Короткі теоретичні відомості

Метою обстеження підприємства є вивчення його ІД, визначення об`єктів захисту – ІзОД, виявлення загроз, їхній аналіз та побудова окремої моделі загроз, тобто підготовка вихідних даних для формування вимог щодо створення комплексу ТЗІ.

Обстеження на ОІД проводить комісія, склад якої затверджується керівником установи-замовника згідно із затвердженою програмою (за необхідності).

До складу комісії включають фахівців структурних підрозділів установи, інформаційна діяльність яких пов’язана з ІзОД і які заявляють створення комплексу ТЗІ, підрозділу, якому доручено супроводження робіт з ТЗІ в установі, інших підрозділів щодо будівництва, енергопостачання тощо.

Програма проведення обстеження на ОІД може містити:

1. Назву установи, що замовляє створення комплексу ТЗІ.

2. Назву ОІД.

3. Підстави для проведення обстеження (рішення керівника установи щодо створення комплексу ТЗІ).

4. Перелік, обсяги робіт з обстеження, терміни їх виконання.

5. Виконавці, співвиконавці обстеження.

Під час обстеження проводять аналіз:

1) умов функціонування ОІД, особливостей розташування його на місцевості, відносно меж контрольованої зони (КЗ), архітектурно-будівельних особливостей тощо;

2) технічних засобів, що оброблятимуть ІзОД, та технічних засобів, які не використовують безпосередньо для її оброблення, визначають місця їх розташування на ОІД;

3) розташування інженерних комунікацій та металоконструкцій, виявляють транзитні, незадіяні (повітряні, зовнішні, підземні) комунікації (для опрацювання пропозицій щодо їх вилучення чи доопрацювання), а також такі, що виходять за межі КЗ;

4) необхідності впровадження інженерних і технічних заходів захисту від витоку ІзОД технічними каналами.

Матеріали обстеження необхідно використовувати під час розроблення окремої моделі загроз, яка повинна включати:

5) генеральний та ситуаційний плани підприємства, схеми розташування засобів і систем забезпечення ІД, а також інженерних комунікацій, які виходять за межі контрольованої території;

6) схеми та описи каналів витоку інформації, каналів спеціального впливу і шляхів несанкціонованого доступу до ІзОД;

7) оцінку шкоди, яка передбачається від реалізації загроз.

У ході обстеження необхідно:

– провести аналіз умов функціонування підприємства, його розташування на місцевості (ситуаційного плану) для визначення можливих джерел загроз;

– дослідити засоби забезпечення ІД, які мають вихід за межі контрольованої території;

– вивчити схеми засобів і систем життєзабезпечення підприємства (електроживлення, заземлення, автоматизації, пожежної та охоронної сигналізації), а також інженерних комунікацій та металоконструкцій;

– дослідити інформаційні потоки, технологічні процеси передачі, одержання, використання, розповсюдження і зберігання (далі – оброблення) інформації і провести необхідні вимірювання;

– визначити наявність та технічний стан засобів забезпечення ТЗІ;

– перевірити наявність на підприємстві нормативних документів, які забезпечують функціонування системи захисту інформації, організацію проектування будівельних робіт з урахуванням вимог ТЗІ, а також нормативної та експлуатаційної документації, яка забезпечує ІД;

– виявити наявність транзитних, незадіяних (повітряних, настінних, зовнішніх та закладених у каналізацію) кабелів, кіл і проводів;

– визначити технічні засоби і системи, застосування яких не обґрунтовано службовою чи виробничою необхідністю і які підлягають демонтуванню;

– визначити технічні засоби, що потребують переобладнання (перемонтування) та встановлення засобів ТЗІ.

За результатами обстеження слід скласти акт, який повинен бути затверджений керівником підприємства. Зміни до затвердженого керівником установи-замовника Акта обстеження на ОІД оформлюють Доповненням, де пояснюється причина його складання та наводяться номери і зміст пунктів акта, які доповнюються, змінюються або замінюються.

Після затвердження Доповнення на першому аркуші Акта обстеження на ОІД роблять позначення “Діє з Доповненням від … № …”.