Садердинов А.А. Информационная безопасность предприятия

Подождите немного. Документ загружается.

Тре бования к классу защищенности ЗБ Подсистема управле-

ния доступом

■ Должны осуществляться идентификация и проверка под-

линности субъектов доступа на вхо де в систему по па ролю ус-

ловно-постоянного действия, длиной не менее шести буквенно-

цифровых символов.

Подсистема регистрации и учета

■ Должна осуществляться регистрация вхо да (выхода) субъек-

тов доступа в систему (из системы), либо регистрация загрузки

и инициализации операционной системы и ее программного

останова. Регистрация выхода из системы или останова не про-

водится в моменты аппаратурного отключения АС. В парамет-

рах регистрации указываются дата и время вхо да (выхода)

субъекта доступа в сис тему (из сис темы) или загрузки (остано-

ва) системы.

■ Должен производиться учет всех защищаемых носителей

информации с помощью их любой маркировки и с занесением

учетны х данных в журнал (учетную карточку).

Подсистема обеспечения целостности

■ Должна быть обеспечена целостность программных средс тв

СЗИ НСД, обрабатываемой информации, а также неизменность

программной среды. При этом:

- целостность СЗИ НСД проверяется при загрузке систе мы по

наличию имен (идентификаторов) компонент СЗИ;

- целостность программной среды обеспечивается отсут-

ствием в АС средств разработки и отладки программ.

■ Должна осуществляться физическая охрана СВТ (устройств

и носителей информации), предусматривающая контроль до с-

тупа в помещения А С посторонних лиц, нали чие надежных

препятствий для несанкционированного проникновения в по-

мещения АС и хранилище носителей информации, особенно в

нерабочее время.

■ Должно проводиться периодическое тестирование функций

СЗИ НСД при изменении программной среды и персонала АС с

помощью тестовых программ, имитирующих попытки НСД.

■ Должны быть в наличии средства восстановления СЗИ НСД,

предусматривающие ведение дву х копий программ ных средств

СЗИ НСД и их периодическое обновление и контроль работо-

способности.

Тре бования к классу защищенности ЗА Подсистема управле-

ния доступом

■ Должны осуществляться идентификация и проверка

подлинности субъектов доступа на входе в систему по па

ролю условно-постоянного действия, длиной не менее ше

сти буквенно-цифровых символов.

Подсистема регистрации и учета

■ Должна осуществляться регистрация входа (выхода) субъ

ектов доступа в систему (из системы), либо регистрация за

грузки и инициализации операционной системы и ее про

граммного останова. Регистрация выхода из системы или

останова не проводится в моменты аппаратурного отключе

ния АС. В параметрах регистрации указываются:

- дата и время входа (выхода) субъекта доступа в систему (из

системы) или за грузки (останова) системы;

- результат попы тки входа: успешная или неуспешная (при

НСД).

■ Должна осуществляться регистрация выдачи печатных (гра-

фических) документов на « твердую» копию. Выдача должна

сопровождаться автоматической маркировкой каждого листа

(страницы) документа порядковым номером и учетными рекви-

зитами АС с указанием на последнем ли сте документа общего

количества листов (с траниц). В параметрах регистрации указы-

ваются:

- дата и время выдачи (обращения к подсистеме выхода);

- краткое содержание документа (наименование, вид, код,

шифр) и уровень его конфиденциальности;

- спецификация устройств выдачи (логическое имя (но мер)

внешнего устройства).

■ Должен производиться учет всех защищаемых носите лей

информации с помощью их любой маркировки и с занесением

учетны х данных в журнал (учетную карточку).

■ Должно производиться несколько видов учета (дублиру-

ющих) с регистрацией выдачи (приема) носителей информации.

■ Должна осуществляться очис тка (обнуление, обезличивание)

освобождающихся областей оперативной памяти ЭВМ и внеш-

них накопителей. Очистка осуществляется двукратной произ-

вольной записью в освобождаемую область памяти, ранее ис-

пользованную для хранения защи щаемых данны х (файлов).

