Способы ограничения программной среды

3.3. «Методический документ. Меры защиты информации в государственных информационных системах» (утв. ФСТЭК России 11.02.2014)

3.3. ОГРАНИЧЕНИЕ ПРОГРАММНОЙ СРЕДЫ (ОПС)

3.3. ОГРАНИЧЕНИЕ ПРОГРАММНОЙ СРЕДЫ (ОПС)

ОПС.1 УПРАВЛЕНИЕ ЗАПУСКОМ (ОБРАЩЕНИЯМИ) КОМПОНЕНТОВ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ, В ТОМ ЧИСЛЕ ОПРЕДЕЛЕНИЕ ЗАПУСКАЕМЫХ КОМПОНЕНТОВ, НАСТРОЙКА ПАРАМЕТРОВ ЗАПУСКА КОМПОНЕНТОВ, КОНТРОЛЬ ЗА ЗАПУСКОМ КОМПОНЕНТОВ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ

Требования к реализации ОПС.1: Оператором должны быть реализованы следующие функции по управлению запуском (обращениями) компонентов программного обеспечения:

определение перечня (списка) компонентов программного обеспечения (файлов, объектов баз данных, хранимых процедур и иных компонентов), запускаемых автоматически при загрузке операционной системы средства вычислительной техники;

разрешение запуска компонентов программного обеспечения, включенных в перечень (список) программного обеспечения, запускаемого автоматически при загрузке операционной системы средства вычислительной техники;

ограничение запуска компонентов программного обеспечения от имени администраторов безопасности (например, разрешение такого запуска только для программного обеспечения средств защиты информации: сенсоры систем обнаружения вторжений, агенты систем мониторинга событий информационной безопасности, средства антивирусной защиты);

настройка параметров запуска компонентов программного обеспечения от имени учетной записи администратора безопасности таким образом, чтобы текущий пользователь средства вычислительной техники не мог получить через данные компоненты доступ к объектам доступа, на доступ к которым у него нет прав в соответствии с УПД.2;

контроль за запуском компонентов программного обеспечения, обеспечивающий выявление компонентов программного обеспечения, не включенных в перечень (список) компонентов, запускаемых автоматически при загрузке операционной системы средства вычислительной техники.

Правила и процедуры управления запуском программного обеспечения (в том числе списки программного обеспечения, ограничения запуска, параметры запуска компонентов программного обеспечения) регламентируются в организационно-распорядительных документах оператора по защите информации.

Требования к усилению ОПС.1:

1) в информационной системе обеспечивается разрешение запуска только тех программных компонентов, которые явно разрешены администратором безопасности;

2) в информационной системе обеспечивается использование средств автоматизированного контроля перечня (списка) компонентов программного обеспечения, запускаемого автоматически при загрузке операционной системы средства вычислительной техники;

3) в информационной системе обеспечивается использование автоматизированных механизмов управления запуском (обращениями) компонентов программного обеспечения;

4) в информационной системе обеспечивается управление удаленным запуском компонентов программного обеспечения (например, запрет запуска компонентов программного обеспечения на одном средстве вычислительной техники командой с другого средства вычислительной техники);

5) в информационной системе обеспечивается управление временем запуска и завершения работы компонентов программного обеспечения (например, ограничение запуска только в течение рабочего дня);

6) в информационной системе обеспечивается контроль целостности (состояния) запускаемых компонентов программного обеспечения (файлов (в том числе конфигурационных), объектов баз данных, подключаемых библиотек и др.) в соответствии с ОЦЛ.1;

7) в информационной системе обеспечивается контроль обновления запускаемых компонентов программного обеспечения;

8) в информационной системе обеспечивается регистрация событий, связанных с контролем состояния и обновлением запускаемых компонентов программного обеспечения;

9) в информационной системе обеспечивается запрет (блокирование) запуска определенных оператором компонентов программного обеспечения, не прошедших аутентификацию в соответствии с ИАФ.7.

Источник

Правила ограничения программной среды в информационных системах

на заседании общего собрания трудового коллектива

от «___» _________ 20___ г.

