ДСТУ 3396.1-96. Защита информации. Техническая защита информации. Порядок проведения работ (61151)

ДСТУ 3396.1-96

ГОСУДАРСТВЕННЫЙ СТАНДАРТ УКРАИНЫ

Защита информации

ТЕХНИЧЕСКАЯ ЗАЩИТА ИНФОРМАЦИИ

Порядок проведения работ

Яздянме официальное

Киев
ГОССТАНДАРТ УКРАИНЫ
1997

дстузюал—м

ПРЕДИСЛОВИЕ

1. РАЗРАБОТАН И ВНЕСЕН Государственной службой Украины во ■опросам технической защиты информации '

2. УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ приказом Госстандарта Украины от 19 декабря 1996 г. N» 51

3. В настоящем стандарте реаляаоваим нормы Законов Украины «Об информации», «О государственной тайне», «О защите информации в автоматизированных системах»

4. ВВЕДЕН ВПЕРВЫЕ

5. РАЗРАБОТЧИКИ: А- Баранов, канд. техн, наук, В. Дюпнн, А. Новиченко, В. Гелевера, И. Арутюнова

Наспмщя* стандарт не может быть иолмоелно или частично аоспронзесдеи,
тиражирован и распространен в ычестве офнцвалмюго оданма без разрешение
Госстандарта Украии

мДСГУЗЭМ.І—н

СОДЕРЖАНИЕ

с.

1. Область применения 1

2. Нормативные ссылки 1

ббвоаепоимжети 2

4 Оргакнмцня проведения обследования 3

3 Организация разработки системы защиты информации 4

6. Реализация организационных мер защиты .5

7. Реализация первичных технических мер защиты 6

8. Реализация основных технических мер защиты 7

9. Приемка, определение полноты и качества работ 8

Приложение А. Состав средств обеспечения технической защиты информации 10ДСТУ 3396.1-96

ГОСУДАРСТВЕННЫЙ СТАНДАРТ УКРАИНЫ

ЗАЩИТА ИНФОРМАЦИИ
ТЕХНИЧЕСКАЯ ЗАЩИТА ИНФОРМАЦИИ
Порядок проведения работ

ЗАХИСТ ІНФОРМАЦІЇ
ТЕХНІЧНИЙ ЗАХИСТ ІНФОРМАЦІЇ
Порядок проведення робіт

INFORMATION PROTECTION
TECHNICAL PROTECTION OF INFORMATION
Order of carry in( ^oul the works

ДЯИ введення 1997—07—01

1. ОБЛАСТЬ ПРИМЕНЕНИЯ

Настоящий стандарт устанавливает требования к порядку проведе­ния работ по технической защите информации (ТЗИ).

Требования стандарта обязательны для предприятий и учреждений всех форм собственности и подчинения, граждан-субъектов предпринима- ■ельской деятельности, органов государственной власти, органов местного амоу правления, войсковых частей всех воинских формирований, пред­ставительств Украины за рубежом, которые владеют, пользуются и распо­ряжаются информацией, подлежащей технической защите.

2. НОРМАТИВНЫЕ ССЫЛКИ

3. настоящем стандарте приведены ссылки ./а следующий стандарт;

ДСТУ 3396.0—96 Защита информации. Техническая защита информации. Основные положения.

И&ишис официальное

3 ОБЩИЕ ПОЛОЖЕНИЯ

Подверженность ИсОД воздействию угроз определяет ее уязви­мость.

Способность системы защиты информации противостоять воздейст­вию угроз определяет защищенность ИсОД.

• достижение необходимого уровня защиты ИсОД при минималь­ных затратах и допустимом уровне ограничений видов ИД;

• достижение наиболее возможного уровня защиты ИсОД при до­пустимых затратах и заданном уровне ограничений видов ИД;

• достижение максимального уровня защиты ИсОД при необходи­мых затратах и минимальном уровне ограничений ьидов ИД.

Защита информации, нс являющейся государственной тайной, обес­печивается, как правило, использованием первого или второго варианта.

Защита информации, составляющей государственную тайну, обес­печивается, как правило, использованием третьего варианта.

• проведении обследования предприятия, учреждения, организа­ции (далее — предприятие);

• разработке и реализации организационных, первичных техниче­ских, основных технических мер с использованием средств обеспечения ТЗИ (приложение А);

• приемке работ по ТЗИ;

• аттестации средств (систем) обеспечения информационной дея­тельности на соответствие требованиям нормативных документов системы ТЗИ (НДТЗИ).

3.4 Порядок проведения работ по ТЗИ или отдельных их этапов устанавливается приказом (распоряжением) руководителя предприятия.Работы должны выполняться силами предприятия под руководством специалистов по ТЗИ.

Для участия в работах, оказания методической помощи, оценки полноты и качества реализации мер зашиты могут привлекаться специа­листы по ТЗИ других организаций, имеющих лицензию уполномоченного Кабинетом Министров Украины органа.

