Требования и рекомендации по защите информации, обрабатываемой средствами вычислительной техники
Рассмотрим основные аспекты документа "Специальные требования и рекомендации по технической защите конфиденциальной информации" (далее СТР-К).
Документ определяет следующие основные вопросы защиты информации:
организацию работ по защите информации, в том числе при разработке и модернизации объектов информатизации и их систем защиты информации;
состав и основное содержание организационно-распорядительной, проектной, эксплуатационной и иной документации по защите информации;
требования и рекомендации по защите речевой информации при осуществлении переговоров, в том числе с использованием технических средств;
требования и рекомендации по защите информации при ее автоматизированной обработке и передаче с использованием технических средств;
порядок обеспечения защиты информации при эксплуатации объектов информатизации;
особенности защиты информации при разработке и эксплуатации автоматизированных систем, использующих различные типы средств вычислительной техники и информационные технологии;
порядок обеспечения защиты информации при взаимодействии абонентов с информационными сетями общего пользования.
Система или подсистема защиты информации, обрабатываемой в АС различного уровня и назначения, должна предусматривать комплекс организационных, программных, технических и, при необходимости, криптографических средств и мер по защите информации при ее автоматизированной обработке и хранении, при ее передаче по каналам связи.
Как уже отмечалось выше, основными направлениями защиты информации в АС является обеспечение безопасности от НСД и от утечки по техническим каналам утечки.
В качестве основных мер защиты информации рекомендуются (но не требуется!):
документальное оформление перечня сведений конфиденциального характера с учетом ведомственной и отраслевой специфики этих сведений;
реализация разрешительной системы допуска исполнителей (пользователей, обслуживающего персонала) к информации и связанным с ее использованием работам, документам;
ограничение доступа персонала и посторонних лиц в защищаемые помещения и помещения, где размещены средства информатизации и коммуникации, а также хранятся носители информации;
разграничение доступа пользователей и обслуживающего персонала к информационным ресурсам, программным средствам обработки (передачи) и защиты информации;
регистрация действий пользователей АС и обслуживающего персонала, контроль за несанкционированным доступом и действиями пользователей, обслуживающего персонала и посторонних лиц;
учет и надежное хранение бумажных и машинных носителей информации, ключей (ключевой документации) и их обращение, исключающее их хищение, подмену и уничтожение;
использование СЗЗ, создаваемых на основе физико-химических технологий для контроля доступа к объектам защиты и для защиты документов от подделки;
необходимое резервирование технических средств и дублирование массивов и носителей информации. Специальный защитный знак (СЗЗ) - сертифицированное и зарегистрированное в установленном порядке изделие, предназначенное для контроля несанкционированного доступа к объектам защиты путем определения подлинности и целостности СЗЗ, путем сравнения самого знака или композиции "СЗЗ - подложка" по критериям соответствия характерным признакам визуальными, инструментальными и другими методами;
использование сертифицированных серийно выпускаемых в защищенном исполнении технических средств обработки, передачи и хранения информации;
использование технических средств, удовлетворяющих требованиям стандартов по электромагнитной совместимости;
использование сертифицированных средств защиты информации;
размещение объектов защиты на максимально возможном расстоянии относительно границы КЗ;
размещение понижающих трансформаторных подстанций электропитания и контуров заземления объектов защиты в пределах КЗ;
развязка цепей электропитания объектов защиты с помощью защитных фильтров, блокирующих (подавляющих) информативный сигнал;
электромагнитная развязка между линиями связи и другими цепями ВТСС, выходящими за пределы КЗ, и информационными цепями, по которым циркулирует защищаемая информация;
использование защищенных каналов связи (защищенных ВОЛС и криптографических средств ЗИ;
размещение дисплеев и других средств отображения информации, исключающее несанкционированный просмотр информации;
организация физической защиты помещений и собственно технических средств с помощью сил охраны и технических средств, предотвращающих или существенно затрудняющих проникновение в здания, помещения посторонних лиц, хищение документов и информационных носителей, самих средств информатизации, исключающих нахождение внутри контролируемой зоны технических средств разведки или промышленного шпионажа;
криптографическое преобразование информации, обрабатываемой и передаваемой средствами вычислительной техники и связи (при необходимости, определяемой особенностями функционирования конкретных АС и систем связи);
предотвращение внедрения в автоматизированные системы программ-вирусов, программных закладок[11.1].
Обязательность тех или иных мер по защите информации также конкретизирована в СТР-К в зависимости от категории АС, "степени секретности" и режима обработки информации, особенностей построения конкретной АС и т.п.
Основной целью классификации АС, рассмотренной нами ранее, СТР-К называет дифференциальный подход к защите информации с целью разработки и применения необходимых и достаточных мер и средств защиты информации.
Порядок обеспечения защиты информации в АС
Устанавливаются следующие стадии создания СЗИ в АС:
предпроектная стадия, включающая предпроектное обследование объекта информатизации, разработку аналитического обоснования необходимости создания СЗИ и технического (частного технического) задания на ее создание;
стадия проектирования (разработки проектов) и реализации объекта информатизации, включающая разработку СЗИ в составе объекта информатизации;
стадия ввода в действие СЗИ, включающая опытную эксплуатацию и приемо-сдаточные испытания средств защиты информации, а также аттестацию объекта информатизации на соответствие требованиям безопасности информации.
На предпроектной стадии по обследованию объекта информатизации:
устанавливается необходимость обработки (обсуждения) конфиденциальной информации на данном объекте информатизации;
определяется перечень сведений конфиденциального характера, подлежащих защите от утечки по техническим каналам;
определяются (уточняются) угрозы безопасности информации и модель вероятного нарушителя применительно к конкретным условиям функционирования;
определяются условия расположения объектов информатизации относительно границ КЗ;
определяются конфигурация и топология автоматизированных систем и систем связи в целом и их отдельных компонент, физические, функциональные и технологические связи как внутри этих систем, так и с другими системами различного уровня и назначения;
определяются технические средства и системы, предполагаемые к использованию в разрабатываемой АС и системах связи, условия их расположения, общесистемные и прикладные программные средства, имеющиеся на рынке и предлагаемые к разработке;
определяются режимы обработки информации в АС в целом и в отдельных компонентах;
определяется класс защищенности АС;
определяется степень участия персонала в обработке (обсуждении, передаче, хранении) информации, характер их взаимодействия между собой и со службой безопасности;
определяются мероприятия по обеспечению конфиденциальности информации в процессе проектирования объекта информатизации.
По результатам предпроектного обследования разрабатывается обоснование необходимости создания СЗИ и создается частное техническое задание на разработку СЗИ с конкретными требованиями по обеспечению безопасности информации в АС.
Техническое (частное техническое) задание на разработку СЗИ должно содержать:
обоснование разработки;
исходные данные создаваемого (модернизируемого) объекта информатизации в техническом, программном, информационном и организационном аспектах;
класс защищенности АС;
ссылку на нормативные документы, с учетом которых будет разрабатываться СЗИ и приниматься в эксплуатацию объект информатизации;
конкретизацию требований к СЗИ на основе действующих нормативно-методических документов и установленного класса защищенности АС;
перечень предполагаемых к использованию сертифицированных средств защиты информации;
обоснование проведения разработок собственных средств защиты информации, невозможности или нецелесообразности использования имеющихся на рынке сертифицированных средств защиты информации;
состав, содержание и сроки проведения работ по этапам разработки и внедрения;
перечень подрядных организаций-исполнителей видов работ;
перечень предъявляемой заказчику научно-технической продукции и документации.
Далее производится классификация АС в соответствии с РД Гостехкомиссии России "Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации". Классификация оформляется в виде акта.
На стадии проектирования и создания объекта информатизации и СЗИ осуществляются:
разработка задания и проекта на строительные, строительно-монтажные работы (или реконструкцию) объекта информатизации в соответствии с требованиями технического (частного технического) задания на разработку СЗИ;
разработка раздела технического проекта на объект информатизации в части защиты информации;
строительно-монтажные работы в соответствии с проектной документацией, утвержденной заказчиком, размещением и монтажом технических средств и систем;
разработка организационно-технических мероприятий по защите информации в соответствии с предъявляемыми требованиями;
закупка сертифицированных образцов и серийно выпускаемых в защищенном исполнении технических средств обработки, передачи и хранения информации, либо их сертификация;
закупка сертифицированных технических, программных и программно-технических (в т.ч. криптографических) средств защиты информации и их установка;
разработка (доработка) или закупка и последующая сертификация по требованиям безопасности информации программных средств защиты информации в случае, когда на рынке отсутствуют требуемые сертифицированные программные средства;
организация охраны и физической защиты помещений объекта информатизации, исключающих несанкционированный доступ к техническим средствам обработки, хранения и передачи информации, их хищение и нарушение работоспособности, хищение носителей информации;
разработка и реализация разрешительной системы доступа пользователей и эксплуатационного персонала к обрабатываемой (обсуждаемой) на объекте информатизации информации;
определение заказчиком подразделений и лиц, ответственных за эксплуатацию средств и мер защиты информации, обучение назначенных лиц специфике работ по защите информации на стадии эксплуатации объекта информатизации;
выполнение генерации пакета прикладных программ в комплексе с программными средствами защиты информации;
разработка эксплуатационной документации на объект информатизации и средства защиты информации, а также организационно-распорядительной документации по защите информации (приказов, инструкций и других документов);
выполнение других мероприятий, специфичных для конкретных объектов информатизации и направлений защиты информации[11.1].
На стадии ввода в действие объекта информатизации и СЗИ осуществляются:
опытная эксплуатация средств защиты информации в комплексе с другими техническими и программными средствами в целях проверки их работоспособности в составе объекта информатизации и отработки технологического процесса обработки (передачи) информации;
приемо-сдаточные испытания средств защиты информации по результатам опытной эксплуатации с оформлением приемо-сдаточного акта, подписываемого разработчиком (поставщиком) и заказчиком;
аттестация объекта информатизации по требованиям безопасности информации.
На этой стадии оформляются:
акты внедрения средств защиты информации по результатам их приемо-сдаточных испытаний;
предъявительский акт к проведению аттестационных испытаний;
заключение по результатам аттестационных испытаний.
При положительных результатах аттестации на объект информатизации оформляется "Аттестат соответствия" требованиям по безопасности информации.
В целях обеспечения безопасности информации в АС следует выполнять следующие требования и рекомендации:
допуск лиц к АС должен осуществляться в соответствии с установленным в организации порядком (разрешительной системой допуска);
если в помещениях, где обрабатывается защищаемая информация, есть технические средства отображения информации, должен быть исключен ее несанкционированный просмотр.
если пользователь закончил работу с защищаемой информацией или хочет передать управление другому, он должен стереть все временные файлы (например, перезагрузив ПЭВМ).
изменение или ввод новых программ в АС должен выполняться разработчиком АС и администратором АС.
при изменении состава администраторов АС (например, увольнении) должны быть приняты меры по быстрой смене паролей, идентификаторов и ключей шифрования и подписи.
Все носители информации (бумажные, оптические, магнитные и магнитно-оптические) должны учитываться. Для учета могут применяться карточки, журналы (для маленьких организаций), а также автоматизированный учет с использованием СВТ.
Требования и рекомендации по защите информации в конкретной АС зависят от класса АС и от режима обработки информации.
Требования и рекомендации в зависимости от типа АС
Защита конфиденциальной информации на автоматизированных рабочих местах на базе автономных ПЭВМ
Автоматизированные рабочие места (АРМ), построенные на базе автономных ПЭВМ (то есть не соединенных друг с другом), являются автоматизированными системами, следовательно, должны удовлетворять законодательным требованиям. Обмен информацией в таких АС осуществляется посредством носителей информации (дисков, флешек, бумаги и т.п.).
В соответствии с классификацией АС, рассмотренной ранее, АС на базе автономных ПЭВМ должны быть отнесены к:
к III группе АС, если в ней работает только один пользователь, допущенный ко всей информации АС;
ко II и I группе АС, если в ней последовательно работают несколько пользователей с равными или разными правами доступа (полномочиями), соответственно.
При использовании на автономной ПЭВМ технологии обработки информации на съемных накопителях большой емкости, классификация АС производится на основании анализа режима доступа пользователей АС к информации на используемом съемном накопителе (либо одновременно используемом их комплексе).
Что подразумевается под "технологией обработки информации на накопителях большой емкости"? Данная технология предполагает запись на съемный накопитель информации большой емкости одновременно общесистемного (ОС, СУБД) и прикладного программного обеспечения, а также обрабатываемой информации одного или группы пользователей. В качестве накопителей могут быть использованы накопители разной конструкции – встроенные или выносные.
Основным требованием для АС данного типа является исключение хранения защищаемой информации на съемных накопителях в нерабочее время. Это может позволить защищать информацию без применения сертифицированных средств защиты информации от НСД и использования средств физической защиты помещений.
На этапе предпроектного обследования необходимо обратить внимание на технологию и особенности обмена информацией между АРМами в АС с целью предотвращения попадания конфиденциальной информации на неучтенные носители или НСД к ней.
Обмен защищаемой информацией должен осуществляться только на учтенных носителях людьми, имеющими доступ в соответствии с установленным порядком.
На рабочих местах исполнителей не должно быть неучтенных носителей информации в рабочее время. В случае использования, как текстовой, так и графической информации, представленной на неконфиденциальных накопителях информации, последние должны быть "закрыты на запись".
В случае использования Flash-Bios(FB) необходимо обеспечить целостность записываемой на них информации, и проверять ее перед работой и по окончании. При обнаружении нарушения целостности необходимо восстановить (записать первоначальную версию) FB, поставить об этом в известность руководителя подразделения и службу безопасности, а также выяснить причины изменения FB.
В организации должна быть разработана и согласована с руководителем и службой безопасности технология обработки конфиденциальной информации. В ней подробным образом должны описываться вышеизложенные и другие вопросы защиты информации, касающиеся эксплуатации АРМ, учета носителей и прочее, вытекающее из особенности работы АС данного типа.
