СЗИ от НСД и угрозы - Форум по вопросам информационной безопасности

Уровень криптозащиты определяется в соответствии с моделью нарушителя. А состав поставки для различных исполнений СКЗИ есть в формуляре на КриптоПро (для КС2 и выше обязательно требуются доверенная загрузка и аппаратный ДСЧ).

На:
Там даже что бы в БИОС зайти требуется ввести пароль доступа в интерфейсе Dallas Lock и так при каждой загрузке: сначала один пароль на низком уровне, а потом пароль на уровне ОС.

В этом Вы принципиально ошибаетесь! Это не имеет никакого отношения к BIOS - это решение на уровне загрузочного сектора загружаемой ОС. Если будет загружаться эта (штатная) ОС - с конкретного носителя, будет запрос пароля до начала (в определенном смысле) ее загрузки, если с другого носителя - запроса пароля не буде. Другими словами - это "бантик", а не механизм защиты.

А требования из документы Вы привели верно!

" Все таки в модели угроз указать, что неактуальная и на этом остановиться или писать километровые тексты почему я так считаю? "

Есть Методика ФСТЭК 2008 года, там актуальность угрозы определяется исходя из ее вероятности и опасности (для субъекта ПДн). И то и другое определяется экспертным методом с учетом принятых мер защиты.
Например, если у вас помещения, где установлены тех. средства, под охраной, опечатаны, вход регламентирован (списки и т.п.), вы можете написать, что благодаря принятым орг. мерам угроза нештатной загрузки ОС будет маловероятной. А даже если она и случится, то ущерб для субъекта будет незначителен. Следовательно (по табличке из Методики) угроза неактуальна.

to Балбес
Тов. WORM дело говорит! Еще в Модели можно рассмотреть состав потенциальных нарушителей. Если внутренних нет (или есть, но по случайности/незнанию), а внешним в помещения с СВТ несанкционированно проникнуть не получится - можно обосновать отсутствие необходимости в доверенной загрузке. Орг. меры в качестве компенсирующих мер, все в разумении положений 21 и 17 приказов. Впрочем, конечно, можно попасть на регулятора-буквоеда, который задаст резонный вопрос "Написано в НМД - а где оно у вас?"
Еще неплохо было бы разобраться с местом хранения (и системой предоставления доступа к) самой конф.инф./ПДн. Если она не хранится на постоянной основе в памяти рабочих станций - на кой черт там доверенная загрузка (во всяком случае с позиции угроз конфиденциальности)? Можно долго спорить, что без ДЗ на рабочей станции возможны атаки с нее с использованием функционала загружаемой в обход сторонней операционной среды. Но тут опять возвращение к типу/потенциалу/возможностям нарушителей. Игра в актуально/не актуально...
Касательно КриптоПРО. Электронная подпись не может являться самостоятельным средством защиты конф.инф./ПДн в части свойств конфиденциальности и доступности. Узнайте, для чего конкретно установлено КриптоПро (и нет ли к нему доп. требований от тех, кто заставил его установить). Есть подозрение, что для типового отчетно-протокольного взаимодействия с другими ведомствами/организациями/администрациями и т.п. Тогда не думайте о криптухе, требованиях по доверенной загрузке для нее и т.д. Хотя бы потому, что наличие этого КриптоПро - не часть функционала системы защиты информации для развертываемой МИС по отношению к решаемым в ней задачам (если я правильно понял о главенстве обработки ПДн обращающихся в МИС субъектов).

to А.Ю.Щеглов
Вся соль в назначении. Ведь пытался с вами подискутировать, но, почему-то, вы не пришли (http://itsec.ru/forum.php?sub=10567&from=-1)... Бантик или нет, но защита MBR + кодирование (читай, шифрование) используемой файловой системы - достаточный способ обеспечения конфиденциальности информации, не правда ли? Допустим (и 17 приказ разрешает) целостность и доступность ИС (узлов ИС) нас не волнует - можем применять DL8.0-C или СТРАЖ с их механизмами уровня загрузочной записи. Тут проблема в другом - тов. simm верно подметил - для 2 и 1 классов защищенности уровень загрузочной записи, увы, не разрешен. Впрочем, де-юре, у DL и СТРАЖ вообще отсутствуют сертификаты в области средств доверенной загрузки...

