Подякувати Студентському архіву довільною сумою
Admin
26.02.2023 12:38
Дякуємо, що користуєтесь нашим архівом!
🚀 Вийди на новий рівень крипто-торгівлі!
Easy Trade Bot — автоматизуй свій прибуток уже зараз!
Ми пропонуємо перелік перевірених прибуткових стратегій на такі пари як BTC, DOT, TRX, AAVE, ETH, LINK та інші. Ви можете підключити автоматичну торгівлю на своєму акаунті Binance або отримувати торгові рекомендації на email у режимі реального часу. Також можемо створити бота для обраної вами монети.
Всі результати торгів ботів доступні для перегляду у зручних таблицях на головній сторінці. Швидко, динамічно та прозоро!
Інформація про навчальний заклад
ВУЗ:
Інші
Інститут:
Не вказано
Факультет:
Не вказано
Кафедра:
Не вказано
Інформація про роботу
Рік:
2025
Тип роботи:
Інші
Предмет:
Захист інформації
Частина тексту файла (без зображень, графіків і формул):
НОРМАТИВНИЙ ДОКУМЕНТ
СИСТЕМИ ТЕХНІЧНОГО ЗАХИСТУ ІНФОРМАЦІЇ
Вимоги із захисту конфіденційної інформації від несанкціонованого доступу під час оброблення в автоматизованих системах класу 2
Департамент спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України
Київ 2002
НОРМАТИВНИЙ ДОКУМЕНТ
СИСТЕМИ ТЕХНІЧНОГО ЗАХИСТУ ІНФОРМАЦІЇ
Затверджено
наказ Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України
від “ 13 ” грудня 2002 р. № 84
Вимоги із захисту конфіденційної інформації від несанкціонованого доступу під час оброблення в автоматизованих системах класу 2
НД ТЗІ 2.5-008-2002
ДСТСЗІ СБ України
Київ Передмова
1 РОЗРОБЛЕНО і ВНЕСЕНО Головним управлінням технічного захисту інформації Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України
2 ВВЕДЕНО ВПЕРШЕ
Цей документ не може бути повністю або частково відтворений, тиражований і розповсюджений без дозволу Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України
Зміст
1 Галузь використання 5
2 Нормативні посилання 5
3 Визначення 6
4 Позначення та скорочення 6
5 Загальні вимоги із захисту конфіденційної інформації 7
6 Характеристика типових умов функціонування та вимог із захисту інформації в автоматизованій системі класу 2 8
6.1 Характеристика обчислювальної системи 8
6.2 Характеристика фізичного середовища 10
6.4 Характеристика оброблюваної інформації 12
6.5 Характеристика технологій оброблення інформації 13
7 Політика реалізації послуг безпеки інформації в АС класу 2 16
7.1 Вимоги до забезпечення конфіденційності оброблюваної інформації 17
7.1.1 Довірча конфіденційність 17
7.1.2 Адміністративна конфіденційність 18
7.1.3 Повторне використання об'єктів 18
7.2 Вимоги до забезпечення цілісності оброблюваної інформації 19
7.2.1 Довірча цілісність 19
7.2.2 Адміністративна цілісність 19
7.2.3 Відкат 20
7.3 Вимоги до забезпечення доступності оброблюваної інформації 21
7.3.1 Використання ресурсів 21
7.3.2 Стійкість до відмов 21
7.3.3 Гаряча заміна 22
7.3.4 Відновлення після збоїв 22
7.4 Вимоги до забезпечення спостереженості оброблюваної інформації 23
7.4.1 Реєстрація 23
7.4.2 Достовірний канал 23
7.4.3 Цілісність комплексу засобів захисту 24
7.4.4 Самотестування 24
7.4.5 Ідентифікація та автентифікація 25
7.4.6 Розподіл обов'язків 25
8 Критерії гарантій 26
8.1 Архітектура 26
8.2 Середовище розробки 26
8.3 Послідовність розробки 26
8.4 Середовище функціонування 27
8.5 Документація 27
8.6 Випробування 27
НД ТЗІ 2.5-008-2002
Вимоги із захисту конфіденційної інформації від несанкціонованого доступу під час оброблення в автоматизованих системах класу 2
Чинний від 2002-12-20
1 Галузь використання
Цей документ визначає вимоги із захисту конфіденційної інформації від несанкціонованого доступу під час оброблення в автоматизованих системах класу 2 і установлює згідно з визначеними НД ТЗІ 2.5-004 специфікаціями мінімально необхідний перелік функціональних послуг безпеки та рівнів їх реалізації у комплексах засобів захисту інформації (стандартний функціональний профіль захищеності).
Мета цього документа – надання нормативно-методологічної бази під час розроблення комплексів засобів захисту від НСД до конфіденційної інформації, яка обробляється в АС класу 2, створення комплексної системи захисту інформації в установі (організації), проведення аналізу та оцінки захищеності інформації від несанкціонованого доступу в системах такого класу, а також рекомендацій для визначення необхідного функціонального профілю захищеності інформації в конкретній АС.