Защита информации в локальных вычислительных сетях
Характерными особенностями ЛВС являются распределенное хранение файлов, удаленная обработка данных (вычисления) и передача сообщений (электронная почта), а также сложность проведения контроля за работой пользователей и состоянием общей безопасности ЛВС.
Средства защиты информации должны располагаться на каждом узле ЛВС вне зависимости от того, обрабатывается ли на нем конфиденциальная информация. Каждый администратор и пользователь ЛВС должен иметь уникальный пароль, идентификатор и , в случае использования криптографических средств защиты, ключ шифрования.
Класс защищенности ЛВС определяется в соответствии с рассмотренной выше классификацией АС.
Состав пользователей ЛВС должен утверждаться руководителем организации и строго контролироваться. Все изменения состава пользователей, их прав и привилегий должны регистрироваться.
Защита информации при межсетевом взаимодействии
Межсетевое взаимодействие подразумевает под собой взаимодействие ЛВС, ни одна из которых не имеет выхода в Интернет.
В данном случае коммуникационное оборудование (маршрутизаторы, коммутаторы, концентраторы и пр.) и все соединения с локальными периферийными устройствами ЛВС должны располагаться в пределах контролируемой зоны. При конфигурировании коммуникационного оборудования ) и прокладке кабельной системы ЛВС рекомендуется учитывать разделение трафика по отдельным сетевым фрагментам на производственной основе и видам деятельности предприятия.
При подключении ЛВС к АС с другим классом защищенности необходимо использовать межсетевой экран в соответствии с Руководящим Документом Гостехкомиссии России "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации".
Для защиты конфиденциальной информации при ее передаче по каналам связи из одной АС в другую необходимо использовать:
в АС класса 1Г - МЭ не ниже класса 4;
в АС класса 1Д и 2Б, 3Б - МЭ класса 5 или выше.
Если каналы связи выходят за пределы контролируемой зоны, необходимо использование защищенных каналов связи, волоконно-оптических линии связи либо сертифицированных криптографических средств защиты.
Защита информации при работе с системами управления базами данных
При работе с системами управления базами данных (СУБД) и базами данных (БД) необходимо учитывать следующие особенности защиты информации от НСД:
в БД может накапливаться большой объем интегрированной информации по различным тематическим направлениям, предназначенной для различных пользователей;
БД могут быть физически распределены по различным устройствам и узлам сети;
БД могут включать информацию различного уровня конфиденциальности;
разграничение доступа пользователей к БД средствами операционной системы и/или СЗИ НСД может осуществляться только на уровне файлов БД;
разграничение доступа пользователей к объектам БД: таблицам, схемам, процедурам, записям, полям записей в базах данных и т.п., может осуществляться только средствами СУБД, если таковые имеются;
регистрация действий пользователей при работе с объектами БД может осуществляться также только средствами СУБД, если таковые имеются;
СУБД могут обеспечивать одновременный доступ многих пользователей (клиентов) к БД с помощью сетевых протоколов, при этом запросы пользователя к БД обрабатываются на сервере и результаты обработки направляются пользователям (клиентам).
С учетом указанных особенностей при создании БД рекомендуется:
при выборе СУБД ориентироваться на операционные системы и СУБД, включающие либо штатные сертифицированные средства защиты информации от НСД, либо имеющие соответствующие сертифицированные дополнения в виде СЗИ НСД;
при использовании СУБД, не имеющих средств разграничения доступа, производить разбиение БД на отдельные файлы, разграничение доступа к которым можно проводить средствами ОС и/или СЗИ НСД;
при использовании современных СУБД, основанных на модели клиент-сервер, использовать их штатные средства защиты информации от НСД, применять средства регистрации (аудита) и разграничение доступа к объектам БД на основе прав, привилегий, ролей, представлений (VIEW), процедур и т.п.[11.1]
Порядок обеспечения защиты информации при взаимодействии с информационными сетями общего пользования.
Приведенные ниже рекомендации определены для АС, обрабатывающих конфиденциальную информацию, не относящихся к государственным информационным ресурсам.
Подключение к сети абонентского пункта должно утверждаться руководителем организации на основании обоснования необходимости данного подключения. Абонентский пункт (АП) - средства вычислительной техники учреждения (предприятия), подключаемые к Сетям с помощью коммуникационного оборудования. Обоснование подключения должно содержать:
наименование Сети, реквизиты организации-владельца Сети и провайдера Сети;
состав технических средств для оборудования АП;
предполагаемые виды работ и используемые прикладные сервисы Сети (E-Mail, FTP, Telnet, HTTP и т.п.) для АП в целом и для каждого абонента, в частности:
режим подключения АП и абонентов к Сети (постоянный, в т.ч. круглосуточный, временный);
состав общего и телекоммуникационного программного обеспечения АП и абонентов (ОС, клиентские прикладные программы для сети - Browsers и т.п.);
число и перечень предполагаемых абонентов (диапазон используемых IP- адресов);
меры и средства защиты информации от НСД, которые будут применяться на АП, организация-изготовитель, сведения о сертификации, установщик, конфигурация, правила работы с ними;
перечень сведений конфиденциального характера, обрабатываемых (хранимых) на АП, подлежащих передаче и получаемых из Сети[11.1].
Если АП обрабатывает открытую информацию и представляет собой автономную ПЭВМ с модемом, то можно не использовать средства защиты информации от НСД. АП, на которых обрабатывается не открытая информация, должны быть оборудованы средствами защиты и удовлетворять требованиям законодательства.
Подключение ЛВС организации к Сети должно осуществляться через межсетевой экран, сертифицированный по требованиям безопасности информации. Доступ к МЭ и его конфигурированию должен быть только у выделенных администраторов. МЭ должен быть сконфигурирован так, чтобы запросы пользователей ЛВС обрабатывались, а внешние запросы отбрасывались и не проникали в ЛВС.
Почтовый сервер и Web-сервер не должны входить в состав ЛВС и должны подключаться к Сети по отдельному сетевому фрагменту (через маршрутизатор).
На технических средствах АП должно находиться только то ПО, которое необходимо для выполнения работ в соответствии с обоснованием необходимости подключения. Установка и конфигурирование ПО осуществляется назначенным администратором, абонент АП не должен иметь на это прав.
СЗИ НСД, устанавливаемая на автономную ПЭВМ, рабочие станции и серверы внутренней ЛВС организации при обработке на них конфиденциальной информации, должна осуществлять:
идентификацию и аутентификацию пользователей при доступе к автономной ПЭВМ, рабочим станциям и серверам внутренней ЛВС по идентификатору и паролю;
контроль доступа к ресурсам автономной ПЭВМ, рабочих станций и серверов внутренней ЛВС на основе дискреционного принципа;
регистрацию доступа к ресурсам автономной ПЭВМ, рабочих станций и серверов внутренней ЛВС, включая попытки НСД;
регистрацию фактов отправки и получения абонентом сообщений (файлов, писем, документов).
При этом СЗИ НСД должна запрещать запуск абонентом произвольных программ, не включенных в состав программного обеспечения АП.
Модификация конфигурации программного обеспечения АП должна быть доступна только со стороны администратора, ответственного за эксплуатацию АП.
Средства регистрации и регистрируемые данные должны быть недоступны для абонента.
