Спеціальні вимоги щодо захисту інформації. Основні аспекти документа спеціальні вимоги та рекомендації щодо технічного захисту конфіденційної інформації (СТР-К)

(СТР-К)

Москва 2001

З Д І Р Ж А Н І Є

1. Терміни, визначення та скорочення
2. загальні положення
3. Організація робіт із захисту інформації
4. Вимоги та рекомендації щодо захисту мовної інформації
4.1. загальні положення
4.2. Основні вимоги та рекомендації щодо захисту інформації, що циркулює в приміщеннях, що захищаються
4.3. Захист інформації, що циркулює в системах звукопідсилення та звукового супроводу кінофільмів
4.4. Захист інформації при проведенні звукозапису.
4.5. Захист мовної інформації під час її передачі каналами зв'язку
5. Вимоги та рекомендації щодо захисту інформації, що обробляється засобами обчислювальної техніки
5.1. Загальні вимоги та рекомендації
5.2. Основні вимоги та рекомендації щодо захисту службової таємниці та персональних даних
5.3. Основні рекомендації щодо захисту інформації, що становить комерційну таємницю
5.4. Порядок забезпечення захисту конфіденційної інформаціїпри експлуатації АС
5.5. Захист конфіденційної інформації на автоматизованих робочих місцях на базі автономних ПЕОМ
5.6. Захист інформації під час використання знімних накопичувачів великої ємностідля автоматизованих робочих місць на базі автономних ПЕОМ
5.7. Захист інформації у локальних обчислювальних мережах
5.8. Захист інформації при міжмережевій взаємодії
5.9. Захист інформації під час роботи з системами управління базами даних
6. Рекомендації щодо забезпечення захисту інформації, що міститься в недержавних інформаційних ресурсах, при взаємодії абонентів з інформаційними мережами загального користування
6.1. загальні положення
6.2. Умови підключення абонентів до Мережі
6.3. Порядок підключення та взаємодії абонентських пунктів з Мережею, вимоги та рекомендації щодо безпеки інформації
7. Додатки:

1.18. Локальна обчислювальна мережа- обчислювальна мережа, що підтримує в межах обмеженої території один або кілька високошвидкісних каналів передачі цифрової інформації, що надаються пристроям, що підключаються для короткочасного монопольного використання.

1.19. Міжмережевий екран (МЕ) - локальний (однокомпонентний) або функціонально-розподілений програмний (програмно-апаратний) засіб (комплекс), що реалізує контроль за інформацією, що надходить в АС та/або виходить з АС.

1.20. Несанкціонований доступ(несанкціоновані дії) (НСД) – доступ до інформації або дії з інформацією, що порушують правила розмежування доступу з використанням штатних коштів, що надаються засобами обчислювальної техніки чи автоматизованими системами.

1.21. Основні технічні засоби та системи (ОТСС) - технічні засоби та системи, а також їх комунікації, що використовуються для обробки, зберігання та передачі конфіденційної інформації. У контексті цього документа до них належать технічні засоби та системи. автоматизованих системрізного рівня та призначення на базі засобів обчислювальної техніки, засоби та системи зв'язку та передачі даних, що використовуються для обробки конфіденційної інформації.

1.22. Провайдер мережі – уповноважена організація, яка виконує функції постачальника послуг мережі для абонентського пункту та безпосередньо для абонентів мережі.

1.23. Система захисту інформації від НСД (СЗІ НСД) – комплекс організаційних заходівта програмно-технічних (за потреби криптографічних) засобів захисту від несанкціонованого доступу до інформації (несанкціонованих дій з нею) в автоматизованій системі.

1.24. Службова інформація СЗІ НСД - інформаційна базаАС, необхідна функціонування СЗІ НСД (рівень повноважень експлуатаційного персоналу АС, матриця доступу, ключі, паролі тощо. буд.).

1.25. Технічний канал витоку інформації - сукупність об'єкта технічної розвідки, фізичного середовища та засоби технічної розвідки, якими видобуваються розвідувальні дані.

1.26. Послуги Мережі - комплекс функціональних можливостей, що надаються абонентам мережі за допомогою прикладних протоколів(протоколи електронної пошти, FTP - File Transfer Protocol - прийом/передача файлів, HTTP - Hiper Text Transfer Protocol - доступ до Web-серверів, IRC - Internet Relay Chat - діалог у реальному часі, Telnet - термінальний доступ в мережі, WAIS - Wide Area Information Servers - система зберігання та пошуку документів у мережі тощо).

1.27. Цілісність інформації - стійкість інформації до несанкціонованого або випадкового впливу на неї в процесі обробки технічними засобами, результатом якого може бути знищення та спотворення інформації.

1.28. Web-сервер - загальнодоступний у Мережі інформаційний сервервикористовує гіпертекстову технологію.

2. ЗАГАЛЬНІ ПОЛОЖЕННЯ

2.1. Цей документ встановлює порядок організації робіт, вимоги та рекомендації щодо забезпечення технічного захисту конфіденційної інформації на території. Російської Федераціїі є основним керівним документом у цій галузі для федеральних органів державної влади, органів державної влади суб'єктів Російської Федерації та органів місцевого самоврядування, підприємств, установ та організацій (далі - установи та підприємства) незалежно від їх організаційно-правової форми та форми власності, посадових осіб та громадян Російської Федерації, які взяли на себе зобов'язання або зобов'язані за статусом виконувати вимоги правових документів Російської Федерації щодо захисту інформації.

· конфіденційної інформації - інформації з обмеженим доступом, за винятком відомостей, віднесених до державної таємниці та персональних даних, що міститься в державних (муніципальних) інформаційних ресурсах, накопиченої за рахунок державного (муніципального) бюджету та яка є власністю держави (до неї може бути віднесена інформація, що становить службову таємницю та інші види таємниць) відповідно до законодавства Російської Федерації, а також відомості конфіденційного характеру відповідно до "Переліку відомостей конфіденційного характеру", затвердженого Указом Президента Російської Федерації від 06.03.97 № 000), захист якої здійснюється на користь держави (далі - службова таємниця);

· інформації про факти, події та обставини приватного життя громадянина, що дозволяє ідентифікувати його особистість (персональні дані) (Відповідно до Федерального закону "Про інформацію, інформатизацію та захист інформації" режим захисту персональних даних повинен бути визначений федеральним законом. До його введення в дію для встановлення режиму захисту такої інформації слід керуватися цим документом., за винятком відомостей, що підлягають поширенню у засобах масової інформації у встановлених федеральними законами випадках.)

2.3. Для захисту конфіденційної інформації, що міститься в недержавних інформаційних ресурсах, режим захисту якої визначає власник цих ресурсів (наприклад, інформації, що становить комерційну, банківську таємницю тощо) (далі - комерційна таємниця), даний документносить рекомендаційний характер.

2.4. Документ розроблений на підставі федеральних законів "Про інформацію, інформатизації та захист інформації", "Про участь у міжнародному інформаційному обміні", Указу Президента Російської Федерації від 06.03.97г. № 000 "Перелік відомостей конфіденційного характеру", "Доктрини інформаційної безпеки Російської Федерації", затвердженої Президентом Російської Федерації 09.09.2000р. № Пр.-1895, "Положення про порядок поводження зі службовою інформацією обмеженого поширення у федеральних органах виконавчої влади", затвердженого постановою Уряду Російської Федерації від 03.11.94г. № 000, інших нормативних правових актів із захисту інформації (додаток № 8), і навіть досвіду реалізації заходів захисту у міністерствах і, у установах і підприємствах.

2.5. Документ визначає такі основні питання захисту:

· Організацію робіт із захисту інформації, у тому числі при розробці та модернізації об'єктів інформатизації та їх систем захисту інформації;

· Склад та основний зміст організаційно-розпорядчої, проектної, експлуатаційної та іншої документації щодо захисту інформації;

· Порядок забезпечення захисту інформації при експлуатації об'єктів інформатизації;

· особливості захисту інформації при розробці та експлуатації автоматизованих систем, що використовують різні типизасобів обчислювальної техніки та інформаційні технології;

· Порядок забезпечення захисту інформації при взаємодії абонентів з інформаційними мережами загального користування.

Порядок розробки, виробництва, реалізації та використання засобів криптографічного захисту інформації визначається "Положенням про порядок розробки, виробництва (виготовлення), реалізації, придбання та використання засобів криптографічного захисту інформації з обмеженим доступом, що не містить відомостей, що становлять державну таємницю" (Положення ПКЗ-99 ), а також "Інструкцією з організації та забезпечення безпеки зберігання, обробки та передачі по технічних каналах зв'язку конфіденційної інформації в Російській Федерації з використанням сертифікованих ФАПСІ криптографічних засобів".

2.6. Захист інформації, що обробляється з використанням технічних засобів, є складовою робіт зі створення та експлуатації об'єктів інформатизації різного призначеннята має здійснюватися у встановленому цим документом порядку у вигляді системи (підсистеми) захисту інформації у взаємозв'язку з іншими заходами щодо захисту інформації.

2.7. Захист підлягає інформація, як мовна, так і оброблена технічними засобами, а також представлена у вигляді інформативних електричних сигналів, фізичних полів, носіїв на паперовій, магнітній, оптичній та іншій основі, у вигляді інформаційних масивів та баз даних в АС.

Об'єктами інформатизації, що захищаються, є:

· засоби та системи інформатизації (засоби обчислювальної техніки, автоматизовані системи різного рівня та призначення на базі засобів обчислювальної техніки, у тому числі інформаційно-обчислювальні комплекси, мережі та системи, засоби та системи зв'язку та передачі даних, технічні засоби прийому, передачі та обробки інформації) (телефонії, звукозаписи, звукопідсилення, звуковідтворення, переговорні та телевізійні пристрої, засоби виготовлення, тиражування документів та інші технічні засоби обробки мовної, графічної, відео та буквенно-цифрової інформації), програмні засоби (Операційні системи, системи управління базами даних, інше загальносистемне та прикладне програмне забезпечення), що використовуються для обробки конфіденційної інформації;

· технічні засоби та системи, що не обробляють безпосередньо конфіденційну інформацію, але розміщені в приміщеннях, де вона обробляється (циркулює);

· Захистувані приміщення.

2.8. Захист інформації повинен здійснюватися за допомогою виконання комплексу заходів та застосування (при необхідності) засобів ЗІ щодо запобігання витоку інформації або впливу на неї технічними каналами, за рахунок несанкціонованого доступу до неї, запобігання навмисним програмно-технічним впливам з метою порушення цілісності (знищення, спотворення) ) інформації у процесі її обробки, передачі та зберігання, порушення її доступності та працездатності технічних засобів.

