---
title: "Без названия"
status: действует
canonical: "https://bukva.ai/docs/bez-nazvaniya-441"
---

## Без названия

# Документ 4073


<div align="right">

<a id="p100001"></a>Утвержден и введен в действие<br>
Приказом Федерального<br>
агентства по техническому<br>
регулированию и метрологии

</div>

от 18 декабря 2008 г. N 528-ст

<a id="p100002"></a>**НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ**

<a id="p100003"></a>**СИСТЕМА ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ**
**БЕЗОПАСНОСТИ СЕТИ СВЯЗИ ОБЩЕГО ПОЛЬЗОВАНИЯ**

<a id="p100004"></a>**ОБЩИЕ ПОЛОЖЕНИЯ**

<a id="p100005"></a>Information security of the public communications
network providing system. General principles

<a id="p100006"></a>**ГОСТ Р 53110-2008**

<div align="right">

<a id="p100007"></a>Группа Т00

<a id="p100008"></a>**ОКС 01.040.01**

<a id="p100009"></a>Дата введения

</div>

1 октября 2009 года

<a id="p100010"></a>Предисловие

<a id="p100011"></a>Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом от 27 декабря 2002 г. N 184-ФЗ "О техническом регулировании", а правила применения национальных стандартов Российской Федерации - ГОСТ Р 1.0-2004 "Стандартизация в Российской Федерации. Основные положения".

<a id="p100012"></a>Сведения о стандарте

1. <a id="p100013"></a>Разработан Закрытым акционерным обществом "Компания ТрансТелеКом" (ЗАО "Компания ТТК"), Открытым акционерным обществом "Межрегиональный ТранзитТелеком" (ОАО "МТТ"), Федеральным государственным унитарным предприятием "Центральный научно-исследовательский институт связи" (ФГУП "ЦНИИС"), Федеральным государственным учреждением "Государственный научно-исследовательский испытательный институт проблем технической защиты информации Федеральной службы по техническому и экспортному контролю России" (ФГУ "ГНИИИ ПТЗИ ФСТЭК России").
2. <a id="p100014"></a>Внесен Управлением технического регулирования и стандартизации Федерального агентства по техническому регулированию и метрологии.
3. <a id="p100015"></a>Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 18 декабря 2008 г. N 528-ст.
4. <a id="p100016"></a>Введен впервые.

<a id="p100017"></a>Информация об изменениях к настоящему стандарту публикуется в ежегодно издаваемом информационном указателе "Национальные стандарты", а текст изменений и поправок - в ежемесячно издаваемых информационных указателях "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ежемесячно издаваемом информационном указателе "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет.

1. <a id="p100018"></a>Область применения

<a id="p100019"></a>Настоящий стандарт определяет правовые, организационные и технические направления обеспечения информационной безопасности сетей электросвязи, входящих в состав сети связи общего пользования.
<a id="p100020"></a>Настоящий стандарт распространяет положения по обеспечению безопасности сетей электросвязи, установленные ГОСТ Р 52448, на систему обеспечения информационной безопасности сети связи общего пользования, определяя ее как комплекс взаимодействующих систем обеспечения информационной безопасности сетей электросвязи, входящих в состав сети связи общего пользования.
<a id="p100021"></a>Положения настоящего стандарта подлежат применению расположенными на территории Российской Федерации организациями, предприятиями и другими субъектами хозяйственной деятельности независимо от их организационно-правовой формы и формы собственности, имеющими лицензии федерального органа исполнительной власти, уполномоченного в области связи, на предоставление услуг связи.
<a id="p100022"></a>Положения настоящего стандарта также распространяются на выделенные и технологические сети связи при их присоединении к сети связи общего пользования.
<a id="p100023"></a>Настоящий стандарт устанавливает общий подход к:
- <a id="p100024"></a>формированию и проведению в организации связи единой политики информационной безопасности сетей электросвязи;
- <a id="p100025"></a>принятию управленческих решений по внедрению практических мер, реализующих организационные и функциональные требования безопасности;
- <a id="p100026"></a>координации деятельности структурных подразделений организации связи при проведении работ по проектированию, построению, реконструкции и эксплуатации сети электросвязи с соблюдением требований безопасности, определяемых федеральными органами исполнительной власти, уполномоченными в областях связи, обеспечения безопасности и технической защиты информации.
<a id="p100027"></a>Настоящий стандарт не конкретизирует:
- <a id="p100028"></a>номенклатуру используемых механизмов обеспечения безопасности и средств защиты;
- <a id="p100029"></a>требования по организации охраны сооружений и линий связи;
- <a id="p100030"></a>обеспечение сохранности и физической целостности средств связи;
- <a id="p100031"></a>защиту от стихийных бедствий и сбоев в системе энергоснабжения;
- <a id="p100032"></a>меры по обеспечению личной безопасности сотрудников организации связи и пользователей услугами связи.
<a id="p100033"></a>Настоящий стандарт не исключает возможности объединения процессов осуществления физической безопасности и функционирования системы обеспечения информационной безопасности организации связи в единую структуру.

2. <a id="p100034"></a>Нормативные ссылки

<a id="p100035"></a>В настоящем стандарте использованы нормативные ссылки на следующие стандарты:
<a id="p100036"></a>ГОСТ Р ИСО/МЭК 17799-2006 Информационная технология. Практические правила управления информационной безопасностью
<a id="p100037"></a>ГОСТ Р ИСО/МЭК 27001-2006 Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования
<a id="p100038"></a>ГОСТ Р 52448-2005 Защита информации. Обеспечение безопасности сетей электросвязи. Общие положения
<a id="p100039"></a>ГОСТ Р 53109-2008 Система обеспечения информационной безопасности сети связи общего пользования. Паспорт организации связи по информационной безопасности
<a id="p100040"></a>*Примечание.* При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодно издаваемому информационному указателю "Национальные стандарты", который опубликован по состоянию на 1 января текущего года, и по соответствующим ежемесячно издаваемым информационным указателям, опубликованным в текущем году. Если ссылочный стандарт заменен (изменен), то при пользовании настоящим стандартом следует руководствоваться заменяющим (измененным) стандартом. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, применяется в части, не затрагивающей эту ссылку.

3. <a id="p100041"></a>Термины и определения

<a id="p100042"></a>В настоящем стандарте применены следующие термины с соответствующими определениями:
<a id="p100043"></a>3.1. Информационная безопасность сети электросвязи: способность сети электросвязи противостоять преднамеренным и непреднамеренным дестабилизирующим воздействиям (угрозам безопасности) на входящие в состав сети средства и линии связи в процессе приема и передачи, обработки и хранения информации, что может привести к ухудшению качества услуг, предоставляемых сетью электросвязи.
<a id="p100044"></a>3.2. Объект информационной безопасности сети электросвязи: элемент инфокоммуникационной структуры сети электросвязи (аппаратные, программные, программно-аппаратные средства, информационные ресурсы, услуги, процессы), над которым выполняются действия.
<a id="p100045"></a>3.3. Субъект информационной безопасности сети электросвязи: лицо или инициируемые от его имени процессы по выполнению действий над объектами информационной безопасности сети электросвязи.
<a id="p100046"></a>3.4. Мониторинг событий информационной безопасности сети электросвязи: постоянный контроль и действия по наблюдению, получению, хранению, распознанию и анализу информации, связанной с событиями информационной безопасности, выявлению фактов, признаков и причин нарушения установленных требований и объектов/субъектов, с которыми связаны эти нарушения.
<a id="p100047"></a>3.5. Администратор системы обеспечения информационной безопасности сети электросвязи: субъект инфокоммуникационной структуры сети электросвязи, ответственный за выполнение процессов обеспечения информационной безопасности сети электросвязи.
<a id="p100048"></a>3.6. Система обеспечения информационной безопасности сети (сетей) электросвязи: совокупность организационно-технической структуры и (или) исполнителей, задействованных в обеспечении информационной безопасности сети (сетей) электросвязи и используемых ими механизмов обеспечения безопасности (средств защиты), взаимодействующая с органами управления сетью (сетями) связи, функционирование которой осуществляется по нормам, правилам и обязательным требованиям, установленным федеральными органами исполнительной власти, уполномоченными в областях связи, обеспечения безопасности и технической защиты информации.
<a id="p100049"></a>3.7. Служба информационной безопасности организации связи: организационно-техническая структура организации связи, реализующая политику информационной безопасности организации связи и осуществляющая функционирование системы обеспечения информационной безопасности сети (сетей) электросвязи.

