На основе анализа проблем, связанных с повышением безопасности объ­ектов НТК, сформулированы общие требования к разработке ГИС. Эти требо­вания учитывают пространственно-временные факторы, разнородность мето­дического и информационного обеспечения технологию создания и возмож­ность развития системы.

Общие требования к разработке ГИС целесообразно разделить на группы и обосновать, исходя из перечня основных ЧС; масштабов воздействия и тяже­сти последствий; характера поражающего воздействия; содержания задач обес­печения безопасности объектов и поддержки принятия решений; технологиче­ских, функциональных и экономических требований.

Учитывая, что нормативные документы СП 11-107-98 и СП 11-113-2002 требуют комплексного анализа рисков для персонала объектов и рядом распо­ложенного населения, кратко сформулируем содержание требований к разра­ботке ГИС по группам.

Основные ЧС. С помощью ГИС в первую очередь должна проводиться оценка тех событий, которые могут привести к гибели людей или большому ущербу. Исходя из этого условия, к таким событиям следует отнести ЧС техно­генного характера в результате аварий на объектах: пожаровзрывоопасных; га­зопроводах; нефтепроводах; химически опасных; радиационно-опасных; гидро­технических сооружениях.

К гибели людей приводят также ЧС природного характера: наводнения; землетрясения; ураганы и сильные ветры; снежные лавины; сели; лесные пожа­ры; цунами.

Масштабы воздействия и тяжесть последствий. В соответствии с По­ложением о классификации ЧС природного и техногенного характера, утвер­жденным постановлением Правительства РФ от 13.09.1996 г. № 1094, по степе­ни тяжести ЧС разделяются на локальные; местные, территориальные; регио­нальные; федеральные; трансграничные.

В Постановлении правительства № 240 от 15.07.2002 г. отмечается, что разливы нефти и нефтепродуктов классифицируются как ЧС. В зависимости от объема и площади разлива нефти и нефтепродуктов на местности и во внутрен­них водоемах выделяются ЧС следующих категорий: локального, муниципаль­ного, территориального, регионального и федерального значений.

В соответствии с этими масштабами в ГИС должна включаться картогра­фическая информация с различным уровнем детальности: мир, страны, регионы (провинции, субъекты, районы и т.п.), города, объекты.

В зависимости от масштаба воздействия и тяжести последствий ­местности и элементов риска.

Характер поражающего воздействия. Исходя изразличной природы источников и полей поражающих факторов, в состав ГИС должны быть вклю­чены математические модели, позволяющие рассчитывать воздушные ударные волновые, сейсмические, тепловые, химические, радиационные поля воздейст­вия (модели воздействия). Блок математических моделей должен включать также процедуры, позволяющие определять зоны, характеризующие степени разрушения, поражения, ущерба и риска. Эти модели описывают сопротивле­ние элементов риска воздействию. Оценки показателей должны базироваться на единой научно-методической основе.

Состав задач повышения безопасности объектов и поддержки приня­тия решений. В состав задач можно включить аналитические компоненты ин­формационного обеспечения: прогнозные модели, включая заблаговременные оценки объемов аварийных разливов, масштабов ущерба, показателей послед­ствий и определение рисков; оптимизационные модели - распределение ресур­сов, организация эффективного управления; оперативные модели - оценка об­становки, расчет сил и средств, показателей жизнеобеспечения по факту собы­тия. Каждая модель дает возможность решать определенные типы задач под­держки принятия решений как до события, так и по факту его возникновения.

Функциональные требования. Программные средства ГИС должны со­ответствовать требованиям:

оперативности, информационности, многофункциональности;

наглядности отображения ситуации;

масштабированности картографической основы;

обеспечения пространственной и временной привязок событий и инфор­мации;

возможности ввода, редактирования и импорта информации;

обеспечения выбора и просмотра информации произвольно или по адрес­ным признакам;

возможности включения или выключения слоев;

обеспечения картографического представления информации, полученной с использованием расчетных моделей, документирования результатов.

Технологические требования. К технологическим требованиям можно отнести:

блочность построения структуры ГИС;

возможность развития системы;

использование при разработке системы "классических" в теории ГИС по­нятий;

использование совместимых форматов и пакетов программ для создания и управления базами данных;

возможность использования мониторинговой информации в автоматизи­рованном режиме;

сопрягаемость расчетных моделей с картографической и семантической базами данных;

возможность использования математических и статистических моделей;

ориентация на имеющиеся технические средства (по объему памяти, бы­стродействию, внешние устройства);

ограниченные сроки решения задач.

Экономические требования. Геоинформационные системы являются важной компонентой информационных технологий, обеспечивающих в составе других мероприятий - инженерно-технических и организационных - повыше­ние безопасности объектов, уменьшение и смягчение последствий ЧС. При раз­работке ГИС следует учитывать стоимостные затраты на систему. При этом, в совокупности с другими мероприятиями, общие затраты, включая затраты на разработку ГИС, не должны превосходить предотвращенный ущерб.

Приведем обобщенную технологическую структуру ГИС. Система вклю­чает следующие основные блоки (рисунок З.1.):

блок базы данных, состоящий из структурированных массивов цифровой картографической и семантической информации;

систему управления базами данных;

блок математических моделей;

блок тематического картографирования и документирования; пользовательский интерфейс - средство эффективного управления всеми блоками ГИС.

Рисунок 3.1- Структурная схема ГИС

Лекция 5. Требования к структуре и содержанию базы данных.

Учебные вопросы: Требования к картографической информации. Требования к содержанию картографической информации. Требования к масштабам карт. Требования к форматам картографической информации. Требования к семантической информации.

Блок базы данных служит для накопления информации и ее структуриза­ции.

Двумя основными типами информации для ГИС являются картографиче­ская (векторная или растровая) и семантическая (описательная). Картографиче­ская информация содержит координаты и очертание границ географических объектов. Семантическая информация описывает количественные и качествен­ные характеристики объектов и связей между ними. Картографическая и семан­тическая информации в базе данных структурно объединены в группы.

Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже

Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.

Министерство образования и науки Российской Федерации

Волгоградский Государственный Университет

Факультет Управления и Региональной Экономики

Кафедра экономики природопользования

Реферат

По дисциплине: "Географические информационные системы"

на тему: "Требования к ГИС и содержанию баз данных"

Волгоград 2008

• Введение 3
• 1. Требования к ГИС 5
• 1.1 Принципы организации ГИС 5
• 1.2 Структура ГИС и ее основные функции 8
• 2. Базы данных 13
• 2.1 Понятие о базе данных 13
• 2.2 Файловые базы данных 19
• 2.3 Взаимодействие баз геолого-геофизических данных 24
• Литература 28
• Введ е ние
• Геоэкологический прогноз, а также создание системы мониторинга в районах интенсивного техногенного воздействия требуют привлечения и комплексного анализа разнообразной информации как природного, так и социально-экономического характера. Для этого необходима организация системы автоматизированного сбора, обработки и анализа природной информации, построенной на базе современных ЭВМ и автоматических устройствах ввода-вывода информации. Возможность оперативной обработки больших объемов геоэкологической информации, включая картографическую, наиболее существенна при оценке состояния геосистем регионального уровня, а также для территориального планирования и управления ресурсами окружающей среды. В современных условиях планирования народного хозяйства с обязательным проведением геоэкологических экспертиз природоохранная информация приобретает качество особого вида ресурса (информационного) со всеми специфическими требованиями к методам ее получения и обработки. Такая оценка информации требует принципиально нового подхода к организационным структурам производства и переработки данных об окружающей среде на базе современной промышленной технологии.
• Этой цели служат геоинформационные системы (ГИС).
• ГИС - это компьютерные системы сбора, хранения, выборки, анализа и отображения пространственных данных. Создание автоматизированных систем природной информации входит в круг задач геоэкоинформатики - научного направления, разрабатывающего теорию, методы и технологию информационного обеспечения и автоматизации биосферных и геоэкологических исследований в целях рационализации природопользования и охраны природы.
• ГИС является эффективным средством для изучения интегральных эффектов антропогенного воздействия на окружающую среду, поскольку она аккумулирует и обрабатывает данные за длительный период времени для крупных географических регионов.
• Одна из важнейших проблем создания ГИС - это информационное обеспечение региональных геоэкологических моделей, включающее как выбор источников для формирования базы данных, определение точности поступающей информации, так и определения набора параметров, необходимых и достаточных для изучения динамики геосистем различного иерархического уровня.

1. Требования к ГИС

1.1 Принципы организации ГИС

Геоинформационная технология зародилась в начале 60-х годов для автоматизации ряда операций по обработке географических данных. Первые системы создавались при отсутствии программного обеспечения, наличии примитивной вычислительной техники и устройств ввода-вывода графических данных.

Развитие информационных систем шло как по пути увеличения обрабатываемых объемов данных, так и усложнения структуры хранящейся информации. Поэтому информационные массивы, предназначенные для обработки на ЭВМ, организуются в базы данных (БД). Для обеспечения достаточно сложных операций по поиску и выборке данных в БД, их объединению в информационные массивы требуемой структуры разрабатываются системы управления базами данных.

В настоящий момент ГИС представляют собой сложную информационную систему, включающую мощную операционную систему, интерфейс пользователя, системы ведения без данных, отображения графической информации.

Наряду с ГИС широкое распространение получила организация проблемно-ориентированных БД, предназначенных для картографирования природных и социально-экономических явлений. Такие БД называются картографическими банками данных (КБД).

Важнейшая функция КБД заключается в автоматизированном картопостроении, выполняемой автоматизированной картографической системой (АКС), которая является неотъемлемой частью также ГИС.

В последние годы при создании информационных систем (ИС) в географии повышенное внимание уделяется построению экспертных систем (ЭС). Под ЭС понимается система логического вывода, основывающаяся на фактах (знаниях) и эвристических приемах (эмпирических правилах) обработки данных. Основные составляющие части ЭС: 1) база знаний (БЗ) - организованные наборы фактов и 2) механизм логического решения поставленной задачи.

Появление в последние годы массового интереса к построению ГИС требует выработки принципов оценки создаваемых информационных систем, их классификации, определения потенциальных возможностей. В определенной мере это возможно при выработке требований к идеальной ГИС:

1. Возможность обработки массивов покомпонентной гетерогенной пространственно-координированной информации.

2. Способность поддерживать базы данных для широкого класса географических объектов.

3. Возможность диалогового режима работы пользователя.

4. Гибкая конфигурация системы, возможность быстрой настройки системы на решение разнообразных задач.

5. Способность «воспринимать» и обрабатывать пространственные особенности геоэкологических ситуаций.

Разработка ГИС включает этап проектирования структуры, определения целей и задач, потенциальных пользователей. Проектирование ГИС, как сложной информационной системы, требует использования методов системного анализа, с помощью которых решаются следующие зад а чи :

Построение концептуальной модели ГИС, определение ее подсистем, характера взаимосвязи между ними;

Структуризация географической информации с учетом специфики обработки, хранения и представления на ЭВМ и автоматических устройствах;

Определение этапов преобразования и обработки поступающей природной и социально-экономической информации;

Создание человеко-машинных систем для математического моделирования природных и социально-экономических процессов в структуре ГИС.

Использование информационной технологии в геоэкологии предполагает автоматизацию процессов сбора и анализа параметров геосистем. Получение и обработка информации рассматриваются как единый процесс, включающий ряд последовательных этапов (табл. 1).

Этапы информационной технологии в создании и эксплуатации ГИС включают следующие стадии: сбор первичных данных, ввод и хранение данных, анализ данных, анализ сценариев и принятие решений. Необходимо отметить, что выделенные этапы являются наиболее общими и повторяются при создании конкретных ГИС, различаясь в деталях, связанных с целями и задачами ГИС, а также техническими возможностями системы.

Очевидно, что источники информации, процедура ее получения, методы анализа должны рассматриваться как этапы единого технологического процесса, объединяемого общностью целей и задач построения и эксплуатации ГИС. Это означает, что в основу проектирования и создания ГИС должна быть положена единая методология. Поскольку ГИС можно рассматривать как средство машинного представления данных и знаний комплекса наук о Земле, то в качестве методологической основы ГИС должно быть выбрано направление их построения как инструментария познания закономерностей структуры и организации геосистем при помощи средств информатики, включающего математическое моделирование и машинную графику.