2.9. Під час переговорів та використання технічних засобів для обробки та передачі інформації можливі наступні каналивитоку та джерела загроз безпеці інформації:

· Акустичне випромінювання інформативного мовного сигналу;

· електричні сигнали, що виникають за допомогою перетворення інформативного сигналу з акустичного в електричний за рахунок мікрофонного ефекту і поширюються по проводах та лініях, що виходять за межі КЗ;

· Віброакустичні сигнали, що виникають за допомогою перетворення інформативного акустичного сигналу при впливі його на будівельні конструкціїта інженерно-технічні комунікації приміщень, що захищаються;

· несанкціонований доступ та несанкціоновані дії щодо інформації в автоматизованих системах, у тому числі з використанням інформаційних мереж загального користування;

· Вплив на технічні або програмні засоби інформаційних систем з метою порушення конфіденційності, цілісності та доступності інформації, працездатності технічних засобів, засобів захисту інформації за допомогою спеціально впроваджених програмних засобів;

· побічні електромагнітні випромінюванняінформативного сигналу від технічних засобів, що обробляють конфіденційну інформацію, та ліній передачі цієї інформації;

· Наведення інформативного сигналу, що обробляється технічними засобами, на ланцюзі електроживлення та лінії зв'язку, що виходять за межі КЗ;

· радіовипромінювання або електричні сигнали від впроваджених у технічні засоби та приміщення спеціальних електронних пристроїв, що захищаються, перехоплення мовної інформації "закладок", модульовані інформативним сигналом;

· радіовипромінювання або електричні сигнали від електронних пристроїв перехоплення інформації, підключених до каналів зв'язку або технічних засобів обробки інформації;

· Прослуховування телефонних і радіопереговорів, що ведуться;

· Перегляд інформації з екранів дисплеїв та інших засобів її відображення, паперових та інших носіїв інформації, у тому числі за допомогою оптичних засобів;

· Розкрадання технічних засобів з інформацією, що зберігається в них, або окремих носіїв інформації.

2.10. Перехоплення інформації або вплив на неї з використанням технічних засобів може вестись:

· з-за кордону КЗ з довколишніх будівель та транспортних засобів;

· З суміжних приміщень, що належать іншим установам (підприємствам) та розташованим у тій самій будівлі, що і об'єкт захисту;

· При відвідуванні установи (підприємства) сторонніми особами;

· За рахунок несанкціонованого доступу (несанкціонованих дій) до інформації, що циркулює в АС як за допомогою технічних засобів АС, так і через інформаційні мережі загального користування.

2.11. В якості апаратури перехоплення або впливу на інформацію та технічні засоби можуть використовуватися портативні пристрої, що возиться і носяться, що розміщуються поблизу об'єкта захисту або підключаються до каналів зв'язку або технічним засобам обробки інформації, а також електронні пристроїперехоплення інформації "закладки", що розміщуються всередині або поза приміщень, що захищаються.

2.12. Крім перехоплення інформації технічними засобами можливе ненавмисне попадання інформації, що захищається до осіб, не допущених до неї, але що знаходяться в межах КЗ. Це можливо, наприклад, внаслідок:

· ненавмисного прослуховування без використання технічних засобів конфіденційних розмов через недостатню звукоізоляцію огороджувальних конструкцій приміщень, що захищаються, та їх інженерно-технічних систем;

· випадкового прослуховування телефонних розмовпри проведенні профілактичних робіту мережах телефонного зв'язку;

· некомпетентних чи помилкових дій користувачів та адміністраторів АС при роботі обчислювальних мереж;

· Перегляду інформації з екранів дисплеїв та інших засобів її відображення.

2.13. Виявлення та облік факторів, що впливають або можуть впливати на інформацію, що захищається (загроз безпеки інформації) у конкретних умовах, відповідно до ГОСТ Р, становлять основу для планування та здійснення заходів, спрямованих на захист інформації на об'єкті інформатизації.

Список необхідних заходівзахисту інформації визначається за результатами обстеження об'єкта інформатизації з урахуванням співвідношення витрат на захист інформації з можливим збитком від її розголошення, втрати, знищення, спотворення, порушення санкціонованої доступності інформації та працездатності технічних засобів, що обробляють цю інформацію, а також з урахуванням реальних можливостейїї перехоплення та розкриття її змісту.

2.14. Основна увага має бути приділена захисту інформації, щодо якої загрози безпеці інформації реалізуються без застосування складних технічних засобів перехоплення інформації:

· Мовленнєвої інформації, що циркулює в приміщеннях, що захищаються;

· Інформації, що обробляється засобами обчислювальної техніки, від несанкціонованого доступу та несанкціонованих дій;

· Інформації, що виводиться на екрани відеомоніторів;

· Інформації, що передається по каналах зв'язку, що виходять за межі КЗ.

2.15. Розробка заходів та забезпечення захисту інформації здійснюються підрозділами захисту інформації (службами безпеки) або окремими фахівцями, що призначаються керівництвом підприємства (установи) для проведення таких робіт. Розробка заходів захисту інформації може здійснюватися також сторонніми підприємствами, які мають відповідні ліцензії Держтехкомісії Росії та/або ФАПСІ на право надання послуг у галузі захисту інформації.

При обробці документованої конфіденційної інформації на об'єктах інформатизації в органах державної влади Російської Федерації та органах державної влади суб'єктів Російської Федерації, інших державних органах, підприємствах та установах засоби захисту інформаційних систем підлягають обов'язковій сертифікації.

2.17. Об'єкти інформатизації мають бути атестовані на відповідність вимогам захисту інформації (Тут і далі під атестацією розуміється комісійне приймання об'єкта інформатизації силами підприємства з обов'язковою участю спеціаліста із захисту інформації.)

2.18. Відповідальність за забезпечення вимог щодо технічний захистконфіденційної інформації покладається на керівників установ та підприємств, що експлуатують об'єкти інформатизації.

3. ОРГАНІЗАЦІЯ РОБОТ З ЗАХИСТУ ІНФОРМАЦІЇ

3.1. Організація та проведення робіт з технічного захисту інформації з обмеженим доступом, що не містить відомостей, що становлять державну таємницю, при її обробці технічними засобами визначаються цим документом, чинними державними стандартами та іншими нормативними та методичними документами Держтехкомісії Росії.

3.2. Організація робіт із захисту інформації покладається на керівників установ та підприємств, керівників підрозділів, які здійснюють розробку проектів об'єктів інформатизації та їх експлуатацію, а методичне керівництво та контроль за ефективністю передбачених заходів захисту інформації на керівників підрозділів із захисту інформації (служб безпеки) установи (підприємства).

3.3. Науково-технічне керівництво та безпосередню організацію робіт із створення (модернізації) СЗІ об'єкта інформатизації здійснює його головний конструктор або інша посадова особа, яка забезпечує науково-технічне керівництво створенням об'єкта інформатизації.

3.4. Розробка СЗІ може здійснюватися як підрозділом установи (підприємства), так і спеціалізованим підприємством, що має ліцензії Держтехкомісії Росії та/або ФАПСІ на відповідний вид діяльності у сфері захисту інформації.

У разі розробки СЗІ або її окремих компонентів спеціалізованим підприємством, в установі (на підприємстві), для якої здійснюється розробка (підприємство-замовник), визначаються підрозділи (або окремі фахівці), відповідальні за організацію та проведення (впровадження та експлуатацію) заходів щодо захисту інформації під час виконання робіт із використанням конфіденційної інформації.

Розробка та впровадження СЗІ здійснюється у взаємодії розробника зі службою безпеки підприємства-замовника, яка здійснює методичне керівництво та бере участь у розробці конкретних вимог щодо захисту інформації, аналітичному обґрунтуванні необхідності створення СЗІ, узгодженні вибору засобів обчислювальної техніки та зв'язку, технічних та програмних засобів захисту, організації робіт з виявлення можливостей та попередження витоку та порушення цілісності інформації, що захищається, в атестації об'єктів інформатизації.

3.5. Організація робіт зі створення та експлуатації об'єктів інформатизації та їх СЗІ визначається у розроблюваному на підприємстві "Посібнику з захисту інформації" або у спеціальному "Положенні про порядок організації та проведення робіт із захисту інформації" та повинна передбачати:

· Порядок визначення інформації, що захищається;

· Порядок залучення підрозділів підприємства, спеціалізованих сторонніх організаційдо розробки та експлуатації об'єктів інформатизації та СЗІ, їх завдання та функції на різних стадіяхстворення та експлуатації об'єкта інформатизації;

· Порядок взаємодії всіх зайнятих у цій роботі організацій, підрозділів та фахівців;

· Порядок розробки, введення в дію та експлуатацію об'єктів інформатизації;

· відповідальність посадових осіб за своєчасність та якість формування вимог щодо технічного захисту інформації, за якість та науково-технічний рівень розробки СЗІ.

3.6. В установі (на підприємстві) має бути документально оформлений перелік відомостей конфіденційного характеру (додаток № 6), що підлягають захисту відповідно до нормативних правових актів, а також розроблено відповідну дозвільну систему доступу персоналу до таких відомостей.

3.7. Встановлюються такі стадії створення системи захисту:

· Передпроектна стадія, що включає передпроектне обстеження об'єкта інформатизації, розробку аналітичного обґрунтування необхідності створення СЗІ та технічного (приватного технічного) завдання на її створення;

· Стадія проектування (розробки проектів) та реалізації об'єкта інформатизації, що включає розробку СЗІ у складі об'єкта інформатизації;

· Стадія введення в дію СЗІ, що включає дослідну експлуатаціюта приймально-здатні випробування засобів захисту інформації, а також атестацію об'єкта інформатизації на відповідність вимогам безпеки інформації.

3.8. На передпроектній стадії обстеження об'єкта інформатизації:

· Встановлюється необхідність обробки (обговорення) конфіденційної інформації на даному об'єктіінформатизації;

· Визначається перелік відомостей конфіденційного характеру, що підлягають захисту від витоку технічних каналів;

· Визначаються (уточнюються) загрози безпеці інформації та модель ймовірного порушника стосовно конкретних умов функціонування;

· Визначаються умови розташування об'єктів інформатизації щодо кордонів КЗ;

· Визначаються конфігурація та топологія автоматизованих систем і систем зв'язку в цілому та їх окремих компонент, фізичні, функціональні та технологічні зв'язки як усередині цих систем, так і з іншими системами різного рівня та призначення;

· Визначаються технічні засоби та системи, передбачувані до використання в АС, що розробляється, і системах зв'язку, умови їх розташування, загальносистемні і прикладні програмні засоби, наявні на ринку і запропоновані до розробки;

· Визначаються режими обробки інформації в АС в цілому та в окремих компонентах;

· Визначається клас захищеності АС;

· Визначається ступінь участі персоналу в обробці (обговоренні, передачі, зберіганні) інформації, характер їх взаємодії між собою та зі службою безпеки;

· Визначаються заходи щодо забезпечення конфіденційності інформації в процесі проектування об'єкта інформатизації.

3.9. За наслідками передпроектного обстеження розробляється аналітичне обґрунтування необхідності створення ЗЗІ.

На основі чинних нормативних правових актів та методичних документів щодо захисту конфіденційної інформації, в т. ч. цього документа, з урахуванням встановленого класу захищеності АС задаються конкретні вимоги щодо захисту інформації, що включаються до технічного (приватного технічного) завдання на розробку СЗІ.

