Файл: А. В. Ххххххх хх.doc

2.5.3 Рабочий режим

Рабочий режим является единственным допустимым режимом штатного функционирования СЗИ. В рабочий режим СЗИ переводится после режима отладки, когда становится ясно, что система функционирует верно и корректно отрабатывает необходимые политики, правила и шаблоны. Рабочий режим обеспечивает независимость функционирования СЗИ от изменений в организационной структуре объектов внедрения при сохранении состава и содержания выполняемых функций. Рабочий режим допускает настройку и изменение конфигурации настроек СрЗИ без перепрограммирования.

---

2.5.4 Рабочий режим управлению сетью

В рабочем режиме возможны ситуации, требующие изменения (дополнения, переопределения) настроек клиентского ПО для его соответствия текущей ситуации в зависимости от работы конкретных компонентов, присутствующих в сети организации. Таким образом, при переводе СЗИ в рабочий режим функционирования предполагается возможность изменения настроек, политик и правил доступа на АРМ пользователей при вводе новых ИТ и регламентов ИБ, смене владельца или изменении структуры сети. При этом, выявление причин неисправности взаимодействия с другими АРМ сети будет возможно производить через систему журналирования и изменения режимов работы агентов.

2.5.5 Рабочий режим анализа защищенности

Изменения в настройках ПО в рабочем режиме будут возможны при изменении регламентов безопасности, вводе в эксплуатацию новых сетевых узлов или обновлении парольной базы.

3. Организационные мероприятия по защите информации

В организационно-распорядительной документации регламентируются:

• 
  правила и процедуры идентификации и аутентификации пользователей;
  
• 
  правила и процедуры управления идентификаторами;
  
• 
  правила и процедуры управления средствами аутентификации;
  
• 
  правила и процедуры управления учетными записями пользователей;
  
• 
  правила разграничения доступа;
  
• 
  правила и процедуры применения удаленного доступа;
  
• 
  правила и процедуры управления взаимодействием с внешними информационными системами;
  
• 
  состав и содержание информации о событиях безопасности, подлежащих регистрации;
  
• 
  правила и процедуры сбора, записи и хранения информации о событиях безопасности;
  
• 
  правила и процедуры защиты информации о событиях безопасности;
  
• 
  правила и процедуры антивирусной защиты информационной системы;
  
• 
  правила и процедуры обновления базы данных признаков вредоносных компьютерных программ (вирусов);
  
• 
  правила и процедуры выявления, анализа и устранения уязвимостей;
  
• 
  правила и процедуры контроля установки обновлений программного обеспечения;
  
• 
  правила и процедуры контроля целостности информации;
  
• 
  правила и процедуры контроля и управления физическим доступом;
  
• 
  перечень лиц, которым разрешены действия по внесению изменений в конфигурацию информационной системы и системы защиты информации;
  
• 
  правила и процедуры проведения анализа потенциального воздействия планируемых изменений в конфигурацию ГИС и системы защиты информации;
  
• 
  документирование информации об изменениях в конфигурации ГИС и системы защиты информации.
  

---

Необходима реализация следующих мер:

1. Организация режима обеспечения безопасности помещений, в которых размещена информационная система (далее – Помещения), препятствующего возможности неконтролируемого проникновения или пребывания в Помещениях лиц, не имеющих права доступа в Помещения.

Для выполнения требования необходимо обеспечение режима, препятствующего возможности неконтролируемого проникновения или пребывания в Помещениях лиц, не имеющих права доступа в Помещения, которое достигается путем:

• 
  утверждения правил доступа в Помещения сотрудников и посетителей в рабочее и нерабочее время;
  
• 
  утверждения перечня сотрудников, имеющих право вскрывать Помещения в нештатных ситуациях, а также порядка вскрытия Помещений в таких ситуациях.
  

2. Обеспечение сохранности съемных носителей конфиденциальной информации.

Для выполнения требования необходимо:

• 
  осуществлять хранение съемных носителей конфиденциальной информации в сейфах (металлических шкафах), оборудованных внутренними замками с двумя или более дубликатами ключей и приспособлениями для опечатывания замочных скважин или кодовыми замками;
  
• 
  осуществлять поэкземплярный учет съемных носителей конфиденциальной информации, который достигается путем ведения журнала учета съемных носителей конфиденциальной информации с использованием регистрационных (заводских) номеров;
  
• 
  осуществлять контроль вноса и выноса в контролируемую зону зарегистрированных (учтенных) съемных носителей информации.
  

