Требования к подсистеме управления доступом

Проект
Базовые требования к разработке технического задания и
технического проекта системы защиты информации регионального
сегмента Единой государственной информационной системы в сфере
здравоохранения РФ Республики Алтай
Законодательная и нормативно-методическая база для разработки ТЗ и ТП
Специальные требования и рекомендации по технической защите конфиденциальной
информации (СТР-К), утв. приказом Гостехкомиссии России № 282 от 30.08.2002;
Положение о государственной системе защиты информации в Российской Федерации от
иностранных технических разведок и от утечки по техническим каналам, утв. постановлением
Правительства № 912-51 от 15.09.1993;
Извещение № 1-2008 о корректировке Специальных требований и рекомендаций по
технической защите конфиденциальной информации (СТР-К), утв. приказом ФСТЭК России от
04.04.2008 № 81;
Рекомендации по обеспечению безопасности ПД при их обработке, в информационных
системах персональных данных, утв. заместителем директора ФСТЭК России15 февраля 2008;
Основные мероприятия по организации и техническому обеспечению безопасности ПД
при их обработке, в информационных системах персональных данных, утв. заместителем
директора ФСТЭК России15 февраля 2008;
Базовая модель угроз безопасности ПД при их обработке, в информационных системах
персональных данных, утв. заместителем директора ФСТЭК России15 февраля 2008;
Методика определения актуальных угроз безопасности ПД при их обработке, в
информационных системах персональных данных, утв. заместителем директора ФСТЭК России15
февраля 2008;
Сборник «Нормативно-методические документы и порядок проведения работ по защите
информации при обработке ее на средствах ЭВТ», Гостехкомиссия России, 1997;
Сборник методических документов по контролю защищенности информации,
обрабатываемой средствами вычислительной техники, от утечки за счет побочных
электромагнитных излучений и наводок (ПЭМИН), новая редакция, ФСТЭК России, 2005;
Временная методика оценки защищенности основных технических средств и систем,
предназначенных для обработки, хранения и (или) передачи по линиям связи конфиденциальной
информации, утв. первым заместителем председателя Гостехкомиссии России 08.11.2001;
Временная методика оценки защищенности конфиденциальной информации,
обрабатываемой основными техническими средствами и системами, от утечки за счет наводок на
вспомогательные технические средства и системы и их коммуникации, утв. первым заместителем
председателя Гостехкомиссии России 08.11.2001;
Извещение об изменениях «Временных методик оценки…» № 1-2007;
Указ Президента Российской Федерации «Об утверждении перечня сведений
конфиденциального характера» № 188 от 06.03.1997;
Указ Президента Российской Федерации «О мерах по обеспечению информационной
безопасности
Российской
Федерации
при
использовании
информационнотелекоммуникационных сетей международного информационного обмена» № 351 от 17.03.2008;
Федеральный закон «Об информации, информационных технологиях и о защите
информации» № 149-ФЗ от 27.07.2006;
Федеральный закон «Об электронной цифровой подписи» № 1-ФЗ от 10.01.2002;
Федеральный закон «О коммерческой тайне» № 98-ФЗ от 29.07.2004;
Положение по аттестации объектов информатизации по требованиям безопасности
информации, утв. председателем Гостехкомиссии России 25.11.1994;
Типовое положение об органе по аттестации объектов информатизации по требованиям
безопасности информации, утв. Приказом председателя Гостехкомиссии России № 3 от
05.01.1996;
Положение о разработке, производстве, реализации и эксплуатации шифровальных
(криптографических) средств защиты информации» (Положение ПКЗ-2005), утв. приказом ФСБ
России № 66 от 09.02.2005;
Руководящий документ «Автоматизированные системы. Защита от несанкционированного
доступа к информации. Классификация автоматизированных систем и требования по защите
информации», утв. решением председателя Гостехкомиссии России от 30.05.1992;
Руководящий
документ
«Средства
вычислительной
техники.
Защита
от
несанкционированного
доступа
к
информации.
Показатели
защищенности
от
несанкционированного доступа к информации», утв. решением председателя Гостехкомиссии
России от 30.05.1992;
Руководящий документ «Защита от несанкционированного доступа к информации. Часть 1.
Программное обеспечение средств защиты информации. Классификация по уровню контроля
отсутствия недекларированных возможностей», утв. приказом председателя Гостехкомиссии
России № 114 от 04.06.1999;
Руководящий документ «Средства вычислительной техники. Межсетевые экраны. Защита
от несанкционированного доступа к информации. Показатели защищенности от
несанкционированного доступа к информации», утв. решением председателя Гостехкомиссии
России от 25.06.1997;
Методические рекомендации по технической защите информации, составляющей
коммерческую тайну, утв. зам. директора ФСТЭК России 25.12.2006;
ГОСТ 34. 602-89. Информационная технология. Комплекс стандартов на
автоматизированные системы. Техническое задание на создание автоматизированной системы;
ГОСТ 51275-99. Защита информации. Объект информатизации. Факторы, воздействующие
на информацию;
ГОСТ 51583-2000. Порядок создания АС в защищенном исполнении.
