1. Общие положения

1.1 Защита конфиденциальной информации в информационных системах и ресурсах (ИСиР) органов исполнительной власти и организаций города Москвы является составной частью мероприятий, проводимых в рамках информатизации органов государственного управления города Москвы, муниципальных образований города, организаций и предприятий города Москвы, и осуществляется в соответствии с законодательством и требованиями нормативно-технических документов в области защиты информации.

1.2 Положение устанавливает порядок работ по защите конфиденциальной информации при ее автоматизированной обработке на этапе эксплуатации ИСиР.

При выполнении работ, определенных настоящим Положением, следует учитывать организационные меры, обусловленные необходимостью проведения технического обслуживания, устранения неисправностей, обновления программного обеспечения и других мероприятий, задаваемых в соответствии с «Положением о порядке эксплуатации систем защиты информации в информационных системах города Москвы».

Организация и выполнение подготовительных работ по автоматизированной обработке конфиденциальной информации должны проводиться с учетом требований «Положения о порядке разработки систем защиты информации в информационных системах города Москвы».

1.3 Информационные системы и информационные ресурсы органов исполнительной власти города Москвы рассматриваются в Положении как автоматизированные системы. Определение понятия АС приводится в документе «Информационная безопасность информационных систем и ресурсов органов исполнительной власти и организаций города Москвы. Термины и определения».

1.4 Требования данного Положения обязательны для выполнения всеми органами исполнительной власти города Москвы, муниципальными образованиями, городскими организациями и предприятиями, являющимися собственностью города Москвы, а также организациями (предприятиями), имеющими доступ к ИСиР.

2. Организация работ по защите обрабатываемой конфиденциальной информации

2.1 В соответствии с требованиями «Положения о защите информации в информационных системах и ресурсах органов исполнительной власти города Москвы» и руководящего документа ФСТЭК России «Специальные требования и рекомендации по технической защите конфиденциальной информации
(СТР-К)» конфиденциальная информация АС является объектом защиты.

Определение объектов защиты проводится на предпроектной стадии, на этапах проектирования и приемо-сдаточных испытаний АС, а также в ходе инвентаризации и доработок, аттестационных испытаний и других контрольных мероприятий, проводимых в процессе эксплуатации АС.

2.2 Категории конфиденциальной информации как объекта защиты устанавливаются до начала ее автоматизированной обработки с использованием документально оформленных перечней сведений, составляющих служебную тайну, иной конфиденциальной информации, подлежащей защите в соответствии с законодательством Российской Федерации. Эти перечни могут носить обобщающий характер в области деятельности организации или иметь отношение к какому-либо отдельному направлению работ, связанному с созданием АС. Все исполнители и, при необходимости, представители сторонних организаций, привлекаемых к проведению работ с использованием таких сведений, должны быть ознакомлены с этими перечнями под роспись в части, их касающейся.

При отсутствии в организации обобщенного перечня конфиденциальной информации допускается разработка специализированного перечня для конкретной ИСиР.

2.3 Для идентификации и кодирования конфиденциальной информации при ее автоматизированной обработке, в том числе в системах управления базами данных (СУБД), должен применяться «Классификатор конфиденциальной информации органов исполнительной власти и организаций города Москвы». Каждый реквизит таблицы базы данных (БД), предназначенной для хранения конфиденциальной информации, должен иметь уникальный идентификатор.

2.4 Государственный заказчик эксплуатации АС (далее – Госзаказчик) на основании настоящего Положения и других руководящих документов по информационной безопасности должен выполнить комплекс мероприятий по защите конфиденциальной информации соответствующей категории, исходя из требуемого уровня информационной безопасности объекта защиты, задаваемого на стадии создания АС.

В процессе автоматизированной обработки по завершении очередного установленного календарного периода (не менее года) эксплуатации Госзаказчик должен организовать определение текущего уровня защиты конфиденциальной информации в ИСиР в целях контроля его соответствия требуемому уровню.

2.5 В организации должны быть разработаны документы (трудовые договоры, соглашения), регулирующие отношения между организацией и ее работниками, сторонними организациями по порядку обращения с конфиденциальной информацией и ее обмена (приема-передачи).

