Откройте актуальную версию документа прямо сейчас
Если вы являетесь пользователем интернет-версии системы ГАРАНТ, вы можете открыть этот документ прямо сейчас или запросить по Горячей линии в системе.
Вход
Купить систему ГАРАНТ
Получить демо-доступ
Узнать стоимость
Информационный банк
Подобрать комплект
Семинары
- Главная
- Методические рекомендации для организации защиты информации при обработке персональных данных в учреждениях здравоохранения, социальной сферы, труда и занятости (утв. Министерством здравоохранения и социального развития РФ 23 декабря 2009 г.)
- Приложение 1. Шаблоны документов и инструкции по их заполнению
- Приложение 23. Типовой Эскизный проект на создание системы обеспечения безопасности информации объекта вычислительной техники учреждения здравоохранения, социальной сферы, труда и занятости
Приложение 23. Типовой Эскизный проект на создание системы обеспечения безопасности информации объекта вычислительной техники учреждения здравоохранения, социальной сферы, труда и занятости
Министерство здравоохранения и социального развития Российской Федерации
УТВЕРЖДАЮ
_______________________
_______________________
"__" ____________ 2009 г.
Методические рекомендации для организации защиты информации при обработке персональных данных в учреждениях здравоохранения, социальной сферы, труда и занятости
Приложение 23
Типовой Эскизный проект
на создание системы обеспечения безопасности информации объекта вычислительной техники учреждения здравоохранения, социальной сферы, труда и занятости
|
СОГЛАСОВАНО | ||
|
_______________________ |
________________ |
_______________ |
|
_______________________ |
________________ |
_______________ |
|
_______________________ |
________________ |
_______________ |
|
| ||
|
Москва 2009 | ||
Аннотация
Настоящий документ входит в состав комплекта документации, разработанной в соответствии с требованиями технического задания по договору N___ от "__" __________ 2009 г.
Документ описывает основные технические решения по защите комплекса информационных систем персональных данных (далее ИСПДн) объекта вычислительной техники учреждения здравоохранения, социальной сферы, труда и занятости (далее - Объекта), в которых обработка персональных данных (далее - ПДн) осуществляется с использованием средств автоматизации, в объеме, достаточном для приведения комплекса ИСПДн в соответствие с Федеральным законом от 27 июля 2006 года N 152-ФЗ "О персональных данных".
Для работы с документом требуются следующие документы:
- "Техническое задание на работы по обеспечению безопасности обработки персональных данных объекта вычислительной техники учреждения здравоохранения, социальной сферы, труда и занятости";
- "Отчет об обследовании информационных систем персональных данных объекта вычислительной техники учреждения здравоохранения, социальной сферы, труда и занятости";
- "Модель угроз безопасности информационной системы Персональных данных объекта вычислительной техники учреждения здравоохранения, социальной сферы, труда и занятости";
- "Требования по защите персональных данных ИСПДн объекта вычислительной техники учреждения здравоохранения, социальной сферы, труда и занятости".
Определения
В настоящем документе используются следующие термины и их определения.
Допуск
Допуск - это право (возможность) субъекта доступа на получение информации и её использование. Права допуска (допуск) предоставляются организацией по определенным правилам с соблюдением определенных процедур. Предоставленные права допуска представляют собой текстовые документы, выполненные по установленным в организации формам и правилам.
Доступ
Доступ - это правила реализации субъектом доступа предоставленных ему прав доступа. Эти правила по-другому называются правилами разграничения доступа.
Заказчик
Министерство здравоохранения и социального развития Российской Федерации.
Исполнитель
ЗАО "Практика Безопасности".
ИСПДн
Информационная система персональных данных.
ИСПДн - это информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств.
Комплекс ИСПДн
Комплекс информационных систем персональных данных.
Комплекс ИСПДн - это совокупность ИСПДн предприятия (организации).
Матрица доступа
Матрица доступа - это таблица (совокупность таблиц), отображающая правила разграничения доступа.
НСД
Несанкционированный доступ (несанкционированные действия).
НСД - это доступ к информации или действия с информацией, нарушающие правила разграничения доступа с использованием штатных средств, предоставляемых информационными системами персональных данных
Обработка ПДн
Обработка персональных данных.
Обработка ПДн - это действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение.
Обработка ПДн может осуществляться как с использованием средств автоматизации, так и без использования таковых.
Обработка ПДн с использованием средств автоматизации
Обработка персональных данных с использованием средств автоматизации.
Обработка ПДн с использованием средств автоматизации - это обработка ПДн в пределах ИСПДн с использованием информационных технологий и технических средств ИСПДн.
Особенности обработки ПДн с использованием средств автоматизации регулируются Положением об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных (утверждено Постановлением Правительства РФ от 17 ноября 2007 г. N 781).
Обработка ПДн без использования средств автоматизации
Обработка персональных данных без использования средств автоматизации.
Обработка ПДн без использования средств автоматизации - это обработка ПДн, содержащихся в ИСПДн либо извлеченных из неё, если такие действия с ПДн, как использование, уточнение, распространение, уничтожение ПДн в отношении каждого из субъектов ПДн, осуществляются при непосредственном участии человека. При этом обработка ПДн не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что ПДн содержатся в ИСПДн, либо были извлечены из неё.
Особенности обработки ПДн без использования средств автоматизации регулируются Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации (утверждено Постановлением Правительства Российской Федерации от 15 сентября 2008 г. N 687).
Объект внедрения
Под объектом внедрения понимается совокупность:
- технических средств, позволяющих осуществлять обработку персональных данных (ТС ИСПДн);
- помещений, в которых эти технические средства расположены;
- технологическое оборудование этих помещений (системы электропитания, кондиционирования, пожаротушения и пр.);
- сетевая инфраструктура, обеспечивающая функционирование технических средств.
Объект доступа
Объект доступа - это единица информационного ресурса автоматизированной системы, доступ к которой регламентируется правилами разграничения доступа. Для КСЗ ИСПДн такими объектами являются защищаемые ПДн, технические и программные средства ИСПДн и КСЗ ИСПДн.
Персональные данные (ПДн)
ПДн - это любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.
Правила разграничения доступа (ПРД)
ПРД - это совокупность правил, регламентирующих права доступа субъектов доступа к объектам доступа.
В ИСПДн, использующих средства автоматизации, ПРД реализуются техническими средства информационной системы персональных данных (ТС ИСПДн). ТС ИСПДн обеспечивают автоматическую и/или автоматизированную реализацию правил доступа субъектов доступа к объектам доступа, а также автоматический контроль за соблюдением этих правил с автоматической регистрацией в электронной форме событий, происходящих при этом событий.
ПРД устанавливаются при проектировании КСЗ ИСПДн и представляют собой таблицу(ы), именуемую как "Матрица доступа".
Система защиты персональных данных (СЗПДн)
СЗПДн - это комплекс организационных и технических мероприятий, направленных на обеспечение безопасности ПДн на предприятии. Структура, состав и основные функции СЗПДн определяются исходя из класса ИСПДн.
