Уровни не сопоставили с требованиями, а должны ли?

Одно из замечаний экспертов по информационной безопасности (к новым проектам Постановлений Правительства об уровнях и о требованиях) "уровни защищенности не соотносятся с требованиями по обеспечению информационной безопасности". Посмею возразить. И вот моя точка зрения:

ФЗ № 152 ч. 3. ст. 19  Правительство ..................... устанавливает:

1. Уровни защищенности ПДн......;

2. Требования к защите ПДн....., исполнение которых обеспечивает установленные УЗ.

ФЗ № 152 ч.4. ст. 19 Состав и содержание необходимых для выполнения, установленных Правительства РФ в соответствии с ч.3 требований к защите персональных данных для каждого из уровней защищенности ................................ устанавливают ФСБ России и ФСТЭК России.

В одном проекте ПП установлены уровни защищенности - правильные, не правильные, учитывающие все особенности или не учитывающие, но они установлены.

Во втором проекте ПП установлены требования к защите ПДн, хочу заметить, что требования высокоуровневые, за исключением тонкого намека на применение только сертифицированных СЗИ без возможности декларирования соответствия и добровольной сертификации :), каждое из требований может обеспечивать любой уровень защищенности и с этим не поспоришь. Ответственность за принятие решения по выбору конкретнх мер из списка требований Правительства и сопоставление их с УЗ возлагается на ФСБ России и ФСТЭК России. Так что нужно ждать документы регуляторов, а потом уже делать выводы. 

Итого: Правительство устанавливает множество УЗ и множество требований, а ФСТЭК России и ФСБ России должны раскидать требования по каждому из УЗ. Собственно, если проанализировать ПП № 781 и Приказ ФСТЭК России № 55, то именно такую же картину Вы и увидите (ведь в 781 нет требований к конкретным классам ИСПДн ;)).

PS: Все сложное решается просто. А просто - это закрепленное, на уровне ФЗ, обязательство оценки рисков и выбор контрмер. Без уровней защищенности и без требований к защите :).

Но больше всего меня интересует вопрос по следующей статье закона:

ч. 8 ст.19 Контроль и надзор ............................ при обработке в гос. информационных системах осуществляет ФСТЭК России и ФСБ России...........

ч.9 ст.19 ФСТЭК России и ФСБ России, решением Правительства РФ...................... могут быть наделены полномочиями по контролю за выполнением требований .......................................... и не являющихся государственными информационными системами.

В проектах ПП ни слова об этом, следовательно, проверять обычную организацию ФСТЭК России и ФСБ России не имеют права (если Вы конечно не лицензиат ;)).

О легитимности СТО БР ИББС в контексте ПДн

Вышло письмо обращение ЦБ к кредитным организациям, в котором говорится о подтверждении регуляторами возможности применения комплеса стандартов Банка России по направлению обработки и защиты персональных данных, до выхода новых постановлений Правительства, которые устанавливают уровни защищенности и требования к защите персональных данных.

Хорошая новость для банковского сектора ;) и плюсик за активность ЦБ.

Закон о персональных данных работает? Реально работает?

Наткнулся в сети интернет на сайт Федеральной службы государственной регистрации, кадастра и картографии. Лично для меня он не представлял бы ни какого интереса если бы не реестр кадастровых инженеров, состоящий из 17600 записей о субъектах ПДн, включая паспортные данные, номер сотового телефона, домашнего, адрес почтовый.  

И сразу перед глазами поплыли кипы документов с согласиями субъектов..................... ;).

PS: Не совсем моя тема, но не удержался.

Ну что тут сказать, в ответ на письмо Вихорева С.В.

Открытое письмо Вихорева С.В. - тут. Для того, что бы понимать, кто это, нашел его краткую автобиографию тут.

В ответ на его письмо хочу сказать: "Пока мы будем применять методы и способы защиты информации, с характерными признаками "совка", то мы будем защищать непонятно что, непонятно от чего и непонятно как".

При всем моем уважении к господину Вихореву, хочу еще добавить:

1. Почувствуйте разницу - защищать информацию и защищать информацию сертифицированными средствами. По моему господин Вихорев не совсем понимает разницу и откровенно говоря лукавит когда говорит о том, что у большинства уже все защищено. Защищено, но не сертифицированными средствами. А сертифицированные средства - это финансовые затраты независимо от того что и чем вы там защищали ;).

2. Когда господин Вихорев говорит о том, что те кто подписался не хотят работать, видимо он совсем не знаком с этой группой специалистов, пусть посмотрит их блоги и подумает над тем, что все эти специалисты (каждый в соей области финансы, производство, социальная сфера) не просто группа взбунтовавшихся студентов, а уважаемые люди, среди которых есть и CISA и CISSP и CISM и специалисты с ученой степенью, которые по мимо своей текущей работы, стараются предлагать новые подходы к вопросам ИБ и в целом, ставить направление ИБ на инновационные рельсы.

