Требования в области информационной безопасности и соответствующие им решения Cisco

Требования в области информационной безопасности и соответствующие им решения Cisco

Лукацкий Алексей, консультант по безопасности

Почему Cisco говорит о законодательстве?

ТК22 ТК122 ТК362 РГ ЦБ

«Безопасность ИТ» (ISO SC27 в

России)

«Защита информации в кредитных

учреждениях»

«Защита информации» при ФСТЭК

Разработка рекомендаций по ПДн, СТО БР ИББС v4 и 382-П/2831-У

ФСБ МКС ФСТЭК РАЭК РКН

Экспертиза документов Предложения Экспертиза и

разработка документов

Экспертиза и разработка документов

Консультативный совет

Что мы защищаем?

Информация

Документированная

Общедоступная (открытая)

Ограниченного доступа

Недокументированная

•  В последнее время нормативные акты регуляторов стали все больше уделять внимания не только конфиденциальности, но и целостности и доступности данных –  И не всегда эти данные ограниченного доступа

Какие данные ограниченного доступа у нас есть?

•  65 видов тайн в российском законодательстве

•  Персональные данные

•  Коммерческая тайна •  Банковская тайна •  Тайна переписки •  Инсайдерская информация

•  Служебная тайна •  Тайна кредитной истории

•  …

Обязанность защиты

•  Обладатель информации обязан принимать меры по защите информации –  Ст.6 ФЗ-149

•  Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить… –  Ст.16 ФЗ-149

Требования по защите устанавливает

Обладатель

Законодательство РФ

•  Какие требования?

•  Что планируется?

Какие требования по защите установлены законодательством РФ?

Требования

по защите

Персональных данных

Государственных и муниципальных

информационных систем

При осуществлении денежных переводов

Банковской тайны

Систем связи общего пользования

Критических информационных

инфраструктур (КИИ)

Требования носят рекомендательный характер (СТО БР ИББС)

Требования есть (высокоуровневые). Надзора за выполнением нет

ПЕРСОНАЛЬНЫЕ ДАННЫЕ

•  Как защищать «тонких» клиентов? •  Может ли стоимость защиты превышать ущерб?

Подход к защите персональных данных

ФЗ-152

•  Требования определяют регуляторы

•  Никакой привязки к природе ПДн, технологиям обработки, адекватности затрат

Евроконвенция

•  Учитывает природу ПДн, возможности нарушителя, возможности технологии обработки, адекватность стоимости системы защиты наносимому ущербу

•  Гибкий подход

ОБ АКТУАЛЬНОСТИ УГРОЗ НДВ

Первый проект ПП-1119: категории нарушителей

•  КН1 – нарушитель (группа нарушителей), самостоятельно осуществляющий (осуществляющая) создание методов и средств реализации атак и реализацию атак на информационную систему (нарушитель с низким потенциалом)

•  КН2 – группа нарушителей, осуществляющая создание методов и средств реализации атак и реализацию атак на информационную систему с привлечением специалистов в области разработки и анализа СЗИ, включая специалистов в области защиты информации от утечки по техническим каналам и (или) специалистов в области использования для реализации атак недокументированных (недекларированных) возможностей прикладного ПО (нарушитель со средним потенциалом)

•  КН3 – нарушитель или группа нарушителей, осуществляющая создание методов и средств реализации атак и реализацию атак на информационную систему с привлечением специалистов в области разработки и анализа СЗИ, включая специалистов в области использования для реализации атак недокументированных (недекларированных) возможностей системного ПО (нарушитель с высоким потенциалом)

Откуда взялись категории нарушителей?

КН1 • Н1-Н3

КН2 • Н4-Н5

КН3 • Н6

§  6 моделей нарушителя ФСБ Н1 – внешний нарушитель, действующий без помощи изнутри Н2 – внутренний нарушитель, не являющийся пользователем СКЗИ Н3 – внутренний нарушитель, являющийся пользователем СКЗИ Н4 – нарушитель, привлекающий специалистов в области разработки СКЗИ и их анализа Н5 – нарушитель, привлекающий НИИ в области разработки СКЗИ и их анализа Н6 – спецслужбы иностранных государств

От категорий нарушителей к типа угроз

•  Угрозы 1-го типа актуальны для информационной системы персональных данных, если для нее, в том числе, актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в составе информационной системы персональных данных

•  Угрозы 2-го типа актуальны для информационной системы персональных данных, если для нее, в том числе, актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в составе информационной системы персональных данных

•  Угрозы 3-го типа актуальны для информационной системы персональных данных, если для нее не актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в составе информационной системы персональных данных

От модели нарушителя к типам угроз

КН1 • Н1-Н3

КН2 • Н4-Н5

КН3 • Н6 1 тип

2 тип

3 тип

Категории нарушителей

Типы угроз

Кто определяет угрозы?

•  Определение типа угроз безопасности персональных данных, актуальных для информационной системы персональных данных, производится оператором с учетом совокупности условий и факторов, указанных в подпункте «е» пункта 2, а также оценки вреда, проведенной во исполнение пункта 5 части 1 статьи 18.1 Федерального закона «О персональных данных», и нормативных правовых актов, принятых во исполнение части 5 статьи 19 Федерального закона «О персональных данных» –  Оценка вреда производится самостоятельно

Подпункт «е» пункта 2 ПП-1119

•  Под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия при их обработке в информационной системе персональных данных –  Опасность должна быть актуальной, а не теоретической

Уровни защищенности

Источник: sborisov.blogspot.com

ВВЕДЕНИЕ В ПРИКАЗ №21

Новый приказ ФСТЭК

•  №21 от 18.02.2013 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»

•  Меры по защите ПДн в ГИС принимаются в соответствии с требованиями о защите информации, содержащейся в ГИС, утвержденных приказом №17 от 12.02.2013

Операторов ПДн могут защищать только лицензиаты ФСТЭК

•  Для выполнения работ по обеспечению безопасности персональных данных при их обработке в информационной системе в соответствии с законодательством Российской Федерации могут привлекаться на договорной основе юридическое лицо или индивидуальный предприниматель, имеющие лицензию на деятельность по технической защите конфиденциальной информации

•  Оценка эффективности реализованных в рамках системы защиты персональных данных мер по обеспечению безопасности персональных данных проводится оператором самостоятельно или с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации

ВВЕДЕНИЕ В ЗАЩИТНЫЕ МЕРЫ

Меры по защите информации

•  В состав мер по обеспечению безопасности ПДн, реализуемых в рамках системы защиты ПДн с учетом актуальных угроз безопасности ПДн и применяемых информационных технологий, входят –  идентификация и аутентификация субъектов доступа и объектов доступа

–  управление доступом субъектов доступа к объектам доступа

–  ограничение программной среды

–  защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные

–  регистрация событий безопасности

–  антивирусная защита

–  обнаружение (предотвращение) вторжений

–  контроль (анализ) защищенности персональных данных


•  продолжение: –  обеспечение целостности информационной системы и персональных данных

–  обеспечение доступности персональных данных –  защита среды виртуализации –  защита технических средств –  защита информационной системы, ее средств, систем связи и передачи данных

–  выявление инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности персональных данных, и реагирование на них

–  управление конфигурацией информационной системы и системы защиты персональных данных

Как определяются защитные меры

•  Выбор мер по обеспечению безопасности ПДн, подлежащих реализации в системе защиты ПДн, включает выбор базового набора мер адаптацию выбранного базового набора мер применительно к структурно-функциональным характеристикам ИСПДн, реализуемым ИТ, особенностям функционирования ИСПДн, а также с учетом целей защиты персональных данных уточнение (включает дополнение или исключение) дополнение адаптированного базового набора мер по обеспечению безопасности ПДн дополнительными мерами, установленными иными нормативными актами

Базовые меры

Адаптация базового набора

Уточнение адаптированного набора

Дополнение уточненного адаптированного набора

Компенсационные меры

А можно ли исключать защитные меры из списка?

