31 приказ будет применятся для защиты АСУ, которые незначимые объекты КИИ. Презентация: Вебинар посвящён рассмотрению основных подходов к выполнению требований приказа ФСТЭК России от 14.03.2014 №31 «Об утверждении требований к обеспечению за. Приказ №31 продолжает курс ФСТЭК по унификации требований по защите информации и информационных систем (а теперь еще и АСУ ТП). Согласно требованиям приказа ФСТЭК России №131 SafeERP будет проходить сертификацию как СЗИ 5-го уровня доверия.
Приказ ФСТЭК России № 31 от 14.03.2014
| Приказ ФСТЭК № 31 - Контроль соответствия | Согласно требованиям приказа ФСТЭК России №131 SafeERP будет проходить сертификацию как СЗИ 5-го уровня доверия. |
| ДОКУМЕНТЫ ФСТЭК РОССИИ | В таблице № 1 представлено описание выполнения базового набора мер 31-го приказа ФСТЭК по защите информации в автоматизированной системе управления путем применения ПАК СЗИ НСД «Центр-Т». |
| Telegram: Contact @KII187FZ | Зарегистрировано в Минюсте России 30 июня 2014 г. N 32919 ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ ПРИКАЗ от 14 марта 2014 г. N 31 ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ К ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ИНФОРМАЦИИ В. |
| Приказ ФСТЭК России от 14 марта 2014 г. N 31 - ИБ | Приказ ФСТЭК России № 229 от 11.12.2017 «Об утверждении формы акта проверки, составляемого по итогам проведения госконтроля в области обеспечения безопасности значимых объектов КИИ РФ». |
"Приказ ФСТЭК № 31 как основополагающий документ по обеспечению безопасности АСУ ТП"
Также поддерживается создание обычных резервных копий всей системы и резервных копий данных. Программа tar с ключем —xattrs позволяет сохранять и восстанавливать классификационные метки объектов файловой системы. Утилита rsync предоставляет возможности для локального и удаленного копирования резервного копирования или синхронизации файлов и каталогов с минимальными затратами трафика.
Спасибо за проявленный интерес к нашему журналу! Для получения доступа к статьям Вам необходимо зарегистрироваться у нас на сайте или выполнить вход. После регистрации на сайте Вам в Личном кабинете будет предоставлен бесплатный доступ к скачиванию любых 5 статей на выбор.
Статьи приобретаются навсегда и будут доступны в Вашем Личном кабинете.
Не могу сказать, что это критично, так как аналогичная норма включена в алгоритм выбора защитных мер на этапе дополнения защитных мер. Добавлен новый блок в п.
Незначительно расширен перечень объектов защиты - добавлены промышленные сервера и системы локальной автоматики, микропрограммное ПО. Убрана "информация о промышленном или технологическом процессе", но добавлена "иная критическая важная информация". Переформулировали 8-й пункт ранее 9-й , но суть осталась той же.
По тексту некоторые абзацы в пунктах переставили местами и переписали некоторые абзацы немного другими словами суть осталась неизменной. Убран фрагмент в п. Вообще видно, что даже после общественного обсуждения работа с документом велась очень активно и не бездумно - там где средств защиты нет и не появится в ближайшее время произошла замена на встроенные в АСУ ТП защитные механизмы там где они есть.
А вот пункт 22 из проекта про сегментирование убрали. В приложение 2 перечень защитных мер внесли следующие изменения в части базового набора мер: УПД. Сейчас предстоит осознать, что будет меняться в отрасли с выходом данного приказа.
Заказчикам придется закладывать реализацию его положений в свои планы-графики.
Разработка системы защиты автоматизированной системы управления 14. Разработка системы защиты автоматизированной системы управления организуется заказчиком и осуществляется разработчиком и или оператором. Разработка системы защиты автоматизированной системы управления осуществляется в соответствии с техническим заданием на создание модернизацию автоматизированной системы управления и или техническим заданием частным техническим заданием на создание системы защиты автоматизированной системы управления с учетом ГОСТ 34.
Автоматизированные системы. Стадии создания" далее - ГОСТ 34. Система защиты автоматизированной системы управления не должна препятствовать штатному режиму функционирования автоматизированной системы управления при выполнении ее функций в соответствии с назначением автоматизированной системы управления. При разработке системы защиты автоматизированной системы управления учитывается ее информационное взаимодействие с иными автоматизированными информационными системами и информационно-телекоммуникационными сетями.
При проектировании системы защиты автоматизированной системы управления должны учитываться особенности функционирования программного обеспечения и технических средств на каждом из уровней автоматизированной системы управления. Результаты проектирования системы защиты автоматизированной системы управления отражаются в проектной документации эскизном техническом проекте и или в рабочей документации на автоматизированную систему управления систему защиты автоматизированной системы управления , разрабатываемых с учетом ГОСТ 34. Виды, комплектность и обозначение документов при создании автоматизированных систем" далее - ГОСТ 34. Разработка эксплуатационной документации на систему защиты автоматизированной системы управления осуществляется по результатам проектирования в соответствии с техническим заданием на создание модернизацию автоматизированной системы управления и или техническим заданием частным техническим заданием на создание системы защиты автоматизированной системы управления.
