Załącznik VI do SOPZ. Standard określania klasy bezpieczeństwa systemu informatycznego resortu finansów

Transkrypt

1 Dane dokumentu Nazwa Projektu: Kontrakt Konsolidacja i Centralizacja Systemów Celnych i Podatkowych Studium Projektowe Konsolidacji i Centralizacji Systemów Celnych i Podatkowych (SPKiCSCP) Numer wersji dokumentu: Umowa MF: C/123/09/DI/B/140 Data wersji dokumentu: Strona 1 z 22

2 Spis treści: 1. Cel i przeznaczenie dokumentu Wstęp Słownik Pojęć Przyjęte założenia i ograniczenia Dokumenty stowarzyszone Klasy informatycznego Klasa B Klasa B Klasa B Klasa BX Metoda oraz algorytm kwalifikacji systemów informatycznych Załącznik A Strona 2 z 22

3 1. Cel i przeznaczenie dokumentu Celem dokumentu jest wprowadzenie ujednoliconej, uporządkowanej i jednoznacznej klasyfikacji oraz metody kwalifikacji systemów informatycznych w odniesieniu do wymagań Polityki Bezpieczeństwa Środowiska IT CPD MF resortu finansów. Stanowi on referencję dla projektów informatycznych pod względem definiowania wymagań bezpieczeństwa, jakie muszą spełniać systemy i aplikacje funkcjonujące w tym środowisku. 2. Wstęp Podstawą dla działań w zakresie bezpieczeństwa systemów funkcjonujących w środowisku IT CPD MF resortu finansów, jak również informacji przez nie przetwarzanych, jest Polityka Bezpieczeństwa Środowiska IT CPD MF. Powinna ona być traktowana, jako nadrzędna względem wszystkich dokumentów regulujących ten obszar w resorcie finansów. Polityka Bezpieczeństwa Środowiska IT CPD MF resortu finansów definiuje podstawy do sprawnego, skutecznego i spójnego zarządzania bezpieczeństwem IT. Oparta jest na powszechnie uznanych normach, standardach i dobrych praktykach z zakresu bezpieczeństwa IT. Zawiera zbiór wymagań zarówno organizacyjnych, jak i technicznych nałożonych na systemy, spełnienie których jest kluczowym elementem zapewnienia bezpieczeństwa informacji wytwarzanych, przechowywanych, przetwarzanych i przekazywanych przez te systemy. Dokument " " definiuje klasy bezpieczeństwa systemów, przypisuje im odpowiednie mechanizmy i rozwiązania z zakresu bezpieczeństwa. Dokumentacja Polityki Bezpieczeństwa odnosi się do niniejszego dokumentu ilekroć określa wymagania dla systemu dotyczące: ochrony kryptograficznej; uwierzytelniania i autoryzacji użytkowników systemów i aplikacji; separacji zasobów i segmentacji sieci; rejestrowania, monitorowania i audytu zdarzeń bezpieczeństwa; ochrony przed oprogramowaniem złośliwym; bezpiecznego zdalnego dostępu do systemów i aplikacji; środków i mechanizmów zapewniających bezpieczeństwo styku systemów z innymi systemami, aplikacjami i sieciami, a w szczególności publicznie dostępnymi. 3. Słownik Pojęć Przyjmuje się następujące znaczenie słów kluczowych pojawiających się w tekście dokumentu, określających kategoryczność stosowania zapisów: MUSI - bezwzględny nakaz wykonania opisywanego zapisu; NIE MOŻE - bezwzględny zakaz wykonania opisywanego zapisu; MOŻE - wykonanie opisywanego zapisu jest dopuszczalne; Strona 3 z 22

4 POWINIEN - nakaz wykonania opisywanego zapisu, chyba że istnieje poważny powód, uzasadniający odstąpienie od jego wykonywania; NIE POWINIEN - zakaz wykonania opisywanego zapisu, chyba że istnieje poważny powód, uzasadniający jego wykonanie. Pozostała część Rozdziału usunięta intencjonalnie. 4. Przyjęte założenia i ograniczenia Ilekroć w treści dokumentu pojawia się słowo "SYSTEM", należy przez nie rozumieć konkretny ze względu na oferowaną użytkownikom funkcjonalność zbiór oprogramowania wraz z danymi przez nie wytwarzanymi, przechowywanymi, przetwarzanymi i przesyłanymi. W szczególności nie odnosi się ono do systemu operacyjnego serwera ani do oprogramowania standardowego na nim instalowanego. 5. Dokumenty stowarzyszone Rozdział usunięty intencjonalnie. 6. Klasy informatycznego Wszystkie systemy informatyczne zlokalizowane i funkcjonujące w środowisku IT CPD MF, w zależności od wymagań nakładanych na nie przez dokumenty polityki bezpieczeństwa, spełniać muszą opisane w niniejszym dokumencie i zdefiniowane dla poszczególnych klas zapisy. Definiuje się następujące klasy bezpieczeństwa systemów: B3 - klasa o bazowych wymaganiach bezpieczeństwa, spełnienie których realizowane jest w głównej mierze za pomocą środków dostępnych w ramach elementów infrastruktury środowiska IT CPD MF; B2 - klasa o wyższych od B3 wymaganiach bezpieczeństwa, spełnienie których realizowane jest zarówno za pomocą środków bezpieczeństwa dostępnych w ramach środowiska IT CPD MF, jak również za pomocą mechanizmów i środków dostępnych lokalnie w systemie i/lub aplikacji; B1 - klasa o wyższych od B2 wymaganiach bezpieczeństwa, spełnienie których realizowane jest głównie za pomocą środków bezpieczeństwa dostępnych w ramach środowiska IT CPD MF, jak również za pomocą mechanizmów i środków dostępnych lokalnie w systemie i/lub aplikacji; BX - klasa o indywidualnych wymaganiach bezpieczeństwa określanych dla każdego z systemów osobno. Kluczowym wymogiem dla systemów klasy BX jest ich odseparowanie fizyczne od pozostałych systemów (w tym systemów tej samej klasy) oraz kontrola, filtrowanie i zabezpieczenie wymiany danych z innymi systemami, aplikacjami lub sieciami. Strona 4 z 22

