Стр. 1
Страницы:
Стр.1 |
Стр.2 |
Стр.3 |
Стр.4
ПРИКАЗ ГОСУДАРСТВЕННОГО ЦЕНТРА БЕЗОПАСНОСТИ ИНФОРМАЦИИ ПРИ
ПРЕЗИДЕНТЕ РЕСПУБЛИКИ БЕЛАРУСЬ
26 июля 2007 г. № 80
ОБ УТВЕРЖДЕНИИ ПОЛОЖЕНИЯ О ПОРЯДКЕ ВЫПОЛНЕНИЯ РАБОТ
(ОКАЗАНИЯ УСЛУГ) ПО ТЕХНИЧЕСКОЙ ЗАЩИТЕ ИНФОРМАЦИИ
В целях обеспечения порядка выполнения работ (оказания услуг)
по технической защите информации ПРИКАЗЫВАЮ:
1. Утвердить прилагаемое Положение о порядке выполнения работ
(оказания услуг) по технической защите информации.
2. Возложить ответственность за ввод в действие настоящего
положения на начальника отдела 020.
3. Начальнику отдела 020 совместно с советником (по
юридическим вопросам) согласовать приказ с заинтересованными лицами.
4. Советнику (по юридическим вопросам) произвести необходимые
действия по опубликованию настоящего приказа в Национальном реестре
правовых актов Республики Беларусь.
Исполняющий обязанности начальника центра С.В.Маслов
СОГЛАСОВАНО СОГЛАСОВАНО
Заместитель Первый заместитель
Министра финансов Министра экономики
Республики Беларусь Республики Беларусь
И.И.Заяш П.К.Жабко
26.07.2007 26.07.2007
УТВЕРЖДЕНО
Приказ
Государственного центра
безопасности информации
при Президенте
Республики Беларусь
26.07.2007 № 80
ПОЛОЖЕНИЕ
о порядке выполнения работ (оказания услуг) по технической защите
информации
1. Настоящее Положение разработано в соответствии с
постановлением Совета Министров Республики Беларусь от 20 октября
2003 г. № 1374 «Об утверждении Положения о лицензировании
деятельности по технической защите информации, в том числе
криптографическими методами, включая применение электронной цифровой
подписи» (Национальный реестр правовых актов Республики Беларусь,
2003 г., № 121, 5/13254).
2. Положение определяет порядок выполнения работ (оказания
услуг) по технической защите информации и нормы времени на
выполнение работ в области технической защиты информации.
3. Предоставление услуг по технической защите информации
осуществляется юридическими лицами (индивидуальными
предпринимателями), имеющими специальное разрешение (лицензию) на
деятельность по технической защите информации, в том числе
криптографическими методами, включая применение электронной цифровой
подписи (далее - лицензиат).
4. Выбор исполнителя работ по технической защите информации в
интересах государственных органов и организаций осуществляется в
соответствии с Указом Президента Республики Беларусь от 25 августа
2006 г. № 529 «О государственных закупках» (Национальный реестр
правовых актов Республики Беларусь, 2006 г., № 144, 1/7877).
5. Услуги в области технической защиты информации оказываются
на основании договора, заключаемого организацией-заказчиком с
лицензиатом.
6. Услуги по технической защите информации, предоставляемые
лицензиатом государственным органам и организациям, осуществляются
после согласования с Государственным центром безопасности информации
при Президенте Республики Беларусь (далее - ГЦБИ) всех работ по
обеспечению технической защиты:
информации, содержащей государственные секреты;
служебной информации ограниченного распространения;
иной информации, охраняемой в соответствии с законодательством
Республики Беларусь.
7. Для согласования работ в интересах государственных органов
и организаций лицензиат представляет в ГЦБИ письменную заявку с
указанием наименования организации, с которой планируется заключить
договор на оказание услуг по технической защите информации, и
перечня планируемых работ.
