dedoc/paragraph_dataset huggingface dataset:
ресурсы.
ТехническиехарактеристикиГИС ЦКТ
9 ПодключениексетиИнтернет Присутствует вконтролируемой
зоне (физическоеразделение
ЛВСГИСЦКТиЛВС
«Интернет»)
3. Целиизадачиоказанияуслуг (работ)
Целью оказания услуг по проектированию системы защиты информации ГИС
ЦКТ является разработка комплекта документации, определяющего
комплекс мероприятий, направленных на выполнение Заказчиком требований,
предусмотренных Федеральным законом от 27июля 2006г. № 149-ФЗ «Об информации,
информационных технологиях и о защите информации»и принятыми в соответствии с
ним НМД ФОИВ (Приложение Б).
Для достижения указанной цели при создании проекта СЗИ ГИС ЦКТ требуется
решениеследующихзадач:
1. сбор и анализ информации о технологическом процессе обработки информации в
ГИСЦКТ;
2. определение состава и структурной схемы ГИС ЦКТ, границ КЗ объекта
информатизацииЗаказчика;
3. классификациюГИСЦКТвсоответствиисНМДФСТЭКРоссии;
4. определение угроз безопасности информации и разработку на их основе модели
угроз (поНМДФСТЭК России)имоделинарушителябезопасностиинформации (по
НМДФСБРоссии),обрабатываемойвГИСЦКТ;
оценка соответствия организационно-распорядительных документов Заказчика по 5.
защите информации требованиям НМД ФСТЭК России, ФСБ России и с учетом
рекомендаций ГОСТ Р ИСО/МЭК 27001 " Информационная технология. Методы и
средства обеспечения безопасности. Системы менеджмента информационной
безопасности.Требования" (далее -ГОСТРИСО/МЭК 27001);
6. оценкасоответствииЗаказчикатребованиям НМДФОИВпозащитеинформации;
7. определение требований к СЗИ ГИС ЦКТ по НМД ФСТЭК России (для технических
средств защиты) и ФСБ России (для систем криптографической защиты
информации);
8. определение базового набора организационных и технических мер по защите
информации, обрабатываемой в ГИС ЦКТ по ГОСТ Р ИСО/МЭК 27001 , НМД
ФСТЭКРоссиииФСБРоссии;
9. регламентация необходимых процедур, связанных с реализацией на объекте
информатизации Заказчика базового набора организационных и технических мер по
защитеинформации,обрабатываемойвГИСЦКТ;
10.разработкачастноготехническогозадания (далее –ЧТЗ);
11.разработка технического проекта, спецификации оборудования и эксплуатационной
документацииСЗИГИСЦКТвсоответствиисЧТЗ;
12.поставка, пуско-наладка и запуск в эксплуатацию средств защиты информации в
соответствиистехническимпроектом;
13.аттестация ГИС ЦКТ на соответствие требованиям к информационным системам,
предназначенным для обработки персональных данных, в соответствииФЗ №152от
27июля 2006г. "ОПерсональныхданных".
Разрабатываемая СЗИ ГИС ЦКТ должна соответствовать требованиям по защите
информации, предъявляемым законодательством Российской Федерации, НМД ФСБ и
ФСТЭКРоссии.
4. Переченьоказываемыхуслуг (работ).
Для решения перечисленных задач требуется проведение следующих упорядоченных
во времени и взаимосвязанных мероприятий, сгруппированных в отдельные этапы с целью
оптимальнойреализациипроекта.
Этапы:
обследованиеГИСЦКТ (всехинформационныхсистемизеёсостава); −
−формирование требований по защите информации, обрабатываемой в ГИС ЦКТ,
разработкаЧТЗнапроектированиеСЗИГИСЦКТ;
−разработка внутренних нормативных и организационно-распорядительных
документов по организации системы разграничения доступа к информации,
технологииобработкиипорядкузащитыинформациивГИСЦКТ;
−техническоепроектированиеСЗИГИСЦКТ;
−разработкатехнической и эксплуатационной документации наСЗИЦКТ;
−поставка оборудования и внедрение СЗИ ГИС ЦКТ в соответствии с техническим
проектом;
−аттестацияиввод вэксплуатацию СЗИГИС ЦКТ.