Комплекс средств защиты ИСПДн (КСЗ ИСПДн)
КСЗ ИСПДн - совокупность технических средств защиты информации (в том числе шифровальных (криптографических) средств, средств предотвращения несанкционированного доступа, утечки информации по техническим каналам, программно-технических воздействий на технические средства обработки ПДн), предназначенных для защиты ПДн, обрабатываемых на предприятии (в организации) автоматизированным способом.
Субъект доступа
Субъект доступа - это лицо или процесс, действия которого регламентируются правилами разграничения доступа.
Технические средства информационной системы персональных данных (ТС ИСПДн)
ТС ИСПДн - это средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки ПДн (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т.п.), средства защиты информации).
Обозначения и сокращения
|
АРМ |
Автоматизированное рабочее место |
|
АСО |
Активное сетевое оборудование |
|
ВП |
Вредоносная программа |
|
ДМЗ |
Демилитаризованная зона |
|
ДСП |
Для служебного пользования |
|
ИБ |
Информационная безопасность |
|
ИС |
Информационная система |
|
ИСПДн |
Информационная система персональных данных |
|
КИС |
Корпоративная информационная система |
|
ЛВС |
Локальная вычислительная сеть |
|
МЭ |
Межсетевой экран |
|
НДВ |
Недекларированные возможности |
|
НСД |
Несанкционированный доступ |
|
ОАО |
Открытое акционерное общество |
|
ОС |
Операционная система |
|
ПАК |
Программно-аппаратный комплекс |
|
ПМВ |
Программно-математическое воздействие |
|
ПО |
Программное обеспечение |
|
ППО |
Прикладное программное обеспечение |
|
РЦОД |
Резервный центр обработки данных |
|
САЗ |
Система анализа защищенности |
|
СЗИ |
Система защиты информации |
|
КСЗ ИСПДн |
Комплекс средств защиты информационных систем персональных данных |
|
СК |
Страховая компания |
|
СОВ |
Система обнаружения вторжений |
|
СУБД |
Система управления базами данных |
|
ФСБ |
Федеральная служба безопасности |
|
ФСТЭК России |
Федеральная служба по техническому и экспортному контролю |
|
ЦОД |
Центр обработки данных |
1 Общие положения
1) Заказчик: Министерство здравоохранения и социального развития
Российской Федерации (далее - Заказчик).
2) Исполнитель: ЗАО "Практика Безопасности" (далее - Исполнитель) (Лицензия Гостехкомиссии России рег. N _____ от "__" _______ ____ г. на деятельность по технической защите конфиденциальной информации), аттестат аккредитации N СЗИ ____________ от __.__.20__ г. (продлен до 21.12.20__г.).
3) Основание для выполнения работ: Договор N___ от "__" __________2009 г.
4) Плановые сроки начала и окончания работы определяются Договором.
1.1 Полное наименование системы защиты и ее условное обозначение
Наименование системы защиты: комплекс средств защиты информационных систем персональных данных Объекта. Условное обозначение - КСЗ ИСПДн Объекта.
1.2 Цели, назначение и области использования системы защиты
КСЗ ИСПДн предназначен для приведения ИСПДн Объекта в соответствие с Федеральным законом от 27 июля 2006 года N 152-ФЗ "О персональных данных".
1.3 Наименование предприятий, участвующих в создании системы защиты
В создании системы защиты принимает участие Исполнитель.
1.4 Перечень документов, на основании которых создается система
1.4.1 Нормативные документы
1) Федеральный закон от 27.07.2006 г. N 152-ФЗ "О персональных данных" (далее - ФЗ "О персональных данных"), устанавливающий основные принципы и условия обработки ПДн, права, обязанности и ответственность участников отношений, связанных с обработкой ПДн.
2) "Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных", утвержденное Постановлением Правительства РФ от 17.11.2007 г. N 781.
3) "Порядок проведения классификации информационных систем персональных данных", утвержденный совместным Приказом ФСТЭК России N 55, ФСБ России N 86 и Мининформсвязи РФ N 20 от 13.02.2008 г.
4) "Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации", утвержденное Постановлением Правительства РФ от 15.09.2008 г. N 687.
5) "Требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных", утвержденные Постановлением Правительства РФ от 06.07.2008 г. N 512.
6) Нормативно-методические документы Федеральной службы по техническому и экспертному контролю Российской Федерации (далее - ФСТЭК России) по обеспечению безопасности ПДн при их обработке в ИСПДн:
7) Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08 г. (ДСП)
8) Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08 г. (ДСП)
9) Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08 г. (ДСП)
10) Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08 г. (ДСП)
1.4.2 Документы предпроектных стадий создания КСЗ ИСПДн
1) "Техническое задание на работы по обеспечению безопасности обработки персональных данных объекта вычислительной техники учреждения здравоохранения, социальной сферы, труда и занятости";
2) "Отчет об обследовании информационных систем персональных данных объекта вычислительной техники учреждения здравоохранения, социальной сферы, труда и занятости";
3) "Модель угроз безопасности информационной системы Персональных данных объекта вычислительной техники учреждения здравоохранения, социальной сферы, труда и занятости";
4) "Требования по защите персональных данных ИСПДн объекта вычислительной техники учреждения здравоохранения, социальной сферы, труда и занятости".
2 Описание процесса поддержания безопасности ПДн
2.1 Технологии обеспечения информационной безопасности Объекта
2.1.1 Общие требования к обеспечению безопасности ПДн в ИСПДн
Обеспечение безопасности ПДн при их обработке в ИСПДн должно осуществляться подразделением технической защиты информации совместно с администраторами на всех стадиях жизненного цикла ИСПДн в рамках системы защиты ПДн (далее - СЗПДн) и состоять из согласованных организационных и технических мероприятий, направленных на предотвращение (нейтрализацию) и парирование угроз безопасности ПДн в ИСПДн, минимизацию возможного ущерба, а также восстановление данных и нормального функционирования ИСПДн в случае реализации угроз.
В целях защиты ПДн от несанкционированного доступа и иных неправомерных действий мероприятия по организации и техническому обеспечению безопасности ПДн для каждой ИСПДн должны включать:
- классификацию ИСПДн на основании установленных критериев в соответствии с "Порядком проведения классификации информационных систем персональных данных", утвержденным совместным Приказом ФСТЭК России N 55, ФСБ России N 86 и Мининформсвязи РФ N 20 от 13.02.2008 г.;
- выявление и закрытие технических каналов утечки ПДн на основе анализа и актуализации модели угроз безопасности ПДн;
- установку, настройку и применение соответствующих программных, аппаратных и программно-аппаратных средств защиты информации в рамках СЗПДн;
- разработку должностных инструкций по обеспечению безопасности ПДн при их обработке в ИСПДн для персонала, задействованного в эксплуатации данной ИСПДн.
