Проекты разрабатываемых руководящих, организационно-распорядительных и нормативно-методических документов

2. Автоматизированные информационные системы защищенного исполнения

Автоматизированная система в защищенном исполнении — автоматизированная система, реализующая информационную технологию выполнения установленных функций в соответствии с требованиями стандартов и/или иных нормативных документов по защите информации (ГОСТ 51624-2000).

Система защиты информации автоматизированной системы — совокупность всех технических, программных и программно-технических средств защиты информации и средств контроля эффективности защиты информации (по ГОСТ Р 51583).

Специальная проверка — проверка компонентов автоматизированной системы, осуществляемая с целью поиска и изъятия закладочного устройства (по ГОСТ Р 51583).

Специальные исследования (специсследования) — выявление с использованием контрольно-измерительной аппаратуры возможных технических каналов утечки защищаемой информации от основных и вспомогательных технических средств и систем и оценка соответствия защиты информации требованиям нормативных документов по защите информации (по ГОСТ Р 51583).

Угроза безопасности информации — совокупность условий и факторов, создающих потенциальную или реально существующую опасность, связанную с утечкой информации, и/или несанкционированными и/или непреднамеренными воздействиями на нее.

Побочное электромагнитное излучение — электромагнитное излучение, возникающее при работе технических средств обработки информации (по ГОСТ Р 51275).

Закладочное устройство — элемент средства съема информации, скрытно внедряемый (закладываемый или вносимый) в места возможного съема информации (в том числе в ограждение, конструкцию, оборудование, предметы интерьера, транспортные средства, а также в технические средства и системы обработки информации) (по ГОСТ Р 51275).

Программная закладка — внесенные в программное обеспечение функциональные объекты, которые при определенных условиях (входных данных) инициируют выполнение не описанных в документации функций программного обеспечения, позволяющих осуществлять несанкционированные воздействия на информацию (по ГОСТ Р 51275).

Вирус — вредоносная программа, способная создавать свои копии или другие вредоносные программы и внедрять их в файлы, системные области компьютера, компьютерных сетей, а также осуществлять иные деструктивные действия.

Класс защищенности автоматизированной системы — определенная совокупность требований по защите информации, предъявляемых к автоматизированной системе.

Контролируемая зона — пространство, в пределах которого осуществляется контроль за пребыванием и действиями лиц и/или транспортных средств. Границей контролируемой зоны может быть: периметр охраняемой территории предприятия (учреждения); ограждающие конструкции охраняемого здания, охраняемой части здания, выделенного помещения.

Защита информации в АСЗИ должна быть:

· целенаправленной, осуществляемой в интересах реализации конкретной цели защиты информации в АСЗИ;

· комплексной, осуществляемой в интересах защиты всего многообразия структурных элементов АСЗИ от всего спектра опасных для АСЗИ угроз;

· управляемой, осуществляемой на всех стадиях жизненного цикла АСЗИ, в зависимости от важности обрабатываемой информации, состояния ресурсов АСЗИ, условий эксплуатации АСЗИ, результатов отслеживания угроз безопасности информации;

· гарантированной; методы и средства защиты информации должны обеспечивать требуемый уровень защиты информации от ее утечки по техническим каналам, несанкционированного доступа к информации, несанкционированным и непреднамеренным воздействиям на нее, независимо от форм ее представления.

В АСЗИ должна быть реализована система защиты информации, выполняющая следующие функции:

· предупреждение о появлении угроз безопасности информации;

· обнаружение, нейтрализацию и локализацию воздействия угроз безопасности информации;

· управление доступом к защищаемой информации;

· восстановление системы защиты информации и защищаемой информации после воздействия угроз;

· регистрацию событий и попыток несанкционированного доступа к защищаемой информации и несанкционированного воздействия на нее;

· обеспечение контроля функционирования средств и системы защиты информации и немедленное реагирование на их выход из строя.

В АСЗИ защите подлежат:

· информационные ресурсы в виде информационных массивов и баз данных, содержащих защищаемую информацию, и представленные на магнитных, оптических и других носителях;

· средства автоматизации (средства вычислительной техники, информационно-вычислительные комплексы, сети и системы), программные средства (операционные системы, системы управления базами данных, другое общесистемное и прикладное программное обеспечение), автоматизированные системы управления, системы связи и передачи данных и другие средства.

Задачи защиты информации в АСЗИ включают:

· предотвращение перехвата защищаемой информации, передаваемой по каналам связи;

· предотвращение утечки обрабатываемой защищаемой информации за счет побочных электромагнитных излучений и наводок;

· исключение несанкционированного доступа к обрабатываемой или хранящейся в АСЗИ защищаемой информации;

· предотвращение несанкционированных и непреднамеренных воздействий, вызывающих разрушение, уничтожение, искажение защищаемой информации или сбои в работе средств АСЗИ;

· выявление возможно внедренных в технические средства АСЗИ специальных электронных устройств перехвата информации;

· организация разрешительной системы допуска пользователей АСЗИ к работе с защищаемой информацией и ее носителями;

· осуществление контроля функционирования средств и систем защиты информации в АСЗИ.