РАСПОРЯЖЕНИЕ - static.scbist.comstatic.scbist.com/scb/cto/sto rzd 1.18.002-2009.pdf ·...
TRANSCRIPT
"ржО Российские железные дороги
ОТКРЫТОЕ АКЦИОНЕРНОЕ ОБЩЕСТВО « Р О С С И Й С К И Е Ж Е Л Е З Н Ы Е Д О Р О Г И »
(ОАО «РЖД»)
Р А С П О Р Я Ж Е Н И Е « 1 1 » м а р т а 2 0 0 9 г. Москва № 4 8 0 р
Об утверждении стандарта ОАО «РЖД» «Управление информационной безопасностью.
Общие положения»
В целях регламентации организационной и технической составляющей управления информационной безопасностью в ОАО «РЖД» в условиях реформирования ОАО «РЖД» утвердить и ввести в действие с 30 марта 2009 г. СТО РЖД 1.18.002-2009 «Управление информационной безопасностью. Общие положения».
Вице-президент ОАО «РЖД» А.С.Бобрешов
Исп. Любич Елена Борисовна, ЦБЗ 262-96-12
^^ж^^ Российские ^^ MMW%J железные дороги ^^
С т а н д а р т СТО РЖД 1.18.002-
О А О «Р Ж Д» 2009
УПРАВЛЕНИЕ ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТЬЮ
Общие положения
Москва
СТО РЖД 1.18.002-2009
Предисловие
1 РАЗРАБОТАН Обществом с ограниченной ответственностью «Центр
безопасности информации» (ООО «ЦБИ»)
2 ВНЕСЕН Департаментом безопасности ОАО «РЖД»
3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Распоряжением ОАО РЖД»
от 11.03.2009г.№ 480р
4 ВВЕДЕН ВПЕРВЫЕ
ОАО «РЖД», 2009
Воспроизведение и/или распространение настоящего стандарта, а также
его применение сторонними организациями осуществляется в порядке,
установленном ОАО «РЖД»
П
с т о РЖД 1.18.002 -2009
Содержание
1 Область применения 1
2 Нормативные ссылки 2
3 Сокращения 3
4 Термины и определения 3
5 Задачи и принципы управления информационной безопасностью ОАО
«РЖД» 6
6 Общие положения 10
6.1 Разработка системы управления информационной безопасностью 12
6.2 Внедрение и применение системы управления информационной
безопасностью 14
6.3 Мониторинг и анализ системы управления информационной
безопасностью 15
6.4 Поддержание и совершенствование системы управления
информационной безопасностью 17
7 Организационная структура управления информационной безопасностью
ОАО «РЖД» 18
8 Нормативно-методическое обеспечение управления информационной
безопасностью ОАО «РЖД» 23
9 Принципы организации планирования мероприятий по управлению ИБ
ОАО «РЖД» 25
10 Мероприятия по управлению информационной безопасностью,
подлежащие реализации в ОАО «РЖД» 27
Библиография 30
III
СТО РЖД 1.18.002 -2009
Стандарт ОАО «РЖД»
УПРАВЛЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТЬЮ
Общие положения
Дата введения - 2009-03-30
1 Область применения
Настоящий стандарт устанавливает: задачи и принципы построения
системы управления информационной безопасностью ОАО «РЖД», требования
к организационной структуре и мерам управления информационной
безопасностью ОАО «РЖД», требования к нормативной и методической
документации по управлению информационной безопасностью ОАО «РЖД»,
принципы организации планирования мероприятий по управлению
информационной безопасностью ОАО «РЖД», основные меры управления
информационной безопасностью ОАО «РЖД».
Настоящий стандарт разработан в соответствии с Федеральными
законами «О техническом регулировании» [1], «Об информации,
информационных технологиях и о защите информации» [2], «О персональных
данных» [3], Политикой корпоративной информатизации Открытого
акционерного общества «Российские железные дороги» [4].
Настоящий стандарт предназначен для применения подразделениями
аппарата управления ОАО «РЖД», филиалами ОАО «РЖД» и иными
структурными подразделениями ОАО «РЖД».
Применение настоящего стандарта сторонними организациями
оговаривается в договорах (соглашениях) с ОАО «РЖД».
СТО РЖД 1.18.002-2009
2 Нормативные ссылки
В настоящем стандарте использованы ссылки на следующие стандарты:
ГОСТ Р 51275-2006 Защита информации. Объект информатизации.
Факторы, воздействующие на информацию. Общие положения.
ГОСТ Р 51624-2000 Автоматизированные системы в защищенном
исполнении. Общие требования.
ГОСТ Р 51583-2000 Порядок создания автоматизированных систем в
защищенном исполнении.
ГОСТ Р ИСО/МЭК 15408-2002 Информационная технология - Методы и
средства обеспечения безопасности. Критерии оценки безопасности
информационных технологий.
ГОСТ Р ИСО/МЭК 17799:2005 Информационная технология.
Практические правила управления информационной безопасностью.
ГОСТ Р ИСО/МЭК 27001-2006 Информационная технология. Методы и
средства обеспечения безопасности. Системы менеджмента информационной
безопасности. Требования.
ГОСТ Р ИСО/МЭК ТО 13335-1-2006 Информационная технология.
Методы и средства обеспечения безопасности. Часть 3. Концепция и модели
менеджмента безопасности информационных и телекоммуникационных
технологий.
ГОСТ Р ИСО/МЭК ТО 13335-3-2007 Информационная технология.
Методы и средства обеспечения безопасности. Часть 3. Методы менеджмента
безопасности информационных технологий.
ГОСТ Р ИСО/МЭК ТО 13335-4-2007 Информационная технология.
