3. Стратегия обеспечения информационной безопасности при работе систем интервального регулирования и безопасности движения

Процесс обеспечения соответствия основным требованиям безопасности информационных систем и программного обеспечения является наиболее сложным на железнодорожном транспорте.

Безопасную информационную систему можно определить как систему, обеспечивающую одновременную обработку информации разной степени открытости группой пользователей без нарушения прав доступа. Такая система должна фиксировать все события, касающиеся безопасности.

Стандартами ГОСТ Р ИСО/МЭК 15408-2002 определены критерии, которые являются необходимыми и достаточными для достижения поставленных целей безопасности.

Стратегия обеспечения безопасности информационных систем и программного обеспечения на железнодорожном транспорте на всех этапах их жизненного цикла включает в себя соблюдение основных принципов:

• определение угроз, опасностей, риска и критериев риска;

• определение необходимого снижения рисков для удовлетворения критериям риска;

• определение технических приёмов и мер, предназначенных для достижения требуемого уровня риска;

• выбор подходящей архитектуры информационных систем;

• планирование, наблюдение и управление технической и управленческой деятельностью, необходимой для реализации требований по информационной безопасности.

Целью обеспечения комплексной безопасности информационных систем интервального регулирования лежит интеграция механизмов безопасности в сетевую инфраструктуру, в которой все ее элементы — от персонального компьютера до сетевого оборудования, участвуют в процессе обеспечения защищенности, устойчивости и непрерывности безопасности движения железнодорожного транспорта.

Технические средства информационных систем, разрабатываемые, изготавливаемые, или приобретаемые (в том числе ввозимые на территорию Российской Федерации), при условии правильной эксплуатации и технического обслуживания и ремонта, в штатных режимах должны соответствовать утвержденным требованиям.

Архитектура сети систем интервального регулирования и безопасности движения должна с максимальной точностью соответствовать функциональным потребностям систем и решать следующие задачи обеспечения безопасности:

• Реализации основных положений политик безопасности систем, направленных на обнаружение, отражение и ликвидацию последствий атак на критически важные ресурсы систем.

• Реализации мер безопасности на всей архитектуре сети систем.

• Реализации безопасного управления и отчетности.

• Реализации основных положений политик безопасности систем, направленных на идентификацию, аутентификацию, авторизацию и контроль доступа пользователей и администраторов для доступа к критически важным ресурсам систем.

С целью обеспечения безопасности программного обеспечения (ПО), на железнодорожном транспорте должны применяться следующие методы разработки ПО:

• проектирования «сверху - вниз»;

• модульности;

• верификации каждой фазы жизненного цикла;

• верифицированные модули и библиотеки модулей;

• понятности, однозначности, непротиворечивости и проверяемости документации;

• тестируемости.

Для информационных систем должны быть разработаны специальные требования по безопасности, которые должны указываться в нормативном техническом документе «Доказательство безопасности».

При разработке требований по безопасности к информационным системам и программному обеспечению должен использоваться «Список требований к функциям безопасности информационных систем» и другие нормативные технические документы, включая международные стандарты.

Риск должен определяться как количественная или, при невозможности количественной оценки, как качественная оценка риска конкретных видов потерь и ущербов для каждой идентифицированной опасности.

Для каждого риска конкретных видов потерь должны быть выполнены:

• анализ прогнозируемой частоты их наступления;

• ранжирование каждого риска для каждого конкретного вида потерь;

• определение необходимых мер для снижения рисков и удовлетворения требований к их критериям.

В соответствии с принятыми критериями рисков, должен быть определён уровень безопасности информационных систем и программного обеспечения.

Уровень безопасности информационных систем должен быть определён как:

• очень высокий;

• высокий;

• средний;

• низкий;

• не связано с обеспечением безопасности.

Каждому из требований по безопасности должен соответствовать определенный уровень безопасности программного обеспечения.

Модель жизненного цикла информационных систем должна быть подробно описана в плане обеспечения качества информационных систем. Процедуры обеспечения качества должны выполняться параллельно с функционированием систем в период жизненного цикла.

Функции и условия, осуществляемые в период жизненного цикла, должны определяться до начала эксплуатации. Каждая стадия жизненного цикла информационных систем должна быть разделена на элементарные задачи с хорошо определенным входными и выходными данными и видом деятельности для каждой из них.

План обеспечения качества информационных систем должен описывать, какие требуются верификационные процедуры и отчёты.

При контроле информационных систем необходимо предусматривать специальные средства для защиты рабочих систем и средств аудита.