Функциональный компонент обеспечения безопасного межсетевого взаимодействия

В связи с наличием подключения ИСПДн к сетям связи общего пользования данный функциональный компонент должен быть реализован путем использования средств межсетевого экранирования, соответствующих 3 (третьему) классу защищенности в соответствии с РД ФСТЭК «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации». В целях выполнения требований законов и подзаконных нормативных актов, регламентирующих вопросы защиты конфиденциальной информации, в том числе персональных данных, используемые межсетевые экраны как средства защиты информации должны в установленном порядке пройти процедуру оценки соответствия ФСТЭК России.

 

Функциональный компонент анализа защищенности

Средства анализа защищенности должны обеспечивать возможность выявления уязвимостей, связанных с ошибками в конфигурации программного обеспечения ИСПДн, которые могут быть использованы нарушителем для реализации атаки на систему. В целях выполнения требований законов и подзаконных нормативных актов, регламентирующих вопросы защиты конфиденциальной информации, в том числе персональных данных, используемые средства анализа защищенности как средства защиты информации должны в установленном порядке пройти процедуру оценки соответствия ФСТЭК России.

 

Функциональный компонент обнаружения вторжений

Данный компонент должен быть реализован путем использования в составе ИСПДн сертифицированных программных или программно-аппаратных средств (систем) обнаружения вторжений.

 

Функциональный компонент антивирусной зашиты

В составе ИСПДн на рабочих станциях и серверах должны применяться сертифицированные средства антивирусной защиты в целях защиты ПДн и программно-технических средств от воздействия вредоносного программного обеспечения.

Указанный перечень функциональных компонентов может быть уточнен и изменен по согласованию с Заказчиком на этапе технического проектирования.

Для программных средств, используемых при защите информации в ИСПДн, должен быть обеспечен четвертый уровень контроля отсутствия НДВ. Все программное и аппаратное обеспечение, реализующее функционал защиты информации, должно быть сертифицировано в системе сертификации ФСТЭК России.

Требования к видам обеспечения

Требования к математическому обеспечению

В состав математического обеспечения Системы входят алгоритмы и проектные процедуры, на основе которых разрабатываются функциональные подсистемы Системы.

Описание моделей, процессов, алгоритмов и процедур должны включать:

- логику и способы формирования результатов решения с указанием последовательности этапов алгоритма, необходимых расчетных и (или) логических формул;

- указания о точности вычисления (при необходимости);

- описание связей между частями и операциями алгоритма (процедуры).

Математическое обеспечение должно предусматривать все ситуации (логические ветви алгоритма), которые могут возникнуть в процессе решения задач функциональными подсистемами.

Алгоритмы (процедуры) могут быть представлены одним из следующих способов:

- графический (в виде схемы);

- табличный;

- текстовой;

- смешанный (графический или табличный с текстовой частью).

Способ представления алгоритма выбирает разработчик, исходя из сущности описываемого алгоритма и возможности формализации его описания. Математическое обеспечение, включающее методы и алгоритмы, используемые для шифрования/дешифрования данных, а также программное обеспечение, реализующее их, должно быть сертифицировано уполномоченными организациями для использования в государственных органах Российской Федерации.

 

Требования к информационному обеспечению

Информационное обеспечение Системы - это совокупность форм документов, классификаторов, нормативной базы (компоненты информационного обеспечения) и реализованных решений по объемам, размещению и формам существования информации, применяемой при функционировании Системы.

Решения по объемам, размещению и формам существования информации, должны быть реализованы в информационной базе Системы.

Информационное единство в Системе должно обеспечиваться использованием общих информационных ресурсов, в том числе единой системы кодирования и классификации информации, а также алгоритмами функционирования программно-технических средств.

Единая система кодирования и классификации информации должна обеспечивать:

- централизованное ведение словарей и классификаторов, использующихся в информационном взаимодействии;

- выполнение необходимых технологических функций, в том числе предоставление возможности обмена данными с внешними системами.

Для общероссийских классификаторов должен обеспечиваться импорт обновлений из файлов, полученных от организации, ответственной за ведение этого классификатора.

