Приложение. Политика информационной безопасности. Постановление Администрации муниципального образования городского округа "Сыктывкар" Республики Коми от 07.04.2016 N 4/905 "Об утверждении Политики информационной безопасности"

1. Общие положения

Настоящая Политика информационной безопасности (далее Политика) определяет основные принципы, направления и требования по защите информации, является основой для обеспечения режима информационной безопасности, служит руководством при разработке соответствующих Положений, Правил, Инструкций по информационной безопасности.

Правовой базой для разработки настоящей Политики служат требования действующих в Российской Федерации законодательных и нормативных документов, перечень которых приведен в Приложении N 1 к настоящему документу.

Обеспечение информационной безопасности - необходимое условие для успешного осуществления деятельности органов местного самоуправления (ОМСУ). Информационная безопасность является элементом общей политики ОГВ и ОМСУ в сфере обеспечения безопасности деятельности. Нарушения в данной области могут привести к серьезным последствиям, включая потерю государственных и муниципальных ресурсов.

Обеспечение информационной безопасности включает в себя любую деятельность, направленную на защиту информации и/или поддерживающей инфраструктуры. Политика охватывает все автоматизированные и телекоммуникационные системы, владельцем и пользователем которых является муниципальное образование городской округ "Сыктывкар" (МО ГО "Сыктывкар").

Неотъемлемой частью организации защиты информации является непрерывный контроль эффективности предпринимаемых мер, определение для сотрудников перечня недопустимых действий, возможных последствий и ответственности.

Реализация Политики должна исходить из предпосылки, что невозможно обеспечить требуемый уровень защищенности информации не только с помощью одного отдельного средства (мероприятия), но и с помощью их простой совокупности. Необходимо их системное согласование между собой (комплексное применение), а отдельные разрабатываемые элементы информационной системы должны рассматриваться как часть единой информационной системы в защищенном исполнении при оптимальном соотношении технических (аппаратных, программных) средств, персонала и организационных мероприятий.

Положения и требования Политики распространяются на все структурные подразделения администрации МО ГО "Сыктывкар, подведомственные учреждения и организации, в которых осуществляется обработка информации, содержащей:

- сведения, составляющие служебную тайну;

- сведения о персональных данных;

- сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией Российской Федерации и федеральными законами.

Кроме того, основные положения и требования Политики информационной безопасности распространяются на подразделения, осуществляющие сопровождение, обслуживание и обеспечение нормального функционирования Системы обеспечения электронного взаимодействия (далее - СОЭВ) между органами местного самоуправления МО ГО "Сыктывкар", отраслевыми (функциональными) и территориальными органами администрации МО ГО "Сыктывкар", подведомственными учреждениями, иными учреждениями и организациями (далее - Участники ЭВ). Основные положения Политики распространяются также на другие организации и учреждения, осуществляющие взаимодействие с СОЭВ в качестве поставщиков и потребителей (пользователей) информационных ресурсов СОЭВ.

Политика не регламентирует вопросы организации охраны помещений и обеспечения сохранности и физической целостности компонентов СОЭВ, защиты от стихийных бедствий, сбоев в системе энергоснабжения, а также меры по обеспечению личной безопасности служащих органа местного самоуправления и граждан.

Технические решения по созданию системы защиты информации подлежат техническому проектированию и в данной Политике не рассматриваются.

Документ является обязательным для исполнения во всех органах, учреждениях и организациях, процессы обработки информации которых вовлечены в СОЭВ.

Список основных использованных в настоящей Политике сокращений приведен в Приложении N 2. Перечень использованных терминов и определений - в Приложении N 3.

2. Объекты защиты СОЭВ

Основными объектами, с точки зрения информационной безопасности, в СОЭВ являются:

- информационные ресурсы, содержащие сведения ограниченного доступа и представленные в виде документов или записей в носителях на магнитной, оптической и другой основе, информационных физических полях, массивах и базах данных;

- процессы обработки информации в СОЭВ - информационные технологии, регламенты и процедуры сбора, обработки, хранения и передачи информации, научно-технический персонал разработчиков и пользователей системы и ее обслуживающий персонал;

- технологическое оборудование (средства вычислительной техники, сетевое и кабельное оборудование);

- программные средства (операционные системы, системы управления базами данных, другое общесистемное и прикладное программное обеспечение);

- автоматизированные системы связи и передачи данных (средства телекоммуникации);

- каналы связи, по которым передается информация (в том числе ограниченного распространения);

- служебные помещения, в которых циркулирует информация ограниченного распространения;

- технические средства (звукозаписи, звукоусиления, звуковоспроизведения, изготовления, тиражирования документов, переговорные и телевизионные устройства и другие технические средства обработки графической, смысловой и буквенно-цифровой информации), используемые для обработки информации;

- технические средства и системы, не обрабатывающие информацию (вспомогательные технические средства и системы - ВТСС), размещенные в помещениях, где обрабатывается (циркулирует) информация, содержащая сведения ограниченного распространения.

2.1. Субъекты информационных отношений

СОЭВ представляет собой информационное пространство, включающее информационные базы данных, в том числе содержащие сведения об используемых органами и организациями программных и технических средствах, обеспечивающих возможность доступа через систему взаимодействия к их информационным системам, сведения об истории движения в системе взаимодействия электронных сообщений при предоставлении муниципальных услуг, исполнении муниципальных функций в электронной форме, а также программные и технические средства, обеспечивающие взаимодействие информационных систем органов и организаций, используемых при предоставлении в электронной форме муниципальных услуг и исполнении муниципальных функций.

Таким образом, СОЭВ предназначена для решения следующих задач:

- обеспечение исполнения муниципальных функций в электронной форме;

- обеспечение предоставления муниципальных услуг в электронной форме, в том числе с использованием универсальной электронной карты и единого портала;

- обеспечение информационного взаимодействия в электронной форме при предоставлении муниципальных услуг и исполнении муниципальных функций.

При этом СОЭВ представлена совокупностью распределенных и локальных информационных систем, объединенных в единую информационную систему посредством электронного взаимодействия между Участниками ЭВ, т.е. представляет собой среду межведомственного взаимодействия на муниципальном уровне. Таким образом, субъектами информационных отношений при использовании СОЭВ и обеспечении информационной безопасности являются:

- органы государственной власти Республики Коми как собственники информационных ресурсов, используемых Участниками ЭВ;

- орган местного самоуправления;

- подведомственные учреждения органа местного самоуправления;

- должностные лица и сотрудники структурных подразделений органа местного самоуправления как пользователи и поставщики информации СОЭВ в соответствии с возложенными на них функциями;

- юридические и физические лица, сведения о которых накапливаются, хранятся и обрабатываются в СОЭВ;

- другие юридические и физические лица, задействованные в процессе создания и функционирования СОЭВ (разработчики компонентов СОЭВ, обслуживающий персонал, организации, привлекаемые для оказания услуг в области безопасности информационных технологий и др.).

При этом, в рамках исполнения своих законных интересов, перечисленные субъекты информационных отношений заинтересованы в обеспечении:

- конфиденциальности (сохранения в тайне) определенной части информации;

- достоверности (полноты, точности, адекватности, целостности) информации;

- защиты от навязывания им ложной (недостоверной, искаженной) информации (то есть от дезинформации);

- своевременного доступа (за приемлемое для них время) к необходимой им информации;

- разграничения ответственности за нарушения законных прав (интересов) других субъектов информационных отношений и установленных правил обращения с информацией;

- возможности осуществления непрерывного контроля и управления процессами обработки и передачи информации;

- защиты части информации от незаконного ее тиражирования (защиты авторских прав, прав собственника информации и т.п.).

2.2. Инфраструктурные единицы СОЭВ

В подсистемах СОЭВ циркулирует информация различных уровней конфиденциальности, содержащая сведения ограниченного распространения (служебная; персональные данные; сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией Российской Федерации и федеральными законами) и открытые сведения, в том числе:

- сведения, составляющие служебную тайну, доступ к которым ограничен собственником информации (органом местного самоуправления) в соответствии с предоставленными Федеральным законом от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" правами;

- любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация, доступ к которой ограничен в соответствии с Федеральным законом от 27 июля 2007 г. N 152-ФЗ "О персональных данных";

- сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Указом Президента Российской Федерации от 6 марта 1997 г. N 188 "Об утверждении Перечня сведений конфиденциального характера" и федеральными законами (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений и так далее).

В соответствии с Указом Президента Российской Федерации от 6 марта 1997 г. N 188 "Об утверждении Перечня сведений конфиденциального характера", такая информация является конфиденциальной (сведениями конфиденциального характера).

Также в целях реализации полномочий ОМСУ, подведомственных учреждений и организаций, обеспечения обмена информацией между ними, а также в иных установленных федеральными законами целях создаются (созданы) муниципальные информационные системы согласно Федеральному закону от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации". При этом информация, содержащаяся в муниципальных информационных системах, а также иные имеющиеся в распоряжении ОМСУ, подведомственных учреждений и организаций сведения и документы являются государственными информационными ресурсами.

Таким образом, в СОЭВ выделяются следующие в инфраструктурные единицы:

- информационные системы персональных данных (ИСПДн), определенные в соответствии с Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных";

- автоматизированные системы, обрабатывающие конфиденциальную информацию (АСК), определенные в соответствии с руководящим документом "Специальные требования и рекомендации по технической защите конфиденциальной информации", утвержденном приказом председателя Гостехкомиссии от 30 августа 2002 г. N 282;

- муниципальные информационные системы (МИС), определенные в соответствии с Федеральным законом от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации";

- иные информационные системы.

