Разработка алгоритма аттестационных испытаний критически важного объекта информатизации

Заключение
В современных условиях наиболее перспективным способом проверки достигнутого качества функционирования и уровня защищенности критически важных объектов информатизации является процедура аттестации. Для таких объектов аттестация, согласно действующему законодательству, является обязательным условием для начала или продолжения их эксплуатации. В их число входят АС, предназначенные для обработки информации, составляющей государственную тайну, для управления экологически опасными объектами и для ведения секретных переговоров.
В России аттестация, по существу, только начинает внедряться в практику создания и применения АС. В связи с этим существует целый комплекс нерешенных проблем, в числе которых проблемы стандартизации и совершенствования нормативной документации, состоящие в разр ...

Содержание

Содержание 1
Введение 3
Глава первая. Теоретические основы защиты информации объектов информатизации 5
1.1. Типовые объекты информатизации 5
1.1.1. Состав Технических средств приема, обработки, хранения и передачи информации 5
1.1.2. Технические линии утечки информации при ее обработке 6
1.1.3. Линии несанкционированного доступа 10
1.1.4. Защита информации объектов информатизации 11
1.1.4.1. Зашита информации от утечки по техническим линиям 11
1.1.4.2. Защита информации от несанкционированного доступа 20
1.2. Критически важные объекты информатизации 22
Глава вторая. Аттестационные испытания критически важных объектов информатизации 26
2.1. План и специфика проведения аттестационных испытаний критически важных объектов информатизации 26
2.2. Стандартный порядок действий аттестационных испытаний 29
2.3. Классификация и категорирование автоматизированных систем в составе критически важных объектов информатизации 32
2.4. Методы проверок при проведении аттестационных испытаний критически важных объектов информатизации 38
2.5. Алгоритм аттестационных испытаний критически важных объектов информатизации 41
Заключение 65
Список используемых источников 67
Приложение 1 68
Приложение 2 69
Приложение 3 70

Введение

Развитие ИТ - продукции на современном этапе показало не только сложность и динамичность данного процесса, но и неизбежность оценки соответствия ИТ - продукции требованиям безопасности информации. В условиях постоянного увеличения числа уязвимостей объектов информатизации основным механизмом воздействия остается аттестация средств защиты информации. За последние несколько лет в нашей стране отмечается повышенный социальный интерес к проблеме обеспечения безопасности. Данный факт подтверждается несколькими событиями:
вступление страны в ВТО определило необходимость исполнения Закона «О персональных данных». Данное требование изменило отношение всех юридических лиц страны к защите информации конфиденциального характера;
открытая публикация новейших нормативных документов ФСТЭК Ро ссии, ФСБ России и других регуляторов инициировала всеобщее информирование и внедрение новых современных методологий, методов и средств защиты информации в различных сегментах ИТ - области;
возникновение требований по сертификации информационных систем и конкуренция в данном сегменте побудили разработчиков средств защиты к соблюдению правил сертификации на российском рынке компьютерной безопасности.
Исходя из вышесказанного, можно говорить о том, что применение адекватных методов и приемов аттестации объектов информатизации определяет актуальность данного исследования.
Объект исследования: информационная безопасность критически важных объектов информатизации.
Предмет исследования: аттестационные испытания, как условие обеспечения информационной безопасности критически важных объектов информатизации.
Цель исследования: на основе анализа основных методов и приемов аттестации, а также требований обеспечения безопасности объектов информатизации разработать алгоритм аттестационных испытаний критически важного объекта информатизации.
Для реализации данной цели были сформулированы следующие задачи:
1. На основе теоретического анализа сформулировать основные понятия информационной безопасности.
2. Изучить особенности функционирования типовых и критически важных объектов информатизации.
3. Изучить методику аттестационных испытаний критически важного объекта информатизации.
4. Разработать алгоритм аттестационных испытаний критически важного объекта информатизации.
