Разработка алгоритма аттестационных испытаний критически важного объекта информатизации

Экспертная оценка результатов аппаратурного контроля защищенности информацииАппаратурные испытания защищенности информации от утечки за счет ПЭМИ СВТ производятся выборочно для отдельных СВТ в соответствии с действующими нормами эффективности защиты информации от утечки за счет ПЭМИН, методикой контроля защищенности объектов ВТ, методиками специальных исследований СВТ, утвержденными (согласованными) ФСТЭК РоссииАппаратурные испытания защиты информации от утечки за счет наводок на вспомогательные средства и системыАппаратурные испытания защищенности информации от утечки за счет ПЭМИ СВТ производятся выборочно для отдельных СВТ в соответствии с действующими нормами эффективности защиты информации от утечки за счет ПЭМИН, методикой контроля защищенности объектов ВТ, методиками специальных исследований СВТ, утвержденными (согласованными) ФСТЭК России.Проверка выполнения требований по защите информации от утечки по цепям заземления и электропитания проводится в объеме, указанном в таблице 5.Таблица 5 - Проверка выполнения требований по защите информации от утечки по цепям заземления и электропитанияНаименование проверок и испытанийОбъем работПроверка выполнения требований к схеме организации электропитания технических средств ВТ, монтажу питающих кабелей, фильтрации опасных сигналов в цепях питанияПроизводится проверка выполнения требований разделов 9 и 10 СТР по выполнению схемы энергопитания средств ВТ:по размещению трансформаторной подстанции;по монтажу фидерных линий, их экранированию и фильтрации;по монтажу САЗ и сетевых фильтров.Проверка выполнения требований руководящих документов по выполнению схемы заземления, правилам монтажа за земляющих конструкций, величине сопротивления заземлителя и регламентному контролю его значенииПроизводится проверка выполнения следующих требований:по размещению очага заземления и величине его сопротивления;наличию протоколов измерения величины сопротивления току растекания очага заземления;отсутствию соединений системы заземления с металлоконструкциями, выходящими за пределы контролируемой зоны.Проверка работоспособности использованных в составе объекта ВТ средств защиты информации, выполнения правил их монтажа и эксплуатацииПроверка средств защиты информации производится по следующим показателям:соответствие видов и типов установленных средств защиты тем, что указаны в предписаниях на эксплуатацию СВТ (САЗ, экранирующие конструкции, фильтры);наличие сертификатов соответствия на средства защиты;выполнение правил монтажа и эксплуатации средств защиты;наличие актов ввода в эксплуатацию и протоколов контроля средств защиты;работоспособность средств защиты.Экспертная оценка результатов контроля эффективности мер и средств защиты информации в цепях электропитания и заземленияПроизводится экспертная оценка результатов контроля эффективности защиты информации в СВТ по следующим признакам:использованные методики контроля;использованные тестовые средства;полнота проведенных измерений по объему и видам измерений (частотный спектр, режимы работы СВТ, измеренные составляющие электромагнитного поля, направления распространения информативных сигналов в пространстве);использованная измерительная аппаратура;схема измерений;достоверность результатов измеренийАппаратурные испытания эффективности защиты информации от утечки по цепям заземления и электропитания средств ВТПроизводятся выборочные аппаратурные испытания защищенности информации от утечки по цепям заземления и электропитания СВТ в соответствии с методиками, утвержденными (согласованными) Гостехкомиссией РоссииКомплексные испытания объекта ВТ на соответствие требованиям по защите информации от утечки за счет ПЭМИН.Комплексные испытания объекта ВТ проводятся в рабочих эксплуатационных режимах технических средств и средств защиты информации. При этом оценивается работоспособность средств защиты информации, а также средств контроля и сигнализации и их электромагнитная совместимость со средствами обработки информации.В процессе испытаний по выбору комиссии могут моделироваться нештатные ситуации, связанные с выходом из строя средств защиты и т.п.Рекомендации по результатам испытанийПо результатам испытаний должны быть сделаны выводы о соответствии (или несоответствии) объекта ВТ требуемому уровню защиты информации от утечки за счет ПЭМИН СВТ.