Методика (стр. 3 )

·  Наличие установленных, сконфигурированных и настроенных средств криптографической защиты информации, эксплуатируемых на всех компонентах программного комплекса УЦ Претендента.

·  Наличие перечня используемых средств криптографической защиты информации с указанием конфигураций и мест размещения этих средств.

·  Наличие персонала технической службы Претендента, ответственного за эксплуатацию средств криптографической защиты информации.

·  Наличие сертификатов ФАПСИ и/или ФСБ РФ на используемые СКЗИ по классу «КС2», выданных в соответствии с действующим законодательством Российской Федерации.

7.3.4.  Проверка программно-аппаратного комплекса резервного копирования Претендента

7.3.4.1.  Для обеспечения бесперебойной и отказоустойчивой работы программного комплекса обеспечения реализации целевых функций Претендента должно быть обеспечено резервное копирование

Проверка требования и результат

·  Наличие установленных, сконфигурированных и настроенных средств резервного копирования.

·  Наличие заверенного руководителем Претендента перечня данных УЦ Претендента, подлежащих резервному копированию. Перечень должен включать:

1)  сертификат ключа подписи уполномоченного лица Претендента в электронном виде (сертификат центра сертификации ЦС);

2)  базу данных центра сертификации ЦС, включая журнал выданных сертификатов и очередь запросов;

3)  базу данных ЦР;

4)  журналы аудита компонент программного комплекса Претендента;

5)  реестр выданных сертификатов ключей подписи;

6)  список отозванных сертификатов (СОС);

7)  данные, определенные самим Претендентом.

·  Наличие заверенного руководителем Претендента регламента проведения резервного копирования данных с указанием периодов резервного копирования, типов резервируемых данных, носителей для резервных данных и схемы ротации носителей резервных данных.

·  В регламенте должно быть указано, что для всех позиций выполняется еженедельно (или чаще) полное резервное копирование и для позиций 2 – 6 ежедневное разностное резервное копирование. Для резервного копирования должно использоваться не менее двух носителей.

·  Наличие персонала технической службы Претендента, ответственного за эксплуатацию средств резервного копирования.

·  Наличие перечня используемых средств резервного копирования.

7.4.  Результаты проверки по разделу 6

Обязательные требования из раздела 6 должны быть выполнены для получения Претендентом аккредитации в Сети.

8.  Проверка безопасности обрабатываемых в УЦ данных

8.1.  Проверка инженерно-технических мер защиты информации

8.1.1.  Проверка мер по размещению технических средств Претендента

8.1.1.1.  Серверы ЦС и ЦР, серверы баз данных, серверы средств резервного копирования и телекоммуникационное оборудование должны размещаться в выделенном помещении

Проверка требования и результат

·  Наличие схемы размещения серверов, на которой должно быть обозначено серверное оборудованное помещение Претендента. В этом помещении размещены: серверы ЦС и ЦР, серверы баз данных, серверы средств резервного копирования и телекоммуникационное оборудование. Допускается использовать IT-сейф, вместо выделенного помещения.

·  Наличие в серверном помещении Претендента исправного, работающего оборудования системы контроля доступа электромеханического или механического типа (Рекомендуемое требование).

8.1.1.2.  Серверы ЦС и ЦР, серверы баз данных, средства резервного копирования и телекоммуникационное оборудование должны быть подключены к источникам бесперебойного питания

Проверка требования и результат

·  Наличие схемы подключения серверов ЦС и ЦР, серверов баз данных, средств резервного копирования и телекоммуникационного оборудования к источникам бесперебойного питания.

·  Наличие в серверном помещении исправного и работающего оборудования источников бесперебойного питания (Рекомендуемое требование).

8.1.2.  Проверка мер по хранению документированной информации

8.1.2.1.  Документальный фонд Претендента, должен храниться в соответствии с действующим законодательством Российской Федерации по делопроизводству и архивному делу

Проверка требования и результат

·  Наличие журнала учета хранения документов Претендента, оформленного в соответствии с действующим законодательством Российской Федерации по делопроизводству и архивному делу (Рекомендуемое требование).

·  Наличие приказа руководителя Претендента на создание архивохранилища и документального фонда.

·  Наличие приказа руководителя Претендента на назначение ответственного персонала по работе с архивным фондом.

8.1.3.  Проверка мер по уничтожению документированной информации

8.1.3.1.  Выделение к уничтожению и уничтожение документов, не подлежащих архивному хранению, должно осуществляться в соответствии с приказом по уничтожению документов и в соответствии с действующим законодательством Российской Федерации по делопроизводству и архивному делу (Рекомендуемое требование)

Проверка требования и результат

·  Наличие приказа руководителя Претендента о задании перечня документов, подлежащих уничтожению.

