понедельник, 26 января 2015 г.

СЗПДн. Вопросы и ответы. Выбор мер обеспечения безопасности ПДн и проблема СЗИ

В конце прошлого года у меня подобралось несколько вопросов в рамках защиты ПДн, по которым не было однозначного ответа. При этом ряд знакомых экспертов (Артем Агеев, Николай Домуховский и д.р.) советовали не заниматься публичными рассуждениями, а писать письма регуляторам.

Письма были написаны, давайте посмотрим что получилось с вопросами к ФСТЭК России:

Вопрос 1. Возможно ли при выборе мер обеспечения безопасности ПДн в ИСПДн исключать меры защиты из базового набора, на том основании, что связанные с данной мерой угрозы безопасности ПДн – неактуальны?
а) Если да, то на каком этапе выполняется данное исключение (адаптации, уточнения, дополнения)?
(примечание автора – данный вопрос возник с связи с наличием различных трактовок приказа №21 ФСТЭК в части исключения мер защиты, так как в явном виде в приказе не указано, что исключение возможно исключение мер защиты, связанных с неактуальными угрозами. Так-же сторонники “возможности исключения” не могут назвать явно, на каком этапе выбора нужно делать такое исключение при поэтапном подходе)

Ответ 1. В соответствии с Содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденным приказом ФСТЭК России от 18 февраля 2013 г. № 21, исключение мер по обеспечению безопасности персональных данных возможно на этапах адаптации базового набора мер и уточнения адаптированного базового набора мер по обеспечению безопасности персональных данных.

Вопрос 2. Можно ли при определении актуальности угрозы БПДн учитывать имеющиеся исходно не сертифицрованные СЗИ и на этом основании корректировать показатели опасности или вероятности угрозы?
(примечание автора – данный вопрос возник в связи с различием трактовок: с одной стороны существующие у оператора не сертифицированные СЗИ в реальности влияют на показатели опасности и вероятности угроз; с другой стороны есть требования что СЗИ, применяемые для защиты ПДн должны пройти оценку соответствия, а значит неоцененные СЗИ мы и рассматривать не должны)

Ответ 2. В соответствии с Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденной ФСТЭК России 14 февраля 2008 г.,  наличие средств защиты информации влияет на определение вероятности  реализации угроз безопасности персональных данных.

Вопрос 3. Относятся ли следующее ПО к СЗИ:
a)      Средства резервного копирования и восстановления информации
b)      Средства защиты от DDoS-атак на уровне сети (DDoS Protection)
c)      Средства мониторинга и анализ действий пользователей (User Activity Monitoring)
d)      Средства фильтрации и контроля web-трафика (Web Security)
e)      Средства контроля доступа к web- приложениям на уровне сети (Web Application Firewall)
f)       Средства контроля доступа к базам данных на уровне сети (DataBase Firewall)
g)      Средства контроля доступа к файлам на уровне сети (File Activity Monitoring)
h)      Средства контроля доступа в сеть (Network Access Control – NAC)
i)       Средство обеспечения однократного входа (Single Sign-On – SSO)
j)       Средства централизованного управления учетными данными (Identity Management)
k)      Средства централизованного управления конфигурацией устройств, входящих в состав СЗПДн (Information Security Management)
l)       Средства централизованного сбора событий, в том числе событий ИБ (Log сервер)
m)    Средства централизованного мониторинга работоспособности устройств и их функций, входящих в состав СЗПДн
n)      Средства централизованного управление событиями ИБ (Security Information and Event Management – SIEM)
o)     Средства анализа защищенности (Vulnerability Management)
(примечание автора – данный вопрос возник в связи с различием трактовок средства защиты информации, которые неоднократно обсуждались в блогах тут и тут и имеют большое значение => отнесение ПО к СЗИ сразу же влечет необходимость его оценки соответствия / сертификации, что приводит к значительно большим затратам операторов, которые приняли за СЗИ все дополнительное ПО, перечисленное выше)


