Программа и методики проведения аттестационных испытаний выделенного помещения

AC - автоматизированные системы

ВТСС - вспомогательные технические средства и системы

МЭ - межсетевой экран

НСД - несанкционированный доступ

ОТСС - основные технические средства и системы

ПЭМИН - побочные электромагнитные излучения и наводки

РД - руководящий документ

СВТ - средства вычислительной техники

СЗИ - система защиты информации

СЗИ НСД - система защиты информации от несанкционированного доступа

«Программа и методики …» определяет порядок, методы, условия и объем проведения аттестационных испытаний объектов информатизации на соответствие требованиям по безопасности информации.

Аттестационные испытания проводятся на соответствие требованиям организационно-распорядительных и нормативных документов по защите информации, в реальных условиях эксплуатации объектов информатизации в соответствии с «Положением по аттестации объектов информатики по требованиям безопасности информации», утвержденном Председателем Гостехкомиссии России от 25. 11.94г.

Аттестационные испытания проводятся в соответствии с порядком, определяемым следующим основным перечнем работ для каждого объекта информатизации:

• анализ и оценка исходных данных и документации по защите информации на объекте информатизации;
• проверка соответствия представленных заявителем исходных данных реальным условиям размещения, монтажа и эксплуатации технических средств, изучение технологического процесса обработки, передачи и хранения секретной информации, анализ информационных потоков, определение состава использованных для обработки, передачи и хранения секретной информации технических средств;
• проверка состояния организации работ и выполнения организационно-технических требований по защите информации, оценка правильности категорирования выделенных помещений и технических средств и систем объектов информатизации, классификации автоматизированных систем (АС), оценка полноты и уровня разработки организационно-распорядительной, проектной и эксплуатационной документации, оценка уровня подготовки кадров и распределения ответственности за выполнение требований по защите информации;
• испытания инженерного оборудования объекта информатизации, отдельных технических и программных средств АС, средств и систем защиты информации на соответствие требованиям защиты информации по утвержденным или согласованным с заявителем методикам испытаний;
• комплексные испытания объекта информатизации на соответствие требованиям по защите информации;
• подготовка отчетной документации - протоколов испытаний и заключения по результатам аттестационных испытаний с выводами комиссии о соответствии (или несоответствии) объекта информатизации установленным требованиям, которые представляются в орган по аттестации для принятия решения о выдаче «Аттестата соответствия».

При проведении аттестационных испытаний применяются следующие методы проверок и испытаний:

• экспертно-документальный метод,
• измерение и оценка уровней защищенности для отдельных технических средств и каналов утечки информации;
• проверка функций или комплекса функций защиты информации от несанкционированного доступа (НСД) с помощью тестирующих средств, а также путем пробного запуска средств защиты информации от НСД и наблюдения за их выполнением.

Экспертно-документальный метод предусматривает проверку соответствия объекта информатизации установленным требованиям на основании экспертной оценки полноты и достаточности представленных документов по обеспечению необходимых мер защиты информации, а также соответствия реальных условий эксплуатации требованиям по размещению, монтажу и эксплуатации технических средств.

Измерение и оценка уровней защищенности проводятся в соответствии с действующими нормативными и методическими документами по защите информации от ее утечки по техническим каналам с использованием поверенной контрольно-измерительной аппаратуры

Проверка и испытания функций или комплекса функций защиты информации от НСД с помощью тестирующих средств проводятся для отдельных средств АС (технических и программных) или программно-технической среды в целом по выбору аттестационной комиссии.

В процессе испытаний технических и программных средств используются тестирующие средства, принятые в установленном порядке.

Целью аттестационных испытаний АС является оценка соответствия данных объекта информатизации требованиям руководящих документов по защите информации.

Задачей аттестационных испытаний является оценка соответствия условий эксплуатации объектов информатизации требованиям по защите информации:

• от утечки за счет побочных электромагнитных излучений и наводок (ПЭМИН) - объектов ВТ;
• от утечки за счет электронных устройств перехвата информации - объектов ВТ;
• от несанкционированного доступа (НСД) - объектов ВТ.

Аттестация объектов информатизации проводится аттестационной комиссией …, аккредитованного Гостехкомиссией России в качестве органа по аттестации объектов информатизации (Аттестат аккредитации органа по аттестации № … от … г., лицензия Гостехкомиссии России № … от … г..).

При проведении аттестационных испытаний аттестационная комиссия руководствуется:

• «Положением о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от ее утечки по техническим каналам», утвержденного постановлением Правительства от 15.09.93 № 912-51,
• «Положением по аттестации объектов информатизации по требованиям безопасности информации» (Утверждено Председателем Гостехкомиссии России 25 ноября 1994 г.);
• «Специальными требованиями и рекомендациями по защите информации, составляющей государственную тайну, от утечки по техническим каналам» (СТР), Гостехкомиссия России, 1997 г;
• «Моделью иностранных технических разведок до 2010 года (Модель ИТР-2010)», Гостехкомиссия России;
• Сборником «Нормативно-методические документы и порядок проведения работ по защите информации при обработке ее на средствах ЭВТ» (согласован с Заместителем Председателя Гостехкомиссии России в 1997 году);
• Сборником методических материалов по проведению специальных исследований технических средств АСУ и ЭВМ, предназначенных для работы с секретной информацией, Гостехкомиссия, 1978 г.;
• Сборником норм по защите информации от утечки за счет побочных электромагнитных излучений и наводок, Гостехкомиссия России, 1998 год.
• Сборником руководящих документов по защите информации от несанкционированного доступа, Гостехкомиссия России, 1998 г.

