¿Cómo prepararse para una verificación FSB programada de datos personales? La clasificación de los medios de protección de la información de fsttek y fsb de rusia FSB y la protección criptográfica de la información.

Las principales tareas de protección de la información durante su almacenamiento, procesamiento y transmisión a través de canales de comunicación y en diversos medios, resueltas con la ayuda de herramientas de protección de información criptográfica, son: 1.

Asegurar el secreto (confidencialidad) de la información. 2.

Asegurar la integridad de la información. 3.

Confirmación de la autenticidad de la información (documentos). Para solucionar estos problemas, es necesario implementar lo siguiente

procesos: 1.

Implementación de las funciones reales de protección de la información, que incluyen:

cifrado / descifrado; Creación / verificación de EDS; creación / verificación de un inserto de imitación. 2.

Supervisión del estado y gestión del funcionamiento del KZI (en el sistema):

control estatal: detección y registro de casos de mal funcionamiento de las instalaciones KZZ, intentos de acceso no autorizado, casos de compromiso clave;

gestión de operaciones: tomar medidas en caso de las desviaciones enumeradas del funcionamiento normal de las instalaciones de KZZ. 3.

Mantenimiento de las instalaciones de KZZ: implementación de la gestión de claves;

implementación de procedimientos relacionados con la conexión de nuevos abonados a la red y / o la exclusión de abonados abandonados; eliminación de las deficiencias identificadas del CIPF; introducción de nuevas versiones software CIPF;

modernización y sustitución medios tecnicos CIPF para fondos más avanzados y / o de reemplazo, cuyo recurso está agotado.

La gestión de claves es una de las funciones más importantes de la protección de la información criptográfica y consiste en la implementación de las siguientes funciones principales:

generación de claves: define un mecanismo para generar claves o pares de claves con garantía de sus cualidades criptográficas;

distribución de claves: define el mecanismo mediante el cual las claves se entregan de forma fiable y segura a los suscriptores;

almacenamiento de claves: define el mecanismo mediante el cual las claves se almacenan de forma segura para su uso futuro;

recuperación de clave: define el mecanismo para recuperar una de las claves (reemplazo por una nueva clave);

destrucción de claves: define el mecanismo por el cual las claves obsoletas se destruyen de forma fiable;

archivo de claves: un mecanismo mediante el cual las claves se pueden almacenar de forma segura para su posterior recuperación notarizada en situaciones de conflicto.

En general, para la implementación de las funciones enumeradas de protección criptográfica de la información, es necesario crear un sistema de protección criptográfica de la información, combinando los medios reales de KZI, personal de servicio, instalaciones, equipos de oficina, documentación diversa (técnica, reglamentaria). y administrativo), etc.

Como ya se señaló, para obtener garantías de protección de la información, es necesario utilizar herramientas certificadas KZZ.

Actualmente, el tema más extendido es la protección de la información confidencial. Para abordar este tema, bajo los auspicios de la FAPSI, se ha desarrollado un complejo funcionalmente completo de protección criptográfica de información confidencial, que permite resolver las tareas enumeradas de protección de información para una amplia variedad de aplicaciones y condiciones de uso.

Este complejo se basa en los núcleos criptográficos "Verba" (sistema de claves asimétricas) y "Verba-O" (sistema de claves simétricas). Estos criptokernel proporcionan procedimientos de cifrado de datos de acuerdo con los requisitos de GOST 28147-89 "Sistemas de procesamiento de información".

Protección de firmas criptográficas "y digitales de acuerdo con los requisitos de GOST R34.10-94" Tecnología de la información. Protección de la información criptográfica. Procedimientos para la generación y verificación de firmas digitales electrónicas basadas en algoritmo criptográfico asimétrico ".

Los medios incluidos en el complejo CIPF le permiten proteger documentos electrónicos y flujos de información utilizando mecanismos de cifrado certificados y firma electronica prácticamente en todas las tecnologías de la información modernas, incluida la posibilidad de realizar: uso de herramientas de protección de información criptográfica en modo fuera de línea;

intercambio seguro de información en modo fuera de línea; intercambio seguro de información en línea; protegido heterogéneo, es decir intercambio de información mixto.

Resolver problemas sistémicos del uso de dispositivos de protección de información criptográfica bajo el liderazgo de D.A. en el proceso de creación de un documento, cuando el documento en sí está protegido. Además, dentro de tecnología general"Vityaz" proporciona una tecnología simplificada a la que los usuarios pueden acceder fácilmente para incorporar herramientas de protección de información criptográfica con licencia en varios sistemas de aplicación, que hace un uso muy amplio de estos sistemas de información criptográfica.

A continuación se muestra una descripción de los medios y métodos de protección para cada uno de los modos enumerados.

Usando CIPF en modo fuera de línea.

Durante el trabajo autónomo con herramientas de protección de datos criptográficos, se pueden implementar los siguientes tipos de protección de información criptográfica: creación de un documento seguro; protección de archivos;

creando un seguro sistema de archivos; creando un seguro unidad lógica... A petición del usuario, se pueden implementar los siguientes tipos de protección criptográfica de documentos (archivos):

cifrado de un documento (archivo), que hace que su contenido sea inaccesible tanto durante el almacenamiento del documento (archivo) como durante su transmisión a través de canales de comunicación o por mensajería;

desarrollo de un inserto de imitación, que asegura el control de la integridad del documento (archivo);

Generación de EDS, que asegura el control de la integridad del documento (archivo) y la autenticación de la persona que firmó el documento (archivo).