4. <a id="p100050"></a>Сокращения

<a id="p100051"></a>В настоящем стандарте применены следующие сокращения:
<a id="p100052"></a>    ВН        - воздействие нарушителя;
<a id="p100053"></a>    ИБ        - информационная безопасность;
<a id="p100054"></a>    ИТ        - информационная технология;
<a id="p100055"></a>    НПА       - нормативно-правовой акт;
<a id="p100056"></a>    НСД       - несанкционированный доступ;
<a id="p100057"></a>    НД        - нормативные документы;
<a id="p100058"></a>    ОРД       - организационно-распорядительные документы;
<a id="p100059"></a>    ОС        - операционная система;
<a id="p100060"></a>    ПДК по ИБ - постоянно действующая комиссия по ИБ;
<a id="p100061"></a>    РД        - руководящий документ;
<a id="p100062"></a>    СВТ       - средство вычислительной техники;
<a id="p100063"></a>    СКЗИ      - средства криптографической защиты информации;
<a id="p100064"></a>    СМИБ      - система менеджмента информационной безопасности;
<a id="p100065"></a>    СОИБ      - система обеспечения информационной безопасности;
<a id="p100066"></a>    ССОП      - сеть связи общего пользования;
<a id="p100067"></a>    ФОИВ      - федеральный орган исполнительной власти;
<a id="p100068"></a>    ЧС        - чрезвычайная ситуация;
<a id="p100069"></a>    ЭМ ВОС    - эталонная модель взаимосвязи открытых систем.

5. <a id="p100070"></a>Цели и задачи обеспечения информационной безопасности

<a id="p100071"></a>5.1. Цели, задачи и принципы обеспечения ИБ сети (сетей) электросвязи организации связи должны соответствовать целям, задачам и основным принципам обеспечения безопасности сетей электросвязи по ГОСТ Р 52448.
<a id="p100072"></a>5.2. Дополнительно к задачам по ГОСТ Р 52448 в организации связи должно предусматриваться выполнение следующих задач:
- <a id="p100073"></a>создание, реализация, поддержка функционирования, осуществление мониторинга и совершенствование СОИБ на основе использования процессного подхода к управлению ИБ;
- <a id="p100074"></a>анализ рисков ИБ, определение способов обработки рисков и мероприятий по их снижению;
- <a id="p100075"></a>обеспечение изолированности средств связи, участвующих в управлении сетями электросвязи, от внешних сетей и рабочих станций, обслуживающего сеть персонала;
- <a id="p100076"></a>обеспечение контролируемого доступа обслуживающего персонала к системе управления сетями электросвязи;
- <a id="p100077"></a>обеспечение централизованной аутентификации обслуживающего сети персонала при их доступе к средствам связи;
- <a id="p100078"></a>паспортизация организаций связи по требованиям к ИБ.
<a id="p100079"></a>*Примечание.* Оператором связи могут быть уточнены цели и задачи обеспечения ИБ сетей электросвязи в зависимости от выполняемых организацией связи функций и ее деловых целей, но формулировка целей и задач должна быть не зависима от способов их реализации.

<a id="p100080"></a>5.3. СОИБ должна создаваться операторами связи в каждой организации связи для осуществления мероприятий и действий по снижению потенциального ущерба от реализации угроз безопасности до приемлемого уровня за счет устранения уязвимостей в сетях и средствах связи или существенного затруднения использования этих уязвимостей нарушителями безопасности.
<a id="p100081"></a>Областью действия СОИБ являются средства, сооружения и линии связи, а также обслуживающий их персонал организации связи. СОИБ сети (сетей) электросвязи должна осуществлять реализацию политики ИБ оператора связи.

<div align="center">

6. <a id="p100082"></a>Взаимосвязь системы обеспечения<br>
информационной безопасности и системы менеджмента

</div>

информационной безопасности

<a id="p100083"></a>6.1. Обеспечение ИБ является непрерывным процессом, осуществляемым СОИБ и взаимоувязывающим правовую, организационную и техническую деятельность, проводимую под непосредственным управляющим воздействием руководящего состава организации связи, направленную на поддержание функционирования сетей электросвязи в условиях воздействия угроз безопасности.
<a id="p100084"></a>Мероприятия и действия по обеспечению ИБ должны осуществляться в рамках применения процессной модели, определенной в ГОСТ Р ИСО/МЭК 27001, путем реализации процессов управления. Функцией, объединяющей процессы обеспечения, управления и менеджмента, является руководство ИБ.
<a id="p100085"></a>6.1.1. Руководство ИБ - это деятельность по установлению и поддержанию структуры управления и процессов, обеспечивающих гарантию того, что политика ИБ в организации связи направлена на достижение деловых целей организации и совместима с действующими федеральными законами РФ и нормативными правовыми актами ФОИВ, уполномоченными в областях связи, обеспечения безопасности и технической защиты информации.
<a id="p100086"></a>Руководство ИБ определяет конкретные роли, обязанности и ответственность руководящего состава организации связи в области обеспечения ИБ и предоставляет службе ИБ, возглавляющей СОИБ, полномочия по управлению процессами СМИБ, так как в соответствии с [1] - процесс "обеспечение" предполагает определение "сил" и "средств", выполняющих функции безопасности (служб безопасности), на которые в организации связи возлагается выполнение мероприятий и осуществление деятельности по управлению и обеспечению ИБ. Взаимосвязь процессов руководства, обеспечения, управления и менеджмента показана на рисунке 1.



<div align="center">

<a id="p100088"></a>Рисунок 1. Взаимосвязь процессов руководства,

</div>

менеджмента, управления и обеспечения

<a id="p100089"></a>6.1.2. Управление - это совокупность целенаправленных действий, включающих в себя оценку ситуации и состояния объектов управления (например, оценку и управление рисками), выбор управляющих воздействий и их реализацию (планирование и внедрение мер обеспечения безопасности).
<a id="p100090"></a>Мероприятия и действия, реализующие процесс управления, должны быть коррелированны с действиями, выполняемыми при менеджменте ИБ, и не должны повторять друг друга.
<a id="p100091"></a>6.1.3. Менеджмент ИБ - это часть общей системы менеджмента организации связи, основанная на управлении рисками организации связи при создании, реализации, функционировании, мониторинге и совершенствовании СОИБ.
<a id="p100092"></a>СОИБ для СМИБ является организационной структурой и инструментарием по внедрению и поддержанию процессов СМИБ в стадиях жизненного цикла сетей связи.

#### <a id="p100093"></a>6.2 Основными процессами СМИБ, показанными на рисунке 1 и определяющими функционирование СОИБ, являются:

- <a id="p100094"></a>управление рисками;
- <a id="p100095"></a>внутренний аудит;
- <a id="p100096"></a>управление инцидентами;
- <a id="p100097"></a>управление изменениями.

##### <a id="p100098"></a>6.2.1 Управление рисками

<a id="p100099"></a>В результате выполнения процесса "управление рисками" определяется структура СОИБ и уточняется состав ее подсистем.
<a id="p100100"></a>"Управление рисками" позволяет установить баланс между эксплуатационными расходами и экономическими затратами на меры обеспечения безопасности и достигнуть более эффективного выполнения деловых целей организации связи, защиты сетей электросвязи и передаваемой посредством них информации.
<a id="p100101"></a>Общий подход к процессу "управления рисками" приведен в подразделах 5.5 - 5.13 ГОСТ Р 52448.
<a id="p100102"></a>Под управлением рисками понимается оценка и уменьшение рисков, которые могут воздействовать на сети электросвязи.
<a id="p100103"></a>Процесс оценки рисков, являющийся определяющим в "управлении рисками" и исходными предпосылками в котором выступают данные, полученные при разработке перечня угроз и уязвимостей для конкретной сети электросвязи, показан на рисунке 2.



