Типовое решение для ИСПДн К3 - Форум по вопросам информационной безопасности

"Вопрос о необходимости применения аппаратных средств доверенной загрузки для К3 в большинстве случаев не будет является актуальным."

Информацию взял с этого сайта "http://www.ci.ru/inform01-02_10/p_02.htm";, но документальное подтверждение этому не нашел.

Алекс, мне кажется, использование SecretNet для ИСПДн К3 является неоправданной роскошью :)

Добрый день!

В соответствии с приказом от 5 февраля 2010 г. N 58

У Нас есть требования:
обеспечение целостности:
обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность программных средств проверяется при загрузке системы по наличию имен (идентификаторов) компонентов системы защиты персональных данных, целостность программной среды обеспечивается отсутствием в информационной системе средств разработки и отладки программ.

Из предложенных выше вариантов пока, на мой взгляд, ни один не удовлетворяет требованиям по обеспечению целостности программных средств при загрузке системы, а второй нюанс то, что MS Office(любой версии) содержит средство разработки. IMHO возможно стоит приглядеться к более серьёзным средствам ЗИ.

По поводу контроля целостности, купить Фикс за ~1700р и прописать контроль оргмерами.
Офис не рассматривается фстеком как средство разработки модификации итп.
Если давит паранойя, пусть доки в вордпаде пишут))

Может и роскошь, но точно всем требованиям соответствовать будет:)

Ну на счёт паранойи, в Винде есть ещё такая замечательная команда DEBUG (http://en.wikipedia.org/wiki/Debug_%28command%29). И если воспринимать требование целостности буквально, то должны осуществлять проверку целостности во время загрузки системы (т.е. во время загрузки Windows).
Вот ещё одно требование для автономной ИС...
периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа. Xspider? Даже для автономной АС?

Тут есть ещё нюансы на счёт МЭ. Если в локальной сети есть 2-ве локальные ИСПДн одна 1 класса, а вторая 3 -го. Опять таки IMHO, ИСПДн 3-го класса перетекает в первый, так как МЭ стоит между LAN и интернетом и ни каким образом эти ИСПДн не отделяет. Для АС с 3-им классом достаточно получить ПО(клиента для ИСПДн 1-класса). К примеру, есть шара с ПДн классифицированные по 1классу, получается все АС в сети могут получить доступ к этой шаре.
Итого либо МЭ разделить все ИСПДн, либо защищать все их по высшему классу. Но все это IMHO. Хотелось бы услышать Ваше мнение))).

На счет разноклассовых испдн все верно. Они отделяются друг от друга МЭ.
На счет тестирования, можно написать, что вы это делаете с помощью того и того.

В общем, в связи вышесказанного все пересмотрел, прошу вас оценить.

Типовое решение для локальной ИСПДн К3 с выходом в сети общего пользования

30 рабочих станций и 1 сервер

Выбор средств ЗИ:

1. Антивирусная защита

а) «Антивирус Dr.Web для Windows версии 5.0» ~ 900*30 = 27 000 руб.
б) Антивирус Касперского 6 ~ 1200*30 = 36 000 руб.

2. Межсетевой экран

а) «ViPNet OFFICE FIREWALL» ~ 32 000 руб. (сертифицированная версия ФСБ)
б) как аналог, Proxy&Firewall 5.2.F (цена в зависимости от сессий, на 30 сессий ~ 21 000 руб.)
в) при осуществлении передачи ПДн по незащищенным каналам связи, АПКШ «Континент» 3.5 ~ 70 000 руб.
г) интересный вариант TrustAccess с сетевым разграничением доступа (14 000 на сервер + 3 000 на рабочую станцию)

3. СЗИ от НСД

а) СЗИ Secret Net 5.1. Сервер безопасности класса C. ~ 35 000 руб.
СЗИ Secret Net 5.1. Клиент. (26-50 пользователей) ~ 5500 * 30 = 165 000 руб.
В итоге ~ 200 000 руб.
б) СЗИ Security Studio. Сервер мониторинга класса C. ~ 25 000 руб.
СЗИ Security Studio. Агент конфиденциальности. (26-50 пользователей) ~ 3700 * 30 = 111 000 руб.
В итоге ~ 136 000 руб.
в) Панцирь-К. Сетевая версия (серверная часть) ~ 29 000 руб.
Панцирь-К. сетевая версия (клиентская часть) (26-100) ~ 29 000 руб. 3 500 * 30 = 105 000 руб.
В итоге ~ 134 000 руб.


4. Аппаратные средства доверенной загрузки (п. 2.4 приказа №58)

Знакомый работает в "Центре информационной безопасности" http://secret-net.ru/ и при построение СЗПДн аппаратные средства доверенной загрузки применяют лишь для К1. + на конференциях по ПДн говорят (http://www.ci.ru/inform20-21_09/p_02.htm), что для К3 применение этих средств не актуально. В общем, думаю, что внедрять их не стоит того. А в качестве обоснования показать неактуальность этой проблемы в модели угроз.

В приказе №58 написано о необходимости применения средств АЗ и ОВ, но для них требований нет.
Но в положении №608 о сертификации средств защиты информации, п.1 сказано что относится к СЗИ
"Технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых они реализованы, а также средства контроля эффективности защиты информации являются средствами защиты информации."

Хоть у нас и не гос тайна, но сертификации СЗИ подледат, значит АЗ и СОВ также подлежат сертификации.

5. Средства анализа защищенности

Здесь ситуация аналогична п.4, но цены не так высоки по сравнению с общими затратами.
а) Ревизор сети 2.0 (цена в зависимости от числа ip, на 25 ~ 18 000 руб)
б) как аналог, Xspider 7.7 (цена в зависимости от числа ip, на 32 ~ 28 000 руб)

6. Средства обнаружения вторжений

а) Система обнаружения атак (IDS) встроенна в «ViPNet OFFICE FIREWALL»
б) Система обнаружения атак (IDS) встроенна в «Proxy&Firewall 5.2.F»


Прошу проанализировать данный выбор, является ли он оптимальным? Какие изменения можно внести на ваш взгляд?

Сам больше склоняюсь к следующему выбору:
Dr. web + Proxy&Firewall 5.2.F + СЗИ Security Studio + Ревизор сети 2.0 ~ 202 000 руб

Также хочу поставить задачу о минимизации затрат при использовании ТЕРМИНАЛЬНОГО РЕЖИМА, например при использование "1С: предприятие", когда вся база находится на сервере, в этом случае вроде как защитить нужно только серверную часть. Может знающие люди преподнесут нам совет))

Хочется добавить, что СЗИ Security Studio не поддерживает windows 7 и windows server 2008.

+ еще дистрибутивы(на диске) на сертифицированный антивирус, СЗИ от НСД и т.д. и т.п. тоже нужно купить, что примерно еще 500р к каждому пункту.