Ртзи 2019 руководство по технической защите информации в вс рф

Гибридные способы ведения современных войн делают крайне важным обеспечение информационной безопасности вооруженных сил России. На смену войне горячего типа, предусматривающей прямые военные столкновения, приходит война гибридного характера, имеющая своей основной целью развитие гражданских войн и создание управляемого информационного хаоса на территории противника. Для этого используются все возможности – от хакерских атак на важнейшие системы жизнеобеспечения государства до целенаправленной работы СМИ.

Создание глобального пространства существенно усилило угрозы применения стратегическим противником или мировым терроризмом мер информационного характера как при разворачивании отдельных военно-политических операций, так и для развития своего стратегического потенциала в целом.

Защиту от угроз подобного характера требуют и сами вооруженные силы, и их личный состав, работа с которым средствами гибридной войны ведется в первую очередь.

Повышается и ценность информации. Степень ее защиты от преступных посягательств становится все выше, а возможностей по ее получению – все больше. Умение правильно управлять информационными массивами и их использованием становится важнейшей задачей, стоящей перед военнослужащими.

---

Управлять данными в информационной системе организации помогает DLP-система. «СёрчИнформ КИБ» реагирует на несоблюдение политик безопасности – правил обработки и использования конфиденциальной информации.

---

Типичные угрозы и их происхождение

Информационная безопасность вооруженных сил как важнейшего государственного института является и гарантией безопасности самого государства. Защита информационных ресурсов войск должна стать приоритетной задачей для специалистов по безопасности. Чтобы нейтрализовать угрозы наилучшим способом, необходимо их выявить и классифицировать по происхождению, характеру воздействия, степени опасности. Специалисты подразделяют виды источников угроз на две группы:

• внутренние;
• внешние.

Иногда в одном явлении можно обнаружить и внешние, и внутренние источники угроз. Это может происходить в случае, когда направленное воздействие, имеющее внешний источник происхождения, транслируется через операторов, находящихся в стране. Сегодня такие подразделения имеют в своем распоряжении серьезные электронные средства распространения информационных потоков, иногда они привлекают к работе и профессиональных хакеров, и волонтеров из числа российских граждан.

Внутренние источники угрозы

Одним из основных источников угроз информационного характера является напряжение или дестабилизация социально-политической обстановки в местах расположения вооруженных сил. Создание искусственно накаленной атмосферы, провокация конфликтов личного состава с местным населением, иногда даже беспорядки, вызванные направленным информационным воздействием, становятся серьезными угрозами стабильности ситуации в военной части и в войсках в целом. Такие ситуации происходили и происходят на Кавказе, на российских базах, находящихся в странах СНГ, в других регионах. Противостоять им можно, только проводя целенаправленную психологическую и воспитательную работу с личным составом, при параллельном контакте с региональными властями с целью недопущения провокационной работы СМИ и других источников распространения информационных атак.

Важной угрозой является направленное воздействие на моральный дух войск путем фальсификации фактов военной истории, усиления социального напряжения, попытка задействовать личный состав в развитии политических конфликтов. Виновником возникновения таких угроз информационного характера наиболее часто становятся средства массовой информации, нацеленные на создание напряженной обстановки. В ряде случаев даже контакты личного состава с представителями прессы могут стать способом специальной обработки, которая приведет к возможной потере боевого духа.

Иногда мерами подобного воздействия достигаются не только психологические срывы, которые приводят к воинским преступлениям или дезертирству, но и создание групп внутри войск, имеющих своей целью намеренный подрыв обороноспособности страны. Серьезной угрозой информационной безопасности армии может стать и распространение радикального исламизма. Военнослужащий, прошедший специальную психологическую обработку, относит себя уже не к рядам армии, а к религиозной общине, и выполняет не приказы командования, а советы своих учителей. Такой боец становится серьезной угрозой информационной безопасности воинских частей, особенно находящихся в регионах с преимущественно мусульманским населением.

---

Политику безопасности для организаций военного сектора важно составлять с учетом актуальных угроз. Например, «СёрчИнформ КИБ» можно настроить на поиск в переписке, документах и браузерной истории ключевых слов, указывающих на интерес определенных сотрудников к экстремизму и терроризму. 

---

Технические угрозы информационного характера касаются как работы используемых в войсках информационных систем, включая системы управления, так и сохранности конфиденциальной информации, передаваемой по каналам военной связи. Виды технических угроз деятельности Вооруженных сил могут носить различный характер: от намеренного повреждения систем и похищения информации до халатности отдельных сотрудников. Мерами защиты в этом случае станут и наращивание уровня защищенности систем автоматизированного управления, и обучение личного состава необходимым требованиям, связанным с защитой информации. Стандарты безопасности определяются ГОСТами и другими методиками, разрабатываемыми и утверждаемыми на государственном уровне, но часто на практике происходит задержка с внедрением новых программных и технических средств, которые могут противостоять угрозам со стороны противника. Такая задержка обусловлена особенностями функционирования системы государственных заказов и сама по себе становится угрозой безопасности.

В рамках этого типа атак может быть рассмотрено и намеренное повреждение оборудования и линий связи, иногда возникающее и по вине личного состава, и по вине местного населения, и в результате направленной деятельности противника. Нарушение систем жизнеобеспечения военного корабля, вызванное халатностью или спланированными атаками, может привести к гибели экипажа. Контроль над сохранностью воинского оборудования – одна из важнейших задач, стоящая перед ответственными сотрудниками войск. Особенно серьезными могут быть проблемы с информационными системами на объектах космических войск или относящихся к ядерным. Нарушение систем управления космическим аппаратом из-за внедренного в программный продукт неэффективного кода часто приводит не только к финансовым потерям, но и к нарушению целостности системы безопасности страны. По одной из версий, высказанных на госкомиссии, крушение аппарата Фобос-Грунт было вызвано именно вторжением в системы управления.