Отчетная документация по каждому этапу работ (услуг) принимается Заказчиком в
распечатанномнабумагеиэлектронномвиде.
4.1.Перечень мероприятийнаэтапеобследованияГИСЦКТ
4.1.1. Сбор информации об ИТ обработки информации, применяемых в ГИС,
структуреиособенностяхинформационныхсистемизсоставаГИСЦКТ:
- определение «Перечня защищаемой информации» в ГИС ЦКТ и Федеральных
законов,ограничивающихдоступкэтойинформации;
- определение целей и технологических процессов обработки защищаемой
информации (в т. ч. ограниченного доступа) в информационных системах, входящих в
составГИС Заказчика;
- изучение конфигурации и топологии ГИС Заказчика в целом и ее отдельных
компонентов;
- определение технических средств ГИС Заказчика (серверы, АРМ,
коммутационное (сетевое) оборудование, ЛПД (СКС), обрабатывающих защищаемую
информацию;
- определение «Перечня ПО, используемого в ГИС» (состава системного и
прикладногоПО);
- определение взаимодействия ГИС с другими информационными системами,
включаявзаимодействиессистемами других организаций (втомчислепосети Интернет).
4.1.2. Определение состава применяемых в ГИС Заказчика технических и
организационных мерпозащитеинформации, вт.ч.:
- НМД Заказчика, регламентирующих на его объектах информатизации
организационные и технические мероприятия по защите информации, не составляющей
государственную тайну;
-организацияфизической охраныобъектаинформатизации Заказчикавцелом;
- перечней подразделений и пользователей, участвующих в технологическом
процессеобработки информации;
- перечней администраторов сети, администраторов безопасности информации,
специалистов, уполномоченных по защите информации, не составляющей
государственную тайну,наобъектеинформатизации Заказчика;
- сведений об имевших место инцидентах, связанных с обработкой информации
ограниченногодоступа наобъектеинформатизации Заказчика;
- перечень средств защиты информации (в т.ч.СКЗИ),наличие уних сертификатов
ФСТЭК и/или ФСБ России, место установки и способы применения этих средств на
объектеинформатизации Заказчика.
4.1.3. Анализ полученной информации и предварительная оценка выполнения
предъявляемых к ГИС Заказчика требований законодательства РФ и НМД ФОИВ по
организациизащитыинформации,несоставляющей государственную тайну.
4.1.4. По результатам оказанных услуг данного этапа составляется «Отчет об
обследовании ГИС ЦКТ», включающий аналитическое обоснование необходимости
созданияСЗИГИС ЦКТ.
4.2.Перечень мероприятий на этапе формирования требований по защите
информации,разработкиконцепцииинформационнойбезопасностииразработкиЧТЗ
напроектированиеСЗИГИСЦКТ
4.2.1. Классификация (определение уровня защищенности) ГИС Заказчика по
требованиямзащитыинформации (далее -классификацияГИС),втомчисле:
- класс ГИС, согласно «Требованиям о защите информации, не составляющей
государственную тайну, содержащейся в ГИС», утвержденным Приказом ФСТЭК России
от 11.02.2013 г.№ 17;
- уровень защищенности ИСПДн (в составе ГИС Заказчика), согласно
Постановлению Правительства Российской Федерации от 1 ноября 2012г. № 1119 « Об
утверждении требований к защите персональных данных при их обработке в
информационных системах персональных данных»;
- класс АС (для всей ГИС Заказчика), согласно руководящего документа
«Автоматизированные системы. Защита от несанкционированного доступа к информации.
Классификация автоматизированных систем и требования по защите информации»
утвержденного решением председателя Государственной технической комиссии при
ПрезидентеРоссийскойФедерацииот 30марта 1992г.