Эксплуатационная документация на систему защиты автоматизированной системы управления разрабатывается с учетом ГОСТ 34. Внедрение системы защиты автоматизированной системы управления и ввод ее в действие 15. Внедрение системы защиты автоматизированной системы управления организуется заказчиком и осуществляется разработчиком и или оператором. Настройка задание параметров программирования программного обеспечения автоматизированной системы управления должна осуществляться в соответствии с проектной и эксплуатационной документацией на автоматизированную систему управления и обеспечивать конфигурацию программного обеспечения и автоматизированной системы в целом, при которой минимизируются риски возникновения уязвимостей и возможности реализации угроз безопасности информации.
При внедрении организационных мер защиты информации осуществляются: введение ограничений на действия персонала пользователей операторского персонала , администраторов, обеспечивающего персонала , а также на условия эксплуатации, изменение состава и конфигурации технических средств и программного обеспечения; реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа; проверка полноты и детальности описания в организационно-распорядительных документах по защите информации действий персонала автоматизированной системы управления, направленных на обеспечение защиты информации; отработка практических действий должностных лиц и подразделений, обеспечивающих эксплуатацию автоматизированной системы управления и защиту информации. Установка и настройка средств защиты информации осуществляется в случаях, если такие средства необходимы для блокирования нейтрализации угроз безопасности информации, которые невозможно исключить настройкой заданием параметров программного обеспечения автоматизированной системы управления и или реализацией организационных мер защиты информации. Установка и настройка средств защиты информации в автоматизированной системе управления должна проводиться в соответствии с эксплуатационной документацией на систему защиты автоматизированной системы управления и документацией на средства защиты информации. При этом установка и настройка средств защиты информации должна обеспечивать корректность функционирования автоматизированной системы управления и совместимость выбранных средств защиты информации с программным обеспечением и техническими средствами автоматизированной системы управления.
Установленные и настроенные средства защиты информации не должны оказывать отрицательного влияния на штатный режим функционирования автоматизированной системы управления. Предварительные испытания системы защиты автоматизированной системы управления проводятся с учетом ГОСТ 34. Виды испытаний автоматизированных систем" далее - ГОСТ 34. По результатам предварительных испытаний системы защиты автоматизированной системы управления могут разрабатываться предложения по корректировке проектных решений по автоматизированной системе управления и или ее системе защиты.
Опытная эксплуатация системы защиты автоматизированной системы управления проводится с учетом ГОСТ 34. По результатам опытной эксплуатации системы защиты автоматизированной системы управления могут разрабатываться предложения по корректировке проектных решений по автоматизированной системе управления и или ее системе защиты. Анализ уязвимостей автоматизированной системы управления проводится в целях оценки возможности преодоления нарушителем системы защиты автоматизированной системы управления и нарушения безопасного функционирования автоматизированной системы управления за счет реализации угроз безопасности информации. Анализ уязвимостей автоматизированной системы управления включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения автоматизированной системы управления.
Приказ ФСТЭК России № 31 от 14.03.2014
Я пишу про них только сейчас потому, что они были официально опубликованы после регистрации в Минюсте России, которая состоялась 06. Эти документы применяются до 31. Приказами предусмотрены плановые, внеплановые, документарные и выездные проверки сроком не более 20 рабочих дней не менее чем двумя должностными лицами. К важным изменениям относится то, что в Сроках и последовательностях нет зафиксированных в административных регламентах прав и обязанностей должностных лиц при осуществлении лицензионного контроля. Нет также порядков исполнения государственной функции, досудебного обжалования решений, принятых ФСТЭК России и его должностными лицами при осуществлении контроля. Административные регламенты заменили сроками и последовательностями из-за Федерального закона от 04. Смыслом этого закона, судя по пояснительной записке , подготовленной на этапе его проектирования, является извлечение из правового поля некоторых государственных услуг, для которых ранее действовали принципы открытости госорганов. В том числе, например, это касается контроля за соблюдением лицензионных требований при осуществлении деятельности, связанной с государственной безопасностью. Я считаю, что это правильное решение.
При рассмотрении предприятия через призму ИБ—АСУ ТП—ИТ обособление данных направлений в отдельные подразделения, находящиеся на одном уровне организационной иерархии, на практике расценивается как самый эффективный вариант, обеспечивающий равенство интересов трёх направлений или их обоснованную приоритезацию с учётом стратегии развития. Ответственный за ИБ промышленных систем автоматизации должен относиться к подразделению ИБ и обладать компетенциями в сфере автоматизации. Стоит учитывать также зарубежный опыт в данном вопросе: самым подходящим решением является создание по примеру NIST SP 800-82 [12] межфункциональной команды кибербезопасности, обеспечивающей плотное взаимодействие этих направлений. Об утверждении требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды : приказ ФСТЭК России от 14 марта 2014 г. Базовая модель угроз безопасности информации в ключевых системах информационной инфраструктуры : утв. Методика определения актуальных угроз безопасности информации в ключевых системах информационной инфраструктуры : утв. Общие требования по обеспечению безопасности информации в ключевых системах информационной инфраструктуры : утв. Рекомендации по обеспечению безопасности информации в ключевых системах информационной инфраструктуры : утв.
