Тендер №0118300018126000299: Оказание услуг по защите информации и аттестации по требованиям безопасности информации пользовательского сегмента информационных систем в составе 13-ти автоматизированных рабочих мест

СЗИ должно осуществлять:  защиту серверов и рабочих станций от НСД;  контроль входа пользователей в систему, в том числе с использованием дополнительных аппаратных средств защиты;  разграничение доступа пользователей к устройствам и контроль аппаратной конфигурации;  разграничение доступа пользователей к информации;  контроль утечек информации;  регистрацию событий безопасности и аудит;  паспортизацию используемого программного обеспечения. Требования к операционной платформе и аппаратной части:  СЗИ должно функционировать на следующих платформах (должны поддерживаться и 32-, и 64-разрядные платформы):  Windows 10;  Windows 8.1;  Windows 7 SP1;  Windows Server 2019;  Windows Server 2016  Windows Server 2012/2012 R2;  Windows Server 2008 R2 SP1.  Должна быть возможность установки СЗИ по произвольному пути.

Выявление и нейтрализация угроз на ранних стадиях. Анализ различных источников данных, включая системные журналы, сетевой трафик, поведенческие паттерны пользователей и процессов, а также информацию о известных уязвимостях и индикаторах компрометации.

Совместимость с СЗИ п.1 технического задания. Комплект поставки: 1. Установочный диск – не менее 1 шт. 2. Формуляр в печатном виде – не менее 1 шт. 3. Копия сертификата соответствия ФСТЭК России, подтверждающего соответствие требованиям следующих документов: «Требования по безопасности информации, устанавливающие уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий» (ФСТЭК России, 2020) – по 4 уровню доверия, «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» (Гостехкомиссия России, 1992) по 5 классу защищенности, «Требования к межсетевым экранам» (ФСТЭК России, 2016), «Профиль защиты межсетевых экранов типа «В» четвертого класса защиты. ИТ.МЭ.В4.ПЗ» (ФСТЭК России, 2016), «Требования к средствам контроля съемных машинных носителей информации» (ФСТЭК России, 2014), «Профиль защиты средств контроля подключения съемных машинных носителей информации четвертого класса защиты» ИТ.СКН.П4.ПЗ (ФСТЭК России, 2014).

Уровень «Расширенный» для СЗИ Secret Net Studio

Поиск уязвимостей, вызванных ошибками в приложениях, неверными настройками параметров безопасности, слабостью парольной защиты, несанкционированной установкой программного и аппаратного обеспечения, несвоевременной установкой критичных обновлений и нарушением принятых политик безопасности.

- верифицированный дистрибутив с программой на USB-носителе, промаркированный уникальным идентификатором; - лицензия на бумажном носителе; - формуляр на сертифицируемое САЗ; - копия сертификата ФСТЭК России на сертифицируемое САЗ; - руководства по установке, настройке и работе с САЗ.

Дистрибутив Формуляр

- Возможность монтажа в стойку 19” Rack 1U; - Возможность построения VPN, позволяющей обеспечить одно или несколько сетевых соединений (логическую сеть) поверх каналов связи сетей передачи данных (включая корпоративные сети и сеть связи общего пользования), использующих протоколы семейства TCP/IP с возможной реализацией: криптографической защитой данных, регистрацией информации о текущих IP-адресах и способах подключения к каналам связи узлов VPN, установление каналов связи между клиентами VPN в защищенных сетях и удаленными клиентами через межсетевые экраны и устройства NAT, маскирование защищенных сессий в TCP-трафик; - Возможность построения L2 VPN, позволяющей обеспечить одно или несколько сетевых соединений (логическую сеть), передаваемых по каналам связи сетей передачи данных, включая корпоративные сети и сеть связи общего пользования, использующих протоколы канального уровня модели ISO/OSI с возможностью реализации криптографической защиты данных (шифрование, аутентификацию, защиту от повторов и изменений), передаваемых по каналам VPN; - Реализация защиты локальной вычислительной сети от НСД средствами межсетевого экранирования путем осуществления контроля и фильтрации проходящих через сетевые интерфейсы ПАК информационных потоков данных в соответствии с заданными правилами; обеспечения сокрытия внутренней структуры локальных и вычислительных сетей путем использования трансляции IP-адресов и портов; обработки прикладных протоколов FTP, DNS, H.323, SCCP, SIP для всех видов трафика (защищенного, открытого и туннелируемого); проксирования HTTP-трафика;