3.10. Передпроектне обстеження щодо визначення інформації, що захищається, має базуватися на документально оформлених переліках відомостей конфіденційного характеру.

Перелік відомостей конфіденційного характеру складається замовником об'єкта інформатизації та оформляється за підписом відповідного керівника.

3.11. Передпроектне обстеження може бути доручено спеціалізованому підприємству, що має відповідну ліцензію, але і в цьому випадку аналіз інформаційного забезпечення в частині інформації, що захищається, доцільно виконувати представникам підприємства-замовника за методичної допомоги спеціалізованого підприємства.

Ознайомлення фахівців цього підприємства з відомостями, що захищаються, здійснюється в установленому на підприємстві-замовнику порядку.

3.12. Аналітичне обґрунтування необхідності створення СЗІ має містити:

· інформаційну характеристикута організаційну структуру об'єкта інформатизації;

· Характеристику комплексу основних та допоміжних технічних засобів, програмного забезпечення, режимів роботи, технологічного процесуобробки інформації;

· можливі каналивитоку інформації та перелік заходів щодо їх усунення та обмеження;

· Перелік запропонованих до використання сертифікованих засобів захисту інформації;

· Обґрунтування необхідності залучення спеціалізованих організацій, які мають необхідні ліцензії на право проведення робіт із захисту інформації;

· Оцінку матеріальних, трудових та фінансових витрат на розробку та впровадження СЗІ;

· Орієнтовні терміни розробки та впровадження СЗІ;

· Перелік заходів щодо забезпечення конфіденційності інформації на стадії проектування об'єкта інформатизації.

Аналітичне обґрунтування підписується керівником передпроектного обстеження, погоджується з головним конструктором (посадовцем, що забезпечує науково-технічне керівництво створення об'єкта інформатизації), керівником служби безпеки та затверджується керівником підприємства-замовника.

3.13. Технічне (приватне технічне) завдання на розробку СЗІ повинно містити:

· Обґрунтування розробки;

· Вихідні дані створюваного (модернізованого) об'єкта інформатизації в технічному, програмному, інформаційному та організаційному аспектах;

· Конкретизацію вимог до СЗІ на основі чинних нормативно-методичних документів та встановленого класу захищеності АС;

· Перелік передбачуваних до використання сертифікованих засобів захисту інформації;

· Обґрунтування проведення розробок власних засобів захисту інформації, неможливості або недоцільності використання наявних на ринку сертифікованих засобів захисту інформації;

· Перелік підрядних організацій-виконавців видів робіт;

· Перелік що пред'являється замовнику науково-технічної продукції та документації.

3.14. Технічне (приватне технічне) завдання на розробку СЗІ підписується розробником, погоджується зі службою безпеки підприємства-замовника, підрядними організаціями та затверджується замовником.

Клас захищеності АС від НСД до інформації встановлюється спільно замовником та розробником АС із залученням фахівців із захисту інформації відповідно до вимог керівного документа (РД) Держтехкомісії Росії "Автоматизовані системи. Захист від несанкціонованого доступу до інформації. Класифікація автоматизованих систем та вимоги щодо захисту та розділу 5 цього документа та оформляється актом.

ГОСТ Р 53113.2-2009

Група Т00

НАЦІОНАЛЬНИЙ СТАНДАРТ РОСІЙСЬКОЇ ФЕДЕРАЦІЇ

Інформаційна технологія

ЗАХИСТ ІНФОРМАЦІЙНИХ ТЕХНОЛОГІЙ ТА АВТОМАТИЗОВАНИХ СИСТЕМ ВІД ЗАГРОЗ ІНФОРМАЦІЙНОЇ БЕЗПЕКИ, РЕАЛІЗУЕМІХ З ВИКОРИСТАННЯМ СХОВАНИХ КАНАЛІВ

Information technologies. Захисту інформаційної технології та автоматизованих систем після захисту threats застосовується за допомогою конвертованих каналів. Part 2. Recommendations on protecting information, information technologies and automated systems against covert channel attacks

ГКС 35.040

Дата введення 2009-12-01

Передмова

1 РОЗРОБЛЕНО Товариством з обмеженою відповідальністю "Криптоком"

2 ВНЕСЕН Федеральним агентством з технічне регулюваннята метрології

3 ЗАТВЕРДЖЕНИЙ І ВВЕДЕНИЙ У ДІЮ Наказом Федерального агентства з технічного регулювання та метрології від 15 грудня 2009 р. N 841-ст

4 ВВЕДЕНО ВПЕРШЕ

5 ПЕРЕВИДАННЯ. Жовтень 2018

Правила застосування цього стандарту встановлені встатті 26 Федерального закону від 29 червня 2015 р. N 162-ФЗ "Про стандартизацію в Російській Федерації". Інформація про зміни до цього стандарту публікується у щорічному (станом на 1 січня поточного року) інформаційному покажчику "Національні стандарти", а офіційний текст змін та поправок - у щомісячному інформаційному покажчику "Національні стандарти". У разі перегляду (заміни) або скасування цього стандарту відповідне повідомлення буде опубліковано у найближчому випуску щомісячного інформаційного покажчика "Національні стандарти". Відповідна інформація, повідомлення та тексти розміщуються також в інформаційній системі загального користування – на офіційному сайті Федерального агентства з технічного регулювання та метрології в мережі Інтернет (www.gost.ru)

Вступ

У цьому стандарті встановлено рекомендації щодо організації захисту інформації (ЗІ), інформаційних технологійта автоматизованих систем від атак з використанням прихованих каналів(СК).

СК використовуються для систематичної взаємодії шкідливих програм ( комп'ютерних вірусів) з порушником безпеки при організації атаки на автоматизовану систему (АС), яка не виявляється засобами контролю та захисту.

Цей стандарт розроблено з урахуванням вимог ГОСТ Р ІСО/МЕК 15408-3 та ГОСТ Р ІСО/МЕК 27002 , в яких передбачається здійснення заходів щодо протидії загрозам безпеці організації, що реалізуються з використанням СК. У цих стандартах заходи щодо протидії загроз ІБ з використанням СК представлені в загальному вигляді, А їх деталізація представлена у цьому стандарті.

Крім цього, існує низка технологій забезпечення інформаційної безпекиі нормативних документів(НД) ФОІВ ( ФСТЕК Росії, у яких розглядаються окремі аспекти цієї проблеми).

Так ДЕРЖСТАНДАРТ Р 51188 встановлює загальні правилаорганізації та проведення випробувань програмних засобів та їх компонентів з метою виявлення та усунення в них комп'ютерних вірусів. У цьому стандарті також регламентовано порядок перевірки комп'ютера наявність комп'ютерних вірусів та його усунення. Така перевірка може виявити агента порушника безпеки, який використовується для організації прихованого каналу, але тільки в тому випадку, якщо агент не є невід'ємною частиною операційної системи або апаратної платформи комп'ютера, що перевіряється. Оскільки антивірусні перевіркине здатні виявити всіх потенційних агентів, виникає необхідність протидії СК, які такі "невидимі" агенти можуть використовувати для взаємодії з порушником безпеки.

НТД ФСТЕК Росії встановлено класифікацію програмного забезпечення (як вітчизняного, так і зарубіжного виробництва) для засобів ЗІ, у тому числі вбудованих у загальносистемне та прикладне програмне забезпечення(ПЗ), за рівнем контролю відсутності у ньому недекларованих можливостей. В процесі такої перевірки недекларовані можливості, визнані безпечними, можуть виявитися більш небезпечними в процесі експлуатації програмного забезпечення в результаті взаємодії через СК із зовнішнім порушником безпеки.

У НТД ФСТЭК Росії встановлено класифікація міжмережевих екранів за рівнем захищеності від несанкціонованого доступу інформації шляхом вибору відповідних показників захищеності. Дані показники містять вимоги до засобів ЗІ, реалізованих у вигляді міжмережевих екранів, що забезпечують безпечну взаємодію мереж ЕОМ АС за допомогою управління міжмережевими потоками інформації. Міжмережевий екран реалізує функції обмеження мережевої взаємодії, а також вимоги прийнятої політики інформаційної безпеки організації. Взаємодія з використанням СК здійснюється в рамках обмежень, що вводяться міжмережевим екраном, тому СК можуть функціонувати навіть при використанні правильно налаштованого міжмережевого екрана, що має достатній рівень захищеності.

Цей стандарт також встановлює типовий порядок організації протидії СК, який може уточнюватись з урахуванням умов та особливостей застосування інформаційних технологій в АС. Крім того, можуть розроблятися та застосовуватись додаткові заходи захисту.

Організація захисту ІТ та АС від атак з використанням СК включає процедури їх виявлення та придушення. Набір методів виявлення та/або придушення СК, що застосовуються, повинен визначатися виходячи з моделі загроз безпеці організації.

Заходи захисту від атак з використанням СК повинні бути інтегровані в систему інформаційної безпеки організації.

Цей стандарт застосовується спільно з ГОСТ Р 53113.1.

1 Область застосування

Цей стандарт призначений для замовників, розробників та користувачів інформаційних технологій у процесі формування вимог щодо захисту інформації на стадіях розробки, придбання та застосування продуктів, інформаційних технологій та автоматизованих систем відповідно до вимог нормативних правових документів ФОІВ (ФСТЕК Росії), або вимог, що встановлюються власником інформації.

Цей стандарт призначений для органів сертифікації, а також випробувальних лабораторій під час проведення підтвердження відповідності інформаційних технологій та автоматизованих систем вимогам щодо забезпечення безпеки інформації, що циркулює у цих системах, аналітичних підрозділів та служб безпеки.

2 Нормативні посилання

У цьому стандарті використано нормативні посилання на такі стандарти:

ГОСТ Р ІСО/МЕК 7498-1-99 Інформаційна технологія. Взаємозв'язок відкритих систем. Базова еталонна модель. Частина 1. Базова модель

ГОСТ Р ІСО/МЕК 15408-3 Інформаційна технологія. Методи та засоби забезпечення безпеки. Критерії оцінки безпеки інформаційних технологій. Частина 3. Компоненти довіри до безпеки

ГОСТ Р ІСО/МЕК 27002 Інформаційна технологія. Методи та засоби забезпечення безпеки. Звід норм та правил менеджменту

ГОСТ Р 51188 Захист інформації. Випробування програмних засобів наявність комп'ютерних вірусів. Типове керівництво

ГОСТ Р 51901.1 Менеджмент ризику. Аналіз ризику технологічних систем

ДЕРЖСТАНДАРТ Р 53113.1-2008 Інформаційна технологія. Захист інформаційних технологій та автоматизованих систем від загроз інформаційної безпеки, що реалізуються з використанням прихованих каналів. Частина 1. Загальні положення

Примітка - При користуванні цим стандартом доцільно перевірити дію стандартів посилань в інформаційній системі загального користування - на офіційному сайті Федерального агентства з технічного регулювання та метрології в мережі Інтернет або за щорічним інформаційним покажчиком "Національні стандарти", який опублікований станом на 1 січня поточного року та за випусками щомісячного інформаційного покажчика "Національні стандарти" за поточний рік. Якщо замінений стандарт, на який дано недатоване посилання, то рекомендується використовувати діючу версіюцього стандарту з урахуванням усіх внесених до цю версіюзмін. Якщо замінений стандарт, на який дано датоване посилання, то рекомендується використовувати версію цього стандарту із зазначеним вище роком затвердження (прийняття). Якщо після затвердження цього стандарту до посилального стандарту, на який дано датоване посилання, внесено зміну, що стосується положення, на яке дано посилання, то це положення рекомендується застосовувати без урахування цієї зміни. Якщо стандарт посилається без заміни, то положення, в якому дано посилання на нього, рекомендується застосовувати в частині, що не зачіпає це посилання.

