Разработка защищенной виртуальной сети системы персональных данных учреждений централизованной бухгалтерии муниципальных районов Вологодской области

Размещено на http://www.allbest.ru/

ВВЕДЕНИЕ

В настоящее время деятельность многих учреждений и органов государственной власти зависит от состояния их информационных систем. При этом инфраструктура информационных систем часто содержит узлы и системы, нарушение безопасности которых может привести к нанесению значительного ущерба для деятельности учреждений, их слаженной работы и взаимодействия между подразделениями, а также межведомственной работы.

Для предотвращения таких случаев, как правило, после соответствующего анализа формируется перечень актуальных угроз и разрабатывается комплекс мер по их нейтрализации. В конечном итоге строится система управления информационной безопасностью, которая включает в себя различные средства защиты, реализующие необходимые защитные механизмы. В состав данной системы может входить подсистема управления уязвимостями, представляющая собой комплекс организационно-технических мероприятий, направленных на предотвращение использования известных уязвимостей, потенциально существующих в защищаемой системе или в сети. В частности, в рамках управления уязвимостями проводятся такие мероприятия, как периодический мониторинг защищенности информационных систем и устранение обнаруженных уязвимостей.

К средствам сетевой защиты информации относятся программные и программно-аппаратные средства VPN, интегрированные с персональными сетевыми экранами, которые будучи установленными на компьютеры позволяют обеспечить высокий уровень безопасности на самых небезопасных коммуникациях и позволяют пользователю спокойно воспользоваться всем спектром сервисов и услуг.

При использовании таких технологий на практически любую существующую информационную инфраструктуру легко накладывается распределенная система персональных и межсетевых экранов, взаимодействующих между собой по технологии VPN и осуществляющих фильтрацию и шифрование трафика, что позволяет обеспечить конфиденциальность и достоверность информации при угрозе сетевых атак из глобальных и локальных сетей.

При этом обеспечивается возможность построения защищенных подсистем произвольных топологий и размерности, возможность создания внутри распределенной сети взаимно - недоступных виртуальных защищенных контуров для обеспечения функционирования в единой телекоммуникационной среде различных по конфиденциальности или назначению информационных задач. В виртуальный контур могут включаться, как отдельные компьютеры, так и группы компьютеров, находящиеся в локальных или глобальных сетях.

Цель дипломного проекта: создание и внедрение виртуальной сети для защиты передаваемой информации от учреждений централизованной бухгалтерии муниципальных районов Вологодской области к центру обработки данных Правительства.

Для достижения поставленной цели необходимо решить следующие задачи:

1. Изучить технические регламенты и правовые акты по защите информации;

2. Проанализировать рынок существующих аналогов аппаратных и программных средств построения защищенных сетей, обосновать выбор наиболее приемлемой технологии;

3. Разработать защищенную виртуальную сеть системы персональных данных и внедрить её в существующую информационную инфраструктуру.

1 АНАЛИЗ ПРЕДМЕТНОЙ ОБЛАСТИ

1.1 Описание предметной области

1.1.1 Общие сведения об учреждении поставщике защищённых каналов связи

Учреждение «Центр информационных технологий» создано приказом Комитета информационных технологий Вологодской области на основании постановления Правительства Вологодской области от 11 октября 2010 года №1160 «О создании государственного бюджетного учреждения Вологодской области «Центр информационных технологий».

Учредителем Учреждения является Вологодская область. Функции и полномочия Учредителя выполняет Комитет информационных технологий и телекоммуникаций Вологодской области.

Учреждение является некоммерческой организацией - бюджетное учреждение создано для обеспечения реализации предусмотренных законодательством Российской Федерации полномочий органов государственной власти области в сфере информационно-коммуникационных технологий.

Цели деятельности Учреждения:

- создание и сопровождение информационных систем инфраструктуры электронного правительства области и обеспечения деятельности органов исполнительной государственной власти области;

- обеспечение информационной безопасности региональных информационных систем, информационно-телекоммуникационной инфраструктуры на территории области;

- обеспечение деятельности Правительства области, уполномоченного по правам человека в Вологодской области, уполномоченного по защите прав предпринимателей в Вологодской области, органов исполнительной государственной власти области в пределах прав и полномочий, определенных Уставом Учреждения;

- выполнение мероприятий, направленных на совершенствование информационно-телекоммуникационной инфраструктуры области.

Для достижения вышеуказанных целей Учреждение осуществляет следующие основные виды деятельности:

- предоставление комплексных услуг по созданию, поддержке, развитию информационно-телекоммуникационной инфраструктуры и защите информации;

- оснащение электронно-вычислительной техникой, серверным, сетевым и периферийным оборудованием, средствами телефонной и телеграфной связи.

- выполнение технического обслуживания и ремонта вычислительной техники, средств связи и систем, обеспечивающих работоспособность серверного и периферийного оборудования;

- восстановление и заправка расходных материалов для печатающей и копировально-множительной техники;

- обеспечение доступа к информационно-телекоммуникационной сети Интернет;

- обеспечение телефонной связью, автоматической телефонной сетью органов государственной власти РФ (за исключением правительственной междугородней связи);

- обеспечение телеграфной связью;

- обеспечение услугами связи для целей телерадиовещания;

- внедрение разработок, в том числе собственных, в области информационных технологий, телекоммуникаций и защиты информации;

- предоставление услуг удостоверяющих центров электронных подписей;

- предоставление консалтинговых услуг по вопросам приобретения, управления и использования прав на объекты интеллектуальной собственности в сфере информационных технологий, телекоммуникаций и защиты информации;

- распространение шифровальных (криптографических) средств;

- деятельность по созданию, обслуживанию и использованию баз данных и информационных ресурсов сети Интернет и консультирование в этой области;

- техническое обслуживание вычислительной техники, в том числе подключение, настройка, консультирование, диагностика, профилактика. [1]

1.1.2 Организационная структура учреждения, система взаимодействия с потребителями услуг по защите каналов связи

Структура организации включает в себя следующие звенья:

- Директор

- Управление информационных систем

- Отдел межведомственных информационных систем

- Отдел ведомственных информационных систем

- Отдел финансовых информационных систем

- Управление инфраструктуры

- Отдел обслуживания инфраструктуры

- Отдел защиты информации

- Отдел организации каналов связи

- Отдел технической поддержки

- Отдел организационно-правовой работы

- Финансово-экономический отдел

- Отдел материально-технического обеспечения

Помимо вышеперечисленных одной из функций учреждения является предоставление бюджетным учреждениям области доступа по защищенным каналам связи к правительственным информационным системам. [1]

С 2014 года в Вологодской области реализуется проект по централизации бюджетного учета и отчетности в органах государственной власти и государственных учреждениях путем создания единой централизованной информационной системы (далее - ЕЦИС). Согласно утвержденному правительством области положению о ЕЦИС, функциями администратора системы наделено бюджетное учреждение Вологодской области «Центр информационных технологий». [2]

В настоящее время в рамках реализации «дорожной карты» по централизации бухгалтерского учета в государственных и муниципальных учреждениях области БУ ВО «ЦИТ» проводит подключение муниципальных районов области к системе ЕЦИС.

1.2 Основы безопасности персональных данных

В целях обеспечения реализации Правительством области и органами исполнительной государственной власти области (далее - ОИГВ) своих функций и полномочий, требующих обмена информацией ограниченного доступа по защищенным каналам связи, в соответствии с требованиями законодательства Российской Федерации в сфере защиты информации БУ ВО «ЦИТ» создаются защищенные сети.

Под защищенной сетью понимается защищенная логическая транспортная виртуальная подсеть, наложенная на физические каналы связи различных типов, построенная с использованием технологий межсетевого экранирования, виртуальных частных сетей (VPN) и криптографических средств высокой надежности, реализованная сертифицированными в установленном порядке средствами защиты информации, являющаяся частью информационно-коммуникационной инфраструктуры Правительства области и органов исполнительной государственной власти области, и служащая для передачи информации ограниченного доступа между участниками защищенной сети.

Развитие и модернизация защищенных сетей проводится БУ ВО «ЦИТ» в случае:

- изменения требований законодательства Российской Федерации в сфере защиты информации;

- необходимости совершенствования технических и/или функциональных характеристик защищенной сети.

Кроме создания защищенных сетей большое значение имеет обеспечение информационной безопасности информационных систем персональных данных.

Под информационной безопасностью персональных данных (далее - ПД) понимается защищенность ПД и обрабатывающей их инфраструктуры от любых умышленных или случайных вмешательств, результатом которых может явиться нанесение ущерба самой информации, ее владельцам (субъектам ПД) или инфраструктуре.

Задачи информационной безопасности:

- минимизация ущерба от возможной реализации угроз безопасности ПД;

- прогнозирование и предотвращение угроз безопасности ПД.

Для достижения основной цели система безопасности ПД ИСПДн должна обеспечивать эффективное решение следующих задач:

- защита от вмешательства в процесс работы ИСПДн посторонних лиц (возможность использования автоматизированной системы (далее - АС), доступ к ее ресурсам должны иметь только зарегистрированные в установленном порядке пользователи);

- разграничение прав доступа зарегистрированных пользователей к аппаратным, программным и информационным ресурсам ИСПДн (возможность доступа только к тем ресурсам и выполнения только тех операций с ними, которые необходимы конкретным пользователям ИСПДн для выполнения своих служебных обязанностей):

а) к информации, содержащейся в ИСПДн;

б) к средствам вычислительной техники ИСПДн;

в) к аппаратным, программным и криптографическим средствам защиты, используемым в ИСПДн;

- регистрацию действий пользователей при использовании защищаемых ресурсов ИСПДн в системных журналах и периодический контроль корректности действий пользователей системы путем анализа данных этих журналов;

- контроль целостности (обеспечение неизменности) среды исполнения программ и ее восстановление в случае нарушения;

- защиту от несанкционированных преобразований и контроль целостности программных средств, используемых в ИСПДн, а также защиту системы от внедрения несанкционированных программ;

- защита информации, хранимой, обрабатываемой и передаваемой по каналам связи, от несанкционированного доступа (далее - НСД) или преобразований;

- обеспечение живучести криптографических средств защиты информации при компрометации части ключевой системы;

- своевременное обнаружение источников угроз безопасности ПД, причин и условий, способствующих нанесению вреда субъектам ПД, создание механизма оперативного реагирования на угрозы безопасности ПД и негативные тенденции;

- создание условий для минимизации и локализации наносимого ущерба неправомерными действиями физических и юридических лиц, ослабление негативного влияния и ликвидация последствий нарушения безопасности ПД.

Построение системы обеспечения безопасности ПД в ИСПДн Правительства области и ее функционирование должны осуществляться в соответствии со следующими основными принципами:

- законность;

- системность;

- комплексность;

- непрерывность;

- своевременность;

- преемственность и непрерывность совершенствования;

- персональная ответственность;

- минимизация полномочий;

- взаимодействие и сотрудничество;

- гибкость системы защиты;

- простота применения средств защиты;

- научная обоснованность и техническая реализуемость;

- специализация и профессионализм;

- обязательность контроля.

Система защиты ПД представляет собой совокупность организационных и технических мер для защиты ПД при их обработке в ИСПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения ПД, а также иных неправомерных действий с ними.

Объектами защиты являются - информация, обрабатываемая в ИСПДн, и технические средства ее обработки и защиты. Объекты защиты включают:

1) обрабатываемая информация;

2) технологическая информация;

3) программно-технические средства обработки;

4) средства защиты ПД;

5) каналы информационного обмена и телекоммуникации;

6) объекты и помещения, в которых размещены компоненты ИСПДн.

Организационные и технические меры защиты информации, реализуемые в ИСПДн в рамках ее системы защиты информации, в зависимости от класса ИСПДн, угроз безопасности информации, используемых информационных технологий и структурно-функциональных характеристик информационной системы должны обеспечивать:

- идентификацию и аутентификацию субъектов доступа и объектов доступа;

- управление доступом субъектов доступа к объектам доступа;

- ограничение программной среды;

- защиту машинных носителей информации;

- регистрацию событий безопасности;

- антивирусную защиту;

- обнаружение (предотвращение) вторжений;

- контроль (анализ) защищенности информации;

- обеспечение целостности информационной системы и информации;

- обеспечение доступности информации;

- защиту среды виртуализации;

- защиту технических средств;

- защиту информационной системы, ее средств и систем связи и передачи данных;

- выявление инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности персональных данных (далее - инциденты), и реагирование на них;

- управление конфигурацией информационной системы и системы защиты персональных данных. [3]

1.2.1 Законодательные основы защиты персональных данных

В настоящее время в Российской Федерации ведется государственный надзор в сфере обеспечения безопасности ПД.

