Приведенный общий перечень исходных данных и документации может уточняться заявителем в зависимости от особенностей аттестуемого объекта информатизации по согласованию с аттестационной комиссией.Аттестационные испытания объекта ВТ проводятся в следующем порядке:
-
изучение технологического процесса автоматизированной обработки информации;
-
проверка на соответствие организационно-техническим требованиям по защите информации;
-
испытания на соответствие требованиям по защите информации от утечки по каналам ПЭМИН;
-
проверка выполнения требований по защите информации от утечки за счет специальных электронных устройств перехвата информации;
-
испытания на соответствие требованиям по защите информации от несанкционированного доступа;
-
подготовка отчетной документации.
9.3 Изучение технологического процесса автоматизированной обработки информацииПри изучении технологического процесса автоматизированной обработки и хранения информации обращается внимание на такие компоненты объекта ВТ как объекты и субъекты доступа, средства обработки и передачи информации:
-
к объектам доступа относятся средства обработки и передачи информации, информационные носители на магнитной и бумажной основе, накопители и все виды памяти ЭВМ, в которых может находиться информация, отдельные документы и их архивы, используемые в технологическом процессе автоматизированной обработки информации, файлы, записи и другие единицы информационных ресурсов, доступ к которым необходимо регламентировать;
-
к субъектам доступа относятся персонал и все лица, которые имеют возможность доступа к средствам обработки информации, а также программные средства, посредством которых осуществляется доступ к объектам;
-
к средствам обработки и передачи информации относятся технические и программные средства ВТ, средства и линии связи, предоставляющие возможности как для перемещения (копирования) информации между различными областями памяти и информационными носителями, различными средствами обработки, определенными для объекта ВТ, так и по выводу информации из установленной для нее сферы обращения.
Используя исходные данные по технологии обработки и передачи информации, разрешительной системы доступа персонала к защищаемым ресурсам, анализируется обобщенная технологическая схема объекта ВТ с существующими и возможными информационными потоками, возможностями доступа к обрабатываемой и передаваемой информации.
Проверяется соответствие описания технологического процесса обработки, хранения и передачи конфиденциальной информации реальной практике на объекте.Проверяются паспортные (исходные) данные объекта ВТ и устанавливаются опасные факторы и угрозы, критические места объекта ВТ, снижающие уровень защиты, комплектность и характеристики средств защиты.Проверяются наличие оформленных разрешений на допуск персонала к информации определенного уровня конфиденциальности, метки конфиденциальности (грифа секретности) на информационных носителях, соответствие технологических инструкций пользователей и администратора безопасности информации установленным требованиям.По результатам изучения уточняется схема технологического процесса с привязкой к конкретным средствам обработки и передачи информации и штатному персоналу.
9.4 Проверка на соответствие организационно-техническим требованиям по защите информацииПроверка объекта ВТ на соответствие организационно-техническим требованиям по защите информации проводится в объеме, указанном в таблице 2.Таблица 2
Наименование проверок и испытаний
|
Пункт методических рекомендаций
|
Проверка достаточности представленных документов и соответствия их содержания требованиям по безопасности информации
|
9.4.2
|
Проверка соответствия состава и структуры программно-технических средств объекта ВТ представленной документации
|
9.4.3
|
Проверка правильности классификации объекта ВТ
|
9.4.4
|
Проверка правильности категорирования объектов ВТ
|
9.4.5
|
Проверка уровня подготовки кадров и распределения ответственности персонала
|
9.4.6
|
Проверка наличия сертификатов соответствия на СВТ и средства защиты информации, экспертиза отчетов и протоколов по специальным исследованиям СВТ, предписаний на эксплуатацию СВТ
|
9.4.7
|
Проверка выполнения требований к помещениям, в которых производится обработка информации средствами ВТ
|
9.4.8
|
9.4.2. Производится проверка достаточности представленных документов и соответствия их содержания требованиям стандартов и иных руководящих документов по безопасности информации Гостехкомиссии России и других органов государственного управления в пределах компетенции.
9.4.3. Состав и структура программно-технических средств, включенных в реальный технологический процесс обработки информации, сверяется с представленной документацией.