<a id="p100105"></a>Рисунок 2. Процесс оценки риска

<a id="p100106"></a>Процесс оценки рисков состоит из следующих этапов:
<a id="p100107"></a>а) инвентаризация и категорирование ресурсов сети связи:
1) <a id="p100108"></a>инвентаризация предполагает составление перечня всех ресурсов (активов), требующих защиты (информационные, программные, аппаратные и сервисные);
2) <a id="p100109"></a>категорирование заключается в присвоении каждому ресурсу качественного или количественного параметра его значимости с точки зрения его влияния на общее функционирование сети связи;
<a id="p100110"></a>б) идентификация основных угроз;
<a id="p100111"></a>в) идентификация уязвимостей.
<a id="p100112"></a>*Примечание.* Процессы идентификации уязвимостей и угроз обычно осуществляются одновременно и служат основой для уточнения перечня угроз и уязвимостей;

<a id="p100113"></a>г) анализ возможных воздействий угроз при реализации уязвимостей в ресурсах сети, вычисление вероятности этих воздействий и риска причинения ущерба сети, анализ существующих мер обеспечения безопасности;
<a id="p100114"></a>д) определение дополнительных (рекомендуемых) мер обеспечения безопасности, способных противодействовать возможным воздействиям;
<a id="p100115"></a>е) документирование полученных результатов.
<a id="p100116"></a>Предлагается использовать качественный подход к анализу рисков, основанный на оценке влияния угроз и уязвимостей на основные критерии ИБ сети электросвязи (конфиденциальность, целостность, доступность и подотчетность). Анализ мер обеспечения безопасности и вычисление количественного значения риска относятся к основному процессу оценки риска и рассматриваются в отдельной методике.

##### <a id="p100117"></a>6.2.2 Внутренний аудит

<a id="p100118"></a>"Внутренний аудит" предназначен для получения объективных свидетельств соответствия действий участников процесса обеспечения ИБ требованиям СМИБ. В результате "внутреннего аудита" могут быть выявлены недостатки СОИБ, связанные с несоответствиями реализации предъявленных к СОИБ требований, ошибками при эксплуатации СОИБ, отсутствием необходимых ресурсов и т.д.
<a id="p100119"></a>Сведения о выявленных недостатках должны учитываться в процессе "управления изменениями".

##### <a id="p100120"></a>6.2.3 Управление инцидентами

<a id="p100121"></a>"Управление инцидентами" предназначено для своевременного и всестороннего реагирования на инциденты ИБ. Реализация процесса "управление инцидентами" должна гарантировать, что инциденты ИБ будут корректно обрабатываться, а информация о событиях ИБ и уязвимостях, связанных с ресурсами сети электросвязи, - доводиться до сведения уполномоченных лиц в порядке, позволяющем вовремя предпринимать корректирующие действия.
<a id="p100122"></a>Сведения о выявленных недостатках, способствующих появлению инцидентов ИБ, должны учитываться в процессе "управления изменениями".

##### <a id="p100123"></a>6.2.4 Управление изменениями

<a id="p100124"></a>"Управление изменениями" предназначено для выработки корректирующих действий, направленных на устранение причин выявленных несоответствий для предотвращения их повторного возникновения, или корректирующих действий, связанных с предложениями по совершенствованию СОИБ. Полученные сведения о выявленных недостатках в процессе "управления инцидентами" и "внутреннем аудите" и информация, полученная в результате реализации процесса "управления рисками", являются исходными данными для выработки обобщенных предложений по совершенствованию функционирования СОИБ.

<div align="center">

7. <a id="p100125"></a>Жизненный цикл системы обеспечения информационной

</div>

безопасности и его взаимосвязь с жизненным циклом сети связи

<a id="p100126"></a>7.1. Жизненный цикл сети связи является полным процессом развития, реализации и вывода из эксплуатации сетей связи через процессы их проектирования, построения, реконструкции и эксплуатации.
<a id="p100127"></a>Оператором связи могут быть применены различные методики для определения мероприятий и действий по обеспечению ИБ в процессе жизненного цикла сети связи, но каждая состоит из ряда определенных циклов или фаз, выполнение которых рекомендуется.
<a id="p100128"></a>7.2. Для осуществления постоянного и корректного управления процессами менеджмента ИБ СОИБ должна взаимодействовать с системой управления сетью связи, и жизненный цикл СОИБ должен быть коррелирован с жизненным циклом сети связи и этапами процессной модели СМИБ, определенными в ГОСТ Р ИСО/МЭК 27001.

#### <a id="p100129"></a>7.3 Настоящий стандарт устанавливает для жизненного цикла СОИБ следующие стадии:

- <a id="p100130"></a>создание СОИБ;
- <a id="p100131"></a>реализация СОИБ;
- <a id="p100132"></a>функционирование СОИБ;
- <a id="p100133"></a>мониторинг соответствия СОИБ;
- <a id="p100134"></a>совершенствование СОИБ.
<a id="p100135"></a>Взаимосвязь стадий жизненного цикла сети связи и СОИБ с этапами процессной модели СМИБ приведена на рисунке 3.



<div align="center">

<a id="p100137"></a>Рисунок 3. Взаимосвязь стадий жизненных циклов сети

</div>

связи и СОИБ с этапами процессной модели СМИБ


##### <a id="p100138"></a>7.3.1 Стадия "создание системы обеспечения информационной безопасности"

<a id="p100139"></a>При проектировании сети связи в разрабатываемом системном проекте [2] в отдельном разделе должны быть описаны потребности ИБ, в частности:
- <a id="p100140"></a>осуществлена предварительная классификация предполагаемых к использованию сетевых элементов и их категорирование с точки зрения их значимости в вопросах обеспечения ИБ;
- <a id="p100141"></a>определен предварительный перечень угроз и уязвимостей структурных элементов сети связи;
- <a id="p100142"></a>проведена предварительная оценка рисков и на ее основе определены требования к ИБ и разработан перечень мер обеспечения ИБ, реализация которых должна определять использование конкретных механизмов обеспечения безопасности (средств защиты);
- <a id="p100143"></a>определена предварительная структура СОИБ, состав подсистем и осуществляемые процессы ее функционирования, их взаимосвязь с процессами управления сетью и другими решаемыми сетью задачами.

##### <a id="p100144"></a>7.3.2 Стадия "реализация системы обеспечения информационной безопасности"

<a id="p100145"></a>При построении сети связи должны быть:
- <a id="p100146"></a>реализованы результаты предварительной оценки рисков, выраженные в конструировании, разработке, закупке и внедрении необходимых средств обеспечения ИБ и средств защиты;
- <a id="p100147"></a>сформирована функциональная структура подсистем СОИБ;
- <a id="p100148"></a>подготовлены необходимые для эксплуатации СОИБ документы;
- <a id="p100149"></a>при возможности должна быть предварительно определена эффективность выбранных мер обеспечения безопасности.

##### <a id="p100150"></a>7.3.3 Стадия "функционирование системы обеспечения информационной безопасности"

<a id="p100151"></a>В процессе эксплуатации сети связи обеспечение ИБ должно быть интегрировано в процессы управления сетью связи. При эксплуатации сети связи должны выполняться процессы управления инцидентами, внутреннего аудита, управления изменениями и другие процессы, определенные в СМИБ. Реализация данных процессов позволит своевременно провести необходимое и обоснованное совершенствование СОИБ.

##### <a id="p100152"></a>7.3.4 Стадия "мониторинг соответствия системы обеспечения информационной безопасности"

<a id="p100153"></a>При эксплуатации сети связи и ее реконструкции (модернизации) должны проводиться следующие процессы:
- <a id="p100154"></a>тестирование компонентов, свойств и функции ИБ сети связи;
- <a id="p100155"></a>внутренний аудит;
- <a id="p100156"></a>управление рисками (в полном объеме);
- <a id="p100157"></a>обработка инцидентов и управление изменениями.
<a id="p100158"></a>Новые или измененные компоненты ИБ должны тестироваться отдельно с тем, чтобы подтвердить, что они функционируют должным образом, а далее - в операционном окружении для подтверждения, что их интеграция в сеть связи не нарушит качество услуг связи и/или функций безопасности. По результатам процесса мониторинга должны быть внесены обоснованные изменения в СОИБ.

