व्यक्तिगत डेटा सुरक्षा अभ्यास

हेलो, हेब्र!
1 जुलाई आ रहा है, और इसके साथ FZ-152 "व्यक्तिगत डेटा पर" लागू करने की आवश्यकता आ रही है। इस संबंध में, मैं इस क्षेत्र में अपना अनुभव साझा करना चाहता हूं। सूचना सुरक्षा ब्लॉग में पहले से ही दस्तावेजों को लिखने के पदों की एक श्रृंखला है, हालांकि, कागज के अलावा, सूचना सुरक्षा के कुछ तकनीकी साधनों का उपयोग करना आवश्यक हो सकता है। जिसके लिए यह विषय समर्पित है।

ध्यान रखने वाली पहली बात यह है कि हमारे पास केवल सूचना सुरक्षा के साधन हैं जिनके पास वैध FSTEC प्रमाणपत्र (अनधिकृत पहुंच के खिलाफ सुरक्षा के लिए - अनधिकृत पहुंच) और FSB (क्रिप्टोग्राफी और फ़ायरवॉलिंग के लिए) है। दुर्भाग्य से, प्रमाण पत्र समय-समय पर समाप्त हो जाते हैं, और यदि निर्माता प्रमाण पत्र को नवीनीकृत करने के लिए परेशान नहीं करता है, तो सत्यापन समस्या पैदा कर सकता है। इनसे बचने के दो तरीके हैं:
1) सुरक्षात्मक उपकरण खरीदने से पहले, निर्माता या आपूर्तिकर्ता के साथ परामर्श करें, जब वर्तमान प्रमाणपत्र समाप्त हो जाता है, और क्या निर्माता इसे नवीनीकृत करने का इरादा रखता है। यह निर्माता की वेबसाइट को देखने के लायक भी है - एक नया संस्करण है, फिर पुराने को बढ़ाया नहीं जा सकता है।
2) यदि उपकरण पहले ही खरीदे जा चुके हैं, और निर्माता प्रमाण पत्र को नवीनीकृत करने नहीं जा रहा है - तो आप प्रमाणन निकाय से स्वयं संपर्क कर सकते हैं और अपनी प्रति (केवल अपना) के लिए एक प्रमाण पत्र प्राप्त कर सकते हैं। एक निश्चित राशि के लिए, जैसा कि आप समझते हैं।
इसके अलावा, यह तय करना आवश्यक है कि वास्तव में हमें सुरक्षा के साधन क्या चाहिए? यदि आपका आईएसपीडी एक विशिष्ट है, तो व्यक्तिगत डेटा की सुरक्षा के लिए आवश्यकताओं को एफडीईसीईसी नंबर 58 के आदेश में परिशिष्ट में वर्णित किया गया है, जो यहां पाया जा सकता है । यदि आपका ISPD विशेष है, तो सुरक्षा आवश्यकताओं को "निजी खतरा मॉडल ..." में वर्णित किया गया है, जिसे ISPD सर्वेक्षण से संकलित किया गया है। मुझे तुरंत समझाएं - एक विशिष्ट आईएसपीडी एक सूचना प्रणाली है, जिसमें केवल व्यक्तिगत डेटा की गोपनीयता के लिए आवश्यकताएं होती हैं, और पहुंच और अखंडता को एक तरफ छोड़ दिया जाता है। मैं ISPD को विशेष क्यों बना सकता हूं? यह प्रासंगिक है, मेरी राय में, केवल ISPDn प्रथम श्रेणी (K1) के लिए, क्योंकि आवश्यकताओं में PEMIN (द्वितीयक विद्युत चुम्बकीय विकिरण और हस्तक्षेप) से सुरक्षा शामिल है। "प्राइवेट थ्रेट मॉडल ..." बनाना PEMIN से दूर होने और जीवन को बहुत सरल बनाने में मदद करता है। सुरक्षा का सार एक विद्युत चुम्बकीय शोर जनरेटर स्थापित करने और ISPD हार्डवेयर और एक ही परिसर में स्थित सभी तकनीकी उपकरणों के स्थान और संरचना को ठीक करने के लिए नीचे आता है। यही है, आप केवल प्रमाणन परीक्षण करने वाले निकाय के साथ अनुबंध करके परिवर्तन कर सकते हैं। ISPDn की संरचना में परिवर्तन से सत्यापन जाँच या पुनरावृत्ति हो सकती है।
हम मान लेंगे कि हमने PEMIN को छोड़ दिया है, अब आइए सूचना सुरक्षा उपकरण और उनके आवेदन के लिए विशिष्ट विकल्पों को देखें। सामान्य तौर पर, सभी उपायों को कई समूहों में विभाजित किया जा सकता है:

स्थानीय SZI एन.एस.डी.

