Система защищенного электронного документооборота

Категории персональных данных Хнпд могут принимать следующие значения:

1 - в системе одновременно обрабатываются персональные данные более чем 100 ООО физических лиц или в пределах субъекта Российской Федерации или Российской Федерации в целом;

2 - в системе одновременно обрабатываются персональные данные от 1000 до 100000 физических лиц или работающих в отрасли экономики Российской Федерации, в органе государственной власти, проживающих в пределах муниципального образования;

3 - в системе одновременно обрабатываются данные менее чем 1000 физических лиц или персональные данные субъектов в пределах конкретной организации.

В зависимости от характеристик безопасности персональных данных, обрабатываемых в АИС, информационные системы подразделяются на типовые и специальные. Типовые АИС - это системы, в которых требуется обеспечение только конфиденциальности персональных данных. Специальные АИС - это системы, и которых вне зависимости от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик их безопасности, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий).

Специальные ЛИС, в свою очередь, подразделяются на два типа:

1) системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья их субъектов;

2) системы, в которых предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении физического лица или иным образом затрагивающих его права и законные интересы.

Ио структуре ЛИС подразделяются на три типа:

1) на автономные (не подключенные к иным информационным системам) комплексы технических и программных средств, предназначенные для обработки персональных данных (АРМ);

2) комплексы АРМ, объединенных в единую информационную систему средствами связи без использования технологии удаленного доступа (локальные системы):

3) комплексы АРМ и (или) локальных систем, объединенных в единую информационную систему средствами связи с использованием технологии удаленного доступа (распределенные информационные системы).

По наличию подключений к сетям связи общего пользования и (или) сетям международного информационного обмена ЛИС подразделяются на системы, имеющие подключения, и системы, не имеющие подключений. В зависимости от режима обработки персональных данных АИС подразделяются на системы одно- и многопользовательские. Ио разграничению прав доступа пользователей АИС подразделяются на системы без разграничения прав доступа и системы с разграничением нрав доступа.

В зависимости от местонахождения технических средств АИС подразделяются на системы, все технические средства которых находятся в пределах Российской Федерации, и системы, технические средства которых частично или целиком находятся за пределами Российской Федерации.

По результатам анализа исходных данных типовой информационной системе присваивается один из следующих классов:

· класс 1 (К 1) - системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов персональных данных:

· класс 2 (К 2) - системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них. может привести к средним негативным последствиям для субъектов персональных данных:

· класс 3 (КЗ) - системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них. может привести к незначительным негативным последствиям для субъектов персональных данных:

· класс 4 (К 4) - системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, не приводит к негативным последствиям дтя субъектов персональных данных.

Класс типовой информационной системы определяется в соответствии с табл. 2.

Таблица 2 Класс типовой информационной системы

Хпд Хнпд	3	2	1
Категория 4	К 4	К 4	К 4
Категория 3	К 3	К 3	К 2
Категория 2	К 3	К 2	К 1
Категория 1	К 1	К 1	К 1

По результатам анализа исходных данных класс специальной АИС определяется на основе модели угроз безопасности персональных данных

В случае выделения в составе АИС подсистем, каждая из когорых является информационной системой, всей АИС в целом присваивается класс, соответствующий наиболее высокому классу входящих в нес подсистем.

Результаты классификации АИС оформляются соответствующим актом оператора. Класс АИС может быть пересмотрен:

· но решению оператора на основе проведенных им анализа и оценки угроз безопасности персональных данных с учетом особенностей и (или) изменений конкретной системы:

· по результатам мероприятий, по контролю за выполнением требований к обеспечению безопасности персональных данных при их обработке в информационной системе.

3.5 Примерный состав и функции службы комплексного администрирования АИС

Служба комплексного администрирования АИС обеспечивает администрирование: защиты информации, операционных систем и сетей (локальных и глобальных вычислительных систем и сетей), баз данных и систем управления базами данных.

Администратор защиты информации обеспечивает: регистрацию пользователей; формирование матрицы доступа к вычислительным и информационным ресурсам системы: учет наступления системных событий, связанных с инициализацией функций АИС, изменением сс конфигурации, а также изменением прав доступа; формирование параметров входа в систему (идентификатора) и шифроключей; контроль системы текущего функционального состояния.

Администратор операционных систем отвечает за генерацию операционных систем и их сопровождение (тестирование работоспособности, восстановление и т.д.). обновление версий операционных систем (анализ необходимости перехода на новые версии, разработку перечня мероприятий по переходу на новую версию).

Администратор сети отвечает за ее функционирование, создает структуру каталога сети; обеспечивает необходимый уровень защиты, следит за рациональным использованием информационных ресурсов. определяет политику развития сети, ведет описание технической конфигурации сети, се функциональной структуры, структуры клиентов, имеющих доступ к информации, циркулирующей в АИС. а также формирует список пользователей, допущенных к работе в системе.

Администратор баз данных отвечает за генерацию систем управления базами данных; сопровождение информации и управление информацией, в том числе конфиденциальной; создание и ведение классификаторов; ввод и модификацию нормативно-справочной информации; сохранение резервных копий; восстановление искаженной информации; архивирование информации и организацию поступления информации из архива; обработку и анализ статистической информации о характере и интенсивности использования данных, о распределении нагрузки на различные компоненты структуры баз данных: внесение изменений в структуру баз данных в процессе эксплуатации системы н целях повышения производительности; обеспечивает ввод и поддержание в актуальном состоянии общих разделов баз данных (классификаторов).

