1.4.2. Технический проект арм отдела кадров

Общие сведения об АРМ

АРМ – автоматизированное рабочее место.

АРМ – это комплекс методологических, программных, технических, информаци-

онных, языковых средств, обеспечивающих работу пользователя в некоторой предметной

области.

Под методологическим обеспечением АРМа понимают комплекс инструкций,

объясняющих работу всех типов пользователей:

1) пользователь-специалист предметной области (экономист, сотрудник отдела

кадров),

2) программисты, сопровождающие систему.

Языковые средства АРМа подразделяются по типу пользователей:

1) специалист предметной области – входной язык АРМа (язык типа меню, подска-

зок, запросов);

2) разработчик АРМа – язык средства разработки.

АРМ “Учет кадров” позволяет значительно повысить эффективность и производи-

тельность труда, улучшает моральный климат в коллективе , что в значительной степени от-

ражается на производительности труда других работников в сторону ее улучшения.

Задача “Учет кадров“ является составной частью подсистемы “управление кадра-

ми“. Управление кадрами на предприятии – это одна из наиболее ответственных функ-

ций, требующая большого объема управленческих операций. Особое значение имеют

правильный подбор и расстановка кадров, непрерывное повышение их квалификации.

Решение задачи “Учет кадров “ осуществляет отдел кадров.

Технология ведения учета кадров в отделе кадров__

Человек, устраиваясь на работу, приносит с собой паспорт, трудовую книжку и

диплом об окончании Вуза (если таковой имеется). На основании этих данных в отделе

кадров заполняется личная карточка. В ней в процессе работы сотрудника будут отме-

чаться его назначения и перемещения, результаты аттестации, сведения об отпусках, о

присвоении ученых степеней и изменения научной специальности.

На основе данных, отраженных в личной карточке, составляются различные

справки для соответствующих подразделений института, а также формируются различ-

ные формы статистической отчетности, которые передаются в вышестоящие органы и

служат для учета.

В журнале регистрации больничных листов регистрируются предъявляемые со-

трудниками больничные листы, в которых проставляют непрерывный стаж. Больничные

листы передаются в расчетный отдел.

В отделе кадров наиболее распространенной операцией является выдача различ-

ной справочной информации и форм статистической отчетности , для чего необходимо

иметь таблицы штатного расписания : общую и распределенную по отделам .

Кадры – это основной состав сотрудников объекта – ВУЗ. Отдел кадров – это эле-

мент регулирующего органа системы, назначение которого – выдавать информацию ре-

гулирующему органу (директору) для реализации кадровой политики.

Отдел кадров выполняет следующие функции:

1. прием людей на работу (проведение аттестации)

2. 2) заключение договора

3. 3) перемещение по должностям

4. 4) тестирование на предмет деятельности (усталости, надежности) и предоставле-

5. ние отпусков

6. 5) увольнение

7. 6) статистика кадров

Информационное обеспечение АРМа кадров должно включать в себя: БД пред-

метной области (отдела кадров), макеты документов, классификаторы, сценарий диалога.

Техническое обеспечение АРМа кадров включает в себя: ПЭВМ периферией или

сети ПЭВМ.

Программные средства АРМа кадров включают в себя: операционные системы,

средства разработки АРМа кадров и специальное программное обеспечение автоматизирующее и поддерживающее основные работы в отделе кадров.

Учет кадров – это трудоемкий процесс, требующий значительных затрат времени,сил и энергии работников, занимающихся учетом,не говоря о том, что рабочее место постоянно завалено огромным количеством бумажных документов, что приводит к развитию бюрократизма и значительно затрудняет процесс учета.

Разработка программного комплекса – “Автоматизированный учет кадров” и ав-

томатизация рабочего места сотрудника кадров позволяет значительно облегчить труд

сотрудника, занимающегося учетом кадров.

Кроме того программный комплекс “Автоматизированный учет кадров” позволя-

ет четко, правильно и своевременно предоставлять различные справки и отчеты по

приему, движению и выбытию кадров на определенную дату или за определенный пе-

риод. программный комплекс “Автоматизированный учет кадров” является основой

АРМ “отдела кадров”.

Общая схема по созданию автоматизации работы отдела кадров

I. Создание и ведение базы данных информации по кадрам и НСИ (аналитическая

информация и режим ведения нормативно-справочного фонда);

II. Автоматизация:

1) Режимов приема на работу и зачисления на должность;

2) Процесса перевода на должности;

3) Процесса получения оперативных справок по запросу директора о составе.

