Контакты
Подписка
МЕНЮ
Контакты
Подписка

Задача есть, а как решать?

Задача есть, а как решать?

В рубрику "Криптография" | К списку рубрик  |  К списку авторов  |  К списку публикаций

Задача есть, а как решать?Практический подход к обеспечению защиты персональных данных в среде Oracle

Нетривиальная задача глобальных масштабов — так в свете реализации требований законодательства по защите ПДн была обозначена ситуация, в которой оказались предприятия, использующие системы управления БД зарубежного производства. Согласно отчету IDC1, в настоящее время на рынке реляционных СУБД лидирует корпорация Oracle, контролирующая 44,3% соответствующего сегмента. По некоторым оценкам, масштаб использования ПО Oracle в отечественном госсекторе приближается к 80%. Обеспечение защиты информации, хранящейся в таких БД, сегодня является едва ли не самой приоритетной задачей для подавляющего большинства государственных структур и организаций крупного корпоративного сегмента. К настоящему времени все информационные системы, оперирующие ПДн, должны быть приведены в соответствие требованиям законодательства. Прикладное решение этой задачи грозит обернуться серьезной головной болью для большинства крупных операторов ПДн.
Александр Додохов
Руководитель направления
защиты баз данных,
компания "Аладдин Р.Д."

Технические и программные средства защиты информации (СЗИ) должны удовлетворять нормативным требованиям, то есть пройти соответствующую процедуру в системах сертификации ФСТЭК. Если мы имеем дело с высоким классом ИСПДн, то речь уже идет об обязательном применении средств криптографической защиты (СКЗИ), причем на базе ГОСТ. Иного алгоритма регулятор (при использовании СКЗИ сертификацию предстоит пройти по линии ФСБ) не одобрит. Сама же реализация требований по обеспечению безопасности информации в средствах защиты возлагается на их разработчиков.

Не все одинаковые

Твердая позиция государства в отношении обеспечения защиты ПДн граждан за короткое время привела к формированию новообразовавшегося сегмента рынка средств защиты переданных. В основном на нем представлены в срочном порядке перепозиционированные решения, "заточенные" под выполнение требований регуляторов, а также давно знакомые продукты, спешно прошедшие сертификацию в соответствующих центрах. Непростая экономическая ситуация и непредсказуемость ряда бизнес-процессов не способствуют инвестированию в разработку новых программных и аппаратных средств, призванных удовлетворить спрос, разжигаемый приближающимся часом икс. Иной подход демонстрируют немногие компании. Одна из них - "Аладдин Р.Д.", с 2004 г. занимающаяся разработкой решений для защиты данных в среде Oracle.

Что остается операторам персональных данных? Желающих заменить исправно функционирующую "буржуйскую" СУБД аналогичной системой отечественной разработки найдется немного. Тому есть немало веских причин, начиная от отсутствия прямого "товара-заменителя" и заканчивая нерентабельностью такого проекта. Между тем все СУБД зарубежных разработчиков созданы с учетом международных стандартов и там, где это требуется, используют западную криптографию (DES, 3DES, AES). Это создает весьма туманные перспективы для их аттестации согласно требованиям ФЗ "О персональных данных" и нормативной базы за авторством ФСТЭК и ФСБ.

Как и следовало ожидать, система защиты для БД Oracle базируется на флагманском продукте компании - еТокеп, ключевом носителе в формате USB-устройства. Сертифицированное по линии ФСБ новое СКЗИ получило название "Крипто БД". Система предназначена для работы со всей линейкой Oracle Database Server 9i, 10g и 11g, потенциально оперирующих с ПДн. еТокеп "КриптоБД" предназначена для:

  • разграничения доступа - каждый пользователь, включая администратора, может иметь доступ только к необходимой ему информации согласно занимаемой должности;
  • защиты доступа - доступ к данным может быть предоставлен пользователю только после успешного прохождения процедур идентификации и аутентификации;
  • шифрования данных - для защиты от перехвата шифровать необходимо данные, передаваемые по сети, а также данные, записываемые на носитель; защита самого носителя от кражи и несанкционированного просмотра/модификации хранимых в его памяти данных осуществляется иными средствами вне системы управления БД;
  • аудита доступа к данным - действия с критичными данными должны протоколироваться. Доступ к протоколу не должны иметь пользователи, на которых он ведется.

Таким образом, еТокеп "КриптоБД" представляет собой сертифицированное решение, интегрирующее основные компоненты защиты БД. Применение СКЗИ еТокеп "КриптоБД" обеспечивает соблюдение норм законодательства РФ и требований руководящих документов, определяющих состав мер и технических средств для защиты информационных систем обработки ПДн. Построение защиты в СУБД Oracle на базе продукта реализует выполнение требований для ИСПДн К2 до уровня защиты 1Г включительно.

___________________________________________
1 Worldwide Embedded Database Management Systems 2008 Vendor Shares.
АЛАДДИН Р.Д.
129226 Москва,
ул. Докукина, 16, корп. 1, этаж 7
Тел.: (495) 223-0001
Факс: (495) 646-0882
E-mail: aladdin@aladdin-rd.ru
www.aladdin-rd.ru

Опубликовано: Журнал "Information Security/ Информационная безопасность" #1, 2013
Посещений: 7760

Приобрести этот номер или подписаться
  Автор

Александр Додохов

Александр Додохов

Руководитель направления
защиты баз данных,
компания "Аладдин Р.Д."

Всего статей:  3

В рубрику "Криптография" | К списку рубрик  |  К списку авторов  |  К списку публикаций