Предотвращение утечки ПДн по техническим каналам за счет побочных электромагнитных излучений и наводок, а также за счет электроакустических преобразований реализуется путем выбора мест установки аппаратных средств ИСПДн и применения защищенных технических средств, сертифицированных по требованиям информационной безопасности, внедрением объектовых мер защиты, в том числе, установлением контролируемой зоны вокруг объектов ИСПДн, а также, при необходимости, применением средств активного противодействия. Конкретные требования к мерам защиты определяются по результатам специальных исследований технических средств в зависимости от класса ИСПДн, условий ее размещения и актуальных угроз безопасности ПДн.
Обеспечение безопасности ПДн при их обработке в ИСПДн осуществляется путем реализации для ИСПДн следующих мероприятий в рамках СЗПДн:
- управление доступом;
- регистрация и учет;
- обеспечение целостности;
- контроль отсутствия недекларированных возможностей;
- антивирусная защита;
- обеспечение безопасного межсетевого взаимодействия ИСПДн;
- анализ защищенности;
- обнаружение вторжений;
- криптографическая защита.
Средства защиты информации, применяемые в составе СЗПДн, в законодательно установленном порядке проходят процедуру оценки соответствия, включая сертификацию на соответствие требованиям по безопасности информации.
Конкретный состав, характеристики и настройки технических средств защиты информации определяются на основании нормативно-методических документов ФСТЭК России исходя из класса ИСПДн и актуальных угроз безопасности ПДн.
Все технические средства защиты информации должны быть снабжены инструкциями по эксплуатации (рекомендациями по использованию).
ИСПДн 1 и 2 классов должны проходить обязательную сертификацию (аттестацию) по требованиям безопасности информации. Для ИСПДн 3 класса возможно декларирование соответствия, либо обязательная сертификация (аттестация) по требованиям безопасности информации.
Необходимость и целесообразность применения средств криптографической защиты для обеспечения безопасности ПДн при их обработке в ИСПДн определяется на основе анализа и актуализации модели угроз безопасности ПДн. В случае принятия решения об использовании криптографических средств необходимо руководствоваться требованиями Правительства РФ и ФСБ России, изложенных в соответствующих документах.
2.1.2 Требования по безопасности ПДн для создаваемых (модернизируемых) ИСПДн
Обязательным требованием для вновь создаваемых и модернизируемых ИСПДн является создание в их составе СЗПДн. Работы по проектированию, созданию и внедрению СЗПДн в составе создаваемых (модернизируемых) ИСПДн осуществляются совместно подразделением технической защиты информации и подразделением ИТ.
В целях достижения оптимальной совместимости и интеграции СЗПДн в ИСПДн проектирование и создание СЗПДн должно осуществляться на основе технического (частного технического) задания совместно с проектированием ИСПДн и учитывать основные технические решения и функциональное назначение создаваемой ИСПДн.
Техническое задание на разработку СЗПДн основывается на данных о создаваемой (модернизируемой) ИСПДн, полученных в рамках предпроектного обследования, которое должно включать следующие мероприятия:
- определение перечня ПДн, подлежащих защите от несанкционированного доступа;
- определение условий расположения ИСПДн относительно границ контролируемой зоны;
- определение конфигурации и топологии ИСПДн в целом и ее отдельных компонент, физических, функциональных и технологических характеристик ИСПДн;
- определение технических средств и систем, общесистемных и прикладных программных средств в составе ИСПДн, их характеристик и условий расположения;
- определение режимов обработки ПДн в ИСПДн в целом и в отдельных компонентах: однопользовательский или многопользовательский; с разграничением прав доступа или без разграничения прав доступа пользователей;
- определение способов обработки ПДн в ИСПДн в целом и в отдельных компонентах: полностью или частично автоматизированная обработка ПДн; с передачей ПДн по внутренней сети, с передачей ПДн по сетям связи общего пользования, либо без передачи ПДн;
- определение класса ИСПДн;
- разработка частной модели угроз безопасности ПДн для специальных ИСПДн.
По результатам предпроектного обследования на основе нормативно-методического документа ФСТЭК России "Основные мероприятия по организации и техническому обеспечению безопасности ПДн, обрабатываемых в ИСПДн", с учетом установленного класса ИСПДн (либо в соответствии с частной моделью угроз) задаются конкретные требования по обеспечению безопасности ПДн, включаемые в техническое (частное техническое) задание на разработку СЗПДн.
Техническое (частное техническое) задание на разработку СЗПДн должно содержать:
- обоснование разработки СЗПДн;
- исходные данные создаваемой (модернизируемой) ИСПДн в техническом, программном, информационном и организационном аспектах;
- класс ИСПДн;
- ссылку на нормативные документы, с учетом которых будет разрабатываться СЗПДн и приниматься в эксплуатацию ИСПДн;
- конкретизацию мероприятий и требований к СЗПДн;
- перечень предполагаемых к использованию сертифицированных средств защиты информации;
- обоснование проведения разработок собственных средств защиты информации при необходимости;
- состав, содержание и сроки проведения работ по этапам разработки и внедрения СЗПДн.
2.2 Действия персонала по обеспечению информационной безопасности
Обеспечение конфиденциальности ПДн, обрабатывающихся в Учреждении, является обязательным требованием для всех сотрудников Учреждения, которым ПДн стали известны, как в связи со служебной деятельностью, так и по случайности или ошибке.
Все лица, допущенные к работе с ПДн, а также связанные с эксплуатацией и техническим сопровождением ИСПДн должны быть под роспись ознакомлены с требованиями настоящего Положения.
В Учреждении должен быть организован процесс обучения по направлению обеспечения безопасности ПДн. Обучение по данному направлению рекомендовано лицам, имеющим постоянный доступ к ПДн, и лицам, эксплуатирующим ИСПДн. В обязательном порядке обучение должны проходить лица, ответственные за эксплуатацию средств защиты информации ИСПДн.
Планы и графики обучения сотрудников Учреждении по направлению обеспечения безопасности ПДн составляются и реализуются подразделением по управлению персоналом.
В случае нарушения установленного порядка обработки ПДн работники Учреждения несут ответственность в соответствии с разделом 13 настоящего Положения.
2.2.1 Предоставление работникам доступа к ПДн
Сотрудникам Учреждения предоставляется доступ к работе с ПДн исключительно в пределах и объеме, необходимых для выполнения ими своих должностных обязанностей и в соответствии с порядком, установленным настоящим Положением и "Порядком предоставления доступа пользователей".
Сотрудники Учреждения, которые в силу выполняемых служебных обязанностей постоянно работают с ПДн, получают допуск к необходимым категориям ПДн с установленными правами доступа на срок выполнения ими соответствующих должностных обязанностей на основании Списка лиц, допущенных к работе с ПДн, который утверждается Заместителем руководителя Учреждения (Руководителем Службы безопасности) по представлению руководителей структурных подразделений Учреждения.