3 Терміни та визначення

У цьому стандарті застосовані терміни за ГОСТ Р 53113.1.

4 Позначення та скорочення

У цьому стандарті використані такі позначення та скорочення:

АБС – автоматизована банківська система;

ВОС – взаємозв'язок відкритих систем;

ІБ – інформаційна безпека;

ІТ – інформаційна технологія;

НСД – несанкціонований доступ;

СУБД – система управління базами даних;

HTTP - ( hypertext transfer protocol) – протокол передачі гіпертексту;

IP – (Internet protocol) – протокол інтернету;

VPN – (virtual private network) – віртуальна приватна мережа.

5 Механізм функціонування прихованого каналу

5.1 СК використовуються для систематичної взаємодії шкідливих програм (комп'ютерних вірусів) з порушником безпеки при організації атаки на АС, яка не виявляється засобами контролю та захисту.

Небезпека СК ґрунтується на припущенні постійного доступупорушника безпеки до інформаційних ресурсів організації та впливу через ці канали на інформаційну систему для завдання максимальної шкоди організації.

5.2 Загальна схема механізму функціонування СК в АС представлена малюнку 1.

1 - порушник безпеки (зловмисник), метою якого є НСД до інформації обмеженого доступу чи несанкціонований вплив на АС; 2 - інформація обмеженого доступу чи критично важлива функція; 3 - суб'єкт, який має санкціонований доступ до 2 і 5 ; 3" - агент порушника безпеки, що знаходиться в замкнутому контурі з 2 і взаємодіє з 2 від імені суб'єкта 3; 4 - інспектор (програмний, програмно-апаратний, апаратний засіб або особа), що контролює (її) інформаційна взаємодія 3 , що перетинає замкнутий контур, що відокремлює об'єкт інформатизації від зовнішнього середовища; 5 - суб'єкт, що знаходиться поза замкнутим контуром, з яким 3 здійснює санкціоновану інформаційну взаємодію

Рисунок 1 – Загальна схема механізму функціонування СК в АС

5.3. Взаємодія між суб'єктами 3 і 5 є санкціонованим і необхідним для правильної роботиАС. Завдання агента 3" полягає в тому, щоб забезпечити регулярну інтерактивну взаємодію між агентом та зловмисником. Агент повинен передати інформацію обмеженого доступу 2 зловмиснику 1 або за командою зловмисника 1 вплинути на критично важливу функцію 2 . Прихованість каналу взаємодії між зловмисником 1 та агентом 3" полягає в тому, що суб'єкт 3 , інспектор 4 та суб'єкт 5 не виявляють факт передачі чи команди.

СК дозволяють зловмиснику регулярно інтерактивно здійснювати взаємодію зі своїм агентом, запровадженим в АС.

5.4 В АС взаємодія між агентом 3 та суб'єктом 5 може бути як мережним, і відбуватися всередині однієї АС (див. 5.6).

5.5 Класифікація СК за різними ознаками наведена у ГОСТ Р 53113.1.

5.6 Приклади СК, що пояснюють механізм їхнього функціонування, представлені нижче.

Приклад 1 - Порушник безпеки (зловмисник), який співпрацює з конкуруючою організацією, у процесі впровадження (введення в експлуатацію) встановив АБС програмного агента. Взаємодіючи з АБС як клієнт цього банку, зловмисник передає програмному агенту команди, закодовані в послідовностях його дій, кожна з яких не викликає підозр (перевірка стану рахунку, управління рахунком, часові інтервали між операціями та ін.). У відповідь на команди, отримані по СК, агент по тому ж СК повертає зловмиснику відомості про атакований банк (інформацію про рахунки інших клієнтів, обсяги активів банків, будь-яку іншу інсайдерську інформацію, до якої агент має доступ) або вносить зміни до бази даних. про рахунки клієнтів або будь-яку іншу інформацію, до якої він має доступ. Виявлення існування такого агента може статися лише за непрямими ознаками, які можуть виникнути внаслідок зміни в базах даних. Прихований витік інформації з бази даних, що відбувається за таким СК, залишатиметься непоміченим. У цьому випадку відповідно до схеми на малюнку 1:3" - програмний агент, 3 – АБС, 2 – база даних, 4 – служба безпеки банку, 1 – зловмисник, що діє на користь конкурента, 5 – клієнт банку.

Приклад 2 - Зловмисник, який має на меті отримання службової інформації з комп'ютера співробітника, може діяти за таким сценарієм. Нехай ПК, захищений міжмережевим екраном, заражений троянською програмою. Троянська програма отримує від зловмисника команди і відправляє у відповідь на них інформацію про заражений ПК і інформацію обмеженого доступу, що зберігається на ньому, маскуючи обмін як протокол HTTP, дозволений міжмережевим екраном. У цьому випадку відповідно до схеми на малюнку 1:3" - троянська програма, 3 - програма, що має санкціонований доступ в Інтернет, 2 - документ обмеженого поширення, 4 - міжмережевий екран, 5 - вузол мережі Інтернет, 1 - проміжний вузол мережі, контрольований зловмисником.

Приклад 3 - При використання VPNтакож можливе побудова СК взаємодії агента зі зловмисником. Нехай користувач використовує своє робоче місце як термінал віддаленого доступудо сервера АС, тобто. інформація про кожне натискання клавіші надсилається терміналом на сервер. Зловмисник встановив на робоче місце користувача клавіатуру АС, що містить агента. Агент перехоплює натискання клавіш, а потім передає їх по СК за часом, затримуючи спрацьовування деяких клавіш за схемою відомою зловмиснику. Зловмисник, спостерігаючи потік пакетів між терміналом і сервером, виділяє з нього інформацію, що передається агентом СК. Виділення прихованої інформації можливе навіть у разі використання криптографічно захищеного каналу між терміналом і сервером, оскільки для роботи СК важливим є не вміст пакетів, якими термінал і сервер обмінюються один з одним, а тривалість часових інтервалів між сусідніми пакетами.

В даному випадку відповідно до схеми на малюнку 1:3" - апаратний агент, 3 - клавіатура, 2 - інформація, що вводиться з клавіатури (наприклад, пароль), 4 - будь-які засоби забезпечення безпеки АС, що не виявляють закономірностей у потоках мережевих пакетів; 5 - термінальний сервер 1 - зловмисник.

Приклад 4 – Генерація штучних збоїв та обмежень на доступність може проводитись за СК. Наприклад, агент, впроваджений в один із ключових компонентівАС очікує отримання від зловмисника деякого умовного сигналу. Отримавши цей сигнал, агент порушує роботу компонента АС, де він розташований. Через війну відбувається тимчасова втрата працездатності АС чи ослаблення її захисту (якщо агент впроваджено засіб забезпечення ИБ). Наприклад, умовним сигналом для активізації агента в загальнодоступному мережному ресурсі може бути спроба автентифікації з деяким фіксованим ім'ямкористувача та паролем. Система розмежування доступу до мережному ресурсу 4 не виявить цю атаку, оскільки спроба автентифікації є дозволеною дією. В даному випадку відповідно до схеми на малюнку 1:2 - критично важлива функція, що виконується компонентом АС (3), в який вбудований агент 3"; 1 - зловмисник, що подає агенту умовний сигнал, який, з точки зору 4, не є небезпечним , і тому блокується, 5 - АС.

Приклад 5 - Відповідно до схеми на малюнку 1: операційна система 4 забезпечує ізоляцію програми 3, яка має доступ до конфіденційної інформації 2 від програми 1, що виконується в цій же операційній системі, але не має такого доступу. Для передачі інформації 1 обмеженого доступу агент порушника 3" організує СК за часом, виробляючи фіктивні звернення до ресурсу 5, наприклад, жорсткому диску. Агент модулює частоту звернень вмістом інформації обмеженого доступу, яку необхідно передати. Програма 1, спостерігаючи за загальносистемним навантаженням на цей же ресурс, виявляє інтенсивність впливу на цей ресурс з боку агента і може отримати інформацію, що передається агентом, з характеру зміни цієї інтенсивності.

6 Правила формування моделі загроз безпеці з урахуванням існування прихованих каналів

6.1 Модель загроз безпеки формується з урахуванням загроз, що реалізуються з використанням СК. Ці загрози повинні враховуватися в оцінці ризиків ІБ.

6.2 Загрози безпеки, які можуть бути реалізовані за допомогою СК, включають:

- Впровадження шкідливих програм та даних;

- подання зловмисником команд агенту для виконання;

- витік криптографічних ключів чи паролів;

- Витік окремих інформаційних об'єктів.

6.3 Загроза впровадження шкідливих програм і даних полягає в тому, що, володіючи можливістю інтерактивно взаємодіяти з АС, зловмисник може передати в неї за допомогою СК шкідливі програми, що володіють необхідною йому функціональністю. Впровадження хибних даних в АС, що атакується, може здійснювати безпосередньо агент, з яким зловмисник взаємодіє по СК. Наприклад, якщо агент впроваджено в СУБД банку, зловмисник може передати йому команду на зміну даних, що зберігаються в базі даних про рахунки клієнтів, або підмінити процедуру, що зберігається в цій базі, що оперує з даними про рахунки, хибною, шкідливою процедурою, що діє на користь зловмисника.

6.4 Загроза подачі зловмисником команд агенту для виконання його функцій полягає в тому, що агент може впливати на АС, в яку він впроваджений за командою зловмисника. Ці команди можуть бути як простими (наприклад, заблокувати роботу АС на деякий час), так і складнішими (наприклад, передати зловмиснику по СК вміст файлу, що зберігається в системі, що атакується).

6.5 Загроза витоку криптографічних ключів або паролів, окремих інформаційних об'єктів виникає, якщо зловмиснику вдалося впровадити свого агента в АС так, щоб агент мав доступ до цінних інформаційних активів (наприклад, криптографічних ключів, паролів), СК можуть бути використані для несанкціонованої передачі такої інформації зловмиснику . Оскільки ключі мають порівняно невеликий обсяг, навіть канал з низькою пропускною здатністю здатний забезпечити їх витік.

