ФОРМА РЕЕСТРА ПОЛЬЗОВАТЕЛЬСКИХ СЕГМЕНТОВ АВТОМАТИЗИРОВАННОЙ СИСТЕМЫ ОБРАБОТКИ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ ВОЛГОГРАДСКОЙ ОБЛАСТИ
№ п/п | Наименование (идентификатор) сегмента | Владелец | Тип сегмента1 | Адрес размещения | Класс защиты | IP адрес/маска сети | Средства печати документов (для АРМ. Т) | Сведения об акте подключения | Примечание |
Приложение 2 к регламенту предоставления доступа к автоматизированной системе обработки конфиденциальной информации Волгоградской области
ФОРМА АКТА ПОДКЛЮЧЕНИЯ АВТОМАТИЗИРОВАННОГО РАБОЧЕГО МЕСТА (АВТОМАТИЗИРОВАННОЙ ИНФОРМАЦИОННОЙ СИСТЕМЫ) К АВТОМАТИЗИРОВАННОЙ СИСТЕМЕ ОБРАБОТКИ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ ВОЛГОГРАДСКОЙ ОБЛАСТИ (АСОКИ)
УТВЕЖДАЮ ___________________ (должность, Ф. И.О. уполномоченного представителя Оператора ЦОД) | УТВЕЖДАЮ ___________________ (должность, Ф. И.О. уполномоченного представителя Оператора) |
АКТ
подключения автоматизированного рабочего места (автоматизированной информационной системы) к автоматизированной системе обработки конфиденциальной информации Волгоградской области (АСОКИ)
г. Волгоград ____________________
(дата составления)
Комиссия по контролю за выполнением требований Регламента предоставления доступа к автоматизированной системе обработки конфиденциальной информации Волгоградской области (далее – комиссия, Регламент) в составе:
НЕ нашли? Не то? Что вы ищете?
председателя комиссии ___________________________________________________________и
(должность, Ф. И.О.)
членов комиссии: _________________________________________________________________
_________________________________________________________________________________,
(должность, Ф. И.О.)
назначенная___________________________________________________, составила по результатам
(номер, дата приказа)
рассмотрения протокола приемочных испытаний (реквизиты протокола) АРМ (АИС) ____________________________________________________________________________________,
(наименование АРМ (АИС), наименование абонента)
размещенного (ой) в по адресу _______________________________________ в помещении(ях) ________________________________________________, настоящий акт о том, что:
выводы комиссии о соответствии пользовательского сегмента установленным требованиям; выводы о распространении аттестата соответствия; вывод о подключении к АСОКИ.
Председатель комиссии _______________ ______________
(подпись) (Ф. И.О.)
Члены комиссии
Представители Оператора
_______________ ______________
(подпись) (Ф. И.О.)
_______________ ______________ (подпись) (Ф. И.О.)
Представители Оператора ЦОД
_______________ ______________
(подпись) (Ф. И.О.)
_______________ ______________ (подпись) (Ф. И.О.)
Приложение 3 к регламенту предоставления доступа к автоматизированной системе обработки конфиденциальной информации
ТЕХНИЧЕСКИЕ ТРЕБОВАНИЯ К ПОЛЬЗОВАТЕЛЬСКИМ СЕГМЕНТАМ ПРИ ПОДКЛЮЧЕНИИ К АСОКИ
- СВТ, входящие в состав пользовательских сегментов АСОКИ, должны соответствовать, как минимум, следующим требованиям:
- сертифицированные ФСБ средства электронной подписи «КриптоПро CSP» версии 3.6.1, 3.9 и выше (для серверов, входящих в состав АИС - при необходимости); средства антивирусной защиты информации, сертифицированные на соответствие требованиям руководящего документа «Требования к средствам антивирусной защиты» (ФСТЭК России, 2012) – не ниже 4 класса защиты; сертифицированные средства доверенной загрузки уровня базовой системы ввода-вывода или уровня платы расширения, реализованные на основе программно-аппаратного модуля.
