Измерение ПЭМИН при установленной Сонате - Форум по вопросам информационной безопасности

Подскажите, для аттестации АС по конфиденциалке (!), если уже предварительно установлена Соната-Р2, требуется ли проводить измерения ПЭМИН? Или сослаться в протоколе на установленную Сонату и не измерять? Если не надо проводить измерения, то согласно какому документу / разъяснительному письму?

Почему не измерять?!
Можно измерить с включенной сонатой, 100% соблюдая требования методики.
Подставте полученные результаты в формулы расчета и расчитайте радиусы (Скорее всего тестовые сигналы Вы не увидете, их надо предварительно найти при выключенной сонате).
Радиусы должны получиться близкими к 0, во всяком случае меньше требуемых для выполнения норм защищенности.
Это один из способов оценить эффектиыность средств защиты, не противорещащий методике и физике, хотя мне не известны официальные документы где это прописано. (Примечание: Можно принять, что о включенной сонате нам не известно, просто на объекте такой уровень фонового шума).
Не забудте в протоколе указать, что генератор шума сертифицирован.
Может быть я заблуждаюсь, поэтому прошу обсудить на форуме.

Применение активных средств защиты для ОИ по КИ не регламентировано (нет ни одного пункта в НМД про необходимость и возможность использования). Методики оценки эффективности утвержденные регуляторами отсутствуют.
Поэтому применять если вы вдруг хотите (правда непонятно на каком основании) можно только поставил не поставил (есть, нет).

"Или сослаться в протоколе на установленную Сонату и не измерять?"
Все так и делают что бы якобы не заморачиваться. Белое пятно НМД замазываю так.
Мы замазываем по другому. Меряем без САЗ размещаем в приделах КЗ или дорабатываем СВТ фильтрацией и экранированием. Метры на КИ небольшие по R2 поэтому обычно помогает. Только мерять много.

"Можно измерить с включенной сонатой, 100% соблюдая требования методики"
Можно только если ничего не найдете это не значит что все защищено и нормы методики выполняются.
"Это один из способов оценить эффективность средств защиты, не противорещащий методике и физике"
Абсолютно противоречащий методики и тем более физике !
По методике нужно получить R2, а если речь о физике то оценку эффективности СЗИ никто не отменял.

"Может быть я заблуждаюсь"
Тема обсуждалась на этом форуме очень много раз. Просто не хочется талдычить одно и то же. Читайте НМД или просите официальных разъяснений регулятора.

Тема обсуждалась много раз. А воз и ныне там, проще всего сказать нет, потому, что не прописано.

Применение активных средств защиты для ОИ по КИ не регламентировано, но и не запрещено. СТР-К разрешает разработку СЗИ по своему усмотрению п.3.4...

Противоречит физике и методике. В чем? Поясните подробнее. Что мы нарушили в методике и физике? Вдумайтесь по какому критерию мы расчитываем радиусы, с чем сравниваем. Обратитесь к формулам.

Согласен эффективность СЗИ в документации нет, но есть защищенность, что согласно методики мы расчитываем. Что измерили, то и расчитали, в чем противоречие?

Фильтрация и экранировка вещь довольно проблематичная и затратная и не всегда эффективная без хорошего заземления. Особенно если заземляющие шины по длине соизмеримы с длиной волны.


Уважаемый аппонент, пусть я не прав, но давайте отвлечемся от РД и предложим практический вариант решения исходя из здравого смысла.

Противоречит физике и методике. В чем?
Методике в том что вы специально не находите сигналы установив САЗ и сознательно не рассчитываете R2. Физике потому что не проведена оценка эффективности средств защиты.

"вещь довольно проблематичная и затратная и не всегда эффективная без хорошего заземления"
Фильтр в цепь питания, не мощная видеокарта отдельная, хорошие провода, заземление, правильное размещение, хороший не дырявый корпус. Да требует времени, но затратность не больше САЗ а иногда и существенно меньше. Просто мерять надо а не все этого хотят, а еще КЗ 1 метр, а денег хочется вот и САЗ в угол и все в шоколаде.

"и предложим практический вариант решения исходя из здравого смысла"
Честные измерения по методике (без САЗ) и далее увеличение КЗ (размещение ОТСС дальше от КЗ) или/и уменьшение R2 (за счет доработка СВТ (экранирование фильтрация замена комплектующих). Все в пределах методики и НМД. 2-3 метра легко реализуемы.

А пихать везде САЗ необоснованно считаю нецелесообразным вредным для здоровья и убеганием от существующей проблемы

Вернемся все же к теме обсуждения.

"Или сослаться в протоколе на установленную Сонату и не измерять?" Все так и делают что бы якобы не заморачиваться. Белое пятно НМД замазываю так.

