Проект Базовые требования к разработке технического задания и технического проекта системы защиты информации регионального сегмента Единой государственной информационной системы в сфере здравоохранения РФ Республики Алтай Законодательная и нормативно-методическая база для разработки ТЗ и ТП Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР-К), утв. приказом Гостехкомиссии России № 282 от 30.08.2002; Положение о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от утечки по техническим каналам, утв. постановлением Правительства № 912-51 от 15.09.1993; Извещение № 1-2008 о корректировке Специальных требований и рекомендаций по технической защите конфиденциальной информации (СТР-К), утв. приказом ФСТЭК России от 04.04.2008 № 81; Рекомендации по обеспечению безопасности ПД при их обработке, в информационных системах персональных данных, утв. заместителем директора ФСТЭК России15 февраля 2008; Основные мероприятия по организации и техническому обеспечению безопасности ПД при их обработке, в информационных системах персональных данных, утв. заместителем директора ФСТЭК России15 февраля 2008; Базовая модель угроз безопасности ПД при их обработке, в информационных системах персональных данных, утв. заместителем директора ФСТЭК России15 февраля 2008; Методика определения актуальных угроз безопасности ПД при их обработке, в информационных системах персональных данных, утв. заместителем директора ФСТЭК России15 февраля 2008; Сборник «Нормативно-методические документы и порядок проведения работ по защите информации при обработке ее на средствах ЭВТ», Гостехкомиссия России, 1997; Сборник методических документов по контролю защищенности информации, обрабатываемой средствами вычислительной техники, от утечки за счет побочных электромагнитных излучений и наводок (ПЭМИН), новая редакция, ФСТЭК России, 2005; Временная методика оценки защищенности основных технических средств и систем, предназначенных для обработки, хранения и (или) передачи по линиям связи конфиденциальной информации, утв. первым заместителем председателя Гостехкомиссии России 08.11.2001; Временная методика оценки защищенности конфиденциальной информации, обрабатываемой основными техническими средствами и системами, от утечки за счет наводок на вспомогательные технические средства и системы и их коммуникации, утв. первым заместителем председателя Гостехкомиссии России 08.11.2001; Извещение об изменениях «Временных методик оценки…» № 1-2007; Указ Президента Российской Федерации «Об утверждении перечня сведений конфиденциального характера» № 188 от 06.03.1997; Указ Президента Российской Федерации «О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационнотелекоммуникационных сетей международного информационного обмена» № 351 от 17.03.2008; Федеральный закон «Об информации, информационных технологиях и о защите информации» № 149-ФЗ от 27.07.2006; Федеральный закон «Об электронной цифровой подписи» № 1-ФЗ от 10.01.2002; Федеральный закон «О коммерческой тайне» № 98-ФЗ от 29.07.2004; Положение по аттестации объектов информатизации по требованиям безопасности информации, утв. председателем Гостехкомиссии России 25.11.1994; Типовое положение об органе по аттестации объектов информатизации по требованиям безопасности информации, утв. Приказом председателя Гостехкомиссии России № 3 от 05.01.1996; Положение о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации» (Положение ПКЗ-2005), утв. приказом ФСБ России № 66 от 09.02.2005; Руководящий документ «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации», утв. решением председателя Гостехкомиссии России от 30.05.1992; Руководящий документ «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации», утв. решением председателя Гостехкомиссии России от 30.05.1992; Руководящий документ «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей», утв. приказом председателя Гостехкомиссии России № 114 от 04.06.1999; Руководящий документ «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации», утв. решением председателя Гостехкомиссии России от 25.06.1997; Методические рекомендации по технической защите информации, составляющей коммерческую тайну, утв. зам. директора ФСТЭК России 25.12.2006; ГОСТ 34. 602-89. Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы; ГОСТ 51275-99. Защита информации. Объект информатизации. Факторы, воздействующие на информацию; ГОСТ 51583-2000. Порядок создания АС в защищенном исполнении. Цели и задачи проектирования системы защиты информации Цель: определить концепцию и архитектуру системы защиты информации, способ её реализации и проведения испытаний. Задачи: определить основные требования по защите информации в РС ЕГИС СЗ РФ РА; определить конфигурацию системы; определить организационно-технические мероприятия по внедрению и эксплуатации системы защиты информации; определить требования к персоналу обслуживающему систему защиты информации; разработать свод документации по функционированию РС ЕГИС СЗ РФ РА; определить порядок проведения работ по аттестации объекта