Комплекс подсистем антивирусной защиты, управления доступом и анализа защищенности системы защиты персональных данных

ИСПОЛЬЗУЕМЫЕ СОКРАЩЕНИЯ

1.ОБЩИЕ СВЕДЕНИЯ

1.1Настоящее техническое задание (далее по тексту – Техническое задание) определяет требования к составу поставляемого оборудования и ПО в рамках комплекса подсистем антивирусной защиты, управления доступом и анализа защищенности ОАО «РТИ», а также к составу работ по созданию данных подсистем, порядку их контроля и приёмки.

1.2Наименование системы: «Комплекс подсистем антивирусной защиты, управления доступом и анализа защищенности Открытого акционерного общества «РТИ» (далее по тексту – Комплекс подсистем).

1.3Заказчик: Открытое акционерное общество «РТИ».

1.4Исполнитель: определяется по результатам конкурса.

1.5Перечень ДЗК Заказчика:

1.6Сроки проведения работ устанавливаются календарным планом, являющимся приложением к заключаемому договору между Заказчиком и Исполнителем.

1.7Настоящее техническое задание разработано в соответствии с требованиями следующих документов:

2.НАЗНАЧЕНИЕ И ЦЕЛИ СОЗДАНИЯ ПОДСИСТЕМЫ

2.1Назначением Комплекса подсистем является обеспечение безопасности персональных данных, обрабатываемой в ИСПДн ОАО «РТИ».

2.2Целью внедрения Комплекса подсистем является выполнение требований законодательства Российской Федерации к обеспечению безопасности ПДн при их обработке в ИСПДн и исключение несанкционированного доступа к ПДн, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение конфиденциальной информации, а также иные несанкционированные действия.

3.ХАРАКТЕРИСТИКИ ОБЪЕКТОВ ПРОВЕДЕНИЯ РАБОТ

3.1Компоненты подсистем должны быть расположены на следующих объектах:

4.ОБЩИЕ ТРЕБОВАНИЯ К ПОДСИСТЕМЕ

4.1Комплекс подсистем внедряется в соответствии с требованиями Технического задания на создание системы защиты персональных данных и Технического проекта по созданию системы защиты персональных данных.

4.2Комплекс подсистем состоит из:

• 
  подсистемы антивирусной защиты;
  
• 
  подсистемы управления доступом;
  
• 
  подсистемы анализа защищенности;
  
• 
  модуля управления.
  

4.3Подсистема антивирусной защиты реализуется на базе решения Kaspersky Endpoint Security для бизнеса – Стандартный.

4.4Подсистема антивирусной защиты состоит из:

• 
  консоли администрирования Kaspersky Security Center;
  
• 
  приложений подсистемы антивирусной для защиты на рабочих станций;
  
• 
  приложений подсистемы антивирусной для защиты на серверов;
  

4.5Подсистема антивирусной защиты должна обеспечивать:

• 
  антивирусную защиту компонентов ИСПДн;
  
• 
  обновление базы данных признаков вредоносных компьютерных программ (вирусов);
  
• 
  автоматическую активацию антивирусного ПО на АРМ и серверах
  
• 
  контроль оперативной памяти АРМ и серверов на наличие вирусной активности;
  
• 
  анализ информации, записываемой или считываемой при помощи жесткого диска или съемного носителя на наличие компьютерных вирусов.
  

4.6Средства антивирусной защиты, предназначенные для защиты серверов и АРМ, поставляются с действующим сертификатом ФСТЭК России на соответствие 4-му или выше классу средств антивирусной защиты. Сертифицированные пакеты дистрибутивов должны поставляться для каждой ДЗК.

4.7Подсистема управления доступом должна быть реализована на базе решения Dallas Lock.

4.8Подсистема управления доступом состоит из следующих компонент:

• 
  клиенты, установленные на АРМ и серверах, входящих в состав ИСПДн;
  
• 
  серверы безопасности Dallas Lock для комплекса DALLAS LOCK в каждом ДЗК на соответствующее количество клиентов.
  

4.9Подсистема управления доступом должна обеспечивать в том числе следующие функции:

• 
  идентификация и аутентификация пользователей, являющихся работниками оператора;
  
• 
  защита обратной связи при вводе аутентификационной информации;
  
• 
  ограничение неуспешных попыток входа в информационную систему (доступа к информационной системе);
  
• 
  блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу;
  
• 
  сбор, запись и хранение информации о событиях безопасности в течение установленного времени хранения.
  