Цели и задачи проектирования системы защиты информации
Цель: определить концепцию и архитектуру системы защиты информации, способ её
реализации и проведения испытаний.
Задачи:
определить основные требования по защите информации в РС ЕГИС СЗ РФ РА;
определить конфигурацию системы;
определить организационно-технические мероприятия по внедрению и эксплуатации
системы защиты информации;
определить требования к персоналу обслуживающему систему защиты информации;
разработать свод документации по функционированию РС ЕГИС СЗ РФ РА;
определить порядок проведения работ по аттестации объекта информатизации.
Характеристики объектов информатизации
Краткие сведения и сведения об условиях эксплуатации РС ЕГИС СЗ РФ РА описаны в
системном проекте.
Требования к системе, состав и содержание работ по созданию системы
Должен быть составлен перечень работ, по результатам проектирования должна быть
разработана программа аттестационных испытаний, в которой должны быть указаны перечень,
порядок, содержание работ по аттестации, методы и методики испытаний, перечень контрольноизмерительного оборудования и тестовых средств. Программа аттестационных испытаний должна
быть согласована с Заказчиком.
Общие требования к системе защиты (СЗ)
СЗ должна реализовываться с использованием средств защиты информации,
составляющих и формирующих функциональные подсистемы СЗ.
В СЗ должны использоваться только средства защиты информации, сертифицированные в
установленном порядке в системе сертификации ФСТЭК России.
В состав СЗ должны входить следующие подсистемы:
- подсистема управления доступом;
- подсистема регистрации и учета;
- подсистема контроля целостности;
- подсистема криптографической защиты;
- подсистема межсетевого экранирования;
- подсистема обнаружения атак;
- подсистема анализа защищённости;
- подсистема антивирусной защиты;
- подсистема централизованного управления.
Требования к подсистеме управления доступом
Подсистема управления доступом должна обеспечивать выполнение следующих базовых
требований:
- идентификация и проверка подлинности пользователя при входе в систему по паролю
условно-постоянного действия длинной не менее шести буквенно-цифровых символов;
должны быть реализованы механизмы идентификации и строгой двухфакторной аутентификации пользователей с применением внешних устройств аутентификации на основе
технологии персональных электронных ключей (в случае использования тонких клиентов, на них
должна быть реализована поддержка средств двухфакторной аутентификации);
- должна быть реализована возможность применения механизмов дискреционного
принципа доступа;
- должна осуществляется настройка блокирования доступа к портам и устройствам
переноса информации.
Требования к подсистеме регистрации и учета
Подсистема регистрации и учета должна обеспечивать выполнение следующих
требований:
- регистрация входа/выхода субъектов доступа в систему/из системы либо регистрация
загрузки и инициализации операционной системы и ее программное завершение;
- учет всех защищаемых носителей информации с помощью их маркировки и занесение
учетных данных в журнал учета с отметкой об их выдаче/приеме.
Требования к подсистеме контроля целостности
Подсистема контроля целостности должна обеспечивать выполнение следующих
требований:
- обеспечение целостности программных средств СЗ и неизменности программной среды;
-тестирование функций подсистемы защиты от НСД при изменении программной среды и
персонала системы с помощью тестовых программ, имитирующих попытки НСД;
- наличие средств восстановления системы защиты персональных данных,
предусматривающих ведение двух копий программных компонент средств защиты информации,
их периодическое обновление и контроль работоспособности.
Целостность программных средств СЗИ, а также неизменность программной среды
должны обеспечиваться встроенными средствами обеспечения целостности операционной
системы и СрЗИ от НСД, а также комплексом организационных мер по контролю доступа и
физической охране средств вычислительной техники (СВТ).
Тестирование СрЗИ от НСД должно обеспечиваться при изменении программной среды и
на регулярной основе комплексом организационных мер и техническими средствами анализа
защищенности.
В случае нарушения целостности программных компонент должно быть обеспечено
восстановление исходного состояния из резервных копий.
Требования к подсистеме криптографической защиты
Подсистема криптографической защиты должна обеспечивать криптографическую защиту
информации при ее передаче по незащищенным каналам связи, выходящим за пределы
контролируемой зоны.
Для организации юридически значимого электронного документооборота в подсистеме
криптографической защиты должна быть реализована возможность применения цифровой
подписи для любой версии документа. Подпись создается с применением шифрования (на основе
закрытого ключа) хеша канонического представления XML документа, сохраняемого
пользователем. В качестве криптопровайдеров могут использовать только сертифицированные в
РФ по ГОСТ криптоалгоритмы.
При отсутствии инфраструктуры открытых/закрытых ключей шаг по шифрованию может
быть пропущен, в результате чего в документе будет оставлен только хеш содержимого.
Цифровая подпись сохраняется внутри версионного контейнера, что позволяет ему быть
переданным с помощью механизмов обмена данными на основе ГОСТ Р ИСО 13606.
