it, centri ECDL EGDL [European Computer Driving License), Id ga v Sloveniji imenujemo evropsko računalniško spričevalo, je standardni program usposabljanja uporabnikov, ki da zaposlenim potrebno znanje za delo s standardnimi računalniškimi programi na informatiziranem delovnem mestu, delodajalcem pa pomeni dokazilo o usposobljenosti. V Evropi je za uvajanje, usposabljanje in nadzor izvajanja ECDL pooblaščena ustanova ECDL Fundation, v Sloveniji pa je kot član CEPIŠ (Council of European Professional Informatics) to pravico pridobilo Slovensko društvo INFORMATIKA. V državah Evropske unije so pri uvajanju ECDL močno angažirane srednje in visoke šole, aktivni pa so tudi različni vladni resorji. Posebno pomembno je, da velja spričevalo v 158 državah, ki so vključene v program ECDL Doslej je bilo v svetu izdanih že več kot 8,5 milijonov indeksov, v Sloveniji več kot 12.700 in podeljenih več kot 7.800 spričeval. Za izpitne centre v Sloveniji je usposobljenih 23 organizacij, katerih logotipe objavljamo. VIZIJA RAZVOJA soF="r IZOBRAŽeVANJE INFORMACIJSKg STORITVG Män togQa, 4.0.0. M IMFOmmCUSKE TEMMOLOGIJE ICOPf^ LJUDSKA aidovscina UJD5KA UMIVEHZA MURSKA BOBUTA VSEBINA UPORABNA INFORMATIKA 2009 ŠTEVILKA4 OKT/NOV/DEC LETNIKXVII ISSN 1318-1882 Uvodnik Znanstveni prispevki Boštjan Grašič, Vili Podgorelec, Marjan Heričko: Primerjava pristopov!(razvoju ontologij 215 Strokovni prispevki Franc Brcar, Silvo Lah: Vloga in položaj službe za informatiko v novem tisočletju 232 Janez Černi: Kako prenoviti proces informiranja in komuniciranja 240 Tadej" Prešeren, Marko Bajec: ■ ■ Celovit pristop.obvladovanja.mobilnih naprav. ~ ~ ......255 Aleš Zelenik, Zdenko Mezgec: Zašiita negotovinskih oblik plačevanja 265 Informacije Iz Islovarja 279 Poročilo o simpoziju DACHS 2009 281 Koledar prireditev 283 UPORABNA INFORMATIKA 2009 ŠTEVILKA« OKT/NOV/DEC LETNIK XVII ISSN 1318-1882 Ustanovitelj in izdajatelj Slovensko društvo INFORMATIKA Revija Uporabna informatika Vožarski pot 12.1000 Ljubljana Predstavnik Niko Schlamberger Odgovorni urednik Jurij Jaklič Pomočnik odgovornega urednika Rok Rupnik Uredniiki odbor Marko Bajec, Vesna Bosilj - Vukšič, Gregor Haue, Jurij Jaklič, Milton Jenkins, Andrej Kovačič, Katarina Puc, Vladislav Rajkovič, Heinrich Reinermann, Ivan Rozman, Rok Rupnik, Niko Schlamberger, John Taylor, Mirko Vintar, Tatjana Welzer Družovec Recenzenti Marko Bajec, Marko Bohanec, Vesna Bosilj - Vukšič, Dušan Caf, Srečko Devjak, Tomaž Erjavec, Matjaž Gams, Izidor Golob, Tomaž Gornik, Janez Grad, Miro Gradišar, Jozsef Györkös, Marjan Heričko, Mojca Indihar Štemberger, Jurij Jaklič, Milton Jenkins, Andrej Kovačič, Jani Krašovec, Katarina Puc, Vladislav Rajkovič, Heinrich Reinermann, Ivan Rozman, Rok Rupnik, Niko Schlamberger, Tomaž Turk, Mirko Vintar, Tatjana Welzer Družovec, Lidija Zadnik Stirn, Alenka Žnidaršič Vabilo avtorjem Tehnična i Mira Turk Škraba Oblikovanje Bons Ilustracija na ovitku: Luka Umek za BONS Prelom in tisk Boex DTR d. o. o., Ljubljana 550 izvodov Naslov uredništva Slovensko društvo INFORMATIKA LJredništvo revije Uporabna informatika Vožarski pot 12,100G Ljubljana www. uporabna-informatika.si Revija izhaja četrtletno. Cena posamezne številke je 20,BB EUR. Letna naročnina za podjetja 83,46 EUR, za vsak nadaljni izvod 58,48 EUR, za posameznike 33,81 EUR, za študente in seniorje 14,81 EUR. Revijo sofinancira Javna agencija za raziskovalno dejavnost. Revija Uporabna informatika je od številke 4/VII vključena v mednarodno bazo INSPEC. Revija Uporabna informatika je pod zaporedno številko 666 vpisana v razvid medijev, ki ga vodi Ministrstvo za kulturo. © Slovensko društvo INFORMATIKA V reviji Uporabna informatika objavljamo kakovostne izvirne članke domačih in tujih avtorjev z najširšega področja informatike v poslovanju podjetij, javni upravi in zasebnem življenju na znanstveni, strokovni in informativni ravni; Se posebno spodbujamo objavo interdisciplinarnih člankov. Zato vabimo avtorje, da prispevke, ki ustrezajo omenjenim usmeritvam, pošljejo uredništvu revije po elektronski pošti na naslov ui@drustvo-informatika.si ali po pošti na naslov Slovensko društvo INFORMATIKA, Vožarski pot 12,1000 Uubljana. Avtorje prosimo, da pri pripravi prispevka upoštevajo navodila, objavljena v nadaljevanju. Za kakovost prispevkov skrbi mednarodni uredniški odbor. Članki so anonimno recen-zirani, o objavi pa na podlagi recenzij samostojno odloča uredniški odbor. Recenzenti lahko zahtevajo, da avtorji besedilo spremenijo v skladu s priporočili in da popravljeni članek ponovno prejmejo v pregled. Uredništvo pa lahko še pred recenzijo zavrne objavo prispevka, če njegova vsebina ne ustreza vsebinski usmeritvi revije ali če članek ne ustreza kriterijem za objavo v reviji. Pred objavo članka mora avtor podpisati izjavo o avtorstvu, s katero potrjuje originalnost članka in dovoljuje prenos materialnih avtorskih pravic. Nenaročenih prispevkov ne vračamo in ne honoriramo. Avtorji prejmejo enoletno naročnino na revijo Uporabna informatika, ki vključuje avtorski izvod revije in še nadaljnje tri zaporedne številke. S svojim prispevkom v reviji Uporabna informatika boste prispevali k širjenju znanja na področju informatike. Želimo si čim več prispevkov z raznoliko in zanimivo tematiko in se jih že vnaprej veselimo. Uredništvo revije Navodila avtorjem člankov članke objavljamo praviloma v slovenščini, članke tujih avtorjev pa v angleščini. Besedilo naj bo jezikovno skrbno pripravljeno. Priporočamo zmernost pri uporabi tujk in -kjer je mogoče - njihovo zamenjavo s slovenskimi izrazi. V pomoč pri iskanju slovenskih ustreznic priporočamo uporabo spletnega terminološkega slovarja Slovenskega društva Informatika Islovar [www.islovar.org). Znanstveni članek naj obsega največ 40.000 znakov, strokovni članki do 30.000 znakov, obvestila in poročila pa do 8.000 znakov. Članek naj bo praviloma predložen v urejevalniku besedil Word (*.doc ali ®.docx) v enojnem razmaku, brez posebnih znakov ali poudarjenih črk. Za ločilom na koncu stavka napravite samo en prazen prostor, pri odstavkih ne uporabljajte zamika. Naslovu članka naj sledi za vsakega avtorja polno ime, ustanova, v kateri je zaposlen, naslov In elektronski naslov. Sledi naj povzetek v slovenščini v obsegu 8 do 10 vrstic in seznam od 5 do 8 ključnih besed, ki najbolje opredeljujejo vsebinski okvir članka. Pred povzetkom v angleščini naj bo še angleški prevod naslova, prav tako pa naj bodo dodane ključne besede v angleščini. Obratno pa velja v primeru predložitve članka v angleščini. Razdelki naj bodo naslovljeni in oštevilčeni z arabskimi številkami. Slike in tabele vključite v besedilo. Opremite jih z naslovom in oštevilčite z arabskimi številkami. Vsako sliko in tabelo razložite tudi v besedilu članka. Če v članku uporabljate slike ali tabele drugih avtorjev, navedite vir pod sliko oz. tabelo. Revijo tiskamo v črno-beli tehniki, zato barvne slike ali fotografije kot original niso primerne. Slik zaslonov ne objavljamo, razen če so nujno potrebne za razumevanje besedila. Slike, grafikoni, organizacijske sheme ipd. naj imajo belo podlago. Enačbe oštevilčite v oklepajih desno od enačbe. V besedilu se sklicujte na navedeno literaturo skladno s pravili sistema APA navajanja bibliografskih referenc, najpogosteje torej v obliki: (Novak & Kovač, 2008, str. 2351. Na koncu članka navedite samo v članku uporabljeno literaturo in vire v enotnem seznamu po abecednem redu avtorjev, prav tako v skladu s pravili APA. Več o APA sistemu, katerega uporabo omogoča tudi urejevalnik besedil Word 2007, najdete na strani http://owl.english.purdue.edu/owl/resource/560/01/. Članku dodajte kratek življenjepis vsakega avtorja v obsegu do 8 vrstic, v katerem poudarite predvsem strokovne dosežke. Spoštovane bralke in bralci. Konec leta pogosto doživljamo kot prelomnico, ko se ozremo nazaj in skušamo oceniti, kakšno je bilo leto, kaj so bili uspehi, kje so bile težave in ali smo uspeli izpolniti pričakovanja oz. - kot bi rekli v poslovnem svetu - ali smo uspeli doseči planske cilje. Za pravkar iztekajoče se leto velja vsesplošno prepričanje, daje bilo težko in zahtevno. To nedvomno drži. Pa vendar ... Ponudniki rešitev in storitev na področju informatike, s katerimi sem se v preteklih mesecih pogovarjal, pravijo, da se organizacije bolj previdno odločajo za nove projekte. Opažajo, da so naročniki precej bolj zahtevni pri utemeljevanju novih projektov, pri pogajanjih, pri nadzoru kakovosti, pri priznavanju dodatnih del itn. Posebno spodbudno je, da tovrstna opažanja o večji pozornosti pri investicijah v informatiko prihajajo tudi iz javne uprave. Organizatorji večine posvetovanj in konferenc so se v preteklem letu srečevali s težavami pri ohranjanju števila udeležencev iz preteklih let. Udeleženci so bili zaradi varčevanja veliko bolj izbirčni pri odločanju o udeležbi in zagotovo je ključni kriterij odločanja dodana vrednost za udeleženca in posredno za organizacijo. Zato so se morali organizatorji posebno potruditi, da so ponudili prave vsebine, ki so bile podane na pravi način. Tudi v prihodnjem letu bo podobno. In dobro je tako. Torej je kriza na področju informatike - kot velja za vse krize in na vseh področjih - pravzaprav tudi spodbuda za iskanje novih priložnosti, ki so lahko zelo raznolike. V enem od podjetij pravijo, da je zdaj - ko je povpraševanje manjše in dela manj - priložnost, da uporabnike bolj vključijo v razvoj informatike. Leta 2009 v Uporabni informatiki ni bilo revolucionarnih sprememb. Ocenjujemo, da glede na namen in naravo revije bistvena sprememba usmeritve revije ne bi bila ustrezna. To pa ne pomeni, da ne iščemo novih priložnosti. V uredniškem odboru se vedno sprašujemo o možnostih, kako bi revijo naredili še bolj zanimivo in jo tako še bolj približali bralcem. Spremembe morda navzven niso vedno takoj vidne, saj so pogosto povezane z zahtevami za prispevke, s postopki njihovega recenziranja in izbora, vendar verjamemo, da bodo na daljši rok dosegle svoj namen. Tako so bralci že pohvalili raznolikost in zanimive prispevke v prejšnji številki. Tudi tokrat so prispevki vsebinsko zelo pestri: od bolj strateških vprašanj o novi vlogi službe za informatiko prek obravnave specifičnih vprašanj prenove procesa komuniciranja in informiranja v organizaciji do prispevkov s področja informacijske tehnologije, ki obravnavajo razvoj ontologij, obvladovanje mobilnih naprav ter varnostna vprašanja pri negotovinskem plačevanju. Verjamem, da bo vsak našel kaj zanimivega in uporabnega zase. V letu 2010 vam želimo obilo novih priložnosti in veliko zanimivega branja v Uporabni informatiki. Jurij Jaklič, odgovorni urednik Slovensko društvo INFORMATIKA zbira na podlagi 53.člena statuta in pravilnika o priznanjih predloge za PRIZNANJA SLOVENSKEOA DRUŠTVA INFORMATIKA 1. Priznanje se lahko podeli posamezniku ali pravni osebi za: I> dosežke na področju uporabne in znanstvene informatike ter vidne prispevke na področju razvoja informacijske družbe in razvoja novih načinov in tehnologij dela na področju informatike, l> dolgoletno uspešno delo v društvu ali v drugih društvih, ki so sodelovala z društvom pri programskih vprašanjih, t> razvoj mednarodnega sodelovanja in izmenjavo dosežkov na tem področju, I> izjemne dosežke na področju razvoja konceptov, programskih orodij, naprav in tehnologij v zvezi z informatiko, 1> uspešno sodelovanje z društvom, l> publicistično delo na področju informatike in informacijske družbe in t> izjemne dosežke na področjih, ki zadevajo vprašanja informatike. 2. Predlog mora vsebovati: podatke o prejemniku priznanja, l> opis dosežka, I> predlagano priznanje, dokazila o dosežku, podatke o predlagatelju. Podrobni pogoji so navedeni v pravilniku na naslovu http://www.drustvo-informatika.si. Predloge pošljite do vključno 30. januarja 2010 na naslov: Slovensko društvo INFORMATIKA Vožarski pot 12 1000 Ljubljana . z oznako »PRIZNANJA 201 □« ali na elektronski naslov: info@drustvo-informatika. si Predloge bo v skladu s pravilnikom obravnavala korrüsija za priznanja in jih s svojim mnenjem posredovala izvršnemu odboru društva. Priznanja bodo javno podeljena na posvetovanju Dnevi slovenske informatike aprila 2010. ZNANSTVENI PRISPEVKI B Primerjava pristopov k razvoju ontologij Boštjan Grašič, Vili Podgoreiec, Marjan Heriči — Upravljanje konfiguracij Slika 7: Procesi in aktivnosti metodologije methontology uporabijo v ontologiji druge domene (npr. poslovna potovanja). Proces razvoja ontologij in njegove aktivnosti so prikazane na sliki 7. Razvojni proces se začne s planiranjem - naredimo načrt izvajanja aktivnosti. Uprav-Ijalske aktivnosti vsebujeta dve aktivnosti, ki tečeta vzporedno z razvojem ontologije, to sta (i) nadziranje izvajanja načrtovanih aktivnosti ter (ii) preverjanje kakovosti produktov, ki so rezultat posamezne aktivnosti. Razvojni proces predvideva linearno izvajanje aktivnosti, ki se ponavljajo z vsako iteracijo. Ni nujno, da se v vsaki iteraciji izvedejo vse aktivnosti, lahko se izvedejo samo tiste, ki so pomembne za posamezno iteracijo. Aktivnost specifikacije odgovarja na vprašanja, zakaj razvijamo ontologijo, kdo so njeni uporabniki, kakšna je predvidena uporaba ontologije (uporabijo se lahko kompetenčna vprašanja). Posebnost metodologije methontology je proces konceptu-alizacije. Metodologija ne priporoča neposredne predstavitve v konkretnem formalizmu ali ontološkem jeziku, temveč vnaša t. i. vmesno predstavitev v obliki konceptualnega modela, ki naj bi olajšal težave pri napakah v konceptualni zasnovi in olajšal spremembe. Določene nejasnosti, ki se pojavljajo v konceptuahiem modelu, lahko odpravimo z opcijsko aktivnostjo formalizacije. Tako nastali formalni konceptualni model lahko v procesu implementacije preslikamo v konkretno ontologijo, ki je zapisana v enem od ontoloških jezikov. 6.4 Metodologija On-To-Knowledge Metodologija On-To-Knowledge (OTKM) je nastala v okviru projekta On-To-Knowledge,^ katerega cilj je bil aplikacija ontologij k elektronsko dostopnim informacijam za izboljšanje kakovosti upravljanja znanja v velikih in distribuiranih organizacijah (Sure, Staab, & Studer, 2004). Metodologija je sestavljena iz petih glavnih korakov, ki so prikazani na sliki 8 in podrobneje opisani v nadaljevanju. Aplikacija za upravljanje znanja Identifikacija: 1.težav in priložnosti 2. osredotočenosti na upravljanje znanja 3. On-To-Knowledge orodij 5. Zajemanje specifikacije zahtev in ORSD 6. Izdelava polformalnega opisa ontologije 7. Preoblikovanje polformalnega opisa ontologije 8. Formalizacija v ciljno ontologijo g. Izdelava prototipa 4. Ljudi 10. Ovrednotenje osredotočeno na tehnologije 11. Ovrednotenje osredotočeno na uporabnika 12. Ovrednotenje osredotočeno na ontologijo 13. Uporabitev ontologije 14. Upravljanje evolucije in vzdrževanje Slika 8: Procesi in aktivnosti metodologije On-To-Knowledge (prirejeno po Sure et al. (2004)) ® www.ontoknowledge.org Faza 1: Študija izvedljivosti Metodologija On-To-Knowledge povzema študijo izvedljivosti po metodologiji CommonKADS, ki je bila narejena za sisteme za upravljanje z znanjem in se osredinja na celotno aplikacijo in ne samo na ontologijo. Služi kot osnova za proces zagona. Faza 2: Zagon V fazi zagona se začne dejanski razvoj ontologije. Razvoj se začne z dokumentom specifikacije zahtev ontologije (ontology requirements specification document - ORSD). ORSD opisuje, kaj naj podpira ontologija, skicira predvideno aplikacijo ontologije, smernice razvoja, vire znanja in potencialne uporabnike. Pri specifikaciji lahko uporabimo tudi kompetenčna vprašanja. ORSD naj služi kot vodnik razvijalcu ontologije, kot pripomoček za identifikacijo konceptov, relacij ter hierarhične strukture. Ta faza predvideva izdelavo polformalne ontologije v sodelovanju z domenskimi eksperti. Ko so zahteve zadovoljivo specificirane, metodologija dopušča prehod v naslednjo fazo. Zadovoljivo se smatra takrat, kadar ni več potrebe po dodatnem pridobivanju ali analiziranju znanja. Seveda lahko zmeraj v kakšni kasnejši fazi nastopi potreba po dodatnem pridobivanju znanja. Za takšne primere metodologija omogoča povratne zanke. Faza 3: Preobliloivanje V fazi preoblikovanja formaliziramo polformalno ontologijo. Metodologija predvideva izgradnjo tak-sonomije. V kombinaciji s polformalno ontologijo lahko uporabimo tudi pristop generiranja ontologije, ki pospeši gradnjo. Ko je definirana taksonomija, metodologija predlaga dodajanje relacij k taksonomiji. V tej fazi se pogosto pojavi pojavijo odprta vprašanja, zaradi tega metodologija predvideva konzultacije z domenskimi eksperti. Rezultat te faze je ciljna ontologija. Ključno vprašanje, ki se pojavlja v tej fazi je, ali ciljna ontologija izpolnjuje zahteve, ki so bile zajete v fazi zagona. Prva verzija ontologije služi za razvoj prototipa aplikacije, ki jo uporabimo za vrednotenje. Faza 4: Vrednotenje Faza vrednotenja se osredinja na vrednotenje aplikacije s treh vidikov: (i) tehnološkega, (ii) uporabniškega in (iii) z vidika ontologije. Ovrednotenje s tehnološkega vidika vsebuje vrednotenje lastnosti generiranih ontologij (sintaksa, semantika) in vrednotenje tehnoloških lastnosti (npr. interoperabilnost, performanse, skalabilnost). Z uporabniškega vidika vrednotimo zadovoljstvo uporabnikov z aplikacijo za upravljanje z znanjem, medtem ko za vrednotenje z vidika ontologij uporabimo pristope vrednotenja ontologij. Izhod iz te faze je ovrednotena ontologija. Glavno vprašanje ob koncu te faze je, ali razvita ontologija izpolnjuje vse kriterije, ki so relevantni za aplikacijo ontologije. Če je odgovor pritrdilen, lahko začnemo z namestitvijo ontologije v produkcijski sistem. Pogosto je treba opraviti več ciklov preoblikovanja in vrednotenja, da bi dosegli načrtovano stopnjo. Faza 5: Aplil Planiranje BO BO Predlaga Opisano BO Opisano .S. Š Nadzor BO BO Predlaga Opisano Opisano Zahteva Zagotovitev kakovosti BO BO Predlaga Opisano Opisano Zahteva ? štodlja okolja S i- BO 80 BÜ Predlaga BO Zahteva « i študija izvedljiv. BO BO BO Opisano BO Zahteva ^ ^ Specifikacija Predlaga Podrobno opisano Podrobno opisano Podrobno opisano BO Podrobno opisano Konceptualizacija BO Podrobno opisano Podrobno opisano Predlaga BO Zahteva § i Formalizacija BO Podrobno opisano Opisano Opisano Predlaga Zahteva Implementacija Predlaga Podrobno opisano Podrobno opisano Opisano Opisano Zahteva 5 Vzdrževanje 3 ^ BO BO Predlaga Predlaga Predlaga Zahteva ™ .s. Uporaba BO BO BO Predlaga BO BO ^ Pridobivanje znanja Predlaga Predlaga Podrobno opisano Opisano BO Delno opisano .