Пояснительная записка (1209876), страница 5
Текст из файла (страница 5)
Оператором учебной ИСОП было принято решение о применении средств вычислительной техники класса не ниже, чем для информационных систем третьего класса защищенности. В соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11.02.2013 г. № 17 [4], в информационных системах третьего класса защищенности применяются средства вычислительной техники не ниже пятого класса.
В соответствии с Требованиями безопасности информации к операционным системам, утвержденным приказом ФСТЭК России от 19 августа 2016 г. № 119 [14] в ИСОП второго класса применяются операционные системы, соответствующие четвертому классу защиты.
В соответствии с Требованиями к средствам доверенной загрузки, утвержденными приказом ФСТЭК России от 27.09.2013 №119 [6], в ИСОП второго класса применяются средства доверенной загрузки, соответствующие четвертому классу защиты.
В соответствии с Требованиями к системам обнаружения вторжений, утвержденными приказом ФСТЭК России от 06.12.2011 №638 [7], в ИСОП второго класса применяются системы обнаружения вторжений, соответствующие четвертому классу защиты.
В соответствии с Требованиями к межсетевым экранам, утвержденными приказом ФСТЭК России от 09.01.2016 №9 [8], в ИСОП второго класса применяются межсетевые экраны, соответствующие четвертому классу защиты.
-
Соответствие Учебной ИСОП предъявляемым требованиям
На основании требований, определенных в пункте 2.1 и существующих мер защиты информации, определенных в пункте 1.2, было определено, что Учебная ИСОП не соответствует требованиям безопасности информации, что, в свою очередь, не позволяет создать лабораторию в области защищенных автоматизированных систем на основании требований пункта 7.3.1 ФГОС ВО [3], а также не позволяет провести аттестацию автоматизированных рабочих мест Учебной ИСОП по требованиям безопасности информации на основании требований примерных программ профессиональной переподготовки и повышения квалификации специалистов в области информационной безопасности, разработанными ФСТЭК России. Также было определено, что учебные СЗИ не соответствуют требованиям пункта 7.3.2 ФГОС ВО [3].
-
Определение набора мер защиты информации
В соответствии с пунктом 7 Требований [2] методы и способы защиты информации в информационных системах общего пользования определяются оператором ИСОП и должны соответствовать этим Требованиям [2]. Достаточность принятых мер защиты информации в ИСОП оценивается при создании этих систем и ходе контроля за их функционированием.
Для обеспечения целей модернизации Учебной ИСОП определение мер по обеспечению безопасности информации осуществляется в соответствии Требованиями [2] для ИСОП второго класса и методическим документом Меры защиты информации в государственных информационных системах, утвержденным ФСТЭК России 11 февраля 2014 г. [1] с учетом Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденных приказом ФСТЭК России от 11 февраля 2013 г. № 17 [4].
Базовый набор мер, основанный на требованиях по защите информации, предъявляемых к ИСОП второго класса представлен в таблице 2.1.
Таблица 2.1 – Базовый набор мер защиты информации
| Условное обозначение меры | Мера защиты информации в информационных системах |
| Идентификация и аутентификация субъектов доступа и объектов доступа (ИАФ) | |
| ИАФ.1 | Идентификация и аутентификация администраторов информационной системы и преподавателей |
| ИАФ.3 | Управление идентификаторами, в том числе создание, присвоение, уничтожение идентификаторов |
| ИАФ.4 | Управление средствами аутентификации, в том числе хранение выдача, инициализация, блокирование средств аутентификации и принятие мер в случае утраты и (или) компрометации средств аутентификации |
| ИАФ.5 | Защита обратной связи при вводе аутентификационной информации |
| ИАФ.6 | Идентификация и аутентификация пользователей, не являющихся работниками оператора (внешних пользователей) |
| Управление доступом субъектов доступа к объектам доступа (УПД) | |
| УПД.1 | Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей |
| Продолжение таблицы 2.1 | |
| Условное обозначение меры | Мера защиты информации в информационных системах |
| УПД.2 | Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа |
| УПД.3 | Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами |
| УПД.4 | Разделение обязанностей полномочий (ролей) пользователей (студентов, слушателей), администраторов и лиц, обеспечивающих функционирование информационной системы |
| УПД.5 | Назначение минимально необходимых прав и привилегий пользователям (студентам, слушателям), преподавателям, администраторам и лицам, обеспечивающим функционирование информационной системы |
| УПД.6 | Ограничение неуспешных попыток входа в информационную систему |
| УПД.9 | Ограничение числа параллельных сеансов доступа для каждой учетной записи пользователя информационной системы |
| УПД.10 | Блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу |
| УПД.11 | Разрешение действий пользователей, разрешенных до идентификации и аутентификации |