Como resultado, el documento (archivo) protegido se convierte en un archivo cifrado que contiene, si es necesario, un EDS. EDS, dependiendo de la organización del proceso de procesamiento de la información, puede presentarse como un archivo separado del documento firmado. Además, este archivo puede mostrarse en un disquete u otro medio, para su entrega por mensajería o enviarse a cualquier sitio disponible. Email, por ejemplo en Internet.

En consecuencia, al recibir un archivo cifrado por correo electrónico o en un medio particular, las acciones realizadas para la protección criptográfica se realizan en orden inverso (descifrado, verificación del inserto de imitación, verificación del EDS).

Para implementar trabajo autónomo Los siguientes medios certificados se pueden utilizar con herramientas de protección de información criptográfica:

el editor de texto "Lexicon-Verba", implementado sobre la base del CIPF "Verba-O" y el CIPF "Verba";

el complejo de software del CIPF "Lugar de trabajo autónomo", implementado sobre la base del CIPF "Verba" y "Verba-O" para OS Windows 95/98 / NT;

Controlador de disco criptográfico PTS "DiskGuard".

Procesador de texto protegido "Lexicon-Verba".

El sistema "Lexicon-Verba" es un editor de texto con todas las funciones que admite el cifrado de documentos y las firmas digitales electrónicas. Para proteger los documentos, utiliza los sistemas criptográficos Verba y Verba-O. La singularidad de este producto radica en el hecho de que las funciones de cifrado y firma de texto simplemente se incluyen en las funciones de los modernos editor de texto... En este caso, el cifrado y la firma de un documento pasan de procesos especiales a acciones estándar cuando se trabaja con un documento.

En este caso, el sistema "Lexicon-Verba" parece un editor de texto normal. Las capacidades de formato de texto incluyen personalización completa fuentes y párrafos del documento; tablas y listas; encabezados y pies de página, notas al pie, barras laterales; uso de estilos y muchas otras funciones de un editor de texto responsable requisitos modernos... "Lexicon-Verba" le permite crear y editar documentos en los formatos Lexicon, RTF, MS Word 6/95/97, MS Write.

Lugar de trabajo autónomo.

El CIPF "Lugar de trabajo autónomo" se implementa sobre la base de CIPF "Verba" y "Verba-O" para Windows 95/98 / NT y permite al usuario realizar las siguientes funciones en un modo interactivo:

cifrado / descifrado de archivos en claves; cifrado / descifrado de archivos con contraseña; colocar / eliminar / verificar firmas digitales electrónicas (EDS) debajo de los archivos;

escaneo de archivos encriptados;

Fijación EDS + cifrado (en una sola acción) de archivos; descifrado + eliminación de EDS (en una acción) debajo de los archivos;

calcular un archivo hash.

Es recomendable utilizar CIPF "Lugar de trabajo autónomo" para el trabajo diario de los empleados que necesitan proporcionar:

transferencia de información confidencial a en formato electrónico por mensajería o mensajería;

envío de información confidencial a través de la red pública, incluido Internet;

protección contra el acceso no autorizado a información confidencial en Computadoras personales empleados.

Valery Konyavsky
Director científico de VNIIPVTI,
consultor científico de OKB CAD

Cualquier operación con un número aleatorio dará un número aleatorio. Una secuencia aleatoria, doblada con texto plano, dará un criptotexto aleatorio. Cómo mejor calidad gama, menos posibilidades de descifrar el criptotexto. Si la gama es realmente aleatoria, el criptotexto no se puede descifrar.

Cifrado Vernam

Los medios de protección criptográfica de la información (CIP) se pueden dividir en medios de cifrado y medios de firma electrónica (SES).

Transferir la gama en forma de enormes bobinas de cinta perforada no era muy conveniente y bastante costoso. Por tanto, en ocasiones hubo problemas con su reutilización y, por tanto, con fugas de información importante.

Para no transmitir bobinas de cinta perforadas a través de canales costosos, idearon formas de generar un rango largo a partir de una clave aleatoria, pero corta. En ese momento, era más fácil transmitir una clave aleatoria corta que una larga.

Herramientas de protección de información criptográfica certificadas

Con la llegada de los medios de almacenamiento modernos, la situación ha cambiado drásticamente y ahora no hay problema para fabricar y transferir gigabytes de gama, si tan solo el DSH es bueno. Los generadores de software de una secuencia pseudoaleatoria (PSP) pueden usarse aquí solo por desesperación de que no haya un buen generador físico.

Los estándares criptográficos definen secuencias de operaciones que permiten buena llave recibir texto plano cifrado de forma segura. En este caso, sin embargo, las claves deben hacerse con buenos sensores.

El regulador establece las reglas, los laboratorios de pruebas verifican si los requisitos para las operaciones, las claves y la ausencia de influencia en estos procesos por otros procesos; así es como aparecen las herramientas certificadas de protección de la información criptográfica.

Cifrado y firma electrónica

Gamma debe tener las siguientes propiedades:

• ser verdaderamente aleatorio, es decir, formado por procesos físicos, analógicos y no digitales;
• tener el mismo tamaño que el texto sin formato especificado o superarlo;
• se aplica solo una vez para cada mensaje y luego se destruye.

