Требования к административным и организационно-техническим мерам защиты на объектах автоматизации

 

На объектах автоматизации должен быть организован эффективный контрольно-пропускной режим, исключающий неконтролируемое пребывание посторонних лиц на территории объекта.

Все технические средства, входящие в состав программных комплексов, должны размещаться в выделенных помещениях, удовлетворяющих следующим требованиям:

– помещения должны быть оборудованы сигнализацией, и по окончании рабочего дня опечатываться и сдаваться под охрану;

– на входные двери этих помещений должны быть установлены замки, гарантирующие надежную защиту помещений в нерабочее время, а для контроля доступа в помещения в течение рабочего дня должны быть установлены автоматические замки (электронные, кодовые и т.п.) или другие средства контроля и регистрации.

Право доступа в выделенные помещения должно предоставляться только лицам, непосредственно участвующим в технологическом процессе. Для обеспечения данного требования составляются списки сотрудников, имеющих право входа в данное помещение, утверждаемые руководителем учреждения. Лица, не включенные в данный список, могут находиться в помещении только в присутствии, по крайней мере, одного из сотрудников учреждения, включенных в список. Обслуживающий персонал (уборщицы, электрики и т.п.) должны допускаться в помещения только для выполнения их непосредственных обязанностей, в сопровождении лица, ответственного за помещение.

Доступ лиц в выделенные помещения должен контролироваться и регистрироваться автоматизированными средствами контроля и регистрации доступа или путем организации дежурств.

Разработчики прикладного обеспечения должны быть административно и территориально отделены от персонала, эксплуатирующего автоматизированную систему. Локальная сеть рабочего комплекса банковской автоматизированной системы должна быть изолирована на логическом и физическом уровнях от других локальных и глобальных сетей, используемых на объекте автоматизации.

Исходные тексты программного обеспечения банковской автоматизированной системы не должны быть доступны пользователям системы. Для обеспечения целостности программного обеспечения при передаче в Фонд алгоритмов и программ Банка России, а также, при тиражировании регионам – пользователям, должны использоваться средства защиты информации, рекомендованные ГУБиЗИ Банка России.

Для каждого автоматизированного рабочего места автоматизированной системы, должен вестись паспорт программного обеспечения АРМ, оформленный в соответствии с «Временным требованиям по обеспечению безопасности технологий обработки электронных платежных документов в системе Центрального банка Российской Федерации» от 03.0497 г. №60.

Операторы АРМ обязаны следить за тем, чтобы в паспорт заносились сведения о всех изменениях, вносимых в аппаратное или программное обеспечение АРМ (записи должны производиться лицом, осуществляющим изменения).

Каждое автоматизированное рабочее место, подключенное к автоматизированной расчетной системе, должно быть обеспечено инструктивными и методическими материалами, содержащими:

– руководство пользователя АРМ;

– описание технологии работы на АРМ;

– описание работы со средствами защиты ПЭВМ АРМ от НСД;

– порядок проведения антивирусного контроля и профилактики на АРМ;

– порядок использования криптографических средств и ключевых носителей (если данный АРМ предполагает использование средств криптографической защиты информации).

В случае прекращения по тем или иным причинам полномочий сотрудника, имевшего доступ к банковской автоматизированной системе, он должен быть немедленно удален из списков зарегистрированных пользователей системы; у него должны быть изъяты персональные идентификаторы и ключевые носители, должна быть произведена смена известных ему значений паролей и аннулирование ключей шифрования и ЭЦП, бывших в его распоряжении, с внесением соответствующих коррективов в централизованно распределяемые справочники ключей проверки ЭЦП.