Методы и средства обеспечения безопасности. Часть 4. Выбор защитных мер.
ГОСТ Р ИСО/МЭК ТО 13335-5-2006 Информационная технология.
Методы и средства обеспечения безопасности. Часть 5. Руководство по
менеджменту безопасности сети.
СТО РЖД 1.18.002-2009
3 Сокращения
АИТС - автоматизированная информационная и телекоммуникационная
система
ГВЦ - главный вычислительный центр
ЗБ - задание по безопасности
ИБ - информационная безопасность
ИВЦ - информационно-вычислительный центр - структурное
подразделение ГВЦ
ИТ - информационная технология
ИЗ - профиль защиты
ПО - программное обеспечение
СУИБ - система управления информационной безопасностью
СОИБ - система обеспечения информационной безопасности
4 Термины и определения
В настоящем стандарте применены следующие термины с
соответствующими определениями:
4.1 анализ рисков: Систематическое использование информации для
определения источников и величины рисков.
4.2 безопасность ИТ: Состояние ИТ, определяющее защищенность
информационных активов от воздействия объективных и субъективных,
внешних и внутренних, случайных и преднамеренных угроз, а также
способность ИТ выполнять предписанные функции без нанесения
неприемлемого ущерба.
СТО РЖД 1.18.002-2009
4.3 доверие: Основание для уверенности в том, что ИТ-изделие или АИТС
отвечает целям безопасности и реализует предписанные функциональные
возможности безопасности.
4.4 доступность: Характеристика активов, определяющая возможность
своевременного и надежного доступа к ним.
4.5 задание по безопасности: Совокупность требований ИБ и
спецификаций, предназначенная для использования в качестве основы для
оценки конкретного ИТ-изделия или АИТС.
4.6 информационная безопасность: Состояние защищенности
информации, при котором обеспечиваются такие ее характеристики, как
конфиденциальность, целостность и доступность.
4.7 информационные активы: Информация или информационные
ресурсы, подлежащие защите в АИТС.
4.8 инцидент, относящийся к информационной безопасности: Одно
или ряд нежелательных или непредвиденных событий, относящихся к
информационной безопасности (событий безопасности), которые имеют
существенную вероятность компрометации бизнес-операций, нарушения ИБ
автоматизированных систем и/или информационных активов ОАО «РЖД».
4.9 ИТ-изделие: Обобщенный термин для ИТ-продуктов и ИТ-систем.
4.10 конфиденциальность: Характеристика информации, связанная с
тем, что информация не станет доступной и не будет раскрыта
неуполномоченным лицам.
4.11 обработка рисков: Процесс выбора и реализации мер и средств
обеспечения безопасности ИТ для снижения риска нарушения ИБ.
4.12 остаточный риск: Риск нарушения ИБ, остающийся после обработки
рисков.
СТО РЖД 1.18.002 -2009
4.13 оценивание риска: Процесс сравнения риска нарушения ИБ
определенной величины с установленными критериями риска для определения
значимости риска.
4.14 оценка рисков: Общий процесс анализа рисков и оценивания
рисков.
4.15 принятие рисков: Решение принять существующий риск без его
обработки.
4.16 ИТ-продукт: Совокупность программных, профаммно-аппаратных
и/или аппаратных средств ИТ, предоставляющая определенные
функциональные возможности и предназначенная для непосредственного
использования или включения в различные ИТ-системы и АИТС.
4.17 профиль защиты: Совокупность требований ИБ для некоторого
типа ИТ-изделий или АИТС, отвечающая существующим потребностям в
обеспечении ИБ.
4.18 ИТ-система: Специфическое воплощение ИТ с конкретным
назначением и условиями эксплуатации - программно-техническая основа
АИТС.
4.19 система управления информационной безопасностью (СУИБ):
Система управления, предназначенная для разработки, внедрения, применения,
мониторинга, анализа, поддержания и совершенствования И Б ' ОАО «РЖД».
4.20 событие, относящееся к информационной безопасности:
Определенное проявление состояния АИТС, информационной службы
(сервиса) или информационного ресурса, указывающее на возможные
недостатки в политике ИБ или недостатки мер защиты, или ранее неизвестную
ситуацию, которая может повлиять на ИБ ОАО «РЖД».
4.21 угроза: Совокупность условий и факторов, определяющих
потенциальную или реально существующую опасность возникновения
СУИБ включает организационную структуру, нормативно-методическую базу ИБ (корпоративный стандарт, политика ИБ, положения, руководства, методики, регламенты, инструкции, процедуры), процессы, информационные, технические и другие ресурсы
5
СТО РЖД 1.18.002-2009
инцидента, который может привести к нанесению ущерба функционированию
АИТС или информационным ресурсам.
4.22 управление рисками: Скоординированные действия по руководству
и управлению ОАО «РЖД» в отношении рисков нарушения ИБ.
4.23 целостность: Характеристика информации, характеризующая ее
защищенность от модификации, подмены и уничтожения неправомочным
способом.