Срок действия сертификата 12 месяцев

Установка, настройка средств защиты информации с выездом по месту нахождения заказчика

Установка, настройка средств защиты информации с выездом по месту нахождения заказчика

Установка, настройка, ПАК ViPNet Coordinator HW 1000 с выездом по месту нахождения заказчика

- Определить цели и зоны регулирования. Что именно нужно упорядочить: управление, кадры, ИТ, безопасность, закупки, документооборот и т. п. - Проведение аудита действующих документов. Выявить пробелы, дубли, устаревшие нормы. - Сформировать структуру пакета и иерархию. - Разработать проекты документов по единым шаблонам и правилам оформления (ГОСТ Р 7.0.97‑2016). - Согласовать проекты с заинтересованными подразделениями и юридической службой.

ТЗ на ИС содержит следующие обязательные разделы: - общие сведения; - цели и назначение создания автоматизированной системы; - характеристика объектов автоматизации; - требования к автоматизированной системе; - состав и содержание работ по созданию автоматизированной системы; - порядок разработки автоматизированной системы; - порядок контроля и приемки автоматизированной системы; - требования к составу и содержанию работ по подготовке объекта автоматизации к вводу автоматизированной системы в действие; - требования к документированию; - источники разработки. В ТЗ на ИС могут быть включены приложения. Примечание - В случае отсутствия требований по разделу, соответствующий раздел сохраняется, и в нем приводится запись об отсутствии требований. 1.1 В разделе «Общие сведения» указывают следующее:

В план работ входят: • Общие положения: цель и задачи аттестации, вид испытаний (первичные, периодические, внеочередные), объект аттестации и его назначение, нормативные документы, на соответствие которым проводится проверка. • Сведения об объекте испытаний: описание, состав, границы объекта, основные характеристики, перечень защищаемой информации или контролируемых параметров, схема размещения (при необходимости). • Состав аттестационной комиссии: роли и обязанности участников, распределение ответственности, контакты. • Перечень проверок и испытаний: список контрольных процедур с привязкой к требованиям нормативных документов (например, «проверка реализации меры ИАФ.1 по приказу ФСТЭК № 21»). • Сроки и этапы проведения: календарный план работ, длительность каждого этапа, контрольные точки и отчётность. • Условия проведения испытаний: требования к среде (стенд/реальные условия), доступу, исходным данным, ограничениям и допущениям. • Применяемые средства контроля и измерения: перечень оборудования, ПО, инструментов тестирования, сведения об их поверке/аттестации (если требуется). • Критерии принятия решений: чёткие правила, по которым фиксируется «соответствует/не соответствует» по каждому пункту • Порядок документирования результатов: требования к протоколам, форматам отчётов, подписям, хранению данных. • Меры безопасности и конфиденциальности: правила обращения с информацией, ограничения доступа, порядок реагирования на инциденты в ходе испытаний.

1. Общие сведения 1.1. Полное название работ: «Услуги по аттестации пользовательского сегмента информационной системы». 1.2. Основание для оказания услуг: Услуги по аттестации пользовательского сегмента информационной системы (далее - ИС) должны осуществляться с учетом требования следующих нормативных документов:  ГОСТ РО 0043-003-2012 «Аттестация объектов информатизации. Общие положения»;  ГОСТ РО 0043-004-2013 «Аттестация объектов информатизации. Программа и методики аттестационных испытаний»;  Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологий и о защите информации»;  Федеральный закон Российской Федерации от 27 июля 2006 года № 152-ФЗ «О персональных данных»;  Постановление Правительства России от 01 ноября 2012 года № 1119 «Требования к защите персональных данных при их обработке в информационных системах персональных данных»;  Постановление Правительства России от 06 июля 2015 г. № 676 «О требованиях к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем, и дальнейшего хранения содержащейся в их базах данных информации»;  Приказ ФСТЭК России от 29 апреля 2021 г. № 77 «Об утверждении порядка организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну»;  Приказ ФСТЭК России от 11 февраля 2013 года № 17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных системах»;  Приказ ФСТЭК России от 18 февраля 2013 года № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;  Методический документ «Состав и содержание мероприятий и мер по защите