Приложение N 1. Типовые требования по безопасности информации, предъявляемые к информационно-программным средствам

Приложение N 1
к Положению по организации
процессов жизненного цикла
информационно-программных
средств в таможенных органах

Типовые требования
по безопасности информации, предъявляемые к информационно-программным средствам

1. В техническое задание (далее - ТЗ) на создание (модернизацию) информационно-программных средств (далее - ИПС) требования по безопасности информации включаются в виде самостоятельного раздела, содержащего следующие подразделы:

1) общие требования по безопасности информации;

Информация об изменениях:

Приказом ФТС России от 8 июля 2016 г. N 1356 в подпункт 2 внесены изменения

См. текст подпункта в предыдущей редакции

2) требования по управлению доступом и разграничению полномочий должностных лиц, работников таможенных органов, использующих ИПС в своей деятельности (далее - пользователи ИПС);

3) требования по регистрации и учету работы пользователей ИПС;

4) требования по обеспечению целостности ИПС;

5) требования по интеграции с Доменной структурой единой службы каталогов (далее - ДС ЕСК) Единой автоматизированной информационной системы таможенных органов (далее - ЕАИС ТО);

6) требования по интеграции ИПС с сертифицированными средствами защиты информации, эксплуатируемыми в таможенных органах;

7) требования по сертификации ИПС;

8) требования по организации доступа ИПС к внешним информационным ресурсам;

9) требования по организации взаимодействия ИПС с ресурсами центральной базы данных (далее - ЦБД) ЕАИС ТО;

10) требования к резервному копированию информации.

Если в ТЗ какие-либо требования по безопасности информации к ИПС не предъявлялись, то в документации на ИПС в соответствующих подразделах необходимо отражать, что эти требования не предъявлялись и в ИПС не реализованы.

2. Общие требования по безопасности информации конкретизируются с учетом предметной области и специфики применения ИПС. В данный подраздел включаются следующие сведения:

1) перечень обрабатываемой информации, защищаемых ресурсов и уровень их конфиденциальности;

2) характеристики обрабатываемых персональных данных;

3) перечень категорий пользователей ИПС;

4) профили и полномочия ролевого доступа пользователей ИПС (матрица доступа);

5) предложения по классам защищенности и классам информационных систем персональных данных;

6) организация защиты идентификационной информации (паролей, параметров доступа с использованием логинов и паролей, технологических идентификаторов для связи с иными системами) в ИПС (при ее наличии).

3. Требования по управлению доступом и разграничению полномочий пользователей ИПС включают реализацию следующих функций: идентификации и аутентификации пользователя ИПС; контроля доступа к модулям (функциям) ИПС; идентификации рабочих станций, серверов и другого сетевого оборудования по IP, МАС-адресам и именам в ДС ЕСК ЕАИС ТО.

Для ИПС должен быть приведен полный перечень ролей доступа пользователей ИПС с развернутым списком предоставляемых прав (матрица доступа).

Идентификация и аутентификация пользователя ИПС должна осуществляться при запуске основного (основных) исполняемого модуля ИПС. Пользователю не должны быть доступны функции ИПС, пока он успешно не пройдет проверку подлинности. Идентификация и аутентификация пользователя осуществляется с использованием персонального средства идентификации и аутентификации или идентификатора пользователя и средства защиты информации (далее - СЗИ) от несанкционированных действий (далее - НСД), установленного на рабочей станции пользователя. При отсутствии персонального средства идентификации и аутентификации, СЗИ от НСД идентификация и аутентификация пользователя должны осуществляться с использованием идентификатора пользователя и пароля условно-постоянного действия длиной не менее шести буквенно-цифровых символов.

Функция контроля доступа к функциям ИПС предназначена для разграничения полномочий пользователей ИПС. Контроль доступа должен быть реализован на основе ролевой модели разграничения доступа. В ИПС должны быть предусмотрены роли, которые определяются исходя из функций ИПС. Каждой системной роли может соответствовать законченный программный модуль, в котором реализована определенная совокупность функций. Набор и содержание ролей должны быть определены на этапе проектирования ИПС Исполнителем и не могут быть изменены администратором ИПС. Роли назначаются конкретным пользователям ИПС в зависимости от их функциональных обязанностей администратором ИПС.

4. Требования по регистрации и учету работы пользователей ИПС включают:

1) регистрацию пользователя и администратора в системе;

2) регистрацию действий с момента старта основного исполняемого файла до момента завершения работы.

К параметрам, подлежащим регистрации, относятся: дата и время, идентификатор пользователя (администратора) ИПС, идентификатор пользователя (администратора) операционной системы (далее - ОС), IP-адрес и наименование рабочей станции пользователя ИПС, код и описание типа события, объекты события.

