Проект требований по защите АСУ ТП и рекомендаций по обновлению СЗИ

ФСТЭК опубликовал информационное сообщение о подготовке проектов двух нормативных актов - "Требования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами (АСУ ТП) на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни" и "Рекомендации по обновлению сертифицированных средств защиты информации". 

Указанные проекты предлагается изучить экспертам и направить свои замечания до 20 февраля, контактные данные приведены в конце информационного сообщения. Давайте разберем представленные проекты.

РД НДВ - выполнение проверки "Контроль соответствия исходных текстов ПО его объектному (загрузочному) коду"

Давно собирался сделать две вещи - начать писать статьи про проведение сертификационных испытаний по "РД НДВ" и выложить какой-нибудь свой проект на GitHub, переведя его в open-source. Пришло время совместить приятное с полезным и сегодня я открываю цикл статей про сертификацию программного обеспечения на соответствие требованиям по уровням контроля отсутствия недекларированных возможностей.

Трактование мер по обеспечению безопасности персональных данных и ГИС

При составлении таблицы выполнения продуктами Код Безопасности мер по обеспечению безопасности персональных данных, у нас с коллегами то и дело разгорались споры по трактовке этих самых мер.

Берем, к примеру, одну из первых мер - ИАФ.2, которая звучит как "Идентификация и аутентификация устройств, в том числе стационарных, мобильных и портативных". Первый же вопрос - что такое мобильные и портативные устройства. Чем мобильные отличаются от портативных? Можем ли мы говорить, что ноутбук - это портативное устройство, а нетбук - мобильное? Никаких критериев и пояснений нет, значит - можем. Ставим уверенный плюс, даже если продукт работает только под Windows.

Идем дальше, ИАФ.5 - "Защита обратной связи при вводе аутентификационной информации", менеджеры продуктов предлагают варианты на перебой - подписывание авторизационного трафика при удаленном доступе, слежение за перехватом Windows API и детектирование кейлогеров при локальном вводе данных, использование токенов с PIN-кодами и так далее. А тут в твиттере выдвигают простое предположение:

И такие примеры можно привести практически по каждому пункту. Что делать интеграторам и разработчикам средств защиты? Моё мнение - трактовать меры по защите по своему усмотрению, по крайней мере, до выхода методических документов ФСТЭК, обещанных нам в конце этого года. Впрочем, правовой статус методических документов еще нужно будет выяснять, вполне возможно, что документы будут носить рекомендательный характер, если их обязательное применение не пропишут в очередном приказе ФСТЭК.

vGate Compliance Checker - обзор

В предыдущей заметке я поднял вопрос об аудите безопасности виртуальной инфраструктуры путем анализа конфигурации и мне поступило несколько вопросов по нашей бесплатной утилите vGate Compliance Checker.

vGate Compliance Checker позволяет быстро и просто проверить соответствие настроек виртуальной инфраструктуры требованиям отраслевых стандартов, рекомендаций и лучших практик. Поддерживается проверка ESX- и ESXi-серверов из состава VMware vSphere 4.1, VMware vSphere 5 и VMware vSphere 5.1. Предыдущая версия утилиты работает с ESX из состава VMware Infrastructure 3 и VMware vSphere 4.

Разъяснение действия ПП-266 - ответ СВР

В первой версии записи "Нужно ли использовать сертифицированные СЗИ в ИСПДн?" моего блога я рассматривал вопрос оценки соответствия СЗИ и апеллировал к постановлению Правительства №266 от 21.04.2010, в обсуждениях на площадке DLP-Expert эксперты убедили меня, что это постановление относится только к загранучреждениям. Однако я не поленился отправить запрос в правительство, который был перенаправлен в Службу внешней разведки:

Информационное сообщение ФСТЭК с разъяснениями по 17 и 21 приказам

ФСТЭК выпустила информационное сообщение от 15 июля 2013 г. N 240/22/2637 с разъяснением различных вопросов, касающихся 21 и 17 приказов ФСТЭК. В частности, даны разъяснения об указании уровня контроля отсутствия НДВ в сертификатах на СОВ/АВЗИ.

