Izpitni centri ECDL ECDL (European Computer Driving License), ki ga v Sloveniji imenujemo evropsko računalniško spričevalo, je standardni program usposabljanja uporabnikov, ki da zaposlenim potrebno znanje za delo s standardnimi računalniškimi programi na informatiziranem delovnem mestu, delodajalcem pa pomeni dokazilo o usposobljenosti. V Evropi je za uvajanje, usposabljanje in nadzor izvajanja ECDL pooblaščena ustanova ECDL Foundation, v Sloveniji pa je kot član CEPIŠ CCouncil of European Professional Informatics Societies) to pravico pridobilo Slovensko društvo INFORMATIKA. V državah Evropske unije so pri uvajanju ECDL močno angažirane srednje in visoke šole, aktivni pa so tudi različni vladni resorji. Posebej pomembno je, da velja spričevalo v več 140-tih državah, ki so vključene v program ECDL, Doslej je bilo v svetu izdanih že več kot 5,5 milijonov indeksov, v Sloveniji okoli 4000 in več kot 2000 podeljenih spričeval. Za izpitne centre ECDL so se v Sloveniji usposobile organizacije, katerih logotipi so natisnjeni na tej strani. ustvorjolne komunikacije VIZIJA RAZVOJA ▲ IZOBRAŽEVANJE INFORMACIJSKE STORITVE UNIVERZA V LJUBLJANI Fakulteta za pomorstvo in promet sli M INFORMACIJSKE TEHNOLOGIJE r J r v /ČOPA LJUDSKA UNIVERZA KOPER UNIVERSITA POPOLARE CAPODISTRIA l ■ LJUDSKA CEUE Cankarjeva ulica 13000 Celje Slovenila Tclclon 1031470-61-50 Teleta* 1031470 61 S« i mn'.im 1 vi iizit ] MURSKI! SORO Tit ' VSEBINA UPORABNA I N F O R 2006 ŠTEVILKA 2 APR/MAJ/JUN LETNIK XIV M A T I K A ISSN 1318-1882 B Uvodnik B Izbrani prispevki USI 2006 Cene Bavec Informacijska družba - deset let kasneje 52 Silvo Ržen, Tomaž Gorenšek Elektronsko poslovanje u logistični družbi 60 Mitja Cerovšek Prenos dobrih izkušenj prenove in informatizacije poslovanja iz matičnega podjetja na hčerinska družbo 65 Maja Vukasovič - Žontar, Vladislav Rajkovič Ugotavljanje menedžerskih kompetenc s pomočjo računalniškega programa za večparametrsko odločanje DEHi 69 Aljaž Zrnec, Marko Bajec, Marjan Krisper Pristop in programska podpora za prilagajanje procesa razvoja informacijskega sistema 75 Tomaž Poštuvan Storitveno usmerjena arhitektura kot sodobni način integracije 81 Marko Tekavc, Matjaž B. Jurič Izkušnje pri načrtovanju in razvoju storitvene arhitekture 86 Alenka Brezavšček, Lucija Zupan Standardi in priporočila na področju informacijske varnosti 91 Jože Ban, Jana Barba, Barbara Kozina Prednosti upoštevanja priporočil ITIL pri vzpostavitvi sistema Service Desk 98 B Koledar prireditev 2006 -številka 2-letnik XIV UPORABNA INFORMATIKA 49 UPORABNA INFORMATIKA 2006 ŠTEVILKA 1 JAN/FEB/MAR LETNIK XIV ISSN 1318-1882 Ustanovitelj in izdajatelj: Slovensko društvo INFORMATIKA Vožarski pot 12 1000 Ljubljana Predstavnik Niko Schlamberger Odgovorni urednik: Andrej Kovačič Uredniški odbor: Marko Bajec, Vesna Bosilj Vukšič, Dušan Caf, Janez Grad, Jurij Jaklič, Milton Jenkins, Andrej Kovačič, Tomaž Mohorič, Katarina Puc, Vladislav Rajkovič, Heinrich Reinermann, Ivan Rozman, Niko Schlamberger, John Taylor, Ivan Vezočnik, Mirko Vintar, Tatjana VVelzer - Družovec Recenzenti prispevkov za objavo v reviji Uporabna informatika: Marko Bajec, Tomaž Banovec, Vladimir Batagelj, Marko Bohanec, Vesna Bosilj Vukšič, Dušan Caf, Srečko Devjak, Tomaž Erjavec, Matjaž Gams, Izidor Golob, Tomaž Gornik, Janez Grad, Miro Gradišar, Jože Gričar, Joszef Gyorkos, Marjan Heričko, Jurij Jaklič, Milton Jenkins, Andrej Kovačič, Iztok Lajovic, Tomaž Mohorič, Katarina Puc, Vladislav Rajkovič, Heinrich Reinermann, Ivan Rozman, Niko Schlamberger, Ivan Vezočnik, Mirko Vintar, Tatjana VVelzer - DružoVec, Franc Žerdin Tehnična urednica Mira Turk Škraba Oblikovanje Bons Prelom Dušan VVeiss, Ada Poklač Tisk Prograf Naklada 700 izvodov Naslov uredništva Slovensko društvo INFORMATIKA Uredništvo revije Uporabna informatika Vožarski pot 12, 1000 Ljubljana www.drustvo-informatika.si/posta Revija izhaja četrtletno. Cena posamezne številke je 5.000 SIT (20,86 €). Letna naročnina za podjetja 20.000 SIT (83,45 6), za vsak nadaljnji izvod 14.000 SIT (58,48 €), za posameznike 8.000 SIT (33,81 €), za študente 3.500 SIT (14,61 6). Cene v evrih so informativne; izračunane so po centralnem paritetnem tečaju 1 € = 239,640 SIT Revijo sofinancira Ministrstvo za visoko šolstvo, znanost in tehnologijo. Revija Uporabna informatika je od številke 4/VII vključena v mednarodno bazo INSPEC. Revija Uporabna informatika je pod zaporedno številko 666 vpisana v razvid medijev, ki ga vodi Ministrstvo za kulturo. © Slovensko društvo INFORMATIKA Navodila avtorjem Revija Uporabna informatika objavlja izvirne prispevke domačih in tujih avtorjev na znanstveni, strokovni in informa¬ tivni ravni. Namenjena je najširši strokovni javnosti, zato je zaželeno, da so tudi znanstveni prispevki napisani čim bolj poljudno. Članke objavljamo praviloma v slovenščini, prispevke tujih avtorjev v angleščini. Prispevki so obojestransko anonimno recenzirani. Vsak članek za rubriko Razprave mora za objavo prejeti dve pozitivni re¬ cenziji. O objavi samostojno odloča uredniški odbor. Prispevki naj bodo lektorirani, v uredništvu opravljamo samo korekturo. Po presoji se bomo posvetovali z avtorjem in članek tudi lektorirali. Prispevki za rubriko Razprave naj imajo dolžino do 40.000, prispevki za rubrike Rešitve, Poročila do 30.000, Obvestila pa do 8.000 znakov. Naslovu prispevka naj sledi ime in priimek avtorja, ustanova, kjer je zaposlen, in elektronski naslov. Članek naj ima v začetku do 10 vrstic dolg izvleček v slovenščini in angleščini, v kate¬ rem avtor opiše vsebino prispevka, dosežene rezultate razi¬ skave. Abstract se začne s prevodom naslova v angleščino. Članku dodajte kratek avtorjev življenjepis (do 8 vrstic], v katerem poudarite predvsem delovne dosežke. Pišite v razmaku ene vrstice, brez posebnih ali poudarjenih črk, za ločilom na koncu stavka napravite samo en prazen prostor, ne uporabljajte zamika pri odstavkih. Revijo tiskamo v črno-beli tehniki s folije, zato barvne slike ali fotografije kot originali niso primerne. Objavljali tudi ne bomo slik zaslonov, razen če niso nujno potrebne za razume¬ vanje besedila. Slike, grafikoni, organizacijske sheme ipd. naj imajo belo podlago. Po možnosti jih pošiljajte posebej, ne v datoteki z besedilom članka. Disketi z besedom priložite izpis na papirju. Prispevke pošiljajte po elektronski ali navadni pošti na naslov uredništva revije: ui@drustvo-informatika.si, Slovensko društvo INFORMATIKA, Vožarski pot 12, 1000 Ljubljana; na teh naslovih dobite tudi vse dodatne informacije. Po odločitvi uredniškega odbora o objavi članka bo avtor prejel pogodbo, s katero bo prenesel vse materialne avtorske pravice na Slovensko društvo INFORMATIKA. Po izidu revije pa bo prejel nakazilo avtorskega honorarja po veljavnem ceniku ali po predlogu odgovornega urednika. 50 UPORABNA NFORMATIKA UVODNIK Spoštovane bralke in spoštovani bralci, za nami je še eno uspešno in vsebinsko pestro posvetovanje Dnevi slovenske informatike, na katerem je bilo predstavljeno rekordno število prispevkov, ki jih je povezovala vodilna misel oz. rdeča nit »V partnerstvu z informatiko do poslovne odličnosti«. V uredniškem odboru revije Uporabna informatika smo se odločili, da v reviji objavimo najkakovostnejše strokovne in znanstvene prispevke s posveta. Za pomoč pri izboru smo zaprosili predsednika programskega odbora posvetovanja in vodje sekcij oziroma tematskih sklopov. V uredništvo je tako prispelo šestnajst prispevkov, zaradi omejitev prostora smo jih izmed njih izbrali devet, ki po svoji vsebini in obravnavani tematiki neposredno sodijo v to tematsko številko. Avtorje drugih prispevkov, ki so enako kakovostni, smo prosili za soglasje za objavo v prihodnjih rednih številkah revije Uporabna informatika. Prispevke v tokratni številki smo uvrstili v tematske sklope: strateška izhodišča in prenova poslovanja, informatizacija poslovanja ter poslovanje službe za informatiko. Izbrane prispevke v nadaljevanju tega uvodnika na kratko predstavljamo. Uvodoma je v prispevku Ceneta Bavca Informacijska družba - deset let kasneje predstavljena pot, ki smo jo v Sloveniji prehodili v zadnjem desetletju, ko smo postavljali temelje informacijski družbi in družbi znanja. Eden od teh temeljev je elektronsko poslovanje, pri čemer lahko govorimo o prenovi in informatizaciji v smeri poslovne odličnosti. Tako ga prikazujeta v svojem prispevku Elektronsko poslovanje v logistični družbi avtorja Silvo Ržen in Tomaž Gorenšek. Mitja Cerovšek v svojem prispevku Prenos dobrih izkušenj prenove in informatizacije poslovanja iz matičnega podjetja na hčerinsko družbo prikazuje postopek menedžmenta znanja v procesu prenove in informatizacije poslovanja, ki po njegovih ugotovitvah sodi med najzahtevnejše in zelo tvegane naloge v podjetju. Prenova poslovanja je v prvi vrsti naloga menedžmenta in menedžerskih kompetenc. Maja Vukasovič - Žontar in Vladislav Rajkovič v svojem prispevku Ugotavljanje menedžerskih kompetenc s pomočjo računalniškega programa za večparametrsko odločanje DEXi ugotavljata, da so menedžerske kompetence ključne veščine, sposobnosti in vedenja, ki najbolj pripomorejo k uspešnemu opravljanju zahtevnih menedžerskih nalog. Aljaž Zrnec, Marko Bajec in Marjan Krisper obravnavajo problematiko prilagajanja procesa razvoja informacijskih sistemov konkretnim potrebam projektov. V prispevku Pristop in programska podpora za prilagajanje procesa razvoja informacijskega sistema predstavijo konceptualne zgradbe odločitvenega modela za prilagajanje procesa in pristop za prilagajanje procesa, ki temelji na uporabi več vrst odločitvenih pravil. Tomaž Poštuvan v svojem prispevku Storitveno usmerjena arhitektura kot sodobni način integracije ugotavlja, da težave pri integraciji aplikacij uspešno rešuje arhitektura, temelječa na ohlapno povezanih sistemih, ki jih povezujemo v celoto, pri čemer so posamezni deli med seboj neodvisni in tečejo na poljubnih platformah. Marko Tekavc in Matjaž B. Jurič ob tem ugotavljata, da še nimamo dovolj izkušenj pri razvoju rešitev na tem področju. V prispevku Izkušnje pri načrtovanju in razvoju storitvene arhitekture vidita prednosti takšne arhitekture v pospešitvi procesa razvoja aplikacij in prilagodljivosti takšnih sistemov ter s tem hitrejšemu odzivu na spreminjajoče se poslovne potrebe. . . Alenka Brezavšček in Lucija Zupan v prispevku Standardi in priporočila na področju informacijske varnosti podajata širši pregled standardov in priporočil s področja zagotavljanja informacijske varnosti, ki se najbolj pogosto uporabljajo v praksi. Enega od teh priporočil v svojem prispevku Prednosti upoštevanja priporočil ITIL pri vzpostavitvi sistema Service Desk predstavljajo Jože Ban, Jana Barba in Barbara Kozina. Ugotavljajo, da so podjetja, ki se ukvarjajo z informatizacijo poslovanja, ali organizacijske enote podjetja, ki se ukvarjajo z informacijsko podporo, vse bolj storitveno naravnana. Za uspešno in učinkovito delovanje potrebujejo lastno infrastrukturo za obvladovanje poslovnih procesov, storitev in odzivnosti celotne organizacije. Prepričan sem, da smo izbrali vsebinsko povezane in zaokrožene ter koristne prispevke, ki vam jih priporočam v branje. Andrej Kovačič, odgovorni urednik 2006-številka 2-letnik XIV UPORABNA INFORMATIKA 51 IZBRANI PRISPEVKI DSI 2006 B Informacijska družba - deset let kasneje Cene Bavec Univerza na Primorskem, Fakulteta za management cene.bavec@fm-kp.si Povzetek V prispevku je predstavljena pot, ki smo jo prehodili v zadnjih desetih letih, ko smo v Sloveniji postavljali temelje informacijski družbi in družbi znanja. Značilnost tega obdobja je bila predvsem v tem, da je Slovenija sledila evropskim usmeritvam in direktivam Evropske unije. Zato smo danes tudi povsem povprečna evropska država, ki se v ničemer ne razlikuje od drugih v regiji. FISTERA in drugi projekti predvidevanja tehnološkega razvoja kažejo, da se prehod v informacijsko družbo še ni končal. Zato bi v prihodnje kazalo poiskati smeri, ki bodo dovolj samosvoje in inovativne in bodo upoštevale slovenske posebnosti in sposobnosti. V takih okoliščinah tudi informacijska družba ne bo več predmet pretežno akademskih in ozko strokovnih razprav, ampak del glavnega ekonomskega in socialnega razvojnega toka. Ključne besede: informacijska družba, družba znanja, tehnologije informacijske družbe, EU strategije, napovedovanje tehnološkega razvoja, ekonomske reforme Abstract Information Society - 10 years later The paper presents and analyzes development of Information and Knovvledge Society in Slovenia in the last 10 years. It also reflects anticipation on future development based on some ICT foresight researches. Slovenia has reached a development crossroad and has to decide on its future directions. We cannot just copy EU strategies and directives any more. We have to develop and implement innovative and reasonably original strategies that will be based on our particularities and abilities. In such circumstances the Infor¬ mation Society will no longer be predominantly academic and IT professionals' issue. It will become an integral part of social and economic development mainstream. Keywords: information society, knovvledge society, information society technologies, EU strategies, technology foresight, economic reforms 1 UVOD Deset let razuoja informacijske družbe u Sloueniji ni tako dol¬ go obdobje, da bi lahko nanj gledali z zgodovinske razdalje in zgodovinsko objektivnostjo. Kljub temu pa je to obdobje dovolj dolgo, da je zanimivo in poučno, če se ozremo na