5 Задачи и припципы управления информационной
безопасностью ОАО «РЖД»
5.1 Задачи управления информационной безопасностью ОАО «РЖД»
В процессе управления ИБ ОАО «РЖД» в рамках СУИБ должны
решаться следующие задачи:
а) выполнение требований законодательства и нормативных документов
уполномоченных в области обеспечения ИБ государственных органов;
б) обеспечение информационной безопасности ОАО «РЖД» при
обработке и использовании информационных активов ОАО «РЖД»;
в) определение информационных активов ОАО «РЖД», подлежащих
защите;
г) определение категорий АИТС и информационных активов ОАО «РЖД»
с целью определения приоритетов и требуемых уровней защиты информации;
д) анализ уязвимостей, построение моделей нарушителей и угроз
безопасности информационных активов ОАО «РЖД»;
е) анализ и оценка рисков нарушения ИБ АИТС и информационных
активов ОАО «РЖД»;
ж) разработка моделей защиты АИТС и информационных активов
ОАО «РЖД»;
СТО РЖД 1.18.002 -2009
з) формирование требований безопасности информационных активов
ОАО «РЖД», предъявляемых к АИТС ОАО «РЖД»;
и) определение направлений обеспечения ИБ АИТС ОАО «РЖД»;
к) разработка общих тактико-технических требований по обеспечению
безопасности информации в АИТС ОАО «РЖД»;
л) определение рационального баланса технических и организационных
мер обеспечения безопасности информации, обрабатываемой в АИТС
ОАО «РЖД»;
м) разработка требований к подсистемам обеспечения ИБ АИТС,
используемых в ОАО «РЖД», оценка их соответствия и контроль выполнения;
н) обеспечение требуемого уровня ИБ посредством проектирования,
разработки, внедрения, оценки соответствия и сопровождения систем
обеспечения информационной безопасности АИТС ОАО «РЖД»;
о) разработка и внедрение системы управления ИБ в ОАО «РЖД»,
включая:
- разработку Политики ИБ и других документов по управлению ИБ в
ОАО «РЖД»;
- разработку, внедрение и сопровождение инструментально-
методического обеспечения управления Р1Б, категорирование АИТС и
информационных активов, анализ и оценку рисков, формирование требований
ИБ, мониторинг ИБ, контроль и оценку защищенности АИТС и
информационных активов ОАО «РЖД»;
- разработку, внедрение и ведение информационно-справочного
обеспечения по вопросам ИБ, включая необходимые инструментальные
средства;
п) разработка планов долгосрочного и среднесрочного развития
программы информационной безопасности ОАО «РЖД»;
р) обеспечение взаимоувязанного по времени, целям и задачам
взаимодействия структурных подразделений защиты информации ГВЦ и ИВЦ в
7
с т о РЖД 1.18.002-2009
эксплуатационном сегменте информационного обеспечения производственной
деятельности ОАО «РЖД» в части реализации единой технической политики в
области защиты информационных ресурсов ОАО «РЖД»;
с) взаимодействие с уполномоченными в области обеспечения ИБ
государственными органами в ходе проведения проверок, инспекций и по
текущим вопросам обеспечения ИБ.
5.2 Принципы управления информационной безопасностью
ОАО «РЖД»
Устанавливаются следующие принципы управления ИБ ОАО «РЖД».
Законность - соответствие правовым нормам.
Достаточность и нормирование защиты - реализация технически и
экономически обоснованных уровней ИБ и мер защиты.
Базирование на рисках - выбор уровня ИБ, требований и мер ИБ
основывается на результатах анализа и оценки рисков реализации угроз
безопасности информационным активам ОАО «РЖД».
Надежность - сохранение безопасного состояния в случае сбоев АИТС.
Соразмерность затрат на защиту - затраты на обеспечение ИБ не должны
превышать величину возможного ущерба, связанного с нарушением ИБ.
Простота - меры и механизмы обеспечения ИБ должны быть насколько
это возможно простыми.
Контроль доступа (управление доступом) - доступ к информации должен
осуществляться только с использованием средств, реализующих политику
разграничения доступа.
Открытость - безопасность АИТС ОАО «РЖД» не должна зависеть от
мер по ограничению доступа к информации относительно реализации
компонентов соответствующих систем обеспечения ИБ.
Разделение привилегий (прав) - функции безопасности АИТС,
используемых в ОАО «РЖД», должны быть разделены между подсистемами их
8
СТО РЖД 1.18.002-2009
реализующими; роли администраторов, операторов и пользователей системы
должны быть разделены между персоналом ОАО «РЖД».
Приемлемость - пользователи АИТС должны осознавать необходимость
в обеспечении ИБ, а также участвовать в регулярных тренировках и проходить
обучение по вопросам организации ИБ. Реализованные механизмы ИБ не
должны быть излишне обременительными для пользователей.
Многоуровневая защита - механизмы, обеспечивающие ИБ, должны
применяться на нескольких уровнях защиты таким образом, что компрометация
одного механизма безопасности не являлась бы достаточным условием
компрометации конкретной АИТС, какой-либо ее части или других АИТС ОАО
«РЖД».
Регистрация нарушений безопасности - нарушения ИБ АИТС ОАО
«РЖД» должны регистрироваться в соответствующих электронных журналах.
На основе анализа этой информации должен обеспечиваться возврат АИТС в
безопасное состояние, производиться определение уязвимостей АИТС и
способов нападения, использованных нарушителем, а также выявляться и
привлекаться к ответственности нарушители.
Непрерывность защиты - обеспечение ИБ производится на всех стадиях и
этапах жизненного цикла АИТС.
Периодическая оценка - требования и меры по обеспечению Р1Б
периодически контролируются, пересматриваются и переоцениваются.
В качестве основных принципов оценки ИБ рассматриваются следующие
принципы:
Объективность - результаты оценки должны основываться на
фактических свидетельствах (исходных документов) и не зависеть от личных
мнений оценщиков.
Беспристрастность - результаты оценки должны быть
непредубежденными, когда требуется субъективное суждение.
СТО РЖД 1.18.002-2009
Воспроизводимость - действия оценщиков, выполняемые с
использованием одной и той же совокупности свидетельств (исходных
документов), должны приводить к одним и тем же результатам.
Корректность - действия оценщиков должны обеспечивать корректную
техническую оценку.
Достаточность - все действия по оценке должны осуществляться до
уровня, необходимого для получения уверенности в правильности реализации
функций, механизмов и мер Р1Б.