В соответствии с требованиями «Временных методических указаний …» введенных в действие приказом Председателя Гостехкомиссии России 21 июня 2002 года и Специальными требованиями и рекомендациями, после выдачи аттестата не реже 1 раза в год планируется проводить контроль за состоянием и эффективностью защиты информации на объекте …

Для проведения аттестационных испытаний комиссии были представлены следующие документы:

…

Объектами аттестационных испытаний являются …

Аттестационные испытания АС включают:

• анализ организационной структуры объекта информатизации;
• анализ и оценка исходных данных и документации по защите информации на полноту содержания;
• изучение технологического процесса обработки и хранения конфиденциальной информации, анализ информационных потоков, определение состава использованных для обработки защищаемой информации средств ВТ;
• проверка состояния организации работ и выполнения организационно-технических требований по защите информации;
• оценка правильности классификации объектов информатизации;
• оценка правильности категорирования объектов информатизации;
• оценка полноты и уровня разработки организационно-распорядительной и эксплуатационной документации и ее соответствия требованиям нормативной документации по защите информации;
• оценка уровня подготовки кадров и распределения ответственности за выполнение требований по обеспечению безопасности информации;
• испытания отдельных технических и программных средств, средств и систем защиты информации, на соответствие требованиям безопасности информации по утвержденным или согласованным методикам испытаний;
• комплексные испытания объектов информатизации на соответствие требованиям безопасности информации в реальных условиях эксплуатации путем проверки фактического выполнения установленных требований на различных этапах технологического процесса обработки защищаемой информации;
• подготовка отчетной документации - протоколов испытаний и заключения по результатам аттестационных испытаний с выводами комиссии о соответствии объектов информатизации требованиям по безопасности информации.
• …

Настоящая методика определяет условия и порядок проведения аттестационных испытаний объектов информатизации …(организация) на соответствие требованиям по безопасности информации.

Объектом аттестационных испытаний являются …

Целью аттестационных испытаний объектов информатизации … является оценка соответствия данных объектов информатизации требованиям руководящих документов по защите информации.

Аттестационные испытания проводятся в эксплуатационных режимах работы объекта ВТ с использованием тестирующих технических и программных средств.

Для проведения испытаний объектов вычислительной техники заявитель представляет аттестационной комиссии следующие исходные данные и документацию:

• оформленный технический паспорт на объект ВТ (в соответствии с приложением №5 СТР);
• акт категорирования объекта ВТ (в соответствии с приложением №9 СТР);
• акт классификации объекта ВТ по требованиям защиты информации (в соответствии с РД Гостехкомиссии России «Автоматизированные системы Защита от НСД к информации Классификация АС и требования по защите информации»);
• перечень защищаемых на объекте ВТ ресурсов с документальным подтверждением степени секретности каждого ресурса;
• организационно-распорядительную документацию разрешительной системы доступа персонала к защищаемым ресурсам объекта ВТ;
• описание технологического процесса обработки информации на объекте ВТ;
• технологические инструкции пользователям объекта ВТ;
• предписания на эксплуатацию технических средств и систем;
• протоколы специальных исследований технических средств и систем;
• акты или заключения о специальной проверке технических средств;
• данные по уровню подготовки кадров, обеспечивающих защиту информации;
• данные о техническом обеспечении средствами контроля эффективности защиты информации и их метрологической поверке;
• данные о наличии нормативной и методической документации по защите информации и контролю эффективности защиты.

Приведенный общий перечень исходных данных и документации может уточняться заявителем в зависимости от особенностей аттестуемого объекта информатизации по согласованию с аттестационной комиссией.

Аттестационные испытания объекта ВТ проводятся в следующем порядке:

• изучение технологического процесса автоматизированной обработки информации;
• проверка на соответствие организационно-техническим требованиям по защите информации;
• испытания на соответствие требованиям по защите информации от утечки по каналам ПЭМИН;
• проверка выполнения требований по защите информации от утечки за счет специальных электронных устройств перехвата информации;
• испытания на соответствие требованиям по защите информации от несанкционированного доступа;
• подготовка отчетной документации.

При изучении технологического процесса автоматизированной обработки и хранения информации обращается внимание на такие компоненты объекта ВТ как объекты и субъекты доступа, средства обработки и передачи информации:

• к объектам доступа относятся средства обработки и передачи информации, информационные носители на магнитной и бумажной основе, накопители и все виды памяти ЭВМ, в которых может находиться информация, отдельные документы и их архивы, используемые в технологическом процессе автоматизированной обработки информации, файлы, записи и другие единицы информационных ресурсов, доступ к которым необходимо регламентировать;
• к субъектам доступа относятся персонал и все лица, которые имеют возможность доступа к средствам обработки информации, а также программные средства, посредством которых осуществляется доступ к объектам;
• к средствам обработки и передачи информации относятся технические и программные средства ВТ, средства и линии связи, предоставляющие возможности как для перемещения (копирования) информации между различными областями памяти и информационными носителями, различными средствами обработки, определенными для объекта ВТ, так и по выводу информации из установленной для нее сферы обращения.

Используя исходные данные по технологии обработки и передачи информации, разрешительной системы доступа персонала к защищаемым ресурсам, анализируется обобщенная технологическая схема объекта ВТ с существующими и возможными информационными потоками, возможностями доступа к обрабатываемой и передаваемой информации.

Проверяется соответствие описания технологического процесса обработки, хранения и передачи конфиденциальной информации реальной практике на объекте.