 

ГОСТ РО 0043-003-2012 «Защита информации. Аттестация объектов информатизации. Общие положения».Положение об аттестации объектов информатизации по требованиям безопасности. Утверждено Гостехкомиссией 25.11.94.Аттестация объекта информатизации проводится до ввода объекта информатизации в эксплуатацию и вызвана необходимостью официального подтверждения эффективности системы защиты информации, реализованной на объекте информатизации. Аттестация объектов информатизации может носить добровольный или обязательный характер (в зависимости от собственности КВИ ,государственная/частная, и др.).Порядок проведения аттестации объектов информатизации на соответствие требованиям безопасности информации включает следующие мероприятия: подачу и рассмотрение заявки на аттестацию (приложения 3, 4);предварительное ознакомление с аттестуемым объектом;испытание не сертифицированных средств и систем защиты информации, используемых на аттестуемом объекте (при необходимости);разработка программы и методики аттестационных испытаний;заключение договоров на аттестацию;проведение аттестационных испытаний объекта информатизации;оформление, регистрация и выдача "Аттестата соответствия";осуществление государственного контроля и надзора, инспекционного контроля за проведением аттестации и эксплуатацией аттестованных объектов информатизации; рассмотрение апелляций.При проведении аттестационных испытаний применяют следующие методы, проверки и испытания: экспертно-документальный метод;инструментальный метод с использованием контрольно-измерительной аппаратуры;проверку соответствия примененных параметров настройки элементов системы защиты информации требованиям безопасности информации;проверку подсистем защиты информации от несанкционированного доступа;проверку программной совместимости и корректности функционирования всего комплекса используемых средств вычислительной техники с продукцией, используемой в целях защиты информации;испытания системы защиты информации от несанкционированного доступа путем осуществления попыток несанкционированного доступа к тестовой защищаемой информации в обход используемой системы защиты информации.Аттестационные испытания проводятся в эксплуатационных режимах работы критически важного объекта с использованием тестирующих технических и программных средств.Для проведения испытаний объектов заявитель представляет аттестационной комиссии следующие исходные данные и документацию:оформленный технический паспорт на объект информатизации;акт категорирования объекта ВТ ;акт классификации объекта ВТ по требованиям защиты информации (в соответствии с РД Гостехкомиссии России "Автоматизированные системы Защита от НСД к информации Классификация АС и требования по защите информации");перечень защищаемых на объекте ВТ ресурсов с документальным подтверждением степени секретности каждого ресурса;организационно-распорядительную документацию разрешительной системы доступа персонала к защищаемым ресурсам объекта ВТ;описание технологического процесса обработки информации на объекте ВТ;технологические инструкции пользователям объекта ВТ;предписания на эксплуатацию технических средств и систем;протоколы специальных исследований технических средств и систем;акты или заключения о специальной проверке технических средств;данные по уровню подготовки кадров, обеспечивающих защиту информации;данные о техническом обеспечении средствами контроля эффективности защиты информации и их метрологической поверке;данные о наличии нормативной и методической документации по защите информации и контролю эффективности защиты.Приведенный общий перечень исходных данных и документации может уточняться заявителем в зависимости от особенностей аттестуемого объекта информатизации по согласованию с аттестационной комиссией.Классификация и категорирование автоматизированных систем в составе критически важных объектов информатизацииКласс защищенности автоматизированной системы от НСД к информации устанавливается заказчиком и разработчиком автоматизированной системы с привлечением специалистов по защите информации в соответствии с требованиями руководящих документов ФСТЭК России по этому направлению работ.Классификация необходима для более детальной, дифференцированной разработки требований по защите от НСД с учетом специфических особенностей этих систем.В основу системы классификации АС положены следующие характеристики объектов и субъектов защиты, а также способов их взаимодействия:информационные — определяющие ценность информации, ее объем и степень (гриф) конфиденциальности, а также возможные последствия неправильного функционирования АС из-за искажения (потери) информации;организационные — определяющие полномочия пользователей;технологические — определяющие условия обработки информации, например, способ обработки (автономный, мультипрограммный и т.д.), время циркуляции (транзит, хранение и т.д.), вид АС (автономная, сеть, стационарная, подвижная и т.д.).