Страница 2: ДСТУ 3396.0-96. Захист інформаціі. Технічний захист інформаціі. Основні положення укр/рус (61124)

Нормативные документы по ТЗИ 6ГОСУДАРСТВЕННЫЙ СТАНДАРТ УКРАИНЫ

ЗАЩИТА ИНФОРМАЦИИ

ТЕХНИЧЕСКАЯ ЗАЩИТА ИНФОРМАЦИИ
Основные положения

ЗАХИСТ ІНФОРМАЦІЇ

ТЕХНІЧНИЙ ЗАХИСТ ІНФОРМАЦІЇ

Основні положення

Дата введення 1997—0)—01

І ОБЛАСТЬ ПРИМЕНЕНИЯ

Настоящий стандарт устанавливает объект защиты, цель, основные организационно-технические положения технической защиты информа­ции (ТЗИ), неправомерный доступ к которой может нанести ущерб граж­данам, организациям (юридическим лицам) и государству, а также категории нормативных документов по ТЗИ.

Требования стандарта обязательны для предприятий и учреждений всех форм собственности и подчинения, граждан — субъектов предприни­мательской деятельности, органов государственной власти, органов мест­ного самоуправления, войсковых частей псех воинских формирований, представительств Украины за рубежом, которые владеют, пользуются и распоряжаются информацией, подлежащей технической защите.

Издание официальное2 НОРМАТИВНЫЕ ССЫЛКИ

В настоящем стандарте приведены ссылки на следующие документы: ДСТУ 1.0—93 Государственная система стандартизации Украины, Основные положения;

ДСТУ 1.2—93 Государственная система стандартизации Украины. Порядок разработки государственных стандартов;

ДСТУ 1.3—93 Государственная система стандартизации Украины, Порядок разработки, построения, изложения, оформления, согласования, утверждения, обозначения и регистрации технических условий;

ДСТУ 1.4—93 Государственная система стандартизации Украины. Стандарт предприятия. Основные положения;

ДСТУ 1.5—93 Государственная система стандартизации Украины, Общие требования к построению, изложению, оформлению и содержанию стандартов;

ДБН А. 1.1—1—93 Система стандартизации н нормирования в стро­ительстве. Основные положения;

ДБН А.1.1—2—93 Система стандартизации и нормирования в стро­ительстве. Порядок разработки, требования к построению, изложению и оформлению нормативных документов.

3. ОБЩИЕ ПОЛОЖЕНИЯ

   1. Объектом технической защиты является информация, которая составляет государственную или иную предусмотренную законодательст­вом Украины тайну, конфиденциальная информация, являющаяся госу­дарственной собственностью или переданная государству во владение, пользование, распоряжс ние (далее— информация с ограниченным досту- пом—ИсОД).

   2. Объект защиты, цель и задачи ТЗИ определяют и устанавливают лица, которые владеют, пользуются, распоряжаются ИсОД в рамках прав и полномочий, предоставленных законами Украины, подзаконными акта­ми и нормативными документами по ТЗИ.

   3. Носителями ИсОД могут быть физические поля, сигналы, хими­ческие вещества, образующиеся в процессе информационной деятельно­сти, производства и эксплуатации продукции различного назначения (далее— информационная деятельность).

Средой распространения носителей ИсОД могут быть линии связи, сигнализации, управления, энергетические сети, оконечное и про­межуточное оборудование, инженерные коммуникации и сооружения,ограждающие строительные конструкции, а также светопроницаемые эле­менты зданий и сооружений (проемы), воздушная, водная и другие среды, почва, растительность и т. п.

Техническая защита информации осуществляется поэтапно:

1. этап — определение и анализ угроз;

2. этап — разработка системы защиты информации;

3. этап — реализация плана защиты информации;

4. этап — контроль фукционирования и управление системой защи­ты информации.

3. ПОСТРОЕНИЕ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ

   1. Определение и анализ угроз

      1. На первом этапе необходимо осуществить анализ объектов защиты, ситуационного плана, условий функционирования предприятия, учреждения, организации, оценить вероятность проявления угроз и ожи даемый ущерб этих реализации, подготовить исходные данные для постро­ения частной модели угроз.

      2. Источниками угроз может быть деятельность иностранных разведок, а также преднамеренные или непреднамеренные действия юри­дических и физических лиц.

      3. Угрозы могут осуществляться:

• по техническим каналам, включающим каналы побочных элект­ромагнитных их учений и наводок, акустические, оптические, радио-, радиотехнические, химические и другие каналы;

• по каналам специального воздействия путем формирования по­лей и сигналов в целях разрушения системы защиты или нарушения цело­стности информации;

несанкционированным доступом путем подключения к аппарату­ре и линиям связи, маскировки под зарегистрироанного пользователя, преодоления мер защиты для использования информации или навязыва-нии ложной информации, применения закладных устройств и программ, внедрения компьютерных вирусов.

