1.7.3. Документы пользователя

Согласно СТР-45, на этапе ввода ИТ в эксплуатацию необхо­димо разработать большое количество документов. Часть из них будут новыми для отечественных потребителей. К таким доку­ментам относятся следующие:

• планы: обеспечения безопасности ИТ; действий в непредви­денных ситуациях;

• политики: безопасности информационных технологий; реа­гирования на инциденты нарушения безопасности; оценки рис­ков; защиты носителей информации; обеспечения целостности ИТ и информации; физической защиты и защиты среды ИТ; обес­печения безопасности эксплуатирующего персонала; обучения (тренинга) безопасности (для ИТ 2 категории и выше); иденти­фикации и аутентификации; управления доступом; аудита и обес­печения подотчетности (политика регистрации и учета); защиты ИТ и коммуникаций; сопровождения ИТ; управления конфигу­рацией;

• руководства: по использованию беспроводных технологий (для ИТ 3-й и последующих категорий); по использованию пор­тативных и мобильных устройств (для ИТ 3-й и последующих категорий); по использованию технологий мобильного кода (для ИТ 2-й и следующих категорий); по использованию технологии передачи речи по IP-сетям (1Р-телефонии);

• списки: персонала, уполномоченного на выполнение действий по сопровождению ИТ; ключевых компонентов ИТ (для ИТ 2-й и следующих категорий); доступа эксплуатирующего персонала на объекты ИТ;

• журналы: доступа посетителей; регистрации действий по со­провождению ИТ (для ИТ 3-й и следующих категорий);

• правила поведения эксплуатирующего персонала в отно­шении обеспечения безопасности ИТ,

• соглашения о доступе;

• базовая конфигурация ИТ;

• реестр компонентов ИТ.

В тексте СТР-45 очень кратко упоминается о том, что должен содержать каждый из перечисленных документов. Учитывая от­сутствие необходимой методической базы, можно полагать, что разработка документации по ИТ будет непростым делом для по­требителей.

Организационно-распорядительная документация по примене­нию мер и средств обеспечения безопасности ИТ должна отно­ситься к информации ограниченного доступа.

1.7.4. Требования к средствам обеспечения безопасности

Проект СТР-46 использует в основном ту же терминологию, что и СТР-45. Под средствами обеспечения безопасности инфор­мационных технологий (СОБИТ) авторы проекта понимают сред­ства, реализующие совокупность функций, обеспечивающих БИТ.

Нам это определение представляется довольно расплывчатым. На­пример, система пожаротушения тоже реализует указанные функ­ции (и в СТР-45 приведены требования к ней), но она не являет­ся предметом рассмотрения данного проекта регламента. Дума­ется, что будет правильным ставить знак равенства между использующимся сейчас термином «средства защиты информации»-и СОБИТ. Разработчики обещают в следующих версиях проекта СТР привести исчерпывающий список средств, относящихся к СОБИТ.

Категория СОБИТ устанавливается исходя из того, в ИТ какой, максимальной категории его можно использовать. В зависимости от категории к СОБИТ предъявляется определенный набор требований доверия к безопасности. Сравнение с ГОСТ 15408 показывает, что эти наборы требований для различных категорий несовпадают с требованиями оценочных уровней доверия ОК. Таким образом, СОБИТ наивысшей категории не сможет быть автоматически сертифицирован на соответствие ОК даже по самому низкому уровню доверия. Верно и обратное: выполнение требований ОК. недостаточно для того, чтобы СОБИТ соответствовали СТР-46.

Функциональные требования безопасности к СОБИТ не устанавливаются в связи с их многообразием. Состав этих требований будет определять разработчик, исходя из парируемых средством угроз, условий применения и его категории. В приложении к проекту СТР-46 приведен перечень основных функциональных требований с пояснениями, что можно рассматривать в качестве методического пособия по данной теме. Между тем, непонятно, для чего эти материалы предлагается включить в текст закона.

Подтвердить соответствие СОБИТ требованиям безопасности предполагается двумя формами: декларированием соответствия и обязательной сертификацией (для СОБИТ трех старших катего­рий).

Интересным, но до конца непродуманным предложением авторов является открытое опубликование результатов сертификационных испытаний. Очевидно, что для СОБИТ высших катего­рий такое опубликование не только нецелесообразно, но и может привести к разглашению государственной тайны.

По аналогии с ИТ, в отношении СОБИТ предлагается прово­дить государственный контроль и надзор. При этом контролю подвергаются не только разработчики и продавцы СОБИТ, но и пользователи, что, по нашему мнению, неверно. Дело в том, что защищаемые активы появляются только в ИТ, и именно ИТ целе­сообразно подвергать контролю (надзору), как это и предусмот­рено СТР-45.

Разработка технических регламентов по информационной без­опасности является, скорее всего, первым опытом открытой раз­работки документов по защите информации. Нельзя сказать, что первый блин вышел комом», но существующие варианты проектов пока еще очень далеки от совершенства, в связи с чем не­однократно происходит перенос сроков представления регламентов в правительственные органы.

Остается неясным вопрос, насколько оправданно создание тех­нических регламентов по информационной безопасности? На наш ШН'ЛВД, вместо этого было бы правильным внести в ст.1 ФЗ «О техническом регулировании» абзац, где бы говорилось об от­дельном регулировании такой чувствительной области, по а нало­ги и с тем, как это сделано в этом законе для единой сети связи.