Контроль защищенности - Форум по вопросам информационной безопасности

Пункт .5.2.3. относится к "объектам ВТ", причем здесь ВП? В разделе 4.1. ничего про ежегодный контроль не сказано...

sekira

msergey, ЛабТЗИ

читал ваши рассуждения по поводу ПЭМИНа и упоминаниях расстояний в НМД ФСТЭКа

уверен что вы знаете о методике Минздравсоцразвития согласованной с ФСТЭКом 22 декабря 2009 г. утвержденной 23 декабря того же года..
Так вот о чем я, ИСПДн класса К1 большинство в мед. учреждениях (согласитесь), и в этой методике сказано что для ЛПУ угрозы утечки ПДн по каналу ПЭМИН считать не актуальными т.к. КЗ имеет большую территорию (оговорюсь, Вами в дискуссиях были не раз указанны недочеты подобной формулировки т.к. нет реальных цифр расстояния) НО в этой методике АПРИОРИ согласованный ПЭМИН не актуален.
Уверен, что не открыл Америку.
Если бы я работал в ЛПУ и ко мне приiел ФСТЭК и задал вопрос про ГШ, я не задумался бы об ответе и сослался на их согласованную бумагу ну и конечно на субъективное обоснование в МУ

"Если бы я работал в ЛПУ и ко мне приiел ФСТЭК и задал вопрос про ГШ, я не задумался бы об ответе и сослался на их согласованную бумагу ну и конечно на субъективное обоснование в МУ"

И были были совершенно правы! Бабло победило зло :)) Ведомство вам сказало и взятки с вас гладки. Хотя куча медучереждений на первых этажах жилых домов с КЗ 2 метра. Кто захочет снимай нихачу, тем более во многих медучереждениях до сих пор ЭЛТ мониторы.

А про ГШ никто бы вопросы не задовал так как активные средства защиты использовать для ИСПДн нельзя, из-за отсутствия утвержденных методик оценки.

Для Спеца по ЗИ, 29635:
Это "чудо-методика" была согласована до Приказа ФСТЭК № 58 и всем понятно, что её появление было продиктовано чисто "политически". О разумности данной бумаги можно говорить много. Смысла в этом всё равно нет. Главное, что проверяющие спрашивают только наличие Модели угроз. Её содержание и актуальность отражённых в ней угроз никого не интересует.

Для sekir'ы:
>> А про ГШ никто бы вопросы не задовал так как активные средства защиты использовать для ИСПДн нельзя, из-за отсутствия утвержденных методик оценки.

Смотрите внимательно п. 3.25 СТР-К. Сказано, что разработанные ФСТЭКом Временные методики для конфы "МОГУТ" да ещё "ПРИ НЕОБХОДИМОСТИ" использоваться при проведении аттестации и периодическом контроле. Т.е. ФСТЭК сам признаёт, что их методики не догма. Другого документа, обязывающего меня делать именно по этим методикам - нет. Можете мне сразу возразить, что на практике дело обстоит иначе. Что ж, государство у нас такое: на бумаге одно, на деле иное.
А, вообще, парадоксально: отказываться от закрытия канала ПЭМИН активными средствами защиты только на том основании, что нет утверждённых методик, как-то не по инженерному. В гостайне (!) можно, а тут нельзя? Нет методик, ай-яй-яй...

msergey, ЛабТЗИ

Если мы на подобные "политические" решения будим закрывать глаза, куда мы придем? кому нужны эти ПДн? Вы всерьез думаете, что ФЗ 152 когда то начнет работать?
>> О разумности данной бумаги можно говорить много.
Более того, смысл о ней говорить, все уже сказано. Считаю, что методика Минздравсоцразвития немного "приземляет" 152 ФЗ на действительно его место, добавлю более: На мой взгляд правильно что ПДн обособленно выделены законодательством, да вот только не в ту сторону, на мой взгляд ПДн НАМНОГО НИЖЕ нежели коммерческая тайна, врачебная тайна и.т.п.
Ведь защищать нужно не кто пришел в больницу а чем он болен.

Формально 152 работает, так на этом все и остановиться на ближайшие лет 10.
Где адекватность принятых мер?
Во сколько можно оценить моральный ущерб раскрытия ПДн?

И (специально) для sekira и для msergey, ЛабТЗИ.