Este cifrado se denomina cifrado Vernam, y es el único cifrado que tiene una fuerza criptográfica absoluta. No hay necesidad de demostrar su estabilidad ahora, como lo hizo K. Shannon en 1945. La gran longitud de la escala, su formación sobre la base de procesos físicos y destrucción garantizada: estas son las condiciones para la fuerza del cifrado.

El cifrado es necesario para que solo aquellos que puedan tener acceso a la información. EP se utiliza para fijar la expresión de la voluntad de una persona. Y si las herramientas de protección de la información criptográfica deben realizar correctamente las transformaciones criptográficas en un entorno verificado, entonces esto no es suficiente para una firma electrónica. Es necesario tomar todas las medidas para asegurar que la fijación sea libre expresión de la voluntad de una persona... A esto apunta FZ-63, por lo que uno de sus requisitos más importantes es el requisito para la correcta visualización del documento que firma la persona. Por lo tanto, a diferencia de CIPF, para los BOT calificados, se agregan controles de herramientas de visualización. Por supuesto, también se realizan todas las comprobaciones necesarias de los algoritmos criptográficos.

Al analizar este o aquel esquema de EDS, la pregunta suele plantearse de la siguiente manera: "¿Es posible captar rápidamente dos mensajes diferentes (significativos) que tendrán el mismo EDS". La respuesta aquí suele ser no. Si se utiliza una buena función hash para la que no se ha encontrado ningún mecanismo eficaz de detección de colisiones, tal ataque casi siempre está condenado al fracaso. Mikhail Gruntovich (ver p. 48) planteó la pregunta de otra manera: "¿Es posible, teniendo dos mensajes, elegir las claves de firma para que coincidan las firmas electrónicas?" ¡Y resultó ser extremadamente fácil de hacer!

El ataque de Gruntovich

Consideremos las condiciones específicas para la implementación de este ataque (en una versión muy simplificada) usando el ejemplo de una firma según el esquema de El-Gamal. La creencia en la solidez de este esquema se basa en la complejidad (hipotética) del problema del logaritmo discreto, pero no es el problema de las matemáticas discretas lo que se ataca aquí.

CIPF debería ser hardware. Deben contener un RNG físico de la calidad requerida y garantizar que no solo la clave de firma no sea recuperable, sino también otros elementos criptográficos que afecten la fuerza de los algoritmos.

Introduzcamos la siguiente notación:

• H - función hash criptográfica;
  Zn es un conjunto de números (0,1, ..., n - 1), n ​​es un número natural;
  a (mod p) es el resto de dividir un número entero a por un número natural p.

Para el esquema de generación de firmas de El Gamal:

• un número primo p de suficiente capacidad de dígitos es fijo y g es un elemento primitivo mod p;
• la clave de firma privada es cualquier número x de Zp.

Cálculo de la firma del mensaje m:

• se calcula el código hash h = H (m);
• se elige un número aleatorio k, coprime con p - 1: 1< k < p - 1;
• r = g k (mod p) se calcula;
• s = k -1 (h - xr) (mod p - 1) se calcula;
• la firma es el par c = (r, s).

Ahora veamos qué debe hacer un atacante para implementar un ataque. Debería generar códigos hash:

• h 1 = H (m 1), h 2 = H (m 2)

y firmas coincidentes con el mismo número aleatorio k:

• s = k -1 (h 1 - x 1 r) (mod p - 1) y
  s = k -1 (h 2 - x 2 r) (mod p - 1).

Esto significa que:

h 1 - x 1 r (mod p - 1) = h 2 - x 2 r (mod p - 1).

Algunas características a las que se debe prestar atención al utilizar CIPF.
1. Si la documentación del CIPF indica en qué sistema operativo se puede utilizar, entonces es necesario utilizarlo en este sistema. De lo contrario, incluso si la herramienta de protección de información criptográfica funciona, tendrá que realizar una investigación sobre la corrección de la integración de la herramienta de protección de información criptográfica conocida en el nuevo entorno. No es difícil (relativamente) para hardware CIPF, pero sí difícil para software.
2. Si el hardware CIPF no tiene un RSC verificado y no hay medios de autoprueba verificados (de lo contrario, no puede estar en el CIPF hecho en chips de tarjetas inteligentes universales), entonces preste atención a los documentos sobre incrustación y operación. Dado que la entropía debe agregarse desde algún lugar y deben realizarse pruebas, puede resultar que este CIPF se pueda usar de forma autónoma durante un tiempo muy corto, por ejemplo, durante dos o tres días. Esto no siempre es conveniente.
3. Si le ofrecen algún token y dicen que está certificado de acuerdo con la clase KC2 y superior, no lo crea. Lo más probable es que exista un requisito en la documentación para utilizar este token en un entorno protegido por cerradura electronica... Sin esto, la clase no será superior a KC1.

Como puede ver, al elegir las teclas x 1 y x 2, de modo que se cumpla la condición anterior, las firmas coinciden, ¡a pesar de que los mensajes a firmar son diferentes! Tenga en cuenta que para calcular x 2 a partir de un x 1 conocido, los cálculos necesarios son mínimos en comparación con el problema del logaritmo discreto subexponencial.

Sin embargo, no todo da tanto miedo. El hecho es que los resultados obtenidos no desacreditan en modo alguno la actual fuerza criptográfica de EP... Muestran posible vulnerabilidad cuando aplicación errónea mecanismos de EP.

