Защита информации от НСД

16.2. Защита информации на автоматизированных рабочих местах на базе авто-номных ПЭВМ

Автоматизированные рабочие места на базе автономных ПЭВМ являются автоматизированными системами, обладающими всеми основными признаками АС. Поэтому даже если, например, персональные данные обрабатываются только на одной ПЭВМ, она тоже является АС. Как следствие порядок разработки и эксплуатации АРМ на базе автономных ПЭВМ по составу и содержанию проводимых работ по защите информации, организационно-распорядительной, проектной и эксплуатационной документации не отличается от рассмотренного ранее аналогичного порядка для АС.

В соответствии с РД Гостехкомиссии России "Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автома-тизированных систем и требования по защите информации" АС на базе автономных ПЭВМ должны быть должны быть классифицированы и отнесены:

• к 3 группе АС, если в ней работает только один пользователь, допущенный ко всей информации АС;
• ко 2 и 1 группе АС, если в ней последовательно работают несколько пользователей с равными или разными правами доступа (полномочиями), соответственно.

16.3. Защита информации в локальных вычислительных сетях

Характерными особенностями ЛВС являются:

• распределенное хранение файлов
• удаленная обработка данных (вычисления) и передача сообщений (электронная почта)
• сложность проведения контроля за работой пользователей и состоянием общей безопасности ЛВС

Средства защиты информации от НСД должны использоваться во всех узлах ЛВС независимо от наличия (отсутствия) конфиденциальной информации в данном узле ЛВС.

Класс защищенности ЛВС также определяется в соответствии с РД Гостехкомиссии России "Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации".

В дополнение к системным администраторам ЛВС могут быть назначены администраторы по безопасности информации, имеющие необходимые привилегии доступа к защищаемой информации ЛВС.

Состав пользователей ЛВС должен устанавливаться по письменному разрешению руководства предприятия (структурного подразделения) и строго контролироваться. Все изменения состава пользователей, их прав и привилегий должны регистрироваться.

Каждый администратор и пользователь должен иметь уникальные идентификаторы и пароли, а в случае использования криптографических средств защиты информации - ключи шифрования для криптографических средств, используемых для защиты информации при передаче ее по каналам связи и хранения, и для систем электронной цифровой подписи.

16.4. Защита информации при межсетевом взаимодействии

Под межсетевым взаимодействием понимается взаимодействие локальных сетей, которые не имеют доступа в Интернет.

СТР-К дает следующие рекомендации по защите информации при межсетевом взаимодействии:

• Коммуникационное оборудование и все соединения с локальными периферийными устройствами ЛВС должны располагаться в пределах контролируемой зоны.
• При конфигурировании коммуникационного оборудования (маршрутизаторов, концентраторов, мостов и мультиплексоров) и прокладке кабельной системы ЛВС рекомендуется учитывать разделение трафика по отдельным сетевым фрагментам на производственной основе и видам деятельности предприятия.
• Подключение ЛВС к другой автоматизированной иного класса защищенности должно осуществляться с использованием межсетевого экрана, требования к ко-торому определяются РД Гостехкомиссии России "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации".
• Для защиты конфиденциальной информации при ее передаче по каналам связи из одной АС в другую необходимо использовать:
  • в АС класса 1Г - МЭ не ниже класса 4;
  • в АС класса 1Д и 2Б, 3Б - МЭ класса 5 или выше.
• Если каналы связи выходят за пределы КЗ, необходимо использовать защищенные каналы связи, защищенные волоконно-оптические линии связи либо сертифицированные криптографические средства защиты.