Нормативно-правовое регулирование в сфере обработки и защиты ПД осуществляется в соответствии с:

­ Конституцией Российской Федерации;

­ федеральными законами;

­ кодексами РФ;

­ указами Президента РФ;

­ Постановлениями Правительства РФ;

­ документами федеральных уполномоченных органов (ФСТЭК - Федеральная служба по техническому и экспортному контролю, ФСБ - Федеральная служба безопасности) в виде положений, приказов, рекомендаций, требований и методик.

­ трудовым кодексом РФ (глава 14 - Защита персональных данных работника).

Целью законодательства Российской Федерации в области защиты персональных данных является защита прав и свобод гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

Основными федеральными законами в области обеспечения информационной безопасности являются следующие:

­ Федеральный закон «Об информации, информационных технологиях и о защите информации» от 27.07.2006 № 149-ФЗ

Данный закон регулирует отношения, возникающие при:

а) осуществлении права на поиск, получение, передачу, производство и распространение информации;

б) применении информационных технологий;

в) обеспечении защиты информации.

­ Федеральный закон «О персональных данных» от 27.07.2006 № 152-ФЗ

ФЗ №152 регулирует отношения, возникающие при обработке ПД, выполняемой федеральными органами государственной власти, иными государственными органами, а также юридическими или физическими лицами с использованием средств автоматизации или без них.

Целью данного Федерального закона является защита прав и свобод человека при обработке его ПД [4].

Другими нормативными документами, регулирующими вопросы защиты ПД, являются:

­ Приказ ФСТЭК России, ФСБ России, Мининформсвязи России № 55/86/20 "Об утверждении порядка проведения классификации информационных систем персональных данных" от 18.02.2009 г.

­ Постановление Правительства РФ №781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» от 17 ноября 2007 г.

­ Постановление Правительства РФ №687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» от 15 сентября 2008 г.

Но прежде чем говорить об обеспечении безопасности обработки и хранения ПД, необходимо определить, что же такое информационная безопасность.

По ГОСТ «Защита информации. Основные термины и определения» информационной безопасностью является состояние информации, при котором обеспечены ее конфиденциальность, доступность и целостность.

Конфиденциальность - это такое состояние информации, при котором доступ к ней имеют только люди, имеющие на это право.

Целостностью является состояние информации, при котором любое ее изменение отсутствует либо изменение осуществляется только преднамеренно имеющими на это право людьми.

Доступностью называется состояние информации, при котором люди, имеющие право доступа к информации, могут реализовывать его беспрепятственно [5].

Основополагающим законом в сфере защиты ПД является ФЗ «О персональных данных» №152.

1.3 Обзор существующих программно-аппаратных решений, используемых для защиты ИСПДн

В настоящее время имеется несколько отечественных продуктов для построения виртуальных сетей защиты персональных данных, разный класс которых определяет области применения. Обязательным требование является наличие сертификации ФСТЭК и ФСБ.

1.3.1 Комплекс «Рубикон»

Комплекс «Рубикон» выполняет функции межсетевого экранирования (МЭ) и системы обнаружения вторжений (СОВ). Предназначен для работы с информацией с грифом до «Совершенно Секретно».

Можно выделить несколько преимуществ данной системы:

– Комплекс «Рубикон» является программно-аппаратным комплексом, что упрощает установку и сопровождение.

– Имеет дружественный интерфейс.

– Не требует установки ОС и компонентов.

– После несложных настроек готов к работе.

– Включает специальный курс обучения по настройке и администрированию компонентов в авторизованном учебном центре.

– Не требует специального клиентского ПО для администрирования.

– Обеспечивается технической поддержкой.

Можно выделить основные характеристики и некоторые особенности комплекса защиты:

­ Имеет в своем составе систему обнаружения вторжений (СОВ).

­ Администрирование межсетевого экрана выполняется по защищенному протоколу HTTPS, устойчивому к перехвату информации.

­ Обнаружение атак: web-службы, по служебным протоколам (в том числе SMTP, POP, SNMP, TELNET, FTP), на известные базы данных, DOS и DDOS атак, другие специфические атаки.

­ Обеспечивает фильтрацию сетевых пакетов и осуществляет разграничение доступа пользователей к ресурсам сети на основе заданных правил.

­ Производит трансляцию сетевых адресов. Это дает возможность скрыть структуру внутренней сети от внешних субъектов и расширяет возможности использования произвольных диапазонов внутренних IP-адресов.

­ Обеспечивает построение однонаправленного шлюза для связи сегментов с различными уровнями секретности.

­ Скорость обработки запросов при нагрузке 1 Гбит/с -- до 0,8 Гбит/с.

­ Количество сетевых портов-до 8.

­ Операционная система --на базе ОС Linux.

­ Возможность горячего резервирования --да.

­ Поддержка оптических интерфейсов --да.

­ Обновление базы правил СОВ --да.

1.3.2 Dionis DPS

Dionis DPS - это единый центр управления безопасностью сети, сертифицированный ФСБ и ФСТЭК России. Dionis DPS гарантирует безопасность передачи конфиденциальной информации через незащищенные сети общего пользования. Dionis DPS включает в себя: криптографическую защиту (сертификат ФСБ, класс защищенности КС1, КС3), функции маршрутизатора, межсетевого экрана и сертифицированную ФСТЭК систему обнаружения и предотвращения вторжений IPS/IDS.

Особенностями системы, выделяющими этот комплекс от остальных, являются:

– Скорость маршрутизации до 100 Гб/c на одном устройстве позволяет строить ЦОДы с минимальным количеством пограничных маршрутизаторов.

– Запись всех событий в сети и оповещение администратора - оперативное реагирование на события в сети.