##### <a id="p100159"></a>7.3.5 Стадия "совершенствование системы обеспечения информационной безопасности"

<a id="p100160"></a>Стадия "совершенствование СОИБ" (процесс управления изменениями) предусматривает проведение корректирующих и предупреждающих действий, направленных на устранение причин выявленных несоответствий при осуществлении процессов управления рисками, инцидентами и внутреннего аудита.
<a id="p100161"></a>Применение корректирующих и предупреждающих действий на основе оценки рисков обуславливается возможностью внесения в аппаратные и программные средства новых уязвимостей при их модернизации (модификации).
<a id="p100162"></a>*Примечание.* При прекращении функционирования сети связи (фаза снятия с эксплуатации), перед утилизацией, передачей аппаратных средств или сдачей в ремонт все информационные и вычислительные ресурсы, особенно базы данных, таблицы маршрутизации (и т.д.), должны быть проверены на отсутствие в них остаточной информации.

8. <a id="p100163"></a>Направления обеспечения информационной безопасности


#### <a id="p100164"></a>8.1 Правовое направление обеспечения информационной безопасности

<a id="p100165"></a>8.1.1. Правовое направление обеспечения ИБ предусматривает создание и поддержание функционирования СОИБ в организации связи на основе реализации общеобязательных правовых норм по ИБ, осуществляемых в соответствии с положениями:
- <a id="p100166"></a>федеральных законов РФ;
- <a id="p100167"></a>указов и распоряжений Президента РФ;
- <a id="p100168"></a>постановлений и распоряжений Правительства РФ;
- <a id="p100169"></a>нормативных правовых актов (приказов, распоряжений) ФОИВ, уполномоченных в областях связи, обеспечения безопасности и технической защиты информации.

##### <a id="p100170"></a>8.1.2 Правовое направление обеспечения ИБ основывается на концептуальных правовых основах ИБ, определяемых:

- <a id="p100171"></a>основными направлениями государственной политики в области ИБ;
- <a id="p100172"></a>основными правами и обязанностями государства, ФОИВ, субъектов Российской Федерации, организаций связи и граждан в области ИБ;
- <a id="p100173"></a>основными правилами и процедурами обязательной сертификации средств защиты информации и правилами аттестации объектов информатизации по требованиям технической защиты конфиденциальной информации;
- <a id="p100174"></a>основными правилами и процедурами лицензирования деятельности в областях сохранения государственной тайны и технической защиты конфиденциальной информации;
- <a id="p100175"></a>видами и формами ответственности организаций связи и граждан за нарушение правовых и нормативных требований по ИБ.
<a id="p100176"></a>8.1.3. Правовое направление обеспечения ИБ в организации связи реализуется через систему внутренних документов организации связи, классификация которых приведена в разделе 12.

#### <a id="p100177"></a>8.2 Организационное направление обеспечения информационной безопасности

<a id="p100178"></a>Организационное направление обеспечения ИБ включает в себя:
- <a id="p100179"></a>регламентацию взаимоотношения субъектов ИБ на нормативно-правовой основе;
- <a id="p100180"></a>разработку и выполнение программ обучения и повышения компетентности сотрудников организации связи в вопросах ИБ;
- <a id="p100181"></a>реализацию мероприятий по обеспечению ИБ;
- <a id="p100182"></a>выполнение организационных требований безопасности.

##### <a id="p100183"></a>8.2.1 Регламентация взаимоотношений субъектов ИБ предполагает:

<a id="p100184"></a>а) определение в должностных инструкциях обязанностей и ролей сотрудников организации связи по вопросам выполнения требований ИБ. Роль в организации связи представляет заранее определенную совокупность правил, устанавливающих допустимое взаимодействие между субъектами и объектами в организации связи.
<a id="p100185"></a>*Примечание.* К субъектам относятся лица из числа руководства организации связи, ее сотрудники, пользователи услугами связи или инициируемые от их имени процессы по выполнению действий над объектами;

<a id="p100186"></a>б) установление мер ответственности сотрудников организации связи за нарушение ИБ;
<a id="p100187"></a>в) определение ограничений в деятельности сотрудников организации связи и конечных пользователей, определяемых факторами обеспечения ИБ и другими условиями.
<a id="p100188"></a>8.2.2. Программа обучения сотрудников организации связи вопросам ИБ предназначается для персонала, имеющего в своих функциональных обязанностях положения, касающиеся выполнения требований ИБ, и предполагает необходимость специального обучения для этой категории сотрудников. Глубина этого обучения зависит от степени важности ИБ для организации и должна варьироваться согласно требованиям безопасности к выполняемой работе. Программа обучения сотрудников ИБ должна быть разработана так, чтобы охватить все потребности в мерах безопасности, относящихся к сетям электросвязи. В случае необходимости может быть использовано обучение на уровне специальных курсов.
<a id="p100189"></a>В организации связи должен быть составлен список сотрудников, для которых необходимо специальное обучение ИБ, и список должностей, на которых должны использоваться сотрудники, получившие специализированное обучение на курсах или имеющие высшее образование в области ИБ.
<a id="p100190"></a>Необходимость специального обучения ИБ должна быть определена для текущих и запланированных задач, проектов и т.д. Каждый новый проект со специальными требованиями к ИБ должен сопровождаться соответствующей программой обучения, разработанной до начала проекта.
<a id="p100191"></a>8.2.3. Программа повышения компетентности сотрудников организации связи в вопросах ИБ относится к каждому сотруднику организации и должна гарантировать, что персонал имеет достаточный уровень знаний об основах обеспечения ИБ.

##### <a id="p100192"></a>8.2.4 Реализация мероприятий по обеспечению ИБ должна предусматривать:

<a id="p100193"></a>а) регулирование функционирования службы ИБ (см. раздел 13);
<a id="p100194"></a>б) издание приказов и распоряжений по обеспечению ИБ, основными из которых являются:
1) <a id="p100195"></a>о создании ПДК по ИБ;
2) <a id="p100196"></a>о назначении комиссии по категорированию, классификации и аттестации объектов связи и информационных систем по требованиям к ИБ;
3) <a id="p100197"></a>о допуске сотрудников к работе со средствами связи;
4) <a id="p100198"></a>о назначении администратора ИБ и лиц, ответственных за обеспечение ИБ в подразделениях организации связи;
<a id="p100199"></a>в) ограничение доступа к техническому, программному и аппаратно-программному оборудованию, кроссам, распределительным щитам, незащищенным линиям и каналам связи для предупреждения несанкционированного доступа к ним;
<a id="p100200"></a>г) осуществление физической и инженерно-технической защиты объектов организации связи;
<a id="p100201"></a>д) планирование действий по управлению инцидентами ИБ;
<a id="p100202"></a>е) планирование действий в ЧС;
<a id="p100203"></a>ж) включение в должностные инструкции сотрудников организации связи обязательства о неразглашении и сохранности сведений ограниченного доступа;
<a id="p100204"></a>и) оборудование служебных помещений сейфами, шкафами для хранения бумажных, магнитных носителей информации и др.

##### <a id="p100205"></a>8.2.5 Выполнение организационных требований безопасности предполагает:

- <a id="p100206"></a>определение и внедрение организационных мер обеспечения безопасности;
- <a id="p100207"></a>выполнение организационных мер, осуществляемое через процедуры, определяющие мероприятия и порядок действий по их осуществлению, описание которых не является однозначным и в настоящем стандарте не рассматривается;
- <a id="p100208"></a>контроль выполнения организационных мер безопасности.

