ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ

Список изменяющих документов

(в ред. Приказа ФСТЭК России от 15.02.2017 N 27)

В соответствии с частью 5 статьи 16 Федерального закона от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3448; 2010, N 31, ст. 4196; 2011, N 15, ст. 2038; N 30, ст. 4600; 2012, N 31, ст. 4328) и Положением о Федеральной службе по техническому и экспортному контролю, утвержденным Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818), ПРИКАЗЫВАЮ:

1. Утвердить прилагаемые Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах.

2. Установить, что указанные в пункте 1 настоящего приказа Требования применяются для защиты информации в государственных информационных системах с 1 сентября 2013 г.

Директор

Федеральной службы по техническому

и экспортному контролю

УТВЕРЖДЕНЫ

приказом ФСТЭК России

ТРЕБОВАНИЯ

О ЗАЩИТЕ ИНФОРМАЦИИ, НЕ СОСТАВЛЯЮЩЕЙ ГОСУДАРСТВЕННУЮ ТАЙНУ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ

I. Общие положения

1. Настоящие Требования разработаны в соответствии с Федеральным законом от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации» (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3448; 2010, N 31, ст. 4196; 2011, N 15, ст. 2038; N 30, ст. 4600; 2012, N 31, ст. 4328), а также с учетом национальных стандартов Российской Федерации в области защиты информации и в области создания автоматизированных систем (далее - национальные стандарты).

2. В документе устанавливаются требования к обеспечению защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну (далее - информация), от утечки по техническим каналам, несанкционированного доступа, специальных воздействий на такую информацию (носители информации) в целях ее добывания, уничтожения, искажения или блокирования доступа к ней (далее - защита информации) при обработке указанной информации в государственных информационных системах.

Настоящие Требования могут применяться для защиты общедоступной информации, содержащейся в государственных информационных системах, для достижения целей, указанных в пунктах 1 и 3 части 1 статьи 16 Федерального закона от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации".

В документе не рассматриваются требования о защите информации, связанные с применением криптографических методов защиты информации и шифровальных (криптографических) средств защиты информации.

3. Настоящие Требования являются обязательными при обработке информации в государственных информационных системах, функционирующих на территории Российской Федерации, а также в муниципальных информационных системах, если иное не установлено законодательством Российской Федерации о местном самоуправлении.

Настоящие Требования не распространяются на государственные информационные системы Администрации Президента Российской Федерации, Совета Безопасности Российской Федерации, Федерального Собрания Российской Федерации, Правительства Российской Федерации, Конституционного Суда Российской Федерации, Верховного Суда Российской Федерации и Федеральной службы безопасности Российской Федерации.

4. Настоящие Требования предназначены для обладателей информации, заказчиков, заключивших государственный контракт на создание государственной информационной системы (далее - заказчики) и операторов государственных информационных систем (далее - операторы).

Лицо, обрабатывающее информацию, являющуюся государственным информационным ресурсом, по поручению обладателя информации (заказчика) или оператора и (или) предоставляющее им вычислительные ресурсы (мощности) для обработки информации на основании заключенного договора (далее - уполномоченное лицо), обеспечивает защиту информации в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации. В договоре должна быть предусмотрена обязанность уполномоченного лица обеспечивать защиту информации, являющейся государственным информационным ресурсом, в соответствии с настоящими Требованиями.

5. При обработке в государственной информационной системе информации, содержащей персональные данные, настоящие Требования применяются наряду с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации
от 1 ноября 2012 г. N 1119 (Собрание законодательства Российской Федерации, 2012, N 45, ст. 6257).

6. По решению обладателя информации (заказчика) или оператора настоящие Требования могут применяться для защиты информации, содержащейся в негосударственных информационных системах.

7. Защита информации, содержащейся в государственной информационной системе (далее - информационная система), обеспечивается путем выполнения обладателем информации (заказчиком) и (или) оператором требований к организации защиты информации, содержащейся в информационной системе, и требований к мерам защиты информации, содержащейся в информационной системе.

II. Требования к организации защиты информации, содержащейся в информационной системе

8. В информационной системе объектами защиты являются информация, содержащаяся в информационной системе, технические средства (в том числе средства вычислительной техники, машинные носители информации, средства и системы связи и передачи данных, технические средства обработки буквенно-цифровой, графической, видео- и речевой информации), общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации.

9. Для обеспечения защиты информации, содержащейся в информационной системе, оператором назначается структурное подразделение или должностное лицо (работник), ответственные за защиту информации.

10. Для проведения работ по защите информации в ходе создания и эксплуатации информационной системы обладателем информации (заказчиком) и оператором в соответствии с законодательством Российской Федерации при необходимости привлекаются организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации в соответствии с Федеральным законом от 4 мая 2011 г. N 99-ФЗ «О лицензировании отдельных видов деятельности» (Собрание законодательства Российской Федерации, 2011, N 19, ст. 2716; N 30, ст. 4590; N 43, ст. 5971; N 48, ст. 6728; 2012, N 26, ст. 3446; N 31, ст. 4322; 2013, N 9, ст. 874).

11. Для обеспечения защиты информации, содержащейся в информационной системе, применяются средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации в соответствии со статьей 5 Федерального закона от 27 декабря 2002 г. N 184-ФЗ «О техническом регулировании» (Собрание законодательства Российской Федерации, 2002, N 52, ст. 5140; 2007, N 19, ст. 2293; N 49, ст. 6070; 2008, N 30, ст. 3616; 2009, N 29, ст. 3626; N 48, ст. 5711; 2010, N 1, ст. 6; 2011, N 30, ст. 4603; N 49, ст. 7025; N 50, ст. 7351; 2012, N 31, ст. 4322; 2012, N 50, ст. 6959).

12. Защита информации, содержащейся в информационной системе, является составной частью работ по созданию и эксплуатации информационной системы и обеспечивается на всех стадиях (этапах) ее создания, в ходе эксплуатации и вывода из эксплуатации путем принятия организационных и технических мер защиты информации, направленных на блокирование (нейтрализацию) угроз безопасности информации в информационной системе, в рамках системы (подсистемы) защиты информации информационной системы (далее - система защиты информации информационной системы).

Организационные и технические меры защиты информации, реализуемые в рамках системы защиты информации информационной системы, в зависимости от информации, содержащейся в информационной системе, целей создания информационной системы и задач, решаемых этой информационной системой, должны быть направлены на исключение:

неправомерных доступа, копирования, предоставления или распространения информации (обеспечение конфиденциальности информации);

неправомерных уничтожения или модифицирования информации (обеспечение целостности информации);

неправомерного блокирования информации (обеспечение доступности информации).

13. Для обеспечения защиты информации, содержащейся в информационной системе, проводятся следующие мероприятия:

формирование требований к защите информации, содержащейся в информационной системе;

разработка системы защиты информации информационной системы;

внедрение системы защиты информации информационной системы;

аттестация информационной системы по требованиям защиты информации (далее - аттестация информационной системы) и ввод ее в действие;

обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы;

обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации.

Формирование требований к защите информации, содержащейся в информационной системе

14. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется обладателем информации (заказчиком).

Формирование требований к защите информации, содержащейся в информационной системе, осуществляется с учетом ГОСТ Р 51583 «Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Общие положения» (далее - ГОСТ Р 51583) и ГОСТ Р 51624 «Защита информации. Автоматизированные системы в защищенном исполнении. Общие требования» (далее - ГОСТ Р 51624) и в том числе включает:

принятие решения о необходимости защиты информации, содержащейся в информационной системе;

классификацию информационной системы по требованиям защиты информации (далее - классификация информационной системы);

определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации;

определение требований к системе защиты информации информационной системы.

14.1. При принятии решения о необходимости защиты информации, содержащейся в информационной системе, осуществляется:

анализ целей создания информационной системы и задач, решаемых этой информационной системой;

определение информации, подлежащей обработке в информационной системе;

анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система;

принятие решения о необходимости создания системы защиты информации информационной системы, а также определение целей и задач защиты информации в информационной системе, основных этапов создания системы защиты информации информационной системы и функций по обеспечению защиты информации, содержащейся в информационной системе, обладателя информации (заказчика), оператора и уполномоченных лиц.

14.2. Классификация информационной системы проводится в зависимости от значимости обрабатываемой в ней информации и масштаба информационной системы (федеральный, региональный, объектовый).

Устанавливаются три класса защищенности информационной системы, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс - третий, самый высокий - первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям.

Класс защищенности определяется для информационной системы в целом и, при необходимости, для ее отдельных сегментов (составных частей). Требование к классу защищенности включается в техническое задание на создание информационной системы и (или) техническое задание (частное техническое задание) на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34.602 «Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы» (далее - ГОСТ 34.602), ГОСТ Р 51583 и ГОСТ Р 51624.

Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации.

Результаты классификации информационной системы оформляются актом классификации.

14.3. Угрозы безопасности информации определяются по результатам оценки возможностей (потенциала) внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации (конфиденциальности, целостности, доступности).

В качестве исходных данных для определения угроз безопасности информации используется банк данных угроз безопасности информации (bdu.сайт), ведение которого осуществляется ФСТЭК России в соответствии с подпунктом 21 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818; 2013, N 26, ст. 3314; N 53, ст. 7137; 2014, N 36, ст. 4833; N 44, ст. 6041; 2015, N 4, ст. 641; 2016, N 1, ст. 211) (далее – банк данных угроз безопасности информации ФСТЭК России), а также иные источники, содержащие сведения об уязвимостях и угрозах безопасности информации.

При определении угроз безопасности информации учитываются структурно-функциональные характеристики информационной системы, включающие структуру и состав информационной системы, физические, логические, функциональные и технологические взаимосвязи между сегментами информационной системы, с иными информационными системами и информационно-телекоммуникационными сетями, режимы обработки информации в информационной системе и в ее отдельных сегментах, а также иные характеристики информационной системы, применяемые информационные технологии и особенности ее функционирования.

По результатам определения угроз безопасности информации при необходимости разрабатываются рекомендации по корректировке структурно-функциональных характеристик информационной системы, направленные на блокирование (нейтрализацию) отдельных угроз безопасности информации.

Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей (модель нарушителя), возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации.

Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818).

14.4. Требования к системе защиты информации информационной системы определяются в зависимости от класса защищенности информационной системы и угроз безопасности информации, включенных в модель угроз безопасности информации.

Требования к системе защиты информации информационной системы включаются в техническое задание на создание информационной системы и (или) техническое задание (частное техническое задание) на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34.602, ГОСТ Р 51583 и ГОСТ Р 51624, и должны в том числе содержать:

цель и задачи обеспечения защиты информации в информационной системе;

класс защищенности информационной системы;

перечень нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система;

перечень объектов защиты информационной системы;

требования к мерам и средствам защиты информации, применяемым в информационной системе;

стадии (этапы работ) создания системы защиты информационной системы;

требования к поставляемым техническим средствам, программному обеспечению, средствам защиты информации;

функции заказчика и оператора по обеспечению защиты информации в информационной системе;

требования к защите средств и систем, обеспечивающих функционирование информационной системы (обеспечивающей инфраструктуре);

требования к защите информации при информационном взаимодействии с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также при применении вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки информации.

При определении требований к системе защиты информации информационной системы учитываются положения политик обеспечения информационной безопасности обладателя информации (заказчика), а также политик обеспечения информационной безопасности оператора и уполномоченного лица в части, не противоречащей политикам обладателя информации (заказчика).

Разработка системы защиты информации информационной системы

15. Разработка системы защиты информации информационной системы организуется обладателем информации (заказчиком).

Разработка системы защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации информационной системы с учетом ГОСТ 34.601 «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания» (далее - ГОСТ 34.601), ГОСТ Р 51583 и ГОСТ Р 51624 и в том числе включает:

проектирование системы защиты информации информационной системы;

разработку эксплуатационной документации на систему защиты информации информационной системы;

макетирование и тестирование системы защиты информации информационной системы (при необходимости).

Система защиты информации информационной системы не должна препятствовать достижению целей создания информационной системы и ее функционированию.

При разработке системы защиты информации информационной системы учитывается ее информационное взаимодействие с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также применение вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки информации.

15.1. При проектировании системы защиты информации информационной системы:

определяются типы субъектов доступа (пользователи, процессы и иные субъекты доступа) и объектов доступа, являющихся объектами защиты (устройства, объекты файловой системы, запускаемые и исполняемые модули, объекты системы управления базами данных, объекты, создаваемые прикладным программным обеспечением, иные объекты доступа);

определяются методы управления доступом (дискреционный, мандатный, ролевой или иные методы), типы доступа (чтение, запись, выполнение или иные типы доступа) и правила разграничения доступа субъектов доступа к объектам доступа (на основе списков, меток безопасности, ролей и иных правил), подлежащие реализации в информационной системе;

выбираются меры защиты информации, подлежащие реализации в системе защиты информации информационной системы;

определяются виды и типы средств защиты информации, обеспечивающие реализацию технических мер защиты информации;

определяется структура системы защиты информации информационной системы, включая состав (количество) и места размещения ее элементов;

осуществляется выбор средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, с учетом их стоимости, совместимости с информационными технологиями и техническими средствами, функций безопасности этих средств и особенностей их реализации, а также класса защищенности информационной системы;

определяются требования к параметрам настройки программного обеспечения, включая программное обеспечение средств защиты информации, обеспечивающие реализацию мер защиты информации, а также устранение возможных уязвимостей информационной системы, приводящих к возникновению угроз безопасности информации;

определяются меры защиты информации при информационном взаимодействии с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также при применении вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки информации.

Результаты проектирования системы защиты информации информационной системы отражаются в проектной документации (эскизном (техническом) проекте и (или) в рабочей документации) на информационную систему (систему защиты информации информационной системы), разрабатываемых с учетом ГОСТ 34.201 «Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем» (далее - ГОСТ 34.201).

