Отчет ПЗ 7.4 Разработка заключения по АИ. Тема 4 Проверка выполнения требований по результатам аттестационных испытаний, разработка заключения по результатам аттестационных испытаний (аттестата соответствия)
 Скачать 143 Kb.
|
Приложение № 1к Порядку организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации, не составляющей государственную тайну (Приказ ФСТЭК России от 29 апреля 2021 г. № 77 УТВЕРЖДАЮ _________________________ (руководитель (уполномоченное лицо) владельца объекта информатизации) ________________________ (подпись, инициалы и фамилия) «____» ____________ 20__ г. Т Е Х Н И Ч Е С К И Й П А С П О Р Т информационной (автоматизированной) системы _____________________________________________________________ (наименование информационной (автоматизированной) системы) Общие сведения об автоматизированной системе (АС) 1.1. Наименование автоматизированной системы: «автоматизированное рабочее место (АРМ) режимного подразделения АО «Организация» 1.2. Расположение программно-технических средств (ПТС) АС: г. Нижний Новгород, ул.Нартова, д. 6, помещение №215, второй этаж. 1.3. Установленная класс защищенности АС (категория значимого объекта, уровень защищенности (УЗ) персональных данных, класс ГИС): УЗ-3, К3, Акт классификации АС – «автоматизированного рабочего места режимного подразделения АО «Организация», от «____» __________ 2022 г. 1.4. Сведения о вводе АС в эксплуатацию: Приказ Директора АО «Организация» № ____ от «___» __________ 2022г.2. Условия расположения и эксплуатации АС 2.1. Сведения об архитектуре АС, включающие описание структуры и состава (типовых компонентов), структурную (топологическую) схему с указанием информационных связей между компонентами АС и иными информационными системами, в том числе с сетью Интернет. АС представлена в виде АРМ, предназначенного для работы в многопользовательском режиме, доступ исполнителей к работе осуществляется по утвержденному списку. Структурная (топологическая) схема АС указана в Приложении 1. АС не имеет взаимодействия с иными информационными системами, не имеет подключения к сети Интернет. Или / АС представлена в виде локальной вычислительной сети (ЛВС), объединенной в единую информационную систему средствами связи c использованием технологии удаленного доступа, имеющую выход в сеть международного информационного обмена (СМИО) «Интернет». Схема сетевого взаимодействия представлена в Приложении 3. 2.2 Описание технологического процесса обработки информации и режимы доступа к информационным ресурсам, включающее описание всех типов внешних, внутренних пользователей (привилегированных, непривилегированных), полномочий пользователей и тип доступа к информационным ресурсам. Объектами доступа являются: информация, содержащаяся в АС, а также данные о конфигурации, настройках программного обеспечения и средств защиты информации, данные о подсистеме защиты информации от несанкционированного доступа; общесистемное, прикладное и сетевое программное обеспечение, реализующее процессы обработки информации; программно-аппаратные средства и их программы, на которых функционируют средства вычислительной техники и телекоммуникационное оборудование (аппаратные платформы); средства защиты информации. Субъектами доступа к защищаемой в АС информации являются: администратор безопасности информации; пользователи, работающие в АС; - системный администратор. Размещение АС относительно границ контролируемой зоны объекта изображено в Приложении 2 Минимальное расстояние до границ контролируемой зоны объекта информатизации составляет 10 м. В помещениях АО «Организация» установлена охранная и пожарная сигнализации. Двери оборудованы врезными замками. Объект охраняется охраной ЧОП. Электропитание информационной системы в АО «Организация» осуществляется от трансформаторной подстанции (ТП), расположенной за пределами контролируемой зоны (КЗ). Схема представлена в Приложении 2. Перечень информационных ресурсов, программных и технических средств (объектов доступа), входящих в состав АРМ представлен в таблице 1: Таблица 1