2.3. Средства обработки информации в СОЭВ

Выделяются следующие категории ИТ-инфраструктуры:

- рабочие места пользователей (ПК, периферийное оборудование);

- мультисервисные сети (корпоративная сеть, внешние каналы связи);

- прикладное ПО;

- инфраструктура центров обработки данных (системы хранения и резервирования, серверы).

Выделены следующие элементы систем обработки данных:

- сервер - контроллер домена;

- прокси-сервер;

- сервер электронной почты;

- веб-сервер;

- терминальный сервер;

- сервер баз данных;

- файловый сервер;

- серверы приложений;

- брандмауэры;

- серверы DHCP;

- серверы FTP.

Выделенные системы обработки данных (сервера) функционируют под управление Unix-подобных операционных систем и операционных систем семейства Windows.

Сервер - контроллер домена позволяет централизованно управлять сетевыми и файловыми ресурсами. Данный сервер имеет возможность масштабирования при росте количества пользователей локальной сети.

Прокси Сервер - шлюз в Интернет. В этой роли серверная машина обеспечивает общий доступ в Интернет всем (или определенным) АРМ, безопасную работу сотрудников в Интернете. В случае, если технологический процесс жестко связан с работой сотрудников во внешней сети, такой шлюз представляет собой не только отказоустойчивый, но и достаточно производительный сервер.

Сервер электронной почты представляет выделенный узел для обработки электронных почтовых сообщений, который позволяет централизованно управлять внешней корреспонденцией, внутренней перепиской и документооборотом. Серверные версии антивирусных программ и грамотно настроенные фильтры снижают риск потери или утечки конфиденциальной информации и уменьшают объемы нежелательной почты.

Веб-сервер представляет собой выделенный узел для веб-приложений, позволяющий обеспечить доступ большому количеству посетителей, гарантировать работу сложных, критически важных веб-приложений учреждений.

Терминальный сервер, позволяющий осуществлять работу удаленных, мобильных пользователей и сотрудников, работающих из дома или в командировке, с обеспечением привычного доступа к рабочим ресурсам посредством мультисервисной сети, сети Интернет или выделенных каналов связи. Шифрование передаваемых данных обеспечивает безопасность такого вида связи. Пользователь соединяется через канал связи с сервером, вводит свои учетные данные и попадает на свой виртуальный рабочий стол или к документам.

Сервер баз данных позволяет организовать обработку данных, организованных и структурированных согласно определенным правилам и хранимых совместно. Наиболее часто используемые средства управления данными являются Microsoft SQL Server, Oracle, Apache, MySQL. Как правило, параметры такого узла напрямую зависят от масштаба базы данных, количества пользователей, динамики и характера обращений к данным.

Файловый сервер предназначен для организации и структурированного хранения данных пользователей с учетом политик безопасности и доступа. Количество пользователей и объем хранимых данных являются определяющими моментами при определении состава такой системы.

Сервер приложений предоставляет интегрированную среду для развертывания и выполнения пользовательских серверных приложений. Эти приложения реагируют на запросы, поступающие по сети от удаленных клиентских компьютеров и управление ими. Эти приложения могут обслуживать запросы, принимаемые от удаленных клиентских систем, в том числе от веб-обозревателей, подключающихся из Интернета, корпоративной сети или интрасети, и удаленных компьютеров, которые могут отправлять запросы в виде сообщений.

Брандмауэр - это защитный экран от вредоносных воздействий из Интернета, стена в одну сторону пропускает исходящие данные, а в обратную (на прием) - уже анализирует, что именно поступает в сеть, определяя вредоносные данные, отсеивая их из общего потока входящей информации, что в настоящем времени является очень актуальной защитой от вирусов и атак из Интернета.

Серверы DHCP автоматически присваивают IP-адрес каждой запросившей его локальной машине. Основное преимущество сервера DHCP - свобода изменения конфигурации локальной сети при ее расширении, добавлении или удалении машин.

Серверы FTP работают на основе протокола File Transfer Protocol (FTP). FTP-серверы поддерживают работу простых файловых менеджеров - клиентов. Сложные FTP-серверы обеспечивают большие возможности управления в том, что касается прав на подключение и совместного использования файлов, типов разделяемых файлов и их размещения.

В качестве систем хранения данных используются дисковые массивы для хранения основных прикладных данных.

В качестве систем хранения данных могут быть использованы устройства NAS и DAS, в том числе встроенные диски серверов.

Они используются для системных целей и осуществляют функцию хранения данных, используя технологию избыточности RAID.

Телекоммуникационная инфраструктура муниципалитета характеризуется следующими особенностями:

- использование большого парка разнотипного унаследованного телекоммуникационного оборудования;

- отсутствие единой системы управления сетевым оборудованием;

- использование нескольких операторов связи и различных схем подключений.

Большинство рабочих мест пользователей представляют собой стационарные средства вычислительной техники, имеющие подключения к локальным вычислительным сетям общего пользования и международного обмена, функционирующих под управление операционных систем семейства Windows. Также присутствуют мобильные (переносные) АРМ, которые используются за пределами контролируемой зоны.

На рабочих местах пользователей установлено программное обеспечение, как отечественных производителей, так и зарубежных.

Физический доступ в служебные кабинеты Участников ЭВ имеют все сотрудники данных Участников ЭВ, а также уполномоченные сотрудники ИТ-подразделений и обслуживающих организаций.

3. Цели защиты СОЭВ

Основными целями, на достижение которых направлены все положения настоящей Политики, являются:

- обеспечение защиты конфиденциальной информации от хищения, утраты, утечки, уничтожения, искажения, подделки и блокирования доступа к ней за счет несанкционированного доступа (далее - НСД) и специальных воздействий;

- обеспечение защиты конфиденциальной информации от утечки по техническим каналам при ее обработке, хранении и передаче по каналам связи;

- обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну;

- обеспечение безопасности персональных данных при их обработке в информационных системах персональных данных Участников ЭВ, организующих и (или) осуществляющих обработку персональных данных;

- обеспечение защиты информации, содержащейся в государственных (муниципальных) информационных системах, а также иных имеющихся в распоряжении Участников ЭВ сведений и документов, являющихся государственными (муниципальными) информационными ресурсами.

4. Основные задачи системы безопасности СОЭВ

Для достижения основных целей защиты информации, система безопасности СОЭВ должна обеспечивать эффективное решение следующих задач:

- предотвращение перехвата защищаемой информации, передаваемой по каналам связи;

- предотвращение утечки обрабатываемой защищаемой информации за счет побочных электромагнитных излучений и наводок;

- исключение несанкционированного доступа к обрабатываемой или хранящейся в СОЭВ защищаемой информации;

- предотвращение несанкционированных и непреднамеренных воздействий, вызывающих разрушение, уничтожение, искажение защищаемой информации или сбои в работе средств СОЭВ;

- выявление возможно внедренных в технические средства СОЭВ специальных электронных устройств перехвата информации;

- организация разрешительной системы допуска пользователей СОЭВ к работе с защищаемой информацией и ее носителями;

- нейтрализация актуальных угроз безопасности информации, обрабатываемой в СОЭВ;

- осуществление контроля функционирования средств и систем защиты информации в СОЭВ.

5. Категории пользователей СОЭВ, режимы использования и уровни доступа к информации

Участники ЭВ имеют различные категории пользователей и обслуживающего персонала, которые имеют различные полномочия по доступу к информационным, программным и другим ресурсам СОЭВ:

- пользователи баз данных (конечные пользователи, сотрудники Участника ЭВ);

- ответственные за ведение баз данных (ввод, корректировка, удаление данных в БД;

- администраторы серверов и активного оборудования ЛВС;

- системные программисты (ответственные за сопровождение общего программного обеспечения) на серверах и рабочих станциях пользователей;

- разработчики прикладного программного обеспечения;

- специалисты по обслуживанию технических средств вычислительной техники;

- администраторы информационной безопасности (специальных средств защиты) и др.

6. Уязвимость основных компонентов СОЭВ

Уязвимости - это недостатки или слабые места в системном или прикладном программном (программно-аппаратном) обеспечении, которые могут быть использованы для реализации угрозы безопасности.

Уязвимости являются основной причиной возникновения информационных атак. Наличие самых слабых мест в СОЭВ может быть обусловлено самыми различными факторами, начиная с простой халатности сотрудников и заканчивая преднамеренными действиями злоумышленников.

Причинами уязвимостей являются:

- ошибки при проектировании и разработке программного (программно-аппаратного) обеспечения;

- преднамеренные действия по внесению уязвимостей в ходе проектирования и разработки программного (программно-аппаратного) обеспечения;

- неправильные настройки программного обеспечения, неправомерное изменение режимов работы устройств и программ;

- наличие недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении;

- несанкционированное внедрение и использование неучтенных программ с последующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти на внешних носителях);

- внедрение вредоносных программ, создающих уязвимости в программном и программно-аппаратном обеспечении;

- несанкционированные неумышленные действия пользователей, приводящие к возникновению уязвимостей;

- сбои в работе аппаратного и программного обеспечения (вызванные сбоями в электропитании, выходом из строя аппаратных элементов в результате старения и снижения надежности, внешними воздействиями электромагнитных полей технических устройств и др.).