16.5. Защита информации при работе с системами управления базами данных

При работе с системами управления базами данных (СУБД) и базами данных (БД) необходимо учитывать следующие особенности защиты информации от НСД:

• в БД может накапливаться большой объем интегрированной информации по различным тематическим направлениям, предназначенной для различных пользователей;
• БД могут быть физически распределены по различным устройствам и узлам сети;
• БД могут включать информацию различного уровня конфиденциальности;
• разграничение доступа пользователей к БД средствами операционной системы и/или СЗИ НСД может осуществляться только на уровне файлов БД;
• разграничение доступа пользователей к объектам БД может осуществляться только средствами СУБД, если таковые имеются;
• регистрация действий пользователей при работе с объектами БД может осуществляться также только средствами СУБД, если таковые имеются;
• СУБД могут обеспечивать одновременный доступ многих пользователей (клиентов) к БД с помощью сетевых протоколов, при этом запросы пользователя к БД обрабатываются на сервере и результаты обработки направляются пользователям (клиентам).

С учетом указанных особенностей при создании БД рекомендуется:

• при выборе СУБД ориентироваться на операционные системы и СУБД, включающие либо штатные сертифицированные средства защиты информации от НСД, либо имеющие соответствующие сертифицированные дополнения в виде СЗИ НСД;
• при использовании СУБД, не имеющих средств разграничения доступа, производить разбиение БД на отдельные файлы, разграничение доступа к которым можно проводить средствами ОС и/или СЗИ НСД;
• при использовании современных СУБД, основанных на модели клиент-сервер, использовать их штатные средства защиты информации от НСД, применять средства регистрации (аудита) и разграничение доступа к объектам БД на основе прав, привилегий, ролей, представлений (VIEW), процедур и т.п.[122].

16.6. Особенности реализации требований по защите информации при взаимодействии абонентов с информационными сетями общего пользования

Требования и рекомендации, приведенные ниже, в соответствии с СТР-К, предназначены для обеспечения защиты информации, содержащейся в негосударственных ИС, и для которой режим защиты определяет собственник.

Для подключения к Сети осуществляется на основании соответствующего обоснования, которое должно содержать:

• наименование Сети, к которой осуществляется подключение, и реквизиты организации-владельца Сети и провайдера Сети;
• состав технических средств для оборудования АП;
• предполагаемые виды работ и используемые прикладные сервисы Сети (E-Mail, FTP, Telnet, HTTP и т.п.) для АП в целом и для каждого абонента, в частности;
• режим подключения АП и абонентов к Сети (постоянный, в т.ч. круглосуточный, временный);
• состав общего и телекоммуникационного программного обеспечения АП и абонентов (ОС, клиентские прикладные программы для сети - Browsers и т.п.);
• число и перечень предполагаемых абонентов (диапазон используемых IP- адресов);
• меры и средства защиты информации от НСД, которые будут применяться на АП, организация-изготовитель, сведения о сертификации, установщик, конфигурация, правила работы с ними;
• перечень сведений конфиденциального характера, обрабатываемых (хранимых) на АП, подлежащих передаче и получаемых из Сети.

Разрешение на подключение дает руководитель.

Если на АП нет средств защиты от НСД, подключение к Сети возможно только в случае обработки на АП информации с открытым доступом. Подключение к Сети АП, представляющих собой внутренние (локальные) вычислительные сети, на которых обрабатывается информация, подлежащая защите, разрешается только после установки на АП средств защиты информации от НСД, отвечающих требованиям и рекомендациям, изложенным ниже.

Подключение к сети осуществляется в установленном порядке через средства разграничения доступа в виде межсетевых экранов. Устанавливаемые межсетевые экраны должны соответствовать классу защищаемого АП (АС) и отвечать требованиям РД Гостехкомиссии России "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации". Доступ к настройкам МЭ должен предоставляться только выделенным администраторам с консоли без удаленного конфигурирования. Настройка МЭ должна обеспечивать отказ в обслуживании любых внешних запросов. Почтовый сервер и Web-сервер должны располагаться в отдельном сегменте сети.

На технических средствах АП должно находиться программное обеспечение только в той конфигурации, которая необходима для выполнения работ, заявленных в обосновании необходимости подключения АП к Сети (обоснование может корректироваться в установленном на предприятии порядке). Устанавливать и модифицировать программное обеспечение на АП могут только уполномоченные специалисты.

