4. наличие средств восстановления СЗПДн, предусматривающих ведение двух копий программных средств защиты информации и их периодическое обновление и контроль работоспособности.
1. фильтрацию на сетевом уровне независимо для каждого сетевого пакета (решение о фильтрации принимается на основе сетевых адресов отправителя и получателя или на основе других эквивалентных атрибутов);
2. идентификацию и аутентификацию администратора межсетевого экрана при его локальных запросах на доступ по идентификатору (коду) и паролю условно-постоянного действия;
3. регистрацию входа (выхода) администратора межсетевого экрана в систему (из системы) либо загрузки и инициализации системы и ее программного останова (регистрация выхода из системы не проводится в моменты аппаратурного отключения межсетевого экрана);
4. регистрацию запуска программ и процессов (заданий, задач);
5. контроль целостности своей программной и информационной части;
6. восстановление свойств межсетевого экрана после сбоев и отказов оборудования;
7. регламентное тестирование реализации правил фильтрации, процесса регистрации, процесса идентификации и аутентификации администратора межсетевого экрана, процесса регистрации действий администратора межсетевого экрана, процесса контроля за целостностью программной и информационной части, процедуры восстановления.
4.2. Проектное решение
После разработки технического задания следует разработать документ «Проектное решение на систему защиты персональных данных», в котором будут представлены основные технические решения, в том числе и выбор средств защиты, для обеспечения информационной безопасности.
Сертифицированные средства защиты отличаются большим разнообразием в связи с чем, сложно сделать правильный выбор. Следует принимать во внимание большое количество факторов, а именно: стойкость и функциональность средств защиты информации, соответствие требованиям руководящих документов по защите ресурсов информационных систем персональных данных, совместимость с операционными системами и прикладным ПО, подготовку персонала и многое другое. Кроме всего прочего, ни одно средство защиты информации не может обеспечить выполнение всех технических требований к защите автоматизированных систем, следовательно, следует учитывать и корректность совместного функционирования выбранных СЗИ.
При подборе средств защиты рассматривались производители и их продукты, удовлетворяющие требованиям к СЗПДн:
· приказу ФСТЭК России от 6 декабря 2011 г. 683, утверждающий требования к системам обнаружения вторжений;
· приказу ФСТЭК России от 20 марта 2012 г. 28, утверждающий требования к средствам антивирусной защиты;
· выполнение условий предъявляемых к СЗПДн, оговоренных в техническом задании на создание СЗПДН ИСПДн ГКУЗ «ЯНОСДР»;
· сертификат соответствия выданный серийному производству СЗИ;
Выбор СЗИ для каждой ИСПДн необходимо рассматривать отдельно, в зависимости от ее структуры.
Для ИСПДн помимо СЗИ от НСД требуется использование межсетевого экранирования, чтобы разделить ИСПДн от общей сети.
Для всех рекомендованных к приобретению СЗИ производится в обязательном порядке процедура оценки соответствия требованиям безопасности информации и гарантируется, что они позволяют нейтрализовать все актуальные угрозы, обнаруженные и описанные на этапе составления Частной модели угроз. В зависимости от типа и характеристик нейтрализуемых угроз безопасности персональных данных, к приобретению предлагаются различные варианты исполнения СЗИ: программные, аппаратные и программно-аппаратные комплексы.
· Оптимальное решение в выборе средств защиты информации было принято после анализа требований к системе защиты персональных данных и представлено в таблице 4
Таблица 4. Выбранные средства защиты информации
Тип СЗИ | Продукт | Класс ИСПДн согласно действующему сертификату ФСТЭК России | Применение для защиты ПДн в соответствии с новыми требованиями |
Средство защиты от несанкционированного доступа | «Secret Net 6.5-A» | К3 и выше | УЗ1, УЗ2, УЗ3 |
Межсетевой экран, средство обнаружения вторжений и сертифицированный антивирус; | Security Studio Endpoint Protection: Personal Firewall, HIPS | К3 и выше | УЗ1, УЗ2, УЗ3 |
Сканер сети | XSpider 7.8 | К3 и выше | УЗ1, УЗ2, УЗ3 |
ОС со встроенными, сертифицированными по требованиям безопасности, средствами защиты информации | Microsoft Windows XP Professional (XP_Check 3.0) | К3 и выше | УЗ1, УЗ2, УЗ3 |
После составления проектного решения на СЗПДн и формирования проектно-сметной документации, работы по подбору СЗПДн перешли в фазу непосредственного внедрения средств защиты информации.
