सूचना सुरक्षा और प्रमाणन। अगर कोई अंतर नहीं है - तो अधिक भुगतान क्यों करें?

संक्षिप्त परिचय

कुख्यात 152 संघीय कानून ने हमारे भाई, सिस्टम प्रशासक के लिए बहुत सिरदर्द पैदा किया। कागज पर भी, सूचना सुरक्षा के क्षेत्र में रूसी कानून कई सवाल उठाता है, और जब अभ्यास में कुछ समस्याओं को हल करने की बात आती है ... यहां सब कुछ बहुत दुखी हो जाता है।
मैं व्यक्तिगत रूप से इस लेख को नियमों, टैक्सीवे और अन्य डरावने शब्दों के इस विशाल अंधेरे दायरे में प्रकाश की एक छोटी सी किरण के रूप में मानता हूं जो एक सरल तकनीकी विशेषज्ञ के लिए पूरी तरह से स्पष्ट नहीं हैं। मेरी राय में, प्रबंधन के लिए उपयोगी जानकारी देने के लिए, और पैसे बचाने के बारे में परवाह करने वाले सभ्य नेताओं के लिए और कागज के सभी प्रकार के वास्तविक मूल्य को जानने के लिए तकनीकी विशेषज्ञों दोनों को समझ में आता है।
एक परिचित विषय? फिर बिल्ली का स्वागत है।

प्रत्येक उत्पाद के लिए प्रमाणीकरण दें!

Merced2001 के लिए धन्यवाद, उन्होंने लेख पर एक समझदार टिप्पणी दी।
मैं तुरंत ध्यान देता हूं कि यह लेख एन्क्रिप्शन प्रमाणीकरण के सूक्ष्म बिंदुओं को संबोधित नहीं करता है और राज्य और नगर निगम के सूचना प्रणाली पर लागू नहीं होता है। लेख एक परिचयात्मक लेख है और इसका उद्देश्य पाठक को विचार के लिए भोजन देना है, जो शायद उसे इस विषय को समझने के लिए प्रेरित करेगा। तो अब, एक स्पष्ट विवेक के साथ, आप जारी रख सकते हैं।

शुरू से ही, प्रमाण पत्र का विचार काफी समझ में आता था: कम से कम किसी तरह तकनीकी शर्तों या नियामकों की विशिष्ट आवश्यकताओं के अनुपालन की गारंटी देने के लिए , प्रमाणन प्रक्रिया के लिए समर्पण के एक समारोह से गुजरना आवश्यक था। एक जानकार व्यक्ति तुरंत मुझे "प्रमाण पत्र नहीं, बल्कि अनुरूपता मूल्यांकन" सही करना चाहेगा और वह सही होगा, लेकिन बाद में उस पर और अधिक। दरअसल, कानून कहता है कि व्यक्तिगत डेटा की सुरक्षा के सभी साधनों को एक अनुरूपता मूल्यांकन प्रक्रिया से गुजरना होगा। और किसी भी तरह, इतनी स्पष्ट रूप से, हम सभी आश्वस्त थे कि यह प्रमाणन से ज्यादा कुछ नहीं है। यह समझा गया था कि सभी निर्माता अपने उत्पादों को जल्दी से प्रमाणित करेंगे और खुशी, शांति और साम्यवाद आएंगे। लेकिन, जैसा कि आप जानते हैं, शैतान हमेशा विवरण में होता है। वह लंबे समय तक इंतजार नहीं करता था और तुरंत सतह पर रेंगता था। संदर्भ के लिए - एक उत्पाद को प्रमाणित करने के लिए हमारे रूबल की लागत के बारे में 1,500,000 - 2,000,000। समय से, लगभग एक वर्ष। और यह सब उत्पाद की लागत में स्वचालित रूप से शामिल है। उसी समय, निर्माता प्रमाणन को निवेश के रूप में मानते हैं, जो काफी तार्किक है। प्रतियोगिता की कमी के कारण मूल्य निर्धारण में सबसे नकारात्मक भूमिका निभाई गई थी। लेकिन उच्च मूल्य सभी बुराइयों के सबसे बुरे नहीं हैं। लब्बोलुआब यह है कि सभी अपडेट को भी प्रमाणित किया जाना था। दो सप्ताह की तुलना में तेजी से, यह बस असंभव है। बस कल्पना करें कि आपके पास महत्वपूर्ण भेद्यता फांसी के साथ एक सेवा है, एक तैयार-निर्मित शोषण पहले से ही जनता में दिखाई दिया है, दयालु लोगों ने इसे पहले से ही मेटस्प्लॉइट डेटाबेस में शामिल कर लिया है, और प्रमाणित उत्पाद के आपूर्तिकर्ता ने अभी इस दिशा में खुजली करना शुरू कर दिया है और समाधान दो सप्ताह बाद जल्द ही जारी किया जाएगा। (यह सबसे अच्छा है)। क्या आप अच्छी नींद ले सकते हैं? मैं निश्चित रूप से नहीं कर सकता लेकिन कानून कानून है, कुछ भी नहीं किया जा सकता है। इसलिए हमारे भाई को सिरदर्द का एक समुद्र सहना पड़ा, कभी-कभी दूसरी जगह जाकर। यह मैंने अभी तक "SZI" के साथ जल्दबाजी में की गई गुणवत्ता का उल्लेख नहीं किया है। और किसी तरह मुझे इसके साथ रहना पड़ा।

पीपी 1119 बाहर आया। क्या बदल गया है?

