Материал: Методические указания к самостоятельным работам по дисциплинам «Теория управления информационной безопасностью распределенных компьютерных систем», «Управление информационной безопасностью». Разинкин К.А., Голозубов А.А

3. ТЕМАТИКА САМОСТОЯТЕЛЬНОЙ РАБОТЫ

Список сокращений

В настоящем методическом указании применены следующие сокращения:

АС - автоматизированная система; АСЗИ - автоматизированная система в защищенном

исполнении; ЗИ - защита информации;

НИР - научно-исследовательская работа; НСД - несанкционированный доступ; ОКР - опытно-конструкторская работа; ПС - программное средство; СЗИ - средство защиты информации;

СОВ – система обнаружений вторжений ТЗ - техническое задание; ТТЗ - тактико-техническое задание; ТС - техническое средство.

3.1. Примерное содержание раздела 1

4

Продолжение табл. 1

5

3.1.1. Теоретический материал

Для обработки информации, необходимость защиты которой определяется законодательством Российской Федерации или решением ее обладателя, должны создаваться АСЗИ, в которых реализованы в соответствии с действующими нормативными правовыми актами требования о ЗИ. Реализация требований о ЗИ в АСЗИ осуществляется системой ЗИ, являющейся неотъемлемой составной частью АСЗИ.

Целью создания системы ЗИ АСЗИ является обеспечение ЗИ от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации, соблюдение конфиденциальности информации ограниченного доступа, реализация права на доступ к информации.

При создании (модернизации) АСЗИ необходимо руководствоваться следующими общими требованиями:

-система ЗИ АСЗИ должна обеспечивать комплексное решение задач по ЗИ от НСД, от утечки защищаемой информации по техническим каналам, от несанкционированных и непреднамеренных воздействий на информацию (на носители информации) применительно к конкретной АСЗИ. Состав решаемых задач по ЗИ определяется задачами обработки информации, решаемыми с использованием АСЗИ, ее программным и аппаратным составом, конфигурацией этой системы, условиями функционирования, требованиями, предъявляемыми к обрабатываемой информации, угрозами безопасности информации;

-система ЗИ АСЗИ должна разрабатываться (проектироваться) с учетом возможности реализации требований о защите обрабатываемой информации при использовании в АСЗИ методов и программно-аппаратных средств организации сетевого взаимодействия;

6

-система ЗИ АСЗИ должна создаваться с учетом обеспечения возможности формирования различных вариантов ее построения, а также расширения возможностей

еесоставных частей (сегментов) в зависимости от условий функционирования АСЗИ и требований о ЗИ;

-ЗИ должна обеспечиваться во всех составных частях (сегментах) АСЗИ, используемых в обработке защищаемой информации;

-входящие в состав АСЗИ средства ЗИ и контроля эффективности ЗИ не должны препятствовать нормальному функционированию АСЗИ;

-программное обеспечение системы ЗИ должно быть совместимым с программным обеспечением других составных частей (сегментов) АСЗИ и не должно снижать требуемый уровень защищенности информации в АСЗИ;

-программно-технические средства, используемые для построения системы ЗИ, должны быть совместимы между собой (корректно работать совместно) и не должны снижать уровень защищенности информации в АСЗИ.

ЗИ о создаваемой АСЗИ является составной частью работ по их созданию и осуществляется во всех организациях, участвующих в процессе создания (модернизации) этих систем.

Обеспечение ЗИ в АСЗИ достигается заданием, реализацией и контролем выполнения требований о защите информации: к процессу хранения, передачи и обработки защищаемой в АСЗИ информации; к системе ЗИ; к взаимодействию АСЗИ с другими АС; к условиям функционирования АСЗИ; к содержанию работ по созданию (модернизации) АСЗИ на различных стадиях и этапах ее создания (модернизации); к организациям (должностным лицам), участвующим в создании (модернизации) и эксплуатации АСЗИ; к документации на АСЗИ; к АСЗИ в целом.

АСЗИ должны создаваться в соответствии с ТЗ, являющимся основным документом, на основании которого

7

выполняются работы, необходимые для создания (модернизации) АСЗИ в целом и ее системы ЗИ, и осуществляется приемка этих работ заказчиком.

Процесс создания АСЗИ должен представлять собой совокупность упорядоченных во времени, взаимосвязанных, объединенных в стадии и этапы работ, выполнение которых необходимо и достаточно для создания АСЗИ, соответствующей заданным к ней требованиям.

В работах по созданию (модернизации) АСЗИ и ее системы ЗИ участвуют:

-заказчик АСЗИ - в части задания в ТЗ на АСЗИ и систему ЗИ, включения в документацию на АСЗИ обоснованных требований о защите обрабатываемой АСЗИ информации и контроля их выполнения в процессе экспертизы документации, испытаний и приемки как АСЗИ в целом, так и системы ЗИ, а также в части организации аттестации АСЗИ на соответствие требованиям безопасности информации и сопровождения АСЗИ в ходе ее эксплуатации;

-разработчик АСЗИ - в части обеспечения соответствия разрабатываемой АСЗИ и ее системы ЗИ требованиям ТЗ, нормативных правовых актов, методических документов и национальных стандартов в области защиты информации;

-изготовитель ТС и ПС - в части осуществления технических мер по обеспечению соответствия изготавливаемых ТС и ПС заданным требованиям о защите обрабатываемой АСЗИ информации, в соответствии с документацией на АСЗИ;

-поставщик ТС и ПС - в части поставки ТС и ПС для АСЗИ, соответствующих требованиям по ЗИ, по заказу изготовителя, разработчика или заказчика и их гарантийного и послегарантийного обслуживания.

Организации, участвующие в создании АСЗИ, в случае выполнения работ и оказания услуг в области ЗИ, деятельность по осуществлению которых подлежит лицензированию, должны иметь соответствующие лицензии

[1-4].

8