Перечень работ по установке и настройке СЗИ содержит работы по внедрению, пуско-наладочным работам и введению в эксплуатацию приобретенных СЗИ в соответствии с техническим проектом и планом внедрения на СЗПДн.
Главным, наиболее производительным и экономически эффективным путём реализации СЗПДн, позволяющим обеспечить защиту от имеющихся угроз безопасности ПДн и обеспечить требуемые показатели информационной безопасности, предлогается выделение из общей сети информационного обмена защищенного сегмента (сегментирование), в состав которого входят АРМ непосредственно участвующий в процессе обработки, хранения и передачи персональных данных. Подобный метод предоставляет возможность уменьшить расходы на внедрение СЗПДн и обеспечить управление средствами защиты ПДн. Отсюда следует, что для построения СЗПДн в ГКУЗ «ЯНОСДР», АРМ обособляются от общей сети путем установки межсетевых экранов. Такой сегмент представляет собой обособленную область обработки ПДн в которой содержатся усиленные средства защиты персональных данных по сравнению с теми, что применяются в остальной ЛВС для защиты ПДн.
Связь АРМ с сетями информационного обмена (в т. ч. с международными) реализуется с помощью пограничного сервера-маршрутизатора, шифрующего проходящий защищенный трафик по сертифицированным алгоритмам.
Подсистема управления доступом предназначена для предоставления зарегистрированным пользователям санкционированного доступа к информационным ресурсам и сервисам, полномочий по работе с ними в соответствии с установленными правилами, а также защиту от несанкционированного доступа к программно-аппаратным средствам и ресурсам, участвующим в процессах обработки и хранения конфиденциальной информации.
Описание технического решения
На границе между локальной сетью и защищенным АРМом осуществляется установка межсетевого экрана. МЭ гарантирует фильтрацию всего входящего/исходящего сетевого трафика к защищаемому АРМ, и предоставляет возможность осуществлять контроль за обращениями к ресурсам защищенного сегмента обработки ПДн. Все возможные попытки доступа из внешних сетей по отношению к защищенному сегменту регистрируются в журналах событий на МЭ. Администратор безопасности информации в ИСПДн осуществляет инициализацию и первоначальную наладку МЭ с целью ограничения доступа к защищаемому АРМ ИСПДн из локальной сети и настройки привилегий доступа зарегистрированных пользователей ИСПДн.
На АРМ устанавливается система защиты информации от несанкционированного доступа «Secret Net 7» (автономный вариант) и персональный межсетевой экран «Security Studio Endpoint Protection».
Через консоль управления администратор безопасности присваивает привилегии доступа пользователей системы к каталогам, хранящим базы персональных данных, программную часть установленных СЗИ и операционной системы с целью обеспечения целостности данных.
Организационные меры
Организационные меры предусматривают обеспечение следующих функций:
· обязательный ежедневный осмотр АРМ пользователем для контроля целостности пломб;
· определение перечня и регламента действий в чрезвычайных ситуациях;
· определение парольной политики, применяемой для доступа к информации, хранимой на микросхеме BIOS;
· определение комиссии по расследованию инцидентов информационной безопасности;
· составление инструкций администраторам безопасности информации в ИСПДн;
· определение политики резервирования и восстановления ПО, баз ПДн ИСПДн;
· определение порядка действий пользователей ИСПДн в части обеспечения безопасности ПДн;
· составление инструкции о порядке проверки электронного журнала обращений к ИСПДн;
· составление инструкции об использовании СЗИ.
