27. Защита информации в государственных информационных системах рф. Основные положения и последовательность организации работ.

Согласно положениям Федерального закона № 149, принятого в 2006 году, государственные информационные системы создаются для реализации полномочий государственных органов, для обмена информацией между органами государственной власти и в иных целях, если это предусмотрено законом.

Стоит учитывать, что к государственным информационным системам могут быть отнесены не только системы федерального уровня, но и их региональные аналоги и даже, муниципальные информационные системы.

С начала 2013 года методы защиты информации регламентирует Приказ ФСТЭК России № 17. Четыре класса защищенности зависят от уровня значимости информации и масштаба информационной системы.

В норме, приказ требует:

• формирования требований по защите информации для конкретной ГИС;

• разработки и внедрения системы защиты информации;

• аттестации информационной системы и ввода ее в действие.

Даже после того, как систему начали эксплуатировать, законодательство требует обеспечения защиты в ходе эксплуатации и (!) - обеспечения защиты до полного окончания эксплуатации ГИС.

Конкретные «наборы» мер, обеспечивающие защиту ГИС, определены тем же приказом № 17 от 11 февраля 2013 года.

Выбор мер защиты информации для их реализации в информационной системе осуществляется в ходе проектирования системы защиты информации информационной системы в соответствии с техническим заданием на создание информационной системы и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации информационной системы. Выбор мер защиты информации осуществляется исходя из класса защищенности информационной системы, определяющего требуемый уровень защищенности содержащейся в ней информации, и угроз безопасности информации.

Правила и процедуры по реализации требований о защите информации и мер защиты информации в конкретной информационной системе определяются в эксплуатационной документации на систему защиты информации и организационно-распорядительных документах по защите информации.

Эксплуатационная документация на систему защиты информации разрабатывается с учетом национальных стандартов и, как правило, включает руководства пользователей и администраторов, инструкцию по эксплуатации комплекса средств защиты информации и иных технических средств, описание технологического процесса обработки информации, общее описание информационной системы, формуляр и паспорт информационной системы. Организационно-распорядительные документы по защите информации включают, как правило, политики, стандарты организации, положения, планы, перечни, инструкции или иные виды документов, разрабатываемые оператором для регламентации процедур защиты информации в информационной системе в ходе ее эксплуатации.

В информационной системе подлежат реализации следующие меры защиты информации:

• идентификация и аутентификация субъектов доступа и объектов доступа;

• управление доступом субъектов доступа к объектам доступа; 9 ограничение программной среды;

• защита машинных носителей информации; регистрация событий безопасности;

• антивирусная защита;

• обнаружение (предотвращение) вторжений;

• контроль (анализ) защищенности информации;

• обеспечение целостности информационной системы и информации;

• обеспечение доступности информации; защита среды виртуализации;

• защита технических средств;

• защита информационной системы, ее средств и систем связи и передачи данных.