Материал: Sb96067

17. Внедрение организационных мер защиты информации

Установка и настройка средствзащиты информации осуществляется в случаях, если такие средства необходимы дляблокирования (нейтрализации) угроз безопасности информации, которые невозможно исключить настройкой (заданием параметров) программного обеспечения АСУ и (или) реализацией организационных мер защиты информации

Установка и настройка средств защитыинформации в АСУ должна проводиться в соответствии с эксплуатационной документацией на систему защиты АСУ и документацией на средства

защиты информации

При этом установка и настройка средств защиты информации должна обеспечивать корректность функционирования АСУ и совместимость выбранных средств защиты информации с программным обеспечением и техническими АСУ. Установленные и настроенные средства защиты информации не должны оказывать отрицательного влияния на штатный режим функционирования АСУ

21

18. Испытания, опытная эксплуатация, уязвимости

Предварительные испытания системы защитыАСУ проводятся с учетомГОСТ 34.603 «Информационная технология. Виды испытаний автоматизированных систем, стандартов организации» и включают проверку работоспособности системы защиты АСУ, а также принятие решенияо возможности опытной эксплуатации системы защиты АСУ

По результатам предварительных испытаний системы защиты АСУ могут разрабатываться предложения по корректировке проектных решений по АСУ и (или) ее системе защиты

Опытная эксплуатация системы защиты АСУ проводится с учетом ГОСТ 34.603, стандартов организации и включает проверку функционирования системы защиты АСУ, в том числе реализованных мер защиты информации, а также готовность персонала АСУ кэксплуатации системы защиты АСУ

По результатам опытной эксплуатации системы защиты АСУ могут разрабатываться предложения по корректировке проектных решений по АСУ и (или) ее системе защиты

Анализ уязвимостей АСУ проводится в целях оценки возможности преодоления нарушителем системы защиты АСУ и нарушения безопасного функционирования АСУ за счет реализации угроз безопасности информации

Анализ уязвимостей АСУ включает анализ уязвимостейсредств защиты информации, технических средств и программного обеспечения АСУ

Прианализе уязвимостей АСУ проверяется отсутствие уязвимостей средствзащиты информации, технических средств ипрограммного обеспечения, в том числе с учетом информации, имеющейся

уразработчиков иполученной издругих общедоступных источников, правильность установки и настройки средствзащиты информации, технических средств ипрограммного обеспечения,

атакже корректность работы средств защитыинформации, технических средств ипрограммного

обеспечения АСУ при их взаимодействии

По решению заказчика для подтверждения выявленных уязвимостей может проводиться тестирование АСУ на проникновение. Указанное тестирование проводится, как правило, на макете (в тестовой зоне) АСУ

Вслучае выявленияуязвимостейв АСУ, приводящих квозникновениюдополнительных угроз безопасности информации, проводитсяуточнение модели угрозбезопасности информации

ипринеобходимостипринимаютсядополнительные меры защитыинформации, направленные на устранение выявленных уязвимостейилиисключающие возможность эксплуатации

нарушителем выявленных уязвимостей

Анализ уязвимостей АСУ проводится до ввода АСУ в промышленную эксплуатациюна этапах, определяемых заказчиком

22

19. Приемочные испытания

Приемочные испытаниясистемы защиты АСУ проводятся, как правило, в рамках приемочных испытаний АСУв целом с учетом ГОСТ 34.603 и стандартов организации

Входе приемочных испытаний должен быть проведенкомплекс организационных

итехнических мероприятий (испытаний), в результате которых подтверждается

соответствие системы защиты АСУ техническому заданию на создание (модернизацию) АСУ и (или) техническому заданию (частному техническому заданию) на создание системызащиты АСУ, а также заданным требованиям

Приемочные испытания системы защиты АСУпроводятся в соответствии с программой и методикой приемочных испытаний. Результатыприемочных испытаний системы защиты АСУс выводом о ее соответствии установленным требованиям включаются в акт приемки АСУв эксплуатацию

По решению заказчика подтверждение соответствия системы защиты АСУтехническому заданию на создание (модернизацию) АСУи (или) техническому заданию (частному техническому заданию) на создание системызащиты АСУ, а также заданным требованиям

может проводиться в форме аттестации АСУна соответствие требованиям по защите информации. В этом случае для проведения аттестации применяются национальные стандарты, а также методические документы ФСТЭК России

Ввод в действие АСУосуществляется с учетом ГОСТ 34.601, стандартов организации и при положительном заключении (выводе) в акте приемки о соответствии ее системы защиты установленным требованиям к защите информации

(или при наличии аттестата соответствия)

23

24

21.Обеспечение защиты информации в ходе действий

внештатных (непредвиденных) ситуациях

ив ходе информирования и обучения персонала

В ходе обеспечения действий в нештатных (непредвиденных) ситуациях при эксплуатации АСУ осуществляются

Обеспечение возможности восстановления АСУ и (или) ее компонентов в случае возникновения нештатных (непредвиденных) ситуаций

Входе информирования

иобучения персонала АСУ осуществляются

25