Цей НД ТЗІ призначений для суб’єктів відносин (власників або розпорядників АС, користувачів), діяльність яких пов’язана з обробкою в автоматизованих системах конфіденційної інформації, розробників комплексних систем захисту інформації в автоматизованих системах, для постачальників компонентів АС, а також для фізичних та юридичних осіб, які здійснюють оцінку захищеності АС на відповідність вимогам ТЗІ.
Вимоги цього НД ТЗІ є обов’язковими для державних органів, Збройних Сил, інших військових формувань, МВС, Ради Міністрів Автономної республіки Крим та органів місцевого самоврядування, а також підприємств, установ та організацій усіх форм власності, в АС яких обробляється конфіденційна інформація, що є власністю держави. Для конфіденційної інформації, що не є власністю держави, вимоги даного нормативного документа суб’єкти господарської діяльності можуть використовувати на власний розсуд.
2 Нормативні посилання
У цьому НД ТЗІ наведено посилання на такі нормативні документи:
Інструкція про порядок обліку, зберігання й використання документів, справ, видань та інших матеріальних носіїв інформації, які містять конфіденційну інформацію, що є власністю держави. Затверджена постановою Кабінету Міністрів України від 27 листопада 1998 р. №1893;
НД ТЗІ 1.1-003-99. Термінологія у галузі захисту інформації в комп'ютерних системах від несанкціонованого доступу;
НД ТЗІ 2.5-004-99. Критерії оцінки захищеності інформації в комп'ютерних системах від несанкціонованого доступу;
НД ТЗІ 2.5-005-99. Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу;
НД ТЗІ 1.4-001-2000 Типове положення про службу захисту інформації в автоматизованій системі.
3 Визначення
У цьому НД ТЗІ використовуються терміни й визначення, які відповідають встановленим НД ТЗІ 1.1-003.
Крім того, використовуються такі поняття.
Сильнозв’язані об’єкти - сукупність наборів даних, що характеризується наявністю мінімальної надлишковості і допускають їх оптимальне використання одним чи декількома процесами як одночасно, так і в різні проміжки часу і вимагають безумовного забезпечення цілісності цих наборів даних як сукупності.
Фактично сильнозв’язаними об’єктами можуть бути бази даних, що підтримуються стандартними для галузі системами управління, сукупності наборів даних, які генеруються й модифікуються будь-якими функціональними або системними процесами і кожний з наборів даних, які складають цю множину, не може самостійно оброблятися, зберігатися і передаватися.
Слабозв’язані об’єкти – відносно незалежні набори даних, що генеруються, модифікуються, зберігаються й обробляються в АС.
Фактично слабозв’язані об’єкти - це інформаційні структури, представлені у вигляді окремих файлів, що підтримуються штатними операційними системами робочих станцій та серверів, і кожний з них може оброблятися, зберігатися й передаватися як самостійний об’єкт.
Далі у тексті будуть використовуватися як синонімічні поняття “автоматизована система” та “автоматизована система класу 2”, а також “конфіденційна інформація” та “інформація, якій за правовим режимом присвоєно гриф ДСК”.
4 Позначення та скорочення
У цьому НД ТЗІ використовуються такі позначення й скорочення:
АС – автоматизована система;
ДСК – для службового користування;
ЕОМ – електронна обчислювальна машина, комп'ютер;
КЗЗ – комплекс засобів захисту;
КСЗІ – комплексна система захисту інформації;
НД ТЗІ – нормативний документ системи технічного захисту інформації;
НСД – несанкціонований доступ;
ПЗП – постійний запам’ятовуючий пристрій;
ПЕОМ – персональна електронна обчислювальна машина, персональний комп'ютер;
СЗІ - служба захисту інформації;
СКБД - система керування базами даних.
Позначення послуг безпеки згідно з НД ТЗІ 2.5-004:
ДВ-1 - ручне відновлення;
ДЗ-1 – модернізація;
ДР-1 - квоти;
ДС-1 - стійкість при обмежених відмовах;
КА-2 - базова адміністративна конфіденційність;
КД-2 - базова довірча конфіденційність;
КО-1 - повторне використання об'єктів;
НИ-2 - одиночна ідентифікація та автентифікація;
НК-1 - однонаправлений достовірний канал;
НО-2 - розподіл обов'язків адміністраторів;
НТ-2 - самотестування при старті;
НР-2 - захищений журнал;
НЦ-2 - КЗЗ з гарантованою цілісністю;
ЦА-1 – мінімальна адміністративна цілісність;
ЦА-2 – базова адміністративна цілісність;
ЦД-1 - мінімальна довірча цілісність;
ЦО-1 - обмежений відкат.
