Техническое задание. ТЗ ГИСМУ. Техническое задание на создание Государственной информационной системы миграционного учета (гисму)
 Скачать 1.25 Mb.
|
|
1 Территориальный уровень Федеральный уровень Региональный уровень Данные территориального уровня в объеме реквизитного состава Выборка из данных территориального уровня и консолидация Консолидация данных регионального уровня Выборка из ведомственных данных (МВД, ФСБ, МИД и др.) Консолидация с данными ФМС России Сегмент федерального межведомственного обмена Множество данных ГИСМУ Рисунок 4. Информационный обмен в ГИСМУ 48 Техническое задание на создание Государственной информационной системы миграционного учета (ГИСМУ) Потоки данных направляются по информационно-телекоммуникационной сети ГИСМУ ФМС России, построенной на базе технологии MPLS и стека протоколов TCP/IP с использованием виртуальных частных сетей (VPN). Обмен данными должен осуществляться посредством файлов в формате XML. Передаваемые в обе стороны пакеты данных должны быть подписаны ЭЦП, чтобы обеспечить юридическую значимость циркулирующей в ГИСМУ информации. 4.1.2 Требования к численности и квалификации персонала системы и режиму его работы Общими требованиями к численности и квалификации персонала ГИСМУ и режиму его работы являются: 4.1.2.1 Эксплуатация программного комплекса должна осуществляться персоналом, имеющим численность и квалификацию для выполнения работ в соответствии с ролями, перечисленными ниже (таблица 3). 4.1.2.2 Пользователь может иметь несколько ролей по отношению к разным ресурсам программного комплекса. 4.1.2.3 Сотрудники, относящиеся к эксплуатационному персоналу, могут одновременно выполнять обязанности нескольких ролей. Выполняемые функции по эксплуатации программного обеспечения определяются штатным расписанием и должностными обязанностями. Состав и численность эксплуатационного персонала должны быть детализированы в документации технического проекта. 4.1.2.4 Для эксплуатации программного комплекса необходимо выполнение следующих ролей: − системный администратор; − администратор безопасности; − администратор баз данных; − инженер технической поддержки. Таблица 3 Роли эксплуатирующего персонала ГИСМУ Роли Выполняемые функции Системный администратор − обеспечение бесперебойного функционирования системы в целом − управление программно-аппаратным комплексом Администратор безопасности − обеспечение информационной безопасности − обеспечение защиты от несанкционированного 49 Техническое задание на создание Государственной информационной системы миграционного учета (ГИСМУ) Роли Выполняемые функции доступа к информационным ресурсам Администратор баз данных − обеспечение функционирования баз данных в штатном режиме − резервное копирование баз данных − восстановление баз данных в случае сбоя − мониторинг основных показателей функционирования баз данных − настройка и оптимизация производительности баз данных Инженер технической поддержки − установка, настройка и поддержка оборудования и специального программного обеспечения 4.1.2.5 Режим работы персонала, эксплуатирующего программный комплекс – в установленное рабочее время. 4.1.2.6 Пользователем программного комплекса ГИСМУ может быть любой сотрудник ФМС России, имеющий навыки работы в среде Microsoft Windows и прошедший обучение. 4.1.3 Показатели назначения 4.1.3.1 Степень приспособляемости системы к изменению процессов и методов управления: 4.1.3.1.1 Меню программного комплекса должны быть сгруппированы в соответствии с тематикой информации, функциональными задачами и технологией работы с возможностью изменения состава. 4.1.3.1.2 Администратор безопасности должен иметь возможность изменять права доступа пользователей к данным и меню при изменении организационной структуры, технологии работы или других факторов, влияющих на права доступа к информации. 4.1.3.1.3 В целях реализации требований законодательства и нормативных актов в области учета российских и иностранных граждан и лиц без гражданства должна быть обеспечена возможность изменения состава форматов данных, используемых при работе программного обеспечения. Вновь применяемые форматы данных должны быть описаны и утверждены Заказчиком. 4.1.3.1.4 В случае изменений нормативно-правовой базы миграционного учета российских и иностранных граждан и лиц без гражданства, влекущих за собой 50 Техническое задание на создание Государственной информационной системы миграционного учета (ГИСМУ) изменения в структуре и составе баз данных, его функциональности, все доработки ГИСМУ проводятся в рамках его модернизации по отдельным договорам. 