Transcript Адреса: м. Харків, вул. Бакуліна, 12 Тел./факс: (057) 714-22

Проблемні питання створення та
застосування комплексних систем захисту
інформації на відокремлених пунктах
реєстрації АЦСК
Лєншин Анатолій Валерійович, к.т.н., начальник відділу КСЗІ
Горбенко Юрій Іванович, к.т.н., технічний директор
Онопрієнко Віктор Васильович, к.т.н., заступник генерального директора
Адреса: м. Харків, вул. Бакуліна, 12
Тел./факс: (057) 714-22-05
Web-сайт: www.iit.com.ua
E-mail: [email protected]
E-mail: [email protected]
E-mail: [email protected]
Необхідність створення КСЗІ
1. Витяг з “Правил посиленої сертифікації”:

Безпека інформаційних ресурсів в АЦСК досягається
шляхом
впровадження
організаційних, інженерно-технічних заходів, засобів і методів ТЗІ та КЗІ, спрямованих
на забезпечення захисту інформації під час обслуговування сертифікатів ключів;
 КСЗІ ІТС АЦСК повинна мати атестат відповідності нормативним документам із
захисту інформації. Засоби КЗІ АЦСК повинні мати позитивний експертний висновок за
результатами
державної експертизи у сфері КЗІ. Захищений носій також повинен
мати сертифікат відповідності або позитивний експертний висновок на відповідність
вимогам технічного захисту інформації.
2. Згідно вимог Закону України “Про захист інформації в ІТС”, інформація яка є власністю
держави, або інформація з обмеженим доступом, вимога щодо захисту якої встановлена законом,
повинна оброблятися в системі із застосуванням комплексної системи захисту інформації (далі КСЗІ).
Основні нормативні документи, що регулюють
порядок захисту інформації у ЦСК
 Правила посиленої сертифікації (зі змінами)
 Закон України "Про інформацію"
 Закон України "Про захист інформації в ІТС"
 Закон України "Про захист персональних даних"
 Постанова КМУ "Про затвердження Правил забезпечення захисту інформації в
інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах"
 НД ТЗІ 3.7-003-05 Порядок проведення робіт із створення КСЗІ в ІТС
 НД ТЗІ 2.5-004-99. Критерії оцінки захищеності інформації в КС від НСД
 НД ТЗІ 2.5-005-99. Класифікація автоматизованих систем і стандартні функціональні
профілі захищеності оброблюваної інформації від НСД;
 НД ТЗІ 1.4-001-2000. Типове положення про СЗІ в АС;
 Тимчасове положення про категоріювання об'єктів (ТПКО-95)
 Положення про державну експертизу в сфері ТЗІ (зі змінами)
Типова структура ЦСК
Класифікація автоматизованих (інформаційних)
систем
Клас «1»: одномашинний однокористувачевий комплекс, який обробляє інформацію однієї або
кількох категорій конфіденційності.
Істотні особливості: в кожний момент часу з комплексом може працювати тільки один користувач, хоч
у загальному випадку осіб, що мають доступ до комплексу, може бути декілька, але всі вони повинні мати
однакові повноваження (права) щодо доступу до інформації, яка оброблюється;
Приклад: автономна персональна ЕОМ, доступ до якої контролюється з використанням
організаційних заходів
Клас «2»: локалізований багатомашинний багатокористувачевий комплекс, який обробляє
інформацію різних категорій конфіденційності.
Істотна відміна від попереднього класу: наявність користувачів з різними повноваженнями по
доступу до технічних засобів, які можуть одночасно здійснювати обробку інформації різних категорій
конфіденційності.
Приклад: ЛОМ
