Embed Size (px)
Citation preview
Классический алгоритм потроения защиты
2
Определяем объект защиты
Определяем модель нарушителя
Определяем модель угроз
Формируем требования по защите информации
…………..
Руководящий документ Гостехкомиссии России.
Концепция защиты СВТ и АС от НСД к информации
3. ОСНОВНЫЕ ПРИНЦИПЫ ЗАЩИТЫ
3.1. Защита СВТ и АС основывается на положениях и требованиях существующих законов, стандартов и нормативно-методических документов по защите от НСД к информации.
3.2. Защита СВТ обеспечивается комплексом программно-технических средств.
3.3. Защита АС обеспечивается комплексом программно-технических средств и поддерживающих их организационных мер.
3.4. Защита АС должна обеспечиваться на всех технологических этапах обработки информации и во всех режимах функционирования, в том числе при проведении ремонтных и регламентных работ.
3.5. Программно-технические средства защиты не должны существенно ухудшать основные функциональные характеристики АС (надежность, быстродействие, возможность изменения конфигурации АС).
3
Руководящий документ Гостехкомиссии России.
Концепция защиты СВТ и АС от НСД к информации
4. МОДЕЛЬ НАРУШИТЕЛЯ В АС
4.1. В качестве нарушителя рассматривается субъект, имеющий доступ к работе с штатными средствами АС и СВТ как части АС.
Нарушители классифицируются по уровню возможностей, предоставляемых им штатными средствами АС и СВТ. Выделяется четыре уровня этих возможностей.
Классификация является иерархической, т.е. каждый следующий уровень включает в себя функциональные возможности предыдущего.
4.2.
Четвертый уровень определяется всем объемом возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств АС, вплоть до включения в состав СВТ собственных технических средств с новыми функциями по обработке информации.
4
5
Моделью нарушителя не предусматривается
действие нарушителей в составе группы
Модель нарушителя из группы инсайдеров/
секретносителейНарушитель из числа санкционированно допущенного персонала:o Нарушитель имеет высокую квалификацию и санкционированно
предоставленные полномочия от пользователя до администратораo Нарушитель может действовать как по собственной инициативе, так
и под внешним воздействием (как прямым или через близких лиц, так и путем социоинженерии или иным непрямым воздействием)
o Нарушитель может действовать как самостоятельно, так и в сговоре с другими лицами как внутри, так и вне периметра
o Для связи может использовать как ТСПИ организации, так и личные средства коммуникации
o Автоматизированная система подключена к ССОП
6
Гос. тайна
Статья 21. Допуск должностных лиц и граждан к государственной тайне
Допуск должностных лиц и граждан к государственной тайне предусматривает:o согласие на частичные, временные ограничения их прав в
соответствии со статьей 24 настоящего Закона;o письменное согласие на проведение в отношении их полномочными
органами проверочных мероприятий;
Статья 24. Ограничения прав должностного лица или гражданина, допущенных или ранее допускавшихся к государственной тайне
Должностное лицо или гражданин, допущенные или ранее допускавшиеся к государственной тайне, могут быть временно ограничены в своих правах. Ограничения могут касаться:o права на неприкосновенность частной жизни при проведении
проверочных мероприятий в период оформления допуска к государственной тайне.
7
8
Для информации ограниченного доступа, не составляющей
государственную тайну, проверочные мероприятия и
ограничения прав не предусмотрены
9
Статья 6. Условия обработки персональных данных
1. Обработка персональных данных может осуществляться оператором с согласия субъектов персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
2. Согласие субъекта персональных данных, предусмотренное частью 1 настоящей статьи, не требуется в следующих случаях:
1) обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;
2) обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;
Статья 10. Специальные категории персональных данных
3. Обработка персональных данных о судимости может осуществляться государственными органами или муниципальными органами в пределах полномочий, предоставленных им в соответствии с законодательством Российской Федерации, а также иными лицами в случаях и в порядке, которые определяются в соответствии с федеральными законами.