4.1.3.2 Производительность системы: 4.1.3.2.1 ГИСМУ должна отвечать требованиям масштабируемости, то есть входящее в ее состав ПО должно обеспечивать одновременную работу необходимого числа пользователей путем наращивания вычислительных ресурсов соответствующих ЦОД. Следует ожидать постоянного роста числа пользователей ГИСМУ за счет заинтересованных ведомств и организаций, перечисленных в постановлении Правительства Российской Федерации от 14 февраля 2007 г. № 94. 4.1.3.2.2 Недоступность какого-либо информационного ресурса ГИСМУ (регионального или федерального уровня) не должна оказывать влияния на производительность системы в целом. 4.1.3.2.3 Время обмена данными между информационными ресурсами федерального и регионального уровней ГИСМУ определяется техническими возможностями аппаратного обеспечения, на которых размещены ресурсы, и пропускной способностью каналов сети передачи данных между ресурсом и потребителем информации. 4.1.4 Требования к надежности Общими требованиями к надежности ГИСМУ являются: 4.1.4.1 Программно-технический комплекс ГИСМУ должен функционировать круглосуточно, в непрерывном режиме, кроме времени проведения работ по резервному копированию данных, восстановлению данных, смене версий программного комплекса, других профилактических работ по техническому обслуживанию, требующих остановку технических средств. 4.1.4.2 Должно производиться регулярное (не реже одного раза в сутки) резервное копирование баз данных. Необходимо наличие как минимум двух резервных копий всех данных. Данные копии должны храниться в физически удаленных местах. 4.1.4.3 Отказы и сбои в работе рабочих станций и сетевого оборудования не должны приводить к разрушению данных и сказываться на работоспособности системы в целом. 4.1.4.4 Выход из строя одной из подсистем не должен приводить к прекращению функционирования остальных подсистем, т.е. при этом должна обеспечиваться возможность выполнения функций всех оставшихся подсистем. 4.1.4.5 Плановая остановка или сбой информационного ресурса ГИСМУ не должны приводить к сбою в работе программного обеспечения. 4.1.4.6 Неправильные действия пользователей не должны приводить к возникновению аварийной ситуации. 51 Техническое задание на создание Государственной информационной системы миграционного учета (ГИСМУ) 4.1.4.7 Должны быть минимизированы ошибки технического персонала, в том числе путем четкого разграничения прав доступа к системе, а также ведения журнала событий системы. 4.1.4.8 Требования к надежности ПТК ГИСМУ должны быть уточнены в документации Технического проекта. 4.1.5 Требования к безопасности 4.1.5.1 Конструкция аппаратно-программных средств ГИСМУ должна обеспечивать защиту эксплуатирующего персонала от поражения электрическим током в соответствии с требованиями ГОСТ 12.2.003 и ГОСТ 12.2.007. Подключение электропитания к оборудованию ГИСМУ должно выполняться в соответствии с требованиями «Правил устройства электроустановок». 4.1.5.2 К эксплуатации оборудования ГИСМУ должен допускаться персонал, имеющий достаточную теоретическую и практическую подготовку. Эксплуатационная документация должна содержать указания по безопасности при эксплуатации и техническом обслуживании. 4.1.5.3 Условия эксплуатации объекта автоматизации и характеристики окружающей среды определяются в соответствии с Гигиеническими требованиями к видеодисплейным терминалам, персональным электронно-вычислительным машинам и организации работы (Санитарные правила и нормы. СанПиН 2.2.2/2.4.1340-03). 4.1.5.4 Технические средства, входящие в состав Системы, должны удовлетворять требованиям ГОСТ 12.1.002-84 по уровням напряженности электрических полей. 4.1.5.5 Уровень шума на рабочих местах пользователей и обслуживающего персонала, создаваемый оборудованием, должен соответствовать требованиям, установленным ГОСТ 12.1.003-83. 4.1.6 Требования к эргономике и технической эстетике 4.1.6.1 Структура размещения информации и представление этой структуры в программном комплексе должны соответствовать следующим требованиям: 4.1.6.1.1 Пункты меню в пользовательских интерфейсах должны быть сгруппированы в соответствии с тематикой информации, функциональными задачами и технологией работы; 4.1.6.1.2 Каждому пункту меню должна соответствовать только одна выполняемая функция; 4.1.6.1.3 Действие должно выполняться только одним способом; 4.1.6.1.4 Пункты меню должны называться или изображаться так, чтобы пользователь однозначно понимал их назначение; 52 Техническое задание на создание Государственной информационной системы миграционного учета (ГИСМУ) 4.1.6.1.5 Сигнализация об ошибках или ошибочных действиях должна сопровождаться подсказкой о дальнейших действиях. 