Контроль защищенности - Форум по вопросам информационной безопасности

Для Секиры:
Пока позиция местного Управления ФСТЭК такова: при ИСПДн класса К1 надо мерить каждое рабочее место и каналы передачи, чтобы можно было сделать достоверный объективный (!) вывод. Причём несмотря на расстояние до КЗ. Как Вы думаете, какое у меня будет мнение в таком случае? Увы! У некоторых ЛПУ расстояние до КЗ такое, что гостайну можно без ГШ обрабатывать, не то, что персональные данные... Находясь в таких условиях, сам вынужден объяснять всем заказчикам, что делать надо согласно таким требованиям.
Если у Вас сети класса К1 "простенькие, состоящие из 3-5 компьютеров", то Вам просто повезло. В таком случае я бы даже не "парился" на Вашем месте - мерить/не мерить, а просто проводил бы измерения, т.к. мне почему то все ИСПДн класса К1 попадаются то 100 ПЭВМ и выше, где измерителю жить на объекте месяц надо, дабы получить цифру. Абсурдно и не оправданно по трудоёмкости и деньгам, поскольку выглядит искусственным "отжатием" денег у Заказчика.

Хранение данных, как правило, осуществляется на сервере, которые работает круглосуточно. Если ставить средства активной защиты, то как отразится постоянная работа генераторов на людей рядом с ними (несмотря на санитарное заключение). Если технике перерыва от круглосуточного излучения не требуется, а людям??? Рабочий день 8 часов и всё это время сидеть рядом с генератором ради чего? Вероятность того, что найдётся «враг», который захочет по ПЭМИНу заполучить персональные данные, скорее отрицательная, чем минимальная...

Проблему можно было бы легко решить на уровне ФСТЭКа (даже в самом 58 Приказе) сделав указание на расстояние до КЗ. Например, если расстояние до КЗ менее 5 или 10 метров, то проводить измерение ПЭМИН не надо, если более, то да. Какой бы ни был уровень сигнала при ПЭМИНе, но здравый смысл то должен же быть! Риск есть везде и всегда, граница маловероятности события тоже должна быть.
Есть вариант выборочного измерения ТС (по усмотрению лицензиата), тех которые наиболее близко расположены к КЗ, а уже по результатам их ПЭМИНа принимать какое-то решение. Есть вариант измерения реального затухания электромагнитных сигналов на объекте до КЗ (например, комплексами «Стентор» от Маскома или «Зонд на базе ГСУ-002» от Нэлка), и по их результатам уже принимать какое-то решение. Есть вариант прописать ПЭМИН маловероятным в Моделе и взять на себя ответственность за формулировку, которая послужила основанием для игнорирования ПЭМИНа при защите ИСПДн.

Вот Вы очень плотно работаете с ПЭМИНом, дайте нам инженерный вариант: как нам надо поступать? Со своей стороны обязуюсь его учитывать при проведении аттестации ;-)

msergey
"если расстояние до КЗ менее 5 или 10 метров, то проводить измерение ПЭМИН не надо, если более, то да."

может всё-таки более 10м., тогда не мерить?

А по гостайне, если мне не изменяет память, не мерить можно, если расстояние от компьютера до КЗ более 150м. К сожалению такой вариант встречаеся редко.

:-)) Да, да, наоборот. Я печатался, когда переформулировал выражение. Спасибо Вам за внимательность.

А на счёт гостайны: я больше доверяю расстояниям из Предписания...

При проведении объектовых исследований когда R2 значительна и требует применения САЗ что мы определяем - R2 с применением ГШ (уточняем) или дельту на границе КЗ (соответствует нормам)?

"А по гостайне, если мне не изменяет память, не мерить можно, если расстояние от компьютера до КЗ более 150м"

В НМД такого нет!!

У нас обсуждение по ИСПДн значит по КОНФИДЕНЦИАЛКЕ!!!
Поэтому в свете действующей временной методики:
- Эфективность САЗ оценивать по действующей методике нельзя так же как и ставить на объекте (ни одного документа о возможности установки САЗ по ПЭМИН для конфиденциалки я не знаю (есть ссылки только в НМД ФСТЭК по коммерческой тайне);
- Немерять например со стокльки то метров КЗ тоже нет.
- Реальное затухание неучитывается.

Проблема собственно не в том как мерять (это совсем другая более болезненная тема)

А стоит ли это делать. Просто хочется четкости и однозначности и все.
Да с ведением четкого требования проведения инструментальной оценки ПЭМИН даже для К1 появится работ выше крыши.

По большому опыту измерений по временной методике СВТ выше 10-15 метров очень большая редкость.

Но в том то и проблема что 90% ИСПДн иметн КЗ 1-3 метра, а это уже без четкого методически подкрепленного НМД по установке САЗ и его оценкебольшая проблема.

"Есть вариант прописать ПЭМИН маловероятным в Моделе и взять на себя ответственность за формулировку, которая послужила основанием для игнорирования ПЭМИНа при защите ИСПДн."

