Безопасность информационных технологий (2012) PDF

БЕЗОПАСНОСТЬ
ИНФОРМАЦИОННЫХ
ТЕХНОЛОГИЙ
Руководство слушателя курса
Курс Б Т О 1
© Copyright 2001-2012 Учебный Центр «Информзащита»
Все предоставляемые слушателям учебные материалы и

программные средства являются объектами интеллектуальной
собственности Учебного Центра «Информзащита».
Слушатель курса имеет право на использование всех полученных

от Учебного Центра «Информзащита» учебных, вспомогательных и
справочных материалов в пределах своей организации без права
тиражирования. Передача указанных материалов третьим лицам
(в том числе, в откорректированном в и д е ) , любые полные или
частичные публикации или репродукции данных материалов в
печатной, электронной или любой иной форме, категорически
запрещены без предварительного прямого письменного согласия
Учебного Центра «Информзащита».
Автономная некоммерческая организация

Учебный Центр «Информзащита»
Адрес: Москва, ул. Образцова, д. 38
И 127018, Москва, а/я 55
S (495) 980-2345
E-mail: edu@its ecurity.ru
HTTP: www.itsecurity.ru
Последняя редакция - 4 мая 2012 года
Информзащита
У чебным ц ентр
3
ОГЛАВЛЕНИЕ
ВВЕДЕНИЕ В КУРС «БЕЗОПАСНОСТЬ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ» . 12

Описание к у р с а ...................................................... 12
Слушатели......................................................... 12
Содержание курса................................................. 13
Необходимая базовая подготовка.................................. 13
Приобретаемые знания и н а в ы к и ................................... 14
Структура к у р с а .....................................................15
РАЗДЕЛ I . ОСНОВЫ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ .. 17

Р а з д е л I - Т е м а 1: А к т у а л ь н о с т ь п р о б л е м ы о б е с п е ч е н и я б е з о п а с н о с т и
и н ф о р м а ц и о н н ы х т е х н о л о г и й ........................................................ 18
Место и роль информационных систем в управлении бизнес-процессами .18

Основные причины обострения проблемы обеспечения безопасности
информационных технологий .......................................... 19
Защита информационных технологий как процесс управления
рисками. Сложность количественной оценки р и с к о в ............... 21
Особенности современных автоматизированных систем как
объектов защиты.................................................. 27
Р а з д е л I - Т е м а 2: О с н о в н ы е п о н я т и я в о б л а с т и б е з о п а с н о с т и и н ф о р м а ц и о н н ы х
т е х н о л о г и й ...................................................................... 29
Что такое безопасность информационных технологий.................. 2 9

Информация и информационные отношения.............................. 30
Субъекты информационных отношений, их безопасность ................ 31
Цель защиты автоматизированной системы и циркулирующей в ней
инфо р м а ц и и .......................................................... 34
Р а з д е л I - Т е м а 3: У г р о з ы б е з о п а с н о с т и и н ф о р м а ц и о н н ы х т е х н о л о г и й .............. 36
Уязвимость основных структурно-функциональных элементов
распределённых автоматизированных систем........................... 3 6
Угрозы безопасности информации, автоматизированных систем и
субъектов информационных отношений................................. 37
Источники угроз безопасности........................................39
Классификация угроз безопасности................................... 39
Основные непреднамеренные искусственные уг р о з ы .................... 4 0
Основные преднамеренные искусственные угрозы...................... 41
Классификация каналов проникновения в автоматизированную систему
и утечки и н ф о р м а ц и и ................................................ 42
Неформальная модель нарушителя..................................... 4 4
Почему свои сотрудники являются самой массовой категорией
нарушителей безопасности......................................... 4 6
В ы в о д ы .............................................................. 47
Р а з д е л I - Т е м а 4: Виды м е р и о с н о в н ы е п р и н ц и п ы о б е с п е ч е н и я б е з о п а с н о с т и
и н ф о р м а ц и о н н ы х т е х н о л о г и й ........................................................ 49
Виды мер противодействия угрозам безопасности..................... 4 9
Правовые (законодательные).......................................49
Морально-этические............................................... 4 9
rill
I Информзащита
—■
— Учебным центр
Организационные...................................................4 9
Технологические...................................................50
Меры физической защиты........................................... 50
Технические....................................................... 50
Достоинства и недостатки различных видов мер защиты............... 51
Законодательные и морально-этические м е р ы ...................... 51
Организационные м е р ы ............................................. 51
Физические и технические средства з а щ и т ы ........................51
Основные принципы построения системы обеспечения безопасности
информации в автоматизированной системе............................ 52
Законность........................................................ 52
Системность....................................................... 53
Комплексность..................................................... 53
Своевременность...................................................53
Непрерывность защиты............................................. 53
Преемственность и совершенствование............................. 54
Разделение функций............................................... 54
Разумная достаточность (экономическая целесообразность,
сопоставимость возможного ущерба и затрат) ..................... 54
Персональная ответственность.....................................54
Минимизация полномочий................... ....................... 54
Взаимодействие и сотрудничество................................. 54
Гибкость системы защиты.......................................... 55
Открытость алгоритмов и механизмов з а щ и т ы ...................... 55
Простота применения средств з а щ и т ы .............................. 55
Научная обоснованность и техническая реализуемость............. 55
Специализация и профессионализм................................. 55
Взаимодействие и координация.....................................55
Обязательность контроля.......................................... 55
В ы в о д ы ...............................................................5 6
Р а з д е л I - Т е м а 5: П р а в о в ы е о с н о в ы о б е с п е ч е н и я б е з о п а с н о с т и и н ф о р м а ц и о н н ы х
технологий .......................................................................57
Вв е д е н и е ............................................................ 57
Защищаемая информация .............................................. 58
Персональные данные.............................................. 63
Коммерческая тайна............................................... 71
Служебная тайна...................................................73
Банковская тайна..................................................7 4
Информация в ключевых системах информационной инфраструктуры ... 75
Лицензирование ...................................................... 7 6
Сертификация средств защиты и аттестация объектов информатизации . .84
Сертификация...................................................... 94
Аттестация........................................................ 96
Новое поколение нормативно-технических документов
(ГОСТ Р ИСО/МЭК 15408-2008)......................................... 99
Специальные требования и рекомендации по технической защите
конфиденциальной информации........................................ 104
Юридическая значимость электронных документов с электронной
подписью ........................................................... 106
Ответственность за нарушения в сфере защиты информации ........... 111
Статья 183. Незаконное получение и разглашение сведений,
составляющих коммерческую или банковскую т а й н у ................ 111
Учебным ц ентр
5
Статья 272. Неправомерный доступ к компьютерной информации ....112

Статья 273. Создание, использование и распространение
вредоносных программ для Э В М ................................... 112
Статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или
их сети ......................................................... 112
Статья 13.11. Нарушение установленного законом порядка сбора,
хранения, использования или распространения информации о
гражданах (персональных данных) ................................ 113
Статья 13.12. Нарушение правил защиты информации.............. 113
Статья 13.13. Незаконная деятельность в области защиты
информации.......................................................114
Статья 13.14. Разглашение информации с ограниченным доступом ..114
Статья 1253. Ответственность юридических лиц и индивидуальных
предпринимателей за нарушения исключительных п р а в .............114
Статья 1290. Ответственность по договорам, заключаемым автором
произведения.................................................... 114
Статья 1301. Ответственность за нарушение исключительного
права на произведение........................................... 115
права на объект смежных п р а в ................................... 115
права на секрет производства................................... 115
Статья 11. Охрана конфиденциальности информации в рамках
трудовых отношений.............................................. 116
Статья 14. Ответственность за нарушение Федерального закона
«О коммерческой тайне»..........................................116
Статья 15. Ответственность за непредоставление органам
государственной власти, иным государственным органам, органам
местного самоуправления информации, составляющей коммерческую
тайну ........................................................... 117
Р а з д е л I - Т е м а 6: Г о с у д а р с т в е н н а я с и с т е м а з а щ и т ы и н ф о р м а ц и и ................ 118
В в е д е н и е ........................................................... 118
Государственная система защиты информации........................ 119
Организация защиты информации в системах и средствах
информатизации и связи ............................................ 123
Контроль состояния защиты информации.............................. 12 5
Финансирование мероприятий по защите информации.................. 127
Р а з д е л I - Т е м а 7: О с н о в н ы е з а щ и т н ы е м е х а н и з м ы , р е а л и з у е м ы е в р а м к а х р а з л и ч н ы х
м е р и с р е д с т в з а щ и т ы ............................................................ 128
Основные механизмы защиты информационных систем .................. 128
Идентификация и аутентификация пользователей..................... 128
Разграничение доступа зарегистрированных пользователей к ресурсам
автоматизированной системы.........................................131
Списки управления доступом к о б ъ е к т у ...........................135
Списки полномочий субъектов.................................... 135
Атрибутные схемы................................................ 136
Полномочное управление доступом................................ 137
Замкнутая программная среда.................................... 137
Регистрация и оперативное оповещение о событиях безопасности.... 138
Криптографические методы защиты информации....................... 139
Криптография с симметричными к л ю ч а м и ...........................140
Криптография с открытыми ключами ............................... 141
_i--
^ -* Учебные центр
=4^
6
Доверие к открытому ключу и цифровые сертификаты.............. 144

Контроль целостности программных и информационных р е с у р с о в ...... 14 8
Обнаружение а т а к ...................................................149
Защита периметра компьютерных сетей............................... 150
Управление механизмами защиты......................................151
Страхование информационных рисков................................. 154
Страховой случай................................................ 154
Принятие решения об использовании страхования................. 154
Процедура страхования информационных р и с к о в ................... 155
Параметры, влияющие на ставку страхования..................... 155
В ы в о д ы ............................................................. 156
РАЗДЕЛ II. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ

ТЕХНОЛОГИЙ.............................................. 157
Р а з д е л II - Т е м а 8: О р г а н и з а ц и о н н а я с т р у к т у р а с и с т е м ы о б е с п е ч е н и я б е з о п а с н о с т и
и н ф о р м а ц и о н н ы х т е х н о л о г и й ....................................................... 158
Понятие технологии обеспечения (управления) безопасности
информации и ресурсов в автоматизированной системе............... 158
Цели создания системы обеспечения информационной безопасности ....160
Влияние на безопасность информационных технологий со стороны
руководства организации......................................... 161
Службы безопасности............................................. 162
подразделения автоматизации.....................................162
сотрудников структурных подразделений организации ............. 163
Регламентация действий пользователей и обслуживающего персонала
автоматизированной системы......................................... 164
Институт ответственных за обеспечение безопасности И Т ........ 165
Политика безопасности организации................................. 166
Основные организационные и организационно-технические мероприятия
по созданию и обеспечению функционирования комплексной системы
защиты ............................................................. 168
Разовые мероприятия............................................. 168
Периодически проводимые мероприятия ............................ 170
Мероприятия, проводимые по необходимости ...................... 170
Постоянно проводимые мероприятия ............................... 171
Распределение функций по обеспечению безопасности информационных
технологий......................................................... 171
Подразделение безопасности (отдел защиты информации) .......... 171
Подразделение автоматизации (отдел эксплуатации и отдел
телекоммуникаций) ............................................... 172
Подразделение автоматизации (фонд алгоритмов и программ) ..... 172
Все структурные подразделения организации ..................... 173
Система организационно-распорядительных документов по обеспечению
безопасности информационных технологий............................ 173
Р а з д е л 1 1 - Т е м а 9: О б я з а н н о с т и к о н е ч н ы х п о л ь з о в а т е л е й и о т в е т с т в е н н ы х з а
ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ В ПОДРАЗДЕЛЕНИЯХ ........... 176
Проблема человеческого фактора................................. 176
У чебн ы м ц е н т р
7
Общие правила обеспечения безопасности информационных технологий

при работе сотрудников с р е с урсами автоматизированной системы .... 177
О б яз а н н о с т и о т ветственного за обеспечение безопасности информации
в п о д р а з д е л е н и и ......................................................... 179
О тветственный за обеспечение безопасности информации обязан: ..179
Ответственный за обеспечение безопасности информации имеет
п р а в о : ................................................................ 180
Ответственность за н а р у ш е н и я ........................................... 180
Поддержка процедур р е г л а м е н т а ц и и ...................................... 181
Порядок работы с носителями ключевой и н ф о р м а ц и и .................... 182
О б я з а н н о с т и и с п о л н и т е л я ............................................. 183
Действия при ко м п р о м етации ключей ................................. 185
У нич т о ж е н и е к л ю ч е й ................................................... 186
Права и с п о л н и т е л я .................................................... 18 6
Р а з д е л 1 1 - Т е м а 10: Д о к у м е н т ы , р е г л а м е н т и р у ю щ и е п р а в и л а п а р о л ь н о й и
антивирусной защиты ............................................................ 187
Инструкция по организации парольной з а щ и т ы .......................... 187
Инструкция по орга н и з а ции антивирусной з а щ и т ы ...................... 188
Применение средств а нтивирусного контроля ........................ 189
Действия при обнаружении вирусов .................................. 189
О т в е т с т в е н н о с т ь ....................................................... 190
Р а з д е л 1 1 - Т е м а 11: Д о к у м е н т ы , р е г л а м е н т и р у ю щ и е п о р я д о к д о п у с к а к р а б о т е и
изменения полномочий п о л ь з о в а т е л е й а в т о м а т и з и р о в а н н о й с и с т е м ы .................. 191
Правила именования п о л ь з о в а т е л е й .................................. 191
Процедура авто р и з а ц ии с о т р у д н и к о в ................................. 192
Р а з д е л II - Т е м а 12: Д о к у м е н т ы , р е г л а м е н т и р у ю щ и е п о р я д о к и з м е н е н и я
к о н ф и г у р а ц и и а п п а р а т н о - п р о г р а м м н ы х с р е д с т в а в т о м а т и з и р о в а н н о й с и с т е м ы .......... 194
Обеспечение и контроль физической целостности и неизменности
ко н фигурации а п п а р а т но-программных средств автоматизированной
с и с т е м ы ............................................................... 194
Регламентация процессов обслуживания и осуществления
модификации аппаратных и программных средств
автоматизированной с и с т е м ы ..........................................195
Процедура внесения изменений в конфигурацию аппаратных и
программных средств защищённых серверов и рабочих с т а н ц и й .....196
Э кстренная моди ф и к а ц ия (обстоятельства форс-мажор) ............. 199
Р а з д е л II - Т е м а 13: Р е г л а м е н т а ц и я п р о ц е с с о в р а з р а б о т к и , и с п ы т а н и я , опытной
э к с п л у а т а ц и и , в н е д р е н и я и с о п р о в о ж д е н и я з а д а ч .................................. 2 00
В з аимодействие по д р а з д елений на этапах проектирования,
разработки, испытания и внедрения новых автоматизированных
п о д с и с т е м ................................................................ 201
При проектировании и р а з р а б о т к е ....................................201
При проведении и с п ы т а н и й ............................................ 202
При сдаче в промышленную э к с п л у а т а ц и ю ............................ 202
В процессе э к с п л у а т ации (сопровождения) .......................... 202
Р а з д е л II - Т е м а 14 : О п р е д е л е н и е т р е б о в а н и й к з а щ и т е и к а т е г о р и р о в а н и е
р е с у р с о в . П роведение информационных об следований и анализ подсистем
а в т о м а т и з и р о в а н н о й с и с т е м ы к а к о б ъ е к т а з а щ и т ы .................................. 204
Определение градаций в ажности и соответствующих уровней

обеспечения защи т ы р е с у р с о в ............................................ 204
^ — УчеЁнмя ц ентр
8
Категорирование защищаемых ресурсов............................... 206

Категории защищаемой информации................................ 206
Категории функциональных з а д а ч ................................. 207
Категории компьютеров........................................... 207
Порядок определения категорий защищаемых ресурсов
автоматизированной системы......................................208
Проведение информационных обследований и документирование
защищаемых ресурсов ............................................... 209
Р а з д е л II - Т е м а 15: П л а н ы з а щ и т ы и п л а н ы о б е с п е ч е н и я н е п р е р ы в н о й р а б о т ы и
ВОССТАНОВЛЕНИЯ ПОДСИСТЕМ АВТОМАТИЗИРОВАННОЙ СИСТЕМЫ ............................ 2 12
План защиты информации ............................................ 212
План обеспечения непрерывной работы и восстановления............. 212
Классификация кризисных ситуаций ............................... 212
Меры обеспечения непрерывной работы и восстановления
работоспособности автоматизированной с и с т е м ы .................. 214
Общие требования................................................ 214
Средства обеспечения непрерывной работы и восстановления..... 215
Обязанности и действия персонала по обеспечению непрерывной
работы и восстановлению автоматизированной системы ............216
Обязанности системного инженера по обеспечению непрерывной
работы и восстановлению автоматизированной с и с т е м ы ............218
Р а з д е л II - Т е м а 16: О с н о в н ы е з а д а ч и п о д р а з д е л е н и я о б е с п е ч е н и я б е з о п а с н о с т и
информационных т е х н о л о г и й . О рганизация работ по о б ес печ ен ию безопасности
и н ф о р м а ц и о н н ы х т е х н о л о г и й ....................................................... 2 1 9
Организационная структура, основные функции подразделения

безопасности....................................................... 219
Р а з д е л II - Т е м а 17: К о н ц е п ц и я б е з о п а с н о с т и и н ф о р м а ц и о н н ы х т е х н о л о г и й
предприятия (о р г а н и з а ц и и ) ...................................................... 222
Назначение и статус документа..................................... 222
РАЗДЕЛ III. СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ ОТ

НЕСАНКЦИОНИРОВАННОГО ДОСТУПА 224
Р а з д е л I I I - Т е м а 18: Н а з н а ч е н и е и в о з м о ж н о с т и с р е д с т в з а щ и т ы и н ф о р м а ц и и о т
несанкционированного доступа ................................................... 225
Задачи, решаемые средствами защиты информации от
несанкционированного доступа.......................................225
Р а з д е л I I I - Т е м а 19: Р е к о м е н д а ц и и п о в ы б о р у с р е д с т в з а щ и т ы и н ф о р м а ц и и о т
Распределение показателей защищённости по классам для
автоматизированных систем ......................................... 228
Требования руководящих документов ФСТЭК России к средствам защиты
информации от несанкционированного доступа....................... 22 9
Рекомендации по выбору средств защиты информации от
Р а з д е л I I I - Т е м а 20: А п п а р а т н о - п р о г р а м м н ы е с р е д с т в а з а щ и т ы и н ф о р м а ц и и о т
Краткий обзор существующих на рынке средств защиты информации от
'- г
У чв би ы н ц ен т р
9
Обзор задач, решаемых средствами аппаратной поддержки систем

защиты информации от несанкционированного доступа................ 243
Существующие средства аппаратной поддержки....................... 24 3
Другие средства и способы аутентификации..........................24 6
Устройства аутентификации на базе смарт-карт и/или USB-токенов 247
eToken ГОСТ......................................................248
Рутокен ......................................................... 250
Аутентификация с использованием одноразовых п а р о л е й ...........251
Аутентификация с использованием пассивных идентификаторов .... 2 52
Биометрическая аутентификация .................................. 253
Комбинированные схемы и многофакторная аутентификация ........ 257
Задача защиты от вмешательства посторонних и аппаратные средства
аутентификации.....................................................258
Р а з д е л I I I - Т е м а 21: Возможности п р и м е н е н и я ш т а т н ы х и д о п о л н и т е л ь н ы х с р е д с т в
з а щ и т ы и н ф о р м а ц и и о т н е с а н к ц и о н и р о в а н н о г о д о с т у п а ...............................2 5 9
Стратегия безопасности Microsoft.................................. 259