- Пользовательские сегменты АСОКИ должны подключаться к сетям передачи данных (локальным вычислительным сетям) с использованием средств межсетевого экранирования, сертифицированных на соответствие требованиям руководящего документа «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» (Гостехкомиссия России, 1997) не ниже 3 класса защиты. Применяемые в пользовательских сегментах АСОКИ средства защиты информации должны иметь сертификаты соответствия требованиям руководящего документа «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей» (Гостехкомиссия России, 1999) – не ниже 4 уровня контроля. В пользовательских сегментах АСОКИ для передачи данных по каналам связи должны использоваться сертифицированные, обеспечивающие применение технологии VPN СКЗИ (аппаратно-программные (криптографические шлюзы) и/или программные (VPN клиенты)), совместимые с используемыми Оператором для защищенной передачи данных в АСОКИ. Точный состав применяемых средств защиты информации, предназначенных для использования в пользовательских сегментах АСОКИ, подключаемых путем распространения аттестата соответствия требованиям защиты информации, выданного на пользовательский сегмент АСОКИ, в отношении которого ранее были проведены аттестационные испытания, предоставляется Абоненту Оператором по письменному запросу.
Приложение 4 к регламенту предоставления доступа к автоматизированной системе обработки конфиденциальной информации
ТРЕБОВАНИЯ К СОСТАВУ ОРГАНИЗАЦИОННЫХ И ТЕХНИЧЕСКИХ МЕР ПО ЗАЩИТЕ ИНФОРМАЦИИ ПРИ ПОДКЛЮЧЕНИИ К АСОКИ
Общие требования
К работе с АСОКИ допускается персонал, имеющий достаточную для выполнения своих должностных обязанностей общую и специальную подготовку для работы с общесистемным программным обеспечением и прикладным (специальным) программным обеспечением АСОКИ, а также средствами защиты информации, применяемыми в пользовательских сегментах АСОКИ. Абонентом должны быть назначены: лицо, ответственное за обеспечение эксплуатации пользовательского сегмента АСОКИ; администратор ИБ, на которого возлагаются задачи организации работ по использованию применяемых средств защиты информации, инструктажа пользователей, контролю за соблюдением в пользовательских сегментах требований информационной безопасности, а также взаимодействию с администратором ИБ АСОКИ; пользователи, допущенные к работе в пользовательских сегментах АСОКИ; администраторы (технические специалисты), допущенные для обслуживания аппаратного и программного обеспечения пользовательских сегментов АСОКИ. Выполнение функций (ролей) по обработке информации, администрированию системы защиты информации и обеспечению функционирования СВТ сегмента АСОКИ должно возлагаться на отдельные должностные лица. Права и привилегии по доступу к параметрам настройки средств защиты информации должны предоставляться исключительно администратору ИБ пользовательского сегмента АСОКИ или администратору ИБ АСОКИ (в случае наличия функции централизованного администрирования в средствах защиты информации).
Требования к защите информации при передаче по каналам связи
Для обеспечения защиты конфиденциальной информации при передаче по каналам связи должны применяться сертифицированные СКЗИ класса КС1 и выше (требуемый класс используемых СКЗИ, должен быть определен Абонентом с учетом предположений о возможностях, которые могут использоваться при создании способов, подготовке и проведении атак, а также типа актуальных угроз безопасности АРМ в соответствии с «Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности», утвержденным приказом ФСБ России от 01.01.01 г. № 000), совместимые с аппаратно-программными СКЗИ, применяемыми Оператором для защищенной передачи данных в АСОКИ. Для хранения криптографических ключей пользователи АСОКИ должны использовать только отчуждаемые (съемные) носители в защищенном исполнении (USB идентификатор, смарт-карты, идентификаторы touch memory), совместимые с применяемыми СКЗИ (далее – ключевые носители). Используемые или хранимые СКЗИ, эксплуатационная и техническая документация к ним, ключевые носители подлежат поэкземплярному учету в соответствии с Инструкцией об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, утвержденной приказом ФАПСИ от 01.01.01 г. № 000.
Требования к межсетевому взаимодействию
Пользовательские сегменты АСОКИ, или ЛВС, в которых они функционируют, не должны иметь подключений к сетям общего пользования (кроме подключений с использованием сертифицированных средств межсетевого экранирования и систем обнаружения (предотвращения) сетевых атак). Информационное взаимодействие пользовательских сегментов АСОКИ с ресурсами сетей международного информационного обмена (в том числе, Интернет) не допускается. Сетевой доступ к папкам (файлам) АРМ. П и АРМ. Т должен быть запрещен. Должны быть отключены службы, обеспечивающие предоставление удаленного доступа к ресурсам АРМ. П и АРМ. Т (включая средства удаленного администрирования). Средства печати документов, применяемые на АРМ. П и АРМ. Т должны подключаться непосредственно к АРМ (локально, не должны быть сетевыми) и сетевой доступ к ним должен быть исключен (не предоставляться).
