Гнать ДСП через локальную сеть организации - Форум по вопросам информационной безопасности

Доброго дня!
Люди добрый проконсультируйте, пожалуйста.


Информация ДСП.
Цель:
Передать её от одного рабочего места внутри большой ЛВС до VipNet Координатора, чтобы потом по VPN через интернет направить куда нужно.
Как правильно передать ДСП трафик от рабочего места до Координатора?

На первый взгляд напрашивается такая схема:
Ставим на ДСП компе сертифицированный МЭ.
На коммутаторах, которые обеспечивают путь до Координатора (2-3 шт.) настраиваем VLAN (в том числе транковые порты, чтобы они пропускали этот трафик между коммутаторами).
И на последнем коммутаторе уже организуем подключение к HW-ке.
Дальше еще планируется аттестация РМ.


Технически - это простое дело, а вот интересно как на такую схему посмотрит регулятор?

При наличии VipNet Coordinator напрашивается
- установить VipNet Client на АРМ и передавать зашифрованные данные прямо от АРМ до конечной точки....

+1 тов. nekto
Это самый верный вариант без костылей типа "обоснуй защищенность vlan", ага...

to Персеверанс
Вообще, как уже многократно говорилось, ДСП в реальном виде - это информация гос.характера. Сиречь, нормативы ее защиты в конкретной организации-подведе должно решать конкретное же ведомство. И именно туда надо задавать вопросы в стиле "как правильно". Исходя из их типовой Модели угроз и иных обязательных правил и ограничений...

nekto
oko

Не хочу тут пересказывать Санта-Барбару, но суть простая:
1) Мы и есть гос. организация.
2) У нас сейчас временно нет безопасника. И обязанности формально возложили на меня.
В общем-то, понятие технологий обеспечения ИБ я вполне себе понимаю, но нормативку - почти не знаю.
3) На самом деле, в первом сообщении написано мнение пары человек, которые пришли из дружественной организации к нашему руководству и сказали, что у вас (нас) всё куплено - вот так сделаете и все будет круть.

Если по существу:
1) Я предлагал прикинуть от АРМ ДСП кабель (в нашем случае - оптику) до координатора. И будет такая автономная система.
2) Но для этого надо купить либо 2 медиаконвертера и оптический кабель.
А ещё, скорее всего, нанять специалистов, которые умеют грамотно протягивать оптоволокно.
За деньги да, короче.
3) Но вариант с шифрованием трафика - это тоже вариант.
Единственное, насколько я понимаю - чем больше в организации (особенно гос организации) разного рода крипто средств, тем больше бумаг надо вести (всякого рода журналов, заполнять формуляры, приказы, ответственных назначать).
4) С другой стороны.
Люди из дружественной организации напирают на то, что АРМ ДСП будет за сертифицированным МЭ, а то, что трафик ДСП будет проходить через общее оборудование, то во-первых, через собственный VLAN, ну и вообще у вас КЗ ведь.

Нехай тогда люди из "дружественной организации" вам Аттестат на такую систему и выдадут, а также будут "под рукой" на каждой проверке регуляторов. Тогда делайте как договоритесь и не парьтесь (ровно до момента окончания дружбы или замены указанных людей, ага)...
А так... Ежели у вас уже есть Координатор, то покупка, встраивание и фиксация одного Клиента - не стоит даже времени, затраченного на выслушивание советов форумописателей или иных доброжелателей...
Другое дело, что по-хорошему для принятия решения вам нужна Модель угроз и нарушителя и нужно знать тонкости классификации вашего сферического "АРМ ДСП" (сразу совет - раз вы гос.организация и тем более обрабатываете ДСП, то цельтесь не в замшелые АС, а в свежие 117 Приказы обоих регуляторов и 77 Приказ ФСТЭК за 2021 г.). Ибо может статься, что для полноценной реализации "по букве" нужен будет не только ViPNet Client и уж точно не изоляция на уровне некоего ТКО VLAN пусть и внутри КЗ...

