Перейти к содержимому. | Перейти к навигации

Персональные инструменты
Вы здесь: Главная / Услуги / Обеспечение безопасности информации КСИИ

Обеспечение безопасности информации КСИИ

GlobalTrust реализует полный комплекс мероприятий по разработке Системы обеспечения безопасности информации Ключевой системы информационной инфраструктуры (СОБИ КСИИ) в соответствии с требованиями законодательства и нормативными документами РФ в области защиты информации.

Ключевая (критически важная) система информационной инфраструктуры (КСИИ) - это информационно-управляющая или информационно-телекоммуникационная система, которая осуществляет управление критически важным объектом (процессом), или информационное обеспечение управления таким объектом (процессом), или официальное информирование граждан, и в результате деструктивных информационных воздействий на которую может сложиться чрезвычайная ситуация, или будут нарушены выполняемые системой функции управления со значительными негативными последствиями.

Критически важная информация — это обрабатываемая в КСИИ информация о состоянии критически важного объекта (процесса), информация о КСИИ (о ее составе, характеристиках программного и программно-аппаратного обеспечения, размещении, коммуникациях и др.), которая в случае ее хищения (ознакомления с ней) может быть непосредственно использована для деструктивных информационных воздействий на КСИИ, а также иная информация, уничтожение, блокирование или искажение которой может привести к нарушению функционирования КСИИ.

Система обеспечения безопасности информации Ключевой системы информационной инфраструктуры (СОБИ КСИИ) представляет собой комплекс программно-технических средств, а также организационно-технических мероприятий, направленных на ликвидацию угроз или на минимизацию ущерба от реализации угроз безопасности информации в КСИИ.

В состав СОБИ КСИИ входят следующие основные программно-технические подсистемы:

  • Подсистема управления доступом

  • Подсистема регистрации и учета

  • Подсистема обеспечения целостности

  • Подсистема антивирусной защиты

  • Подсистема анализа защищенности

  • Подсистема обнаружения вторжений

  • Подсистема межсетевого экранирования

Управление ОБИ КСИИ осуществляется путем документирования и реализации следующих основных процессов:

  • Планирование ОБИ КСИИ

  • Реагирование на инциденты (нарушения) безопасности информации в КСИИ

  • Оценка рисков реализации угроз деструктивных информационных воздействий на КСИИ

  • Защита носителей информации

  • Обеспечение целостности программно-аппаратной среды КСИИ

  • Физическая защита КСИИ и среды ее функционирования

  • Управление персоналом КСИИ

  • Информирование и обучение персонала по вопросам ОБИ КСИИ

  • Защита коммуникаций

  • Аудит безопасности информации

Разработка СОБИ КСИИ осуществляется в соответствии с требованиями действующего законодательства, ГОСТов и нормативной базы РФ в области защиты информации.

Этапы разработки СОБИ КСИИ включают в себя следующее:

  1. Предпроектный этап

  2. Проектирование СОБИ КСИИ

  3. Разработка организационно-распорядительных документов по ОБИ в КСИИ

  4. Ввод в действие

Предпроектный этап, включает в себя предпроектное обследование КСИИ (или территории, помещений организации, где предполагается развернуть КСИИ в защищенном исполнении), разработку аналитического обоснования необходимости создания СОБИ КСИИ и ТЗ (ЧТЗ) на ее создание.

На предпроектном этапе:

  • определяются конфигурация и топология КСИИ, используемых систем связи и их отдельных компонентов, функциональные и технологические связи как внутри КСИИ, так и с другими системами различного уровня и назначения;

  • определяется (уточняется) уровень важности КСИИ в соответствии с документом «Система признаков критически важных объектов и критериев отнесения функционирующих в их составе информационно-телекоммуникационных систем к числу защищаемых от деструктивных информационных воздействий», утвержденным Секретарем Совета безопасности РФ 8 ноября 2005 г.;

  • определяется состав и содержание критически важной информации применительно к данной КСИИ;

  • определяются аппаратные и программные средства КСИИ, используемые для обработки, хранения, передачи и приема критически важной информации и режимы ее обработки;

  • определяется степень участия должностных лиц организации в обработке (обсуждении, передаче, хранении) критически важной информации, характер их взаимодействия между собой и со службой безопасности;

  • определяются (уточняются) угрозы безопасности информации, связанные с НСД к защищаемой критически важной информации и несанкционированными воздействиями на нее, формируется модель вероятного нарушителя применительно к конкретным условиям функционирования КСИИ в соответствии с документами «Методика определения актуальных угроз безопасности информации в ключевых системах информационной инфраструктуры» (утв. ФСТЭК России 18.05.2007) и «Базовая модель угроз безопасности информации в ключевых системах информационной инфраструктуры» (утв. ФСТЭК России 18.05.2007);

  • определяются мероприятия по обеспечению конфиденциальности критически важной информации о КСИИ на этапе проектирования и создания СОБИ КСИИ.