на заседании профкома

от «___» _________ 20___ г.

________ Т.Ю. Моржина

Директор Средней школы № 66

________ Н.А. Софронова

«___» _________ 20___ г.

ограничения программной среды в информационных системах муниципального бюджетного общеобразовательного учреждения

города Ульяновска «Средняя школа № 66»

Общие положения. 3

Порядок ограничения программной среды. 3

Ответственность при ограничении программной среды. 4

1.1. Настоящие Правила по ограничению программной среды (далее – Правила) регламентируют порядок ограничения программной среды в муниципальном бюджетном общеобразовательном учреждении города Ульяновска «Средняя школа № 66» (далее – Оператор) в соответствии с законодательством Российской Федерации.

1.2. Настоящие Правила разработаны в соответствии с:

Федеральным законом от 27 июля 2006 г. №152-ФЗ «О персональных данных»;

Федеральным законом от 27 июля 2006 г. №149-ФЗ «Об информации, информационных технологиях и о защите информации»;

Приказом ФСТЭК от 11 февраля 2013 г. №17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»;

Приказом ФСТЭК от 18 февраля 2013 г. №21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

1.3. Для целей настоящих Правил используются следующие основные понятия:

персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);

информационная система персональных данных (ИСПДн) – система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств;

программная среда – интегрированная совокупность технических и программных средств, при помощи которых осуществляется разработка программ.

2. Порядок ограничения программной среды

2.1. Выполнение требований по безопасности при ограничении программной среды осуществляются организационными мерами и сертифицированными СЗИ.

2.2. Администраторы ИБ используют политику ограничения использования программ для установки разрешений и запрещений на выполнение программ пользователями.

2.3. Администратор ИБ при ограничении программной среды должен предотвратить выполнение нежелательных программ, в том числе и вредоносного программного обеспечения.

2.4. Устанавливаемое ПО должно быть лицензионным, копии установочных файлов должны храниться у Администратора ИСПДн.

2.5. Администратор ИБ обязан следить за выполнением требований по безопасности ПДн в ИСПДн Оператора в соответствии с классом ИС в случае, если ИСПДн является ГИС, и уровнем защищённости ПДн для подсистемы «Ограничение программной среды», приведёнными в Приказе ФСТЭК от 11 февраля 2013 г. №17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах», Приказе ФСТЭК от 18 февраля 2013 г. №21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

3. Ответственность при ограничении программной среды

3.1. Ответственность за ограничение программной среды в ИСПДн и установление порядка её проведения, в соответствии с требованиями настоящих Правил, возлагается на Администраторов ИБ ИСПДн.

3.2. Ответственность за поддержание установленного порядка и соблюдение требований настоящих Правил возлагается на Ответственного за организацию обработки персональных данных.

3.3. Периодический контроль за выполнением всех требований настоящих Правил осуществляется Администраторами ИБ ИСПДн.

Источник

Защита информации от НСД

16.1. Общая характеристика и классификация мер и средств защиты информации от НСД

Меры по защите информации от НСД можно разделить на группы:

1. идентификация и аутентификация субъектов доступа и объектов доступа
2. управление доступом субъектов доступа к объектам доступа
3. ограничение программной среды
4. защита машинных носителей информации
5. регистрация событий безопасности
6. антивирусная защита
7. обнаружение (предотвращение) вторжений
8. контроль (анализ) защищенности информации
9. обеспечение целостности ИС и информации
10. обеспечение доступности информации
11. защита среды виртуализации
12. защита технических средств
13. защита ИС, ее средств, систем связи и передачи данных

Меры по идентификации и аутентификации субъектов доступа и объектов доступа должны обеспечивать:

• присвоение субъектам и объектам доступа уникального признака (идентификатора)
• сравнение предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов
• проверку принадлежности субъекту (объекту) доступа предъявленного им идентификатора (подтверждение подлинности или аутентификация).

Идентификация и аутентификация (подтверждение подлинности) являются первым эшелоном защиты от несанкционированного доступа и необходимо понимать разницу между этими понятиями.

Идентификатор присваивается пользователю, процессу, действующему от имени какого-либо пользователя, или программно-аппаратному компоненту (субъекту) и позволяет назвать себя, т. е. сообщить свое «имя». Аутентификация позволяет убедиться, что субъект именно тот, за кого себя выдает. Пример идентификации и аутентификации — вход в домен Windows . В данном случае логин — это идентификатор , пароль — средство аутентификации. Знание пароля является залогом того, что субъект действительно тот, за кого себя выдает.

Субъект может аутентифицироваться (подтвердить свою подлинность), предъявив одну из следующих сущностей:

• нечто, что он знает (например, пароль);
• нечто, чем он владеет (например, eToken);
• нечто, что есть часть его самого (например, отпечаток пальца).

Меры по управлению доступом должны обеспечивать:

• управление правами и привилегиями субъектов доступа;
• разграничение доступа субъектов доступа к объектам доступа на основе совокупности установленных в ИС ПРД;
• контроль за соблюдением этих правил.

Меры по ограничению программной среды должны обеспечивать:

• установку и (или) запуск только разрешенного к использованию в информационной системе ПО;
• или исключать возможность установки и (или) запуска запрещенного к использованию в информационной системе ПО.

Защита машинных носителей информации должна исключать:

• возможность НСД к машинным носителям и хранящейся на них информации;
• несанкционированное использование машинных носителей.

Меры по регистрации событий безопасности должны обеспечивать

• сбор, запись, хранение и защиту информации о событиях безопасности в информационной системе;
• возможность просмотра и анализа информации о таких событиях и реагирование на них.

Меры по антивирусной защите должны обеспечивать:

• обнаружение в информационной системе компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации;
• реагирование на обнаружение этих программ и информации.

Меры по обнаружению (предотвращению) вторжений должны обеспечивать:

• обнаружение действий в информационной системе, направленных на преднамеренный несанкционированный доступ к информации, специальные воздействия на информационную систему и (или) информацию в целях ее добывания, уничтожения, искажения и блокирования доступа к информации
• реагирование на эти действия.

Меры по контролю (анализу) защищенности информации должны обеспечивать контроль уровня защищенности информации, содержащейся в информационной системе, путем проведения мероприятий по анализу защищенности информационной системы и тестированию ее системы защиты информации.

Меры по обеспечению целостности информационной системы и информации должны обеспечивать:

• обнаружение фактов несанкционированного нарушения целостности информационной системы и содержащейся в ней информации;
• возможность восстановления информационной системы и содержащейся в ней информации.

Меры по обеспечению доступности информации должны обеспечивать авторизованный доступ пользователей, имеющих права по такому доступу, к информации, содержащейся в информационной системе, в штатном режиме функционирования информационной системы.

Меры по защите среды виртуализации должны исключать несанкционированный доступ к информации, обрабатываемой в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры, а также воздействие на информацию и компоненты, в том числе к средствам управления виртуальной инфраструктурой, монитору виртуальных машин (гипервизору), системе хранения данных (включая систему хранения образов виртуальной инфраструктуры), сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевым операционным системам, виртуальным машинам (контейнерам), системе и сети репликации, терминальным и виртуальным устройствам, а также системе резервного копирования и создаваемым ею копиям.

Меры по защите технических средств должны исключать несанкционированный доступ к стационарным техническим средствам, обрабатывающим информацию, средствам, обеспечивающим функционирование информационной системы (далее — средства обеспечения функционирования), и в помещения, в которых они постоянно расположены, защиту технических средств от внешних воздействий, а также защиту информации, представленной в виде информативных электрических сигналов и физических полей.

Меры по защите информационной системы, ее средств, систем связи и передачи данных должны обеспечивать защиту информации при взаимодействии информационной системы или ее отдельных сегментов с иными информационными системами и информационно-телекоммуникационными сетями посредством применения архитектуры информационной системы, проектных решений по ее системе защиты информации, направленных на обеспечение защиты информации.

Стоит отметить, что набор мер в рассмотренных ранее руководящих документах Гостехкомиссии России, существенно уже. В частности, в РД «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» выделены следующие группы мер:

1. подсистема управления доступом
2. подсистема регистрации и учета
3. криптографическая подсистема
4. подсистема обеспечения целостности.