4 ОРГАНИЗАЦИЯ ПРОВЕДЕНИЯ ОБСЛЕДОВАНИЯ

• провести анализ условий функционирования предприятия, его расположения на местности (ситуационного плана) для определения воз­можных источников угроз;

• исследовать средства обеспечения ИД, имеющиё выход за пре­делы контролируемой территории;

• изучить схемы средств и систем жизнеобеспечения предприятия (электропитания, заземления, автоматизации, пожарной и охранной сиг­нализации), а также инженерных коммуникаций и металлоконструкций;

• исследовать информационные потоки и технологические пронес­ла обработки информации;

• определить наличие и техническое состояние средств обеспече­ния ТЗИ:

• проверить наличие на предприятии нормативных документов, обеспечивающих функционирование системы защиты информации, орга­низацию проектирования строительных работ с учетом требований по ТЗИ, а также нормативной и эксплуатационной документации, обеспечи­вающей ИД;

• выявить наличие транзитных, нсзадсйствованных (воздушных, настенных, наружных и заложенных в канализацию) кабелей, цепей и проводов;

• определить технические средства и системы, применение кото­рых не обосновано служебной или производственной необходимостью и которые подлежат демонтажу;

• определить технические средства, требующие переоборудования (перемонтажа) и установки средств ТЗИ.

• генеральный и ситуационный планы прсдрнитмя, схемы располо­жения средств и систем обеспеченна ИД, а также инженерных коммуни­каций, выходящих за пределы контролируемой территории;

• схемы и описания каналов утечки информации, каналов специ­ального воздействии и путей несанкционированного доступа к ИсОД;

• оценку предполагаемого ущерба от реализации угроз.

3 ОРГАНИЗАЦИЯ РАЗРАБОТКИ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ

• требования к системе защиты информации;

• требования к составу проектной и эксплуатационной документа­ции;

• этапы выполнения работ;

• порядок внесения изменений и дополнений к разделам ТЗ;

• требования к порядку проведения испытаний системы защиты

• перечень распорядительных, организационно-методических, НД ТЗИ н указания по их применению;

• инструкции о порядке реализации организационных, первичных технических и основных технических мер защиты;

• инструкции, устанавливающие обязанности, права и ответствен­ность персонала;

• календарный план ТЗИ.

6. ТЗ н план ТЗИ разрабатывают специалисты по ТЗИ, согласуют с заинтересованными подразделениями (организациями). Утверждает их руководитель предприятия.РЕАЛИЗАЦИЯ ОРГАНИЗАЦИОННЫХ МЕР ЗАЩИТЫ

   1. Организационные меры защиты информации — комплекс адми­нистративных и ограничительных мер, направленных на оперативное решение задач защиты путем регламентации деятельности персонала и рядка функционирования средств (систем) обеспечения ИД и средств 'Систем) обеспечения ТЗИ.

   2. В процессе разработки и реализации организационных мер необ­ходимо:

• определить частные задачи защиты ИсОД; ,

• обосновать структуру и технологию функционирования системы защиты информации;

• разработать н внедрить правила реализации мер ТЗИ;

• определить и установить права и обязанности подразделений и лиц, участвующих в обработке ИсОД;

• приобрести средства обеспечения ТЗИ и нормативные документы и обеспечить ими предприятие;

• установить порядок внедрения защищенных средств обработки информации, программных и технических средств защиты информации, а также средств контроля ТЗИ; .

• установить порядок контроля функционирования системы защи­ты информации и ее качественных характеристик;

• определить зоны безопасности информации;

• установить порядок проведения аттестации системы технической ващиты информации, се элементов и разработать программы аттестзцион- ых испытаний;

• обеспечить управление системой зашиты информации.

• изучать п анализировать технологию прохождения ИсОД я про­цессе ИД;

• оценивать подверженность ИсОД воздействию угроз в конкрет­ный момент времени; ■

• оценивать ожидаемую эффективность применения средств обес­печения ТЗИ;

• определять (при необходимости) дополнительную потребность в средствах обеспечения ТЗИ;

• осу ществл ять сбор, обработку и регистраци ю данных, относяши х- ся к ТЗИ;

дстузэмл—м

• раврабатывать и реализовывать предложение по корректировке плана ТЗИ в целом или отдельных его элементов,

6. РЕАЛИЗАЦИЯ ПЕРВИЧНЫХ ТЕХНИЧЕСКИХ МЕР ЗАЩИТЫ

   1. В процессе реализации первичных технических мер защиты требуете* обеспечил»:

• блокирование канале* утечки информации;

• б.цокчром нис иосанкцмонмроваымого доступа к информ* эдпт или се носителям;

• проверку исправности ■ работоспособность технических средств обеспечения ИД. .

• демонтажом технических средств, линий связи, сигнализации и управления, энергетических сетей, использование которых не связано с жизнеобеспечением предприятия и обработкой ИсОД;

• удалением отдельных элементов технических средств, являю­щихся средой распространения долей и сигналов, из помещений, где цир­кулирует ИсОД; *

• временным отключением технических средств, не участвующих в обработке ИсОД, от линий связи, сигнализации, управления и энергети­ческих сетей;

• применением способов и схемных решений но защите информа ции, не нарушающих основные технические характеристики средств обес печения ИД.

— созданием условий работы в пределах установленного регламен­та;

—исключением возможности использования не прошедших провер­ку (ирпытания) программных, программно-апцдратхых средств- ¹

Проверку исправности и работоспособности технических средств и систем обеспечения ИД необходимо проводить в соответствии С эксплу­атационными документами. ’Выявленные неисправные блоки и элементы могут способствовать утечке или нарушению целостности информации и подлежат немедленной замене (демонтажу).