4.1.6.1.6 При совершении пользователями ошибочных действий должны выдаваться сообщения на русском языке, на основе которых пользователь может определить причину ошибки и способы ее устранения. 4.1.7 Требования к защите информации от несанкционированного доступа Требования к системе защиты информации в ГИСМУ разработаны в ЧТЗ на создание подсистемы безопасности информации в ГИСМУ (документ: RU.FORS- DC.E0091BPA-01 01 01-2). В настоящем разделе рассмотрены общие вопросы защиты информации. 4.1.7.1 Общие требования 4.1.7.1.1 В ведомственном сегменте ГИСМУ ФМС России должна храниться, обрабатываться и передаваться по каналам связи конфиденциальная информация, не содержащая сведений, составляющих государственную тайну. 4.1.7.1.2 В качестве основных мер по обеспечению информационной безопасности необходимо реализовать: − защиту от несанкционированного считывания, модификации или уничтожения данных в ГИСМУ; − защиту информационных ресурсов Системы, в том числе баз данных систем обработки информации; − защищенный обмен информацией между различными компонентами Системы. 4.1.7.1.3 На этапе технического проектирования должны быть разработаны модель нарушителя и модель угроз Системы. 4.1.7.1.4 На основании анализа моделей должны быть определены уровни и механизмы криптозащиты информации для ПТС различных компонентов сегмента, а также уровень защиты информации в каналах связи в зависимости от конкретных условий. 4.1.7.1.5 Конкретные требования по информационной безопасности должны уточняться на этапе технического проектирования. 4.1.7.1.6 Во всех элементах системы должно быть предусмотрено использование технологии электронной цифровой подписи для защиты и придания юридической значимости обрабатываемой и передаваемой информации, реализации процедур идентификации и аутентификации. В компонентах системы должно быть обеспечено использование доверенной программно-аппаратной среды. 53 Техническое задание на создание Государственной информационной системы миграционного учета (ГИСМУ) 4.1.7.1.7 В случае необходимости ПТС, используемые в компонентах системы, должны пройти в установленном порядке специальные проверки и специальные исследования. 4.1.7.1.8 Все применяемые в системе не криптографические средства защиты информации должны быть сертифицированы на соответствие требованиям РД ФСТЭК России: − « Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищённости от несанкционированного доступа к информации» – по классу защищенности в соответствии с максимальным грифом (пометкой) обрабатываемой информации; − « Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей» – по классу защищенности в соответствии с максимальным грифом (пометкой) обрабатываемой информации. 4.1.7.1.9 Применяемые в системе межсетевые экраны должны быть сертифицированы. 4.1.7.1.10 Информация ограниченного доступа, передаваемая по внешним каналам связи должна защищаться криптографическими методами защиты. Применяемые средства криптографической защиты информации должны иметь сертификаты и положительные заключения ФСБ России по результатам экспертизы корректности встраивания указанных средств в ПТС сегмента. 4.1.7.1.11 В состав средств защиты от НСД должны входить современные аппаратные и программные комплексы, ориентированные на применение новых методов обеспечения информационной безопасности (с использованием принципов криптографии, технологии «гальванической развязки» и др.). Объектами защиты в ГИСМУ должны являться: − автоматизированные рабочие места, − серверное оборудование, − вычислительные сети, − каналы связи и телекоммуникационное оборудование. 4.1.7.2 Требования по защите информации от утечки по техническим каналам связи 4.1.7.2.1 Для элементов системы, обрабатывающих конфиденциальную информацию, должны выполняться требования документа СТР-К-2002 г. ФСТЭК России. 54 Техническое задание на создание Государственной информационной системы миграционного учета (ГИСМУ) 4.1.7.2.2 Для защиты охраняемых параметров (сведений) и устранения демаскирующих признаков должны быть разработаны и реализованы мероприятия, исключающие получение охраняемых параметров (сведений): − при проведении монтажных, пуско-наладочных работ; − во время испытаний и штатной эксплуатации; − при использовании штатных и привлекаемых средств обеспечения. 4.1.7.3 Требования к организационным мероприятиям по защите информации: 4.1.7.3.1 Для объектов автоматизации должны быть: − разработана политика безопасности (совокупность норм и правил, регламентирующих взаимодействие субъектов и объектов системы, в т.