2.6 Для должностных лиц организаций, использующих сведения конфиденциального характера, должны быть созданы необходимые условия для соблюдения установленного порядка обращения с такой информацией при ее автоматизированной обработке.

3. Порядок проведения работ по защите обрабатываемой конфиденциальной информации

3.1 Для защиты в АС информации, составляющей служебную тайну, а также персональных данных от несанкционированного доступа, за исключением АРМ на базе автономных ПЭВМ, должны использоваться сертифицированные по требованиям безопасности информации программные (программно-аппаратные) средства защиты информации.

3.2 Для защиты информации, составляющей служебную тайну, а также для защиты персональных данных от утечки по техническим каналам рекомендуется использовать сертифицированные по требованиям безопасности информации средства вычислительной техники (СВТ) либо СВТ, удовлетворяющие требованиям стандарта по электромагнитной совместимости ГОСТ Р 51318.22-99 (СИСПР 22-97).

3.3 Для передачи информации по линиям связи, выходящим за пределы контролируемой зоны, необходимо использовать защищенные линии связи, в том числе волоконно-оптические линии связи, оборудованные средствами защиты информации, либо предназначенные для этого средства криптографической защиты информации (СКЗИ). Применяемые средства защиты информации должны быть сертифицированы.

Требования к классу криптографической защиты должны быть определены на предпроектной стадии разработки в соответствии с принятой моделью нарушителя и угроз и согласованы с Заказчиком (Пользователем) АС.

3.4 Накопители и носители информации на бумажной, магнитной (магнитно-оптической) и иной основе должны учитываться и храниться в установленном порядке.

3.5 Доступ пользователей к конфиденциальной информации осуществляется в соответствии с разрешительной системой допуска исполнителей к документам и сведениям конфиденциального характера, действующей в организации.

3.6 Для различных видов АС требования по защите конфиденциальной информации при ее автоматизированной обработке имеют свои особенности в зависимости от технической реализации средств обработки данных.

В зависимости от технологии защиты конфиденциальной информации АС, технической реализации средств обработки данных, настоящим Положением определяются следующие виды автоматизированных систем:

—       АС уровня автоматизированного рабочего места (АРМ);

—       АС уровня локальной вычислительной сети (ЛВС);

—       АС уровня распределенной информационно-коммуникационной системы (ИКС).

4. Защита конфиденциальной информации на автоматизированных рабочих местах на базе автономных ПЭВМ

4.1 Автоматизированные рабочие места на базе автономных персональных электронных вычислительных машин (ПЭВМ), включая мобильные (ноутбук), являются автоматизированными системами, обладающими всеми основными признаками АС. Информационным каналом обмена между такими АС являются, в основном, съемные накопители и носители информации на различной основе (магнитные, магнитно-оптические, лазерные диски и кассеты с магнитной лентой, электронные USB-накопители, карты памяти, а также носители на традиционной бумажной основе).

Автономные ПЭВМ могут включать также средства беспроводной связи. Такой канал информационного обмена не должен использоваться на ПЭВМ, на которых обрабатывается информация с ограниченным доступом.

В связи с этим порядок разработки и эксплуатации АРМ на базе автономных ПЭВМ по составу и содержанию проводимых работ по защите информации, организационно-распорядительной, проектной и эксплуатационной документации должны полностью отвечать требованиям настоящего Положения.

4.2 АС на базе автономных ПЭВМ могут быть отнесены:

—       к классу защищенности 3Б, если в ней работает только один пользователь (а при наличии администратора последний не участвует в обработке информации);

—       к классу защищенности 2Б и 1Г(Д), если в ней последовательно работают несколько пользователей с равными или разными правами доступа (полномочиями) соответственно.

4.3 Технология съемных накопителей информации большой емкости для АРМ на базе автономных ПЭВМ предусматривает установку на съемном накопителе информации большой емкости одновременно общесистемного (ОС, СУБД) и прикладного программного обеспечения, а также запись на него данных (обрабатываемой информации) для одного пользователя или для группы пользователей.

Для обмена информацией с другими АРМ и архивирования информации могут использоваться носитель на гибких магнитных дисках (ГМД) и второй накопитель информации большой емкости. При этом все используемые на АРМ накопители информации должны быть учтены как «для служебного пользования».

