Информационная безопасность СМИС

[Ungerade]

Добрый день!
Занимаемся разработкой решений по Информационной безопасности (ИБ), преимущественно для АСУ ТП.
Недавно столкнулись со СМИС. Начали искать нормативные документы, касающиеся ИБ СМИС, наподобие документов по ИБ АСУ ТП (Приказа ФСТЭК №31 или отраслевых нормативных документов).
Не нашли, в отраслевых стандартах конкретной организации тоже нет соответствующих документов.
Необходимость обеспечения ИБ определяется в ГОСТ 22.1.12-2005 емкой фразой "Информационная защита СМИС - по нормативному документу" (п. 5.5 Требования к защите информации), а также в ГОСТ 22.1.14-2013 и "ТТ к ПТК СМИС объектов, сопрягаемым с органами повседневного управления РСЧС", предъявляются требования к ИБ по Руководящему документу "АС. Защита от НСД. Классификация АС и требования по защите" (не ниже 3Б)+некоторые требования по антивирусной защите, организации VPN, межсетевого экранирования и т.д.
Но данные требования напоминают вскользь упомянутые меры по защите и документы, в которых они предъявляются, относятся к разработчикам СМИС.

Поделитесь пожалуйста опытом, отдается ли раздел ИБ СМИС на разработку организациям, специализирующимся на решениях по ИБ, или достаточно бывает подраздела "Обеспечение требований к защите информации от несанкционированного доступа" в книгах СМИС, который должен быть в соответствии с ГОСТ 22.1.13-2013?

[Technic4]

Мнение эксперта: В ТЗ на объект прописано, что необходимо обеспечить ИБ для объекта, без конкретики для каких систем, т.е. на объект в целом, поэтому к объектам защиты относятся как АСУ ТП, так и СМИС, а требований отраслевых стандартов, предъявляемых к АСУ ТП, достаточно предъявить и к СМИС.

Это в каком ТЗ такое требование было указано:
В ТЗ на создание СМИС (по ГОСТ 34.602)?
Или в общем ТЗ на проектирование объекта (установки)?

[Ungerade]

Добрый день, уважаемые участники форума!
Мы начинаем вести блог хппт.ec-rs.ru/category/blog, посвященный защите информации в АСУ ТП, в котором, в том числе, будем уделять внимание вопросам защиты информации в СМИС.
Приглашаю вас для участия в обсуждении. Пока теме защиты информации в СМИС посвящена одна статья "СМИС или околоАСУТПшная тема" хппт.ec-rs.ru/blog/smis-ili-okoloasutpshnaya-tema, но в планах продолжить публикации на данную тему.

[Ungerade]

Мнение эксперта: В ТЗ на объект прописано, что необходимо обеспечить ИБ для объекта, без конкретики для каких систем, т.е. на объект в целом, поэтому к объектам защиты относятся как АСУ ТП, так и СМИС, а требований отраслевых стандартов, предъявляемых к АСУ ТП, достаточно предъявить и к СМИС.

Это в каком ТЗ такое требование было указано:
В ТЗ на создание СМИС (по ГОСТ 34.602)?
Или в общем ТЗ на проектирование объекта (установки)?

Добрый день! Извините за задержку с ответом.
Имелось в виду общее ТЗ на проектирование объекта.

[Technic4]

В ГОСТ Р 22.1.14-2013 есть пункт
5.5.4 ИВК СМИС должен быть защищен от НСД в соответствии с требованиями не менее класса защищенности АС – 3Б РД «АС. Защита от НСД к информации. Классификация АС и требования по ЗИ»

В Вашем ПТК СМИС класс 3Б как реализован?

[Ungerade]

В ГОСТ Р 22.1.14-2013 есть пункт
5.5.4 ИВК СМИС должен быть защищен от НСД в соответствии с требованиями не менее класса защищенности АС – 3Б РД «АС. Защита от НСД к информации. Классификация АС и требования по ЗИ»

В Вашем ПТК СМИС класс 3Б как реализован?

Реализуемые меры и СрЗИ зависят от защищаемой системы. Если объект небольшой и из наложенных СрЗИ только антивирус, то требования к классу защищенности 3Б реализуются так:
1.1. Идентификация, проверка подлинности и контроль доступа субъектов:
к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ - встроенные средства идентификации, аутентификации, авторизации операционной системы (ОС), прикладного программного обеспечения (в том числе СУБД), активного сетевого оборудования(АСО)

2.1. Регистрация и учет:
входа (выхода) субъектов доступа в (из) систему(ы) (узел сети) - встроенные средства журналирования ОС, ППО (в том числе СУБД), АСО.
2.2. Учет носителей информации-организационные мероприятия по маркировке и учету в журналах носителей+некоторые антивирусные средства позволяют контролировать использование внешних носителей информации.
4. Подсистема обеспечения целостности
4.1. Обеспечение целостности программных средств и обрабатываемой информации - встроенные средства контроля целостности системных файлов ОС, некоторые антивирусы позволяют контролировать целостность файлов самого антивируса (например, компонент "Самозащита" в KES)
4.2. Физическая охрана средств вычислительной техники и носителей информации- орг. меры (КИТСО и т.п.)
4.4. Периодическое тестирование СЗИ НСД - орг. меры по проверке правильности настройки встроенных механизмов защиты ОС, ППО, соответствие матрице доступа, а также использование средств анализа защищенности при возможности.
4.5. Наличие средств восстановления СЗИ НСД - встроенные средства архивации и восстановления ОС, ППО + орг. меры по хранению копий.