#### <a id="p100209"></a>8.3 Техническое направление обеспечения информационной безопасности

<a id="p100210"></a>Техническое направление обеспечения ИБ включает в себя мероприятия и действия по:
<a id="p100211"></a>а) выполнению функциональных требований безопасности путем:
1) <a id="p100212"></a>определения функциональных мер безопасности,
2) <a id="p100213"></a>внедрения, осуществления эксплуатации и контроля за техническим обслуживанием механизмов обеспечения безопасности и средств защиты, реализующих меры обеспечения безопасности;
<a id="p100214"></a>б) реализации разрешительной системы допуска обслуживающего персонала к работам, документам и информации управления средствами связи;
<a id="p100215"></a>в) разграничению доступа обслуживающего персонала к информационным ресурсам, программным средствам обработки (передачи) и защиты информации в подсистемах различного уровня и назначения;
<a id="p100216"></a>г) учету активов, регистрации действий пользователей и обслуживающего персонала, контролю за несанкционированным доступом и действиями пользователей, обслуживающего персонала и посторонних лиц;
<a id="p100217"></a>д) предотвращению атак и внедрения в средства связи и автоматизированные системы программ-вирусов и программных закладок;
<a id="p100218"></a>е) применению СКЗИ (при необходимости) для защиты обрабатываемой информации.
<a id="p100219"></a>*Примечание.* В настоящем стандарте не рассматривается порядок использования СКЗИ, который регламентируется ФОИВ, уполномоченным в области обеспечения безопасности;

<a id="p100220"></a>ж) надежному хранению носителей информации, ключей (ключевой документации) и их обращению, исключающему хищение, подмену и уничтожение;
<a id="p100221"></a>и) резервированию технических средств, баз данных и носителей информации;
<a id="p100222"></a>к) оборудованию информационных систем, средств связи и СВТ устройствами защиты от сбоев электропитания и помех в линиях связи;
<a id="p100223"></a>л) постоянному обновлению технических и программных средств защиты от несанкционированного доступа к средствам связи и антивирусных средств в соответствии с меняющейся окружающей обстановкой.

<div align="center">

9. <a id="p100224"></a>Подтверждение соответствия сетей электросвязи

</div>

требованиям информационной безопасности

<a id="p100225"></a>9.1. Подтверждение соответствия сетей электросвязи (аттестация) требованиям ИБ носит добровольный характер.
<a id="p100226"></a>9.1.1. Добровольное подтверждение соответствия осуществляется по инициативе оператора связи в форме добровольной сертификации.
<a id="p100227"></a>9.1.2. Добровольное подтверждение соответствия может осуществляться для установления соответствия сети электросвязи требованиям к ИБ национальным стандартам, стандартам организаций, сводам правил, системам добровольной сертификации.
<a id="p100228"></a>9.2. Подтверждение соответствия предусматривает комплексную проверку (аттестационные испытания) сети электросвязи и обеспечивающей ее инфраструктуры - СОИБ положениям настоящего стандарта в реальных условиях эксплуатации.
<a id="p100229"></a>При аттестации сети электросвязи подтверждается ее соответствие требованиям безопасности, в том числе способность сети по:
- <a id="p100230"></a>защите от НСД к ней и передаваемой посредством нее информации;
- <a id="p100231"></a>противодействию влияния вредоносных программ на средства связи и информатизации;
- <a id="p100232"></a>обнаружению и противодействию атакам на средства связи и информатизации;
- <a id="p100233"></a>содержанию охраняемых и контролируемых зон.
<a id="p100234"></a>*Примечание.* Конкретные требования безопасности сетей электросвязи могут быть изложены в НПА ФОИВ, уполномоченного в области связи.

<a id="p100235"></a>9.3. Проверка соответствия сети электросвязи требованиям безопасности должна осуществляться специализированными сертификационными центрами или лабораториями по методикам, разработанным в системе добровольной сертификации ИБ сетей электросвязи.

<div align="center">

10. <a id="p100236"></a>Архитектура системы обеспечения

</div>

информационной безопасности


#### <a id="p100237"></a>10.1 Основные положения

<a id="p100238"></a>СОИБ является неотъемлемой частью любой сети связи, и ее архитектура не зависит от технологий, используемых при построении сети связи. СОИБ является предупредительной системой в отличие от ответной модели, осуществляющей обработку события после его происхождения. Процессы СОИБ должны работать до того, как случится непредвиденный инцидент безопасности.
<a id="p100239"></a>Архитектура СОИБ ССОП должна быть многоуровневой и включать в себя следующие функциональные структурные элементы: уровни ИБ, подсистемы ИБ, службы обеспечения ИБ различных организаций (операторов) связи, координируемые центральным органом СОИБ ССОП, который может быть образован ФОИВ, уполномоченным в области связи.

#### <a id="p100240"></a>10.2 Уровни системы обеспечения информационной безопасности

<a id="p100241"></a>Архитектура СОИБ может содержать следующие уровни ИБ, описание которых приведено в разделе 8 ГОСТ Р 52448:
- <a id="p100242"></a>управление ИБ;
- <a id="p100243"></a>организационно-административный;
- <a id="p100244"></a>безопасность инфокоммуникационной структуры;
- <a id="p100245"></a>безопасность услуг;
- <a id="p100246"></a>сетевая безопасность;
- <a id="p100247"></a>физическая безопасность.
<a id="p100248"></a>Оператор связи в целях обеспечения своей деятельности и достижения деловых целей может уточнять данные архитектурные компоненты, в частности, описанные уровни СОИБ могут быть объединены в три укрупненных уровня:
- <a id="p100249"></a>организационный;
- <a id="p100250"></a>организационно-технический;
- <a id="p100251"></a>технический.

#### <a id="p100252"></a>10.3 Подсистемы системы обеспечения информационной безопасности

<a id="p100253"></a>Разделение СОИБ на подсистемы носит условный характер и предназначено для объединения характерных мероприятий и действий по обеспечению ИБ в единую архитектурную компоненту. В общем случае в состав СОИБ могут входить следующие функциональные подсистемы:
- <a id="p100254"></a>аутентификации и авторизации;
- <a id="p100255"></a>контроля доступа и защиты от НСД;
- <a id="p100256"></a>регистрации событий ИБ и аудита;
- <a id="p100257"></a>управления;
- <a id="p100258"></a>резервирования.

##### <a id="p100259"></a>10.3.1 Подсистема "аутентификации и авторизации"

<a id="p100260"></a>Подсистема "аутентификации и авторизации" предназначается для централизованной аутентификации и авторизации доступа субъектов к программно-аппаратным средствам связи и системе управления.
<a id="p100261"></a>Основными функциями подсистемы "аутентификации и авторизации" являются:
- <a id="p100262"></a>предоставление обслуживающему персоналу систем и сетей связи возможности использования одной (или нескольких) учетной записи и пароля при доступе к средствам связи и серверам системы управления с использованием механизмов внешней аутентификации и авторизации;
- <a id="p100263"></a>централизованное хранение базы данных пользователей и их авторизационной информации с использованием механизмов внешней аутентификации и авторизации.
<a id="p100264"></a>Подсистема "аутентификации и авторизации" может быть реализована встроенными механизмами аутентификации и авторизации средств связи и информатизации и является одним из звеньев получения доступа к средствам связи, реализующим следующие логические процессы:
- <a id="p100265"></a>идентификацию пользователя, когда определяется имя учетной записи или логин;
- <a id="p100266"></a>аутентификацию - проверку подлинности того, что предъявитель имени учетной записи является лицом, чью учетную запись он предъявил в процессе идентификации;
- <a id="p100267"></a>авторизацию - процесс наделения правами доступа к оборудованию.
<a id="p100268"></a>В подсистеме "аутентификации и авторизации" допускается применение аутентификации разных уровней сложности:
<a id="p100269"></a>а) однофакторной аутентификации с использованием:
1) <a id="p100270"></a>пароля,
2) <a id="p100271"></a>пароля однократного действия;
<a id="p100272"></a>б) двухфакторной аутентификации с использованием:
1) <a id="p100273"></a>токенов,
2) <a id="p100274"></a>смарткарт,
3) <a id="p100275"></a>криптокарт,
4) <a id="p100276"></a>сертификатов;
<a id="p100277"></a>в) трехфакторной аутентификации с использованием биометрических методов.

##### <a id="p100278"></a>10.3.2 Подсистема "контроля доступа и защиты от НСД"

<a id="p100279"></a>Подсистема "контроля доступа и защиты от НСД" предназначена для:
- <a id="p100280"></a>разделения передаваемого трафика пользователей и системы управления;
- <a id="p100281"></a>обеспечения целостности маршрутной информации и информации о текущем времени;
- <a id="p100282"></a>защиты управляющего трафика и компонентов СОИБ;
- <a id="p100283"></a>разграничения доступа к системе управления сетью (сетями) электросвязи.
<a id="p100284"></a>Подсистема "контроля доступа и защиты от НСД" реализуется посредством средств сегментирования сети, межсетевого экранирования, организации криптографических туннелей и антивирусного контроля.