7 Порядок організації захисту інформації, інформаційних технологій та автоматизованих систем від атак, що реалізуються з використанням прихованих каналів

7.1 ЗІ, ІТ та АС від атак, що реалізуються з використанням СК, є циклічним процесом, Що включає наступні етапи, повторювані на кожній з ітерацій процесу:

- аналіз ризиків для активів організації, що включає виявлення цінних активів і оцінку можливих наслідківреалізації атак із використанням СК (див. розділ 8);

- Виявлення СК та оцінка їх небезпеки для активів організації (див. розділ 9);

- реалізація захисних заходів щодо протидії СК (див. розділ 10);

- Організація контролю за протидією СК (див. розділ 11).

7.2 Циклічність процесу захисту від загроз ІБ, що реалізуються з використанням СК, визначається появою нових способів побудови СК, невідомих на момент попередніх ітерацій.

8 Аналіз ризиків

8.1 Вибір заходів протидії загрозам ІБ, що реалізуються з використанням СК, повинен ґрунтуватися на техніко-економічній оцінці або інших методах оцінки цінності інформації. Крім того, повинні враховуватись такі наслідки, як втрата довіри до організації або підрив ділової репутації організації та її керівника.

8.2 Слід виявити, які з інформаційних активів, що захищаються, можуть бути цікаві потенційному зловмиснику, який має можливість:

- вбудувати свого агента в АС у процесі її розробки, розгортання, впровадження чи експлуатації;

- виявити в АС вразливість (або вбудованого агента), яка може бути використана для організації СК та отримання доступу до активів, що захищаються.

8.3 Для аналізу ризиків можна застосовувати методологію за ГОСТ Р 51901.1.

8.4 З метою зниження інформаційних ризиківдо прийнятного рівня мають бути обрані та впроваджені заходи щодо організації ЗІ від атак з використанням СК.

9.1 Порядок виявлення СК включає:

- оцінку архітектури АС та наявних у ній комунікаційних каналів;

- Виявлення можливих шляхівобміну прихованою інформацією між зловмисником та його передбачуваним агентом в АС;

- оцінку небезпеки виявлених СК для активів організації, що захищаються;

- ухвалення рішення про доцільність протидії кожному з виявлених СК.

9.2 Оцінка архітектури АС має на увазі виявлення всіх наявних у ній комунікаційних каналів та аналіз взаємодії її компонентів на предмет потенційного використання їх для організації СК. В результаті проведення такого аналізу мають бути виявлені компоненти АС, у яких потенційно можуть бути використані СК.

9.3 Виявлення можливих шляхів обміну прихованою інформацією між зловмисником та його передбачуваним агентом в АС проводиться на підставі загальної схемимеханізму функціонування СК (див. Розділ 6). Слід для кожного з активів, що захищаються 2 (див. схему малюнку 1) виявити, які суб'єкти 3 мають до них доступ і при цьому ізольовані від зовнішнього середовища, але мають можливість взаємодіяти з окремими суб'єктами із зовнішнього середовища 5 . При цьому взаємодія контролюється 4 і може також спостерігатися потенційним зловмисником 1 . За наявності цих елементів слід розглядати питання про можлива наявністьпотенційного СК між агентом 3" , вбудованим у 3 , та суб'єктами у зовнішньому середовищі 1 або 5 . Як приклад такого СК може розглядатися можливість зловмисника спостерігати інтервали часу, що формуються компонентом АС, що потенційно містить агента зловмисника 1 .

9.4 З точки зору зловмисника використовувати СК для порушення ІБ у тих сегментах АС, де він може обмінюватися інформацією зі своїм агентом, використовуючи канал, що не контролюється засобами ЗІ, є недоцільним. В цьому випадку немає необхідності приховувати факт обміну інформацією, тому що такий обмін захисними засобами не контролюється.

9.5 При оцінці можливості взаємодії через СК слід враховувати "непрозорість" для певних типів СК окремих сегментів АС.

9.6 Після виявлення СК слід оцінити, наскільки вони реалізовані і небезпечні для активів організації, що захищаються. Ця оцінка визначається обсягом активів, пропускною спроможністю СК та тимчасовим інтервалом, протягом якого активи зберігають цінність. На підставі цієї оцінки канали, які не становлять реальної небезпеки для активів, визнаються безпечними.

9.7 На підставі оцінки небезпеки СК з урахуванням результатів проведеного аналізу ризиків робиться висновок про доцільність чи недоцільність протидії таким каналам.

9.8 Як приклад на малюнку 2 представлена семирівнева модель взаємодії відкритих систем, визначена в підпункті 6.1.5 ГОСТ Р ІСО/МЕК 7498-1-99.

Малюнок 2 - Обмін даними через відкриту ретрансляційну систему

9.9 Кожен із рівнів даної моделі взаємодіє тільки з нижчим і вищим рівнями, при цьому верхні рівнівідкриті системи ізольовані від нижніх. Ця особливість може бути використана для маскування СК, що діють на низькому рівні від контролера, що знаходиться на високому рівні.

9.10 Якщо спеціальні засобивиявлення СК не застосовуються, наявність СК може виявити користувач будь-якої із взаємодіючих систем, спостерігаючи зміну поведінки цих систем або часткову втрату їхньої працездатності.

9.11 Обмежуючим фактором при виборі зловмисником рівня моделі взаємодії відкритих систем як середовище для організації прихованої передачі є "непрозорість" ретранслюючих систем. Ретранслюючі системи не містять вихідного відправника та кінцевого одержувача даних, а лише передають дані від одних систем іншим, якщо вони не з'єднані єдиним фізичним середовищем відповідно до ГОСТ Р ИСО/МЭК 7498-1.

9.12 При здійсненні ретрансляції в такій системі проводять інтерпретацію отриманої інформації на всіх рівнях моделі, починаючи з нижнього (фізичного) рівня до рівня, на якому здійснюється ретрансляція даних. Потім, для передачі даних далі по мережі, вони знову "спускаються" до фізичного рівнямережі-одержувача. В результаті цього процесу, СК по пам'яті (див. підрозділ 5.2 ГОСТ Р 53113.1-2008), що використовують особливості протоколів, що відносяться до нижчих рівнів, ніж той, на якому здійснюється ретрансляція, можуть знищуватися або обмежувати можливості прихованої передачі інформації крізь таку систему, що ретранслює .

10 Рекомендації щодо методів реалізації захисних заходів щодо протидії прихованим каналам

10.1 За результатами виявлення СК формується план заходів щодо протидії загрозам, що реалізуються з їх використанням. Дані заходи можуть включати реалізацію одного з вже відомих (або удосконалення вже існуючих) методів протидії загрозам ІБ, що реалізується з використанням СК.

10.2 Як захисні заходи доцільно використовувати:

- зниження пропускну здатністьканалу передачі;

- архітектурні рішенняпобудови АС;

- Моніторинг ефективності захисту АС.

10.3 Вибір методів протидії загрозам ІБ, що реалізуються з використанням СК та формування плану їх реалізації визначається експертами, виходячи з індивідуальних особливостейАС, що захищається.

10.4 Приклади методів протидії СК

Приклад 1 - Протидія загрозам, пов'язаним із СК, є, зокрема, нормалізація трафіку, що полягає у зміні значень полів мережевих пакетів так, щоб виключити неоднозначність, яку потенційно можна використовувати для організації СК. При цьому руйнуються СК, які використовують для своєї роботи таку неоднозначність. У результаті нормалізації трафіку має забезпечуватися збереження функціональності вихідного протоколу, яка потрібна на виконання покладеної нею завдання. Нормалізація полів пакетів інформації може полягати у приведенні значень полів у відповідність до специфікацій протоколів, поміщенні в поля пакетів фіксованих значень або запису в поля довільних значень.

Приклад 2 - використання посередника (проксі-сервера), тобто. пристрої, що має доступ до двох або більше мереж, що приймає запити від додатків, що виконуються на вузлах однієї з доступних йому мереж, до додатків, що виконуються на вузлах іншої мережі, а потім передає відповіді на ці запити зворотному напрямку. Застосування посередника дозволяє запобігти використанню організації СК особливостей протоколів, які забезпечують роботу мережі. Деталі реалізації цих протоколів (наприклад, значень окремих службових полів пакетів цих протоколів) під час використання посередника не передаються безпосередньо з однієї мережі до іншої, а формуються посередником наново. Таким чином, СК по пам'яті, що використовують як середовище передачі мережеві протоколи, не забезпечуватимуть прихований обмін інформацією між абонентами, розділеними посередником. Працездатність додатків, що взаємодіють не безпосередньо, а "крізь" (через) посередника, не буде порушена, оскільки посередник враховує особливості роботи цих додатків. Це дозволяє без вживання додаткових заходів перекрити багато СК, пов'язаних із синтаксисом та семантикою мережевого, а також транспортного протоколів. Проте перекрити канали, що працюють на рівні додатків, у такий спосіб не вдасться, оскільки прихована інформаціябуде проходити через посередника без змін разом із даними додатка. Додаток-посередник, що застосовується, повинен враховувати специфіку використовуваних додатків і транспортних протоколів, щоб повністю зберегти всі функції та не призвести до втрати продуктивності мережі. У свою чергу, програми можуть бути розроблені з урахуванням використання посередника.

Приклад 3 - Інкапсуляція трафіку Інтернет ("тунелювання") - транзитна передача пакетів з однієї підмережі в іншу підмережу через третю мережу, при якій вихідні пакети "упаковуються" пакети тунельного протоколу, що передаються через третю мережу, представлена на малюнку 3.

Малюнок 3 - Інкапсуляція IP-пакетів

10.5 При використанні інкапсуляції з шифруванням та підтвердженням цілісності пакета можливе перекриття СК по пам'яті між вузлами, "внутрішніми" по відношенню до шлюзу (тобто тими вузлами, які формують пакети, що проходять тунелем), і "зовнішніми" (шлюзи Інтернет, через які проходить маршрут, яким відправляються пакети тунельного протоколу). СК за часом (див. підрозділ 5.3 ДЕРЖСТАНДАРТ Р 53113.1-2008), що оперують з моментами часу, в які відбувається передача пакетів, не можуть бути повністю перекриті таким способом. Інформація, пов'язана з розмірами пакетів та тимчасовими інтервалами між їх появою, також зберігається при інкапсуляції і може бути використана для роботи СК.

11 Рекомендації щодо організації контролю за протидією прихованим каналам

11.1 Контроль за протидією СК полягає у виявленні фактів використання СК у АС, що захищається. Таке виявлення може проводитися безперервно або фактом виявлення ознак шкоди від використання СК. Для виявлення використання СК можуть застосовуватися статистичний чи сигнатурний методи.

11.2 Статистичний методВиявлення СК передбачає збір статистичних даних про пакети, що проходять через ділянку мережі, що захищається, без внесення в них будь-яких змін. Виявлення СК може проводитися як у режимі реального часу (що дозволяє швидко реагувати на інциденти), так і автономно, використовуючи дані, накопичені за попередні відрізки часу, що уможливлює проведення більш глибокого їх аналізу.