Комиссия может рекомендовать следующие меры по устранению недостатков:применение дополнительных организационных и технических мер по защите информации;применение дополнительных сертифицированных средств защиты информации;исключение отдельных технических средств, обрабатывающих конфиденциальную информацию, из состава объекта.Проверка выполнения требований по защите информации от утечки за счет специальных электронных устройств перехвата информацииПроверяется наличие актов или заключений о специальной проверке импортных СВТ, применяемых для обработки секретной информации.Испытания на соответствие требованиям по защите информации от несанкционированного доступаОбъем испытаний на соответствие требованиям по ЗИ от НСД может уточняться в зависимости от установленного класса АС. Рассмотрим данный этап подробнее:Анализ и оценка технологического процесса обработки информации в части НСД.Комиссии представляется описание технологического процесса обработки информации в аттестуемом объекте ВТ, включающее в себя следующую информацию:перечень объектов доступа;перечень субъектов доступа;перечень штатных средств доступа к информации на объекте ВТ;перечень средств защиты информации;описание реализованных правил разграничения доступа;описание информационных потоков.В качестве объектов доступа в зависимости от класса СВТ могут быть приняты:система в целом;терминалы, ЭВМ, узлы сети ЭВМ, каналы связи, внешние устройства ЭВМ;программы;тома, каталоги, файлы, записи, поля записей;все виды памяти ЭВМ, в которых может находиться информация.Информационные носители могут иметь метку конфиденциальности (гриф секретности) и находиться на учете.В качестве субъектов доступа могут рассматриваться лица и процессы (программы пользователей), имеющие возможность доступа к объектам штатными средствами объекта ВТ.Субъекты доступа могут иметь официальное разрешение (допуск) к информации определенного уровня конфиденциальности.1.4. Под штатными средствами доступа к информации на объекте ВТ понимаются общесистемные и прикладные системы, средства и программы, предоставляющие субъектам документированные возможности доступа к объектам доступа.1.5. Комиссия проверяет соответствие описания технологического процесса обработки и хранения конфиденциальной информации реальному процессу.Особое внимание уделяется выявлению возможностей переноса информации большего уровня конфиденциальности на информационный носитель меньшего уровня.1.6. Проводится анализ разрешенных и запрещенных связей между субъектами и объектами доступа с привязкой к конкретным СВТ и штатному персоналу, оценка их соответствия разрешительной системе доступа персонала к защищаемым ресурсам на всех этапах обработки.Выбор методики испытаний и инструментальных средств.Методика испытаний АС на соответствие требованиям защиты информации от НСД уточняется на основании результатов анализа технологического процесса обработки информации в АСМетодика испытаний должна включать в себя перечень инструментальных средств, используемых при испытаниях и проверках данной АС.Методика испытаний может дополняться, уточняться и корректироваться в процессе испытаний руководителем аттестационной комиссии по согласованию с заявителем. В качестве тестирующих средств для проведения испытаний могут быть выбраны технические и программные средства, принятые в установленном порядке для такого рода деятельности.Перечень принятых тестирующих средств с описанием их возможностей и местонахождения хранится в органе по аттестации объектов информатики и предоставляется для ознакомления заинтересованным сторонам.2.3. При отсутствии необходимых тестирующих средств они могут быть специально разработаны в период проведения аттестационных испытаний. Возможность их применения при испытаниях подтверждается председателем аттестационной комиссии и согласовывается с заявителем. После окончания испытаний документация на эти тестирующие средства прилагается к протоколам испытаний и отсылается в орган по аттестации.Испытания подсистемы управления доступом. Проверка правильности идентификации объектов доступа вАС проверяется путем обращения к ним субъектов доступа по идентификаторам объектов. Обращение должно осуществляться однозначно только к данному объекту.Объекты доступа определяются в соответствии с РД Гостехкомиссии России «Автоматизированные системы Защита от НСД к информации. Классификация АС и требования по защите информации» и актом классификации АС. Проверка правильности идентификации субъектов доступа проверяется путем обращения субъектов доступа АС к объектам доступа при помощи штатных средств.При обращении должна проводиться проверка принадлежности предъявленного субъектом идентификатора множеству всех зарегистрированных в АС идентификаторов субъектов.