Система защищенного электронного документооборота

Явление, действие или процесс, результатом которых могут быть утечка, хищение, утрата, искажение, подделка, уничтожение, модификация, блокирование информации, определяются как факторы, воздействующие на информацию.

Основными видами угроз информационной безопасности организации являются: противоправные действия третьих лиц, ошибочные действия пользователей и обслуживающего персонала, отказы и сбои программных средств, вредоносные программные воздействия на средства вычислительной техники и информацию.

Кроме действий человека (умышленные, ошибочные или случайные) источниками угроз информационной безопасности являются сбои и отказы программных и технических средств вычислительной техники, техногенные катастрофы, акты терроризма, стихийные бедствия и др.

Понятие "утечка" связано только с информацией ограниченного доступа (конфиденциальной) и в общем случае трактуется как выход ее из сферы обращения. Под утечкой понимается несанкционированный доступ (НСД) к информации, т. е. доступ в нарушение правил разграничения доступа к информации, которые устанавливает обладатель конфиденциальной информации или автоматизированной информационной системы, в которой эта информация циркулирует. При этом рассматривается только доступ к информации посредством применяемых в автоматизированных системах информационных технологий и непосредственный доступ к носителям информации.

В отличие от утечки информации блокирование, модификация, искажение и уничтожение объекта защиты могут произойти как вследствие несанкционированного доступа человека к информации, циркулирующей в АИС, так и по причинам, не зависящим от человека. При этом искажение и уничтожение объекта защиты, например изменение или замена программ управления вычислительным процессом, также могут привести к утечке информации.

НСД не всегда влечет за собой утечку, блокирование, искажение или уничтожение объекта защиты, что. в свою очередь, нс всегда приводит к значимому ущербу. Тем нс менее НСД к информации определяется как основополагающий фактор нарушения информационной безопасности при рассмотрении проблем обеспечения зашиты информации и противодействия угрозам.

Угроза информационной безопасности может быть обусловлена только наличием уязвимостей объекта защиты. Уязвимость это свойство АИС или ее компонентов, используя которое реализуются угрозы. Уязвимость возникает в основном, из-за недоработок или ошибок, содержащихся в продуктах информационных технологий, а также вследствие ошибок при проектировании автоматизированных информационных систем, которые могут привести к поведению. неадекватному целям обеспечения се безопасности. Кроме того, уязвимости могут появляться в результате неправильной эксплуатации системы.

Для конкретной АИС как объекта защиты характерна своя совокупность угроз, зависящая от условий, в которых создается или функционирует система (табл. 1).

3. Основные требования и меры по защите конфиденциальной информации, циркулирующей в эксплуатируемой автоматизированной информационной системе

Организация защищенного взаимодействия систем МЭД и ВЭД предусматривает максимальное использование программно-технических средств и возможность поэтапного подключения. Для организации взаимодействия используются следующие компоненты:

· . существующие компоненты системы ВЭД и МЭД:

· . внедряемый компонент - шлюз системы МЭД (далее - шлюз), который является программно-техническим комплексом, выполняющим функции по обеспечению обмена электронными сообщениями с системой ВЭД и обеспечивающим хранение, просмотр, поиск и выгрузку (загрузку) электронных сообщений. Шлюз состоит из объединенных в локальную информационно-телекоммуникационную сеть сервера базы данных и автоматизированного рабочего места шлюза, в составе которого развертывается клиентское программное обеспечение комплекса программ "Почтовая служба системы".

Разрабатываемый компонент адаптер ВЭД, который является специализированным программным обеспечением, разрабатываемым для каждого типа ВЭД (адаптер системы предназначен для преобразования передаваемых или получаемых данных, входящих в состав электронных сообщений, в формат представления данных, используемый в системе ВЭД. или в стандартный формат данных при обмене электронными сообщениями".

Требования к шлюзу. Программно-технические средства шлюза должны обеспечивать выполнение следующих функций:

· отправку и прием электронных сообщений

· хранение документов в электронном виде и их реквизитов;

· поиск хранимых документов в электронном виде но их реквизитам и просмотр, как реквизитов, так и электронных образов документов;

· возможность выгрузки и загрузки документов и их реквизитов в электронном виде с использованием съемного носителя информации;

· обработка ошибок, протоколирование работы и минимальное разграничение доступа к данным и сервисам, предоставляемым шлюзом.

Требования к взаимодействию шлюза и адаптера системы ВЭД. Взаимодействие шлюза и адаптера системы ВЭД должно осуществляться с использованием сертифицированных средств защиты, обеспечивающих возможность обмена электронными сообщениями в автоматизированном режиме. При этом предусматривается размещение на технических средствах шлюза узла электронной почты, обеспечивающего передачу электронных сообщений участникам системы МЭД и между абонентами.

