Нормативные документы в области ИТЗИ:
43. Все операции по приему и выдаче ручной клади и багажа должны обеспечивать:
а) минимальную затрату пассажирами времени на сдачу (получение) ручной клади и багажа;
б) сохранность ручной клади и багажа;
в) высокую производительность труда работников, обслуживающих камеру хранения;
г) полный сбор платы за хранение.
44. Часы работы камеры хранения соответствуют времени работы автовокзала (автостанции).
Перерыв в работе камеры хранения в соответствии с Правилами может устанавливаться в часы наименьшей частоты движения автобусов с обязательным ее открытием не позднее чем за 30 мин. до отправления очередного автобуса.
45. Работа камеры хранения организуется с использованием жетонов.
46. Плата за хранение багажа производится по тарифам, действующим в системе министерства.
Пассажир, сдавая багаж на хранение, оплачивает через кассу - копилку (кассу - полуавтомат) первые сутки хранения и отрывает контрольный билет.
47. При приеме багажа на хранение кладовщик камеры хранения обязан:
- осмотреть упаковку сдаваемого багажа;
- отметить штамп - часами контрольный билет, полученный от пассажира;
- прикрепить дубликат жетона вместе с контрольным билетом к сдаваемому на хранение багажу;
- выдать пассажиру жетон;
- поставить багаж на стеллаж.
48. При выдаче пассажиру принятого на хранение багажа кладовщик камеры хранения получает от пассажира жетон, выданный при сдаче багажа, производит расчет с пассажиром за хранение багажа, через кассу - копилку (кассу - полуавтомат), выдает пассажиру багаж по номеру, обозначенному на жетоне.
49. По окончании рабочей смены работник камеры хранения составляет отчет о работе за день (по форме "Билетно - учетного листа") и вместе с выручкой сдает его старшему (дежурному) кассиру.
50. Камера хранения должна быть оборудована стеллажами, настенной доской для жетонов, столом и стулом для работника камеры хранения, кассой - копилкой (кассой - полуавтоматом), штамп - часами, столом для вещей пассажиров, противопожарным инвентарем.
51. Для каждого автовокзала (автостанции) должны быть установлены нормы времени на прием и выдачу ручного багажа, разработанные с учетом опыта лучших работников камеры хранения данного автовокзала (автостанции).
В камерах хранения с малым объемом работы работники также могут производить предварительную продажу билетов, при соответствующем дополнительном оборудовании рабочего места.
52. На автовокзалах с большим суточным объемом работы камер хранения (а также на автостанциях, где нет необходимости в организации камер хранения) дополнительно могут устанавливаться автоматические камеры хранения (Приложение 27.4).
Основным нормативным документом является перечень сведений, составляющих государственную, военную, коммерческую или любую другую тайну. Перечень сведений, содержащих государственную тайну, основывается на положениях Закона «О государственной тайне»». Перечни подлежащих защите сведений этого закона конкретизируются ведомствами применительно к тематике конкретных организаций. В коммерческих структурах, выполняющих государственные заказы, перечни распространяются на информацию, относящуюся к этому заказу. Перечни сведений, составляющих коммерческую тайну, составляются руководством фирмы при участии сотрудников службы безопасности.
Другие нормативные документы определяют максимально допустимые значения уровней сигналов с защищаемой информацией и концентрации демаскирующих веществ на границах контролируемых зон, непревышение которых обеспечивает требуемый уровень безопасности информации. Эти нормы разрабатываются соответствующими ведомствами, а для коммерческих структур, выполняющих негосударственные заказы, -- специалистами этих структур. Кроме того, нормативные документы объединены с методиками измерения параметров норм.
Работа по защите информации в организации проводится всеми его сотрудниками, но степень участия различных категорий существенно отличается. Любой сотрудник, подписавший обязательство о неразглашении тайны, участвует в защите информации хотя бы путем выполнения руководящих документов о защите информации.
1.3 Мониторинг эффективности применяемых инженерно-технических средств обеспечения информационной безопасности на объекте информатизации
Имеющиеся инженерно-технические средства охраны представляют собой следующее:
- Видеорегистратор, установленный в главном помещении;
- Централизованная система пожаротушения, пожарный пульт в главном помещении
Данные средства выполняют свои основные функции, коими являются:
- обнаружение пожара и прочих угроз;
- обработка и протоколирование информации;
- формирование управляющих сигналов тревоги;
- формирование команды на включение автоматических установок пожаротушения и дымоудаления, систем оповещения о пожаре, технологического, электротехнического и другого инженерного оборудования объектов.
1.4 Проверка технического состояния инженерно-технических средств обеспечения информационной безопасности
Проверка АРМ на соответствие организационно-техническим требованиям по защите информации проводится в объеме, указанном в таблице 2.
1) Производится проверка достаточности представленных документов и соответствия их содержания требованиям стандартов и иным руководящим документам по безопасности информации ФСТЭК России и других органов государственного управления в пределах компетенции.
2) С представленной документацией сверяется состав и структура программно-технических средств, включенных в реальный технологический процесс обработки информации.
3) Проверка правильности категорирования ОТСС производится в соответствии с требованиями раздела 3 СТР на основании следующих исходных данных:
- максимальной степени секретности обрабатываемой информации;
- условий расположения технических средств.
Указанные исходные данные должны быть подтверждены документально заключениями о степени секретности информации, актами, планами размещения и другими документами.
По результатам проверки определяются допустимые категории технических средств. Эти категории сравниваются с категориями, указанными в актах категорирования соответствующих технических средств.
