Система взаимодействия корпоративного центра управления безопасностью ПАО АФК «Система» с главным центром госсопка

Система взаимодействия корпоративного центра управления безопасностью ПАО АФК «Система» с главным центром госсопка

полное наименование системы

Портал ГосСОПКА

сокращенное наименование системы

Поставка и внедрение системы взаимодействия корпоративного центра управления безопасностью ПАО АФК «Система» с главным центром ГосСОПКА

ТЕХНИЧЕСКОЕ ЗАДАНИЕ

Портал ГосСОПКА

обозначение системы

На 14 листах

Москва, 2016

Содержание

1 Перечень принятых сокращений. 23

2 Общие сведения. 24

2.1 Наименование и обозначение системы.. 24

2.2 Наименование заказчика и исполнителя. 24

2.3 Перечень документов, на основании которых проводятся работы по созданию системы.. 24

2.4 Плановые сроки окончания работ по созданию системы.. 24

2.5 Порядок и источник финансирования. 24

3 Назначение и цели создания системы.. 25

3.1 Назначение системы.. 25

3.2 Цели создания системы.. 25

4 Требования к составу и содержанию работ. 26

4.1 Состав работ. 26

4.2 Этапы работ. 26

4.3 Требования к обследованию системы учета и обработки инцидентов КС ГосСОПКА.. 26

4.4 Требования к разработке технорабочего проекта на Систему. 26

4.5 Требования к поставке ПО.. 27

4.6 Требования к подготовке инфраструктуры для внедрения ПО Системы.. 27

4.7 Требования к Системе (прототипу) 27

4.8 Требования к работам по установке и пусконаладке ПО Системы.. 210

4.9 Требования к апробации функций Системы.. 210

4.10 Требования к разработке комплекта эксплуатационной документации. 210

4.11 Требования к проведению предварительных испытаний Системы.. 210

4.12 Требования к проведению опытной эксплуатации. 210

4.13 Требования к проведению приемочных испытаний Системы.. 211

5 Требования к документированию.. 212

6 Порядок контроля и приемки работ. 213

6.1 Общие требования. 213

6.2 Мероприятия по приемке Системы.. 213

7 Источники разработки. 214

1 Перечень принятых сокращений

ГосСОПКА	Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак
ГЦ	Главный центр ГосСОПКА ФСБ РФ
Заказчик	ПАО АФК «Система»
КС	Корпоративный сегмент АФК «Система» ГосСОПКА
ПО	Программное обеспечение
ТЗ	Техническое задание
ТРП	Технорабочий проект
ФСБ	Федеральная служба безопасности
ФСТЭК	Федеральная служба по техническому и экспортному контролю
Субъект	Юридическое лицо, самостоятельно создавшее информацию и/или информационную систему, либо получившее на основании договора право владения информацией и/или информационной системой
Объект	Информационная система, находящая в зоне ответственности корпоративного сегмента ГосСОПКА, в отношении которой проводятся мероприятия по обнаружению, предупреждению и ликвидации последствий компьютерных атак
Актив	Конечное устройство или система, являющееся потенциальным источником событий информационной безопасности

2 Общие сведения

2.1 Наименование и обозначение системы

2.1.1. Наименование системы:

Система взаимодействия корпоративного центра управления безопасностью ПАО АФК «Система» с главным центром ГосСОПКА (далее – Система).

2.1.2. Условное наименование системы:

Портал ГосСОПКА.

2.2 Наименование Заказчика и Исполнителя

Заказчик: Открытое акционерное общество «Акционерная финансовая корпорация «Система»» (ПАО АФК «Система», далее – Заказчик).

Адрес главного офиса: г. Москва, улица Моховая, дом 13, стр. 1.

Исполнитель: определяется по итогам тендерной процедуры.

2.3 Перечень документов, на основании которых проводятся работы по созданию системы

Основанием для разработки Системы являются следующие документы и нормативно-правовые акты:

–  Указ Президента Российской Федерации от 15 января 2013 г. N 31с г. Москва «О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации»;

–  Концепция государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации" (утверждена Президентом РФ 12 декабря 2014 г. № К 1274)

–  Концепция создания и функционирования Корпоративного центра ГосСОПКА ПАО АФК «Система».

2.4 Плановые сроки окончания работ по созданию системы

Срок окончания работ – 15 декабря 2017 г.

2.5 Порядок и источник финансирования

Оплата за выполненную работу осуществляется поэтапно, с авансовым платежом в размере 50% от стоимости этапа работы. По окончании этапа осуществляется его оплата в течение 10 рабочих дней с даты подписания акта выполненных работ по этапу.