Если субъект доступа предъявляет идентификатор, не известный системе, то средства управления должны прекращать процесс предоставления доступа. При подтверждении подлинности (аутентификации) проверяется действительная принадлежность субъекту доступа предъявленного им идентификатора.В качестве идентификатора могут быть использованы, например, биометрические признаки субъекта, специальные устройства (магнитная карточка, жетон и т.д.), пароль временного действия.При проверке надежности аутентификации должна оцениваться вероятность подбора или несанкционированного получения (хищения) секретного (личного) признака или устройства посторонним субъектом доступа за период действия этого признака (устройства). Правильность определения системой полномочий и предоставления доступа субъектам по отношению к объектам проверяется следующим образом.По описанию применения СЗИ выявляются виды полномочий (читать, изменять, выполнять, передавать и т.д.), по которым различаются права субъектов на доступ к объектам. Проверяется правильность предоставления доступа в соответствии с установленными правами субъектов по отношению к конкретным объектам.Управление потоками информации осуществляется на основании сопоставления меток конфиденциальности объектов доступа. Необходимо проверить наличие меток конфиденциальности на всех информационных объектах доступа. Метки конфиденциальности (грифы) должны быть ранжированы по важности помечаемой информации.Наличие и надежность средств управления потоками информации вАС проверяется путем моделирования информационных потоков в реальном технологическом процессе по всем выявленным средствам перемещения информации. ВАС должен блокироваться перенос информации с более высоким уровнем конфиденциальности на объекты с меньшим уровнем.Испытания подсистемы регистрации и учета.Регистрация и учет событий, определенных требованиями по безопасности информации к установленному классу АС, должны производиться на всех этапах технологического процесса хранения и обработки конфиденциальной информации. Регистрация должна охватывать все события, определенные указанным РД Гостехкомиссии России дляАС установленного класса.Для проверки необходимо при помощи стандартных средств АС просмотреть результаты регистрации всех действий, которые были произведены с защищаемыми ресурсами при проверках по п. 7.4 данных рекомендаций. Должны быть зарегистрированы все требуемые события с требуемыми параметрами регистрации.Для проверки регистрации изменения полномочий субъектов доступа необходимо произвести эти изменения при помощи средств СЗИ и просмотреть результаты регистрации.Для проверки процедуры автоматического учета создаваемых, инициируемых защищаемых информационных ресурсов необходимо смоделировать создание (инициацию) защищаемого носителя информации на тех этапах технологического процесса, где используются СВТ.При помощи средств СЗИ просматриваются результаты учета. Должны быть автоматически учтены все созданные (инициированные) защищаемые информационные ресурсы с требуемыми параметрами учета.Проверяется ведение учета всех защищаемых носителей информации, осуществляемого вручную персоналом, путем проверки технологических инструкций, степени ознакомления с ними конкретных исполнителей, проверки правильности ведения карточек и журналов учета.Проверка средств очистки (обнуления, обезличивания) освобождаемых областей оперативной и внешней памяти ЭВМ осуществляется путем записи в область памяти пользователем некоторой определенной информации, фиксирования конкретного физического адреса области, освобождения области данным пользователем, попытки считывания информации из данной области по зафиксированному адресу и сравнения считанного с первоначально записанной в эту область информацией. При нормальной работе средств очистки освобождаемых областей памяти ранее записанная информация должна отличаться от считанной.Проверка средств сигнализации попыток нарушения защиты осуществляется путем моделирования несанкционированных обращений к защищаемым объектам доступа и отслеживания появления определенных сигналов в местах интерфейса с администратором системы защиты и нарушителем.Испытания подсистемы обеспечения целостности.Проверка подсистемы обеспечения целостности СЗИ от НСД проводится по перечню функций, определенных указанным РД Гостехкомиссии России для данного класса АС.Надежность функций контроля целостности программных средств может быть проверена при помощи внесения изменений в отдельные программы или их подмены. При этом отслеживается реакция системы защиты на произведенные нарушения.