Общие требования" далее - ГОСТ Р 51624 и стандартов организации и в том числе включает: принятие решения о необходимости защиты информации в автоматизированной системе управления; классификацию автоматизированной системы управления по требованиям защиты информации далее - классификация автоматизированной системы управления ; определение угроз безопасности информации, реализация которых может привести к нарушению штатного режима функционирования автоматизированной системы управления, и разработку на их основе модели угроз безопасности информации; определение требований к системе защиты автоматизированной системы управления. При принятии решения о необходимости защиты информации в автоматизированной системе управления осуществляются: анализ целей создания автоматизированной системы управления и задач, решаемых этой автоматизированной системой управления; определение информации, нарушение доступности, целостности или конфиденциальности которой может привести к нарушению штатного режима функционирования автоматизированной системы управления определение критически важной информации , и оценка возможных последствий такого нарушения; анализ нормативных правовых актов, локальных правовых актов, методических документов, национальных стандартов и стандартов организаций, которым должна соответствовать автоматизированная система управления; принятие решения о необходимости создания системы защиты автоматизированной системы управления и определение целей и задач защиты информации в автоматизированной системе управления.
Классификация автоматизированной системы управления проводится заказчиком или оператором в зависимости от уровня значимости критичности информации, обработка которой осуществляется в автоматизированной системе управления. Устанавливаются три класса защищенности автоматизированной системы управления, определяющие уровни защищенности автоматизированной системы управления. Самый низкий класс - третий, самый высокий - первый. Класс защищенности может быть установлен отдельно для каждого из уровней автоматизированной системы управления или иных сегментов при их наличии. Результаты классификации автоматизированной системы управления оформляются актом классификации. Требование к классу защищенности включается в техническое задание на создание автоматизированной системы управления и или техническое задание частное техническое задание на создание системы защиты автоматизированной системы управления, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы" далее - ГОСТ 34. Класс защищенности автоматизированной системы управления сегмента подлежит пересмотру только в случае ее модернизации, в результате которой изменился уровень значимости критичности информации, обрабатываемой в автоматизированной системе управления сегменте. По результатам определения угроз безопасности информации могут разрабатываться рекомендации по корректировке структурно-функциональных характеристик автоматизированной системы управления, направленные на блокирование нейтрализацию отдельных угроз безопасности информации.
Модель угроз безопасности информации должна содержать описание автоматизированной системы управления и угроз безопасности информации для каждого из уровней автоматизированной системы управления, включающее описание возможностей нарушителей модель нарушителя , возможных уязвимостей автоматизированной системы управления, способов сценариев реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации доступности, целостности, конфиденциальности и штатного режима функционирования автоматизированной системы управления. Требования к системе защиты автоматизированной системы управления определяются в зависимости от класса защищенности автоматизированной системы управления и угроз безопасности информации, включенных в модель угроз безопасности информации. Требования к системе защиты автоматизированной системы управления включаются в техническое задание на создание модернизацию автоматизированной системы управления и или техническое задание частное техническое задание на создание системы защиты автоматизированной системы управления, разрабатываемые с учетом ГОСТ 34. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования", а также политик обеспечения информационной безопасности оператора в части, не противоречащей политикам заказчика. Разработка системы защиты автоматизированной системы управления 14. Разработка системы защиты автоматизированной системы управления организуется заказчиком и осуществляется разработчиком и или оператором. Разработка системы защиты автоматизированной системы управления осуществляется в соответствии с техническим заданием на создание модернизацию автоматизированной системы управления и или техническим заданием частным техническим заданием на создание системы защиты автоматизированной системы управления с учетом ГОСТ 34. Автоматизированные системы.
Стадии создания" далее - ГОСТ 34. Система защиты автоматизированной системы управления не должна препятствовать штатному режиму функционирования автоматизированной системы управления при выполнении ее функций в соответствии с назначением автоматизированной системы управления.
Виды испытаний автоматизированных систем" далее - ГОСТ 34. По результатам предварительных испытаний системы защиты автоматизированной системы управления могут разрабатываться предложения по корректировке проектных решений по автоматизированной системе управления и или ее системе защиты. Опытная эксплуатация системы защиты автоматизированной системы управления проводится с учетом ГОСТ 34. По результатам опытной эксплуатации системы защиты автоматизированной системы управления могут разрабатываться предложения по корректировке проектных решений по автоматизированной системе управления и или ее системе защиты.
Анализ уязвимостей автоматизированной системы управления проводится в целях оценки возможности преодоления нарушителем системы защиты автоматизированной системы управления и нарушения безопасного функционирования автоматизированной системы управления за счет реализации угроз безопасности информации. Анализ уязвимостей автоматизированной системы управления включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения автоматизированной системы управления. При анализе уязвимостей автоматизированной системы управления проверяется отсутствие уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации, технических средств и программного обеспечения автоматизированной системы управления при их взаимодействии. По решению заказчика для подтверждения выявленных уязвимостей может проводиться тестирование автоматизированной системы управления на проникновение. Указанное тестирование проводится, как правило, на макете в тестовой зоне автоматизированной системы управления. В случае выявления уязвимостей в автоматизированной системе управления, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность эксплуатации нарушителем выявленных уязвимостей.