1.2 Структура ГИС и ее основные функции

В самом общем виде структура ГИС может быть представлена следующим образом (рис. 1): диалоговая система пользователя программно-технический комплекс, базы данных, блок моделей,

блок оценки и принятия решений. Построение ГИС выполняется по блочному (модельному) принципу. Это дает возможность расширять систему за счет добавления новых блоков (программ) или работать только с определенной частью (модулем) ГИС.

Рис. 1. Структура ГИС

Многоцелевые ГИС могут быть использованы для решения различных задач. Выполнение решаемых задач связано с осуществлением определенных функций. Так, наряду с другими, ГИС выполняет следующие основные функции: подготовку и ведение банков данных; информационно-справочные; имитационного моделирования; экспертного моделирования; автоматизированного картографирования.

ГИС может рассматриваться как информационная основа (база данных) для изучения природных особенностей региона и как инструмент исследования динамики или прогноза явлений и процессов (система моделей).

Кроме этого, ГИС может использоваться как информационно-справочная система, по определенному запросу выполняющая поиск и выборку данных. Следующий момент работы ГИС связан с разработкой математических моделей или системы экспертных оценок с целью анализа динамики геосистем.

Для решения каждой из перечисленных задач необходима разработка алгоритмического и программного обеспечения, а также создание диалоговых человеко-машинных систем, поддерживающих работу пользователя и представление результатов моделирования в традиционном картографическом виде.

Программно-технический комплекс. В настоящий момент ГИС комплектуются как графические станции, использующие разнообразные средства ввода-вывода графической информации. Для организации региональных ГИС требуется ЭВМ с достаточно большим объемом оперативной памяти и значительным быстродействием, работающая как в интерактивном, так и в пакетном режиме. С этой целью могут быть использованы как большие ЭВМ (для обработки космической информации), так и персональные компьютеры.

Устройства ввода графической информации подразделяются на автоматические (сканеры) и полуавтоматические (цифрователи). Для построения картографических изображений используются: графопостроители, матричные принтеры, цветные струйные печатающие устройства. В состав графической системы входит также цветной графический дисплей, который обеспечивает диалоговый режим пользователя.

Информационный блок (базы данных). Информационные массивы в ГИС объединяются в базы данных, доступ к которым обеспечивается СУБД. Основное назначение баз данных заключается в обслуживании информационных потребностей пользователя, а также поддержке системы моделей ГИС. В БД хранится не только фактологическая информация на определенный момент времени, но также начальные условия и коэффициенты уравнений модели, используемых в режиме имитационного моделирования.

Для поиска и выборки данных используются различные команды запросов пользователя. Использование или комбинирование различных команд дает возможность представлять результаты запроса в различном виде: табличном, графическом, картографическом. В зависимости от запроса, фактическая информация может быть дополнена статистически параметрами: средним значением, дисперсией и т.д.

Блок моделей. Данный блок включает программное обеспечение, предназначенное для различных операций по обработке данных. Поскольку ГИС строится как многоцелевая и многофункциональная информационно-моделирующая система, то в ее состав включаются пакеты прикладных программ, а также банк стандартизованных моделей.

Центральное место в ГИС занимает система автоматизированного картографирования. При организации ГИС могут быть использованы уже готовые модели или программные блоки, отвечающие требованиям решаемых задач. Стандартизация частных моделей, моделирующих отдельные свойства ландшафта или его компонентов (почва, растительность, миграция веществ в ландшафте) упрощает процедуру информационного обеспечения моделей, а главное, дает возможность использовать имеющийся опыт в области моделирования конкретных процессов в ландшафте при решении новых задач.

Важное место в ГИС отводится блоку экспертного моделирования и экспертных оценок. В данной части ГИС ведущая роль отводится эксперту, специалисту в конкретной предметной области. Работа данного подблока ГИС состоит в автоматизации традиционных методов анализа и синтеза геокологической информации, выполняемых экспертом на основе набора эмпирических правил.

Система управления диалогом пользователя. Функционирование ГИС как целостной системы обеспечивается системой управления диалогом пользователя. Данный блок осуществляет взаимосвязь между отдельными подсистемами ГИС, организуя диалоговое взаимодействие пользователя с системой. В зависимости от решаемой задачи выполняется автоматическая настройка ГИС на ее решение. Для этого из банка моделей выбирается необходимая модель, из информационного блока все необходимые данные.

Диалоговый режим ГИС рассчитан на пользователей различной степени подготовленности: прикладных программистов, аналитиков и исследователей и случайных пользователей. Для каждого типа пользователя выбирается свой уровень ведения диалога.

Блок оценки и принятия решений. Результаты работы ГИС анализируются в блоке оценки и принятия решений. Следует отметить, что система управления диалогом пользователя неразрывно связана с блоком оценки и принятия решений посредством формирования набора сценариев, выборов методов отображения (табличного, картографического) получаемых результатов.

Блок оценки, как и диалоговая система, рассчитан на различные режимы работы ГИС. Наиболее простой - это использование ГИС как информационно-справочной системы, более сложный, касается разработки автоматизированной методики анализа результатов имитационного моделирования.

Выбор сценариев напрямую связан с оценкой геоэкологических ситуаций и во многом опирается на знание эксперта о наиболее типичных или вероятных условиях поведения изучаемого природного объекта под воздействием возмущающих факторов.

В современных системах контроля и управления качеством окружающей среды важное место занимает оперативность получения результатов машинного прогнозирования. ЛПР требуется в сжатые сроки просмотреть различные сценарии моделирования, проанализировать полученные результаты и предложить наиболее оптимальные управленческие решения, опирающиеся на результаты работы моделей ГИС.

2. Базы данных

Большие объемы первичной геоинформации, регистрируемой как четырех уровнях наблюдения, требуют организации их хранения в памяти микро-, мини- и супер-ЭВМ по специальным правилам и принципам, позволяющим осуществлять многократное к ним обращение с целью использования данных для обработки и интерпретации, выбора стратегии дальнейших прогнозно-поисковых или разведочно-эксплуатационных работ, принятия по результатам обработки и интерпретации оптимальных управленческих решений.

При этом важно, чтобы организация данных и их хранение в различных технических средствах [микро-ЭВМ («Искра», «Электроника», IBM и др.) в режиме персонального компьютера, мини-ЭВМ (СМ ЭВМ, БВК (СМ-1), управляющие вычислительные комплексы УВК (СМ-2, СМ-4, СМ-1420, СМ-1810 и др.), а также супер-ЭВМ (экспедиционные вычислительные комплексы ЭГВК ПС-2000 и СМ-2, ЕС-10/55 и др.)] отличались единой технологией, обеспечивая возможность их использования для решения различных геологических задач с учетом различия технических средств. Рассмотрим понятия базы данных, различных типов баз данных и их взаимодействия между собой.

2.1 Понятие о базе данных

Описания данных и отношений между ними определяют двумя типами: логическое и физическое. Физическое описание данных обеспечивается физической записью данных на внешних носителях (магнитных лентах, дисках, дискетах и т.д.) и представляет способ хранения информации на этих носителях.

Логическое описание данных указывает на то, в каком виде данные представляет себе пользователь, программист, и задача геоинформатики состоит именно в анализе логического описания геоданных и их взаимоотношений между собой для дальнейших операций хранения, передачи и обработки.

Согласно определениям Ассоциации по языкам систем обработки данных (CODASYL) выделяют следующие описания данных.

Байт - наименьшая адресуемая группа битов (8 битов).

Элемент данных - наименьшая единица поименованных данных, которая может состоять из любого количества битов или байтов. Элемент данных - это любая (одна) характеристика изучаемого объекта, в том числе и его координаты; элемент имеет имя (идентификатор).

Агрегат данных - поименованная совокупность элементов данных. Выделяются два типа агрегатов: вектор ~ одномерная упорядоченная совокупность элементов (например, название района работ, номер профиля, номер точки наблюдения образуют агрегат данных) и повторяющаяся группа - совокупность векторов, встречающихся несколько раз подряд, например, когда данные описываются таким образом, что сначала указываются номера профилей, а затем номера точек, т.е. повторяется пара: профиль - точка, профиль - точка и т.д.

Запись данных ~ поименованная совокупность элементов или агрегатов данных. Совокупность элементов описывается так, как это представляется программисту, причем логическая запись может не совпадать с физической, поскольку логическая запись состоит из элементов, расположенных в других физических записях.

Элементы записи - это характеристики (признаки, координаты) одного объекта, в частности, одной точки наблюдения. Каждая запись описывается именем (идентификатором) и форматом хранения, определяющим способ упаковки элемента записи на ленту, диск, дискету. При чтении из базы данных программист может полностью прочитать логическую запись.

Файл - поименованная совокупность всех экземпляров логических записей заданного типа. Если запись представляет описание различных характеристик объекта или точки наблюдения, то файл - это совокупность тех же характеристик по нескольким объектам или по профилю наблюдений, т.е. файл - это матрица - таблица исходных данных.

База данных (БД) - совокупность записей различного типа, содержащая перекрестные ссылки, или иначе - это совокупность экземпляров различных типов записей и отношений между записями, элементами, агрегатами. БД - это также совокупность матриц - таблиц (файлов) и программ, определяющих отношения между типами данных.

База данных, по другому распространенному в геофизике определению - это совокупность массивов данных на внешних носителях и программных средств доступа к ним, где под массивами подразумеваются и запись, и файлы. Действительно, геофизические, геохимические и геологические пакеты программ включают данные разных типов: полевые наблюдения, информацию об изучаемом объекте и системе наблюдений; промежуточные результаты обработки; параметры обработки; программно-сформированные изображения выводимых результатов и т.д.

Физическая организация БД, в отличие от логической, - это физическое представление данных и их расположение на запоминающих устройствах.

База данных организуется таким образом, что данные собираются однажды и централизованно хранятся так, чтобы они были доступны всем специалистам-программистам, желающим их использовать. Одно из важных свойств БД - независимость данных от особенностей прикладных программ, которые их используют. Это означает, что изменение значений данных или особенностей их хранения на физических носителях не требует изменения прикладных программ.

В понятие БД включается система управления базой данных (СУБД), предназначенная для выполнения операций по обработке данных в прикладных программах. СУБД просматривает описание физической организации БД и определяет, какую физическую запись (записи) требуется считать, при этом СУБД выдает операционной системе ЭВМ команду чтения требуемой записи.

Нередко понятия БД и СУБД объединяют в одно понятие банк данных .

Понятие базы данных неразрывно связано со структурой ее построения (выделяют иерархические, сетевые и реляционные БД), языком манипулирования данными и языком описания данных.

Язык описания данных (ЯОД) - средство объявления СУБД тех структур, которые будут использоваться при обработке. ЯОД включается в программное описание ЭВМ. ЯОД для логического описания должен идентифицировать типы данных (элемент, запись, файл), т.е. присваивать имя каждому типу данных.

Язык манипулирования данными (ЯМД) - это интерфейс (стыковка) между прикладной программой и СУБД. ЯМД включает ряд программ, осуществляющих открытие или закрытие файла, замену или удаление отдельных записей из файла (или самого файла), передачу в рабочую область программы содержимого указанного элемента данных и т.д.

Среди структур построения БД наиболее распространены в геологоразведке реляционные БД . Реляционные БД - это табличное представление данных, обычно в виде двумерных таблиц. Каждый элемент таблицы - это один элемент данных, повторения здесь отсутствуют. Все столбцы таблиц - однородные, т.е. элементы столбца имеют одинаковую природу (значения одного и того же поля, свойства, параметра и т.д.). Каждому столбцу присвоены имена. В таблице нет двух одинаковых строк, поскольку координаты точек наблюдения разные. В операциях с таблицей ее строки и столбцы могут рассматриваться в любом порядке, в любой последовательности. Все наиболее применяемые таблицы при, геолого-геофизических исследованиях, например, таблица петрофизических свойств горных пород, таблица описания физико-геологической модели объекта (месторождения) и т.д., удовлетворяют указанным свойствам. Подобные таблицы называются отношением, а база данных, построенная с помощью отношений называется реляционной. Таким образом, реляционная БД строится из плоских наборов элементов данных (рис. 2, а). В реляционных БД встречаются термины: домен (один столбец таблицы) и кортеж - таблица, определяющая взаимосвязь между элементами. данных. Иначе, кортеж - набор взаимосвязанных величин, а файл образуется из набора кортежей.

