1Общие положения

Вид материала

Содержание

Подобный материал:

1 2 3 4 5

3.1Требования к системе в целом

4.1.1 Требования к структуре и функционированию системы.

4.1.1.1 В состав СЗПДн должны входить следующие подсистемы:

управления доступом;
регистрации и учета;
обеспечения целостности;
антивирусной защиты;
обнаружения и предотвращения вторжений;
обеспечения межсетевой безопасности;
анализа защищенности.

4.1.1.2 Для распределенных ИСПДн при передачи информации по каналам связи должна обеспечиваться ее защита.

4.1.1.3 Требования к режимам функционирования системы. СЗПДн должна обеспечивать следующие основные режимы функционирования:

штатный режим (режим работы, обеспечивающий выполнение пользователем своих функциональных обязанностей);
сервисный режим (для проведения регламентных работ по обслуживанию системы);
аварийный режим (в случае возникновения аварий и сбоев в работе системы).

4.1.1.4 Требования по диагностированию и технической защите системы:

4.1.1.4.1 Для программного обеспечения, используемого при защите информации в ИСПДн (средств защиты информации - СЗИ, в том числе и встроенных в общесистемное и прикладное программное обеспечение - ПО), должен быть обеспечен соответствующий уровень контроля отсутствия в нем НДВ для систем класса К1 в обязательном порядке, для К2 и К3 – по решению оператора ИСПДн.

4.1.1.4.2 Анализ защищенности ИСПДн должен проводиться путем использования в составе ИСПДн программных или программно-аппаратных средств (систем) анализа защищенности (САЗ). САЗ должна обеспечивать возможность выявления уязвимостей, связанных с ошибками в конфигурации ПО ИСПДн, которые могут быть использованы нарушителем для реализации атаки на систему.

4.1.1.4.3 В ИСПДн 1 и 2 классов должны быть реализованы функции по защите ПДн от утечки за счет побочных электромагнитных излучений и наводок. Для исключения утечки ПДн за счет ПЭМИН в ИСПДн 1 класса должны быть реализованы следующие функции:

использование технических средств в защищенном исполнении;
использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия;
размещение объектов защиты в соответствии с предписанием на эксплуатацию;
размещение понижающих трансформаторных подстанций электропитания и контуров заземления технических средств в пределах охраняемой территории;
обеспечение развязки цепей электропитания технических средств с помощью защитных фильтров, блокирующих (подавляющих) информативный сигнал;
обеспечение электромагнитной развязки между линиями связи и другими цепями вспомогательных технических средств и систем, выходящими за пределы охраняемой территории, и информационными цепями, по которым циркулирует защищаемая информация.

4.1.1.4.4 В ИСПДн 2 класса для обработки информации рекомендуется использовать СВТ, удовлетворяющие требованиям национальных стандартов по электромагнитной совместимости, по безопасности и эргономическим требованиям к средствам отображения информации, по санитарным нормам, предъявляемым к видеодисплейным терминалам средств вычислительной техники.

4.1.1.5 Для вводимой в эксплуатацию ПИБ должна быть разработана процедура периодической проверки правильности классификации ИСПДн и других исходный данных для разработки ПИБ. В случае, если в результате исполнения процедуры будет определено изменение класса ИСПДн или присвоение специального класса, Оператором должно быть инициирована доработка ПИБ.

4.1.2 Требования к численности и квалификации персонала, режиму его работы:

Квалификация персонала должна быть достаточной для осуществления ими настройки общесистемных и сетевых сервисов СЗПДн и настройки СЗИ СЗПДн.
Персонал СЗПДн должен осуществлять обслуживание и эксплуатацию СЗПДн по рабочим дням в рабочее время с возможностью выхода в нерабочее время для проведения сервисного обслуживания или восстановления работоспособности СЗПДн.
В штате организации Оператора ПДн должно быть не менее 2-х специалистов по защите информации от утечки по техническим каналам.

4.1.3 Показатели назначения.

Системно-технические решения СЗПДн должны обеспечить минимизацию вероятности реализации актуальных угроз, описанных в модели угроз для данной ИСПДн. Экономический эффект от создания СЗПДн должен проявляться в снижении вероятной величины материального и морального ущерба по отношению к субъектам и оператору ПДн.

4.1.4 Требования к надежности.

Аппаратно-программные компоненты СЗПДн должны удовлетворять условию круглосуточной работы, позволять осуществлять резервирование и восстановление системы после сбоев. Должна быть обеспечена возможность резервного копирования конфигураций и журналов регистрации событий компонентов СЗПДн.