Все создаваемые АИТС ОАО «РЖД» должны разрабатываться с учетом
требований нормативно-правовых документов, российских национальных
стандартов, гармонизированных с международными (ГОСТ Р ИСО/МЭК 15408,
ГОСТ Р ИСО/МЭК ТО 13335), и отдельных международных стандартов
(ISO/IEC ТО 19791, серия стандартов ISO/IEC 2700Х), что позволит обеспечить
необходимый уровень информационной безопасности и создать
дополнительные конкурентные преимущества при работе ОАО «РЖД». При
создании АИТС ОАО «РЖД» должна также использоваться группа
национальных стандартов ГОСТ Р 51275, ГОСТ Р 51583, ГОСТ Р 51624,
определяющая требования к порядку создания АИТС в защищенном
исполнении.
6 Общие положения
В подразделениях аппарата управления, филиалах и других структурных
подразделениях ОАО «РЖД» силами подразделений защиты информации
Региональных центров безопасности - структурных подразделений ОАО
«РЖД» и привлекаемых специализированных организаций должна быть
разработана, внедрена, применяться на постоянной основе, подвергаться
мониторингу и периодическому анализу, поддерживаться в работоспособном
состоянии и совершенствоваться СУИБ с учетом видов деятельности ОАО
«РЖД» и имеющихся рисков.
10
СТО РЖД 1.18.002 -2009
Функционирование СУИБ ОАО «РЖД» должно обеспечивать:
а) выполнение в ОАО «РЖД» требований законодательства Российской
Федерации в сфере защиты информации;
б) выявление нарушений безопасности критически важных АИТС и
информационных активов ОАО «РЖД».
Структура системы управления ИБ ОАО «РЖД» представлена на
рисунке 1 и включает:
а) организационную составляющую (элементы организационной
структуры управления ИБ, нормативно-методическое и информационно-
справочное обеспечение управления ИБ, организационно- распорядительная
документацию);
б) техническую составляющую (элементы систем обеспечения ИБ АИТС
ОАО «РЖД», в том числе проектную и эксплуатационную документацию,
инструментальное обеспечение управления РГБ).
Система управления ИБ ОАО «РЖД» i организационная 1
составляющая 1 Техническая составляющая 1
Элементы оргструктуры управления ИБ, нормативно-методическое и
информационно-справочное обеспечение управления ИБ. Организационно-распорядительная документация.
TZ
Элементы систем обеспечения ИБ АИТС ОАО «РЖД», в том числе проектная и эксплуатационная
документация, инструментальное обеспечение управления ИБ.
Рисунок 1 ~ Структура системы управления Р1Б ОАО «РЖД»
11
СТО РЖД 1.18.002-2009
Жизненный цикл СУР1Б представлен на рисунке 2. Жизненный цикл СУИБ
носит циклический характер и предусматривает реализацию следующих
основных групп процессов:
а) разработка (модернизация) элементов СУИБ;
б) внедрение и применение элементов СУИБ;
в) мониторинг и анализ реализованных элементов СУИБ;
г) поддержание и (при необходимости) принятие решения о
совершенствовании элементов СУИБ.
Рисунок 2 - Элементы процесса управления ИБ
6.1 Разработка системы управления информационной безопасностью
В процессе разработки СУР1Б ОАО «РЖД» должны быть:
а) определена область применения и границы СУР1Б с учетом
характеристик деятельности структуры, активов и технологий ОАО «РЖД»;
б) разработана Политика Р1Б, в которой:
- установлены цели и задачи ОАО «РЖД» в области обеспечения ИБ;
12
СТО РЖД 1.18.002-2009
- выделены основные группы защищаемых информационных активов
ОАО «РЖД» и угрозы нарушения их ИБ;
- определены основные составляющие инфраструктуры ИБ ОАО «РЖД»;
- сформулированы подходы и принципы достижения целей
обеспечения ИБ;
- отражены основные требования обеспечения соответствия
законодательству в области ИБ;
- представлены перечень и краткое описание основных мероприятий,
которые должны быть выполнены ОАО «РЖД» для достижения установленных
целей ИБ;
- определены подходы к проведению анализа и оценки рисков
нарушения ИБ, а также выбору мер и средств обеспечения ИБ;
- определены основные типы документов, разрабатываемых в развитие
Политики ИБ и предназначенных для более детального описания требований
информационной безопасности, мер управления информационной
безопасностью, а также правил и процедур, которым должны следовать
сотрудники ОАО «РЖД» в процессе управления ИБ;
в) установлен подход ОАО «РЖД» к анализу и оценке рисков нарушения
ИБ, включающий:
- методы инвентаризации и оценки значимости (категорирования)
информационных активов и АИТС;
- методы исследования и представления угроз нарушения ИБ и
характеристик вероятных нарушителей
- методы анализа и оценки рисков;
- критерии принятия рисков и допустимых уровней рисков;
г) проанализированы и оценены риски нарушения ИБ:
- оценено влияние нарушений ИБ на деятельность ОАО «РЖД»;
- оценены вероятность реализации угроз ИБ и связанный с этим ущерб
(влияние нарушений ИБ на деятельность ОАО «РЖД»;
13
СТО РЖД 1.18.002 -2009
- проанализированы реализованные в текущее время меры
обеспечения ИБ;
- определены уровни рисков реализации угроз ИБ;
" определены недопустимые риски, требующие обработки (уменьшения,
устранения);
д) определены и оценены варианты обработки (уменьшения, устранения)
рисков, включающие:
- применение мер обеспечения ИБ;
- принятие рисков, при условии их соответствия установленным
критериям принятия рисков;
- перенос соответствующих рисков на третьи стороны (например,
страховщиков, поставщиков и др.)
