Откройте актуальную версию документа прямо сейчас
Если вы являетесь пользователем интернет-версии системы ГАРАНТ, вы можете открыть этот документ прямо сейчас или запросить по Горячей линии в системе.
Приложение N 1
к Порядку организации процессов
жизненного цикла программных средств
информационных систем и информационных
технологий Федеральной службы
по надзору в сфере транспорта
Типовые требования
по безопасности информации, предъявляемые к программным средствам информационных систем и информационных технологий Ространснадзора
1. В техническое задание (ТЗ) на создание (модернизацию) программных средств информационных систем и информационных технологий Ространснадзора (далее - ПС) требования по безопасности информации включаются в виде самостоятельного раздела, содержащего следующие подразделы:
общие требования по безопасности информации;
требования по управлению доступом и разграничению полномочий пользователей;
требования по регистрации и учету работы пользователей;
требования по обеспечению целостности ПС;
требования по интеграции ПС с сертифицированными средствами защиты информации, эксплуатируемыми в Ространснадзоре;
требования по сертификации ПС;
требования по организации доступа ПС к внешним информационным ресурсам;
требования по организации взаимодействия ПС с другими ресурсами Ространснадзора;
требования к резервному копированию информации.
Если в ТЗ какие-либо требования по безопасности информации к ПС не предъявлялись, то в сопроводительной документации на ПС в соответствующих подразделах необходимо отражать, что эти требования не предъявлялись и в ПС не реализованы.
2. Общие требования по безопасности информации конкретизируются с учетом предметной области и специфики применения ПС. В данный подраздел включаются следующие сведения:
перечень обрабатываемой информации, защищаемых ресурсов и уровень их конфиденциальности;
характеристики обрабатываемых персональных данных;
перечень категорий должностных лиц Ространснадзора, для автоматизации деятельности которых предназначено создаваемое (модернизируемое) ПС;
профили и полномочия ролевого доступа пользователей (матрица доступа);
предложения по классам защищенности и классам информационных систем персональных данных;
организация защиты идентификационной информации (паролей, параметров доступа с использованием логинов и паролей, технологические идентификаторы для связи с иными системами) информации в ПС (при ее наличии в системе).
3. Требования по управлению доступом и разграничению полномочий пользователей включают реализацию следующих функций: идентификации и аутентификации пользователя; контроля доступа к модулям (функциям) ПС; идентификации рабочих станций, серверов и другого сетевого оборудования по IP, МАС-адресам. Для ПС должен быть приведен полный перечень ролей доступа пользователей ПС с развернутым списком предоставляемых прав (матрица доступа).
Идентификация и аутентификация пользователя должна осуществляться при запуске основного (основных) исполняемого модуля ПС. Пользователю не должны быть доступны функции ПС, пока он успешно не пройдет проверку подлинности. Идентификация и аутентификация пользователя осуществляется с использованием персонального средства идентификации и аутентификации, или идентификатора пользователя и средства защиты информации (СЗИ) от несанкционированных действий (НСД), установленного на рабочей станции пользователя. При отсутствии персонального средства идентификации и аутентификации, СЗИ от НСД идентификация и аутентификация пользователя должны осуществляться с использованием идентификатора пользователя и пароля условно-постоянного действия длиной не менее шести буквенно-цифровых символов.
Функция контроля доступа к модулям (функциям) ПС предназначена для разграничения полномочий пользователей к функциональным возможностям ПС. Контроль доступа должен быть реализован на основе ролевой модели разграничения доступа. В ПС должны быть предусмотрены роли, которые определяются функциональным составом ПС. Каждой системной роли может соответствовать законченный программный модуль, в котором реализована определенная совокупность функций. Набор и содержание ролей должны быть определены при техническом проектировании разработчиком и не могут быть изменены администратором системы. Роли назначаются администратором ПС конкретным пользователям в зависимости от их функциональных обязанностей.
4. Требования по регистрации и учету работы пользователей включают:
регистрацию пользователя и администратора в системе;
регистрацию действий пользователя и администратора в системе с момента старта основного исполняемого файла до момента завершения работы.
К параметрам, подлежащим регистрации, относятся: дата и время, идентификатор пользователя (администратора) ПС, идентификатор пользователя (администратора) операционной системы (ОС), IP-адрес рабочей станции пользователя, код и описание типа события, объекты события (функциональная операция, имя распечатываемого файла и т.д.).
Перечень регистрируемых событий конкретизируется разработчиком на этапе технического проектирования и приводится в техническом проекте. Параметры регистрации или типа событий не могут быть изменены администратором или пользователем ПС.
Регистрация параметров и событий должна осуществляться в специальном журнале. Для предотвращения несанкционированного доступа к журналу с целью модификации должно использоваться средство криптографической защиты информации. Данные журнала не могут модифицироваться администратором или пользователем и хранятся не менее 1 года, после чего выгружаются в специальный архивный файл. Правила хранения архивного файла устанавливаются организационно-распорядительным документом Ространснадзора.
В журнале должна быть предусмотрена фильтрация и сортировка по любому из полей журнала и по их совокупности, а также возможность задания граничных значений для параметров даты и времени.
5. Требования по обеспечению целостности включают проверку целостности модулей ПС и других служебных файлов ПС (журналы, файлы конфигурации и т.д.) по контрольным суммам при запуске ПС.
6. Требования по сертификации ПС включают:
обязательную сертификацию ПС по уровню контроля отсутствия недекларированных возможностей по четвертому уровню контроля в соответствии с руководящим документом Гостехкомиссии России "Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей";
обязательную сертификацию ПС, обрабатывающих персональные данные, на соответствие требованиям Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных";
проведение тематических исследований ПС на корректность встраивания СКЗИ (при наличии).
7. Для создаваемых (модернизируемых) ПС должна быть предусмотрена возможность создания резервных копий как самого ПС, так и специализированных баз данных, необходимых для работы ПС. В сопроводительной документации ПС необходимо подробно описывать процедуры резервного копирования и восстановления ПС из резервных копий с указанием сторонних программных средств, установка которых необходима для корректного функционирования ПС. Резервное копирование должно давать возможность администратору ПС восстановить работоспособность системы даже в случае полной переустановки ОС без критических потерь информации.
Если вы являетесь пользователем интернет-версии системы ГАРАНТ, вы можете открыть этот документ прямо сейчас или запросить по Горячей линии в системе.