Как обновлять программы, требующие прямого подключения к Интернету на ПК с конфиденциалкой - Форум по вопросам информационной безопасности

Как правильной обновлять (устанавливать) программы, требующие прямого подключения к Интернет на ПК с уже обрабатываемой конфиденциальной информацией (ПД, ДСП)?

"Как правильной обновлять (устанавливать) программы, требующие прямого подключения к Интернет на ПК с уже обрабатываемой конфиденциальной информацией (ПД, ДСП)?"

Законно - никак, т.к. ни одна схема прямого подключения не даёт гарантии безопасности, если только производитель ПО не предусмотрел это заранее (как для сертифицированных антивирусов). Нужно связываться с производителем и интересоваться, как можно создать локальное "зеркало" или иной способ передачи или регистрации без прямого соединения.
Другое дело, что обычно _для_КИ_ (при сертифицированных средствах защиты и проверенных сайтах производителя) такое нарушение никто искать не будет и опасность его пренебрежимо мала.
Чисто "для теории" можно бы скинуть КИ на другой носитель, затереть следы, поставить ПО, отключить от сети и восстановить КИ, но это скорее садо-мазо

Через фаервол.

Практик:
"...это скорее садо-мазо..."

Рассматривали варианты:
1. Переносим информацию на временный носитель, достаем сохранённую ранее версию системного диска (инсталированную при отсутствии КИ), форматируем диск, проверяем сертифицированной программой на предмет отсутствия информации, снимаем с диска пометку ДСП, ходим в интернет за обновлением на "сохраненной" ранее версии", ставим на диск пометку ДСП, возвращаем информацию и работаем.
2. Имеем на ПК два винчестера с одинаковыми ID (один клон другого с первоначальной версией системного диска без КИ). Работаем на одном, второй отключен и на нем ходим в интернет за обновлениями и обновляем с него рабочий (ДСП).

Dfg
Через фаервол.

Это не противоречит документам?

Какую цель Вы преследуете обновляя ПО?
Обновляете с целью получить новые возможности от ПО? Залатать "дыры"? Или что-то иное?

Курсант
Важна теория вопроса. Если делать что либо, то правильно, по другому не интересно. Можно ли обходится без обновлений (и вновь устанавливаемых программ), которые требуют интернета на сегодняшний день? Смотря что строят и проектируют конечно. Хорошо бы ГИПам и инженерам помочь. До аттестации установили допустим программу по "водоснабжению", а через пару лет при необходимости установки программы по "водоотведению" хотелось бы узнать мнение опытных товарищей и Регулятора по этому вопросу на сегодняшний день.

Если угроза НДВ неактуальна, если обновление ПО или установка нового ПО не будет влиять на технологический процесс обработки информации и если грамотно настроена защита от НСД, то, на мой взгляд, ничто не мешает через тот же firewall производить через интернет, через доверенные источники, обновление/установку. Само собой, производить по согласованию с органом, выдавшим аттестат.

ФСТЭК уже анонсировал выпуск в 2015-2016 годах новых методических документов, в т.ч. там есть проект документа "Порядок обновления программного обеспечения в информационных системах". Будет он касаться только ГИС или любых систем, посмотрим...

Разнесите ПДн и ДСП.

ПДн проще "закрыть". Форма проверки соответствия - на свое усмотрение (обязательная аттестация не нужна").

ДСП немного сложнее. Зависит от многих факторов, в том числе подходу местных "смотрящих". 351 приказ пункт б разрешает такое подключение, при условии использования СЗИ (Сертифицированный МЭ соответственно)

Если упрутся и будут против МЭ. Тогда предложите вариант однонаправленного шлюз-диода. Врукопашную обновляться в любом случае будет проблемнее.