Побудова комплексної системи захисту інформації

 

МІНІСТЕРСТВО ОСВІТИ І НАУКИ УКРАЇНИ

НАЦІОНАЛЬНИЙ АВІАЦІЙНИЙ УНІВЕРСИТЕТ

ІНСТИТУТ ІНФОРМАЦІЙНО-ДІАГНОСТИЧНИХ СИСТЕМ

КАФЕДРА БЕЗПЕКИ ІНФОРМАЦІЙНИХ ТЕХНОЛОГІЙ

Курсова робота

з дисципліни «Комплексна система захисту інформації»

Тема: «Побудова комплексної системи захисту інформації»

Виконала:

студентка групи 432

Гаврилюк Ю.А.

Перевірила

професор Іванченко Є.В

Київ 2013

Содержание

ЗАВДАННЯ

ОСНОВНІ ТЕОРЕТИЧНІ ВІДОМОСТІ

.Обгрунтування необхідності Створення КСЗІ в АС

.Обстеження середовищ функціонування АС

АКТ ОБСТЕЖЕННЯ

НАКАЗ

ПЕРЕЛІК ВІДОМОСТЕЙ

АКТ ВИЗНАЧЕННЯ ВИЩОГО СТУПЕНЮ ОБМЕЖЕННЯ ДОСТУПУ ІНФОРМАЦІЇ

.Визначення потенційних загроз для інформації, яка циркулюватиме в АС

ПОСЛУГИ

. Позначення і скорочення

. Послуги, що виконуються в АС классу 2 видавництва «Книгоман»

МОДЕЛЬ ЗАГРОЗ

. Позначення і скорочення

. Нормативні посилання

. Загальні положення

. Загальна характеристика автоматизованої системи установи і умов її функціонування

. Описи технічних каналів витоку та загроз ІзОД

. Модель загроз для інформації, яка планується до циркуляції в АСі класу 2

. Модель порушника

.Розробка політики безпеки інформації в АС

ПОЛІТИКА БЕЗПЕКИ ІНФОРМАЦІЇ

. Загальні положення

. Основні організаційні заходи

. Розмежування інформаційних потоків

. Вимоги до правил адміністрування КЗЗ і реєстрації дій користувачів

. Середовище АС

. Фізичне середовище АС

.Складання плану захисту інформації в АС

ПЛАН ЗАХИСТУ ІНФОРМАЦІЇ

. Завдання захисту інформації в АСВТЗІ

. Класифікація інформації, що обробляється в АСВТЗІ

. Опис компонентів АСВТЗІ та технології оброки інформації

. Організаційні заходи захисту

. Фізичний захист інформації

. Захист інформації від витоку технічними каналами

. Порядок модернізації компонентів системи

. Порядок проведення відновлювальних робіт і забезпечення безперервного функціонування АСВТЗІ

. Контроль за функціонуванням КСЗІ

. Порядок введення в експлуатацію КСЗІ

. Система документів щодо забезпечення захисту інформації в АСВТЗІ

. Календарний план із захисту інформації в АСВТЗІ

.Розробка технічного завдання на створення КСЗІ в АС

ТЕХНІЧНЕ ЗАВДАННЯ

. Загальні відомості

. Мета створення і призначення КСЗІ

. Загальна характеристика АСВТЗІ та умов її функціонування

. Вимоги до комплексної системи захисту інформації

. Вимоги до складу проектної та експлуатаційної документації

. Вимоги до забезпечення режимних заходів у процесі розробки КСЗІ

. Етапи виконання робіт

. Порядок внесення змін і доповнень до технічного завдання

. Порядок контролю та приймання КСЗІ

.Складання техноробочого проекту створення КСЗІ

ТЕХНОРОБОЧИЙ ПРОЕКТ

. Відомість проектної документації до Техноробочого проекту КСЗІ в АСВТЗІ

. Відомість експлуатаційної документації до Техноробочого проекту КСЗІ в АСВТЗІ

. Пояснювальна записка до Техноробочого проекту

.Підготовка КСЗІ до введення в дію

ПАСПОРТ-ФОРМУЛЯР

. Загальні положення

. Загальні відомості про ОІД, на якому знаходиться АСВТЗІ

. Призначення комплексної системи захисту інформації в АСВТЗІ:

.Попередні випробування КСЗІ

ПРОГРАМА ТА МЕТОДИКИ ВИПРОБУВАНЬ

. Обєкт випробувань

. Мета випробувань

. Загальні положення

. Обсяг випробувань

. Умови і порядок проведення випробувань

. Матеріально-технічне забезпечення випробувань

. Метрологічне забезпечення випробувань

. Звітність

ПРОТОКОЛ

.Дослідна експлуатація КСЗІ

АКТ ПРИЙМАННЯ

.Експертиза КСЗІ

АКТ ЗАВЕРШЕННЯ ДОСЛІДНОЇ ЕКСПЛУАТАЦІЇ

Список використаної літератури

ЗАВДАННЯ

1.Розробити комплексну систему захисту інформації для автоматизованої системи класу «2» обраного за варіантом підприємство (дозволяється самостійно обрати існуюче підприємство, попередньо узгодити з викладачем). Кожний етап побудови оформити згідно нормативних документів.

2.Згідно останньої цифри залікової книжки обрати обєкт інформаційної діяльності.

.Кількість поверхів обирається за сумою двох останніх цифр залікової книжки - якщо сума парне число, тоді 2 поверхи, якщо непарне - 1 (Наприклад, ? = 4, то поверхів 2, якщо ? = 5, то поверхів 1).

.Обґрунтуйте вибір апаратних та програмних засобів захисту (засіб повинен мати експертний висновок Держспецзвязку України).

.Курсова робота оформлюється згідно вимог ГОСТу до проектно-технічної документації.

Всі документи розробляються згідно вимог нормативних документів Держспецзвязку України та ДСТУ.

ВАРІАНТИ

Остання цифра залікової книжкиКількість приміщеньКількість ПКОбєкт інформаційної діяльності8421Видавництво

ОСНОВНІ ТЕОРЕТИЧНІ ВІДОМОСТІ

Згідно Закону України Про захист інформації в інформаційно-телекомунікаційних системах від 31.05.2005 р. - Комплексна система захисту інформації (КСЗІ) - взаємопов'язана сукупність організаційних та інженерно-технічних заходів, засобів і методів захисту інформації.

ЕТАПИ ПОБУДОВИ КСЗІ

1.Обгрунтування необхідності Створення КСЗІ в АС

Згідно Закону України "Про захист інформації в інформаційно-телекомунікаційних системах" від 31.05.2005 р. - Комплексна система захисту інформації - взаємопов'язана сукупність організаційних та інженерно-технічних заходів, засобів і методів захисту інформації.

Згідно статті 8 цього Закону, Умови обробки інформації в системі.

Інформація, яка є власністю держави, або інформація з обмеженим доступом, вимога щодо захисту якої встановлена законом, повинна оброблятися в системі із застосуванням комплексної системи захисту інформації з підтвердженою відповідністю. Підтвердження відповідності здійснюється за результатами державної експертизи в порядку, встановленому законодавством.

Для створення комплексної системи захисту інформації, яка є власністю держави, або інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом, використовуються засоби захисту інформації, які мають сертифікат відповідності або позитивний експертний висновок за результатами державної експертизи у сфері технічного та/або криптографічного захисту інформації. Підтвердження відповідності та проведення державної експертизи цих засобів здійснюються в порядку, встановленому законодавством.

У 2006 році 29 березня Постановою Кабінету Міністрів України №373, були затверджені "Правила забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах", в яких визначається, що - (пт. 16) для забезпечення захисту інформації в системі створюється комплексна система захисту інформації (далі - система захисту), яка призначається для захисту інформації від:

? витоку технічними каналами, до яких належать канали побічних електромагнітних випромінювань і наведень, акустично-електричні та інші канали, що утворюються під впливом фізичних процесів під час функціонування засобів обробки інформації, інших технічних засобів і комунікацій;

? несанкціонованих дій з інформацією, у тому числі з використанням комп'ютерних вірусів;

? спеціального впливу на засоби обробки інформації, який здійснюється шляхом формування фізичних полів і сигналів та може призвести до порушення її цілісності та несанкціонованого блокування.

Захист інформації від витоку технічними каналами забезпечується в системі у разі, коли в ній обробляється інформація, що становить державну таємницю, або коли відповідне рішення щодо необхідності такого захисту прийнято власником (розпорядником) інформації.

Захист інформації від несанкціонованих дій, у тому числі від комп'ютерних вірусів, забезпечується в усіх системах.

Захист інформації від спеціального впливу на засоби обробки інформації забезпечується в системі, якщо рішення про необхідність такого захисту прийнято власником (розпорядником) інформації.

Існує також нормативний документ, " Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі" НД ТЗІ 3.7-003-05, який визначає, (пт.5.3) процес створення КСЗІ полягає у здійсненні комплексу взаємоузгоджених заходів, спрямованих на розроблення і впровадження інформаційної технології, яка забезпечує обробку інформації в інформаційно-телекомунікаційній системі (ITC) згідно з вимогами, встановленими нормативно-правовими актами та нормативними документами (НД) у сфері захисту інформації.

До складу КСЗІ входять заходи та засоби, які реалізують способи, методи, механізми захисту інформації від:

? витоку технічними каналами, до яких відносяться канали побічних електромагнітних випромінювань і наведень, акустоелектричні та інші канали;

? несанкціонованих дій та несанкціонованого доступу до інформації, що можуть здійснюватися шляхом підключення до апаратури та ліній зв'язку, маскування під зареєстрованого користувача, подолання заходів захисту з метою використання інформації або нав'язування хибної інформації, застосування закладних пристроїв чи програм, використання комп'ютерних вірусів та ін;

? спеціального впливу на інформацію, який може здійснюватися шляхом формування полів і сигналів з метою порушення цілісності інформації або руйнування системи захисту.

Для кожної конкретної ITC склад, структура та вимоги до КСЗІ визначаються властивостями оброблюваної інформації, класом автоматизованої системи та умовами експлуатації ITC. (пт. 5.8) Створення комплексів технічного захисту інформації від витоку технічними каналами здійснюється, якщо в ITC обробляється інформація, що становить державну таємницю, або коли необхідність цього визначено власником інформації.

Створення КЗЗ здійснюється в усіх ITC, де обробляється інформація, що є власністю держави, належить до державної чи іншої таємниці або до окремих видів інформації, необхідність захисту якої визначено законодавством, а також в ITC, де така необхідність визначена власником інформації.

Рішення щодо необхідності вжиття заходів захисту від спеціальних впливів на інформацію приймається власником інформації в кожному випадку окремо.

2.Обстеження середовищ функціонування АС

АКТ ОБСТЕЖЕННЯ

Видавництво «Книгоман»

ЗатверджуюДиректор видавництва «Книгоман»

.02.11Кірик Іванна Іванівна

АКТ № 3

«про обстеження робочого приміщення №5 - серверна»

.02.11 м. Київ

Комісія в складі:

головаГаврилюк Юлія Андріївна - замісник директора,

члени:Хохуля Тетяна Миколаївна - нач. відділу ТЗІ,

Кірик Іванна Іванівна - зам. нач. відділу ТЗІ, призначена наказом №1 від 2.02.2011 провела обстеження робочого приміщення №5.

Обстеження проводиться у звязку з тим, що КСЗІ для даного ОІД розробляється і впроваджується вперше. Цей документ розробляється виходячи з акту № 2 «категорування робочого приміщення №5» від 17.01.11, керівник - директор Кірик Іванна Іванівна.

Комісія розглянула та проаналізувала:

ситуаційний план (додаток А)

схеми електроживлення

схеми коммунікацій, що мають вихід за межі КЗ

наявність НД ТЗІ

Комісія постановила:

1.В робочому приміщенні № 5, де циркулює така інформація:

.2Мовна інформація (під час робочого часу) вголос та під час розмов між співробітниками цього підприємства. Гриф -конфіденційно.

1.3Інформація в ПЕОМ. Гриф обмеження доступу - цілком конфіденційно

2.Відстань до меж контрольованої зони

3.Система заземлення - виходить за межі контрольованої зони (Схеми комунікацій, що мають вихід за межі КЗ)

.У наявності всі НД ТЗІ

Висновки:

.Захищаєма мовна інформація не відповідає НД.

2.Захищаєма інформація в ЕОМ не відповідає НД.

Рекомендації:

.Розробити модель загроз інформації з обмеженим доступом

2.Згідно з моделлю загроз перекривати технічні канали витоку мовної інформації .

.Захистити ЕОМ

.Згідно з моделлю загроз перекривати технічні канали витоку інформації з ЕОМ.

Додатки:

Ситуаційний план (додаток А)

Комісія в складі:

головаГаврилюк Юлія Андріївна - замісник директора,

члени:Хохуля Тетяна Миколаївна - нач. відділу ТЗІ,

Кірик Іванна Іванівна - зам. нач. відділу ТЗІ,

Кількість примірників - 1

ВИДАВНИЦТВО «КНИГОМАН»

НАКАЗ

.03.2011 № 5/ТЗІ

Про затвердження Переліку відомостей, що відносяться до конфіденційної інформації видавництва «Книгоман» та якій надається гриф обмеження доступу

З метою забезпечення захисту конфіденційної інформації, яка відноситься до видавництва «Книгоман»

НАКАЗУЮ:

. Затвердити Перелік відомостей, що відносяться до конфіденційної інформації видавництва «Книгоман» та якій надається гриф обмеження доступу (надалі - Перелік), що додається.

. Начальникам відділів:

.1. Довести цей Перелік до відома працівників в частині, що їх стосується.

.2. Забезпечити контроль за використанням та збереженням інформації з грифом обмеженого доступу «конфіденційно» та «цілком конфіденційно».

. Контроль за роботою з документами, які містять конфіденційну інформацію покласти на начальника відділу діловодства.

. Контроль за нерозголошення конфіденційної інформації покласти на начальника відділу ТЗІ.

. Контроль за виконанням цього наказу залишаю за собою.

Директор видавництва «Книгоман» І.І.Кірик

ПЕРЕЛІК ВІДОМОСТЕЙ

що відносяться до конфіденційної інформації

видавництва «Книгоман»та якій надається гриф обмеження доступу

№ п/пІнформаціяГриф обмеження доступу1.Відомості про ідентифікатори та паролі системного адміністратора та інших осіб, що мають доступ до управління АСцілком конфіденційно2.Відомості про ідентифікатори та паролі користувачів робочих станційконфіденційно3.Відомості, що розкривають систему охорони, перепускного режиму, технічного оснащення щодо охорони даного підприємства.конфіденційно4.Відомості стосовно діяльності клієнтів видавництва «Книгоман»конфіденційно5.Відомості про клієнтів видавництва «Книгоман»конфіденційно6.Відомості про постачальників видавництва «Книгоман»конфіденційно7.Відомості про організацію та технічні засоби реалізації АСконфіденційно8.Нормативна та експлуатаційна документація щодо технічних рішень, прийнятих у спеціальних проектах та проектах захисту підприємствацілком конфіденційно9.Інформація, що стосується особи працівника видавництва «Книгоман»конфіденційно10.Відомості про зміст бази даних захисту АС (облікові записи, паролі користувачів зі всіма атрибутами захисту)цілком конфіденційно11.Технічні заходи щодо захисту конфіденційної інформаціїцілком конфіденційно12.Відомості, що розкривають зміст угод, договорів, контрактів, які за домовленістю сторін вважаються конфіденційнимиконфіденційно13.Доповідні записки, довідки, інформаційні листи, методичні рекомендації з питань збереження конфіденційної інформаціїконфіденційно14.Облікова картка користувача АС про надання доступу до конфіденційної інформації в АС (по заповненню)конфіденційно

ЗАТВЕРДЖУЮ

Директор видавництва «Книгоман»

___________________І.І.Кірик

____ ________ 2013 року

АКТ ВИЗНАЧЕННЯ ВИЩОГО СТУПЕНЮ ОБМЕЖЕННЯ ДОСТУПУ ІНФОРМАЦІЇ

яка циркулюватиме на обєкті інформаційної діяльності - приміщення № 5 відділу технічного захисту інформації видавництва «Книгоман»

Комісія в складі:

головаГаврилюк Юлія Андріївна - замісник директора,

члени:Хохуля Тетяна Миколаївна - нач. відділу ТЗІ,

Кірик Іванна Іванівна - зам. нач. відділу ТЗІ,

відповідно до вимог НД ТЗІ 3.7-003-05 «Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі», провела визначення вищого ступеню обмеження доступу інформації, яка циркулюватиме на обєкті інформаційної діяльності - приміщення № 5 відділу технічного захисту інформації видавництва «Книгоман» (далі - ОІД).

Комісією встановлено:

Вищий гриф обмеження доступу інформації, яка планується до циркуляції на ОІД:

інформація на паперових носіях інформації - «цілком конфіденційно»;

інформація автоматизованій системі класу «1» - «цілком конфіденційно»;

мовна інформація - без обмеження доступу.

Висновок:

Вищий гриф обмеження доступу інформації, яка циркулюватиме на ОІД - «цілком конфіденційно».

Голова комісії:

Гаврилюк Юлія Андріївна - замісник директора

Члени комісії:

Хохуля Тетяна Миколаївна - нач. відділу ТЗІ

Кірик Іванна Іванівна - зам. нач. відділу ТЗІ

3.Визначення потенційних загроз для інформації, яка циркулюватиме в АС

ЗАТВЕРДЖУЮ

Директор видавництва «Книгоман»

_________________І.І.Кірик

„ ____ ________ 2013 року

ПОСЛУГИ

що виконуються в АС классу 2 видавництва «Книгоман»

1. Позначення і скорочення

АС - автоматизована система;

КС - комп'ютерна система;

КЗЗ - комплекс засобів захисту;

НСД - несанкціонований доступ;

ОС - обчислювальна система;

ПЗ - програмне забезпечення;

Позначення послуг:

КД - довірча конфіденційність;

КА - адміністративна конфіденційність;

КО - повторне використання об'єктів;

КК - аналіз прихованих каналів;

ЦД - довірча цілісність;

ЦА - адміністративна цілісність;

ЦО - відкат;

ДР - використання ресурсів;

ДВ - стійкість до відмов;

ДЗ - гаряча заміна;

ДВ - відновлення після збоїв;

НР - реєстрація;

НИ - ідентифікація і автентифікація;

НК - достовірний канал;

НО - розподіл обов'язків;

НЦ - цілісність КЗЗ;

НТ - самотестування;

2. Послуги, що виконуються в АС классу 2 видавництва «Книгоман»

Мета введення класифікації АС і стандартних функціональних профілів захищеності - полегшення задачі співставлення вимог до КЗЗ обчислювальної системи АС з характеристиками АС.

Автоматизована система являє собою організаційно-технічну систему, що обєднує ОС, фізичне середовище, персонал і оброблювану інформацію. Вимоги до функціонального складу КЗЗ залежать від характеристик оброблюваної інформації, самої ОС, фізичного середовища, персоналу і організаційної підсистеми. Вимоги до гарантій визначаються насамперед характером (важливістю) оброблюваної інформації і призначенням АС.

Автоматизована система даної організації призначена для керування інформацією з метою забезпеченя, перш за все, захисту авторських прав, що полягає в цілісності і конфіденцій6ності інформації. Також важливе місце займає забезпечення доступності. Таким чином АС класу 2 видавництва відповідає стандартний функціональний профіль захищеності в КС з підвищеними вимогами до забезпечення конфіденційності, цілісності і доступності оброблюваної інформації:

.КЦД.3 = { КД-2, КА-2, КО-1, КК-1,

ЦД-1, ЦА-3, ЦО-2,

ДР-2, ДС-1, ДЗ-1, ДВ-2,

НР-3, НИ-2, НК-1, НО-2, НЦ-3, НТ-2 }

Даний профіль забезпечує певні послуги, які являють собою набір функцій, що дозволяють протистояти певній множині загроз. Таким послугами є:

КД-2. Базова довірча конфіденційність. Ця послуга дозволяє користувачу керувати потоками інформації від захищених об'єктів, що належать його домену, до інших користувачів.

Політика довірчої конфіденційності, що реалізується КЗЗ, повинна визначати множину об'єктів КС, до яких вона відноситься. КЗЗ повинен здійснювати розмежування доступу на підставі атрибутів доступу користувача і захищеного об'єкта. Запити на зміну прав доступу до об'єкта повинні оброблятися КЗЗ на підставі атрибутів доступу користувача, що ініціює запит, і об'єкта. КЗЗ повинен надавати користувачу можливість для кожного захищеного об'єкта, що належить його домену, визначити конкретних користувачів і/або групи користувачів, які мають право одержувати інформацію від об'єкта. КЗЗ повинен надавати користувачу можливість для кожного процесу, що належить його домену, визначити конкретних користувачів і/або групи користувачів, які мають право ініціювати процес. Права доступу до кожного захищеного об'єкта повинні встановлюватись в момент його створення або ініціалізації. Як частина політики довірчої конфіденційності повинні бути представлені правила збереження атрибутів доступу об'єктів під час їх експорту та імпорту.

КА-2. Базова адміністративна конфіденційність. Ця послуга дозволяє адміністратору або спеціально авторизованому користувачу керувати потоками інформації від захищених об'єктів до користувачів.

Політика адміністративної конфіденційності, що реалізується КЗЗ, повинна визначати множину об'єктів КС, до яких вона відноситься. КЗЗ повинен здійснювати розмежування доступу на підставі атрибутів доступу користувача і захищеного об'єкта. Запити на зміну прав доступу повинні оброблятися КЗЗ тільки в тому випадку, якщо вони надходять від адміністраторів або від користувачів, яким надані відповідні повноваження. КЗЗ повинен надавати можливість адміністратору або користувачу, що має відповідні повноваження, для кожного захищеного об'єкта шляхом керування належністю користувачів, процесів і об'єктів до відповідних доменів визначити конкретних користувачів і/або групи користувачів, які мають право одержувати інформацію від об'єкта. КЗЗ повинен надавати можливість адміністратору або користувачу, що має відповідні повноваження, для кожного процесу через керування належністю користувачів і процесів до відповідних доменів визначити конкретних користувачів і/або групи користувачів, які мають право ініціювати процес. Права доступу до кожного захищеного об'єкта повинні встановлюватися в момент його створення або ініціалізації. Як частина політики адміністративної конфіденційності мають бути представлені правила збереження атрибутів доступу об'єктів під час їх експорту та імпорту.

КО-1. Повторне використання об'єктів. Ця послуга дозволяє забезпечити коректність повторного використання розділюваних об'єктів, гарантуючи, що в разі, якщо розділюваний об'єкт виділяється новому користувачу або процесу, то він не містить інформації, яка залишилась від попереднього користувача або процесу.

Політика повторного використання об'єктів, що реалізується КЗЗ, повинна відноситись до всіх об'єктів КС

Перш ніж користувач або процес зможе одержати в своє розпорядження звільнений іншим користувачем або процесом об'єкт, встановлені для попереднього користувача або процесу права доступу до даного об'єкта повинні бути скасовані

Перш ніж користувач або процес зможе одержати в своє розпорядження звільнений іншим користувачем або процесом об'єкт, вся інформація, що міститься в даному об'єкті, повинна стати недосяжною.

КК-1. Виявлення прихованих каналів. Ця послуга виконується з метою виявлення і усунення потоків інформації, які існують, але не контролюються іншими послугами.

Повинен бути виконаний аналіз прихованих каналів.

Всі приховані канали, які існують в апаратному і програмному забезпеченні, а також в програмах ПЗП, повинні бути документовані

Має бути документована максимальна пропускна здатність кожного знайденого прихованого каналу, одержана на підставі теоретичної оцінки або вимірів

Для прихованих каналів, які можуть використовуватися спільно, повинна бути документована сукупна пропускна здатність

ЦД-1. Мінімальна довірча цілісність. Ця послуга дозволяє користувачу керувати потоками інформації від інших користувачів до захищених об'єктів, що належать його домену.

Політика довірчої цілісності, що реалізується КЗЗ, повинна визначати множину об'єктів КС, до яких вона відноситься. КЗЗ повинен здійснювати розмежування доступу на підставі атрибутів доступу користувача і захищеного об'єкта. Запити на зміну прав доступу до об'єкта повинні оброблятися КЗЗ на підставі атрибутів доступу користувача, що ініціює запит, і об'єкта. КЗЗ повинен надавати користувачу можливість для кожного захищеного об'єкта, що належить його домену, визначити конкретних користувачів і/або групи користувачів, які мають право модифікувати об'єкт. Права доступу до кожного захищеного об'єкта повинні встановлюватися в момент його створення або ініціалізації. Як частина політики довірчої цілісності мають бути представлені правила збереження атрибутів доступу об'єктів під час їх експорту і імпорту.

ЦА-3. Повна адміністративна цілісність. Ця послуга дозволяє адміністратору або спеціально авторизованому користувачу керувати потоками інформації від користувачів до захищених об'єктів.

Політика адміністративної цілісності, що реалізується КЗЗ, повинна відноситись до всіх об'єктів КС.

КЗЗ повинен здійснювати розмежування доступу на підставі атрибутів доступу процесу і захищеного об'єкта.

Запити на зміну прав доступу повинні оброблятися КЗЗ тільки в тому випадку, якщо вони надходять від адміністраторів або від користувачів, яким надані відповідні повноваження.

КЗЗ повинен надавати можливість адміністратору або користувачу, який має відповідні повноваження, для кожного захищеного об'єкта шляхом керування належністю користувачів, процесів і об'єктів до відповідних доменів визначити конкретні процеси (і групи процесів), які мають, а також тих, які не мають права модифікувати об'єкт.

КЗЗ повинен надавати можливість адміністратору або користувачу, який має відповідні повноваження, для кожного процесу шляхом керування належністю користувачів і процесів до відповідних доменів визначити конкретних користувачів (і групи користувачів), які мають, а також тих, які не мають права ініціювати процес.

Права доступу до кожного захищеного об'єкта повинні встановлюватися в момент його створення або ініціалізації. Як частина політики адміністративної цілісності мають бути представлені правила збереження атрибутів доступу об'єктів під час їх експорту і імпорту.

ЦО-2. Повний відкат. Ця послуга забезпечує можливість відмінити операцію або послідовність операцій і повернути (відкотити) захищений об'єкт до попереднього стану.

Політика відкату, що реалізується КЗЗ, повинна визначати множину об'єктів КС, до яких вона відноситься. Повинні існувати автоматизовані засоби, які дозволяють авторизованому користувачу або процесу відкотити або відмінити всі операції, виконані над захищеним об'єктом за певний проміжок часу.

ДР-2. Недопущення захоплення ресурсів. Ця послуга дозволяє користувачам керувати використанням послуг і ресурсів.

Політика використання ресурсів, що реалізується КЗЗ, повинна відноситися до всіх об'єктів КС.

Політика використання ресурсів повинна визначати обмеження, які можна накладати, на кількість даних об'єктів (обсяг ресурсів), що виділяються окремому користувачу.

Запити на зміну встановлених обмежень повинні оброблятися КЗЗ тільки в тому випадку, якщо вони надходять від адміністраторів або від користувачів, яким надані відповідні повноваження.

Повинна існувати можливість встановлювати обмеження таким чином, щоб КЗЗ мав можливість запобігти діям, які можуть призвести до неможливості доступу інших користувачів до функцій КЗЗ або захищених об'єктів. КЗЗ повинен контролювати такі дії, здійснювані з боку окремого користувача.

