После реализации ряда проектов связанных и использованием специализированных средств защиты приложений и БД стал задумываться - как без них удается реализовать требования по регистрации и аудиту доступа к защищаемым данным?
О необходимости такой таких мероприятий для эффективного обеспечения ИБ я писал в одной из предыдущих заметок.
Но кроме этого есть ещё требования законодательства:
· 149-ФЗ, Статья 16:
“4. Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:
2) своевременное обнаружение фактов несанкционированного доступа к информации;”
· 152-ФЗ, Статья 19:
“2. Обеспечение безопасности персональных данных достигается, в частности:
6) обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;
8) установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;”
· ПП 781 (ПДн):
“11. При обработке персональных данных в информационной системе должно быть обеспечено: … б) своевременное обнаружение фактов несанкционированного доступа к персональным данным;
15. Запросы пользователей информационной системы на получение персональных данных, включая лиц, указанных в пункте 14 настоящего Положения, а также факты предоставления персональных данных по этим запросам регистрируются автоматизированными средствами информационной системы в электронном журнале обращений. Содержание электронного журнала обращений периодически проверяется соответствующими должностными лицами (работниками) оператора или уполномоченного лица.”
· 382-П ЦБ РФ (НПС):
“2.4.3. Оператор по переводу денежных средств, банковский платежный агент (субагент), оператор услуг платежной инфраструктуры обеспечивают контроль и регистрацию действий лиц, которым назначены роли, определенные в подпункте 2.4.1 настоящего пункта.
2.6.3. При осуществлении доступа к защищаемой информации, находящейся на объектах информационной инфраструктуры, указанных в подпункте 2.6.1 настоящего пункта оператор по переводу денежных средств, банковский платежный агент (субагент), оператор услуг платежной инфраструктуры обеспечивают: …
регистрацию действий при осуществлении доступа своих работников к защищаемой информации;
…При осуществлении доступа к защищаемой информации, находящейся на объектах информационной инфраструктуры, указанных в подпункте 2.6.1 настоящего пункта, оператор по переводу денежных средств обеспечивает регистрацию действий с информацией о банковских счетах, включая операции открытия и закрытия банковских счетов.”
Для целей своевременного обнаружения фактов несанкционированного доступа к защищаемой информации, расследования инцидентов ИБ и выполнения требований у нас есть необходимость регистрировать все действия с защищаемой информацией, иметь возможность оперативного мониторинга/аудита и желательно автоматизированной реакции.
Но что такое защищаемая информация в корпоративных приложениях? Сколько существует возможных способов доступа к одной и той же информации (Через окно1 приложения, через окно 2 приложения, через сочетание нескольких окон приложения, через удаленные запросы к СУБД, через локальные запросы к СУБД, через временные файлы хранящиеся на сервере)? Какие действия может совершить пользователь или администратор во всех этих случаях?
Регистрирует ли наше приложение все действия всех лиц при всех способах доступа к защищаемой информации? Есть ли в приложении или СУБД оперативно просматривать и контролировать данные события? Есть ли возможность автоматического анализа и реагирования? Во всех ли наших корпоративных приложениях и СУБД это выполняется?
Если мы ответили положительно не на все вопросы, то приходим к выводу что не можем выполнить поставленные цели.
Решение в данном случае будет применение дополнительных систем защиты: защиты приложений, защиты БДи т.п, которые добавят необходимые функции для наших объектов защиты.