3. По ст. 19 - надо ждать соответствующих ПП и тогда разговаривать, но если получиться так, что Правительство РФ поручит установить уровни защищенности ФСТЭК России, то документы останутся прежние, а про уровни защищенности по документам ФСТЭК России я уже писал тут и тут. Коротко: если мы будем оценивать защищенность ИСПДн по наличию многопользовательского режима доступа к ней, а не по существующей системе разграничения прав доступа и контроля действий пользователей, то извините меня, по меньшей мере это не корректно.

4. По п. 18-1 давайте не выделять жирным, а дочитывать до конца: ",если иное не предусмотрено настоящим Федеральным законом или другими Федеральными законами". Как раз в ФЗ № 152 и предусмотрено другое в следующем абзаце ;). Я буду очень рад, если при проверки Вашей организации регуляторы будут выделять жирным те же вырванные из контекста фразы.

Далее судите сами.

PS: Это на сколько нужно не уважать своих коллег по цеху, что бы писать "вы" с маленькой буквы ;).

По обращению к Президенту

Уважаемые эксперты!

Чтобы повысить эффективность данного письма, ОЧЕНЬ ЖЕЛАТЕЛЬНО направить его ЛИЧНО от своего имени в адрес Президента через сайт kremlin.ru. Там необходимо ввести свои фамилию, имя и адрес электронной почты, и приложить файл с обращением в формате RTF - забирайте, замените "подписантов" на свое имя и отправляйте! Чем больше запросов будет в адрес Президента, тем больше шансов, что на письмо обратят внимание.

Я уже отправил такое обращение ;).

Открытое письмо Президенту по внесению поправок в ФЗ 152

Уважаемые читатели моего блога, хоть я и взял за принцип не обсуждать в своем блоге вопросы 152-ФЗ, но тем не менее "резкое" принятие необдуманных поправок в этом ФЗ не может меня оставить равнодушным. В связи с этим я подписываюсь под посланием сообщества экспертов по ИБ под открытым письмом Президенту. Хочу Вас попросить о том же. Сделать это можно оставив в блогах тут, тут, тут или тут комментарий со своим ФИО.

Текст открытого письма Президенту Российской Федерации Д.А. Медведеву

Уважаемый Дмитрий Анатольевич!

Мы, представители экспертного сообщества в области информационной безопасности, обращаем Ваше внимание на невыполнение вашего поручения №5, опубликованного 2 июня 2011 года на сайте kremlin.ru, а именно:5. Ускорить приведение законодательства Российской Федерации в соответствие с требованиями Конвенции Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных», предусмотрев устранение необоснованных обременений для операторов персональных данных.Ответственные: Щёголев И.О., Бортников А.В., Нургалиев Р.Г.Срок – 1 августа 2011 г.Обладая определенным опытом работы в области защиты информации и в частности защиты персональных данных, а также являясь экспертами различных рабочих групп, занимающихся вопросами гармонизации российского законодательства в области персональных данных, мы заявляем, что вследствие принятия 5 июля 2011 года в третьем чтении Государственной Думой законопроекта № 282499-5 "О внесении изменений в Федеральный закон "О персональных данных" (далее - Законопроект) все существовавшие серьезные обременения для операторов не только сохранились, но и приумножились.Частью 1 статьи 20 Конвенции Совета Европы “О защите физических лиц при автоматизированной обработке персональных данных”, подписанной от имени РФ 07.11.2001 в г. Страссбург (далее - Конвенция) предусмотрена норма, согласно которой оператор персональных данных самостоятельно принимает решение о составе защитных мер, исходя из предполагаемого ущерба субъекту от их неправомерного использования. В случае утечки, ответственность ложится на оператора по всей строгости закона. Указанные в Законопроекте требования по защите данных носят обязательный характер, их состав жестко регламентирован и не зависит от предполагаемого ущерба субъекту. В тоже время, ответственность операторов за утечки Законопроектом не предусмотрена. Другими словами, Законопроект не соответствует духу Конвенции.Российским операторам персональных данных (почти всем юридическим лицам) Законопроект навязывает требования по защите данных, ранее содержавшиеся в подзаконных и ведомственных нормативных актах ФСТЭК и ФСБ, которые абсолютно не учитывают современные тенденции развития информационного общества. Слегка “подкорректированные” методы и способы защиты государственной тайны 20-летней давности стали обязательными для 7 миллионов операторов персональных данных. А среди них не только «богатые» банки или нефтяные компании, но и фермерские хозяйства, школы, поликлиники и даже индивидуальные предприниматели - все они обрабатывают персональные данные, как минимум, своих работников.Как следствие, принятый Законопроект обязывает операторов персональных данных тратить ресурсы на выполнение морально устаревших требований и покупку несоответствующих современным реалиям технических средств защиты информации. По оценкам Парламентских слушаний 20 октября 2009 года, на реализацию этих, неэффективных в деле защиты прав субъектов персональных данных, мероприятий, всеми хозяйствующими субъектами должна быть единовременно потрачена сумма около 6% ВВП РФ. Учитывая объемы затрат операторы, с очень большой вероятностью, переложат указанные расходы на субъектов - потребителей своих услуг, что неизбежно приведет к эскалации инфляционных процессов.Особо отмечаем, что Законопроект не проходил антикоррупционную экспертизу, а большие обременения, заложенные в Законопроекте, могут весьма существенным образом сказаться на развитии ИТ-инноваций в РФ, поскольку инвестиционный бюджет ИТ-стартапов весьма ограничен. Учитывая объемы затрат, наиболее востребованный экономикой инновационный вид бизнеса в РФ будет заведомо обречен на провал.Эти и другие факторы создают предпосылки для вывода существующих и создаваемых информационных систем за пределы России в страны Евросоюза, где требования к защите персональных данных учитывают современные тенденции и обеспечивают баланс интересов оператора и субъекта. Такие действия, по понятным причинам, могут нанести значительный ущерб безопасности России, и не способствуют соблюдению прав субъектов персональных данных, являющихся гражданами РФ.Просим Вас, принимая во внимание изложенные доводы, отклонить законопроект в существующем виде, и направить его на общественные слушания и соответствующую доработку с привлечением экспертного сообщества в области информационной безопасности и, в частности, защиты персональных данных.06.07.2011