СЗИ НСД должна быть целостной, т.е. защищенной от несанкционированной модификации и не содержащей путей обхода механизмов контроля.
Тестирование всех функций СЗИ НСД с помощью специальных программных средств должно проводиться не реже одного раза в год[11.1].
При создании АП рекомендуется:
при предоставлении абонентам прикладных сервисов исходить из принципа минимальной достаточности. То есть, если абоненту нужна только электронная почта, предоставить доступ только к ней.
использовать операционные системы со встроенными средствами защиты от НСД (например, Windows) или использовать сертифицированные СЗИ от НСД.
максимально использовать имеющиеся у маршрутизаторов средства фильтрации.
контролировать исходящую и входящую во внутреннюю сеть информацию. Копии исходящей почты (файлов) хранить в отдельном месте с целью дальнейшего анализа со стороны администратора (службы безопасности).
контролировать информацию, публикуемую на Web-серверах;
приказом по организации назначаются абоненты, лица, ответственные за эксплуатацию АП и его защиту(например, администраторы безопасности);
вопросы обеспечения безопасности информации на АП должны быть отражены в инструкции, определяющей порядок подключения абонентов, конфигурирования программного обеспечения, работы с почтой и т.п.
К работе с Сетью допускаются люди, ознакомленные с требованиями взаимодействия с другими абонентами. При этом абоненты сети обязаны:
знать порядок регистрации и взаимодействия в Сети;
знать инструкцию по обеспечению безопасности информации на АП;
знать правила работы со средствами защиты информации от НСД, установленными на АП (серверах, рабочих станциях АП);
уметь пользоваться средствами антивирусной защиты;
после окончания работы в Сети проверить свое рабочее место на наличие "вирусов".
Ведение учета абонентов, имеющих доступ в Сеть, организуется в соответствии с установленном в конкретной организации порядке.
Основные требования и рекомендации по защите служебной тайны и персональных данных
Для каждой из категорий информации ограниченного доступа, рассмотренных нами ранее, предусмотрены отдельные федеральные законы и нормативные документы, СТР-К же дает обобщенные требования и рекомендации при их обработке в АС.
При разработке и эксплуатации АС, предполагающих использование информации, составляющей служебную тайну, а также персональных данных должны выполняться следующие основные требования:
Перечень сведений, составляющих служебную тайну или персональные данные, должен быть документально оформлен. Он может иметь как обобщающий характер в области деятельности организации, так и относится к какому-либо отдельному направлению работ. Каждый исполнитель, имеющий отношение к информации ограниченного доступа, должен быть ознакомлен с перечнем в касающейся его части.
В соответствии с РД Гостехкомиссии России "Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации" устанавливается следующий порядок классификации АС в зависимости от вида сведений конфиденциального характера:
АС, обрабатывающие информацию, составляющую служебную тайну, должны быть отнесены по уровню защищенности к классам 3Б, 2Б и не ниже 1Г;
АС, обрабатывающие персональные данные, должны быть отнесены по уровню защищенности к классам 3Б, 2Б и не ниже 1Д.
Для обработки информации следует использовать СВТ, удовлетворяющие требованиям стандартов Российской Федерации по электромагнитной совместимости, по безопасности и эргономическим требованиям к средствам отображения информации, по санитарным нормам, предъявляемым к видеодисплейным терминалам ПЭВМ (ГОСТ 29216-91, ГОСТ Р 50948-96, ГОСТ Р 50949-96, ГОСТ Р 50923-96, СанПиН 2.2.2.542-96). Для повышения уровня защищенности информации рекомендуется использовать сертифицированные по требованиям безопасности информации СВТ.
Для передачи информации по каналам связи, выходящим за пределы контролируемой зоны, необходимо использовать защищенные каналы связи, в том числе защищенные волоконно-оптические линии связи или предназначенные для этого криптографические средства защиты информации. Применяемые средства защиты информации должны быть сертифицированы.
Носители информации должны учитываться, храниться и уничтожаться в порядке, установленном для служебной информации ограниченного распространения, с пометкой "Для служебного пользования".
Доступ к информации осуществляется в соответствии с разрешительной системой допуска исполнителей к документам и сведениям конфиденциального характера, действующей в организации.
При необходимости указанный минимальный набор рекомендуемых организационно-технических мер защиты информации по решению руководителя предприятия может быть расширен.
Основные рекомендации по защите информации, составляющей коммерческую тайну
При разработке и эксплуатации АС, предполагающих использование сведений, составляющих коммерческую тайну, рекомендуется выполнение следующих основных организационно-технических мероприятий:
Документальное оформление перечня сведений, составляющих коммерческую тайну. Все исполнители должны быть ознакомлены с этим перечнем.
Оформить порядок разработки и эксплуатации таких АС документально.
Рекомендуется относить АС, обрабатывающие информацию, составляющую коммерческую тайну, режим защиты которой определяет ее собственник, по уровню защищенности к классам 3Б, 2Б и не ниже 1Д (если по решению руководителя предприятия не предъявляются более высокие требования).
Рекомендуется для обработки информации, составляющей коммерческую тайну, использовать средства вычислительной техники, удовлетворяющие требованиям стандартов Российской Федерации по электромагнитной совместимости, по безопасности и эргономическим требованиям к средствам отображения информации, по санитарным нормам, предъявляемым к видеодисплейным терминалам ПЭВМ (ГОСТ 29216-91, ГОСТ Р 50948-96, ГОСТ Р 50949-96, ГОСТ Р 50923-96, СанПиН 2.2.2.542-96). Для повышения уровня защищенности информации рекомендуется использовать сертифицированные по требованиям безопасности информации СВТ.
Для передачи информации по каналам связи, выходящим за пределы контролируемой зоны, необходимо использовать защищенные каналы связи, в том числе защищенные волоконно-оптические линии связи или предназначенные для этого криптографические средства защиты информации.
Следует установить на предприятии порядок учета, хранения и уничтожения носителей информации, а также разработать и ввести в действие разрешительную систему допуска исполнителей к документам и сведениям, составляющим коммерческую тайну.
Указанный минимальный набор рекомендуемых организационно-технических мероприятий по решению руководителя предприятия может быть расширен.
Решение о составе и содержании мероприятий, а также используемых средств защиты информации принимается руководителем предприятия по результатам обследования создаваемой (модернизируемой) АС с учетом важности (ценности) защищаемой информации.
Мы рассмотрели основные требования и рекомендации Руководящего документа Гостехкомиссии России "Специальные требования и рекомендации по защите конфиденциальной информации" (СТР-К). Данный документ распространяется на защиту конфиденциальной информации и не рассматривает вопросы защиты государственной тайны. СТР-К содержит достаточно полный набор требований преимущественно организационного характера и может использоваться для оценки достаточности этих мер в системе защиты АС. Если говорить о правовом статусе СТР-К, то тут мнения расходятся, так как документ не зарегистрирован в Минюсте, то есть для доказывания определенного мнения о его правовом статусе, следует обращаться в суд. Тем не менее на практике при проведении аттестации АС регуляторы (в частности, ФСТЭК) активно используют СТР-К, следовательно для обеспечения защиты конфиденциальной информации знать его обязательно.
Требования и рекомендации по защите информации, обрабатываемой средствами вычислительной техники
Рассмотрим основные аспекты документа "Специальные требования и рекомендации по технической защите конфиденциальной информации" (далее СТР-К).
Документ определяет следующие основные вопросы защиты информации:
организацию работ по защите информации, в том числе при разработке и модернизации объектов информатизации и их систем защиты информации;
состав и основное содержание организационно-распорядительной, проектной, эксплуатационной и иной документации по защите информации;
требования и рекомендации по защите речевой информации при осуществлении переговоров, в том числе с использованием технических средств;
требования и рекомендации по защите информации при ее автоматизированной обработке и передаче с использованием технических средств;
порядок обеспечения защиты информации при эксплуатации объектов информатизации;
особенности защиты информации при разработке и эксплуатации автоматизированных систем, использующих различные типы средств вычислительной техники и информационные технологии;
порядок обеспечения защиты информации при взаимодействии абонентов с информационными сетями общего пользования.
Система или подсистема защиты информации, обрабатываемой в АС различного уровня и назначения, должна предусматривать комплекс организационных, программных, технических и, при необходимости, криптографических средств и мер по защите информации при ее автоматизированной обработке и хранении, при ее передаче по каналам связи.
Как уже отмечалось выше, основными направлениями защиты информации в АС является обеспечение безопасности от НСД и от утечки по техническим каналам утечки.
В качестве основных мер защиты информации рекомендуются (но не требуется!):
документальное оформление перечня сведений конфиденциального характера с учетом ведомственной и отраслевой специфики этих сведений;
реализация разрешительной системы допуска исполнителей (пользователей, обслуживающего персонала) к информации и связанным с ее использованием работам, документам;
ограничение доступа персонала и посторонних лиц в защищаемые помещения и помещения, где размещены средства информатизации и коммуникации, а также хранятся носители информации;
разграничение доступа пользователей и обслуживающего персонала к информационным ресурсам, программным средствам обработки (передачи) и защиты информации;
регистрация действий пользователей АС и обслуживающего персонала, контроль за несанкционированным доступом и действиями пользователей, обслуживающего персонала и посторонних лиц;
учет и надежное хранение бумажных и машинных носителей информации, ключей (ключевой документации) и их обращение, исключающее их хищение, подмену и уничтожение;
использование СЗЗ, создаваемых на основе физико-химических технологий для контроля доступа к объектам защиты и для защиты документов от подделки;
необходимое резервирование технических средств и дублирование массивов и носителей информации. Специальный защитный знак (СЗЗ) - сертифицированное и зарегистрированное в установленном порядке изделие, предназначенное для контроля несанкционированного доступа к объектам защиты путем определения подлинности и целостности СЗЗ, путем сравнения самого знака или композиции "СЗЗ - подложка" по критериям соответствия характерным признакам визуальными, инструментальными и другими методами;
использование сертифицированных серийно выпускаемых в защищенном исполнении технических средств обработки, передачи и хранения информации;
использование технических средств, удовлетворяющих требованиям стандартов по электромагнитной совместимости;
использование сертифицированных средств защиты информации;
размещение объектов защиты на максимально возможном расстоянии относительно границы КЗ;
размещение понижающих трансформаторных подстанций электропитания и контуров заземления объектов защиты в пределах КЗ;
развязка цепей электропитания объектов защиты с помощью защитных фильтров, блокирующих (подавляющих) информативный сигнал;
электромагнитная развязка между линиями связи и другими цепями ВТСС, выходящими за пределы КЗ, и информационными цепями, по которым циркулирует защищаемая информация;
использование защищенных каналов связи (защищенных ВОЛС и криптографических средств ЗИ;
размещение дисплеев и других средств отображения информации, исключающее несанкционированный просмотр информации;
организация физической защиты помещений и собственно технических средств с помощью сил охраны и технических средств, предотвращающих или существенно затрудняющих проникновение в здания, помещения посторонних лиц, хищение документов и информационных носителей, самих средств информатизации, исключающих нахождение внутри контролируемой зоны технических средств разведки или промышленного шпионажа;
криптографическое преобразование информации, обрабатываемой и передаваемой средствами вычислительной техники и связи (при необходимости, определяемой особенностями функционирования конкретных АС и систем связи);
предотвращение внедрения в автоматизированные системы программ-вирусов, программных закладок[11.1].
Обязательность тех или иных мер по защите информации также конкретизирована в СТР-К в зависимости от категории АС, "степени секретности" и режима обработки информации, особенностей построения конкретной АС и т.п.
Основной целью классификации АС, рассмотренной нами ранее, СТР-К называет дифференциальный подход к защите информации с целью разработки и применения необходимых и достаточных мер и средств защиты информации.
Порядок обеспечения защиты информации в АС
Устанавливаются следующие стадии создания СЗИ в АС:
предпроектная стадия, включающая предпроектное обследование объекта информатизации, разработку аналитического обоснования необходимости создания СЗИ и технического (частного технического) задания на ее создание;
стадия проектирования (разработки проектов) и реализации объекта информатизации, включающая разработку СЗИ в составе объекта информатизации;
стадия ввода в действие СЗИ, включающая опытную эксплуатацию и приемо-сдаточные испытания средств защиты информации, а также аттестацию объекта информатизации на соответствие требованиям безопасности информации.
На предпроектной стадии по обследованию объекта информатизации:
устанавливается необходимость обработки (обсуждения) конфиденциальной информации на данном объекте информатизации;
определяется перечень сведений конфиденциального характера, подлежащих защите от утечки по техническим каналам;
определяются (уточняются) угрозы безопасности информации и модель вероятного нарушителя применительно к конкретным условиям функционирования;
определяются условия расположения объектов информатизации относительно границ КЗ;
определяются конфигурация и топология автоматизированных систем и систем связи в целом и их отдельных компонент, физические, функциональные и технологические связи как внутри этих систем, так и с другими системами различного уровня и назначения;
определяются технические средства и системы, предполагаемые к использованию в разрабатываемой АС и системах связи, условия их расположения, общесистемные и прикладные программные средства, имеющиеся на рынке и предлагаемые к разработке;
определяются режимы обработки информации в АС в целом и в отдельных компонентах;
определяется класс защищенности АС;
определяется степень участия персонала в обработке (обсуждении, передаче, хранении) информации, характер их взаимодействия между собой и со службой безопасности;
определяются мероприятия по обеспечению конфиденциальности информации в процессе проектирования объекта информатизации.
По результатам предпроектного обследования разрабатывается обоснование необходимости создания СЗИ и создается частное техническое задание на разработку СЗИ с конкретными требованиями по обеспечению безопасности информации в АС.
Техническое (частное техническое) задание на разработку СЗИ должно содержать:
обоснование разработки;
исходные данные создаваемого (модернизируемого) объекта информатизации в техническом, программном, информационном и организационном аспектах;
класс защищенности АС;
ссылку на нормативные документы, с учетом которых будет разрабатываться СЗИ и приниматься в эксплуатацию объект информатизации;
конкретизацию требований к СЗИ на основе действующих нормативно-методических документов и установленного класса защищенности АС;
перечень предполагаемых к использованию сертифицированных средств защиты информации;
обоснование проведения разработок собственных средств защиты информации, невозможности или нецелесообразности использования имеющихся на рынке сертифицированных средств защиты информации;
состав, содержание и сроки проведения работ по этапам разработки и внедрения;
перечень подрядных организаций-исполнителей видов работ;
перечень предъявляемой заказчику научно-технической продукции и документации.