Основными этапами классификации АС являются:разработка и анализ исходных данных;выявление основных признаков АС, необходимых для классификации;сравнение выявленных признаков АС с классифицируемыми;присвоение АС соответствующего класса защиты информации от НСД.Необходимыми исходными данными для проведения классификации конкретной АС являются:перечень защищаемых информационных ресурсов АС и их уровень конфиденциальности;перечень лиц, имеющих доступ к штатным средствам АС, с указанием их уровня полномочий;матрица доступа или полномочий субъектов доступа по отношению к защищаемым информационным ресурсам АС;режим обработки данных в АС.Выбор класса АС производится заказчиком и разработчиком с привлечением специалистов по защите информации.К числу определяющих признаков, по которым производится группировка АС в различные классы, относятся:наличие в АС информации различного уровня конфиденциальности;уровень полномочий субъектов доступа АС на доступ к конфиденциальной информации;режим обработки данных в АС — коллективный или индивидуальный.Классификация АС приведена в Руководящем документе «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требований по защите информации», (Гостехкомиссия РФ,1992 г., далее — РД к АС). Помимо определения собственно «групп» и «классов» в РД к АС определены основные классификационные требования к каждой группе и классу.Данный РД устанавливается девять классов защищенности АС от несанкционированного доступа к информации. Каждый класс характеризуется определенной минимальной совокупностью требований по защите. Классы подразделяются на три группы, отличающиеся особенностями обработки информации в АС. В пределах каждой группы соблюдается иерархия требований по защите в зависимости от ценности (конфиденциальности) информации и, следовательно, иерархия классов защищенности АС. Класс, соответствующий высшей степени защищенности для данной группы, обозначается индексом № A, где № — номер группы от 1 до 3. Следующий класс обозначается Б и т.д.Третья группа включает АС, в которых работает один пользователь, допущенный ко всей информации АС, размещенной на носителях одного уровня конфиденциальности. Данная группа содержит два класса 3Б и 3А.Вторая группа включает АС, в которых пользователи имеют одинаковые права доступа (полномочия) ко всей информации АС, обрабатываемой и/или хранимой на носителях различного уровня конфиденциальности. Эта группа содержит два класса 2Б и 2А.Первая группа включает многопользовательские АС, в которых одновременно обрабатывается и/или хранится информация разных уровней конфиденциальности и не все пользователи имеют право доступа ко всей информации АС. Данная группа содержит пять классов: 1Д, 1Г, 1В, 1Б и 1А.Категорирование действующих объектов защиты проводится комиссиями, назначенными приказами руководителей, в ведении которых они находятся. В состав комиссии, как правило, включаются представители органов режима секретности, автоматизации, связи, управлений, отделов и служб, заказывающих и эксплуатирующих объект.Категорирование проектируемых объектов защиты осуществляется на этапе разработки ТЗ (ТТЗ) заказывающими управлениями или организациями, в интересах которых создаются эти объекты (предпроектная стадия создания системы защиты информации).Категорирование проводится в следующем порядке:определяются все защищаемые объекты, подлежащие категорированию;определяется высший гриф секретности обрабатываемой информации (ведущихся переговоров) для каждого ОТСС и выделенного помещения;определяются условия размещения защищаемого объекта;по таблице 1 устанавливаются категории ОТСС и выделенных помещений.Результаты работы комиссии оформляются актом, который утверждается должностным лицом, назначившим комиссию.Категория выделенных помещений, согласно СТР-97, устанавливается в зависимости от степени секретности обсуждаемых вопросов и условий эксплуатации (расположения) этих помещений.Степень секретности обрабатываемой информации определяется высшим грифом секретности («особой важности», «совершенно секретно», «секретно») с учетом перечня сведений, подлежащих засекречиванию.Условия расположения объектов защищаемых объектов могут быть особыми и обычными. При этом они считаются:особыми, если объект защиты расположен на удалении менее100 мот учреждений иностранных государств (посольств, консульств, миссий, постоянных представительств иностранных государств, офисов иностранных и совместных с инофирмами предприятий, квартир и дач их иностранных сотрудников, пользующихся экстерриториальностью); обычными, если объект ТСПИ расположен на удалении более100 мот учреждений иностранных государств.К помещениям 1 категории относятся помещения, специально предназначенные для проведения совещаний по вопросам особой важности, а также отдельные служебные кабинеты руководства учреждения (предприятия), в которых могут вестись обсуждения и переговоры по вопросам особой важности.