Письмо подписали:

Бондаренко Александр

Волков Алексей

Лукацкий Алексей

Токаренко Александр

Царев Евгений

Требования к СЗПДн регуляторов vs серия 13335

Свои впечатления о базовой модели угроз ПДн от ФСТЭК я уже писал тут. А вот какой цикл в построение СЗИ предлагает серия стандартов 13335 - я и хочу рассказать в сегодняшнем посте.

Всего существует пять частей стандарта 13335 - Методы и средства обеспечения безопасности.

Часть 1 - Концепция и модели менеджмента безопасности информационных и телекоммуникационных технологий.

Часть 2 - Управление и планирование защиты ИТ - отменен. На замену ему пришел 13335 Часть 1. Логика не понятна!? Ну да ладно.

Часть 3 - Методы менеджмента безопасности информационных технологий.

Часть 4 - Выбор мер защиты.

Часть 5 - Руководство по менеджменту безопасности сети.

Есть информация, что готовят еще несколько частей, но будем рассматривать то, что есть в наличии :).

Особое внимание хочу уделить Части 3 и части 4 этого стандарта.

Про оценку рисков, на основании Части 3, я писал в предыдущем посте. Но это только вариант "Детального анализа рисков", а еще стандарт регламентирует возможность использования следующих вариантов оценки рисков нарушения ИБ:

1. Базовый подход (организация осуществляет выбор защитных мер из предлагаемого списка в части 4 в соответствии с некими характеристиками, присущими системе).

2. Неформальный подход (организация выбирает защитные меры основываясь на суждениях некого эксперта).

3. Комбинированный подход (организация выбирает защитные меры основываясь на детальном анализе рисков с привлечением экспертов для систем с высоким уровнем критичности, и основываясь на базовом подходе с привлечением экспертов для систем с низким уровнем критичности).

Хочу заострить внимание на построении СЗИ с помощью базового подхода.

Что предлагается сделать:

1. Идентифицировать тип системы:

1.1. автономная рабочая станция;

1.2. автономная рабочая станция без возможности коллективного использования и выходом в сеть интернет и т.д.

2. Идентифицировать физические условия и условия окружающей среды:

2.1.  Параметры территории и здания (параметры характеризующие безопасность, в п.7.2. Части 4 расписаны подробные параметры).

2.2. Управление доступом в здание и помещения (в п.7.2. Части 4 расписаны подробные параметры).

и т.д.

3. Оценка существующих/планируемых мер обеспечения безопасности.

Вам такие действия ни чего не напоминают? А вот мне напоминают оценку исходного уровня защищенности из базовой модели угроз безопасности ПДн от ФСТЭК. Только в этом варианте все детали продуманы гораздо лучше и учтены реальны факторы, влияющие на безопасность. В нашем же случае сам факт наличия распределенной ИСПДн говорит о том, что уровень исходной защищенности - низкий. А то что там стоит сертифицированная криптография - это поровну. 