4.2.2.Определение актуальных угроз безопасности информации и разработку на их
основе модели угроз безопасности информации, не содержащей государственную тайну
(при выявлении необходимости обеспечения защиты информации с использованием СКЗИ,
разрабатываетсямодельнарушителясогласноНМДФСБРоссии).
4.2.3. Определение базового набора мер защиты информации для установленного
класса (уровня)защищенностиГИСЗаказчика.
4.2.4.Адаптация базового набора мер по обеспечению безопасности информации с
учетом ИТ,структурно-функциональных характеристик и особенностей функционирования
ГИС Заказчика (в том числе исключение из базового набора мер, непосредственно
связанных с ИТ, не используемыми в ГИС Заказчика, или структурно-функциональными
характеристиками,несвойственнымиэтойГИС);
4.2.5.Уточнение адаптированного базового набора мер защиты информации с учетом
не выбранных ранее мер защиты информации, в результате чего определяются меры
защиты информации, обеспечивающие блокирование (нейтрализацию) всех актуальных
угроз безопасности информации, включенных в модель угроз безопасности информации,
обрабатываемойвГИСЗаказчика;
4.2.6. Дополнение уточненного адаптированного базового набора мер защиты
информации мерами, обеспечивающими выполнение требований о защите информации,
установленными иными нормативными правовыми актами в области защиты информации,
втомчислевобластизащитыПД (дляИСПДнвсоставеГИСЗаказчика);
4.2.7 РазработкаКонцепцииинформационной безопасности.
4.2.7.1. Должен быть разработан проект «Концепции информационной безопасности
ГИС ЦКТ» (далее - Концепция), определяющий общие принципы и методы обеспечения
безопасности информации, не составляющей государственную тайну, и организационно-
техническиемерыпоеёзащитевинформационныхсистемахЗаказчика.
Проект Концепции должен быть разработан в соответствии с требованиями
действующегозаконодательстваРоссийской Федерации и НМДФОИВ,регламентирующих
вопросы защиты информации, не составляющей государственную тайну, с учетом
современного состояния и стратегии развития ИТ, целей, задач и правовых основ создания
и эксплуатации ГИС (АС, ИСПДн), а также на основе анализа угроз безопасности
информации,обрабатываемойвГИСЦКТ.
4.2.7.2П . роектКонцепциидолженсодержать:
• определениецелейизадачобеспечениябезопасностиинформации;
• описаниеобъектовзащиты (всехинформационныхсистемЗаказчика);
• общиепринципызащитыинформации,несоставляющейгосударственнуютайну;
• общиеметодызащитыинформациивинформационныхсистемах;
• организационные мероприятия по защите информации в информационных
системах;
• общие принципы оценки и контроля эффективности СЗИ в информационных
системах.
4.2.8.Разработка ЧТЗ на создание СЗИ ГИС с учетом ГОСТ 34.602,ГОСТ Р 51583и
ГОСТР 51624,исодержащего:
-обоснованиеразработкиСЗИ;
- исходные данные СЗИ ЦКТ в техническом, программном, информационном и
организационномаспектах;
-класс (уровень)защищенностиГИС (АС,ИСПДн)Заказчика;
-переченьНМД,которымдолжнасоответствоватьГИС (АС,ИСПДн)Заказчика;
- требования к мерам и средствам защиты информации, применяемым в ГИС (АС,
ИСПДн)Заказчика;
-переченьпредполагаемыхкиспользованиюсертифицированныхСрЗИиСКЗИ;
-обоснование проведенияразработок новых СрЗИи (или)СКЗИ,при невозможности
или нецелесообразности использования имеющихся на рынке сертифицированных
СрЗИи (или)СКЗИ;
состав, содержание и сроки проведения работ (услуг) по этапам разработки и -
внедрения;
- перечень требований к организациям-исполнителям работ (услуг) по
проектированиюСрЗИи(или)СКЗИ;
- перечень предъявляемой Заказчику технической и эксплуатационной
документации.