4.10Средства защиты, на базе которых создаётся подсистема управления доступом, поставляются с действующим сертификатом ФСТЭК России на соответствие 4-му или выше уровню контроля отсутствия НДВ и 5-му или выше классу защищенности от НСД.

4.11Поставка средств защиты подсистемы управления доступом должна включать техническое сопровождение в течение 1 года (консультации по установке и эксплуатации системы, предоставление доступа к сертифицированным обновлениям по результатам инспекционного контроля).

4.12Подсистема анализа защищенности должна быть реализована на базе ПО XSpider.

4.13Подсистема анализа защищенности должна обеспечивать:

• 
  проведение сканирований на предмет выявления открытых портов на АРМ и серверах и определения установленных на них сервисов;
  
• 
  обнаружение известных уязвимостей ПО используемого в ИСПДн;
  
• 
  регулярное обновление баз данных уязвимостей;
  
• 
  обнаружение уязвимостей ИСПДн, возникающих в результате некорректной конфигурации ПО.
  

4.14Средства защиты, на базе которых создаётся подсистема анализа защищенности, поставляются с действующим сертификатом ФСТЭК России на соответствие 4-му или выше уровню контроля отсутствия НДВ.

4.15Модуль управления представляет собой сервер, на который должно быть установлено ПО обеспечивающее управление подсистемами антивирусной защиты (Kaspersky Security Center) и управления доступом (сервер безопасности Dallas Lock). Также на данном сервере устанавливается ПО XSpider подсистемы анализа защищенности.

4.16Серверы модуля управления поставляются Исполнителем. Серверы должны обладать характеристиками не ниже следующих:

• 
  Процессор: Intel Xeon E3-1270v2 3.1GHz/1600MHz/8MB;
  
• 
  Оперативная память: 4GB;
  
• 
  HDD: 1TB 7200 SATA;
  
• 
  Сетевой адаптер: серверный сетевой адаптер с двумя портами
  10/100/1000 Мбит/с.
  

4.17Компоненты подсистем антивирусной защиты и управления доступом должны быть установлены на следующем количестве АРМ и серверов:

4.18Компоненты подсистемы анализа защищенности должны обеспечивать контроль следующего количества узлов сети:

4.19Серверы модулей управления должны быть установлены на следующих площадках:

5.СОСТАВ И СОДЕРЖАНИЕ РАБОТ ПО ВНЕДРЕНИЮ СИСТЕМЫ

5.1Для целей реализации проекта по созданию Комплекса подсистем необходимо выполнить следующий комплекс работ:

• 
  разработка и согласование с Заказчиком комплектов Рабочей документации;
  
• 
  разработка программы и методики испытаний компонентов подсистем;
  
• 
  поставка оборудования и ПО;
  
• 
  монтажные и пуско-наладочные работы Комплекса подсистем;
  
• 
  приемочные испытания Комплекса подсистем;
  
• 
  запуск в промышленную эксплуатацию;
  
• 
  разработка комплекта эксплуатационной документации.
  

5.2Рабочая документация разрабатывается для каждой ДЗК, входящей в область проекта в соответствии с п. 3.1. Рабочая документация состоит из:

• 
  схемы соединений оборудования;
  
• 
  схемы размещения оборудования в монтажных шкафах;
  
• 
  схемы электропитания и заземления оборудования.
  

5.3Программа и методика испытаний разрабатывается в соответствии с Техническим заданием на создание системы защиты персональных данных и Техническим проектом по созданию системы защиты персональных данных.

5.4ПМИ должна определять:

• 
  порядок проведения испытаний Комплекса подсистем и их ввода в эксплуатацию;
  
• 
  методики испытаний в составе ПМИ определяют проверки соответствия подсистем и их компонентов требованиям Технического задания на создание системы защиты персональных данных.
  

5.5ПМИ должна предусматривать проведение приёмочных испытаний подсистем.

5.6Поставка оборудования и ПО осуществляется в соответствии с требованиями п.п. 4.17 - 4.19.

5.7Сроки поставки оборудования и ПО устанавливаются в заключаемом договоре между Заказчиком и Исполнителем.