– Поддержка протоколов динамической маршрутизации (RIP, BGP, OSPF) и маршрутизация multicast на младших моделях позволяет строить полноценную сеть на доступных устройствах.

– Программно неограниченное количество VPN - туннелей (до 4000) - масштабирование сети без покупки дополнительных лицензий.

– Все модели поддерживают отказоустойчивый кластер, что дает возможность организовать непрерывный доступ к корпоративной сети на всех иерархических уровнях.

– Поддержка интерфейсов 1Ge, SFP, 10Ge (SFP+) для интеграции в сети с разнообразными физическими каналами связи.

– Использование туннелей на симметричных ключах шифрования - 30% прироста скорости криптографической обработки по сравнению с несимметричной ключевой системой (IpSec).

Техническими возможностями комплекса Дионис являются:

– Eathernet-интерфейсы с возможностью задания нескольких IP-адресов, VLAN, туннельные интерфейсы: GRE/GRETAP с контролем состояния туннеля, L2TP с возможностью упаковки в туннель IPSec, PPTP.

­ классификация трафика по IP/MAC-адресам, портам и значениям байт, битам поля CoS фрейма Ethernet и поля TOS/DSCP заголовка IP и предоставление политик обслуживания, в том числе гарантированной и максимальной полосы пропускания для различных классов трафика;

­ задание приоритетов обработки различного трафика внутри маршрутизатора и установка полей приоритета на исходящий трафик для его приоритетной обработки на других устройствах;

­ трансляция ARP (proxy-arp);

­ фильтрация ARP только для одного интерфейса (arp-filter);

­ управление размером TCP MSS (path-mtu-discovery, adjust-mss);

­ равномерное распределение входящих пакетов по очередям обработки (RSS);

­ использование аппаратных возможностей сетевого адаптера (offload);

­ уведомление о заторах без отброса пакетов (ECN).

­ DHCP, DHCP-Relay, DNS (клиент/сервер), NTP (клиент/сервер); измерительные утилиты NetPerf и IPerf (клиент/сервер); «отражатель» UDP-пакетов.

­ Фильтрация пакетов по ip/mac-адресам, портам, значениям байт в теле пакета, учитывающая состояние соединения (stateful packet inspection). Фильтрация по расписанию, по мандатным меткам ос мсвс и ос astra linux.

­ Трансляция пакетов nat/pat (трансляция входящего (dnat) и исходящего (snat) трафика, трансляция всех адресов в один адрес (masquerade), трансляция сеть в сеть (netmap), перенаправление трафика (redirect).

­ Система обнаружения/предотвращения вторжений (ips/ids) на базе snort и suricata с возможностью локального и удаленного обновления правил.

­ Прокси-сервер для протоколов ftp и http (кэширующий, с поддержкой прозрачного режима работы).

­ Статические туннели - с использованием симметричных ключей и алгоритма ГОСТ 28147-89 (совместимы с хостами Dionis всех версий, в том числе DOS и LX);

­ Статические и динамические туннели - с использованием закрытых ключей и сертификатов X.509 (PKI), алгоритмов ГОСТ 28147-89, ГОСТ Р 34.11-94 и ГОСТ Р 34.10-2001, согласно спецификациям Технического комитета по стандартизации «Криптографическая защита информации» (TK 26).

Инкапсуляция трафика через NAT в протокол UDP, поддержка механизма nat-traversal.

Сертификат ФСТЭК № 2852 на программно-аппаратный комплекс Dionis-NX с версиями программного обеспечения Dionis-NX R 1.1-0 Mill, Dionis-NX 1.0-0 Harvest, Dionis-NX C 1.2-0 Hand соответствует требованиям документов: РД МЭ(2), РД НДВ(2).

Сертификат ФСТЭК № 3530 на программно-аппаратный комплекс Dionis-NX с установленным программным обеспечением версий 1.2-6 Hand, 1.2-7 Hand и 1.2-8 Hand UTM

Соответствует требованиям документов: Требования к МЭ, Профиль защиты МЭ(А второго класса защиты. ИТ.МЭ.А2.ПЗ), Требования к СОВ(cети второго класса защиты. ИТ.СОВ.С2.ПЗ)

1.3.3 Маршрутизатор доступа «ГАРДА 10G»

Аппаратно программный комплекс «Маршрутизатор доступа «ГАРДА 10G» предназначен для организации защищенных мультисервисных IP-сетей и сетевых магистралей с пропускной способностью до 40 Гбит/с.

Реализует функции IP-маршрутизатора, поддерживает протоколы динамической маршрутизации OSPFv2, RIPv1, RIPv2, Triggered RIP, BGPv4. Имеет механизмы обеспечения заданного качества обслуживания для трафика различных типов (DiffServ).

Включает в себя межсетевой экран 2 класса (с поддержкой NAT и отслеживанием состояния). Обеспечивает разграничение доступа к информации и контроль потоков информации между сегментами сети с различными политиками безопасности, в том числе размещенными на удаленных друг от друга объектах эксплуатации.

Может применяться в качестве доверенного Ethernet коммутатора с поддержкой VLAN (IEEE 802.1q) и функциями IP-маршрутизации между VLAN. Тип среды передачи обслуживаемых линий (витая пара, оптоволокно) определяется установленными модулями SFP (для интерфейсов 1 Гбит/с) и X2 (для интерфейсов 10 Гбит/с).

Имеет средства работы в режиме «горячего» резервирования (VRRP).

Основные варианты применения.

­ развертывание защищенной интрасети;

­ построение защищённых центров обработки данных (ЦОД).

Сертификат ФСТЭК № 3886 на аппаратно-программный комплекс Маршрутизатор доступа

Соответствует требованиям документов: Требования к МЭ, Профиль защиты МЭ(А второго класса защиты. ИТ.МЭ.А2.ПЗ).

1.3.4 Аппаратно-программный комплекс шифрования «Континент»

Сертифицированный ФСБ и ФСТЭК России аппаратно-программный комплекс шифрования «Континент» 3.7 является средством построения виртуальных частных сетей (VPN) на основе глобальных сетей общего пользования, использующих протоколы семейства TCP/IP.

АПКШ «Континент» 3.7 обладает всеми необходимыми возможностями, чтобы обеспечить:

­ объединение через Интернет территориально распределенных локальных сетей предприятия в единую сеть VPN;

­ возможность удаленного защищенного доступа к информационным ресурсами предприятия для мобильных пользователей, посредством VPN соединения;

­ разделение прав доступа между информационными подсистемами организации на сетевом уровне;

­ сегментирование ЛВС организации;

­ организация защищенного взаимодействия со сторонними организациями;

­ безопасное удаленное управление маршрутизаторами.

Ключевые возможности.

­ обеспечение управляемости сети при выходе из строя основного Центра управления сетью при помощи кластеризации серверов управления

­ объединение нескольких физических сетевых портов с помощью протокола LACP

­ оперативная диагностика удаленных устройств с помощью удаленного подключения по SSH и создания файлов с отладочными журналами

­ поддержка технологии Jumbo frame

­ автоматическая смена ключей парной связи при истечении срока действия предыдущего набора;

­ шифрование трафика в соответствии с алгоритмом ГОСТ 28147-89

­ прозрачное объединение сетей на канальном уровне без изменения адресного пространства (L2VPN)

­ поддержка динамической, статической и Multicast-маршрутизации, а также приоритизация трафика механизмами QoS

Сертификат ФСТЭК № 3008 на Континент 3.7. Аппаратно-программный комплекс шифрования «Континент». Версия 3.7 -- на соответствие Требованиям к СОВ (ИТ.СОВ.С3.ПЗ) -- по 3 классу и МЭ (ИТ.МЭ.А3.ПЗ) по 3 классу.

Сертификат ФСБ № СФ/124-2918. Аппаратно-программный комплекс шифрования Континент. Версия 3.7 (исполнение 3). Соответствует требованиям ФСБ России к шифровальным (криптографическим) средствам класса КС3 и может использоваться для криптографической защиты (создание и управление ключевой информацией, шифрование и имитозащита данных, передаваемых в IP-пакетах по общим сетям передачи данных) информации, не содержащей сведений, составляющих государственную тайну.

Сертификат ФСБ № СФ/124-2919. Аппаратно-программный комплекс шифрования Континент. Версия 3.7 (исполнения 4, 5). Соответствует требованиям ФСБ России к шифровальным (криптографическим) средствам класса КС2 и может использоваться для криптографической защиты (создание и управление ключевой информацией, шифрование и имитозащита данных, передаваемых в IP-пакетах по общим сетям передачи данных) информации, не содержащей сведений, составляющих государственную тайну

Сертификат ФСБ № СФ/124-3018. Аппаратно-программный комплекс шифрования Континент. Версия 3.7 (исполнение 6).

Сертификат ФСБ № СФ/525-3138. Аппаратно-программный комплекс шифрования Континент. Версия 3.7 (исполнения 1 - 6).

Сертификат ФСБ № СФ/124-3373. Аппаратно-программный комплекс шифрования Континент. Версия 3.7 (исполнение 1).

Сертификат ФСБ № СФ/124-3454. Аппаратно-программный комплекс шифрования Континент. Версия 3.7 (исполнение 7).

Сертификат ФСБ № СФ/124-3455. Аппаратно-программный комплекс шифрования Континент. Версия 3.7 (исполнение 8).

1.3.5 Комплекс защиты информации ViPNet Coordinator HW 4

Vipnet Coordinator -- криптографический комплекс, может выполнять в защищенной сети функции VPN-шлюза сетевого и канального уровней, межсетевого экрана с контролем состояния сессий и сервера IP-адресов для обеспечения защищенных подключений VPN-клиентов. Данная система способна выполнять огромное количество сценариев работы, таких как:

– Организация защищенных каналов связи между структурами компании.

– Защищенный доступ удаленных и мобильных пользователей.

– Взаимодействие с сетями ViPNet других организаций.

– Защита мультисервисных сетей (включая IP-телефонию и видеоконференцсвязь).

– Разграничение доступа к информации в локальных сетях, сегментирование локальных сетей (например, выделение DMZ).

– Защищенный контролируемый доступ в Интернет.

– Организация контролируемого доступа пользователей из публичной сети к предоставляемым организацией ресурсам и сервисам.

Преимуществами программно-аппаратного комплекса являются:

– Возможность осуществить не ограниченное число соединений через шлюз безопасности ViPNet Coordinator.

– Поддержка работы в современных мультисервисных сетях связи без ограничений по совместимости:

– со службами DHCP, WINS, DNS;

– с динамическим преобразованием адресов (NAT, PAT);

– с использованием мультимедийных протоколов (SIP, H323, SCCP и другие).

– Применение ПО ViPNet Administrator в качестве центра генерации ключей шифрования.

– Возможность повышения надежности координатора за счет его развертывания в составе кластера горячего резервирования (в версии для Linux).

Данный комплекс успешно используется во многих Государственных структурах Федерального и местного уровня. Вологодская область успользует эту технологию уже в течении 10 лет, это является одним из факторов для выбора защиты вновь внедряемых информационных систем.

1.4 Постановка задачи для разработки требований к ИСПДн

В соответствии с постановлением Правительства Вологодской области от 28 марта 2016 года № 288 в целях построения эффективной системы централизованного бюджетного (бухгалтерского) учета и отчетности создана государственная информационная система области - единая централизованная информационная система бюджетного (бухгалтерского) учета и отчетности (далее - ЕЦИС).

Созданная информационная система учета обеспечивает взаимодействие с информационной системой сбора, консолидации и анализа бюджетной (бухгалтерской) отчетности Вологодской области, отчетности бюджетных и автономных учреждений (веб-консолидация), информационной системой планирования и исполнения бюджета Вологодской области (АС «Бюджет»), является частью создаваемого регионального электронного бюджета Вологодской области. Информационная система обеспечивает выгрузку информации в ГИС ГМП, информационные системы налоговых органов, Пенсионного фонда Российской Федерации, ФСС, ИС Росстата, банковских кредитных организаций.