§- Vrednotenje Predlaga Podrobno opisano Podrobno opisano Predlaga Predlaga Zahteva S Integracija Predlaga Predlaga Predlaga Predlaga BO Podrobno opisano ^ Upravljanje konfiguracije BO BO Opisano Predlaga Predlaga Zahteva 1 Dokumentiranje Predlaga Predlaga Podrobno opisano Opisano Predlaga Zahteva Spajanja in razvrščanje BO BO BO BO BO Opisano Lastnost Methontology On-To-Knowledge Diligent NeOn (ver. 1) Dime inzije NeOn Sodelovanje Ni obravnavano Ni obravnavano Obravnavano Zgolj omenjeno Kontekst Ni obravnavano Ni obravnavano Ni obravnavano Ni obravnavano Dinamičnost Zgolj omenjeno Zgolj omenjeno Zgolj omenjeno Ni obravnavano Podrobne smernice procesov in aktivnosti Specifikacija Predlagana zgolj kompetenčna vpr Predlagana zgolj kompetenčna vpr Ne predvideva te aktivnosti Podrobno podano Ponovna uporaba neontoloških virov Ni omenjeno Ni omenjeno Ni omenjeno Podano Reinženirstvo neontoloških virov Ni omenjeno Ni omenjeno Ni omenjeno Podano v preliminarni obliki Ponovna uporaba ontologij Podan zgolj seznam aktivnosti Podano zgolj priporočilo Ni omenjeno Podano Ponovna uporaba načrtovalskih vzorcev Ni omenjeno Ni omenjeno Ni omenjeno Podano v preliminarni obliki Ciljne skupine Ciljna skupina Ontološki inženirji in raziskovalci Ni ciljana na ontološke inženirje in raziskovalce Domenski eksperti Ontološki Inženirji in uporabniki in raziskovalci BO - Brez obravnave. 8 SKLEP Razvoj ontologij je zahtevno opravilo, ki ne zahteva samo domenskega znanja, temveč tudi znanje o formalni predstavitvi znanja, poznavanje ontoloških jezikov, znanje o upravljanju razvojnega procesa ter ne nazadnje znanje o sodelovanju med ljudmi (za razvoj ontologij je treba doseči konsenz). Da bi lahko obvladovali to kompleksnost, je modro uporabiti metodologije za razvoj ontologij, ki usmerjajo razvojni proces in nas tako hitreje pripeljejo na cilj, razvite ontologije pa so bolj kakovostne. Na podlagi spremembe metodologij in aktivnosti na področju inženirstva ontologij je mogoče zaznati trend, da se ontologije pomikajo iz večjih izoliranih ontologij v množico manjših med seboj povezanih ontologij, ki se nenehno razvijajo. Sodobni pristopi uvajajo sodelovalni princip, po katerem člani razvojne skupine na različnih lokacijah skupno razvijajo ontologijo. Te spremembe vnašajo še večjo pomembnost sistematiziranega pristopa k razvoju ontologij. Trenutno ne obstaja celovita metodologija, ki bi naslavljala ključne aspekte razvoja ontologij. Slednje se odraža tudi v nizki stopnji uporabe metodologij pri razvoju ontologij. Najboljši približek je metodologija NeOn, ki vse te aspekte naslavlja le delno. Žal je še zmeraj v razvojnem obdobju. Po drugi strani pa metodologija NeOn že sedaj vsebuje precej kaotično in obsežno zbirko informacij. Metodologiji, ki najbolje naslavljata omenjene kriterije in se nahajata v končni različici, sta On-To-Knov^^ledge in methonto-logy. Omenjeni metodologiji trenutno najbolj celovito in pregledno naslavljata celotni razvojni cikel ontologij. 9 LITERATURA [1] Bizer, C. R., Christian. (2006). D2R Server-publishing relational databases on the Semantic Web (poster). In 5tli International Semantic Web Conference. [2] Borst, W. N. (1997). Constmction of engineering ontologies. Unpublished doctoral dissertation. University of Twente. [3] Cardoso, J. (2007). The semantic web vision: Where are we? Intelligent Systenfis, IEEE, 22 (5), 84-88. [4] Corcho, O., Fernändez-Löpez, M., & Gömez-Perez, A. (2003). Methodologies, tools and languages for building ontologies, where is their meeting point? Data & Knowledge Engineering, 46 (1). 41-64. [5] Davis, R., Shrobe, H., & Szolovits, P. (1993). What is a knowledge representation? A\ Magazine, 14 (1), 17-33. [6] Farquhar, A., Fikes, R.. & Rice, J. (1996). The ontolingua server: a tool for collaborative ontology construction. In International journal of human-computer studies. [7] Genesereth, M. R., & Fikes, R. E. (1992). Knowledge interchange format, version 3.0. reference manual. (Tech. Rep.). Stanford University. [8] Gömez-Perez, A., Corcho, O., & Fernendez-Lopez, M. (2004). Ontologicalengineering:withexamplesfromtheareasof knowledge management, e-commerce and the semantic web. First edition (advanced information and knowledge processing). Springer. [9] Grimm, S., Hitzler, R, & Abecker, A. (2007). Semantic Web Services: Concepts, technologies, and applications. In R. Studer, S. Grimm, & A. Abecker (Eds.), (p. 51-105). Springer-Verlag New York, Inc. [10] Gruber, T. R. (1993). A translation approach to portable ontology specifications. Knowledge Acquisition, 5,199-220. [11] IEEE (2006). IEEE standard for developing a software project life cycle process. (2006). IEEE Std 1074-2006 (Revision of IEEE Std 1074-1997), 1-104. [12] Lassila, O., & McGuinness, D. L. (2001). The role of frame-based representation on the semantic web (Tech. Rep. No. KSL-01-02). Stanford: Stanford University. [13] Manola, F, & Miller, E. (Eds.). (2004). RDF Primer World Wide Web Consortium. [14] McGuiness, D. L. (2004). OWL Web Ontology Language. W3C Recommendation. [15] Nierlich, A. (2007). Kuka roboter gmbh rolls out the advanced version of kuka.expert plus to customer service employees woridwide. http://www.ontoprise.de/en/home/news/news-en/kuka/. [16] Object Management Group (2005). Ontology definition meta-model, third revised submission to OMG/rfp ad/2003-03-40. www.omg.org/docs/ad/05-08-01 .pdf. [17] Pinto, H. S., Tempich, C., & Staab, S. (2004). Diligent: Towards a fine-grained methodology for distributed, loosely-controlled and evolving engingeering of ontologies. In R. L. de Mantaras & L. Saitta (Eds.), Proceedings of the 16th European Conference on Artificial Intelligence (ECAI 2004), pp. 393-397. Valencia, Spain: lOS Press. [18] Studer, R., Benjamins, R., & Fensel, D. (1998). Knowledge engineering: Principles and methods. Data & Knowledge Engineering, 25 (1-2), 161-198. [19] Suarez-Flgueroa, M. del C., Cea, G. A. de. Bull, C., Caraccio-lo, C., Dzbor, M., Gömez-Perez, A., et al. (2007). D5.3.1 NeON development process and ontology life cycle (NeOn Project Deliverable No. D5.3.1). Unlversldad Politecnica de Madrid. [20] Suarez-Flgueroa, M. del C., Cea, G. A. de. Bull, C., Dellschaft, K., Fernändez-Löpez, M., Garcia, A., et al. (2008). D5.4.1. NeON methodology for building contextualized ontology networks (NeOn Project Deliverable No. D5.4.1). Unlversldad Politecnica de Madrid. [21] Sure, Y., Staab, S., & Studer, R. (2004). On-to-knowledge methodology (OTK). In S. Staab & R. Studer (Eds.), Handbook on ontologies (p. 117-132). Springer. [22] Syldatke, T, Chen, W., Angele, J., Nierlich, A., & Ullrich, M. (2007). How ontologies and rules help to advance automobile development. In Advances in Rule Interchange and Applications (Vol. 4824/2007, pp. 1-6). Springer Berlin / Heidelberg. [23] Söderström, E., Andersson, B., Johannesson, P., Perjons, E., & Wangler, B. (2002). Towards a framework for comparing process modelling languages. In Advanced Information systems engineering (Vol. 2348/2002, pp. 600-611). Springer Berlin / Heidelberg. [24] Tran, T., Lewen, H., & Haase, P (2007). On the role and application of ontologies in information systems. In 5th IEEE International Conference on Research, Innovation and Vision for the Future (p. 14-21). Boštjan Grašič je diplomiral leta 2006 na Fakulteti za elektrotehniko, računalništvo in informatiko Univerze v Mariboru. Je študent doktorskega študijskega programa na omenjeni fakulteti in hkrati študent na znanstvenem magistrskem programu na Ekonomsko-poslovni fakulteti Univerze v Mariboru. Zaposlen je kot mladi raziskovalec na Fakulteti za elektrotehnika, računalništvo In informatiko. Njegovo raziskovalno področje obsegajo semantični splet in semantične tehnologije, semantične spletne storitve ter razvoj naprednih inteligentnih sistemov. Je avtor več znanstvenih prispevkov na domačih In tujih konferencah. ■ Vili Podgorelec je izredni profesor s področja informatike na Fakulteti za elektrotehniko, računalništvo in informatiko Univerze v Mariboru, kjer predava na programih računalništvo in informatika, informatika in tehnologije komuniciranja, medijske komunikacije in bioinformatika. Raziskovalno se ukvarja predvsem s področji inteligentnih sistemov, Inovativnih informacijskih rešitev, semantičnih tehnologij in teorije kompleksnosti, ki jih aplicira predvsem v programskem inženirstvu in medicinski informatiki. Je avtor mnogih člankov z omenjenih raziskovalnih področij v uglednih mednarodnih revijah, vabljeni predavatelj na več konferencah ter predsednik oz. član programskih odborov in soorganizator nekaj mednarodnih znanstvenih konferenc. Sodeloval je v več domačih in mednarodnih znanstvenoraziskovalnih projektih ter v aplikativnih projektih za industrijo. ■ Marjan Heričko je redni profesor in vodja laboratorija za informacijske sisteme na Fakulteti za elektrotehniko, računalništvo in informatiko Univerze v Mariboru. Njegovo raziskovalno-razvojno delo obsega vse vidike razvoja informacijskih rešitev in storitev s poudarkom na metodologijah razvoja, ponovni uporabi, metrikah, upravljanju znanja, storitvenem inženirstvu in storitveni znanosti. Je strokovni koordinator slovenske tehnološke platforme za programsko opremo in storitve (NESSI Slovenija], predsednik konference OTS Sodobne tehnologije in storitve ter mednarodne konference CSS Collaboration, Software and Services in Information Society, vodja in koordinator mnogih domačih in mednarodnih projektov. STROKOVNI PRISPEVKI B Vloga in položaj službe za informatiko v novem tisočletju Franc Brcar REVOZ, d. d., Belokranjska 4, 8000 Novo mesto franc.brcar@renault.com Silvo Lah Novoles, d. d., Na žago 6, 8351 Straža silvo.lah@novoles.si Izvleček Tradicionalni pogled na informacijsko tehnologijo ni več ustrezen glede na zahteve trga. Podatkovno usmerjenost mora podjetje nadomestiti s procesno usmerjenostjo. Pomembna je zaveza k stalni rasti in k zadovoljevanju potreb kupcev. Z zniževanjem cen je informacijska tehnologija postala dosegljiva vsem in ne predstavlja več konkurenčnih prednosti podjetju. Informacijska tehnologija postane blago in nujen strošek poslovanja. S tem se vloga in položaj informatike v poslovanju bistveno spremeni. Informacijska tehnologija ni več strateški dejavnik poslovanja. Procesi postanejo osnova strategiji. Čedalje večjo vlogo dobiva menedžment poslovnih procesov, ki edini lahko dolgoročno zagotavlja uspešno poslovanje. Podjetje mora za dosego svojih ciljev izrabiti tudi možnosti, ki jih ponuja zunanje izvajanje poslovnih procesov. Ključne besede: informatika, informacijska tehnologija, menedžment poslovnih procesov, celovite programske rešitve, zunanje izvajanje poslovnih procesov. Abstract THE ROLE AND POSITION OF INFORMATICS IN THE NEW MILLENNIUM The traditional view of information technology does not meet the requirements of market any more. In enterprises data orientation must be replaced by process orientation. The obligation of permanent growth and of keeping the customers satisfied and their needs fulfilled is important for each enterprise. With lower prices information technology grew attainable to everybody and does not mean a competitive advantage of an enterprise any more. Information technology became a merchandize and an inevitable cost of operation. Thus, the role and position of the informatics In the business operation has changed essentially. The information technology is no more a strategic factor of business operation. The processes become the basis of strategy. The business process management becomes more and more important and it alone can ensure successful business operation on a long-term basis. To attain its goals the enterprise must also take advantage of business process outsourcing. Keywords: informatics, information technology, business process management, enterprise resource planning, business process outsourcing. 1 UVOD Postavimo hipotezo, da se je položaj informatike S prihodom nowega tisočletja so se pojauili nekateri duomi o oz. službe za informatiko v zadnjih letih bistveno usemogočnosti informacijske tehnologije Uafarmation Tech- spremenil in da nima več strateške vloge v podjet- flo/ogy, IT). Najbolje je ta razmišljanja opisal Carr (2003; ju. V članku bomo razložili in dokazali navedeno 20041, ki trdi, da informacijska tehnologija ni tako pomemh- hipotezo. Namen članka je spodbuditi razmišljanja na, kot trdijo nekateri. Je nujno potrebna za konkurenčnost, o vlogi in položaju informatike. Samo pravilno ume- ne nudi pa sama po sebi konkurenčne prednosti. Nekatera ščena v poslovanje je lahko učinkovita in uspešna, podjetja so si na začetku razvoja informacijske tehnologije V nasprotnem primeru ima podjetje z informatiko zagotovila konkurenčno prednost. To je uspelo podjetjem, ki previsoke stroške. O vlogi informatike obstaja precej so pokazala nadpovprečno stopnjo inovativnosti in ki so znala strokovne Uterature, kar dokazuje, da je raziskovanje izkoristiti moč nove tehnologije pred konkurenti. Ta podjetja na tem področju dinamično. Mnenja so zelo različna, je konkurenca praviloma hitro dohitela in nekatera tudi pre- pogosto diametralno nasprotna. Ugotovitve, zbrane hitela. Oanes je informacijska tehnologija dosegljiva skoraj v članku, so rezultat opazovanj in analiz razvoja in vsem po sprejemljivih cenah. Zaradi tega mora podjetje svojo stanja informatike v nekaj večjih slovenskih podjet- konkurenčno prednost razvijati v osnovni dejavnosti, to je v jih. Cilj raziskovanj na to temo mora biti optimalna razvoju in inovativnosti osnovnih poslovnih procesov. organiziranost informatike. V drugem razdelku opišemo razvoj in vlogo informatike do konca drugega tisočletja. V tem obdobju so imela podjetja lastniško opremo, ki je lahko zagotavljala konkurenčno prednost. Značilna je bila podatkovna usmerjenost in zadovoljevanje uporabniških potreb. V tretjem razdelku nakažemo, kakšna je vloga informatike danes in kakšna bo v prihodnje. Ugotavljamo, da je informacijska tehnologija nujno potrebno orodje za delo, ki omogoča konkurenčnost, ne omogoča pa konkurenčnih prednosti. Za današnji čas je značilna procesna usmerjenost in orientiranost h kupcu. Na koncu podamo sklepno misel. 2 Vloga informatike v prvih petdesetih letih Razvoj informacijske tehnologije se je začel po letu 1950. Do začetka novega tisočletja je sledil izredno hiter razvoj. Do danes ni še nobeni novi tehnologiji uspel tako hiter napredek v tako kratkem časovnem obdobju. To obdobje lahko poimenujemo prvih petdeset let informacijske tehnologije, ki se je končalo s prihodom novega tisočletja in z gospodarskim zlomom »dot.com«. Ta kriza je povzročila propad mnogih tehnoloških podjetij in splošno gospodarsko krizo. Okrevanju je sledilo novo obdobje, ki ga lahko poimenujemo naslednjih petdeset let ali drugih petdeset let razvoja informacijske tehnologije. Če za prvih petdeset let trdimo, da je šlo za pretirano evforijo okoli informacijske tehnologije, lahko upravičeno pričakujemo v naslednjih petdesetih letih višjo stopnjo zrelosti razvoja. To bo pomenilo nižji tempo sprememb, a zato višjo stopnjo optimizacije in racionalizacije. Za prvih petdeset let so značilne tri etape. V prvi etapi so podjetja začela uporabljati vehke centralne računalnike, ki so omogočili avtomatizacijo ročnega dela. Praviloma so imela podjetja organizirane službe za informatiko, tako da so sama razvijala s programskimi orodji aplikativne rešitve. V drugi etapi, v osemdesetih letih, je prišlo do množične uporabe osebnih računalnikov. Osebni računalniki so informacijsko tehnologijo približali uporabnikom s svojimi pozitivnimi in negativnimi posledicami. Kot pozitivno posledico lahko štejemo popularizacijo uporabe pisarniških orodij, kot negativno posledico pa težavno upravljanje in nadzor. V zadnji, tretji etapi v devetdesetih letih je prišlo do množične uporabe medmrežja (internet). Spremembe so se pokazale v intenzivnejšem sodelovanju med poslovnimi partnerji in pojavile so se povsem nove oblike poslovanja, kot je npr. elektronsko trgovanje (e-commerce). V prvih petdesetih letih je bil najvišji menedž-ment naklonjen uvajanju in uporabi informacijske tehnologije. Splošno prepričanje je bilo in je še danes, da informacijska tehnologija pozitivno vpliva na poslovanje podjetja in na njegovo produktivnost. Podjetja so informatizirala poslovanje, uvajala nove informacijske sisteme in vzdrževala obstoječe. Investicije v strojno in programsko opremo so bile visoke. Lep primer je razvoj in menjavanje različic operacijskega sistema Windows in posledično sinhrono nadgrajevanje procesnih enot ter s tem povezani stroški. Klasično organizirane službe za informatiko imajo visok strošek dela, saj je potrebna zastopanost vseh poklicev. Zaradi vse bolj turbulentnega in tekmovalnega tržnega okolja se je pojavil pritisk na stroške, povezane z informatiko. Čedalje pogosteje se najvišji menedžment sprašuje, ali so tako visoki stroški res potrebni in aU pridobitve opravičujejo stroške. Spremembo v miselnosti najvišjega menedžmenta so povzročila tudi razočaranja v preteklosti zaradi nerealnih pričakovanj ob informatizaciji poslovanja in sanü uporabi informacijske tehnologije. 