prehojeno pot in pogledamo, kako so dozorevale različne ideje in kako so se spreminjale okoliščine, v katerih smo postavljali temelje informacijski družbi. Ob tem se postavljajo različna vprašanja, povezana z uspešnostjo, učinkovitostjo in izvirnostjo našega pristopa: ali smo bili uspešni, ali smo se v izvirnosti odmak¬ nili od povprečja držav v regiji, kakšen vpliv je imela ED in kakšen je bil vpliv naše države, kdo je več prispeval k razvo¬ ju, ali se je informacijska družba razvijala od spodaj navzgor (od ponudnikov in uporabnikov informacijskih storitev), ali pa od zgoraj navzdol (spodbujena z vladnimi ukrepi) in podobno. Slika ni črno-bela, zato bo lahko marsikatera trditev predmet razprav. Omeniti pa kaže, da še ni bilo resnejših poskusov oceniti razvoj informacijske družbe u Sloveniji in iz tega pote¬ gniti koristne nauke tudi za prihodnost. Zadnjih deset let smo večino svoje energije usme¬ rili v prilagajanje evropskim normam in vstopanju v Evropsko unijo, zato je razumljivo, da smo se lahko osredotočili le na najpomembnejše aktivnosti. Na drugih področjih pa so zadeve tekle same od sebe in po svoji vztrajnosti. Informacijska družba je bila eno takih področij, kjer smo se prepuščali evropskim strategijam in direktivam EU. Naj omenim samo uva¬ janje elektronskih podpisov in liberalizacijo telekomu¬ nikacij, ki se je najbrž še vedno ne bi lotili, če ne bi bil to eden od pogojev za vstop v Evropsko unijo. Takih primerov, kjer se je strategija »sledenja« pokazala kot uspešna in predvsem racionalna, je bilo veliko tudi na drugih področjih. Vendar ima ta strategija tudi tem¬ no plat, saj je očitno, da so velike razvojne preskoke naredili le tisti, ki so bili pogumnejši in izvirnejši od drugih in so našli svojo specifično pot v informacijsko družbo. Zanimiv pa je tudi razmislek o naslednjih desetih letih informacijske družbe, čeprav je o prihodnosti ve¬ liko teže govoriti kot o preteklosti. Slovenija se je brez dvoma znašla na razvojnem razpotju, ko se mora 52 uporabna INFORMATIKA 2006 - številka 2 - letnik XIV Cene Bavec: Informacijska družba - deset let kasneje odločiti za pot nadaljnjega razvoja, ki ne bo le presli¬ kava evropskih strategij in direktiv, ki jih moramo tako ali tako upoštevati, ampak dovolj samosvoja in inovativna, da bo upoštevala naše posebnosti in sposobnosti. S tega zornega kota bo imel v prihodnje koncept informacijske družbe veliko pomembnejšo vlogo, kot jo je imel do sedaj. Upam le, da bomo dovolj modri, da bomo upoštevali vse, do česar se je dokopala Evropa in se vendar znali v množici mož¬ nosti osredotočiti na tiste, ki nam bodo prinesle naj¬ več. Omeniti kaže najnovejše raziskave in projekcije EU, povezane z razvojem informacijske družbe. Konec leta 2005 se je končal projekt FISTERA, eden večjih raziskovalnih projektov v okviru 6. okvirnega programa EU, ki se je pri predvidevanju razvoja teh¬ nologij informacijske družbe poleg tehnoloških lotil tudi ekonomskih in socialnih vprašanj. Projekt je na¬ kazal nekatere nove razvojne trende in priložnosti, ki jih prinaša informacijska družba. Če smo pred deseti¬ mi leti govorili predvsem o tehnologiji, infrastrukturi in konvergenci digitalnih tehnologij, bomo v nasled¬ njih letih priča konvergenci informacijskih, nano- in biotehnologij, kar prinaša nove poglede na vlogo in posledice uvajanja informacijskih tehnologij. Tudi razvoj e-poslovanja in e-uprave je že dosegel tisto stopnjo, ko ne potrebuje več pomembnejših zunanjih spodbud, saj ima dovolj veliko lastno razvojno vztraj¬ nost. Zato pa se postavljajo nove prioritete, ki bodo potrebovale državno podporo in družbeni konsenz. Naj omenim samo področje e-izobraževanja, ki naj bi v prihodnjih desetih letih doživelo podobno radikal¬ no preobrazbo, kot sta ga e-poslovanje in e-uprava v preteklih desetih letih. Vnaprej se moram opravičiti, ker v tako kratkem prispevku ne morem omeniti vseh pomembnih prispevkov in dogodkov v razvoju informacijske družbe v Sloveniji. Zadržal se bom predvsem na ak¬ tivnostih, ki so potekale na relaciji Slovenija Evropska komisija in aktivnostih na nacionalni ravni. Podrobne¬ jši pregled in analizo drugih področij prepuščam drugim, ki se bodo tega lotili bolj sistematično, z večjo količino podatkov in z več časa. 2 INFORMACIJSKA DRUŽBA - PRUIH DESET LET O informacijski družbi smo v Sloveniji začeli formal¬ no govoriti pred dobrimi desetimi leti [3][4]. To je dovolj dolgo obdobje, da se lahko ozremo na pre¬ hojeno pot in poskušamo ugotoviti, kje in zakaj smo bili uspešni in kje neuspešni. V teh letih smo izrabili vrsto priložnosti, ki so se nam ponudile, vendar smo jih precej tudi zamudili. Verjetno smo se česa tudi naučili, kar bi lahko uporabili pri načrtovanju infor¬ macijske družbe v naslednjih desetih letih. Najmanj, kar nam je postalo jasno, pa je to, da je pred nami še dolga pot, polna izzivov in možnosti. Slovenska pot v informacijsko družbo se je začela nekoliko drugače kot v drugih državah v srednje¬ evropski regiji, ki so medtem že postale članice EU. Ob koncu osemdesetih let je bila Slovenija celo po evropskih standardih računalniško razvita tudi zato, ker je bila v njej zbrana proizvodnja za jugoslovanski in vzhodnoevropski trg, nekaj pomembnih multina¬ cionalk pa je vodilo jugoslovanske in deloma medna¬ rodne posle iz Ljubljane. Po razpadu velikih sloven¬ skih gospodarskih sistemov smo imeli nadpovprečno veliko računalniških strokovnjakov, ki pa so se kmalu raztresli po majhnih podjetjih. Že leta 1993 smo ugo¬ tavljali, da se je razblinila večina prednosti, ki jo je imela Slovenija v primerjavi z srednjeevropskimi državami. V naslednjih letih smo le malo odstopali od drugih (glej primera na sliki 2 in 3). Kljub temu lahko trdimo, da je Slovenija razmeroma uspešna, seveda ob tem, da je definicija uspešnosti subjektivna in odvis¬ na od zastavljenih ciljev. Očitno nam je nekaj držav razvojno že »pobegnilo«, vse pa kaže, da nas bo v naslednjih letih prehitela še kakšna. Zato je to pravi trenutek tudi za razmislek o naših razvojnih možnostih. Koncept informacijske družbe je dobil domovin¬ sko pravico leta 1994, ko je Sloveniji uspel veliki poli¬ tični met. Organizirala je mednarodno konferenco o informacijski infrastrukturi in difuziji tehnologije, na kateri je sodeloval tudi takratni podpredsednik Ev¬ ropske komisije in evropski komisar Martin Bange- mann, ki je med informatiki postal pojem z »Bange- manovim poročilom« [2]. To je bila zelena luč tudi za aktivnosti v Sloveniji, ki so dobile politično podporo. Politika seveda v ta razvoj ni nikoli iskreno verjela, vendar zaradi močne podpore s strani EU temu ni niti nasprotovala. Vse skupaj je prepuščala osebni pobu¬ di ali pobudi posameznih resorjev. Kljub temu pa je država opravila svoj del naloge s tem, da je po letu 2000 v skladu z evropskimi direktivami uredila zako¬ nodajo na področju telekomunikacij, elektronskih podpisov in intelektualne lastnine. Ko se oziramo nazaj, kaže omeniti, da se je poleg aktivnosti takratnega Ministrstva za znanost in teh- 2006 - številka 2 - letnik XIV UPORABNA INFORMATIKA 53 Cene Bavec: Informacijska družba - deset let kasneje ca >o E 2 c .s, o ~ O (D 0 E -Q 1 0’N E 2 g c £ .1°- co .E ), čakanje na uporabnika, da sproži BPEL proces oz. na odgovor asinhronega procesa ( ), odgovor sinhronega procesa ( ), prirejanje vrednosti spremenljivkam ( ) ali delo z izjemami ( ). Več primitivnih Slika 2: Oracle BPEL Designer, urejevalnik jezika BPEL 2006 -številka 2-letnik XIV UPORABNA INFORMATIKA 83 Tomaž Poštuvan: Storitveno usmerjena arhitektura kot sodobni način integracije aktivnosti združujemo v sestavljene aktivnosti, s kate¬ rimi usmerjamo procesni tok. Določimo lahko zapo¬ redno ( ) oz. vzporedno ( ) izvajanje aktivnosti, vejitve ( ) ali odločitve ( ) le-teh, prav tako pa jih lahko zapremo v področja (), znotraj katerih definiramo vidnost spre¬ menljivk ( ). Verzija BPEL 2.0, ki prihaja leta 2006, bo dodala še nekaj dodatnih aktivnosti, kot so zanke za izvajanje (, ), pre¬ verjanje vrednosti spremenljivk ( ), hkrati pa bo malce poenostavila določena opravila, npr. pri¬ rejanje vrednosti spremenljivk. Ker je vsak proces BPEL spletna storitev, potrebuje tudi svojo datoteko WSDL, kar pomeni, da ga je mogoče tudi poklicati kot vsako drugo spletno storitev. Se več, posamezne procese BPEL je mogoče sestavljati tudi med seboj, tako da imamo pri izbiri veliko svobode. 2.1 Uključiteu drugih programskih delov Osnova dela z jezikom BPEL so res spletne storitve, vendar pa ni ključna storitev sama, temveč vmesnik WSDL, ki jo opisuje. Zato je mogoče v procese BPEL vključevati tudi druge programske dele, kot so eno¬ stavni java razredi, javanska zrna, JMS, JCA ipd. Up¬ orabiti je treba ogrodje WSIF ( Web Services Invocation Framezvork), ki posamezen programski del predstavi kot abstraktno spletno storitev, vse druge lastnosti pa opisuje pripadajoča datoteka WSDL. Tako je mogoče dostopati do različnih sistemov z domačimi ( native ) protokoli in formati podatkov, proces BPEL pa jih vidi kot navadne spletne storitve. 3 Kako začeti Uvajanje storitveno usmerjene arhitekture v podjetje zahteva precejšnje spremembe, še posebej v načinu razmišljanja, zato je treba analizi posvetiti dovolj časa. Najpomembnejše je, da se odločimo, katere poslovne procese želimo podpreti in kako jih razdeliti v pod- procese, da se ne bi zgodilo, da bi imel orkestracijski proces na koncu sto in več korakov. Ključno je dolo¬ čanje izjem in njihova obravnava. Kaj se bo zgodilo, če pokličemo spletno storitev, le-ta pa zaradi različnih razlogov ni na voljo (ponudnik storitve se ne odziva, strežnik ni dvignjen, strojna napaka na računalniku, težave z omrežjem ...)? Imamo rezervni strežnik, ki ponuja isto storitev - ali moramo zaključiti proces? Kako bomo v tem primeru vzpostavili staro stanje (:rollback )? Kako bomo zagotovili varnost povezave s ponudnikom storitve? Ali imamo zagotovilo, da se storitev pokliče samo enkrat? Določene težave so tehnične narave in za te že obstajajo rešitve, ki jih odpravljajo (standardi WS-Coordination, WS-Securi- ty, WS-Reliability idr.). Organizacijske težave pa so zahtevnejše od tehničnih in so specifične za vsako podjetje, zato je analiza tako pomembna. Predlagam postopno uvajanje arhitekture SOA (začnemo z nekaj manjšimi procesi, če je le mogoče v okviru enega oddelka, nato pa podporo širimo na vse podjetje) z naslednjimi koraki: • identifikacija poslovnega procesa in razdelitev na smiselno število podprocesov, ■ določitev seznama gradnikov, ki bodo vključeni v poslovni proces (spletne storitve, ERP/Mainframe, Java, dodatne uporabniške naloge), . model poslovnega procesa (1. korak, 2. korak ...) - vsaj na začetku bo proces zahteval neprestana pri¬ lagajanja, • določitev izjem in njihova obravnava, ■ uporabniški vmesnik (kako se bo proces začel izva¬ jati in v katerih točkah bodo vključeni uporabniki), ■ testiranje izvajanja in produkcija. 3.1 Kandidati za uporabo storitvena usmerjene arhitekture Odločitev za arhitekturo SOA sicer ni lahka, ven¬ dar pa podjetja iz vseh industrijskih panog in iz jav¬ nega sektorja, kjer so storitveno usmerjeno arhitek¬ turo že uspešno uvedli, dajejo dober zgled. Za neka¬ tere bo uvedba lažja, za druge težja, dobri kandidati pa so: ■ podjetja, ki imajo heterogena okolja in temu pri¬ merno precej težav pri integraciji različnih siste¬ mov, ■ podjetja, ki imajo že opravljen vsaj kakšen korak uvajanja arhitekture SOA (glej poglavje 2), dobro definirane poslovne procese in pripravljeno infra¬ strukturo, > podjetja, katerim se poslovni procesi pogosto spre¬ minjajo in jih je treba v čim krajšem času infor¬ macijsko podpreti, ■ podjetja, ki že uporabljajo spletne storitve in splet¬ ne aplikacije. 4 Sklep Storitveno usmerjena arhitektura in orkestracija storitev s programskim jezikom BPEL sta gotovo pot, na katero se bo moralo prej ali slej podati vsako pod¬ jetje. InfoVVorld je opravil poglobljeno raziskavo v 84 uporabna INFORMATIKA 2006 - številka 2 - letnik XIV Tomaž Poštuvan: Storitveno usmerjena arhitektura kot sodobni način integracije zahodnem svetu, ki pravi, da več kot 75 odstotkov vseh podjetij bodisi že uporablja bodisi planira pilot¬ ne projekte SOA. Po drugi strani Gartner predvideva, da bo do leta 2008 SOA postala prevladujoča praksa razvoja poslovnih rešitev [1], IDC pa ocenjuje, da bo tržišče aplikacij SOA do leta 2009 vredno 9 milijard dolarjev. Zanimivo je razmišljanje, da bodoči arhitekti programske opreme ne bodo več programerji, temveč bolj »zidarji«, katerih naloga bo bolj kot programiranje »zlaganje opek« (programskih storitev) eno na drugo, v smislu, ki ga uvaja storitveno usmerjena arhitektu¬ ra [6]. Tudi v Sloveniji vedno več podjetij razmišlja o tem, da bi nove aplikacije razvijali v novi tehnologiji, ki bi jim omogočila preprostejše povezovanje in odzivan¬ je na stanje tržišča. Tako si lahko vsaj na začetku obe¬ tajo primerjalno prednost pred tistimi, ki bodo prehod naredila kasneje. Nekaterim to zadostuje. 