##### <a id="p100285"></a>10.3.3 Подсистема "регистрации событий ИБ и аудита"

<a id="p100286"></a>Подсистема "регистрации событий ИБ и аудита" предназначена для:
- <a id="p100287"></a>мониторинга сетевой активности и оповещения о событиях, связанных с ИБ на сетевом уровне;
- <a id="p100288"></a>мониторинга активности системного уровня (уровень ОС) и оповещения о событиях, связанных с ИБ на системном уровне;
- <a id="p100289"></a>консолидации информации об активности сетевого и системного уровней на централизованную консоль управления;
- <a id="p100290"></a>ведения журналов аудита событий ИБ;
- <a id="p100291"></a>регистрации действий персонала, управляющего средствами связи и компонентами СОИБ;
- <a id="p100292"></a>автоматизированного контроля защищенности объектов ИБ сети (сетей) электросвязи и компонентов СОИБ с целью выявления уязвимостей;
- <a id="p100293"></a>формирования отчетов по результатам анализа защищенности и рекомендаций по устранению выявленных уязвимостей;
- <a id="p100294"></a>автоматизированного анализа журналов аудита.
<a id="p100295"></a>Подсистема "регистрации событий ИБ и аудита" реализуется с использованием механизмов анализа журналов событий, анализа защищенности и обнаружения/предотвращения вторжений.

##### <a id="p100296"></a>10.3.4 Подсистема "управления СОИБ"

<a id="p100297"></a>Подсистема "управления СОИБ" предназначена для:
- <a id="p100298"></a>организации безопасного удаленного доступа к системе управления сетью (сетями) электросвязи;
- <a id="p100299"></a>осуществления централизованного управления и мониторинга компонентами СОИБ;
- <a id="p100300"></a>организации безопасного удаленного доступа к средствам связи для управления в случае отказов, следствием которых является невозможность управления оборудованием по основной схеме через технологическую сеть;
- <a id="p100301"></a>контроля выполнения требований НД.
<a id="p100302"></a>Подсистема "управления СОИБ" должна по возможности использовать штатные средства управления и мониторинга компонентов СОИБ.

##### <a id="p100303"></a>10.3.5 Подсистема "резервирования"

<a id="p100304"></a>Подсистема "резервирования" предназначается для:
- <a id="p100305"></a>дублирования основных компонентов СОИБ;
- <a id="p100306"></a>резервного копирования информации СОИБ и системы управления сетью электросвязи.
<a id="p100307"></a>Подсистема "резервирования" СОИБ должна обеспечивать бесперебойную работу механизмов обеспечения безопасности и надежное сохранение файлов регистрации событий ИБ.
<a id="p100308"></a>Подсистема "резервирования" реализуется:
- <a id="p100309"></a>за счет встроенных механизмов обеспечения надежности средств обеспечения ИБ;
- <a id="p100310"></a>на основании рекомендаций поставщиков механизмов обеспечения безопасности (средств защиты);
- <a id="p100311"></a>средствами резервного копирования информации.

#### <a id="p100312"></a>10.4 Механизмы обеспечения безопасности и средства защиты

<a id="p100313"></a>10.4.1. Выполнение функций, определенных для каждой подсистемы СОИБ, осуществляется с использованием конкретных механизмов обеспечения безопасности и средств защиты, реализующих функциональные меры обеспечения безопасности, определенные требованиями безопасности сетей электросвязи.
<a id="p100314"></a>10.4.2. По своему назначению и характеристикам механизмы обеспечения безопасности и средства защиты условно объединяются в классы, ориентировочный перечень которых с обозначением их использования в подсистемах СОИБ приведен в таблице 1.

<a id="p100315"></a>Таблица 1

<div align="center">

<a id="p100316"></a>Перечень классов механизмов обеспечения безопасности,<br>
средств защиты и их использование в подсистемах СОИБ

</div>



<table>
<colgroup><col width="35%"><col width="15%"><col width="15%"><col width="14%"><col width="10%"><col width="11%"></colgroup>
<tr><td rowspan="2"><a id="p100317"></a>Наименование классов механизмов обеспечения безопасности и средств защиты</td><td colspan="5"><a id="p100318"></a>Подсистемы СОИБ</td></tr>
<tr><td><a id="p100319"></a>Аутентификации и авторизации</td><td><a id="p100320"></a>Контроля доступа и защиты от НСД</td><td><a id="p100321"></a>Регистрации событий ИБ и аудита</td><td><a id="p100322"></a>Управления</td><td><a id="p100323"></a>Резервирования</td></tr>
<tr><td><a id="p100324"></a>1. Межсетевого экранирования и сегментирования сетей</td><td></td><td><a id="p100325"></a>+</td><td></td><td></td><td></td></tr>
<tr><td><a id="p100326"></a>2. Защиты от НСД</td><td></td><td><a id="p100327"></a>+</td><td></td><td></td><td></td></tr>
<tr><td><a id="p100328"></a>3. Криптографической защиты информации (СКЗИ)</td><td><a id="p100329"></a>+</td><td><a id="p100330"></a>+</td><td></td><td></td><td></td></tr>
<tr><td><a id="p100331"></a>4. Контроля доступа</td><td></td><td><a id="p100332"></a>+</td><td></td><td></td><td></td></tr>
<tr><td><a id="p100333"></a>5. Аутентификации</td><td><a id="p100334"></a>+</td><td></td><td></td><td></td><td></td></tr>
<tr><td><a id="p100335"></a>6. Обнаружения/предотвращения вторжений</td><td></td><td></td><td><a id="p100336"></a>+</td><td></td><td></td></tr>
<tr><td><a id="p100337"></a>7. Резервного копирования и архивирования</td><td></td><td></td><td></td><td></td><td><a id="p100338"></a>+</td></tr>
<tr><td><a id="p100339"></a>8. Централизованного управления ИБ</td><td></td><td></td><td></td><td><a id="p100340"></a>+</td><td></td></tr>
<tr><td><a id="p100341"></a>9. Аудита и мониторинга событий ИБ</td><td></td><td></td><td><a id="p100342"></a>+</td><td></td><td></td></tr>
<tr><td><a id="p100343"></a>10. Контроля деятельности сотрудников в Интернет</td><td></td><td></td><td><a id="p100344"></a>+</td><td></td><td></td></tr>
<tr><td><a id="p100345"></a>11. Анализа содержимого почтовых сообщений</td><td></td><td></td><td><a id="p100346"></a>+</td><td></td><td></td></tr>
<tr><td><a id="p100347"></a>12. Контроля защищенности</td><td></td><td></td><td><a id="p100348"></a>+</td><td></td><td></td></tr>
<tr><td><a id="p100349"></a>13. Защиты от спама</td><td></td><td><a id="p100350"></a>+</td><td></td><td></td><td></td></tr>
<tr><td><a id="p100351"></a>14. Защиты от атак класса "отказ в обслуживании"</td><td></td><td></td><td><a id="p100352"></a>+</td><td></td><td></td></tr>
<tr><td><a id="p100353"></a>15. Контроля целостности</td><td></td><td><a id="p100354"></a>+</td><td></td><td></td><td></td></tr>
<tr><td><a id="p100355"></a>16. Антивирусной защиты</td><td></td><td><a id="p100356"></a>+</td><td></td><td></td><td></td></tr>
<tr><td><a id="p100357"></a>17. Защиты от утечки по техническим каналам</td><td></td><td><a id="p100358"></a>+</td><td></td><td></td><td></td></tr>
</table>


11. <a id="p100359"></a>Система обеспечения информационной безопасности
как технологическая система сети связи общего пользования

<a id="p100360"></a>11.1. СОИБ является технологической системой ССОП наряду с другими технологическими системами (сигнализации, тактовой сетевой синхронизации, управления и административно-биллинговой). Взаимодействие СОИБ с этими системами приведено на рисунке 4.