В 2019 году операторами сервисной подсистемы утверждены органы местного самоуправления, определенные администрациями муниципальных образований, при использовании ЕЦИС в качестве сервисной подсистемы. Таким образом, требуется разработать и внедрить виртуальную защищённую сеть для доступа к серверам и базам данных ЕЦИС и защиты персональных данных, обрабатываемых в ней.

Для созданной системы необходимо обеспечить безопасное функционирование технических и программных средств. Кроме того следует обезопасить ресурсы корпоративной сети, ограничить её взаимодействие с внешними ресурсами, а так же обеспечить защищенный электронный документооборот с возможностями шифрования и подписания документов электронно-цифровой подписью.

Виртуальная защищённая сеть должна лёгко интегрироваться в существующую инфраструктуру, обеспечивать идентификации и аутентификации пользователей, доверенную загрузку, контроль целостности программной среды, ведение журнала регистрации событий, ведение системного журнала, наличие актуального сертификата ФСТЕК и ФСБ по требованиям безопасности.

2. РАЗРАБОТКА ТРЕБОВАНИЙ К ИСПДн

2.1 Описание технологического процесса обработки информации, содержащейся в ГИС ЕЦИС

2.1.1 Общее описание информационной системы персональных данных

Государственная информационная система «Единая централизованная информационная система бюджетного (бухгалтерского) учета и отчетности» (далее - ГИС «ЕЦИС») Департамента финансов Вологодской области (далее - Оператор) расположена по адресу: Вологда, ул. Герцена, д. 27, ул. Герцена 2.

Цель создания ГИС «ЕЦИС» - построение эффективной системы централизованного (бюджетного) учета и отчетности органов исполнительной государственной власти области и государственных учреждений области.

Основные задачи ГИС «ЕЦИС»:

а)соблюдение единой методологии бюджетного (бухгалтерского) учета для органов исполнительной государственной власти области и государственных учреждений области;

б)снижение трудозатрат и повышение производительности при ведении учета финансово-хозяйственной деятельности органов исполнительной государственной власти области и государственных учреждений области;

в)поддержка электронного юридически значимого документооборота с применением электронной подписи;

г)обеспечение единства и однократности ввода нормативной и справочной информации при ведении бюджетного (бухгалтерского) учета и составления отчетности;

д)обеспечение возможности удаленной работы в ГИС «ЕЦИС»;

е)обеспечение возможности поэтапного наращивания функциональности ГИС «ЕЦИС» при включении в состав централизованной бухгалтерии органов исполнительной государственной власти области, государственных учреждений области;

ж)оперативное получение достоверной информации и необходимой аналитической отчетности.

В соответствии с Постановлением Правительства Вологодской области №288 от 28.03.2016 г в ГИС «ЕЦИС» обрабатывается информация необходимая для:

- ведения бюджетного (бухгалтерского) учета;

- составления бюджетной (бухгалтерской), налоговой, статистической и кадровой отчетности, отчетности в государственные внебюджетные фонды в соответствии с требованиями действующего законодательства.

В состав ГИС «ЕЦИС» входят 10 виртуальных серверов на базе операционных систем Windows Server 2008 R2 Enterprise и Microsoft Windows Server 2008 R2 Standart, находящиеся в центре обработки данных бюджетного учреждения в сфере информационных технологий Вологодской области «Центр информационных технологий» (далее - БУ ВО «ЦИТ»). ГИС «ЕЦИС» имеет одноточечное подключение к сетям общего пользования. ГИС «ЕЦИС» изолирована от сети общего пользования сертифицированным межсетевым экраном.

Перечень серверов ГИС «ЕЦИС» и выполняемые ими роли:

1. Сервер 10.1.1.142 сервер баз данных ecis, ОС Microsoft Windows Server 2008 R2 Standart,

2. Сервер 10.1.1.143 сервер web-приложения ecsbuh с ПО АС «Смета», Java 8 (64 bit),Microsoft Windows Server 2008 R2 Standart,

3. Сервер 10.1.1.144 сервер баз данных- ecis_les, ОС Microsoft Windows Server 2008 R2 Standart,

4. Сервер 10.1.1.146 сервер баз данных- ecis_czn , ОС Microsoft Windows Server 2008 R2 Standart,

5. Сервер 10.1.1.147 сервер баз данных- ecis_csv, ОС Microsoft Windows Server 2008 R2 Standart,

6. Сервер 10.1.1.148 сервер баз данных- ecis_cbzd, ОС Microsoft Windows Server 2008 R2 Standart,

7. Сервер 10.1.1.149 сервер баз данных-ecis_cbo, ОС Microsoft Windows Server 2008 R2 Standart,

8. Сервер 10.1.1.150 сервер баз данных- ecis_cbk, ОС Microsoft Windows Server 2008 R2 Standart,

9. Сервер 10.1.1.159 smeta - сервер приложений с ПО АС «Смета»,ПО «1С: Предприятие», ОС Microsoft Windows Server 2008 R2 ENTERPRISE,

10. Сервер 192.168.101.20 smetasync1-сервер синхронизации с Apache Tomcat 7.0, АС Бюджет 2000 клиент, Java 7 (64 bit), ОС Microsoft Windows Server 2008 R2 Standart.

Пользователи ГИС «ЕЦИС»

1) Поставщики информации - сотрудники органов исполнительной государственной власти области, работники государственных учреждений области, центров бухгалтерского учета, получившие доступ в установленном порядке.

2) Сотрудники оператора, осуществляющие:

а)организацию ведения в бюджетного (бухгалтерского) учета, составления бюджетной (бухгалтерской) и налоговой отчетности, отчетности в государственные внебюджетные фонды в соответствии с требованиями действующего законодательства.

