Проблема классификации АС - Форум по вопросам информационной безопасности

Добрый день.
При аттестации АС ГНИИ ПТЗИ на АС с 1 пользователем и администратором(разные люди) админ имеет ту же форму допуска, но по разрешительной системе, допуска никуда не имеет, сзи отсутствует - класс присовили 2А.
при переаттестации было добавлено СЗИ, класс остался 2А.
При проверке ФСТЭК комиссия удивилась классу, сказали что один пользователь и админ это класс 3А.
Так вот вопросы:
1. если АС с СЗИ, помещение режимное, хранение в 1-м отделе - АС 3а или 2а?
Без ссылок на НД от представителей ГНИИ ПТЗИ были получены разъяснения во время первичной аттестации, что один человек не может иметь разные учетные записи на одной АС.
2. на сколько это верно и где почитать?
3. классификация АС. при проверке ФСТЭК от НСД-шника получены разъяснения, без ссылок на НД, что: классификация АС осуществляется по доступу к папкам на носителе, а не по уровням допуска пользователей по механизму разграничения потоков. это верно? (то есть на арме 2 пользователя федя и вася. по потокам у них гриф один-сс. но вася в папку феди не допущен, получеатся класс 1Б. а если они допущены друг к другу то класс 2А? и предположим, что вася имеет гриф с, а федя сс, но права на доступ к папкам по умолчанию. понятно, что сзи не даст ходить куда нельзя, но как быть с классификацией в этом случае?

Отсутствие СЗИ как-то не вяжется с возможностью выдачи аттестата.
Если класс АС 3А, то пользователь должен быть один и администратор там совсем не требуется.
По п.1 - разъяснение довольно спорное, потому что один человек может в АС быть и администратором, и пользователем, и учетные записи у него на этом АРМе для администрирования и для работы с документами могут быть разными.
По п.2 - прочитать про подобные толкования и трактовки классификации АС вряд ли где сможете. Кроме самого РД АС по классификации от НСД и СТР.
По п.3 - по позиции представителей ФСТЭК, по крайней мере устной (сам лично спрашивал), если в АС обрабатывается информации сс, то и все пользователи, включая администратора (даже если он не работает с документами) должны иметь 2 форму допуска.
Федя и Вася имеют допуск, а не гриф (если только на лбу им его проштамповать). Гриф имеют документы, и если федя с васей допущены только каждый к своей папке, а к чужим нет, то класс АС соответственно 1Б.

если юзер и админ один и тот же человек, то что мешает косячить по полной, а потом под админом все вычищать за собой? весьма спорное решение..если только чтобы защиту реализовать формально, я так не работаю.
по 3 пункту-естесственно все имеют допуск. я говорю про настройку сзи на машинеё
вот смотрите, в случае если стоит секрет нет, то можно выставить права допуска по уровням конфиденциальности(контроль потоков). а еще можно выставить просто права доступа на папки (по механизмам нтфс)
так вот при проверке фстэка, представитель утверждал, что класс ас определяется именно по нтфс правам, а то что у юзеров в свойствах доступ к разным сессиям конфиденциальности типа не учитывается, это допом. насколько верно это утверждение? лично у меня квалификация этого представителя вызывает вопросы, потому и спрашиваю здесь. тут люди грамотные, всегда находили здесь ответ.
про гриф верное конечно замечание, неверно я выразился, имелся ввиду уровень допуска по механизмам секретнета (контроль потоков)

Спор стар, как РД АС. Однозначного ответа в этом РД нет, поскольку неизвестно, является ли администратор пользователем или нет.
В РД АС класс определяется исходя из прав доступа к информации, хранящейся на носителях разного уровня конфиденциальности. А если уровень один (скажем, сс), то однозначного ответа нет.
Практика показывает, что представители ФСТЭК каждый по-своему толкуют этот вопрос: приезжает Иванов, и говорит, что нужен класс 1Б, потом приезжает Петров и говорит, что 2А. И оба правы ;)
Все эти разговоры про контроль потоков - из той же серии. Пупкин считает, что плясать нужно от контроля потоков, а Бупкин - что от доступа к папкам.

Да, оп правах доступа администратора к информации в РД АС ничего не написано.

"так вот при проверке фстэка, представитель утверждал, что класс ас определяется именно по нтфс правам, а то что у юзеров в свойствах доступ к разным сессиям конфиденциальности типа не учитывается, это допом. насколько верно это утверждение?"

"Все эти разговоры про контроль потоков - из той же серии. Пупкин считает, что плясать нужно от контроля потоков, а Бупкин - что от доступа к папкам."

Вообще-то изначально доступ к защищаемой информации определяется в документе разрешительная система доступа (матрица доступа), а уже потом переносится в СЗИ от НСД. Поэтому класс определяется исходя из прав субъектов в матрице доступа, а никак не наоборот.

"неизвестно, является ли администратор пользователем или нет."

Еще как является пользователем. Открываем ГОСТ 34.003-90 и смотрим определение Пользователь автоматизированной системы - лицо, участвующее в функционировании автоматизированной системы или использующее результаты её функционирования.

"Без ссылок на НД от представителей ГНИИ ПТЗИ были получены разъяснения во время первичной аттестации, что один человек не может иметь разные учетные записи на одной АС."

Человек может иметь несколько учетных записей, только где-то необходимо зафиксировать однозначное соответствие человек-учетная запись. Например при выдачи первичного пароля, под роспись.

"При аттестации АС ГНИИ ПТЗИ на АС с 1 пользователем и администратором(разные люди) админ имеет ту же форму допуска, но по разрешительной системе, допуска никуда не имеет, сзи отсутствует - класс присовили 2А."