5 6.1. Klasa B3 Klasa B3 jest klasą definiującą podstawowe wymagania bezpieczeństwa nakładane na systemy funkcjonujące w środowisku IT CPD MF. System zakwalifikowany pod względem bezpieczeństwa do klasy B3 musi charakteryzować się spełnieniem co najmniej określonych poniżej wymagań Ochrona kryptograficzna Nie wymaga się stosowania ochrony kryptograficznej informacji wytwarzanych, przechowywanych, przetwarzanych i przekazywanych przez system klasy B3. Aczkolwiek system taki powinien stosować dostępne lokalnie mechanizmy ochrony kryptograficznej danych przesyłanych w sieci publicznej dla celów zapewnienia ich poufności i integralności, jeśli zawierają one: dane wykorzystywane do uwierzytelniania użytkowników; dane mogące ujawnić konfigurację systemu; inne dane, ochronę których zalecają przepisy prawa, regulacje wewnętrzne resortu finansów, normy, standardy lub dobre praktyki branżowe. Ochrona kryptograficzna danych przesyłanych w sieci publicznej może być realizowana za pomocą: transmisji danych z zastosowaniem protokołu HTTPS; transmisji danych poprzez tunel VPN; bezpiecznego dostępu do konsoli/terminala systemu operacyjnego (np. protokół SSH w przypadku systemów UNIX, protokół RDP z włączonym szyfrowaniem w przypadku systemów Windows); transmisji wiadomości poczty elektronicznej z wykorzystaniem standardu S/MIME; stosowania certyfikatów cyfrowych dla użytkowników, urządzeń, systemów i aplikacji. Jeśli system klasy B3 przesyła w sieci publicznej dane, które powinny podlegać ochronie kryptograficznej (wymienione powyżej) a nie ma dostępnych żadnych lokalnych mechanizmów zapewniających taką ochronę, lub ich poziom bezpieczeństwa jest zbyt niski, powinien korzystać ze środków ochrony kryptograficznej transmisji dostępnych w ramach infrastruktury środowiska IT CPD MF. Zaleca się, aby protokoły, algorytmy, standardy i metody w zakresie ochrony kryptograficznej danych przesyłanych w sieci zgodne były z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system klasy B3 jest systemem przetwarzającym Informacje Chronione, pod względem ochrony kryptograficznej musi spełniać co najmniej wymagania zdefiniowane w Dokumentacji Polityki Bezpieczeństwa Środowiska IT CPD MF resortu finansów dla Uwierzytelnianie i autoryzacja Nie wymaga się stosowania mechanizmów uwierzytelnienia i autoryzacji użytkowników w systemach klasy B3. Dotyczy to w szczególności systemów o charakterze czysto informacyjnym, zawierającym dane publicznie dostępne, niepodlegające ochronie pod względem zapewnienia rozliczalności dostępu do nich. Strona 5 z 22

6 System klasy B3 może stosować lokalne lub centralne metody uwierzytelnienia i autoryzacji w celu zapewnienia uwierzytelniania, autoryzacji, rozliczalności lub kontroli dostępu do danych wytwarzanych, przechowywanych, przetwarzanych lub przesyłanych przez ten system. Zaleca się, aby były one zgodne z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system klasy B3 jest systemem przetwarzającym Informacje Chronione, pod względem stosowania mechanizmów uwierzytelniania i autoryzacji musi spełniać co najmniej wymagania Separacja zasobów Nie wymaga się separacji fizycznej ani logicznej systemu klasy B3 od innych systemów funkcjonujących w środowisku IT CPD MF. Dotyczy to zarówno elementów infrastruktury sieci LAN (w tym podsieci zarządzania), przestrzeni składowania danych (SAN), jak i elementów realizujących funkcjonalność tworzenia i odtwarzania kopii bezpieczeństwa (backup). System klasy B3 powinien mieć ściśle zdefiniowany format, zakres i sposób wymiany danych z użytkownikami oraz innymi systemami. Informacja taka powinna w szczególności umożliwiać określenie precyzyjnych i kompletnych reguł filtrowania ruchu wpisywanych w konfiguracji urządzeń zabezpieczających styk systemu z użytkownikami i innymi systemami (np. zapór sieciowych). Jeśli system klasy B3 jest systemem przetwarzającym Informacje Chronione, pod względem separacji zasobów oraz komunikacji z innymi systemami musi spełniać co najmniej wymagania Rejestrowanie, monitorowanie i audyt zdarzeń Nie wymaga się stosowania przez system klasy B3 mechanizmów rejestrowania, monitorowania i audytu zdarzeń bezpieczeństwa. Aczkolwiek system taki może wykorzystywać wewnętrzne mechanizmy rejestrowania, monitorowania i audytu zdarzeń bezpieczeństwa o ile takowe posiada. Zaleca się, aby były one zgodne z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system klasy B3 jest systemem przetwarzającym Informacje Chronione, pod względem stosowania mechanizmów rejestrowania, monitorowania i audytu zdarzeń musi spełniać co najmniej wymagania zdefiniowane w Dokumentacji Polityki Bezpieczeństwa Środowiska IT CPD MF resortu finansów dla Ochrona przed oprogramowaniem złośliwym Nie wymaga się stosowania środków zapewniających ochronę systemu klasy B3 przed oprogramowaniem złośliwym. Aczkolwiek system taki może stosować środki lokalne o ile takowe posiada (np. oprogramowanie antywirusowe). Jeśli system klasy B3 jest systemem przetwarzającym Informacje Chronione, pod względem stosowania środków zapewniających ochronę przed oprogramowaniem złośliwym musi spełniać co najmniej wymagania zdefiniowane w Dokumentacji Polityki Bezpieczeństwa Środowiska IT CPD MF resortu finansów dla Strona 6 z 22