Este ejemplo demuestra claramente las vulnerabilidades que surgen de la implementación incorrecta del CIPF. El ataque descrito es posible si el usuario conoce su clave de firma y puede encontrar un número aleatorio.

Existe una forma radical de combatir este tipo de ataques: todo lo que necesita hacer es tener un dispositivo en el que:

• se genera una clave de firma;
• se calcula la clave de verificación de firma;
• Llave pública exportados, incluso para la certificación en un centro de certificación;
• la clave de firma se usa para generar ES solo dentro del dispositivo, ¡su exportación es imposible! Recientemente, estos dispositivos se han denominado dispositivos clave irrecuperables;
• el número aleatorio nunca aparece en el entorno informático, se genera y se destruye después de ser aplicado dentro del dispositivo.

A partir de aquí está claro que la opción más confiable es el BOT y SKZI, fabricados en forma de equipo. En este caso, se puede garantizar una calidad suficiente de RNG y la confiabilidad del almacenamiento de la clave de firma.

Cifrado

Volvamos ahora al cifrado y hablemos de cuándo y por qué deberían utilizarlo tanto personas físicas como jurídicas.

Primero, resaltemos los principales tipos de encriptación, y estos son suscriptor y canal. Como sugieren los nombres, en el caso del cifrado de abonado, el abonado primero cifra la información (archivo, documento) y luego, en forma cerrada, la transmite al canal. Con el cifrado de canal, el canal en sí está protegido por métodos criptográficos y el suscriptor no tiene que preocuparse por cifrar la información antes de transmitirla por el canal. Si el canal es un enlace punto a punto, se utilizan codificadores de canal. Si el canal no son cables, sino una estructura activa como Internet, entonces no todo debe estar encriptado, sino solo los datos. Las direcciones no se pueden distorsionar, de lo contrario, los paquetes simplemente no llegarán al destinatario. Utiliza mecanismos de red privada virtual (VPN). Los protocolos más famosos son IPsec y SSL. Casi todas las VPN del mercado implementan uno de estos protocolos.

VPN

Para elegir conscientemente una u otra herramienta, debe comprender en qué se diferencian y qué dificultades tendrá que enfrentar en la etapa de uso de estas herramientas. Esto es lo que al menos debe tener en cuenta:

• Se debe utilizar la protección criptográfica de los canales si existe la amenaza de que los datos que está transmitiendo sean tan interesantes para un intruso que se unirá al canal y "escuchará" todo su intercambio. Por supuesto, debe comenzar a proteger los canales después de que la red interna esté protegida de manera confiable, ya que una persona con información privilegiada suele ser más barata que un ataque a un canal; 1 ambos protocolos: estos protocolos no están diseñados para la interacción de clientes, sino de redes, por lo que son difíciles de configurar. Por lo tanto, los controles de seguridad de la red son críticos y deben elegirse primero;
• en la pila de protocolos TCP / IP, IPsec funciona a nivel de IP y SSL funciona a nivel de TCP. Es decir, si IPsec proporciona protección a nivel de sistema, entonces SSL, a nivel de aplicación. Dado que IPsec funciona significativamente "más bajo", por lo tanto, se "encapsula" en el área de protección significativamente más protocolos que SSL, que sin duda es mejor;
• Al operar una VPN, su principal preocupación es la administración de claves. Las claves deben emitirse de manera oportuna, cambiarse; en una palabra, deben administrarse. Cada CIPF tiene su propio sistema de generación y gestión de claves. Si ya está usando alguna sistema de llaves, sigue usándolo. No inicie un "zoológico" - es difícil mantener incluso un sistema, e incluso varios - una tarea casi imposible;
• si su tarea está relacionada con la provisión de la actividad de muchos objetos de informatización distribuidos en el espacio, utilice una VPN. Esto se aplica sólo a aquellos objetos entre los que existe una intensa interacción de información con los datos protegidos, que pueden ser de interés para el intruso para que esté listo para "escuchar" los canales. Si no todo ha comenzado, intente limitarse a las herramientas de protección de la información criptográfica del suscriptor.

Suscriptor SKZI

Se caracterizan no por algoritmos (definidos por estándares), sino por utilidades que permiten aplicar estas herramientas de protección de la información criptográfica y las condiciones que deben cumplirse. Es deseable que el uso de estas herramientas sea conveniente.

Y lo más importante: recuerde la suficiencia de los medios de protección. No es necesario utilizar costosas herramientas de seguridad de la información criptográfica donde puede prescindir de ellas.

Y una cosa más: SKZI y EPT, que cumplen con todos los requisitos que comentamos, están ahí. Hasta la clase КВ2. No los nombro solo para que el artículo no se convierta en publicidad.

Literatura

1. Konyavsky V.A. Crimen informático. T. II. - M., 2008.
2. V.V. Yashchenko Introducción a la criptografía. Nuevas disciplinas matemáticas. - M., 2001.

Utilizar medios criptográficos El tema de la protección (SKZI) es muy controvertido y resbaladizo. Además, el Operador de PD tiene el derecho, en caso de amenazas urgentes, de utilizar herramientas de protección de la información criptográfica para garantizar la protección. Sin embargo, no siempre está claro cómo utilizar este derecho. Y ahora el FSB hace la vida más fácil, se ha publicado un documento de recomendaciones metodológicas que es aplicable tanto para los SI estatales como para todos los demás Operadores de DP. Echemos un vistazo más de cerca a este documento.