Все другие несъемные накопители информации должны быть исключены из состава ПЭВМ, а неиспользуемые порты (интерфейсы) должны быть исключены из конфигурации ПЭВМ любым способом, предотвращающим обращение к ним.

Основной особенностью применения данной информационной технологии для АРМ на базе автономных ПЭВМ, с точки зрения защиты информации, является исключение этапа хранения на ПЭВМ в нерабочее время информации, подлежащей защите.

Эта особенность может быть использована для обработки конфиденциальной информации без применения сертифицированных средств защиты информации от несанкционированного доступа (НСД) и без использования технических средств физической защиты помещений, в которых размещены такие АРМ.

4.4 С использованием данной информационной технологии на АРМ на базе автономной ПЭВМ может быть создано несколько АС для обработки конфиденциальной и общедоступной информации в зависимости от используемых съемных накопителей информации большой емкости.

Условия и порядок применения такой процедуры должны быть отражены в технологии обработки информации, использующей съемные накопители информации большой емкости.

5. Защита конфиденциальной информации в локальных вычислительных сетях

5.1 Характерными особенностями локальной вычислительной сети являются распределенное по узлам сети хранение и обработка данных и файлов, а также передача данных, файлов и сообщений (включая электронную почту), что усложняет проведение контроля за работой пользователей и состоянием общей безопасности ЛВС.

5.2 Средства защиты информации от несанкционированного доступа и средства антивирусной защиты должны использоваться во всех узлах ЛВС, независимо от наличия (отсутствия) конфиденциальной информации в данном узле ЛВС, и должен обеспечиваться постоянный квалифицированный контроль настроек администратором.

5.3 АС, построенные на базе ЛВС, должны иметь класс защищенности 1Г при обработке информации, составляющей служебную тайну, и класс защищенности 1Д при обработке персональных данных.

5.4 Для управления ЛВС и распределения системных ресурсов в ЛВС, включая управление средствами защиты информации, в дополнение к администраторам АС должны быть назначены администраторы безопасности, имеющие необходимые права доступа к защищаемой информации ЛВС.

5.5 Состав пользователей ЛВС должен устанавливаться письменным распоряжением руководителя организации (структурного подразделения) и должен контролироваться специалистами службы информационной безопасности. Все изменения состава пользователей, их прав и привилегий должны регистрироваться.

5.6 Каждый администратор и пользователь должен иметь уникальные идентификаторы и пароли, а в случае использования СКЗИ – ключи шифрования для криптографических средств, используемых для защиты информации при передаче ее по каналам связи и хранения, и для систем электронной цифровой подписи.

6. Защита конфиденциальной информации при использовании технологии терминальной системы («тонкого клиента»)

6.1 Особенностью терминальных систем являются централизованные обработка и хранение информации на терминальных серверах, а также наличие регламентированных потоков информации между сервером терминалов и терминалами (терминальными рабочими станциями), задаваемых исполняемой на сервере терминалов прикладной программой.

В сторону терминала передаются данные окна выполняющегося на сервере терминалов приложения. От терминала в сторону сервера терминалов передаются данные от клавиатуры и манипулятора «мышь».

Терминал представляет собой бездисковый компьютер, в состав которого входят дисплей, клавиатура, мышь.

Использование бездисковых рабочих станций в терминальной системе предполагает удаленную загрузку операционных систем (их образа) с соответствующего сервера терминалов или из флэш-памяти самого терминала.

6.2 Класс защищенности АС, построенной на базе терминальной системы, определяется в соответствии с п.5.3 настоящего Положения.

6.3 Используемые системы защиты информации от несанкционированного доступа (СЗИ НСД) терминальных систем должны быть сертифицированы по требованиям безопасности информации.

7. Защита конфиденциальной информации при межсетевом взаимодействии

7.1 Положения данного подраздела относятся к взаимодействию АС, ни одна из которых не имеет выхода в сети общего пользования типа Интернет.

7.2 Контроль взаимодействия АС с другими вычислительными сетями должен быть постоянным и осуществляться с использованием сертифицированных по требованиям безопасности информации средств контроля (средств обнаружения вторжений). Коммуникационное оборудование и все соединения с локальными периферийными устройствами ЛВС должны располагаться в пределах контролируемой зоны.