Состав и содержание угроз безопасности персональных данных (ПДн) определяется совокупностью условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к ПДн. Характеристика способов реализации угроз дается при описании угроз доступа (проникновения) в операционную среду компьютера, угроз отказа в обслуживании и угроз программно-математического воздействия (ПМВ).

7. Основные нарушители, актуальные для СОЭВ

7.1. Классификация нарушителей

СОЭВ является совокупностью распределенных и локальных информационных систем, объединенных в корпоративную сеть передачи данных МО ГО "Сыктывкар" (далее - КСПД), посредством арендованных каналов связи. В связи с вышеизложенным, рассматриваются следующие категории нарушителей:

По наличию права постоянного или разового доступа к компонентам СОЭВ нарушители подразделяются на два типа:

- внешние нарушители - нарушители, не имеющие доступа к компонентам СОЭВ, реализующие угрозы из внешних сетей связи общего пользования и сетей международного информационного обмена;

- внутренние нарушители - нарушители, имеющие доступ к компонентам СОЭВ, включая пользователей СОЭВ, реализующих угрозы непосредственно в инфраструктуре СОЭВ.

Возможности внутренних и внешних нарушителей существенным образом зависят от действующих организационно-технических мер защиты, в том числе по допуску физических лиц к информации и контролю проведения работ подрядчиков (интеграторов, разработчиков программного обеспечения (ПО), поставщиков технических средств) в учреждении.

В СОЭВ выделяют различные категории нарушителей, описание которых представлено в таблице N 1.

Таблица N 1 - Категории нарушителей информационной безопасности

Тип	Категория ФСБ	Категория ФСТЭК	Способ доступа и полномочий доступа
внешний	Н1	N0	Не имеют санкционированного доступа к СОЭВ и к информации ограниченного доступа.
внутренние	Н2	N1, N8	Имеющие санкционированный доступ к СОЭВ, но не имеющие доступа к информации ограниченного доступа. Разработчики и лица, обеспечивающие поставку, сопровождение и ремонт технических средств СОЭВ.
внутренние	H3	N2, N3	Зарегистрированные пользователи СОЭВ, осуществляющие ограниченный доступ к ресурсам СОЭВ с рабочего места. Зарегистрированные пользователи СОЭВ, осуществляющие удаленный доступ к информации ограниченного доступа по распределенным информационным системам.
внутренние	H4	N4, N5, N6	Зарегистрированные пользователи СОЭВ с полномочиями администратора безопасности сегмента безопасности ИСПДн. Зарегистрированные пользователи с полномочиями системного администратора СОЭВ.
внутренние	H5	N7	Программисты-разработчики (поставщики) прикладного программного обеспечения и лица, обеспечивающие его сопровождение на защищаемом объекте.
внутренние	H6		Спецслужбы и представители специальных органов (контролирующих, правоохранительных, надзорных и т.п.), имеющих возможность применять специальные средства и способы атак, а также специализирующихся в области анализа средств криптографической защиты информации (СКЗИ) и сред функционирования комплекса (СФК).

Описанные ниже предположения об имеющихся нарушителях в СОЭВ являются теоретическими и должны уточняться и корректироваться при подробном обследовании СОЭВ и создании частной модели угроз.

7.2. Внутренний нарушитель

Предполагается, что лица категории N 1(Н2) могут иметь доступ к фрагментам информации, содержащей информацию ограниченного доступа и распространяющейся по внутренним каналам связи СОЭВ, располагать фрагментами информации о топологии СОЭВ (КСПД) и об используемых коммуникационных протоколах и их сервисах, располагать именами и вести выявление паролей зарегистрированных пользователей, изменять конфигурацию технических средств СОЭВ, вносить в нее программно-аппаратные закладки и обеспечивать съем информации, используя непосредственное подключение к техническим средствам СОЭВ.

Лица категории N 2(Н3) обладают всеми возможностями лиц категории N 1(Н2), знают, по меньшей мере, одно легальное имя доступа, обладают всеми необходимыми атрибутами (например, паролем), обеспечивающими доступ к информации ограниченного доступа, располагают конфиденциальными данными, к которым имеют доступ.

Лица категории N 3(Н3) могут обладать всеми возможностями категорий N 1(Н2) и N 2(Н3), располагать информацией о топологии СОЭВ на базе распределенной информационной системы, через которую осуществляется доступ, и о составе технических средств СОЭВ, а также иметь возможность прямого (физического) доступа к фрагментам технических средств СОЭВ.

На лиц категорий N 4(Н4), N 5(Н4) и N 6(Н4) возложены задачи по администрированию программно-аппаратных средств и баз данных СОЭВ для интеграции и обеспечения взаимодействия различных подсистем, входящих в состав СОЭВ. Администраторы потенциально могут реализовывать угрозы информационной безопасности (ИБ), используя возможности по непосредственному доступу к защищаемой информации, обрабатываемой и хранимой в СОЭВ, а также к техническим и программным средствам СОЭВ, включая средства защиты, используемые конкретными Участниками ЭВ, в соответствии с установленными для них административными полномочиями. Эти лица хорошо знакомы с основными алгоритмами, протоколами, реализуемыми и используемыми в конкретных подсистемах и СОЭВ в целом, а также с применяемыми принципами и концепциями безопасности. Предполагается, что они могли бы использовать стандартное оборудование либо для идентификации уязвимостей, либо для реализации угроз ИБ. Данное оборудование может быть, как частью штатных средств, так и может относиться к легко получаемому (например, программное обеспечение, полученное из общедоступных внешних источников). Кроме того, предполагается, что эти лица могли бы располагать специализированным оборудованием для внедрения устройств негласного съема информации.

К лицам категорий N 4(Н4), N 5(Н4) и N 6(Н4) ввиду их исключительной роли в СОЭВ применяется комплекс особых организационных мер по их подбору, принятию на работу, назначению на должность и контролю выполнения функциональных обязанностей.

Предполагается, что в число лиц категорий N 4(Н4), N 5(Н4) и N 6(Н4) включаются только доверенные лица, и поэтому указанные лица исключаются из числа вероятных нарушителей.

Лица категории N 7(Н5) могут обладать информацией об алгоритмах и программах обработки информации в СОЭВ, возможностями внесения ошибок, недекларированных возможностей, программных закладок, вредоносных программ в программное обеспечение СОЭВ на стадии ее разработки, внедрения и сопровождения, может располагать любыми фрагментами информации о топологии СОЭВ и технических средствах обработки и защиты информации ограниченного доступа, обрабатываемой в СОЭВ. Техническое обслуживание и поставка прикладного программного обеспечения производится исключительно доверенными организациями, поэтому лица категории N 7(Н5) исключаются из числа вероятных нарушителей.

Нарушителей категории H6 можно исключить из числа потенциальных нарушителей, так как у данной категории есть полномочия на получение такой информации законным путем.

Из вышеизложенного предполагается, что лица категорий N 1(Н2), N 2(Н3), N 3(Н3) и N 8(Н2) относятся к вероятным нарушителям.

Предполагается, что возможность сговора внутренних нарушителей маловероятна ввиду принятых организационных и контролирующих мер.

7.3. Внешний нарушитель

В качестве внешнего нарушителя информационной безопасности (категория N 0(Н1)) рассматривается нарушитель, который не имеет непосредственного доступа к техническим средствам и ресурсам системы, находящимся в пределах контролируемой зоны.

К внешним нарушителям могут относиться:

а) разведывательные службы государств;

б) криминальные структуры;

в) конкуренты (конкурирующие организации);

г) недобросовестные партнеры;

д) бывшие сотрудники - администраторы или пользователи СОЭВ;

е) посторонние лица, пытающиеся получить доступ к информации ограниченного доступа в инициативном порядке.

Лица (категории д) хорошо знакомы с основными алгоритмами, протоколами, реализуемыми и используемыми в конкретных подсистемах и СОЭВ в целом, а также с применяемыми принципами и основами информационной безопасности. Предполагается, что они могли бы использовать стандартное оборудование либо для идентификации уязвимостей, либо для реализации угроз ИБ. Данное оборудование может быть, как частью штатных средств, так и может относиться к легко получаемому (например, программное обеспечение, полученное из общедоступных внешних источников).

Предполагается, что лица категории N 0(Н1) относятся к вероятным нарушителям.

7.4. Предположения об имеющихся у нарушителя средствах реализации угроз

Предполагается, что нарушитель имеет:

- аппаратные компоненты СОЭВ;

- доступные в свободной продаже технические средства и программное обеспечение;

- специально разработанные технические средства и программное обеспечение.

Внутренний нарушитель может использовать штатные средства.

Состав имеющихся у нарушителя средств, которые он может использовать для реализации угроз ИБ, а также возможности по их применению зависят от многих факторов, включая реализованные в СОЭВ конкретные организационные меры, финансовые возможности и компетенцию нарушителей. Поэтому объективно оценить состав имеющихся у нарушителя средств реализации угроз в общем случае практически невозможно.

Поэтому, для определения актуальных угроз и создания системы информационной безопасности СОЭВ предполагается, что вероятный нарушитель имеет все необходимые для реализации угроз средства, доступные в свободной продаже, возможности которых не превосходят возможности аналогичных средств реализации угроз на информацию, содержащую сведения, не составляющие государственную тайну, и технические и программные средства, обрабатывающие эту информацию.

Вместе с тем предполагается, что нарушитель имеет:

- средства перехвата в технических каналах утечки;

- средства воздействия через сигнальные цепи (информационные и управляющие интерфейсы СВТ);

- средства активного воздействия на технические средства (средства облучения).