5 Загальні вимоги із захисту конфіденційної інформації
5.1 Засади щодо захисту конфіденційної інформації визначаються Законами України “Про інформацію” і “Про захист інформації в автоматизованих системах”, іншими нормативно-правовими актами, виданими у відповідності з цими законами, а також “Інструкцією про порядок обліку, зберігання і використання документів, справ, видань та інших матеріальних носіїв інформації, які містять конфіденційну інформацію, що є власністю держави”.
5.2 Впровадження заходів із захисту інформації в конкретній АС не повинно суттєво погіршувати основних її характеристик стосовно продуктивності, надійності, сумісності, керованості, розширюваності, масштабованості тощо.
5.3 Обробка в автоматизованій системі конфіденційної інформації здійснюється з використанням захищеної технології.
Технологія обробки інформації є захищеною, якщо вона містить програмно-технічні засоби захисту та організаційні заходи, що забезпечують виконання загальних вимог із захисту інформації. Загальні вимоги передбачають:
- наявність переліку конфіденційної інформації, яка підлягає автоматизованій обробці; у разі необхідності можлива її класифікація в межах категорії за цільовим призначенням, ступенем обмеження доступу окремих категорій користувачів та іншими класифікаційними ознаками;
- наявність визначеного (створеного) відповідального підрозділу, якому надаються повноваження щодо організації і впровадження технології захисту інформації, контролю за станом захищеності інформації (далі - служба захисту в АС, СЗІ);
- створення комплексної системи захисту інформації (далі - КСЗІ), яка являє собою сукупність організаційних і інженерно-технічних заходів, програмно-апаратних засобів, спрямованих на забезпечення захисту інформації під час функціонування АС;
- розроблення плану захисту інформації в АС, зміст якого визначено в додатку до НД ТЗІ 1.4-001;
- наявність атестата відповідності КСЗІ в АС нормативним документам із захисту інформації;
- можливість визначення засобами КСЗІ декількох ієрархічних рівнів повноважень користувачів та декількох класифікаційних рівнів інформації;
- обов’язковість реєстрації в АС усіх користувачів та їхніх дій щодо конфіденційної інформації;
- можливість надання користувачам тільки за умови службової необхідності санкціонованого та контрольованого доступу до конфіденційної інформації, що обробляється в АС;
- заборону несанкціонованої та неконтрольованої модифікації конфіденційної інформації в АС;
- здійснення СЗІ обліку вихідних даних, отриманих під час вирішення функціональних задач у формі віддрукованих документів, що містять конфіденційну інформацію, у відповідності з “Інструкцією про порядок обліку, зберігання й використання документів, справ, видань та інших матеріальних носіїв інформації, які містять конфіденційну інформацію, що є власністю держави”;
- заборону несанкціонованого копіювання, розмноження, розповсюдження конфіденційної інформації в електронному вигляді;
- забезпечення СЗІ контролю за санкціонованим копіюванням, розмноженням, розповсюдженням конфіденційної інформації в електронному вигляді;
- можливість здійснення однозначної ідентифікації та автентифікації кожного зареєстрованого користувача;
- забезпечення КСЗІ можливості своєчасного доступу зареєстрованих користувачів АС до конфіденційної інформації.
6 Характеристика типових умов функціонування та вимог із захисту інформації в автоматизованій системі класу 2
До АС класу 2, згідно з встановленою НД ТЗІ 2.5-005 класифікацією, відносяться автоматизовані системи, створені на базі локалізованого багатомашинного багатокористувачевого комплексу.
До складу АС класу 2 входять обчислювальна система, фізичне середовище, в якому вона знаходиться і функціонує, користувачі АС та оброблювана інформація, у тому числі й технологія її оброблення. Під час забезпечення захисту інформації необхідно враховувати всі характеристики зазначених складових частин, які мають вплив на реалізацію політики безпеки.
Цей розділ визначає типові умови функціонування усіх компонентів, які входять до складу АС, вводить окремі обмеження та вимоги із захисту інформації до окремих компонентів АС, встановлює класифікацію технологій оброблення інформації. Для визначеної таким чином типової схеми функціонування АС установлюються можливі варіанти для вибору функціональних профілів захищеності інформації від НСД.
6.1 Характеристика обчислювальної системи
6.1.1 Метою створення автоматизованих систем класу 2 є надання будь-якому користувачеві, у відповідності із захищеною технологією обробки інформації, потенційної можливості доступу до інформаційних ресурсів усіх комп’ютерів, що об’єднані в обчислювальну мережу.
Узагальнена функціонально-логічна структура обчислювальної системи АС класу 2 включає:
- підсистему обробки інформації;
- підсистему взаємодії користувачів з АС;
- підсистему обміну даними.
