Президенте Российской Федерации по развитию информационного общества межрегиональный семинар
| Вид материала | Семинар |
- Президенте Российской Федерации по развитию информационного общества межрегиональный, 776.07kb.
- Президенте Российской Федерации по развитию информационного общества межрегиональный, 379.69kb.
- Президенте Российской Федерации по развитию информационного общества межрегиональный, 485.27kb.
- Президенте Российской Федерации по развитию информационного общества межрегиональный, 454.31kb.
- Президенте Российской Федерации по развитию информационного общества межрегиональный, 1764.64kb.
- Президенте Российской Федерации по развитию информационного общества межрегиональный, 3606.18kb.
- Президенте Российской Федерации по развитию информационного общества. Врамках семинар, 74.59kb.
- Президенте Российской Федерации по развитию информационного общества межрегиональный, 363.15kb.
- Президенте Российской Федерации по развитию гражданского общества и правам человека,, 1162.29kb.
- Методические рекомендации по порядку организации работ по созданию субъектом российской, 34.87kb.
ТЕМАТИКА ДОКЛАДОВ И ВЫСТУПЛЕНИЙ УЧАСТНИКОВ МЕЖРЕГИОНАЛЬНОГО СЕМИНАРА «ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ СИСТЕМ ОРГАНОВ ИСПОЛНИТЕЛЬНОЙ ВЛАСТИ СУБЪЕКТОВ РФ».
1. Организация работы в органах исполнительной власти города Москвы по защите информационных систем, обрабатывающих персональные данные
Роман Василенко (Управление информатизации города Москвы)
см. презентацию доклада (на вкладке)
Два пути организации защиты ПДн:
1. Организация защиты персональных данных как продолжение защиты информации ограниченного доступа (Конфиденциальной информации)
2. Организация защиты информации с «нуля»
Общность организации защиты информации ограниченного доступа и персональных данных:
- Традиционные требования по защите конфиденциальной информации (СТР-К):
-ЧТЗ, ТЗ, модель нарушителя, модель угроз;
-Сертифицированные СЗИ;
-Аттестованные объекты информатизации;
-Организационно-распорядительная и эксплуатационная документация на АСЗИ;
-Наличие квалифицированных специалистов.
- Дополнительные требования (мет.документы по ПДн):
-Идентификация и классификация ИСПДн;
-Частная модель угроз – оптимизация системы ЗИ;
-Доп.организационно-распорядительная документация;
-Возможна модернизация СЗИ (ИСПДн К1), а также доп.СЗИ.
Управлением информатизации организованы следующие мероприятия:
-разработан подробный опросный лист о системах, обрабатывающих персональные данные и методика его заполнения;
-разработан и направлен в органы исполнительной власти города Москвы «Типовой план мероприятий органов исполнительной власти города Москвы», а также формы отчетности о выполнении данного Плана;
-разработаны прототипы Частных технических заданий на создание (модернизацию) подсистем информационной безопасности для информационных систем, обрабатывающих персональные данные органов исполнительной власти города Москвы;
-создана рабочая группа по оказанию практической помощи в выполнении организационных мероприятий, в разработке методических документов, регламентирующих работу ОИВ по защите персональных данных, выработке рекомендаций по дальнейшему развитию работ для каждого органа исполнительной власти;
-разработан и доведен до органов исполнительной власти сборник действующих нормативных документов по вопросам информационной безопасности.
-на этапе разработки находятся методические рекомендации органам исполнительной власти по организации работы и реализации требований действующего законодательства в части защиты конфиденциальной информации.
Ключевые требования по защите ПДн:
Должны быть выполнены необходимые организационные и технические мероприятия в зависимости от класса ИСПДн;
-Средства защиты информации должны быть сертифицированы;
-Программное обеспечение должно пройти проверку на отсутствие недекларированных возможностей для ИСПДн класса К1 (К2 и К3 по решению оператора);
-ИСПДн К1, К2 (К3) должны быть аттестованы по требованиям безопасности информации.
Как оптимизировать бюджет:
-оптимизация состава обрабатываемых ПДн;
-обоснованная классификация ИСПДн, снижение класса систем организационными мерами;
-правильное моделирование угроз безопасности ПДн;
-оптимизация структуры ИСПДн и процессов обработки ПДн, в том числе локализация ПДн в защищённом сегменте ИСПДн, разделение ИСПДн на сегменты разных классов;
-оптимизация состава применяемых организационных и технических мер обеспечения безопасности ПДн, разработка типовых решений;
-унификация состава применяемых СЗИ.