ДС-1. Стійкість при обмежених відмовах. Стійкість до відмов гарантує доступність КС (можливість використання інформації, окремих функцій або КС в цілому) після відмови її компонента.

Розробник повинен провести аналіз відмов компонентів КС.

Політика стійкості до відмов, що реалізується КЗЗ, повинна визначати множину компонентів КС, до яких вона відноситься, і типи їх відмов, після яких КС в змозі продовжувати функціонування.

Повинні бути чітко вказані рівні відмов, при перевищенні яких відмови призводять до зниження характеристик обслуговування або недоступності послуги.

Відмова одного захищеного компонента не повинна призводити до недоступності всіх послуг, а має в гіршому випадку проявлятися в зниженні характеристик обслуговування.

КЗЗ повинен бути спроможний повідомити адміністратора про відмову будь-якого захищеного компонента.

ДЗ-1. Модернізація. Ця послуга дозволяє гарантувати доступність КС (можливість використання інформації, окремих функцій або КС в цілому) в процесі заміни окремих компонентів.

Політика гарячої заміни, що реалізується КЗЗ, повинна визначати політику проведення модернізації КС

Адміністратор або користувачі, яким надані відповідні повноваження, повинні мати можливість провести модернізацію (upgrade) КС. Модернізація КС не повинна призводити до необхідності ще раз проводити інсталяцію КС або до переривання виконання КЗЗ функцій захисту.

ДВ-2. Автоматизоване відновлення. Ця послуга забезпечує повернення КС у відомий захищений стан після відмови або переривання обслуговування.

Політика відновлення, що реалізується КЗЗ, повинна визначати множину типів відмов КС і переривань обслуговування, після яких можливе повернення у відомий захищений стан без порушення політики безпеки. Повинні бути чітко вказані рівні відмов, у разі перевищення яких необхідна повторна інсталяція КС.

Після відмови КС або переривання обслуговування КЗЗ має бути здатним визначити, чи можуть бути використані автоматизовані процедури для повернення КС до нормального функціонування безпечним чином. Якщо такі процедури можуть бути використані, то КЗЗ має бути здатним виконати їх і повернути КС до нормального функціонування.

Якщо автоматизовані процедури не можуть бути використані, то КЗЗ повинен перевести КС до стану, з якого повернути її до нормального функціонування може тільки адміністратор або користувачі, яким надані відповідні повноваження.

Повинні існувати ручні процедури, за допомогою яких можна безпечним чином повернути КС до нормального функціонування.

НР-3. Сигналізація про небезпеку. Реєстрація дозволяє контролювати небезпечні для КС дії.

Політика реєстрації, що реалізується КЗЗ, повинна визначати перелік подій, що реєструються.

КЗЗ повинен бути здатним здійснювати реєстрацію подій, що мають безпосереднє відношення до безпеки.

Журнал реєстрації повинен містити інформацію про дату, час, місце, тип і успішність чи неуспішність кожної зареєстрованої події. Журнал реєстрації повинен містити інформацію, достатню для встановлення користувача, процесу і/або об'єкта, що мали відношення до кожної зареєстрованої події.

КЗЗ повинен забезпечувати захист журналу реєстрації від несанкціонованого доступу, модифікації або руйнування.

Адміністратори і користувачі, яким надані відповідні повноваження, повинні мати в своєму розпорядженні засоби перегляду і аналізу журналу реєстрації.

КЗЗ має бути здатним контролювати одиничні або повторювані реєстраційні події, які можуть свідчити про прямі (істотні) порушення політики безпеки КС. КЗЗ має бути здатним негайно інформувати адміністратора про перевищення порогів безпеки і, якщо реєстраційні небезпечні події повторюються, здійснити неруйнівні дії щодо припинення повторення цих подій.

НИ-2. Одиночна ідентифікація і автентифікація. Ідентифікація і автентифікація дозволяють КЗЗ визначити і перевірити особистість користувача, що намагається одержати доступ до КС.

Політика ідентифікації і автентифікації, що реалізується КЗЗ, повинна визначати атрибути, якими характеризується користувач, і послуги, для використання яких необхідні ці атрибути. Кожний користувач повинен однозначно ідентифікуватися КЗЗ.

Перш ніж дозволити будь-якому користувачу виконувати будь-які інші, контрольовані КЗЗ дії, КЗЗ повинен автентифікувати цього користувача з використанням захищеного механізму.

КЗЗ повинен забезпечувати захист даних автентифікації від несанкціонованого доступу, модифікації або руйнування.

НК-1. Однонаправлений достовірний канал. Ця послуга дозволяє гарантувати користувачу можливість безпосередньої взаємодії з КЗЗ.

Політика достовірного каналу, що реалізується КЗЗ, повинна визначати механізми встановлення достовірного зв'язку між користувачем і КЗЗ. Достовірний канал повинен використовуватися для початкової ідентифікації і автентифікації. Зв'язок з використанням даного каналу повинен ініціюватися виключно користувачем.

НО-2. Розподіл обов'язків адміністраторів. Ця послуга дозволяє зменшити потенційні збитки від навмисних або помилкових дій користувача і обмежити авторитарність керування.

НЦ-3. КЗЗ з функціями диспетчера доступу. Ця послуга визначає міру здатності КЗЗ захищати себе і гарантувати свою спроможність керувати захищеними об'єктами.

Політика цілісності КЗЗ повинна визначати домен КЗЗ та інші домени, а також механізми захисту, що використовуються для реалізації розподілення доменів.

НТ-2. Самотестування при старті. Самотестування дозволяє КЗЗ перевірити і на підставі цього гарантувати правильність функціонування і цілісність певної множини функцій КС.

Політика самотестувания, що реалізується КЗЗ, повинна описувати властивості КС і реалізовані процедури, які можуть бути використані для оцінки правильності функціонування КЗЗ.

КЗЗ має бути здатним виконувати набір тестів з метою оцінки правильності функціонування своїх критичних функцій. Тести повинні виконуватися за запитом користувача, що має відповідні повноваження, при ініціалізації КЗЗ.

Начальник відділу ТЗІ

Видавництва «Книгоман» Т.М.Хохуля

ЗАТВЕРДЖУЮ

Директор видавництва «Книгоман»

_________________І.І.Кірик

„ ____ ________ 2013 року

МОДЕЛЬ ЗАГРОЗ

для інформації з обмеженим доступом, яка планується до циркуляції в автоматизованій системі класу 2 на обєкті інформаційної діяльності - приміщення № 5 Видавництва «Книгоман»

1. Позначення і скорочення

В цій Моделі загроз для інформації, яка планується до циркуляції в автоматизованій системі класу 2 на обєкті інформаційної діяльності - приміщення № 1 Видавництва «Книгоман» використовуються такі позначення і скорочення:

АС - автоматизована система класу 1;

ДТЗ - допоміжні технічні засоби;

ІзОД - інформація з обмеженим доступом;

ІТС - інформаційно-телекомунікаційна система;

КЗ - контрольована зона;

КЗЗ - комплекс засобів захисту;

КСЗІ - комплексна система захисту інформації;

НД ТЗІ - нормативний документ системи технічного захисту інформації;

НСД - несанкціонований доступ;

ОІД - обєкт інформаційної діяльності з встановленою АС;

ОТЗ - основні технічні засоби;

ПЕМВН - побічні електромагнітні випромінювання і наведення;

ПМА - програма і методика атестаційних випробувань;

ТЗІ - технічний захист інформації.

2. Нормативні посилання

Ця Модель загроз створена відповідно вимог наступних нормативних документів:

ДСТУ 3396.1-96 Захист інформації. Технічний захист інформації Порядок проведення робіт;

ДСТУ 3396.2-97 Захист інформації. Технічний захист інформації. Терміни та визначення;

НД ТЗІ 1.4-001-2000 „Типове положення про службу захисту інформації в автоматизованій системі;

НД ТЗІ 3.7-003-05 „Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі

НД ТЗІ 1.1-002-99 „Загальні положення щодо захисту інформації в компютерних системах від несанкціонованого доступу.

3. Загальні положення

В АС передбачається обробка інформації, яка не становить державної таємниці.

Модель загроз для інформації - це абстрактний формалізований опис методів та засобів здійснення загроз для інформації в конкретних умовах функціонування АС.

Модель загроз складається з наступних основних розділів:

модель загроз для інформації, яка планується до циркуляції в автоматизованій системі класу 2;

модель порушника для інформації, яка планується до циркуляції в автоматизованій системі класу 2.

4. Загальна характеристика автоматизованої системи установи і умов її функціонування

.1 Загальна структурна схема та склад обчислювальної системи автоматизованої системи

Централізована система зберігання і обробки даних.

Основними технічними засобами централізованої системи зберігання та обробки даних є:

сервери СКБД (основні та резервні);

сервери застосувань;

зовнішня система зберігання даних;

поштовий сервер.

Спеціалізоване програмне забезпечення.

Спеціалізоване програмне забезпечення, призначене для ведення обліку та експлуатації інформаційно-телекомунікаційної системи.

Ядро комутації та маршрутизації мережі.

Основними технічними засобами ядра комутації та маршрутизації мережі є:

комутатори центрального сегменту;

міжмережний екран;

маршрутизатор;

система контролю мережного доступу;

система запобігання мережним вторгненням.

Мережа централізованого управління та контролю стану безпеки ІТС.

Основними технічними засобами мережі централізованого управління та контролю стану безпеки ІТС є:

АРМ адміністраторів безпеки;

АРМ адміністраторів активного мережного обладнання;

АРМ адміністраторів СКБД;

сервери домену.

Локальна мережа користувачів центрального рівня.

Основними технічними засобами локальної мережі користувачів центрального рівня ІТС є:

АРМ користувачів;

АРМ адміністраторів.

Загальна схема роботи філії полягає у тому що компютери обєднані в єдину локальну мережу по схемі клієнт-сервер. Головним носієм і центром баз даних, творів клієнтів, обліку і так далі знаходяться в головному сервері баз даних, доступ до якого, в цілях безпеки, мають лише оператори. Для звязку використовуються мідні кабелі на основі кручених пар, які забеспечубть необхідну для даної ЛОМ швидкість передачі інф (максимальна швидкість - 1.2 Гбіт/с). Компютери , які використовують працівники закладу, мають стандартну технічну характеристику, необхідну для швидкої і якісної робот з базами даних. На відміну від компютерів, сервери завжди знаходяться у включенному стані. На випадок збоїв з електропостачанням в серверній встановлені джерела безперебійного живлення (ДБЖ).

4.2 Технічні характеристики каналів звязку

Основна частина циркулюючої у нашій АС інформації передається через компютерну мережу, що базується на мідних кабелях на основі кручених пар.

4.3 Характеристики інформації, що обробляється

Відповідно до функціонального призначення у ІТС передбачається передача, обробка та зберігання:

1.технологічної інформації, до якої відносяться:

-інформаційні обєкти, що містять виконуваний код компонент програмного забезпечення ІТС;

-інформаційні обєкти, що містять дані, які визначають порядок функціонування програмно-технічних засобів (конфігураційні настроювання);

інформаційні обєкти, що містять звітні дані щодо функціонування програмно-технічного комплексу та дій користувачів (журнали, лог-файли);

інформаційні обєкти, що містять атрибути доступу користувачів та адміністраторів та визначають їх права (авторизацію) в системі.

§конфіденційної інформації, до якої відносяться інформаційні обєкти, що містять персональну інформацію;

§відкрита інформація.

Інформація, що обробляється в системі, підлягає захисту відповідно до статей 18 та 23 Закону України «Про інформацію».

Згідно Акту визначення вищого ступеню обмеження доступу інформації, яка циркулюватиме на обєкті інформаційної діяльності - приміщення № 1 видавництва «Книгоман» від 20.02.2011р. плануються такі види інформаційної діяльності на ОІД:

інформація на паперових носіях інформації - «цілком конфіденційно»;

інформація автоматизованій системі класу «1» - «конфіденційно»;

мовна інформація - без обмеження доступу.

4.4 Характеристики фізичного середовища

Сюди входять:наявність приміщень відповідно до категорій, територіальне розміщення компонентів АС, їх фізичні параметри, вплив на них чинників навколишнього середовища, захищеність від засобів технічної розвідки і т.п.

Фізичне середовищє видавництва складається з :

приміщення яке складається з 4 кімнат (серверна, відділ ІТ, відділ виробництва, кабінет директора), туалету, відділених від холу кабінки відеоспостереження, кабінки для бухгалтерів, кабінки відділу маркетингу, холлу (рис.1);

30 розеток під пристрої;

7 розеток під стаціонарний телефон;

2 принтери;

2 сканери;

2 ксерокси;

2 системи для видавничого друку;

7 телефонів;

21 ПК;

сервер з базами даних і сервер системи управління мережним обладнанням захисту;

6 вікон;

5 датчиків пожарної сигналізації;

5 датчиків розбитого скла;

2 камери спостереження;

1 компьютер для відео спостереження , який не підєднаний до локальної мережі;

1 копіювальна машина;

1 клавіатурна панель;

1 вихід.

Рис. 1 План видавництва «Книгоман»

4.5 Характеристики персоналу та користувачів АС

Сюди входять:кількість користувачів і категорії користувачів, форми допуску тощо.

Щодо повноважень та прав доступу до інформації, що зберігається та циркулює, визначаються такі ролі:

Системний адміністратор. Має повноваження щодо конфігурування операційних систем та програмного забезпечення (далі - відповідно ОС та ПЗ), активного мережного обладнання та системи зберігання даних.

Адміністратор баз даних. Має повноваження на адміністрування баз даних ІТС.

Адміністратор безпеки. Має повноваження щодо конфігурування засобів захисту обладнання ІТС.

Оператори. Мають повноваження щодо перегляду конфіденційної інформації стосовно персональних даних, а також перегляду, створення та модифікації даних внутрішнього документообігу та необхідних для ведення бази даних довідників, які не містять персональних даних.

Обслуговуючий персонал. Має фізичний доступ до обладнання ІТС у супроводі уповноваженого персоналу.

Описи категорій користувачів та адміністраторів, які передбачається виділити в ІТС, та їх повноваження щодо доступу до ресурсів системи:

Оператори - користувачі центрального рівня. Права доступу цих користувачів повинні забезпечувати читання записів централізованої бази даних, які містять персональну інформацію. При цьому вони мають право здійснювати модифікацію необхідних для ведення бази даних довідників, що не містять персональних даних.

Адміністратори:

Системний адміністратор (СА) здійснює адміністрування поштового серверу, мережного обладнання та мережних засобів захисту, засобів що використовуються для управління зазначеним обладнанням. Системний адміністратор має адміністративні права в операційних системах зазначених технічних засобів та, відповідно, повний доступ до технологічної інформації, що на них зберігається та обробляється. СА здійснює віддалене адміністрування мережного обладнання рівня ОВР.

Адміністратор безпеки (АБ) здійснює адміністрування засобів захисту та загальний контроль за станом безпеки в ІТС, контролює відповідність настроювань програмних та технічних засобів встановленій політиці безпеки. Для забезпечення можливості контролю АБ може мати обмежені облікові записи на всіх компонентах системи, що дозволяють йому виключно перегляд певної конфігураційної і звітної інформації на серверах та активному мережному обладнанні системи. АБ має адміністративні права в операційних системах зазначених технічних засобів та, відповідно, повний доступ до технологічної інформації, що на них обробляється.

Правила розмежування доступу операторів та адміністраторів стосовно інформаційних обєктів та технічних засобів системи наведено в табл. 1.

Таблиця 1

Найменування технічних засобів, системного і прикладного програмного забезпечення, засобів захисту та інформаційних ресурсівУповноважений персоналСААБОТехнічні засобиМережне обладнанняА--Засоби управління мережним обладнанням (сервери системи управління мережним обладнанням захисту, засоби управління, що встановлені на АРМ адміністрування активного мережного обладнання)А--Сервери доменів-А-Системне і прикладне програмне забезпеченняОС серверів системи управління мережним обладнанням захисту, засобів управління, що встановлені на АРМ адміністрування активного мережного обладнанняА--ОС серверів застосувань--АОС серверів домену-А-Засоби захистуПрограмні засоби захисту-А-Мережні засоби захистуА--Інформаційні ресурсиТехнологічна інформація мережного обладнанняЧ, МЧ-Технологічна інформація поштового серверу, серверів системи управління мережним обладнанням захисту, засобів управління, що встановлені на АРМ адміністрування активного мережного обладнанняЧ, МЧ-Технологічна інформація серверів застосувань-Ч-Технологічна інформація серверів домену-Ч, М-ПоштаЧ, МЧ, МЧ, МДані ЦБД--Ч, МА - адміністративні права; Ч - читання; М - модифікація

5. Описи технічних каналів витоку та загроз ІзОД

Під технічним каналом витоку інформації (ТКВІ) розуміють сукупність об'єкта розвідки, технічного засобу розвідки (TЗP), за допомогою якого добувають інформацію про цей об'єкт, і фізичного середовища, в якій розповсюджується інформаційний сигнал. По суті, під ТКВІ розуміють спосіб отримання за допомогою TЗP розвідувальної інформації про об'єкт.

У загальному випадку середовищем розповсюдження сигналів можуть бути газові (повітряні), рідинні (водні) і тверді середовища.

Технічні засоби розвідки служать для прийому та вимірювання параметрів сигналів.

Акустичний сигнал являє собою опір пружного середовища, появи у виникненні акустичних коливань різної форми і тривалості. Акустичними називаються механічні коливання частинок пружного середовища, що поширюються від джерела коливань в навколишній простір у вигляді хвиль різної довжини.

Первинними джерелами акустичних коливань є механічні коливальні системи, наприклад органи промови людини, а вторинними-перетворювачі різного типу, в тому числі електроакустичні. Останні являють собою пристрої, призначені для перетворення акустичних коливань в електричні і назад. До них відносяться пєзоелемент, мікрофони, телефони, гучномовці та інші пристрої.

Електроакустичні технічні канали витоку інформації

Електроакустичні технічні канали витоку інформації виникають за рахунок електроакустичних перетворень акустичних сигналів в електричні і включають перехоплення акустичних коливань через ДТЗС. володіють "мікрофонним ефектом", а також шляхом "високочастотного нав'язування".

Зміна параметрів приводить або до появи на даних елементах електрорушійної сили (ЕРС). змінюється за законом впливає інформаційного акустичного поля, або до модуляції струмів, що протікають по цим елементам, інформаційним сигналом. Наприклад, акустичне поле, впливає на якір електромагніту викличного телефонного дзвінка, викликає його коливання. В результаті чого змінюється магнітний потік сердечника електромагніту. Зміна цього потоку викликає поява ЕРС самоіндукції в ка-тушці дзвінка, що змінюється за законом зміни акустичного поля. ДТЗС, крім зазначених елементів, можуть містити безпосередньо електроакустичні перетворювачі.

До таких ВЗСЗ відносяться деякі датчики пожежної сигналізації ретрансляційної мережі і т.д. Ефект електроакустичного перетинання акустичних коливань в електричні часто називають "мікрофонним ефектом". Причому з ДТЗС, що володіють "мікрофонним ефектом", найбільшу чутливість до акустичного поля мають абонентські гучномовець і деякі датчики пожежної сигналізації. Перехоплення акустичних коливань в даному каналі витоку інформації здійснюється шляхом безпосереднього підключення до сполучним лініям ВЗСЗ, що володіють "мікрофонним ефектом", спеціальних високочутливих низькочастотних підсилювачів.

Оптико-електронний технічний канал витоку інформації

Оптико-електронний (лазерний) канал витоку акустичної інформації здійснюється при опроміненні лазерним променем вібруючих в акустичному полі тонких поверхонь, що відбивають (стекол вікон, картин, дзеркал і т.д.). Відбите лазерне випромінювання (дифузне або дзеркальне) модулюється по амплітуді і фазі (за законом вібрації поверхні) та приймається приймачем оптичного (лазерного) випромінювання, при демодуляції якого виділяється мовна інформація. Причому лазер і приймач оптичного випромінювання можуть бути встановлені в одному або різних місцях (приміщеннях). Для перехоплення мовної інформації з даного каналу використовуються складні лазерні акустичні локаційних системи, іноді звані "лазерними мікрофонами". Працюють вони, як правило, в ближньому інфрачервоному діапазоні хвиль.

Параметричні технічні канали витоку інформації

У результаті впливу акустичного поля міняється тиск на всі елементи високочастотних генераторів ВЗСЗ. При цьому змінюється (незначно) взаємне розташування елементів схем, проводів в котушках індуктивності, дроселів і т. п., що може привести до змін параметрів високочастотного сигналу, наприклад, до модуляції його інформаційним сигналом. Тому цей канал витоку інформації називається параметричним. Це обумовлено тим, що незначна зміна взаємного розташування, наприклад-заходів, проводів в котушках індуктивності призводить до зміни їх індуктивності, а, отже, до зміни частоти випромінювання генератора, тобто до частотної модуляції сигналу.

Або вплив акустичного поля на конденсатори призводить до зміни відстані між пластинами і, отже, до зміни його ємності, що, у свою чергу, також призводить до частотної модуляції високочастотного сигналу генератора. Найбільш часто спостерігається паразитна модуляція інформаційним сигналом випромінювань гетеродина радіоприймальних і телевізійних пристроїв, що перебувають у виділених приміщеннях і мають конденсатори змінної ємності з повітряним діелектриком в коливальних контурах гетеродина.

Промодулювання інформаційним сигналом високочастотні коливання випромінюються в навколишній простір і можуть бути перехоплені і деактивовані засобами радіорозвідки. Параметричний канал витоку інформації може бути реалізований і шляхом "високочастотного опромінення" приміщення, де встановлені напівактивний заставні пристрої, що мають елементи. Параметри яких (наприклад, добротність і резонансна частота обємного резонатора) змінюються за законом зміни акустичного (мовного) сигналу.

Для перехоплення інформації з даного каналу крім заставного пристрою необхідні спеціальний передавач з спрямованої антеною і приймач.

Особливості функціонування АС

Основним припущенням в ході аналізу загроз, що існують для ІТС, є те, що співробітники, які мають повний адміністративний доступ до компонентів системи і фізичний доступ до комутаційного та серверного обладнання, не розглядаються як потенційні порушники. Визначені в цьому технічні заходи, спрямовані на захист від зловмисних дій співробітників з адміністративними правами, розглядаються як додаткові. Основними заходами захисту від таких загроз є: кадрова політика та взаємний контроль адміністраторів при виконанні важливих технологічних операцій.

Захист від форс-мажорних обставин (повені, землетруси, стихійні лиха тощо) в рамках створення ІТС та КСЗІ не розглядаються.

Особливості реалізованих або припустимих заходів організаційних, фізичних та інших заходів захисту

До особливостей реалізованих або припустимих заходів організаційних, фізичних та інших заходів захисту входять режимні заходи в приміщеннях і на території, охорона, сигналізація, протипожежна охорона і інші чинники, що впливають на безпеку оброблюваної інформації;

В нашій АС передбаченно 5 датчиків пожежної сигналізації, 6 датчиків розбитого скла, 2 камери спостереження та 1 компьютер для відео спостереження , який не підєднаний до локальної мережі.

Потенційні загрози інформації

Неформалізований опис загроз, що вважаються найбільш вірогідними для Видавництва «Книгоман», здійснено на підставі якісної оцінки імовірності реалізації загрози та умовних втрат внаслідок її реалізації за чотирирівневою шкалою (низький, середній, високий, дуже високий) та визначений ефективний рівень (сукупний рівень загрози).

Оскільки не можливо одержати достатньо обєктивні дані про імовірність реалізації більшості з наведених загроз, то таку імовірність визначено експертним методом, а для окремих загроз, що є типовими для АС 2-го класу (згідно з НД ТЗІ 2.5-005-99), - емпіричним шляхом, на підставі досвіду експлуатації подібних систем.

1.Загрози конфіденційності інформації

1.1Порушення конфіденційності персональної інформації

Розглядаються такі шляхи порушення конфіденційності персональної інформації:

К.1.1. Отримання несанкціонованого доступу сторонніх осіб до персональної інформації, що зберігається та обробляється на АРМ ОВР або АРМ ЛОМ ЦВ, внаслідок несанкціонованого фізичного доступу до обладнання.

Імовірність реалізації - середня.

Втрати внаслідок реалізації - високі.

Ефективний рівень - високий.

К.1.2. Отримання несанкціонованого доступу сторонніх осіб до персональної інформації під час її передачі каналами звязку та обробки на транзитних комутаційних вузлах мереж операторів звязку внаслідок навмисного підключення до каналів звязку чи обладнання, помилок при настроюванні комутаційного обладнання або апаратних збоїв.

Імовірність реалізації - низька.

Втрати внаслідок реалізації - високі.

Ефективний рівень - середній.

К.1.3. Отримання несанкціонованого доступу сторонніх осіб до персональної інформації, що обробляється в межах ЦВ або РВД, внаслідок навмисного підключення до каналів звязку чи обладнання з наступним використанням для НСД відомих вразливостей програмно-технічних засобів ІТС.

Імовірність реалізації - низька.

Втрати внаслідок реалізації - високі.

Ефективний рівень - середній.

К.1.4. Отримання несанкціонованого доступу сторонніх осіб до персональної інформації, що обробляється в межах ЦВ або РВД, внаслідок навмисного підключення до каналів звязку чи обладнання з наступним використанням для НСД перехоплених атрибутів доступу авторизованих користувачів.

Імовірність реалізації - низька.

Втрати внаслідок реалізації - високі.

Ефективний рівень - середній.

К.1.5. Отримання несанкціонованого доступу сторонніх осіб до персональної інформації, що зберігається та обробляється в ІТС, внаслідок фізичного доступу до носіїв інформації (змінних носіїв, носіїв, що вийшли з ладу, носіїв, що підлягають утилізації).

Імовірність реалізації - середня.

Втрати внаслідок реалізації - високі.

Ефективний рівень - високий.

1.2Порушення конфіденційності технологічної інформації

К.2.1 Порушення конфіденційності технологічної інформації (атрибутів доступу адміністраторів або інших користувачів системи) сторонніми особами внаслідок необережного поводження авторизованих користувачів з атрибутами доступу (розглядається як частина реалізації атак, спрямованих на порушення конфіденційності персональної інформації К.1.1, К.1.4).

Імовірність реалізації - середня.

Втрати внаслідок реалізації - середні.

Ефективний рівень - середній.

К.2.2. Порушення конфіденційності технологічної інформації (атрибутів доступу адміністраторів або інших користувачів системи) з боку авторизованих користувачів системи внаслідок необережного поводження авторизованих користувачів з атрибутами доступу. Як мета такого порушення розглядається ескалація прав доступу до ресурсів системи та виконання несанкціонованих дій від імені іншого користувача системи (розглядається як частина атак, спрямованих на порушення цілісності технологічної та персональної інформації Ц.1.3, Ц.2.1, Ц.2.2).

Імовірність реалізації - висока.

Втрати внаслідок реалізації - середні.

Ефективний рівень - високий.

К.2.3. Порушення конфіденційності технологічної інформації (атрибутів доступу адміністраторів або інших користувачів системи) з боку авторизованих користувачів системи із застосуванням відомих вразливостей програмно-технічних засобів ІТС (розглядається як частина атак Ц.1.3, Ц.2.1, Ц.2.2, спрямованих на порушення цілісності технологічної та персональної інформації).

Імовірність реалізації - висока.

Втрати внаслідок реалізації - середні.

Ефективний рівень - високий.