4) Процесса – юридического обоснования зачисления и передвижения по долж-

ностям.

Для внедрения АРМ учета кадров разрабатывается инструкция пользователю – со-

труднику отдела кадров.

Инструкция пользователю – это перечень шагов, которые выполняет сотрудник

отдела кадров.

Можно определить следующий вид рабочего сценария диалога АРМ отдела кад-

ров, рис. 89 и рис. 90.

18 вопрос

19 вопрос.

20 вопрос.

Основными источниками правового регулирования отношений в области создания и применения автоматизированных информационных систем, информационных технологий средств связи и телекоммуникаций являются Федеральный закон «Об информации, информатизации и защите информации» (гл. 4 «Информатизация. Информационные системы, технологии и средства их обеспечения»), Гражданский кодекс РФ, а также Закон РФ «О сертификации продукции и услуг», Федеральные законы «О связи», «О федеральной фельдъегерской связи», «О почтовой связи».

Информационные системы, технологии и средства их обеспечения могут быть объектами собственности физических и юридических лиц, государства.

Собственником информационной системы, технологии и средств их обеспечения признается физическое или юридическое лицо, на средства которого эти объекты произведены, приобретены или получены в порядке наследования, дарения или иным законным способом.

Информационные системы, технологии и средства их обеспечения включаются в состав имущества субъекта, осуществляющего права собственника или владельца этих объектов. Информационные системы, технологии и средства их обеспечения выступают в качестве товара (продукции) при соблюдении исключительных прав их разработчиков.

Собственник информационной системы, технологии и средств их обеспечения определяет условия использования этой продукции.

Право авторства и право собственности на информационные системы, технологии и средства их обеспечения могут принадлежать разным лицам.

Собственник информационной системы, технологии и средств их обеспечения обязан защищать права их автора в соответствии с законодательством РФ.

Информационные системы, базы и банки данных, предназначенные для информационного обслуживания граждан и организаций, подлежат сертификации в порядке, установленном Законом РФ «О сертификации продукции и услуг».

Информационные системы органов государственной власти РФ, и органов государственной власти субъектов Российской Федерации, и других государственных органов, организаций, которые обрабатывают документированную информацию с ограниченным доступом, а также средства защиты этих систем подлежат обязательной сертификации. Порядок сертификации определяется законодательством, РФ.

Организации, выполняющие работы в области проектирования, производства средств защиты информации и обработки персональных данных, получают лицензии на этот вид деятельности. Порядок лицензирования определяется законодательством РФ.

Интересы потребителя информации при использовании импортной продукции в информационных системах защищаются таможенными органами РФ на основе международной системы сертификации. Вопросы сертификации в информационной сфере определяются нормами Закона РФ «О сертификации продукции и услуг».

Федеральным законом от 25 сентября 1998 г. № 158-ФЗ «О лицензировании отдельных видов деятельности» установлен перечень видов деятельности, на осуществление которых требуются лицензии, в частности: деятельность по распространению шифровальных средств, техническому обслуживанию шифровальных средств; предоставление услуг в области шифрования информации.

21 вопрос.

Методы и средства защиты от несанкционированного доступа

© Панасенко Сергей, 2005

Предлагаемая вашему вниманию статья посвящена проблеме защиты компьютеров от несанкционированного доступа и средствам, позволяющим решить данную проблему.

Проблема несанкционированного доступа

Несанкционированный доступ (НСД) злоумышленника на компьютер опасен не только возможностью прочтения и/или модификации обрабатываемых электронных документов, но и возможностью внедрения злоумышленником управляемой программной закладки, которая позволит ему предпринимать следующие действия:

Читать и/или модифицировать электронные документы, которые в дальнейшем будут храниться или редактироваться на компьютере.

Осуществлять перехват различной ключевой информации, используемой для защиты электронных документов.

Использовать захваченный компьютер в качестве плацдарма для захвата других компьютеров локальной сети.

Уничтожить хранящуюся на компьютере информацию или вывести компьютер из строя путем запуска вредоносного программного обеспечения.