Так как первое разбиение мер защиты на группы взято из Приказа ФСТЭК России №17, можно отследить тенденцию увеличения количества мер, необходимых для реализации информационной безопасности. Соответственно, расширились требования к функционалу, который должны реализовывать современные средства защиты информации для выполнения требований нормативных документов.

Средства защиты от НСД можно разделить на следующие группы:

• Технические (аппаратные) средства. Это различные по типу устройства (механические, электромеханические, электронные и др.), которые аппаратными средствами решают задачи защиты информации. Они либо препятствуют физическому проникновению, либо, если проникновение все же состоялось, доступу к информации, в том числе с помощью ее маскировки.
• Программные средства включают программы для идентификации пользователей, контроля доступа, шифрования информации, удаления остаточной (рабочей) информации типа временных файлов, тестового контроля системы защиты и др.
• Смешанные аппаратно-программные средства реализуют те же функции, что аппаратные и программные средства в отдельности.
• К организационным средствам (мероприятиям) можно отнести разработку документов, определяющих правила и процедуры, реализуемые для обеспечения защиты информации в ИС, ограничение доступа в помещения, назначение полномочий по доступу и т.п.
• Криптографические средства — средства шифрования, средства имитозащиты, средства электронной подписи, средства кодирования, средства изготовления ключевых документов, ключевые документы, аппаратные шифровальные (криптографические) средства, программно-аппаратные шифровальные (криптографические) средства.

Прежде, чем выбирать средства защиты от НСД, необходимо определить перечень мер, которые они должны реализовывать. Перечень мер определяется на основе требований нормативных документов (базовый набор мер) и исходя из модели угроз конкретной ИС.

После определения перечня мер, нужно выбрать средства защиты информации , которые эти меры реализуют. Необходимо учесть, требуется ли наличие сертификата у средства защиты информации . В приказе ФСТЭК России №21, например, нет однозначных требований по использованию сертифицированных СЗИ, — «применение СЗИ прошедших установленным порядком процедуру оценки соответствия». Это значит, что для защиты персональных данных в негосударственных ИС могут использоваться СЗИ, прошедшие сертификацию в добровольной системе сертификации или имеющие декларацию соответствия. А вот в ГИС все СЗИ должны быть сертифицированы. Соответственно, нужно выбирать СЗИ из Реестра сертифицированных СЗИ (Реестр), опубликованного на официальном сайте ФСТЭК:

При этом, несмотря на наличие в Реестре около 1000 сертифицированных СЗИ, большая часть из них была сертифицирована в единичном экземпляре или в составе маленькой партии, и недоступна для приобретения в настоящий момент. Поэтому реальный перечень сертифицированных СЗИ, которые можно использовать на практике, значительно меньше.

Сегодня сертификация СЗИ от НСД по линии ФСТЭК России проводится на соответствие одного или одновременно нескольких документов, основными из которых являются:

• РД «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» (РД СВТ);
• Требования к средствам антивирусной защиты (24 профиля защиты);
• Требования к средствам контроля съемных машинных носителей (10 профилей защиты);
• Требования к межсетевым экранам (5 типов межсетевых экранов);
• Требования к средствам доверенной загрузки (10 профилей защиты);
• Требования к системам обнаружения вторжений (12 профилей защиты).
• РД «Защита от НСД к информации. Часть 1. ПО СЗИ. Классификация по уровню контроля отсутствия НДВ».

В документах СЗИ проранжированы по классам. В каждом документе введена своя шкала защищенности, где первый класс присваивается наиболее защищенным СЗИ, точнее тем, которые проходили испытания по самым жестким условиям, и соответственно, с увеличением порядкового номера класса требования к испытаниям СЗИ смягчаются.