•  Исключение из базового набора мер возможно, если какие-либо информационные технологии не используются в информационной системе, или присутствуют структурно-функциональные характеристики, не свойственные информационной системе

•  Например, мера –  ИАФ.6 «Идентификация и аутентификация пользователей, не являющихся работниками оператора (внешних пользователей)» при отсутствии внешних пользователей – если данная характеристика не свойственна ИСПДн

–  УПД.14 «Регламентация и контроль использования в информационной системе технологий беспроводного доступа» - если данная ИТ не используется в ИСПДн

А если какую-то меру невозможно реализовать?

•  При невозможности технической реализации отдельных выбранных мер по обеспечению безопасности персональных данных, а также с учетом экономической целесообразности на этапах адаптации базового набора мер и (или) уточнения адаптированного базового набора мер могут разрабатываться иные (компенсирующие) меры, направленные на нейтрализацию актуальных угроз безопасности персональных данных

ЗАЩИТНЫЕ МЕРЫ В ДЕТАЛЯХ

ИАФ: Идентификация и аутентификация субъектов и объектов доступа

•  Меры по идентификации и аутентификации субъектов доступа и объектов доступа должны обеспечивать присвоение субъектам и объектам доступа уникального признака (идентификатора), сравнение предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов, а также проверку принадлежности субъекту (объекту) доступа предъявленного им идентификатора (подтверждение подлинности)

ИАФ: набор мер

Содержание мер УЗ4 УЗ3 УЗ2 УЗ1 ИАФ.1 Идентификация и аутентификация пользователей,

являющихся работниками оператора + + + +

ИАФ.2 Идентификация и аутентификация устройств, в том числе стационарных, мобильных и портативных

+ +

ИАФ.3 Управление идентификаторами, в том числе создание, присвоение, уничтожение идентификаторов

+ + + +

ИАФ.4 Управление средствами аутентификации, в том числе хранение, выдача, инициализация, блокирование средств аутентификации и принятие мер в случае утраты и (или) компрометации средств аутентификации

+ + + +

ИАФ.5 Защита обратной связи при вводе аутентификационной информации

+ + + +

ИАФ.6 Идентификация и аутентификация пользователей, не являющихся работниками оператора (внешних пользователей)

+ + + +

Cisco ISE Cisco 802.1x

УПД: Управление доступом субъектов доступа к объектам доступа

•  Меры по управлению доступом субъектов доступа к объектам доступа должны обеспечивать управление правами и привилегиями субъектов доступа, разграничение доступа субъектов доступа к объектам доступа на основе совокупности установленных в информационной системе правил разграничения доступа, а также обеспечивать контроль соблюдения этих правил

УПД: набор мер

Содержание мер УЗ4 УЗ3 УЗ2 УЗ1

УПД.1 Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей

+ + + +

УПД.2 Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа

+ + + +

УПД.3 Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления ) информационными потоками между устройствами , сегментами информационной системы, а также между информационными системами

+ + + +

УПД.4 Разделение полномочий (ролей) пользователей, администраторов и лиц, обеспечивающих функционирование информационной системы

+ + + +

УПД.5 Назначение минимально необходимых прав и привилегий пользователям, администраторам и лицам, обеспечивающим функционирование информационной системы

+ + + +

УПД.6 Ограничение неуспешных попыток входа в информационную систему (доступа к информационной системе)

+ + + +

УПД.7 Предупреждение пользователя при его входе в информационную систему о том, что в информационной системе реализованы меры по обеспечению безопасности ГИС, и о необходимости соблюдения установленных оператором правил обработки защищаемых данных

Cisco Firewall (ASA, ISR,

ASA-SM, ASAv, Sourcefire)

Cisco ISE, ACS

УПД: набор мер

Содержание мер УЗ4 УЗ3 УЗ2 УЗ1 УПД.8 Оповещение пользователя после успешного входа в

информационную систему о его предыдущем входе в информационную систему

УПД.9 Ограничение числа параллельных сеансов доступа для каждой учетной записи пользователя информационной системы

УПД.10 Блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу

+ + +

УПД.11 Разрешение (запрет) действий пользователей, разрешенных до идентификации и аутентификации

+ + +

УПД.12 Поддержка и сохранение атрибутов безопасности (меток безопасности), связанных с информацией в процессе ее хранения и обработки

УПД.13 Реализация защищенного удаленного доступа субъектов доступа к о бъ е к т ам д о с т у п а ч е р е з в н ешн и е и нфо рма ц и о н н о -телекоммуникационные сети

+ + + +

УПД.14 Регламентация и контроль использования в информационной системе технологий беспроводного доступа

+ + + +

УПД.15 Регламентация и контроль использования в информационной системе мобильных технических средств

+ + + +

УПД.16 Управление взаимодействием с информационными системами сторонних организаций (внешние информационные системы)

+ + + +

УПД.17 Обеспечение доверенной загрузки средств вычислительной техники + +

Cisco ISE + AC Cisco Unified

Access

Cisco ISE

ОПС: Ограничение программной среды

•  Меры по ограничению программной среды должны обеспечивать установку и (или) запуск только разрешенного к использованию в информационной системе программного обеспечения или исключать возможность установки и (или) запуска запрещенного к использованию в информационной системе программного обеспечения

ОПС: набор мер


ОПС.1 Управление запуском (обращениями) компонентов программного обеспечения, в том числе определение запускаемых компонентов, настройка параметров запуска компонентов , контроль за запуском компонентов программного обеспечения

ОПС.2 Управление установкой (инсталляцией) компонентов программного обеспечения, в том числе определение компонентов, подлежащих установке, настройка параметров установки компонентов , контроль за установкой компонентов программного обеспечения

+ +

ОПС.3 Установка (инсталляция) только разрешенного к использованию программного обеспечения и (или) его компонентов

+

ОПС.4 Управление временными файлами, в том числе запрет, разрешение, перенаправление записи, удаление временных файлов

ЗНИ: Защита машинных носителей персональных данных

•  Меры по защите машинных носителей персональных данных (средств обработки (хранения) персональных данных, съемных машинных носителей персональных данных) должны исключать возможность несанкционированного доступа к машинным носителям и хранящимся на них персональным данным, а также несанкционированное использование съемных машинных носителей персональных данных

ЗНИ: набор мер

Содержание мер УЗ4 УЗ3 УЗ2 УЗ1 ЗНИ.1 Учет машинных носителей персональных данных + + ЗНИ.2 Управление доступом к машинным носителям персональных данных + +

ЗНИ.3 Контроль перемещения машинных носителей персональных данных за пределы контролируемой зоны

ЗНИ.4 Исключение возможности несанкционированного ознакомления с содержанием персональных данных, хранящихся на машинных носителях, и (или) использования носителей персональных данных в иных информационных системах

ЗНИ.5 Контроль использования интерфейсов ввода (вывода) информации на машинные носители персональных данных

ЗНИ.6 Контроль ввода (вывода) информации на машинные носители персональных данных

ЗНИ.7 Контроль подключения машинных носителей персональных данных

ЗНИ.8 Уничтожение (стирание) или обезличивание персональных данных на машинных носителях при их передаче между пользователями, в сторонние организации для ремонта или утилизации, а также контроль уничтожения (стирания) или обезличивания

+ + +

РСБ: Регистрация событий безопасности

•  Меры по регистрации событий безопасности должны обеспечивать сбор, запись, хранение и защиту информации о событиях безопасности в информационной системе, а также возможность просмотра и анализа информации о таких событиях и реагирование на них

РСБ: набор мер


РСБ.1 Определение событий безопасности, подлежащих регистрации, и сроков их хранения

