3 Термины и определения

2.2. Состав требований

2.2.1. Требования к предпроектному обследованию объектов защиты.

• 
  идентификацию информационных ресурсов;
  
• 
  описание (характеристика) информационных ресурсов;
  
• 
  классификацию ресурсов с учетом их ценности;
  
• 
  идентификацию владельцев информационных ресурсов;
  
• 
  границы ответственности каждого владельца информационного ресурса;
  
• 
  уточнение категории обрабатываемой информации;
  
• 
  уточнение класса информационных систем.
  

• 
  исследование технологии обработки (передачи) информации в ИС;
  
• 
  анализ текущего состояния организационной структуры объектов защиты;
  
• 
  сбор информации о структуре информационных процессов;
  
• 
  сбор информации о структуре взаимодействия объектов защиты;
  
• 
  физические, функциональные и технологические связи как внутри ИС, так и с другими системами различного уровня и назначения;
  
• 
  определение степени участия персонала в обработке информации.
  

• 
  определение расположения объектов защиты относительно границ КЗ;
  
• 
  определение режимов физической защиты объектов защиты;
  
• 
  локализация мест обработки защищаемой информации;
  
• 
  определение перечня сведений, средств и систем, подлежащих защите;
  
• 
  определение конфигурации, топологии ИС и систем связи их компонентов;
  
• 
  определение режимов обработки информации в АИС;
  
• 
  исследование системы доступа к информационным ресурсам ИС;
  
• 
  анализ текущего состояния обеспечения информационной безопасности;
  
• 
  определение требований законодательства РФ к объектам защиты по обеспечению безопасности информации, с учетом актуальности угрозы внедрения в технические средства администрирования системы защиты персональных данных устройств негласного съема информации (закладочных устройств);
  
• 
  определение перечня и характеристик сертифицированных средств защиты информации для создания СЗИ.
  

• 
  угрозы несанкционированного доступа внутри объектов защиты;
  
• 
  угрозы несанкционированного доступа из внешних сетей;
  
• 
  угрозы целостности защищаемых информационных ресурсов.
  
• 
  угрозы общедоступным информационным ресурсам объектов защиты;
  

• 
  идентификацию и описание угроз по каждому информационному активу;
  
• 
  оценку последствий при реализации угроз информационным активам;
  
• 
  идентификацию актуальных угроз безопасности информации объектов защиты;
  
• 
  действия вероятного нарушителя безопасности информации применительно к конкретным условиям функционирования каждого объекта защиты.
  

• 
  разработка комплекса базовых проектных решений систем защиты информации объектов защиты;
  
• 
  разработка перечня поставляемых средств защиты для каждого объекта защиты;
  
• 
  разработка организационных мероприятий по защите информации;
  
• 
  разработка технических мероприятий по защите информации;
  
• 
  согласование с Заказчиком проектных решений и средств защиты, организационных и технических мероприятий по защите информации.
  

• 
  обеспечение бесперебойного функционирования объектов защиты при внедрении комплекса защитных мер.
  

• 
  непрерывность функционирования объектов защиты;
  
• 
  сохранение состава и структуры объектов защиты;
  
• 
  сохранение порядка работы с объектами защиты;
  
• 
  интеграция с существующими информационными системами, средствами и системами защиты информации.
  

• 
  лицензии на сертифицированные программные средства построения VPN и межсетевого экранирования:
  

• 
  передача права на использование ПО __________________², в количестве – 1 (одна) шт.
  
• 
  передача права на использование ПО __________________³, в количестве – 5 (пять) шт.
  

• 
  лицензии на средства защиты информации от несанкционированного доступа:
  

• 
  передача права на использование СЗИ от НСД _________________⁴, в количестве – 5 (пять) шт.
  

• 
  лицензии на сертифицированные программные средства анализа защищенности и обнаружения уязвимостей автоматизированных систем:
  

• 
  передача права на использование ПО Средство анализа защищенности __________________⁵, в количестве – 1 (одна) шт.
  

• 
  лицензия на сертифицированные ФСТЭК России антивирусный продукт:
  

• 
  право на использование Dr.Web Enterprise Security Suite версии 6 на 5 (пять) рабочих мест.
  

• 
  Межсетевой экран, выполняющий, также функцию криптошлюза, построенный на программно-аппаратной платформе программно-аппаратного комплекса ViPNet Coordinator HW1000 в количестве – 1 (одна) шт.
  

