Классификация средств защиты информации от фстэк и фсб россии

Введение

Процесс создания системы информационной безопасности (СИБ) представляет собой совокупность упорядоченных во времени, взаимосвязанных, объединенных в стадии и этапы, работ, выполнение которых необходимо и достаточно для создания СИБ, соответствующей заданным требованиям.

Одно из таких требований состоит в том, что обеспечение информационной безопасности организации должно осуществляться непрерывно на всех стадиях жизненного цикла СИБ. На каждой стадии должны быть определены и реализованы мероприятия, направленные на нейтрализацию актуальных угроз ИБ, повышающих риск нарушения штатного функционирования ИТ-инфраструктуры. Общие требования к созданию СИБ – это основа для всех этапов работ.

Основные работы по созданию СИБ, включая формирование требований к ней, приведены на рисунке:

О классификации ГИС и выборе мер защиты

Новыми документами ФСТЭК России установлены четыре класса защищенности ГИС, определяющие уровни защищенности содержащейся в ней информации. Самый низкий класс — четвертый, самый высокий — первый. Класс защищенности ГИС (первый класс К1, второй класс К2, третий класс К3, четвертый класс К4) определяется в зависимости от уровня значимости информации (УЗ), обрабатываемой в этой ГИС, и масштаба ГИС (федеральный, региональный, объектовый).

Класс защищенности (К) = . Уровень значимости информации определяется степенью возможного ущерба для обладателя информации (заказчика) и (или) оператора от нарушения конфиденциальности (неправомерные доступ, копирование, предоставление или распространение), целостности (неправомерные уничтожение или модифицирование) или доступности (неправомерное блокирование) информации.

УЗ = , где степень возможного ущерба определяется обладателем информации (заказчиком) и (или) оператором самостоятельно экспертным или иными методами и может быть:ВЫСОКОЙ, если в результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны существенные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) ГИС и (или) оператор (обладатель информации) не могут выполнять возложенные на них функции;СРЕДНЕЙ, если в результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны умеренные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) ГИС и (или) оператор (обладатель информации) не могут выполнять хотя бы одну из возложенных на них функций;НИЗКОЙ, если в результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны незначительные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) ГИС и (или) оператор (обладатель информации) могут выполнять возложенные на них функции с недостаточной эффективностью или выполнение функций возможно только с привлечением дополнительных сил и средств.

При обработке в ГИС двух и более видов информации (служебная тайна, налоговая тайна и иные установленные законодательством Российской Федерации виды информации ограниченного доступа) уровень значимости информации (УЗ) определятся отдельно для каждого вида информации. Итоговый уровень значимости информации, обрабатываемой в ГИС, устанавливается по наивысшим значениям степени возможного ущерба, определенным для конфиденциальности, целостности, доступности информации каждого вида информации.

Класс защищенности ГИС определяется в соответствии с таблицей:

Результаты классификации ГИС оформляются актом классификации.

В Приложение N 2 к «Требованиям о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» приведен «СОСТАВ МЕР ЗАЩИТЫ ИНФОРМАЦИИ И ИХ БАЗОВЫЕ НАБОРЫ ДЛЯ СООТВЕТСТВУЮЩЕГО КЛАССА ЗАЩИЩЕННОСТИ ИНФОРМАЦИОННОЙ СИСТЕМЫ». Ниже приведен фрагмент таблицы.

«+» — мера защиты информации включена в базовый набор мер для соответствующего класса защищенности информационной системы.

Меры защиты информации, не обозначенные знаком «+», применяются при адаптации базового набора мер и уточнении адаптированного базового набора мер, а также при разработке компенсирующих мер защиты информации в информационной системе соответствующего класса защищенности.

О применении новых документов ФСТЭК России в области защиты государственных и иных информационных систем

Из названия документов понятно, что они действуют для государственных информационных систем (ГИС, не путать с геоинформационными системами) обрабатывающих информацию, не составляющей государственную тайну.

На наш взгляд эти новые документы представляют новый успешный шаг ФСТЭК России к созданию более понятных требований к проектированию систем защиты для государственных информационных систем. И хотя документы объемные: так Требования к защите ГИС – состоят из 27 листов, Методика защиты ГИС – состоит из 120 листов, они вполне могут быть освоены и понятны не специалистам по защите информации.

В Требованиях к защите ГИС установлены требования к обеспечению защиты информации, от утечки по техническим каналам, несанкционированного доступа, специальных воздействий на информацию (носители информации) в целях ее добывания, уничтожения, искажения или блокирования доступа к ней.