5 Viri in literatura [1] Gartner, Service Oriented Architecture Scenario, http:// www.gartner.com/DisplavDocument7doc_cd = 114358 . [2] JURIČ, Matjaž: Business Process Execution Language for Web Services, knjiga, Packt Publishing, Oktober 2004. [3] AFSHAR, Mohamad, SHAFFER, Dave et co., Process- centric realization of SOA, članek, http://webservices.svs- con.com/read/ 46870.htm?CFID=29895&CFT0KEN = 150177FC- E7CE-121A-540B122E3593B949 . November 2004. [4] DAVYDOV, Mark M., Managing State in Service-Oriented Architecture, članek, Oracle Techno!ogy Network, http:// www.oracie.com/technologv/pub/articles/ davvdov soa.html . [5] BEA, Turning IT Vision into Business Value, white paper, http://whitepapers.techrepublic.com.com/ abstract.aspx?docid = 148108&promo=100200 . Avgust 2005. [6] TAFT, Darryl K., Building Enterprise Apps: ITTakes on SOA, članek, http://www.eweek.com/article2/ 0.1895.1925437.00.asp . Tomaž Poštuvan je po končanem študiju na Fakulteti za računalništvo in informatiko Univerze v Ljubljani leta 1997 pridobil naziv magister računalništva. V tem času je bila njegova raziskovalna dejavnost usmerjena predvsem na področje prevajanja programskih jezikov. Kasneje se je ukvarjal z razvojem poslovnih informacijskih sistemov, trenutno pa je zaposlen v podjetju Oracle kot svetovalec v procesu prodaje, specializiran za področje aplikacijskih strežnikov in razvojnih orodij. Njegove naloge so spremljanje tehničnih novosti tega področja ter ugotavljanje potreb tržišča informacijske tehnologije. Prav tako med njegove zadolžitve sodita podpora partnerjev in strank Oracle, redno pa sodeluje tudi na slovenskih računalniških konferencah in predstavitvah, kjer predstavlja Oraclove rešitve na področju aplikacijskega strežnika in razvojnih orodij. 2006 - številka 2 - letnik XIV UPORABNA INFORMATIKA 85 IZBRANI PRISPEVKI DSI 2006 B Izkušnje pri načrtovanju in razvoju storitvene arhitekture Marko Tekavc, Matjaž B. Jurič Fakulteta za elektrotehniko, računalništvo in informatiko, Smetanova 17, 2000 Maribor marko, tekavc @uni-mb. si Povzetek Storitveno orientirana arhitektura (SOA) je trenutno zelo aktualna tema, saj veliko strokovnjakov s področja informacijskih tehnologij vidi prednosti takšne arhitekture v pospešitvi procesa razvoja aplikacij in prilagodljivosti takšnih sistemov ter s tem hitrejšemu odzivu na spreminjajoče se poslovne potrebe. Žal danes obstaja kaj malo izkušenj pri razvoju rešitev na SOA. Eden izmed razlogov za to je prav gotovo tudi v pomanjkljivi in omejeni podpori orodij za načrtovanje in razvoj takšnih rešitev. Vendar pa se z vedno bolj zrelimi standardi na tem področju izboljšuje tudi podpora orodij, s čemer pa načrtovanje in razvoj rešitev SOA postaja veliko hitrejše in predvsem enostavnejše. V prispevku si bomo zato pogledali ključne prednosti SOA, nato pa predstavili prednosti in slabosti uporabe orodij za razvoj SOA združljivih rešitev, temelječe na izkušnjah pri razvoju prototipa takšne rešitve. Ključne besede: storitveno orientirana arhitektura, spletne storitve, povezljivost, WS-I, orkestracija, BPEL Abstract Design and deuelopment eaperience vuith Service oriented arhitecture Service oriented architecture (SOA) is currently a very popular topič. Information technology experts see its advantages in speeding up applicatioris development process and in adaptability which leads us to faster response to changing business needs. Unfortunately, there are not many experiences in development of SOA Solutions. One of the reasons for that lies surely in deficient and limited support of applications for planning and development of such Solutions. Yet, with far more mature standards in this field, the tool's support is getting better, and with this, the SOA development Solutions and their planning are becoming faster and easier. In the article, we will therefore have a look at the key advantages of SOA, and we will introduce the advantages and disadvantages of using the tools for development of SOA compliant Solutions, based on experiences gained by the development of SOA prototype. Keywords: Service oriented architecture (SOA), web Services, linkage, WS-I orchestration, BPEL 1 Uuod Storitvene arhitekture so zadnji, najaktualnejši arhitekturni pristop, ki obljublja rešitve znanih težav, s katerimi se soo¬ čamo pri razvoju in vzdrževanju kompleksnih informacijskih sistemov. S tehnološkega vidika so storitvene arhitekture zgolj posebna vrsta porazdeljenih sistemov, pri katerih so komponente sistema storitve [2]. Vendar pa se razvoj SOA ra¬ zlikuje od klasičnega razvoja objektnoorientiranih aplikacij, na kar maramo biti pozorni že pri načrtovanju storitvene arhitek¬ ture. Še do nedavnega ni bilo podpore orodij za implementa¬ cijo rešitev SOA ali pa je bila podpora zelo omejena. Tako je bilo za uspešno implementacijo potrebno podrobno poznavanje niz- konivojskih tehnologij, standardov, kompleksnih nastavitvenih datotek, namestitvenih procedur itd. Zaradi tega je bila izdelava storitev, še bolj pa zagotavljanje varnosti, povezljivosti in orkestracija storitev predvsem v domeni pilotskih projektov in akademskih krogov. Z dopolnitvijo in utrditvijo standardov na področju SOA pa se vse bolj uveljavljajo tudi orodja, ki danes omogočajo obsežnejšo in kakovostnejšo podporo razvoju na vseh nivojih SOA. Z uporabo orodij se sicer odpovemo delu fle¬ ksibilnosti, nemalokrat naletimo na nerazumne omejitve in nepredvidene težave, vendar pa hitrejši in predvsem enostav¬ nejši razvoj odtehtata slabosti orodij in pripomoreta k širši up¬ orabnosti novih tehnologij in pristopov. V prvem delu prispevka na kratko podamo last¬ nosti in prednosti SOA, nato pa predstavimo naš pris¬ top k načrtovanju in razvoju SOA in izkušnje, ki smo jih ob tem pridobili. Osredotočili se bomo predvsem na opis prednosti in slabosti uporabe razvojnih okolij ter na konkretne težave in omejitve, na katere smo naleteli pri razvoju in načrtovanju. 2 Storitvena arhitektura Storitveno orientirana arhitektura (SOA) je arhitektur¬ na paradigma, ki predpisuje uporabo storitev in način komuniciranja med temi storitvami. Sama storitev predstavlja neko funkcionalnost, ki je neodvisna od drugih storitev, pri čemer opravlja natančno določeno 86 uporabna INFORMATIKA 2006 -številka 2-letnik XIV Marko Tekavc, Matjaž B. Jurič: Izkušnje pri načrtovanju in razvoju storitvene arhitekture operacijo, ki jo lahko uporabimo tudi zunaj konteks¬ ta aplikacije [5]. Pri tem je pomembno, da ima storitev natančno definiran vmesnik, dejansko gre za natan- čen/podoben opis sporočil, ki si jih izmenjujejo sto¬ ritve in do katerega lahko dostopimo prek omrežja z uporabo standardnih protokolov in podatkovnih ti¬ pov [6]. Storitvene arhitekture temeljijo na [2]: • različnih tipih storitev: sporočilnih, podatkovnih, komponentnih in konverzacij skih, • posrednikih storitev oz. storitvenem vodilu (ESB - Enterprise Service Bus), ■ zmožnosti deklarativne kompozicije storitev z up¬ orabo orkestracije ali koreografije, • obravnavi izjem in kompenzaciji delnih učinkov procesov, « prestrezanju zahtev in razširljivosti ter . povezljivosti. Realizacija storitvene arhitekture pa je nujno pove¬ zana z uporabo ustreznih tehnologij. V tem trenutku so za realizacijo storitvenih arhitektur najprimernejša in tudi najpogosteje uporabljana tehnologija spletne storitve, pri čemer pa za realizacijo zgoraj opisanih konceptov ne zadošča več zgolj uporaba treh os¬ novnih tehnologij (SOAP, WSDL in UDDI), pač pa je potrebno uporabiti sklad tehnologij WS-* [2]. 2.1 Prednosti storitvene arhitekture Seveda storitvene arhitekture ne uporabimo zgolj zato, ker je to aktualno, temveč zato, ker predvsem na procesnem nivoju prinaša določene prednosti: . izboljšano odzivnost na poslovne spremembe, • hitrejše povračilo vlaganj (ROI-Return Of Invest- rnent), • preprostost definicije in sprememb poslovnih pro¬ cesov, . večjo konsistentnost in lažje vzdrževanje kode ter . izboljšano povezljivost. 2.2 Načrtovanje storitvene arhitekture Prvi korak razvoja storitvene arhitekture je načrtova¬ nje, kjer se moramo oddaljiti od objektno orientirane¬ ga razmišljanja in začeti razmišljati o storitvah ter nji¬ hovem povezovanju. Načrtovanje informacijskih rešitev in njihova izvedba v skladu s paradigmami storitvene arhitekture velikokrat pomeni tudi delno opustitev lepih praks objektno orientiranega razvoja, predvsem uporabe vmesnikov, dedovanja in mnogoličnosti. Ker se med odjemalcem in storitvijo prenaša le stanje, ki gaje mogoče serializirati, takoj po prenosu pa se izgubi tudi povezava med izvornim objektom in razredom, lahko trdimo, da so za para¬ metre metod, ki jih omogoča spletna storitev, uporab¬ ni le najpreprostejši vrednostni objekti, torej objekti, katerih edino poslanstvo je prenos podatkov. S tem pa se že precej oddaljimo od objektne paradigme. Pri iz¬ postavljanju objektno zgrajenih komponent prek vmesnika spletne storitve se tako srečamo z določeni¬ mi težavami, še posebno, če komponente gradimo uni¬ verzalno, z upoštevanjem načel objektnega programi¬ ranja in s sistemi za distribuirane objekte v podzaves¬ ti. Delno se lahko nekaterim najenostavnejšim težavam izognemo z ročno implementacijo mehanizmov za se- rializacijo/deserializacijo sporočil SOAP ter z ročno iz¬ delavo vmesnika WSDL. Vendar zaradi kompleksnos¬ ti in potencialnih napak takšnega pristopa skoraj ni zaslediti. Odvisni smo torej predvsem od orodij, ki nam pomagajo pri gradnji storitev. Zal smo pri večini orodij soočeni s tem, da ne znajo vmesnikov kompo¬ nent, napisanih v nekem programskem jeziku, pre¬ vesti v ustrezen dokument WSDL. Prav tako nam za samodejno kreiranje dokumenta VVSDL ni uspelo uporabiti parametrov, podanih v obliki vmesnikov. Rezultat je zato, objektno gledano, dokaj nekonsis¬ tentna koda. Zaradi tega smo v naši rešitvi v ločenih paketih izdelali posebne dele kode, namenjene zgolj izpostavitvi komponente v obliki spletne storitve. V načrtu implementacije storitvene arhitekture smo le-to razdelili v tri korake: implementacijo sto¬ ritev, zagotavljanje povezljivosti ter povezovanje oziroma orkestracijo storitev. V naslednjih poglavjih bomo opisali posamezen korak in podali nekaj iz¬ kušenj, ki smo jih ob implementaciji posameznega koraka pridobili. 3 Implementacija storitev s pomočjo razvojnih orodij Čeprav storitvena arhitektura ne temelji zgolj na spletnih storitvah, so prav spletne storitve zaželen in na standardih osnovan način za realizacijo storitvene arhitekture [3]. Razvoj in kompozicija storitev, pa je lahko zelo zahtevno delo, pri katerem moramo do potankosti poznati predpisane standarde, natančno uglasiti razvojno okolje in pri tem pripraviti veliko nastavitvenih datotek, ki nimajo neposredne poslov¬ ne vrednosti. Ugotovili smo že, da si moramo za hitrejši in učinkovitejši razvoj storitev pomagati z raz¬ vojnimi orodji. Takšen razvoj pomaga razvijalcem in 2006 - številka 2 - letnik XIV UPORABNA INFORMATIKA 87 Marko Tekavc, Matjaž B. Jurič: Izkušnje pri načrtovanju in razvoju storitvene arhitekture načrtovalcem avtomatizirati številne dolgotrajne na¬ loge, ki so pogosto tudi vzrok napak. Danes nam orodja na področju razvoja za SOA ponujajo veliko pomoči v različnih fazah in področjih razvoja. Orod¬ ja nam avtomatizirajo in transparentno pripravijo raz¬ vojno okolje ter praviloma nudijo grafične vmesnike z naborom številnih komponent, ki jih lahko prepro¬ sto in intuitivno uporabimo. Ena izmed ključnih pred¬ nosti uporabe orodij je podpora dostopu do podatk¬ ovnih baz, kjer najdemo zelo različne nivoje podpore, vse od popolne podpore objektno relacijskega presli¬ kovanja do zgolj avtomatizacije dela nalog za dostop do podatkovne baze. Za razvoj SOA je posebej zan¬ imiva podpora avtomatskemu ustvarjanju spletnih storitev, ki razvijalcem omogoča, da se osredotočijo zgolj na problem z vidika programskega jezika. Tipično nam orodja omogočajo izdelavo ogrodja spletnih storitev iz datotek WSDL, razredov in tudi shem XML. Prav tako preprosto pa lahko s pomočjo orodij izdelamo tudi odjemalce spletnih storitev. Nazadnje lahko s pomočjo orodij aplikacijo tudi zapa¬ kiramo in neposredno namestimo na aplikacijski strežnik. 3.1 Uidiki uporabe orodij za razuoj SOA Nedvomno uporaba orodij z avtomatizacijo številnih dolgotrajnih in utrudljivih nalog razvoja storitev in kasneje poslovnih procesov poveča produktivnost razvijalcev. Ker je večina kode in nastavitev, namenje¬ nih zgolj infrastrukturi abstrahirane ali pa jo samodej¬ no ustvari orodje, se lahko razvijalci osredotočijo na implementacijo poslovne logike. Ob tem pa s prikrit¬ jem in avtomatizacijo številnih kompleksnih nalog orodja močno olajšajo učenje in omogočijo tudi neiz¬ kušenim programerjem hiter pristop k razvoju SOA [5]. Seveda pa ima uporaba orodij tudi nekatere po¬ manjkljivosti in omejitve. Če si želimo poenostaviti razvoj in izkoristiti prednosti, ki nam jih ponujajo orodja, se moramo sprijazniti z omejitvami teh orodij. Sploh kadar gre za prvo podporo orodja določeni teh¬ nologiji, pogosto naletimo na težavo, ki je ne moremo rešiti na način kot so si ga zamislili snovalci orodja. Se ena izmed ključnih slabosti uporabe orodij je, da le-ta velikokrat uporabljajo svoje verzije rešitev in ne sledi¬ jo standardom, ki jih predpisujejo neodvisne orga¬ nizacije. Kljub vsemu v večini primerov prednosti, ki jih prinaša uporaba orodij odtehtajo slabosti. 