<a id="p100362"></a>Рисунок 4. Взаимосвязь СОИБ
с технологическими системами ССОП


#### <a id="p100363"></a>11.2 Основными функциями СОИБ как технологической системы ССОП являются:

- <a id="p100364"></a>внедрение и контроль выполнения требований нормативной правовой базы в области обеспечения ИБ ССОП;
- <a id="p100365"></a>создание условий для реализации прав граждан и общественных объединений на деятельность в сфере информационного обмена;
- <a id="p100366"></a>определение и поддержание баланса между потребностью граждан, общества и государства в свободном обмене информацией и необходимыми ограничениями на распространение информации;
- <a id="p100367"></a>оценка состояния ИБ ССОП, выявление источников внутренних и внешних угроз безопасности, определение приоритетных направлений предотвращения, отражения и нейтрализации этих угроз.
<a id="p100368"></a>11.3. Одной из задач СОИБ является обеспечение безопасности технологических систем и, прежде всего, системы управления сетью (сетями) электросвязи, для чего СОИБ должна:
- <a id="p100369"></a>предусматривать надежную защиту всех типов инфокоммуникационных ресурсов сети (сетей) электросвязи;
- <a id="p100370"></a>учитывать специфику новых ИТ и интеграцию технологий безопасности между ИТ и сетевыми элементами;
- <a id="p100371"></a>использовать централизованное управление всеми механизмами обеспечения безопасности (средствами защиты) из единого центра;
- <a id="p100372"></a>обеспечивать ИБ мерами, соответствующими степени возможного нанесения потенциального ущерба в случае ВН;
- <a id="p100373"></a>использовать в составе СОИБ только сертифицированные механизмы обеспечения безопасности (средства защиты).
<a id="p100374"></a>11.4. Взаимосвязи между СОИБ и другими технологическими системами ССОП, приведенные на рисунке 4, подразумевают наличие в каждой технологической системе ССОП элементов подсистем обеспечения ИБ. Основными функциями данных подсистем должны быть:
<a id="p100375"></a>а) использование систем распределенного мониторинга и анализа общеканальной сигнализации N 7 в "системе сигнализации";
<a id="p100376"></a>б) недопущение несанкционированного вмешательства в работу "системы тактовой сетевой синхронизации";
<a id="p100377"></a>в) обеспечение изолированности и защищенности "системы управления" от внешних сетей связи и осуществление контроля над действиями в сети (сетях).
<a id="p100378"></a>Основной целью обеспечения ИБ в условиях ВН на сетевые ресурсы "системы управления" является сохранение следующих основных критериев ИБ:
- <a id="p100379"></a>конфиденциальность информации управления,
- <a id="p100380"></a>целостность информации управления,
- <a id="p100381"></a>доступность информации управления,
- <a id="p100382"></a>подотчетность участников (субъектов) управления;

<div align="center">

<a id="p100383"></a>г) в системе "административно-биллинговой":<br>
- <a id="p100384"></a>обеспечение безопасности персональных данных, сведений об абонентах и предоставляемых им услугах связи,

</div>

- <a id="p100385"></a>разработка политики борьбы с мошенничеством как со стороны внешних злоумышленников, так и со стороны собственного персонала,
- <a id="p100386"></a>развертывание на сети связи системы обнаружения мошенничества, направленной на защиту доходов оператора и мониторинг незапланированных потерь,
- <a id="p100387"></a>мониторинг деятельности и событий, связанных со счетами клиентов и с оплатами счетов.

12. <a id="p100388"></a>Документы, регулирующие обеспечение
информационной безопасности в организации связи

<a id="p100389"></a>12.1. Документы, регулирующие обеспечение ИБ в организации связи, представляют собой объединенную целевой направленностью упорядоченную совокупность требований, правил, процедур и инструкций на бумажных носителях и в электронном виде, определяющих и ограничивающих функциональность объектов и деятельность субъектов, принимающих участие в обеспечении ИБ.
<a id="p100390"></a>12.2. Настоящий стандарт не определяет конкретного перечня документов, разрабатываемых в организации связи. Состав документов определяется исходя из деловых целей организации, используемых технологий и оборудования, структуры и объема предоставляемых услуг связи. Настоящий стандарт предлагает только целевую направленность разрабатываемых документов.
<a id="p100391"></a>12.3. Документы, регулирующие ИБ в организации связи, разрабатываются с учетом положений общеобязательных правовых норм по ИБ (см. 8.1.1) и по своему функциональному назначению подразделяются на следующие основные классы:
- <a id="p100392"></a>организационно-распорядительные;
- <a id="p100393"></a>нормативно-технические;
- <a id="p100394"></a>информационные.
<a id="p100395"></a>Каждый из приведенных классов документов, в зависимости от характера и направленности изложения материалов, подразделяется на различные виды документов.
<a id="p100396"></a>12.4. ОРД определяют и регламентируют деятельность по планированию и осуществлению процессов обеспечения ИБ в организации связи.
<a id="p100397"></a>По характеру регламентируемых вопросов (решаемых задач) ОРД подразделяют на:
- <a id="p100398"></a>организационные документы;
- <a id="p100399"></a>распорядительные документы;
- <a id="p100400"></a>документы подтверждения соответствия.

##### <a id="p100401"></a>12.4.1 Организационные документы являются основополагающими документами в области обеспечения ИБ, они представляют:

- <a id="p100402"></a>детализацию положений и требований правовых документов;
- <a id="p100403"></a>систему взглядов и единый порядок обеспечения ИБ в организации связи;
- <a id="p100404"></a>функциональность службы ИБ и ее взаимосвязь с другими структурными подразделениями организации связи;
- <a id="p100405"></a>долговременные задачи, права, обязанности и меры ответственности в области обеспечения ИБ.
<a id="p100406"></a>К основным, рекомендуемым, организационным документам по ИБ относятся:
- <a id="p100407"></a>политика ИБ (концепция ИБ);
- <a id="p100408"></a>паспорт организации связи по ИБ;
- <a id="p100409"></a>план обеспечения ИБ организации связи;
- <a id="p100410"></a>положения;
- <a id="p100411"></a>инструкции.
<a id="p100412"></a>12.4.1.1. Политика ИБ является долговременным документом и представляет документированную систему взглядов, определяющих цели и направления деятельности субъектов в области обеспечения ИБ.
<a id="p100413"></a>Документ, представляющий политику ИБ организации связи, должен включать в себя общие положения, соответствующие требованиям, изложенным в ГОСТ Р ИСО/МЭК 17799.
<a id="p100414"></a>12.4.1.2. Наряду с политикой ИБ в организации связи может быть разработана концепция ИБ. В данном случае в концепции ИБ излагаются вопросы, не нашедшие раскрытия в политике ИБ, и перспективы совершенствования СОИБ, например, связанные с внедрением на сетях электросвязи новых технологий, и расширения спектра предоставляемых пользователям услуг связи.
<a id="p100415"></a>12.4.1.3. Паспорт организации связи по ИБ разрабатывается в соответствии с ГОСТ Р 53109.
<a id="p100416"></a>12.4.1.4. План обеспечения ИБ организации связи представляет ежегодно формируемый координационный документ, определяющий действия, требуемые для реализации мероприятий по обеспечению ИБ в соответствии с политикой ИБ организации связи.
<a id="p100417"></a>В плане обеспечения ИБ организации связи должно планироваться обеспечение всех систем, находящихся на эксплуатации в организации. При наличии выделенных систем или систем, требующих повышенного уровня безопасности, возможна разработка отдельных планов обеспечения ИБ для таких систем.
<a id="p100418"></a>12.4.1.5. Кроме основного плана ИБ, в организации связи могут разрабатываться планы по реализации конкретных мероприятий обеспечения ИБ.
<a id="p100419"></a>Примеры
1. <a id="p100420"></a>План реагирования на инциденты безопасности.
2. <a id="p100421"></a>План действий в ЧС.
3. <a id="p100422"></a>План и схема обеспечения охраны организации связи.
<a id="p100423"></a>12.4.1.6. Положения - документы, содержащие организационные указания по осуществлению конкретных направлений деятельности по обеспечению ИБ.
<a id="p100424"></a>Примеры
1. <a id="p100425"></a>Положение о службе ИБ.
2. <a id="p100426"></a>Положение о ПДК по ИБ.
<a id="p100427"></a>12.4.1.7. Инструкции - документы, содержащие указания и правила, устанавливающие порядок и способ выполнения или осуществления определенных действий.
<a id="p100428"></a>Примеры
1. <a id="p100429"></a>Инструкция по обеспечению антивирусной защиты.
2. <a id="p100430"></a>Инструкция администратору ИБ.
<a id="p100431"></a>12.4.2. Распорядительные документы - документы текущего управления, которые издаются во исполнение или в дополнение к организационным документам и устанавливают направления, методы (способы, приемы) организации работ по обеспечению ИБ в зависимости от возникающих конкретных задач управления и изменяющихся условий окружающей среды.
<a id="p100432"></a>Основными видами распорядительных документов по ИБ являются приказы, программы, перечни, решения, распоряжения, указания.