Анализ уязвимостей автоматизированной системы управления проводится до ввода автоматизированной системы управления в промышленную эксплуатацию на этапах, определяемых заказчиком. Приемочные испытания системы защиты автоматизированной системы управления проводятся, как правило, в рамках приемочных испытаний автоматизированной системы управления в целом с учетом ГОСТ 34. В ходе приемочных испытаний должен быть проведен комплекс организационных и технических мероприятий испытаний , в результате которых подтверждается соответствие системы защиты автоматизированной системы управления техническому заданию на создание модернизацию автоматизированной системы управления и или техническому заданию частному техническому заданию на создание системы защиты автоматизированной системы управления, а также настоящим Требованиям. В качестве исходных данных при приемочных испытаниях используются модель угроз безопасности информации, акт классификации автоматизированной системы управления, техническое задание на создание модернизацию автоматизированной системы управления и или техническое задание частное техническое задание на создание системы защиты автоматизированной системы управления, проектная и эксплуатационная документация на систему защиты автоматизированной системы управления, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей автоматизированной системы управления, материалы предварительных и приемочных испытаний системы защиты автоматизированной системы управления, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями и требованиями стандартов организации. Приемочные испытания системы защиты автоматизированной системы управления проводятся в соответствии с программой и методикой приемочных испытаний. Результаты приемочных испытаний системы защиты автоматизированной системы управления с выводом о ее соответствии установленным требованиям включаются в акт приемки автоматизированной системы управления в эксплуатацию.
По решению заказчика подтверждение соответствия системы защиты автоматизированной системы управления техническому заданию на создание модернизацию автоматизированной системы управления и или техническому заданию частному техническому заданию на создание системы защиты автоматизированной системы управления, а также настоящим Требованиям может проводиться в форме аттестации автоматизированной системы управления на соответствие требованиям по защите информации. N 1085. Ввод в действие автоматизированной системы управления осуществляется с учетом ГОСТ 34. Обеспечение защиты информации в ходе эксплуатации автоматизированной системы управления 16. В ходе планирования мероприятий по обеспечению защиты информации в автоматизированной системе управления осуществляются: определение лиц, ответственных за планирование и контроль мероприятий по обеспечению защиты информации в автоматизированной системе управления; разработка, утверждение и актуализация плана мероприятий по обеспечению защиты информации в автоматизированной системе управления; контроль выполнения мероприятий по обеспечению защиты информации в автоматизированной системе управления, предусмотренных утвержденным планом. В ходе обеспечения действий в нештатных непредвиденных ситуациях при эксплуатации автоматизированной системы управления осуществляются: планирование мероприятий по обеспечению защиты информации в автоматизированной системе управления на случай возникновения нештатных непредвиденных ситуаций; обучение и отработка действий персонала по обеспечению защиты информации в автоматизированной системе управления в случае возникновения нештатных непредвиденных ситуаций; создание альтернативных мест хранения и обработки информации на случай возникновения нештатных непредвиденных ситуаций; резервирование программного обеспечения, технических средств, каналов передачи данных автоматизированной системы управления на случай возникновения нештатных непредвиденных ситуаций; обеспечение возможности восстановления автоматизированной системы управления и или ее компонентов в случае возникновения нештатных непредвиденных ситуаций.
В ходе информирования и обучения персонала автоматизированной системы управления осуществляются: периодическое информирование персонала об угрозах безопасности информации, о правилах эксплуатации системы защиты автоматизированной системы управления и отдельных средств защиты информации; периодическое обучение персонала правилам эксплуатации системы защиты автоматизированной системы управления и отдельных средств защиты информации, включая проведение практических занятий с персоналом на макетах или в тестовой зоне. В ходе анализа угроз безопасности информации в автоматизированной системе управления и возможных рисков от их реализации осуществляются: периодический анализ уязвимостей автоматизированной системы управления, возникающих в ходе ее эксплуатации; периодический анализ изменения угроз безопасности информации в автоматизированной системе управления, возникающих в ходе ее эксплуатации; периодическая оценка последствий от реализации угроз безопасности информации в автоматизированной системе управления анализ риска. В ходе контроля мониторинга за обеспечением уровня защищенности автоматизированной системы управления осуществляются: контроль за событиями безопасности и действиями персонала в автоматизированной системе управления; контроль анализ защищенности информации, обрабатываемой в автоматизированной системе управления, с учетом особенностей ее функционирования; анализ и оценка функционирования системы защиты автоматизированной системы управления, включая выявление, анализ и устранение недостатков в функционировании системы защиты автоматизированной системы управления; документирование процедур и результатов контроля мониторинга за обеспечением уровня защищенности автоматизированной системы управления; принятие решения по результатам контроля мониторинга за обеспечением уровня защищенности автоматизированной системы управления о необходимости пересмотра требований к защите информации в автоматизированной системе управления и доработке модернизации ее системы защиты. Обеспечение защиты информации при выводе из эксплуатации автоматизированной системы управления 17. Обеспечение защиты информации при выводе из эксплуатации автоматизированной системы управления осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты автоматизированной системы управления и организационно-распорядительными документами по защите информации и в том числе включает: архивирование информации, содержащейся в автоматизированной системе управления; уничтожение стирание данных и остаточной информации с машинных носителей информации и или уничтожение машинных носителей информации.