ч. объекты доступа, субъекты доступа, разрешающие и запрещающие правила взаимодействия, матрица доступа пользователей к ресурсам и др.); − разработаны должностные инструкции пользователей по информационной безопасности; − проведено обучение пользователей; − разработаны правила эксплуатации технических и программных средств защиты информации и правила работы с конфиденциальной информацией; − процедуры управления доступом, включая все стадии жизненного цикла управления доступом от начальной регистрации до удаления учётных записей пользователя. 4.1.7.3.2 Организационные мероприятия по защите информации должны разрабатываться и проводиться с учетом следующих нормативно-правовых документов 1 − Закон Российской Федерации от 05 марта 1992 г. № 2446-1 « О безопасности»; : - Закон Российской Федерации от 21 июля 1993 г. № 5485-1 « О государственной тайне» (в ред. Федеральных законов от 06.10.1997 N 131-ФЗ, от 30.06.2003 N 86- ФЗ, от 11.11.2003 N 153-ФЗ, от 29.06.2004 N 58-ФЗ, от 22.08.2004 N 122- ФЗ, с изменениями, внесенными Постановлением Конституционного Суда Российской Федерации от 27.03.1996 N 8-П, определениями Конституционного Суда Российской федерации от 10.11.2002 N 293-О, от 10.11.2002 N 314-О); − Федеральный закон «Об информации, информатизации и защите информации» от 27.07.2006 № 149-ФЗ; 1 Перечень документов может быть изменен и дополнен на этапе технического проектирования 55 Техническое задание на создание Государственной информационной системы миграционного учета (ГИСМУ) − Федеральный Закон Российской Федерации от 16 февраля 1995 г. № 15-ФЗ « О связи»; − Федеральный Закон Российской Федерации от 7 июля 2003 г. N 126-ФЗ "О связи"; − Федеральный Закон Российской Федерации от 04 июля 1996 г. № 85-ФЗ « Об участии в международном информационном обмене»; − Федеральный Закон Российской Федерации от 27 июля 2006 г. № 152-ФЗ «О персональных данных»; − Постановление Правительства Российской федерации от 14.02.2007 № 94 «О Государственной информационной системе миграционного учета»; − Постановление Правительства Российской Федерации от 4 сентября 1995 г. № 870 «Об утверждении правил отнесения сведений, составляющих государственную тайну, к различным степеням секретности»; − Постановление Правительства Российской Федерации от 3 ноября 1994 г. № 1233 «Об утверждении положения о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти»; − Указ Президента Российской Федерации от 6 марта 1997 г. № 188 « Об утверждении перечня сведений конфиденциального характера» (в редакции от 23 сентября 2005 года); − Постановление Правительства Российской Федерации «Положение о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от её утечки по техническим каналам» от 15 сентября 1993 г. № 912-51; − Постановление Правительства Российской Федерации «О сертификации средств защиты информации» от 26 июня 1995 г. № 608 (с изменениями от 23 апреля 1996 г., 29 марта 1999 г.); − Руководящий документ. «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации». Москва. Гостехкомиссия России. 1992 г.; − Руководящий документ. «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от НСД к информации». Москва. Гостехкомиссия России. 1992 г.; − Руководящий документ. «Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации». Москва. Гостехкомиссия России. 1992 г.; 56 Техническое задание на создание Государственной информационной системы миграционного учета (ГИСМУ) − Руководящий документ. «СВТ. Межсетевые экраны. Защита от НСД к информации. Показатели защищенности от НСД к информации». Москва. Гостехкомиссия России. 1997 г.; − Руководящий документ. «Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от несанкционированного доступа в автоматизированных системах и средствах вычислительной техники». Москва. Гостехкомиссия России. 1992 г.; − ГОСТ Р 50739-95 «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования»; − ГОСТ Р 50922-96 «Защита информации. Основные термины и определения»; − ГОСТ Р 51275-99 «Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения»; − РД 50-34.698-90. РД по стандартизации «Автоматизированные системы. Требования к содержанию документов»; − ГОСТ Р 51583-2000 «Защита информации. Порядок создания автоматизированных систем в защищенном исполнении»; − ГОСТ Р 51624-2000 «Защита информации. Автоматизированные системы в защищенном исполнении»; − Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ- 2005)" от 03.03.2005 г. № 6382т. |