УДК 372.8
ПОДСИСТЕМА ЗАЩИТЫ ИНФОРМАЦИОННОЙ СИСТЕМЫ УПРАВЛЕНИЯ КЛЮЧАМИ ШИФРОВАНИЯ И ЭЛЕКТРОННЫМИ ПОДПИСЯМИ
В КОНТЕКСТЕ ИСПДН
Костякова Д.К.
студентка группы БИб15-И1 «Сибирского государственного автомобильно-дорожного университета (СибАДИ)», г. Омск
Анацкая А.Г.
СибАДИтребований Ф ТЭК Росс ФСБ России. Выполненная классификация ИС по требованиям обеспечения нформац онной езопасности позволили определить перечень мер защиты и средств их реал зац , для которых проведена оценка эффективности.
научный руководитель, канд. пед. наук, доцент кафедры информационной безопасности « ибирского государственного автомобильно-дорожного университета (СибАДИ)», г. Омск
Аннотац я. В статье рассматривается проектирование подсистемы защиты
информац для нформац онной системы управления ключами шифрования и
электронными подп сями. Автором представлены основные сведения об информационной системе и оп сан е наруш телей информационной безопасности, построенной с учетом
Ключевые слова: персональные данные, электронная подпись, угрозы информационной безопасности. модель наруш теля, подсистема обеспечения информационной безопасности.
В настоящее время нформационная сфера и соответствующие ей информационные технологии являются средствами повышения эффективности человеческой деятельности. Расширение областей применения различного рода информационных и автоматизированных систем способствует решению ряда вопросов как экономического, так и социального характера. Так, использование электронной подписи позволяет автоматизировать документооборот, что ведет к сокращению издержек документационного обращения на предприятиях, а также к экономии рабочего времени и человеческих ресурсов.
Цифровизация российской экономики, бизнеса, социальной инфраструктуры и других сфер деятельности открывает новые возможности использования электронных подписей (ЭП) как для юридических, так и для физических лиц. В частности, ЭП применяется в бизнес-процессах организаций, при обращении к госуслугам, при осуществлении электронных платежей и т.п. Сертификат ключа ЭП содержит конфиденциальную информацию (в т.ч. сведения о владельце), заполучив которую злоумышленники могут осуществить атаки, результатом которых будет финансовый, репутационный или иной ущерб.
Отсутствие со стороны предприятий должного внимания к вопросам защиты информации информационных технологий может привести к серьезному материальному и моральному ущербу. В настоящее время вопросам обеспечения информационной безопасности в различных сферах человеческой деятельности уделяется особое внимание. Обработка сведений различного уровня конфиденциальности, в соответствии с законодательством, определяет порядок формирования политики безопасности. На основании Федерального закона «О персональных данных» от 27.07.2006г. № 152 – ФЗ, в обязательном порядке является разработка компонентов защиты информации в системе, обрабатывающей ПДн [1].
В этой связи актуальной является разработка подсистемы обеспечения информационной безопасности (ПОИБ) для защиты персональных данных владельцев сертификатов ЭП, обрабатываемых в информационной системе управления ключами шифрования и электронными подписями.
Основными этапами при разработке ПОИБ являются построение модели угроз безопасности информации и модели нарушителя, определение требований по защите
64
информации, выбор средств реализации этих требований, а также оценка эффективности работы ПОИБ.
Информационная система (ИС) управления ключами шифрования и электронными подписями направлена на реализацию требований, определенных в ГОСТ Р ИСО/МЭК 270012006 «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационнойбезопасности.Требования. Приложение А.12.3.2»[4].
ИС предназначена для решения следующих задач: 1. Учет пользователей ЭП.
СибАДИ |
|||||
2. |
Учет пользовательских сертификатов ЭП. |
|
|||
3. |
Учет ключевых носителей. |
|
|||
4. |
Учет |
КЗИ. |
|
|
|
5. |
Генерац я печатных форм документов. |
|
|||
6. |
Предоставлен е анал |
т ческой отчетности. |
|
||
7. |
Аутент ф кац я пользователей. |
|
|||
8. |
Разгран чен е доступа субъектов на основании ролей. |
||||
9. |
Управлен е пользователями. |
|
|||
10. |
Лог |
рован е пользовательских и системных событий. |
|||
11. |
Извещен е пользователей ЭП и администратора о сроках истечения сертификатов ЭП. |
||||
ИС включает в себя следующ е компоненты (рис. 1): |
|
||||
1. |
Обратный прокси–сервер (Nginx) – о еспечивает снижение общей нагрузки на сервер |
||||
приложений за счет кэш |
рован я статического и динамического контента. |
||||
2. |
Сервер пр ложен й (Apache) – реализует бизнес логику и обеспечивает основной |
||||
интерфейс вза модейств я с пользователями и другими информационными системами. |
|||||
3. |
Система управления |
азой данных (СУБД) – |
обеспечивает сбор, оперативное |
||
управление и обработку всей информации. В рамках системы используется база данных |
|||||
MySQL 5.7.26. |
|
|
|
||
4. |
Сайт |
(портал) |
– о еспечивает размещение |
корректировку информации о |
|
пользовательских ключах шифрования, ЭП и средств криптографической защиты информации (СКЗИ), а также предоставляет статистическую информацию по разделам портала.
