Учебное пособие по ИБ (Лекции по информационной безопасности), страница 26

Наименование и назначение системы (подсистемы)2. Основные решаемые системой (подсистемой) задачи3. Наличие ТЗ на систему (подсистему)4. Наличие ЧТЗ на СЗИ (раздела ТЗ)5. Состав технических средств, входящих в АС, включаякоммуникационное оборудование, их соответствиереальным средствам и размещению в подразделениях6. Состав общесистемных программных средств накаждом АРМ, их соответствие заявленному составу,выявление отличий. Используемые протоколы обменаинформацией в сети7. Состав прикладного ПО на каждом АРМ и егосоответствие заявленному составу, выявление отличий.Наличие ПО для разработки программ2278.

Характеристика обрабатываемой системой (подсистемой)информации, включая входную, выходную и промежуточнуюинформацию. Циркулирующие в системе (подсистеме) потокиинформации9. Описание технологических циклов обработки информации всистеме (подсистеме)10. Утвержденный перечень категорий защищаемой информации,их разделение по уровням конфиденциальности11. Определение мест хранения и обработки информацииразличных уровней конфиденциальности в технологическомпроцессе автоматизированной обработки информации12.

Средства и способы передачиподсистемами АС и во внешние сетиинформациимежду13. Пользователи системы (подсистемы) по категориям(пользователи,администраторыподсистем,системныепрограммисты и пр.), их идентификаторы. Утвержденные спискидопущенных к работе пользователей. Соответствие списков14. Утвержденная разрешительная система доступасубъектов к объектам. Сверка с защищаемымиресурсами,перечнем пользователей, спискамидопуска к работе15. Акт классификации. Соответствие режимуработы пользователей, максимальной категорииинформации, системе разграничения доступа(правам доступа) к защищаемым ресурсам16. Установленные программно-аппаратные средствазащиты.

Наличие сертификатов на СЗИ и ПО.Соответствие классу АС. Наличие антивирусныхсредств и порядок их обновления. Наличие средстврезервного копирования.Наличие лицензионного ПО17.АктыкатегорированияобъектовВТ.Соответствиекатегорииобъектовгрифуобрабатываемойинформациииусловиямрасположения объектов228Данные по персоналу, использующего иэксплуатирующего систему (подсистему)1.Уровень подготовки персонала, являющегосяпользователями системы (подсистемы)2.

Уровень подготовки персонала, сопровождающегосистему (подсистему)3. Уровень подготовки персонала, ответственного зазащиту информацииОценка угроз безопасности системе (подсистеме)1.Описание возможных категорий потенциальныхнарушителейбезопасности(внешние,внутренние)2. Описание возможных угроз безопасности3.

Описание возможных путей реализации угрозбезопасности потенциальными нарушителями спривязкой к конкретным техническим и программнымсредствам4. Оценка возможности реализации угроз присуществующих средствах и способах защитыинформации в системе (подсистеме).229Данные по реализации организационно-правовых мер защиты:1. Наличие подразделения, службы и должностных лицпо защите информации2.

Наличие положения, регламентирующего права иобязанности должностных лиц по защите информации ираспределение их ответственности по подсистемам АС3. Наличие инструкций администраторам безопасностиотдельных подсистем4. Наличие документов по принятым в организацииорганизационным мерам защиты информации5. Наличие документов, регламентирующим порядокобращения с информацией, подлежащей защите6. Наличие инструкций, регламентирующих действияпользователей различных категорий (как в части работына подсистемах, так и в части вопросов обеспечениябезопасности информации).

Знание пользователямиположений инструкций7. Наличие документов, регламентирующих действияперсонала при возникновении нештатных ситуаций(НСД, аварийные ситуации). Наличие средствобеспечения целостности информации, средстввосстановления информации, средств обеспечениянепрерывной работы и восстановления подсистем8. Порядок разбора конфликтных ситуаций9.Ответственностьперсонала.определяющие ответственностьДокументы,230Организация физической защиты помещений исредств вычислительной техники1.Наличиеположенийиинструкций,регламентирующих порядок попуска в здания,помещения, к СВТ2. Используемые физические и технические мерызащиты3.

Соответствие помещений, в которыхобрабатываетсяинформацияограниченногодоступа требованиям нормативных документов4. Соблюдение режимных требованийДанные по мерам защиты носителей информации:1. Порядок ввода, учета, хранения, вывода ирегистрации и использования конфиденциальнойинформации на отчуждаемых носителях (в том числебумажных)2.

Наличие журналов регистрацииинформации, их выдачи и уничтоженияносителей3. Меры по уничтожению остаточной информации намагнитныхносителях.Журналыуничтоженияостаточной информации. Наличие соответствующихположенийвинструкцияхпользователейиадминистратора безопасности4. Порядок маркировки документов, выдаваемых напечать. Маркировка носителей информации231Дополнительные данные:1.Инструкции по организации парольной защиты2. Инструкциязащитыпоорганизацииантивирусной3. Инструкция по работе с ключевыми дискетами4.

Инструкции по работе с АС в части особенностейсостава и функционирования АС5. Инструкции по настройке коммуникационногооборудования сети232.