Характеристика объектов автоматизации СОИБ СМС

СМС представляет собой государственную информационную систему города Москвы, обеспечивающую автоматизацию процессов раннего выявления и учёта семей с детьми, попавших, или могущих попасть в трудную жизненную ситуацию или в социально-опасное положение, включая семьи, в которых дети находятся под опекой (попечительством).

Функциональность СМС обеспечиваются Комплексной межведомственной инфраструктурой, которая является образующим компонентом единого инфраструктурного уровня в пределах единого защищенного информационного контура и выделенным сегментом ЦОД Заказчика.

В СМС должны быть обеспечены:

- единство защищенного инфраструктурного технологического пространства;

- удобный, надежный, безопасный и легитимный доступ пользователей.

СМС должна быть реализована посредством централизованных инфраструктурных решений, разворачиваемых в ЦОД, а также ограниченных типовых инфраструктурных решений.

Серверные компоненты СМС размещаются в вычислительном комплексе ЦОД.

Вычислительный комплекс СМС состоит из следующих подсистем:

- обработки данных (серверное оборудование);

- хранения данных;

- передачи данных;

- резервного копирования данных;

- мониторинга и управления.

Для доступа пользователей к автоматизированным рабочим местам (АРМ), инфраструктурным сервисам и подсистемам СМС должен использоваться комплекс средств аутентификации пользователей.

СМС должна быть реализована на базе отказоустойчивой программно-аппаратной платформы, которая позволяет применить отдельные логические разделы серверов для размещения различных программных компонентов СМС.

Коммуникационное оборудование обеспечивает взаимодействие компонент вычислительного комплекса СМС между собой и включает в себя следующие типы оборудования:

- коммуникационное оборудование Ethernet;

- коммуникационное оборудование сети хранения данных.

В состав информации, обрабатываемой в рамках подсистем СМС, входит информация ограниченного доступа, в том числе, персональные данные (далее – ПДн).

В качестве объекта защиты выступает информация ограниченного доступа, обрабатываемая в СМС – персональные данные по всем членам семьи, в том числе, переданных на воспитание в семью опекуна, или усыновителя.

К информации, обрабатываемой в СМС, предъявляются требования обеспечения целостности, доступности, конфиденциальности.

СМС является многопользовательской системой.

СМС представляет собой распределенную систему с централизованным управлением и хранением данных.

СМС имеет подключение к сети международного информационного обмена Интернет.

Требования к СОИБ СМС

Требования к системе в целом

При проектировании СОИБ СМС должны учитываться результаты проведенного анализа актуальных угроз безопасности, а также положения действующих нормативных правовых актов, определяющих состав требований для различных сервисов и ИС, реализованных в рамках СМС.

СМС должна защищаться как ИСПДн, так и как региональная (государственная) информационная система. В связи с чем, требования по защите информации в СМС должны быть реализованы согласно приказу ФСТЭК от 11 февраля 2013 г. № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах».

В качестве основы для определения состава базовых требований к защите информации СМС должны быть использованы требования для государственных ИС не выше второго класса защищенности.

Средства защиты информации, используемые в составе СОИБ СМС, должны пройти в установленном порядке процедуру оценки соответствия. В частности, в составе СОИБ СМС должны применяться:

- средства защиты информации не ниже 5 класса;

- системы обнаружения вторжений и средства антивирусной защиты не ниже 4 класса защищенности;

- межсетевые экраны не ниже 4 класса защищенности.

Программное обеспечение средств защиты информации, используемых в составе СОИБ СМС, должно пройти проверку не ниже чем по 4 уровню контроля недекларированных возможностей.

В результате проведенного анализа угроз для обеспечения требований безопасности информации[1], реализуемых средствами СОИБ СМС, должен быть создан комплекс средств защиты информации, реализующий указанные ниже требования.

Требования к комплексу средств защиты информации в рамках создания СОИБ СМС с учетом адаптированных мер приведены в таблицах ниже (Таблица 1).

Таблица 1 – Требования к комплексу средств защиты информации в рамках создания СОИБ СМС

№	Наименование средства	Реализация требований
1.	Комплекс средств защиты от НСД	Должны использоваться средства, реализующие требования ИАФ.1, ИАФ.2, ИАФ.3, ИАФ.4, ИАФ.5, ИАФ.6, УПД.1, УПД.2, УПД.3, УПД.4, УПД.5, УПД.6, УПД.11, УПД.13, УПД.14, УПД.15, УПД.16, УПД.17, ОПС.2, ОПС.3, ЗНИ.1, ЗНИ.2, ЗНИ.5, ЗНИ.8
2.	Комплекс средств аутентификации пользователей	Должны использоваться средства, реализующие требования ИАФ.1, ИАФ.2, ИАФ.3, ИАФ.4, ИАФ.5, ИАФ.6
3.	Комплекс средств антивирусной защиты	Должны использоваться средства, реализующие требования АВЗ.1, АВЗ.2, ЗСВ.9
4.	Комплекс средств межсетевого экранирования	Должны использоваться средства, реализующие требования УПД.1, УПД.2, УПД.3, УПД.4, УПД.13, УПД.14, УПД.15, УПД.16, ЗИС.7, ЗИС.8, ЗИС.9, ЗИС.11, ЗИС.17, ЗИС.23, ЗСВ.4
5.	Комплекс средств контроля действий администраторов	Должны использоваться средства, реализующие требования ЗИС.4, ЗИС.1, УПД.4, УПД.5
6.	Комплекс средств обнаружения вторжений (далее – СОВ)	Должны использоваться средства, реализующие требования СОВ.1, СОВ.2
7.	Комплекс средств анализа защищенности	Должны использоваться средства, реализующие требования АНЗ.1, АНЗ.2, АНЗ.3, АНЗ.4, АНЗ.5
8.	Комплекс средств контроля за разработкой ПО	Должны использоваться средства, реализующие требования ОПС.2, ОПС.3
9.	Комплекс средств защиты виртуальных сред	Должны использоваться средства, реализующие требования ЗСВ.1, ЗСВ.2, ЗСВ.3, ЗСВ.4, ЗСВ.6, ЗСВ.7, ЗСВ.8, ЗСВ.10
10.	Комплекс средств управления инцидентами ИБ	Должны использоваться средства, реализующие требования РСБ.1, РСБ.2, РСБ.3, РСБ.4, РСБ.5, РСБ.6, РСБ.7
11.	Комплекс средств защиты от DDoS	Должны использоваться средства, реализующие требования ОДТ.3, ЗИС.22
12.	Комплекс средств предотвращения утечки информации	Должны использоваться средства, реализующие требования ОЦЛ.1, ОЦЛ.3,ОЦЛ.4
13.	Комплекс средств контроля web-приложений	Должны использоваться средства, реализующие требования ЗИС.16
14.	Комплекс средств резервного копирования	Должны использоваться средства, реализующие требования ОДТ.4, ОДТ.5, ЗСВ.8
15.	Комплекс средств защиты каналов связи	Должны использоваться средства, реализующие требования ЗИС.3