·  Наличие журнала и/или актов уничтожения документов, содержащих подписи ответственного за архивное хранение персонала, даты и реквизиты уничтоженных документов.

8.2.  Проверка программно-аппаратных мер защиты информации

8.2.1.  Серверные помещения и технические средства, расположенные в них, должны пройти проверку на отсутствие в них электронных устройств перехвата информации (закладок)

Проверка требования и результат

·  Наличие отчетов испытаний помещений и технических средств, расположенных в них, об успешной проверке на отсутствие электронных устройств перехвата информации (закладок), проведенных независимой экспертной организацией (Рекомендуемое требование).

8.2.2.  Проверка мер по организации доступа к программным средствам Претендента

8.2.2.1.  Серверы ЦС и ЦР должны быть оснащены программно-аппаратными комплексами защиты от несанкционированного доступа, сертифицированными ФСТЭК, ФСБ/ФАПСИ (Рекомендуемое требование)

Проверка требования и результат

·  Наличие журнала учета или акта о выдаче ключей доступа к программно-аппаратному комплексу защиты от несанкционированного доступа, содержащих записи, отражающие даты выдачи, заверенные подписями сотрудников службы безопасности Претендента, выдавших эти ключи, и подписями сотрудников Претендента, получивших эти ключи.

·  Наличие на серверах ЦС и ЦР Претендента исправного установленного и работающего программно-аппаратного комплекса защиты от несанкционированного доступа.

·  Наличие сертификатов ФСТЭК, ФСБ/ФАПСИ для программно-аппаратного комплекса защиты от несанкционированного доступа.

8.2.2.2.  Рабочие места сотрудников Претендента, на которых эксплуатируются программные приложения «АРМ администратора ЦР» и «АРМ разбора конфликтных ситуаций», должны быть оснащены программно-аппаратными комплексами защиты от несанкционированного доступа, сертифицированными ФСТЭК, ФСБ/ФАПСИ (Рекомендуемое требование)

Проверка требования и результат

·  Наличие журнала учета или акта о выдаче ключей доступа к программно-аппаратному комплексу защиты от несанкционированного доступа, содержащих записи, отражающие даты выдачи, заверенные подписями сотрудников службы безопасности Претендента, выдавших эти ключи, и подписями сотрудников Претендента, получивших эти ключи.

·  Наличие на рабочих местах сотрудников Претендента, на которых эксплуатируются программные приложения «АРМ администратора ЦР» и «АРМ разбора конфликтных ситуаций», исправного установленного и работающего программно-аппаратного комплекса защиты от несанкционированного доступа.

·  Наличие сертификатов ФСТЭК, ФСБ/ФАПСИ для программно-аппаратного комплекса защиты от несанкционированного доступа.

8.2.2.3.  Доступ системных администраторов системного программного обеспечения серверов ЦС и ЦР для выполнения регламентных работ должен осуществляться в присутствии сотрудников службы безопасности УЦ, отвечающих за эксплуатацию соответствующего прикладного программного обеспечения (ЦС и/или ЦР)

Проверка требования и результат

·  Наличие журнала учета доступа системных администраторов к системному программному обеспечению серверов ЦС и ЦР для выполнения регламентных работ, содержащего записи о содержании этих работ и датах проведения этих работ, заверенные подписями сотрудников службы безопасности Претендента, отвечающих за эксплуатацию соответствующего прикладного программного обеспечения (ЦС и/или ЦР) (Рекомендуемое требование).

8.2.3.  Проверка мер по контролю целостности программного обеспечения

8.2.3.1.  Программное обеспечение, эксплуатируемое Претендентом, должно проходить контроль целостности

Проверка требования и результат

·  Наличие перечня программных модулей, подлежащих контролю целостности (примерный список размещен в приложении Б), выпущенного в качестве внутреннего документа Претендента, утвержденный руководителем Претендента.

·  В Перечне указывается, что контроль целостности программных модулей основан на аппаратном контроле целостности программных модулей УЦ и общесистемного программного обеспечения до загрузки операционной системы и должен обеспечиваться с помощью программно-аппаратного комплекса защиты «Электронный замок».

8.2.4.  Проверка мер по контролю целостности технических средств

8.2.4.1.  Претендент должен обеспечивать контроль целостности технических средств (Рекомендуемое требование)

Проверка требования и результат

·  Наличие специальных мест, меток и печатей для опечатывания корпусов устройств, препятствующих их неконтролируемому вскрытию.

·  Опечатывание корпусов устройств и записи об этом в журнале учета должны быть сделаны перед вводом технических средств в эксплуатацию и после каждого выполнения регламентных работ.