К помещениям 2 категории относятся помещения, специально предназначенные для проведения совещаний по совершенно секретным вопросам, а также служебные кабинеты руководящего состава учреждения (предприятия) и основных его подразделений, в которых могут вестись обсуждения и переговоры по совершенно секретным вопросам.К помещениям 3 категории относятся служебные кабинеты и рабочие комнаты подразделений учреждения (предприятия), в которых проводятся обсуждения и переговоры по вопросам со степенью секретности не выше секретно, а также актовые и конференц-залы, предназначенные для массовых открытых мероприятий, но эпизодически используемые для проведения закрытых мероприятий.Категория технических средств и систем устанавливается в зависимости от степени секретности обрабатываемой информации и условий их расположения относительно постоянных представительств иностранных государств, обладающих правом экстерриториальности.Технические средства и системы, обрабатывающие информацию, составляющую государственную тайну, относятся к 1 категории, если в пределах зоны 2, рассчитанной по требованиям норм для 1 категории, находятся постоянные представительства иностранных государств, обладающие правом экстерриториальности.При отсутствии в пределах зоны 2, рассчитанной по требованиям норм для 1 категории, постоянных представительств иностранных государств, обладающих правом экстерриториальности, категорирование технических средств и систем, обрабатывающих информацию, составляющую государственную тайну, проводится в соответствии с таблицей 1.Таблица 1 Категорирование технических средств и систем, обрабатывающих информацию, составляющую государственную тайнуГриф обрабатываемой информацииВыделенныепомещенияТехническиесредства и системыУсловия расположенияОбычныеОсобыеОбычныеОсобые“Особой важности”1111“Совершенно секретно”2121“Секретно”3132 При наличии средств разграничения доступа к информации и вычислительным ресурсам допускается раздельное категорирование технических средств, входящих в состав защищаемой системы информатизации и соединенных с другими техническими средствами и системами физическими линиями, при обработке этими средствами и системами информации различной степени секретности.Категории выделенных помещений, технических средств и систем информатизации, классы защищенности автоматизированных систем устанавливаются на предпроектной стадии руководителем предприятия (учреждения) по представлению подразделения по защите информации предприятия.Пересмотр категории (класса защищенности) производится в обязательном порядке, если произошло изменение хотя бы одного из критериев, на основании которых они были, установлены, но не реже одного раза в 5 лет.Методы проверок при проведении аттестационных испытаний критически важных объектов информатизацииПри проведении аттестационных испытаний применяются следующие методы проверок и испытаний:экспертно-документальный метод,измерение и оценка уровней защищенности для отдельных технических средств и каналов утечки информации (инструментально-расчетный контроль);проверка функций или комплекса функций защиты информации от несанкционированного доступа (НСД) с помощью тестирующих средств, а также путем пробного запуска средств защиты информации от НСД и наблюдения за их выполнением.Экспертно-документальный метод предусматривает проверку соответствия объекта информатизации установленным требованиям на основании экспертной оценки полноты и достаточности представленных документов по обеспечению необходимых мер защиты информации, а также соответствия реальных условий эксплуатации требованиям по размещению, монтажу и эксплуатации технических средств.В общем виде порядок экспертно-документального контроля выглядит следующим образом (рисунок 2):Проверка правильности классификации АС на основе анализа разрешительной системы доступа персонала к защищаемым информационным ресурсамАнализ технологической схемы обработки информацииПроверка соответствия данных приведенных в техническом паспорте структуре объекта, составу ОТССС и ВТССАнализ подготовленности персонала, отвечающих за защиту информации, курсы переподготовки и повышения квалификацииПроверка правильности категорирования ОВТ и ВП на основе анализа перечня защищаемых информационных ресурсовРисунок 2 Порядок экспертно-документального контроля при проведении аттестационных испытаний критически важных объектов информатизацииИзмерение и оценка уровней защищенности проводится в соответствии с действующими нормативными и методическими документами по защите информации от ее утечки по техническим каналам с использованием поверенной контрольно-измерительной аппаратуры. В зависимости от вида выполняемых операций применяются следующие методы технического контроля:расчетные, при которых контролируемые показатели рассчитываются по методикам, содержащимся в руководящей справочной литературе;инструментальные, когда контролируемые показатели определяются непосредственно по результатам измерения контрольно-измерительной аппаратурой;инструментально-расчетные, при которых контролируемые показатели определяются частично расчетным путем и частично измерением значений некоторых параметров физических полей аппаратными средствами.