Побудова комплексної системи захисту інформації

При необхідності видалення користувача з АСВТЗІ (при звільненні з роботи, при зміні посадових обов’язків та ін.) вноситься відповідний запис до облікової картки користувача і на цій підставі адміністратор безпеки видаляє користувача з АСВТЗІ.

Керування системою та її компонентами

Керування системою здійснюють адміністратор безпеки та системний адміністратор.

Адміністратор безпеки вводить до системи нових користувачів та коригує відомості про них (у тому числі атрибути доступу), має можливість змінювати стан системи та значення параметрів конфігурації системи та ін. Адміністратор безпеки встановлює пароль на доступ до апаратних настройок комп’ютерів (Bios Setup Supervisor Password).

Системний адміністратор здійснює супроводження програмного та апаратного забезпечення. За необхідності він має можливість за узгодженням з адміністратором безпеки змінювати стан системи та значення параметрів конфігурації, які безпосередньо не пов’язані з керуванням доступом.

Фізичний захист інформації

Технічні засоби АСВТЗІ розташовано в приміщенні, яке знаходяться в межах контрольованої зони. Охорону контрольованої зони та перепускний режим до будівлі де розташовано приміщення з АСВТЗІ здійснює відомча охорона.

В неробочий час приміщення з АСВТЗІ опечатується та здається під охорону службі охорони.

Вхідні двері до приміщення № 1 з встановленою в ньому АСВТЗІ - залізні та обладнані двома замками різних систем. Крім того приміщення обладнано системою охоронної сигналізації.

Доступ до приміщення, у якому здійснюється обробка інформації з обмеженим доступом, здійснюється обмежений колом осіб, які допущені до роботи в цьому приміщенні.

Захист інформації від витоку технічними каналами

У приміщенні, де розташовано АСВТЗІ, створено комплекс технічного захисту інформації, який забезпечує блокування наступних технічних каналів витоку інформації:

каналів ПЕМВН;

радіотехнічний канал;

візуально-оптичний.

Роботи по створенню комплексу технічного захисту інформації проведені власними силами.

Відповідальний за захист інформації в АСВТЗІ організовує та координує роботи із ТЗІ, як планові (відповідно до вимог Акту атестації КТЗІ), так і одноразові - при проведенні заходів щодо змін та модернізації обладнання АСВТЗІ.

Порядок модернізації компонентів системи

Модернізація обладнання

При змінах конфігурації технічних засобів АСВТЗІ чи їх модернізації роботи з ТЗІ організовує та координує відповідальний за ТЗІ спільно з представниками служби захисту інформації в АСВТЗІ. Після проведення необхідних заходів з ТЗІ представниками служби захисту інформації в АСВТЗІ вносяться відповідні записи про зміні у складі АСВТЗІ в Паспорті-формулярі на АСВТЗІ.

Модернізація програмного забезпечення

Модернізація програмного забезпечення проводиться в разі необхідності (наприклад, у випадку надання розробниками сервісних пакетів, появи нових версій тощо). Поновлення всього програмного забезпечення здійснює системний адміністратор за узгодженням з начальником служби захисту інформації в АСВТЗІ та з відповідними відмітками в „Паспорті-формулярі на АСВТЗІ”.

Модернізація КЗЗ

Модернізація КЗЗ здійснюється відповідно до документа НД ТЗІ 3.6-001-2000 згідно з окремим технічним завданням або додатком до основного технічного завдання.

 

Порядок проведення відновлювальних робіт і забезпечення безперервного функціонування АСВТЗІ

У разі виникнення проблем у роботі технічного та програмного забезпечення АСВТЗІ системний адміністратор має вжити заходів для відновлення працездатності системи.

Відновлювальні роботи потребують зміни стану системи.

Правила проведення відновлення працездатності технічних засобів АСВТЗІ наведені в документі „Політика безпеки інформації в АСВТЗІ”.

Відновлення програмного забезпечення АСВТЗІ проводиться під час перебування системи в стані поновлення програмного забезпечення, відновлення КЗЗ - під час перебування системи в стані відновлення.

При проведенні відновлення програмного забезпечення за необхідності використовуються відповідні дистрибутиви. Відновлення операційної системи Windows проводиться за допомогою стандартної процедури відновлення Windows.

Контроль за функціонуванням КСЗІ

Організація контролю за функціонуванням КСЗІ в АСВТЗІ покладається на начальника служби захисту інформації в АСВТЗІ.

Порядок введення в експлуатацію КСЗІ

Обробка в АСВТЗІ інформації з обмеженим доступом дозволяється тільки після отримання атестата відповідності КСЗІ вимогам нормативних документів із питань захисту інформації.