Требования к оборудованию помещений
Размещение, охрана и специальное оборудование помещений, в которых эксплуатируются технические средства пользовательских сегментов АСОКИ (далее - Помещения) должны исключать возможность несанкционированного и бесконтрольного доступа в них лиц, по роду своей деятельности не являющихся персоналом, допущенным к работе в Помещениях, просмотра Помещений посторонними лицами путем принятия следующих мер: внедрением и поддержкой организационно – режимных мероприятий, обеспечивающих возможность пребывания и/или непосредственного доступа к техническим средствам только уполномоченных лиц или в сопровождении уполномоченных лиц Абонента; оснащением входных дверей Помещений замками и обеспечение постоянного закрытия дверей Помещений на замок и их открытия только для санкционированного прохода; опечатыванием Помещений по окончании рабочего дня или оборудованием Помещений соответствующими техническими устройствами, сигнализирующими о несанкционированном вскрытии Помещений; утверждением Абонентом внутреннего правового акта, определяющего правила доступа в Помещения в рабочее и нерабочее время, порядок сдачи Помещений под охрану и их вскрытия, в том числе в нештатных ситуациях, а также порядок действий в случае выявления случаев несанкционированного доступа в Помещения; обеспечением cдачи ключей и Помещений под охрану, а также получения ключей и вскрытия Помещений только лицами, работающими в этих Помещениях, по утвержденному руководством Абонента списку; оборудованием окон Помещений, расположенных на первых или последних этажах, а также окон, находящихся около пожарных лестниц и других мест, откуда возможно проникновение в Помещения посторонних лиц, металлическими решетками, или ставнями, или охранной сигнализацией, или другими средствами, препятствующими неконтролируемому проникновению; организацией внутренней планировки, оборудованием и расположением рабочих мест в Помещениях, обеспечивающими пользователям АСОКИ сохранность доверенных им документов и сведений, содержащих конфиденциальную информацию, в том числе невозможность просмотра экранов мониторов посетителями, возможность безопасного хранения ключевых носителей и носителей конфиденциальной информации. Для хранения ключевых носителей должны применяться индивидуальные хранилища (сейфы, металлические шкафы, пеналы и т. п.) с возможностью опечатывания личной печатью пользователя АСОКИ. Хранение съемных машинных носителей конфиденциальной информации должно осуществляться в сейфах (металлических шкафах), оборудованных внутренними замками с двумя или более дубликатами ключей и приспособлениями для опечатывания замочных скважин или кодовыми замками. В случае если на съемном машинном носителе хранится только конфиденциальная информация в зашифрованном с использованием СКЗИ виде, допускается хранение таких носителей вне сейфов (металлических шкафов). Доступ представителям коммерческих организаций к техническим средствам пользовательских сегментов АСОКИ для проведения их обслуживания и иных работ, должен предоставляться только после подписания представителем организации обязательства о неразглашении сведений конфиденциального характера.
Требования к защите от несанкционированного доступа
С целью соблюдения принципа персональной ответственности за свои действия каждому пользователю, допущенному к работе в пользовательском сегменте АСОКИ, должно быть сопоставлено персональное уникальное имя (учетная запись пользователя), под которым он будет регистрироваться и работать. Должна быть реализована двухфакторная аутентификация для доступа в систему для пользователей и администраторов с использованием аппаратных отчуждаемых идентификаторов (ключевых носителей). Должна быть настроена блокировка учетных записей пользователей при 5 неудачных попытках регистрации (попыток входа) с возможностью разблокирования только администратором. Должна быть настроена блокировка сеанса доступа к операционной системе на АРМ после бездействия пользователя в течение 5 минут. Сведения о пользователе не должны отображаться при блокировке сеанса доступа. В диалоговом окне входа в операционную систему АРМ не должно отображаться имя последнего пользователя, выполнившего вход. Должно быть исключено повторное использование идентификатора пользователя (имени учетной записи) в течение трех лет. Абонентом должна быть утверждена и реализована политика назначения и смены паролей (для входа в операционную систему, базовую систему ввода-вывода (BIOS), и т. п.), в соответствии со следующими правилами:
- длина пароля должна быть не менее 8 символов; в пароле должны присутствовать символы трех категорий из числа следующих четырех:
- латинские заглавные буквы (от A до Z); латинские строчные буквы (от a до z); цифры (от 0 до 9); отличающиеся от букв и цифр знаки (например: !, $, #, %).
