03.04.2018
Основанием для выполнения работ по расширению функциональных возможностей Системы являются:
- Государственная программа города Москвы «Информационный город», утвержденная Постановлением Правительства Москвы от 09.08.2011 № 349-ПП;
- Распоряжение Департамента информационных технологий города Москвы от 28.06.2017 № 64-16-266/17 «О вводе в промышленную эксплуатацию системы удаленного управления мобильными устройствами».
Пользователями Системы могут быть:
- сотрудники следующих организаций (далее – сотрудники Ведомств):
- Департамент образования города Москвы;
- Государственная жилищная инспекция города Москвы;
- Объединение административно-технических инспекций;
- Департамент природопользования и охраны окружающей среды;
- Департамент средств массовой информации и рекламы города Москвы;
- Комитет государственного строительного надзора города Москвы;
- Государственная инспекция по контролю за использованием объектов недвижимости города Москвы;
- Департамент торговли и услуг города Москвы;
- Управление ГИБДД ГУ МВД России по городу Москве;
- Московская административная дорожная инспекция;
- Департамент по делам гражданской обороны, чрезвычайным ситуациям и пожарной безопасности города Москвы;
- Департамент капитального ремонта города Москвы.
- ученики образовательных организаций города Москвы, использующие пользовательские устройства (далее – ПУ).
Категории пользователей Системы:
- администраторы организаций;
- мобильные клиенты.
Администраторами организаций являются сотрудники Ведомств, в обязанности которых входят настройка параметров, связанных с загрузкой, установкой и обновлением программного обеспечения на ПУ, мониторингом ПУ и управлением настройками ПУ.
Мобильными клиентами являются сотрудники Ведомств и ученики образовательных организаций города Москвы, использующие ПУ.
Основным назначением СУУМУ является автоматизация следующих процессов:
- процесс загрузки, установки и обновления ПО на ПУ;
- процесс управления настройками ПУ;
- процесс определения местонахождения ПУ;
- процесс защиты ПУ от несанкционированного доступа.
Целями выполнения работ по расширению функциональных возможностей Системы являются:
- повышение эффективности технологических процессов, связанных с настройками ПУ и мониторингом его местонахождения;
- обеспечение необходимого уровня защиты ПУ от несанкционированного доступа.
Для достижения целей в рамках работ требуется решить следующие задачи:
- настройка интервала отправки информации о местоположении ПУ;
- ведение истории местонахождения ПУ;
- отображение маршрута перемещения ПУ на карте;
- отображение местонахождения ПУ организации на единой карте в режиме on-line;
- фиксация израсходованного приложениями мобильного трафика;
- мониторинг доступности мобильной сети передачи данных на ПУ;
- оповещение администраторов организаций о проблемах доступа к мобильной сети передачи данных на ПУ;
- отправка файлов на ПУ.
- создание и редактирование разрешенных зон для ПУ;
- назначение ПУ разрешенных зон;
- настройка действия Системы на выход ПУ из разрешенной зоны;
- настройка действия Системы на извлечение/замену SIM-карты.
- формирование отчетов.
Система взаимодействует с автоматизированной информационной системой «Система управления доступом к информационным системам и ресурсам города Москвы».
Разработанные в рамках государственного контракта от 27.11.2015 № 6401/15-2267 интеграционные механизмы позволяют осуществлять авторизацию и идентификацию пользователей (администраторов организаций), в том числе с использованием возможностей СУДИР.
СУУМУ реализована по принципу разбиения на функциональные подсистемы. Подсистемы разделены на модули. Функциональное деление производится с учетом основных задач, решаемых подсистемами (модулями), и технических решений, положенных в основу их работы.
В состав СУУМУ входят следующие подсистемы с модулями:
- Подсистема управления:
- Модуль управления пользователями и организациями;
- Модуль управления устройствами;
- Модуль управления обновлениями;
- Модуль управления настройками безопасности;
- Модуль планирования мероприятий;
- Модуль взаимодействия;
- Подсистема загрузки:
- Модуль первичной загрузки Системы;
- Модуль загрузки ПО и обновлений;
- Подсистема установки:
- Модуль первичной установки Системы;
- Модуль установки ПО и обновлений.