2.1 Podatkovna usmerjenost Večina podjetij ima informatiko. Imena so različna: avtomatska obdelava podatkov (AOP), ekonomsko-račimski center (ERC), informacijski center (IC), informatika in organizacija (lO), informacijska tehnologija (IT) ali služba za informatiko. Vsa ta poimenovanja kažejo na podatkovno usmerjenost informatike. Podatki oz. informacije so v središču dogajanja. Osnovna funkcija informatike je vnos, prikaz, hramba, obdelava in prenos podatkov. Za podatkovno usmerjenost je značilno, da procesi nimajo ustrezne vloge oz. da med procesi in podatki ni ustrezne povezanosti. Ta povezanost sicer obstaja prek statičnih podatkovnih modelov, kar pa se v današnjih časih kaže za premalo fleksibilno. Programski paketi imajo svoje omejitve. Programske rešitve, zgrajene na podlagi podatkovnih modelov, so približek dejanskega stanja. Težave nastopijo ob spremembi procesa, saj pogosto programske rešitve ne morejo slediti temu. Podatkovni modeli in podatkovne strukture so relativno statični, zato navadno sledi paradoks prilagajanja procesov programskim rešitvam. Pogosto zaradi aplikativnih omejitev sploh ne moremo izvesti sprememb procesov. Tradicionalna vloga informatike v podjetju je izpolnjevanje uporabniških potreb in je usmerjena k uporabniku. Vsako podjetje ima v organizacijski strukturi vse glavne poslovne funkcije in podporne aktivnosti. Informatika dobiva zahteve od vseh poslovnih funkcij in od vseh podpornih aktivnosti. Iz tega sledi, da je spekter zahtev zelo širok in da morajo informatiki imeti širok razpon znanja. Izkaže se, da tega znanja ni nikoH dovolj in da imajo zaradi tega informatiki in uporabniki obilo težav. Znano je tudi, da imajo uporabniki neskončno mnogo želja. Vse naštete probleme lepo opiše Kovačič (1992, str. 113) v ugotovitvi, da uporabniki pogosto od informatike zahtevajo nekaj, dobijo nekaj drugega in potrebujejo povsem nekaj tretjega. Orientiranost h kupcu in povečevanje vrednosti za kupca bo moralo postati eno od temeljnih vodil podjetja in informatike. 2.2 Konkurenčne prednosti Za podjetja v prvih petdesetih letih razvoja informacijske tehnologije je značilna lastniška informacijska infrastruktura, to je centralni računalnik z operacijskim sistemom, bazo podatkov in celovito programsko rešitvijo (Enterprise Resource Planning, ERP). Informatika ima strokovnjake za celotno strojno in programsko podporo, tako da so intervencije zunanjih izvajalcev redke. Če je podjetje samo razvijalo celovito programsko rešitev po posameznih poslovnih funkcijah, je pogosto nastajal problem podvajanja podatkov in problem povezljivosti. Ta problem odpravljajo programski vmesniki {Enterprise Application Integration, EAI), a je cena nabave, izdelave in eksplo-atacije visoka. Znotraj celovitih programskih rešitev je povezljivost zagotovljena, problemi pa se pojavijo pri povezljivosti navzven. Prenova poslovnih procesov in informatizacija poslovanja je dolgotrajen in zelo zahteven projekt, ki traja več kot eno leto. Angažirana je celotna informatika in še precejšnje število zaposlenih iz drugih služb. Prenovo poslovnih procesov lahko izvedemo brez prenove informacijske tehnologije, če procesi niso informatizirani ali če informatizacija ni potrebna. Pogosteje izvedemo prenovo poslovnih procesov in informatizacijo poslovanja. Poudariti je treba, da je prenova poslovnih procesov nujno potrebna pred informatizacijo poslovanja, sicer bodo rezultati nezadovoljivi. Če prenova poslovnih procesov ni temeljita, ugotovimo nekompatibilnost med celovito programsko rešitvijo in procesi. V tem primeru imamo dve možnosti. Da dobavitelj prilagodi celovito programsko rešitev našemu procesu, kar je pogo- sto predrago ali neizvedljivo, ali pa da spremenimo proces, kar ni niti poceni niti preprosto. Pogosteje se odločimo za drugo možnost. Ta pristop je daleč od sistematične prenove poslovnih procesov. Žabjek, Kovačič in Indihar - Štemberger (2008) navajajo, da tudi do 90 odstotkov informacijskih projektov uvajanja celovitih programskih rešitev ni uspešnih po kriterijih stroškov, rokov in kakovosti. Kako izboljšati to stanje, je že dolgo odprto vprašanje. Avison in Fitzgerald (2006) navajata kar 29 tehnik in 21 metodologij gradnje informacijskih sistemov. Očitno uporaba vseh teh tehnik in metodologij ne zagotavlja izboljšanja stanja. Vzroke moramo iskati v nezadostni pripravi informacijskih projektov, v nezadostnem strokovnem znanju in v pomanjkljivem projektnem menedžmentu. Za tradicionalno organizirana podjetja je značilna šibka povezanost med procesi in informatiko. Posledica tega je, da informatiki dobro poznajo programerska orodja, ne poznajo pa procesov. Ko se pojavi potreba po informatizaciji procesa, informatik zahteva od uporabnika detajlni opis. Informatik brez stalnega sodelovanja uporabnika sploh ni sposoben informatizirati procesa. Pri takem načinu dela je velika možnost nesporazumov. Do tega ne bi prihajalo, če bi informatiki bolje poznali poslovne procese. Še bolj zapletena zadeva je v primeru uvajanja celovite programske rešitve. Tradicionalno so nosilci teh projektov informatiki z nezadostnim znanjem poslovnih procesov. Nekaj upanja na boljše čase obeta procesna usmerjenost podjetja in menedžment poslovnih procesov (Business Process Management, BPM). Jeston in Nelis definirata menedžment poslovnih procesov kot najvišjo stopnjo združitve procesov, kakovosti in avtomatizacije (2008b, str. 278). 3 ULOGA INFORMATIKE V NASLEDNJIH PETDESETIH LETIH Podjetja se nahajajo v hiperkonkurenčnem tržnem okolju. Če žeUjo obstati na trgu, morajo stalno skrb posvečati stroškom, rokom in kakovosti. Tem pogojem so se morali prilagoditi tudi proizvajalci strojne in programske računalniške opreme. Na eni strani se zmogljivost strojne in programske opreme povečuje, na drugi strani pa se cene stalno znižujejo. Zaradi tega je informacijska tehnologija postala dosegljiva skoraj vsem. Vprašanje je, aU lahko informacijsko tehnologijo že označimo za blago široke potrošnje. Za vsako tehnologijo lahko definiramo življenjski ci- klus. V začetku je nova tehnologija draga, nestabilna in polna pomanjkljivosti. V tem obdobju je dostopna le nekaterim. Sledi obdobje zrelosti. Cene se znižajo, kakovost in zanesljivost delovanja se povečajo. Tehnologija postane dostopna vsem, torej postane blago. Zadnje obdobje je obdobje zatona. Če se pojavi nova tehnologija, ki uspešno nadomesti staro, stara izgine iz prizorišča. Vse to velja tudi za informacijsko tehnologijo, vprašanje je le, v kateri fazi se trenutno nahaja. Podjetja z jasno vizijo, ki znajo predvideti dogajanja v prihodnosti, lahko prihod nove tehnologije izkoristijo sebi v prid. Če podjetje uspe novo tehnologijo zadržati zase, pomeni to konkurenčno prednost. Seveda si mora podjetje prizadevati, da to prednost ohrani čim dlje. Poleg tega se mora podjetje zavedati, da bo pod velikim pritiskom posnemovalcev, tj. konkurentov, ki tudi želijo uporabljati novo tehnologijo. Podjetja, ki so prva na določenem področju, imenujemo pionirji. Na pionirje preži mnogo nevarnosti. Ker je nova tehnologija draga in nestabilna, ima podjetje z uporabo velike stroške. Lahko se pokaže, da nova tehnologija ni perspektivna, ali pa se pojavi še novejša tehnologija, ki jo izkoristijo konkurenti. Tako stanje lahko povzroči propad podjetja. Tudi če si podjetje ustvari konkurenčno prednost, mora to prednost zadržati dovolj dolgo, da se povrne vloženi denar. Posnemovalci vedno usvojijo novo tehnologijo in to ob nižjih stroških od pionirjev. Tehnologijo, do katere ima podjetje ekskluzivno pravico, imenujemo lastniška tehnologija. Ko pa je dostopna vsem, jo imenujemo infrastrukturna tehnologija. Informacijska tehnologija ima lastnosti infrastrukturne tehnologije. Je blago, dostopna je skoraj vsem, stopnja zrelosti in stopnja standardizacije sta visoki in uveljavljena je uporaba najboljše prakse (best practice). Posledica tega je, da lastništvo nad določeno strojno ah programsko opremo ne zagotavlja konkurenčnih prednosti (Carr, 2003). Podjetje se mora razlikovati od konkurentov. Imeti mora najboljši, najcenejši ali drugačen izdelek, tako da s tem pritegne kupce. Smith in Fingar (2003b, str. 99) tudi zaključujeta, da za uspeh ni pomembna tehnologija, pomembni so poslovni procesi. Porter (1998, str. XV) ugotavlja, da aktivnosti (procesi) povzročajo stroške za podjetje in dodano vrednost za kupca ter da so glavni dejavniki konkurenčnih oz. tekmovalnih prednosti. Informacijska tehnologija je že dosegla visoko stopnjo zrelosti. Napredek na področju strojne opreme je neverjeten tako na področju zmogljivosti pro- cesorjev, kapacitete diskov, zmogljivosti prenosa podatkov mrežnih komponent in vse ostale opreme. Še posebno je treba poudariti zanesljivost delovanja strojne opreme. Podobno stanje je na področju programske opreme. Zmogljivost in zanesljivost delovanja programske opreme je na bistveno višji ravni kot v preteklosti. Posledica tega je, da imajo mnoga podjetja slabo izkoriščene strojne in programske zmogljivosti. Izkoriščenost procesnih enot na osebnih računalnikih je nizka. Po nekaterih ocenah kar 70 odstotkov vsebin na diskih v okolju PC nima nobene povezave z dejavnostjo podjetja (Carr, 2003, str. 49). Gre za razvedrilne vsebine. Najvišji menedžment mora začeti razmišljati, kako bolje izkoristiti vse te zmogljivosti. Ena od možnosti je daljše časovno obdobje uporabe strojne in programske opreme. Stroške lahko znižamo tudi z ukirütvijo nakupa priznanih znamk strojne opreme. Na področju programske opreme lahko uporabljamo LINUX, OpenOffice in MySQL, torej opremo, ki je brezplačna. Cena premijskih blagovnih znamk z namenom prestiža je previsoka. 3.1 Procesna usmerjenost Cilj podjetja je, da je uspešno. Uspešnost si lahko zagotovi le tako, da je na trgu drugačno, tj. boljše od konkurence. V vseh pogledih mora podjetje napredovati, rasti in se razvijati. Jasno izdelan strateški poslovni načrt podjetja je ključnega pomena. Sestavni del tega načrta je tudi strateški poslovni načrt razvoja informatike. Pogosto informatika nima vizije in ustreznega poslovnega načrta ali pa poslovni načrt ni usklajen s strateškim poslovnim načrtom podjetja. Spany (2003, str. 17) navaja, da je takih podjetij kar 80 odstotkov. Usmerjenost h kupcu in zaveza k čim višji dodani vrednosti za kupca morata biti strateški usmeritvi. Procesna usmerjenost mora zamenjati podatkovno usmerjenost informatike. BPM na prvo mesto postavlja procese in pomeni doseganje ciljev podjetja z menedžmentom in kontrolo temeljnih poslovnih procesov, povzemata Jeston in Nelis (2008a, str. 11). Kot smo ugotovili, diferenciacijo med podjetji lahko dosežemo le z inovacijami, z ustvarjanjem novih procesov, s prenovo obstoječih in z ukinjanjem nepotrebnih. Kot sta zapisala Rummler in Brache že leta 1995 (str. 45), je uspešnost podjetja odvisna od uspešnosti njegovih procesov. Samo zniževanje stroškov ne zadostuje. Podjetje v procesih išče konkurenčne prednosti. Pomembna je celotna vrednostna veriga {value chain). Z vpeljavo menedžmenta poslovnih procesov klasična funkcionalna organiziranost ni več ustrezna, vpeljati je treba matrično organiziranost. Procesni menedžerji skrbijo za poslovne procese, ki pogosto zajemajo več poslovnih funkcij. Nekateri procesi so lahko izločeni iz vrednostne verige, ker se izvajajo pri poslovnem partnerju. Vse navedeno pomeni precejšnjo spremembo na področju procesne kulture podjetja. Pred uvedbo menedžmenta poslovnih procesov mora podjetje narediti temeljito prenovo poslovnih procesov, kar je prvi pogoj za uspešno vpeljavo. Spanyi (2007, str. 77) predlaga pet etap za uvedbo menedžmenta poslovnih procesov. Te etape so: (1) definicija, (2) analiza, (3) konstrukcija, (4) uvedba in (5) menedžment. Prve štiri prenovijo poslovne procese, peta pa skrbi za stalno izpopolnjevanje. Najpomembnejši je stalni napredek. Smith in Fingar (2003a, str. 89-94) navajata osem aktivnosti v življenjskem ciklu poslovnega procesa znotraj menedžmenta poslovnih procesov: (1) raziskava, (2) konstrukcija, (3) vpeljava, (4) izvajanje, (5) interakcija, (6) merjenje, (7) kontrola in (8) analiza. Izpopolnjevanje procesov izvajamo s postopkom optimizacije, tako da ponavljamo aktivnosti od 2 do 8. Fleksibilnost zastarelih rešitev ERP je povsem nesprejemljiva. Za informatizacijo celotnega poslovanja podjetja potrebujemo leto ali dve. Uvajanje večjih sprememb traja nekaj mesecev do pol leta. Že za manjše spremembe posameznih aplikativnih programov potrebujemo več mesecev. Prilagodljivost celovitih rešitev ERP, kot je npr. SAP, je bistveno boljša. Vanje je vgrajena najboljša praksa in zasnovani so parametrično. Ob spremembi procesa v rešitvi ERP izvedemo ustrezne nastavitve odgovarjajočih parametrov. Kljub temu je razvoj procesov relativno omejen. Harmon (2007, str. 447) vidi rešitev teh težav v BPMS (Business Process Management Suit/System), ki združuje: (1) krmiljenje izvajanja delovnih procesov {Workflow Management Systems, WFMS) in upravljanje z dokumenti {Document Management System, DMS), (2) orodja za integracijo aplikacij -EAl, (3) orodja za modeliranje poslovnih procesov in (4) nove internetne tehnologije {Service Oriented Architecture, SOA). Jezik menedžmenta poslovnih procesov {Business Process Management Language, BPML) omogoča sprotno izvajanje poslovnega modela, kar pomeni, da lahko programske rešitve v realnem času sledijo spremembam poslovnega procesa. V tem primeru govorimo o dinamičnem oz. iz- vajalnem modelu. Menedžment poslovnih procesov uvaja nov profil poklica. To je konstruktor poslovnih procesov. Odgovornost za konstrukcijo poslovnih procesov prevzamejo skrbniki poslovnih procesov od informatikov. 3.2 Zunanje izvajanje poslovnih procesov Zunanje izvajanje poslovnih procesov {outsourcing, Business Process Outsourcing, BPO) in globalno zunanje izvajanje poslovnih procesov {offshore outsourcing) sta se pojavila z globalizacijo gospodarstva. Tako se je pojavilo tudi zunanje izvajanje informatike {Information Technology Outsourcing, ITO). Če proces ni pomemben za poslovanje, ga lahko podjetje izloči iz vrednostne verige, tako da ga odda zunanjemu izvajalcu. Če pa je proces pomemben za poslovanje in se podjetje kljub temu odloči za zunanje izvajanje, je pričakovanje podjetja v tem, da si bo znižalo stroške, da si bo zagotovilo višjo kakovost izdelka ali storitve, ali da podjetje z zunanjim izvajanjem pridobi sinergijske učinke z dobaviteljem. V splošnem zunanje izvajanje pomeni, da izdelavo izdelka ali storitev izločimo iz svoje vrednostne verige, izdelek pa izdeluje ali storitev zagotavlja dobavitelj oz. poslovni partner. Nič nenavadnega ni, da podjetje išče svoje konkurenčne prednosti v zunanjem izvajanju informatike. V prvih petdesetih letih razvoja informacijske tehnologije je bilo tako razmišljanje nepojmljivo. Prevladovalo je prepričanje, da je informatika takega strateškega pomena, da jo mora podjetje v popolnosti nadzorovati in upravljati samo. Danes se največja svetovna podjetja odločajo za BPO in ITO. Pozitivni učinek zunanjega izvajanja je tudi v tem, da se po oddaji del podjetje lahko popolnoma posveti svoji osnovni dejavnosti in ne izgublja denarja in energije s postranskimi aktivnostmi. Nekatera podjetja se odločajo tudi za zunanje izvajanje procesov osnovne dejavnosti. Brown in Wilson (2005, str. 42-44) sta definirala deset argumentov za zunanje izvajanje poslovnih procesov: (1) hitrejši reinženiring procesov, (2) dostop do novih tehnologij, (3) pridobitev denarja s prodajami, (4) sprostitev notranjih resursov, (5) ponovni razmislek o problemih, (6) osredinjanje na osnovno dejavnost, (7) sprostitev denarnih sredstev, (8) znižanje operativnih stroškov, (9) zniževanje rizikov in (10) dostop do novih resursov. Kot navajajo Power, Desouza in Bonifazi (2006, str. 3-5) so ključni za uspeh BPO: (1) podjetje, (2) dobavitelj in (3) projekt. Kompleksnost projekta se poveča z zahtevnostjo procesa, z ravnjo v proces integriranega znanja, s potekom procesa prek več poslovnih funkcij, s številom akterjev, z dislokacijo akterjev in tudi z vključenostjo več podjetij. Ugotovili smo, da lahko obravnavamo informacijske tehnologije kot blago. Postavimo trditev, da je lahko vsak proces blago in da je mogoče z njim trgovati. Če se na trgu pojavijo ponudniki poljubnega izdelka ali storitve, lahko ta izdelek ali storitev smatramo za blago. Tako je lahko blago izračun osebnih dohodkov, izdelava dohodninskih napovedi, zaposlovanje v podjetju ipd. Vzpostavitev zunanjega izvajanja informatike je zahteven projekt. Razdelimo ga lahko na tri etape: (1) zasnova, (2) izvedba in (3) upravljanje. Pod upravljanjem zunanjega izvajanja procesa razumemo aktivnosti nadzora in aktivnosti stalnega napredka. Trg deluje v smeri širjenja zunanjega izvajanja, saj se je pojavilo že precej ponudnikov aplikativnih storitev (.Application Service Provider, ASP) in ponudnikov poslovnih storitev {Business Service Provider, BSP). Zanimivo bi bilo izračunati, kakšen bi bil prihranek na ravni države, če bi imeli nekaj ponudnikov, ki bi za vsa slovenska podjetja izvajala izračun osebnih dohodkov. Lahko pa razmišljamo še bolj pogumno. Zakaj ne bi dobavitelju zaupali tudi strateškega upravljanja in strateškega odločanja o informacijski tehnologiji, če je to cenejše, hitrejše in boljše? Gullen in Willcocks (2003, str. 3) poudarjata, da ITO pomeni strateški menedžment oskrbovanja z informacijskimi storitvami in strateško partnerstvo med podjetjem in dobaviteljem. 3.3 Nova vloga in položaj informatike Roach (1994) je odkril t. i. paradoks produktivnosti, ki pravi, da investicije v informacijsko tehnologijo nimajo vpliva na produktivnost podjetja. Keen je leta 1997 (str. 3) opisal paradoks procesa, ki pravi, da kljub bistvenem povečanju uspešnosti in učinkovitosti procesa ni garancije, da bo prišlo do povečanja uspešnosti podjetja. Strassmann (1997) pravi, da ni korelacije med stroški za informacijske tehnologije in profitom podjetij. Poleg tega (2002) trdi, da so v preteklosti podjetja pozabljala na ekonomsko racionalnost pri investicijah. Zanj je odločilna donosnost naložbe (Return On Investment, ROI). Phillips (2002) je v intervjuju z Larryjem Ellisonom zapisal: »Mnoga podjetja preveč investirajo v informacijsko tehnologijo in premalo dobijo.