6.1.2 Підсистема обробки інформації реалізує головну цільову функцію АС і складається із засобів обробки інформації, які утворюють основу інформаційно-обчислювальних ресурсів АС, що надаються користувачам (обчислення, пошук, зберігання та оброблення інформації). Принциповими її особливостями є багатофункціональність і можливість доступу до неї для будь-яких робочих станцій АС. Можливі обмеження визначаються тільки специфікою технологій, технічними й організаційними особливостями функціонування АС.
Як компоненти підсистеми можуть використовуватися універсальні високопродуктивні ЕОМ (у тому числі й ПЕОМ), спеціалізовані сервери обробки даних або надання послуг (сервери баз даних, друку тощо).
6.1.3 Підсистема взаємодії користувачів з АС забезпечує користувачам доступ до засобів підсистеми обробки інформації і подання отриманого від них ресурсу у вигляді результату обчислення, інформаційного масиву або графічного зображення у зручній та зрозумілій для користувача формі.
Компоненти підсистеми у функціональному відношенні є автономно замкненими та, як правило, не передбачається доступ до їх внутрішніх обчислювальних ресурсів зі сторони інших компонентів АС.
Як компоненти підсистеми можуть використовуватися ПЕОМ, що укомплектовані засобами введення та відображення інформації (робочі станції), дисплейні станції.
6.1.4 Підсистема обміну даними забезпечує взаємодію робочих станцій із засобами підсистеми обробки інформації, а також робочих станцій між собою на основі визначених правил, процедур обміну даними з реалізацією фаз встановлення, підтримання та завершення з’єднання. Підсистема забезпечує інформаційну взаємодію різних компонентів АС і об’єднує їх в єдине ціле як у структурному, так і у функціональному відношенні.
Підсистема обміну даними складається з пасивної мережі для обміну даними (кабельна мережа), активного мережевого обладнання (комутаторів, концентраторів, маршрутизаторів, шлюзів тощо), що об’єднує в єдине ціле пасивну мережу з обладнанням інших підсистем для забезпечення інформаційної взаємодії.
Як різновид підсистеми обміну даними можна розглядати структуровану кабельну систему – набір стандартних комутаційних елементів (кабелів, з’єднувачів, коннекторів, кросових панелей і спеціальних шаф та ін.), які дозволяють створювати регулярні структури передачі даних, що відносно легко розширюються.
6.1.5 Обчислювальні системи, за допомогою яких реалізуються підсистема обробки інформації та підсистема взаємодії користувачів з АС, укомплектовані:
- засобами обчислювальної техніки;
- периферійним обладнанням - пристроями друку, зберігання інформації тощо;
- комплексом програмного забезпечення обчислювальної системи;
- комплексом програмно-апаратних засобів захисту інформації.
У разі необхідності засоби обчислювальної техніки додатково можуть комплектуватися сумісними периферійними пристроями і відповідними модулями системного програмного забезпечення.
6.1.6 Комплекс програмного забезпечення обчислювальної системи складають:
- операційні системи серверів;
- операційні системи універсальних високопродуктивних ЕОМ;
- операційні системи робочих станцій;
- операційні системи, що забезпечують виконання мережевих функцій;
- програмні засоби, що підтримують реалізацію протоколів передачі даних обчислювальної мережі;
- програмні засоби активних компонентів мережі, що реалізують спеціальні алгоритми управління мережею;
- системи керування базами даних серверів, високопродуктивних універсальних ЕОМ, робочих станцій;
- програмні засоби забезпечення КЗЗ;
- функціональне програмне забезпечення.
6.1.7 Наведена функціонально-логічна структура АС може розглядатися як універсальна, в той час як фізична структура автоматизованої системи може мати значно більшу кількість модифікацій в залежності від цілей та завдань, які вона повинна вирішувати, способу розподілу функцій між окремими технічними засобами, видів та можливостей технічних засобів, що застосовуються, інших специфічних особливостей, які враховуються під час проектування конкретної обчислювальної мережі.
6.1.8 Типові адміністративні та організаційні вимоги до обчислювальної системи АС, умов її функціонування і забезпечення захисту інформації визначаються наступним.
6.1.8.1 Для АС в цілому та (або) для окремих (усіх) її компонентів у відповідності до вимог із захисту інформації від НСД повинен бути сформований перелік необхідних функціональних послуг захисту і визначено рівень гарантій їх реалізації.
6.1.8.2 Сервери, робочі станції, периферійні пристрої, інші технічні засоби обробки конфіденційної інформації повинні бути категорійовані згідно з вимогами нормативних документів із технічного захисту інформації, якщо це вимагається цими документами .
Засоби захисту інформації, інші технічні засоби та програмне забезпечення АС, що задіяні в КСЗІ, повинні мати підтвердження їхньої відповідності нормативним документам із захисту інформації (атестат, сертифікат відповідності, експертний висновок) і використовуватись згідно з вимогами, визначеними цими документами. Інших обмежень щодо типів технічних засобів обробки інформації та обладнання, видів програмного забезпечення не запроваджується.