Временный или разовый допуск к работе с ПДн в связи со служебной необходимостью может быть получен сотрудником Учреждения по согласованию с подразделением технической защиты информации в соответствии с "Порядком предоставления доступа пользователей" путем подачи заявки на доступ с указанием цели и срока доступа и категорий ПДн, к которым запрашивается доступ.
Доступ к ПДн может быть прекращен или ограничен в случае нарушения требований настоящего Положения или "Порядком предоставления доступа пользователей", либо в случае перевода или увольнения сотрудника.
Список лиц, допущенных к работе с ПДн, должен содержать следующие поля: имя сотрудника, его должность и наименование подразделения, ФИО руководителя сотрудника (см. Приложение А к настоящему Положению).
2.2.2 Требования к администраторам ИСПДн и администраторам информационной безопасности ИСПДн
Квалификационные требования для администраторов ИСПДн и администраторов ИБ ИСПДн определяются подразделением по работе с персоналом совместно с подразделением по технической защите информации.
В обязанности администраторов ИСПДн входит управление учетными записями пользователей ИСПДн, поддержание штатной работы ИСПДн, обеспечение резервного копирования данных, а также установка и конфигурирование аппаратного и программного обеспечения ИСПДн, не связанного с обеспечением безопасности ПДн в ИСПДн.
В обязанности администраторов ИБ ИСПДн входит обеспечение соответствия порядка обработки и обеспечения безопасности ПДн в ИСПДн требованиям по конфиденциальности, целостности и доступности ПДн, предъявляемых к конкретной ИСПДн, и общим требованиям по безопасности ПДн, установленных федеральным законодательством.
В обязанности администраторов ИБ ИСПДн также входит установка, конфигурирование и администрирование аппаратных и программных средств защиты информации ИСПДн, учет и хранение машинных носителей ПДн, периодический аудит журналов безопасности и анализ защищенности ИСПДн, а также участие в служебных расследованиях фактов нарушения установленного порядка обработки и обеспечения безопасности ПДн.
В целях обеспечения распределения полномочий, реализации взаимного контроля и недопущения сосредоточения критичных для безопасности ПДн полномочий у одного лица не рекомендуется совмещать роли администратора ИСПДн и администратора ИБ ИСПДн в лице одного сотрудника.
Квалификационные требования и детальный перечень прав и обязанностей администраторов ИСПДн и администраторов ИБ ИСПДн закрепляются в соответствующих должностных инструкциях, с которыми сотрудники, назначаемые на данные роли должны быть ознакомлены под роспись.
3 Основные технические решения
КСЗ ИСПДн Объекта проектируется как многоуровневая, иерархическая, масштабируемая территориально распределённая система с централизованным управлением программно-аппаратными средствами, входящими в ее состав.
КСЗ ИСПДн предназначен для реализации требований по защите ИСПДн Объекта, предъявленных в документе "Требования по защите персональных данных ИСПДн объекта вычислительной техники учреждения здравоохранения, социальной сферы, труда и занятости". Программно-технические средства данного КСЗ ИСПДн размещаются на территории офиса в выделенном помещении. Данные рекомендуемые программно-технические средства будут перечислены в соответствующих разделах настоящего документа.
3.1 Структура КСЗ ИСПДн Объекта
Перечень и назначение подсистем, входящих в состав КСЗ ИСПДн Объекта в соответствии с требованиями документа "Требования по защите персональных данных ИСПДн объекта вычислительной техники учреждения здравоохранения, социальной сферы, труда и занятости".
Таблица 1 - Состав подсистем КСЗ ИСПДн Объекта
|
N п\п |
Наименование подсистемы |
Назначение подсистемы |
|
1 |
Подсистема управления доступом |
Идентификация и проверка подлинности субъектов доступа к объектам доступа |
|
2 |
Подсистема регистрации и учета |
Сбор и обработка событий ИБ |
|
3 |
Подсистема обеспечения целостности |
Обеспечение неизменности программной среды |
|
4 |
Подсистема антивирусной защиты и защиты от ПМВ |
Автоматическая проверка программ и данных на наличие ВП или последствий ПМВ |
|
5 |
Подсистема обнаружения вторжений |
Выявление сетевых атак на ТС ИСПДн |
|
6 |
Подсистема межсетевого экранирования |
Сегментация и разграничение доступа в сетевой сегмент ИСПДн Объекта |
|
7 |
Подсистема анализа защищенности |
Выявление уязвимостей ТС ИСПДн |
3.2 Состав функций, реализуемых подсистемами КСЗ ИСПДн
3.2.1 Подсистема управления доступом, регистрации и учета
Подсистему управления доступом, регистрации и учета Объекта рекомендуется реализовывать на базе программных средств блокирования несанкционированных действий, сигнализации и регистрации. Это специальные, не входящие в ядро какой-либо операционной системы программные и программно-аппаратные средства защиты самих операционных систем, электронных баз ПДн и прикладных программ. Они выполняют функции защиты самостоятельно или в комплексе с другими средствами защиты и направлены на исключение или затруднение выполнения опасных для ИСПДн действий пользователя или нарушителя. К ним относятся специальные утилиты и программные комплексы защиты, в которых реализуются функции диагностики, регистрации, уничтожения, сигнализации и имитации.
Средства диагностики осуществляют тестирование файловой системы и баз ПДн Объекта, постоянный сбор информации о функционировании элементов подсистемы обеспечения безопасности информации.
Средства уничтожения предназначены для уничтожения остаточных данных и могут предусматривать аварийное уничтожение данных в случае угрозы НСД, которая не может быть блокирована системой защиты Объекта.
Средства сигнализации предназначены для предупреждения операторов при их обращении к защищаемым ПДн и для предупреждения администратора при обнаружении факта НСД к ПДн, искажении программных средств защиты, выходе или выводе из строя аппаратных средств защиты и о других фактах нарушения штатного режима функционирования ИСПДн Объекта.
Средства имитации моделируют работу с нарушителями при обнаружении попытки НСД к защищаемым ПДн или программным средствам. Имитация позволяет увеличить время на определение места и характера НСД, что особенно важно в территориально распределенных сетях, и дезинформировать нарушителя о месте нахождения защищаемых ПДн.
3.2.2 Подсистема обеспечения целостности
Подсистема обеспечения целостности реализуется преимущественно операционными системами и системами управления базами данных. Средства повышения достоверности и обеспечения целостности передаваемых данных и надежности транзакций, встраиваемые в операционные системы и системы управления базами данных, основаны на расчете контрольных сумм, уведомлении о сбое в передаче пакета сообщения, повторе передачи не принятого пакета.
3.2.3 Подсистема антивирусной защиты и защиты от ПМВ
Подсистема контроля отсутствия недекларированных возможностей реализуется в большинстве случае на базе систем управления базами данных, средств защиты информации, антивирусных средств защиты информации.