При проверке обеспечения неизменности программной среды определяется наличие и работоспособность технологии внесения новых программных средств в операционную среду, предусматривающую процедуры экспертной оценки или верификации новых программных средств для выявления потенциально опасных для СЗИ программных функций, критерии санкционирования ввода программ в операционную среду и допуска определенных категорий пользователей к этим программам.Проверяется наличие и работоспособность средств и мер предотвращения несанкционированного ввода программ в операционную среду.По результатам анализа технологического процесса обработки и хранения конфиденциальной информации в АС проверяется выполнение требований по физической охране средств АС и носителей информации в АС, пропускному режиму и оборудованию помещений необходимыми защитными средствами.Проверяется наличие в системе администратора системы защиты информации, оценивается его уровень подготовленности и степень оснащения его рабочего места необходимыми средствами оперативного контроля и сопровождения СЗИ.Проверяется наличие и работоспособность средств периодического тестирования всех функций СЗИ НСД, наличие графика проведения тестирования. Средства тестирования должны давать однозначную информацию о всех функциях СЗИ НСД, предусмотренных требованиями к данному классу АС.Приводится выборочная проверка используемых в системе программных средств на наличие компьютерных вирусов.Проверяется наличие и работоспособность технологии восстановления программных средств защиты информации в АС, ведения архива программных средств защиты, условия и периодичность их обновления и тестирования.Автоматическое оперативное восстановление функций СЗИ НСД при сбоях проверяется путем моделирования сбойных ситуаций и последующей проверки (тестирования) функций СЗИ НСД.Если для данного класса АС требуется наличие сертифицированных средств защиты, проверяется наличие таких сертификатов соответствия, а также установленные в них классы защищенности.Рекомендации по результатам испытаний.Комиссия может рекомендовать следующие меры по устранению недостатков:применение дополнительных организационно-технических мероприятий по защите информации;доработка организационно-распорядительной документации;применение дополнительных сертифицированных средств защиты информации;исключение отдельных программных средств из состава АС.На основании представленных этапов аттестации критически важных объектов информатизации составим общий алгоритм аттестационных испытаний (рисунок 7).Рисунок7 Алгоритм аттестационных испытаний критически важного объекта информатизацииЗаключениеВ современных условиях наиболее перспективным способом проверки достигнутого качества функционирования и уровня защищенности критически важных объектов информатизации является процедура аттестации. Для таких объектов аттестация, согласно действующему законодательству, является обязательным условием для начала или продолжения их эксплуатации. В их число входят АС, предназначенные для обработки информации, составляющей государственную тайну, для управления экологически опасными объектами и для ведения секретных переговоров.В России аттестация, по существу, только начинает внедряться в практику создания и применения АС. В связи с этим существует целый комплекс нерешенных проблем, в числе которых проблемы стандартизации и совершенствования нормативной документации, состоящие в разработке, выборе и адаптации документов, применяемых при аттестации и описывающих процедуру, критерии и методику ее проведения. Целесообразным является использование для решения этих проблем опыта, накопленного мировым сообществом.В данной дипломной работе на основе анализа основных методов и приемов аттестации и особенностей функционирования объектов информатизации изучены особенности проведения аттестационных испытаний критически важных объектов информатизации, методика их проведения, рассмотрена нормативная база данного процесса. Основная сложность изучения вопроса аттестации критически важных объектов информатизации заключается в недоступности нормативных документов по данной вопросу. Основная часть документов не публикуется официально и запрещена к распространению.Для аттестации объектов информатизации применяется метод экспертно-документального контроля и инструментально-расчетный метод. Каждый из этих способов исследования был изучен в процессе выполнения дипломной работы и составлены структурные схемы выполнения каждого из указанных методов. Основным итогом изучения вопроса аттестации критически важных объектов информатизации сталподробный алгоритм аттестационных испытаний критически важного объекта информатизации, составленный на основе глубокого анализа имеющихся теоретических данных по указанному вопросу.