6.1.8.3 Технічна та експлуатаційна документація на засоби захисту та обробки інформації, системне та функціональне програмне забезпечення належним чином класифіковані і для кожної категорії користувачів визначено перелік документації, до якої вони можуть отримати доступ. Доступ до документації фіксується у відповідних реєстрах. Порядок ведення реєстрів визначає СЗІ.
6.1.8.4 Сервери і робочі станції, що здійснюють зберігання та обробку конфіденційної інформації, повинні розташовуватися в приміщеннях, доступ до яких обслуговуючого персоналу та користувачів різних категорій здійснюється в порядку, що визначений СЗІ та затверджений керівником установи (організації).
6.1.8.5 Повинен здійснюватися контроль за доступом користувачів та обслуговуючого персоналу до робочих станцій, серверів АС і компонентів підсистеми обміну даними на всіх етапах життєвого циклу АС, а також періодичний контроль за цілісністю компонентів підсистеми обміну даними (з метою виявлення несанкціонованих відводів від компонентів підсистеми).
6.1.8.6 З метою забезпечення безперервного функціонування під час оброблення, зберігання та передачі конфіденційної інформації АС повинна мати можливість оперативного, без припинення її функціонування, проведення регламентного обслуговування, модернізації обчислювальної системи в цілому або окремих її компонентів. Порядок введення в експлуатацію нових компонентів, якщо це впливає на захист інформації в АС, визначається СЗІ.
6.1.8.7 Програмно-апаратні засоби захисту, що входять до складу КЗЗ, разом з організаційними заходами повинні забезпечувати СЗІ інформацією про користувачів, які працюють в системі, з локалізацією точки їхнього входу в систему і переліком технічних засобів і процесів, до яких вони отримали доступ.
6.1.8.8 Має бути визначено порядок організації та проведення СЗІ процедур періодичного та/або динамічного тестування комплексу засобів захисту інформації під час функціонування АС.
6.2 Характеристика фізичного середовища
6.2.1 У загальному випадку АС є територіально розосередженою системою, фізичне розташування компонентів якої можна представити як ієрархію, що включає:
- територію, на якій вона знаходиться;
- будівлю, яка знаходиться на території;
- окреме приміщення в межах будівлі.
6.2.2 АС комплектується необхідними засобами енергозабезпечення, сигналізації, зв’язку, допоміжними технічними засобами, іншими системами життєзабезпечення.
6.2.3 Типові адміністративні та організаційні вимоги щодо умов розміщення компонентів АС наступні.
6.2.3.1 Усі будівлі повинні бути розміщені в межах контрольованої території, що має пропускний та внутрішній режими, які відповідають режимним вимогам, що визначено чинними в організації нормативними та розпорядчими документами.
6.2.3.2 Контроль за доступом до приміщень, де знаходяться критичні з точки зору безпеки інформації компоненти АС, повинен забезпечуватись на всіх етапах її життєвого циклу. Порядок доступу до приміщень із визначенням категорій користувачів, які мають право це здійснювати, визначається СЗІ і затверджується керівником організації.
6.2.3.3 Для приміщень, в яких розташовані категорійовані компоненти АС, повинні бути вжиті відповідні заходи із захисту інформації від витоку технічними каналами, достатність і ефективність яких засвідчується актами атестації комплексів технічного захисту інформації для кожного такого приміщення.
6.3 Характеристика користувачів
6.3.1 За рівнем повноважень щодо доступу до інформації, характером та складом робіт, які виконуються в процесі функціонування автоматизованих систем, особи, що мають доступ до АС, поділяються на наступні категорії:
- користувачі, яким надано повноваження розробляти й супроводжувати КСЗІ (адміністратор безпеки, співробітники СЗІ);
- користувачі, яким надано повноваження забезпечувати управління АС (адміністратори операційних систем, СКБД, мережевого обладнання, сервісів та ін.);
- користувачі, яким надано право доступу до конфіденційної інформації одного або декількох класифікаційних рівнів;
- користувачі, яким надано право доступу тільки до відкритої інформації;
- технічний обслуговуючий персонал, що забезпечує належні умови функціонування АС;
- розробники та проектувальники апаратних засобів АС, що забезпечують її модернізацію та розвиток;
- розробники програмного забезпечення, які здійснюють розробку та впровадження нових функціональних процесів, а також супроводження вже діючих;
- постачальники обладнання і технічних засобів АС та фахівці, що здійснюють його монтаж, поточне гарантійне й післягарантійне обслуговування;
- технічний персонал, що здійснює повсякденне підтримання життєдіяльності фізичного середовища АС (електрики, технічний персонал з обслуговування будівель, ліній зв’язку тощо).
6.3.2 Усі користувачі та персонал АС повинні пройти підготовку щодо умов та правил використання технічних та програмних засобів, які застосовуються ними під час виконання своїх службових та функціональних обов’язків.
