Использлвание терминального сервера и "тонкого клиента" при обработке ПД - Форум по вопросам информационной безопасности

Здравствуйте. Подскажите, пожалуйста.

Имеется:
Бюджетная организация, районная больница, категория ИСПДн первая.

Вопрос:
Возможно ли использование терминального сервера и "тонких клиентов" для обработки ПД категории 1.

Единственная организация, имеющая лицензию на проведение всех работ по ПД в нашем регионе, насчитала на весь комплекс мероприятий по защите и аттестации 25 рабочих мест чуть более одного миллиона рублей. И сказали, что использлвание терминального сервера и "тонкого клиента" при обработке ПД невозможно по причине присутствия на "тонких клиентах" USB портов и невозможности установить на них SecretNet.

Спасибо.

P.S. Требования предъявляемые к ИСПДн категории 1 ПАРАНОИДАЛЬНЫЕ.

Добрый день!

Требования действительно жесткие. А кто Вам сказал, что у Вас ИСПДн первой категории? Те же ребята, которые насчитали миллион? Тогда мало насчитали!
Кроме того, помимо Секнета есть продукты и для тонкого клиента.

ПД первой категории, т.к. содержат данные о здоровье (поликлиника и больница)
Для районной больницы 1 000 000 рублей уже неподъемная сумма, а Вы говорите мало.

Не отчаивайтесь, не все так плохо.
Да, на тонкий клиент СЗИ не установить, но едь есть разные средства защиты.
Мы использовали КСЗИ "Панцирь-К" на терминальных серверах (и 2003, и 2008). Многие задачи защиты можно эффективно решать установкой СЗИ на сервере. Например, доступ к накопителям, подключаемым к USB тонкого клиента, можно разграничить на сервере, как к объектам файловой системы (при монтировании накопителя в файловой системе сервера появляется файловый объект с достаточно сложным именем - к нему не должен разрешаться доступ). И т.д. и т.п.
А вообще serge331 прав, существуют разные СЗИ с разными возможностями, "посмотрите по сторонам", думаю, найдете решение.
А стоимость данной услуги (на 25 рабочих мест) 1 млн., на мой взгляд, крутовато для любого региона. Объявите тендер и снизите цену в пару раз.
Удачи.

Давайте уточним детали. Класс ИСПДн определяет оператор - это принципиально. См. и нормативно-методические документы ФСТЭК, и совместный приказ ФСБ/ФСТЭК/Мининформсвязи, определяющий процедуру классификации. Там несколько другие от приведенных Вами критериев.
Данные же о здоровье являются конфиденциальной информацией (188 Указ) и должны защищаться по СТР-К. А это уже совсем другая песня!
Ваш случай один из самых тяжелых, но не смертельный. Есть и подходы, и юридические тонкости (лазейки).
Теперь о цене. Подготовка ТЗ, пакета документов, приобретение лицензированных ОС, сертифицированных средств СКЗИ и НСД, согласование д-ов и, тематические исследования, реализация всяческих мер и т.д........И за это "лимон" много?! Так что это стоит разобраться, что Вам предлагают за эту сумму- то что требуется или то, что могут (читай - умеют).

Спасибо за ответы. Вышестоящая организация только с принятием закона 152-ФЗ зашевелилась.

Из коммерческго предложения:
1.Аудит (Обследование)
1.1 Проведение обследования и информационного аудита по защите ПД
14 000,00
2. Разработка документации 45 000,00
2.1 Разработка организационной документации по зщите информации
30 000,00
2.2 Разработка технического задания и решения (проекта) по защите ПД
15 000,00
3.Продажа технических средств защиты инфоормации 440 580,00
3.1 Программный продукт Secret Net 5.0 - C (автономный вариант) 26*5 964,00=155 064,00
3.2 Электронный замок «Соболь» в комплекте с идентификаторами DS-1996
26*9 366,00=243 516,00
3.3 Установочный комплект. Secret Net 5.0-C (автономный вариант). 1*400,00=400,00
3.4. Kaspersky Internet Security 7.0 Russian Edition. 1-Desktop 1 year Base Box
26*1 600,00=41 600,00
4. Пусконалдочные работы 96 200,00
4.1 Установка и настройка клиентов сервера безопасности/автономной версии/мобильной версии
26*2 500,00=65 000,00
4.2 Установка и настройка Электронного замка «Соболь»
26*1 000,00=26 000,00
4.3 Установка и настройка антивируса
26*200,00=5 200,00
5.Аттестация 490 039,20
5.1 Генератор шума Соната-Р2
1*18 600,00=18 600,00
5.2 СП ПК в составе: блок питания, материнская плата, процессор, оперативная память - 1 шт., видеокарта, аудиокарта, FDD, HDD, оптический привод, штатные аксессуары, Монитор до 19, Клавиатура, Манипулятор «мышь»"
26*9 187,20=238 867,20
5.3 СП ИБП до 1000 ВА
26*3 480,00=90 480,00
5.4 СП принтера А4 (матричного, струйного, лазерного монохромного)
1*2 644,80=2 644,80
5.5 СП сетевого фильтра
26*139,20=3 619,20
5.6 СИ (на ПЭМИН) компьютера в составе: системный блок, монитор, клавиатура, манипулятор "мышь", принтер
26*4 278,00=111 228,00
5.7 Проведение аттестационных испытаний и выдача заключения шт.
1*24 600,00=24 600,00
ИТОГО 1 085 819,20

Да уж...
Даже если и не обращать внимание на SN 5 то я не совсем понимаю, зачем Вам Соболь, т.к. TMC-2 стоит приблизительно в 4 раза дешевле.
И так ли уж Вам необходимо проведение СП?
P.S. Т.к. протоколы СП содержат уже нечно более солидное чем "ДСП", напрашивается вопрос всегда ли у оператора ПД(пусть и 1 класса) должна быть лицензия ФСБ на работу с ГТ.

День добрый!

Диагноз подтвердился: исполнители предлагают то, что умеют. Причем именно так, как они себе это представляют. Объективно: для ПДн решение сильно избыточное, а для конфиденциальной информации- явно недостаточное. Критиковать их здесь не хочу - неблагодарное это занятие. И это их бизнес. Укажу лишь одно. Отправная точка для Заказчика: примите решение о том, что Вы защищаете - персональные данные или медицинскую информацию. Это главное! Далее существуют рабочие варианты.
Захотите, пишите в приват: serge331@yandex.ru.

С искренним пожеланием успехов!

Требования по ПДн выше чем по конфе! Но кое что из сметы можно выкинуть! Интересно как они одним ГШ закроют 26 машин? /
А так получается что работы по аттестации стоят 1 из 26 машин 4946 с копейками!Гы-гы, это оч дешево!

Г-н AkANz,
с какой целью Вы выложили здесь столь подробно свои "беды"? Вам конкретный поставщик услуг предлагает некое решение за какие-то деньги. Обсуждать его предложение бессмысленно, это его право! Если Вас это не устраивает, ищите иного продавца подобных услуг, уж чего чего, а их хватает. Сформулируй свою проблему, свои пожелания в части решения (в Вашем случае, естественно, это должна быть обработка на тонких клиентах, зачем что-то переделывать, что Вам не нужно, да еще за Ваши деньги - только на средствах и на их установке здесь можно выгодать тыс. 200-300), разошлите с просьбой представить коммерческое предложение в десяток профильных компаний, за пару дней получите результаты, сделаете выводы и примите решение. Куда уж проще!