« McKinsley Global Institute (2002) ugotavlja, da ni korelacije med investicijami v informacijsko tehnologijo in produktivnostjo podjetja. Renault se je odločil za zunanje izvajanje informatike. Podpisal je pogodbo s Hew-lett-Packardom za področje PG in strežnike, z Atos Originom za nadzor sistemov in s GSG (2008) za razvoj programskih rešitev. S temi ukrepi si obeta znižanje stroškov za tretjino. Poleg tega je prišlo do standardizacije opreme in do enake ravni podpore v vseh tovarnah. V tabeli 1 prikazujemo oceno stroškov za informatiko. Obravnavamo tri velikostne razrede podjetij - do 1000, 2000 do 3000 in več kot 3000 zaposlenih. Glede na število zaposlenih predpostavimo število informatikov. Povprečno neto plačo ocenimo 1.500 do 2.000 evrov. Temu ustreza strošek dela za delodajalca - 3.000 do 4.000 evrov. Pomnožimo število informatikov, strošek dela za delodajalca na mesec z 12. Tako dobimo strošek dela za celotno informatiko na leto. Investicije ocenimo na 200.000, 400.000 in 600.000 evrov na leto. Tako vidimo, da so stroški okvirno 500.000,1,000.000 in 1,500.000 evrov na leto. To so vrednosti, nad katerimi se je vredno zamisliti. Če je podjetje imelo v osemdesetih letih VAX/VMS, TOTAL in PMPS ter trideset programerjev za Gobol in je razvijalo ves informacijski sistem, je to bilo upravičeno. Če je to podjetje v devetdesetih letih prešlo na UNIX, ORAGLE in je trideset programerjev uporabljalo SQL, Forms in Developer za razvoj aplikacij, tudi lahko razumemo. Če pa ima danes to podjetje celovito programsko rešitev SAP, pa informatika v takem obsegu brez dvoma ni potrebna. Tabela 1: Stroiki infonnatiliB slovenskih podjetij Število Število Straiek dela/leto Investicije Celotni stroški zaposlenih informatikov [1.000 €1 11.000 €1 (1.000 €1 Do 1000 5-10 180-480 200 500 1000-2000 10-20 3B0-9B0 400 1.000 2000-3000 20-30 720-1.440 600 1.500 V preteklosti je imela informatika poseben, privilegiran položaj v podjetju. Pripisoval se ji je strateški pomen za poslovanje. Danes najvišji menedžment razmišlja drugače. Informatika sploh ni pomembna. Pomembno je, da omogoča nemoteno poslovanje podjetja in da imamo z njo čim manj stroškov. Kadar se pogovarjamo o informatiki, se pogovarjamo o problemih in stroških, povezanih z njo. To je nesprejemljivo. Ena od realnih možnosti je zunanje izvajanje informatike. Telegraf, teleks, elektrika, para in vse ostale tehnologije so v začetku pogumnim podjetjem nudila konkurenčne prednosti. To je veljalo tudi za informacijsko tehnologijo. Danes so vse te tehnologije na voljo vsem po dostopnih cenah. Vse te tehnologije ne nudijo nobenih konkurenčnih prednosti; preprosto so postale strošek poslovanja, ki ga mora plačati vsako podjetje, če se želi obdržati na trgu. Nekatere tehnologije so postale povsem nepomembne, druge so preprosto izginile s trga, ker so se pojavile novejše in naprednejše. Vse to se dogaja in se bo dogajalo tudi z informacijsko tehnologijo. S pojavom cenenih spominskih modulov že lahko napovemo izginotje diskov. Še pred nekaj leti bi bila taka napoved utopija, danes pa je realnost. Ali že lahko napovemo izginotje službe za irvformatiko? Nov položaj in vloga informatike v podjetju zahteva bistven premik v miselnosti informatikov. Nekateri težko razumejo, da se je obdobje »belih halj« in informatike kot »možganskega centra« za vedno končalo. Preskok iz podatkovne v procesno usmerjenost pomeni spremembo kulture podjetja. Uvedba menedžmenta poslovnih procesov in vpeljava procesne kulture pomenita tudi organizacijske spremembe, predvsem odmik od klasične hierarhične funkcionalne organiziranosti k matrični organiziranosti. Zrelost informacijske tehnologije je že tako visoka, da so nekateri tradicionalni poklici začeli izginjati. Sistemski inženir in skrbnik baze podatkov sta taka primera. Zaradi stabilnosti strojne in programske opreme se je bistveno zmanjšal obseg dela, povečala pa se je tehnična zahtevnost dela. Zaradi stroškov je pogosto smiselno ukiniti te poklice, saj podjetje ne more pokrivati vseh znanj, specializirani dobavitelji pa imajo ta znanja. Z uvedbo projektnega menedžmenta so mnoga podjetja uvedla projektne pisarne. Slovensko združenje za projektni menedžment ponuja izobraževanje in izdaja certifikate. Analogija med procesnim in projektnim menedžmentom je sama po sebi umevna. Podjetja, ki so že začela z vpeljevanjem menedžmenta poslovnih procesov, ustanavljajo procesne pisarne (process office) ali centre odličnosti (centre of excellence). Procesne pisarne združujejo procesne menedžerje in jih podpirajo. Informatizacija poslovnih procesov je bila vedno v domeni informatike. Z vpeljavo menedžmenta poslovnih procesov bodo skrbruki procesov dobili orodje za konstrukcijo poslovnih procesov. Prevzeli bodo tudi vodilno vlogo pri prenovi poslovnih procesov in pri informatizaciji poslovanja. Obseg klasičnega modeliranja poslovnih procesov in klasičnega programiranja aplikacij se bo zmanjšal in v prihodnosti popolnoma izginil. Filiale skupine Renault nimajo več potreb po lastnem razvoju in programiranju. Lokalne aplikacije so tako rekoč ukinjene. Ta proces se je že začel v vseh globaliziranih podjetjih. Klasično organizirane službe za informatiko bodo izginile, če se ne bodo dovolj hitro preoblikovale. Ta prehod zahteva kadrovsko prenovo. Procesne pisarne zahtevajo strokovnjake, ki dobro poznajo procese in imajo znanja s področij menedžmenta, informatike, ekonomike in drugih ved. 4 SKLEP Prenova poslovnih procesov in informatizacija poslovanja sama po sebi ne pomenita konkurenčnih prednosti za podjetje, omogočata pa konkurenčnost. Uvedba celovite programske rešitve tudi samodejno ne pomeni povečanja produktivnosti podjetja. Konkurenčno prednost si lahko podjetje zagotovi le z inovativnostjo na področju poslovnih procesov. Podjetje mora imeti učinkovitejše procese kot konkurenti. Podjetje si mora dolgoročno zagotoviti konkurenčno prednost, in sicer s sistemom stalnega napredka poslovnih procesov, to je z vzpostavitvijo menedžmenta poslovnih procesov. V preteklosti je imela informatika neverjetno privilegiran položaj. Globalna ekonomska kriza, ki bo verjetno še trajala, bo menedžment prisilila v racionalizacijo na vseh področjih poslovanja. Tradicionalno zaščitena in nedotakljiva informatika se temu ne bo izognila. Hipotezo, da je informatika izgubila svoj strateški položaj, najbolje dokazujejo podjetja, ki se odločajo za delno ali popolno zunanje izvajanje informatike. Gullen in WUlcocks (2003, str. XVII) ocenjujeta, da je bil globabii trg ITO leta 2006 190 milijard dolarjev in da se povečuje. Ker informacijska tehnologija ne zagotavlja konkurenčnih prednosti, se je njen pomen bistveno zmanj- Šal. Vsako podjetje jo mora imeti, da obstane na trgu. Postala je nujen strošek poslovanja. Pretirana informatizacija in pretirana odvisnost proizvodnje lahko povzročita večje stroške od koristi. Postala je blago široke potrošnje. Cene so se znižale in dostopnost se je povečala. Narava dela v službah za informatiko se je tudi bistveno spremenila. Žal je čedalje manj strokovnega dela, čedalje več pa je organizacijskega in administrativnega dela. Menedžment ima številne možnosti za optimizacijo delovanja informatike. Naloga najvišjega menedžmenta je, da temeljito razmisli o vlogi informatike v podjetju. Večina podjetij bo morala na novo definirati strateški poslovni načrt in še posebej strateški poslovni načrt razvoja informatike. Pomembna je njena ustrezna umestitev v poslovanje. Najpomembnejše poslanstvo podjetja je zadovoljevanje kupcev in ustvarjanje dobička. Ta dva cilja lahko podjetje doseže le z učinkovitim in uspešnim menedžmentom poslovnih procesov, ki pa zahteva korenite organizacijske spremembe. Podjetjem, ki se bodo hitro prilagodila novim pogojem poslovanja, se obeta lepa prihodnost. 5 LITERATURA IN VIRI [1] Avison, D., & Fitzgerald, G. (2006). Information Systems Development: methodologies, techniques & tools (4th ed.). Maidenhead: IVIcGraw-HIII Education. [2] Brown, D., & Wilson, S. (2005). The Black Bool< of Outsourcing: Wow to Manage the Changes, Challenges, and Opportunities (reprint 2008). Hoboken: John Wiley & Sons. [3] Carr, N. G. (2003). IT Doesn't Matter. Harvard Business Review, 81(5), 41^9. [4] Carr, N. G. (2004). Does IT matter? Information technology and the corrosion of competitive advantage. Boston: Harvard Business School Press. [5] CSC (2008). Renault Sharpens Global IT Focus. Najdeno 11. 6. 2009, na http://www.csc.com /manufacturing/case_studi-es/9448-renault_sharpens_globalJt_focus. [6] Gullen, S. & Willcocks, L. (2003). Intelligent IT outsourcing: eight building blocl11- System Center Mobile Device tfyuaac iniiyn Afaria 6.0 iicre Hunia iHwiiiayiib Device 2007 Podpora končnim oporabnikom 32-bit Windows konnpatibilni Windows PPC 2000/2002/2003 D D 0 D Windows Mobile 5/6/6.1 D D D D Sony Ericsson MB00i/P1i D D N D Nokia E Si N Series D D N D Integracija s SCCM-jem D D D N Funkcionalosti, podprte na podprtih platformah Windows Mobile/Symbian Nameščanje agenta po zraku D D D N Zbiranje vseh podatkov o napravah D D D N Distribucija programske opreme D D D N Distribucija dokumentov D D N N Konfiguriranje mobilnih naprav D D D N Vsiljevanje varnostnih politik na mobilne naprave D D D D Kriptiranje datoteke ali mape na napravi D D 0 N Oddaljeno zaklepanje mobilne naprave D D D D Oddaljeno resetiranje naprave na tovarniške nastavitve D D D D izdelovanje varnostnih kopij mobilne naprave D D D N Izdelovanje skript za mobilne naprave D D D N Podpora ob neuspešni sinhronizaciji D D D N Kompresija D D D N Ponastavljanje točke povrnitve stanja na mobilni napravi D D D N Sinhronizacija samo spremenjenih podatkov D D N N Konfiguracija pasovne širine na posamezni mobilni napravi 0 D N N Granualna enkripcija podatkov pri sinhronizaciji: control channel/package/file D D D N Dinamična podpora skupinam glede na hardware/software D N D N Push distribucija SMS, IP SMS, iP SMS N Podpora za upravljanje osebnih podatkov (personal information manager-PIM) N D N N Podpora integraciji z aktivnim imenikom podjetja IDAR AD LDAR AD LDAR AD N Generiranje poročil D D D N Beleženje dogodkov, ki se izvajajo na napravah D N D N Zunanje in PDA sinhroniziranje podatkovne baze D 0 N N Produkti so si v splošnem med sabo zelo podobni, izstopa le upravljanje mobilnih naprav z orodjem Microsoft Exchange 2007. Omogoča predvsem vsiljevanje politik na naprave ter oddaljeno brisanje podatkov na mobilni napravi, medtem ko ne podpira drugih funkcionalnosti. Vse zgoraj navedene funkcionalnosti podpira na ključnih platformah mobilnih naprav (Windows Mobile, Symbian). 5 VPEUAVA CELOVITEGA PRISTOPA ODVLAOOVANJA MODILNIH NAPRAV Poglavje prikazuje vse aktivnosti, ki jih je treba upoštevati pri uvajanju sistema obvladovanja (upravljanja) mobilnih naprav. Slika 5 prikazuje diagram poteka aktivnosti. Potek aktivnosti ni pravilo, ki se ga je treba nujno držati, so le priporočila in usmeritve za druga podjetja oz. organizacije, ki se bodo srečevali s podobnim problemom. Proces se začne izvajati takrat, ko se pojavi dovolj velika potreba po upravljanju obilnih naprav. To se ne more zgoditi v kratkem časovnem intervalu, potreben je določen čas, da potrebe dozorijo. Ko potrebe dozorijo, je treba definirati temelje uspešnega upravljanja mobilnih naprav, in sicer je to varnostna politika, nato trenutni podprti nabor stori- tev na mobilnih napravah ter trendi na področju storitev na mobilnih napravah. Definirati je treba tudi platformo strojne opreme in programske opreme (operacijski sistemi), ki jih bomo uporabljali v podjetju. Platforma mora biti zastavljena tako, da predvideva zamenjavo modela mobilne naprave z novejšim. Ko so definirani temelji in okvirna pričakovanja (cilji) orodja za upravljanje mobilnih naprav, je priporočljivo izvesti analizo produktov na trgu ter izbrati najugodnejšega oz. tistega, ki najbolje pokriva vse zahteve. Ko je produkt izbran, je treba zagotoviti uspešno implementacijo orodja v obstoječo infrastrukturo podjetja in po možnosti zagotoviti integracijo orodja z drugimi orodji za upravljanje (npr. orodje za upravljanje delovnih postaj, strežnikov itn.). Na koncu seveda sledi testiranje sistema ter uporaba v produkciji. Ko se sistem nekaj časa uporablja, se pojavijo tudi problemi oz. stvari, ki jih je treba popraviti ali izboljšati. Za to poskrbi aktivnost obvladovanja sprememb nad sistemom, s katero zagotovimo sledljivost vseh sprememb nad sistemom. Proces se ne sme nikoli končati, neprestano je treba spremljati delovanje sistema ter ustrezno ukrepati pri odstopanjih od pričakovanj. Identifikacija potrebe po upravljanju mobilnih naprav Testiranje Uporaba sistema Definiranje varnostne politike za področje mobilnih naprav Implementacija in integracija v obstoječo IT infrastrukturo Obvladovanje sprememb nad sistemom Definiranje nabora trenutnih storitev na mobilnih napravah Izbor produkta in dobavitelja Določitev HW in SW platforme Analiza produktov na trgu Slika 5: Prikaz poteka aktivnosti pri uvajanju sistema v organizacijo 6 SKLEP Problem lahko rešimo šele takrat, ko se zavedamo, da obstaja. Pogledati je treba po organizaciji in prešteti, koliko različnih modelov mobilnih naprav uporabljamo. Brez pravega pristopa in brez pravega sistema upravljanja mobilnih naprav bodo podjetja težko preprečila odtekanje oz. krajo zaupnih informacij iz mobilnih naprav. Podjetja se bodo morala soočiti z velikim naborom različnih platform mobilnih naprav. 2a začetek uspešnega obvladovanja mobilnih naprav bodo morala podjetja definirati standarde, kot je napisal Gold v enem od svojih zaključkov: »Standardizacija platforme bo pomagala - vendar ne popolnoma izolirala organizacijo pred raznolikostjo mobilnih naprav. Organizacije bodo morale posodabljati mobilno strategijo prihodnja leta, da bodo zmožne uporabljati tehnologije za izboljšanje produktivnosti, varnosti itn. [14]. Obvladovanje mobilnih naprav v podjetju bo uspešno in bo imelo pozitivne učinke za podjetje, če se bomo pri samem pristopu definirali dobre temelje, na katerih bomo gradili celoten pristop. Dober temelj je dobro definiran in fleksibilen standard mobilnih naprav, ki ga je treba dosledno upoštevati. Članek prikazuje pristop obvladovanja mobilnih naprav v podjetju, ki mu bo prinesel nižje stroške upravljanja z mobilnimi napravami, zmanjšale se bodo varnostne grožnje, povečala se bo produktivnost uporabnikov. Cilj pa je bil tudi zagotoviti povečanje ravni varnosti, ne da bi se poslabšala uporabniška izkušnja. Delo prikazuje predvsem probleme ter nakazuje možne rešitve. Z varnostjo se je treba spoprijeti na vseh ravneh poslovanja in se ji dnevno posvečati. Ključnega pomena so stalni pregledi sistema in njegovo izboljševanje, saj lahko le tako zagotavljamo varnost informacijskega sistema v vsakem trenutku, ne glede na spremembe, ki nastajajo v procesih in sredstvih. Ključni dejavnik vpeljave sistema za upravljanje in- formacijske varnosti so zaposleni, vključno z upravo in vodstvom, ki morajo sprejeti varnostno politiko. Ker se mobilne tehnologije izredno hitro spreminjajo, je treba biti pri definiranju celovitih pristopov previden. V članku predstavljeni pristop bi bilo treba v praksi čim večkrat preizkusiti in ga dopolniti ter spremeniti glede na novo pridobljene izkušnje. 7 LITERATURA [1] Renkema, Theo J. W.: The IT value quest: how to capture the business value of IT-based infrastructure. Chichester, England: John Wiley & Sons Ltd, 2000. [2] ISO 17799:2005 Infonnation technology - Security techniques - Code of practice for information security management. Geneva: ISO/IEC, 2005,115 str. [3] ISO 27001:2005 Information technology - Security techniques - Information security management systems - Requirements. Geneva: ISO/IEC, 2005, 34 str. [4] Petrovič, Damjan: 'Analiza informacijske varnostne politike v Agenciji RS za kmetijske trge In razvoj podeželja. Diplomsko delo. Univerza v Ljubljani, Ekonomska fakulteta, 2007. [5] Bfnes, Erlend et al.: Risk analysis of information security in a mobile instant messaging and presence system for healthcare, International Journal of Medical Informatics (2006), doi:10.1016/j.ijmedinf. (2. 6. 