2.2.1 Определение требуемого класса защищенности АСОД в ОАО «Альфапроект»
Для определения требуемого класса защищенности в Российской Федерации существует конкретный подход, реализованный в руководящем документе Государственной технической комиссии при Президенте РФ «Классификация автоматизированных систем и требований по защите информации» Часть 1. В данном документе выделено 9 классов защищенности автоматизированных систем от несанкционированного доступа к информации, а для каждого класса определен минимальный состав необходимых механизмов защиты и требования к содержанию защитных функций каждого из механизмов в каждом из классов систем (рисунок 2.3)/9/.
Рисунок 2.3 – Классы защищенности АСОД
Классы систем разделены на три группы, причем основным критерием деления на группы приняты специфические особенности обработки информации.
Требования к защите растут от систем класса ЗБ к классу 1А.
Комплекс программно-технических средств и организационных решений по системе защиты информации от НСД, состоит из четырех подсистем, представленных на рисунке 2.4.
Рисунок 2.4 – Требования к подсистемам СЗИ
Требования к подсистемам в соответствии с классами защищенности представлены в таблице 2.1.
Таблица 2.1 – Требования к подсистемам СЗИ в соответствии с классами защищенности
| Подсистемы и требования
| Классы систем
|
| 3Б
| 3А
| 2Б
| 2А
| 1Д
| 1Г
| 1В
| 1Б
| 1А
|
|
|
|
|
|
|
|
|
|
|
|
| 1. подсистема управления доступом 1.1. Идентификация, проверка подлинности и контроль доступа субъектов в систему:
| +
| +
| +
| +
| +
| +
| +
| +
| +
|
| К терминалам, ЭВМ, каналам связи, внешним устройствам ЭВМ;
| -
| -
| -
| +
| -
| +
| +
| +
| +
|
| К программам;
| -
| -
| -
| +
| -
| +
| +
| +
| +
|
| К томам, каталогам, файлам, записям, полям записей.
| -
| -
| -
| +
| -
| +
| +
| +
| +
|
| 1.2. Управление потоками информации
| -
| -
| -
| +
| -
| +
| +
| +
| +
|
| 2. Подсистема регистрации и учета
2.1. регистрация и учет:
входа/выхода субъектов доступа в/из системы (узла сети);
| +
| +
| +
| +
| +
| +
| +
| +
| +
|
| Выдачи печатных (графических) выходных документов;
| -
| +
| -
| +
| -
| +
| +
| +
| +
|
| Запуска/завершения программ процессов (заданий, задач);
| -
| -
| -
| +
| -
| +
| +
| +
| +
|
| Доступа программ субъектов доступа к защищаемым файлам, включая их создание и удаление, передачу по линиям и каналам связи;
| -
| -
| -
| +
| -
| +
| +
| +
| +
|
| Доступа программ субъектов доступа к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ, программам, томам, каталогам, файлам, записям, полям записей;
| -
| -
| -
| +
| -
| +
| +
| +
| +
|
| Изменения полномочий субъектов доступа
| -
| -
| -
| -
| -
| +
| +
| +
| +
|
| Создаваемых защищаемых объектов доступа
| -
| -
| -
| +
| -
| -
| +
| +
| +
|
| 2.2. Учет носителей информации
| +
| +
| +
| +
| +
| +
| +
| +
| +
|
| 2.3. Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей
| -
| +
| -
| +
| -
| +
| +
| +
| +
|
| 3. Криптографическая подсистема
3.1. Шифрование конфиденциальной информации
| +
| +
| +
| +
| +
| +
| +
| +
| +
|
| 3.2. Шифрование информации, принадлежащей различным субъектам доступа (группам субъектов) на различных ключах.
| -
| -
| -
| -
| -
| -
| -
| -
| +
|
| 3.3. Использование аттестованных (сертифицированных) криптографических средств.
| -
| -
| -
| +
| -
| -
| -
| +
| +
|
| 4. Подсистема обеспечения целостности
4.1. Обеспечение целостности программных средств и обрабатываемой информации
| +
| +
| +
| +
| +
| +
| +
| +
| +
|
| 4.2. Физическая охрана средств вычислительной техники и носителей информации
| +
| +
| +
| +
| +
| +
| +
| +
| +
|
| 4.3. Наличие администратора (службы) защиты информации в автоматизированной системе обработки данных
| -
| -
| -
| +
| -
| -
| +
| +
| +
|
| 4.4. Периодическое тестирование средств защиты информации несанкционированного доступа
| +
| +
| +
| +
| +
| +
| +
| +
| +
|
| 4.5. Наличие средств восстановления средств защиты информации несанкционированного доступа
| +
| +
| +
| +
| +
| +
| +
| +
| +
|
| 4.6. Использование сертифицированных средств защиты
| -
| +
| -
| +
| -
| -
| +
| +
| +
|
ОАО «Альфапроект», опираясь на данный подход, АСОД необходимо отнести ко второй группе, т.к. вся обработка информации, и дальнейшее её хранение, осуществляется группой сотрудников, а это признак многопользовательских АС, но при этом пользователи работают с одинаковым уровнем доступа, это характеризует АСОД ОАО «Альфапроект», как АС второй группы. Определение класса 2-й группы защищенности АС осуществляется исходя из уровня секретности ресурсов, ресурсы подлежащие защите были определены как ограниченные в доступе и имеющие статус конфиденциальной информации, соответственно класс защищенности рассматриваемой АСОД характеризуется как «А».
Таким образом, комплекс средств защиты информации (КСЗИ) для данного предприятия должен отвечать следующим требованиям, представленным в таблице 2.1 для класса защищенности 2А.