е) для обработки (уменьшения, устранения) рисков выбраны меры
обеспечения ИБ;
ж) получена санкция руководства ОАО «РЖД» на предполагаемые
остаточные риски;
з) получена санкция руководства ОАО «РЖД» на внедрение и
применение СУИБ и ее элементов.
6.2 Внедрение и применение системы управления информационной безопасностью
В процессе внедрения и применения СУИБ ОАО «РЖД» или ее
составных частей необходимо:
а) разработать план обработки рисков, который определяет действия,
ресурсы (включая финансирование), обязанности и приоритеты управления
рисками ИБ;
б) реализовать план обработки рисков;
в) реализовать выбранные меры обеспечения ИБ;
14
СТО РЖД 1.18.002-2009
г) определить способ измерения (оценки) эффективности
(результативности) выбранных мер обеспечения ИБ;
д) внедрить программы подготовки и осведомления персонала ОАО
«РЖД» по вопросам ИБ;
е) управлять работой (функционированием) СУИБ;
ж) управлять ресурсами для СУИБ;
з) реализовать процедуры и другие меры, позволяющие оперативно
регистрировать события, относящиеся к ИБ, и реагировать на инциденты,
относящиеся к ИБ.
6.3 Мониторинг и анализ системы управления информационной
безопасностью
В процессе мониторинга и анализа СУИБ необходимо:
а) осуществлять мониторинг и анализ процедур и других мер обеспечения
и управления ИБ в целях:
- своевременного определения нарушений и несоответствия
требованиям Р1Б;
~ контроля эффективности реализованных мер и средств обеспечения РГБ;
- своевременного определения неудавшихся и успешных попыток
нарушений и инцидентов, относящихся к ИБ;
- предоставления возможности руководству ОАО «РЖД» определять,
выполняются ли таким образом, как ожидалось, действия, порученные
должностным лицам или реализуемые информационными технологиями;
- помощи в регистрации событий, относящихся к ИБ, и, таким образом,
предотвращения инцидентов, относящихся к ИБ;
-определения, были ли эффективны действия, предпринятые для
устранения нарушений ИБ;
б) проводить анализ эффективности СУИБ (включая соответствие
политике ИБ и целям СУИБ), а также анализ мер обеспечения ИБ, принимая во 15
СТО РЖД 1.18.002-2009
внимание результаты аудита (мониторинга, контроля и оценки) ИБ, инциденты,
относящиеся к ИБ, предложения и рекомендации всех заинтересованных сторон
(руководства, пользователей, регулирующих органов, экспертов по ИБ,
специализированных организаций по ИБ);
в) оценивать эффективность мер обеспечения и управления ИБ для
подтверждения того, что требования ИБ были выполнены;
г) периодически анализировать и пересматривать организацию оценки
рисков, а также - остаточные риски и установленные допустимые уровни
рисков, принимая во внимание происходящие изменения в:
- структуре ОАО «РЖД»;
- бизнес-целях и бизнес-процессах;
- используемых информационных технологиях;
- составе угроз Р1Б;
- составе реализованных мер обеспечения и управления ИБ;
- в правовой и регулирующей системе;
- контрактных обязательствах;
- в социальной сфере;
д) проводить внутренний аудит (контрольные проверки) СУИБ (и ее
составных частей) через запланированные промежутки времени, а также (при
необходимости) - внепланово;
е) проводить на регулярной основе анализ направлений
совершенствования СУИБ;
ж) обновлять (корректировать) планы обеспечения ИБ с учетом
результатов мониторинга и деятельности по внутреннему аудиту;
з) регистрировать действия и события, которые могут оказывать влияние
на эффективность и характеристики СУИБ (или ее составных частей).
Реализация мониторинга ИБ СУИБ ОАО «РЖД» представлена на
рисунке 3 и должна осуществляться по следующим направлениям:
16
СТО РЖД 1.18.002-2009
а) оперативный мониторинг (мониторинг событий, относящихся к ИБ в
АИТС ОАО «РЖД»);
б) мониторинг состояния (оценка соответствия текущего состояния ИБ
АИТС ОАО «РЖД» уровню ИБ, определенному требованиями ИБ);
в) контрольные проверки (контроль достигнутого уровня ИБ АИТС ОАО
«РЖД»).
Виды мониторинга ИБ СУИБ ОАО «РЖД» i Оперативный мониторинг I Мониторинг состояния I Контрольные проверки I
Рисунок 3 - Реализация мониторинга ИБ СУИБ
6.4 Поддержание и совершенствование системы управления
информационной безопасностью
В процессе сопровождения (поддержания и совершенствования) СУИБ
ОАО «РЖД» необходимо:
а) планировать и осуществлять доработку СУИБ ОАО «РЖД» или ее
составных частей;
б) предпринимать соответствующие корректирующие действия, учитывая
при этом опыт в области ИБ ОАО «РЖД» и других организаций;
в) сообщать о предпринятых действиях и доработках СУИБ всем
заинтересованным сторонам;
г) контролировать достижение целей совершенствования СУИБ.
17
СТО РЖД 1.18.002-2009
7 Организационная структура управления информационной
безопасностью ОАО «РЖД»
Организационная структура управления информационной безопасностью
ОАО «РЖД» представлена на рисунке 4 и включает:
- президента ОАО «РЖД»;
- вице-президента ОАО «РЖД», курирующего вопросы обеспечения ИБ
ОАО «РЖД»;
- Комитет по информационной безопасности ОАО «РЖД»;
- Департамент безопасности ОАО «РЖД»;
- Департамент информатизации и корпоративных процессов управления
ОАО «РЖД»;
- департаменты и управления ОАО «РЖД» - функциональные заказчики
автоматизированных систем управления;
- подразделения защиты информации Региональных центров безопасности
- структурных подразделений ОАО «РЖД»;
- подразделения информационной безопасности ГВЦ и Р1ВЦ -
структурных подразделений ГВЦ;
- подразделения и работники, организующие работу по защите
информации филиалов ОАО «РЖД».