При увольнении или изменении должностных обязанностей пользователей, операторов, администраторов систем по согласованию со Службой безопасности или Службой информационных технологий (информационной безопасности) организации должны быт ь приняты в установленном в организации порядке меры по оперативному изменению соответствующих паролей. Порядок ведения паролей необходимо определить Инструкцией по использованию паролей.

Восстановление функционирования АИС и обеспечение доступности к конфиденциальной информации на требуемом уровне и в требуемые сроки после прерывания или отказа оборудования и (или) программного обеспечения осуществляется в соответствии с порядком. указанным в -эксплуатационной документации. Неисправности должны регистрироваться, анализироваться, и в их отношении должны приниматься соответствующие действия.

Резервное копирование (архивирование) баз данных осуществляется в соответствии с планом проведения резервного копирования (архивирования), который включает перечень баз данных, подлежащих резервному копированию (архивированию), и график его проведения.

Эксплуатация антивирусных средств защиты осуществляется в соответствии с разрабатываемой в организации Инструкцией по антивирусной защите, определяющей порядок установки, обновления, использования антивирусных средств защиты, а также меры по восстановлению работоспособности системы в случае проникновения вируса. Инструкция может быть составлена на основании [165;196].

Все пользователи и эксплуатационный персонал АИС должны сообщать в Службу безопасности (информационной безопасности) о любых наблюдаемых или предполагаемых событиях, связанных с недостатками обеспечения защиты конфиденциальной информации.

За нарушение установленных требований по защите информации руководитель структурного подразделения организации, отвечающий за эксплуатацию АИС (подразделение информационных технологий), и (или) непосредственный исполнитель привлекаются к административной или уголовной ответственности в соответствии с действующим российским законодательством.

Доступ к защищаемой конфиденциальной информации лиц. работающих в автоматизированной системе, производится в соответствии с порядком, установленным разрешительной системой доступа (гл. 4).

Все виды работ, связанных с автоматизированной обработкой информации, проводятся в регламентном режиме или по разовым запросам непосредственно пользователями или операторами. В последнем случае должны быть определены лица, имеющие право подписывать разовые запросы па обработку информации. Перечень регламентных работ и их исполнители определяются соответствующей организационно-распорядительной и эксплуатационной документацией.

На период обработки защищаемой информации в помещениях, где размешаются необходимые для этого средства, могут находиться только лица, допущенные к обрабатываемой информации в установленном порядке. Допуск в эти помещения других лиц для проведения профилактических или ремонтных работ может осуществляться только с санкции руководителя организации или руководителя структурного подразделения, эксплуатирующего определенную тематику по согласованию со Службой безопасности или Службой информационных технологий (информационной безопасности) организации. При этом должны быть соблюдены меры, исключающие их ознакомление с конфиденциальной информацией.

В целях исключения предоставления доступа к излишнему объему информации в процессе эксплуатации АИС должен осуществляться периодический пересмотр прав доступа пользователей к информации.

В случае размещения в одном помещении различных технических средств одной или нескольких автоматизированных систем должен быть исключен несанкционированный просмотр конфиденциальной информации. Учет, хранение накопителей и носителей информации на бумажной, магнитной, оптической и иной основе И обращение с ними должны осуществляться в соответствии с требованиями. изложенными в документе "Порядок хранения накопителей и носителей информации и обращения с ними".

Запись конфиденциальной информации в незашифрованном виде производится только на предварительно учтенные накопители и носители информации, а в зашифрованном - с помощью сертифицированных средств криптографической защиты информации.

Распечатка на принтере (вывод на графопостроитель) конфиденциальной информации может осуществляться двумя способами: либо на предварительно учтенном бумажном носителе (см. разд. 2.4). либо на неучтенном бумажном носителе с использованием сертифицированных средств защиты информации, реализующих печать учетных реквизитов, полученных предварительно.

По окончании обработки конфиденциальной информации пользователь (оператор) обязан произвести стирание информации в оперативной памяти путем выключения питания компьютера, если иное не предусмотрено технологическим процессом.

Контроль за состоянием и эффективностью защиты конфиденциальной информации осуществляется Службой информационных технологий (информационной безопасности). Службой безопасности организации, отраслевыми и федеральными органами контроля и заключается в оценке выполнения требований нормативных документов, обоснованности принятых мер и проверке соблюдения норм защиты конфиденциальной информации.

4. Организация работ при создании системы защиты электронного документооборота

4.1 Основные требования по разработке системы защиты информации

Организация, - заказчик автоматизированной информационной системы должна выполнить на основании ряда руководящих документов комплекс мероприятий по защите конфиденциальной информации соответствующей категории, исходя из требуемого уровня информационной безопасности объекта защиты, задаваемого на стадии создания автоматизированной системы.

Разработка АИС и системы защиты информации в ее составе может осуществляться как самой организацией, так и специализированными предприятиями, имеющими лицензию на соответствующий вид деятельности в области защиты информации.