7 Zdalny dostęp Nie wymaga się realizacji zdalnego dostępu do systemu klasy B3. Aczkolwiek jeśli dostęp taki jest realizowany, to powinien on być zabezpieczony poprzez wykorzystanie co najmniej mechanizmów ochrony kryptograficznej danych uwierzytelniających oraz danych mogących ujawnić szczegóły konfiguracyjne systemu. Zaleca się, aby protokoły, algorytmy, standardy i metody w zakresie ochrony kryptograficznej danych przesyłanych w sieci zgodne były z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system klasy B3 jest systemem przetwarzającym Informacje Chronione, pod względem sposobu realizacji zdalnego dostępu użytkowników, administratorów oraz wszystkich osób odpowiedzialnych za jego funkcjonowanie i bezpieczeństwo, musi spełniać co najmniej wymagania Bezpieczeństwo styku Połączenia systemu klasy B3 z sieciami publicznie dostępnymi muszą podlegać ochronie co najmniej za pomocą zapór sieciowych (firewall). Zapory sieciowe muszą być skonfigurowane w sposób uniemożliwiający realizację niekontrolowanego dostępu do zasobów systemu z sieci zewnętrznych względem środowiska IT resortu finansów, a w szczególności sieci publicznych. Jeśli poprzez zapory sieciowe zestawiane są połączenia służące do realizacji zdalnego dostępu administracyjnego do systemu klasy B3, zaleca się, aby zapory te rejestrowały informacje pozwalające ustalić inicjatora połączenia, cel połączenia (identyfikacja żądanego zasobu), czas i status połączenia (czy doszło do jego zestawienia i kiedy). Zaleca się, aby sposób rejestracji i zakres rejestrowanych danych był zgodny z wytycznym zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system klasy B3 jest systemem przetwarzającym Informacje Chronione, pod względem realizacji bezpiecznego styku z innymi systemami musi spełniać co najmniej wymagania 6.2. Klasa B2 Klasa B2 jest klasą definiującą podwyższone w stosunku do klasy B3 wymagania bezpieczeństwa nakładane na systemy zlokalizowane w środowisku IT CPD MF. System zakwalifikowany pod względem bezpieczeństwa do klasy B2 musi charakteryzować się spełnieniem co najmniej określonych poniżej wymagań Ochrona kryptograficzna System klasy B2 musi stosować mechanizmy ochrony kryptograficznej danych przesyłanych w sieci publicznej dla celów zapewnienia co najmniej poufności i integralności: danych wykorzystywanych do uwierzytelniania użytkowników systemów i aplikacji; danych mogących ujawnić konfigurację systemu; innych danych, ochronę których narzucają przepisy prawa, regulacje wewnętrzne resortu finansów, normy, standardy lub dobre praktyki branżowe. Strona 7 z 22

8 Nie wymaga się stosowania środków ochrony kryptograficznej danych przesyłanych w sieci publicznej innych, niż wymienione powyżej. Ochrona kryptograficzna danych przesyłanych w sieci publicznej może być realizowana za pomocą: transmisji danych z zastosowaniem protokołu HTTPS; transmisji danych poprzez tunel VPN; bezpiecznego dostępu do konsoli/terminala systemu operacyjnego (np. protokół SSH w przypadku systemów UNIX, protokół RDP z włączonym szyfrowaniem w przypadku systemów Windows); transmisji wiadomości poczty elektronicznej z wykorzystaniem standardu S/MIME; stosowania certyfikatów cyfrowych dla użytkowników, urządzeń, systemów i aplikacji. System klasy B2, w celu zapewnienia ochrony kryptograficznej transmisji danych, które muszą podlegać ochronie (wymienione powyżej) powinien stosować dostępne mechanizmy lokalne a jeśli takowych nie posiada, lub ich poziom bezpieczeństwa jest zbyt niski, musi korzystać ze środków ochrony kryptograficznej transmisji dostępnych w ramach infrastruktury środowiska IT CPD MF. Zaleca się, aby protokoły, algorytmy, standardy i metody w zakresie ochrony kryptograficznej danych przesyłanych w sieci zgodne były z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system klasy B2 jest systemem przetwarzającym Informacje Chronione, pod względem ochrony kryptograficznej musi spełniać co najmniej wymagania zdefiniowane w Dokumentacji Polityki Bezpieczeństwa Środowiska IT CPD MF resortu finansów dla Uwierzytelnianie i autoryzacja System klasy B2 musi stosować mechanizmy uwierzytelnienia i autoryzacji użytkowników. Metoda uwierzytelnienia musi być oparta co najmniej o jeden z poniższych mechanizmów: hasła dostępowe; certyfikaty cyfrowe (preferowane na kartach mikroprocesorowych); sprzętowe tokeny haseł jednorazowych; urządzanie biometryczne. System powinien wspierać granularną autoryzację do swoich zasobów oraz natychmiastowo wymuszać zmiany wprowadzone w polityce autoryzacyjnej. System klasy B2 musi wykorzystywać co najmniej lokalne mechanizmy uwierzytelniania i autoryzacji. Powinien jednak wykorzystywać centralny mechanizm uwierzytelnienia i autoryzacji dostępny w ramach środowiska IT CPD MF. System powinien wspierać mechanizm pojedynczego logowania (single sign-on) oraz usług federacyjnych poprzez wykorzystanie jednej (lub więcej) z następujących technologii: Kerberos; SAML; OpenID. Strona 8 z 22

9 Zastosowane mechanizmy uwierzytelniania i autoryzacji muszą być zgodne z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system klasy B2 jest systemem przetwarzającym Informacje Chronione, pod względem stosowania mechanizmów uwierzytelniania i autoryzacji musi spełniać co najmniej wymagania Separacja zasobów Nie wymaga się separacji fizycznej systemu klasy B2 od innych systemów funkcjonujących w środowisku IT CPD MF. Jeśli względem systemu określone zostało wymaganie separacji od innych systemów (a w szczególności systemów o niższej klasie wymagań bezpieczeństwa), realizowane ono powinno być za pomocą mechanizmów separacji logicznej (dopuszczalne jest współdzielenie zasobów fizycznych z innymi systemami). W przypadku separacji logicznej systemów zaleca się stosowanie mechanizmów lub środków, które umożliwiają kontrolę, monitorowanie i filtrowanie danych przesyłanych do/z innych systemów, aplikacji i sieci zlokalizowanych w środowisku IT CPD MF. System klasy B2 powinien mieć ściśle zdefiniowany format, zakres i sposób wymiany danych z użytkownikami oraz innymi systemami. Informacja taka powinna w szczególności umożliwiać określenie precyzyjnych i kompletnych reguł filtrowania ruchu wpisywanych w konfiguracji urządzeń zabezpieczających styk systemu z użytkownikami i innymi systemami (np. zapór sieciowych). Jeśli system klasy B2 jest systemem przetwarzającym Informacje Chronione, pod względem separacji zasobów oraz komunikacji z innymi systemami musi spełniać co najmniej wymagania Rejestrowanie, monitorowanie i audyt zdarzeń W zakresie rejestrowania, monitorowania i audytu zdarzeń bezpieczeństwa, system klasy B2 musi stosować co najmniej lokalne mechanizmy pozwalające na rejestrowanie zdarzeń. Każde zarejestrowane zdarzenie powinno zawierać co najmniej informacje o: czasie wystąpienia; inicjatorze (np. adres źródłowy w komunikacji IP, identyfikator użytkownika wykonującego akcję); odbiorcy zdarzenia (np. adres docelowy w komunikacji IP, identyfikator obiektu, na którym akcja jest wykonywana); akcji (np. próba inicjacji połączenia, wykonanie metody); wyniku akcji (np. odrzucenie/zezwolenie dostępu, poprawnym wykonaniu akcji). Stosowane mechanizmy lokalne rejestrowania, monitorowania i audytu zdarzeń bezpieczeństwa muszą zapewniać retencję i ochronę przechowywanych zdarzeń, a także udostępniać metody wyszukiwania, filtrowania i przeglądania zdarzeń. Strona 9 z 22

