Технические требования

Приложение

Технические требования.

1.  Цель работ:

1.1. Целью выполняемых работ является обеспечение защиты объектов информатизации ЦИТТУ ФТС России на уровне, предписанном действующими в Российской Федерации специальными требованиями и нормами по защите сведений составляющих государственную тайну. В связи с заменой устаревшей техники на новую, прошедшую спецпроверку, требуется переаттестация отделения защиты государственной тайны ЦИТТУ.

2.  Состав работ:

2.1. В рамках настоящих Технических требований необходимо выполнить следующие работы:

-  Переаттестация 4 объектов вычислительной техники (ОВТ) и периферийной техники, в том числе закрытого сегмента локальной вычислительной сети (ЛВС) на соответствие требованиям по безопасности информации;

2.2. Место выполнения работ:

Выполнение работ планируется проводить по адресу:

–  г. Москва, Комсомольская площадь д. 1а.

3.  Качественные характеристики выполняемых работ:

3.1. Требования к выполняемым работам.

Работы должны проводиться с учетом следующих требований:

3.1.1. Общие требования

При проведении работ и подготовке отчетных материалов Исполнитель должен руководствоваться следующими документами:

-  Федеральный закон от 01.01.2001 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

-  Закон Российской Федерации от 01.01.01 г. № 000-1 «О государственной тайне».

-  «Положение о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от ее утечки по техническим каналам», введенное в действие постановлением Правительства Российской Федерации от 01.01.01 г. № 000-51;

-  «Модель «ИТР-2020», 2009 г., ФСТЭК России;

-  «Специальные требования и рекомендации по защите информации, составляющей государственную тайну, от утечки по техническим каналам (СТР)», Гостехкомиссия (ФСТЭК) России, 1997г.

3.1.2 Требования по защите объектов вычислительной техники.

После проведения работ на объектах вычислительной техники должна быть обеспечена защита информации от утечки по следующим техническим каналам:

-  побочные электромагнитные излучения (ПЭМИ) информативных сигналов от ОТСС;

-  информативные наводки на провода и линии, отходящие от основных технических средств и систем (ОТСС) и выходящие за пределы контролируемой зоны, в том числе наводки на цепи электропитания и заземления;

-  информативные наводки на вспомогательные технические средства и системы (далее – ВТСС) (в том числе и на их линии связи), имеющие выход за пределы контролируемой зоны;

-  радиоизлучения и электрические сигналы от внедренных в ОТСС специальных устройств перехвата информации («закладок»), модулированных информативным сигналом;

-  изменения тока потребления, обусловленные обрабатываемыми техническими средствами информативными сигналами.

Указанные каналы утечки информации должны блокироваться путем проведения специальной проверки (СП) ОТСС (при необходимости), установки СЗИ от утечки информации за счет ПЭМИН и организационно-режимных мер защиты, предусмотренных СТР.

Технические решения по защите информации, обрабатываемой на аттестуемых объектах вычислительной техники, должны обеспечить выполнение действующих норм на отношение информативный сигнал/шум для ОТСС 2 категории («Сборник норм защиты информации от утечки за счет ПЭМИН») от носимых, возимых и стационарных средств разведки.

Защищаемые автоматизированные системы должны отвечать требованиям установленного класса защищенности (без обязательного применения подсистемы криптографической защиты информации).

Работы по аттестации объектов информатизации должны носить комплексный характер, охватывая все элементы контролируемых систем защиты информации. При этом в общем случае должны быть использованы следующие типы контроля:

·  экспертно - документальный;

·  инструментальный (технический).

3.2. Содержание работ по защите и аттестации объектов информатизации

По объектам вычислительной техники должны быть выполнены следующие работы:

3.2.1. Обследование объектов ВТ:

·  Анализ состава ОТСС и ВТСС объекта ВТ, расположения ОТСС относительно границ контролируемой зоны и относительно ВТСС. Выявление ВТСС, имеющих линии связи, выходящие за границы контролируемой зоны. Выявление параллельных пробегов линий связи ОТСС с иными линиями и коммуникациями. Выявление ОТСС, на которые имеются сертификаты ФСТЭК России или которые ранее прошли СИ (имеют предписания на эксплуатацию). Выявление ОТСС, прошедших СП. Оценка целесообразности дальнейшего использования средств защиты, эксплуатирующихся на объекте ВТ. Анализ выполнения систем электропитания и заземления объекта с точки зрения соответствия СТР. Проведение категорирования ОВТ и классификации АС по требованиям защиты информации от НСД;

·  Лабораторные спец. исследования (СИ) ОТСС (при необходимости), не имеющих сертификатов ФСТЭК России или предписаний на эксплуатацию;

·  СП съемных носителей информации иностранного производства (флеш носители);

3.2.2. Доработка системы защиты информации на ОВТ:

·  СП импортных ОТСС (при необходимости);

·  Оснащение (при необходимости) объекта техническими средствами защиты информации от утечки по техническим каналам. Устранение (методическое руководство соответствующими службами Заказчика по устранению) оставшихся отклонений от СТР в части защиты информации от утечки по техническим каналам (устранение выходов ВТСС за пределы контролируемой зоны, устранение параллельных пробегов линий связи ОТСС и иными линиями и коммуникациями, отключение посторонних потребителей от трансформаторной подстанции, от которой питается объект ВТ и т. п.);

·  Оснащение (при необходимости) автоматизированного рабочего места средствами защиты от НСД их установка и настройка (предоставляется Заказчиком);

·  Объектовые СИ ОТСС. Инструментальная оценка эффективности защиты информации, обеспечиваемой САЗ;

·  Разработка эксплуатационной документации.

3.2.3. Аттестационные испытания ОВТ:

·  Разработка Программы и Методики аттестационных испытаний;

·  Проведение аттестационных испытаний;

·  Разработка итоговых документов по результатам аттестации. Обучение ответственных по защите информации;

·  Проведение семинара с администраторами безопасности и ответственными за защиту и обеспечение безопасности информации (ОБИ).

3.3  Содержание работ и вид отчетных документов:

п/п	Наименование работы	Отчетные документы
1.	Обследование объектов ВТ	Акт обследования объекта ВТ. Проект Акта классификации АС и категорирования ОВТ.
Протокол СИ ОТСС (с таблицами измерений и расчетов для каждого ОТСС). Предписание на эксплуатацию ОТСС.
2.	Доработка системы защиты информации на ОВТ	Акт установки средств защиты информации от утечки по техническим каналам. Копии сертификатов ФСТЭК России (Гостехкомиссии России) Акт устранения отклонений от СТР.
Копия сертификата ФСТЭК России (Гостехкомиссии России). Акт установки и настройки комплекса средств защиты информации от НСД. Пакет документации на средства защиты информации от НСД.
Протоколы объектовых СИ ОТСС, защищенных методами удаления от границы контролируемой зоны и доработкой. Протокол объектовых СИ ОТСС, которыми были заменены ОТСС, имеющие недопустимо высокие уровни излучений. Протокол инструментальной оценки эффективности защиты информации, обеспечиваемой САЗ. Предписание на эксплуатацию объекта ВТ.
Проект технического паспорта/технический паспорт с внесенными изменениями объекта ВТ. Проект Инструкции по сопровождению системы защиты секретной информации объекта ВТ (Руководства должностного лица по защите информации). Проекты описаний технического, программного, информационного обеспечения и технологии обработки информации на объекте ВТ. Перечень значений параметров средств защиты информации от НСД, установленных в соответствии с Актом классификации АС.
3.	Аттестационные испытания ОВТ	Программа и Методика аттестационных испытаний.
Протоколы аттестационных испытаний комплекса средств защиты информации от НСД (с использованием тестирующих средств), Заключение по результатам аттестационных испытаний.
Аттестат соответствия требованиям безопасности информации
Программа семинара

4.  Требования к выполняемым работам (оказываемым услугам).

4.1. Работы (услуги) указанные в технических требованиях и, оказываемые участником, должны осуществляться в соответствии с требованиями закона Российской Федерации от 21.07.93г. № 000-1 «О государственной тайне», постановлением Правительства Российской Федерации «О лицензировании деятельности предприятий, учреждений и организаций по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны» от 01.01.2001 г. № 000 и иных нормативно-правовых актов по защите государственной тайны.

4.2. В случае обнаружения сертификатов соответствия на СЗИ, срок действия которых истекает в течение 6 месяцев с даты заключения государственного контракта Исполнитель должен организовать продление данных сертификатов за свой счет.

5.  Требования по обеспечению режима секретности при проведении работ.

5.1. С целью предотвращения утечки сведений, составляющих государственную тайну, о системах защиты аттестованных объектов круг лиц, допущенных к работам, максимально ограничивается (не более 4-х человек).

5.2. Организация работ по защите информации должна осуществляться с учетом требований «Инструкции по обеспечению режима секретности в Российской Федерации", утвержденной постановлением Правительства Российской Федерации от 01.01.01 г. № 3-1.

6.  Порядок контроля и сдачи-приемки работы.

6.1. Завершение работ, предусмотренных в п. 2.1., сопровождается оформлением отчетных документов в соответствии с разделом 3.3 части технических требований к запросу котировок.

6.2. Для приемки работ будет создана комиссия из представителей Заказчика и Исполнителя. По результатам работы комиссия оформляет акт сдачи-приемки, который подписывается всеми членами комиссии и представляется Заказчику для утверждения в 2 (двух) экземплярах.