3.2 Predstavitev izkušenj pri uporabi orodij za izdelauo spletnih storitev Med orodji, ki so bila v danem trenutku na voljo, smo izbrali Oracle JDeveloper, ki se je v kombinaciji z okol¬ jem BPEL Process Manager v našem primeru izkazal za najprimernejše orodje. Uporabili smo večino naj¬ pomembnejših prednosti, ki nam jih pri izdelavi storitev ponujajo orodja. Zelo enostavna in prilagod¬ ljiva je možnost izdelave deskriptorjev za pakiranje spletne storitve ter neposredna namestitev storitev na spletni ali aplikacijski strežnik. Ker orodje podpira izdelavo spletnih storitev iz javanskih razredov, smo se razvoja spletnih storitev lotili po izdelanem načrtu in pri tem večinoma sledili pravilom objektno orien¬ tiranega razvoja. Tak pristop se ni izkazal za najbolj¬ šega, zato smo kasneje, kot je to opisano v poglavju o načrtovanju, rešitev nekoliko prilagodili. Pri tem smo bili v razredih, ki smo jih nato izpostavili kot spletne storitve, še posebej pozorni na uporabo tipov, ki se lahko serializirajo v od jezika neodvisne XML tipe. Verzija orodja, ki smo jo uporabljali, je omogočala zgolj minimalno prilagoditev raznih parametrov pri avtomatski izdelavi spletnih storitev iz razredov. Naj¬ bolj izrazita slabost je ta, da spletne storitve, ki jih izdela orodje, niso popolnoma skladne s standardi in da ni moč določiti tipa kodiranja SOAP - izdelati je mogoče le rpc/encoded spletne storitve. Ta omejitev je bila zaradi težav pri orkestraciji tudi vzrok za izbiro najnovejše verzije razvojnega orodja, ki pri izdelavi spletnih storitev ponuja večjo fleksibilnost in podpi¬ ra tudi izdelavo standardnih spletnih storitev JAX- RPC. Ker je šlo zgolj za pilotski projekt, smo takšno odločitev lahko sprejeli, seveda bi bilo precej drugače, če bi morali našo rešitev namestiti v produkcijsko okolje na predpisan spletni strežnik. Kajti če smo žele¬ li izrabiti prednosti, ki jih prinaša nova verzija orod¬ ja, smo morali uporabiti tudi novo verzijo aplikacij¬ skega strežnika s podporo za J2EE 1.4. Vse skupaj kaže, da orodja za podporo izdelave storitev še niso popolnoma dozorela, vendar velik napredek med verzijama orodij pomeni, da se orodja na tem pod¬ ročju intenzivno izboljšujejo. 4 Zagotavljanje povezljivosti Prav tako kot razvoj storitev je pomembno tudi zago¬ tavljanje povezljivosti le-teh. Večina rešitev SOA te¬ melji na spletnih storitvah in ker le-te predpisuje 88 uporabna INFORMATIKA 2006 - številka 2 - letnik XIV Marko Tekavc, Matjaž B. Jurič: Izkušnje pri načrtovanju in razvoju storitvene arhitekture množica standardov (XML, SOAP, WSDL, UDDI), naj bi bila povezljivost zagotovljena že sama po sebi. Seveda pa stvari v praksi vedno ne uspejo slediti teo¬ riji. Kot smo ugotovili že v prejšnjem razdelku, lahko posebno težavo zaradi specifičnih rešitev posameznih proizvajalcev predstavlja prav povezljivost storitev, izdelanih s pomočjo orodij. Za standarde na tem področju skrbi organizacija WS-I, ki je v ta namen izdelala dokument specifikacije osnovnega profila povezljivosti spletnih storitev. Osnovni profil sestoji iz niza omejitev in priporočil, z upoštevanjem katerih razvijalci implementirajo povezljive spletne storitve. Dokument, ki opisuje osnovni profil WS-I, določa zahteve, ki jih morajo izpolnjevati spletne storitve in sporočila med spletnimi storitvami, da so v skladu s tem profilom. Te zahteve so podane v obliki ošte¬ vilčenih trditev, ki so zapisane tako za končne točke spletnih storitev, kot tudi artefakte (sporočila, WSDL opise ...) le-teh. Del profila pa so tudi testna orodja, s katerimi lahko preizkusimo skladnost naše storitve s profilom. Kljub velikemu napredku, ki ga je prinesel osnovni profil k povezljivosti spletnih storitev, pa pro¬ blema povezljivosti ne rešuje popolnoma. Za to obsta¬ jata vsaj dva razloga: prvič, veliko število obstoječih spletnih storitev, je bilo nameščeno na platforme, ki niso skladne z osnovnim profilom in drugič, razvija¬ jo se tudi nove spletne storitve, ki uporabljajo nove izboljšave spletnih storitev, kot npr. WS-Security ali lastne razširitve, ki pokrivajo lastnosti, ki jih ni v os¬ novnem profilu. Seveda organizacija WS-I razvija tudi nove profile za povezljivost, vendar pa dokler ne bodo standardi spletnih storitev popolnoma končani in stabilni bomo vedno znova naleteli na težave pri povezljivosti. Če bomo uporabljali funkcije, ki so zunaj osnovnega profila (npr. alternativne transportne protokole ali varnostne mehanizme), je dobro, da najprej naredimo spletno storitev brez teh funkcionalnosti in jo testira¬ mo za zmožnost povezovanja. Ko imamo ustrezno specifikacijo WSDL in povezljivo spletno storitev, pa uvedemo še dodatne funkcionalnosti. Poleg pred¬ pisanega v osnovnem profilu WS-I je priporočeno upoštevati še naslednje smernice: • Čeprav nas osnovni profil WS-I pri izbiri kodiran¬ ja omeji na kodiranje literal v povezavi z RPC ali document, je priporočena uporaba kombinacije document/literal. • Pri načrtovanju sheme XML, namenjene uporabi v spletni storitvi, je dobro upoštevati naslednja priporočila: shemo vedno izdelajmo z orodji, neodvisnimi od platforme; še posebej pa se izo¬ gibajmo uporabi za platformo specifičnih tipov. Prepričajmo se, da shema vsebuje vse informacije, ki jih spletna storitev potrebuje za delovanje. Pomembno je tudi, da se zavedamo težav, ki jih lahko povzroči uporaba funkcionalnosti, ki jih ne podpirajo večje platforme. ■ Če želimo izdelati WSDL, ki bo kompatibilen z os¬ novnim profilom WS-I, ga lahko napišemo na roko in s pomočjo WS-I orodij preverimo, ali je doku¬ ment skladen z zahtevami profila. Ker je takšna izdelava WSDL navadno časovno dolgotrajna, ga praviloma izdelamo s pomočjo orodji, kasneje pa ga po potrebi popravimo tako, da odpravimo vse posebnosti platforme. 5 Orkestracija storitev Za storitveno orientirano arhitekturo je zelo pomem¬ bna zmožnost sestavljanja in integracije spletnih storitev v poslovni proces. Zaželeno je, da tak proces predstavimo na neki standardizirani način z uporabo splošno priznanega jezika. Takšen standardni jezik je danes BPEL4VVS, katerega poglaviten namen je stan¬ dardizacija avtomatizacije procesov med spletnimi storitvami. Za uresničitev koncepta deklarativne ko¬ mpozicije storitev lahko uporabimo jezik BPEL in orkestracijo storitev. Pri orkestraciji centralni proces, ki je lahko tudi sam spletna storitev, prevzame nad¬ zor nad drugimi spletnimi storitvami in koordinira iz¬ vajanje operacij spletnih storitev, pri čemer vpletenim spletnim storitvam ni treba vedeti, da so del večjega poslovnega procesa [1]. Uporaba orodja za povezovanje storitev v poslovni proces je nepogrešljiva, še posebej zato, ker pri tem praviloma sodelujejo poslovni uporabniki, ki jih ne zanimajo standardi in niže ležeče tehnologije. Orod¬ ja za podporo izdelavi procesov BPEL so praviloma skladna s standardom BPEL4VVS in nam dajejo vizual¬ no okolje za izgradnjo procesov BPEL skupaj s stan¬ dardnimi gradniki (npr. invoke, svvitch, assign). Naj¬ pomembnejše funkcionalnosti orodij za razvoj proces¬ ov BPEL so povleci in spusti okolje za načrtovanje procesov, vizualni urejevalnik XPath, neposredna na¬ mestitev procesa na strežnik, UDDI in WSIL raziskov¬ alca in grafični vmesnik za izdelavo transformacij XSLT. Pri razvoju naše SOA smo uporabili orodje Oracle BPEL Designer, ki je skoraj v celoti izpolnilo naša 2006 -številka 2-letnikXIV UPORABNA NFORMATIKA 89 Marko Tekavc, Matjaž B. Jurič: Izkušnje pri načrtovanju in razvoju storitvene arhitekture pričakovanja. Orkestracijo storitev smo tako v celoti izvedli z uporabo grafičnega okolja pri čemer smo uspešno uporabili večino najpomembnejših funkcio¬ nalnosti, ki jih nudi orodje. Na težave smo naleteli pri sklicevanju na spletne storitve, ki so uporabljale rpc/ encoded kodiranje sporočil SOAP. Orodje ni znalo razčleniti sheme, ki je vsebovala polje elementov in zato nismo mogli uporabiti nekaterih storitev. Z za¬ menjavo verzije razvojnega okolja za razvoj storitev smo lahko izdelali standardne spletne storitve, ki so uporabljale document/literal kodiranje sporočil SOAP, ki smo jih nato lahko preprosto vključili in jih med se¬ boj povezali v razne procese. Proces BPEL, izdelan s tem orodjem, lahko namestimo na katerikoli strežnik BPEL, pri čemer pa moramo biti pozorni na to, da ne uporabljamo nekaterih naprednih funkcij, ki so specifične za Oraclove produkte. E Sklep Storitveno orientirana arhitektura postaja vse po¬ membnejša in bo v prihodnosti, tako skupina Gartner, prevladujoča arhitektura [4]. Že danes je mogoče izdelati rešitve, ki temeljijo na šibko sklopljenih storit¬ vah, vendar pa je za to potrebno veliko znanja, truda in časa. Z orodji, ki so na tržišču ali na tržišče šele pri¬ hajajo, lahko vloženi trud in čas za načrtovanje, raz¬ voj in orkestracijo storitev močno zmanjšamo. Pri na¬ črtovanju in razvoju našega pilotskega projekta smo potrdili tezo o hitrejšem in predvsem preprostejšem razvoju s pomočjo orodij. Kljub temu da smo nalete¬ li na nekaj težav, ki so bile posledica nedovršenosti razvojnih orodij, se je takšen razvoj storitveno orien¬ tirane rešitve izkazal za primernega, če smo priprav¬ ljeni za hitrost in preprostost razvoja žrtvovati del fle¬ ksibilnosti in sprejeti nekaj kompromisov. 7 Viri in literatura [1] JURIČ, Matjaž B.: Business Process Execution Language for Web Services, Packt Publishing, Oktober 2004. [2] JURIČ, Matjaž B.: Storitvena arhitektura - zgolj kompozicija spletnih storitev?, COTL- časopis centra za objektno tehnologijo, Letnik 11, številka 1, pomlad 2005. [3] MAHMOUD, Qusay H.: Service-Oriented Architecture (SOA) and Web Services: The Road to Enterprise Application Integration (EAI), Sun Microsystems, April 2005. [4] ORT, Ed: Service-Oriented Architecture and Web Services: Concepts, Technologies, and Tools, Sun Microsystems, April 2005. [5] The Middleware Company: Assisted SOA Development, The Middlevvare Company, November 2004. [6] VVorld Wide Web Consortium: Service Oriented Architecture, Web Services Architecture Group, 2003. Marko Tekavc je podiplomski študent na Inštitutu za informatiko Fakultete za elektrotehniko, računalništvo in informatiko v Mariboru, kjer je tudi zaposlen kot asistent za področje informatike. Sodeluje na različnih projektih, tako aplikativnih kot znanstveno-raziskovalnih. Raziskovalna področja, s katerimi se ukvarja, pokrivajo objektno orientirane tehnologije, spletne storitve in XML, kompozicijo poslovnih procesov, agilne metode in procese ter preoblikovanje programske kode. ■ Dr. Matjaž B. Jurič je izredni profesor na Inštitutu za informatiko Fakultete za elektrotehniko, računalništvo in informatiko v Mariboru. Ukvarja se s storitvenimi arhitekturami, kompozicijo poslovnih procesov, z integracijo in elektronskim poslovanjem ter s spletnimi storitvami in z optimizacijo zmogljivosti. Je avtor ožiroma soavtor knjig Business Process Execution Language for Web Services (Packt Publishing), .NET Serialization Handbook, J2EE Design Patterns Applied, Professional J2EE EAI in Professional EJB (Wrox Press) ter poglavij v knjigah More Java Gems (Cambridge University Press) in Technology Supporting Business Solutions (Nova Science Publishers). Članke je objavljal tudi v revijah S0A-Web Services Journal, eAI Journal, Java Report, Java Developers Journal in sodeloval na konferencah, kot so OOPSLA, Oracle Open VVorld, Java Development, BEA Forum, Wrox Conferences itd. Sodeloval je pri številnih projektih doma in v tujini, med drugim tudi pri razvoju RMI-IIOP, sestavnega dela platforme Java 2. Je tudi član odbora član BPEL Advisory Board. 90 UPORA a INFORMATIKA 2006 - številka 2 - letnik XIV IZBRANI PRISPEVKI DSI 2006 S Standardi in priporočila na področju informacijske varnosti Alenka Brezavšček Univerza v Mariboru, Fakulteta za organizacijske vede, Kidričeva cesta 55a, 4000 Kranj aienka.brezavscek@fov.uni-mb,si Lucija Zupan HERMES SoftLab, d. d., Litijska 51, 1000 Ljubljana lucija.zupan@hermes.si Povzetek V prispevku so opredeljeni standardi in priporočila s področja zagotavljanja informacijske varnosti, ki se v praksi najbolj pogosto uporabljajo. Podrobneje je predstavljen standard BS 7799, ki je po novem sestavljen iz treh delov. Zgoščeno so podane spremembe, ki jih prinašata zadnji izdaji prvih dveh delov tega standarda, in sicer BS ISO/IEC 17799:2005 ter BS ISO/IEC 27001:2005. Opre¬ deljeni so tudi možni vplivi teh sprememb na organizacije, ki so svoje sisteme za upravljanje informacijske varnosti (SUIV) oblikovale na osnovi prejšnjih verzij standarda BS 7799, Opisano je tudi, katere standarde s področja zagotavljanja informacijske varnosti lahko organizacije pričakujejo v bližnji prihodnosti. Ključne besede: informacijska varnost, standardi, priporočila, BS 7799, BS ISO/IEC 17799:2005, BS ISO/IEC 27001:2005, BS 7799-3:2006 Abstract Information security standard s and guidelines In the paper, the information security standards and guidelines are quoted. The standard BS 7799 that currently consists of three parts is described in detail. Modifications in the latest versions of the first two parts of this standard (BS ISO/IEC 17799:2005 and BS ISO/IEC 27001:2005) are briefly presented. The authors also discuss possible impact of these modifications on the organizations that have developed their information security management systems IISMS) on the basis of the previous versions of the standard BS 7799, Besides, the article describes what the organizations can expect in the field of the information security standardization in the near future. Keywords; Information security, standards, guidelines, BS 7799, BS ISO/IEC 17799:2005, BS ISO/IEC 27001:2005, BS 7799- 3:2006 1 Uvod Področje zagotavljanja informacijske varnosti je eno najbolj perečih področij v zadnjem času. Primer SKB je u Sloveniji povzročil znatno spremembo v vedenju in razmišljanju tako med uporabniki storiteu kakor tudi meri vodstvenimi kadri. Iz dneva v dan se povečujejo tudi pritiski regulative, zato so or¬ ganizacije prisiljene oblikovati učinkovit sistem varovanja in¬ formacij. Varovanje informacij ni preprosta naloga, saj ob¬ sega številna področja, ki jih moramo skrbno sprem¬ ljati, da bi preprečili morebitno