- пароль не должен включать в себя легко вычисляемые сочетания символов (имена, фамилии и т. д.), а также общепринятые сокращения (USER, ADMIN, VOLGA и т. п.); при смене пароля новое значение должно отличаться от предыдущего не менее чем в 4-x позициях; периодичность смены пароля не должна превышать 45 дней.
Требования к обеспечению целостности среды функционирования
Должна быть обеспечена неизменность конфигурации технических средств (аппаратные средства должны быть оборудованы средствами контроля за их вскрытием, опечатаны, опломбированы и т. п.). Абонентом должен быть утвержден перечень программного обеспечения, разрешенного к установке, и (или) перечень программного обеспечения, запрещенного к установке. Внутренним правовым актом Абонента должен быть утвержден порядок внесения изменений в состав и конфигурацию программного обеспечения, средств защиты информации и технических средств пользовательских сегментов, контроля неизменности используемых программных и технических средств, а также определяющий перечень лиц, имеющих право на внесение изменений и учитывающих необходимость согласования вносимых изменений с Оператором. В целях исключения возможности вскрытия и подключения к техническим средствам нештатных устройств и нарушения порядка инициализации и загрузки операционных систем в нештатном режиме и/или внесения в них несанкционированных изменений должны применяться аппаратно-программные модули доверенной загрузки и (или) должно быть обеспечено:
- ограничение доступа к настройкам базовых систем ввода/вывода АРМ паролем администратора; запрещение в настройках базовых систем ввода/вывода СВТ загрузки с устройств, отличных от штатного накопителя; отключение в настройках базовых систем ввода/вывода не используемых в технологии обработки информации устройств и портов ввода/вывода (например, дисководов и приводов чтения оптических носителей, COM, LPT, USB, сетевых и иных портов).
Требования к антивирусной защите
На СВТ пользовательских сегментов АСОКИ должны применяться средства антивирусной защиты информации. Антивирусное программное обеспечение должно запускаться автоматически при включении СВТ. Антивирусное программное обеспечение должно постоянно работать в фоновом режиме, выявлять, удалять и защищать объекты файловых систем операционных систем и съемных носителей от угроз вредоносного программного обеспечения. В состав проверки в обязательном порядке должны включаться следующие объекты:
- исполняемых файлов (имеющих расширения. bat, .bin, .com, .dll, .exe, .sys и др.), файлов с данными приложений, содержащих интерпретируемый (исполняемый) код (с расширениями. doc, .dot, .rtf, .xls, .xlt и др.). все файлы, находящиеся на подключаемых внешних носителях, в приложениях к письмам электронной почты, получаемые по сети или находящиеся на любых других внешних устройствах.
Требования к регистрации событий
В штатных журналах регистрации операционных систем и (или) применяемых средств защиты информации от несанкционированного доступа должна осуществляться регистрация как минимум следующих событий (как успешных, так и не успешных):
- события входа (выхода) пользователя (администратора) в систему (из системы) либо загрузки и инициализации операционной системы и ее программного останова; события изменения конфигурации параметров безопасности и учетных записей пользователей.
- дата и время события; идентификаторы субъектов и объектов доступа; тип события; результат события.
Требования к обеспечению отказоустойчивости
Помещения должны быть оборудованы средствами пожарной сигнализации. Для предотвращения потерь информации при кратковременном отключении электроэнергии СВТ должны подключаться к сети электропитания через источники бесперебойного питания. Абонентом должны быть разработаны инструкции пользователям, определяющие порядок действий при возникновении нештатных ситуаций, условия выполнения каждого действия (перечень событий, при наступлении которых необходимо совершить определенное действие и т. п.).