Перечень регистрируемых событий конкретизируется Исполнителем на этапе проектирования ИПС и отражается в документации на ИПС. Параметры регистрации или типа событий не могут быть изменены администратором или пользователем ИПС.

Регистрация параметров и событий должна осуществляться в специальном журнале. Для предотвращения несанкционированного доступа к журналу в целях модификации должно использоваться средство криптографической защиты информации (далее - СКЗИ), сертифицированное в соответствии с порядком, установленным законодательством Российской Федерации об информации, информационных технологиях и защите информации. Данные журнала не могут модифицироваться администратором или пользователем ИПС и хранятся не менее одного года, после чего выгружаются в специальный архивный файл, правила хранения которого устанавливаются организационно-распорядительным документом таможенного органа.

В журнале должна быть предусмотрена фильтрация и сортировка по любому из полей журнала и по их совокупности, а также возможность задания граничных значений для параметров даты и времени.

5. Требования по обеспечению целостности включают проверку целостности модулей ИПС и служебных файлов по контрольным суммам при запуске ИПС.

6. Требования по интеграции с ДС ЕСК ЕАИС ТО включают:

1) интеграцию с ДС ЕСК ЕАИС ТО компонентов, размещаемых на серверах и рабочих станциях пользователей ИПС в Ведомственной интегрированной телекоммуникационной сети (далее - ВИТС) ФТС России;

2) обеспечение работы клиентских модулей ИПС под учетной записью "пользователь" с учетом всех ограничений, накладываемых утвержденными политиками ДС ЕСК ЕАИС ТО;

3) обеспечение возможностей удаленной установки обновлений клиентских модулей ИПС (версии ИПС) администратором ДС ЕСК ЕАИС ТО (если выполнение настоящего пункта невозможно, то необходимо отразить это в документации на ИПС с указанием причин).

7. Требования по интеграции ИПС с сертифицированными средствами защиты информации, эксплуатируемыми в таможенных органах, включают:

1) интеграцию с персональными средствами идентификации и аутентификации пользователей, идентификацию пользователей в ИПС с использованием персональных средств идентификации и аутентификации должностных лиц таможенных органов;

2) интеграцию со СКЗИ;

3) интеграцию с системой ведомственных удостоверяющих центров таможенных органов (далее - СВУЦТО) в целях использования усиленных квалифицированных ключей проверки электронной подписи и сервисов доверенного времени СВУЦТО;

8. Требования по сертификации ИПС включают:

1) обязательную сертификацию ИПС по уровню контроля отсутствия недекларированных возможностей по четвертому уровню контроля в соответствии с руководящим документом Гостехкомиссии России "Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей", утвержденным председателем Государственной технической комиссии при Президенте Российской Федерации 30 марта 1992 г.;

2) обязательную сертификацию ИПС, обрабатывающих персональные данные, на соответствие требованиям Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных";

3) проведение тематических исследований ИПС на корректность встраивания СКЗИ (при наличии СКЗИ).

9. При необходимости информационного обмена компонентов ИПС, входящих в ЕАИС ТО, с международными сетями информационного обмена и (или) с иными внешними телекоммуникационными сетями такой информационный обмен может быть реализован только с использованием автоматизированной системы внешнего доступа Центрального информационно-технического таможенного управления.

В документации на ИПС должна описываться технология информационного обмена (с обязательным приложением копий утвержденных схем).

10. При необходимости взаимодействия создаваемых (модернизируемых) ИПС с ресурсами ЦБД ЕАИС ТО необходимо указывать наименования ресурсов и ролей доступа в строгом соответствии с перечнем информационных ресурсов ЦБД ЕАИС ТО, ИПС доступа к ним, включенных в ФАП ФТС России, и типовых ролей доступа, которые используются при работе ИПС.

В случае, если работа ИПС предусматривает выгрузку данных либо изменение данных ЦБД ЕАИС ТО, то документы на ИПС должны содержать подробный алгоритм обработки данных с указанием конкретных таблиц баз данных, с ресурсами которых планируется работа ИПС.

11. Для создаваемых (модернизируемых) ИПС должна быть предусмотрена возможность создания резервных копий как самого ИПС, так и специализированных баз данных, необходимых для работы ИПС. В документации на ИПС необходимо подробно описывать процедуры резервного копирования и восстановления ИПС из резервных копий с указанием сторонних программных средств, установка которых необходима для корректного функционирования ИПС. Резервное копирование должно давать возможность администратору ИПС восстановить работоспособность ИПС даже в случае полной переустановки ОС без критических потерь информации.