СЗИ НСД, устанавливаемая на автономную ПЭВМ, рабочие станции и серверы внутренней ЛВС предприятия при обработке на них конфиденциальной информации, должна осуществлять:

• идентификацию и аутентификацию пользователей при доступе к автономной ПЭВМ, рабочим станциям и серверам внутренней ЛВС по идентификатору и паролю;
• контроль доступа к ресурсам автономной ПЭВМ, рабочих станций и серверов внутренней ЛВС на основе дискреционного принципа;
• регистрацию доступа к ресурсам автономной ПЭВМ, рабочих станций и серверов внутренней ЛВС, включая попытки НСД;
• регистрацию фактов отправки и получения абонентом сообщений (файлов, писем, документов).

При этом СЗИ НСД должна запрещать запуск абонентом произвольных программ, не включенных в состав программного обеспечения АП.

Средства регистрации и регистрируемые данные должны быть недоступны для абонента.

Должна быть обеспечена целостность СЗИ НСД, т.е. СЗИ НСД должна быть защищенной от несанкционированной модификации и не содержащей путей обхода механизмов контроля.

Тестирование всех функций СЗИ НСД с помощью специальных программных средств должно проводится не реже одного раза в год.

Технические средства АП должны быть размещены либо в отдельном помещении (при автономной ПЭВМ, подключенной к Сети), либо в рабочих помещениях абонентов с принятием организационных и технических мер, исключающих несанкционированную работу в Сети. В этих помещениях должно быть исключено ведение конфиденциальных переговоров, либо технические средства должны быть защищены с точки зрения электроакустики. В нерабочее время помещение автономной ПЭВМ либо соответствующего сервера сдается под охрану в установленном порядке.

При создании АП рекомендуется:

• Размещать МЭ для связи с внешними Сетями, Web-серверы, почтовые серверы в отдельном защищаемом помещении, доступ в которое имел бы ограниченный круг лиц. Периодически проверять работоспособность МЭ с помощью сканеров, имитирующих внешние атаки на внутреннюю ЛВС. Не следует устанавливать на МЭ какие-либо другие прикладные сервисы (СУБД, E-mail, прикладные серверы и т.п.).
• Исходить из принципа минимальной достаточности при предоставлении абонентам прикладных сервисов. Тем пользователям АП, которым не требуются услуги Сети, не предоставлять их. Пользователям, которым необходима только электронная почта (E-mail), предоставлять только доступ к ней. Максимальный перечень предоставляемых прикладных сервисов ограничивать следующими: E-mail, FTP, HTTP, Telnet.
• При создании АП следует использовать операционные системы со встроенными функциями защиты информации от НСД, или использовать сертифицированные СЗИ НСД.
• Эффективно использовать имеющиеся в маршрутизаторах средства разграничения доступа (фильтрацию), включающие контроль по списку доступа, аутентификацию пользователей, взаимную аутентификацию маршрутизаторов.
• В целях контроля за правомерностью использования АП и выявления нарушений требований по защите информации осуществлять анализ принимаемой из Сети и передаваемой в Сеть информации, в том числе на наличие "вирусов". Копии исходящей электронной почты и отсылаемых в Сеть файлов следует направлять в адрес защищенного архива АП для последующего анализа со стороны администратора (службы безопасности).
• Проводить постоянный контроль информации, помещаемой на Web-серверы предприятия. Для этого следует назначить ответственного (ответственных) за ведение информации на Web-сервере. Предусмотреть порядок размещения на Web-сервере информации, разрешенной к открытому опубликованию.

Приказом по организации назначаются лица (абоненты), допущенные к работам в Сети с соответствующими полномочиями, лица, ответственные за эксплуатацию указанного АП и контроль за выполнением мероприятий по обеспечению безопасности информации при работе абонентов в Сети (руководители подразделений и администраторы).