Защита компьютеров от НСД является одной из основных проблем защиты информации, поэтому в большинство операционных систем и популярных пакетов программ встроены различные подсистемы защиты от НСД. Например, выполнение аутентификации в пользователей при входе в операционные системы семейства Windows. Однако, не вызывает сомнений тот факт, что для серьезной защиты от НСД встроенных средств операционных систем недостаточно. К сожалению, реализация подсистем защиты большинства операционных систем достаточно часто вызывает нарекания из-за регулярно обнаруживаемых уязвимостей, позволяющих получить доступ к защищаемым объектам в обход правил разграничения доступа. Выпускаемые же производителями программного обеспечения пакеты обновлений и исправлений объективно несколько отстают от информации об обнаруживаемых уязвимостях. Поэтому в дополнение к стандартным средствам защиты необходимо использование специальных средств ограничения или разграничения доступа.

Данные средства можно разделить на две категории:

Средства ограничения физического доступа.

Средства защиты от несанкционированного доступа по сети.

Средства ограничения физического доступа

Наиболее надежное решение проблемы ограничения физического доступа к компьютеру – использование аппаратных средств защиты информации от НСД, выполняющихся до загрузки операционной системы. Средства защиты данной категории называются «электронными замками». Пример электронного замка представлен на рис. 1.

Теоретически, любое программное средство контроля доступа может подвергнуться воздействию злоумышленника с целью искажения алгоритма работы такого средства и последующего получения доступа к системе. Поступить подобным образом с аппаратным средством защиты практически невозможно: все действия по контролю доступа пользователей электронный замок выполняет в собственной доверенной программной среде, которая не подвержена внешним воздействиям.

На подготовительном этапе использования электронного замка выполняется его установка и настройка. Настройка включает в себя следующие действия, обычно выполняемые ответственным лицом – Администратором по безопасности:

Создание списка пользователей, которым разрешен доступ на защищаемый компьютер. Для каждого пользователя формируется ключевой носитель (в зависимости от поддерживаемых конкретным замком интерфейсов – дискета, электронная таблетка iButton или смарт-карта), по которому будет производиться аутентификация пользователя при входе. Список пользователей сохраняется в энергонезависимой памяти замка.

Формирование списка файлов, целостность которых контролируется замком перед загрузкой операционной системы компьютера. Контролю подлежат важные файлы операционной системы, например, следующие:

системные библиотеки Windows;

исполняемые модули используемых приложений;

шаблоны документов Microsoft Word и т. д.

Контроль целостности файлов представляет собой вычисление их эталонной контрольной суммы, например, хэширование по алгоритму ГОСТ Р 34.11-94, сохранение вычисленных значений в энергонезависимой памяти замка и последующее вычисление реальных контрольных сумм файлов и сравнение с эталонными.

В штатном режиме работы электронный замок получает управление от BIOS защищаемого компьютера после включения последнего. На этом этапе и выполняются все действия по контролю доступа на компьютер (см. упрощенную схему алгоритма на рис. 2), а именно:

Замок запрашивает у пользователя носитель с ключевой информацией, необходимой для его аутентификации. Если ключевая информация требуемого формата не предъявляется или если пользователь, идентифицируемый по предъявленной информации, не входит в список пользователей защищаемого компьютера, замок блокирует загрузку компьютера.

Если аутентификация пользователя прошла успешно, замок рассчитывает контрольные суммы файлов, содержащихся в списке контролируемых, и сравнивает полученные контрольные суммы с эталонными. В случае, если нарушена целостность хотя бы одного файла из списка, загрузка компьютера блокируется. Для возможности дальнейшей работы на данном компьютере необходимо, чтобы проблема была разрешена Администратором, который должен выяснить причину изменения контролируемого файла и, в зависимости от ситуации, предпринять одно из следующих действий, позволяющих дальнейшую работу с защищаемым компьютером:

пересчитать эталонную контрольную сумму для данного файла, т.е. зафиксировать измененный файл;

восстановить исходный файл;

удалить файл из списка контролируемых.

Если все проверки пройдены успешно, замок возвращает управление компьютеру для загрузки штатной операционной системы.

Поскольку описанные выше действия выполняются до загрузки операционной системы компьютера, замок обычно загружает собственную операционную систему (находящуюся в его энергонезависимой памяти – обычно это MS-DOS или аналогичная ОС, не предъявляющая больших требований к ресурсам), в которой выполняются аутентификация пользователей и проверка целостности файлов. В этом есть смысл и с точки зрения безопасности – собственная операционная система замка не подвержена каким-либо внешним воздействиям, что не дает возможности злоумышленнику повлиять на описанные выше контролирующие процессы.

