Экспертные материалы по лицензированию (страница 2)

На официальном сайте ФСТЭК размещён проект приказа «Об утверждении Требований по обеспечению безопасности значимых объектов КИИ РФ».

Основные тезисы и изменения

Прописаны требования к каждому этапу разработки и создания защищённой системы. Заслуживают внимания следующие положения о требованиях о безопасности КИИ:

• На этапе формирования требований к безопасности объекта КИИ выполняются лишь категорирование и разработка техзадания. Создание модели актуальных угроз планируется осуществлять на этапе разработки мер обеспечения безопасности объекта.
• На этапе разработки мер обеспечения безопасности объекта КИИ производится оценка и создание актуальной модели угроз, а также разработка мер защиты. Примечательно, что в качестве угроз рассматриваются исключительно компьютерные атаки, а меры безопасности, отличающиеся от базового «набора» мероприятий, подлежат обязательному обоснованию.
Подробнее…

В рамках реализации национального проекта «Цифровая экономика» актуализируется задача создания единой системы регулирования информационной безопасности в стране. В перспективе планируется определить единый федеральный орган, который будет ответственен за стандартизацию требований к защите информации и техническим средствам защиты на всех уровнях.

Кто управляет информационной безопасностью в России

На сегодняшний день функции обеспечения информационной безопасности распределены между двумя ведомствами:

ФСТЭК (Федеральная служба по техническому и экспортному контролю) — занимается сертификацией средств защиты информации, аттестацией объектов и рабочих мест по требованиям безопасности информации, оценкой рисков для объектов КИИ и контролем соблюдения обязательных требований к техническим средствам защиты, не использующим криптографию.

ФСБ (Федеральная служба безопасности), в частности отдел лицензирования и сертификации, отвечает за вопросы защиты государственной тайны, лицензирование работы со средствами криптографической защиты информации и контроль объектов, где используется закрытая информация.

Подробнее…

Внутренние враги всегда опаснее внешних. Недочёты и упущения в политике технической безопасности могут принести больше ущерба, чем команда опытных хакеров. Специалисты проанализировали причины инцидентов в области защиты ИС, что около трети происшествий в сфере информационной безопасности было вызвано не внешним воздействием, а недосмотром и халатностью самих сотрудников или руководителей. Этот фактор обязательно нужно учитывать при подготовке к оформлению лицензии ФСТЭК ТЗКИ. Мы выделили наиболее частые ошибки.

Уязвимые принтеры

В первую очередь при проектировании защиты информационной системы все стремятся защитить компьютеры и забывают о принтерах и сканерах — а ведь это те же электронные устройства, включённые в корпоративную сеть, и срок их эксплуатации весьма долог. За это время в их памяти успевают накопиться данные о множестве распечатанных конфиденциальных документов. Если вы не хотите, чтобы эта информация попали в чужие руки, память принтера необходимо периодически чистить.

Подробнее…

Выступление представителей ФСБ И ФСТЭК на 8 международной конференции по защите персональных данных касалось в основном проблем определения актуальных угроз для БД и создания моделей для эффективной защиты. Регуляторы обобщили опыт последний проверок и акцентировали внимание слушателей на следующих моментах:

1. В подавляющем большинстве проверенных организаций утверждённые модели угроз не соответствовали требованиям ФСТЭК. Основные нарушения:

• при моделировании не принимались во внимание уязвимости и угрозы из Базы уязвимостей, формируемой ФСТЭК;
• при создании модели угроз не учитывались уязвимости, связанные с конкретной используемой технологией (например, применяя виртуализацию, необходимо учитывать угрозы, связанные именно с данной технологией);
Подробнее…

Создание моделей угроз информационным системам является одной из обязанностей операторов ИС, занятых защитой информации при обработке и передаче персональных данных (ИСПДн). Раньше это делалось довольно легко: взять базовую модель угроз ФСТЭК, действовавшую на тот момент методику создания и сформировать уже собственную модель, заточенную под нужную систему. Однако ФСТЭК переработала эту схему: на смену классам систем персональных данных пришли уровни защищённости, а угрозы были разбиты на три типа:

1. Недокументированные возможности (НДВ) в системном ПО
2. НДВ в прикладном ПО
3. Прочие

Уровень защищённости системы зависит от типа актуальных угроз, но как определить актуальность той или иной угрозы, если это можно сделать только в ходе сертификации СЗИ? Можно использовать только сертифицированные программы, но не стоит забывать, что обновления таких программ уже не подлежат проверке и сертификации, а значит, потенциально могут нести в себе уязвимость. Тогда получается, что угроза недекларированных возможностей актуальна всегда, каким бы ПО вы ни пользовались. Но в этом случае не совсем ясно, как можно сделать модель угроз, поэтому обычно операторы стараются обосновать, почему считают такую-то угрозу неактуальной.

Что можно применить для разработки модели угроз

Подробнее…

ФСТЭК является основным государственными ведомством, ведающим вопросами защиты информации, разработки методик и стратегий такой работы и закреплением данных механизмов и критериев на законодательном уровне. Именно постановления, приказы и руководящие документы ФСТЭК берутся за основу при проектировании и исполнении информационных систем, защищённых от НСД на различных уровнях.

Соответствие требованиям ФСТЭК

РД ФСТЭК России используются не только для оценки механизма защиты автоматизированных систем на техническом уровне. Ряд документов служит в качестве ориентира, рекомендации для проектирования и создания АС в защищённом исполнении даже в тех случаях, когда по закону такой защиты не требуется.