Проверяются паспортные (исходные) данные объекта ВТ и устанавливаются опасные факторы и угрозы, критические места объекта ВТ, снижающие уровень защиты, комплектность и характеристики средств защиты.

Проверяются наличие оформленных разрешений на допуск персонала к информации определенного уровня конфиденциальности, метки конфиденциальности (грифа секретности) на информационных носителях, соответствие технологических инструкций пользователей и администратора безопасности информации установленным требованиям.

По результатам изучения уточняется схема технологического процесса с привязкой к конкретным средствам обработки и передачи информации и штатному персоналу.

Проверка объекта ВТ на соответствие организационно-техническим требованиям по защите информации проводится в объеме, указанном в таблице 1.

Таблица 1

9.4.2. Производится проверка достаточности представленных документов и соответствия их содержания требованиям стандартов и иных руководящих документов по безопасности информации Гостехкомиссии России и других органов государственного управления в пределах компетенции.

9.4.3. Состав и структура программно-технических средств, включенных в реальный технологический процесс обработки информации, сверяется с представленной документацией.

9.4.4. Проверка правильности классификации ВТ производится в соответствии с требованиями РД Гостехкомиссии России «Автоматизированные системы. Защита от НСД к информации. Классификация АС и требования по защите информации» и раздела 6 СТР на основании следующих определяющих признаков:

• уровней конфиденциальности (степени секретности) обрабатываемой информации;
• уровней полномочий по доступу к конфиденциальной информации различных пользователей;
• режимов обработки данных на объекте ВТ - многопользовательский или однопользовательский;
• максимального уровня конфиденциальности обрабатываемой информации. Полученный класс объекта ВТ сравнивается с установленным на объекте аттестации.

9.4.5. Проверка правильности категорирования объектов ВТ производится в соответствии с требованиями раздела 3 СТР на основании следующих исходных данных:

• максимального уровня конфиденциальности (степени секретности) обрабатываемой на объекте ВТ информации;
• условий расположения объекта ВТ.

Указанные исходные данные должны быть подтверждены документально заключениями об уровне конфиденциальности информации, актами, планами размещения и другими документами.

Производится категорирование объектов ВТ. Результаты категорирования сравниваются с категориями, указанными в актах категорирования соответствующих объектов ВТ.

9.4.6 Проверка уровня подготовки кадров и распределения ответственности производится на основе следующих показателей:

• экспертной оценки знания инструкций по безопасности информации пользователями и эксплуатационным персоналом;
• наличия разрешительной системы доступа персонала к защищаемым ресурсам, определяющей полномочия по доступу к конфиденциальной информации и процедуры их оформления, системы распределения ответственности персонала за выполнение требований по безопасности информации, оформленной приказами и распоряжениями руководителя предприятия (объекта информатизации);
• экспертной оценки системы технической учебы и повышения квалификации персонала и пользователей объекта ВТ.

Путем опроса персонала проверяется доведение до конкретных исполнителей руководящих документов, технологических инструкций, предписаний, актов, заключений и уровень овладения персоналом технологией безопасной обработки информации, описанной в этих инструкциях.

9.4.7. Производится проверка наличия документов, подтверждающих возможность применения технических и программных средств ВТ, средств защиты для обработки конфиденциальной информации (сертификатов соответствия), экспертиза отчетов и протоколов по специальным исследованиям СВТ, предписаний на эксплуатацию СВТ, а также их соответствия требованиям нормативных документов.

9.4.8. При проверке помещений производится оценка их соответствия требованиям действующей инструкции по обеспечению режима секретности в министерствах, ведомствах, на предприятиях.

Производится проверка выполнения требований руководящих документов по условиям размещения СВТ в рабочих помещениях, которые исключали бы возможность несанкционированного просмотра информации с экранов мониторов, с распечаток принтеров и с других устройств ввода-вывода информации лицами, не имеющими права доступа к обрабатываемой информации.

Если средства ВТ установлены в выделенных помещениях, то проверяются документы, подтверждающие защищенность информации в этих средствах от утечки за счет электроакустических преобразований в соответствии с требованиями раздела 4 СТР.

9.4.9. По результатам проверки комиссия должна сделать выводы о соответствии (или несоответствии) предъявленных документов и исходных данных установленным требованиям по безопасности информации.

9.5.1. Проверка выполнения требований по защите информации от утечки за счет ПЭМИ СВТ.

9.5.1.1. Проверка проводится в объеме, указанном в табл. 2.

Таблица 2

9.5.1.2. Производится выборочная проверка соответствия размеров контролируемой зоны (КЗ) в представленных документах (планы объекта, планы размещения СВТ, акты обследования и др.) фактическим размерам контролируемой зоны. Определяются минимальные значения расстояний от источников информативных сигналов до границы КЗ.

9.5.1.3. Сравниваются требуемые значения расстояний до границы КЗ, указанные в предписаниях на эксплуатацию СВТ (радиусы зоны 2), с фактическими значениями этих расстояний. Значения R2 должны укладываться в расстояния от СВТ до границ КЗ. В противном случае должны применяться дополнительные меры и средства защиты.

9.5.1.4. Проверка средств защиты информации производится по следующим показателям:

• соответствие видов и типов установленных средств защиты тем, что указаны в предписаниях на эксплуатацию СВТ (САЗ, экранирующие конструкции, фильтры);
• наличие сертификатов соответствия на средства защиты;
• выполнение правил монтажа и эксплуатации средств защиты;
• наличие актов ввода в эксплуатацию и протоколов контроля средств защиты;
• работоспособность средств защиты.

