Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 2)

Наша ИСПДН «Авто-ДВ» имеет третий уровень защищённости, а это значит, что в требования для третьего уровня защищённости входят все требования из четвёртого уровня защищённости.

– помимо требований данного приказа для четвёртого уровня защищённости необходимо выполнение требования о назначении ответственного за обеспечение безопасности ПДН в ИС.

– необходимо назначение обладающего достаточными навыками должностного лица (работника) оператора ответственным за обеспечение безопасности персональных данных в информационной системе.

СКЗИ класса KB и выше в случаях, когда для информационной системы актуальны угрозы второго типа;

СКЗИ класса КС1 и выше в случаях, когда для информационной системы актуальны угрозы третьего типа.

Для нашей информационной системы персональных данных согласно пункту 1.2 актуальны угрозы третьего типа, значит будем рассматривать класс КС1 и выше.

1.7 Организационные и технические меры по обеспечению безопасности ПД при их обработке в ИСПДн с использованием СКЗИ

Согласно Приказу ФСБ России от 10 июля 2014 г. N 378
"Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности"

СКЗИ класса КС1 применяются для нейтрализации атак, при создании способов, подготовке и проведении которых используются возможности из числа следующих:

– создание способов, подготовка и проведение атак без привлечения специалистов в области разработки и анализа СКЗИ;

– создание способов, подготовка и проведение атак на различных этапах жизненного цикла СКЗИ;

– проведение атаки, находясь вне пространства, в пределах которого осуществляется контроль за пребыванием и действиями лиц и (или) транспортных средств (далее – контролируемая зона);

– проведение на этапах разработки (модернизации), производства, хранения, транспортировки СКЗИ и этапе ввода в эксплуатацию СКЗИ (пусконаладочные работы) следующих атак:

–внесение несанкционированных изменений в СКЗИ и (или) в компоненты аппаратных и программных средств, совместно с которыми штатно функционируют СКЗИ и в совокупности, представляющие среду функционирования СКЗИ (далее – СФ), которые способны повлиять на выполнение предъявляемых к СКЗИ требований, в том числе с использованием вредоносных программ;

– внесение несанкционированных изменений в документацию на СКЗИ и компоненты СФ;

– проведение атак на этапе эксплуатации СКЗИ на:

– персональные данные;

– ключевую, аутентифицирующую и парольную информацию СКЗИ;

– программные компоненты СКЗИ;

– аппаратные компоненты СКЗИ;

– программные компоненты СФ, включая программное обеспечение BIOS;

– аппаратные компоненты СФ;

– данные, передаваемые по каналам связи;

– иные объекты, которые установлены при формировании совокупности предположений о возможностях, которые могут использоваться при создании способов, подготовке и проведении атак с учетом применяемых в информационной системе информационных технологий, аппаратных средств (далее - АС) и программного обеспечения (далее - ПО);

– получение из находящихся в свободном доступе источников (включая информационно-телекоммуникационные сети, доступ к которым не ограничен определенным кругом лиц, в том числе информационно-телекоммуникационную сеть "Интернет") информации об информационной системе, в которой используется СКЗИ. При этом может быть получена следующая информация:

– общие сведения об информационной системе, в которой используется СКЗИ (назначение, состав, оператор, объекты, в которых размещены ресурсы информационной системы);

– сведения об информационных технологиях, базах данных, АС, ПО, используемых в информационной системе совместно с СКЗИ, за исключением сведений, содержащихся только в конструкторской документации на информационные технологии, базы данных, АС, ПО, используемые в информационной системе совместно с СКЗИ;

– содержание конструкторской документации на СКЗИ;

– содержание находящейся в свободном доступе документации на аппаратные и программные компоненты СКЗИ и СФ;

– общие сведения о защищаемой информации, используемой в процессе эксплуатации СКЗИ;

– сведения о каналах связи, по которым передаются защищаемые СКЗИ персональные данные (далее - канал связи)

– все возможные данные, передаваемые в открытом виде по каналам связи, не защищенным от несанкционированного доступа к информации организационными и техническими мерами;

• сведения обо всех проявляющихся в каналах связи, не защищенных от несанкционированного доступа к информации организационными и техническими мерами, нарушениях правил эксплуатации СКЗИ и СФ;

• сведения обо всех проявляющихся в каналах связи, не защищенных от несанкционированного доступа к информации организационными и техническими мерами, неисправностях и сбоях аппаратных компонентов СКЗИ и СФ;

• сведения, получаемые в результате анализа любых сигналов от аппаратных компонентов СКЗИ и СФ.