8. Основные угрозы в СОЭВ

В соответствии с Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных" органы местного самоуправления в пределах своих полномочий принимают нормативные правовые акты, в которых определяют угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности, с учетом содержания персональных данных, характера и способов их обработки. Актуальные угрозы безопасности информации включаются в модель угроз безопасности информации, которая должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание актуальных угроз безопасности информации, включающее описание возможностей нарушителей, возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации.

Согласно Приказу ФСТЭК России N 21 "Об утверждении требований состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" от 18 февраля 2013 года оценка достаточности выбранных и реализованных в системе защиты персональных данных организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах для нейтрализации актуальных угроз безопасности персональных данных осуществляется оператором (уполномоченным лицом) в ходе проводимого им контроля за выполнением требований к защите персональных данных при обработке в информационных системах персональных данных, установленных Постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных".

В соответствии с "Базовой моделью угроз безопасности персональных данных при их обработке в информационных системах персональных данных", утвержденной заместителем директора ФСТЭК России от 15 февраля 2008 года рассмотрению подлежат следующие угрозы безопасности персональных данных:

- угрозы утечки по техническим каналам;

- угрозы несанкционированного доступа.

Угрозы утечки по техническим каналам включают в себя:

- угрозы утечки акустической информации;

- угрозы утечки видовой информации;

- угрозы утечки по каналу ПЭМИН.

Возникновение угроз утечки акустической (речевой) информации, содержащейся непосредственно в произносимой речи пользователей информационных систем персональных данных, при обработке персональных данных, возможно при наличии функций голосового ввода ПДн или функций воспроизведения ПДн акустическими средствами.

На основе данных обследования центральной зоны СОЭВ в ИСПДн, входящих в СОЭВ, функции голосового ввода ПДн или функции воспроизведения ПДн акустическими средствами отсутствуют, следовательно, угрозы утечки акустической информации не подлежат рассмотрению.

В соответствии с руководящим документом "Специальные требования и рекомендации по технической защите конфиденциальной информации", утвержденном приказом председателя Гостехкомиссии от 30 августа 2002 г. N 282 для обработки информации, содержащей сведения, составляющие служебную тайну, или персональные данные, следует использовать средства вычислительной техники, удовлетворяющие требованиям стандартов Российской Федерации по электромагнитной совместимости, безопасности, санитарным нормам, предъявляемым к видеодисплейным терминалам, ПЭВМ. Тем самым, согласно

"Сборнику временных методик оценки защищённости конфиденциальной информации от утечки по техническим каналам", утвержденному первым заместителем Председателя Гостехкомиссии России от 8 ноября 2001 г., для оценки защищенности основных технических средств и систем (ОТСС), предназначенных для обработки, хранения и (или) передачи по линиям связи конфиденциальной информации, в том числе ПДн, от утечки за счет побочных электромагнитных излучений необходимо производить тестовые измерения (расчеты) для определения возможных расстояний распространения информативных сигналов от ОТСС и установления требуемого радиуса контролируемой зоны. При проведении данных измерений определяют направления на точки возможного перехвата ПЭМИ ОТСС, из которых выбирают направление, соответствующее минимальному расстоянию до границы контролируемой зоны объекта информатизации. Затем в выбранном направлении измеряют напряженность магнитной и электрической составляющих электромагнитного поля, создаваемых информативным сигналом на частотах спектральных составляющих и на выявленных частотах измеряют уровни помех. После проведения данных расчетов определяют защищенность ОТСС от утечки конфиденциальной информации по каналу ПЭМИ, в ходе которого может быть установлено, что угрозы утечки информации по техническим каналам неактуальны, поскольку рассчитанный требуемый радиус контролируемой зоны меньше минимального расстояния от ОТСС до границы контролируемой зоны. Данные измерения необходимо производить на этапе реализации системы защиты информации СОЭВ.

Согласно Частной модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных, входящих в СОЭВ средства обработки информации в СОЭВ могут быть подвержены различным угрозам безопасности. Ниже приведен полный перечень возможных угроз безопасности персональных данных в СОЭВ, согласно Частной модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных, входящих в СОЭВ, разработанной на основании "Базовой модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных", утвержденная заместителем директора ФСТЭК России от 15 февраля 2008 г.

Угрозы утечки по техническим каналам:

- угрозы утечки видовой информации;

- угрозы утечки информации по каналам побочных электромагнитных излучений и наводок.

Угрозы несанкционированного доступа к информации в информационной системе персональных данных:

- угрозы доступа (проникновения) в операционную среду компьютера с использованием штатного программного обеспечения (средств операционной системы или прикладных программ общего применения):

- угрозы, реализуемые в ходе загрузки операционной системы;

- угрозы, реализуемые после загрузки операционной системы.

- угрозы создания нештатных режимов работы программных (программно-аппаратных) средств за счет преднамеренных изменений служебных данных, игнорирования предусмотренных в штатных условиях ограничений на состав и характеристики обрабатываемой информации, искажения (модификации) самих данных и т.п.:

- угроза "Анализа сетевого трафика" с перехватом передаваемой по сети информации;

- угроза сканирования, направленная на выявление открытых портов и служб, открытых соединений и др.;

- угроза получения НСД путем подмены доверенного объекта;

- угроза типа "Отказ в обслуживании";

- угроза выявления паролей;

- угроза удаленного запуска приложений;

- угроза навязывания ложного маршрута путем несанкционированного изменения маршрутно-адресных данных;

- угроза внедрения ложного объекта сети;

- угрозы внедрения вредоносных программ (программно-математического воздействия):

- угроза внедрения вредоносных программ (подмена ПО на программы с НДВ, внедрение ПО с вредоносным кодом, ассоциирование штатного ПО с вредоносным ПО, вирусное заражение);

- угроза внедрения по сети вредоносных программ.

Более детально угрозы рассмотрены Частной моделью угроз безопасности персональных данных при их обработке в информационных системах персональных данных, входящих в Систему обеспечения электронного взаимодействия.

При этом некоторые угрозы безопасности персональных данных при их обработке в ИСПДн, входящих в СОЭВ, могут быть исключены по решению заказчика (оператора) ввиду отсутствия предпосылок для реализации данной угрозы, например вызванных малой результативностью, трудоемкостью или высокой ценой для реализации данной угрозы.

9. Основные последствия реализации угроз в СОЭВ

Наиболее опасными (значимыми) способами нанесения ущерба субъектам информационных отношений информационной безопасности СОЭВ являются:

- нарушение конфиденциальности (разглашение, утечка) сведений;

- нарушение работоспособности (дезорганизация работы) СОЭВ, блокирование информации, нарушение технологических процессов, срыв своевременного решения задач;

- нарушение целостности (искажение, подмена, уничтожение) информационных, программных и других ресурсов СОЭВ, а также фальсификация (подделка) документов.

- нарушение конфиденциальности может быть осуществлено в случае утечки информации:

- копирования ее на отчуждаемые носители информации;

- передачи ее по каналам передачи данных;

- при просмотре или копировании ее в ходе ремонта, модификации и утилизации программно-аппаратных средств;

- при "сборке мусора" нарушителем в процессе эксплуатации информационных систем.

Нарушение целостности информации осуществляется за счет воздействия (модификации) на программы и данные пользователя, а также технологическую (системную) информацию, включающую:

- микропрограммы, данные и драйвера устройств вычислительной системы;

- программы, данные и драйвера устройств, обеспечивающих загрузку операционной системы;

- программы и данные (дескрипторы, описатели, структуры, таблицы и т.д.) операционной системы;

- программы и данные прикладного программного обеспечения; программы и данные специального программного обеспечения; промежуточные (оперативные) значения программ и данных в процессе их обработки (чтения/записи, приема/передачи) средствами и устройствами вычислительной техники.

Нарушение целостности информации в ИСПДн может также быть вызвано внедрением в нее вредоносной программы, программно-аппаратной закладки или воздействием на систему защиты информации или ее элементы. Кроме этого, в ИСПДн возможно воздействие на технологическую сетевую информацию, которая может обеспечивать функционирование различных средств управления вычислительной сетью:

- конфигурацией сети;

- маршрутизацией передачи данных в сети;

- функциональным контролем сети;

- безопасностью информации в сети.

Нарушение доступности информации обеспечивается путем формирования (модификации) исходных данных, которые при обработке вызывают неправильное функционирование, отказы аппаратуры или захват (загрузку) вычислительных ресурсов системы, которые необходимы для выполнения программ и работы аппаратуры.

Указанные действия могут привести к нарушению или отказу функционирования практически любых технических средств ИСПДн:

- средств обработки информации;

- средств ввода/вывода информации;

- средств хранения информации;

- аппаратуры и каналов передачи.

10. Основные положения в области обеспечения информационной безопасности СОЭВ

В информационных системах Участников ЭВ, входящих в состав СОЭВ, обрабатывается информация ограниченного доступа, в том числе ПДн, которые подлежат обязательной защите согласно законодательству Российской Федерации. Учитывая дальнейшие перспективы развития системы обеспечения электронного взаимодействия, переход на предоставление государственных и муниципальных услуг в электронном виде возможен только тогда, когда республиканские и муниципальные информационные системы будут интегрированы в единое информационное и технологическое пространство в соответствии с Концепцией информатизации Республики Коми, утвержденной распоряжением Правительства Республики Коми N 361-р от 16 августа 2010 г. Таким образом, требования законодательства по обеспечению защиты информации должны быть соблюдены во всех системах ОГВ и органов местного самоуправления Республики Коми.