По результатам предпроектного обследования КСИИ составляется аналитическое обоснование необходимости создания СОБИ КСИИ, которое содержит:

  • информационную характеристику и организационную структуру КСИИ;

  • характеристику комплекса основных и вспомогательных технических средств, программного обеспечения, режимов работы КСИИ, процесса обработки информации в КСИИ;

  • описание возможных каналов деструктивных информационных воздействий на КСИИ, каналов утечки (разглашения) критически важной информации о КСИИ и характеристику мероприятий по их устранению и ограничению;

  • перечень предлагаемых к использованию сертифицированных СЗИ;

  • обоснование необходимости привлечения для создания СОБИ КСИИ специализированных организаций, имеющих необходимые лицензии на право проведения работ по защите информации;

  • оценку материальных, трудовых и финансовых затрат на разработку и внедрение СОБИ КСИИ;

  • ориентировочные сроки разработки и внедрения СОБИ КСИИ;

  • перечень мероприятий по обеспечению конфиденциальности критически важной информации о КСИИ на этапе проектирования и создания СОБИ КСИИ.

По результатам предпроектного обследования составляется ТЗ на разработку СОБИ КСИИ в соответствии с ГОСТом Р 51583-2000 «Защита информации. Порядок создания автоматизированной системы в защищенном исполнении. Общие требования» и ГОСТом 34.602-89 «Информационная технология. Комплекс стандартов на автоматизированную систему. Техническое задание на создание автоматизированной системы».

Техническое задание на разработку СОБИ КСИИ содержит:

  • обоснование разработки СОБИ КСИИ;

  • исходные данные о КСИИ в техническом, программном, информационном и организационных аспектах;

  • уровень важности КСИИ;

  • требования по ОБИ КСИИ, определяемые в соответствии с «Общими требованиями по обеспечению безопасности информации в ключевых системах информационной инфраструктуры», утвержденнными ФСТЭК России 18 мая 2007 года, на основе установленного уровня важности КСИИ;

  • перечень предполагаемых к использованию сертифицированных СЗИ;

  • обоснование проведения разработок собственных СЗИ, невозможности или нецелесообразности использования имеющихся на рынке сертифицированных СЗИ;

  • состав, содержание и сроки проведения работ по этапам разработки и внедрения СОБИ КСИИ;

  • перечень подрядных организаций — исполнителей видов работ;

  • перечень предъявляемой заказчику научно-технической продукции и документации.

На этапе проектирования осуществляется разработка проектных решений по СОБИ КСИИ и её частям, на основе которых создаются следующие основные проектные документы:

  • технический (технорабочий) проект СОБИ КСИИ в соответствии с ГОСТом 34.201-89 «Информационная технология. Комплекс стандартов на автоматизированную систему. Виды, комплектность и обозначение документов при создании автоматизированной системы»;

  • Эксплуатационная документация, включающая в себя технический паспорт на СОБИ КСИИ, а также инструкции и руководства по эксплуатации технических и программных средств СОБИ для пользователей, администраторов системы и сотрудников службы безопасности.

На следующем этапе осуществляется разработка комплекса внутренних организационно-распорядительных документов по ОБИ в КСИИ, включающего в себя следующее:

  • Положение об обеспечении безопасности информации в КСИИ

  • План обеспечения безопасности информации в КСИИ

  • Правила поведения сотрудников в отношении ОБИ в КСИИ

  • План действий в непредвиденных ситуациях

  • Положение об управлении инцидентами и процедуры реагирования на инциденты

  • Положение об управлении информационными рисками

  • Методика оценки информационных рисков

  • Положение о защите носителей информации

  • Положение об обеспечении целостности программно-аппаратной среды КСИИ

  • Положение о физической защите КСИИ и среды ее функционирования

  • Положение об управлении персоналом КСИИ

  • Положение об информировании и обучении персонала по вопросам ОБИ КСИИ

  • Положение о защите коммуникаций

  • Положение по аудиту безопасности информации

На этапе ввода СОБИ КСИИ в действие осуществляется выполнение мероприятий по ОБИ, предусмотренных техническим проектом:

  • поставка оборудования и программного обеспечения СОБИ КСИИ согласно закупочной спецификации;

  • специальная проверка несертифицированных СОИ и СЗИ на предмет обнаружения возможно внедренных в них электронных устройств перехвата информации («закладок»), а также специальные исследования этих средств;

  • монтаж оборудования;

  • установка и настройка ПО в соответствии с проектными решениями;

  • предварительные испытания и ввод СОБИ КСИИ в опытную эксплуатацию;

  • опытная эксплуатация СОБИ в комплексе с другими техническими и программными средствами КСИИ в целях проверки их работоспособности в составе объекта информатизации и отработки технологического процесса обработки (передачи) информации, прежде всего критически важной информации КСИИ. При необходимости, по результатам опытной эксплуатации СОБИ КСИИ осуществляется ее доработка;

  • приемо-сдаточные испытания СОБИ КСИИ по результатам опытной эксплуатации с оформлением приемо-сдаточного акта, подписываемого разработчиком (поставщиком) и заказчиком;

  • аттестация КСИИ по требованиям безопасности информации.

Для получения более подробной информации обращайтесь к нам: