ИБП - ОТСС? - Форум по вопросам информационной безопасности

Коллеги, давайте определимся, чем является источник бесперебойного питания на объекте информатизации (во всех случаях информационный кабель для управления и мониторинга не задействован, ИБП просто питает ОТСС).
Итак, вариант 1. ИБП - ОТСС. Доводы такие:

1.1. ИБП гальванически подключен к ОТСС электрическим кабелем, по которому распространяется наводка от ОТСС;
1.2. ИБП в таком случае является элементом канала утечки и относится к "среде распространения"
1.3. За счет паразитной генерации или возможно внедренных технических средств возможна реализация канала утечки - стало быть защищаться нужно
1.4. Без ИБП ОТСС не работоспособно (как бы является одним целым с ОТСС) - его нельзя просто исключить из схемы, придется переключать ОТСС в розетку напрямую

Вариант 2. ИБП - не ОТСС (стало быть, ВТСС).
2.1. Определение ОТСС в букваре - исчерпывающее. В нем перечислены все технические средства, относящиеся к ОТСС, причем без добавки "и другие". Никаких источников бесперебойного питания в определении не указано
2.2. ИБП как техническое средсво создано не для обработки информации. Обрабатывает он ее лишь "косвенно"
2.2. Если по варианту 1 считать ИБП ОТСС, то почему ВРУ, АВР не ОТСС, ТП не ОТСС, ближайшая гидроэлектростанция не ОТСС?...
2.3. Если по варианту 1 считать, что от установки ИБП возможна утечка за счет ПГ или закладок, то ведь точно такая же утечка возможна и от ВТСС, попадающих в зону 1. Закладка в ВТСС элементарно может накапливать информацию и отсылать по радиоканалу... Но ведь СП таких ВТСС (которые тоже будут являться элементом канала утечки) мы не делаем...
2.4. Нашел п. 9.3 букваря - тут вообще такого рода средство названо элементом сети электропитания...

Кстати, выше речь шла о "маленьком" ИБП для одной единственной ПЭВМ.
Как быть с "большим ИБП" (один на всю серверную) или "огромным" ИБП (один на все здание)??

Все бы ничего, но в зависимости от отнесения ИБП к ОТСС или нет - речь идет о проведении СИ и СП...
Видя аттестаты, выданные ОА на разные объекты в разных ФО, могу сказать - в половине случаев ИБП включено в перечень ВТСС, в другой половине - к ОТСС. Но лишь в считанных единицах случаев проводились СП таких ИБП, и совсем уж редкость - проведены СИ ПЭВМ в составе с ИБП.

Все эти варианты имеют место быть, сталкивались. Сами относим ИБП к ОТСС, проводим СП и СИ обязательно.
Замечаний от ФСТЭК не было, и не слышал, чтобы были замечания по другим вариантам.

В любом случае ИБП ВТСС или ОТСС при размещении в ВП необходимо проводить СП.

В каком тестовом режиме проводите СИ на ИБП (параметры тест-сигнала), по какой методике (методикам), какие показатели защищённости (размеры зон; допустимые значения напряжения, тока, поля; отношение сигнал/шум и т.д.) оцениваете? По каким линиям (трактам) проходит информативные сигналы в ИБП? Какие средства измерения (под контрольные точки) применяете?


P.S. А как тогда делаете СИ на "мышь"???

Для ХХХ. Ну такие простые случаи мы не рассматриваем. Само собой, объект ВТ.
Для 33-й. Наверно, теоретически, проверять на отсутствие паразитной генерации. Если решим, что ИБП-ОТСС ))

33-му
Внимательнее читать нужно первое соощение "и совсем уж редкость - проведены СИ ПЭВМ в составе с ИБП."
А так, видел доки по результатам СИ на ПЭМИН и на мышь, и на флэхи отдельно от всего...