Чтобы защитить сами сохраненные версии от взлома, необходимо обеспечить
функционирование удостоверяющих центров, с помощью которых любая использованная
цифровая подпись может быть проверена на валидность.
Требования к подсистеме межсетевого экранирования
Подсистема межсетевой безопасности должна обеспечивать:
- фильтрацию на сетевом уровне независимо для каждого сетевого пакета;
- фильтрацию пакетов служебных протоколов, служащих для диагностики и управления
работой сетевых устройств;
- фильтрацию с учетом входного и выходного сетевого интерфейса как средства проверки
подлинности сетевых адресов;
- фильтрацию с учетом любых значимых полей сетевых пакетов;
- регистрацию и учет фильтруемых пакетов;
- идентификацию и аутентификацию администратора межсетевого экрана;
- регистрацию входа (выхода) администратора межсетевого экрана в систему;
- регистрацию запуска программ и процессов (заданий, задач);
- контроль целостности своей программной и информационной части;
-восстановление свойств межсетевого экрана после сбоев и отказов оборудования;
- регламентное тестирование реализации правил фильтрации, процесса регистрации,
процесса идентификации и аутентификации администратора межсетевого экрана, процесса
регистрации действий администратора межсетевого экрана, процесса контроля за целостностью
программной и информационной части, процедуры восстановления.
Требования к подсистеме обнаружения атак
Подсистема обнаружения атак должна строиться на основе средств обнаружения
вторжений в информационную систему, нарушающих или создающих предпосылки к нарушению
установленных требований по обеспечению безопасности персональных данных,
сертифицированных по требованиям ФСТЭК России.
Требования к подсистеме анализа защищённости
Подсистема анализа защищённости должна обеспечивать возможность выявления
уязвимостей, связанных с ошибками в конфигурации ПО информационных систем РС ЕГИС СЗ РФ
РА, которые могут быть использованы нарушителем для реализации атаки на систему.
Требования к подсистеме антивирусной защиты
В соответствии с пунктом 2.4 «Положения о методах и способах защиты информации в
информационных системах персональных данных» в СЗ должны использоваться средства
антивирусной защиты.
Требования к подсистеме централизованного управления
Подсистема централизованного управления должна обеспечивать централизованное
управление СЗ.
Подсистема централизованного управления должна обеспечивать выполнение следующих
требований:
- администрирование СрЗИ;
- оповещение ответственных лиц об инцидентах ИБ.
Администрирование СрЗИ, проектируемых в рамках проекта СЗ, должно включать в себя
серверы управления СрЗИ, консоли управления.
В перечень работ по созданию системы, кроме всего прочего необходимо включить:
изучение технологических процессов обработки и хранения информации, анализ
информационных потоков и т.п.;
классификацию и категорирования объекта информатизации (персональные данные,
медицинская тайна и др.);
разработку организационно-распорядительной, проектной и эксплуатационной
документации;
оценку требуемого уровня подготовки кадров и распределения ответственности за
выполнение требований по защите информации;
испытания отдельных технических и программных средств, средств и подсистем защиты,
инженерного оборудования на соответствие требованиям по безопасности информации с
помощью контрольно-измерительного оборудования и тестовых средств;
испытания АС на соответствие требованиям по защите информации от утечки по каналам
ПЭМИН;
испытания АС на соответствие требованиям по защите информации от
несанкционированного доступа (НСД);
проверку выполнения требований на отсутствие в технических средствах специальных
электронных устройств перехвата информации (спецпроверка);
комплексные аттестационные испытания объекта информатизации провести в реальных
условиях эксплуатации путем проверки фактического выполнения установленных требований на
различных этапах технологического процесса обработки защищаемой информации;
подготовку отчётной документации – оформление протоколов испытаний, анализ
результатов и утверждение заключения по результатам аттестационных испытаний (процедура
аттестации);
разработку порядка проведения, контроля и приемки работ (в составе ТЗ);
разработку требований к системе непосредственно при ее эксплуатации (в составе ТЗ).
Требования к документации
ТП должен включать в себя кроме основных следующие подразделы:
- постановку задачи, решение, описание решения (решения по внедрению);
- основные направления деятельности подразделения по защите информации в ИС РС
ЕГИС РФ РА и планирования в области обеспечения информационной безопасности;
- комплекс оперативных и долговременных мер по выявлению, предупреждению и
устранению угроз информационной безопасности, локализации и нейтрализации последствий их
проявления;
- спецификацию средств ЗИ, ПО с расчётом финансирования расходов на обеспечение
информационной безопасности (ориентировочные значения);
- приложения с разработанной документацией на РС ЕГИС РФ РА (шаблон технического
паспорта, стандарт безопасности, акты классификации, модель угроз, модель нарушителя,
журналы, проекты должностных обязанностей, перечень сведений ограниченного
распространения, конфиденциальное производство, и др. по согласованию)
Отдельно в ТП должны быть описаны:
- Меры по предотвращению утечек.
- Меры по заглаживанию последствий утечек (в том числе регламент работы с
гражданами).