Защита информации
Нормативно-правовые акты в области информационной деятельности и деятельности по защите информации. Правовое обеспечение защиты гостайны. Закон "О государственной тайне". Задачи систем обеспечения безопасности информации в автоматизированных системах.
| Рубрика | Государство и право |
| Вид | курс лекций |
| Язык | русский |
| Дата добавления | 14.11.2008 |
| Размер файла | 319,4 K |
Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже
Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.
Аутентификация заключается в проверке подлинности пользователей по предъявленному идентификатору, например при входе в систему. Такая проверка должна исключать фальсификацию пользователей в системе и их компрометацию. Без проверки подлинности теряется смысл в самой идентификации пользователей и применения средств разграничения доступа и защиты информации, построенных на базе личных идентификаторов. Отсутствие надежных средств проверки подлинности пользователей может существенно затруднить определение персональной ответственности за осуществленные нарушения безопасности системы.
Проверка подлинности (аутентификация) может проводится различными методами и средствами. В общем случае такие методы основываются на том, что конкретный пользователь в отличие от других знает код, пароль, имеет ключ, жетон, карту. Проверка подлинности может также осуществляться с помощью биометрических характеристик отпечатков пальцев, формы кисти руки, сетчатки глаза, голоса и т.п.
Для аутентификации пользователей применяется широкий спектр устройств, которые по принципу своей работы разделяются по видам идентификации: по магнитным картам; по отпечаткам пальцев; по геометрии кисти руки; по сетчатке глаза; по подписи; по голосу.
Наибольшее распространение получили устройства идентификации по индивидуальным магнитным картам [9]. Популярность таких устройств
объясняется универсальное-то их применения (не только в автоматизированных системах), относительно низкой стоимостью и высокой точностью. Такие устройства легко комплексируются с терминалом и ПЭВМ. Поскольку считыватели этих устройств идентифицируют не личность, а магнитную карту, то они компонуются специальной, часто цифровой клавиатурой для ввода владельцем карты своего шифра, пароля. Для защиты карт от несанкционированного считывания и подделки применяются специальные физические и криптографические методы.
Основными характеристиками устройств аутентификации являются:
частота ошибочного отрицания законного пользователя;
частота ошибочного признания постороннего;
среднее время наработки на отказ;
число обслуживаемых пользователей;
стоимость;
объем циркулирующей информации между считывающим устройством и блоком сравнения;
приемлемость со стороны пользователей.
Исследования и испытания биометрических устройств аутентификации показали, что частота ошибочного отрицания несколько превышает частоту ошибочного признания и составляет от сотых до тысячных долей процента и менее.
Так, отечественное устройство аутентификации по подписи имеет частоту ошибочного отрицания, приблизительно равную частоте ошибочного признания, и составляет около 0,005.
Исследования устройств аутентификации по голосу, проведенные фирмой Bell, показали, что распознавание речи можно осуществлять с частотой ошибочного отрицания и ошибочного признания равными 0,012. В связи с этим был сделан вывод о нецелесообразности применения таких устройств.
Основным выводом, полученным из опыта создания устройств аутентификации, является то, что получение высокой точности аутентификации возможно только при сочетании различных методов. Дополнительный ввод с клавиатуры обеспечивает приемлемую вероятность правильной аутентификации.
Программные средства аутентификации, применяемые в большинстве ОС, СУБД, мониторов телеобработки, сетевых пакетов, основаны на использовании парольной системы доступа. Однако многие из них достаточно легко вскрываются или обходятся. Например, в ОС RSX-11M в стандартной конфигурации отсутствуют средства шифрации паролей в файле счетов пользователей. В процессе загрузки этой ОС можно легко просмотреть пароли всех пользователей, включая привилегированный пароль системного пользователя. Более безопасные системы осуществляют хранение списков паролей пользователей в зашифрованном виде на основе необратимых преобразований. В то же время перехват даже зашифрованного пароля, например в сети типа DECnet, позволяет при его использовании получить несанкционированный доступ к удаленной ЭВМ. Теоретические аспекты парольных систем достаточно хорошо проработаны и позволяют оценить необходимую длину пароля, исходя из технических характеристик конкретной автоматизированной системы. Различные модификации парольных систем (выборка символов, пароли однократного использования, метод "запрос-ответ") могут значительно повысить безопасность системы.
Не меньшее значение имеет для пользователя также аутентификация системы, с которой он взаимодействует. Это особенно актуально в сети ЭВМ, когда пользователь хочет взаимодействовать только с данной ЭВМ сети и поэтому желает убедиться в ее подлинности. Использование подставной ЭВМ, ОС или программы является одним из путей несанкционированного получения паролей законных пользователей или сообщений. Одним из методов уменьшения такой угрозы является применение процедур "запрос-ответ" и их разновидностей, а также криптографических средств [10]. Такая взаимная аутентификация имеет важное значение и для взаимодействующих программ и процессов, особенно в среде сети ЭВМ, локальных вычислительных сетей. Необходимость взаимной аутентификации сетевых процессов подтверждена международным стандартом по взаимодействию открыло систем.
Одним из распространенных методов установления подлинности программных средств и файлов является также использование контрольного суммирования. Алгоритмы подсчета контрольных сумм варьируются по своей надежности в больших пределах. Наиболее безопасными являются сертифицированные криптографические алгоритмы подсчета контрольных сумм, результаты которых практически не поддаются подделке. Их примером является режим имитовставки стандартного алгоритма криптографического преобразования ГОСТ 28147-89. Однако такие алгоритмы вносят немалые издержки.
Большое распространение для аутентификации аппаратурных средств вычислительной техники (ЭВМ, терминалов, внешних устройств) получили специальные аппаратные блоки-приставки. Такие блоки, будучи подключенными к аппаратуре, могут генерировать особые уникальные последовательности сигналов, подтверждая подлинность соответствующих устройств [17, 19]. Такой метод используется также для защиты программных комплексов от несанкционированного копирования. В этом случае защищаемые программные средства периодически опрашивают такие блоки и при их отсутствии блокируют работу всей системы [11].