На объекте автоматизации должна быть разработана следующая нормативно-методическая документация:

– положение о порядке обработки и контроля информации при совершении электронных платежей;

– положение по обеспечению безопасности электронных платежей;

– положение о совершении электронного обмена платежными документами между учреждениями ЦБ РФ и кредитными организациями;

– положение о порядке взаимодействия между подразделениями регионального центра информатизации, учреждениями ЦБ РФ региона и региональным управлением безопасности и защиты информации;

– методические материалы по управлению ключевой системой используемых в региональной системе ЦБ РФ средств криптографической защиты информации;

– инструктивные материалы по организации работы со средствами криптографической защиты информации и носителями ключевой информации в учреждениях ЦБ РФ региона;

– инструктивные материалы по организации работы со средствами защиты информации от НСД и средствами парольной защиты в учреждениях ЦБ РФ региона;

– положение о порядке восстановления банковской автоматизированной системы после сбоев и отказов;

– руководство по методологии и организации сопровождения программного обеспечения банковской автоматизированной системы и внесения в него санкционированных изменений.

Для хранения личных ключевых носителей должны использоваться металлические хранилища (сейфы), оборудованные надежными запирающими устройствами. Каждому исполнителю, владеющему личными ключевыми носителями, должен быть выделен или отдельный сейф, или отдельное отделение общего сейфа (с отдельными ключами для каждого отделения, хранимыми в таком же порядке).

На объектах автоматизации должен осуществляться систематический контроль над соблюдением организационных мероприятий по защите информации.

 

ЗАКЛЮЧЕНИЕ

 

Из рассмотренного становится очевидно, что обеспечение информационной безопасности является комплексной задачей. Это обусловлено тем, что информационная среда является сложным многоплановым механизмом, в котором действуют такие компоненты, как электронное оборудование, программное обеспечение, персонал.

Для решения проблемы обеспечения информационной безопасности необходимо применение законодательных, организационных и программно технических мер. Пренебрежение хотя бы одним из аспектов этой проблемы может привести к утрате или утечке информации, стоимость и роль которой в жизни современного общества приобретает все более важное значение.

 

СПИСОК ЛИТЕРАТУРЫ

 

1. РЕГИОНАЛЬНАЯ АВТОМАТИЗИРОВАННАЯ БАНКОВСКАЯ ИНФОРМАЦИОННАЯ СИСТЕМА («РАБИС-НП»), Описание подсистемы информационной безопасности МБТД.001.ИБ.01.2.М Листов 193

 

ПРИЛОЖЕНИЕ 1

 

ПЕРЕЧЕНЬ ИСПОЛНИМЫХ МОДУЛЕЙ ПРИКЛАДНОГО И СИСТЕМНОГО ПО ПК РКЦ РАБИС-НП ДЛЯ ПРЕДВАРИТЕЛЬНОЙ НАСТРОЙКИ СЗИ НСД С ЦЕЛЬЮ ОРГАНИЗАЦИИ ЗАМКНУТОЙ ПРОГРАММНОЙ СРЕДЫ

 

Перечень исполнимых модулей функционирующих под управлением операционной системы Windows 2000/2003 на серверах подсистем РАБИС НП приведен в таблице 1.

 

