Аппаратная блокировка USB-портов на станках с ЧПУ без гостайны - Форум по вопросам информационной безопасности

Господа, может кто-нибудь сталкивался с подобной задачей и может подсказать какое-нибудь толковое решение? Прошу не стесняться - высказываться :)

В прошлом тысячелетии мы неиспользуемые порты ПЭВМ тупо опломбировали (бумажкой с печатью и подписями комиссии) - самый бюджетный вариант, если порты используются редко. Иначе проблема проверять ПО ЧПУ на совместимость с утилитами, блокирующими USB, и то нет гарантии, что в каком то режиме не будет конфликтов)))
Для "научного" ответа нужно еще знать, обязательно ли наличие сертификата на это средство защиты (т.е. характер защищаемой информации), а затем либо подобрать утилиты любым поисковиком, либо изучать перечень сертификатов ФСТЭК.

Сразу вопросы:
1. Нужно подключать доверенные устройства или нет?
2. Что внутри станка? Там может быть абсолютно разная начинка как по железу так и по софту.
3. Кому вообще доверять и в какой степени? Кто обслуживает электронику станка и можно ли этим людям доверять?

Наиболее простой и дешевый путь - механическая блокировка или опечатывание, использование нестандартных разъёмов, возможно с дополнительными контактами. Но против человека который может залезть внутрь это не эффективно.

1. Да, нужно достаточно часто подключать свои устройства для загрузки новых управляющих программ.
2. Внутри станков чего только нет: и DOS и Windows, какие-то свои ОС, различные пользовательские интерфейсы. Есть как floppy-накопители, так и USB-разъемы. Сеть не используется, хотя и есть на 60-80% станков.
3. Есть группа своих специалистов, со своими условно "учтенными" носителями, которым мы доверяем и которые как раз и обновляют программы, и есть приезжие, которым доверия нет. Приезжие могут (желают) подключать свое оборудование для тестирования и наладки станков.

В настоящее время тоже склоняемся к механической блокировке портов и грустим о невозможности контроля приезжих специалистов (подразумеваются специалисты производителя станка) в силу разного рода допущений.

Попробую перефразировать вопрос: какие по-крайней мере механические USB-блокировщики можно считать нормальными? По тем, которые мы находили - есть видео на youtube как их снимать на раз-два :(

Чисто ИМХО:

Серийно выпускается только USB Security Lock, который специалист с инструментами снимет . Та же участь ждет самодельный аналог - на производстве подобрать мгновенный клей и пр. не проблема, а замок вмонтировать некуда, Если только убрать системник в запираемый ящик и вывести наружу только провода.
Остаётся отключить стандартные USB разъёмы внутри корпуса (это обратимо - при ремонте и пр. можно включать) и вывести провод с удлинителем из USB тип B (как для принтера; если USB тип B 3.0, то найти такую пару для "левого" удлинителя очень тяжело). Для своих сделать ответную часть удлинителя в нужном количестве экземпляров.
Если "нарушитель" имеет доступ внутрь корпуса системника, то, в пределах разумных сил и средств, борьба с ним неперспективна.

Быстро и недорого - только механическая блокировка.
Если нужно часто подключать свои устройства то желательно организовать учёт носителей или принудительное шифрование.
Если операционная система станка разная то унифицировать учёт носителей и шифрование не получится. Но можно разделить станки на группы и пытаться для каждой группы искать решение сообразно ценности информации.