Типовой проект компьютерной сети больницы. - Форум по вопросам информационной безопасности

Имеется обычная городская больница, подразделения которой находятся в
удаленных зданиях в черте города (стационар, поликлиники и др.).
В зданиях есть локальные сети, к которым Интернет-провайдер подвел свой волоконно-оптический кабель.
Есть договор с интернет-провайдером о предоставлении услуги "Виртуальная частная сеть".
«Услуга (L2/L3 VPN) предназначена для создания защищенного соединения между собой территориально распределенных офисов (площадок) клиента в выделенную полносвязную (full mesh) сеть связи на ресурсах магистральной IP/MPLS и региональных транспортных MAN сетей группы компаний МТС.»
У нас реализована VPN Level 2 (посредством коммутации трафика абонента без использования маршрутизаторов, т.е. сетевые пакеты не выходят в сегменты сетей общего пользования).
Настройки виртуальной частной сети таковы, что выход в Интернет имеет только стационар (через межсетевой экран) и все подразделения видят только друг друга, а выходят в Интернет только через стационар.
Провайдер имеет лицензии:
-на оказание услуг связи по передаче данных, за исключением услуг связи по передаче данных для целей передачи голосовой мнформации.
-на оказание телематических услуг связи.
Дополнительно с провайдером заключаем договор, по которому мы поручаем ему обработку ПДн, в виде организации передачи и только передачи трафика, содержащего в том числе ПДн, между подразделениями больницы на условиях соблюдения конфиденциальности и целостности передаваемой информации по своим волоконно-оптическим линиям связи и сетевому оборудованию.

Мы не предполагаем наличие сколько-нибудь реальной угрозы инструментального проникновения и перехвата сетевых пакетов ни в сегментах сети провайдера, ни в сегментах локальных сетей зданий.

Вопросы по обеспечению безопасности передачи данных по волоконно-оптическим кабелям и сетевому оборудованию провайдера.

1. Есть ли нормативные документы, обязывающие нас, в описанных выше условиях, вводить шифрование трафика в сегментах сети провайдера?
2. Какие документы нужны чтобы мотивировать отказ от использования шифрования трафика в сегментах сети провайдера в качестве меры по обеспечению безопасности ПДн? Дайте пожалуйста ссылку на шаблоны таких документов.

Цена вопроса для каждого лечебного учреждения очень высока.
Предложения принимаются.

> Мы не предполагаем наличие сколько-нибудь реальной угрозы инструментального проникновения и перехвата сетевых пакетов ни в сегментах сети провайдера, ни в сегментах локальных сетей зданий.

Вы будите удивлены, но каждый оператор утверждает абсолютно аналогичное по отношению к своей ИСПДн :)
Если у Вас действительно есть основания так предполагать, то почему не внесёте оные постулаты в Модель угроз с готовностью отстаивать свою позицию перед регуляторами? Как поётся в песне Л. Агутина и А. Варум "Послушай всё в твоих руках..."

> 1. Есть ли нормативные документы, обязывающие нас, в описанных выше условиях, вводить шифрование трафика в сегментах сети провайдера?

Считаю, что сей вопрос сформулирован несколько неудачно. И Вот почему. Нормативными документами предписано, что для обеспечения безопасности персональных данных должны применяться прошедшие в установленном порядке процедуру оценки соответствия средств защиты информации (ч. 3 п. 2 ст. 19 Федерального закона "О персональных данных", а также п. 5 "Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных", утв. ПП РФ от 17 ноября 2007 г. № 781).
Шифрование есть один из способов обеспечения конфиденциальности. Если у Вас конфиденциальность обеспечивается способом шифрования, то для выполнения указанного требования необходимо, чтобы используемое Вами шифрование имело сертификат соответствия. В описываемой Вами ситуации нет ясности о применении сертифицированных средств на Вашей стороне или на стороне провайдера. Поднимаемые Вами VPN используют в качестве способа защиты передаваемых данных шифрование. Чьё шифрование - отечественное или зарубежное - по большому счёту не столь принципиально, главное, чтобы имело сертификат соответствия, позволяющим этим сертификатом перед любым регулятором размахивать, как флагом.
Кроме того, только передачей персональных данных, на которой Вы сосредоточили свой взор, дело не ограничивается. Есть ещё другие способы обработки (см. ч. 3 ст. 3 Федерального закона "О персональных данных"). Попробуйте сделать Модель угроз. Хотябы просто для того, чтобы понять для себя, что Вы закроете оргмерами, что будите закрывать средствами защиты, а что переложите на могучие плечи "аутсорсера", коим вполне может выступать Ваш доблестный провайдер.
Ответ на второй заданный вами вопрос вытекает из всего этого, а может и вообще отпадёт за ненадобностью.

