|
|
@@ -0,0 +1,199 @@
|
|
|
+# Разработка и ведение эксплуатационной документации защищённых АС
|
|
|
+
|
|
|
+## Введение
|
|
|
+
|
|
|
+Защищённая автоматизированная система (АС) — это система, обрабатывающая информацию ограниченного доступа и соответствующая требованиям по защите. Эффективность её эксплуатации зависит не только от технической реализации, но и от **качества эксплуатационной документации**.
|
|
|
+
|
|
|
+Эксплуатационная документация — это комплект документов, описывающих назначение, состав, правила работы и обслуживания системы. Для защищённых АС она выполняет **двойную роль**: обеспечивает корректную работу пользователей и подтверждает соответствие системы требованиям регуляторов (ФСТЭК, ФСБ, Роскомнадзор).
|
|
|
+
|
|
|
+Настоящий доклад рассматривает состав, порядок разработки и правила ведения эксплуатационной документации защищённых АС.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+## 1. Понятие эксплуатационной документации
|
|
|
+
|
|
|
+**Эксплуатационная документация (ЭД)** — совокупность документов, предназначенных для изучения системы, её правильной эксплуатации и обслуживания.
|
|
|
+
|
|
|
+Основные функции ЭД:
|
|
|
+
|
|
|
+- **обучение пользователей** — как работать с системой;
|
|
|
+- **сопровождение** — как обслуживать и устранять неисправности;
|
|
|
+- **доказательство соответствия** — подтверждение требований регуляторов;
|
|
|
+- **преемственность** — сохранение знаний при смене персонала.
|
|
|
+
|
|
|
+> 📌 Эксплуатационная документация — это «инструкция по применению» системы, без которой невозможна её корректная и безопасная работа.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+## 2. Нормативная база
|
|
|
+
|
|
|
+Разработка ЭД для защищённых АС регулируется:
|
|
|
+
|
|
|
+- **ГОСТ 19.xxx (ЕСПД)** — единая система программной документации;
|
|
|
+- **ГОСТ 34.xxx** — комплекс стандартов на автоматизированные системы;
|
|
|
+- **ГОСТ 2.xxx (ЕСКД)** — единая система конструкторской документации;
|
|
|
+- **Приказы ФСТЭК № 17, № 21** — требования к защите информации;
|
|
|
+- **ФЗ-152 «О персональных данных»** — требования к документации оператора ПДн;
|
|
|
+- **ФЗ-149 «Об информации...»** — общие требования к защите информации.
|
|
|
+
|
|
|
+> ⚖️ Для защищённых АС состав документации определяется не только удобством, но и **обязательными требованиями регуляторов**.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+## 3. Состав эксплуатационной документации
|
|
|
+
|
|
|
+Типовой комплект ЭД для защищённой АС включает:
|
|
|
+
|
|
|
+| Группа | Документы |
|
|
|
+|---|---|
|
|
|
+| **Общие** | Ведомость эксплуатационных документов, формуляр, паспорт системы |
|
|
|
+| **По работе пользователя** | Руководство пользователя, руководство администратора |
|
|
|
+| **По обслуживанию** | Руководство по техническому обслуживанию, инструкция по монтажу |
|
|
|
+| **По защите информации** | Модель угроз, политика ИБ, руководство по безопасной эксплуатации |
|
|
|
+| **По восстановлению** | Инструкция по резервному копированию и восстановлению |
|
|
|
+| **По учёту** | Журналы учёта носителей, журналы доступа, акты |
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+*Рис. 1. Комплект документов на автоматизированную систему (ЭД входит во все три ветки — ЕСКД, ЕСПД, КСАС)*
|
|
|
+
|
|
|
+> 💡 Для защищённых АС обязательно добавляются документы по **разграничению доступа, аудиту и реагированию на инциденты**.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+## 4. Этапы разработки эксплуатационной документации
|
|
|
+
|
|
|
+### 📝 Этап 1. Анализ требований
|
|
|
+
|
|
|
+Определяются:
|
|
|
+- назначение системы и её функции;
|
|
|
+- категории пользователей (рядовой, администратор, аудитор);
|
|
|
+- требования регуляторов к составу документов;
|
|
|
+- режим обработки информации (конфиденциальная, ПДн, гостайна).
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### 📐 Этап 2. Проектирование структуры комплекта
|
|
|
+
|
|
|
+Формируется **перечень документов** и их взаимосвязь. Определяется:
|
|
|
+- какие документы обязательны по ГОСТ и приказам ФСТЭК;
|
|
|
+- какие нужны для конкретной системы;
|
|
|
+- в каком виде они будут вестись (бумажный, электронный).
