Чем занимались ученые в области защиты информации в 2012 году

Обратил внимание, что на просторах интернета, практически отсутствует информация о деятельности российских молодых ученых в области защиты информации и информационной безопасности.

Поэтому, я решил опубликовать подборку диссертационных работ на соискание степени кандидат технических наук или кандидата физико-математических наук по специальности 05.13.19 - Методы и системы защиты информации, информационная безопасность. Период 2012-2014 год.

Работы, которые показались мне достаточно интересные, выделил жирным шрифтом.

Перечень диссертационных советов на 04 августа 2014г. можно посмотреть тут.

Перечень работ в 2012 году:

1. "Разработка и исследование системы оценки качества системы обнаружения атак",
   г. Ростов-на-Дону, автореферат.
2. "Обработка баз данных с персонифицированной информацией для задач обезличивания и поиска закономерностей", г. Астрахань, автореферат.
3. "Синтез резервного контура управления службы безопасности организации на основе сетей Петри", г. Москва, автореферат.
4. "Динамическая итеративная оценка рисков информационной безопасности в автоматизированных системах", г. Москва, автореферат.
5. "Управление сертификатами ключей проверки электронной подписи", г. Санкт-Петербург, автореферат.
6. "Повышение уровня конфиденциальности в промышленных сетях систем автоматизации испытаний", г. Уфа, автореферат.
7. "Алгоритм защиты информации на основе тригонометрических функций",
   г. Уфа, автореферат.
8. "Система выявления и блокирования аномалий трафика корпоративных сетей на основе вейвлет-пакетов", г. Уфа, автореферат. 
9. "Моделирование интеллектуальных систем управления защитой информации в инфокоммуникационных системах ОВД", г. Воронеж, автореферат.
10. "Методика проверки наличия возможности несанкционированного доступа в объектно- ориентированных системах", г. Санкт-Петербург, автореферат.
11. "Гибридная искусственная иммунная система защиты компьютера от процессов с аномальной активностью", г. Санкт-Петербург, автореферат.
12. "Защита информационных систем музейных и библиотечных фондов на основе решений задач комбинаторной оптимизации", г. Москва, автореферат.
13. "Методика управления рисками в системе неразрушающего контроля безопасности почтовой корреспонденции на предприятии-адресате", г. Москва, автореферат.
14. "Защита программных реализаций алгоритмов, основанных на преобразованиях регистрового типа, от анализа в недоверенных средах", г. Москва, автореферат.
15. "Защита сред облачных вычислений путём верификации программного обеспечения на наличие деструктивных свойств", г. Москва, автореферат.
16. "Обнаружение инцидентов информационной безопасности как разладки процесса функционирования системы", г. Санкт-Петербург, автореферат.
17. "Метод защиты видеоданных с различной степенью конфиденциальности", г. Санкт-Петербург, автореферат.
18. "Расширение функциональности алгоритмов аутентификации и механизмы защиты информации над конечными группами векторов", г. Санкт-Петербург, автореферат.
19. "Методы оценки защищенности систем менеджмента информационной безопасности, разработанных в соответствии с требованиями международного стандарта ИСО/МЭК 27001:2005", г. Санкт-Петербург, автореферат.
20. "Моделирование процессов управления речевой разборчивостью в многоканальных системах конфиденциальной голосовой связи", г. Воронеж, автореферат.
21. "Усовершенствованная методика оценки защищенности речевой информации от утечки по техническим каналам" - г. Новосибирск, автореферат.
22. "Методы и модели оценки информационной безопасности автоматизированных систем управления критическими системами", г. Санкт-Петербург, автореферат.
23. "Метод разграничения коллективного доступа к информационным ресурсам на основе почти пороговых схем разделения секрета", г. Санкт-Петербург, автореферат.
24. "Комбинаторные свойства совершенно уравновешенных булевых функций",
    г. Москва, автореферат.
25. "Обеспечение устойчивости функционирования многоагентных систем защиты в условиях воздействия распределенных угроз безопасности", г. Санкт-Петербург, автореферат.
26. "Система защиты информационного взаимодействия в среде облачных вычислений", г. Санкт-Петербург, автореферат.
27. "Обеспечение устойчивости функционирования многоагентных систем защиты в условиях воздействия распределенных угроз безопасности", г. Санкт-Петербург, автореферат.
28. "Повышение эффективности средств сетевой защиты на основе метода синтаксического анализа трафика", г. Санкт-Петербург, автореферат.
29. "Разработка структурно-параметрических моделей систем защиты информации объектов информатизации органов внутренних дел", г. Воронеж, автореферат.
30. "Метод выявления недекларированных возможностей программ с использованием структурированных метрик сложности", г. Санкт-Петербург, автореферат.
31. "Распознавание вредоносного программного обеспечения на основе скрытых марковских моделей", г. Воронеж, автореферат.
32. "Методы и средства синтеза автоматов мультибиометрической аутетификации",
    г. Пенза, автореферат.