5.8Монтажные и пуско-наладочные работы по созданию Комплекса подсистем осуществляются Исполнителем на всех объектах, указанных в п. 3.1 настоящего Технического задания, в соответствии с Техническим проектом по созданию системы защиты персональных данных и документацией (требованиями) производителей СЗИ.

5.9Комплект разрабатываемой эксплуатационной документации для подсистем должен включать в себя следующие документы:

• 
  инструкция администратора;
  
• 
  инструкция пользователя;
  
• 
  инструкция о порядке технического обслуживания, ремонта, модернизации технических средств, входящих в состав подсистемы.
  

5.10Комплект эксплуатационной документации разрабатывается для каждой ДЗК и для каждой из подсистем.

5.11После проведения монтажных и пуско-наладочных работ по созданию Комплекса подсистем и разработки комплектов эксплуатационной документации проводятся испытания подсистем в соответствии с ПМИ.

5.12По результатам проведения испытаний подсистем оформляется протокол испытаний Комплекса подсистем и акт приёмки Комплекса подсистем в промышленную эксплуатацию.

6.УСЛОВИЯ И СОДЕРЖАНИЕ ПОСТАВКИ

6.1На этапе подачи конкурсных заявок Исполнитель должен предоставить спецификацию поставляемых средств защиты информации.

6.2Исполнитель должен выполнить поставку средств защиты информации согласно предоставленной спецификации, не поздней, чем за 40 (сорок) рабочих дней с момента заключения договора между Заказчиком и Исполнителем.

6.3Исполнитель должен выполнить поставку оборудования по адресам Заказчика согласно п. 3.1.

7.ИСХОДНЫЕ ДАННЫЕ ДЛЯ ВЫПОЛНЕНИЯ РАБОТ

7.1Для выполнения работ по настоящему Техническому заданию Заказчик должен предоставить Исполнителю исходные данные по ДЗК в объёме, необходимом для выполнения работ, в частности:

• 
  Техническое задание на создание системы защиты персональных данных;
  
• 
  Технический проект по созданию системы защиты персональных данных;
  
• 
  сведения об IP-адресации и маршрутизации в сети;
  
• 
  информацию по существующему активному сетевому оборудованию, его расположению, интерфейсам, количеству каналов связи, пропускной способности каналов связи, конфигурации;
  
• 
  схемы сети на физическом и логическом уровнях;
  
• 
  информацию по существующим сетям электропитания и заземления, точкам подключения оборудования, запасам по мощности в точках подключения, характеристикам заземления;
  
• 
  информацию по существующим серверам и рабочим станциям, составу их аппаратного и программного обеспечения;
  
• 
  внутренние организационно-распорядительные документы в области информационных технологий, обеспечения информационной безопасности и обработки персональных данных;
  
• 
  информацию о штатной структуре;
  
• 
  планы помещений, в которых установлено или должно быть установлено оборудование, используемое в рамках Подсистемы;
  
• 
  схемы расположения оборудования в шкафах;
  
• 
  иные данные, необходимые для выполнения работ по настоящему Техническому заданию.
  

7.2Форма предоставления исходных данных согласуется представителями Заказчика и Исполнителя в рабочем порядке в процессе выполнения работ.

8. ТРЕБОВАНИЯ К ОРГАНИЗАЦИИ РАБОТ И УСЛОВИЯМ ВЫПОЛНЕНИЯ РАБОТ

8.1При производстве работ Заказчик выполняет следующие организационные мероприятия:

• 
  осуществляет контроль за выполнением работ;
  
• 
  назначает ответственных лиц за организацию работ;
  
• 
  предоставляет необходимые исходные данные для выполнения работ;
  
• 
  предоставляет место для размещения оборудования в монтажных шкафах/стойках, подводит сети электропитания и связи к местам установки оборудования;
  
• 
  рассматривает и согласовывает (утверждает) разрабатываемые Исполнителем документы;
  
• 
  обеспечивает доступ представителей Исполнителя на объекты для получения необходимой информации, а также для монтажа, выполнения пусконаладочных работ и испытаний Комплекса подсистем;
  
• 
  формирует комиссии для проведения испытаний и сдачи/приемки Комплекса подсистем в эксплуатацию;
  
• 
  обязуется выполнять правила и условия эксплуатации компонентов Комплекса подсистем.
  