9.5.1.5. Производится экспертная оценка результатов контроля эффективности защиты информации в СВТ по следующим признакам:

• использованные методики контроля;
• использованные тестовые средства;
• полнота проведенных измерений по объему и видам измерений (частотный спектр, режимы работы СВТ, измеренные составляющие электромагнитного поля, направления распространения информативных сигналов в пространстве);
• использованная измерительная аппаратура;
• схема измерений;
• достоверность результатов измерений.

9.5.1.6. Аппаратурные испытания защищенности информации от утечки за счет ПЭМИ СВТ производятся выборочно для отдельных СВТ в соответствии с действующими нормами эффективности защиты информации от утечки за счет ПЭМИН, методикой контроля защищенности объектов ВТ, методиками специальных исследований СВТ, утвержденными (согласованными) Гостехкомиссией России.

9.5.2. Проверка выполнения требований по защите информации от утечки за счет наводок на вспомогательные средства и системы.

9.5.2.1. Проверка проводится в объеме, указанном в табл. 3

9.5.2.2. Производится проверка выполнения требований по размещению вспомогательных технических средств и систем (ВТСС), имеющих выход за пределы контролируемой зоны объекта, на расстояниях не менее чем г и г' от основных технических средств и систем (ОТСС), обрабатывающих конфиденциальную информацию, где г и г'- требуемые в соответствии с разделом 5 СТР минимальные расстояния, согласно предписаниям на эксплуатацию СВТ.

Таблица 3

9.5.2.3. Производятся выборочные аппаратурные испытания защищенности информации от утечки за счет наводок на ВТСС в соответствии с методиками, утвержденными (согласованными) Гостехкомиссией России.

9.5.3. Проверка выполнения требований по защите информации от утечки по цепям заземления и электропитания.

9.5.3.1. Проверка проводится в объеме, указанном в табл. 4.

Таблица 4

9.5.3.2. Производится проверка выполнения требований разделов 9 и 10 СТР по выполнению схемы энергопитания средств ВТ:

• по размещению трансформаторной подстанции;
• по монтажу фидерных линий, их экранированию и фильтрации;
• по монтажу САЗ и сетевых фильтров.

9.5.3.3. Производится проверка выполнения следующих требований:

• по размещению очага заземления и величине его сопротивления;
• наличию протоколов измерения величины сопротивления току растекания очага заземления;
• отсутствию соединений системы заземления с металлоконструкциями, выходящими за пределы контролируемой зоны.

9.5.3.4. Производятся выборочные аппаратурные испытания защищенности информации от утечки по цепям заземления и электропитания СВТ в соответствии с методиками, утвержденными (согласованными) Гостехкомиссией России.

9.5.4.Проверка выполнения требований по защите информации от утечки по кабельным линиям передачи данных СВТ и сетей связи.

…

9.5.5. Комплексные испытания объекта ВТ на соответствие требованиям по защите информации от утечки за счет ПЭМИН.

Комплексные испытания объекта ВТ проводятся в рабочих эксплутационных режимах технических средств и средств защиты информации. При этом оценивается работоспособность средств защиты информации, а также средств контроля и сигнализации и их электромагнитная совместимость со средствами обработки информации.

В процессе испытаний по выбору комиссии могут моделироваться нештатные ситуации, связанные с выходом из строя средств защиты и т.п.

9.5.6. Рекомендации по результатам испытаний

По результатам испытаний должны быть сделаны выводы о соответствии (или несоответствии) объекта ВТ требуемому уровню защиты информации от утечки за счет ПЭМИН СВТ.

Комиссия может рекомендовать следующие меры по устранению недостатков:

• применение дополнительных организационных и технических мер по защите информации;
• применение дополнительных сертифицированных средств защиты информации;
• исключение отдельных технических средств, обрабатывающих конфиденциальную информацию, из состава объекта.

Проверяется наличие актов или заключений о специальной проверке импортных СВТ, применяемых для обработки секретной информации.

Испытания проводятся в объеме, указанном в табл. 5.

Объем испытаний на соответствие требованиям по ЗИ от НСД может уточняться в зависимости от установленного класса АС.

Таблица 5

9.7.2. Анализ и оценка технологического процесса обработки информации в части НСД.

9.7.2.1. Комиссии представляется описание технологического процесса обработки информации в аттестуемом объекте ВТ, включающее в себя следующую информацию:

• перечень объектов доступа;
• перечень субъектов доступа;
• перечень штатных средств доступа к информации на объекте ВТ;
• перечень средств защиты информации;
• описание реализованных правил разграничения доступа;
• описание информационных потоков.

9.7.2.2. В качестве объектов доступа в зависимости от класса СВТ могут быть приняты:

• система в целом;
• терминалы, ЭВМ, узлы сети ЭВМ, каналы связи, внешние устройства ЭВМ;
• программы;
• тома, каталоги, файлы, записи, поля записей;
• все виды памяти ЭВМ, в которых может находиться информация.

Информационные носители могут иметь метку конфиденциальности (гриф секретности) и находиться на учете.

9.7.2.3. В качестве субъектов доступа могут рассматриваться лица и процессы (программы пользователей), имеющие возможность доступа к объектам штатными средствами объекта ВТ.

Субъекты доступа могут иметь официальное разрешение (допуск) к информации определенного уровня конфиденциальности.