Крайне важной становится и угроза внедрения ложной информации в системы отслеживания вероятного нападения. Риск срабатывания систем ПВО на ложную информацию, посланную противником намеренно, сохраняется. Мнимые угрозы в прошлом едва не привели к началу атомной войны, сейчас этот риск снижен, но он сохраняется.

Серьезной проблемой на сегодняшний день является и недостаточная разработка нормативно-правовой базы, касающейся защиты информации и работы с новыми угрозами. Большое количество явлений информационного пространства еще не было классифицировано и отражено в нормативных актах, в связи с чем затруднено применение мер ответственности за реализацию каких-либо действий или организацию деятельности, которая может нанести урон информационной безопасности вооруженных сил и военнослужащих. Но эти направления развиваются, принимаются нормативно-правовые акты, законодательно регламентирующие допустимость применения той или иной техники иностранного производства, например чипов, в оборудовании, которое поставляется в войска. Доктрина информационной безопасности России, принятая в этом году, оценила и описала все возможные типы угроз, теперь на ее основе создаются новые нормативные акты, разработанные правительством.

Внешние угрозы

К внешним источникам угроз следует отнести те, чье место дислокации находится вне территории России или ее союзников. Этот тип угроз отличается разнообразием, новые меры информационно-психологического воздействия на личный состав разрабатываются и применяются противником регулярно. При этом уже достаточно реальной угрозой становится использование новых видов информационного оружия, часть из которых направлена на выведение из строя информационных систем, а часть – на прямое психологическое воздействие на личный состав. При этом механизм действия такого оружия, по данным аналитиков, основан на применении ультразвука, электромагнитных полей, микроволн различного характера. Не исключено и использование медицинских и химических средств, которые помогут целенаправленно действовать на поведение военнослужащих в мирной и боевой обстановке. Такие средства ведения психологических операций могут быть применены в тех местах, где вооруженные силы России участвуют в текущих конфликтах. Пресса называет большое количество типов психологического оружия, но пока нет официального подтверждения их применения.

Не секрет, что в составе вооруженных сил стратегического противника или организаций мирового терроризма есть специальные подразделения информационно-психологического воздействия. Их деятельность изучается на уровне специализированных НИИ, и меры борьбы с новыми угрозами разрабатываются и активно внедряются в практику.

Часто применение целенаправленного информационного воздействия заранее тщательно подготавливается работой средств массовой информации. Военнослужащие обязаны уметь классифицировать и выявлять такие угрозы, для чего необходимо проводить соответствующую подготовку.

Серьезнейшей проблемой для безопасности становятся социальные сети, с помощью которых военнослужащие могут случайно выдать важную информацию. Одной из основных задач по защите безопасности государства должно стать выявление таких угроз и своевременное их устранение.

---

IMController – модуль «СёрчИнформ КИБ», который отслеживает переписку в социальных сетях и мессенджерах.    

---

Меры по обеспечению информационной безопасности

Меры, которые могут быть применены в целях защиты информации и обеспечения безопасности, также делятся на две группы:

• защита информационных систем от повреждения и информации от утечки и перехвата;
• защита психики личного состава от намеренного информационно-психологического воздействия.

Эти меры должны приниматься в совокупности, опираясь на все новейшие научные разработки и программные продукты.

Первая группа мер:

• защита объектов дислокации войск и расположенных в них АСУ и элементов компьютерной техники от огневого поражения или иного намеренного выведения из строя;
• защита систем от удаленного проникновения в них противника, в частности с установлением программных продуктов, обеспечивающих полную защиту периметра от проникновений, например, DLP-систем и SIEM-систем;
• защита информации, носящей характер государственной или военной тайны, от утечек или намеренного похищения;
• радиоэлектронная защита;
• использование защищенных моделей компьютеров и программных средств, которые не могут быть повреждены заранее созданными проблемами в их кодах;
• развитие средств электронной разведки;
• использование социальных сетей для намеренного дезинформационного воздействия на противника;
• защита систем связи.

Ко второй группе мер относится:

• предохранение психики войск от намеренного психологического воздействия;
• корректировка информации, транслируемой потенциальным противником.

Для разработки и реализации комплекса этих мер необходимо создание отдельных подразделений, действующих в сфере информационной безопасности.

Защита личного состава войск от направленного психологического воздействия

Морально-психологическое обеспечение войск включает в себя применение комплекса мероприятий, направленных на блокирование мер, применяемых в ходе гибридной войны. Сегодня существуют институты и мозговые центры, направившие все свои усилия на разработку различных способов воздействия на морально-психологическое состояние войск. В рамках этих исследований изучаются психология, психотроника, безопасность психоэнергетической деятельности.

Противостоять направленному информационно-психологическому воздействию командование Вооруженных сил предполагает следующими способами:

• проведение исследований способов направленного воздействия на психику;
• использование всех доступных видов психологической работы с военнослужащими,
• проведение целенаправленных защитных мероприятий.

Все эти меры нужны для того, чтобы создать устойчивую защиту от информационного воздействия и готовность военнослужащего отсечь информацию, несущую признаки направленного воздействия в целях дестабилизации его морально-психологического состояния. Нападение противника не должно становиться причиной снижения боеспособности войск, их мотивации, подавления воли. Важным будет и проведение воспитательной работы, организация досуга войск.

Особенно важным становится контроль над теми военнослужащими, в чью зону ответственности входит работа со средствами связи, АСУ, передачей информации. Они наиболее вероятно станут мишенями для разработки противником.

---

Для контроля за доступом к секретным сведениям в «СёрчИнформ КИБ» предусмотрено разграничение ролей. Руководитель службы внутренней безопасности может ограничить доступ рядовых ИБ-сотрудников к определенным функциям системы, например, к просмотру отчетов.  

