Вы можете открыть актуальную версию документа прямо сейчас.
Если вы являетесь пользователем интернет-версии системы ГАРАНТ, вы можете открыть этот документ прямо сейчас или запросить по Горячей линии в системе.
Приложение Б
Методики
проведения испытаний системы-112 субъекта РФ
Б.1 Проверка комплектности и качества рабочей конструкторской документации и отчетных документов
Б.2 Проверка комплектности сегмента системы-112, развернутого в АЦ субъекта РФ, и его соответствие техническому проекту и техническому заданию
N |
Наименование проверки |
Исполнитель |
Выполняемые действия |
Ожидаемый результат |
Применимость пункта методики |
Примечание |
Б.2.1 |
Проверка соответствия состава и комплектности технических и программных средств системы-112 субъекта РФ |
Представитель ГК |
Осуществляется сравнение оборудования, предъявленного на испытания, с перечнем технических и программных средств, указанных в техническом проекте на создание системы-112 в субъекте РФ Проверяется наличие паспортов и формуляров на каждое оборудование |
Перечень оборудования, находящегося на проверяемом объекте соответствует перечню оборудования, указанного в техническом проекте на создание системы-112 в субъекте РФ На каждое оборудование имеется паспорт и формуляр |
|
Данная проверка осуществляется на каждом функциональном объекте |
Б.2.2 |
Проверка требований по эргономике и технической эстетике |
Представитель ГК |
Проверяется: 1. Эргономика интерфейса АРМ в части: - удобства для оператора; - приемлемости диалога для выполнения служебных обязанностей; - адаптируемость к индивидуальным особенностям пользователя; - наличие контекстных подсказок; - наличие понятной навигации в диалоге с оператором-112. 2. Эргономика и техническая эстетика рабочего места оператора-112 в части: - наличия на рабочем месте аппаратуры (телефонных гарнитур, широкоформатных цветных ЖК-мониторов, веб-камер и т.д.), необходимой для выполнения служебных обязанностей; - соответствия организации рабочего места операторов системы-112 с требованиями САНПИН 2.2.2/2.4.1340-03 (Приложение И) |
Проверка считается выполненной, если: - интерфейс АРМ удобен для оператора; - организован приемлемый диалог интерфейса с пользователем для выполнения служебных обязанностей; - учитываются индивидуальные особенности пользователя; - имеются контекстные подсказки; - пользователь свободно ориентируется в структуре СПО; - на рабочем месте присутствует аппаратура (телефонные гарнитуры, широкоформатные цветные ЖК-мониторы, веб-камеры и т.д.), необходимые для выполнения служебных обязанностей; - организация рабочего места соответствует требованиям СанПин 2.2.2/2.4.1340-03, приведенных в Приложении 3 |
|
Данная проверка осуществляется на каждом функциональном объекте |
По-видимому, в тексте предыдущего абзаца допущена опечатка. Вместо "приведенных в Приложении 3" имеется в виду "приведенных в Приложении И"
Б.2.3 |
Проверка требований по эксплуатации, техническому обслуживанию, ремонту и хранению компонентов системы-112 субъекта РФ |
Представитель ГК |
Проверяется: выполнение требований по техническому обслуживанию системы-112 субъекта РФ; выделяемые площади для размещения персонала системы-112, в соответствии со СНиП 31-05-2003; Выполнение требований по условиям хранения комплекта запасных изделий и приборов. |
Техническое обслуживание организовано в соответствии с требованиями ТЗ. Площади, выделяемые для персонала системы-112 соответствуют требованиям СНиП 31-05-2003 (не менее 9 на человека). Ремонт оборудования системы-112 в условиях эксплуатации обеспечивается средствами из комплектов ЗИП |
|
Данная проверка осуществляется на каждом функциональном объекте |
Б.2.4 |
Проверка организации энергоснабжения объекта автоматизации системы-112 субъекта РФ |
Представитель ГК |
Проверяется организация электроснабжения объекта автоматизации сегмента системы-112 субъекта РФ, наличие источников бесперебойного и резервного питания |
Электропитание должно осуществляться от сети переменного тока напряжением В с частотой Гц. Технические средства системы-112 оснащены источниками бесперебойного и резервного питания. |
|
Данная проверка осуществляется на каждом функциональном объекте |
Б.3 Испытания функциональности системы-112 субъекта РФ
Б.3.1 ЦОВ/РЦОВ/ЦОВ-ЕДДС
Б.3.2. Функционирование УМЦ
Б 3.3. Функционирование ЕДДС
Б 3.4 Формирование отчетности системы-112
Б.3.5 Функционирование ДДС
Б.4 Проверка квалификации персонала системы-112
Б.5 Комплексные испытания информационной безопасности
N |
Наименование проверки |
Исполнитель |