Y así sucedió, el 8o Centro FSB publicó describiendo recomendaciones en el desarrollo de actos legales regulatorios para la protección de datos personales. Al mismo tiempo, se recomienda que los operadores de ISPD utilicen el mismo documento al desarrollar modelos de amenazas privados.

Entonces, ¿qué piensa el FSB sobre cómo y dónde aplicar la protección de la información criptográfica?

Es lo suficientemente importante que este documento publicado únicamente en el sitio web del FSB,no tiene registroen el Ministerio de Justicia yno lleva la firma de nadiey- es decir, su importancia jurídica y vinculante permanece solo en el marco de las recomendaciones... Es importante recordar esto.

Echemos un vistazo al interior, el preámbulo del documento establece que las recomendaciones "Para los órganos ejecutivos federales ... otros órganos estatales ... que ... adoptan actos jurídicos normativos que definen amenazas a la seguridad de los datos personales que son relevantes para el procesamiento de datos personales en los sistemas de información de datos personales (en adelante, ISPDN) operados en la implementación de actividades relevantes "... Esos. Se da explícitamente una referencia a los sistemas de información gubernamentales.

Sin embargo, al mismo tiempo estas mismas normas “también es recomendable guiarse en el desarrollo de modelos de amenazas privadas operadores de sistemas de información de datos personales que han tomado una decisión sobre el uso de fondos protección de información criptográfica(en adelante, CIPF) para garantizar la seguridad de los datos personales ”. Esos. el documento en este caso se vuelve universal para todos los usuarios.

¿Cuándo es necesario utilizar CIPF?

El uso de herramientas de protección de la información criptográfica para garantizar la seguridad de los datos personales es necesario en los siguientes casos:

1. si los datos personales están sujetos a protección criptográfica de acuerdo con la ley Federación Rusa;
2. si en sistema de informacion existen amenazas que solo pueden neutralizarse con la ayuda de herramientas de protección de información criptográfica.

1. la transferencia de datos personales a través de canales de comunicación que no están protegidos de la interceptación de la información transmitida a través de ellos por el infractor o de influencias no autorizadas sobre esta información (por ejemplo, al transferir datos personales a través de redes de información pública y telecomunicaciones);
2. almacenamiento de datos personales en medios de almacenamiento, Acceso no autorizado a lo que por parte del infractor no se puede excluir utilizando métodos y métodos no criptográficos.

Y aquí es donde llegamos. Si el segundo punto también es bastante lógico, entonces el primero no es tan obvio. El caso es que según la versión actual de la Ley "Sobre Datos Personales" nombre, apellido y patronímico ya son datos personales. En consecuencia, cualquier correspondencia o registro en el sitio (teniendo en cuenta cuántos datos se requieren ahora durante el registro) cae formalmente bajo esta definición.

Pero como dicen, no hay reglas sin excepción. Hay dos tablas al final del documento. Aquí hay solo una línea Apéndice No. 1.

Amenaza actual:

1.1. realizar un ataque estando dentro del área controlada.

Justificación de la ausencia (la lista está ligeramente abreviada):

1. los empleados que son usuarios del ISPD, pero no son usuarios del ISPD, son informados sobre las reglas de trabajo en el ISPD y la responsabilidad por el incumplimiento de las reglas para garantizar la seguridad de la información;
2. Los usuarios de CIPF están informados sobre las reglas para trabajar en ISPD, las reglas para trabajar con CIPF y la responsabilidad por el incumplimiento de las reglas de seguridad de la información;
3. los locales en los que se encuentran los SKZI están equipados con puertas de entrada con cerraduras, lo que garantiza que las puertas del local estén cerradas permanentemente y abiertas solo para el paso autorizado;
4. se aprobaron las reglas de acceso a los locales donde se ubica el CIPF en horario laboral y no laboral, así como en situaciones de emergencia;
5. se aprobó la lista de personas que tienen derecho a acceder a las instalaciones donde se ubican los CIPF;
6. se realiza la delimitación y control del acceso de los usuarios a los recursos protegidos;
7. se lleva a cabo el registro y contabilidad de las acciones del usuario con PD;

8. en AWP y servidores en los que están instaladas las herramientas de protección de información criptográfica:

   se utilizan medios certificados para proteger la información del acceso no autorizado;
9. se utilizan medios de protección antivirus certificados.

Es decir, si los usuarios están informados sobre las reglas y responsabilidades, y se aplican medidas de protección, resulta que no hay nada de qué preocuparse.

• Para garantizar la seguridad de los datos personales durante su tratamiento en la ISPD, se deben utilizar herramientas de protección de la información criptográfica que hayan superado el procedimiento de evaluación de la conformidad de acuerdo con el procedimiento establecido.

Es cierto que justo debajo dice que se puede encontrar una lista de dispositivos de protección criptográfica certificados en el sitio web del FSB CLSP. Se ha dicho más de una vez que la evaluación de la conformidad no es una certificación.