Основные преимущества реляционных БД: простота, гибкость, точность, связность, простота внедрения, независимость данных от прикладных программ, ясность.

Распространенными структурами БД в геологоразведке являются также иерархические или древовидные структуры (см. рис. 2, б). Дерево - это иерархия элементов, называемых узлами. На верхнем (первом) уровне иерархии находится один узел - корень. Каждый узел, кроме корня, связан с одним узлом на более верхнем уровне, называемом исходным узлом для данного узла. Ни один элемент не имеет более одного исходного. Каждый элемент может быть связан с одним или несколькими элементами на более низком уровне. Такие элементы называются порожденными, а элементы, не имеющие в конце ветви порожденных, называются листьями.

Используется термин иерархический файл, т.е. такой файл, в котором записи связаны в виде древовидной структуры. Иерархические структуры БД использованы в автоматизированной системе АСПО-8 и в концепции создания банка «Разведочная геофизика».

Редко используется так называемые сетевые структуры БД, приведенные на рис. 2, в.

В трех приведенных на рис. 2, в сетевых структурах первая (слева) имеет три уровня и для каждого узла - два исходных элемента, вторая (в середине) - четыре уровня, третья (справа) - пять уровней.

Сетевые структуры БД характерны для организации управлением геологоразведочным производством на уровне экспедиции и выше.

Организация данных в БД прежде всего должна правильно передавать их основное смысловое значение, или семантику , и позволять эффективно к ним обращаться. В обычной прикладной программе структура данных организуется таким образом, чтобы обеспечить удобный доступ к ним из данной программы.

Рисунок 2. Структуры данных:

а-реляционная, б-иерархическая, в-сетевая

БД содержит данные, которые используются множеством разнообразных программу, следовательно, при определении структуры БД нельзя ориентироваться на критерии, используемые при программировании конкретных функций. При обработке геолого-геофизических данных БД характеризуется большими и очень большими размерами выборок. Большим называется такое значение, которое превосходит количество данных, обрабатываемых одним человеком, даже если он имеет доступ к вычислительной системе. Фактическое количество изменяется от сложности данных и решаемых задач. Примером большой БД является система, содержащая сведения уже о 5000 образцах, рудных телах, месторождениях и т.д. Такая БД может, например, содержать 300 000 записей десятка или более типов. Три тысячи сейсмических лент со стоканальной записью каждая уже образуют большую БД.

Очень большая БД образуется, например, при сведении всех геолого-геофизических данных для одного миллионного листа.

Большие массивы геолого-геофизической информации требуют использования специальных систем для организации хранения и поиска данных. Такие системы называются информационно-поисковыми (ИПС). ИПС, по существу, представляют БД совместно с СУБД, осуществляющих быстрый поиск данных. Поиск данных обычно производится по определенному символу. В отличие от БД и СУБД, которые можно рассматривать раздельно, для ИПС характерна неразрывная связь функций БД и СУБД.

В сейсморазведке при создании автоматизированной системы обработки данных СЦС-3 широкое применение получила ИПС «ИНЕС». При обработке и интерпретации данных ГИС используется ИПС ГЕОКОМПАС, базирующаяся на СУБД КОМПАС.

2.2 Файловые базы данных

Вышеприведенные определения БД, основанные на концепциях CODASYL, а также иерархические и сетевые структуры БД сложно использовать при хранении, поиске и обработке массовых геолого-геофизических данных, что объясняется следующими обстоятельствами:

при многоэтапной и многоцелевой обработке данных трудно заранее определить связи между всеми типами геообъектов и соответствующими им типами записей. При решении разных геологических задач взаимосвязи между объектами обработки (точками наблюдений, геологически однородными площадками, геохимическими и геофизическими аномалиями, известными проявлениями полезных ископаемых и т.п.) изменяются. Изменяется также и принцип группирования записей, соответствующих этим объектам;

отдельная запись при обработке геолого-геофизических материалов не имеет, как правило, самостоятельного значения.

Поэтому средства большинства систем управления базами данных, ориентированными на поиск и предоставление программисту единичных записей, не могут удовлетворить ни программиста, занимающегося созданием геолого-геофизического программного обеспечения, ни геолога-геофизика как специалиста в. области обработки и интерпретации данных;

3) реляционные БД в большей степени, чем сетевые и иерархические, приспособлены к обработке геолого-геофизических данных, поскольку реляционную БД можно рассматривать как совокупность разнообразных таблиц объекты - свойства, связи между таблицами неявно определяются через общие элементы данных, например, координаты точек. Однако и реляционная БД практически не учитывает особенности технологии хранения, поиска и обработки массовых данных: а) геолого-геофизические данные хранятся в виде географически, покоординатно заданной информации, относящейся к определенному методу, способу исследований при определенной детальности работ (масштабе работ); б) при долговременном хранении геолого-геофизические данные не модифицируются, так как они обычно прошли стандартную первичную обработку; в) каждый новый фрагмент данных должен рассматриваться как автономный (иначе ведение баз при их реальных огромных объемах станет непосильно трудоемким), но система поиска должна обеспечивать оперативный поиск и выбор требуемого фрагмента базы данных; г) технология обработки диктует необходимость доставки геолого-геофизических данных не по отдельным записям, а достаточно большими порциями (сейсмическая трасса, профиль, площадь съемки и т.п.).

С учетом отмеченных обстоятельств и особенностей технологии хранения и обработки геоинформации В.В. Ломтадзе предложил синтезировать достоинства файловых структур описания данных, информационно-поисковых систем и реляционных БД, К достоинствам файловой структуры относится автономия фрагментов информации, оформляемых в виде отдельных файлов. Достоинства ИПС заключаются в возможности смыслового поиска фрагментов информации (файлов), требуемых для решения конкретных задач. Наконец, достоинства реляционных баз данных состоят в логической ясности представления данных, гибкости их преобразования и т.д., поскольку можно «вырезать» из таблиц объекты - свойства требуемые столбцы (свойства) или, наоборот, «склеивать» их, формируя для прикладных программ файлы с заданным составом записей.

Под файловой базой данных (ФБД) понимается совокупность организованных по общим принципам файлов, между которыми неявно определены связи. Если в сетевых и иерархических базах данных объектом поиска и обработки является запись, то в ФБД основной объект поиска и обработки представляет файл или же совокупность взаимосвязанных однотипных записей, называемая массивом и являющаяся частью файла. В частных случаях можно выполнять работу и с отдельными записями.

Выбор стандартных структур организаций данных, в которые, как в контейнеры (или как книги на полке библиотеки), вкладывается разнообразная информация, является ключевым моментом при проектировании технологии обработки массовых геолого-геофизических данных. К достоинствам концепции банка данных относится введение понятия структуры данных и выделение набора стандартных структур, управляемых набором стандартных программ и подпрограмм, входящих в конкретную СУБД. Такой набор программ и подпрограмм В.В. Ломтадзе для файловых баз данных называет системой оперирования данными (СОД), которая играет роль общесистемного программного аппарата.

В ФБД выделяют четыре структуры данных: файл, массив, запись, элемент, которые по существу отражают все разнообразие площадной геолого-геофизической информации.

Файл обычно соответствует площади работ, т.е. содержит конкретные данные по этой площади.

Массив файла соответствует профилю или маршруту, скважине или интервалу скважины, сейсмической трассе, кривой ВЭЗ, МТЗ или любой другой совокупности точек наблюдения, т.е. массив содержит данные по профилю, маршруту, скважине и т.д. Массив состоит из заглавия и записей.

Заглавие - особая запись для характеристики массива в целом. Записи массива в совокупности образуют таблицу объекты - свойства. Одна запись соответствует одному объекту и совпадает с понятием «запись» в терминах CODASYL.

Элементы записи - это характеристики, например, значения конкретного физического поля, координаты, признаки одного объекта, т.е. одной точки профиля, одной точки скважины, одной точки сейсмотрассы и т.п.

Любой файл в СОД состоит из краткого паспорта и массивов. Имеется близкая аналогия между паспортом файла и аннотацией книги, между массивами файла и главами той же книги. В паспорте файла содержится имя (или название) файла, имя (обозначение) владельца партии, экспедиции, объединения, параметр PACK, обычно равный 1 (это означает, то данные, содержащиеся в файле, должны храниться на ленте или диске в упакованном виде; в случае РАСК=0 упаковка запрещается), параметры V (число элементов данных в заглавии каждого массива), W (число элементов данных в заглавиях каждого файла), Р о> символически обозначающий принцип кодирования массивов файла (принцип группирования записей в массивы); Pj , Uj , Cj , (/ = 1,…, У+ W ), описывающие элементы заглавия и записей массивов.

Если для геофизического метода определены типы файлов, то многочисленные программы обработки и интерпретации данных могут разрабатываться независимо друг от друга. Любой переход, например, от файла А к файлу типа В может быть осуществлен с применением разных алгоритмов и разных программ.

На каждом шаге последовательного преобразования файлов с помощью той или иной программы выполняется переход от одного или нескольких исходных файлов к одному или более, которые могут отличаться от исходных структурой и составом. Поскольку каждый шаг графа обработки определяется именем программы, выполняющей требуемые функции, именами исходных и создаваемых файлов и значениями параметров управления работой Данной программы (например, граничные координаты обрабатываемой площади, имена используемых признаков и т.п.), то после любого шага процесс обработки может быть прерван для визуализации и анализа промежуточных результатов, принятия решения о выборе приемов и параметров дальнейшей обработки или интерпретации.

Описанный выше подход к построению реляционно-файловых (или просто файловых) баз данных нашел в настоящее время самое широкое применение при создании автоматизированных систем обработки и интерпретации геолого-геофизической информации, а также при обеспечении программными продуктами полевых вычислительных комплексов и автоматизированных рабочих мест. При этом большинство программистов предпочитают ограничиваться тремя структурами данных: элемент, запись и файл, полагая использование структуры массива лишним.

2.3 Взаимодействие баз геолого-геофизических данных

Общий подход формализованного представления массовых геолого-геофизических данных в среде ФБД является также ключом к решению проблемы создания различных типов баз и их взаимодействия между собой. Решение этой проблемы основано на рассмотренной формализации представления разнотипных по содержанию и характеру» геологических, геохимических данных, на вводимых понятиях региональных и локальных баз данных и на реализации организационно-технических мероприятий, осуществляемых в настоящее время в рамках создания ГЕОСИСТЕМЫ.

Локальная методная ФБД образуется и существует в период обработки материалов полевой партии, экспедиции, например, гравиметрической, геохимической, геологоразведочной и т.д. Связи между файлами локальной методной ФБД неявно определяются таблицей типов файлов данного геолого-геофизического метода, а также принятой технологией обработки. Файлы некоторых типов каждой методной ФБД, образуемые, как правило, в результате обработки на полевых вычислительных комплексах или на автоматизированных рабочих местах, передаются в региональные базы данных.

Региональные базы данных (РФБД) обеспечивают долговременное хранение фактических данных в государственных масштабах.

Региональная база данных (РФБД) - это совокупность всех файлов, содержащих геолого-геофизические данные по одному миллионному листу картографической разграфки. Файл, включаемый в региональную ФБД, получает имя, состоящее из восьми символов: номенклатура листа (3 символа), год завершения работ, данные которых помещены в файл (2 символа), регистрационный номер файла в базе данных на этот год (3 символа). Например, Р4889005 содержит результаты работ, завершенных в 1989 г. в пределах листа Р-48.