Требования к системе МЭД. Система должна обеспечивать:

· защищенный обмен электронными сообщениями между участниками системы МЭД;

· доставку электронных сообщений адресатам с отсылкой отправителю квитанций о времени их получения:

· целостность электронных сообщений:

· поддержку справочников (лиц подписывающих документы (код), подразделений (код), адресатов документов (код) и тд.);

· выгрузку электронных сообщений из комплекса программ "Почтовая служба" для последующей загрузки в систему ВЭД - получателей электронных сообщений:

· загрузку электронных сообщений из системы ВЭД в шлюз для последующей передачи адресатам с использованием комплекса программ "11очтовая служба".

Требования к системе ВЭД. Система должна обеспечивать возможность:

· хранения документов в электронной форме и их реквизитов:

· взаимодействия с адаптером системы ВЭД при отправке и приеме электронных сообщений.

Требования к информационной безопасности при организации взаимодействия системы МЭД с системой ВЭД. При организации взаимодействия указанных систем должна обеспечиваться антивирусная защита (ст. 9.8). Для защиты конфиденциальной информации должны использоваться сертифицированные по требованиям безопасности информации технические и (или) программные средства защиты информации. Автоматизированные рабочие места шлюза и выделенные персональные ЭВМ с адаптером системы ВЭД должны аттестовываться на соответствие требованиям технической защиты конфиденциальной информации. Требования по защите информации и мероприятия по их выполнению, а также конкретные средства защиты должны определяться и уточняться в зависимости от установленного класса защищенности на основании разрабатываемой модели угроз и действий нарушителя (см. разд. 2).

3.3 Основные меры по защите конфиденциальной информации

Защита информации АИС и самих систем различного уровня и назначения является неотъемлемой составной частью научной, производственной и управленческой деятельности организации - заказчика создания (эксплуатации) автоматизированной системы и осуществляется во взаимосвязи с другими мерами обеспечения зашиты информации.

Обеспечение защиты, соответствующей уровню информационной безопасности объекта защиты, содержащего конфиденциальную информацию, должно предусматривать комплекс организационных, программных, технических средств и мер по защите информации ограниченного доступа и распространения.

К основным мерам защиты информации с ограниченным доступом относятся:

· выделение конфиденциальной информации, средств и систем защиты информации или их компонентов, подлежащих защите на основе ограничительных перечней конфиденциальной документированной информации разрабатываемых в организации и в ее структурных подразделениях с учетом особенностей автоматизированной обработки информации, а также определение порядка отнесения информации к категории конфиденциальной;

· реализация разрешительной системы допуска исполнителей (пользователей, обслуживающего персонала, персонала других организаций) к работам, документам и информации с ограниченным доступом

· ограничение доступа персонала и посторонних лиц в помещения. где размещены средства информатизации и коммуникации, на которых обрабатывается (хранится, передается) конфиденциальная информация, непосредственно к самим средствам информатизации и коммуникациям;

· разграничение доступа пользователей и обслуживающего персонала к информации, программным средствам обработки (передачи) и защиты информации;

· учет документов, информационных массивов, регистрация действий пользователей АИС и обслуживающего персонала, контроль за санкционированным и несанкционированным доступом и действиями пользователей, обслуживающего персонала и посторонних лиц;

· надежное хранение традиционных и машинных носителей информации ключей (ключевой документации) и их обращение, исключающее их хищение, подмену, изменение (модификацию) и уничтожение;

· необходимое резервирование технических средств и дублирование массивов и носителей информации;

· использование сертифицированных средств защиты информации при обработке конфиденциальной информации ограниченного доступа;

· использование технических средств, удовлетворяющих требованиям стандартов по совместимости;

· проверка эффективности защиты технических средств и систем в реальных условиях их размещения и эксплуатации в целях определения достаточности мер защиты с учетом установленной категории;

· физическая защита помещений и собственно технических средств АИС с помощью сил охраны и технических средств, предотвращающих или существенно затрудняющих проникновение в здания, помещения посторонних лиц, хищение документов и информационных носителей;

· криптографическое преобразование информации, обрабатываемой и передаваемой средствами вычислительной техники и связи (при необходимости), определяемой особенностями функционирования конкретных автоматизированных систем:

· исключение возможности визуального (в том числе с использованием оптических средств наблюдения) несанкционированного просмотра обрабатываемой информации;

· предотвращение внедрения в автоматизированные системы программ-вирусов, программных закладок;

· использование волоконно-оптических линий связи для передачи конфиденциальной информации;

· использование защищенных каналов связи.