Далее производится классификация АС в соответствии с РД Гостехкомиссии России "Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации". Классификация оформляется в виде акта.
На стадии проектирования и создания объекта информатизации и СЗИ осуществляются:
разработка задания и проекта на строительные, строительно-монтажные работы (или реконструкцию) объекта информатизации в соответствии с требованиями технического (частного технического) задания на разработку СЗИ;
разработка раздела технического проекта на объект информатизации в части защиты информации;
строительно-монтажные работы в соответствии с проектной документацией, утвержденной заказчиком, размещением и монтажом технических средств и систем;
разработка организационно-технических мероприятий по защите информации в соответствии с предъявляемыми требованиями;
закупка сертифицированных образцов и серийно выпускаемых в защищенном исполнении технических средств обработки, передачи и хранения информации, либо их сертификация;
закупка сертифицированных технических, программных и программно-технических (в т.ч. криптографических) средств защиты информации и их установка;
разработка (доработка) или закупка и последующая сертификация по требованиям безопасности информации программных средств защиты информации в случае, когда на рынке отсутствуют требуемые сертифицированные программные средства;
организация охраны и физической защиты помещений объекта информатизации, исключающих несанкционированный доступ к техническим средствам обработки, хранения и передачи информации, их хищение и нарушение работоспособности, хищение носителей информации;
разработка и реализация разрешительной системы доступа пользователей и эксплуатационного персонала к обрабатываемой (обсуждаемой) на объекте информатизации информации;
определение заказчиком подразделений и лиц, ответственных за эксплуатацию средств и мер защиты информации, обучение назначенных лиц специфике работ по защите информации на стадии эксплуатации объекта информатизации;
выполнение генерации пакета прикладных программ в комплексе с программными средствами защиты информации;
разработка эксплуатационной документации на объект информатизации и средства защиты информации, а также организационно-распорядительной документации по защите информации (приказов, инструкций и других документов);
выполнение других мероприятий, специфичных для конкретных объектов информатизации и направлений защиты информации[11.1].
На стадии ввода в действие объекта информатизации и СЗИ осуществляются:
опытная эксплуатация средств защиты информации в комплексе с другими техническими и программными средствами в целях проверки их работоспособности в составе объекта информатизации и отработки технологического процесса обработки (передачи) информации;
приемо-сдаточные испытания средств защиты информации по результатам опытной эксплуатации с оформлением приемо-сдаточного акта, подписываемого разработчиком (поставщиком) и заказчиком;
аттестация объекта информатизации по требованиям безопасности информации.
На этой стадии оформляются:
акты внедрения средств защиты информации по результатам их приемо-сдаточных испытаний;
предъявительский акт к проведению аттестационных испытаний;
заключение по результатам аттестационных испытаний.
При положительных результатах аттестации на объект информатизации оформляется "Аттестат соответствия" требованиям по безопасности информации.
В целях обеспечения безопасности информации в АС следует выполнять следующие требования и рекомендации:
допуск лиц к АС должен осуществляться в соответствии с установленным в организации порядком (разрешительной системой допуска);
если в помещениях, где обрабатывается защищаемая информация, есть технические средства отображения информации, должен быть исключен ее несанкционированный просмотр.
если пользователь закончил работу с защищаемой информацией или хочет передать управление другому, он должен стереть все временные файлы (например, перезагрузив ПЭВМ).
изменение или ввод новых программ в АС должен выполняться разработчиком АС и администратором АС.
при изменении состава администраторов АС (например, увольнении) должны быть приняты меры по быстрой смене паролей, идентификаторов и ключей шифрования и подписи.
Все носители информации (бумажные, оптические, магнитные и магнитно-оптические) должны учитываться. Для учета могут применяться карточки, журналы (для маленьких организаций), а также автоматизированный учет с использованием СВТ.
Требования и рекомендации по защите информации в конкретной АС зависят от класса АС и от режима обработки информации.
Требования и рекомендации в зависимости от типа АС
Защита конфиденциальной информации на автоматизированных рабочих местах на базе автономных ПЭВМ
Автоматизированные рабочие места (АРМ), построенные на базе автономных ПЭВМ (то есть не соединенных друг с другом), являются автоматизированными системами, следовательно, должны удовлетворять законодательным требованиям. Обмен информацией в таких АС осуществляется посредством носителей информации (дисков, флешек, бумаги и т.п.).
В соответствии с классификацией АС, рассмотренной ранее, АС на базе автономных ПЭВМ должны быть отнесены к:
к III группе АС, если в ней работает только один пользователь, допущенный ко всей информации АС;
ко II и I группе АС, если в ней последовательно работают несколько пользователей с равными или разными правами доступа (полномочиями), соответственно.
При использовании на автономной ПЭВМ технологии обработки информации на съемных накопителях большой емкости, классификация АС производится на основании анализа режима доступа пользователей АС к информации на используемом съемном накопителе (либо одновременно используемом их комплексе).
Что подразумевается под "технологией обработки информации на накопителях большой емкости"? Данная технология предполагает запись на съемный накопитель информации большой емкости одновременно общесистемного (ОС, СУБД) и прикладного программного обеспечения, а также обрабатываемой информации одного или группы пользователей. В качестве накопителей могут быть использованы накопители разной конструкции – встроенные или выносные.
Основным требованием для АС данного типа является исключение хранения защищаемой информации на съемных накопителях в нерабочее время. Это может позволить защищать информацию без применения сертифицированных средств защиты информации от НСД и использования средств физической защиты помещений.
На этапе предпроектного обследования необходимо обратить внимание на технологию и особенности обмена информацией между АРМами в АС с целью предотвращения попадания конфиденциальной информации на неучтенные носители или НСД к ней.
Обмен защищаемой информацией должен осуществляться только на учтенных носителях людьми, имеющими доступ в соответствии с установленным порядком.
На рабочих местах исполнителей не должно быть неучтенных носителей информации в рабочее время. В случае использования, как текстовой, так и графической информации, представленной на неконфиденциальных накопителях информации, последние должны быть "закрыты на запись".
В случае использования Flash-Bios(FB) необходимо обеспечить целостность записываемой на них информации, и проверять ее перед работой и по окончании. При обнаружении нарушения целостности необходимо восстановить (записать первоначальную версию) FB, поставить об этом в известность руководителя подразделения и службу безопасности, а также выяснить причины изменения FB.
В организации должна быть разработана и согласована с руководителем и службой безопасности технология обработки конфиденциальной информации. В ней подробным образом должны описываться вышеизложенные и другие вопросы защиты информации, касающиеся эксплуатации АРМ, учета носителей и прочее, вытекающее из особенности работы АС данного типа.