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### ✍️ Этап 3. Разработка содержания
|
|
|
+
|
|
|
+Для каждого документа:
|
|
|
+- пишется текст (структура, разделы, инструкции);
|
|
|
+- добавляются схемы, таблицы, скриншоты;
|
|
|
+- проверяется соответствие ГОСТ и требованиям регуляторов;
|
|
|
+- согласовывается с заказчиком и службой ИБ.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### ✅ Этап 4. Согласование и утверждение
|
|
|
+
|
|
|
+Документы:
|
|
|
+- проходят внутреннюю экспертизу;
|
|
|
+- согласовываются со службой безопасности;
|
|
|
+- утверждаются руководителем организации;
|
|
|
+- при необходимости — согласуются с регулятором.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### 🚀 Этап 5. Ввод в действие
|
|
|
+
|
|
|
+Утверждённые документы:
|
|
|
+- доводятся до пользователей;
|
|
|
+- размещаются в защищённом хранилище;
|
|
|
+- регистрируются в журнале учёта;
|
|
|
+- используются при обучении персонала.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+## 5. Ведение эксплуатационной документации
|
|
|
+
|
|
|
+Ведение ЭД — это **постоянная работа** в течение всего жизненного цикла системы.
|
|
|
+
|
|
|
+Основные задачи:
|
|
|
+
|
|
|
+- **актуализация** — внесение изменений при обновлении системы;
|
|
|
+- **версионирование** — хранение всех редакций документов;
|
|
|
+- **контроль доступа** — ограничение доступа к документации;
|
|
|
+- **учёт** — регистрация выдачи и движения документов;
|
|
|
+- **архивирование** — сохранение устаревших редакций.
|
|
|
+
|
|
|
+> 🔄 Документация должна обновляться **синхронно с изменениями системы**. Устаревшая инструкция опаснее её отсутствия.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+## 6. Особенности документации для защищённых АС
|
|
|
+
|
|
|
+Защищённые АС предъявляют **дополнительные требования** к ЭД:
|
|
|
+
|
|
|
+- **грифование** — указание уровня конфиденциальности;
|
|
|
+- **учёт носителей** — каждый экземпляр регистрируется;
|
|
|
+- **маркировка** — пометки «ДСП», «Конфиденциально» и т.п.;
|
|
|
+- **хранение** — в сейфах или защищённых хранилищах;
|
|
|
+- **уничтожение** — по акту с подтверждением;
|
|
|
+- **разграничение доступа** — разные документы для разных ролей.
|
|
|
+
|
|
|
+> 🔐 Документация защищённой АС сама является объектом защиты.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+## 7. Автоматизация ведения документации
|
|
|
+
|
|
|
+Для упрощения работы используются:
|
|
|
+
|
|
|
+- **системы электронного документооборота (СЭД)** — 1С:Документооборот, DIRECTUM;
|
|
|
+- **системы управления требованиями** — Jira, Confluence;
|
|
|
+- **системы версионирования** — Git, SVN;
|
|
|
+- **wiki-платформы** — для внутренней документации.
|
|
|
+
|
|
|
+Автоматизация позволяет:
|
|
|
+- ускорить согласование;
|
|
|
+- исключить потерю версий;
|
|
|
+- обеспечить контроль доступа;
|
|
|
+- вести журнал изменений.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+## 8. Типичные ошибки
|
|
|
+
|
|
|
+- ❌ документация пишется «для галочки», без привязки к реальной системе;
|
|
|
+- ❌ устаревшие инструкции не обновляются;
|
|
|
+- ❌ отсутствует учёт экземпляров и грифование;
|
|
|
+- ❌ документы хранятся в открытом доступе;
|
|
|
+- ❌ нет разграничения по ролям пользователей;
|
|
|
+- ❌ при смене персонала знания не передаются.
|
|
|
+
|
|
|
+> ⚠️ Ошибки в ЭД защищённой АС могут привести не только к сбоям, но и к **нарушениям требований регуляторов** и штрафам.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+## Заключение
|
|
|
+
|
|
|
+Эксплуатационная документация защищённых АС — это **не формальность, а обязательный элемент системы защиты**. Она обеспечивает корректную работу пользователей, сопровождение системы и доказательство соответствия требованиям регуляторов.
|
|
|
+
|
|
|
+**Ключевые выводы:**
|
|
|
+
|
|
|
+1. 📘 ЭД — обязательный элемент защищённой АС, без неё невозможна корректная эксплуатация.
|
|
|
+2. ⚖️ Состав ЭД определяется ГОСТ и требованиями ФСТЭК, ФСБ, ФЗ-152.
|
|
|
+3. 🗂️ Комплект включает документы для пользователей, администраторов и службы ИБ.
|
|
|
+4. 🔄 Ведение ЭД — постоянный процесс: актуализация, версионирование, учёт.
|
|
|
+5. 🔐 Документация защищённой АС сама является объектом защиты и требует учёта и грифования.
|
|
|
+
|
|
|
+Только системный подход к разработке и ведению ЭД обеспечивает **безопасную и эффективную эксплуатацию** защищённых автоматизированных систем.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+## 📚 Источники
|
|
|
+
|
|
|
+1. ГОСТ 19.101-77. ЕСПД. Виды программ и программных документов.
|
|
|
+2. ГОСТ 34.601-90. Автоматизированные системы. Стадии создания.
|
|
|
+3. Приказ ФСТЭК России № 17 от 11.02.2013.
|
|
|
+4. Приказ ФСТЭК России № 21 от 18.02.2013.
|
|
|
+5. ФЗ-152 «О персональных данных».
|
|
|
+6. ФЗ-149 «Об информации, информационных технологиях и о защите информации».
|