Идем дальше, по результатам оценки у нас должна сложиться картинка о существующих организационных и технических мерах защиты информации и о существовании возможных уязвимостей. Дальше необходимо выбрать комплекс средств защиты, который и составит СЗИ.

Весь комплекс защитных мер распределяется на две составляющие:

1. Организационные и физические защитные меры.

1.1. Политика и управление безопасностью ИТ.

1.2. Проверка соответствия безопасности установленным требованиям.

1.3. Обработка инцидентов.

1.4. Физическая безопасность и т.д.

2. Специальные защитные меры систем ИТ.

2.1. Идентификация и аутентификация.

2.2. Логическое управление и аудит доступа и т.д.

Алгоритм выбора специальных защитных мер заключается в наличии табличке позиционирования защитных мер и типа информационной системы, организационные и физические меры определяются на основании наличия/отсутствия необходимой защитной меры.

Вот такой подход нужно было брать за основу нашим регуляторам. Тогда бы и появился смысл понятий "типовая ИСПДн" и "специальная ИСПДн". Для типовых, вполне достаточно было бы базового подхода к построению СЗИ, а для специальных - либо детальный, либо комбинированный. И признак отнесения к типовой и специальной нужно сменить, например, ИСПДн 4 и 3 являются типовыми, а 2 и 1 - специальными или 4,3,2 - типовые, а 1 специальные.

Как защищаются ПДн в образовании

На днях прочитал рекомендации Рособразования по защите ПДн и был приятно удивлен прочитанным.

Немного цитат и комментариев к ним:

Если затраты времени и средств на приведение информационных систем персональных данных (ИСПДн) в соответствие с предъявляемыми требованиями окажутся слишком высокими, то следует оценить возможность обезличивания или понижения классов информационных систем и провести необходимые работы повторно.

Думаю, что не только в случае высоких затрат, но и в случае со здравой логикой надо оценить возможность обезличивания ПДн. Но закрепить такую мысль в официальном документе + Рособразованию.

Наиболее эффективным способом приведению ИСПДн в соответствие с предъявляемыми требованиями является их обезличивание. Оно позволяет классифицировать ИСПДн по низшему классу К4 и самостоятельно определить необходимость и способы их защиты.

Это уже похоже на приказ о необходимости обезличивания ПДн ;).

Если система не может быть отнесена к типовой, модель угроз специальной информационной системы разрабатывается на основе ГОСТ Р 51275-2006 специалистами в области информационной безопасности.

Не совсем понятно из чего вытекает такое требование, но согласитесь, ход мыслей то правильный. Не в одних рекомендациях я ссылки на этот гост не видел, а следовательно Рособразованию еще один +.

+ 1 За способы понижения требований по защите ПДн и конкретные рекомендации к этим способам.

В итоге, сложилось положительное впечатление от прочтения. Документ выглядит лучше по сравнению со стандартами НПФР и Минздравсоцразвития, в части практического применения.  

Работы по защите ПДн (часть 5)

Возвращаясь к вопросу о проведении работ по защите ПДн, остановлюсь на втором этапе - проектирование СЗПДн.

Как я уже говорил: "не надо бросаться и изучать ГОСТы РФ". И это действительно так. Вполне достаточно аналитического обоснования, но перед тем как его сформировать, нужно плотно поработать с моделью актуальных угроз и существующими на рынке средствами защиты информации (СЗИ).

Процесс определения СЗИ для перекрытия актуальных угроз является не таким простым, как кажется на первый взгляд, за исключением тех случаев, когда Ваш бюджет на ИБ не ограничен ;).

Самая первая сложность возникает в выборе СЗИ из всего огромного выбора таких средств на рынке. Ведь стоимость СЗИ и их функционал примерно одинаковы. Как же быть в этом случае?! Я предлагаю использовать два критерия при выборе таких средств (естественно, что их гораздо больше): 1. Совокупная стоимость владения СЗИ и 2. Удобство работы. Второй критерий не люблю использовать, но в данном случае он подходит как ни что лучше.

Совокупная стоимость владения СЗИ - это не только стоимость самого комплекта СЗИ (ПО, железо), но и стоимость внедрения (новые технические средства по ПО, модернизация технических средств под ПО, изменение инфраструктуры), стоимость поддержки СЗИ (зп нового специалиста, повышение квалификации "старого" специалиста, техническая поддержка СЗИ производителем, стоимость обновлений). Дополнительная нагрузка по администрированию новой СЗИ на "старого" специалиста может привести к тому, что он станет меньше времени уделять другим вопросам ИБ, например, уменьшится контроль за действием пользователей в сети интернет и/или электронной почты. К чему я виду, есть такое понятие "упущенная выгода", которое можно применить к данной ситуации и стоимость "упущенной выгоды" включить в совокупную стоимость владения СЗИ.