Сертифицированные решения Microsoft............................... 2 60
Защита от вмешательства в процесс нормального функционирования АС
и НСД к информации посторонних л и ц ................................ 2 61
Биометрия в Windows 7 ........................................... 2 64
Задача разграничения доступа зарегистрированных пользователей к
ресурсам автоматизированной системы............................... 2 64
Избирательное разграничение д о ступа............................2 64
Полномочное (мандатное) разграничение д о с т у п а ................. 2 64
Разграничение доступа к программному обеспечению в режиме
замкнутой программной с р е д ы .................................... 2 69
Задача регистрации событий, имеющих отношение к безопасности.
Оперативное оповещение о зарегистрированных попытках
несанкционированного доступа...................................... 272
Службы ACS (Audit Collection Services) ........................ 273
Система зашиты информации от несанкционированного доступа
Secret Net 6 .................................................... 275
Подсистема «Аккорд-РАУ».........................................275
Задача защиты от несанкционированной модификации программ и
д а н н ы х ............................................................. 276
Задача защиты данных от несанкционированного копирования и
перехвата средствами шифрования................................... 277
Управление средствами защиты...................................... 278
РАЗДЕЛ IV. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ КОМПЬЮТЕРНЫХ СИСТЕМ И

С Е Т Е Й ................................................... 281
Р а з д е л I V - Т е м а 22: П р о б л е м ы о б е с п е ч е н и я б е з о п а с н о с т и в к о м п ь ю т е р н ы х с и с т е м а х
и с е т я х ......................................................................... 2 82
Типовая корпоративная сеть.........................................282

Уровни информационной инфраструктуры корпоративной с е т и ......... 283
Уязвимости и их классификация..................................... 284
Введение......................................................... 284
Источники возникновения уязвимостей............................ 285
Классификация уязвимостей по уровню в инфраструктуре
автоматизированной системы..................................... 287
J Информзащита
U Учебмми ц ентр
Классификация уязвимостей по степени р и с к а .................... 287
Получение информации по уязвимостям............................ 295
Часто используемые уязвимости («Тор 20») ...................... 297
Классификация а т а к ................................................ 298
Классификация атак по ц е л я м .....................................298
Классификация по местонахождению нарушителя ................... 298
Механизмы реализации а т а к ....................................... 2 99
Примеры а т а к ....................................................... 30 0
Перехват паролей к почтовым я щ и к а м ............................. 300
Определение операционной системы у з л а ..........................301
Атака SynFlood...................................................302
Атака «ARP-Spoofing»............................................ 304
Переполнение буфера............................................. 304
Ошибка обработки WMF-файлов (CVE-2005-4560) ................... 305
Выводы .......................................................... 305
Средства защиты с е т е й ............................................. 306
Р а з д е л I V - Т е м а 23: Н а з н а ч е н и е , в о з м о ж н о с т и , и о с н о в н ы е з а щ и т н ы е м е х а н и з м ы
межсетевых экранов .............................................................. 307
В в е д е н и е ........................................................... 307
МЭ - основные сведения ............................................ 308
Механизмы защиты, реализуемые М Э ............................... 308
Фильтрация сетевого трафика.....................................308
Трансляция адресов.............................................. 30 9
Шифрование трафика.............................................. 311
Классификация М Э ...................................................311
Введение......................................................... 311
Пакетные фильтры................................................ 312
Пакетный фильтр iptables в ОС L i n u x ............................ 313
Достоинства и недостатки пакетных филь т р о в .................... 315
Иллюстрация статичности пакетных ф и л ь т р о в ..................... 316
Шлюзы уровня соединения......................................... 318
Stateful inspection ............................................... 319
Варианты расположения МЭ .......................................... 322
Полит и к а б е з о п а с н о с т и и М Э ............................................. 324
Недостатки М Э ...................................................... 32 6
Общий обзор...................................................... 32 6
Туннелирование...................................................326
Что такое «HoneyNet»? ............................................. 328
Введение......................................................... 328
Назначение и особенности........................................ 328
Типовая схема «HoneyNet»........................................ 32 8
Р а з д е л I V - Т е м а 24: А н а л и з с о д е р ж и м о г о п о ч т о в о г о и W e b - т р а ф и к а (Co n t e n t
S e c u r i t y ) .......................................................................3 31
В в е д е н и е ........................................................... 331
Постановка з а д а ч и ................................................. 331
Электронная п о ч т а ................................................. 331
HTTP - т р а ф и к ...................................................... 332
Варианты решений задачи анализа содержимого ...................... 332
Системы анализа содержимого........................................ 334
Р а з д е л I V - Т е м а 25: В и р т у а л ь н ы е ч а с т н ы е с е т и ................................ 337
11
В в е д е н и е ........................................................... 337
Виды виртуальных частных сетей.................................... 338
Решение на базе ОС Windows 2003 ................................... 339
VPN на основе криптошлюза «Континент-К»...........................339
Угрозы, связанные с использованием V P N ............................ 342
Раздел IV - Тема 2 б : Обнаружение и устранение уязвимостей. Возможности
СКАНЕРОВ БЕЗОПАСНОСТИ........................................................... 344
Контроль эффективности системы защиты............................. 344
Классификация средств анализа защищённости....................... 344
Обзор средств анализа защищённости сетевого уровня ............... 347
Обзор средств анализа защищённости уровня узла ................... 351
Специализированный анализ защищённости............................ 352
Раздел IV - Тема 2 7 : Мониторинг событий безопасности........................ 354
В в е д е н и е ........................................................... 354
Введение в управление журналами событий...........................354
Категории журналов событий.........................................354
Инфраструктура управления журналами событий...................... 355
Способы построения инфраструктуры управления журналами событий .. .357
Реализация инфраструктуры управления журналами событий на основе
протокола syslog .................................................. 357
Инфраструктура «SEM» .............................................. 358
Дополнительные компоненты инфраструктуры управления журналами . . . .359
Средства сбора и анализа сетевого т р афика..................... 35 9
Системы обнаружения атак уровня у з л а ...........................3 60
Дополнительные утилиты и инструменты...........................3 60
Введение в технологию обнаружения а т а к ............................ 3 60
Классификация систем обнаружения а т а к ............................. 363
Классификация по источнику д а н н ы х .............................. 363
Классификация по технологии обнаружения....................... 364
Механизмы реагирования.......................................... 367
Специализированные системы обнаружения а т а к ...................... 369
Список литературы...............................................................371
— центр
Введение в курс «Безопасность
информационных технологий»
Описание курса
Программа учебного курса «БЕЗОПАСНОСТЬ ИНФОРМАЦИОННЫХ
ТЕХНОЛОГИИ» утверждена Федеральной службой по техническому и экспортному
контролю (ФСТЭК России) в качестве программы курсов повышения квалификации и
профессиональной переподготовки руководителей и специалистов подразделений
технической защиты информации.
С л у ш ател и Программа учебного курса ориентирована на:

■ руководителей подразделений технической защиты информации (ТЗИ),
непосредственно отвечающих за состояние безопасности информационных
технологий (ИТ) и организацию работ по созданию комплексных систем
защиты информации в автоматизированных системах (АС);
■ аналитиков по вопросам компьютерной безопасности, отвечающих за
анализ состояния безопасности ИТ, определение требований к
защищённости различных подсистем АС и путей обеспечения их защиты, а
также за разработку необходимых нормативно-методических и
организационно-распорядительных документов по вопросам защиты
информации;
■ администраторов средств защиты, контроля защищённости и
управления безопасностью, отвечающих за сопровождение и
администрирование штатных и дополнительных средств защиты
информации и средств анализа защищённости подсистем АС;
■ менеджеров по работе с конечными пользователями и обслуживающим
персоналом АС, отвечающих за реализацию и контроль исполнения
регламентов безопасной обработки информации в АС.
У i6 n i
13
Содержание курса В рамках курса рассматриваются:

■ теоретические и правовые вопросы защиты информации и обеспечения
безопасности информационных технологий;
■ принципы построения комплексных систем защиты АС;
■ основные направления деятельности служб технической защиты
информации (подразделений обеспечения безопасности ИТ;
■ современная технология обеспечения безопасности ИТ, предусматривающая
рациональное распределение функций и организацию эффективного
взаимодействия по вопросам защиты информации сотрудников всех
подразделений, использующих АС и обеспечивающих её
функционирование;
■ вопросы разработки нормативно-методических и организационно
распорядительных документов, необходимых для реализации технологии
обеспечения безопасности ИТ;
■ возможности и порядок применения сертифицированных ФСТЭК России и
ФСБ России технических средств разграничения доступа к ресурсам АС и
средств обеспечения безопасности в компьютерных системах и сетях.
Необходимая Для лучшего усвоения материала курса слушателям желательно иметь

базовая подготовка представление о современных информационных технологиях и
автоматизированных системах управления, о правовых, организационных и
технических аспектах проблемы обеспечения безопасности ИТ.
Й5
Приобретаемые В ходе изучения курса слушатели приобретают знания и практические навыки
знания и навыки по:
■ основам обеспечения безопасности информационных
технологий, современным концепциям построения и
эффективного применения комплексных систем защиты
информации в АС;
■ современным методам и средствам технической защиты
информации, подходам к выбору необходимых программно
аппаратных средств защиты информации в АС и сетях;
■ планированию защиты, рациональному распределению функций
по ТЗИ между подразделениями и сотрудниками предприятия,
по организации их взаимодействия на различных этапах
жизненного цикла подсистем АС;
■ основам проведения информационных обследований и анализа
подсистем АС как объектов защиты;
■ разработке организационно-распорядительных документов по
вопросам защиты информации;
■ порядку применения средств защиты информации от
несанкционированного доступа (СЗИ НСД);
■ проблемам информационной безопасности в сетях
Internet/Intranet, уязвимостям сетевых протоколов и служб,
атакам в 1Р-сетях;
■ межсетевым экранам, средствам анализа защищённости,
средствам обнаружения атак, порядку их применения для
обнаружения и устранения уязвимостей в информационных
системах и обеспечения безопасности в IP-сетях;
■ основам поиска и использования оперативной информации о
новых уязвимостях в системном и прикладном программном
обеспечении, о средствах защиты, и другой актуальной
информации по обеспечению безопасности ИТ.
15
Структура курса
День 1 Раздел I. Основы безопасности информационных технологий

Тема 1: Актуальность проблемы обеспечения безопасности информационных
технологий.
Тема 2: Основные понятия в области безопасности информационных
Тема 3: Угрозы безопасности информационных технологий.
Тема 4: Виды мер и основные принципы обеспечения безопасности
информационных технологий.
День 2 Тема 5: Правовые основы обеспечения безопасности информационных

Тема 6: Государственная система защиты информации.
Тема 7: Основные защитные механизмы, реализуемые в рамках различных мер
и средств защиты.
День 3 Раздел II. Обеспечение безопасности информационных технологий

Тема 8: Организационная структура системы обеспечения безопасности
Тема 9: Обязанности конечных пользователей и ответственных за обеспечение
безопасности информационных технологий в подразделениях.
Тема 10: Документы, регламентирующие правила парольной и антивирусной
защиты.
Тема 11: Документы, регламентирующие порядок допуска к работе и изменения
полномочий пользователей автоматизированной системы.
Тема 12: Документы, регламентирующие порядок изменения конфигурации
аппаратно-программных средств автоматизированной системы.
Тема 13: Регламентация процессов разработки, испытания, опытной
эксплуатации, внедрения и сопровождения задач.
Тема 14: Определение требований к защите и категорирование ресурсов.
Проведение информационных обследований и анализ подсистем
автоматизированной системы как объекта защиты.
—^
День 4 Тема 15: Планы защиты и планы обеспечения непрерывной работы и
восстановления подсистем автоматизированной системы.
Тема 16: Основные задачи подразделений обеспечения безопасности
информационных технологий. Организация работ по обеспечению
безопасности информационных технологий.
Тема 17: Концепция безопасности информационных технологий предприятия
(организации).
Раздел III. Средства защиты информации от несанкционированного
доступа
Тема 18: Назначение и возможности средств защиты информации от
несанкционированного доступа.
Тема 19: Рекомендации по выбору средств защиты информации от
Тема 20: Аппаратно-программные средства защиты информации от
Тема 21: Возможности применения штатных и дополнительных средств защиты
информации от несанкционированного доступа.
День 5 Раздел IV. Обеспечение безопасности компьютерных систем и сетей

Тема 22: Проблемы обеспечения безопасности в компьютерных системах и
сетях.
Тема 23: Назначение, возможности и основные защитные механизмы
межсетевых экранов.
Тема 24: Анализ содержимого почтового и Web-трафика (Content Security).
Тема 25: Виртуальные частные сети.
Тема 26: Обнаружение и устранение уязвимостей. Возможности сканеров
уязвимостей.
Тема 27: Мониторинг событий безопасности.
Итоговое занятие (зачёт)
Раздел I .
Основы безопасности
информационных технологий
Тема 1: Актуальность проблемы обеспечения безопасности

Тема 2: Основны е понятия в области безопасности
Тема 3: Угрозы безопасности информационных технологий.
Тема 4: Виды мер и основные принципы обеспечения
безопасности информационных технологий.
Тема 5: Правовые основы обеспечения безопасности
Тема 6: Государственная система защиты информации.
Тема 7: Основны е защитные механизмы, реализуемые в
рамках различных мер и средств защиты.
Раздел I - Тема 1:
Актуальность проблемы обеспечения
безопасности информационных технологий
Место и роль информационных систем в управлении

бизнес-процессами
Информационные технологии, основанные на последних достижениях в области
вычислительной техники и связи, находят все более широкое применение буквально во
всех сферах нашей жизни и деятельности. В отличие от индустриальных технологий, где
основным объектом переработки является сырье и материалы, информационные
технологии потребляют и перерабатывают информацию. С развитием ИТ объёмы
обрабатываемой и передаваемой информации, как в абсолютных величинах, так и по
отношению к объёмам обработки сырья и материалов в индустриальных технологиях,
непрерывно возрастают. В связи с этим многие специалисты даже говорят о переходе к
новой качественной ступени развития - информационному обществу.
Почему же современные компьютеры и средства телекоммуникации так широко
востребованы? Что такое они умеют делать, что становятся необходимыми практически
везде? Чаще всего приходится слышать ответ, что компьютеры позволяют
автоматизировать умственный труд. Но разве физический труд они не позволяют
автоматизировать (или автоматизировать его в большей степени)? Что это за такой
«умственный труд»?
Ответ на все эти вопросы очень прост. Компьютерные технологии позволяют
автоматизировать процессы управления (умственный труд по управлению - по принятию
решений в конкретных ситуациях на основе имеющейся информации). А поскольку
управление необходимо везде, всегда и всем, то и средства автоматизации управления
применяются повсеместно. Автоматизация на основе современных ИТ позволяет
принимать решения более оперативно и обоснованно, позволяет учитывать при принятии
управленческих решений больший объем сведений, тем самым, повышая качество и
эффективность управления. Управления чем бы то ни было, —от отдельных узлов и
агрегатов, например, в автомобилях, деятельностью отдельных людей, технологическими
процессами на производстве, бизнес процессами компаний, экономическими и
социально-политическими процессами в обществе.
Отсюда и все возрастающее внимание к защите применяемых для автоматизации
управления информационных технологий и непосредственно информации. Любые
нарушения и неполадки в работе информационных систем (ИС), систем обработки и
передачи информации, - и, как следствие, снижение качества или полная потеря
управления критичными процессами со всеми вытекающими убытками и потерями.
Если посмотреть внимательнее, то можно увидеть, что любая информационная система,
как бы она не называлась, всегда является частью соответствующей системы управления.
А любая автоматизированная информационная система (АИС) - частью
автоматизированной системы управления (АСУ).
Любое фундаментальное техническое или технологическое новшество, предоставляя
возможности для решения одних социальных проблем и открывая широкие перспективы
для развития личности и общества, всегда вызывает обострение старых или порождает
новые, ранее неизвестные проблемы, становится источником новых потенциальных
опасностей.
Учебным центр
19
Без должного внимания к вопросам обеспечения безопасности последствия перехода

общества к новым технологиям могут быть катастрофическими для него и его граждан.
Именно так обстоит дело в области атомных, химических и других экологически опасных
технологий, в сфере транспорта. Аналогично обстоит депо и с информатизацией
общества.
Неправомерное искажение или фальсификация, уничтожение или разглашение
определённой части информации, равно как и дезорганизация процессов её обработки и
передачи в информационно-управляющих системах наносят серьёзный материальный и
моральный урон многим субъектам (государству, юридическим и физическим лицам),
участвующим в процессах автоматизированного информационного взаимодействия.
Жизненно важные интересы этих субъектов, как правило, заключаются в том, чтобы
определённая часть информации, касающаяся их экономических, политических и других
сторон деятельности, конфиденциальная коммерческая и персональная информация,
была бы постоянно легко доступна и в то же время надёжно защищена от
неправомерного её использования: нежелательного разглашения, фальсификации,
незаконного тиражирования, блокирования или уничтожения.
Имеются веские основания полагать, что применяемые в настоящее время большинством
организаций меры не обеспечивают необходимого уровня безопасности субъектов,
участвующих в процессе информационного взаимодействия, и не способны в
необходимой степени противостоять разного рода воздействиям с целью доступа к
критичной информации и дезорганизации работы автоматизированных систем.
К сожалению, как и любое другое достижение человеческого гения, компьютер, решая
одни технические, экономические и социальные проблемы, одновременно порождает и
другие, порою не менее сложные. Если в должной мере не позаботиться о нейтрализации
сопутствующих прогрессу негативных факторов, то эффект от внедрения новейших
достижений науки и техники может оказаться в целом отрицательным.
Основные причины обострения проблемы обеспечения
Актуальность проблемы защиты информационных технологий в современных условиях
определяется следующими основными факторами:
■ обострением противоречий между объективно существующими
потребностями общества в расширении свободного обмена информацией и
чрезмерными или наоборот недостаточными ограничениями на её
распространение и использование;
■ расширением сферы использования электронно-вычислительных машин
(ЭВМ), многообразием и повсеместным распространением информационно-
управляющих систем, высокими темпами увеличения парка средств
вычислительной техники (СВТ) и связи;
■ повышением уровня доверия к автоматизированным системам управления и
обработки информации, использованием их в критических областях
деятельности;
■ вовлечением в процесс информационного взаимодействия все большего
числа людей и организаций, резким возрастанием их информационных
потребностей, наличием интенсивного обмена информацией между
участниками этого процесса;
■ концентрацией больших объёмов информации различного назначения и
принадлежности на электронных носителях;
—^
■ количественным и качественным совершенствованием способов доступа
пользователей к информационным ресурсам;
■ отношением к информации, как к товару, переходом к рыночным
отношениям в области предоставления информационных услуг;
■ многообразием видов угроз и возникновением новых возможных каналов
несанкционированного доступа к информации;
■ ростом числа квалифицированных пользователей вычислительной техники и
возможностей по созданию ими нежелательных программно
математических воздействий на системы обработки информации;
■ увеличением потерь (ущерба) от уничтожения, фальсификации, разглашения
или незаконного тиражирования информации (возрастанием уязвимости
различных затрагиваемых субъектов);
■ развитием рыночных отношений в сфере информационных технологий (в
области разработки, поставки, обслуживания вычислительной техники,
разработки программных средств, в том числе средств защиты).
Острота проблемы обеспечения безопасности субъектов информационных отношений,
защиты их законных интересов при использовании информационных и управляющих
систем, хранящейся и обрабатываемой в них информации все более возрастает. Этому
есть целый ряд объективных причин.
Прежде всего - это расширение сферы применения средств вычислительной техники
и возросший уровень доверия к автоматизированным системам управления и
обработки информации. Компьютерным системам доверяют самую ответственную
работу, от качества выполнения которой зависит жизнь и благосостояние многих людей.
Автоматизированные системы управляют технологическими процессами на
предприятиях и атомных электростанциях, управляют движением самолётов и поездов,
выполняют финансовые операции, обрабатывают секретную и конфиденциальную
информацию.
Изменился подход и к самому понятию «информация». Этот термин все чаще
используется для обозначения особого товара, стоимость которого зачастую превосходит
стоимость автоматизированной системы, в рамках которой он существует.
Осуществляется переход к рыночным отношениям в области создания и предоставления
информационных услуг, с присущей этим отношениям конкуренцией и промышленным
шпионажем.
Проблема зашиты автоматизированных систем становится ещё более серьёзной и в связи
с развитием и распространением информационно-телекоммуникационных сетей,
территориально распределённых систем и систем с удалённым доступом к совместно
используемым ресурсам.
Доступность средств вычислительной техники и, прежде всего, персональных ЭВМ
привела к распространению компьютерной грамотности в широких слоях населения,
что закономерно, привело к увеличению числа попыток неправомерного вмешательства в
работу государственных и коммерческих автоматизированных систем, как со злым
умыслом, так и чисто «из спортивного интереса». К сожалению, многие из этих попыток
имеют успех и наносят значительный урон всем заинтересованным субъектам
информационных отношений.
Отставание в области создания стройной и непротиворечивой системы законодательно
правового регулирования отношений в сфере накопления, использования и защиты
информации создаёт условия для возникновения и широкого распространения
«компьютерного хулиганства» и «компьютерной преступности».
Учебным иемтр
21
Ещё одним весомым аргументом в пользу усиления внимания к вопросам безопасности