8. Договор на оказание услуг по технической защите информации
в интересах государственных органов и организаций заключается
лицензиатом после получения письменного согласования от ГЦБИ.
9. В случае нарушений требований нормативных правовых актов,
допущенных лицензиатом при проведении работ по технической защите
информации, проведение дополнительных мероприятий по устранению
недостатков осуществляется за счет средств этого лицензиата.
10. Тарифы на услуги (работы) по технической защите информации
формируются на основе плановой себестоимости, всех установленных
налогов и неналоговых платежей в соответствии с налоговым и
бюджетным законодательством, прибыли, необходимой для
воспроизводства, определяемой с учетом качества услуг и конъюнктуры
рынка. Затраты на оплату труда, включаемые в плановую себестоимость
услуг (работ), определяются на основе норм времени на выполнение
работ в области технической защиты информации, приведенными в
приложении к настоящему Положению. Плата за оказанные услуги
(работы) определяется исходя из тарифов, утвержденных в
установленном порядке, и объема оказанных услуг (работ).
Приложение
к Положению
о порядке выполнения работ
(оказания услуг) по технической
защите информации
НОРМЫ ВРЕМЕНИ НА ВЫПОЛНЕНИЕ РАБОТ В ОБЛАСТИ ТЕХНИЧЕСКОЙ ЗАЩИТЫ
ИНФОРМАЦИИ
1. Область применения.
Настоящий документ устанавливает единые нормы времени на
выполнение следующих работ (оказание услуг) в области технической
защиты информации (далее - работы):
проведение специальных исследований технических средств (СИ);
специальная проверка объектов информатизации (ОИ) (далее -
СП);
аттестация ОИ;
инструментальный контроль.
2. Определения, обозначения и сокращения.
2.1. В настоящем документе применяют следующие термины с
соответствующими определениями.
Аттестация ОИ - комплекс организационно-технических
мероприятий и работ, осуществляемых до ввода в эксплуатацию ОИ, в
результате которых организация, проводящая аттестацию, документально
подтверждает, что ОИ соответствует требованиям нормативных актов по
технической защите информации.
Защищаемая информация - информация, являющаяся предметом
собственности и подлежащая защите в соответствии с требованиями
правовых документов или требованиями, устанавливаемыми собственником
информации (СТБ ГОСТ Р 50922).
Примечание. Собственником информации может быть государство,
юридическое лицо, группа физических лиц, отдельное физическое лицо.
Инструментальный контроль - контроль соответствия
количественных показателей эффективности мероприятий по защите
информации требованиям или нормам эффективности защиты информации,
проводимый с помощью технических средств измерения и контроля.
Контрольная точка - элемент ограждающей конструкции помещения,
оборудования или технического средства, специальная проверка
которого проводится за один подход (один раз) или одно место в
помещении, в котором производится одно измерение уровня
акустического (виброакустического) сигнала.
Объект информатизации - объект, предназначенный для проведения
работ с использованием защищаемой информации. Объекты информатизации
подразделяются на два вида:
объект «средства вычислительной техники» (объект СВТ);
объект «защищаемое помещение» (объект ЗП).
Объект СВТ - средства электронной вычислительной техники
(автоматизированные системы различного уровня и назначения,
вычислительные сети и центры, автономные стационарные и персональные
электронные вычислительные машины (ПЭВМ), а также средства
изготовления и размножения документов, в которых для обработки
информации применяются цифровые методы) вместе с программным
обеспечением, которые используются для обработки защищаемой
информации.
Примечание. Защите на объектах СВТ подлежит обрабатываемая на
них защищаемая информация, а также используемые при ее обработке
защищаемые алгоритмы и программы.
Объект ЗП - объект информатизации, предназначенный для
проведения мероприятий, в ходе которых циркулирует речевая
защищаемая информация.
Примечание. Защите на объектах ЗП подлежит речевая защищаемая
информация.