+ + + +

РСБ.2 Определение состава и содержания информации о событиях безопасности, подлежащих регистрации

+ + + +

РСБ.3 Сбор, запись и хранение информации о событиях безопасности в течение установленного времени хранения

+ + + +

РСБ.4 Реагирование на сбои при регистрации событий безопасности, в том числе аппаратные и программные ошибки, сбои в механизмах сбора информации и достижение предела или переполнения объема (емкости) памяти

РСБ.5 Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них

+ +

РСБ.6 Генерирование временных меток и (или) синхронизация системного времени в информационной системе

РСБ.7 Защита информации о событиях безопасности

+ + + +

Cisco Cyber Threat Defense / CSM /

PRSM / FireSIGHT

АВЗ: Антивирусная защита

•  Меры по антивирусной защите должны обеспечивать обнаружение в информационной системе компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирование на обнаружение этих программ и информации

АВЗ: набор мер


АВЗ.1 Реализация антивирусной защиты + + + +

АВЗ.2 Обновление базы данных признаков вредоносных компьютерных программ (вирусов)

+ + + +

AMP / FireAMP

СОВ: Обнаружение вторжений

•  Меры по обнаружению (предотвращению) вторжений должны обеспечивать обнаружение действий в информационной системе, направленных на несанкционированный доступ к информации, специальные воздействия на информационную систему и (или) персональные данные в целях добывания, уничтожения, искажения и блокирования доступа к персональным данным, а также реагирование на эти действия

СОВ: набор мер


СОВ.1 Обнаружение вторжений + + СОВ.2 Обновление базы решающих правил + +

Cisco IPS / Sourcefire

NGIPS

АНЗ: Контроль (анализ) защищенности персональных данных

•  Меры по контролю (анализу) защищенности персональных данных должны обеспечивать контроль уровня защищенности персональных данных, обрабатываемых в информационной системе, путем проведения систематических мероприятий по анализу защищенности информационной системы и тестированию работоспособности системы защиты персональных данных

АНЗ: набор мер


АНЗ.1 Выявление, анализ уязвимостей информационной системы и оперативное устранение вновь выявленных уязвимостей

+ + +

АНЗ.2 Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации

+ + + +

АНЗ.3 Контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации

+ + +

АНЗ.4 Контроль состава технических средств, программного обеспечения и средств защиты информации

+ + +

АНЗ.5 Контроль правил генерации и смены паролей пользователей, заведения и удаления учетных записей пользователей, реализации правил разграничения доступа, полномочий пользователей в информационной системе

+ +

ОЦЛ: Обеспечение целостности информационной системы и персональных данных

•  Меры по обеспечению целостности информационной системы и персональных данных должны обеспечивать обнаружение фактов несанкционированного нарушения целостности информационной системы и содержащихся в ней персональных данных, а также возможность восстановления информационной системы и содержащихся в ней персональных данных

ОЦЛ: набор мер


ОЦЛ.1 Контроль целостности программного обеспечения, включая программное обеспечение средств защиты информации

+ + ОЦЛ.2 Контроль целостности защищаемых данных, содержащихся в базах данных

информационной системы

ОЦЛ.3 Обеспечение возможности восстановления программного обеспечения, включая программное обеспечение средств защиты информации, при возникновении нештатных ситуаций

ОЦЛ.4 Обнаружение и реагирование на поступление в информационную систему незапрашиваемых электронных сообщений (писем, документов) и иной информации, не относящихся к функционированию информационной системы (защита от спама)

+ +

ОЦЛ.5 Контроль содержания информации, передаваемой из информационной системы (контейнерный, основанный на свойствах объекта доступа, и (или) контентный, основанный на поиске запрещенной к передаче информации с использованием сигнатур, масок и иных методов), и исключение неправомерной передачи информации из информационной системы

ОЦЛ.6 Ограничение прав пользователей по вводу информации в информационную систему

ОЦЛ.7 Контроль точности , полноты и правильности данных , вводимых в

информационную систему

ОЦЛ.8 Контроль ошибочных действий пользователей по вводу и (или) передаче защищаемых данных и предупреждение пользователей об ошибочных действиях

Cisco ESA Cisco ESA

Cisco ASA NGFW /

Sourcefire NGFW

ОДТ: Обеспечение доступности персональных данных

•  Меры по обеспечению доступности персональных данных должны обеспечивать авторизованный доступ пользователей, имеющих права по доступу, к персональным данным, содержащимся в информационной системе, в штатном режиме функционирования информационной системы

ОДТ: набор мер


ОДТ.1 Использование отказоустойчивых технических средств ОДТ.2 Резервирование технических средств, программного

обеспечения, каналов передачи информации, средств обеспечения функционирования информационной системы

ОДТ.3 Контроль безотказного функционирования технических средс т в , обнаружение и ло к али зация от к а зов функционирования, принятие мер по восстановлению отказавших средств и их тестирование

+

ОДТ.4 Периодическое резервное копирование защищаемых данных на резервные машинные носители защищаемых данных

+ +

ОДТ.5 Обеспечение возможности восстановления защищаемых данных с резервных машинных носителей защищаемых данных (резервных копий) в течение установленного временного интервала

+ +

Cisco CVD

ЗСВ: Защита среды виртуализации

•  Меры по защите среды виртуализации должны исключать несанкционированный доступ к персональным данным, обрабатываемым в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры и (или) воздействие на них, в том числе к средствам управления виртуальной инфраструктурой, монитору виртуальных машин (гипервизору), системе хранения данных (включая систему хранения образов виртуальной инфраструктуры), сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевым операционным системам, виртуальным машинам (контейнерам), системе и сети репликации, терминальным и виртуальным устройствам, а также системе резервного копирования и создаваемым ею копиям

ЗСВ: набор мер


ЗСВ.1 Идентификация и аутентификация субъектов доступа и объектов доступа в виртуальной инфраструктуре, в том числе администраторов управления средствами виртуализации

+ + + +

ЗСВ.2 Управление доступом субъектов доступа к объектам доступа в виртуальной инфраструктуре, в том числе внутри виртуальных машин + + + +

ЗСВ.3 Регистрация событий безопасности в виртуальной инфраструктуре + + + ЗСВ.4 Управление (фильтрация, маршрутизация, контроль соединения, однонаправленная

передача) потоками информации между компонентами виртуальной инфраструктуры, а также по периметру виртуальной инфраструктуры

ЗСВ.5 Доверенная загрузка серверов виртуализации, виртуальной машины (контейнера), серверов управления виртуализацией

ЗСВ.6 Управление перемещением виртуальных машин (контейнеров) и обрабатываемых на них данных + +

ЗСВ.7 Контроль целостности виртуальной инфраструктуры и ее конфигураций + + ЗСВ.8 Резервное копирование данных, резервирование технических средств, программного

обеспечения виртуальной инфраструктуры, а также каналов связи внутри виртуальной инфраструктуры

+ +

ЗСВ.9 Реализация и управление антивирусной защитой в виртуальной инфраструктуре + + + ЗСВ.10 Разбиение виртуальной инфраструктуры на сегменты (сегментирование виртуальной

инфраструктуры) для обработки защищаемых данных отдельным пользователем и (или) группой пользователей

+ + +

Cisco VSG, vASA, Nexus 1000v, ASAv, NGIPS, vISE, FireAMP

ЗТС: Защита технических средств

•  Меры по защите технических средств должны исключать несанкционированный доступ к стационарным техническим средствам, обрабатывающим персональные данные, средствам, обеспечивающим функционирование информационной системы (далее – средства обеспечения функционирования), и в помещения, в которых они постоянно расположены, защиту технических средств от внешних воздействий, а также защиту персональных данных, представленных в виде информативных электрических сигналов и физических полей

ЗТС: набор мер


ЗТС.1 Защита информации, обрабатываемой техническими средствами, от ее утечки по техническим каналам