В настоящее время массовой областью применения Системы является управление ПУ, используемыми сотрудниками Ведомств и учениками образовательных организаций города Москвы.
В целях обеспечения удобства управления ПУ требуется реализация возможностей углубленной настройки средств управления и мониторинга ПУ, что позволит снизить трудозатраты сотрудников Ведомств при использовании и обслуживании данных устройств. Кроме того, требуется реализация мероприятий по обеспечению необходимого уровня защиты ПУ от несанкционированного доступа.
В рамках настоящего Технического задания будет произведено:
- расширение функциональных возможностей Системы;
- выполнение мероприятий, направленных на обеспечение необходимого уровня защиты ПУ от несанкционированного доступа при помощи СЗИ, созданных в рамках выполнения работ по настоящему Техническому заданию.
В соответствии с РД 50-680–88 при расширении функциональных возможностей Системы необходимо руководствоваться принципами системности, развития (открытости), совместимости, стандартизации (унификации) и эффективности.
1) Принцип системности
Должны быть установлены такие связи между структурными элементами Системы и ее приложениями, которые обеспечивают цельность Системы и ее взаимодействие с другими системами.
2) Принцип развития (открытости)
Система приложений должна быть способна к интеграции в свою среду новых приложений, расширения функций уже имеющихся. Система должна обеспечивать возможность интеграции с внешними ИС. В Системе должны применяться общепринятые стандарты на правила передачи (протоколы, интерфейсы) и хранения информации.
3) Принцип совместимости
Должны быть реализованы информационные интерфейсы, благодаря которым Система должна взаимодействовать с другими системами в соответствии с установленными правилами.
4) Принцип стандартизации (унификации)
Должны быть рационально применены типовые, унифицированные и стандартизованные элементы, проектные решения, пакеты прикладных программ, комплексы, компоненты.
5) Принцип эффективности
Должно быть достигнуто рациональное соотношение между затратами на расширение функциональных возможностей Системы и целевыми эффектами, включая конечные результаты, получаемые в результате автоматизации.
Требования к созданию СЗИ СУУМУ.
Принятие решения о создании СЗИ СУУМУ.
Для принятия решения о составе функций СЗИ СУММУ следует провести следующие работы:
- анализ целей расширения функциональных возможностей Системы и задач, решаемых Системой;
- анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать Система;
- уточнение информации, подлежащей обработке в Системе;
- оценка соответствия документации на Систему, состава Системы и технологий обработки информации актуальным требованиям о защите информации, содержащейся в Системе;
- принятие решения о необходимости создания СЗИ СУУМУ, а также определение целей и задач защиты информации в Системе.
Результаты работ должны быть оформлены в виде документа «Аналитическое обоснование необходимости создания СЗИ Системы». Требования к структуре документа «Аналитическое обоснование необходимости создания СЗИ Системы» приведены в разделе 8 настоящего Технического задания.
Классификация СУУМУ.
Должна быть проведена актуализация классификации СУУМУ с учетом значимости, обрабатываемой в ней информации и масштаба СУУМУ (федеральный, региональный, объектовый) в соответствии с Приказом ФСТЭК России от 11.02.2013 № 17 (в актуальной на момент выполнения работ по настоящему Техническому заданию редакции).
Класс защищенности должен быть оформлен в виде проекта Акта классификации Системы.
Моделирование угроз и нарушителя безопасности информации.
Должна быть актуализирована «Модель угроз и нарушителя безопасности информации Системы» с учетом изменений в нормативных документах ФСТЭК России (в связи с изменениями в Приказе ФСТЭК России от 11.02.2013 № 17 (в актуальной на момент выполнения работ по настоящему Техническому заданию редакции).
При этом угрозы безопасности информации должны быть определены для существующих и расширяемых функционально подсистем СУУМУ по результатам оценки возможностей (потенциала, оснащенности и мотивации) внешних и внутренних нарушителей, анализа возможных уязвимостей Системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации (конфиденциальности, целостности, доступности).