Приказ ФСТЭК России от 14.03.2014 № 31
| Приказ № 31 | 31 приказ ФСТЭК, используется для незначимых ОКИИ. |
| "Приказ ФСТЭК № 31 как основополагающий документ по обеспечению безопасности АСУ ТП" | Для выполнения требований 17 и 21 приказов ФСТЭК России необходимо использовать только те СЗИ, которые прошли процедуру соответствия требованиям к УД. |
| Приказ ФСТЭК России № 31 от 14.03.2014 | 31 приказ ФСТЭК, используется для незначимых ОКИИ. |
Оценка соответствия СрЗИ согласно Приказу ФСТЭК №31
используемых Федеральной службой по техническому и экспортному контролю в процессе лицензирования деятельности по технической защите конфиденциальной информации, и признании утратившими силу приказа ФСТЭК России от 17 июля 2017 г. Утверждены приказом ФСТЭК России от 14 марта 2014 г. N 31. Главные выдержки из Приказа ФСТЭК от 14 марта 2014 г. N 31: 1. Цель документа: утвердить требования к обеспечению защиты информации в АСУТП на критически важных объектах, потенциально опасных объектах, а также объектах. Приказ ФСТЭК России от 14.03.2014 № 31 Об утверждении требований к обеспечению защиты информации в АСУ ТП на КВО.
НАЦ аттестовал информационную систему предприятия "Ростеха" по 31 Приказу ФСТЭК
| Обзор приказа ФСТЭК №31 | С утверждением приказа ФСТЭК России № 31 мероприятия по защите информации в АСУ ТП стали носить обязательный характер. |
| Приказ ФСТЭК России от 19.02.2018 N 31 | Первая особенность приказа № 31 – «уникальные» требования обеспечения безопасной разработки программного обеспечения (ОБР), которых нет в аналогичных приказах ФСТЭК. |
| Telegram: Contact @KII187FZ | Описание на русском: Приказ ФСТЭК России № 31 от 14.03.2014 (ред. от 15.03.2021) 'Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на. |
| Подходы к выполнению требований Приказа №31 ФСТЭК России - YouTube | С утверждением приказа ФСТЭК России № 31 мероприятия по защите информации в АСУ ТП стали носить обязательный характер. |
| Оценка соответствия СрЗИ согласно Приказу ФСТЭК №31 | ИЦ РЕГИОНАЛЬНЫЕ СИСТЕМЫ | Иными словами, Приказ ФСТЭК N 31 от 14.03.2014 позволяет легально применить требования для защиты тех АСУ ТП, которые не являются ЗОКИИ. |
ДОКУМЕНТЫ ФСТЭК РОССИИ
окружающей природной среды (утв. приказом Федеральной службы по техническому и экспортному контролю. ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ ПРИКАЗ от 14 марта 2014 года № 31 Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и. ПРИКАЗ. от 14 марта 2014 года N 31. Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных.
Подходы к выполнению требований Приказа №31 ФСТЭК России
Решение etherCUT может использоваться для реализации части мер по приказу №31 ФСТЭК России. Приказ ФСТЭК России от 14.03.2014 № 31 Об утверждении требований к обеспечению защиты информации в АСУ ТП на КВО. Первая особенность приказа № 31 – «уникальные» требования обеспечения безопасной разработки программного обеспечения (ОБР), которых нет в аналогичных приказах ФСТЭК. В таблице № 1 представлено описание выполнения базового набора мер 31-го приказа ФСТЭК по защите информации в автоматизированной системе управления путем применения ПАК СЗИ НСД «Центр-Т». Сейчас приказ ФСТЭК № 31 — это достаточно высокоуровневый документ. приказ №31) в очередной раз обратил наше внимание на неоднозначный вопрос оценки соответствия СрЗИ, а точнее на вопрос есть ли жизнь без обязательной сертификации можно ли при. УТВЕРЖДЕНЫ приказом ФСТЭК России от «14» марта 2014 г. № 31. Требования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах.
Подходы к выполнению требований Приказа №31 ФСТЭК России
Устанавливаются три класса защищенности автоматизированной системы управления. Самый низкий класс - третий, самый высокий - первый. Класс защищенности автоматизированной системы управления определяется в соответствии с уровнем значимости критичности информации. Определение угроз безопасности информации осуществляется на каждом из уровней автоматизированной системы управления и должно включать: выявление источников угроз безопасности информации и оценку возможностей потенциала внешних и внутренних нарушителей; анализ возможных уязвимостей автоматизированной системы и входящих в ее состав программных и программно-аппаратных средств; определение возможных способов сценариев реализации возникновения угроз безопасности информации; оценку возможных последствий от реализации возникновения угроз безопасности информации, нарушения отдельных свойств безопасности информации целостности, доступности, конфиденциальности и автоматизированной системы управления в целом. При проектировании системы защиты автоматизированной системы управления должны учитываться особенности функционирования программного обеспечения и технических средств на каждом из уровней этой системы.