Для обеспечения безопасности ПДн и программно-аппаратной среды ИСПДн Объекта, обеспечивающей обработку этой информации, рекомендуется применять специальные средства антивирусной защиты, обеспечивающие:
- обнаружение и (или) блокирование деструктивных вирусных воздействий на общесистемное и прикладное программное обеспечение, реализующее обработку ПДн, а также на ПДн Объекта;
- обнаружение и удаление неизвестных вирусов;
- обеспечение самоконтроля (предотвращение инфицирования) данного антивирусного средства при его запуске.
- Средства антивирусной защиты Объекта должны удовлетворять следующим требованиям:
- совместимость указанных средств со штатным программным обеспечением ИСПДн Объекта;
- минимальная степень снижения производительности функционирования ИСПДн по основному назначению;
- наличие средств централизованного управления функционированием с рабочего места администратора безопасности информации в ИСПДн;
- возможность оперативного оповещения администратора безопасности информации в ИСПДн Объекта обо всех событиях и фактах проявления программно-математических воздействий (ПМВ);
- наличие подробной документации по эксплуатации;
- возможность осуществления периодического тестирования или самотестирования средства;
- возможность наращивания состава средств защиты от ПМВ новыми дополнительными средствами без существенных ограничений работоспособности ИСПДн и "конфликта" с другими типами средств защиты.
3.2.4 Подсистема обнаружения вторжений
Подсистема обнаружения вторжений реализует следующий функционал:
- осуществление мониторинга сетевого трафика между сетевым сегментом ИСПДн Объекта и остальными сетями Заказчика с целью обнаружения признаков атак (включая сети публичного доступа);
- мониторинг сетевых атак и обнаружение вторжений на ТС, входящие в состав ИСПДн Объекта;
- оперативное оповещение ответственных лиц о попытках несанкционированного доступа к защищаемым ресурсам, подозрительной активности в сети, обнаруженных атаках и вирусах;
- централизованное управление всеми ПАК СОВ.
3.2.5 Подсистема межсетевого экранирования
Подсистема межсетевого экранирования реализует следующий функционал:
- сегментация и подключение сетевого сегмента ИСПДн Объекта к остальным сетям Заказчика (включая сети публичного доступа);
- защита от несанкционированного доступа (далее - НСД) в точке подключения сетевых сегментов ИСПДн Объекта к остальным сетям Заказчика (включая сети публичного доступа).
Входящие в ее состав МЭ должны отвечать следующим требованиям:
- разграничение доступа пользователей ИСПДн Объекта к объектам доступа путём фильтрации пакетов;
- межсетевое экранирование на границе с остальными сетями Заказчика (включая сети публичного доступа);
- регистрация и учет фильтруемых пакетов.
- централизованное управление МЭ;
- резервирование настроек и политик МЭ;
- архивирование событий, поступающих ПАК;
- оповещение об аппаратных и программных сбоях МЭ.
3.2.6 Подсистема анализа защищенности
Подсистема анализа защищенности реализует следующий функционал:
Средства анализа защищенности применяются с целью контроля настроек защиты операционных систем на рабочих станциях, серверах и коммуникационном оборудовании, и позволяют оценить возможность проведения нарушителями успешных атак.
Функционал средства анализа защищенности (САЗ) должен удовлетворять следующим требованиям:
- защита ресурсов, обрабатывающих ПДн с помощью автоматического мониторинга информационной безопасности;
- автоматизация рутинной работы персонала по выявлению вторжений на защищаемые информационные ресурсы КСЗ ИСПДн;
- автоматизация процессов инвентаризации ресурсов и управления уязвимостями, контроля изменений в КСЗ ИСПДн;
- максимальная автоматизация процессов с целью снижения трудозатрат и повышения оперативности контроля состояния защищенности КСЗ ИСПДн;
- комплексный анализ сложных систем, включая сетевое оборудование, сетевые приложения и Web-службы, входящие в состав ИСПДн;
- возможность мониторинга ИСПДн Объекта на соответствие требованиям и политикам безопасности;
- оперативное автоматическое обновление баз знаний САЗ.
3.3 Обеспечение заданных характеристик системы защиты
3.3.1 Общие требования по защите ПДн в ИСПДн Объекта
Таблица соответствия технического решения по защите ПДн, обрабатываемых в ИСПДн Объекта, общим требованиям по защите, предъявляемых в документе "Требования по защите персональных данных ИСПДн Объекта" представлена в таблице 2.
Таблица 2 - Таблица соответствия технического решения по защите ПДн, обрабатываемых в ИСПДн Объекта, предъявляемым к нему общим требованиям
|
N п\п |
Категория требования |
Формулировка требования |
Реализация требования |
|
1 |
Сертификация |
Для программного обеспечения, используемого при защите информации в ИСПДн (средств защиты информации - СЗИ, в том числе и встроенных в общесистемное и прикладное программное обеспечение - ПО), должен быть обеспечен 4 уровень контроля отсутствия в нем НДВ. При необходимости применения в информационных системах обработки персональных данных средств защиты информации от несанкционированного доступа и средств межсетевого экранирования, у которых отсутствует сертификация на соответствие требованиям руководящего документа "Защита от НСД к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля недекларированных возможностей" (1999 г.), оператором по согласованию с ФСТЭК России может приниматься решение о применении указанных средств защиты информации в информационных системах обработки персональных данных. |
|
|
2 |
Должны использоваться сертифицированные средства защиты информации. |
|
|
|
3 |
Лицензирование |
Оператор данной ИСПДн должен получить лицензию на осуществление деятельности по технической защите конфиденциальной информации. |
|
|
4 |
Аттестация |
Для данной ИСПДн требуется обязательная сертификация (аттестация) по требованиям безопасности информации. |
|
|
5 |
Контроль работы средств защиты информации |
Должен быть предусмотрен администратор (служба) защиты информации, ответственный за ведение, нормальное функционирование и контроль работы средств защиты информации в составе СЗПДн |
|
|
6 |
Документация по вопросам обеспечения безопасности ПДн |
Должны быть разработаны следующие документы: - Положение по организации и проведению работ по обеспечению безопасности ПДн при их обработке в ИСПДн; - Должностные инструкции персонала ИСПДн в части обеспечения безопасности ПДн при их обработке в ИСПДн; - Рекомендации (инструкции) по использованию программных и аппаратных средств защиты информации; - В состав Руководства администратора безопасности информации должен быть включен порядок установки, настройки, конфигурирования и администрирования средств антивирусной защиты информации. - Также в организационно-правовой документации Компании должны быть отражены следующие процессы: - Распределение функций управления доступом к ПДн и их обработкой между должностными лицами; - Порядок изменения правил доступа к защищаемой информации; - Порядок изменения правил доступа к резервируемым информационным и аппаратным ресурсам; - Порядок действия должностных лиц в случае возникновения нештатных ситуаций; - Порядок проведения контрольных мероприятий и действий по его результатам. |
|
3.3.2 Требования к подсистеме управления доступом
Таблица соответствия функциональных возможностей компонентов подсистемы управления доступом КСЗ ИСПДн Объекта требованиям, предъявляемым к ним в соответствии с документом "Требования по защите персональных данных ИСПДн Объекта" представлена в таблице 3.