В соответствии с Федеральным законом от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" информация, содержащаяся в государственных (муниципальных) информационных системах, а также иные имеющиеся в распоряжении государственных органов (органов местного самоуправления) сведения и документы являются государственными информационными ресурсами. В соответствии с руководящим документом "Специальные требования и рекомендации по технической защите конфиденциальной информации", утвержденные приказом председателя Гостехкомиссии от 30 августа 2002 г. N 282 информационные ресурсы, являющиеся собственностью государства, находятся в ведении органов государственной власти и организаций в соответствии с их компетенцией и подлежат учету и защите.

Согласно Федеральному закону от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации", требования к государственным информационным системам распространяются на муниципальные информационные системы, если иное не предусмотрено законодательством Российской Федерации о местном самоуправлении.

Муниципальные органы обязаны обеспечить достоверность и актуальность информации, содержащейся в муниципальных информационных системах, доступ к указанной информации в случаях и в порядке, предусмотренных законодательством, а также защиту указанной информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения и иных неправомерных действий. Таким образом, при защите информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, содержащейся в муниципальных информационных системах необходимо руководствоваться требованиями к обеспечению защиты, изложенными в Приказе ФСТЭК России N 21 "Об утверждении требований состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" от 18 февраля 2013 года.

Согласно требованиям настоящей Политики субъекты информационных отношений заинтересованы в обеспечении конфиденциальности, целостности и доступности информации, поскольку нарушение хоть одного из свойств безопасности информации может привести к существенным негативным последствиям в социальной, политической, экономической, финансовой или иной областях деятельности, т.е. возможна высокая степень ущерба для субъектов информационных отношений. Таким образом, согласно Приказу ФСТЭК России N 17 "Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" от 11 февраля 2013 года уровень значимости информации, обрабатываемой в СОЭВ, определяется как высокий. Также, СОЭВ представлена совокупностью распределенных и локальных информационных систем и представляет собой среду межведомственного взаимодействия на муниципальном уровне. Тогда в соответствии с Приказом ФСТЭК России N 17 "Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" от 11 февраля 2013 года СОЭВ имеет объектовый масштаб, поскольку она функционирует на объектах муниципального образования и (или) организации и не имеет сегментов в территориальных органах, представительствах, филиалах, подведомственных и иных организациях.

Обобщая вышеизложенное, при формировании требований к защите информации в государственных информационных системах, согласно Приказу ФСТЭК России N 17 "Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" от 11 февраля 2013 года, необходимо руководствоваться требованиями по обеспечению 1-ого класса защищенности для всех государственных информационных систем, входящих в СОЭВ.

Муниципальные органы обязаны обеспечить достоверность и актуальность информации, содержащейся в муниципальных информационных системах, доступ к указанной информации в случаях и в порядке, предусмотренных законодательством, а также защиту указанной информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

В соответствии с Приказом ФСТЭК России N 17 "Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" от 11 февраля 2013 года технические средства, предназначенные для обработки информации, содержащейся в государственных (муниципальных) информационных системах, в том числе программно-технические средства и средства защиты информации, должны соответствовать требованиям законодательства Российской Федерации о техническом регулировании. Согласно Федеральному закону от 27 декабря 2002 года N 184-ФЗ "О техническом регулировании", до вступления в силу соответствующих технических регламентов требования к продукции или к продукции и связанным с требованиями к продукции процессам проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, установленные нормативными правовыми актами Российской Федерации и нормативными документами федеральных органов исполнительной власти, подлежат обязательному исполнению в части защиты жизни или здоровья граждан, имущества физических или юридических лиц, государственного или муниципального имущества, в том числе информационная инфраструктура, обеспечивающая взаимодействие государства с гражданами и юридическими лицами. При этом под инфраструктурой понимаются информационные ресурсы и информационные системы органов исполнительной власти, органов местного самоуправления, информационные сервисы, программно-технологические решения и пользовательские приложения, автоматизированные и телекоммуникационные системы, методы организации и управления, система защиты информации, служащие и персонал, а также средства доступа граждан и юридических лиц к информационным ресурсам и ИС.

Таким образом, согласно Федеральному закону от 27 декабря 2002 года N 184-ФЗ "О техническом регулировании" требования, определенные государственными стандартами, являются обязательными на всех жизненных циклах создания информационно-телекоммуникационных систем и устанавливаются требованиями и положениями стандартов класса 34 "Информационная технология. Комплекс стандартов на автоматизированные системы". А поскольку, в силу вышеизложенного, государственные органы обязаны обеспечить также защиту информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения и иных неправомерных действий, необходимо руководствоваться требованиями и положениями, предъявленными ГОСТ Р 51583-2000 "Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Общие положения".

В соответствии с Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных" оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий. При этом Правительство Российской Федерации устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных. Таким образом, для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных в СОЭВ необходимо руководствоваться требованиями Постановления Правительства Российской Федерации от 1 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных".

Согласно положениям Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных", состав и содержание необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности, организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных устанавливаются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. Поэтому для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных необходимо руководствоваться мерами по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, определенными Приказом ФСТЭК России N 21 "Об утверждении требований состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" от 18 февраля 2013 года.

Информационная система предоставления муниципальных услуг в электронном виде предполагает оказание муниципальных услуг всем гражданам, проживающим на территории МО ГО "Сыктывкар", поэтому в информационных системах СОЭВ будут одновременно обрабатываться персональные данные более чем 100000 субъектов ПДн. При этом в информационных системах, входящих в состав СОЭВ, обрабатываются, в том числе, специальные категории персональных данных, т.е. обрабатываются персональные данные, касающиеся национальной принадлежности, состояния здоровья субъектов персональных данных, в соответствии с п. 9 настоящей Политики для СОЭВ, актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе. Таким образом, учитывая вышесказанное и на основании Постановления Правительства Российской Федерации от 1 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных", для защиты ПДн в информационных системах, входящих в состав СОЭВ, необходимо применять требования для обеспечения 1-го уровня защищенности персональных данных при их обработке в информационных системах персональных данных.

Также, согласно Приказу ФСТЭК России N 17 "Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" от 11 февраля 2013 года, при обработке персональных данных в государственной (муниципальной) информационной системе информации для обеспечения 1-ого уровня защищенности персональных данных, установленного в соответствии с Постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных", государственной информационной системе не может быть присвоен класс защищенности ниже чем К1.

Вместе с тем, в большинстве информационных систем, входящих в СОЭВ, помимо ПДн, ведется обработка иной информации, в том числе:

- сведения, составляющие служебную тайну, доступ к которым ограничен собственником информации (органом местного самоуправления) в соответствии с Федеральным законом от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации";

- сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией Российской Федерации и федеральными законами (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений и так далее).

В соответствии с Указом Президента Российской Федерации от 6 марта 1997 г. N 188 "Об утверждении Перечня сведений конфиденциального характера", такая информация является конфиденциальной (сведениями конфиденциального характера). Соответственно, для защиты такой информации необходимо руководствоваться руководящими документами Российской Федерации в части защиты конфиденциальной информации.

Обработка информации в информационных системах, входящих в СОЭВ, в основном ведется в многопользовательском режиме с разграничением прав доступа пользователей к информации. Более того, информационные системы, входящие в СОЭВ, имеют подключения к сетям общего пользования и международного обмена. Таким образом, в соответствии с Руководящим документом "Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации", утвержденный решением председателя Государственной технической комиссии при Президенте Российской Федерации от 30 марта 1992 года, для таких автоматизированных систем необходимо руководствоваться требованиями по защите информации в соответствии с классом защищенности 1Г.

В связи с описанными выше тезисами, для защиты информации в СОЭВ необходимо одновременно руководствоваться требованиями, методами и способами защиты информации для класса защищенности 1Г, требованиями для обеспечения 1-го уровня защищенности персональных данных при их обработке в информационных системах и требованиями по обеспечению 1-ого класса защищенности для государственных (муниципальных) информационных систем, входящих в СОЭВ.

11. Меры по обеспечению информационной безопасности

В соответствии с Федеральным законом от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:

- обеспечение защиты информации от неправомерного доступа: уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;

- соблюдение конфиденциальности информации ограниченного доступа;

- реализацию права на доступ к информации.

В соответствии с руководящим документом "Специальные требования и рекомендации по технической защите конфиденциальной информации", утвержденном приказом председателя Гостехкомиссии от 30 августа 2002 г. N 282, защита информации на объекте информатизации достигается выполнением комплекса организационных мероприятий и применением средств защиты информации от утечки по техническим каналам, несанкционированного доступа, программно-технических воздействий с целью нарушения целостности (модификация, уничтожение) и доступности информации в процессе ее обработки, передачи и хранения, а также работоспособности технических средств.

В соответствии с Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных" оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

Тем самым комплекс мероприятий по обеспечению защиты информации должен состоять из правовых, организационных и технических мер защиты информации.

11.1. Правовые меры защиты информации

К правовым мерам защиты относятся действующие в Российской Федерации законы, указы и нормативные акты, регламентирующие правила обращения с информацией, закрепляющие права и обязанности участников информационных отношений в процессе ее обработки и использования, а также устанавливающие ответственность за нарушения этих правил, препятствуя тем самым неправомерному использованию информации и являющиеся сдерживающим фактором для потенциальных нарушителей. Правовые меры защиты носят в основном упреждающий, профилактический характер и требуют постоянной разъяснительной работы с пользователями и обслуживающим персоналом системы.