Применение находящихся в свободном доступе или используемых за пределами контролируемой зоны АС и ПО, включая аппаратные и программные компоненты СКЗИ и СФ, специально разработанных АС и ПО;

Использование на этапе эксплуатации в качестве среды переноса от субъекта к объекту (от объекта к субъекту) атаки действий, осуществляемых при подготовке и (или) проведении атаки каналов связи, не защищенных от несанкционированного доступа к информации организационными и техническими мерами, каналов распространения сигналов, сопровождающих функционирование СКЗИ и СФ;

Проведение на этапе эксплуатации атаки из информационно-телекоммуникационных сетей, доступ к которым не ограничен определенным кругом лиц, если информационные системы, в которых используются СКЗИ, имеют выход в эти сети;

Использование на этапе эксплуатации находящихся за пределами контролируемой зоны АС и ПО из состава средств информационной системы, применяемых на местах эксплуатации СКЗИ (далее - штатные средства).

СКЗИ класса КС2 применяются для нейтрализации атак, при создании способов, подготовке и проведении которых используются возможности из числа перечисленных выше настоящего документа и не менее одной из следующих дополнительных возможностей:

– проведение атаки при нахождении в пределах контролируемой зоны;

– проведение атак на этапе эксплуатации СКЗИ на следующие объекты:

–документацию на СКЗИ и компоненты СФ;

– получение в рамках предоставленных полномочий, а также в результате наблюдений следующей информации:

– сведений о физических мерах защиты объектов, в которых размещены ресурсы информационной системы;

– сведений о мерах по обеспечению контролируемой зоны объектов, в которых размещены ресурсы информационной системы;

– сведений о мерах по разграничению доступа в Помещения, в которых находятся СВТ, на которых реализованы СКЗИ и СФ;

– использование штатных средств, ограниченное мерами, реализованными в информационной системе, в которой используется СКЗИ, и направленными на предотвращение и пресечение несанкционированных действий.

1.8 Определение актуальности использования СКЗИ для обеспечения безопасности персональных данных

Так как в нашей ИСПДН «Авто-ДВ» всё защищено, за исключением канала передачи данных, обеспечить защиту можно с помощью СКЗИ.

Использование СКЗИ для обеспечения безопасности персональных данных необходимо если:

• персональные данные подлежат криптографической защите в соответствии с законодательством РФ;

• в информационной системе существуют угрозы, которые могут быть нейтрализованы только с помощью СКЗИ.

У нас как раз такой случай. Помимо этого, решение о необходимости криптографической защиты персональных данных может быть принято конкретным оператором на основании технико-экономического сравнения альтернативных вариантов обеспечения требуемых характеристик безопасности информации, содержащей, в том числе, персональные данные. К случаям, когда угрозы могут быть нейтрализованы только с помощью СКЗИ, относятся:

• передача персональных данных по каналам связи, не защищенным от перехвата нарушителем передаваемой по ним информации или от несанкционированных воздействий на эту информацию (например, при передаче персональных данных по информационно-телекоммуникационным сетям общего пользования);

• хранение персональных данных на носителях информации, несанкционированный доступ к которым со стороны нарушителя не может быть исключен с помощью не криптографических методов и способов.

• При этом необходимо учитывать следующее:

• криптографическая защита персональных данных может быть обеспечена при условии отсутствия возможности несанкционированного доступа нарушителя к ключевой информации СКЗИ;

• СКЗИ штатно функционируют совместно с техническими и программными средствами, которые способны повлиять на выполнение предъявляемых к СКЗИ требований и которые образуют среду функционирования СКЗИ;

• СКЗИ не предназначены для защиты информации от действий, выполняемых в рамках предоставленных субъекту действий полномочий (например, СКЗИ не предназначены для защиты персональных данных от раскрытия лицами, которым предоставлено право на доступ к этой информации);

• СКЗИ обеспечивают защиту информации при условии соблюдения требований эксплуатационно-технической документации на СКЗИ и требований действующих нормативных правовых документов в области реализации и эксплуатации СКЗИ;

• для обеспечения безопасности персональных данных при их обработке в ИСПДн должны использоваться СКЗИ, прошедшие в установленном порядке процедуру оценки соответствия.