Вот тут вообще должен был быть 1 класс, так как права доступа к защищаемой информации различные, тогда как во 2 классе у всех одинаковые. И согласно Вашего класса защищенности администратор имеет право на работу с защищаемой информацией, содержащейся в АС.

"Открываем ГОСТ....."

Открываем РД ФСТЭК и видим:
"Администратор защиты - субъект доступа, ответственный за защиту автоматизированной системы от несанкционированного доступа к информации"
(РД "Защита от НСД. Термины и определения")
Использует ли администратор результаты функционирования АС - вопрос опять же спорный. Кстати, РД ФСТЭК по статусу выше, чем ГОСТ, поскольку ГОСТ документ рекомендательный.


"Вообще-то изначально доступ к защищаемой информации определяется в документе разрешительная система доступа (матрица доступа), а уже потом переносится в СЗИ от НСД. Поэтому класс определяется исходя из прав субъектов в матрице доступа, а никак не наоборот."

Вообще-то в РД речь идет о доступе к информации, хранящейся на носителях, и МД здесь совершенно не причем. Тем более, что при мандатном методе никакой матрицы нет, есть метки конфиденциальности, коими носители и маркируются. Если на диске с грифом СС есть две папки, то с точки зрения РД имеем доступ к информации, хранимой на носителе одного уровня конфиденциальности, а права доступа пользователей к папкам на класс не влияют. О доступе к папкам администратора РД умалчивает.

Вот собственно и здесь, сколько людей, столько и мнений. считаю что помимо рд нужно руководствоваться здравым смыслом, а не проводить защиту на бумажке.
по любому админ и пользователь не может быть одним и тем же человеком.
Да, по поводу инфы на носителях и матрицы доступа, представитель ГНИИ сказал, что носители разного уровня конфиденциальности это когда один только с, а второй сс, например. а если берем ас, где на винте 2 папки - с и сс и флешка сс, то они одного уровня конфиденциальности и класс 2А, если права у юзеров одинаковые конечно.

И все таки, главный вопрос, как ФСТЭК относится к 3А машинам с сзи, где 1 юзер и админ (уровень допуска один) ?
и изменится ли класс, если админ по матрице доступа не будет иметь доступа к докам юзера?

Читаем очень внимательно определение которое я привел, лицо, УЧАСТВУЮЩЕЕ В ФУНКЦИОНИРОВАНИИ автоматизированной системы или использующее результаты её функционирования. Администратор УЧАСТВУЕТ в поддержании уровня защиты информации в АС.

"Кстати, РД ФСТЭК по статусу выше, чем ГОСТ, поскольку ГОСТ документ рекомендательный."

Открываем РД АС, смотрим 2 абзац:
Руководящий документ разработан в дополнение ГОСТ 34.003-90, ГОСТ 34.601-90, РД 50-680-88, РД 50-34.680-90 и других документов.

"Тем более, что при мандатном методе никакой матрицы нет, есть метки конфиденциальности, коими носители и маркируются. Если на диске с грифом СС есть две папки, то с точки зрения РД имеем доступ к информации, хранимой на носителе одного уровня конфиденциальности, а права доступа пользователей к папкам на класс не влияют."

Еще как влияют, если Вы в курсе, наличие определенной формы допуска не дает Вам право ознакамливаться со всеми документами такого же грифа или ниже, а только с теми к которым Вы допущены. И здесь также, да пользователи имеют одинаковую форму допуска, но один пользователь допущен до папки с документом, а другой нет. Да пользователи допущены к носителю, но внутри носителя они допущены только к части информации, хранящейся на нем. А вот как раз СЗИ от НСД и разграничивает доступ к информации внутри носителя.

А вот доступ к защищаемой информации администратору безопасности, уже определяет руководитель эксплуатирующей организации.

"Да, по поводу инфы на носителях и матрицы доступа, представитель ГНИИ сказал, что носители разного уровня конфиденциальности это когда один только с, а второй сс, например. а если берем ас, где на винте 2 папки - с и сс и флешка сс, то они одного уровня конфиденциальности и класс 2А, если права у юзеров одинаковые конечно."

Ну для начала на носителе может храниться информация и ниже грифом, потом пункт 1.7. РД АС
К числу определяющих признаков, по которым производится группировка АС в различные классы, относятся:
-наличие в АС информации различного уровня конфиденциальности;
Ни слова о носителях, пункт 1.9 определяет признаки классов, и в нем уже идет упоминание о носителях различного уровня конфиденциальности. Теперь берем Ваш пример, где есть винт с папками и флешка, так вот в итоге винт и флешка оба сс, носители одного уровня конфиденциальности. Идем дальше, смотрим опять пункт 1.9:
Вторая группа включает АС, в которых пользователи имеют одинаковые права доступа (полномочия) ко всей информации АС, обрабатываемой и (или) хранимой на носителях различного уровня конфиденциальности.
и тут стоп, как мы может отнести АС ко 2 классу если у нас носители одного уровня (количество пользователей не берем в расчет).

"И все таки, главный вопрос, как ФСТЭК относится к 3А машинам с сзи, где 1 юзер и админ (уровень допуска один) ?"
А почему и нет? Если пользователь знает свою работу, требования защите информации, опытный пользователь ПК и СЗИ от НСД, так почему бы и нет. а насчет как относятся, то тут все зависит от Управления по округу.

"и изменится ли класс, если админ по матрице доступа не будет иметь доступа к докам юзера?"
Естественно изменится.