автоматизированных систем является бурное развитие и широкое распространение
так называемых компьютерных вирусов, способных скрытно существовать в системе и
совершать потенциально любые несанкционированные действия.
Особую опасность для компьютерных систем представляют злоумышленники,
специалисты - профессионалы в области вычислительной техники и
программирования, досконально знающие все достоинства и слабые места
автоматизированных систем и располагающие подробнейшей документацией и самыми
совершенными инструментальными и технологическими средствами для анализа и
взлома механизмов защиты.
С развитием возможностей новых информационных технологий мы «поручаем»
компьютерным системам решение все более объёмных, сложных, важных и все более
ответственных задач, и ... попадаем в ещё большую зависимость от соответствующих
АС. Нетрудно понять, что при таком развитии событий актуальность проблемы
обеспечения безопасности применяемых информационных технологий в дальнейшем
будет все время только возрастать.
Исследование в области информационной безопасности, проведённое консалтинговой
компанией «Ernst & Young» в России и странах СНГ, показало, что более 65% российских
компаний столкнулись с нарушениями информационной безопасности. В 50% случаев
нарушения информационной безопасности связаны с хакерскими атаками, в том числе с
проникновением в информационную систему извне; с несанкционированным доступом
изнутри компании; с атаками, имеющими целью вызвать отказ в обслуживании; с
саботажем; с финансовым мошенничеством и хищением коммерческой информации.
Проблема обеспечения безопасности информационных технологий относится к числу
трудноразрешимых. Это связано со следующими объективными обстоятельствами:
■ недостаточным (неадекватным реалиям) пониманием необходимости
защиты используемых информационных технологий;
■ высокой степенью неопределённости рисков, связанных с применением
новейших ИТ;
■ высокой сложностью АС как объектов защиты;
■ необходимостью комплексного подхода к защите ИТ с учётом их серьёзной
зависимости от человеческого фактора;
■ сложностью разрешения конфликтов интересов между различными
категориями субъектов (собственниками информационных систем,
системными и сетевыми администраторами, администраторами
безопасности, пользователями, обслуживающим персоналом систем и
менеджерами различных уровней);
■ отставанием методов и средств защиты от развития информационных
технологий, а также от развития методов и средств нападения;
■ недостатком квалифицированных специалистов в сфере компьютерной
безопасности и низким уровнем компьютерной культуры пользователей
(слабой осведомлённостью последних в вопросах безопасности ИТ).
Защита информационных технологий как процесс управления рисками.
Сложность количественной оценки рисков
Следует помнить, что создать абсолютно непреодолимую систему защиты
принципиально невозможно. Пока информация находится в обращении, принимаемые
меры могут только снизить вероятность негативных воздействий или ущерб от них, но не
исключить их полностью. При достаточном количестве времени и средств можно
Учв&ньм ц ентр
преодолеть любую защиту. Поэтому имеет смысл рассматривать некоторый приемлемый
уровень обеспечения безопасности соответствующий существующим угрозам (рискам).
Суть защиты ресурсов корпоративных сетей —есть управление рисками, связанных с
использованием этих сетей.
Что же такое риск?
Мы уже уточнили, что угроза - это нежелательное событие, наносящее ущерб субъектам.
Риск - это оценка опасности определённой угрозы. Риск выражает вероятностно
стоимостную оценку возможных потерь (ущерба) и характеризуется:
■ вероятностью успешной реализации угрозы А,;
■ стоимостью потерь (ущерба) в случае реализации угрозы В,.
Стоимостную составляющую информационной безопасности хорошо иллюстрирует
упрощённая формула оценки издержек, связывающая количественные характеристики
рисков, стоимость реализации мер защиты и суммарные издержки.
ОБОБЩЕННАЯ ОЦЕНКА ИЗДЕРЖЕК
R Rmax
п - количество рисков (угроз)

А - вероятностная оценка риска (0-1)
В - стоимостная оценка риска ($)
С - стоимость реализации мер защиты ($)
R - суммарные издержки ($)
R m ax - допустимые издержки ($)
Анализ рисков состоит в том, чтобы выявить существующие угрозы и оценить их

опасность (дать им количественную или качественную оценку). На этапе анализа рисков
должны быть выявлены все значимые угрозы, то есть угрозы с большой частотой
(вероятностью) реализации и/или приводящие к существенным (ощутимым) потерям.
Управление рисками заключается в принятии мер защиты (контрмер), направленных на
снижение частоты успешной реализации угроз и/или на снижение размера ущерба в
случае их реализации. При этом защитные меры выбираются на основе принципа
разумной достаточности (экономической целесообразности, сопоставимости возможного
ущерба и затрат на защиту) исходя из минимизации общих издержек - затрат на защиту
плюс остаточных потерь от угроз.
Известно два основных подхода к анализу рисков - качественный и количественный.
Наиболее привлекательным, на первый взгляд, является количественный подход,
позволяющий сравнивать защищённость различных систем. К сожалению, имеются
сложности его внедрения, связанные с:
■ отсутствием достоверной статистики в быстро меняющемся мире ИТ;
23
■ трудностью оценки ущерба по нематериальным активам (репутация,

конфиденциальность сведений, идеи, бизнес-планы, здоровье персонала);
■ трудностью оценки всех косвенных потерь от реализации угроз;
■ обесцениванием результатов длительной количественной оценки рисков из-
за постоянной модификации и реконфигурации АИС.
Поэтому в основном для анализа рисков в настоящее время используется качественный
подход, предусматривающий простое ранжирование угроз и связанных с ними рисков по
степени их опасности.
Существует несколько вариантов противодействия выявленным рискам (угрозам).
Первый из них связан с признанием допустимости риска от конкретной угрозы,
например, если вероятность реализации угрозы ничтожна мала или затраты на защиту от
неё катастрофически велики.
Второй вариант действий предусматривает частичную передачу ответственности за
инциденты в сфере безопасности ИТ сторонней организации, например страховой
компании.
Третий и основной вариант действий связан с проведением комплекса мероприятий (мер
противодействия), позволяющих либо уменьшить риск до разумных величин, либо
полностью исключить его.
Основными этапами анализа и управления рисками являются:
■ определение границ системы и методологии оценки рисков;
■ идентификация и оценка информационных ресурсов системы (ценностей);
■ идентификация угроз и оценка вероятностей их реализации;
■ определение риска и выбор средств защиты;
■ внедрение средств защиты и оценка остаточного риска.
При выборе метода оценки целесообразности затрат на обеспечение безопасности ИТ
необходимо чётко представлять преследуемые цели:
во-первых - метод должен обеспечивать количественную оценку затрат на безопасность
ИТ, используя качественные показатели оценки вероятностей событий и их последствий;
во-вторых —метод должен быть прозрачен с точки зрения пользователя, и давать
возможность вводить собственные эмпирические данные;
в-третьих - метод должен быть универсален, то есть одинаково применим к оценке затрат
на приобретение аппаратных средств, специализированного и универсального
программного обеспечения, затрат на услуги, затрат на перемещение персонала и
обучение конечных пользователей и т.д.;
в-четвертых - метод должен позволять моделировать ситуацию, при которой существует
несколько контрмер, направленных на предотвращение определённых угроз, в разной
степени влияющих на сокращение вероятности происшествия.
Затраты, связанные с безопасность ИТ, подразделяются на несколько категорий:
1. Затраты на формирование и поддержание звена управления системой защиты
информации (организационные затраты);
2. Затраты на контроль (определение и подтверждение достигнутого уровня
защищённости ресурсов АИС);
— Учебным центр
3. Внутренние затраты на ликвидацию последствий нарушений политики безопасности
ИТ (затраты, понесённые в результате того, что требуемый уровень защищённости не
был достигнут);
4. Внешние затраты на ликвидацию последствий нарушения политики безопасности
ИТ;
5. Затраты на техническое обслуживание системы безопасности ИТ и мероприятия по
предотвращению нарушений политики безопасности ИТ (предупредительные
мероприятия).
Затраты на формирование и под держание звена управления системой защиты
информации (организационные затраты):
■ затраты на формирование политики безопасности ИТ;
■ затраты на приобретение и ввод в эксплуатацию программно-технических
средств (серверов, компьютеров конечных пользователей (настольных и
мобильных), периферийных устройств и сетевых компонентов;
■ затраты на приобретение и настройку средств защиты информации;
■ затраты на содержание персонала, стоимость работ и аутсорсинг.
Затраты на контроль (определение и подтверждение достигнутого уровня защищённости
ресурсов АИС):
■ контроль за соблюдением политики безопасности ИТ:
- затраты на контроль реализации функций, обеспечивающих управление
безопасностью ИТ;
- затраты на организацию взаимодействия между подразделениями для
решения конкретных задач по обеспечению безопасности ИТ;
- затраты на проведение аудита безопасности по каждой части АС;
- материально-техническое обеспечение системы контроля доступа к
объектам и ресурсам;
■ плановые проверки и испытания:
- затраты на проверки и испытания средств защиты информации;
- затраты на проверку навыков эксплуатации средств защиты персоналом;
- затраты на обеспечение работы лиц, ответственных за реализацию
конкретных процедур безопасности по подразделениям;
- оплата работ по контролю правильности ввода данных в прикладных
системах;
- оплата инспекторов по контролю требований, предъявляемых к
средствам защиты при разработке систем (контроль на стадии
проектирования и спецификации требований);
■ внеплановые проверки и испытания:
- оплата работы испытательного персонала специализированных
организаций;
- обеспечение испытательного персонала материально-техническими
средствами;
■ затраты на внешний аудит:
25
- затраты на контрольно-проверочные мероприятия, связанные с

лицензионно-разрешительной деятельностью в сфере безопасности ИТ.
Внутренние затраты на ликвидацию последствий нарушений политики безопасности ИТ
(затраты, понесённые в результате того, что требуемый уровень защищённости не был
достигнут):
■ пересмотр политики безопасности ИТ (проводится периодически):
- затраты на идентификацию угроз безопасностью ИТ;
- затраты на поиск уязвимостей системы безопасности ИТ;
- оплата специалистов, выполняющих работы по определению
возможного ущерба и переоценки степени риска;
■ затраты на ликвидацию последствий нарушения режима безопасности:
- восстановление системы безопасности ИТ до соответствия требованиям
политики безопасности;
- установка патчей или приобретение последних версий программных
средств защиты информации;
- приобретение технических средств взамен, пришедших в негодность;
- проведение дополнительных испытаний и проверок технологических
информационных систем;
- затраты на утилизацию скомпрометированных ресурсов;
■ восстановление информационных ресурсов:
- затраты на восстановление баз данных и прочих информационных
массивов;
- затраты на проведение мероприятий по контролю достоверности данных,
подвергшихся атаке на целостность;
■ затраты на выявление причин нарушения политики безопасности:
- затраты на проведение расследований нарушений политики
безопасности ИТ (сбор данных о способах совершения, механизме и
способах сокрытия неправомерного деяния, поиск следов, орудий,
предметов посягательства, выявление мотивов неправомерных действий
и т.д.);
- затраты на обновление планов обеспечения непрерывности деятельности
службы безопасности;
■ затраты на переделки:
- затраты на внедрение дополнительных средств защиты, требующих
существенной перестройки системы безопасности ИТ;
- затраты на повторные проверки и испытания системы безопасности ИТ.
Внешние затраты на ликвидацию последствий нарушения политики безопасности ИТ:
■ внешние затраты на ликвидацию последствий нарушения политики
безопасности ИТ:
- обязательства перед государством и партнёрами;
- затраты на юридические споры и выплаты компенсаций;
- потери в результате разрыва деловых отношений с партнёрами;
У чеб н ы й ц е н т р
26
■ потери новаторства:
- затраты на проведение дополнительных исследований и разработки
новой рыночной стратегии;
- отказ от организационных, научно-технических или коммерческих
решений, ставших неэффективными в результате утечки сведений, и
затраты на разработку новых средств ведения конкурентной борьбы;
- потери от снижения приоритета в научных исследованиях и
невозможности патентования и продажи лицензий на научно
технические достижения;
■ прочие затраты:
- заработная плата секретарей и служащих, организационные и прочие
расходы, которые непосредственно связаны с предупредительными
мероприятиями;
- другие виды возможного ущерба, в том числе связанные с
невозможностью выполнения функциональных задач.
Затраты на техническое обслуживание системы безопасности ИТ и мероприятия по
предотвращению нарушений политики безопасности ИТ (предупредительные
мероприятия):
■ затраты на управление системой безопасности ИТ:
- затраты на планирование системы безопасности ИТ;
- затраты на изучение возможностей инфраструктуры по обеспечению
безопасности ИТ;
- затраты на техническую поддержку персонала при внедрении средств
защиты информации и процедур, а также планов по безопасности ИТ;
- проверка сотрудников на лояльность, выявление угроз безопасности ИТ;
- организация системы допуска исполнителей и сотрудников к
защищаемым ресурсам;
■ регламентное обслуживание средств защиты информации:
- затраты, связанные с обслуживанием и настройкой программно
технических средств защиты информации, ОС и сетевого оборудования;
- затраты, связанные с организацией сетевого взаимодействия и
безопасного использования ИС;
- затраты на поддержание системы резервного копирования и ведения
архива данных;
- проведение инженерно-технических работ по установлению
сигнализации, оборудованию хранилищ конфиденциальных документов,
защите телефонных линий связи, СВТ и т.п.;
■ аудит системы безопасности ИТ:
- затраты на контроль изменений состояния информационной среды;
- затраты на систему контроля за действиями исполнителей;
■ обеспечение соответствия используемых ИТ заданным требованиям:
- затраты на обеспечение соответствия используемых ИТ требованиям по
безопасности, совместимости и надёжности, в том числе анализ
27
возможных негативных аспектов ИТ, которые влияют на целостность и

доступность;
- затраты на доставку (обмен) конфиденциальной информации;
- удовлетворение субъективных требований пользователей (стиль,
удобство интерфейса и др.);
■ обеспечение требований стандартов:
- затраты на обеспечение соответствия принятым стандартам и
требованиям;
■ обучение персонала:
- повышение квалификации сотрудников по вопросам использования
имеющихся средств защиты, выявления и предотвращения угроз
- развитие нормативной базы и технической оснащённости подразделения
безопасности.
Как видим, высокоэффективная система защиты стоит дорого, использует при работе
существенную часть ресурсов компьютерной системы. Излишние меры безопасности,
помимо экономической неэффективности, приводят к созданию дополнительных
неудобств и раздражению персонала. Важно правильно выбрать тот достаточный уровень
защиты, при котором затраты на контрмеры и размер возможного ущерба были бы
приемлемыми.
Особенности современных автоматизированных систем
как объектов защиты
Большинство современных автоматизированных систем обработки информации в общем
случае представляет собой территориально распределённые системы интенсивно
взаимодействующих (синхронизирующихся) между собой по данным (ресурсам) и
управлению (событиям) локальных вычислительных сетей (ЛВС) и отдельных ЭВМ.
В распределённых АС возможны все «традиционные» для локально расположенных
(централизованных) вычислительных систем способы несанкционированного
вмешательства в их работу и доступа к информации. Кроме того, для них характерны и
новые специфические каналы проникновения в систему и несанкционированного доступа
к информации, наличие которых объясняется целым рядом их особенностей.
Перечислим основные особенности распределённых АС:
■ территориальная разнесенность компонентов системы и наличие
интенсивного обмена информацией между ними;
■ широкий спектр используемых способов представления, хранения и
протоколов передачи информации;
■ интеграция данных различного назначения, принадлежащих различным
субъектам, в рамках единых баз данных и, наоборот, размещение
необходимых некоторым субъектам данных в различных удаленных узлах
сети;
■ абстрагирование владельцев данных от физических структур и места
размещения данных;
■ использование режимов распределенной обработки данных;
■ участие в процессе автоматизированной обработки информации большого
количества пользователей и персонала различных категорий;
У ч е б н и к ц ентр
■ непосредственный и одновременный доступ к ресурсам (в том числе и
информационным) большого числа пользователей (субъектов) различных
категорий;
■ высокая степень разнородности используемых средств вычислительной
техники и связи, а также их программного обеспечения;
■ отсутствие специальных средств защиты в большинстве типов технических
средств, широко используемых в АС.
Трудности решения практических задач обеспечения безопасности конкретных АС
связаны с отсутствием развитой стройной теории и необходимых научно-технических и
методических основ обеспечения защиты информации в современных условиях.
У ч е б » ^ ж центр
29
Основные понятия в области безопасности
Прежде всего, необходимо понять, что же такое безопасность информационных