Для oko:
Только не нужно, говоря о каком-либо кодировании, "читать" шифрование, особенно, если Вы знаете "свежие" требования к шифрованию, реализованные, например, в последних версиях Крипто Про. Кодирование - это опять же "бантик" для не особо разбирающихся! Нужно шифрование - реализуйте его как следует, а не какое-либо кодирование, о котором лучше "забыть", чтобы не вызывать раздражения у специалистов!

В остальном полностью согласен!

to А.Ю. Щеглов
Ранее уже упоминал, что названо "кодированием", чтобы не получать лицензию ФСБ на производство СКЗИ - собственно, таков посыл разработчиков обоих приведенных мною СЗИ НСД. Фактически и реализацию AES256 можно назвать кодированием. А в DL8.0-C одним из вариантов является Магма, пусть и без гаммы. Так что механизм "достаточно" стойкий, если говорить о доверенной загрузке (в части защиты загрузочного носителя от раскрытия на месте), а не о защите диска от выноса за пределы КЗ и раскрытия с использованием доп.средств.

PS Опять вопросы ДЗ не в той ветке форума обсуждаем...

Поправочка (а то еще к словам прицепятся, как на этом форуме многие любят делать): вместо "чтобы не получать лицензию ФСБ на производство СКЗИ" читай "чтобы не сертифицировать СЗИ НСД по линии ФСБ как СКЗИ".

Всем больше спасибо содержательные комментарии.
Много чего интересного написано, что-то понятно, что-то нет.

----
для ustav
>Уровень криптозащиты определяется в соответствии с моделью нарушителя.<
Модель нарушителя - это нужно, да и есть проект. Только как мне видится, для ПДн (даже если это муниципальная или государственная ИС) нет необходимости в уровне КС2 и выше. Тем более, когда организация находится в отдельно стоящим здании - одна и только одна и имеются прочие орг. меры, которые, например привели WORM и oko.
Да и вообще, КриптоПро нужны для подписания документов (содержащих ПДн) ЭП.

для А.Ю. Щеглов
(по поводу бантика)
Это, кстати говоря, хороший аргумент, что смысла покупать DL8.0-C ради ДЗ - нет.


для WORM
Если опираться на методичку по моделированию угроз от 2008 года, то там предлагается фактически определить Показатели исходной защищенности ИСПДн, рассчитать коэффициента реализуемости и т.д. а потом исходя из полученных данных определить актуальна угроза или нет - методика известна пересказывать не вижу смысла.
Получается, что для каждой неактуальной угрозы нужно еще и объяснения давать.почему так?
Или это нужно только в тех случаях, когда адаптируется базовый набор мер, для той же ДЗ или это вообще отдельным документом нужно определить, как дополнение?

для oko
>Написано в НМД - а где оно у вас?<
Так вот в этом и суть всей темы - можно ли быть уверенным, что при достойных объяснениях регулятор-буквоед не посчитает это нарушением.
Если подумать, то даже в 17 и 21 приказах имеются отсылки на модель угроз и компенсирующие меры.

Отсылки есть, а законодательной доступной для понимания без разночтений связи - нет. Фактически сейчас требования Приказов отдельно, Модель отдельно. И все эти разговоры об адаптации работать будут (дай бог) только после подписания новой методики по моделированию актуальных угроз, которая Проектом имеется еще с мая 2015. И то не факт, поскольку в Проекте также не было доступно описано, что, с чем и как.

Резюмируя: уверенности от буквоедства не будет однозначно. С другой стороны, вопросы будут в первую голову не к эксплуатантам МИС, а к организации, проводившей аттестацию.

Для oko:

Специально для Вас, нравится мне с Вами общаться (пусть и есть разногласия, это нормально). Для всех желающих, соответственно также.
Приглашаю Вас посетить ТБ Форум 2016 (с 09 по 11 февраля 2016 г. в Москве), там будут представлены (на выставке) наши КСЗИ и СОК "Панцирь+" на нашем стенде (приняли решение об участии). Сможете реально вживую с комментариями наших специалистов познакомиться с нашими системами, технологиями, оценить их преимущества! Сейчас обсуждаем с организаторами возможность проведения семинара на тему "Новые технологии защиты информации и запатентованные технические решения". При принятии соответствующего решения сообщу дополнительно! Ждем Вас на нашем стенде! По понятным причинам на стенде не будет ни меня (как директора), ни программистов, но Вам все подробно расскажут наши представители - для первого знакомства с нашими продуктами этого будет достаточно! Ждем.

Приглашаем всем желающих, все покажем, обо всем расскажем, почувствуете РАЗНИЦУ!