11.3 Метод виявлення СК на основі сигнатурного аналізу аналогічний способу, який використовується антивірусними програмами для пошуку шкідливих програм. За наявності набору відомих реалізаційСК, для кожної з них формується сигнатура, що є набором ознак, які свідчать про те, що використовується дана реалізаціяСК. Потім інспектор 4 (див. рисунок 1) проводить пошук таких сигнатур в потоці даних, що переглядається в мережі, і робить висновок про наявність або відсутність у ньому діючого СК у тій чи іншій реалізації. Для ефективної роботитакого методу необхідно постійне оновленняоснови сигнатур, тобто. включення до неї сигнатур для раніше невідомих реалізацій СК.

11.4 При виявленні ознак (у тому числі непрямих) використання СК або появі нових способів побудови СК аналіз ризиків проводять повторно.

Бібліографія


	Керівний документ. Гостехкомісія Росії, 1999 р.	Захист від несанкціонованого доступу до інформації. Частина 1. Програмне забезпечення засобів захисту. Класифікація за рівнем контролю відсутності недекларованих можливостей
	Керівний документ. Гостехкомісія Росії, 1998 р.


УДК 351.864.1:004:006.354

Ключові слова: приховані канали, аналіз прихованих каналів, порядок організації захисту інформації

Електронний текст документа
підготовлений АТ "Кодекс" і звірений за:
офіційне видання
М: Стандартінформ, 2018

Розділ 1. Питання 1. Спеціальні вимоги та рекомендації щодо технічного захисту конфіденційної інформації (СТР-К): основні положення документа.

1.1. Цей документ встановлює порядок організації робіт, вимоги та рекомендації щодо забезпечення технічного захисту конфіденційної інформації на території Російської Федерації і є основним керівним документом у цій галузі для федеральних органів державної влади, органів державної влади суб'єктів Російської Федерації та органів місцевого самоврядування, підприємств, установ та організацій (далі - установи та підприємства) незалежно від їх організаційно-правової форми та форми власності, посадових осіб та громадян Російської Федерації, які взяли на себе зобов'язання або зобов'язаними за статусом виконувати вимоги правових документів Російської Федерації щодо захисту інформації.

Конфіденційної інформації - інформації з обмеженим доступом, за винятком відомостей, віднесених до державної таємниці та персональних даних, що міститься в державних (муніципальних) інформаційних ресурсах, накопиченої за рахунок державного (муніципального) бюджету та власністю держави (до неї може бути віднесена інформація, складова службову таємницю та інші види таємниць відповідно до законодавства Російської Федерації, а також відомості конфіденційного характеру відповідно до "Переліку відомостей конфіденційного характеру", затвердженого Указом Президента Російської Федерації від 06.03.97 №188), захист якої здійснюється на користь держави (далі - службова таємниця);

Інформації про факти, події та обставини приватного життя громадянина, що дозволяє ідентифікувати його особистість (персональні дані) (Відповідно до Федерального закону "Про інформацію, інформатизацію та захист інформації" режим захисту персональних даних повинен бути визначений федеральним законом. До його введення в дію для встановлення режиму захисту такої інформації слід керуватися цим документом, за винятком відомостей, що підлягають поширенню у засобах масової інформації у встановлених федеральними законами випадках.

1.3. Для захисту конфіденційної інформації, що міститься в недержавних інформаційних ресурсах, режим захисту якої визначає власник цих ресурсів (наприклад, інформації, що становить комерційну, банківську таємницю тощо) (далі – комерційна таємниця), цей документ має рекомендаційний характер.

1.4. Документ розроблений на підставі федеральних законів "Про інформацію, інформатизацію та захист інформації", "Про участь у міжнародному інформаційному обміні", Указу Президента Російської Федерації від 06.03.97г. № 188 "Перелік відомостей конфіденційного характеру", "Доктрини інформаційної безпеки Російської Федерації", затвердженої Президентом Російської Федерації 09.09.2000р. № Пр.-1895, "Положення про порядок поводження зі службовою інформацією обмеженого поширення у федеральних органах виконавчої влади", затвердженого постановою Уряду Російської Федерації від 03.11.94г. № 1233, інших нормативних правових актів щодо захисту інформації (додаток № 8), а також досвіду реалізації заходів захисту інформації в міністерствах та відомствах, в установах та на підприємствах.

1.5. Документ визначає такі основні питання захисту:

Організацію робіт із захисту інформації, у тому числі при розробці та модернізації об'єктів інформатизації та їх систем захисту інформації;

Склад та основний зміст організаційно-розпорядчої, проектної, експлуатаційної та іншої документації щодо захисту інформації;

. порядок забезпечення захисту інформації під час експлуатації об'єктів інформатизації;

Особливості захисту інформації при розробці та експлуатації автоматизованих систем, що використовують різні типи засобів обчислювальної техніки та інформаційні технології;

Порядок забезпечення захисту інформації при взаємодії абонентів із інформаційними мережами загального користування.

1.6. Захист інформації, що обробляється з використанням технічних засобів, є складовою робіт зі створення та експлуатації об'єктів інформатизації різного призначення і має здійснюватися у встановленому цим документом порядку у вигляді системи (підсистеми) захисту інформації у взаємозв'язку з іншими заходами щодо захисту інформації.

1.7. Захист підлягає інформація, як мовна, так і оброблена технічними засобами, а також представлена у вигляді інформативних електричних сигналів, фізичних полів, носіїв на паперовій, магнітній, оптичній та іншій основі, у вигляді інформаційних масивів та баз даних в АС.

Об'єктами інформатизації, що захищаються, є:

Засоби та системи інформатизації (засоби обчислювальної техніки, автоматизовані системи різного рівня та призначення на базі засобів обчислювальної техніки, в тому числі інформаційно-обчислювальні комплекси, мережі та системи, засоби та системи зв'язку та передачі даних, технічні засоби прийому, передачі та обробки інформації) телефонії, звукозапису, звукопідсилення, звуковідтворення, переговорні та телевізійні пристрої, засоби виготовлення, тиражування документів та інші технічні засоби обробки мовної, графічної, відео та буквенно-цифрової інформації), програмні засоби (операційні системи, системи управління базами даних, інше загальносистемне та прикладне) програмне забезпечення), що використовуються для обробки конфіденційної інформації;

Технічні засоби та системи, що не обробляють безпосередньо конфіденційну інформацію, але розміщені у приміщеннях, де вона обробляється (циркулює);

Захищені приміщення.

1.8. Захист інформації повинен здійснюватися за допомогою виконання комплексу заходів та застосування (при необхідності) засобів ЗІ щодо запобігання витоку інформації або впливу на неї технічними каналами, за рахунок несанкціонованого доступу до неї, запобігання навмисним програмно-технічним впливам з метою порушення цілісності (знищення, спотворення) ) інформації у процесі її обробки, передачі та зберігання, порушення її доступності та працездатності технічних засобів.

1.9. Під час переговорів та використання технічних засобів для обробки та передачі інформації можливі такі канали витоку та джерела загроз безпеці інформації:

Акустичне випромінювання інформативного мовного сигналу;

Електричні сигнали, що виникають за допомогою перетворення інформативного сигналу з акустичного в електричний за рахунок мікрофонного ефекту і поширюються по проводах та лініях, що виходять за межі КЗ;

Віброакустичні сигнали, що виникають за допомогою перетворення інформативного акустичного сигналу при впливі його на будівельні конструкції та інженерно-технічні комунікації приміщень, що захищаються;

Несанкціонований доступ та несанкціоновані дії щодо інформації в автоматизованих системах, у тому числі з використанням інформаційних мереж загального користування;

Вплив на технічні чи програмні засоби інформаційних систем з метою порушення конфіденційності, цілісності та доступності інформації, працездатності технічних засобів, засобів захисту інформації за допомогою спеціально впроваджених програмних засобів;

Побічні електромагнітні випромінювання інформативного сигналу від технічних засобів, що обробляють конфіденційну інформацію, та ліній передачі цієї інформації;

Наведення інформативного сигналу, що обробляється технічними засобами, на ланцюзі електроживлення та лінії зв'язку, що виходять за межі КЗ;

Радіовипромінювання або електричні сигнали від впроваджених у технічні засоби та приміщення спеціальних електронних пристроїв, що захищаються, перехоплення мовної інформації "закладок", модульовані інформативним сигналом;

Радіовипромінювання або електричні сигнали від електронних пристроїв перехоплення інформації, підключених до каналів зв'язку або технічних засобів обробки інформації;

Прослуховування телефонних і радіопереговорів;

Перегляд інформації з екранів дисплеїв та інших засобів її відображення, паперових та інших носіїв інформації, у тому числі оптичних засобів;

Розкрадання технічних засобів з інформацією, що зберігається в них, або окремих носіїв інформації.

1.10. Перехоплення інформації або вплив на неї з використанням технічних засобів може вестись:

З-за кордону КЗ із довколишніх будівель та транспортних засобів;

З суміжних приміщень, що належать іншим установам (підприємствам) та розташованим у тій самій будівлі, що й об'єкт захисту;

При відвідуванні установи (підприємства) сторонніми особами;

За рахунок несанкціонованого доступу (несанкціонованих дій) до інформації, що циркулює в АС як за допомогою технічних засобів АС, так і через інформаційні мережі загального користування.

1.11. В якості апаратури перехоплення або впливу на інформацію та технічні засоби можуть використовуватися портативні пристрої, що возиться і носяться, що розміщуються поблизу об'єкта захисту або підключаються до каналів зв'язку або технічних засобів обробки інформації, а також електронні пристрої перехоплення інформації "закладки", що розміщуються всередині або поза приміщеннями, що захищаються. .

1.12. Крім перехоплення інформації технічними засобами можливе ненавмисне попадання інформації, що захищається до осіб, не допущених до неї, але що знаходяться в межах КЗ. Це можливо, наприклад, внаслідок:

Ненавмисне прослуховування без використання технічних засобів конфіденційних розмов через недостатню звукоізоляцію огороджувальних конструкцій приміщень, що захищаються, та їх інженерно-технічних систем;

Випадкового прослуховування телефонних розмов під час проведення профілактичних робіт у мережах телефонного зв'язку;

Некомпетентних чи помилкових дій користувачів та адміністраторів АС під час роботи обчислювальних мереж;

Перегляд інформації з екранів дисплеїв та інших засобів її відображення.

1.13. Виявлення та облік факторів, що впливають або можуть впливати на інформацію, що захищається (загроз безпеки інформації) у конкретних умовах, відповідно до ГОСТ Р 51275-99, становлять основу для планування та здійснення заходів, спрямованих на захист інформації на об'єкті інформатизації.

Перелік необхідних заходів захисту інформації визначається за результатами обстеження об'єкта інформатизації з урахуванням співвідношення витрат на захист інформації з можливим збитком від її розголошення, втрати, знищення, спотворення, порушення санкціонованої доступності інформації та працездатності технічних засобів, що опрацьовують цю інформацію, а також з урахуванням реальних можливостей її перехоплення та розкриття її змісту.