Ответ 3.  В соответствии с  постановлением Правительства Российской Федерации от 15 мая 2010 г. № 330, и национальным стандартом ГОСТ Р 50922-96 «Защита информации. Основные термины и определения» средствами защиты информации является продукция, предназначенная для защиты информации, средства, в которых она реализована, а также средства контроля эффективности защиты информации.
В соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. № 17, и Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденными приказом ФСТЭК России от 18 февраля 2013 г. № 21, в информационной системе персональных данных должны быть реализованы организационные и технические меры по защите информации, направленные на блокирование (нейтрализацию) угроз безопасности информации со стороны внешних и внутренних нарушителей.
Технические меры реализуются посредством применения программных или программно-технических средств защиты информации.
В случае, если используемое в информационной системе персональных данных программные или программно-технические средства имеют механизмы защиты и обеспечивают выполнение установленных требований о защите информации, то указанные средства являются средствами защиты информации и подлежат обязательной сертификации на соответствие требованиям по безопасности информации.

Вопрос 4. На соответствие чему должны быть сертифицированы СЗИ в составе СЗПДн, если для данного типа СЗИ не разработаны специальные требования или профили?
a) Если сертификация на соответствие требований ТУ или Задания по безопасности, то какие требования должны быть прописаны в данных документах

Ответ 4. В случае, если средство защиты информации не удовлетворяет требованиям, содержащимся в документах, утвержденных ФСТЭК России, оно может быть сертифицировано на соответствие требованиям безопасности информации, содержащихся в технических условиях на данную продукцию или в задании по безопасности на данную продукцию, разработанных и утвержденных заявителем на сертификацию указанного изделия.
Технические условия на средство защиты информации должны соответствовать положениям стандарта ГОСТ 2.114-95 «Единая система конструкторской документации. Технические условия».
При этом, в разделе «Технические требования» технических условий на средство защиты информации должны содержатся требования по безопасности информации, включающие в себя полный набор функциональных требований безопасности к продукции, сформулированных в соответствии с мерами по обеспечению безопасности персональных данных, содержащимися в приложении к Составу и содержанию организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденному приказом ФСТЭК России от 18 февраля 2013 г. № 21, в случае сертификации данного средства защиты информации для защиты персональных данных при их обработке в информационных системах персональных данных.
Задание по безопасности на средство защиты информации должно удовлетворять положениям национальных стандартов Российской Федерации ГОСТ Р ИСО/МЭК 15408.
В задании по безопасности на средство защиты информации должны быть указаны функциональные требования безопасности к продукции, соответствующие положениям национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности» и реализуемые посредством полного состава функций безопасности изделия, и требования доверия к безопасности к продукции, соответствующие положениям национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-3-2013 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности».

Из ответов можно сделать следующие выводы:  
·        свободный подход к оценке соответствия из моей предыдущей статьи не подходит
·        нет смысла объявлять большое количество ПО и компонентов ИТ-инфраструктуры (коммутаторы, маршрутизаторы, СУБД, ОС, системные сервисы, прикладное ПО)  участвующим в обеспечении безопасности ПДн –> всё оно потом подлежит обязательной сертификации
·        при наличие несертифицированных СЗИ оптимальнее всего учитывать их при моделировании угроз -> определять угрозы неактуальными –> исключать меры связанные с данными угрозами и с данными СЗИ
·        не смотря на убедительные речи Алексея Лукацкого и Алексея Волкова, требования регуляторов у нас не на столько либеральны чтобы в одном проекте по СЗПДн достигать выполнение требований и Регуляторов и Бизнеса. Выгоднее разделать на два проекта – СЗПДн и СОИБ. СЗПДн – необходимый минимум мер и сертифицированные СЗИ. СОИБ – объективная оценка рисков, многоуровневая защита,   в том числе несертифицированными СЗИ и ПО.  



пятница, 16 января 2015 г.

СЗПДн. Анализ. Оценка соответствия

Выводом из предыдущей статьи орегистрации событий ИБ была необходимость оценки соответствия большинства компонентов ИС / ИТ-инфраструктуры. Так как этих компонентов много, не все они сертифицированные, есть задача обеспечения оценки соответствия наиболее простым способом. Большое количество экспертов, в том числе Алексей Лукацкий, придерживаются мнения что способ оценки соответствия оператор выбирает самостоятельно в соответствии с ФЗ-184 (в условиях пока не опубликован и не зарегистрирован ПП 330)

Давайте примем на минутку данную точку зрения и подумаем, как и в какой форме нам лучше вписать оценку соответствия в обычный комплекс работ по созданию / модернизации СЗПДн.