Подсистема обеспечения целостности

■ Должна быть обеспечена целостность программных

средств СЗИ НСД, обрабатываемой информации, а также

неизменность программной среды. При этом:

- целостность СЗ И НСД проверяется при загрузке системы

по наличию имен (идентификаторов) компонент СЗИ;

- целостность программной среды обеспечивается о тсут-

ствием в АС средств разработки и отладки программ.

■ Должна осуществляться физическая охрана СВТ (устройств и

носителей информации), предусматривающая по стоянное нали-

чие охраны территории и здания, где размещается АС, с помо-

щью технических средств о храны и специального персонала,

использование строгого пропускного режима, специальное обо-

рудование помещений АС.

■ Должно проводиться периодическое тестирование функций

СЗИ НСД при изменении программной среды и персо нала АС с

помощью тестовых программ, имитирующих попытки НСД.

■ Должны быть в наличии средства восстановления СЗИ НСД,

предусматривающие ведение двух копий программ ных средств

СЗИ НСД и их периодическое обновление и контроль работо-

способности.

■ Должны испо льзоваться сертифицированные средства защи-

ты. Их сертификацию проводят специальные сер ти-

фикационные центры или специализированные предприя тия,

имеющие лицензию на проведение сертификации средств за-

щиты СЗ И НСД.

10.4. Требования к автоматизированным системам

защиты второй группы (см. табл. 6) [^]

Обозначения:

«-» — нет требований к данному классу;

«+» — есть требования к данному классу.

Таблица 6

Подсистемы и требования

Класс 2Б

Класс 2А

1. Подсистема управления доступом

1.1. Идентификация, проверка подлинности и контроль доступа субъектов:

• систему

• к терминалам, ЭВМ, узлам сети ЭВМ, каналам свя-

зи, внешним устройствам ЭВМ

• к программам

• к томам, каталогам, ф айлам, записям, полям запи-

сей

1.2. Управление потоками информации

2. Подсистема регистрации и учета

2.1. Регистрация и учет:

• входа (выхода) субъектов доступа в (из) системы

(узел сети)

• выдачи печатных (графических) выходных доку-

ментов

• запуска (завершения) программ и процессов (зада-

ний, задач)

• доступа программ субъектов доступа к защища-

емым файлам, включая их создание и удаление, пер е-

дачу по линиям и каналам связи

• доступа программ субъектов доступа к термина лам,

ЭВМ , узлам сети ЭВМ, каналам связи, внешним уст-

ройствам ЭВМ, программам, томам, каталогам, фай-

лам, записям, полям записей

• изменение полномочий субъектов доступа

• создаваемых защищаемых объектов доступа

2.2. Учет носителей информации

2.3. Очистка (обнуление, обезличивание) осво-

бождаемых областей оперативной памяти ЭВМ [и

внешних накопителей

2.4. Сигнализация попыток нарушения защиты

3. Криптографическая подсистема

3.1. Шифрование конфиденциальной информации

3.2. Шифрование информации, принадлежащей раз-

личным субъектам доступа (группам субъектов) на

разных ключах

3.3. Использование аттестованных (сертифици-

рованных) криптографических средств

4. Подсистема обеспечения целостности

4.1. Обеспечение целостности программных средств

и обрабатываемой информации

4.2. Физическая охрана средств вычислительной тех-

ники и носителей информации

4.3. Наличие администратора (службы) защиты ин-

формации в АС

4.4. Периодическое тестирование СЗИ НСД

4.5. Наличие средств восстановления СЗИ НСД

4.6. Использование сертифицированных средств за-

щиты

Тре бования к классу защищенности 2Б Подсистема управления

доступом

■ Должны осуществляться идентификация и проверка под -

линности субъектов доступа на вхо де в систему по иденти -

фикатору (коду) и паролю условно-постоянно го действия, дли-

ной не менее шести буквенно-цифровых символов.