Можно поподробнее, как избежать измерения с ссылкой на установленное САЗ? Нужен ли в данном случае протокол измерения ПЭМИН или ссылку на установленное САЗ и объяснение делать в заключении?
Или укажите ссылку на тему - искал, но не нашел подобных обсуждений.

"если уже предварительно установлена Соната-Р2"
Она в принципе не может быть установлена изначально потому что нет требований НМД ее ставить (если конечно у вас не КТ и требования выдвигаете вы сами как владелец информации то тогда и согласуйте методику измерений и оценки в программе и методиках), а даже если вы захотите ее поставить мол не проходит по зонам и затуханию в линиях значения затуханий и зон нужно получить проведя измерения без средства защиты.

Делают НЕПРАВИЛЬНО так.
Измеряют без САЗ получат неудовлетворительные зоны. Ставят САЗ. В заключении пишут-не проходит и мол мы поставили сертифицированный САЗ поэтому все пучком без оценок эффективности. Еще есть фишка включили САЗ и не нашли ПЭМИН поэтому зон нет поэтому тоже все пучком.
Без ссылок на требования НМД просто свое ИМХО. И все. ФСТЭК не дерет, заказчики довольны, деньги в кармане. Безнаказаность порождает беззаконие, а беззаконие безнаказаность.
Хотите так делать пожалуйста.

sekira
Методике в том что вы специально не находите сигналы установив САЗ и сознательно не рассчитываете R2. Физике потому что не проведена оценка эффективности средств защиты.

Складывается впкчатление, что Вы не поняли смысл предложения: "Можно измерить с включенной сонатой, 100% соблюдая требования методики. Подставте полученные результаты в формулы расчета и расчитайте радиусы (Скорее всего тестовые сигналы Вы не увидете, их надо предварительно найти при выключенной сонате)" или не знаете методики.
Отрицаете предложенное и в замен предлагаете тоже самое!

Какая разница, какой фоновый шум (естественный или созданный САЗ) присутствует в месте установки технических средств. Важно, что при обработке он должен быть тем же самым. По результатам измерений расчитываем R и оцениваем защищенность в условиях данного фонового
шума. (При использовании САЗ, можно сказать, вместо "защищенность" - "эффективность САЗ").

А пихать везде САЗ необоснованно считаю нецелесообразным вредным для здоровья и убеганием от существующей проблемы.

Ответ не по сути исходного вопроса, уводящий в сторону демагогии, а не решения вопроса. (P.s. Сотовый телефон на порядки опаснее для здоровья, но мало кто отказывается от него.

Даниил. Вернемся все же к теме обсуждения.

Я считаю, что надо ссылаться на сертифицированные САЗ (формально) и показать, что защищенность соответствует нормам (по физике). Как оценить защищенность, официальных ссылок на документы нет. Как это сделать мы сейчас и обсуждаем. Я не вижу в моем предложении противоречий с методикой и физикой, но существует и другое мнение. Что выбрать???

"или не знаете методики"
В методике ни слова про САЗ.
Любые отступления самодеятельность!

"соответствует нормам"
Нет норм в методике есть только расчет зоны 2.
Предлагаете считать зону 2 для САЗ?

Еще раз по существу.
"Подскажите, для аттестации АС по конфиденциалке (!), если уже предварительно установлена Соната-Р2, требуется ли проводить измерения ПЭМИН?"
Да без САЗ.

"Или сослаться в протоколе на установленную Сонату и не измерять?"
Измерять. Соната не нужна.
Или как многие делают измерять потом ставить САЗ и без измерений говорить от защищенности от утечки.

" Если не надо проводить измерения, то согласно какому документу / разъяснительному письму?"
Измерения по "Временной методике ...", оценку эффективности никак так как нет утвержденных методик оценки.

"Я не вижу в моем предложении противоречий с методикой и физикой"
А вы протоколы регулятору на экспертизу вышлите увидите!

В методике ни слова про САЗ, но там есть понятие напряженность поля создаваемое шумом в месте проведения измерений. Откуда взялся этот шум в методике не указано. (Какая разница откуда взялся этот шум, важно, что он есть).

Любые отступления самодеятельность! В чем отступление? Измеряем по методике, то что имеется в месте измерения и по результатам измерений расчитываем зоны 2.

Нет норм в методике есть только расчет зоны 2. Предлагаете считать зону 2 для САЗ?
Считать зону для САЗ, это лишнее, достаточно, что его уровни уже были учтены при расчете эон для ПЭМИН. (Зону 2, согдасно методики, опреденяет отношение сигнал/шум)

Измерения по "Временной методике ...", оценку эффективности никак, так как нет утвержденных методик оценки. "
Зато есть утвержденная оценка защищенности ОТСС ... по каналу ПЭМИ и ... за счет наводок.

Я не вижу в моем предложении противоречий с методикой и физикой" А вы протоколы регулятору на экспертизу вышлите увидите.
Как ни странно, проверяющий согласился с моими доводами.