वास्तव में, प्रमाणित उत्पादों के साथ बुनियादी ढांचे के पूर्ण कवरेज को सक्रिय रूप से बढ़ावा देने वाली सरकारी एजेंसियां ​​नंबर एक खतरा बन गई हैं। और चूंकि ऐसा कोई खतरा है - आपको इसे बेअसर करने या नुकसान को कम करने की आवश्यकता है।
यह ध्यान दिया जाना चाहिए कि पीपी 1119 के नियमों को थोड़ा आराम दिया गया था और सामान्य उद्यमों के हाथों को मुक्त कर दिया गया था, जिसे एफएसटीईसी और एफएसबी सुंदर रूप से "व्यक्तिगत डेटा ऑपरेटर" के रूप में संदर्भित करते हैं।
इन राज्य संगठनों का सामना करने का पहला तरीका, जिस तरह से, सबसे साफ, कानूनी और कम से कम महंगा है, उसी व्यक्तिगत डेटा की सुरक्षा के स्तर को प्रतिशोधित और कम करना है। यहाँ, दोनों गणितज्ञ जो डेटाबेस में इस डेटा को मिलाने के लिए एल्गोरिदम के साथ आए थे , और ऑडिटर जिन्होंने प्रस्तावित किया था, उदाहरण के लिए 1C में "विकलांगता" क्षेत्र को "विशेषाधिकार" के साथ बदल दिया, जिससे बायोमेट्रिक डेटा से बचने की कोशिश की गई।
परोक्ष रूप से, यह अतिरिक्त रूप से बुनियादी ढांचे को क्रम में रखता है, जो निश्चित रूप से अच्छा है।
लेकिन यह केवल शीर्ष है, बहुत "मांस" - प्रमाणित उत्पादों का उपयोग करने के लिए तर्क। जैसा कि मैंने पहले ही कहा है, हमारे कानून में फेडरल लॉ 152 और फेडरल लॉ 1119 FSTEC के लिए "अनुरूपता मूल्यांकन प्रक्रिया" के रूप में इस तरह का एक शब्द है, खुशी से सूचना दी कि, वे कहते हैं, यह एक प्रमाणीकरण से ज्यादा कुछ नहीं है । लेकिन, वास्तव में, ऐसा नहीं है। कानूनी रूप से, वे सही हैं; प्रमाणन वास्तव में एक अनुरूपता मूल्यांकन प्रक्रिया है, लेकिन यह केवल इसका सबसेट है।
यदि हम FZ 184 की ओर मुड़ते हैं, तो यह पढ़ता है:
अनुरूपता मूल्यांकन - सुविधा के लिए आवश्यकताओं के अनुपालन का प्रत्यक्ष या अप्रत्यक्ष निर्धारण;
अनुरूपता मूल्यांकन राज्य नियंत्रण (पर्यवेक्षण), मान्यता, परीक्षण, पंजीकरण, अनुरूपता की पुष्टि, स्वीकृति और सुविधा के कमीशन के रूप में किया जाता है, जिसका निर्माण पूरा हो गया है, और एक अलग रूप में।
इसलिए, स्वीकृति और कमीशनिंग, बशर्ते कि उन्होंने सूचना सुरक्षा के लिए प्रक्रियाएं विकसित की हैं, काफी अनुरूपता मूल्यांकन प्रक्रिया है। और चूंकि वे सभी किसी भी मामले में गुजरते हैं, इसलिए मौजूदा साधनों का यथासंभव कुशलतापूर्वक उपयोग क्यों न करें!
यह दृष्टिकोण काफी मूर्त लाभ देता है:
उन उत्पादों का उपयोग जो आपके लिए सबसे उपयुक्त हैं, और प्रमाणित उत्पादों की उस छोटी संख्या से पसंद नहीं है।
एक विशिष्ट आपूर्तिकर्ता के लिए बाध्यकारी की कमी, क्योंकि आप हमेशा मानक प्रक्रिया को चलाकर, कुछ नया कर सकते हैं।
यह मुफ्त सॉफ्टवेयर और उन उत्पादों के उपयोग को सही ठहराने के लिए सभी के हाथों को मुक्त करता है जो कार्य को प्रभावी ढंग से हल करने में सक्षम हैं, और न केवल एक ध्वज की तरह एक मुद्रित पेपर को तरंगित करते हैं। स्नोडेन के बयानों के बाद हाल के दिनों का विशेष रूप से खुला स्रोत सॉफ्टवेयर।
वैसे, विचार के लिए भोजन, माइक्रोसॉफ्ट में गोपनीयता के पूर्व प्रमुख अब केवल मुफ्त सॉफ्टवेयर पर भरोसा करते हैं ।

अगले लेख में मैं बात करूंगा कि आप हमारे कानून के नए मानकों के आधार पर उद्यम में सूचना सुरक्षा प्रदान करने के लिए ओपन सोर्स सॉफ्टवेयर का उपयोग कैसे कर सकते हैं। शायद दस्तावेज़ टेम्पलेट के साथ भी, अगर समय हो।