Вице-президент ОАО «РЖД», курирующий вопросы обеспечения ИБ ОАО
«РЖД», ответственен за подготовку и принятие решений по стратегическим
вопросам развития СУИБ АИТС ОАО «РЖД»:
- утверждение направлений развития СУИБ в контексте общих бизнес-
процессов ОАО «РЖД»;
- создание организационной структуры управления ИБ;
- согласование и утверждение документов ОАО «РЖД» в области
обеспечения ИБ.
18
СТО РЖД 1.18.002 -2009
Вице-президент ОАО «РЖД»,
курирующий вопросы
обеспечения ИБ ОАО «РЖД»
Комитет по информационной
безопасности ОАО «РЖД»
Департамент безопасности ОАО «РЖД»
i Департамент информатизации
и корпоративных процессов управления ОАО «РЖД»
департаменты и управления ОАО «РЖД» - функциональные заказчики автоматизированных
систем управления
подразделения защиты информации Региональных
центров безопасности -структурных подразделений
ОАО«РЖД»
TZ ^
подразделения и работники, организующие работу по защите
информации филиалов ОАО «РЖД»
I подразделения информационной
безопасности ГВЦ и ИВЦ-структурных подразделений ГВЦ
Рисунок 4 - Организационная структура управления ИБ ОАО «РЖД»
Комитет по информационной безопасности (коллегиальный
совещательный орган ОАО «РЖД» по вопросам управления ИБ) решает
следующие задачи:
- поддержка корпоративной стандартизации в области ИБ;
- обеспечение выполнения мероприятий по реализации Политики ИБ ОАО
«РЖД»;
- обеспечение реформирования СУИБ ОАО «РЖД»;
- контроль за выполнением настоящего стандарта и Политики ИБ ОАО
«РЖД»;
- координация деятельности подразделений ОАО «РЖД» в области
корпоративной информатизации в части учета требований ИБ.
Руководит работой Комитета по информационной безопасности ОАО
«РЖД» вице-президент ОАО «РЖД», курирующий вопросы обеспечения ИБ
ОАО «РЖД».
19
с т о РЖД 1.18.002-2009
На Департамент безопасности ОАО «РЖД» возлагается организация
следующих работ:
- разработка нормативно-методической базы ИБ АИТС ОАО «РЖД»,
включая требования к конкретным АИТС и типам АИТС ОАО «РЖД»;
- внедрение нормативно-методической базы Р1Б в практику деятельности
структурных подразделений и предприятий ОАО «РЖД»;
- организация разработки и внедрения систем обеспечения ИБ АИТС ОАО
«РЖД»;
- организация обучения персонала по вопросам ИБ;
- мониторинг ИБ АИТС ОАО «РЖД»;
- планирование и формирование заявок на выделение финансирования в
части решения задач по обеспечению ИБ ОАО «РЖД»;
- подготовка предложений по совершенствованию СУИБ и отдельных
систем обеспечения ИБ АИТС ОАО «РЖД»;
- участие в формировании организационной структуры СУИБ ОАО
«РЖД»;
- согласование предлагаемых решений по обеспечению ИБ АИТС.
Департаменты и управления ОАО «РЖД» - функциональные заказчики
представляют на согласование в Департамент безопасности ОАО «РЖД»
технические задания на разработку АИТС, согласовывают решения по
обеспечению ИБ АИТС и принимают участие в работе комиссий но приемке
разработок в эксплуатацию.
Подразделения защиты информации Региональных центров безопасности
- структурных подразделений ОАО «РЖД» - обеспечивают:
- организацию обеспечения и контроль выполнения требований по ИБ в
филиалах;
- разработку инструкций и другой организационно-распорядительной
документации по вопросам ИБ в филиалах;
20
СТО РЖД 1.18.002 -2009
- организацию мониторинга ИБ АИТС ОАО «РЖД», функционирующих в
аппарате управления ОАО «РЖД», его филиалах и других структурных
подразделениях, дочерних и зависимых обществах;
- организацию контроля выполнения требований лицензирующих органов
(в части выполнения требований по защите информации);
- подготовку и представление в Департамент безопасности предложений по
совершенствованию СОИБ;
- организацию устранения выявленных уязвимостей и нарушений
информационной безопасности;
- представление отчетности по ИБ в Департамент безопасности ОАО
«РЖД».
Подразделения информационной безопасности ГВЦ и ИВЦ -
структурных подразделений ГВЦ ОАО «РЖД» обеспечивают:
- координацию информационной безопасности АИТС ОАО «РЖД» в
пределах зоны ведения;
- разработку инструкций и другой организационно-распорядительной
документации по вопросам обеспечения ИБ сопровождаемых АИТС ОАО
«РЖД» в сфере своей ответственности;
- назначение и контроль прав доступа пользователей к собственным
информационным системам;
- организацию сдачи-приемки в эксплуатацию АИТС ОАО «РЖД» и
СОИБ;
- эксплуатацию АИТС ОАО «РЖД» в соответствии с эксплуатационной
документацией;
- условия проведения мониторинга и мониторинг ИБ эксплуатируемых
АИТС ОАО «РЖД» и непосредственное участие в проводимых мероприятиях
по контролю защищенности АИТС ОАО «РЖД»;
- устранение выявленных уязвимостей и нарушений ИБ эксплуатируемых
АИТС ОАО «РЖД»; 21
с т о РЖД 1.18.002 -2009
- внедрение и эксплуатацию технических средств инфраструктуры
открытых ключей (ИОК) и систем электронно-цифровой подписи (ЭЦП) ОАО
«РЖД»;
- организацию обучения администраторов безопасности ГВЦ и ИВЦ -
структурных подразделений ГВЦ, обеспечивающих опытную и постоянную
эксплуатацию СОИБ ОАО «РЖД»;
- подготовку предложений и рекомендаций по совершенствованию СОИБ и
представление этих предложений в Департамент безопасности ОАО «РЖД».