10 System klasy B2 powinien wykorzystywać centralny mechanizm monitorowania i audytu zdarzeń dostępny w ramach środowiska IT CPD MF, przez co rozumie się wspieranie co najmniej jednej z poniższych metod raportowania zdarzeń: przesyłanie zdarzeń do centralnego systemu zarządzania zdarzeniami w środowisku IT CPD MF z wykorzystaniem standardowych mechanizmów takich jak: syslog, SNMP, (S)FTP, SCP, RCP, NFS, HTTP(S); udostępnienie zdarzeń dla centralnego systemu zarządzania zdarzeniami w środowisku IT CPD MF z wykorzystaniem standardowych mechanizmów takich jak: RPC, (S)FTP, SCP, RCP, NFS, ODBC/JDBC, HTTP(S). Zastosowane mechanizmy rejestrowania, monitorowania i audytu zdarzeń bezpieczeństwa muszą być zgodne z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system klasy B2 jest systemem przetwarzającym Informacje Chronione, pod względem stosowania mechanizmów rejestrowania, monitorowania i audytu zdarzeń musi spełniać co najmniej wymagania zdefiniowane w Dokumentacji Polityki Bezpieczeństwa Środowiska IT CPD MF resortu finansów dla Ochrona przed oprogramowaniem złośliwym Nie wymaga się stosowania środków zapewniających ochronę systemu klasy B2 przed oprogramowaniem złośliwym. Aczkolwiek system taki powinien stosować środki lokalne o ile takowe posiada (np. oprogramowanie antywirusowe). Jeśli system klasy B2 jest systemem przetwarzającym Informacje Chronione, pod względem stosowania środków zapewniających ochronę przed oprogramowaniem złośliwym musi spełniać co najmniej wymagania zdefiniowane w Dokumentacji Polityki Bezpieczeństwa Środowiska IT CPD MF resortu finansów dla Zdalny dostęp Zdalny dostęp do systemu klasy B2 (jeśli jest realizowany) musi być zabezpieczony poprzez wykorzystanie co najmniej środków ochrony kryptograficznej zapewniających poufność i integralność danych uwierzytelniających oraz danych mogących ujawnić szczegóły konfiguracyjne systemu. Środki zabezpieczania zdalnego dostępu powinny również dawać możliwość zapewnienia poufności, integralności, autentyczności, niezaprzeczalności i rozliczalności wszystkich danych przesyłanych z/do systemu oraz wszystkich działań na nim wykonywanych. Bezpieczny zdalny dostęp do systemu realizowany może być za pomocą mechanizmów dostępnych w ramach systemu o ile takowe posiada i są one zgodne z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system nie posiada mechanizmów zapewniających wystarczający poziom bezpieczeństwa zdalnego dostępu, musi on być realizowany przy zastosowaniu środków zewnętrznych dostępnych w ramach infrastruktury środowiska IT CPD MF. Jeśli system klasy B2 jest systemem przetwarzającym Informacje Chronione, pod względem sposobu realizacji zdalnego dostępu użytkowników, administratorów oraz wszystkich osób odpowiedzialnych za jego funkcjonowanie i bezpieczeństwo, musi spełniać co najmniej wymagania Strona 10 z 22

11 Bezpieczeństwo styku Połączenia systemu klasy B2 z sieciami publicznie dostępnymi muszą podlegać ochronie co najmniej za pomocą zapór sieciowych (firewall). Zapory sieciowe muszą być skonfigurowane w sposób uniemożliwiający realizację niekontrolowanego dostępu do zasobów systemu z sieci zewnętrznych względem środowiska IT resortu finansów, a w szczególności sieci publicznych. Zaleca się, aby zapory sieciowe rejestrowały informacje o wszystkich połączeniach realizowanych do/z systemu. Jeśli rejestracja informacji o wszystkich połączeniach nie jest możliwa, to muszą one rejestrować co najmniej informacje o połączeniach służących do realizacji zdalnego dostępu administracyjnego do systemu (jeśli takowy jest realizowany za ich pośrednictwem). Zaleca się, aby sposób rejestracji i zakres rejestrowanych danych był zgodny z wytycznym zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system klasy B2 jest systemem przetwarzającym Informacje Chronione, pod względem realizacji bezpiecznego styku z innymi systemami musi spełniać co najmniej wymagania 6.3. Klasa B1 Klasa B1 jest klasą definiującą podwyższone w stosunku do klasy B2 wymagania bezpieczeństwa nakładane na systemy zlokalizowane w środowisku IT CPD MF. System zakwalifikowany pod względem bezpieczeństwa do klasy B1 musi charakteryzować się spełnieniem co najmniej określonych poniżej wymagań Ochrona kryptograficzna System klasy B1 musi stosować mechanizmy ochrony kryptograficznej danych przesyłanych w sieci publicznej dla celów zapewnienia co najmniej poufności i integralności: danych wykorzystywanych do uwierzytelniania użytkowników systemów i aplikacji; danych mogących ujawnić konfigurację systemu; innych danych, ochronę których narzucają przepisy prawa, regulacje wewnętrzne resortu finansów, normy, standardy lub dobre praktyki branżowe. Wszędzie, gdzie to możliwe, zamiast mechanizmów programowych powinno się stosować techniczne środki ochrony kryptograficznej takich danych. Ochronie kryptograficznej powinny podlegać również dane przechowywane poza systemem - na nośnikach zewnętrznych (np. nośniki z danymi zapisanymi dla celów tworzenia kopii bezpieczeństwa danych, czy ich archiwizacji). Nie wymaga się stosowania środków ochrony kryptograficznej danych przesyłanych w sieci publicznej innych, niż wymienione powyżej. Ochrona kryptograficzna danych przesyłanych w sieci publicznej może być realizowana za pomocą: transmisji danych z zastosowaniem protokołu HTTPS; transmisji danych poprzez tunel VPN; Strona 11 z 22