---

Меры превентивного воздействия

Предполагая, какой именно комплекс мер будет использовать потенциальный противник, необходимо применять и средства нападения, чтобы блокировать его возможности. Могут быть произведены такие действия, как:

• намеренное введение противника в заблуждение касательно предполагаемых мер и способов борьбы с угрозами информационной безопасности;
• уничтожение средств связи и информационных систем;
• внесение намеренных искажений в работу информационных систем противника;
• выявление точек поддержки противника, действующих на территории России, и их уничтожение;
• получение конфиденциальной информации о намерениях противника по снижению степени безопасности войск и использование этих сведений для формирования стратегий защиты;
• использование средств морально-психологического подавления информационных войск противника.

Информационное оружие

Как отдельное направление стратегии защиты рассматривается и разработка информационного оружия. Оно должно быть призвано не только отражать угрозы, но и предвосхищать их. Противник использует информационное оружие достаточно эффективно, как можно наблюдать на примере стран, охваченных военными конфликтами. Оружие применяется не только в зонах военных действий, но и в тех регионах, которым только предстоит стать очагами дестабилизации. Такой же и больший уровень действенности должно показать и аналогичное отечественное оружие. Возможность его использования не исключена и в ближайшем будущем.

Практически каждый объект армии сейчас находится в зоне возможного поражения, поэтому необходимо комплексно подходить к защите его безопасности. Решением этих задач государство занимается неуклонно и наращивает защитный потенциал. Разработка собственного программного обеспечения помогает избежать системных рисков, возникших, например, в Иране, когда программы, которые должны были управлять системами ПВО, отказались функционировать при начале военных действий. В них был заложен изначально неверный код.

Также собственные каналы передачи данных в Интернете должны обеспечить возможность коммуникации при нарушении архитектуры Всемирной сети.

Проекция задач на общество

Дополнительно следует учитывать, что меры защиты военной информации не всегда применяются при формировании документации, на базе которой создаются массивы данных военного ведомства. Утечки могут происходить на уровне транспортных компаний, научных институтов, сервисных служб. Поэтому безопасность в полном объеме должна создаваться и на этих этапах. Отсутствие должного контроля над поставщиками и подрядчиками приводит к тому, что в войска поставляется оборудование, которое допускает удаленный доступ со стороны потенциального противника. О таких ситуациях уже писала пресса. В ряде случаев использование таких устройств запрещено законодательно, но пока не все техническое оснащение армии было модернизировано.

Серьезная уязвимость систем АСУ армии возникает и из-за передачи информации закрытого характера по открытым линиям связи, что иногда позволяют себе гражданские специалисты. Эта угроза должна быть устранена максимально оперативно.

Угрозы возникают и при распространении частными лицами случайно полученных ими сведений в социальных сетях. Такие риски блокируются только разъяснительной работой с населением, так как ситуации с возбуждением уголовных дел по статье «Государственная измена» за пост в Сети не являются достойной превентивной мерой.

Комплексный подход к обеспечению информационной безопасности Вооруженных сил и личного состава должен обеспечить укрепление обороноспособности России. Опираясь на Доктрину информационной безопасности, можно разрабатывать новые комплексные способы борьбы с нарастающими угрозами.

• Требования ФСТЭК по защите информации
  • Меры по обеспечению информационной безопасности
  • Рекомендации по технической защите данных
• Документы ФСТЭК по защите данных
• Сертифицированные средства защиты ФСТЭК
  • Классы средств защиты данных
  • Госреестр средств защиты информации
  • Лицензирование деятельности по технической защите информации

ГК «Интегрус» помогает реализовать требования защиты информации ФСТЭК с учетом последних реальных моделей угроз. Сегодня информация является ценнейшим товаром, а множество массивов данных охраняются на законодательном уровне. На рынке информационной безопасности представлено большое количество программных и аппаратно-программных средств защиты данных (СЗИ) – отечественного и зарубежного производства.

Вопросы в области технической защиты информации в России регулирует Федеральная служба по техническому и экспортному контролю (ФСТЭК). Служба определяет классы защиты информации, разрабатывает рекомендации и требования по защите данных от несанкционированного доступа, проводит сертификацию средств по обеспечению безопасности сведений в информационных системах.  

Ведется государственный реестр сертифицированных средств защиты информации ФСТЭК России за № РОСС RU.0001.01БИ00. Также существует добровольная сертификация средств технической защиты информации, например, Certified by AM Test Lab, сертификатами которых отмечены такие продукты как Kaspersky Industrial CyberSecurity for Networks, Solar Dozor UBA, Indeed PAM, DLP-система СёрчИнформ КИБ и многие другие.

Требования ФСТЭК по защите информации

Документация государственного регулирования устанавливает минимальные требования защиты от несанкционированного доступа к данным. Для противодействия киберугрозам ФСТЭК регулярно обновляет базу уязвимостей, вносит новые рекомендации в аттестацию, сертификацию оборудования, программного обеспечения.

Выполнение требований регулятора по технической защите информации обязательно при:

• оказании услуг информационной безопасности (ТЗКИ, СКЗИ);
• проведении работ по обеспечению государственной и банковской тайн;
• выполнении обязанностей оператора персональных данных (ПНд);
• передаче информации посредством сети Интернет.

Требования ФСТЭК по технической защите информации распространяются на:

• программное обеспечения и оборудование;
• внешние носители;
• средства связи и шифровки/дешифровки данных;
• операционные системы;
• прочие технические средства хранения, обработки, передачи сведений;
• персональные данные;
• специалистов по обеспечению информационной безопасности.

Так, в состав мер по защите персональных данных согласно требованиям ФСТЭК входят:

• использование системы идентификации и аутентификации (авторизации) субъектов, имеющих доступ к ПНд, и объектов ПНд;
• возможность ограничения и управления правами доступа к персональной информации;
• физическая и программная защита носителей информации;
• регистрация событий безопасности и ведение их журнала;
• применение средств антивирусной защиты;
• регулярный контроль защищенности ПНд;
• обнаружение и предотвращение вторжений, несанкционированного доступа;
• обеспечение доступности хранимых сведений, их и информационной системы, базы данных доступности;
• соблюдение требований по защите среды виртуализации, технических средств, информационной системы (ИС), ее средств, каналов и линий связи и передачи данных.