Закон «О персональных данных»
Трудовой кодекс
10
Статья 86. Общие требования при обработке персональных данных работника и гарантии их защиты
В целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке персональных данных работника обязаны соблюдать следующие общие требования:
3) все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение;
4) работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со статьей 24 Конституции Российской Федерации работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия;
11
Закон о частной детективной и охранной деятельности
Раздел IV. СМЕШАННЫЕ ФОРМЫ ДЕТЕКТИВНОЙ
И ОХРАННОЙ ДЕЯТЕЛЬНОСТИ
Статья 14. Охранно - сыскные подразделения на предприятиях
Предприятия независимо от их организационно - правовых форм, расположенные на территории Российской Федерации, вправе учреждать обособленные подразделения для осуществления охранно - сыскной деятельности в интересах собственной безопасности учредителя, с правом открытия текущих и расчетных счетов (далее - службы безопасности).
Руководители и персонал служб безопасности обязаны руководствоваться требованиями настоящего Закона и действовать на основании своих уставов, согласованных с органами внутренних дел по месту своего учреждения.
(часть вторая в ред. Федерального закона от 10.01.2003 N 15-ФЗ)
Службе безопасности запрещается оказывать услуги, не связанные с обеспечением безопасности своего предприятия.
По Базовой модели угроз ФСТЭК определяем, что имеем нарушителя класса А 1.2.5 – А 1.2.8
По Методическим рекомендациям ФСБ определяем, что имеем нарушителя Н6 – следовательно класс криптосредств КА1 и уровень защиты АК6
Модель нарушителя Н6 рекомендуется согласовать с ФСБ
Встраивание криптосредств КА1 только под контролем ФСБ
13
Решение документами ФСТЭК не предлагается
Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их
обработке в информационных системах персональных данныхс использованием средств автоматизации
Как правило, привилегированные пользователи информационной системы исключаются из числа потенциальных нарушителей
14
Правило не действует для информации ограниченного доступа не составляющую государственную тайну
Инсайдерские риски доверенного персонала
Инсайдерские риски доверенного персонала
Верховный суд Республики Марий Эл 4 сентября 2009 г. осудил к лишению свободы на срок от 3 лет 6 месяцев до 6 лет шестерых йошкаролинцев, среди которых студенты факультета информационной безопасности Межрегионального открытого социального института К.М. и С.А., экономического факультета этого же института П.Р., менеджеры ООО «Продсервисъ» Г.Е. и С.С., а также неработающий В.К.
15
Актуальность угроз.
Возможность реализации угрозы
Показатель опасности угрозы
Низкая Средняя Высокая
Низкая неактуальная неактуальная актуальная
Средняя неактуальная актуальная актуальная
Высокая актуальная актуальная актуальная
Очень высокая актуальная актуальная актуальная
16
← Возможность: НИЗКАЯ Опасность: ОЧЕНЬ ВЫСОКАЯ Угроза: АКТУАЛЬНА!
17
Учитывая отсутствие доверенного персонала шифрование информации необходимо
производить на разных ключах.Каким образом обеспечивать обмен
информацией между пользователями?Каким образом обеспечивать доступ к базе
данных?
Режим коммерческой тайны
Статья 10. Охрана конфиденциальности информации
1. Меры по охране конфиденциальности информации, принимаемые ее обладателем, должны включать в себя:
1) определение перечня информации, составляющей коммерческую тайну;
2) ограничение доступа к информации, составляющей коммерческую тайну, путем установления порядка обращения с этой информацией и контроля за соблюдением такого порядка;
3) учет лиц, получивших доступ к информации, составляющей коммерческую тайну, и (или) лиц, которым такая информация была предоставлена или передана;
4) регулирование отношений по использованию информации, составляющей коммерческую тайну, работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров;
5) нанесение на материальные носители (документы), содержащие информацию, составляющую коммерческую тайну, грифа "Коммерческая тайна" с указанием обладателя этой информации (для юридических лиц - полное наименование и место нахождения, для индивидуальных предпринимателей - фамилия, имя, отчество гражданина, являющегося индивидуальным предпринимателем, и место жительства).
2. Режим коммерческой тайны считается установленным после принятия обладателем информации, составляющей коммерческую тайну, мер, указанных в части 1 настоящей статьи.
18
КТ в преддоговорной деятельности
Сведения могут представлять коммерческую тайну на время преддоговорной деятельности (переговоров).
21
Соответственно получается, что все материалы до окончания переговоров должны быть прогрифованы, а после заключения удачного договора для
всех них потребуется потом организовывать процедуру снятия грифа
Токаренко Александр Владимирович
24