12 bezpiecznego dostępu do konsoli/terminala systemu operacyjnego (np. protokół SSH w przypadku systemów UNIX, protokół RDP z włączonym szyfrowaniem w przypadku systemów Windows); transmisji wiadomości poczty elektronicznej z wykorzystaniem standardu S/MIME; stosowania certyfikatów cyfrowych dla użytkowników, urządzeń, systemów i aplikacji. System klasy B1, w celu zapewnienia ochrony kryptograficznej transmisji danych, które muszą podlegać ochronie (wymienione powyżej) powinien stosować dostępne mechanizmy lokalne a jeśli takowych nie posiada, lub ich poziom bezpieczeństwa jest zbyt niski, musi korzystać ze środków ochrony kryptograficznej transmisji dostępnych w ramach infrastruktury środowiska IT CPD MF. Zaleca się, aby protokoły, algorytmy, standardy i metody w zakresie ochrony kryptograficznej danych przesyłanych w sieci zgodne były z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system klasy B1 jest systemem przetwarzającym Informacje Chronione, pod względem ochrony kryptograficznej musi spełniać co najmniej wymagania zdefiniowane w Dokumentacji Polityki Bezpieczeństwa Środowiska IT CPD MF resortu finansów dla Uwierzytelnianie i autoryzacja System klasy B1 musi wykorzystywać centralny mechanizm uwierzytelnienia i autoryzacji użytkowników dostępny w ramach środowiska IT CPD MF. Metoda uwierzytelnienia musi być dwu wektorowa. Powinna być oparta o dwa z poniższych mechanizmów: hasła dostępowe o wysokiej złożoności; certyfikaty cyfrowe na kartach mikroprocesorowych; sprzętowe tokeny haseł jednorazowych; urządzanie biometryczne. System musi wspierać granularną autoryzację do swoich zasobów oraz natychmiastowo wymuszać zmiany wprowadzone w polityce autoryzacyjnej. System musi wspierać mechanizm pojedynczego logowania (single sign-on) oraz usług federacyjnych poprzez wykorzystanie jednej (lub więcej) z następujących technologii: Kerberos; SAML; OpenID. Zastosowane mechanizmy uwierzytelniania i autoryzacji muszą być zgodne z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system klasy B1 jest systemem przetwarzającym Informacje Chronione, pod względem stosowania mechanizmów uwierzytelniania i autoryzacji musi spełniać co najmniej wymagania Strona 12 z 22

13 Separacja zasobów System klasy B1 powinien być odseparowany logicznie od innych systemów a w szczególności od systemów niższych klas bezpieczeństwa. Zamiast stosowania mechanizmów separacji logicznej, można stosować środki separacji fizycznej. W przypadku separacji systemów klasy B1 muszą być stosowane mechanizmy lub środki, które umożliwiają kontrolę, monitorowanie i filtrowanie danych przesyłanych przez system do/z innych systemów, aplikacji i sieci zlokalizowanych w środowisku IT CPD MF. System klasy B1 powinien mieć ściśle zdefiniowany format, zakres i sposób wymiany danych z użytkownikami oraz innymi systemami. Informacja taka powinna w szczególności umożliwiać określenie precyzyjnych i kompletnych reguł filtrowania ruchu wpisywanych w konfiguracji urządzeń zabezpieczających styk systemu z użytkownikami i innymi systemami (np. zapór sieciowych). Jeśli system klasy B1 jest systemem przetwarzającym Informacje Chronione, pod względem separacji zasobów oraz komunikacji z innymi systemami musi spełniać co najmniej wymagania Rejestrowanie, monitorowanie i audyt zdarzeń W zakresie rejestrowania, monitorowania i audytu zdarzeń bezpieczeństwa, system klasy B1 musi wykorzystywać centralny mechanizm rejestrowania, monitorowania i audytu zdarzeń dostępny w ramach środowiska IT CPD MF, przez co rozumie się wspieranie co najmniej jednej z poniższych metod raportowania zdarzeń: przesyłanie zdarzeń do centralnego systemu zarządzania zdarzeniami w środowisku IT CPD MF z wykorzystaniem standardowych mechanizmów takich jak: syslog, SNMP, (S)FTP, SCP, RCP, NFS, HTTP(S); udostępnienie zdarzeń dla centralnego systemu zarządzania zdarzeniami w środowisku IT CPD MF z wykorzystaniem standardowych mechanizmów takich jak: RPC, (S)FTP, SCP, RCP, NFS, ODBC/JDBC, HTTP(S). Rejestrowane zdarzenia muszą zawierać co najmniej informacje o: czasie wystąpienia; inicjatorze (np. adres źródłowy w komunikacji IP, identyfikator użytkownika wykonującego akcję); odbiorcy (np. adres docelowy w komunikacji IP, identyfikator obiektu, na którym akcja jest wykonywana); akcji (np. próba inicjacji połączenia, wykonanie metody); wyniku akcji (np. odrzucenie/zezwolenie dostępu, poprawnym wykonaniu akcji). Zastosowane mechanizmy rejestrowania, monitorowania i audytu zdarzeń bezpieczeństwa muszą być zgodne z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system klasy B1 jest systemem przetwarzającym Informacje Chronione, pod względem stosowania mechanizmów rejestrowania, monitorowania i audytu zdarzeń musi spełniać co najmniej Strona 13 z 22