• 
  CD в конверте с записанными сертифицированными приложениями;
  
• 
  формуляр — документ, подтверждающий, что данный(е) CD действительно содержат сертифицированные приложения;
  
• 
  заверенные копии сертификатов поставляемых в рамках данного Договора программных средств защиты.
  

• 
  установка и настройка программных средств защиты, поставляемых в рамках настоящего Технического задания.
  
• 
  установка и настройка программно-аппаратных средств защиты, поставляемых в рамках настоящего Технического задания.
  

• 
  предварительные испытания и опытную эксплуатацию в комплексе с другими техническими и программными средствами;
  
• 
  проверка функционирования систем защиты информации объектов защиты в разных режимах;
  
• 
  оформление Акта сдачи-приемки.
  

• 
  техническую документацию на каждое средство систем защиты информации объектов защиты;
  
• 
  эксплуатационную документацию на каждое средство систем защиты информации объектов защиты;
  
• 
  инструкции и руководства для пользователей и администраторов систем защиты информации объектов защиты.
  

• 
  документация должна быть выполнена на русском языке.
  
• 
  окончательный состав ОРД согласовывается с Заказчиком.
  
• 
  проекты ОРД представляются Заказчику по электронной почте в виде электронных документов формата MS Word, MS Excel и PDF.
  

• 
  пакет ОРД должен соответствовать требованиям нормативных документов, ФГБУ «ФЦТ».
  
• 
  документация должна быть выполнена на русском языке.
  
• 
  проекты ОРД представляются Заказчику по электронной почте в виде электронных документов формата MS Word, MS Excel и PDF.
  

• 
  разработка и согласование с Заказчиком программы и методики аттестационных испытаний;
  
• 
  проверка информационных объектов Заказчика на соответствие требованиям по безопасности информации;
  
• 
  разработка Протоколов по результатам аттестационных испытаний объектов Заказчика на соответствие требованиям по безопасности информации;
  
• 
  подготовка Заключения о соответствии объектов Заказчика требованиям по безопасности информации;
  
• 
  выдача, в случае положительных результатов аттестационных испытаний, Аттестатов соответствия требованиям по безопасности информации.
  

• 
  защита информации в соответствии с ее категорией;
  
• 
  защита автоматизированных систем в соответствии с их классом;
  
• 
  средства защиты информации, предполагаемые к использованию, должны пройти процедуру оценки соответствия, включая сертификацию на соответствие требованиям по безопасности информации (№РОСС RU.0001.01БИ00), должны быть проверены на отсутствие не декларированных возможностей;
  
• 
  программное обеспечение только лицензионное или свободно распространяемое;
  
• 
  средства защиты информации совместимы со средствами обработки информации и между собой;
  
• 
  защита от несанкционированного доступа при многопользовательском режиме работы и разных правах доступа;
  
• 
  защита в соответствии с требованиями, предъявляемыми к распределенным АИС, взаимодействующим посредством ТКС Интернет;
  
• 
  обеспечение конфиденциальности, целостности и доступности защищаемых информационных ресурсов;
  
• 
  соответствие создаваемой СЗИ требованиям законодательства Российской Федерации.
  

• 
  средства построения VPN и межсетевого экранирования должны быть выполнены в виде программного комплекса;
  
• 
  средства межсетевого экранирования должны иметь сертификат не ниже 3 класса по требованиям ФСТЭК «Руководящий документ. Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации»;
  
• 
  средства межсетевого экранирования должны иметь сертификат на соответствие требованиям ФСТЭК России «Защита от НСД к информации. Ч. 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия не декларированных возможностей» по уровню не ниже 3-го;
  
• 
  средства межсетевого экранирования должны иметь сертификат на соответствие требованиям ФСТЭК России для защиты информационных систем персональных данных (ИСПДн) класса не ниже К1;
  
• 
  используемые средства межсетевого экранирования должны обеспечивать, без дополнительной поставки аналогичных средств, возможность дальнейшей аттестации системы под класс защиты «1Г»;
  
• 
  используемые средства межсетевого экранирования должны иметь оценочный уровень доверия ОУД 4+ в соответствии с требованиями руководящего документа ФСТЭК «Безопасность информационных технологий. Критерии оценки безопасности информационных технологий»;
  
• 
  средства построения VPN должны иметь действующий сертификат ФСБ России к стойкости средств криптографической защиты информации по уровню не ниже КС 2.
  