2006) [6] Calder, Alan, Watkins, Steve: 'International IT Governance: An Executive Guide to ISO 17799/ISO 27001', Kogan Page Limited, 2006. [7] Potočnik, Marko: Analiza tveganja za odločanje o ravni varovanja informacij. Varnostni forum. Ljubljana, 2006. Str. 12. [8] Schultz, E. Eugene: 'Mobile computing: The Next Pandora's Box", Computers & Security. Letnik 2007, vol. 26, št. 3, str. 187. [9] Van Thanh, D., Jonvik, T, Vanem, E., Van Tran, D., Audestad, J. A.: The device management service. In: Proceedings of IEEE Intelligent Network Workshop, Boston, US, 2001. [10] Jun Ma, Jianxin Liao, Xiaomin Zhu: Device management in the IMS, Journal of Network and Systems Management, Springer Netherlands, Vol. 16, št. 1, str 46-62, marec 2008. [11] Karl, G., Stephen, G., Heather, K., James, S.: Introduction to Web services architecture. IBM Syst. J. 41 (2), 170-177, 2002. [12] W3C, Web Services Description Language (WSDL), http:// www.w3.org. [13] State, R., Frestor, O.: Management of wireless dynamic infrastructures. In: proceedings of the Eighth IEEE International Symposium on Computer and Communications, Kemer-An-talya, Turkey, 2003. [14] R. Hickey, Mobile device trends: Security, consolidation and more, SearchMobileComputing.com, Maj 2006. Tadej Prešeren je leta 200B diplomiral na Fakulteti za računalništvo in informatiko Univerze v Ljubljani in tam leta 200B tudi magistriral na programu Informacijski sistemi in odločanje. Leta 2007 se je zaposlil v podjetju Krka, d. d.. Novo mesto v sektorju za informacijske tehnologije in telekomunikacije, kjer skrbi za delovne postaje, mobilne naprave in vodi številne projekte na področju zaščite podatkov, uvedbe orodja za upravljanja mobilnih naprav, virtualizacije aplikacij ter uvedbe poenotenih komunikacij. S svojimi prispevki sodeluje na srečanjih in posvetovanjih. ■ Marko Bajec je zaposlen kot docent na Fakulteti za računalništvo in informatiko Univerza v Ljubljani, kjer predava predmete s področja informacijskih sistemov. Raziskovalno in v praksi se ukvarja predvsem s področji, kot so načrtovanje in uvajanje metodologij razvoja informacijskih sistemov (poudarek na uporabi sodobnih pristopov ter najboljših praks), strateško planiranje informatike, poslovno modeliranje, elektronsko poslovanje ter v zadnjem času analiza podatkov in odkrivanje anomalij. Je član več strokovnih in znanstvenih združenj. Svoje delo objavlja v domačem in mednarodnem prostoru. STROKOVNI PRISPEVKI B Zaščita negotovinskih oblik plačevanja Aleš Zelenik, Zdenko Mezgec Margento RGD, d. o. o., Gosposvetska cesta 84, 2000 Maribor ales.zelenik@margento.com, zdenko.mezgec@margento.com Izvleček Negotovinske oblike plačevanja se vse bolj uveljavljajo. Pri tem je treba zagotoviti visoko raven varnosti, saj skozi negotovinske sisteme prehajajo velike količine denarja. Pomemben korak pri tem so naredili glavni izdajatelji plačilnih kartic s specifikacijami EMV, ki naj bi stopile v veljavo leta 2011. Članek podrobneje predstavi postopke, ki jih zahtevajo specifikacije EMV, kot tudi druge zahteve, ki jih morajo izpolniti udeleženci negotovinskih sistemov. Poleg kartičnega poslovanja je predstavljeno tudi alternativno negotovinsko plačevanje z uporabo mobilnega telefona. Pri tem so opisane zaščite in njihova podobnost z zaščitami pri kartičnem poslovanju. Ključne besede: negotovinsko plačevanje, plačilne kartice, EMV, zaščita, mobilno plačevanje, Margento, zaščita. Abstract CASHLESS PAYMENT SECURITY Nowadays, more and more people use systems that provide cashless payments. With cashless payment, it is necessary to ensure a high level of security, because through these systems huge amounts of money are transferred every day. Main payment card issuers had made a huge step ahead, with EMV specifications, which should come into force in 2011. The article presents in detail the procedures required by the EMV specifications, as well as other requirements that providers of cashless systems must meet. In addition, an alternative cashless system is presented, that is, payments with user's mobile phone. It describes the level of protection and its similarity with the security features of card payments. Keywords: cashless payment, payment cards, EMV, security, mobile payment, Margento, security. 1 UVOD Danes smn priča velikemu razmahu negotovinskih ohlik plačevanja, ki z vsakim dnem privabijo nove uporabnike. Nekateri izmed njih so odločeni, da bodo iz gole radovednosti le preizkusili novi način plačevanja in nato še naprej uporabljali stari preverjeni način plačevanja z denarjem, vendar jih po prvi uporabi preprosta uporaba negotovinskih oblik plačevanja velikokrat pritegne in postanejo redni uporabniki. S takšnim načinom se število uporabnikov nezadržno veča, s tem pa se povečuje tudi skupni tok denarja, ki prehaja skozi negotovinske sisteme. Velike vsote denarja pa vedno privabijo nepridiprave, ki želijo delež tega denarja zase. Tega se proizvajalci in razvijalci negotovinskih plačilnih sistemov dobro zavedajo, zato poskušajo storiti vse, kar je v njihovi moči, da bi raznim nepridipravom onemogočili delovanje. Žal ni popolne varnosti, zato je vzdrževanje visoke ravni varnosti tekmovanje med tistinü, ki razvijajo varnostne mehanizme, in tistimi, ki hočejo zaobiti te meharüzme. S pojavom računalnikov in naprednejših šifrirnih postopkov se je tekmovanje zaostrilo, saj morajo na trg zaradi vse višje procesorske moči^ prihajati nove Moorov zakon: procesorska moC se podvoji vsakih 18 mesecev. oblike zaščite ter novi predvsem procesorsko zahtevnejši algoritmi. Problem v zagotavljanju varnosti se dodatno povečuje zaradi odprte politike finančnih ustanov, ki dovoljujejo neposreden dostop do posameznih finančnih storitev. Rezultat tega predstavlja neskončno iskanje novih oz. izboljšanih varnostnih sistemov s čim višjimi ravnmi zaščite. 2 PLAČILNE KARTICE Najbolj pogost in uveljavljen način negotovinskega plačevanja so plačilne kartice. Prve so se pojavile v začetku dvajsetega stoletja v Ameriki. Za njihovo uporabo so zaslužne velike naftne družbe, verige hotelov in velikih trgovin, ki so jih začele izdajati svojim večjim potrošnikom [10]. Podjetje Diners Club je leta 1950 izdalo prvo pravo plačilno kartico, s katero je bilo sprva mogoče plačevati hrano v štirinajstih restavracijah v New Yorku. Zaradi velikega uspeha kartic Diners Cluba so se finančne ustanove kmalu odločile, da ustvarijo svoje plačilne kartice. Tako je Bank of America leta 1958 izdala svojo plačilno kartico BankAmericard, leta 1966 pa je konkurenčna Interbarik Card Assosiation začela izdajati svoje plačilne kartice Master Charge: The Interbank Card. Ti dve organizaciji sta predhodnici izdajateljev današ- STROKOVNI PRISPEVKI njih najbolj razširjenih plačilnih kartic VISA in MasterCard [12]. Prve kartice so bile natisnjene na papirju, kar je zadoščalo le za najnižjo stopnjo varnosti, zato so jih hitro zamenjale plastične kartice. Številko računa na plastičnih karticah so kmalu začeli izpisovati reliefno, kar je omogočilo prvi korak k avtomatizaciji plačevanja [11]. Leta 1970 so karticam zaradi varnosti in možnosti strojnega obdelovanja podatkov na zadnjo stran dodali magnetni trak. Tako so kartice z odobritvijo standardov postale del informacijske dobe. Ker so podatki znotraj magnetnega zapisa prosto dostopni, se je uvedla osebna identifikacijska številka, imenovana PIN, poleg nje pa se je na zadnji strani kartice nahajal tudi podpis imetnika kartice. Kartice, opremljene z magnetnim zapisom, danes ne zagotavljajo več dovolj visoke ravni varnosti, saj je magnetni zapis relativno preprosto kopirati in si narediti dvojnike kartic, imetniki kartic žal na številko PIN ne pazijo dovolj, medtem ko lahko podpis z nekaj vaje dokaj zadovoljivo ponaredimo. Zaradi omenjenih razlogov je predvideno, da bodo kartice z magnetnim zapisom v obtoku le še do leta 2011, ko jih bodo zamenjale pametne kartice [7]. S tem pojmom označujemo kartice z integriranim vezjem, ki so lahko le pomnilniške, lahko pa vsebujejo tudi mikroprocesor in druge potrebne komponente, s čimer sestavljajo samostojno računalniško vezje. Fizične dimenzije vseh identifikacijskih kartic spadajo pod format ID-1, ki ga določa mednarodni standard IS02 7810. Poleg plačibiih kartic uporabljajo ta format še kartice raznih programov zvestobe, poslovne vizitke ter celo kartična vozniška dovoljenja, ki se uporabljajo v nekaterih državah. Velikost formata ID-1 je 85,60 mm x 53,98 mm. Razmerja med različnimi dimenzijami kartic prikazuje slika 1. Standard ISO 7813 pa za plačilne kartice dodatno določa še debelino^ ter polmer^ zaobljenih robov kartice [14]. Slika 1: Relativna primerjava velikosti formatov 2.1 Današnji trendi zaščite Zaradi problema varnosti plačevanja s plačilnimi karticami so glavna podjetja že leta 1994 začela oblikovati določila, ki bi zvišala raven varnosti. Posledica skupruh moči teh podjetij so specifikacije EMV,® ki obljubljajo drastično zmanjšanje možnosti goljufij. Te specifikacije se stalno dopolnjujejo, s čimer se odpravljajo ali zmanjšujejo možnosti pridobitve občutljivih podatkov [7]. Kot primarno metodo plačevanja določajo specifikacije EMV pametno kartico, ki bo v prihodnjih nekaj letih popolnoma zamenjala vse plačilne kartice, opremljene z magnetnim trakom. Posledično bo treba skladno s specifikacijami EMV prilagoditi tudi vse plačilne (POS^) terminale, da bodo lahko sprejeli katero koli pametno kartico EMV, ki jo bo izdal kateri koli izdajatelj. Za doseganje popolne združljivosti morajo vse kartice in vsi terminali prestati več ravni certificiranja, ki jih lahko v grobem razdelimo v štiri večje sklope: ■ PCIPED,7 ■ 1. raven EMV, ■ 2. raven EMV, ■ izdajateljevo certificiranje. Certificiranje PCI PED se osredinja na odkrivanje možnosti pridobitve zaupnih podatkov, ki se prenašajo med komponentami oz. hranijo v terminalu. Specifikacije določajo serijo specifičnih priporočil o dizajnu plačilnih terminalov. 1. raven certificiranja EMV se osredinja predvsem na strojno opremo, ki se uporablja za branje podatkov s kartice, medtem ko 2. raven certificiranja preveri delovanje programske opreme, ki je zadolžena za pravilno procesiranje podatkov, pridobljenih s kartice ter nadaljnjo komunikacijo z bankami in uporabnikom. Poleg tega morajo plačilni terminah prestati še certificiranje pri izdajateljih kartic. Izdajatelji namreč še dodatno preverijo, ali aplikacijska raven na terminalu nameščene programske opreme podpira specifičnosti njihovih kartic. 2.2 PCI PED Specifikacije PCI PED so nastale z namenom zmanjšanja tveganja plačevanja s plačilnimi karticami na minimum. Specifikacije se osredinjajo predvsem na visoko raven zaščite uporabnikove številke PIN. Poleg tega specifikacije določajo raven zaščite podatkov ^ International Organization for Standardization. 3 0,76 mm. " 3,18 mm. 6 Kratica EMV izhaja Iz začetnic imen podjetij Europay, MasterCard In Visa. 6 Point of Sale. ' Card Industry Pin Entry Device. na magnetnem zapisu na kartici.® Večina današnjih napadov je namreč izvedena s kopiranjem podatkov magnetnega zapisa in pridobitvijo številke PIN z opazovanjem ali snemanjem uporabnika med vnosom številke PIN. Specifikacije poskrbijo tudi za zaščito zaupnih podatkov, med katere spadajo javni in zasebni ključi, posamezna gesla, načini vzdrževalnih postopkov itn. [13]. Za zaščito plačilnih terminalov specifikacije PCI PED določajo tri fizične načine zaščite, ki so izpeljaru iz standarda ISO 13491-1: ■ odpornost na vdor, ■ razvidnost vdora, ■ odkritje vdora in aktivno reagiranje nanj. Odpornost na vdor predstavlja način, kako napadalcu otežimo njegovo delo. Pri tej ravni ne onemogočimo napadalca, temveč podaljšamo čas in povečamo trud, ki ga le-ta potrebuje za pridobitev uporabnih podatkov. Napadalec za uspešen preboj zaščite potrebuje tudi več znanja in razna specializirana orodja. Proizvajalci povečajo odpornost terminalov pred vdori z uporabo ključavnic, kovinskih preprek in unikatno oblikovanih glav vijakov. Učinkovit način zaščite na tej ravni je zalitje celotnega elektronskega vezja s homogeno trdno snovjo, ki je ni mogoče preprosto prerezati, odstraniti, prevrtati ali raztopiti, kljub temu pa mora ta prevajati oz. odvajati toploto, ki jo ustvari vezje med delovanjem. S pravilno namestitvijo zaščitnih elementov poskrbimo, da napadalec za pridobitev uporabnih podatkov pri vsakem terminalu porabi približno enako časa. Višja raven zaščite je raven razvidnosti vdorov. Ta poskrbi, da so v primeru vdora na zunanjem ohišju razvidne očitne poškodbe, ki jih lahko hitro opazita tako lastnik kartice kot prodajalec. Med načine zagotavljanja razvidnosti vdorov spadajo enosmerni vijaki, spojke za erikratno uporabo, ultrazvočno varjenje, močna lepila itn. Specifikacije 2.0 zahtevajo zaščitne mehanizme, ki aktivno odkrivajo vdore in nanje tudi aktivno reagirajo. Ob odkritju vdora je prvi korak kar brisanje vseh vrst v terminalu shranjenih ključev, kar povzroči, da terminal preneha delovati. Sprva se mogoče zdi, da je takšna logika prestroga, vendar edino tako lahko učinkovito dosežemo zaščito ključev. Na tej ravni zaščite uporabljamo razne senzorje za odkrivanje vdorov in pridružene mehanizme za bri- sanje podatkov. Senzorji nadzirajo okoljske in električne karakteristike, kot so napetost, pritisk, temperatura, sevanje, gibanje, prevodnost, hitrost urinega takta itn. [13] Specifikacije PCI PED določajo skupek zahtev, ki jih lahko v grobem razdelimo v štiri skupine. Vsaka od teh skupin je razdeljena na več podskupin, ki vsaka posebej določajo posamezne vidike določenih delov oz. postopkov plačilnega ternünala. Posamezne podskupine morajo za pridobitev certifikata na testiranju doseči določeno raven varnosti, ki je merljiva s postopki, ki jih bomo opisali v nadaljevanju. Slika 2 predstavlja najpomembnejše dele plačilnih terminalov, njihove ravni varnosti, potrebne za uspešno certifikacijo, in oznake podskupin, ki podrobneje določajo zahteve. Slika 2: Dali terminala, opremljeni z i mesti 8 Do popolne uveljavitve pametnih kartic, ki ne bodo več vsebovale magnetnega zapisa na zadnji strani. S slike 2 je razvidno, da zahteve določajo največjo stopnjo varnosti za zaščiteni del terminala, v katerem so spravljeni vsi ključi in se izvajajo vse operacije, povezane z zaščito terminala. Visoka raven varnosti je potrebna tudi za zaščito tipkovnice terminala, kar seveda rü presenečenje, saj prek nje uporabnik vnese svojo skrivno številko PIN [16]. 2.3 Izpolnjevanje zahtev Fizična zahteva Al v aktualnih specifikacijah kot osnovna raven zaščite zahteva aktivno odkrivanje vdorov, pri katerih je primarni namen odkritje uporabnikove številke PIN ter reagiranje na te vdore s takojšnjim avtomatiziranim brisanjem vseh skrivnih in občutljivih informacij, ki se nahajajo v terminalu. S tem postopkom postane plačilni terminal neuporaben za plačevanje, kar onemogoči napadalčeve namene. Napadalci poskušajo pridobiti uporabnikovo Številko PIN predvsem s postavitvijo majhne naprave v bližino tipkovnice, ki bo prestregla vnos številke. Mehanizmi zaščite morajo tako odkrivati vdore v zunanje ohišje, npr. vrtanje, lasersko topljenje, kemijske reagente, odpiranje ohišja, vstope skozi ventilacijske odprtine itn. Fizična zahteva A4 določa ravnanje z občutljivimi podatki znotraj zaščitenega dela terminala. Ti podatki morajo biti zaščiteni z ravnjo varnosti 25 točk, kar velja tudi za vse funkcije, ki kakor koli operirajo s temi podatki. Ustrezna raven zaščite je tako lahko dosežena le ob strogi ločitvi strojno-pro-gramske opreme, ki se nahaja v zaščitenem delu, od ostalih ravni. S strogo ločitvijo teh dveh ravni lahko kasneje izboljšamo ter zamenjamo aplikacijsko raven brez potrebe po ponovnem certificiranju, saj nismo vplivali na samo strojno-programsko opremo. Najvišjo raven zaščite - 35 točk - določa fizična zahteva A7. V tem delu se poskuša z vsemi možnimi postopki pridobiti PIN oz. šifrirne ključe, uporabljene za njegovo šifriranje. A8 zahteva raven varnosti šestnajstih točk in se nanaša na terminale, pri katerih uporabnik prek tipkovnice poleg vnosa svoje številke PIN vnese tudi druge podatke. Namen specifikacije je preprečitev vnosa uporabnikove številke PIN v primeru, ko terminal ne deluje v zaščitenem načinu. Zahteva Ali se navezuje na združljivost s karticami, opremljenimi z magnetnim zapisom. Z ravnjo štirinajstih točk je namreč zaščitena magnetna bralna glava in prostor okrog nje, tako da ni mogoče dodajati, zamenjati ali modificirati delov bralnega sistema z namenom pridobitve podatkov iz magnetnega zapisa. Logične zahteve so razdeljene v petnajst podskupin. Te zahteve določajo predvsem programsko logiko, ki se izvaja znotraj terminala. Programska oprema, ki je nameščena znotraj terminala, ne sme biti na kakršen koli način spremenjena, zato mora terminal vsaj vsakih 24 ur preveriti integriteto strojno-programske opreme. Največkrat uporabljeni metodi za preverjanje integritete sta preverjanje ciklične redundance - CRC - in rezultata zgoščevalne funkcije - SHA-1. Poleg preverjanja integritete vsakih 24 ur so priporočena tudi dodatna preverjanja, ki se lahko izvedejo pred vsako transakcijo. V primeru odkritja napake mora terminal preiti v nedelujoče stanje, tako da med tem prehodom ni nezaščitenih stanj. Če terminal podpira oddaljeno posodabljanje strojno-programske opreme, mora biti tudi na tem mestu izvedeno preverjanje integritete in v primeru, da je odkrita napaka pri preverjanju, se mora posodobitev zavreči brez vpliva na delova- nje terminala. V realnem svetu^ je mogoče opraviti le omejeno število transakcij na določeno časovno enoto. V primeru napada na plačilni terminal s fiksnim ključem za zaščito številke PIN bo napadalec poskušal izvesti čim več vnosov številke PIN naenkrat, saj bo s tem hitreje preizkusil vseh 10.000 kombinacij in tako hitro prišel do prave številke PIN. Tako mora biti v terminalu zgornja meja števila opravljenih transakcij nastavljena na 120 transakcij na uro, kar znese natančno dve transakciji vsako minuto [13]. Če pri tvorjenju ključev, preverjanju pristnosti itn. uporabljamo generator naključnih števil (RNG), je treba preveriti njegovo pravilno implementacijo. S tem ugotovimo, ali so števila res dovolj naključna. Preverjanje opravi neodvisni laboratorij, ki oceni izhod RNG-ja v velikosti 2-^30 bitov podatkov. Dostop do občutljivih podatkov in funkcij mora biti minimalen, torej mora biti dostopov le toliko, kolikor jih je minimalno potrebno. Vsi tako dobljeni podatki se morajo takoj, ko jih ne uporabljamo več, zbrisati iz notranjih medpomnilnikov že med samo transakcijo, obenem pa se morajo ob koncu transakcije pobrisati tudi prav vse začasne lokacije hranjenja podatkov. Brisanje se mora izvesti tudi ob poteku časovnega obdobja, namenjenega za izvedbo transakcije, saj s tem dodatno zbrišemo podatke ob morebitnem napadu. Vsak dostop do občutljivih funkcij zahteva preverjanje pristnosti. Poleg preverjanja pristnosti mora terminal podpirati časovno omejitev nahajanja v občutljivem stanju, prav tako pa mora omejiti tudi največje število klicanih občutljivih funkcij. Upravljanje s ključi podrobneje določata ISO 11568 in ANSI^" X9.24. Implementacijo tehnike šifriranja ključev določa ISO 9564. Posamezni ključi morajo biti uporabljeni le za natančno določen namen. Iz tega sledi, da enakega ključa ne smemo in ne moremo uporabiti za šifriranje števila PIN in drugih podatkov, temveč sta za to namenjena dva različna ključa. Vsi ključi morajo vedno biti varno spravljeni, poleg tega ne sme obstajati mehanizem, s katerim bi bilo mogoče na zaslonu prikazati vrednosti ključev. Pravzaprav v terminalu ne sme obstajati način, ki bi nešifriran ključ prenesel med strožje varovanim območjem v manj varovano območje [13]. Offline zahteve se nanašajo predvsem na bralnik pametnih kartic - ICC, saj pri offline transakcijah terminal pošlje plačilni kartici število PIN v preverjanje. ^ Plačilo s plačilno kartico. American National Standards institute. Omenjeni bralnik mora biti zavarovan z ravnjo varnosti 16 točk. S tem dosežemo zaščito nad bralnikom, tako da je težko dodati oz. modificirati strojno ali celo programsko opremo braliüka z namenom pridobitve zaupruh podatkov. Bralnik mora biti takšen, da je vanj nemogoče vstaviti dve plačilni kartici. Druga, ki bi bila manjša, bi se namreč lahko namestila med pravo kartico in med kontakte bralnika, ki služijo za komunikacijo s kartico. Napadalec bi lahko tako prestregel vso komunikacijo in si pridobil zaupne podatke. Prav tako mora biti zaščiteno, da ni mogoče v notranji prostor namestiti žic tako, da jih uporabnik ne bi videl, ko bi bile te povezane na neki zunanji vmesnik. Po specifikacijah mora biti namreč bralnik na terminalu nameščen tako, da je celoten v vidnem polju uporabnika [13]. 