Таблица 1

А. Прикладные исполнимые модули ПК РКЦ РАБИС-НП (%pathkernel%\)
omniNamesSvc.exe Srvany.exe Xpress.exe Task202.exe Task203.exe Task204.exe Task205.exe	Task296.exe Task297.exe Task807.ovl task808.ovl task873.exe task842.exe task845.exe		task846.exe task847.exe task873.ovl task999s.exe task999p.exe task7000.exe UniqIdset.exe
Б. Исполнимые модули динамических библиотек, поставляемые в составе ПК РКЦ РАБИС-НП (%pathkernel%\BPLDLL\)
Adm850t.dll Authclient.dll authmodule.dll bcbsmp50.bpl boom10_mtc.dll borlndmm.dll cc3250mt.dll cfgmodule.dll clstools.dll CM_LIBW.dll Coom12_mtc.dll Corbasensors.dll cspmanager.dll cspproxy.dll cspsignatura.dll dllcache.dll dllcachelist.dll Evntview.dll Execcli.dll Ftplocal.dll Ftpmebius.dll ftpmodule.dll ftpwininet.dll hr.dll	inetsock.dll intconfig.dll iprof.dll MebiusControls2.bpl mebiusevents2.bpl moddict.dll omniDynamic3_rt.dll omniorb3_rt.dll omnithread_rt.dll proctun.dll qoom14_mtc.dll quest1_mtc.dll questvclado_mtc.dll questvclbde_mtc.dll rar.exe regdict.dll regview.dll regwrite.dll room610_mtc.dll rpctools.dll Sensorjrn.dll Sensorslot.dll Servtu.dll	Support.dll task850t.dll Thrguard.dll Thrguard_mtc.dll Toomco_mtc.dll Toomem_mtc.dll Toomim_mtc.dll Toomut_mtc.dll Toom_mtc.dll Toomvc_mtc.dll TUTIL32.DLL Tvcrypto.dll Types10_mtc.dll uniqid.dll vcl50.bpl vclado50.bpl vcldb50.bpl vclbde50.bpl vclx50.dll wboth.dll ylog_mtc.dll zlibc.dll
В. Исполнимые модули динамических библиотек операционной системы (WINNT\SYSTEM32\)
ntdll.dll USER32.dll KERNEL32.dll GDI32.dll Gds.dll ADVAPI32.dll RPCRT4.dll Msafd.dll MSVCRT.dll Samlib.dll SHELL32.dll	COMCTL32.dll WINMM.dll WINSPOOL.DRV WS2_32.dll WS2HELP.dll WSOCK32.dll MSVCIRT.dll MSVCRT40.dll VERSION.dll LZ32.dll oleaut32.dll	ole32.dll mpr.dll comdlg32.dll odbs32.dll odbcint.dll oledlg.dll ntlanman.dll netapi32.dll netui0.dll netui1.dll

 

Перечень исполнимых модулей функционирующих под управлением операционной системы Windows 98/2000/XP на рабочих станциях ПК РКЦ РАБИС-НП приведен в табл. 2.

 