Рисунок 1 – Структурная схема информационной системы
В системе обрабатываются и сохраняются следующие виды информации ограниченного доступа:
1.Персональные данные зарегистрированных пользователей и пользователей СКЗИ.
2.Данные о юридическом лице.
3.Технологическая информация.
4.Сведения о пользовательских ключах и ЭП, СКЗИ.
65
5.Данные об удостоверяющем центре:
6.Статистическая информация о доступе зарегистрированных пользователей к порталу, регистрации пользователей ЭП, сертификатов ЭП, ключевых носителей, СКЗИ (по месяцу/году).
В системе не обрабатывается информация, содержащая сведения, составляющие государственную тайну.
В качестве объектов атак выступают следующие информационные ресурсы:
1.Аппаратные средства обработки ПДн.
СибАДИпрограмм. |
|
2. |
Общесистемное и прикладное ПО. |
3. |
Технологическая информация системы. |
4. |
ПДн зарег стр рованных пользователей. |
5. |
Пользовательск е данные. |
6. |
веден я о пользовательских СКЗИ. |
7. |
веден я о пользовательских ЭП. |
8. |
веден я о пользовательских ключах шифрования. |
9. |
КЗИ. |
10. |
реда функц он рован я СКЗИ (СФ). |
11. |
Информац я, относящаяся к криптографической защите ПДн. |
12. |
Информац онные ресурсы, в которых отражена ЗИ, относящаяся к ИСПДн и их |
криптограф ческой защ те (документация на СКЗИ и на программно-технические компоненты СФ).
13. Нос тели ЗИ.
14. Помещен я, в которых находятся защищаемые ресурсы ИСПДн. 15. Каналы (линии) связи.
Перечень потенциальных угроз езопасности персональных данных формируется с учетом характеристик информационной системы. В соответствии с методическим документом ФСТЭК России «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных» [5] и данными, полученными в результате обследования объекта информатизации были определены возможные угрозы безопасности персональных данных:
1. Угрозы утечки информации по техническим каналам.
2. Угрозы НСД к ПДн, обрабатываемым на автоматизированном рабочем месте.
В качестве источников угроз утечки по техническим каналам выступают физические лица, не имеющие прямого доступа к ИСПДн, или организации, осуществляющие перехват информационных сигналов с использованием специализированного программноаппаратного комплекса.
В качестве источников угроз НСД к ПДн рассматриваются физические лица, имеющие доступ к ИСПДн, включая пользователей, реализующих угрозы непосредственно в рамках ИСПДн, а также физические лица или организации, реализующие угрозы из внешних сетей связи общего пользования (или) сетей международного обмена. Кроме того, источниками угроз НСД могут выступать аппаратные закладки и отчуждаемые носители вредоносных
В соответствии с методическим документом ФСТЭК России [5] проводится оценка возможностей каждой из категории нарушителей. Для рассматриваемой С, в качестве нарушителей выступают следующие субъекты:
1.Внешние: криминальные структуры и внешние субъекты (физические лица).
2.Внутренние: лица I – II – III категорий.
Построение модели нарушителя безопасности ПДн в ИС с использованием СКЗИ регламентируется документом «Методические рекомендации по разработке нормативных правовых актов, определяющих угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемые при осуществлении соответствующих видов деятельности» [7]. Настоящий
66
документ определяет необходимость использования СКЗИ в процессе обеспечения безопасности ПДн. В связи с особенностями технологий обработки информации в ИСПДн, в частности передача ПДн по информационно-телекоммуникационным сетям общего пользования, обязательным условием является внедрение СКЗИ в ИСПДн.
Для рассматриваемой ИС в качестве внутренних нарушителей рассматриваются
физические лица, |
обеспечивающие функционирование СКЗИ ( ), лица, выступающие |
пользователями ИСПДн, а также обслуживающих персонал ( ) |
|
Нарушители |
типа осуществляют администрирование программно-аппаратных средств, |
СибАДИпри их обработке в информационных системах персональных данных» [3].