АС предназначена для обработки информации ограниченного доступа, формирования электронных документов (ЭД) и вывода их на печать. При этом информация в АС может поступать из других подразделений и организаций на учтенных бумажных или электронных носителях информации Настройку систем защиты от НСД для конкретных пользователей и контроль ее работы осуществляет администратор безопасности информации. Функции, права, обязанности и порядок работы в АС администратора безопасности информации и пользователей регламентируются специально разработанными инструкциями администратору безопасности информации и пользователям. Идентификация и проверка подлинности субъектов доступа при входе в систему осуществляется средствами СЗИ НСД по индивидуальным идентификаторам, имени и паролю условно-постоянного действия, длиной не менее шести буквенно-цифровых символов. Смену пароля пользователя в штатном режиме может производить сам пользователь или администратор безопасности информации. Смену пароля администратора может производить только администратор безопасности информации. 2.3. Сведения об аттестате соответствия информационно-телекоммуникационной инфраструктуры центра обработки данных (ИТИ ЦОД), на базе которой функционирует информационная (автоматизированная) система, а также о модели услуг, по которой предоставляются вычислительные услуги (заполняется при условии аттестации информационной (автоматизированной) системы на базе аттестованной на соответствие требованиям по защите информации ИТИ ЦОД): АС не подключена к ИТИ ЦОД. Или / На основании договора №ХХХ от 00.00.2022г. о предоставлении вычислительных услуг, АС подключена к ИТИ ЦОД, имеющей аттестат соответствия требованиям безопасности №ХХХ от 00.00.2022г. УТВЕРЖДАЮ ________________________ (руководитель (уполномоченное лицо) владельца объекта информатизации) ________________________ (подпись, инициалы и фамилия) «____» ____________ 20__ г. ЗАКЛЮЧЕНИЕ №_____ по результатам испытаний в рамках аттестации автоматизированной системы «________» ________________________________________________ На основании Договора № ________, заключенного с ___________________, (наименование органа аттестации) аттестационная комиссия в составе представителей ___________________(ФИО), _________________(ФИО) и ______________________(ФИО) провела испытания в рамках аттестации автоматизированной системы (АС) «___________________» __________________________, расположенной по адресу: г.________________, ул. _______, д.___, помещение № ______ в составе: 3.1 Состав ПТС АС представлен в таблице 3. Таблица 3
3.2 Состав общесистемного и прикладного программного обеспечения АС представлен в таблице 4. Таблица 4
3.3 Состав телекоммуникационного оборудования АС и используемые для передачи информации линии связи представлен в таблице 5. Таблица 5
Или / Телекоммуникационное оборудование в АС не используется, информация по линиям связи не передаётся. 3.4 Состав средств защиты информации (СЗИ), используемых в АС, представлен в таблице 6. Таблица 6
Места установки СЗИ представлены на схеме в Приложении 3. 4. Сведения о соответствии АС требованиям по защите информации. 4.1 Сведения о протоколах аттестационных испытаний информационной (автоматизированной) системы. Заключение по результатам проведения специальной проверки (СП), уч. № ___ за 2022 г., выдано ФГУП «НПП «Бэтта» Протокол измерения ПЭМИН и расчета КЗ от ПЭВМ, уч. № _____ за 2022г., Предписание на эксплуатацию ПЭВМ, уч. № _____ за 2022г., выданы ФГУП «НПП «Бэтта»; Протокол аттестационных испытаний АС на соответствие требованиям по защите информации от несанкционированного доступа, уч. № _____ за 2022г., выданный ФГУП «НПП «Бэтта» 4.2 Сведения о заключении по результатам аттестационных испытаний информационной (автоматизированной) системы: Заключение по результатам аттестационных испытаний автоматизированной системы, уч. № ___ за 2022 г., выдано ФГУП «НПП «Бэтта» 4.3 Сведения об аттестации АС на соответствие требованиям по защите информации: Аттестат соответствия АС №01-02ПД/17/5 от 16 февраля 2022 г., выданный ФГУП «НПП «Бэтта». (Аттестат аккредитации органа по аттестации №СЗИ RU.082/2.