Организация работ по защите информации возлагается на руководителя организации, руководителей подразделений, разрабатывающих и эксплуатирующих АИС, Службы информационных технологий (подразделения информационной безопасности), а контроль за обеспечением защиты информации - на руководителя Службы безопасности, если она за это ответственна.

Если разработка системы защиты информации или ее отдельных составляющих производится специализированным предприятием в организации-заказчике, определяются подразделения (или отдельные специалисты), ответственные за проведение (внедрение и эксплуатацию) мероприятий по защите информации.

Разработка и внедрение системы защиты информации должны осуществляться разработчиком совместно со Службой безопасности организации и Службой информационных технологий (информационной безопасности), принимающими участие в подготовке методического руководства и конкретных требований по защите ннформации, аналитического обоснования необходимости создания системы защиты информации, в выборе средств вычислительной техники и святи, средств защиты, в организации работ по выявлению возможностей и предупреждению утечки и нарушения целостности защищаемой информации, в согласовании технических заданий на проведение работ, а также в проведении аттестации АИС

4.2 Стадии и этапы разработки системы защиты

Автоматизированные информационные системы, обеспечивающие защиту информации ограниченного распространения, могут создаваться по одному из трех типовых сценариев: первый - в действующую АИС, предназначенную для обработки открытой информации, добавляют функцию защиты, позволяющую обеспечивать обработку информации ограниченного распространения: второй - АИС создается, так сказать, "с нуля", где вместе с прикладной обрабатывающей системой сопрягается на стадии разработки система защиты: третий реализуется типовой проект. Естественно, последний сценарий самый простой в реализации и мы не будем его рассматривать. Более сложным является второй сценарий, который предусматривает набор и стыковку прикладного обеспечения, с одной стороны, и систем защиты с базовыми операционными системами и базами данных с другой.

Опыт создания АИС с обеспечением защиты информации показывает следующее. Самыми опасными являются те АИС, которые позволяют осуществлять пользователю любые действия и использовать любое программное обеспечение. Мы видим два полюса противоречий: полная безопасность и полная свобода действий пользователя. Естественно, реально возможными оказываются АИС, в которых соблюден баланс между безопасностью и применением достаточного объема прикладного программного обеспечения, отвечающего требованиям безопасности обработки информации.

Поиск АИС, позволяющей сбалансировать указанные противоречия. является основой диалектической составляющей процесса построения информационно-защищенных систем. Как правило, поиск баланса осуществляется на основе компромисса между ограничениями на функциональные возможности программного обеспечения и переносом части функций безопасности из технических реализации в организационные меры. Несмотря на определенную сложность второго сценария построения защищенных АИС. стоимость его реализации оказывается существенно ниже, чем построение защищенной АИС по первому сценарию, т.е. на основе уже действующей незащищенной. В последнем случае требуется, как правило, доработка или переработка действующих программ, а также создание новых средств обеспечения информационной безопасности.

Как при втором, гак и при третьем сценарии создания защищенных АИС можно выделить следующие стадии и этапы разработки. Разница будет заключаться в сложности, а следовательно, и в стоимости реализации этапов.

Существуют следующие стадии создания системы защиты АИС и циркулирующей в ней конфиденциальной информации или, другими словами, электронного конфиденциального документооборота:

· предпроектная, включающая предпроектное обследование объекта информатизации, разработку аналитического обоснования необходимости создания системы защиты информации и технического (частного технического) задания на ее создание:

· проектирования (разработки проектов) и реализации АИС, включающая разработку системы защиты информации в ее составе;

· ввода в действие системы зашиты информации, включающая опытную эксплуатацию и приемо-сдаточные испытания средств зашиты информации, а также аттестацию АИС на соответствие требованиям информационной безопасности.

Предпроектное обследование может быть поручено специализированному предприятию, имеющему соответствующую лицензию, но и в этом случае анализ информационного обеспечения в части состава и структуры конфиденциальной информации целесообразно выполнять представителям организации-заказчика при методической помощи специализированного предприятия. На этой стадии разрабатываются аналитическое обоснование и техническое задание на создание системы или частное техническое задание на подсистему информационной безопасности АИС.

На предпроектной стадии по обследованию объекта, для которого создается АИС, определяются:

· (уточняются) угрозы безопасности информации - факторы, влияющие на конфиденциальную информацию

· модель вероятного нарушителя применительно к конкретным условиям функционирования ЛИС

· необходимость обработки конфиденциальной информации в ЛИС, оцениваются ее объемы, характер и условия использования:

· конфигурация и топология АИС в целом и ее отдельных составляющих, а также физические, функциональные и технологические связи как внутри разрабатываемой системы, ток и с другими АИС:

· технические средства и системы, предполагаемые к использованию в разрабатываемой ЛИС, условия их расположения, общесистемные и прикладные про 1раммные средства, имеющиеся на рынке и предлагаемые к разработке:

· режимы обработки конфиденциальной информации в АИС;

· данные и компоненты АИС, которые являются важными и должны дублироваться:

· класс защищенности АИС;

· степень участия персонала в обработке (передаче, хранении) конфиденциальной информации, характер их взаимодействия между собой и со Службой информационных технологий (информационной безопасности), а также Службой безопасности организации;

· мероприятия по защите информации в процессе разработки системы.

