Организация аттестации автоматизированных систем по требованиям безопасности информации в части защиты от НСД

________________________________________________________________________

ФАКУЛЬТЕТ

« ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ »

                                              Кафедра 43 

«Стратегические информационные исследования»

________________________________________________________________________ 
 
 
 

ОТЧЕТ

об  учебно-исследовательской  работе 
 

«Организация  аттестации автоматизированных систем по требованиям  безопасности информации в части защиты от НСД» 
 
 
 

Исполнитель:

     студент гр. Б9-04                   __________________   Зайцев И.В.

(подпись,  дата)      

     Научный руководитель:      

                                                                       __________________   Петров В.А.

(подпись,  дата)      

            Зам. зав. каф. № 43 :

                                                                        __________________   Петров В.А.

(подпись,  дата)      
 
 

________________________________________________________________________ 

Москва  – 2010

 

     Реферат

    Отчет 24 с, 1 ч., 4 ист.

    АВТОМАТИЗИРОВАННАЯ  СИСТЕМА, ЗАЩИТА ИНФОРМАЦИИ, БЕЗОПАСНОСТЬ, СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ, ОБЪЕКТ ИНФОРМАТИЗАЦИИ.

    Объектами исследования являются нормативные  и методические документы, типовые  отчетные документы ФСТЭК России по аттестации. Исследованы соответствующие документы, из которых выбиралась информация касательно защищенности информации от несанкционированного доступа, также  проводились экспериментальные  аттестационные испытания в лаборатории.

    В результате исследований была получена информация, необходимая для ознакомления с процессом и методами аттестации объектов информатизации от НСД, приведены  требования необходимые для проведения аттестации автоматизированных систем.

    Переработаны лабораторные практикумы для подготовки специалистов по аттестации объектов информатизации. В состав каждого типового лабораторного практикума входит одна лабораторная работа.

    Данная  работа актуальна, поскольку разработанный  интерактивный лабораторный практикум  позволит усовершенствовать процесс  практической подготовки специалистов по защите информации.

 

    Содержание

 

Определения 4

Обозначения и сокращения 5

Введение 6

1 Анализ нормативных и методических документов ФСТЭК России по аттестации АС. 7

1.1 Автоматизированные системы и защита от НСД. 7

1.2 Аттестация объектов информатизации по требованиям безопасности информации. 7

2 Аттестация объектов информатизации. 9

2.1 Аттестация и получение аттестата соответствия 9

2.2 Виды объектов информатизации, подлежащих аттестационным испытаниям 9

2.3 Порядок проведения аттестационных испытаний. 10

2.4 Завершение аттестационных работ и оценка их результатов. 12

3 Набор типовых лабораторных работ, входящих в типовые лабораторные практикумы. 13

3.1 ТЛП «Организация аттестации автоматизированных систем по требованиям безопасности информации в части защиты от НСД. Проверка документации» и «Сверка результатов инвентаризации с представленными исходными данными по составу технических и программных средств». 13

4 Описание типовых лабораторных, включая методику и порядок выполнения. 17

4.1 Типовая лабораторная работа «Организация аттестации автоматизированных систем по требованиям безопасности информации в части защиты от НСД. Проверка документации». 17

4.1.1 Методика и порядок проведения работы. 18

4.2 Типовая лабораторная работа «Поиск отличий реально полученной информации от информации, заявленной в исходных данных на объекте информатизации». 20

4.2.1 Методика и порядок проведения работы. 22

Заключение 23

Список использованных источников 24

 

 

    Определения

 

     Автоматизированная  система – организованная совокупность средств, методов и мероприятий, используемых для регулярной обработки  информации в процессе решения прикладных задач.

     Санкционированный доступ к информации - доступ к информации, не нарушающий правила разграничения  доступа.

     Несанкционированный доступ к информации (НСД) - Доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами.

     Защита  от несанкционированного доступа (Защита от НСД) - предотвращение или существенное затруднение несанкционированного доступа.

 

     

Обозначения и сокращения

 

     АРМ – автоматизированное рабочее место.

     АС – автоматизированная система.

