В конце прошлого года у меня подобралось несколько вопросов в рамках защиты ПДн, по которым не было однозначного ответа. При этом ряд знакомых экспертов (Артем Агеев, Николай Домуховский и д.р.) советовали не заниматься публичными рассуждениями, а писать письма регуляторам.
Письма были написаны, давайте посмотрим что получилось с вопросами к ФСТЭК России:
Вопрос 1. Возможно ли при выборе мер обеспечения безопасности ПДн в ИСПДн исключать меры защиты из базового набора, на том основании, что связанные с данной мерой угрозы безопасности ПДн – неактуальны?
а) Если да, то на каком этапе выполняется данное исключение (адаптации, уточнения, дополнения)?
(примечание автора – данный вопрос возник с связи с наличием различных трактовок приказа №21 ФСТЭК в части исключения мер защиты , так как в явном виде в приказе не указано, что исключение возможно исключение мер защиты, связанных с неактуальными угрозами. Так-же сторонники “возможности исключения” не могут назвать явно, на каком этапе выбора нужно делать такое исключение при поэтапном подходе)
Ответ 1.В соответствии с Содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденным приказом ФСТЭК России от 18 февраля 2013 г. № 21, исключение мер по обеспечению безопасности персональных данных возможно на этапах адаптации базового набора мер и уточнения адаптированного базового набора мер по обеспечению безопасности персональных данных.
Вопрос 2. Можно ли при определении актуальности угрозы БПДн учитывать имеющиеся исходно не сертифицрованные СЗИ и на этом основании корректировать показатели опасности или вероятности угрозы?
(примечание автора – данный вопрос возник в связи с различием трактовок: с одной стороны существующие у оператора не сертифицированные СЗИ в реальности влияют на показатели опасности и вероятности угроз; с другой стороны есть требования что СЗИ, применяемые для защиты ПДн должны пройти оценку соответствия, а значит неоцененные СЗИ мы и рассматривать не должны)
Ответ 2.В соответствии с Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденной ФСТЭК России 14 февраля 2008 г., наличие средств защиты информации влияет на определение вероятности реализации угроз безопасности персональных данных.
Вопрос 3.Относятся ли следующее ПО к СЗИ:
a)
Средства резервного копирования и восстановления информации
b)
Средства защиты от DDoS-атак на уровне сети (DDoS Protection)
c)
Средства мониторинга и анализ действий пользователей (User Activity Monitoring)
d)
Средства фильтрации и контроля web-трафика (Web Security)
e)
Средства контроля доступа к web- приложениям на уровне сети (Web Application Firewall)
f)
Средства контроля доступа к базам данных на уровне сети (DataBase Firewall)
g)
Средства контроля доступа к файлам на уровне сети (File Activity Monitoring)
h)
Средства контроля доступа в сеть (Network Access Control – NAC)
i)
Средство обеспечения однократного входа (Single Sign-On – SSO)
j)
Средства централизованного управления учетными данными (Identity Management)
k)
Средства централизованного управления конфигурацией устройств, входящих в состав СЗПДн (Information Security Management)
l)
Средства централизованного сбора событий, в том числе событий ИБ (Log сервер)
m)
Средства централизованного мониторинга работоспособности устройств и их функций, входящих в состав СЗПДн
n)
Средства централизованного управление событиями ИБ (Security Information and Event Management – SIEM)
o)
Средства анализа защищенности (Vulnerability Management)
(примечание автора – данный вопрос возник в связи с различием трактовок средства защиты информации, которые неоднократно обсуждались в блогах тут и тут и имеют большое значение => отнесение ПО к СЗИ сразу же влечет необходимость его оценки соответствия / сертификации, что приводит к значительно большим затратам операторов, которые приняли за СЗИ все дополнительное ПО, перечисленное выше)
Ответ 3. В соответствии с постановлением Правительства Российской Федерации от 15 мая 2010 г. № 330, и национальным стандартом ГОСТ Р 50922-96 «Защита информации. Основные термины и определения» средствами защиты информации является продукция, предназначенная для защиты информации, средства, в которых она реализована, а также средства контроля эффективности защиты информации.
В соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. № 17, и Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденными приказом ФСТЭК России от 18 февраля 2013 г. № 21, в информационной системе персональных данных должны быть реализованы организационные и технические меры по защите информации, направленные на блокирование (нейтрализацию) угроз безопасности информации со стороны внешних и внутренних нарушителей.
Технические меры реализуются посредством применения программных или программно-технических средств защиты информации.
В случае, если используемое в информационной системе персональных данных программные или программно-технические средства имеют механизмы защиты и обеспечивают выполнение установленных требований о защите информации, то указанные средства являются средствами защиты информации и подлежат обязательной сертификации на соответствие требованиям по безопасности информации.
Вопрос 4. На соответствие чему должны быть сертифицированы СЗИ в составе СЗПДн, если для данного типа СЗИ не разработаны специальные требования или профили?
a) Если сертификация на соответствие требований ТУ или Задания по безопасности, то какие требования должны быть прописаны в данных документах
Ответ 4.В случае, если средство защиты информации не удовлетворяет требованиям, содержащимся в документах, утвержденных ФСТЭК России, оно может быть сертифицировано на соответствие требованиям безопасности информации, содержащихся в технических условиях на данную продукцию или в задании по безопасности на данную продукцию, разработанных и утвержденных заявителем на сертификацию указанного изделия.
Технические условия на средство защиты информации должны соответствовать положениям стандарта ГОСТ 2.114-95 «Единая система конструкторской документации. Технические условия».
При этом, в разделе «Технические требования» технических условий на средство защиты информации должны содержатся требования по безопасности информации, включающие в себя полный набор функциональных требований безопасности к продукции, сформулированных в соответствии с мерами по обеспечению безопасности персональных данных, содержащимися в приложении к Составу и содержанию организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденному приказом ФСТЭК России от 18 февраля 2013 г. № 21, в случае сертификации данного средства защиты информации для защиты персональных данных при их обработке в информационных системах персональных данных.
Задание по безопасности на средство защиты информации должно удовлетворять положениям национальных стандартов Российской Федерации ГОСТ Р ИСО/МЭК 15408.
В задании по безопасности на средство защиты информации должны быть указаны функциональные требования безопасности к продукции, соответствующие положениям национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности» и реализуемые посредством полного состава функций безопасности изделия, и требования доверия к безопасности к продукции, соответствующие положениям национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-3-2013 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности».
Из ответов можно сделать следующие выводы:
·
нет смысла объявлять большое количество ПО и компонентов ИТ-инфраструктуры (коммутаторы, маршрутизаторы, СУБД, ОС, системные сервисы, прикладное ПО) участвующим в обеспечении безопасности ПДн –> всё оно потом подлежит обязательной сертификации
·
при наличие несертифицированных СЗИ оптимальнее всего учитывать их при моделировании угроз -> определять угрозы неактуальными –> исключать меры связанные с данными угрозами и с данными СЗИ
·
не смотря на убедительные речи Алексея Лукацкого и Алексея Волкова, требования регуляторов у нас не на столько либеральны чтобы в одном проекте по СЗПДн достигать выполнение требований и Регуляторов и Бизнеса. Выгоднее разделать на два проекта – СЗПДн и СОИБ. СЗПДн – минимум мер и сертифицированные СЗИ. СОИБ – объективная оценка рисков, многоуровневая защита, в том числе несортированными СЗИ и ПО.