Но результатам предпроектного обследования разрабатывается аналитическое обоснование необходимости создания системы защиты конфиденциальной информации, которое должно содержать:

· информационную характеристику создаваемой АИС и организационную структуру, для которой система создается:

· характеристику комплекса технических средств, программного обеспечения, режимов работы, технологического процесса обработки информации:

· перечень угроз информационной безопасности и мероприятий по их предупреждению и предотвращению

· перечень предлагаемых к использованию средств зашиты или обоснование необходимости их разработки (адаптации под конкретные условия функционирования АИС);

· обоснование необходимости привлечения специализированных предприятий для разработки системы защиты информации;

· оценку материальных, трудовых и финансовых затрат на разработку и внедрение системы защиты информации:

· ориентировочные сроки разработки и внедрения системы защиты информации:

· перечень мероприятий по обеспечению конфиденциальности информации при создании АИС.

Аналитическое обоснование подписывается руководителем предпроектного обследования, согласовывается с разработчиком АИС. руководителями Службы информационных технологий (информационной безопасности) и Службы безопасности организации - заказчика, после чего утверждается руководителем этой организации.

Результаты предпроектного обследования в части наличия конфиденциальной информации должны базироваться на документально оформленном Перечне конфиденциальной документированной информации. Конфиденциальность исходной информации, подлежащей автоматизированной обработке, а также выходной информации, получаемой в результате обработки, определяется организацией заказчиком АИС на основании Перечня конфиденциальной документированной информации и документально, за подписью руководителя организации, представляется разработчику системы защиты информации.

В целях определения конфиденциальности промежуточной информации циркулирующей (обрабатываемой, хранимой и передаваемой) в АИС, а также оценки достаточности предлагаемых средств и мер защиты информации приказом по организации создастся экспертная комиссия, в состав которой включаются представители организации - заказчика и предприятия - разработчика АИС.

Экспертная комиссия может проводить свою работу в несколько этапов и при этом рассматривает аналитическое обоснование, техническое задание, проектную и эксплуатационную документацию, а также устанавливает конфиденциальность информации, подлежащей обработке, в том числе накопителей, носителей и массивов информации, предложенной организацией заказчиком и разработчиком АИС. Правильность и обоснованность фоков хранения накопителей и носителей информации и их рассылки, достаточность предлагаемых мер зашиты должны соответствовать Перечню конфиденциальной документированной информации. Результатом работы Экспертной комиссии является заключение, утверждаемое руководителем организации, при которой она создана.

На стадии ввода в действие АИС и системы защиты информации в ее составе осуществляются:

· опытная эксплуатация средств защиты информации в комплексе с другими техническими и программными средствами и целях проверки их работоспособности в составе АИС и отработки технологического процесса обработки (передачи) информации;

· приемо-сдаточные испытания средств защиты информации по результатам опытной эксплуатации с оформлением приемосдаточного акта. подписываемого разработчиком и заказчиком; аттестация АИС на соответствие требованиям безопасности информации

На этой стадии оформляются: акты внедрения средств зашиты информации по результатам их приемо-сдаточных испытаний: предъявительский акт о проведении аттестационных испытаний; заключение по результатам аттестационных испытаний; аттестат соответствия.

Эксплуатация АИС осуществится на основе утвержденной организационно-распорядительной и эксплуатационной документации.

Состояние и эффективность защиты информации контролируются службой информационных технологий (информационной безопасности), Службой безопасности организации-заказчика, отраслевыми и федеральными органами контроля. По результатам контроля дается оценка выполнению требований нормативных документов, обоснованности принятых мер и проверке соблюдения норм защиты конфиденциальной информации (см. разд. 6).

5. Организация проведения работ по защите конфиденциальной информации при ее автоматизированной обработке

5.1 Общие положения

Для защиты конфиденциальной информации, циркулирующей в АИС от несанкционированного доступа, за исключением систем, использующих информационную технологию со съемными накопителями информации большой емкости, должны использоваться сертифицированные по требованиям информационной безопасности программные (программно-аппаратные) средства защиты информации.

Для защиты конфиденциально" информации от утечки по техническим каналам рекомендуется использовать сертифицированные по защите информации средства вычислительной техники либо средства, удовлетворяющие требованиям стандартов по электромагнитной совместимости.

Для передачи информации за пределы контролируемой зоны организации необходимо использовать защищенные линии связи, в том числе волоконно-оптические, оборудованные средствами защиты информации, либо предназначенные для этого средства криптографической защиты информации, например электронную цифровую подпись. Накопители и носители информации на бумажной, магнитной (магнитооптической) и иной основе должны учитываться и храниться в установленном порядке.

Доступ пользователей к конфиденциальной информации осуществляется в соответствии с разрешительной системой допуска исполнителей к документам и сведениям конфиденциального характера, действующей в организации.

Требования по защите конфиденциальной информации при ее автоматизированной обработке для различных видов АИС имеют свои особенности, зависящие от технической реализации средств обработки данных. Гак, в зависимости от технологии защиты информации. циркулирующей в системе и технической реализации средств обработки данных определяются АИС уровня: автоматизированного рабочего места: локальной вычислительной сети: распределенной информационно-коммуникационной системы, а также сочетания АИС систем МЭД и ВЭД, определяющие обмен конфиденциальной информацией.

