:

procesorów,procesorów, pamięci RAM,pamięci RAM, pamięci dyskowej,pamięci dyskowej, kart sieciowych. kart sieciowych.

Często używa się specjalistycznego oprogramowaniaCzęsto używa się specjalistycznego oprogramowania Przykład: program MRTG - Multi Route Traffic Przykład: program MRTG - Multi Route Traffic

Generator,Generator, Działanie programu polega na pobieraniu statystyk z Działanie programu polega na pobieraniu statystyk z

usługi SNMP (Simple Network Management Protocol) usługi SNMP (Simple Network Management Protocol) o stanie sieci oraz innych zasobów serwera i na ich o stanie sieci oraz innych zasobów serwera i na ich podstawie tworzeniu statystyk i wykresów.podstawie tworzeniu statystyk i wykresów.

Analiza obciążeń serwerów - Analiza obciążeń serwerów - przykładprzykład

Obciążenie procesora:Obciążenie procesora:

Obciążenie pamięci RAM:Obciążenie pamięci RAM:

Max Load: 72.0 % (0.0%) Average Load: 1.0 % (0.0%) Current Load: 9.0 % (0.0%)

Max Load: 100.0 % (0.0%) Average Load: 1.0 % (0.0%) Current Load: 8.0 % (0.0%)

Max Vir 85.0 % (0.0%) Average Vir 36.0 % (0.0%) Current Vir 46.0 % (0.0%)

Max Phy 85.0 % (0.0%) Average Phy 36.0 % (0.0%) Current Phy 46.0 % (0.0%)