технологий, определить что (кого), от чего (от кого), почему (зачем) и как (в какой
степени и какими средствами) надо защищать. Только получив чёткие ответы на
данные вопросы, можно правильно сформулировать общие требования к системе
обеспечения безопасности ИТ и переходить к обсуждению вопросов построения
соответствующих систем защиты.
Что такое безопасность информационных технологий
Что же такое безопасность и безопасность ИТ в частности? Очень часто говорят, что
безопасность это отсутствие опасностей. Это не совсем правильно, так как полностью
устранить все возможные опасности нельзя. Безопасность - это защищённость от
опасностей. Точнее, безопасность - это защищённость от возможного ущерба,
наносимого при реализации этих опасностей (угроз).
Наносимый при осуществлении угроз ущерб может быть материальным, моральным или
физическим. Наноситься этот ущерб может напрямую или косвенно. Субъектами
нанесения ущерба, в конечном счёте, всегда являются люди. Даже если пострадают
материальные объекты или информационные ресурсы, ущерб (косвенный) в итоге будет
причинён людям, каким-либо образом, связанным с этими объектами или
заинтересованным в их сохранности и целостности. Самим этим объектам (ресурсам) -
все равно. Они не живые, у них нет своих интересов. Но от них зависят люди, которым
повреждения этих объектов (ресурсов) могут быть далеко небезразличны.
Реальность такова, что чем с большим числом объектов нас что-то связывает, тем в
большей опасности для косвенного нанесения нам ущерба мы находимся.
Если мы заинтересованы в надлежащей работе АС, то косвенный ущерб нашим
интересам может быть нанесён путём нарушения нормального функционирования этих
систем или нарушения необходимых нам свойств отдельных компонентов и ресурсов АС.
Причём, среди таких компонентов не только информация, но и её носители (устройства
хранения, обработки, передачи данных), а также процессы обработки и передачи
информации.
Под автоматизированной системой обработки информации будем понимать
организационно-техническую систему, представляющую собой совокупность следующих
взаимосвязанных компонентов:
■ технических средств обработки и передачи данных (средств вычислительной
техники и связи);
■ методов и алгоритмов обработки данных в виде программного обеспечения;
■ информации (массивов, наборов, баз данных) на различных носителях;
■ обслуживающего персонала и пользователей системы,
объединённых по организационно-структурному, тематическому, технологическому или
другим признакам для выполнения автоматизированной обработки информации (данных)
с целью удовлетворения информационных потребностей субъектов информационных
отношений (см. Рис. 1.2.1).
А В Т О М А Т И ЗИ РО В А Н Н А Я С И С ТЕМ А
Обслуживающий Конечные
персонал пользователи
Т ехнические средства
Г*
П1 ■tm . Программное обеспечение
Данные (информация)
Рис. 1.2.1. Основные компоненты автоматизированной системы
Под обработкой информации в АС будем понимать любую совокупность операций

(приём, накопление, хранение, преобразование, отображение, передача и т.п.),
осуществляемых над информацией (сведениями, данными) с использованием средств АС.
Информация и информационные отношения
Под информацией будем понимать сведения о фактах, событиях, процессах и явлениях, о
состоянии объектов (об их свойствах, характеристиках) в некоторой предметной области,
необходимые для оптимизации принимаемых решений в процессе управления этими
объектами.
Информационные ресурсы —отдельные документы и отдельные массивы документов,
документы и массивы документов в информационных системах (библиотеках, архивах,
фондах, банках данных, других информационных системах).
Отметим некоторые, важные для нас свойства информации:
■ существование в виде данных (в кодированном виде).
Информация может существовать в различных формах в виде совокупностей
некоторых кодовых знаков (символов, знаков, сигналов и т.п.) на носителях
различных типов. Информация - это смысл (семантика), а данные - это код -
носитель смысла (синтаксис). Информация существует в виде данных, то
есть всегда закодирована;
■ неисчерпаемость ресурса (при копировании информации ничего не
убывает);
■ потенциальная полезность при монопольном владении, позволяющая
получить определённую выгоду в экономической, политической, военной
У чеб и ьм центр
31
или иной области (отсюда и смысл введения ограничений на

распространение данной информации, то есть - тайны).
Субъекты информационных отношений, их безопасность
В дальнейшем под субъектами информационных отношений будем понимать:
■ государство (в целом или отдельные его ведомства, органы и организации);
общественные или коммерческие организации (объединения) и предприятия

(юридические лица),
отдельных граждан (физические лица).
В процессе своей деятельности субъекты могут находиться друг с другом в разного рода
отношениях, в том числе, касающихся вопросов получения, хранения, обработки,
распространения и использования определённой информации. Такие отношения между
субъектами будем называть информационными отношениями, а самих участвующих в
них субъектов —субъектами информационных отношений.
Различные субъекты по отношению к определённой информации могут (возможно,
одновременно) выступать в качестве (в роли):
■ источников (поставщиков) информации;
■ потребителей (пользователей) информации;
■ собственников, владельцев, обладателей, распорядителей информации и
систем ее обработки;
■ физических и юридических лиц, о которых собирается информация;
■ участников процессов обработки и передачи информации и т.д.
Для успешного осуществления своей деятельности по управлению объектами некоторой
предметной области субъекты информационных отношений могут быть заинтересованы
в обеспечении:
■ своеврем енного дост упа (за приемлемое для них время) к необходимой им
информации и определенным автоматизированным службам (услугам);
■ конфиденциальности (сохранения в тайне) определенной части
■ достоверности (полноты, точности, адекватности, целостности)
информации и защиты от навязывания им ложной (недостоверной,
искаженной) информации (то есть от дезинформации);
■ защиты части информации от незаконного ее тиражирования (защиты
авторских прав, прав интеллектуальной собственности, прав собственника
информации);
■ разграничения ответственности за нарушения законных прав (интересов)
других субъектов информационных отношений и установленных правил
обращения с информацией;
■ возможности осуществления непрерывного контроля и управления
процессами обработки и передачи информации и т.д.
Будучи заинтересованным в обеспечении хотя бы одного из вышеназванных свойств и
возможностей, субъект информационных отношений является уязвимым, то есть
Jl Информзащита
потенциально подверженным нанесению ему ущерба (прямого или косвенного,
морального или материального) посредством воздействия на критичную для него
информацию, её носители и процессы её обработки либо посредством неправомерного
использования такой информации.
Поэтому все субъекты информационных отношений в той или иной степени
(в зависимости от размеров ущерба, который им может быть нанесён) заинтересованы
в обеспечении своей информационной безопасности.
Об этом же самом, только другими словами, сказано в первой части стандарта
ГОСТ Р ИСО/МЭК 15408-2008 «Информационная технология. Методы обеспечения
безопасности. Критерии оценки безопасности информационных технологий»
(см. Рис. 1.3.2).
Рис. 1.3.2. Понятия безопасности и их взаимосвязь (ГОСТ Р ИСО/МЭК 15408-1-2008)
Для обеспечения законных прав и удовлетворения перечисленных выше интересов

субъектов информационных отношений (т.е. обеспечения информационной безопасности
субъектов) необходимо постоянно поддерживать (обеспечивать, защищать) следующие
необходимые субъектам свойства информации и систем её обработки:
■ доступность информации - такое свойство системы (средств и технологий
обработки, инфраструктуры, в которой циркулирует информация), которое
характеризует способность обеспечивать своевременный доступ субъектов к
интересующей их информации и соответствующим автоматизированным
службам всегда, когда в обращении к ним возникает необходимость
(готовность к обслуживанию поступающих от субъектов запросов);
■ целостность информации —такое свойство информации, которое
заключается в ее существовании в неискаженном виде (неизменном по
отношению к некоторому фиксированному ее состоянию).
Точнее говоря, субъектов интересует обеспечение более широкого
свойства - достоверности информации, которое складывается из
адекватности (полноты и точности) отображения состояния предметной
области и непосредственно целостности информации, то есть ее
неискаженности. Однако, мы ограничимся только рассмотрением вопросов
обеспечения целостности информации, так как вопросы адекватности
отображения выходят далеко за рамки проблемы безопасности ИТ;
■ конфиденциальность информации —такую субъективно определяемую
(приписываемую собственником) характеристику (свойство) информации,
которая указывает на необходимость введения ограничений на круг
субъектов, имеющих доступ к данной информации, и обеспечиваемую
способностью системы (инфраструктуры) сохранять указанную
информацию в тайне от субъектов, не имеющих прав на доступ к ней.
Объективные предпосылки подобного ограничения доступности
информации для одних субъектов заключены в необходимости защиты
законных интересов других субъектов информационных отношений.
Поскольку в нашем случае (речь об информационной безопасности) ущерб субъектам
информационных отношений может быть нанесён только опосредованно, через
определённую информацию и её носители, то закономерно возникает заинтересованность
субъектов в защите этой информации, её носителей, процессов и систем её обработки.
Отсюда следует, что в качестве объектов, подлежащих защите с целью обеспечения
безопасности субъектов информационных отношений, должны рассматриваться:
информация, любые её носители (отдельные компоненты и АС в целом) и процессы её
обработки (передачи).
Вместе с тем, говоря о защите АС, всегда следует помнить, что уязвимыми, в конечном
счёте, являются именно заинтересованные в обеспечении определённых свойств
информации и систем её обработки субъекты (информация, равно как и средства её
обработки, не имеют своих интересов, которые можно было бы ущемить). Поэтому, под
безопасностью АС или циркулирующей в ней информации, всегда следует понимать
косвенное обеспечение безопасности соответствующих субъектов, участвующих в
процессах автоматизированного информационного взаимодействия.
Термин «безопасность информации» нужно понимать как защищённость информации
от нежелательного для соответствующих субъектов информационных отношений её
разглашения (нарушения конфиденциальности), искажения или утраты (нарушения
целостности, фальсификации) или снижения степени доступности (блокирования)
информации, а также незаконного её тиражирования (неправомерного использования).
Поскольку субъектам информационных отношений ущерб может бьггь нанесён также
посредством воздействия на процессы и средства обработки критичной для них
информации, то становится очевидным необходимость обеспечения защиты системы
обработки и передачи данной информации от несанкционированного вмешательства в
процесс её функционирования, а также от попыток хищения, незаконной модификации
и/или разрушения любых компонентов данной системы.
Под «безопасностью автоматизированной системы» (системы обработки
информации, компьютерной системы) следует понимать защищённость всех её
компонентов (технических средств, программного обеспечения, данных, пользователей и
персонала) от разного рода нежелательных для соответствующих субъектов воздействий.
34
Надо отметить, что пользователи и персонал системы также являются

заинтересованными в обеспечении безопасности субъектами (внутренними).
Безопасность любого компонента (ресурса) АС складывается из обеспечения трёх его
свойств: конфиденциальности, целостности и доступности.
Конфиденциальность компонента (ресурса) АС заключается в том, что он доступен
только тем субъектам (пользователям, программам, процессам), которым предоставлены
на то соответствующие полномочия.
Целостность компонента (ресурса) АС предполагает, что он может быть
модифицирован только субъектом, имеющим для этого соответствующие права.
Целостность является одним из условий корректности (неизменности,
работоспособности) компонента в любой момент времени.
Доступность компонента (ресурса) АС означает, что имеющий соответствующие
полномочия субъект может без особых проблем получить своевременный доступ к
необходимому компоненту системы.
Кроме того, для защиты субъектов от пиратства и разграничения их ответственности
необходимо обеспечивать следующие свойства информационной инфраструктуры:
■ неотказуемость субъектов от выполненных критичных действий;
■ защиту от неправомерного тиражирования открытой информации.
Так же необходимо различать понятия «информационная безопасность» и
«безопасность информации», которые до недавнего времени воспринимались как
синонимы. Под информационной безопасностью понимается защищённость общества и
личности от деструктивного информационного воздействия (пропаганды, агрессивной
рекламы, низкопробных видов искусства и т.п.), а под безопасностью информации
понимается состояние защищённости информации от угроз.
Цель защиты автоматизированной системы
и циркулирующей в ней информации
При рассмотрении проблемы обеспечения компьютерной, информационной
безопасности следует всегда исходить из того, что защита информации и самой системы
её обработки не является самоцелью.
Конечной целью обеспечения безопасности АС является защита всех категорий
субъектов (как внешних, так и внутренних), прямо или косвенно участвующих в
процессах информационного взаимодействия, от нанесения им ощутимого
материального, морального или иного ущерба в результате случайных или
преднамеренных нежелательных воздействий на информацию и системы её обработки и
передачи. В качестве защищаемых объектов должны рассматриваться информация, все её
носители (отдельные компоненты и автоматизированная система обработки информации
в целом) и процессы обработки.
Целью защиты циркулирующей в АС информации является предотвращение
разглашения (утечки), искажения (модификации), утраты, блокирования (снижения
степени доступности) или незаконного тиражирования информации.
Обеспечение безопасности автоматизированной системы предполагает создание
препятствий для любого несанкционированного вмешательства в процесс её
функционирования, а также для попыток хищения, модификации, выведения из строя или
разрушения её компонентов, то есть защиту всех компонентов АС: оборудования,
программного обеспечения, данных (информации) и её персонала.
В этом смысле защита информации от несанкционированного доступа (НСД) является
только частью общей проблемы обеспечения безопасности компьютерных систем и
защиты законных интересов субъектов информационных отношений, а сам термин НСД
Учебный u*wrp
было бы правильнее трактовать не как «несанкционированный доступ» (к информации), а
шире, —как «несанкционированные (неправомерные) действия», наносящие ущерб
субъектам информационных отношений.
Угрозы безопасности информационных
технологий
Одним из важнейших аспектов проблемы обеспечения безопасности компьютерных

систем является определение, анализ и классификация возможных угроз безопасности
АС. Перечень значимых угроз, оценки вероятностей их реализации, а также модель
нарушителя служат основой для проведения анализа рисков и формулирования
требований к системе защиты АС.
Уязвимость основных структурно-функциональных элементов
распределённых автоматизированных систем
В общем случае АС состоят из следующих основных структурно-функциональных
элементов:
■ рабочих станций - отдельных ЭВМ или терминалов сети, на которых
реализуются автоматизированные рабочие места пользователей (абонентов,
операторов);
■ серверов или host-машин (служб файлов, печати, баз данных и т.п.) не
выделенных (или выделенных, то есть не совмещенных с рабочими
станциями) высокопроизводительных ЭВМ, предназначенных для
реализации функций хранения, печати данных, обслуживания рабочих
станций сети и т.п. действий;
■ сетевых устройств (маршрутизаторов, коммутаторов, шлюзов, центров
коммутации пакетов, коммуникационных ЭВМ) - элементов,
обеспечивающих соединение нескольких сетей передачи данных, либо
нескольких сегментов одной и той же сети, возможно имеющих различные
протоколы взаимодействия;
■ каналов связи (локальных, телефонных, с узлами коммутации и т.д.).
Рабочие станции являются наиболее доступными компонентами сетей и именно с них
могут быть предприняты наиболее многочисленные попытки совершения
несанкционированных действий. С рабочих станций осуществляется управление
процессами обработки информации, запуск программ, ввод и корректировка данных, на
дисках рабочих станций могут размещаться важные данные и программы обработки. На
видеомониторы и печатающие устройства рабочих станций выводится информация при
работе пользователей (операторов), выполняющих различные функции и имеющих
разные полномочия по доступу к данным и другим ресурсам системы. Именно на
рабочих станциях осуществляется ввод имён и паролей пользователями. Поэтому рабочие
станции должны быть надёжно защищены от доступа посторонних лиц и должны
содержать средства разграничения доступа к ресурсам со стороны законных
пользователей, имеющих разные полномочия. Кроме того, средства защиты должны
предотвращать нарушения нормальной настройки (конфигурации) рабочих станций и
режимов их функционирования, вызванные неумышленным вмешательством неопытных
(невнимательных) пользователей.
В особой защите нуждаются такие привлекательные для злоумышленников элементы
сетей как серверы (host-машины) и сетевые устройства. Первые —как концентраторы
больших объёмов информации, вторые - как элементы, в которых осуществляется
преобразование (возможно через открытую, незашифрованную форму представления)
данных при согласовании протоколов обмена в различных участках сети.
У чебмын центр
37
Благоприятным для повышения безопасности серверов и мостов обстоятельством

является, как правило, наличие возможностей их надёжной зашиты физическими
средствами и организационными мерами в силу их выделенности, позволяющей
сократить до минимума число лиц из персонала, имеющих непосредственный доступ к
ним. Иными словами, непосредственные случайные воздействия персонала и
преднамеренные локальные воздействия злоумышленников на выделенные серверы и
мосты можно считать маловероятными. В то же время, все более распространёнными
становятся массированные атаки на серверы и мосты (а равно и на рабочие станции) с
использованием средств удалённого доступа. Здесь злоумышленники, прежде всего,
могут искать возможности повлиять на работу различных подсистем рабочих станций,
серверов и мостов, используя недостатки протоколов обмена и средств разграничения
удалённого доступа к ресурсам и системным таблицам. Использоваться могут все
возможности и средства, от стандартных (без модификации компонентов) до
подключения специальных аппаратных средств (каналы, как правило, слабо защищены от
подключения) и применения специальных программ для преодоления системы защиты.
Конечно, сказанное выше не означает, что не будет попыток внедрения аппаратных и
программных закладок в сами мосты и серверы, открывающих широкие дополнительные
возможности по несанкционированному удалённому доступу. Закладки могут быть
внедрены как с удалённых станций (посредством вирусов или иным способом), так и
непосредственно в аппаратуру и программы серверов при их ремонте, обслуживании,
модернизации, переходе на новые версии программного обеспечения, смене
оборудования.
Каналы и средства связи также нуждаются в защите. В силу большой пространственной
протяжённости линий связи (через неконтролируемую или слабо контролируемую
территорию) практически всегда существует возможность подключения к ним, либо
вмешательства в процесс передачи данных.
Угрозы безопасности информации, автоматизированных систем
и субъектов информационных отношений
Под угрозой (вообще) обычно понимают потенциально возможное событие, вызванное
некоторым действием, процессом или явлением, и которое может (воздействуя на что-
либо) привести к нанесению ущерба чьим-либо интересам.
Угрозой интересам субъектов информационных отношений будем называть
потенциально возможное событие, вызванное некоторым действием, процессом или
явлением, которое посредством воздействия на информацию, её носители и процессы
обработки может прямо или косвенно привести к нанесению ущерба интересам данных
субъектов.
Нарушением безопасности (просто нарушением или атакой) будем называть
реализацию угрозы безопасности (наступление соответствующего события).
В силу особенностей современных АС, перечисленных выше, существует значительное
число различных видов угроз безопасности субъектов информационных отношений.
В соответствии с ГОСТ Р 50922-96, предусматривается два принципиально разных типа
угроз безопасности.
Первый тип угроз связан с так называемым несанкционированным распространением
сведений -утечкой информации (разглашение, разведка, несанкционированный доступ
к информации).
Второй тип угроз связан с несанкционированным воздействием на информацию и её
носители - воздействие на информацию с нарушением установленных прав и/или
правил на изменение информации. Несанкционированное воздействие бывает как
целенаправленное (искажение, уничтожение, копирование, блокирование, утрата, сбой
V*— *•------ ц ентр
38
функционирования носителя информации), так и непреднамеренное (ошибки