• en ausencia del procedimiento para evaluar la conformidad del sistema de protección de la información criptográfica de la manera prescrita ... en la etapa del diseño preliminar o borrador del proyecto (croquis técnico), el desarrollador del sistema de información con la participación del El operador (persona autorizada) y el posible desarrollador del sistema de protección de la información criptográfica prepara una justificación de la viabilidad de desarrollar un nuevo tipo de sistema de protección de la información criptográfica y determina los requisitos para sus propiedades funcionales.

Esta es una muy buena noticia. El hecho es que Certificación el proceso es muy largo, hasta seis meses o más. Los clientes suelen utilizar los últimos sistemas operativos que no son compatibles con la versión certificada. De acuerdo con este documento, los clientes pueden utilizar productos que se encuentran en proceso de certificación.

El documento establece que:

Cuando se utilicen canales (líneas) de comunicación desde los que sea imposible interceptar la información protegida transmitida a través de ellos y (o) en los que sea imposible realizar influencias no autorizadas sobre esta información, en la descripción general de los sistemas de información, es necesario indicar:

1. descripción de métodos y formas de proteger estos canales del acceso no autorizado a ellos;
2. conclusiones basadas en los resultados de los estudios de seguridad de estos canales (líneas) de comunicación frente al acceso no autorizado a la información protegida transmitida a través de ellos por una organización habilitada para realizar dichos estudios, con referencia al documento que contiene estas conclusiones.

características de seguridad (confidencialidad, integridad, disponibilidad, autenticidad) que deben garantizarse para los datos personales tratados;

canales de comunicación (líneas) utilizados en cada subsistema o en el sistema de información en su conjunto, incluyendo sistemas de cable, y medidas para restringir el acceso no autorizado a la información protegida transmitida a través de estos canales de comunicación (líneas), indicando los canales de comunicación (líneas) en los que es imposible el acceso no autorizado a la información protegida transmitida a través de ellos, y las medidas implementadas para asegurar esta calidad;

los portadores de la información protegida utilizados en cada subsistema del sistema de información o en el sistema de información en su conjunto (con excepción de los canales de comunicación (líneas)).

Los requisitos de seguridad de la información en el diseño de sistemas de información indican signos que caracterizan las herramientas de seguridad de la información aplicadas. Están definidos por varios actos de reguladores en el campo de asegurar seguridad de información, en particular - FSTEC y FSB de Rusia. Qué clases de seguridad son, tipos y tipos de medios de protección, así como dónde aprender más sobre esto, se refleja en el artículo.

Introducción

Hoy en día, los problemas de seguridad de la información son objeto de especial atención, ya que las tecnologías introducidas en todas partes sin seguridad de la información se están convirtiendo en una fuente de nuevos problemas graves.

El FSB de Rusia informa de la gravedad de la situación: la cantidad de daño infligido por los ciberdelincuentes durante varios años en todo el mundo osciló entre $ 300 mil millones y $ 1 billón. Según la información proporcionada por el Fiscal General de la Federación de Rusia, solo en el primer semestre de 2017, el número de delitos en el campo de las altas tecnologías en Rusia aumentó seis veces, la cantidad total de daños superó los $ 18 millones. El crecimiento de ataques selectivos en el sector industrial en 2017 se observó en todo el mundo ... En particular, en Rusia, el aumento del número de ataques en relación con 2016 fue del 22%.

Las tecnologías de la información comenzaron a utilizarse como arma con fines militares-políticos, terroristas, para interferir en los asuntos internos de estados soberanos, así como para cometer otros delitos. La Federación de Rusia aboga por la creación de un sistema internacional de seguridad de la información.

En el territorio de la Federación de Rusia, los propietarios de información y los operadores de sistemas de información están obligados a bloquear los intentos de acceso no autorizado a la información, así como a monitorear el estado de seguridad de la infraestructura de TI de forma continua. Al mismo tiempo, la protección de la información está garantizada mediante la adopción de diversas medidas, incluidas las técnicas.

Las herramientas de seguridad de la información, o SZI, garantizan la protección de la información en los sistemas de información, que, de hecho, son una colección de información almacenada en bases de datos, tecnologías de la información, asegurando su procesamiento, y medios técnicos.

Los sistemas de información modernos se caracterizan por el uso de diversas plataformas de hardware y software, la distribución territorial de componentes, así como la interacción con redes abiertas transmisión de datos.

¿Cómo proteger la información en tales condiciones? Los requisitos pertinentes son realizados por organismos autorizados, en particular, la FSTEC y la FSB de Rusia. En el marco del artículo, intentaremos reflejar los principales enfoques para la clasificación de los sistemas de seguridad de la información, teniendo en cuenta los requisitos de estos reguladores. Otras formas de describir la clasificación de los sistemas de seguridad de la información, reflejadas en los documentos reglamentarios de los departamentos rusos, así como en las organizaciones y agencias extranjeras, están más allá del alcance de este artículo y no se consideran más.

El artículo puede ser útil para principiantes en el campo de la seguridad de la información como fuente de información estructurada sobre cómo clasificar los sistemas de seguridad de la información en base a los requisitos de la FSTEC de Rusia (en mayor medida) y, en definitiva, el FSB de Rusia. .

La FSTEC de Rusia (anteriormente la Comisión Técnica Estatal dependiente del Presidente de la Federación de Rusia, la Comisión Técnica Estatal) es la estructura que determina el procedimiento y coordina las acciones para brindar seguridad de la información con métodos no criptográficos.