Проектная документация на информационную систему и (или) ее систему защиты информации подлежат согласованию с оператором информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту окончания проектирования системы защиты информации информационной системы и не является заказчиком данной информационной системы.

При отсутствии необходимых средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, организуется разработка (доработка) средств защиты информации и их сертификация в соответствии с законодательством Российской Федерации или производится корректировка проектных решений по информационной системе и (или) ее системе защиты информации с учетом функциональных возможностей имеющихся сертифицированных средств защиты информации.

15.2. Разработка эксплуатационной документации на систему защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации информационной системы.

Эксплуатационная документация на систему защиты информации информационной системы разрабатывается с учетом ГОСТ 34.601, ГОСТ 34.201 и ГОСТ Р 51624 и должна в том числе содержать описание:

структуры системы защиты информации информационной системы;

состава, мест установки, параметров и порядка настройки средств защиты информации, программного обеспечения и технических средств;

правил эксплуатации системы защиты информации информационной системы.

15.3. При макетировании и тестировании системы защиты информации информационной системы в том числе осуществляются:

проверка работоспособности и совместимости выбранных средств защиты информации с информационными технологиями и техническими средствами;

проверка выполнения выбранными средствами защиты информации требований к системе защиты информации информационной системы;

корректировка проектных решений, разработанных при создании информационной системы и (или) системы защиты информации информационной системы.

Макетирование системы защиты информации информационной системы и ее тестирование может проводиться в том числе с использованием средств и методов моделирования информационных систем и технологий виртуализации.

Внедрение системы защиты информации информационной системы

16. Внедрение системы защиты информации информационной системы организуется обладателем информации (заказчиком).

Внедрение системы защиты информации информационной системы осуществляется в соответствии с проектной и эксплуатационной документацией на систему защиты информации информационной системы и в том числе включает:

установку и настройку средств защиты информации в информационной системе;

разработку документов, определяющих правила и процедуры, реализуемые оператором для обеспечения защиты информации в информационной системе в ходе ее эксплуатации (далее - организационно-распорядительные документы по защите информации);

внедрение организационных мер защиты информации;

предварительные испытания системы защиты информации информационной системы;

опытную эксплуатацию системы защиты информации информационной системы;

анализ уязвимостей информационной системы и принятие мер защиты информации по их устранению;

приемочные испытания системы защиты информации информационной системы.

К внедрению системы защиты информации информационной системы привлекается оператор информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту внедрения системы защиты информации информационной системы и не является заказчиком данной информационной системы.

16.1. Установка и настройка средств защиты информации в информационной системе должна проводиться в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и документацией на средства защиты информации.

16.2. Разрабатываемые организационно-распорядительные документы по защите информации должны определять правила и процедуры:

управления (администрирования) системой защиты информации информационной системы;

выявления инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности информации (далее - инциденты), и реагирования на них;

управления конфигурацией аттестованной информационной системы и системы защиты информации информационной системы;

контроля (мониторинга) за обеспечением уровня защищенности информации, содержащейся в информационной системе;

защиты информации при выводе из эксплуатации информационной системы или после принятия решения об окончании обработки информации.

16.3. При внедрении организационных мер защиты информации осуществляются:

реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации технических средств и программного обеспечения;

проверка полноты и детальности описания в организационно-распорядительных документах по защите информации действий пользователей и администраторов информационной системы по реализации организационных мер защиты информации;

отработка действий должностных лиц и подразделений, ответственных за реализацию мер защиты информации.

16.4. Предварительные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34.603 «Информационная технология. Виды испытаний автоматизированных систем» (далее - ГОСТ 34.603) и включают проверку работоспособности системы защиты информации информационной системы, а также принятие решения о возможности опытной эксплуатации системы защиты информации информационной системы.

16.5. Опытная эксплуатация системы защиты информации информационной системы проводится с учетом ГОСТ 34.603 и включает проверку функционирования системы защиты информации информационной системы, в том числе реализованных мер защиты информации, а также готовность пользователей и администраторов к эксплуатации системы защиты информации информационной системы.

16.6. Анализ уязвимостей информационной системы проводится в целях оценки возможности преодоления нарушителем системы защиты информации информационной системы и предотвращения реализации угроз безопасности информации.

Анализ уязвимостей информационной системы включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы.

При анализе уязвимостей информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением.

В случае выявления уязвимостей информационной системы, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей.

По результатам анализа уязвимостей должно быть подтверждено, что в информационной системе отсутствуют уязвимости, содержащиеся в банке данных угроз безопасности информации ФСТЭК России, а также в иных источниках, или их использование (эксплуатация) нарушителем невозможно.

16.7. Приемочные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34.603 и включают проверку выполнения требований к системе защиты информации информационной системы в соответствии с техническим заданием на создание информационной системы и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации информационной системы.

Аттестация информационной системы и ввод ее в действие

17. Аттестация информационной системы организуется обладателем информации (заказчиком) или оператором и включает проведение комплекса организационных и технических мероприятий (аттестационных испытаний), в результате которых подтверждается соответствие системы защиты информации информационной системы настоящим Требованиям.

Проведение аттестационных испытаний информационной системы должностными лицами, осуществляющими проектирование и (или) внедрение системы защиты информации информационной системы, не допускается.

17.1. В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и (или) техническое задание (частное техническое задание) на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями.

17.2. Аттестация информационной системы проводится в соответствии с программой и методиками аттестационных испытаний до начала обработки информации, подлежащей защите в информационной системе. Для проведения аттестации информационной системы применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.

По результатам аттестационных испытаний оформляются протоколы аттестационных испытаний, заключение о соответствии информационной системы требованиям о защите информации и аттестат соответствия в случае положительных результатов аттестационных испытаний.

При проведении аттестационных испытаний должны применяться следующие методы проверок (испытаний):

экспертно-документальный метод, предусматривающий проверку соответствия системы защиты информации информационной системы установленным требованиям по защите информации, на основе оценки эксплуатационной документации, организационно-распорядительных документов по защите информации, а также условий функционирования информационной системы;

анализ уязвимостей информационной системы, в том числе вызванных неправильной настройкой (конфигурированием) программного обеспечения и средств защиты информации;

испытания системы защиты информации путем осуществления попыток несанкционированного доступа (воздействия) к информационной системе в обход ее системы защиты информации.

17.3. Допускается аттестация информационной системы на основе результатов аттестационных испытаний выделенного набора сегментов информационной системы, реализующих полную технологию обработки информации.

В этом случае распространение аттестата соответствия на другие сегменты информационной системы осуществляется при условии их соответствия сегментам информационной системы, прошедшим аттестационные испытания.

Сегмент считается соответствующим сегменту информационной системы, в отношении которого были проведены аттестационные испытания, если для указанных сегментов установлены одинаковые классы защищенности, угрозы безопасности информации, реализованы одинаковые проектные решения по информационной системе и ее системе защиты информации.

Соответствие сегмента, на который распространяется аттестат соответствия, сегменту информационной системы, в отношении которого были проведены аттестационные испытания, подтверждается в ходе приемочных испытаний информационной системы или сегментов информационной системы.

В сегментах информационной системы, на которые распространяется аттестат соответствия, оператором обеспечивается соблюдение эксплуатационной документации на систему защиты информации информационной системы и организационно-распорядительных документов по защите информации.

Особенности аттестации информационной системы на основе результатов аттестационных испытаний выделенного набора ее сегментов, а также условия и порядок распространения аттестата соответствия на другие сегменты информационной системы определяются в программе и методиках аттестационных испытаний, заключении и аттестате соответствия.

17.4. Повторная аттестация информационной системы осуществляется по окончании срока действия аттестата соответствия, который не может превышать 5 лет, или повышения класса защищенности информационной системы. При увеличении состава угроз безопасности информации или изменения проектных решений, реализованных при создании системы защиты информации информационной системы, проводятся дополнительные аттестационные испытания в рамках действующего аттестата соответствия.

17.5. Ввод в действие информационной системы осуществляется в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации и с учетом ГОСТ 34.601 и при наличии аттестата соответствия.

17.6. Информационные системы, функционирующие на базе общей инфраструктуры (средств вычислительной техники, серверов телекоммуникационного оборудования) в качестве прикладных сервисов, подлежат аттестации в составе указанной инфраструктуры.

В случае, если информационная система создается на базе центра обработки данных уполномоченного лица, такой центр обработки данных должен быть аттестован по классу защищенности не ниже класса защищенности, установленного для создаваемой информационной системы.

При аттестации информационной системы должны используются результаты аттестации общей инфраструктуры оператора информационной системы.

Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы

18. Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты информации и организационно-распорядительными документами по защите информации и в том числе включает:

управление (администрирование) системой защиты информации информационной системы;

выявление инцидентов и реагирование на них;

управление конфигурацией аттестованной информационной системы и ее системы защиты информации;

контроль (мониторинг) за обеспечением уровня защищенности информации, содержащейся в информационной системе.

18.1. В ходе управления (администрирования) системой защиты информации информационной системы осуществляются:

заведение и удаление учетных записей пользователей, управление полномочиями пользователей информационной системы и поддержание правил разграничения доступа в информационной системе;

управление средствами защиты информации в информационной системе, в том числе параметрами настройки программного обеспечения, включая программное обеспечение средств защиты информации, управление учетными записями пользователей, восстановление работоспособности средств защиты информации, генерацию, смену и восстановление паролей;

установка обновлений программного обеспечения, включая программное обеспечение средств защиты информации, выпускаемых разработчиками (производителями) средств защиты информации или по их поручению;

централизованное управление системой защиты информации информационной системы (при необходимости);

регистрация и анализ событий в информационной системе, связанных с защитой информации (далее - события безопасности);

информирование пользователей об угрозах безопасности информации, о правилах эксплуатации системы защиты информации информационной системы и отдельных средств защиты информации, а также их обучение;

сопровождение функционирования системы защиты информации информационной системы в ходе ее эксплуатации, включая корректировку эксплуатационной документации на нее и организационно-распорядительных документов по защите информации;

18.2. В ходе выявления инцидентов и реагирования на них осуществляются:

определение лиц, ответственных за выявление инцидентов и реагирование на них;

обнаружение и идентификация инцидентов, в том числе отказов в обслуживании, сбоев (перезагрузок) в работе технических средств, программного обеспечения и средств защиты информации, нарушений правил разграничения доступа, неправомерных действий по сбору информации, внедрений вредоносных компьютерных программ (вирусов) и иных событий, приводящих к возникновению инцидентов;

своевременное информирование лиц, ответственных за выявление инцидентов и реагирование на них, о возникновении инцидентов в информационной системе пользователями и администраторами;

анализ инцидентов, в том числе определение источников и причин возникновения инцидентов, а также оценка их последствий;

планирование и принятие мер по устранению инцидентов, в том числе по восстановлению информационной системы и ее сегментов в случае отказа в обслуживании или после сбоев, устранению последствий нарушения правил разграничения доступа, неправомерных действий по сбору информации, внедрения вредоносных компьютерных программ (вирусов) и иных событий, приводящих к возникновению инцидентов;

планирование и принятие мер по предотвращению повторного возникновения инцидентов.

18.3. В ходе управления конфигурацией аттестованной информационной системы и ее системы защиты информации осуществляются:

поддержание конфигурации информационной системы и ее системы защиты информации (структуры системы защиты информации информационной системы, состава, мест установки и параметров настройки средств защиты информации, программного обеспечения и технических средств) в соответствии с эксплуатационной документацией на систему защиты информации (поддержание базовой конфигурации информационной системы и ее системы защиты информации);

определение лиц, которым разрешены действия по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации;

управление изменениями базовой конфигурации информационной системы и ее системы защиты информации, в том числе определение типов возможных изменений базовой конфигурации информационной системы и ее системы защиты информации, санкционирование внесения изменений в базовую конфигурацию информационной системы и ее системы защиты информации, документирование действий по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации, сохранение данных об изменениях базовой конфигурации информационной системы и ее системы защиты информации, контроль действий по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации;

анализ потенциального воздействия планируемых изменений в базовой конфигурации информационной системы и ее системы защиты информации на обеспечение защиты информации, возникновение дополнительных угроз безопасности информации и работоспособность информационной системы;

определение параметров настройки программного обеспечения, включая программное обеспечение средств защиты информации, состава и конфигурации технических средств и программного обеспечения до внесения изменений в базовую конфигурацию информационной системы и ее системы защиты информации;

внесение информации (данных) об изменениях в базовой конфигурации информационной системы и ее системы защиты информации в эксплуатационную документацию на систему защиты информации информационной системы;

принятие решения по результатам управления конфигурацией о повторной аттестации информационной системы или проведении дополнительных аттестационных испытаний.

18.4. В ходе контроля (мониторинга) за обеспечением уровня защищенности информации, содержащейся в информационной системе, осуществляются:

контроль за событиями безопасности и действиями пользователей в информационной системе;

контроль (анализ) защищенности информации, содержащейся в информационной системе;

анализ и оценка функционирования системы защиты информации информационной системы, включая выявление, анализ и устранение недостатков в функционировании системы защиты информации информационной системы;

периодический анализ изменения угроз безопасности информации в информационной системе, возникающих в ходе ее эксплуатации, и принятие мер защиты информации в случае возникновения новых угроз безопасности информации;

документирование процедур и результатов контроля (мониторинга) за обеспечением уровня защищенности информации, содержащейся в информационной системе;

принятие решения по результатам контроля (мониторинга) за обеспечением уровня защищенности информации о доработке (модернизации) системы защиты информации информационной системы, повторной аттестации информационной системы или проведении дополнительных аттестационных испытаний.

Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации

19. Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и организационно-распорядительными документами по защите информации и в том числе включает:

архивирование информации, содержащейся в информационной системе;

уничтожение (стирание) данных и остаточной информации с машинных носителей информации и (или) уничтожение машинных носителей информации.

19.1. Архивирование информации, содержащейся в информационной системе, должно осуществляться при необходимости дальнейшего использования информации в деятельности оператора.

