सुरक्षा प्रमाणन और व्यक्तिगत जानकारी

सूचना सुरक्षा साधनों के प्रमाणन के कारण, आईटी लोगों के लिए भारी संख्या में प्रश्न पैदा होंगे। और दुर्भाग्य से न केवल उसके साथ: "कानूनविद" और "कार्यप्रणाली मॉडल" खुद को हमेशा प्रमाणीकरण के सवाल का ठीक से जवाब नहीं दे सकते हैं। यहाँ शायद दो उप-प्रश्नों को प्रतिष्ठित किया जा सकता है:
1. "नियामक प्राधिकरण" क्या चाहते हैं (FSTEC, FSB, Roskomnadzor) - इसके बाद "KO" के रूप में जाना जाता है;
2. और कानून और कार्यप्रणाली को "क्या" चाहिए।
सूचना सुरक्षा और प्रमाणन के जवाब में आंशिक रूप से लिखा गया है । अगर कोई अंतर नहीं है - तो अधिक भुगतान क्यों करें? , जहां, मुझे लगता है, मामलों की वर्तमान स्थिति को सही ढंग से प्रस्तुत नहीं किया गया है ... हालांकि मैंने कॉर्पोरेट निकायों, प्रमाणन निकायों, ग्राहकों और सुरक्षा प्रणालियों को लागू करने में अनुभव के साथ संवाद करने में व्यक्तिगत अनुभव से इस पर एक नज़र डाली।

इस लेख को फारसी के संरक्षण के क्षेत्र में कानून पर वैज्ञानिक कार्य के रूप में न लें। डेटा। बल्कि, विषय पर एक लघु निबंध के रूप में।

क्या कानून और तरीके "चाहते हैं"

1 नवंबर, 2012 नंबर 1119 की रूसी संघ की सरकार की डिक्री की रिहाई से पहले "व्यक्तिगत डेटा सूचना प्रणालियों में उनके प्रसंस्करण के दौरान व्यक्तिगत डेटा की सुरक्षा के लिए आवश्यकताओं की स्वीकृति पर", स्थिति लगभग इस प्रकार थी:
प्रमाणन, अनुरूपता मूल्यांकन सूचना सुरक्षा का एकमात्र संभव रूप था ।
अन्य विधियां थीं, लेकिन उनके साथ यह अधिक मजेदार था: विशिष्ट प्रकार के सुरक्षात्मक उपकरणों के लिए अनुरूपता मूल्यांकन के लिए कोई तकनीकी नियम नहीं थे। आवश्यकताएं थीं, लेकिन कोई मूल्यांकन दिशानिर्देश नहीं थे। और राज्य के लिए, सब कुछ सरल है: कोई सत्यापन प्रक्रिया नहीं है (अर्थात, यह वर्णित नहीं है कि आवश्यकता को पूरा करने के लिए कौन से विशिष्ट प्रक्रियाएं सत्यापन हैं), जिसका अर्थ है कि कोई सत्यापन नहीं है।
शायद अपने दम पर "कार्यक्रम और कार्यप्रणाली के लिए कार्यप्रणाली का आकलन" लिखना संभव है, इसे FSTEC या प्रमाणन निकाय (जो बहुत संभावना नहीं है) के साथ समन्वयित करें, और "प्रोटोकॉल ..." लिखें। लेकिन इस मुद्दे की जांच नहीं की गई थी, क्योंकि ज्यादातर मामलों में यह बहुत श्रमसाध्य था और भुगतान नहीं किया था। प्रमाणित उत्पाद खरीदना या "थ्रेट मॉडल ..." में एक खतरे से दूर जाना आसान था।
यह तकनीकी दृष्टि से काफी सरल लग रहा होगा, अगर एसवीटी की एक SZI 5 सुरक्षा वर्ग प्रदान करना आवश्यक था, जो कि ज्यादातर मामलों में पर्याप्त था (जो, त्वरित नज़र में, एक ब्लैकमेल सिस्टम के रूप में उत्पाद के प्राधिकरण कार्यों का परीक्षण कर रहा है), लेकिन, उदाहरण के लिए, यदि उत्पाद था वर्ग K1 प्रणाली, NDV (अघोषित क्षमताओं की कमी) के नियंत्रण को सुनिश्चित करने के लिए यह आवश्यक था। और स्तर 4 एनडीवी नियंत्रण अनिवार्य रूप से कोड अतिरेक की कमी है, जिसे एके-वीएस या एइएस जैसे प्रमाणित साधनों द्वारा फिर से पुष्टि की जानी चाहिए, जिसकी लागत कई सौ हजार रूबल है।
हां, आप इसे मैन्युअल रूप से कर सकते हैं, लेकिन आपके पास एक बंद स्रोत उत्पाद कब है? या क्या उत्पाद इतना जटिल है कि मैन्युअल रूप से इस काम में बहुत समय लगता है? और फिर, "कार्यक्रम और तरीके ..." सहमत होने का मुद्दा।
और मैं आपको एक छोटा सा रहस्य बताता हूं: वर्तमान में, प्रमाणन प्रयोगशालाओं के लिए, कोई मूल्यांकन विधियां और प्रक्रियाएं नहीं हैं, और कई प्रयोगशालाएं उन्हें अनुभव के रूप में बनाती हैं। और अनुभव अधिक नीचे आता है कि क्या प्रमाणन निकाय द्वारा पद्धति को मंजूरी दी जाएगी, और सुरक्षात्मक कार्यों के मूल्यांकन की गुणवत्ता को नहीं।
डिक्री नंबर 1119 जारी होने के साथ, स्थिति थोड़ी बदल गई है।
अनुच्छेद 12 में लिखा है:

यह सुनिश्चित करने के लिए ... सूचना प्रणालियों में उनके प्रसंस्करण के दौरान व्यक्तिगत डेटा की सुरक्षा का स्तर, निम्न आवश्यकताओं को पूरा किया जाना चाहिए: ...
d) सूचना सुरक्षा उपकरणों का उपयोग जिन्होंने सूचना सुरक्षा के क्षेत्र में रूसी संघ के कानून की आवश्यकताओं के अनुपालन का आकलन करने के लिए प्रक्रिया को पारित किया है, उस स्थिति में जब ऐसे उपकरणों का उपयोग वर्तमान खतरों को बेअसर करने के लिए आवश्यक है।

मैं अपनी दृष्टि को आवाज़ दूंगा: अब प्रमाणित एसआईएस को वास्तविक खतरों को बंद करने की आवश्यकता है, क्रमशः, आपके हाथों में सही ढंग से "थ्रेट मॉडल ..." की रचना होती है, जिससे एसआईएस डेटा का उपयोग कम से कम हो जाता है। विनियमन में परिशिष्ट में निर्दिष्ट उपाय बने रहे। लेकिन आवश्यक उपायों को लागू करने के लिए SZI के उपयोग पर डिक्री या अन्य नियामक दस्तावेजों में कोई संकेत नहीं है।
इसके अलावा, "प्रमाणन" के बजाय "अनुरूपता मूल्यांकन" अब मामूली संकेत दिया गया है। लेकिन मैंने इस बिंदु को ऊपर माना: हां, यह जरूरी नहीं कि डे जुरे सर्टिफिकेशन हो, लेकिन डी फैक्टो सर्टिफिकेशन हो। और यह नीचे क्यों माना जाना चाहिए।

