Горбатов Аттестационные испытания автоматизированных систем от 2014

5. ЦЕЛЬ ПРОВЕРКИ.

Проведение оценки соответствия АС специальным требованиям по защите информации от несанкционированного доступа по направлениям:

-на состояние технологического процесса обработки информации; на соответствие подсистемы управления доступом заданному уровню защиты; на соответствие механизма идентификации заданному уровню защиты; на соответствие механизма аутентификации заданному уровню защиты; на соответствие механизма контроля доступа заданному уровню защиты; на соответствие механизмов управления потоками информации заданному уровню защиты;

-на соответствие подсистемы регистрации и учёта заданному уровню защиты;

-на соответствие подсистемы обеспечения целостности заданному уровню защиты.

6. МЕТОД ПРОВЕРКИ – программный с применением программ «ФИКС 2.0.1», «Ревизор 1 ХР», «Ревизор 2 ХР», «TERRIER 3.0».

7. РЕЗУЛЬТАТЫ ПРОВЕРКИ.

7.1.Исходя из результатов анализа защищаемых информационных ресурсов и их уровня конфиденциальности (не выше «СЕКРЕТНО»), перечня объектов и субъектов доступа, их полномочий и порядка доступа к защищаемым информационным ресурсам АС, АС является многопользовательской автоматизированной системой, в которой разрешается работа нескольким пользователям с информацией различного уровня конфиденциальности. Не все пользователи имеют право доступа ко всей информации, циркулирующей в АС (разные права доступа). Учитывая режим обработки информации в АС и руководствуясь требованиями пп.1.9. и 2.14. РД «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» и п. 6.7 «Специальных требований и рекомендаций по защите информации, составляющей государственную тайну, от утечки по техническим каналам» (СТР), – для АС на базе ПЭВМ установлен класс защищенности от НСД – 1В.

7.2.В качестве субъектов доступа рассматривались лица и процессы (программы пользователей), имеющие возможность дос-

511

тупа к объектам штатными средствами ПЭВМ. Субъекты доступа имеют официальное разрешение (допуск) к информации определенного уровня конфиденциальности.

7.3.В соответствии с требованиями РД «Защита от несанкционированного доступа к информации» для программного обеспечения (ПО), используемого при защите информации на автоматизированном рабочем месте, должен быть обеспечен третий уровень контроля отсутствия недекларированных возможностей.

7.4.Наиболее опасными угрозами для информации, обрабатываемой АС, являются нарушения:

-конфиденциальности (установленного разграничения доступа пользователей к информации);

-доступности (установленного допуска пользователей к информации, согласно матрице доступа);

-целостности информации (искажения, модификации, заражения вирусами).

7.5.На АС установлена сертифицированная ФСТЭК России (Сертификат ФСТЭК России № 1912 от 17.09.2009. Действителен до 17.09.2016) система защиты информации от несанкционирован-

ного доступа «Secret Net 5.1». В СЗИ НСД «Secret Net 5.1» реализо-

ваны:

-подсистема управления (разграничения) доступом к объектам доступа, а также к информации (базе данных);

-подсистема регистрации и учета обращения к информации (ведение электронного журнала);

-подсистема очистки остаточной информации;

-подсистема обеспечения целостности программного средства СЗИ НСД, обрабатываемой информации;

-контроль неизменности программной среды.

7.6.Применение методов криптографии для АС не является обязательным, так как АС размещена в режимном помещении, расположенном в пределах контролируемой зоны организации (п. 6.8. СТР).

7.7.Комиссии представлена документация по обработке секретной информации на аттестованных объектах класса защищённости АС – 1В.

В качестве объектов доступа:

-система в целом;

512

-ЭВМ, внешние устройства ЭВМ;

-программы, каталоги, файлы;

-все виды памяти ЭВМ, в которых может находиться информация АС.

7.8. В дополнение к реализованным возможностям СЗИ НСД «Secret Net 5.1», организационно-распорядительной документацией предусмотрены следующие меры:

-учет защищаемых носителей (ЖМД и другие МНИ) в режим- но-секретном отделе (РСО), их выдача и прием под роспись, учет бумажных носителей и их маркировка перед выдачей твердых копий (п.п. 208 Инструкции № 3-1-2004 г.);

-допуск к обработке секретной информации на объекте вычислительной техники (на автоматизированное рабочее место) осуществляется в соответствии со списком сотрудников, утвержденным

руководителем организации;

-формирование на жёстком магнитном диске (ЖМД) отдельных секторов для работы с секретной информацией (для каждого пользователя создана своя папка) и отдельных директорий для записи информации с различными уровнями конфиденциальности.

7.9. Ответственность за обеспечение безопасности информации возложена на администратора защиты АС и пользователей АС.

7.10. Контроль эффективности реализованных мер и средств защиты информации на объекте информатизации возлагается на зам. руководителя по безопасности организации.

7.11. Разрешенные и запрещенные связи между субъектами и объектами доступа (с привязкой к конкретным СВТ и штатному персоналу) соответствуют разрешительной системе доступа персонала к защищаемым ресурсам на всех этапах обработки. Результаты проверки сведены в табл. П1.2.

7.12. На АС было проведено тестирование СЗИ НСД «Secret Net 5.1»

-реализация подсистемы обеспечения целостности средствами программы Фиксации и контроля исходного состояния программного комплекса проверена применением программой «ФИКС 2.0.1» (была проведена Фиксация исходного состояния, а также Фиксация

иконтроль исходного состояния, т.е. проверка факта наличия или отсутствия изменений в файлах текущей версии исследуемого про-

513

граммного комплекса и предыдущей версии того же программного комплекса);

-реализация подсистемы управления (разграничение) доступом субъектов к объектам доступа проверена применением программ «Ревизор 1 ХР», «Ревизор 2 ХР»;

-функция очистки остаточной информации проверена применением программой поиска информации на дисках «TERRIER 3.0».

«+» – выполнение соответствующего требования; «–» – невыполнение соответствующего требования.

Результаты тестирования приведены в приложении 1 данного протокола.

514

8. ВЫВОД.

Автоматизированная система АС - соответствует требованиям по защите информации от несанкционированного доступа для класса защищенности 1В.

Руководитель аттестационной комиссии Эксперт

Приложение 2

Результаты тестирования АС

Результат Фиксации исходного состояния АС (программа ФИКС-2.0.1)

ОТЧЕТ о фиксации исходного состояния (ВКС)