12.Требования к системам защиты информации по гост р 51624-2000.

Система защиты информации в АСЗИ является неотъемлемой составной частью создаваемой АСЗИ или реализуется в виде дополнительной подсистемы модернизируемой функционирующей автоматизированной системы. Требования к системе защиты информации АСЗИ предъявляют согласно ГОСТ 34.602.

12.1 Общие и функциональные требования

Общие требования к АСЗИ включают:

- функциональные требования;

- требования к эффективности;

- технические требования;

- экономические требования;

- требования к документации.

Функциональные требования к АСЗИ включают следующие группы требований:

- грифы секретности (конфиденциальности) обрабатываемой в АСЗИ информации;

- категорию (класс защищенности) АСЗИ;

- цели защиты информации;

- перечень защищаемой в АСЗИ информации и требуемые уровни эффективности ее защиты;

- возможные технические каналы утечки информации и способы несанкционированного доступа к информации, несанкционированных и непреднамеренных воздействий на информацию в АСЗИ, класс защищенности АСЗИ;

- задачи защиты информации в АСЗИ.

Определение грифа секретности (конфиденциальности) информации, категории защиты АСЗИ осуществляет заказчик в соответствии с действующими руководящими и нормативными документами в области защиты информации и [2].

Определение класса защищенности АСЗИ осуществляется в соответствии с [3], 14].

Цели защиты информации в АСЗИ

Общей целью ЗИ в АСЗИ является предотвращение или снижение величины ущерба, наносимого владельцу и/или пользователю этой системы, вследствие реализации угроз безопасности информации.

Частными целями защиты информации, обеспечивающими достижение общей цели АСЗИ, являются:

- предотвращение утечки информации по техническим каналам;

- предотвращение несанкционированного уничтожения, искажения, копирования, блокирования информации;

- соблюдение правового режима использования массивов, программ обработки информации, обеспечения полноты, целостности, достоверности информации в системах обработки;

- сохранение возможности управления процессом обработки и использования информации условиях несанкционированных воздействий на защищаемую информацию.

Цели защиты информации в АСЗИ должны включать:

- содержательную формулировку цели защиты;

- показатель эффективности достижения цели и требуемое его значение;

- время актуальности каждой цели защиты информации (этапы жизненного цикла, в течение которых цель должна достигаться).

Перечень защищаемой информации в АСЗИ и требуемые нормы (уровни) эффективности ее защиты

Определение конкретного перечня защищаемой информации в АСЗИ должно осуществляться исходя из назначения АСЗИ, целей защиты информации, состава и структуры АСЗИ, а также состава и структуры защиты информации.

Перечень защищаемой информации определяется как для АСЗИ в целом, так и для ее составных частей (компонентов).

Требования по эффективности защиты информации в АСЗИ должны включать:

- перечень реализуемых способов защиты информации;

- перечень показателей эффективности защиты информации;

- требуемые уровни эффективности защиты информации.

Выявление возможных технических каналов утечки информации в АСЗИ, способов несанкционированного доступа, несанкционированных и непреднамеренных воздействий на нее должно осуществляться на основе анализа состава, структуры, алгоритмов функционирования АСЗИ, условий размещения АСЗИ с использованием моделей угроз безопасности информации, номенклатуры воздействующих на информацию факторов в соответствии с [5].

Оценка опасности технических каналов утечки информации, возможных способов несанкционированного доступа к информации и несанкционированных воздействий на нее осуществляется по показателям и методикам, определенным в нормативных и методических документах Гостехкомиссии России и других ведомств, уполномоченных Правительством Российской Федерации на проведение соответствующих работ.

Формулировка каждой задачи защиты информации в АСЗИ должна включать:

- наименование конкретной угрозы безопасности для АСЗИ (ее компонента), которую необходимо предотвратить (устранить) при решении задачи;

- формулировку способа решения задачи;

- перечень функций, которые должны быть реализованы для решения данной задачи:

- требования к эффективности или гарантиям решения задачи;

- ограничения на ресурсы АСЗИ, выделяемые на решение данной задачи.

Задачи защиты информации в АСЗИ включают:

- предотвращение перехвата защищаемой информации, передаваемой по каналам связи;

- предотвращение утечки обрабатываемой защищаемой информации за счет побочных электромагнитных излучений и наводок;

- исключение несанкционированного доступа к обрабатываемой или хранящейся в АСЗИ защищаемой информации;

- предотвращение несанкционированных и непреднамеренных воздействии, вызывающих разрушение, уничтожение, искажение защищаемой информации или сбои в работе средств АСЗИ;

- выявление возможно внедренных в технические средства АСЗИ специальных электронных устройств перехвата информации;

- организация разрешительной системы допуска пользователей АСЗИ к работе с защищаемой информацией и ее носителями;

- осуществление контроля функционирования средств и систем защиты информации в АСЗИ.

