Из ГОСТ Р 51583–2014 Защита информации. Порядок создания автоматизированных систем в защищенном исполнении

6.16.1 На этапе «Выполнение работ в соответствии с гарантийными обязательствами» осуществляют работы по:

• устранению недостатков системы ЗИ, выявленных в процессе эксплуатации АСЗИ, и последующему контролю за стабильностью характеристик системы ЗИ АСЗИ, влияющих на эффективность ЗИ в течение установленных гарантийных сроков;
• внесению изменений в документацию на систему ЗИ и, при необходимости, в документацию на АСЗИ в целом.

[из 6.16.1 ГОСТ Р 51583-2014]

6.16.2 На этапе «Послегарантийное обслуживание» осуществляют работы по:

• мониторингу качества функционирования системы ЗИ АСЗИ;
• установлению причин невыполнения требований о ЗИ в процессе функционирования АСЗИ;
• устранению недостатков в системе ЗИ и контролю за стабильностью ее характеристик, влияющих на эффективность ЗИ;
• внесению изменений в документацию на систему ЗИ и, при необходимости, в документацию на АСЗИ в целом.

[из 6.16.2 ГОСТ Р 51583-2014]

6.2 Формирование требований к системе ЗИ АСЗИ организуется заказчиком и осуществляется разработчиком на основе требований по предотвращению утечки информации по техническим каналам, несанкционированного доступа к ней, несанкционированных и непреднамеренных воздействий на информацию, в том числе требований по криптографической и антивирусной защите, по обнаружению вторжений (атак), обеспечению устойчивости и непрерывности функционирования АСЗИ и др., закрепленных в нормативных правовых актах уполномоченных федеральных органов исполнительной власти и национальных стандартах в области ЗИ, с учетом целей и задач АСЗИ, свойственных ей угроз безопасности информации и возможных последствий реализации этих угроз.

Формирование требований к системе ЗИ АСЗИ осуществляется на следующих стадиях создания АСЗИ, определенных ГОСТ 34.601:

• «Формирование требований к АС»;
• «Разработка концепции АС»;
• «Техническое задание».

Требования к системе ЗИ АСЗИ уточняются (при необходимости) на последующих стадиях создания АСЗИ, с конкретизацией требований к ее построению, используемым информационным технологиям, методам и программно-аппаратным средствам организации сетевого взаимодействия, в том числе с другими системами, к процессу обработки защищаемой информации, условиям функционирования АСЗИ [из 6.2 ГОСТ Р 51583-2014]

6.3 На стадии «Формирование требований к АС» в интересах создания системы ЗИ создаваемой (модернизируемой) АСЗИ выполняют следующие работы [из 6.3 ГОСТ Р 51583-2014]

6.3.1 На этапе «Обследование объекта и обоснование необходимости создания АС» проводят:

• анализ данных о назначении, функциях, условиях функционирования создаваемой (модернизируемой) АСЗИ и характере обрабатываемой информации;
• определение перечня информации, подлежащей защите;
• определение актуальных угроз безопасности информации, связанных с НСД к защищаемой информации, с утечкой информации по техническим каналам и с несанкционированным воздействием на информацию;
• разработку модели угроз безопасности информации применительно к конкретным вариантам функционирования АСЗИ;
• оценку (технико-экономической и т.п.) целесообразности создания АС в защищенном исполнении.

[из 6.3.1 ГОСТ Р 51583-2014]

6.3.2 На этапе «Формирование требований пользователя к АС» проводят:

1. подготовку исходных данных для формирования требований в части системы ЗИ к создаваемой (модернизируемой) АСЗИ (исходя из ее предназначения и условий использования), включая:
   • определение порядка обработки информации в АСЗИ в целом и в отдельных компонентах;
   • оценку степени участия персонала в обработке (обсуждении, передаче, хранении) защищаемой в АСЗИ информации;
   • определение требуемого класса (уровня) защищенности АСЗИ от НСД;
   • выбор целесообразных (исходя из экономических, научно-технических, временных и других ограничений, а также технологии обработки информации) способов ЗИ и контроля состояния ЗИ в АСЗИ;
   • обоснование архитектуры и конфигурации системы ЗИ АСЗИ и ее отдельных составных частей, физических, функциональных и технологических связей как внутри АСЗИ, так и с другими взаимодействующими системами;
   • выбор ТС, которые могут быть использованы при разработке системы ЗИ АСЗИ;
   • оценку возможности создания АСЗИ, исходя из ресурсных ограничений;
2. формирование требований к системе ЗИ создаваемой (модернизируемой) АСЗИ в части требований о защите информации.

[из 6.3.2 ГОСТ Р 51583-2014]

6.3.3 На этапе «Оформление отчета о выполненной работе и заявки на разработку АС (ТТЗ)» проводят:

• систематизацию результатов, полученных на предыдущих этапах;
• формирование разделов отчета о выполненных работах на данной стадии в части создания системы ЗИ для создаваемой (модернизируемой) АСЗИ;
• оформление заявки на разработку системы ЗИ (ТЗ или дополнения к ТЗ) или другого заменяющего ее документа с аналогичным содержанием (в случае разработки отдельного ТЗ на систему ЗИ АСЗИ).

[из 6.3.3 ГОСТ Р 51583-2014]

6.4 На стадии «Разработка концепции АС» в интересах создания системы ЗИ создаваемой (модернизируемой) АСЗИ выполняют следующие работы [из 6.4 ГОСТ Р 51583-2014]

6.4.1 На этапе «Изучение объекта» проводят:

• определение путей и оценку возможности реализации требований, предъявляемых к системе ЗИ создаваемой (модернизируемой) АСЗИ;
• обоснование необходимости привлечения организаций, имеющих необходимые лицензии, для создания системы ЗИ создаваемой (модернизируемой) АСЗИ;
• оценку ориентировочных сроков создания системы ЗИ АСЗИ;
• оценку материальных, трудовых и финансовых затрат на разработку и внедрение системы ЗИ создаваемой (модернизируемой) АСЗИ;
• обоснование целесообразности проведения НИР (составной части НИР), определение основных вопросов, подлежащих исследованию в интересах создания системы ЗИ создаваемой (модернизируемой) АСЗИ;
• разработку ТТЗ на НИР (при необходимости).

[из 6.4.1 ГОСТ Р 51583-2014]

6.4.2 На этапе «Проведение необходимых научно-исследовательских работ» проводят:

• анализ требований к назначению, структуре и конфигурации создаваемой (модернизируемой) АСЗИ;
• уточнение режимов обработки информации в АСЗИ в целом и в отдельных компонентах;
• анализ возможных уязвимостей и обоснование актуальных угроз безопасности информации и перечня мероприятий по их блокированию (нейтрализации);
• уточнение требований о ЗИ в АСЗИ;
• уточнение требований к архитектуре и конфигурации системы ЗИ АСЗИ;
• уточнение требований к составу и характеристикам основных и вспомогательных ПС и ТС, которые могут быть использованы при разработке системы ЗИ АСЗИ, режимам их работы;
• обоснование перечня сертифицированных средств ЗИ, использование которых возможно в составе системы ЗИ создаваемой (модернизируемой) АСЗИ;
• уточнение оценки материальных, трудовых и финансовых затрат на создание системы ЗИ создаваемой (модернизируемой) АСЗИ;
• оформление и утверждение отчета о НИР.

[из 6.4.2 ГОСТ Р 51583-2014]