19.2. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю информационной системы или в сторонние организации для ремонта, технического обслуживания или дальнейшего уничтожения.

При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, осуществляется физическое уничтожение этих машинных носителей информации.

III. Требования к мерам защиты информации, содержащейся в информационной системе

20. Организационные и технические меры защиты информации, реализуемые в информационной системе в рамках ее системы защиты информации, в зависимости от угроз безопасности информации, используемых информационных технологий и структурно-функциональных характеристик информационной системы должны обеспечивать:

идентификацию и аутентификацию субъектов доступа и объектов доступа;

управление доступом субъектов доступа к объектам доступа;

ограничение программной среды;

защиту машинных носителей информации;

регистрацию событий безопасности;

антивирусную защиту;

обнаружение (предотвращение) вторжений;

контроль (анализ) защищенности информации;

целостность информационной системы и информации;

доступность информации;

защиту среды виртуализации;

защиту технических средств;

защиту информационной системы, ее средств, систем связи и передачи данных.

Состав мер защиты информации и их базовые наборы для соответствующих классов защищенности информационных систем приведены в приложении N 2 к настоящим Требованиям.

20.1. Меры по идентификации и аутентификации субъектов доступа и объектов доступа должны обеспечивать присвоение субъектам и объектам доступа уникального признака (идентификатора), сравнение предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов, а также проверку принадлежности субъекту (объекту) доступа предъявленного им идентификатора (подтверждение подлинности).

20.2. Меры по управлению доступом субъектов доступа к объектам доступа должны обеспечивать управление правами и привилегиями субъектов доступа, разграничение доступа субъектов доступа к объектам доступа на основе совокупности установленных в информационной системе правил разграничения доступа, а также обеспечивать контроль соблюдения этих правил.

20.3. Меры по ограничению программной среды должны обеспечивать установку и (или) запуск только разрешенного к использованию в информационной системе программного обеспечения или исключать возможность установки и (или) запуска запрещенного к использованию в информационной системе программного обеспечения.

20.4. Меры по защите машинных носителей информации (средства обработки (хранения) информации, съемные машинные носители информации) должны исключать возможность несанкционированного доступа к машинным носителям и хранящейся на них информации, а также несанкционированное использование съемных машинных носителей информации.

20.5. Меры по регистрации событий безопасности должны обеспечивать сбор, запись, хранение и защиту информации о событиях безопасности в информационной системе, а также возможность просмотра и анализа информации о таких событиях и реагирование на них.

20.6. Меры по антивирусной защите должны обеспечивать обнаружение в информационной системе компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирование на обнаружение этих программ и информации.

20.7. Меры по обнаружению (предотвращению) вторжений должны обеспечивать обнаружение действий в информационной системе, направленных на преднамеренный несанкционированный доступ к информации, специальные воздействия на информационную систему и (или) информацию в целях ее добывания, уничтожения, искажения и блокирования доступа к информации, а также реагирование на эти действия.

20.8. Меры по контролю (анализу) защищенности информации должны обеспечивать контроль уровня защищенности информации, содержащейся в информационной системе, путем проведения мероприятий по анализу защищенности информационной системы и тестированию ее системы защиты информации.

20.9. Меры по обеспечению целостности информационной системы и информации должны обеспечивать обнаружение фактов несанкционированного нарушения целостности информационной системы и содержащейся в ней информации, а также возможность восстановления информационной системы и содержащейся в ней информации.

20.10. Меры по обеспечению доступности информации должны обеспечивать авторизованный доступ пользователей, имеющих права по такому доступу, к информации, содержащейся в информационной системе, в штатном режиме функционирования информационной системы.

20.11. Меры по защите среды виртуализации должны исключать несанкционированный доступ к информации, обрабатываемой в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры, а также воздействие на информацию и компоненты, в том числе к средствам управления виртуальной инфраструктурой, монитору виртуальных машин (гипервизору), системе хранения данных (включая систему хранения образов виртуальной инфраструктуры), сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевым операционным системам, виртуальным машинам (контейнерам), системе и сети репликации, терминальным и виртуальным устройствам, а также системе резервного копирования и создаваемым ею копиям.

20.12. Меры по защите технических средств должны исключать несанкционированный доступ к стационарным техническим средствам, обрабатывающим информацию, средствам, обеспечивающим функционирование информационной системы (далее - средства обеспечения функционирования), и в помещения, в которых они постоянно расположены, защиту технических средств от внешних воздействий, а также защиту информации, представленной в виде информативных электрических сигналов и физических полей.

20.13. Меры по защите информационной системы, ее средств, систем связи и передачи данных должны обеспечивать защиту информации при взаимодействии информационной системы или ее отдельных сегментов с иными информационными системами и информационно-телекоммуникационными сетями посредством применения архитектуры информационной системы, проектных решений по ее системе защиты информации, направленных на обеспечение защиты информации.

21. Выбор мер защиты информации для их реализации в информационной системе в рамках ее системы защиты информации включает:

определение базового набора мер защиты информации для установленного класса защищенности информационной системы в соответствии с базовыми наборами мер защиты информации, приведенными в приложении N 2 к настоящим Требованиям;

адаптацию базового набора мер защиты информации применительно к структурно-функциональным характеристикам информационной системы, информационным технологиям, особенностям функционирования информационной системы (в том числе предусматривающую исключение из базового набора мер защиты информации мер, непосредственно связанных с информационными технологиями, не используемыми в информационной системе, или структурно-функциональными характеристиками, не свойственными информационной системе);

уточнение адаптированного базового набора мер защиты информации с учетом не выбранных ранее мер защиты информации, приведенных в приложении N 2 к настоящим Требованиям, в результате чего определяются меры защиты информации, обеспечивающие блокирование (нейтрализацию) всех угроз безопасности информации, включенных в модель угроз безопасности информации;

дополнение уточненного адаптированного базового набора мер защиты информации мерами, обеспечивающими выполнение требований о защите информации, установленными иными нормативными правовыми актами в области защиты информации, в том числе в области защиты персональных данных.

Для выбора мер защиты информации для соответствующего класса защищенности информационной системы применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.

22. В информационной системе соответствующего класса защищенности в рамках ее системы защиты информации должны быть реализованы меры защиты информации, выбранные в соответствии с пунктом 21 настоящих Требований и обеспечивающие блокирование (нейтрализацию) всех угроз безопасности информации.

При этом в информационной системе должен быть, как минимум, реализован адаптированный базовый набор мер защиты информации, соответствующий установленному классу защищенности информационной системы.

23. При невозможности реализации в информационной системе в рамках ее системы защиты информации отдельных выбранных мер защиты информации на этапах адаптации базового набора мер защиты информации или уточнения адаптированного базового набора мер защиты информации могут разрабатываться иные (компенсирующие) меры защиты информации, обеспечивающие адекватное блокирование (нейтрализацию) угроз безопасности информации.

В этом случае в ходе разработки системы защиты информации информационной системы должно быть проведено обоснование применения компенсирующих мер защиты информации, а при аттестационных испытаниях оценена достаточность и адекватность данных компенсирующих мер для блокирования (нейтрализации) угроз безопасности информации.

24. Меры защиты информации выбираются и реализуются в информационной системе в рамках ее системы защиты информации с учетом угроз безопасности информации применительно ко всем объектам и субъектам доступа на аппаратном, системном, прикладном и сетевом уровнях, в том числе в среде виртуализации и облачных вычислений.

25. Организационные меры и средства защиты информации, применяемые в информационной системе, должны обеспечивать:

в информационных системах 1 класса защищенности – защиту от угроз безопасности информации, связанных с действиями нарушителей с высоким потенциалом;

в информационных системах 2 класса защищенности – защиту от угроз безопасности информации, связанных с действиями нарушителей с потенциалом не ниже усиленного базового;

в информационных системах 3 класса защищенности – защиту от угроз безопасности информации, связанных с действиями нарушителей с потенциалом не ниже базового.

Потенциал нарушителей определяется в ходе оценки их возможностей, проводимой при определении угроз безопасности информации в соответствии с пунктом 14.3 настоящих Требований.

Оператором может быть принято решение о применении в информационной системе соответствующего класса защищенности мер защиты информации, обеспечивающих защиту от угроз безопасности информации, реализуемых нарушителями с более высоким потенциалом.

26. Технические меры защиты информации реализуются посредством применения средств защиты информации, в том числе программных (программно-аппаратных) средств, в которых они реализованы, имеющих необходимые функции безопасности. При этом:

в информационных системах 1 класса защищенности применяются средства защиты информации не ниже 4 класса, а также средства вычислительной техники не ниже 5 класса;

в информационных системах 2 класса защищенности применяются средства защиты информации не ниже 5 класса, а также средства вычислительной техники не ниже 5 класса;

в информационных системах 3 класса защищенности применяются средства защиты информации 6 класса, а также средства вычислительной техники не ниже 5 класса.

В информационных системах 1 и 2 классов защищенности применяются средства защиты информации, прошедшие проверку не ниже чем по 4 уровню контроля отсутствия недекларированных возможностей.

Классы защиты определяются в соответствии с нормативными правовыми актами ФСТЭК России, изданными в соответствии с подпунктом 13.1 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.

В информационных системах применяются средства защиты информации, сертифицированные на соответствие обязательным требованиям по безопасности информации, установленным ФСТЭК России, или на соответствие требованиям, указанным в технических условиях (заданиях по безопасности). При этом функции безопасности таких средств должны обеспечивать выполнение настоящих Требований.

27. В случае обработки в информационной системе информации, содержащей персональные данные, реализуемые в соответствии с пунктами 21 и 22 настоящих Требований меры защиты информации:

для информационной системы 1 класса защищенности обеспечивают 1, 2, 3 и 4 уровни защищенности персональных данных 1 ;

для информационной системы 2 класса защищенности обеспечивают 2, 3 и 4 уровни защищенности персональных данных 1 ;

для информационной системы 3 класса защищенности обеспечивают 3 и 4 уровни защищенности персональных данных 1 .

28. При использовании в информационных системах новых информационных технологий и выявлении дополнительных угроз безопасности информации, для которых не определены меры защиты информации, должны разрабатываться компенсирующие меры в соответствии с пунктом 23 настоящих Требований.

___________________________________

1 Устанавливается в соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119.

Приложение N 1

не составляющей государственную тайну,

информационных системах

Определение класса защищенности информационной системы

1. Класс защищенности информационной системы (первый класс (К1), второй класс (К2), третий класс (К3)) определяется в зависимости от уровня значимости информации (УЗ), обрабатываемой в этой информационной системе, и масштаба информационной системы (федеральный, региональный, объектовый).

Класс защищенности (К) = [уровень значимости информации; масштаб системы].

2. Уровень значимости информации определяется степенью возможного ущерба для обладателя информации (заказчика) и (или) оператора от нарушения конфиденциальности (неправомерные доступ, копирование, предоставление или распространение), целостности (неправомерные уничтожение или модифицирование) или доступности (неправомерное блокирование) информации.

УЗ = [(конфиденциальность, степень ущерба) (целостность, степень ущерба) (доступность, степень ущерба)],

где степень возможного ущерба определяется обладателем информации (заказчиком) и (или) оператором самостоятельно экспертным или иными методами и может быть:

высокой, если в результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны существенные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) информационная система и (или) оператор (обладатель информации) не могут выполнять возложенные на них функции;

средней, если в результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны умеренные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) информационная система и (или) оператор (обладатель информации) не могут выполнять хотя бы одну из возложенных на них функций;

низкой, если в результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны незначительные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) информационная система и (или) оператор (обладатель информации) могут выполнять возложенные на них функции с недостаточной эффективностью или выполнение функций возможно только с привлечением дополнительных сил и средств.

Информация имеет высокий уровень значимости (УЗ 1), если хотя бы для одного из свойств безопасности информации (конфиденциальности, целостности, доступности) определена высокая степень ущерба. Информация имеет средний уровень значимости (УЗ 2), если хотя бы для одного из свойств безопасности информации (конфиденциальности, целостности, доступности) определена средняя степень ущерба и нет ни одного свойства, для которого определена высокая степень ущерба. Информация имеет низкий уровень значимости (УЗ 3), если для всех свойств безопасности информации (конфиденциальности, целостности, доступности) определены низкие степени ущерба.

При обработке в информационной системе двух и более видов информации (служебная тайна, налоговая тайна и иные установленные законодательством Российской Федерации виды информации ограниченного доступа) уровень значимости информации (УЗ) определятся отдельно для каждого вида информации. Итоговый уровень значимости информации, обрабатываемой в информационной системе, устанавливается по наивысшим значениям степени возможного ущерба, определенным для конфиденциальности, целостности, доступности информации каждого вида информации.

3. Информационная система имеет федеральный масштаб, если она функционирует на территории Российской Федерации (в пределах федерального округа) и имеет сегменты в субъектах Российской Федерации, муниципальных образованиях и (или) организациях.

Информационная система имеет региональный масштаб, если она функционирует на территории субъекта Российской Федерации и имеет сегменты в одном или нескольких муниципальных образованиях и (или) подведомственных и иных организациях.

Информационная система имеет объектовый масштаб, если она функционирует на объектах одного федерального органа государственной власти, органа государственной власти субъекта Российской Федерации, муниципального образования и (или) организации и не имеет сегментов в территориальных органах, представительствах, филиалах, подведомственных и иных организациях.

