हम रूस नंबर 17 और नंबर 21 के FSTEC के नए आदेशों का विश्लेषण करते हैं

संभवतः समुदाय के सभी विशेषज्ञों ने पहले ही रूस नंबर 17 और नंबर 21 के FSTEC के आदेशों के बारे में बात कर ली है, हड्डियों को धोया और हमारे नियामक के सभी नवाचारों को समतल पर रख दिया। इसलिए, इस विषय पर एक वेबिनार की योजना बनाते समय, हमने 150-200 प्रतिभागियों की पारंपरिक संख्या पर भरोसा किया।

वास्तविकता काफी हद तक हमारी उम्मीदों से अधिक है। 600 से अधिक पंजीकृत प्रतिभागी एक उद्देश्य सूचक हैं कि इस विषय पर जानकारी अभी भी पर्याप्त नहीं है, हमारे भागीदारों और ग्राहकों को नए प्रावधानों के अतिरिक्त स्पष्टीकरण की आवश्यकता है।

प्रस्तुति में स्वयं कोई सुपर-रहस्योद्घाटन नहीं था; एक ही व्यवस्थित "ठंडे बस्ते में डालने" और कुछ विवादास्पद प्रावधानों पर हमारी स्थिति। लेकिन प्रश्न और उत्तर सत्र मेरे लिए एक वास्तविक परीक्षा थी, जो कि प्रस्तुति के मुकाबले अधिक समय तक चली। हमें बहुत अलग अभिविन्यास के 50 से अधिक प्रश्न प्राप्त हुए हैं: लाइसेंसिंग सूचना सुरक्षा गतिविधियों की जटिलताओं को समझने के लिए विभिन्न सुरक्षा उपायों की एक सरल व्याख्या से।

जो लोग वेबिनार में शामिल नहीं हो सके, उनके लिए वेबिनार की प्रस्तुति और रिकॉर्डिंग साइट पर उपलब्ध है।

यहां मैं उन तीन सबसे अधिक पूछे जाने वाले प्रश्नों पर स्पष्टीकरण देना चाहता हूं, जिनके लिए मेरे पास वेबिनार के दौरान विस्तृत जवाब देने के लिए समय नहीं था।

रूस के एफएसटीईसी का सूचना संदेश 30 मई, 2012 नंबर 240/22/2222 "गोपनीय सूचना के तकनीकी संरक्षण के लिए रूस के एफएसटीईसी का लाइसेंस प्राप्त करने की आवश्यकता के मुद्दे पर" टीएसकेआई के लाइसेंस के बिना काम करने की संभावना की अनुमति देता है, अगर संगठन की गतिविधि कार्यान्वयन से लाभ कमाने के उद्देश्य से नहीं है। गोपनीय जानकारी की तकनीकी सुरक्षा के लिए कार्य या सेवाओं का प्रावधान।

विवरण और अन्य शर्तें जिनके तहत यह अवसर प्राप्त हुआ है, संदेश में विस्तृत हैं, हालांकि, बहुत अस्पष्ट योगों के साथ।

रूस के एफएसटीईसी की इस स्थिति के अनुसार, पीडी ऑपरेटर के लिए टीकेकेआई के लिए लाइसेंस अनिवार्य नहीं है यदि व्यक्तिगत डेटा की रक्षा के लिए गतिविधि सहायक है, अपनी आवश्यकताओं के लिए किया जाता है।

दुर्भाग्य से, जनवरी 2013 में नई FSTEC रूस वेबसाइट के लॉन्च के बाद, यह दस्तावेज़ वहां नहीं मिला, इसलिए इसे कानूनी सूचना प्रणालियों में देखें (उदाहरण के लिए, http://www.garant.ru/products/ipo/prime/doc/ 70104166 / ) है।

सामान्य नियमों के अनुसार, मानक अधिनियम उन संबंधों पर लागू होता है जो इसके प्रवेश के बाद और बल के नुकसान से पहले हुए थे। इसलिए, ऑर्डर नंबर 21 का प्रभाव व्यक्तिगत डेटा सूचना प्रणालियों में नए बनाए गए सुरक्षा प्रणालियों पर लागू होगा।

एक अलग नोट उस स्थिति का हकदार है जब पहले से बनाई गई आईएसपीडी सुरक्षा प्रणाली का आधुनिकीकरण किया जाता है। इस मामले में, सुरक्षा प्रणाली के एक नए संस्करण को वैध बनाने के लिए, आपको नए आदेश के मानदंडों का पालन करना चाहिए। लेकिन आधुनिकीकरण की गहराई को किसी भी चीज द्वारा विनियमित नहीं किया जाता है, इसलिए, प्रत्येक ऑपरेटर इस स्थिति की व्याख्या अपने पक्ष में करेगा, जो नई आवश्यकताओं के लिए संक्रमण को स्थगित कर देगा।

यद्यपि यह आधुनिकीकरण की प्रतीक्षा किए बिना नए मानदंडों के अनुसार एक मौजूदा आईएसपीडी को वर्गीकृत करने के लिए उपयोगी हो सकता है, क्योंकि कई मामलों में पिछली कक्षा K1 UZ2, UZ3 या यहां तक ​​कि UZ4 में बदल सकता है।

बेशक, सभी सॉफ्टवेयर डेवलपमेंट कंपनियों के पास उत्पाद सुरक्षा के स्तर को बढ़ाने और उनमें कमजोरियों की संख्या को कम करने के लिए डिज़ाइन किए गए "सुरक्षित प्रोग्रामिंग तरीकों" के माध्यम से अपना दृष्टिकोण है।

उद्योग में सबसे प्रसिद्ध मॉडल में से एक Microsoft सुरक्षित विकास जीवनचक्र है , जो कई प्रमुख सिद्धांतों पर आधारित है: विकास सुरक्षा, डिफ़ॉल्ट सेटिंग्स का उपयोग करते समय सुरक्षा, तैनाती के दौरान सुरक्षा और डेटा विनिमय के दौरान सुरक्षा। तो, "सुरक्षा कोड" इस मॉडल के अनुसार अपने सभी विकास को पूरा करता है।

इस विषय पर एक और दिलचस्प दस्तावेज है NIST स्पेशल पब्लिकेशन 800-64 सिस्टम डेवलपमेंट लाइफ साइकल में सुरक्षा संबंधी विचार , जो न केवल प्रोग्रामिंग, बल्कि बहुत व्यापक क्षेत्र को कवर करता है। एनआईएसटी सूचना प्रणालियों में सुरक्षा आवश्यकताओं के अनुपालन को सुनिश्चित करने के लिए एक पांच-चरण मॉडल प्रदान करता है, जो ग्राहक उत्पादों के अनुरोध पर तैयार और विकसित किए गए हैं।

सुरक्षित प्रोग्रामिंग के तरीकों के अनुसार बनाए गए उत्पादों की कोई सूची नहीं है। आप डेवलपर्स की घोषणाओं पर ध्यान केंद्रित कर सकते हैं, हालांकि इन तरीकों का पालन करने का मतलब उनके उत्पादों में त्रुटियों या कमजोरियों का पूर्ण अभाव नहीं है। लेकिन वे उन डेवलपर्स की तुलना में काफी कम होने की गारंटी देते हैं जो ऐसे तरीकों का उपयोग नहीं करते हैं।

Stepanenko एंड्री, सुरक्षा निदेशक के विपणन निदेशक