информатизации. Характеристики объектов информатизации Краткие сведения и сведения об условиях эксплуатации РС ЕГИС СЗ РФ РА описаны в системном проекте. Требования к системе, состав и содержание работ по созданию системы Должен быть составлен перечень работ, по результатам проектирования должна быть разработана программа аттестационных испытаний, в которой должны быть указаны перечень, порядок, содержание работ по аттестации, методы и методики испытаний, перечень контрольноизмерительного оборудования и тестовых средств. Программа аттестационных испытаний должна быть согласована с Заказчиком. Общие требования к системе защиты (СЗ) СЗ должна реализовываться с использованием средств защиты информации, составляющих и формирующих функциональные подсистемы СЗ. В СЗ должны использоваться только средства защиты информации, сертифицированные в установленном порядке в системе сертификации ФСТЭК России. В состав СЗ должны входить следующие подсистемы: - подсистема управления доступом; - подсистема регистрации и учета; - подсистема контроля целостности; - подсистема криптографической защиты; - подсистема межсетевого экранирования; - подсистема обнаружения атак; - подсистема анализа защищённости; - подсистема антивирусной защиты; - подсистема централизованного управления. Требования к подсистеме управления доступом Подсистема управления доступом должна обеспечивать выполнение следующих базовых требований: - идентификация и проверка подлинности пользователя при входе в систему по паролю условно-постоянного действия длинной не менее шести буквенно-цифровых символов; должны быть реализованы механизмы идентификации и строгой двухфакторной аутентификации пользователей с применением внешних устройств аутентификации на основе технологии персональных электронных ключей (в случае использования тонких клиентов, на них должна быть реализована поддержка средств двухфакторной аутентификации); - должна быть реализована возможность применения механизмов дискреционного принципа доступа; - должна осуществляется настройка блокирования доступа к портам и устройствам переноса информации. Требования к подсистеме регистрации и учета Подсистема регистрации и учета должна обеспечивать выполнение следующих требований: - регистрация входа/выхода субъектов доступа в систему/из системы либо регистрация загрузки и инициализации операционной системы и ее программное завершение; - учет всех защищаемых носителей информации с помощью их маркировки и занесение учетных данных в журнал учета с отметкой об их выдаче/приеме. Требования к подсистеме контроля целостности Подсистема контроля целостности должна обеспечивать выполнение следующих требований: - обеспечение целостности программных средств СЗ и неизменности программной среды; -тестирование функций подсистемы защиты от НСД при изменении программной среды и персонала системы с помощью тестовых программ, имитирующих попытки НСД; - наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонент средств защиты информации, их периодическое обновление и контроль работоспособности. Целостность программных средств СЗИ, а также неизменность программной среды должны обеспечиваться встроенными средствами обеспечения целостности операционной системы и СрЗИ от НСД, а также комплексом организационных мер по контролю доступа и физической охране средств вычислительной техники (СВТ). Тестирование СрЗИ от НСД должно обеспечиваться при изменении программной среды и на регулярной основе комплексом организационных мер и техническими средствами анализа защищенности. В случае нарушения целостности программных компонент должно быть обеспечено восстановление исходного состояния из резервных копий. Требования к подсистеме криптографической защиты Подсистема криптографической защиты должна обеспечивать криптографическую защиту информации при ее передаче по незащищенным каналам связи, выходящим за пределы контролируемой зоны. Для организации юридически значимого электронного документооборота в подсистеме криптографической защиты должна быть реализована возможность применения цифровой подписи для любой версии документа. Подпись создается с применением шифрования (на основе закрытого ключа) хеша канонического представления XML документа, сохраняемого пользователем. В качестве криптопровайдеров могут использовать только сертифицированные в РФ по ГОСТ криптоалгоритмы. При отсутствии инфраструктуры открытых/закрытых ключей шаг по шифрованию может быть пропущен, в результате чего в документе будет оставлен только хеш содержимого. Цифровая подпись сохраняется внутри версионного контейнера, что позволяет ему быть переданным с помощью механизмов обмена данными на основе ГОСТ Р ИСО 13606. Чтобы защитить сами сохраненные версии от взлома, необходимо обеспечить функционирование удостоверяющих центров, с помощью которых любая использованная цифровая подпись может быть проверена на валидность. Требования к подсистеме межсетевого экранирования Подсистема межсетевой безопасности должна обеспечивать: - фильтрацию на сетевом уровне независимо