Также требованиями ФСТЭК России по защите персональных данных предусмотрено наличие возможности управления конфигурацией ИС, своевременного выявления инцидентов, способных привести к сбоям в работе ИС, возникновению угроз безопасности ПНд.

Требования ФСТЭК к специалистам по защите информации включают в себя понимание:

• основных законодательных и нормативных актов в области информационной безопасности и защиты персональных данных;
• в области сертификации средств защиты информации;
• о государственной системе противодействия иностранным техническим разведкам.

К профессиональным знаниям специалистов относится:

• подготовка в части работы с каналами и линиями связи (предотвращение утечки информации);
• ориентация в сфере комплексных СЗИ;
• понимание основ методологии построения СЗИ;
• умение работать со средствами контроля защищенности баз данных (БД) и т.д.

С полным перечнем требований к профессиональной подготовке специалистов в сфере защиты информации можно ознакомиться здесь.

Требования ФСТЭК по защите конфиденциальной информации направлены на исключение неправомерного доступа, копирования, передачи или распространения сведений. Для обеспечения требований по безопасности конфиденциальной информации проводится оценка возможных уязвимостей ИС для внешних и внутренних нарушителей, возможных средств реализации этих уязвимостей.

Меры по защите информации ФСТЭК

Меры защиты информации в информационных системах согласно требованиям ФСТЭК должны обеспечивать необходимый уровень безопасности при взаимодействии защищаемых ИС с другими ИС, при обработке и хранении информации. При этом предлагаемые на этапе проектирования меры должны быть реализуемы в конкретной ИС.

Методы и средства технической защиты информации подбираются с учетом структуры СЗИ, состава и мест размещения ее элементов. Если защищаемая ИС проектируется в составе центра обработки данных (ЦОД) рекомендуется использовать уже имеющиеся в ЦОД средства, меры защиты данных.

Выстраивание защиты в государственных информационных системах (ГИС) предполагает ряд нюансов:

1. К работе допускаются только компании, имеющие лицензию на деятельность по технической защите конфиденциальной информации;
2. Требования по охране данных и информации базируются на ряде ГОСТов.
3. Структурирование классов защиты информации для государственных учреждений – жесткое (всего три класса из семи возможных, используемых в работе частных операторов персональных данных).
4. Модели угроз основываются на документах и баз ФСТЭК.

Организационные мероприятия предотвращают неправомерные:

• доступ, хищение и распространение закрытых данных;
• уничтожение/изменение целостности данных;
• препятствие получению информации, нарушающее права пользователей.
• Важное значение имеет разработка пакета организационных и распорядительных документов для:
• регламентации процесса безопасности хранения данных;
• порядка выявления инцидентов безопасности;
• регламентации управления конфигурированием информационных систем по защите данных;
• установления методов мониторинга информсистем.

Существует регламентация разработки систем и введения их в эксплуатацию, разграничения уровней доступности, проведения проверок и анализ реакций, ответственных за организацию защиты специалистов. Лишь после проведения совокупности мероприятий информационная система аттестуется, вводясь в эксплуатацию.

Технические меры защиты обязывают госструктуры использовать сертифицированные средства, соответствующие классу защиты с функциями:

• идентификации, аутентификации;
• управления доступом к данным с возможностью контроля;
• ограничений по использованию программ;
• защиты всех информационных носителей;
• ведение регистрационного учета инцидентов в сфере безопасности;
• отслеживания вторжений извне;
• обеспечения целостности находящейся на хранении и обрабатываемой информации;
• защиты в облачной среде.

Для частных компаний это допустимо с более урезанным функционалом, используемым при обработке массива персональных данных.

Оставьте заявку на консультацию

Рекомендации ФСТЭК по защите информации

Методические рекомендации ФСТЭК по защите данных предусматривают использование:

• межсетевых экранов, фильтрующих информацию по установленным критериям;
• средств, направленных на обнаружение, нейтрализацию и анализ вторжений;
• антивирусных программ, выявляющих, блокирующих и нейтрализующих несанкционированные действия;
• доверенной загрузки;
• контроля за съемными носителями.

ФСТЭК рекомендует использовать такие методы по защите информации как контроль доступа к носителям данных и ИС (физический, аппаратный, программный и т.д.), шифрование передаваемых сведений.

Методические документы и приказы ФСТЭК по защите информации

Существует огромный перечень подзаконных актов и документов, определяющих порядок организации информационной защиты и позволяющих эффективно применять разработанную систему информационной безопасности.

Так, положения о защите технической информации разрабатываются организациями самостоятельно. Отдельные положения выносятся местными органами власти. ФСТЭК выпускает приказы, уточняющие требования в сфере защиты информации, например, Приказ ФСТЭК России от 23 марта 2017 г. N 49, от 15 февраля 2017 г. N 27 и т.д. – полный перечень документов ФСТЭК по технической защите информации можно уточнить здесь. Детальнее:

1. Приказы ФСТЭК по защите информации;
2. Положение ФСТЭК о защите информации;
3. Документы ФСТЭК по защите персональных данных базируются на Федеральном законе о персональных данных;
4. Одним из основных документов для операторов является положение о лицензировании технической защиты конфиденциальной информации.
5. Методические рекомендации и руководящие документов по технической защите информации.

Техническая защита информации затрагивает вопросы сбора, обработки, передачи, хранения, распространения информации с соответствующим классу защищенности обеспечением ее безопасности на предприятиях. Система документов по технической защите информации строится на основополагающих элементах:

• федеральное законодательство;
• распоряжения и указы Президента РФ;
• постановления правительства РФ;
• документация ФСБ, ФСТЭК, Роскомнадзора;
• общероссийские стандарты;
• документы руководящие, нормативно-методические.

Документы ФСТЭК по технической защите информации ложатся в основу проектирования и исполнения информсистем, защищенных от проникновения на любых уровнях. Вся документация размещается по мере обновления на официальном сайте и является обязательной к исполнению.

В нормативных руководящих документах ФСТЭК по защите информации содержатся принципы разноуровневой защиты по шкале важности сведений, степени конфиденциальности, предписаний по оценке защищенности от несанкционированных действий злоумышленников, регламенты работ для сотрудников сферы защиты данных.

Сертифицированные средства защиты ФСТЭК

Функции ФСТЭК в области сертификации средств защиты информации заключаются в:

• создании системы сертификации средств защиты информации в соответствии с требованиям по обеспечению информационной безопасности;
• формировании правил проведения сертификации средств защиты данных;
• аккредитации органов по сертификации и испытательных лабораторий и разработке правил аккредитации;
• выборе способов подтверждения соответствия СЗИ требования нормативных документов;
• выдаче сертификатов и лицензий на использование знаков соответствия;
• ведении государственного реестра участников сертификации и реестра сертифицированных средств защиты информации;
• осуществлении государственного надзора над соблюдением участниками правил сертификации, инспекционного контроля – над сертифицированными средствами защиты;
• рассмотрении апелляций по вопросам сертификации;
• утверждении нормативных документов с требованиями к средствам и системам защиты информации, методических документов по проведению испытаний.

Также ФСТЭК исполняет функции центрального органа системы сертификации средств защиты информации (либо может делегировать их другой организации по необходимости). ФСТЭК может приостанавливать или отменять действие сертификатов.

Система сертификации средств защиты информации ФСТЭК включает в себя органы по сертификации (работающие с определенными видом продукции), испытательные лаборатории. В структуру системы сертификации ФСТЭК также входят заявители (предприятия, организации, компании) и центральный орган, в роли которой выступает сама ФСТЭК.

Классы средств защиты информации ФСТЭК

Регулятор выделил семь классов защищенности, где первый класс соответствует наивысшей степени защиты, а седьмой (для госструктур – третий) является низшей. Комплекс требований по защите средств вычислительной техники и автоматизированных систем формируют градацию классов.

Сертификаты соответствия ФСТЭК России на средства защиты информации подтверждают, что организация соответствует действующим нормативно-правовым актам РФ и имеет высокий уровень защищенности от кибер-угроз. Выбор оптимального защитного средства зависит напрямую от класса системы. В ситуациях значительного превышения стоимости программного обеспечения нужного класса допустимо, согласовав с территориальным органом ФСТЭК, устанавливать иные средства защиты.

Госреестр средств защиты информации ФСТЭК России

Государственный реестр сертифицированных средств защиты информации ФСТЭК постоянно обновляется, находясь в открытом доступе. В нем содержится информация об аккредитациях, сертификатах (в т.ч. двойного назначения), лицензиях, разрешениях. Программы и средства информационной защиты в обязательном порядке проходят обязательную регистрацию, с занесением в реестр и выдачей сертификата.

Лицензирование деятельности по технической защите информации ФСТЭК

Лицензия ФСТЭК на техническую защиту конфиденциальной информации включает средства информационной защиты, их установку и эксплуатацию. Выдача предприятию лицензии для работы с конфиденциальными сведениями и по оказанию телематических услуг означает корректную работу системы безопасности данных на основе рекомендаций, требований, положений и приказов ФСТЭК.

Отказ от получения допуска чреват жесткими проверками с возможной приостановкой работы, отзывом разрешительных документов и административным наказанием.

Виды лицензий, связанных с деятельностью:

• по предотвращению утечек по различным каналам, бесконтрольного проникновения, видоизменения информации как в системах, так и помещениях, где они размещаются;
• на услуги мониторинга информбезопасности, аттестации на соответствие требованиям защиты информации, проектирования систем информатизации в защищаемых помещениях, монтажа, отладки, проведению испытаний и ремонтных работ;
• на разработку и производство средств безопасности;
• на выстраивание мероприятий по сохранности гостайны.

При оформлении лицензии используются только некриптографические методы.

Срок оформления лицензии составляет 30 дней, хотя зачастую готовое разрешение удается получить только спустя два месяца. Действие лицензии бессрочное.

ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ

ПРИКАЗ
от 28 мая 2019 г. N 106

О ВНЕСЕНИИ ИЗМЕНЕНИЙ
В ТРЕБОВАНИЯ О ЗАЩИТЕ ИНФОРМАЦИИ, НЕ СОСТАВЛЯЮЩЕЙ
ГОСУДАРСТВЕННУЮ ТАЙНУ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ
ИНФОРМАЦИОННЫХ СИСТЕМАХ, УТВЕРЖДЕННЫЕ ПРИКАЗОМ ФЕДЕРАЛЬНОЙ
СЛУЖБЫ ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ
ОТ 11 ФЕВРАЛЯ 2013 Г. N 17

В соответствии с частью 5 статьи 16 Федерального закона от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации» (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3448; 2014, N 30, ст. 4243) и подпунктом 9.1 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2005, N 13, ст. 1138; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818; 2013, N 26, ст. 3314; N 52, ст. 7137; 2014, N 36, ст. 4833, N 44, ст. 6041; 2015, N 4, ст. 641; 2016, N 1, ст. 211; 2017, N 48, ст. 7198; 2018, N 20, ст. 2818), приказываю:

1. Внести в Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденные приказом Федеральной службы по техническому и экспортному контролю от 11 февраля 2013 г. N 17 (зарегистрирован Министерством юстиции Российской Федерации 31 мая 2013 г., регистрационный N 28608) (с изменениями, внесенными приказом Федеральной службы по техническому и экспортному контролю от 15 февраля 2017 г. N 27 (зарегистрирован Министерством юстиции Российской Федерации 14 марта 2017 г., регистрационный N 45933), изменения согласно приложению к настоящему приказу.

2. Установить, что пункт 13 изменений, утвержденных настоящим приказом, вступает в силу с 1 июня 2020 г.