2.4 Računanje ravni zaščite Računanje ravni zaščite poteka v dveh fazah. Prva predstavlja odkrivanje pomanjkljivosti in možnosti izkoriščanja le-teh. Če ocenjevalec odkrije več ranljivosti, se upošteva tista, ki prinese najmanjše število točk, kar v praksi predstavlja ranljivost, ki jo je najlaže izkoristiti za napad. Po koncu prve faze je navadno terminal uničen, saj se mora ocenjevalec do podrobnosti spoznati z delovanjem terminala in vsemi zaščitami. V realnem svetu bi prva faza predstavljala pridobitev terminala in izdelavo dodatnega vezja, ki bi prebral podatke z magnetnega zapisa kartice. V drugi fazi imamo to prednost, da smo oboroženi z znanjem iz prve faze in imamo že narejeno taktiko izkoriščanja ranljivosti ter tudi morebitna dodatna vezja. Druga faza v realnem scenariju predstavlja pridobitev aktivnega terminala iz trgovine, namestitev vezja ter vrnitev v trgovino, ne da bi kdor koli izvedel, da je bil terminal kakor koli modificiran. V tej fazi po navadi potrebujemo veliko manj časa za izvedbo napada, prav tako je potrebno dosti manj znanja, saj oseba deluje po napotkih ocenjevalca/napadalca iz prve faze. Skupna ocena ravni varnosti je seštevek vsot obeh faz in mora za uspešno certificiranje zadoščati minimalnim pogojem, določenim s specifikacijami PCI PED [15][16]. 2.5 Udeleženci v plačilnih sistemih Temelj vseh plačilnih sistemov sestavlja pet udeležencev. Poleg kupcev in prodajalcev, brez katerih kartični plačilni sistemi ne bi obstajali, so za pravilno delovanje nujni še trije udeleženci. To so izdajatelji kartic, pridobitelji in ustrezno plačilno omrežje, kar prikazuje slika 3. Slika 3: Shema plaiilnega omrežja Glavno gorülo prehajanja na tehnologijo pametnih kartic je zagotavljanje višje stopnje varnosti. Prednosti, ki jih prinaša čip proti magnetnemu traku, seveda niso zanemarljive. Čip precej teže kopirati, kar je pri magnetnem traku relativno preprosto, saj je na trgu mogoče dobiti opremo že za nekaj sto evrov. Druga pomembna izboljšava je možnost hranjenja večjega števila podatkov. Poleg tega imamo pri tehnologiji pametnih kartic možnost dodatka logike v kartico, saj veliko število pametrüh kartic vsebuje tudi mikroprocesor. Ta mikroprocesor lahko uporabimo za tvorjenje dinamičnih podatkov, šifrirnih ključev in pri uporabi drugih povezanih algoritmov, predvsem v smislu varnosti,. Poleg teh mikroprocesor omogoča tudi izvajanje skript, s katerimi lahko spremenimo obnašanje kartic na daljavo. Pametne kartice se od kartic z magnetnim trakom razlikujejo tudi fizično. Tako lahko pri karticah z magnetnim zapisom na zadnji strani opazimo 1,2 cm širok črn trak, ki sega prek vse dolžine kartice. Pri pametnih karticah ni tega traku," namesto njega je na sprednji strani čip z osmimi kontakti [1], kar prikazuje slika 4. r 17,87 S" eo 5 10,25 ičj m s* B ts u U----- Slika 4: Fizične razlike pri karticali (mare v i v vmesnem obdobju sta pri karticah uporabljeni ot» teiinologiji. 2.6 Postopek plačila Kartice z magnetnim trakom počasi prehajajo v zgodovino, saj naj bi jih do leta 2011 povsem zamenjale pametne kartice [9]. Za lažje razumevanje prednosti pametne kartice si najprej oglejmo potek transakcije s kartico, ki vsebuje podatke, zapisane v magnetnem zapisu. Glavne korake prikazuje slika 5. Slika 5: Plaiilo s kartico z magnetnim trakom Vso transakcijo smo zaradi večje preglednosti razdelili v tri logično povezane sloje. Spodnji je fizični sloj; v njem se opravi vse potrebno rokovanje s kartico. Drugi sloj predstavlja tehnično stran transakcije in se imenuje hinkcionalni sloj. V njem se nahajata pridobitelj in izdajatelj kartic. Poleg njiju v tem sloju najdemo tudi plačilno omrežje. V tretjem sloju se nahajajo finančne ustanove, ki so v večini primerov banke, ki skrbijo za kritje stroškov transakcije. Plačilo z magnetno kartico lahko razdelimo v šest korakov, ki so označeni na sliki 5. V prvem koraku - ko prodajalec potegne plačilno kartico skozi bralnik, nameščen v plačilnem terminalu - dobi plačilni terminal podatke, zapisane na plačilni kartici. Po tem dogodku sledi še opcijski vnos osebne kode, poimenovane število PIN imetnika kartice. Ti podatki se potem pošljejo naprej pridobitelju, kar vidimo v drugem koraku. Zahtevo po avtorizaciji pridobitelj prek plačilnega omrežja posreduje izdajatelju - 3. korak. Izdajatelj preveri veljavnost kartice in ustreznost števila PIN ter primerja identifikacijsko številko kartice s seznamom, ki ga imenujemo črna lista. Na tej listi se nahajajo vse do sedaj odkrite ukradene oz. ponarejene kartice. Glede na rezultat omenjenih preverjanj izdajatelj pošlje pridobitelju pozitiven ali negativen odgovor. Pridobitelj nato ta odgovor pošlje proti terminalu. V primeru odobrenega plačila preda prodajalec blago kupcu - 6. korak, v nasprotnem primeru prodajalec ravna v skladu z napotki prido-bitelja. Praviloma ob koncu dneva potekajo še drugi koraki, ki jih prikazuje slika 6. Slika 6: izmenjava informacij ob koncu dneva -kartica z magnetnim zapisom Ob koncu dneva skrbnik plačilnega omrežja najprej pridobi podatke o vseh opravljenih transakcijah od pridobitelja in izdajatelja - 7. korak. Nato skladno s temi informacijami poskrbi za ustrezno izmenjavo denarja med sodelujočimi bankami. Za lažjo primerjavo poteka transakcije pri pametni kartici s potekom transakcije pri kartici z magnetnim trakom smo za prikaz korakov plačila uporabili enako sliko kot prej. Ob pogledu na sliko 7 lahko ugotovimo, da pri plačilu s pametno kartico obstaja več korakov. Slika 7: Plačila s pametna kartico Ob bolj podrobnem pogledu lahko opazimo, da komunikacija med pametno kartico in plačilnim terminalom poteka v obe smeri in celo dvakrat. To je storjeno v prvem in šestem koraku, ki predstavljata prvo in drugo polovico transakcijskega protokola EMV. Ostali koraki ostajajo podobni kot pri plačilu s kartico z magnetnim trakom. Tako ugotavljamo, da pri transakciji EMV obstajata dve izmenjavi podatkov med plačilno kartico in terminalom, ki obakrat potekata v obe smeri. Ti izmenjavi bosta podrobneje opisani v nadaljevanju. Tako kot pri kartici z magnetnim trakom tudi pri tehnologiji pametnih kartic pridobitelj in izdajatelj ob koncu dneva operaterju omrežja sporočita podatke o opravljenih transakcijah. Shemo prikazuje slika 8. Slika 8: Izmenjava infoiviBcij ob koncu dneva - pametna kartica Iz slike 8 hitro opazimo dodatno točko (8. korak), v kateri terminal ob koncu dneva pošlje dodatne podatke pridobitelju. Ti podatki se lahko glede na uporabljeni protokol pošljejo tudi ob koncu vsake transakcije. Podatki predstavljajo certifikat transakcije, ki ga mora pridobitelj hraniti 18 mesecev. V certifikatu transakcije so vsebovani vsi podatki o transakciji, kar preprečuje možnost zanikanja transakcije s strani kupca ali prodajalca. Certifikat torej predstavlja napredno potrdilo o opravljeni transakciji. 2.7 Transakcijski protokol v primeru plačila s kartico z magnetnim trakom je odločitev glede sprejetja oz. zavrnitve transakcije preprosta. Ali bo transakcija potrjena, je odvisno od pogojev, ki jih prikazuje slika9. - prenizko stanje na računu - ustrezno stanje na računu Po potegu kartice se najprej preveri, ali terminal podpira to vrsto plačilnih kartic. Če jo, terminal preveri še datum veljavnosti kartice. Če izmed pogojev ne ustreza, transakcije ni mogoče nadaljevati. Nato terminal preveri znesek. Če je ta pod določeno vrednostjo,^^ terminalu ni treba preveriti online, ali je kupec pravi in zmožen plačila, marveč se transakcija odobri samodejno. Če je znesek višji od mejne vrednosti in terminal nima možnosti preveriti plačilno zmožnost kupca online, se transakcija zavrne, v nasprotnem primeru pa terminal pošlje pridobitelju zahtevo po avtorizaciji plačila. Pridobitelj nato pošlje zahtevo naprej izdajatelju, ki najprej preveri ustreznost števila PIN. Če je PIN veljaven, izdajatelj primerja še višino sredstev na računu z višino zneska transakcije in skladno s tema preverbama pošlje odgovor. Kot smo že omenili, obstaja pri transakcijah EMV med plačilno kartico in plačilnim terminalom več izmenjav podatkov. Te vedno potekajo v obe smeri. S tem se del odločitve odobritve prenese tudi na plačilno kartico. Korake transakcije EMV lahko razdelimo na n delov [3][4][5]: izbira aplikacije, branje podatkov s kartice, preverjanje pristnosti podatkov offline, omejitve procesiranja, verifikacija lastnika kartice, terminalovo upravljanje tveganja, analiza rezultatov postopkov - plačilni terminal, analiza rezultatov postopkov - plačilna kartica, procesiranje online, procesiranje skript izdajatelja, končanje transakcije. Plačilna kartica vedno deluje v pasivnem načinu. To pomeni, da kartica v nobenem primeru ne ustvarja zahtev, temveč le podaja odgovore na zahteve, ki jih pošlje terminal. Na terminalski strani je treba pazljivo ravnati s pošiljanjem zahtev proti kartici, saj se mora terminal najprej prepričati, s kakšno kartico ima opravka, šele nato ji lahko začne pošiljati zahteve, toda le tiste, za katere se je terminal prepričal, da jih podpira kartica. 2.7.1 Izbor aplikacije Po vstavitvi pametne kartice v čitalnik se najprej izvede izbor ustrezne aplikacije na pametni kartici. - napačen PIN Slika 9: Odločitveno drevo kartice z magnetnim zapisnm Mejna vrednost je v večini primerov okrog 20 evrov. Terminal lahko to stori na dva načina. V prvem sprašuje kartico, ali podpira enake aplikacije, ki jih podpira sam. Ta način se imenuje način eksplicitne izbire. Če terminal podpira večje število aplikacij, postane tak postopek zamuden, zato EMV omogoča tudi drugi način, v katerem terminal prebere vse podprte aplikacije na kartici naenkrat in jih potem primerja z aplikacijami, ki jih podpira sam. Aplikacije, ki jih lahko uporabimo za plačilo, morajo biti navzoče tako na kartici kot na terminalu, zato predstavljajo presek obeh seznamov. Če se v preseku znajde več kot ena aplikacija, se za plačilo uporabi aplikacija z višjo prioriteto. Kadar v preseku ni nobene aplikacije, postane plačilo s to kartico v kombinaciji s tem terminalom nemogoče. Aplikacije na plačilnih karticah predstavljajo posamezne možnosti plačila. Tako med aplikacije spadajo: Maestro (debetna), MasterCard (kreditna), bo-nusni programi itn. 2.7.2 Branje podatkov s kartice V drugem koraku začne terminal s pametne kartice brati podatke, kar lahko primerjamo z branjem podatkov s kartice z magnetnim trakom. Razlika je predvsem v obsegu podatkov, ki znaša pri karticah z magnetnim trakom približno 130 zlogov, pri pametnih karticah pa okrog 2500 zlogov. Prebrani podatki so nato na voljo terminalu ali/in izdajatelju. Poleg osnovnih podatkov o kartici izvemo v tem koraku tudi, katere varnostne mehanizme podpira kartica. Te podatke dobi terminal v paketu AIP,^^ ki predstavlja profil aplikacije. Drugi pomemben dobljeni paket se imenuje AFL,^^ v katerem so zbrane lokacije posameznih podatkov na kartici. Te lokacije so vsebovane v skupinah s po štirimi zlogi, pri čemer lahko posamezna skupina vsebuje več zapisov podatkov. 2.7.3 Offline preverjanje pristnosti podatkov Iz podatkov, prejetih v prejšnjem koraku, lahko terminal ugotovi, ali je vstavljena pametna kartica pristna. To ugotovi z uporabo šifriranja RSA^®, pri čemer morajo biti v terminalu na varnem mestu shranjeni izdajateljevi (Visa, MasterCard, JCB,^® Amex idr.) ^^ Application Interchange Profile. Application File Locator. ^^ Kratica izhaja iz zaCetnic priimkov avtorjev algoritma: RIvest, Shamir, Adleman. Japan Credit Bureau. javni ključi.^^ Velikost oz. dolžino ter datume poteka veljavnosti ključev določa organizacija EMVCo. Za preverjanje podatkov imamo na voljo tri načine: " statično preverjanje podatkov - SDA, ■ dinamično preverjanje podatkov - DD A, ■ kombinirano preverjanje podatkov - CDA. SDA omogoča statično tvorjenje podpisa, s katerim podpišemo pristnost izmenjanih podatkov. Zaradi statično ustvarjenega podpisa je ta enak pri vsaki transakciji, opravljeni z določeno kartico. DDA in CDA na drugi strani dinamično tvorita podpis, saj pri računanju podpisa dodatno upoštevata naključno število, ki ga je ustvaril terminal. Zaradi tega je podpis pri vsaki transakciji drugačen. 2.7.4 Omejitve procesiranja Iz prejetih podatkov terminal najprej preveri datumsko veljavnost kartice. Kartica je lahko neveljavna v dveh primerih: imetnik je kartico pravkar dobil, zato še ni bila aktivirana, ali - kar je bolj pogosto - je kartica presegla rok veljavnosti. Poleg preverjanja datuma terminal primerja še verzijo izbrane aplikacije na pametni kartici z verzijo, ki jo podpira sam. Nazadnje terminal preveri še zmožnost uporabe kartice v okolju terminala. Zadnje preverjanje onemogoči plačevanje v tujini karticam, ki so namenjene le za domačo rabo. Rezultati vseh treh preverjanj se shranijo za kasnejše procesiranje znotraj terminala v podatkovnem elementu TVR.^® Potreba po kasnejšem procesiranju izhaja iz tega, da terminalu korake 3-6 ni potrebno izvajati zaporedno, temveč jih lahko izvaja vzporedno v smislu krajših časov transakcije. 2.7.5 Uerifikacija lastnika kartice Specifikacije EMV omogočajo več vrst verifikacije lastnika kartice. Poleg podpisa obstaja še možnost preverjanja števila PIN, ki je mogoča na tri načine: online, offline in šifrirani offline. Uporaba posamezne metode je lahko odvisna od višine zneska ali od okolja, v katerem poteka plačilo. Specifikacije EMV imajo predvidene tudi druge metode verifikacije lastnika, kot je recimo identifikacija s pomočjo biometrije. Pri posamezni transakciji se lahko uporabi tudi več metod za preverjanje lastnika (npr. PDSJ in podpis). " Sistem PKI - Infrastruktura javnih kljuCev " Terminal Verification Results. Poleg višine zneska in okolja je metoda preverjanja odvisna tudi od možnosti plačilnega terminala'^ ter od odločitve plačilne kartice. Plačilna kartica vsebuje dva seznama kod, prek katerih določi svoje zahteve po preverjanju imetnika kartice. 2.7.6 Terminalovo uprauljanje tveganja V tej točki terminal preveri višino zneska plačila in jo primerja z mejno vrednostjo. Če višina zneska preseže mejno vrednost, ki jo določi izdajatelj, se zahteva po odobritvi transakcije pošlje izdajatelju. Terminal poleg višine zneska preveri še pogostost uporabe kartice. Visoka dejavnost kartice namreč takoj poraja sum o ukradeni kartici, zato lahko terminal določi, da se tudi takšna transakcija izvede orJine. Poleg obeh primerov vsi-Ijenja transakcij online se v terminalu izvaja algoritem, ki naključno izbira transakcije, katere bodo - čeprav v prejšnjih dveh primerih ni potrebe po preverjanju online - vseeno poslane v preverjanje online kot dodaten ukrep. Primer algoritma za naključno izbiranje transakcij glede na znesek plačila prikazuje slika 10. I N In mejna znesek vrednost plačila Slika 10: Primer algoritma 2.7.7 Analiza rezultatov postopkov - terminal V sedmem koraku terminal ovrednoti rezultate korakov 3, 4, 5 in 6 in poda svojo končno odločitev glede nadaljnjega procesiranja transakcije. Odločitev temelji na primerjanju rezultatov zgornjih operacij, s kodami, shranjenimi v terminalu. Obstajajo tri možnosti odločitve: ■ zavrnitev transakcije, ■ nadaljevanje s transakcijo online, ■ nadaljevanje s transakcijo offline. Ob koncu sedmega koraka terminal svojo odločitev sporoči plačilni kartici. 2.7.8 Analiza rezultatov postopkov - kartica Plačilna kartica najprej prejme odločitev plačilnega terminala o nadaljnjem poteku transakcije. Glede na odločitev terminala lahko kartica določi le še bolj strogo omejitev, saj ne more odobriti transakcije, če je terminal ni odobril (ker je ugotovil določene nepravilnosti). Tako lahko kartica v primeru, da je terminal odobril transakcijo offline, zahteva izvedbo transakcije online oz. ne odobri transakcije; v primeru, ko je terminal odobril transakcijo online pa zahteva onemogočitev nadaljnjega izvajanja transakcije. Te primere prikazuje slika 11. T E R M I N- A L KARTICA I Zavrni Pojdi online Dovoli offline Zavrni ✓ N/A N/A Pojdi online ✓ ✓ N/A Dovoli offline ✓ ✓ ✓ Slika 11: Odločitev plačilne kartice (glede na terminali Strožje ukrepe uporabi kartica glede na logiko, ki jo vsebuje. Tako ima lahko vsaka kartica pravilo, da v primeru prve transakcije izvede preverjanje online. 2.7.9 Procesiranje online Pri transakciji online se izvedeta še koraka 9 in 10, ki se pri transakciji offline ne izvedeta. Pri korakih 9 in 10 izdajatelj prejme še številko računa, višino zneska transakcije in šifrirano število PIN. Na podlagi teh podatkov nato izdajatelj odobri ali zavrne transakcijo. Pomembna značilnost procesiranja online je obojestransko preverjanje pristnosti. S tem se plačilna kartica prepriča, da je na drugem koncu pravi izdajatelj, izdajatelj pa, da je na drugi strani njegova kartica. Preverjanje pristnosti temelji na trojnem DES^" (TDES) šifriranju. 2.7.10 Procesiranje skript izdajatelja Pri vsaki transakciji online lahko izdajatelj dodatno pošlje del programske kode, imenovane skripta. Ta poskrbi za vnos nove logike oz. parametrov v kartico. S skriptami lahko izdajatelj spremeni več stvari. Med glavne spremembe spadajo spreminjanje števila PIN, blokiranje kartice, sprostitev blokiranih aplikacij, spreminjanje mejne vrednosti kartice itn. Skripte se lahko pošljejo pred odobritvijo transakcije ali po njej. Zaradi varnosti so skripte podpisane s kodo in opcijsko še dodatno zaščitene s šifriranjem TDES^^ [2]. Podpis se ne more uporabiti, če plačilni temninal nima tiskalnika. Data Encryption Standard. V primeru menjave Številke PIN je šifriranje skripte obvezno. 