3.13. Обеспечение физической защиты информационных систем (ФЗ)

Цель: Исключение возможности несанкционированного физического доступа к программно-аппаратным средствам обработки и хранения информации.

Требования к реализации: Мероприятия по обеспечению физической защиты информационных систем должны предусматривать:

определение программно-аппаратных средств информационных систем, предназначенных для обработки и (или) хранения информации, несанкционированный физический доступ к которым должен быть исключен (далее - средства обработки и хранения информации);

определение перечня лиц (категорий лиц), которым разрешен доступ в помещения (зоны помещений) и (или) физический доступ к средствам обработки и хранения информации, а также работников оператора, ответственных за контроль доступа в помещения (зоны помещений) и (или) к средствам обработки и хранения информации;

контроль физического доступа к средствам обработки и хранения информации и (или) в помещения (зоны помещений), в которых они установлены;

осуществление доступа посторонних лиц в помещения, в которых установлены средства обработки и хранения информации, и проведение в них работ только в сопровождении работников, ответственных за контроль доступа в помещения (зоны помещений), по согласованию со структурным подразделением, специалистами по защите информации;

размещение коммуникационного оборудования информационных систем в местах (шкафах, комнатах, ящиках), к которым исключен неконтролируемый доступ, определение перечня лиц, которым разрешен доступ к коммуникационному оборудованию, а также работников оператора, ответственных за контроль доступа к коммутационному оборудованию.

Физический доступ к средствам обработки и хранения информации должен быть предоставлен только тем пользователям, которым он необходим для выполнения возложенных на них обязанностей (функций).

Программно-аппаратные средства информационных систем, предназначенные для хранения информации, должны быть установлены в помещениях (зонах помещений, шкафах, футлярах, корпусах), несанкционированный физический доступ в которые должен быть исключен.

Запрещается оставлять съемные машинные носители информации, предназначенные для использования в информационных системах, а также незаблокированные экраны компьютеров с размещенной на них информацией на рабочих местах работников в нерабочее время за исключением помещений, в которых разрешено хранение информации в нерабочее время.

Контроль физического доступа к средствам обработки и хранения информации ограниченного доступа и (или) в помещения (зоны помещений, шкафы, футляры, корпуса), в которых они установлены, должен осуществляться в соответствии с внутренними регламентами по защите информации.

Съемные машинные носители информации, разрешенные для использования в информационных системах, подлежат учету и контролю использования. В информационных системах должны использоваться только съемные машинные носители информации, выдаваемые оператором (обладателем информации). В случае обнаружения пользователем съемного машинного носителя информации, принадлежность которого или владельца которого установить не удалось, такой съемный машинный носитель информации должен быть передан в структурное подразделение, специалистам по защите информации для анализа содержащихся на нем информации, программ и при необходимости дальнейшего уничтожения. Подключение обнаруженного съемного машинного носителя информации к информационным системам запрещается.

Требования к документированию: Внутренний регламент по обеспечению физической защиты информационных систем должен предусматривать:

состав средств обработки и хранения информации;

перечень помещений (зон помещений, шкафов, футляров, корпусов), в которых установлены, хранятся средства обработки и хранения информации;

перечень лиц (категорий лиц), которым разрешен доступ в помещения (зоны помещений) и (или) физический доступ к средствам обработки и хранения информации, а также работников оператора, ответственных за контроль доступа в помещения (зоны помещений) и (или) к средствам обработки и хранения информации;

состав и содержание мероприятий по контролю физического доступа в помещения (зоны помещений) и (или) к средствам обработки и хранения информации.

Требования к усилению:

1) применение автоматизированных систем контроля и управления доступом и (или) видеонаблюдения для контроля доступа в помещения (зоны помещений), в которых установлены средства обработки и хранения информации, а также к местам установки коммуникационного оборудования.