11.2. Организационные меры защиты информации

Организационные (административные) меры защиты - это меры организационного характера, регламентирующие процессы функционирования системы обработки данных, использование ее ресурсов, деятельность обслуживающего персонала, а также порядок взаимодействия пользователей с системой таким образом, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности или снизить размер потерь в случае их реализации.

11.3. Технические меры защиты информации

Технические меры защиты информации предполагают использование программных, программно-аппаратных средств защиты информации. При обработке информации с использованием средств автоматизации применение технических мер защиты является обязательным условием.

12. Требования, меры и способы защиты информации в СОЭВ

12.1. Требования, меры и способы защиты персональных данных в СОЭВ

На основании пункта 11 настоящей Политики, а также в соответствии с Приказом ФСТЭК России N 21 "Об утверждении требований состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" от 18 февраля 2013 года, Типовыми требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну, в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденными руководством 8 Центра ФСБ России 21 февраля 2008 года N 149/6/6-622, на основании требований для обеспечения 1-го уровня защищенности персональных данных в ИСПДн, входящих в СОЭВ, выделяются подсистемы защиты с функциями, описанными ниже.

12.1.1. Подсистема обеспечения доверенной загрузки

Подсистема обеспечения доверенной загрузки предназначена для исключения несанкционированного использования средств вычислительной техники и получения возможности доступа к информации в обход системы защиты информации информационной системы.

12.1.2. Подсистема идентификации и аутентификации субъектов доступа и объектов доступа

Подсистема идентификации и аутентификации субъектов доступа и объектов доступа предназначена для обеспечения присвоения субъектам доступа и объектам доступа уникального признака (идентификатора), сравнения предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов, а также проверки принадлежности субъекту доступа предъявленного им идентификатора (подтверждения подлинности).

Данная подсистема должна включать в себя следующие функции:

- идентификация и аутентификация пользователей, процессов, иных субъектов доступа;

- идентификация и аутентификация устройств (в том числе стационарных, мобильных и портативных), объектов файловой системы, запускаемых и исполняемых модулей, объектов систем управления базами данных, объектов, создаваемых прикладным программным обеспечением, иных объектов доступа;

- управление идентификаторами;

- управление средствами аутентификации;

- защита обратной связи при вводе аутентификационной информации;

- идентификация и аутентификация внешних пользователей.

12.1.3. Подсистема управление доступом субъектов доступа к объектам доступа

Подсистема управления доступом субъектов доступа к объектам доступа предназначена для обеспечения управления правами и привилегиями субъектов доступа, разграничения доступа субъектов доступа к объектам доступа на основе совокупности установленных в информационной системе правил разграничения доступа, а также обеспечения контроля соблюдения этих правил.

Данная подсистема должна включать в себя следующие функции:

- управление учетными записями пользователей;

- управление предоставлением доступа субъектов доступа к объектам доступа (реализацию различных методов, типов и правил разграничения доступа), в том числе при совместном использовании информации несколькими субъектами доступа;

- управление информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами;

- разделение обязанностей различных категорий пользователей и администраторов информационной системы;

- назначение минимальных прав и привилегий субъектам доступа;

- управление неуспешными попытками входа в информационную систему (доступа к информационной системе);

- оповещение пользователя о доступе к информационной системе, в которой реализованы меры защиты информации, при его входе в информационную систему;

- ограничение числа параллельных сеансов доступа для каждой учетной записи пользователя информационной системы;

- блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу;

- установление действий пользователей, разрешенных до идентификации и аутентификации;

- управление удаленным доступом субъектов доступа к объектам доступа через внешние информационно-телекоммуникационные сети;

- ограничение и контроль использования в информационной системе технологий беспроводного доступа;

- ограничение и контроль использования в информационной системе мобильных технических средств (устройств, машинных носителей информации);

- управление взаимодействием с информационными системами сторонних организаций (внешние информационные системы).

12.1.4. Подсистема ограничения программной среды

Подсистема ограничения программной среды предназначена для исключения установки (инсталляции) не используемого в обработке информации или запрещенного к использованию программного обеспечения (в том числе средств разработки и отладки программ), а также их загрузки (запуск) после установки.

Данная подсистема должна включать в себя следующие функции:

- управление запуском (обращениями) компонентов программного обеспечения;

- управление установкой (инсталляцией) компонентов программного обеспечения;

- запрет установки (инсталляции) запрещенного к использованию программного обеспечения и (или) его компонентов, в том числе средств разработки и отладки.

12.1.5. Подсистема защиты машинных носителей информации

Подсистема защиты машинных носителей информации предназначена для исключения несанкционированного доступа к носителям и хранящейся на них информации, а также несанкционированного использования съемных машинных носителей информации.

Данная подсистема должна включать в себя следующие функции:

- маркировка и учет машинных носителей информации;

- управление доступом к машинным носителям информации;

- контроль использования интерфейсов ввода (вывода);

- уничтожение (стирание) информации на машинных носителях;

- контроль уничтожения (стирания) информации на машинных носителях.

12.1.6. Подсистема регистрации событий безопасности

Подсистема регистрации событий безопасности предназначена для обеспечения распознавания, записи, хранения и защиты информации о событиях в информационной системе, относящихся к безопасности информации, а также возможности просмотра и анализа информации о таких событиях и реагирования на них.

Данная подсистема должна включать в себя следующие функции:

- определение событий, относящихся к безопасности персональных данных, и подлежащих регистрации;

- определение состава и содержания информации о событиях, относящихся к безопасности персональных данных, и подлежащих регистрации;

- резервирование необходимого объема памяти для записи информации о событиях, относящихся к безопасности персональных данных;

- запись (регистрация) информации о событиях, относящихся к безопасности персональных данных;

- реагирование на сбои при регистрации событий, относящихся к безопасности персональных данных, в том числе аппаратные и программные ошибки, сбои в механизмах сбора информации и достижение предела или переполнения емкости памяти;

- просмотр и анализ результатов регистрации событий, относящихся к безопасности персональных данных, и реагирование на них;

- сокращение объема информации о событиях, относящихся к безопасности персональных данных, предоставляемой для просмотра и анализа;

- генерирование временных меток и синхронизация системного времени в информационной системе;

- защита информации о событиях, относящихся к безопасности персональных данных;

- обеспечение необходимого времени хранения информации о событиях, относящихся к безопасности персональных данных.

12.1.7. Подсистема обеспечения целостности информационной системы и информации

Подсистема обеспечения целостности информационной системы и информации предназначена для обеспечения обнаружения фактов нарушения целостности информационной системы и информации, возможности восстановления информационной системы и информации, а также антивирусной защиты, обнаружения вторжений в информационную систему и реагирования на них.

Данная подсистема должна включать в себя следующие функции:

- выявление, анализ и устранение уязвимостей и иных недостатков в программном обеспечении;

- контроль установки обновлений программного обеспечения;

- антивирусная защита;

- обнаружение вторжений;

- контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации;

- контроль целостности информации и программного обеспечения;

- контроль состава технических средств обработки информации и программного обеспечения;

- обеспечение возможности восстановления информации и программного обеспечения;

- обнаружение и реагирование на факты передачи в информационную систему информации (сообщений), не относящиеся к функционированию информационной системы (незапрашиваемых сообщений);

- ограничение прав пользователей по вводу информации в информационную систему.

12.1.8. Подсистема защиты среды виртуализации

Подсистема защиты среды виртуализации предназначена для исключения несанкционированного доступа к объектам защиты виртуальной инфраструктуры и (или) воздействия на них, в том числе к средствам управления виртуальной инфраструктурой, гипервизору, системе хранения данных (включая систему хранения образов виртуальной инфраструктуры), сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевым операционным системам, виртуальным машинам (контейнерам), системе и сети репликации, терминальным и виртуальным устройствам, а также системе резервного копирования и создаваемым ею копиям.

Данная подсистема должна включать в себя следующие функции:

- аутентификация компонентов виртуальной инфраструктуры, администраторов управления средствами виртуализации, терминальных устройств виртуальной инфраструктуры;

- управление доступом к компонентам виртуальной инфраструктуры;

- управление потоками информации между компонентами виртуальной инфраструктуры, а также по периметру виртуальной инфраструктуры;

- разграничение доступа к данным, обрабатываемым в виртуальных машинах (контейнерах), и (или) изоляцию виртуальных машин (контейнеров);

- управление перемещением виртуальных машин (контейнеров) и обрабатываемых на них данных;

- регистрация событий в виртуальной инфраструктуре, относящихся к безопасности персональных данных;

- контроль целостности конфигураций компонентов виртуальной инфраструктуры и самих компонентов;

- резервное копирование данных, резервирование технических средств и (или) программного обеспечения виртуальной инфраструктуры, а также каналов связи виртуальной инфраструктуры;

- распределенное хранение данных и восстановление информации после сбоев;

- реализация и управление антивирусной защитой и обнаружение вторжений, направленных на виртуальную инфраструктуру.

12.1.9. Подсистема защиты технических средств

Подсистема защиты технических средств предназначена для обеспечения ограничения доступа к техническим средствам обработки информации, средствам обеспечения функционирования информационной системы и в помещения, в которых они постоянно расположены, защиты технических средств от внешних воздействий, а также защиты информации, представленной в виде информативных электрических сигналов и физических полей.