14 wymagania zdefiniowane w Dokumentacji Polityki Bezpieczeństwa Środowiska IT CPD MF resortu finansów dla Ochrona przed oprogramowaniem złośliwym System klasy B1 musi stosować lokalne środki ochrony przed oprogramowaniem złośliwym. Musi on mieć zainstalowane co najmniej oprogramowanie antywirusowe pochodzące od wiodącego producenta. Oprogramowanie to powinno mieć zainstalowane wszystkie dostępne poprawki bezpieczeństwa i aktualizacje. Baza sygnatur aktualizowana powinna być w trybie automatycznym i na bieżąco. System klasy B1 muszą mieć również zainstalowane i uaktywnione oprogramowanie pełniące rolę lokalnej zapory sieciowej. Jej konfiguracja powinna uniemożliwiać niekontrolowane nawiązywanie połączeń do/z systemu. Zaleca się, aby system klasy B1 miał zainstalowane oprogramowanie zapewniające całościową ochronę przed oprogramowaniem złośliwym, tzw. oprogramowanie internet security, łączące w sobie funkcje programu antywirusowego, zapory sieciowej, programu blokującego spam, blokady stron o niepożądanej treści oraz systemu wykrywania i zapobiegania wtargnięciu intruzów. Komunikacja systemu klasy B1 z innymi systemami i sieciami a w szczególności publicznie dostępnymi powinna też być chroniona za pomocą mechanizmów ochrony przed oprogramowaniem złośliwym dostępnym w ramach elementów infrastruktury środowiska IT CPD MF resortu finansów (np. za pomocą urządzeń typu UTM). Jeśli system klasy B1 jest systemem przetwarzającym Informacje Chronione, pod względem stosowania środków zapewniających ochronę przed oprogramowaniem złośliwym musi spełniać co najmniej wymagania zdefiniowane w Dokumentacji Polityki Bezpieczeństwa Środowiska IT CPD MF resortu finansów dla Zdalny dostęp Zdalny dostęp do systemu klasy B1 (jeśli jest realizowany) musi być zabezpieczony poprzez wykorzystanie co najmniej środków ochrony kryptograficznej zapewniających poufność i integralność danych uwierzytelniających oraz danych mogących ujawnić szczegóły konfiguracyjne systemu. Środki zabezpieczania zdalnego dostępu powinny również dawać możliwość zapewnienia poufności, integralności, autentyczności, niezaprzeczalności i rozliczalności wszystkich danych przesyłanych z/do systemu oraz wszystkich działań na nim wykonywanych. Bezpieczny zdalny dostęp do systemu realizowany może być za pomocą mechanizmów dostępnych w ramach systemu o ile takowe posiada i są one zgodne z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system nie posiada mechanizmów zapewniających wystarczający poziom bezpieczeństwa zdalnego dostępu, musi on być realizowany przy zastosowaniu środków zewnętrznych dostępnych w ramach infrastruktury środowiska IT CPD MF. Jeśli system klasy B1 jest systemem przetwarzającym Informacje Chronione, pod względem sposobu realizacji zdalnego dostępu użytkowników, administratorów oraz wszystkich osób odpowiedzialnych za jego funkcjonowanie i bezpieczeństwo, musi spełniać co najmniej wymagania Strona 14 z 22

15 Bezpieczeństwo styku Połączenia systemu klasy B1 z sieciami publicznie dostępnymi muszą podlegać ochronie co najmniej za pomocą zapór sieciowych (firewall). Zapory sieciowe muszą być skonfigurowane w sposób uniemożliwiający realizację niekontrolowanego dostępu do zasobów systemu z sieci zewnętrznych względem środowiska IT resortu finansów, a w szczególności sieci publicznych. Połączenia systemu klasy B1 z sieciami publicznie dostępnymi powinny również podlegać ochronie za pomocą środków wykrywania i zapobiegania wtargnięciu intruzów (IDS/IPS) oraz filtrowania treści internetowych. Zaleca się stosowanie w tym zakresie urządzeń typu UTM. Zapory sieciowe i/lub urządzenia UTM, które chronią styk systemu klasy B1 z innymi sieciami, powinny rejestrować informacje o wszystkich połączeniach realizowanych do/z systemu. Jeśli rejestracja informacji o wszystkich połączeniach nie jest możliwa, to muszą one rejestrować co najmniej informacje o połączeniach służących do realizacji zdalnego dostępu administracyjnego do systemu (jeśli takowy jest realizowany za ich pośrednictwem). Zaleca się, aby sposób rejestracji i zakres rejestrowanych danych był zgodny z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system klasy B1 jest systemem przetwarzającym Informacje Chronione, pod względem realizacji bezpiecznego styku z innymi systemami musi spełniać co najmniej wymagania 6.4. Klasa BX System zostaje zakwalifikowany do klasy BX, jeśli nałożony jest na niego ścisły wymóg separacji fizycznej jego zasobów od zasobów wykorzystywanych przez inne systemy (w tym również inne systemy klasy BX) Ochrona kryptograficzna O ile ze specyficznych dla systemu klasy BX wymagań nie wynika zakaz stosowania środków ochrony kryptograficznej dla całego systemu lub jego części, powinien on stosować co najmniej ochronę kryptograficzną danych przesyłanych w sieci publicznej dla celów zapewnienia poufności i integralności: danych wykorzystywanych do uwierzytelniania użytkowników systemów i aplikacji; danych mogących ujawnić konfigurację systemu; innych danych, ochronę których narzucają przepisy prawa, regulacje wewnętrzne resortu finansów, normy, standardy lub dobre praktyki branżowe. Możliwe jest stosowanie zarówno środków ochrony kryptograficznej opartych na rozwiązaniach realizowanych sprzętowo, jak i programowo. Ochrona kryptograficzna danych przesyłanych w sieci publicznej może być realizowana za pomocą: transmisji danych z zastosowaniem protokołu HTTPS; transmisji danych poprzez tunel VPN; Strona 15 z 22

16 bezpiecznego dostępu do konsoli/terminala systemu operacyjnego (np. protokół SSH w przypadku systemów UNIX, protokół RDP z włączonym szyfrowaniem w przypadku systemów Windows); transmisji wiadomości poczty elektronicznej z wykorzystaniem standardu S/MIME; stosowania certyfikatów cyfrowych dla użytkowników, urządzeń, systemów i aplikacji. System klasy BX, w celu zapewnienia ochrony kryptograficznej transmisji danych, które podlegają ochronie, powinien stosować dostępne mechanizmy lokalne a jeśli takowych nie posiada, lub ich poziom bezpieczeństwa jest zbyt niski, powinien korzystać ze środków ochrony kryptograficznej transmisji dostępnych w ramach infrastruktury środowiska IT CPD MF. Zaleca się, aby protokoły, algorytmy, standardy i metody w zakresie ochrony kryptograficznej były zgodne z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Dopuszcza się stosowanie środków i mechanizmów ochrony kryptograficznej nieujętych w powyższym dokumencie o ile poziom bezpieczeństwa przez nie zapewniany jest wyższy od wymaganego. Jeśli system klasy BX jest systemem przetwarzającym Informacje Chronione, pod względem ochrony kryptograficznej musi spełniać co najmniej wymagania zdefiniowane w Dokumentacji Polityki Bezpieczeństwa Środowiska IT CPD MF resortu finansów dla Uwierzytelnianie i autoryzacja System klasy BX powinien stosować co najmniej lokalne mechanizmy w zakresie uwierzytelnienia i autoryzacji użytkowników, przy czym może wykorzystywać centralny mechanizm dostępny w ramach środowiska IT CPD MF. Metoda uwierzytelnienia powinna być oparta o jeden lub więcej z poniższych mechanizmów: hasła dostępowe; certyfikaty cyfrowe (preferowane na kartach mikroprocesorowych); sprzętowe tokeny haseł jednorazowych; urządzanie biometryczne. System powinien wspierać granularną autoryzację do swoich zasobów oraz natychmiastowo wymuszać zmiany wprowadzone w polityce autoryzacyjnej. Jeśli system wykorzystuje centralnie dostępne w ramach środowiska IT CPD MF środki uwierzytelniania i autoryzacji, powinien to robić mechanizmami pojedynczego logowania (single signon) oraz usług federacyjnych poprzez wykorzystanie jednej (lub więcej) z następujących technologii: Kerberos; SAML; OpenID. Zastosowane mechanizmy uwierzytelniania i autoryzacji powinny być zgodne z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system klasy BX jest systemem przetwarzającym Informacje Chronione, pod względem stosowania mechanizmów uwierzytelniania i autoryzacji musi spełniać co najmniej wymagania Strona 16 z 22