4.1.5 Требования к безопасности:

В процессе обслуживания и эксплуатации оборудования СЗПДн должна обеспечиваться безопасность персонала.
Конструкция используемого оборудования должна обеспечивать защиту эксплуатирующего персонала от поражения электрическим током в соответствии с требованиями ГОСТ 12.2.003 и ГОСТ 12.2.007.
Размещение оборудования на штатных местах должно обеспечивать его безопасное обслуживание и эксплуатацию.

4.1.6 Требования к эргономике и технической эстетике:

Серверные компоненты и активное сетевое оборудование СЗПДн должны иметь возможность установки в монтажные стойки, предоставленные для размещения оборудования системы.
АРМ администратора СЗПДн должен обеспечивать возможность непрерывной работы операторов в течение смены в соответствии с требованиями Постановления Главного государственного санитарного врача РФ от 3 июня 2003 г. № 118 «О введении в действие санитарно-эпидемиологических правил и нормативов СанПиН 2.2.2/2.4.1340-03» с изменениями от 25 апреля 2007 г.

4.1.7 Требования к транспортабельности:

Аналогичны к требованиям для оборудования защищаемой ИСПДн.

4.1.8 Требования к эксплуатации, техническому обслуживанию, ремонту и хранению компонентов системы:

4.1.8.1 При создании СЗПДн должны использоваться унифицированные, однотипные компоненты в целях обеспечения снижения расходов на обслуживание и ремонт, удобства эксплуатации.

4.1.8.2 Климатические условия эксплуатации компонентов СЗПДн должны соответствовать требованиям ГОСТ 21552-84 и ГОСТ 27201-87.

4.1.8.3 Эксплуатация программно-технических средств должна предусматривать следующие виды технического обслуживания:

оперативное обслуживание,
профилактические работы.

Оперативное обслуживание должно предусматривать ежедневный контроль функционирования аппаратно-технических средств, целостности ресурсов системы. Оперативное обслуживание не должно нарушать выполнения функций СЗПДн в целом.

4.1.8.4 Профилактическое обслуживание должно предусматривать периодическую проверку и обслуживание составных частей СЗПДн, для которых такое обслуживание предусмотрено эксплуатационной документацией.

4.1.8.5 Объем и порядок выполнения технического обслуживания технических и программных средств СЗПДн должны определяться эксплуатационной документацией.

4.1.8.6 Физический доступ неуполномоченных лиц к сетевому и серверному оборудованию должен быть запрещен.

4.1.8.7 Требования к эксплуатации, техническому обслуживанию, ремонту и хранению могут уточняться на этапе проектирования СЗПДн.

4.1.9 Требования по защите от НСД

Требования по защите собственной информации СЗПДн от НСД должны быть на уровне не ниже, чем для информации защищаемой ИСПДн.

4.1.10 Требования по сохранности информации при авариях:

Сохранность информации при авариях в СЗПДн должна обеспечиваться методом резервного копирования.
Решения по обеспечению сохранности информации в СЗПДн при авариях должны быть разработаны на стадии технорабочего проекта.

4.1.11 Требования к защите от влияния внешних воздействий.

Защита ПИБ ИСПДн от влияния внешних воздействий должна осуществляться в рамках общих организационно-технических мероприятий по обеспечению безопасности и физической защите на объектах Оператора.

4.1.12 Требования к патентной чистоте.

При создании СЗПДн должны соблюдаться положения законодательных актов Российской Федерации по соблюдению авторских прав и защите специальных знаков. При поставке программного обеспечения должны быть выполнены требования Закона Российской Федерации «О правовой охране программ для электронных вычислительных машин и баз данных» от 23.09.92 г., а также международные патентные соглашения.

4.1.13 Требования по стандартизации и унификации:

Решения по использованию технических средств и ПО в СЗПДн должны использовать однотипные компоненты в целях обеспечения снижения расходов на обслуживание и ремонт, взаимозаменяемости используемых компонентов, удобства эксплуатации.
Должна обеспечиваться совместимость технических средств и ПО СЗПДн с техническими средствами и ПО, используемыми в ИСПДн.
При применении технических средств и ПО особое внимание должно быть уделено унификации программных и аппаратных решений. Предпочтение должно отдаваться использованию готовых, проверенных на практике решений.

4.1.14 Требования к размещению технических средств СЗПДн:

Серверное оборудование СЗПДн и телекоммуникационное оборудование должно размещаться в выделенном помещении (далее – серверное помещение).
Серверное оборудование, входящее в состав СЗПДн, и телекоммуникационное оборудование должно иметь возможность установки в отдельный монтажный шкаф.
Серверы и телекоммуникационное оборудование ИСПДн должны располагаться в отдельном помещении. В случае если это невозможно, средства и телекоммуникационное оборудование ИСПДн должны находиться в отдельном запираемом монтажном шкафу (шкафах).

Blog

1Общие положения

Содержание

3.1Требования к системе в целом