|
|
@@ -0,0 +1,187 @@
|
|
|
+# Содержание и порядок деятельности персонала по эксплуатации защищенных автоматизированных систем и подсистем безопасности автоматизированных систем.
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+**Введение**
|
|
|
+
|
|
|
+Защищённая автоматизированная система представляет собой автоматизированную систему, в которой реализован комплекс организационных, технических и программных мероприятий, предназначенных для защиты информации. Необходимость защиты определяется характером обрабатываемой информации, требованиями законодательства, условиями эксплуатации системы и существующими угрозами безопасности.
|
|
|
+В соответствии с ГОСТ Р 51583-2014 система защиты информации является составной частью автоматизированной системы в защищённом исполнении. Её задача заключается в обеспечении защиты информации от неправомерного доступа, уничтожения, изменения, блокирования, копирования и других неправомерных действий.
|
|
|
+Особое значение при эксплуатации защищённой автоматизированной системы имеет персонал. Именно сотрудники обеспечивают правильное функционирование оборудования и программных средств, соблюдают установленные правила доступа, контролируют работу средств защиты и реагируют на возникающие нарушения.
|
|
|
+
|
|
|
+**Общие положения эксплуатации защищённых автоматизированных систем**
|
|
|
+
|
|
|
+Эксплуатация защищённой автоматизированной системы начинается после завершения работ по её созданию, внедрению, испытаниям и аттестации. ГОСТ Р 51583-2014 предусматривает в составе работ создание требований к системе защиты информации, её проектирование, внедрение, аттестацию и последующее сопровождение в ходе эксплуатации.
|
|
|
+
|
|
|
+*Основными задачами эксплуатации являются:*
|
|
|
+* обеспечение штатного функционирования автоматизированной системы;
|
|
|
+* сохранение конфиденциальности информации;
|
|
|
+* обеспечение целостности информации;
|
|
|
+* обеспечение доступности информационных ресурсов;
|
|
|
+* предотвращение несанкционированного доступа;
|
|
|
+* контроль работы средств защиты информации;
|
|
|
+* своевременное выявление нарушений и инцидентов;
|
|
|
+* ведение эксплуатационной документации;
|
|
|
+* поддержание установленного уровня защищённости
|
|
|
+
|
|
|
+**Персонал защищённой автоматизированной системы**
|
|
|
+
|
|
|
+В эксплуатации защищённой автоматизированной системы участвуют различные категории работников. Конкретный состав определяется назначением системы и организационной структурой предприятия.
|
|
|
+К основным категориям можно отнести:
|
|
|
+* пользователей автоматизированной системы;
|
|
|
+* администраторов системы;
|
|
|
+* администраторов средств защиты информации;
|
|
|
+* специалистов по информационной безопасности;
|
|
|
+* технический персонал;
|
|
|
+* руководителей, ответственных за организацию эксплуатации и защиты информации.
|
|
|
+
|
|
|
+Каждый сотрудник должен выполнять только те действия, которые разрешены ему должностными обязанностями и установленными правилами доступа.Для работников должны быть определены права, обязанности и ответственность при работе с информационной системой. ГОСТ Р 51583-2014 предусматривает необходимость установления требований к организациям и должностным лицам, участвующим в создании и эксплуатации защищённой автоматизированной системы.
|
|
|
+
|
|
|
+**Основные обязанности персонала**
|
|
|
+
|
|
|
+Персонал, работающий с защищённой автоматизированной системой, обязан соблюдать установленный порядок эксплуатации.
|
|
|
+К основным обязанностям относятся:
|
|
|
+* использование только разрешённых учётных записей;
|
|
|
+* соблюдение правил идентификации и аутентификации;
|
|
|
+* соблюдение установленных прав доступа;
|
|
|
+* защита паролей и других средств аутентификации;
|
|
|
+* использование только разрешённого программного обеспечения;
|
|
|
+* контроль состояния рабочих мест;
|
|
|
+* соблюдение правил работы с носителями информации;
|
|
|
+* своевременное сообщение об обнаруженных нарушениях;
|
|
|
+* выполнение требований эксплуатационной документации;
|
|
|
+* соблюдение правил резервного копирования и восстановления информации, если это предусмотрено системой.
|
|
|
+
|
|
|
+Персонал не должен самостоятельно изменять настройки средств защиты, отключать защитные механизмы или устанавливать неразрешённое программное обеспечение.
|
|
|
+
|
|
|
+**Управление и администрирование системы защиты**
|
|
|
+
|
|
|
+Одной из важных функций персонала является администрирование системы защиты информации.
|
|
|
+Администратор отвечает за поддержание установленных правил доступа, настройку средств защиты, контроль учётных записей и другие предусмотренные регламентом действия.