| УПД.13 | Реализация защищенного удаленного доступа субъектов доступа к объектам доступа через внешние информационно-телекоммуникационные сети |
| УПД.14 | Регламентация и контроль использования в информационной системе технологий беспроводного доступа |
| УПД.15 | Регламентация и контроль использования в информационной системе мобильных технических средств |
| УПД.16 | Управление взаимодействием с информационными системами сторонних организаций (внешние информационные системы) |
| УПД.17 | Обеспечение доверенной загрузки средств вычислительной техники |
| Ограничение программной среды (ОПС) | |
| Продолжение таблицы 2.1 | |
| Условное обозначение меры | Мера защиты информации в информационных системах |
| ОПС.1 | Управление запуском (обращениями) компонентов программного обеспечения, в том числе определение запускаемых компонентов, настройка параметров запуска компонентов, контроль за запуском компонентов программного обеспечения |
| ОПС.2 | Управление установкой компонентов программного обеспечения, в том числе определение компонентов, подлежащих установке, настройка параметров установки компонентов, контроль за установкой компонентов программного обеспечения |
| ОПС.3 | Установка только разрешенного к использованию программного обеспечения и (или) его компонентов |
| ОПС.4 | Управление временными файлами, в том числе запрет, разрешение, перенаправление записи, удаление временных файлов |
| Защита машинных носителей информации (ЗНИ) | |
| ЗНИ.1 | Учет машинных носителей информации, встроенных в корпус средств вычислительной техники (накопителей на жестких дисках) |
| ЗНИ.2 | Управление доступом к машинным носителям информации, встроенным в корпус средств вычислительной техники (накопителям на жестких дисках) |
| ЗНИ.3 | Контроль перемещения машинных носителей информации, встроенных в корпус средств вычислительной техники (накопителей на жестких дисках) за пределы КЗ |
| Регистрация событий безопасности (РСБ) | |
| РСБ.1 | Определение событий безопасности, подлежащих регистрации, и сроков их хранения |
| РСБ.2 | Определение состава и содержания информации о событиях безопасности, подлежащих регистрации |
| РСБ.3 | Сбор, запись и хранение информации о событиях безопасности в течение установленного времени хранения |
| РСБ.4 | Реагирование на сбои при регистрации событий безопасности, в том числе аппаратные и программные ошибки, сбои в механизмах сбора информации и достижение предела или переполнения объема (емкости) памяти |
| РСБ.5 | Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них |
| Продолжение таблицы 2.1 | |
| Условное обозначение меры | Мера защиты информации в информационных системах |
| РСБ.6 | Генерирование временных меток и (или) синхронизация системного времени в информационной системе |
| РСБ.7 | Защита информации о событиях безопасности |
| РСБ.8 | Обеспечение возможности просмотра и анализа информации о действиях отдельных пользователей в информационной системе |
| Антивирусная защита (АВЗ) | |
| АВЗ.1 | Реализация антивирусной защиты |
| АВЗ.2 | Обновление базы данных признаков вредоносных компьютерных программ (вирусов) |
| Обнаружение вторжений (СОВ) | |
| СОВ.1 | Обнаружение вторжений |
| СОВ.2 | Обновление базы решающих правил |
| Контроль (анализ) защищенности информации (АНЗ) | |
| АНЗ.1 | Выявление, анализ уязвимостей информационной системы и оперативное устранение вновь выявленных уязвимостей |
| АНЗ.2 | Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации |
| АНЗ.3 | Контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации |
| АНЗ.4 | Контроль состава технических средств, программного обеспечения и средств защиты информации |
| АНЗ.5 | Контроль правил генерации и смены паролей администраторов и преподавателей, заведения и удаления учетных записей пользователей, реализации правил разграничения доступом, полномочий пользователей в информационной системе |
| Обеспечение целостности информационной системы и информации (ОЦЛ) | |
| ОЦЛ.1 | Контроль целостности программного обеспечения, включая программное обеспечение средств защиты информации |
| ОЦЛ.2 | Контроль целостности информации, содержащейся в базах данных информационной системы |
| ОЦЛ.3 | Обеспечение возможности восстановления программного обеспечения, включая программное обеспечение средств защиты информации, при возникновении нештатных ситуаций |
| Продолжение таблицы 2.1 | |
| Условное обозначение меры | Мера защиты информации в информационных системах |
| ОЦЛ.5 | Контроль содержания информации, передаваемой из информационной системы (контейнерный, основанный на свойствах объекта доступа, и контентный, основанный на поиске запрещенной к передаче информации с использованием сигнатур, масок и иных методов) |
| ОЦЛ.6 | Ограничение прав пользователей по вводу информации в информационную систему |
| Обеспечение доступности информации (ОДТ) | |
| ОДТ.2 | Резервирование технических средств, программного обеспечения, каналов передачи информации, средств обеспечения функционирования информационной системы |