17 Separacja zasobów Elementy infrastruktury, na której zbudowany jest system klasy BX (przełączniki sieciowe, serwery, macierze dyskowe, biblioteki taśmowe itp.) muszą być odseparowane fizycznie od elementów infrastruktury wykorzystywanych przez inne systemy funkcjonujące w środowisku IT CPD MF i środowisku IT całego resortu finansów. Jeśli wymagana jest komunikacja z innymi systemami funkcjonującymi w ramach infrastruktury środowiska IT CPD MF lub środowiska IT resortu finansów, muszą być stosowane mechanizmy lub środki, które umożliwiają ścisłą kontrolę, monitorowanie i filtrowanie danych przesyłanych przez system do/z innych systemów, aplikacji i sieci. Kontrola taka musi być realizowana za pomocą środków wyodrębnionych dla tego celu z infrastruktury środowiska IT CPD MF (np. zapory sieciowe). Jeśli system klasy BX jest systemem przetwarzającym Informacje Chronione, pod względem separacji zasobów oraz komunikacji z innymi systemami musi spełniać co najmniej wymagania Rejestrowanie, monitorowanie i audyt zdarzeń System klasy BX powinien stosować co najmniej lokalne mechanizmy w zakresie rejestrowania, monitorowania i audytu zdarzeń bezpieczeństwa. Rejestrowane zdarzenia powinny zawierać co najmniej informacje o: czasie wystąpienia; inicjatorze (np. adres źródłowy w komunikacji IP, identyfikator użytkownika wykonującego akcję); odbiorcy (np. adres docelowy w komunikacji IP, identyfikator obiektu, na którym akcja jest wykonywana); akcji (np. próba inicjacji połączenia, wykonanie metody); wyniku akcji (np. odrzucenie/zezwolenie dostępu, poprawnym wykonaniu akcji). Stosowany przez system mechanizm rejestrowania, monitorowania i audytu zdarzeń powinien zapewniać retencję i ochronę przechowywanych zdarzeń, a także udostępniać metody wyszukiwania, filtrowania i przeglądania zdarzeń. System może wykorzystywać centralny mechanizm rejestrowania, monitorowania i audytu zdarzeń bezpieczeństwa dostępny w ramach środowiska IT CPD MF, przez co rozumie się wspieranie jednej z poniższych metod raportowania zdarzeń: przesyłanie zdarzeń do centralnego systemu zarządzania zdarzeniami w środowisku IT CPD MF z wykorzystaniem standardowych mechanizmów takich jak: syslog, SNMP, (S)FTP, SCP, RCP, NFS, HTTP(S); udostępnienie zdarzeń dla centralnego systemu zarządzania zdarzeniami w środowisku IT CPD MF z wykorzystaniem standardowych mechanizmów takich jak: RPC, (S)FTP, SCP, RCP, NFS, ODBC/JDBC, HTTP(S). Strona 17 z 22

18 Zastosowane mechanizmy rejestrowania, monitorowania i audytu zdarzeń bezpieczeństwa powinny być zgodne z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system klasy BX jest systemem przetwarzającym Informacje Chronione, pod względem stosowania mechanizmów rejestrowania, monitorowania i audytu zdarzeń musi spełniać co najmniej wymagania zdefiniowane w Dokumentacji Polityki Bezpieczeństwa Środowiska IT CPD MF resortu finansów dla Ochrona przed oprogramowaniem złośliwym Nie wymaga się stosowania środków zapewniających ochronę systemu klasy BX przed oprogramowaniem złośliwym. Aczkolwiek system taki powinien stosować środki lokalne o ile są dostępne. Zaleca się stosowanie co najmniej oprogramowania antywirusowego oraz oprogramowania pełniącego rolę lokalnej zapory sieciowej. Oprogramowanie antywirusowe powinno pochodzić od wiodącego producenta, powinno mieć zainstalowane wszystkie dostępne poprawki bezpieczeństwa i aktualizacje, baza jego sygnatur aktualizowana powinna być w trybie automatycznym i na bieżąco. Konfiguracja zainstalowanej zapory sieciowej powinna uniemożliwiać niekontrolowane nawiązywanie połączeń do/z systemu. System klasy BX powinien korzystać z wszelkich mechanizmów i środków ochrony przed oprogramowaniem złośliwym dostępnym centralnie w ramach infrastruktury środowiska IT CPD MF. Jeśli system klasy BX jest systemem przetwarzającym Informacje Chronione, pod względem stosowania środków zapewniających ochronę przed oprogramowaniem złośliwym musi spełniać co najmniej wymagania zdefiniowane w Dokumentacji Polityki Bezpieczeństwa Środowiska IT CPD MF resortu finansów dla Zdalny dostęp O ile ze specyficznych dla systemu klasy BX wymagań nie wynika zakaz stosowania zdalnego dostępu, może on być stosowany, ale powinien być zabezpieczony poprzez wykorzystanie co najmniej środków ochrony kryptograficznej zapewniających poufność i integralność danych uwierzytelniających oraz danych mogących ujawnić szczegóły konfiguracyjne systemu. Stosowane środki zabezpieczania zdalnego dostępu powinny również dawać możliwość zapewnienia poufności, integralności, autentyczności, niezaprzeczalności i rozliczalności wszystkich danych przesyłanych z/do systemu oraz wszystkich działań na nim wykonywanych. Bezpieczny zdalny dostęp do systemu realizowany może być za pomocą mechanizmów dostępnych w ramach systemu o ile takowe posiada i są one zgodne z wytycznymi zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system nie posiada mechanizmów zapewniających wystarczający poziom bezpieczeństwa zdalnego dostępu, musi on być realizowany przy zastosowaniu środków zewnętrznych wyodrębnionych dla tego celu z infrastruktury środowiska IT CPD MF. Jeśli system klasy BX jest systemem przetwarzającym Informacje Chronione, pod względem sposobu realizacji zdalnego dostępu użytkowników, administratorów oraz wszystkich osób odpowiedzialnych za jego funkcjonowanie i bezpieczeństwo, musi spełniać co najmniej wymagania Strona 18 z 22