Требования к эффективности или гарантиям решения задач защиты информации в АСЗИ включают:

- требования по предотвращению утечки защищаемой информации по техническим каналам;

- требования по предотвращению несанкционированного доступа к защищаемой информации;

- требования по предотвращению несанкционированных и непреднамеренных воздействий, вызывающих разрушение, уничтожение, искажение информации или сбои в работе средств АСЗИ;

- требования по выявлению внедренных в помещения и в технические средства специальных электронных устройств перехвата информации;

- требования по контролю функционирования системы защиты информации АСЗИ.

Требования по предотвращению утечки защищаемой информации по техническим каналам

Требования по предотвращению утечки защищаемой информации включают:

- требования по предотвращению утечки защищаемой информации за счет побочных электромагнитных излучений и наводок;

- требования по предотвращению утечки защищаемой информации по техническим каналам разведки;

- требования по предотвращению утечки защищаемой информации за счет сигналов, излучаемых техническими средствами АС, которые обеспечивают функционирование системы;

- требования по предотвращению утечки защищаемой информации за счет несанкционированного доступа к ней.

Средства вычислительной техники, входящие в состав АСЗИ и подлежащие защите, должны удовлетворять требованиям по защите информации от утечки за счет побочных электромагнитных излучений и наводок по ГОСТ 29339, ГОСТ Р 50543 и других нормативных документов [61. Номенклатура показателей эффективности защиты информации от утечки за счет побочных электромагнитных излучений и наводок определяется в соответствии с действующими нормативными документами.

Требования по предотвращению утечки защищаемой информации по техническим каналам разведки включают:

- требования по предотвращению утечки защищаемой информации по каналам технической разведки;

- требования по предотвращению утечки защищаемой информации по каналам агентурной разведки, использующей технические средства.

Требования по предотвращению утечки защищаемой информации по каналам технической и агентурной разведки устанавливают в соответствии с [2].

Требования по устойчивости функционирования структурных компонентов АСЗИ к внешним факторам, воздействующим на информацию, устанавливают на конкретные классы (виды, типы) компонентов АСЗИ по ГОСТ 16325, ГОСТ 20397, ГОСТ 21552, ГОСТ ВД 21552, ГОСТ 27201.

Требования по устойчивости АСЗИ к внутренним воздействующим факторам на информацию (отказы, сбои, ошибки) устанавливают совместно с требованиями надежности и устойчивости функционирования конкретной системы или ее компонентов и по ГОСТ 16325, ГОСТ 20397, ГОСТ 21552, ГОСТ ВД 21552, ГОСТ 27201.

Требования по предотвращению утечки защищаемой информации за счет встроенных электронных и/или программных закладок в АСЗИ включают требования по выявлению встроенных закладочных устройств и их устранению. Эти требования устанавливают в соответствии с действующими руководящими и нормативными документами [7].

Требования по предотвращению несанкционированного доступа к защищаемой информации устанавливают по ГОСТ Р 50739 и нормативным документам Гостехкомиссии России [3] [5], [8].

Требования по предотвращению несанкционированных и непреднамеренных воздействий, ' вызывающих разрушение, уничтожение, искажение информации или сбои в работе средств АСЗИ информации, устанавливают в соответствии с действующими правовыми, руководящими и нормативными документами в области защиты информации.

Требования по предотвращению изменения информации за счет внешних воздействующих факторов на АСЗИ устанавливают с учетом требований, предъявляемых к компонентам АСЗИ по ГОСТ 16325, ГОСТ 20397, ГОСТ 21552, ГОСТ БД 21552, ГОСТ 27201.

Требования по предотвращению изменения защищаемой информации за счет внешних побочных явлений (электромагнитных полей) устанавливают в соответствии с нормами по электромагнитной совместимости и действующими нормативными документами..

Требования по предотвращению изменения защищаемой информации за счет субъективных преднамеренных действий злоумышленника на АСЗИ, включающих компьютерные вирусы, устанавливаются в соответствии с действующими нормативными документами и достигаются применением специальных программных и аппаратных средств защиты (антивирусные программы) и организации системы контроля безопасности программного обеспечения..

Технические требования по защите информации включают требования к основным вилам обеспечения АСЗИ (техническому и программному), к зданиям (помещениям) или объектам, в которых АСЗИ устанавливаются, а также к средствам защиты информации и контроля эффективности защиты информации.

Требования по защите информации к техническому обеспечению АСЗИ включают требования как к основным техническим средствам, используемым по функциональному назначению АСЗИ, так и к вспомогательным техническим средствам, обеспечивающим функционирование основных технических средств.