škodo. Poznavanje us¬ treznih standardov in priporočil igra pri tem pomem¬ bno vlogo, saj nam uporaba takih dokumentov omo¬ goča vpeljavo preizkušene prakse ter uvedbo celovite¬ ga in sistematičnega pristopa pri zagotavljanju infor¬ macijske varnosti v organizaciji. Ne nazadnje uporabo standardov s področja informacijske varnosti nare¬ kujejo tudi zahteve po poslovni odličnosti, ki so lah¬ ko predmet interne poslovne politike ali pa so postav¬ ljene s strani zunanjih poslovnih partnerjev. Na področju zagotavljanja informacijske varnosti so se bolj ali manj uveljavili številni standardi in priporočila. Množica teh dokumentov se iz leta v leto še povečuje, kar med uporabniki pogosto povzroča zmedo. Slednje otežuje obvladovanje že vpeljanih standardov, zahteva njihovo neprestano vzdrževanje v skladu s spremem¬ bami procesov, kar posledično povzroča organizaciji stroške. Dobra praksa narekuje uvedbo komplementar¬ nih standardov, ki se medsebojno dopolnjujejo in omogočajo celovito pokritje področij. Zato se organiza¬ cije pogosto znajdejo pred vprašanjem, ali je bolje uvesti najprej ITIL ali COBIT, ISO 9001 ali BS 7799, ali prepro¬ sto uporabljati stare načine dela, preizkušene prakse, ki 2006 - številka 2 - letnik XIV UPORABNA INFORMATIKA 91 Alenka Brezavšček, Lucija Zupan: Standardi in priporočila na področju informacijske varnosti ne zahtevajo prilagoditve procesov in sprememb ob¬ stoječih načinov dela. V pričujočem prispevku bomo na kratko pred¬ stavili standarde in priporočila s področja infor¬ macijske varnosti, ki se po našem mnenju v praksi najpogosteje uporabljajo. Podrobneje bomo opisali standard BS 7799, ki je eden izmed najbolj celovitih dokumentov na področju zagotavljanja informacijske varnosti. Po novem je standard BS 7799 sestavljen iz treh delov: BS ISO/IEC 17799:2005, BS ISO/IEC 27001:2005 in BS 7799-3:2006. Strukturirano bomo predstavili spremembe, ki jih prinašata najnovejši izdaji prvih dveh delov tega standarda. Preučili bomo vpliv teh sprememb na organizacije, ki so svoje siste¬ me za upravljanje informacijske varnosti zasnovale na prejšnjih verzijah standarda BS 7799. Navedli bomo tudi, katere standarde s področja zagotavljanja infor¬ macijske varnosti lahko organizacije pričakujejo v pri¬ hodnjih letih. 2 Standardi in priporočila na področju informacijske varnosti v praksi Množica standardov, priporočil in drugih dokumen¬ tov, ki v širšem ali v ožjem smislu obravnavajo pod¬ ročje zagotavljanja informacijske varnosti, je precej obsežna. Na sliki 1 so navedeni tisti dokumenti, ki so se v praksi najbolj uveljavili in se po našem mnenju najpogosteje uporabljajo. Dokumenti, navedeni na sliki 1, lahko služijo orga¬ nizacijam kot pripomoček pri oblikovanju sistema za upravljanje informacijske varnosti (v nadaljevanju SUIV). Med seboj se razlikujejo glede na širino in PD 3000 OECD OCTAVE SP 800- 14 ITIL BS 7799 PAS 56 BS ISO/IEC 13335 PD ISO/IEC 18044 COBIT BS ISO/IEC 15408 Slika 1 : Standardi in priporočila na področju informacijske varnosti, ki se v praksi najpogosteje uporabljajo globino področja, ki ga posamezen dokument obrav¬ nava. Nekateri od naštetih dokumentov so bolj splošne narave in pokrivajo širše področje zagotav¬ ljanja varnosti, medtem ko so drugi specializirani in podrobno obravnavajo določen, specifičen segment zagotavljanja varnosti. Razvrstitev dokumentov gle¬ de na širino in globino obravnavanega področja je shematično prikazana na sliki 2. Nekateri od doku¬ mentov, ki so navedeni na sliki 2, so uveljavljeni mednarodni standardi, drugi predstavljajo izkušnje najboljše prakse, tretji pa so zgolj priporočila ali smer¬ nice, ki jih posamezne organizacije priporočajo. Različne statuse dokumentov smo v sliki 2 skušali ponazoriti z različnimi odtenki sivih barv. Ozko Širina obravnavanega področja Široko Slika 2: Razvrstitev dokumentov na področju informacijske varnosti glede na status dokumenta ter glede na širino in globino obravnavanega področja V nadaljevanju bomo vsakega od dokumentov, navedenih na slikah 1 in 2, na kratko opisali. Standar¬ da BS 7799 na tem mestu ne bomo navajali, pač pa ga bomo podrobneje predstavili v poglavju 3. COBIT (angl. Control OBjectives for Information and related Technology ) je zbirka nadzornih ciljev, ki pred¬ stavljajo najboljšo prakso za upravljanje informacijske tehnologije. Je primerno orodje tako za vodstveni kader, uporabnike informacijske tehnologije, kakor tudi za revizorje informacijskih sistemov. COBIT sta leta 1992 razvila IT Governance Institute in Informa¬ tion System Audit and Control Foundation. Zadnja verzija COBIT-a, COBIT 4.0, je izšla decembra 2005. ITIL (angl. Information Technology Infrastructure Li- brary) predstavlja zbirko najboljše prakse za uprav¬ ljanje informacijskih storitev. Nastal je v osemdesetih 92 uporabna INFORMATIKA 2006 - številka 2 - letnik XIV Alenka Brezavšček, Lucija Zupan: Standardi in priporočila na področju informacijske varnosti letih v Angliji pod okriljem Central Computer and Telecommunications Agency - CCTA. Danes skrbi za nadaljnji razvoj ITIL-a Office of Government Com¬ merce - OCG. V drugi polovici leta 2006 se pričakuje izid prenovljene verzije ITIL-a - ITILv3. BS ISO/IEC 13335 (angl. Information Technology - Gudelinesfor the Management ofIT Security) je standard, v katerem so zbrane smernice za upravljanje varovanja informacijske tehnologije. Sestavljen je iz petih delov: . BS ISO/IEC 13335-1:2004 Koncepti in modeli za varovanje informacijske tehnologije . BS ISO/IEC 13335-2:1997 Upravljanje in načrtovanje varovanja informacij¬ ske tehnologije . BS ISO/IEC 13335-3:1998 Tehnike za upravljanje varovanja informacijske tehnologije . BS ISO/IEC 13335-4:2000 Izbira varovalnih ukrepov . BS ISO/IEC 13335-5:2001 Navodila za varovanje omrežij PD ISO/IEC TR 18044:2004 (angl. Information Tech- nology, Security Techniqu.es, Information Security Incident Management) je standard, ki pokriva področje uprav¬ ljanja incidentov 1 pri varovanju informacij. Namenjen je predvsem skrbnikom informacijskih sistemov in skrbnikom za informacijsko varnost. ISO/IEC 15408 (angl. Information Technology, Security Techniques, Evaluation Criteriafor IT Security) predpisuje kriterije za vrednotenje varnosti informacijske teh¬ nologije. Standard je namenjen trem ciljnim skupinam: uporabnikom, načrtovalcem in presojevalcem infor¬ macijskih sistemov. Prenovljena različica standarda ISO/ IEC 15408 je izšla leta 2005 v naslednjih treh delih: . ISO/IEC 15408-1:2005 Predstavitev in splošni model . ISO/IEC 15408-2:2005 Funkcionalne zahteve varnosti . ISO/IEC 15408-3:2005 Zahteve zagotavljanja varnosti PAS 56 (angl. Guide to Business Continuity Manage¬ ment) je vodnik za upravljanje neprekinjenega poslo¬ vanja, ki ga je leta 2002 izdal The Busines Continuity Institute pod okriljem BSI (British Standards Institu- tion). Kratica PAS pomeni, da gre za javno dostopne specifikacije (angl. Public Available Specifications). PD 3000 je serija petih vodnikov, ki nudijo upora¬ bnikom pomoč pri vzpostavitvi in vzdrževanju SUIV v organizaciji. Serija obsega naslednje vodnike: . PD 3001 Priprava na certificiranje po BS 7799-2 . PD 3002 Vodnik za oceno tveganja po BS 7799 . PD 3003 Ste pripravljeni na presojo po BS 7799-2? . PD 3004 Vodnik za vzpostavitev in presoje kontrol BS 7799 . PD 3005 Vodnik za izbiro kontrol BS 7799-2 Serijo PD 3000 je leta 2002 izdal BSI - British Stan¬ dards Institution. SP 800-14 je dokument, ki zajema splošno sprejete koncepte in prakse za varovanje informacijskih siste¬ mov. SP 800-14 je eden izmed številnih prosto dostop¬ nih dokumentov s področja zagotavljanja informa¬ cijske varnosti, ki jih v seriji posebnih publikacij SP 800 2 izdaja ameriški inštitut NIST - National Institute of Standard and Tehnology. OCTAVE (angl. Operationally Critical Threat, Asset, and Vulnerability Evaluation) je prosto dostopna meto¬ dologija za strateško planiranje zagotavljanja varnosti na podlagi ocenjevanja varnostnih tveganj. 3 OECD (angl. Guidelines for the Security of Information Systems and Netivorks: Tozvards a Culture of Security) so prosto dostopne smernice za varovanje informacijskih sistemov in omrežij, ki jih je izdala organizacija OECD - Organisation for Economic Co-operation and Deve- lopment. 4 Prvotno so bile namenjene vladnim insti¬ tucijam, ki so pričele z uvajanjem e-uprave. Organiza¬ cije lahko smernice OECD koristno uporabijo pred¬ vsem v začetnih fazah vzpostavitve SUIV. Za orga¬ nizacije, ki imajo glede zagotavljanja informacijske varnosti visoke zahteve, pa smernice OECD niso naj¬ bolj primerne. Poleg naštetih dokumentov lahko v strokovni lite¬ raturi zasledimo tudi številne standarde, priporočila in smernice, ki obravnavajo ozka strokovna področja 1 Pod pojmom »incident« razumemo uresničitev kakršnegakoli dogodka, ki negativno vpliva na zaupnost, celovitost ali razpoložljivost informacij oziroma drugih dobrin informacijskega sistema. Takim dogodkom pravimo grožnje varnosti. 2 Glej http://csrc.nist.gov/publications/nistpubs/index.html. 3 Glej npr. http://www.cert.org/octave/pubs.html. 4 Glej http:llwww.oecd.org/documentl42IO, 2340,en_2649_33703_15582250_l_l_l_l,00.html. 2006 -številka 2-letnik XIV UPORABNA INFORMATIKA 93 Alenka Brezavšček, Lucija Zupan: Standardi in priporočila na področju informacijske varnosti kot npr. šifriranje podatkov, varovanje komunikacij, preverjanje istovetnosti uporabnikov ipd. Obsežen spisek dokumentov, ki obravnavajo področje zagotav¬ ljanja informacijske varnosti, lahko najdemo v splet¬ nem viru [1]. 3 Standard BS 7799 Standard BS 7799 je mednarodno uveljavljen stan¬ dard za varovanje informacij. Predstavlja enega naj¬ bolj celovitih dokumentov na tem področju. Prva različica je izšla leta 1995 v Veliki Britaniji. V letih do danes je standard BS 7799 doživel več sprememb. Najnovejšo verzijo standarda BS 7799 sestavljajo trije deli: . prvi del: BS ISO/IEC 17799:2005 . drugi del: BS ISO/IEC 27001:2005 . tretji del: BS 7799-3:2006 Prvi del standarda BS 7799 obsega priporočila in obsežen nabor nadzorstev, 5 ki predstavljajo najboljšo prakso na področju zagotavljanja informacijske var¬ nosti. Ta del standarda lahko služi kot enotna refe¬ renčna točka za izbiro nadzorstev pri vzpostavitvi SUIV in oblikovanju krovne varnostne politike v or¬ ganizaciji. Prenovljena različica prvega dela standar¬ da je izšla junija 2005 (glej [2]). Drugi del standarda BS 7799 predstavlja zbirko lastnosti, katerim mora SUIV v organizaciji ustrezati, da je s tem standardom skladen. Organizacije, ki do¬ segajo določila, navedena v drugem delu standarda BS 7799, lahko pridobijo certifikat skladnosti s standar¬ dom. Drugi del standarda BS 7799 temelji na principu PDCA (Plan - Načrtuj, Do - Izvedi, Check - Preveri, Act - Ukrepaj), podobno kot ga uvaja sistem vodenja kakovosti ISO 9001. Princip PDCA pokriva vse faze delovanja SUIV, od njegove vzpostavitve do zrele faze delovanja. Podrobnejši opis posameznih faz SUIV najdemo v članku [3]. Prenovljena različica drugega dela standarda je izšla oktobra 2005 (glej [4]). Marca 2006 je izšel povsem nov, tretji del standar¬ da BS 7799, ki obravnava področje upravljanja tve¬ ganj, povezanih z informacijsko varnostjo (glej [5]). Tretji del standarda BS 7799 predstavlja dopolnilo prvih dveh delov. Nekateri strokovnjaki trdijo, da je BS 7799-3 pravzaprav naslednik vodnika PD 3002. 3.1 Spremembe u noui izdaji prvih dveh delov standarda BS 7799 Z zadnjo prenovo se je standard BS 7799 prilagodil spremembam v poslovnih in drugih okoljih v zadnjih letih. Struktura standarda je preglednejša in razum¬ ljivejša, izrazoslovje pa je usklajeno z drugimi stan¬ dardi in vodniki, ki obravnavajo informacijsko var¬ nost. Prvi del standarda BS 7799 je bil v prejšnji verziji poimenovan kot BS ISO/IEC 17799:2000 (glej [6]). Prejšnja in sedanja verzija prvega dela BS 7799 se raz¬ likujeta v številu poglavij, njihovemu oštevilčenju in poimenovanju, kakor tudi v strukturi nekaterih pod¬ poglavij. V novi izdaji so dodana tri poglavja, od tega sta dve poglavji uvodni. Preimenovala so se tudi neka¬ tera podpoglavja in nadzorstva. Mnoga preimenovanja ne vplivajo bistveno na samo strukturo prvega dela standarda, saj je vsebina v številnih primerih ostala popolnoma nespremenjena. Nekatera podpoglavja oziroma nadzorstva pa so v novi verziji prvega dela BS 7799 samo prerazporejena v druga poglavja oziroma podpoglavja. Glavna področja sprememb v prvem delu standarda BS 7799 bi lahko strnjeno opredelili: ■ spremenjena je struktura standarda, • dodana so nova nadzorstva, • nova je struktura in format zapisa posameznega nadzorstva, ■ dodatna pozornost je posvečena analizi tveganja, . poseben poudarek je zaslediti na opredelitvi odgo¬ vornosti, povezanih z zagotavljanjem informa¬ cijske varnosti. Drugi del standarda BS 7799 je bil v prejšnji verzi¬ ji poimenovan kot BS 7799-2:2002 (glej [7]), v novi izdaji pa je ta del izšel pod povsem novim imenom BS ISO/IEC 27001:2005. Oznaka ISO/IEC ponazarja, da gre za mednarodni standard. Zaradi večje prepoz¬ navnosti je nova izdaja drugega dela BS 7799 dvojno poimenovana, in sicer BS 7799-2:2005 in BS ISO/IEC 27001:2005. V novi izdaji drugega dela standarda BS 7799 je pre¬ cej sprememb in dodatnih pojasnil, ki se nanašajo na posamezno fazo vzpostavitve SUIV. Več pozornosti je posvečene zagotavljanju dokazov o delovanju takega sistema v organizaciji ter doslednemu merjenju nje¬ gove učinkovitosti. Skozi ves prenovljen drugi del pa 5 V slovenskih prevodih standarda BS 7799 sev pomenu izraza »co ntrol« uporablja izraz » nadzorstvo«. V ta namen bi se lahko uporabil tudi izraz »kontrola«. 