В 2012 году первая тройка городов по защите кандидатских диссертаций с шифром 05.13.19: Санкт-Петербург, Москва, Воронеж.

Уровни не сопоставили с требованиями, а должны ли?

Одно из замечаний экспертов по информационной безопасности (к новым проектам Постановлений Правительства об уровнях и о требованиях) "уровни защищенности не соотносятся с требованиями по обеспечению информационной безопасности". Посмею возразить. И вот моя точка зрения:

ФЗ № 152 ч. 3. ст. 19  Правительство ..................... устанавливает:

1. Уровни защищенности ПДн......;

2. Требования к защите ПДн....., исполнение которых обеспечивает установленные УЗ.

ФЗ № 152 ч.4. ст. 19 Состав и содержание необходимых для выполнения, установленных Правительства РФ в соответствии с ч.3 требований к защите персональных данных для каждого из уровней защищенности ................................ устанавливают ФСБ России и ФСТЭК России.

В одном проекте ПП установлены уровни защищенности - правильные, не правильные, учитывающие все особенности или не учитывающие, но они установлены.

Во втором проекте ПП установлены требования к защите ПДн, хочу заметить, что требования высокоуровневые, за исключением тонкого намека на применение только сертифицированных СЗИ без возможности декларирования соответствия и добровольной сертификации :), каждое из требований может обеспечивать любой уровень защищенности и с этим не поспоришь. Ответственность за принятие решения по выбору конкретнх мер из списка требований Правительства и сопоставление их с УЗ возлагается на ФСБ России и ФСТЭК России. Так что нужно ждать документы регуляторов, а потом уже делать выводы. 

Итого: Правительство устанавливает множество УЗ и множество требований, а ФСТЭК России и ФСБ России должны раскидать требования по каждому из УЗ. Собственно, если проанализировать ПП № 781 и Приказ ФСТЭК России № 55, то именно такую же картину Вы и увидите (ведь в 781 нет требований к конкретным классам ИСПДн ;)).

PS: Все сложное решается просто. А просто - это закрепленное, на уровне ФЗ, обязательство оценки рисков и выбор контрмер. Без уровней защищенности и без требований к защите :).

Но больше всего меня интересует вопрос по следующей статье закона:

ч. 8 ст.19 Контроль и надзор ............................ при обработке в гос. информационных системах осуществляет ФСТЭК России и ФСБ России...........

ч.9 ст.19 ФСТЭК России и ФСБ России, решением Правительства РФ...................... могут быть наделены полномочиями по контролю за выполнением требований .......................................... и не являющихся государственными информационными системами.

В проектах ПП ни слова об этом, следовательно, проверять обычную организацию ФСТЭК России и ФСБ России не имеют права (если Вы конечно не лицензиат ;)).

О легитимности СТО БР ИББС в контексте ПДн

Вышло письмо обращение ЦБ к кредитным организациям, в котором говорится о подтверждении регуляторами возможности применения комплеса стандартов Банка России по направлению обработки и защиты персональных данных, до выхода новых постановлений Правительства, которые устанавливают уровни защищенности и требования к защите персональных данных.

Хорошая новость для банковского сектора ;) и плюсик за активность ЦБ.

Административный регламент Роскомнадзор

Вышел в свет обновленный регламент Роскомнадзора в сфере соблюдения требований ФЗ №152 "О персональных данных". Чтиво документов такого плана не является занимательным :(, но тем не менее, хочу отметить одну деталь.

42.1. Для оценки эффективности принимаемых Оператором технических мер по обеспечению безопасности персональных данных при их обработке в негосударственных информационных системах персональных данных Служба или ее территориальный орган в рамках проверки привлекают экспертов, экспертные организации, включенные в установленном порядке в реестр граждан и организаций, привлекаемых Службой в качестве экспертов, экспертных организаций к проведению мероприятий по контролю.

На данный момент в реестре экспертов только - ФГУП НТЦ "Информрегистр", которая может выступать в качестве эксперта по вопросам соблюдения законодательства в сфере массовых коммуникаций.

Ждем пополнения экспертов по вопросам соблюдения требований законодательства о персональных данных :). Если даже правительство не поручи (в чем я очень сомневаюсь) ФСТЭК и ФСБ России проверять уровень обеспечения безопасности ПДн, то Роскомнадзор включит в свой список экспертов этих регуляторов ;).