Уж так вам хочется присобачить ПЭМИН на конфиденциалку (и ПДн само собой). Уж так не нравится когда её убирают в КИ. И в методиках "политик".. И в ведомствах враги и дураки. Понимаю - бизнес.
Однако некоторое время назад мне ни одна зараза не взялась ответить вот на эти вопросы:
1. Какова стоимость минимально необходимого оборудования, предназначенного для перехвата и документирования информации по каналу ПЭМИН.
2. Какова стоимость 1 часа работы квалифицированного специалиста (а какого ещё?!), выполняющего такую работу?
3. Какова вероятность получения интересующей вас информации (ПДн) об интересующем Вас субъекте в информационной системе заданной конфигурации?
4. Каковы трудозатраты на решение этой задачи и стоимость привлечения необходимых дополнительных материально технических средств и вспомогательного персонала?
6. Обобщенную стоимость выполнения такой работы. Как вариант - стоимость привлечения чужого оборудования и чужих специалистов.
После того, как дадите хотя бы приблизительный ответ на уровне порядка цифр я готов буду, посыпав голову пеплом СТР-К, методики Минздрава и 58 приказа, признать, что получение информации по каналу ПЭМИН в КИ обосновано и защита от утечки по нему целесообразна. И торжественно клянусь, что в этом случае никогда больше не буду спорить на эту тему.

разделяю полностью, раздувание щек при рассказах о пэминах достало..., люди уважайте труд инженеров, которые минимум 5 лет учились в вузе не для того чтобы потом ловить сачком мифические пэмины от компов с пдн на одной шестой части суши, понимая при этом никчемность своей работы...

Для Некто.
Попробую ответить.
1. Зависит от условий на объекте и задачи по съему. В среднем от 500 тыс до 1 милиона руб. Хотя может быть значительно выше.
2. Работу по съему информации? Думаю не менее 1000 $ в час (но это ориентировочно)
3.Вопрос не коректный . Какой информации. Когда. Если пароль в систему одно, номер документа, адрес, номера счетов другое. По каналу ПЭМИН вероятность получить конкретную информацию по конкретному субъекту в базе данных обрабатываемой с разными субъектами постоянно, не зная конкретно времени обработки для данного субъекта
(в режиме мониторинга) ВЕРОЯТНОСТЬ КРАЙНЕ МАЛА.
4. Трудозатраты солидные не менее 500 тысяч $.
5 (или 6) см. п 4
Все пункты ИХМО.
Но вопрос не в том, а в том в какую сумму вы оцениваете ту информацию, которую пытаетесь снять. Если она оценивается гораздо большими цифрами или речь вообще идет о жизни человека, то перехват с помощью ПЭМИН целесообразен.

"разделяю полностью, раздувание щек при рассказах о пэминах достало"

А кто щеки то надувает? Никто вроде не требует и не бъет себя пяткой в грудь. Хотите делайте хотите не делайте хозяин барин, вам же отвечать за последствия как оператору. Если в модели угроз считаете эту угрозу маловероятной то и не оценивайте и не защищайте кто против то.

sekira

1. Ссылочку, плиз, на девайс. Оч любопытно, что так недорого продают такую нужную весчь? И чтож оно такое специальное-удобное-эффективное за так недорого? (Вы часом перехват ПЭМИН с перехватом и документированием ИНФОРМАЦИИ не перепутали?)
2. Ага (вы поскромничали, но ладно). Кстати работать будет не один специалист. Оператор перехватит и запишет. Есть ещё дешифровка и анализ. Ну ещё кой чего по мелочи...
3. В первый раз я привел конкретный пример системы. На Вы на вопрос ответили.
4. Трудозатраты считаются в часах. Стоимость работ - в денежных единицах.

Итого: Стоимость получения информации (ПДн) о конкретном субъекте по каналу ПЭМИН из конкретной ИС- ЗАПРЕДЕЛЬНАЯ! За 5-10% от этой суммы вам не то что скачают, харды вынесут, а весь сервер привезут куда скажете.

С учётом вышесказанного вот это вот:
"Но вопрос не в том, а в том в какую сумму вы оцениваете ту информацию, которую пытаетесь снять. Если она оценивается гораздо большими цифрами или речь вообще идет о жизни человека, то перехват с помощью ПЭМИН целесообразен" - СЛОВОБЛУДИЕ.

СТР-К, методики Минздрава и 58 приказ жечь не буду - пепел не пригодится.

А чё это msergey, ЛабТЗИ молчит? Неужели отвечать на такие вопросы стремно?

Для Некто.
Я собственно не понимаю какой предмет обсуждения конкретно? Что Вы пытаетесь доказать? Что нет необходимости оценки защищенности любой ИСПДн и любой АС обрабатывающей конфиденциальную информацию по каналам ПЭМИН поскольку затраты на съем информации гараздо дороже самой информации?
Давайте конкретезируем предмет обсуждения!

Вот еще небольшая статейка в эту тему:
http://www.comprice....il.php?ID=41098.

Для msergey, ЛабТЗИ
"А, вообще, парадоксально: отказываться от закрытия канала ПЭМИН активными средствами защиты только на том основании, что нет утверждённых методик, как-то не по инженерному. В гостайне (!) можно, а тут нельзя? Нет методик, ай-яй-яй..."

Проблема не в методиках, в утвержденных нормах. В существующих методиках нормы вшиты в расчет.
Если захочется использовать свои методики то предется и нормы согласовывать со ФСТЭК. А на все письма ответ простой - пользуйтесь действующими методиками. На коммерческую тайну все проще заказчик подписал программу и пожалуйста.