Прокомментируйте, пожалуйста, ряд требований к классу защищённости 1Д - Форум по вопросам информационной безопасности

Здравствуйте!
Я принимаю участие в разработке веб-приложения, которое предполагается использовать как корпоративную информационную систему. Заказчики требуют обеспечить соответствие ИС требованиям к классу защищённости 1Д.
Будьте добры, прокомментируйте следующие вопросы:

Согласно руководящему документу "Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации" (http://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/114-spetsialnye-normativnye-dokumenty/384-rukovodyashchij-dokument-reshenie-predsedatelya-gostekhkomissii-rossii-ot-30-marta-1992-g) класс 1Д требует, помимо прочего:

- Обеспечение целостности программных средств и обрабатываемой информации. Целостность СЗИ НСД проверяется при загрузке системы по контрольным суммам компонент СЗИ;

Каким образом проверяющие смогут удостовериться, что "целостность СЗИ НСД проверяется при загрузке системы по контрольным суммам компонент СЗИ"? Существуют ли какие-нибудь инструменты / программные модули, сертифицированные под выполнение этих действий? Либо допустима реализация данного механизма своими силами?

- Периодическое тестирование СЗИ НСД. Должно проводиться периодическое тестирование функций СЗИ НСД при изменении программной среды и персонала АС с помощью тест - программ, имитирующих попытки НСД;

Как определяется, соответствует ли использование конкретных программ этому требованию? Возможно, существует какой-то перечень программ, официально признанных "тест-программами, имитирующими попытки НСД"?

"Каким образом проверяющие смогут удостовериться, что "целостность СЗИ НСД проверяется при загрузке системы по контрольным суммам компонент СЗИ"?"

"Периодическое тестирование СЗИ НСД. Должно проводиться периодическое тестирование функций СЗИ НСД при изменении программной среды и персонала АС с помощью тест - программ, имитирующих попытки НСД;

Как определяется, соответствует ли использование конкретных программ этому требованию?"

При помощи сертификата соответствия, в котором будет написано что данное приложение может использоваться для создания АС с классом защищенности 1Д.

Хотя Ваше веб-приложение врятли когда нибудь будет выполнять функции СЗИ от НСД.

Одним из решений будет, установка сертифицированного СЗИ от НСД на сервер и клиентские ПЭВМ, и настроены по требованиям класса 1Д .

Обеспечение целостности программных средств и обрабатываемой информации. Целостность СЗИ НСД проверяется при загрузке системы по контрольным суммам компонент СЗИ ;

Вот вам https://ru.wikipedia.org/wiki/%D0%9A%D0%BE%D0%BD%D1%82%D1%80%D0%BE%D0%BB%D1%8C%D0%BD%D0%B0%D1%8F_%D1%81%D1%83%D0%BC%D0%BC%D0%B0

Либо допустима реализация данного механизма своими силами?

Допустима.

Как определяется, соответствует ли использование конкретных программ этому требованию? Возможно, существует какой-то перечень программ, официально признанных "тест-программами, имитирующими попытки НСД"?
разные программы существуют, смотря что вам нужно делать Вот:
http://www.cbi-info.ru/groups/page-340.htm

Спасибо, Евгений! Ваш ответ прояснил ситуацию.
Автор, спасибо за полезную ссылку.