Краткая информация о каждом файле региональной базы (масштаб работ, вид сети, координаты, «ключи» для перехода от относительных координат в записях файла к истинным координатам, дескрипторы, характеризующие содержание файла) помещаются в поисковый образ файла. Поисковые образы всех файлов региональной ФБД объединяют в один файл поисковых образов, хранимый при поиске данных на диске. Сами файлы региональных ФБД хранятся на лентах или любых других устройствах памяти большой емкости. Связи между этими файлами определяются через их поисковые образы и тезариус - словарь, содержащий коды (дескрипторы) ключевых слов.

Наиболее важной задачей, решаемой при создании и ведении РФБД, является сохранение основных фактических материалов, получаемых при геологоразведочных работах, и обеспечение возможности их использования для многократной последующей обработки совместно с новыми данными. Для решения этой задачи в рамках создания ГЕОСИСТЕМЫ необходимо:

1) распределить территорию страны (по миллионным листам) между региональными вычислительными центрами. Такие центры следует организовать на базе либо крупных геологических объединений, либо крупных научно-исследовательских институтов, оснащенных большими и супер-ЭВМ. Можно выделить по крайней мере восемь региональных центров (указаны в скобках) по обслуживанию территории России: Дальний Восток (ПГО «Таежгеология»), г. Хабаровск; Восточная Сибирь - два центра (ПГО «Иркутскгеология» совместно с ПГО «Иркутскгеофизика» и ПГО «Красноярскгеология»); Западная Сибирь (ЗапСибНИГРИ), г. Тюмень; Урал (институты УО РАН), г. Свердловск; восток Европейской части России (ПГО «Пермьгеология»); центр Европейской части России (ПГО «Центргеология», г. Москва); север Европейской части России (ПГО «Севзапгеология», г. Ленинград); юг Европейской части России, г. Ростов-на-Дону;

2) стандартизировать организацию данных в рамках методных
ФБД, определив для каждого геолого-геофизического метода типы
файлов, подлежащих передаче в региональные ФБД;

установить порядок пополнения региональных ФБД, аналогичный пополнению территориальных геологических фондов;

осуществить ведение региональных ФБД на базе специализированной технологической группы с выполнением функций по приему файлов из методных ФБД, их записи на магнитные ленты, принадлежащие определенному миллионному листу, составлению образов вновь принятых файлов и их включению в файлы образов, созданию целевых ФБД по запросам.

Региональные (или архивные) ФБД используются для создания локальных целевых ФБД . Временная целевая БД обычно предназначена для обобщения и комплексного анализа геолого-геофизических материалов в пределах конкретной территории с целью решения задач прогнозирования. Для создания временной целевой базы данных пользователь (геолог, геохимик, геофизик соответствующей технологической группы вычислительного центра) формирует запрос, указывая привязку требуемых данных по месту (миллионный лист, граничные координаты площадей), времени (временной интервал проведения работ, данные которых представляют интерес для решения конкретной прогнозно-поисковой задачи, геоэкологического исследования и т.д.), детальности работ и их содержанию (дескрипторы, отражающие масштаб исследований, конкретные геологические, геохимические и геофизические методы).

Программное обеспечение региональных ФБД с помощью файла поисковых образов позволяет установить, в каких файлах и на каких лентах находится требуемая информация, и, следовательно, извлечь эту информацию, сформировать на ее основе временную целевую ФБД. Связи между файлами такой ФБД определяются структурой системы комплексного анализа данных и прогноза геологических объектов, в частности, выделенными в ней типами файлов, а также технологией обработки данных. Для работы с локальной ФБД применяются общесистемное - программное обеспечение, программный аппарат обработки и интерпретации данных комплекса методов и программы, принадлежащие методным системам обработки. К локальным можно также отнести постоянно действующие целевые ФБД по месторождениям определенного типа, скважинам (в том числе сверхглубоким), отдельным локальным структурам и т.п. Такие базы данных обычно отличаются спецификой решаемых задач (например, контроль за эксплуатацией нефтегазовой залежи), и формы их взаимодействия с региональными ФБД могут быть самые разные.

Литература

1. Кузнецов О.Л., Никитин А.А., Геоинформатика. - М. - 1992.

2. Основы геоинформатики: В 2-х кн. Кн. 1: Учеб. пособие для студ. вузов / Е.Г. Капралов, А.В. Кошкарев, В.С. Тикунов и др.; под ред. В.С. Тикунова. - М.: Издательский центр «Академия», 2004.

3. Экоинформатика / Под ред. Соколова А.Л. - М. - 1992.

Подобные документы

Типы оборудования, относящиеся к компьютерной технике. Состав системного блока и периферийные устройства. Классификация программного обеспечения. Требования, предъявляемые к системам управления базами данных. Задачи и этапы проектирования баз данных.

контрольная работа , добавлен 18.02.2014


Модели баз данных. Современные системы управления базами данных, основные требования к их организации. Преимущества справочно-правовых систем: "Гарант", "Кодекс" и "Консультант-Плюс". Базы данных по законодательству в интернете и на компакт-дисках.

реферат , добавлен 11.03.2014


Определение базы данных и банков данных. Компоненты банка данных. Основные требования к технологии интегрированного хранения и обработки данных. Система управления и модели организации доступа к базам данных. Разработка приложений и администрирование.

презентация , добавлен 19.08.2013


Технология и задачи геоинформационных систем (ГИС), предъявляемые к ним требования и основные компоненты. Способы организации и обработки информации в ГИС с применением СУБД. Формы представления объектов и модели организации пространственных данных.

курсовая работа , добавлен 24.04.2012


Системы автоматизированной обработки информации. Хранение большого объема информации. Понятие базы данных (БД). Обеспечение секретности данных. Уровни представления данных в БД. Логическая структура данных. Ограничения, накладываемые на данные.

реферат , добавлен 26.11.2011


Классификации баз данных по характеру сберегаемой информации, способу хранения данных и структуре их организации. Современные системы управления базами данных и программы для их создания: Microsoft Office Access, Cronos Plus, Base Editor, My SQL.

презентация , добавлен 03.06.2014


Назначение и основные функции системы управления базами данных СУБД, особенности и признаки их классификации. Архитектура баз данных (БД). Разработка распределенных БД. Язык структурированных запросов (SQL). Правила Кодда: требования к реляционным БД.

курсовая работа , добавлен 21.07.2012


Понятие и структура реляционной базы данных, ее основные элементы и их взаимодействие. Методика и основные этапы создания базы данных, ее назначение и сферы применения. Правила ввода данных в таблицы. Создание запроса к базе данных, отчетов и диаграмм.

учебное пособие , добавлен 19.12.2009


Основные подходы к организации данных в системах автоматизированной обработки информации. Требования к проектированию базы данных. Принципы включения операторов языка манипулирования данными в прикладную программу. Описание логической структуры БД.

реферат , добавлен 28.11.2011


Понятие банка и базы данных, их назначение. Создание базы данных "Учет нарушений ПДД" с удобным пользовательским интерфейсом. Требования к функциональным характеристикам. Условия эксплуатации и программные требования. Описание входных и выходных данных.

Все документы, представленные в каталоге, не являются их официальным изданием и предназначены исключительно для ознакомительных целей. Электронные копии этих документов могут распространяться без всяких ограничений. Вы можете размещать информацию с этого сайта на любом другом сайте.

ГОСТ Р 52155-2003

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

ГЕОГРАФИЧЕСКИЕ
ИНФОРМАЦИОННЫЕ СИСТЕМЫ
ФЕДЕРАЛЬНЫЕ, РЕГИОНАЛЬНЫЕ,
МУНИЦИПАЛЬНЫЕ

Общие технические требования

ГОССТАНДАРТ РОССИИ

Москва

Предисловие

1 РАЗРАБОТАН Государственным научно-внедренческим центром геоинформационных систем и технологий (Госгисцентр)

ВНЕСЕН Техническим комитетом по стандартизации ТК 394 «Географическая информация/геоматика»

2 ПРИНЯТ И ВВЕДЕН В ДЕЙСТВИЕ Постановлением Госстандарта России от 9 декабря 2003 г., № 359-ст

Примечание - Вопросы обеспечения информационной безопасности следует решать на стадии разработки проекта ГИС с привлечением федерального органа исполнительной власти по безопасности, федерального органа исполнительной власти по геодезии и картографии, федерального органа исполнительной власти по обороне и других компетентных органов.

5.4 В организационное обеспечение ФГИС, РГИС, МГИС входят документы, устанавливающие структуру ГИС, задачи, функции и состав входящих в нее подразделений, права и обязанности эксплуатационного персонала и пользователей.

Правовое обеспечение ФГИС, РГИС, МГИС должно быть основано на действующем законодательстве Российской Федерации и нормативных актах федеральных органов исполнительной власти в пределах их компетенции.

5.5 Для ФГИС, РГИС, МГИС, а также ГИС-технологий, используемых при их создании, и компонентов ИО (ЦТК, ЦТП, цифровых тематических и специальных карт) рекомендуется подтверждение соответствия проведением сертификации в соответствии с требованиями, установленными в .

6 Требования к информационному обеспечению ГИС

6.1 Для формирования баз данных ФГИС, РГИС, МГИС используют:

Базовую цифровую модель местности;

Цифровые тематические и специальные карты;

Данные ДЗЗ, в том числе аэро - и космические снимки в цифровом формате;

Тематические данные, в том числе данные государственной статистики;

Метаданные;

Нормативную информацию.

6.1.1 Базовую ЦММ используют для привязки и координирования всех используемых в конкретной ГИС картографических, аэрокосмических, статистических, кадастровых и иных данных.

6.1.1.1 В качестве базовой ЦММ для федеральной ГИС рекомендуется использовать ЦТК масштаба 1:1000000, региональной ГИС - ЦТК масштабов 1:50000 - 1:200000.

Для решения конкретных задач в ФГИС и РГИС по решению заказчика могут быть использованы ЦТК масштабов 1:10000 - 1:100000 и ЦТП масштабов 1:500 - 1:5000. Их формируют на отдельные выделенные участки территории, для которых требуются большая точность, детальность и полнота воспроизведения пространственных данных.

В качестве базовой ЦММ для муниципальной ГИС рекомендуется использовать ЦТП масштабов 1:500- 1:10000 на территорию городской застройки и масштабов 1:10000 - 1:50000 - на территорию пригородных зон.

7.11 Дублирование, учет и хранение программных средств - по ГОСТ 19.601 .

7.12 ПО должно обеспечивать защиту от ошибочных действий пользователя.

7.13 Свойства ПО (в том числе структурированность и наличие комментария) должны обеспечивать возможность его эксплуатации и совершенствования.

8 Требования к документированию программного и информационного обеспечения ГИС

8.1 Для программного и информационного обеспечения ГИС разрабатывают проектные, технологические и эксплуатационные документы.

Примечание - По требованию заказчика состав документов может быть дополнен (изменен).

8.2 Общие требования к проектным и эксплуатационным ПД - по ГОСТ 19.105 .

8.3 Требования, предъявляемые к оформлению ПД, должны предусматривать возможность автоматизации процесса документирования.

8.4 Дублирование, учет и хранение документации на ПО производят в соответствии с требованиями ГОСТ 19.601 и ГОСТ 28388 .

8.5 Изменения в документацию на ПО вносят по ГОСТ 19.603 .

8.6 Документация на ПО, а также его компоненты, в том числе покупные, должна быть выполнена на русском языке.

8.7 Документация на ПО, в том числе покупное, и (или) его компоненты должна содержать следующие сведения:

Область применения ГИС;

Данные о структуре ПО (модульная, базовый комплект и дополнительные модули);

Описание внутренних форматов картографических данных (если это оговорено в ТЗ), моделей хранения данных, структуры базы данных, порядка экспорта и импорта картографических данных и баз данных;

Характеристику пользовательского интерфейса;

Описание внутреннего языка программирования;

Сведения об открытости ПО;

Данные о настраиваемости ПО;

Порядок взаимодействия ПО с другими программными продуктами;

Систему поддержки и сопровождения.

8.8 Порядок выполнения документов для ПО устанавливают в соответствии с ТЗ на них.