Источником финансирования являются средства Заказчика.

3 Назначение и цели создания системы

3.1 Назначение системы

Система предназначена для обеспечения информационного взаимодействия корпоративного сегмента АФК «Система» государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак (далее – КС ГосСОПКА) с главным центром ГосСОПКА (далее – ГЦ ГосСОПКА).

3.2 Цели создания системы

Целями создания Системы являются:

–  повышение уровня защищенности информационной инфраструктуры АФК «Система» от компьютерных атак за счет своевременного и регулярного информирования о новых угрозах информацией безопасности и методической помощи специалистов ГЦ ГосСОПКА;

–  выполнение требований законодательства РФ и руководящих документов ФСБ России в области обнаружения, предупреждения и ликвидации последствий компьютерных атак.

4 Требования к составу и содержанию работ

4.1 Состав работ

Работы по поставке и внедрению Системы должны включать в себя:

1) обследование системы учета и обработки инцидентов КС ГосСОПКА;

2) корректировка (доработка) настоящего ТЗ по результатам проведения обследования;

3) разработка технорабочего проекта на Систему;

4) поставка программного обеспечения Системы;

5) подготовка инфраструктуры Заказчика для внедрения прототипа Системы;

6) внедрение действующего прототипа Системы;

7) апробация функций Системы;

8) доработка Системы по результатам апробации на базе прототипа;

9) разработка комплекта эксплуатационной документации;

10) проведение предварительных испытаний Системы;

11) проведение опытной эксплуатации Системы;

12) проведение приемочных испытаний Системы;

13) ввод Системы в промышленную эксплуатацию.

4.2 Этапы работ

Весь комплекс работ проводится в два этапа.

На первом этапе выполняются следующие задачи 1–6, указанные в разделе 4.1, на втором этапе задачи 7–13.

Сроки выполнения этапов работ:

–  этап 1: с момента заключения контракта по декабрь 2016 г.;

–  этап 2: с января 2017 по декабрь 2017 г. Срок выполнения этапа 2 может быть уточнен по результатам работ, выполненным на этапе 1.

4.3 Требования к обследованию системы учета и обработки инцидентов КС ГосСОПКА

Обследование системы учета и обработки инцидентов КС ГосСОПКА должно предусматривать сбор следующих сведений:

–  источники данных о зафиксированных компьютерных инцидентах;

–  форматы представления данных;

–  порядок передачи данных о зафиксированных компьютерных инцидентах.

4.4 Требования к разработке технорабочего проекта на Систему

Технорабочий проект на Систему должен включать в том числе:

–  технические предложения по структуре и составу Системы;

–  предложения по способам реализации основных функций средств взаимодействия КС ГосСОПКА с ГЦ ГосСОПКА.

На стадии ТРП должны быть разработаны следующие документы:

–  пояснительная записка к техническому проекту;

–  описание автоматизируемых функций;

–  описание программного обеспечения;

–  схема функциональной структуры;

–  ведомость покупных изделий;

–  программа и методика испытаний.

4.5 Требования к поставке ПО

4.5.3. Система должна строиться на основе программного обеспечения «PT Корпоративный центр. Система взаимодействия с главным центром ГосСОПКА в части обнаружения, предотвращения и ликвидации последствий компьютерных атак» разработки компании Positive Technologies.

4.5.4. Поставляемое ПО должно быть отгружено по адресу: стр. 1.

4.5.5. Поставка осуществляется силами Исполнителя.

4.6 Требования к подготовке инфраструктуры для внедрения ПО Системы

4.6.6. Требования к инфраструктуре Заказчика предъявляются на этапе разработки технорабочего проекта на Систему.

4.6.7. Работы по подготовке инфраструктуры проводятся силами Заказчика.

4.6.8. После окончания работ по подготовке к внедрению Заказчик уведомляет Исполнителя о готовности к установке и пусконаладке ПО Системы.

4.7 Требования к Системе (прототипу)

Прототип Системы должен устанавливаться в виде программного обеспечения на технические средства Заказчика.

4.7.9. Средства Системы (прототипа) должны выполнять следующие функции:

4.7.1.1. Формирование и поддержание в актуальном состоянии сведений о:

а)  Субъектах (юридические лица), включая следующие данные:

1)  наименование организации полное;

2) наименование организации сокращенное;

3) наименование бренда;

4) форма юридического лица;

5) юридический адрес;

6) почтовый адрес;

7) страна;

8) субъект федерации;

9) федеральный округ;

10) контакты ответственных лиц;

11) родительский Субъект;

12) дочерние Субъекты;

13) Объекты.