Обеспечение безопасности ИТ по версии Cobit 4.1.

Относительно давно в моей библиотеке лежит стандарт Cobit 4.1., который объединяет в себе лучшие практики по управлению в ИТ сфере. Безусловно, стандарт заслуживает внимания, но я хочу рассмотреть крошечную его часть - "Обеспечение безопасности систем".

Итак, домен  "Эксплуатация и сопровождение" раздел "DS 5. Обеспечение безопасности систем". Первичными процессами в обеспечение безопасности являются процессы обеспечения конфиденциальности и целостности обрабатываемой информации (доступность и достоверность рассматривается как вторичные процессы - странно, но да ладно). Далее по разделу формируются рекомендации по управлению безопасности (управлять нужно с учетом требований по ИБ, угроз и уязвимостей и т.д.), цели контроля (по всем подсистемам обеспечения безопасности: идентификация, ключи, межсетевое взаимодействие и т.д.) и привязка к модели зрелости организации.

Из всех процессов, меня заинтересовал процесс управления безопасностью, на вход которого подаются результаты работы от различных этапов, и в том числе, результаты оценки рисков (риски ИТ).

В итоге, при оценки рисков ИТ, необходимо:  

1. "PO 2 Описание информационной архитектуры" (классификация данных, информационная архитектура, справочник данных).

2. "DS 5 Обеспечение безопасности систем" (угрозы и уязвимости безопасности).

3. "PO 5 Оценка и управление ИТ рисками" (оценка вероятности и последствий реализации сценария угрозы).

4.  "PO 5 Оценка и управление ИТ рискам" (план действий в отношении рисков).

Сам подход является более чем классическим, но его интегрированность в управление ИТ процессами вызывает положительные эмоции. 

PS: Изучая последние тенденции в подчинении подразделений, отвечающих за обеспечение безопасности, обратил внимание, на тенденцию вывода таких структурных подразделений из состава ИТ. Получается что стандарт Cobit в России не прижился и не приживется, так как в его понимании, вопросы безопасности должны быть тесно вплетены в неразрывный круг управления ИТ.

Приказ Минкомсвязи №221 и ГОСТ Р 51275-2006

Минкомсвязи выпустил приказ "Об утверждении Требований к информационным системам электронного документооборота федеральных органов исполнительной власти, учитывающих в том числе необходимость обработки посредством данных систем служебной информации ограниченного распространения".

Приказ состоит из двух частей: 1. Описание технологических процессов функционирования системы электронного документооборота (СЭД); 2. Требования к информационной безопасности СЭД.

В требованиях по обеспечению информационной безопасности заинтересовал лишь один пункт:

"23. СЭД ФОИВ должна соответствовать требованиям национального стандарта Российской Федерации ГОСТ Р 51275-2006 "Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения" и требованиям по технической защите конфиденциальной информации."

С требованиями по технической защите все понятно, как говорится: "Без комментариев". А вот, соответствие СЭД госту 51275 вызывает легкое недоумение. ГОСТ 51275 - это некая попытка систематизировать знания в области дестабилизирующих факторов (угроз ИБ) вперемешку с уязвимостями. Из п .23 получается, что, например, СЭД должна предусматривать возможность защиты от утечки информации с помощью радиоэлектронной, оптико-электронной, фотографической, визуально-оптической, акустической, гидроаккустической технической компьютерной разведки или от биологических и химических угроз.

И вообще, для чего использовать ГОСТ, если в СТР-К и РД прописаны четкие требования по ИБ, в зависимости от класса АС, которые нужно выполнить. Если разработчики приказа имели ввиду, что требования по защите определяются в результате синтеза модели угроз, которая должна учитывать угрозы из 51275, и требований к защите информации из РД, то так и надо писать. А так, получается, что 51275 просто для "красного словца". 

Я думаю, что при формировании требований по ИБ к СЭД нужно изначально оценить риски и построить модель актуальных угроз, после чего формулировать конкретные требования к ИБ. И лушче ссылаться на ГОСТы серии 13335 :).

Закон о персональных данных работает? Реально работает?

Наткнулся в сети интернет на сайт Федеральной службы государственной регистрации, кадастра и картографии. Лично для меня он не представлял бы ни какого интереса если бы не реестр кадастровых инженеров, состоящий из 17600 записей о субъектах ПДн, включая паспортные данные, номер сотового телефона, домашнего, адрес почтовый.  

И сразу перед глазами поплыли кипы документов с согласиями субъектов..................... ;).

PS: Не совсем моя тема, но не удержался.