5.2 Классификатор конфиденциальной информации

Классификатор конфиденциальной информации (далее - Классификатор) как документ предназначен для классификации и кодирования конфиденциальной информации, циркулирующей в АИС. или, иными словами, конфиденциального электронного документооборота.

Классификатор составляется на основании нормативно-правовых и нормативно-технических документов в области информационной безопасности и защиты информации, содержащей сведения конфиденциального характера, с учетом методов кодирования информации. Он служит также исходной информацией для программистов и специалистов по информационным технологиям, осуществляющих работы по созданию и эксплуатации АИС.

Классификатор оперирует основными видами конфиденциальной информации в соответствии с Указом Президента Российской Федерации "Об утверждении перечня сведений конфиденциального характера" [68]и нормативной правовой базой, рассмотренной в гл. 1.

Виды конфиденциальной информации являются объектами классификации, поэтому структурное описание объекта классификации включает три блока: идентификации; наименования и примечаний [66;182].

Блок идентификации строится с использованием иерархического метода классификации и последовательного метода кодирования. Три уровня иерархической классификации объектов выделяют:

· укрупненные группы видов конфиденциальной информации;

· подгруппы видов конфиденциальной информации;

· виды конфиденциальной информации. Укрупненные группы и подгруппы объединяют совокупности видов конфиденциальной информации. Виды конфиденциальной информации выделяют в рамках групп (подгрупп).

Структура кодового обозначения включает три цифровых десятичных знака и имеет следующий вид: XXX - три знака.

Первый знак соответствует укрупненным группам видов конфиденциальной информации; второй - подгруппе видов конфиденциальной информации (при отсутствии подгруппы этот знак не рассматривается. Имеет значение "О" или может быть использован для идентификации вида конфиденциальной информации): третий - виду конфиденциальной информации.

И случае, если при использовании Классификатора в нем отсутствует необходимый вид (виды) конфиденциальной информации, ему присваивается знак "9" - "Прочие виды информации". Блок наименований содержит наименования укрупненных групп, подгрупп и видов конфиденциальной информации. Для удобства пользования наименования укрупненных групп в блоке наименований выделяются полужирным шрифтом, а наименования подгрупп - курсивом.

Блок примечаний служит для размещения сведений, поясняющих и уточняющих при необходимости содержание блока наименований. Кодирование информации с помощью Классификатора выполняется в организациях в ходе работ по учету конфиденциальной информации и ведению Реестра конфиденциальной информации и АИС

5.3 Особенности защиты конфиденциальной информации на автоматизированных рабочих местах на баю автономных персональных ЭВМ

Автоматизированные рабочие места на базе автономных персональных ЭВМ, включая мобильные, например, ноутбуки - это автоматизированные информационные системы, обладающие всеми их основными признаками. Информационным каналом обмена между такими АИС являются в основном съемные накопители и носители информации на различной основе: магнитные, магнитооптические, лазерные диски и кассеты с магнитной лентой, электронные USB-накопители, карты памяти, а также носители на традиционной бумажной основе (ввод через сканер). Автономные персональные ЭВМ (компьютеры) могут содержать также средства беспроводной святи: радио- и инфракрасной связи. Такой канал информационного обмена не должен использоваться средствами вычислительной техники, на которых обрабатывается конфиденциальная информация. В связи с этим порядок разработки и эксплуатации АРМ на базе автономных компьютеров по составу и содержанию проводимых работ по защите информации, организационно-распорядительной, проектной и эксплуатационной документации должны полностью отвечать требованиям по защите информации АИС.

Технология съемных накопителей информации большой емкости для АРМ на базе автономных компьютеров предусматривает установку на съемном накопителе информации большой емкости одновременно общесистемной системы управления базами данных и прикладного программного обеспечения, а также запись на него данных (обрабатываемой информации) для одного пользователя или группы. Для обмена информацией с другими АРМ и архивирования информации могут использоваться носитель на гибких магнитных дисках и второй накопитель информации большой емкости. При этом все используемые на АРМ накопители информации должны быть учтены как "Для служебного пользования".

Все другие несъемные накопители информации должны быть исключены из состава компьютера, а неиспользуемые порты (интерфейсы) - из конфигурации компьютера любым способом, предотвращающим обращение к ним.

Основной особенностью применения данной информационной технологии для АРМ на базе автономных персональных ЭВМ с точки зрения защиты информации является исключение этапа хранения на них в нерабочее время информации, подлежащей защите. Эта особенность может быть использована для обработки конфиденциальной информации без применения сертифицированных средств защиты информации от несанкционированного доступа и без использования технических средств охраны для помещений, в которых размешены такие АРМ.

С использованием данной информационной технологии на АРМ может быть создано несколько АИС для обработки конфиденциальной и общедоступной информации в зависимости от используемых съемных накопителей информации большой емкости.

Условия и порядок применения такой процедуры должны быть отражены в технологии обработки информации, использующей съемные накопители информации большой емкости.

5.4 Особенности защиты информации в локальных вычислительных сетях

Характерными особенностями локальной вычислительной сети (ЛВС) являются распределенные по узлам сети данные и файлы, предназначенные для хранения, обработки и передачи (включая электронную почту). Эго усложняет проведение контроля за работой пользователей и состоянием общей информационной безопасности. Средства защиты информации от несанкционированного доступа должны использоваться во всех узлах ЛВС, независимо от конфиденциальности, обрабатываемой в узле информации, и требуют постоянного квалифицированного сопровождения со стороны администратора информационной безопасности.