Директор
Федеральной службы по техническому
и экспортному контролю
В.СЕЛИН

1. Пункт 14.2 дополнить абзацем следующего содержания:

«Класс защищенности информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, <1> не должен быть выше класса защищенности информационно-телекоммуникационной инфраструктуры центра обработки данных.

———————————

<1> Пункт 5.3 Методических указаний по осуществлению учета информационных систем и компонентов информационно-телекоммуникационной инфраструктуры, утвержденных приказом Минкомсвязи России от 31 мая 2013 г. N 127 (зарегистрирован Минюстом России 5 ноября 2013 г., регистрационный N 30318), с учетом изменений, внесенных приказом Минкомсвязи России от 15 июня 2016 г. N 266 (зарегистрирован Минюстом России 14 июля 2016 г., регистрационный N 42853).».

2. Пункт 14.3 после абзаца третьего дополнить абзацем следующего содержания:

«При определении угроз безопасности информации в информационной системе, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, должны учитываться угрозы безопасности информации, актуальные для информационно-телекоммуникационной инфраструктуры центра обработки данных.».

3. Пункт 14.4 дополнить абзацем следующего содержания:

«В случае создания информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, дополнительно определяются требования по защите информации, подлежащие реализации в информационно-телекоммуникационной инфраструктуре центра обработки данных.».

4. Пункт 15.1 дополнить абзацем следующего содержания:

«При проектировании системы защиты информации информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, для блокирования актуальных угроз безопасности информации могут быть применены меры защиты информации, реализуемые в информационно-телекоммуникационной инфраструктуре центра обработки данных.».

5. Пункт 16.1 дополнить абзацем следующего содержания:

«Средства защиты информации, устанавливаемые в информационной системе, функционирующей на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, должны быть совместимы между собой, а также со средствами защиты информации, установленными в информационно-телекоммуникационной инфраструктуре центра обработки данных.».

6. Абзац второй пункта 17 после слов «должностными лицами» дополнить словом «(работниками)».

7. Пункт 17.2 после абзаца первого дополнить абзацем следующего содержания:

«По решению заказчика (оператора) аттестационные испытания могут быть совмещены с проведением приемочных испытаний информационной системы.».

8. Пункт 17.4 изложить в следующей редакции:

«17.4. Аттестат соответствия выдается на весь срок эксплуатации информационной системы. Оператор (обладатель информации) в ходе эксплуатации информационной системы должен обеспечивать поддержку соответствия системы защиты информации аттестату соответствия в рамках реализации мероприятий, предусмотренных пунктом 18 настоящих Требований.».

9. Абзац второй пункта 17.6 изложить в следующей редакции:

«В случае если информационная система создается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных уполномоченного лица, такая инфраструктура центра обработки данных должна быть аттестована на соответствие настоящим Требованиям.».

10. Пункты 18 — 18.4 изложить в следующей редакции:

«18. Обеспечение защиты информации в ходе эксплуатации информационной системы должно осуществляться оператором в соответствии с эксплуатационной документацией и организационно-распорядительными документами по защите информации и включать следующие мероприятия:

планирование мероприятий по защите информации в информационной системе;

анализ угроз безопасности информации в информационной системе;

управление (администрирование) системой защиты информации информационной системы;

управление конфигурацией информационной системы и ее системой защиты информации;

реагирование на инциденты;

информирование и обучение персонала информационной системы;

контроль за обеспечением уровня защищенности информации, содержащейся в информационной системе.

18.1. В ходе планирования мероприятий по защите информации в информационной системе осуществляются:

определение лиц, ответственных за планирование и контроль мероприятий по защите информации в информационной системе;

определение лиц, ответственных за выявление инцидентов и реагирование на них;

разработка, утверждение и актуализация плана мероприятий по защите информации в информационной системе;

определение порядка контроля выполнения мероприятий по обеспечению защиты информации в информационной системе, предусмотренных утвержденным планом.

План мероприятий по защите информации в информационной системе утверждается вместе с правовым актом органа исполнительной власти о вводе информационной системы в эксплуатацию.

Контроль выполнения мероприятий, предусмотренных планом мероприятий по защите информации в информационной системе, осуществляется в сроки, определенные указанным планом.

18.2. В ходе анализа угроз безопасности информации в информационной системе в ходе ее эксплуатации осуществляются:

выявление, анализ и устранение уязвимостей информационной системы;

анализ изменения угроз безопасности информации в информационной системе;

оценка возможных последствий реализации угроз безопасности информации в информационной системе.

Периодичность проведения указанных работ определяется оператором в организационно-распорядительных документах по защите информации.

18.3. В ходе управления (администрирования) системой защиты информации информационной системы осуществляются:

определение лиц, ответственных за управление (администрирование) системой защиты информации информационной системы;

управление учетными записями пользователей и поддержание в актуальном состоянии правил разграничения доступа в информационной системе;

управление средствами защиты информации информационной системы;

управление обновлениями программных и программно-аппаратных средств, в том числе средств защиты информации, с учетом особенностей функционирования информационной системы;

централизованное управление системой защиты информации информационной системы (при необходимости);

мониторинг и анализ зарегистрированных событий в информационной системе, связанных с обеспечением безопасности (далее — события безопасности);

обеспечение функционирования системы защиты информации информационной системы в ходе ее эксплуатации, включая ведение эксплуатационной документации и организационно-распорядительных документов по защите информации.

18.4. В ходе управления конфигурацией информационной системы и ее системы защиты информации осуществляются:

определение лиц, которым разрешены действия по внесению изменений в конфигурацию информационной системы и ее системы защиты информации, и их полномочий;

определение компонентов информационной системы и ее системы защиты информации, подлежащих изменению в рамках управления конфигурацией (идентификация объектов управления конфигурацией): программно-аппаратные, программные средства, включая средства защиты информации, их настройки и программный код, эксплуатационная документация, интерфейсы, файлы и иные компоненты, подлежащие изменению и контролю;

управление изменениями информационной системы и ее системы защиты информации: разработка параметров настройки, обеспечивающих защиту информации, анализ потенциального воздействия планируемых изменений на обеспечение защиты информации, санкционирование внесения изменений в информационную систему и ее систему защиты информации, документирование действий по внесению изменений в информационную систему и сохранение данных об изменениях конфигурации;

контроль действий по внесению изменений в информационную систему и ее систему защиты информации.

