Захист інформації на об'єктах інформаційної діяльності. Створення комплексу технічного захисту інформації. Передпроектні роботи.
НД ТЗІ 3.1-001-07 «Захист інформації на об'єктах інформаційної діяльності. Створення комплексу технічного захисту інформації. Передпроектні роботи» визначає основні положення щодо проведення передпроектних робіт при створенні на об'єкті інформаційної діяльності (ОІД) комплексу технічного захисту інформації (ТЗІ), який має забезпечувати захист від витоку інформації з обмеженим доступом (ІзОД) технічними каналами.
Цей документ визначає:
- порядок та зміст проведення передпроектних робіт на ОІД (які вже функціонують або будуються);
- вимоги до оформлення акту обстеження на ОІД;
- вимоги до порядку розроблення та оформлення технічного завдання (ТЗ) на створення комплексу ТЗІ.
Виконання передпроектних робіт на ОІД є першим етапом створення комплексу ТЗІ, на якому передусмотрено проведення наступних робіт:
- проведення обстеження ОІД;
- розроблення моделі загроз для ІзОД (доповнення до діючої моделі загроз);
- розроблення технічних завдань на створення комплексу ТЗІ (технічних вимог з питань ТЗІ).
Порядок проведення обстеження на оід
Метою обстеження ОІД є підготовка вихідних даних для формування вимог щодо створення комплексу ТЗІ.
Для цього керівником установи-замовника затверджується комісія до складу якої залучаються фахівці структурних підрозділів установи, інформаційна діяльність яких пов'язана з ІзОД; підрозділів, які заявляють створення комплексу ТЗІ; підрозділу, якому доручено супроводження робіт з ТЗІ в установі; підрозділів щодо будівництва, енергопостачання тощо.
При необхідності складається програма проведення обстеження на ОІД в якій визначається перелік, обсяги робіт з обстеження, терміни їх виконання, виконавці, співвиконавці обстеження.
Комісією, в ході роботи, визначаються наступні дані.
1. Вивчається характеристика ОІД:
- ситуаційний план на місцевості;
- результати аналізу умов функціонування ОІД. (При цьому потрібно використовувати данні Протоколу про визначення вищого ступеня обмеження доступу до інформації).
2. При обстежені складових ОІД необхідно визначити наступне:
- дані про приміщення, де може здійснюватися інформаційна діяльність, та яка саме (пов'язана з озвученням, обробленням ІзОД тощо). При цьому необхідно визначити призначення, місце розташування, розміри, поверх, площа, висота стелі, суміжні приміщення тощо);
- архітектурно-будівельні особливості приміщень - огороджувальні будівельні конструкції: стеля, підлога, стіни, перегородки (матеріал, товщина); вікна, двері, інші отвори (кількість, матеріал, розміри).
- визначаються складові ОІД, що можуть впливати на показники ефективності захищеності (інженерні комунікації, обладнання, оргтехніка, засоби ТЗІ (за наявності), пожежна, охоронна сигналізації, телебачення, системи зв'язку, радіофікації, часофікації, автоматизації, керування, електроживлення, заземлення, газопосточання, водопостачання, опалення, вентиляції, кондиціонування повітря, водостоку, каналізації, технологічне обладнання, огороджувальні будівельні конструкції, світлопроникні отвори приміщень, будинків, споруд, салонів транспортних засобів тощо);
- визначаються, які складові ОІД виходять за межу КЗ або її перетинають, застосування яких не обґрунтовано виробничою необхідністю і які підлягають демонтуванню, у подальшому застосуванні яких відсутня необхідність (із посиланням на відповідні витяги з планів, схем тощо).
3. Відпрацьовуються схеми розміщення комунікацій, обладнання систем електроживлення, у т.ч. трансформаторної підстанції, систем заземлення тощо.
4. Проводиться аналіз наявності:
- затвердженої схеми КЗ, в межах якої розташований ОІД;
- можливі місця розміщення зовні КЗ засобів технічної розвідки тривалого перехоплення;
- затвердженої моделі загроз для ІзОД;
- даних за результатами проведення випробувань (у т.ч. спеціальних досліджень технічних засобів, які обробляють ІзОД);
- засобів забезпечення ТЗІ, у т.ч. таких, що вже функціонують;
- технічної(проектно-кошторисної, конструкторської, експлуатаційної) документації щодо впроваджених заходів з ТЗІ (архівні, інвентарні, реєстраційні номери, місця знаходження документації);
- даних про виконавців робіт з ТЗІ на інших ОІД установи;
- даних про проектні, будівельно-монтажні установи, які були задіяні для проектування і будівництва інших ОІД установи;
- систем безпеки по установі, до яких може бути інтегрований комплекс ТЗІ.
5. Визначаються пропозиції щодо необхідності:
- отримання додаткових даних про можливі місця розміщення засобів технічної розвідки (загроз для ІзОД, у т.ч. засобів тривалого перехоплення);
- розроблення нової або уточнення затвердженої в установі моделі загроз для ІзОД;
- проведення випробувань (у т.ч. спеціальних досліджень технічних засобів, які оброблятимуть ІзОД);
- розроблення технічних вимог та завдань з питань ТЗІ;
- застосування організаційних, інженерно-технічних заходів захисту (у т.ч. застосування засобів оброблення ІзОД, інших технічних засобів у захищеному виконанні);
- залучення до виконання робіт зі створення комплексу ТЗІ суб'єктів господарської діяльності в галузі ТЗІ, проектних, будівельно-монтажних установ, а також розроблення проектно-кошторисної документації в частині ТЗІ згідно з вимогами державних будівельних норм України, інших нормативних документів.
6. Робляться висновки щодо проведення категоріювання об'єктів.
Результати обстеження на ОІД викладають в акті, що затверджується керівником установи-замовником (форма та зміст акту наведено у додатку 1). Якщо акт містить відомості, що складають державну таємницю, то йому визначається відповідний гриф таємності.
Якщо, після затвердження Акта обстеження на ОІД, необхідно внести зміни, то ці зміни оформлюють доповненням, де пояснюється причина їх внесення та наводяться номери і зміст пунктів акта, які доповнюються, змінюються або замінюються.
Після затвердження доповнення на першому аркуші Акта обстеження на ОІД роблять позначення «Діє з доповненням від ... № ...».
Для уніфікації та прискорення робіт можливе використання типового опитувача для проведення обстеження ОІД.
ТИПОВИЙ ОПИТУВАЧ