Вопросы обеспечения безопасности информации на АП должны быть отражены в инструкции, определяющей:

• порядок подключения и регистрации абонентов в Сети;
• порядок установки и конфигурирования на АП общесистемного, прикладного коммуникационного программного обеспечения (серверов, маршрутизаторов, шлюзов, мостов, межсетевых экранов, Browsers), их новых версий;
• порядок применения средств защиты информации от НСД на АП при взаимодействии абонентов с Сетью;
• порядок работы абонентов в Сети, в том числе с электронной почтой (E-mail), порядок выбора и доступа к внутренним и внешним серверам Сети (Web-серверам);
• порядок оформления разрешений на отправку данных в Сеть (при необходимости);
• обязанности и ответственность абонентов и администратора внутренней ЛВС по обеспечению безопасности информации при взаимодействии с Сетью;
• порядок контроля за выполнением мероприятий по обеспечению безопасности информации и работой абонентов Сети.

К работе в качестве абонентов Сети допускается круг пользователей, ознакомленных с требованиями по взаимодействию с другими абонентами Сети и обеспечению при этом безопасности информации и допускаемых к самостоятельной работе в Сети после сдачи соответствующего зачета.

Абоненты Сети обязаны:

• знать порядок регистрации и взаимодействия в Сети;
• знать инструкцию по обеспечению безопасности информации на АП;
• знать правила работы со средствами защиты информации от НСД, установленными на АП (серверах, рабочих станциях АП);
• уметь пользоваться средствами антивирусной защиты;
• после окончания работы в Сети проверить свое рабочее место на наличие "вирусов".

Входящие и исходящие сообщения (файлы, документы), а также используемые при работе в Сети носители информации учитываются в журналах несекретного делопроизводства. При этом на корпусе (конверте) носителя информации наносится предупреждающая маркировка: "Допускается использование только в Сети ____".

Для приемки в эксплуатацию АП, подключаемого к Сети, приказом по организации назначается аттестационная комиссия, проверяющая выполнение установленных требований и рекомендаций. Аттестационная комиссия в своей работе руководствуется требованиями и рекомендациями настоящего документа.

По результатам работы комиссии оформляется заключение, в котором отражаются следующие сведения:

• типы и номера выделенных технических средств АП, в т.ч. каждого абонента, их состав и конфигурация;
• состав общего и сервисного прикладного коммуникационного программного обеспечения (ОС, маршрутизаторов, серверов, межсетевых экранов, Browsers и т.п.) на АП в целом и на каждой рабочей станции абонента, в частности: логические адреса (IP-адреса), используемые для доступа в Сети;
• мероприятия по обеспечению безопасности информации, проведенные при установке технических средств и программного обеспечения, в т.ч. средств защиты информации от НСД, антивирусных средств, по защите информации от утечки по каналам ПЭМИН, наличие инструкции по обеспечению безопасности информации на АП.

При работе в Сети категорически запрещается:

• подключать технические средства (серверы, рабочие станции), имеющие выход в Сеть, к другим техническим средствам (сетям), не определенным в обосновании подключения к Сети;
• изменять состав и конфигурацию программных и технических средств АП без санкции администратора и аттестационной комиссии;
• производить отправку данных без соответствующего разрешения;
• использовать носители информации с маркировкой: "Допускается использование только в Сети ____" на рабочих местах других систем (в том числе и автономных ПЭВМ) без соответствующей санкции.

Необходимо организовать порядок учета абонентов, подключенных к Сети.

Контроль за выполнением мероприятий по обеспечению безопасности информации на АП возлагается на администраторов АП, руководителей соответствующих подразделений, определенных приказом по учреждению (предприятию), а также руководителя службы безопасности.

Следует учитывать, что перечисленные выше меры СТР-К носят рекомендательный характер. Документ создавался в 2001 году, когда количество пользователей организации, подключенных к Интернету, было незначительным. Тем не менее, большинство перечисленных мер реализуется в крупных организациях и в настоящее время. В частности, предоставление доступа в Интернет, как правило, осуществляется на основании заявления, содержащего обоснование, определяется единый порядок подключения к Интернет, ведется учет сотрудников, подключенных в Интернет и реализуется принцип минимальных привилегий.