ЗТС.2 Организация контролируемой зоны, в пределах которой постоянно

размещаются стационарные технические средства, обрабатывающие информацию, и средства защиты информации, а также средства обеспечения функционирования

ЗТС.3 Контроль и управление физическим доступом к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены, исключающие несанкционированный физический доступ к средствам обработки информации, средствам защиты информации и средствам обеспечения функционирования информационной системы, в помещения и сооружения, в которых они установлены

+ + + +

ЗТС.4 Размещение устройств вывода (отображения) информации, исключающее ее несанкционированный просмотр

+ + + +

ЗТС.5 Защита от внешних воздействий (воздействий окружающей среды, нестабильности электроснабжения, кондиционирования и иных внешних факторов)

ЗИС: Защита информационной системы, ее средств, систем связи и передачи данных

•  Меры по защите информационной системы, ее средств, систем связи и передачи данных должны обеспечивать защиту персональных данных при взаимодействии информационной системы или ее отдельных сегментов с иными информационными системами и информационно-телекоммуникационными сетями посредством применения архитектуры информационной системы и проектных решений, направленных на обеспечение безопасности персональных данных

ЗИС: набор мер

Содержание мер УЗ4 УЗ3 УЗ2 УЗ1 ЗИС.1 Разделение в информационной системе функций по управлению

(администрированию) информационной системой, управлению (администрированию) системой защиты персональных данных, функций по обработке персональных данных и иных функций информационной системы

+

ЗИС.2 Предотвращение задержки или прерывания выполнения процессов с высоким приоритетом со стороны процессов с низким приоритетом

ЗИС.3 Обеспечение защиты персональных данных от раскрытия,

модификации и навязывания (ввода ложной информации) при ее передаче (подготовке к передаче) по каналам связи, имеющим выход за пределы контролируемой зоны, в том числе беспроводным каналам связи

+ + + +

ЗИС.4 Обеспечение доверенных канала, маршрута между администратором, пользователем и средствами защиты информации (функциями безопасности средств защиты информации)

ЗИС.5 Запрет несанкционированной удаленной активации видеокамер, микрофонов и иных периферийных устройств, которые могут активироваться удаленно, и оповещение пользователей об активации таких устройств

ЗИС.6 Передача и контроль целостности атрибутов безопасности (меток безопасности), связанных с персональными данными, при обмене ими с иными информационными системами

Cisco Enterprise Networking /

FW / ISE Cisco ISE / TrustSec



ЗИС.7 Контроль санкционированного и исключение несанкционированного использования технологий мобильного кода, в том числе регистрация событий, связанных с использованием технологий мобильного кода, их анализ и реагирование на нарушения, связанные с использованием технологий мобильного кода

ЗИС.8 Контроль санкционированного и исключение несанкционированного использования технологий передачи речи, в том числе регистрация событий, связанных с использованием технологий передачи речи, их анализ и реагирование на нарушения, связанные с использованием технологий передачи речи

ЗИС.9 Контроль санкционированной и исключение несанкционированной передачи видеоинформации, в том числе регистрация событий, связанных с передачей видеоинформации, их анализ и реагирование на нарушения, связанные с передачей видеоинформации

ЗИС.10 Подтверждение происхождения источника информации, получаемой в процессе определения сетевых адресов по сетевым именам или определения сетевых имен по сетевым адресам

ЗИС.11 Обеспечение подлинности сетевых соединений (сеансов взаимодействия), в том числе для защиты от подмены сетевых устройств и сервисов

+ +

ЗИС.12 Исключение возможности отрицания пользователем факта отправки персональных данных другому пользователю

Sourcefire NGIPS, AMP,

FireAMP

Cisco ASA, ISR, Sourcefire

NGFW



ЗИС.13 Исключение возможности отрицания пользователем факта получения персональных данных от другого пользователя

ЗИС.14 Использование устройств терминального доступа для обработки персональных данных

ЗИС.15 Защита архивных файлов, параметров настройки средств защиты информации и программного обеспечения и иных данных, не подлежащих изменению в процессе обработки персональных данных

+ +

ЗИС.16 Выявление, анализ и блокирование в информационной системы скрытых каналов передачи информации в обход реализованных мер или внутри разрешенных сетевых протоколов

ЗИС.17 Разбиение информационной системы на сегменты (сегментирование информационной системы) и обеспечение защиты периметров сегментов информационной системы

+ +

ЗИС.18 Обеспечение загрузки и исполнения программного обеспечения с машинных носителей персональных данных, доступных только для чтения, и контроль целостности данного программного обеспечения

ЗИС.19 Изоляция процессов (выполнение программ) в выделенной области памяти

ЗИС.20 Защита беспроводных соединений, применяемых в информационной системе

+ + +

Cisco wIPS

Cisco Enterprise Networking /

FW / ISE Sourcefire

NGIPS

ИНЦ: Выявление инцидентов и реагирование на них

•  Меры по выявлению инцидентов и реагированию на них должны обеспечивать обнаружение, идентификацию, анализ инцидентов в информационной системе, а также принятие мер по устранению и предупреждению инцидентов

ИНЦ: набор мер


ИНЦ.1 Определение лиц , ответственных за выявление инцидентов и реагирование на них

+ +

ИНЦ.2 Обнаружение, идентификация и регистрация инцидентов + + ИНЦ.3 Своевременное информирование лиц, ответственных за

выявление инцидентов и реагирование на них , о возникновении инцидентов в информационной системе пользователями и администраторами

+ +

ИНЦ.4 Анализ инцидентов, в том числе определение источников и причин возникновения инцидентов, а также оценка их последствий

+ +

ИНЦ.5 Принятие мер по устранению последствий инцидентов + + ИНЦ.6 Планирование и принятие мер по предотвращению

повторного возникновения инцидентов + +

Cisco CTD, Sourcefire FireSIGHT

Cisco CTD + Cisco ISE +

SIEM

УКФ: Управление конфигурацией информационной системы и системы защиты персональных данных

•  Меры по управлению конфигурацией информационной системы и системы защиты персональных данных должны обеспечивать управление изменениями конфигурации информационной системы и системы защиты персональных данных, анализ потенциального воздействия планируемых изменений на обеспечение безопасности персональных данных, а также документирование этих изменений

УКФ: набор мер


УКФ.1 Определение лиц, которым разрешены действия по внесению изменений в конфигурацию информационной системы и системы защиты персональных данных

+ + +

УКФ.2 Управление изменениями конфигурации информационной системы и системы защиты персональных данных

+ + +

УКФ.3 Анализ потенциального воздействия планируемых изменений в конфигурации информационной системы и системы защиты персональных данных на обеспечение защиты персональных данных и согласование изменений в конфигурации информационной системы с должностным лицом (работником), ответственным за обеспечение безопасности персональных данных

+ + +

УКФ.4 Документирование информации (данных) об изменениях в конфигурации информационной системы и системы защиты персональных данных

+ + +

Меры по защите информации и продукты Cisco

•  В приказе №21 предусмотрена возможность применения следующих продуктов и технологий Cisco: –  Cisco ISE –  Cisco 802.1x –  Cisco ASA, ASA NGFW, ASA-SM, ASAv, IOS Firewall, VSG,

Sourcefire –  Cisco IPS, NGIPS, FireAMP –  Cisco Security Manager / FireSIGHT –  Cisco Email Security Appliance / vESA –  Cisco Web Security Appliance / vWSA –  Cisco Unified Access –  Cisco Wi-Fi –  Cisco Unified Collaboration –  И т.д.