Удобство администрирования и работы. Не буду философствовать, а приведу простой, и на мой взгляд, яркий пример. Есть сертифицированная по требованиям безопасности ОС и есть сертифицированное прикладное ПО. Администратор ИБ ведет работы по разграничению прав доступа, по мониторингу действий средствами ОС. Возникает вопрос: "Если стоимость владения сертифицированной ОС и сертифицированным прикладным ПО одинакова, какой выбор лучше?". На мой взгляд лучше выбрать вариант сертифицированной ОС так как все функции зашиты в ней известны и человек с ней уже работал, следовательно ему не придется разбираться с механизмами обеспечения ИБ и он сможет довольно оперативно их настроить. В случае выбора сертифицированного прикладного ПО надо учитывать тот факт, что эта "нахлобучка" будет утяжелять работу системы и потребует дополнительных навыков, времени и обучения специалиста для настройки корректной работы.

По критериям все. Теперь поговорим о том, что должно содержать аналитическое обоснование СЗПДн. В первую очередь обосновывается выбор конкретного средства СЗИ из всего множества. Основным аргументом для топ-менеджмента будет стоимость владения такого СЗИ. Первый критерий Вам в помощь. Далее необходимо нарисовать топологию ИСПДн и определить какие компоненты СЗПДн и где должны быть установлены. В заключении необходимо прописать какие функции СЗПДн должны быть сконфигурированы. Не надо настраивать СЗПДн на избыточное функционирование, помните, у Вас есть актуальные угрозы и вы должны снизить риск их возникновения.

В итоге у Вас должен получиться документ размером 10-15 стр. который будет понятен и топ-менеджменту и директору ИТ и директору ИБ. 

Как оценить уровень интегратора или кому доверить работу по защите информации!?

Проблема выбора интегратора действительно существует и является актуальной в условиях жесткой конкуренции и в порыве компаний заработать "халявных денег" на предоставлении услуг в области защиты ПДн.

Возвращаясь к томуже проекту документа "Концепция аудита ИБ.......", заострил свое внимание на пункте 7 Требование к кадровому обеспечению аудиторской деятельности. Изучив данный пункт каждая организация может составить своего рода план оценки интегратора.

Процесс оценки включает в себя следующие этапы:

1. Оценка личных качеств и знаний группы специалистов участвующих в проекте по защите информации ограниченного доступа (именно специалистов "участвующих", а не специалистов работающих в организации.).

2. Определить критерии оценки.

3. Выбор метода оценки.

4. Проведение оценки.

Этап на которые стоит обратить пристальное внимание - это определение критериев оценки.

К таким критериям в документе определяют:

- наличие базового образования;

- наличие практического опыта;

- наличие специального образования (курсы повышения квалификации, переподготовки, сертификации, аккредитации и т.д.);

- знание российских и международных нормативно-правовых актов;

- свободное владение деловым русским языком (важный аспект, так как разрабатываемые документы интегратором должны содержать стилистически и орфографически грамотные обороты, которые понятны всем, а не только человеку который их написал).

Применительно к организации, а не ее специалистам, я бы ввел еще такой критерий, как количество успешно выполненных проектов, аналогичных Вашему.

Наличие базового образования - высшего технического образования по направлению ИТ, ИБ.

Наличие практического опыта - опыт в проведение и участии в проектах, подобному Вашему, желательно, чтобы опыт имел нижнюю планку - 3года.

Знание российской и международной нормативки - как бы хорошо человек не знал российскую нормативку это не поможет ему провести, например аудит по стандарту Cobit или ISO 2700x.

В целом, п.7 "Концепции аудита....." я отнесу к полезной информации, которая может помочь многим специалистам и организациям в процессе выбора интегратора по ИБ.  

Работы по защите ПДн (часть 4)

Перед тем как приступить к проектированию СЗПДн, я бы рекомендовал специалистам ИТ/ИБ разработать два документа: Политика информационной безопасности (ИБ) и Политика обеспечения безопасности ПДн. Ведь эти документы являются высокоуровневыми и являются основным фундаментом (если хотите, то задают вектор) для построения системы защиты организации.  Почему два документа, а не один? Тут как говорится: "на вкус и цвет - фломастеры разные". Привычка заставляет писать небольшие документы, но для каждого процесса. Ссылаясь на свой опыт, могу сказать, что документы размером 15-20 страниц получаются "реально рабочими" (15-20 для политик :), инструкции 3-5).