Современным средством аутентификации является цифровая подпись (ЦП). В основе ЦП лежат криптографические преобразования информации. Получаемые цифровые сигнатуры обладают высоким уровнем защиты от подделки. Криптографическое преобразование может быть применено как к документу в целом, так и только к удостоверяющим реквизитам. Соответственно ЦП подтверждает либо подлинность документа в целом (одновременно контролируется целостность документа), либо удостоверяющих реквизитов. Более подробно о ЦП см. в [34].
Необходимо отметить, что все методы аутентификации в случае неподтверждения подлинности, должны осуществлять временную задержку перед обслуживанием следующего запроса на аутентификацию. Такое условие необходимо для снижения угрозы подбора паролей в автоматическом режиме. Неуспешные попытки подтверждения подлинности целесообразно регистрировать в системном журнале и/или сигнализировать на терминал или АРМ администратора системы, что связано с надзором (контролем) за безопасностью системы.
5. Методы контроля доступа
В практике работы на ЭВМ контроль доступа заключается в реализации того или иного вида матрицы доступа. Схемы разграничения доступа удобно разделить на две группы: - "списковые" схемы, в которых защитные механизмы встраиваются в каждый объект и осуществляют контроль в соответствии со списками доступа данного объекта; - "мандатные" схемы, в которых защитный механизм объекта реагирует на некоторый мандат, и субъект должен иметь набор мандатов для доступа ко всем Необходимым ему объектам, т.е. схема основана на домене субъекта.
При разделении функций адресации и защиты удобно разбить память на области или сегменты, каждый из которых снабжен своим идентификатором и имеет непересекающийся с другими сегментами диапазон адресов. Реализация механизма защиты памяти на той или иной ЭВМ существенно влияет на построение схемы контроля доступа.
Например, в ЭВМ фирмы Burroughs, системе Multics фирмы Honey well, "Минск-32", ПЭВМ с процессорами, обеспечивающими защиту памяти, адресные дескрипторы в равной степени принадлежат всем пользователям и не содержат атрибутов доступа - они состоят только из базы и границ памяти. Данный механизм наиболее пригоден для реализации мандатной схемы контроля доступа. Мандатом здесь может являться находящееся в памяти значение дескриптора защиты.
В то же время на ЭВМ типа IВМ Р4 в процессоре содержатся регистры для дескрипторов защиты, в состав которых включены атрибуты доступа. Доступ к этим регистрам возможен только привилегированными командами процессора. Данный механизм наиболее подходит для реализации схемы контроля доступа со списками доступа. Причем списки могут быть как "индивидуальными", так и "групповыми" для сокращения объемов матриц доступа, если это возможно.
Обычно необходимость контроля доступа возникает при разделении пользования каким-либо ресурсом многими субъектами. При этом разнообразие предлагаемых схем и механизмов контроля доступа к информации в программной реализации весьма велико. Рассмотрим только некоторые из них.
1. Системы без схем защиты. В некоторых системах полностью отсутствуют механизмы, препятствующие определенному пользователю получить доступ к информации, хранимой в системе. Хотя на современном этапе развития СЗИ эти системы уже не представляют интереса, о них следует упомянуть потому, что до сих пор некоторые из них широко использовались и используются. Это, например, DOS для IBM 360/370, MS и PC DOS для ПЭВМ.
2. Системы, построенные по принципу "виртуальной машины". В таких системах обеспечивается взаимная изоляция пользователей, за исключением только некоторого количества общей информации. Система из числа доступных ей ресурсов выделяет некоторые в полное распоряжение пользователя, который может считать, что имеет в своем распоряжении собственную ЭВМ. Здесь разграничение доступа реализовано путем полного изолирования пользователей друг от друга. Данная схема в чистом виде делает затруднительным взаимодействие пользователей, поэтому иногда здесь приходится вводить помимо изолирования элементы разграничения доступа, например парольный доступ к некоторым ресурсам совместного использования. К числу подобных систем относятся, VM/370 для IBM, СВМ для ЕС ЭВМ и некоторые другие.
3. Системы с единой схемой контроля доступа. Для обеспечения прямого контроля доступа к отдельным ресурсам в системе необходимы более сложные схемы, чем до сих пор рассматривались. В таких системах с каждым информационным элементом может быть связан "список авторизованных пользователей", причем владелец элемента может различным пользователям предписать различные режимы его использования - для чтения, для записи или для выполнения. Среди функционально полных систем такого рода можно отметить систему ADEPT-50.
4. Системы с программируемыми схемами разграничения доступа. Часто необходимость разграничения доступа может определяться смысловым содержанием информационного элемента или контекстом, в котором этот элемент используется. Сложность в прямой реализации подобных механизмов разграничения приводит к механизму разграничения, основанному на понятии "доверенной" программной среды. При этом выделяются защищенные объекты и защищенные подсистемы. Защищенная подсистема представляет собой совокупность программ и данных, обладающих тем свойством, что правом доступа к данным (т.е. защищенным объектам) наделены только входящие в подсистему программы. В итоге программы подсистемы полностью контролируют доступ к данным и могут реализовать любой необходимый алгоритм их обработки и разграничения доступа. Пользователь же имеет возможность получения только опосредованного доступа к данным, только через программы защищенной подсистемы, доступ к которым может быть предоставлен уже традиционными способами. Здесь из общеизвестных можно привести системы Multics и UNIX.
5. Системы динамического распределения прав. Большинство из представленных выше схем разграничения основаны на статической модели разграничения доступа, когда каждый из имеющихся объектов уже внесен в
матрицу разграничения доступа перед началом обработки. Проблемы возникают в момент порождения новых объектов: где, на каких носителях их можно размещать, какие права давать пользователям на доступ к этим объектам и т.д. В вычислительных системах реализация подобных схем носит фрагментарный характер вследствие своей сложности. Например, в системе ADEPT-50 прослеживается уровень секретности всех документов, помещаемых в файл, и при выдаче содержимого из файла автоматически присваивается максимальный уровень секретности из числа использованных.