ОЦЕНКА СООТВЕТСТВИЯ СРЕДСТВ ЗАЩИТЫ ПДН

Оценка соответствия средств защиты

•  Меры по обеспечению безопасности персональных данных реализуются в том числе посредством применения в информационной системе средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия, в случаях, когда применение таких средств необходимо для нейтрализации актуальных угроз безопасности персональных данных

•  При использовании в информационных системах сертифицированных по требованиям безопасности информации средств защиты информации

•  Финального ответа на вопрос об обязательной сертификации средств защиты информации не существует –  Исключая государственные органы

Оценка соответствия ≠ сертификация

Оценка соответствия

Госконтроль и надзор

Аккредитация

Испытания

Регистрация

Подтверждение соответствия

Добровольная сертификация

Обязательная сертификация

Декларирование соответствия

Приемка и ввод в эксплуатацию

В иной форме

Соответствие уровней защищенности классам сертифицированных СЗИ

Тип СЗИ / ПО 4 уровень 3 уровень 2 уровень 1 уровень

СВТ Не ниже 6 Не ниже 5 Не ниже 5 Не ниже 5

IDS Не ниже 5 42 или Интернет 53 Не ниже 4 Не ниже 4

Антивирус Не ниже 5 42 или Интернет 53 Не ниже 4 Не ниже 4

МСЭ 5 32 или Интернет

43 31-2 или Интернет

43 31-2 или Интернет

43

НДВ в СЗИ - Не ниже 42 Не ниже 4 Не ниже 4

Системное ПО - - - -

Прикладное ПО - - - -

Какие решения Cisco имеют сертификаты ФСТЭК?

•  Многофункциональные защитные устройства –  Cisco ASA 5505, 5510, 5520, 5540, 5550, 5580 –  Cisco ASA 5512-X, 5515-X, 5525-X, 5545-X, 5555-X, 5585-X –  Cisco ASA SM

•  Системы предотвращения вторжений –  Cisco IPS 4200, AIP-SSM-10/20, IPS 4240, 4255, 4260, 4270, IDSM2

•  Межсетевые экраны –  Cisco Pix 501, 506, 515, 520, 525, 535 –  Cisco FWSM –  Cisco 1800, 2800, 3800, 7200, 7600, 676, 871, 881, 891, 1750, 1751,

1760-V, 1811, 1841, 2509, 26xx, 2600, 2611, 2621, 2651, 2801, 2811, 2821, 2851, 2901, 2911, 3640, 3661, 3662, 3725, 3745, 3825, 3845, 3925, 7201, 7206, 7301, 7604

–  ASR 1002, GSR 12404, CGR2000, CGR2500

Какие решения Cisco имеют сертификаты ФСТЭК?

•  Коммутаторы –  Cisco Catalyst 2912, 2924, 2950G, 2960, 2970, 3508G, 3512, 3524,

3548, 3550, 3560, 3750, 4003, 4503, 4506, 4507, 4510, 4900, 6006, 6504, 6506, 6509, 6513

–  Cisco Nexus •  Системы управления

–  CiscoWorks Monitoring Center –  Cisco Security Manager 3.2, 3.3 –  Cisco Secure ACS 4.x –  Cisco Secure ACS 1121 –  CS MARS 20, 25, 50, 100, 110

•  Прочее –  Cisco AS5350XM

Какие решения Cisco планируется сертифицировать?

•  Системы предотвращения вторжений –  Cisco IPS 4345, 4360, 4510, 4520 –  Cisco IPS for АСУ ТП

•  Межсетевые экраны –  Cisco ASA 1000v –  Cisco Virtual Security Gateway

•  Cisco UCS •  Решения Sourcefire

ДОПОЛНИТЕЛЬНЫЕ РАЗЪЯСНЕНИЯ ФСТЭК

Информационное сообщение ФСТЭК от 20 ноября 2012 года

•  Разъяснение о порядке применения нового приказа ФСТЭК по защите ПДн

•  Разъяснение о действии сертификатов ФСТЭК, выданных до вступления в силу Постановления Правительства №1119

•  Разъяснение о сертификации систем обнаружения вторжений и антивирусов в контексте новых классов ИСПДн

Как соотносятся классы ИСПДн и уровни защищенности в сертификатах?

•  Но это еще не все…

СЗИ сертифицирована для применения в

СЗИ может применяться в ИСПДн с уровнем защищенности

ИСПДн 1-го класса Все уровни защищенности (до УЗ-1 включительно)

ИСПДн 2-го класса Не выше УЗ-4

ИСПДн 3-го класса и ниже Не определено

А что если в сертификате не упоминается класс ИСПДн?

•  При обеспечении защищенности ПДн, обрабатываемых в ИСПДн, могут применяться СрЗИ, в сертификатах соответствия на которые не приведена информация о возможности их использования для защиты ПДн –  В этом случае функции безопасности указанных СрЗИ должны обеспечивать соответствующие технические меры по обеспечению определенного уровня защищенности ПДн, которые будут установлены готовящимся приказом ФСТЭК по защите ПДн

Информационное сообщение ФСТЭК от 20 ноября 2012 года

•  Разъяснение о порядке применения нового приказа ФСТЭК по защите ПДн

•  Разъяснение о действии сертификатов ФСТЭК, выданных до вступления в силу Постановления Правительства №1119

•  Разъяснение о сертификации систем обнаружения вторжений и антивирусов в контексте новых классов ИСПДн

КАК БОРОТЬСЯ С НДВ?

SDLC в законе или пора подумать о качестве ПО с точки зрения информационной безопасности

•  В случае определения в качестве актуальных угроз безопасности персональных данных 1-го и 2-го типов дополнительно к мерам по обеспечению безопасности персональных данных могут применяться следующие меры –  Проверка системного и (или) прикладного программного обеспечения, включая программный код, на отсутствие недекларированных возможностей с использованием автоматизированных средств и (или) без использования таковых;

–  Тестирование информационной системы на проникновения –  Использование в информационной системе системного и (или) прикладного программного обеспечения, разработанного с использованием методов защищенного программирования

•  Что является доказательством реализации данных мер? –  Сертификат соответствия, договор на пентест, декларация производителя…

ПРОЕКТ ПРИКАЗА ФСБ

Проект приказа ФСБ

•  Настоящий документ устанавливает состав и содержание необходимых для выполнения установленных Правительством Российской Федерации требований к защите ПДн для каждого из уровней защищенности организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн


•  Даны разъяснения (имеющие характер обязательных) положений ПП-1119 –  Например, что такое «организация режима обеспечения безопасности помещений», «сохранность персональных данных», «электронный журнал сообщений» и т.п.

•  Средства криптографической защиты персональных данных могут быть ТОЛЬКО сертифицированными

•  8-й Центр сознательно или несознательно, но ограничил применение для защиты ПДн СКЗИ классом КС3 (!) и выше –  Если вы считаете, что потенциальный нарушитель может получить доступ к средствам вычислительной техники, на которых установлены СКЗИ, то необходимо применять СКЗИ не ниже КС3


•  Если вдуматься чуть глубже, то вы обязаны будете применять СКЗИ класса КВ1, если вы опасаетесь, что нарушитель может привлечь специалистов, имеющих опыт разработки и анализа СКЗИ –  А сейчас нет ограничений на таких специалистов - криптографию преподают в 100 с лишним ВУЗах России

•  СКЗИ КВ2 применяются, когда могут быть использованы недекларированные возможности в прикладном ПО или у нарушителя есть исходные коды прикладного ПО –  Прощай open source

•  СКЗИ КА1 применяются, когда могут быть использованы недекларированные возможности в системном ПО

Соответствие уровней защищенности классам СКЗИ

Уровень защищенности

3-й тип угроз 2-й тип угроз 1-й тип угроз

4 КС1+ КС1+ КС1+

3 КС1+ КВ2+ -

2 КС1+ КВ2+

1 - КВ2+ КА1

•  В зависимости от совокупности предположений о возможностях, которые могут использоваться при создании способов, подготовке и проведении атак СКЗИ подразделяются на классы


•  Все помещения, в которых ведется обработка ПДн, должны по окончании рабочего дня не просто закрываться, а опечатываться (!) –  Это минимум требований для 4-го уровня защищенности

•  На 1-м уровне от вас потребуют на первых и последних этажах зданий установки решеток или ставень (!)

