Взаимодействие подразделений на этапах проектирования, разработки, испытания и внедрения новых автоматизированных подсистем

При проектировании и разработке

Специалисты подразделения обеспечения безопасности ИТ совместно со специалистами отдела разработки программ и представителями заказывающего подразделения участвуют в разработке постановки задач и Технического задания (спецификаций) в части определения требований по информационной безопасности.

На основе анализа категории пользователей, категорий сведений, используемых и создаваемых при решении задачи, их размещения на носителях, характера осуществляемых преобразований информации и других особенностей проектируемой технологии обработки данных и с учётом требований Концепции безопасности ИТ организации и других документов, специалисты подразделения обеспечения безопасности ИТ проводят анализ рисков и формируют требования к защите ресурсов разрабатываемой подсистемы.

При этом учитываются реальные возможности по реализации требований обеспечения безопасности ИТ организационными мерами и аппаратно-программными средствами защиты системного и прикладного уровней и другие особенности создаваемой подсистемы. При необходимости определяется потребность в приобретении или разработке дополнительных средств защиты.

Согласованные с начальником подразделения обеспечения безопасности ИТ требования должны включаться отдельным разделом в проектную документацию (постановку задачи, техническое задание, техно-рабочий проект и т.п.).

Подразделение обеспечения безопасности ИТ участвует также в процессе выбора аппаратно-программных средств (системных, инструментальных, базовых и т.п.), планируемых к приобретению и использованию в разрабатываемой подсистеме.

Специалисты подразделения обеспечения безопасности ИТ совместно со специалистами подразделения технического сопровождения и представителями подразделений разработки участвуют в обсуждении предложений по конфигурации (правил коммутации, маршрутизации и т.п.) телекоммуникационной сети организации в части определения требований по обеспечения безопасности ИТ. Требования формируются на основе анализа коммуникационных потребностей прикладных задач подсистемы, категорий сведений, используемых при решении данных задач. При этом учитываются реальные возможности по реализации требований обеспечения безопасности ИТ техническими средствами и организационными мерами. При необходимости определяется потребность в приобретении и использовании дополнительных средств защиты телекоммуникаций.

При проведении испытаний

Специалисты подразделения обеспечения безопасности ИТ совместно со специалистами подразделений разработки и системного сопровождения ПО и представителями заказывающего подразделения участвуют в подготовке программ и методик испытаний задач и программных средств в части проверки реализации требований по обеспечению безопасности ИТ, участвуют в испытаниях, фиксации контрольных сумм сдаваемого в ФАП ПО и подписывают акты по результатам испытаний.

При сдаче в промышленную эксплуатацию

Специалисты подразделения обеспечения безопасности ИТ совместно со специалистами подразделений разработки и системного сопровождения ПО участвуют в разработке формуляра для задачи (разработанного или приобретённого программного средства), передаваемой в ФАП.

Формуляр (карта разграничения доступа) задачи (программного средства) должен содержать перечень и размещение всех программных, информационных и других ресурсов, используемых при решении задачи (применен™ программного средства), список всех категорий пользователей данной задачи (программного средства) и указание их прав по доступу к перечисленным ресурсам. Данный формуляр необходим при настройке средств разграничения доступа на этапе внедрения задачи (при восстановлении системы после сбоев). Кроме того, формуляры могут использоваться при контрольных проверках правильности настройки и работы средств защиты.

В процессе установки (развёртывания) подсистем (задач) специалисты подразделения автоматизации осуществляют настройку штатных средств защиты, а специалисты подразделения обеспечения безопасности ИТ -  контролируют правильность их настройки и настраивают дополнительные средства защиты в соответствии с формулярами задач (программных средств).

Специалисты подразделения обеспечения безопасности ИТ совместно со специалистами подразделений разработки и системного сопровождения, а также заказывающего подразделения участвуют в разработке специальных требований по обеспечению безопасности ИТ в должностных инструкциях пользователям АС.

В процессе эксплуатации (сопровождения)

Изменения настроек средств защиты в соответствии с утверждёнными заявками на изменение полномочий пользователей осуществляется специалистами, системными администраторами и администраторами безопасности, отвечающими за эксплуатацию соответствующих подсистем (комплексов задач).

Внесение изменений в конфигурацию аппаратно-программных средств подсистемы (в том числе при снятии задач с эксплуатации и при передаче аппаратных средств в ремонт) осуществляется специалистами подразделений эксплуатации и технического сопровождения на основании утверждённых и согласованных с подразделением обеспечения безопасности ИТ заявок (заданий) от руководителей операционных подразделений в строгом соответствии с «Инструкцией по установке, модификации и техническому обслуживанию программного обеспечения и аппаратных средств автоматизированной системы организации».

В экстренных случаях (в кризисных ситуациях) специалисты подразделений эксплуатации и технического сопровождения руководствуются Планом обеспечения непрерывной работы и восстановления (ПОНРВ).

Конечные пользователи (специалисты операционных подразделений) при работе с АС руководствуются своими должностными инструкциями и инструкцией пользователям по вопросам обеспечения безопасности ИТ.

Правильность функционирования и настройки системы защиты периодически контролируется специалистами подразделений эксплуатации (системными администраторами), а также специалистами подразделения обеспечения безопасности ИТ (администраторами информационной безопасности).