Лекция 7. Организация работ по защите информации, обрабатываемой техническими средствами
Вопросы:
Организационно-технические мероприятия по защите информации.
Вопросы проектирования, внедрения и эксплуатации АС и их систем зашиты информации.
1 Организационно-технические мероприятия по защите информации
Организация работ по защите информации, составляющей государственную и служебную тайну, при ее обработке техническими средствами определяется в целом "Положением о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от се утечки по техническим каналам".
Мероприятия по защите информации, обрабатываемой техническими средствами, осуществляются во взаимосвязи с другими мерами по обеспечению установленного законами Российской Федерации "Об информации, информатизации и защите информации" и "О государственной тайне" комплекса мер по защите сведений, составляющих государственную и служебную *) тайну.
В то же время эти мероприятия являются составной частью работ по созданию и эксплуатации систем информатизации учреждений и предприятий, располагающих такой информацией, и должны проводиться в установленном нормативными документами порядке в виде системы защиты секретной информации (СЗСИ).
Право на проведение работ со сведениями, составляющими государственную тайну, на разработку СЗИ и осуществление мероприятий по защите тайны предоставляется учреждениям и предприятиям в соответствии с "Положением о лицензировании деятельности предприятий, учреждений и организаций по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, оказанием услуг по защите государственной тайны" [19], а при оказании услуг в области защиты информации - и с "Положением о государственном лицензировании деятельности в области защиты информации" [20] по видам деятельности, являющимся компетенцией Гостехкомиссии России и ФАПСИ.
В соответствии с требованиями указанных документов право на обработку информации, составляющей государственную тайну, техническими средствами предоставляется только предприятиям, получившим лицензию на право проведения работ со сведениями соответствующей степени секретности, а на оказание услуг сторонним учреждениям и предприятиям - предприятиям, имеющим лицензию Гостехкомиссии России или ФАПСИ на право осуществления соответствующих видов деятельности в области защиты информации. Перечень таких предприятий с указанием конкретных видов деятельности публикуется Гостехкомиссией России и ФАПСИ.
Защита информации осуществляется путем выполнения комплекса мероприятий по предотвращению утечки информации по техническим каналам, за счет несанкционированного доступа к ней, предупреждения преднамеренных программно-технических воздействий с целью уничтожения или искажения информации в процессе ее обработки, передачи и хранения.
*) Вопросы обращения со служебной информацией, в т. ч. машинными носителями информации, определяются "Положением о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти", утвержденным постановлением Правительства Российской Федерации от 03.11 94 № 1233.
Основными организационно-техническими мероприятиями по защите информации являются:
лицензирование деятельности предприятий в области защиты информации;
разработка средств защиты информации и контроля за ее эффективностью и их использование;
сертификация средств защиты информации и контроля за ее эффективностью;
создание и применение автоматизированных информационных систем в защищенном исполнении;
аттестация объектов и систем информатизации на соответствие требованиям безопасности информации при проведении работ со сведениями соответствующей степени секретности.
Конкретные средства и меры защиты информации разрабатываются и применяются в зависимости от уровня секретности и ценности информации и от степени возможного ущерба в случае ее утечки, уничтожения, модификации.
Прежде чем перейти к вопросам непосредственной организации в учреждении, на предприятии работ по защите информации, обрабатываемой техническими средствами, проектирования, внедрения и эксплуатации систем информатизации, остановимся более подробно на проблеме обеспечения качества разрабатываемой, выпускаемой серийно и используемой потребителями защищенной техники и средств защиты информации, защищенных систем информатизации, а также оказываемых в области защиты информации услуг, имеющей ключевое значение в процессе информатизации и особенно защиты информации.
Проблему обеспечения качества продукции и услуг в области защиты информации можно условно разделить на три направления, взаимодополняющих друг друга:
лицензирование деятельности по оказанию услуг в области защиты информации;
сертификация средств и систем вычислительной техники и связи, СЗИ по требованиям безопасности информации;
аттестация объектов информатики по требованиям безопасности информации.
Каждое из этих направлении преследует свои цели, имеет свои отличительные особенности, занимает свою "нишу" в общей проблеме обеспечения качества продукции и услуг в области защиты информации. Они призваны стимулировать разработку на современном уровне и внедрение качественных средств и систем и защитить потребителя продукции и услуг от недобросовестной работы исполнителя (продавца).
Первостепенное значение в решении этой проблемы имеют требования по защите информации, изложенные в виде стандартов, иных нормативных и методических документов, которым должны отвечать эти средства и системы.
Для воплощения законодательных положений в жизнь необходим механизм их реализации в виде организационной структуры систем лицензирования деятельности в области защиты информации, сертификации продукции и аттестации объектов информатики по требованиям безопасности информации, возглавляемой органами государственного управления в пределах компетенции, определенной законодательством Российской Федерации, выполняющими организационную и координирующую деятельность в этом направлении, необходимы подзаконные нормативные акты, определяющие порядок создания и функционирования этих систем, стандарты и иные нормативные документы по безопасности информации, на соответствие требованиям которых проверяются средства и системы информатизации и услуги в этой области.
Необходимо также взаимодействие и объединение этих систем в рамках единой системы защиты информации, поддержанной в организационно-правовом, техническом и финансовом отношении на государственном уровне.
Основными нормативными актами системы, работающей под управлением Гостехкомиссии России, являются "Положение об обязательной сертификации продукции по требованиям безопасности информации" [22] и "Положение по аттестации объектов информатики по требованиям безопасности информации" 123].
Уместно заметить, что в соответствии с первым из них предложена обязательная сертификация, которой подлежат технические средства, в том числе иностранных) производства, предназначенные для обработки (передачи) информации, составляющей государственную тайну, для использования в управлении экологически опасными объектами, а также средства защиты и контроля защищенности такой информации. Об этом же говорится в ст.27 "Положения о государственной системе защиты информации...". Затраты на проведение обязательной сертификации продукции относятся на ее себестоимость и оплачиваются заявителями.
Несколько отличны требования по защите информации от НСД в АС.
Их отличие порождено тем, что СВТ разрабатываются и поставляются на рынок как элементы, из которых в дальнейшем проектируется АС, поэтому, не решая прикладных задач, СВТ не содержат пользовательской информации, которая собственно и подлежит защите. Следовательно, защищенность СВТ представляет собой потенциальную защищенность, т.е. свойство предотвращать или существенно затруднять НСД к информации, обрабатываемой в АС, построенной с использованием защищенных СВТ.
Но если защита СВТ обеспечивается только комплексом программно-технических средств, то защита АС обеспечивается как комплексом программно-технических средств, так и поддерживающих их организационных мер. Указанные отличия обусловили создание самостоятельных технических требований по защите информации, обрабатываемой в АС, от НСД в виде руководящего документа по стандартизации "Автоматизированные системы. Защита от НСД к информации. Классификация АС и требования по защите информации" [6], который должен использоваться заказчиками и разработчиками АС при формировании и реализации требований по защите.
Деление АС на соответствующие классы по условиям их функционирования с точки зрения защиты информации необходимо в целях разработки и применения обоснованных и экономически оправданных мер по достижению требуемого уровня защиты информации.
Дифференциация подхода к выбору методов и средств защиты определяется важностью обрабатываемой информации, различием АС по своему составу, структуре, способам обработки информации, количественному и качественному составу пользователей и обслуживающего персонала.
К числу определяющих признаков, по которым производится группировка АС по классам, относятся: наличие в АС информации различного уровня конфиденциальности, уровень полномочий субъектов доступа АС на доступ к конфиденциальной информации и режим обработки данных в АС, коллективный или индивидуальный.
Устанавливается девять классов защищенности АС от НСД к информации. Классы подразделяются на группы, отличающиеся особенностями обработки информации в АС.
Третья группа классифицирует АС, в которых работает один пользователь, допущенный ко всей информации АС, размещенной на носителях одного уровня конфиденциальности. Группа содержит два класса - ЗБ и ЗА.
Вторая группа классифицирует АС, в которых пользователи имеют одинаковые права доступа (полномочия) ко всей информации АС, обрабатываемой и (или) хранимой на носителях различного уровня конфиденциальности. Группа содержит два класса - 2Б и 2А.
Первая группа классифицирует многопользовательские АС, в которых одновременно обрабатывается и (или) хранится информация разных уровней
конфиденциальности и не все пользователи имеют право доступа ко всей информации АС. Группа содержит пять классов - 1Д, 1Г, 1В, 1Б и 1А.
Документом предусмотрено, что комплекс программно-технических средств и организационных решений по защите информации от НСД в общем случае реализуется в рамках системы защиты информации от НСД (СЗИ НСД), условно состоящей из следующих четырех подсистем: управления доступом, регистрации и учета, криптографической и обеспечения целостности (см. приложение).
Наличие и условия реализации требований в зависимости от класса АС приведены в табличном виде и представлены по группам классов.
В документе приведены условия использования в АС, предназначенной для обработки информации, являющейся собственностью государства и отнесенной к категории секретной, СВТ, защищенность которых определяется по РД "Показатели защищенности СВТ".
Кроме того, вопросы защиты информации и оценки качества в той или иной мере затрагивались в общем виде в ГОСТах серии В на проектирование, испытания и приемку, а также постановку на производство военной техники (ГОСТ В 15.210-78 "Испытания опытных образцов изделий", ГОСТ В 15.307-77 "Испытания и приемка серийных изделий" и ГОСТ В 15.211-78 "Порядок разработки программ и методик испытаний опытных образцов изделий. Общие положения".
В части сертификации программных средств с 1990 г. действует ГОСТ 28195-89 "Оценка качества программных средств".
Таким образом, при введении в действие систем сертификации качество продукции в рассматриваемой области будет оцениваться в соответствии с приведенными выше стандартами и иными нормативными документами по защите информации.
2. Вопросы проектирования, внедрения и эксплуатации АС и их систем зашиты информации
Рассматривая в предыдущей главе вопросы организационно-правового обеспечения безопасности информации, обрабатываемой техническими средствами и системами, имелось в виду прежде всего правовое регулирование на государственном уровне. Хотя отдельные аспекты права, организации работ захватывали и нижний уровень - уровень учреждений, а также предприятий различных форм собственности, использующих в своей деятельности технические средства для обработки информации, подлежащей защите, на котором возникает потребность в решении проблем безопасности информации, составляющей как государственную, служебную, так и коммерческую тайну, секреты производства (ноу-хау), а также безопасности самих автоматизированных систем, используемых, например, в управлении экологически опасными объектами.
Поэтому рассмотрим, как и с помощью каких организационных мероприятий и процедур могут решаться проблемы безопасности информации на всех этапах проектирования и эксплуатации автоматизированных систем и их систем защиты секретной (или иной подлежащей защите) информации (СЗСИ).
Организация защиты информации, обрабатываемой техническими средствами, возлагается на руководителей учреждений и предприятий, руководителей подразделений, разрабатывающих и эксплуатирующих системы информатизации, а методическое руководство и контроль за обеспечением защиты информации - на руководителей подразделений по защите информации службы безопасности предприятия-заказчика.
Система защиты секретной информации АС включает комплекс организационных, технических и программных (в т. ч. криптографических) средств и мероприятий по защите информации. Научно-техническое руководство и непосредственную организацию работ по созданию СЗСИ АС осуществляет главный конструктор этой системы или другое должностное лицо, обеспечивающее научно-техническое руководство всей разработкой системы информатизации.
Разработка СЗСИ производится подразделением, разрабатывающим на предприятии АС, либо специализированным предприятием, имеющим лицензию на этот вид деятельности в области защиты информации.
В случае разработки СЗСИ или ее отдельных компонент специализированным предприятием, имеющим лицензию на этот вид деятельности, на предприятии (в учреждении), для которого разрабатывается АС (предприятие-заказчик), определяется подразделение (или отдельные специалисты), ответственные за осуществление (внедрение и эксплуатацию) мероприятий по защите информации в ходе выполнения работ с использованием сведений, составляющих государственную тайну.
Разработка и внедрение СЗСИ АС проходит во взаимодействии с подразделениями по защите информации службы безопасности предприятия-заказчика, которые осуществляют на предприятии методическое руководство и участие в разработке конкретных требований по защите информации, аналитического обоснования необходимости создания СЗСИ, согласование выбора средств вычислительной техники и связи, технических и программных средств защиты, организацию работ по выявлению возможностей и предупреждению утечки секретной информации, участвуют в согласовании технических заданий на проведение работ, в аттестации АС по требованиям безопасности информации.
Организация в учреждении, на предприятии работ по созданию и эксплуатации АС и их СЗСИ приводится в "Положении о порядке организации и проведения на предприятии работ по защите информации, обрабатываемой техническими средствами", с учетом конкретных условий определяющем: - подразделения и отдельных специалистов, в том числе специализированных предприятий, участвующих в разработке и эксплуатации СЗСИ АС, их задачи и функции на различных стадиях создания СЗСИ; - вопросы взаимодействия всех задействованных в этой работе подразделений и специалистов: - ответственность должностных лиц за своевременность и качество постановки требований по защите информации, за качество и научно-технический уровень разработок СЗСИ.
Устанавливаются следующие стадии создания СЗСИ:
1) предпроектная стадия, включающая обследование объекта информатизации, разработку аналитического обоснования необходимости создания СЗСИ и раздела технического задания на создание АС по разработке СЗСИ;
2) стадия разработки проектов, включающая разработку СЗСИ в составе АС;
3) стадия ввода в действие СЗСИ, включающая опытную эксплуатацию и приемочные испытания средств защиты информации, а также аттестацию АС по требованиям безопасности информации.
В комплексе работ по созданию АС должна предусматриваться опережающая разработка и внедрение СЗСИ. Поясним, что это такое. Система защиты секретной информации реализуется в виде подсистемы АС и включает комплекс организационных, программно-технических (в том числе криптографических) средств, систем и мероприятий по защите информации. СЗСИ состоит из системной и функциональной частей. Системная часть является общей и применяется при разработке, внедрении и эксплуатации всех или большинства задач АС, функциональная часть обеспечивает защиту информации при решении конкретной задачи и специфична для нее. Поэтому от своевременной постановки и правильного решения вопросов системной части СЗСИ зависит своевременность разработки и эффективность самой автоматизированной системы.
1. На предпроектной стадии по обследованию объекта информатизации:
устанавливается необходимость обработки секретной информации в АС, подлежащей разработке, оценивается ее степень секретности и объемы;
определяются режимы обработки этой информации, комплекс основных технических средств, условия расположения объекта информатизации, общесистемные программные средства, предполагаемые к использованию в разрабатываемой АС;
определяется категория СВТ;
определяется класс АС;
определяется степень участия персонала АС в обработке (передаче, хранении, обсуждении) информации, характер их взаимодействия между собой и с подразделениями защиты информации;
оценивается возможность использования имеющихся на рынке сертифицированных средств защиты информации;
определяются мероприятия по защите секретной информации на стадии разработки АС;
на основе действующих государственных нормативных документов по защите информации с учетом установленных категории СВТ и класса защищенности АС задаются конкретные требования к СЗСИ АС, включаемые в раздел ТЗ на создание АС по разработке СЗСИ.
Результаты предпроектного обследования в части наличия подлежащей защите информации и оценки ее уровня конфиденциальности и ценности базируются только на документально оформленных перечнях сведений, будет ли этот перечень сведений, подлежащих засекречиванию или перечень сведений, составляющих служебную или коммерческую тайну.
Наличие таких перечней является необходимым условием, но недостаточным для решения вопроса об уровне конфиденциальности информаций, обрабатываемой в АС. В целях решения этого вопроса необходимо проанализировать структуру информационного обеспечения системы, необходимость наличия в ней защищаемых интегрированных сведений, объемы и формы представления информации для пользователей и другие составляющие.
Степень секретности (конфиденциальность) обрабатываемой информации определяется заказчиком АС и документально за подписью соответствующего руководителя представляется разработчику СЗСИ.
Предпроектное обследование может быть поручено специализированному предприятию, имеющему лицензию на этот вид деятельности, но и в этом случае анализ информационного обеспечения в части секретной информации целесообразно выполнять представителям предприятия-заказчика при методической помощи специализированного предприятия.
На основании результатов предпроектного обследования разрабатываются аналитическое обоснование необходимости создания СЗСИ и раздел ТЗ на ее разработку.
"Аналитическое обоснование необходимости создания СЗСИ" должно содержать:
информационную характеристику и организационную структуру объекта информатизации;
характеристику комплекса основных и вспомогательных технических средств, программного обеспечения, режимов работы, технологического процесса обработки информации;
возможные каналы утечки информации и перечень мероприятий по их устранению и ограничению;
предлагаемые к использованию сертифицированные средства защиты информации;
оценку материальных, трудовых и финансовых затрат на разработку и внедрение СЗСИ;
ориентировочные сроки разработки и внедрения СЗСИ;
обоснование необходимости привлечения специализированных предприятий для разработки СЗСИ;
перечень мероприятий по защите секретной информации на стации разработки АС.
Раздел "Технического задания на создание АС" на разработку СЗСИ должен содержать:
основание для разработки;
исходные данные создаваемой АС в техническом, программном, информационном и организационном аспектах;
категорию СВТ;
класс защищенности АС;
ссылку на государственные нормативные документы, с учетом которых будет разрабатываться СЗСИ и аттестовываться АС;
конкретизацию требований к СЗСИ на основе государственных нормативных документов и установленных категории и класса защищенности;
перечень предполагаемых к использованию сертифицированных средств защиты информации;
обоснование проведения разработок собственных средств защиты информации, невозможности или нецелесообразности использования имеющихся на рынке сертифицированных средств защиты информации;
состав и содержание работ по этапам разработки и внедрения, сроки и объемы финансирования работ;
перечень предъявляемой заказчику научно-технической продукции и документации.
Важным, с экономической точки зрения, является принятие решения исходя из требований к АС в целом и СЗСИ, в частности, о выборе из имеющихся на рынке сертифицированных средств защиты информации, привлечении лицензированного предприятия или о разработке специализированных средств собственными силами. Однако при этом не следует забывать об их последующей сертификации при необходимости обработки секретной информации.
В целях дифференцированного подхода к защите информации производится категорирование средств и систем вычислительной техники, предназначенных для обработки, передачи и хранения секретной информации, и классификация АС, предназначенных для обработки секретной и иной конфиденциальной информации.
Категория средств и систем вычислительной техники устанавливается в соответствии с действующим "Положением по категорированию объектов ЭВТ на территории СССР" (ПКО ЭВТ).
Класс защищенности АС от несанкционированного доступа к информации устанавливаются в соответствии с требованиями руководящего документа Гостехкомиссии России "Автоматизированные системы. Защита от НСД к информации. Классификация АС и требования по защите информации".
Па основании требований п.2.18. этого РД устанавливается следующий порядок классификации АС в зависимости от степени секретности обрабатываемой информации:
АС, обрабатывающие информацию с грифом "секретно", должны быть отнесены по степени защищенности к классам ЗА, 2А и не ниже 1В;
АС, обрабатывающие информацию с грифом "совершенно секретно", должны быть защищены по классам ЗА, 2А и не ниже 1Б;
АС, обрабатывающие информацию с грифом "особой важности", должны быть защищены по классам ЗА, 2А, 1 А.
2. На стадии проектирования АС и СЗСИ в ее составе на основе предъявляемых к системе требований и заданных заказчиком ограничений на финансовые, материальные, трудовые и временные ресурсы осуществляются:
разработка задания и проекта на строительство или реконструкцию объекта информатизации в соответствии с требованиями ТЗ на разработку СЗСИ:
разработка раздела технического проекта на АС в части СЗСИ;
строительно-монтажные работы по оборудованию (переоборудованию) объекта информатизации в соответствии с проектной документацией, утвержденной заказчиком;
разработка организационно-технических мероприятий по защите объекта информатизации в соответствии с предъявляемыми требованиями;
закупка сертифицированных серийно выпускаемых в защищенном исполнении технических средств обработки, передачи и хранения информации;
закупка и специальные исследования на побочные электромагнитные излучения и наводки несертифицированных технических средств с выдачей предписаний на их эксплуатацию;
специальная проверка импортных технических средств на предмет возможно внедренных в эти средства специальных электронных устройств ("закладок");
размещение и монтаж технических средств АС;
закупка сертифицированных серийно выпускаемых технических и программных (в том числе криптографических) СЗИ и их адаптация;
разработка и последующая сертификация программных СЗИ в случае, когда на рынке отсутствуют требуемые программные средства;
объектовые исследования технических средств АС на побочные электромагнитные излучения и наводки с целью определения соответствия установленной категории для этих технических средств;
монтаж средств активной защиты в случае, когда по результатам специальных или объектовых исследований технических средств не выполняются нормы защиты информации для установленной категории этих технических средств;
организация охраны и физической защиты объекта информатизации и отдельных технических средств;
разработка и реализация разрешительной системы доступа пользователей и эксплуатационного персонала АС к обрабатываемой информации, оформляемом в виде раздела "Положения о разрешительной системе допуска исполнителей к документам и сведениям в учреждении (на предприятии)";
определение заказчиком подразделений и лиц, ответственных за эксплуатацию СЗСИ, обучение назначенных лиц специфике работ по защите информации на стадии эксплуатации АС;
выполнение генерации пакета прикладных программ в комплексе с программными средствами зашиты информации;
разработка организационно-распорядительной и рабочей документации по эксплуатации АС в защищенном исполнении, а также средств и мер защиты информации (приказов, инструкций и других документов).
Для эффективной и надежной с точки зрения обеспечения безопасности информации работ АС необходимо правильно организовать разрешительную систему доступа пользователей к информации в АС, т.е. предоставить пользователям право работать с той информацией, которая необходима им для выполнения своих функциональных обязанностей, установить их полномочия по доступу к информации. Это означает, что необходимо определить и оформить порядок установления уровня полномочий пользователей, а также круга лиц, которым это право предоставлено, установить правила разграничения доступа,
регламентирующие права доступа субъектов к объектам, т.е. не только кто из пользователей АС и их программ допускается к тем или иным, программам, файлам, записям, но и какие действия при этом они могут осуществлять (читать, писать, выполнять). Все это оформляется службой безопасности информации или администратором АС в виде матрицы доступа или иных правил разграничения доступа.
Среди организационных мероприятий по обеспечению безопасности информации - охрана объекта, на котором расположена защищаемая АС (территория, здания, помещения, хранилища информационных носителей), путем установления соответствующих постов технических средств охраны или любыми другими способами, предотвращающими или существенно затрудняющими хищение СВТ, информационных носителей, а также НСД к СВТ и линиям связи.
Следует отметить, что в последнее время в направлении физической защиты помещений, самих СВТ, информационных носителей наблюдается смещение акцентов в сторону использования в этих целях средств защиты, основанных на новых принципах. Например, доступ в помещения разрешается и контролируется с помощью АС, оконечными устройствами которой являются различного рода терминалы, использующие средства аутентификации на различных физических принципах, с помощью которых осуществляется разграничение доступа в помещения, вход в систему и т.д.
3. На стадии ввода в действие АС и СЗСИ в ее составе осуществляются:
опытная эксплуатация разработанных или адаптированных средств защиты информации в комплексе с прикладными программами в целях проверки их работоспособности и отработки технологического процесса обработки информации;
приемочные испытания СЗИ по результатам опытной эксплуатации с оформлением приемо-сдаточного акта, подписываемого разработчиком (поставщиком) и заказчиком;
аттестация АС по требованиям безопасности информации, которая производится аккредитованным в установленном порядке органом по аттестации в соответствии с "Положением по аттестации объектов информатики по требованиям безопасности информации", действующим в системе сертификации продукции и аттестации объектов информатики, работающей под управлением Гостехкомиссии России.
При положительных результатах аттестации владельцу АС выдается "Аттестат соответствия АС требованиям безопасности информации". Эксплуатация АС осуществляется в полном соответствии с утвержденной организационно-распорядительной и эксплуатационной документацией, предписаниями на эксплуатацию технических средств.
Технология обработки информации в АС различна и зависит от используемых СВТ, программных средств, режимов работы. Не вдаваясь в особенности технологического процесса, обусловленные различиями в технике, программном обеспечении и другими причинами, можно констатировать, что основной характерной особенностью, связанной с обработкой секретной или иной подлежащей защите информации, является функционирование системы защиты информации от НСД (СЗИ НСД) как комплекса программно-технических средств и организационных (процедурных) решений, предусматривающей учет, хранение и выдачу пользователям информационных носителей, паролей, ключей, ведение служебной информации СЗИ НСД (генерацию паролей, ключей, сопровождение правил разграничения доступа), оперативный контроль за функционированием СЗСИ, контроль соответствия общесистемной программной среды эталону и приемку включаемых в АС новых программных средств, контроль за ходом технологического процесса обработки информации путем регистрации анализа действий пользователей, сигнализации опасных событий.
Перечисленные составляющие являются функциональной направленностью службы безопасности информации, администратора АС и фиксируются, с одной стороны, в положениях об этих службах и общей организационной документации по обеспечению безопасности информации ("Положение о порядке организации и проведения на предприятии работ по защите информации в АС", "Инструкция по защите информации, обрабатываемой в АС предприятия", разделе "Положения о разрешительной системе допуска исполнителей к документам и сведениям на предприятии", определяющем особенности системы допуска в процессе разработки и функционирования AQ, а с другой стороны, в проектной документации СЗИ НСД (инструкциях администратору АС, службе безопасности информации, пользователю АС).
Следует отметить, что без надлежащей организационной поддержки программно-технических средств защиты информации от НСД и точного выполнения предусмотренных проектной документацией процедур в должной мере не решить проблему обеспечения безопасности информации в АС, какими бы совершенными эти программно-технические средства не были.
Контроль состояния и эффективности защиты информации осуществляется подразделениями по защите информации службы безопасности предприятия-заказчика и заключается в проверке по действующим методикам выполнения требований нормативных документов по защите информации, а также в оценке обоснованности и эффективности принятых мер.
Лекция 8. Комплекс технических средств, программного обеспечения, технологического процесса обработки информации при использовании системы электронного документооборота с ОПФР
1. Информационная характеристика предприятия, экономическое обоснование необходимости внедрения системы электронного документооборота с ОПФР.
2. Характеристика комплекса технических средств, программного обеспечения, режимов работы, технологического процесса обработки информации.
3. Перечень подготавливаемых документов при использовании системы электронного документооборота с ОПФР. Характеристика СКЗИ "Верба", порядок работы с ней при использовании системы электронного документооборота с ОПФР.
1.
В соответствии с законом РФ 1-ФЗ от 10.01.2002 года в Государственном Учреждении - Отделении Пенсионного фонда по Краснодарскому краю создана система электронного документооборота с применением электронной цифровой подписи.
В настоящее время индивидуальные сведения о стаже и заработке застрахованных лиц представляются в органы Пенсионного фонда РФ на магнитном и бумажном носителях, каждое заверенное личной подписью руководителя и печатью предприятия. Это приводит к значительным затратам времени и расходных материалов.
Внедрение в эксплуатацию технологии приема индивидуальных сведений, заверенных электронной цифровой подписью, позволит произвести экономию трудовых и материальных ресурсов.
Управление Пенсионного фонда РФ в Западном административном округе города Краснодара предлагает рассмотреть вопрос о подключении предприятия к системе электронного документооборота ПФ РФ для представления индивидуальных сведений о стаже и заработке застрахованных лиц в электронном виде с ЭЦП.
Требования по обеспечению информационной безопасности в сэд опфр.
Информационная безопасность в СЭД ОПФР должна обеспечиваться системой, включающей в себя комплекс организационных, инженерно-технических мер защиты информации на этапах подготовки, обработки, передачи, приема, хранения и уничтожения электронных документов.
Технологические процессы подготовки, ввода и обработки электронных документов, а также установки, настройки, эксплуатации и восстановления средств обработки должны быть регламентированы и обеспечены инструктивными и методическими материалами.
Готовность абонента к ведению защищенного электронного документооборота должна подтверждаться пакетом документов, перечисленных в п. п.3.4 Временного Регламента.
Обмен электронными документами должен проводится с использованием специализированных АРМ АС, оборудованных СКЗИ "Верба-ОW" и средствами защиты информации от несанкционированного доступа.
Работа абонентов в СЭД ОПФР с использованием средств криптографической защиты информации должна осуществляться в соответствии с требованиями законодательства Российской Федерации, ФАПСИ и Гостехкомиссии России, инструкциями и методическими рекомендациями ПФР, ОПФР, а также эксплуатационной документацией на средства криптографической защиты информации.
Право доступа к АРМ АС должны иметь только уполномоченные установленным порядком лица, прошедшие соответствующую подготовку, изучившие требования ФАПСИ, инструкции и методические рекомендации Отделения ПФР, а также эксплуатационную документацию на средства криптографической защиты информации.
При эксплуатации СКЗИ и работе в СЭД ОПФР должна быть обеспечена:
тайна конфиденциальной информации;
тайна ключей шифрования и электронной цифровой подписи и защита их от компрометации;
тайна паролей абонентов системы.
Порядок регистрации и подключения к СЭД ОПФР
Юридические и физические лица направляют на имя Управляющего ОПФР по Краснодарскому краю письменное заявление о подключении его к СЭД ОПФР.
Получив письменное заявление от юридического, физического лица на его подключение к СЭД ОПФР, Отделение ПФР направляет в его адрес следующий пакет документов:
соглашение об обмене электронными документами в СЭД ОПФР;
номер ключевой серии, выделенной ОПФР по Краснодарскому краю;
номера ключей шифрования и электронной цифровой подписи из данной ключевой серии, выделенные Управлению ПФР, с которым будет осуществлять электронный документооборот юридическое или физическое лицо;
акт о готовности к работе в СЭД ОПФР;
Порядок действий юридического и физического лица:
проведение мероприятий по подготовке к эксплуатации средств криптографической защиты информации в соответствии с Требованиями к юридическим и физическим лицам, на которые распространяется действие лицензий ФАПСИ, выданных Пенсионному фонду Российской Федерации;
назначение из числа своих сотрудников администратора информационной безопасности организации и его заместителя, проведение их обучения правилам пользования средствами криптографической защиты информации.
Физическое лицо, как самостоятельный участник СЭД ОПФР, является администратором информационной безопасности в одном лице.
Юридическое или физическое лицо направляет в Отделение ПФР по Краснодарскому краю следующий комплект документов:
подписанное Соглашение об обмене электронными документами в СЭД ОПФР;
акт о готовности к работе в СЭД ОПФР (1 экз);
контрольный лист с образцами печати юридического лица и личной подписью руководителя (контрольный лист физического лица также представляется с образцом его личной подписи) заверенные нотариусом;
копию приказа о назначении администратора информационной безопасности и его заместителя у юридического лица, заверенную печатью и подписью руководителя;
акт о готовности к эксплуатации программно-аппаратного комплекса, защищенного СКЗИ (1 экз).
Государственное учреждение - Отделение ПФР по Краснодарскому краю изготавливает криптографические ключи абонента. Уполномоченные должностные лица ОПФР оформляют Акт об изготовлении криптографических ключей в трех экземплярах. Два экземпляра направляются другой стороне, один остается в ГУ-ОПФР.
При соблюдении юридическим или физическим лицом всех вышеуказанных условий Отделение подписывает Соглашение об обмене электронными документами в системе электронного документооборота ОПФР. После чего юридическое или физическое лицо становится абонентом системы электронного документооборота ОПФР.
Абонент направляет своего администратора информационной безопасности либо прибывает самостоятельно в отдел по защите информации ОПФР по Краснодарскому краю для:
проведения регистрации в системе СЭД ОПФР;
получения открытых ключей шифрования и электронной цифровой подписи согласно Акту об изготовлении криптографических ключей;
получения справочников открытых ключей шифрования и ЭЦП;
Подобные документы
Особенности правовой защиты информации как ресурса. Основные требования информационной безопасности и структура правовых актов. Сущность специального законодательства в области безопасности информационной деятельности, положения Федерального закона.
реферат [141,0 K], добавлен 24.03.2011Основные способы несанкционированного доступа к информации в компьютерных системах и защиты от него. Международные и отечественные организационные, правовые и нормативные акты обеспечения информационной безопасности процессов переработки информации.
реферат [28,4 K], добавлен 09.04.2015Необходимость комплексного подхода к формированию законодательства по защите информации, его состава и содержания. Требования информационной безопасности. Органы защиты государственной тайны. Допуск должностных лиц и граждан к государственной тайне.
реферат [15,9 K], добавлен 23.04.2011Нормативно-правовое обеспечение информационной безопасности в РФ. Правовой режим информации. Органы, обеспечивающие информационную безопасность РФ. Службы, организующие защиту информации на уровне предприятия. Стандарты информационной безопасности.
презентация [377,5 K], добавлен 19.01.2014Государственная политика в области информационной безопасности. Правовой режим информации, ее распространение и предоставление. Основные меры по недопущению эксплуатации государственных информационных систем без реализации мер по защите информации.
реферат [19,6 K], добавлен 08.12.2013- Юридические факты в механизме правового регулирования. Нормативно-правовые аспекты защиты информации
Ответственность за нарушение условий договора. Роль и место судебной власти в РФ; органы, функции. Юридические факты в механизме правового регулирования, их классификация. Законодательные нормативно-правовые акты в области защиты информации и гостайны.
контрольная работа [27,3 K], добавлен 02.01.2012 Определение конфиденциальной информации и её основные виды. Федеральный закон "Об информации, информатизации и защите информации". Понятие коммерческой и государственной тайны. Законодательное обеспечение и инструменты контроля за сохранением тайны.
эссе [14,1 K], добавлен 21.09.2012Информация, как важнейшая часть современной коммуникативной системы. Правовое регулирование в области безопасности информации. Нормативно-правовые документы, регулирующие защиту информации. Организационно-правовые формы защиты государственной тайны.
контрольная работа [20,4 K], добавлен 03.11.2009Защита от угрозы нарушения конфиденциальности на уровне содержания и от нарушения целостности информации, разновидность угроз. Доступность и целостность информации. Уязвимость, атаки и её последствия. Обеспечение информационной безопасности.
контрольная работа [206,0 K], добавлен 12.03.2011Средства и методы решения различных задач по защите информации, предупреждения утечки, обеспечения безопасности защищаемой информации. Технические (аппаратные), программные, организационные, смешанные аппаратно-программные средства информационной защиты.
реферат [22,2 K], добавлен 22.05.2010