Подробнее…

2 июля 2017 года ФСТЭК выпустила специальное сообщение, касающееся распространившихся в последнее время вирусов, как Petya, Misha и WannaCry. Пользователям напомнили, что для защиты от подобных вирусов следует соблюдать требования, перечисленные в соответствующих приказах ФСТЭК. Для государственных информационных систем это приказ № 17, для информационных систем персональных данных — приказ № 21, а для автоматизированных систем управления технологическим процессом — приказ № 31.

По мнению ФСТЭК, против вредоносных программ подобного рода достаточно уже существующих методов технической защиты информации.

Итак, чтобы избежать атаки со стороны данных вирусов, следует:

• постоянно обновлять программное обеспечение, чтобы на персональных компьютерах и на общем сервере всегда стояли самые свежие версии ПО, в том числе сертифицированные антивирусы с актуальными базами данных;
• выявлять слабые места информационных систем путём аудитов и периодических проверок на отдельные уязвимости, анализировать эти места и как можно быстрее устранять выявленные недостатки;
Подробнее…

В отличие от строгих правил проверки лицензий в ФСБ, ФСТЭК даёт возможность узнать информацию о лицензиатах на своём официальном сайте. Здесь можно проверить лицензию ФСТЭК по номеру, дате выдачи, наименованию фирмы, узнать дату окончания действия разрешительного документа.

Наиболее востребованы три реестра лицензий ФСТЭК:

• лицензии на разработку и производство СЗКИ: реестр лицензиатов СЗКИ (можно проверить онлайн или скачать в формате ODS)
• лицензии на техническую защиту конфиденциальной информации: реестр лицензиатов ТЗКИ (можно проверить онлайн или скачать в формате ODS);
• лицензии на проведение независимой идентификационной экспертизы товаров на экспорт: реестр экспертных организаций (здесь можно скачать весь перечень в удобных форматах RTF и PDF);

Подробнее…

Работа в сфере информационной безопасности в России популярна и престижна, однако при этом наблюдается серьёзная нехватка грамотных кадров. Институтские знания выпускника устаревают почти сразу после выхода из стен вуза — получается специалист по информационной безопасности без практического опыта. Чтобы адекватно противодействовать попыткам хищения и порчи информации, молодой специалист должен продолжать учиться, быть в курсе последних новостей и новинок в сфере технической защиты информации, иметь доступ к актуальной информации по противодействию хакерским атакам. Где найти такого сотрудника, который будет постоянно и по своей инициативе оттачивать навыки и учиться?

Новые стандарты по специальности

В качестве «мотивации» крупные госкорпорации и государственные органы решили сделать такое совершенствование обязательным.

Уже идёт работа по созданию профессиональных стандартов для IT-специалистов и работников служб информационной безопасности, которые позволят собрать воедино требования к квалификации работников, специализирующихся в области борьбы с киберпреступностью. Госорганы, а также государственные учреждения и организации, должны соблюдать эти стандарты в обязательном порядке: с момента их введения нельзя устроиться на работу в сфере информационной безопасности, не имея соответствующего сертификата.

Подробнее…

Существует несколько разновидностей аудита информационных систем организации. Чаще прочих заказывают активный аудит, также известный как инструментальный анализ защищённости. По сути он представляет собой моделирование хакерских атак, работу взломщика «в полевых условиях» — именно так можно выяснить на практике, насколько хорошо информационная система защищена от проникновения извне. Многие предпочитают заказывать такую проверку перед аттестацией для получения лицензии ФСТЭК на ТЗКИ или лицензий ФСБ, требующих надёжной защиты технических каналов связи.

Для большей надёжности результатов проверяющему не представляют внутреннюю информацию о сетевой защите, — он работает, как работал бы реальный хакер только на основании того, что можно найти в публичных источниках. Количество и разнообразие моделируемых атак зависит от программного обеспечения, находящегося в распоряжении проверяющего, и его собственного знания IT-технологий.

Методы активного аудита информационных систем

Существует две разновидности этого типа аудита — так называемые внешний и внутренний. Проверяющий в ходе внешнего аудита информационной безопасности применяет методы, имитирующие действия хакера, работающего извне:

• собирает все сведения об информационных системах компании, какие можно добыть из публичных источников;
Подробнее…

Для работы с информацией конфиденциального характера и подготовки к оформлению лицензии на ТЗКИ подойдёт только программное обеспечение, прошедшее сертификацию ФСТЭК. Заявку на её прохождение может подать как изготовитель данного ПО, так и продавец, и поставщик, а также лицо, уполномоченное изготовителем. В нашей стране за выдачу таких сертификатов отвечают несколько ведомств, но основными из них являются ФСТЭК и ФСБ.

Если программное обеспечение для гарантии безопасности информации использует протоколы шифрования, значит, сертификация будет проходить под контролем ФСБ. Необходимо учесть, что на территории РФ разрешены к применению только шифровальные алгоритмы отечественной разработки. Чтобы узнать, каким именно стандартам должно отвечать ПО для успешного прохождения процедуры, нужно получить особый допуск к документам с грифом «для служебного пользования» — в открытом доступе этих сведений нет.

Сертификацией некриптографических СЗИ заведует ФСТЭК. В отличие от нормативов ФСБ, требования ФСТЭК к проверяемому ПО выложены на официальном сайте, где их можно просмотреть совершенно свободно.

Подробнее…

Полный обзор службы, её функций и значения для бизнеса в сфере ИБ

В сфере информационной безопасности России есть ключевой регулятор, с требованиями которого сталкивается практически каждая компания, работающая с конфиденциальными данными.

Речь идёт о ФСТЭК — федеральном органе, который задаёт стандарты и контролирует защиту информации на государственном уровне.

Если вы только начинаете разбираться в теме ИБ или ищете пути легализации своей деятельности, этот материал даст вам полное представление о том, что такое ФСТЭК, чем он занимается и почему его требования так важны.

Подробнее…