Подсистема предназначена для обеспечения регистрации действий, производимых по отношению к ПДн, обрабатываемых в ИСПДн.
· регистрацию входа (выхода) пользователя в систему (из системы) либо регистрацию загрузки и инициализации операционной системы и ее программного останова;
· с помощью маркировки и занесения учетных данных в журнал учета с отметкой об их выдаче (приеме) производится учет всех защищаемых носителей информации;
Описание технического решения
Вместе с каждым сетевым средством защиты информации «Secret Net 7» устанавливается программа просмотра журналов доступа.
Для проведения аудита в системе используется журнал, хранимый в защищаемой базе СЗИ «Secret Net 7». Журнал ведется на каждом защищаемом компьютере и хранится в локальной базе данных.
Администратор просматривает записи журнала мониторинга с помощью программы просмотра журналов. Программа выбирает по запросу администратора из базы данных запрашиваемые записи для требуемых критериев и отображает их.
Организационные меры
Администраторам безопасности необходимо производить учет всех защищаемых носителей информации с помощью их маркировки с занесением учетных данных в журнал (учетную карточку).
Подсистема обеспечения целостности предназначена для постоянного контроля состояния системных и критичных файлов, а также, для блокирования процесса функционирования рабочей станции в случае нарушения целостности подконтрольных объектов.
Подсистема обеспечивает выполнение следующих основных функций:
· обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды;
· физическая охрана технических средств информационных систем (устройств и носителей информации), предусматривающая постоянное наличие охраны территории и здания;
· периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа;
· наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности.
Описание технического решения
На АРМ производится установка программного модуля системы защиты информации от несанкционированного доступа «Secret Net 7» и средства резервного копирования по выбору Заказчика.
Программный модуль обеспечивает контроль целостности объектов в загружаемой пользовательской рабочей среде. Файлы и каталоги, элементы системного реестра могут быть объектами контроля. Для каждого конкретного типа объектов существует свой набор контролируемых параметров. Таким образом файлы могут контролироваться на целостность содержимого, прав доступа, атрибутов, а также на их существование ( проверка на наличие файлов по заданному пути).
В соответствии с заданным расписанием администратором безопасности проводится контроль в автоматическом режиме. Данное расписание, как и политика для осуществления контроля целостности действий, устанавливаются через консоль администратора в случае нарушения политики.
Работа подсистемы резервного копирования регламентируется непосредственно инструкциями по использованию ПО.
Организационные меры
В рамках функционирования подсистемы осуществляются организационные меры по обеспечению целостности:
· физическая охрана ИСПДн (устройств и носителей информации), предусматривающая:
· контроль доступа в помещения ИСПДн посторонних лиц,
· наличие надежных препятствий для несанкционированного проникновения в помещения ИСПДн и хранилище носителей информации, особенно в нерабочее время;
· резервное копирование ПДн на отчуждаемые носители информации в соответствии с принятым регламентом.
Подсистема обеспечения безопасного межсетевого взаимодействия предназначена для выявления и предотвращения распространения сетевых и вирусных атак в защищаемом сегменте сети.
Подсистема обеспечивает выполнение следующих функций:
· фильтрацию на сетевом уровне независимо для каждого сетевого пакета (решение о фильтрации принимается на основе сетевых адресов отправителя и получателя или на основе других эквивалентных атрибутов);
· фильтрацию пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств;
· фильтрацию с учетом входного и выходного сетевого интерфейса как средства проверки подлинности сетевых адресов;
· фильтрацию с учетом любых значимых полей сетевых пакетов;
· регистрацию и учет фильтруемых пакетов (в параметры регистрации включаются адрес, время и результат фильтрации);
· идентификацию и аутентификацию администратора межсетевого экрана при его локальных запросах на доступ по идентификатору (коду) и паролю условно-постоянного действия;
· регистрацию входа (выхода) администратора межсетевого экрана в систему (из системы) либо загрузки и инициализации системы и ее программного останова (регистрация выхода из системы не проводится в моменты аппаратурного отключения межсетевого экрана);
· контроль целостности своей программной и информационной части;
· регистрацию запуска программ и процессов (заданий, задач);
· восстановление свойств межсетевого экрана после сбоев и отказов оборудования;
· регламентное тестирование реализации правил фильтрации, процесса регистрации, процесса идентификации и аутентификации администратора межсетевого экрана, процесса регистрации действий администратора межсетевого экрана, процесса контроля за целостностью программной и информационной части, процедуры восстановления.
