4.2. Вимоги до комплексної системи захисту інформації в ас в частині захисту від витоку інформації технічними каналами

Мають бути сформульовані загальні вимоги до об'єктів (компонентів АС), що захищаються, визначені засоби захисту і засоби їх використання (наприклад, реалізація вимог до захищеності повинна досягатись без застосування екранування приміщень, активні засоби мають застосовуватись тільки для захисту інформації головного сервера АС і т. ін.).

Наводиться перелік нормативних і методичних документів, відповідно до яких повинні проводитись роботи щодо захисту інформації від витоку технічними каналами.

Мають бути вказані вимоги до розмірів зони безпеки інформації, необхідні величини показників захищеності, що враховують реальну завадову обстановку на об'єкті електронної обчислювальної техніки.

Далі наведемо приклади окремих фрагментів ТЗ на КСЗІ.

• оформлення загальних відомостей ТЗ (приклад 1);

• вихідні дані для розроблення та оформлення технічного завдання на створення комплексу ТЗІ (приклад 2);

• загальна характеристика та вимоги до КЗЗ АС 02 (приклад 3).

Приклад 1. Приклад оформлення загальних відомостей ТЗ.

1. Найменування КЗЗ і його умовне позначення.

Комплекс засобів захисту інформації автоматизованої системи класу 2 (далі — КЗЗ АС 02).

2. Шифр ТЗ.

Шифр: «КЗЗ АС 02».

3. Найменування замовника та його реквізити.

Замовник: Інститут комп’ютерних інформаційних технологій.

Юридична адреса: м. Київ, просп. Космонавта Комарова, 1.

4. Найменування виконавця та його реквізити.

Виконавець: Інститут новітніх технологій.

Юридична адреса: м. Київ, просп. Космонавта Комарова, 1. 

5. Відомості про джерела й порядок фінансування робіт.

Фінансування робіт проводиться безкоштовно згідно з договором Замовника та Організатора.

6. Порядок оформлення й подання результатів робіт.

Роботи з розроблення КЗЗ АС 02 вважаються завершеними за умови впровадження системи, атестації та отримання позитивного експертного висновку на КЗЗ АС 02 [15].

Приклад 2. Вихідні дані для розроблення та оформлення технічного завдання на створення комплексу ТЗІ.

1. Характеристика автоматизованої системи.

Згідно з НД ТЗІ 2.5-005-99 АС 02 належить до АС класу «2». До складу апаратного забезпечення АС 02 входить: 15 персональних комп’ютерів; 3 сервери : поштовий, файловий, баз даних; свіч; міжмережевий екран (до складу пристроїв можуть висуватися відокремлені вимоги та стандарти, наприклад — взаємодія та конфігурування серверного простору, їх опис тощо).

До складу програмного забезпечення АС 02 входить: операційна система Unix, засіб антивірусного захисту робочих станцій “Eset NOD 4.0”, спеціалізований програмний комплекс «Діловодство та документообіг v.5» АС 02. Операційна система Unix, спеціалізований програмний комплекс «Діловодство та документообіг v.5», засіб антивірусного захисту “Eset NOD4.0” для робочих станцій (РС), повинні мати чинний позитивний експертний висновок Держспецзв’язку України.

2. Характеристика фізичного середовища.

Розробник повинен розробити і впровадити документовані методики з керування конфігурацією комплексу засобів захисту на всіх стадіях життєвого циклу АС. Система управління конфігурацією має забезпечувати управління внесенням змін у програмне забезпечення і документацію.

Програмні засоби слід розробляти з використанням будь-якого із сучасних засобів розробки прикладних програм для середовища операційної системи платформи Unix, в якому використовується добре визначена документована мова програмування.

Керування конфігурацією повинно здійснюватись на основі базових версій, наприклад, версія КЗЗ, яка може бути змінена тільки через формальні процедури зміни.

Елементами КЗЗ, конфігурація яких підлягає керуванню, є програмні засоби, що входять до складу КЗЗ, настройки КЗЗ та документація.

Зміни в елементи конфігурації слід вносити на основі узгоджених організаційних документів у результаті приймання етапів робіт зі створення КСЗІ, проведення випробувань та дослідної експлуатації.

Технічні засоби АС 02 розміщуються у трьох приміщеннях, які знаходяться в межах контрольованої зони та мають пропускний режим згідно зі встановленою системою пропусків та кодів на охоронну систему приміщень.

3. Базові загрози безпеки інформації. Перелік базових потенційних загроз з врахуванням порушення властивостей інформації (К – конфіденційність; Ц – цілісність; Д – доступність; С – спостережуваність) викладений в табл. 1.

Таблиця 1