Таблица 3 - Таблица соответствия функциональных возможностей компонентов подсистемы управления доступом КСЗ ИСПДн Объекта предъявляемым требованиям
|
N п\п |
Формулировка требования |
Реализация требования |
|
1 |
Должна осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по паролю условно-постоянного действия длинной не менее шести буквенно-цифровых символов. |
|
|
2 |
Должна осуществляться идентификация терминалов, компьютеров, узлов сети ИСПДн, каналов связи, внешних устройств компьютеров по логическим именам. |
|
|
3 |
Должна осуществляться идентификация программ, томов, каталогов, файлов, записей, полей записей по именам. |
|
|
4 |
Должны быть реализованы механизмы блокирования терминала субъекта доступа самим субъектом доступа или в случае истечения заданного интервала времени неактивности субъекта доступа. |
|
|
5 |
Должен осуществляться контроль доступа субъектов к защищаемым ресурсам в соответствии с матрицей доступа. |
|
|
6 |
Для каждого субъекта доступа должен быть определен перечень исполняемых модулей, которые он может активизировать. |
|
|
7 |
Импорт и экспорт объектов (сообщений, данных, программ и т.п.) должен выполняться субъектом доступа со специальной ролью "оператора ввода/вывода. |
|
3.3.3 Требования к подсистеме регистрации и учета
Таблица соответствия функциональных возможностей компонентов подсистемы регистрации и учета КСЗ ИСПДн Объекта требованиям, предъявляемым к ним в соответствии с документом "Требования по защите персональных данных ИСПДн Объекта"представлена в таблице 4.
Таблица 4 - Таблица соответствия функциональных возможностей компонентов подсистемы регистрации и учета КСЗ ИСПДн Объекта предъявляемым требованиям
|
N п\п |
Формулировка требования |
Реализация требования |
|
1 |
Должна осуществляться регистрация входа (выхода) субъектов доступа в систему (из системы), либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения ИСПДн. В параметрах регистрации указываются дата и время входа (выхода) субъекта доступа в систему (из системы) или загрузки (останова) системы, результат попытки входа (успешная или неуспешная - несанкционированная), идентификатор (код, или фамилия) субъекта, предъявленный при попытке доступа; |
|
|
2 |
Должна осуществляться регистрация попыток доступа программных средств (программ, процессов, задач, заданий) к экспортируемым/импортируемым файлам, содержащим ПДн. В параметрах регистрации указываются дата и время попытки доступа к защищаемому файлу с указанием ее результата (успешная, неуспешная - несанкционированная), идентификатор субъекта доступа, спецификация защищаемого файла. |
|
|
3 |
Должна осуществляться регистрация попыток доступа программных средств к следующим дополнительным защищаемым объектам доступа: терминалам, компьютерам, узлам сети ИСПДн, линиям (каналам) связи, внешним устройствам компьютеров, программам, томам, каталогам, файлам, записям, полям записей. В параметрах регистрации указываются дата и время попытки доступа к защищаемому объекту с указанием ее результата (успешная, неуспешная - несанкционированная), идентификатор субъекта доступа, спецификация защищаемого объекта - логическое имя (номер); |
|
|
4 |
Должна осуществляться регистрация выдачи печатных (графических) документов на "твердую" копию. Выдача должна сопровождаться автоматической маркировкой каждого листа (страницы) документа порядковым номером и учетными реквизитами ИСПДн с указанием на последнем листе документа общего количества листов (страниц). В параметрах регистрации указываются дата и время выдачи (обращения к подсистеме вывода), краткое содержание документа (наименование, вид, код, шифр), спецификация устройства выдачи - логическое имя (номер) внешнего устройства. |
|
|
5 |
Должна осуществляться регистрация изменений полномочий субъектов доступа и статуса объектов доступа. В параметрах регистрации указываются дата и время изменения полномочий, идентификатор субъекта доступа (администратора), осуществившего изменения. |
|
|
6 |
Должен проводиться учет всех защищаемых носителей информации с помощью их маркировки и с занесением учетных данных журнала (учетную карточку); |
|
|
7 |
Должен проводиться учет защищаемых носителей в журнале (картотеке) с регистрацией их выдачи (приема) |
|
|
8 |
Должно проводиться несколько видов учета (дублирующих) защищаемых носителей информации |
|
|
9 |
Данные регистрации должны быть защищены от их уничтожения или модификации нарушителем. |
|
|
10 |
Должны быть реализованы механизмы просмотра и анализа данных регистрации и их фильтрации по заданному набору параметров |
|
|
11 |
Должна осуществляться сигнализация попыток нарушения защиты. |
|
3.3.4 Требования к подсистеме обеспечения целостности
Таблица соответствия функциональных возможностей компонентов подсистемы обеспечения целостности КСЗ ИСПДн Объекта требованиям, предъявляемым к ним в соответствии с документом "Требования по защите персональных данных ИСПДн Объекта" представлена в Таблице 5.
Таблица 5 - Таблица соответствия функциональных возможностей компонентов подсистемы обеспечения целостности КСЗ ИСПДн Объекта предъявляемым требованиям
|
N п\п |
Формулировка требования |
Реализация требования |
|
1 |
Должна быть обеспечена целостность программных средств защиты информации в составе СЗПДн, а также неизменность программной среды. При этом целостность средств защиты проверяется при загрузке системы по контрольным суммам компонент средств защиты информации, а целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ в процессе обработки и (или) хранения защищаемой информации |
|
|
2 |
Должна осуществляться физическая охрана ИСПДн (устройств и носителей информации), предусматривающая контроль доступа в помещения ИСПДн посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения ИСПДн и хранилище носителей информации, особенно в нерабочее время. |
|
|
3 |
Должны быть в наличии средства восстановления средств защиты информации в составе СЗПДн, предусматривающие ведение двух копий программных средств защиты, их периодическое обновление и контроль работоспособности. |
|
|
4 |
Должно проводиться периодическое тестирование функций СЗПДн при изменении программной среды и персонала ИСПДн с помощью тест - программ, имитирующих попытки НСД |
|
|
5 |
Должно проводиться резервное копирование ПДн на отчуждаемые носители информации. |
|
3.3.5 Требования к подсистеме антивирусной защиты и защиты от ПМВ
Таблица соответствия функциональных возможностей компонентов подсистемы антивирусной защиты и защиты от ПМВ КСЗ ИСПДн Объекта требованиям, предъявляемым к ним в соответствии с документом "Требования по защите персональных данных ИСПДн Объекта" представлена в таблице 6.