Описание технического решения
На АРМ производится установка программного модуля персонального межсетевого экрана «Security Studio Endpoint Protection».
Трафик фильтрованный межсетевым экраном попадает в модуль, в котором происходит выявление аномальной активности. Инспектирование трафика проводится на 2-7 уровнях модели OSI, что позволяет производить полный анализ всех сетевых пакетов. Данный модуль призван идентифицировать, классифицировать и блокировать нежелательный сетевой поток, до того как подобный поток окажет отрицательное воздействие на работоспособность защищаемой сети. Своевременное предотвращение сетевой атаки еще до проникновения злоумышленника через межсетевой экран и до попадания в защищаемую сеть, позволяет описанный подход.
Для защиты от утечки информации по каналам реализации угроз, не устраненных применением описанных выше подсистем, на АРМ применяются следующие дополнительные меры защиты:
- автоматическая проверка на наличие вредоносных программ (вирусов) или последствий их воздействий при импорте в ИСПДн всех программных модулей (прикладных программ), которые могут содержать вредоносные программы, по их типовым шаблонам и с помощью эвристического анализа;
- механизмы автоматического блокирования обнаруженных вредоносных программ и вирусов путем их удаления из программных модулей или уничтожения;
- регулярное выполнение проверки на предмет наличия вредоносных программ и вирусов в средствах защиты.
Описание технического решения
На АРМ пользователя устанавливается клиентское антивирусное программное обеспечение, позволяющее осуществлять все описанные выше действия по блокированию угроз, связанных с воздействием вредоносных программ вирусов.
На АРМ в котором производится обработка ПДн устанавливается сетевой сканер "XSpider 7.8", который предназначен для поиска разного рода уязвимостей как в сетевых операционных системах, так и аппаратных устройствах.
"XSpider" направлен на работу с уязвимостями различного уровня - от системного до прикладного. "XSpider" включающий в себя анализатор защищенности WEB-серверов и WEB-приложений, является универсальной системой, что никак не отображается на качестве каждой из отдельных возможностей.
Перечень основных возможностей XSpider, являющихся базовыми для обеспечения качества и надежности в поиске уязвимостей:
Полная идентификация сервисов на случайных портах;
Эвристический метод определения типов и имен серверов (HTTP, FTP, SMTP, POP3, DNS, SSH) вне зависимости от их ответа на стандартные запросы;
Обработка RPC-сервисов (Windows и *nix) с их полной идентификацией;
Проверка слабости парольной защиты;
Глубокий анализ контента WEB-сайтов;
Анализатор структуры HTTP-серверов;
Проведение проверок на нестандартные DoS-атаки;
Специальные механизмы, уменьшающие вероятность ложных срабатываний;
Ежедневное добавление новых уязвимостей и проверок.
Средства реализации подсистемы
Антивирусный программный продукт "Security Studio Endpoint Protection: Antivirus" и сетевой сканер "XSpider 7.8".
После внедрения средств защиты информации схема структуры ИСПДн ГКУЗ «ЯНОСДР» приведена на рисунке 3
Рисунок 3. Схема структуры ИСПДн после внедрения СЗИ
5. Аттестация информационных систем персональных данных
Заключающим шагом организационно-технических мероприятий в учреждении ГКУЗ «ЯНОСДР» будет проведение аттестации ИСПДн, которая должна соответствовать требованиям стандартов или иной нормативно-технической документации по защите информации, утвержденных ФСБ и ФСТЭК России.
На шаге аттестации происходит разработка и согласование методики и программы аттестационных испытаний на соответствие требованиям безопасности информации, которые должны быть зафиксированы в специальном документе - "Аттестате соответствия".