Si el lector tuviera que ver el Registro Estatal de Medios Certificados de Seguridad de la Información, que está formado por la FSTEC de Rusia, entonces sin duda llamó la atención sobre la presencia en la parte descriptiva del propósito del sistema de seguridad de la información frases como “clase RD SVT ”,“ nivel de ausencia de NDV ”, etc. (Figura 1) ...

Figura 1. Fragmento del registro de ISS certificados

Clasificación de herramientas de seguridad de la información criptográfica

El FSB de Rusia define las clases de sistemas de seguridad de la información criptográfica: KS1, KS2, KS3, KV y KA.

Las principales características de los dispositivos de seguridad de la información de clase KS1 incluyen su capacidad para resistir ataques llevados a cabo desde fuera del área controlada. Esto implica que la creación de métodos de ataque, su preparación e implementación se realiza sin la participación de especialistas en el desarrollo y análisis de sistemas de seguridad de la información criptográfica. Se supone que la información sobre el sistema en el que se utilizan los sistemas de seguridad de la información especificados se puede obtener de fuentes abiertas.

Si un sistema de seguridad de la información criptográfica puede resistir los ataques bloqueados por medio de la clase KC1, así como los llevados a cabo dentro del área controlada, entonces dicho sistema de seguridad de la información corresponde a la clase KC2. En este caso, se asume, por ejemplo, que durante la preparación de un ataque, podría estar disponible información sobre medidas físicas para proteger los sistemas de información, asegurar un área controlada, etc.

Si es posible resistir ataques en presencia de acceso físico a equipos informáticos con sistemas de seguridad de la información criptográfica instalados, se habla del cumplimiento de dichas herramientas con la clase KC3.

Si el sistema de seguridad de la información criptográfica resiste los ataques, en cuya creación participaron especialistas en el desarrollo y análisis de estos medios, incluidos los centros de investigación, fue posible realizar estudios de laboratorio de los medios de seguridad, entonces estamos hablando del cumplimiento de la HF. clase.

Si los especialistas en el uso del software del sistema NDV participaron en el desarrollo de métodos de ataque, la documentación de diseño correspondiente estaba disponible y había acceso a cualquier componente de hardware del sistema de seguridad de la información criptográfica, entonces la protección contra tales ataques se puede proporcionar por medio de de la clase CA.

Clasificación de los medios de protección de la firma electrónica

Los medios de firma electrónica, dependiendo de la capacidad para resistir ataques, generalmente se comparan con las siguientes clases: КС1, КС2, КС3, КВ1, КВ2 y КА1. Esta clasificación es similar a la discutida anteriormente para los sistemas de seguridad de la información criptográfica.

conclusiones

El artículo consideró algunos métodos de clasificación de los sistemas de seguridad de la información en Rusia, que se basan en el marco regulatorio de los reguladores en el campo de la seguridad de la información. Las opciones de clasificación consideradas no son exhaustivas. Sin embargo, esperamos que la información resumida presentada permita a un especialista principiante en el campo de la seguridad de la información navegar rápidamente.

Comentarios ...

Alexey, buenas tardes!
En la respuesta del 8º Centro, no se indica nada sobre la necesidad de utilizar herramientas certificadas de protección de información criptográfica. Pero hay "Recomendaciones metodológicas ..." aprobadas por el liderazgo del 8 ° Centro del FSB de Rusia con fecha 31/03/2015 No. 149/7/2 / 6-432, en el que hay tal párrafo en el segunda parte:

Para garantizar la seguridad de los datos personales durante su procesamiento en ISPD, se deben utilizar herramientas de protección de la información criptográfica que hayan pasado el procedimiento de evaluación de la conformidad de la manera prescrita. La lista de CIPF certificados por el FSB de Rusia se publica en el sitio web oficial del Centro de Licencia, Certificación y Protección de Secretos de Estado del FSB de Rusia (www.clsz.fsb.ru). Información Adicional Se recomienda obtener información sobre herramientas específicas de protección de la información directamente de los desarrolladores o fabricantes de estas herramientas y, si es necesario, de organizaciones especializadas que hayan realizado estudios de caso de estas herramientas;

¿Por qué no es un requisito utilizar herramientas de protección de información criptográfica certificadas?

Existe una orden del FSB de Rusia de fecha 10 de julio de 2014 No. 378, en la cual el subpárrafo "d" del párrafo 5 establece: "el uso de protección de información significa que ha pasado el procedimiento para evaluar el cumplimiento de los requisitos de la legislación de la Federación de Rusia en el campo de la seguridad de la información, en el caso de que el uso de tales medios sea necesario para neutralizar las amenazas actuales ".

Un poco confuso es esto "cuando el uso de tales medios es necesario para neutralizar las amenazas actuales". Pero toda esta necesidad debe describirse en el modelo del intruso.

Pero en este caso, nuevamente en el apartado 3 de las "Recomendaciones Metodológicas ..." de 2015, se indica que "Cuando se utilicen canales (líneas) de comunicación desde los cuales sea imposible interceptar la información protegida transmitida a través de ellos y (o) en los que sea imposible realizar acciones no autorizadas para esta información, en la descripción general de los sistemas de información, es necesario indicar:
- una descripción de los métodos y formas de proteger estos canales del acceso no autorizado a ellos;
- conclusiones basadas en los resultados de los estudios de seguridad de estos canales (líneas) de comunicación frente al acceso no autorizado a la información protegida transmitida a través de ellos por una organización habilitada para realizar dichos estudios, con referencia al documento que contiene estas conclusiones ".