9.4.4. Проверка правильности классификации ВТ производится в соответствии с требованиями РД Гостехкомиссии России «Автоматизированные системы. Защита от НСД к информации. Классификация АС и требования по защите информации» и раздела 6 СТР на основании следующих определяющих признаков:
-
уровней конфиденциальности (степени секретности) обрабатываемой информации;
-
уровней полномочий по доступу к конфиденциальной информации различных пользователей;
-
режимов обработки данных на объекте ВТ - многопользовательский или однопользовательский;
-
максимального уровня конфиденциальности обрабатываемой информации. Полученный класс объекта ВТ сравнивается с установленным на объекте аттестации.
9.4.5. Проверка правильности категорирования объектов ВТ производится в соответствии с требованиями раздела 3 СТР на основании следующих исходных данных:
-
максимального уровня конфиденциальности (степени секретности) обрабатываемой на объекте ВТ информации;
-
условий расположения объекта ВТ.
Указанные исходные данные должны быть подтверждены документально заключениями об уровне конфиденциальности информации, актами, планами размещения и другими документами.Производится категорирование объектов ВТ. Результаты категорирования сравниваются с категориями, указанными в актах категорирования соответствующих объектов ВТ.
9.4.6 Проверка уровня подготовки кадров и распределения ответственности производится на основе следующих показателей:
-
экспертной оценки знания инструкций по безопасности информации пользователями и эксплуатационным персоналом;
-
наличия разрешительной системы доступа персонала к защищаемым ресурсам, определяющей полномочия по доступу к конфиденциальной информации и процедуры их оформления, системы распределения ответственности персонала за выполнение требований по безопасности информации, оформленной приказами и распоряжениями руководителя предприятия (объекта информатизации);
-
экспертной оценки системы технической учебы и повышения квалификации персонала и пользователей объекта ВТ.
Путем опроса персонала проверяется доведение до конкретных исполнителей руководящих документов, технологических инструкций, предписаний, актов, заключений и уровень овладения персоналом технологией безопасной обработки информации, описанной в этих инструкциях.
9.4.7. Производится проверка наличия документов, подтверждающих возможность применения технических и программных средств ВТ, средств защиты для обработки конфиденциальной информации (сертификатов соответствия), экспертиза отчетов и протоколов по специальным исследованиям СВТ, предписаний на эксплуатацию СВТ, а также их соответствия требованиям нормативных документов.
9.4.8. При проверке помещений производится оценка их соответствия требованиям действующей инструкции по обеспечению режима секретности в министерствах, ведомствах, на предприятиях.Производится проверка выполнения требований руководящих документов по условиям размещения СВТ в рабочих помещениях, которые исключали бы возможность несанкционированного просмотра информации с экранов мониторов, с распечаток принтеров и с других устройств ввода-вывода информации лицами, не имеющими права доступа к обрабатываемой информации.Если средства ВТ установлены в выделенных помещениях, то проверяются документы, подтверждающие защищенность информации в этих средствах от утечки за счет электроакустических преобразований в соответствии с требованиями раздела 4 СТР.
9.4.9. По результатам проверки комиссия должна сделать выводы о соответствии (или несоответствии) предъявленных документов и исходных данных установленным требованиям по безопасности информации.
9.5 Испытания на соответствие требованиям по защите информации от утечки по каналам ПЭМИН9.5.1. Проверка выполнения требований по защите информации от утечки за счет ПЭМИ СВТ.
9.5.1.1. Проверка проводится в объеме, указанном в табл. 3.Таблица 3
Наименование проверок и испытаний
|
Пункт методических рекомендаций
|
Проверка соответствия фактических размеров контролируемой зоны представленным документам
|
9.5.1.2
|
Проверка соответствия размеров контролируемой зоны требованиям предписаний на эксплуатацию СВТ и других документов, определяющих требования к размеру зоны 2
|
9.5.1.3
|
Проверка работоспособности средств защиты информации, выполнения правил их эксплуатации
|
9.5.1.4
|
Экспертная оценка результатов аппаратурного контроля защищенности СВТ
|
9.5.1.5
|
Аппаратурные испытания эффективности защиты информации от утечки за счет ПЭМИН СВТ
|
9.5.1.6
|