Побочные электромагнитные излучения (ПЭМИ) - электромагнитные
излучения, возникающие при работе средств и систем обработки
информации.
Предписание на эксплуатацию - документ, оформляемый по
результатам специальных исследований и определяющий требования по
защите информации при монтаже и эксплуатации технических средств.
Специальная проверка объектов информатизации - проверка
объектов информатизации в целях определения степени соответствия
условий их эксплуатации требованиям нормативных актов по технической
защите информации, своевременного выявления возможных технических
каналов утечки защищаемой информации и принятия мер по их закрытию
(блокированию).
Специальные исследования технических средств - комплекс
мероприятий, которые проводятся в целях определения возможных
технических каналов утечки информации; измерения и расчета
количественных показателей эффективности защиты информации от ее
утечки по техническим каналам; определения требований по защите
информации при монтаже и эксплуатации технических средств.
Специальное техническое средство - средство или элемент
средства, предназначенное и (или) используемое для негласного
получения информации, несанкционированно и скрытно внедряемое
(устанавливаемое или вносимое) в места возможного съема информации
(в том числе в ограждение, конструкцию, оборудование, предметы
интерьера, транспортные средства, а также в технические средства и
системы обработки информации).
Средство защиты информации - техническое, программное,
аппаратное, программно-аппаратное средство, предназначенное и (или)
используемое для защиты информации.
Техническая защита информации - деятельность по обеспечению
защиты информации от ее утечки по техническим каналам, от
несанкционированного доступа к ней, от специальных воздействий на
нее в целях ее уничтожения, искажения и блокирования и по
противодействию техническим средствам разведки на территории
Республики Беларусь.
Технические средства объекта информатизации (ТСОИ) -
обобщенное название технических средств и их коммуникаций
(информационных кабелей, кабелей электропитания, заземления),
входящих в состав или размещенных на объекте информатизации.
Технический канал утечки информации - совокупность объекта
защиты информации (его физического проявления), среды
распространения излученных (отраженных) этим объектом охраняемых
сведений различной физической природы, а также технического средства
разведки, с помощью которого может добываться информация, подлежащая
защите.
Техническое средство защиты информации - техническое средство
защиты, специально изготовленное и (или) используемое для:
устранения или ослабления характерных признаков или
физического проявления объекта защиты, определяемых при помощи
средств технической разведки и используемых для получения
информации, содержащей сведения, подлежащие защите;
создания ложных (имитирующих) признаков или физических
проявлений, создания помех техническим средствам разведки или
специальным техническим средствам.
Эксплуатация ОИ - проведение на ОИ работ с использованием
защищаемой информации.
Остальные термины и определения - по СТБ ГОСТ Р 50922-2000
«Защита информации. Термины и определения».
2.2. В настоящем документе применяют следующие обозначения и
сокращения:
АТС - автоматическая телефонная станция;
ВТСС - вспомогательные технические средства и системы;
ЗП - защищаемое помещение;
КЗ - контролируемая зона;
НД - нормативный документ;
НИР - научно-исследовательская работа;
НТД - нормативно-технический документ;
ОИ - объект информатизации;
ОКР - опытно-конструкторская работа;
ОТСС - основные технические средства и системы;
ПЭВМ - персональная электронная вычислительная машина;
ПЭМИ - побочные электромагнитные излучения;
ПЭМИН - побочные электромагнитные излучения и наводки;
СВТ - средства вычислительной техники;
СИ - специальные исследования технических средств;
СЛП - специальная лабораторная проверка;
СП - специальная проверка объекта;
СТС - специальные технические средства;
ТЗ - техническое задание;
ТСОИ - технические средства объекта информатизации;
ЭВМ - электронная вычислительная машина;
ЭТС - экспертно-техническое совещание.
3. Общие положения.
3.1. Нормы времени рекомендуются для нормирования труда
специалистов, выполняющих работы по технической защите информации.