4. Класс защищенности информационной системы определяется в соответствии с таблицей:

Приложение N 2

к Требованиям о защите информации,

не составляющей государственную тайну,

информационных системах

Состав мер защиты информации и их базовые наборы для соответствующего класса защищенности информационной системы

Условное обозначение и номер меры	Меры защиты информации в информационных системах	Классы защищенности информационной системы
I. Идентификация и аутентификация субъектов доступа и объектов доступа (ИАФ)
	Идентификация и аутентификация пользователей, являющихся работниками оператора
	Идентификация и аутентификация устройств, в том числе стационарных, мобильных и портативных
	Управление идентификаторами, в том числе создание, присвоение, уничтожение идентификаторов
	Управление средствами аутентификации, в том числе хранение, выдача, инициализация, блокирование средств аутентификации и принятие мер в случае утраты и (или) компрометации средств аутентификации
	Защита обратной связи при вводе аутентификационной информации
	Идентификация и аутентификация пользователей, не являющихся работниками оператора (внешних пользователей)
	Идентификация и аутентификация объектов файловой системы, запускаемых и исполняемых модулей, объектов систем управления базами данных, объектов, создаваемых прикладным и специальным программным обеспечением, иных объектов доступа
II. Управление доступом субъектов доступа к объектам доступа (УПД)
	Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей
	Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа
	Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами
	Разделение полномочий (ролей) пользователей, администраторов и лиц, обеспечивающих функционирование информационной системы
	Назначение минимально необходимых прав и привилегий пользователям, администраторам и лицам, обеспечивающим функционирование информационной системы
	Ограничение неуспешных попыток входа в информационную систему (доступа к информационной системе)
	Предупреждение пользователя при его входе в информационную систему о том, что в информационной системе реализованы меры защиты информации, и о необходимости соблюдения им установленных оператором правил обработки информации
	Оповещение пользователя после успешного входа в информационную систему о его предыдущем входе в информационную систему
	Ограничение числа параллельных сеансов доступа для каждой учетной записи пользователя информационной системы
	Блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу
	Разрешение (запрет) действий пользователей, разрешенных до идентификации и аутентификации
	Поддержка и сохранение атрибутов безопасности (меток безопасности), связанных с информацией в процессе ее хранения и обработки
	Реализация защищенного удаленного доступа субъектов доступа к объектам доступа через внешние информационно-телекоммуникационные сети
	Регламентация и контроль использования в информационной системе технологий беспроводного доступа
	Регламентация и контроль использования в информационной системе мобильных технических средств
	Управление взаимодействием с информационными системами сторонних организаций (внешние информационные системы)
	Обеспечение доверенной загрузки средств вычислительной техники
III. Ограничение программной среды (ОПС)
	Управление запуском (обращениями) компонентов программного обеспечения, в том числе определение запускаемых компонентов, настройка параметров запуска компонентов, контроль за запуском компонентов программного обеспечения
	Управление установкой (инсталляцией) компонентов программного обеспечения, в том числе определение компонентов, подлежащих установке, настройка параметров установки компонентов, контроль за установкой компонентов программного обеспечения
	Установка (инсталляция) только разрешенного к использованию программного обеспечения и (или) его компонентов
	Управление временными файлами, в том числе запрет, разрешение, перенаправление записи, удаление временных файлов
IV. Защита машинных носителей информации (ЗНИ)
	Учет машинных носителей информации
	Управление доступом к машинным носителям информации
	Контроль перемещения машинных носителей информации за пределы контролируемой зоны
	Исключение возможности несанкционированного ознакомления с содержанием информации, хранящейся на машинных носителях, и (или) использования носителей информации в иных информационных системах
	Контроль использования интерфейсов ввода (вывода) информации на машинные носители информации
	Контроль ввода (вывода) информации на машинные носители информации
	Контроль подключения машинных носителей информации
	Уничтожение (стирание) информации на машинных носителях при их передаче между пользователями, в сторонние организации для ремонта или утилизации, а также контроль уничтожения (стирания)
V. Регистрация событий безопасности (РСБ)
	Определение событий безопасности, подлежащих регистрации, и сроков их хранения
	Определение состава и содержания информации о событиях безопасности, подлежащих регистрации
	Сбор, запись и хранение информации о событиях безопасности в течении установленного времени хранения
	Реагирование на сбои при регистрации событий безопасности, в том числе аппаратные и программные ошибки, сбои в механизмах сбора информации и достижение предела или переполнения объема (емкости) памяти
	Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них
	Генерирование временных меток и (или) синхронизация системного времени в информационной системе
	Защита информации о событиях безопасности
	Обеспечение возможности просмотра и анализа информации о действиях отдельных пользователей в информационной системе
VI. Антивирусная защита (АВЗ)
	Реализация антивирусной защиты
	Обновление базы данных признаков вредоносных компьютерных программ (вирусов)
VII. Обнаружение вторжений (СОВ)
	Обнаружение вторжений
	Обновление базы решающих правил
VIII. Контроль (анализ) защищенности информации (АНЗ)
	Выявление, анализ уязвимостей информационной системы и оперативное устранение вновь выявленных уязвимостей
	Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации
	Контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации
	Контроль состава технических средств, программного обеспечения и средств защиты информации
	Контроль правил генерации и смены паролей пользователей, заведения и удаления учетных записей пользователей, реализации правил разграничения доступом, полномочий пользователей в информационной системе
IX. Обеспечение целостности информационной системы и информации (ОЦЛ)
	Контроль целостности программного обеспечения, включая программное обеспечение средств защиты информации
	Контроль целостности информации, содержащейся в базах данных информационной системы
	Обеспечение возможности восстановления программного обеспечения, включая программное обеспечение средств защиты информации, при возникновении нештатных ситуаций
	Обнаружение и реагирование на поступление в информационную систему незапрашиваемых электронных сообщений (писем, документов) и иной информации, не относящихся к функционированию информационной системы (защита от спама)
	Ограничение прав пользователей по вводу информации в информационную систему
	Контроль точности, полноты и правильности данных, вводимых в информационную систему
	Контроль ошибочных действий пользователей по вводу и (или) передаче информации и предупреждение пользователей об ошибочных действиях
X. Обеспечение доступности информации (ОДТ)
	Использование отказоустойчивых технических средств
	Резервирование технических средств, программного обеспечения, каналов передачи информации, средств обеспечения функционирования информационной системы
	Контроль безотказного функционирования технических средств, обнаружение и локализация отказов функционирования, принятие мер по восстановлению отказавших средств и их тестирование
	Периодическое резервное копирование информации на резервные машинные носители информации
	Обеспечение возможности восстановления информации с резервных машинных носителей информации (резервных копий) в течении установленного временного интервала
	Кластеризация информационной системы и (или) ее сегментов
	Контроль состояния и качества предоставления уполномоченным лицом вычислительных ресурсов (мощностей), в том числе по передаче информации
XI. Защита среды виртуализации (ЗСВ)
	Идентификация и аутентификация субъектов доступа и объектов доступа в виртуальной инфраструктуре, в том числе администраторов управления средствами виртуализации
	Управление доступом субъектов доступа к объектам доступа в виртуальной инфраструктуре, в том числе внутри виртуальных машин
	Регистрация событий безопасности в виртуальной инфраструктуре
	Управление (фильтрация, маршрутизация, контроль соединения, однонаправленная передача) потоками информации между компонентами виртуальной инфраструктуры, а также по периметру виртуальной инфраструктуры
	Управление перемещением виртуальных машин (контейнеров) и обрабатываемых на них данных
	Контроль целостности виртуальной инфраструктуры и ее конфигураций
	Резервное копирование данных, резервирование технических средств, программного обеспечения виртуальной инфраструктуры, а также каналов связи внутри виртуальной инфраструктуры
	Реализация и управление антивирусной защитой в виртуальной инфраструктуре
	Разбиение виртуальной инфраструктуры на сегменты (сегментирование виртуальной инфраструктуры) для обработки информации отдельным пользователем и (или) группой пользователей
XII. Защита технических средств (ЗТС)
	Защита информации, обрабатываемой техническими средствами, от ее утечки по техническим каналам
	Организация контролируемой зоны, в пределах которой постоянно размещаются стационарные технические средства, обрабатывающие информацию, и средства защиты информации, а также средства обеспечения функционирования
	Контроль и управление физическим доступом к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены, исключающие несанкционированный физический доступ к средствам обработки информации, средствам защиты информации и средствам обеспечения функционирования информационной системы и помещения и сооружения, в которых они установлены
	Размещение устройств вывода (отображения) информации, исключающее ее несанкционированный просмотр
	Защита от внешних воздействий (воздействий окружающей среды, нестабильности электроснабжения, кондиционирования и иных внешних факторов)
XIII. Защита информационной системы, ее средств, систем связи и передачи данных (ЗИС)
	Разделение в информационной системе функций по управлению (администрированию) информационной системой, управлению (администрированию) системой защиты информации, функций по обработке информации и иных функций информационной системы
	Предотвращение задержки или прерывания выполнения процессов с высоким приоритетом со стороны процессов с низким приоритетом
	Обеспечение защиты информации от раскрытия, модификации и навязывания (ввода ложной информации) при ее передаче (подготовке к передаче) по каналам связи, имеющим выход за пределы контролируемой зоны, в том числе беспроводным каналам связи
	Обеспечение доверенных канала, маршрута между администратором, пользователем и средствами защиты информации (функциями безопасности средств защиты информации)
	Запрет несанкционированной удаленной активации видеокамер, микрофонов и иных периферийных устройств, которые могут активироваться удаленно, и оповещение пользователей об активации таких устройств
	Передача и контроль целостности атрибутов безопасности (меток безопасности), связанных с информацией, при обмене информацией с иными информационными системами
	Контроль санкционированного и исключение несанкционированного использования технологий мобильного кода, в том числе регистрация событий, связанных с использованием технологий мобильного кода, их анализ и реагирование на нарушения, связанные с использованием технологий мобильного кода
	Контроль санкционированного и исключение несанкционированного использования технологий передачи речи, в том числе регистрация событий, связанных с использованием технологий передачи речи, их анализ и реагирование на нарушения, связанные с использованием технологий передачи речи
	Контроль санкционированной и исключение несанкционированной передачи видеоинформации, в том числе регистрация событий, связанных с передачей видеоинформации, их анализ и реагирование на нарушения, связанные с передачей видеоинформации
	Подтверждение происхождения источника информации, получаемой в процессе определения сетевых адресов по сетевым именам или определения сетевых имен по сетевым адресам
	Обеспечение подлинности сетевых соединений (сеансов взаимодействия), в том числе для защиты от подмены сетевых устройств и сервисов
	Исключение возможности отрицания пользователем факта отправки информации другому пользователю
	Исключение возможности отрицания пользователем факта получения информации от другого пользователя
	Использование устройств терминального доступа для обработки информации
	Защита архивных файлов, параметров настройки средств защиты информации и программного обеспечения и иных данных, не подлежащих изменению в процессе обработки информации
	Выявление, анализ и блокирование в информационной системе скрытых каналов передачи информации в обход реализованных мер защиты информации или внутри разрешенных сетевых протоколов
	Разбиение информационной системы на сегменты (сегментирование информационной системы) и обеспечение защиты периметров сегментов информационной системы
	Обеспечение загрузки и исполнения программного обеспечения с машинных носителей информации, доступных только для чтения, и контроль целостности данного программного обеспечения
	Изоляция процессов (выполнение программ) в выделенной области памяти
	Защита беспроводных соединений, применяемых в информационной системе
	Исключение доступа пользователя к информации, возникшей в результате действий предыдущего пользователя через реестры, оперативную память, внешние запоминающие устройства и иные общие для пользователей ресурсы информационной системы
	Защита информационной системы от угроз безопасности информации, направленных на отказ в обслуживании информационной системы
	Защита периметра (физических и (или) логических границ) информационной системы при ее взаимодействии с иными информационными системами и информационно-телекоммуникационными сетями
	Прекращение сетевых соединений по их завершении или по истечении заданного оператором временного интервала неактивности сетевого соединения
	Использование в информационной системе или ее сегментах различных типов общесистемного, прикладного и специального программного обеспечения (создание гетерогенной среды)
	Использование прикладного и специального программного обеспечения, имеющих возможность функционирования в средах различных операционных систем
	Создание (эмуляция) ложных информационных систем или их компонентов, предназначенных для обнаружения, регистрации и анализа действий нарушителей в процессе реализации угроз безопасности информации
	Воспроизведение ложных и (или) скрытие истинных отдельных информационных технологий и (или) структурно-функциональных характеристик информационной системы или ее сегментов, обеспечивающее навязывание нарушителю ложного представления об истинных информационных технологиях и (или) структурно-функциональных характеристиках информационной системы
	Перевод информационной системы или ее устройств (компонентов) в заранее определенную конфигурацию, обеспечивающую защиту информации, в случае возникновении отказов (сбоев) в системе защиты информации информационной системы
	Защита мобильных технических средств, применяемых в информационной системе

«+» - мера защиты информации включена в базовый набор мер для соответствующего класса защищенности информационной системы.

Меры защиты информации, не обозначенные знаком «+», применяются при адаптации базового набора мер и уточнении адаптированного базового набора мер, а также при разработке компенсирующих мер защиты информации в информационной системе соответствующего класса защищенности.