К.2.4. Отримання несанкціонованого доступу сторонніх осіб до технологічної інформації (атрибути доступу, конфігураційні настроювання), що зберігається та обробляється в ІТС внаслідок фізичного доступу до носіїв інформації (змінних носіїв, носіїв, що вийшли з ладу, носіїв, що підлягають утилізації).

Імовірність реалізації - середня.

Втрати внаслідок реалізації - низькі.

Ефективний рівень - середній

2Загрози цілісності інформації

2.1Загрози цілісності персональної інформації

Ц.1.1. Порушення цілісності персональної інформації, що зберігається в централізованій базі даних, внаслідок апаратного або програмного збою.

Імовірність реалізації - середня.

Втрати внаслідок реалізації - дуже високі.

Ефективний рівень - високий.

Ц.1.2. Порушення цілісності персональної інформації, що зберігається в централізованій базі даних, сторонніми особами внаслідок отримання фізичного доступу до обладнання (навмисне чи внаслідок необережного поводження з обладнанням або системами, що забезпечують його функціонування).

Імовірність реалізації - низька.

Втрати внаслідок реалізації - високі.

Ефективний рівень - середній.

Ц.1.3. Порушення цілісності персональної інформації, що зберігається в централізованій базі даних, внаслідок навмисних дій авторизованого користувача будь-якого рівня в межах його повноважень.

Імовірність реалізації - середня.

Втрати внаслідок реалізації - дуже високий.

Ефективний рівень - високий.

Ц.1.4. Порушення цілісності персональної інформації, що зберігається в централізованій базі даних, внаслідок ненавмисних (помилкових) дій авторизованого користувача будь-якого рівня.

Імовірність реалізації - середня.

Втрати внаслідок реалізації - середні.

Ефективний рівень - середній.

Ц.1.5. Порушення цілісності персональної інформації, що зберігається в централізованій базі даних, внаслідок ураження компютерним вірусом.

Імовірність реалізації - низька.

Втрати внаслідок реалізації - середні.

Ефективний рівень - середній.

Ц.1.6. Порушення цілісності персональної інформації при передачі її по каналах звязку внаслідок навмисних дій сторонніх осіб (спроби підміни та навязування хибної інформації) або інших причин (збоїв телекомунікаційного обладнання тощо).

Імовірність реалізації - низька.

Втрати внаслідок реалізації - високі.

Ефективний рівень - середній.

2.2Загрози цілісності технологічної інформації

Ц.2.1. Порушення цілісності технологічної інформації (журнали реєстрації подій) сторонніми особами або авторизованими користувачами із застосуванням відомих вразливостей програмно-технічних засобів ІТС або перехоплених атрибутів доступу уповноваженого персоналу з адміністративними правами. Як мета реалізації даної загрози розглядається приховування несанкціонованих дій в системі в рамках реалізації інших загроз, спрямованих на порушення цілісності або конфіденційності персональної інформації.

Імовірність реалізації - низька.

Втрати внаслідок реалізації - високі.

Ефективний рівень - середній.

Ц.2.2. Порушення цілісності технологічної інформації (конфігураційні файли та файли програмного забезпечення, що виконуються) сторонніми особами або авторизованими користувачами із застосуванням відомих вразливостей програмно-технічних засобів ІТС або перехоплених атрибутів доступу уповноваженого персоналу з адміністративними правами. Як мета реалізації даної загрози розглядається створення умов для подальшого несанкціонованого доступу до інших компонентів ІТС в рамках реалізації загроз К.1.1 - К.1.4, Ц.3.1 для сторонніх осіб або Ц.1.3, для авторизованих користувачів.

Імовірність реалізації - низька.

Втрати внаслідок реалізації - середні.

Ефективний рівень - середній.

Ц.2.3. Порушення цілісності технологічної інформації (конфігураційні файли та файли програмного забезпечення, що виконуються) внаслідок ураження системи компютерним вірусом.

Імовірність реалізації - низька.

Втрати внаслідок реалізації - середні.

Ефективний рівень - середній.

3. Загрози доступності інформації

3.1Загрози доступності персональної інформації

Д.1.1. Втрата доступності персональної інформації, що зберігається в ЦБД, внаслідок виходу з ладу комутаційного, серверного обладнання або підсистем забезпечення (найбільш імовірним вважається вихід із ладу системи електроживлення).

Імовірність реалізації - висока.

Втрати внаслідок реалізації - низькі.

Ефективний рівень - середній.

Д.1.2. Втрата доступності персональної інформації внаслідок ураження системи компютерним вірусом (перевантаження каналів звязку віддалених користувачів інтенсивним трафіком, що генерується вірусами типу «хробак» при розповсюдженні, повному використанні дискового простору або процесорного часу на уражених деякими типами вірусів серверах, що призводить до неможливості обробки запитів клієнтів та виникненні відмов у обслуговуванні).

Імовірність реалізації - середня.

Втрати внаслідок реалізації - низькі.

Ефективний рівень - середній.

У зазначеному переліку загроз розглядаються тільки загрози із середнім та високим ефективним рівнем (загрози з низьким ефективним рівнем не беруться до уваги при розробці системи). Захист від загроз з ефективним рівнем, визначеним як «високий», повинен забезпечуватися можливостями не менш ніж двох різних програмних або програмно-технічних засобів чи сукупністю організаційних та технічних заходів.

У рамках захисту від зазначених загроз КЗЗ також повинен забезпечити виконання певних вимог із забезпеченням спостережності та контрольованості технологічних процесів в ІТС.

Щодо дій користувачів стосовно персональної інформації повинні реєструватися такі події:

Н.1.1. КЗЗ повинен дозволяти однозначно ідентифікувати користувача, що сформував запит на будь-яку транзакцію, повязану зі зміною персональної інформації в БД (створення, модифікація, знищення) та відстежити історію таких транзакцій.

Н.2.2. Виявлення дій користувачів, що виходять за межі їх посадових обовязків та можуть бути розцінені як спроби несанкціонованого доступу до інформації (систематичні спроби виконання операцій над персональною інформацією, що не дозволені даному користувачу, тощо).

Щодо дій користувачів та адміністраторів стосовно технологічної інформації повинні реєструватися такі події:

Н.2.1. Отримання користувачем категорій 1-2 (рівнів РР, ОВР) доступу до системи (вхід/вихід).

Н.2.2. Невдалі спроби отримання доступу до будь-якого компонента системи внаслідок непроходження користувачем або адміністратором автентифікації.

Н.2.3. Зміни конфігураційних настроювань компонентів системи (серверів та мережного обладнання).

Н.2.4. Перевищення встановлених адміністратором порогів використання системних ресурсів обладнання (процесорного часу, дискового простору).

Н.2.5. Виявлення несанкціонованих дій користувачів системи, що можуть бути розцінені як спроба реалізації відомих вразливостей програмних засобів системи (та блокування їх в реальному часі) шляхом пошуку відомих сигнатур атак у мережному трафіку.

Н.2.6. Виявлення дій користувачів, що виходять за межі їх посадових обовязків та можуть бути розцінені як спроби несанкціонованого доступу до інформації (спроби сканування портів мережного обладнання чи серверів, спроби отримати адміністративний доступ до обладнання з використанням протоколів віддаленого керування тощо).

Потенційні загрози інформації наведені в Таб. 2

Таблиця 2

№ п/пПотенційні загрози інформаціїНаслідки (порушення властивостей)КЦДС1.Загрози обєктивної природи1.1.Стихійні явища (пожежа, аварії)++1.2.Збої та відмови системи електроживлення++1.3.Збої та відмови обчислювальної техніки++1.4.Збої, відмови та пошкодження носіїв інформації++1.5.Збої та відмови програмного забезпечення++2.Загрози субєктивної природи2.1Помилки2.1.1Помилки користувачів (випадкові помилки; впровадження і використання програм що не є необхідними для виконання користувачем своїх службових обовязків; запуск програм, здатних викликати необернені зміни в системі)+ + + 2.1.2 Помилки адміністраторів (неправильна настройка та адміністрування системи захисту, операційної системи; неправомірне відключення засобів захисту).+ + + 2.1.4Недбале зберігання та облік: документів, носіїв інформації, даних++++2.2Несанкціоноване перехоплення інформації++++2.2.1Несанкціоноване підключення до технічних засобів+2.2.2Читання даних, що виводяться на екран, роздруковуються, читання залишених без догляду документів+2.3Порушення нормальних режимів роботи+++2.3.1Ураження програмного забезпечення компютерними вірусами++++2.3.2Втрата засобів розмежування доступу (паролів) (розголошення), магнітних носіїв інформації та резервних копій++++2.3.3Несанкціоноване внесення змін до технічних засобів, в програмне забезпечення, в компоненти інформаційного забезпечення, тощо+++2.3.4Використання недозволеного ПЗ або модифікація компонент програмного та інформаційного забезпечення+++2.3.5Пошкодження носіїв інформації+2.4Зовнішні загрози++++2.4.1Несанкціоноване перехоплення інформації за рахунок витоку інформації за рахунок побічного електромагнітного випромінювання та наводок+2.4.2Несанкціонований перегляд інформації за рахунок візуально-оптичного каналу+Де: К - конфіденційність; Ц - цілісність; Д - доступність; С - спостережність.

6. Модель загроз для інформації, яка планується до циркуляції в АСі класу 2

Нижче мною запропоновано варіанти моделі загроз. В цій моделі визначені властивості захищеності інформаційних обєктів, які можуть бути порушеними - конфіденційність (к), цілісність (ц), доступність (д) та якісна оцінка ймовірності здійснення загроз та рівнів збитків (шкоди) по кожному з видів порушень.

Методика розроблення такої моделі полягає в тому, що в один із стовпчиків таблиці заноситься перелік видів загроз. Надалі для кожної із можливих загроз шляхом їх аналізу необхідно визначити:

. Ймовірність виникнення таких загроз. Як перший крок визначення такої ймовірності можна використати її якісні оцінки. В таблиці можуть бути наведені якісні оцінки їх ймовірності ? неприпустимо висока, дуже висока, висока, значна, середня, низька, знехтувано низька (стовпчик 3);

. На порушення яких функціональних властивостей захищеності інформації (стовпчик 4) вона спрямована (порушення конфіденційності ? к, цілісності ? ц, доступності ? д);

. Можливий (такий, що очікується) рівень шкоди (стовпчик 5). Приклад цієї оцінки наведено також за якісною шкалою (відсутня, низька, середня, висока, неприпустимо висока). Наявність таких оцінок, навіть за якісною шкалою, дозволяє обґрунтувати необхідність забезпечення засобами захисту кожної з властивостей захищеності інформації;

. Механізми реалізації (можливі шляхи здійснення) загроз (стовпчик 6).

Потенційні загрози інформації обєкта інформаційної діяльності наведені в таб. 3.

Таблиця 3.

Модель загроз№Вид загрозЙмовір-ністьЩо пору-шуєРівень шкодиМеханізм реалізаціїМоніторинг (розвідка) мережі1Розвідка, аналіз трафікаВисокак, ц, двідсутняПерехоплення інформації, що пересилаються у незашифрованому виді в широкомовному середовищі передачі даних, відсутність виділеного каналу звязку між обєктами.Несанкціонований доступ до інформаційних ресурсів із РОМ1Підміна (імітація) довіреного обєкта або субєкта з підробленням мережних адрес тих обєктів, що атакуютьВисокак, ц, дсереднійФальсифікація (підроблення мережних адрес ІР-адреси, повторне відтворення повідомлень при відсутності віртуального каналу, недостатні ідентифікації та автентифікації при наявності віртуального каналу2Зміна маршрутизаціїНепри-пустимо високак, ц, днизькийЗміна параметрів маршрутизації і змісту інформації, що передається, внаслідок відсутності контролю за маршрутом повідомлень чи відсутності фільтрації пакетів з невірною адресою3Селекція потоку інформації й збереження їївисокак, ц, двисокийВикористанням недоліків алгоритмів віддаленого пошуку шляхом впровадження в розподілену обчислювальну систему хибних обєктів (атаки типу людина в середині).4Подолання систем адміністрування доступом до робочих станцій, локальних мереж та захищеного інформаційного обєкту, заснованих на атрибутах робочих станцій чи засобів управління доступом та маршрутизації (маскування) відповідних мереж (файрволів, проксі - серверів, маршрутизаторів та т.п.).Високак, ц, двисокийВикористання недоліків систем ідентифікації та автентифікації, заснованих на атрибутах користувача (ідентифікатори, паролі, біометричні дані та т. ін.). Недостатні ідентифікації та автентифікації обєктів , зокрема адреси відправникаСпецифічні загрози інформаційним обєктам1Подолання криптографічної захищеності інформаційних обєктів, що перехопленіНизькаквисокийВикористання витоків технічними каналами, вилучення із мережі та специфічних вірусних атак шляхом впровадження програм-шпигунів (spyware) із розкриттям ключових наборів2Подолання криптографічної захищеності інформаційних обєктів робочих станційНизькаквисокийНесанкціонований доступ до інформаційних обєктів із використанням недоліків систем ідентифікації та автентифікації, заснованих на атрибутах користувача (ідентифікатори, паролі, біометричні дані та т. ін.) із розкриттям ключових наборів3Модифікація переданих даних, даних чи програмного коду, що зберігаються в елементах обчислювальних систем.високац, двисокийМодифікація чи підміна інформаційних обєктів (програмних кодів) чи їх частин шляхом впровадження руйнуючих програмних засобів чи зміни логіки роботи програмного файлу із використанням спеціальних типів вірусних атак, спроможних здійснити те чи інше порушення цілісності. Викривлення певної кількості символів інформаційного обєкту із використанням спеціальних впливів на інформацію технічними каналами в локальній мережі чи в елементах розподіленої мережі4Блокування сервісу чи перевантаження запитами системи управління доступом (відмова в обслуговуванні)висока двисо-кийВикористання атак типу спрямований шторм (Syn Flood), передачі на обєкт, що атакується, не коректних, спеціально підібраних запитів. Використання анонімних (чи із модифікованими адресами) запитів на обслуговування типу електронної пошти (spam) чи вірусних атак спеціального типу

Наявність такої інформації дозволяє побудувати більш предметну загальну модель системи захисту; оцінити значення залишкового ризику, як функцію захищеності по кожній із функціональних властивостей захищеності; визначити структуру системи захисту та її основні компоненти.

7. Модель порушника

За порушників на обєктах інформаційної діяльності розглядаються суб'єкти , внаслідок навмисних або випадкових дій котрих, і (або) випадкові події, внаслідок настання яких можливі реалізації загроз для інформації.

Модель порушника - абстрактний формалізований або неформалізований опис дій порушника, який відображає його практичні та теоретичні можливості, апріорні знання, час та місце дії і т.ін. По відношенню до АС порушники можуть бути внутрішніми (з числа співробітників, користувачів системи) або зовнішніми (сторонні особи або будь-які особи, що знаходяться за межами контрольованої зони).

Модель порушника повинна визначати:

можливу мету порушника та її градацію за ступенями небезпечності для АС;

категорії осіб, з числа яких може бути порушник.;

припущення про кваліфікацію порушника;

припущення про характер його дій.

Метою порушника можуть бути:

отримання необхідної інформації у потрібному обсязі та асортименті;

мати можливість вносити зміни в інформаційні потоки у відповідності зі своїми намірами (інтересами, планами);

нанесення збитків шляхом знищення матеріальних та інформаційних цінностей.

Порушники класифікуються за рівнем можливостей, що надаються їм всіма доступними засобами. (Таблиця 4).

Таблиця 4.

РМожливості порушника по технологічному процесуПотенційна група порушниківМожливий результат НСД 11 НіСлужбовці, які не мають доступу до інформації, але мають доступ в приміщення (обслуговуючій персонал, відвідувачі)Перегляд на екрані монітора і розкрадання паперових і машинних носіїв. 2Запуск задач (програм) з фіксованого набору, що реалізують заздалегідь передбачені функції з обробки інформації.Більшість користувачів АС, які мають безпосередній доступ до приміщень, з повноваженнями, обмеженими на рівні системи захисту інформації (СЗІ).Доступ користувача до інформації іншого користувача в його відсутність, в т.ч. через мережу, перегляд інформації на моніторі (недотримання організаційних вимог). Перегляд і розкрадання паперових носіїв. 3Управління функціонуванням АС, тобто вплив на базове програмне забезпечення ОС і СУБД, на склад і конфігурацію обладнання АС. Робота із зовнішніми носіями.Адміністратори АС, наділені необмеженими повноваженнями стосовно управління ресурсами.Доступ адміністратора АС до інформації інших користувачів і до засобів СЗІ, ненавмисне руйнування інформації (недотримання організаційних вимог) 4 4Весь обсяг можливостей осіб, які здійснюють ремонт технічних засобів АС. Обслуговуючий персонал АС. Фахівці сторонніх організацій, які здійснюють постачання і монтаж обладнання для АС.Доступ обслуговуючого персоналу АС до ПК з інформацією інших користувачів, руйнування інформації, установка закладних пристроїв (недотримання організаційних вимог при ремонті АС).Начальник відділу ТЗІ

Видавництва «Книгоман» Т.М.Хохуля

4.Розробка політики безпеки інформації в АС

ЗАТВЕРДЖУЮ

Директор Видавництва «Книгоман»

_________________І.І.Кірик

____ ________ 2013 року

ПОЛІТИКА БЕЗПЕКИ ІНФОРМАЦІЇ

яка циркулює в автоматизованій системі класу 2 Видавництва «Книгоман»

. Загальні положення

.1. Визначення політики безпеки

Під політикою безпеки інформації слід розуміти сукупність законів, правил, обмежень, рекомендацій, інструкцій тощо, що регламентують порядок обробки інформації і спрямовані на захист інформації від можливих загроз.

Політика інформаційної безпеки, є обов'язковою для дотримання всіма співробітниками Видавництва «Книгоман», які є користувачами АС.

.2. Цілі політики безпеки

Основними цілями політики безпеки є гарантування:

штатного функціонування АС;

доступу до інформаційних обєктів та ресурсів АС у відповідності до правил розмежування доступу;

спостереженості дій користувачів усіх категорій, які мають доступ до АС;

захисту даних у кожному компоненті АС;

достатності та ненадмірності захисту інформації у відповідності з вимогами законодавства;

забезпеченності користувачів усіх категорій відповідними організаційно-розпорядчими документами, щодо захисту інформації;

забезпеченності планами підтримки безперебійної роботи АС та планами її відновлення;

достатності впроваджених заходів та засобів для проведення службових розслідувань в разі виявлення порушення політики безпеки АС.

.3. Загальні вимоги політики безпеки

Інформація, яка обробляється в АС, не підлягає неконтрольованому та несанкціонованому ознайомленню, розмноженню, розповсюдженню, копіюванню, відновленню, а також неконтрольованій та несанкціонованій модифікації.

В основу політики безпеки АС покладений адміністративний принцип розмежування доступу, який реалізується відповідно до принципу мінімуму повноважень, згідно з яким право доступу може бути надане користувачеві лише за фактом службової необхідності. Наявність службової необхідності визначається посадовими обовязками користувачів.

З метою забезпечення необхідного режиму доступу до інформації повинен бути визначений відповідальний підрозділ - служба захисту інформації, якому надаються повноваження щодо організації та впровадження прийнятої політики безпеки в АС.

Всі працівники Видавництва «Книгоман», які беруть участь в обробці інформації в АС, повинні бути зареєстровані як користувачі в системних журналах АС.

Керування правами доступу користувачів до захищених обєктів та параметрами КЗЗ у складі АС повинен здійснювати спеціально уповноважений працівник - адміністратор безпеки АС.

Надання доступу до інформації АС повинно здійснюватися тільки за умови достовірного розпізнавання ідентифікаційних параметрів користувачів АС. Процедура розпізнавання та надання повноважень здійснюється як організаційними заходами, так і з використанням програмно-апаратних засобів розмежування доступу.

Машинні носії інформації повинні мати відповідні ідентифікаційні реквізити.

Спроби порушення встановленого порядку доступу до інформації повинні блокуватись.

.4. Реалізація політики безпеки комплексною системою захисту інформації

Реалізація політики безпеки здійснюється за допомогою комплексної системи захисту інформації АС - взаємопов'язаній сукупності організаційних та інженерно-технічних заходів, засобів і методів захисту інформації.

КСЗІ АС забезпечує реалізацію вимог із захисту інформації, які визначені у Технічному завданні на створення КСЗІ в АС а саме щодо:

цілісності та доступності функціональної та технологічної інформації АС;

конфіденційності, цілісності та доступності технологічної інформації КСЗІ.

КСЗІ АС розглядається як сукупність взаємопов'язаних нормативно-правовових та організаційних заходів і інженерно-технічних засобів щодо захисту інформації від НСД.

.4.1. Нормативно-правові заходи захисту інформації

Комплекс нормативно-правових заходів захисту інформації АС:

створення системи документів нормативно-правового забезпечення робіт з захисту інформації в АС;

впровадження заходів з забезпечення безпеки інформації в АС, виконання правових та договірних вимог з захисту інформації, визначення відповідальності посадових осіб, організаційної структури, комплектування і розподілу обов'язків співробітників служби захисту інформації в АС;

доведення до персоналу і користувачів АС основних положень політики безпеки інформації, їхнього навчання і підвищення кваліфікації з питань безпеки інформації;

запровадження системи контролю за своєчасністю, ефективністю і повнотою реалізації в АС рішень з захисту інформації, дотриманням персоналом і користувачами положень політики безпеки.

.4.2. Організаційні заходи захисту інформації

Комплекс організаційних заходів захисту інформації в АС включає:

застосування режимних заходів на ОІД;

забезпечення фізичного захисту обладнання АС, носіїв інформації, інших ресурсів;

організацію проведення обстеження середовищ функціонування АС;

виконання робіт з захисту інформації та взаємодії з цих питань з іншими субєктами системи ТЗІ в Україні;

регламентацію доступу користувачів і персоналу до ресурсів АС;

здійснення профілактичних заходів щодо попередження ненавмисного порушення політики безпеки, зокрема попередження появи вірусів та ін.

.4.3. Інженерно-технічні засоби захисту інформації

Комплекс інженерно-технічних засобів захисту інформації - сукупність програмно-апаратних засобів захисту призначено для:

розмежування доступу користувачів до інформації та інших ресурсів АС;

блокування несанкціонованих дій з інформацією та іншими ресурсами АС, локалізації цих дій по відношенню до ресурсів та ліквідації їх наслідків;

забезпечення контролю та захисту потоків інформації, яка обробляється в АС;

забезпечення спостереженості за діями користувачів та персоналу АС, реєстрації, збору, зберігання, обробки даних про події, які мають відношення до безпеки інформації, сповіщення адміністратора безпеки про такі події;

підтримання цілісності критичних ресурсів системи захисту, середовища виконання прикладних програм та інформації в ПТК;

забезпечення контролю за цілісністю об'єктів, що підлягають захисту;

організації обліку, зберігання та обігу матеріальних носіїв інформації;

забезпечення управління засобами КСЗІ та контролю за її функціонуванням.

. Основні організаційні заходи

.1 Організаційні заходи щодо керування доступом

Організаційні заходи щодо керування доступом повинні передбачати:

визначення порядку доступу користувачів у захищене приміщення, до технічних засобів, носіїв інформації, програмного та інформаційного забезпечення;

визначення порядку внесення/вилучення даних щодо атрибутів доступу користувача до АС установи банку.

.2 Організаційні заходи щодо реєстрації та обліку МНІ та документів

Організаційні заходи щодо реєстрації та обліку повинні передбачати визначення порядку:

обліку, використання і зберігання машинних носіїв інформації (МНІ);

організації зберігання, використання і знищення документів і носіїв, що містять інформацію з обмеженим доступом, відповідно до вимог нормативних документів.

.3 Організаційні заходи щодо забезпечення цілісності інформації

Організаційні заходи щодо забезпечення цілісності інформації повинні передбачати:

резервне копіювання на МНІ еталонних копій операційних систем і функціональних програм;

облік, видачу, використання і зберігання МНІ, що містять еталонні і резервні копії операційних систем і функціональних програм;

контроль цілісності системного програмного забезпечення;

контроль цілісності КЗЗ АС Видавництва «Книгоман».

.4 Організаційні заходи щодо антивірусного захисту інформації

Організаційні заходи антивірусного захисту інформації в АС Видавництва «Книгоман» повинні передбачати:

використання ліцензійного антивірусного програмного забезпечення на всіх ПК, що входять до складу АС філіалу;

організацію постійного та своєчасного оновлення антивірусних баз.

.5 Резервне копіювання, архівування та відновлення інформації

Для забезпечення відновлюваності інформації у випадку збоїв системи або помилок користувачів в АС повинно здійснюватися періодичне резервне копіювання.

Резервному копіюванню підлягає:

ІзОД, яка зберігається у файлах користувачів;

ІзОД, яка зберігається у БД;

настройки ОС, БД та КЗЗ;

журнали реєстрації.

Експлуатаційні та організаційно - розпорядчі документи повинні визначати порядок та періодичність резервного копіювання, архівування та відновлення інформації, місце збереження резервних копій та відповідальних посадових осіб.

. Розмежування інформаційних потоків

КЗЗ повинен здійснювати розмежування доступу на підставі атрибутів доступу користувачів і захищених об'єктів. Розмежування доступу здійснюється на рівні надання (встановлення заборони) користувачеві прав читати або модифікувати об'єкт.

КЗЗ повинен надавати можливість адміністратору системи та адміністратору безпеки (відповідно до своїх повноважень) для кожного захищеного об'єкта визначити конкретних користувачів (групи користувачів), які мають право читати або модифікувати об'єкт.

КЗЗ повинен здійснювати розмежування доступу до слабозвязаних обєктів на підставі імені користувача (групи користувачів) і захищеного об'єкта та прав доступу.

КЗЗ повинен здійснювати розмежування доступу до сильнозвязаних обєктів на підставі імені користувача та його ролі.

Розмежування доступу до ресурсів серверу управління базами даних повинно здійснюватися за допомогою надання адміністратором БД користувачеві певної ролі.

Запити на зміну прав доступу (надання прав доступу, внесення користувача до певної групи або надання певної ролі) повинні оброблятися КЗЗ тільки в тому випадку, якщо вони надходять від адміністратора системи, адміністратора безпеки, адміністратора баз даних (СКБД).

Обслуговуючий персонал має право створювати, модифікувати, вилучати, друкувати та копіювати на МНІ файли з текстовими документи, за які вони відповідають, а також працювати із файлами з документами, що створюються спільно з іншими користувачами, відповідно до наданих прав.

Обслуговуючий персонал має право читати та модифікувати інформацію, що міститься у БД в залежності від програмного комплекса, із яким він працює та прикладної ролі, яку він виконує у цьому комплексі.

Обслуговуючий персонал має право на перегляд та запуск загальносистемного та спеціального програмного забезпечення (право на запуск певного ПК надається відповідно до його функціональних обовязків).

Обслуговуючий персонал не повинен виконувати настройки конфігураціїї КЗЗ, загальносистемного та програмного забезпечення, СКБД, змінювати їх склад та структуру, коригувати права доступу, тобто виконувати функції будь-кого з Адміністраторів.

Адміністратори мають право працювати (створювати, модифікувати, вилучати, друкувати та копіювати на МНІ) з електронними документами, за які вони відповідають, а також працювати із файлами з документами, що створюються спільно з іншими користувачами, відповідно до наданих прав.

Також адміністратор БД має право працювати з програмними комплексами, що входять до складу спеціального програмного забезпечення (право на запуск певного ПК надається відповідно до його функціональних обовязків).