Аттестация в техническом смысле включает в себя проведение аттестационных испытаний внедренной СЗПДн, по итогам которой будет вынесено заключение о получении аттестата соответствия на ИСПДн.
В ходе осуществления аттестационных испытаний используются такие методы проверок как:
· проверка соответствия ИСПДн стандартам по защите информации на базе экспертного решения о полноте и достаточности предложенной документации, по созданию необходимых мер защиты информации в ИСПДн, а также проверка на соответствие реальным условиям эксплуатации требованиям по расположению, монтированию и использованию технических средств ИСПДн.
· проверка всех функций или совокупности функций защиты информации от НСД при помощи тестирующих средств, а также посредством проверочного запуска средств защиты информации от НСД и мониторинг за их осуществлением.
На базе первичных данных по технологии обработки и трансляции информации, системы предоставления доступа персонала к защищенным ресурсам ИСПДн, производится анализ обобщенной технологической схемы ИСПДн с имеющимися и предполагаемыми информационными потоками, возможностями доступа к передаваемым и обрабатываемым данным, определяются представляющие опасность факторы и угрозы, уязвимые участки ИСПДн, понижающие степень защиты, полноту и характеристики средств защиты.
В процессе аттестации объекта ИСПДн была проведена:
1. Проверка соответствия представленной первичной информации, документов и положение технологического процесса в момент автоматизированной обработки информации конкретным требованиям размещения, монтирования и эксплуатации ИСПДн, включая в том числе:
· анализ обобщенной технологической схемы ИСПДн с имеющимися и предполагаемыми информационными потоками и возможностями доступа к передаваемым и обрабатываемым данным;
· контроль соответствия описания технологического процесса хранения, обработки и передачи защищаемых данных в ИСПДн существующей практике;
· контроль паспортных (исходных) данных на ИСПДн и ее компонентов, обнаружение факторов представляющих опасность, угрозу и уязвимых мест ИСПДн, понижающих степень ее защищенности;
· проверку соответствия заданным требованиям технологических инструкций администраторам безопасности информации, операторам, администраторам, пользователям обособленных подсистем ИСПДн и обслуживающему персоналу;
· конкретизация схемы технологического процесса автоматизированной обработки информации с привязкой к определенным средствам передачи и обработки данных и основному составу персонала.
2. Контроль ИСПДн и ее компонентов на соответствие организационным и техническим стандартам по защите информации, включая:
· контроль полноты представленной документации и соответствия ее требованиям по защите информации;
· контроль соответствия конфигурации программно-технических средств представленных документов;
· контроль верности классификации ОИ;
· контроль степени подготовки персонала и определение и установление степени ответственности между персоналом.
3. При осуществлении аттестационных испытательных работ было сосредоточенно внимание на проверке соответствия ИСПДн требованиям по обеспечению защиты данных от несанкционированного доступа при подготовке согласованного действия ИСПДн с другими сетями.
По завершению всех аттестационных испытаний и контролю на соответствие требованиям по защите информации, можно убедиться, что внедренные средства защиты информации в полной мере соответствуют необходимым требованиям по безопасности персональных данных, регламентируемыми регуляторами, и на основании чего может быть предоставлен аттестат соответствия требованиям безопасности информации на ИСПДн ГКУЗ «ЯНОСДР». С помощью аттестата соответствия подтверждается соответствие стандартам и требованиям регулирующих и надзорных органов, всех принятых мер по обеспечению защиты информации, также «аттестат соответствия» гарантирует, что при обнаружении регуляторами каких угодно нарушений актуальных регламентов, организация-исполнитель работ по аттестации разделит возможные риски вместе с аттестованным учреждением.
6. Заключение
В ходе написания дипломной работы была создана система защиты персональных данных ГКУЗ «ЯНОСДР», а также непосредственно:
1. был проведен осмотр и комплексное исследование автоматизированных рабочих мест и общего состояния организации защиты информации в государственном казенном учреждении здравоохранения «ЯНОСДР».
