44. Оценка эффективности систем защиты программного обеспечения.

Порядок проведения оценки защищенности автоматизированных систем от несанкционированного доступа

В информационных системах и в автоматизированных системах обработки информации проверяются:

• наличие сведений, составляющих государственную или служебную тайну, циркулирующих в средствах обработки информации и помещениях в соответствии с принятой на объекте технологией обработки информации;

• правильность классификации автоматизированных систем в зависимости от степени секретности обрабатываемой информации;

• наличие сертификатов на средства защиты информации;

• организация и фактическое состояние доступа обслуживающего и эксплуатирующего персонала к защищаемым информационным ресурсам, наличие и качество организационно-распорядительных документов по допуску персонала к защищаемым ресурсам, организация учета, хранения и обращения с конфиденциальными носителями информации;

• состояние учета всех технических и программных средств отечественного и иностранного производства, участвующих в обработке защищаемой информации, наличие и правильность оформления документов по специальным исследованиям и проверкам технических средств информатизации, в том числе на наличие недекларированных возможностей программного обеспечения;

• обоснованность и полнота выполнения организационных и технических мер по защите информации;

• наличие, правильность установки и порядка эксплуатации средств защиты от несанкционированного доступа к информации;

• выполнение требований по технической защите информации при подключении автоматизированных систем к внешним информационным системам общего пользования.

В ходе проверки анализируется система информационного обеспечения объекта:

• используемые типы ЭВМ и операционных систем;

• виды и объемы баз данных;

• распределение закрытой и открытой информации по рабочим местам пользователей;

• порядок доступа к информации, количество уровней разграничения доступа;

• порядок поддержания целостности информации и резервного копирования.

Осуществляется проверка эффективности реально установленных механизмов защиты информации требованиям соответствующего класса защиты информации от НСД.

Структура систем защиты средств и систем информатизации от несанкционированного доступа должна включать в себя четыре подсистемы:

1. Подсистему управления доступом, которая осуществляет персонализацию действий в системе на основе идентификаторов и профилей пользователей (паспортов) отдельно для каждого уровня, а также разграничение доступа на их основе.

2. Подсистему учета и контроля, накапливающую и в дальнейшем обрабатывающую в журнале учета статистические сведения о доступе пользователей к различным ресурсам сети и возможных попытках НСД.

3. Криптографическую подсистему (для информации с грифом «СС» и выше) для шифрования конфиденциальной информации, записываемой на магнитные носители и передаваемой по линиям связи. Вся информация, не подлежащая открытому распространению, шифруется непосредственно в ее источнике (рабочей станции, терминале, базе данных) и передается по открытым линиям связи в зашифрованном виде.

4. Подсистему обеспечения целостности, которая осуществляет контроль целостности средств операционных систем, прикладных программ и баз данных, а также средств защиты информации.