• 1. Понятие информационных технологий и информационных систем. Современные концепции, идеи и проблемы развития информационных технологий. Роль и задачи информационных технологий в развитии общества.
• 2. Понятие об информации, сообщении, сигнале, кодировании и модуляции. Обобщенная система передачи информации и назначение ее основных элементов.
• 3. Преобразование непрерывных сигналов в дискретные, их передача в виде цифровых сигналов.
• 4. Ряд Фурье для периодической последовательности импульсов и его мощность. Амплитудно-частотная (ачх) и фазо-частотная (фчх) характеристики периодической последовательности импульсов.
• 5. (Спектральная плотность s(w)) для непериодического сигнала. Прямое и обратное преобразование Фурье.
• 6. Дискретизация сигналов по времени. Теорема Котельникова.
• 8. Абсолютный метод определения координат в спутниковых технологиях. Засечка по псевдодальности. Точность абсолютного метода. Геометрические факторы dop.
• 33.Модель взаимодействия открытых систем (Open System Interconnection, osi). Стандартные стеки коммуникационных протоколов. Реализация межсетевого взаимодействия средствами тср/ip.
• 34.Коммуникационные устройства информационной сети. Среда передачи данных. Стандартные технологии построения локальных и глобальных сетей.
• 35.Методы коммутации в информационных сетях (коммутация каналов, коммутация пакетов, коммутация сообщений).
• 36. Уровень межсетевого взаимодействия (Network layer), его назначение, функции и протоколы. Принципы маршрутизации в составных сетях.
• 37. Корпоративная информационная система (кис). Требования к корпоративным ис. Проблемы внедрения. Примеры кис.
• 38. Обеспечение информационной безопасности в современных корпоративных сетях. Методы защиты от несанкционированного доступа. Технологии: Intranet , Extranet и vpn.
• 13. Защита приложений и баз данных. Структура «пользователь (группа) – право». Ролевая модель организации прав доступа. Организация доступа в субд «клиент-сервер».
• 14. Системы засекреченной связи. Общая структура, принцип функционирования. Стойкость алгоритма шифрования. Теория Шеннона.
• 15. Криптографические методы защиты информации, их классификация. Требования к криптографическому закрытию информации. Стандарт на шифрование (общее описание алгоритма des).
• 16. Концепция криптосистем с открытым ключом. Электронная цифровая подпись. Структурная схема построения эцп.
• 17. Разрушающие программные средства: компьютерный вирус (классификация, признаки заражения, методы обнаружения и обезвреживания вируса).
• 18. Методы защиты ис от несанкционированного доступа на логическом, физическом и юридическом уровнях. Российское законодательство в области защиты информации.
• 19. Защита информации в сетях Internet. Назначение экранирующих систем. Требования к построению экранирующих систем. Организация политики безопасности в сетях Internet.
• 23. Интерфейсы ис. Пользовательский интерфейс ис.
• 24. Надежность ис. Факторы, влияющие на надежность ис. Методы повышения надежности ис.
• 25. Структурный подход к проектированию информационных систем ис.
• 26. Жизненный цикл программного обеспечения (жц по), модели жц.
• 27. Case-технологии, как новые средства для проектирования ис. Case-пакет фирмы platinum, его состав и назначение. Критерии оценки и выбора case-средств.
• 28. Стандарт idef, его основные составляющие.
• 29. Принципы системного структурного анализа, его основные аспекты.
• 30. Инструментальная среда bpWin, ее назначение, состав моделей, возможности пакета. Состав отчетов (документов) проектируемой модели в среде bpWin.
• 31. Инструментальная среда erWin, ее назначение и состав решаемых задач.
• 32. Унифицированный язык моделирования uml, его назначение, состав решаемых задач с его помощью.
• 39. Базы данных (бд). Основные этапы разработки баз данных. Методы создания структуры базы данных. Типы данных. Структурированные данные.
• 40. Модели данных, применяемых в базах данных. Связи в моделях. Архитектура баз данных. Реляционная, иерархическая и сетевая модели данных. Типы и форматы данных.
• 41. Системы управления базами данных (субд). Назначение, виды и основные функциональные возможности субд. Обзор существующих субд. Состав субд, их производительность.
• 43.Стандарт sql-языка запросов. Sql-запросы для получения информации из бд. Основные принципы, команды и функции построения sql-запросов.
• 44.Модификация данных с помощью sql-языка запросов. Создание и изменение структуры таблиц. Добавление и редактирование данных. Поиск и сортировка данных на основе sql.
• 45.Нормализация данных. Первая, вторая, третья нормальные формы. Порядок приведения данных к нормальной форме.
• 46.Дать понятия первичный ключ (pk), внешний ключ (fk), альтернативный ключ, инверсный вход. Типы и организация связей между таблицами.
• 49.Системы искусственного интеллекта (ии). Классификация основных направлений исследований в области ии.
• 1.2.3. Разработка естественно-языковых интерфейсов и машинный перевод (natural language processing)
• 1.2.4. Интеллектуальные роботы (robotics)
• 1.2.5. Обучение и самообучение (machine learning)
• 1.2.6. Распознавание образов (pattern recognition)
• 1.2.7. Новые архитектуры компьютеров (new hardware platforms and architectures)
• 1.2.8. Игры и машинное творчество
• 50.Экспертные системы (эс), состав эс. Классификация эс, их структурный состав. Инструментальные средства разработки эс.
• 51.Модели представления знаний (продукционная, фреймовая, сетевая модель).
• 52.Классификация систем, основанных на знаниях.
• 2.2.1. Классификация по решаемой задаче
• 64.Цифровые модели местности (цмм), цифровые модели ситуации и рельефа, цифровые модели карты и плана. Слои цмм. Назначение и использование цифровых и электронных карт и планов.
• 65.Растровая и векторная форма представления данных. Форматы этих данных. Регистрация растровых изображений в картографических системах.
• 67.Современные технологии создания цифровых и электронных карт и планов. Классификация типов объектов при оцифровке (векторизации) карт. Классификаторы топографической информации.
• 68.Программы – векторизаторы, их характеристики, принципы работы и возможности. Методы и точность векторизации. Анализ качества векторизации. Контроль топологической структуры цифровой карты.
• 53.Сущность и основные понятия геоинформатики. Области применения геоинформатики.
• 55.Топологическая концепция гис. Геореляционная модель связи объектов и их атрибутов.
• 57.Инструментальные средства создания гис (MapEdit, MapInfo, GeoMedia и др.). Основные функции, характеристики и возможности гис – оболочек. Средства расширения гис- оболочек и создания приложений.
• 58.Федеральные, региональные и муниципальные гис. Требования к программному и информационному обеспечению гис.
• 60. Пространственный (географический) анализ. Буферные зоны, оверлеи. Создание тематических карт на основе гис – технологий.
• 61.Способ поверхностей для создания тематических карт. Интерполяция на основе нерегулярной сети треугольников tin и среднего взвешенного idw.
• 53.Сущность и основные понятия геоинформатики. Области применения геоинформатики.
• 63.Геоинформационное моделирование. Основы сетевого анализа.
• 64.Системы автоматизированного проектирования (cad – MicroStation, AutoCad и др.). Основные концепции двухмерного (2d) и трехмерного (3d) проектирования. Связь гис с cad – системами.
• 21. Повышение надежности систем путем резервирования. Виды и способы резервирования.
• 62.3D карты. Способы создания и использования трехмерных карт.
• 9.Дифференциальный способ определения координат. Типы каналов передачи дифференциальных поправок. Способы дифференциальной коррекции. Система дифференциальной коррекции waas. Точность dgps.

58.Федеральные, региональные и муниципальные гис. Требования к программному и информационному обеспечению гис.

ФГИС, МГИС, РГИС – предназначены для решения опер. и расчетных задач связанных с обработкой пространственных данных ГИС при управлении, планирование инвентаризации мониторинга, анализа и прогнозирования. пространственные данные используемые в ГИС должны охватывать:

1для ФГИС – все территории РФ, включая прибрежные акватории и приграничные районы.

2 для РГИС – территории крупных природных и экологических регионов субъектов РФ, фед. округов включая районы природоохраняемых зон, районы кризисных ситуаций.

3 для МГИС – территории городов, городских районов, пригородных зон

Требования к ПО и ИО для ГИС

Для формирования БД,Ф,Р, МГИС, ГИС: 1) базовую цифровую модель местности (для ФГИС – цтк м – 1: 1000000; для РГИС цтк масштаба 1:50000 – 1:200000 и цтг масштаба 1:500 – 1:1000 для МГИС цтг масштаба 1:500 – 1:10000). 2) цифровая тематическая специфика карты. 3) аэро и космоснимки в цифровом формате. 4) тематические данные. 5) атрибутивные данные. 6) метаданные. 7) нормативная информация. В техническом задании на конкретную ГИС устанавливаются требования к ИО по: 1. составу, структуре, способам организации данных систем. 2. к качеству данных (полноте, достоверности, актуальности). 3. наличию сертификату соответствия.4. совместимость существенных и созданных компонентов. 5. применению СУБД. 6.органнизация информационного обмена с другим базами. 7. процессы сбора обработки и передачи информации 8. контролю, хранению и обновлению восстановления для. 9. обеспечивает управление документирования

10.процедура придания юридическими средствами ПО ГИС должно включать следующее: - операционная система. - текстовые и графические редакторы. –состав специального ПО. – библиотека программных средств, совокупность прикладных программ.

ПО поддерживает основные под системы ГИС.

Сбор, ввод данных; - хранение.

59.Основные этапы создания гис – проектов. Источники данных для формирования графической и атрибутивной (неграфической) информации.

Основные этапы:

1.Разработка и согласование бизнес-плана (тут оговаривается финансово-экономическое аспекты, ожидаемый результат, источники финансирования, сроки, стоимости). 2.Заключение договора (тут протокол согласования договорной цены). 3.Разработка технического задания это документ в котором содерфатся требования, которые б. д. реальными. 4.Утверждение.

5.Техническое проектирование (нахождение технического решения)

Постановка задач (вход выход информации). -Разработка концептуальной модели (нарисовать информацию модель каждой задачи). -Технические решения (алгоритм). 5.Разработка рабочей документации -Эксплуатационное документирование как пользоваться системой -Сетевая схема. -Проекты БД.

Разработка программ и методики предварительных испытаний.

7.Три стадии испытания системы: 1.Предварительное испытание-проверка работоспособности системы, проводятся на базе разработки. Разработчик должен поставить вывод работает: - система или нет. -можно ли систему передавать на следующую стадию или нет. 2.Опытная эксплуатация. Определение количественных характеристик системы, длится не менее 6 мес. Чтобы провести опытную эксплуатацию составляют специальную программу, проводится на базе задачника. опытную эксплуатацию проводят пилот – проект. Это производственная работа в которой будут получены производственные результаты, но они будут выполнятся в ограничениях: территории, по функциям. В журнале мы видим каждодневные записи: какие задачи решены, сбои, сработала ли программа или нет. На этой стадии происходят исправления по ходу. В конце пишется акт сверки выполнена ли стадия на основе журнала. Вывод: -считать ли опытную эксплуатацию завершенной. -можно ли передавать систему на следующий этап. 3.Приемочное испытание проводят испытания заказчика, комиссия как правило берется со стороны. Цель: соответствие ТЗ может частично соответствовать ТЗ. После этих стадии составляют акт приемки системы постоянной эксплуатации. Вывод: Система в целом соответствует ТЗ. Если соответствует, то система м.б. передана в постоянную эксплуатацию или нет. После запуска система переходит в фазу функционирования. Здесь происходит 3 главных процесса: -Выполнение административных работ по обеспечению системы. -Введение БД. -Решение пространственных задач конечным пользователем. Источники данных: топографо-геодезические данные;

координаты пунктов; результаты измерений; ЦММ;

картографические материалы (бумажные карты, аэроснимки, космоснимки);

атрибутивная информация (характеристика объектов, кадастровые данные)

Введение

Географическая информационная система (ГИС) - это информационная система, обеспечивающая сбор, хранение, обработку, анализ и отображение пространственных и связанных с ними непространственных данных, а также получение на их основе информации и знаний о географическом пространстве. Считается, что географические или пространственные данные составляют более половины объема всей циркулирующей информации, используемой организациями, занимающимися разными видами деятельности, в которых необходим учет пространственного размещения объектов. ГИС ориентирована на обеспечение возможности принятия оптимальных управленческих решений на основе анализа пространственных данных. Ключевыми словами в определении ГИС являются - анализ пространственных данных или пространственный анализ.

В настоящей работе рассмотрим:

• - ГИС в управлении железнодорожным транспортом;
• - Требования к геоинформационным системам;
• - Характеристики, области применения и основные возможности ГИС-приложения.

Теоретическая сторона вопроса

Требования к ГИС

В настоящий момент ГИС представляют собой сложную информационную систему, включающую мощную операционную систему, интерфейс пользователя, системы введения баз данных (БД), отображения графической информации.

Развитие геоинформатики, как науки об автоматизированной обработке пространственно-координированной информации, привело к интенсивному продвижению геоинформационных систем и ГИС-технологий во все сферы человеческой деятельности.

В настоящее время ГИС не следует трактовать как географические информационные системы, к чему нас призывают ученые-географы. Значение ГИС в технических приложениях, как информационно-управляющих систем, значительно более перспективно.

Представления о геоинформационных системах и их роли в науке и технике во многом совпадают, что, безусловно, нашло отражение в формулировке основных понятий и определений геоинформационных систем железнодорожного транспорта.

ГИС железнодорожного транспорта - информационно-управляющая автоматизированная система, призванная обеспечивать решение задач инвентаризации, проектирования и управления объектов железнодорожного транспорта. Основной целью создания ГИС железнодорожного транспорта является обеспечение всех сфер его деятельности комплексной пространственно-координированной информацией.

Мощные инструментальные оболочки ГИС позволяют интегрировать в себя любые БД и существующие автоматизированные системы инвентаризации, проектирования и управления. В свою очередь, информация, полученная а результате работы ГИС, с успехом используется в автоматизированных системах инвентаризации (паспортизации), проектирования (САПР) и управления (АСУ).

Наряду с ГИС широкое распространение получила организация проблемно-ориентированных БД, предназначенных для картографирования природных и социально-экономических явлений. Такие БД называются картографическими банками данных (КБД).

Важнейшая функция КБД заключается в автоматизированном картопостроении, выполняемой автоматизированной картографической системой, которая является неотъемлемой частью также ГИС.

В последние годы при создании информационных систем (ИС) в географии повышенное внимание уделяется построению экспертных систем (ЭС). Под ЭС понимается система логического вывода, основывающаяся на фактах (знаниях) и эвристических приемах (эмпирических правилах) обработки данных.

Основные составляющие части ЭС: база знаний - организованные наборы фактов, механизм логического решения поставленной задачи.

Появление в последние годы массового интереса к построению ГИС требует выработки принципов оценки создаваемых информационных систем, их классификации, определения потенциальных возможностей.

