14.1. Комплекс мероприятий по ТЗКИ от утечки по техническим каналам утечки и от НСД к ней
Система защиты информации от НСД (СЗИ НСД) - комплекс организационных мер и программно-технических (при необходимости криптографических) средств защиты от несанкционированного доступа к информации (несанкционированных действий с ней) в автоматизированной системе[112].
Важной частью СЗИ является комплекс организационных мер по защите информации.
Организационные меры защиты информации представляют собой комплекс административных и ограничительных мер, направленных на защиту информации путем регламентации деятельности персонала и порядка функционирования средств (систем). К основным организационным мероприятиям относятся:
создание службы защиты информации;
разработка организационно-распорядительных документов, необходимых для организации комплексной защиты информации;
определение порядка доступа к защищаемым объектам;
установление и оформление правил разграничения доступа;
ознакомление сотрудников организации с перечнем защищаемой информации, организационно-распорядительной документации по работе с ней;
обеспечение охраны объекта информатизации путем установления системы контроля доступа, постов охраны, ограждающих сооружений и т.п.
управление системой защиты информации.
Состав организационно-распорядительных документов, как правило, включает:
перечень информации, подлежащей защите;
документы, регламентирующие порядок обращения сотрудников предприятия с информацией, подлежащей защите;
положения о структурных подразделениях предприятия;
документы, регламентирующие порядок взаимодействия предприятия со сторонними организациями по вопросам обмена информацией;
документы, регламентирующие порядок эксплуатации автоматизированных систем предприятия;
планы защиты автоматизированных систем предприятия;
документы, регламентирующие порядок разработки, испытания и сдачи в эксплуатацию программных средств;
документы, регламентирующие порядок закупки программных и аппаратных средств (в т.ч. средств защиты информации);
документы, регламентирующие порядок эксплуатации технических средств связи и телекоммуникации[114].
Помимо этого СТР-К для обеспечения защиты конфиденциальной информации рекомендует следующее:
на период обработки защищаемой информации в помещениях, где размещаются ОТСС, могут находиться только лица, допущенные в установленном порядке к обрабатываемой информации; допуск других лиц для проведения необходимых профилактических или ремонтных работ может осуществляться в эти помещения только с санкции руководителя учреждения (предприятия) или руководителя службы безопасности;
в случае размещения в одном помещении нескольких технических средств отображения информации должен быть исключен несанкционированный просмотр выводимой на них информации;
по окончании обработки защищаемой информации или при передаче управления другому лицу пользователь обязан произвести стирание временных файлов на несъёмных носителях информации и информации в оперативной памяти. Одним из способов стирания информации в оперативной памяти является перезагрузка ПЭВМ;
изменение или ввод новых программ обработки защищаемой информации в АС должен осуществляться совместно разработчиком АС и администратором АС;
при увольнении или перемещении администраторов АС руководителем учреждения (предприятия) по согласованию со службой безопасности должны быть приняты меры по оперативному изменению паролей, идентификаторов и ключей шифрования.
Все носители информации, используемые в технологическом процессе обработки информации, подлежат учету в том подразделении, которое является владельцем АС, обрабатывающей эту информацию. Учет можно осуществлять по карточкам, бумажным журналам или автоматизировано. Носители должны быть промаркированы. Маркировка должна содержать:
учетный номер носителя
дата
гриф секретности
номер экземпляра
подпись сотрудника, ответственного за ведение учета.
Проведение организационных мероприятий позволяет перекрыть часть каналов утечки информации и является неотъемлемой частью комплексной системы защиты информации. Комплекс технических мероприятий по защите информации ограниченного доступа будет рассмотрен в следующих лекциях.
14.2. Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы
Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы осуществляется оператором в соответствии с эксплуатационной документацией на СЗИ и организационно-распорядительными документами по защите информации и в том числе включает:
управление (администрирование) СЗИ ИС;
выявление инцидентов и реагирование на них;
управление конфигурацией аттестованной ИС и ее СЗИ;
контроль (мониторинг) за обеспечением уровня защищенности информации, содержащейся в ИС.