пользователей и персонала, сбои и отказы техники, природные явления, другие
случайные воздействия).
Разглашение информации - действие, в результате которого информация становится
известной неконтролируемому количеству лиц.
Разведка —целенаправленная деятельность по добыванию сведений в интересах
информационного обеспечения военно-политического руководства другого государства
либо конкурирующей организации. Разведка может быть агентурной и технической.
Агентурная разведка ведётся оперативниками (лицо, состоящее в штате оперативного
подразделения государственного органа или негосударственной структуры) с
привлечением агентов (лицо, конфиденциально сотрудничающее с разведывательной
структурой) и специалистов (лицо, обладающее специальными знаниями, умениями и
навыками, привлекаемое в целях оказания содействия в собирании, исследован™, оценки
и использования фактической информации). Существуют следующие виды
оперативников: агентуристы; сотрудники, добывающие сведения лично; сотрудники
подразделений наружного наблюдения; сотрудники оперативно-технических
подразделений; оперативники-аналитики. Под технической разведкой понимается
целенаправленная деятельность по добыванию с помощью технических систем, средств и
аппаратуры сведений в интересах информационного обеспечения военно-политического
руководства другого государства или конкурирующей организации, подготовки и
ведения информационной борьбы.
Источником данной угрозы является деятельность иностранных разведывательных и
специальных служб (органов), иностранных общественных организаций (в том числе
коммерческих), а также деятельность отечественных преступных группировок и
отдельных лиц.
Специальными документами ФСТЭК России предусматривается многоуровневая
классификация технических разведок. Наиболее часто на практике применяются
2 основных классификационных признака: по физическим принципам построения
аппаратуры разведки и по местонахождению носителей разведывательной аппаратуры.
Главные отличия разведки от разглашения заключаются в том, что информацией,
добытой с помощью разведки, владеет ограниченный круг лиц. Разведка, как правило,
ведётся с враждебными целями, тогда как разглашение может таких целей и не
преследовать. Разведка всегда ведётся умышленно, а разглашение нередко бывает
следствием неосмотрительности лица-носителя информации.
Под несанкционированным доступом к информации понимают действие, в результате
которого нарушены правила разграничения доступа, и информацией завладело, лицо, не
имеющее соответствующего права. Результатом НСД не обязательно становится утечка
информации. НСД может совершаться с целью активного воздействия на информацию,
получения незаконных привилегий, удовлетворения амбиций и т.п. НСД может быть
следствием, как умышленных действий, так и неумышленных (ошибки в организации
зашиты информации, недостаточная квалификация персонала и т.д.). Очевидно, что
элементы НСД присутствуют и при ведении разведки, и при несанкционированном
воздействии на информацию. В тоже время, как разведка (например, путём сбора
открытых сведений), так и несанкционированное воздействие могут осуществляться без
НСД к информации и её носителю.
Все многообразие несанкционированного воздействия на информацию и её носитель
можно классифицировать следующим образом:
■ модификация информации. Осуществляется, как правило, без
предварительного ознакомления, иначе будет иметь место утечка. Возможна
модификация как следующий шаг после организации утечки. Существуют
следующие виды модификации информации:
У ч об и ьм центр
39
■ уничтожение (наблюдается при хакерском проникновении в

вычислительные системы, при стихийных бедствиях и т.д.);
■ искажение (если злоумышленник получил доступ к каналу передачи
информации, но не может ознакомиться с самой информацией, например,
вследствие ее зашифрованности, то он может попытаться внести в нее
ложные данные с целью нанесения ущерба владельцу. Искажение также
может возникать непреднамеренно как следствие помех в канале передачи);
■ подделка (широко наблюдается при фальсификации банковских операций,
осуществляемых в электронном виде);
■ блокирование доступа к информации (встречается в том случае, когда
злоумышленник не может сам воспользоваться информацией, но имеет
доступ к средствам ее обработки и своими (в том числе, несознательными)
действиями препятствует, в том числе временно, законному владельцу
обрабатывать эту информацию. Характерным примером является
спамминг - рассылка «почтовых бомб» по электронной почте. Почтовый
ящик владельца оказывается забит информационным мусором, из-за
которого тот не может принять полезные сообщения);
■ хищение носителя (даже, если это не привело к утечке информации,
например, вследствие ее зашифрованности, само по себе хищение способно
лишить законного владельца возможности обрабатывать информацию);
■ утрата носителя (отличается от хищения непредумышленным характером
действия; может вести или не вести к утечке информации).
Следует иметь в виду, что научно-технический прогресс может привести к появлению
принципиально новых видов угроз и что изощрённый ум злоумышленника способен
придумать новые пути и способы преодоления систем безопасности, НСД к данным и
дезорганизации работы АС.
Источники угроз безопасности
Основными источниками угроз безопасности АС и информации (угроз интересам
субъектов информационных отношений) являются:
■ стихийные бедствия (наводнение, ураган, землетрясение, пожар и т.п.);
■ аварии, сбои и отказы оборудования (технических средств) АС;
■ ошибки проектирования и разработки компонентов АС (аппаратных средств,
технологии обработки информации, программ, структур данных и т.п.);
■ ошибки эксплуатации (пользователей, операторов и другого персонала);
■ преднамеренные действия нарушителей и злоумышленников (обиженных
лиц из числа персонала, преступников, шпионов, диверсантов и т.п.).
Классификация угроз безопасности
Как показано на Рис. 1.3.1 всё множество потенциальных угроз по природе их
возникновения разделяется на два класса: естественные (объективные) и искусственные
(субъективные).
Рис. 1.3.1. Классификация угроз по источникам и мотивации
Естественные угрозы - это угрозы, вызванные воздействиями на АС и её элементы

объективных физических процессов или стихийных природных явлений, независящих от
человека.
Искусственные угрозы - это угрозы АС, вызванные деятельностью человека. Среди них,
исходя из мотивации действий, можно выделить:
■ непреднамеренные (неумышленные, случайные) угрозы, вызванные
ошибками в проектировании АС и ее элементов, ошибками в программном
обеспечении, ошибками в действиях персонала и т.п.;
■ преднамеренные (умышленные) угрозы, связанные с корыстными,
идейными или иными устремлениями людей (злоумышленников).
Источники угроз по отношению к АС могут быть внешними или внутренними
(компоненты самой АС - её аппаратура, программы, персонал, конечные пользователи).
Основные непреднамеренные искусственные угрозы
Основные непреднамеренные искусственные угрозы АС (действия, совершаемые людьми
случайно, по незнанию, невнимательности или халатности, из любопытства, но без злого
умысла):
■ частичный или полный отказ системы или разрушение аппаратных,
программных, информационных ресурсов системы (неумышленная порча
оборудования, удаление, искажение файлов с важной информацией или
программ, в том числе системных и т.п.);
■ неправомерное отключение оборудования или изменение режимов работы
устройств и программ;
■ неумышленная порча носителей информации;
■ запуск технологических программ, способных при некомпетентном
использовании вызывать потерю работоспособности системы (зависания или
зацикливания) или осуществляющих необратимые изменения в системе
(форматирование или реструктуризацию носителей информации, удаление
данных и т.п.);
■ нелегальное внедрение и использование неучтённых программ (игровых,
обучающих, технологических и др., не являющихся необходимыми для
У чебный центр
41
выполнения нарушителем своих служебных обязанностей) с последующим

необоснованным расходованием ресурсов (загрузка процессора, захват
оперативной памяти и памяти на внешних носителях);
■ заражение компьютера вирусами;
■ неосторожные действия, приводящие к разглашению конфиденциальной
информации, или делающие её общедоступной;
■ разглашение, передача или утрата атрибутов разграничения доступа
(паролей, ключей шифрования, идентификационных карточек, пропусков и
т.п.);
■ проектирование архитектуры системы, технологии обработки данных,
разработка прикладных программ, с возможностями, представляющими
опасность для работоспособности системы и информации;
■ игнорирование организационных ограничений (установленных правил) при
работе в системе;
■ вход в систему в обход средств защиты (загрузка посторонней операционной
системы со сменных магнитных носителей и т.п.);
■ некомпетентное использование, настройка или неправомерное отключение
средств защиты персоналом службы безопасности;
■ пересылка данных по ошибочному адресу абонента (устройства);
■ ввод ошибочных данных;
■ неумышленное повреждение каналов связи.
Основные преднамеренные искусственные угрозы
Основные возможные пути умышленной дезорганизации работы, вывода системы из
строя, проникновения в систему и несанкционированного доступа к информации:
■ физическое разрушение системы (путём взрыва, поджога и т.п.) или вывод
из строя всех или отдельных наиболее важных компонентов компьютерной
системы (устройств, носителей важной системной информации, лиц из числа
персонала и т.п.);
■ отключение или вывод из строя подсистем обеспечения функционирования
вычислительных систем (электропитания, охлаждения и вентиляции, линий
связи и т.п.);
■ дезорганизация функционирования системы (изменение режимов работы
устройств или программ, забастовка, саботаж персонала, постановка
мощных активных радиопомех на частотах работы устройств системы и
т.п.);
■ внедрение агентов в число персонала системы (в том числе, возможно, и в
административную группу, отвечающую за безопасность);
■ вербовка (путём подкупа, шантажа и т.п.) персонала или отдельных
пользователей, имеющих определённые полномочия;
■ применение подслушивающих устройств, дистанционная фото- и
видеосъёмка и т.п.;
■ перехват побочных электромагнитных, акустических и других излучений
устройств и линий связи, а также наводок активных излучений на
технические средства, непосредственно не участвующие в обработке
информации (телефонные линии, сети питания, системы пожарно-охранной
I -1
Г Информзащита
У ч е б н ш ц ентр
сигнализации, видеонаблюдения, радиотрансляции и т.п.) и инженерные
коммуникации (системы отопления, кондиционирования, заземления и т.п.);
■ перехват данных, передаваемых по каналам связи, и их анализ с целью
выяснения протоколов обмена, правил вхождения в связь и авторизации
пользователя и последующих попыток их имитации для проникновения в
систему;
■ хищение носителей информации (магнитных дисков, лент, микросхем
памяти, запоминающих устройств и целых ПЭВМ);
■ несанкционированное копирование носителей информации;
■ хищение производственных отходов (распечаток, записей, списанных
носителей информации и т.п.);
■ чтение остаточной информации из оперативной памяти и с внешних
запоминающих устройств;
■ чтение информации из областей оперативной памяти, используемых
операционной системой (в том числе подсистемой защиты) или другими
пользователями, в асинхронном режиме используя недостатки
мультизадачных операционных систем и систем программирования;
■ незаконное получение паролей и других реквизитов разграничения доступа
(агентурным путём, используя халатность пользователей, путём подбора,
путём имитации интерфейса системы и т.д.) с последующей маскировкой
под зарегистрированного пользователя («маскарад»);
■ несанкционированное использование терминалов пользователей, имеющих
уникальные физические характеристики, такие как номер рабочей станции в
сети, физический адрес, адрес в системе связи, аппаратный блок
кодирования и т.п.;
■ вскрытие шифров криптозащиты информации;
■ внедрение аппаратных «спецвложений», программных «закладок» и
«вирусов» («троянских коней» и «жучков»), то есть таких участков
программ, которые не нужны для осуществления заявленных функций, но
позволяющих преодолевать систему защиты, скрытно и незаконно
осуществлять доступ к системным ресурсам с целью регистрации и передачи
критической информации или дезорганизации функционирования системы;
■ незаконное подключение к линиям связи с целью работы «между строк», с
использованием пауз в действиях законного пользователя от его имени с
последующим вводом ложных сообщений или модификацией передаваемых
сообщений;
■ незаконное подключение к линиям связи с целью прямой подмены
законного пользователя путём его физического отключения после входа в
систему и успешной аутентификации с последующим вводом
дезинформации и навязыванием ложных сообщений.
Следует заметить, что чаще всего для достижения поставленной цели злоумышленник
использует не один, а некоторую совокупность из перечисленных выше путей.
Классификация каналов проникновения в автоматизированную
систему и утечки информации
Все каналы проникновения в систему и утечки информации разделяют на прямые и
косвенные. Под косвенными понимают такие каналы, использование которых не требует
проникновения в помещения, где расположены компоненты системы. Для использования
43
прямых каналов такое проникновение необходимо. Прямые каналы могут использоваться

без внесения изменений в компоненты системы или с изменениями компонентов.
По типу основного средства, используемого для реализации угрозы все возможные
каналы можно условно разделить на три группы, где таковыми средствами являются:
человек, программа или аппаратура.
Классификация видов нарушений работоспособности систем и несанкционированного
доступа к информации по объектам воздействия и способам нанесения ущерба
безопасности приведена в таблице 1.3.1.
По способу получения информации потенциальные каналы доступа можно разделить на:
■ физический;
■ электромагнитный (перехват излучений);
■ информационный (программно-математический).
При контактном НСД (физическом, программно-математическом) возможные угрозы
информации реализуются путём доступа к элементам АС, к носителям информации, к
самой вводимой и выводимой информации (и результатам), к программному
обеспечению (в том числе к операционным системам), а также путём подключения к
линиям связи.
При бесконтактном доступе (например, по электромагнитному каналу) возможные
угрозы информации реализуются перехватом излучений аппаратуры АС, в том числе
наводимых в токопроводящих коммуникациях и цепях питания, перехватом информации
в линиях связи, вводом в линии связи ложной информации, визуальным наблюдением
(фотографированием) устройств отображения информации, прослушиванием
переговоров персонала АС и пользователей.
Таблица 1.3.1
Способы нанесения Объекты воздействий

ущерба Оборудование Программы Данные Персонал
Раскрытие (утечка) Хищение носителей Несанкцио Хищение, Передача сведений о
информации информации, подключение нированное копирование, защите, разглашение,
к линии связи, копирование, перехват халатность
несанкционированное перехват
использование ресурсов
Потеря целостности Подключение, Внедрение Искажение, Вербовка персонала,
информации модификация, «троянских коней» модификация «маскарад»
«спецвложения», изменение и «жучков»
режимов работы,
несанкционированное
использование ресурсов
Нарушение Изменение режимов Искажение, Искажение, Уход, физическое
работоспособности функционирования, вывод удаление, подмена удаление, устранение
автоматизированной из строя, хищение, навязывание
системы разрушение ложных данных
Незаконное Изготовление аналогов без Использование Публикация без
тиражирование лицензий незаконных копий ведома авторов
информации
У ч еб н о м ц е н т р
Неформальная модель нарушителя
Нарушения и преступления, в том числе и компьютерные, совершаются людьми. Как
говорится, бывают «виртуальные преступления», но «виртуальных преступников» не
бывает. В этом смысле вопросы безопасности автоматизированных систем во многом по
своей сути являются вопросами человеческих отношений и человеческого поведения.
Исследования проблемы обеспечения безопасности компьютерных систем ведутся в
направлении раскрытия природы явлений, заключающихся в нарушении целостности и
конфиденциальности информации, дезорганизации работы компьютерных систем.
Серьёзно изучается статистика нарушений, вызывающие их причины, личности
нарушителей, суть применяемых нарушителями приёмов и средств, используемые при
этом недостатки систем и средств их защиты, обстоятельства, при которых было
выявлено нарушение, и другие вопросы, которые могут быть использованы при
построении моделей потенциальных нарушителей.
Неформальная модель нарушителя отражает его практические и теоретические
возможности, априорные знания, время и место действия и т.п. Для достижения своих
целей нарушитель должен приложить некоторые усилия, затратить определённые
ресурсы. Зная причины нарушений, можно либо повлиять на сами эти причины (конечно,
если это возможно), либо точнее определить требования к системе защиты от данного
вида нарушений или преступлений.
Нарушитель —это лицо, предпринявшее попытку выполнения запрещённых операций
(действий) по ошибке, незнанию или осознанно со злым умыслом (из корыстных
интересов) или без такового (ради игры или удовольствия, с целью самоутверждения и
т.п.) и использующее для этого различные возможности, методы и средства.
Следует заметить, что при отсутствии правил (запретов и ограничений) не существует и
нарушителей (если нет правил, значит, нечего и нарушать). Поэтому борьба с
нарушениями всегда должна начинаться с установления чётких правил (ограничений,
политики безопасности).
Злоумышленник —это нарушитель, намеренно (умышленно, со злым умыслом) идущий
на нарушение.
При построении модели нарушителя обычно формулируются предположения:
■ о категориях лиц, к которым может принадлежать нарушитель;
■ о мотивах действий нарушителя и преследуемых им целях;
■ о квалификации нарушителя и его технической оснащенности (об
используемых для совершения нарушения методах и средствах);
■ о характере возможных действий нарушителей.
По отношению к АС нарушители могут быть внутренними (из числа обслуживающего
персонала и пользователей системы) или внешними (посторонними лицами).
Внутренним нарушителем может быть лицо из следующих категорий сотрудников:
■ конечные пользователи (операторы) системы;
■ персонал, обслуживающий технические средства (инженеры, техники);
■ сотрудники отделов разработки и сопровождения ПО (прикладные и
системные программисты);
■ сотрудники службы безопасности АС;
■ руководители различных уровней.
У чвбм ьш ц е н т р
45
К посторонним лицам, которые могут быть нарушителями, можно отнести:

■ технический персонал сторонних организаций, обслуживающий здания и
СВТ (уборщики, электрики, сантехники, ремонтники и другие сотрудники,
имеющие доступ в здания и помещения, где расположены компоненты АС);
■ клиенты (представители сторонних организаций и отдельные граждане);
■ посетители (приглашенные по какому-либо поводу);
■ представители организаций, взаимодействующих по вопросам обеспечения
жизнедеятельности организации (энерго-, водо-, теплоснабжения и т.п.);
■ представители конкурирующих организаций или лица, действующие по их
заданию (в том числе иностранных спецслужб);
■ лица, случайно или умышлено нарушившие пропускной режим (без цели
нарушить безопасность АС);
■ любые лица за пределами контролируемой территории.
Можно выделить несколько основных мотивов совершения нарушений .
■ безответственность (некомпетентность, халатность);
■ самоутверждение;
■ вандализм;
■ принуждение;
■ месть;
■ корыстный интерес;
■ идейные соображения.
При нарушениях, вызванных безответственностью (халатностью), пользователь
производит какие-либо разрушающие действия, не связанные, тем не менее, со злым
умыслом. В большинстве случаев это следствие некомпетентности или небрежности.
Некоторые пользователи считают получение доступа к системным наборам данных
крупным успехом, затевая своего рода игру «пользователь - против системы» либо ради
утверждения в собственных глазах, либо в глазах коллег.
Нарушение безопасности АС может быть связано с принуждением (шантаж, угроза),
местью, идейными соображениями или корыстными интересами пользователя системы.
В этом случае он будет целенаправленно пытаться преодолеть систему защиты для
доступа к хранимой, передаваемой и обрабатываемой информации и другим ресурсам
АС.
По уровню знаний об АС нарушителей можно классифицировать следующим образом:
■ знает функциональные особенности АС, основные закономерности
формирования в ней массивов данных и потоков запросов к ним, умеет
пользоваться штатными средствами;
■ обладает высоким уровнем знаний и опытом работы с техническими
средствами системы и их обслуживания;
■ обладает высоким уровнем знаний в области программирования и
вычислительной техники, проектирования и эксплуатации
автоматизированных информационных систем;
■ знает структуру, функции и механизм действия средств защиты, их сильные
и слабые стороны.
Ф
46
По уровню возможностей (используемым методам и средствам):

■ применяющий только агентурные методы получения сведений;
■ применяющий пассивные средства (технические средства перехвата без
модификации компонентов системы);
■ использующий только штатные средства и недостатки систем защиты для ее
преодоления (несанкционированные действия с использованием
разрешенных средств), а также компактные магнитные носители
информации, которые могут быть скрытно пронесены через посты охраны;
■ применяющий методы и средства активного воздействия (модификация и
подключение дополнительных технических средств, подключение к каналам
передачи данных, внедрение программных закладок и использование
специальных инструментальных и технологических программ).
По времени действия:
■ в процессе функционирования АС (во время работы компонентов системы);
■ в период неактивности компонентов системы (в нерабочее время, во время
плановых перерывов в ее работе, перерывов для обслуживания и ремонта);
■ как в процессе функционирования АС, так и в период неактивности
компонентов системы.
По месту действия:
■ без доступа на контролируемую территорию организации;
■ с контролируемой территории, но без доступа в здания и сооружения;
■ внутри помещений, но без доступа к техническим средствам АС;
■ с рабочих мест конечных пользователей (операторов) АС;
■ с доступом в зону хранилищ данных (серверов баз данных, архивов и т.п.);
■ с доступом в зону управления средствами обеспечения безопасности АС.
Могут учитываться также следующие дополнительные ограничения и предположения о
характере действий возможных нарушителей:
■ работа по подбору кадров и специальные мероприятия затрудняют
возможность создания коалиций нарушителей, т.е. объединения (сговора)
двух и/или более нарушителей;
■ нарушитель скрывает свои несанкционированные действия от других
сотрудников.
Определение конкретных значений характеристик возможных нарушителей в
значительной степени субъективно. Модель нарушителя, построенная с учётом
особенностей конкретной предметной области и технологии обработки информации,
может быть представлена перечислением нескольких вариантов нарушителей. Каждая
категория нарушителей должна быть охарактеризована значениями характеристик,
приведённых выше. Для каждой из них можно привести оценку количества сотрудников
организации, попадающих в данную категорию нарушителей.
Почему свои сотрудники являются самой массовой категорией нарушителей безопасности
Пользователи системы и её персонал, с одной стороны, являются составной частью,
необходимым элементом АС. С другой стороны, они же являются основным источником
угроз и движущей силой нарушений и преступлений.
У ч еб н ы й ц е н т р
47
На следующей диаграмме приведены результаты анализа нарушений и проблем с ИТ,

