СЗИ от НСД и угрозы - Форум по вопросам информационной безопасности

Люди добрые спасите, помогите, пожалуйста советом.

В общем, в организации создается муниципальная информационная система с классом защищенности 2.

Подбирались под этот класс СЗИ.
В том числе, купили Dallas Lock 8.0-К
Оказалось, что в ПО нет доверенной загрузки (УПД.17) - нужно было покупать Dallas Lock 8.0-С

Неужели прям так обязательно нужно соблюдать базовый набор мер для МИС?
Может быть можно избежать применения доверительной загрузки ВТ?

Как поступить, не знаю.

А нельзя ли понизить класс ИС? (вот зачем в муниципальной ИС аж второй класс?) Масштаб у вас объектовый, уровень значимости информации определяете сами (экспертно) - и вперед. Даже на региональном уровне без проблем делают 3-й класс.

Если класс все же 2, пляшите от модели угроз: обосновывайте неактуальность угрозы нештатной загрузки системы (ссылаясь на принятые вам орг. меры) и необходимость применения СДЗ отпадет (по крайней мере, на бумаге).

WORM
К сожалению от 2 класса не уйти.
Т.к. это МИС обрабатывает ПДн 2 УЗ и именно 21 приказ приказ притянул за собой 17-й. да и по 21 СДЗ для 2 УЗ нужны.

Т.е. получается, что в Моделе угроз нужно не просто экспертным мнением закрепить неактуальность нештатной загрузки ОС и БИОСа, но и доказать, что это так?


Меня смущает еще тот факт, что каждое рабочее место в этой МИС оснащено КриптоПро для использования ЭП.
Насколько я припоминаю, то в требованиях ФСБ (378 приказ) нет об этом упоминания. а следовательно только ФСТЭК.

С другой стороны в приказе ФСБ имеется требование применять средства контроля несанкционированного доступа в помещения, т.е. пломбы.
Если в каждом кабинете (кроме серверной) все пользователи МИС имеют равные права доступа к системе, то наличие на каждой двери пломабатора. по моему, отличная компенсирующая мера, как альтернатива СДЗ.
Или я неправ?

А почему 2 УЗ? Может и там можно понизить. А вообще неактуальные угрозы дают право адаптировать базовый набор требований как в ГИС так и в ИСПДн.

А почему вы взяли что "К сожалению от 2 класса не уйти. Т.к. это МИС обрабатывает ПДн 2 УЗ и именно 21 приказ приказ притянул за собой 17-й"
Я такого в документах не встречал.

И с чего Вы взяли, что программное средство - К, С или иное, обеспечит доверенную загрузку? Посмотрите приказы, на которые сами ссылаетесь, там определено, что такое не доверенная загрузка - прежде всего, это загрузка другой системы, т.е. с иного накопителя. А это уже плата расширения BIOS.

sekira
Понизить к, сожалению не получится - проверенно на 100 мильёнов раз.
Ну то есть не приказы тянут, а
выполнение пункта 27 приказа № 17
(информационное письмо ФСТЭК от 15 июля 2013 г. № 240/22/2637)

Т.е. Все таки в моделе угроз указать, что неактуальная и на этом остановиться или писать километровые тексты почему я так считаю?



А.Ю. Щеглов
В приказах описания, что должны обеспечивать СДЗ - нет.
Зато есть в методичке ФСТЭКа:
-----
Требования к реализации УПД.17: В информационной системе должно обеспечиваться исключение несанкционированного доступа к программным и (или) техническим ресурсам средства вычислительной техники информационной системы на этапе его загрузки.
Доверенная загрузка должна обеспечивать:
блокирование попыток несанкционированной загрузки нештатной операционной системы (среды) или недоступность информационных ресурсов для чтения или модификации в случае загрузки нештатной операционной системы;
контроль доступа пользователей к процессу загрузки операционной системы;
контроль целостности программного обеспечения и аппаратных компонентов средств вычислительной техники.
В информационной системе применяется доверенная загрузка на разных уровнях (уровня базовой системы ввода-вывода, уровня платы расширения и уровня загрузочной записи).
-----
Как это реализовано конкретно в Dallas Lock 8.0-С я не видел, только прочитал в документации.
Но видел, как это реализовано Dallas Lock 7.7 (или 7.5 не помню).
Там даже что бы в БИОС зайти требуется ввести пароль доступа в интерфейсе Dallas Lock и так при каждой загрузке: сначала один пароль на низком уровне, а потом пароль на уровне ОС.

2 Балбес | 60682: <каждое рабочее место в этой МИС оснащено КриптоПро для использования ЭП>
Если там не КС1 - то соболь/аккорд обязательно! Вот Вам и доверенная загрузка ;)

на 60682
с 1 января 2014 г. сертификация средств защиты информации, реализующих функции доверенной загрузки, в системе сертификации ФСТЭК России проводится на соответствие Требованиям к средствам доверенной загрузки, утвержденным приказом ФСТЭК России от 27 сентября 2013 г. N 119. ( ИНФОРМАЦИОННОЕ ПИСЬМО Об утверждении Требований к средствам доверенной загрузки от 6 февраля 2014 г. N 240/24/405).

Модуль доверенной загрузки Dallas Lock 8.0-C сертифицироваться по данным требованиям не будет, соответственно использовать его для закрытия требования УПД.17 нельзя. Можно использовать только как дополнительный защитный функционал.
Также стоит отметить что средство доверенной загрузки уровня загрузочной записи (как это и реализовано в Dallas Lock) можно использовать только для 3,4 класса защищенности . Для более высоких классов это должна быть плата расширения или BIOS (UEFI) в сертифицированном исполнении

ustav
Откуда это?
378 ФСБ приказ не говорит об этом.

simm
можно использовать только для 3,4 класса защищенности
Из какого это документа?