नियामक अधिकारी "क्या" चाहते हैं

मुझे लगता है कि यहां दो बिंदु ध्यान देने योग्य हैं:
1. सबसे पहले, यह ध्यान देने योग्य है कि कॉरपोरेट संस्थाओं का अक्सर कानून में लिखा हुआ अपना अलग दृष्टिकोण होता है। हालांकि, वे अपने दृष्टिकोण पर भारी टिप्पणी नहीं करने जा रहे हैं। यह डिक्री 1119 के "चर्चा" को याद करने के लिए पर्याप्त है, जिसमें सीओ ने सभी को आमंत्रित किया, लेकिन किसी की भी बात नहीं सुनी और किसी पर टिप्पणी नहीं की। दो धारणाएं हैं: या तो उन्हें समझ में नहीं आया कि उन्हें क्या कहा गया था, या शो के लिए "चर्चा" शुरू हुई थी। मेरी राय: बस थोड़ा सा।
हमारे संगठन ने कुछ बिंदुओं पर टिप्पणी पाने के लिए कई बार कोशिश की, जिन्हें हम इंटीग्रेटर्स के रूप में, पूरा करना चाहिए, लेकिन जवाब केवल यह था: "यह हमारा व्यवसाय नहीं है कि हम क्या टिप्पणी करें" (एक मजाक के रूप में - "मैं खुद इसके साथ आया था" नाराज ")।
आधिकारिक FSTEC वेबसाइट ( यहां पूरा पाठ) पर सूचना सांकेतिक थी:

उसी समय, हम सूचित करते हैं कि रूस के एफएसटीईसी को व्यक्तिगत डेटा की सुरक्षा के लिए आवश्यकताओं को स्पष्ट करने का अधिकार नहीं है, जब उन्हें 1 नवंबर, 2012 एन 1119 की सरकार द्वारा अनुमोदित व्यक्तिगत डेटा सूचना प्रणालियों में संसाधित किया जाता है, जिसमें व्यक्तिगत डेटा के खतरों का निर्धारण करना शामिल है। व्यक्तिगत डेटा की सुरक्षा के स्तर को निर्धारित करने की प्रक्रिया।

2. पैराग्राफ 1 के संबंध में, चेक के दौरान सभी कार्ड FSTEC (FSTEC के चेक के दौरान) के हाथों में होंगे। यह अभी भी इस तथ्य से जटिल है कि प्रत्येक संघीय जिले का अपना FSTEC, रोसकोम्नाडज़ोर, एफएसबी है और किसी कारण से इस संबंध में देखने के बिंदु उनके पास अपने हैं और मौलिक रूप से पड़ोसी संघीय जिले से भिन्न हो सकते हैं।

तो क्या करें

1. वर्तमान खतरों की सूची को कम करने की कोशिश करें; यहां, कोई भी वास्तव में आपको प्रतिबंधित नहीं करता है। उचित तर्क दें, उन्हें "धमकी मॉडल ..." में लिखें। लेकिन यह भी इसके लिए अभेद्य बनने के लायक नहीं है।
2. मॉडल के आधार पर, एसपीआई की सूची निर्धारित करें।
ध्यान रखें कि खतरे को बंद करने के लिए, आपको सभी सॉफ़्टवेयर को प्रमाणित करने की आवश्यकता नहीं है, आपको सुरक्षा तंत्र को प्रमाणित करने की आवश्यकता है: यदि आपने NTLM प्रमाणीकरण (Kerberos) का उपयोग करके प्रसंस्करण सॉफ्टवेयर में लॉग इन किया है और सभी अधिकार डोमेन स्तर पर प्रतिष्ठित हैं, डोमेन तंत्रों को प्रमाणित करते हैं, और सॉफ्टवेयर ही नहीं (यदि NDV की आवश्यकता नहीं है), किसी प्रकार का सीक्रेट नेट, डलास लॉक, विंडोज प्रमाणन पैक।
इस संबंध में, यह पाठक पर निर्भर है कि वह "मुद्रा में खड़ा है" या कम से कम जोखिम और लागत के साथ एक लक्ष्य प्राप्त कर सकता है।
सौभाग्य से, यह ध्यान देने योग्य है कि अधिकांश उपयोग किए जाने वाले उत्पादों ने प्रमाणीकरण पारित कर दिया है और बाजार में सभी छात्र रूसी शिल्प नहीं हैं। यदि रुचि है, तो मैं प्रदर्शन के न्यूनतम नुकसान के लिए उपायों की एक छोटी समीक्षा लिख ​​सकता हूं।