СЗПДн. Анализ. Оценка соответствия

Выводом из предыдущей статьи орегистрации событий ИБ была необходимость оценки соответствия большинства компонентов ИС / ИТ-инфраструктуры. Так как этих компонентов много, не все они сертифицированные, есть задача обеспечения оценки соответствия наиболее простым способом. Большое количество экспертов, в том числе Алексей Лукацкий, придерживаются мнения что способ оценки соответствия оператор выбирает самостоятельно в соответствии с ФЗ-184 (в условиях пока не опубликован и не зарегистрирован ПП 330)

Давайте примем на минутку данную точку зрения и подумаем, как и в какой форме нам лучше вписать оценку соответствия в обычный комплекс работ по созданию / модернизации СЗПДн.

Напомним себе основные моменты из законодательства:

152-ФЗ:

“Статья 19. Меры по обеспечению безопасности персональных данных при их обработке

1. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

2. Обеспечение безопасности персональных данных достигается, в частности:

…

3) применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;”

ПП-1119:

13. Для обеспечения 4-го уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:

…

г) использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

Приказ ФСТЭК Р №21:

“4. Меры по обеспечению безопасности персональных данных реализуются в том числе посредством применения в информационной системе средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия, в случаях, когда применение таких средств необходимо для нейтрализации актуальных угроз безопасности персональных данных.”

184-ФЗ:

“Статья 2. Основные понятия

оценка соответствия - прямое или косвенное определение соблюдения требований, предъявляемых к объекту”

форма подтверждения соответствия - определенный порядок документального удостоверения соответствия продукции или иных объектов, процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ или оказания услуг требованиям технических регламентов, положениям стандартов или условиям договоров;

схема подтверждения соответствия - перечень действий участников подтверждения соответствия, результаты которых рассматриваются ими в качестве доказательств соответствия продукции и иных объектов установленным требованиям;

свод правил - документ в области стандартизации, в котором содержатся технические правила и (или) описание процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации продукции и который применяется на добровольной основе в целях соблюдения требований технических регламентов;

Статья 7.

Оценка соответствия проводится в формах государственного контроля (надзора), испытания, регистрации, подтверждения соответствия, приемки и ввода в эксплуатацию объекта, строительство которого закончено, и в иной форме.

Не включенные в технические регламенты требования к продукции или к продукции и связанным с требованиями к продукции процессам проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, правилам и формам оценки соответствия, правила идентификации, требования к терминологии, упаковке, маркировке или этикеткам и правилам их нанесения не могут носить обязательный характер.

Работы по созданию СЗПДн обычно выполняются в соответствии с ГОСТ 34.601-90 или ГОСТ Р 51583-2014 или в некоторой степени измененном, но в целом похожем составе этапов работ. Как правило это:

·        обследование

·        анализ угроз и формирование требований по защите информации

·        проектирование СЗПДн

·        разработка комплекта ОРД

·        поставка необходимого комплекта оборудования и ПО

·        монтажные и пуско-наладочные работы, в том числе предварительные испытания

·        опытная эксплуатация, проведение приёмки СЗПДн в эксплуатацию, в том числе приемочные испытания

Давайте подумаем на каких этапах у нас уже выполняется оценка соответствия компонентов ИСПДн или СЗПДн ?

На этапе проектирования СЗПДн выполняется оценка соответствия требований ТЗ и проектируемых решений по защите ПДн. Но данный анализ носит скорее предварительный характер, так как в качестве свидетельств может быть предъявлена только документация производителя решений, а как показывает практика она может быть неполна, неточна, умалчивать о некоторых особенностях или даже содержать ошибки.

На этапе предварительных и приемочных испытаний производится оценка соответствия требований ТЗ и созданной СЗПДн. В рамках испытаний проводятся и так проводятся практические проверки (например, проверка что производится идентификация пользователей или регистрация определенных событий), результаты которых можно использовать в качестве доказательства “оценки соответствия” - это нам подходит!! Нужно только более детально документировать результаты испытаний.

Как мы в итоге видим, при таком подходе, для получения оценки соответствия СЗИ (и компонентов ИСПДн, выступающих в роли СЗИ) дополнительных работ и затрат не требуется.

Но надо признаться что у данного подхода есть свой минус – в любой момент может появится официальный порядок оценки соответствия СЗИ (например зарегистрируют и опубликуют ПП 330).

Кроме того перед новым годом я получил интересный ответ от ФСТЭК на наиболее острые вопросы и он полностью исключает приведенные выше варианты оценки соответствия. Об нем я напишу детально в следующей заметке.