проведённого Институтом компьютерной безопасности (Computer Security Institute).
10%
9%
2% 4%
О Ошибки персонала (55%)

■ Нечестные сотрудники (10%)
□ Обиженные сотрудники (9%)
□ Отказы и сбои в работе ТС, включая проблемы электропитания (20%)
О Вирусы (4%)
О Внешние нападения (2%)
Как видно, более половины (55%) проблем возникает из-за ошибок пользователей и
обслуживающего персонала системы. К этому надо добавить нарушения со стороны
обиженных (9%) и нечестных (10% нарушений) сотрудников организаций.
Согласно одному из последних обзоров аналитического подразделения журнала
The Economist, информационная безопасность является одной из самых приоритетных
проблем для 78% из 254 опрошенных по всему миру первых лиц компаний. Респонденты
признавали, что большую часть проблем создают сами сотрудники корпораций. По
статистике опроса, источник 83% проблем с безопасностью находится внутри компании.
Сотрудники Компании являются самой массовой категорией нарушителей в силу их
многочисленности, наличия у них санкционированного доступа на территорию, в
помещения и к ресурсам системы, разнообразия мотивов совершения разного рода
небезопасных действий. Причём подавляющее большинство нарушений со стороны
сотрудников носит неумышленный характер. Однако, ущерб, который они при этом
наносят Компании, весьма значителен. Именно поэтому борьба с ошибками
пользователей и обслуживающего персонала АС является одним из основных
направлений работ по обеспечению безопасности.
Итак, цель защиты ИТ - это минимизация рисков для субъектов. Защита (обеспечение
безопасности) ИТ - это непрерывный процесс управления рисками, связанный с
выявлением информационных активов (ценностей), подлежащих защите, определением
стоимости этих активов, размеров ущерба и риска, разработкой плана действий по защите
и выбором технологий, реализующих этот план.
На практике это означает сведение всех значимых для субъектов угроз к допустимому
(приемлемому) уровню остаточного риска, и защиту наиболее важных (критичных)
информационных ресурсов исходя из существующих возможностей и предоставленных
финансовых средств.
Выводы
Уязвимыми являются буквально все основные структурно-функциональные элементы
современных АС. Защищать компоненты АС необходимо от всех видов воздействий:
стихийных бедствий и аварий, сбоев и отказов технических средств, ошибок персонала и
пользователей, ошибок в программах и от преднамеренных действий злоумышленников.
Имеется широчайший спектр вариантов (путей) преднамеренного или случайного
несанкционированного доступа к данным и вмешательства в процессы обработки и
обмена информацией (в том числе, управляющей согласованным функционированием
различных компонентов сети).
Правильно построенная (адекватная реальности) модель нарушителя, в которой
отражаются его практические и теоретические возможности, априорные знания, время и
место действия и т.п. характеристики - важная составляющая успешного проведения
анализа риска и определения требований к составу и характеристикам системы защиты.
Обеспечение безопасности ИТ - это многоплановая деятельность, связанная с
выявлением информационных активов (ценностей), подлежащих защите, определением
стоимости этих активов, размеров ущерба и риска, разработкой плана действий по их
защите и выбором технологий, реализующих этот план.
49
Виды мер и основные принципы обеспечения
Целью рассмотрения данной темы является обзор видов известных мер противодействия
угрозам безопасности АС (контрмер), а также основных принципов построения систем
защиты информации.
Виды мер противодействия угрозам безопасности
По способам осуществления все меры защиты информации, её носителей и систем её
обработки подразделяются на:
■ правовые (законодательные);
■ морально-этические;
■ организационные (административные и процедурные);
■ технологические;
■ физические;
■ технические (аппаратурные и программные).
Правовые (законодательные)
К правовым мерам защиты относятся действующие в стране законы, указы и другие
нормативные правовые акты, регламентирующие правила обращения с информацией,
закрепляющие права и обязанности участников информационных отношений в процессе
её получения, обработки и использования, а также устанавливающие ответственность за
нарушения этих правил, препятствуя тем самым неправомерному использованию
информации и являющиеся сдерживающим фактором для потенциальных нарушителей.
Правовые меры защиты носят в основном упреждающий, профилактический характер и
требуют постоянной разъяснительной работы с пользователями и обслуживающим
персоналом АС.
М о р а л ьн о -эти ч е ск и е
К морально-этическим мерам защиты относятся нормы поведения, которые традиционно

сложились или складываются по мере распространения информационных технологий в
обществе. Эти нормы большей частью не являются обязательными, как требования
нормативных актов, однако, их несоблюдение ведёт обычно к падению авторитета или
престижа человека, группы лиц или организации. Морально-этические нормы бывают как
неписаные (например, общепризнанные нормы честности, патриотизма и т.п.), так и
писаные, то есть оформленные в некоторый свод (устав, кодекс чести и т.п.) правил или
предписаний. Морально-этические меры защиты являются профилактическими и
требуют постоянной работы по созданию здорового морального климата в коллективах
пользователей и обслуживающего персонала АС.
Организационные
Организационные меры защиты - это меры административного и процедурного
характера, регламентирующие процессы функционирования системы обработки данных,
использование её ресурсов, деятельность обслуживающего персонала, а также порядок
взаимодействия пользователей и обслуживающего персонала с системой таким образом,
чтобы в наибольшей степени затруднить или исключить возможность реализации угроз
безопасности или снизить размер потерь в случае их реализации.
Технологические
К данному виду мер защиты относятся разного рода технологические решения и приёмы,
основанные обычно на использовании некоторых видов избыточности (структурной,
функциональной, информационной, временной и т.п.) и направленные на уменьшение
возможности совершения сотрудниками ошибок и нарушений в рамках предоставленных
им прав и полномочий. Примером таких мер является использование процедур двойного
ввода ответственной информации, инициализации ответственных операций только при
наличии разрешений от нескольких должностных лиц, процедур проверки соответствия
реквизитов исходящих и входящих сообщений в системах коммутации сообщений,
периодическое подведение общего баланса всех банковских счетов и т.п.
Меры физической защиты
Физические меры защиты основаны на применении разного рода механических, электро-
или электронно-механических устройств и сооружений, специально предназначенных
для создания физических препятствий на возможных путях проникновения и доступа
потенциальных нарушителей к компонентам системы и защищаемой информации, а
также средств визуального наблюдения, связи и охранной сигнализации. К данному типу
относятся также меры и средства контроля физической целостности компонентов АС
(пломбы, наклейки и т.п.).
Технические
Технические меры защиты основаны на использовании различных электронных
устройств и специальных программ, входящих в состав АС и выполняющих
(самостоятельно или в комплексе с другими средствами) функции защиты.
Взаимосвязь рассмотренных выше мер обеспечения безопасности приведена на Рис. 1.4.1.
Рис. 1.4.1. Взаимосвязь мер обеспечения информационной безопасности
1 - нормативные и организационно-распорядительные документы составляются с учётом

и на основе существующих норм морали и этики.
2 - организационные меры обеспечивают исполнение существующих нормативных актов
и строятся с учётом существующих правил поведения, принятых в стране и/или
организации.
3 —воплощение организационных мер требует разработки соответствующих
нормативных и организационно-распорядительных документов, не противоречащих
нормам правовых мер.
51
4 - для эффективного применения организационные меры должны быть поддержаны

физическими и техническими средствами.
5 - применение и использование технических средств защиты требует соответствующей
организационной поддержки.
Достоинства и недостатки различных видов мер защиты
Законодательные и морально-этические меры
Эти меры определяют правила обращения с информацией и ответственность субъектов
информационных отношений за их соблюдение.
Законодательные и морально-этические меры противодействия, являются
универсальными в том смысле, что принципиально применимы для всех каналов
проникновения и несанкционированного доступа к АС и информации. В некоторых
случаях они являются единственно применимыми, как например, при защите открытой
информации от незаконного тиражирования или при защите от злоупотреблений
служебным положением при работе с информацией.
Организационные меры
Очевидно, что в организационных структурах с низким уровнем правопорядка,
дисциплины и этики ставить вопрос о защите информации просто бессмысленно. Прежде
всего, надо решить правовые и организационные вопросы.
Организационные меры играют значительную роль в обеспечении безопасности
компьютерных систем. Организационные меры - это единственное, что остаётся, когда
другие методы и средства защиты отсутствуют или не могут обеспечить требуемый
уровень безопасности. Однако, это вовсе не означает, что систему защиты необходимо
строить исключительно на их основе, как это часто пытаются сделать чиновники, далёкие
от технического прогресса.
Этим мерам присуши серьёзные недостатки, такие как:
■ низкая надежность без соответствующей поддержки физическими,
техническими и программными средствами (люди склонны к нарушению
любых установленных дополнительных ограничений и правил, если только
их можно нарушить);
■ дополнительные неудобства, связанные с большим объемом рутинной и
формальной деятельности.
Организационные меры необходимы для обеспечения эффективного применения других
мер и средств защиты в части, касающейся регламентации действий людей. В то же время
организационные меры необходимо поддерживать более надёжными физическими и
техническими средствами.
Физические и технические средства защиты
Физические и технические средства защиты призваны устранить недостатки
организационных мер, поставить прочные барьеры на пути злоумышленников и в
максимальной степени исключить возможность неумышленных (по ошибке или
халатности) нарушений регламента со стороны персонала и пользователей АС.
Рассмотрим известное утверждение о том, что создание абсолютной (то есть идеально
надёжной) системы защиты принципиально невозможно.
Даже при допущении возможности создания абсолютно надёжных физических и
технических средств защиты, перекрывающих все каналы, которые необходимо
перекрыть, всегда остаётся возможность воздействия на персонал системы,
осуществляющий необходимые действия по обеспечению корректного
функционирования этих средств (администратора АС, администратора безопасности
У ч еЁ м ьи ц е н т р
и т.п.). Вместе с самими средствами защиты эти люди образуют так называемое «ядро
безопасности». В этом случае, стойкость системы безопасности будет определяться
стойкостью персонала из ядра безопасности системы, и повышать её можно только за
счёт организационных (кадровых) мероприятий, законодательных и морально-этических
мер.
Но, даже имея совершенные законы и проводя оптимальную кадровую политику, все
равно проблему защиты до конца решить не удастся.
Во-первых, потому, что вряд ли удастся найти персонал, в котором можно было быть
абсолютно уверенным, и в отношении которого невозможно было бы предпринять
действий, вынуждающих его нарушить запреты.
Во-вторых, даже абсолютно надёжный человек может допустить случайное,
неумышленное нарушение.
Основные принципы построения системы обеспечения
безопасности информации в автоматизированной системе
Построение системы обеспечения безопасности информации в АС и её
функционирование должны осуществляться в соответствии со следующими основными
принципами:
■ законность
■ системность
■ комплексность
■ непрерывность
■ своевременность
■ преемственность и непрерывность совершенствования
■ разумная достаточность
■ персональная ответственность
■ разделение функций
■ минимизация полномочий
■ взаимодействие и сотрудничество
■ гибкость системы защиты
■ открытость алгоритмов и механизмов защиты
■ простота применения средств защиты
■ научная обоснованность и техническая реализуемость
■ специализация и профессионализм
■ взаимодействие и координация
■ обязательность контроля
Законность
Предполагает осуществление защитных мероприятий и разработку системы безопасности
информации в АС в соответствии с действующим законодательством в области
информации, информационных технологий и защиты информации, других нормативных
правовых актов, руководящих и нормативно-методических документов по безопасности
информации, утверждённых органами государственной власти в пределах их
53
компетенции, с применением всех дозволенных методов обнаружения и пресечения

правонарушений при работе с информацией.
Системность
Системный подход к защите информации в АС предполагает учёт всех взаимосвязанных,
взаимодействующих и изменяющихся во времени элементов, условий и факторов,
существенно значимых для понимания и решения проблемы обеспечения безопасности
информации в АС.
При создании системы защиты должны учитываться все слабые и наиболее уязвимые
места системы обработки информации, а также характер, возможные объекты и
направления атак на систему со стороны нарушителей, пути проникновения в
распределённые системы и НСД к информации. Система защиты должна строиться с
учётом не только всех известных каналов проникновения и НСД к информации, но и с
учётом возможности появления принципиально новых путей реализации угроз
Комплексность
Комплексное использование методов и средств защиты компьютерных систем
предполагает согласованное применение разнородных средств при построении целостной
системы защиты, перекрывающей все существенные (значимые) каналы реализации
угроз и не содержащей слабых мест на стыках отдельных её компонентов. Зашита должна
строиться эшелонировано. Внешняя защита должна обеспечиваться физическими
средствами, организационными, технологическими и правовыми мерами.
Одним из наиболее укреплённых рубежей призваны быть средства защиты,
реализованные на уровне операционных систем (ОС) СВТ в силу того, что ОС - это та
часть компьютерной системы, которая управляет использованием всех её ресурсов.
Прикладной уровень защиты, учитывающий особенности предметной области,
представляет внутренний рубеж защиты.
Своевременность
Предполагает упреждающий характер мер обеспечения безопасности информации, то
есть постановку задач по комплексной защите АС и реализацию мер обеспечения
безопасности информации на ранних стадиях разработки АС в целом и её системы
защиты информации, в частности.
Разработка системы зашиты должна вестись параллельно с разработкой и развитием
самой защищаемой системы. Это позволит учесть требования безопасности при
проектировании архитектуры и, в конечном счёте, создать более эффективные (как по
затратам ресурсов, так и по стойкости) защищённые системы.
Непрерывность защиты
Защита информации - не разовое мероприятие и не простая совокупность проведённых
мероприятий и установленных средств защиты, а непрерывный целенаправленный
процесс, предполагающий принятие соответствующих мер на всех этапах жизненного
цикла АС, начиная с самых ранних стадий проектирования, а не только на этапе её
эксплуатации.
Большинству физических и технических средств защиты для эффективного выполнения
своих функций необходима постоянная организационная (административная) поддержка
(своевременная смена и обеспечение правильного хранения и применения имён, паролей,
ключей шифрования, переопределение полномочий и т.п.). Перерывы в работе средств
защиты могут быть использованы злоумышленниками для анализа применяемых методов
и средств защиты, для внедрения специальных программных и аппаратных «закладок» и
других средств преодоления системы защиты после восстановления её
функционирования.
У ч е б т м ц ентр
Преемственность и совершенствование
Предполагают постоянное совершенствование мер и средств защиты информации на
основе преемственности организационных и технических решений, кадрового состава,
анализа функционирования АС и её системы защиты с учётом изменений в методах и
средствах перехвата информации и воздействия на компоненты АС, нормативных
требований по защите, достигнутого отечественного и зарубежного опыта в этой области.
Разделение функций
Принцип Разделения функций, требует, чтобы ни один сотрудник организации не имел
полномочий, позволяющих ему единолично осуществлять выполнение критичных
операций. Все такие операции должны быть разделены на части, и их выполнение должно
быть поручено различным сотрудникам. Кроме того, необходимо предпринимать
специальные меры по недопущению сговора и разграничению ответственности между
этими сотрудниками.
Разумная достаточность
(экономическая целесообразность, сопоставимость возможного ущерба и затрат)
Предполагает соответствие уровня затрат на обеспечение безопасности информации
(ценности информационных ресурсов) величине возможного ущерба от их разглашения,
утраты, утечки, уничтожения и искажения. Используемые меры и средства обеспечения
безопасности информационных ресурсов не должны заметно ухудшать эргономические
показатели работы АС, в которой эта информация циркулирует. Излишние меры
безопасности, помимо экономической неэффективности, приводят к утомлению и
раздражению персонала.
Создать абсолютно непреодолимую систему защиты принципиально невозможно. Пока
информация находится в обращении, принимаемые меры могут только снизить
вероятность негативных воздействий или ущерб от них, но не исключить их полностью.
При достаточном количестве времени и средств возможно преодолеть любую защиту.
Поэтому имеет смысл рассматривать некоторый приемлемый уровень обеспечения
безопасности. Высокоэффективная система защиты стоит дорого, использует при работе
существенную часть ресурсов компьютерной системы и может создавать ощутимые
дополнительные неудобства пользователям. Важно правильно выбрать тот достаточный
уровень защиты, при котором затраты, риск и размер возможного ущерба были бы
приемлемыми (задача анализа риска).
П ерсональная о тветствен н о сть
Предполагает возложение ответственности за обеспечение безопасности информации и

системы её обработки на каждого сотрудника в пределах его полномочий. В соответствии
с этим принципом распределение прав и обязанностей сотрудников строится таким
образом, чтобы в случае любого нарушения круг виновников был чётко известен или
сведён к минимуму.
Минимизация полномочий
Означает предоставление пользователям минимальных прав доступа в соответствии с
производственной необходимостью. Доступ к информации должен предоставляться
только в том случае и объёме, в каком это необходимо сотруднику для выполнения его
должностных обязанностей.
Взаимодействие и сотрудничество
Предполагает создание благоприятной атмосферы в коллективах подразделений. В такой
обстановке сотрудники должны осознанно соблюдать установленные правила и
оказывать содействие в деятельности подразделений обеспечения безопасности
У ч еб ны й ц ентр
55
Гибкость системы защиты
Принятые меры и установленные средства защиты, особенно в начальный период их

эксплуатации, могут обеспечивать как чрезмерный, так и недостаточный уровень защиты.
Для обеспечения возможности варьирования уровнем защищённости, средства защиты
должны обладать определённой гибкостью. Особенно важным это свойство является в
тех случаях, когда установку средств защиты необходимо осуществлять на уже
работающую систему, не нарушая процесса её нормального функционирования. Кроме
того, внешние условия и требования с течением времени меняются. В таких ситуациях
свойство гибкости системы защиты избавляет владельцев АС от необходимости принятия
кардинальных мер по полной замене средств защиты на новые.
Открытость алгоритмов и механизмов защиты
Суть принципа открытости алгоритмов и механизмов защиты состоит в том, что защита
не должна обеспечиваться только за счёт секретности структурной организации и
алгоритмов функционирования её подсистем. Знание алгоритмов работы системы защиты
не должно давать возможности её преодоления (даже авторам). Это, однако, не означает,
что информация о конкретной системе защиты должна быть общедоступна.
Простота применения средств защиты
Механизмы защиты должны быть интуитивно понятны и просты в использовании.
Применение средств защиты не должно быть связано со знанием специальных языков
или с выполнением действий, требующих значительных дополнительных трудозатрат
при обычной работе зарегистрированных установленным порядком пользователей, а
также не должно требовать от пользователя выполнения рутинных малопонятных ему
операций (ввод нескольких паролей и имён и т.д.).
Научная обоснованность и техническая реализуемость
Информационные технологии, технические и программные средства, средства и меры
защиты информации должны быть реализованы на современном уровне развития науки и
техники, научно обоснованы с точки зрения достижения заданного уровня безопасности
информации и должны соответствовать установленным нормам и требованиям по
безопасности информации.
Специализация и профессионализм
Предполагает привлечение к разработке средств и реализации мер защиты информации
специализированных организаций, наиболее подготовленных к конкретному виду
деятельности по обеспечению безопасности информационных ресурсов, имеющих опыт
практической работы и государственные лицензии на право оказания услуг в этой
области. Реализация административных мер и эксплуатация средств защиты должна
осуществляться профессионально подготовленными сотрудниками (специалистами
подразделений обеспечения безопасности информации).
Взаимодействие и координация
Предполагают осуществление мер обеспечения безопасности информации при
разработке и функционировании АС и её системы защиты информации, на основе
взаимодействия всех внутренних структурных подразделений организации, а также
сторонних предприятий и организаций, имеющих авторизованный доступ к АС,
специализированных предприятий и организаций в области защиты информации,
привлекаемых для разработки системы защиты информации в АС, координации их
усилий для достижения поставленных целей безопасности.
Обязательность контроля
Предполагает обязательность и своевременность выявления и пресечения попыток
нарушения установленных правил обеспечения безопасности информации на основе
56
используемых систем и средств защиты информации при совершенствовании критериев