SZI NSD अनधिकृत पहुँच से जानकारी की सुरक्षा के साधन के लिए एक संक्षिप्त नाम है। उन उपयोगकर्ताओं की अनधिकृत कार्रवाइयों को रोकने के लिए उपयोग किया जाता है जिनके पास ISPD कार्यस्थानों तक पहुंच है। इनमें रिमूवेबल मीडिया (सीडी / डीवीडी, फ्लैश ड्राइव), डिवाइस कंट्रोल (ताकि आप लेफ्ट यूएसबी फ्लैश ड्राइव और मर्ज इंफॉर्मेशन को कनेक्ट नहीं कर सकें), और अनिवार्य एक्सेस कंट्रोल (ISPD की आवश्यकता नहीं है) को लागू करने जैसे तंत्र शामिल हैं। मैं केवल उन उपकरणों को दूंगा जिन्हें मैंने व्यक्तिगत रूप से काम किया था:
1) गुप्त नेट। इसे लोड नियंत्रण बोर्ड के साथ या बिना आपूर्ति किया जा सकता है। यह secpol.msc के माध्यम से काम करता है, इसलिए यह होम संस्करणों पर काम नहीं कर सकता है (यह विंडोज़ एक्सपी होम पर निश्चित रूप से काम नहीं करता है, लेकिन विस्टा और विंडोज 7 ने अभी तक इसका परीक्षण नहीं किया है)। यह संचालित करने के लिए काफी सरल है, इसमें सबसे अच्छा है, देखा गया, उपकरणों को नियंत्रित करने के लिए तंत्र। एक नेटवर्क संस्करण है जिसे एक डोमेन संरचना में एकीकरण के लिए डिज़ाइन किया गया है।
2) गार्ड एन.टी. अनिवार्य अभिगम नियंत्रण के लिए सबसे अच्छा तंत्र। इसे संचालित करना अधिक कठिन है (इस तथ्य के कारण कि सुरक्षात्मक तंत्र का हिस्सा बंद नहीं किया जा सकता है)। कोई नेटवर्क संस्करण नहीं है।
3) डलास लॉक। बेघर नेटवर्क में नेटवर्क विकल्प की सामान्य तैनाती की संभावना को छोड़कर, सभी मापदंडों पर विचार किया जाता है।
जैसा कि नाम से ही स्पष्ट है, ये उपकरण स्थानीय मशीनों पर उपयोग किए जाते हैं। यहाँ जोड़ने के लिए कुछ भी नहीं है।

फायरवॉल

मुझे लगता है कि उद्देश्य, स्पष्ट है। इसके अलावा, अगर एक आईएसपीडी को फ़ायरवॉल द्वारा दो भागों में विभाजित किया जाता है, तो हम उन्हें दो अलग-अलग आईएसपीडी कह सकते हैं। किस लिए? यदि आप संसाधित व्यक्तिगत डेटा विषयों की संख्या के संदर्भ में पहली कक्षा में आते हैं, तो ISPD को दो भागों में विभाजित करते हुए, आप प्रत्येक ISPD में संसाधित विषयों की संख्या कम कर देंगे और आपको K1 नहीं, बल्कि K2 प्राप्त होगा। अब बाजार में कई प्रमाणित फायरवॉल हैं:
1) VipNet व्यक्तिगत फ़ायरवॉल। बस एक व्यक्तिगत फ़ायरवॉल, बिना किसी तामझाम के। इसका प्रबंधन केवल स्थानीय स्तर पर किया जाता है। कोई केंद्रीकृत प्रबंधन तंत्र नहीं है। इसे शुरू करने के लिए एक पासवर्ड की आवश्यकता होती है, अगर इसे दर्ज नहीं किया जाता है, तो यह शुरू नहीं होता है।
2) VipNet कार्यालय फ़ायरवॉल। एक ही बात है, लेकिन कई नेटवर्क कार्ड का समर्थन करता है, जो आपको इसे गेटवे पर स्थापित करने की अनुमति देता है, और इसका उपयोग आईएसडीएन खंड के लिए करता है।
3) एसएसपीटी -2। हार्डवेयर-सॉफ्टवेयर कॉम्प्लेक्स FreeBSD पर चलता है, हालांकि कोई भी आपको ओएस के लिए एक्सेस नहीं देगा। यह जल्दी से काम करता है, कई मापदंडों द्वारा फ़िल्टरिंग का समर्थन करता है। इसमें एक अप्रिय विशेषता है - नियमों को सूची में ऊपर से नीचे तक लागू किया जाता है, और शीर्ष पर स्थित नियमों की एक उच्च प्राथमिकता है। यह प्रलेखन में परिलक्षित नहीं होता है, यह अनुभवजन्य रूप से पहचाना गया था। इसे स्थानीय कंसोल और वेब इंटरफ़ेस के माध्यम से नियंत्रित किया जाता है।
4) एपीके "कॉन्टिनेंट"। सामान्य तौर पर, यह एक फ़ायरवॉल नहीं है, लेकिन एक क्रिप्टो रूटर है, लेकिन आईटीयू फ़ंक्शन के साथ। यह वास्तुकला में एसएसपीटी -2 के समान है, लेकिन स्थानीय कंसोल से कोई नियंत्रण नहीं है - केवल एक विशेष व्यवस्थापक कंसोल के माध्यम से। इसके अलावा, प्रारंभिक सेटअप के दौरान, आपको उस इंटरफ़ेस को निर्दिष्ट करना होगा जिसमें व्यवस्थापक का कंप्यूटर जुड़ा होगा।
इसके अलावा, सिक्योरिटी कोड ने दो और उत्पाद जारी किए - ITU + HIPS सिक्योरिटी स्टूडियो एंडपॉइंट प्रोटेक्शन एंड ट्रस्ट एक्सेस ने कर्बेरॉस ऑथेंटिकेशन का उपयोग करके फ़ायरवॉल और सेगमेंट को मिलाकर फ़ायरवॉल सिस्टम वितरित किया। चूंकि मुझे इन उत्पादों के साथ काम नहीं करना था, इसलिए मैं उनके विवरण के लिए केवल लिंक प्रदान करूंगा:
TrustAccess
SSEP
इसके अलावा, एक अन्य उत्पाद का उत्पादन प्रमाणित किया गया - स्टोनगेट फ़ायरवॉल / वीपीएन। फिनिश कंपनी Stonesoft का उत्पाद। यह CryptoPRO एन्क्रिप्शन मॉड्यूल के साथ आता है, जो इसे एक प्रमाणित वीपीएन समाधान के रूप में उपयोग करने की अनुमति देता है।