1.14. Основна увага має бути приділена захисту інформації, щодо якої загрози безпеці інформації реалізуються без застосування складних технічних засобів перехоплення інформації:

Мовленнєвої інформації, що циркулює в приміщеннях, що захищаються;

Інформація, що обробляється засобами обчислювальної техніки, від несанкціонованого доступу та несанкціонованих дій;

Інформація, що виводиться на екрани відеомоніторів;

Інформація, що передається каналами зв'язку, що виходить за межі КЗ.

1.15. Розробка заходів та забезпечення захисту інформації здійснюються підрозділами захисту інформації (службами безпеки) або окремими фахівцями, що призначаються керівництвом підприємства (установи) для проведення таких робіт. Розробка заходів захисту інформації може здійснюватися також сторонніми підприємствами, які мають відповідні ліцензії Держтехкомісії Росії та/або ФАПСІ на право надання послуг у галузі захисту інформації.

1.17. Об'єкти інформатизації мають бути атестовані на відповідність вимогам захисту інформації (Тут і далі під атестацією розуміється комісійне приймання об'єкта інформатизації силами підприємства з обов'язковою участю спеціаліста із захисту інформації.)

1.18. Відповідальність за забезпечення вимог щодо технічного захисту конфіденційної інформації покладається на керівників установ та підприємств, що експлуатують об'єкти інформатизації.

ДЕРЖАВНА ТЕХНІЧНА КОМІСІЯ ПРИ ПРЕЗИДЕНТІ РОСІЙСЬКОЇ

ФЕДЕРАЦІЇ

КОНФІДЕНЦІЙНОЇ ІНФОРМАЦІЇ

(СТР-К)

1. Терміни, визначення та скорочення

2. Загальні положення

3. Організація робіт із захисту інформації

4.1. загальні положення

4.3. Захист інформації, що циркулює в системах звукопідсилення та звукового супроводу кінофільмів

4.4. Захист інформації при проведенні звукозапису.

4.5. Захист мовної інформації під час її передачі каналами зв'язку

обчислювальної техніки

5.4. Порядок забезпечення захисту конфіденційної інформації під час експлуатації АС

5.5. Захист конфіденційної інформації на автоматизованих робочих місцях на базі автономних ПЕОМ

5.6. Захист інформації при використанні знімних накопичувачів великої ємності для автоматизованих робочих місць на базі автономних ПЕОМ

5.7. Захист інформації у локальних обчислювальних мережах

5.8. Захист інформації при міжмережевій взаємодії

5.9. Захист інформації під час роботи з системами управління базами даних 6. Рекомендації щодо забезпечення захисту інформації, що міститься в недержавних інформаційних ресурсах, при взаємодії абонентів інформаційними мережами загального користування

6.1. загальні положення

6.2. Умови підключення абонентів до Мережі

6.3. Порядок підключення та взаємодії абонентських пунктів з Мережею, вимоги та рекомендації щодо безпеки інформації 7, Програми:

1 . Акт класифікації автоматизованої системи обробки інформації

2. Атестат відповідності автоматизованої системи вимогам щодо безпеки

3. Атестат відповідності приміщення, що захищається вимогам з безпекиінформації

4. Форма технічного паспорта на приміщення, що захищається

5. Форма технічного паспорта на автоматизовану систему

6. Приклад документального оформлення переліку відомостей конфіденційногохарактеру

7. Класи захищеності від несанкціонованого доступу до інформації

8. Основні нормативні правові акти та методичні документи щодо захисту

1. ТЕРМІНИ, ВИЗНАЧЕННЯ І СКОРОЧЕННЯ

У цьому документі прийнято такі основні терміни, визначення та скорочення:

1.1. Абонент Мережі (див. також п. 1.14) - особа, яка є співробітником установи (підприємства), що має відповідним чином оформлений дозвіл та технічні можливостіна підключення та взаємодію з Мережами.

1.2. Абонентський пункт (АП) - засоби обчислювальної техніки установи (підприємства), що підключаються до мереж за допомогою комунікаційного обладнання. АП можуть бути у вигляді автономних персональних електронно-обчислювальних машин (ПЕОМ) з модемом і не мати фізичних каналівзв'язки з іншими засобами обчислювальної техніки (СВТ) підприємства, а також у вигляді однієї або декількох об'єднаних локальних обчислювальних мереж (ЛВС) з робочими станціями та серверами, з'єднаних з мережами через комунікаційне обладнання (модеми, мости, шлюзи, маршрутизатори-роутери, мультиплексори, комунікаційні сервери тощо).

1.3. Автоматизована система (АС) - система, що складається з персоналу та комплексу засобів автоматизації його діяльності, що реалізує інформаційну технологію виконання встановлених функцій.

1.4. Адміністратор АС – особа, відповідальна за функціонування автоматизованої системи у встановленому штатному режимі роботи.

1.5. Адміністратор захисту (безпеки) інформації - особа, яка відповідає за захист автоматизованої системи від несанкціонованого доступу до інформації.

1.6. Безпека інформації - стан захищеності інформації, що характеризується здатністю персоналу, технічних засобів та інформаційних технологій забезпечувати конфіденційність (тобто збереження в таємниці від суб'єктів, які не мають повноважень на ознайомлення з нею), цілісність та доступність інформації при її обробці технічними засобами.

1.7. Допоміжні технічні засоби та системи (ВТСС) - технічні засоби та системи, не призначені для передачі, обробки та зберігання конфіденційної інформації, що встановлюються спільно з основними технічними засобами та системами або в приміщеннях, що захищаються. До них відносяться:

Різного роду телефонні засобита системи;

Засоби та системи передачі даних у системі радіозв'язку;

Засоби та системи охоронної та пожежної сигналізації;

Засоби та системи оповіщення та сигналізації;

Контрольно-вимірювальна апаратура;

Засоби та системи кондиціювання;

Засоби та системи провідної радіотрансляційної мережі та прийому програм радіомовлення та телебачення (абонентські гучномовці, системи радіомовлення, телевізори та радіоприймачі тощо);

засоби електронної оргтехніки;

Засоби та системи електрочасофікації;

Інші технічні засоби та системи.

1.8. Доступ до інформації (доступ) - ознайомлення з інформацією, її обробка, зокрема копіювання, модифікація чи знищення інформації.

1.9. Доступність (санкціонована доступність) інформації - стан інформації, що характеризується здатністю технічних засобів та інформаційних технологій забезпечувати безперешкодний доступ до інформації суб'єктів, які мають на це повноваження.

1.10. Захист інформації від несанкціонованого доступу (захист від НСД) або впливу - діяльність, спрямована на запобігання одержанню інформації зацікавленим суб'єктом (або на інформацію) з порушенням встановлених правчи правил.

1.11. Спеціальний захисний знак(СЗЗ) - сертифіковане та зареєстроване в установленому порядкувиріб, призначений для контролю несанкціонованого доступу до об'єктів захисту шляхом визначення справжності та цілісності СЗЗ шляхом порівняння самого знака або композиції "СЗЗ - підкладка" за критеріями відповідності характерними ознакамивізуальними, інструментальними та іншими методами.

1.12. Захищені приміщення (ЗП) - приміщення (службові кабінети, актові, конференц-зали тощо), спеціально призначені для проведення конфіденційних заходів (нарад, обговорень, конференцій, переговорів тощо).

1.13. Інформативний сигнал - електричні сигнали, акустичні, електромагнітні та інші фізичні поля, за параметрами яких може бути розкрита конфіденційна інформація, що передається, зберігається або обробляється в основних технічних засобах і системах та обговорюється в ЗП.

1.14. Інформаційні ресурси - окремі документита окремі масиви документів, документи та масиви документів у інформаційних системах(Бібліотеки, архіви, фонди, банки даних, інші інформаційні системи).

1.15. Інформаційні мережізагального користування (далі-Мережі) - обчислювальні (інформаційно-телекомунікаційні мережі) відкриті для користування всім фізичним та юридичним особам, у послугах яких цим особам не може бути відмовлено.

1.16. Контрольована зона (КЗ) - це простір (територія, будівля, частина будівлі), в якому виключено неконтрольоване перебування осіб, які не мають постійного чи разового допуску, та сторонніх транспортних засобів. Кордоном КЗ можуть бути:

Периметр території установи (підприємства), що охороняється;

Огороджувальні конструкції охоронюваної будівлі або частини будівлі, що охороняється, якщо вона розміщена на території, що не охороняється.

В окремих випадках на період обробки технічними засобами конфіденційної інформації КЗ тимчасово може встановлюватися більшою, ніж територія підприємства, що охороняється. При цьому повинні вживатись організаційно-режимні та технічні заходи, що виключають або суттєво ускладнюють можливість ведення перехоплення інформації в цій зоні.

1.17. Конфіденційна інформація - документована інформація, доступ до якої обмежується відповідно до законодавства Російської Федерації.

1.18. Локальна обчислювальна мережа - обчислювальна мережа, що підтримує в межах обмеженої території один або кілька високошвидкісних каналів передачі цифрової інформації, що надаються пристроям для короткочасного монопольного використання.

1.20. Несанкціонований доступ (несанкціоновані дії) - доступ до інформації або дії з інформацією, що порушують правила розмежування доступу з використанням штатних засобів, що надаються засобами обчислювальної техніки або автоматизованими системами.

1.21. Основні технічні засоби та системи (ОТСС) - технічні засоби та системи, а також їх комунікації, що використовуються для обробки, зберігання та передачі конфіденційної інформації. У контексті цього документа до них відносяться технічні засоби та системи автоматизованих систем різного рівня та призначення на базі засобів обчислювальної техніки, засоби та системи зв'язку та передачі даних, які використовуються для обробки конфіденційної інформації.

1.23. Система захисту інформації від НСД (СЗІ НСД) – комплекс організаційних заходів та програмно-технічних (при необхідності криптографічних) засобів захисту від несанкціонованого доступу до інформації (несанкціонованих дій з нею) в автоматизованій системі.

1.24. Службова інформація СЗІ НСД – інформаційна база АС, необхідна для функціонування СЗІ НСД (рівень повноважень експлуатаційного персоналу АС, матриця доступу, ключі, паролі тощо).

1.26. Послуги Мережі – комплекс функціональних можливостей, що надаються абонентам мережі за допомогою прикладних протоколів (протоколи електронної пошти, FTP – File Transfer Protocol – прийом/передача файлів, HTTP – Hiper Text Transfer Protocol – доступ до Web-серверів, IRC – Internet Relay Chat – діалог у реальному часі, Telnet -термінальний доступу мережі, WAIS - Wide Area Information Servers - система зберігання та пошуку документів у мережі тощо).