• 
  прием и передача IP-пакетов по протоколам семейства TCP/IP;
  
• 
  возможность приоритезации IP-трафика;
  
• 
  возможности межсетевого экранирования;
  
• 
  фильтрация IP-пакетов в соответствии с заданными правилами фильтрации на основе: IP-адресов отправителя и получателя, сетевых интерфейсов, протоколов, номеров портов UDP/TCP, времени, направления IP-пакетов;
  
• 
  раздельная фильтрация шифрованного и открытого трафика;
  
• 
  пропускная способность при межсетевом экранировании должна позволять передавать трафик без внесения задержки (не менее 250 Mb/s).
  
• 
  совместимость и прозрачность при работе с сетевым оборудованием, реализующим NAT/PAT трансляцию сетевых адресов;
  
• 
  защиту информации в VPN сети;
  
• 
  шифрование информации на сетевом уровне;
  
• 
  регистрация событий, связанных с работой средства построения VPN;
  
• 
  возможность удаленного централизованного обновления адресной и ключевой информации комплекса с контролем прохождения обновления;
  
• 
  возможность удаленного централизованного обновления программного обеспечения программно-аппаратного комплекса с контролем прохождения обновления;
  
• 
  возможность работы с пересекающимися адресными пространствами подсетей;
  
• 
  контроль целостности программного обеспечения межсетевого экрана (криптошлюза);
  
• 
  возможность организации «горячего резервирования», в режиме отказоустойчивого активно-пассивного кластера;
  
• 
  возможность централизованного мониторинга основных событий, происходящих на межсетевом экране (криптошлюзе);
  
• 
  должна быть обеспечена отказоустойчивая работа при непрерывном круглосуточном функционировании системы;
  
• 
  число одновременно поддерживаемых защищенных соединений не ограничено;
  
• 
  статическая маршрутизация;
  
• 
  прозрачность для NAT-устройств (для защищенного трафика);
  
• 
  поддержка DHCP;
  
• 
  автоматическая регулировка параметров MSS в TCP-сессиях для исключения излишней фрагментации трафика, которая может возникать при передаче длинных пакетов;
  
• 
  возможность работы при изменении собственных IP-адресов, IP-адресов NAT–устройств, за устройствами с динамическими правилами NAT;
  
• 
  возможность каскадирования в сегментированных сетях с целью разграничения доступа;
  
• 
  технология назначения виртуальных IP -адресов для любых удаленных узлов;
  
• 
  функция динамического NAT для открытых пакетов (организация доступа рабочих станций или сетевого оборудования в открытую сеть/Интернет);
  
• 
  пакетная фильтрация по IP -адресу (диапазон IP) источника и назначения, номера портов и тип протокола, типы и коды сообщений ICMP, направление пакетов, клиент или сервер в TCP -соединении;
  
• 
  контроль фрагментированных пакетов, предотвращение DoS -атак;
  
• 
  поддержка режима открытых инициативных соединений (режим невидимости для внешних хостов);
  
• 
  поддержка раздельной фильтрации для открытого IP -трафика (функция межсетевого экрана) и шифруемого IP -трафика (функция криптошлюза);
  
• 
  антиспуфинг;
  
• 
  автоматическое распределение симметричной ключевой информации при появлении в сети новых пользователей, задании в Центре управления сетью новых связей или удалении существующих связей, компрометации ключей или штатных процедурах смены ключевой информации;
  
• 
  IP TOS-мапирование поверх зашифрованных IP-пакетов (IP#241 или UDP), при шифровании приоритезация трафика сохраняется;
  
• 
  средства построения VPN не должны вносить задержки за счет потери защищенных соединений и необходимости их восстановления.
  

• 
  совместимость с программным обеспечением, реализующим функции управления защищённой сетью (администрирования), поставляемым в рамках настоящего Технического задания;
  
• 
  совместимость с программным обеспечением, реализующим функции криптографического клиента защищенной сети, поставляемым в рамках настоящего Технического задания;
  
• 
  поддержка шифрования по ГОСТ 28147-89 (256 бит);
  
• 
  аутентификация для каждого зашифрованного IP-пакета на основе технологии симметричного распределения ключей ViPNet и уникального идентификатора;
  
• 
  протоколы туннелирования по технологии ViPNet (инкапсуляция любого IP-трафика приложений в IP #241 и UDP);
  