Для определения угроз безопасности информации и актуализации модели угроз безопасности информации должны применяться методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16.08.2004 № 1085, и актуальные на момент выполнения работ по настоящему Техническому заданию редакции нормативно-правовых и правовых актов в области защиты персональных данных.
Необходимо провести выбор класса СКЗИ, которые должны применяться для нейтрализации атак с учетом возможностей потенциального злоумышленника согласно требованиям Приказа Федеральной службы безопасности Российской Федерации
от 10.07.2014 № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в ИС персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности».
Результаты работ должны быть оформлены в виде документа «Модель угроз и нарушителя безопасности информации Системы».
Оформление требований к СЗИ СУУМУ.
Требования к созданию СЗИ СУУМУ должны быть определены на основании:
- класса защищенности СУУМУ, определенного проектом Акта классификации Системы;
- угроз безопасности информации, определенных в документе «Модель угроз и нарушителя безопасности информации Системы»;
- уровня нарушителя безопасности информации, определенного в документе «Модель угроз и нарушителя безопасности информации Системы».
Требования к СЗИ СУУМУ должны быть оформлены в виде документа «ЧТЗ на создание СЗИ Системы», которое в том числе должно в себе содержать требования к разработке или доработке встроенных функций защиты информации СУУМУ. Требования к структуре документа «ЧТЗ на создание СЗИ Системы» приведены в разделе 8 настоящего Технического задания.
Встроенные функции защиты информации должны входить в состав подсистемы управления и подсистемы ПУ. Требования к встроенным функциям защиты информации СУУМУ должны быть приведены Исполнителем в ЧТЗ.
Требования к встроенным функциям защиты информации СУУМУ, должны быть также дополнительно описаны в документе «Проект ТУ», на основе которого будет проводиться сертификация комплекса средств защиты информации Системы в системе сертификации ФСТЭК России (сертификация не входит в перечень работ в рамках данного Технического задания). Требования к структуре документа «Проект ТУ» приведены в разделе 8 настоящего Технического задания.
ООО "Легион ПРО" выполняет работы по расширению функциональных возможностей системы удаленного управления мобильными устройствами по заказу Департамента информационных технологий города Москвы
Основанием для выполнения работ по расширению функциональных возможностей Системы являются:
- Государственная программа города Москвы «Информационный город», утвержденная Постановлением Правительства Москвы от 09.08.2011 № 349-ПП;
- Распоряжение Департамента информационных технологий города Москвы от 28.06.2017 № 64-16-266/17 «О вводе в промышленную эксплуатацию системы удаленного управления мобильными устройствами».
Пользователями Системы могут быть:
- сотрудники следующих организаций (далее – сотрудники Ведомств):
- Департамент образования города Москвы;
- Государственная жилищная инспекция города Москвы;
- Объединение административно-технических инспекций;
- Департамент природопользования и охраны окружающей среды;
- Департамент средств массовой информации и рекламы города Москвы;
- Комитет государственного строительного надзора города Москвы;
- Государственная инспекция по контролю за использованием объектов недвижимости города Москвы;
- Департамент торговли и услуг города Москвы;
- Управление ГИБДД ГУ МВД России по городу Москве;
- Московская административная дорожная инспекция;
- Департамент по делам гражданской обороны, чрезвычайным ситуациям и пожарной безопасности города Москвы;
- Департамент капитального ремонта города Москвы.
- ученики образовательных организаций города Москвы, использующие пользовательские устройства (далее – ПУ).
Категории пользователей Системы:
- администраторы организаций;
- мобильные клиенты.
Администраторами организаций являются сотрудники Ведомств, в обязанности которых входят настройка параметров, связанных с загрузкой, установкой и обновлением программного обеспечения на ПУ, мониторингом ПУ и управлением настройками ПУ.
Мобильными клиентами являются сотрудники Ведомств и ученики образовательных организаций города Москвы, использующие ПУ.
Основным назначением СУУМУ является автоматизация следующих процессов:
- процесс загрузки, установки и обновления ПО на ПУ;
- процесс управления настройками ПУ;
- процесс определения местонахождения ПУ;
- процесс защиты ПУ от несанкционированного доступа.