Для управления ЛВС и распределения системных ресурсов в сети, включая управление средствами защиты конфиденциальной информации, в дополнение к администраторам АИС должны быть назначены администраторы информационной безопасности, имеющие необходимые привилегии доступа к защищаемой информации ЛВС. Состав пользователей ЛВС должен устанавливаться по приказу руководителя организации (структурного подразделения организации) в установленном порядке и строго контролироваться.

Каждый администратор и пользователь должен иметь уникальные идентификаторы и пароли, а в случае использования средств криптографической защиты информации - ключи шифрования для криптографических средств, используемых для зашиты информации при передаче ее по каналам связи и хранения, и для систем электронной цифровой подписи

5.5 Особенности защиты информации при использовании технологии терминальной системы

Особенностью терминальных систем, или другими словами, "тонкого клиента", являются централизованные обработка и хранение информации только на терминальных серверах, без применения системного блока персональной ЭВМ, а также наличие регламентированных потоков информации между сервером терминалов и терминалами (терминальными рабочими станциями), задаваемых исполняемой на сервере терминалов прикладной программой.

В сторону терминала передаются данные "окна" выполняющегося на сервере терминалов приложения. От терминала в сторону сервера терминалов передаются данные от клавиатуры и манипулятора "мышь".

Терминал представляет собой бездисковый компьютер, в состав которого входят дисплей, клавиатура, мышь. Использование бездисковых рабочих станций в терминальной системе предполагает удаленную загрузку операционных систем (их образа) с соответствующего сервера терминалов или из флэш-памяти самого терминала. Используемые средства защиты информации от НСД терминальных систем должны быть сертифицированы по требованиям безопасности информации.

При использовании в таких АИС в качестве оконечных устройств (терминалов) компьютеров, в состав которых входят накопители информации следует руководствоваться особенностями технологий защиты информации на АРМ, оборудованных автономными персональными ЭВМ

5.6 Особенности технологий зашиты информации при межсетевом взаимодействии

Особенности технологий защиты конфиденциальной информации определяются взаимодействием локальных и неоднородных вычислительных сетей, ни одна из которых нс имеет выхода в сети общего пользования Интернет.

При взаимодействии АИС с другими вычислительными сетями последние также должны контролироваться с точки зрения защиты конфиденциальной информации. Коммуникационное оборудование и все соединения с периферийными устройствами ЛВС должны располагаться в пределах контролируемой зоны организации.

Подключение ЛВС системы к другой АИС (локальной или неоднородной вычислительной сети) иного класса защищенности должно осуществляться с использованием межсетевого экрана, требования к которому определяются Руководящим документом Гостехкомиссии [198]. При этом такое подключение нс должно снижать класс защищенности соединяемых систем.

При передаче информации за пределами контролируемой территории организации, должны использоваться защищенные линии связи (в том числе волокон), оборудованные средствами защиты информации, либо средства контроля защиты информации, предназначенные для передачи конфиденциальной информации. Применяемые при этом средства защиты информации должны быть сертифицированы.

5.7 Особенности защиты информации в корпоративных информационно-коммуникационных системах

Комплекс организационно-технических мер и средств контроля защиты информации в автоматизированных информационно-коммуникационных системах (ИКС) включает в себя средства и меры выявления попыток несанкционированного физического доступа в помещения и к техническим средствам ИКС, нарушения работоспособности или режима функционирования средств защиты информации, а также получения несанкционированного доступа к защищаемой информации и средствам управления техническими и программными средствами с целью своевременного закрытия возможных каналов утечки информации.

Средства зашиты информации от несанкционированного доступа используются во всех узлах автоматизированных ИКС. независимо от наличия (отсутствия) конфиденциальной информации в данном узле. В связи с большим количеством разнородных систем в каждой из них необходимо применение автоматизированных средств контроля и анализа защищенности информации.

Технические средства (серверное, коммуникационное и другое оборудование ИКС), с которыми администраторы и обслуживающий персонал постоянно не работают, выполняя только периодическое техническое обслуживание (проверка работоспособности, изменение настроек программного обеспечения и т. д.), должны располагаться в помещениях, в отношении которых реализован оперативный контроль доступа.

Защита входящих в состав автоматизированных ИКС локальных подсетей, функционально выделенных в отдельные АИС, может осуществляться с использованием механизмов безопасности, реализующих виртуальные локальные сети. При этом соответствующие средства разграничения доступа должны быть сертифицированы по требованиям информационной безопасности.

При использовании в ЛИС системы электронной почты (e-mail) должны быть предусмотрены средства проверки электронных сообщений. входящих в систему и исходящих из нее. на предмет наличия в ней вредоносного программного обеспечения.

В целях уменьшения нагрузки на оборудование и избегания отказов в обслуживании целесообразно использовать средства фильтрации нежелательных электронных сообщений.

Для управления, контроля защищенности и распределения системных ресурсов в автоматизированных ИКС. включая управление средствами защиты конфиденциальной информации, обрабатывав- мой, хранимой и передаваемой в системе, используются соответствующие сродства защиты информации от несанкционированного доступа, сертифицированные по требованиям информационной безопасности.