от 11 апреля 2025 г. № 117

oko
спасибо.
По 117 приказу вопрос больше, чем ответов:
1) В п. 36 говорится:
Модель угроз безопасности информации в случае ее разработки должна использоваться в качестве исходных данных для разработки и внедрения мер по защите информации, а также для выбора средств защиты информации и их функциональных возможностей в ходе создания (развития) подсистем защиты информации информационных систем.
При этом в пункте 62 указывается, что:
Мероприятия по реализации в информационных системах мер по их защите и содержащейся в них информации должны включать:
реализацию базовых мер защиты информационных систем и содержащейся в них информации соответствующих классов защищенности, устанавливаемых оператором (обладателем информации);

то есть использовать базовый набор мер, адаптированный под под архитектуру ИС.

При этом, базового набора мер, с привязкой к классам - нет.

2) И еще есть такая фраза:
Для информации, которая отнесена к информации ограниченного распространения и для носителей которой установлена ограничительная пометка "для служебного пользования", должен быть установлен УЗ 1.
Она, типо вообще снимает все вопросы или наоборот их ставит...
Опять же, где взять базовый набор мер с привязкой к классу? В 17 приказе, который отменён, чтоли?

to Персеверанс
С базовым набором, да, промашка, спешно закрываемая проектом Методики, недавно выложенном на сайте регулятора для обсуждения. Модуль экстрасенсорики подсказывает, что его можно пользовать уже сейчас - вряд ли что-то значительно поменяется, да и упрекнуть в этом никто не сможет...
Иной подход - за неимением официального базового набора определить сразу итоговый перечень, качественно промоделировав угрозы. Артикулы и описание мер безопасности же взять хоть из 17 Приказа, хоть из проекта новой Методики (второе проще, там все меры подогнаны под 117 Приказ)...
В любом случае, будет желание докопаться - докопаются. Но пускать ситуацию на самотек, ничего не делать, а потом спешно-обморочно что-то клепать при вступивших в силу 117 Приказе и наличии уже утвержденной Методики - выйдет значительно дороже. По нервам уж точно, ага...
Что же до УЗ1 - в чем проблема? Класс можно посчитать, меры можно прикинуть...
А по 117 Приказу "другого регулятора" (если замахнуться на защиту через криптосеть ViPNet Coordinator+Client) можно и без базовых мер для начала обойтись. Но да, дьявол кроется в деталях - нужно и нормативку хорошо изучииь, и классы посчитать, и с выбором СКЗИ не ошибиться при этом...

oko
Спасибо!
Особенно за подсказку про проект методички. Нашел.

"Что же до УЗ1 - в чем проблема? Класс можно посчитать, меры можно прикинуть..."
Вот тут вообще непонятно.

Сама фраза несколько странная:
1) Для информации, которая отнесена к информации ограниченного распространения
Скажем так, вся информация, которая не должна быть разглашена - относится к информации ограниченного распространения: от персданных до гостайны.
А про дсп говорится только как про пометку на носителях. Ну ок - дсп, ведь регламентируется 1233, там это пометка.
Но почему бы было просто не написать что-то типа:
"При обработке информации, носители которой содержат пометку "для служебного пользования", должен быть установлен УЗ 1".

2) Кроме того, УЗ 1 не оставляет вариантов, кроме как применять класс К1.
Приплыли.

---------------------

Вообще, 117 четко определяет, как я понял, что шифрования он не касается.

Типа, сами решайте.
А что значит сами.
Возьмем приказ ФСБ России от 18 марта 2025 г. N 117.
"1. Информация, содержащаяся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений 1, подлежит защите с использованием шифровальных (криптографических) средств защиты информации 2 в случаях, если:
в ИС осуществляется передача информации по каналам связи, проходящим за периметром охраняемой территории предприятия (учреждения), ограждающих конструкций охраняемого здания, охраняемой части здания, выделенного помещения"

Но, что считать контролируемым помещением? - тоже вопросю

Вот, например, у нас сотни пользователей.
Инфраструктура распределена между коммутаторами по зданию.
В места, где находятся эти коммутаторы имеют доступ не только люди, специально уполномоченные приказом, но например, уборщицы и еще пара человек, обслуживающих здание.
Это с одной стороны.