8.2Необходимыми условиями для начала работ по монтажу и настройке компонентов Комплекса подсистем являются:

• 
  согласование Заказчиком Рабочей документации и ПМИ;
  
• 
  наличие на объектах Заказчика и ДЗК оборудования и ПО, предусмотренного Техническим проектом по созданию системы защиты персональных данных и настоящим Техническим заданием;
  
• 
  наличие на объектах Заказчика и ДЗК необходимых материалов для монтажа оборудования;
  
• 
  выполнение Заказчиком и ДЗК требований к помещениям, электропитанию, заземлению и другим обеспечивающим системам, определённым Техническим проектом по созданию системы защиты персональных данных, Рабочей документацией и производителем устанавливаемого оборудования;
  
• 
  выполнение Заказчиком и ДЗК требований Технического проекта по созданию системы защиты персональных данных, Рабочей документации и производителей оборудования и ПО в части систем, смежных (сопрягаемых) с Комплексом подсистем;
  
• 
  предоставление защищенного удаленного доступа через Интернет специалистам Исполнителя к компонентам Комплекса подсистем;
  
• 
  предоставление Заказчиком регламента проведения монтажных и пуско-наладочных работ с указанием разрешенного периода простоя существующего оборудования, разрешенного времени выполнения работ.
  

9.ТРЕБОВАНИЯ К ДОКУМЕНТИРОВАНИЮ

9.1По результатам работ, Исполнителем представляются Заказчику следующие отчетные документы:

• 
  Комплект Рабочей документации для каждой ДЗК в составе определенном в п. 5.2;
  
• 
  Программа и методика испытаний;
  
• 
  Комплект Эксплуатационной документации для каждой из подсистем каждой ДЗК в составе определенном в п. 5.9.
  

9.2Формы документов, необходимых для выполнения и сдачи/приёмки работ, разрабатываются совместно Исполнителем и Заказчиком в рабочем порядке в процессе выполнения работ по настоящему Техническому заданию.

9.3Отчетные документы предъявляются Заказчику в двух экземплярах на бумаге и в одном экземпляре в электронном виде на CD-ROM (DVD-ROM).

9.4Электронные версии документов передаются Заказчику в формате PDF.

10.ТРЕБОВАНИЯ К ИСПОЛНИТЕЛЮ

10.1Исполнитель должен обладать следующими действующими лицензиями:

• 
  лицензия ФСТЭК на деятельность по технической защите конфиденциальной информации;
  
• 
  лицензия ФСТЭК на проведение работ, связанных с созданием средств защиты информации;
  
• 
  лицензия ФСБ России на осуществление разработки и (или) производства средств защиты конфиденциальной информации.
  

10.2Исполнитель должен иметь опыт выполнения комплексных проектов по обеспечению информационной безопасности для распределённых вычислительных сетей организаций федерального уровня.

10.3Исполнитель должен иметь сертификат соответствия системы менеджмента качества требованиям ГОСТ ISO 9001-2011 (применительно к проектированию, разработке, производству, монтажу и обслуживанию информационных сетей, систем и комплексов).

10.4Исполнитель должен иметь сертификат, подтверждающий наличие внедренной системы управления информационной безопасностью в соответствии с международным стандартом ISO/IEC 27001:2005 Information technology - Security techniques - Information security management systems - Requirements.

10.5Срок деятельности Исполнителя в области оказания услуг по информационной безопасности должен быть не менее 5 лет.

11.ПОРЯДОК КОНТРОЛЯ И ПРИЁМКИ РАБОТ

11.1Исполнитель предоставляет Заказчику на согласование отчетные документы в соответствии с п. 9.1 настоящего Технического задания. Заказчик выдаёт замечания, которые Исполнитель обязан устранить.

11.2В случае наличия замечаний к представленным Заказчику отчетным документам или к выполненным Исполнителем работам, Заказчик должен письменно уведомить Исполнителя о наличии и содержании замечаний в течение 10-ти (десяти) рабочих дней. Замечания должны быть представлены Исполнителю в форме ведомости, оформленной в виде отдельного документа. Форма ведомости определяется в рабочем порядке. Иные формы предоставления замечаний не рассматриваются. В случае не предоставления Заказчиком замечаний в течение указанного периода, обязательства Исполнителя перед Заказчиком считаются выполненными.

12.ПОРЯДОК ОПЛАТЫ РАБОТ

12.1Оплата работ производится в следующем порядке: