Межсетевой экран для ИСПДн - Форум по вопросам информационной безопасности

Гость, Пользователь | 22385

Вопрос в другом, если у пользователя будет вылазить какое нибудь предупреждение, надо будет получается постоянно к нему бегать и это будет немного напряжно, особеннно учитываю уровень компьютерных знаний сотрудников бухгалтерии и кадров там вобще паника начнется:) что это с ним такое:)

В таком случае придется погружаться в нюансы модели угроз (чего не хочется делать) и фактически специфицировать, что в организации не может быть потенциального нарушителя (???). Дело в том, что компьютер, обрабатывающий перс. данные, должен быть так же защищен (по сети) от машин в той же самой локальной сети, но не обрабатывающих перс. данные. Вы предлагаете создать по сути VLANы (которые, кстати, ФСТЭК не признает), но они не помогут, так как в первую очередь предназначены для удобства администрирования.
Наверное, можно пойти и таким путем, но аттестоваться будет уже сложней и придется повозиться с моделью угроз, чтобы это все обосновать.
С точки зрения аттестации два безгеморных пути: создание физического периметра с установленным МЭ или персональные МЭ на АРМах.

Алекс, бегать Вам все равно придется, к сожалению. А сейчас вы разве не бегаете?
А если к этому добавить, что в основном требования 58-го приказа относятся к СЗИ от НСД, то на самом деле ситуация еще более усугубляется с "беготней".
Конечно, "правильней" всего это периметровый МЭ с физической сегментацией, но не каждый пойдет на это.

Алекс, бегать Вам все равно придется, к сожалению. А сейчас вы разве не бегаете?
А если к этому добавить, что в основном требования 58-го приказа относятся к СЗИ от НСД, то на самом деле ситуация еще более усугубляется с "беготней".
Конечно, "правильней" всего это периметровый МЭ с физической сегментацией, но не каждый пойдет на это.

Сейчас у нач все только организовывается, так что пока только бегаю бумажки подписывать:)

А вы сами ставили это перс. МЭ?

Ставил пока только демо версию, интерфейс очень приятный, конфигурить особого ничего не пришлось, правила есть. У SSEPа пока нет централизованного управления, но как сказали в КБ, что оно выйдет попозже. В общем, пока тоже к разным вариантам присматриваюсь.
Удалось выяснить, что этот продукт (SSEP) был изначально разработан Агнитумом, потом Агнитум и КБ совместно доделали его, чтобы он соответствовал требованиям ФСТЭК и был сертифицирован.

А для какого количества машин ты хочешь ставить его? Я вот думаю а как от анализа траффика защищаться?

Шифруй пакеты, какие проблемы?

А откуда известно что ФСТЭК vlan не признает? Например на АПКШ Континент есть их же сертификат. Vlan поддерживается.

Что значит - признает/не признает VLAN. Как функционал управления сетью - естественно признает, а вот как средство разграничения доступа - не рассматривается.