1.28. Web-сервер - загальнодоступний у Мережі інформаційний сервер, який використовує гіпертекстову технологію.

2. ЗАГАЛЬНІ ПОЛОЖЕННЯ

2.1. Цей документ встановлює порядок організації робіт, вимоги та рекомендації щодо забезпечення технічного захисту конфіденційної інформації на території Російської Федерації і є основним керівним документом

цій галузі для федеральних органів державної влади, органів державної влади суб'єктів Російської Федерації та органів місцевого самоврядування, підприємств, установ та організацій (далі - установи та підприємства) незалежно від їх організаційно-правової форми та форми власності, посадових осіб та громадян Російської Федерації, які взяли він зобов'язання чи зобов'язаними за статусом виконувати вимоги правових документів Російської Федерації захисту інформації.

Інформація про факти, події та обставини приватного життя громадянина, що дозволяє ідентифікувати його особистість (персональні дані) (Відповідно до Федерального закону "Про інформацію, інформатизацію та захист інформації" режим захисту персональних даних повинен бути визначений федеральним законом. До його введення в дію для встановлення режиму захисту такої інформації слід керуватися цим документом., за винятком відомостей, що підлягають розповсюдженню в засобах масової інформації у встановлених федеральними законамивипадках.)

2.3. Для захисту конфіденційної інформації, що міститься в недержавних інформаційних ресурсах, режим захисту якої визначає власник цих ресурсів (наприклад, інформації, що становить комерційну, банківську таємницю тощо) (далі – комерційна таємниця), цей документ має рекомендаційний характер.

2.4. Документ розроблено на підставі федеральних законів "Про інформацію, інформатизації та захист інформації", "Про участь у міжнародному інформаційному обміні", Указу Президента Російської Федерації від 06.03.97г. № 188 "Перелік відомостей конфіденційного характеру", "Доктрини інформаційної безпеки Російської Федерації", затвердженої Президентом Російської Федерації 09.09.2000р. № Пр-1895, "Положення про порядок поводження зі службовою інформацією обмеженого поширення в федеральних органах виконавчої влади", затвердженого постановою Уряду Російської Федерації від 03.11.94г. № 1233, інших нормативних правових актів із захисту інформації (додаток № 8), а також досвіду реалізації заходів захисту інформації в міністерствах та відомствах, в установах та на підприємствах. 2.5. Документ визначає такі основні питання захисту:

Організацію робіт із захисту інформації, у тому числі при розробці та модернізації об'єктів інформатизації та їх систем захисту інформації,

переговорів, зокрема з використанням технічних засобів;

Порядок забезпечення захисту інформації під час експлуатації об'єктів інформатизації;

Порядок розробки, виробництва, реалізації та використання засобів криптографічного захисту інформації визначається "Положенням про порядок розробки, виробництва (виготовлення), реалізації, придбання та використання засобів криптографічного захисту інформації з обмеженим доступом, що не містить відомостей, що становлять державну таємницю" (Положення ПКЗ-99 ), а таюке "Інструкцією з організації та забезпечення безпеки зберігання, обробки та передачі по технічних каналах зв'язку конфіденційної інформації в Російській Федерації з використанням сертифікованих ФАПСІ криптографічних засобів".

2.6. Захист інформації, що обробляється з використанням технічних засобів, є складовою робіт зі створення та експлуатації об'єктів інформатизації різного призначення і має здійснюватися у встановленому цим документом порядку у вигляді системи (підсистеми) захисту інформації у взаємозв'язку з іншими заходами щодо захисту інформації.

Засоби та системи інформатизації (засоби обчислювальної техніки,

автоматизовані системи різного рівня та призначення на базі засобів обчислювальної техніки, у тому числі інформаційно-обчислювальні комплекси, мережі та системи, засоби та системи зв'язку та передачі даних, технічні засоби прийому, передачі та обробки інформації (телефонії, звукозапису, звукопідсилення, звуковідтворення, переговорні та телевізійні пристрої, засоби виготовлення, тиражування документів та інші технічні засоби обробки мовної, графічної, відео та буквено-цифрової інформації), програмні засоби (операційні системи, системи управління базами даних, інше загальносистемне та прикладне програмне забезпечення), що використовуються для обробки конфіденційної інформації ;

Захищені приміщення.

2.8. Захист інформації повинен здійснюватися за допомогою виконання комплексу заходів та застосування (за потреби) засобів ЗІ щодо запобігання

витоку інформації або впливу на неї по технічних каналах, за рахунок несанкціонованого доступу до неї, щодо запобігання навмисним програмно-технічним впливам з метою порушення цілісності (знищення, спотворення) інформації в процесі її обробки, передачі та зберігання, порушення її доступності та працездатності технічних засобів .

2.9. Під час переговорів та використання технічних засобів для обробки та передачі інформації можливі такі канали витоку та джерела загроз безпеці інформації:

Акустичне випромінювання інформативного мовного сигналу;

Віброакустичні сигнали, що виникають у вигляді перетворення

інформативного акустичного сигналу при впливі його на будівельні конструкції та інженерно-технічні комунікації приміщень, що захищаються;

Прослуховування телефонних і радіопереговорів;

Розкрадання технічних засобів з інформацією, що зберігається в них, або окремих

носіїв інформації.

2.10. Перехоплення інформації або вплив на неї з використанням технічних
коштів можуть вестись:

З-за кордону КЗ із довколишніх будівель та транспортних засобів;

При відвідуванні установи (підприємства) сторонніми особами;

За рахунок несанкціонованого доступу (несанкціонованих дій) до

інформації, що циркулює в АС як за допомогою технічних засобів АС, так і через інформаційні мережі загального користування.

2.11. В якості апаратури перехоплення або впливу на інформацію та технічні засоби можуть використовуватися портативні пристрої, що возиться і носяться, що розміщуються поблизу об'єкта захисту або підключаються до каналів зв'язку або технічних засобів обробки інформації, а також електронні пристрої перехоплення інформації "закладки", що розміщуються всередині або поза приміщеннями, що захищаються. .

Некомпетентних чи помилкових дій користувачів та адміністраторів АС під час роботи обчислювальних мереж;

Перегляд інформації з екранів дисплеїв та інших засобів її відображення.

2.13. Виявлення та облік факторів, що впливають або можуть впливати на інформацію, що захищається (загроз безпеки інформації) у конкретних умовах, відповідно до ГОСТ Р 51275-99, становлять основу для планування та здійснення заходів, спрямованих на захист інформації на об'єкті інформатизації.

Мовленнєвої інформації, що циркулює в приміщеннях, що захищаються;

Інформація, що виводиться на екрани відеомоніторів;

Інформація, що передається каналами зв'язку, що виходить за межі КЗ.

2.16. Для захисту інформації рекомендується використовувати сертифіковані за вимогами безпеки інформації технічні засоби обробки та передачі інформації, технічні та програмні засоби захисту інформації. При обробці документованої конфіденційної інформації на об'єктах інформатизації в органах державної влади Російської Федерації та органах державної влади суб'єктів Російської Федерації, інших державних органах, підприємствах та установах засоби захисту інформаційних систем підлягають обов'язковій сертифікації.

2.17. Об'єкти інформатизації мають бути атестовані на відповідність вимогам щодо захисту інформації (Тут і надалі під атестацією розуміється комісійнаприймання об'єкта інформатизації силами підприємства з обов'язковою участю спеціаліста із захисту інформації.)

2.18. Відповідальність за забезпечення вимог щодо технічного захисту конфіденційної інформації покладається на керівників установ та підприємств, що експлуатують об'єкти інформатизації.

Повну версію документа можна завантажити на .

У цьому документі прийнято такі основні терміни, визначення та скорочення:

1.1. Абонент Мережі (див. також п. 1.14) - особа, яка є співробітником установи (підприємства), яка має відповідним чином оформлений дозвіл та технічні можливості на підключення та взаємодію з мережами.

1.2. Абонентський пункт (АП) - засоби обчислювальної техніки установи (підприємства), що підключаються до мереж за допомогою комунікаційного обладнання. АП можуть бути у вигляді автономних персональних електронно-обчислювальних машин (ПЕОМ) з модемом і не мати фізичних каналів зв'язку з іншими засобами обчислювальної техніки (СВТ) підприємства, а також у вигляді однієї або кількох об'єднаних локальних обчислювальних мереж (ЛВС) з робочими станціями та серверами, з'єднаними з мережами через комунікаційне обладнання (модеми, мости, шлюзи, маршрутизатори-роутери, мультиплексори, комунікаційні сервери тощо).

Різного роду телефонні засоби та системи;

Засоби та системи передачі даних у системі радіозв'язку;

Засоби та системи охоронної та пожежної сигналізації;

Засоби та системи оповіщення та сигналізації;

Контрольно-вимірювальна апаратура;

Засоби та системи кондиціювання;

засоби електронної оргтехніки;

Засоби та системи електрочасофікації;

Інші технічні засоби та системи.

1.10. Захист інформації від несанкціонованого доступу (захист від НСД) чи впливу - діяльність, спрямовану запобігання отримання інформації зацікавленим суб'єктом (чи впливу інформацію) з порушенням встановлених прав чи правил.

1.11. Спеціальний захисний знак (СЗЗ) - сертифікований та зареєстрований в установленому порядку виріб, призначений для контролю несанкціонованого доступу до об'єктів захисту шляхом визначення справжності та цілісності СЗЗ, шляхом порівняння самого знака або композиції "СЗЗ - підкладка" за критеріями відповідності характерним ознакам візуальних, інструментальних та іншими способами.

1.14. Інформаційні ресурси – окремі документи та окремі масиви документів, документи та масиви документів в інформаційних системах (бібліотеках, архівах, фондах, банках даних, інших інформаційних системах).

1.15. Інформаційні мережі загального користування (далі-Мережі) - обчислювальні (інформаційно-телекомунікаційні мережі), відкриті для користування всім фізичним та юридичним особам, у послугах яких цим особам не може бути відмовлено.

Периметр території установи (підприємства), що охороняється;

1.18. Локальна обчислювальна мережа - обчислювальна мережа, що підтримує в межах обмеженої території один або кілька високошвидкісних каналів передачі цифрової інформації, що надаються пристроям для короткочасного монопольного використання.

1.21. Основні технічні засоби та системи (ОТСС) - технічні засоби та системи, а також їх комунікації, що використовуються для обробки, зберігання та передачі конфіденційної інформації. У контексті цього документа до них відносяться технічні засоби та системи автоматизованих систем різного рівня та призначення на базі засобів обчислювальної техніки, засоби та системи зв'язку та передачі даних, які використовуються для обробки конфіденційної інформації.

1.26. Послуги Мережі – комплекс функціональних можливостей, що надаються абонентам мережі за допомогою прикладних протоколів (протоколи електронної пошти, FTP – File Transfer Protocol – прийом/передача файлів, HTTP – Hiper Text Transfer Protocol – доступ до Web-серверів, IRC – Internet Relay Chat – діалог в реальному часі, Telnet -термінальний доступ у мережі, WAIS - Wide Area Information Servers - система зберігання та пошуку документів у мережі тощо).

1.28. Web-сервер - загальнодоступний у Мережі інформаційний сервер, який використовує гіпертекстову технологію.

Подібна інформація.