94 uporabna INFORMATIKA 2006 - številka 2 - letnik XIV Alenka Brezavšček, Lucija Zupan: Standardi in priporočila na področju informacijske varnosti je veliko pozornosti posvečene izvedbi analize tvegan¬ ja, postopku obravnave tveganj kakor tudi dodeljevan¬ ju vlog in odgovornosti za doseganje ustreznega nivoja informacijske varnosti v organizaciji. Namen spre¬ memb v drugem delu standarda BS 7799 je: ■ uvedba manjkajočih definicij in uskladitev izra¬ zoslovja z obstoječimi dokumenti, ki obravnavajo informacijsko varnost, ■ razjasnitev in dopolnitev obstoječih zahtev, ki se nanašajo na posamezne faze uvedbe SUIV v orga¬ nizacijo, ■ razširitev obstoječih zahtev glede oblikovanja po¬ trebne dokumentacije in ravnanja s to dokumenta¬ cijo, ■ zagotovitev rednega izvajanja interne presoje obstoječega SUIV, . razumevanje in vpeljava postopkov za merjenje učinkovitosti obstoječega SUIV, • razumevanje procesa ocenjevanja in obravnavanja relevantnih tveganj in pravilne uporabe metodo¬ logije za ocenjevanje tveganj. S prenovo prvih dveh delov standarda BS 7799 je dosežena boljša preglednost in razumljivost. Nekatera področja so obravnavana bolj podrobno kot do sedaj, poleg tega pa so posamezna nadzorstva natančneje obrazložena. Zaradi slednjega je pričakovati, da bo uporaba standarda BS 7799 kot referenčnega priroč¬ nika pri zasnovi SUIV v organizacijah še narasla. Spre¬ membe v novi izdaji prvih dveh delov standarda BS 7799 so podrobneje opisane v članku [8]. 3.2 Vpliv sprememb prvih dueh delou standarda BS 7799 na organizacije Čeprav zadnje spremembe standarda BS 7799 niso tako obsežne kot so bile pri prehodu standarda iz BS7799:1995 na BS 7799-1:2000 in BS7799-2:2002, se morajo organizacije teh sprememb zavedati in jim posvetiti vso pozornost. Organizacije bodo morale kritično oceniti svoj SUIV in obstoječe varnostne politike ter jih uskladiti z novim standardom tako v vsebinskem kot v obli¬ kovnem smislu (npr. uskladiti oštevilčenje in imeno¬ vanje poglavij). Organizacije, ki želijo v bližnji prihodnosti pridobi¬ ti certifikat skladnosti z novim standardom, morajo izvesti podrobno primerjavo med varovalnimi ukre¬ pi, ki so v organizaciji že vpeljani, in nadzorstvi, ki jih predlagata novi izdaji standarda BS 7799. V primeru odstopanj je treba izvesti ustrezno analizo tveganja. Na podlagi rezultatov analize tveganja se v organiza¬ ciji odločijo, katero od dodatnih nadzorstev je treba še vpeljati v obstoječi SUIV. Organizacije, ki bodo želele v svoje poslovanje vpeljati novo izdajo standarda BS 7799, bodo morale imeti jasno definirane vloge in odgovornosti, pove¬ zane z zagotavljanjem informacijske varnosti (npr. odgovornosti pri izvajanju delovnih nalog posamez¬ nika, odgovornosti glede nepooblaščenega razkritja občutljivih informacij ipd.) kakor tudi sankcije v pri¬ meru neizvajanja le-teh. V prihodnje bodo morale or¬ ganizacije posvetiti večjo pozornost nadzorstvom, ki se nanašajo na zagotavljanje varnosti v procesu kadrovanja. Treba je vzpostaviti ustrezna nadzorstva za preverjanje osebja pred sklenitvijo zaposlitve, nad¬ zorstva za zagotavljanje varnosti med trajanjem za¬ poslitve ter ob prekinitvi le-te. Organizacije, ki so že pridobile certifikat skladnosti z BS 7799-2:2002, bodo morale izvesti prehod na nov standard, saj je ob izdaji standarda BS ISO/IEC 27001:2005 veljavnost standarda BS 7799-2:2002 potek¬ la. Določeno naj bi bilo prehodno obdobje za izvedbo tega postopka, ki pa zaenkrat še ni znano (glej tudi [9]). Ker se po BS 7799 zahteva vsakoletna obnovitev certifikata, bodo morale organizacije, ki že imajo cer¬ tifikat skladnosti z BS 7799-2:2002, uskladiti obstoječi SUIV z zahtevami ISO/IEC 27001 pred izvedbo redne letne presoje skladnosti s standardom. 4 Pričakovane novosti v bližnji prihodnosti Podobno kot družina standardov ISO 9000 pokriva področje zagotavljanja kakovosti, je mednarodna or¬ ganizacija za standardizacijo ISO rezervirala družino standardov ISO/IEC 27000 za področje zagotavljanja informacijske varnosti. Prvega člana te družine pred¬ stavlja sedanja različica drugega dela standarda BS 7799, BS ISO/IEC 27001:2005. V prihodnjih nekaj letih pa lahko znotraj družine ISO/IEC 27000 pričakujemo izid še naslednjih dokumentov (glej npr. [10]): ■ ISO 27000 - temeljni principi in pojmovnik (angl. Principles and Vocabulary); ta standard naj bi uskla¬ jeval strokovno izrazoslovje za vso družino stan¬ dardov ISO/IEC 27000, ■ ISO 27002 - pod to številko naj bi v letu 2007 izšla sedanja različica prvega dela standarda BS 7799, BS ISO/IEC 17799:2005, ■ ISO 27003 - Napotki za vzpostavitev sistema za upravljanje informacijske varnosti (angl. Informa¬ tion Security Management System Implementation 2006 - številka 2 - letnik XIV UPORABNA INFORMATIKA 95 Alenka Brezavšček, Lucija Zupan: Standardi in priporočila na področju informacijske varnosti Gudelines); izid tega standarda pričakujemo oktob¬ ra 2008, > ISO 27004 Merila sistema za upravljanje infor¬ macijske varnosti (angl. Information Security Mana¬ gement System Metrics and Measurement), m ISO 27005 - pod to številko naj bi v bližnji prihod¬ nosti izšel obstoječi tretji del standarda BS 7799, BS 7799-3:2006, ki obravnava področje upravljanja in¬ formacijskih tveganj, . ISO 27006 - Smernice za ponovno vzpostavitev in¬ formacijskega sistema po katastrofi (angl. Guide- lines for Information and Communications Disaster Recoven/ Services); ta standard naj bi temeljil na sin¬ gapurskem standardu SS507 (angl. Singapore Stan- dards for Business Continuity/Disaster Recovery (BC/ DR) Service Providers), izšel pa naj bi novembra 2007. Na področju neprekinjenega poslovanja se v bliž¬ nji prihodnosti pričakuje še ena novost. V kratkem naj bi obstoječi dokument PAS 56 izšel kot britanski stan¬ dard pod številko BS 25999, obsegal pa naj bi nasled¬ nja dva dela: 6 • BS 25999-1:2006 Kodeks za upravljanje neprekin¬ jenega poslovanja (predviden izid ob koncu leta 2006), • BS 25999-2:2006 Specifikacije za upravljanje nepre¬ kinjenega poslovanja (predviden izid v začetku leta 2007). 5 Sklep Pri vzpostavitvi sistema varovanja in zaščite infor¬ macij se je smiselno in koristno opreti na uveljavljene standarde in priporočila. Množica dokumentov, ki pokrivajo področje varovanja informacij, je precej obsežna. Slednje pogosto povzroča med uporabniki zmedo, saj ne vedo, katere standarde oziroma pri¬ poročila naj bi vpeljali v poslovanje svoje organizacije in v kakšnem vrstnem redu. V prispevku smo na kratko predstavili tiste stan¬ darde in priporočila s področja zagotavljanja infor¬ macijske varnosti, ki so se v praksi najbolj uveljavili. Navedli smo tudi, katere standarde na tem področju lahko pričakujemo v prihodnjih letih. Podrobneje smo opisali standard BS 7799, ki je eden najpomembnejših in najbolj razširjenih standar¬ dov na področju zagotavljanja informacijske varnos¬ ti. Opredelili smo glavne spremembe v novi izdaji prvih dveh delov tega standarda, in sicer BS ISO/IEC 17799:2005 ter BS ISO/IEC 27001:2005. Preučili smo možne vplive teh sprememb na organizacije, ki so svoje sisteme za upravljanje informacijske varnosti oblikovale na osnovi prejšnjih verzij standarda BS 7799. Čeprav se na prvi pogled zdi, da zadnje spre¬ membe standarda BS 7799 niso velike, menimo, da se jih morajo v organizacijah zavedati ter skladno z nji¬ mi ustrezno ukrepati. Ugotavljamo, da je s prenovo dosežena boljša preglednost in razumljivost standar¬ da BS 7799, zaradi česar ocenjujemo, da bo uporaba tega dokumenta v organizacijah v svetu in pri nas še narasla. Naj prispevek sklenemo z ugotovitvijo, da enega perečih problemov v slovenskem prostoru predstav¬ lja neusklajenost izrazoslovja na področju informa¬ cijske varnosti. Izkazalo se je, da izrazoslovje, uporab¬ ljeno v slovenskih prevodih dokumentov, ki obrav¬ navajo informacijsko varnost, variira glede na insti¬ tucijo, ki je prevajanje izvedla. Slednje povzroča zme¬ do pri uporabnikih teh dokumentov, pri presojevalcih informacijskih sistemov, kakor tudi v drugi strokov¬ ni javnosti. Oblikovanje ustreznega izrazoslovja je nedvomno področje, ki zahteva pozornost strokovne javnosti. Le tako lahko dosežemo enotno poimeno¬ vanje v strokovni literaturi ter razumevanje med upo¬ rabniki. Z oblikovanjem spletnega terminološkega slo¬ varja Islovar 7 na tem področju veliko prispeva jezi¬ kovna sekcija, ki deluje v okviru Slovenskega društva Informatika. G Viri in literatura [1] PUTNAM, H. Adam: Information Security References, Corporate Information Security VVorking Group, 2004, http://reform.house.gov/UDloadedFiles/ Best%20Practices%20Bibliographv.pdf. [2] BS ISO/IEC 17799:2005 Information technology- Security techniques - Code of practice for information security management, British Standards Institution, 2005. [3] ZUPAN, Lucija: Zahteve za uspešno vpeljavo standarda BS7799-2 za področje informacijske varnosti, Uporabna informatika, 2005, let. 13, št.l, str. 37-50. [4] BS ISO/IEC 27001:2005 Information technology - Security techniques - Information security management systems- Requirements, British Standards Institution, 2005. 6 Glej npr. http://www.bsi-global.com/BusinessJnformation/PressReleases/pas56.xalter. 1 Giej www.islovar.org. 96 UPORABNA NFORMATIKA 2006 -številka 2-letnik XIV Alenka Brezavšček, Lucija Zupan: Standardi in priporočila na področju informacijske varnosti [5] BS 7799-3:2006 Information security management systems - Guidelines for information security risk management, British Standards Institution, 2006. [6] BS ISO/l EC 17799:2000 Information technology - Code of practice for information security management. British Standards institution, 2000. [7] BS 7799-2:2002 Information security management systems-Specifications with guidance for use. British Standards Institution, 2002. [8] ZUPAN, Lucija, BREZAVŠČEK, Alenka: Novosti, kijih prinašajo spremembe standarda BS 7799, Organizacija, 2006, let. 39, št. 1, str. 58-66. [9] Frequently Asked Questions for BS ISO/l EC 27001:2005, http://wvw.bsi-global.com /ICT/Securitv/ 27001faa.xalter . november 2005. [10] About the ISO 27000 series, http:// www. iso27001securitv.com/html/iso27000. html , januar 2006. Alenka Brezavšček je leta 2000 doktorirala na Fakulteti za organizacijske vede Univerze v Mariboru, kjer je od leta 1994 tudi redno zaposlena. Habilitirana je v naziv docentka in je nosilka treh različnih predmetov na univerzitetnem programu in enega predmeta na visokošolskem strokovnem programu. Njeno raziskovalno delo obsega predvsem študij stohastičnih modelov zanesljivosti in razpoložljivosti kompleksnih sistemov ter zagotavljanja varnosti informacijskih sistemov. Je avtorica oziroma soavtorica več izvirnih znanstvenih člankov in referatov, objavljenih v domači in tuji strokovni literaturi. Poleg tega je članica urednikov spletnega slovarja Islovar, kjer deluje na področju informacijske varnosti. ■ Lucija Zupan je leta 2000 diplomirala na Fakulteti za organizacijske vede Univerze v Mariboru s področja informacijske varnosti. Leta 2004 je na isti fakulteti magistrirala s področja analize in načrtovanja informacijskih sistemov. Zaposlena je v Hermes SoftLab, d. d., kot svetovalka za informacijsko varnost in snovalka rešitev na področju upravljanja identitete in dostopov. Opravljen ima izpit za vodilnega presojevalca za informacijsko varnost po standardu ISO/IEC 17799/BS 7799-2:2002 in mednarodno priznan certifikat za vodjo informacijske varnosti - CISM (Certified Information Security Manager) ter ITIL (Foundation Certificate in IT Service Management). Je članica presojevalske ter izvedenske skupine s področja BS 7799. Je aktivna članica urednikov spletnega slovarja Islovar, kjer vsebinsko pokriva področje informacijske varnosti. Je avtorica oziroma soavtorica več prispevkov na domačih in mednarodnih konferencah ter v strokovnih publikacijah. 