В больнице есть 3 группы ИСПДн.
Группа 1:
Трафик циркулирует только в пределах виртуальной частной сети больницы. Согласно рекомендаций Минздрава, согласованных с ФСТЭК (Методич рекоменд по составл Частной модели угроз безопасности ПДн при их обработке в ИСПДн учреждений здравоохранения, соц. сферы, труда и занятости от 23.12.2009) для нашей ИСПДн подходит "Обобщенная модель угроз для Распределенной системы ИС 2 типа, в которой актуально шифрование только для угрозы "Анализ сетевого трафика.. при обмене с внешними сетями". Так как больничная частная сеть в точке подключения стационара имеет выход в общие сети то требуется межсетевой экран. Он у нас есть.

Группа 2:
Трафик проходит по локальной сети здания, виртуальной частной сети больницы до стационара и уже от него по общим сетям к абоненту головной организации в другом городе. При этом в стационаре точка подключения к сети провайдера снабжена криптошлюзом для создания защищенной связи с головной организацией. Эта точка подключения является абонентом шифруемой виртуальной частной сети головной организации и управляется их ЦУС (центр управления сетью). В точке подключения стационара имеется также маршрутизатор, и если трафик предназначен для головной организации, то он направится через криптошлюз.

Группа 3:
То же что и группа 2, но трафик направляется не в головную организацию, а в другие сторонние организации. Все эти организации (страховые компании и лечебные учреждения Хабаровского края) объединены в виртуальную частную сеть на базе программного обеспечения Vipnet. Компьютеры, работающие с такими ИСПДн, снабжены программой Vipnet-client, которая шифрует трафик.

Полагаю, что по ИСПДн групп 1 и 3, вопросов по защите трафика при передаче по сетям от угрозы "Анализ сетевого трафика.." быть не должно. Шифрование либо не требуется (для группы 1), либо реализовано (для группы 3).

По ИСПДн группы 2. Трафик мы шифруем, но только на участке от стационара до головной организации. Этот же трафик, проходя по локальным сетям зданий и виртуальной частной сети больницы, реализованной провайдером на базе волоконно-оптических линий общего пользования, не шифруется.
Я говорю что внутри виртуальной частной сети больницы шифровать трафик не обязательно, см. ИСПДн группы 1, а оппонент указывает, что для группы 3, шифровать трафик необходимо, а он у нас шифруется не на всем пути следования.
Кто и как может урезонить оппонента?

Другой вариант технической реализации ИСПДн группы 2:
Снабдить криптошлюзами и маршрутизаторами локальные сети всех зданий и
сделать их абонентами шифрованной виртуальной частной сети головной организации. Вариант дорогой.

Помогите урезонить оппонента.

<<Поднимаемые Вами VPN используют в качестве способа защиты передаваемых данных шифрование. Чьё шифрование - отечественное или зарубежное - по большому счёту не столь принципиально, главное, чтобы имело сертификат соответствия>>

Вы что! При использовании СКЗИ для защиты защищаемой законом информации должно использоваться отечественное шифрование (алгоритмы ГОСТ)!

2Командир:
Что такое "группа ИСПДн"? Больше похоже, что разговор идёт об АРМах, рабочих местах пользователей. Отсюда и непонимае между Вами и Вашим оппонентом.
Указанные Вами "Методические рекомендации по составлению Частной модели угроз безопасности ПДн при их обработке в ИСПДн учреждений здравоохранения, соц. сферы, труда и занятости" от 23.12.2009 на мой взгляд устарели, т.к. ФЗ-152 сам изменился порядком, да и вместо "четырёхкнижья" у ФСТЭКа пришёл Приказ № 58.

2Adelina:
Наличие сертификата соответствия это и предполагает. Хотя при вступлении России в ВТО, вполне допускаю, что ФСБ будет выдавать сертификаты на зарубежную криптографию для работы со сведениями, не составляющими государственную тайну.