Дак так делают все! В этом то и прикол что НМД дает возможность так поступать без последствий :((
И формулировки сплошь и рядом типа аппаратура разведки ПЭМИН дорогая дороже чем персданные обрабатываемые в ИСПДн. Ну бред чистой воды...

А самое ужасное что от ФСТЭКа только заявления устно и по телефону - типа для всех классов (1,2,3) мерять ПЭМИН и обязательная аттестация и не че не волнует, и не ссылок на своеже НМД ни ответов на офицальные письма. Грустно и обидно :(((

Для Секиры:
:-))) Думаю, что Вы слишком драматизируете ситуацию... Как говорил тов. Салтыков-Щедрин: "Строгость российских законов смягчается необязательностью их исполнения".

> Да с ведением четкого требования проведения инструментальной оценки ПЭМИН даже для К1 появится работ выше крыши.

А может наоборот - поубавится? (это смотря как посмотреть). А главное: оценка ПЭМИН неинструментальной быть не может! "Неинструментальной" может быть требование к проведению/непроведению ПЭМИНа. Как было предложено ФСТЭКу прописать, когда следует проводить оценку ПЭМИН (минимальное расстояние до КЗ).

Абсолютно согласен, что в методиках ФСТЭКа нет указаний про оценку САЗ и учёт реального затухания. Но это не означает, что применив на объекте САЗ ПЭМИН "не закроется", а получив оценку реального затухания до КЗ принятие решения о маловероятности утечки информации по этому каналу будет необоснованно. Отсутствие способов в методиках ФСТЭКа оценить ПЭМИН не измеряя каждое ТС не означает, что нет других нормальных инженерных способов этого сделать.
Уж коль скоро оценить ПЭМИН можно только инструментально, то должно быть указание, когда его надо делать обязательно и каким способом это допустимо. Прописывание в Моделе неактуальность угрозы на мой взгляд является псевдорешением проблемы в следствие отсутствия конкретики требований.

Речь идет о гостайне

"Речь идет о гостайне"
Нет о ИСПДн

"Прописывание в Моделе неактуальность угрозы на мой взгляд является псевдорешением проблемы в следствие отсутствия конкретики требований"

Дак вед я о том же, отсутствие требований, адекватных методик и т.д рождает кучу домыслов, додумок иногда обсолютно верных, а зачастую просто неприемлемых и зачастую необоснованных.

"Отсутствие способов в методиках ФСТЭКа оценить ПЭМИН не измеряя каждое ТС не означает, что нет других нормальных инженерных способов этого сделать"

У васесть предложения? Я на форуме москома целую тему открыл!! И тишина.
Не хочется конечно боротся с ветряными мельницами, но все таки :))

Для Секиры:
Свои предложения я написал в посте 24361 в дополнение к Вашим в посте 24337. Считаю их технически альтернативными вариантами, позволяющими обосновать (!) принимаемые решения по ПЭМИНу, чем вариант проводить только полную «поголовную» оценку ПЭМИНа у всех ТС ИСПДн (и не важно, что это не оправдано по всем показателям: без учёта трудоёмкости работ, индивидуальных условий размещения объекта, вида информации и т.д.). Предложенные мной варианты не были обсуждены с точки зрения технической обоснованности, а лишь получили вердикт: требований по метражу нет, реальное затухание не учитывается. Я и так это знал и даже указывал специально на это ранее. Почему мне, человеку занимающемуся аттестацией ИО в целом, есть что предложить в качестве альтернативы, а измерителям нет. Хотя, по логике, должно быть наоборот: я в аттестации сильно привязан к формулировкам нормативных требований, а у измерителей есть ещё законы физики и метрологии, которыми можно «заполнять пробелы» нормативки и это будет обоснованно.

Видел я Вашу тему на форуме Маскома и вопросы, которые вы там подняли очень актуальны. Но поскольку я не такой большой специалист в измерениях ПЭМИН, то участвовать в ней и предлагать способы проведения измерений мне сложно. Может Вам надо было первым предложить свои варианты для обсуждения? Может другие стесняются начать первыми? :-) Я, например, в теме предпроектного обследования предложил свой вариант его проведения, но всё равно активного участия и отзывов не дождался…

У меня вопросы ПЭМИН по гостайне, связи с тем, что некоторые структуры просят разукрасить зонами R2 территорию предприяти, якобы для принятия режимных мероприятий при приеме не совсем желанных гостей. В аттестатах соответствия имеются только зоны по результатам лабораторных исследований. Этими результатами можно пользоваться в случае не применения САЗ.В случаях, когда лабораторная R2 значительна и требуется применение САЗ то расчитывается значение дельты на границе КЗ, а значения R2 c применением САЗ не расчитывается якобы это однозначное требование методики измерения ПЭМИН. Подскажите какой ответ давать всем интересующимся зонами R2 данном случае. Заранее благодарен за ответ.