2006 -številka 2-letnik XIV P O R A 8 N A INFORMATIKA 97 IZBRANI PRISPEVKI OSI 2006 B Prednosti upošteuanja priporočil ITIL pri vzpostavitvi sistema Service Desk Jože Ban, Jana Barba, Barbara Kozina Intereuropa IT, d. o, o., Vojkovo nabrežje 32, 6000 Koper joze.ban@intereuropa-it.si Povzetek IT podjetja ali organizacijske enote, ki se ukvarjajo z informacijsko podporo, so vse bolj storitveno naravnani. Za uspešno in učinkovito delovanje potrebujejo lastno infrastrukturo za obvladovanje poslovnih procesov, storitev in odzivnosti celotne organizacije. Vzposta¬ vitev sistema Service Desk jim omogoča celovito upravljanje z motnjami, spremembami, problemi in rešitvami. V povezavi z drugimi procesi in standardi ITIL, jim je zagotovljen celovit pristop k upravljanju z vsemi informacijskimi sredstvi, kar vodi k občutnim pri¬ hrankom pri produktivnosti in stroških Informacijske podpore. Pričakovane prednosti uvedbe sistema ServiceDesk so prihranki pri kapitalu in Investicijskih vlaganjih v infrastrukturo IKT ter prihranki, ki so posledica učinkovitosti izvajalcev storitev SD in dviga kakovosti storitev. Vzpostavitev procesov ITIL in SD omogoča kakovosten zasuk v načinu delovanja strokovnjakov IT, ki se bolj osredotočijo na uporabnost in delovanje celotnega IS, kot zgolj na zagotavljanje in delovanje infrastrukture IKT, ter s pomočjo naprednih analitičnih modelov spremenijo reaktivno odzivanje IT v proaktivno upravljanje z vsemi informacijskimi sredstvi. Ključne besede: Service Desk, ITIL, celovito upravljanje z informacijskimi sredstvi, prihranki Abstract Benefiting from itil based seruice desk implementation UT companies and organisational units are becoming increasingly more serviCe-oriented requiring their own operating infrastructure to manage business processes and Services, and improve operational responsiveness. Successful implementation of the Service Desk system helps them manage their incident, change, problem, configuration and knovvledge management processes. Adherence to other IT Infrastructure Library (ITIL) recommendations and industry standards ensures a holistic approach to IT Infrastructure Management and, consequent!y, substantially improves productivity and results in costs savings. The anticipated benefits of the Service Desk system implementation are: sizeable savings in funds and investments in the IKT infrastructure, savings arising from an increased efficiency of SD Service providers and a rise in Service quality. With the implementation of ITIL processes and SD the quality of IT experts’ work improves as they focus more on the applicability and operation of the entire IS instead of just ensuring smooth operation of the IKT infrastructure. With the aid of advanced analytical models they are changing reactive IT response to proactive management of ali information assets. Keywords: Service Desk, ITIL, holistic approach to IT Infrastructure Management, savings 1 Uvod Veliko izvajalcev informacijske podpore (organizacijska enota ali samostojna podjetja, v nadaljevanju IT) uporablja orodja, ki jim omogočajo izvajanje zagotavljanja pomoči in spremljanja zahtev uporabnikov (Help Desk) ter orodja, ki so namenjena kakovostnemu in učinkouitemu upravljanju z IKT infrastruk¬ turo (Netvvork and System Management). Tourstna, bolj nad¬ zorno usmerjena orodja so pretežno namenjena podpori de¬ lovanja izvajalca informacijske podpore, nimajo pa neposred¬ nih finančnih oziroma ekonomskih učinkov, ki jih ob ustrezni kakovosti in razpoložljivosti informacijske podpore, pričaku¬ jejo končni uporabniki kupci informacijskih storiteu, pred¬ vsem v primerih, ko so tudi sponzorji projektov oziroma nos¬ ilci investicij v informacijska sredstva. Manjše število izvajalcev se odloči za uvedbo celo¬ vitega sistema, ki združuje vse informacije o sredstvih, virih in njihovih povezavah s poslovnimi procesi v organizaciji. Pri tem ne posvečajo pozornosti samo upravljanju inventarja, ampak so osredotočeni na obvladovanje vseh udeleženih virov: kapitala, kadrov, dobaviteljev, še posebej pa na znanje, ki predstavlja enega od ključnih jamstev za uspešen razvoj, razis¬ kave in inovacije na področju informacijskih storitev in opreme (1). Sistem Service Desk (v nadaljevanju SD) ima zelo pomembno vlogo v procesu izvajanja informacijske podpore, saj je kot edina vstopna točka namenjen tis- 98 uporabna INFORMATIKA 2006 -številka 2-letnik XIV Jože Ban, Jana Barba, Barbara Kozina: Prednosti upoštevanja priporočil ITIL pri vzpostavitvi sistema Service desk tim uporabnikom informacijskih storitev in opreme, ki pri svojem delu naletijo na težave oziroma motnje pri delovanju informacijskih rešitev ali opreme. 2 Mesto SD v sistemu celovitega upravljanja z informacijskimi sredstvi SD je več kot klicni center ali Help Desk, saj njegova širša funkcionalnost vključuje sprejem telefonskih klicev, elektronske pošte in drugih oblik posredovanja informacije o nastalih motnjah, s pomočjo WEB dosto¬ pa pa omogoča neprestano, enostavno in priročno ko- Slika 1 : Shematski prikaz sistema SD munikacijo med vsemi udeleženci procesa reševanja motnje. Dodana vrednost h kakovostni komunikaciji, so funkcionalnosti SD, ki se nanašajo na možnost po¬ drobnega zapisa podatkov o motnji, dodeljevanja pri¬ oritet reševanja, opredelitve načina in odgovornosti za reševanje motnje, stopnjevanja reševanja motnje, is¬ kanja premostitvenih (work-around) rešitev, dosled¬ nega dokumentiranja, zagotavljanja višje stopnje var¬ nosti informacijskega sistema, obveščanja uporabni¬ kov o napredovanju reševanja ter priprave ustreznih poročil za vodstvo ter uporabnike o učinkovitosti iz¬ vajanja aktivnosti SD. Zelo pomembna vloga sistema SD je v njegovi povezovalni vlogi z ostalimi ITIL pro¬ cesi, kot je prikazano na sliki 2. 2.1 Vloga in pomen upoštevanja standardov in priporočil ITIL Središče standarda ITIL je upravljanje IT premoženja poslovnega sistema, ITIL pa je tudi komplementaren standardu COBIT, ki prek kontrolnih usmeritev pove, kaj je treba narediti, ITIL pa podrobneje definira, kako to storiti s pomočjo najboljših praks (2). Učinki upoštevanja standardov in priporočil ITIL pa so pomembno večji, če se ob upoštevanju le-teh pri uvedbi sistema SD, vzpostavijo in optimirajo tudi vsi drugi procesi ITIL (4), s tem pa so izpolnjeni vsi po¬ trebni pogoji za ustvarjanje občutnih prihrankov pri izvajanju informacijske podpore, tako v času, produk¬ tivnosti in stroških. Slika 2: ITIL - knjižnica informacijske infrastrukture (3) 2006 - številka 2 - letnik XIV uporabna INFORMATIKA 99 Jože Ban, Jana Barba, Barbara Kozina: Prednosti upoštevanja priporočil ITIL pri vzpostavitvi sistema Service desk 3 Razlogi za uvedbo SD Zaradi neprestanega razvoja, povečevanja produk¬ tivnosti, internacionalizacije in globalizacije poslovanja se je povečala tudi kompleksnost informacijskih rešitev, razvejenost komunikacijskega omrežja in razpršenost infrastrukture IKT, zato enostavni sistemi (Klicni center, Help Desk...) niso več kos zahtevam, ki se postavljajo izvajalcem informacijske podpore. Se posebej je to vidno v poslovnih sistemih, kjer zaradi svoje geografske razpršenosti, rasti poslovanja prek nakupov drugih družb, kapitalskih in poslovnih povezav, informacijsko podporo izvaja več IT, vključ¬ no z zunanjimi podizvajalci in partnerji, kar mno¬ gokrat vodi v uporabo več med seboj različnih in ne¬ povezanih sistemov SD. To pa pomeni, da IT ni spo¬ soben zagotoviti visoke ravni kakovosti storitev, saj so stroški previsoki, učinkovitost uporabljenih sredstev prenizka, razpoložljivost kadra z ustreznimi kompe¬ tencami omejena, kar neizbežno vodi v povečano nezadovoljstvo uporabnikov. Dodaten razlog za uvedbo sistema SD so tudi tren¬ di na področju informacijske tehnologije in storitev, saj se spreminja narava dela pri razvoju informacij¬ skih rešitev. Že v letošnjem letu (2006) se napoveduje, da bo SOA - Service Oriented Architecture vsaj del¬ no zajeta v več kot 60 % vseh novih, velikih in usmer¬ jenih projektih razvoja informacijskih rešitev (verjet¬ nost napovedi 0,7). V kombinaciji s storitvami WEB, se predvideva razvoj informacijskih rešitev v manjših enotah (SODA - Service Oriented Development of Applications), zaradi česar se bo način razvoja in pro¬ daje informacijskih rešitev spremenil pri več kot 80 % razvijalcev oziroma ponudnikih (verjetnost napovedi 0,7) (5). To pomeni, da bo zunanje izvajanje storitev (outsourcing) enostavnejše kot kadarkoli do sedaj. Hitrejši razvoj zunanjega izvajanja storitev zahte¬ va dobro medsebojno razumevanje obeh ključnih udeležencev (naročnika in izvajalca) glede pričako¬ vanj, kriterijev in kakovosti storitev, predvsem pa usklajenost glede vrednosti (stroškov) zunanjega izva¬ janja, ki je sedaj mnogokrat nerealno vezano zgolj na pričakovanja o radikalnem zmanjšanju stroškov infor¬ macijske podpore (6). Uvedba sistema SD v okolju zunanjega izvajanja storitev lahko dvigne raven med¬ sebojnega zaupanja, ki vodi k opredelitvi realnih pričakovanj, merljivih kriterijev za spremljanje dviga ravni kakovosti storitve in s tem povezanih stroškov. 4 Pričakovane prednosti uvedbe sistema SD Po ustrezni vzpostavitvi sistema SD, ki temelji na pro¬ cesih ITIL in formiranju tima primerno usposobljenih strokovnih sodelavcev, je mogoče pričakovati nasled¬ nje pozitivne posledice: 1. prihranki na kapitalu in investicijskih vlaganjih v infrastrukturo IKT, 2. prihranki, ki so posledica učinkovitosti izvajalcev storitev SD in 3. prihranki, ki so posledica dviga ravni kakovosti storitev. 4.1 Prihranki na kapitalu in investicijskih vlaganjih v infrastrukturo IKT (strojna in programska oprema! Prihranki se nanašajo predvsem na optimiranje stroš¬ kov, ki so potrebni za vzdrževanje poslovnih prostor¬ ov, usklajevanje poslovnih partnerjev, zagotavljanje večjega števila ozko specializiranih strokovnih sode¬ lavcev, še posebno v poslovnih sistemih, ki delujejo na širšem geografskem področju. Manj lokacij, manj partnerjev in manj potrebnega strokovnega kadra, pomeni tudi manj povezanih stroškov za najemnine poslovnih prostorov, material, potovanja, vzdrže¬ vanje itn. S poenotenjem, predvsem pa s konsolidacijo siste¬ ma SD, neposredno vplivamo tudi na obseg potrebne strojne in programske opreme, ki je potrebna za delo¬ vanje SD. Z zmanjšanjem potrebnega števila strež¬ nikov, delovnih postaj, spominskih kapacitet, licenc, obsega vzdrževanja, nadgradenj in svetovanja, števila zunanjih dobaviteljev in lastnih kadrov, postane sistem manj kompleksen, bolj obvladljiv in s tem tudi cenejši. 4.2 Prihranki, ki so posledica uečje učinkovitosti izvajalceu storitev SD Večjo učinkovitost strokovnega kadra zagotavljajo priporočila in standardi ITIL, ki omogočajo, da IT strateško usmeri vse potrebne kadrovske vire v en sam tim strokovnih sodelavcev, ki razpolaga z vsemi potrebnimi kompetencami. Z uporabo sistema, ki temelji na procesih ITIL, je mogoče opredeliti in podrobno dokumentirati posa¬ mezne procese, kar omogoča hitrejše, učinkovitejše in uspešnejše izvajanje informacijske podpore, pred¬ vsem pri zahtevnejših motnjah, kar se odraža prek: ■ popolnejšega in hitrejšega shranjevanja vseh po¬ drobnosti o prijavi motnje, 100 uporabna INFORMATIKA 2006 - številka 2 - letnik XIV Jože Ban, Jana Barba, Barbara Kozina: Prednosti upoštevanja priporočil ITIL pri vzpostavitvi sistema Service desk • avtomatiziranega preverjanja pooblastil, dodelje¬ vanja najprimernejšega reševalca za odpravo pri¬ javljene motnje in s tem večjega števila rešitev na prvem nivoju podpore, • enotnega kataloga storitev in izdelkov, ki vsebuje predstavitev vseh storitev IT in omogoča poeno¬ tenje terminologije (7) med vsemi udeleženci ter » neposrednega preverjanja SLA določil in kriterijev kakovosti storitve. V večjih poslovnih sistemih, kjer ima informatika neposreden in velik vpliv na doseganje poslovnih učinkov uporabnikov informacijskih rešitev in/ali opreme, se lahko že nekaj odstotna izboljšava produk¬ tivnosti odraža v več 100T€ prihrankov, če pa upošte¬ vamo tudi zmanjšanje zastojev pri delu končnih up¬ orabnikov in s tem neprekinjenost doseganja njihovih poslovnih učinkov, se prihranki lahko celo podvojijo. 4.3 Prihranki iz naslova duiga ravni kakovosti S prihranki pri kapitalu in učinkovitosti izvajanja storitev SD pa še ni nujno, da se bo dosegel še tretji prihranek, ki pa izhaja iz povečanega zadovoljstva končnih uporabnikov zaradi uresničitve SLA-Service Level Agreement dogovorov. Naročnik Izvajalec Podpisnik krovne /1_ SLM _|\ Podpisnik krovne pogodbe / strategija ) pogodbe Dosledno izvajanje procesov ITIL, uporaba stan¬ dardiziranega SD sistema ter pravilna razporeditev kadrovskih virov se odraža v hitrejšem in učinkovi¬ tejšem reševanju prijavljenih motenj že na prvem nivoju reševanja posamezne prijave, celo v prvem kontaktu z uporabnikom prijaviteljem. S tem se poveča tudi zadovoljstvo uporabnikov (8). Se pomembneje pa je, da ima učinkovitost delovanja sistema SD tudi neposreden vpliv na kakovost in neprekinjenost dela končnih uporabnikov, kar je po¬ sebej odločilnega pomena za tista podjetja, kjer je od¬ visnost od informacijske podpore odločilna za dose¬ ganje konkurenčne prednosti ali ustvarjanje dodane vrednosti. Kakšno je mesto sistema SD v okolju SLM (Service Level Management), prikazuje slika 3. Z uresničitvijo vseh treh prednosti pa ne pridobi¬ jo samo končni uporabniki, temveč tudi IT, saj se hkrati poveča tudi zaupanje uporabnikov v IT kot preverjenega in zaželenega dobavitelja storitev in in¬ frastrukture IKT, ki tako izpolnjuje temeljno obvezo, da kot del poslovnega sistema kar največ prispeva k uspehom poslovnega sistema kot celote (9). Uvedba sistema SD je še posebej pomembna v oko¬ lju zunanjega izvajanja storitev (outsourcinga), kjer lahko prispeva k dvigu ravni medsebojnega zaupanja med naročnikom in izvajalcem, kar pa vodi k opredelit¬ vi realnih pričakovanj, merljivih kriterijev za spreml¬ janje dviga ravni kakovosti storitve in s tem povezanih stroškov. S pomočjo standardiziranih in specializiranih poročil SD omogoča tudi učinkovito primerjavo v SLA pogod¬ bah dogovorjenih kriterijev kakovosti storitev z doseženo kakovostjo (10), kar omogoča preglednost de¬ lovanja IT, predvsem pa s povratnimi informacijami - poročili, zagotavlja možnost učinkovitega in pravo¬ časnega načrtovanja ukrepov za izboljšanje. 