4) Проверка правильности классификации АРМ производится в соответствии с требованиями РД Гостехкомиссии России «Автоматизированные системы. Защита от НСД к информации. Классификация АС и требования по защите информации» и раздела 6 СТР на основании следующих определяющих признаков:
степени секретности обрабатываемой информации;
- уровней полномочий по доступу к информации различных пользователей;
- режимов обработки данных (многопользовательского или однопользовательского);
- максимальной степени секретности обрабатываемой информации.
Таблица 2. Проверка АРМ на соответствие организационно-техническим требованиям
|
Пункт методики аттестационных испытаний |
Наименование Проверок и испытаний |
|
|
1 |
Проверка достаточности представленных документов и соответствия их содержания требованиям по безопасности информации |
|
|
2 |
Проверка соответствия состава и структуры программно-технических средств АРМ представленной документации |
|
|
3 |
Проверка правильности категорирования технических средств |
|
|
4 |
Проверка правильности классификации АРМ |
|
|
5 |
Проверка уровня подготовки кадров и распределения ответственности персонала |
|
|
6 |
Проверка наличия сертификатов соответствия на технические средства и средства защиты информации, экспертиза отчетов и протоколов по специальным исследованиям технических средств, предписаний на эксплуатацию технических средств |
|
|
7 |
Проверка выполнения требований к помещениям, в которых производится обработка информации |
Полученный класс АРМ сравнивается с установленным на ОИ.
5) Проверка уровня подготовки кадров и распределения ответственности производится на основе следующих показателей:
- экспертной оценки знания инструкций по безопасности информации пользователями и эксплуатационным персоналом;
- наличия разрешительной системы доступа персонала к защищаемым ресурсам, определяющей полномочия по доступу к секретной информации и процедуры их оформления, системы распределения ответственности персонала (оформленной приказами и распоряжениями начальника организации) за выполнение требований по безопасности информации;
- экспертной оценки системы технической учебы и повышения квалификации персонала и пользователей АРМ.
На основании опроса персонала проверяется знание исполнителями руководящих документов, необходимых технологических инструкций, предписаний, актов, заключений. Также проверяется уровень владения персоналом технологией безопасной обработки информации, описанной в этих инструкциях.
6) Производится проверка наличия документов (сертификатов соответствия), подтверждающих возможность применения технических и программных средств, средств защиты процесса обработки информации. Производится экспертиза на соответствие требованиям нормативных документов протоколов по специальным исследованиям технических средств и предписаний на эксплуатацию технических средств.
7) При проверке помещений производится оценка их соответствия требованиям действующей инструкции по обеспечению режима секретности.
Далее производится проверка выполнения требований руководящих документов по условиям размещения технических средств в помещениях, которые исключали бы возможность несанкционированного просмотра информации с экранов мониторов, с распечаток принтеров и с других устройств ввода-вывода информации.
Если технические средства будут размещены в ВП, то проверяются документы, подтверждающие защищенность информации в этих средствах от утечки за счет электроакустических преобразований в соответствии с требованиями раздела 4 СТР.
По результатам проверки комиссия делает выводы о соответствии (или несоответствии) предъявленных документов и исходных данных установленным требованиям по безопасности информации.
При испытаниях программно-технических элементов АС и АС в целом вне зависимости от типа аттестуемой АС объектами испытаний являются:
- подсистема управления доступом;
- подсистема регистрации и учета;
- криптографическая подсистема;
- подсистема обеспечения целостности.
АС по результатам предварительного анализа состава аппаратных и программных средств и технологического процесса обработки информации логически фрагментируется на относительно самостоятельные с точки зрения технической реализации и организации защиты информации компоненты, каждый из которых имеет свои механизмы защиты информации, правила доступа, администрирования и т.д.:
- сетевые средства;
- аппаратные и программные пограничные комплексы, выполняемые, как правило, на базе межсетевых экранов;
- логические фрагменты, функционирующие под управлением ОС семейства UNIX, ОС MSWindows, ОС NetWare и т.д.;
- серверы - почтовые, СУБД и т.д.;
- прикладное ПО;
- рабочие станции;
- отдельные технические и программные средства АС, средства и системы защиты информации.
Методики аттестационных испытаний выбираются (разрабатываются) для каждого из выделенных фрагментов, а также для проведения комплексных испытаний АС в целом, при этом в общем случае как для каждого из выделенных фрагментов, так и для АС в целом, в методиках предусматриваются следующие виды испытаний:
- проверка соответствия СЗИ НСД сертификату;
- испытания подсистемы управления доступом;
- испытания подсистемы регистрации и учета;
- испытания криптографической подсистемы;
- испытания подсистемы обеспечения целостности.
Аттестационные испытания АС проводятся с использованием инструментальных средств, согласованных с Заявителем, перечень которых приведен в методике испытаний. Необходимость применения инструментальной базы проведения аттестационных испытаний автоматизированных систем определяется требованиями обеспечения полноты, объективности, достоверности и точности испытаний.
Основным определяющим фактором как выбора инструментальных средств, так и объема и трудоемкости на каждом конкретном этапе испытаний, является уровень иерархии испытываемого элемента АС. С этой точки зрения рабочая станция ЛВС при аттестационных испытаниях исследуется первоначально по той же программе, что и автономный АРМ, а затем исследуется как элемент ЛВС и т.д.
Перечень инструментальных средств испытаний и их описание хранятся в органе по аттестации объектов информатизации и предоставляются для ознакомления Заявителю.
При отсутствии необходимых тестирующих средств они могут быть специально разработаны в период проведения аттестационных испытаний. Возможность их применения при испытаниях подтверждается председателем аттестационной комиссии и согласовывается с заявителем. После окончания испытаний документация на эти тестирующие средства прилагается к протоколам испытаний и отсылается в орган по аттестации.