Организационные и технические меры защиты информации, реализуемые в рамках системы защиты информации ГИС, в зависимости от информации, содержащейся в ГИС, целей создания ГИС и задач, решаемых этой ГИС, должны быть направлены на исключение:

• неправомерных доступа, копирования, предоставления или распространения информации (обеспечение конфиденциальности информации);
• неправомерных уничтожения или модифицирования информации (обеспечение целостности информации);
• неправомерного блокирования информации (обеспечение доступности информации).

Требованиях к защите ГИС могут также применяться для защиты общедоступной инфрмации, содержащейся в информационной системе (ИС), для достижения целей, указанных в пунктах 1 и 3 части 1 статьи 16 Федерального закона от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации», а также для защиты информации, содержащейся в негосударственных информационных системах.

По решению оператора персональных данных новые документы применяются для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных, защита которых обеспечивается в соответствии с «Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденных приказом ФСТЭК России от 18 февраля 2013 г. N 21 (зарегистрирован Минюстом России 14 мая 2013 г., рег. N 28375).

При обработке персональных данных в информационной системе определение класса защищенности информационной системы осуществляется с учетом требуемого уровня защищенности персональных данных, установленного в соответствии с «Требованиями к защите персональных данных при их обработке в информационных системах персональных данных», утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119.

При этом в соответствии с пунктом 27 Требований, утвержденных приказом ФСТЭК России от 11 февраля 2013 г. N 17, должно быть обеспечено соответствующее соотношение класса защищенности государственной информационной системы с уровнем защищенности персональных данных. В случае, если определенный в установленном порядке уровень защищенности персональных данных выше, чем установленный класс защищенности государственной информационной системы, то осуществляется повышение класса защищенности до значения, обеспечивающего выполнение пункта 27 Требований, утвержденных приказом ФСТЭК России от 11 февраля 2013 г. N 17.

В документах не рассматриваются требования о защите информации, связанные с применением криптографических методов защиты информации и шифровальных (криптографических) средств защиты информации. Как известно за эти требования отвечает ФСБ России.

Особенностью этих документов является то, что требования не распространяются на государственные информационные системы Администрации Президента Российской Федерации, Совета Безопасности Российской Федерации, Федерального Собрания Российской Федерации, Правительства Российской Федерации, Конституционного Суда Российской Федерации, Верховного Суда Российской Федерации, Высшего Арбитражного Суда Российской Федерации и Федеральной службы безопасности Российской Федерации.

Обязательные требования к системе ИБ безналичных платежей

• внедрение передовых практик по управлению IT и инфраструктурой;
• создание комплексной системы защиты информации.

1. СТО БР ИББС. Стандарт и комплекс сопутствующих документов имеет силу только в случае его добровольного принятия кредитной организацией.
2. PCI DSS. Стандарт будет действовать, только если в платежных документах передаются полные не маскированные номера платежных карт (PAN).
3. Корпоративная политика информационной безопасности. Требования актуальны для больших банковских групп, где единая политика ИБ устанавливается в отношении всех банков группы и где каждый банк должен разрабатывать на ее базе внутренние документы.

АВЗ.1АВЗ.2Письмо Банка России от 24.03.2014 N 49-ТЗИС.17

[править] Классификация

В целом средства обеспечения защиты информации в части предотвращения преднамеренных действий в зависимости от способа реализации можно разделить на группы:

• Технические (аппаратные) средства. Это различные по типу устройства (механические, электромеханические, электронные и др.), которые аппаратными средствами решают задачи защиты информации. Они препятствуют доступу к информации, в том числе с помощью её маскировки. К аппаратным средствам относятся: генераторы шума, сетевые фильтры, сканирующие радиоприемники и множество других устройств, «перекрывающих» потенциальные каналы утечки информации или позволяющих их обнаружить. Преимущества технических средств связаны с их надежностью, независимостью от субъективных факторов, высокой устойчивостью к модификации. Слабые стороны — недостаточная гибкость, относительно большие объём и масса, высокая стоимость.
• Программные средства включают программы для идентификации пользователей, контроля доступа, шифрования информации, удаления остаточной (рабочей) информации типа временных файлов, тестового контроля системы защиты и др. Преимущества программных средств — универсальность, гибкость, надежность, простота установки, способность к модификации и развитию. Недостатки — ограниченная функциональность сети, использование части ресурсов файл-сервера и рабочих станций, высокая чувствительность к случайным или преднамеренным изменениям, возможная зависимость от типов компьютеров (их аппаратных средств).
• Смешанные аппаратно-программные средства реализуют те же функции, что аппаратные и программные средства в отдельности, и имеют промежуточные свойства.
• Организационные средства складываются из организационно-технических (подготовка помещений с компьютерами, прокладка кабельной системы с учетом требований ограничения доступа к ней и др.) и организационно-правовых (национальные законодательства и правила работы, устанавливаемые руководством конкретного предприятия). Преимущества организационных средств состоят в том, что они позволяют решать множество разнородных проблем, просты в реализации, быстро реагируют на нежелательные действия в сети, имеют неограниченные возможности модификации и развития. Недостатки — высокая зависимость от субъективных факторов, в том числе от общей организации работы в конкретном подразделении.