б)  Объектах, включая, следующие данные:

1)  наименование;

2) категория Объекта;

3) типы Объекта;

4) типы обрабатываемой информации;

5) физические адреса;

6) территориальная привязка;

7) ответственные Субъекты.

Состав данных, формируемых о Субъектах и Объектах, может быть уточнен на этапе разработки технорабочего проекта на Систему.

4.7.1.2. Формирование и поддержание в актуальном состоянии сведений об активах на внешнем периметре Заказчика (доступные по сети узлы), включая следующую информацию:

–  имя актива (FQDN);

–  IP-адрес

–  MAC-адрес;

–  сетевые порты и сервисы;

–  системное программное обеспечение;

–  прикладное программное обеспечение.

Состав данных, формируемых об активах внешнего периметра, может быть уточнен на этапе разработки технорабочего проекта на Систему.

Формирование и поддержание в актуальном состоянии сведений об активах внешнего периода Заказчика должно осуществляться на основе использования следующих методов:

–  ручной ввод данных;

–  импорт данных из внешних систем в полуавтоматическом режиме;

–  автоматизированный сбор данных.

4.7.1.3. Формирование и поддержание в актуальном состоянии сведений о компьютерных инцидентах, включая:

–  возможность создания карточки инцидента;

–  присвоение инциденту соответствующего статуса:

o  подтвержден;

o  не подтвержден;

o  активен;

o  иных статусов;

–  осуществление выборки интересующей информации по инциденту по заданным параметрам;

–  поддержка следующих сведений в карточке инцидента:

o  дата и время заведения карточки инцидента;

o  идентификатор лица, создавшего карточку инцидента;

o  сведения об инциденте (сведения, полученные автоматизированными способами от технических средств КС, или введенные с помощью ручного ввода);

–  статистические данные о компьютерных инцидентах.

Способы формирования и поддержания в актуальном состоянии сведений о компьютерных инцидентах должны включать следующие:

–  ручное заведение инцидента;

–  импорт данных из системы учета и обработки инцидентов в ручном режиме или по запросу;

–  автоматизированное формирование карточки инцидента.

Состав сведений о компьютерных инцидентах может быть уточнен на этапе разработки технорабочего проекта на Систему.

4.7.1.4. Формирование интегральной оценки защищенности внутреннего периметра, включающей следующую информацию:

–  наиболее встречающиеся уязвимости информационных ресурсов (активов);

–  максимальный показатель метрики CVSS для обнаруженных уязвимостей информационных ресурсов;

–  наиболее встречающиеся уязвимые информационных ресурсов (активов);

–  наиболее встречающиеся уязвимое программного обеспечения;

–  наиболее встречающиеся операционные системы.

Формирование интегральной оценки защищенности внутреннего периметра должно обеспечиваться следующими способами:

–  ручной ввод результатов оценки защищенности;

–  импорт данных из внешних систем оценки защищенности;

–  определение интегральной оценки автоматизированными средствами.

Состав данных интегральной оценки защищенности внутреннего периметра может быть уточнен на этапе разработки технорабочего проекта на Систему.

4.7.1.5. Формирование и поддержание в актуальном состоянии статистических данных о компьютерных атаках на информационные ресурсы Заказчика, включая следующую информацию:

–  перечень наиболее часто атакуемых информационных ресурсов (активов);

–  источники атак;

–  типы атак;

–  геоданные по атакам;

Состав статистических данных о компьютерных атаках может быть уточнен на этапе разработки технорабочего проекта на Систему.

4.7.1.6. Взаимодействие с главным центром ГосСОПКА по вопросам, связанным с реагированием на компьютерные атаки и ликвидации их последствий, в том числе:

–  предоставление главному центру ГосСОПКА сведений о находящихся в зоне ответственности КС ГосСОПКА (при необходимости):

o  объектах;

o  субъектах;

o  активах (внешний периметр);

–  предоставление главному центру ГосСОПКА сведений об интегральной оценке защищенности внутреннего периметра (при необходимости);

–  предоставление главному центру ГосСОПКА необходимых сведений о компьютерных инцидентах по запросу (при необходимости);

–  предоставление главному центру ГосСОПКА статистических сведений о компьютерных атаках (при необходимости);

–  возможность получения от главного центра ГосСОПКА сообщений, рекомендаций, а также иных данных;

–  возможность двустороннего взаимодействия между КС ГосСОПКА и ГЦ ГосСОПКА на основе обмена информационными сообщениями.