| ОДТ.3 | Контроль безотказного функционирования технических средств, обнаружение и локализация отказов функционирования, принятие мер по восстановлению отказавших средств и их тестирование |
| ОДТ.4 | Периодическое резервное копирование информации на резервные машинные носители информации |
| ОДТ.5 | Обеспечение возможности восстановления информации с резервных машинных носителей информации (резервных копий) в течении установленного временного интервала |
| Защита среды виртуализации (ЗСВ) | |
| ЗСВ.1 | Идентификация и аутентификация субъектов доступа и объектов доступа в виртуальной инфраструктуре, в том числе администраторов управления средствами виртуализации |
| ЗСВ.2 | Управление доступом субъектов доступа к объектам доступа в виртуальной инфраструктуре, в том числе внутри виртуальных машин |
| ЗСВ.3 | Регистрация событий безопасности в виртуальной инфраструктуре |
| ЗСВ.4 | Управление (фильтрация, маршрутизация, контроль соединения, однонаправленная передача) потоками информации между компонентами виртуальной инфраструктуры, а также по периметру виртуальной инфраструктуры |
| ЗСВ.5 | Доверенная загрузка серверов виртуализации, виртуальной машины (контейнера), серверов управления виртуализацией |
| ЗСВ.6 | Управление перемещением виртуальных машин (контейнеров) и обрабатываемых на них данных |
| Продолжение таблицы 2.1 | |
| Условное обозначение меры | Мера защиты информации в информационных системах |
| ЗСВ.7 | Контроль целостности виртуальной инфраструктуры и ее конфигураций |
| ЗСВ.8 | Резервное копирование данных, резервирование технических средств, программного обеспечения виртуальной инфраструктуры, а также каналов связи внутри виртуальной инфраструктуры |
| ЗСВ.9 | Реализация и управление антивирусной защитой в виртуальной инфраструктуре |
| Защита технических средств (ЗТС) | |
| ЗТС.2 | Организация контролируемой зоны, в пределах которой постоянно размещаются стационарные технические средства, обрабатывающие информацию, и средства защиты информации, а также средства обеспечения функционирования |
| ЗТС.3 | Контроль и управление физическим доступом к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены, исключающие несанкционированный физический доступ к средствам обработки информации, средствам защиты информации и средствам обеспечения функционирования информационной системы и помещения и сооружения, в которых они установлены |
| ЗТС.5 | Защита от внешних воздействий (воздействий окружающей среды, нестабильности электроснабжения, кондиционирования и иных внешних факторов) |
| Защита информационной системы, ее средств, систем связи и передачи данных (ЗИС) | |
| ЗИС.3 | Обеспечение защиты информации от модификации и навязывания (ввода ложной информации) при ее передаче (подготовке к передаче) по каналам связи, имеющим выход за пределы контролируемой зоны, в том числе беспроводным каналам связи |
| ЗИС.5 | Запрет несанкционированной удаленной активации видеокамер, микрофонов и иных периферийных устройств, которые могут активироваться удаленно, и оповещение пользователей об активации таких устройств |
| Окончание таблицы 2.1 | |
| Условное обозначение меры | Мера защиты информации в информационных системах |
| ЗИС.6 | Передача и контроль целостности атрибутов безопасности (меток безопасности), связанных с информацией, при обмене информацией с иными информационными системами |
| ЗИС.7 | Контроль санкционированного и исключение несанкционированного использования технологий мобильного кода, в том числе регистрация событий, связанных с использованием технологий мобильного кода, их анализ и реагирование на нарушения, связанные с использованием технологий мобильного кода |
| ЗИС.8 | Контроль санкционированного и исключение несанкционированного использования технологий передачи речи, в том числе регистрация событий, связанных с использованием технологий передачи речи, их анализ и реагирование на нарушения, связанные с использованием технологий передачи речи |
| ЗИС.9 | Контроль санкционированной и исключение несанкционированной передачи видеоинформации, в том числе регистрация событий, связанных с передачей видеоинформации, их анализ и реагирование на нарушения, связанные с передачей видеоинформации |
| ЗИС.15 | Защита архивных файлов, параметров настройки средств защиты информации и программного обеспечения и иных данных, не подлежащих изменению в процессе обработки информации |
| ЗИС20 | Защита беспроводных соединений, применяемых в информационной системе |
| ЗИС.22 | Защита информационной системы от угроз безопасности информации, направленных на отказ в обслуживании информационной системы |
| ЗИС.23 | Защита периметра (физических и (или) логических границ) информационной системы при ее взаимодействии с иными информационными системами и информационно- телекоммуникационными сетями |
| ЗИС.30 | Защита мобильных технических средств, применяемых в информационной системе |
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