Дозвіл на обробку інформації з обмеженим доступом за допомогою АСВТЗІ дається наказом директора.

Система документів щодо забезпечення захисту інформації в АСВТЗІ

Захист інформації в АСВТЗІ регламентується такими документами:

Закон України “Про інформацію"від 2 жовтня 1992 року №2658-ХІІ;

Закон України “Про захист інформації в інформаційно-телекомунікаційних системах"від 5 липня 1994 року № 80/94-ВР;

Положення про технічний захист інформації в Україні, затвердженого указом Президента України від 27 вересня 1999 року № 1229;

Правил забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах, затверджених постановою Кабінету Міністрів України від 29 березня 2006 року N 373;

ДСТУ 3396.0-96 Захист інформації. Технічний захист інформації. Основні положення;

ДСТУ 3396.1-96 Захист інформації. Технічний захист інформації. Порядок проведення робіт;

ДСТУ 3396.2-97 Захист інформації. Технічний захист інформації. Терміни та визначення;

НД ТЗІ 1.1-002-99 Загальні положення щодо захисту інформації в комп'ютерних системах від несанкціонованого доступу;

НД ТЗІ 1.1-003-99 Термінологія в галузі захисту інформації в комп’ютерних системах від несанкціонованого доступу;

НД ТЗІ 1.1-004-99 Загальні положення щодо захисту інформації в комп'ютерних системах від несанкціонованого доступу;

НД ТЗІ 1.4-001-2000 Типове положення про службу захисту інформації в автоматизованих системах;

НД ТЗІ 2.5-004-99 Критерії оцінки захищеності інформації в комп’ютерних системах від несанкціонованого доступу;

НД ТЗІ 2.5-005-99 Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу;

НД ТЗІ 2.5-007-07 Вимоги до комплексу засобів захисту інформації, що становить державну таємницю, від несанкціонованого доступу при її обробці в автоматизованих системах класу «1»;

НД ТЗІ 3.7-001-99 Методичні вказівки щодо розробки технічного завдання на створення комплексної системи захисту інформації в автоматизованій системі;

НД ТЗІ 3.7-003-05 Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі;

Положення про державну експертизу в сфері технічного захисту інформації, затверджене наказом Адміністрації Державної служби спеціального зв’язку та захисту інформації України від 16 травня 2007 року № 93;

Положення про забезпечення режиму секретності під час обробки інформації, що становить державну таємницю, в автоматизованих системах, затверджене постановою Кабінету Міністрів України від 16 лютого 1997 року № 180;

НД ТЗІ 2.1-002-07 Захист інформації на об’єктах інформаційної діяльності. Випробовування комплексу технічного захисту інформації. Основні положення;

ТПКО-95 Тимчасове положення про категоріювання об’єктів;

ТР ЕОТ-95 Тимчасові рекомендації з технічного захисту інформації у засобах обчислювальної техніки, автоматизованих системах і мережах від витоку каналами побічних електромагнітних випромінювань і наводок;

Інструкція щодо забезпечення режимних заходів щодо захисту інформації з обмеженим доступом під час її обробки в АСВТЗІ;

Положення про службу захисту інформації в АСВТЗІ;

Технічна документація на систему захисту інформації ЛОЗА-1;

Технічне завдання на створення КСЗІ в АСВТЗІ;

Інструкція з адміністрування системи АСВТЗІ;

Інструкція користувача АСВТЗІ;

Інструкція по оперативному відновленню функціонування АС.

Висновок

КСЗІ в АСВТЗІ:

забезпечує визначену для АСВТЗІ Політику безпеки інформації;

здійснює розмежування доступу користувачів в АСВТЗІ до інформації різних категорій конфіденційності;

реєструє спроби реалізації загроз інформації та сповіщає адміністраторів безпеки АСВТЗІ про факти несанкціонованих дій з ІзОД;

забезпечує спостережність інформації шляхом контролю за діями користувачів АСВТЗІ та реєстрацію подій, які мають відношення до безпеки інформації;

підтримує цілісність критичних ресурсів АСВТЗІ;

забезпечує організацію обліку, зберігання та обігу матеріальних носіїв інформації, які використовуються в АСВТЗІ;

забезпечує управління засобами захисту КСЗІ та контроль за її функціонуванням;

забезпечує захист ІзОД від її витоку технічними каналами;

блокує НСД до ІзОД та несанкціоновані дії з ІзОД;

блокує НСД до компонентів АСВТЗІ та на ОІД в цілому;

унеможливлює загрози ІзОД, яка циркулюватиме в АСВТЗІ;

забезпечує дотримання вимог режиму конфіденційності під час роботи користувачів АСВТЗІ з ІзОД;

Створена КСЗІ в АСВТЗІ може бути передана для проведення дослідної експлуатації.