Процессы сбора, обработки, передачи данных в Системе и предоставлению данных должны быть реализованы в операциях:

- однократного ввода данных в Систему и многократного их использования при решении задач обеспечения безопасности населения и безопасности городской коммунальной инфраструктуре на различных уровнях Системы;

- формирования, ведения, применения баз данных Системы;

- настройки программного обеспечения;

- хранения, обновления информации о событиях;

- репликации информации по компонентам Системы;

-   обмена информацией в режиме импорта-экспорта в соответствии с регламентами информационного обмена, реализуемого прикладным программным обеспечением;

-   обеспечения информационной совместимости Системы с информационными системами субъектов на всех уровнях.

Процессы сбора, обработки и передачи данных в Системе должны определяться ведомственными нормативно-техническими документами и быть отражены в должностных инструкциях сотрудников подразделений - пользователей Системы.

 

Требования к лингвистическому обеспечению

Лингвистическое обеспечение Системы (ЛО) - это совокупность средств и правил для формализации естественного языка, используемых при общении пользователей и эксплуатационного персонала при функционировании Системы.

Лингвистическое обеспечение должно быть направлено на формализацию смыслового содержания информации на естественном языке с целью автоматизации ее обработки, хранения, редактирования и поиска.

Для формализации и значительного сжатия информации должны применяться автоматизированные процедуры индексирования и классификации (рубрицирования) текстов - Web-серверная технология, а также традиционные способы обработки, хранения, редактирования и поиска информации для решения конкретных информационных задач по ведению различных классификаторов, словарей, нормативно - справочной информации и т.п. с использованием механизма запросов к СУБД.

Способы организации диалога с пользователем Системы должны обеспечивать уменьшение вероятности совершения оператором случайных ошибок, предусматривать логический контроль ввода данных, формирование запросов на обновление информации и решение расчетно - информационных задач.

Общение пользователя с Системой должно происходить в интерактивном режиме путем работы с интерфейсом системы (экранными формами, встроенных меню и пр.).

В целом ЛО должно удовлетворять потребности пользователей Системы в языковых средствах.

Лингвистическое обеспечение должно обеспечивать:

- текстовый и графический способы общения субъектов и пользователей Системы со средствами автоматизации;

- диалоговый режим общения пользователей со средствами автоматизации с возможностью конструирования диалогов в интересах пользователей;

- формирование запросов с АРМ пользователей Системы и запуск задач;

- защиту от ошибок и некорректных действий пользователей системы.

Должны быть унифицированы диагностические сообщения, выдаваемые пользователю на АРМ пользователя Системы, сообщения о несанкционированных действиях пользователей.

В состав лингвистического обеспечения должны входить:

- языковые средства пользователей;

- словари терминов;

- правила формализации данных, включая методы сжатия и развертывания текстов, представленных на естественном языке.

Языковые средства пользователей должны обеспечивать:

- ввод, обновление, просмотр и редактирование информации;

- идентификацию и адресацию входной информации;

- поиск, просмотр и выдачу подготовленной информации на устройства отображения и печати;

- возможность представления информации в сообщениях в виде, позволяющем производить их автоматическую обработку (в том числе синтаксический и семантический контроль);

- исключение неоправданной избыточности и неоднозначности;

- формализацию документальных данных.

Языки ввода-вывода данных должны поддерживать реляционную и объектно-реляционную базы данных.

Словари терминов должны быть разработаны для реализации процессов информационного обмена на основе единого для всех компонентов Системы языка.

Словари терминов должны содержать лексику, дополненную при необходимости общепринятыми терминами с указанием смысловых связей между терминами.

Основным языком взаимодействия пользователей является русский язык.

 

Требования к программному обеспечению

Программное обеспечение Системы должно представлять собой совокупность общего программного обеспечения (ОПО) и специального программного обеспечения (СПО).

Программное обеспечение Системы должно обладать открытой, компонентной(модульной) архитектурой, обеспечивающей возможность эволюционного развития, в частности, с учетом включения в состав средств информатизации новых объектов Системы.

Программное обеспечение, технология (включая нормативно-техническую документацию) его разработки должны обеспечивать возможность согласованной разработки унифицированного (типового) программного обеспечения силами нескольких разработчиков.

Программное обеспечение должно быть сертифицировано по требованиям безопасности информации.

 

Требования к общему программному обеспечению

ОПО должно представлять собой совокупность программных средств со стандартными интерфейсами Российской Федерацией, предназначенных для организации и реализации информационно-вычислительных процессов в Системе. Состав ОПО формируется при проектировании конфигурации ПТК интегрируемых информационных систем.

