11.1 Общие положенияНастоящая методика определяет условия и порядок проведения аттестационных испытаний выделенных помещений ООО «Солнышко» на соответствие требованиям по безопасности информации.Объектом аттестационных испытаний являются выделенные помещения второй и третьей категории расположенные в кабинетах административного здания ООО «Солнышко»Целью аттестационных испытаний ВП ООО «Солнышко» является оценка соответствия данных объектов информатизации требованиям руководящих документов по защите информации.
11.2 Условия и порядок проведения аттестационных испытанийИспытания проводятся в эксплуатационных режимах работы объекта информатизации с использованием тестирующих технических средств.Для проведения испытаний выделенных помещений заявитель представляет аттестационной комиссии следующие исходные данные и документацию:
-
оформленный технический паспорт на объект информатизации (в соответствии с приложением №1 СТР-К);
-
акт категорирования защищаемых помещений;
-
план контролируемой зоны предприятия (учреждения);
-
перечень защищаемых ресурсов с документальным подтверждением максимальной степени секретности обсуждаемых в выделенном помещении вопросов;
-
инструкции по эксплуатации средств защиты информации;
-
предписания на эксплуатацию технических средств и систем;
-
протоколы специальных исследований технических средств и систем;
-
акты или заключения о специальной проверке технических средств;
-
сертификаты соответствия требованиям безопасности информации на средства и системы обработки и передачи информации, используемые средства защиты информации;
-
данные по уровню подготовки кадров, обеспечивающих защиту информации;
-
данные о техническом обеспечении средствами контроля эффективности защиты информации и их метрологической поверке;
-
данные о наличии нормативной и методической документации по защите информации и контролю эффективности защиты.
Аттестационные испытания проводятся в следующем порядке:
-
проверка на соответствие организационно-техническим требованиям по защите информации;
-
испытания на соответствие требованиям по защите информации от утечки по каналам ПЭМИН;
-
проверка выполнения требований по защите информации от утечки за счет специальных электронных устройств перехвата информации;
-
подготовка отчетной документации.
11.3 Проверка на соответствие организационно-техническим требованиям по защите информации11.3.1. Проверка ВП на соответствие организационно-техническим требованиям по защите информации проводится в объеме, указанном в таблице 8.Таблица 8
Наименование проверок и испытаний
|
Пункт методических рекомендаций
|
Проверка достаточности представленных документов и соответствия их содержания требованиям по безопасности информации
|
11.3.2
|
Проверка соответствия состава и структуры технических средств обработки информации представленной документации
|
11.3.3
|
Проверка правильности категорирования ВП
|
11.3.4
|
Проверка уровня подготовки кадров и распределения ответственности персонала
|
11.3.5
|
Проверка наличия сертификатов соответствия на ОТСС, ВТСС и средства защиты информации, экспертиза отчетов и протоколов по специальным исследованиям, предписаний на эксплуатацию
|
11.3.6
|
Проверка выполнения требований к помещениям
|
11.3.7
|
11.3.2. Производится проверка достаточности представленных документов и соответствия их содержания требованиям стандартов и иных руководящих документов по безопасности информации Гостехкомиссии России и других органов государственного управления в пределах компетенции.
11.3.3. Состав и структура технических средств, включенных в реальный технологический процесс обработки информации, сверяется с представленной документацией.
11.3.4. Проверка правильности категорирования ВП производится в соответствии с требованиями раздела 3 СТР на основании следующих исходных данных:
-
максимального уровня конфиденциальности (степени секретности) обрабатываемой в ВП;
-
условий расположения ВП.
Указанные исходные данные должны быть подтверждены документально заключениями об уровне конфиденциальности информации, актами, планами размещения и другими документами.Производится категорирование ВП. Результаты категорирования сравниваются с категориями, указанными в актах категорирования.
11.3.5. Проверка уровня подготовки кадров и распределения ответственности производится на основе следующих показателей:
-
экспертной оценки знания инструкций по безопасности информации пользователями;
-
экспертной оценки системы технической учебы и повышения квалификации персонала.
Путем опроса персонала проверяется доведение до конкретных исполнителей руководящих документов, технологических инструкций, предписаний, актов, заключений и уровень овладения персоналом технологией безопасной обработки информации, описанной в этих инструкциях.
11.3.6. Производится проверка наличия документов, подтверждающих возможность применения технических средств обработки информации, средств защиты для обработки конфиденциальной информации (сертификатов соответствия), экспертиза отчетов и протоколов по специальным исследованиям, предписаний на эксплуатацию, а также их соответствия требованиям нормативных документов.
11.3.7. При проверке помещений производится оценка их соответствия требованиям раздела 4.1.2. СТР, а также требований действующей инструкции по обеспечению режима секретности в министерствах, ведомствах, на предприятиях.
11.3.8. По результатам проверки комиссия должна сделать выводы о соответствии (или несоответствии) предъявленных документов и исходных данных установленным требованиям по безопасности информации.
11.4 Испытания на соответствие требованиям по защите информации от утечки каналам ПЭМИН11.4.1. Проверка выполнения требований по защите информации от утечки за счет ПЭМИ ОТСС.