Информация о входах пользователей на компьютер, а также о попытках несанкционированного доступа сохраняется в журнале, который располагается в энергонезависимой памяти замка. Журнал может быть просмотрен Администратором.

При использовании электронных замков существует ряд проблем, в частности:

BIOS некоторых современных компьютеров может быть настроен таким образом, что управление при загрузке не передается BIOS’у замка. Для противодействия подобным настройкам замок должен иметь возможность блокировать загрузку компьютера (например, замыканием контактов Reset) в случае, если в течение определенного интервала времени после включения питания замок не получил управление.

Злоумышленник может просто вытащить замок из компьютера. Однако, существует ряд мер противодействия:

Различные организационно-технические меры: пломбирование корпуса компьютера, обеспечение отсутствие физического доступа пользователей к системному блоку компьютера и т. д.

Существуют электронные замки, способные блокировать корпус системного блока компьютера изнутри специальным фиксатором по команде администратора – в этом случае замок не может быть изъят без существенного повреждения компьютера.

Довольно часто электронные замки конструктивно совмещаются с аппаратным шифратором. В этом случае рекомендуемой мерой защиты является использование замка совместно с программным средством прозрачного (автоматического) шифрования логических дисков компьютера. При этом ключи шифрования могут быть производными от ключей, с помощью которых выполняется аутентификация пользователей в электронном замке, или отдельными ключами, но хранящимися на том же носителе, что и ключи пользователя для входа на компьютер. Такое комплексное средство защиты не потребует от пользователя выполнения каких-либо дополнительных действий, но и не позволит злоумышленнику получить доступ к информации даже при вынутой аппаратуре электронного замка.

Средства защиты от НСД по сети

Наиболее действенными методами защиты от несанкционированного доступа по компьютерным сетям являются виртуальные частные сети (VPN – Virtual Private Network) и межсетевое экранирование. Рассмотрим их подробно.

Виртуальные частные сети

Виртуальные частные сети обеспечивают автоматическую защиту целостности и конфиденциальности сообщений, передаваемых через различные сети общего пользования, прежде всего, через Интернет. Фактически, VPN – это совокупность сетей, на внешнем периметре которых установлены VPN-агенты (см. рис. 3). VPN-агент – это программа (или программно-аппаратный комплекс), собственно обеспечивающая защиту передаваемой информации путем выполнения описанных ниже операций.

Перед отправкой в сеть любого IP-пакета VPN-агент производит следующее:

Из заголовка IP-пакета выделяется информация о его адресате. Согласно этой информации на основе политики безопасности данного VPN-агента выбираются алгоритмы защиты (если VPN-агент поддерживает несколько алгоритмов) и криптографические ключи, с помощью которых будет защищен данный пакет. В том случае, если политикой безопасности VPN-агента не предусмотрена отправка IP-пакета данному адресату или IP-пакета с данными характеристиками, отправка IP-пакета блокируется.

С помощью выбранного алгоритма защиты целостности формируется и добавляется в IP-пакет электронная цифровая подпись (ЭЦП), имитоприставка или аналогичная контрольная сумма.

С помощью выбранного алгоритма шифрования производится зашифрование IP-пакета.

С помощью установленного алгоритма инкапсуляции пакетов зашифрованный IP-пакет помещается в готовый для передачи IP-пакет, заголовок которого вместо исходной информации об адресате и отправителе содержит соответственно информацию о VPN-агенте адресата и VPN-агенте отправителя. Т.е. выполняется трансляция сетевых адресов.

Пакет отправляется VPN-агенту адресата. При необходимости, производится его разбиение и поочередная отправка результирующих пакетов.

При приеме IP-пакета VPN-агент производит следующее:

Из заголовка IP-пакета выделяется информация о его отправителе. В том случае, если отправитель не входит в число разрешенных (согласно политике безопасности) или неизвестен (например, при приеме пакета с намеренно или случайно поврежденным заголовком), пакет не обрабатывается и отбрасывается.

Согласно политике безопасности выбираются алгоритмы защиты данного пакета и ключи, с помощью которых будет выполнено расшифрование пакета и проверка его целостности.