3. Утверждение руководителем оператора документа, определяющего перечень лиц, которым необходим доступ к конфиденциальной информации, обрабатываемой в государственной информационной системе.

Для выполнения требования необходимо:

• 
  определить круг лиц, которым необходим доступ к конфиденциальной информации, обрабатываемой в ГИС;
  
• 
  разработать и утвердить документ, определяющий данный перечень лиц;
  
• 
  поддерживать данный документ в актуальном состоянии
  

4. Назначение лица, ответственного за обеспечение безопасности персональных данных, обрабатываемых в информационной системе.

---

4. Заключение

Результатом проектирования СЗИ является создание программно-технического решения, представляющего собой совокупность взаимосвязано функционирующих подсистем, реализуемых как встроенными в операционные системы, так и наложенными СрЗИ, образующими единую СЗИ, которая выполняет требования технического задания и нормативных документов в области обеспечения информационной безопасности защищаемых данных.

Совокупность предложенных механизмов защиты информации, а также реализация организационно-режимных мероприятий позволит создать эффективную систему обеспечения безопасности информации в информационных системах, исключающую реализацию угроз информационной безопасности, перечисленных в документе Модель вероятного нарушителя и угроз безопасности информации при её обработке в государственной информационной системе управления по обеспечению деятельности мировых судей министерства государственно-правового развития Магаданской области «МАРИС - 88».
Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах», утвержденными приказом ФСТЭК от 11.02.2013 № 17, определен комплекс методов и способов защиты информации, применяемых для ГИС Управления. Система защиты информации должна обеспечить 3 класс защищенности ГИС. СЗИ реализуется специализированным средствами защиты информации, прошедшими в установленном порядке процедуру оценки соответствия.

Реализация функций защиты информации в ГИС Управления должна осуществляться сертифицированными средствами защиты информации.

Реализация требований ФСТЭК по обеспечению безопасности информации приведена в таблице А.1.
Таблица А.1– Содержание мер по обеспечению безопасности информации