Устанавливаются три класса защищенности автоматизированной системы управления, определяющие уровни защищенности автоматизированной системы управления. Самый низкий класс - третий, самый высокий - первый.
Класс защищенности может быть установлен отдельно для каждого из уровней автоматизированной системы управления или иных сегментов при их наличии. Результаты классификации автоматизированной системы управления оформляются актом классификации. Требование к классу защищенности включается в техническое задание на создание автоматизированной системы управления и или техническое задание частное техническое задание на создание системы защиты автоматизированной системы управления, разрабатываемые с учетом ГОСТ 34. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы" далее - ГОСТ 34. Класс защищенности автоматизированной системы управления сегмента подлежит пересмотру только в случае ее модернизации, в результате которой изменился уровень значимости критичности информации, обрабатываемой в автоматизированной системе управления сегменте.
По результатам определения угроз безопасности информации могут разрабатываться рекомендации по корректировке структурно-функциональных характеристик автоматизированной системы управления, направленные на блокирование нейтрализацию отдельных угроз безопасности информации. Модель угроз безопасности информации должна содержать описание автоматизированной системы управления и угроз безопасности информации для каждого из уровней автоматизированной системы управления, включающее описание возможностей нарушителей модель нарушителя , возможных уязвимостей автоматизированной системы управления, способов сценариев реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации доступности, целостности, конфиденциальности и штатного режима функционирования автоматизированной системы управления. Требования к системе защиты автоматизированной системы управления определяются в зависимости от класса защищенности автоматизированной системы управления и угроз безопасности информации, включенных в модель угроз безопасности информации. Требования к системе защиты автоматизированной системы управления включаются в техническое задание на создание модернизацию автоматизированной системы управления и или техническое задание частное техническое задание на создание системы защиты автоматизированной системы управления, разрабатываемые с учетом ГОСТ 34. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности.
Требования", а также политик обеспечения информационной безопасности оператора в части, не противоречащей политикам заказчика. Разработка системы защиты автоматизированной системы управления 14. Разработка системы защиты автоматизированной системы управления организуется заказчиком и осуществляется разработчиком и или оператором. Разработка системы защиты автоматизированной системы управления осуществляется в соответствии с техническим заданием на создание модернизацию автоматизированной системы управления и или техническим заданием частным техническим заданием на создание системы защиты автоматизированной системы управления с учетом ГОСТ 34. Автоматизированные системы. Стадии создания" далее - ГОСТ 34.
Система защиты автоматизированной системы управления не должна препятствовать штатному режиму функционирования автоматизированной системы управления при выполнении ее функций в соответствии с назначением автоматизированной системы управления. При разработке системы защиты автоматизированной системы управления учитывается ее информационное взаимодействие с иными автоматизированными информационными системами и информационно-телекоммуникационными сетями. При проектировании системы защиты автоматизированной системы управления должны учитываться особенности функционирования программного обеспечения и технических средств на каждом из уровней автоматизированной системы управления. Результаты проектирования системы защиты автоматизированной системы управления отражаются в проектной документации эскизном техническом проекте и или в рабочей документации на автоматизированную систему управления систему защиты автоматизированной системы управления , разрабатываемых с учетом ГОСТ 34.
N 934-р.
Профилактические мероприятия осуществляются с учетом требований законодательства Российской Федерации в области защиты государственной тайны и иной информации ограниченного доступа. Цели, задачи и принципы проведения профилактических мероприятий 5. Целями проведения профилактических мероприятий являются: предупреждение и сокращение количества нарушений подконтрольными субъектами обязательных требований; повышение прозрачности деятельности ФСТЭК России при осуществлении экспортного контроля; снижение административной нагрузки на подконтрольных субъектов; создание мотивации у подконтрольных субъектов к добросовестному поведению и, как следствие, снижение уровня ущерба охраняемым законом ценностям. Основными задачами профилактических мероприятий являются: формирование у всех подконтрольных субъектов единого понимания обязательных требований в области экспортного контроля и порядка их соблюдения; инвентаризация состава и особенностей подконтрольных субъектов, оценка состояния подконтрольной среды; выявление причин, факторов и условий, способствующих нарушению обязательных требований, определение способов устранения или снижения рисков их возникновения; установление зависимости видов, форм и интенсивности профилактических мероприятий от особенностей конкретных подконтрольных субъектов. Краткий анализ текущего состояния подконтрольной среды 8.