Таблица 2

А. Прикладные исполнимые модули ПК РКЦ РАБИС-НП (каталог %pathkernel%\ сервера подсистемы)
Begin.ovl end.ovl end02.exe end03.exe end17.exe End27.exe End261.exe End276exe End289.exe End293.exe End294.exe end300.exe end306.exe end317.exe end500.exe end828.exe GenPr.exe instsrv.exe load.exe mkqprop.exe PrintSetup.exe Prof.bat Prof_viewer.exe svrtrans.ovl start.bat Task02.ovl Task03.ovl Task08.ovl Task09.ovl Task15.ovl	Task16.ovl Task17.ovl Task27.ovl Task92.ovl Task105.ovl Task106.ovl Task261.ovl Task263.ovl Task272.ovl Task275.ovl Task276.ovl Task277.ovl Task289.ovl Task293.ovl Task294.ovl Task297.exe Task298.ovl Task300.ovl Task301.ovl Task306.ovl Task314.ovl Task317.ovl Task330.ovl Task331.ovl Task332.ovl Task333.ovl Task339.ovl Task340.ovl Task342.ovl Tbluscnv.exe	Task343.ovl Task344.ovl Task346.ovl Task382.ovl Task431.ovl Task455.ovl Task457.ovl Task467.ovl Task478.ovl Task479.ovl Task480.ovl Task485.ovl Task500.ovl Task501.ovl Task502.ovl Task704.ovl Task710.ovl Task803.ovl Task804.ovl Task809.ovl Task815.ovl Task816.ovl Task828.ovl Task833.ovl Task834.ovl Task835.ovl Task836.ovl Task837.ovl Task839.ovl Task840.ovl	Task841.ovl Task844.ovl Task845.ovl Task849.ovl Task850.exe Task851.ovl Task852.exe Task854.ovl Task856.ovl Task858.ovl Task862.ovl Task863ovl Task872.ovl Task890.ovl Task901.ovl Task905.ovl Task907.ovl Task909.ovl Task921.ovl Task955.ovl Task961.ovl Task962.ovl Task964.ovl Task965.ovl Task970.ovl Task997.ovl Task998.ovl Task2011.ovl Task7000.exe Xpress.exe
Б. Исполнимые модули динамических библиотек, поставляемые в составе ПО ПК РКЦ РАБИС-НП (каталог %pathkernel%\BPLDLL\ сервера подсистемы)
Adm850t.dll Authclient.dll authmodule.dll bcbsmp50.bpl boom10_mtc.dll borlndmm.dll cc3250mt.dll cfgmodule.dll clstools.dll CM_LIBW.dll Coom12_mtc.dll Corbasensors.dll cspmanager.dll cspproxy.dll cspsignatura.dll dllcache.dll dllcachelist.dll	Evntview.dll Execcli.dll Ftplocal.dll Ftpmebius.dll ftpmodule.dll ftpwininet.dll hr.dll inetsock.dll intconfig.dll iprof.dll MebiusControls2.bpl mebiusevents2.bpl moddict.dll omniDynamic3_rt.dll omniorb3_rt.dll omnithread_rt.dll proctun.dll qoom14_mtc.dll	quest1_mtc.dll questvclado_mtc.dll questvclbde_mtc.dll rar.exe regdict.dll regview.dll regwrite.dll room610_mtc.dll rpctools.dll Sensorjrn.dll Sensorslot.dll Servtu.dll Support.dll task850t.dll Thrguard.dll Thrguard_mtc.dll Toomco_mtc.dll	Toomem_mtc.dll Toomim_mtc.dll Toomut_mtc.dll Toom_mtc.dll Toomvc_mtc.dll TUTIL32.DLL Tvcrypto.dll Types10_mtc.dll uniqid.dll vcl50.bpl vclado50.bpl vcldb50.bpl vclbde50.bpl vclx50.dll wboth.dll ylog_mtc.dll zlibc.dll
В. Исполнимые модули динамических библиотек операционной системы (локальный каталог WINNT\SYSTEM32\ рабочей станции)
ntdll.dll USER32.dll KERNEL32.dll GDI32.dll ADVAPI32.dll RPCRT4.dll	MSVCRT.dll SHELL32.dll COMCTL32.dll Wininet.dll WINMM.dll WINSPOOL.DRV	WS2_32.dll WS2HELP.dll WSOCK32.dll MSVCRT40.dll VERSION.dll LZ32.dll	oleaut32.dll ole32.dll mpr.dll comdlg32.dll oledlg.dll

Примечание. Приведенные перечни исполнимых модулей следует использовать только в качестве первоначального списка для организации режима «мягкого разграничения доступа» СЗИ НСД с целью уточнения перечня необходимых модулей замкнутой программной среды на защищаемой установке.

 

ПРИЛОЖЕНИЕ 2

 