В ходе управления (администрирования) СЗИ ИС осуществляется:
заведение и удаление учетных записей пользователей, управление полномочиями пользователей информационной системы и поддержание правил разграничения доступа в информационной системе;
управление средствами защиты информации в информационной системе, в том числе параметрами настройки программного обеспечения, включая программное обеспечение средств защиты информации, управление учетными записями пользователей, восстановление работоспособности средств защиты информации, генерацию, смену и восстановление паролей;
установка обновлений программного обеспечения, включая программное обеспечение средств защиты информации, выпускаемых разработчиками (производителями) средств защиты информации или по их поручению;
централизованное управление системой защиты информации информационной системы (при необходимости);
регистрация и анализ событий в информационной системе, связанных с защитой информации (далее - события безопасности);
информирование пользователей об угрозах безопасности информации, о правилах эксплуатации системы защиты информации информационной системы и отдельных средств защиты информации, а также их обучение;
сопровождение функционирования системы защиты информации информационной системы в ходе ее эксплуатации, включая корректировку эксплуатационной документации на нее и организационно-распорядительных документов по защите информации;
В ходе выявления инцидентов и реагирования на них осуществляется:
определение лиц, ответственных за выявление инцидентов и реагирование на них;
обнаружение и идентификация инцидентов, в том числе отказов в обслуживании, сбоев (перезагрузок) в работе технических средств, программного обеспечения и средств защиты информации, нарушений правил разграничения доступа, неправомерных действий по сбору информации, внедрений вредоносных компьютерных программ (вирусов) и иных событий, приводящих к возникновению инцидентов;
своевременное информирование лиц, ответственных за выявление инцидентов и реагирование на них, о возникновении инцидентов в информационной системе пользователями и администраторами;
анализ инцидентов, в том числе определение источников и причин возникновения инцидентов, а также оценка их последствий;
планирование и принятие мер по устранению инцидентов, в том числе по восстановлению информационной системы и ее сегментов в случае отказа в обслуживании или после сбоев, устранению последствий нарушения правил разграничения доступа, неправомерных действий по сбору информации, внедрения вредоносных компьютерных программ (вирусов) и иных событий, приводящих к возникновению инцидентов;
планирование и принятие мер по предотвращению повторного возникновения инцидентов.
В ходе управления конфигурацией аттестованной информационной системы и ее системы защиты информации осуществляются:
поддержание конфигурации информационной системы и ее системы защиты информации (структуры системы защиты информации информационной системы, состава, мест установки и параметров настройки средств защиты информации, программного обеспечения и технических средств) в соответствии с эксплуатационной документацией на систему защиты информации (поддержание базовой конфигурации информационной системы и ее системы защиты информации);
определение лиц, которым разрешены действия по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации;
управление изменениями базовой конфигурации информационной системы и ее системы защиты информации, в том числе определение типов возможных изменений базовой конфигурации информационной системы и ее системы защиты информации, санкционирование внесения изменений в базовую конфигурацию информационной системы и ее системы защиты информации, документирование действий по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации, сохранение данных об изменениях базовой конфигурации информационной системы и ее системы защиты информации, контроль действий по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации;
анализ потенциального воздействия планируемых изменений в базовой конфигурации информационной системы и ее системы защиты информации на обеспечение защиты информации, возникновение дополнительных угроз безопасности информации и работоспособность информационной системы;
определение параметров настройки программного обеспечения, включая программное обеспечение средств защиты информации, состава и конфигурации технических средств и программного обеспечения до внесения изменений в базовую конфигурацию информационной системы и ее системы защиты информации;
внесение информации (данных) об изменениях в базовой конфигурации информационной системы и ее системы защиты информации в эксплуатационную документацию на систему защиты информации информационной системы;
принятие решения по результатам управления конфигурацией о повторной аттестации информационной системы или проведении дополнительных аттестационных испытаний.
В ходе контроля (мониторинга) за обеспечением уровня защищенности информации, содержащейся в информационной системе, осуществляются:
контроль за событиями безопасности и действиями пользователей в информационной системе;
контроль (анализ) защищенности информации, содержащейся в информационной системе;
анализ и оценка функционирования системы защиты информации информационной системы, включая выявление, анализ и устранение недостатков в функционировании системы защиты информации информационной системы;
периодический анализ изменения угроз безопасности информации в информационной системе, возникающих в ходе ее эксплуатации, и принятие мер защиты информации в случае возникновения новых угроз безопасности информации;
документирование процедур и результатов контроля (мониторинга) за обеспечением уровня защищенности информации, содержащейся в информационной системе;
принятие решения по результатам контроля (мониторинга) за обеспечением уровня защищенности информации о доработке (модернизации) системы защиты информации информационной системы, повторной аттестации информационной системы или проведении дополнительных аттестационных испытаний.
14.3. Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации
Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты информации информационной системы и организационно-распорядительными документами по защите информации и в том числе включает:
архивирование информации, содержащейся в информационной системе;
уничтожение (стирание) данных и остаточной информации с машинных носителей информации и (или) уничтожение машинных носителей информации.
Архивирование информации, содержащейся в информационной системе, должно осуществляться при необходимости дальнейшего использования информации в деятельности оператора.
