Вимоги до комплексної системи захисту інформації

4.1. Вимоги щодо організаційного забезпечення захисту

4.1.1. З метою забезпечення захисту ІзОД під час її обробки в АСВТЗІ наказом директора ТОВ «Квазар»створюється служба захисту інформації в АСВТЗІ, якій надаються повноваження щодо організації і впровадження КСЗІ, контролю за станом захищеності інформації тощо. У своїй діяльності служба захисту інформації керується документом „Положення про службу захисту інформації”.

4.1.2. Приміщення, в якому розташована АСВТЗІ, повинно відповідати наступним вимогам:

двері повинні бути обладнані двома замковими пристроями різної конфігурації;

вікна повинні бути обладнані металевими гратами;

вікна та двері повинні бути обладнані датчиками системи охоронної сигналізації;

в приміщенні повинен бути встановлений інфрачервоний сповіщувач руху.

4.1.3. Відповідно до рівня повноважень щодо доступу до ІзОД, характеру робіт, які виконуються у процесі функціонування АСВТЗІ, організовується доступ осіб до АСВТЗІ з наступними ролями:

користувач АСВТЗІ;

адміністратор безпеки;

системний адміністратор.

Користувач АСВТЗІ повинен безпосередньо здійснювати обробку ІзОД в АСВТЗІ відповідно вимог Інструкції користувача АСВТЗІ. Користувач АСВТЗІ повинен мати базові навички роботи з обчислювальною технікою, з операційною системою Microsoft Windows, текстовим редактором Microsoft Word та редактором електронних таблиць Microsoft Excel.

Адміністратор безпеки АСВТЗІ повинен безпосередньо здійснювати:

ведення баз даних захисту;

встановлення значень параметрів конфігурації системи, безпосередньо пов’язаних із доступом до інформації;

спостереження за роботою системи;

заміну, у разі необхідності, власника баз документів та документів.

Системний адміністратор АСВТЗІ повинен забезпечувати:

безперебійну роботу операційної системи АСВТЗІ;

справну роботу системних драйверів;

встановлення необхідного програмного забезпечення та своєчасне його оновлення;

своєчасне оновлення баз антивірусного програмного забезпечення.

Кожну роль може виконувати один або декілька працівників.

Крім того, справну роботу компонентів АСВТЗІ забезпечує технічний персонал.

Усі дії, які прямо чи опосередковано можуть вплинути на захищеність інформації (зміни дозволів на доступ до файлів та папок, очищення журналів ОС, зміни настройок BIOS Setup тощо), системний адміністратор має узгоджувати з адміністратором безпеки. Порядок узгодження повинен визначатись „Планом захисту інформації”.

4.1.4. Контроль за друком та експортом інформації повинен здійснювати працівник спеціального відділу ТОВ «Квазар».

4.1.5. Усі носії, які містять ІзОД, повинні мати належне маркування та зберігатись в спеціальному відділу в окремому сейфі.

4.2. Вимоги щодо захисту інформації від несанкціонованого доступу

Згідно із специфікаціями, наведеними в документі НД ТЗІ 2.5-004-99. Критерії оцінки захищеності інформації у комп’ютерних системах від несанкціонованого доступу, комплекс засобів захисту (КЗЗ) від НСД має надавати певні послуги безпеки, зазначені в документі «Моделі загроз»:

4.3. Політика безпеки інформації

4.3.1. Об’єкти доступу

В АСВТЗІ виділяють такі об’єкти доступу:

Бази документів.

Бази документів призначені для зберігання документів. Всередині бази документи можуть бути розподілені по папках.

Кожна база має такі атрибути:

назва;

власник;

максимальний рівень доступу документів;

список доступу (перелік користувачів із наданими їм правами доступу до бази);

список аудита.

Документи (текстові документи, електронні таблиці).

Кожний документ має такі атрибути:

назва;

ключові слова та вирази;

час створення;

час останнього коригування;

власник;

рівень доступу;

список доступу (перелік користувачів із наданими їм правами доступу до документа);

список аудита.