Список используемых источниковГОСТ Р 51275-2006. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения. М.: Госстандарт России, 2008. – 9 с. Доктрина информационной безопасности Российской Федерации: утв. Президентом РФ № Пр-1895 от 9 сентября 2000 г. Заряев А.В. Источники и каналы утечки информации в телекоммуникационных системах: учеб.пособие для системы высшего профессионального образования МВД России / А.В. Заряев, В.Б. Щербаков и др. – Воронеж: Воронежский институт МВД России, 2003. – 94 c. Защита информации в телекоммуникационных системах: учебник для вузов МВД России / С.В. Скрыль и др. – Воронеж: Воронежский институт МВД России, 2002. – 300 с.Мещеряков В.А. Преступления в сфере компьютерной информации: основы теории и прак- тики расследования. – Воронеж: Изд-во Воронежского гос. ун-та, 2002. – 408 с. Основы информационной безопасности: учеб.пособие для вузов / Е.Б. Белов, В.П. Лось, Р.В. Мещеряков, А.А. Шелупанов. – М.: Горячая линия–Телеком, 2006. – 544 c. Основные направления государственной политики в области обеспечения безопасности автоматизированных систем управления производственными и технологическими процессами критически важных объектов инфраструктуры Российской Федерации. Утверждены Президентом Российской Федерации Д.Медведевым 3 февраля 2012 г., № 803Положение об аттестации объектов информатизации по требованиям безопасности. Утверждено Гостехкомиссией 25.11.94.РД «Система признаков критически важных объектов и критериев отнесения функционирующих в их составе информационно-телекоммуникационных систем к числу защищаемых от деструктивных информационных воздействий» (утв. Секретарем Совета Безопасности Российской Федерации 08.11.2005)Советов Б.Я. Моделирование систем: учебник для вузов / Б.Я. Советов, С.А. Яковлев. – 3-е изд. – М.: Высш. шк., 2001. – 343 с. Приложение 1Структурная модель канала утечки информацииПриложение 2Контроль системы ЗИ с учетом влияния факторов внешней средыПриложение 3Морфологическая модель формирования защиты информацииПриложение 4Кому: _____________________________ (наименование органа по аттестации и его адрес)ЗАЯВКА на проведение аттестации объекта информатизации1. (наименование заявителя) просит провести аттестацию (наименование объекта информатизации) на соответствие требованиям по безопасности информации: ______________________________________________________ 2. Необходимые исходные данные по аттестуемому объекту информатизации прилагаются. 3. Заявитель готов предоставить необходимые документы и условия для проведения аттестации. 4. Заявитель согласен на договорной основе оплатить расходы по всем видам работ и услуг по аттестации указанного в данной заявке объекта информатизации. 5. Дополнительные условия или сведения для договора: 5.1. Предварительное ознакомление с аттестуемым объектом предлагаю провести в период __________________________________________________ 5.2. Аттестационные испытания объекта информатики предлагаю провести в период ____________________________________________________________ 5.3. Испытания несертифицированных средств и систем информатизации (наименование средств и систем) предусмотрено провести в испытательных центрах (лабораториях) (наименование испытательных центров) в период _________________ (или предлагается провести непосредственно на аттестуемом объекте в период _____). Другие условия (предложения). печать Руководитель (органа заявителя) (подпись, дата) (Фамилия, И.О.)Приложение 5Приложение к форме "Заявки..." Исходные данные по аттестуемому объекту информатизации готовятся на основе следующего перечня вопросов: 1. Полное и точное наименование объекта информатизации и его назначение. 2. Характер (научно-техническая, экономическая, производственная, финансовая, военная, политическая) и уровень секретности (конфиденциальности) обрабатываемой информации определен (в соответствии с какими перечнями (государственным, отраслевым, ведомственным, предприятия)). 3. Организационная структура объекта информатизации. 4. Перечень помещений, состав комплекса технических средств (основных и вспомогательных), входящих в объект информатизации, в которых (на которых) обрабатывается указанная информация (расположенных в помещениях, где она циркулирует). 