В определенной мере это возможно при выработке требований к идеальной ГИС:

• 1. Возможность обработки массивов по компонентной гетерогенной пространственно-координированной информации;
• 2. Способность поддерживать базы данных для широкого класса географических объектов;
• 3. Возможность диалогового режима работы пользователя;
• 4. Гибкая конфигурация системы, возможность быстрой настройки системы на решение разнообразных задач;
• 5. Способность «воспринимать» и обрабатывать пространственные особенности геоэкологических ситуаций.

Этапы информационной технологии в создании и эксплуатации ГИС включают следующие стадии: сбор первичных данных, ввод и хранение данных, анализ данных, анализ сценариев и принятие решений. Необходимо отметить, что выделенные этапы являются наиболее общими и повторяются при создании конкретных ГИС, различаясь в деталях, связанных с целями и задачами ГИС, а также техническими возможностями системы. Очевидно, что источники информации, процедура ее получения, методы анализа должны рассматриваться как этапы единого технологического процесса, объединяемого общностью целей и задач построения и эксплуатации ГИС. Это означает, что в основу проектирования и создания ГИС должна быть положена единая методология. Поскольку ГИС можно рассматривать как средство машинного представления данных и знаний комплекса наук о Земле, то в качестве методологической основы ГИС должно быть выбрано направление их построения как инструментария познания закономерностей структуры и организации геосистем при помощи средств информатики, включающего математическое моделирование и машинную графику.

О требованиях ФСТЭК России и ФСБ России к ГИС, ИСПДн, АСУП и АСУТП

В ходе проведения консультаций с Заказчиками ООО «Эйснет», а также при непосредственном выполнении работ, приходится сталкиваться с первичным определением или формированием требований к будущей (создаваемой) государственной информационной системе (ГИС), информационной системе персональных данных (ИСПДн) или автоматизированной системе управления производственными (АСУ П) и технологическими процессами (АСУ ТП).

Подчас сразу сложно ответить, какие требования должны быть реализованы в той или иной системе. Для этого предлагается использовать к государственным информационным системам, информационным системам персональных данных и автоматизированным системах управления производственными и технологическими процессами, в которой наглядно приведены (для обсуждения) все необходимые требования.

Для понимания вопроса рассмотрим, какие основные нормативные документы регуляторов в области защиты информации действуют для данных информационных систем.

Государственные информационные системы

• ­«Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах», Приказ ФСТЭК России от 11.02.2013г. N 17 (Зарегистрировано в Минюсте России 31.05.2013г. N 28608);
• Методический документ. Меры защиты информации в государственных информационных системах», Приказ ФСТЭК России от 11 февраля 2014г.

Информационные системы персональных данных

• ­«Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных», Утверждена ФСТЭК России, 15 февраля 2008г.;
• ­«Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», Утверждена ФСТЭК России, 14 февраля 2008г.;
• ­«Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных», Приказ ФСТЭК России от 18.02.2013г. N 21 (Зарегистрировано в Минюсте России 14.05.2013г. N 28375). Примечание: Приказом N 21 отменено действие «Положения о методах и способах защиты информации в информационных системах персональных данных», приказ ФСТЭК России от 5 февраля 2010г. N 58 (зарегистрирован Минюстом России 19 февраля 2010г., регистрационный N 16456);
• Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации», Утверждены ФСБ России 21 февраля 2008г. № 149/54-144;
• ­ «Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных», Утверждены ФСБ России 21 февраля 2008г. № 149/6/6-622;
• Состав и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности», Приказ ФСБ России от 10 июня 2014г. N 378, (зарегистрировано в Минюсте России 18 августа 2014г. N 33620).

Системы управления производственными и технологическими процессами

«Требования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды», Приказ ФСТЭК России от 14.03.2014г. N 31 (Зарегистрировано в Минюсте России 30.06.2014г. N 32919).

Документы регуляторов общие для систем ИС, ИСПДн, АСУ, в том числе для ИС общего пользования - СОП

• ­«Специальные требования и рекомендации по технической защите конфиденциальной информации» (СТР-К), Утверждены приказом Гостехкомиссии России от 30 августа 2002г. № 282;
• ­«Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации», решение Председателя Гостехкомиссии России от 30 марта 1992 года;
• ­«Об электронной подписи, используемой органами исполнительной власти и органами местного самоуправления при организации электронного взаимодействия между собой, о порядке ее использования, а также об установлении требований к обеспечению совместимости средств электронной подписи» (вместе с «Правилами использования усиленной квалифицированной электронной подписи органами исполнительной власти и органами местного самоуправления при организации электронного взаимодействия между собой», «Требованиями к обеспечению совместимости средств электронной подписи при организации электронного взаимодействия органов исполнительной власти и органов местного самоуправления между собой»), Постановление Правительства РФ № 111 от 09 февраля 2012г.;
• О видах электронной подписи, использование которых допускается при обращении за получением государственных муниципальных услуг», Постановление Правительства Российской Федерации № 634 от 25 июня 2012г.
• ­«Положение о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)», Приказ ФСБ России от 9 февраля 2005г. N 66;
• ­«Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну», Приказ ФАПСИ при Президенте РФ от 13.06.2001 года № 152;
• ­«Требований к средствам электронной подписи и требований к средствам удостоверяющего центра», Приказ ФСБ России № 796 от 27 декабря 2011г.;
• Об аккредитации удостоверяющих центров», Приказ Минкомсвязи Российской Федерации № 203 от 21 августа 2012г.;
• ­ГОСТ Р 51583-2000. «Защита информации. Порядок создания автоматизированных систем в защищённом исполнении. Общие положения»;
• ­ГОСТ Р 51624-2000. «Защита информации. Автоматизированные системы в защищённом исполнении. Общие требования»;
• ­ГОСТ РО 0043-003-2012. «Защита информации. Аттестация объектов информатизации. Общие положения»;
• ­ГОСТ РО 0043-004-2013. «Защита информации. Аттестация объектов информатизации. Программа и методики аттестационных испытаний»;
• ­ГОСТ 51275- 2006 «Защита информации. Объект информатизации. Факторы воздействующие на информацию. Общие положения».
• ­РД 50-34.698-90. «Методические указания. Информационная технология. Автоматизированные системы. Требования к содержанию документов».

Особенности требований к различным системам

Примечание: В документах ФСТЭК России и ФСБ России на системы не рассматриваются вопросы обеспечения безопасности защищаемых данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну

Особенности требований к информационным системам персональных данных (ИСПДн)

• ­Требования распространяются на обработку персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, иными муниципальными органами, юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным.
• ­Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
• ­Информационная система персональных данных (ИСПДн) - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Установлены четыре уровня защищенности персональных данных . Самый низкий уровень - четвертый, самый высокий - первый.

Особенности требований к государственным информационным системам

• ­ГИС имеет федеральный масштаб, если она функционирует на территории Российской Федерации (в пределах федерального округа) и имеет сегменты в субъектах Российской Федерации, муниципальных образованиях и (или) организациях.
• ­ГИС имеет региональный масштаб, если она функционирует на территории субъекта Российской Федерации и имеет сегменты в одном или нескольких муниципальных образованиях и (или) подведомственных и иных организациях.
• ­ГИС имеет объектовый масштаб, если она функционирует на объектах одного федерального органа государственной власти, органа государственной власти субъекта Российской Федерации, муниципального образования и (или) организации и не имеет сегментов в территориальных органах, представительствах, филиалах, подведомственных и иных организациях.
• ­Требования к ГИС являются обязательными при обработке информации в государственных информационных системах, функционирующих на территории Российской Федерации, а также в муниципальных информационных системах, если иное не установлено законодательством Российской Федерации о местном самоуправлении. Требования не распространяются на государственные информационные системы Администрации Президента Российской Федерации, Совета Безопасности Российской Федерации, Федерального Собрания Российской Федерации, Правительства Российской Федерации, Конституционного Суда Российской Федерации, Верховного Суда Российской Федерации, Высшего Арбитражного Суда Российской Федерации и Федеральной службы безопасности Российской Федерации.
• ­При обработке в государственной информационной системе информации, содержащей персональные данные, Требования к ГИС применяются наряду с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119.
• ­По решению обладателя информации (заказчика) или оператора Требования к ГИС могут применяться для защиты информации, содержащейся в негосударственных информационных системах.

Установлены четыре класса защищенности государственной информационной системы , определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс - четвертый, самый высокий - первый.

Особенности требований к системам управления производственными и технологическими процессами

• ­Требования направлены на обеспечение функционирования АСУ в штатном режиме, при котором обеспечивается соблюдение проектных пределов значений параметров выполнения целевых функций АСУ в условиях воздействия угроз безопасности информации, а также на снижение рисков незаконного вмешательства в процессы функционирования АСУ критически важных объектов, потенциально опасных объектов, объектов, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды, в том числе опасных производственных объектов, безопасность которых обеспечивается в соответствии с законодательством Российской Федерации о безопасности объектов топливно-энергетического комплекса, о транспортной безопасности, об использовании атомной энергии, о промышленной безопасности опасных производственных объектов, о безопасности гидротехнических сооружений и иных законодательных актов Российской Федерации.
• ­Распространяются на АСУ, обеспечивающие контроль и управление технологическим и (или) производственным оборудованием (исполнительными устройствами) и реализованными на нем технологическими и (или) производственными процессами (в том числе системы диспетчерского управления, системы сбора (передачи) данных, системы, построенные на основе программируемых логических контроллеров, распределенные системы управления, системы управления станками с числовым программным управлением).
• ­АСУ, как правило, имеют многоуровневую структуру:
  • уровень операторского (диспетчерского) управления (верхний уровень);
  • уровень автоматического управления (средний уровень);
  • уровень ввода (вывода) данных исполнительных устройств (нижний (полевой) уровень).
• ­ Автоматизированная система управления может включать:
  • на уровне операторского (диспетчерского) управления: операторские (диспетчерские), инженерные автоматизированные рабочие места, промышленные серверы (SCADA-серверы) с установленным на них общесистемным и прикладным программным обеспечением, телекоммуникационное оборудование (коммутаторы, маршрутизаторы, межсетевые экраны, иное оборудование), а также каналы связи;
  • на уровне автоматического управления: программируемые логические контроллеры, иные технические средства с установленным программным обеспечением, получающие данные с нижнего (полевого) уровня, передающие данные на верхний уровень для принятия решения по управлению объектом и (или) процессом и формирующие управляющие команды (управляющую (командную) информацию) для исполнительных устройств, а также промышленная сеть передачи данных;
  • на уровне ввода (вывода) данных (исполнительных устройств): датчики, исполнительные механизмы, иные аппаратные устройства с установленными в них микропрограммами и машинными контроллерами.

В АСУ объектами защиты являются:

• ­информация (данные) о параметрах (состоянии) управляемого (контролируемого) объекта или процесса (входная (выходная) информация, управляющая (командная) информация, контрольно-измерительная информация, иная критически важная (технологическая) информация);
• в том числе автоматизированные рабочие места, промышленные серверы, телекоммуникационное оборудование, каналы связи, программируемые логические контроллеры, исполнительные устройства), программное обеспечение (в том числе микропрограммное, общесистемное, прикладное), а также средства защиты информации.

Установлены три класса защищенности автоматизированной системы управления , определяющие уровни защищенности АСУ. Самый низкий класс - третий, самый высокий - первый.

Для всех приведенных систем, для обеспечения защиты информации, проводятся следующие типовые мероприятия:

• ­ формирование требований к защите информации, содержащейся в ГИС (ИСПДн, АСУ);
• ­ разработка системы защиты информации ГИС (ИСПДн, АСУ);
• ­ внедрение системы защиты информации ГИС (ИСПДн, АСУ);
• ­ аттестация ГИС (ИСПДн, АСУ) и ввод ее в действие;
• ­ обеспечение защиты информации в ходе эксплуатации аттестованной ГИС (ИСПДн, АСУ);
• ­ обеспечение защиты информации при выводе из эксплуатации аттестованной ГИС (ИСПДн, АСУ) или после принятия решения об окончании обработки информации.

Для всех систем (ГИС, ИСПДн, АСУ) определены базовые наборы мер защиты информации и требования к их реализации , которые необходимо выбирать в зависимости от класса или уровня защищенности системы, определяемой обязательно с учетом Модели угроз (включая модель нарушителя) безопасности информации.

Таким образом, рассмотрев особенности и различия в трех системах (ГИС, ИСПДн, АСУ) и используя Сравнительную таблицу требований ФСТЭК России будет не сложно объяснить Заказчику или должностному лицу ведомства, не ознакомленных с различиями в системах, что необходимо реализовать в той или иной системе.

Проект

Министерство связи и массовых коммуникаций Республики Башкортостан

ТЕХНИЧЕСКОЕ ЗАДАНИЕ

НА ГЕОИНФОРМАЦИОННУЮ СИСТЕМУ

«МИНКОМСВЯЗЬ РБ»

1. Общие сведения. 3

1.1. Полное наименование системы и ее условное обозначение. 3

1.2. Юридический статус документа. 3

1.3. Перечень исходных документов. 3

1.4. Порядок финансирования и сроки работ. 3

1.5. Порядок оформления и предъявления Заказчику результатов работ. 3

1.6. Структура документа. 3

2. Назначение и цели создания ГИС.. 4

2.1. Назначение ГИС.. 4

2.2. Цели создания ГИС.. 5

3. Характеристика объектов автоматизации. 5

3.1. Текущее состояние автоматизируемой деятельности. 5

3.2. Условия эксплуатации и окружающая среда. 6

4. Требования к ГИС.. 6

4.1. Требования к ГИС в целом.. 6

4.2. Требования к функциям ГИС.. 12

4.3. Требования к видам обеспечения. 15

5. Состав и содержание работ по созданию (развитию) системы.. 18

5.1. Стадии реализации ГИС.. 18

6. Порядок контроля и приемки ГИС.. 20

6.1. Общие требования. 20

6.2. Руководящие документы.. 20

6.3. Порядок проверки ГИС.. 20

7. Состав и содержание подготовительных работ. 21

7.1. Подготовка информации. 21

7.2. Техническая подготовка объекта автоматизации. 22

7.3. Организационные мероприятия. 22

8. Требования к документированию.. 22

8.1. Общие требования к документированию.. 22

8.2. Перечень подлежащих разработке документов. 23

9. Источники разработки. 23

1. Общие сведения

1.1. Полное наименование системы и ее условное обозначение

Геоинформационная система Министерства связи и массовых коммуникаций Республики Башкортостан. Сокращенное обозначение в рамках данного документа – ГИС.