Политика ИБ - много написано статей, книг и стандартов по содержанию этого документа. С моей точки зрения - это документ, который содержит требования к системе обеспечения и управления ИБ. В этом документе Вы можете описывать требования к различным подсистемам ИБ (антивирусной, криптографической, регистрации и учету, межсетевому взаимодействию.....) и процессам управления ИБ (оценка рисков, внутренний аудит, осведомленность персонала, оценка инцидентов....), а так же не забывайте о ролях и ответственности за их выполнение.

Политика обеспечения безопасности ПДн - структуру документа вы можете найти пошарив в интернете. Этот документ детализирует требования политики ИБ до уровня конкретных ИСПДн. В этом документе прописываются основные требования по обеспечению и управлению безопасностью ПДн, в "конкретных" ИСПДн. Например, в политике ИБ -  действия пользователей в информационной системе должны журналроваться (протоколироваться), в политике обеспечения безопасности ИСПДн - журнал действий пользователей в ИСПДн класса 3 должен содержать следующие параметры: логин, дата и время входа/выхода из ИСПДн; в ИСПДн класса 2 - ............ (в случае если у вас в организации ИСПДн разного класса).

Думаю, что нужно подвести итог. Так для чего же нужны эти два документа? Так как требования к СЗПДн определяются на основании актуальной модели угроз и требований приказа № 58 ФСТЭК, а в некоторых организациях добавляются требования международных стандартов ISO 27001, ISO 27002, ISO 17799? то необходимо их свести в один/два документа, и политики подходят для решения такой задачи как ни что лучше.

Работы по защите ПДн (часть 3)

Основные виды работ по приведению ИСПДн в соответствие с "требованиями регуляторов" привел в части 1 и 2. Перед тем как перейти к описанию этапов проектирование и внедрение СЗПДн. Хочу привести перечень документов, который должен появится до и после результата обследования ИСПДн.

В качестве стартовых документов должны появится три документа:

1. Приказ о назначении комиссии по приведению ИСПДн в соответствие с "требованиями регуляторов".

2. Приказ о назначении ответственного за обеспечение безопасности ПДн в ИСПДн.

3. План работ по приведению ИСПДн в соответствии с "требованиями регуляторов".

Эта тройка документов устанавливает четкое понимание: "кто,  за что отвечает и с кем должен взаимодействовать". 

По результатам обследования ИСПДн должны появиться следующие документы:

1. Список ПДн, обрабатываемых в информационных системах (ИС).

2. Перечень ИС, относящихся к ИСПДн.

3. Перечень сотрудников, имеющих доступ к БД ИСПДн.

4. Кому-то надо, кому-то нет - Акт определения границ контролируемой зоны.

5. Описание технологического процесса обработки ПДн (может быть оформлен книжным вариантом, может быть отдельный документ для каждой ИСПДн). 

6. Акт классификации ИСПДн.

7. Модель актуальных угроз ИБ - этот документ является конечным и содержит только актуальные угрозы, а не весь алгоритм определения таких угроз ;). 

Перед тем, как проектировать СЗПДн, я бы выпустил еще несколько документов, но об этом в "части 4" :).    

Работы по защите ПДн (часть 2)

Что же в себя включает этап Обследования ИСПДн? Для меня - основополагающий этап в процессе построения системы защиты информации (СЗИ) и не важно, к какому типу информации ограниченного доступа она относится.

На этапе Обследования ИСПДн специалистам ИБ/ИТ необходимо выполнить следующие работы:

1. Выделить все ИСПДн, входящие в состав информационной системы (ИС) организации.

2. Определить, автоматизированная или неавтоматизированная обработка ПДн ведется в ИСПДн.

3. Классифицировать все системы, которые осуществляют автоматизированную обработку ПДн.

4. Из общего числа ИСПДн выделить, те, которые относятся к различным системам электронной отчетности и платежей (например СБиС++, ТаксКом, Клиент-банк, Интернет-Банк, Контур.........). Далее эти ИСПДн в процессе не участвуют, так как способы и методы защиты ПДн должны определяться разработчиком в инструкциях на использование таких систем.

5. Построить топологию каждой ИСПДн (сервера, АРМ, телекоммуникационное оборудование).

6. Описать технологию обработки ПДн в ИСПДн. (Указать, какие ПДн на входе и как они хранятся, передаются, корректируются в ИСПДн, а так же перечень сотрудников, учавствующих в процессе их обработки).

7. Описать все средства защиты, которые уже используются, в том числе и средства физической защиты.

8. Провести инвентаризацию документов, направленных на обеспечение информационной безопасности. (Не обязательно, конкретно защиты ПДн, это могут быть документы по конфиденциалке).

