- •Санкт-петербургский национальный исследовательский университет информационных технологий, механики и оптики
- •2.1 Назначение сзпДн
- •3. Общая характеристика ис
- •3.1. Объект работ
- •3.2. Характеристика информационных систем
- •4. Требования к сзпДн
- •4.1 Общие требования
- •4.2 Требования к структуре и функциям сзпДн
- •4.2.1 Требования к подсистеме управления доступом
- •4.2.2 Требования к подсистеме регистрации и учета
- •4.2.3 Требования к подсистеме контроля целостности
- •4.2.4 Требования к подсистеме криптографической защиты
- •4.2.5 Требования к подсистеме межсетевого экранирования
- •4.2.6 Требование к подсистеме защиты от утечек
- •4.2.7 Требования к подсистеме обнаружения атак
- •4.2.8 Требования к подсистеме анализа защищённости
- •4.2.9 Требования к подсистеме антивирусной защиты
- •4.2.10 Требования к подсистеме централизованного управления
- •4.3 Требования к вариантам исполнения системы
- •4.4 Требования к режимам функционирования системы
- •4.5 Требования к численности и квалификации персонала, режиму его работы
- •5.2 Требования к техническому обеспечению
- •5.3 Требования к организационному обеспечению
- •6. Обязательные требования к Исполнителю
- •7. Источники разработки
- •8. Перечень принятых сокращений
4.4 Требования к режимам функционирования системы
В разработанной КСЗИ должны быть реализованы следующие режимы функционирования:
режим установки и конфигурирования,
режим отладки,
рабочий режим.
Режим конфигурирования должен быть предназначен для первичной настройки КСЗИ и должен выполняется на этапе пуско-наладочных работ. В этом режиме должно происходить настраивание КСЗИ путем создания правил, создания, редактирования и применения политик, шаблонов, настроек необходимых видов доступа. Режим установки и конфигурирования должен подразумевать работы по установке и начальной настройке установленного программного обеспечения.
Режим отладки должен быть предназначен для отладки СЗИ и должен выполняться на этапе ввода в эксплуатацию после режима конфигурирования. В этом режиме должно происходить журналирование отработки необходимых компонент СЗИ, отлаживание реакций, видов и методов реагирования компонент на происходящие воздействия.
Рабочий режим должен быть единственным допустимым режимом штатного функционирования системы. В рабочий режим система должна переводиться после режима отладки, когда становится ясно, что система функционирует верно, корректно отрабатываются необходимые политики, правила и шаблоны.
4.5 Требования к численности и квалификации персонала, режиму его работы
Квалификация и численность персонала должна быть достаточной для осуществления им настройки общесистемных, прикладных и сетевых сервисов ИСПДн, а также настройки СЗИ ИСПДн.
Персонал ИСПДн должен осуществлять обслуживание и эксплуатацию ИСПДн по рабочим дням в рабочее время с возможностью выхода в нерабочее время для проведения сервисного обслуживания или восстановления работоспособности ИСПДн в целом и СЗИ ИСПДн.
4.6 Показатели назначения
Системно-технические решения СЗПДн должны обеспечить минимизацию вероятности реализации актуальных угроз ИБ ИСПДн, описанных в частной модели угроз данной ИСПДн.
Экономический эффект от создания СЗПДн должен проявляться в снижении вероятной величины материального и морального ущерба по отношению к субъектам и оператору ПДн.
4.7 Требования к надежности
Аппаратно-программные компоненты СЗПДн должны быть рассчитаны для функционирования в режиме круглосуточной работы и позволять осуществлять выполнение процедур резервирования и восстановления системы после сбоев.
4.8 Требования безопасности
В процессе обслуживания и эксплуатации оборудования СЗПДн должна обеспечиваться безопасность персонала.
Конструкция используемого оборудования должна обеспечивать защиту эксплуатирующего персонала от поражения электрическим током в соответствии с требованиями ГОСТ 12.2.003 и ГОСТ 12.2.007.
Размещение оборудования на штатных местах должно обеспечивать его безопасное обслуживание и эксплуатацию.
4.9 Требования к эргономике и технической эстетике
Не предъявляются.
4.10 Требования к эксплуатации, техническому обслуживанию, ремонту и хранению компонентов СЗПДн
Физический доступ неуполномоченных лиц к СВТ ИСПДн должен быть запрещен.
Требования к эксплуатации, техническому обслуживанию, ремонту и хранению могут уточняться на этапе проектирования СЗПДн.
4.11 Требования по сохранности информации при авариях
Должна обеспечиваться сохранность информации при авариях в ИСПДн.
Механизмы обеспечения сохранности информации могут уточняться на этапе проектирования СЗПДн.
4.12 Требования к защите от влияния внешних воздействий
Защита информации, обрабатываемой в ИСПДн, от влияния внешних воздействий должна осуществляться в рамках общих организационно-технических мероприятий по обеспечению безопасности и физической защите на объектах размещения СВТ ИСПДн.
4.13 Требования к патентной чистоте
При создании СЗПДн должны соблюдаться положения законодательных актов Российской Федерации по соблюдению авторских прав и защите специальных знаков.
При поставке программного обеспечения должны быть выполнены требования Закона Российской Федерации «О правовой охране программ для электронных вычислительных машин и баз данных» от 23.09.92 г., а также международные патентные соглашения.
4.14 Требования по стандартизации и унификации
Решения по использованию технических средств и ПО в СЗПДн должны использовать однотипные компоненты в целях обеспечения снижения расходов на обслуживание и ремонт, взаимозаменяемости используемых компонентов, удобства эксплуатации.
Должна обеспечиваться совместимость технических средств и ПО СЗПДн с техническими средствами и ПО, используемыми в ИСПДн.
Требования по стандартизации и унификации могут уточняться на этапе проектирования СЗПДн.
5. Требования к видам обеспечения
5.1 Требования к программному обеспечению
Предлагаемое к использованию программное обеспечение должно быть лицензионно-чистым.
Решения по использованию ПО должны приниматься с учетом обеспечения поддержки его функционирования производителем или поставщиком данного ПО.
В процессе эксплуатации СЗПДн лицензии на применяемое ПО должны поддерживаться в актуальном состоянии.
Средства защиты информации, входящие в состав СЗПДн, должны быть сертифицированы на соответствие требованиям руководящих документов ФСТЭК России, ФСБ России.
Требования к программному обеспечению, используемому для защиты информации в ИСПДн (средств защиты информации, в том числе и встроенных в общесистемное и прикладное ПО) в части необходимости обеспечения контроля отсутствия недекларированных возможностей (НДВ) должны быть определены в ЧТЗ (для ИСПДн класса К1 должен быть обеспечен 4 уровень контроля отсутствия НДВ в обязательном порядке, для ИСПДн классов К2 и К3 – по решению оператора ИСПДн).
Требования к программному обеспечению могут уточняться на этапе проектирования СЗПДн.