. Вимоги до правил адміністрування КЗЗ і реєстрації дій користувачів

Щодо реєстрації дій користувачів КЗЗ повинен забезпечити реалізацію наступних функцій:

) реєстрацію наступних подій, що мають відношення до безпеки:

реєстрація користувача в системі (вхід/вихід до/з системи);

зміна паролю користувачем ;

зміна прав та повноважень доступу до файлів та ресурсів;

створення, доступ та знищення файлів;

запуск програм, які мають доступ до ІзОД.

Обовязковими параметрами реєстрації мають бути:

дата, час, та назва події;

ідентифікатор субєкта, що ініціював подію.

) можливість вибіркового перегляду журналу подій, що повинні реєструватися;

) зберігання та захист журналів реєстрації від несанкціонованої модифікації.

Реєстрація дій користувача, повязаних з виводом інформації на друк за допомогою принтера, введення інформації за допомогою сканера та копіювання інформації на зємні машинні носії повинна фіксуватися в паперовому Журналі обліку роботи користувачів банку.

. Середовище АС

.1 Вимоги до заземлення

. Усі металеві конструкції в приміщенні повинні бути заземлені;

. Система заземлення не повинна мати вихід за межі контрольованої території;

. Опір кіл заземлення від засобів філії до вузлів системи заземлення не повинен перевищувати 4 Ом.

.2 Вимоги до електроживлення

. Електроживлення АС філії повинне здійснюватися від трансформаторної підстанції низької напруги, розміщеної у межах контрольованої території. У випадку знаходження трансформаторної підстанції за межами контрольованої території електроживлення повинно здійснюватися через розділовий трансформатор.

. Мережа електроживлення АС філії повинна бути відділена від мережі освітлення та побутової мережі і забезпечувати безперебійну експлуатацію та працездатність АС.

. Електроживлення повинно здійснюватися через протизавадні мережеві фільтри.

.3 Вимоги до захисту інформації від витоку візуально-оптичним каналом

Для захисту інформації від витоку візуально-оптичним каналом вікна приміщень, де розташована АС філії, повинні бути обладнані жалюзями або шторами.

. Фізичне середовище АС

До компонентів фізичного середовища АС відносяться:

територія, будівля та приміщення, де знаходяться компоненти АС;

місця зберігання змінних, паперових та інших носіїв інформації;

охорона території, будівлі, приміщень та режими доступу до цих компонентів;

системи життєзабезпечення (електроживлення, заземлення, пожежної та охоронної сигналізації), комунікацій і звязку (телефон, факс);

проектна та експлуатаційна документація на компоненти фізичного середовища.

6.1. Територія фізичного середовища

Територія, яка знаходиться під цілодобовою охороною.

.2. Будівля, де розгорнута АС

Доступ працівників Видавництва «Книгоман» в будівлю здійснюється за перепустками. Доступ сторонніх осіб в будівлю контролюється черговим відповідного підрозділу і здійснюється за узгодженням керівника Видавництва «Книгоман». Співробітники, які приймають в будинку сторонніх осіб, зустрічають їх при вході і супроводжують на вихід після завершення візиту.

.3. Приміщення де знаходяться компоненти АС

Приміщенню, в якому розміщуються компоненти АС, категорія обєкта інформаційної діяльності не надана, у звязку з тим, що в ньому не передбачається обробка інформації, яка становить державну таємницю (у відповідності до вимог Тимчасового положення про категоріювання обєктів ДСТСЗІ від 10.07.95 за № 35).

Приміщення контролюються охороною. Доступ до приміщення, де знаходиться АС, здійснюється посадовими особами, які мають на це право за характером своєї діяльності. Всі співробітники отримують доступ лише в ті приміщення, які дозволені їм політикою безпеки.

Приміщення у позаслужбовий час опечатуються металевими печатками посадових осіб, що в них працюють.

.4. Місця зберігання носіїв інформації

Місця та порядок зберігання змінних носіїв інформації здійснюється згідно відповідних інструкцій.

.5. Системи життєзабезпечення, комунікацій та звязку

Системи життєзабезпечення: система електроживлення, система заземлення, система пожежної та охоронної сигналізації повинна відповідати вимогам із захисту інформації.

.6. Документація на компоненти фізичного середовища

Проектна та експлуатаційна документація на компоненти фізичного середовища зберігається у спеціально відведеному місці. Відповідальність за її збереження несе призначена для цього посадова особа структурного підрозділу видавництва «Книгоман».

Начальник відділу ТЗІ

Видавництва «Книгоман»Хохулі Т.М.

5.Складання плану захисту інформації в АС

ЗАТВЕРДЖУЮ

Директор Видавництва «Книгоман»

_________________І.І.Кірик

____ ________ 2013 року

АВТОМАТИЗОВАНА СИСТЕМА ВІДДІЛУ ТЕХНІЧНОГО ЗАХИСТУ ІНФОРМАЦІЇ ВИДАВНИЦТВА «Книгоман» (шифр - «АСВТЗІ»)

КОМПЛЕКСНА СИСТЕМА ЗАХИСТУ ІНФОРМАЦІЇ

(шифр - КСЗІ «АСВТЗІ»)

ПЛАН ЗАХИСТУ ІНФОРМАЦІЇ

Київ - 2013

1. Завдання захисту інформації в АСВТЗІ

.1 Загальні положення

План захисту інформації в АСВТЗІ (далі - План захисту), визначає політику Видавництва «Книгоман» в сфері захисту інформації в АСВТЗІ та організацію захисту інформації на всіх етапах її життєвого циклу. Він розробляється на підставі проведеного аналізу технології обробки інформації, аналізу ризиків, сформульованої політики безпеки інформації, визначає і документально закріплює обєкти захисту інформації в АСВТЗІ, основні завдання захисту, загальні правила обробки інформації в АСВТЗІ, мету побудови та функціонування КСЗІ, заходи із захисту інформації. План захисту фіксує на певний момент часу склад АСВТЗІ, перелік оброблюваних відомостей, технологію обробки інформації, склад комплексу засобів захисту інформації, склад необхідної документації відповідно вимог НД ТЗІ 1.4-001-2000. План захисту повинен регулярно переглядатися та при необхідності змінюватися.

АСВТЗІ призначено для автоматизації процесів обробки інформації з обмеженим доступом.

1.2 Основні завдання захисту інформації

Основними завданнями захисту інформації в АСВТЗІ є:

забезпечення визначених політикою безпеки властивостей інформації (цілісності, доступності, конфіденційності) під час експлуатації АСВТЗІ та його керованості;

своєчасне виявлення та знешкодження загроз для ресурсів АСВТЗІ з врахуванням її архітектури, причин та умов, які спричиняють або можуть привести до порушення її функціонування та розвитку;

створення механізму та умов оперативного реагування на загрози для безпеки інформації, інші прояви негативних тенденцій у функціонуванні АСВТЗІ;

керування засобами захисту інформації, керування доступом користувачів до ресурсів АСВТЗІ, контроль за їхньою роботою з боку СЗІ, оперативне сповіщення про спроби НСД;

реєстрація, збір, зберігання, обробка даних про всі події в системі, які мають відношення до безпеки інформації;

створення умов для максимально можливої локалізації джерел загроз, що виникають внаслідок неправомірних дій фізичних та юридичних осіб, впливу зовнішнього середовища та інших чинників негативного впливу на безпеку функціонування АСВТЗІ.

1.3 Обєкти захисту

Виходячи з рекомендацій НД ТЗІ 1.4-001-2000, обєктами захисту АСВТЗІ є:

відомості, віднесені до інформації з обмеженим доступом, обробка яких здійснюється в АСВТЗІ і які можуть знаходитись на паперових, магнітних та інших носіях;

інформаційні масиви та бази даних, програмне забезпечення, інші інформаційні ресурси;

обладнання АСВТЗІ та інші матеріальні ресурси, включаючи технічні засоби та системи, що не задіяні в обробці інформації, але знаходяться у контрольованій зоні, носії інформації, процеси і технології її обробки;

засоби та системи фізичної охорони матеріальних та інформаційних ресурсів, організаційні заходи захисту;

користувачі (персонал) АСВТЗІ та власники інформації.

1.4 Шляхи забезпечення безпеки інформації

Забезпечення безпеки інформації в АСВТЗІ досягається:

організацією та впровадженням системи допуску посадових осіб (користувачів) до роботи з інформацією;

організацією обліку, зберігання, обігу інформації та її носіїв;

здійсненням контролю за забезпеченням захисту інформації, яка обробляється в АСВТЗІ, та за збереженням носіїв інформації;

використанням програмно-технічних засобів комплексної системи захисту інформації.

2. Класифікація інформації, що обробляється в АСВТЗІ

.1 Склад інформації в АСВТЗІ

АСВТЗІ призначена для роботи з інформацією з обмеженим доступом, яка представлена у вигляді текстових документів, електронних таблиць.

До інформації АСВТЗІ відносяться також загальне, функціональне та спеціальне програмне забезпечення АСВТЗІ та дані захисту.

2.2 Класифікація інформації за режимом доступу та правовим режимом

За режимом доступу інформація, що обробляється в АСВТЗІ, поділяється на відкриту інформацію та інформацію з обмеженим доступом.

Інформація з обмеженим доступом, яка обробляється в АСВТЗІ, є власністю Видавництва «Книгоман», і за своїм правовим режимом поділяється на такі категорії:

конфіденційна інформація;

цілком конфіденційна інформація.

В АСВТЗІ до інформації з обмеженим доступом відноситься інформація, яка включена до „Переліку відомостей, що відносяться до конфіденційної інформації Видавництва «Книгоман».

В АСВТЗІ до відкритої інформації відносяться всі види програмного забезпечення та інформація, яка не визначена відповідними документами як конфіденційна.

2.3 Класифікація інформації за типом представлення в АСВТЗІ

У таблиці 2.3.1 для кожної з визначених у п. 2.2 категорій інформації вказано тип її логічного та фізичного представлення.

Таблиця 2.3.1

№ ппІнформаціяЛогічне представленняФізичне представленняМісце зберіганняВідкрита інформація1Загальне, функціональне та спеціальне програмне забезпеченняПрограмний засібФайлЖорсткий диск компютера2Програмні засоби захистуПрограмний засібФайлЖорсткий диск компютера3Дистрибутиви ПЗ, у тому числі ПЗ захистуДистрибутивФайлCD-ROM, Жорсткий диск компютера4Документи, які містять відкриту інформаціюТекстовий документ, електронна таблицяФайлЖорсткий диск компютера або змінні дискиКонфіденційна інформація5Документи, яким встановлений гриф конфіденційно, „цілком конфіденційноТекстовий документ, електронна таблицяФайлЖорсткий диск компютера, гнучкі магнітні диски (дискети)6Дані захистуТаблиця БД захисту, журнал захисту, параметр конфігурації системиФайл, параметр системного реєструЖорсткий диск компютера7Резервні копії даних захистуТаблиця БД захисту, текстовий документ, журнал захистуФайлгнучкі магнітні диски (дискети)

3. Опис компонентів АСВТЗІ та технології оброки інформації

.1 Компоненти АСВТЗІ

До компонентів АСВТЗІ відносяться такі:

технічне забезпечення (ПЕОМ та технічні засоби захисту);

програмне забезпечення;

дані;

користувачі АСВТЗІ та технічний персонал.

3.1.1 Технічне забезпечення

АСВТЗІ побудовано на базі одного автономного компютера.

Склад технічних засобів АСВТЗІ наведено в Паспорті формулярі АСВТЗІ.

3.1.2 Програмне забезпечення

Програмне забезпечення АСВТЗІ поділяється на загальне, функціональне та спеціальне.

Перелік програмного забезпечення наведено в Паспорті формулярі АСВТЗІ

3.1.3 Дані

За місцем зберігання дані АСВТЗІ поділяються на два види: дані на магнітних та інших носіях та дані на паперових носіях.

.1.3.1 Дані на магнітних та інших носіях

Серед даних, що зберігаються на магнітних та інших носіях, розрізняють дані постійного та тимчасового зберігання.

3.1.3.2 Дані на паперових носіях

До даних, що зберігаються на паперових носіях, відносяться:

друковані документи;

документація на АСВТЗІ:

Технічне завдання;

Інструкція користувача АС 1;

Інструкція з адміністрування системи;

технічна документація на систему захисту інформації ЛОЗА-1;

Паспорт-формуляр на АСВТЗІ;

облікові картки користувачів АСВТЗІ;

Положення про службу захисту інформації;

План захисту інформації;

Інструкція щодо забезпечення режимних заходів під час обробки конфіденційної інформації в АСВТЗІ.

3.1.4 Користувачі АСВТЗІ та технічний персонал

Відповідно до рівня повноважень щодо доступу до секретної інформації, характеру робіт, які виконуються в процесі функціонування АСВТЗІ, для користувачів АСВТЗІ визначаються такі ролі:

звичайний користувач;

адміністратор безпеки;

адміністратор документів;

системний адміністратор.

Облікова картка користувача містить такі реквізити:

імя користувача в АСВТЗІ;

прізвище та ініціали, підрозділ і посада користувача;

рівень допуску (найвищий гриф секретності інформації, з якою дозволено працювати користувачеві);

роль користувача в системі (або декілька ролей у випадку суміщення адміністративних ролей);

Для кожного користувача, що буде працювати в АСВТЗІ, заповнюється одна або декілька облікових карток - у залежності від ролей, які він виконує в системі. Кожна облікова картка відповідає обліковому запису користувача в базі даних захисту. Роль звичайного користувача не суміщається в одному обліковому записі з жодною з адміністративних ролей, адміністративні ролі можна суміщати між собою. Тому в разі виконання однією особою функцій адміністратора(ів) та звичайного користувача, заповнюються щонайменше дві облікові картки (одна картка для ролі „звичайний користувач та хоча б одна картка для адміністративних ролей) з різними іменами для реєстрації в системі.

Технічний персонал АСВТЗІ забезпечує роботоздатність технічних засобів АСВТЗІ та обслуговування приміщень, де встановлені ці засоби.

3.1.5 Активні та пасивні обєкти АСВТЗІ та їхня взаємодія

Активними обєктами в технологічному процесі обробки інформації в АСВТЗІ є користувачі АСВТЗІ, персонал, а також програмні засоби.

До пасивних обєктів АСВТЗІ, які беруть участь у технологічному процесі обробки інформації, відносяться: дані, програмні засоби та технічні засоби.

Таким чином, програмні засоби можуть бути як активними, так і пасивними обєктами. Активними вони є, коли представляють користувача, пасивними, коли користувач звертається до них.

Активні та пасивні обєкти, з якими взаємодіє активний обєкт, представлені в таблиці 3.1.5.1. Оскільки програмні засоби, як активні обєкти, не мають своїх атрибутів доступу, у цій таблиці вони розглядаються тільки як пасивні обєкти.

Таблиця 3.1.5.1.

№ ппАктивний обєкт (субєкт)Пасивні обєкти1Адміністратор безпеки1 Технічні засоби: компютер; 2 Програмні засоби: загальне, функціональне та спеціальне ПЗ; 3 Дані: дані захисту, резервні копії, облікові картки користувачів, проектні та експлуатаційні документи на АСВТЗІ2Системний адміністратор1 Технічні засоби: компютер; 2 Програмні засоби: загальне та функціональне ПЗ, програмні засоби захисту; 3 Дані: дані захисту, резервні копії системних даних, дистрибутиви ПЗ, експлуатаційні документи на АСВТЗІ3Адміністратор документів1 Технічні засоби: компютер; 2 Програмні засоби: загальне, функціональне та спеціальне ПЗ; 3 Дані: текстові документи та електронні таблиці, експлуатаційні документи на АСВТЗІ4Звичайний користувач1 Технічні засоби: компютер; 2 Програмні засоби: загальне, функціональне та спеціальне ПЗ; 3 Дані: текстові документи та електронні таблиці, експлуатаційні документи на АСВТЗІ5Технічний персонал1 Технічні засоби: компютер; 2 Програмні засоби: загальне та функціональне ПЗ; 3 Дані: експлуатаційна документація на технічні засоби

3.2 Технологія обробки інформації

.2.1 Організація роботи з інформацією обмеженого доступу

Звичайні користувачі працюють у системі з документами, які містять інформацію з обмеженим доступом.

Інформація з обмеженим доступом зберігається на жорсткому магнітному диску АСВТЗІ та на змінних носіях інформації (дискети, флеш накопичувачі).

Змінні носії інформації з ІзОД зберігаються в спеціальному відділі у металевому сейфі та доступ до них регламентується розпорядчими документами Видавництва «Книгоман».

Друк та експорт інформації з обмеженим доступом відбувається відповідно розпорядчих документів Видавництва «Книгоман».

3.2.2 Технологія роботи з документами

Документи зберігаються в базах документів, для яких встановлюється адміністративне керування доступом. Керування доступом до документів здійснюють адміністратори документів.

Безпосередньо з усіма документами працюють звичайні користувачі. Для забезпечення можливості керування доступом адміністраторам документів надається можливість читання документів, а також може надаватись можливість роботи з документами.

Нові документи створюються користувачами вручну або імпортуються з іншого носія. Документи також можуть бути експортовані на інший носій.

4. Організаційні заходи захисту

.1 Загальні підходи до забезпечення політики безпеки

Для забезпечення захисту інформації з обмеженим доступом в АСВТЗІ та належного функціонування комплексної системи захисту інформації створюється служба захисту інформації.

Склад та функції служби захисту інформації в АСВТЗІ визначаються відповідно до документа Положення про службу захисту інформації.

Повноваження користувачів встановлюються керівництвом Видавництва «Книгоман» та узгоджуються з спеціальним відділом. Облік користувачів АСВТЗІ здійснюється за допомогою облікових карток, на підставі яких адміністратор безпеки вводить, змінює або видаляє інформацію про користувача АСВТЗІ. Облікові картки заповнюються та зберігаються в спеціальному відділі.

Питання організації навчання користувачів, які допускаються до роботи на АСВТЗІ, з питань захисту інформації під час її обробки за допомогою АСВТЗІ, включаються до Календарного плану основних заходів з технічного захисту інформації в Видавництві «Книгоман».

Навчання повинно бути направлено на засвоєння всіма категоріями користувачів вимог нормативних актів з питань захисту інформації та охорони державної таємниці.

Усі користувачі повинні знати вимоги основних документів щодо захисту інформації, вимоги розпорядчих документів Видавництва «Книгоман», які регламентують порядок проведення робіт з ІзОД за допомогою АСВТЗІ.

Доведення до користувачів вимог діючих нормативних та організаційно-розпорядчих документів щодо захисту інформації в АСВТЗІ здійснюється начальником спеціального відділу.

До обробки інформації на АСВТЗІ допускаються лише особи, яки успішно здали відповідні заліки та включені до затвердженого списку осіб, які допущені до обробки інформації за допомогою АСВТЗІ.

Виконання робіт в АСВТЗІ дозволяється працівникам, які включені до списку користувачів АСВТЗІ.

Начальник спеціального відділу забезпечує виконання вимог нормативних документів щодо забезпечення режимних заходів під час роботи з ІзОД, а саме:

облік друкованих документів;

облік змінних носіїв інформації (дискет, флеш накопичувачів);

облік технічних засобів, що пройшли спецдослідження;

ведення облікових карток користувачів у частині, що його стосується.

Основні функції щодо забезпечення захисту інформації в АСВТЗІ покладаються на службу захисту інформації в АСВТЗІ до складу якої входить начальник служби, системний адміністратор та адміністратор безпеки. На службу захисту інформації в АСВТЗІ відповідно адміністративних ролей в АСВТЗІ покладаються наступні основні функції:

Адміністратор безпеки:

ведення облікових карток користувачів;

ведення бази даних захисту;

настройка системи;

зміна, у разі необхідності, власника баз документів;

спостереження за роботою системи;

архівація баз документів;

архівація даних захисту;

настройка апаратного забезпечення;

створення баз документів;

керування доступом до документів.

Системний адміністратор:

супроводження програмного забезпечення, у тому числі програмного забезпечення КЗЗ;

супроводження апаратного забезпечення (разом із технічним персоналом).

Усі дії, які прямо чи опосередковано можуть вплинути на захищеність інформації (зміни дозволів на доступ до файлів та папок, очищення журналів операційної системи, зміни настройок BIOS Setup тощо), адміністратори АСВТЗІ виконують з дозволу начальника служби захисту інформації в АСВТЗІ.

Контроль за дотриманням персоналом та користувачами АСВТЗІ положень політики безпеки покладається на відповідального за ТЗІ та службу захисту інформації в АСВТЗІ.

4.2 Порядок введення (видалення) користувачів в(з) АСВТЗІ та змін їхніх повноважень

На підставі облікової картки адміністратор безпеки вводить у базу даних захисту інформацію про користувача АСВТЗІ, після чого ознайомлює під розпис користувача з його повноваженнями.

У випадку зміни повноважень користувача до облікової картки користувача вносяться необхідні зміни. На цій підставі адміністратор безпеки вносить зміни до бази даних захисту та ознайомлює з ними користувача.

При необхідності видалення користувача з АСВТЗІ (при звільненні з роботи, при зміні посадових обовязків та ін.) вноситься відповідний запис до облікової картки користувача і на цій підставі адміністратор безпеки видаляє користувача з АСВТЗІ.

4.3 Керування системою та її компонентами

Керування системою здійснюють адміністратор безпеки та системний адміністратор.

Адміністратор безпеки вводить до системи нових користувачів та коригує відомості про них (у тому числі атрибути доступу), має можливість змінювати стан системи та значення параметрів конфігурації системи та ін. Адміністратор безпеки встановлює пароль на доступ до апаратних настройок компютерів (Bios Setup Supervisor Password).

Системний адміністратор здійснює супроводження програмного та апаратного забезпечення. За необхідності він має можливість за узгодженням з адміністратором безпеки змінювати стан системи та значення параметрів конфігурації, які безпосередньо не повязані з керуванням доступом.

5. Фізичний захист інформації

Технічні засоби АСВТЗІ розташовано в приміщенні, яке знаходяться в межах контрольованої зони Видавництва «Книгоман». Охорону контрольованої зони та перепускний режим до будівлі де розташовано приміщення з АСВТЗІ здійснює відомча охорона ВАТ „Тигр.

В неробочий час приміщення з АСВТЗІ опечатується та здається під охорону службі охорони ВАТ „Тигр.

Вхідні двері до приміщення № 1 з встановленою в ньому АСВТЗІ - залізні та обладнані двома замками різних систем. Крім того приміщення обладнано системою охоронної сигналізації.

Доступ до приміщення, у якому здійснюється обробка інформації з обмеженим доступом, здійснюється обмежений колом осіб, які допущені до роботи в цьому приміщенні.

6. Захист інформації від витоку технічними каналами

У приміщенні, де розташовано АСВТЗІ, створено комплекс технічного захисту інформації, який забезпечує блокування наступних технічних каналів витоку інформації:

каналів ПЕМВН;

радіотехнічний канал;

візуально-оптичний.

Роботи по створенню комплексу технічного захисту інформації проведені власними силами Видавництва «Книгоман».

Відповідальний за захист інформації в АСВТЗІ організовує та координує роботи із ТЗІ, як планові (відповідно до вимог Акту атестації КТЗІ), так і одноразові - при проведенні заходів щодо змін та модернізації обладнання АСВТЗІ.

7. Порядок модернізації компонентів системи

.1 Модернізація обладнання

При змінах конфігурації технічних засобів АСВТЗІ чи їх модернізації роботи з ТЗІ організовує та координує відповідальний за ТЗІ спільно з представниками служби захисту інформації в АСВТЗІ. Після проведення необхідних заходів з ТЗІ представниками служби захисту інформації в АСВТЗІ вносяться відповідні записи про зміні у складі АСВТЗІ в Паспорті-формулярі на АСВТЗІ.

7.2 Модернізація програмного забезпечення

Модернізація програмного забезпечення проводиться в разі необхідності (наприклад, у випадку надання розробниками сервісних пакетів, появи нових версій тощо). Поновлення всього програмного забезпечення здійснює системний адміністратор за узгодженням з начальником служби захисту інформації в АСВТЗІ та з відповідними відмітками в „Паспорті-формулярі на АСВТЗІ.

7.3 Модернізація КЗЗ

Модернізація КЗЗ здійснюється відповідно до документа НД ТЗІ 3.6-001-2000 згідно з окремим технічним завданням або додатком до основного технічного завдання.

8. Порядок проведення відновлювальних робіт і забезпечення безперервного функціонування АСВТЗІ

У разі виникнення проблем у роботі технічного та програмного забезпечення АСВТЗІ системний адміністратор має вжити заходів для відновлення працездатності системи.

Відновлювальні роботи потребують зміни стану системи.

Правила проведення відновлення працездатності технічних засобів АСВТЗІ наведені в документі „Політика безпеки інформації в АСВТЗІ.

Відновлення програмного забезпечення АСВТЗІ проводиться під час перебування системи в стані поновлення програмного забезпечення, відновлення КЗЗ - під час перебування системи в стані відновлення.

При проведенні відновлення програмного забезпечення за необхідності використовуються відповідні дистрибутиви. Відновлення операційної системи Windows проводиться за допомогою стандартної процедури відновлення Windows.

9. Контроль за функціонуванням КСЗІ

Організація контролю за функціонуванням КСЗІ в АСВТЗІ покладається на начальника служби захисту інформації в АСВТЗІ.

10. Порядок введення в експлуатацію КСЗІ

Обробка в АСВТЗІ інформації з обмеженим доступом дозволяється тільки після отримання атестата відповідності КСЗІ вимогам нормативних документів із питань захисту інформації.

Дозвіл на обробку інформації з обмеженим доступом за допомогою АСВТЗІ дається наказом директора Видавництва «Книгоман».

11. Система документів щодо забезпечення захисту інформації в АСВТЗІ

Захист інформації в АСВТЗІ регламентується такими документами:

Закон України Про інформацію від 2 жовтня 1992 року №2658-ХІІ;

Закон України Про захист інформації в інформаційно-телекомунікаційних системах від 5 липня 1994 року № 80/94-ВР;

Положення про технічний захист інформації в Україні, затвердженого указом Президента України від 27 вересня 1999 року № 1229;

Правил забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах, затверджених постановою Кабінету Міністрів України від 29 березня 2006 року N 373;

ДСТУ 3396.0-96 Захист інформації. Технічний захист інформації. Основні положення;

ДСТУ 3396.1-96 Захист інформації. Технічний захист інформації. Порядок проведення робіт;

ДСТУ 3396.2-97 Захист інформації. Технічний захист інформації. Терміни та визначення;

НД ТЗІ 1.1-002-99 Загальні положення щодо захисту інформації в комп'ютерних системах від несанкціонованого доступу;

НД ТЗІ 1.1-003-99 Термінологія в галузі захисту інформації в компютерних системах від несанкціонованого доступу;

НД ТЗІ 1.1-004-99 Загальні положення щодо захисту інформації в комп'ютерних системах від несанкціонованого доступу;

НД ТЗІ 1.4-001-2000 Типове положення про службу захисту інформації в автоматизованих системах;

НД ТЗІ 2.5-004-99 Критерії оцінки захищеності інформації в компютерних системах від несанкціонованого доступу;

НД ТЗІ 2.5-005-99 Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу;

НД ТЗІ 2.5-007-07 Вимоги до комплексу засобів захисту інформації, що становить державну таємницю, від несанкціонованого доступу при її обробці в автоматизованих системах класу «1»;

НД ТЗІ 3.7-001-99 Методичні вказівки щодо розробки технічного завдання на створення комплексної системи захисту інформації в автоматизованій системі;

НД ТЗІ 3.7-003-05 Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі;

Положення про державну експертизу в сфері технічного захисту інформації, затверджене наказом Адміністрації Державної служби спеціального звязку та захисту інформації України від 16 травня 2007 року № 93;

Положення про забезпечення режиму секретності під час обробки інформації, що становить державну таємницю, в автоматизованих системах, затверджене постановою Кабінету Міністрів України від 16 лютого 1997 року № 180;

НД ТЗІ 2.1-002-07 Захист інформації на обєктах інформаційної діяльності. Випробовування комплексу технічного захисту інформації. Основні положення;

ТПКО-95 Тимчасове положення про категоріювання обєктів;

ТР ЕОТ-95 Тимчасові рекомендації з технічного захисту інформації у засобах обчислювальної техніки, автоматизованих системах і мережах від витоку каналами побічних електромагнітних випромінювань і наводок;

Інструкція щодо забезпечення режимних заходів щодо захисту інформації з обмеженим доступом під час її обробки в АСВТЗІ;

Положення про службу захисту інформації в АСВТЗІ;

Технічна документація на систему захисту інформації ЛОЗА-1;

Технічне завдання на створення КСЗІ в АСВТЗІ;

Інструкція з адміністрування системи АСВТЗІ;

Інструкція користувача АСВТЗІ;

Інструкція по оперативному відновленню функціонування АС.