|
|
|
+В соответствии с требованиями ФСТЭК России 2013 года при эксплуатации информационной системы предусматриваются мероприятия по управлению системой защиты информации. К ним относятся управление учётными записями пользователей, поддержание правил разграничения доступа, управление средствами защиты, управление обновлениями программных и программно-технических средств, мониторинг событий безопасности и ведение эксплуатационной документации.
|
|
|
+Таким образом, администратор не просто обеспечивает работу компьютеров и программ, а постоянно контролирует состояние защитных механизмов.
|
|
|
+
|
|
|
+**Идентификация и аутентификация пользователей**
|
|
|
+
|
|
|
+Важным элементом защищённой автоматизированной системы является подтверждение личности пользователя.
|
|
|
+Идентификация заключается в распознавании пользователя по уникальному идентификатору.
|
|
|
+Аутентификация заключается в проверке того, действительно ли пользователь является владельцем предъявленного идентификатора.
|
|
|
+Для этого могут использоваться:
|
|
|
+* пароль;
|
|
|
+* электронный ключ;
|
|
|
+* смарт-карта;
|
|
|
+* сертификат;
|
|
|
+* биометрический признак;
|
|
|
+* комбинация нескольких способов.
|
|
|
+
|
|
|
+После успешной аутентификации пользователю предоставляются только те права, которые соответствуют его роли.
|
|
|
+При эксплуатации персонал обязан использовать собственные учётные данные и не передавать их другим сотрудникам.
|
|
|
+
|
|
|
+**Контроль доступа**
|
|
|
+
|
|
|
+После идентификации и аутентификации пользователя система должна определить, какие действия ему разрешены.
|
|
|
+Контроль доступа позволяет ограничивать:
|
|
|
+* просмотр информации;
|
|
|
+* изменение данных;
|
|
|
+* удаление данных;
|
|
|
+* запуск программ;
|
|
|
+* работу с отдельными файлами;
|
|
|
+* доступ к базам данных;
|
|
|
+* использование сетевых ресурсов;
|
|
|
+* изменение настроек системы защиты.
|
|
|
+
|
|
|
+Разграничение доступа должно соответствовать должностным обязанностям пользователя.
|
|
|
+Например, обычному пользователю может быть разрешено чтение определённых документов, тогда как администратору предоставляются дополнительные права для настройки системы.
|
|
|
+
|
|
|
+**Контроль событий и регистрация действий**
|
|
|
+
|
|
|
+В защищённой автоматизированной системе необходимо контролировать события, связанные с безопасностью.
|
|
|
+К таким событиям могут относиться:
|
|
|
+* попытки входа в систему;
|
|
|
+* успешные и неуспешные аутентификации;
|
|
|
+* изменение прав доступа;
|
|
|
+* запуск или остановка защитных средств;
|
|
|
+* изменение конфигурации;
|
|
|
+* попытки доступа к запрещённым ресурсам;
|
|
|
+* обнаружение вредоносного программного обеспечения;
|
|
|
+* сбои оборудования и программ;
|
|
|
+* другие события, имеющие значение для безопасности.
|
|
|
+
|
|
|
+Регистрация событий позволяет установить причину нарушения и определить действия, которые выполнялись перед возникновением инцидента.
|
|
|
+Требования ФСТЭК России 2013 года предусматривают мониторинг и анализ зарегистрированных событий, связанных с обеспечением безопасности.
|
|
|
+
|
|
|
+**Действия персонала при возникновении инцидентов**
|
|
|
+
|
|
|
+Инцидентом безопасности может быть событие, которое нарушает или может нарушить установленный уровень защищённости информации.
|
|
|
+К инцидентам относятся:
|
|
|
+* попытка несанкционированного доступа;
|
|
|
+* заражение вредоносной программой;
|
|
|
+* нарушение правил доступа;
|
|
|
+* отказ оборудования;
|
|
|
+* сбой программного обеспечения;
|
|
|
+* подозрительные действия пользователя;
|
|
|
+* утрата носителя информации;
|
|
|
+* нарушение установленного режима эксплуатации.
|
|
|
+
|
|
|
+При обнаружении инцидента пользователь должен незамедлительно сообщить ответственному сотруднику.
|
|
|
+Администратор или специалист по информационной безопасности определяет характер события, устанавливает возможные причины и принимает предусмотренные регламентом меры.
|
|
|
+Требования ФСТЭК России предусматривают обнаружение и идентификацию инцидентов, информирование ответственных лиц, анализ причин и последствий, устранение инцидентов и принятие мер для предотвращения их повторного возникновения
|
|
|
+
|
|
|
+**Обучение и контроль персонала**
|
|
|
+
|
|
|
+Даже технически совершенная система защиты не может обеспечить необходимый уровень безопасности, если сотрудники не соблюдают установленные правила.
|
|
|
+Поэтому персонал должен знать:
|
|
|
+* правила работы с автоматизированной системой;
|
|
|
+* требования информационной безопасности;
|
|
|
+* порядок использования средств защиты;
|
|
|
+* правила обращения с паролями;
|
|
|
+* порядок действий при обнаружении инцидентов;
|
|
|
+* требования по работе с информационными носителями;
|
|
|
+* правила сообщения о нарушениях.