Текущее состояние подконтрольной среды характеризуется увеличением количества подконтрольных субъектов, осуществляющих внешнеэкономическую деятельность в отношении товаров работ, услуг , информации, результатов интеллектуальной деятельности, которые могут быть использованы при создании оружия массового поражения, средств его доставки, иных видов вооружения и военной техники либо при подготовке и или совершении террористических актов. Реализуемые в настоящее время на государственном уровне программы поддержки несырьевого экспорта нацелены на формирование широкого слоя активных экспортеров, в том числе из среды малого и среднего бизнеса, а также на устранение излишних административных барьеров во внешнеэкономической сфере, что должно позитивно отразиться на состоянии конкуренции и делового климата в стране.
Требование к классу защищенности включается в техническое задание на создание автоматизированной системы управления и или техническое задание частное техническое задание на создание системы защиты автоматизированной системы управления, разрабатываемые с учетом ГОСТ 34.
Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы" далее - ГОСТ 34. Класс защищенности автоматизированной системы управления сегмента подлежит пересмотру только в случае ее модернизации, в результате которой изменился уровень значимости критичности информации, обрабатываемой в автоматизированной системе управления сегменте.
Определение угроз безопасности информации осуществляется на каждом из уровней автоматизированной системы управления и должно включать: а выявление источников угроз безопасности информации и оценку возможностей потенциала внешних и внутренних нарушителей; б анализ возможных уязвимостей автоматизированной системы и входящих в ее состав программных и программно-аппаратных средств; в определение возможных способов сценариев реализации возникновения угроз безопасности информации; г оценку возможных последствий от реализации возникновения угроз безопасности информации, нарушения отдельных свойств безопасности информации целостности, доступности, конфиденциальности и автоматизированной системы управления в целом. В качестве исходных данных при определении угроз безопасности информации используется банк данных угроз безопасности информации, ведение которого осуществляется ФСТЭК России в соответствии с подпунктом 21 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 Собрание законодательства Российской Федерации, 2004, N 34, ст.
При определении угроз безопасности информации учитываются структурно-функциональные характеристики автоматизированной системы управления, включающие наличие уровней сегментов автоматизированной системы управления, состав автоматизированной системы управления, физические, логические, функциональные и технологические взаимосвязи в автоматизированной системе управления, взаимодействие с иными автоматизированными информационными системами и информационно-телекоммуникационными сетями, режимы функционирования автоматизированной системы управления, а также иные особенности ее построения и функционирования. По результатам определения угроз безопасности информации могут разрабатываться рекомендации по корректировке структурно-функциональных характеристик автоматизированной системы управления, направленные на блокирование нейтрализацию отдельных угроз безопасности информации. Требования к системе защиты автоматизированной системы управления определяются в зависимости от класса защищенности автоматизированной системы управления и угроз безопасности информации, включенных в модель угроз безопасности информации.
Требования к системе защиты автоматизированной системы управления включаются в техническое задание на создание модернизацию автоматизированной системы управления и или техническое задание частное техническое задание на создание системы защиты автоматизированной системы управления, разрабатываемые с учетом ГОСТ 34. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности.
Требования", а также политик обеспечения информационной безопасности оператора в части, не противоречащей политикам заказчика. Разработка системы защиты автоматизированной системы управления 14. Разработка системы защиты автоматизированной системы управления организуется заказчиком и осуществляется разработчиком и или оператором.
Разработка системы защиты автоматизированной системы управления осуществляется в соответствии с техническим заданием на создание модернизацию автоматизированной системы управления и или техническим заданием частным техническим заданием на создание системы защиты автоматизированной системы управления с учетом ГОСТ 34. Автоматизированные системы. Стадии создания" далее - ГОСТ 34.
Система защиты автоматизированной системы управления не должна препятствовать штатному режиму функционирования автоматизированной системы управления при выполнении ее функций в соответствии с назначением автоматизированной системы управления. При разработке системы защиты автоматизированной системы управления учитывается ее информационное взаимодействие с иными автоматизированными информационными системами и информационно-телекоммуникационными сетями. При проектировании системы защиты автоматизированной системы управления должны учитываться особенности функционирования программного обеспечения и технических средств на каждом из уровней автоматизированной системы управления.
Результаты проектирования системы защиты автоматизированной системы управления отражаются в проектной документации эскизном техническом проекте и или в рабочей документации на автоматизированную систему управления систему защиты автоматизированной системы управления , разрабатываемой с учетом ГОСТ 34. Виды, комплектность и обозначение документов при создании автоматизированных систем" далее - ГОСТ 34. Разработка эксплуатационной документации на систему защиты автоматизированной системы управления осуществляется по результатам проектирования в соответствии с техническим заданием на создание модернизацию автоматизированной системы управления и или техническим заданием частным техническим заданием на создание системы защиты автоматизированной системы управления.
Эксплуатационная документация на систему защиты автоматизированной системы управления разрабатывается с учетом ГОСТ 34. Внедрение системы защиты автоматизированной системы управления и ввод ее в действие 15.