Реализованные процессы управления изменениями информационной системы и ее системы защиты информации должны включать процессы гарантийного и (или) технического обслуживания, в том числе дистанционного (удаленного), программных и программно-аппаратных средств, включая средства защиты информации, информационной системы.».

11. Дополнить пунктами 18.5 — 18.7 следующего содержания:

«18.5. В ходе реагирования на инциденты осуществляются:

обнаружение и идентификация инцидентов, в том числе отказов в обслуживании, сбоев (перезагрузок) в работе технических средств, программного обеспечения и средств защиты информации, нарушений правил разграничения доступа, неправомерных действий по сбору информации, внедрений вредоносных компьютерных программ (вирусов) и иных событий, приводящих к возникновению инцидентов;

своевременное информирование пользователями и администраторами лиц, ответственных за выявление инцидентов и реагирование на них, о возникновении инцидентов в информационной системе;

анализ инцидентов, в том числе определение источников и причин возникновения инцидентов, а также оценка их последствий;

планирование и принятие мер по устранению инцидентов, в том числе по восстановлению информационной системы и ее сегментов в случае отказа в обслуживании или после сбоев, устранению последствий нарушения правил разграничения доступа, неправомерных действий по сбору информации, внедрения вредоносных компьютерных программ (вирусов) и иных событий, приводящих к возникновению инцидентов;

планирование и принятие мер по предотвращению повторного возникновения инцидентов.

18.6. В ходе информирования и обучения персонала информационной системы осуществляются:

информирование персонала информационной системы о появлении актуальных угрозах безопасности информации, о правилах безопасной эксплуатации информационной системы;

доведение до персонала информационной системы требований по защите информации, а также положений организационно-распорядительных документов по защите информации с учетом внесенных в них изменений;

обучение персонала информационной системы правилам эксплуатации отдельных средств защиты информации;

проведение практических занятий и тренировок с персоналом информационной системы по блокированию угроз безопасности информации и реагированию на инциденты;

контроль осведомленности персонала информационной системы об угрозах безопасности информации и уровня знаний персонала по вопросам обеспечения защиты информации.

Периодичность проведения практических занятий и тренировок с персоналом, мероприятий по обучению персонала и контролю осведомленности персонала устанавливается оператором в организационно-распорядительных документах по защите информации с учетом особенностей функционирования информационной системы, но не реже 1 раза в два года.

18.7. В ходе контроля за обеспечением уровня защищенности информации, содержащейся в информационной системе, осуществляются:

контроль (анализ) защищенности информации с учетом особенностей функционирования информационной системы;

анализ и оценка функционирования информационной системы и ее системы защиты информации, включая анализ и устранение уязвимостей и иных недостатков в функционировании системы защиты информации информационной системы;

документирование процедур и результатов контроля за обеспечением уровня защищенности информации, содержащейся в информационной системе;

принятие решения по результатам контроля за обеспечением уровня защищенности информации, содержащейся в информационной системе, о необходимости доработки (модернизации) ее системы защиты информации.

Контроль за обеспечением уровня защищенности информации, содержащейся в информационной системе, проводится оператором самостоятельно и (или) с привлечением организации, имеющей лицензию на деятельность по технической защите конфиденциальной информации.

Периодичность проведения контроля за обеспечением уровня защищенности информации, содержащейся в информационной системе 1 класса защищенности, устанавливается оператором в организационно-распорядительных документах по защите информации с учетом особенностей функционирования информационной системы, но не реже 1 раза в год.

Периодичность проведения контроля за обеспечением уровня защищенности информации, содержащейся в информационных системах 2 и 3 классов защищенности, устанавливается оператором в организационно-распорядительных документах по защите информации с учетом особенностей функционирования информационных систем, но не реже 1 раза в два года.».

12. Дополнить пунктом 22.1 следующего содержания:

«22.1. В случае если меры защиты информации, реализованные в информационно-телекоммуникационной инфраструктуре центра обработки данных, обеспечивают блокирование угроз безопасности информации, актуальных для функционирующей на его базе информационной системы, принятие дополнительных мер защиты информации в данной информационной системе не требуется. При этом полномочия в части защиты информации должны быть распределены между оператором информационной системы и оператором информационно-телекоммуникационной инфраструктуры центра обработки данных.».

13. В пункте 26:

абзац пятый изложить в следующей редакции:

«В информационных системах 1 класса защищенности применяются сертифицированные средства защиты информации, соответствующие 4 или более высокому уровню доверия. В информационных системах 2 класса защищенности применяются сертифицированные средства защиты информации, соответствующие 5 или более высокому уровню доверия. В информационных системах 3 класса защищенности применяются сертифицированные средства защиты информации, соответствующие 6 или более высокому уровню доверия.»;

абзац шестой после слов «Классы защиты» дополнить словами «и уровни доверия».

14. Дополнить пунктом 26.1 следующего содержания:

«26.1. При проектировании вновь создаваемых или модернизируемых информационных систем, имеющих доступ к информационно-телекоммуникационной сети «Интернет», должны выбираться маршрутизаторы <2>, сертифицированные на соответствие требованиям по безопасности информации (в части реализованных в них функций безопасности).

———————————

<2> Пункт 4 главы II Классификации средств программного, технического обеспечения, работ и услуг (приложение N 2 к Методическим указаниям по осуществлению учета информационных систем и компонентов информационно-телекоммуникационной инфраструктуры, утвержденным приказом Минкомсвязи России от 31 мая 2013 г. N 127).».

