Ляпы в "Положении о методах и способах ЗИ в ИСПДн" (утв. Приказом ФСТЭК 5 февраля 2010 № 58) - Форум по вопросам информационной безопасности

Мужики, здесь прошу высказывать свое недоумение, опасение и негодование (с указанием пункта документа) тем кто действительно читал документ и что-либо заметил...
Начнем с "философии", выходит у ФСТЭК нет различия между понятиями метод и способ, все слили в кучу, ну эт ладно...
--
2.2. Для информационных систем
3 класса при многопользовательском режиме обработки персональных данных и равных правах доступа к ним пользователей применяются следующие основные методы и способы защиты информации:
а) управление доступом:
− идентификация и проверка подлинности пользователя при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов;
--
2.3. Для информационных систем
3 класса при многопользовательском режиме обработки персональных данных и разных правах доступа к ним пользователей применяются следующие основные методы и способы защиты информации:
а) управление доступом:
− идентификация и проверка подлинности пользователя при входе в систему по паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов;
--
Вот блин, в ИСПДн 3-го класса при многопользовательском режиме с равными правами доступа должны использоваться и идентификаторы (дыскетки, токены, таблэтки, флешки и т.п.) и еще пароли длиной не менее 6 символов, а в многопользовательской класс 3 с разными правами доступа идентификаторы не нужны, хватит и пароля длиной не менее 6 символов.... несправедливо как минимум!!!

>> идентификаторы (дыскетки, токены, таблэтки, флешки и т.п.)

С какого перепугу ты решил, что под идентификатором подразумевается именно аппаратный идентификатор? Идентификатором может быть имя пользователя, его условный номер и т.д.

Про двухфакторную аутентификацию и применение аппаратных идентификаторов другое требование есть:

2.4 При взаимодействии информационных систем с информационно-телекоммуникационными сетями международного информационного обмена [...]

использование смарт-карт, электронных замков и других носителей информации для надежной идентификации и аутентификации пользователей;

Согласен с Тест.
В СЗИ "СекретНет" к примеру в руководстве администратора перечислено, что может быть идентификатором. Имя пользователя в данном СЗИ не является идентификатором. В СЗИ Windows (серт.), идентификатор имя пользователя.

Надежность идентификации обеспечивается не только наличием у пользователя "не копируемого" идентификатора, но и выполнением орг. мер. Если в технологии нет удаленной аутентификации с неуправляемых клиентов, то считаю, что надежность идентификации внутри КЗ можно обеспечить и без использование аппаратных идентификаторов.

товарищи, ну как вы представляете идентификацию и проверку подлинности пользователя только по паролю? ведь все равно придется вводить имя учетной записи, или какой-нибудь условный код!
И вообще, как может идентификация и проверка подлинности пользователя быть только по паролю? ведь сначала нужно как-то идентифицировать себя (сказать системе кто ты т.е. идентифицировать себя), а потом доказать ей что ты это действительно ты (ввести пароль, т.е. пройти процедуру аутентификации (проверку подлинности)).
Жду ваших комментов!

Народ, а кто подскажет, в каком документе прописано что ИСПДн должны быть аттестованы на соответствие требованиям безопасности информации?

>> товарищи, ну как вы представляете идентификацию и проверку подлинности пользователя только по паролю?

А никак ;) Считаем это косяком авторов требований по классам 3Б и 1Д в РД для АС (откуда эти требования копипастом и попали в Положение), забиваем на него и руководствуемся здравым смыслом, опытом и логикой.
Если есть другие варианты, поделитесь :)

Надежность идентификации обеспечивается не только наличием у пользователя "не копируемого" идентификатора, но и выполнением орг. мер. Если в технологии нет удаленной аутентификации с неуправляемых клиентов, то считаю, что надежность идентификации внутри КЗ можно обеспечить и без использование аппаратных идентификаторов.

>> товарищи, ну как вы представляете идентификацию и проверку подлинности пользователя только по паролю?

Кстати, если уж на то пошло, пароль, как некий секрет, вполне себе может считаться идентификатором того лица, которому он известен.

Требований к надежности идентификации нет только к паролю.