Дальнейшие направления работы:
Разработка единых принципов взаимодействия и единой городской технической политике по информационной безопасности;
-Комплексный подход к защите информационных систем, обрабатывающих персональные данные, переход от защиты отдельных систем к защите периметра нескольких систем;
-Выработка типовых решений по защите ИСПДн разных классов.
2. Идентификация пользователей и сервисов в сети Интернет
Владимир Габриель (Microsoft Россия)
см. презентацию доклада (на вкладке)
Сервис идентификация и аутентификация обеспечивает аутентификацию участников коммуникации и аутентификацию источника данных.
Сервис целостности предотвращает преднамеренное или случайное несанкционированное изменение данных, в том числе их ввод, уничтожение или модификацию (изменение, сокращение или дополнение), в процессе передачи по сети. Для гарантирования целостности система должна обнаруживать несанкционированную модификацию информации. Цель получателя информации - убедиться в том, что данные при передаче не были изменены.
Сервис конфиденциальности обеспечивает защиту от несанкционированного получения информации: разрешает доступ к конфиденциальным данным только пользователям, имеющим соответствующие права, и предотвращает несанкционированное раскрытие информации не имеющими полномочий пользователями или процессами.
Различают следующие виды конфиденциальности:
- конфиденциальность данных при взаимодействии с установлением соединения;
- конфиденциальность данных при взаимодействии без установления соединения;
- конфиденциальность отдельных полей данных (избирательная конфиденциальность);
- конфиденциальность трафика (защита информации, которую можно получить, анализируя трафик).
К основным сервисам безопасности, помимо перечисленных выше, международный стандарт X.800 (Recommendation X.800) относит также и сервис неотказуемости. Строго говоря, сервис неотказуемости является сервисом, он предоставляет лишь электронные доказательства времени подписания или передачи данных и аутентификации источника данных, которые в случае возникновения спора между сторонами могут быть учтены или оспорены во время судебного разбирательства. При принятии решения о неправомерных действиях одной из сторон более важен человеческий фактор, нежели результат процедуры, выполняемой автоматически. Поэтому сервис неотказуемости рассматривается в главе, которая посвящена сервисам.
Идентификация и аутентификация
Идентификацией субъекта называется процесс сопоставления введенной им своей характеристики с некоторым идентификатором, хранимым системой. В дальнейшем идентификатор субъекта используется для предоставления субъекту определенного уровня прав и полномочий. Аутентификацией субъекта называется процедура проверки принадлежности идентификатора субъекту. Аутентификация осуществляется на основании того или иного секретного элемента (аутентификатора), которым располагают как субъект, так и информационная система.
Обычный способ идентификации - ввод имени пользователя при входе в систему. Для аутентификации пользователей, то есть проверки подлинности их личности, чаще всего используются пароли. При аутентификации источника данных подтверждается подлинность источника отдельной порции данных. Функция не обеспечивает защиты против повторной передачи данных.
Аутентификация обычно находит применение в двух основных контекстах: идентификации субъекта и идентификации источника данных.
Идентификация субъекта служит просто для распознавания субъекта независимо от его последующих действий. Очевидно, что одной идентификации недостаточно, поскольку субъект, как правило, не только называет себя, но и желает получить возможность выполнять некоторые действия. На практике результат идентификации субъекта позволяет ему связываться с другими субъектами или выполнять определенные виды активности. Например, в результате идентификации субъект может получить секретный ключ, которым он затем может воспользоваться для расшифрования файла, а также для установления защищенной связи с другим субъектом. Идентификационные данные субъекта, который прошел аутентификацию, также могут быть связаны с некоторыми полномочиями доступа, на основании которых принимаются решения по контролю доступа.
Все приведенные замечания были сделаны вовсе не для того, чтобы преуменьшить важность идентификации субъекта. Защищенная система не может существовать без строгого механизма аутентификации. Аутентификация - это критически важный и необходимый шаг к работе защищенной системы, но это только первый шаг. Аутентификация сама по себе не является конечной целью.