Уничтожение (стирание) данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю информационной системы или в сторонние организации для ремонта, технического обслуживания или дальнейшего уничтожения.
При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, осуществляется физическое уничтожение этих машинных носителей информации.
14.4. Особенности реализации мероприятий по защите персональных данных
Как уже отмечалось ранее, реализация мероприятий по защите персональных данных осуществляется на основе Постановления Правительства РФ от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" (далее ПП №1119) и Приказа ФСТЭК России от 18.02.2013 N 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" (далее Приказ ФСТЭК №21).
На основе ПП №1119 оператор определяет уровень защищенности своей ИСПДн.
Постановление Правительства №1119 вводит классификацию информационных систем персональных данных (ИСПДн).
Уровень защищенности ИСПДн зависит от актуального типа угроз, типа обрабатываемых ПДн (специальные, биометрические, общедоступные, иные категории) и количества субъектов ПДн. Определение уровня защищенности производится в соответствии с таблицей 14.1.
| Категория ПДн + кол-во |
АУ 1 типа | АУ 2 типа | АУ 3 типа |
| Спец.категории ПДн более чем 100 000 субъектов ПДн, не являющихся сотрудниками оператора |
1 | 1 | 2 |
| Спец.категории ПДн сотрудников оператора или специальные категории персональных данных менее чем 100 000 субъектов ПДн, не являющихся сотрудниками оператора |
1 | 2 | 3 |
| Биометрические ПДн |
1 | 2 | 3 |
| Иные категории ПДн более чем 100 000 субъектов ПДн, не являющихся сотрудниками оператора |
1 | 2 | 3 |
| Иные категории ПДн данных сотрудников оператора или иные категории ПДн менее чем 100000 субъектов ПДн, не являющихся сотрудниками оператора |
1 | 3 | 4 |
| Общедоступные ПДн более чем 100 000 субъектов ПДн, не являющихся сотрудниками оператора |
2 | 2 | 4 |
| Общедоступные ПДн сотрудников оператора или общедоступные ПДн менее чем 100 000 субъектов ПДн, не являющихся сотрудниками оператора |
2 | 3 | 4 |
В Приказе ФСТЭК №21 определены меры защиты информации, которые необходимо реализовать оператору в зависимости от класса ИСПДн. Выделено 15 групп организационных и технических мер защиты:
идентификация и аутентификация субъектов доступа и объектов доступа;
управление доступом субъектов доступа к объектам доступа;
ограничение программной среды;
защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные (далее - машинные носители персональных данных);
регистрация событий безопасности;
антивирусная защита;
обнаружение (предотвращение) вторжений;
контроль (анализ) защищенности персональных данных;
обеспечение целостности информационной системы и персональных данных;
обеспечение доступности персональных данных;
защита среды виртуализации;
защита технических средств;
защита информационной системы, ее средств, систем связи и передачи данных;
выявление инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности персональных данных (далее - инциденты), и реагирование на них;
управление конфигурацией информационной системы и системы защиты персональных данных.
Чтобы определить необходимые меры защиты оператору ПДн необходимо выполнить действия, описанные на рис 14.1.
(рис 14.1) Определения набора мер защиты персональных данных
Оператор выбирает все меры, которые отмечены плюсом в Приказе ФСТЭК №21 для определенного уровня защищенности ИСПДн (базовый набор мер).
Далее на основе структурно-функциональных характеристик ИСПДн оператор убирает все меры, которые связаны с технологиями, неиспользуемыми в его ИС (например, если не используется виртуализация, можно убрать меры защиты среды виртуализации) или же меры, которые относятся к характеристикам, не свойственным конкретной ИС. Получается адаптированный базовый набор мер.
На следующем шаге сравнивает полученный список мер и свою модель угроз. Если меры не нейтрализуют все перечисленные угрозы, состав мер расширяется компенсирующими мерами. К компенсирующим мерам также относится замена отдельных технических мер защиты организационными, в случае невозможности или экономической нецелесообразности реализации первых. При этом должно быть проведено обоснование применения компенсирующих мер для обеспечения безопасности ПДн (п. 10 Приказа ФСТЭК России № 21). Получается уточненный адаптированный базовый набор мер защиты информации.
На следующем шаге оператор дополняет набор мерами, обеспечивающими выполнение требований к защите персональных данных, установленными иными нормативными правовыми актами в области обеспечения безопасности персональных данных и защиты информации (например, в ПП № 1119 есть небольшое количество мер, а также есть общие требования в ФЗ-152). Полученный дополненный уточненный адаптированный базовый набор организационных и технических мер защиты подлежит реализации.