ОПО должно обеспечить:

- выполнение информационно-вычислительных процессов совместно с другими

видами обеспечения;

- управление вычислительным процессом и вычислительными ресурсами с учетом приоритетов пользователей;

- коллективное использование технических, информационных и программных ресурсов;

- обмен неформализованной и формализованной информацией между компонентами Системы, а также между Системой и пользователями с протоколами информационно-логического взаимодействия;

- ведение учета и регистрации передаваемой и принимаемой информации;

- ввод в базы данных информации с клавиатуры АРМ и с машинных носителей, а также информации, поступающей через телекоммуникационные средства;

- автоматизированный контроль и диагностику функционирования технических и программных средств, а также тестирование технических средств;

- создание и ведение баз данных с обеспечением контроля, целостности, сохранности, реорганизации, модификации и защиты данных от несанкционированного доступа;

- создание и ведение словарей, справочников, классификаторов и унифицированных форм документов, параллельный доступ пользователей к ним;

- поиск по запросам информации в диалоговом режиме и представление ее в виде документов;

- выполнение распределенных запросов к данным;

- синхронизацию корректировки данных и контроль за изменением документов в базах документов;

- разработку, отладку и выполнение программ, формирующих распределенные запросы к данным;

- формирование и ведение личных архивов пользователей;

- организацию решения функциональных задач СПО;

- наращивание состава общего программного, а также специального программного, информационного и лингвистического обеспечения;

- обработку (формирование, контроль, просмотр, распознавание, редактирование, выдачу на средства отображения и печати) текстовой, табличной и графической информации;

- восстановление работоспособности ПО и баз документов (из резервных копий) после сбоев и отказов технических и программных средств.

ОПО должно поддерживать функционирование выбранных типов ПЭВМ и периферийных устройств на уровне операционных систем (ОС), утилит и драйверов. Операционные системы должны выбираться исходя из перспектив развития аппаратно-программных платформ в мире, с учетом поддержания преемственности версий и редакций, условий и порядка их обновления, предлагаемых фирмой - разработчиком. Количество ОС, их версий и редакций в Системе должно быть минимизировано.

ОПО может включать следующие основные компоненты:

- графические 32 (64) - разрядные многозадачные (многопроцессорные) операционные системы;

- сетевые операционные системы;

- системы управления базами данных;

- телекоммуникационные программные средства, включая средства электронной почты;

- средства архивирования файлов;

- инструментальные средства для создания и ведения текстовых и графических документов, электронных таблиц и т.д.;

- средства поддержки Internet и Intranet -технологий;

- средства управления выводом данных на устройства отображения информации группового и коллективного пользования;

 

- технологические программные средства.

Должно быть обеспечено ведение депозитария для всего ПО, а также создание дистрибутивов для любого ПТК Системы и распространение программного обеспечения на все компоненты Системы.

Поставляемое ПО, если это предусмотрено существующей нормативной правовой базой, должно быть сертифицировано (в том числе по требованиям безопасности информации) или иметь соответствующие сертификаты. Вопросы его использования и тиражирования должны регулироваться соответствующими соглашениями или сублицензионными договорами.

 

Требования к системам управления базами данных

Используемая в система управления базами данными (СУБД) должна быть промышленного уровня с необходимыми лицензиями. СУБД должна представлять собой комплекс программ и языковых средств, предназначенных для создания, ведения и использования баз данных.

СУБД в общем должна обеспечивать контроль, обновление (ввод и корректировку) и восстановление данных, а также обмен информационными ресурсами между базами данных субъектов Системы, связанных между собой по иерархии программ с участием специального программного обеспечения (СПО) и общего программного обеспечения (ОПО).

Общими требованиями к СУБД являются:

- применение русского языка на уровнях пользовательского интерфейса и системных сообщений;

- поддержка реляционной или объектно-реляционной модели базы данных;

- автоматическое восстановление базы данных;

- совместимость с различными операционными системами серверов БД;

- поддержка сетевых протоколов TCP/IP;

- возможность контроля доступа к данным;

- централизованное управление учетными записями пользователей;

- оптимизация запросов.

 

Требования к специальному программному обеспечению

Специальное ПО Системы должно быть реализовано на базе отечественных программных разработок.