4.2.9. По результатам оказанных услуг данного этапа составляется следующие
документы:
• Переченьзащищаемыхинформационныхресурсовинформационнойсистемы;
• Проект акта классификации (определения уровня защищённости ПДн)
информационнойсистемы;
• Модель угроз;
Модельнарушителя; •
• Проект «КонцепцииинформационнойбезопасностиГИСЦКТ»;
• ЧТЗнасозданиеСЗИ.
4.3. Перечень мероприятий на этапе разработки внутренних нормативных и
организационно-распорядительных документов по организации системы
разграничения доступа к информации, технологии обработки и порядку защиты
информациивГИСЦКТ.
4.3.1. В ходе данного этапа проводится разработка проектов внутренних
нормативных и организационно-распорядительных документов Заказчика (или
предложений по доработке существующих документов), соответствующих требованиям
законодательства Российской Федерации и НМД ФОИВ, регламентирующим вопросы
защиты информации, не составляющей государственную тайну, и реализующих на объекте
информатизацииЗаказчикаорганизационныемерызащитыинформации.
Нормативные и организационно-распорядительные документы Заказчика
разрабатываются с учетом специфики деятельности Заказчика на основе применения на
объектах информатизации Заказчика основных мер защиты информации, не составляющей
государственнуютайну:
-документальноеоформлениеперечнясведений конфиденциальногохарактера,в
томчислес учетомведомственной спецификиэтих сведений;
- реализация разрешительной системы допуска исполнителей (пользователей,
обслужи-вающего персонала) к информации и связанным с ее использованием работам,
документам;
- ограничение доступа персонала и посторонних лиц в помещения, где размещены
средства информатизации и коммуникационное оборудование, а также хранятся носители
информации;
- разграничение доступа пользователей и обслуживающего персонала к
информационным ресурсам, программным средствам обработки (передачи) и защиты
- регистрация действий пользователей ГИС Заказчика (АС, ИСПДн) и
обслуживающего персонала, контроль несанкционированного доступа и действий
пользователей,обслуживающегоперсоналаи посторонних лиц;
- учет и надежное хранение бумажных и машинных носителей конфиденциальной
информации иих обращение,исключающеехищение,подменуи уничтожение;
- резервирование технических средств, дублирование массивов и носителей
- использование технических средств, удовлетворяющих требованиям стандартов
поэлектромагнитной совместимости;
-использованиесертифицированных средствзащитыинформации;
- использование защищенных каналов связи или СКЗИ при передаче информации
запределыконтролируемой зоны;
- размещение дисплеев и других средств отображения информации, исключающее
еенесанкционированный просмотр;
- организация физической защиты помещений и собственно технических средств
обработки информации с использованием технических средств охраны,
предотвращающих или существенно затрудняющих проникновение в здания, помещения
посторонних лиц, хищение документов и носителей информации, самих средств
информатизации;
предотвращениевнедрениявАС программ-вирусов,программных закладок. -
4.3.2.По результатам оказанных услуг составляются проекты нормативных и
организационно-распорядительных документов Заказчика всоответствии сПриложениемА
кТехническомузаданию.
4.4. Перечень мероприятий на этапе технического проектирования СЗИ ГИС
ЦКТ
4.4.1. В ходе технического проектирования требуется определить технические
решений и состава необходимых СрЗИ и (или) СКЗИ, предполагаемых к использованию в
составе СЗИ ГИС ЦКТ в соответствии с предъявленными в ЧТЗ на проектирование СЗИ
ГИСЦКТтребованиями.
4.4.2.ПрипроектированииСЗИГИСЦКТтребуется:
- определить технические решения по реализации указанных в ЧТЗ требований с
учетомужереализованныхуЗаказчикатехническихмер;
-обоснованновыбрать сертифицированныеФСТЭКРоссииСрЗИи (или)ФСБРоссии