для каждого сетевого пакета; - фильтрацию пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств; - фильтрацию с учетом входного и выходного сетевого интерфейса как средства проверки подлинности сетевых адресов; - фильтрацию с учетом любых значимых полей сетевых пакетов; - регистрацию и учет фильтруемых пакетов; - идентификацию и аутентификацию администратора межсетевого экрана; - регистрацию входа (выхода) администратора межсетевого экрана в систему; - регистрацию запуска программ и процессов (заданий, задач); - контроль целостности своей программной и информационной части; -восстановление свойств межсетевого экрана после сбоев и отказов оборудования; - регламентное тестирование реализации правил фильтрации, процесса регистрации, процесса идентификации и аутентификации администратора межсетевого экрана, процесса регистрации действий администратора межсетевого экрана, процесса контроля за целостностью программной и информационной части, процедуры восстановления. Требования к подсистеме обнаружения атак Подсистема обнаружения атак должна строиться на основе средств обнаружения вторжений в информационную систему, нарушающих или создающих предпосылки к нарушению установленных требований по обеспечению безопасности персональных данных, сертифицированных по требованиям ФСТЭК России. Требования к подсистеме анализа защищённости Подсистема анализа защищённости должна обеспечивать возможность выявления уязвимостей, связанных с ошибками в конфигурации ПО информационных систем РС ЕГИС СЗ РФ РА, которые могут быть использованы нарушителем для реализации атаки на систему. Требования к подсистеме антивирусной защиты В соответствии с пунктом 2.4 «Положения о методах и способах защиты информации в информационных системах персональных данных» в СЗ должны использоваться средства антивирусной защиты. Требования к подсистеме централизованного управления Подсистема централизованного управления должна обеспечивать централизованное управление СЗ. Подсистема централизованного управления должна обеспечивать выполнение следующих требований: - администрирование СрЗИ; - оповещение ответственных лиц об инцидентах ИБ. Администрирование СрЗИ, проектируемых в рамках проекта СЗ, должно включать в себя серверы управления СрЗИ, консоли управления. В перечень работ по созданию системы, кроме всего прочего необходимо включить: изучение технологических процессов обработки и хранения информации, анализ информационных потоков и т.п.; классификацию и категорирования объекта информатизации (персональные данные, медицинская тайна и др.); разработку организационно-распорядительной, проектной и эксплуатационной документации; оценку требуемого уровня подготовки кадров и распределения ответственности за выполнение требований по защите информации; испытания отдельных технических и программных средств, средств и подсистем защиты, инженерного оборудования на соответствие требованиям по безопасности информации с помощью контрольно-измерительного оборудования и тестовых средств; испытания АС на соответствие требованиям по защите информации от утечки по каналам ПЭМИН; испытания АС на соответствие требованиям по защите информации от несанкционированного доступа (НСД); проверку выполнения требований на отсутствие в технических средствах специальных электронных устройств перехвата информации (спецпроверка); комплексные аттестационные испытания объекта информатизации провести в реальных условиях эксплуатации путем проверки фактического выполнения установленных требований на различных этапах технологического процесса обработки защищаемой информации; подготовку отчётной документации – оформление протоколов испытаний, анализ результатов и утверждение заключения по результатам аттестационных испытаний (процедура аттестации); разработку порядка проведения, контроля и приемки работ (в составе ТЗ); разработку требований к системе непосредственно при ее эксплуатации (в составе ТЗ). Требования к документации ТП должен включать в себя кроме основных следующие подразделы: - постановку задачи, решение, описание решения (решения по внедрению); - основные направления деятельности подразделения по защите информации в ИС РС ЕГИС РФ РА и планирования в области обеспечения информационной безопасности; - комплекс оперативных и долговременных мер по выявлению, предупреждению и устранению угроз информационной безопасности, локализации и нейтрализации последствий их проявления; - спецификацию средств ЗИ, ПО с расчётом финансирования расходов на обеспечение информационной безопасности (ориентировочные значения); - приложения с разработанной документацией на РС ЕГИС РФ РА (шаблон технического паспорта, стандарт безопасности, акты классификации, модель угроз, модель нарушителя, журналы, проекты должностных обязанностей, перечень сведений ограниченного распространения, конфиденциальное производство, и др. по согласованию) Отдельно в ТП должны быть описаны: - Меры по предотвращению утечек. - Меры по заглаживанию последствий утечек (в том числе регламент работы с гражданами).