Краткое содержание данного информационного сообщения:

1. 21 приказ ФСТЭК вступил в силу со 2 июня 2013 г., 17 приказ вступает в силу с 1 сентября 2013 года. Переаттестация ИС не нужна.
2. При обработке ПДн в ГИС нужно руководствоваться 17 приказом, с учетом п. 27 этого приказа (соответствие мер по защите классов ГИС и уровней защищенности ПДн).
3. Оценка эффективности принимаемых мер по защите производится оператором или привлеченным лицензиатом, методики составляются на своё усмотрение, можно проводить оценку эффективности в виде аттестации по ГОСТ РО 0043-003-2012. Для ГИС - в рамках обязательно аттестации, методики - по ГОСТ РО 0043-004-2013.
4. Требования 17-го приказа распространяются на муниципальные ИС, если иное явно не предусмотрено законодательством.
5. СТР-К и РД АС не отменяются 17 приказом и продолжают действовать. СТР-К применяется для реализации мер по защите технических средств (ЗТС.1), остальное из СТР-К применяется по решению операторов, если это не противоречит 17 приказу.
6. В приказах ФСТЭК термин "информационная система" имеет то же значение, что и термин "автоматизированная система" (грубо говоря).
7. В сертификатах на СОВ и СрЗИ уровень контроля НДВ не указывается, но в ИСПДн и ГИС используется, подразумевая его наличие. Подробнее в моей заметке об указании уровня контроля отсутствия НДВ в сертификатах на СОВ/АВЗИ.
8. Дополнительные меры по нейтрализации 1 и 2 типов угроз выбираются оператором, но ФСТЭК планирует выпуск отдельных документов по вопросам тестирования на проникновение и защищенному программированию.
9. ФСТЭК завершает разработку методических документов по описанию содержания мер защиты и порядку моделирования угроз в ИСПДн и ГИС. Ориентировочный срок утверждения документов – IV квартал 2013 г.
10. ФСТЭК работает над методическими документами, определяющими порядок обновления ПО в аттестованных ИС, порядок выявления и устранения уязвимостей в
    ИС, порядок реагирования на инциденты.
11. Разъяснений ПП-1119 по определению типов угроз ПДн и порядка определения
    уровней защищенности от ФСТЭК не будет, разъяснить может только Правительство, у ФСТЭК нет полномочий.

Защищаем виртуальную инфраструктуру по требования 21 и 17 приказов ФСТЭК

Важность защиты виртуальной инфраструктуры не вызывает вопросов, список новых угроз, возникающих при переходе от физических серверов к виртуальным, обширен, и ФСТЭК впервые в 21 и 17 приказах не обошел эту проблему стороной. Давайте разберемся, какие средства защиты информации способны выполнить базовые меры из требований приказов ФСТЭК.

Рассмотрим базовые мерами по защите, указанные в 11 разделе "Защита среды виртуализации (ЗСВ)" таблицы из приложений к приказам ФСТЭК:

Заметка об указании уровня контроля отсутствия НДВ в сертификатах на СОВ/АВЗИ

Не раз уже приходилось слышать, что получившие недавно сертификаты на СОВ и АВЗИ продукты нельзя использовать в ИСПДн с высоким уровнем защищенности ПДн из-за отсутствия в сертификатах указания на проведение испытаний по уровню контроля отсутствия НДВ.
С одной стороны, если смотреть на 21-й приказ ФСТЭК, это действительно так:

Для обеспечения 1 и 2 уровней защищенности персональных данных, а также для обеспечения 3 уровня защищенности персональных данных в информационных системах, для которых к актуальным отнесены угрозы 2-го типа, применяются средства защиты информации, программное обеспечение которых прошло проверку не ниже чем по 4 уровню контроля отсутствия недекларированных возможностей.

Но текущая позиция ФСТЭК такова - в требованиях к СОВ и АВЗИ для каждого класса указан требуемый оценочный уровень доверия и уровень контроля отсутствия НДВ (уровни контроля соответствуют классу защиты, для 5-6 классов - требование не предъявляется).