9.7.2.4. Под штатными средствами доступа к информации на объекте ВТ понимаются общесистемные и прикладные системы, средства и программы, предоставляющие субъектам документированные возможности доступа к объектам доступа.

9.7.2.5. Комиссия проверяет соответствие описания технологического процесса обработки и хранения конфиденциальной информации реальному процессу.

Особое внимание уделяется выявлению возможностей переноса информации большего уровня конфиденциальности на информационный носитель меньшего уровня.

9.7.2.6. Проводится анализ разрешенных и запрещенных связей между субъектами и объектами доступа с привязкой к конкретным СВТ и штатному персоналу, оценка их соответствия разрешительной системе доступа персонала к защищаемым ресурсам на всех этапах обработки.

9.7.3. Выбор методики испытаний и инструментальных средств.

9.7.3.1. Методика испытаний АС на соответствие требованиям защиты информации от НСД уточняется на основании результатов анализа технологического процесса обработки информации в АС

Методика испытаний должна включать в себя перечень инструментальных средств, используемых при испытаниях и проверках данной АС.

Методика испытаний может дополняться, уточняться и корректироваться в процессе испытаний руководителем аттестационной комиссии по согласованию с заявителем.

9.7.3.2. В качестве тестирующих средств для проведения испытаний могут быть выбраны технические и программные средства, принятые в установленном порядке для такого рода деятельности.

Перечень принятых тестирующих средств с описанием их возможностей и местонахождения хранится в органе по аттестации объектов информатики и предоставляется для ознакомления заинтересованным сторонам.

9.7.3.3. При отсутствии необходимых тестирующих средств они могут быть специально разработаны в период проведения аттестационных испытаний. Возможность их применения при испытаниях подтверждается председателем аттестационной комиссии и согласовывается с заявителем. После окончания испытаний документация на эти тестирующие средства прилагается к протоколам испытаний и отсылается в орган по аттестации.

9.7.4. Испытания подсистемы управления доступом.

9.7.4.1. Проверка правильности идентификации объектов доступа в АС проверяется путем обращения к ним субъектов доступа по идентификаторам объектов. Обращение должно осуществляться однозначно только к данному объекту.

Объекты доступа определяются в соответствии с РД Гостехкомиссии России «Автоматизированные системы Защита от НСД к информации. Классификация АС и требования по защите информации» и актом классификации АС.

9.7.4.2. Проверка правильности идентификации субъектов доступа проверяется путем обращения субъектов доступа АС к объектам доступа при помощи штатных средств.

При обращении должна проводиться проверка принадлежности предъявленного субъектом идентификатора множеству всех зарегистрированных в АС идентификаторов субъектов.

Если субъект доступа предъявляет идентификатор, не известный системе, то средства управления должны прекращать процесс предоставления доступа.

9.7.4.3. При подтверждении подлинности (аутентификации) проверяется действительная принадлежность субъекту доступа предъявленного им идентификатора.

В качестве идентификатора могут быть использованы, например, биометрические признаки субъекта, специальные устройства (магнитная карточка, жетон и т.д.), пароль временного действия.

9.7.4.4. При проверке надежности аутентификации должна оцениваться вероятность подбора или несанкционированного получения (хищения) секретного (личного) признака или устройства посторонним субъектом доступа за период действия этого признака (устройства).

9.7.4.5. Правильность определения системой полномочий и предоставления доступа субъектам по отношению к объектам проверяется следующим образом.

По описанию применения СЗИ выявляются виды полномочий (читать, изменять, выполнять, передавать и т.д.), по которым различаются права субъектов на доступ к объектам. Проверяется правильность предоставления доступа в соответствии с установленными правами субъектов по отношению к конкретным объектам.

9.7.4.6. Управление потоками информации осуществляется на основании сопоставления меток конфиденциальности объектов доступа. Необходимо проверить наличие меток конфиденциальности на всех информационных объектах доступа. Метки конфиденциальности (грифы) должны быть ранжированы по важности помечаемой информации.

9.7.4.7. Наличие и надежность средств управления потоками информации в АС проверяется путем моделирования информационных потоков в реальном технологическом процессе по всем выявленным средствам перемещения информации. В АС должен блокироваться перенос информации с более высоким уровнем конфиденциальности на объекты с меньшим уровнем.

9.7.5. Испытания подсистемы регистрации и учета.

9.7.5.1. Регистрация и учет событий, определенных требованиями по безопасности информации к установленному классу АС, должны производиться на всех этапах технологического процесса хранения и обработки конфиденциальной информации. Регистрация должна охватывать все события, определенные указанным РД Гостехкомиссии России для АС установленного класса.

9.7.5.2. Для проверки необходимо при помощи стандартных средств АС просмотреть результаты регистрации всех действий, которые были произведены с защищаемыми ресурсами при проверках по п. 7.4 данных рекомендаций. Должны быть зарегистрированы все требуемые события с требуемыми параметрами регистрации.

9.7.5.3. Для проверки регистрации изменения полномочий субъектов доступа необходимо произвести эти изменения при помощи средств СЗИ и просмотреть результаты регистрации.

9.7.5.4. Для проверки процедуры автоматического учета создаваемых, инициируемых защищаемых информационных ресурсов необходимо смоделировать создание (инициацию) защищаемого носителя информации на тех этапах технологического процесса, где используются СВТ.

При помощи средств СЗИ просматриваются результаты учета. Должны быть автоматически учтены все созданные (инициированные) защищаемые информационные ресурсы с требуемыми параметрами учета.