2.7.11 Konec transakcije Ob koncu transakcije se v terminalu shrani elektronsko potrdilo o opravljeni transakciji. Poleg tega se na terminalovem zaslonu izpiše rezultat transakcije in natisne potrdilo za imetnika kartice. 2.8 Izdajateljevo certificiranje Specifikacije EMV so pravzaprav specifikacije, ki določajo vse vidike terminala; iz njih lahko implicitno dobimo tudi specifikacije, ki določajo vidike pametne kartice. V teoriji to sicer drži, vendar se je žal v praksi pokazalo, da si različni ljudje in organizacije enake specifikacije različno razlagajo. Tako so izdajatelji razvili vsak svoje funkcionalne specifikacije, ki določajo delovanje njihovih pametnih kartic: ■ VISA: VIS 1.4.0, ■ MasterCard: M/Chip 4, ■ JCB:22J/Smartl.2. Posledica tega je dodatno certificiranje, katerega opravi izdajatelj, da se prepriča, ali terminal ustreza njegovim pametnim karticam. Slika 12 predstavlja arhitekturo plačilnega terminala, iz katere so razvidni vsi cilji certificiranj [4]. EMV ^ »»» .txt ]g3a.txtj|^.txt [a^].txt Kemel.txt VISA kliuei.txt Plačilna 'f----------7 aplikacija. I l^eiCaid kljuCi.txt exe EMV Kernel.exe Operacijski sistem Strojna oprema (procesor, čltalnlk kartic, tipkovnica, zaslon, senzorji ,„) Slika 12: Arhitektura pla£ilnega Certificiranje strojne opreme določa predvsem certificiranje PCI PED in seveda 1. raven EMV. EMV Kernel.exe in EMV KerneLtxt sta certificirana prek 2. ravni EMV. S popolno ločitvijo plačilne aplikacije od EMV Kernela imamo možnost spreminjati npr. izpise, račune itn. brez zahteve po ponovnem certificira-nju, saj sprememba same aplikacija nima vpliva na EMV Kernel [4]. Certificiranje pri izdajatelju poteka z namestitvijo izdajateljevih ključev in parametrov v terminal ter testiranjem komunikacije med terminalom in vsemi udeleženci pri transakciji. MasterCard in VISA imata za ta postopek na voljo testna orodja in testne skripte: MasterCard: TIP^^ - testiranje s testnim orodjem ETEC,2'' ■ VISA: testiranje z ADVT.^s Šele ko terminal prestane vsa testiranja, ga je mogoče uporabljati tudi za prave transakcije. Žal pa je ta postopek zelo dolgotrajen, saj je težko prestati teste vseh izdajateljev, poleg tega pa imajo pridobitelji po navadi pred lansiranjem terminalov na trg še svoje specifične zahteve, zato je izvedba univerzalnega plačilnega terminala, ki bi omogočal plačevanje z vsemi karticami, izredno težavna. 3 MOBILNI TELEFONI Zanimiva alternativa uporabi plačilnih kartic je ideja plačevanja z mobilnim telefonom. Proizvajalci mobilnih telefonov poskušajo pri razvoju novih modelov ustreči čim večjemu številu uporabnikov, zato v svoje produkte vgrajujejo funkcionalnosti drugih naprav, kot so digitalni fotoaparati, radii, dlančniki, glasbeni ter video predvajalniki in celo navigacijske naprave. Zakaj torej ne bi prevzeli tudi vloge plačilnega sredstva, če jih imamo vedno pri sebi? S tem vprašanjem se je spoprijelo že več podjetij, zato je nastalo več sistemov, ki so omogočali razne oblike plačevanja z mobilnim telefonom. Med najbolj pogoste uvrščamo: plačevanje prek kratkih sporočil - SMS, USSD,26 prek brezžične komunikacije (NFC,-"" RFID^®), prek obiska določene strani, locirane na medmrežju (GPRS,^« UMTS^"), prek klica IVR^^ idr. Vsaka od teh oblik je imela kakšno pomanjkljivost, predvsem v podpori vseh obstoječih telefonov,^^ j^/ ali pa je bila njihova uporaba zapletena. Za razliko od vseh teh tehnologij si je podjetje Margento R&D, d. o. o., zadalo nalogo izvesti novo tehnologijo, ki bi bila preprosta za uporabo in bi podpirala prav vse mobilne telefone na trgu. Novi sistem za plačevanje, imenovan sistem Margento, tako temelji na osnovni funkcionalnosti, ki jo podpirajo prav vsi telefoni, to je prenos zvoka po govornem kanalu različnih omrežij, zato bomo v nadaljevanju opisali ^ JCB se pridruži EI\/IVCo konec leta 2004. Terminal Integration Process. Easy Test Cards. Acquirer Device Validation Toolkit. Unstructured Supplementary Service Data. Near Field Communication. ^ Radio Frequency Identification. ^ General Packet Radio Service. ^ Universal Mobile Telecommunications System. Interactive Voice Response. ^ NFC ne moremo uporabiti, ee telefon ne vsebuje dpa NFC. vrste zaščitnih elementov, ki so bili implementirani pri sistemu Margento. Za prenos podatkov in identifikacijo uporabnika ter plačilnega mesta, sistem uporablja uporabriikov mobilrü telefon. Sistem deluje podobno kot sistemi, pri katerih se kupec predstavi s svojo plačilno ali bančno kartico. Razlika nastane v identifikaciji in v prenosu podatkov, saj se oseba predstavi terminalu s svojim mobilnim telefonom, drugi podatki transakcije pa se delno ali popolno prenašajo po govornem kanalu mobilnega telefona osebe, ki opravlja transakcijo [17]. Ob tem se nam poraja vprašanje varnosti takšnega početja oz. primerjava z ravnjo zaščite pri plačilnih karticah, ki jim v splošnem ljudje kar dobro zaupamo. Prenos podatkov namreč ne poteka le po fizičnih linijah in ustaljenih protokolih, temveč ta poteka tudi prek prenosa zvoka med terminalom in mobilnim telefonom uporabnika [18]. Ta del prenosa lahko uporabnik oz. napadalec sliši in preprosto posname ter kasneje analizira. Zaradi tega je bilo treba poskrbeti za varnost na več ravneh z uporabo najnaprednejših šifrirnih algoritmov, postopkov in procedur. 3.1 identifikacija uporabnika in plačilnega mesta Sistem Margento pridobi identiteto uporabnika prek telefonske številke njegovega mobilnega telefona. To številko določa kartica SIM,''^ ki je nameščena znotraj uporabnikovega mobilnega telefona. Vsako kartico SIM je treba pred prvo uporabo prijaviti v mobilno omrežje ponudnika mobilnih storitev, drugače je ne moremo uporabljati. Dobra stran tega ukrepa je, da mobilni ponudniki ne dovoljujejo obstoja dveh kartic SIM z enako številko, kar takoj zagotovi unikatno identiteto uporabnika. Če se ozremo na primerjavo s plačilnimi karticami, ki so opremljene z magnetnim zapisom, takoj uvidimo, da tam ni tako, saj je znanih veliko primerov, ko so nepridipravi kopirali kartice, si naredili dvojnike in jih nato uporabljali, s čimer so oškodovali lastnika kartice. Poleg tega da v mobilnih omrežjih ni mogoče uporabljati dveh enakih kartic SIM, je te tudi zelo težko kopirati, saj sama kartica SIM vsebuje določeno logiko, zaradi katere jo lahko uvrščamo med samostojne zaščitne elemente. Podobno kot kartice SIM je težko kopirati tudi pametne kartice, ki jih zahtevajo specifikacije EMV. Pri identifikaciji uporabnika smo v sistemu Margento uvedli, podobno kot je to storjeno pri plačilnih karticah, vnos osebne identifikacijske številke PIN. Glede na delovanje pametnih kartic, kjer se vnos številke PIN pri nizkih zneskih po navadi preveri s številom zapisanim znotraj pametne kartice,^ smo se pri sistemu Margento odločili za izboljšano rešitev. Veliko prednost sistema namreč predstavlja preverjanje vseh transakcij online. Vneseno število PIN se tako takoj po vnosu zašifrira in pošlje skupaj z drugimi transakcijskimi podatki po zaščiteni povezavi do procesnega centra,''^ kjer se število PIN primerja s shranjenim številom določenega uporabnika. Med opravljanjem plačila se uporabnikova identiteta nikoli ne razkrije ne terminalu ne prodajalcu, saj je znana le procesnemu centru. Tako uspešno ločimo število PIN in uporabnikovo identiteto,^^ kar nam zagotovi višjo stopnjo varnosti. Plačilo prek mobilnega telefona v sistemu Margento, poteka enako kot opravljanje preprostega telefonskega klica, pri čemer zamenjamo določene elemente klica. Vlogo govorca tako prevzame plačilni terminal, medtem ko vlogo sogovornika in njegovega mobilnega telefona prevzame procesrü center, kar prikazuje shka 13. Uporabnik pokliče številko procesnega centra, s čimer procesni center dobi uporabnikovo identifikacijsko (MSISDN) številko. - Plačilni teimlnal Mobilni operater Mobilni telefon /> Slika 13: Prin I plačila s telefonskim klicem V tem trenutku procesni center ve, kdo hoče plačati določeno storitev, ne ve pa še, kaj, koliko in kje želi to opraviti. Ti podatki se prenesejo po vzpostavitvi zaščitene seje med terminalom in procesnim centrom. Pri tem je treba omeniti, da je identifikacija 33 Subscriber Identity Module. Glej razdelek 2.7.5. V nekaterih primerih se podatki pošljejo naprej do bančnih ustanov. 3° Uporabnikovi podatki, številka računa Itd. plačilnega mesta samodejna, saj terminal med potekom izmenjave informacij samodejno pošlje svojo identifikacijsko številko. To je velika prednost, saj se s tem izognemo možnosti človeške napake, pri čemer bi se lahko zgodilo, da bi uporabiük sporočil napačno številko prodajnega mesta, kar predstavlja velik problem pri plačevanju prek SMS, saj se uporabniki velikokrat zatipkajo. 3.2 Zaščitena pouezava Za vzpostavitev povezave, prek katere se prenesejo transakcijski podatki, so lahko uporabljeni različni komunikacijski kanali. Prenos podatkov se lahko nadaljuje prek govornega kanala omrežja GSM, lahko pa se po identifikaciji uporabnika in plačilnega mesta klic prekine, za prenos transakdjskih podatkov pa terminal vzpostavi GPRS [19] (slika 14) ali povezavo ZigBee/IP [20][21], kar prikazuje slika 15. Margento Mobilni terminal telefon Slika 14: Navzočnost dveh komunikacijskih kanalov ISE802.15.4. Slika 15: Povezava IP kot drugi komunikacijski kanal Po vzpostavitvi povezave med plačilnim terminalom in procesnim centrom se začne postopek vzpostavitve zaščitene povezave. Ta faza je sestavljena iz določitve in izmenjave šifrirnih ključev ter obojestranskega preverjanja pristnosti udeležencev. Zaščiten prenos podatkov preko govornega kanala mobilnega omrežja Zaščiten prenos podatkov preko finančnega omrežja - ISO 8583 Prodajalec Kupec Procesni center Ponudnik mobilniii storitev Slika 16: Prikaz plačila Sistem Margento za upravljanje s ključi uporablja sistem PKI, ki temelji na eliptičnih krivuljah - ECC oz. na postopkih asimetričnega šifriranja. Asimetrično šifriranje uporabljamo tudi za obojestransko preverjanje pristnosti. Na ta način terminal preveri procesni center in na drugi strani procesni center preveri terminal. S tem se izognemo možnosti, da bi nepridipravi poskušali opraviti transakcijo z lažnim terminalom oz. lažnim centrom. Uporaba ECC je bila izbrana zaradi več razlogov. V primerjavi z bolj znanim RSA, ki je uporabljen pri plačilnih karticah, nam ECC zagotavlja enako stopnjo zaščite pri dosti krajših ključih, kar nam omogoča hitrejše prenose, manjšo porabo procesorske moči in pasovne širine. Za lažjo primerjavo nam tabela predstavlja dolžine ključev ECC in dolžine njihov alternativ -ključev RSA ter stopnjo varnosti, ki jo določa čas, potreben za ugotovitev ključa. Ta čas je podan kot čas, ki bi ga potreboval računalnik, ki lahko izvede en milijon inštrukcij na sekundo. Tabela 1: Primerjava zaičite ECC prati RSA Velikost ključa ECC Velikost ključa RSA Razbitje zaščite IvMIPSIetihI 113 512+ 10= 131 768 10B 163 1024 10" 233 2048+ >10^2 ^ Rezultati so povzeti na podlagi ocen iz članka [22]. Po določitvi šifrirnih ključev, ki so drugačni za vsako transakcijo, se ti ključi uporabijo za šifriranje transakdjskih podatkov, pri čemer je uporabljeno simetrično šifriranje. Glede na želje bank in drugih ustanov na posameznem območju smo podprli več različnih šifriranj, med katerimi sta najbolj znana DES ter trojni DES - 3DES. Uporabniki pogosto želijo, da se za plačilo uporabi kar denar, ki se nahaja na njihovih bančnih računih. Zaradi tega smo morali dodati možnost povezave do finančnih ustanov, v katerih imajo uporabrüki svoje račune, kar prikazuje slika 16. Te povezave temeljijo na specifikacijah ISO 8583. Za zaščito prenosa podatkov med procesnim centrom in finančnimi ustanovami, smo poleg zgoraj omenjerüh zaščit uporabili standardne pristope: ■ SSL - protokol, ki omogoča šifrirano povezavo med strežnikom in odjemalcem, ■ VPN - navidezno zasebno omrežje. 3.3 Mobilno plačevanje Prednosti sistema Margento so vsekakor v zagotavljanju visoke ravni varnosti. Tu pride do izraza predvsem izvajanje vseh transakcij in preverjanje pristnosti online v realnem času. S tem imamo na voljo centraliziran sistem, ki ga upravljamo prek procesnega centra. Tu imamo dodatno implementirane črne in bele liste, prek katerih preverimo vsako zahtevo po plačilu. V slučaju ukradenega telefona se ta takoj doda na črno listo, kar onemogoči kakršno koli plačevanje z njim. V procesrü center smo vgradili tudi logiko, ki odkriva značilnosti, ki lahko namigujejo na razne možne kršitve in nelegalno početje, kot so: ■ več zaporednih neuspešnih vzpostavitev zaščitene seje na istem terminalu, ■ neveljavni digitalni podpis, ■ več neuspešnih poskusov transakcij istega uporabnika, ■ prekomerna uporaba določenega terminala. Ob odkritju takšnega početja se sproži alarm, pri čemer se preverita aktivnost in uporaba in glede na odkritje se nato ukrepa. Za lažjo sledljivost in preverjanje plačil se še dodatno hranijo: ■ zapisi o opravljenih klicih pri ponudniku mobilnih storitev, ■ informacije o vsaki transakcijski zahtevi in odgovoru ter poteku, ki se hranijo na procesnem centru, ■ zapisi pri finančnih ustanovah, ■ natisnjena potrdila o opravljenih plačilih pri prodajalcu, ■ potrdila o opravljenih plačilih, ki so zapisana znotraj vsakega terminala. 4 SKLEP Kartična industrija je z zavedanjem o pomanjkljivosti kartic, opremljenih z magnetnim trakom, naredila velik in pravočasen korak že v devetdesetih letih prejšnjega stoletja. Z nadaljevanjem njihovega prizadevanja in intenzivnim delom se nam vsem obeta popoln prehod na tehnologijo pametnih kartic do leta 2011. Ali to pomeni konec vseh goljufij in mogočih nepravilnosti? Žal ne, vendar bo verjetnost, da pride do goljufije, občutna manjša. Specifikacije EMV namreč so že od prvih verzij usmerjene k temu, da se nepridipravom ne bi splačalo izrabiti sistema, tudi če bi jim to uspelo. Za izkoriščanje katere koli varnostne luknje certificiranega terminala naj bi po predvidevanjih imeli za najmanj 25.000 dolarjev stroškov, česar si nikakor ne bi mogli pokriti z informacijami, dobljenimi prek te varnostne luknje [7]. Torej se nepridipravom ne splača niti poskusiti z napadom, saj bodo tudi v primeru, da jim uspe, v izgubi ter seveda v prekršku. Tehnologija EMV nam torej obljublja dosti manj goljufij. Verjetno pa zaradi nje nepridipravi ne bodo nehali delovati, marveč se bodo preusmerili na področja, ki še ne uporabljajo oz. nočejo uporabljati tehnologije EMV. S tem se bodo vse goljufije začele pojavljati na manjšem območju, kar bo povzročilo, da bodo izdajatelji in lokalni pridobitelji kljub svojemu začetnemu negodovanju nad tehnologijo EMV začeli prehajati na EMV. Zato je predvideno, da se bo slej ko prej tehnologija EMV začela uporabljati po vsem svetu. Ali se bo to res zgodilo ali pa bo kdo izdal kakšne svoje specifikacije, bo pokazal šele čas. Plačevanje z mobilnimi telefoni vsekakor predstavlja zanimivo alternativo plačilu s karticami. Mobilne telefone imamo namreč vedno s seboj in jih uporabljamo za različne namene, medtem ko plačilne kartice nosimo s seboj predvsem za plačevanje storitev. Če bi torej za plačila storitev in dvige gotovine lahko vedno uporabljali mobilni telefon, bi odpadla potreba po dodatnih plačilnih instrumentih, kot so plačilne, bonusne, kreditne in predplačniške kartice. Glavni namen uporabe mobilrüh telefonov seveda ni bil plačevanje storitev na tak način, zato se je bilo treba pri razvoju spopasti s številnimi problemi. Od dejstva, da govoriü kanal ni prilagojen prenosu podatkov, do dejstva, da je bilo potrebno zaradi opravka z denarjem in nezaupljivostjo finančnih ustanov, implementirati visoke ravni zaščite. S [1] [2] [3] [4] [5] [6] [7] [8] LITERATURA« EMV Integrated Circuit Card Specifications for Payment Systems - Bool< 1: Application Independent ICC to Terminal Interface Requirements, verzija 4.1, maj 2004, 201 strani. EMV Integrated Circuit Card Specifications for Payment Systems - Book 2: Security and Key Management, verzija 4.1, maj 2004,187 strani. EMV Integrated Circuit Card Specifications for Payment Systems - Book 3: Application Specification, verzija 4.1, maj 2004, 237 strani. EMV Integrated Circuit Card Specifications for Payment Systems - Book 4: Cardholder, Attendant, and Acquirer Interface Requirements, verzija 4.1, maj 2004,161 strani. EMV Integrated Circuit Card Specifications for Payment Systems: Common Payment Application Specification, verzija 1.0, december 2005, 770 strani. http://www.europeanpaymentscouncil.eu/. http://www.emvco.com/. http://www.corporate.visa.com/av/about_visa/corp_history. jsp. [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] http://www.europeanpaymentscouncil.org/documents/Road map%20public%20version%204th%20April.pdf. http://en.wikipedia.org/wiki/Credit_card. http://www.creditcards.com/history-of-crBdit-cards.php. http://money.howstuffworks.com/credit-card.htm. https://www.pcisecuritystandards.org/. http://en.wikipedia.org/wiki/ISO_7810. PED Program Guide v1-0, december 2007. PCI POS PED Security Requirements v2.0, julij 2007. www.margento.com. Z. Mezgec, M. Pec, R. Svečko, A. Chowdhury, Prenos podatkov po govornem kanalu GSM sistema, ERK 2005. F. Horvat, D. Slavinec, Z. Mezgec, A. Chowdhury, Nadgradnja osnovne M-Pay komunikacije, ERK 2007. A. Zelenik, A. Medved, Z. Mezgec, A. Chowdhury, Izbor brezžične podatkovne komunikacije za mobilni transakcijski terminal, ERK 2007. A. Zelenik, A. Koštomaj, Z. Mezgec, A. Chowdhury, Postopki oddaljenega posodabljanja mobilnih plačilnih terminalov, ERK 2008. A. Odiyzko: "The Future of Integer Factorization", Cryptoby-tesVol. 