9 Требования к технологичности программного и информационного обеспечения ГИС

9.1 При создании программного и информационного обеспечения ГИС применяют технологические инструментальные средства разработки, обеспечивающие производство функционально пригодных, надежных, удобных в сопровождении и использовании программ и данных. Технологические инструментальные средства выбирают совместно разработчик и заказчик.

9.2 Документация на программное и информационное обеспечение должна давать возможность их сопровождения.

10 Требования к комплектности программного и информационного обеспечения ГИС

10.1 Требования к комплектности ПО

10.1.1 В комплект ПО ГИС, предназначенный для эксплуатации (поставки), должны быть включены:

Носитель данных, содержащий программу (исполняемый модуль ПО), или набор инсталляционных программ, позволяющий в процессе установки на конкретную электронно-вычислительную машину получить исполняемый модуль ПО, параметрически настроенный к среде и условиям функционирования;

Программные эксплуатационные документы;

Упаковка и тара (если они оговорены в договоре на поставку ПО). Количество экземпляров элементов комплекта ПО должно быть оговорено в ТЗ.

10.1.2 На приемосдаточные испытания ПО представляют программную документацию в полном объеме в соответствии с требованиями ТЗ на разработку ПО.

10.1.3 После проведения приемосдаточных испытаний заказчику передают оговоренное количество экземпляров ПО с полным набором программной документации.

10.2 Требования к комплектности информационного обеспечения

10.2.1 В комплект ИО ГИС, предназначенный для эксплуатации (поставки), должны быть включены:

Носитель (носители) данных, содержащий компоненты информационного обеспечения, необходимые для функционирования ГИС;

Эксплуатационные документы;

Упаковка и тара (если они оговорены в договоре на поставку ИО). Количество экземпляров элементов комплекта ИО должно быть оговорено в ТЗ.

10.2.2 На приемосдаточные испытания ИО представляют документацию в полном объеме в соответствии с требованиями ТЗ на разработку ИО.

Примечание - По согласованию с заказчиком допускается объединять комплекты ПО и ИО.

11 Требования к маркировке, упаковке, транспортированию и хранению программного и информационного обеспечения ГИС

11.1 Маркировка

На внешней упаковке носителя (носителей) данных, содержащих программное и (или) информационное обеспечение ГИС, должна быть этикетка, содержащая следующие данные:

Наименование или товарный знак разработчика;

Наименование (обозначение) ПО и (или) ИО ГИС и номер версии;

Инвентарный номер, формируемый разработчиком;

Порядковый номер тома и общее количество томов:

Сведения о контроле информации, содержащейся на носителе данных (например, контрольная сумма всех файлов);

Сведения о приемке;

Сведения о сертификации;

11.2 Упаковка

Упаковка должна обеспечивать сохранность ПО (ИО) при хранении и транспортировании транспортом всех видов на любое расстояние в условиях, определенных ГОСТ 21552 .

Упаковка и тара должны обеспечивать защиту данных на машинных носителях и бумажных документах от вредного воздействия окружающей среды (в том числе от магнитного и электромагнитного излучений) при перевозке на транспорте всех видов. На таре должен быть обозначен товарный знак разработчика (изготовителя) ПО (ИО), а при его отсутствии - наименование организации-разработчика (изготовителя).

11.3 Транспортирование

ПО (ИО) транспортируют в таре, учитывающей специфику перевозки данных изделий на транспорте всех видов.

11.4 Хранение

Для хранения ПО (ИО) применяют носители данных, определенные в ТЗ.

Хранение ПО (ИО) должно соответствовать требованиям нормативных актов федерального органа исполнительной власти по геодезии и картографии, федерального органа исполнительной власти по обороне и других федеральных органов исполнительной власти.

12 Требования к техническому обеспечению ГИС

12.1 Состав и структуру ТО устанавливают в ТЗ на конкретную ГИС.

12.2 ТО должно удовлетворять следующим основным требованиям:

Поддержка совместно с ПО и ИО выполнения функциональных возможностей ГИС, определенных в ТЗ;

Обеспечение качества каждого технического средства и ТО в целом (включая производительность, надежность, эргономичность и др.);

Обеспечение безопасности;

Достижение совместимости (взаимозаменяемости) ТС;

Обеспечение автоматического (автоматизированного) поддержания работоспособности комплекса технических средств при сбоях в работе отдельных технических средств, каналов связи и системы электропитания;

Обеспечение автоматизированной реконфигурации ТО для решения конкретных задач пользователей;

Обеспечение обмена данными с другими ГИС и пользователями по каналам связи.

ПРИЛОЖЕНИЕ А

(справочное)

Библиография

Положение о Системе сертификации геодезической, топографической и картографической продукции, зарегистрированное Министерством юстиции Российской Федерации 14 сентября 2000 г., регистрационный № 2382 и Государственным реестром Госстандарта России 11 октября 2000 г., регистрационный № РОСС RU.0008.01KP00

Ключевые слова: федеральная географическая информационная система, региональная географическая информационная система, муниципальная географическая информационная система, пространственные данные, информационное обеспечение, программное обеспечение, техническое обеспечение, документирование программного и информационного обеспечения, комплектность программного и информационного обеспечения, маркировка, упаковка, транспортирование и хранение программного и информационного обеспечения

ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ

Список изменяющих документов

(в ред. Приказа ФСТЭК России от 15.02.2017 N 27)

В соответствии с частью 5 статьи 16 Федерального закона от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3448; 2010, N 31, ст. 4196; 2011, N 15, ст. 2038; N 30, ст. 4600; 2012, N 31, ст. 4328) и Положением о Федеральной службе по техническому и экспортному контролю, утвержденным Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818), ПРИКАЗЫВАЮ:

1. Утвердить прилагаемые Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах.

2. Установить, что указанные в пункте 1 настоящего приказа Требования применяются для защиты информации в государственных информационных системах с 1 сентября 2013 г.

Директор

Федеральной службы по техническому

и экспортному контролю

УТВЕРЖДЕНЫ

приказом ФСТЭК России

ТРЕБОВАНИЯ

О ЗАЩИТЕ ИНФОРМАЦИИ, НЕ СОСТАВЛЯЮЩЕЙ ГОСУДАРСТВЕННУЮ ТАЙНУ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ

I. Общие положения

1. Настоящие Требования разработаны в соответствии с Федеральным законом от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации» (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3448; 2010, N 31, ст. 4196; 2011, N 15, ст. 2038; N 30, ст. 4600; 2012, N 31, ст. 4328), а также с учетом национальных стандартов Российской Федерации в области защиты информации и в области создания автоматизированных систем (далее - национальные стандарты).

2. В документе устанавливаются требования к обеспечению защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну (далее - информация), от утечки по техническим каналам, несанкционированного доступа, специальных воздействий на такую информацию (носители информации) в целях ее добывания, уничтожения, искажения или блокирования доступа к ней (далее - защита информации) при обработке указанной информации в государственных информационных системах.

Настоящие Требования могут применяться для защиты общедоступной информации, содержащейся в государственных информационных системах, для достижения целей, указанных в пунктах 1 и 3 части 1 статьи 16 Федерального закона от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации".

В документе не рассматриваются требования о защите информации, связанные с применением криптографических методов защиты информации и шифровальных (криптографических) средств защиты информации.

3. Настоящие Требования являются обязательными при обработке информации в государственных информационных системах, функционирующих на территории Российской Федерации, а также в муниципальных информационных системах, если иное не установлено законодательством Российской Федерации о местном самоуправлении.

Настоящие Требования не распространяются на государственные информационные системы Администрации Президента Российской Федерации, Совета Безопасности Российской Федерации, Федерального Собрания Российской Федерации, Правительства Российской Федерации, Конституционного Суда Российской Федерации, Верховного Суда Российской Федерации и Федеральной службы безопасности Российской Федерации.

4. Настоящие Требования предназначены для обладателей информации, заказчиков, заключивших государственный контракт на создание государственной информационной системы (далее - заказчики) и операторов государственных информационных систем (далее - операторы).

Лицо, обрабатывающее информацию, являющуюся государственным информационным ресурсом, по поручению обладателя информации (заказчика) или оператора и (или) предоставляющее им вычислительные ресурсы (мощности) для обработки информации на основании заключенного договора (далее - уполномоченное лицо), обеспечивает защиту информации в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации. В договоре должна быть предусмотрена обязанность уполномоченного лица обеспечивать защиту информации, являющейся государственным информационным ресурсом, в соответствии с настоящими Требованиями.

5. При обработке в государственной информационной системе информации, содержащей персональные данные, настоящие Требования применяются наряду с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации
от 1 ноября 2012 г. N 1119 (Собрание законодательства Российской Федерации, 2012, N 45, ст. 6257).

6. По решению обладателя информации (заказчика) или оператора настоящие Требования могут применяться для защиты информации, содержащейся в негосударственных информационных системах.

7. Защита информации, содержащейся в государственной информационной системе (далее - информационная система), обеспечивается путем выполнения обладателем информации (заказчиком) и (или) оператором требований к организации защиты информации, содержащейся в информационной системе, и требований к мерам защиты информации, содержащейся в информационной системе.

II. Требования к организации защиты информации, содержащейся в информационной системе

8. В информационной системе объектами защиты являются информация, содержащаяся в информационной системе, технические средства (в том числе средства вычислительной техники, машинные носители информации, средства и системы связи и передачи данных, технические средства обработки буквенно-цифровой, графической, видео- и речевой информации), общесистемное, прикладное, специальное программное обеспечение, информационные технологии, а также средства защиты информации.

9. Для обеспечения защиты информации, содержащейся в информационной системе, оператором назначается структурное подразделение или должностное лицо (работник), ответственные за защиту информации.

10. Для проведения работ по защите информации в ходе создания и эксплуатации информационной системы обладателем информации (заказчиком) и оператором в соответствии с законодательством Российской Федерации при необходимости привлекаются организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации в соответствии с Федеральным законом от 4 мая 2011 г. N 99-ФЗ «О лицензировании отдельных видов деятельности» (Собрание законодательства Российской Федерации, 2011, N 19, ст. 2716; N 30, ст. 4590; N 43, ст. 5971; N 48, ст. 6728; 2012, N 26, ст. 3446; N 31, ст. 4322; 2013, N 9, ст. 874).

11. Для обеспечения защиты информации, содержащейся в информационной системе, применяются средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации в соответствии со статьей 5 Федерального закона от 27 декабря 2002 г. N 184-ФЗ «О техническом регулировании» (Собрание законодательства Российской Федерации, 2002, N 52, ст. 5140; 2007, N 19, ст. 2293; N 49, ст. 6070; 2008, N 30, ст. 3616; 2009, N 29, ст. 3626; N 48, ст. 5711; 2010, N 1, ст. 6; 2011, N 30, ст. 4603; N 49, ст. 7025; N 50, ст. 7351; 2012, N 31, ст. 4322; 2012, N 50, ст. 6959).

12. Защита информации, содержащейся в информационной системе, является составной частью работ по созданию и эксплуатации информационной системы и обеспечивается на всех стадиях (этапах) ее создания, в ходе эксплуатации и вывода из эксплуатации путем принятия организационных и технических мер защиты информации, направленных на блокирование (нейтрализацию) угроз безопасности информации в информационной системе, в рамках системы (подсистемы) защиты информации информационной системы (далее - система защиты информации информационной системы).

Организационные и технические меры защиты информации, реализуемые в рамках системы защиты информации информационной системы, в зависимости от информации, содержащейся в информационной системе, целей создания информационной системы и задач, решаемых этой информационной системой, должны быть направлены на исключение:

неправомерных доступа, копирования, предоставления или распространения информации (обеспечение конфиденциальности информации);

неправомерных уничтожения или модифицирования информации (обеспечение целостности информации);

неправомерного блокирования информации (обеспечение доступности информации).

13. Для обеспечения защиты информации, содержащейся в информационной системе, проводятся следующие мероприятия:

формирование требований к защите информации, содержащейся в информационной системе;

разработка системы защиты информации информационной системы;

внедрение системы защиты информации информационной системы;

аттестация информационной системы по требованиям защиты информации (далее - аттестация информационной системы) и ввод ее в действие;

обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы;

обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации.