Данная подсистема должна включать в себя следующие функции:

- защита информации от ее утечки по техническим каналам;

- защита от несанкционированного физического доступа к средствам обработки информации, средствам защиты информации и средствам обеспечения функционирования информационной системы.

12.1.10. Подсистема защиты информационной системы, ее средств и систем связи и передачи данных

Подсистема защиты информационной системы, ее средств и систем связи и передачи данных предназначена для обеспечения защиты информации при взаимодействии сегментов информационной системы, информационной системы с иными информационными системами и информационно-телекоммуникационными сетями.

Данная подсистема должна включать в себя следующие функции:

- отделение (физическое, логическое) функциональных возможностей по управлению (администрированию) информационной системы и (или) ее сегментов, устройств от функциональных возможностей пользователей по использованию информационной системы;

- изоляция (физическая, логическая) функций информационной системы, связанных с обеспечением защиты информации (функций безопасности), от иных функций информационной системы, не связанных с обеспечением безопасности персональных данных;

- исключение доступа текущего субъекта доступа к информации, полученной в результате действий предыдущего субъекта доступа, через общие ресурсы информационной системы (реестры, оперативную память, внешние запоминающие устройства и иные ресурсы);

- защита информационной системы от действий нарушителей, приводящих к затруднению или невозможности доступа пользователей к ресурсам этой информационной системы (защита от отказа в обслуживании);

- предотвращение задержки или прерывания выполнения процессов с высоким приоритетом со стороны процессов с низким приоритетом;

- обеспечение защиты периметра информационной системы и периметров ее сегментов при взаимодействии информационной системы с иными информационными системами и информационно-телекоммуникационными сетями, а также при взаимодействии сегментов информационной системы, включая контроль потоков информации и управление потоками информации;

- обеспечение защиты персональных данных от раскрытия, модификации и навязывания (ввода ложной информации) при их передаче (подготовке к передаче) по каналам связи, имеющим выход за пределы контролируемой зоны;

- прекращение сетевых соединений по их завершению или по истечении заданного оператором временного интервала неактивности сетевого соединения;

- обеспечение целостности и доступности общедоступных персональных данных и программного обеспечения, предназначенного для их обработки (доступа к ним);

- запрет несанкционированной удаленной активации, включая физическое отключение, периферийных устройств (видеокамер, микрофонов и иных устройств, которые могут активироваться удаленно) и оповещение пользователей об активации таких устройств;

- контроль использования и исключение несанкционированного использования технологий мобильного кода, регистрация событий, связанных с использованием технологии мобильного кода, их анализ и реагирование на нарушения, связанные с использованием технологии мобильного кода;

- контроль использования и исключение несанкционированного использования технологий передачи речи, регистрация событий, связанных с использованием технологий передачи речи, их анализ и реагирование на нарушения, связанные с использованием технологий передачи речи;

- контроль (подтверждение происхождения) источника информации, получаемой в процессе определения сетевых адресов по сетевым именам или определения сетевых имен по сетевым адресам, обеспечение ее доступности и целостности;

- обеспечение подлинности сетевых соединений (сеансов взаимодействия), в том числе для защиты от подмены сетевых устройств и сервисов;

- перевод (обеспечение возврата) информационной системы или ее устройств (компонентов) в заранее определенное состояние, обеспечивающее защиту персональных данных в случае возникновении отказов (сбоев) в системе защиты информации информационной системы;

- обеспечение защиты информации (данных), которая не подлежит изменению в процессе функционирования информационной системы (архивные файлы, параметры настройки средств защиты информации и программного обеспечения и иная информация пользователей и информационной системы);

- разбиение информационной системы на сегменты с учетом значимости обрабатываемой в них персональных данных и обеспечение защиты периметров сегментов информационной системы (сегментирование информационной системы);

- защита внутренних и внешних беспроводных соединений, применяемых в информационной системе.

12.1.11. Подсистема антивирусной защиты

Согласно Требованиям к средствам антивирусной защиты, утвержденным приказом ФСТЭК России от 20 марта 2012 года N 28 в информационных системах персональных данных 1 класса, а также в информационных системах общего пользования 2 класса, в которых обрабатывается информация ограниченного доступа, не содержащая сведения, составляющие государственную тайну, должны применяться средства антивирусной защиты, соответствующие 4 классу защиты.

В соответствии с методическим документом ФСТЭК России "Профиль защиты средств антивирусной защиты типа "А" четвертого класса защиты" и ГОСТ Р ИСО/МЭК 15408 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий" средства антивирусной защиты (САВЗ), предназначенные для централизованного администрирования САВЗ, установленные на компонентах информационных систем (серверах, автоматизированных рабочих местах), должны обеспечивать следующие функции безопасности:

- возможность отображения сигнала тревоги на автоматизированное рабочее место (АРМ) администратора безопасности, указывающего на обнаружение вредоносных компьютерных программ (КВ) на пользовательских автоматизированных рабочих местах;

- возможность получения и установки обновлений баз данных признаков вредоносных компьютерных программ (БД ПКВ) без применения средств автоматизации и в автоматизированном режиме с сетевого ресурса;

- возможность администраторам безопасности управлять режимом выполнения функций безопасности САВЗ (обработка зараженных объектов на АРМ и серверах вычислительной сети;

- выполнение автоматизированного запуска САВЗ на АРМ и серверах вычислительной сети с заданными условиями поиска КВ и режимами реагирования по расписанию;

- выполнение удаленного администрирования процессов обнаружения КВ, обновления БД ПКВ и компонентов САВЗ;

- возможность уполномоченным пользователям (ролям) управлять параметрами настройки функций безопасности САВЗ;

- поддержку определенных ролей для САВЗ и их ассоциации с конкретными администраторами безопасности;

- возможность генерировать записи аудита для событий, потенциально подвергаемых аудиту;

- возможность читать информацию из записей аудита;

- возможность ассоциации событий аудита с идентификаторами субъектов;

- ограничение доступа к чтению записей аудита;

- поиск, сортировку, упорядочение данных аудита.

Средства антивирусной защиты типа "А" не применяются в информационных системах самостоятельно и предназначены для использования только совместно со средствами антивирусной защиты типов "Б" и (или) "В".

В соответствии с методическим документом ФСТЭК России "Профиль защиты средств антивирусной защиты типа "Б" четвертого класса защиты" и ГОСТ Р ИСО/МЭК 15408 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий" средства антивирусной защиты, предназначенные для применения на серверах информационных систем должны обеспечивать следующие функции безопасности:

- выполнение проверки с целью обнаружения зараженных КВ объектов;

- выполнение проверок с целью обнаружения зараженных КВ объектов в режиме реального времени в файлах, полученных по каналам передачи данных;

- выполнение проверки с целью обнаружения зараженных КВ объектов по команде; в режиме динамического обнаружения в процессе выполнения операций доступа к объектам; путем запуска с необходимыми параметрами функционирования своего кода внешней программой;

- выполнение проверки с целью обнаружения зараженных КВ объектов сигнатурными методами;

- удаление (если удаление технически возможно) кода вредоносных компьютерных программ (вирусов) из зараженных объектов;

- получение и установка обновлений БД ПКВ без применения средств автоматизации;

- генерация записи аудита для событий, подвергаемых аудиту;

- чтение информации из записей аудита;

- ассоциация событий аудита с идентификаторами субъектов;

- ограничение доступа к чтению записей аудита;

- поиск, сортировка, упорядочение данных аудита;

- возможность уполномоченным пользователям (ролям) управлять режимом выполнения функций безопасности САВЗ;

- возможность уполномоченным пользователям (ролям) управлять параметрами настройки функций безопасности САВЗ;

- поддержка определенных ролей для САВЗ и их ассоциации с конкретными администраторами безопасности и администраторами серверов.

В соответствии с методическим документом ФСТЭК России "Профиль защиты средств антивирусной защиты типа "В" четвертого класса защиты" и ГОСТ Р ИСО/МЭК 15408 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий" средства антивирусной защиты, предназначенные для применения на автоматизированных рабочих местах информационных систем, должны обеспечивать следующие функции безопасности:

- выполнение проверки с целью обнаружения зараженных КВ объектов в файловых областях носителей информации;

- выполнение проверки с целью обнаружения зараженных КВ объектов по команде;

- выполнение проверки с целью обнаружения зараженных КВ объектов сигнатурными методами;

- получение и установка обновлений БД ПКВ без применения средств автоматизации;

- генерация записи аудита для событий, подвергаемых аудиту;

- чтение информации из записей аудита;

- ассоциация событий аудита с идентификаторами субъектов;

- ограничение доступа к чтению записей аудита;

- поиск, сортировка, упорядочение данных аудита;

- возможность уполномоченным пользователям (ролям) управлять режимом выполнения функций безопасности САВЗ;

- возможность уполномоченным пользователям (ролям) управлять параметрами настройки функций безопасности САВЗ;

- поддержка определенных ролей для САВЗ и их ассоциации с конкретными администраторами безопасности и пользователями ИС.