7.3 При конфигурировании коммуникационного оборудования (маршрутизаторов, концентраторов, мостов и мультиплексоров) и прокладке кабельной системы ЛВС должно учитываться максимально возможное разделение трафика по отдельным сетевым сегментам на производственной основе и с учетом деятельности организации.

7.4 Подключение ЛВС к другой автоматизированной системе (локальной или распределенной вычислительной сети) должно осуществляться с использованием межсетевого экрана (МЭ), требования к которому определяются РД Гостехкомиссии (ФСТЭК) России «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации».

7.5 Для защиты ЛВС при ее взаимодействии с другой АС по каналам связи необходимо использовать:

—       в АС класса 1Г – МЭ не ниже класса 4;

—       в АС класса 1Д и 2Б, 3Б – МЭ класса 5 или выше.

7.6 Если линии связи выходят за пределы контролируемой зоны необходимо руководствоваться п. 3.3 настоящего Положения.

8. Защита конфиденциальной информации в корпоративных информационно-коммуникационных системах

8.1 Комплекс организационно-технических мер и средств контроля защищенности информации в информационно-коммуникационных системах (ИКС) должен предусматривать средства и меры выявления

—       попыток несанкционированного физического доступа в помещения и к техническим средствам ИКС,

—       нарушений работоспособности или режима функционирования СЗИ,

—       попыток получения несанкционированного доступа к защищаемой информации и к средствам управления техническими и программными средствами ИКС,

а также средства и меры по своевременному закрытию возможных каналов утечки информации, подлежащей защите. В связи с большим количеством разнородных систем в ИКС необходимо применение автоматизированных средств контроля и анализа защищённости информации.

8.2 Класс защищенности ИКС должен соответствовать классу защищенности АС не ниже 1Г.

8.3 Средства защиты информации от НСД должны использоваться во всех узлах ИКС, независимо от наличия (отсутствия) конфиденциальной информации в данном узле.

8.4 Технические средства (серверное, коммуникационное и другое оборудование ИКС), с которыми администраторы и обслуживающий персонал постоянно не работают, а только периодически обслуживают (проверка работоспособности, изменение настроек ПО и т.д.), должны располагаться в помещениях, в отношении которых реализован оперативный контроль доступа.

8.5 Защита входящих в состав ИКС локальных подсетей, функционально выделенных в отдельные АС, может осуществляться с использованием механизмов безопасности, реализующих виртуальные локальные сети (VLAN). При этом соответствующие средства разграничения доступа должны быть сертифицированы по требованиям безопасности информации.

8.6 При использовании в ИКС системы электронной почты (e-mail) необходимо применять средства проверки входящей в ИКС и исходящей электронной корреспонденции на предмет наличия в ней вредоносного программного обеспечения. В целях уменьшения нагрузки на оборудование и во избежание отказов в обслуживании целесообразно использовать средства фильтрации нежелательной электронной корреспонденции (спама).

8.7 Для управления, включая управление средствами защиты обрабатываемой (хранимой, передаваемой) в ИКС информации, контроля защищенности и разграничения доступа к информационным ресурсам ИКС, должны использоваться соответствующие средства защиты информации от НСД, сертифицированные по требованиям безопасности информации.

8.8 При взаимодействии ИКС с другими вычислительными сетями должен осуществляться постоянный контроль трафика с целью выявления возможных попыток вторжения с использованием средств автоматизированного контроля (средств мониторинга сети, обнаружения вторжений и т.п.).

Для обнаружения неправомерных действий внутренних пользователей рекомендуется использовать программно-технические средства активного аудита действий пользователей.

Для выявления возможных уязвимостей в используемом программном обеспечении (с учетом текущих настроек механизмов безопасности) необходимо применять программно-технические средства анализа защищенности (сетевые и системные сканеры безопасности).

8.9 При подключении внешних ЛВС к ЛВС центрального узла ИКС через сеть общего пользования необходимо применять сертифицированные криптографические средства защиты конфиденциальной информации, обеспечивающие защищенную передачу данных.