3.2. Нормы времени разработаны на основе данных оперативного
учета и отчетности, справочных материалов, НД и нормативно-
технических документов (НТД).
3.3. Нормами времени учитывается время на отдых, личные
надобности.
3.4. Нормы времени рассчитаны при условии выполнения работ
ведущим инженером.
При выполнении работ исполнителем другой должности применяется
поправочный коэффициент квалификационного уровня J в соответствии с
таблицей 3.1.
Таблица 3.1
--------T------------------------------------------------T--------------¬
¦ № ¦ Должность исполнителей ¦Значение коэф-¦
¦ п/п ¦ ¦ фициента J ¦
+-------+------------------------------------------------+--------------+
¦ 1 ¦ 2 ¦ 3 ¦
+-------+------------------------------------------------+--------------+
¦ 1 ¦Техник ¦ 1,5 ¦
+-------+------------------------------------------------+--------------+
¦ 2 ¦Техник II категории ¦ 1,4 ¦
+-------+------------------------------------------------+--------------+
¦ 3 ¦Техник I категории ¦ 1,3 ¦
+-------+------------------------------------------------+--------------+
¦ 4 ¦Инженер, инженер-программист, инженер-конструк-¦ 1,3 ¦
¦ ¦тор, инженер по стандартизации ¦ ¦
+-------+------------------------------------------------+--------------+
¦ 5 ¦Инженер II категории, инженер-программист II ка-¦ 1,2 ¦
¦ ¦тегории, инженер-конструктор II категории ¦ ¦
+-------+------------------------------------------------+--------------+
¦ 6 ¦Инженер I категории, инженер-программист I кате-¦ 1,1 ¦
¦ ¦гории, инженер-конструктор I категории ¦ ¦
+-------+------------------------------------------------+--------------+
¦ 7 ¦Ведущий инженер, ведущий инженер-программист ¦ 1,0 ¦
+-------+------------------------------------------------+--------------+
¦ 8 ¦Главный специалист, научный сотрудник, ведущий¦ 0,9 ¦
¦ ¦научный сотрудник ¦ ¦
+-------+------------------------------------------------+--------------+
¦ 9 ¦Начальник сектора, начальник испытательной лабо-¦ 0,8 ¦
¦ ¦ратории, начальник отдела, начальник центра ис-¦ ¦
¦ ¦пытаний, их заместители ¦ ¦
L-------+------------------------------------------------+---------------
Примечания:
1. Наименования должностей, приведенных в таблице 3.1, взяты из
Квалификационного справочника «Должности служащих, общие для всех
отраслей экономики» (постановление Министерства труда Республики
Беларусь от 30 декабря 1999 г. № 159).
2. При выполнении работ исполнителями других должностей
значение поправочного коэффициента квалификационного уровня
подбирается по аналогии.
3.5. Норма времени выполнения любого вида работы определяется
в нормо-часах и рассчитывается по формуле
T = J · H, (3.1)
где T - общая норма времени на выполнение работы, выражаемая в нормо-
часах;
J - поправочный коэффициент квалификационного уровня;
H - норма времени на выполнение работы ведущим инженером,
выражаемая в нормо-часах.
3.6. При выполнении работы группой специалистов разной
квалификации норма времени рассчитывается по формуле
n m
Т = S · S Jj · Hi (3.2)
i = 1 j = 1
где i - порядковый номер операции;
j - номер используемой должности исполнителя работ,
приведенный в таблице 3.1;
n - количество элементарных операций, составляющих данную
работу, определяемое руководителем выполняемых работ;
m - количество должностей, используемых для выполнения данной
работы.
При расчете нормы времени любого вида работы для специалиста,
не задействованного в выполнении этого вида работы, принимают
значение Н, равное нулю.