9.7.5.5. Проверяется ведение учета всех защищаемых носителей информации, осуществляемого вручную персоналом, путем проверки технологических инструкций, степени ознакомления с ними конкретных исполнителей, проверки правильности ведения карточек и журналов учета.

9.7.5.6. Проверка средств очистки (обнуления, обезличивания) освобождаемых областей оперативной и внешней памяти ЭВМ осуществляется путем записи в область памяти пользователем некоторой определенной информации, фиксирования конкретного физического адреса области, освобождения области данным пользователем, попытки считывания информации из данной области по зафиксированному адресу и сравнения считанного с первоначально записанной в эту область информацией. При нормальной работе средств очистки освобождаемых областей памяти ранее записанная информация должна отличаться от считанной.

9.7.5.7.Проверка средств сигнализации попыток нарушения защиты осуществляется путем моделирования несанкционированных обращений к защищаемым объектам доступа и отслеживания появления определенных сигналов в местах интерфейса с администратором системы защиты и нарушителем.

9.7.6. Испытания подсистемы обеспечения целостности.

9.7.6.1. Проверка подсистемы обеспечения целостности СЗИ от НСД проводится по перечню функций, определенных указанным РД Гостехкомиссии России для данного класса АС.

9.7.6.2. Надежность функций контроля целостности программных средств может быть проверена при помощи внесения изменений в отдельные программы или их подмены. При этом отслеживается реакция системы защиты на произведенные нарушения.

9.7.6.3. При проверке обеспечения неизменности программной среды определяется наличие и работоспособность технологии внесения новых программных средств в операционную среду, предусматривающую процедуры экспертной оценки или верификации новых программных средств для выявления потенциально опасных для СЗИ программных функций, критерии санкционирования ввода программ в операционную среду и допуска определенных категорий пользователей к этим программам.

Проверяется наличие и работоспособность средств и мер предотвращения несанкционированного ввода программ в операционную среду.

9.7.6.4. По результатам анализа технологического процесса обработки и хранения конфиденциальной информации в АС проверяется выполнение требований по физической охране средств АС и носителей информации в АС, пропускному режиму и оборудованию помещений необходимыми защитными средствами.

Проверяется наличие в системе администратора системы защиты информации, оценивается его уровень подготовленности и степень оснащения его рабочего места необходимыми средствами оперативного контроля и сопровождения СЗИ.

9.7.6.5. Проверяется наличие и работоспособность средств периодического тестирования всех функций СЗИ НСД, наличие графика проведения тестирования. Средства тестирования должны давать однозначную информацию о всех функциях СЗИ НСД, предусмотренных требованиями к данному классу АС.

9.7.6.6. Приводится выборочная проверка используемых в системе программных средств на наличие компьютерных вирусов.

9.7.6.7. Проверяется наличие и работоспособность технологии восстановления программных средств защиты информации в АС, ведения архива программных средств защиты, условия и периодичность их обновления и тестирования.

Автоматическое оперативное восстановление функций СЗИ НСД при сбоях проверяется путем моделирования сбойных ситуаций и последующей проверки (тестирования) функций СЗИ НСД.

9.7.6.8. Если для данного класса АС требуется наличие сертифицированных средств защиты, проверяется наличие таких сертификатов соответствия, а также установленные в них классы защищенности.

9.7.7 Рекомендации по результатам испытаний.

Комиссия может рекомендовать следующие меры по устранению недостатков:

• применение дополнительных организационно-технических мероприятий по защите информации;
• доработка организационно-распорядительной документации;
• применение дополнительных сертифицированных средств защиты информации;
• исключение отдельных программных средств из состава АС.

10.8.1. Результаты аттестационных испытаний объекта ВТ по всем рассмотренным выше направлениям обеспечения безопасности информации оформляются протоколом испытаний.

На основании подученных результатов испытаний принимается заключение, которое должно включать:

• оценку соответствия объекта ВТ требованиям по безопасности информации;
• вывод о возможности выдачи «Аттестата соответствия»;
• перечень выявленных недостатков и нарушений;
• рекомендации по устранению выявленных недостатков и нарушений.

Настоящая методика определяет условия и порядок проведения аттестационных испытаний выделенных помещений … на соответствие требованиям по безопасности информации.

Объектом аттестационных испытаний являются выделенные помещения второй и третьей категории расположенные в кабинетах административного здания …

Целью аттестационных испытаний ВП … является оценка соответствия данных объектов информатизации требованиям руководящих документов по защите информации.

Испытания проводятся в эксплуатационных режимах работы объекта информатизации с использованием тестирующих технических средств.

Для проведения испытаний выделенных помещений заявитель представляет аттестационной комиссии следующие исходные данные и документацию:

• оформленный технический паспорт на объект информатизации (в соответствии с приложением №1 СТР);
• акт категорирования выделенных помещений;
• план контролируемой зоны предприятия (учреждения);
• перечень защищаемых ресурсов с документальным подтверждением максимальной степени секретности обсуждаемых в выделенном помещении вопросов;
• инструкции по эксплуатации средств защиты информации;
• предписания на эксплуатацию технических средств и систем;
• протоколы специальных исследований технических средств и систем;
• акты или заключения о специальной проверке технических средств;
• сертификаты соответствия требованиям безопасности информации на средства и системы обработки и передачи информации, используемые средства защиты информации;
• данные по уровню подготовки кадров, обеспечивающих защиту информации;
• данные о техническом обеспечении средствами контроля эффективности защиты информации и их метрологической поверке;
• данные о наличии нормативной и методической документации по защите информации и контролю эффективности защиты.