8.10 Сетевые ресурсы (почтовые серверы, веб-серверы и т.д.), к которым разрешен доступ из сетей общего пользования, должны подключаться к отдельному, «открытому», сетевому сегменту, организуемому с использованием сертифицированного межсетевого экрана. Хранение, обработка или передача конфиденциальной информации в данном сетевом сегменте недопустима. Возможность соединения «открытого» сегмента с другими сетевыми сегментами ИКС, в которых возможна обработка конфиденциальной информации, должна быть исключена.

В ИКС должно быть реализовано разграничение доступа пользователей к сервисам и информационным ресурсам. Выбор сервисов и протоколов для использования в ИКС должен осуществляться из соображений обеспечения полноты и эффективности реализации соответствующих функций и минимизации уровня уязвимости информации в системе.

8.11 Для контроля целостности и достоверности циркулирующей в ИКС информации рекомендуется использовать сертифицированные средства электронной цифровой подписи. Для использования в ИКС средств, обеспечивающих юридически значимый электронный документооборот, необходимо наличие удостоверяющего центра. Для обеспечения юридически значимого электронного документооборота целесообразно использовать защищённую электронную почту.

8.12 Администрирование в ИКС должно планироваться и проводиться централизованно, исходя из принципа минимизации полномочий пользователей при обеспечении требуемого уровня функциональности. За всеми программно-аппаратными составляющими ИКС должен быть закреплён системный администратор, отвечающий за их функционирование, а также администратор безопасности, отвечающий за безопасность обрабатываемой информации.

Решение о выполнении функций системного администратора и администратора безопасности одним сотрудником, либо разделение функций между несколькими сотрудниками принимается руководителем организации исходя из существующего штатного расписания.

8.13 На технических средствах ИКС должно быть установлено программное обеспечение только в той конфигурации, которая необходима для выполнения штатных работ. Установка, настройка и эксплуатация программного обеспечения должна проводиться в соответствии с утвержденной документацией. Установка произвольных программных средств не допускается. В программном обеспечении должны быть удалены ненужные для работы и не включенные в обоснование прикладные сервисы (протоколы). Модификация конфигурации программного обеспечения должна быть доступна только администратору, ответственному за его эксплуатацию.

8.14 Во всех сегментах, входящих в состав ИКС, должны быть установлены и исправно функционировать антивирусные средства защиты и обновления к ним.

8.15 Для доступа к ресурсам ИКС пользователей, рабочие места которых размещены в пределах контролируемой территории, должны использоваться сертифицированные средства защиты информации от НСД.

Для доступа к ресурсам ИКС пользователей, размещенных за пределами контролируемой территории, в случае, если доступ осуществляется по незащищенным каналам связи, кроме сертифицированных средств защиты информации от НСД должны использоваться сертифицированные СКЗИ, обеспечивающие возможность обмена конфиденциальной информацией в этих условиях.

9. Комплекс работ по обеспечению защиты конфиденциальной информации при автоматизированной обработке

9.1 Мероприятия по защите конфиденциальной информации при автоматизированной обработке должны выполняться в соответствии с Положением о защите информации в ИСиР органов исполнительной власти города Москвы.

9.2 Автоматизированная обработка конфиденциальной информации должна сопровождаться мониторингом и контролем состояния защиты информации в ИСиР (далее – контроль).

9.3 Контроль осуществляется с целью своевременного выявления и предотвращения утечки, несанкционированного доступа к информации, преднамеренных программно-технических воздействий на объект защиты.

9.4 Контроль состояния защиты информации, оценка требуемого уровня информационной безопасности и эффективности средств защиты являются неотъемлемой составной частью работ по защите информации при эксплуатации ИСиР и проводятся в соответствии с «Положением о порядке проведения контроля защищенности информационных систем и ресурсов города Москвы».

9.5 Требуемый уровень информационной безопасности АС при автоматизированной обработке конфиденциальной информации определяется минимально необходимой совокупностью требований к нормативно-правовому, техническому и организационному обеспечению. Требования к видам обеспечения формируются с учетом «Методических рекомендаций по формированию требований к обеспечению информационной безопасности информационных систем и ресурсов города Москвы».

9.6 Работы по обеспечению защиты конфиденциальной информации должны выполняться специалистами, имеющими профильное образование в области информационной безопасности, либо прошедшими обучение на специализированных курсах.