Целями выполнения работ по расширению функциональных возможностей Системы являются:
- повышение эффективности технологических процессов, связанных с настройками ПУ и мониторингом его местонахождения;
- обеспечение необходимого уровня защиты ПУ от несанкционированного доступа.
Для достижения целей в рамках работ требуется решить следующие задачи:
- настройка интервала отправки информации о местоположении ПУ;
- ведение истории местонахождения ПУ;
- отображение маршрута перемещения ПУ на карте;
- отображение местонахождения ПУ организации на единой карте в режиме on-line;
- фиксация израсходованного приложениями мобильного трафика;
- мониторинг доступности мобильной сети передачи данных на ПУ;
- оповещение администраторов организаций о проблемах доступа к мобильной сети передачи данных на ПУ;
- отправка файлов на ПУ.
- создание и редактирование разрешенных зон для ПУ;
- назначение ПУ разрешенных зон;
- настройка действия Системы на выход ПУ из разрешенной зоны;
- настройка действия Системы на извлечение/замену SIM-карты.
- формирование отчетов.
Система взаимодействует с автоматизированной информационной системой «Система управления доступом к информационным системам и ресурсам города Москвы».
Разработанные в рамках государственного контракта от 27.11.2015 № 6401/15-2267 интеграционные механизмы позволяют осуществлять авторизацию и идентификацию пользователей (администраторов организаций), в том числе с использованием возможностей СУДИР.
СУУМУ реализована по принципу разбиения на функциональные подсистемы. Подсистемы разделены на модули. Функциональное деление производится с учетом основных задач, решаемых подсистемами (модулями), и технических решений, положенных в основу их работы.
В состав СУУМУ входят следующие подсистемы с модулями:
- Подсистема управления:
- Модуль управления пользователями и организациями;
- Модуль управления устройствами;
- Модуль управления обновлениями;
- Модуль управления настройками безопасности;
- Модуль планирования мероприятий;
- Модуль взаимодействия;
- Подсистема загрузки:
- Модуль первичной загрузки Системы;
- Модуль загрузки ПО и обновлений;
- Подсистема установки:
- Модуль первичной установки Системы;
- Модуль установки ПО и обновлений.
В настоящее время массовой областью применения Системы является управление ПУ, используемыми сотрудниками Ведомств и учениками образовательных организаций города Москвы.
В целях обеспечения удобства управления ПУ требуется реализация возможностей углубленной настройки средств управления и мониторинга ПУ, что позволит снизить трудозатраты сотрудников Ведомств при использовании и обслуживании данных устройств. Кроме того, требуется реализация мероприятий по обеспечению необходимого уровня защиты ПУ от несанкционированного доступа.
В рамках настоящего Технического задания будет произведено:
- расширение функциональных возможностей Системы;
- выполнение мероприятий, направленных на обеспечение необходимого уровня защиты ПУ от несанкционированного доступа при помощи СЗИ, созданных в рамках выполнения работ по настоящему Техническому заданию.
В соответствии с РД 50-680–88 при расширении функциональных возможностей Системы необходимо руководствоваться принципами системности, развития (открытости), совместимости, стандартизации (унификации) и эффективности.
1) Принцип системности
Должны быть установлены такие связи между структурными элементами Системы и ее приложениями, которые обеспечивают цельность Системы и ее взаимодействие с другими системами.
2) Принцип развития (открытости)
Система приложений должна быть способна к интеграции в свою среду новых приложений, расширения функций уже имеющихся. Система должна обеспечивать возможность интеграции с внешними ИС. В Системе должны применяться общепринятые стандарты на правила передачи (протоколы, интерфейсы) и хранения информации.
3) Принцип совместимости
Должны быть реализованы информационные интерфейсы, благодаря которым Система должна взаимодействовать с другими системами в соответствии с установленными правилами.
4) Принцип стандартизации (унификации)
Должны быть рационально применены типовые, унифицированные и стандартизованные элементы, проектные решения, пакеты прикладных программ, комплексы, компоненты.