1.2. Юридический статус документа

Приказ Министра связи и массовых коммуникаций Республики Башкортостан ХХ-ОД от ХХ.03.2011 г. «Об утверждении плана мероприятий по созданию системы ГИС ОГВ Республики Башкортостан»

1.3. Перечень исходных документов

Разработка Технического задания проводилась с учетом требований следующих документов:

1) ГОСТ 24.105-85. Автоматизированные системы управления. Общие требования.

2) ГОСТ 34.201-89. Виды, комплектность и обозначение документов при создании автоматизированных систем .

3) ГОСТ 34.601-90. Автоматизированные системы. Стадии создания.

4) ГОСТ 34.602-89. Техническое задание на создание автоматизированной системы.

5) Гостехкомиссия России. Руководящий документ. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от НСД к информации. 1992г.

6) Распоряжение от «ХХ» ХХ 2011 года №-р Правительства Республики Башкортостан о Концепции геоинформационной системы органов исполнительной власти Республики Башкортостан.

1.4. Порядок финансирования и сроки работ

Порядок финансирования и сроки работ по созданию ГИС определяются договором между Заказчиком и Исполнителем.

1.5. Порядок оформления и предъявления Заказчику результатов работ

Результатами работ являются:

1) ГИС, развернутая у Заказчика, прошедшая приемо-сдаточные испытания и принятая в опытную эксплуатацию в Министерстве связи и массовых коммуникаций Республики Башкортостан (Минкомсвязь РБ).

2) Комплект документов, разработанный на стадиях Системного проекта и Ввода в опытную эксплуатацию.

1.6. Структура документа

Документ состоит из следующих разделов:

1. Общие сведения. Справочная информация о разрабатываемой системе, описание границ применимости документа.

2. Назначение и цели создания ГИС. Описание назначения ГИС, автоматизируемой деятельности Министерства связи и массовых коммуникаций Республики Башкортостан, целей разработки ГИС.

3. Характеристики объектов автоматизации. Описание задач и функций ГИС.

4. Требования к ГИС. Перечисление требований, как к самой ГИС, так и ее отдельным подсистемам, видам обеспечения, различным аспектам функционирования ГИС.

5. Состав и содержание работ по созданию ГИС. Перечень стадий создания ГИС, основные работы, которые должны быть выполнены на каждой из стадий.

6. Порядок контроля и приемки ГИС. Общие требования к организации приемки ГИС, перечисление руководящих документов, на основании которых будет осуществляться приемка ГИС.

7. Состав и содержание подготовительных работ. Работы, которые необходимо выполнить для ввода ГИС в действие.

8. Требования к документированию. Общие требования к оформлению проектной документации .

9. Источники разработки. Перечень документов, на основании которых разрабатывается настоящий документ.

1.7. Границы применимости документа. Техническое задание описывает требования к ГИС и является первым и основным документом в комплекте документации ГИС. Все остальные документы, разработанные в ходе создания ГИС, должны быть согласованы с данным документом.

2. Назначение и цели создания ГИС

2.1. Назначение ГИС

2.1.1. Вид автоматизируемой деятельности

ГИС предназначена для автоматизации хранения и обработки пространственной информации, которая используется руководством Министерства связи и массовых коммуникаций Республики Башкортостан (далее Минкомсвязи РБ) и его структурными подразделениями для реализации в пределах своей компетенции государственной политики и регулирования в сфере связи, информатизации и развития телекоммуникационных сетей.

2.1.2. Список объектов автоматизации

Объектом автоматизации является деятельность центрального аппарата Минкомсвязи РБ, использующего для выполнения своих задач информацию об объектах и сооружениях связи, расположенных на территории республики, а также операторах связи, предоставляющих услуги связи на территории республики:

· руководство Минкомсвязи РБ;

· отдел информационно-аналитической работы в сфере информационно-коммуникационных технологий.

2.2. Цели создания ГИС

Целью создания ГИС является подготовка и представление информации для поддержки принятия решений по организации эффективной работы в сфере связи, информатизации и развития телекоммуникационных сетей, за счет автоматизации обработки картографических данных об объектах связи, расположенных на территории РБ, на основе современных ГИС-технологий, систем обработки космических и авиационных снимков и ГЛОНАСС/GPS-технологий.

Целями создания ГИС являются:

1) надежное и своевременное предоставление информации об объектах связи, расположенных на территории РБ, различной степени детализации; обеспечение ее полноты, безошибочности, актуальности и необходимой конфиденциальности;

2) обеспечение возможности совместного использования разнородных данных, получаемых из различных источников (операторов связи, граждан), об объектах связи, расположенных на территории РБ;

3) уточнение и дополнение информации об объектах связи, расположенных на территории РБ, на основе космических и авиационных снимков и ГЛОНАСС/GPS--технологий;

4) разработка типовых решений с целью их последующего тиражирования в ГИС ОГВ РБ.

5) создание информационной основы для последующего решения аналитических задач специалистов Минкомсвязи РБ.

3. Характеристика объектов автоматизации

3.1. Текущее состояние автоматизируемой деятельности

В Минкомсвязи РБ и его структурных подразделениях функционирует ряд информационных систем , с которыми должна взаимодействовать создаваемая ГИС:

1) Информационно-аналитическая система Web-своды – предназначена для автоматизации сбора, консолидации и анализа произвольной отчетности.

2) Система «Паспорта информатизации» - автоматизированная система сбора и обработки информации, характеризующей состояние работ по использованию и развитию информационных технологий на региональном и муниципальном уровне.

Анализ существующих в Минкомсвязи РБ систем показал:

1) Большая часть информации необходимой для организации информационной поддержки процедур планирования, прогнозирования, контроля и анализа внедрения средств связи, формирования статистических данных, характеризующих состояние отрасли связи на территории РБ характеризует географически распределенные объекты. Однако в Минкомсвязи РБ отсутствуют системы обработки пространственно-распределенной информации.

2) Существующие на сегодняшний день в Минкомсвязи РБ автоматизированные системы не обеспечивают решение всего круга функциональных задач специалистов Минкомсвязи РБ.

3.2. Условия эксплуатации и окружающая среда

Условия эксплуатации и окружающая среда объекта автоматизации не влияют на разработку ГИС и ее функционирование, поэтому требований по данному пункту к ГИС не предъявляется.

4. Требования к ГИС

4.1. Требования к ГИС в целом

4.1.1. Общие требования

1) ГИС представляет собой согласованную совокупность информационных, программно-технических средств и услуг, обеспечивающих информационную поддержку деятельности пользователей системы.

Структура ГИС должна иметь сервис-ориентированную архитектуру, что обеспечит возможность доступа неограниченного количества пользователей к ГИС на единой программно-аппаратной платформе, а также последующего наращивания функционала ГИС.

2) ГИС является составной частью ГИС ОГВ РБ и должна обеспечивать единство подходов к хранению, передаче и обработке информации, архитектуре, номенклатуре технических средств и средств общесистемного программного обеспечения .

Для обеспечения совместимости ГИС с уже существующими и вновь разрабатываемыми в Минкомсвязи РБ автоматизированными информационными системами должны быть применены единые системы протоколов многоуровневого взаимодействия.

3) ГИС должна обеспечивать хранение данных в одной из промышленных СУБД (Oracle, MS SQL Server и др.).

4) ГИС должна представлять пользователям данные следующих типов:

· пространственные (векторные и растровые) данные;

· атрибутивные данные;

· файлы произвольного формата.

5) ГИС должна обеспечивать интеграцию c существующими и разрабатываемыми в Минкомсвязи РБ информационными системами.

6) ГИС должна обеспечивать интеграцию информации различного вида и различной степени конфиденциальности.

4.1.2. Требования к развитию и модернизации ГИС

ГИС должна обеспечивать возможность:

1) поэтапного наращивания функциональных возможностей при изменении состава задач пользователей ГИС;

2) развития и модернизации ГИС без коренного изменения ранее разработанных и введенных в конфигурацию ГИС элементов.

4.1.3. Требования к структуре и функционированию

Общие требования к структуре ГИС

Логическая структура ГИС представлена на рисунке 1.

Общие требования

1) Информационное обеспечение ГИС должно быть достаточным для выполнения всех функций ГИС.

2) Совокупность информационных массивов системы должна быть организована в виде баз данных.

Требования к составу, структуре и способам организации данных в ГИС

Состав и структура данных должны соответствовать разрабатываемой в системном проекте информационной модели.

Требования к контролю, хранению и обновлению данных

1) В системе должна, периодически проводится проверка целостности состояния баз данных ГИС встроенными программными средствами.

2) Модификация структур данных должна производиться с учетом приведения реальных данных, ранее загруженных в базы данных, в соответствии с измененной структурой данных.

3) Любое изменение структур баз данных не должно приводить к потере информации, существующей в ГИС.

Требования к языку взаимодействия с пользователями ГИС

1) Лингвистическое обеспечение ГИС должно быть отражено в документации (инструкциях, описаниях) организационного обеспечения ГИС в виде правил общения пользователя с ГИС во всех режимах ее функционирования.

2) Интерфейс общения пользователя с ГИС должен быть русскоязычным (за исключением специализированных терминов и команд).

4.3.3. Требования к программному обеспечению

Общие требования

1) Программное обеспечение ГИС должно быть достаточным для выполнения всех функций ГИС, а также иметь средства организации всех требуемых процессов обработки данных, позволяющие своевременно выполнять все функции ГИС во всех регламентированных режимах функционирования ГИС.

2) Программное обеспечение ГИС должно обладать следующими свойствами:

· функциональная достаточность;

· надежность (в том числе восстанавливаемость, наличие средств выявления ошибок);

· адаптируемость;

· модифицируемость;

· удобство эксплуатации.

3) Программное обеспечение ГИС должно быть построено таким образом, чтобы отсутствие отдельных данных не сказывалось на выполнении функций ГИС, при реализации которых эти данные не используются.

4) В программном обеспечении ГИС должны быть реализованы меры по защите от ошибок при вводе и обработке информации для выполнения функций ГИС.

5) Программное обеспечение должно состоять из общего и специального программного обеспечения (ОПО и СПО).

6) ОПО и СПО должны строиться на базе лицензионных программных продуктов.

Требования к общему программному обеспечению

1) ОПО ГИС должно быть унифицировано и обеспечивать создание и поддержку единой информационной среды для решения информационно-справочных и поисковых задач пользователей.

2) ОПО должно поддерживать создание АРМ пользователей ГИС, серверов баз данных, серверов приложений, а также обеспечивать подключение отдельных технических средств различного назначения.

3) ОПО должно включать в свой состав:

· операционные системы для АРМ и серверов различного назначения;

· средства локального и удаленного обмена информацией с использованием унифицированного интерфейса доступа к услугам подсистем информационного обмена ;

· средства администрирования, управления и аудита аппаратно-программной среды ГИС;

· средства тестирования, диагностики и антивирусной защиты;

· средства обработки текстовой, табличной и графической информации;

· средства защиты информации от несанкционированного доступа.

На выделенных компьютерах (серверах) должно быть установлено следующее программное обеспечение:

· операционная система семейства Window Server (с компонентом IIS на веб-сервере).

На клиентских рабочих местах должно быть установлено следующее программное обеспечение:

· русскоязычная операционная система;

· веб-браузер с поддержкой технологии Flash.

На рабочем месте администратора должна быть установлена операционная система не ниже Window XP SP 2.

Примечание 4 : Перечень продуктов ОПО может уточняться в процессе развития ГИС, а также при появлении более перспективных продуктов.

5) Локальная сеть должна обеспечивать обмен данными на базе протоколов TCP/IP.

6) При формировании ОПО должны быть проработаны вопросы организации взаимодействия с уже существующими БД.

Требования к специальному программному обеспечению

1) СПО должно обеспечивать решение функциональных и специальных технологических задач, в том числе манипулирования с картографическими базами данных

2) СПО должно включать в свой состав:

· на сервере ArcGIS Server, стандартные и специализированные сервисы, реализующие функции АРМ пользователя и одна из промышленных СУБД (Oracle, MS SQL Server и др.);

· на рабочем месте администратора ArcGis Desktop (ArcInfo с модулями расширения);

· на клиентских рабочих местах СПО для работы с ГИС не устанавливается.

4.3.5. Требования к техническому обеспечению

1) Техническое обеспечение ГИС должно быть достаточным для выполнения всех функций ГИС.

2) Техническое обеспечение ГИС должно соответствовать требованиям программного обеспечения ГИС.

3) Техническое обеспечение ГИС должно обеспечивать требуемую надежность функционирования ГИС и доступность данных.

4) В комплексе технических средств ГИС должны в основном использоваться технические средства серийного производства. При необходимости допускается применение технических средств единичного производства.

5) Технические средства ГИС должны быть размещены с соблюдением требований, содержащихся в технической, в том числе эксплуатационной, документации на них, и так, чтобы было удобно использовать их при функционировании ГИС и выполнять техническое обслуживание.

6) Размещение технических средств, используемых персоналом ГИС при выполнении своих обязанностей, должно соответствовать требованиям эргономики: для производственного оборудования по ГОСТ 12.049-80, для средств представления зрительной информации по ГОСТ.

7) Любое из технических средств ГИС должно допускать замену его средством аналогичного функционального назначения, без каких - либо конструктивных изменений или регулировки в остальных технических средствах ГИС.

8) Для каждого из технических средств системы должны быть обеспечены условия функционирования, определенные в эксплуатационной документации, при необходимости развернуты системы электроснабжения, питания, кондиционирования и т. п.