•  Все носители персональных данных должна учитываться поэкземплярно

ГОСУДАРСТВЕННЫЕ ИНФОРМАЦИОННЫЕ СИСТЕМЫ

Недавние и планируемые изменения по направлению ГИС

•  Приказ ФСТЭК по защите информации в ГИС •  Меры защиты информации в государственных информационных системах

•  Порядок моделирования угроз безопасности информации в информационных системах

•  Методические документы, регламентирующие –  Порядок аттестации распределенных информационных систем –  Порядок обновления программного обеспечения в аттестованных информационных системах

–  Порядок выявления и устранения уязвимостей в информационных системах

–  Порядок реагирования на инциденты, которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности информации

Жизненный цикл защиты государственных информационных систем

•  Организация защиты информации, содержащейся в информационной системе, включает: –  формирование требований к системе защиты информации информационной системы

–  разработку системы защиты информации информационной системы

–  реализацию системы защиты информации информационной системы

–  аттестацию информационной системы на соответствие требованиям о защите информации и ввод ее в действие

–  эксплуатацию системы защиты информации информационной системы

–  защиту информации при выводе из эксплуатации информационной системы или после окончания обработки информации конфиденциального характера

Как определяются требования по защите?

•  Требования к системе защиты информации информационной системы определяются в зависимости от –  класса защищенности информационной системы –  актуальных угроз безопасности информации, установленных в модели угроз безопасности информации

•  Приказ вводит 4 класса защищенности и определяет методику их выбора

•  Выбор защитных мер идентичен приказу №21 за исключением –  Нельзя уменьшить базовый набор –  Базовый набор для ГИС включает чуть больше мер, чем для ИСПДн

–  Нет принципа экономической целесообразности

1Г или 2 класс защищенности: как правильно?

Классы АС Классы ИС

Так было

Так стало

•  Классификация зависит от значимости обрабатываемой информации и масштаба ГИС

•  Аттестация проводится по новым классам защищенности

Оценка соответствия средств защиты

•  Средства защиты информации, применяемые в информационных системах, должны быть сертифицированы на соответствие требованиям по безопасности информации в соответствии с законодательством Российской Федерации

•  При отсутствии сертифицированных средств защиты информации организуется разработка (доработка) необходимых средств защиты информации и их сертификация

Что еще планируется?

КРИТИЧЕСКИ ВАЖНЫЕ ОБЪЕКТЫ

Последние изменения по направлению КВО

•  Постановление Правительства №861 от 02.10.2013 •  Законопроект по безопасности критических информационных инфраструктур –  Будет вноситься в ГД в апреле 2014

•  Реализация Основных направления государственной политики в области обеспечения безопасности автоматизированных систем управления производственными и технологическими процессами критически важных объектов инфраструктуры Российской Федерации

•  Указ Президента №31с «О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ»

•  Разработка нормативных документов во исполнении законопроекта по безопасности КИИ и основных направлений госполитики

ВВЕДЕНИЕ В КАТЕГОРИРОВАНИЕ КИИ

Категорирование объектов КИИ

•  Субъекты КИИ на основании установленных критериев и в соответствии с утвержденными показателями этих критериев, осуществляют отнесение принадлежащих им на праве собственности или ином законном основании объектов КИИ к установленным категориям

•  Критерии –  критерий экономической значимости –  критерий экологической значимости –  критерий значимости для обеспечения обороноспособности –  критерий значимости для национальной безопасности –  критерий социальной значимости –  критерий важности объекта КИИ в части реализации управленческой функции;

–  критерий важности объекта КИИ в части предоставления значительного объема информационных услуг

Категории объектов КИИ

•  3 категории объектов КИИ –  объекты критической информационной инфраструктуры Российской Федерации высокой категории опасности

–  объекты критической информационной инфраструктуры Российской Федерации средней категории опасности

–  объекты критической информационной инфраструктуры Российской Федерации низкой категории опасности

Что делать с категориями?

•  Направить в ФСБ 1 категория •  Направить в ФСТЭК 2 категория •  Направить в ФСТЭК 3 категория

•  ФСБ или ФСТЭК могут не согласиться с установленной категорией –  На проверку дается 3 месяца

•  При несогласии возврат документов о категорировании на доработку с указанием мотивированного отказа

•  При согласии – включение в реестр объектов КИИ, которые ведутся ФСТЭК и ФСБ в рамках своих полномочий

ВВЕДЕНИЕ В ТРЕБОВАНИЯ ПО БЕЗОПАСНОСТИ

5 требований по безопасности

1.  Организационные вопросы безопасности 2.  Требования к персоналу, непосредственно обеспечивающему

функционирование и безопасность объектов КИИ 3.  Требования к защите от вредоносного программного обеспечения

и от компьютерных атак 4.  Требования безопасности при взаимодействии с сетями связи

общего пользования 5.  Требования к обеспечению безопасности информационных

технологий в ходе эксплуатации информационно-телекоммуникационных систем

•  ФОИВы могут устанавливать дополнительные требования по обеспечению безопасности объектов КИИ по согласовании с ФСБ и ФСТЭК соответственно

•  Субъекты КИИ могут дополнять непротиворечащие закону требования по безопасности

Система безопасности объекта КИИ должна включать

•  Предотвращение неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения информации, а также совершения иных противоправных действий по отношению к информации, обеспечивающей управление и контроль за технологическими процессами КВО

•  Недопущение воздействия на технические средства обработки информации, в результате которого может быть нарушено или прекращено КИИ

•  Реагирование на компьютерные инциденты •  Возможность незамедлительного восстановления информации и функционирования объекта КИИ

•  Создание и хранение резервных копий информации, обеспечивающей управление и контроль за технологическими процессами КВО

•  Непрерывное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ

КСИИ ИЛИ АСУ ТП?

АСУ ТП – это подмножество КСИИ

•  Ключевая (критически важная) система информационной инфраструктуры – информационно-управляющая или информационно-телекоммуникационная система, которая осуществляет управление КВО (процессом), или информационное обеспечение таким объектом (процессом), или официальное информирование граждан и в результате деструктивных действий на которую может сложиться чрезвычайная ситуация или будут нарушены выполняемые системой функции управления со значительными негативными последствиями

•  Автоматизированная система управления производственными и технологическими процессами КВО инфраструктуры РФ – комплекс аппаратных и программных средств, информационных систем и информационно-телекоммуникационных сетей, предназначенных для решения задач оперативного управления и контроля за различными процессами и техническими объектами в рамках организации производства или технологического процесса КВО

Отнесение систем к КСИИ

•  КСИИ делятся на группы –  Системы сбора открытой информации, на основании которой принимаются управленческие решения

–  Системы хранения открытой информации –  Системы управления СМИ –  Системы управления критически важным объектом

•  Требования по обеспечению безопасности информации в КСИИ отличаются в зависимости от их типа и между собой не пересекаются (!!!) –  1-й тип – системы сбора и хранения открытой информации, а также системы управления СМИ

–  2-й тип – системы управления критически важными объектами

Требования по защите КСИИ 1-го типа

Группы требований Уровень важности КСИИ

3 2 1

Управление доступом 1Г 1В 1Б

Регистрация и учет 1Г 1В 1Б

Обеспечение целостности 1Г 1В 1Б

Обеспечение безопасного межсетевого взаимодействия в КСИИ 4 3 2

Уровень контроля отсутствия НДВ 4 3 2

Антивирусная защита + + +

Анализ защищенности + + +

Обнаружение вторжений + + +

Требования доверия к безопасности + + +

Требования по защите КСИИ 2-го типа

Группы требований Уровень важности КСИИ

3 2 1

Планирование обеспечения безопасности + + +

Действия в непредвиденных ситуациях + + +

Реагирование на инциденты + + +

Оценка рисков + + +

Защита носителей информации + + +

Обеспечение целостности + + +

Физическая защита и защиты среды + + +

Безопасность и персонал + + +

Информирование и обучение по вопросам ИБ + + +

Защита коммуникаций + + +

Аудит безопасности + + +

ВВЕДЕНИЕ В ПРОЕКТ ПРИКАЗА ФСТЭК ПО ЗАЩИТЕ АСУ ТП

Проект нового приказ ФСТЭК

•  «Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды» –  Ориентация на объекты ТЭК, транспортной безопасности, использования атомной энергии, опасных производственных объектов, гидротехнических сооружений

На кого распространяется приказ?