Защита информации в локальных вычислительных сетях
Характерными особенностями ЛВС являются распределенное хранение файлов, удаленная обработка данных (вычисления) и передача сообщений (электронная почта), а также сложность проведения контроля за работой пользователей и состоянием общей безопасности ЛВС.
Средства защиты информации должны располагаться на каждом узле ЛВС вне зависимости от того, обрабатывается ли на нем конфиденциальная информация. Каждый администратор и пользователь ЛВС должен иметь уникальный пароль, идентификатор и , в случае использования криптографических средств защиты, ключ шифрования.
Класс защищенности ЛВС определяется в соответствии с рассмотренной выше классификацией АС.
Состав пользователей ЛВС должен утверждаться руководителем организации и строго контролироваться. Все изменения состава пользователей, их прав и привилегий должны регистрироваться.
Защита информации при межсетевом взаимодействии
Межсетевое взаимодействие подразумевает под собой взаимодействие ЛВС, ни одна из которых не имеет выхода в Интернет.
В данном случае коммуникационное оборудование (маршрутизаторы, коммутаторы, концентраторы и пр.) и все соединения с локальными периферийными устройствами ЛВС должны располагаться в пределах контролируемой зоны. При конфигурировании коммуникационного оборудования ) и прокладке кабельной системы ЛВС рекомендуется учитывать разделение трафика по отдельным сетевым фрагментам на производственной основе и видам деятельности предприятия.
При подключении ЛВС к АС с другим классом защищенности необходимо использовать межсетевой экран в соответствии с Руководящим Документом Гостехкомиссии России "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации".
Для защиты конфиденциальной информации при ее передаче по каналам связи из одной АС в другую необходимо использовать:
в АС класса 1Г - МЭ не ниже класса 4;
в АС класса 1Д и 2Б, 3Б - МЭ класса 5 или выше.
Если каналы связи выходят за пределы контролируемой зоны, необходимо использование защищенных каналов связи, волоконно-оптических линии связи либо сертифицированных криптографических средств защиты.
Защита информации при работе с системами управления базами данных
При работе с системами управления базами данных (СУБД) и базами данных (БД) необходимо учитывать следующие особенности защиты информации от НСД:
в БД может накапливаться большой объем интегрированной информации по различным тематическим направлениям, предназначенной для различных пользователей;
БД могут быть физически распределены по различным устройствам и узлам сети;
БД могут включать информацию различного уровня конфиденциальности;
разграничение доступа пользователей к БД средствами операционной системы и/или СЗИ НСД может осуществляться только на уровне файлов БД;
разграничение доступа пользователей к объектам БД: таблицам, схемам, процедурам, записям, полям записей в базах данных и т.п., может осуществляться только средствами СУБД, если таковые имеются;
регистрация действий пользователей при работе с объектами БД может осуществляться также только средствами СУБД, если таковые имеются;
СУБД могут обеспечивать одновременный доступ многих пользователей (клиентов) к БД с помощью сетевых протоколов, при этом запросы пользователя к БД обрабатываются на сервере и результаты обработки направляются пользователям (клиентам).
С учетом указанных особенностей при создании БД рекомендуется:
при выборе СУБД ориентироваться на операционные системы и СУБД, включающие либо штатные сертифицированные средства защиты информации от НСД, либо имеющие соответствующие сертифицированные дополнения в виде СЗИ НСД;
при использовании СУБД, не имеющих средств разграничения доступа, производить разбиение БД на отдельные файлы, разграничение доступа к которым можно проводить средствами ОС и/или СЗИ НСД;
при использовании современных СУБД, основанных на модели клиент-сервер, использовать их штатные средства защиты информации от НСД, применять средства регистрации (аудита) и разграничение доступа к объектам БД на основе прав, привилегий, ролей, представлений (VIEW), процедур и т.п.[11.1]
Порядок обеспечения защиты информации при взаимодействии с информационными сетями общего пользования.
Приведенные ниже рекомендации определены для АС, обрабатывающих конфиденциальную информацию, не относящихся к государственным информационным ресурсам.
Подключение к сети абонентского пункта должно утверждаться руководителем организации на основании обоснования необходимости данного подключения. Абонентский пункт (АП) - средства вычислительной техники учреждения (предприятия), подключаемые к Сетям с помощью коммуникационного оборудования. Обоснование подключения должно содержать:
наименование Сети, реквизиты организации-владельца Сети и провайдера Сети;
состав технических средств для оборудования АП;
предполагаемые виды работ и используемые прикладные сервисы Сети (E-Mail, FTP, Telnet, HTTP и т.п.) для АП в целом и для каждого абонента, в частности:
режим подключения АП и абонентов к Сети (постоянный, в т.ч. круглосуточный, временный);
состав общего и телекоммуникационного программного обеспечения АП и абонентов (ОС, клиентские прикладные программы для сети - Browsers и т.п.);
число и перечень предполагаемых абонентов (диапазон используемых IP- адресов);
меры и средства защиты информации от НСД, которые будут применяться на АП, организация-изготовитель, сведения о сертификации, установщик, конфигурация, правила работы с ними;
перечень сведений конфиденциального характера, обрабатываемых (хранимых) на АП, подлежащих передаче и получаемых из Сети[11.1].
Если АП обрабатывает открытую информацию и представляет собой автономную ПЭВМ с модемом, то можно не использовать средства защиты информации от НСД. АП, на которых обрабатывается не открытая информация, должны быть оборудованы средствами защиты и удовлетворять требованиям законодательства.
Подключение ЛВС организации к Сети должно осуществляться через межсетевой экран, сертифицированный по требованиям безопасности информации. Доступ к МЭ и его конфигурированию должен быть только у выделенных администраторов. МЭ должен быть сконфигурирован так, чтобы запросы пользователей ЛВС обрабатывались, а внешние запросы отбрасывались и не проникали в ЛВС.
Почтовый сервер и Web-сервер не должны входить в состав ЛВС и должны подключаться к Сети по отдельному сетевому фрагменту (через маршрутизатор).
На технических средствах АП должно находиться только то ПО, которое необходимо для выполнения работ в соответствии с обоснованием необходимости подключения. Установка и конфигурирование ПО осуществляется назначенным администратором, абонент АП не должен иметь на это прав.
СЗИ НСД, устанавливаемая на автономную ПЭВМ, рабочие станции и серверы внутренней ЛВС организации при обработке на них конфиденциальной информации, должна осуществлять:
идентификацию и аутентификацию пользователей при доступе к автономной ПЭВМ, рабочим станциям и серверам внутренней ЛВС по идентификатору и паролю;
контроль доступа к ресурсам автономной ПЭВМ, рабочих станций и серверов внутренней ЛВС на основе дискреционного принципа;
регистрацию доступа к ресурсам автономной ПЭВМ, рабочих станций и серверов внутренней ЛВС, включая попытки НСД;
регистрацию фактов отправки и получения абонентом сообщений (файлов, писем, документов).
При этом СЗИ НСД должна запрещать запуск абонентом произвольных программ, не включенных в состав программного обеспечения АП.
Модификация конфигурации программного обеспечения АП должна быть доступна только со стороны администратора, ответственного за эксплуатацию АП.
Средства регистрации и регистрируемые данные должны быть недоступны для абонента.