Технические требования, предъявляемые к основным техническим средствам, содержат требования по защите информации от утечки по ПЭМИН, от закладочных устройств, от внешних и внутренних воздействующих факторов, от несанкционированного доступа к информации и несанкционированных действий на нее.

Конструктивные требования, предъявляемые к техническим средствам АС, должны формироваться с учетом требований по защите информации и включаться в раздел "Конструктивные требования" ТЗ на разработку конкретного технического средства АСЗИ.

Технические средства АСЗИ должны обеспечивать сохранность информации при отключении электропитания, при авариях, а также в условиях неблагоприятных природных явления и стихийных бедствий.

Методы контроля, испытаний и приемки технических средств АСЗИ должны соответствовать ГОСТ 23773 и ГОСТ Р 50752.

Требования к системе заземления и сети электропитания АСЗИ должны устанавливаться в соответствии с (2).

Требования к защите сети телекоммуникаций (сети передачи данных) устанавливают и в соответствии с [2].

Требования по защите информации к программному обеспечению АСЗИ регламентируются в соответствии с ГОСТ Р 51188 и нормативными документами в области защиты информации [2] – [5], [7], [8].

Требования по ЗИ к зданиям (помещениям) или к устройствам, в которых устанавливаются АСЗИ, включают требования к ограждающим конструкциям здания (помещения), к технологии строительства, требования к средствам коммуникаций и требования к звукоизоляции помещений.

При необходимости реконструкции и расширения помещений и сооружений объекта,

на котором размещается АСЗИ, требования по защите информации предъявляют в соответствии со СНиП и другими действующими руководящими и нормативными документами [9], [10].

При размещении основных технических средств АСЗИ в помещениях, предназначенных для ведения конфиденциальных (секретных) переговоров, должны быть приняты меры по защите от утечки речевой информации за счет акустоэлектрических преобразований в элементах основных и вспомогательных технических средств АСЗИ.

Требования, предъявляемые к средствам защиты информации и средствам контроля эффективности защиты информации

Номенклатуру и содержание требований, предъявляемых к средствам зашиты информации и контроля эффективности защиты информации, определяют в соответствии с ГОСТ 2S 1-1",ГОСТ Р 34.10, ГОСТ Р 34.11 и техническими условиями на средства защиты информации и контроля ее эффективности.

Ограничения на аппаратные, программные, информационные, временные и другие ресурсы АСЗИ, выделяемые на решение задач защиты информации, определяют с учетом имеющихся ресурсов АСЗИ исходя из допустимого снижения эффективности, функционирования АСЗИ по основному функциональному назначению.

Экономические требования по ЗИ включают:

- допустимые затраты на создание АСЗИ и/или системы защиты информации в АСЗИ;

- допустимые затраты на эксплуатацию АСЗИ и/или системы защиты информации в АСЗИ.5.6 Требования к документации на АСЗИ

Комплектность документации на АСЗИ устанавливается в нормативных документах и по ГОСТ 34.201, [II] и дополнительно включает документы, указанные в таблице 1.

Требования к комплектности конструкторской, технологической ч эксплуатационной документации на средства защиты информации и контроля ее эффективности

На технические средства разрабатывают конструкторскую и эксплуатационную документацию согласно требованиям ЕСКД.

Таблица 1 - Номенклатура дополнительной документации по защите информации на автоматизированную систему

Наименование документа Код документа по ГОСТ 34.201 Примечание

1 Схема первичного электропитания основных и вспомогательных технических средств АСЗИ	С7*	С учетом требований по ЗИ
2 Схема заземления основных и вспомогательных технических средств АСЗИ	С7**	С учетом требований по ЗИ
3 Спецификация основных и вспомогательных технических средств, программных средств АСЗИ	-
4 Руководство для абонентов АСЗИ (сети) по режимным вопросам	ИЭ4	С учетом требований по ЗИ
5 Перечень контрольных испытаний и проверок (объем и периодичность) по подтверждению защищенности АСЗИ	-
6 Предписание на эксплуатацию ТС	Д130	С учетом требований по ЗИ
7 Сертификат соответствия (на каждое ТС, ПС системы и СрЗИ)	-
8 Акт категорирования средств АСЗИ и системы в целом по вопросам защиты информации	-
9 Акт классификации АСЗИ в части защиты от НСД к информации в системе	-
10 Аттестат соответствия АСЗИ требованиям НД по защите информации	-
11 Формуляр по защите информации (технический паспорт)	-
12 Концепции, положения, руководства, наставления, инструкции, уставы, правила, нормы, модели (по ГОСТ Р 50600)	-