б)разработку и принятие в пределах своей компетенции правовых актов, регламентирующих вопросы организации, функционирования и развития ЕЦИС;

в)организационно - методическое обеспечение функционирования ЕЦИС, в том числе организационные меры по защите информации в пределах своей компетенции;

г) в рамках своей компетенции выполняет функции поставщика информации в ЕЦИС;

3) Сотрудники Государственного казенного учреждения Вологодской области «Областное казначейство» (далее - ГКУ ВО «Областное казначейство»), осуществляющие следующие функции оператора:

а) ведение в ЕЦИС бюджетного (бухгалтерского) учета, составление бюджетной (бухгалтерской) и налоговой отчетности, отчетности в государственные внебюджетные фонды в соответствии с требованиями действующего законодательства;

б)разработку и заключение с поставщиками информации соглашений о передаче функций по ведению бюджетного (бухгалтерского) учета и составлению отчетности органов исполнительной государственной власти области и государственных учреждений области центру бухгалтерского учета (далее соглашение);

в)согласование заявок поставщиков информации на предоставление (прекращение) доступа к ГИС «ЕЦИС» поставщикам информации, гражданским служащим области, работникам государственных учреждений области, получившим в установленном порядке доступ к ЕЦИС и выполняющих обработку информации в ЕЦИС (далее - пользователи);

г)ведение учета пользователей ЕЦИС.

4) Сотрудники БУ ВО «ЦИТ» - администраторы ГИС «ЕЦИС», осуществляющие следующие функции:

а) предоставление доступа поставщикам информации на основании соответствующей заявки;

б)обеспечение эффективного и бесперебойного функционирования ГИС «ЕЦИС», ее техническую поддержку с соблюдением требований законодательства в сфере информационных технологий;

в)консультирование поставщиков информации по вопросам технической поддержки функционирования ГИС «ЕЦИС»;

г)выполнение технических мер по защите информации, размещаемой в ГИС «ЕЦИС» в соответствии с требованиями законодательства в сфере информационных технологий в части, связанной с выполнением функций администратора;

д)развитие технических средств, на которых размещена ГИС «ЕЦИС», и обновление программного обеспечения, используемого для функционирования ГИС «ЕЦИС», в соответствии с заявками оператора ГИС «ЕЦИС»;

е)резервное копирование данных ГИС «ЕЦИС».

Всем пользователям, имеющим доступ к ГИС «ЕЦИС», в соответствии с исполняемыми обязанностями, предоставлены различные права доступа к информации, обрабатываемой в ГИС «ЕЦИС».

Информация хранится в виде записей баз данных СУБД Postgre SQL версий 9.3 и версий 9.5 на серверах ГИС «ЕЦИС»: ECIS (1), ECIS_CSV (5), ECIS_CBZD (6), ECIS_CBO (7), ECIS_CBK (8), ECIS_CZN (4), ECIS_ LES (3).

Доступ пользователей к информации, обрабатываемой в ГИС «ЕЦИС» осуществляется:

1) Пользователям системы - посредством web-интерфейса, прикладного программного обеспечения.

2) Администраторам ГИС «ЕЦИС» - посредством web-интерфеса, удаленным доступом непосредственно на сервера ГИС «ЕЦИС».

Системным и прикладным программным обеспечением, а так же средствами защиты информации предусмотрены механизмы идентификации и аутентификации пользователей и разграничения прав доступа.

В БУ ВО «ЦИТ» установлена контролируемая зона (Приказ БУ ВО «ЦИТ» от 17.03.2015 г. № 44-О «Об установлении контролируемой зоны»). В пределах контролируемой зоны находятся отдельные помещения, сетевое и телекоммуникационное оборудование ГИС «ЕЦИС». Вне территории контролируемой зоны находятся линии передачи данных, используемые для информационного взаимодействия с сетями общего пользования и международного информационного обмена.

Для ГИС «ЕЦИС» разработан перечень работников, имеющих право самостоятельного доступа к штатным средствам ГИС «ЕЦИС».

Приказом БУ ВО «ЦИТ» утвержден перечень лиц, допущенных к техническому обслуживанию ГИС «ЕЦИС.

Съемные носители информации в ГИС «ЕЦИС» не используются.

Приказом БУ ВО «ЦИТ» организован порядок доступа в помещения, где расположены технические средства ГИС «ЕЦИС».

2.1.2 Описание технологического процесса обработки информации ГИС «ЕЦИС»

Процесс обработки дынных в информационной системе разделяется на несколько этапов, приведённых в таблице 2.1 [6].

Таблица 2.1 - Описание процессов в ГИС «ЕЦИС»