При разработке задач СПО должно быть обеспечено использование всех возможностей, предоставляемых средствами ОПО (системными сервисами) по обработке данных.

Для обеспечения возможности наращивания функциональности СПО должна быть разработана нормативно-техническая документация, содержащая описания принятых в системе протоколов и интерфейсов, выполнение которых позволит задаче нормально функционировать в операционной и информационной среде Системы.

Для обеспечения принципов сохранения ранее вложенных инвестиций и соблюдения преемственности функциональной наполненности ПТК информационных систем субъектов Системы создаваемое СПО должно по возможности функционировать в среде текущего состояния ОПО.

СПО должно быть спроектировано и реализовано таким образом, чтобы обеспечивались:

- функциональная полнота - реализация всех, подлежащих автоматизации функций объектов автоматизации;

- возможность адаптации и настройки программных средств с учетом специфики каждого объекта;

- эргономичность - обеспечение удобства и унификации пользовательского интерфейса Российской Федерации;

- защита от ошибочных действий оператора (пользователя);

- контроль и защита от некорректных исходных данных.

Требования к техническому обеспечению

Техническое обеспечение Системы - это совокупность всех технических средств, используемых при эксплуатации Системы.

Техническое обеспечение Системы должно включать:

- средства вычислительной техники;

- средства коммуникационной техники;

- средства организационной техники.

Средства вычислительной техники должны обеспечивать реализацию комплексных технологий обработки и хранения информации и являться базой интеграции всех современных технических средств обеспечения управления информационными ресурсами.

Коммуникационная техника должна обеспечивать реализацию технологий передачи данных и предполагает как автономное функционирование, так и функционирование в комплексе со средствами компьютерной техники.

Организационная техника должна обеспечивать реализацию технологий хранения, представления и использования информации, а также выполнение различных вспомогательных операций в рамках тех или иных технологий информационной поддержки управленческой деятельности.

В целом техническое обеспечение Системы должно отвечать следующим требованиям:

- базироваться на сертифицированных образцах средств вычислительной техники, средств коммуникационной техники, средств организационной техники;

- обладать информационной, программной и технической совместимостью, адаптируемостью к условиям функционирования, возможностью расширения с целью подключения новых устройств;

- обеспечивать устойчивую управляемость, надежное хранение информации, оперативность ее обработки, малое время отклика при большом количестве запросов, а также резервное копирование и восстановление информации, наличие источников бесперебойного питания;

- комплектация автоматизированных рабочих мест (АРМ) с повышенными требованиями по информационной безопасности согласуется Заказчиком отдельно;

- вся поставляемая электронно-вычислительная техника должна соответствовать или превышать требования технических спецификаций по производительности и эргономическим показателям;

- рабочие станции, серверы, системы хранения данных поставляются, по возможности, от одного производителя.

Вся электронно-вычислительная техника Системы должна функционировать при следующих условиях: параметры электропитания - качество электрической энергии в сети переменного тока должно соответствовать требованиям ГОСТ 13109; после воздействия повышенной относительной влажности окружающей среды (98%) при температуре 25°С; в условиях воздействия рабочей пониженной температуры окружающей среды 5°С; в условиях воздействия рабочей повышенной температуры окружающей среды 40°С; после пребывания в условиях пониженной температуры окружающей среды минус 50°С; после пребывания в условиях повышенной температуры окружающей среды 50°С; за исключением особо оговоренных в спецификациях случаев уровень шума при работе отдельных устройств не должен превышать 30 дБ в полосе частот 50-3000 Гц на расстоянии 1 м;

Средства вычислительной техники должны быть максимально приспособлены для последующей модернизации.

Исполнитель должен обеспечить обслуживание компьютеров в течение гарантийного срока на КТС в целом и всего срока службы (не менее 3 лет) своими силами, либо по договору с другими организациями на всей территории Российской Федерации как на период гарантийного, так и послегарантийного обслуживания.

Гарантийное обслуживание должно обеспечиваться в соответствии с программой обеспечения надежности либо сервисными центрами Исполнителя/Оператора, либо сервисными центрами, работающими по договору с Заказчиком. Поддержка и обновление лицензионного ПО определяются условиями соглашения между Заказчиком и Исполнителем.

 

Требования к видам технических средств, в том числе к видам комплексов технических средств, программно-технических комплексов