Sb96067
.pdf
8. Требования к системе защиты АСУ
Требованияк системе защиты АСУопределяются в зависимости от класса защищенности АСУ и угроз безопасности информации, включенных в модель угроз безопасности информации
Требования к системе защиты АСУ включаются в техническое задание на создание (модернизацию) АСУ и (или) техническое задание (частное техническое задание)
на создание системызащитыАСУ, разрабатываемые с учетом ГОСТ 34.602, ГОСТ Р 51583, ГОСТ Р 51624 и стандартоворганизации, которые должны в том числе содержать
Цель и задачи обеспечения защиты информациив АСУ
Объекты защиты АСУ на каждом 
из ее уровней
Требования к поставляемым техническим средствам, программному обеспечению, средствам защиты информации
Класс |
Перечень нормативных правовых |
|
актов, локальных правовых актов, |
||
защищенности |
||
методических документов, |
||
АСУ |
||
национальных стандартов |
||
|
||
|
и стандартоворганизаций, которым |
|
|
должна соответствовать АСУ |
|
Требования к мерам |
|
|
и средствам защиты |
Требования к защите информации |
|
информации, |
приинформационном |
|
применяемым |
взаимодействии с иными |
|
в АСУ |
автоматизированными |
|
|
(информационными) системами |
|
|
и информационно- |
|
Функции заказчика |
телекоммуникационными сетями |
|
|
||
и оператора |
|
|
по обеспечению |
Стадии (этапыработ) создания |
|
защиты |
||
информации |
системы защиты АСУ |
|
в АСУ |
|
При определении требованийк системе защитыАСУ учитываются положения политик обеспечения информационной безопасности заказчика в случае ее разработки по ГОСТ Р ИСО/МЭК 27001 «Информационная технология. Методы и средства обеспечения безопасности. Системыменеджмента информационной безопасности. Требования», а также политик обеспечения информационной безопасности оператора в части, не противоречащей политике заказчика
11
9. Принятие решения о необходимости защиты информации в АСУ
Принятие решения
онеобходимостисоздания системы защиты АСУ
иопределение целей и задач защиты информациив АСУ
Анализ целей создания АСУ и задач, решаемых этой АСУ
При принятии решения
онеобходимости защиты информации
вАСУосуществляются
|
Определение |
|
информации, нарушение |
Анализ нормативных |
доступности, |
правовых актов, |
целостности или |
локальных правовых |
конфиденциальности |
актов, методических |
которой может привести |
документов, |
к нарушению штатного |
национальных |
режима |
стандартов и стандартов |
функционирования АСУ |
организаций, которым |
(определение критически |
должна соответствовать |
важной информации), |
АСУ |
и оценка возможных |
|
последствий такого |
|
нарушения |
12
10. Классификация АСУ
Классификация АСУв зависимости от уровня значимости (критичности) информации, обработка которой осуществляется вАСУ, проводится
Заказчиком или Оператором
Устанавливаются три класса защищенности АСУ, определяющие уровни ее защищенности
1-й класс |
2-й класс |
3-й класс |
|
(самый высокий) |
(самый низкий) |
||
|
Класс защищенности АСУ определяется в соответствии с п. 11
Класс защищенности может быть установлен отдельно
Для каждого из уровней АСУ |
Иных сегментов |
|
при их наличии |
||
|
Результатыклассификации АСУ оформляются актом классификации
Требование к классу защищенности включается в техническое задание на создание АСУ и (или) техническое задание (частное техническое задание) на создание системы защиты АСУ, разрабатываемые с учетом ГОСТ 34.602 «Информационная технология.
Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы», ГОСТ Р 51583, ГОСТ Р 51624 и стандартов организации
Класс защищенности АСУ (сегмента) подлежит пересмотру только в случае ее модернизации, в результате которой изменился уровень значимости (критичности)
информации, обрабатываемой в АСУ (сегменте)
13
11. Определение класса защищенности АСУ
Класс защищенности АСУ (первый класс (К 1), второй класс (К 2), третий класс (К 3)) определяется в зависимости от уровня значимости (УЗ) (критичности) обрабатываемой в ней информации
УЗ определяется степенью возможного ущерба от нарушения ее целостности (неправомерное уничтожение или модифицирование), доступности (неправомерное блокирование) или конфиденциальности (неправомерные доступ, копирование, предоставление или распространение), в результате которого возможно нарушение штатного режима функционирования АСУ или незаконное вмешательство
в процессы функционирования АСУ, т. е. УЗ = [(целостность, степень ущерба) (доступность, степень ущерба) (конфиденциальность, степень ущерба)]
Степень возможного ущерба определяется заказчиком или оператором экспертным или иным методом и может быть
Высокой |
Средней |
Низкой |
Если в результате нарушения одного из свойств безопасности информации (целостности, доступности, конфиденциальности), повлекшего нарушение штатного режима функционирования АСУ, возможно возникновение чрезвычайной ситуации федерального или межрегионального характера или иные существенные негативные последствия в социальной, политической, экономической, военной или иных областях деятельности
|
Если в результате |
|
нарушения одного |
Если в результате нарушения |
из свойств безопасности |
одного из свойств |
информации |
безопасности информации |
(целостности, |
(целостности, доступности, |
доступности, |
конфиденциальности), |
конфиденциальности), |
повлекшего нарушение |
повлекшего нарушение |
штатного режима |
штатного режима |
функционирования АСУ, |
функционирования АСУ, |
возможно возникновение |
возможно возникновение |
чрезвычайной ситуации |
чрезвычайной ситуации |
регионального или |
муниципального |
межмуниципального характера |
(локального) характера |
или иные умеренные |
или иные незначительные |
негативные последствия |
негативные последствия |
в социальной, политической, |
в социальной, |
экономической, военной или |
политической, |
иных областях деятельности |
экономической, военной |
|
или иных областях |
|
деятельности |
14
Окончание
В случае если для информации, обрабатываемой в АСУ, не требуется обеспечение одного из свойств безопасности информации (в частности, конфиденциальности), уровень значимости (критичности) определяется для двух других свойств безопасности информации
(целостности, доступности). В этом случае
УЗ = [(целостность, степень ущерба) (доступность, степень ущерба) (конфиденциальность, не применяется)]
Информация, обрабатываемая в АСУ, имеет
Высокий уровень |
Средний уровень |
Низкий уровень |
|
значимости |
значимости |
значимости |
|
(критичности) (УЗ 1) |
(критичности) (УЗ 2) |
(критичности) (УЗ 3) |
|
Если хотя бы для |
Если хотя бы для одного |
|
|
из свойств безопасности |
Если для всех свойств |
||
одного из свойств |
информации |
||
безопасности |
|||
безопасности |
(целостности, |
||
информации |
|||
информации |
доступности, |
||
(целостности, |
|||
(целостности, |
конфиденциальности) |
||
доступности, |
|||
доступности, |
определена средняя |
||
конфиденциальности) |
|||
конфиденциальности) |
степень ущерба и нет ни |
||
определена низкая |
|||
определена высокая |
одного свойства, для |
||
степень ущерба |
|||
степень ущерба |
которого определена |
||
|
|||
|
высокая степень ущерба |
|
При обработке в АСУ двух и более видов информации (измерительная информация, информация о состоянии процесса) УЗ определяется отдельно для каждого вида информации. Итоговый УЗ устанавливается по наивысшим значениям степени возможного ущерба, определенным для целостности, доступности, конфиденциальности каждого вида информации
Класс защищенности АСУ определяется в соответствии с таблицей
Уровень значимости информации |
Класс защищенности АСУ |
|
|
УЗ 1 |
К 1 |
УЗ 2 |
К 2 |
УЗ 3 |
К 3 |
15
12. Определение угроз безопасности информации
Угрозы безопасности информации определяются на каждом из уровней АСУ по результатам
|
|
|
Анализа возможных |
||
|
|
|
способов (сценариев) |
||
|
Оценкивозможностей |
|
реализации угроз |