Подсистема регистрации и учета

■ Должна осуществляться регистрация вхо да (выхо да) субъек-

тов доступа в систему (из системы), либо регистра ция загрузки

и инициализации операционной системы и ее программного ос-

танова. Регистрация выхода из системы или останова не прово-

дится в моменты аппаратурного отключения АС. В параметрах

регистрации указываются:

- дата и время входа (выхода) субъекта доступа в систему (из

системы) или загрузки (останова) системы;

- результат попытки вхо да: успешная или неуспешная (при

НСД).

■ Должен производиться учет всех защищаемых носите лей

информации с помощью их любой маркировки и с занесением

учетны х данных в журнал (учетную карточку).

Подсистема обеспечения целостности

■ Должна бы ть обеспечена целостность программных средств

СЗИ НСД, обрабатываемой информации, а также неизменность

программной среды. При этом:

- целостность СЗИ НСД проверяется при загрузке систе мы по

наличию имен (идентификаторов) компонент СЗИ;

- целостность программной среды обеспечивается отсут-

ствием в АС средств разработки и отладки программ во время

обработки и (или) хранения защищаемой информации.

■ Должна осуществляться физическая охрана СВ (устройств и

носителей информации), предусматривающая контроль доступа

в помещения АС посторонних лиц, нали чие надежных препят-

ствий для несанкционированного проникновения в помещения

АС и хранилище носителей информации, особенно в нерабочее

время.

■ Должно проводиться периодическое тестирование функций

СЗИ НСД при изменении программной среды и персонала АС с

помощью тестовых программ, имитирующих попытки НСД.

■ Должны бы ть в на личии средства восстановления СЗИ НСД,

предусматривающие ведение двух копий программных средс тв

СЗИ НСД и их периодическое обновление и контроль работо-

способности.

Тре бования к классу защищенности 2А Подсистема управле-

ния доступом

■ Должны осуществляться идентификация и проверка под -

линности субъектов доступа на вхо де в систему по иденти-

фикатору (коду) и паролю условно-постоянного действия, дли-

ной не менее шести буквенно-цифровых символов.

■ Должна осуществляться идентификация терминалов, ЭВМ,

узлов сети Э ВМ, каналов связи, внешних устройств Э ВМ по их

логическим адресам (номерам).

■ Должна осуществляться иде нтификация программ, то мов,

каталогов, файлов, записей, полей записей по именам.

■ Должно осуществляться управление по токами инфор мации с

помощью меток конфиденциальности. При этом уровень ко н-

фиденциальности накопителей должен быть не ниже уровня

конфиденциальности записы ваемой на них инф ормации.

Подсистема регистрации и учета

■ Должна осуществляться регистрация входа (выхо да) субъ-

ектов доступа в систему (из системы), либо регистрация загруз-

ки и инициализации операционной системы и ее программного

останова. Регистрация выхода из системы или останова не про-

водится в моменты аппаратурного отключения АС. В парамет-

рах регистрации указываются:

■ дата и время входа (выхода) субъекта доступа в сис тему

(из системы) или загрузки (останова) системы;

■ результат попытки вхо да: успешная или неуспешная (при

НСД);

■ идентификатор (код или фамилия) субъекта, предъяв -

ляемый при попытке доступа.

■ Должна осуществляться регистрация выдачи печатных

(графических) документов на «твердую» копию. Выдача должна

сопровождаться автоматической маркировкой каждого листа

(страницы ) документа порядковым номером и учетными рекви-

зитами АС с у казанием на после днем листе документа общего

количества листов (с траниц). В параметрах регистрации указы-

ваются:

- дата и время выдачи (обращения к подсистеме выхо да);

краткое содержание документа (наименование, вид, код,

шифр) и уровень его конфиденциальности;

- спецификация устройств выдачи (логическое имя (но мер)

внешнего устройства);

- идентификатор субъекта дос тупа, запросившего до кумент.