Выделяется информационная (инкапсулированная) часть пакета и производится ее расшифрование.

Производится контроль целостности пакета на основе выбранного алгоритма. В случае обнаружения нарушения целостности пакет отбрасывается.

Пакет отправляется адресату (по внутренней сети) согласно информации, находящейся в его оригинальном заголовке.

VPN-агент может находиться непосредственно на защищаемом компьютере (например, компьютеры «удаленных пользователей» на рис. 3). В этом случае с его помощью защищается информационный обмен только того компьютера, на котором он установлен, однако описанные выше принципы его действия остаются неизменными.

Основное правило построения VPN – связь между защищенной ЛВС и открытой сетью должна осуществляться только через VPN-агенты. Категорически не должно быть каких-либо способов связи, минующих защитный барьер в виде VPN-агента. Т.е. должен быть определен защищаемый периметр, связь с которым может осуществляться только через соответствующее средство защиты.

Политика безопасности является набором правил, согласно которым устанавливаются защищенные каналы связи между абонентами VPN. Такие каналы обычно называют туннелями, аналогия с которыми просматривается в следующем:

Вся передаваемая в рамках одного туннеля информация защищена как от несанкционированного просмотра, так и от модификации.

Инкапсуляция IP-пакетов позволяет добиться сокрытия топологии внутренней ЛВС: из Интернет обмен информации между двумя защищенными ЛВС виден как обмен информацией только между их VPN-агентами, поскольку все внутренние IP-адреса в передаваемых через Интернет IP-пакетах в этом случае не фигурируют.

Правила создания туннелей формируются в зависимости от различных характеристик IP-пакетов, например, основной при построении большинства VPN протокол IPSec (Security Architecture for IP) устанавливает следующий набор входных данных, по которым выбираются параметры туннелирования и принимается решение при фильтрации конкретного IP-пакета:

IP-адрес источника. Это может быть не только одиночный IP-адрес, но и адрес подсети или диапазон адресов.

IP-адрес назначения. Также может быть диапазон адресов, указываемый явно, с помощью маски подсети или шаблона.

Идентификатор пользователя (отправителя или получателя).

Протокол транспортного уровня (TCP/UDP).

Номер порта, с которого или на который отправлен пакет.

Межсетевое экранирование

Межсетевой экран представляет собой программное или программно-аппаратное средство, обеспечивающее защиту локальных сетей и отдельных компьютеров от несанкционированного доступа со стороны внешних сетей путем фильтрации двустороннего потока сообщений при обмене информацией. Фактически, межсетевой экран является «урезанным» VPN-агентом, не выполняющим шифрование пакетов и контроль их целостности, но в ряде случаев имеющим ряд дополнительных функций, наиболее часто из которых встречаются следующие:

антивирусное сканирование;

контроль корректности пакетов;

контроль корректности соединений (например, установления, использования и разрыва TCP-сессий);

контент-контроль.

Межсетевые экраны, не обладающие описанными выше функциями и выполняющими только фильтрацию пакетов, называют пакетными фильтрами.

По аналогии с VPN-агентами существуют и персональные межсетевые экраны, защищающие только компьютер, на котором они установлены.

Межсетевые экраны также располагаются на периметре защищаемых сетей и фильтруют сетевой трафик согласно настроенной политике безопасности.

Комплексная защита

Электронный замок может быть разработан на базе аппаратного шифратора. В этом случае получается одно устройство, выполняющее функции шифрования, генерации случайных чисел и защиты от НСД. Такой шифратор способен быть центром безопасности всего компьютера, на его базе можно построить полнофункциональную систему криптографической защиты данных, обеспечивающую, например, следующие возможности:

Защита компьютера от физического доступа.

Защита компьютера от НСД по сети и организация VPN.

Шифрование файлов по требованию.

Автоматическое шифрование логических дисков компьютера.

Вычислени/проверка ЭЦП.

Защита сообщений электронной почты.

Выбор сертифицированных средств и методы защиты от несанкционированного доступа

Средства защиты информационных систем по обработке персональных данных от несанкционированного доступа должны отвечать требованиям российского законодательства. Поэтому организации, которые работают с персональными данными, должны уделить внимание правильному выбору таких средств. ФСТЭК и ФСБ России регулируют деятельность компаний в области ПДН, а использование средств защиты для государственных организаций, негосударственных, работающих с данными гос.органов, а также организаций, работающих с ПДН, является обязательным условием.