Дані захисту:

база даних захисту (перелік користувачів із їхніми атрибутами доступу та даними, необхідними для автентифікації);

журнал захисту;

параметри конфігурації системи;

оперативні дані про роботу системи.

Програмні засоби КЗЗ.

Інші програмні засоби (загальне, функціональне і спеціальне ПЗ та службові дані, необхідні для його роботи).

Тимчасові файли, які створюються під час роботи прикладними програмами.

Інформація в оперативній пам’яті комп’ютера.

Дані, які знаходяться на екрані монітора під час роботи програмних засобів АСВТЗІ.

Дані у друкованому вигляді.

Змінні носії.

У таблиці 1 перелічені об’єкти доступу та вказані носії, на яких вони зберігаються.ний система інформаційний технічний

Таблиця 1

Об’єкт доступу	Місце зберігання
Бази документів та документи	Жорсткий диск та змінні носії (дискети, флеш накопичувачі)
Дані захисту	Жорсткий диск
Програмні засоби КЗЗ	Жорсткий диск
Інші програмні засоби	Жорсткий диск
Тимчасові файли	Жорсткий диск

4.3.2. Принципи керування доступом

КЗЗ повинен реалізовувати адміністративне керування доступом до таких об’єктів:

бази документів;

документи;

дані захисту;

програмні засоби (у тому числі програмні засоби КЗЗ);

тимчасові файли.

4.3.3. Правила розмежування інформаційних потоків

Програмні засоби системи повинні здійснювати розмежування інформаційних потоків від об’єкта до користувача і від користувача до об’єкта.

Розмежування інформаційних потоків слід здійснювати на підставі атрибутів доступу об’єкта та користувача.

Необхідно організувати роботу таким чином, щоб користувачі не мали безпосереднього доступу (наприклад, за допомогою стандартних файлових менеджерів) до файлів, в яких зберігаються бази документів, документи, база даних захисту та журнал захисту.

Користувачі повинні мати можливість працювати з базами документів, документами, базою даних захисту та журналом захисту тільки за допомогою призначеного для цього процесу (процесів).

Адміністратор безпеки та системний адміністратор за рахунок членства в групі адміністраторів ОС повинні мати можливість для кожного процесу, який використовується для доступу до баз документів, документів, бази даних захисту та журналу захисту, визначити користувачів та групи користувачів, які мають, а також не мають права ініціювати цей процес – для цього слід відповідним чином встановити права на доступ до файлу (файлів), які відповідають процесу.

4.3.4. Атрибути доступу об’єктів доступу

До атрибутів доступу баз документів належать такі дані:

власник;

список доступу.

До атрибутів доступу документів належать такі дані:

рівень доступу, який відповідає грифу обмеження доступу, що зберігається в документі, і обирається з такого переліку:

цілком конфіденційно;

конфіденційно;

відкрита інформація;

список доступу.

Для даних системи захисту атрибутом доступу є список доступу, який містить перелік адміністративних ролей (див. п. 4.2.9) з наданими їм видами доступу.

4.3.5. Атрибути доступу користувачів

До атрибутів доступу користувачів належать такі дані:

роль;

рівень допуску.

Ролі користувачів та правила їх суміщення описані в п.4.2.9.

Рівень допуску користувача визначає найвищий ступінь секретності інформації, із якою йому дозволено працювати, і обирається з переліку, наведеного в п. 4.3.4.

4.3.6. Види доступу

КЗЗ повинен підтримувати такі види доступу до баз документів:

читання;

створення папок;

видалення папок;

перейменування папок;

створення документів;

запис атрибутів;

запис атрибутів доступу;

перейменування;

видалення.

КЗЗ повинен підтримувати такі види доступу до документів:

читання;

запис;

видалення;

друк;

збереження у файлі;

читання атрибутів доступу;

запис власника;

запис рівня доступу;

запис списку доступу;

запис списку аудита.

