Организация удаленного доступа - Форум по вопросам информационной безопасности

Добрый день. Возник вопрос следующего характера:
Есть система класса К2. Клиент хочет организовать в ней удаленное администрирование. Подскажите пожалуйста требования к такой организации( или ссылки на документы с необходимой информацией)

Удаленное администрирование имеет нюансы. Например,

- будет ли осуществляться удаленное администрирование в одном здании, но из разных помещений?
- либо удаленное администрирование будет происходить из другого здания но по выделенному каналу передачи данных?
- либо удаленное администрирование будет происходить из другого здания по незащищенному общему каналу данных (например, через ЛВС районного провайдера)?

Что касаемо требований, то они приведены в Приложении к Приказу №58: http://fstec.ru/_docs/doc_781.htm

Для следования требованиям необходимо защитить канал связи сертифицированными криптосредствами (организация vpn например). И не важно в одном здании или даже помещении, или за 100 тыс. км. (исключение - вся сеть ЛВС защищена с соответствующей аттестацией, в которую входят и защищаемая система, и машина(-ы) с которых будет осуществляться удалённый доступ.)

Фактически можно в документации не описывать систему как рапределённую, и не указывать, что осуществляется удалённый доступ другими надёжными (или не надёжными) по вашему мнению средствами ;-) в таком случае можно получить подзатыльник от Роскомнадзора, если кто-то сольёт инфу.

Это относится к сети с выходом в общедоступную сеть. Как-то так.

Я так полагаю, у автора темы аттестованная АС, вся ЛВС этой АС находится за МЭ и автор интересуется как дополнить АС ещё одним АРМ'ом для удаленного доступа.

Тут как раз и играет роль одно или несколько зданий и своя ли среда передачи данных. Если можно воткнуться в МЭ, относящийся к аттестованной АС, то никакой криптографии не нужно, но, если придётся соединять два МЭ, то между ними следует поднимать шифрацию.

Уточню своё предложение:

>> но, если придётся соединять два МЭ, то между ними следует поднимать шифрацию.<<

Само собой, шифрацию нужно поднимать, если среда передачи данных между двумя МЭ общедоступная и не контролируется. Если поднимать связь между двумя МЭ в одной аттестованной серверной, то конечно шифрация не нужна.

А зачем два МЭ в одной серверной? Вернее даже не их присутствие в одной серверной удивляет, а зачем они тогда нужны?

Так, если только администрирование, без доступа к ПДн, то может поможет доступ и через МЭ (как 2-ой описанный вариант).
Только я думал, что МЭ ставится на сам АРМ (или точку входа в ЗЛВС), т.к. если брандмауэр будет стоять перед входом во всю локальную сеть, то гипотетически, по угрозам, остаётся дыра от "своих".

2 TIP, один на выход в общедоступную сеть, второй на выход в свою ЛВС.

>>А зачем два МЭ в одной серверной?<<

Как вариант для большей защищенности ресурсов, тем более если МЭ разных моделей и фирм-изготовителя.