В целях дифференцированного подхода к защите информации, осуществляемого для разработки и применения необходимых и достаточных средств защиты информации, а также обоснованных мер по достижению требуемого уровня информационной безопасности, проводится классификация автоматизированных систем, обрабатывающих конфиденциальную информацию, либо разрабатываются профили защиты в соответствии с ГОСТ Р ИСО/МЭК 15408-1-2002 [152; 185]. Профиль защиты - это не зависящая от реализации совокупность требований безопасности для некоторой категории объекта оценки, отвечающая специфическим запросам потребителя.

Классификации подлежат все действующие, но ранее не классифицированные, а также разрабатываемые АИС, предназначенные для обработки информации с ограниченным доступом. Если система, классифицированная ранее, включается в состав вычислительной сети или системы и соединяется с другими техническими средствами линиями связи различной физической природы, то образующаяся при этом АИС более высокого уровня классифицируется в целом, а в отношении системы нижнего уровня классификация не производится.

Если объединяются автоматизированные системы различных классов защищенности, то интегрированная АИС должна классифицироваться по высшему классу защищенности входящих в нее систем, за исключением случаев их объединения посредством межсетевого экрана, когда каждая из объединяющихся автоматизированных систем может сохранять свой класс защищенности. Межсетевой экран представляет собой локальное (однокомпонентное) или функционально-распределительное средство (комплекс), реализующее контроль за информацией, поступающей в АИС и (или) выходящей из системы, и обеспечивающее ее защиту посредством фильтрации информации, т.с. ее анализа по совокупности критериев и принятия решения о ее распространении в (из) системы [198].

В соответствии с требованиями руководящих документов ФСТЭК России, конфиденциальная информация автоматизированной системы является объектом защиты. Определение объектов защиты проводится на на этапах проектирования и приемо-сдаточных испытаний системы, а также в ходе инвентаризации и доработок, аттестационных испытаний и других контрольных мероприятий, проводимых в процессе эксплуатации АИС.

Категории конфиденциальной информации как объекта защиты устанавливаются до начала ее автоматизированной обработки, с использованием документально оформленного Перечня конфиденциальной документированной информации (КДИ) организации (см. разд. 2.3). за исключением государственной тайны, подлежащей защите в соответствии с законодательством Российской Федерации. Этот Перечень может носить обобщающий характер в области деятельности организации или иметь отношение к какому-либо отдельному направлению работ, связанному с созданием АИС. Все исполнители и, при необходимости, представители сторонних организаций, привлекаемых к проведению работ с использованием сведений конфиденциального характера, должны быть ознакомлены с этим Перечнем. При отсутствии в организации Перечня КДИ допускается разработка специализированного перечня для конкретной АИС организации или системы структурного подразделения.

Для идентификации и кодирования конфиденциальной информации при ее структурировании, автоматизированной обработке, в том числе в системах управления базами данных (СУБД), предусмотрен Классификатор конфиденциальной информации организации.

Каждый реквизит таблицы базы данных, предназначенной для хранения конфиденциальной информации, должен иметь уникальный идентификатор.

В процессе автоматизированной обработки по завершении очередного установленного календарного периода (не менее года) эксплуатации организация (заказчик) организует определение текущего уровня защиты в целях контроля его соответствия требуемому уровню.

В организации разрабатываются документы (трудовые договоры. контракты, соглашения), регулирующие отношения между организацией работодателем и се работниками, организацией со сторонними организациями но порядку обращения с конфиденциальной информацией и ее обмена (приема-передачи) (см. гл. 4). Должностным лицам и работникам организации, использующим сведения конфиденциального характера, в организации обеспечиваются необходимые условия для соблюдения установленного порядка обращения с такой информацией при ее автоматизированной обработке.

Организация эксплуатации АИС и системы защиты информации в ее составе осуществляется в соответствии с установленным в организации порядком, в том числе в соответствии с инструкциями по эксплуатации системы защиты информации для пользователя, оператора, администратора системы, администратора безопасности.

Порядок обеспечения защиты информации в процессе эксплуатации, учитывающий особенности реализации АИС, технологии обработки информации и доступа исполнителей к ее техническим средствам, накопителям и носителям информации, определяется Инструкцией по защите информации организации, составленной на основании действующих документов ФСТЭК России, других стандартов и нормативных документов.

Ответственность за обеспечение защиты информации в процессе эксплуатации АИС возлагается на руководство эксплуатирующей организации и Службу безопасности или информационной безопасности. Подразделение информационной безопасности также может входить, как уже говорилось, в состав подразделения по информационным технологиям организации. Ответственность за соблюдение установленных требований по защите информации при разработке АИС возлагается на непосредственных исполнителей.