• 
  парные симметричные ключи шифрования. Автоматическое распределение симметричной ключевой информации при появлении в сети новых пользователей, задании в Центре управления сетью новых связей или удалении существующих связей, компрометации ключей или штатных процедурах смены ключевой информации;
  
• 
  должны выполняться следующие требования по маршрутизации:
  

• 
  Статическая маршрутизация;
  
• 
  Прозрачность для NAT-устройств (для защищенного трафика);
  
• 
  Поддержка DHCP;
  
• 
  Наличие функций сервера доступа для удаленных VPN-клиентов с ПО ViPNet Client;
  
• 
  Автоматическая регулировка параметров MSS в TCP-сессиях;
  
• 
  Возможность работы при изменении собственных IP-адресов, IP-адресов NAT-устройств, возможность работы за устройствами с динамическими правилами NAT;
  
• 
  Возможность каскадирования в сегментированных сетях с целью разграничения доступа;
  
• 
  Технология назначения виртуальных IP-адресов для любых удаленных узлов;
  
• 
  Функция динамического NAT для открытых пакетов (организация доступа рабочих станций или сетевого оборудования в открытую сеть/Интернет).
  

• 
  совместимость с ПАК построения VPN и средствам межсетевого экранирования, поставляемым в рамках настоящего Технического задания;
  
• 
  централизованное управление сетью;
  
• 
  возможность создавать узлы защищенной сети (криптографические шлюзы и клиенты), удалять узлы защищенной сети, определять политики связей защищённых узлов между собой, определять политики безопасности и формировать списки прикладных задач для узлов защищенной сети;
  
• 
  совместимость с программным обеспечением, реализующим функции криптографического шлюза и клиента;
  
• 
  проведение автоматического обновления программного обеспечения криптошлюзов и криптографических клиентов;
  
• 
  наличие модуля гарантированной доставки обновления справочной и ключевой информации на криптошлюзы и криптографические клиенты;
  
• 
  поддержка операционных систем: Windows 2000 Professional; Windows XP Home/Professional; Windows 2000 Server; Windows 2003 Server (32bit); Windows 2008 Server (32bit).
  

• 
  совместимость с программным обеспечением, реализующим функции криптографического шлюза, поставляемым в рамках настоящего Технического задания;
  
• 
  совместимость с программным обеспечением, реализующим функции управления защищённой сетью (администрирования), поставляемым в рамках настоящего Технического задания;
  
• 
  функции персонального межсетевого экрана;
  
• 
  функции VPN-клиента (криптографического клиента);
  
• 
  функции криптопровайдера для прикладных программ, использующих функции подписи и шифрования;
  
• 
  функции клиента защищенной почтовой системы;
  
• 
  поддержка операционных систем: Windows 2000/Windows XP/Vista/Windows 7/Server 2003/Server 2008 (32 бит), Vista/Windows 7/Server 2008/Server 2008 R2 (64 бит);
  
• 
  применение на рабочем месте пользователя или сервере.
  

• 
  возможность настройки всех параметров СЗИ от НСД из единой консоли администрирования;
  
• 
  разграничение прав пользователей при работе на ПЭВМ. Разграничения должны касаться доступа к объектам файловой системы (FAT и NTFS), доступа к сети, доступа к сменным накопителям. Должен быть реализован независимый от механизмов ОС механизм разграничения прав доступа к объектам файловой системы. Разграничения должны касаться всех пользователей – локальных, сетевых, доменных, терминальных;
  
• 
  блокировку файлов по расширению;
  
• 
  генерация сложных паролей;
  
• 
  возможность ограничивать средствами СЗИ от НСД, круг доступных сетевых ресурсов (с точностью до отдельных удалённых рабочих станция и отдельных папок общего доступа);
  
• 
  аудит действий пользователей независимыми от ОС средствами (вход/выход, доступ к ресурсам, запуск процессов, печать документов, управление учетными записями и политиками безопасности). Должны вестись непрерывные журналы (т.е. новые записи не должны затирать более старые);
  
• 
  возможность локального и удалённого администрирования (управление пользователями, политиками безопасности, правами доступа, аудитом; просмотр журналов);
  
• 
  возможность регистрации доменных учетных записей с помощью маски (*\*);
  
• 
  возможность периодического контроля целостности файлов и программно-аппаратной среды, а также контроля по команде администратора и по расписанию;
  
• 
  очистку остаточной информации (принудительная зачистка определённых файлов и папок);
  