В соответствии с методическим документом ФСТЭК России "Профиль защиты средств антивирусной защиты типа "Г" четвертого класса защиты" и ГОСТ Р ИСО/МЭК 15408 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий" средства антивирусной защиты, предназначенные для применения на автономных автоматизированных рабочих местах, должны обеспечивать следующие функции безопасности:

- выполнение проверки с целью обнаружения зараженных КВ объектов в файловых областях носителей информации;

- выполнение проверки с целью обнаружения зараженных КВ объектов сигнатурными методами;

- удаление (если удаление технически возможно) кода КВ из файлов и системных областей носителей информации;

- получение и установка обновлений БД ПКВ без применения средств автоматизации;

- генерация записи аудита для событий, подвергаемых аудиту;

- чтение информации из записей аудита;

- ассоциация событий аудита с идентификаторами субъектов;

- ограничение доступа к чтению записей аудита;

- поиск, сортировка, упорядочение данных аудита;

- возможность уполномоченным пользователям (ролям) управлять режимом выполнения функций безопасности САВЗ;

- возможность уполномоченным пользователям (ролям) управлять параметрами настройки функций безопасности САВЗ;

- поддержка определенных ролей для САВЗ и их ассоциации с конкретными администраторами безопасности и пользователями ИС.

Для обеспечения безопасности ПДн и программно-аппаратной среды ИСПДн, осуществляющей обработку этой информации, рекомендуется применять специальные средства антивирусной защиты, выполняющие:

- обнаружение и (или) блокирование деструктивных вирусных воздействий на общесистемное и прикладное программное обеспечение, реализующее обработку ПДн, а также на ПДн;

- обнаружение и удаление неизвестных вирусов;

- обеспечение самоконтроля (предотвращение инфицирования) данного антивирусного средства при его запуске.

12.1.12. Подсистема обнаружения вторжений

Согласно Требованиям к системам обнаружения вторжений, утвержденным приказом ФСТЭК России N 638 от 6 декабря 2011 года, в информационных системах персональных данных 1 класса, а также в информационных системах общего пользования II класса, в которых обрабатывается информация ограниченного доступа, не содержащая сведения, составляющие государственную тайну, должны применяться системы обнаружения, соответствующие 4 классу защиты.

В соответствии с методическим документом ФСТЭК России "Профиль защиты систем обнаружения вторжений уровня сети четвертого класса защиты", утвержденный директором ФСТЭК России 3 февраля 2012 года и ГОСТ Р ИСО/МЭК 15408 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий" системы обнаружения вторжений уровня сети, предназначенные для использования в информационных системах, функционирующих на базе вычислительных сетей, должны обеспечивать следующие функциональные требования безопасности:

- возможность сбора информации о сетевом трафике;

- возможность выполнения анализа собранных данных системы обнаружения вторжений (СОВ) о сетевом трафике в режиме, близком к реальному масштабу времени, и по результатам анализа фиксировать информацию о дате и времени, результате анализа, идентификаторе источника данных, протоколе, используемом для проведения вторжения;

- возможность выполнения анализа собранных данных с целью обнаружения вторжений с использованием сигнатурного и эвристических методов;

- возможность выполнения анализа собранных данных с целью обнаружения вторжений с использованием эвристических методов, основанных на методах выявления аномалий сетевого трафика на заданном уровне эвристического анализа;

- возможность обнаружения вторжений на основе анализа служебной информации протоколов сетевого уровня базовой эталонной модели взаимосвязи открытых систем;

- возможность фиксации факта обнаружения вторжений или нарушений безопасности в журналах аудита;

- уведомление администратора СОВ об обнаруженных вторжениях по отношению к контролируемым узлам ИС и нарушениях безопасности с помощью отображения соответствующего сообщения на консоли управления;

- возможность автоматизированного обновления базы решающих правил;

- возможность тестирования (самотестирования) функций безопасности СОВ;

- возможность со стороны уполномоченных администраторов (ролей) управлять режимом выполнения функций безопасности СОВ;

- возможность со стороны уполномоченных администраторов (ролей) управлять данными СОВ;

- поддержка определенных ролей для СОВ и их ассоциации с конкретными администраторами СОВ и пользователями ИС;

- возможность администрирования СОВ;

- возможность генерации записей аудита для событий, потенциально подвергаемых аудиту;

- возможность ассоциации каждого события аудита с идентификатором субъекта, его инициировавшего;

- возможность предоставлять возможность читать информацию из записей аудита;

- ограничение доступа к чтению записей аудита;

- поиск, сортировка, упорядочение данных аудита.

В соответствии с методическим документом ФСТЭК России "Профиль защиты систем обнаружения вторжений уровня узла четвертого класса защиты", утвержденный ФСТЭК России 3 февраля 2012 года и ГОСТ Р ИСО/МЭК 15408 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий" системы обнаружения вторжений уровня узла, предназначенные для использования в информационных системах, функционирующих на базе вычислительных сетей, должны обеспечивать следующие функциональные требования безопасности:

- возможность собирать информацию о сетевом трафике, проходящем через контролируемые узлы ИС, о событиях, регистрируемых в журналах аудита операционной системы (ОС), прикладного ПО; о вызове функций, об обращении к ресурсам;

- возможность выполнять анализ собранных данных СОВ о сетевом трафике в режиме, близком к реальному масштабу времени, и по результатам анализа фиксировать информацию о дате и времени, результате анализа, идентификаторе источника данных, протоколе, используемом для проведения вторжения;

- возможность обнаруживать вторжения по отношению к контролируемым узлам ИС в режиме, близком к реальному масштабу времени, на уровне отдельных узлов;

- возможность выполнять анализ собранных данных с целью обнаружения компьютерных вторжений с использованием сигнатурного и эвристических методов;

- возможность выполнять анализ собранных данных с целью обнаружения вторжений с использованием эвристических методов, основанных на методах выявления аномалий сетевого трафика и аномалий в действиях пользователя ИС, на заданном уровне эвристического анализа;

- возможность фиксации факта обнаружения вторжений или нарушений безопасности в журналах аудита; уведомить администратора СОВ об обнаруженных вторжениях и нарушениях безопасности с помощью отображения соответствующего сообщения на консоли управления;

- возможность обнаружения вторжений на основе анализа служебной информации протоколов сетевого уровня базовой эталонной модели взаимосвязи открытых систем;

- возможность автоматизированного обновления базы решающих правил;

- наличие интерфейса администрирования;

- возможность уполномоченным администраторам (ролям) управлять режимом выполнения функций безопасности СОВ;

- возможность уполномоченным администраторам (ролям) управлять данными (данными СОВ), используемыми функциями безопасности СОВ;

- поддержка определенных ролей для СОВ и их ассоциация с конкретными администраторами СОВ и пользователями ИС;

- возможность управления данными функций безопасности СОВ (данными СОВ) в части установления и контроля ограничений на эти данные;

- возможность тестирования (самотестирования) функций безопасности СОВ;

- возможность генерации записей аудита для событий, потенциально подвергаемых аудиту;

- возможность предоставлять возможность читать информацию из записей аудита;

- ассоциация каждого события аудита с идентификатором субъекта, его инициировавшего;

- ограничение доступа к чтению записей аудита;

- поиск, сортировка, упорядочение данных аудита.

12.1.13. Подсистема криптографической защиты

Подсистема криптографической защиты предназначена для исключения НСД к защищаемой информации, при ее передаче по каналам связи сетей общего пользования и (или) международного обмена. Помимо вышеназванной задачи данная подсистема позволяет обеспечивать безопасное взаимодействие с технологическими сетями и доступ для осуществления удаленного администрирования.

Данная подсистема должна включать в себя следующие функции:

- обеспечение целостности передаваемой по каналам связи и хранимой информации;

- имитозащита сообщений, передаваемых по каналам связи (имитозащита - защита системы шифрованной связи от навязывания ложных данных);

- скрытие смыслового содержания конфиденциальных сообщений, передаваемых по каналам связи и хранимых на носителях;

- обеспечение аутентификации источника данных;

- организация поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним, носителей персональных данных;

- организация учета лиц, допущенных к работе с СКЗИ, предназначенных для обеспечения безопасности ПДн;

- контроль за соблюдением использования СКЗИ, предусмотренных в нормативно-правовых актах в части использования СКЗИ, эксплуатационной и технической документацией к ним.

12.2. Требования, меры и способы защиты информации в государственных (муниципальных) информационных системах

На основании Приказа ФСТЭК России N 17 "Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" от 11 февраля 2013 года, для 1 класса защищенности государственных информационных систем выделяются подсистемы защиты информации с функциями, описанными ниже.

12.2.1. Подсистема обеспечения доверительной загрузки

Подсистема обеспечения доверительной загрузки предназначена для исключения несанкционированного использования средств вычислительной техники и получения возможности доступа к информации в обход системы защиты информации информационной системы.

Данная подсистема должна включать в себя следующую функцию:

- блокировка доступа к ресурсам средств вычислительной техники.

12.2.2. Подсистема идентификации и аутентификации субъектов доступа и объектов доступа

Подсистема идентификации и аутентификации субъектов доступа и объектов доступа предназначена для обеспечения присвоения субъектам доступа и объектам доступа уникального признака (идентификатора), сравнения предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов, а также проверки принадлежности субъекту доступа предъявленного им идентификатора (подтверждения подлинности).

Данная подсистема должна включать в себя следующие функции:

- идентификация и аутентификация пользователей, процессов, иных субъектов доступа;

- идентификация и аутентификация устройств (в том числе стационарных, мобильных и портативных), объектов файловой системы, запускаемых и исполняемых модулей, объектов систем управления базами данных, объектов, создаваемых прикладным программным обеспечением, иных объектов доступа;

- управление идентификаторами;

- управление средствами аутентификации;

- защита обратной связи при вводе аутентификационной информации;

- идентификация и аутентификация внешних пользователей.

12.2.3. Подсистема управление доступом субъектов доступа к объектам доступа