СЗИ НСД должна быть целостной, т.е. защищенной от несанкционированной модификации и не содержащей путей обхода механизмов контроля.
Тестирование всех функций СЗИ НСД с помощью специальных программных средств должно проводиться не реже одного раза в год[11.1].
При создании АП рекомендуется:
при предоставлении абонентам прикладных сервисов исходить из принципа минимальной достаточности. То есть, если абоненту нужна только электронная почта, предоставить доступ только к ней.
использовать операционные системы со встроенными средствами защиты от НСД (например, Windows) или использовать сертифицированные СЗИ от НСД.
максимально использовать имеющиеся у маршрутизаторов средства фильтрации.
контролировать исходящую и входящую во внутреннюю сеть информацию. Копии исходящей почты (файлов) хранить в отдельном месте с целью дальнейшего анализа со стороны администратора (службы безопасности).
контролировать информацию, публикуемую на Web-серверах;
приказом по организации назначаются абоненты, лица, ответственные за эксплуатацию АП и его защиту(например, администраторы безопасности);
вопросы обеспечения безопасности информации на АП должны быть отражены в инструкции, определяющей порядок подключения абонентов, конфигурирования программного обеспечения, работы с почтой и т.п.
К работе с Сетью допускаются люди, ознакомленные с требованиями взаимодействия с другими абонентами. При этом абоненты сети обязаны:
знать порядок регистрации и взаимодействия в Сети;
знать инструкцию по обеспечению безопасности информации на АП;
знать правила работы со средствами защиты информации от НСД, установленными на АП (серверах, рабочих станциях АП);
уметь пользоваться средствами антивирусной защиты;
после окончания работы в Сети проверить свое рабочее место на наличие "вирусов".
Ведение учета абонентов, имеющих доступ в Сеть, организуется в соответствии с установленном в конкретной организации порядке.
Основные требования и рекомендации по защите служебной тайны и персональных данных
Для каждой из категорий информации ограниченного доступа, рассмотренных нами ранее, предусмотрены отдельные федеральные законы и нормативные документы, СТР-К же дает обобщенные требования и рекомендации при их обработке в АС.
При разработке и эксплуатации АС, предполагающих использование информации, составляющей служебную тайну, а также персональных данных должны выполняться следующие основные требования:
Перечень сведений, составляющих служебную тайну или персональные данные, должен быть документально оформлен. Он может иметь как обобщающий характер в области деятельности организации, так и относится к какому-либо отдельному направлению работ. Каждый исполнитель, имеющий отношение к информации ограниченного доступа, должен быть ознакомлен с перечнем в касающейся его части.
В соответствии с РД Гостехкомиссии России "Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации" устанавливается следующий порядок классификации АС в зависимости от вида сведений конфиденциального характера:
АС, обрабатывающие информацию, составляющую служебную тайну, должны быть отнесены по уровню защищенности к классам 3Б, 2Б и не ниже 1Г;
АС, обрабатывающие персональные данные, должны быть отнесены по уровню защищенности к классам 3Б, 2Б и не ниже 1Д.
Для обработки информации следует использовать СВТ, удовлетворяющие требованиям стандартов Российской Федерации по электромагнитной совместимости, по безопасности и эргономическим требованиям к средствам отображения информации, по санитарным нормам, предъявляемым к видеодисплейным терминалам ПЭВМ (ГОСТ 29216-91, ГОСТ Р 50948-96, ГОСТ Р 50949-96, ГОСТ Р 50923-96, СанПиН 2.2.2.542-96). Для повышения уровня защищенности информации рекомендуется использовать сертифицированные по требованиям безопасности информации СВТ.
Для передачи информации по каналам связи, выходящим за пределы контролируемой зоны, необходимо использовать защищенные каналы связи, в том числе защищенные волоконно-оптические линии связи или предназначенные для этого криптографические средства защиты информации. Применяемые средства защиты информации должны быть сертифицированы.
Носители информации должны учитываться, храниться и уничтожаться в порядке, установленном для служебной информации ограниченного распространения, с пометкой "Для служебного пользования".
Доступ к информации осуществляется в соответствии с разрешительной системой допуска исполнителей к документам и сведениям конфиденциального характера, действующей в организации.
При необходимости указанный минимальный набор рекомендуемых организационно-технических мер защиты информации по решению руководителя предприятия может быть расширен.
Основные рекомендации по защите информации, составляющей коммерческую тайну
При разработке и эксплуатации АС, предполагающих использование сведений, составляющих коммерческую тайну, рекомендуется выполнение следующих основных организационно-технических мероприятий:
Документальное оформление перечня сведений, составляющих коммерческую тайну. Все исполнители должны быть ознакомлены с этим перечнем.
Оформить порядок разработки и эксплуатации таких АС документально.
Рекомендуется относить АС, обрабатывающие информацию, составляющую коммерческую тайну, режим защиты которой определяет ее собственник, по уровню защищенности к классам 3Б, 2Б и не ниже 1Д (если по решению руководителя предприятия не предъявляются более высокие требования).
Рекомендуется для обработки информации, составляющей коммерческую тайну, использовать средства вычислительной техники, удовлетворяющие требованиям стандартов Российской Федерации по электромагнитной совместимости, по безопасности и эргономическим требованиям к средствам отображения информации, по санитарным нормам, предъявляемым к видеодисплейным терминалам ПЭВМ (ГОСТ 29216-91, ГОСТ Р 50948-96, ГОСТ Р 50949-96, ГОСТ Р 50923-96, СанПиН 2.2.2.542-96). Для повышения уровня защищенности информации рекомендуется использовать сертифицированные по требованиям безопасности информации СВТ.
Для передачи информации по каналам связи, выходящим за пределы контролируемой зоны, необходимо использовать защищенные каналы связи, в том числе защищенные волоконно-оптические линии связи или предназначенные для этого криптографические средства защиты информации.
Следует установить на предприятии порядок учета, хранения и уничтожения носителей информации, а также разработать и ввести в действие разрешительную систему допуска исполнителей к документам и сведениям, составляющим коммерческую тайну.
Указанный минимальный набор рекомендуемых организационно-технических мероприятий по решению руководителя предприятия может быть расширен.
Решение о составе и содержании мероприятий, а также используемых средств защиты информации принимается руководителем предприятия по результатам обследования создаваемой (модернизируемой) АС с учетом важности (ценности) защищаемой информации.
Мы рассмотрели основные требования и рекомендации Руководящего документа Гостехкомиссии России "Специальные требования и рекомендации по защите конфиденциальной информации" (СТР-К). Данный документ распространяется на защиту конфиденциальной информации и не рассматривает вопросы защиты государственной тайны. СТР-К содержит достаточно полный набор требований преимущественно организационного характера и может использоваться для оценки достаточности этих мер в системе защиты АС. Если говорить о правовом статусе СТР-К, то тут мнения расходятся, так как документ не зарегистрирован в Минюсте, то есть для доказывания определенного мнения о его правовом статусе, следует обращаться в суд. Тем не менее на практике при проведении аттестации АС регуляторы (в частности, ФСТЭК) активно используют СТР-К, следовательно для обеспечения защиты конфиденциальной информации знать его обязательно.