Клас «3»: розподілений багатомашинний багатокористувачевий комплекс,
який
обробляє
інформацію різних категорій конфіденційності.
Істотна відміна від попереднього класу: необхідність передачі інформації через незахищене
середовище або, в загальному випадку, наявність вузлів, що реалізують різну політику безпеки.
Приклад: глобальна мережа
Відокремлений пункт реєстрації як
інформаційно-телекомунікаційна система
Невизначеність щодо правового режиму та
режиму доступу до інформації, що
обробляються в ЦСК
У комерційних та державних (А)ЦСК (міністерств, відомств) і, зокрема, ВПР
обробляється:
-
відкрита інформація;
-
персональні дані (конфіденційна інформація);
-
технологічна інформація КЗЗ
Актуальні питання:
 Чи є технологічна інформація КЗЗ – відкритою інформацією у державних АЦСК?
 Чи має надаватися послуга конфіденційності для персональних даних кінцевих
користувачів (за винятком паролів та сертифікатів, що не викладаються у загальний
доступ)?
 Який правовий режим мають особисті ключі Державних службовців?
 Яким чином, ЦСК в яких обробляється службова інформація (згідно наявних
переліків) будуть підключатися до телекомунікаційних мереж?
4-та категорія для об'єкту інформаційної
діяльності (відокремлений пункт реєстрації)
Тимчасове положення про категоріювання об'єктів (ТПКО-95) від 10.07.95 № 35
Власники (користувачі) конфіденційної інформації, що не є власністю держави,
положення цього документа застосовують на свій розсуд.
Тимчасове положення про категоріювання об'єктів (ТПКО-95) (зі змінами від 03.11.2011)
Розпорядники (користувачі) конфіденційної інформації, вимога щодо захисту якої не
встановлена законом, положення цього документа застосовують на свій розсуд
ЦСК та ВПР як інтегровані ІТС
Інтегрована система - сукупність двох або кількох взаємопов’язаних інформаційних та
(або) телекомунікаційних систем, в якій функціонування однієї (кількох) з них залежить
від результатів функціонування іншої (інших) таким чином, що цю сукупність у процесі
взаємодії можна розглядати як єдину систему (НД ТЗІ 3.7-003-05)
Якщо інтегрована КСЗІ має у своєму складі типові модулі, які створювались за єдиним
ТЗ, то експертиза таких модулів КСЗІ виконується в два етапи: на першому проводиться
у повному обсязі експертиза одного обраного типового модуля, а на другому –
здійснюється перевірка відповідності умов експлуатації типовим на кожному
конкретному об’єкті для всіх модулів КСЗІ цього типу.
Введення до складу діючої КСЗІ нового (оціненого) модуля здійснюється без проведення
повторної експертизи всієї КСЗІ. Проводиться оцінювання взаємодії нового модуля зі
складовими частинами КСЗІ, які вже знаходяться в експлуатації.
Який підхід до проведення державної
експертизи КСЗІ ВПР обрати?
Експертиза
КСЗІ
є
процедурою підтвердження відповідності КСЗІ вимогам
нормативних документів із ТЗІ і проводиться шляхом експертних випробувань або
шляхом аналізу декларації про відповідність КСЗІ вимогам нормативних документів
із ТЗІ (Положення про державну експертизу у сфері ТЗІ)
Можливі шляхи отримання атестату відповідності КСЗІ
 Експертні випробування, що здійснюються призначеним Адміністрацією
Держспецзв'язку організатором експертизи;
 Експертні випробування власними силами (за наявності дозволу від Адміністрації
Держспецзв'язку на проведення робіт з ТЗІ для власних потреб);