9. Провести классификацию источников угроз ИБ и определить актуальные источники для каждой конкретной ИСПДн.

10. Провести классификацию угроз ИБ и построить матрицу (таблицу) позиционирования (соответствия) угроз ИБ и источников угроз ИБ.

11. Оценить актуальные угрозы для каждой конкретной ИСПДн, для каждого конкретного источника угроз.

12. Кому-то надо, а кому-то - нет. Определить границы контролируемой зоны, т.е. зоны где исключено не контролируемое пребывание людей. 

Работы по защите ПДн (часть 1)

Довольно часто бываю на различных форумах, связанных с защитой информации, в том числе, с защитой персональных данных. Довольно часто задают вопрос: как привести себя в соответствие. Действительно, это не простая задача, в условиях финансовых, временных и квалифицированных трудовых ресурсов. Но решать ее надо и ограничения на ресурсы ни кого не волнуют :).

Я хочу опубликовать свое представление о приведении ИСПДн в соответствии с 152-ФЗ требования регуляторов по защите ПДн. В настоящей публикации не будут рассматриваться вопросы связанные с согласием на обработку ПДн, с обработкой ПДн на бумажных материальных носителях, внесением изменений в договор с клиентом/работником и т.д.

Хочу подчеркнуть, что защита ПДн своими силами и силами интеграторов - разные вещи.

Какие же работы предстоит провести специалистам по ИБ и/или специалистам по ИТ в области защиты ПДн собственными силами? Самый верхний уровень перекрывают три основных вида работ:

1. Обследование ИСПДн.

2. Проектирование системы защиты ПДн (СЗПДн).

3. Внедрение СЗПДн.

Обследование ИСПДн - самый утомительный этап, так как на нем Вы занимаетесь рутиной работой, например, определение (описание) АРМ, Серверов и коммуникационного оборудования (маршрутизаторы, коммутаторы, межсетевые экраны и т.д.). Как происходит описание? Написать, что в состав ИСПДн входит 5 серверов и 300 станций - не получится (можно конечно, но такое описание сразу показывает небрежность специалиста, занимающегося предметной областью). Скорее всего процесс описания АРМ, Серверов...... должен заключаться в выявлении следующих характеристик объекта: "Тип объекта" (Системный блок марки IN-WIN) и "Заводской/Инвентарный номер" (зачастую на системных блоках нет заводского номера, а вот инвентарный всегда есть и должен быть наклеен на системный блок - ведь это активы организации, которые должны подвергаться периодической инвентаризации силами бухгалтерии и/или материально-ответственной группой :)). Далее рисуем топологию, определяем класс строим модель угроз, ТЗ и ........ все эти вопросы опишу в "части 2".

Проектирование СЗПДн - проектные работы связанные с большим количеством написанных по различным ГОСТ документам - это не правда. Прежде чем начинать озадачивать себя изучением не актуализированных ГОСТ РФ задумайтесь: а для чего это нужно? Ведь рамочки в документе, размер шрифта, отступы и т.д. не гарантируют Вам грамотно спроектированной СЗПДн, отвечающей бизнес целям организации. Выполнение работ по проектированию СЗПДн, я бы сопровождал короткими аналитическими обоснованиями и решениями разбитыми по подсистемам СЗИ в разрезе Приказа №58 или отраслевых документов. Например, аналитическое обоснование средств защиты НСД для ИСПДн. В аналитическое обоснование я бы включил раздел по анализу существующих средств. В качестве основных критериев выбрал бы цена/качество/требование к системным ресурсам. Такое обоснование направленно в первую очередь на топ-менеджеров организации :). В следующем пункте обозначил бы какие компоненты СЗИ куда ставятся и какие конкретные угрозы из модели угроз перекрывают.

Внедрение СЗПДн - это работы, связанные с закупкой и установкой СЗПДн. Думаю, что проблем по внедрению выбранных средств не должно вызывать трудностей у специалистов ИБ/ специалистов ИТ. Самое основное - не забывайте о актах ввода в эксплуатацию СЗПДн :).  

Стандарты безопасности ПДн НАПФ

Решил изучить стандарты НАПФ в области обеспечения безопасности ПДн. Начал с Проведения аудита на соответствие требований. Не знаю кому как, но я сразу обратил внимание на то, чтио стандарт похож на СТО БР ИББС-1.1.2007. Чем дальше я читал, тем понятнее мне становилось, что рекомендации Р НАПФ 4.4-2010 - есть клон СТО БР ИББС-1.1.2007.

Например,

Р НАПФ 4.4-2010

"Привлеченная к проведению аудита организация несет ответственность за:

- достоверность заключения по результатам аудита;

- соблюдение конфиденциальности сведений и документов, получаемых и составляемых в ходе проверки пенсионного фонда (за исключением случаев, прямо предусмотренных действующим законодательством РФ)."