##### <a id="p100433"></a>12.4.3 К документам, подтверждающим соответствие продукции, работ и услуг в области ИБ, относятся:

<a id="p100434"></a>а) документы вышестоящих регулирующих органов:
1) <a id="p100435"></a>лицензии на право проведения работ со сведениями, составляющими государственную тайну;
2) <a id="p100436"></a>лицензии на право осуществления работ в области технической защиты информации;
3) <a id="p100437"></a>лицензии на право осуществления работ в области криптографической защиты информации;
4) <a id="p100438"></a>сертификаты соответствия средств ЗИ;
<a id="p100439"></a>б) внутренние документы организации связи.
<a id="p100440"></a>*Пример* - Акт категорирования сети электросвязи по требованиям ИБ.
<a id="p100441"></a>12.5. НД устанавливают единые требования, нормы и правила обеспечения ИБ, обязательные для исполнения в пределах установленной при их введении сферы действия и области распространения.

#### <a id="p100442"></a>12.6 Основными видами НД являются:

- <a id="p100443"></a>документы системы стандартизации Российской Федерации;
- <a id="p100444"></a>РД ФОИВ, уполномоченного в области технической защиты информации;
- <a id="p100445"></a>методики, методические указания, нормы и др. документы, разработанные ФОИВ, уполномоченными в областях связи, обеспечения безопасности и технической защиты информации;
- <a id="p100446"></a>документы организации связи, развивающие требования вышестоящих регулирующих органов и положения внутренних ОРД организации связи.

#### <a id="p100447"></a>12.7 К основным разрабатываемым в организации связи НД относятся:

- <a id="p100448"></a>стандарты организации связи;
- <a id="p100449"></a>модель угроз и нарушителя ИБ сети электросвязи;
- <a id="p100450"></a>руководства, процедуры, порядки, правила, рекомендации, перечни.
<a id="p100451"></a>12.8. Информационные документы служат для информационной поддержки решения процессов обеспечения и осуществления ИБ.
<a id="p100452"></a>По форме представления информационные документы могут быть следующих видов:
- <a id="p100453"></a>справочные документы (справочные пособия, исходные данные для анализа активов организации связи, угроз, уязвимостей и др.);

<div align="center">

- <a id="p100454"></a>отчетная научно-техническая документация;

</div>

- <a id="p100455"></a>научная и учебная литература;
- <a id="p100456"></a>документы делопроизводства (акты, бланки, базы данных, донесения, журналы учета и др.).
<a id="p100457"></a>12.9. НД и информационные документы, разрабатываемые в организации связи, должны быть согласованы с руководителями заинтересованных подразделений организации связи и утверждены/подписаны руководителем службы ИБ организации связи.
<a id="p100458"></a>12.10. Документация по обеспечению ИБ в организации связи должна периодически пересматриваться и обновляться по результатам оценки рисков, внешнего и внутреннего аудита ИБ, а также в связи с изменениями деловых целей и внедрения новых технологий и услуг связи.

13. <a id="p100459"></a>Служба информационной безопасности

<a id="p100460"></a>13.1. Создание СОИБ сети (сетей) электросвязи должно предусматривать формирование в организации связи организационно-штатной структуры (служба, отдел, подразделение, администратор ИБ), далее - служба ИБ организации связи, осуществляющей непосредственное выполнение мероприятий и действий по обеспечению ИБ сети электросвязи. Перечень основных выполняемых службой ИБ мероприятий приведен в подразделе 8.4 ГОСТ Р 52448.

#### <a id="p100461"></a>13.2 Организационно-правовой статус службы ИБ определяется:

- <a id="p100462"></a>достаточной численностью службы ИБ для выполнения всех функций, определяемых настоящим стандартом;
- <a id="p100463"></a>подчиненностью службы ИБ лицу, несущему персональную ответственность за обеспечение ИБ в организации связи;
- <a id="p100464"></a>отсутствием у персонала службы других обязанностей, не связанных с обеспечением ИБ сети связи;
- <a id="p100465"></a>профессиональной подготовкой сотрудников службы ИБ в области ИБ, подтвержденной дипломами и сертификатами;
- <a id="p100466"></a>правом доступа сотрудников службы ИБ во все помещения, где установлены средства связи и информационные системы организации, и правом прекращения обработки информации при наличии непосредственной угрозы для обрабатываемой информации;
- <a id="p100467"></a>предоставлением права руководителю службы ИБ запрещать включение в число действующих новых элементов средств связи, если они не отвечают требованиям ИБ, что может привести к серьезным последствиям в случае реализации угроз ИБ;
- <a id="p100468"></a>обеспечением условий для функционирования службы ИБ, необходимых для выполнения своих функций.

#### <a id="p100469"></a>13.3 Для решения задач, возложенных на службу ИБ, ее сотрудники должны иметь следующие права:

- <a id="p100470"></a>определять необходимость и разрабатывать документы, касающиеся вопросов обеспечения ИБ, включая документы, регламентирующие деятельность сотрудников других подразделений организации;
- <a id="p100471"></a>получать информацию от сотрудников других подразделений организации по вопросам применения и эксплуатации средств связи и информационных систем;
- <a id="p100472"></a>контролировать деятельность сотрудников других подразделений организации по вопросам обеспечения ИБ.

#### <a id="p100473"></a>13.4 Структурно служба ИБ может иметь следующий состав:

- <a id="p100474"></a>начальник службы ИБ;
- <a id="p100475"></a>подразделение развития СОИБ (реализует процессы управления рисками и управления изменениями, внедрения средств обеспечения ИБ, участвует в процессе управления инцидентами);
- <a id="p100476"></a>подразделение эксплуатации (реализует процессы эксплуатации средств обеспечения ИБ, управления инцидентами, участвует в процессе управления изменениями);
- <a id="p100477"></a>подразделение аудита (реализует процесс внутреннего аудита, участвует в процессе управления изменениями).

#### <a id="p100478"></a>13.5 В состав подразделений службы ИБ должны входить:

<a id="p100479"></a>а) специалисты, способные администрировать:
1) <a id="p100480"></a>средства защиты от НСД (выбор, установка, настройка, сопровождение, снятие средств защиты, просмотр журналов регистрации событий, оперативный контроль за работой пользователей и реагирование на события НСД и др.),
2) <a id="p100481"></a>СКЗИ (выбор, учет, выдача, установка, настройка, сопровождение, снятие СКЗИ, генерация и распределение ключей, обучение пользователей правилам применения и др.),
3) <a id="p100482"></a>средства сетевой безопасности и базы данных;
<a id="p100483"></a>б) аналитики, способные участвовать:
1) <a id="p100484"></a>в написании и экспертизе технической документации на сети связи (раздел системного проекта сети связи по ИБ),
2) <a id="p100485"></a>в разработке технических требований по вопросам обеспечения ИБ,
3) <a id="p100486"></a>в выборе методов и средств обеспечения ИБ (средств защиты),
4) <a id="p100487"></a>в испытаниях новых прикладных программ с целью проверки выполнения требований по обеспечению ИБ и др.;

<div align="center">

<a id="p100488"></a>в) специалисты в области защищенных сетей связи и безопасности электронных АТС и др.

</div>






<a id="p100489"></a>**БИБЛИОГРАФИЯ**


1. <a id="p100490"></a>Федеральный закон N 2446-I от 05.03.92 "О безопасности"
2. <a id="p100491"></a>Федеральный закон N 126-ФЗ от 07.07.2003 "О связи"
   <a id="p100492"></a>------------------------------------------------------------------


## Иллюстрации

![](https://i.bukva.ai/LS3EZrtA/img_0.png)

![](https://i.bukva.ai/LS3EZrtA/img_1.png)

![](https://i.bukva.ai/LS3EZrtA/img_2.png)

![](https://i.bukva.ai/LS3EZrtA/img_3.png)