12. Календарний план із захисту інформації в АСВТЗІ

№ ппНазва заходуТермінПриміткаОрганізаційні заходи1Розробка документів (інструкцій, правил, розпоряджень тощо) з різних напрямів захисту інформації в АСВТЗІУ разі необхідності2Внесення змін та доповнень до чинних в АСВТЗІ документів з урахуванням умов, що склалисяУ разі необхідності3Координація робіт із ремонту технічних засобів АСВТЗІУ разі збоїв або відмов4Координація робіт із ремонту технічних засобів захистуУ разі збоїв або відмов5Координація робіт із відновлення загального та функціонального програмного забезпечення АСВТЗІУ разі збоїв або відмов6Координація робіт із поновлення програмного забезпечення комплексу засобів захистуМодернізація або розробка нового ПЗ7Розгляд результатів виконання затверджених заходів і робіт із захисту інформації1 раз на місяць8Оновлення Плану захисту інформації в АСВТЗІУ разі змін у складі АСВТЗІ або умов її функціонуванняКонтрольно-правові заходи9Контроль за виконанням користувачами та технічним персоналом вимог відповідних інструкцій, розпоряджень, наказів1 раз в квартал10Відстеження небезпечних подій у журналі захисту1 раз на тиждень11Участь у контролі за наявністю на жорстких дисках компютерів незахищеної секретної інформаціїВідповідно до термінів перевірок відповідальним за ТЗІ12Контроль за станом зберігання та використання носіїв інформації на робочих місцях1 раз на місяцьПрофілактичні заходи13Поновлення вірусних баз2 рази на місяцьІнженерно-технічні заходи14Організація та координація робіт з ТЗІ щодо блокування технічних каналів витоку інформаціїТермін визначається в Акті атестації КТЗІНачальник відділу технічного захисту

інформації Видавництва «Книгоман»Хохуля Т.М.

6.Розробка технічного завдання на створення КСЗІ в АС

ЗАТВЕРДЖУЮ

Директор Видавництва «Книгоман»

_____________І.І.Кірик

____ ________ 2013 року

АВТОМАТИЗОВАНА СИСТЕМА ВІДДІЛУ ТЕХНІЧНОГО ЗАХИСТУ ІНФОРМАЦІЇ ВИДАВНИЦТВО «Книгоман»

(шифр - «АСВТЗІ»)

КОМПЛЕКСНА СИСТЕМА ЗАХИСТУ ІНФОРМАЦІЇ

(шифр - КСЗІ «АСВТЗІ»)

ТЕХНІЧНЕ ЗАВДАННЯ

на ____ сторінках

ПОГОДЖЕНО: Начальник відділу технічного захисту інформації Видавництва «Книгоман» __________________Т.М.Хохуля „____________________2013 року М.П.ПОГОДЖЕНО: _____________________________________________________________________________________________________________________________________________________________________

Київ - 2013

В цьому документі використовуються наступні позначення і скорочення:

АС -автоматизована системаАСВТЗІ -автоматизована система відділу технічного захисту інформації Видавництва «Книгоман»ІзОД -інформація з обмеженим доступомКЗЗ -комплекс засобів захистуКСЗІ -комплексна система захисту інформаціїКТЗІ -комплекс технічного захисту інформаціїНСД -несанкціонований доступОІД -обєкт інформаційної діяльностіОС -обчислювальна системаПЕМВН -побічні електромагнітні випромінювання та наведенняПЗ -програмне забезпеченняТЗІ -технічний захист інформаціїТЗ -технічне завдання

. Загальні відомості

1.1. Повна назва системи та її умовне позначення

Повна назва: Комплексна система захисту інформації автоматизованої системи відділу технічного захисту інформації Видавництва «Книгоман».

Умовне позначення: КСЗІ АСВТЗІ.

.2. Шифр теми і реквізити договору

Розробка КСЗІ АСВТЗІ є складовою частиною робіт з впровадження АСВТЗІ в діяльність, що виконуються між Видавництва «Книгоман» та ТОВ «Слід»., відповідно вимог Договору від 01.06.09 № 1АС/09 (далі - Договір).

.3. Замовник

Видавництво «Книгоман»

, м. Київ, вул. Київська, 1, корпус 2, приміщення № 1.

.4. Виконавець

ТОВ «Слід»

.5. Планові терміни початку і закінчення роботи із створення КСЗІ

Терміни початку і закінчення робіт щодо створення КСЗІ АСВТЗІ визначаються Договором.

.6. Відомості про джерела та порядок фінансування робіт

Фінансування робіт із створення КСЗІ АСВТЗІ здійснюється Видавництвом «Книгоман».

.7. Порядок оформлення та предявлення Замовнику результатів робіт

Технічне завдання оформлено згідно з вимогами НД ТЗІ 3.7-001-99 Методичні вказівки щодо розробки технічного завдання на створення комплексної системи захисту інформації в автоматизованій системі.

Порядок оформлення та предявлення Замовнику результатів виконання робіт зі створення КСЗІ АСВТЗІ визначається вимогами:

НД ТЗІ 1.1-002-99 Загальні положення щодо захисту інформації в компютерних системах від несанкціонованого доступу;

НД ТЗІ 1.1-003-99 Термінологія в галузі захисту інформації в компютерних системах від несанкціонованого доступу;

НД ТЗІ 3.6-001-2000 Порядок створення, впровадження, супроводження та модернізації засобів технічного захисту інформації від несанкціонованого доступу.

НД ТЗІ 1.4-001-2000 Типове положення про службу захисту інформації в автоматизованій системі.

НД ТЗІ 3.7-003-05 Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі.

РД 50-34.698-90. Автоматизированные системы. Требования к созданию документов.

Результатом роботи має бути КСЗІ АСВТЗІ, яка забезпечуватиме можливість обробки в АСВТЗІ ІзОД. Замовник отримує дистрибутиви програмних засобів, а також комплект документації відповідно до п. 5 цього ТЗ.

. Мета створення і призначення КСЗІ

2.1. Мета створення КСЗІ АСВТЗІ

Комплексна система захисту інформації АСВТЗІ створюється для забезпечення захисту від несанкціонованого доступу до інформації, а саме для:

виявлення загроз безпеці інформації, що передається, обробляється та зберігається в АСВТЗІ;

унеможливлення реалізації загроз для інформації, порушення її конфіденційності, цілісності та доступності в АСВТЗІ;

забезпечення контролю за діями користувачів АСВТЗІ.

КСЗІ АСВТЗІ повинна передбачати:

організаційно-правові заходи регламентування діяльності користувачів АСВТЗІ;

організаційно-адміністративні заходи обмеження фізичного доступу до технічних засобів обробки інформації;

організаційно-технічні заходи і програмно-апаратні засоби захисту від несанкціонованого доступу;

захист інформації, що обробляється в АСВТЗІ від витоку технічними каналами;

захист інформації, яка обробляється в АСВТЗІ від впливу компютерних вірусів та мережевих атак.

2.2. Функціональне призначення і особливості застосування КСЗІ АСВТЗІ

КСЗІ АСВТЗІ призначена для:

забезпечення визначеної для АСВТЗІ політики безпеки інформації;

розмежування доступу користувачів АСВТЗІ до інформації, що підлягає захисту та інших ресурсів АС;

блокування несанкціонованих дій з ІзОД;

реєстрації спроб реалізації загроз інформації та сповіщення адміністраторів безпеки про факти несанкціонованих дій з ІзОД;

забезпечення спостережності інформації шляхом контролю за діями користувачів АСВТЗІ та реєстрації подій, які мають відношення до безпеки інформації;

підтримання цілісності критичних ресурсів АСВТЗІ;

організації обліку, зберігання та обігу матеріальних носіїв інформації, які використовуються в АСВТЗІ;

забезпечення управління засобами захисту КСЗІ та контролю за її функціонуванням.

захисту ІзОД від її витоку технічними каналами.

Під час проектування КСЗІ АСВТЗІ необхідно забезпечити:

заданий рівень захисту ІзОД, яка циркулюватиме в АСВТЗІ;

економічну доцільність прийнятих рішень;

забезпечення дотримання вимог режиму секретності під час проведення робіт зі створення КСЗІ АСВТЗІ.

2.3. Нормативні посилання

КСЗІ розробляється відповідно до вимог, які зазначено в таких законодавчих та нормативних документах із питань охорони державної таємниці та технічного захисту інформації:

Закон України Про інформацію від 2 жовтня 1992 року №2658-ХІІ;

Закон України Про захист інформації в інформаційно-телекомунікаційних системах від 5 липня 1994 року № 80/94-ВР;

Закон України Про державну таємницю від 21 січня 1994 року №3856-ХІІ;

Положення про технічний захист інформації в Україні, затвердженого указом Президента України від 27 вересня 1999 року № 1229;

Правил забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах, затверджених постановою Кабінету Міністрів України від 29 березня 2006 року N 373;

ДСТУ 3396.0-96 Захист інформації. Технічний захист інформації. Основні положення;

ДСТУ 3396.1-96 Захист інформації. Технічний захист інформації. Порядок проведення робіт;

ДСТУ 3396.2-97 Захист інформації. Технічний захист інформації. Терміни та визначення;

Порядку захисту державних інформаційних ресурсів в інформаційно-телекомунікаційних системах, затвердженого наказом ДСТСЗІ СБ України від 24 грудня 2001 року № 76.

НД ТЗІ 1.1-002-99 Загальні положення щодо захисту інформації в комп'ютерних системах від несанкціонованого доступу;

НД ТЗІ 1.1-003-99 Термінологія в галузі захисту інформації в компютерних системах від несанкціонованого доступу;

НД ТЗІ 1.1-004-99 Загальні положення щодо захисту інформації в комп'ютерних системах від несанкціонованого доступу;

НД ТЗІ 1.4-001-2000 Типове положення про службу захисту інформації в автоматизованих системах;

НД ТЗІ 2.5-004-99 Критерії оцінки захищеності інформації в компютерних системах від несанкціонованого доступу;

НД ТЗІ 2.5-005-99 Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу;

НД ТЗІ 3.6-001-2000 Порядок створення, впровадження, супроводження та модернізації засобів технічного захисту інформації від несанкціонованого доступу;

НД ТЗІ 3.7-001-99 Методичні вказівки щодо розробки технічного завдання на створення комплексної системи захисту інформації в автоматизованій системі;

НД ТЗІ 3.7-003-05 Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі;

Положення про державну експертизу в сфері технічного захисту інформації, затверджене наказом Адміністрації Державної служби спеціального звязку та захисту інформації України від 16 травня 2007 року № 93;

Положення про забезпечення режиму секретності під час обробки інформації, що становить державну таємницю, в автоматизованих системах, затверджене постановою Кабінету Міністрів України від 16 лютого 1997 року № 180;

НД ТЗІ 2.1-002-2007. Захист інформації на обєктах інформаційної діяльності. Випробовування комплексу технічного захисту інформації. Основні положення;

НД ТЗІ 1.1-005-07 Захист інформації на обєктах інформаційної діяльності. Створення комплексу технічного захисту інформації.. Основні положення;

НД ТЗІ 3.1-001-07 Захист інформації на обєктах інформаційної діяльності. Створення комплексу технічного захисту інформації. Передпроектні роботи;

НД ТЗІ 3.3-001-07 Захист інформації на обєктах інформаційної діяльності. Створення комплексу технічного захисту інформації. Порядок розроблення та впровадження заходів із захисту інформації;

ТР ЕОТ-95 Тимчасові рекомендації з технічного захисту інформації у засобах обчислювальної техніки, автоматизованих системах і мережах від витоку каналами побічних електромагнітних випромінювань і наводок.

. Загальна характеристика АСВТЗІ та умов її функціонування

3.1 Характеристика АСВТЗІ

АСВТЗІ розроблено на базі автономного компютера, укомплектованого принтером. АСВТЗІ не має підключень до будь яких компонентів інших автоматизованих систем або додаткового обладнання, які знаходяться в приміщенні та за його межами.

Відповідно НД ТЗІ 2.5-005-99 за сукупністю характеристик (конфігурація апаратних засобів операційної системи і їх фізичне розміщення, кількість різноманітних категорій оброблюваної інформації, кількість користувачів і категорій користувачів) АСВТЗІ відносяться до автоматизованої системи класу „1 - одномашинні однокористувачеві комплекси, які обробляють інформацію однієї або кількох категорій конфіденційності.

3.1.1 Структура АСВТЗІ

АСВТЗІ призначено для автоматизації процесів обробки інформації з обмеженим доступом. Основним режимом роботи АСВТЗІ є робота в службовий час.

3.1.2. Обладнання АСВТЗІ

До складу АСВТЗІ входить наступне обладнання:

системний блок;

монітор;

графічний маніпулятор;

клавіатура;

принтер.

.1.3. Програмне забезпечення АСВТЗІ

До складу АСВТЗІ входить наступне програмне забезпечення:

операційна система Windows XP Professional;

пакет прикладних програм Microsoft Office 2003;

Microsoft Office Visio 2007;

драйвери системних пристроїв;

антивірусна програма NOD 32;

Детальний перелік програмного забезпечення, що використовується в АСВТЗІ буде визначено в паспорті-формулярі на АСВТЗІ.

.2 Характеристика фізичного середовища

Компоненти АСВТЗІ розміщуються в приміщенні № 1 відділу технічного захисту інформації Видавництва «Книгоман», що знаходиться в межах контрольованої зони Видавництва «Книгоман». Охорона контрольованої зони Видавництва «Книгоман» здійснюється цілодобово відомчою охороною ВАТ „Тигр. Приміщення обладнано охоронною сигналізацією. Двері приміщення деревяні, оббиті залізними листами, обладнані замковими пристроями та охоронними сповіщувачами.

Режим допуску до приміщення, де розміщується АСВТЗІ, забезпечує неможливість проникнення сторонніх осіб у приміщення та їх доступу до обладнання АСВТЗІ.

3.3 Характеристика персоналу

За рівнем повноважень щодо доступу до інформації та характером робіт, що виконуються у процесі функціонування АСВТЗІ, особи, які мають доступ до АСВТЗІ, поділяються на такі категорії:

) адміністратор безпеки, який забезпечує виконання вимог політики безпеки ;

) системний адміністратор, який забезпечує функціонування програмного та апаратного забезпечення АСВТЗІ;

) звичайний користувач, який виконує обробку інформації;

) технічний обслуговуючий персонал який забезпечує належні умови функціонування АСВТЗІ та не має безпосереднього доступу до інформації що обробляється (прибиральниці, розробники прикладного ПЗ та ін.).

Всі користувачі АСВТЗІ повинні мати дозвіл керівника Видавництва «Книгоман» на доступ до приміщення в якому розташовано обладнання АСВТЗІ, згідно з службовими обовязками.

Користувачі категорій 1 - 3 повинні пройти процедуру реєстрації в системі і мати власні унікальні імена, ідентифікатори та атрибути доступу відповідно до їх функціональних обов'язків.

.4 Характеристика інформації, що обробляється в АСВТЗІ

Інформація, що циркулюватиме в АСВТЗІ, за змістом вимог щодо захисту підрозділяється на такі групи:

відкриту інформацію загального користування;

інформацію з обмеженим доступом (ІзОД), яка поділяється на конфіденційну (документи з грифом обмеження доступу «конфіденційно») та цілком конфіденційну (документи з грифом обмеження доступу «цілком конфіденційно»).

Гриф обмеження доступу носія інформації повинен відповідати вищому ступеню обмеження доступу даних, які на ньому зберігаються.

.5 Характеристика технології обробки інформації

ІзОД зберігається на жорсткому магнітному диску або на гнучких магнітних дисках (дискетах) та флеш накопичувачах в форматах: txt, doc, xls, vsd тощо;

користувачі мають різні повноваження стосовно доступу до інформації з обмеженим доступом, яка розміщується на носіях інформації;

на носіях інформації зберігаються дані різних ступенів обмеження доступу. Гриф обмеження доступу носія інформації повинен відповідати вищому ступеню обмеження доступу даних, які на ньому зберігаються.

Імпорт інформації в АСВТЗІ здійснюється за рахунок використанням дискет або флеш накопичувачах.

Експорт інформації з АСВТЗІ здійснюється на паперових носіях та на дискетах або флеш накопичувачах.

Документи, в яких містяться ІзОД, будуть друкуватися за допомогою принтера, який входить до складу АСВТЗІ.

Носії інформації з ІзОД знаходяться на обліку та зберігаються в спеціальному відділі Видавництва «Книгоман». Доступ до них регламентується розпорядчими документами цього підприємства.

Порядок копіювання файлів, стирання інформації, опрацювання документів здійснюється згідно вимог розпорядчих документів Видавництва «Книгоман».

.6 Особливості функціонування АСВТЗІ

АСВТЗІ використовується для обробки ІзОД в час, визначений службовою необхідністю. Надання машинного часу або устаткування в оренду стороннім організаціям не передбачається.

Функціонування АСВТЗІ передбачає такі режими роботи:

основний робочий режим роботи - функціонування АСВТЗІ в робочий час для виконання визначених регламентом функціональних задач;

режим адміністрування АСВТЗІ - підтримка інформаційних ресурсів в актуальному стані;

режим тестування системи та окремих її компонентів - забезпечення рішення контрольних задач для перевірки роботоздатності АСВТЗІ;

режим технічного обслуговування АСВТЗІ.

. Вимоги до комплексної системи захисту інформації

.1. Вимоги щодо організаційного забезпечення захисту

4.1.1. З метою забезпечення захисту ІзОД під час її обробки в АСВТЗІ наказом директора Видавництва «Книгоман» створюється служба захисту інформації в АСВТЗІ, якій надаються повноваження щодо організації і впровадження КСЗІ, контролю за станом захищеності інформації тощо. У своїй діяльності служба захисту інформації керується документом „Положення про службу захисту інформації.

4.1.2. Приміщення, в якому розташована АСВТЗІ, повинно відповідати наступним вимогам:

двері повинні бути обладнані двома замковими пристроями різної конфігурації;

вікна повинні бути обладнані металевими гратами;

вікна та двері повинні бути обладнані датчиками системи охоронної сигналізації;

в приміщенні повинен бути встановлений інфрачервоний сповіщувач руху.

.1.3. Відповідно до рівня повноважень щодо доступу до ІзОД, характеру робіт, які виконуються у процесі функціонування АСВТЗІ, організовується доступ осіб до АСВТЗІ з наступними ролями:

користувач АСВТЗІ;

адміністратор безпеки;

системний адміністратор.

Користувач АСВТЗІ повинен безпосередньо здійснювати обробку ІзОД в АСВТЗІ відповідно вимог Інструкції користувача АСВТЗІ. Користувач АСВТЗІ повинен мати базові навички роботи з обчислювальною технікою, з операційною системою Microsoft Windows, текстовим редактором Microsoft Word та редактором електронних таблиць Microsoft Excel.

Адміністратор безпеки АСВТЗІ повинен безпосередньо здійснювати:

ведення баз даних захисту;

встановлення значень параметрів конфігурації системи, безпосередньо повязаних із доступом до інформації;

спостереження за роботою системи;

заміну, у разі необхідності, власника баз документів та документів.

Системний адміністратор АСВТЗІ повинен забезпечувати:

безперебійну роботу операційної системи АСВТЗІ;

справну роботу системних драйверів;

встановлення необхідного програмного забезпечення та своєчасне його оновлення;

своєчасне оновлення баз антивірусного програмного забезпечення.

Кожну роль може виконувати один або декілька працівників.

Крім того, справну роботу компонентів АСВТЗІ забезпечує технічний персонал.

Усі дії, які прямо чи опосередковано можуть вплинути на захищеність інформації (зміни дозволів на доступ до файлів та папок, очищення журналів ОС, зміни настройок BIOS Setup тощо), системний адміністратор має узгоджувати з адміністратором безпеки. Порядок узгодження повинен визначатись „Планом захисту інформації.

4.1.4. Контроль за друком та експортом інформації повинен здійснювати працівник спеціального відділу Видавництва «Книгоман».

4.1.5. Усі носії, які містять ІзОД, повинні мати належне маркування та зберігатись в спеціальному відділу в окремому сейфі.

4.2. Вимоги щодо захисту інформації від несанкціонованого доступу

Згідно із специфікаціями, наведеними в документі НД ТЗІ 2.5-004-99. Критерії оцінки захищеності інформації у компютерних системах від несанкціонованого доступу, комплекс засобів захисту (КЗЗ) від НСД має надавати певні послуги безпеки, зазначені в документі «Моделі загроз»:

4.3. Політика безпеки інформації

.3.1. Обєкти доступу

В АСВТЗІ виділяють такі обєкти доступу:

Бази документів.

Бази документів призначені для зберігання документів. Всередині бази документи можуть бути розподілені по папках.

Кожна база має такі атрибути:

назва;

власник;

максимальний рівень доступу документів;

список доступу (перелік користувачів із наданими їм правами доступу до бази);

список аудита.

Документи (текстові документи, електронні таблиці).

Кожний документ має такі атрибути:

назва;

ключові слова та вирази;

час створення;

час останнього коригування;

власник;

рівень доступу;

список доступу (перелік користувачів із наданими їм правами доступу до документа);

список аудита.

Дані захисту:

база даних захисту (перелік користувачів із їхніми атрибутами доступу та даними, необхідними для автентифікації);

журнал захисту;

параметри конфігурації системи;

оперативні дані про роботу системи.

Програмні засоби КЗЗ.

Інші програмні засоби (загальне, функціональне і спеціальне ПЗ та службові дані, необхідні для його роботи).

Тимчасові файли, які створюються під час роботи прикладними програмами.

Інформація в оперативній памяті компютера.

Дані, які знаходяться на екрані монітора під час роботи програмних засобів АСВТЗІ.

Дані у друкованому вигляді.

Змінні носії.

У таблиці 2 перелічені обєкти доступу та вказані носії, на яких вони зберігаються.

автоматизований система інформаційний технічний

Таблиця 2

Обєкт доступуМісце зберіганняБази документів та документиЖорсткий диск та змінні носії (дискети, флеш накопичувачі)Дані захистуЖорсткий дискПрограмні засоби КЗЗЖорсткий дискІнші програмні засобиЖорсткий дискТимчасові файлиЖорсткий диск

.3.2. Принципи керування доступом

КЗЗ повинен реалізовувати адміністративне керування доступом до таких обєктів:

бази документів;

документи;

дані захисту;

програмні засоби (у тому числі програмні засоби КЗЗ);

тимчасові файли.

.3.3. Правила розмежування інформаційних потоків

Програмні засоби системи повинні здійснювати розмежування інформаційних потоків від обєкта до користувача і від користувача до обєкта.

Розмежування інформаційних потоків слід здійснювати на підставі атрибутів доступу обєкта та користувача.

Необхідно організувати роботу таким чином, щоб користувачі не мали безпосереднього доступу (наприклад, за допомогою стандартних файлових менеджерів) до файлів, в яких зберігаються бази документів, документи, база даних захисту та журнал захисту.

Користувачі повинні мати можливість працювати з базами документів, документами, базою даних захисту та журналом захисту тільки за допомогою призначеного для цього процесу (процесів).

Адміністратор безпеки та системний адміністратор за рахунок членства в групі адміністраторів ОС повинні мати можливість для кожного процесу, який використовується для доступу до баз документів, документів, бази даних захисту та журналу захисту, визначити користувачів та групи користувачів, які мають, а також не мають права ініціювати цей процес - для цього слід відповідним чином встановити права на доступ до файлу (файлів), які відповідають процесу.

.3.4. Атрибути доступу обєктів доступу

До атрибутів доступу баз документів належать такі дані:

власник;

список доступу.

До атрибутів доступу документів належать такі дані:

рівень доступу, який відповідає грифу обмеження доступу, що зберігається в документі, і обирається з такого переліку:

цілком конфіденційно;

конфіденційно;

відкрита інформація;

список доступу.

Для даних системи захисту атрибутом доступу є список доступу, який містить перелік адміністративних ролей (див. п. 4.2.9) з наданими їм видами доступу.

4.3.5. Атрибути доступу користувачів

До атрибутів доступу користувачів належать такі дані:

роль;

рівень допуску.

Ролі користувачів та правила їх суміщення описані в п.4.2.9.

Рівень допуску користувача визначає найвищий ступінь секретності інформації, із якою йому дозволено працювати, і обирається з переліку, наведеного в п. 4.3.4.

4.3.6. Види доступу

КЗЗ повинен підтримувати такі види доступу до баз документів:

читання;

створення папок;

видалення папок;

перейменування папок;

створення документів;

запис атрибутів;

запис атрибутів доступу;

перейменування;

видалення.

КЗЗ повинен підтримувати такі види доступу до документів:

читання;

запис;

видалення;

друк;

збереження у файлі;

читання атрибутів доступу;

запис власника;

запис рівня доступу;

запис списку доступу;

запис списку аудита.

Для даних захисту слід передбачити такі види доступу:

читання;

запис.

.3.7. Правила розмежування доступу

.3.7.1. Правила розмежування доступу до баз документів

Можливість працювати з базами документів повинні мати лише звичайні користувачі та адміністратори документів.

Користувач отримує доступ до бази документів, якщо виконуються такі умови:

користувач виконує роль Звичайний користувач;

в списку доступу бази йому або групі, до якої він належить, не заборонено цей доступ (тобто користувач або група не вказані в переліку заборон з відповідним видом доступу);

в списку доступу бази йому або групі, до якої він належить, надано цей доступ (тобто користувач або група вказані в переліку дозволів з відповідним видом доступу).

Власник бази має особливі повноваження щодо доступу до „своєї бази.

Якщо користувач є власником бази, він отримує до бази такі види доступу:

читання списку документів;

читання атрибутів;

запис власника;

запис списку доступу;

запис списку аудита.

Крім цього, встановлюються обмеження, які не дозволяють звичайним користувачам керувати доступом до баз.

Звичайні користувачі не можуть отримати такі види доступу до бази документів:

запис атрибутів;

перейменування;

видалення;

запис власника;

запис списку доступу;

запис списку аудита.

