Защита ГИС по требованиям ФСТЭК: от обследования системы до аттестации

Защищенность государственных информационных систем нельзя свести к подготовке документов для очередной проверки. За нормативными требованиями стоят вполне практические задачи: сохранить доступность сервисов, предотвратить утечки и не допустить вмешательства в работу цифровой инфраструктуры. Однако разобраться в технических предписаниях и юридических формулировках без специальной подготовки непросто.

Рассмотрим, как выстраивается защита информации в государственной информационной системе, какие обязанности возникают у оператора и из каких шагов складывается подготовка к аттестации. Отдельно остановимся на решениях, которые помогают избежать необоснованных расходов.

Что относится к ГИС и зачем выполнять требования ФСТЭК

Государственная информационная система – это информационная система, созданная на основании федерального или регионального законодательства для осуществления государственных полномочий и выполнения установленных задач. К таким системам могут относиться базы данных, цифровые платформы и электронные сервисы. При их создании и эксплуатации необходимо учитывать специальные требования к защите информации.

Смысл этих требований – не допустить неправомерного доступа к сведениям, их уничтожения, подмены, блокирования или распространения. Оператору необходимо определить применимые положения и обеспечить их выполнение на всех соответствующих этапах жизненного цикла системы.

Классы защищенности ГИС: как выбрать необходимый уровень

Прежде чем проектировать защиту, нужно установить, какие сведения обрабатывает система и к каким последствиям приведет нарушение их безопасности. При создании или модернизации ГИС определяется ее класс защищенности. Он влияет на выбор требований, состав защитных механизмов и параметры применяемых средств.

1. Класс К1 – наиболее высокий уровень требований

Такой класс устанавливается для систем, в которых нарушение безопасности информации способно повлечь наиболее существенные последствия. При классификации учитываются предусмотренные нормативными требованиями характеристики, а не только размер инфраструктуры.

• Что предусматривает защита: наиболее строгий набор применимых мер. В зависимости от особенностей ГИС могут потребоваться усиленная аутентификация, доверенная загрузка, разделение инфраструктуры на сегменты и развитые механизмы мониторинга. Конкретные решения определяются по результатам проектирования и анализа угроз.

2. Класс К2 – промежуточный уровень требований

Этот класс применяется, когда характеристики системы и значимость возможного ущерба соответствуют установленным для К2 критериям. Само по себе наличие конфиденциальных сведений еще не определяет класс автоматически.

• Что предусматривает защита: комплекс организационных и технических механизмов, соответствующий установленному классу. В него могут входить антивирусная защита, обнаружение вторжений, распределение полномочий пользователей и проверка целостности. Необходимость отдельных решений обосновывается применимыми требованиями.

3. Класс К3 – базовый уровень требований

К3 соответствует менее высоким требованиям в рамках классификации ГИС. При этом считать любую небольшую или локальную систему относящейся к этому классу без проведения классификации нельзя.

• Что предусматривает защита: реализацию предусмотренного для системы набора мер. Обычно рассматриваются идентификация пользователей, ограничение доступа, фильтрация сетевых соединений и регистрация значимых событий. Базовый уровень не означает, что можно отказаться от анализа угроз или документального оформления защиты.

Модель угроз: на чем строится проект безопасности

Закупать защитное оборудование до изучения рисков – значит выбирать решения без достаточного обоснования. Сначала необходимо выяснить, какие воздействия действительно опасны для конкретной ГИС. Результаты такого анализа отражаются в модели угроз безопасности информации.

Этот документ связывает особенности инфраструктуры с последующими решениями по защите. При его подготовке специалисты рассматривают:

• Устройство системы. Где размещены серверы и рабочие места, как организованы сетевые соединения, какие внешние сервисы используются и предусмотрен ли выход в интернет.

• Потенциальных нарушителей. Кто способен воздействовать на систему: внешние злоумышленники, внутренние нарушители или сотрудники, допускающие ошибки при работе.

• Возможные сценарии воздействия. Заражение вредоносными программами, компрометация учетных записей, перехват передаваемых сведений, эксплуатация уязвимостей и другие способы нарушения безопасности.

Далее формируется перечень актуальных угроз и определяются способы их нейтрализации. Для каждой значимой угрозы необходимо предусмотреть обоснованные меры. Использование чужого документа без адаптации к собственной инфраструктуре создает риск того, что реальные опасности останутся неучтенными, а обоснование системы защиты окажется недостаточным.

Меры защиты ГИС: технологии и организационные правила

Защита государственной информационной системы строится на сочетании двух направлений. Первое – технические механизмы, реализованные средствами программного и аппаратного обеспечения. Второе – организационные процедуры, которые определяют обязанности сотрудников и порядок безопасной работы.

Чтобы выполнить требования ФСТЭК № 117, недостаточно установить несколько защитных продуктов. Необходимо согласовать технические меры защиты ГИС с моделью угроз, особенностями эксплуатации и внутренними регламентами организации.

Технические механизмы безопасности

Средства защиты информации подбираются с учетом требований к оценке соответствия, классу системы и условиям применения. Когда требуется сертификация, необходимо проверить сертификат ФСТЭК и соответствие конкретной версии продукта установленным условиям. Использование криптографических средств рассматривается отдельно с учетом требований в области криптографической защиты.

К основным направлениям технической защиты относятся пункты ниже.

• Идентификация и аутентификация. Система должна распознавать пользователей и администраторов, проверять их полномочия и исключать бесконтрольную работу под общими учетными записями.

• Разграничение доступа. Сотрудникам предоставляются только те права на работу с ресурсами, которые нужны для выполнения должностных задач.

• Противодействие вредоносному ПО. Применяются соответствующие требованиям средства антивирусной защиты, организуются их обновление и контроль работоспособности.