- проведение лицензионной работы в СОИБ, требующих наличия лицензий,
разработку рекомендаций по лицензионной работе;
- подготовку отчетных материалов по результатам работы средств защиты
и контроля по всем эксплуатируемым АИТС и нарушениям ИБ и представление
предложений по совершенствованию функционирования средств защиты и
контроля в Департамент безопасности ОАО «РЖД»;
- организацию консультирования пользователей различного уровня по
вопросам эксплуатации применяемых средств защиты и контроля.
Подразделения и работники, организующие работу по защите
информации филиалов ОАО «РЖД», обеспечивают:
- координацию информационной безопасности в АИТС ОАО «РЖД»;
- настройку систем обеспечения ИБ эксплуатируемых систем в
соответствии с требованиями ИБ, организационно-распорядительной и
эксплуатационной документацией;
- назначение и контроль прав доступа пользователей;
- администрирование эксплуатируемых СОИБ;
- разработку инструкций и другой организационно-распорядительной
документации по вопросам эксплуатации СОИБ АИТС ОАО «РЖД» в сфере
своей ответственности;
- эксплуатацию СОИБ в соответствии с эксплуатационной документацией;
22
СТО РЖД 1.18.002 -2009
- условия проведения мониторинга и мониторинг ИБ эксплуатируемых
АИТС и непосредственное участие в проводимых мероприятиях по контролю
защищенности АИТС ОАО «РЖД»;
- устранение выявленных уязвимостей и нарушений ИБ эксплуатируемых
АИТС;
- подготовку предложений по финансированию мероприятий, связанных с
обеспечением ИБ АИТС ОАО «РЖД»;
- подготовку предложений и рекомендаций по совершенствованию СОИБ
АИТС ОАО «РЖД» и представление этих предложений в Департамент
безопасности ОАО «РЖД»;
- проведение лицензионной работы в СОИБ, требующих наличия лицензий,
разработку рекомендаций по лицензионной работе;
- подготовку отчетных материалов по результатам работы средств защиты
и контроля по всем эксплуатируемым АИТС и нарушениям ИБ и представление
их в Департамент безопасности ОАО «РЖД»;
- организацию консультирования пользователей различного уровня по
вопросам эксплуатации применяемых средств защиты и контроля.
8 Нормативно-методическое обеспечение управления
информационной безопасностью ОАО «РЖД»
Нормативно-методическое обеспечение управления ИБ ОАО «РЖД»
включает настоящий стандарт, другие стандарты и нормативные документы
ОАО «РЖД» по вопросам управления ИБ.
Основные типы стандартов (документов) по управлению ИБ, выпускаемые
в развитие и поддержку настоящего стандарта, представлены на рисунке 5.
23
с т о РЖД 1.18.002-2009
Стандарт ОАО «РЖД» Управление ИБ. Общие положения
Политика ИБ
Положения
Руководства
Методики
Регламенты
Профили защиты для типов систем
Рисунок 5 - Основные типы документов по управлению ИБ в развитие и
поддержку настоящего стандарта
Стандарт ОАО «РЖД» Управление ИБ. Общие положения определяет
организационную структуру СУИБ, основные принципы и общие требования к
управлению ИБ в ОАО «РЖД».
Политика ИБ ОАО «РЖД» определяет цели и задачи ОАО «РЖД» в
области обеспечения ИБ, реализуемые в соответствии с действующим
законодательством Российской Федерации и нормативными документами
регулирующих органов в области ИБ.
Положение определяет общий порядок выполнения некоторой
комплексной деятельности по управлению ИБ.
Руководство содержит рекомендации по подходам, способам и методам
выполнения некоторой деятельности по управлению ИБ.
Методика является детализированным описанием шагов по выполнению
некоторой деятельности или составляющей некоторой деятельности (то есть,
описание того, как делать).
24
СТО РЖД 1.18.002-2009
Регламент является предписанием по выполнению конкретной
последовательности действий (этапов, шагов) в процессе выполнения
некоторой деятельности по управлению ИБ (то есть, описание того, кому, что,
когда и в какой последовательности необходимо делать).
Профили защиты (по ГОСТ Р ИСО/МЭК 15408) определяют
информационные активы конкретных типов АИТС ОАО «РЖД», угрозы
безопасности этим активам, положения применимых нормативных документов,
требования ИБ, предъявляемые к АИТС ОАО «РЖД» данного типа для
противостояния угрозам безопасности, реализации положений нормативных
документов и оценки достигнутого уровня ИБ.
Таким образом, профили защиты определяют для АИТС ОАО «РЖД»
конкретных типов требуемое состояние ИБ.
Текущее состояние ИБ конкретной АИТС ОАО «РЖД» отражается в
документе - задание по безопасности (по ГОСТ Р ИСО/МЭК 15408). Текущее
состояние ИБ АИТС ОАО «РЖД» (зафиксированное в заданиях по
безопасности) может отличаться от зафиксированного в профилях защиты. В
таких случаях имеющиеся расхождения являются предметом краткосрочного,
среднесрочного и долгосрочного планирования совершенствования систем
обеспечения ИБ АИТС ОАО «РЖД».