Формирование требований к защите информации, содержащейся в информационной системе

14. Формирование требований к защите информации, содержащейся в информационной системе, осуществляется обладателем информации (заказчиком).

Формирование требований к защите информации, содержащейся в информационной системе, осуществляется с учетом ГОСТ Р 51583 «Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Общие положения» (далее - ГОСТ Р 51583) и ГОСТ Р 51624 «Защита информации. Автоматизированные системы в защищенном исполнении. Общие требования» (далее - ГОСТ Р 51624) и в том числе включает:

принятие решения о необходимости защиты информации, содержащейся в информационной системе;

классификацию информационной системы по требованиям защиты информации (далее - классификация информационной системы);

определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации;

определение требований к системе защиты информации информационной системы.

14.1. При принятии решения о необходимости защиты информации, содержащейся в информационной системе, осуществляется:

анализ целей создания информационной системы и задач, решаемых этой информационной системой;

определение информации, подлежащей обработке в информационной системе;

анализ нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система;

принятие решения о необходимости создания системы защиты информации информационной системы, а также определение целей и задач защиты информации в информационной системе, основных этапов создания системы защиты информации информационной системы и функций по обеспечению защиты информации, содержащейся в информационной системе, обладателя информации (заказчика), оператора и уполномоченных лиц.

14.2. Классификация информационной системы проводится в зависимости от значимости обрабатываемой в ней информации и масштаба информационной системы (федеральный, региональный, объектовый).

Устанавливаются три класса защищенности информационной системы, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс - третий, самый высокий - первый. Класс защищенности информационной системы определяется в соответствии с приложением N 1 к настоящим Требованиям.

Класс защищенности определяется для информационной системы в целом и, при необходимости, для ее отдельных сегментов (составных частей). Требование к классу защищенности включается в техническое задание на создание информационной системы и (или) техническое задание (частное техническое задание) на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34.602 «Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы» (далее - ГОСТ 34.602), ГОСТ Р 51583 и ГОСТ Р 51624.

Класс защищенности информационной системы подлежит пересмотру при изменении масштаба информационной системы или значимости обрабатываемой в ней информации.

Результаты классификации информационной системы оформляются актом классификации.

14.3. Угрозы безопасности информации определяются по результатам оценки возможностей (потенциала) внешних и внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации (конфиденциальности, целостности, доступности).

В качестве исходных данных для определения угроз безопасности информации используется банк данных угроз безопасности информации (bdu.сайт), ведение которого осуществляется ФСТЭК России в соответствии с подпунктом 21 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818; 2013, N 26, ст. 3314; N 53, ст. 7137; 2014, N 36, ст. 4833; N 44, ст. 6041; 2015, N 4, ст. 641; 2016, N 1, ст. 211) (далее – банк данных угроз безопасности информации ФСТЭК России), а также иные источники, содержащие сведения об уязвимостях и угрозах безопасности информации.

При определении угроз безопасности информации учитываются структурно-функциональные характеристики информационной системы, включающие структуру и состав информационной системы, физические, логические, функциональные и технологические взаимосвязи между сегментами информационной системы, с иными информационными системами и информационно-телекоммуникационными сетями, режимы обработки информации в информационной системе и в ее отдельных сегментах, а также иные характеристики информационной системы, применяемые информационные технологии и особенности ее функционирования.

По результатам определения угроз безопасности информации при необходимости разрабатываются рекомендации по корректировке структурно-функциональных характеристик информационной системы, направленные на блокирование (нейтрализацию) отдельных угроз безопасности информации.

Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей (модель нарушителя), возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации.

Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818).

14.4. Требования к системе защиты информации информационной системы определяются в зависимости от класса защищенности информационной системы и угроз безопасности информации, включенных в модель угроз безопасности информации.

Требования к системе защиты информации информационной системы включаются в техническое задание на создание информационной системы и (или) техническое задание (частное техническое задание) на создание системы защиты информации информационной системы, разрабатываемые с учетом ГОСТ 34.602, ГОСТ Р 51583 и ГОСТ Р 51624, и должны в том числе содержать:

цель и задачи обеспечения защиты информации в информационной системе;

класс защищенности информационной системы;

перечень нормативных правовых актов, методических документов и национальных стандартов, которым должна соответствовать информационная система;

перечень объектов защиты информационной системы;

требования к мерам и средствам защиты информации, применяемым в информационной системе;

стадии (этапы работ) создания системы защиты информационной системы;

требования к поставляемым техническим средствам, программному обеспечению, средствам защиты информации;

функции заказчика и оператора по обеспечению защиты информации в информационной системе;

требования к защите средств и систем, обеспечивающих функционирование информационной системы (обеспечивающей инфраструктуре);

требования к защите информации при информационном взаимодействии с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также при применении вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки информации.

При определении требований к системе защиты информации информационной системы учитываются положения политик обеспечения информационной безопасности обладателя информации (заказчика), а также политик обеспечения информационной безопасности оператора и уполномоченного лица в части, не противоречащей политикам обладателя информации (заказчика).

Разработка системы защиты информации информационной системы

15. Разработка системы защиты информации информационной системы организуется обладателем информации (заказчиком).

Разработка системы защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации информационной системы с учетом ГОСТ 34.601 «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания» (далее - ГОСТ 34.601), ГОСТ Р 51583 и ГОСТ Р 51624 и в том числе включает:

проектирование системы защиты информации информационной системы;

разработку эксплуатационной документации на систему защиты информации информационной системы;

макетирование и тестирование системы защиты информации информационной системы (при необходимости).

Система защиты информации информационной системы не должна препятствовать достижению целей создания информационной системы и ее функционированию.

При разработке системы защиты информации информационной системы учитывается ее информационное взаимодействие с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также применение вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки информации.

15.1. При проектировании системы защиты информации информационной системы:

определяются типы субъектов доступа (пользователи, процессы и иные субъекты доступа) и объектов доступа, являющихся объектами защиты (устройства, объекты файловой системы, запускаемые и исполняемые модули, объекты системы управления базами данных, объекты, создаваемые прикладным программным обеспечением, иные объекты доступа);

определяются методы управления доступом (дискреционный, мандатный, ролевой или иные методы), типы доступа (чтение, запись, выполнение или иные типы доступа) и правила разграничения доступа субъектов доступа к объектам доступа (на основе списков, меток безопасности, ролей и иных правил), подлежащие реализации в информационной системе;

выбираются меры защиты информации, подлежащие реализации в системе защиты информации информационной системы;

определяются виды и типы средств защиты информации, обеспечивающие реализацию технических мер защиты информации;

определяется структура системы защиты информации информационной системы, включая состав (количество) и места размещения ее элементов;

осуществляется выбор средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, с учетом их стоимости, совместимости с информационными технологиями и техническими средствами, функций безопасности этих средств и особенностей их реализации, а также класса защищенности информационной системы;

определяются требования к параметрам настройки программного обеспечения, включая программное обеспечение средств защиты информации, обеспечивающие реализацию мер защиты информации, а также устранение возможных уязвимостей информационной системы, приводящих к возникновению угроз безопасности информации;

определяются меры защиты информации при информационном взаимодействии с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также при применении вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки информации.

Результаты проектирования системы защиты информации информационной системы отражаются в проектной документации (эскизном (техническом) проекте и (или) в рабочей документации) на информационную систему (систему защиты информации информационной системы), разрабатываемых с учетом ГОСТ 34.201 «Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем» (далее - ГОСТ 34.201).

Проектная документация на информационную систему и (или) ее систему защиты информации подлежат согласованию с оператором информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту окончания проектирования системы защиты информации информационной системы и не является заказчиком данной информационной системы.

При отсутствии необходимых средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, организуется разработка (доработка) средств защиты информации и их сертификация в соответствии с законодательством Российской Федерации или производится корректировка проектных решений по информационной системе и (или) ее системе защиты информации с учетом функциональных возможностей имеющихся сертифицированных средств защиты информации.

15.2. Разработка эксплуатационной документации на систему защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации информационной системы.

Эксплуатационная документация на систему защиты информации информационной системы разрабатывается с учетом ГОСТ 34.601, ГОСТ 34.201 и ГОСТ Р 51624 и должна в том числе содержать описание:

структуры системы защиты информации информационной системы;

состава, мест установки, параметров и порядка настройки средств защиты информации, программного обеспечения и технических средств;

правил эксплуатации системы защиты информации информационной системы.

15.3. При макетировании и тестировании системы защиты информации информационной системы в том числе осуществляются:

проверка работоспособности и совместимости выбранных средств защиты информации с информационными технологиями и техническими средствами;

проверка выполнения выбранными средствами защиты информации требований к системе защиты информации информационной системы;

корректировка проектных решений, разработанных при создании информационной системы и (или) системы защиты информации информационной системы.

Макетирование системы защиты информации информационной системы и ее тестирование может проводиться в том числе с использованием средств и методов моделирования информационных систем и технологий виртуализации.

Внедрение системы защиты информации информационной системы

16. Внедрение системы защиты информации информационной системы организуется обладателем информации (заказчиком).

Внедрение системы защиты информации информационной системы осуществляется в соответствии с проектной и эксплуатационной документацией на систему защиты информации информационной системы и в том числе включает:

установку и настройку средств защиты информации в информационной системе;

разработку документов, определяющих правила и процедуры, реализуемые оператором для обеспечения защиты информации в информационной системе в ходе ее эксплуатации (далее - организационно-распорядительные документы по защите информации);

внедрение организационных мер защиты информации;

предварительные испытания системы защиты информации информационной системы;

опытную эксплуатацию системы защиты информации информационной системы;

анализ уязвимостей информационной системы и принятие мер защиты информации по их устранению;

приемочные испытания системы защиты информации информационной системы.

К внедрению системы защиты информации информационной системы привлекается оператор информационной системы в случае, если он определен таковым в соответствии с законодательством Российской Федерации к моменту внедрения системы защиты информации информационной системы и не является заказчиком данной информационной системы.

16.1. Установка и настройка средств защиты информации в информационной системе должна проводиться в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и документацией на средства защиты информации.

16.2. Разрабатываемые организационно-распорядительные документы по защите информации должны определять правила и процедуры:

управления (администрирования) системой защиты информации информационной системы;

выявления инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности информации (далее - инциденты), и реагирования на них;

управления конфигурацией аттестованной информационной системы и системы защиты информации информационной системы;

контроля (мониторинга) за обеспечением уровня защищенности информации, содержащейся в информационной системе;

защиты информации при выводе из эксплуатации информационной системы или после принятия решения об окончании обработки информации.

16.3. При внедрении организационных мер защиты информации осуществляются:

реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации технических средств и программного обеспечения;

проверка полноты и детальности описания в организационно-распорядительных документах по защите информации действий пользователей и администраторов информационной системы по реализации организационных мер защиты информации;

отработка действий должностных лиц и подразделений, ответственных за реализацию мер защиты информации.

16.4. Предварительные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34.603 «Информационная технология. Виды испытаний автоматизированных систем» (далее - ГОСТ 34.603) и включают проверку работоспособности системы защиты информации информационной системы, а также принятие решения о возможности опытной эксплуатации системы защиты информации информационной системы.

16.5. Опытная эксплуатация системы защиты информации информационной системы проводится с учетом ГОСТ 34.603 и включает проверку функционирования системы защиты информации информационной системы, в том числе реализованных мер защиты информации, а также готовность пользователей и администраторов к эксплуатации системы защиты информации информационной системы.

16.6. Анализ уязвимостей информационной системы проводится в целях оценки возможности преодоления нарушителем системы защиты информации информационной системы и предотвращения реализации угроз безопасности информации.

Анализ уязвимостей информационной системы включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы.

При анализе уязвимостей информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением.

В случае выявления уязвимостей информационной системы, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей.