1(2), 1995. Aleš Zelenik je leta 2007 diplomiral na Fakulteti za elektrotehniko, računalništvo in informatiko Univerze v Mariboru na smeri telekomunikacije z diplomsko nalogo Oddaljeno brezžično varovanje prenosa vrednostnih predmetov. Svoje izobraževanje nadaljuje na enovitem doktorskem študiju elektrotehnike. Teoretične izkušnje, pridobljene med študijem, preliva v prakso pri delu v razvojnem centru podjetja Margento RSJD. V teku svojega dela je razvil več sistemov za brezžični prenos podatkov med napravami, temelječih na standardu IEEE 802.15.4. Njegovo delo je med drugim obsegalo tudi implementacijo več orodij za podporo in programiranje mikroprocesorjev TI DSR vpeljavo postopkov za obdelavo signalov, definiranje novih prenosnih protokolov med napravami itn. Njegova predvidena doktorska disertacija bo obsegala nove postopke pri odkrivanju in razpoznavanju čustev v govoru. ■ Zdenko Mezgec ima več kot osem let izkušenj v razvojnoraziskovalnem delu na področju naprednih regulacijskih sistemov in komunikacij ter komunikacijskih sistemov. Leta 2004 je diplomiral na Fakulteti za elektrotehniko, računalništvo in informatiko Univerze v Mariboru z diplomsko nalogo Optimizacija prenosa podatkov po govornem kanalu GSM. Leta 2009 je na isti fakulteti doktoriral z disertacijo Indirektne segmentacijske metode za adaptivno robustno kontrolo prenosa podatkov po govornem kanalu GSM. * Viri povezav temeljijo na datumu 1.3.2009. Iz Islovarja Islovar je spletni terminološki slovar, ki ga od leta 2001 objavlja Slovensko društvo INFORMATIKA na naslovu http://www.islovar.org. Namen slovarja je poenotenje temeljnega informacijskega izrazja, zbiranje in razlaga obstoječih pojmov ter ustrezno poimenovanje novih. Pri slovarskem delu sodelujejo poleg urednikov tudi številni uporabniki. Objavljamo nekaj aktualnih izrazov s področja elektronske pošte. Izraze lahko komentirate, tako da se prijavite v poglavju Nov uporabnik, poiščete izraz, ki ga žehte komentirati, in zapišete svoj komentar ter predlog spremembe. bela lista -e -e ž (angL whitelist, white list) gl. beli seznam beli seznam -ega -a m (angl. white list, white list) seznam elektronskih naslovov, domen, s katerih uporabnik dovoli prejemati elektronsko pošto; sin. bela lista; prim, črni seznam, sivi seznam božo filter ~ -tra m (angl. božo filter) računalniški program, navadno izveden kot dodatek poštnemu odjemalcu, ki preprečuje prejemanje elektronske pošte od pošiljateljev na prejemnikovem črnem seznamu črna Usta -e -e ž (angl. blacklist, black list) gl. črni seznam črni seznam -ega -a m (angl. blacklist, black list) seznam elektronskih naslovov, domen, s katerih uporabnik ne dovoli prejemati elektronske pošte; sin. črna lista; prim, beli seznam, sivi seznam dopisni seznam -ega -a m (angl. mailing list) zbirni seznam e-poštnih naslovov, na katere se prepošiljajo elektronska sporočila; sin. poštni seznam elektronsio pošta -e -e ž (angl. electronic mail, e-mail, email) t.d. 1. telekomunikacijska storitev, ki omogoča izmenjavo elektronskih sporočil; sin. e-pošta (1) 2. pisno sporočilo v elektronski obliki, namenjeno enemu prejemniku ali več prejemnikom; sin. e-pošta (2) elektronsici naslov -ega -ova m (angl. electronic address) naslov za prejemanje elektronskih sporočil; sin. e-poštni naslov, e-naslov e-naslov -ova m (angl. e-mail address) gl. elektronski naslov in e-poštni naslov e-pošta -e ž (angl. electronic mail, e-mail, email) t.d. 1. gl. elektronska pošta (1) 2. gl. elektronska pošta (2) e-poštni naslov -ega -ova m (angl. e-mail address) naslov za prejemanje elektronskih sporočil; sin. elektronski naslov, e-naslov e-släma -e ž (angl. spam,junk mail, unsolicited e-mail) gl. neželena elektronska pošta in smetje iskalnik -a m (angl. search engine) spletna aplikacija, ki z uporabo ključnih besed poišče ustrezne spletne strani, npr. Google nabiralni program -ega -a m (angl. harvesting bot, harvesting robot) računalniški program za nabiranje naslovov nabiranje naslovov -a ~ s (angl. e-mail harvesting) množično pridobivanje e-poštnih naslovov, objavljenih na spletnih straneh, navadno za pošiljanje neželene elektronske pošte nadležna pošta -e -e ž (angl. spam,junk mail, unsolicited e-mail) gl. neželena elektronska pošta in smetje nezaželena pošta -e -e ž (angl. spam, junk mail, unsolicited e-mail) gl. neželena elektronska pošta in smetje neželena elektronska pošta -e -e -e ž (angl. spam, junk mail, unsolicited e-mail) elektronsko sporočilo, navadno z oglaševalsko vsebino, razposlano na več naslovov; sin. smetje, vsiljena pošta, e-slama, nezaželena pošta, nadležna pošta pajek -jka m (angl. spider, crawler, web crawler, robot) računalniški program, ki sistematično obiskuje spletne strani in gradi indeks, navadno kot del iskalnika päjkanje -a s (angl. spidering) sistematično obiskovanje spletnih strani in gradnja indeksa, navadno za iskalnik poštni seznam -ega -a m (angl. mailing list) zbirni seznam e-poštnih naslovov, na katere se prepošiljajo elektronska sporočila; sin. dopisni seznam sivi seznam -ega -a m (angl. gray list, grey list) seznam elektronskih naslovov, domen, za katere uporabnik posamič določa, ali bo z njih dovolil prejemati elektronsko pošto; prim, beli seznam, črni seznam smetenje -a s (angl. spamming) pošiljanje smetja smetilec -Ica m (angl. spammer) pošiljatelj smetja smetje -a s (angl. spam, junk mail, unsolicited e-mail) elektronsko sporočilo, navadno z oglaševalsko vsebino, razposlano na več naslovov; sin. nezaželena pošta, vsiljena pošta, e-slama, neželena elektronska pošta, nadležna pošta spam -a [spem] m (angl. spam, junk mail, unsolicited e-mail) neustr. gl. neželena elektronska pošta in smetje spamanje -a [spemanje] s (angl. spamming) neustr. gl. smetenje verižno pismo -ega -a s (angl. chain letter) elektronsko pismo, ki nagovarja prejemnika, naj pismo prepošlje na več naslovov vsiljena pošta -e -e ž (angl. spam, junk mail, unsolicited e-mail) gl. neželena elektronska pošta in smetje zaustavljanje -a s (angl. graylisting, greylisting) začasno zadrževanje elektronskega sporočila, če je pošiljateljev poštni naslov neznan zaviranje -a s (angl. tarpitting) upočasnitev sprejemanja odjemalčevih zahtev, izvedena na strežniku, navadno kot obramba pred črvi, neželeno elektronsko pošto Poročilo o simpoziju DACHS 2009 - simpoziju o sodelovanju med gospodarstvom in univerzo pri aplikativnih raziskavah in izobraževanju na področju informacijske tehnologije Dne 29.9. 2009 je potekal simpozij DACHS, katerega namen je bil omogočiti izmenjavo idej in pogled na trende za področje študijskih programov računalništva in/ali informatike ter področje sodelovanja med gospodarstvom in raziskovalnimi ustanovami. Na sporedu simpozija so büe naslednje okrogle mize: ■ Ali potrebujemo univerzitetni in strokovni študij ter kako profilirati oba študija (vodja okrogle mize doc. dr. Rok Rupnik, FRIUL), ■ Multidisciplinamost poklica informatika: različni profili informatikov in katera dodatna znanja potrebuje dober informatik (vodja okrogle mize Uroš Ponikvar, S&T, d. d.), ■ Kako učinkovito vključiti predstavnike gospodarstva v zasnovo in izvajanje študijskih programov (vodja okrogle mize prof. dr. Cene Bavec, UPR FM). Najbolj dinamična je bila diskusija na prvi okrogli mizi. Panelisti in udeleženci so se v razpravi dotaknili zaiümivih vprašanj industrije o razlikovanju in pedagoškem izvajanju programov visokošolskega strokovnega študija in univerzitetnega študija na področju računalništva in informatike. Visokošolski strokovni študij se na univerzi, ki je usmerjena predvsem v temeljne raziskave, ne izvaja ustrezno in se ne more ustrezno razvijati ter dajati rezultatov, ki mu jih narekuje njegovo poslanstvo. Ključne ugotovitve 1. Visokošolski strokovni študij in imiverzitetni študij se med seboj premalo razlikujeta, tako po vsebini, načinu izvajanja in dejanskem usvojenem znanju in izkušnjah diplomantov, kar po naših ugotovitvah izvira iz dejstev, da: ■ so univerza in njeno osebje usmerjeni le v temeljne raziskave oz. so zaradi pravil za napredovanje motivirani, da izvajajo le temeljne raziskave. ■ je v okviru univerze visokošolski strokovni študij večinoma organiziran zelo podobno kot univerzitetni. Večkrat podobne predmete v obeh oblikah študija predava isto osebje, ki ima praviloma premalo izkušenj iz prakse. Posledično je visokošolski strokovni študij premalo apUkativ-no usmerjen. 2. Univerza premalo sodeluje z gospodarstvom na področju aplikativnih projektov in raziskav ter pri pripravi vsebin študijskega programa visokošolskega strokovnega študija, ki bi bile uporabne in primerne za gospodarstvo. Predlog ukrepa: Oblikovanje programskih posvetovalnih teles, v katera so imenovani predstavniki gospodarstva in s katerimi lahko univerza in njene fakultete pripravijo kakovosten in gospodarstvu ustrezen študijski program. 3. Nagrajevanje predavateljev oz. njihovo napredovanje je enotno za obe vrsti študija. Menimo, da so znanstveni članki zelo neprimeren vzvod za nagrajevanje in napredovanje predavateljev in asistentov na visokošolskem strokovnem študiju. Tu bi morali imeti enak pomen uspešni projekti za gospodarstvo in učinkovito aktivno delovanje na področju povezovanja med univerzo in gospodarstvom. 4. Premalo sodobnih tem v okviru študijskih programov, značilnih za daljše časovno obdobje (10 let), kot so npr. inovativnost, inovacijski procesi, projektno vodenje, osebnostni razvoj itn. 5. Premalo interdisciplinarnega povezovanja in sodelovanja med posameznimi fakultetami in strokovnimi področji, kar bi omogočilo multidiscipli-name učinke in potencialne celovite rešitve tako s tehnološkega, pravnega, ekonomskega in sociološkega vidika. Slovenska industrija nedvomno potrebuje tako diplomante univerzitetnega kot tudi visokošolskega Strokovnega študija. V njenem interesu je, da visokošolski strokovni študij izpolnjuje svoje poslanstvo, kar bo mogoče le, če se bo ustrezno razvijal. Izkušnje iz tujine kažejo na visoko učinkovitost modela dveh tipov univerz, to so klasične imiverze in univerze aplikativnih znanosti. Prve so bolj usmerjene v temeljne raziskave in izvajanje univerzitetnega študija, druge pa v aplikativne raziskave in izvajanje visokošolskega strokovnega študija. Predlog strateške usmeritve slovenskega visokega žolstva Informacijske in telekomunikacijske tehnologije predstavljajo gospodarsko panogo, v okviru katere se ustvarja visoka stopnja dodane vrednosti. Ustrezno izobražen in usposobljen kader je za slovensko industrijo ključnega pomena. Slovenija bi s politiko ustvarjanja pogojev za privabljanje predvsem nadarjenih študentov iz jugovzhodne in vzhodne Evrope lahko pripomogla k razvoju te gospodarske panoge in njenemu prispevku k BDP. Poročilo pripravil doc. dr. Rok Rupnik na podlagi sporočila okrogle mize, ki so ga sooblikovali panelisti in mag. Violeta Bule kot najaktivnejša udeleženka iz publike. Seznam panelistov je razviden na www.dachs-simpozij.si. Koledar prireditev 17. konferenca Dnevi slovenske informatike »Uravnotežite naložbe, tveganja in razvoj za uspeh« U.-16. april 2010 Portorož, Slovenija http://www.dsi2010.si Eighth International Network Conference (INC 2010) 6.-8. jul. 2010 Heidelberg, Nemčija http://www.inc2010.ora The Third IFIP International Conference on Artificial Intelligence in Theory and Practice (IFIP AI 201 Ol 20.-23. sep. 2010 Brisbane, Avstralija http://www.ifiptc12.ora/if iDai2010 Pomembni spletni naslovi -> IFIP News: http://www.jflp.org/image5/storles/lfip/public/Newsletter/news ali www.ifip.org Newsletter IT Star Newsletter: www.itstar.eu —> ECDL: www.ecdl.com CEPIŠ: www.cepis.com Dostop do dveh tujih strokovnih revij Revija Upgrade ICEPISj v angleščini (ISSN 1684-5285! je dostopna na spletnem naslovu: http://www.upgrade-cepis.Org/issues/2008/4/ upgrade-vol-IX-4.html. Revija-Novatica ICEPISj v španščini (ISSN 0211-2124) je dostopna na spletnem naslovu: http://www.ati.es/novatica/. 17. konferenca Dnevi slovenske informatike Uravnotežite naložbe, tveganja in razvoj za uspeh U.-16. aprila 2010, Kongresni center Grand hotel Bernardin, Portorož Vabilo k pripravi prispevkov za najpomembnejšo neodvisno slovensko konferenco na področju informatike Spoštovani, konferenca Dnevi slovenske informatike se vedno bolj uveljavlja kot najpomembnejša neodvisna slovenska konferenca na področju informatike. Letos bo konferenca še bolj odmevna in aktualna, na pa bo obravnavano delovanje informatike v obdobju gospodarske krize s temeljnim vprašanjem, kako uravnotežiti stroške, tveganja in razvoj za uspeh. Vabimo vas, da prispevate h kakovosti in razpoznavnosti tradicionalne, 17. konference Dnevi slovenske informatike. Ključne teme DSI2010 bodo: POSLOVNE APLIKACIJE / BUSINESS APPLICATIONS o POSLOVNA INTELIGENCA IN MENEDŽMENT INFORMACIJ / BUSINESS INTELLIGENCE AND INFORMATION MANAGEMENT o MENEDŽMENT POSLOVNIH PROCESOV / BUSINESS PROCESS MANAGEMENT o UPRAVLJANJE INFORMATIKE / IT GOVERNANCE o POSLOVNOINFORMACIJSKA ARHITEKTURA / ENTERPRISE ARCHITECTURE o STORITVENE IN DOGODKOVNE ARHITEKTURE TER RAČUNALNIŠTVO V OBLAKU / SOA, EDA AND CLOUD COMPUTING o INFORMACIJSKA VARNOST IN UPRAVLJANJE TVEGANJ / INFORMATION SECURITY AND RISK MANAGEMENT o VODENJE PROJEKTOV IN UPRAVLJANJE ODNOSOV Z IZVAJALCI / PROJECT MANAGEMENT AND SOURCING o PODPORA ODLOČANJU IN OPERACIJSKE RAZISKAVE / DECISION SUPPORT AND OPERATION RESEARCH o INFORMATIKA V JAVNI UPRAVI / INFORMATICS IN PUBLIC ADMINISTRATION DAN IFIP / IFIP DAY Dnevi slovenske informatike so neodvisna strokovna konferenca, ki združuje informatike in vse, ki se z informatiko tako ali drugače ukvarjate ter želite slediti spremembam na tem področju. Ob tej priložnosti vas vabimo, da na konferenci sodelujete kot avtor prispevka. Prispevki na konferenci so vedno aktualni, strokovni in izobraževalni. Program konference bo tudi tokrat razdeljen v tematske sklope, s katerimi bomo poskušali pokriti vsa pomembna področja informatike. Podroben opis tem bo na voljo na spletnih straneh konference www.dsi2010.si. Pomembni datumi o Rok za oddajo razširjenih povzetkov 22. 1. 2010 o Obvestilo avtorjem o uvrstitvi v program 19. 2. 2Q10 o Rok za oddajo končnih prispevkov 5. 3. 2010 o Konferenca DSI 2G10 14.-16. 4. 2010 Prispevki na konferenci bodo predstavljeni v sklopu tematskih sekcij ter vabljenih in plenarnih predavanj; potekale bodo tudi zanimive razprave na okroglih mizah in delavnicah. S svojim prispevkom boste imeli priložnost predstaviti svoje projekte, izkušnje in načrte s področja informatike. Prijavljene prispevke bo pregledal programski odbor in odločil o njihovi uvrstitvi v ustrezni del programa. Sprejete prispevke boste avtorji predstavili na konferenci, objavljeni pa bodo v zborniku konference. Več informacij bo na voljo na spletni strani konference www.dsi2010.si, na kateri boste našli vsa potrebna navodila za pripravo prispevkov. Rok za oddajo prve različice prispevka je 22. januar 2010. Za dodatne informacije nam pišite na dsi@drustvo-informatika.si. Na konferenci DSI bomo tudi tokrat podelili nagrado za najboljši projekt s področja informatike leta 2010, s katero Slovensko društvo INFORMATIKA spodbuja in promovira inovativnost, uspešnost, učinkovitost ter kakovost projektov na področju informatike. Organizatorji pričakujemo, da bo podeljevanje nagrade postalo tradiconalno, kot so tradicija tudi Dnevi slovenske informatike. Razpis bo objavljen do konca leta 2009. Poleg izbire najboljšega informacijskega projekta je namen objave razpisa za podelitev nagrade še nekoliko širši. Nameravamo namreč odkriti odlične informacijske projekte in jih predstaviti na konferenci Dnevi slovenske informatike, ki združuje informacijsko stroko v najširšem smislu - od uporabnikov in naročnikov do izvajalcev. Včlanite se v Slovensko društvo INFORMATIKA Pristopna izjava za članstvo v Slovenskem druätvu INFORMATIKA Praime osebe «polnijo »amo dragi del raipredelnice Ime ia priimek Datum rojstva Stopnja izobrazbe Naziv Domači naslow Poštna žt. in Icraj Ulica in hišna številka Telefon [stacionarni/mobilni} srednja, višja, visoka prof., doc., spec., mag., dr Zaposlite» člana oi. člana • prawna oseba Podjetje, organizacija Kontaktna oseba Davčna številka Poštna št. in kraj Ulica in hišna številka" Telefon Faks E-poSta Zanimajo me naslednjn podneja/iolcija* □ jezik □ informacijski sistemi □ operacijske raziskave n seniorji □ zgodovina informatike □ poslovna informatika □ poslovne storitve □ informacijske storitve □ komunikacije in omrežja [H softver EZi hardver □ upravna informatika □ geoinformatika □ izobraževanje podpis kraj, datum Pošto društva želim prejemati na domači naslov/v službo. Članarina znaša: 18,00 €-redna 7,20 € - za dodiplomske študente in seniorje (ob predložitvi doioziia o statusu) 120,00 € - za pravne osebe Članarino, ki vključuje glasilo društva - revijo Uporabna informatika, bom poravnal sam / jo bo poravnal delodajalec. DDV je vključen v članarina. Naročilnica na revijo UPORABNA INFORMATIKA Naročnina znaša: 35,00 € za fizične osebe 85,00 € za pravne osebe - prvi izvod 60,00 € za pravne osebe - vsak naslednji izvod 15,00 € za študente in seniorje [ob predložitvi dokazila o statusul DDV je vključen v naročnino. ime in priimek ali naziv pravne osebe in ime kontaktne osebe davčna Številka, transakčijski račun naslov plačnika naslov, na katerega želite prejemati revijo (če je drugačen od naslova plačnika) telefonAelefaks elektronska pošta Izpitni centri ECDL CHJE UUI79KA UNIVERZA KOPER UNIVEKSrr A POrOI^RE CATODISTRIA un LJU3SKAUNIVER;9V ŽALEC (^MiwTOTm^ Kbn)i(» spin SRtm sistemske Integracije SREDNJA GRADBENA, GEODETSKA IN EKONOMSKA ŠOLA LJUBLJANA 1000 LJubUiUia, Dun;üska 102 ŠOLSKI CENTER Novo mesto šoisiacammBiJi ootK^Ce^ B Uvodnik B Znanstveni prispevki Boštjan Grašič, Vili Podgorelec, Marjan Heričko Primerjava pristopov k razvoju ontologij B Strokovni prispevki Franc Brcar, Silvo Lah Uloga in položaj službe za informatiko v novem tisočletju Janez Černi Kako prenoviti proces informiranja in komuniciranja Tadej Prešeren, Marko Bajec Celovit pristop obvladovanja mobilnih naprav Aleš Zelenik, Zdenko Mezgec Zaščita negotovinskih oblik plačevanja B Informacije Iz Islovarja Poročilo o simpoziju DACHS 2009 Koledar prireditev ISSN 1310-lflflB 9771318188001