3.7. Выполнение работ состоит из следующих основных стадий:
а) предварительная, в которую входят следующие основные виды
работ:
постановка общей задачи, сбор и анализ исходных материалов;
заключение договора на выполнение работы;
разработка и утверждение технического задания (ТЗ) на
выполнение работы и т.п.;
б) основная, в которую входят следующие основные виды работ:
подбор НТД, методик проведения работы;
подбор аппаратуры, технических средств для проведения работы;
выполнение научно-исследовательской работы (НИР), опытно-
конструкторской работы (ОКР), СИ, СП;
инженерно-математические расчеты при проведении СИ и СП,
обработка полученных результатов;
разработка проекта программы или документа, пояснительной
записки, направление проекта программы или документа на отзыв;
разработка проектируемого макета изделия и т.п.;
в) заключительная, в которую входят следующие основные виды
работ:
разработка опытного образца изделия;
обработка отзывов, проведение экспертно-технического совещания
(ЭТС) (при необходимости), составление сводки отзывов, окончательной
(второй и последующих) редакций проекта документа, отчета по НИР,
ОКР;
разработка рабочего проекта программы;
согласование и представление на утверждение результатов работ
и т.п.
Примечание. Допускается при необходимости объединять, исключать
этапы работ и (или) их содержание, а также вводить другие этапы
работ.
3.8. Общая норма времени (Тоб) на выполнение всей работы
определяется в нормо-часах и рассчитывается по следующей формуле:
Тоб = Тпр + Тос + Тзк, (3.3)
где Тпр - норма времени на выполнение работ на предварительной
стадии;
Тос - норма времени на выполнение работ на основной стадии;
Тэк - норма времени на выполнение работ на заключительной
стадии.
3.9. Норма времени на выполнение работы на каждой стадии
рассчитывается по формуле 3.2.
На продолжительность выполнения работ оказывают корректирующее
влияние различные факторы. Это влияние выражается через введение в
формулу при расчете нормы времени ряда поправочных коэффициентов.
Значение поправочных коэффициентов для различных видов работ
приведено в соответствующих разделах.
При расчете откорректированных норм времени на выполнение
работы с использованием поправочных коэффициентов на отдельных
стадиях используются следующие формулы:
Ткпр = Кпр1 · Кпр2 · Кпр3 · … · Кпрi · Тпр; (3.4)
Ткос = Кос1 · Кос2 · Кос3 ·… · Косi· Тос; (3.5)
Ткзк = Кзк1 · Кзк2 · Кзк3 · … · Кзкi · Тзк, (3.6)
где Ткпр, Ткос, Ткзк - откорректированные нормы времени на
выполнение работы на предварительной, основной и заключительной
стадиях соответственно;
Кпр, Кос, Кзк - поправочные коэффициенты, применяемые при
расчете норм времени на выполнение работы на соответствующей стадии.
Значения Тпр, Тос, Тэп, Кпр, Кос, Кзк при расчетах норм
времени для разных видов работ приведены в таблицах соответствующих
разделов.
4. Нормы времени на выполнение СИ.
Требования настоящего раздела распространяются на работы по
проведению:
СИ технических средств объекта информатизации от утечки
информации по каналу побочных электромагнитных излучений и наводок
(ПЭМИН);
СИ технических средств объекта информатизации на
акустоэлектрические преобразования;
СИ средств защиты информации.
4.1. Стадии выполнения СИ.
4.1.1. Общая норма времени на выполнение работ по проведению
СИ определяется в нормо-часах в соответствии с формулами (3.1),
(3.2) и (3.3).
Нормы времени на выполнение работ по проведению СИ на
предварительной, основной и заключительной стадиях определяются в
соответствии с формулами (3.4), (3.5) и (3.6).
4.1.2. Работы по проведению СИ состоят из стадий, приведенных
в таблице 4.1.
Нормы времени отдельных стадий выполнения работ по проведению
СИ определяются по удельному весу этих стадий от общей трудоемкости.
Удельный вес отдельных стадий выполнения работы в общей трудоемкости
(условно принятый за единицу) приведен в таблице 4.1.
