Межсетевой экран для ИСПДн - Форум по вопросам информационной безопасности

Не волнуйтесь, в пенсионном и других ведомствах есть средства шифрования, используются достаточно давно, можете позвонить им и все уточнить.

В моей организации имеется одноранговая сеть: 1 сервер, 30 клиентов, все объединено в звезду на коммутаторе, который подключен к ИНТЕРНЕТ. На 10 клиентов из 30 и сервере обрабатываются ПДн (т.е. ИСПДн – это 1 сервер и 10 клиентов), как снизить затраты на приведение ИСПДн к требованиям законодательства(в части межсетевого экранирования):
1. Придется применять сертифицированные программные МСЭ (например VipNet Personal Firewall) на каждом ПК, имеющим физическое подключение к коммутатору (т.е. на всех 30 клиентах и 1 сервере, которые можно считать имеют реальное или потенциально возможное подключение к Интернету?
2. Либо лучше поставить перед коммутатором сертифицированный программно-аппаратный МСЭ с VLAN (т.е. тем самым сегментировать сеть на ИСПДн и остальную часть). Но хватит ли одного сертифицированного МСЭ с VLAN (расположенного до коммутатора) для реализации требований по межсетевому экранированию для ИСПДн 2-го класса, либо все равно СОВМЕСТНО с VLAN придется дополнительно применять персональные МСЭ (Vipnet Personal Firewall)на клиентских машинах, но уже в меньшем количестве (для 10 клиентов и 1 сервера, входящих в состав ИСПДн)?

Второй вариант очень разумный, выделяйте vlan с сервером и 10 ПК, ставьте между этим vlan и вашим коммутатором МЭ - это с лихвой хватит.
Мы также делаем в своей организации.
Необходимости ставить персональные файрволы нет.

просто так для размышления, а на коммутаторе настроены какие-нить acl, чтобы ограничить доступ из нета...ведь по Вашим словам из коммутатора(я так понял уровня 3) линк идет прямо к провайдеру...
а так из нета ходи в вашу сеть, делай что хочешь...

Все-таки делают люди на Vlan сети, куда смотрит ФСТЭК? ))

Олег,а чем это противоречит требованиям ФСТЭК???просто интерфейсам межсетевого экрана не присваиваем ip дабы не вносить дополнительные проблемы с маршрутизацией в сеть. Порты и ip МЭ смотрит, а что еще надо чтобы выполнить требования ФСТЭК?
Если бы мы просто vlan разделили сеть, тогда конечно, а в нашем решении никаких минусов не вижу...
A то что ФСТЭК не знает до сих пор про vlan - это уже давно избитая история.

Да я двумя руками за Vlan, порсто хочется быть 100% уверенным что это "прокатит" для Фстэк. Мы из-за этого некоторые участки ведем по отдельным волокнам оптики.

2александр 21812
в законе № 184

Статья 23. Обязательное подтверждение соответствия

1. Обязательное подтверждение соответствия проводится только в случаях, установленных соответствующим техническим регламентом, и исключительно на соответствие требованиям технического регламента.

Объектом обязательного подтверждения соответствия может быть только продукция, выпускаемая в обращение на территории Российской Федерации.

Статья 19. Принципы подтверждения соответствия
1. Подтверждение соответствия осуществляется на основе принципов:
...
установления перечня форм и схем обязательного подтверждения соответствия в отношении определенных видов продукции в соответствующем техническом регламенте;
...
недопустимости применения обязательного подтверждения соответствия к объектам, в отношении которых не установлены требования технических регламентов;
...
конкретная "схема оценки соответствия" должна быть приведена в соответствующем техническом регламенте

Просто хотелось бы узнать: на основании чего, Вы сделали вывод об обязательном применении сертифицированных СЗИ для ИСПДн?
Из 184 ФЗ этого не следует /или я не внимательно читал?/

фз 184
статья 7
...
Не включенные в технические регламенты требования к продукции или к связанным с ними процессам проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, правилам и формам оценки соответствия, правила идентификации, требования к терминологии, упаковке, маркировке или этикеткам и правилам их нанесения не могут носить обязательный характер.

Установка ПО на конкретное рабочее место оправдано только если этих рабочих мест меньше десятка. При большем количестве рабочих мест имеет смысл установка сертифицированного МСЭ. Во первых удобство управления выше. Во вторых дешевле в итоге будет. Надежность так-же повышается (по сравнению с ПО). Если у вас сеть в одном помещении и никто физически подключиться к ней не может минуя сертифицированный МСЭ то этого для ФСТЭК вполне достаточно. И вообще больше на документы напирайте, никто на ваши вланы смотреть не будет. К сожалению в нашей стране ИБ больше похоже на фикцию, поэтому ведите нормально документы а вопросы ИБ решайте по уму, а не как крючкотворы наши повыдумывали.