||
|
|
безопасности информации |
|||
(потенциала, оснащенности |
Анализа возможных |
и последствийот нарушения |
|||
|
и мотивации) внешних |
как отдельных свойств |
|||
|
уязвимостей АСУ |
||||
и внутренних нарушителей |
безопасности информации |
||||
|
|||||
|
|
|
(целостности, доступности, |
||
|
|
|
конфиденциальности), |
||
|
|
|
так иАСУ в целом |
||
|
Приопределении угроз безопасностиинформации учитываются |
|
|||
|
|
||||
|
Структурно- |
Состав АСУ |
Взаимодействие |
||
функциональные |
|||||
|
|||||
|
характеристики |
Физические, |
с иными |
||
АСУ, включающие |
автоматизированными |
||||
наличие ее уровней |
логические, |
(информационными) |
|||
|
(сегментов) |
функциональные |
системами |
||
|
Режимы |
и технологические |
и информационно- |
||
|
взаимосвязи в АСУ |
телекоммуникационными |
|||
функционирования |
Иные особенности построения |
сетями |
|||
|
АСУ |
|
|
||
|
|
и функционирования АСУ |
|
|
|
По результатам определения угроз безопасностиинформации могут разрабатываться рекомендации по корректировке структурно-функциональных характеристик АСУ, направленные на блокирование (нейтрализацию) отдельных угроз безопасности информации
Модель угроз безопасностиинформации должна содержать описание АСУ и угроз безопасности информации для каждого из ее уровней, включающее описание
Возможностейнарушителей |
Возможных |
Штатного режима |
(модель нарушителя) |
уязвимостей АСУ |
функционирования АСУ |
Способов (сценариев) реализации угроз безопасностиинформации ипоследствий от нарушения свойств безопасности информации (целостности, доступности, конфиденциальности)
Для определения угроз безопасностиинформации иразработкимодели угроз безопасности 
информацииприменяются методические документы ФСТЭКРоссии 
16
13. Разработка системы защиты АСУ
Разработка системызащиты АСУ организуется заказчиком и осуществляетсяразработчиком и (или) оператором
Разработка системызащиты АСУ осуществляется всоответствии с техническим заданием на создание (модернизацию) АСУ и (или) техническим заданием (частнымтехническим заданием) на создание системы защиты АСУ с учетом ГОСТ 34.601 «Информационнаятехнология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания», ГОСТР 51583, ГОСТР 51624, стандартов организациии втом числе включает
Проектирование системы защитыАСУ |
Разработку эксплуатационнойдокументации |
|
на систему защиты АСУ |
||
|
Система защиты АСУ не должна препятствовать штатному режиму функционирования АСУ при выполнении ее функцийв соответствиис назначением АСУ
Приразработке системы защиты АСУ учитываетсяее информационное взаимодействие
сиными автоматизированными (информационными) системами
иинформационно-телекоммуникационными сетями
Припроектированиисистемы защитыАСУ
Определяются типы субъектов доступа (пользователи, процессы
ииные субъекты доступа)
иобъектов доступа, являющихся объектами защиты
(автоматизированные рабочие места, промышленные серверы, телекоммуникационное оборудование, программируемые логические контроллеры, исполнительные устройства, иные объекты доступа)
Определяются виды и типы средств защиты информации, обеспечивающие реализацию технических мер защиты информации
Осуществляется при необходимости выбор средств защиты информации
с учетом их стоимости, совместимости с программным обеспечением и техническими средствами, функций безопасности этих средств и особенностей
их реализации, а также класса защищенности АСУ
Определяются методы управления доступом (дискреционный, мандатный, ролевойили иные методы), типы доступа(чтение, запись, выполнение илииные типы доступа) и правила разграничениядоступа субъектов доступа
к объектам доступа (на основе списков, меток безопасности, ролей
и иных правил), подлежащие реализациив АСУ
Определяется структура системы защиты АСУ, включая состав (количество)
иместа размещения
ееэлементов
Определяются меры защиты информации
при информационном взаимодействии с иными автоматизированными (информационными)
системами и информационно-
телекоммуникационными
сетями
Выбираютсямеры защиты информации, подлежащие реализациив рамках системы защиты АСУ
Определяются параметры программирования
и настройки программного обеспечения, включая программное обеспечение средствзащиты информации, обеспечивающие реализациюмер защиты информации, а также устранение возможных уязвимостейАСУ
Осуществляетсяпроверка, в том числе при необходимости