По результатам анализа уязвимостей должно быть подтверждено, что в информационной системе отсутствуют уязвимости, содержащиеся в банке данных угроз безопасности информации ФСТЭК России, а также в иных источниках, или их использование (эксплуатация) нарушителем невозможно.

16.7. Приемочные испытания системы защиты информации информационной системы проводятся с учетом ГОСТ 34.603 и включают проверку выполнения требований к системе защиты информации информационной системы в соответствии с техническим заданием на создание информационной системы и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации информационной системы.

Аттестация информационной системы и ввод ее в действие

17. Аттестация информационной системы организуется обладателем информации (заказчиком) или оператором и включает проведение комплекса организационных и технических мероприятий (аттестационных испытаний), в результате которых подтверждается соответствие системы защиты информации информационной системы настоящим Требованиям.

Проведение аттестационных испытаний информационной системы должностными лицами, осуществляющими проектирование и (или) внедрение системы защиты информации информационной системы, не допускается.

17.1. В качестве исходных данных, необходимых для аттестации информационной системы, используются модель угроз безопасности информации, акт классификации информационной системы, техническое задание на создание информационной системы и (или) техническое задание (частное техническое задание) на создание системы защиты информации информационной системы, проектная и эксплуатационная документация на систему защиты информации информационной системы, организационно-распорядительные документы по защите информации, результаты анализа уязвимостей информационной системы, материалы предварительных и приемочных испытаний системы защиты информации информационной системы, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями.

17.2. Аттестация информационной системы проводится в соответствии с программой и методиками аттестационных испытаний до начала обработки информации, подлежащей защите в информационной системе. Для проведения аттестации информационной системы применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.

По результатам аттестационных испытаний оформляются протоколы аттестационных испытаний, заключение о соответствии информационной системы требованиям о защите информации и аттестат соответствия в случае положительных результатов аттестационных испытаний.

При проведении аттестационных испытаний должны применяться следующие методы проверок (испытаний):

экспертно-документальный метод, предусматривающий проверку соответствия системы защиты информации информационной системы установленным требованиям по защите информации, на основе оценки эксплуатационной документации, организационно-распорядительных документов по защите информации, а также условий функционирования информационной системы;

анализ уязвимостей информационной системы, в том числе вызванных неправильной настройкой (конфигурированием) программного обеспечения и средств защиты информации;

испытания системы защиты информации путем осуществления попыток несанкционированного доступа (воздействия) к информационной системе в обход ее системы защиты информации.

17.3. Допускается аттестация информационной системы на основе результатов аттестационных испытаний выделенного набора сегментов информационной системы, реализующих полную технологию обработки информации.

В этом случае распространение аттестата соответствия на другие сегменты информационной системы осуществляется при условии их соответствия сегментам информационной системы, прошедшим аттестационные испытания.

Сегмент считается соответствующим сегменту информационной системы, в отношении которого были проведены аттестационные испытания, если для указанных сегментов установлены одинаковые классы защищенности, угрозы безопасности информации, реализованы одинаковые проектные решения по информационной системе и ее системе защиты информации.

Соответствие сегмента, на который распространяется аттестат соответствия, сегменту информационной системы, в отношении которого были проведены аттестационные испытания, подтверждается в ходе приемочных испытаний информационной системы или сегментов информационной системы.

В сегментах информационной системы, на которые распространяется аттестат соответствия, оператором обеспечивается соблюдение эксплуатационной документации на систему защиты информации информационной системы и организационно-распорядительных документов по защите информации.

Особенности аттестации информационной системы на основе результатов аттестационных испытаний выделенного набора ее сегментов, а также условия и порядок распространения аттестата соответствия на другие сегменты информационной системы определяются в программе и методиках аттестационных испытаний, заключении и аттестате соответствия.

17.4. Повторная аттестация информационной системы осуществляется по окончании срока действия аттестата соответствия, который не может превышать 5 лет, или повышения класса защищенности информационной системы. При увеличении состава угроз безопасности информации или изменения проектных решений, реализованных при создании системы защиты информации информационной системы, проводятся дополнительные аттестационные испытания в рамках действующего аттестата соответствия.

17.5. Ввод в действие информационной системы осуществляется в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации и с учетом ГОСТ 34.601 и при наличии аттестата соответствия.

17.6. Информационные системы, функционирующие на базе общей инфраструктуры (средств вычислительной техники, серверов телекоммуникационного оборудования) в качестве прикладных сервисов, подлежат аттестации в составе указанной инфраструктуры.

В случае, если информационная система создается на базе центра обработки данных уполномоченного лица, такой центр обработки данных должен быть аттестован по классу защищенности не ниже класса защищенности, установленного для создаваемой информационной системы.

При аттестации информационной системы должны используются результаты аттестации общей инфраструктуры оператора информационной системы.

Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы

18. Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты информации и организационно-распорядительными документами по защите информации и в том числе включает:

управление (администрирование) системой защиты информации информационной системы;

выявление инцидентов и реагирование на них;

управление конфигурацией аттестованной информационной системы и ее системы защиты информации;

контроль (мониторинг) за обеспечением уровня защищенности информации, содержащейся в информационной системе.

18.1. В ходе управления (администрирования) системой защиты информации информационной системы осуществляются:

заведение и удаление учетных записей пользователей, управление полномочиями пользователей информационной системы и поддержание правил разграничения доступа в информационной системе;

управление средствами защиты информации в информационной системе, в том числе параметрами настройки программного обеспечения, включая программное обеспечение средств защиты информации, управление учетными записями пользователей, восстановление работоспособности средств защиты информации, генерацию, смену и восстановление паролей;

установка обновлений программного обеспечения, включая программное обеспечение средств защиты информации, выпускаемых разработчиками (производителями) средств защиты информации или по их поручению;

централизованное управление системой защиты информации информационной системы (при необходимости);

регистрация и анализ событий в информационной системе, связанных с защитой информации (далее - события безопасности);

информирование пользователей об угрозах безопасности информации, о правилах эксплуатации системы защиты информации информационной системы и отдельных средств защиты информации, а также их обучение;

сопровождение функционирования системы защиты информации информационной системы в ходе ее эксплуатации, включая корректировку эксплуатационной документации на нее и организационно-распорядительных документов по защите информации;

18.2. В ходе выявления инцидентов и реагирования на них осуществляются:

определение лиц, ответственных за выявление инцидентов и реагирование на них;

обнаружение и идентификация инцидентов, в том числе отказов в обслуживании, сбоев (перезагрузок) в работе технических средств, программного обеспечения и средств защиты информации, нарушений правил разграничения доступа, неправомерных действий по сбору информации, внедрений вредоносных компьютерных программ (вирусов) и иных событий, приводящих к возникновению инцидентов;

своевременное информирование лиц, ответственных за выявление инцидентов и реагирование на них, о возникновении инцидентов в информационной системе пользователями и администраторами;

анализ инцидентов, в том числе определение источников и причин возникновения инцидентов, а также оценка их последствий;

планирование и принятие мер по устранению инцидентов, в том числе по восстановлению информационной системы и ее сегментов в случае отказа в обслуживании или после сбоев, устранению последствий нарушения правил разграничения доступа, неправомерных действий по сбору информации, внедрения вредоносных компьютерных программ (вирусов) и иных событий, приводящих к возникновению инцидентов;

планирование и принятие мер по предотвращению повторного возникновения инцидентов.

18.3. В ходе управления конфигурацией аттестованной информационной системы и ее системы защиты информации осуществляются:

поддержание конфигурации информационной системы и ее системы защиты информации (структуры системы защиты информации информационной системы, состава, мест установки и параметров настройки средств защиты информации, программного обеспечения и технических средств) в соответствии с эксплуатационной документацией на систему защиты информации (поддержание базовой конфигурации информационной системы и ее системы защиты информации);

определение лиц, которым разрешены действия по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации;

управление изменениями базовой конфигурации информационной системы и ее системы защиты информации, в том числе определение типов возможных изменений базовой конфигурации информационной системы и ее системы защиты информации, санкционирование внесения изменений в базовую конфигурацию информационной системы и ее системы защиты информации, документирование действий по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации, сохранение данных об изменениях базовой конфигурации информационной системы и ее системы защиты информации, контроль действий по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации;

анализ потенциального воздействия планируемых изменений в базовой конфигурации информационной системы и ее системы защиты информации на обеспечение защиты информации, возникновение дополнительных угроз безопасности информации и работоспособность информационной системы;

определение параметров настройки программного обеспечения, включая программное обеспечение средств защиты информации, состава и конфигурации технических средств и программного обеспечения до внесения изменений в базовую конфигурацию информационной системы и ее системы защиты информации;

внесение информации (данных) об изменениях в базовой конфигурации информационной системы и ее системы защиты информации в эксплуатационную документацию на систему защиты информации информационной системы;

принятие решения по результатам управления конфигурацией о повторной аттестации информационной системы или проведении дополнительных аттестационных испытаний.

18.4. В ходе контроля (мониторинга) за обеспечением уровня защищенности информации, содержащейся в информационной системе, осуществляются:

контроль за событиями безопасности и действиями пользователей в информационной системе;

контроль (анализ) защищенности информации, содержащейся в информационной системе;

анализ и оценка функционирования системы защиты информации информационной системы, включая выявление, анализ и устранение недостатков в функционировании системы защиты информации информационной системы;

периодический анализ изменения угроз безопасности информации в информационной системе, возникающих в ходе ее эксплуатации, и принятие мер защиты информации в случае возникновения новых угроз безопасности информации;

документирование процедур и результатов контроля (мониторинга) за обеспечением уровня защищенности информации, содержащейся в информационной системе;

принятие решения по результатам контроля (мониторинга) за обеспечением уровня защищенности информации о доработке (модернизации) системы защиты информации информационной системы, повторной аттестации информационной системы или проведении дополнительных аттестационных испытаний.

Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации

19. Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и организационно-распорядительными документами по защите информации и в том числе включает:

архивирование информации, содержащейся в информационной системе;

уничтожение (стирание) данных и остаточной информации с машинных носителей информации и (или) уничтожение машинных носителей информации.

19.1. Архивирование информации, содержащейся в информационной системе, должно осуществляться при необходимости дальнейшего использования информации в деятельности оператора.

19.2. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю информационной системы или в сторонние организации для ремонта, технического обслуживания или дальнейшего уничтожения.

При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, осуществляется физическое уничтожение этих машинных носителей информации.

III. Требования к мерам защиты информации, содержащейся в информационной системе

20. Организационные и технические меры защиты информации, реализуемые в информационной системе в рамках ее системы защиты информации, в зависимости от угроз безопасности информации, используемых информационных технологий и структурно-функциональных характеристик информационной системы должны обеспечивать:

идентификацию и аутентификацию субъектов доступа и объектов доступа;

управление доступом субъектов доступа к объектам доступа;

ограничение программной среды;

защиту машинных носителей информации;

регистрацию событий безопасности;

антивирусную защиту;

обнаружение (предотвращение) вторжений;

контроль (анализ) защищенности информации;

целостность информационной системы и информации;

доступность информации;

защиту среды виртуализации;

защиту технических средств;

защиту информационной системы, ее средств, систем связи и передачи данных.

Состав мер защиты информации и их базовые наборы для соответствующих классов защищенности информационных систем приведены в приложении N 2 к настоящим Требованиям.

20.1. Меры по идентификации и аутентификации субъектов доступа и объектов доступа должны обеспечивать присвоение субъектам и объектам доступа уникального признака (идентификатора), сравнение предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов, а также проверку принадлежности субъекту (объекту) доступа предъявленного им идентификатора (подтверждение подлинности).

20.2. Меры по управлению доступом субъектов доступа к объектам доступа должны обеспечивать управление правами и привилегиями субъектов доступа, разграничение доступа субъектов доступа к объектам доступа на основе совокупности установленных в информационной системе правил разграничения доступа, а также обеспечивать контроль соблюдения этих правил.

20.3. Меры по ограничению программной среды должны обеспечивать установку и (или) запуск только разрешенного к использованию в информационной системе программного обеспечения или исключать возможность установки и (или) запуска запрещенного к использованию в информационной системе программного обеспечения.