|
|
|
+
|
|
|
+Обучение должно проводиться до начала самостоятельной работы сотрудника и при необходимости повторяться.
|
|
|
+В требованиях ФСТЭК России 2013 года также предусмотрено информирование персонала об актуальных угрозах и правилах безопасной эксплуатации, доведение до него требований по защите информации и обучение правилам эксплуатации отдельных средств защиты.
|
|
|
+
|
|
|
+**Эксплуатационная документация**
|
|
|
+
|
|
|
+Для правильной эксплуатации защищённой автоматизированной системы используется комплект документации, в который входят руководство администратора, инструкции пользователей, инструкции по эксплуатации средств защиты, регламенты резервного копирования, документы по управлению доступом, порядок регистрации и анализа событий, порядок реагирования на инциденты, документы о проведённых проверках и журналы эксплуатации. Документация должна поддерживаться в актуальном состоянии. При изменении конфигурации системы или средств защиты соответствующие документы также должны корректироваться. ГОСТ 34.201-89 устанавливал виды, наименования и комплектность документов, разрабатываемых при создании автоматизированных систем, а ГОСТ 34.602-89 определял состав и содержание технического задания на создание автоматизированной системы.
|
|
|
+
|
|
|
+**Порядок ежедневной работы персонала**
|
|
|
+
|
|
|
+Работу персонала защищённой автоматизированной системы можно представить в следующем виде:
|
|
|
+Начало работы -> идентификация и аутентификация -> проверка состояния системы –> выполнение разрешённых операций -> контроль событий -> завершение работы -> регистрация необходимых действий
|
|
|
+
|
|
|
+Перед началом работы сотрудник должен убедиться, что используется его собственная учётная запись и отсутствуют
|
|
|
+очевидные признаки нарушения безопасности.Во время работы необходимо соблюдать установленный режим доступа и использовать только разрешённые информационные ресурсы.
|
|
|
+
|
|
|
+После окончания работы пользователь должен завершить сеанс, а при необходимости — выполнить другие действия, установленные эксплуатационной инструкцией.
|
|
|
+
|
|
|
+**Контроль эффективности защиты**
|
|
|
+
|
|
|
+Защита информации должна не только быть установлена, но и постоянно контролироваться.
|
|
|
+Контроль позволяет определить:
|
|
|
+* функционируют ли средства защиты;
|
|
|
+* соблюдаются ли установленные правила;
|
|
|
+* отсутствуют ли нарушения;
|
|
|
+* не появились ли новые уязвимости;
|
|
|
+* соответствует ли система установленным требованиям;
|
|
|
+* необходимо ли модернизировать систему защиты.
|
|
|
+
|
|
|
+ГОСТ Р 51583-2014 предусматривает аттестацию автоматизированной системы на соответствие требованиям безопасности информации до её ввода в постоянную эксплуатацию, а также дальнейшее сопровождение системы защиты во время эксплуатации.
|
|
|
+
|
|
|
+**Заключение**
|
|
|
+
|
|
|
+Эксплуатация защищённой автоматизированной системы является непрерывным процессом, в котором важную роль играет персонал. От соблюдения сотрудниками установленных правил зависит сохранность информации и устойчивость работы всей системы.
|
|
|
+Персонал должен правильно выполнять идентификацию и аутентификацию, соблюдать разграничение доступа, контролировать работу средств защиты, регистрировать необходимые события и своевременно сообщать об инцидентах.
|
|
|
+Администраторы и специалисты по информационной безопасности дополнительно выполняют настройку и контроль средств защиты, управление учётными записями, анализ событий, устранение нарушений и поддержание эксплуатационной документации в актуальном состоянии.
|
|
|
+Эффективная защита автоматизированной системы достигается не одним техническим средством, а совместной работой программных, технических и организационных мер. Особое значение имеет подготовленность персонала и соблюдение им установленных требований безопасности.
|
|
|
+
|
|
|
+**Список литературы и сайтов**
|
|
|
+
|
|
|
+ГОСТ Р 51583-2014. Защита информации. Порядок создания автоматизированных систем в защищённом исполнении. Общие положения. Введён в действие 1 сентября 2014 года.
|
|
|
+ГОСТ 34.601-90. Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания. Документ действовал в рассматриваемый период и устанавливал стадии и этапы создания АС.
|
|
|
+ГОСТ 34.602-89. Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы.
|
|
|
+ГОСТ 34.201-89. Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем.
|
|
|
+Приказ ФСТЭК России от 11.02.2013 № 17. Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах.
|
|
|
+Информационное сообщение ФСТЭК России от 15.07.2013 № 240/22/2637.
|
|
|
+Росстандарт — Федеральный информационный фонд стандартов. Карточка ГОСТ Р 51583-2014
|
