Защищенные автоматизированные системы. Для студентов технических специальностей

Периодическое техническое обслуживание используемых технических средств должно проводиться в соответствии с требованиями технической документации изготовителей, но не реже одного раза в год.

Периодическое техническое обслуживание и тестирование технических средств должны включать в себя обслуживание и тестирование всех используемых средств, включая рабочие станции, устройства бесперебойного питания и т. п.

В процессе проведения периодического технического обслуживания должны проводиться внешний и внутренний осмотр и чистка технических средств, проверка контактных соединений, проверка параметров настроек работоспособности технических средств и тестирование их взаимодействия.

На основании результатов тестирования технических средств должны проводиться анализ причин возникновения обнаруженных дефектов и приниматься меры по их ликвидации.

Восстановление работоспособности технических средств должно проводиться в соответствии с инструкциями разработчика и поставщика технических средств и документами по восстановлению работоспособности технических средств и завершаться проведением их тестирования.

Во время эксплуатации системы системный администратор должен производить резервное копирование данных, собранных АС в соответствии с принятым регламентом резервного копирования.

Размещение помещений и их оборудование должны исключать возможность бесконтрольного проникновения в них посторонних лиц и обеспечивать сохранность находящихся в этих помещениях конфиденциальных документов и технических средств.

Размещение оборудования, технических средств должно соответствовать требованиям техники безопасности, санитарным нормам и требованиям пожарной безопасности.

Все пользователи системы должны соблюдать правила эксплуатации электронной вычислительной техники.

Квалификация персонала и его подготовка должны соответствовать технической документации.

Требования по защите информации

Требования по защите информации от несанкционированного доступа

Система АС СОТОВЫЙ должна обеспечивать защиту от несанкционированного доступа (НСД) на уровне не ниже, чем установлен требованиями, предъявляемыми к категории 2А по классификации действующего руководящего документа Гостехкомиссии России «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем».

Компоненты подсистемы защиты от НСД должны обеспечивать:

– идентификацию пользователя;

– проверку полномочий пользователя при работе с АС;

– разграничение доступа пользователей на уровне задач и информационных массивов.

В рамках обеспечения соответствия требованиям по классу защиты в АС:

– должна осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по идентификатору (коду) и паролю условно—постоянного действия длиной не менее шести символов;

– должна осуществляться идентификация программ, томов, каталогов, файлов, записей, полей записей по именам;

– должен осуществляться контроль доступа субъектов к защищаемым ресурсам в соответствии с матрицей доступа;

– должна осуществляться регистрация входа/выхода субъектов доступа в систему/из системы, либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останов не проводится в моменты аппаратурного отключения АС;

– должна осуществляться регистрация запуска/завершения программ и процессов (заданий, задач), предназначенных для обработки защищаемых файлов;

– должна осуществляться регистрация попыток доступа программных средств (программ, процессов, задач, заданий) к защищаемым файлам;

– должна осуществляться регистрация попыток доступа программных средств к следующим дополнительным защищаемым объектам доступа: программам, томам, каталогам, файлам, записям, полям записей;

– должен проводиться учет всех защищаемых носителей информации с помощью любой их маркировки;

– должна осуществляться очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей. Очистка осуществляется однократной произвольной записью в освобождаемую область памяти, ранее использованную для хранения защищаемых данных (файлов);

– должна быть обеспечена целостность программных средств СЗИ НСД, а также неизменность программной среды, при этом:

– целостность проверяется при загрузке системы по контрольным суммам компонент,

– целостность программной среды обеспечивается отсутствием средств модификации объектного кода программ в процессе обработки и (или) хранения защищаемой информации;

– должна осуществляться физическая охрана СВТ (устройств и носителей информации), предусматривающая контроль доступа в помещения АС посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения АС и хранилище носителей информации, особенно в нерабочее время;

– конфиденциальная и секретная информация должна подвергаться криптографическому преобразованию при записи и чтении;

– для обеспечения безопасности информации должны использоваться сертифицированные средства защиты информации;

– должно проводиться периодическое тестирование функций СЗИ при изменении программной среды и персонала АС с помощью тест-программ, имитирующих попытки НСД;

– должны быть в наличии средства восстановления СЗИ, предусматривающие ведение двух копий программных средств СЗИ и их периодическое обновление и контроль работоспособности.

Перечень параметров, подлежащих регистрации в тех или иных ситуациях осуществления доступа приведен в соответствующем разделе вышеупомянутого руководящего документа.

Допускается расширение вышеперечисленных механизмов защиты от несанкционированного доступа для достижения их соответствия современному технологическому уровню.

Защита от несанкционированного доступа должна обеспечиваться средствами сертифицированного программно-технического комплекса.

В системе допускается использование только сертифицированного антивирусного ПО. Обновление базы сигнатур необходимо проводить регулярно.

Исполнитель обязуется провести установку всех СЗИ. В таблице 2 приведен перечень СЗИ, необходимых для выполнения требований по безопасности информации.

Таблица 2. Состав СЗИ

Требования по защите информации от утечки по техническим каналам

В процессе обследования помещения, в котором установлен АРМ-А1, необходимо выявить потенциальные каналы утечки и с использованием пассивных мер защиты снизить их угрозу. Для достижения данной цели применить возможные средства снижения излучения ПЭМИН и повышения звукоизоляции ограждающих конструкций помещения, путем инженерно-технических методов защиты информации.

После проведения специальных исследований, сверить результаты исследований (размеры зон r1, r1», R2) с реальными условиями эксплуатации объекта информатизации и, если это необходимо, провести дополнительные мероприятия по установке средств активной защиты.

4.1.10 Требования по сохранности информации при авариях

Программное обеспечение систем АС СОТОВЫЙ должно автоматически восстанавливать свое функционирование при корректном перезапуске аппаратных средств и базового программного обеспечения. Системы должны предусматривать возможность организации автоматического или ручного резервного копирования с использованием стандартных программных и аппаратных средств.

4.1.11 Требования к защите от влияния внешних воздействий

Требования к защите от влияния внешних воздействий должны обеспечиваться средствами ИТ служб Заказчика.

Технические средства АС СОТОВЫЙ должны быть рассчитаны на эксплуатацию в закрытых, отапливаемых и вентилируемых помещениях – в соответствии СНиП 2.04.05—91 «Отопление, вентиляция и кондиционирование воздуха». Также в помещении необходимо предусмотреть кондиционирование воздуха.

Требования к патентной чистоте