2. разработан комплект организационно-распорядительной документации, регулирующий весь жизненный цикл процесса обработки персональных данных.
3. разработана проектная документация с описанием структуры защищенной сети.
4. введены в действие сертифицированные и прошедшие порядок оценки соответствия требованиям безопасности средства защиты информации.
5. произведены аттестационные испытания ИСПДн на предмет соответствия требованиям безопасности информации по результатам которого был выдан аттестат соответствия.
Полное осуществление работ по каждому этапу деятельности помогло достичь основной цели выпускной квалификационной работы – привести информационные системы персональных данных автономного учреждения ГКУЗ «ЯНОСДР» в соответствии со всеми современным требованиям законодательной базы Российской Федерации в области обеспечения безопасности ПДн.
СПИСОК ЛИТЕРАТУРЫ
1. ГОСТ «Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования».
2. ГОСТ 34.201-89 «Виды, комплектность и обозначение документов при создании автоматизированной системы».
3. ГОСТ «Защита информации. Порядок создания автоматизированных систем в защищенном исполнении».
4. ГОСТ Р 34.10-2001 «Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи».
5. ГОСТ Р «Средства вычислительной техники. Защита от несанкционированного доступа».
6. ГОСТ Р «Защита информации. Основные термины и определения»
7. ГОСТ Р «Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения».
8. ГОСТ Р «Защита информации. Автоматизированные системы в защищенном исполнении».
9. ГОСТ Р «Защита информации. Техника защиты информации. Номенклатура показателей качества».
10. ГОСТ Р ИСО/МЭК 15408-1(2,3)-2002 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий».
11. ГОСТ Р ИСО/МЭК «Информационная технология. Методы обеспечения безопасности. Критерии оценки безопасности информационных технологий».
12. ГОСТ Р ИСО/МЭК «Информационная технология. Практические правила управления информационной безопасностью».
13. ГОСТ Р ИСО/МЭК 18045 «Методы и средства обеспечения безопасности. Методология оценки безопасности информационных технологий».
14. ГОСТ Р ИСО/МЭК «Информационные технологии. Технологии безопасности. Система управления информационной безопасностью».
15. Нормативно-методический документ «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденный заместителем директора ФСТЭК России 15 февраля 2008 года.
16. Нормативно-методический документ «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденный заместителем директора ФСТЭК России 14 февраля 2008 года.
17. Нормативно-методический документ «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденный приказом директора ФСТЭК России от 01.01.01 года №21.
18. Нормативно-методический документ «Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР-К). Гостехкомиссия России. 2002 год.
19. Порядок проведения классификации информационных систем персональных данных, утвержденный приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 01.01.01 года № 55/86/20.
20. Постановление Правительства РФ от 01 ноября 2012 № 000 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
21. Постановление Правительства РФ «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» от 01.01.01 года № 000.
22. Указ Президента Российской Федерации «Об утверждении перечня сведений, отнесенных к государственной тайне» от 01.01.01 года № 000 (с изменениями и дополнениями от 01.01.01 года №61; от 6 июня 2001 года № 000; от 01.01.01 года № 000; от 01.01.01 года № 000; от 3 марта 2005 года № 000; от 01.01.01 года №90).
23. Указ Президента Российской Федерации «Об утверждении перечня сведений конфиденциального характера» от 6 марта 1997 года № 000 (с изменениями и дополнениями от 01.01.01 года).
24. Федеральный закон "О ратификации конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных" от 01.01.01 г. .
25. Федеральный закон «О коммерческой тайне» от 01.01.01 года №98-ФЗ.
26. Федеральный Закон «О персональных данных» от 01.01.01 г. .
27. Федеральный закон «О техническом регулировании» от 01.01.01 года (с изменениями от 9 мая 2005 года).
28. Федеральный Закон «Об информации, информационных технологиях и о защите информации» от 01.01.01 г. .
|
Из за большого объема этот материал размещен на нескольких страницах:
1 2 3 4 5 6 |