19 Bezpieczeństwo styku Jeśli zachodzi konieczność zapewnienia wymiany danych pomiędzy systemem klasy BX a innymi systemami funkcjonującymi w środowisku IT resortu finansów lub sieci publicznej, musi ona podlegać ochronie co najmniej za pomocą zapór sieciowych (firewall). Zapory sieciowe muszą być skonfigurowane w sposób uniemożliwiający realizację niekontrolowanego dostępu do zasobów systemu z sieci zewnętrznych względem środowiska IT resortu finansów, a w szczególności sieci publicznych. Połączenia systemu klasy BX z sieciami publicznie dostępnymi powinny również podlegać ochronie za pomocą środków wykrywania i zapobiegania wtargnięciu intruzów (IDS/IPS) oraz filtrowania treści internetowych. Zaleca się stosowanie w tym zakresie urządzeń typu UTM. Zapory sieciowe i/lub urządzenia UTM, które chronią styk systemu klasy BX powinny rejestrować informacje o wszystkich połączeniach realizowanych do/z systemu. Jeśli rejestracja informacji o wszystkich połączeniach nie jest możliwa, to muszą one rejestrować co najmniej informacje o połączeniach służących do realizacji zdalnego dostępu administracyjnego do systemu (jeśli takowy jest realizowany za ich pośrednictwem). Zaleca się, aby sposób rejestracji i zakres rejestrowanych danych był zgodny z wytycznym zawartymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF". Jeśli system klasy BX jest systemem przetwarzającym Informacje Chronione, pod względem realizacji bezpiecznego styku z innymi systemami musi spełniać co najmniej wymagania 7. Metoda oraz algorytm kwalifikacji systemów informatycznych Każdy system informatyczny zlokalizowany i funkcjonujący w środowisku IT CPD MF musi zostać zakwalifikowany do jednej z wymienionych powyżej klas. Kwalifikacja systemu do klas B3-B1 jest możliwa tylko wtedy, kiedy system ten spełnia wszystkie minimalne wymagania zdefiniowane dla tej klasy pod względem: ochrony kryptograficznej; uwierzytelniania i autoryzacji użytkowników; separacji / segmentacji zasobów i sieci; rejestrowania, monitorowania i audytu zdarzeń bezpieczeństwa; ochrony przed oprogramowaniem złośliwym; zdalnego dostępu; bezpieczeństwa styku z innymi systemami, aplikacjami i sieciami. Zgodność z powyższymi wymaganiami weryfikowana jest między innymi na podstawie zapisów zawartych w aktualnej dokumentacji technicznej systemu. Zgodność dokumentacji ze stanem faktycznym powinna być weryfikowana. Jeśli system nie posiada własnej dokumentacji technicznej lub nie zawiera ona odpowiednich zapisów, sprawdzić należy konfigurację samego systemu (np. czy system ma wdrożone mechanizmy ochrony kryptograficznej danych przesyłanych przez sieć Strona 19 z 22

20 publiczną oraz czy mają one odpowiednią siłę, zgodną z zaleceniami określonymi w dokumencie "Standardy bezpieczeństwa dla środowiska IT CPD MF") w każdym z wymienionych powyżej obszarów bezpieczeństwa. Dla każdego z obszarów należy określić, do jakiego maksymalnie wysokiego poziomu system spełnia wymagania opisane w Rozdziale 6 niniejszego dokumentu. Spośród siedmiu poziomów bezpieczeństwa przypisanych dla każdego z obszarów z osobna, należy wybrać ten, którego poziom jest najniższy. To właśnie ten najniższy poziom bezpieczeństwa determinuje klasę bezpieczeństwa całego systemu. Wyjątkiem od tej reguły są systemy, na które nałożony został wymóg ścisłej separacji fizycznej zasobów od zasobów innych systemów (wliczając w to inne systemy tej samej klasy) - systemy te z definicji należy zakwalifikować jako systemy klasy BX. System zakwalifikowany do klasy o niższych wymaganiach bezpieczeństwa może pod niektórymi względami spełniać wymagania zdefiniowane dla klasy o wyższych wymaganiach. Nie może to jednak stanowić przesłanki do zakwalifikowania go do klasy o wyższych wymaganiach. Narzędziem wspomagającym przeprowadzenie kwalifikacji funkcjonującego w środowisku IT CPD MF jest formularz stanowiący Załącznik A do niniejszego dokumentu. Kwalifikowanie systemu do określonej klasy bezpieczeństwa rozpoczyna się od udzielenia odpowiedzi na pytania znajdujące się w części II załącznika. Wynikające z udzielonych odpowiedzi klasy bezpieczeństwa dla poszczególnych obszarów należy zaznaczyć w tabeli znajdującej się w części I załącznika. Pamiętać należy o tym, żeby dla każdego obszaru bezpieczeństwa zaznaczyć tylko jedno pole - odpowiadające najwyższej wynikającej z udzielonych odpowiedzi klasie bezpieczeństwa, lub klasie BX, jeśli taka odpowiedź została udzielona. Klasa to najniższa z zaznaczonych w tabeli klas lub klasa BX, jeśli taka została zaznaczona dla co najmniej jednego z obszarów bezpieczeństwa. Systemy planowane do umieszczenia w środowisku IT CPD MF, muszą być budowane z uwzględnieniem wymagań zdefiniowanych w niniejszym dokumencie dla każdego z obszarów bezpieczeństwa, na poziomie klasy bezpieczeństwa określonej dla każdego z tych systemów. Strona 20 z 22