То есть недостаточно выбрать сертифицированное СЗИ, необходимо также правильно определить требуемый класс защищенности. Например, в Приказе ФСТЭК России №21:

«для обеспечения 1 и 2 уровней защищенности персональных данных применяются:

• средства вычислительной техники не ниже 5 класса;
• системы обнаружения вторжений и средства антивирусной защиты не ниже 4 класса;
• межсетевые экраны не ниже 3 класса в случае актуальности угроз 1-го или 2-го типов или взаимодействия информационной системы с информационно-телекоммуникационными сетями международного информационного обмена и межсетевые экраны не ниже 4 класса в случае актуальности угроз 3-го типа и отсутствия взаимодействия информационной системы с информационно-телекоммуникационными сетями международного информационного обмена.»

Определившись с формальными признаками СЗИ: доступность на рынке; актуальность сертификата; наличие контроля НДВ (при необходимости); класс защищенности, теперь можно сосредоточиться на его функциональных характеристиках. Чтобы установить соответствие требуемых мер защиты и средства защиты необходимо внимательно изучить документацию на СЗИ, функциональные характеристики, область применения и ограничения.

Следует отметить, что современные сертифицированные операционные системы обладают встроенными средствами защиты, которые позволяют закрывать многие требования регуляторов. В таблице 16.1 приведены требования к ИСПДн 3 уровня защищенности и средства операционной системы Windows 7, которые позволяют их удовлетворить.

Таблица 16.1.

Требования к ИСПДн 3 уровня защищенности	Средства (механизмы), обеспечивающие выполнение требования
1.	Идентификация и аутентификация субъектов и объектов доступа.	Реализуется с помощью установки соответствующих параметров безопасности механизмов «Идентификации и аутентификации» при настройке операционной системы на сертифицированную конфигурацию для пользователей домена (для сетей ЭВМ) и локальных пользователей (на уровне автономных рабочих мест)..В случае использования других элементов общего программного обеспечения (SQL Server, ExchangeServer и др.) дополнительно используются их встроенные механизмы «Идентификация и аутентификация» и «Защита данных пользователя», а также организационные меры.
2.	Управление правами и привилегиями субъектов и объектов доступа.
3.	Запуск только разрешенного к использованию в ИС ПО.	Настройка системы регистрации и разграничения прав Windows (функция AppLocker Windows 7/2008R2)
4.	Исключение несанкционированного доступа к машинным носителям и хранящимся на них ПДн.
5.	Сбор, запись, хранение и защита информации о событиях безопасности	Использование механизмов «Аудит безопасности» и «Защита данных пользователя» Windows. Контролируется с использованием журнала событий ОС и другого ПО Microsoft.
6.	Антивирусная защита	Использование антивируса Microsoft Forefront или антивирусов других производителей
7.	Обнаружение (предотвращение) вторжений	Настройка «Защитника Windows» и (или) использование сторонник СОВ
8.	Контроль (анализ) защищенности информации	Применение программ Check из состава пакета сертифицированного ПО
9.	Обеспечение целостности ИС и информации	Выполняется встроенными средствами ОС, дополнительно контролируется программой «Check».
10.	Обеспечение доступности информации	Использование механизмы архивации и воcстановления Windows
11.	Защита среды виртуализации	Использование виртуализации Hyper-V из состава сертифицированных версий Windows server 2008/2008R2
12.	Защита ИС, ее средств, систем связи и передачи данных	Реализуется использованием МЭ Microsoft ISA Server 2006 Standard Edition, сертифицированного по 4-му классу согласно РД МЭ.
13.	Выявление инцидентов и реагирование на них	Настройка «Политик расширенный аудит» Windows
14.	Управление конфигурацией информационной систем и системы защиты персональных данных (УКФ)	Настройка параметров Политик безопасности/Групповых политик безопасности Windows. Применение шаблонов безопасности. Контроль. Аудит и настройка параметров безопасности при помощи программ Check из состава пакета сертифицированного ПО

Безусловно, построить защиту персональных данных только на встроенных средствах операционной системы не получится. Для реализации некоторых требований необходимо покупать узкоспециализированные средства защиты. Тем не менее, использование встроенных средств защиты операционных систем позволяет существенно сэкономить на покупке отдельных СЗИ, обеспечивает полную совместимость и требует меньших ресурсов для администрирования.

Источник