Российское законодательство выдвигает ряд требований к таким компаниям:

В частности:

Нормативный документ СТР-К содержит в себе основные требования и рекомендации по технической защите персональных данных.

«Для управления, контроля защищенности ЛВС и управления системных ресурсов в ЛВС, включая управление средствами защиты информации, обрабатываемой (хранимой, передаваемой) в ЛВС, должны использоваться соответствующие сертифицированные по требованиям безопасности информации средства защиты».

Закон РФ №5485-I «О государственной тайне» от 21 июля 1993г. гласит: «Средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности».

Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных (утв. постановлением Правительства РФ от 17 ноября 2007 г. N 781).

«Средства защиты информации, применяемые в информационных системах, в установленном порядке проходят процедуру оценки соответствия».

Приказ ФСТЭК России от 5 февраля 2010 г. N 58 содержит требования к методам и способам защиты персональных данных в информационных системах.

и т.д.

Помимо использования сертифицированных средств защиты информации, необходимо учесть требования к безопасности систем обработки в целом. Наличие сертификата является важным подспорьем для обеспечения легитимности и безопасности систем по обработке конфиденциальной информации. Выбирая программное обеспечение, прошедшее сертификацию ФСТЭК, компания получает гарантию их качества и безопасности.

На официальном сайте Федеральной службы по техническому и экспортному контролю (ФСТЭК России) содержится реестр программных средств защиты информации (СЗИ), рекомендованный к использованию в условиях государственных и негосударственных организаций. Для правильного выбора сертифицированного программного обеспечения необходимо учесть ряд условий: широкий функционал и надежность, совместимость с операционными системами, соответствие требований руководящих документов и т.д. Выполнение массы технических требований кПО потребует применения нескольких решений по защите и обработке персональных данных.

Выбор СЗИ должен начинаться с оценки соответствия руководящим документам ФСТЭК и ФСБ России.

Документ «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» (РД АС) содержит всю необходимую информацию по применению систем защиты.

Приказ ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г. N 55/86/20 « Об утверждении Порядка проведения классификации информационных систем персональных данных» определяет качественные характеристики сертифицированного ПО:

- категория персональных данных;

- объем обрабатываемых данных;

- характеристики безопасности персональных данных;

- структура информационной системы;

- наличие подключений информационной системы к сетям связи общего пользования и/или сетям международного информационного обмена;

- режим обработки персональных данных;

- режимуправления правами доступа пользователей информационной системы;

- местонахождение технических средств информационной системы.

Защита персональных данных, содержащих государственную тайну, реализуется в соответствии с документом «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» (РД АС). Положение о методах и способах защиты информации в информационных системах персональных данных регулирует использование соответствующего ПО.

Некоторые сертификаты не содержат информации об использовании средств защиты в системах обработки данных, это значит, что подобные средства не проходили проверку на соответствия требованиям документа РДАС, но могли быть сертифицированы на соответствие РД «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» (РД СВТ). В Сертификатах таких СЗИ присутствует запись типа «соответствует 5 СВТ».

Требования руководящих документов обычно совпадают с параметрами безопасности основных автоматизированных систем, а также могут легко сопоставляться между собой, облегчая тем самым оценку приобретаемого программного обеспечения. Существует следующая классификация:

Требования к системам для защиты конфиденциальной информации: не ниже 5 класса для классов защищенности АС 3Б, 2Б,1Д, 1Г.

Требования к системам по обработке информации, содержащей государственную тайну:

- не ниже 4 класса для класса защищенности АС 3А, 2А, 1В;

- не ниже 3 класса для класса защищенности АС 3А, 2А, 1Б;

- не ниже 2 класса для класса защищенности АС 1А.

Программный продукт, который имеет дополнительные функции защиты, либо продукт, который содержит не все необходимые технологии безопасности для сертификации, но удовлетворяет требованиям РД АС, может получать сертификат по документу «Безопасность информационных технологий. Критерии оценки безопасности информационных технологий» (РД ОК) или по Техническим условиям.