Аттестационные испытания проводятся в следующем порядке:

• проверка на соответствие организационно-техническим требованиям по защите информации;
• испытания на соответствие требованиям по защите информации от утечки по каналам ПЭМИН;
• испытания на соответствие требованиям по защите информации от утечки по акустическому и виброакустическому каналам;
• проверка выполнения требований по защите информации от утечки за счет специальных электронных устройств перехвата информации;
• подготовка отчетной документации.

11.3.1. Проверка ВП на соответствие организационно-техническим требованиям по защите информации проводится в объеме, указанном в таблице 6.

Таблица 6

11.3.2. Производится проверка достаточности представленных документов и соответствия их содержания требованиям стандартов и иных руководящих документов по безопасности информации Гостехкомиссии России и других органов государственного управления в пределах компетенции.

11.3.3. Состав и структура технических средств, включенных в реальный технологический процесс обработки информации, сверяется с представленной документацией.

11.3.4. Проверка правильности категорирования ВП производится в соответствии с требованиями раздела 3 СТР на основании следующих исходных данных:

• максимального уровня конфиденциальности (степени секретности) обрабатываемой в ВП;
• условий расположения ВП.

Указанные исходные данные должны быть подтверждены документально заключениями об уровне конфиденциальности информации, актами, планами размещения и другими документами.

Производится категорирование ВП. Результаты категорирования сравниваются с категориями, указанными в актах категорирования.

11.3.5. Проверка уровня подготовки кадров и распределения ответственности производится на основе следующих показателей:

• экспертной оценки знания инструкций по безопасности информации пользователями;
• экспертной оценки системы технической учебы и повышения квалификации персонала.

Путем опроса персонала проверяется доведение до конкретных исполнителей руководящих документов, технологических инструкций, предписаний, актов, заключений и уровень овладения персоналом технологией безопасной обработки информации, описанной в этих инструкциях.

11.3.6. Производится проверка наличия документов, подтверждающих возможность применения технических средств обработки информации, средств защиты для обработки конфиденциальной информации (сертификатов соответствия), экспертиза отчетов и протоколов по специальным исследованиям, предписаний на эксплуатацию, а также их соответствия требованиям нормативных документов.

11.3.7. При проверке помещений производится оценка их соответствия требованиям раздела 4.1.2. СТР, а также требований действующей инструкции по обеспечению режима секретности в министерствах, ведомствах, на предприятиях.

11.3.8.По результатам проверки комиссия должна сделать выводы о соответствии (или несоответствии) предъявленных документов и исходных данных установленным требованиям по безопасности информации.

11.4.1. Проверка выполнения требований по защите информации от утечки за счет ПЭМИ ОТСС.

11.4.1.1. Проверка проводится в объеме, указанном в табл. 7.

Таблица 7

11.4.1.2. Производится выборочная проверка соответствия размеров контролируемой зоны (КЗ) в представленных документах (планы объекта, планы размещения ОТСС и ВТСС, акты обследования и др.) фактическим размерам контролируемой зоны. Определяются минимальные значения расстояний от источников информативных сигналов до границы КЗ.

11.4.1.3. Сравниваются требуемые значения расстояний до границы КЗ, указанные в предписаниях на эксплуатацию ОТСС (радиусы зоны 2), с фактическими значениями этих расстояний. Значения R2 должны укладываться в расстояния от ОТСС до границ КЗ. В противном случае должны применяться дополнительные меры и средства защиты.

11.4.1.4. Проверка средств защиты информации производится по следующим показателям:

• соответствие видов и типов установленных средств защиты тем, что указаны в предписаниях на эксплуатацию ОТСС (САЗ, экранирующие конструкции, фильтры);
• наличие сертификатов соответствия на средства защиты;
• выполнение правил монтажа и эксплуатации средств защиты;
• наличие актов ввода в эксплуатацию и протоколов контроля средств защиты;
• работоспособность средств защиты.

11.4.1.5. Производится экспертная оценка результатов контроля эффективности защиты информации в ОТСС по следующим признакам:

• использованные методики контроля;
• использованные тестовые средства;
• полнота проведенных измерений по объему и видам измерений (частотный спектр, режимы работы ОТСС, измеренные составляющие электромагнитного поля, направления распространения информативных сигналов в пространстве);
• использованная измерительная аппаратура;
• схема измерений;
• достоверность результатов измерений.

11.4.1.6. Аппаратурные испытания защищенности информации от утечки за счет ПЭМИ ОТСС производятся выборочно для отдельных средств в соответствии с действующими нормами эффективности защиты информации от утечки за счет ПЭМИН, методиками специальных исследований, утвержденными (согласованными) Гостехкомиссией России.

11.4.2. Проверка выполнения требований по защите информации от утечки за счет наводок на вспомогательные средства и системы.

11.4.2.1. Проверка проводится в объеме, указанном в табл. 8.

11.4.2.2.Производится проверка выполнения требований по размещению вспомогательных технических средств и систем (ВТСС), имеющих выход за пределы контролируемой зоны объекта, на расстояниях не менее чем г и г' от основных технических средств и систем (ОТСС), обрабатывающих конфиденциальную информацию, где г и г'- требуемые в соответствии с разделом 5 СТР минимальные расстояния, согласно предписаниям на эксплуатацию ОТСС.

Таблица 8

11.4.2.3. Производятся выборочные аппаратурные испытания защищенности информации от утечки за счет наводок на ВТСС в соответствии с методиками, утвержденными (согласованными) Гостехкомиссией России.