Для даних захисту слід передбачити такі види доступу:

читання;

запис.

4.3.7. Правила розмежування доступу

4.3.7.1. Правила розмежування доступу до баз документів

Можливість працювати з базами документів повинні мати лише звичайні користувачі та адміністратори документів.

Користувач отримує доступ до бази документів, якщо виконуються такі умови:

користувач виконує роль Звичайний користувач;

в списку доступу бази йому або групі, до якої він належить, не заборонено цей доступ (тобто користувач або група не вказані в переліку заборон з відповідним видом доступу);

в списку доступу бази йому або групі, до якої він належить, надано цей доступ (тобто користувач або група вказані в переліку дозволів з відповідним видом доступу).

Власник бази має особливі повноваження щодо доступу до „своєї” бази.

Якщо користувач є власником бази, він отримує до бази такі види доступу:

читання списку документів;

читання атрибутів;

запис власника;

запис списку доступу;

запис списку аудита.

Крім цього, встановлюються обмеження, які не дозволяють звичайним користувачам керувати доступом до баз.

Звичайні користувачі не можуть отримати такі види доступу до бази документів:

запис атрибутів;

перейменування;

видалення;

запис власника;

запис списку доступу;

запис списку аудита.

Для того, щоб не втратити можливість доступу до бази у випадку відсутності власника, встановлюється ще одне правило.

Адміністратор безпеки отримує такі види доступу до всіх баз:

читання списку документів;

читання атрибутів;

запис власника.

4.3.7.2. Правила розмежування доступу до документів

Можливість працювати з документами повинні мати лише звичайні користувачі.

Користувач отримує доступ до документа, якщо виконуються такі умови:

рівень допуску користувача не нижчий за рівень доступу документа;

йому встановлена роль Звичайний користувач;

в списку доступу документа йому або групі, до якої він належить, не заборонено цей доступ (тобто користувач або група не вказані в переліку заборон з відповідним видом доступу);

в списку доступу документа йому або групі, до якої він належить, надано цей доступ (тобто користувач або група вказані в переліку дозволів з відповідним видом доступу).

Власник бази має особливі повноваження щодо доступу до документів, які містяться в „його” базі. Ці повноваження не залежать від списку доступу бази.

Якщо користувач є власником бази, в якій міститься документ, він отримує до документа такі види доступу:

читання атрибутів доступу;

запис власника;

запис рівня доступу;

запис списку доступу;

запис списку аудита.

Крім цього, встановлюються обмеження, які не дозволяють звичайним користувачам керувати доступом до документів.

Звичайні користувачі не можуть отримати такі види доступу до документів:

читання атрибутів доступу;

запис власника;

запис рівня доступу;

запис списку доступу;

запис списку аудита.

Для виконання вимог до друку експорту та документів в системі діє ще одне правило.

Якщо документ має рівень доступу цілком конфіденційно, користувач отримує доступ на друк або збереження документа у файлі лише за умови введення паролю.

4.3.7.3. Правила розмежування доступу до даних захисту

Доступ до даних захисту слід надавати відповідно до ролі користувача.

Права на читання та запис даних у базу даних захисту та право на перегляд журналу захисту повинен мати лише користувач із роллю Адміністратор безпеки.

Право на читання та зміни значень параметрів конфігурації КЗЗ, безпосередньо пов’язаних із керуванням доступом, повинен мати лише користувач із роллю Адміністратор безпеки. Права на читання та зміну значень інших параметрів конфігурації КЗЗ, права на читання даних про поточну поведінку КЗЗ та права на оперативне керування КЗЗ повинні мати користувачі з ролями Адміністратор безпеки та Системний адміністратор відповідно до розподілу обов’язків, який визначається „Планом захисту інформації”.

4.3.8. Правила адміністрування КЗЗ

Коригування переліку користувачів із їхніми атрибутами доступу здійснює адміністратор безпеки.

Коригування атрибутів доступу файлів та папок здійснює адміністратор безпеки.

