Результаты предпроектного обследования в части оценки уровня конфиденциальности и ценности защищаемой информации базируются только на документально оформленных перечнях сведений, составляющих государственную или коммерческую тайну.
Наличие таких перечней является необходимым условием, но недостаточным для решения вопроса об уровне конфиденциальности информации, обрабатываемой в АС. В целях решения этого вопроса необходимо проанализировать структуру информационного обеспечения системы, необходимость наличия в ней защищаемых сведений, объемы и формы представления информации для пользователей.
Степень секретности обрабатываемой информации определяется заказчиком АС и документально за подписью соответствующего руководителя предоставляется разработчику СЗИ.
Предпроектное обследование может быть поручено специализированному предприятию, имеющему лицензию на этот вид деятельности, но и в этом случае анализ информационного обеспечения в части секретной информации целесообразно выполнять представителям предприятия-заказчика при методической помощи специализированного предприятия.
На основании результатов предпроектного обследования разрабатываются аналитическое обоснование необходимости создания СЗИ и раздел ТЗ на ее разработку.
"Аналитическое обоснование необходимости создания СЗИ" должно содержать:
· информационную характеристику и организационную структуру объекта информатизации;
· характеристику комплекса основных и вспомогательных технических средств, программного обеспечения, режимов работы, технологического процесса обработки информации;
· возможные каналы утечки информации и перечень мероприятий по их устранению и ограничению;
· предлагаемые к использованию сертифицированные средства защиты информации;
· оценку материальных, трудовых и финансовых затрат на разработку и внедрение СЗИ;
· ориентировочные сроки разработки и внедрения СЗИ;
· обоснование необходимости привлечения специализированных предприятий для разработки СЗИ;
· перечень мероприятий по защите секретной информации на стадии разработки АС.
Раздел (Технического задания на создание АС( на разработку СЗИ должен содержать:
· основание для разработки;
· исходные данные создаваемой АС в техническом, программном, информационном и
· организационном аспектах;
· категорию СВТ;
· класс защищенности АС;
· ссылку на государственные нормативные документы, с учетом которых будет разрабатываться СЗИ и аттестоваться АС;
· конкретизацию требований к СЗИ на основе государственных нормативных документов и установленных категории и класса защищенности;
· перечень предполагаемых к использованию сертифицированных средств защиты информации;
· обоснование проведения разработок собственных средств защиты информации, невозможности и нецелесообразности использование имеющихся на рынке сертифицированных средств защиты информации;
· состав и содержание работ по этапам разработки и внедрения, сроки и объемы финансирования работ;
· перечень предъявляемой заказчику научно-технической продукции и документации.
Важным с экономической точки зрения является принятие решения о выборе из имеющихся на рынке сертифицированных средств защиты информации или о разработке специальных средств собственными силами. Однако при этом не следует забывать об их последующей сертификации.
Для правильного выбора средств защиты информации производится категорирование средств и систем вычислительной техники и классификация АС, предназначенных для обработки, передачи и хранении секретной информации.
На стадии проектирования АС и СЗИ в ее составе предъявляемых к системе требований и заданных заказчиком ограничений финансовые, материальные, трудовые и временные ресурсы осуществляются:
· разработка задания и проекта на строительство или реконструкцию объекта информации в соответствии с требованиями ТЗ на разработку СЗИ;
· разработка раздела технического проекта на АС в части СЗИ;
· строительно-монтажные работы по оборудованию объекта информатизации в соответствии с проектной документацией, утвержденной заказчиком;
· разработка организационно-технических мероприятий по защите объекта информатизации в соответствии с предъявляемыми требованиями;
· закупка сертифицированных серийно выпускаемых в защищенном исполнении технических средств обработки, передачи и хранения информации;
· закупка и специальные исследования на побочные электромагнитные излучения и наводки несертифицированных средств с выдачей предписаний на их эксплуатацию (или сертификация отдельных образцов импортной ВТ. Сертификацию проводят специально акредитованные сертификационные центры);
· специальная проверка импортных технических средств на предмет возможно внедренных в эти средства специальных электронных устройств (закладок);
· размещение и монтаж технических средств АС;
· закупка сертифицированных серийно выпускаемых технических и программных (в том числе криптографических) СЗИ и их адаптация;
· разработка и последующая сертификация программных СЗИ в случае, когда на рынке отсутствуют требуемые программные средства;
· объектовые исследования технических средств АС на побочные электромагнитные излучения и наводки с целью определения соответствия установленной категории для этих технических средств;
· монтаж средств активной защиты в случае, когда по результатам специальных или объектовых исследований технических средств не выполняются нормы защиты информации для установленной категории этих технических средств;
· организация охраны и физической защиты объекта информатизации и отдельных технических средств;
· разработка и реализация разрешительной системы доступа пользователей и эксплуатационного персонала АС к обрабатываемой информации, оформляемой в виде раздела "Положение о разрешительной системе допуска исполнителей к документам и сведениям в учреждении";
· определение заказчиком подразделений и лиц, ответственных за эксплуатацию СЗИ, обучение назначенных лиц специфике работ по защите информации на стадии эксплуатации АС;
· выполнение генерации пакета прикладных программ в комплексе с программными средствами защиты информации;
· разработка организационно-распорядительной и рабочей документации по эксплуатации АС в защищенном исполнении, а также средств и мер защиты информации (приказов, инструкций и других документов).