11.4.3. Проверка выполнения требований по защите информации от утечки по цепям заземления и электропитания.

11.4.3.1. Проверка проводится в объеме, указанном в табл. 9

Таблица 9

11.4.3.2 Производится проверка выполнения требований разделов 9 и 10 СТР по выполнению схемы энергопитания ОТСС:

• по размещению трансформаторной подстанции;
• по монтажу фидерных линий, их экранированию и фильтрации;
• по монтажу САЗ и сетевых фильтров.

11.4.3.3. Производится проверка выполнения следующих требований:

• по размещению очага заземления и величине его сопротивления;
• наличию протоколов измерения величины сопротивления току растекания очага заземления;
• отсутствию соединений системы заземления с металлоконструкциями, выходящими за пределы контролируемой зоны.

11.4.3.4. Производятся выборочные аппаратурные испытания защищенности информации от утечки по цепям заземления и электропитания ОТСС в соответствии с методиками, утвержденными (согласованными) Гостехкомиссией России.

11.4.5. Комплексные испытания ВП на соответствие требованиям по защите информации от утечки за счет ПЭМИН.

Комплексные испытания ВП проводятся в рабочих эксплутационных режимах технических средств и средств защиты информации. При этом оценивается работоспособность средств защиты информации, а также средств контроля и сигнализации и их электромагнитная совместимость со средствами обработки информации.

В процессе испытаний по выбору комиссии могут моделироваться нештатные ситуации, связанные с выходом из строя средств защиты и т.п.

11.4.6. Рекомендации по результатам испытаний.

По результатам испытаний должны быть сделаны выводы о соответствии (или несоответствии) ВП требуемому уровню защиты информации от утечки за счет ПЭМИН.

Комиссия может рекомендовать следующие меры по устранению недостатков:

• применение дополнительных организационных и технических мер по защите информации;
• применение дополнительных сертифицированных средств защиты информации;
• исключение отдельных технических средств, обрабатывающих конфиденциальную информацию, из состава ВП.

11.5.1. Проверка проводится в объеме, указанном в табл. 10.

Таблица 10

11.5.3. Производится проверка соответствия фактического расположения и конструкции ВП требованиям по виброакустической защите. Определяются разведопасные направления.

11.5.4. Проверка средств защиты информации производится по следующим показателям:

• соответствие видов и типов установленных средств защиты тем, что указаны в паспорте на выделенное помещение;
• наличие сертификатов соответствия на средства защиты;
• выполнение правил монтажа и эксплуатации средств защиты;
• наличие актов ввода в эксплуатацию и протоколов контроля средств защиты;
• работоспособность средств защиты.

11.5.5. Аппаратурные испытания защищенности информации от утечки по акустическому каналам производятся в местах возможного перехвата информации, в соответствии с требованиями п. 4.1.4. СТР, по методикам утвержденным (согласованным) Гостехкомиссией России.

11.5.6. Аппаратурные испытания защищенности информации от утечки по виброакустическому каналам производятся в местах возможного перехвата информации, в соответствии с требованиями п. 4.1.5. СТР, по методикам утвержденным (согласованным) Гостехкомиссией России.

Проверяется наличие актов или заключений о специальной проверке импортных ОТСС и ВТСС, установленных в ВП.

Результаты аттестационных испытаний ВП по всем рассмотренным выше направлениям обеспечения безопасности информации оформляются протоколом испытаний.

На основании полученных результатов испытаний составляется заключение, которое должно включать:

• оценку соответствия ВП требованиям по безопасности информации;
• вывод о возможности выдачи «Аттестата соответствия»;

перечень выявленных недостатков и нарушений.

11.8.1. Результаты аттестационных испытаний оформляются протоколом испытаний, в общем случае содержащим:

• состав комиссии, дату испытаний, наименование объекта аттестационных испытаний;
• цель испытаний;
• перечень нормативных документов и методик испытаний;
• результаты испытаний на момент окончания.

11.8.2. На основании полученных результатов испытаний принимается заключение, которое должно включать:

• оценку соответствия объекта информатизации требованиям по безопасности информации;
• перечень выявленных недостатков и нарушений;
• рекомендации по устранению выявленных недостатков и нарушений;
• вывод о возможности выдачи «Аттестата соответствия».

11.8.3. Оценка соответствия объекта информатизации требованиям по безопасности информации производится на основании анализа общих результатов испытаний и выявленных в процессе испытаний конкретных недостатков и нарушений.

11.8.4. В случае несоответствия объекта информатизации установленным требованиям по защите информации комиссия может рассмотреть предложения заявителя по оперативному устранению выявленных недостатков и нарушений. При этом могут рекомендоваться следующие меры:

• доработка организационно-распорядительной документации;
• снижение класса объекта ВТ;
• исключение отдельных средств из состава объекта ВТ;
• применение дополнительных организационно-технических мер защиты;
• применение дополнительных сертифицированных средств защиты информации.

11.8.5. Если в процессе аттестационных испытаний выявлены недостатки, не приводящие к нарушениям установленных требований и норм защищенности информации, то комиссия может рекомендовать следующие меры:

• оперативное устранение выявленных недостатков в процессе аттестационных испытаний;
• устранение установленных недостатков и нарушений в согласованные с комиссией сроки с представлением необходимых документов в Орган по аттестации;
• проведение дополнительных частичных испытаний в согласованные сроки и по дополнительному соглашению.

Руководитель аттестационной комиссии

Члены аттестационной комиссии