5) Принцип эффективности
Должно быть достигнуто рациональное соотношение между затратами на расширение функциональных возможностей Системы и целевыми эффектами, включая конечные результаты, получаемые в результате автоматизации.
Требования к созданию СЗИ СУУМУ.
Принятие решения о создании СЗИ СУУМУ.
Для принятия решения о составе функций СЗИ СУММУ следует провести следующие работы:
- анализ целей расширения функциональных возможностей Системы и задач, решаемых Системой;
- анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать Система;
- уточнение информации, подлежащей обработке в Системе;
- оценка соответствия документации на Систему, состава Системы и технологий обработки информации актуальным требованиям о защите информации, содержащейся в Системе;
- принятие решения о необходимости создания СЗИ СУУМУ, а также определение целей и задач защиты информации в Системе.
Результаты работ должны быть оформлены в виде документа «Аналитическое обоснование необходимости создания СЗИ Системы». Требования к структуре документа «Аналитическое обоснование необходимости создания СЗИ Системы» приведены в разделе 8 настоящего Технического задания.
Классификация СУУМУ.
Должна быть проведена актуализация классификации СУУМУ с учетом значимости, обрабатываемой в ней информации и масштаба СУУМУ (федеральный, региональный, объектовый) в соответствии с Приказом ФСТЭК России от 11.02.2013 № 17 (в актуальной на момент выполнения работ по настоящему Техническому заданию редакции).
Класс защищенности должен быть оформлен в виде проекта Акта классификации Системы.
Моделирование угроз и нарушителя безопасности информации.
Должна быть актуализирована «Модель угроз и нарушителя безопасности информации Системы» с учетом изменений в нормативных документах ФСТЭК России (в связи с изменениями в Приказе ФСТЭК России от 11.02.2013 № 17 (в актуальной на момент выполнения работ по настоящему Техническому заданию редакции).
При этом угрозы безопасности информации должны быть определены для существующих и расширяемых функционально подсистем СУУМУ по результатам оценки возможностей (потенциала, оснащенности и мотивации) внешних и внутренних нарушителей, анализа возможных уязвимостей Системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации (конфиденциальности, целостности, доступности).
Для определения угроз безопасности информации и актуализации модели угроз безопасности информации должны применяться методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16.08.2004 № 1085, и актуальные на момент выполнения работ по настоящему Техническому заданию редакции нормативно-правовых и правовых актов в области защиты персональных данных.
Необходимо провести выбор класса СКЗИ, которые должны применяться для нейтрализации атак с учетом возможностей потенциального злоумышленника согласно требованиям Приказа Федеральной службы безопасности Российской Федерации
от 10.07.2014 № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в ИС персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности».
Результаты работ должны быть оформлены в виде документа «Модель угроз и нарушителя безопасности информации Системы».
Оформление требований к СЗИ СУУМУ.
Требования к созданию СЗИ СУУМУ должны быть определены на основании:
- класса защищенности СУУМУ, определенного проектом Акта классификации Системы;
- угроз безопасности информации, определенных в документе «Модель угроз и нарушителя безопасности информации Системы»;
- уровня нарушителя безопасности информации, определенного в документе «Модель угроз и нарушителя безопасности информации Системы».
Требования к СЗИ СУУМУ должны быть оформлены в виде документа «ЧТЗ на создание СЗИ Системы», которое в том числе должно в себе содержать требования к разработке или доработке встроенных функций защиты информации СУУМУ. Требования к структуре документа «ЧТЗ на создание СЗИ Системы» приведены в разделе 8 настоящего Технического задания.
Встроенные функции защиты информации должны входить в состав подсистемы управления и подсистемы ПУ. Требования к встроенным функциям защиты информации СУУМУ должны быть приведены Исполнителем в ЧТЗ.
Требования к встроенным функциям защиты информации СУУМУ, должны быть также дополнительно описаны в документе «Проект ТУ», на основе которого будет проводиться сертификация комплекса средств защиты информации Системы в системе сертификации ФСТЭК России (сертификация не входит в перечень работ в рамках данного Технического задания). Требования к структуре документа «Проект ТУ» приведены в разделе 8 настоящего Технического задания.
