Класс 3А "Секретно", как не использовать комплексы защиты от НСД? - Форум по вопросам информационной безопасности

На мой взгляд подход, на котором строится система защиты на основании имеющихся угороз является грамотным, его нужно использовать. Однако не стоит забывать про отработку требований РД к данному классу. Я бы сказал отработка требований РД - необходимое условие построения системы защиты информации в соответсвтии с требованиями НМД ФСТЭК и ФСБ. Что касаемо п.3 - да, это частный подход, предполагается, что пользователь контролирует работу Администратора безопасности визуально.

Mike, при проверках фстэка и с их консультациями в реальной работе доперли. Это про администратора и пользователя.

Да вопрос не об этом, давайте рассматривать вариант, когда админ и пользователь это одно и тоже лицо - не проблема, я когда мечты свои сообщал это и имел в виду.

Нас больше вопрос волнует сейчас вот этот:
*** Я правильно понимаю, что если не видет угроз орган по аттестации, то обязательности в отработке им требований РД нет?

И еще у меня вопрос:

цитата: *** если один пользователь работает на съемном НЖМД (с информацией одного грифа), который получет (и сдает соответственно) в первом отделе.

Я правильно понимаю, что если в этом помещении уже потенциально имеется два человека - это сотрудник который приходит, начальник первого отдела который выдает НЖМД, то данная АС тоже может быть классифицирована как 3А, без использования СЗИ от НСД???

Если админ и пользователь одно и тоже лицо, теряется смысл защиты. Контролировать самого себя?
Мой "идеальный" вариант 3А без СЗИ:
В помещении расположен только АРМ, предназначенный для обработки защищаемой информации, диск съемный, хранится в опечатанном кейсе, который сдается в первый отдел+ соблюдены требования режима+защита ТКУ, естественно.
Необходимо иметь в виду, что при работе нужно предотвратить возможность несанкционированного просмотра информации с монитора, поэтому, при наличии большого количества других, не допущенных к обработке пользователей, это крайне проблематично реализовать не только для 3А.

Я правильно понял, что в помещение где стоит АРМ имеет доступ в соответствии с правилами режима только один человек и больше никого?

Это в мечтах. На практике доступ в помещение будет иметь обслуживающий персонал (сантехники, электрики и т.д), перечень которых подлежит утверждению и работа которых осуществляется в соответствии с требованиями режима.

но все эти "гости" будут работать только в сопровождении сотрудника, который и работает с этой АС категорированной по 3А?

Актуальность обсуждаемого вопроса считаю была бы интересна в 2000-2001 г. В настоящее время с внедрением многопользовательского режима обработки, большого количества аттестованых ОИ вплоть до построения ЛВС на современных предприятиях и в организациях интерес к данному вопросу непонятен.
По крайней мере в г. Москве.
На сегодгяшний день имеются аттестованные сотни ЛВС и тысячи ОИ по 2 категории (не говоря про 3).
Аттестационные центры - не есть гарантия от проверок ФСТЭК и ФСБ. Накажут Вас, а они сами разберутся.
Отступления от требований при аттестации ОИ - преступление. Можно доказать причинно-следственную связь при наступлениии последствий. Как бы Вы режим не контролировали случайности возможны в вышеуказанном случае.

Попытки аттестации АС класса 3А без СЗИ (даже без АПМДЗ) есть ни что иное как демпинг со стороны многих контор, в том числе из города Москвы. Когда есть желание снизить цену на аттесацию на 10000 руб. многие органы по аттестации нарушают последний пункт РД АС.
ФСТЭК-же молчаливо это безобразие поощряет.
Ну типа "можно но не заигрывайте ребята не увлекайтесь". В ЛИЧНЫХ ЖЕ разговорах с представителями ФСТЭК, ЦБИ и т.д. стороны приводят множество доводов и аргументов объединенных понятием "организационно-режимные меры".
РД АС можно (нужно) было в 2000 переработать описать эти меры, что бы легализовать однопользовательский режим по уму. Думаю что в перспективе это не произойдет. А зачем? Так очень легко при проверках прицепиться к не соответствию РД или недостаточности "о-р мер"
В нашей практике было два случая. 1. Атомная промышленность - крутые ребята со всеми согласовали что им не надо НСД уважаю за такой подход. 2. в/ч - бедные как церковные мыши. наскребли денег на лицензионное ПО а 30000 на СЗИ уже нет. Пожалели. Мы обратилиь во фстэк (лично, конкретно). они разрешили 3А "секретно".
Ну и все. больше с этим не заигрываем.
Но считаем если при 3А установлен "Аккорд-АПМДЗ" "СОБОЛЬ" и т.д. и ОДИН ПОЛЬЗОВАТЕЛЬ ТО ШАНСЫ НА ПОЛУЧЕНИЕ АТТЕСТАТА ВЫСОКИ

Коллеги, спасибо за развернутый ответ.

Насчет актуальности. Реально, на региональном уровне, только последние пару лет начались Аттестации ОИ повальные. А региональный рынок не Москва, деньги подругому считает (в частности, если брать отдельностоящие ОИ), с классом 3А в регионах, как мне кажется, приходится встречаться чаще (по крайней мере, из собственной практики).
Действительно, идет демпинг цен, от этого и вопрос.

Уважаемые участники форума. Обращаюсь к Вам никогда не стремитель обойти требования ФСТЭК и ФСБ при аттестации ОИ. Последствия печальные и в настоящее время тенденция имеет место прогрессировать. В конечном счет помните, что информация, обрабатываемая на ОИ принадлежит государству ( см. Закон о ГТ). Шутить с ним не советую, да и считаю что профи не должны идти на поводу. Мы живем в многополярном мире и работаем не ради зарплаты а в интересах страны. Если не так - уйдите и не мешайте.