4.4 Neposredni ekonomski učinki uuedbe SD - primeri Seveda prepoznane prednosti in nakazani oportu- nitetni prihranki zaradi uvedbe celovitega sistema upravljanja z informacijskimi sredstvi, ki vključuje tudi SD, niso sporni, ne postrežejo pa s konkretnimi podatki: vrednostjo, izraženo v denarju. Za ponazoritev možnih prihrankov zaradi uvedbe sistema SD v povezavi z neposredno povezanimi pro¬ cesi ITIL (Incident Management, Configuration Ma¬ nagement in Problem Management) je izbran primer poslovnega sistema s 500 uporabniki sistema SD (11), pri katerem lahko: 2006-številka 2 -letnik XIV UPORABNA INFORMATIKA 101 Jože Ban, Jana Barba, Barbara Kozina: Prednosti upoštevanja priporočil ITIL pri vzpostavitvi sistema Service desk . s konzervativnim obsegom (~5 %) vzpostavitve In¬ cident Management procesa zagotovimo skraj¬ šanje časa obravnave posamezne prijavljene mot¬ nje, odpravimo podvajanje prijav oziroma dodel¬ jevanje prijave v reševanje nepravemu reševalcu, kar lahko vodi v izboljšanje produktivnosti in pri¬ hranke (IT in uporabnikov) v obsegu >1 mio €; • zaradi poznavanja informacije o nahajališču posa¬ mezne opreme IKT in njihovimi dejanskimi upo¬ rabniki (Configuration Management) lahko kako¬ vostno in pregledno načrtujemo, nadzorujemo in upravljamo s posameznim informacijskim sred¬ stvom (v celotnem življenjskem ciklu) ter s tem dosežemo do 20 % dvig produktivnosti, kar lahko predstavlja prihranke, ki presegajo letni proračun za celotno IT (upoštevajoč celotno obdobje amor¬ tizacije vse infrastrukture IKT); • z uporabo baze znanja, reševanjem motenj na prvem nivoju, proaktivnim delovanjem IT (Problem Management) bolje angažiramo visokostrokoven kader na zahtevnejših delih (R&D) in s tem v ob¬ dobju treh let ustvarimo prihranke v višini >500T€; ■ z boljšim upravljanjem spominskih kapacitet (Com- puterworld ocenjuje, da je skoraj 70 % spominskih kapacitet tipičnih okolij Windows neizkoriščeno za zelo visoko ceno, saj jih zasedajo osebni podatki zaposlenih - audio in video posnetki, osebna pošta, slike, spam ipd. (12)) lahko zmanjšamo obseg novih investicijskih vlaganj in stroškov vzdrževanja; • z učinkovitejšim pregledom nad infrastrukturo IKT ter vpogledom v dejanske stroške lastništva po¬ sameznega informacijskega sredstva (13), uspešneje napovedujemo trende uporabe in realno ovred¬ notimo potrebe, kar nam pomaga pri boljših poga¬ jalskih izhodiščih z dobavitelji ob nabavi ali vzdr¬ ževanju vseh informacijskih sredstev, kjer je samo iz naslova uspešnejših pogajanj možno predvideti prihranek v razponu od 20 do 70 € na delovno po¬ stajo na leto. 5 Sklep Samo skrbno načrtovani projekti, vpeljani ustrezni procesi in standardi ter usposobljeno vodstvo IT lah¬ ko zagotovi vrsto ugodnih rezultatov, kot so večja produktivnost zaposlenih, prihranki v delovnem času ali strojnih urah, večji izkoristek zmogljivosti, višja kakovost izdelkov in storitev ter neposredni prihranki v stroških (14). Z usmerjenim delovanjem na nacio¬ nalni ravni lahko pomembno prispevajo tudi h gospo¬ darski rasti celotne države (celo od 0,3 do 0,8 % k rasti BDP per capita (15)). Kljub prepoznanemu pomenu po prikazovanju pozitivnih rezultatov in upravičenosti naložb v IKT ne¬ katere študije ugotavljajo, da se še vedno več kot 60 % investicij uvršča v skupino »brezciljno investiranje« in »investiranje v izboljšave na operativnem nivoju«, ter samo 31 % v skupino »strateško investiranje« (16). S časom, ko se infrastruktura stara, ne bodo us-? pešna tista podjetja, ki se odzivajo s ponavljanjem preizkušenih rešitev in nenehnimi investicijami v IKT, temveč tista, ki bodo znala delovati pragmatično in preudarno v planiranju in kompetentno v izved¬ bi (12). Zato je nedvomno prvi veliki izziv za vodje infor¬ matike vzpostavitev »reda v lastni hiši« in na tak način ločiti pomembne, ključne aktivnosti od tistih, ki so vsiljene, nepotrebne in celo neproduktivne. Pri tem je upoštevanje uveljavljenih standardov, principov in metodologij eden od ključnih vzvodov upravljanja IT. Zato vzpostavitev procesov ITIL in sistema SD omogoča kakovosten zasuk v načinu delovanja strok¬ ovnjakov IT, ki se tako bolj osredotočijo na uporab¬ nost in delovanje celotnega informacijskega sistema, kot pa zgolj na zagotavljanje in delovanje IKT infras¬ trukture, ter s pomočjo naprednih analitičnih mode¬ lov spremenijo reaktivno odzivanje IT v proaktivno upravljanje z vsemi informacijskimi sredstvi. Seveda predstavlja uspešna vzpostavitev sistema SD samo potreben pogoj za uspešno izvajanje infor¬ macijske podpore. Zadosten pogoj zagotovijo vodje informatike šele z uvedbo vseh procesov ITIL in z ustrezno organizira¬ nostjo - prestrukturiranjem celotnega IT (3), pred¬ vsem pa z zagotovitvijo primernega kadra in us¬ treznega nagrajevanja glede na dosežene učinke (17) pri doseganju določil v pogodbah SLA. Strokovni sodelavci IT pa se morajo pri svojem delu osredotočiti na veščine pogajanj z dobavitelji in uporabniki, vodenju in koordiniranju heterogenih in pogosto dislociranih delovnih skupin, uveljavljanju standardov in metodologij, vodenju zahtevnih pro¬ jektov, aktivnemu vključevanju in komuniciranju z uporabniki ter s tem neposredno vplivati na zviševanje poslovne vrednosti informatike. 102 uporabna INFORMATIKA 2006 - številka 2 - letnik XIV Jože Ban, Jana Barba, Barbara Kozina: Prednosti upoštevanja priporočil ITI L pri vzpostavitvi sistema Service desk Literatura (1) OECD Information Technology Outlook 2004 (2004). Information and Communications Technologies, Highlights, OECD Publications, Pariš. (2) Krisper, M., Rožanec, A. (2005). Obvladovanje informatike v poslovnih sistemih - Pomen strategije in arhitektur, Uporabna informatika, Slovensko društvo Informatika, 2005, št. 4, letnik XIII, str. 194. (3) Ban, J. (2005). Sinergija metodologij kot podlaga za prestrukturiranje storitvenega podjetja, Sinergija metodologij: zbornik 24. mednarodne konference o razvoju organizacijskih znanosti, str. 668-676, Slovenija, Portorož, V: KALUŽA, Jinddch (ur.) Moderna organizacija, Kranj. (4) ITI L and ITSM VVorld (2005). Directory of ITI L and ITSM Services & softvvare, A launch pad for the IT infrastructure library (ITIL) & ITSM, http://www.itil-itsm-world.com/. (5) VViggins, D., Morello, D. (2003). Outsourcing Backlash: Globalization in the Knowledge Economy, Gartner Research, ID.Number: AV-20-4459 Gartner, Inc. and/or its Affiliates. (6) VVhitehead, B.A. (2003). The Economics of IT Services and Outsourcing in Europa, Gartner Research,, ID Number: LE- 20-1152, Gartner, Inc. and/or its Affiliates. (7) Smet, K. (2005). The Key to Quality Service Level Management, http://www.itilpeople.com/articles.htm. (8) Peregrine Systems, Inc. (2005). Service Level Management, Improve IT Service quality through the constant cycle of agreeing, monitoring, and reporting, PD SLM 0705 NA. (9) Deming, W. E. (1993). The New conomics for lndusty, Government and Education, Cambridge MA, MT Center for Advanced Engineering, Study. (10) Meta Group (2005). VVhite Paper, The Business-Optimized IT Organization - Benefiting from IT Assest Management. (11) Lawson, R., D’Agostino, D. (2005). The Economics of Service Desk Consolidation, VVhite Paper, WP SDC 1005 NA, Peregrine Systems, Inc. (12) Carr, G. N. (2004). Does IT matter? Information technology and the corrision of competitive advantage, Harvard Business Schoo! Press, Boston, Massachusetts. (13) VVarne, J. (2001). META Delta, Service management strategies, Business Impact, META Group Inc. (14) Rejc Buhovac, A. (2005). Celovita metodologija za merjenje uspešnosti naložb v informacijsko tehnologijo, Uporabna informatika, Slovensko društvo Informatika, št. 4, , letnik XIII, str 225. (15) Stare, M., Bučar, M. (2005). Učinki informacijsko- komunikacijskih tehnologij, Fakulteta za družbene vede, Ljubljana. (16) Groznik, A., Indihar Štemberger, M., Kovačič, A. (2005). Vloga menedžmenta pri zagotavljanju poslovne vrednosti informatike, Uporabna informatika, Slovensko društvo Informatika, št. 4, letnik XIII, str. 217. (17) Ban, J. (2004). Nagrajevanje učinkov projektnega dela: magistrsko delo, Fakulteta za organizacijske vede, Kranj. Jože Ban je študiral na UM FOV, kjer je diplomiral s temo Ustanovitev mednarodnega podjetja z marketinško zasnovo in magistriral s temo Vrednotenje projektnega dela. Aktivno sodeloval v različnih strokovnih in vodstvenih vlogah na področju trženja, marketinga in izvedbi zahtevnih projektov na področju prenove poslovnih procesov. Trenutno vodi celovito prestrukturiranje družbe Intereuropa IT, d. o. o., podjetje za zunanje izvajanje informacijske podpore. ■ Jana Barba je diplomirala na Fakulteti za računalništvo in informatiko v Ljubljani s temo Optimizacija povpraševanj v jeziku SQL. Aktivno sodelovala na MDDSZ pri vzpostavitvi informacijskega sistema za podporo izvajanju zakona o družinskih prejemkih, pri vodenju projekta Prenova informacijskega sistema centrov za socialno delo ter pri projektu vzpostavitev Centra za podporo uporabnikom za centre za socialno delo. Trenutno vodi Projektno pisarno v družbi Intereuropa IT, d. o. o. in zaključuje podiplomski študij na Ekonomski fakulteti v Ljubljani, smer poslovna informatika. ■ Barbara Kozina je diplomirala na Fakulteti za matematiko in mehaniko v Ljubljani s temo Interpolacija Bezierjevih krivulj. Kot strokovna sodelavka je sodelovala na zahtevnih projektih načrtovanja informacijskih sistemov, uvajanja orodij za podporo poslovnemu modeliranju in uvajanju standardov in principov ITI L in SLM v prakso pri zunanjem izvajanju informacijske podpore. Trenutno vodi sektor za posredovanje storitev v družbi Intereuropa IT, d.' o. o., in študira na podiplomskem študiju Fakultete za management v Kopru. KOLEDAR PRIREDITEV 2006 -številka 2 -letnik XIV UPORABNA INFORMATIKA 103 Včlanite se v Slovensko društvo INFORMATIKA Pristopna izjava Želim postati član Slovenskega društva INFORMATIKA Prosim, da mi pošljete položnico za plačilo članarine 8.040 SIT (33,55 €) (kot študentu 3.480 SIT) (14,52 €)) in me sproti obveščate o aktivnostih v društvu. V članarini je upoštevan DDV v višini 20 %. (ime in priimek, s tiskanimi črkami) (poklic) (domači naslov in telefon) (službeni naslov in telefon) (elektronska pošta) Datum: Podpis: Članarina 8.040 SIT vključuje revijo Uporabna informatika. Študenti imajo posebno ugodnost: plačujejo članarino 3.480 SIT (3.480 €) in za to prejemajo tudi revijo. Cene v evrih so informativne; izračunane so po centralnem paritetnem tečaju 1 € = 239,640 SIT. Izpolnjeno naročilnico ali pristopno izjavo pošljite na naslov: Slouensko društvo INFORMATIKA, Vožarski pot 12, 1000 Ljubljana Lahko pa izpolnite obrazec na domači strani društva: http://www.drustvo-informatika.si _ Q Naročilnica na revijo UPORABNA INFORMATIKA Revijo naročamlo] EU s plačilom letne naročnine 8.000 SIT (33,81 €) I I izvodov po pogojih za podjetja 20,000 SIT (83,4B €) za eno letno naročnino in 14.000 SIT (58,48 €) za vsako nadaljnjo naročnino I ! po pogojih za študente letno 3.500 SIT (14,61 €) V cenah je upoštevan DDV v višini 8,5 %. (ime in priimek, s tiskanimi črkami) (podjetje) (davčna številka) (ulica, hišna številka) (pošta) Datum: Podpis: Naročnino bomo poravnali najkasneje v roku 8 dni po prejemu računa. Cene v evrih so informativne: izračunane so po centralnem paritetnem tečaju 16 = 239,640 SIT. Izpolnjeno naročilnico ali pristopno izjavo pošljite na naslov: INTERNET Vse bralce revije obveščamo, da lahko najdete domačo stran društva na naslovu: http://imuw.drustuo-informatika.si Obiščite tudi spletne strani mednarodnih organizacij, v katere je včlanjeno naše društvo: IFIP: uvwuv.ifip.or.at ECDL: www.ecdl.com CEPIŠ: www.cepis.com vvelcome announcements partners hcc conferences scope of the hcc7 Rob Kling call for papers deadlines general Information int. programm committee organizing committee conference venue sites&local information time schedule registration accommodation produced by: AB(5yruR IH I V t I i I IFIP-TC9 World Conference - Maribor (SLOJ, September 21 -23, 2006 HCC7 Human Choice and Computers IFIP - International Federation for Information Processing IFIP-TC9 "Relationship Between Computers and Society" Seventh International Conference "Human Choice and Computers" (HCC7) Organized by Slovenian Society Informatika with partners SOCIAL INFORMATICS: AN INFORMATION SOCIETY FOR ALL? An International Conference in remembrance of Rob Kling Sponzored by IFIP-TC9 Maribor (Slovenia), September 21-23, 2006 HCC7 moves to Maribor! A decision to organise the HCC7 Conference in Nova Gorica was made under the assumption that a new Congress Centre would be open by September 2006. It has turned out that the opening of the Centre will surely be delayed and the conference would thus have to take plače at four different locations in the city. To avoid that and to provide better working conditions for the conference participants, a decision has been taken to move the conference to Maribor ( http://www.maribor.sO to be held at the Habakuk Convention Centre ( http://www.termemb.sn . This will not only lead to more favourable conditions for the conference work but also provide better hotel accommodation. Moreover, it will be much easier to arrive to Maribor via the Graz Airport. www.HCC7.org B Uvodnik B Izbrani prispevki DSI 2006 Cene Bavec Informacijska družba - deset let kasneje Silvo Ržen, Tomaž Gorenšek Elektronsko poslouanje v logistični družbi Mitja Cerovšek Prenos dobrih izkušenj prenoue in informatizacije poslovanja iz matičnega podjetja na hčerinsko družbo Maja Vukasovič - Žontar, Vladislav Rajkovič Ugotavljanje menedžerskih kompetenc s pomočjo računalniškega programa za večparametrsko odločanje DEKi Aljaž Zrnec, Marko Bajec, Marjan Krisper Pristop in programska podpora za prilagajanje procesa razuoja informacijskega sistema Tomaž Poštuvan Storitveno usmerjena arhitektura kot sodobni način integracije Marko Tekavc, Matjaž B. Jurič izkušnje pri načrtovanju in razvoju storitvene arhitekture Alenka Brezavšček, Lucija Zupan Standardi in priporočila na področju informacijske uarnosti Jože Ban, Jana Barba, Barbara Kozina Prednosti upoštevanja priporočil ITIL pri vzpostavitvi sistema Service Desk B Koledar prireditev ISSN 13ia-lAA2 7 7131 A 1AAOD1