■ Должна осуществляться регистрация запуска (завершения)

программ и процессов (заданий, задач), предназна ченны х для

обработки защищаемых файлов. В параметрах регистрации ука-

зываются:

- дата и время запуска;

- имя (идентификатор) программы (процесса, задания);

- идентификатор субъекта доступа, запросившего про грамму

(процесс, задание);

- результат запуска (успешный, неуспешный — несанкци-

онированный).

■ Должна осуществляться регистрация попы ток доступа про-

граммных средств (программ, процессов, задач, зада ний) к за-

щищаемым файлам. В параметрах регистрации указываются:

- дата и время попы тки доступа к защищаемому файлу с ука-

занием ее результата (успешная, неуспешная — не-

санкционированная) ;

- идентификатор субъекта дос тупа;

- спецификация защищаемого файла.

■ Должна осуществляться регистрация попы ток доступа про-

граммных средств к следующим дополнительным за щищаемым

объектам доступа: терминалам, Э ВМ, узлам сети Э ВМ, линиям

(каналам) связи, внешним устройствам ЭВМ, программам, то-

мам, каталогам, файлам, записям, полям записей. В параметрах

регистрации указыва ются:

- дата и время попытки доступа к защищаемому объекту с

указанием ее результата (успешная, неуспешная — не-

санкционированная);

- идентификатор субъекта доступа;

- спецификация защищаемого объекта (логическое имя,

номер).

■ Должен осуществляться автоматический учет создавае мых

защищаемых файлов с помощью их дополнительной маркиро в-

ки, используемой в подсистеме управления доступом. Марки-

ровка должна о тражать уровень конфиден циальности объекта.

■ Должен производиться учет всех защищаемы х носите лей

информации с помощью их любой маркировки и с занесением

учетны х данных в журнал (учетную карточку).

■ Должно производиться несколько видов учета (дублиру-

ющих) с регистрацией выдачи (приема) носителей информации.

■ Должна осуществляться очис тка (обнуление, обезличи вание)

освобождающихся областей оперативной памяти ЭВМ и внеш-

них накопителей. Очистка осуществляется двукратной произ-

вольной записью в освобождаемую область памяти, ранее ис-

пользованную для хранения защи щаемых данны х (файлов).

Криптографическая подсистема

■ Должно осуществляться шифрование всей конфиденци -

альной информации, записываемой на совместно исполь зуемые

различными субъектами доступа (разделяемые) но сители дан-

ных, в каналах связи, а также на съемные носители данных

(дискеты, CD и т. п.) долговременной внешней памяти для хра-

нения за пределами сеансов работы санкционированных суб ъ-

ектов дос тупа. При этом должны выполняться автоматическое

освобождение и очистка областей внешней памяти, содержав-

ших ранее незашифрованную информацию.

■ Доступ субъектов к операциям шифрования и крипто-

графическим ключам должен дополнительно контролироваться

подсистемой управления доступом.

■ Должны использоваться сер тифицированные средст ва крип-

тографической защиты. Их сертификацию проводят специаль-

ные сертификационные центры или специализированные пред-

приятия, имеющие лицензию на проведение сертификации

криптографических средств защиты.

Подсистема обеспечения целостности

■ Должна быть обеспечена целостность программных средств

СЗИ НСД, обрабатываемой информации, а также неизменность

программной среды. При этом:

- целостность СЗИ НСД проверяется при загрузке систе мы

по наличию имен (идентификаторов) компонент СЗИ;

- целостность программной среды обеспечивается отсут -

ствием в АС средств разработки и отладки программ.

■ Должна осуществляться физическая охрана СВТ (устройств

и носителей информации), предусматривающая постоянное на-

личие охраны территории и здания, где размещается АС, с по-

мощью технических средств охраны и специального персонала,

использование строгого пропускного режима, специальное обо-

рудование помещений АС.