Таблица 6 - Таблица соответствия функциональных возможностей компонентов подсистемы антивирусной защиты и защиты от ПМВ КСЗ ИСПДн Объекта предъявляемым требованиям
|
N п\п |
Формулировка требования |
Реализация требования |
|
1 |
Должна проводиться автоматическая проверка на наличие ВП или последствий ПМВ при импорте в ИСПДн всех программных модулей (прикладных программ), которые могут содержать ВП, по их типовым шаблонам и с помощью эвристического анализа |
|
|
2 |
Должны быть реализованы механизмы автоматического блокирования обнаруженных ВП путем их удаления из программных модулей или уничтожения |
|
|
3 |
Должна регулярно выполняться проверка на предмет наличия ВП в средствах защиты от ПМВ (при первом запуске средства защиты от ПМВ и с устанавливаемой периодичностью) |
|
|
4 |
Факт выявления ПМВ должен инициировать автоматическую проверку на предмет наличия ВП |
|
|
5 |
Должен быть реализован механизм отката для устанавливаемого числа операций удаления ВП из оперативной или постоянной памяти, из программных модулей и прикладных программ или программных средств, содержащих ВП |
|
|
6 |
На всех технических средствах ИСПДн должен проводиться непрерывный согласованный по единому сценарию автоматический мониторинг информационного обмена в ИСПДн с целью выявления проявлений ПМВ |
|
3.3.6 Требования к подсистеме межсетевого экранирования
Соответствие функциональных возможностей компонентов подсистемы межсетевого экранирования КСЗ ИСПДн Объекта требованиям, предъявляемым к ним в соответствии с документом "Требования по защите персональных данных ИСПДн Объекта" представлены в таблице 7.
Таблица 7 - Таблица соответствия функционала компонентов подсистемы межсетевого экранирования КСЗ ИСПДн Объекта предъявляемым к ним требованиям
|
N п\п |
Категория требования |
Формулировка требования |
Реализация требования |
|
Общие требования к МЭ | |||
|
1 |
В ИСПДн должны использоваться МЭ не ниже третьего уровня защищенности |
Сертификат соответствия ФСТЭК России N_____ от ______ по 3 классу защищённости МЭ и соответствие ТУ. Схема сертификации - партия. |
|
|
МЭ должен обеспечивать: | |||
|
2 |
Управление доступом (фильтрация данных и трансляция адресов) |
МЭ должен обеспечивать следующие функции по фильтрации на сетевом уровне: - фильтрацию пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств; |
Сертификат соответствия МЭ N ____ требованиям руководящего документа "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации" подтверждает соответствие данной категории требований функциональным возможностям МЭ. |
|
- фильтрацию с учетом входного и выходного сетевого интерфейса как средство проверки подлинности сетевых адресов; | |||
|
- фильтрацию с учетом любых значимых полей сетевых пакетов. | |||
|
- фильтрацию на транспортном уровне запросов на установление виртуальных соединений. При этом, по крайней мере, учитываются транспортные адреса отправителя и получателя; | |||
|
- фильтрацию на прикладном уровне запросов к прикладным сервисам. При этом, по крайней мере, учитываются прикладные адреса отправителя и получателя; | |||
|
- фильтрацию с учетом даты/времени. | |||
|
3 |
Идентификация и аутентификация |
МЭ должен обеспечивать возможность аутентификации входящих и исходящих запросов методами, устойчивыми к пассивному и/или активному прослушиванию сети. |
Сертификат соответствия МЭ N ____ требованиям руководящего документа "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации" подтверждает соответствие данной категории требований функциональным возможностям МЭ. |
|
4 |
Регистрация |
МЭ должен обеспечивать возможность регистрации и учета фильтруемых пакетов. В параметры регистрации включаются адрес, время и результат фильтрации. |
|
|
МЭ должен обеспечивать: регистрацию и учет запросов на установление виртуальных соединений; | |||
|
локальную сигнализацию попыток нарушения правил фильтрации. | |||
|
5 |
Администрирование: идентификация и аутентификация |
МЭ должен обеспечивать: Идентификацию и аутентификацию администратора МЭ при его локальных запросах на доступ; |
Сертификат соответствия МЭ N ____ требованиям руководящего документа "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации" подтверждает соответствие данной категории требований функциональным возможностям МЭ. |
|
МЭ должен предоставлять возможность для идентификации и аутентификации по идентификатору (коду) и паролю условно-постоянного действия; | |||
|
МЭ должен препятствовать доступу неидентифицированного субъекта или субъекта, подлинность идентификации которого при аутентификации не подтвердилась; | |||
|
При удаленных запросах администратора МЭ на доступ идентификация и аутентификация должны обеспечиваться методами, устойчивыми к пассивному и активному перехвату информации. | |||
|
6 |
Администрирование: регистрация |
МЭ должен обеспечивать: регистрацию входа (выхода) администратора МЭ в систему (из системы) либо загрузка и инициализация системы и ее программный останов. (Регистрация выхода из системы не проводится в моменты аппаратурного отключения МЭ); |
Сертификат соответствия МЭ N ____ требованиям руководящего документа "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации" подтверждает соответствие данной категории требований функциональным возможностям МЭ. |
|
- регистрацию запуска программ и процессов (заданий, задач); | |||
|
- регистрацию действия администратора МЭ по изменению правил фильтрации. | |||
|
7 |
Администрирование: простота использования |
Многокомпонентный МЭ должен обеспечивать возможность дистанционного управления своими компонентами, в том числе, возможность конфигурирования фильтров, проверки взаимной согласованности всех фильтров, анализа регистрационной информации. |
Сертификат соответствия МЭ N ____ требованиям руководящего документа "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации" подтверждает соответствие данного требования функциональным возможностям МЭ. |
|
8 |
Целостность |
МЭ должен обеспечивать контроль целостности своей программной и информационной части, по контрольным суммам. |
Сертификат соответствия МЭ N ____ требованиям руководящего документа "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации" подтверждает соответствие данного требования функциональным возможностям МЭ. |
|
9 |
Восстановление |
МЭ должен предусматривать процедуру восстановления после сбоев и отказов оборудования, которые должны обеспечивать восстановление свойств МЭ. |
Сертификат соответствия МЭ N ____ требованиям руководящего документа "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации" подтверждает соответствие данного требования функциональным возможностям МЭ. |
|
10 |
Тестирование |
В МЭ должна обеспечиваться возможность регламентного тестирования: реализации правил фильтрации; |
Сертификат соответствия МЭ N ____ требованиям руководящего документа "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации" подтверждает соответствие данной категории требований функциональным возможностям МЭ. |
|
процесса регистрации; | |||
|
процесса идентификации и аутентификации запросов; | |||
|
процесса идентификации и аутентификации администратора МЭ; | |||
|
процесса регистрации действий администратора МЭ; | |||
|
процесса контроля за целостностью программной и информационной части МЭ; | |||
|
процедуры восстановления. | |||
3.3.7 Требования к подсистеме обнаружения вторжений
Таблица соответствия функциональных возможностей компонентов подсистемы обнаружения вторжений КСЗ ИСПДн Объекта требованиям, предъявляемым к ним в соответствии с документом "Требования по защите персональных данных ИСПДн Объекта" представлена в таблице 7.