В29.274, Лицензия по ТЗКИ регистрационный №0019 от 31 октября 2002г). . Результаты изучения технологического процесса обработки и хранения конфиденциальной информации, анализ информационных потоков, определение состава использованных для обработки конфиденциальной информации технических средств (п. 5.1. Программы и методики проведения аттестационных испытаний автоматизированной системы..., № _______ от ___ . ___ . _________г.) 1.1 В соответствии с п. 2.4 руководящего документа Гостехкомиссии России «Специальные требования и рекомендации по технической защите конфиденциальной информации» (СТР-К) Заявителем было принято решение о нецелесообразности выполнения: испытаний на соответствие требованиям по защите информации от утечки за счет побочных электромагнитных излучений и наводок (ПЭМИН) основных технических средств объекта; испытаний на соответствие требованиям по защите информации от утечки по цепям систем электропитания и заземления технических средств объекта, согласно п. 2.3 Программы и методики № _______ от ___. ___. ________г. проведения аттестационных испытаний автоматизированной системы «__________» __________. 1.2 По результатам изучения описания технологического процесса обработки информации (№ _______ от ___. ___. ________г.), анализа схемы информационных потоков (Приложение к Описанию технологического процесса..., № ____ от ___. ___. ________г.) и определения состава используемых для обработки технических средств, а также в соответствии с изложенным в п.1.1, настоящего Заключения, выявлены следующие возможные угрозы для защищаемой информации в автоматизированной системе «_______» ________: утечка информации вследствие несоблюдения организационно-режимных мер; несанкционированный доступ к защищаемой информации в АС, включая воздействие на АС вредоносных программ (вирусов). Представленное описание технологического процесса (№ _______ от ___. ___. ________г.) соответствует реальному процессу и не требует уточнений. 2. Результаты аттестационной проверки организационно-режимных мер по защите информации. (п. 5.2 Программы и методики проведения аттестационных испытаний..., № _______ от ___.___. ________г.) 2.1 Представленные документы достаточны и их содержание соответствует требованиям СТР-К. 2.2 Состав и структура программно-аппаратных средств автоматизированной системы, включенных в реальный технологический процесс обработки защищаемой информации, а также их размещение в помещении № ___ __________ соответствуют представленной документации. Существующая на объекте практика обработки и хранения конфиденциальной информации соответствует представленному описанию технологического процесса (№ ________ от ____. ____. _______г.). Носители конфиденциальной информации, используемые в процессе ее обработки, учтены установленным порядком. 2.3 Инструкция по обеспечению защиты конфиденциальной информации, обрабатываемой в автоматизированной системе «_________» _________ (№ ________ от ____. ____. _______ г.) соответствует по своим полноте и составу требованиям СТР-К. 2.4 По установленным классификационным признакам АС « » относится к классу ЗБ, что соответствует представленному Акту классификации автоматизированной системы «__________» _________ ... (№ ________ от ____. ____. _______ г.) и удовлетворяет требованиям РД Гостехкомиссии России «Автоматизированные системы. Защита от НСД к информации. Классификация АС и требования по защите информации» и п. 5.2.3 СТР-К. 2.5 Сотрудники _________, осуществляющие эксплуатацию АС, имеют определённый опыт и стаж работы с конфиденциальной информацией и её защитой (Данные по уровню подготовки кадров..., № ________ от ____. ____. _______.г.). Выборочный опрос вышеуказанных сотрудников показал, что содержание руководящих документов, инструкций по обеспечению защиты конфиденциальной информации доведено до конкретных исполнителей. 2.6 В ________ имеются документы о разрешительной системе доступа персонала к АС: Перечень лиц, имеющих право самостоятельного доступа к штатным средствам автоматизированной системы «________», № _______ от ___. ________. 2022 г.; Перечень лиц, обслуживающих автоматизированную систему ______ «_______», № _______ от ___. ________. 2022 г.; Перечень лиц, имеющих право самостоятельного доступа в помещение № с автоматизированной системой «_______» ________, № _______ от ___. ________. 