6.3.3 Доступ осіб всіх категорій, зазначених у п. 6.3.1, до конфіденційної інформації та її носіїв здійснюється на підставі дозволу, що надається наказом (розпорядженням) керівника організації. Дозвіл надається лише для виконання ними службових та функціональних обов’язків і на термін не більший, ніж той, що цими обов’язками передбачений.
Якщо в АС встановлено декілька класифікаційних рівнів конфіденційної інформації, кожній особі з допущених до роботи в АС мають бути визначені її повноваження щодо доступу до інформації певного класифікаційного рівня.
Дозвіл на доступ до конфіденційної інформації, що обробляється в АС, може надаватися лише користувачам. Як виключення, в окремих випадках (наприклад, аварії або інші непередбачені ситуації) дозвіл може надаватися іншим категоріям осіб на час ліквідації негативних наслідків і поновлення працездатності АС.
6.3.4 Персонал АС, розробники програмного забезпечення, розробники та проектувальники апаратних засобів, постачальники обладнання та фахівці, що здійснюють монтаж і обслуговування технічних засобів АС, і не мають дозволу на доступ до конфіденційної інформації, можуть мати доступ до програмних та апаратних засобів АС лише під час робіт із тестування й інсталяції програмного забезпечення, встановлення і регламентного обслуговування обладнання тощо, за умови обмеження їх доступу до даних конфіденційного характеру.
Зазначені категорії осіб повинні мати дозвіл на доступ тільки до конфіденційних відомостей, які містяться в програмній і технічній документації на АС або на окремі її компоненти, і необхідні їм для виконання функціональних обов’язків.
6.3.5 Порядок та механізми доступу до конфіденційної інформації та компонентів АС особами різних категорій розробляються СЗІ та затверджуються керівником організації.
6.3.6 Для організації управління доступом до конфіденційної інформації та компонентів АС необхідно:
- розробити та впровадити посадові інструкції користувачів та персоналу АС, а також інструкції, якими регламентується порядок виконання робіт іншими особами з числа тих, що мають доступ до АС;
- розробити та впровадити розпорядчі документи щодо правил перепусткового режиму на територію, в будівлі та приміщення, де розташована АС або її компоненти;
- визначити правила адміністрування окремих компонентів АС та процесів, використання ресурсів АС, а також забезпечити їх розмежування між різними категоріями адміністраторів;
- визначити правила обліку, зберігання, розмноження, знищення носіїв конфіденційної інформації;
- розробити та впровадити правила ідентифікації користувачів та осіб інших категорій, що мають доступ до АС.
6.4 Характеристика оброблюваної інформації
6.4.1 В АС обробляється конфіденційна інформація, володіти, користуватися чи розпоряджатися якою можуть окремі фізичні та/або юридичні особи, що мають доступ до неї у відповідності до правил, встановлених власником цієї інформації.
6.4.2 В АС може зберігатися і циркулювати відкрита інформація, яка не потребує захисту, або захист якої забезпечувати недоцільно, а також відкрита інформація, яка у відповідності до рішень її власника може потребувати захисту.
6.4.3 Конфіденційна й відкрита інформація можуть циркулювати та оброблятися в АС як різними процесами для кожної з категорій інформації, так і в межах одного процесу.
6.4.4 У загальному випадку в АС, безвідносно до ступеню обмеження доступу, інформація за рівнем інтеграції характеризується як:
- сукупність сильнозв’язаних об’єктів, що вимагають забезпечення своєї цілісності як сукупність;
- окремі слабозв’язані об’єкти, що мають широкий спектр способів свого подання, зберігання й передачі і вимагають забезпечення своєї цілісності кожний окремо.
Незалежно від способу подання об’єкти можуть бути структурованими або неструктурованими.
КСЗІ повинна реалізувати механізми, що забезпечують фізичну цілісність слабозв’язаних об’єктів, окремих складових сильнозв’язаних об’єктів, та підтримку логічної цілісності сильнозв’язаних об’єктів, що розосереджені в різних компонентах АС.
6.4.5 В АС присутня інформація, яка за часом існування та функціонування:
- є швидкозмінюваною з відносно коротким терміном її актуальності;
- має відносно тривалий час існування при високому ступені інтеграції і гарантуванні стану її незруйнованості за умови приналежності різним користувачам, в рамках сильно- або слабозв’язаних об’єктів.
КСЗІ повинна забезпечити доступність зазначених видів інформації у відповідності до особливостей процесів, що реалізують інформаційну модель конкретного фізичного об’єкта.
6.4.6 АС повинна забезпечувати підтримку окремих класів сукупностей сильнозв’язаних об’єктів стандартними для галузі системами керування базами даних, іншими функціональними чи системними процесами, які надають можливість здійснення паралельної обробки запитів і мають засоби, що в тій чи іншій мірі гарантують конфіденційність і цілісність інформації на рівні таблиць, стовпців таблиці, записів таблиці.