Перечень СКЗИ, сертифицированных ФСБ России, опубликован на официальном сайте Центра по лицензированию, сертификации и защите государственной тайны Федеральной службы безопасности Российской Федерации. Дополнительные данные о конкретных средствах защиты информации рекомендуется получать непосредственно у разработчиков или производителей этих средств и, если необходимо, у специализированных организаций, проводивших тематические исследования этих средств. В случае отсутствия прошедших в установленном порядке процедуру оценки соответствия СКЗИ, функционально пригодных для обеспечения безопасности персональных данных при их обработке в конкретной информационной системе, на этапе аванпроекта или эскизного (эскизно технического) проекта разработчиком информационной системы с участием оператора (уполномоченного лица) и предполагаемого разработчика СКЗИ готовится обоснование целесообразности разработки нового типа СКЗИ и определяются требования к его функциональным свойствам. Решение о разработке нового типа СКЗИ может быть принято оператором в инициативном порядке в независимости от наличия СКЗИ, функционально пригодных для обеспечения безопасности персональных данных при их обработке в конкретной ИСПДн. Разработка нового типа СКЗИ осуществляется в соответствии с Положением о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации, утверждённым приказом ФСБ России от 9 февраля 2005 г. № 66 (далее – Положение ПКЗ-2005); СКЗИ являются как средством защиты персональных данных, так и объектом защиты.

Глава 2 Выбор СКЗИ

2.1 Анализ продуктов

В ИСПДн «Авто-ДВ» присутствует возможность проведения атаки, находясь вне пространства, в пределах которого осуществляется контроль за пребыванием и действиями лиц, то есть вне контролируемой зоны.

Исходя из изложенных требований и мер оптимальным решением для обеспечения канала связи для безопасного обмена данными, будет использование следующих продуктов:

– VipNetCSP;

– КриптоПро CSP;

– Континент 3.7.

2.2. Континент 3.7

Континент 3.7 программно-аппаратный комплекс, который обеспечивает защиту информационных сетей организации от вторжения со стороны сетей передачи данных (Интернет), конфиденциальность при передаче информации по открытым каналам связи (VPN), организовывает безопасный доступ пользователей VPN к ресурсам сети общего пользования, а также защищённое взаимодействие сетей различных организаций.

Программа объединяет межсетевой экран и средство построения VPN-сетей. Является сертифицированным продуктом и обладает сертификатами ФСТЭК и ФСБ. Изначально разработана компанией НИП «Информзащита», далее разработка выделена в ООО "Код Безопасности".

Назначение

Программа предназначена для объединения через Интернет локальных сетей предприятия в единую сеть VPN. Поддерживает подключение удалённых и мобильных пользователей к VPN по защищённому каналу, разделение доступа между информационными подсистемами организации, безопасное удалённое управление маршрутизаторами. Может использоваться для организации защищённого взаимодействия со сторонними организациями.

Является одной из немногих российских сертифицированных программ с высокой производительностью (в режиме VPN — 800 Мбит/сек). Входит в число наиболее популярных VPN-продуктов в России

Для нашей ИСПДН «Авто-ДВ» подходит продукт АПКШ «Континент» IPC-25

2.2.2 АПКШ «Континент» – IPC-25

Назначение

АПКШ «Континент» обеспечивает криптографическую защиту информации (в соответствии с ГОСТ 28147–89), передаваемой по открытым каналам связи, между составными частями VPN, которыми могут являться локальные вычислительные сети, их сегменты и отдельные компьютеры. Современная ключевая схема, реализуя шифрование каждого пакета на уникальном ключе, обеспечивает гарантированную защиту от возможности дешифрации перехваченных данных. Для защиты от проникновения со стороны сетей общего пользования АПКШ «Континент» обеспечивает фильтрацию принимаемых и передаваемых пакетов по различным критериям (адресам отправителя и получателя, протоколам, номерам портов, дополнительным полям пакетов и т.д.).

Осуществляет поддержку VoIP, видеоконференций, GPRS, 3G, LTE, ADSL, Dial-Up и спутниковых каналов связи, технологии NAT/PAT для сокрытия структуры сети.

2.2.3 Область применения

Область применения:

– защита внешнего периметра сети от вредоносного воздействия со стороны сетей общего пользования;

– создание отказоустойчивой VPN-сети между территориально распределенными сетями.

– защита сетевого трафика в мультисервисных сетях (VoIP, Video conference);

– разделение сети на сегменты с различным уровнем доступа;

– организация защищенного удаленного доступа к сети для мобильных сотрудников;

– защита беспроводных сегментов сетей;

– организация защищенного межсетевого взаимодействия между конфиденциальными сетями.

Характеристики

Список файлов ВКР