2022 г. Распределение ответственности персонала за выполнение требований по безопасности информации отражено в Инструкции по обеспечению защиты конфиденциальной информации, обрабатываемой в автоматизированной системе « ________» ________ (№ ________ от ___. ___. ________ г.). 2.7 Автоматизированная система «_______» оснащена лицензионными копиями программного обеспечения, согласно Состава программного обеспечения автоматизированной системы «_______» _______ (№ ______ от ___. ___. __________ г.). 2.8 Автоматизированная система « » оснащена сертифицированным средством защиты информации - программно-аппаратным комплексом защиты информации от несанкционированного доступа «________» (Сертификат ФСТЭК России № ________ от ___. ___. ________ г., действителен до ___. ___. _________ г.). 2.9 Помещение №, в котором находится АС «________», расположено на ом этаже административного здания и отвечает требованиям режима, обеспечивающего обработку данных конфиденциального характера: по окончании работы помещение № запирается и опечатывается; выдача ключа от входной двери производится только сотрудникам, имеющим право самостоятельного доступа в помещение № ______ , согласно Перечня лиц, имеющих право самостоятельного доступа в помещение № _______ ... (№ ________ от ___. ___. ________ г.); уборка помещения производится в присутствии лиц, имеющих право самостоятельного доступа в помещение, согласно Перечня лиц, имеющих право самостоятельного доступа в помещение № ______ ... (№ ________ от ___. ___. ________ г.); в случае ухода из помещения в рабочее время, помещение закрывается на ключ; исключена возможность несанкционированного просмотра информации с монитора, с распечаток принтера лицами, не имеющими права доступа к обрабатываемой информации; в случае обнаружения факта несанкционированного проникновения в помещение проводится расследование, организуемое ________ (должность), с обязательным составлением Акта. Результаты аттестационных испытаний на соответствие требованиям по защите информации от НСД (п. 5.3 Программы и методики проведения аттестационных испытаний..., № _______ от ___.___. ________г.) 3.1 Для обеспечения уровня защищенности по классу ЗБ в АС «_______» _______ установлена и настроена система защиты информации (СЗИ) от несанкционированного доступа (НСД) «_______», имеющая действующий сертификат ФСТЭК России № _______ от ___ . ___. ________ г. (действителен до ___. ___. _______ г.) (Акт установки..., № _______ от ___. ___ . ________ г.). 3.2 В соответствии с Протоколом № _______ комплексных испытаний автоматизированной системы «_______» _______ на соответствие требованиям по защите от несанкционированного доступа к обрабатываемой информации (уч. № _______ от ___. ___. _______ г., _______) АС «_______» соответствует требованиям к автоматизированным системам класса защищенности ЗБ, предъявляемым: руководящим документом Гостехкомиссии России «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации»; руководящим документом Гостехкомиссии России «Специальные требования и рекомендации по технической защите конфиденциальной информации». Проверка технических средств объекта, для выявления возможно внедренных электронных устройств перехвата информации (п. 5.4. Программы и методики проведения аттестационных испытаний объекта информатизации..., № _______ от ___ . ___. _______г.) 4.1 Все основные технические средства и системы, входящие в состав объекта информатизации «_______» ________, прошли специальную проверку на наличие возможно внедренных электронных устройств перехвата информации. Результаты проверки оформлены в Заключениях по результатам специальной проверки: № _______ от ___. ___. _______ г., ______________; № _______ от ___. ___. _______ г., ______________; 4.2 Защищенность информации, обрабатываемой в автоматизированной системе, от утечки за счет специальных электронных устройств съема информации соответствует требованиям нормативных документов, предъявляемым к автоматизированным системам, используемым для обработки конфиденциальной информации. 