Выполняемые действия |
Ожидаемый результат |
Применимость пункта методики |
Примечание |
Б.5.1. |
Наличие и содержание документов: 1. Модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации. 2. Модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных. |
Представитель ГК |
Для документов, разработанных в соответствии с требованиями ФСБ России, проверяется соответствие содержания представленных документов требованиям Методических рекомендаций по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации (утверждены руководством 8 Центра ФСБ России 21.02.2008 г. N 149/54144). Для документов, разработанных в соответствии с требованиями ФСТЭК России, проверяется соответствие содержания представленных документов требованиям методических документов ФСТЭК России: - Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных; - Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных. |
Комплект представленных документов соответствует требованиям Регуляторов. |
|
|
По-видимому, в тексте предыдущего абзаца допущена опечатка. Номер названных Методических рекомендаций следует читать как "N 149/54-144"
Б.5.2. |
Оценка комплекса организационно-технических мер обеспечения информационной безопасности. |
Представитель ГК |
Оценка проводится путём проверки соответствия реализованных организационно-технических мер обеспечения информационной безопасности требованиями рекомендациям, определенным в Модели угроз ФСТЭК России и Модели угроз ФСБ России и Техническом задании на систему 112. |
Реализованные организационно-технические меры обеспечения информационной безопасности соответствуют требованиям Технического задания на систему 112. |
|
|
Б.5.3. |
Оценка знаний персонала требований должностных инструкций, в том числе по ИБ информационной безопасности |
Представитель ГК |
Оценка проводится путём проверки знаний персонала содержания документов, регламентирующих аспекты информационной безопасности на объекте (Инструкция по внедрению системы информационной безопасности, Оценка угроз, Оценка уязвимостей, Реестр информационных рисков). |
Выборочная проверка показала знание персоналом содержания документов, регламентирующих вопросы обеспечения информационной безопасности на объекте (Инструкция по внедрению системы информационной безопасности, Оценка угроз, Оценка уязвимостей, Реестр информационных рисков). |
|
|
Б.5.4. |
Проверка разграничения прав доступа различных групп пользователей |
Представитель ГК |
Для проверки необходимо осуществить вход в систему с учётной записью пользователя, обладающего минимальными правами на работу в системе. После входа попытаться получить доступ к объектам, для доступа к которым необходимы права администратора системы. |
Система не позволяет получить права администратора и блокирует доступ к объекту. |
|
|
Б.5.5. |
Проверка отображения записей о событиях нарушения режима безопасности |
Представитель ГК |
Для проверки необходимо выполнить действия, направленные на нарушение режима безопасности. Для этого нужно отключить на время одно из используемых средств защиты информации от НСД. После этого снова включить средство защиты информации от НСД. |
После включения средства защиты информации от НСД в журнале СЗИ присутствуют записи о завершении его работы и повторном запуске. |
|
|
Б.5.6. |
Проверка комплектности документации |
Представитель ГК |
Для проверки необходимо предоставить документацию в соответствии с перечнем, указанном в Приложении И. |
Проверка считается успешной в случае соответствия состава и комплектности программной документации, представленной Исполнителем, перечню программной документации, приведенному в Приложении И. |
|
|
Б.5.7. |
Проверка мероприятий при компрометации канала связи |
Представитель ГК |
Оценка проводится путем проверки знаний персонала содержания документов, регламентирующих мероприятия, осуществляемые при компрометации канала связи. |
Выборочная проверка показала знание персоналом содержания документов, регламентирующих мероприятия, осуществляемые при компрометации канала связи |
|
|
Б.5.8. |
Проверка наличия действующих сертификатов ФСБ России и ФСТЭК России для средств защиты информации |
Представитель ГК |
Наличие сертификатов к средствам криптографической защиты информации. |
Сертификат соответствия ФСБ России СФ/1241970 от 12.09.2012 на соответствие изделия "Программно-аппаратный комплекс "ViPNet Coordinator HW" (варианты комплектации 3, 4, 6, 8)" требованиям к СКЗИ класса КС3. Сертификат соответствия ФСБ России СФ/1242179 от 17 июля 2013 года, действителен до 17 июля 2016 года, удостоверяет, что изделие "Программный комплекс ViPNet Coordinator 3.2 КС3" в составе соответствует требованиям ГОСТ 2814789, ГОСТ Р 34.1194, требованиям ФСБ России к шифровальным (криптографическим) средствам класса КС3. |