3.4 Особенности и основные требования защиты персональных данных в АИС

В соответствии со ст. 19 Федерального закона "О персональных данных" Правительство Российской Федерации своим постановлением [82] установило требования к обеспечению безопасности персональных данных при их обработке в информационных системах. На основе данного постановления ФСПОК России своим приказом [118] утвердило Положение о методах и способах защиты информации в информационных системах персональных данных, в котором не рассматриваются вопросы обеспечения безопасности персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну, а также вопросы применения криптографических методов и способов защиты информации. Анализ основных разделов и приложения данного Положения, показывает, что его можно применять не только для информационных систем персональных данных, но и для АИС, в которых циркулирует любая другая информация.

Работы по обеспечению безопасности персональных данных при их обработке в АИС являются неотъемлемой частью работ но созданию этих систем (см. разд. 4, а также ГОСТ 34.601 90 (180) и ГОСТ Р 51583-200011561).

Требования по обеспечению безопасности и защиты персональных данных при их обработке в АИС представляют собой совокупность персональных данных, содержащихся в базах данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации.

Под техническими средствами, позволяющими обрабатывать персональные данные, понимаются средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки персональных данных (средства и системы звукозаписи, звукоусиления, звуковые произведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации). программные средства (операционные системы, системы управления базами данных и др.). средства защиты информации, применяемые в АИС.

Безопасность персональных данных при их обработке в ЛИС обеспечивается с помощью системы защиты, включающей как организационные меры, так и технические, программные средства, которые должны удовлетворять устанавливаемым требованиям, обеспечивающим защиту информации. Средства защиты информации включают в себя также: шифровальные (криптографические) средства, средства предотвращения несанкционированного доступа и утечки информации по техническим каналам, средства предотвращения программно-технических воздействий на технические средства обработки персональных данных, а также информационные технологии, используемые в АИС персональных данных.

Для обеспечения безопасности персональных данных при их обработке в АИС, осуществляется защита речевой информации и информации, обрабатываемой техническими средствами, а также информации, представленной в виде информативных электрических сигналов, физических полей, носителей на бумажной, магнитной, магнитно-оптической и иной основе.

Обмен персональными данными при их обработке в АИС осуществляется но каналам связи, защита которых обеспечивается путем реализации соответствующих организационных мер и (или) применения технических средств.

Размещение информационных систем, специальное оборудование и охрана помещений, в которых ведется работа с персональными данными. соблюдения условий безопасности в этих помещениях должны обеспечивать сохранность носителей персональных данных и средств защиты информации, а также исключать возможность неконтролируемою проникновения или пребывания в этих помещениях посторонних лиц. Возможные каналы утечки информации при обработке персональных данных в информационных системах определяются ФСТЭК России, ФСБ России и ФСО России в пределах их полномочий [63-65].

Безопасность персональных данных при их обработке в АИС обеспечивает оператор или лицо, которому на основании договора оператор поручает обработку' персональных данных. Существенным условием договора является обязанность уполномоченного лица обеспечить конфиденциальность персональных данных и их безопасность при обработке в информационной системе.

При обработке персональных данных в ЛИС должны быть обеспечены:

· проведение мероприятий, направленных на предотвращение несанкционированного доступа к персональным данным и (или) передачи их лицам, не имеющим права доступа к такой информации;

· своевременное обнаружение фактов несанкционированного доступа к персональным данным:

· недопущение воздействия на технические средства автоматизированной обработки персональных данных, в результате которого может быть нарушено их функционирование;

· возможность незамедлительного восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

· постоянный контроль за обеспечением уровня защищенности персональных данных.

Мероприятия по обеспечению безопасности персональных данных при их обработке в АИС включают в себя:

· определение угроз информационной безопасности персональных данных при их обработке, формирование на их основе модели угроз

· разработку на основе модели угроз системы защиты персональных данных, обеспечивающей нейтрализацию предполагаемых угроз с использованием методов и способов защиты персональных данных, предусмотренных для соответствующего класса АИС

· проверку готовности средств защиты информации к использованию с составлением заключений о возможности их эксплуатации;

· установку - и ввод в эксплуатацию средств защиты информации в соответствии с эксплуатационной и технической документацией;

· обучение лиц, использующих средства защиты информации, применяемые в информационных системах, правилам работы с ними;

· учет применяемых средств защиты информации, эксплуатационной и технической документации к ним, носителей персональных данных

· учет лиц, допущенных к работе с персональными данными в АИС;

· контроль за соблюдением условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией;

· разбирательство и составление заключений по фактам несоблюдения условий хранения носителей персональных данных, использования средств защиты информации, которые могут привести к нарушению конфиденциальности персональных данных или другим нарушениям, приводящим к снижению уровня защищенности персональных данных, а также разработку и принятие мер по предотвращению возможных опасных последствии подобных нарушений;

· описание системы защиты персональных данных.