с использованием макетов или тестовой зоны, корректности функционирования АСУ
ссистемойзащиты
исовместимости выбранных средств защиты информации
спрограммным
обеспечением и техническими средствами АСУ
17
14. Разработка эксплуатационной документации на систему защиты АСУ
При проектировании системы защиты АСУдолжны учитываться особенности функционирования программного обеспечения и технических средств на каждом из уровней АСУ
Результатыпроектирования системызащитыАСУ отражаются в проектной документации (эскизном (техническом) проекте и (или) рабочей документации)
на АСУ (систему защиты АСУ), разрабатываемых с учетом ГОСТ 34.201 «Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем» и стандартов организации
Разработка эксплуатационной документации на систему защиты АСУ осуществляется по результатам проектирования в соответствии с техническим заданием на создание (модернизацию) АСУ и (или) техническим заданием (частным техническим заданием) на создание системызащитыАСУ
Эксплуатационная документация на систему защиты АСУ разрабатывается с учетом ГОСТ 34.601, ГОСТ 34.201, ГОСТ Р 51624, стандартов организации и должна в том числе содержать описание
|
Состава, мест |
Правил |
|
Структуры системы |
установки, |
||
эксплуатации |
|||
параметров |
|||
защиты АСУ |
системы защиты |
||
и порядка |
|||
|
АСУ |
||
|
настройки средств |
||
|
|
||
|
защиты |
|
|
|
информации, |
|
|
|
программного |
|
|
|
обеспечения |
|
|
|
и технических |
|
|
|
средств |
|
18
15. Внедрение системы защиты АСУ и ввод ее в действие
Организуется |
Внедрение системы защиты АСУ |
Осуществляется |
|
Заказчиком |
Оператором |
и (или) |
Разработчиком |
Внедрение системы защиты АСУ осуществляется в соответствии с проектной
иэксплуатационной документацией на систему защиты информации в АСУ
ив том числе включает
Предварительные испытания системы защиты АСУ
Опытную эксплуатацию системы защиты АСУ
Анализ уязвимостей АСУ и принятие мер по их устранению
Приемочные испытания системы защиты АСУ
Настройку (задание параметров программирования) программного обеспечения АСУ
Разработку документов, определяющих правила и процедуры (политики), реализуемые оператором для обеспечения защиты информации в АСУ в ходе
ее эксплуатации (организационнораспорядительные документы по защите информации)
Внедрение организационных мер защитыинформации
Установку и настройку средств защиты информации в АСУ
Настройка (задание параметров программирования) программного обеспечения АСУ должна осуществляться в соответствии с проектной и эксплуатационной документацией на АСУ
иобеспечивать конфигурацию программного обеспечения и автоматизированной системы
вцелом, при которой минимизируются риски возникновения уязвимостей и возможности
реализации угроз безопасности информации
19
16. Разрабатываемые организационно-распорядительные документы по защите информации
Разрабатываемые организационнораспорядительные документы по защите информации должны определять правила и процедуры (политики)
Защиты информации |
Организационно- |
Реализации |
|
отдельных мер |
|||
распорядительные |
|||
привыводе |
защиты информации |
||
документы по защите |
|||
из эксплуатации АСУ |
в АСУ в рамках ее |
||
информации могут |
|||
|
системы защиты |
||
|
разрабатываться |
||
|
|
||
|
в виде отдельных |
|
|
Контроля |
документовоператора |
Планирования |
|
или врамках общей |
|||
(мониторинга) |
политики |
мероприятий |
|
за обеспечением |
обеспечения |
по обеспечению |
|
уровня защищенности |
информационной |
защиты информации |
|
АСУ |
безопасности вслучае |
в АСУ |
|
|
ее разработки по |
|
|
|
ГОСТР ИСО/МЭК |
Обеспечения |
|
|
27001 |
||
Управления |
«Информационная |
действий |
|
технология. Методы |
в нештатных |
||
конфигурацией АСУ |
|||
и средства |
(непредвиденных) |
||
и ее системы защиты |
|||
обеспечения |
ситуациях в ходе |
||
|
|||
|
безопасности. |
эксплуатацииАСУ |
|
|
Системы |
|
|
|
менеджмента |
|
|
Управления |
информационной |
Информирования |
|
безопасности. |
|||
(администрирования) |
|||
Требования» |
и обучения |
||
системой защиты |
|||
|
персонала АСУ |
||
информациив АСУ |
|
||
|
|
Выявленияинцидентов (одного |
|
|
события или группысобытий), |
|
|
которые могут привести ксбоям |
Анализа угроз безопасности |
|
или нарушению |
||
информации в АСУ и рисков |
||
функционирования и(или) |
||
от их реализации |
||
к возникновению угроз |
||
|
||
безопасности информации, |
|
|
и реагированияна них |
|
20