Для того, щоб не втратити можливість доступу до бази у випадку відсутності власника, встановлюється ще одне правило.

Адміністратор безпеки отримує такі види доступу до всіх баз:

читання списку документів;

читання атрибутів;

запис власника.

.3.7.2. Правила розмежування доступу до документів

Можливість працювати з документами повинні мати лише звичайні користувачі.

Користувач отримує доступ до документа, якщо виконуються такі умови:

рівень допуску користувача не нижчий за рівень доступу документа;

йому встановлена роль Звичайний користувач;

в списку доступу документа йому або групі, до якої він належить, не заборонено цей доступ (тобто користувач або група не вказані в переліку заборон з відповідним видом доступу);

в списку доступу документа йому або групі, до якої він належить, надано цей доступ (тобто користувач або група вказані в переліку дозволів з відповідним видом доступу).

Власник бази має особливі повноваження щодо доступу до документів, які містяться в „його базі. Ці повноваження не залежать від списку доступу бази.

Якщо користувач є власником бази, в якій міститься документ, він отримує до документа такі види доступу:

читання атрибутів доступу;

запис власника;

запис рівня доступу;

запис списку доступу;

запис списку аудита.

Крім цього, встановлюються обмеження, які не дозволяють звичайним користувачам керувати доступом до документів.

Звичайні користувачі не можуть отримати такі види доступу до документів:

читання атрибутів доступу;

запис власника;

запис рівня доступу;

запис списку доступу;

запис списку аудита.

Для виконання вимог до друку експорту та документів в системі діє ще одне правило.

Якщо документ має рівень доступу цілком конфіденційно, користувач отримує доступ на друк або збереження документа у файлі лише за умови введення паролю.

.3.7.3. Правила розмежування доступу до даних захисту

Доступ до даних захисту слід надавати відповідно до ролі користувача.

Права на читання та запис даних у базу даних захисту та право на перегляд журналу захисту повинен мати лише користувач із роллю Адміністратор безпеки.

Право на читання та зміни значень параметрів конфігурації КЗЗ, безпосередньо повязаних із керуванням доступом, повинен мати лише користувач із роллю Адміністратор безпеки. Права на читання та зміну значень інших параметрів конфігурації КЗЗ, права на читання даних про поточну поведінку КЗЗ та права на оперативне керування КЗЗ повинні мати користувачі з ролями Адміністратор безпеки та Системний адміністратор відповідно до розподілу обовязків, який визначається „Планом захисту інформації.

.3.8. Правила адміністрування КЗЗ

Коригування переліку користувачів із їхніми атрибутами доступу здійснює адміністратор безпеки.

Коригування атрибутів доступу файлів та папок здійснює адміністратор безпеки.

В окремих випадках атрибути доступу файлів та папок може встановлювати системний адміністратор за узгодженням з адміністратором безпеки. Порядок узгодження повинен визначатись „Планом захисту інформації.

Для всіх користувачів АСВТЗІ заповнюються облікові картки (поза машинні документи), на підставі яких адміністратор безпеки вводить, змінює або видаляє інформацію про користувача.

Інсталяцію та поновлення всіх програмних засобів здійснює системний адміністратор. Усі роботи, які прямо чи опосередковано можуть вплинути на захищеність інформації (у тому числі ті, що стосуються програмних засобів КЗЗ), проводяться за узгодженням з адміністратором безпеки. Порядок узгодження повинен визначатись документом „Планом захисту інформації .

Повсякденні обовязки щодо адміністрування (відстеження потенційно небезпечних подій, усунення збійних ситуацій тощо) виконують адміністратор безпеки та системний адміністратор. Розподіл обовязків між ними визначається „Планом захисту інформації.

4.3.9. Реєстрація дій користувачів

КЗЗ повинен вести журнал захисту та надавати адміністратору безпеки зручні засоби його перегляду та настроювання.

Засоби реєстрації повинні забезпечувати можливість реєстрації всіх важливих із точки зору безпеки інформації подій (див. перелік подій у п. 4.2.6).

У випадку виникнення небезпечної події КЗЗ повинен повідомити про це адміністратора безпеки. Для цього можуть використовуватись такі засоби:

створення на жорсткому диску файлу із відповідною інформацією;

друк повідомлення на принтері;

звуковий сигнал.

.3.10. Правила маркування носіїв

Маркування паперових та машинних носіїв секретної інформації має проводитись відповідно до документа „Порядок організації та забезпечення режиму секретності в органах державної влади, органах місцевого самоврядування, на підприємствах, в установах та організаціях.

Необхідно забезпечити можливість автоматичного маркування документів згідно з рівнем доступу під час друку документів.

.4. Вимоги до КСЗІ у частині захисту інформації від витоку технічними каналами

Захист ІзОД, яка циркулюватиме в АСВТЗІ, від витоку технічними каналами повинен досягатись шляхом створення на обєкті інформаційної діяльності (приміщенні № 5), де встановлена вказана автоматизована система, комплексу технічного захисту інформації, який є невідємною складовою КСЗІ АСВТЗІ.

КТЗІ на ОІД необхідно створювати відповідно вимог нормативних документів, перелік яких наведено в п. 2.3 цього Технічного завдання.

Захист інформації від витоку технічними каналами передбачає:

аналіз умов функціонування АСВТЗІ, її розташування на ОІД та відносно межі контрольованої зони;

виявлення каналів можливого витоку інформації;

розробку заходів із технічного захисту інформації, обґрунтування та вибір технічних рішень із ТЗІ, впровадження КТЗІ на ОІД, розробку необхідної документації;

проведення атестаційних випробувань КТЗІ.

.4.1. Загальні вимоги до обєктів, що захищаються

До обєктів що захищаються повинні висуватися наступні вимоги:

реалізація захищеності ІзОД повинна досягатись без застосування екранування приміщення та активних засобів захисту інформації;

використання пасивних засобів захисту ІзОД у разі виявлення наведених інформативних сигналів у мережі електроживлення, лініях звязку і сигналізації та на інших лініях, які мають вихід за межі контрольованої зони;

забезпечення АСВТЗІ автономним контуром заземлення.

Роботи повинні проводитись відповідно до нормативно-правових актів та нормативних документів з питань технічного захисту інформації, перелік яких наведено в п. 2.3.

Для захисту ІзОД від витоку технічними каналами повинні використовуватися пасивні засоби ТЗІ згідно із Переліком засобів загального призначення, які дозволені для забезпечення технічного захисту інформації, необхідність охорони якої визначено законодавством України.

Всі технічні системи та засоби можуть встановлюватись на ОІД за умови сумісності із існуючими засобами захисту та попереднього проведення спеціальних досліджень.

.4.2. Вимоги до КТЗІ щодо захисту ІзОД від витоку каналами ПЕМВН

Для захисту ІзОД від її витоку каналами ПЕМВН необхідно передбачити наступні технічні заходи захисту:

на лінію електроживлення, від якої здійснюється електроживлення всіх компонентів, встановлюється мережевий завадозаглушувальний фільтр та розподільчий трансформатор. Вказані пристрої встановлюються відповідно вимог своєї технічної документації на максимально можливі відстані від АСВТЗІ. Технічні характеристики стосовно їх потужності повинні відповідати потужності споживання технічних засобів підключених до них;

обладнати всі компоненти АСВТЗІ та технічні засоби захисту окремим контуром заземлення опір якого відповідно вимог ТР ЕОТ-95 повинен бути не більше 4 Ом;

на ОІД видалити всі незадіяні лінійні комунікації;

унеможливити проходження біля компонентів АСВТЗІ будь яких ліній та комунікацій, які мають вихід за межі контрольованої зони, на відстані, яка не забезпечує захищеність інформації від її витоку за рахунок наведень на них інформативних сигналів. У разі неможливості видалення вказаних ліній та комунікацій, провести їх екранування. Екрани повинні буди підключені до контуру заземлення;

.4.3. Вимоги до КТЗІ щодо захисту ІзОД від витоку радіотехнічним каналом

Захист ІзОД від витоку радіотехнічним каналом повинен передбачати:

унеможливлення організаційними та інженерно-технічними заходами несанкціонованого проникнення на ОІД сторонніх осіб з метою встановлення пристроїв технічної розвідки (відеопередавачів);

встановлення на ОІД лише технічних засобів, які пройшли спеціальну перевірку на предмет наявності в них приховано встановлених пристроїв технічної розвідки;

унеможливлення встановлення на лінійно-кабельні комунікації, комунікації життєзабезпечення, які виходять за межі ОІД пристроїв технічної розвідки;

перевірки приміщення ОІД, лінійно-кабельних комунікацій, комунікацій життєзабезпечення, які виходять за межі ОІД, на наявність приховано встановлених пристроїв технічної розвідки (відеопередавачів);

унеможливлення після створення КСЗІ та введення в дію АСВТЗІ встановлення на ОІД будь яких технічних засобів, меблів та предметів інтерєру, які попередньої не пройшли спеціальної перевірки на наявність приховано встановлених пристроїв технічної розвідки (відеопередавачів).

.3.4. Вимоги до КТЗІ щодо захисту ІОДД від її витоку за рахунок візуально-оптичного каналу

Блокування візуально-оптичного каналу повинно передбачати обладнання вікон ОІД непрозорими шторами або жалюзями, які повинні унеможливити огляд ОІД ззовні незалежно від поверху та наявності розташованих навпроти будинків.

.4. Середовище функціонування

Вимоги до середовища функціонування викладено в розділі 3 цього ТЗ.

.5 Вимоги до виявлення та блокування розповсюдження вірусів

Виявлення та блокування розповсюдження вірусів в АСВТЗІ необхідно реалізовувати адміністративно-організаційними, апаратними, програмними та програмно-апаратними способами. До адміністративно-організаційних слід віднести заборону можливості встановлення та виконання програм, що не відносяться до складу АСВТЗІ.

Підсистема антивірусного захисту повинна забезпечувати:

функціонування в автоматичному режимі;

блокування проникнення компютерних вiрусiв зі змінних носіїв інформації та несанкцiоновано розповсюджуваних виконавчих файлів;

лікування (або видалення) компютерних вiрусів з занесенням iнформацiї про це у відповідні протоколи КЗЗ;

автоматичне оновлення антивірусного П3;

блокування доступу користувачів до зараженої інформації.

. Вимоги до складу проектної та експлуатаційної документації

За результатами виконання робіт зі створення КСЗІ має бути розроблено наступні документи:

Автоматизована система відділу технічного захисту інформації Видавництва «Книгоман». Комплексна система захисту інформації. План захисту інформації;

Автоматизована система відділу технічного захисту інформації Видавництва «Книгоман». Комплексна система захисту інформації. Техноробочий проект;

Паспорт-формуляр на автоматизовану систему класу 2 відділу технічного захисту інформації Видавництва «Книгоман»;

Положення про службу захисту інформації в автоматизованій системі класу 2 відділу технічного захисту інформації Видавництва «Книгоман»;

Інструкція користувачу автоматизованої системи класу 2 відділу технічного захисту інформації Видавництва «Книгоман»;

Інструкція з адміністрування системи автоматизованої системи класу 2 відділу технічного захисту інформації Видавництва «Книгоман»;

Інструкція з режимних заходів щодо захисту інформації під час її обробки в автоматизованій системі класу 2 відділу технічного захисту інформації Видавництва «Книгоман» (далі - Інструкція з режимних заходів);

Інструкція з правил видачі вилучення та зберігання персональних ідентифікаторів користувачів автоматизованої системи класу 2 відділу технічного захисту інформації Видавництва «Книгоман»;

Інструкція по правилам управління паролями в автоматизованій системі класу 2 відділу технічного захисту інформації Видавництва «Книгоман»;

Інструкція про порядок оперативного відновлення функціонування автоматизованої системи класу 2 відділу технічного захисту інформації Видавництва «Книгоман»;

Автоматизована система відділу технічного захисту інформації Видавництва «Книгоман». Комплексна система захисту інформації. Програма та методики випробувань.

Деякі експлуатаційні документи на КСЗІ можуть бути замінені відповідними документами, що входять до експлуатаційної документації на засоби захисту, що застосовуються в КСЗІ.

6. Вимоги до забезпечення режимних заходів у процесі розробки КСЗІ

Під час виконання робіт зі створення та випробувань КСЗІ повинні забезпечуватись заходи щодо унеможливлення ознайомлення зі змістом всіх робіт сторонніми особами, які не будуть приймати участь в обробці ІзОД за допомогою АСВТЗІ.

. Етапи виконання робіт

Етапи виконання робіт при створенні КСЗІ наведено в таблиці 7.1.

Таблиця 7.1.

№ Найменування робітВиконавець1Розробка технічного завдання та його узгодження з Державною службою спеціального звязку та захисту інформації України2Проведення заходів щодо захисту інформації від витоку технічними каналами3Проведення заходів щодо захисту інформації від несанкціонованого доступу4Розробка експлуатаційної документації на КСЗІ5Розробка „Програми та методики випробувань6Розробка експлуатаційних документів КСЗІ7Проведення попередніх випробувань і передача КСЗІ в дослідну експлуатацію8Навчання користувачів9Дослідна експлуатація1Підготовка комплекта документів для проведення експертизи КСЗІ

. Порядок внесення змін і доповнень до технічного завдання

Зміни до затвердженого технічного завдання на створення КСЗІ в АСВТЗІ, необхідність внесення яких виявлена в процесі виконання робіт, оформлюються окремим доповненням, яке погоджується і затверджується в тому ж порядку і на тому ж рівні, що і основний документ.

Доповнення до технічного завдання на створення КСЗІ складається із вступної частини і змінених розділів. У вступній частині зазначається причина складання доповнення. У змінених розділах наводяться номери та зміст змінених розділів та/або пунктів, що скасовуються.

. Порядок контролю та приймання КСЗІ

Приймання робіт повинно здійснюватись комісією, призначеною Замовником, відповідно до узгодженої програми згідно з вимогами ГОСТ 34.201-89, РД-50-34.698-90.

.1. Порядок проведення попередніх випробувань

Метою випробувань є встановлення відповідності досягнутого в АСВТЗІ рівня захищеності інформації вимогам ТЗ та визначення готовності до експлуатації.

Порядок проведення випробувань КСЗІ АСВТЗІ має відповідати вимогам НД ТЗІ 2.1-002-2007 та визначатись відповідними угодами між Замовником та Виконавцем. Випробування здійснюється відповідно до програм та методик, що розроблюються Виконавцем та затверджуються Замовником. Обсяг випробувань має бути достатнім для вичерпної оцінки усіх показників захисту інформації.

Оцінку результатам випробувань дає комісія, яку призначає Замовник, за участю Виконавця.

Після завершення випробувань затверджуються акт приймання до дослідної експлуатації.

.2. Експертиза КСЗІ

Експертиза КСЗІ може проводиться одночасно з попередніми випробуваннями.

Експертиза КСЗІ АСВТЗІ проводиться згідно з Положенням про державну експертизу в сфері технічного захисту інформації.

ТЕХНІЧНЕ ЗАВДАННЯ СКЛАВ:

Найменування організаціїПосада виконавцяПрізвище та ініціалиПідписДатаСлід7.Складання техноробочого проекту створення КСЗІ

ЗАТВЕРДЖУЮ

Директор Видаавництва «Книгоман»

________________І.І.Кірик

____ ________ 2013 року

АВТОМАТИЗОВАНА СИСТЕМА ВІДДІЛУ ТЕХНІЧНОГО ЗАХИСТУ ІНФОРМАЦІЇ ВИДАВНИЦТВА «Книгоман» (шифр - «АСВТЗІ»)

КОМПЛЕКСНА СИСТЕМА ЗАХИСТУ ІНФОРМАЦІЇ

(шифр - КСЗІ «АСВТЗІ»)

ТЕХНОРОБОЧИЙ ПРОЕКТ

Київ - 2013

1. Відомість проектної документації до Техноробочого проекту КСЗІ в АСВТЗІ

№ п/пНайменуванняКількість аркушівПримітка1Перелік відомостей, що відносяться до конфіденційної інформації Видавництва «Книгоман» та якій надається гриф обмеження доступу12Акт визначення вищого ступеню обмеження доступу інформації, яка циркулюватиме на обєкті інформаційної діяльності - приміщення № 5 відділу технічного захисту інформації видавництва «Книгоман»13Акт обстеження середовищ функціонування автоматизованої системи на обєкті інформаційної діяльності - приміщення № 5 відділу технічного захисту інформації Видавництва «Книгоман»24Модель загроз для інформації, яка планується до циркуляції в автоматизованій системі класу 2 на обєкті інформаційної діяльності - приміщення № 5 Видавництва «Книгоман»195Політика безпеки інформації, яка циркулює в автоматизованій системі класу 2 Видавництва «Книгоман»66Автоматизована система відділу технічного захисту інформації Видавництва «Книгоман». Комплексна система захисту інформації. План захисту інформації127Автоматизована система відділу технічного захисту інформації Видавництва «Книгоман». Комплексна система захисту інформації. Технічне завдання198Автоматизована система відділу технічного захисту інформації Видавництва «Книгоман». Комплексна система захисту інформації. Техноробочий проект109Автоматизована система відділу технічного захисту інформації Видавництва «Книгоман». Комплексна система захисту інформації. Програма та методики випробувань.710Протокол попередніх випробувань комплексної системи захисту інформації в автоматизованій системі класу 1 відділу технічного захисту інформації Видавництва «Книгоман»511Акт повноти виконаних заходів із захисту інформації при створенні комплексної системи захисту інформації в автоматизованій системі класу 1 відділу технічного захисту інформації Видавництва «Книгоман»412Акт про приймання комплексної системи захисту інформації в автоматизованій системі класу 1 відділу технічного захисту інформації Видавництва «Книгоман» у дослідну експлуатацію213Акт про завершення дослідної експлуатації комплексної системи захисту інформації в автоматизованій системі класу 1 відділу технічного захисту інформації Видавництва «Книгоман» у дослідну експлуатацію2

2. Відомість експлуатаційної документації до Техноробочого проекту КСЗІ в АСВТЗІ

№ п/пНайменуванняКількість аркушівПримітка1Паспорт-формуляр на автоматизовану систему класу 2 відділу технічного захисту інформації Видавництва «Книгоман»152Положення про службу захисту інформації в автоматизованій системі класу 2 відділу технічного захисту інформації Видавництва «Книгоман»53Інструкція користувачу автоматизованої системи класу 1 відділу технічного захисту інформації Видавництва «Книгоман»84Інструкція з адміністрування системи автоматизованої системи класу 2 відділу технічного захисту інформації Видавництва «Книгоман»115Інструкція з режимних заходів щодо захисту інформації під час її обробки в автоматизованій системі класу 2 відділу технічного захисту інформації Видавництва «Книгоман»126Інструкція з правил видачі вилучення та зберігання персональних ідентифікаторів користувачів автоматизованої системи класу 2 відділу технічного захисту інформації Видавництва «Книгоман»127Інструкція по правилам управління паролями в автоматизованій системі класу 2 відділу технічного захисту інформації Видавництва «Книгоман»68Інструкція про порядок оперативного відновлення функціонування автоматизованої системи класу 2 відділу технічного захисту інформації Видавництва «Книгоман»5

3. Пояснювальна записка до Техноробочого проекту

комплексної системи захисту інформації автоматизованої системи класу 2

відділу технічного захисту інформації Видавництва «Книгоман»

.1 Позначення і скорочення

В цьому Техноробочому проекті використовуються такі позначення і скорочення:

АСВТЗІ - автоматизована система класу 1 відділу технічного захисту інформації;

ІзОД - інформація з обмеженим доступом;

НСД - несанкціонований доступ;

ПЕМВН - побічні електромагнітні випромінювання і наводки;

ОІД - обєкт інформаційної діяльності;

КСЗІ - комплексна система захисту інформації;

ОТЗ - основні технічні засоби;

ДТЗ - допоміжні технічні засоби;

ТЗІ - технічний захист інформації;

ПМА - програма і методика випробувань;

ЖМД - жорсткий магнітний диск;

ГМД - гнучкий магнітний диск;

НСД - несанкціонований доступ;

НД ТЗІ - нормативний документ системи технічного захисту інформації;

КЗЗ - комплекс засобів захисту.

3.2 Загальні відомості

Повна назва: Комплексна система захисту в автоматизованій системі класу 2 обєкту інформаційної діяльності - приміщення № 5 відділу технічного захисту інформації Видавництва «Книгоман».

Розробка КСЗІ в АСВТЗІ є складовою частиною робіт з впровадження АСВТЗІ в діяльність, що виконуються між Видавництва «Книгоман» і ТОВ «Слід».

Замовник: Видавництва «Книгоман»

Виконавець: ТОВ «Слід»;

Підставою для виконання робіт по створенню КСЗІ в АСВТЗІ є Технічне завдання на створення КСЗІ в АСВТЗІ.

Організаційні та організаційно-технічні заходи щодо захисту інформації в АСВТЗІ що зазначені в цьому Техпроекті здійснюються у період з 16.04.2011 року по 30.06.2011 року.

Фінансування робіт здійснюється за рахунок коштів передбачених для технічного захисту інформації в Видавництва «Книгоман».

Порядок оформлення та предявлення Замовнику результатів виконання робіт зі створення КСЗІ в АСВТЗІ визначається вимогами:

НД ТЗІ 1.1-002-1999 „Загальні положення щодо захисту інформації в компютерних системах від несанкціонованого доступу.

НД ТЗІ 1.1-003-1999 „Термінологія в галузі захисту інформації в компютерних системах від несанкціонованого доступу.

НД ТЗІ 3.6-001-2000 „Порядок створення, впровадження, супроводження та модернізації засобів технічного захисту інформації від несанкціонованого доступу.

НД ТЗІ 1.4-001-2000 „Типове положення про службу захисту інформації в автоматизованій системі.

НД ТЗІ 3.7-003-2005 „Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі.

КСЗІ в АСВТЗІ призначена для:

забезпечення визначеної для АСВТЗІ політики безпеки інформації;

розмежування доступу користувачів АСВТЗІ до інформації різних категорій конфіденційності;

блокування несанкціонованих дій з ІзОД;

реєстрації спроб реалізації загроз інформації та сповіщення адміністраторів безпеки про факти несанкціонованих дій з ІзОД;

забезпечення спостереженості інформації шляхом контролю за діями користувачів АС 1 та реєстрації подій, які мають відношення до безпеки інформації;

підтримання цілісності критичних ресурсів АСВТЗІ;

організації обліку, зберігання та обігу матеріальних носіїв інформації, які використовуються в АСВТЗІ;

забезпечення управління засобами захисту КСЗІ та контролю за її функціонуванням.

захисту ІзОД від витоку її технічними каналами;

Під час проектування КСЗІ в АС 1 необхідно забезпечити:

заданий рівень захисту ІзОД, яка циркулюватиме в АСВТЗІ;

економічну доцільність прийнятих рішень.

Під час розробки КСЗІ враховується інформація яка наведена в документах перелік яких наведено в п. 1 цього Техноробочого проекту.

Відомості які зазначають структуру та склад АСВТЗІ, а саме:

структура та обладнання, що використовується в АСВТЗІ;

програмне забезпечення, що використовується в основних складових АСВТЗІ;

характеристика інформації та технологія її обробки в АСВТЗІ (характеристика інформаційного середовища);

характеристики фізичного середовища АСВТЗІ;

характеристики обслуговуючого персоналу АСВТЗІ;

користувачі, об'єкти, процеси та їх атрибути в АСВТЗІ,

наведені в Технічному завданні.

.3 Основні технічні рішення та заходи при створенні КСЗІ в АСВТЗІ

.3.1 Технічні заходи із захисту інформації в АСВТЗІ

Проведення інсталяції та перевірки робото здатності в АСВТЗІ наступного програмного забезпечення:

операційної системи Microsoft Windows XP SP-2;

драйвери системних пристроїв АСВТЗІ;

пакет прикладних програм Microsoft Office 2003;Office Visio 2007;

антивірусна програма NOD-32

Windows Comander 6.53;8.0.

Відповідальний: ________________

Відмітка про виконання: ________________

Підпис виконавця:________________

Встановлення на лінію електроживлення від якої здійснюється електроживлення всіх компонентів АСВТЗІ мережевого протизавадного фільтра М-17.

Відповідальний: ________________

Відмітка про виконання: ________________

Підпис виконавця:________________

Встановлення на лінію охоронної сигналізації протизавадного фільтра М-9.

Відповідальний: ________________

Відмітка про виконання: ________________

Підпис виконавця:________________

Підключення всіх компонентів АСВТЗІ до контуру заземлення.

Відповідальний: ________________

Відмітка про виконання: ________________

Підпис виконавця:________________

Проведення робіт щодо пошуку в приміщенні можливо потай встановлених пристроїв технічної розвідки (відеопередавачів).

Відповідальний: ________________

Відмітка про виконання: ________________

Підпис виконавця:________________

3.3.2 Будівельно-монтажні роботи із захисту інформації в АС

Обладнання віконного отвору металевими гратами відповідно вимог п.п 4.1.2 Технічного завдання на створення КСЗІ

Відповідальний: ________________

Відмітка про виконання: ________________

Підпис виконавця:________________

Обладнання віконного отвору непрозорими шторами.

Відповідальний: ________________

Відмітка про виконання: ________________

Підпис виконавця:________________

3.3.3 Організаційні заходи із захисту інформації в АС

Складання Інструкції користувачу АСВТЗІ в якій повинно бути відображено наступні заходи:

порядок допуску осіб до проведення робіт з ІзОД в АСВТЗІ;

порядок дій користувача щодо обробки ІзОД за допомогою АСВТЗІ;

відповідальність користувача під час їх поводження з ІзОД.

Відповідальний: ________________

Відмітка про виконання: ________________

Підпис виконавця:________________

Складання Інструкції з адміністрування системи АСВТЗІ в якій обовязково повинно бути зазначено:

порядок дій адміністратора безпеки;

порядок дій системного адміністратора;

порядок дій адміністратора документів

Відповідальний: ________________

Відмітка про виконання: ________________

Підпис виконавця:________________

Складання Інструкції по правилам видачі, вилучення та обліку персональних ідентифікаторів в якій повинно бути зазначено:

порядок видачі персональних ідентифікаторів;

порядок вилучення персональних ідентифікаторів;

порядок обліку персональних ідентифікаторів;

порядок зберігання персональних ідентифікаторів.

Відповідальний: ________________

Відмітка про виконання: ________________

Підпис виконавця:________________

Складання Інструкції по правилам управління паролями в АСВТЗІ в який повинно бути зазначено:

порядок присвоєння реєстраційних (системних) імен користувачів;

порядок видачі паролів користувачам;

порядок зміни паролів та реєстраційних (системних) імен користувачів;

порядок вилучення паролів;

склад імен та паролів;

обовязки користувача під час поводження користувачів з паролями.

Відповідальний: ________________

Відмітка про виконання: ________________

Підпис виконавця:________________

Складання Інструкції з режимних заходів захисту інформації під час її циркуляції в АСВТЗІ в який повинно бути зазначено:

загальні вимоги до організації обробки конфіденційної інформації в АСВТЗІ;

порядок дій користувачів щодо забезпечення режимних заходів захисту конфіденційної інформації;

порядок друку і обліку користувачами документів, які містять ІзОД;

порядок знищення або збереження ІзОД, яка міститься на машинних носіях;

порядок обліку файлів які містять ІзОД, на машинному носії інформації;

порядок обліку машинного носія інформації;

відповідальність користувача.