Организационные меры регламентируют порядок информационной деятельности с учетом норм и требований по ТЗИ для всех периодов жиз­ненного цикла объекта защиты.

Первичные технические меры предусматривают защиту информа­ции блокированием угроз без использования средств ТЗИ.

Основные технические меры предусматривают защиту информации с использованием средств обеспечения ТЗИ.

• быть адекватны угрозам;

• быть разработаны с учетом возможного ущерба от их реализации и стоимости защитных мер и вносимых ими ограничений;

• обеспечивать заданную эффективность защиты информации на установленном уровне в течение времени ограничения доступа к ней или возможности осуществления угроз.

Повышение уровня защиты информации достигается наращивани­ем технических мер противодействия множеству угроз.

3. 1. 6. Порядок расчета и инструментального определения зон без­опасности информации, реализации мер ТЗИ, расчета эффективности за­щиты и порядок аттестации технических средств обеспечения информа­ционной деятельности, рабочих мест (помещений) устанавливаются нор­мативными документами по ТЗИ.

   2. Реализация плана защиты информации

      1. На третьем этапе следует реализовать организационные, пер­вичные технические и основные технические меры защиты ИсОД, устано­вить необходимые зоны безопасности информации, провести аттестацию технических средств обеспечения информационной деятельности, рабочих мест (помещений) на соответствие требованиям по безопасности информа­ции.

      2. Техническая защита информации обеспечивается применени­ем защищенных программ и технических средств обеспечения информа­ционной деятельности, программных и технических средств защиты ин­формации (далее — средства ТЗИ) и средств контроля, имеющих сертифи­кат соответствия требованиям нормативных документов по технической защите системы УкрСЕПРО или разрешение на их использование органа, уполномоченного Кабинетом Министров Украины, а также применением специальных инженерно-технических сооружении, средств и систем (да­лее— средства обеспечения ТЗИ).

      3. Средства ТЗИ могут функционировать автономно или совме­стно с техническими средствами обеспечения информационной деятельно­сти в виде самостоятельных устройств или встроенных в них составных элементов.

      4. Состав средств обеспечения ТЗИ, перечень их поставщиков, а также услуг по установке, монтажу, наладке и обслуживанию определя­ются лицами, которые владеют, пользуются и распоряжаются ИсОД само­стоятельно или по рекомендациям специалистов по ТЗИ в соответствии с нормативными документами по ТЗИ.

      5. Предоставление услуг по ТЗИ, аттестацию и сервисное обслу­живание средств обеспечения ТЗИ могут осуществлять юридические и физические лица, имеющие лицензию на право проведения этих работ, выданную органом, уполномоченным Кабинетом Министров Украины.

   3. Контроль функционирования и управление системой защиты информации

      1. На четвертом этапе следует провести анализ функционирова­ния системы защиты информации, проверку выполнения мер ТЗИ, конт­роль эффективности защиты, подготовить и выдать исходные данные для управления системой защиты информации.

      2. Управление системой защиты информации заключается в адаптации мер ТЗИ к текущей задаче защиты информации.

      3. Пофактам изменения условий осуществления или выявления новых угроз меры ТЗИ реализуются в кратчайший срок.В случае необходимости повышения уровня защиты информа- ии необходимо выполнить работы, предусмотренные 1, 2 и 3 этапами осгроенкя системы защиты информации.

      4. Порядок проведения проверок и контроля эффективности за­деты информации устанавливается нормативными документами по ТЗИ.

4. НОРМАТИВНЫЕ ДОКУМЕНТЫ ПО ТЗИ

   1. Нормативные документы разрабатываются в ходе проведения омплекса работ по стандартизации и нормированию в области ТЗИ.

   2. Нормативные документы должны обеспечивать:

• проведение единой технической политики;

• создание и развитие единой терминологической системы;

• функционирование многоуровневых систем защиты информации а основе взаимоувязанных положений, правил, методик, требований и норм;

• функционирование систем сертификации, лицензирования и ат­тестации согласно требованиям безопасности информации;

• развитие сферы услуг в области ТЗИ;

• установление порядка разработки, производства, эксплуатации средств обеспечения ТЗИ;

• организацию проектирования строительных работ в части обес- теченияТЗИ

• подготовку и переподготовку кадров в системе ТЗИ,

• нормативные документы по стандартизации в области ТЗИ;

• государственные стандарты или приравненные к ним норматив­ные документы;

• нормативные акты межведомственного значения, регистрируе­мые в Министерстве юстиции Украины;

• нормативные документы межведомственного значения техничес­кого характера, регистрируемые органом, уполномоченным Кабинетом Министров Украины;

• нормативные документы ведомственного значения органов госу­дарственной власти и органов местного самоуправления.