9 Принципы организации нланировапия мероприятий
по управлению ИБ ОАО «РЖД»
Планирование мероприятий по совершенствованию системы управления
ИБ и защите информационных активов ОАО «РЖД» должно осуществляться на
двух уровнях (рисунок 6):
1 -ый уровень планирования - Департамент безопасности ОАО «РЖД»
2-ой уровень планирования - филиалы ОАО «РЖД».
25
СТО РЖД 1.18.002 -2009
Первый уровень планирования Департамент безопасности
ОАО «РЖД»
долгосрочное планирование развития СУИБ
среднесрочное планирование совершенствования СУИБ
планирование защиты общих информационных активов
планирование создания и развития системы оценки защищенности
планирование переподготовки и повышения квалификации персонала
планирование работы Департамента безопасности ОАО «РЖД»
Второй уровень планирования -филиалы ОАО «РЖД»
планирование внедрения элементов СУИБ
планирование защиты собственных информационных активов
планирование работы отделов (должностных лиц) по ИБ
Рисунок 6 - Планирование мероприятий по совершенствованию СУИБ
Департамент безопасности ОАО «РЖД» осуществляет следующие виды
планирования:
- долгосрочное планирование развития системы управления ИБ ОАО
«РЖД»;
- среднесрочное планирование совершенствования системы управления ИБ
ОАО «РЖД»;
- планирование защиты общих информационных активов (ресурсов) ОАО
«РЖД»;
- планирование создания и развития системы оценки защищенности в
масштабах ОАО «РЖД»;
26
с т о РЖД 1.18.002-2009
- планирование переподготовки и повышения квалификации персонала
системы управления ИБ ОАО «РЖД»;
- планирование работы Департамента безопасности ОАО «РЖД» в
соответствии с планами ОАО «РЖД».
- Филиалы ОАО «РЖД» осуществляют следующие виды планирования:
- планирование внедрения элементов системы управления ИБ в
соответствии с планами ОАО «РЖД»;
- планирование защиты собственных информационных активов (ресурсов),
не являющихся общими для ОАО «РЖД» в целом;
- планирование работы отделов (должностных лиц) по ИБ в соответствии с
планами филиалов ОАО «РЖД».
10 Мероприятия по управлению информационной
безопасностью, подлежащие реализации в ОАО «РЖД»
К мероприятиям управления ИБ, подлежащим реализации в ОАО «РЖД»,
относятся следующие:
- активная поддержка процессов ИБ со стороны руководства ОАО «РЖД»;
- координация деятельности, связанной с ИБ;
- четкое распределение и разделение обязанностей, связанных с ИБ;
- инвентаризация всех значимых информационных активов;
- оценка значимости и категорирование информационных активов и АИТС;
- эффективная организация информационных активов и АИТС как
объектов Р1Б;
- анализ уязвимостей, формирование перечней угроз и характеристик
вероятных нарушителей;
- анализ и оценка рисков нарушения ИБ;
- эффективное проектирование мер, средств и систем обеспечения ИБ;
27
с т о РЖД 1.18.002 -2009
- документирование должностных обязанностей персонала,
связанных с ИБ;
- проведение регулярного обучения персонала в области ИБ;
- определение мер дисциплинарного характера к нарушителям ИБ;
- проведение предупредительных мероприятий при увольнении
сотрудников ОАО «РЖД»;
- физическая защита средств хранения и обработки информации;
- резервирование электропитания для критичных ресурсов;
- защита (контроль) кабелей электропитания и телекоммуникационных
кабелей;
- надлежащее регламентное обслуживание оборудования;
- контроль за перемещением оборудования;
- надлежащее документирование эксплуатационных процедур;
- разделение средств разработки, средств тестирования от эксплуатируемых
средств обработки информации;
- мониторинг производительности ресурсов АИТС и поддержание
необходимых эксплуатационных характеристик АИТС в случаях их
масштабирования;
- наличие единых требований ИБ при разработке новых АИТС,
модернизации существующих АИТС;
- контроль за включением в АИТС новых средств обработки информации, а
также за модификацией (заменой) используемых;
- применение надлежащих методов идентификации и аутентификации;
- разграничение доступа пользователей к ресурсам АИТС и
документирование процедур предоставления доступа пользователей к ресурсам
АИТС;
- защита от компьютерных вирусов и вредоносного программного
обеспечения;
- осуществление регламентного резервного копирования информации;
28
1
СТО РЖД 1.18.002 -2009
- реализация мер управления ИБ в вычислительных сетях;
- защита передаваемой информации;
- реализация надлежащих процедур управления съемными носителями
информации;
- реализация мероприятий по защите персональных данных при их i
обработке в АИТС ОАО «РЖД»;
- реализация мониторинга ИБ и обеспечение аудита событий, связанных с
ИБ;
- периодическое проведение внутреннего аудита ИБ;
- реализация технологии «поддержки доверия» к оцененным
(аттестованным) по требованиям ИБ АИТС;
- периодический независимый анализ (оценка) состояния ИБ в ОАО
«РЖД».
29
с т о РЖД 1.18.002-2009
Библиография
[1] Федеральный закон «О техническом регулировании» от 27 декабря 2002 г.
№ 184-ФЗ
[2] Федеральный закон «Об информации, информационных технологиях и о
защите информации» от 27 июля 2006 г. № 149-ФЗ
[3] Федеральный закон «О персональных данных» от 27 июля 2006 г. № 152-
ФЗ
[4] Политика корпоративной информатизации ОАО «РЖД» (утверждена
распоряжением ОАО «РЖД» от 11 сентября 2006 г. № 1872р)
30