Таблица 4.1
-----------------T---------------------------------------T---------------¬
¦Стадии выполне- ¦ Наименование работ ¦ Удельный вес ¦
¦ ния работ ¦ ¦ стадии ¦
+----------------+---------------------------------------+---------------+
¦ 1 ¦ 2 ¦ 3 ¦
+----------------+---------------------------------------+---------------+
¦1 - предварите-¦Переговоры с представителем заказчика о¦ 0,10 ¦
¦льная ¦проведении работ по СИ¦ ¦
¦ ¦Заключение договора на проведение работ¦ ¦
¦ ¦по СИ¦ ¦
¦ ¦Подбор, изучение и анализ исходных ма-¦ ¦
¦ ¦териалов, нормативно-технических доку-¦ ¦
¦ ¦ментов ¦ ¦
¦ ¦Подбор испытательного оборудования для¦ ¦
¦ ¦проведения работ и т.п. ¦ ¦
+----------------+---------------------------------------+---------------+
¦2 - основная ¦Приемка технических средств от заказчи-¦ 0,65 ¦
¦ ¦ка ¦ ¦
¦ ¦Подбор методики проведения работ СИ,¦ ¦
¦ ¦справочных НД¦ ¦
¦ ¦Подготовка технических средств, испыта-¦ ¦
¦ ¦тельного оборудования, рабочего места и¦ ¦
¦ ¦(или) объекта СВТ к проведению СИ ¦ ¦
+----------------+---------------------------------------+---------------+
¦ ¦Проведение СИ по соответствующим мето-¦ ¦
¦ ¦дикам ¦ ¦
¦ ¦Обработка полученных результатов, про-¦ ¦
¦ ¦ведение инженерно-математических расче-¦ ¦
¦ ¦тов ¦ ¦
+----------------+---------------------------------------+---------------+
¦3 - заключитель-¦Оформление протоколов проведенных спе-¦ 0,25 ¦
¦ная ¦цисследований ¦ ¦
¦ ¦Оформление предписания на эксплуатацию¦ ¦
¦ ¦технических средств объекта информати-¦ ¦
¦ ¦зации ¦ ¦
¦ ¦Оформление и согласование акта сдачи-¦ ¦
¦ ¦приемки работ ¦ ¦
L----------------+---------------------------------------+----------------
Примечание. Допускается при необходимости объединять, исключать
виды работ и (или) их содержание, а также вводить другие виды работ.
4.1.3. Расчет норм времени выполнения работ по проведению СИ
производится для предварительной, основной и заключительной стадий.
4.1.4. Поправочные коэффициенты Кпр, Кос, Кзк учитывают
влияние на трудоемкость разработки таких факторов, как:
степень новизны выполняемых работ;
степень сложности выполняемых работ;
вид информации, используемой при выполнении работ;
вид исполнения технических средств;
вид операционной системы технического средства;
язык программирования, на котором разработан тест или
требуется разработать тест для выполнения работ по проведению СИ;
объем работ, то есть количество технических средств, с
которыми необходимо провести СИ;
срочность выполнения работ по проведению СИ.
Виды поправочных коэффициентов и стадии выполнения работ по
проведению СИ, на которых они применяются, приведены в таблице 4.2.
Таблица 4.2
--------------------------------T----------------------------------------¬
¦ Поправочные коэффициенты ¦Стадии выполнения работ по проведению СИ¦
¦ +---------------T--------T---------------+
¦ ¦предварительная¦основная¦заключительная ¦
+-------------------------------+---------------+--------+---------------+
¦ 1 ¦ 2 ¦ 3 ¦ 4 ¦
+-------------------------------+---------------+--------+---------------+
¦J - квалификационного уровня ¦ + ¦ + ¦ + ¦
Страницы:
Стр.1 |
Стр.2 |
Стр.3 |
Стр.4
|
