Метод протоколирования аттестационных испытаний автоматизированной системы в защищенном исполнении

Цель. Целью исследования является разработка метода протоколирования результатов аттестационных испытаний автоматизированной системы в защищенном исполнении, отражающего необходимые и достаточные мероприятия для проверки требований по защите информации в зависимости от установленного уровня защищённости системы.
Метод. В качестве методов научного познания используются: описание, анализ, систематизация, оценка рисков информационной безопасности, теория защиты информации.
Результат. На примере системы, использующей программно-технические средства под управлением операционной системы Linux, обоснованы методы проведения аттестационных испытаний и описываются необходимые результаты, подтверждающие соответствие автоматизированной системы требованиям по информационной безопасности. Приводится обоснование необходимого перечня программных средств контроля, использование которых позволит в полной мере оценить безопасность тестируемой системы. В материале отражены необходимые, в соответствии с требованиями по аттестации, проверки антивирусных программ и защиты от несанкционированного доступа,а также требования к сертификационным испытаниям системы защиты виртуализации и проверки телекоммуникационного оборудования.
Вывод. Научная новизна результатов состоит в том, что в работе впервые, на основе анализа научных работ и актуальных нормативно-правовых актов РФ сформулирован и применен на практике общий методологический подход и создана методика протоколирования аттестационных испытаний автоматизированных систем в защищенном исполнении. Метод, представленный в работе, может использоваться при проведении аттестационных испытаний различных автоматизированных систем и позволяет максимально наглядно продемонстрировать соответствие системы актуальным требованиям по защите информации и значительно сократит сроки разработки аттестационных документов, тем самым, уменьшая стоимость работ по аттестации.

1. Постановление Правительства РФ от 01.11.2012 № 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных". URL: http://pravo.gov.ru/proxy/ips/?docbody=&nd=102160483&ysclid=mhnu9xiea0530228819

2. Приказ ФСТЭК России от 11.02.2013 № 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" URL: https://fstec.ru/dokumenty/vse-dokumenty/prikazy/prikaz-fstek-rossii-ot-11-fevralya-2013-g-n-17?ysclid=mhnu4wo9w1625032675

3. Приказ ФСТЭК России от 25.12.2017 № 239 "Об утверждении требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры". URL: http://publication.pravo.gov.ru/document/0001201803270041

4. Методический документ ФСТЭК России от 02.05.2024 "Методика оценки показателя состояния технической защиты информации и обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации". URL: https://fstec.ru/dokumenty/vsedokumenty/spetsialnye-normativnye-dokumenty/metodicheskij-dokument-ot-2-maya-2024-g?ysclid=mhnu6o2ogd555215018;

5. Методический документ Национального координационного центра по компьютерным инцидентам "Методические рекомендации по проведению мероприятий по оценке степени защищенности от компьютерных атак"// Официальный сайт Государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации. <https://gossopka.ru/upload/iblock/a63/hwj5wwz7is5zm42pyzl587s52jubuer7/Metodicheskierekomendatsii-po-otsenke-stepeni-zashchishchennosti.pdf

6. Методический документ ФСТЭК России от 05.02.2021 "Методика оценки угроз безопасности информации" Официальный сайт Федеральной службы по техническому и экспортному контролю. URL:https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/metodicheskij-dokumentot-5-fevralya-2021-g?ysclid=mhnu5weg1u594814950

7. Приказ ФСТЭК России от 29.04.2021 № 77 "Об утверждении Порядка организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну". Официальный интернет-портал правовой информации. URL: <http://publication.pravo.gov.ru/document/0001202108100027

8. Приказ ФСТЭК России от 18.02.2013 № 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных". Официальный сайт Федеральной службы по техническому и экспортному контролю. URL: https://fstec.ru/dokumenty/vsedokumenty/prikazy/prikaz-fstek-rossii-ot-18-fevralya-2013-g-n-21?ysclid=mhnu4gjs7g182687367

9. Вантеева А.Е., Омельченко Т.А., Никишова А.В. Исследование возможности повышения эффективности процесса аттестации объекта информатизации // НБИ технологии. - 2022. - Т.16. - № 1. - С. 5-9. - DOI: 10.15688/NBIT.jvolsu.2022.1.1;

10. Зулькарнеев И.Р., Козлов А.Е., Семакин А.Е. Автоматизация процесса аттестации по требованиям безопасности информации // Безопасность информационного пространства. - 2018. - № 43-1(172). - С. 171-174.;

11. Кривенцев В.А., Селифанов В.В., Звягинцева П.А. Проведение аттестационных испытаний автоматизированной системы в защищенном исполнении // Интерэкспо Гео-Сибирь. - 2019.;

12. Гавриленко Д.В. Организационная структура системы аттестации объектов информатизации по требованиям безопасности информации / Д. В. Гавриленко. — Текст : непосредственный // Молодой ученый. - 2013. - № 5 (52). - С. 143-148.;

13. Макеев С.А. Содержание программы и методик проведения аттестационных испытаний информационных систем на соответствие требованиям безопасности информации // Правовая информатика. - 2015. - № 3.;

14. Голушко А.П. Отсутствие форм организационно-распорядительных документов как проблема аттестации объектов информатизации на соответствие требованиям безопасности информации // Актуальные проблемы авиации и космонавтики. - 2017. - № 13.;

15. Медведев Н.В., Квасов П.М., Цирлов В.Л. Стандарты и политика информационной безопасности автоматизированных систем // Вестник МГТУ им. Н.Э. Баумана. Серия «Приборостроение». - 2010. - № 1. - С. 103-111;

16. Бурькова Е.В. Задача оценки защищенности информационных систем персональных данных // Вестник ЧГУ. - 2016. - № 1. - С. 112-118;

17. Барабанов А.В., Марков А.С., Цирлов В.Л. Методический аппарат оценки соответствия автоматизированных систем требованиям безопасности информации // Спецтехника и связь. - 2011. - № 3. - С. 48-52;

18. Барабанов А.В. Методика оценки соответствия автоматизированных систем требованиям по защите информации от несанкционированного доступа с применением выборочного контроля // Вестник МГТУ им. Н.Э. Баумана. Серия «Приборостроение». - 2011. - № SPEC. - С. 104-115;

19. Алешников С.И., Дёмин С.А., Фёдоров С.Б., Фёдоров А.С. Проблемы информационной безопасности организации (предприятия) и пути их решения // Вестник Балтийского федерального университета им. И. Канта. Серия: Физико-математические и технические науки. - 2013. - № 10. - С. 147-154;

20. Голдобина А.С., Селифанов В.В. Оценка эффективности средств защиты государственных информационных систем // Интерэкспо Гео-Сибирь. - 2019. - Т.6. - № 1. - С. 115-121;

21. Старикова А.А., Макарова Д.Г. Оценка эффективности управления системой защиты информации в государственных информационных системах // Интерэкспо Гео-Сибирь. - 2017.;

22. Селифанов В.В., Гордеев А.С., Карманов И.Н. Требования по защите информации при межсетевом взаимодействии государственных информационных систем с иными информационными системами // Интерэкспо Гео-Сибирь. - 2018. - № 7. - С. 277-282;

23. Приказ ФСТЭК России от 03.04.2018 № 55 «Об утверждении Положения о системе сертификации средств защиты информации». Официальный интернет-портал правовой информации. URL: http://publication.pravo.gov.ru/document/0001201805140022.