АС повинна забезпечувати підтримку окремих класів сукупностей слабозв’язаних об’єктів стандартними для галузі операційними системами, які мають засоби, що в тій чи іншій мірі гарантують конфіденційність і цілісність інформації на рівні сукупності файлів, окремих файлів.
КСЗІ повинна гарантувати забезпечення цілісності, конфіденційності й доступності інформації, яка міститься в сильно- або слабозв’язаних об’єктах і має ступінь обмеження ДСК, згідно з визначеними у цьому документі вимогами до відповідного функціонального профілю захищеності.
6.5 Характеристика технологій оброблення інформації
6.5.1 Технологічні особливості функціонування АС класу 2 визначаються особливістю архітектури АС, способами застосування засобів обчислювальної техніки для виконання функцій збору, зберігання, оброблення, передавання та використання даних, вимогами до забезпечення властивостей інформації.
АС за структурою технічних та програмних засобів, що використовуються, може бути однорідною або гетерогенною структурою, мати різну топологію, що, відповідно, визначає різні підходи до забезпечення режимів циркулювання інформації в АС та способів доступу до неї.
6.5.2. КСЗІ повинна гарантувати користувачам стійкість автоматизованої системи до відмов та можливість проведення заміни окремих її компонентів з одночасним збереженням доступності до окремих компонентів АС або до АС в цілому.
6.5.3 В АС під час зберігання, оброблення та передавання конфіденційної інформації має забезпечуватися реєстрація дій користувачів способом, що дозволяє однозначно ідентифікувати користувача, адресу робочого місця, з якого здійснено доступ до об’єктів та час, протягом якого здійснювався доступ.
Засоби КЗЗ повинні забезпечити необхідний рівень цілісності та конфіденційності інформації в журналах реєстрації АС із можливим виділенням одного чи декількох серверів аудиту. Статистика роботи користувачів повинна бути спостереженою й доступною для адміністратора безпеки та/або співробітників СЗІ.
Журнали реєстрації системи повинні мати захист від несанкціонованого доступу, модифікації або руйнування.
6.5.4 У загальному випадку кожен користувач АС, що має дозвіл на роботу з конфіденційною інформацією, повинен мати можливість доступу до неї з будь-якої робочої станції автоматизованої системи.
У разі необхідності можуть вводитися обмеження щодо цього. За певних адміністративно-організаційних заходів та відповідних програмно-технічних рішень в АС, де одночасно циркулює інформація різних ступенів доступу, для роботи з інформацією, що має ступінь обмеження ДСК, можуть бути виділені окремі робочі станції. Робота інших робочих станцій, що не віднесені до переліку зазначених вище, повинна блокуватися за умови намагання користувачем будь-якої з категорій отримати доступ до конфіденційної інформації.
КСЗІ повинна забезпечити ідентифікацію користувача з визначенням точки його входу в АС, однозначно автентифікувати його і зареєструвати результат (успішний чи невдалий) цих подій у системному журналі. У випадку виявлення неавторизованого користувача повинна блокуватися можливість його роботи в АС.
6.5.5 КСЗІ повинна забезпечувати можливість двох режимів роботи користувача - із конфіденційною інформацією та з відкритою інформацією, гарантуючи в першому випадку доступ до відповідних об’єктів і процесів як з обмеженим доступом, так і до загальнодоступних, а в останньому - тільки до відкритої інформації й блокування будь-якого доступу до об’єктів і процесів з обмеженим доступу.
В обох режимах повинна забезпечуватися можливість визначення власниками об’єктів конкретних користувачів або їх групи, яким надається право мати доступ до цих об’єктів.
6.5.6 Конфіденційна інформація може зберігатися як на окремих виділених для цього (однорівневих) пристроях - серверах, робочих станціях, запам’ятовуючих пристроях та ін., так і на пристроях, що одночасно зберігають інформацію загального призначення (багаторівневих).
КСЗІ повинна забезпечити розмежування доступу користувачів різних категорій до інформації незалежно від способу її групування на однорівневих чи багаторівневих пристроях.
6.5.7 В АС повинна надаватись можливість формування робочих груп з використанням засобів адміністрування:
- за ознакою належності до того чи іншого компонента автоматизованої системи;
- відповідно до функцій, що необхідно виконувати конкретному користувачеві або групі користувачів.
Крайній випадок - вся АС призначена для забезпечення виконання усіх функцій усіма користувачами або групами користувачів.
Під час цього засоби адміністрування автоматизованої системи повинні забезпечувати контроль за можливостями встановлення, перегляду, модифікації стратегій управління (наприклад, реалізація управління віртуальними мережами), а засоби КЗЗ - гарантувати забезпечення контролю за цілісністю засобів адміністрування АС.