• Выявление вторжений. В предусмотренных случаях используются IDS/IPS и другие механизмы обнаружения атак, анализа трафика и реагирования на подозрительные действия.

• Обеспечение целостности. Контролируется сохранность значимых файлов, настроек и данных, выявляются несанкционированные изменения.

• Учет событий безопасности. Настраиваются сбор и хранение необходимых журналов, защита записей от вмешательства и последующий анализ зарегистрированных событий.

Организационные процедуры и документы

Технические решения не компенсируют отсутствие понятных правил. Если сотрудники передают друг другу пароли, а администраторы меняют настройки без согласования, эффективность защиты снижается. Поэтому организационно-распорядительные документы должны описывать реальные процессы, а не существовать отдельно от повседневной работы.

• Политика информационной безопасности. Закрепляет основные принципы защиты, распределение обязанностей и общие требования к обращению с информацией.

• Приказы о распределении ответственности. Определяют, кто отвечает за обеспечение безопасности, администрирование системы и выполнение отдельных процедур.

• Инструкции и регламенты. Устанавливают порядок предоставления доступа, создания резервных копий, использования съемных носителей, устранения сбоев и реагирования на компьютерные инциденты.

Как подготовить ГИС к аттестации: шесть основных этапов

Аттестация позволяет подтвердить соответствие информационной системы применимым требованиям безопасности в установленных условиях эксплуатации. Для успешного прохождения испытаний необходимо заранее подготовить инфраструктуру, документацию и подтверждения выполнения предусмотренных мер. Практически этот путь можно разделить на шесть этапов.

Как оптимизировать расходы: облако и типовые сегменты

Развертывание защищенной инфраструктуры на собственных площадках связано с затратами на серверы, программные лицензии, внедрение и дальнейшее обслуживание. Снизить расходы можно за счет выбора подходящей архитектуры. Рассмотрим два распространенных подхода.

1. Размещение ГИС в защищенной облачной среде

Часть ресурсов или всю систему можно перенести в инфраструктуру провайдера, для которой подтверждено выполнение соответствующих требований безопасности. В зависимости от условий услуги поставщик обеспечивает защиту физических ресурсов, среды виртуализации и других компонентов.

Такой вариант сокращает потребность в покупке собственного оборудования. Однако защищенное облако не означает автоматического выполнения всех обязанностей оператора: необходимо проверить границы аттестации, распределение ответственности и требования к самой размещаемой ГИС.

2. Применение подхода с типовыми сегментами

Если система объединяет множество подразделений с одинаковой архитектурой, стоит оценить возможность использования типового сегмента. При соблюдении условий порядка аттестации, утвержденного приказом ФСТЭК № 77, это позволяет использовать результаты работ для однотипных частей инфраструктуры.

Возможность такого подхода нужно обосновать документально: одного внешнего сходства филиалов недостаточно. При корректной организации проекта можно уменьшить объем повторной подготовки документов и испытаний, не снижая требований к безопасности.

Распространенные нарушения и ответственность оператора

Проблемы при проверках возникают не только из-за отсутствия защитного оборудования. Нередко организация внедряет необходимые продукты, но не обеспечивает их правильное применение и сопровождение. Среди характерных недостатков можно выделить следующие.

• Несоответствие используемых СЗИ требованиям. Не проверены условия сертификации, установлена неподходящая версия либо выбранное исполнение продукта не соответствует проекту.

• Отсутствие необходимых обновлений. Антивирусные базы и механизмы обнаружения атак не поддерживаются в актуальном состоянии.

• Документы, не связанные с инфраструктурой. Модель угроз и регламенты описывают условную систему, а не фактические подключения, ресурсы и процессы.

• Неконтролируемые изменения. После аттестации устанавливаются новые приложения или меняются настройки без оценки влияния на безопасность.

• Недостаточное управление уязвимостями. Проверки выполняются эпизодически, обнаруженные недостатки не анализируются, а их устранение не контролируется.

Какие последствия возможны

Нарушения требований безопасности могут повлечь административную ответственность. Конкретная квалификация зависит от обстоятельств, состава нарушения и действующей редакции законодательства.

• Невыполнение требований к защите информации. Ответственность может наступать по статье 13.12 КоАП РФ. Размер санкций определяется применимой частью статьи; использовать единую сумму штрафа для любых нарушений в ГИС некорректно.

• Нарушения при обработке персональных данных. Статья 13.11 КоАП РФ предусматривает различные составы ответственности. За отдельные нарушения, связанные с утечками, штрафы для организаций могут исчисляться миллионами рублей, а в предусмотренных случаях повторных нарушений – зависеть от выручки.

Главное о защите государственных информационных систем

• Требования нужно учитывать на протяжении всего жизненного цикла. Приказ № 117 задает правила, которые необходимо применять не только при создании ГИС, но и при ее дальнейшей эксплуатации.

• Защитные продукты выбираются по требованиям, а не по названию. Важно проверить необходимость сертификации, характеристики конкретного решения, его версию и допустимые условия использования.

• Документальное оформление – часть системы безопасности. Модель угроз, приказы и регламенты должны отражать фактическое устройство инфраструктуры и реальные действия сотрудников.

• Аттестация подтверждает выполнение установленных требований. Подготовку к ней следует включать в проект заранее, а не начинать после завершения всех технических работ.

• Поддержание защищенности требует постоянного внимания. Необходимо управлять обновлениями, анализировать уязвимости, контролировать события и учитывать изменения системы.

Последовательно выстроенная защита помогает снизить вероятность инцидентов, сократить риск претензий со стороны контролирующих органов и поддерживать устойчивую работу государственных сервисов. Наилучший результат дает сочетание обоснованных технических решений, понятных процедур и регулярного контроля.