По степени распространения и доступности выделяются программные средства, другие средства применяются в тех случаях, когда требуется обеспечить дополнительный уровень защиты информации.

[править] Аппаратные средства защиты информации

К аппаратным средствам защиты относятся различные электронные, электронно-механические, электронно-оптические устройства. К настоящему времени разработано значительное число аппаратных средств различного назначения, однако наибольшее распространение получают следующие:

• специальные регистры для хранения реквизитов защиты: паролей, идентифицирующих кодов, грифов или уровней секретности;
• устройства измерения индивидуальных характеристик человека (голоса, отпечатков) с целью его идентификации;
• схемы прерывания передачи информации в линии связи с целью периодической проверки адреса выдачи данных.
• устройства для шифрования информации (криптографические методы);
• модули доверенной загрузки компьютера.

Информация ограниченного доступа

Информация ограниченного доступа по условиям ее правового режима подразделяется на информацию, отнесенную к государственной тайне, и сведения конфиденциального характера.

Ограничение доступа к информации устанавливается федеральными законами в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства. Обязательным является соблюдение конфиденциальности информации, доступ к которой ограничен федеральными законами.

Отнесение информации к государственной тайне осуществляется в соответствии с Законом Российской Федерации «О государственной тайне». Перечень сведений, отнесенных к государственной тайне определяется ст. 5 указанного Закона. Существует три степени секретности такой информации:

Особой важности

Совершенно Секретно

Секретно

Перечень сведений конфиденциального характера опубликован в Указе Президента РФ от 6 марта 1997 г. № 188 «Об утверждении перечня сведений конфиденциального характера». К видам такой информации относятся:

• Персональные данные — сведения о фактах, событиях и обстоятельствах частой жизни гражданина, позволяющие идентифицировать его личность, за исключением сведений, подлежащих распространению в средствах массовой информации в установленном федеральными законами случаях;
• Тайна следствия и судопроизводства — сведения, составляющие тайну следствия и судопроизводства, а также сведения о защищаемых лицах и мерах государственной защиты, осуществляемой в соответствии с ФЗ от 20 августа 2004 г. № 119-ФЗ и другими нормативными правовыми актами Российской Федерации;
• Служебная тайна — служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом Российской Федерации и федеральными законами;
• Профессиональная тайна — сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией Российской Федерации и федеральными законами (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных и иных сообщений и т.д.);
• Коммерческая тайна — сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии с Гражданским кодексом Российской Федерации и федеральными законами;
• Сведения о сущности изобретения — сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них.

Классификация защищенности изделий информационных технологий

В настоящее время проводится внедрение системы оценки соответствия на основе стандарта ГОСТ Р ИСО / МЭК 15408. В рамках этого стандарта выделяют т. н. профиль защиты. Он представляет собой совокупность требований безопасности в отношении определенной категории изделий ИТ, независящую от реализации.

В зависимости от степени конфиденциальности обрабатываемой информации определены классы защищенности изделий ИТ

Так, при защите информации с грифом «особой важности» применяются изделия 1 класса. Для защиты информации с грифом «совершенно секретно» достаточным считается 2 класс защищенности

Третий класс защищенности достаточен при защите информации с грифом «секретно». А для защиты конфиденциальной информации потребуются изделия ИТ как минимум 4 класса защищенности.