Программное обеспечение Microsoft сертифицируется в соответствии с РД ОК. Данный документ содержит ряд определений и правил, на основании которых ведется описание и оценка систем защиты, и на его основе потребитель сам может оценить степень защиты и сопоставить заявленные при сертификации возможности с требованиями РД АС. В РД ОК определено семь упорядоченных по возрастанию оценочных уровней доверия (ОУД) безопасности, содержащих рассчитанные на многократное применение комбинации требований доверия. Принято, что для систем защиты конфиденциальной информации и персональных данных классов не выше К2 достаточно уровней доверия ОУД 1, ОУД2. Для АС, обрабатывающих государственную тайну и ИСПДн класса К1 – не ниже ОУД 3.

Возможности программных решений, сертифицированных по РД ОК, перечислены в разделе «Задания по безопасности», который находится в открытом доступе.

Антивирусное программное обеспечение проходит сертификацию на соответствие техническим условиям (ТУ). Как правило, разработчик антивирусного ПО предоставляет реестр технических условий для проверки соответствия требованиям по безопасности. ТУ, которое так же должно быть публичным документом.

Межсетевые экраны (МЭ) проходят сертификацию в соответствии с документом «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» (РД СВТ МЭ). Существует 5 классов защиты, из которых пятый – последний, четвертый – для 1Г (К2), третий – 1В (К1), второй – 1Б, первый – 1А.

Также значительная часть программных продуктов проходит сертификацию на соответствие РД «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей». Это дополнительные требования ФСТЭК России к проверке программных и программно-аппаратных продуктов, реализующих функции защиты на отсутствие недекларированных возможностей (НДВ). Данные средства используются для проверки исходного кода программ с целью защиты от вирусов и другого вредоносного кода.

Согласно документу, который устанавливает четыре уровня контроля отсутствия недекларированных возможностей, программное обеспечение по защите государственной тайны должно отвечать требованиям не ниже третьего уровня контроля. Практически все сертифицированные продукты Microsoft могут использоваться в ИСПДн до класса К2 включительно.

С возможностями использования средства защиты информации можно ознакомиться с помощью его сертификата. Сертификат Microsoft Windows XP SP3 содержит информацию об ограничениях использования системы:

При использовании операционной системы должны соблюдаться условия, определенные для среды функционирования в Задании по безопасности MS.Win_XP_SP3.ЗБ.

Настройки и контроль механизмов защиты безопасности должны производиться в соответствии с "Руководство по безопасной настройке и контролю сертифицированной версии. Microsoft® Windows® XP Professional Service Pack 3".

Операционная система Microsoft® Windows XP Professional Service Pack 3 должна пройти процедуру контроля соответствия (верификации) сертифицированному эталону.

На операционную систему должны быть установлены все актуальные обязательные сертифицированные обновления безопасности.

Рекомендуется обращаться к схемам сертификации СЗИ, которых насчитывается три вида:

- единичного образца;

Проводится для конкретной системы по защите информации, уже установленной или планирующейся к установке в автоматизированную систему. Приобрести такой сертификат очень сложно.

- партии СЗИ;

Проводится для партии систем. Наиболее распространенный вид сертификации.

- серийного производства СЗИ.

Соответственно, проводится для серийного производства.

Также при выборе средства защиты информации должен учитываться срок действия сертификата по безопасности, который выдается на три года.

Поставка программного обеспечения прекращается по истечении срока действия сертификата ФСТЭК. В случае утраты силы сертификата СЗИ, интегрированного в аттестованную автоматизированную систему, это СЗИ может быть использовано до даты окончания аттестата. Продление сертификата возможно самостоятельно, предоставив во ФСТЭК подтверждающие документы, либо с помощью заявителя.

Средства защиты должны своевременно устанавливаться и обновляться, что является необходимым условием действия Сертификата. Запрещена установка обновлений безопасности, не прошедших сертификацию. Сертификацию таких обновлений обязан осуществлять Заявитель, без каких-либо дополнительных условий. Наша компания предлагает ряд услуг по сертификации предоставляемых обновлений Microsoft.

Также вы можете самостоятельно сертифицировать любое программное обеспечение по защите информации, удовлетворяющее требованиям руководящих документов. Пользователь должен выступить в роли Заявителя, согласовать со ФСТЭК России ЗБ, ТУ или другой руководящий документ, предоставить в Испытательную лабораторию комплект необходимой конструкторской и эксплуатационной документации, образец СЗИ, а также оплатить все расходы по сертификации. При этом, необходимо иметь статус лицензиата ФСТЭК и (или) ФСБ России на деятельность по разработке и производству СЗИ.