Напомним себе основные моменты из законодательства:
152-ФЗ:
“Статья 19. Меры по обеспечению безопасности персональных данных при их обработке
1. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
2. Обеспечение безопасности персональных данных достигается, в частности:
3) применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;”

ПП-1119:
13. Для обеспечения 4-го уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:
г) использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

Приказ ФСТЭК Р №21:
“4. Меры по обеспечению безопасности персональных данных реализуются в том числе посредством применения в информационной системе средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия, в случаях, когда применение таких средств необходимо для нейтрализации актуальных угроз безопасности персональных данных.”


184-ФЗ:
Статья 2. Основные понятия
оценка соответствия - прямое или косвенное определение соблюдения требований, предъявляемых к объекту”
форма подтверждения соответствия - определенный порядок документального удостоверения соответствия продукции или иных объектов, процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ или оказания услуг требованиям технических регламентов, положениям стандартов или условиям договоров;
схема подтверждения соответствия - перечень действий участников подтверждения соответствия, результаты которых рассматриваются ими в качестве доказательств соответствия продукции и иных объектов установленным требованиям;
свод правил - документ в области стандартизации, в котором содержатся технические правила и (или) описание процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации продукции и который применяется на добровольной основе в целях соблюдения требований технических регламентов;
Статья 7.
Оценка соответствия проводится в формах государственного контроля (надзора), испытания, регистрации, подтверждения соответствия, приемки и ввода в эксплуатацию объекта, строительство которого закончено, и в иной форме.
Не включенные в технические регламенты требования к продукции или к продукции и связанным с требованиями к продукции процессам проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, правилам и формам оценки соответствия, правила идентификации, требования к терминологии, упаковке, маркировке или этикеткам и правилам их нанесения не могут носить обязательный характер.

Работы по созданию СЗПДн обычно выполняются в соответствии с ГОСТ 34.601-90 или ГОСТ Р 51583-2014 или в некоторой степени измененном, но в целом похожем составе этапов работ. Как правило это:
·        обследование
·        анализ угроз и формирование требований по защите информации
·        проектирование СЗПДн
·        разработка комплекта ОРД
·        поставка необходимого комплекта оборудования и ПО
·        монтажные и пуско-наладочные работы, в том числе предварительные испытания
·        опытная эксплуатация, проведение приёмки СЗПДн в эксплуатацию, в том числе приемочные испытания


Давайте подумаем на каких этапах у нас уже выполняется оценка соответствия компонентов ИСПДн или СЗПДн ?

На этапе проектирования СЗПДн выполняется оценка соответствия требований ТЗ и проектируемых решений по защите ПДн. Но данный анализ носит скорее предварительный характер, так как в качестве свидетельств может быть предъявлена только документация производителя решений, а как показывает практика она может быть неполна, неточна, умалчивать о некоторых особенностях или даже содержать ошибки.

На этапе предварительных и приемочных испытаний производится оценка соответствия требований ТЗ и созданной СЗПДн. В рамках испытаний проводятся и так проводятся практические проверки (например, проверка что производится идентификация пользователей или регистрация определенных событий), результаты которых можно использовать в качестве доказательства “оценки соответствия” - это нам подходит!! Нужно только более детально документировать результаты испытаний.
Как мы в итоге видим, при таком подходе, для получения оценки соответствия СЗИ (и компонентов ИСПДн, выступающих в роли СЗИ) дополнительных работ и затрат не требуется.

Но надо признаться что у данного подхода есть свой минус – в любой момент может появится официальный порядок оценки соответствия СЗИ (например зарегистрируют и опубликуют ПП 330).
Кроме того перед новым годом я получил интересный ответ от ФСТЭК на наиболее острые вопросы и он полностью исключает приведенные выше варианты оценки соответствия. Об нем я напишу детально в следующей заметке.