     ЛВС – локальная вычислительная сеть.

     НСД - несанкционированный доступ к информации.

     ОС – операционная система.

     ПВЭМ – персональная электронная вычислительная машина.

     ПО – программное обеспечение.

     РД – руководящий документ.

     СЗИ НСД – средства защиты информации от несанкционированного доступа.

     ТЛР – типовая лабораторная работа.

 

 

Введение

 

     Под аттестацией объектов информатизации понимается комплекс организационно-технических  мероприятий, в результате которых  посредством специального документа - "Аттестата соответствия" - подтверждается, что объект соответствует требованиям  стандартов и иных нормативно-технических  документов по безопасности информации, утвержденных федеральным органом  по сертификации и аттестации. При  проведении аттестации оцениваются  в совокупности все средства защиты информации, а также конкретные условия  эксплуатации рассматриваемого объекта. Аттестация объектов является завершающей  стадией комплекса мер по защите информации.

    В результате потребность в специалистах в области аттестации объектов информатизации возрастает, а спрос на них остается не удовлетворенным. Вызвано это тем, что на данный момент в Вузах не проводится подготовка специалистов в данной области. Отсутствует учебно-методическое обеспечение для получения студентами практических навыков в области аттестации объектов информатизации.

    Еще один немаловажный момент – практические навыки. Большинство ведущих вузов  России, таких как НИЯУ МИФИ, дают студенту большой объем теоретических знаний. Но из-за недостаточного оснащения лабораторий и по ряду других причин студент не получает достаточного количества практических навыков.

    Разработка интерактивного лабораторных практикумов по организации аттестации автоматизированных систем по требованиям безопасности информации в части защиты от НСД позволяет разрешить озвученные проблемы. Данный практикум дает возможность студентам получать не только теоретические знания, но и оттачивать свои практические навыки в ходе выполнения лабораторных работ. Интерактивный практикум позволяет производить обучение студентов удаленно, что разрешит проблемы с оснащением лабораторий и увеличит количество выпускаемых специалистов и качество их подготовки.

 

1.   Анализ нормативных и методических документов ФСТЭК России по аттестации АС.

1. Автоматизированные  системы и защита от НСД.

 

     Комплекс  программно-технических средств  и организационных (процедурных) решений  по защите информации от НСД реализуется  в рамках системы защиты информации от НСД в соответствии с руководящим документом [1], условно состоящей из следующих четырех подсистем:

1. управление доступом;
2. регистрации и учета;
3. криптографическая;
4. обеспечение целостности.

     В независимости от подсистем существует классификация АС. Все АС делятся  на девять классов защищенности информации от НСД. Каждый класс характеризуется  определенной минимальной совокупностью  требований по защите. Все классы делятся  на три группы отличающиеся системой обработки информации.

     Третья  группа:

     В данной группе располагаются АС, в  которых работает один пользователь. Причем этот пользователь имеет доступ к всевозможной информации, хранящейся на информационных носителях одного уровня конфиденциальности. Эта группа содержит классы 3А и 3Б.

     Вторая  группа.

     Включает  АС, в которых все пользователи имеют одинаковые полномочия на доступ к информации, располагающейся на носителях различного уровня  конфиденциальности. Группа содержит два класса 2А и 2Б.

     Первая  группа.

     Данная  группа включает многопользовательские  АС, в которых одновременно обрабатывается и (или) хранится информация разных уровней  конфиденциальности. Не все пользователи имеют право доступа ко всей информации АС. Группа содержит пять классов - 1Д, 1Г, 1В, 1Б и 1А.

2. Аттестация объектов информатизации по требованиям безопасности информации.

 

     В соответствии с положением об аттестации объектов информатизации [2] система аттестации является составной частью единой системы сертификации средств защиты информации и аттестации объектов информатизации по требованиям безопасности информации и подлежит государственной регистрации в установленном Госстандартом России порядке. Деятельность системы аттестации организует федеральный орган по сертификации продукции и аттестации объектов информатизации по требованиям безопасности информации (далее - федеральный орган по сертификации и аттестации), которым является ФСТЭК.