Средства криптографической защиты информации (СКЗИ) Документация сертифицированного продукта

В данном Приказе следует обратить внимание на следующие моменты:

Требования по размещению. Обычно требуется круглосуточная охрана, контроль периметра, пропускной режим с журналом учета, пожарная сигнализация. В большинстве случаев эксплуатация допускается только на территории Российской Федерации (экспортные СКЗИ – тема отдельной статьи).

Административные меры безопасности. Эксплуатация должна сопровождаться следующими документами: журнал учета СКЗИ, ключей, эталонных дисков и т. п.

Требования по защите от НСД. В разделе указываются требования к учетным записям администраторов, парольная политика (требования к паролям, регламент смены), периодичность контроля целостности, контроль вскрытия корпуса.

Требования к установке. Очень важный пункт, содержит информацию о возможности установки обновлений ОС и стороннего ПО, настройкам BIOS.

Средства криптографической защиты информации (СКЗИ) Документация сертифицированного продукта

Требования по обращению с ключевыми документами. Обычно указываются поддерживаемые носители ключевой информации, способы формирования ключей, максимальный срок действия (как правило, 15 месяцев – для большинства случаев и три года – для токенов с неизвлекаемым ключом), способы и порядок смены, удаления, а также аннулирования.

Требования к процедурам конфигурирования. Первоначальное конфигурирование обычно локальное, в дальнейшем возможно удаленное по защищенному каналу. К рабочему месту администратора могут быть предъявлены дополнительные требования по обеспечению безопасности

– наличие только лицензионного ПО, защита от НСД и т. д.

Требования к политике безопасности. Указываются как общие принципы формирования политики безопасности, например, «запрещено всё, что не разрешено», так и конкретные рекомендации для некоторых параметров, например, периодичность смены сессионного ключа – не реже одного раза в сутки.

Порядок ввода в эксплуатацию. Небольшой чек-лист с этапами настройки: ознакомление с документацией, смена паролей, подключение, опломбирование, генерация ключей, формирование политики безопасности.

Порядок вывода из эксплуатации. Обычно указано аннулирование ключевой информации и удаление СКЗИ.

Средства криптографической защиты информации (СКЗИ) Установка

После ознакомления с Формуляром, Правилами Пользования и другой эксплуатационной документацией на СКЗИ можно приступать к следующему этапу – установке.

Предварительно нужно убедиться, что купленное СКЗИ соответствует Формуляру – раздел «комплектность».

Если в комплекте поставки дистрибутив с версией, отличной от версии в Формуляре, то это повод обратиться к производителю за разъяснениями.

Это могла быть производственная ошибка – представленная версия уже сертифицирована, но по чьему-то недосмотру в комплекте оказался старый формуляр. В худшем случае бывает, что формуляр правильный, а фактически поставленная версия не сертифицирована.

Далее нужно оценить выполнение требований из Правил Пользования. Если СКЗИ поставляется как программное обеспечение, то нужно убедиться в выполнении требований к аппаратной платформе.

При невыполнении требований из Правил Пользования, СКЗИ не сможет обеспечить уровень защиты, указанный в сертификате ФСБ России.

Средства криптографической защиты информации (СКЗИ) Установка

При выполнении работ по установке не стоит забывать об административных задачах: сделать отметки в журнале поэкземплярного учета СКЗИ и ключевой информации.

Для установки СКЗИ администратор безопасности должен использовать дистрибутив, доставленный доверенным способом. Обычно СКЗИ поставляется на CD-диске. Тем не менее, предварительно необходимо проверить контрольную сумму установочного файла.

Во время установки требуется ввести лицензию из комплекта поставки, а также пройти процедуру инициализации датчика случайных чисел (ДСЧ). Если ДСЧ биологический, то в зависимости от реализации появится предложение вводить указанные символы или попадать мышкой по «мишеням». Случайное число в таких случаях – интервал времени между нажатиями на клавиши или попаданиями по «мишеням». Если ДСЧ физический, например, в составе АПМДЗ, то процедура инициализации пройдет автоматически, практически незаметно для пользователя.

После завершения установки следует приступить к настройке.

Средства криптографической защиты информации (СКЗИ) Настройка

Настройка зависит от конкретной задачи и системы, в которой будет использоваться СКЗИ. Рекомендации по формированию политики безопасности указаны в Правилах Пользования, рассмотренных выше.