Список используемых сокращений

CAC	- трейлер сообщения, подтверждающий успешный результат технологического контроля
FAC	- трейлер сообщения, подтверждающий подлинность
OID	- объектный идентификатор
UID	- уникальный идентификатор документа
VPN	- виртуальная частная сеть (Virtual Private Network)
АРМ	 Автоматизированное рабочее место
АС	- Автоматизированная система
АСБР	- автоматизированная система банковских расчетов
АУР	- ассоциированный участник расчетов (АС «БЭСП»)
БД	 База данных
БИК	 Банковский идентификационный код
БР	- Банк России
БС	 Балансовый счет
БЭСП	- банковские электронные срочные платежи
ВБС	 внебалансовые счета
ВДК	 Внутридневной кредит «овердрафт»
ВК	- Вычислительный комплекс
ВЭП	- Внутрирегиональные электронные платежи
ВЭР	- внутрирегиональные электронные расчеты
ГРКЦ	- Головной расчетно-кассовый центр
ГТК	- Государственная техническая комиссия при Президенте Российской Федерации
ГУ	 Главное управление
ГУБиЗИ	- Главное управление безопасности и защиты информации
ГЦИ	 Главный центр информатизации
ГЦКИ	- главный центр управления ключевой информацией
ДДММГГ	 День, месяц, год
ДИС	- Департамент информационных систем
ДС	- дистрибутивная система
ЗК	- защитный код
ЗО	 заключительные обороты
ИАС	- Информационно-аналитическая система
ИБ	- информационная безопасность
ИВП	 Информационно-вычислительное подразделение
КА	- Код аутентификации
КО	 Кредитная организация
КОИ	 Коллективная обработка информации
КЦОИ	 Коллективный центр обработки информации
л/с	 Лицевой счет
ЛВС	- локальная вычислительная сеть
ЛТС	- Локальный транспортный сервис
ЛТС	 Локальная транспортная станция
МРХ	- межрегиональное хранилище
МСЭ	- межсетевой экран
МЭП	- Межрегиональные электронные платежи
МЭП	 Межрегиональный электронный документ
МЭР	 Межрегиональные электронные расчеты
НБ	- Национальный Банк
НИР	- научно-исследовательская работа
НП	- новый план счетов
НСД	- Несанкционированный доступ
НСИ	 Нормативно-справочная информация
ОА	- Объект автоматизации
ОВН	 Однодневный кредит «овернайт»
ОИТУ	 Обработка информации террриториального управления
ОИТУ	- Экземпляр центра обработки информации, создаваемый для обработки информации отдельного ТУ в КЦОИ (подсистема обработки информации территориального управления)
ОО	 Основные обороты
ООО	- общество с ограниченной ответственностью
опердень	 Операционный день
ОС	- Операционная система
ОУР	- особый участник расчётов (АС «БЭСП»)
ПА	- Почтовое авизо
ПК	- Программный комплекс
ПМ	- Пакет модификации
ПО	- Программное обеспечение
ПС	- Подсистема
ПУ	 Полевое учреждение
ПУР	- прямой участник расчётов (АС «БЭСП»)
ПЭВМ	- Персональная электронно-вычислительная машина
РАБИС	- Региональная автоматизированная банковская информационная система
РКЦ	- расчетно - кассовый центр
РФ	- Российская Федерация
РЦИ	- региональный центр информатизации
СВК	- среда взаимодействия с клиентами
СД	- Сервер доступа
СЗИ	- Средство защиты информации
СК	- сервер контроля
СКАД	система криптографической авторизации документов
СКЗИ	- Средство криптографической защиты информации
СПИ	- сервер преобразования информации
СУБД	- Система управления базами данных
ТА	- Телеграфное авизо
ТПК	 Типовой программный комплекс
ТС	- Транспортная станция
ТСЭР	- транспортная система электронных расчётов
ТУ	 Территориальное учреждение
ТЦОИ	 Территориальный центр обработки информации
УБиЗИ	- Управление безопасности и защиты информации
УБР	 Учреждение Банка России
УИД	- уникальный идентификатор документа
УИС	- уникальный идентификатор составителя
УОС	 Учетно-операционная система
УТМ	- Универсальная транспортная машина
УТП	 Унифицированная транспортная подсистема
УФЭБС	- Унифицированные форматы электронных банковских сообщений
УЭО	 участники в электронного обмена
ФСТЭК	- Федеральная служба по техническому и экспортному контролю
ЦБ РФ	- Центральный банк Российской Федерации
ЦОИ	- Центр обработки информации
ЦОиР	- центр обработки и расчётов (АС «БЭСП»)
ЦУКС	- Центр управления ключевыми системами
ЭБ	 Электронная база
ЭБВС	 Эталонная база входящих сообщений
ЭД	- Электронный документ
ЭКР	- Эмиссионно-кассовая работа
ЭО	 Эмиссионные обороты
ЭП	- Электронный платеж
ЭПД	- Электронный платежный документ
ЭПС	- электронное платёжное сообщение
ЭПС ПФ	 Электронное платежное сообщение полного формата
ЭПС СФ	 Электронное платежное сообщение сокращенного формата
ЭС	 Электронное сообщение
ЭСИД	- электронный служебно-информационный документ
ЭСИС	 Электронное служебное информационное сообщение
ЭЦП	- Электронная цифровая подпись