20.4. Меры по защите машинных носителей информации (средства обработки (хранения) информации, съемные машинные носители информации) должны исключать возможность несанкционированного доступа к машинным носителям и хранящейся на них информации, а также несанкционированное использование съемных машинных носителей информации.

20.5. Меры по регистрации событий безопасности должны обеспечивать сбор, запись, хранение и защиту информации о событиях безопасности в информационной системе, а также возможность просмотра и анализа информации о таких событиях и реагирование на них.

20.6. Меры по антивирусной защите должны обеспечивать обнаружение в информационной системе компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирование на обнаружение этих программ и информации.

20.7. Меры по обнаружению (предотвращению) вторжений должны обеспечивать обнаружение действий в информационной системе, направленных на преднамеренный несанкционированный доступ к информации, специальные воздействия на информационную систему и (или) информацию в целях ее добывания, уничтожения, искажения и блокирования доступа к информации, а также реагирование на эти действия.

20.8. Меры по контролю (анализу) защищенности информации должны обеспечивать контроль уровня защищенности информации, содержащейся в информационной системе, путем проведения мероприятий по анализу защищенности информационной системы и тестированию ее системы защиты информации.

20.9. Меры по обеспечению целостности информационной системы и информации должны обеспечивать обнаружение фактов несанкционированного нарушения целостности информационной системы и содержащейся в ней информации, а также возможность восстановления информационной системы и содержащейся в ней информации.

20.10. Меры по обеспечению доступности информации должны обеспечивать авторизованный доступ пользователей, имеющих права по такому доступу, к информации, содержащейся в информационной системе, в штатном режиме функционирования информационной системы.

20.11. Меры по защите среды виртуализации должны исключать несанкционированный доступ к информации, обрабатываемой в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры, а также воздействие на информацию и компоненты, в том числе к средствам управления виртуальной инфраструктурой, монитору виртуальных машин (гипервизору), системе хранения данных (включая систему хранения образов виртуальной инфраструктуры), сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевым операционным системам, виртуальным машинам (контейнерам), системе и сети репликации, терминальным и виртуальным устройствам, а также системе резервного копирования и создаваемым ею копиям.

20.12. Меры по защите технических средств должны исключать несанкционированный доступ к стационарным техническим средствам, обрабатывающим информацию, средствам, обеспечивающим функционирование информационной системы (далее - средства обеспечения функционирования), и в помещения, в которых они постоянно расположены, защиту технических средств от внешних воздействий, а также защиту информации, представленной в виде информативных электрических сигналов и физических полей.

20.13. Меры по защите информационной системы, ее средств, систем связи и передачи данных должны обеспечивать защиту информации при взаимодействии информационной системы или ее отдельных сегментов с иными информационными системами и информационно-телекоммуникационными сетями посредством применения архитектуры информационной системы, проектных решений по ее системе защиты информации, направленных на обеспечение защиты информации.

21. Выбор мер защиты информации для их реализации в информационной системе в рамках ее системы защиты информации включает:

определение базового набора мер защиты информации для установленного класса защищенности информационной системы в соответствии с базовыми наборами мер защиты информации, приведенными в приложении N 2 к настоящим Требованиям;

адаптацию базового набора мер защиты информации применительно к структурно-функциональным характеристикам информационной системы, информационным технологиям, особенностям функционирования информационной системы (в том числе предусматривающую исключение из базового набора мер защиты информации мер, непосредственно связанных с информационными технологиями, не используемыми в информационной системе, или структурно-функциональными характеристиками, не свойственными информационной системе);

уточнение адаптированного базового набора мер защиты информации с учетом не выбранных ранее мер защиты информации, приведенных в приложении N 2 к настоящим Требованиям, в результате чего определяются меры защиты информации, обеспечивающие блокирование (нейтрализацию) всех угроз безопасности информации, включенных в модель угроз безопасности информации;

дополнение уточненного адаптированного базового набора мер защиты информации мерами, обеспечивающими выполнение требований о защите информации, установленными иными нормативными правовыми актами в области защиты информации, в том числе в области защиты персональных данных.

Для выбора мер защиты информации для соответствующего класса защищенности информационной системы применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.

22. В информационной системе соответствующего класса защищенности в рамках ее системы защиты информации должны быть реализованы меры защиты информации, выбранные в соответствии с пунктом 21 настоящих Требований и обеспечивающие блокирование (нейтрализацию) всех угроз безопасности информации.

При этом в информационной системе должен быть, как минимум, реализован адаптированный базовый набор мер защиты информации, соответствующий установленному классу защищенности информационной системы.

23. При невозможности реализации в информационной системе в рамках ее системы защиты информации отдельных выбранных мер защиты информации на этапах адаптации базового набора мер защиты информации или уточнения адаптированного базового набора мер защиты информации могут разрабатываться иные (компенсирующие) меры защиты информации, обеспечивающие адекватное блокирование (нейтрализацию) угроз безопасности информации.

В этом случае в ходе разработки системы защиты информации информационной системы должно быть проведено обоснование применения компенсирующих мер защиты информации, а при аттестационных испытаниях оценена достаточность и адекватность данных компенсирующих мер для блокирования (нейтрализации) угроз безопасности информации.

24. Меры защиты информации выбираются и реализуются в информационной системе в рамках ее системы защиты информации с учетом угроз безопасности информации применительно ко всем объектам и субъектам доступа на аппаратном, системном, прикладном и сетевом уровнях, в том числе в среде виртуализации и облачных вычислений.

25. Организационные меры и средства защиты информации, применяемые в информационной системе, должны обеспечивать:

в информационных системах 1 класса защищенности – защиту от угроз безопасности информации, связанных с действиями нарушителей с высоким потенциалом;

в информационных системах 2 класса защищенности – защиту от угроз безопасности информации, связанных с действиями нарушителей с потенциалом не ниже усиленного базового;

в информационных системах 3 класса защищенности – защиту от угроз безопасности информации, связанных с действиями нарушителей с потенциалом не ниже базового.

Потенциал нарушителей определяется в ходе оценки их возможностей, проводимой при определении угроз безопасности информации в соответствии с пунктом 14.3 настоящих Требований.

Оператором может быть принято решение о применении в информационной системе соответствующего класса защищенности мер защиты информации, обеспечивающих защиту от угроз безопасности информации, реализуемых нарушителями с более высоким потенциалом.

26. Технические меры защиты информации реализуются посредством применения средств защиты информации, в том числе программных (программно-аппаратных) средств, в которых они реализованы, имеющих необходимые функции безопасности. При этом:

в информационных системах 1 класса защищенности применяются средства защиты информации не ниже 4 класса, а также средства вычислительной техники не ниже 5 класса;

в информационных системах 2 класса защищенности применяются средства защиты информации не ниже 5 класса, а также средства вычислительной техники не ниже 5 класса;

в информационных системах 3 класса защищенности применяются средства защиты информации 6 класса, а также средства вычислительной техники не ниже 5 класса.

В информационных системах 1 и 2 классов защищенности применяются средства защиты информации, прошедшие проверку не ниже чем по 4 уровню контроля отсутствия недекларированных возможностей.

Классы защиты определяются в соответствии с нормативными правовыми актами ФСТЭК России, изданными в соответствии с подпунктом 13.1 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.

В информационных системах применяются средства защиты информации, сертифицированные на соответствие обязательным требованиям по безопасности информации, установленным ФСТЭК России, или на соответствие требованиям, указанным в технических условиях (заданиях по безопасности). При этом функции безопасности таких средств должны обеспечивать выполнение настоящих Требований.

27. В случае обработки в информационной системе информации, содержащей персональные данные, реализуемые в соответствии с пунктами 21 и 22 настоящих Требований меры защиты информации:

для информационной системы 1 класса защищенности обеспечивают 1, 2, 3 и 4 уровни защищенности персональных данных 1 ;

для информационной системы 2 класса защищенности обеспечивают 2, 3 и 4 уровни защищенности персональных данных 1 ;

для информационной системы 3 класса защищенности обеспечивают 3 и 4 уровни защищенности персональных данных 1 .

28. При использовании в информационных системах новых информационных технологий и выявлении дополнительных угроз безопасности информации, для которых не определены меры защиты информации, должны разрабатываться компенсирующие меры в соответствии с пунктом 23 настоящих Требований.

___________________________________

1 Устанавливается в соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119.

Приложение N 1

не составляющей государственную тайну,

информационных системах

Определение класса защищенности информационной системы

1. Класс защищенности информационной системы (первый класс (К1), второй класс (К2), третий класс (К3)) определяется в зависимости от уровня значимости информации (УЗ), обрабатываемой в этой информационной системе, и масштаба информационной системы (федеральный, региональный, объектовый).

Класс защищенности (К) = [уровень значимости информации; масштаб системы].

2. Уровень значимости информации определяется степенью возможного ущерба для обладателя информации (заказчика) и (или) оператора от нарушения конфиденциальности (неправомерные доступ, копирование, предоставление или распространение), целостности (неправомерные уничтожение или модифицирование) или доступности (неправомерное блокирование) информации.

УЗ = [(конфиденциальность, степень ущерба) (целостность, степень ущерба) (доступность, степень ущерба)],

где степень возможного ущерба определяется обладателем информации (заказчиком) и (или) оператором самостоятельно экспертным или иными методами и может быть:

высокой, если в результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны существенные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) информационная система и (или) оператор (обладатель информации) не могут выполнять возложенные на них функции;

средней, если в результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны умеренные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) информационная система и (или) оператор (обладатель информации) не могут выполнять хотя бы одну из возложенных на них функций;

низкой, если в результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны незначительные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) информационная система и (или) оператор (обладатель информации) могут выполнять возложенные на них функции с недостаточной эффективностью или выполнение функций возможно только с привлечением дополнительных сил и средств.

Информация имеет высокий уровень значимости (УЗ 1), если хотя бы для одного из свойств безопасности информации (конфиденциальности, целостности, доступности) определена высокая степень ущерба. Информация имеет средний уровень значимости (УЗ 2), если хотя бы для одного из свойств безопасности информации (конфиденциальности, целостности, доступности) определена средняя степень ущерба и нет ни одного свойства, для которого определена высокая степень ущерба. Информация имеет низкий уровень значимости (УЗ 3), если для всех свойств безопасности информации (конфиденциальности, целостности, доступности) определены низкие степени ущерба.

При обработке в информационной системе двух и более видов информации (служебная тайна, налоговая тайна и иные установленные законодательством Российской Федерации виды информации ограниченного доступа) уровень значимости информации (УЗ) определятся отдельно для каждого вида информации. Итоговый уровень значимости информации, обрабатываемой в информационной системе, устанавливается по наивысшим значениям степени возможного ущерба, определенным для конфиденциальности, целостности, доступности информации каждого вида информации.

3. Информационная система имеет федеральный масштаб, если она функционирует на территории Российской Федерации (в пределах федерального округа) и имеет сегменты в субъектах Российской Федерации, муниципальных образованиях и (или) организациях.

Информационная система имеет региональный масштаб, если она функционирует на территории субъекта Российской Федерации и имеет сегменты в одном или нескольких муниципальных образованиях и (или) подведомственных и иных организациях.

Информационная система имеет объектовый масштаб, если она функционирует на объектах одного федерального органа государственной власти, органа государственной власти субъекта Российской Федерации, муниципального образования и (или) организации и не имеет сегментов в территориальных органах, представительствах, филиалах, подведомственных и иных организациях.

4. Класс защищенности информационной системы определяется в соответствии с таблицей:

Приложение N 2

к Требованиям о защите информации,

не составляющей государственную тайну,

информационных системах

Состав мер защиты информации и их базовые наборы для соответствующего класса защищенности информационной системы

«+» - мера защиты информации включена в базовый набор мер для соответствующего класса защищенности информационной системы.

Меры защиты информации, не обозначенные знаком «+», применяются при адаптации базового набора мер и уточнении адаптированного базового набора мер, а также при разработке компенсирующих мер защиты информации в информационной системе соответствующего класса защищенности.