КЗИ и БД ИСПДн. В связи с этим, лица данной категории назначаются из особо
доверенного окружения и исключаются из числа потенциальных нарушителей.
Нарушители |
т па |
меют возможность самостоятельно проводить атаки в пределах |
||
контролируемой зоны при отсутствии прямого доступа к аппаратным средствам, на которых |
||||
реализованы |
КЗИ |
СФК. |
||
К внешн м наруш телям относятся: |
||||
1. |
Разведывательные службы. |
|||
2. |
Крим нальные структуры. |
|||
3. |
Конкур рующ е орган зации. |
|||
4. |
Недобросовестные партнеры. |
|||
5. |
Внешн |
е субъекты. |
||
6. |
Поставщ ки ТС |
ПО. |
||
Проведенный с учетом осо енностей компонентного расположения и в соответствии с методикой определен я актуальных угроз [6] анализ позволили получить перечень актуальных угроз. В перечень включена 71 угроза, связанные как с непосредственным, так и с удаленным доступом. При определении возможности реализации угроз определялась в зависимости от потенциальных возможностей нарушителей. Определение актуальных угроз проводилось в соответствии с Постановлением Правительства Российской Федерации от 01.11.2012 №1119 «Об утверждении тре ований к защите персональных данных при их обработке в информационных системах персональных данных». В результате анализа
выявлено, что для рассматриваемой системы актуальны угрозы 3 – го типа [2].
Для рассматриваемой ИСПД уровень защищенности определен как УЗ4, выступающий базовым критерием в процессе формирования требований информационной безопасности. Итоговый перечень требований сформирован с правилами, определенными в Приказе ФСТЭК России от 18 февраля 2013 г. №21 «Об утверждении состава и содержания организационных технических мер по обеспечении безопасности персональных данных
Предложена подсистема обеспечения информационной безопасности, включающая в себя в качестве программно-аппаратных средств защиты информации следующие компоненты:
1. СЗИ от неправомерных действий.
2. Антивирусные средства.
3. Системы обнаружения атак.
4. Межсетевые экраны.
В соответствии с уровнем защищенности, упомянутые средства удовлетворяют требованиям средств защиты не ниже 6 класса, а также требованиям 5 класса защищенности СВТ и 4 уровня НДВ.
На основе анализа сертифицированных российских средств защиты информации, содержащихся в государственном реестре сертифицированных средств защиты информации
[8]сформирована подсистема защиты, в состав которой включены следующие компоненты:
1.Dallas Lock Linux.
2.Dallas Lock 8.0 –K.
3.KasperskyEndpointSecurity 10 forWindows/Linux.
4.DiamondVPN/FW.
67
Оценка эффективности средств защиты, входящих в состав подсистемы обеспечения информационной безопасности для информационной системы управления ключами шифрования и электронными подписями показала соответствие требованиям.
Библиографический список
1.Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 31.12.2017) «О персональных данных».
2.Постановление Правительства РФ от 01.11.2012 г. № 1119 «Об утверждении СибАДИтребований к защите персональных данных при их обработке в информационных системах
персональных данных».
3.Приказ ФСТЭК Росс от 18 февраля 2013 г. №21 «Об утверждении состава и содержания орган зац онных и технических мер по обеспечениию безопасности персональных данных при х обработке в информационных системах персональных данных».
4.ГО Т Р ИСО/МЭК 27001-2006 «Информационная технология. Методы и средства обеспечен я безопасности. стема менеджмента информации безопасности. Требования».
5.«Базовая модель угроз езопасности персональных данных при их обработке в информац онных с стемах персональных данных», утверждена Заместителем директора
ФТЭК Росс 15 февраля 2008 г.
6.«Метод ка определен я актуальных угроз безопасности персональных данных при их обработке в нформац онных системах персональных данных», утверждена Заместителем директора ФСТЭК Росс 14.02.2008 г.
7.«Метод ческ е рекомендации по разработке нормативных правовых актов, определяющих угрозы езопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемые при осуществлении соответствующих видов деятельности», утверждены руководством 8 Центра ФСБ России от 31.05.2015 г. № 149/7/2/6 – 432.
8.Государственный реестр сертифицированных средств защиты информации. [Электронный ресурс]. – Режим доступа: https://fstec.ru/tekhnicheskaya-zashchita- informatsii/dokumenty-po-sertifikatsii/153-sistema-sertifikatsii/591-gosudarstvennyj-reestr- sertifitsirovannykh-sredstv-zashchity-informatsii-n-ross-ru-0001-01bi00
68