Проектирование защищенных информационнотелекоммуникационных систем. Язов Ю.К

К средствам защиты от НСД относятся:

межсетевые экраны, фильтры, proxy-серверы;

средства антивирусной защиты;

средства обнаружения вторжений;

средства идентификации и аутентификации и иные средства разграничения (контроля) доступа;

средства поиска уязвимостей и анализа защищенности (сканеры безопасности);

средства резервирования;

средства восстановления;

средства контроля целостности;

средства контроля (выявления каналов) утечки информации (например, DLP-системы21);

средства уничтожения остаточной информации

средства отвлечения (обмана);

средства изолирования, разделения операционной среды;

средства контроля вскрытия аппаратуры и др. Некоторые из этих средств реализуются в рамках

операционной системы (например, индивидуальные межсетевые экраны, средства идентификации и аутентификации, средства резервирования, восстановления и контроля целостности), другие – специально разрабатываются и устанавливаются в информационных системах для усиления защиты (например, средства антивирусной защиты, обнаружения вторжений, сканеры безопасности, DLPсистемы и т.п.). Для каждого средства защиты формируется свой набор требований, касающихся характеристик и условий его применения.

21 см. раздел 6

341

Наконец, мера защиты – это действие или совокупность действий, направленных на разработку или практическое применение способов или средств защиты информации [10]. Меры защиты могут быть организационными и техническими. Организационные меры реализуются без применения аппаратного или программного обеспечения и касаются действий персонала информационной системы. К таким мерам могут относиться, например, ограничение доступа лиц на территорию, к оборудованию и программному обеспечению, реализуемое подразделениями охраны, правила регистрации и применения отчуждаемых носителей, установление времени смены паролей в организации, назначение ответственных лиц в области обеспечения безопасности информации и др. Требования к организационным мерам касаются их состава и содержания, сроков и места применения, исполнителей и др.

Технические меры, напротив, реализуются с применением программных, аппаратных или программноаппаратных средств. В требованиях к этим мерам указывается состав и содержание мер, которые должны применяться в информационной системе, средства, с помощью которых реализуется каждая мера, сроки, места и порядок их применения и др. Более подробно о требованиях к мерам и средствам изложено в разделе 5.

Для регламентации деятельности в области защиты информации со стороны государства законодательными органами и уполномоченными федеральными органами исполнительной власти разрабатываются соответствующие документы, состав видов которых приведен на рис. 4.3.

342

Следует отметить, что сегодня отсутствуют документы, целенаправленно регламентирующие деятельность по защите информации в ИТКС. Поэтому на практике руководствуются национальными стандартами и нормативными документами федеральных органов исполнительной власти, содержащими общие требования по защите информации в любых автоматизированных системах, и в частности нормативными документами ФСТЭК России

(рис. 4.4 и 4.5).

Следует отметить, что в государственных стандартах пока приводятся в основном общие требования по защите информации, касающиеся организации защиты, или общие требования по обеспечению безопасности информационных технологий, и лишь в части высоконадежной биометрической аутентификации требования касаются средств защиты.

В связи с этим при проектировании ИТКС в защищенном исполнении используют преимущественно нормативные документы федеральных органов исполнительной власти, которые являются обязательными для государственных информационных систем и информационных систем персональных данных. Наличие нескольких нормативных документов, казалось бы, может вызвать сложности в определении того из них, которым нужно руководствоваться при обосновании требований к ИТКС, особенно когда такая система одновременно является государственной и относится к информационным системам персональных данных. Общая схема определения документа уполномоченного федерального органа исполнительной власти, который следует использовать в интересах обоснования требований по защите информации в ИТКС показана на рис. 4.6.

344

Государственные стандарты

Рис. 4.4. Государственные стандарты в области защиты информации

345

Для средств и систем защиты информации

Руководящий документ. Средства вычислительной техники. Меж-

сетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации. М.: 1997

Требования к системам обнаружения вторжений. Приказ ФСТЭК России от « 6 » декабря 2011 г. № 638

Требования в области технического регулирования к продукции, используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа (требования к средствам антивирусной защиты).

Приказ ФСТЭК России от « 20 » марта 2012 г. № 28

Рис. 4.5. Документы федеральных органов исполнительной власти, регламентирующие деятельность в области защиты информации в ИТКС

346

При этом для обеспечения безопасности персональных данных при их обработке в государственных информационных системах в дополнение к Требованиям, утвержденным приказом ФСТЭК России от 11 февраля 2013 г. N 17, необходимо руководствоваться требованиями (в том числе в части определения уровня защищенности персональных данных), установленными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 [23], и должно быть обеспечено соответствующее соотношение класса защищенности государственной информационной системы с уровнем защищенности персональных данных. В случае, если определенный в установленном порядке уровень защищенности персональных данных выше, чем установленный класс защищенности государственной информационной системы, то осуществляется повышение класса защищенности до значения, обеспечивающего выполнение пункта 27 Требований, утвержденных приказом ФСТЭК России от 11 февраля

2013 г. N 17 [19].

4.2. Требования по защите информации в соответствии действующими руководящими документами

ФСТЭК России

Информационно – телекоммуникационные системы являются автоматизированными системами, требования к которым по защите информации от НСД независимо от назначения автоматизированной системы устанавливаются в соответствии с руководящим документом Гостехкомис-

сии [48, 49].

Согласно этому документу требования предъявляются в интересах защиты информации от НСД. В документе подчеркивается, что комплекс средств защиты и органи-

348

зационных (процедурных) решений по защите информации от НСД должен реализовываться в рамках системы защиты информации от НСД, включающей в себя следующие четыре подсистемы22:

управления доступом;

регистрации и учета;

криптографической;

обеспечения целостности.

Состав указанных подсистем зависит от класса защиты ИТКС. Выбор требуемого класса защиты определяется:

перечнем защищаемых информационных ресурсов ИТКС и их уровнем конфиденциальности;

перечнем лиц, имеющих доступ к штатным средствам ИТКС, с указанием их уровня полномочий;

матрицей доступа или полномочий субъектов доступа по отношению к защищаемым информационным ресурсам ИТКС;

режимом обработки данных в ИТКС.

Взависимости от указанных признаков для любых информационных систем может быть введен один из девяти классов защищенности, объединяемых в три группы

(рис. 4.7):

третья группа классифицирует информационные системы, в которых работает один пользователь, допущенный ко всей информации в информационной системе, размещенной на носителях одного уровня конфиденциальности. Группа содержит два класса - 3Б и 3А;

22 Сегодня состав подсистем в СЗИ значительно шире (см. раздел 6)

349

Рис. 4.7. Классы защищенности информации в информационной системе

350