Таблица 8 - Таблица соответствия функционала компонентов подсистемы обнаружения вторжений КСЗ ИСПДн Объекта предъявляемым к ним требованиям
|
N п\п |
Формулировка требования |
Реализация требования |
|
1 |
Обнаружение вторжений должно обеспечиваться путем использования в составе ИСПДн программных или программно-аппаратных средств (систем) обнаружения вторжений, использующие сигнатурные методы анализа, а также методы выявления аномалий. |
В состав подсистемы обнаружения вторжений КСЗ ИСПДн Объекта входит ПАК СОВ ________, заявленный функционал которого подтвержден сертификатом соответствия ФСТЭК России N ____ от __.__.____ заявленным техническим условиям. |
3.3.8 Требования к подсистеме анализа защищенности
Таблица соответствия функциональных возможностей компонентов подсистемы анализа защищенности КСЗ ИСПДн Объекта требованиям, предъявляемым к ним в соответствии с документом "Требования по защите персональных данных ИСПДн Объекта" представлена в таблице 8.
Таблица 9 - Таблица соответствия функционала компонентов подсистемы анализа защищенности КСЗ ИСПДн Объекта предъявляемым к ним требованиям
|
N п\п |
Формулировка требования |
Реализация требования |
|
1 |
Анализ защищенности должен проводиться путем использования в составе ИСПДн программных или программно-аппаратных средств (систем) анализа защищенности (далее - САЗ). |
|
|
2 |
Для ИСПДн САЗ должна быть обеспечена возможность выявления уязвимостей, связанных с ошибками в конфигурации ПО ИСПДн, которые могут быть использованы нарушителем для реализации атаки на систему. |
|
4 Описание организационной структуры КСЗ ИСПДн Объекта
4.1 Роли персонала по обеспечению функционирования КСЗ ИСПДн Объекта
Для обеспечения администрирования, сопровождения и эксплуатации компонентов КСЗ ИСПДн Объекта из состава сотрудников Заказчика должны быть назначены администраторы КСЗ ИСПДн Объекта, выполняющие следующие функции:
- управление настройками и конфигурацией оборудования КСЗ ИСПДН ОБЪЕКТА;
- внесение согласованных с администратором информационной безопасности изменений в настройки компонентов КСЗ ИСПДН ОБЪЕКТА;
- мониторинг событий КСЗ ИСПДН ОБЪЕКТА, принятие мер по нейтрализации инцидентов информационной безопасности;
- контроль работоспособности оборудования и соблюдения условий эксплуатации (температура, влажность, напряжение электросети);
- отключение оборудования в случаях нарушения условий эксплуатации, пожара, стихийных бедствий;
- принятие мер по восстановлению работоспособности КСЗ ИСПДН ОБЪЕКТА в случае сбоев;
- периодическое резервное копирование конфигурационных файлов компонентов КСЗ ИСПДН ОБЪЕКТА;
- проведение регламентных работ по поддержанию работоспособности КСЗ ИСПДН ОБЪЕКТА;
- подготовка отчетов о функционировании КСЗ ИСПДН ОБЪЕКТА.
Администраторы КСЗ ИСПДН ОБЪЕКТА не должны иметь полномочий по управлению журналами аудита (изменению состава регистрируемых событий, очистке журналов).
Администраторы КСЗ ИСПДН ОБЪЕКТА должны обладать следующей квалификацией:
- навыки настройки и администрирования используемых средств диагностики, регистрации, уничтожения, сигнализации и имитации, подтвержденные сертификатом об обучении в специализированном учебном центре;
- навыки настройки и администрирования используемых операционных систем и систем управления базами данных, подтвержденные сертификатом об обучении в специализированном учебном центре;
- навыки настройки и администрирования используемых антивирусных средств, подтвержденные сертификатом об обучении в специализированном учебном центре;
- навыки настройки и администрирования используемых МЭ, подтвержденные сертификатом об обучении в специализированном учебном центре;
- навыки настройки и администрирования используемых СОВ, подтвержденные сертификатом об обучении в специализированном учебном центре;
- навыки настройки и администрирования используемых САЗ, подтвержденные сертификатом об обучении в специализированном учебном центре.
Рекомендуется следующий состав администраторов КСЗ ИСПДН ОБЪЕКТА:
- 2 администратора для поддержки и обслуживания КСЗ ИСПДН ОБЪЕКТА (график работы: 5 дней в неделю в рабочее время);
- 2 дежурных администратора для мониторинга, поддержки КСЗ ИСПДН ОБЪЕКТА и срочного устранения возникающих неисправностей (график работы: сутки через двое).
Для обеспечения контроля соблюдения политики безопасности и контроля за действиями администраторов КСЗ ИСПДН ОБЪЕКТА из состава сотрудников Заказчика быть назначены администраторы информационной безопасности (далее - АИБ), выполняющие следующие функции:
- контроль действий администраторов КСЗ ИСПДН ОБЪЕКТА в части:
а) соблюдения технологии эксплуатации ТС КСЗ ИСПДН ОБЪЕКТА;
б) обоснованности внесения изменений в конфигурационные настройки и параметры компонентов КСЗ ИСПДН ОБЪЕКТА;
- анализ и согласование изменений конфигурационных настроек и параметров компонентов КСЗ ИСПДН ОБЪЕКТА с точки зрения соответствия требованиям защиты информации и ресурсов защищаемых ИСПДн РОСНО;
- анализ журналов регистраций КСЗ ИСПДН ОБЪЕКТА с целью установления и предотвращения попыток НСД к информации и информационным ресурсам защищаемых ИСПДн;
- организация расследований инцидентов информационной безопасности, участие в проведении расследований;
- архивирование журналов аудита;
- фиксация результатов своей работы и подготовка регулярных отчетов.
АИБ не должен иметь полномочий по внесению изменений в конфигурационные настройки и параметры ТС КСЗ ИСПДН ОБЪЕКТА.
Администраторы информационной безопасности должны обладать следующей квалификацией:
- навыки настройки и администрирования используемых средств диагностики, регистрации, уничтожения, сигнализации и имитации, подтвержденные сертификатом об обучении в специализированном учебном центре;
- навыки настройки и администрирования используемых операционных систем и систем управления базами данных, подтвержденные сертификатом об обучении в специализированном учебном центре;
- навыки настройки и администрирования используемых антивирусных средств, подтвержденные сертификатом об обучении в специализированном учебном центре;
- навыки настройки и администрирования используемых МЭ, подтвержденные сертификатом об обучении в специализированном учебном центре;
- навыки настройки и администрирования используемых СОВ, подтвержденные сертификатом об обучении в специализированном учебном центре;
- навыки настройки и администрирования используемых САЗ, подтвержденные сертификатом об обучении в специализированном учебном центре.
Рекомендуется следующий состав администраторов информационной безопасности КСЗ ИСПДН ОБЪЕКТА:
- 2 администратора информационной безопасности (график работы: 5 дней в неделю в рабочее время).