Для эффективной и надежной с точки зрения обеспечения безопасности информации работ АС необходимо правильно организовать разрешительную систему доступа пользователей к информации в АС, т.е. предоставить пользователям право работать с той информацией, которая необходима им для выполнения своих функциональных обязанностей, установить их полномочия по доступу к информации. Это означает, что необходимо определить и оформить порядок установления уровня полномочий пользователей, а также круга лиц, которым это право предоставлено, установить правила разграничения доступа, регламентирующие права доступа субъектов к объектам, т.е. не только кто из пользователей АС и их программ допускается к тем или иным программам, файлам, записям, но и какие действия при этом они могут осуществлять.
Все это оформляется службой безопасности информации или администратором АС в виде матрицы доступа или иных правил разграничения доступа.
Среди организационных мероприятий по обеспечению безопасности информации - охрана объекта, на котором расположена защищаемая АС (территория, здания, помещения, хранилища информационных носителей), путем установления соответствующих постов технических средств охраны или любыми другими способами, предотвращающими или существенно затрудняющими хищение СВТ, информационных носителей, а также НДС к СВТ и линиям связи.
Следует отметить, что в последнее время в направлении физической защиты помещений, самих СВТ, информационных носителей наблюдается смещение в сторону использования в этих целях средств защиты, основанных на новых принципах. Например, доступ в помещение разрешается и контролируется с помощью АС, оконечными устройствами которой являются различного рода терминалы, использующие средства аутентификации на различных физических принципах, с помощью которых осуществляется разграничение доступа в помещение, вход в систему и т.д.
На стадии ввода в действие АС и СЗИ в ее составе осуществляются:
· опытная эксплуатация разработанных или адаптированных средств защиты информации в комплексе прикладными программами в целях проверки их работоспособности и отработки технологического процесса обработки информации;
· приемочные испытания СЗИ по результатам опытной эксплуатации с оформлением приемо-сдаточного акта, подписываемого разработчиком (поставщиком) и заказчиком;
· аттестация АС по требованиям безопасности информации, которая производится аккредитованным в установленном порядке органом по аттестации в соответствии с "Положением по аттестации объектов информатики по требованиям безопасности информации", действующим в системе сертификации продукции и аттестации объектов информатики, работающей под управлением Гостехкомиссии России.
При положительных результатах аттестации владельцу АС выдается "Аттестат соответствия АС требованиям безопасности информации". Эксплуатация АС осуществляется в полном соответствии с утвержденной организационно-распорядительной и эксплуатационной документацией, предписаниями на эксплуатацию технических средств.
Технология обработки информации в АС различна и зависит от используемых СВТ, программных средств, режимов работы. Не вдаваясь в особенности технологического процесса, обусловленные различиями в технике, программном обеспечении и другими причинами, можно констатировать, что основной характерной особенностью, связанной с обработкой секретной или иной подлежащей защите информации, является функционирование системы защиты информации от НСД, как комплекса программно-технических средств и организационных решений, предусматривающей учет, хранение и выдачу пользователям информационных носителей, паролей, ключей, ведение служебной информации СЗИ НСД (генерацию паролей, ключей, сопровождение правил разграничения доступа), оперативный контроль за функционированием СЗИ, контроль соответствия общесистемной программной среды эталону и приемку включаемых в АС новых программных средств, контроль за ходом технологического процесса обработки информации путем регистрации анализа действий пользователей, сигнализации опасных событий.