Инструментально-расчетные методы применяются тогда, когда комплект контрольно-измерительной аппаратуры не позволяет получить сразу конечный результат или не обладает достаточной чувствительностью.Расчетные методы технического контроля применяются в случае отсутствия необходимой контрольно-измерительной аппаратуры, а также при необходимости быстрого получения предварительных ориентировочных результатов о зонах разведдоступности, например, перед инструментальными аттестациями рабочих мест.При проведении технического контроля требуется контрольно-измерительная аппаратура, которая в большинстве случаев обеспечивает получение объективных характеристик контролируемых параметров или исходных данных для получения инструментально-расчетных характеристик. Контрольно-измерительная аппаратура по возможности должна быть портативной, что важно для аттестующих организаций, иметь достаточную чувствительность, соответствующую чувствительности аппаратуры разведки, быть надежной в эксплуатации.Как правило, при проведении контроля расчетно-инструментальным методом проводится большое число измерений на дискретных интервалах и соответственно большое число сложных расчетов, что приводит к быстрой утомляемости испытателей. Поэтому современная тенденция развития контрольно-измерительной аппаратуры заключается в разработке для целей контроля программно-аппаратных комплексов, обеспечивающих полную автоматизацию измерения параметров физических полей и расчета нормируемых показателей защищенности объекта.По результатам контроля состояния и эффективности защиты информации составляется заключение с приложением протоколов контроля.На рисунке 3 представлен порядок проведения инструментально-расчетного контроля при проведении аттестационных испытаний критически важных объектов информатизации.Рисунок 3 Порядок проведения инструментально-расчетного контроля при проведении аттестационных испытаний критически важных объектов информатизацииПроверка и испытания функций или комплекса функций защиты информации от НСД с помощью тестирующих средств проводятся для отдельных средств АС (технических и программных) или программно-технической среды в целом по выбору аттестационной комиссии.В процессе испытаний технических и программных средств используются тестирующие средства, принятые в установленном порядке.Алгоритм аттестационных испытаний критически важных объектов информатизацииАттестационные испытания объекта ВТ проводятся в следующем порядке:изучение технологического процесса автоматизированной обработки информации;проверка на соответствие организационно-техническим требованиям по защите информации;испытания на соответствие требованиям по защите информации от утечки по каналам ПЭМИН;проверка выполнения требований по защите информации от утечки за счет специальных электронных устройств перехвата информации;испытания на соответствие требованиям по защите информации от несанкционированного доступа;подготовка отчетной документации.Рассмотрим подробнее этапы аттестационных испытаний критически важных объектов информатизацииИзучение технологического процесса автоматизированной обработки информацииПри изучении технологического процесса автоматизированной обработки и хранения информации обращается внимание на такие компоненты КВО, как объекты и субъекты доступа, средства обработки и передачи информации:к объектам доступа относятся средства обработки и передачи информации, информационные носители на магнитной и бумажной основе, накопители и все виды памяти ЭВМ, в которых может находиться информация, отдельные документы и их архивы, используемые в технологическом процессе автоматизированной обработки информации, файлы, записи и другие единицы информационных ресурсов, доступ к которым необходимо регламентировать;к субъектам доступа относятся персонал и все лица, которые имеют возможность доступа к средствам обработки информации, а также программные средства, посредством которых осуществляется доступ к объектам;к средствам обработки и передачи информации относятся технические и программные средства ВТ, средства и линии связи, предоставляющие возможности как для перемещения (копирования) информации между различными областями памяти и информационными носителями, различными средствами обработки, определенными для объекта ВТ, так и по выводу информации из установленной для нее сферы обращения.Используя исходные данные по технологии обработки и передачи информации, разрешительной системы доступа персонала к защищаемым ресурсам, анализируется обобщенная технологическая схема объекта ВТ с существующими и возможными информационными потоками, возможностями доступа к обрабатываемой и передаваемой информации.Проверяется соответствие описания технологического процесса обработки, хранения и передачи конфиденциальной информации реальной практике на объекте.