В окремих випадках атрибути доступу файлів та папок може встановлювати системний адміністратор за узгодженням з адміністратором безпеки. Порядок узгодження повинен визначатись „Планом захисту інформації”.

Для всіх користувачів АСВТЗІ заповнюються облікові картки (поза машинні документи), на підставі яких адміністратор безпеки вводить, змінює або видаляє інформацію про користувача.

Інсталяцію та поновлення всіх програмних засобів здійснює системний адміністратор. Усі роботи, які прямо чи опосередковано можуть вплинути на захищеність інформації (у тому числі ті, що стосуються програмних засобів КЗЗ), проводяться за узгодженням з адміністратором безпеки. Порядок узгодження повинен визначатись документом „Планом захисту інформації ”.

Повсякденні обов’язки щодо адміністрування (відстеження потенційно небезпечних подій, усунення збійних ситуацій тощо) виконують адміністратор безпеки та системний адміністратор. Розподіл обов’язків між ними визначається „Планом захисту інформації”.

4.3.9. Реєстрація дій користувачів

КЗЗ повинен вести журнал захисту та надавати адміністратору безпеки зручні засоби його перегляду та настроювання.

Засоби реєстрації повинні забезпечувати можливість реєстрації всіх важливих із точки зору безпеки інформації подій (див. перелік подій у п. 4.2.6).

У випадку виникнення небезпечної події КЗЗ повинен повідомити про це адміністратора безпеки. Для цього можуть використовуватись такі засоби:

створення на жорсткому диску файлу із відповідною інформацією;

друк повідомлення на принтері;

звуковий сигнал.

4.3.10. Правила маркування носіїв

Маркування паперових та машинних носіїв секретної інформації має проводитись відповідно до документа „Порядок організації та забезпечення режиму секретності в органах державної влади, органах місцевого самоврядування, на підприємствах, в установах та організаціях”.

Необхідно забезпечити можливість автоматичного маркування документів згідно з рівнем доступу під час друку документів.

4.4. Вимоги до КСЗІ у частині захисту інформації від витоку технічними каналами

Захист ІзОД, яка циркулюватиме в АСВТЗІ, від витоку технічними каналами повинен досягатись шляхом створення на об’єкті інформаційної діяльності (приміщенні № 5), де встановлена вказана автоматизована система, комплексу технічного захисту інформації, який є невід’ємною складовою КСЗІ АСВТЗІ.

КТЗІ на ОІД необхідно створювати відповідно вимог нормативних документів, перелік яких наведено в п. 2.3 цього Технічного завдання.

Захист інформації від витоку технічними каналами передбачає:

аналіз умов функціонування АСВТЗІ, її розташування на ОІД та відносно межі контрольованої зони;

виявлення каналів можливого витоку інформації;

розробку заходів із технічного захисту інформації, обґрунтування та вибір технічних рішень із ТЗІ, впровадження КТЗІ на ОІД, розробку необхідної документації;

проведення атестаційних випробувань КТЗІ.

4.4.1. Загальні вимоги до об’єктів, що захищаються

До об’єктів що захищаються повинні висуватися наступні вимоги:

реалізація захищеності ІзОД повинна досягатись без застосування екранування приміщення та активних засобів захисту інформації;

використання пасивних засобів захисту ІзОД у разі виявлення наведених інформативних сигналів у мережі електроживлення, лініях зв’язку і сигналізації та на інших лініях, які мають вихід за межі контрольованої зони;

забезпечення АСВТЗІ автономним контуром заземлення.

Роботи повинні проводитись відповідно до нормативно-правових актів та нормативних документів з питань технічного захисту інформації, перелік яких наведено в п. 2.3.

Для захисту ІзОД від витоку технічними каналами повинні використовуватися пасивні засоби ТЗІ згідно із Переліком засобів загального призначення, які дозволені для забезпечення технічного захисту інформації, необхідність охорони якої визначено законодавством України.