С другой стороны, очень маловероятно (по ощущениям), что они смогут перехватить трафик с коммутатора.

И тогда из того же приказа ФСБ:
"2. Необходимость использования СКЗИ для защиты информации, содержащейся в ИС, подлежит обоснованию в модели угроз безопасности информации, техническом проекте и техническом задании на создание (развитие) ИС.
Модель угроз безопасности информации и (или) техническое задание на создание (развитие) государственных информационных систем подлежат согласованию с ФСБ России в части криптографической защиты информации 1."

Возможно люди из "дружественной конторы" и правы - зона у вас контролируемая, так что ничего страшного, что дсп информация будет гоняться по общей локальной сети*.
От себя: в модели угроз это зафиксируем и порядок.... наверное.

----
* Кстати, гонятся-то она, возможно будет, таки, в зашифрованном виде, но с помощью несертифицированного TLS-шифрования.

Чисто интуитивно мне кажется, что если применять сертифицированное шифрование, например, КриптоПро TLS использовать, то это будет правильно, как сточки зрения логики (что информация шифруется), так и с точки зрения регуляторов (что СКЗИ сертифицированные).

Но вот обосновать начальству я это, прям, не уверен, что смогу - не буду же я ему втирать, что уборщицы перехватят трафик с коммутатора... особенно таки все же будет VLAN - как ни крути, но это технология сегментирования сети, а игры с сертификацией - это все от лукавого.

to Персеверанс
Тов. oko уже не тот, что раньше - плохо справляется с полотнами неструктурированного текста и особенностями форматирования форумного движка, увы. Так что лучше бы четкий список проблемных моментов/предложений - дискуссия была бы продуктивнее. Но тем не менее...

Primo, [почему бы было просто не написать что-то типа] - потому что носители с пометкой/грифом не всегда содержат именно ИОД. Во всяком случае вне ЗГТ-тематики. Т.е. пометка на той же USB Flash есть, а вот содержаться там может вполне общедоступная информация. По разным причинам...

Secundo, [Кроме того, УЗ 1 не оставляет вариантов, кроме как применять класс К1] - вот именно. А это нарушитель "с высоким уровнем возможностей". Так что следует предполагать и его активность "в пределах КЗ", тем более в таких пределах, куда и уборщица заходит, и другие недопущенные лица тоже могут спокойно попасть...

Tertio, КриптоПро TLS (да и TLS в принципе) - это защита на L7, когда ваше "АРМ-с-ДСП" взаимодействует по одному конкретному протоколу с одним конкретным ресурсом (или группой одинаковых ресурсов). Но модуль экстрасенсорики подсказывает, что у вас по схеме "АРМ-с-ДСП -> какая-то тонна ТКО на этажах -> ViPNet Coordinator -> целевая ИС" гоняется разнородный трафик...

Last. У ФСБ, конечно, своя классификация нарушителей. И да, по их 117 Приказу тоже многое определяется Моделью. Но, imho, не следует пытаться собирать дрова под дождем - сиречь, откиньте в сторону КриптоПро TLS, купите и поставьте ViPNet Client КС3 (с АПМДЗ, ага) и опишите в Модели, что внутри вашей условной КЗ нарушитель может быть не выше Н3 (а за пределами - без вопросов, какой угодно пусть будет - это уже на совести тех, кто стык Coordinator-Coordinator организовывал). И уверен, что к таком решению ни у одного 117 Приказа претензий не будет...

ЗЫ Однако, напоминаю, что советы тов. oko касаются "сферических ситуаций в вакууме", ибо тов. oko на указанных ОИ зачастую полноценного обследования не проводил, его специфики и условий не знает и судит только по тому, что расписывает топикстартер и другие товарищи (при их наличии)...