Відповідальний: ________________

Відмітка про виконання: ________________

Підпис виконавця:________________

Складання Інструкції про порядок оперативного відновлення функціонування автоматизованої системи класу 2 відділу технічного захисту інформації Видавництва «Книгоман» в який повинно бути зазначено:

порядок дій користувачів, представників служби захисту інформації в АСВТЗІ та начальника спеціального відділу під час збоїв програмного забезпечення АСВТЗІ;

порядок дій користувачів, представників служби захисту інформації в АСВТЗІ та начальника спеціального відділу під час ремонту, модернізації та технічного обслуговування компонентів АСВТЗІ;

порядок протидії компютерним вірусам.

Відповідальний: ________________

Відмітка про виконання: ________________

Підпис виконавця:________________

3.4 Показники захищеності АСВТЗІ від НСД

Відповідно відомостей наведених в Технічному завданні для АС необхідно реалізувати функціональний профіль захищеності.

Реалізацію вказаного функціонального профілю буде здійснювати застосована система захисту інформації, яка повинна реалізувати наступні основні функції:

ідентифікацію та аутентифікацію користувачів під час завантаження операційної системи з ЖМД та блокування використання АСВТЗІ сторонньою особою;

блокування завантаження операційної системи АСВТЗІ з ГМД або CD-ROM;

розмежування обовязків користувачів та визначення декількох ролей адміністраторів, які можуть виконувати різні функції адміністрування КЗЗ;

розмежування доступу користувачів до каталогів та файлів, що в них знаходяться;

керування потоками інформації та блокування інформаційних потоків, що призводять до втрати або знищення рівня конфіденційності інформації;

контроль за друком документів;

контроль за експортом інформації на змінні носії інформації;

гарантоване видалення конфіденційної інформації шляхом затирання змісту файлів при їх видаленні;

розмежування доступу прикладних програм до виділених каталогів та до файлів, які в них зберігаються;

контроль цілісності програмного забезпечення та блокування завантаження незареєстрованих програм і програм, цілісність яких порушена;

контроль за використанням дискового простору користувачами;

блокування пристроїв інтерфейсу користувача на час його відсутності;

реєстрацію в спеціальних журнальних файлах таких подій, що мають відношення до безпеки, як:

завантаження операційної системи користувачем та завершення сеансу роботи;

реєстрацію спроб несанкціонованих подій з ІзОД;

запуск програм;

доступ до ІзОД;

відновлення функціонування КЗЗ після збоїв;

адміністрування (реєстрацію користувачів, визначення захищених ресурсів та прав доступу до них, обробку журнальних файлів тощо).

3.5 Порядок постачання засобів захисту інформації та/або розробки технічних вимог (технічних завдань) на їх розробку

Організація постачання та впровадження в АСВТЗІ технічних засобів захисту здійснюється відділом технічного захисту інформації Видавництва «Книгоман».

3.6 Порядок проведення тестування, пусконалагоджувальних робіт та проведення попередніх випробувань КСЗІ в АСВТЗІ

Пусконалагоджувальні роботи включають в себе виконання технічних та організаційних заходів захисту інформації що передбачені в п.3 цієї Пояснювальної записки до Техпроекту.

Попередні випробування проводяться після виконання в повному обсязі пусконалагоджувальних робіт.

Попередні випробування проводяться згідно з програмою та методиками випробувань КСЗІ. Програму й методики випробувань готує Виконавець та погоджує її з директором Видавництва «Книгоман».

Попередні випробування організовується відділом технічного захисту інформації Видавництва «Книгоман». Під час попередніх випробувань КСЗІ в АСВТЗІ проводиться перевірка достатності вжитих організаційних, організаційно-технічних та технічних заходів щодо блокування всіх виявлених технічних каналів витоку ІзОД, шляхів НСД до ІзОД та загроз ІзОД в АСВТЗІ.

Спеціалістами відділу технічного захисту інформації Видавництва «Книгоман» за результатами попередніх випробувань оформляється Протокол випробувань, де міститься висновок щодо можливості прийняття КСЗІ у дослідну експлуатацію, а також перелік виявлених недоліків, необхідних заходів з їх усунення, і рекомендовані терміни виконання цих робіт.

Після усунення недоліків у випадку їх наявності та коригування проектної, робочої, експлуатаційної документації КСЗІ оформлюється акт про приймання КСЗІ у дослідну експлуатацію.

3.7 Порядок адаптації засобів захисту до умов функціонування КСЗІ

Режим роботи всіх компонентів АСВТЗІ, пристроїв захисту повинен забезпечувати надійну їх роботу та забезпечувати захист інформації з урахуванням фізичного та кліматичного середовища розташування.

3.8 Схеми розміщення АСВТЗІ, кабельного обладнання, мереж живлення та систем заземлення

Монтаж компонентів АСВТЗІ на ОІД повинен відповідати вимогам нормативних документів з ТЗІ.

Встановлення (монтаж) біля АСВТЗІ будь яких технічних пристроїв (засобів) на відстані менш ніж 1,5 метрів або прокладання будь-яких ліній та кабелів на відстані менш ніж 1 метр - заборонено.

3.9 Заходи щодо підготовки КСЗІ до введення у дію

Для введення КСЗІ в дію необхідно виконати наступні заходи:

провести налагодження всіх механізмів розмежування доступу користувачів до інформації та апаратних ресурсів АСВТЗІ на ту кількість, яка визначена відповідними списками;

визначити порядок контролю за діями користувачів;

визначити порядок контролю цілісності програмного забезпечення та баз даних захисту в АСВТЗІ;

визначити порядок навчання і підвищення кваліфікації персоналу, який має доступ до АСВТЗІ;

визначити заходи із перевірки кваліфікації користувачів та адміністраторів безпеки АСВТЗІ.

3.10 Порядок проведення експертизи КСЗІ в АС 2

Експертиза КСЗІ в АСВТЗІ проводиться фірмою-ліцензіатом яка має відповідну ліцензію на виконання вказаних робіт від Адміністрації Державної служби спеціального звязку та технічного захисту інформації України.

Після проведеної експертизи на КСЗІ в АСВТЗІ відповідним чином видається Атестат відповідності КСЗІ.

8.Підготовка КСЗІ до введення в дію

ЗАТВЕРДЖУЮ

Директор Видавництва «Книгоман»

________________І.І.Кірик

____ ________ 2013 року

ПАСПОРТ-ФОРМУЛЯР

на автоматизовану систему класу 2 відділу технічного захисту інформації Видавництва «Книгоман»

В цьому документі використовуються наступні позначення і скорочення:

АС -автоматизована система;АСВТЗІ -автоматизована система відділу технічного захисту інформації ВИДАВНИЦТВО «Книгоман»;ДТЗС -допоміжні технічні засоби та системи;ІзОД -інформація з обмеженим доступом;КЗЗ -комплекс засобів захисту;КСЗІ -комплексна система захисту інформації;КТЗІ -комплекс технічного захисту інформації;НСД -несанкціонований доступ;ОІД -обєкт інформаційної діяльності;ОС -обчислювальна система;ОТЗ -основні технічні засоби;ПЕМВН -побічні електромагнітні випромінювання та наведення;ПЗ -програмне забезпечення;СЗІ -служба захисту інформації;ТЗІ -технічний захист інформації;ТЗ -технічне завдання.

. Загальні положення

.1. Паспорт - формуляр (далі - Паспорт) на автоматизовану систему класу 2 відділу технічного захисту інформації Видавництва «Книгоман».

.2. Безпосередня відповідальність за ведення Паспорту покладається на керівника СЗІ в АСВТЗІ.

Заповнювати та вносити зміни до Паспорта мають право тільки представники СЗІ на підставі звітних документів.

. Загальні відомості про ОІД, на якому знаходиться АСВТЗІ

.1. ОІД - приміщення № 5 Видавництва «Книгоман» розташовано на 1-му поверсі корпусу № 2 ВАТ „Тигр адресою: місто Київ,вул.. Київська, 1.

.2. Характеристика приміщення, у якому розташовано ОІД:

зовнішні стіни - цегельні, товщина яких становить 500 мм;

внутрішні стіни - цегельні, товщина яких становить 450 мм;

підлога - залізобетонні плити, вкрита лінолеумом;

стеля - залізобетонні плити, вкрита лінолеумом;

кількість вікон - відсутні;

кількість вхідних дверей - одні;

двері - деревяні, оббиті залізними листами, обладнані замковими пристроями та датчиками охоронної сигналізації

.3. Згідно з Актом визначення вищого ступеню обмеження доступу інформації, яка циркулюватиме на обєкті інформаційної діяльності - приміщення № 5 відділу технічного захисту інформації Видавництва «Книгоман» від 12.04.11 на ОІД здійснюються такі види інформаційної діяльності:

.3.1. Обробка (перетворення, відображення, накопичення, друк) інформації з обмеженим доступом за допомогою АСВТЗІ з вищим грифом обмеження доступу цілком конфіденційно.

.3.2. Робота з паперовими документами, що містять інформацію з вищим грифом обмеження доступу цілком конфіденційно

.4. ОІД обладнано такими системами життєзабезпечення:

система міського телефонного звязку;

система охоронної сигналізації; система пожежної сигналізації;

система електроживлення;

система опалення;

система заземлення.

Лінія міського телефонного звязку прокладена по стінах неекранованими проводами і має вихід за межі контрольованої зони Видавництва «Книгоман» до приміщення АТЗ ТОВ „ОГО де вона підходить до АТЗ.

Лінія пожежної сигналізації прокладена постелі та стінах неекранованими проводами до пульта пожежної сигналізації, який встановлено в службовому приміщенні охорони на контрольно-пропускному пункті ВАТ „Тигр.

Лінія охоронної сигналізації прокладена по стінах неекранованими проводами до пульта охоронної сигналізації, який встановлено в службовому приміщенні охорони на контрольно-пропускному пункті ВАТ „Тигр.

Труби системи опалення встановлено під підвіконням та підводяться до внутрішньої котельні ВАТ „Тигр.

Кабель системи заземлення підключено до електричних розеток та виведено до контуру заземлення, який знаходиться в межах контрольованої зони ВАТ „Тигр.

Лінії електроживлення прокладено в стінах неекранованими мідними проводами та виводяться до електричного розподільчого щита, який знаходиться в межах контрольованої зони Видавництва «Книгоман». Від розподільчого щита кабель електроживлення прокладено до трансформаторної підстанції, яка знаходиться в межах контрольованої зони ВАТ „Тигр

.5. Схема розміщення ОІД в корпусі № 2 ВАТ „Тигр та відносно межі контрольованої зони Видавництва «Книгоман» наведено на рис. 2.5.1.

.6 Охорона корпусу № 2 та території ВАТ „Тигр в цілому здійснює відомча охорона відповідно розпоряджень та інструкцій ВАТ „Тигр.

.7. Схема розміщення меблів інтерєру, засобів технічного захисту, основних та допоміжних технічних засобів, на ОІД, наведено рис. 2.5.2.

. Призначення комплексної системи захисту інформації в АСВТЗІ:

КСЗІ в АСВТЗІ призначена для:

забезпечення визначеної для АСВТЗІ політики безпеки інформації;

розмежування доступу користувачів АСВТЗІ до інформації різних категорій конфіденційності;

блокування несанкціонованих дій з ІзОД;

реєстрації спроб реалізації загроз інформації та сповіщення адміністраторів безпеки про факти несанкціонованих дій з ІзОД;

забезпечення спостереженості інформації шляхом контролю за діями користувачів АСВТЗІ та реєстрації подій, які мають відношення до безпеки інформації;

підтримання цілісності критичних ресурсів АСВТЗІ;

організації обліку, зберігання та обігу матеріальних носіїв інформації, які використовуються в АСВТЗІ;

забезпечення управління засобами захисту КСЗІ та контролю за її функціонуванням.

захисту ІзОД від витоку її технічними каналами.

Рис. 2.5.1.

Рис. 2.5.2.

9.Попередні випробування КСЗІ

ЗАТВЕРДЖУЮ

Директор Видавництва «Книгоман»

________________І.І.Кірик

____ ________ 2013 року

АВТОМАТИЗОВАНА СИСТЕМА ВІДДІЛУ ТЕХНІЧНОГО ЗАХИСТУ ІНФОРМАЦІЇ ВИДАВНИЦТВА «Книгоман» (шифр - «АСВТЗІ»)

КОМПЛЕКСНА СИСТЕМА ЗАХИСТУ ІНФОРМАЦІЇ

(шифр - КСЗІ «АСВТЗІ»)

ПРОГРАМА ТА МЕТОДИКИ ВИПРОБУВАНЬ

1. Обєкт випробувань

Попереднім випробуванням за критеріями технічного захисту інформації (далі - ТЗІ) підлягає комплексна система захисту інформації (далі - КСЗІ) в автоматизованій системі класу 1 відділу технічного захисту інформації (далі - АСВТЗІ) ВИДАВНИЦТВО «Книгоман», яка знаходиться на обєкті інформаційної діяльності - приміщення № 1 відділу технічного захисту інформації ВИДАВНИЦТВО «Книгоман» за адресою: м. Київ, вул. Київськай, 1, корпус № 2.

.1. Комплектність обєкта випробувань

Під час випробувань має дотримуватися як комплектність засобів, що відносяться безпосередньо до КСЗІ, так і комплектність апаратних і програмних засобів, що не відносяться до КСЗІ.

Результати випробувань КСЗІ в АСВТЗІ діють лише за умови відповідності комплектності апаратних і програмних засобів, середовища користувачів, фізичного середовища, інформаційного середовища (інформації, що обробляється, і технології її обробки) - тим, що визначені у відповідних розділах цієї Програми та методики та Технічному завданні на створення КСЗІ в АСВТЗІ (далі - Технічне завдання).

.2. Апаратні засоби КСЗІ в АСВТЗІ

КСЗІ створена в АСВТЗІ у складі наведеному в таблиці 1.2.1.

Таблиця 1.2.1

№ п/пНайменуванняТипЗаводський (інвентарний) №АСВТЗІ у складі:1Cистемний блок:1.1ЖМДWestern Digital WD80WCAHL58415921.2ДисководSamsung SFD-3218P5IPB0907181.3материнська платаECS K7VTA3 v6996640E347203661.4ПроцессорAMD Athlon XP 1800 MHz1.5CD-RWLG GCE-8524B311HF1847081.6оперативна памятьHynix PC2700 512m73000271.7графічний адаптерRadeon 9200 SEH0401355141.8блок живленняCodegen 300Wб/н2МоніторSamsung SyncMaster 957MBPU19HVAWB09722B3Клавіатура4U Standart Keyboard0000159524Графічн. МаніпуляторA4 Tech Swop-3б/н5ПринтерHP Laser Jet M1120 MFPCND8831HJ2

1.3. Програмне забезпечення АСВТЗІ

В АСВТЗІ встановлено наступне програмне забезпечення:

операційна система Microsoft Windows XP SP-2;

драйвери системних пристроїв АСВТЗІ;

пакет прикладних програм Microsoft Office 2003;Office Visio 2007;

антивірусна програма NOD-32;

Windows Comander 6.53;8.0.

1.4. Завдання КСЗІ

КСЗІ в АСВТЗІ призначена для:

забезпечення визначеної для АСВТЗІ політики безпеки інформації;

розмежування доступу користувачів АСВТЗІ до інформації різних категорій конфіденційності;

блокування несанкціонованих дій з ІзОД;

реєстрації спроб реалізації загроз інформації та сповіщення адміністраторів безпеки про факти несанкціонованих дій з ІзОД;

забезпечення спостереженості інформації шляхом контролю за діями користувачів АСВТЗІ та реєстрації подій, які мають відношення до безпеки інформації;

підтримання цілісності критичних ресурсів АС;

організації обліку, зберігання та обігу матеріальних носіїв інформації, які використовуються в АС;

забезпечення управління засобами захисту КСЗІ та контролю за її функціонуванням.

захисту ІзОД від її витоку технічними каналами.

. Мета випробувань

Метою попередніх випробувань є визначення:

відповідності КСЗІ задачам, поставленим у Технічному завданні;

ступеня виконання вимог з ТЗІ, зазначених у Технічному завданні;

ступеня готовності АСВТЗІ, в якій створена КСЗІ, до експлуатації.

3. Загальні положення

.1. Перелік керівних документів з проведення випробувань:

НД ТЗІ 1.1-002-99 Загальні положення щодо захисту інформації в компютерних системах від несанкціонованого доступу;

НД ТЗІ 2.5-004-99 Критерії оцінки захищеності інформації в компютерних системах від несанкціонованого доступу;

НД ТЗІ 1.4-001-2000 Типове положення про службу захисту інформації в автоматизованій системі;

НД ТЗІ 2.5-007-2001 Вимоги до комплексу засобів захисту інформації, що становить державну таємницю, від несанкціонованого доступу при її обробці в автоматизованих системах класу 1;

НД ТЗІ 3.7-003-2005 „Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі;

Методика виявлення витоку мовної або видової інформації через закладні пристрої на обєктах інформаційної діяльності (розроблено ДП „Е-Консалтінг, з урахуванням апаратурного забезпечення) погоджено листом Держспецзвязку України від 26.12.07. № 9/4-2585

.2. Місце і тривалість випробувань

Випробування проводяться на обєкті інформаційної діяльності Видавництва «Книгоман», яке є замовником створення КСЗІ у терміни визначені Техпроектом комплексної системи захисту інформації в АСВТЗІ ТОВ.

3.3. Організації, що беруть участь у випробуваннях

Випробування КСЗІ в АСВТЗІ будуть проводити спеціалісти відділу технічного захисту інформації Видавництва «Книгоман» та ТОВ «Слід»

. Обсяг випробувань

.1. Етапи випробувань і перевірок

Перевірка КСЗІ на наявність функцій захисту інформації відповідно до Технічного завдання, повинна включати:

перевірку середовища функціонування АСВТЗІ;

перевірка експлуатаційної документації КСЗІ;

перевірку реалізації засобів захисту від витоку інформації з обмеженим доступом (далі - ІзОД), яка планується до циркуляції в АСВТЗІ, за рахунок побічних електромагнітних випромінювань та наведень (далі - ПЕМВН);

перевірку реалізації організаційних та організаційно-технічних заходів щодо блокування візуально-оптичного каналу витоку інформації;

перевірку реалізації організаційних, організаційно-технічних та технічних заходів щодо блокування радіотехнічного каналу витоку інформації;

перевірку реалізації захисту ІзОД в АСВТЗІ засобами захисту від НСД та блокування шляхів НСД до компонентів АСВТЗІ;

перевірку реалізації організаційних заходів щодо унеможливлення (блокування) загроз інформації, які можуть виникнути під час її циркуляції в АСВТЗІ.

4.1.1. Перевірка середовища функціонування АСВТЗІ

Перевірка середовища функціонування визначає повноту виконання вимог Технічного завдання щодо:

фізичного середовища АСВТЗІ;

середовища користувачів АСВТЗІ;

технології обробки інформації в АСВТЗІ;

інформаційного середовища АСВТЗІ.

4.1.1.1.Перевірка фізичного середовища включає в себе:

відповідність режиму доступу до приміщення № 5 вимогам Технічного завдання;

укомплектованість приміщення № 5 системами охоронної та пожежної сигналізації, звязку, допоміжними технічними засобами, іншими системами життєзабезпечення згідно вимог Технічного завдання.

4.1.1.2. Перевірка середовища користувачів визначає:

відповідність категорії користувачів АСВТЗІ до категорій і повноважень користувачів наведеним вимогам в Технічному завданні;

відсутність доступу до АСВТЗІ осіб, які не належать до визначених категорій;

наявність розроблених розпорядчих документів щодо правил пропускного режиму на контрольовану зону Видавництва «Книгоман», порядку доступу осіб в приміщення у якому розташовано АСВТЗІ та порядку доступу до АСВТЗІ.

4.1.1.3. Перевірка обчислювальної системи визначає:

відповідність комплектності, основних функціональних характеристик програмного забезпечення, технічних засобів обробки інформації та обладнання АСВТЗІ проектній та експлуатаційній документації КСЗІ в АСВТЗІ;

наявність у засобів захисту інформації, інших технічних засобів та програмного забезпечення АСВТЗІ, задіяних у складі КСЗІ, підтвердження їх відповідності нормативним документам із захисту інформації (атестат, сертифікат відповідності, експертний висновок) і відповідність їхнього використання вимогам, визначеним цими документами.

4.1.1.4. Перевірка технології обробки інформації за допомогою АСВТЗІ визначає:

відповідність задекларованої в Технічному завданні технології обробки інформації за допомогою АСВТЗІ впровадженому в експлуатаційній документації на КСЗІ порядку обробки інформації;

відповідність адміністрування операційної системи АСВТЗІ та комплексу засобів захисту від НСД технології обробки інформації за допомогою АСВТЗІ.

.1.1.5. Перевірка інформаційного середовища в АСВТЗІ:

відповідність категорій оброблюваної інформації в АСВТЗІ тим, що зазначені в Технічному завданні;

відповідність форми представлення інформації в АСВТЗІ тій, що визначена в Технічному завданні.

Результати проведеної перевірки викласти в Акті повноти виконання заходів з попередніх випробувань КСЗІ в АСВТЗІ.

4.1.2. Перевірка проектної та експлуатаційної документації на КСЗІ

Перевірка проектної та експлуатаційної документації на КСЗІ визначає перевірку відповідності складених проектних та експлуатаційних документів на КСЗІ переліку наведеному в Технічному завданні та Техпроекту КСЗІ;

перевірку повноти та вірності складених проектних та експлуатаційних документів щодо запровадження організаційних, організаційно-технічних та технічних заходів захисту інформації в АСВТЗІ відповідно вимог нормативних документів перелік яких наведено в п.п. 3.1.

Результати проведеної перевірки викласти в Акті повноти виконання заходів з випробувань КСЗІ в АСВТЗІ.

4.1.3. Перевірка реалізації в КСЗІ організаційних, організаційно-технічних та технічних заходів захисту від витоку технічними каналами

.1.3.1. Перевірка реалізації в КСЗІ організаційних, організаційно-технічних та технічних заходів захисту від витоку ІзОД, яка планується до циркуляції в АСВТЗІ, за рахунок ПЕМВН визначає:

перевірку відповідності монтажу всіх компонентів АСВТЗІ вимогам наведеним в наведеним в Технічному завданні;

перевірку роботоздатності системи заземлення та відповідності її опору заземлення ТР ЕОТ-95;

перевірку відповідності монтажу на лінію електроживлення від якої здійснюється електроживлення АСВТЗІ завадозаглушувального фільтра М-17 вимогам, які висуваються в технічній документації на вказаний пристрій;

перевірку відповідності монтажу на лінію охоронної та пожежної сигналізації завадозаглушувального фільтра М-9 вимогам, які висуваються в технічній документації на вказаний пристрій;

Результати проведеної перевірки викласти в Протоколі випробувань КСЗІ в АСВТЗІ.

4.1.3.2. Перевірка реалізації організаційних, організаційно-технічних та технічних заходів щодо блокування візуально-оптичного каналу.

Перевірка повинна визначити повноту виконання вимог Технічного завдання з реалізації захисту ІзОД від її витоку за рахунок візуально-оптичного каналу, а саме унеможливлення зняття інформації, яка виводиться на монітор АСВТЗІ, або яка циркулює на ОІД у вигляді паперових носіїв, засобами технічної розвідки ззовні ОІД через віконний отвір.

Результати проведеної перевірки викласти в Акті повноти виконання заходів з попередніх випробувань КСЗІ в АСВТЗІ.

4.1.3.3. Перевірка реалізації організаційних, організаційно-технічних та технічних заходів щодо блокування радіотехнічного каналу.

Перевірка визначає повноту виконання організаційних та організаційно-технічних заходів захисту інформації відповідно вимог Технічного завдання з реалізації захисту ІзОД від витоку радіотехнічним каналом.

Перевірка приміщення № 5 на можливо встановлених в ньому засобів технічної розвідки проводиться щодо виявлення можливо встановлених на ОІД мікровідеокамер, які можуть перехоплювати видову ІзОД, що виводиться на монітор АСВТЗІ та циркулює у вигляді паперових носіїв. Перевірка проводиться відповідно методики що наведена в п.п.3.1.

Результати проведеної перевірки викласти в Протоколі випробувань КСЗІ в АСВТЗІ.

.1.4. Перевірка блокування шляхів НСД до компонентів АСВТЗІ

Перевірка визначає:

відповідність впроваджених в експлуатаційних документах КСЗІ організаційних та організаційно-технічних заходів щодо унеможливлення (блокування) шляхів НСД сторонніх осіб до компонентів АСВТЗІ;

роботоздатність охоронної сигналізації приміщення № 5.

Результати проведеної перевірки викласти в Протоколі попередніх випробувань КСЗІ.

4.1.5. Перевірка блокування шляхів НСД до ІзОД, яка циркулюватиме в АСВТЗІ

Перевірка блокування шляхів НСД до ІзОД, яка циркулюватиме в АСВТЗІ передбачає:

відповідність проведеного адміністрування впровадженого КЗЗ в АСВТЗІ задекларованому в Технічному завданні функціональному профілю захищеності інформації в АСВТЗІ.

виконання множини послуг, що відповідають функціональному профілю захищеності та рівню гарантії, наведеному в Технічному завданні. Перевірка проводиться відповідно до вимог НД ТЗІ 1.1-002-99 Загальні положення щодо захисту інформації в компютерних системах від несанкціонованого доступу та НД ТЗІ 2.5-004-99 Критерії оцінки захищеності інформації в компютерних системах від несанкціонованого доступу.

Результати проведеної перевірки викласти в Протоколі попередніх випробувань КСЗІ.

4.1.6. Перевірка реалізації організаційних заходів щодо унеможливлення загроз ІзОД в АСВТЗІ

Перевірка включає в себе перевірку вжитих в експлуатаційних документах КСЗІ організаційних заходів щодо блокування (унеможливлення) загроз ІзОД під час її циркуляції в АСВТЗІ.

Результати проведеної перевірки викласти в Протоколі попередніх випробувань КСЗІ.

5. Умови і порядок проведення випробувань

.1. Умови проведення випробувань

Стан навколишнього середовища у процесі здійснення випробувань має бути в межах допустимих значень, наведених у технічних умовах на обладнання, що використовується в АСВТЗІ. Стан джерел енергозабезпечення має бути в межах допустимих значень, наведених у технічних вимогах до енергозабезпечення АСВТЗІ.

.2. Умови початку і завершення окремих етапів випробувань

Етапи випробувань визначаються у, послідовності наведеній у пункті 4 цієї Програми та методики.

Умовою завершення етапу випробувань є успішне виконання в повному обсязі перевірок, визначених цією Програмою і методикою. У разі виявлення суттєвих недоліків у реалізації окремої підсистеми, етап подовжується до усунення недоліків або розробки і впровадження рекомендацій щодо їх нейтралізації. Допускається паралельне виконання частини перевірок, що віднесені до різних етапів.

. Матеріально-технічне забезпечення випробувань

Для проведення пошуку пристроїв технічної розвідки буде використана наступна апаратура спеціального призначення:

автоматизований комплекс „Акор 1ПК зав. № 03703;

нелінійний локатор NR-? зав. № 03.08.100;

оптико-електронний виявлювач мікровідеокамер Алмаз зав. № 40155.

. Метрологічне забезпечення випробувань

Усі контрольно-вимірювальні прилади, які застосовуються при випробуванні пройшли державну повірку у травні 2010 року.