CIPF

वे क्रिप्टोग्राफिक सुरक्षा के भी साधन हैं। पहले से उल्लेख किए गए स्टोनगेट फ़ायरवॉल / वीपीएन के अलावा, दो और वीपीएन समाधान हैं:
1) VipNet कस्टम। यह VipNet एडमिनिस्ट्रेटर - प्रबंधन कार्यक्रम, VipNet समन्वयक - ITU फ़ंक्शंस के साथ VPN सर्वर और VipNet क्लाइंट - VPN क्लाइंट और ITU का एक कॉम्प्लेक्स है। प्रबंधन कार्यक्रम का उपयोग केवल चाबियाँ और प्रमाण पत्र बनाने के लिए किया जाता है, फ़ायरवॉल सेटिंग्स का प्रबंधन केवल स्थानीय रूप से संभव है। केवल अंतर्निहित आरडीपी प्रशासन के साथ मदद कर सकता है। इसलिए इसमें एक आंतरिक संदेशवाहक और आंतरिक मेल शामिल है। फायदों को केवल इस तथ्य के लिए जिम्मेदार ठहराया जा सकता है कि यह एक विशुद्ध रूप से सॉफ्टवेयर समाधान है जिसे आसानी से मौजूदा बुनियादी ढांचे में एकीकृत किया जा सकता है।
2) APKKS "महाद्वीप"। सिद्धांत रूप में, मैंने पहले से ही उसके बारे में बात की थी। मैं केवल यह जोड़ूंगा कि क्लाइंट (कॉन्टिनेंट-एपी) के नवीनतम संस्करण में फ़ायरवॉल फ़ंक्शन दिखाई दिए हैं, और यहां तक ​​कि लिनक्स के लिए एक क्लाइंट भी है। क्रिप्टोग्राफ़िक गेटवे स्वयं केवल व्यवस्थापक के कंसोल से प्रबंधित किए जाते हैं, लेकिन दूरस्थ रूप से। यह भी ध्यान देने योग्य है कि स्टार्ट-अप सेटअप (यानी, क्रिप्टो-गेटवे के लिए नेटवर्क कॉन्फ़िगरेशन और कुंजियों का स्थानांतरण) स्थानीय रूप से किया जाता है, सभी आवश्यक जानकारी के साथ एक यूएसबी फ्लैश ड्राइव खिलाकर। यदि आपने कॉन्फ़िगरेशन बनाते समय कोई गलती की है और पहले से ही क्रिप्टो-गेटवे को दूरस्थ बिंदु पर भेज दिया है, तो आप इसे दूर से लेने में सक्षम नहीं होंगे और इसे ठीक करने के लिए कुछ होगा, आपको कॉन्फ़िगरेशन को फिर से उत्पन्न करना होगा और किसी तरह इसे दूरस्थ बिंदु पर स्थानांतरित करना होगा।

मूल रूप से, यहां उन सभी प्रमाणित सुरक्षात्मक उपकरणों का संक्षिप्त विवरण है जो मैं जानता हूं। मुझे उम्मीद है कि यह जानकारी समुदाय के लिए उपयोगी होगी।