•  Автоматизированные системы управления, обеспечивающие контроль и управление технологическим и (или) производственным оборудованием (исполнительными устройствами) и реализованными на нем технологическими и (или) производственными процессами –  В том числе системы диспетчерского управления, системы сбора

(передачи) данных, программируемые логические контроллеры, распределенные системы управления, системы управления станками с числовым программным управлением

–  На АСУ ТП с гостайной не распространяются •  Требования предназначены для лиц

–  обеспечивающих задание требований к защите информации в АСУ ТП (заказчик),

–  обеспечивающих эксплуатацию АСУ ТП (оператор), –  привлекаемых в соответствии с законодательством РФ к проведению работ по созданию (проектированию) АСУ ТП и (или) их систем защиты (разработчик)

Объект защиты

•  Информация (данные) о производственном и (или) технологическом процессе, управляемом (контролируемом) объекте (в том числе данные о параметрах (состоянии) управляемого (контролируемого) объекта или процесса, входная (выходная) информация, команды управления, контрольно-измерительная информация)

•  Программно-технический комплекс, включающий технические средства (в том числе автоматизированные рабочие места, серверы управления, телекоммуникационное оборудование, каналы связи, программируемые логические контроллеры, системы локальной автоматики, исполнительные устройства), общесистемное, прикладное (специальное, микропрограммное) программное обеспечение, а также средства защиты информации

Можно ли использовать корпоративные стандарты?

•  ФОИВ, корпоративные структуры и организации в соответствии с настоящими Требованиями в пределах своих полномочий могут устанавливать отраслевые (ведомственные, корпоративные) требования к обеспечению защиты информации в АСУ ТП, находящихся в их ведении, с учетом особенностей соответствующих отраслей экономики (промышленности) и специфики управляемых (контролируемых) объектов

Смена парадигмы

•  Принимаемые организационные и технические меры защиты информации должны обеспечивать доступность обрабатываемой в АСУ ТП (исключение неправомерного блокирования информации), ее целостность (исключение неправомерного уничтожения, модифицирования информации), а также, при необходимости, конфиденциальность (исключение неправомерного доступа, копирования, предоставления или распространения информации)

•  Организационные и технические меры защиты информации должны быть согласованы с мерами по промышленной, физической, пожарной, экологической, радиационной безопасности, иными мерами по обеспечению безопасности АСУ ТП и управляемого (контролируемого) объекта и (или) процесса и не должны оказывать отрицательного (мешающего) влияния на штатный режим функционирования АСУ ТП

Безопасное функционирование АСУ ТП на первом месте

•  Система защиты автоматизированной системы управления не должна препятствовать достижению целей создания автоматизированной системы управления и ее безопасному функционированию

Вас могут защищать не все

•  Для выполнения работ по обеспечению безопасности могут привлекаться организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации

•  При проведении оценки защищенности объектов КИИ могут привлекаться аккредитованные для этих целей в установленном порядке организации

•  Аккредитация –  Проводится на добровольной основе и на срок 5 лет –  Требует наличия лицензии на гостайну –  Требует наличия средств, предназначенных для оценки защищенности объектов КИИ и получивших подтверждение соответствия требованиям ФСТЭК (по согласованию с ФСБ)

–  Требует не менее 3-х специалистов с ВПО в области ИБ –  По критериям, установленным ФСБ и ФСТЭК соответственно

ЖИЗНЕННЫЙ ЦИКЛ СИСТЕМЫ ЗАЩИТЫ

Жизненный цикл системы защиты АСУ ТП

•  Формирование требований к защите информации в АСУ ТП •  Разработка системы защиты АСУ ТП •  Внедрение системы защиты АСУ ТП и ввод ее в действие; •  Обеспечение защиты информации в ходе эксплуатации АСУ ТП •  Обеспечение защиты информации при выводе из эксплуатации АСУ ТП

Формирование требований

•  Принятие решения о необходимости защиты информации в АСУ ТП

•  Классификация АСУ ТП по требованиям защиты информации –  3 класса защищенности –  При разбиении АСУ ТП на сегменты (подсистемы) класс устанавливается для каждого сегмента отдельно

–  Класс пересматривается только при модернизации, в результате которой поменялась значимость информации

•  Определение угроз безопасности информации, реализация которых может привести к нарушению доступности, целостности или конфиденциальности информации и безопасного функционирования АСУ ТП, и разработку на их основе модели угроз безопасности информации

•  Определение требований к системе защиты АСУ ТП

Классификация АСУ ТП

•  Класс защищенности АСУ ТП зависит от уровня значимости информации

•  Уровень значимости информации (УЗ) определяется степенью возможного ущерба от нарушения ее целостности, доступности или конфиденциальности, в результате которого возможно нарушение штатного режима функционирования АСУ ТП

•  Степень возможного ущерба определяется заказчиком или оператором экспертным или иным методом –  Например, в соответствии с постановлением Правительства Российской Федерации от 21 мая 2007 г. № 304 «О классификации чрезвычайных ситуаций природного и техногенного характера»

Степень наносимого ущерба

Степень ущерба Описание ущерба Высокая Возникновение чрезвычайной ситуации федерального

или межрегионального характера* или иные существенные негативные последствия в социальной, политической, экономической, военной или иных областях деятельности

Средняя возникновение чрезвычайной ситуации регионального или межмуниципального характера* или иные умеренные негативные последствия в социальной, политической, экономической, военной или иных областях деятельности

Низкая Возникновение чрезвычайной ситуации муниципального (локального) характера или возможны иные незначительные негативные последствия в социальной, политической, экономической, военной или иных областях деятельности

Какой класс защищенности будет оптимальным?

•  Для объектов ТЭК, обязанных произвести категорирование опасности своих объектов в рамках обеспечения антитеррористической защищенности, оптимальным будет установить уровень защищенности равный уровню категории опасности –  Ниже можно (по результатам оценки защищенности) –  Выше будет нелогично

Класс защищенности Категория опасности 1 Высокая 2 Средняя 3 Низкая

Моделирование угроз

•  Модель угроз безопасности информации должна содержать описание АСУ ТП и угроз безопасности информации, включающее описание возможностей нарушителей (модель нарушителя), возможных уязвимостей АСУ ТП, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации и безопасного функционирования автоматизированной системы управления

•  Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК

ВВЕДЕНИЕ В ЗАЩИТНЫЕ МЕРЫ


•  Организационные и технические меры защиты информации, реализуемые в АСУ ТП –  идентификация и аутентификация субъектов доступа и объектов доступа

–  управление доступом субъектов доступа к объектам доступа

–  ограничение программной среды

–  защита машинных носителей информации

–  регистрация событий безопасности

–  антивирусная защита

–  обнаружение (предотвращение) вторжений

–  контроль (анализ) защищенности –  целостность АСУ ТП –  доступность технических средств и информации –  защита среды виртуализации


•  продолжение: –  защита технических средств и оборудования –  защита АСУ ТП и ее компонентов –  безопасная разработка прикладного и специального программного обеспечения разработчиком

–  управление обновлениями программного обеспечения –  планирование мероприятий по обеспечению защиты информации –  обеспечение действий в нештатных (непредвиденных) ситуациях –  информирование и обучение пользователей –  анализ угроз безопасности информации и рисков от их реализации

–  выявление инцидентов и реагирование на них –  управление конфигурацией информационной системы и ее системы защиты

Как определяются защитные меры

•  Выбор мер защиты информации в АСУ ТП включает выбор базового набора мер адаптацию выбранного базового набора мер применительно к структурно-функциональным характеристикам АСУ ТП, реализуемым ИТ, особенностям функционирования АСУ ТП (включает исключение защитных мер) уточнение адаптированного набора дополнение адаптированного базового набора мер по обеспечению защиты информации в АСУ ТП дополнительными мерами, установленными иными нормативными актами

Базовые меры

Адаптация базового набора

Уточнение адаптированного набора

Дополнение уточненного адаптированного набора

Компенсационные меры

А если какую-то меру невозможно реализовать?