№ меры	Мера защиты информации в ГИС	Технические или организационные меры
Идентификация и аутентификация субъектов доступа и объектов доступа (ИАФ)
ИАФ.1	Идентификация и аутентификация пользователей, являющихся работниками оператора (реализация двухфакторной аутентификации)	СДЗ Dallas Lock
ИАФ.2	Идентификация и аутентификация устройств, в том числе стационарных, мобильных и портативных	Средства ОС, Dallas Lock 8.0-K
ИАФ.3	Управление идентификаторами, в том числе создание, присвоение, уничтожение идентификаторов	Dallas Lock 8.0-K
ИАФ.4	Управление средствами аутентификации, в том числе хранение, выдача, инициализация, блокирование средств аутентификации и принятие мер в случае утраты и (или) компрометации средств аутентификации	Dallas Lock 8.0-K
ИАФ.5	Защита обратной связи при вводе аутентификационной информации	Dallas Lock 8.0-K
Управление доступом субъектов доступа к объектам доступа (УПД)
УПД.1	Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей	Dallas Lock 8.0-K
УПД.2	Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа	Dallas Lock 8.0-K
УПД.3	Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потокам между устройствами, сегментам информационной системы, а также между информационными системами	VipNet Coordinator HW
УПД.4	Разделение полномочий (ролей) пользователей, администраторов и лиц, обеспечивающих функционирование информационной системы	Dallas Lock 8.0-K СДЗ Dallas Lock
УПД.5	Назначение минимально необходимых прав и привилегий пользователям, администраторам и лицам, обеспечивающим функционирование информационной системы	Организационные меры
УПД.6	Ограничение неуспешных попыток входа в информационную систему (доступа к информационной системе)	Dallas Lock 8.0-K
УПД.9	Ограничение числа параллельных сеансов доступа для каждой учетной записи пользователя информационной системы	Dallas Lock 8.0-K
УПД.10	Блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу	Dallas Lock 8.0-K
УПД.11	Разрешение (запрет) действий пользователей, разрешенных до идентификации и аутентификации	Dallas Lock 8.0-K
УПД.13	Реализация защищенного удаленного доступа субъектов доступа к объектам доступа через внешние информационно-телекоммуникационные сети	VipNet Coordinator HW
УПД.16	Управление взаимодействием с информационными системами сторонних организаций (внешние информационные системы)	КриптоПро CSP 4.0
УПД.17	Обеспечение доверенной загрузки средств вычислительной техники	СДЗ Dallas Lock 8.0-K
III. Ограничение программной среды(ОПС)
ОПС.1	Управление запуском (обращениями) компонентов программного обеспечения, в том числе определение запускаемых компонентов, настройка параметров запуска компонентов, контроль за запуском компонентов программного обеспечения	Средства ОС, Kaspersky Endpoint Security 10
ОПС.2	Управление установкой (инсталляцией) компонентов программного обеспечения, в том числе определение компонентов, подлежащих установке, настройка параметров установки компонентов, контроль за установкой компонентов программного обеспечения	Средства ОС
ОПС.3	Установка (инсталляция) только разрешенного к использования программного обеспечения и (или) его компонентов	Средства ОС, Kaspersky Endpoint Security 10
IV Защита машинных носителей (ЗНИ)
ЗНИ.1	Учет машинных носителей информации	Организационные меры, Dallas Lock 8.0-K
ЗНИ.2	Управление доступом к машинным носителям информации	Организационные меры, Dallas Lock 8.0-K
ЗНИ.3	Контроль перемещения машинных носителей информации за пределы контролируемой зоны	Организационные меры
ЗНИ.4	Исключение возможности несанкционированного ознакомления с содержанием информации, хранящейся на машинных носителях, и (или) использования носителей информации в иных информационных системах	Dallas Lock 8.0-K
ЗНИ.6	Контроль ввода (вывода) информации на машинные носители информации	Dallas Lock 8.0-K
ЗНИ.7	Контроль подключения машинных носителей персональных данных	Dallas Lock 8.0-K
ЗНИ.8	Уничтожение (стирание) или обезличивание персональных данных на машинных носителях при их передаче между пользователями, в сторонние организации для ремонта или утилизации, а также контроль уничтожения (стирания) или обезличивания	Dallas Lock 8.0-K
V. Регистрация событий безопасности (РСБ)
РСБ.1	Определение событий безопасности, подлежащих регистрации, и сроков их хранения	Организационные меры
РСБ.2	Определение состава и содержания информации о событиях безопасности, подлежащих регистрации	Организационные меры
РСБ.3	Сбор, запись и хранение информации о событиях безопасности в течении установленного времени хранения	Все СрЗИ
РСБ.4	Реагирование на сбои при регистрации событий безопасности, в том числе аппаратные и программные ошибки, сбои в механизмах сбора информации и достижение предела или переполнения объема (емкости) памяти	Организационные меры
РСБ.5	Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них	Организационные меры
РСБ.6	Генерирование временных меток и (или) синхронизация системного времени в информационной системе	Все СрЗИ
РСБ.7	Защита информации о событиях безопасности	Все СрЗИ
VI. Антивирусная защита (АВЗ)
АВЗ.1	Реализация антивирусной защиты	Kaspersky Endpoint Security 10
АВЗ.2	Обновление базы данных признаков вредоносных компьютерных программ (вирусов)	Kaspersky Endpoint Security 10
VII. Обнаружение вторжений (СОВ)
СОВ.1	Обнаружение вторжений	Dallas Lock 8.0-K
СОВ.2	Обновление базы решающих правил	Dallas Lock 8.0-K
VIII. Контроль (анализ) защищенности информации (АНЗ)
АНЗ.1	Выявление, анализ уязвимостей информационной системы и оперативное устранение вновь выявленных уязвимостей	XSpider 7.8.24
АНЗ.2	Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации	Организационные меры
АНЗ.3	Контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации	Dallas Lock 8.0-K, организационные меры