• 
  возможность организации режима замкнутой программной среды;
  
• 
  возможность самодиагностики основного функционала СЗИ от НСД;
  
• 
  ведение двух копий программных средств защиты информации;
  
• 
  возможность создания отчета по назначенным правам;
  
• 
  преобразование данных в файл-контейнер для хранения их на внешних носителях либо для передачи по различным каналам связи. Возможность использования встроенного алгоритма преобразования ГОСТ 28147-89, либо подключение внешнего криптопровайдера, в том числе сертифицированного;
  
• 
  удаленное администрирование СЗИ от НСД;
  
• 
  централизованное управление защищёнными рабочими станциями при помощи специального модуля. С помощью этого модуля должно осуществляться централизованное управление учётными записями пользователей, политиками, правами пользователей. Также этим модулем должен осуществляться периодический сбор журналов со всех защищённых рабочих станций;
  
• 
  возможность построения иерархии управления при помощи специального модуля - менеджера, управляющего несколькими модулями централизованноегоуправления;
  
• 
  установка СЗИ НСД должна производится локально, с помощью модуля централизованного управления, средствами групповых политик AD;
  
• 
  сигнализация попыток НСД и деактивации СЗИ НСД. Отправка сообщений о попытках НСД на почту.
  

• 
  графический интерфейс пользователя;
  
• 
  база знаний, содержащая информацию о проверках и уязвимостях;
  
• 
  модуль управления;
  
• 
  сканирующее ядро.
  

• 
  идентификация узлов, инвентаризация аппаратного и программного обеспечения;
  
• 
  выявление уязвимостей и ошибок конфигурирования;
  
• 
  планирование и автоматизация сканирования;
  
• 
  формирование отчетов;
  
• 
  имитация внешних атак и попыток несанкционированного доступа (НСД).
  

• 
  комплекс технических решений и средств защиты информации должен быть типовым;
  
• 
  масштабируемость системы: возможность подключения новых объектов и технических средств.
  

• 
  интерфейс средств защиты информации систем защиты информации объектов защиты должен быть реализован на русском языке;
  
• 
  комплект документации средств защиты информации систем защиты информации объектов защиты должен быть на русском языке;
  
• 
  должно быть обеспечено взаимодействие пользователей и администраторов на русском языке.
  

• 
  схемы расположения объектов защиты относительно границ КЗ;
  
• 
  описание режимов физической защиты объектов защиты;
  
• 
  места обработки защищаемой информации;
  
• 
  перечень сведений, подлежащих защите;
  
• 
  конфигурацию и топологию автоматизированных систем и систем связи в целом и их отдельных компонентов;
  
• 
  описание технологии обработки (передачи) информации;
  
• 
  описание режимов обработки информации в отдельных компонентах информационных систем объектов защиты;
  
• 
  описание системы доступа к информационным активам;
  
• 
  физические, функциональные и технологические связи как внутри объектов защиты, так и с другими системами различного уровня и назначения;
  
• 
  описание технологии обработки информации (сбор, систематизация, передача, хранение, систематизация);
  
• 
  описание средств, системного и прикладного программного обеспечения, режимов работы, технологического процесса обработки информации;
  
• 
  подробную и достаточную структурную схему технических средств (серверы, АРМ, сетевое оборудование и др.);
  
• 
  схемы информационных и управленческих потоков объектов защиты;
  
• 
  перечень и характеристика каналов утечки информации;
  
• 
  проект акта классификации объектов защиты;
  
• 
  перечень требований по модернизации существующей инфраструктуры объектов защиты (клиентского, серверного и телекоммуникационного оборудования);
  
• 
  перечень требований по модернизации охраны и организации режима помещений объектов защиты.
  

• 
  пояснительную записку с изложением решений по комплексу организационных и технических мер и программно-техническим средствам обеспечения безопасности информации, состава средств защиты информации с указанием их соответствия требованиям ТЗ;
  
• 
  описание технического, программного, информационного обеспечения и технологии обработки (передачи) информации.
  

• 
  Протоколы аттестационных испытаний на соответствие требованиями по защите информации.
  
• 
  Заключения по результатам аттестационных испытаний на соответствие требованиями по информационной безопасности. Один экземпляр Заключения передается Заказчику для каждого объекта защиты.
  
• 
  Аттестаты соответствия информационных систем требованиям по безопасности информации для каждого объекта защиты.