Обеспечение нормативных требований к безопасности операционных систем. Автономная система обработки результатов работы НИИ «quantum computing». Автоматизированная система обработки персональных данных Финляндского филиала Российской компании «Travelling Is Simple» - «Клиенты»

Автоматизированная система обработки персональных данных Финляндского филиала Российской компании «TravellingIsSimple» - «Клиенты»

Причины классификации: многопользовательская обработка, разная степень конфиденциальности информации, разграничение доступа пользователей, присутствует подключение к сетям общего доступа, технические средства находятся за пределами РФ

3.  Определение требований к подсистемам безопасности операционных систем объектов информатизации.

Автономная система

3.1.  Управление доступом

 - должны осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов.

3.2.  Регистрация и учет

 - должна осуществляться регистрация входа (выхода) субъектов доступа в систему (из системы), либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения АС. В параметрах регистрации указываются:  дата и время входа (выхода) субъекта доступа в систему (из системы) или загрузки (останова) системы;  результат попытки входа: успешная или неуспешная (при НСД);  - должна осуществляться регистрация выдачи печатных (графических) документов на "твердую" копию. Выдача должна сопровождаться автоматической маркировкой каждого листа (страницы) документа порядковым номером и учетными реквизитами АС с указанием на последнем листе документа общего количества листов (страниц). В параметрах регистрации указываются:  дата и время выдачи (обращения к подсистеме вывода);  краткое содержание документа (наименование, вид, код, шифр) и уровень его конфиденциальности;  спецификация устройства выдачи [логическое имя (номер) внешнего устройства];  - должен проводиться учет всех защищаемых носителей информации с помощью их маркировки и с занесением учетных данных в журнал (учетную карточку);  - должно проводиться несколько видов учета (дублирующих) с регистрацией выдачи (приема) носителей информации;  - должна осуществляться очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей. Очистка осуществляется двукратной произвольной записью в освобождаемую область памяти, ранее использованную для хранения защищаемых данных (файлов).

3.3.  Обеспечение целостности

 - должна быть обеспечена целостность программных средств СЗИ НСД, обрабатываемой информации, а также неизменность программной среды. При этом:  целостность СЗИ НСД проверяется при загрузке системы по наличию имен (идентификаторов) компонент СЗИ;  целостность программной среды обеспечивается отсутствием в АС средств разработки и отладки программ;  - должны осуществляться физическая охрана СВТ (устройств и носителей информации), предусматривающая постоянное наличие охраны территории и здания, где размещается АС, с помощью технических средств охраны и специального персонала, использование строгого пропускного режима, специальное оборудование помещений АС;  - должно проводиться периодическое тестирование функций СЗИ НСД при изменении программной среды и персонала АС с помощью тест-программ, имитирующих попытки НСД;  - должны быть в наличии средства восстановления СЗИ НСД, предусматривающие ведение двух копий программных средств СЗИ НСД и их периодическое обновление и контроль работоспособности;  - должны использоваться сертифицированные средства защиты. Их сертификацию проводят специальные сертификационные центры или специализированные предприятия, имеющие лицензию на проведение сертификации средств защиты СЗИ НСД.

3.4.  Межсетевое взаимодействие

Внешние подключения в системе отсутствуют – требования не предъявляются.

3.5.  Анализ защищенности и обнаружение вторжений

Испытание системы на соответствие требованиям по защищенности информации от угроз безопасности могут проводиться в следующей последовательности (в зависимости от состава подсистем и средств защиты):

·  наличие необходимой проектной, рабочей и эксплуатационной документации;

·  оценка соответствия проектной документации состава и структуры программно-технических средств системы;

·  оценка выполнения требований формуляров СЗИ и СКЗИ, правил эксплуатации СЗИ и СКЗИ и условий действия сертификатов;

·  испытания подсистемы управления доступом;

·  испытания подсистемы регистрации и учета;

·  испытания подсистемы обеспечения целостности;

·  испытания подсистемы антивирусной защиты;

·  испытания подсистемы анализа защищенности;

·  испытания подсистемы обнаружения вторжений;

3.6.  Криптографические методы

Не применяются

3.7.  Защита от утечек по техническим каналам

·  применение защищенных технических средств, аппаратных средств защиты, средств активного противодействия, экранированием зданий или отдельных помещений,

·  установление контролируемой зоны вокруг средств информатизации и другими организационными и техническими мерами.

·  применение специальных средств защиты, проектными решениями