■ Должно проводиться периодическое тестирование функций

СЗИ НСД при изменении программной среды и персонала АС с

помощью тестовых программ, имитирующих попытки НСД.

■ Должны быть в наличии средства восстановления СЗИ НСД,

предусматривающие ведение двух копий программных средств

СЗИ НСД и их перио дическое обновление и контроль работо-

способности.

■ Должны использоваться сертифицированные средства защи-

ты. Их сертификацию проводят специальные серти-

фикационные центры или специализированные предприя тия,

имеющие лицензию на проведение сертификации средств защи-

ты СЗИ НСД.

10.5. Требования к автоматизированным системам

защиты первой группы (см.табл. 7) [^]

Обозначения:

«-» — нет требований к данному классу;

«+» — есть требования к данному классу.

Таблица 7

Подсистемы и требования

Классы

1Д

1Г

1В

1Б

1А

1. Подсистема управления доступом

1.1. Идентификация, проверка подлинности и контроль доступа субъектов:

• систему

• к терминалам, ЭВМ, узлам сети ЭВМ , каналам

связи, внешним устройствам ЭВМ

• к программам

• к томам, каталогам, ф айлам, записям, полям

записей

1.2. Управление потоками информации

2. Подсистема регистрации и учета

2.1. Регистрация и учет:

• входа (выхода) субъектов доступа в (из) систе-

мы (узел сети)

• выдачи печатных (графических) выходных

документов

• запуска (завершения) программ и процессов

(заданий, задач)

• доступа программ субъектов доступа к защи-

щаемым файлам, включая их создание и удале-

ние, передачу по линиям и каналам связи

• доступа программ субъектов доступа к терми-

налам, ЭВМ , узлам сети ЭВМ , каналам связи,

внешним устройствам ЭВМ, программам, томам,

каталогам, файлам, записям, полям записей

• изменение полномочий субъектов доступа

• создаваемых защищаемых объектов доступа

2.2. Учет носителей информации

2.3. Очистка (обнуление, обезличивание) осво-

бождаемых областей one ративной памяти ЭВМ

и внешних накопителей

2.4. Сигнализация попыток нарушения защиты

3. Криптографическая подсистема

3.1. Шифрование конфиденциальной информа-

ции

3.2. Шифрование информации, принадлежащей

различным субъектам доступа (группам субъек-

тов)на разных ключах

3.3. Использование аттестованных (сертифиц и-

рованных) криптографических средств

4. Подсистема обеспечения целостности

4.1. Обеспечение целостности программных

средств и обрабатываемой (информации

4.2. Физическая охрана средств вычислительной

техники и носителей информации

4.3. Наличие администратора (службы) защиты

информации в АС

4.4. Периодическое тестирование СЗИ НСД

4.5. Наличие средств восстановления СЗИ НСД

4.6. Использование сертифицированных средств

защиты

Тре бования к классу защищенности 1Д Подсистема управле-

ния доступом

■ Должны осуществляться идентификация и проверка подлин-

ности субъектов доступа на вхо де в систем у по паролю услов-

но-постоянного действия, длиной не менее шести буквенно-

цифровых символов.

Подсистема регистрации и учета

■ Должна осуществляться регистрация вхо да (выхода) субъ-

ектов доступа в систему (из системы), либо регистра ция загруз-

ки и инициа лизации операционной системы и ее программного

останова. Регистрация выхода из сис темы или останова не про-

водится в моменты аппаратурного отключения АС. В парамет-

рах регистрации указыва ются:

- дата и время вхо да (выхо да) субъекта доступа в систему

(из системы) или загрузки (останова) системы;

- результат попы тки вхо да: успешная или неуспешная —

несанкционированная;

- идентификатор (код или фамилия) субъекта, предъяв -

ленный при попытке доступа.

■ Должен производиться учет всех защищаемых носите лей

информации с помощью их маркировки и с занесением учетных