и методов оценки эффективности этих систем и средств.
Контроль за деятельностью любого пользователя, каждого средства защиты и в
отношении любого объекта защиты должен осуществляться на основе применения
средств оперативного контроля и регистрации и должен охватывать как
несанкционированные, так и санкционированные действия пользователей.
Выводы
В арсенале специалистов по информационной безопасности имеется широкий спектр
защитных мер: законодательных, морально-этических, административных
(организационных), физических и технических (аппаратурных и программных) средств.
Все они обладают своими достоинствами и недостатками, которые необходимо знать и
правильно учитывать при создании систем защиты.
Все известные каналы проникновения и утечки информации должны быть перекрыты с
учётом анализа риска, вероятностей реализации угроз безопасности в конкретной
прикладной системе и обоснованного рационального уровня затрат на защиту.
Наилучшие результаты достигаются при системном подходе к вопросам безопасности
компьютерных систем и комплексном использовании определённых совокупностей
различных мер защиты на всех этапах жизненного цикла системы, начиная с самых
ранних стадий её проектирования.
У чвбм ы и ц е я т р
57
Правовые основы обеспечения безопасности
Введение
Современный этап развития системы обеспечения информационной безопасности
государства и общества характеризуется переходом от тотального сокрытия большого
объёма сведений к гарантированной защищённости принципиально важных данных,
обеспечивающей:
■ конституционные права и свободы граждан, предприятий и организаций в
сфере информатизации;
■ необходимый уровень безопасности информации, подлежащей защите;
■ защищенность систем формирования и использования информационных
ресурсов (технологий, систем обработки и передачи данных).
Ключевым моментом политики государства в данной области является осознание
необходимости защиты любых информационных ресурсов и информационных
технологий, неправомерное обращение с которыми может нанести ущерб их обладателю
(собственнику, владельцу, пользователю) или иному лицу.
В Стратегии развития информационного общества в Российской Федерации
(утверждена Президентом Российской Федерации 07.02.2009 № Пр-212) одной из
ключевых задач, требующих решен™ для достижения целей формирования и развития
информационного общества в России значится противодействие использованию
потенциала информационных и телекоммуникационных технологий в целях угрозы
национальным интересам России:
■ обеспечение безопасности функционирования информационно
телекоммуникационной инфраструктуры;
■ обеспечение безопасности функционирования информационных и
телекоммуникационных систем ключевых объектов инфраструктуры
Российской Федерации, в том числе критических объектов и объектов
повышенной опасности;
■ повышение уровня защищённости корпоративных и индивидуальных
■ создание единой системы информационно-телекоммуникационного
обеспечения нужд государственного управления, обороны страны,
национальной безопасности и правопорядка;
■ совершенствование правоприменительной практики в области
противодействия угрозам использования информационных и
телекоммуникационных технологий во враждебных целях;
■ обеспечение неприкосновенности частной жизни, личной и семейной тайны,
соблюдение требований по обеспечению безопасности информации
ограниченного доступа;
■ противодействие распространению идеологии терроризма и экстремизма,
пропаганде насилия.
—^1
58
Развитое информационного общества в Российской Федерации базируется на принципах

минимизация рисков и угроз национальной безопасности России, связанных с
враждебным и преступным использованием возможностей информационно
коммуникационных технологий, укрепление доверия и безопасности при их
использовании.
В Стратегии национальной безопасности Российской Федерации до 2020 года
(утверждена Указом Президента Российской Федерации от 12.05.2009 № 537) сказано,
что государственная политика Российской Федерации в области национальной
безопасности обеспечивается согласованными действиями всех элементов системы
обеспечения национальной безопасности при координирующей роли Совета
Безопасности Российской Федерации за счёт реализации комплекса мер
организационного, нормативно-правового и информационного характера.
Угрозы информационной безопасности в ходе реализации настоящей Стратегии
предотвращаются за счёт совершенствования безопасности функционирования
информационных и телекоммуникационных систем критически важных объектов
инфраструктуры и объектов повышенной опасности в Российской Федерации,
повышения уровня защищённости корпоративных и индивидуальных информационных
систем, создания единой системы информационно-телекоммуникационной поддержки
нужд системы обеспечения национальной безопасности.
Меры нормативной правовой поддержки регулирования вопросов информатизации и
защиты информации в Российской Федерации определяются на основании:
■ Конституции Российской Федерации и федеральных конституционных
законов;
■ Международных договоров и соглашений;
■ Законов Российской Федерации (кодексеальных и общего действия);
■ Указов и распоряжений Президента Российской Федерации;
■ Постановлений и распоряжений Правительства Российской Федерации;
■ Технических регламентов;
■ Национальных стандартов (государственных) и стандартов организаций;
■ Нормативных правовых актов (положения, порядки, руководства, концепции
и другие нормативные и методические документы) уполномоченных
федеральных органов исполнительной власти.
Защищаемая информация
Согласно Доктрины информационной безопасности Российской Федерации
(утверждена Президентом Российской Федерации 09.09.2000 № Пр-1895) под
информационной безопасностью Российской Федерации понимается состояние
защищенности ее национальных интересов в информационной сфере, определяющихся
совокупностью сбалансированных интересов личности, общества и государства.
В Конституции Российской Федерации, а также Декларации прав и свобод человека и
гражданина Российской Федерации определено, что каждый имеет право свободно
искать, получать, передавать, производить и распространять информацию любым
законным способом. Ограничения этого права могут устанавливаться законом
только в целях охраны личной, семейной, профессиональной, коммерческой и
государственной тайны, а также нравственности.
Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных
технологиях и о защите информации» предусматривает разделение информации на
категории свободного и ограниченного доступа (право на тайну). В свою очередь
59
информация ограниченного доступа подразделяется на информацию, отнесённую к

государственной тайне и конфиденциальную (см. Рис. 1.5.1).
Рис. 1.5.1. Классификация информации
Отнесение информации к государственной тайне осуществляется в соответствии с

Законом Российской Федерации от 21.07.1993 № 5485-1 «О государственной
тайне».Условия отнесения информации к сведениям, составляющим коммерческую
тайну, служебную тайну и иную тайну, обязательность соблюдения конфиденциальности
такой информации, а также ответственность за её разглашение устанавливаются
федеральными законами.
Порядок доступа к персональным данным граждан (физических лиц) устанавливается
федеральным законом о персональных данных.
В Федеральном законе от 27.07.2006 № 149-ФЗ «Об информации, информационных
технологиях и о защите информации» даны следующие определения:
1) информация —сведения (сообщения, данные) независимо от формы их представления;
2) информационные технологии - процессы, методы поиска, сбора, хранения,
обработки, предоставления, распространения информации и способы осуществления
таких процессов и методов;
3) информационная система - совокупность содержащейся в базах данных информации
и обеспечивающих её обработку информационных технологий и технических средств;
4) информационно-телекоммуникационная сеть - технологическая система,
предназначенная для передачи по линиям связи информации, доступ к которой
осуществляется с использованием средств вычислительной техники;
5) обладатель информации - лицо, самостоятельно создавшее информацию либо
получившее на основании закона или договора право разрешать или ограничивать доступ
к информации, определяемой по каким-либо признакам;
6) доступ к информации - возможность получения информации и её использования;
7) конфиденциальность информации —обязательное для выполнения лицом,
получившим доступ к определённой информации, требование не передавать такую
информацию третьим лицам без согласия её обладателя;
Учвбмьм центр
8) предоставление информации - действия, направленные на получение информации
определённым кругом лиц или передачу информации определённому кругу лиц;
9) распространение информации - действия, направленные на получение информации
неопределённым кругом лиц или передачу информации неопределённому кругу лиц;
10) электронное сообщение - информация, переданная или полученная пользователем
информационно-телекоммуникационной сети;
11) документированная информация - зафиксированная на материальном носителе
путём документирования информация с реквизитами, позволяющими определить такую
информацию или в установленных законодательством Российской Федерации случаях её
материальный носитель;
12) оператор информационной системы - гражданин или юридическое лицо,
осуществляющие деятельность по эксплуатации информационной системы, в том числе
по обработке информации, содержащейся в её базах данных.
Согласно ст. 6 данного Федерального закона обладатель информации имеет право:
■ разрешать или ограничивать доступ к информации, определять порядок и
условия такого доступа;
■ использовать информацию, в том числе распространять ее, по своему
усмотрению;
■ передавать информацию другим лицам по договору или на ином
установленном законом основании;
■ защищать установленными законом способами свои права в случае
незаконного получения информации или ее незаконного использования
иными лицами;
■ осуществлять иные действия с информацией или разрешать осуществление
таких действий.
При этом обладатель информации обязан:
■ соблюдать права и законные интересы иных лиц;
■ принимать меры по защите информации;
■ ограничивать доступ к информации, если такая обязанность установлена
федеральными законами.
Кроме того, обладатель информации, оператор информационной системы, в случаях,
установленных законодательством Российской Федерации, обязаны обеспечить.
■ предотвращение несанкционированного доступа к информации и (или)
передачи ее лицам, не имеющим права на доступ к информации;
■ своевременное обнаружение фактов несанкционированного доступа к
я предупреждение возможности неблагоприятных последствий нарушения
порядка доступа к информации;
■ недопущение воздействия на технические средства обработки информации,
в результате которого нарушается их функционирование;
■ возможность незамедлительного восстановления информации,
модифицированной или уничтоженной вследствие несанкционированного
доступа к ней;
■ постоянный контроль за обеспечением уровня защищенности информации.
61
Защита информации представляет собой принятие правовых, организационных и

технических мер, направленных на:
■ обеспечение защиты информации от неправомерного доступа, уничтожения,
модифицирования, блокирования, копирования, предоставления,
распространения, а также от иных неправомерных действий в отношении
такой информации;
■ соблюдение конфиденциальности информации ограниченного доступа;
■ реализацию права на доступ к информации.
Требования о защите информации, содержащейся в государственных информационных
системах, устанавливаются федеральным органом исполнительной власти в области
обеспечения безопасности (ФСБ России) и федеральным органом исполнительной
власти, уполномоченным в области противодействия техническим разведкам и
технической защиты информации (ФСТЭК России), в пределах их полномочий. При
создании и эксплуатации государственных информационных систем, используемые в
целях защиты информации методы и способы её защиты должны соответствовать
указанным требованиям.
Следует также отметить, что согласно ст. 8 не может быть ограничен доступ к:
■ нормативным правовым актам, затрагивающим права, свободы и
обязанности человека и гражданина, а также устанавливающим правовое
положение организаций и полномочия государственных органов, органов
местного самоуправления;
■ информации о состоянии окружающей среды;
■ информации о деятельности государственных органов и органов местного
самоуправления, а также об использовании бюджетных средств (за
исключением сведений, составляющих государственную или служебную
тайну);
■ информации, накапливаемой в открытых фондах библиотек, музеев и
архивов, а также в государственных, муниципальных и иных
информационных системах, созданных или предназначенных для
обеспечения граждан (физических лиц) и организаций такой информацией;
■ иной информации, недопустимость ограничения доступа к которой
установлена федеральными законами.
Например, ст. 5 Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне»
гласит, что «режим коммерческой тайны не может быть установлен лицами,
осуществляющими предпринимательскую деятельность, в отношении следующих
сведений:
■ содержащихся в учредительных документах юридического лица,
документах, подтверждающих факт внесения записей о юридических лицах
и об индивидуальных предпринимателях в соответствующие
государственные реестры;
■ содержащихся в документах, дающих право на осуществление
предпринимательской деятельности;
■ о составе имущества государственного или муниципального унитарного
предприятия, государственного учреждения и об использовании ими средств
соответствующих бюджетов;
■ о загрязнении окружающей среды, состоянии противопожарной
безопасности, санитарно-эпидемиологической и радиационной обстановке,
безопасности пищевых продуктов и других факторах, оказывающих
62
негативное воздействие на обеспечение безопасного функционирования

производственных объектов, безопасности каждого гражданина и
безопасности населения в целом;
■ о численности, о составе работников, о системе оплаты труда, об условиях
труда, в том числе об охране труда, о показателях производственного
травматизма и профессиональной заболеваемости, и о наличии свободных
рабочих мест;
■ о задолженности работодателей по выплате заработной платы и по иным
социальным выплатам;
■ о нарушениях законодательства Российской Федерации и фактах
привлечения к ответственности за совершение этих нарушений;
■ об условиях конкурсов или аукционов по приватизации объектов
государственной или муниципальной собственности;
■ о размерах и структуре доходов некоммерческих организаций, о размерах и
составе их имущества, об их расходах, о численности и об оплате труда их
работников, об использовании безвозмездного труда граждан в деятельности
некоммерческой организации;
■ о перечне лиц, имеющих право действовать без доверенности от имени
юридического лица;
■ обязательность раскрытия которых или недопустимость ограничения
доступа к которым установлена иными федеральными законами.
Кроме того, постановлением Правительства РСФСР от 05.12.1991 № 35 установлено, что
коммерческую тайну предприятия и предпринимателя не могут составлять:
учредительные документы и Устав;
регистрационные удостоверения, лицензии, патенты;
сведения по установленным формам отчетности о финансово-хозяйственной
деятельности ...;
документы о платежеспособности;
сведения о численности, составе работающих, их заработной плате и
условиях труда, а также о наличии свободных рабочих мест;
документы об уплате налогов и обязательных платежах;
сведения о загрязнении окружающей среды, нарушении антимонопольного
законодательства, несоблюдении безопасных условий труда ...;
сведения об участии должностных лиц предприятия в кооперативах, малых
предприятиях, товариществах, акционерных обществах, объединениях и
других организациях, занимающихся предпринимательской
деятельностью...
Также, постановлением Правительства Российской Федерации от 03.11.1994 № 1233
установлено, что не могут быть отнесены к служебной информации ограниченного
распространения:
■ акты законодательства, устанавливающие правовой статус государственных
органов, организаций, общественных объединений, а также права, свободы и
обязанности граждан, порядок их реализации;
■ сведения о чрезвычайных ситуациях, опасных природных явлениях и
процессах, экологическая, гидрометеорологическая, гидрогеологическая,
демографическая, санитарно-эпидемиологическая и другая информация,
У чвби ьш ц е н т р
63
необходимая для обеспечения безопасного существования населенных

пунктов, граждан и населения в целом, а также производственных объектов;
■ описание структуры органа исполнительной власти, его функций,
направлений и форм деятельности, а также его адрес;
■ порядок рассмотрения и разрешения заявлений, а также обращений граждан
и юридических лиц;
■ решение по заявлениям и обращениям граждан и юридических лиц,
рассмотренным в установленном порядке;
■ сведения об исполнении бюджета и использовании других государственных
ресурсов, о состоянии экономики и потребностей населения;
■ документы, накапливаемые в открытых фондах библиотек и архивов,
информационных системах организаций, необходимые для реализации прав,
свобод и обязанностей граждан.
Перечень сведений конфиденциального характера определён в Указе Президента
Российской Федерации от 06.03.1997 № 188 с изменениями от 23.09.2005 № 1111:
■ сведения о фактах, событиях и обстоятельствах частной жизни гражданина,
позволяющие идентифицировать его личность (персональные данные), за
исключением сведений, подлежащих распространению в средствах массовой
информации в установленных федеральными законами случаях;
■ сведения, составляющие тайну следствия и судопроизводства, а также
сведения о защищаемых лицах и мерах государственной защиты,
осуществляемой в соответствии с Федеральным законом от 20 августа
2004 г. № 119-ФЗ «О государственной защите потерпевших, свидетелей и
иных участников уголовного судопроизводства» и другими нормативными
правовыми актами Российской Федерации;
■ служебные сведения, доступ к которым ограничен органами
государственной власти в соответствии с Гражданским кодексом Российской
Федерации и федеральными законами (служебная тайна)',
■ сведения, связанные с профессиональной деятельностью, доступ к
которым ограничен в соответствии с Конституцией Российской Федерации и
федеральными законами (врачебная, нотариальная, адвокатская тайна, тайна
переписки, телефонных переговоров, почтовых отправлений, телеграфных
или иных сообщений и так далее);
■ сведения, связанные с коммерческой деятельностью, доступ к которым
ограничен в соответствии с Гражданским кодексом Российской Федерации и
федеральными законами (коммерческая тайна);
■ сведения о сущности изобретения, полезной модели или промышленного
образца до официальной публикации информации о них.
Персональные данные
В Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных» даны
следующие определения:
1) персональные данные - любая информация, относящаяся к прямо или косвенно
определенному или определяемому физическому лицу (субъекту персональных данных);
2) оператор - государственный орган, муниципальный орган, юридическое или
физическое лицо, самостоятельно или совместно с другими лицами организующие и
(или) осуществляющие обработку персональных данных, а также определяющие цели
Ш Информзащита
У чебные ц ентр
обработки персональных данных, состав персональных данных, подлежащих обработке,
действия (операции), совершаемые с персональными данными;
3) обработка персональных данных - любое действие (операция) или совокупность
действий (операций), совершаемых с использованием средств автоматизации или без
использования таких средств с персональными данными, включая сбор, запись,
систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение,
использование, передачу (распространение, предоставление, доступ), обезличивание,
блокирование, удаление, уничтожение персональных данных;
4) автоматизированная обработка персональных данных - обработка персональных
данных с помощью средств вычислительной техники;
5) распространение персональных данных - действия, направленные на раскрытие
персональных данных неопределенному кругу лиц;
6) предоставление персональных данных - действия, направленные на раскрытие
персональных данных определенному лицу или определенному кругу лиц;
7) блокирование персональных данных - временное прекращение обработки
персональных данных (за исключением случаев, если обработка необходима для
уточнения персональных данных);
8) уничтожение персональных данных - действия, в результате которых становится
невозможным восстановить содержание персональных данных в информационной
системе персональных данных и (или) в результате которых уничтожаются материальные
носители персональных данных;
9) обезличивание персональных данных - действия, в результате которых становится
невозможным без использования дополнительной информации определить
принадлежность персональных данных конкретному субъекту персональных данных;
10) информационная система персональных данных - совокупность содержащихся в
базах данных персональных данных и обеспечивающих их обработку информационных
технологий и технических средств;
11) трансграничная передача персональных данных - передача персональных данных на
территорию иностранного государства органу власти иностранного государства,
иностранному физическому лицу или иностранному юридическому лицу.
Меры по обеспечению безопасности персональных данных при их обработке:
1. Оператор при обработке персональных данных обязан принимать необходимые
организационные и технические меры, в том числе использовать шифровальные
(криптографические) средства, для защиты персональных данных от неправомерного или
случайного доступа к ним, уничтожения, изменения, блокирования, копирования,
распространения персональных данных, а также от иных неправомерных действий.
2. Правительство Российской Федерации устанавливает требования к обеспечению
безопасности персональных данных при их обработке в информационных системах
персональных данных, требования к материальным носителям биометрических
персональных данных и технологиям хранения таких данных вне информационных
систем персональных данных.
3. Контроль и надзор за выполнением требований, установленных Правительством
Российской Федерации в соответствии с частью 2 настоящей статьи, осуществляются
федеральным органом исполнительной власти, уполномоченным в области обеспечения
безопасности, и федеральным органом исполнительной власти, уполномоченным в
области противодействия техническим разведкам и технической защиты информации, в
пределах их полномочий и без права ознакомления с персональными данными,
обрабатываемыми в информационных системах персональных данных.
Учебны й цемтр
65
4. Использование и хранение биометрических персональных данных вне