Средства защиты в информационных системах общего пользования

По поручению Правительства Российской Федерации разработаны Требования по защите информации в информационных системах общего пользования. В них, в частности, определены такие виды средств защиты информации, как СЗИ от неправомерных действий (в том числе — средства криптографической защиты информации), средства обнаружения вредоносных программ (в том числе — антивирусные средства), средства контроля доступа к информации (в том числе — средства обнаружения компьютерных атак), средства фильтрации и блокирования сетевого трафика (в том числе — средства межсетевого экранирования). Использование таких СЗИ должно обеспечить требуемый уровень защищенности.

Виды средств криптографической защиты информации

Средства защиты информации, реализующее алгоритмы криптографического преобразования информации, относят к криптографическим средствам защиты информации (по ГОСТ Р 50922-2006). Разработка, изготовление и распространение их является лицензируемым видом деятельности. Согласно Положения о лицензировании принято различать:

• средства шифрования;
• средства имитозащиты;
• средства электронной подписи;
• средства кодирования;
• средства изготовления ключевых документов;
• ключевые документы;
• аппаратные шифровальные (криптографические) средства;
• программные шифровальные (криптографические) средства;
• программно-аппаратные шифровальные (криптографические) средства.

В первом случае речь идет о криптографических СЗИ, обеспечивающих возможность разграничения доступа к ней. Средства шифрования, в которых часть криптопреобразований осуществляется с использованием ручных операций или автоматизированных средств, предназначенных для выполнения таких операций, называют средствами кодирования.

Электронные документы, содержащие ключевую информацию, необходимую для выполнения криптографических преобразований с помощью средств шифрования, принято называть ключевыми документами. Средства шифрования, обеспечивающие создание ключевых документов, называют средствами изготовления ключевых документов.

Защиту от навязывания ложной информации, возможность обнаружения изменений информации с помощью реализованных в СЗИ криптографических механизмов предоставляют средства имитозащиты.

Криптографические СЗИ, обеспечивающие создание электронной цифровой подписи с использованием закрытого ключа, подтверждение с использованием открытого ключа подлинности электронной цифровой подписи, создание закрытых и открытых ключей электронной цифровой подписи относят к средствам электронной подписи.

Суть различий последних трех видов шифровальных средств, указанных выше, очевидно следует из их названий.

Более подробная информация, касающаяся криптографических СЗИ, отражена в утвержденном ФСБ России документе «ПКЗ-2005».

Классификация безопасности информационных систем

Принятые по международной классификации уровни безопасности можно описать простыми словами, на знакомых среднестатистическому пользователю примерах.

1. Уровень D — нулевая безопасность, при которой каждый пользователь получает полный доступ к данным любой степени значимости. Как пример — можно упомянуть читальный зал библиотеки.
2. Уровень С — система с ранжированием доступа. Формируется полный и частичный объем данных, к которым могут обращаться группы пользователей. Для идентификации используется парольная система. В зависимости от сложности, уровень С может содержать самый разный механизм контроля, в том числе — с делегированием ответственности.
3. Уровень В типичен для большинства крупных систем. Здесь ведется полная статистика запросов, сформированных потоков данных, действий пользователей. В ходу развернутая система идентификации и регулирования прав, с полным мониторингом происходящего и делегированием ответственности. Хранимая информация резервируется, предусматривается дублирование функционала системы, отслеживание и блокировка внешних атак.

Высший класс А — относится к сертифицированным системам, соответствующих требованиям безопасности, связанным с определенными сферами применения. Четкой регламентации особенностей подобных структур попросту не существует. Кроме этого, свод требований может зависеть от законодательных норм и принятых правил обмена информацией конкретного государства.

Сбор исходных данных об информационной системе

Основными задачами, решаемыми в ходе сбора исходных данных об информационной системе, являются выявление объектов защиты (активов) и среды их функционирования (в том числе присущих ей уязвимостей), определение их владельцев и их ценности для владельца (заказчика).

Данные задачи вытекают из модели взаимоотношений между владельцами, объектами защиты, уязвимостями, нарушителями, угрозами, рисками и контрмерами согласно ГОСТ Р ИСО/МЭК 15408-1-2008.

Так, за сохранность активов отвечает их владелец, для которого они имеют ценность. Существующие или предполагаемые нарушители могут по-своему оценивать эти активы и стремиться использовать их вопреки интересам владельца.

Владелец активов анализирует возможные угрозы и риски, чтобы решить, какие из них действительно присущи его среде (в условиях наличия различного рода уязвимостей). Выполняемый на качественных исходных данных анализ позволяет осуществить выбор контрмер для противодействия угрозам и уменьшения рисков до приемлемого уровня.