|
|
Наличие сертификатов к средствам межсетевого экранирования. |
Сертификат соответствия ФСБ России СФ/5151999 от 15.11.2012 на соответствие изделия "Программно-аппаратный комплекс ViPNet Coordinator HW" требованиям к межсетевым экранам 4 класса защищенности. Сертификат соответствия ФСТЭК России N 2353 от 26.05.2011 на программно-аппаратный комплекс защиты информации "ViPNet Coordinator HW" по требованиям к устройствам типа межсетевые экраны по 3 классу и 3 уровню контроля отсутствия недекларированных возможностей. |
|
|
|||
Наличие сертификатов к антивирусным средствам |
Сертификат в наличии |
|
|
|||
Наличие сертификатов к средствам обнаружения вторжений |
Сертификат в наличии |
|
|
|||
Наличие сертификатов к средствам анализа защищенности |
Сертификат в наличии |
|
|
|||
Б.5.9. |
Проверка шифрования сетевого трафика |
Оператор ЦОВ |
Осуществляет вызов (голосовой) и передает в текстовые сообщения. |
Вызов поступил на рабочее место оператора выбранной ДДС. |
|
|
Диспетчер ДДС |
Принимает вызов оператора ЦОВ. |
Вызов принят диспетчером ДДС. |
|
|||
Представитель ГК |
Организовать перехват трафика между криптошлюзом и Оператором ЦОВ ЕДДС в течение 2 минут и выполнить анализ трафика. |
В программе анализа трафика возможно визуально прочитать содержимое IРпакетов (кодек, служебные поля голосового трафика; содержимое текстовых сообщений). |
|
|||
Организовать перехват трафика между криптошлюзом и Оператором ЦОВ в течение 2 минут и выполнить анализ трафика. | ||||||
Организовать перехват трафика между криптошлюзом ЦОВ ЕДДС и криптошлюзом ЦОВ-АЦ в течение 2 минут и выполнить анализ трафика. |
В программе анализа трафика невозможно прочитать содержимое IРпакетов. |
|||||
Б.5.10 |
Проверка межсетевого экранирования криптошлюза |
Представитель ГК |
Проверка фильтрации трафика на уровне портов проводится путем сканирования портов криптошлюза ЦОВ как со стороны сети передачи данных, так и со стороны ЦОВ. |
Все порты кроме служебных закрыты и криптошлюз не идентифицирует себя при сканировании. |
|
|
на АРМ ЦОВ запустить сканер Nmap и просканировать порты Криптошлюза ЦОВ. |
в отчете Nmap открыты только служебные порты ТСР: 2046, 2048, 2050, 67, 68, 137, 138. |
|||||
на АРМ Внешней сети данных запустить сканер Nmap и просканировать порты Криптошлюза ЦОВ. |
В отчете Nmap открыты только служебные порты. |
|||||
Перевести Криптошлюз ЦОВ в режим безопасности "Блокировать сеть". | ||||||
на АРМ ЦОВ запустить сканер Nmap и просканировать порты Криптошлюза ЦОВ. |
в отчете Nmap все порты закрыты. |
|||||
на АРМ Внешней сети данных запустить сканер Nmap и просканировать порты Криптошлюза ЦОВ. | ||||||
на АРМ ЦОВ инициализировать ping в сторону Криптошлюза. |
в результате выполнения команды ping получить ошибку "Host unreacheble". |
|
|
|||
на АРМ Внешней сети инициализировать ping в сторону Криптошлюза. | ||||||
Б.5.11 |
Проверка системы защиты от спуфинга |
Представитель ГК |
Перевести Криптошлюз ЦОВ в режим безопасности "пропускать все исходящие соединения, кроме запрещенных" и включить режим защиты от спуфинга. |
|
|
|
На внешний сетевой интерфейс Криптошлюза из сети передачи данных со стороны АРМ Внешней сети: | ||||||
отправить UDP пакет с адресом источника, совпадающим с зарегистрированным маршрутом другого интерфейса координатора. |
на Криптошлюзе в журнале событий пакет от АРМ Внешней сети заблокирован. |
|||||
отправить UDP пакет с адресом источника, отличным от адресов, маршрутизируемых данным интерфейсом. | ||||||
Б.5.12 |
Проверка отказоустойчивости криптошлюза |
Представитель ГК |
Проверка проводится путем инициализации постоянного обращения посредством ping с АРМ ЦОВ-АЦ на ЦОВ ЕДДС. |
|
|
|
Отключается активная часть отказоустойчивого криптошлюза ЦОВ от сети передачи данных. |
Пассивный элемент криптошлюза переходит в активный режим. |
|||||
Через 510 секунд проверяется наличие восстановления передачи ping. |
Восстанавливается передача пакетов команды ping |
|||||
Включаем отключенный элемент. |
Отключенный элемент криптошлюза переходит в пассивный режим. |
|||||
Через 150 секунд отключается активная часть отказ о устойчивого криптошлюза от сети передачи данных. |
Пассивный элемент криптошлюза переходит в активный режим. |
|||||
Через 510 секунд проверяется наличие восстановления передачи ping. |