СТО БР ИББС-1.1.2007

"Аудиторская организация несет ответственность за:"

- достоверность заключения по результатам аудита ИБ;

- соблюдение конфиденциальности сведений и документов, получаемых и составляемых в ходе аудиторской проверки организации (за исключением случаев, прямо предусмотрен ных действующим законодательством РФ).

И еще много таких примеров :), исключение составляет только Приложение, которое озаглавлено "Методика оценки соответствия......".

Эта методика вызвала положительные впечатления, хоть и похожа на методику самооценки Банка России. Но речь в документе идет все-таки об аудите и критерии аудита выделены. Я бы рекомендовал назвать этот пункт по другому: "Методика оценки критериев аудита, регламентирущих деятельность НАПФ по обработке и защите ПДн".
И еще я не увидел как оценивается критерий "Общий", "Требования к обработке ПДн" и "требования к защите ПДн". Не подкритерии 1.1., 1.2 а именно критерий 1, 2 и 3. Может он не оценивается вообще, то тогда как мы узнаем на сколько выполняется критерий? Для меня это осталось за рамками данного документа.
Удобно ведь не растягивать отчет, а сформулирвоать его на 3-6 листов, а все остальное вынести в приложение. Сказать что Общие требования - выполняются так-то, Требования по обработке - так-то...... Ну а если необходимо посмотреть что конкретно не выполняется и/или выполяется частично, то милости просим в Приложение.

Оценка защищенности ИСПДн по ФСТЭК (часть 2)

Методика оценки актуальных угроз ИБ является классическим подходом к оценки рисков ИБ. Включает следующие основные этапы:

1. Оценка исходного уровня защищенности ИСПДн (мое мнение в части 1).

2. Оценка частоты (вероятности) реализации угроз для ИСПДн.

3. Оценка опасности каждой угрозы для ИСПДн.

4. Оценка актуальности угроз для ИСПДн.

5. Формирование требований по обеспечению безопасности ПДн в ИСПДн.

Подход типовой, комментировать особо нечего, за исключением некоторых тонкостей:

1. Частота и вероятность разные понятия и с этим сложно спорить, но раз уж ввели такую замену, то будем ее придерживаться, но я бы оставил "вероятность", так как частота - это количество угроз в интервале времени, т.е. 5 угроз за 1 месяц.

2. Извечный вопрос: "Как оценить ценность активов?/Как оценить опасность угроз?". На этот вопрос ответа в методике нет, так как вознакает сразу масса вопросов: Что означает негативное последствие для субъекта ПДн - это 100, 1000, 1000000 руб. или это репутация?!  Как рассчитать для субъекта ПДн такую величину!?

3. Две из четырех книжек ФСТЭк России были отменены, но ссылки на них в методике остались. Не успевают вносить изменения :(.

Оценка защищенности ИСПДн по ФСТЭК (часть 1)

В области оценки защищенности ИСПДн существует интересный подход ФСТЭК, который называется "Методика определения актуальных угроз безопасности ПДн........". Изучаю документ с конца. Сам подход к оценке актуальных угрох не вызвал протеворечивых ощущений (хотя об этом в части 2). В целом создавалась довольно полная картинка о предлагаемом подходе, пока я не дошел до оценки "уровня исходной защищенности ИСПДн" и тут, честно говоря, я был повергнут в легкий шок.

Что же я вижу!? Показатели защищенности: 1. Территориальное размещение; 2. Наличие соединения с сетью Интернет; 3. Операции с записями в БД. Честно говоря до сих пор не понимаю о чем идет речь!? О какой защищенности?!

Решил хоть как-то оправдать такой абсурд, извините не получилось :).

Думаю что логичнее было бы в качестве показателей защищенности определить степень выполнения требований из приказа № 58 ФСТЭК. Например, ИСПДн имеет выход в сеть интернет: далее в зависимости от класса ИСПДн идут требования к системе защиты межсетевого взаимодейстивя, систем обнаружения вторжений и т.д. Шкалу оценок можно оставить исходную.

А в исходном варианте получается что защищенность зависит от того какие операции пользователь может осуществлять в БД, а не от того как настроена и имеется ли вообще система разграничения прав доступа - класс. Это все равно, что производительность ПК определят по тому из какого материала сделан его корпус и какой он формы или по типу монитора, клавиатуры и мыши :).

Ну раз так считают в "государственном научно-исследовательском испытательном институте проблем технической защиты информации", то быть посему ;).

Почему так получилось? В результате не грамотности специалистов или ограниченности времени или нежелание заниматься вопросом - судите сами :).