22 вопроса.

23 вопрос.

5. Общие методы обеспечения информационной безопасности Российской Федерации

Общие методы обеспечения информационной безопасности Российской Федерации разделяются на правовые, организационно-технические и экономические.

К правовым методам обеспечения информационной безопасности Российской Федерации относится разработка нормативных правовых актов, регламентирующих отношения в информационной сфере, и нормативных методических документов по вопросам обеспечения информационной безопасности Российской Федерации. Наиболее важными направлениями этой деятельности являются:

внесение изменений и дополнений в законодательство Российской Федерации, регулирующее отношения в области обеспечения информационной безопасности, в целях создания и совершенствования системы обеспечения информационной безопасности Российской Федерации, устранения внутренних противоречий в федеральном законодательстве, противоречий, связанных с международными соглашениями, к которым присоединилась Российская Федерация, и противоречий между федеральными законодательными актами и законодательными актами субъектов Российской Федерации, а также в целях конкретизации правовых норм, устанавливающих ответственность за правонарушения в области обеспечения информационной безопасности Российской Федерации;

законодательное разграничение полномочий в области обеспечения информационной безопасности Российской Федерации между федеральными органами государственной власти и органами государственной власти субъектов Российской Федерации, определение целей, задач и механизмов участия в этой деятельности общественных объединений, организаций и граждан;

разработка и принятие нормативных правовых актов Российской Федерации, устанавливающих ответственность юридических и физических лиц за несанкционированный доступ к информации, ее противоправное копирование, искажение и противозаконное использование, преднамеренное распространение недостоверной информации, противоправное раскрытие конфиденциальной информации, использование в преступных и корыстных целях служебной информации или информации, содержащей коммерческую тайну;

уточнение статуса иностранных информационных агентств, средств массовой информации и журналистов, а также инвесторов при привлечении иностранных инвестиций для развития информационной инфраструктуры России;

законодательное закрепление приоритета развития национальных сетей связи и отечественного производства космических спутников связи;

определение статуса организаций, предоставляющих услуги глобальных информационно-телекоммуникационных сетей на территории Российской Федерации, и правовое регулирование деятельности этих организаций;

создание правовой базы для формирования в Российской Федерации региональных структур обеспечения информационной безопасности.

Организационно-техническими методами обеспечения информационной безопасности Российской Федерации являются:

создание и совершенствование системы обеспечения информационной безопасности Российской Федерации;

усиление правоприменительной деятельности федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, включая предупреждение и пресечение правонарушений в информационной сфере, а также выявление, изобличение и привлечение к ответственности лиц, совершивших преступления и другие правонарушения в этой сфере;

разработка, использование и совершенствование средств защиты информации и методов контроля эффективности этих средств, развитие защищенных телекоммуникационных систем, повышение надежности специального программного обеспечения;

создание систем и средств предотвращения несанкционированного доступа к обрабатываемой информации и специальных воздействий, вызывающих разрушение, уничтожение, искажение информации, а также изменение штатных режимов функционирования систем и средств информатизации и связи;

выявление технических устройств и программ, представляющих опасность для нормального функционирования информационно-телекоммуникационных систем, предотвращение перехвата информации по техническим каналам, применение криптографических средств защиты информации при ее хранении, обработке и передаче по каналам связи, контроль за выполнением специальных требований по защите информации;

сертификация средств защиты информации, лицензирование деятельности в области защиты государственной тайны, стандартизация способов и средств защиты информации;

совершенствование системы сертификации телекоммуникационного оборудования и программного обеспечения автоматизированных систем обработки информации по требованиям информационной безопасности;

контроль за действиями персонала в защищенных информационных системах, подготовка кадров в области обеспечения информационной безопасности Российской Федерации;

формирование системы мониторинга показателей и характеристик информационной безопасности Российской Федерации в наиболее важных сферах жизни и деятельности общества и государства.

Экономические методы обеспечения информационной безопасности Российской Федерации включают в себя:

разработку программ обеспечения информационной безопасности Российской Федерации и определение порядка их финансирования;

совершенствование системы финансирования работ, связанных с реализацией правовых и организационно-технических методов защиты информации, создание системы страхования информационных рисков физических и юридических лиц.