При прохождении сертификационных испытаний проверки на отсутствие НДВ выполняются в полном объеме, в соответствии с "РД НДВ", однако по каким-то своим причинам в сертификат как отдельный тип испытаний результат данных проверок не вписываются. Таким образом, при наличии сертификата на СОВ/АВЗИ продукт считается прошедшим испытания на отсутствие НДВ по соответствующему классу, однако напрямую это нигде не написано.

Но, так как документального подтверждения факта прохождение проверки на отсутствие НДВ нет, как нет и официальных разъяснений от регулятора, использование СОВ и АВЗИ без сертификата на НДВ остается на страх и риск оператора.

Возможно, моя информация по данному вопросу является не полной, приглашаю к дискуссии в комментариях.

Корректировка записи об использовании сертифицированных СЗИ в ИСПДн

Как правильно подсказали коллеги в обсуждении на DLP-expert и в твиттере, я ошибся на счет применения постановления Правительства РФ № 266 от 21 апреля 2010 г., подробный анализ этого документа уже делался Алексеем Волковым и самую главную фразу:

"Организация и проведение обязательной сертификации продукции осуществляются в порядке, определяемом федеральным органом исполнительной власти, уполномоченным в области внешней разведки, в пределах его компетенции"

я ненамеренно пропустил. Поэтому предыдущий пост был откорректирован - ссылка на ПП-266 была убрана. Основным аргументом остается применение информационного сообщения ФСТЭК и постановления Правительства РФ № 330 от 15 мая 2010 г. с грифом ДСП, законность действия которого обосновал Михаил Емельянников в Facebook-комментариях на  DLP-expert:

...ПП-330 ... выпущено до ФЗ-261, устанавливающего обязательность опубликования, и вполне легитимно по этой причине.. 

Анализ документа RISSPA по проблемам выбора СЗИ для виртуализированных инфраструктур

Санкт-Петербургское отделение ассоциация профессионалов в области информационной безопасности RISSPA подготовило и опубликовало брошюру «Проблема выбора средств защиты информации для виртуализированных инфраструктур». Ознакомится с информационным сообщением и самой брошюрой можно на сайте RISSPA.

К сожалению, в документе есть ряд недостатков, о которых и хотелось бы написать.

Вводная часть документа выполнена неплохо, касаемо угроз виртуальной инфраструктуре, лучшими материалами по этой теме является корпоративный пост компании КРОК на Хабре и обзор на нашем сайте. Но, в целом, основные моменты указаны и в брошюре RISSPA.

Главная идея по защите виртуализации также отражена правильно:

 "Надежную систему защиты виртуализированной инфраструктуры необходимо строить сразу в нескольких направлениях: одновременно применять защитные механизмы, встроенные в платформу виртуализации, специализированные средства защиты, а также те средства защиты,которые уже используются в инфраструктуре компании."

Не забыли упомянуть и о разных классах средств защиты, но когда речь зашла непосредственно о СЗИ - всё смешалось в одну кучу, затруднив восприятие информации. В таблице, в которой перечислены средства защиты и выполняемые ими базовые меры, много несоответствий.Так, например, Cisco ASA 1000V являясь классическим межсетевым экраном ASA, адаптированным для виртуальной инфраструктуры, согласно таблицы  RISSPA обладает функциональностью по идентификация и аутентификация субъектов и объектов в виртуальной инфраструктуре, управляет перемещением виртуальных машин, контролирует целостность конфигурации и осуществляет резервное копирование данных. Аналогичная ситуация и с многими другими указанными в таблице СЗИ.  Конечно, в документе указано замечание, что таблица составлена на основе информации, предоставленной разработчиками средств защиты и разработчики ставили отметку, даже если средство "может участвовать в выполнении технической меры" или "может поддерживать выполнение технической меры", но это откровенное лукавство.