При взаимодействии ИКС с другими вычислительными сетями ведется постоянный контроль за возможными попытками вторжения с использованием средств автоматизированного контроля (средств мониторинга сети, обнаружения вторжений и т. д.).

Для обнаружения неправомерных действий внутренних пользователей и аномальной активности сетевых узлов, инфицированных вредоносным программным обеспечением, должны применяться средства обнаружения нетипичной сетевой активности и активного аудита.

Для выявления возможных уязвимостей в используемом программном обеспечении (с учетом текущих настроек механизмов безопасности) следует применять программно-технические средства мониторинга и анализа защищенности (сетевые и системные сканеры безопасности).

Для информационного обмена территориально разнесенных структур организации, т.е. удаленных абонентов, могут использоваться незащищенные каналы связи, в частности информационные сети общего пользования, различные виды выделенных и коммутируемых линий связи. При этом все потоки информации, поступающие в систему и (или) выходящие из нее поданным каналам, должны фильтроваться на специализированных сертифицированных межсетевых экранах. Используемые межсетевые экраны должны соответствовать общим требованиям к ним.

При подключении внешних ЛВС к центральному узлу ИКС через сеть общего пользования необходимо использовать сертифицированные средства защиты информации, обеспечивающие защищенную передачу данных (электронная почта, доступ к базам данных и т. д.).

Сетевые ресурсы (почтовые серверы, веб-серверы и т. д.), к которым разрешен доступ из сетей общего пользования, подключаются к отдельному "открытому" сетевому сегменту, организуемому с использованием сертифицированного межсетевого экрана. Хранение, обработка или передача конфиденциальной информации в данном сетевом сегменте недопустимы.

Установление соединения "открытого" сегмента с другими сетевыми сегментами ИКС, в которых возможна обработка конфиденциальной информации, должно быть исключено. В системе реализуется разграничение доступа пользователей к сервисам и информационным ресурсам. Выбор сервисов и протоколов для использования в ИКС производится из соображения обеспечения полноты и эффективности реализации соответствующих функций и минимизации уровня уязвимости информации в системе.

Для контроля целостности и достоверности циркулирующей в АИС информации при необходимости используются сертифицированные средства ЭЦП.

Для использования в АИС средств, обеспечивающих юридическую силу электронных конфиденциальных документов и юридически значимый конфиденциальный электронный документооборот, в соответствии с Федеральным законом "Об электронно-цифровой подписи" [37] необходимо наличие Удостоверяющего центра. Для обеспечения юридически значимого электронного конфиденциального документооборота целесообразно использовать защищенную электронную почту:

Администрирование в автоматизированной ИКС планируется и проводится централизованно, на основе принципа минимизации полномочий пользователей при обеспечении требуемого уровня функциональности. За всеми программно-аппаратными составляющими должен быть закреплен администратор, отвечающий за их функционирование, а также администратор безопасности, отвечающий за безопасность обрабатываемой информации.

Па технических средствах АИС устанавливается программное обеспечение только той конфигурации, которая необходима для выполнения штатных работ. Установка, настройка и эксплуатация программного обеспечения проводятся в соответствии с утвержденной документацией. Установка произвольных программных средств не допускается. Из программного обеспечения необходимо удалить ненужные для работы и не включенные в обоснование прикладные сервисы (протоколы). Модификация конфигурации программного обеспечения должна быть доступна только администратору, ответственному за его эксплуатацию.

Во все фрагменты, входящие в состав ИКС, устанавливаются и должны исправно функционировать антивирусное программное обеспечение, а также средство контроля сетевой активности, средство контроля приложений, персональный межсетевой экран, средство криптографической защиты конфиденциальной информации для обеспечения возможности ее передачи по открытым каналам связи.

Для доступа к информации ЛИС пользователей, рабочие места которых размещены в пределах контролируемой территории организации. используются сертифицированные средства защиты информации от несанкционированного доступа. В случае, если пользователи размешены за пределами контролируемой территории организации и их доступ к ресурсам АИС осуществляется по незащищенным каналам связи, должны использоваться сертифицированные средства криптографической защиты информации, обеспечивающие возможность обмена конфиденциальной информацией в этих условиях.

Защита речевой информации при ее передаче по открытым каналам связи должна осуществляться с помощью средств защиты, сертифицированных по требованиям безопасности информации [188].

6. Обеспечение контроля защиты электронного документооборота

Определенные эксплуатационной документацией на АИС требования к процессам автоматизированной обработки конфиденциальной информации сопровождаются технологией контроля состояния защиты информации в системе.

В соответствии с требованиями защиты информации дополнительным проверкам и испытаниям подвергаются средства автоматизированной обработки конфиденциальной информации, или, иными словами, средства конфиденциального электронного оборота.

Контроль проводится в целях своевременного выявления и предотвращения утечки, НСД к конфиденциальной информации, преднамеренных программно-технических воздействий на объект защиты. Определение и оценка уровня информационной безопасности, адекватности создаваемых или готовых решений защиты задаваемым требованиям к уровню информационной безопасности АИС должны выполняться специалистами, прошедшими квалификационный отбор.

Контроль состояния защиты конфиденциальной информации - это оценка требуемого уровня информационной безопасности и эффективности средств защиты, что является неотъемлемой составной частью работ по защите информации при эксплуатации АИС.