АНЗ.4	Контроль состава технических средств, программного обеспечения и средств защиты информации	Организационные меры
АНЗ.5	Контроль правил генерации и смены паролей пользователей, заведения и удаления учетных записей пользователей, реализации правил разграничения доступом, полномочий пользователей в информационной системе	Dallas Lock 8.0-K, организационные меры
IX. Обеспечение целостности информационной системы и персональных данных (ОЦЛ)
ОЦЛ.1	Контроль целостности программного обеспечения, включая программное обеспечение средств защиты информации	Dallas Lock 8.0-K, XSpider 7.8.24
ОЦЛ.3	Обеспечение возможности восстановления программного обеспечения, включая программное обеспечение средств защиты информации, при возникновении нештатных ситуаций	Организационные меры
ОЦЛ.4	Обнаружение и реагирование на поступление в информационную систему незапрашиваемых электронных сообщений (писем, документов) и иной информации, не относящихся к функционированию информационной системы (защита от спама)	VipNet Coordinator HW
ОЦЛ.5	Контроль содержания информации, передаваемой из информационной системы (контейнерный, основанный на свойствах объекта доступа, и контентный, основанный на поиске запрещенной к передаче информации с использованием сигнатур, масок и иных методов), и исключение неправомерной передачи информации из информационной системы	VipNet Coordinator HW
ОЦЛ.6	Ограничение прав пользователей по вводу информации в информационную систему	Dallas Lock 8.0-K
ОЦЛ.7	Контроль точности, полноты и правильности данных, вводимых в информационную систему	Организационные меры
X. Обеспечение доступности информации (ОДТ)
ОТД.4	Периодическое резервное копирование информации на резервные машинные носители информации	Организационные меры
ОДТ.5	Обеспечение возможности восстановления информации с резервных машинных носителей информации (резервных копий) в течение установленного временного интервала	Организационные меры
XII. Защита технических средств (ЗТС)
ЗТС.2	Организация контролируемой зоны, в пределах которой постоянно размещаются стационарные технические средства, обрабатывающие информацию, и средства защиты информации, а также средства обеспечения функционирования	Организационные меры
ЗТС.3	Контроль и управление физическим доступом к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены, исключающие несанкционированный физический доступ к средствам обработки информации, средствам защиты информации и средствам обеспечения функционирования информационной системы, в помещения и сооружения, в которых они установлены	Организационные меры
ЗТС.4	Размещение устройств вывода (отображения) информации, исключающее ее несанкционированный просмотр	Организационные меры
XIII. Защита информационной системы, ее средств, систем связи и передачи данных (ЗИС)
ЗИС.1	Разделение в информационной системе функций по управлению (администрированию) информационной системой, управлению (администрированию) системой защиты информации, функций по обработке информации и иных функций информационной системы	Организационные меры
ЗИС.3	Обеспечение защиты персональных данных от раскрытия, модификации и навязывания (ввода ложной информации) при ее передаче (подготовке к передаче) по каналам связи, имеющим выход за пределы контролируемой зоны, в том числе беспроводным каналам связи	VipNet Coordinator HW
ЗИС.4	Обеспечение доверенных канала, маршрута между администратором, пользователем и средствами защиты информации (функциями безопасности средств защиты информации)	Все СрЗИ, средства ОС
ЗИС.7	Контроль санкционированного и исключение несанкционированного использования технологий мобильного кода, в том числе регистрация событий, связанных с использованием технологий мобильного кода, их анализ и реагирование на нарушения, связанные с использованием технологий мобильного кода	XSpider 7.8.24
ЗИС.10	Подтверждение происхождения источника информации, получаемой в процессе определения сетевых адресов по сетевым именам или определения сетевых имен по сетевым адресам	VipNet Coordinator HW
ЗИС.11	Обеспечение подлинности сетевых соединений (сеансов взаимодействия), в том числе для защиты от подмены сетевых устройств и сервисов	VipNet Coordinator HW
ЗИС.15	Защита архивных файлов, параметров настройки средств защиты информации и программного обеспечения и иных данных, не подлежащих изменению в процессе обработки информации	Все СрЗИ, средства ОС
ЗИС.16	Выявление, анализ и блокирование в информационной системе скрытых каналов передачи информации в обход реализованных мер защиты информации или внутри разрешенных сетевых протоколов	VipNet Coordinator HW
ЗИС.17	Разбиение информационной системы на сегменты (сегментирование информационной системы) и обеспечение защиты периметров сегментов информационной системы	VipNet Coordinator HW
ЗИС.21	Исключение доступа пользователя к информации, возникшей в результате действий предыдущего пользователя через реестры, оперативную память, внешние запоминающие устройства и иные общие для пользователей ресурсы информационной системы	Dallas Lock 8.0-K, средства ОС
ЗИС.23	Защита периметра (физических и (или) логических границ) информационной системы при ее взаимодействии с иными информационными системами и информационно-телекоммуникационными сетями	VipNet Coordinator HW
ЗИС.28	Воспроизведение ложных и (или) скрытие истинных отдельных информационных технологий и (или) структурно-функциональных характеристик информационной системы или ее сегментов, обеспечивающее навязывание нарушителю ложного представления об истинных информационных технологиях и (или) структурно-функциональных характеристиках информационной системы	Dallas Lock 8.0-K

---

---