Декларація про відповідність КСЗІ вимогам НД ТЗІ
Проблемні питання при застосуванні засобів
ТЗІ у якості складових КЗЗ ВПР?
1. Нерозв'язаність питання щодо класу КС ВПР (згідно НД ТЗІ 2.5-005-99)
2. “Незахищеність” програмних засобів ТЗІ (“ЛОЗА-1”, “Гриф”, “Рубіж-РСО”)
при підключені до незахищених каналів зв'язку
3. Ускладненість
Service Pack 1
для
закупок
Microsoft
Windows
7
Enterprise
Edition
Проблемні питання щодо оновлення засобів
антивірусного захисту
1. Необхідність оновлення згідно 45 Наказу для Державних установ
2. Надання ЦАЗІ лише послуг офлайнового оновлення
3. Відсутність штатних засобів експорту антивірусних баз у ряді антивірусних
продуктів, що має позитивний експертний висновок
4. Захист доступу до оновлень, що пройшли експертизу, при розгортанні власного
центру оновлень
Аналіз особливостей реалізації ФПБ від НСД
Особливості розмежування доступу на модифікацію та читання (КА, ЦА, КД, ЦД)
1. У якості користувача виступає єдиний співробітник або права доступу співробітників
однакові
2. Призначення правил розмежування доступу до критичної інформації здійснюється
адміністратором ЦСК
3. Захист персональних даних користувачів, що зберігаються у файловій системі
4. Застосування захищених НКІ для особистих ключів персоналу АРМів ВПР
Особливості захисту від повторного використання поділюваних об'єктів (КО)
1. Критичність процесу генерації ключової пари на РС генерації ключів
2. Доступ
до
особистих
адміністраторів реєстрації
ключів,
що
відтворюються
у
оперативній
пам'яті,
Аналіз особливостей реалізації ФПБ від НСД
(продовження 1)
Особливості забезпечення конфіденційності та цілісності при обміні (КВ, ЦВ)
1. Застосування засобів криптографічного захисту інформації, що мають позитивний
експертний висновок
2. Відсутність у засобів КЗІ висновків у сфері ТЗІ
Вимоги щодо ідентифікації та автентифікації (НИ)
1. Необхідність суворої автентифікації
2. Багатоступенева модель автентифікації
Аналіз особливостей реалізації ФПБ від НСД
(продовження 2)
Особливості забезпечення достовірного каналу (НК)
1. Наявність послуги достовірного каналу позначає, що введення принаймні даних
автентифікації, що ініційоване користувачем, захищене КЗЗ від шкідливих
програмних засобів типу «троянський кінь»
2. Достовірний канал у “неспеціалізованих” КЗЗ не забезпечує необхідного рівня
захисту
3. Послуга достовірного каналу у загальному випадку мають реалізовуватися засобами
КЗІ
Аналіз особливостей реалізації ФПБ від НСД
(продовження 3)
Проблемні питання при реалізації послуги розподілу обов'язків
1. Зменшення чисельності персоналу ВПР, як побічний ефект від прагнення до
розширення “сфери присутності ЦСК”
2. Вимушене покладання обов'язків на відповідального за захист інформації в ІТС
на адміністратора реєстрації
3. Заборона (“Правила посиленої сертифікації”) суміщення посади адміністратора
безпеки з іншими посадами
4. Високі вимоги до рівня кваліфікації адміністратора ВПР
Проблемні питання модернізації складових КЗЗ ВПР
1. Проблема поширення оновлених складових КЗЗ, як наслідок “масштабу” мережі
ВПР;
2. Забезпечення сумісності використовуваних засобів захисту
Термінологічна плутанина у Профілях захисту
НД ТЗІ 1.1-003-99
Профіль захисту - упорядкований перелік рівнів функціональних послуг, який може
використовуватись як формальна специфікація функціональності КС
Приклад: 1.КД.1 = { КА-1, КО-1, ДР-1, ДВ-1, НР-2, НИ-2, НК-1, НО-1, НЦ-1, НТ-1 }
ISO/IEC 15408-1
Профіль захисту – незалежна від реалізації сукупність вимог безпеки для певного типу
ТОЕ, що відповідає специфічним потребам споживача
Фактично, профіль захисту за ISO/IEC 15408-1 є аналогом “типового” ТЗ на КСЗІ
Досвід США, що закріплений у профілі захисту
“Certificate Issuing and Management Components
Protection Profile (Version 1.5) 11/08/ 2011”
ВИСНОВКИ

Створення КСЗІ в ІТС ВПР є обов'язковою вимогою законодавства України як для
АЦСК так і для ЦСК

Обробка даних ВПР має починатися лише після отримання атестату відповідності (або
реєстрації Декларації) КСЗІ ІТС ВПР

Недосконалість нормативної бази ускладнює ряд вирішення рядку питань, зокрема:
визначення класу ІТС до якої відноситься ВПР, визначення правового режиму окремих
інформаційних об'єктів ВПР

На сьогодні існують 3-и шляхи отримання атестату відповідності КСЗІ ІТС ВПР

На вітчизняному ринку відчувається брак засобів захисту систем, що подібні до ІТС
ВПР

Актуальним кроком
на шляху до забезпечення необхідних рівнів “прозорості при
впроваджені” та “захищеності” інформації, що обробляється в ІТС ВПР, має стати розробка
єдиного набору вимог КЗЗ ІТС ВПР