Просмотров: 788

Важная информация

Информационное сообщение

В Министерстве обороны Российской Федерации во исполнение постановления Правительства Российской Федерации от 26 ноября 2021 г. № 2052 «Об утверждении Правил обращения со сведениями, составляющими служебную тайну в области обороны» издан приказ Министра обороны Российской Федерации от 17 января 2022 г. № 22 «Об утверждении Перечня сведений Вооруженных Сил Российской Федерации, подлежащих отнесению к служебной тайне в области обороны».

Данный приказ зарегистрирован в Министерстве юстиции Российской Федерации, опубликован на официальном интернет-портале правовой информации государственной системы правовой информации Министерства юстиции Российской Федерации (publication.pravo.gov.ru), размещен на официальном сайте Министерства обороны Российской Федерации (mil.ru) и вступил в действие с 12 марта 2022 г.

В переписке по вопросам сертификации средств защиты информации и лицензирования деятельности по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны, необходимо строго руководствоваться требованиями положений вышеуказанных постановления Правительства Российской Федерации и приказа Министра обороны Российской Федерации (выписка из Перечня сведений Вооруженных Сил Российской Федерации, подлежащих отнесению к служебной тайне в области обороны (далее – Перечень) прилагается).

При этом сообщается, что граждане Российской Федерации за разглашение информации ограниченного доступа несут административную ответственность, установленную статьей 13.14 Кодекса Российской Федерации об административных правонарушениях от 30 декабря 2001 г. № 195-ФЗ.

Выписка из Перечня в части вопросов сертификации средств защиты информации:

Сведения, составляющие служебную тайну в области обороны
№ п/п	Содержание
339	Сведения, содержащиеся в материалах сертификационных испытаний и раскрывающие состав, конфигурацию средств защиты информации, реализованные механизмы защиты информации от несанкционированного доступа в образцах ВВСТ, а также порядок их проверки.
340	Сведения, раскрывающие порядок проведения испытаний и оценки сертифицируемых образцов ВВСТ на соответствие требованиям безопасности информации.
343	Сведения, раскрывающие требования по защите информации, предъявляемые к создаваемым (модернизируемым) объектам информатизации или средствам защиты информации, а также содержание проводимых работ по созданию новых или модернизации существующих объектов информатизации, предназначенных для обработки служебной тайны в области обороны.
344	Сведения, раскрывающие перечни защищаемых ресурсов или параметры разграничения доступа к ним на объектах информатизации, а также состояние защищённости автоматизированных (информационных) систем, предназначенных для обработки информации, содержащей служебную тайну в области обороны.
345	Сведения, раскрывающие организацию или состояние защиты информации от несанкционированного доступа, иностранных технических разведок, утечки по техническим каналам, результаты выполнения, за исключением объектов информатизации, предназначенных для обработки сведений, составляющих государственную тайну.
346	Сведения, раскрывающие порядок настройки средств защиты информации и средств антивирусной защиты объектов информатизации, предназначенных для обработки информации, содержащей служебную тайну в области обороны.
348	Сведения, раскрывающие требования по безопасности информации, предъявляемые к образцам ВВСТ.
349	Сведения, раскрывающие организацию, обеспечение функционирования средств защиты информации от несанкционированного доступа на объектах информатизации, обрабатывавших информацию, содержащую служебную тайну в области обороны.
350	Сведения, раскрывающие организацию или состояние защиты информации, а также содержание мероприятий по обеспечению безопасности информации и результаты их выполнения на абонентских пунктах сети «Интернет».
352	Сведения, раскрывающие порядок устранения уязвимостей информационной безопасности и выпуска обновлений безопасности программного обеспечения автоматизированных (информационных) систем военного назначения.
353	Сведения, раскрывающие схему локальной вычислительной сети, предназначенной для обработки информации, содержащей служебную тайну в области обороны, и место размещения коммутационного оборудования воинской части.

Выписка из Перечня в части вопросов лицензирования деятельности по проведению работ, связанных с созданием средств защиты информации:

Сведения, составляющие служебную тайну в области обороны
№ п/п	Содержание
334	Совокупность сведений, раскрывающих содержание реестра организаций, имеющих лицензию Министерства обороны на проведение работ, связанных с созданием средств защиты информации, а также сертифицированных средств защиты информации Министерства обороны.
336	Сведения, раскрывающие результаты специальной экспертизы соискателя лицензии на вид деятельности в области защиты государственной тайны.
337	Сведения, раскрывающие содержание актов об устранении недостатков, выявленных при лицензировании деятельности воинских частей и организаций Вооруженных Сил в области защиты государственной тайны.

Выписка из Перечня в части вопросов лицензирования деятельности по проведению работ, связанных с использованием сведений, составляющих государственную тайну, и осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны:

Сведения, составляющие служебную тайну в области обороны
№ п/п	Содержание
333	Сведения, раскрывающие материалы по лицензированию и проведению специальной экспертизы воинских частей и организаций Вооруженных Сил на право проведения работ, связанных с осуществлением мероприятий и (или) оказанием услуг в области защиты государственной тайны, в части проведения специальных исследований технических средств, специальных проверок выделенных помещений, аттестации объектов информатизации по требованиям безопасности информации и контроля состояния технической защиты информации.
335	Сведения, раскрывающие содержание служебной переписки воинских частей и организаций Вооруженных Сил по проведению специальной экспертизы лицензиата (соискателя лицензии) на проведение работ, связанных с использованием сведений, составляющих государственную тайну, и с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны, и государственной аттестации его руководителя.
336	Сведения, раскрывающие результаты специальной экспертизы соискателя лицензии на вид деятельности в области защиты государственной тайны.
337	Сведения, раскрывающие содержание актов об устранении недостатков, выявленных при лицензировании деятельности воинских частей и организаций Вооруженных Сил в области защиты государственной тайны.
338	Сведения, раскрывающие содержание служебной переписки воинских частей и организаций Вооруженных Сил по вопросу подтверждения степени секретности сведений, с которыми предприятия, учреждения и организации предполагают проводить работы, связанные с использованием сведений, составляющих государственную тайну.