Восстанавливается передача пакетов команды ping. |
|
|
|||
Б.5.13 |
Проверка устойчивости криптошлюза и клиентского ПО к подбору пароля |
Представитель ГК |
Подключиться к криптошлюзу по протоколу SSH из недоверенной (внешней) сети. |
не удалось подключиться к криптошлюзу по протоколу SSH из (внешней) недоверенной сети. |
|
|
Подключиться к криптошлюзу по протоколу SSH с АРМ ЦОВ и вводить неправильный пароль несколько раз. |
при каждом неверном вводе пароля появляется сообщение о неверном вводе пароля и задержка запроса пароля увеличивается в прогрессии 2xN секунд, где N - номер попытки ввода. |
|||||
Подключиться к криптошлюзу локально и вводить неправильный пароль несколько раз. | ||||||
На АРМ ЦОВ в ПО, отвечающее за криптографическую ЗИ, при открытии программы вводить неправильный пароль несколько# | ||||||
Б.5.14 |
Проверка оповещений о событиях информационной безопасности на сервере мониторинга |
Представитель ГК |
Сменить на криптошлюзе режим безопасности на 4 режим. |
появляются оповещения о событиях ИБ на сервере мониторинга - "Низкий уровень безопасности". |
|
|
Сменить на криптошлюзе режим безопасности на 2 режим. |
появляются оповещения о событиях ИБ на сервере мониторинга - "Высокий уровень безопасности". |
|||||
Сменить на криптошлюзе режим безопасности на 3 режим. |
появляются оповещения о событиях ИБ на сервере мониторинга - "Средний уровень безопасности". |
|||||
Полностью выключить криптошлюз. |
появляются оповещения о событиях ИБ на сервере мониторинга - "Узел недоступен" |
|||||
Включить криптошлюз. |
появляются оповещения о событиях ИБ на сервере мониторинга - "Узел доступен". |
|||||
Выключить ПО, отвечающее за криптографическую ЗИ. |
появляются оповещения о событиях ИБ на сервере мониторинга - "Монитор выключен". |
|
||||
Выключить ПО, отвечающее за службу отказоустойчивости. |
появляются оповещения о событиях ИБ на сервере мониторинга - "FAILOVER выключен". |
|
||||
Выключить ПО, отвечающее за безопасную передачу конвертов. |
появляются оповещения о событиях ИБ на сервере мониторинга - "MFTP выключен". |
|
Б.6 Комплексные испытания надежности*
Б.6.1 Проверка проектных решений по обеспечению надежности в техническом проекте и рабочей документации
Б.6.2 Проверка локального резервирование ЦОВ административного центра субъекта РФ
Примечание: время для проведения испытаний выбирается с расчетом на минимизацию загрузки системы-112. При испытаниях могут присутствовать дополнительные технические специалисты, на случай необходимости срочного восстановления работоспособности системы. Однако, до возникновения нештатных ситуаций, непосредственно в проверках участвует только персонал рабочей смены ЦОВ системы-112.
Б.6.3 Проверка резервирования объектов системы-112 субъекта РФ
Примечание: время для проведения испытаний выбирается с расчетом на минимизацию загрузки системы-112.
При испытаниях могут присутствовать дополнительные технические специалисты, на случай необходимости срочного восстановления работоспособности объектов системы. Однако, до возникновения нештатных ситуаций, непосредственно в проверках участвует только персонал рабочих смен объектов системы-112.
Б.6.4 Комплексные испытания надежности объектов системы-112 субъекта РФ
Примечание: время для проведения испытаний выбирается с расчетом на минимизацию загрузки системы-112. При испытаниях могут присутствовать дополнительные технические специалисты, на случай необходимости срочного восстановления работоспособности объектов системы или проведения регламентных восстановительных работ.
______________________________
* - В данном документе рассмотрен децентрализованный вариант построения системы-112 с использованием модели локальной обработки и хранения данных (необходимые АРМ и серверное оборудование развертывается в ЦОВ-АЦ, РЦОВ, и принадлежит субъекту Российской Федерации).
В случае использования "облачной" модели удаленной обработки и хранения данных (в ЦОВ-АЦ, РЦОВ, МЦОВ развертываются только АРМ, необходимая функциональность системы-112 обеспечивается использованием удаленных вычислительных ресурсов на базе технологических площадок распределенной информационно-вычислительной платформы (далее - РИВП), принадлежащих сторонней организации) к комплексным испытаниям надежности (составлению методик проверки проектных решений по обеспечению надежности, непосредственному участию в приемочных испытаниях) привлекается оператор РИВП.
Если вы являетесь пользователем интернет-версии системы ГАРАНТ, вы можете открыть этот документ прямо сейчас или запросить по Горячей линии в системе.