5. Выводы и рекомендации 1. Комплексная система защиты автоматизированной системы «________» _______ соответствует нормативным требованиям по безопасности информации, предъявляемым к автоматизированной системе класса защищенности ЗБ. 2. Рекомендовать выдачу Аттестата соответствия автоматизированной системы «________» _______ сроком на 3 года при условии обеспечения заявителем неизменности условий функционирования и технологии обработки информации, установленных в процессе аттестационных испытаний. 3. Обеспечить проведение ежегодного инструментального контроля эффективности системы защиты автоматизированной системы «________». Члены аттестационной комиссии ___________________________________ ___________________________________ ___________________________________ к Порядку организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации, не составляющей государственную тайну аттестат соответствия требованиям по защите информации №_________________________________________ (номер аттестата соответствия в формате ХХХХ.ХХХХХ.ХХХХ)1 Выдан:_________________________________________________________. (дата выдачи аттестата соответствия) 1. Настоящим АТТЕСТАТОМ удостоверяется, что «автоматизированное рабочее место (АРМ) режимного подразделения АО «Организация», (наименование объекта информатизации, класс защищенности информационной (автоматизированной) системы, категория значимого объекта) принадлежащий Директор, (наименование владельца объекта информатизации) соответствует Автоматизированное рабочее место. (наименование требований по защите информации, на соответствии которым проводилась аттестация) 2. Состав программных, программно-технических средств и средств защиты информации приведен в техническом паспорте на объект информатизации от «____» _________20__ г. 3. Организационные и технические условия, имеющиеся у владельца объекта информатизации, обеспечивают поддержку безопасности аттестованного объекта информатизации в процессе эксплуатации в соответствии с требованиями по защите информации. 4. Аттестат соответствия выдан на основании результатов аттестационных испытаний, проведенных органом по аттестации «ФСБ И ФСТЭК. (наименование органа по аттестации) Аттестация проведена в соответствии с программой и методиками аттестационных испытаний, утвержденными органом по аттестации ______________________________________ от ____ _________20__ г. (наименование органа по аттестации) В соответствии с результатами аттестационных испытаний в автоматизированное рабочее место (АРМ) режимного подразделения АО «Организация (наименование объекта информатизации) разрешается обработка информации, не содержащей сведения, составляющие государственную тайну (информации конфиденциального характера). 5. Результаты аттестационных испытаний приведены в заключении по результатам аттестационных испытаний от «___»__________ 20__ г. 6. При эксплуатации аттестованного объекта информатизации не допускается: вносить несанкционированные изменения в конфигурацию программных, программно-технических средств, средств защиты информации; осуществлять несанкционированную замену программных, программно-технических средств, средств защиты информации на аналогичные средства; вносить изменения в архитектуру системы защиты информации, изменять состав, структуру системы защиты информации; проводить обработку информации в случае приостановки действия аттестата соответствия в соответствии с решением ФСТЭК России; проводить обработку информации в случае обнаружения неисправностей в системе защиты информации объекта информатизации; проводить обработку информации в случае обнаружения инцидента безопасности. 7. Контроль за уровнем защиты информации на объекте информатизации возлагается на Директора автоматизированное рабочее место (АРМ) режимного подразделения АО «Организация. (наименование подразделения (ответственного работника) Руководитель органа по аттестации м.п. ________________________________ (подпись, фамилия и инициалы) 1 Первая группа знаков содержит число от 0001 до 9999, указывающие на номер лицензии ФСТЭК России на деятельность по технической защите информации, выданной органу по аттестации. Вторая группа знаков содержит число от 00001 до 99999, указывающее на номер аттестованного объекта информатизации в системе учета органа по аттестации. Третья группа знаков содержит число, указывающее на год выдачи аттестата соответствия. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||