СОИБ. Проектирование. Приказ Минкомсвязи №221. Защита СЭД

Минкомсвязи выпустил приказ "Об утверждении Требований к информационным системам электронного документооборота федеральных органов исполнительной власти, учитывающих в том числе необходимость обработки посредством данных систем служебной информации ограниченного распространения". За наводку спасибо СергеюЕрохину.

Приказ состоит из трех частей: 1. Общие положения; 2. Описание технологических процессов функционирования системы электронного документооборота (СЭД); 3. Требования к информационной безопасности СЭД.


В первой части приводятся требования к доступности, надежности и требуется защищенность от НСД не ниже класса 1Г.
Во второй части приводятся функциональные требования к СЭД.
Наиболее интересна третья часть. Требуются следующие основные мероприятия:
Необходимая подсистема ИБ
Пункт приказа, являющийся основанием
Сертификация СЗИ в явном виде (а не оценка соответствия)
21
Провести классификацию системы по требуемым уровням защищенности
22
Выполнить требования ГОСТ Р 51275-2006, который не имеет в себе требований. Возможно имелась ввиду разработка аналитического обоснования с учетом этого ГОСТ
23
Внедрить использовать ролевую модель доступа (пользователь, администратор)
26, 27, 28, 29, 30

По непонятным причинам, роль администратора ИБ не предусмотрена. Назначением прав занимается администратор СЭД.
Из технических требований второго раздела вытекает необходимость следующих подсистем ИБ:
Необходимая подсистема ИБ
Пункт приказа, являющийся основанием
Управления доступом
24, 26, 27, 28, 29
Регистрации событий
24
Резервного копирования и восстановления
31, 32
Межсетевого экранирования
25

Комментарии

Отправить комментарий

Популярные сообщения из этого блога

СКЗИ. НПА. Некоторые вопросы применения криптографии

Изображение
Как показывает практика, немногие организации помнят и руководствуются приказом ФАПСИ (правопреемником которой является ФСБ России) от 13 июня 2001 г. N 152 "Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну ". А ведь Инструкция является обязательной при использовании сертифицированных СКЗИ для обеспечения безопасности информации ограниченного доступа (подлежащей защите в соответствии с законодательством РФ).     А это ПДн, все виды тайн, ГИСы, НПСы, будущие КИИ. С 2008 по 2012 год для ПДн действовало послабление в виде “Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обесп
Далее...

Модель угроз безопасности клиента финансовой организации

Изображение
  Уже более 2 месяцев как вступил в силу методический документ ФСТЭК по моделированию угроз, а ни одного публичного примера модели угроз информационной безопасности сообществом не было опубликовано. Как мы обсуждали на межблогерском вебинаре по моделированию угроз ИБ , такой пример мог бы сильно помочь ответственным лицам, обязанным руководствоваться данной методикой. Пример модели угроз обещал сделать Алексей Лукацкий, но пока у него получилась серия публикаций про проблемы моделирования и примера ещё нет. В УЦСБ в рамках услуг по моделированию угроз, коллеги уже провели необходимую аналитику и подготовили внутренние средства автоматизации для разработки МУ, что уже говорит о возможности моделирования угроз по новой Методике.  К последнему межблогерскому вебинару по безопасности клиентов финансовых организаций я решил проверить насколько адекватной получится модель угроз для типового сегмента клиента ФО (а для данной статьи ещё и обновил графическое оформление). Давайте посмот
Далее...

КИИ. Категорирование объектов, часть 3

Изображение
Продолжаем проводить категорирование объекта КИИ на примере организации сферы здравоохранения. На предыдущем этапе мы выявили критические процессы организации. Теперь определяем объекты КИИ и отправляем их на согласование (этап простой и очевидный, но постараюсь добавить несколько полезных моментов) 3. Определение объектов КИИ Продолжаем начатое на прошлых этапах (а можно и совместить 1-3) общение с руководителями подразделений. Спрашиваем какие ИС или АСУ обрабатывают информацию, необходимую для обеспечения выявленных критических процессов, и (или) осуществляют управление, контроль или мониторинг критических процессов. Отдельно в ИТ подразделении получаем полный перечень ИС (он должен был готовится в рамках мероприятий по ПДн) и АСУ, совместно с ИТ выкидываем из перечня ИС, не связанные с критическими процессами (как правило, кадровые, бухгалтерские, отчетность, банк-клиенты). В результате, того, что данные об ИС и АСУ получены не из одного источника, гарантируется его
Далее...