Настройка может производиться администратором безопасности локально либо централизованно через систему управления. Настройка на системе управления не означает, что никаких локальных действий не потребуется, но они значительно облегчаются. По сути, в центре из шаблона создаётся профайл с политикой безопасности и ключевая информация, далее эти данные доверенным способом доставляются к СКЗИ и импортируются. Дальнейшее управление происходит из системы управления по защищенному каналу.

ВНКЦКИ в системе управления ViPNet Administrator создаются профайлы и ключевая информация, далее они передаются в организации, которым требуется подключение и импортируются в приобретенное оборудование ViPNet Coordinator или ViPNet Client.

Вдальнейшем аналогичный подход будет использоваться и для СКЗИ других производителей: «С Терра», «Код Безопасности» и др.

Средства криптографической защиты информации (СКЗИ) Эксплуатация

После инициализации и настройки начинается эксплуатация СКЗИ. Во время эксплуатации необходимо техническое сопровождение, которое включает в себя:

обновление ключевой информации;

аудит политики безопасности;

аудит учетных записей и паролей;

контроль целостности;

просмотр и анализ журналов с протоколируемыми событиями;

контроль вскрытия корпуса или повреждения пломб и т. п.

Постоянный мониторинг и аудит – важное условие надежной защиты, которое позволяет принять оперативные меры реагирования при попытках взлома или компрометации СКЗИ.

Рассмотрим подробнее обновление ключевой информации. Максимальный срок ее действия обычно составляет 15 месяцев (для большинства случаев) и три года – для токенов с неизвлекаемым ключом. Обычно обновление происходит заранее, например, через год. Оно может быть локальным – путем доставки новой ключевой информации на съемном носителе (токене), либо удаленным – через систему управления.

Средства криптографической защиты информации (СКЗИ) Окончание жизненного цикла

Сертификат ФСБ России на СКЗИ выдается на три года.

Также имеется возможность его продления примерно на полтора года (итого: пять лет с момента получения Положительного Заключения на СКЗИ).

Таким образом, срок жизненного цикла составляет от трех до пяти лет.

При этом СКЗИ может быть куплено не сразу после получения сертификата, а позже. В этом случае срок полезного использования уменьшается.

Средства криптографической защиты информации (СКЗИ) Окончание жизненного цикла

По окончании срока действия сертификата требуется:если задача применения СКЗИ актуальна:

обновление СКЗИ до новой сертифицированной версии при технической возможности (наиболее вероятный сценарий развития событий);

замена СКЗИ на новое с выводом из эксплуатации старого (если обновление технически невозможно или принято решение использовать СКЗИ другого производителя);

пересертификация прежней версии СКЗИ (редкий вариант, так как зачастую у новых версий уже есть новые возможности, необходимые пользователю);

если задача больше не актуальна:вывод СКЗИ из эксплуатации.

Последний пункт – это закономерный финал любого продукта, в том числе СКЗИ. В этом случае администратор безопасности удаляет СКЗИ и, как правило, отзывает ключевую информацию. Аналогичные действия выполняются при передаче аппаратных средств, на которых установлено СКЗИ, для ремонта в стороннюю организацию.

Средства криптографической защиты информации (СКЗИ) Окончание жизненного цикла

Процесс эксплуатации СКЗИ регламентируется Формуляром, Правилами Пользования и другой эксплуатационной документацией СКЗИ.

Из-за большого объема этих документов разобраться в них неподготовленному человеку довольно сложно.

Для внедрения и эксплуатации СКЗИ требуется квалифицированный персонал – процессы очень ресурсоемкие.

Этот недостаток может частично нивелироваться централизованным управлением, так как наличие в центральном офисе квалифицированного персонала значительно облегчает процесс внедрения СКЗИ.

Но множество задач все равно придется решать на месте, среди них – ремонт или замена аппаратных платформ, замена ключевой информации при ее отзыве, восстановление после сбоев и т. п.

Средства криптографической защиты информации (СКЗИ) Окончание жизненного цикла

Альтернативный подход – использование сервисной модели с предоставлением преднастроенного СКЗИ.

Вариации такого подхода используются при подключении к НКЦКИ. СКЗИ в виде услуги позволяет снизить капитальные затраты на приобретение оборудования и его внедрения, избежать проблем, связанных с дефицитом квалифицированных специалистов, более гибко подойти к эксплуатации – не задумываться об истечении срока действия сертификата ФСБ России на СКЗИ, необходимой производительности оборудования, актуализации политики безопасности и многом другом.

Отдельно нужно отметить проблему несовместимости реализаций СКЗИ различных производителей в рамках направления ГОСТ VPN.

В связи с этим крупные организации развернули в центре своей инфраструктуры мультивендорное ядро для подключения к ней.