№ п/п	1	2
	Этап	Описание этапа
I. Подготовка к обработке информации
1	Ввод информации в систему	Внесение данных в БД ГИС «ЕЦИС» осуществляется поставщиками информации с использованием ПО ГИС «ЕЦИС».
2	Доступ и регистрация пользователей	Предусматривается многопользовательский режим работы пользователей в ГИС «ЕЦИС». С целью соблюдения принципа персональной ответственности каждому пользователю сопоставлено персональное уникальное имя (учетная запись пользователя), под которым он будет работать в системе. Учетная запись представляет собой комбинацию Логин/Пароль. Логин - представляет собой имя учетной записи, созданной для входа в систему. Процедура регистрации (создания учетной записи) пользователя и предоставления (или изменения) ему прав доступа к ресурсам ГИС ЕЦИС осуществляется с помощью ПО ГИС «ЕЦИС». Доступ и разграничение полномочий в ГИС ЕЦИС назначается администратором. Вход осуществляется указанием логина и пароля, либо производится аутентификация по сертификату электронной подписи. Пользователи не имеют непосредственного доступа входа на сервера ГИС «ЕЦИС». При непосредственном входе администратора на сервер регистрация осуществляется штатными средствами операционной системы Microsoft Windows Server 2008 (R2) и СЗИ от НСД Secret Net.
II. Обработка информации.
4	Обработка информации	Последовательность обработки информации пользователями: Регистрация в ГИС «ЕЦИС»; Вход в ГИС «ЕЦИС» (аутентификация пользователя); Работа в ГИС «ЕЦИС» в соответствии с функциональными обязанностям с записями баз данных и файлами системы; Выход из ГИС «ЕЦИС». Доступ к файлам настроек механизмов защиты информации разрешен только администраторам безопасности. Пользователь ГИС «ЕЦИС» осуществляет обработку защищаемой информации, в т.ч. персональных данных (согласно доступу в установленном порядке). Пользователь несет персональную ответственность за свои действия
5	Хранение обрабатываемой информации между сеансами работы пользователя в системе	Хранение обрабатываемой информации между сеансами работы осуществляется на серверах БД ГИС «ЕЦИС».
6	Передача информации	ГИС «ЕЦИС» предусматривает возможность информационного обмена данными (экспорт, импорт файлов): - с автоматизированной системой планирования, бюджетного (бухгалтерского) учета и анализа исполнения бюджета Вологодской области АС «Бюджет»; модулем автоматизированной системы планирования, бюджетного (бухгалтерского) учета и анализа исполнения бюджета Вологодской области в части организации централизованного сбора, консолидации и анализа бюджетной (бухгалтерской) отчетности Вологодской области, отчетности бюджетных и автономных учреждений (Правообладатель ООО «НПО «Криста», г. Москва); - Государственной информационной системой о государственных и муниципальных платежах (ГИС ГМП) - Системой поддержки принятия решений «Финансово-экономический анализ». Разработчик ООО «ИС «Криста», г. Новосибирск. - Информационной системой Электронный социальный регистр населения (ЭСРН).Правообладатель ООО «Систематика», г. Санкт-Петербург. - Специализированным программным средством «Учет бюджетных средств, предоставленных сельскохозяйственным производителям в форме субсидий» (СПС). Правообладатель ООО "Центрпрограммсистем", г. Белгород. - Соответствующими информационными системами налоговых органов, Управления Пенсионного фонда Российской Федерации в г. Вологда Вологодской области, Государственного учреждения - Вологодского регионального отделения Фонда социального страхования Российской Федерации, Территориального органа Федеральной службы государственной статистики по Вологодской области, банковских кредитных организаций.
III. Сохранение результатов обработки информации
7	Распечатка документов (данных)	В ГИС «ЕЦИС» предусмотрена возможность печати печатных форм, отчетов, сформрованных на основе данных базы ГИС «ЕЦИС», скан-образов документов, направляемых поставщиками информации средствами ПО ГИС «ЕЦИС»
8	Сохранение окончательных результатов работы	Предусмотрено сохранение информации пользователями в базу данных с использованием ГИС «ЕЦИС» в виде структурированной информации. Информация сохраняется в базах данных на серверах для дальнейшего использования.
9	Протоколирование действий пользователя в системе	В ГИС «ЕЦИС» предусмотрено: ­ Ведение аудита всех действий пользователей и протоколирование регламентных операций системы с данными; ­ протоколирование всех действий пользователей с указанием даты, времени выполнения действия, логина/имени пользователя, IP-адреса компьютера (либо имя компьютера) с которого было произведено действие; ­ журнализация действий связанных с созданием, блокировкой и удалением пользователей системы ­ формирование и сохранение отчетов протоколирования действия пользователя.
IV. Служебные операции
10	Управление доступом пользователей к ГИС «ЕЦИС»	Под управлением доступом пользователей к ресурсам ГИС «ЕЦИС» понимается назначение, изменение и удаление учетных записей пользователей, а также установка, изменение и прекращение прав пользователей на доступ к ресурсам ГИС «ЕЦИС». Управление доступом к локальным ресурсам ГИС «ЕЦИС» осуществляется штатными средствами операционной системы Microsoft Windows Server 2008 (R2) ОС, СЗИ от НСД Secret Net. Управление доступом к информации ГИС «ЕЦИС» осуществляется администратором средствами применяемых программных комплексов.
	Резервное копирование данных	Предусмотрена возможность организации резервного копирования данных системы средствами ПО ГИС «ЕЦИС», средствами технологической платформы в ручном и автоматическом режимах, с возможностью настройки расписания выполнения резервного копирования
11	Обновление программного обеспечения ГИС «ЕЦИС»	Под обновлением понимается установка новой версии ПО ГИС «ЕЦИС», включающее необходимые изменения функционала, на прежнюю версию этого же программного обеспечений. Обновление ПО ГИС «ЕЦИС» осуществляется администраторами ГИС «ЕЦИС».
12	Устранение сбоев аппаратного и программного обеспечения	Устранение сбоев - восстановление работоспособности как отдельных элементов ПО ГИС «ЕЦИС», так и всей ПО ГИС «ЕЦИС» в целом. Для защиты от сбоев в ГИС «ЕЦИС» предприняты следующие меры: - ограничение физического доступа к техническим средствам ГИС «ЕЦИС»; - выполнение технического обслуживания техническим администратором. При выходе из строя технических средств ГИС «ЕЦИС», выполнение операций технологического процесса прекращается. Устранение сбоев производится администратором в соответствии с Регламентом восстановления серверной и сетевой инфраструктуры после системного сбоя или аварии.

2.2 Модель угроз безопасности персональных данных при их обработке в ГИС ЕЦИС

В данной модели угроз определён упорядоченный перечень угроз безопасности персональных данных при их обработке в информационной системе персональных данных - государственная информационная система Вологодской области «Единая централизованная информационная система бюджетного (бухгалтерского) учета и отчетности» (далее - ИСПДн). Эти угрозы обусловлены преднамеренными или непреднамеренными действиями физических лиц, действиями зарубежных спецслужб или организаций (в том числе террористических), а также криминальных группировок, создающими условия (предпосылки) для нарушения безопасности персональных данных, которые ведут к ущербу жизненно-важных интересов личности, общества и государства.

Анализ угроз безопасности информации проводится с учетом угроз, содержащихся в банке данных угроз безопасности информации, сформированном ФСТЭК России и размещенном на официальном сайте в информационно-телекоммуникационной сети «Интернет» (bdu.fstec.ru).

В Модели угроз дано обобщенное описание ИСПДн как объекта защиты, возможных источников угроз безопасности персональных данных (далее - УБПДн), основных классов уязвимостей ИСПДн, возможных видов неправомерных действий и деструктивных воздействий на ПД, а также основных способов их реализации.

Настоящая Модель угроз предназначена для решения следующих задач:

– анализ защищенности ИСПДн от угроз безопасности ПД в ходе организации и выполнения работ по обеспечению безопасности ПД;

– разработка системы защиты ПД, обеспечивающей нейтрализацию предполагаемых угроз с использованием методов и способов защиты ПД предусмотренных для соответствующего класса ИСПДн;

– проведение мероприятий, направленных на предотвращение несанкционированного доступа к ПД и (или) передачи их лицам, не имеющим права доступа к такой информации;

...