Отчет_Антиплагиат (Разработка рекомендаций по проведению испытаний системы защиты информационной системы), страница 6

78При проведении аттестационных испытаний применяются следующиеметоды проверок и испытаний:экспертно-документальный метод; 56инструментальные измерения и оценка защищенности 82информации от ее утечки по техническим каналам; 83проверка функций или комплекса функций защитыинформации от НСД с 75 помощью 55 инструментальных средствконтроля, а также путем пробного запуска средств защитыинформации от НСД и наблюдения за 55 выполнением их функций;проверка соответствия применённых параметров настройкиэлементов системы защиты информации требованиям безопасностиинформации;проверка подсистем защиты информации от НСД, 5531 55целостности применяемых средств защиты информации от НСД, в 55том числе с использованием специальных средств контроляэффективности защиты информации;проверка программной совместимости и корректностифункционирования всего комплекса используемых СВТ спродукцией, используемой в целях защиты информации;испытания системы защиты информации от НСД путемпопыток осуществить НСД к тестовой защищаемой информации вобход используемой системы защиты информации, в том числе сиспользованием специальных программных тестирующих средств;инструментальные измерения звукопоглощающих(звукоизолирующих) характеристик ограждающих конструкций ВП(ЗП) и оценка защищенности акустической речевой информации отее утечки по техническим каналам;инструментальные измерения и оценка эффективностиприменяемых средств защиты речевой информации.Перечень используемых инструментальных средств контроляэффективности защиты информации от ее утечки по техническим каналам: 24измерительный приемник – анализатор спектра;комплект измерительных антенн;токосъемник индукционный;автоматизированная система исследования эффектаакустоэлектрических преобразований в технических средствах и вотходящих от них линий;система измерительная автоматизированная;генератор и цифровой осциллограф.32Перечень используемых инструментальных средств контролязащищенности от НСД к информации:программа фиксации и контроля исходного программногокомплекса;средство контроля защищенности от НСД;программа моделирования системы разграничения доступа;программа поиска и гарантированного уничтоженияинформации на дисках;сетевой сканер безопасности;программа инвентаризации ресурсов.По результатам аттестационных испытаний оформляют заключение,которое содержит краткую оценку соответствия системы защиты информациив информационной системе требованиям безопасности информации,рекомендации по контролю за функционированием информационнойсистемы, вывод о возможности выдачи аттестата соответствия.

После чегопроисходит оформление, регистрация и выдача «Аттестата соответствия».332 Оценка соответствия СЗ ИС методом ввода в эксплуатацию черезпроведение испытанийДля ввода в эксплуатацию системы защиты информации винформационной системе от несанкционированного доступа, необходимопровести оценку соответствия созданной системы защиты информациитребованиям безопасности информации.

Для этого, на основанииФедерального закона от 27.12.2002 5 No 184- ФЗ «О техническомрегулировании», я 5 предлагаю провести ряд испытаний. Испытанияпроводятся на основании ГОСТ 34.603-90 «Информационная технология.Виды испытаний автоматизированных систем». Они включают в себяпредварительные испытания, опытную эксплуатацию и приемочныеиспытания. В первой главе мы уже познакомились с теоретическимисведениями о данных испытаниях.

Вторая глава посвящена их практическомуприменению.2.1 Проведение предварительных испытанийПредварительные испытания проводятся на основании документа«Программа и методика предварительных испытаний». Предлагаемый мнойвариант которого представлен в приложении А.Целью предварительных испытаний системы защиты информации винформационной системе (далее – СЗ ИС) является определениефункциональной работоспособности подсистем СЗ ИС на этапе проведенияиспытаний и решение вопроса о возможности приемки ИС в опытнуюэксплуатацию.При проведении предварительных испытаний я предлагаю применятьследующие методы проверок и испытаний:34проверка работоспособности подсистем средств защитыинформации от НСД, 55 целостности применяемых средств защитыинформации от НСД; 55проверка программной совместимости и корректностифункционирования всего комплекса используемых СВТ спродукцией, используемой в целях защиты информации;испытания системы защиты информации от НСД путемпопыток осуществить НСД к тестовой защищаемой информации вобход используемой системы защиты информации.Предварительные испытания СЗ ИС проводятся в соответствии спрограммой, в которую я включил следующий перечень работ и порядок ихпроведения:испытание подсистем средств защиты информации от НСД, таких как:подсистема управления доступом;подсистема регистрации и учета; 71подсистема обеспечения целостности.