Для разработки и осуществления мероприятий по обеспечению безопасности персональных данных при их обработке оператором или уполномоченным лицом может назначаться структурное подразделение или должностное лицо (работник), ответственные за обеспечение безопасности персональных данных.

Должностные лица допускаются для выполнения служебных (трудовых) обязанностей к соответствующим данным на основании списка, утвержденного оператором АИС или уполномоченным лицом.

Запросы пользователей информационной системы на получение персональных данных, включая лиц, доступ которых необходим для выполнения служебных (трудовых) обязанностей, а также факты предоставления персональных данных по этим запросам регистрируются автоматизированными средствами системы в электронном журнале обращений. Содержание электронного журнала обращений периодически проверяется соответствующими должностными лицами (работниками) оператора или уполномоченного лица.

При обнаружении нарушений порядка предоставления персональных данных оператор или уполномоченное лицо незамедлительно приостанавливают предоставление персональных данных пользователям АИС до выявления причин нарушений и устранения этих причин.

Реализация требований по обеспечению информационной безопасности в средствах зашиты информации возлагается на их разработчиков.

В отношении разработанных шифровальных (криптографических) средств защиты информации, предназначенных для обеспечения безопасности персональных данных, проводятся тематические исследования и контрольные тематические исследования в целях проверки выполнения требований по безопасности информации. При этом под тематическими исследованиями понимаются криптографические. инженерно-криптографические и специальные исследования средств защиты информации и специальные работы с техническими средствами АИС. Конкретные сроки проведения контрольных тематических исследований определяются ФСБ России.

Результаты соответствия и (или) тематических исследований средств защиты информации, предназначенных для обеспечения безопасности персональных данных, оцениваются в ходе экспертизы, осуществляемой ФСБ России и ФСТЭК России в пределах их полномочий.

К средствам защиты информации, предназначенным для обеспечения безопасности персональных данных, прилагаются правила пользования этими средствами, согласованные с ФСБ России и ФСТЭК России в пределах их полномочий.

Средства защиты информации, предназначенные для обеспечения безопасности персональных данных, подлежат учету с использованием индексов или условных наименований и регистрационных номеров. Перечень индексов, условных наименований и регистрационных номеров определяется ФСБ России и ФСТЭК России.

Порядок разработки, производства, реализации и эксплуатации шифровальных (криптографических) средств защиты информации и предоставления услуг по шифрованию персональных данных при их обработке в информационных системах устанавливаются ФСБ России.

Автоматизированные информационные системы персональных данных должны классифицироваться операторами - государственными органами, муниципальными органами, юридическими или физическими лицами, организующими и (или) осуществляющими обработку' персональных данных, а также определяющими цели и содержите обработки персональных данных в зависимости от объема обрабатываемых ими персональных данных и угроз безопасности жизненно важным интересам личности, общества и государства. Порядок проведения классификации информационных систем персональных данных установлен совместно ФСТЭК России. ФСБ России и Министерством информационных технологий и связи Российской Федерации.

Проведение классификации АИС персональных данных включает в себя следующие этапы:

· сбор и анализ исходных данных по информационной системе:

· присвоение системе соответствующего класса и его документальное оформление [122; 166, 200].

При проведении классификации учитываются такие исходные данные как:

· категория обрабатываемых в системе персональных данных-Хпд

· объем обрабатываемых персональных данных (количество субъектов, персональные данные которых обрабатываются в системе) - Хнпд

· заданные оператором характеристики безопасности персональных данных, обрабатываемых в системе:

· структура системы;

· наличие подключения информационной системы к сетям связи общего пользования и (или) сетям международного информационного обмена;

· режим обработки персональных данных:

· режим разграничения прав доступа пользователей АИС;

· местонахождение технических средств информационной системы.

Определяются следующие категории обрабатываемых в информационной системе персональных данных (Хпд):

· категория 1 - персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;

· категория 2 - персональные данные, позволяющие идентифицировать субъекта этих данных и получить о нем дополнительную информацию, за исключение данных, относящихся к категории 1;

· категория 3 - персональные данные, позволяющие идентифицировать субъекта этих данных;

· категория 4 обезличенные и (или) общедоступные персональные данные.