Отдельного внимания заслуживает и следующая фраза из брошюры:

"Необходимость использования сертифицированных средств защиты информации по-прежнему остается одним из самых спорных вопросов"

Ответ на этот вопрос совершенно однозначный, но почему-то эксперты продолжают считать его спорным.

Если рассматривать брошюру  RISSPA в целом - проделана хорошая работа по обобщению разрозненной информации и сделан еще один шаг в сторону популяризации необходимости защиты виртуальной инфраструктуры. Кроме того, теперь мы можем добавить новый значок в презентацию по vGate:

В ближайшее время я подготовлю статью со своими рекомендациями по выбору средств защиты виртуализации, подписывайтесь на обновления блога по RSS, читайте меня в Twitter.

Нужно ли использовать сертифицированные СЗИ в ИСПДн?

После выхода приказа ФСТЭК №21 от 18 февраля 2013 года эксперты приступили к обсуждению вопроса – обязательно ли использовать сертифицированные средства защиты информации (СЗИ) при создании системы защиты ИСПДн. Операторы персональных данных замерли в ожидании их решения. Но к единой точки зрения эксперты не пришли, поэтому я попробую еще раз разобраться в этом вопросе.

К сожалению, при написании 21 приказа специалисты ФСТЭК и приглашенные эксперты использовали следующую формулировку, которая и вызывает вопросы:

«4. Меры по обеспечению безопасности персональных данных реализуются в том числе посредством применения в информационной системе средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия, в случаях, когда применение таких средств необходимо для нейтрализации актуальных угроз безопасности персональных данных.»

По этому пункту приказа, однозначно не следует, что любые средства защиты информации должны быть сертифицированы, причем понимать вопроса сразу два. Во-первых, можно понимать данный пункт как карт-бланш на использование любых СЗИ, в том числе и сертифицированных, во-вторых, многие специалисты настаивают на мнении, что процедура оценки соответствия – это не обязательно сертификация по требованиям безопасности информации.

Для однозначного ответа на первый вопрос о необходимости использования только СЗИ, прошедших процедуру оценки соответствия,  достаточно обратиться к постановлению Правительства РФ № 1119 от 1 ноября 2012 г. "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных", в 13 пункте которого указано, что для обеспечения 4-го уровня защищенности ПДн необходимо выполнить следующее требование:

«г) использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз»

В остальные уровни защищенности ПДн это требования также входит. На основании этого пункта, обязательно применение СЗИ, прошедших процедуру оценки соответствия, для нейтрализации актуальных угроз. Неактуальные угрозы можно защищать любыми СЗИ, но неактуальные угрозы никто, как правило, не защищает.

Остается только вопрос о расшифровке термина "процедура оценки соответствия". Есть мнения, что оценкой соответствия может быть не только обязательная сертификация в системе сертификации ФСТЭК, но и декларирование соответствия (разработчиком СЗИ) или добровольная сертификация – в негосударственных системах сертификации.

Обратимся к истории, в отмененном постановлении Правительства РФ № 781 от 17 ноября 2007 г. было четкое указание, что оценка соответствия проводится с помощью экспертизы ФСТЭК или ФСБ. А вот в новом постановлении такого пункта уже нет, но сохраняет своё действие  постановление Правительства РФ № 330 от 15 мая 2010 г., выпущенное под грифом ДСП, которым было принято "Положение об особенностях оценки соответствия продукции (работ, услуг), используемой в целях защиты сведений, относимых к охраняемой в соответствии с законодательством Российской Федерации информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, а также процессов её проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации и захоронения.", в соответствии с которым оценка соответствия проводится в форме обязательной сертификации.

Дополнительные разъяснения по данному вопросу даны в информационном сообщении ФСТЭК № 240/24/1701 от 4 мая 2012 года, в котором однозначно указана позиция регулятора – СЗИ, используемые для защиты персональных данных, подлежат обязательной сертификации в системе сертификаии ФСТЭК на соответствия требованиям, установленным ФСТЭК.

Это должно развеять все сомнения и дать однозначный ответ - процедура оценки соответствия - это только сертификация по требованиям безопасности информации.