71составление протокола предварительных испытаний, который включаетрезультаты проведения испытаний СЗ ИС, заключение о возможности(невозможности) приемки ИС в опытную эксплуатацию, а так же переченьнеобходимых доработок и 35 рекомендуемые сроки их выполнения. 35Предлагаемый мной вариант документа «Протокол предварительныхиспытаний» приведен в приложении Б.Методики предварительных испытаний включают:проверку наличия и работоспособности подсистемыидентификации;проверку наличия и надежности подсистемы35аутентификации;проверку средств загрузки операционной системы ИС вобход подсистемы идентификации и аутентификации;проверку времени действия пароля;проверку длины пароля;проверку идентификации аппаратурных объектов доступа;проверку идентификации информационных объектовдоступа;проверку настроек СЗ от НСД в части назначения объектамметок, соответствующих степеням секретности (уровняконфиденциальности) ресурсов;проверку регистрации начала и окончания работ; 57проверку регистрации выдачи документов на «твердую»копию; 57проверку регистрации использования программных средств; 57проверку регистрации доступа программных средств кзащищаемым файлам;проверку регистрации доступа программных средств к 94дополнительным защищаемым объектам доступа; 94проверку автоматического учета создания новых объектовдоступа; 57проверку очистки освобождаемых областей памяти.

57проверку очистки внешней памяти при ее освобождении(перераспределении);проверку средств контроля целостности программных36компонентов СЗ от НСД.Предварительные испытания завершают оформлением акта приемки вопытную эксплуатацию, предлагаемый мной вариант которого приведен вприложении В.2.2 Проведение опытной эксплуатацииОпытную эксплуатацию проводятся на основании документа «Программапроведения опытной эксплуатации».

Предлагаемый мной вариант документапредставлен в приложении Г.Целями опытной эксплуатации ИС являются:проверка работоспособности ИС и соответствияфункциональности ИС требованиям Технического задания;фиксация сбоев, ошибок, недостатков, возникающих ивыявленных в ходе 45 опытной эксплуатации.Задачи, решаемые в ходе опытной эксплуатации:оперативное устранение причин сбоев, ошибок,недостатков, возникающих в процессе опытной эксплуатации;внесение изменений в техническую и эксплуатационнуюдокументацию по итогам опытной эксплуатации.

45Место проведения и продолжительность опытной эксплуатации 42указывается в документе «Программа проведения опытной эксплуатации».Предлагаемый мной перечень проверок, включенных в программуопытной эксплуатации, включает:проверку работоспособности СЗ в ИС;проверку соответствия настроек СЗ в ИС требованиямтехнического задания. 4237 42Во время опытной эксплуатации исполнителем 45 ведется 42 рабочий журнал, вкоторый заносятся сведения об отказах, сбоях, аварийных ситуациях,изменениях параметров объекта автоматизации, проводимых корректировкахдокументации и программных средств, наладке технических средств. 45Предлагаемый мной вариант документа « Журнал проведения опытнойэксплуатации» 45 приведен в приложении Д.Порядок проведения опытной эксплуатации 45 ИС:формирование приказа на проведение опытнойэксплуатации;подготовка программно-аппаратного комплекса ИС всоответствии с проектной документацией;установка и настройка СЗИ, в соответствии с техническимзаданием;формирование плана обучения и инструктажа персонала;проведение обучения всех категорий персонала 45 ИС,непосредственно участвующего в проведении опытнойэксплуатации; 45проведение опытной эксплуатации и формированиежурнала опытной эксплуатации; 45формирование акта по результатам проведения опытнойэксплуатации 45При проведении опытной эксплуатации ИС работа с СЗ ИС должнапроводиться в соответствии с эксплуатационными документами.

45По результатам проведения опытной эксплуатации исполнительпредоставляет « 45 Журнал проведения опытной эксплуатации», 45 не содержащийкритических замечаний, а также план-график устранения замечаний,выявленных на этапе проведения опытной эксплуатации. 4538 45На основании «Журнала проведения опытной эксплуатации» 45 оформляется«Акт завершения опытной эксплуатации», 45 предлагаемый мной варианткоторого представлен в приложении Е, который предоставляется комиссии попроведению приемочных испытаний.2.3 24 Проведение 24 приемочных испытанийПриемочные испытания 24 проводятся на основании документа «Программаи методика приемочных испытаний». Предлагаемый вариант документаприведен в приложении Ж.Целью приемочных испытаний является определение соответствия ИСтребованиям безопасности информации.

Приемочные испытания проводятсяна соответствие положениям и требованиям действующих нормативныхправовых актов, методических документов и национальных стандартов в 46области защиты информации.. 52Задачей приемочных испытаний СЗ ИС является оценка её соответствиятребованиям технического задания.Проверка и испытания комплекса функций защиты информации от НСДпроводятся для программно-технической среды ИС в целом в соответствии сдействующими документами по защите информации от НСД. Проверкасоответствия СЗ ИС требованиям безопасности информации проводится наосновании анализа общих результатов испытаний и выявленных в процессеиспытаний недостатков и нарушений.Приемочные испытания СЗ ИС проводятся в соответствии с программой,включающей следующий перечень работ и порядок их проведения:проверка структуры, состава и условий эксплуатации ИС;проверка состояния организации работ и выполнения 56требований по защите информации; 9839проверка 98 ИС на соответствие требованиям 56 безопасностиинформации, включая;проведение испытаний ИС на 56 соответствие требованиям позащите информации от НСД.