Для интех | 30673
"А так, видел доки по результатам СИ на ПЭМИН и на мышь, и на флэхи отдельно от всего..."
Ну то, что в природе случается всякое и на что только не делают протоколы. Весь вопрос - насколько они "правильны" с точки зрения физики, требований Регуляторов и соответствия букве закона в части обеспечения единства измерений - т.е. наличия соответствующей методики измерения в рамках специальных исследований.
Если мы говорим о СИ в части паразитной генерации, модуляции, ВЧ-навязывания и ВЧ-облучения, то я готов с Вами согласится, что можно делать СИ для ИБП, но только как для ВТСС (могут находится в зоне звукового речевого сигнала). А если ИБП или мышь рассматривать как ОТСС, то необходимо указать сигнальные цепи (тракты), где циркулирует опасный (тестовый) сигнал. Я конкретно затрудняюсь. Может быть кто объяснит.
Следующий момент, если мы говорим о СИ (ПВЧГ, модуляция, ВЧО, ВЧН) под лицензией ФСТЭК, то хотелось бы услышать по каким методикам лицензиат делает эти СИ. С 2008 года нет таких методик в "Перечни допустимых к использованию в системе сертификации ФСТЭК". Раньше были отдельные сборники 70-х годов (не по всем каналам, но всё же), а с 2008 года НЕТ. Видимо с истечением 30 лет (предельный срок засекречивания по закону о ГТ) их просто молча вывели из обращения (чтобы не обосновывать продления предельного срока, а то ведь могут и спросить - а куда же потрачены многие миллионы, почему нет новых методик), а новых ЖДЁМС.

Флэхи можно делать отдельно, но с привязкой к конкретной "Стендовой машине" для лаб. СИ (ведь нужно её куда то воткнуть, МОЛЧИТЕ Поручик Ржевский ).

"Флэхи можно делать отдельно, но с привязкой к конкретной "Стендовой машине" для лаб. СИ"

ПОЛНАЯ ЧУШЬ!!!

Возьмите и сравните результаты вашей "стендовой машины" с той с которой флешка будет использоватся! Если получите одни и те же метры (причем для 10-20 экспериментов с разными флешками и машинами) беру свои слова назад!

"А если ИБП или мышь рассматривать как ОТСС, то необходимо указать сигнальные цепи (тракты), где циркулирует опасный (тестовый) сигнал"

А где это такое написано? Вы на блок питания ПЭВМ или на блок питания монитора или на кулер или на карту secret Neta почему опасный сигнал не ищите? Потому что там нет информативных сигналов с ИБП тоже самое.

Вопрос неоднозначный по ИБП.

Единственное если информационный кабель по USB у ИБП то ОТСС однозначно из-за дополнительной случайной антены! (ИХМО)
Ну а если только для обеспечения питания то если сделайте ВТСС четких запретов в НМД нет.

Для sekira | 30692 ПОЛНАЯ ЧУШЬ!!!
По серьёзному - да, а по жизни вариантов нет.
В соответствии с положениями рукдоков ФСТЭК СИ проводятся только в лабораторных условиях, понятие объектовых СИ с 2005г. ИСКЛЮЧЕНО, на объекте только контроль эффективности (т.е. расчёт дельты).
Если следовать Вашему определению "ПОЛНАЯ ЧУШЬ!!!", то комп может эксплуатироваться только с флэшками, включёнными в состав комплекта (ОТСС) при прохождении им первичных лабораторных СИ, или же необходимо отправлять комплект ПЭВМ заново на лаб. СИ при включении в его состав новой флэшки. Заказчик наверное не поймёт.
Я совершенно не утверждаю, что полученные значения R2 на флэшку для условий тестовой и реальной машины будут одинаковы. Но что делать, вопрос нужно формально закрывать, и для объектов с зонами не менее метров 20-ти или используется САЗ - наверное имеет смысл. Дополнительно на объекте можно провести контроль эффективности для режима "ввода-вывода на флэшь" (обычно привязывают к аттестации или периодическому контролю. А вот для объектов с зонами порядка 10 метров - вопрос индивидуальный (обязательно лаб.СИ на стендовой + объектовый контроль).
Или Вы готовы предложить другой путь. Когда идёт разговор об единичной поставке конкретному потребителю, то можно как то выверить комплектацию машины со всеми внешними носителями, а если ведомство закупает десятками и сотнями ПЭВМ, потом раздаёт на объекты, потом закупают отдельно флэши и т.д., это реальная жизнь.
Ещё что касается ИБП, они тоже разные по принципу. А что касается СИ на них, Вы делаете измерения в линиях электропитания и заземления (просачивающийся опасный сигнал в отходящей линии) или по полю (рассчитываете зону 2 для ИБП как для ОТСС)?

Для 33-го.
Да, заказчик не всегда понимает, почему это дорого. Выхода 2: или втыкает что ни попадя на свой страх забесплатно, или всё по уму - и лабы, и объектовый контроль, и СП.
Зона 2 с флэхой оч. сильно зависит от типа контроллера USB и наличия удлиннителей интерфейса (антенны), поэтому никакие стендовые ПЭВМ тут не прокатят. А на ИБП зоны отдельно никто и не считает...