5. Особенности и схема расположения объекта информатизации с указанием границ контролируемой зоны. 6. Структура программного обеспечения (общесистемного и прикладного), используемого на аттестуемом объекте информатизации и предназначенного для обработки защищаемой информации, используемые протоколы обмена информацией. 7. Общая функциональная схема объекта информатизации, включая схему информационных потоков и режимы обработки защищаемой информации. 8. Наличие и характер взаимодействия с другими объектами информатизации. 9. Состав и структура системы защиты информации на аттестуемом объекте информатизации. 10. Перечень технических и программных средств в защищенном исполнении, средств защиты и контроля, используемых на аттестуемом объекте информатизации и имеющих соответствующий сертификат, предписание на эксплуатацию. 11. Сведения о разработчиках системы защиты информации, наличие у сторонних разработчиков (по отношению к предприятию, на котором расположен аттестуемый объект информатизации) лицензий на проведение подобных работ. 12. Наличие на объекте информатизации (на предприятии, на котором расположен объект информатизации) службы безопасности информации, службы администратора (автоматизированной системы, сети, баз данных). 13. Наличие и основные характеристики физической защиты объекта информатизации (помещений, где обрабатывается защищаемая информация и хранятся информационные носители). 14. Наличие и готовность проектной и эксплуатационной документации на объект информатизации и другие исходные данные по аттестуемому объекту информатизации, влияющие на безопасность информации. Приложение 5 "УТВЕРЖДАЮ"(должность руководителя органа по аттестации) м.п. Ф.И.О."__" _________ 20__ г. АТТЕСТАТ СООТВЕТСТВИЯ (указывается полное наименование объекта информатизации) ТРЕБОВАНИЯМ БЕЗОПАСНОСТИ ИНФОРМАЦИИ N ____ Действителен до "__" _____ 20__ г. 1. Настоящим АТТЕСТАТОМ удостоверяется, что: (приводится полное наименование объекта информатизации) ________ категории ____________ класса соответствует требованиям нормативной и методической документации по безопасности информации. Состав комплекса технических средств объекта информатизации (с указанием заводских номеров, модели, изготовителя, номеров сертификатов), схема размещения в помещениях и относительно границ контролируемой зоны, перечень используемых программных средств, а также средств защиты (с указанием изготовителя и номеров сертификатов) прилагаются. 2. Организационная структура, уровень подготовки специалистов, нормативное, методическое обеспечение и техническая оснащенность службы безопасности информации обеспечивают контроль эффективности мер и средств защиты и поддержание уровня защищенности объекта информатизации в процессе эксплуатации в соответствии с установленными требованиями. 3. Аттестация объекта информатизации выполнена в соответствии с программой и методиками аттестационных испытаний, утвержденными "__" _______ 19__ г. N ______. 4. С учетом результатов аттестационных испытаний на объекте информатизации разрешается обработка (указывается высшая степень секретности, конфиденциальности) информации. 5. При эксплуатации объекта информатизации запрещается: (указываются ограничения, которые могут повлиять на эффективность мер и средств защиты информации).6. Контроль за эффективностью реализованных мер и средств защиты возлагается на службу безопасности информации. 7. Подробные результаты аттестационных испытаний приведены в заключении аттестационной комиссии (N _______ "__" ________ 19__ г.) и протоколах испытаний. 8. "Аттестат соответствия" выдан на _____ года, в течение которых должна быть обеспечена неизменность условий функционирования объекта информатизации и технологии обработки защищаемой информации, могущих повлиять на характеристики, указанные в п. 9. 9. Перечень характеристик, об изменениях которых требуется обязательно извещать орган по аттестации. 9.1. __________________________________________ 9.2. __________________________________________ Руководитель аттестационной комиссии (должность с указанием наименования предприятия) Ф.И.О. "__" _______ 19__ г. Отметки органа надзора: ___________________________________________________ Примечание. Под объектами информатизации, аттестуемыми по требованиям безопасности информации, понимаются автоматизированные системы различного уровня и назначения, системы связи, отображения и размножения вместе с помещениями, в которых они установлены, предназначенные для обработки и передачи информации, подлежащей защите, а также сами помещения, предназначенные для ведения конфиденциальных переговоров