Материал: Технология проектирования систем защиты информации в информационно-телекоммуникационных системах. Язов Ю.К

лей к документам и сведениям конфиденциального характера, действующей в организации.

Для обеспечения защиты информации в процессе

эксплуатации ИТКС рекомендуется предусматривать со-

блюдение следующих основных положений и требований:

допуск к защищаемой информации лиц, работающих в ИТКС (пользователей, обслуживающего персонала), должен производиться в соответствии с порядком, установленным разрешительной системой допуска;

на период обработки защищаемой информации в помещениях, где размещаются ОТСС, могут находиться только лица, допущенные в установленном порядке к обрабатываемой информации, допуск других лиц для проведения необходимых профилактических или ремонтных работ может осуществляться в эти помещения только с разрешения руководителя организации или руководителя службы безопасности;

в случае размещения в одном помещении нескольких технических средств отображения информации должен быть исключен несанкционированный просмотр выводимой на них информации;

по окончании обработки информации пользователь обязан произвести стирание остаточной информации на несъѐмных носителях (жестких дисках) и в оперативной памяти. Одним из способов стирания остаточной информации в оперативной памяти является перезагрузка ПЭВМ;

изменение или ввод новых программ обработки защищаемой информации в ИТКС должен осуществляться

281

совместно разработчиком ИТКС и администратором ИТКС, при этом ИТКС подлежит переаттестации;

при увольнении или перемещении администраторов ИТКС руководителем организации по согласованию со службой безопасности должны быть приняты меры по оперативному изменению паролей и идентификаторов.

Все носители информации на бумажной, магнит-

ной, оптической (магнито-оптической) основе, исполь-

зуемые в технологическом процессе обработки инфор-

мации в ИТКС, подлежат учету в соответствующем

подразделении

Обмен конфиденциальной информацией между автоматизированными рабочими местами в составе защищаемой сети должен осуществляться только на учтенных носителях информации с учетом допуска исполнителей, работающих на компьютере, к передаваемой информации.

На рабочих местах исполнителей, работающих по этой технологии, во время работы не должно быть неучтенных накопителей информации. В случае формирования конфиденциальных документов с использованием открытой текстовой и графической информации, представленной на накопителях информации, такие накопители информации должны быть ―закрыты на запись

Состав пользователей ЛВС устанавливается письменным распоряжением руководителя организации (структурного подразделения) и должен контролироваться. Все изменения состава пользователей, их прав и привилегий

282

должны регистрироваться Каждый администратор и пользователь должен иметь уникальные идентификатор и пароль.

Контроль взаимодействия ЛВС с другими вычислительными сетями должен быть постоянным и осуществляться с использованием сертифицированных по требованиям безопасности информации средств контроля (средств обнаружения вторжений, мониторинга сети, активного аудита и т.п.) Коммуникационное оборудование и все точки соединения с локальными периферийными устройствами ЛВС должны располагаться в пределах КЗ.

При конфигурировании коммуникационного оборудования (маршрутизаторов, концентраторов, мостов и мультиплексоров) рекомендуется разделять трафик отдельных сетевых фрагментов с учетом решаемых задач пользователей ЛВС.

Подключение ЛВС к другой автоматизированной системе (локальной или распределенной вычислительной сети) должно осуществляться с использованием МЭ, требования к которым определяются РД Гостехкомиссии России.

Например, для защиты ЛВС при ее взаимодействии

сдругой ЛВС по каналам связи необходимо использовать:

-в ИТКС класса 1Г – МЭ не ниже класса 4;

-в ИТКС класса 1Д и 2Б, ЗБ – МЭ класса 5 или вы-

ше.

Для защиты конфиденциальной информации, передаваемой между ЛВС по каналам связи, выходящим за пределы контролируемой зоны, необходимо использовать защищенные каналы связи, включая доверенные каналы и защищенные волоконно-оптические линии связи, а при использовании открытых каналов связи - сертифицированные криптографические средства защиты информации.

283

Методами обеспечения безопасности информации при взаимодействии защищаемой сети с сетью общего пользования являются:

межсетевое экранирование с целью управления доступом, фильтрации сетевых пакетов и трансляции сетевых адресов для скрытия структуры ЛВС;

мониторинг вторжений в ЛВС, нарушающих или создающих предпосылки к нарушению установленных в организации требований по защите информации;

анализ защищенности ЛВС, предполагающий применение специализированных программных средств (сканеров безопасности), позволяющих осуществлять анализ защищенности ЛВС;

шифрование информации при ее передаче по Сети, а также использование электронно-цифровой подписи для контроля целостности и подтверждения подлинности отправителя и/или получателя информации;

использование смарт-карт, электронных замков и других носителей информации для надежной идентификации и аутентификации пользователей;

использование средств антивирусной защиты;

централизованное управление системой информационной безопасности ЛВС.

Определен порядок подключения к сетям общего пользования. При этом рекомендуется:

Для обеспечения защиты информационных ресурсов ЛВС при подключении к Сети необходимо:

обеспечивать фильтрацию входящих/исходящих сетевых пакетов по правилам, заданным администратором безопасности;

скрывать внутреннюю структуру защищаемой

ЛВС;

284

осуществлять периодический анализ безопасности установленных межсетевых экранов на основе имитации внешних атак на ЛВС;

осуществлять активный аудит безопасности ЛВС (узлов, сегментов, сетевого оборудования и т.д.) на предмет обнаружения в режиме реального времени несанкционированной сетевой активности;

осуществлять анализ принимаемой из сети общего пользования информации, в том числе на наличие компьютерных вирусов.

Для реализации сформулированных рекоменда-

ций могут применяться следующие основные типы про-

граммных и программно-технических средств:

межсетевые экраны; системы обнаружения вторжений;

средства анализа защищенности ЛВС; специализированные комплексы защиты и ана-

лиза защищенности информации.

Таковы основные требования и рекомендации, изложенные в рассматриваемой нормативно-методическом документе СТР-К.

285