Перечень функций по взаимодействию Системы с главным центром ГосСОПКА может быть уточнен на этапе разработки технорабочего проекта на Систему.

4.8 Требования к работам по установке и пусконаладке ПО Системы

4.8.10. Данный этап работ начинается после получения уведомления от Заказчика о готовности ИТ-инфраструктуры к проведению работ по внедрению программных средств Системы.

4.8.11. На данном этапе работ осуществляется:

–  установка ПО Системы, доработанного по результатам апробации прототипа, на выделенные серверы Заказчика;

–  конфигурирование компонентов Системы;

–  консультирование специалистов Заказчика по вопросам функционирования Системы.

4.9 Требования к апробации функций Системы

Апробация функций Системы должна выполняться на основе действующего прототипа на ограниченном объеме накопленной информации.

В ходе апробации Системы должно быть выполнено исследование функциональности средств Системы в объеме, указанном в разделе 4.7 настоящего ТЗ.

4.10 Требования к разработке комплекта эксплуатационной документации

На стадии разработки эксплуатационной документации должны быть разработаны следующие документы:

–  руководство пользователя (администратора);

–  формуляр.

4.11 Требования к проведению предварительных испытаний Системы

Предварительные испытания должны проводиться в объеме, предусматриваемом документом Программа и методика испытаний, разрабатываемым на этапе ТРП.

По результатам предварительных испытаний Исполнителем осуществляется доработка Системы в части несоответствия требованиям, указанным в разделе 4.7 настоящего ТЗ.

4.12 Требования к проведению опытной эксплуатации

На этапе опытной эксплуатации должны проводиться следующие мероприятия:

–  запуск Системы в опытную эксплуатацию;

–  проведение опытной эксплуатации в течение двух месяцев;

–  устранение выявленных в ходе опытной эксплуатации недостатков должно быть выполнено в срок не более 30 рабочих дней (при необходимости). При невыполнении этого условия срок опытной эксплуатации может быть увеличен по согласованию сторон;

–  доработка эксплуатационной документации и документации технорабочего проекта (при необходимости).

По результатам опытной эксплуатации осуществляется доработка Системы в части несоответствия требованиям, указанным в разделе 4.7 настоящего ТЗ.

4.13 Требования к проведению приемочных испытаний Системы

Приемочные испытания должны проводиться в объеме, предусматриваемом документом Программа и методика испытаний, разрабатываемым на этапе ТРП.

По результатам приемочных испытаний Исполнителем осуществляется доработка Системы в части несоответствия требованиям, указанным в разделе 4.7 настоящего ТЗ.

По завершении доработки Системы по выявленным недостаткам осуществляется ввод Системы в промышленную эксплуатацию.

5 Требования к документированию

При проведении работ по поставке и внедрению Системы необходимо разработать документы, указанные в таблицеТаблица 1.

Таблица 1 – Перечень документации

№ п\п	Стадия работ	Документация
1	Разработка технорабочего проекта на Систему	–  пояснительная записка к техническому проекту –  описание автоматизируемых функций –  описание программного обеспечения –  схема функциональной структуры –  ведомость покупных изделий –  программа и методика испытаний
2	Разработка эксплуатационной документации	–  руководство пользователя (администратора) –  формуляр

6 Порядок контроля и приемки работ

6.1 Общие требования

6.1.12. Все результаты работ и отчетные документы согласовываются с Заказчиком.

6.1.13. Все создаваемые в рамках настоящей работы отчетные материалы передаются Заказчику в бумажном и электронном виде.

6.1.14. Приемка Системы осуществляется на основании результатов проведения приемочных испытаний.

6.2 Мероприятия по приемке Системы

6.2.15. Приемка Системы должна быть произведена Приемочной комиссией, назначаемой Заказчиком. В состав приемочной комиссии включаются представители организации Исполнителя.

Результатами работы Приемочной комиссии являются Акты сдачи-приемки или Протоколы разногласий с мотивированными замечаниями по выявленным недостаткам. Исполнитель в течение согласованного с Заказчиком времени устраняет указанные в протоколе разногласий недостатки. Факт устранения недостатков подтверждается соответствующим протоколом устранения недостатков.

7 Источники разработки

Настоящий документ разработан с учетом требований государственного стандарта «ГОСТ 34.602-89 Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы».

При создании Системы Исполнитель должен руководствоваться требованиями следующих нормативно-технических документов:

–  ГОСТ 34.601-90 Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания;

–  ГОСТ 34.201-89 Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначения документов при создании автоматизированных систем;

–  РД 50-34.698-90 Автоматизированные системы. Требования к содержанию документов.