Приказ № 31
В случае обработки в АСУ ТП двух и более видов информации измерительная информация, информация о состоянии процесса , уровень значимости определяется отдельно для каждого вида информации. Итоговый уровень значимости определяется по наивысшему значению из них или может быть установлен отдельно для каждого из уровней автоматизированных систем управления производственными и технологическими процессами и иных сегментов при их наличии. Определение угроз безопасности информации и построение модели угроз производится на основании методических документов ФСТЭК России «Базовая модель угроз безопасности информации в ключевых системах информационной инфраструктуры» и «Методика определения актуальных угроз безопасности информации в ключевых системах информационной инфраструктуры», включая: оценку возможностей нарушителей; анализ возможных сценариев реализации угроз безопасности информации; анализ последствий от нарушения свойств безопасности; и др. Требования к системе защиты АСУ ТП определяются в зависимости от класса защищенности и актуальных угроз безопасности информации, включенных в модель угроз безопасности информации. На этапе разработки системы защиты в рамках проектирования системы защиты информации осуществляется выбор СрЗИ, прошедших оценку соответствия, и определяются необходимые меры защиты с учетом особенностей функционирования ПО и технических средств на каждом уровне АСУ ТП. Стоит отметить, что форма оценки соответствия СрЗИ должна быть определена заказчиком в техническом задании в соответствии с Федеральным законом «О техническом регулировании». Этап внедрения системы защиты информации включает следующие мероприятия: настройку ПО АСУ ТП; проведение предварительных испытаний, опытной эксплуатации и приемочных испытаний системы; анализ уязвимостей АСУ ТП, в рамках которого по решению заказчика может проводиться тестирование на проникновение; разработку документов, определяющих правила и процедуры, реализуемые для защиты информации.
В соответствии с новым перечнем требований для средств защиты информации далее — СЗИ устанавливаются УД, характеризующие безопасность их применения для обработки и защиты информации, содержащей государственную тайну, конфиденциальные сведения или данные ограниченного доступа. Однако любое программное обеспечение далее — ПО , разрабатываемое и используемое в системах, где хранятся и обрабатываются данные, имеет встроенные программные алгоритмы для защиты информации например, проверки полномочий доступа к данным или к системе в целом , которые также могут нуждаться в проверке на безопасность. Основной причиной инцидентов в области ИБ чаще всего становятся ошибки кодирования, приводящие к уязвимостям программ и систем. В связи с этим для предотвращения нарастающих угроз в информационной сфере всем разработчикам программных продуктов рекомендуется принимать меры по выпуску защищенного ПО и придерживаться требований ГОСТ и приказов ФСТЭК России, касающихся безопасной разработки кода. Разработка безопасного ПО. Общие требования» можно обеспечить реализацию и проведение мер по разработке безопасного программного обеспечения непосредственно в процессах его жизненного цикла.
Получается, что использовать сертифицированные СрЗИ добровольная, обязательная сертификация гораздо проще, чем СрЗИ, прошедшие оценку соответствия в какой-либо другой форме. И причины, как нам кажется, следующие: —отсутствие четкого толкования условий и результата проведения оценки соответствия в других формах; —устоявшаяся практика применения сертифицированных СрЗИ «чтобы регулятор не придирался» ; —отсутствие практики применения СрЗИ, прошедших оценку соответствия в других формах следствие из предыдущего пункта. Услуги Аудит информационной безопасности Аудит информационной безопасности — это процесс получения объективных оценок о текущем состоянии защищенности информационных ресурсов компании в соответствии с российскими и международными нормативами. В рамках данного мероприятия проводится комплекс работ по определению уязвимостей IT инфраструктуры, анализ защищенности веб приложений и предотвращению потенциальных кабератак.
В этой связи работа по профилактике нарушений обязательных требований должна выстраиваться на регулярной основе и проводиться во всех регионах Российской Федерации. Описание текущих и ожидаемых тенденций, которые могут оказать воздействие на состояние подконтрольной среды 9. На состояние подконтрольной среды может оказать воздействие дальнейшее увеличение количества подконтрольных субъектов за счет привлечения к внешнеэкономической деятельности субъектов малого и среднего бизнеса, а также изменение внешнеэкономической конъюнктуры вследствие улучшения политической ситуации в мире и связанной с ним поэтапной отменой санкционного давления на Россию со стороны ряда западных стран. Несмотря на то, что развитие ситуации во внешнеэкономической сфере по указанным направлениям потребует со стороны Российской Федерации определенных дипломатических и организационных усилий, а также финансовых и временных затрат, при планировании профилактических мероприятий представляется целесообразным исходить из развития ситуации по этому оптимистическому сценарию. Механизм оценки эффективности и результативности профилактических мероприятий 10. Основным механизмом оценки эффективности и результативности профилактических мероприятий является оценка удовлетворенности подконтрольных субъектов качеством мероприятий, которая осуществляется методами социологических исследований. Ключевыми направлениями социологических исследований являются: 1 информированность подконтрольных субъектов об обязательных требованиях, о принятых и готовящихся изменениях в системе обязательных требований, о порядке проведения мероприятий по контролю, правах подконтрольного субъекта в ходе мероприятий по контролю; 2 знание и однозначное толкование подконтрольными субъектами и ФСТЭК России обязательных требований и правил их соблюдения; 3 вовлечение подконтрольных субъектов в регулярное взаимодействие с ФСТЭК России, в том числе в рамках проводимых профилактических мероприятий.