Контроль проводится аналогично выполнению контроля защищенности АИС. Требуемый уровень информационной безопасности АИС при автоматизированной обработке конфиденциальной информации представляет собой минимально необходимую совокупность требований к нормативно-правовому, техническому и организационному видам обеспечения информационной безопасности.

Состояние защиты информации в АИС контролируется в целях своевременного выяснения и предотвращения утечки, несанкционированного доступа к информации, преднамеренных программно-технических воздействий на объект защиты.

Основной задачей контроля является проверка соответствия принятых и принимаемых мер по защите конфиденциальной информации требованиям по обеспечению защиты АИС. а также свое временности и полноты выполнения требований нормативных документов, регламентирующих организацию и порядок осуществления мероприятий по защите информации.

При проведении контроля проверяемая организация должна обеспечить подтверждение того, что:

· созданная система обеспечивает выполнение требований по защите конфиденциальной информации при эксплуатации ЛИС;

· меры, средства и мероприятия, проводимые в целях защиты конфиденциальной информации, соответствуют предъявляемым к АИС требованиям информационной безопасности:

· средства защиты информации настроены и используются правильно;

· рекомендации предшествующих проверок реализованы.

Эффективность защиты информации в АИС контролируется на внешнем и внутреннем уровнях. Внешний контроль эффективности защиты информации в АИС на государственном уровне, обрабатывающих конфиденциальную информацию, осуществляется ФСО России, ФСБ и ФСТЭК России, на территориальном уровне - уполномоченными территориальными органами ФСО. ФСБ и ФСТЭК России.

По инициативе организации может быть проведен аудит информационной безопасности (контроль эффективности защиты информации) с привлечением третьей стороны предприятия (организации), имеющего лицензию ФСГЭК России па этот вид деятельности.

Внутренний контроль осуществляется Службой информационных технологий (информационной безопасности) совместно со Службой безопасности организации. Основными составляющими этого контроля являются:

· автоматизированный контроль на основе контроля (мониторинга) событий защиты информации;

· проверка правильности и полноты проводимых мероприятий по обеспечению соответствия. ЛИС требованиям защиты;

· проверка своевременности внесения изменений в проектную, техническую и нормативно-техническую документацию по обеспечению безопасности информации (предупреждению угроз информации и факторов, влияющих на информацию);

· принятие на основании результатов контроля мер но устранению последствий нарушения требований зашиты информации вплоть до полного или частичного приостановления эксплуатации ЛИС, приостановления или прекращения действия, если иными мерами невозможно устранить нарушения этих требований:

· проведение в ходе мероприятий по государственному контролю разъяснительной работы по применению требований законодательства Российской Федерации и нормативных документов в области обеспечения защиты информации.

Контроль может быть плановым и внеплановым. Государственный и ведомственный контроль проводится в соответствии с планами ведомств. осуществляющих этот контроль. Проверяемая организация должна быть проинформирована о времени проведения контроля.

Подразделение Службы информационных технологий (информационной безопасности) совместно со (Службой безопасности организации проводит как плановый (периодический), так и внеплановый контроль. Время проведения внепланового контроля проверяемым не сообщается. Порядок его проведения определяется эксплуатационными документами и соответствующими методиками.

Оперативный контроль за выполнением требований по защите информации осуществляют лица, ответственные за обработку информации. администратор информационной безопасности и другие уполномоченные лица. Оперативный, можно считать повседневный, контроль, в том числе автоматизированный, включает контроль (мониторинг) событий информационной безопасности с использованием средств контроля сети и аудита, обнаружения вторжений, нетипичной сетевой активности и т. д. Аудит информационной безопасности организации проводится по решению руководства.

Контроль эффективности защиты информации, циркулирующей в АИС, осуществляет экспертная комиссия, образованная по распорядительному документу (приказу) руководителя организации, проводящей контроль. Результаты контроля оформляются актами, заключениями и записями в специальных журналах и доводятся до сведения руководителя организации и работников в соответствии с уровнем контроля.

Эксперты, которые контролирует эффективность защиты информации, циркулирующей в АИС, обрабатывающей конфиденциальную информацию, обязаны заключить с владельцем АИС договор (контракт) о неразглашении конфиденциальной информации, с которой они могут ознакомиться в процессе выполнения контроля (см. разд. 4.3.2 и 4.3.3).

Представители органов, проводящие государственный и ведомственный контроль (эксперты), имеют право:

· знакомиться с организацией работ по защите информации;

· получать документацию, касающуюся функционирования АИС;

· получать доступ во все места, где размешены технические средства ЛИС и хранятся носители информации:

· требовать демонстрации режимов функционирования систем, конфигурации аппаратных и программных средств, их настроек и других параметров, влияющих на безопасность ресурсов АИС;

· получать доступ через представителя проверяемой организации к журналам регистрации событий, происходящих в АИС:

· получать информацию о нарушениях безопасности в АИС и результатах разбора этих нарушений при наличии таковых:

· знакомиться с работой пользователей АИС и другого персонала.

Проверяемая организация должна содействовать проверяющим в реализации указанных выше прав. Представители органов, осуществляющих государственный и ведомственный контроль (эксперты), обязаны соблюдать правила и распорядок работы проверяемой организации.

7. Аттестация автоматизированных информационных систем по требованиям безопасности информации

...