11.4.1.1. Проверка проводится в объеме, указанном в таблице 9.Таблица 9
Наименование проверок и испытаний
|
Пункт методических рекомендаций
|
Проверка соответствия фактических размеров контролируемой зоны представленным документам
|
11.4.1.2
|
Проверка соответствия размеров контролируемой зоны требованиям предписаний на эксплуатацию ОТСС и других документов, определяющих требования к размеру зоны 2
|
11.4.1.3
|
Проверка работоспособности средств защиты информации, выполнения правил их эксплуатации
|
11.4.1.4
|
Экспертная оценка результатов аппаратурного контроля защищенности ОТСС
|
11.4.1.5
|
Аппаратурные испытания эффективности защиты информации от утечки за счет ПЭМИН
|
11.4.1.6
|
11.4.1.2. Производится выборочная проверка соответствия размеров контролируемой зоны (КЗ) в представленных документах (планы объекта, планы размещения ОТСС и ВТСС, акты обследования и др.) фактическим размерам контролируемой зоны. Определяются минимальные значения расстояний от источников информативных сигналов до границы КЗ.
11.4.1.3. Сравниваются требуемые значения расстояний до границы КЗ, указанные в предписаниях на эксплуатацию ОТСС (радиусы зоны 2), с фактическими значениями этих расстояний. Значения R2 должны укладываться в расстояния от ОТСС до границ КЗ. В противном случае должны применяться дополнительные меры и средства защиты.
11.4.1.4. Проверка средств защиты информации производится по следующим показателям:
-
соответствие видов и типов установленных средств защиты тем, что указаны в предписаниях на эксплуатацию ОТСС (САЗ, экранирующие конструкции, фильтры);
-
наличие сертификатов соответствия на средства защиты;
-
выполнение правил монтажа и эксплуатации средств защиты;
-
наличие актов ввода в эксплуатацию и протоколов контроля средств защиты;
-
работоспособность средств защиты.
11.4.1.5. Производится экспертная оценка результатов контроля эффективности защиты информации в ОТСС по следующим признакам:
-
использованные методики контроля;
-
использованные тестовые средства;
-
полнота проведенных измерений по объему и видам измерений (частотный спектр, режимы работы ОТСС, измеренные составляющие электромагнитного поля, направления распространения информативных сигналов в пространстве);
-
использованная измерительная аппаратура;
-
схема измерений;
-
достоверность результатов измерений.
11.4.1.6. Аппаратурные испытания защищенности информации от утечки за счет ПЭМИ ОТСС производятся выборочно для отдельных средств в соответствии с действующими нормами эффективности защиты информации от утечки за счет ПЭМИН, методиками специальных исследований, утвержденными (согласованными) Гостехкомиссией России.
11.4.2. Проверка выполнения требований по защите информации от утечки за счет наводок на вспомогательные средства и системы.
11.4.2.1. Проверка проводится в объеме, указанном в табл. 10.Таблица 10
Наименование проверок и испытаний
|
Пункт методических рекомендаций
|
Проверка взаимного размещения ОТСС и вспомогательных средств на соответствие требованиям на эксплуатацию ОТСС и других документов, определяющих размеры зон г и г'
|
11.4.2.2
|
Проверка работоспособности средств защиты, выполнения правил их монтажа и эксплуатации
|
11.4.1.4
|
Экспертная оценка результатов аппаратурного контроля защищенности информации
|
11.4.1.5
|
Аппаратурные испытания защиты информации от утечки за счет наводок на вспомогательные средства и системы
|
11.4.2.3
|
11.4.2.2. Производится проверка выполнения требований по размещению вспомогательных технических средств и систем (ВТСС), имеющих выход за пределы контролируемой зоны объекта, на расстояниях не менее чем г и г' от основных технических средств и систем (ОТСС), обрабатывающих конфиденциальную информацию, где г и г'- требуемые в соответствии с разделом 5 СТР минимальные расстояния, согласно предписаниям на эксплуатацию ОТСС.
11.4.2.3. Производятся выборочные аппаратурные испытания защищенности информации от утечки за счет наводок на ВТСС в соответствии с методиками, утвержденными (согласованными) Гостехкомиссией России.
11.4.3. Проверка выполнения требований по защите информации от утечки по цепям заземления и электропитания.
11.4.3.1. Проверка проводится в объеме, указанном в таблице 11.Таблица 11
Наименование проверок и испытаний
|
Пункт методических рекомендаций
|
Проверка выполнения требований к схеме организации электропитания ОТСС, монтажу питающих кабелей, фильтрации опасных сигналов в цепях питания
|
11.4.3.2
|
Проверка выполнения требований руководящих документов по выполнению схемы заземления, правилам монтажа заземляющих конструкции, величине сопротивления заземлителя и регламентному контролю его значении
|
11.4.3.3
|
Проверка работоспособности использованных в составе оборудования ВП средств защиты информации, выполнения правил их монтажа и эксплуатации
|
11.4.1.4
|
Экспертная оценка результатов контроля эффективности мер и средств защиты информации в цепях электропитания и заземления
|
11.4.1.5
|
Аппаратурные испытания эффективности защиты информации от утечки по цепям заземления и электропитания ОТСС
|
11.4.3.4
|
11.4.3.2 Производится проверка выполнения требований разделов 9 и 10 СТР по выполнению схемы энергопитания ОТСС:
-
по размещению трансформаторной подстанции;
-
по монтажу фидерных линий, их экранированию и фильтрации;
-
по монтажу САЗ и сетевых фильтров.