•  При отсутствии возможности реализации отдельных мер защиты информации в АСУ ТП или отдельных ее сегментах (устройствах) и (или) невозможности их применения к отдельным объектам и субъектам доступа, в том числе в следствии их негативного влияния на штатный режим функционирования АСУ ТП, на этапах адаптации базового набора мер защиты информации или уточнения адаптированного базового набора мер защиты информации разрабатываются иные (компенсирующие) меры защиты информации, обеспечивающие адекватное блокирование (нейтрализацию) угроз безопасности информации и необходимый уровень защищенности АСУ ТП

•  В качестве компенсирующих мер, в первую очередь, рассматриваются меры по обеспечению меры промышленной и (или) физической безопасности АСУ ТП, поддерживающие необходимый уровень защищенности АСУ ТП

Можно ли исключать защитные меры?

•  Исключение из базового набора мер защиты информации мер, непосредственно связанных с информационными технологиями, не используемыми в АСУ ТП, или структурно-функциональными характеристиками, не свойственными АСУ ТП

•  В целях исключения избыточности в реализации мер защиты информации и в случае, если принятые в АСУ ТП меры по обеспечению промышленной безопасности и (или) физической безопасности обеспечивают блокирование (нейтрализацию) угроз безопасности информации, отдельные меры защиты информации могут не применяться

ОЦЕНКА СООТВЕТСТВИЯ

Как осуществляется приемка системы защиты АСУ ТП?

•  По решению заказчика подтверждение соответствия системы защиты АСУ ТП техническому заданию на создание АСУ ТП и (или) техническому заданию (частному техническому заданию) на создание системы защиты АСУ ТП, а также требованиям ФСТЭК может проводиться в форме аттестации АСУ ТП на соответствие требованиям по защите информации –  В этом случае для проведения аттестации применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК

•  Приемочные испытания системы защиты АСУ ТП проводятся, как правило, в рамках приемочных испытаний АСУ ТП в целом

Сертификация средств защиты необязательна

•  Для обеспечения защиты информации в АСУ ТП применяются средства защиты информации, прошедшие оценку соответствия в соответствии с законодательством Российской Федерации о техническом регулировании

Оценка соответствия

Госконтроль и надзор

Аккредитация

Испытания

Регистрация

Подтверждение соответствия

Добровольная сертификация

Обязательная сертификация

Декларирование соответствия

Приемка и ввод в эксплуатацию

В иной форме

Соответствие уровней защищенности классам сертифицированных СЗИ (в случае их применения)

Тип СЗИ / ПО 3 уровень 2 уровень 1 уровень

СВТ Не ниже 5 Не ниже 5 Не ниже 5

IDS Не ниже 5 Не ниже 4 Не ниже 3

Антивирус Не ниже 5 Не ниже 4 Не ниже 3

Средства доверенной загрузки Не ниже 5 Не ниже 4 Не ниже 3

Средства контроля съемных носителей Не ниже 5 Не ниже 4 Не ниже 3

МСЭ Не ниже 4 3Интернет 4

3Интернет 4

НДВ в СЗИ - Не ниже 4 Не ниже 4

Smart Grid коммутатор, маршрутизатор, IE3000 (как МСЭ) и IPS for SCADA

НАЦИОНАЛЬНАЯ ПЛАТЕЖНАЯ СИСТЕМА

Планируемые изменения по направлению НПС

•  Изменения в 382-П (3007-У) •  Отчетность по инцидентам (3024-У) •  Защита банкоматов и платежных терминалов (34-Т и др.) •  Защита электронных средств платежа •  Защита дистанционного банковского обслуживания •  Защита мобильного банкинга •  Рекомендации по повышению уровня безопасности при предоставлении розничных платежных услуг с использованием информационно-телекоммуникационной сети «Интернет» (146-Т)

•  Изменение ст.9 ФЗ-161 •  Обязательные нормативы управления операционными рисками •  Национальная система фрод-мониторинга •  Официальный перевод и признание PCI DSS и PA DSS 2.0 и 3.0

129 требований по защите информация при переводе денежных средств

•  Банк России интересует, чтобы требование было выполнено качественно, а выбор конкретных технологий и средств защиты информации - задача банков

Какие решения Cisco могут быть применены для защиты НПС?

•  Банк России не устанавливает конкретных и детальных требований по выбору технических или организационных мер, реализующих статьи Положения 382-П –  Участники НПС вправе самостоятельно определять средства защиты

–  Любые решения Cisco могут быть применены для защиты участников НПС и реализации требований 382-П

•  Требований по применению сертифицированных СЗИ нет

Пример применения решений Cisco

Требование Пункт 382-П

Решение Cisco

Идентификация, аутентификация и авторизация работников и участников платежной системы

2.6.3 Cisco Identity Service Engine

Реализация запрета несанкционированного расширения прав доступа к защищаемой информации

2.6.4 Cisco Identity Service Engine

Фильтрация сетевых пакетов при обмене информацией между вычислительными сетями, в которых располагаются объекты информационной инфраструктуры, и сетью Интернет

2.8.1 Cisco ASA 5500-X Cisco IOS Firewall Cisco ASA SM для Catalyst 6500




Снижение тяжести последствий от воздействий на объекты информационной инфраструктуры с целью создания условий для невозможности предоставления услуг по переводу денежных средств или несвоевременности осуществления переводов денежных средств

2.8.1 Cisco Validated Design Cisco SAFE

Учет и контроль состава установленного и (или) используемого на средствах вычислительной техники программного обеспечения

2.10.1 Cisco Identity Service Engine Cisco NAC




Применение организационных мер защиты информации и (или) использование технических средств защиты информации, предназначенных для предотвращения несанкционированного доступа к защищаемой информации на объектах информационной инфраструктуры с использованием сети Интернет

2.8.1 Cisco IPS 4300 Cisco IPS 4500 Cisco IPS-SSP Sourcefire NGIPS

Аутентификация входных электронных сообщений

2.10.4 Cisco Email Security Appliance

РЕЗЮМЕ

•  Компания Cisco занимает лидирующие (а иногда и уникальные) позиции по следующим направлениям: –  Участие в разработке и экспертизе нормативных актов в области ИБ

–  Число сертификатов ФСТЭК и глубина сертификации

–  Сертификация СКЗИ в ФСБ –  Сертификация в ГАЗПРОМСЕРТ –  Локальное производство NME-RVPN,

ISR 2911R и планы на будущее –  Лицензия ФСБ на деятельность в области шифрования

Почему все-таки Cisco – лучший выбор с точки зрения ИБ в России

© Cisco и (или) дочерние компании, 2011 г. Все права защищены. Общедоступная информация Cisco BRKSEC-1065 137

Благодарю вас за внимание

[email protected]

Technology

Требования в области информационной безопасности и соответствующие им решения Cisco