9) Технические средства ГИС допускается использовать только в условиях, определенных в эксплуатационной документации на них.

10) Электропитание серверного оборудования должно обеспечивать штатную остановку сервера с сохранением данных. Время штатной остановки определяется в эксплуатационной документации на программные и аппаратные средства серверного оборудования.

11) Техническое обеспечение ГИС должно содержать средства резервного копирования для обеспечения оперативного восстановления информации.

4.3.6. Требования к организационному обеспечению

Общие требования

1) Организационное обеспечение ГИС должно быть достаточным для эффективного выполнения персоналом ГИС возложенных на него обязанностей при выполнении функций ГИС.

2) Организационное обеспечение ГИС должно быть закреплено в соответствующих инструкциях организационного обеспечения ГИС.

Требования к содержанию инструкций организационного обеспечения ГИС

Инструкции организационного обеспечения ГИС должны:

1) Описывать все режимы функционирования ГИС.

2) Определять действия персонала ГИС, необходимые для выполнения каждой функции во всех режимах функционирования ГИС с учетом заданных требований по безошибочности и быстродействию реализации персоналом ГИС своих функциональных обязанностей.

3) Описывать способы диагностирования обслуживающим персоналом ГИС наступивших и прогнозируемых нарушений работоспособности ГИС.

Требования к документированию инструкций организационного обеспечения ГИС

Инструкции организационного обеспечения ГИС должны быть документированы.

4.3.7. Метрологическое обеспечение

Специальных требований к метрологическому обеспечению не предъявляется.

5. Состав и содержание работ по созданию (развитию) системы

5.1. Стадии реализации ГИС

При создании ГИС должны быть реализованы следующие стадии.

5.1.1. Стадия «Техническое задание»

В таблице 5.1 указаны работы, которые необходимо выполнить на стадии «Техническое задание».

Таблица 5.1. Работы на стадии «Техническое задание»

	Наименование работы	Ответственный	Результат
	Определение и анализ Исполнителем требований Заказчика к ГИС	Исполнитель
	Разработка исполнителем с участием Заказчика Технического задания на ГИС	Исполнитель	Техническое задание
	Согласование технического задания	Заказчик	Замечания к техническому заданию
	Внесение изменений в техническое задание	Исполнитель	Техническое задание, согласованное Заказчиком
	Утверждение технического задания	Заказчик	Техническое задание, утвержденное Заказчиком

Срок реализации – 1 месяц.

5.1.2. Стадия «Системный проект»

В таблице 5.2 указаны работы, которые необходимо выполнить на стадии « Системный проект».

Таблица 5.2. Работы стадии «Системный проект»

	Наименование работы	Ответственный	Результат
	Разработка проектных решений по ГИС	Исполнитель	Функциональная модель и информационная модель данных ГИС
	Разработка базы данных ГИС	Исполнитель	Логическая и физическая модели БД ГИС.
	Разработка проектных решений по ГИС в целом и по видам обеспечения, оформление системного проекта	Исполнитель	Системный проект

Срок реализации – 2 месяца.

5.1.3. Стадия « Разработка ГИ С»

В таблице 5.3 указаны работы, которые необходимо выполнить на стадии «Рабочий проект».

Таблица 5.3. Работы стадии «Разработка ГИС»

	Наименование работы	Ответственный	Результат
	Реализация проектных решений по созданию ГИС	Исполнитель	Опытный образец ГИС
	Разработка и тестирование на аппаратных средствах Исполнителя опытного образца ГИС	Исполнитель	Опытный образец ГИС
		Заказчик
	Развертывание ГИС на аппаратных средствах заказчика	Исполнитель	ГИС, установленная на аппаратных средствах Заказчика
	Разработка рабочей документации на первую очередь ГИС	Исполнитель	Рабочая документация, перечисленная в п. п. 1-4 п. 8.2.3.
	Разработка исполнителем Программы и методики испытаний ГИС (далее в этом разделе «Программа»)	Исполнитель	Программа и методика испытаний первой очереди ГИС
	Согласование программы	Заказчик	Замечания к Программе
	Внесение изменений в программу	Исполнитель	Программа, согласованная с Заказчиком
	Утверждение Программы	Заказчик	Программа, утвержденная Заказчиком

Срок реализации – 5,5 месяца.

5.1.4. Стадия «Ввод в опытную эксплуатацию»

В таблице 5.4 указаны работы, которые необходимо выполнить на стадии «Ввод в опытную эксплуатацию».

Таблица 5.4. Работы стадии «Ввод в опытную эксплуатацию»

	Наименование работы	Ответственный	Результат
	Подготовка ГИС к началу опытной эксплуатации	Исполнитель (совместно с Заказчиком)
		Исполнитель
	Проведение испытаний ГИС	Заказчик (совместно с исполнителем)	Опытный образец ГИС
	Приемка ГИС в опытную эксплуатацию	Заказчик

Срок реализации – 1,5 месяца.

6. Порядок контроля и приемки ГИС

6.1. Общие требования

1) Приемка ГИС в опытную эксплуатацию должна проводиться на объектах Заказчика.

2) Приемка ГИС в опытную эксплуатацию должна производиться согласно руководящим документам, перечисленным в следующем разделе.

6.2. Руководящие документы

Должны быть разработаны следующие документы:

1) Программа и методика испытаний ГИС.

2) Проект программы опытной эксплуатации, в которой должны быть указаны:

· условия и порядок функционирования системы;

· регламент ведения исполнителем журнала регистрации замечаний и предложений Заказчика, связанных с функционированием ГИС в процессе опытной эксплуатации;

· регламент устранения недостатков, выявленных в процессе опытной эксплуатации;

· требования к аппаратным средствам Заказчика, необходимым для проведения испытаний и опытной эксплуатации.

6.3. Порядок проверки ГИС

6.3.1. Приемка ГИС в опытную эксплуатацию

1) По результатам испытаний ГИС проводимых в соответствии с программой и методикой испытаний составляется протокол предварительных испытаний, в котором фиксируется соответствие реализованных функций системы требованиям ТЗ.

2) В случае отражения в протоколе возможности принятия системы в опытную эксплуатацию, приемочной комиссией составляется акт приемки в опытную эксплуатацию, на основании которого осуществляется приемка ГИС в опытную эксплуатацию.

6.3.2. Опытная эксплуатация

1) В процессе опытной эксплуатации Заказчиком должен вестись журнал замечаний и предложений (форма журнала замечаний и предложений и регламент работы с ним разрабатывается исполнителем). Заказчиком должны быть разделены замечания и предложения к заявленным функциям ГИС и все прочие замечания.

2) Замечания и предложения к заявленным функциям ГИС должны быть устранены Исполнителем в согласованные с Заказчиком сроки.

3) После устранения исполнителем замечаний к заявленным функциям ГИС должен быть подготовлен совместный акт о завершении опытной эксплуатации и вводе ГИС в промышленную эксплуатацию

7. Состав и содержание подготовительных работ

В разделе приведен перечень основных мероприятий и их исполнителей, которые необходимо выполнить при подготовке объекта автоматизации и вводу ГИС в опытную эксплуатацию. Все мероприятия сгруппированы по трем основным направлениям, оформленным в виде подразделов настоящего раздела.

7.1. Подготовка информации

В таблице 7.1 указаны работы по подготовке информации к загрузке в ГИС.

Таблица 7.1. Мероприятия по подготовке информации

	Наименование мероприятия	Ответственный	Примечание
	Создание картографической и атрибутивной базы ГИС.	Исполнитель	· узлов подключения к ВОЛС; · базовые станции; · зон покрытия операторов сотовой связи; · узлы подключения к WI-FI. 2. тематическую привязку технологических схем ВОЛС к объектам карт и т. п.
	Уточнение картографической и атрибутивной базы ГИС.	Исполнитель	Включает: 1. Уточнение местоположения и характеристик объектов картах: Базовые станции; Теле и радиопередатчики и т. п. 2. Корректировку картографической БД согласно уточненным координатам объектов.
	Организация взаимодействия между ГИС и информационно-справочными системами Минкомсвязи РБ	Исполнитель	Наполнение атрибутивной информацией базы данных ГИС и подключение к информационно-справочным системам, используемым в Минкомсвязи РБ.

7.2. Техническая подготовка объекта автоматизации

В таблице 7.2 указаны работы по обеспечению технической готовности объекта автоматизации.

Таблица 7.2. Мероприятия по обеспечению технической готовности объекта автоматизации

	Наименование мероприятия	Ответственный	Примечание
	Предоставление Исполнителю аппаратно-программного обеспечения для развертывания ГИС	Заказчик
	Обеспечение технической готовности аппаратно-программного обеспечения к развертыванию ГИС	Заказчик
	Установка общесистемного программного обеспечения	Заказчик
	Приобретение и установка прикладного программного обеспечения, необходимого для функционирования ГИС	Заказчик	Совместно с Исполнителем
	Развертывание ГИС	Исполнитель	Совместно с Заказчиком

7.3. Организационные мероприятия

В таблице 7.3 указаны организационные мероприятия, необходимые для ввода ГИС в опытную эксплуатацию.

Таблица 7.3. Организационные мероприятия

	Наименование мероприятия	Ответственный	Примечание
	Обучение персонала Заказчика работе с ГИС	Исполнитель

8. Требования к документированию

8.1. Общие требования к документированию

1) Документы должны быть представлены исполнителем заказчику на бумажном носителе в одном экземпляре (оригинал) и на магнитном носителе в одном экземпляре (копия). Исходные тексты программ должны быть представлены только на магнитном носителе (оригинал). Возможно предоставление комплекта документации и текстов программ на компакт-дисках.

2) Текстовые документы должны соответствовать внутреннему стандарту Исполнителя на оформление документов.

3) Допускается выпуск документов с использованием средств автоматизации разработки (CASE-средств), согласованные с Заказчиком.

4) Все документы должны быть выпущены на русском языке . Отдельные документы, в том числе выпущенные с помощью CASE-средств, могут содержать записи латинскими буквами (наименование полей баз данных, текст программ и т. д.).

5) Состав документов на общее программное обеспечение, поставляемое в составе ГИС, должен соответствовать комплекту компании-изготовителя.

8.2. Перечень подлежащих разработке документов

8.2.1. Стадия «Техническое задание»

Техническое задание

8.2.2. Стадия «Системный проект»

Системный проект в составе:

1) функциональной модели;

2) информационной модели;

3) структуры базы данных ГИС;

4) требований к ГИС.

8.2.3. Стадия « Разработка ГИ С»

1) Исходные тексты программ с комментариями.

2) Руководство пользователя.

3) Руководство администратора.

4) Инструкции по настройке и установке (может входить в состав руководства администратора).

5) Программа и методика испытаний ГИС.

Примечание 5 : Документацию на составные части ГИС допускается включать как отдельные разделы в документацию на ГИС в целом.

9. Источники разработки

1) Верников Г. Технологическая эволюция корпоративных информационных систем. Центр информационных технологий, http://www. *****/cfin/articles/kis_xml. shtml, 2001

2) Информационная технология. Комплекс стандартов и руководящих документов на автоматизированные системы (ГОСТ 34.201-89, ГОСТ 34.602-89, РД, РД, ГОСТ 34.601-90, гост 34.401-90, РД 50-34.698-90, ГОСТ 34.03-90, Р 50-34.119-90). – М.: Изд. Стандартов, 1989.

5) ГИС – основа современного информационного обеспечения при управлении территориально-распределенными системами. //Научные проблемы топливно-энергетического комплекса РБ: - Уфа, 1997г.

6) Создание инфраструктуры пространственных данных Республики Башкортостан на основе геоинформационных технологий // , / Уфа: УГНТУ, 20с.

7) Общегородские ГИС. / // ArcReview, «Муниципальные ГИС», №3(46), +, 2008. – С.1-3.

8) Применение геоинформационных технологий для создания инфраструктуры пространственных данных Республики Башкортостан // , / Геоинформационные технологии в проектировании и создании корпоративных информационных систем //Межвузовский научный сборник. Уфа: УГАТУ, 2008. – C.56-c.

9) Многопользовательская обработка распределенно-хранящейся пространственной информации в научно-образовательной ГИС РБ / , // Вестник УГАТУ: научн. журн. Уфимск. гос. авиац. техн. ун-та. Серия «Управление, вычислительная техника и информатика». 2009. Т. 12, №1(30). С. 3–8.

10) Инструкции по топографическим съемкам в М 1:5000,1:1000, 1:500 ГКИНП. Москва, «Недра», 1982г.

11) «Инструкции по развитию съемочного обоснования и съемке ситуации и рельефа с применением глобальных навигационных спутниковых систем», ГЛОНАСС и GPS», Москва, ЦНИИГАиК, 2002г.

12) Шекхар, Ш. Основы пространственных баз данных / Ш. Шекхар, С. Чаула; пер. с англ. .- М. : КУДИЦ-ОБРАЗ, 2004 .- 336 с.

13) Зейлер, М. Моделирование нашего мира: руководство ESRI по проектированию базы геоданных / М. Зейлер: ESRI Press, .- 254 с.

14) , Тикунов. – М.: Академия, 2005. – 480 с.

15), Цветков. – М.: МАКС ПРЕСС, 2001.

16)ArcGIS 9. Геообработка в ArcGIS: GIS by ESRI.- М. : Дата+, 2004 .- 358 с.

17)Томлинсон, Роджер Ф. Думая о ГИС. Планирование географических информационных систем: руководство для менеджеров. Пер. с англ. – М. Дата+, 2004. – 325 с.

18) , . Защита данных геоинформационных систем Издательство: Гелиос АРВ, 2010 г. 336 стр.

19) , . Геоинформационные системы Издательство: КУДИЦ-Пресс,2009 г.272 стр.

20) Kang-Tsung Chang. Introduction to Geographic Information Systems. McGraw-Hill Higher Education, 2006. – 450 p.

21) Peters D. Building a GIS: system architecture design strategies for managers / ESRI Press, 2008, 292 p.