6.5.8 Копіювання об’єктів, що містять конфіденційну інформацію, із сервера на робочу станцію користувача дозволяється тільки у випадках, коли це передбачено технологічними процесами обробки інформації. КЗЗ повинен гарантувати, що зазначені процеси перед завершенням своєї роботи забезпечують копіювання цих об’єктів на сервер (якщо в цьому є потреба) і знищують їх на робочій станції способом, що унеможливлює відновлення або відтворення.
6.5.9 Під час обробки конфіденційної інформації повинна забезпечуватися можливість відміни окремої операції або певної їх послідовності до стану, що визначено користувачем або передбачено технологією реалізації певних процедур функціональним або системним програмним забезпеченням.
6.5.10 Виведення інформації у текстовому вигляді повинно здійснюватися на зареєстровані в установленому порядку паперові носії на спеціально виділених для цього пристроях друку. КСЗІ повинна забезпечити контроль за процесом виконання роздруку інформації з фіксацією в системному журналі: імені користувача, об’єкта, робочої станції та часу, коли здійснюється роздрук. У разі необхідності можлива фіксація додаткової інформації, що характеризує процес роздруку і дозволяє його однозначно ідентифікувати.
6.5.11 Реалізація функцій копіювання інформації в електронному вигляді на зйомні носії інформації та створення резервних копій може здійснюватися тільки уповноваженими користувачами або за дозволом адміністратора безпеки.
КСЗІ повинна контролювати зазначені процеси шляхом реєстрації в журналі системи: імені користувача, об’єкта копіювання, робочої станції та часу, коли здійснюється процес копіювання або створення резервної копії. Допускається фіксація додаткової інформації, що характеризує ці процеси і дозволяє їх однозначно ідентифікувати.
6.5.12 Повинна бути реалізована можливість виявлення фактів несанкціонованого доступу до об’єктів та (або) процесів, що потенційно можуть призвести до виникнення загроз для інформації, і забезпечена фіксація в журналі системи: імені користувача, об’єкта та (або) процесу, до якого була спроба доступу, місця та часу, коли виникла загроза. Допускається фіксація додаткової інформації, яка дозволяє однозначно ідентифікувати процеси, що створили загрозу. КСЗІ повинна забезпечити блокування роботи робочих станцій, з яких була здійснена загроза інформації.
6.5.13 З урахуванням характеристик і особливостей подання оброблюваної інформації, особливостей процесів, що застосовуються для її оброблення, а також порядку роботи користувачів та вимог до забезпечення захисту інформації в АС класу 2 визначаються такі технології обробки інформації:
- обробка без активного діалогу зі сторони користувача слабозв’язаних об’єктів, що вимагають конфіденційності оброблюваної інформації, або конфіденційності й цілісності оброблюваної інформації;
- обробка без активного діалогу зі сторони користувача сильнозв’язаних об’єктів, що вимагають конфіденційності та цілісності оброблюваної інформації;
- обробка в активному діалоговому режимі зі сторони користувача слабозв’язаних об’єктів, що вимагають конфіденційності та доступності оброблюваної інформації, або конфіденційності та цілісності оброблюваної інформації;
- обробка в активному діалоговому режимі зі сторони користувача сильнозв’язаних об’єктів, що вимагають конфіденційності, цілісності та доступності оброблюваної інформації.
Визначені вище технології обробки інформації можуть бути застосовані як до АС в цілому, так і до окремих її компонентів або процесів, що використовуються в АС. Одночасно в АС можуть застосовуватись декілька технологій.
6.5.14 Обробка без активного діалогу зі сторони користувача слабозв’язаних об’єктів у загальному випадку представляє собою обробку окремого набору даних (або певної їх множини, але послідовно одне за одним) у фоновому режимі, який забезпечується операційними системами (за виключенням однокористувацьких однозадачних), що використовуються на робочих станціях та серверах автоматизованої системи.
Обробка без активного діалогу зі сторони користувача сильнозв’язаних об’єктів являє собою вирішення в фоновому режимі комплексів функціональних задач, які взаємодіють із базами даних, що підтримуються стандартними для галузі СКБД, а також реалізацію будь-яких інших процесів, які здійснюють одночасну обробку певної множини наборів даних, що мають між собою логічні зв’язки.
Обробка в активному діалоговому режимі зі сторони користувача слабозв’язаних об’єктів являє собою обробку окремого набору даних у режимі реального часу в діалозі між користувачем та прикладним процесом, що цю обробку здійснює (наприклад, створення та редагування текстів, і тому подібне).
Обробка в активному діалоговому режимі зі сторони користувача сильнозв’язаних об’єктів являє собою процеси реалізації в режимі реального часу взаємодії між користувачем та базою даних або сильнозв’язаними об’єктами (наприклад, будь-які інформаційні системи, що побудовані з використанням баз даних та СКБД і працюють у реальному часі; будь-
16.01.2013 12:01-
Ділись своїми роботами та отримуй миттєві бонуси!
0%
Оголошення від адміністратора