Требования к организации контроля состояния защиты информации
Абонентом должен быть определен порядок и периодичность проведения контроля состояния защиты информации пользовательского сегмента АСОКИ, в том числе предусматривающего: анализ и оценку функционирования системы защиты информации:
- выявление, анализ уязвимостей и оперативное устранение вновь выявленных уязвимостей; контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации; соответствие состава и структуры программно-технических средств, обрабатывающих защищаемую информацию, документированному составу и структуре средств, разрешенных для обработки такой информации; наличие документов, подтверждающих возможность применения технических средств, программного обеспечения и средств защиты информации (сертификатов соответствия и других документов); правильность применения средств защиты информации; выполнение требований по условиям размещения технических средств в Помещениях; контроль правил формирования и смены паролей пользователей пользовательского сегмента АСОКИ, заведения и удаления учетных записей пользователей, реализации правил разграничения доступом, полномочий пользователей; организацию хранения машинных носителей информации, в том числе ключевых носителей и допуска в Помещения; контроль ознакомления пользователей с документами, регламентирующими вопросы обеспечения информационной безопасности и выполнение ими установленных требований.
Приложение 5 к регламенту предоставления доступа к автоматизированной системе обработки конфиденциальной информации
ФОРМА ЗАЯВКИ НА ПОДКЛЮЧЕНИЕ ПОЛЬЗОВАТЕЛЬСКОГО СЕГМЕНТА К АСОКИ
На бланке организации | Председателю комитета информационных технологий Волгоградской области |
(наименование Абонента) сообщает о выполнении требований регламента подключения к автоматизированной системе обработки конфиденциальной информации Волгоградской области (АСОКИ) и в соответствии с (основание подключение Абонента) просит рассмотреть возможность подключения пользовательского сегмента (наименование Абонента) к АСОКИ.
Сведения о пользовательском сегменте:
- Полное наименование:_______________________________________________________. Тип2:_____________________________________________________________________. Установленный класс защищенности:___________________________________________. Уровень защищенности персональных данных: ___________________________________. Адрес и маска сети: _________________________________________________________. Сведения о типе и модели средств печати документов3:_____________________________. Сведения об аттестате соответствия требованиям информационной безопасности (для аттестованного объекта информатизации):______________________________________________. Применяемые (планируемые к применению) средства защиты информации:
№ п/п | Наименование средства защиты | Заводской номер | Знак соответствия |
- Перечень актуальных угроз безопасности (для неаттестованных объектов информатизации): _________________________________________________________________________________. Структурная схема и состав АИС:
- Применяемое системное программное обеспечение: _________________________________________________________________________________. Сведения о должностном лице, ответственном за организацию подключения (ФИО, должность, адрес электронной почты, контактный телефон).
___________________/_____________/
Приложение 6 к регламенту предоставления доступа к автоматизированной системе обработки конфиденциальной информации
ФОРМА ЗАПРОСА НА ПРЕДОСТАВЛЕНИЕ ДОСТУПА ПОЛЬЗОВАТЕЛЮ К АВТОМАТИЗИРОВАННОЙ СИСТЕМЕ ОБРАБОТКИ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ
На бланке организации | Председателю комитета информационных технологий Волгоградской области |
На основании (основание предоставления доступа пользователю к АСОКИ) (наименование Абонента) просит предоставить доступ и зарегистрировать в качестве пользователей автоматизированной системе обработки конфиденциальной информации Волгоградской области (АСОКИ) следующих уполномоченных лиц:
№ п/п | ФИО и должность | Имя учетной записи пользователя (для АРМ. Т) | Тип сегмента (АРМ. П, АРМ. Т, АИС) | Сведения о сертификате пользователя (серийный номер и дата выдачи) | Полномочия, которые необходимо предоставить пользователю (решаемые пользователем задачи в АСОКИ) |
Сведения о должностном лице Абонента, ответственном за регистрацию (ФИО, должность, адрес электронной почты, контактный телефон):____________________________________________________________________________
___________________/_____________/
Приложение 7 к регламенту предоставления доступа к автоматизированной системе обработки конфиденциальной информации
ФОРМА РЕЕСТРА ПОЛЬЗОВАТЕЛЕЙ АВТОМАТИЗИРОВАННОЙ СИСТЕМЫ ОБРАБОТКИ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ ВОЛГОГРАДСКОЙ ОБЛАСТИ
№ п/п | ФИО и должность пользователя | Наименование абонента | Идентификатор и тип используемого сегмента | Имя учетной записи пользователя | Права пользователя в АСОКИ | Отметка о сопоставлении персонального идентификатора (для АРМ. Т) | Примечание" |
1 АРМ. Т, АРМ. П или АИС
2 АРМ. П, АРМ. Т, АИС
3 Указывается для АРМ. Т
|
Из за большого объема этот материал размещен на нескольких страницах:
1 2 |