Всі технічні системи та засоби можуть встановлюватись на ОІД за умови сумісності із існуючими засобами захисту та попереднього проведення спеціальних досліджень.

4.4.2. Вимоги до КТЗІ щодо захисту ІзОД від витоку каналами ПЕМВН

Для захисту ІзОД від її витоку каналами ПЕМВН необхідно передбачити наступні технічні заходи захисту:

на лінію електроживлення, від якої здійснюється електроживлення всіх компонентів, встановлюється мережевий завадозаглушувальний фільтр та розподільчий трансформатор. Вказані пристрої встановлюються відповідно вимог своєї технічної документації на максимально можливі відстані від АСВТЗІ. Технічні характеристики стосовно їх потужності повинні відповідати потужності споживання технічних засобів підключених до них;

обладнати всі компоненти АСВТЗІ та технічні засоби захисту окремим контуром заземлення опір якого відповідно вимог ТР ЕОТ-95 повинен бути не більше 4 Ом;

на ОІД видалити всі незадіяні лінійні комунікації;

унеможливити проходження біля компонентів АСВТЗІ будь яких ліній та комунікацій, які мають вихід за межі контрольованої зони, на відстані, яка не забезпечує захищеність інформації від її витоку за рахунок наведень на них інформативних сигналів. У разі неможливості видалення вказаних ліній та комунікацій, провести їх екранування. Екрани повинні буди підключені до контуру заземлення;

4.4.3. Вимоги до КТЗІ щодо захисту ІзОД від витоку радіотехнічним каналом

Захист ІзОД від витоку радіотехнічним каналом повинен передбачати:

унеможливлення організаційними та інженерно-технічними заходами несанкціонованого проникнення на ОІД сторонніх осіб з метою встановлення пристроїв технічної розвідки (відеопередавачів);

встановлення на ОІД лише технічних засобів, які пройшли спеціальну перевірку на предмет наявності в них приховано встановлених пристроїв технічної розвідки;

унеможливлення встановлення на лінійно-кабельні комунікації, комунікації життєзабезпечення, які виходять за межі ОІД пристроїв технічної розвідки;

перевірки приміщення ОІД, лінійно-кабельних комунікацій, комунікацій життєзабезпечення, які виходять за межі ОІД, на наявність приховано встановлених пристроїв технічної розвідки (відеопередавачів);

унеможливлення після створення КСЗІ та введення в дію АСВТЗІ встановлення на ОІД будь яких технічних засобів, меблів та предметів інтер’єру, які попередньої не пройшли спеціальної перевірки на наявність приховано встановлених пристроїв технічної розвідки (відеопередавачів).

4.3.4. Вимоги до КТЗІ щодо захисту ІОДД від її витоку за рахунок візуально-оптичного каналу

Блокування візуально-оптичного каналу повинно передбачати обладнання вікон ОІД непрозорими шторами або жалюзями, які повинні унеможливити огляд ОІД ззовні незалежно від поверху та наявності розташованих навпроти будинків.

4.4. Середовище функціонування

Вимоги до середовища функціонування викладено в розділі 3 цього ТЗ.

4.5 Вимоги до виявлення та блокування розповсюдження вірусів

Виявлення та блокування розповсюдження вірусів в АСВТЗІ необхідно реалізовувати адміністративно-організаційними, апаратними, програмними та програмно-апаратними способами. До адміністративно-організаційних слід віднести заборону можливості встановлення та виконання програм, що не відносяться до складу АСВТЗІ.

Підсистема антивірусного захисту повинна забезпечувати:

функціонування в автоматичному режимі;

блокування проникнення комп’ютерних вiрусiв зі змінних носіїв інформації та несанкцiоновано розповсюджуваних виконавчих файлів;

лікування (або видалення) комп’ютерних вiрусів з занесенням iнформацiї про це у відповідні протоколи КЗЗ;

автоматичне оновлення антивірусного П3;

блокування доступу користувачів до зараженої інформації.