Tengo todo esto para qué: sí, no es necesario utilizar herramientas de protección de datos criptográficos siempre y en todas partes mientras se garantiza la seguridad del procesamiento de DP. Pero para esto, debe formar un modelo del delincuente, donde todo esto se describe y se prueba. Escribiste sobre dos casos en los que necesitas usarlos. Pero el hecho de que para garantizar la seguridad del procesamiento de DP a través de canales de comunicación abiertos, o si el procesamiento de estos DP va más allá de los límites del área controlada, puede utilizar herramientas de protección de información criptográfica no certificadas, no es tan simple. Y puede suceder que sea más fácil utilizar herramientas de protección de información criptográfica certificadas y cumplir con todos los requisitos para su funcionamiento y almacenamiento que utilizar herramientas no certificadas y a tope con un regulador, quien, ante tal situación, se esforzará mucho en pinchar. Su nariz.

Comentarios desconocidos ...

El caso en el que el uso de tales medios es necesario para neutralizar las amenazas actuales: el requisito de la Orden de la FSTEC de Rusia No. 17 del 11 de febrero de 2013 (requisitos para el estado y los municipios. ISPDN),

Cláusula 11. Para garantizar la protección de la información contenida en el sistema de información, se utilizan herramientas de seguridad de la información que han pasado la evaluación de conformidad en forma de certificación obligatoria para el cumplimiento de los requisitos de seguridad de la información de acuerdo con el artículo 5 de la Ley Federal del 27 de diciembre. , 2002 No. 184-FZ "Sobre reglamento técnico".

Alexey Lukatsky comenta ...

Proximo: Las recomendaciones del FSB son ilegítimas. La Orden 378 es legítima, pero debe considerarse en el contexto de toda la legislación, y dice que los detalles de la evaluación de la conformidad los establece el Gobierno o el Presidente. Ni uno ni el otro tal NPA emitió t

Alexey Lukatsky comenta ...

Anton: en el estado, el requisito de certificación está establecido por ley, la orden 17 simplemente los repite. Y estamos hablando de PD

Comentarios desconocidos ...

Alexey Lukatsky: Las recomendaciones del FSB son ilegítimas. 3D10437608% 40fsbResearchart.html), pero no sobre el documento de fecha 21 de febrero de 2008 No. 149 / 54-144.

Otro especialista también hizo previamente una solicitud al FSB sobre un tema similar, y le dijeron que la "Metodología ..." y las "Recomendaciones ..." del FSB de 2008 no deben usarse si se está hablando de estos documentos. . Pero nuevamente, estos documentos no han sido cancelados oficialmente. Y si estos documentos son legítimos o no, creo, lo decidirán los inspectores del FSB que ya están en el lugar durante la inspección.

La ley dice que es necesario proteger los datos personales. Los estatutos del Gobierno, FSB, FSTEK determinan exactamente cómo protegerlos. La NSA del FSB dice: "Use uno certificado. Si no quiere uno certificado, demuestre que puede usarlo. Y adjunte una opinión sobre esto de una empresa que tenga licencia para emitir tales conclusiones". Algo como esto...

Alexey Lukatsky comenta ...

1. Cualquier recomendación es una recomendación, no un requisito obligatorio.
2. El manual de 2015 no tiene nada que ver con los operadores de DP; se refiere a los estados que redactan modelos de amenazas para las instituciones subordinadas (teniendo en cuenta la cláusula 1).
3. El FSB no tiene derecho a realizar controles a los operadores comerciales de DP, y para los estados no vale la pena el tema del uso de herramientas de protección de información criptográfica no certificada - están obligados a usar soluciones certificadas, independientemente de la presencia de PD: estos son los requisitos de FZ-149.
4. Los estatutos dicen cómo proteger y eso está bien. Pero no pueden determinar la forma de evaluar los medios de protección; esto solo puede hacerlo el RLA del Gobierno o el Presidente. FSB no está autorizado para hacer esto

Comentarios desconocidos ...

Según el Reglamento 1119:

4. La elección de los medios de protección de la información para el sistema de protección de datos personales la realiza el operador de conformidad con los actos legales reglamentarios adoptados. Servicio Federal seguridad de la Federación de Rusia y el Servicio Federal de Control Técnico y de Exportación de conformidad con la Parte 4 del Artículo 19 de la Ley Federal "Sobre Datos Personales".
13.y. Uso de herramientas de seguridad de la información que hayan pasado el procedimiento para evaluar el cumplimiento de los requisitos de la legislación de la Federación de Rusia en el campo de la seguridad de la información, en el caso de que el uso de dichos medios sea necesario para neutralizar las amenazas actuales.

¿Cómo justificar la no relevancia de la amenaza al transmitir datos personales a través de los canales de un operador de telecomunicaciones?

Esos. si no es SKZI, entonces aparentemente,
- acceso a la terminal y clientes delgados, pero al mismo tiempo, los datos del sistema de seguridad de la información del terminal
el acceso debe estar certificado.
- protección de canales por parte del operador de telecomunicaciones, responsabilidad del operador de telecomunicaciones (proveedor).

Alexey Lukatsky comenta ...

El operador define la irrelevancia y no se necesita a nadie para ello.