. Звітність

За підсумками попередніх випробувань оформлюються:

Протокол випробувань КСЗІ в АСВТЗІ;

Акт повноти виконаних заходів із захисту інформації при створенні КСЗІ в АСВТЗІ.

ЗАТВЕРДЖУЮ

Директор Видавництва «Книгоман»

________________І.І.Кірик

____ ________ 2013 року

ПРОТОКОЛ

попередніх випробувань комплексної системи захисту інформації в автоматизованій системі класу 2 відділу технічного захисту інформації ВИДАВНИЦТВА «Книгоман»

. Представниками служби захисту інформації, спеціального відділу ВИДАВНИЦТВА «Книгоман» та представником ТОВ «СЛІД». . було проведено попередні випробування створеної комплексної системи захисту інформації (далі - КСЗІ) в автоматизованій системі класу 2 відділу технічного захисту інформації (далі - АСВТЗІ), яка розміщена в приміщенні № 5 ВИДАВНИЦТВА «Книгоман» (далі - ОІД).

Підставою для проведення випробувань є Технічне завдання на створення КСЗІ в АСВТЗІ (далі - Технічне завдання).

. Вихідні данні

Вихідними даними для проведення випробувань КСЗІ є:

Перелік відомостей, що відносяться до конфіденційної інформації „ВИДАВНИЦТВА «Книгоман» та якій надається гриф обмеження доступу;

Акт визначення вищого ступеню обмеження доступу інформації, яка циркулюватиме на обєкті інформаційної діяльності - приміщення № 5 відділу технічного захисту інформації ВИДАВНИЦТВА «Книгоман»;

Акт обстеження середовищ функціонування автоматизованої системи на обєкті інформаційної діяльності - приміщення № 5 відділу технічного захисту інформації ВИДАВНИЦТВА «Книгоман»;

Модель загроз для інформації, яка планується до циркуляції в автоматизованій системі класу 2 на обєкті інформаційної діяльності - приміщення № 5 ВИДАВНИЦТВА «Книгоман»;

Політика безпеки інформації, яка циркулює в автоматизованій системі класу 2 ВИДАВНИЦТВА «Книгоман»;

Автоматизована система відділу технічного захисту інформації ВИДАВНИЦТВА «Книгоман». Комплексна система захисту інформації. План захисту інформації;

Автоматизована система відділу технічного захисту інформації ВИДАВНИЦТВА «Книгоман». Комплексна система захисту інформації. Технічне завдання (далі - Технічне завдання);

Автоматизована система відділу технічного захисту інформації ВИДАВНИЦТВА «Книгоман». Комплексна система захисту інформації. Техпроект (далі - Техноробочий проект);

Паспорт-формуляр на автоматизовану систему класу 2 відділу технічного захисту інформації ВИДАВНИЦТВА «Книгоман» (Паспорт-формуляр АСВТЗІ);

Положення про службу захисту інформації в автоматизованій системі класу 2 відділу технічного захисту інформації ВИДАВНИЦТВА «Книгоман» (далі - Положення про СЗІ);

Інструкція користувачу автоматизованої системи класу 2 відділу технічного захисту інформації ВИДАВНИЦТВА «Книгоман» (далі - Інструкція користувачу);

Інструкція з адміністрування системи автоматизованої системи класу 2 відділу технічного захисту інформації ВИДАВНИЦТВА «Книгоман» (далі - Інструкція з адміністрування);

Інструкція з режимних заходів щодо захисту інформації під час її обробки в автоматизованій системі класу 2 відділу технічного захисту інформації ВИДАВНИЦТВА «Книгоман» (далі - Інструкція з режимних заходів);

Інструкція з правил видачі вилучення та зберігання персональних ідентифікаторів користувачів автоматизованої системи класу 2 відділу технічного захисту інформації ВИДАВНИЦТВА «Книгоман» (далі - Інструкція по ПІ);

Інструкція по правилам управління паролями в автоматизованій системі класу 2 відділу технічного захисту інформації ВИДАВНИЦТВА «Книгоман» (далі - Інструкція управління паролями);

Інструкція про порядок оперативного відновлення функціонування автоматизованої системи класу 2 відділу технічного захисту інформації ВИДАВНИЦТВА «Книгоман» (далі - Інструкція з оперативного відновлення).

. Методика проведення випробувань

Попередні випробування проводились відповідно документу „Автоматизована система відділу технічного захисту інформації ВИДАВНИЦТВА «Книгоман». Комплексна система захисту інформації. Програма та методики випробувань (далі - ПМА).

. Виклад результатів попередніх випробувань КСЗІ

.1. Перевірка середовища функціонування АСВТЗІ

Середовища функціонування АСВТЗІ на ОІД відповідають вимогам та описам наведеним в Технічному завданні, а саме:

охорону будівлі в якому знаходиться ОІД здійснює відомча охорона ВАТ „Тигр;

охорона ОІД здійснюється за допомогою системи охоронної сигналізації, пульт якої встановлено в приміщенні охорони ВАТ „Тигр;

ОІД обладнано системою пожежної сигналізації;

доступ осіб на ОІД та до АСВТЗІ організовано відповідно списку, затвердженому директором ВИДАВНИЦТВА «Книгоман» та відповідно вимог Інструкції з режимних заходів;

склад та розміщення АСВТЗІ, допоміжних технічних засобів та систем, систем життєзабезпечення ОІД відповідають перелікам наведеним в Паспорті-формулярі АСВТЗІ;

особи, які будуть мати доступ до інформації в АСВТЗІ, визначені відповідним списком користувачів АСВТЗІ;

операційна система та склад програмного забезпечення АСВТЗІ відповідає переліку наведеному в Паспорті-формулярі АСВТЗІ;

організація порядку обробки конфіденційної інформації в АСВТЗІ та форма представлення інформації з обмеженим доступом (далі - ІзОД) в АСВТЗІ відповідає задекларованої в Технічному завданні технології обробки інформації;

зареєстровані в АСВТЗІ користувачі відповідають списку осіб, які допущені до роботи з конфіденційною інформацією в АСВТЗІ.

.2. Перевірка експлуатаційної документації КСЗІ

Проектна та експлуатаційна документація КСЗІ в АСВТЗІ відповідає вимогам Технічного завдання, а саме:

перелік проектних та експлуатаційних документів на КСЗІ в АСВТЗІ відповідає переліку експлуатаційної документації наведеному в Технічному завданні;

зміст та обєм інформації, що наведено в проектній та експлуатаційній документації, щодо створення КСЗІ в АСВТЗІ, відповідає вимогам Техпроекту.

.3. Перевірка заходів із захисту ІзОД від її витоку технічними каналами

.3.1. Блокування каналу побічних електромагнітних випромінювань та наведень (далі - ПЕМВН)

КСЗІ здійснює блокування витоку ІзОД, яка циркулюватиме в АСВТЗІ, за рахунок ПЕМВН наступними заходами:

електроживлення всіх компонентів АСВТЗІ здійснюється через мережевий завадозаглушувальний фільтр М-17, що унеможливлює просочення ІзОД через лінію електроживлення за рахунок наведень від компонентів АСВТЗІ інформативних сигналів на вказану лінію;

монтаж завадозаглушувального фільтру М-17 відповідає вимогам, що наведено в пасорті на вказаний мережевий фільтр;

на лінію охоронної та пожежної сигналізації встановлено завадозаглущшувальний фільтр М-9, що унеможливлює просочення ІзОД через ці лінії за рахунок наведень на них від компонентів АСВТЗІ інформативних сигналів;

всі компоненти ІТС підключено до контуру системи заземлення яка відповідає вимогам п. 5.3 ТР ЕОТ 95, а саме:

контур системи заземлення знаходиться в межах контрольованої зони ВИДАВНИЦТВА «Книгоман»;

в якості контуру заземлення використовується глибинний заземлювач;

опір системи заземлення становить 1,4 Ом (Протокол виміру опору заземлення від 07.06.09 № 34 ВИДАВНИЦТВО «Книгоман»).

.3.2. Блокування радіотехнічного каналу

На ОІД проведено пошук можливо встановлених пристроїв технічної розвідки (закладних пристроїв) які б могли передавати видову інформації по радіоканалу або лінійними комунікаціями. За результатами проведених робіт зроблено наступні висновки:

при проведенні моніторингу радіоефіру за допомогою пошукового комплексу DigiScan EX 2.1 у діапазоні частот 10 кГц - 3 ГГц радіовипромінювань, які б свідчили про факт встановлених на ОІД пристроїв технічної розвідки не виявлено.

при проведенні обстеження будівельних конструкцій (стін, підлоги, вікон та дверей), технічних засобів, меблів та предметів інтерєру приміщення за допомогою індикатора поля RD-14 та частотоміра ACECO SC-1 радіовипромінювань, які б свідчили про наявність закладних пристроїв не виявлено.

при обстеженні будівельних конструкцій, меблів, предметів інтерєру, технічних засобів за допомогою приладу пошуку оптичних систем RAY - оптичних систем (мікровідеокамер) не виявлено.

при обстеженні будівельних конструкцій (стін, підлоги, стелі, віконних конструкцій, дверей), меблів та предметів інтерєру за допомогою портативного нелінійного локатора „Обь-1 - закладних пристроїв не виявлено.

КСЗІ здійснює захист інформації від її витоку за рахунок радіотехнічного каналу витоку наступними заходами:

організованими перепускним режимом контрольовану зону ВИДАВНИЦТВО «Книгоман» та порядком відвідування сторонніх осіб приміщень ВИДАВНИЦТВО «Книгоман» унеможливлюється встановлення пристроїв технічної розвідки на лінії, які виходять за межі ОІД;

виконання вимог що наведено в експлуатаційній документації на КСЗІ стосовно порядку доступу осіб на ОІД, є достатніми щодо унеможливлення встановлення на ОІД пристроїв технічної розвідки (відеопередавачів).

.3.3. Блокування візуально-оптичного каналу

КСЗІ блокує візуально-оптичний канал витоку інформації наступними заходами:

вікно ОІД обладнано непрозорими жалюзями;

виконання вимог Інструкції користувача, є достатніми щодо блокування витоку інформації за рахунок візуально-оптичного каналу.

.4. Перевірка блокування шляхів несанкціонованого доступу (далі -НСД) до компонентів АСВТЗІ

КСЗІ унеможливлює (блокує) несанкціонований доступ сторонніх осіб до компонентів АСВТЗІ та на ОІД в цілому наступними заходами:

ОІД обладнано системою охоронної сигналізації, яка знаходиться в робочому стані;

в Інструкції з режимних заходів впроваджено дії начальника спеціального відділу щодо організації охорони ОІД в неробочий час та організацію режимних заходів на ОІД, виконання яких є достатніми щодо унеможливлення шляхів НСД до компонентів АСВТЗІ та на ОІД в цілому.

.5. Перевірка блокування шляхів НСД до ІзОД, яка циркулюватиме в АСВТЗІ

КСЗІ унеможливлює (блокує) НСД до ІзОД в АСВТЗІ наступними заходами: в Інструкції користувачу, Інструкції з адміністрування системи, Інструкції з режимних заходів, Інструкції по оперативному відновленню впроваджено організаційні заходи щодо унеможливлення НСД до ІзОД, яка обробляється та зберігається в АСВТЗІ;

виконання користувачами АСВТЗІ вимог Інструкції по правилам управління паролями та Інструкціїз ПІ забезпечують унікальність персональних даних користувача для доступу до ІзОД в АСВТЗІ та унеможливлюють їх несанкціоноване заволодіння, ознайомлення та підбір;

Система захисту інформації від НСД здійснює:

ідентифікацію та аутентифікацію користувачів АСВТЗІ;

блокує завантаження операційної системи АСВТЗІ з гнучкого диска та CD-ROM;

здійснює розмежування доступу між користувачами АСВТЗІ до їх захищених документів;

здійснює контроль та цілісність програмного забезпечення в АСВТЗІ;

реєструє дії користувачів в АСВТЗІ;

блокує вікна (пристроїв) інтерфейсу користувачів, а саме здійснення гасіння екрану монітору та блокування клавіатури з графічним маніпулятором за вибраною комбінацією клавіш або заданого періоду часу бездіяльності користувачів;

здійснює реєстрацію в спеціальних журнальних файлах спроби несанкціонованого доступу до інформації, фактів запуску (завантаження) програм, які не входять до баз даних операційної системи АСВТЗІ.

Встановлений та налагоджений в АСВТЗІ КЗЗ реалізує послуги, зазначені в документі «Модель загроз».

.6. Перевірка реалізації організаційних заходів щодо унеможливлення загроз ІзОД в АСВТЗІ

Виконання начальником спеціального відділу, користувачами АСВТЗІ, представниками служби захисту інформації в АСВТЗІ організаційних заходів стосовно унеможливлення загроз ІзОД, яка циркулюватиме в АСВТЗІ, які викладені в Інструкції з режимних заходів та Інструкції користувача є достатніми щодо унеможливлення (блокування) загроз ІзОД, які можуть виникати під час її циркуляції в АСВТЗІ.

. Висновок:

КСЗІ в АСВТЗІ:

забезпечує визначену для АСВТЗІ Політику безпеки інформації;

здійснює розмежування доступу користувачів в АСВТЗІ до інформації різних категорій конфіденційності;

реєструє спроби реалізації загроз інформації та сповіщає адміністраторів безпеки АСВТЗІ про факти несанкціонованих дій з ІзОД;

забезпечує спостережність інформації шляхом контролю за діями користувачів АСВТЗІ та реєстрацію подій, які мають відношення до безпеки інформації;

підтримує цілісність критичних ресурсів АСВТЗІ;

забезпечує організацію обліку, зберігання та обігу матеріальних носіїв інформації, які використовуються в АСВТЗІ;

забезпечує управління засобами захисту КСЗІ та контроль за її функціонуванням;

забезпечує захист ІзОД від її витоку технічними каналами;

блокує НСД до ІзОД та несанкціоновані дії з ІзОД;

блокує НСД до компонентів АСВТЗІ та на ОІД в цілому;

унеможливлює загрози ІзОД, яка циркулюватиме в АСВТЗІ;

забезпечує дотримання вимог режиму конфіденційності під час роботи користувачів АСВТЗІ з ІзОД;

Створена КСЗІ в АСВТЗІ може бути передана для проведення дослідної експлуатації.

начальник відділу технічного

захисту інформації - керівник

служби захисту інформації в АСВТЗІ Т.М.Хохуля

представник ТОВ «СЛІД». В.П.Ягелюк

10.Дослідна експлуатація КСЗІ

ЗАТВЕРДЖУЮ

Директор Видавництва «Книгоман»

________________І.І.кірик

____ ________ 2013 року

АКТ ПРИЙМАННЯ

комплексної системи захисту інформації автоматизованої системи класу 2 відділу технічного захисту інформації Видавництва «Книгоман»

Комісією у складі:

головаГаврилюк Юлія Андріївна - замісник директора,

члени:ХохуляТетяна Миколаївна - нач. відділу ТЗІ,

представник ТОВ «Слід»

було проведено приймання у дослідну експлуатацію комплексну систему захисту інформації (далі - КСЗІ) яка створена в автоматизованій системі класу 2 відділу технічного захисту інформації (далі - АСВТЗІ) Видавництва «Книгоман».

Під час роботи комісії встановлено:

. КСЗІ в АСВТЗІ створена відповідно вимог документу „Автоматизована система відділу технічного захисту інформації Видавництва «Книгоман». Комплексна система захисту інформації. Технічне завдання, а саме:

вимог до захисту інформації від витоку технічними каналами;

вимог до захисту інформації від несанкціонованого доступу до інформації в АСВТЗІ, компонентів АСВТЗІ та на обєкт інформаційної діяльності в цілому;

вимог щодо унеможливлення загроз інформації, які можуть виникати під час циркуляції в АСВТЗІ.

. КСЗІ в АСВТЗІ пройшла попередні випробування та здійснює захист інформації в АСВТЗІ про що свідчать позитивні висновки Протоколу попередніх випробувань комплексної системи захисту інформації в автоматизованій системі класу 1 відділу технічного захисту інформації Видавництва «Книгоман» стосовно впроваджених в КСЗІ організаційних, організаційно-технічних та технічних заходів захисту.

. Комплект експлуатаційних документів КСЗІ в АС 2 є достатнім щодо можливості прийняття КСЗІ у дослідну експлуатацію.

Висновок:

Враховуючи вище зазначену інформацію доцільно провести дослідну експлуатацію КСЗІ в АСВТЗІ.

Голова комісії:

Гаврилюк Ю.А. - замісник директора

Члени комісії:

Хохуля Т.М. - нач. відділу ТЗІ,

представник ТОВ «Слід»

11.Експертиза КСЗІ

ЗАТВЕРДЖУЮ

Директор Видавництва «Книгоман»

________________І.І.Кірик

____ ________ 2013 року

АКТ ЗАВЕРШЕННЯ ДОСЛІДНОЇ ЕКСПЛУАТАЦІЇ

комплексної системи захисту

інформації в автоматизованій системі класу й відділу технічного

захисту інформації Видавництва «Книгоман»

Комісією у складі:

головаГаврилюк Юлія Андріївна - замісник директора,

члени:ХохуляТетяна Миколаївна - нач. відділу ТЗІ,

представник ТОВ «Слід»

було проведено дослідну експлуатацію комплексної системи захисту інформації (далі - КСЗІ) яка створена в автоматизованій системі класу 2 відділу технічного захисту інформації (далі - АСВТЗІ) обєкту інформаційної діяльності - приміщення № 5 Видавництва «Книгоман» (далі - ОІД).

Підставою для проведення дослідної експлуатації КСЗІ в АСВТЗІ є:

„Автоматизована система відділу технічного захисту інформації Видавництва «Книгоман». Комплексна система захисту інформації. Технічне завдання (далі - Технічне завдання);

Протокол попередніх випробувань комплексної системи захисту інформації в автоматизованій системі класу 2 відділу технічного захисту інформації Видавництва «Книгоман» (далі - Протокол попередніх випробувань).

Під час проведення дослідної експлуатації комісією встановлено:

. Всі компоненти АСВТЗІ працюють справно та без збоїв відповідно задекларованих параметрів наведених в експлуатаційних документах.

. Система заземлення, до якої підключено всі компоненти, в справному стані.

. Система захисту інформації від несанкціонованого доступу роботаздатна та адміністрування її програмного забезпечення відповідає задекларованої в Технічному завданні технології обробки інформації за допомогою АСВТЗІ, а саме:

здійснює ідентифікацію та аутентифікацію користувачів АСВТЗІ;

блокує завантаження операційної системи АСВТЗІ з гнучкого диска та CD-ROM;

здійснює розмежування доступу між користувачами АСВТЗІ до їх захищених документів;

здійснює контроль та цілісність програмного забезпечення в АСВТЗІ;

реєструє дії користувачів в АСВТЗІ;

блокує вікна (пристроїв) інтерфейсу користувачів, а саме здійснення гасіння екрану монітору та блокування клавіатури з графічним маніпулятором за вибраною комбінацією клавіш або заданого періоду часу бездіяльності користувачів;

здійснює реєстрацію в спеціальних журнальних файлах спроби несанкціонованого доступу до інформації, фактів запуску (завантаження) програм, які не входять до баз даних операційної системи АСВТЗІ.

дає можливість управління потоками інформації

. При проведенні тестового оброблення інформації в АСВТЗІ відповідно технології обробки інформації наведеної в Технічному завданні, а саме:

створенні файлу з тестовою інформацією за допомогою програми „Захищені документи та зберіганні його на жорсткий магнітний диск, флеш накопичувач в створених для цього базах документів;

друкуванні файлу за допомогою принтеру АСВТЗІ;

знищенні користувачем документів з тестовою інформацією ;

здійсненні зчитування інформації з CD-ROM, флеш накопичувача;

недоліків та збоїв не виникало.

. Впроваджені в КСЗІ організаційні заходи захисту інформації в АСВТЗІ, а саме:

порядок доступу користувачів до АСВТЗІ та інформації, яка в ній зберігається;

порядок та зміст інструктажів користувачів АСВТЗІ;

порядок обробки інформації користувачами за допомогою АСВТЗІ;

порядок дій начальника спеціального відділу, користувачів АСВТЗІ та представників служби захисту інформації в АСВТЗІ при виникненні загроз інформації, яка обробляється в АСВТЗІ;

порядок оперативного відновлення функціонування АСВТЗІ;

порядок обліку та використання магнітних носіїв інформації;

порядок видачі вилучення та зберігання персональних ідентифікаторів користувачів АСВТЗІ та адміністраторів АСВТЗІ;

правила управління паролями в АСВТЗІ;

правила з забезпечення режиму конфіденційності під час обробки інформації в АСВТЗІ;

порядок організації фізичного та протипожежного захисту АСВТЗІ;

порядок дій начальника спеціального відділу по підтримці внутрішньо обєктового режиму на ОІД;

порядок блокування технічних каналів витоку інформації та шляхів несанкціонованого доступу,

не мають між своїх вимог розбіжностей, завдань, які б неможливо було виконати та забезпечують вимоги Технічного завдання щодо захисту інформації в АСВТЗІ.

. Впроваджені в КСЗІ організаційно-технічні заходи стосовно захисту інформації від її витоку технічними каналами відповідають умовам інформаційного середовища АСВТЗІ та вимогам Технічного завдання.

. Всі користувачі, які плануються до обробки інформації за допомогою АСВТЗІ, здали заліки зі знань:

порядку обробки інформації за допомогою АСВТЗІ;

підтримання режиму конфіденційності під час обробки інформації за допомогою АСВТЗІ;

порядку дій при виникненні загроз інформації.

. За АСВТЗІ закріплено адміністратори які входять до складу створеної в ТОВ «ООО» служби захисту інформації в АСВТЗІ.

. Комплект експлуатаційних документів КСЗІ в АСВТЗІ, перелік яких наведено в Протоколі попередніх випробувань КСЗІ, є достатнім щодо організації захисту інформації в АСВТЗІ та обробки ІзОД за допомогою АСВТЗІ.

. АСВТЗІ повністю укомплектована та знаходиться в робочому стані.

Висновок

КСЗІ в АСВТЗІ:

забезпечує визначену для АСВТЗІ системи політику безпеки інформації;

здійснює розмежування доступу користувачів в АСВТЗІ до інформації різних категорій конфіденційності;

блокує несанкціоновані дії з ІзОД;

реєструє спроби реалізації загроз інформації та сповіщає адміністраторів безпеки інформаційно-телекомунікаційної системи про факти несанкціонованих дій з ІзОД;

забезпечує спостереженість інформації шляхом контролю за діями користувачів АСВТЗІ та реєстрації подій, які мають відношення до безпеки інформації;

підтримує цілісність критичних ресурсів АСВТЗІ;

забезпечує організацію обліку, зберігання та обігу матеріальних носіїв інформації, які використовуються в АСВТЗІ;

забезпечує управління засобами захисту КСЗІ та контроль за її функціонуванням;

забезпечує захист ІзОД від її витоку технічними каналами;

забезпечує дотримання вимог режиму конфіденційності під час роботи користувачів в АСВТЗІ з ІзОД.

Під час проведення дослідної експлуатації КСЗІ в АСВТЗІ збоїв в роботі будь яких компонентів АСВТЗІ, пристроїв захисту інформації, систем охоронної та протипожежної сигналізації не виявлено.

Створена КСЗІ в АСВТЗІ може бути представлена на експертизу щодо отримання атестату відповідності на КСЗІ в АСВТЗІ.

Голова комісії:

Гаврилюк Ю.А. - замісник директора,

Члени комісії:

Хохуля Т.М. - нач. відділу ТЗІ,

представник ТОВ «Слід»

Список використаної літератури

1.Закон України Про інформацію від 2 жовтня 1992 року №2658-ХІІ;

2.Закон України Про захист інформації в інформаційно-телекомунікаційних системах від 5 липня 1994 року № 80/94-ВР;

.Положення про технічний захист інформації в Україні, затверджене Указом Президента України від 27.09.99 р. № 1229/99;

.ДСТУ 3396.0-96 Захист інформації. Технічний захист інформації. Основні положення;

.ДСТУ 3396.1-96 Захист інформації. Технічний захист інформації. Порядок проведення робіт;

.ДСТУ 3396.2-97 Захист інформації. Технічний захист інформації. Терміни та визначення;

.Тимчасове положення про категоріювання обєктів (ТПКО-95). Затверджено наказом Державної служби України з питань ТЗІ від 9 червня 1995р. № 25.

.ДБН А.2.2-2-96 Проектування. Технічний захист інформації. Загальні вимоги до організації;

.ДБН А.2.2-3-97 Проектування. Склад, порядок розробки, узгодження і затвердження проектної документації для будівництва;

.НД ТЗІ 1.1-002-99 Загальні положення щодо захисту інформації в компютерних системах від несанкціонованого доступу;

.НД ТЗІ 1.1-003-99 Термінологія в галузі захисту інформації в компютерних системах від несанкціонованого доступу;

.НД ТЗІ 1.1-004-99 Загальні положення щодо захисту інформації в комп'ютерних системах від несанкціонованого доступу;

.НД ТЗІ 1.1-005-07 Захист інформації на обєктах інформаційної діяльності. Створення комплексу технічного захисту інформації. Основні положення;

.НД ТЗІ 1.4-001-2000 Типове положення про службу захисту інформації в автоматизованій системі;

.НД ТЗІ 2.5-004-99 Критерії оцінки захищеності інформації в компютерних системах від несанкціонованого доступу;

.НД ТЗІ 2.5-005-99 Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу;

.НД ТЗІ 3.1-001-07 Захист інформації на обєктах інформаційної діяльності. Створення комплексу технічного захисту інформації. Передпроектні роботи;

.НД ТЗІ 3.3-001-07 Захист інформації на обєктах інформаційної діяльності. Створення комплексу технічного захисту інформації. Порядок розроблення та впровадження заходів із захисту інформації;

.НД ТЗІ 3.6-001-2000 Порядок створення, впровадження, супроводження та модернізації засобів технічного захисту інформації від несанкціонованого доступу;

.НД ТЗІ 3.7-003-05 Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі;

.НД ТЗІ 3.7-001-99 Методичні вказівки щодо розробки технічного завдання на створення комплексної системи захисту інформації в автоматизованій системі;

.Положення про забезпечення режиму секретності під час обробки інформації, що становить державну таємницю, в автоматизованих системах. Затверджено постановою КМУ від 16.02.98 № 180;

.Положення про державну експертизу в сфері технічного захисту інформації. Затверджено наказом Держспецзвязку України від 16.05.07 № 93, зареєстроване в Міністерстві юстиції України 16.07.2007 за № 820/14087;

.Правила забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах. Затверджено постановою КМУ 29.03.06 № 373;

.ТР ЕОТ-95 Тимчасові рекомендації з технічного захисту інформації у засобах обчислювальної техніки, автоматизованих системах і мережах від витоку каналами побічних електромагнітних випромінювань і наводок;

.РД 50-34.698-90. Автоматизированные системы. Требования к созданию документов.

.Перелік засобів загального призначення, які дозволені для забезпечення технічного захисту інформації, необхідність охорони якої визначено законодавством України;

МІНІСТЕРСТВО ОСВІТИ І НАУКИ УКРАЇНИ НАЦІОНАЛЬНИЙ АВІАЦІЙНИЙ УНІВЕРСИТЕТ ІНСТИТУТ ІНФОРМАЦІЙНО-ДІАГНОСТИЧНИХ СИСТЕМ КАФЕДРА БЕЗПЕКИ ІНФОРМАЦІЙНИХ ТЕХНОЛ

Больше работ по теме: