|
5 Общие положения
5.1 Для обработки информации, необходимость защиты которой определяется
законодательством Российской Федерации или решением ее обладателя,
должны создаваться АСЗИ, в которых реализованы в соответствии с
действующими нормативными правовыми актами требования о ЗИ. Реализация
требований о ЗИ в АСЗИ осуществляется системой ЗИ, являющейся
неотъемлемой составной частью АСЗИ.
5.2 Целью создания системы ЗИ АСЗИ является обеспечение ЗИ от
неправомерного доступа, уничтожения, модифицирования, блокирования,
копирования, предоставления, распространения, а также от иных
неправомерных действий в отношении такой информации, соблюдение
конфиденциальности информации ограниченного доступа, реализация права на
доступ к информации.
5.3 При создании (модернизации) АСЗИ необходимо руководствоваться
следующими общими требованиями:
- система ЗИ АСЗИ должна обеспечивать комплексное решение задач по ЗИ от
НСД, от утечки защищаемой информации по техническим каналам, от
несанкционированных и непреднамеренных воздействий на информацию (на
носители информации) применительно к конкретной АСЗИ. Состав решаемых
задач по ЗИ определяется задачами обработки информации, решаемыми с
использованием АСЗИ, ее программным и аппаратным составом, конфигурацией
этой системы, условиями функционирования, требованиями, предъявляемыми к
обрабатываемой информации, угрозами безопасности информации;
- система ЗИ АСЗИ должна разрабатываться (проектироваться) с учетом
возможности реализации требований о защите обрабатываемой информации при
использовании в АСЗИ методов и программно-аппаратных средств организации
сетевого взаимодействия;
- система ЗИ АСЗИ должна создаваться с учетом обеспечения возможности
формирования различных вариантов ее построения, а также расширения
возможностей ее составных частей (сегментов) в зависимости от условий
функционирования АСЗИ и требований о ЗИ;
- ЗИ должна обеспечиваться во всех составных частях (сегментах) АСЗИ,
используемых в обработке защищаемой информации;
- входящие в состав АСЗИ средства ЗИ и контроля эффективности ЗИ не
должны препятствовать нормальному функционированию АСЗИ;
- программное обеспечение системы ЗИ должно быть совместимым с
программным обеспечением других составных частей (сегментов) АСЗИ и не
должно снижать требуемый уровень защищенности информации в АСЗИ;
- программно-технические средства, используемые для построения системы
ЗИ, должны быть совместимы между собой (корректно работать совместно) и
не должны снижать уровень защищенности информации в АСЗИ.
ЗИ о создаваемой АСЗИ является составной частью работ по их созданию и
осуществляется во всех организациях, участвующих в процессе создания
(модернизации) этих систем.
5.4 Обеспечение ЗИ в АСЗИ достигается заданием, реализацией и контролем
выполнения требований о защите информации:
- к процессу хранения, передачи и обработки защищаемой в АСЗИ
информации;
- к системе ЗИ;
- к взаимодействию АСЗИ с другими АС;
- к условиям функционирования АСЗИ;
- к содержанию работ по созданию (модернизации) АСЗИ на различных
стадиях и этапах ее создания (модернизации);
- к организациям (должностным лицам), участвующим в создании
(модернизации) и эксплуатации АСЗИ;
- к документации на АСЗИ;
- к АСЗИ в целом.
5.5 АСЗИ должны создаваться в соответствии с ТЗ, являющимся основным
документом, на основании которого выполняются работы, необходимые для
создания (модернизации) АСЗИ в целом и ее системы ЗИ, и осуществляется
приемка этих работ заказчиком.
5.6 Процесс создания АСЗИ должен представлять собой совокупность
упорядоченных во времени, взаимосвязанных, объединенных в стадии и этапы
работ, выполнение которых необходимо и достаточно для создания АСЗИ,
соответствующей заданным к ней требованиям.
5.7 В работах по созданию (модернизации) АСЗИ и ее системы ЗИ участвуют:
- заказчик АСЗИ - в части задания в ТЗ на АСЗИ и систему ЗИ, включения в
документацию на АСЗИ обоснованных требований о защите обрабатываемой
АСЗИ информации и контроля их выполнения в процессе экспертизы
документации, испытаний и приемки как АСЗИ в целом, так и системы ЗИ, а
также в части организации аттестации АСЗИ на соответствие требованиям
безопасности информации и сопровождения АСЗИ в ходе ее эксплуатации;
- разработчик АСЗИ - в части обеспечения соответствия разрабатываемой
АСЗИ и ее системы ЗИ требованиям ТЗ, нормативных правовых актов,
методических документов и национальных стандартов в области защиты
информации;
- изготовитель ТС и ПС - в части осуществления технических мер по
обеспечению соответствия изготавливаемых ТС и ПС заданным требованиям о
защите обрабатываемой АСЗИ информации, в соответствии с документацией на
АСЗИ;
- поставщик ТС и ПС - в части поставки ТС и ПС для АСЗИ, соответствующих
требованиям по ЗИ, по заказу изготовителя, разработчика или заказчика и
их гарантийного и послегарантийного обслуживания.
5.8 Организации, участвующие в создании АСЗИ, в случае выполнения работ
и оказания услуг в области ЗИ, деятельность по осуществлению которых
подлежит лицензированию, должны иметь соответствующие лицензии [1—4].
5.9 Стадии и этапы работ по созданию АСЗИ устанавливаются в ТЗ на АСЗИ
на основе ГОСТ 34.601 с учетом положений настоящего стандарта.
5.10 Типовое содержание работ в части создания системы ЗИ (на
определенных в ГОСТ 34.601 стадиях и этапах создания АСЗИ) приведено в
разделе 6. Типовое содержание и порядок выполнения работ по ЗИ о
создаваемой АСЗИ приведено в разделе 7. Состав и содержание работ могут
уточняться в соответствии с требованиями нормативных правовых актов и
методических документов уполномоченных федеральных органов
исполнительной власти и национальных стандартов по ЗИ, а также в
соответствии с требованиями заказчика АСЗИ.
5.11 В ТЗ на создание АСЗИ для реализуемых в соответствии с ним стадий и
этапов ее создания должны включаться требования к системе ЗИ АСЗИ, а
также требования по ЗИ о создаваемой АСЗИ в соответствии с настоящим
стандартом, нормативными правовыми актами и методическими документами
уполномоченных федеральных органов исполнительной власти и другими
национальными стандартами.
5.12 Мероприятия по ЗИ должны проводиться на всех стадиях и этапах
создания АСЗИ с учетом применимых (исходя из предназначения АСЗИ)
требований нормативных правовых актов и методических документов
уполномоченных федеральных органов исполнительной власти и национальных
стандартов в области ЗИ.
5.13 Для АСЗИ, создаваемой на базе действующей АС, разрабатывают ТЗ на
создание системы ЗИ или дополнение к основному ТЗ на АС, в которое
включают требования к системе ЗИ, а также к той части АС, которая
подлежит доработке (модернизации) в связи с включением в состав АС
системы ЗИ.
5.14 Разработка, утверждение и согласование ТЗ или дополнения к ТЗ на
модернизируемую АС осуществляется в порядке, установленном ГОСТ 34.602.
5.15 Документация на АСЗИ должна разрабатываться с учетом требований
ГОСТ 34.201 и [5], а также требований нормативных правовых актов и
методических документов уполномоченных федеральных органов
исполнительной власти и национальных стандартов по ЗИ.
5.16 Работы по созданию АСЗИ должны проводиться в соответствии с
требованиями нормативных правовых актов и методических документов
уполномоченного федерального органа исполнительной власти, настоящего
стандарта и других национальных стандартов по ЗИ. Дополнительно при
необходимости могут учитываться требования национальных стандартов,
приведенных в приложении А.
5.17 Для создания АСЗИ могут применяться как серийно выпускаемые, так и
специальные (разрабатываемые в ходе создания АСЗИ) ТС и ПС обработки
информации, а также технические, программные, программно-аппаратные,
криптографические СЗИ и средства контроля эффективности ЗИ. Указанные
средства должны иметь сертификаты соответствия, полученные в
соответствующих системах сертификации по требованиям безопасности
информации [6, 7]. Специальные средства должны быть сертифицированы в
установленном порядке до начала опытной эксплуатации АСЗИ организациями
(учреждениями), имеющими лицензии уполномоченных федеральных органов
исполнительной власти на соответствующие виды деятельности.
5.18 Работы по созданию и эксплуатации АСЗИ с использованием
криптографических средств организуются в соответствии с положениями
нормативных актов Российской Федерации, определяющих порядок разработки,
изготовления, сопровождения и эксплуатации криптографических средств.
5.19 Организационно-методическое руководство работами по созданию,
изготовлению, обеспечению и эксплуатации средств криптографической ЗИ,
по сертификации этих средств осуществляет федеральный орган
исполнительной власти, уполномоченный в области обеспечения
безопасности.
5.20 Перед вводом в эксплуатацию комплексов ТС АСЗИ (в случае отсутствия
документа, подтверждающего уже проведенные исследования) и периодически
в процессе их эксплуатации проводятся исследования по криптографической
ЗИ в составе комплексов ТС АСЗИ организациями, имеющими лицензию на этот
вид работ в соответствии с [4].
5.21 Порядок эксплуатации АСЗИ с использованием криптографических
средств регламентируется законодательством Российской Федерации и
нормативными правовыми актами федерального органа исполнительной власти,
уполномоченного в области обеспечения безопасности.
5.22 Организация надлежащего исполнения правил эксплуатации средств
криптографической ЗИ (в том числе во время приемочных испытаний)
возлагается на руководство организаций, эксплуатирующих данные средства.
Контроль выполнения требований инструкций по эксплуатации средств
криптографической ЗИ возлагается на специальные подразделения (штатных
специалистов) по ЗИ на предприятии (организации), эксплуатирующем данные
средства.
5.23 Виды испытаний АСЗИ и общие требования к их проведению определяются
ГОСТ 34.603, а также нормативными правовыми актами и методическими
документами уполномоченного федерального органа исполнительной власти и
национальными стандартами по ЗИ.
5.24 Испытания АСЗИ на соответствие требованиям безопасности информации
от ее утечки по техническим каналам, несанкционированного доступа к ней,
от несанкционированных и непреднамеренных воздействий на информацию, в
том числе по криптографической и антивирусной защите, по обнаружению
вторжений (атак) и др. осуществляются в соответствии с положениями
нормативных правовых актов и методических документов уполномоченных
федеральных органов исполнительной власти и национальных стандартов.
5.25 В случаях, установленных федеральными законами, актами Президента
Российской Федерации и Правительства Российской Федерации, нормативными
правовыми актами уполномоченных федеральных органов исполнительной
власти, для подтверждения соответствия системы ЗИ АСЗИ в реальных
условиях эксплуатации требованиям безопасности информации осуществляется
аттестация АСЗИ на соответствие требованиям безопасности информации.
5.26 Аттестация АСЗИ проводится до ввода АСЗИ в постоянную эксплуатацию
в соответствии с положениями нормативных правовых актов и методических
документов уполномоченных федеральных органов исполнительной власти и
национальных стандартов.
Далее
>>> |