информационных систем персональных данных могут осуществляться только на таких
материальных носителях информации и с применением такой технологии её хранения,
которые обеспечивают защиту этих данных от неправомерного или случайного доступа к
ним, уничтожения, изменения, блокирования, копирования, распространения.
Кроме всего прочего оператор до начала обработки персональных данных обязан
уведомить уполномоченный орган по защите прав субъектов персональных данных о
своём намерении осуществлять обработку персональных данных, за исключением
случаев обработки персональных данных:
1) обрабатываемых в соответствии с трудовым законодательством;
2) полученных оператором в связи с заключением договора, стороной которого является
субъект персональных данных, если персональные данные не распространяются, а также
не предоставляются третьим лицам без согласия субъекта персональных данных и
используются оператором исключительно для исполнения указанного договора и
заключения договоров с субъектом персональных данных;
3) относящихся к членам (участникам) общественного объединения или религиозной
организации и обрабатываемых соответствующими общественным объединением или
религиозной организацией, действующими в соответствии с законодательством
Российской Федерации, для достижения законных целей, предусмотренных их
учредительными документами, при условии, что персональные данные не будут
распространяться или раскрываться третьим лицам без согласия в письменной форме
субъектов персональных данных;
4) сделанных субъектом персональных данных общедоступными;
5) включающих в себя только фамилии, имена и отчества субъектов персональных
данных;
6) необходимых в целях однократного пропуска субъекта персональных данных на
территорию, на которой находится оператор, или в иных аналогичных цепях;
7) включенных в информационные системы персональных данных, имеющие в
соответствии с федеральными законами статус государственных автоматизированных
информационных систем, а также в государственные информационные системы
персональных данных, созданные в целях защиты безопасности государства и
общественного порядка;
8) обрабатываемых без использования средств автоматизации в соответствии с
федеральными законами или иными нормативными правовыми актами Российской
Федерации, устанавливающими требования к обеспечению безопасности персональных
данных при их обработке и к соблюдению прав субъектов персональных данных;
9) обрабатываемых в случаях, предусмотренных законодательством Российской
Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного
функционирования транспортного комплекса, защиты интересов личности, общества и
государства в сфере транспортного комплекса от актов незаконного вмешательства.
Обязанности оператора по устранению нарушений законодательства, допущенных при

обработке персональных данных, а также по уточнению, блокированию и уничтожению
персональных данных:
1. В случае выявления недостоверных персональных данных или неправомерных
действий с ними оператора при обращении или по запросу субъекта персональных
данных или его законного представителя либо уполномоченного органа по защите прав
субъектов персональных данных оператор обязан осуществить блокирование
персональных данных, относящихся к соответствующему субъекту персональных
данных, с момента такого обращения или получения такого запроса на период проверки;
2. В случае подтверждения факта недостоверности персональных данных оператор на
основании документов, представленных субъектом персональных данных или его
законным представителем либо уполномоченным органом по защите прав субъектов
персональных данных, или иных необходимых документов обязан уточнить
персональные данные и снять их блокирование.
3. В случае выявления неправомерных действий с персональными данными оператор в
срок, не превышающий трёх рабочих дней с даты такого выявления, обязан устранить
допущенные нарушения. В случае невозможности устранения допущенных нарушений
оператор в срок, не превышающий трёх рабочих дней с даты выявления неправомерности
действий с персональными данными, обязан уничтожить персональные данные. Об
устранении допущенных нарушений или об уничтожен™ персональных данных
оператор обязан уведомить субъекта персональных данных или его законного
представителя, а в случае, если обращение или запрос были направлены
уполномоченным органом по защите прав субъектов персональных данных, также
указанный орган.
4. В случае достижения цепи обработки персональных данных оператор обязан
незамедлительно прекратить обработку персональных данных и уничтожить
соответствующие персональные данные в срок, не превышающий трёх рабочих дней с
даты достижения цели обработки персональных данных, если иное не предусмотрено
федеральными законами, и уведомить об этом субъекта персональных данных или его
законного представителя, а в случае, если обращение или запрос были направлены
уполномоченным органом по защите прав субъектов персональных данных, также
указанный орган.
5. В случае отзыва субъектом персональных данных согласия на обработку своих
персональных данных оператор обязан прекратить обработку персональных данных и
уничтожить персональные данные в срок, не превышающий трёх рабочих дней с даты
поступления указанного отзыва, если иное не предусмотрено соглашением между
оператором и субъектом персональных данных. Об уничтожен™ персональных данных
оператор обязан уведомить субъекта персональных данных.
Следует также отметить, что Российская Федерация ратифицировала Конвенцию Совета
Европы о защите физических лиц при автоматизированной обработке персональных
данных Федеральным законом от 19.12.2005 № 160 ФЗ «О ратификации Конвенции
Совета Европы о защите физических лиц при автоматизированной обработке
персональных данных», в котором установлено следующее:
1) Российская Федерация заявляет, что ... не будет применять Конвенцию к
персональным данным:
а) обрабатываемым физическими лицами исключительно для личных и семейных нужд;
б) отнесённым к государственной тайне в порядке, установленном законодательством
Российской Федерации о государственной тайне;
2) Российская Федерация заявляет, что ... будет применять Конвенцию к персональным
данным, которые не подвергаются автоматизированной обработке, если применение
Конвенции соответствует характеру действий, совершаемых с персональными данными
без использования средств автоматизации;
3) Российская Федерация заявляет, что ... оставляет за собой право устанавливать
ограничения права субъекта персональных данных на доступ к персональным данным о
себе в цепях защиты безопасности государства и общественного порядка.
67
Согласно «Положению об особенностях обработки персональных данных,

осуществляемой без использования средств автоматизации» (утверждено постановлением
Правительства Российской Федерации от 15.09.2008 № 687) обработка персональных
данных, содержащихся в информационной системе персональных данных либо
извлечённых из такой системы (далее - персональные данные), считается осуществлённой
без использования средств автоматизации (неавтоматизированной), если такие действия с
персональными данными, как использование, уточнение, распространение, уничтожение
персональных данных в отношении каждого из субъектов персональных данных,
осуществляются при непосредственном участии человека. Обработка персональных
данных не может быть признана осуществляемой с использованием средств
автоматизации только на том основании, что персональные данные содержатся в
информационной системе персональных данных либо были извлечены из неё.
Также следует отметить, что согласно Указу Президента Российской Федерации от
30.05.2005 № 609 «Об утверждении Положения о персональных данных
государственного гражданского служащего Российской Федерации и ведении его
личного дела» руководителям государственных органов предписано:
обеспечить защиту персональных данных государственных гражданских
служащих Российской Федерации, содержащихся в их личных делах, от неправомерного
их использования или утраты за счет средств государственных органов в порядке,
установленном федеральными законами;
определить лиц, уполномоченных на получение, обработку, хранение, передачу и
любое другое использование персональных данных государственных гражданских
служащих Российской Федерации в государственном органе и несущих ответственность
в соответствии с законодательством Российской Федерации за нарушение режима
защиты этих персональных данных.
Требования к обеспечению безопасности персональных данных при их обработке в
информационных системах персональных данных, представляющих собой совокупность
персональных данных, содержащихся в базах данных, а также информационных
технологий и технических средств, позволяющих осуществлять обработку таких
персональных данных с использованием средств автоматизации (далее -
информационные системы) установлены «Положением об обеспечении безопасности
персональных данных при их обработке в информационных системах персональных
данных», утверждённым постановлением Правительства Российской Федерации от
17.11.2007 № 781.
Безопасность персональных данных при их обработке в информационных системах
обеспечивается с помощью системы защиты персональных данных, включающей
организационные меры и средства защиты информации (в том числе шифровальные
(криптографические) средства, средства предотвращения несанкционированного доступа,
утечки информации по техническим каналам, программно-технических воздействий на
технические средства обработки персональных данных), а также используемые в
информационной системе информационные технологии. Технические и программные
средства должны удовлетворять устанавливаемым в соответствии с законодательством
Российской Федерации требованиям, обеспечивающим защиту информации.
Для обеспечения безопасности персональных данных при их обработке в
информационных системах осуществляется защита речевой информации и информации,
обрабатываемой техническими средствами, а также информации, представленной в виде
информативных электрических сигналов, физических полей, носителей на бумажной,
магнитной, магнитно-оптической и иной основе.
Методы и способы защиты информации в информационных системах устанавливаются
Федеральной службой по техническому и экспортному контролю и Федеральной
службой безопасности Российской Федерации в пределах их полномочий.
Достаточность принятых мер по обеспечению безопасности персональных данных при их
обработке в информационных системах оценивается при проведении государственного
контроля и надзора.
Работы по обеспечению безопасности персональных данных при их обработке в
информационных системах являются неотъемлемой частью работ по созданию
информационных систем.
Средства зашиты информации, применяемые в информационных системах, в
установленном порядке проходят процедуру оценки соответствия.
Обмен персональными данными при их обработке в информационных системах
осуществляется по каналам связи, защита которых обеспечивается путём реализации
соответствующих организационных мер и (или) путём применения технических средств.
Размещение информационных систем, специальное оборудование и охрана помещений, в
которых ведётся работа с персональными данными, организация режима обеспечения
безопасности в этих помещениях должны обеспечивать сохранность носителей
персональных данных и средств защиты информации, а также исключать возможность
неконтролируемого проникновения или пребывания в этих помещениях посторонних
лиц.
Возможные каналы утечки информации при обработке персональных данных в
информационных системах определяются Федеральной службой по техническому и
экспортному контролю и Федеральной службой безопасности Российской Федерации в
пределах их полномочий.
Безопасность персональных данных при их обработке в информационной системе
обеспечивает оператор или лицо, которому на основании договора оператор поручает
обработку персональных данных (далее - уполномоченное лицо). Существенным
условием договора является обязанность уполномоченного лица обеспечить
конфиденциальность персональных данных и безопасность персональных данных при их
обработке в информационной системе.
Мероприятия по обеспечению безопасности персональных данных при их обработке в
информационных системах включают в себя:
а) определение угроз безопасности персональных данных при их обработке,
формирование на их основе модели угроз;
б) разработку на основе модели угроз системы зашиты персональных данных,
обеспечивающей нейтрализацию предполагаемых угроз с использованием методов и
способов защиты персональных данных, предусмотренных для соответствующего класса
в) проверку готовности средств защиты информации к использованию с составлением
заключений о возможности их эксплуатации;
г) установку и ввод в эксплуатацию средств защиты информации в соответствии с
эксплуатационной и технической документацией;
д) обучение лиц, использующих средства защиты информации, применяемые в
информационных системах, правилам работы с ними;
е) учёт применяемых средств защиты информации, эксплуатационной и технической
документации к ним, носителей персональных данных;
ж) учёт лиц, допущенных к работе с персональными данными в информационной
системе;
з) контроль за соблюдением условий использования средств защиты информации,
предусмотренных эксплуатационной и технической документацией;
69
и) разбирательство и составление заключений по фактам несоблюдения условий

хранения носителей персональных данных, использования средств защиты информации,
которые могут привести к нарушению конфиденциальности персональных данных или
другим нарушениям, приводящим к снижению уровня защищённости персональных
данных, разработку и принятие мер по предотвращению возможных опасных
последствий подобных нарушений;
к) описание системы защиты персональных данных.
Запросы пользователей информационной системы на получение персональных данных,
включая лиц, указанных в пункте 14 настоящего Положения, а также факты
предоставления персональных данных по этим запросам регистрируются
автоматизированными средствами информационной системы в электронном журнале
обращений. Содержание электронного журнала обращений периодически проверяется
соответствующими должностными лицами (работниками) оператора или
уполномоченного лица.
При обнаружении нарушений порядка предоставления персональных данных оператор
или уполномоченное лицо незамедлительно приостанавливают предоставление
персональных данных пользователям информационной системы до выявления причин
нарушений и устранения этих причин.
Требования к материальным носителям биометрических персональных данных и
технологиям хранения таких данных вне информационных систем персональных данных
установлены постановлением Правительства Российской Федерации от 06.07.2008 № 512.
Под материальным носителем понимается машиночитаемый носитель информации (в
том числе магнитный и электронный), на котором осуществляются запись и хранение
сведений, характеризующих физиологические особенности человека и на основе которых
можно установить его личность.
Настоящие требования не распространяются на отношения, возникающие при
использовании:
а) оператором информационной системы персональных данных (далее - оператор)
материальных носителей для организации функционирования информационной системы
персональных данных, оператором которой он является;
б) бумажных носителей для записи и хранения биометрических персональных данных.
Оператор утверждает порядок передачи материальных носителей уполномоченным
лицам, а также обязан:
а) осуществлять учёт количества экземпляров материальных носителей;
б) осуществлять присвоение материальному носителю уникального идентификационного
номера, позволяющего точно определить оператора, осуществившего запись
биометрических персональных данных на материальный носитель.
Федеральным органом исполнительной власти, осуществляющим функции по контролю
и надзору за соответствием обработки персональных данных требованиям
законодательства Российской Федерации в области персональных данных, согласно
постановлению Правительства Российской от 16.03.2009 № 228, является Федеральная
служба по надзору в сфере связи, информационных технологий и массовых
коммуникаций (Роскомнадзор).
Требования к материальным носителям биометрических персональных данных и
технологиям хранения таких данных вне информационных систем персональных данных
утверждены постановлением Правительства Российской Федерации от 06.06.2008 № 512.
Настоящие требования применяются при использовании материальных носителей, на
которые осуществляется запись биометрических персональных данных, а также при
хранении биометрических персональных данных вне информационных систем
персональных данных.
Под материальным носителем понимается машиночитаемый носитель информации (в
том числе магнитный и электронный), на котором осуществляются запись и хранение
сведений, характеризующих физиологические особенности человека и на основе которых
можно установить его личность (далее - материальный носитель).
Настоящие требования не распространяются на отношения, возникающие при
использовании:
а) оператором информационной системы персональных данных (далее - оператор)
материальных носителей для организации функционирования информационной системы
персональных данных, оператором которой он является;
б) бумажных носителей для записи и хранения биометрических персональных данных.
Порядок передачи материальных носителей уполномоченным лицам утверждает
оператор. Оператор вправе установить не противоречащие требованиям законодательства
Российской Федерации дополнительные требования к технологиям хранения
биометрических персональных данных вне информационных систем персональных
данных в зависимости от методов и способов защиты биометрических персональных
данных в информационных системах персональных данных этого оператора. Оператор
обязан:
а) осуществлять учёт количества экземпляров материальных носителей;
б) осуществлять присвоение материальному носителю уникального идентификационного
номера, позволяющего точно определить оператора, осуществившего запись
биометрических персональных данных на материальный носитель.
Во исполнение Федерального Закона «О персональных данных» Правительство

Российской Федерации 21 марта 2012г. Приняло Постановление №211 «Об утверждении
перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных
Федеральным Законом «О персональных данных» и принятыми в соответствии с ним
нормативными правовыми актами, операторами, являющимися государственными или
муниципальными органами».
Указанное постановление определяет перечень мер, предусмотренный ст. 18.1 ФЗ-152, но
только для государственных и муниципальных органов. Наиболее важными моментами
являются:
• Определена необходимость назначения главного за обработку ПДн.
• Определен перечень документов, который должен быть разработан госорганом или
муниципальным органом, среди них есть требование наличия документа,
описывающего правила работы с обезличенными данными.
• Декларируется, что обработка ПДн без средств автоматизации регламентируется ПП-
687.
• Описано требование обезличивания ПДн в ИСПДн согласно требованиям и методам,
установленным уполномоченным органом по защите прав субъектов персональных
данных. Пока этих требований и методов нет.
Порядок проведения классификации информационных систем персональных

данных утверждён совместным приказом ФСТЭК России, ФСБ России и
Мининформсвязи России от 13.02.2008 № 55/86/20. Также следует отметить
методические документы ФСТЭК России и ФСБ России:
У чебны м ц е н т р
71
■ Методика определения актуальных угроз безопасности персональных

данных при их обработке в информационных системах персональных
данных (утверждена Заместителем директора ФСТЭК России 14.02.2008);
■ Базовая модель угроз безопасности персональных данных при их обработке
в информационных системах персональных данных (утверждена
Заместителем директора ФСТЭК России 15.02.2008);
■ Положение о методах и способах защиты информации в информационных
системах персональных данных (утверждено Приказом ФСТЭК России
от 05.02.2010 № 58, зарегистрировано в Минюсте России 19.02.2010
№ 16456);
■ Методические рекомендации по обеспечению с помощью криптосредств
безопасности персональных данных при их обработке в информационных
системах персональных данных с использованием средств автоматизации
(утверждены руководством 8 Центра ФСБ России 21.02.2008 № 149/54-144);
■ Типовые требования по организации и обеспечению функционирования
шифровальных (криптографических) средств, предназначенных для защиты
информации, не содержащей сведений, составляющих государственную
тайну в случае их использования для обеспечения безопасности
персональных данных при их обработке в информационных системах
персональных данных (утверждены руководством 8 Центра ФСБ России
21.02.2008 № 149/6/6-622).
Коммерческая тайна
В Федеральном законе от 29.07.2004 № 98-ФЗ «О коммерческой тайне» даны
1) коммерческая тайна - режим конфиденциальности информации, позволяющий её
обладателю при существующих или возможных обстоятельствах увеличить доходы,
избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг
или получить иную коммерческую выгоду;
2) информация, составляющая коммерческую тайну (секрет производства), -
сведения любого характера (производственные, технические, экономические,
организационные и другие), в том числе о результатах интеллектуальной деятельности в
научно-технической сфере, а также сведения о способах осуществления
профессиональной деятельности, которые имеют действительную или потенциальную
коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих
лиц нет свободного доступа на законном основании и в отношении которых обладателем
таких сведений введён режим коммерческой тайны;
4) обладатель информации, составляющей коммерческую тайну, - лицо, которое
владеет информацией, составляющей коммерческую тайну, на законном основании,
ограничило доступ к этой информации и установило в отношении её режим
коммерческой тайны;
9) разглашение информации, составляющей коммерческую тайну, - действие или
бездействие, в результате которых информация, составляющая коммерческую тайну, в
любой возможной форме (устной, письменной, иной форме, в том числе с
использованием технических средств) становится известной третьим лицам без согласия
обладателя такой информации либо вопреки трудовому или гражданско-правовому
договору.
Режим коммерческой тайны считается установленным после принятия обладателем
информации, составляющей коммерческую тайну, мер по охране конфиденциальности
этой информации, включающих в себя:
■ определение перечня информации, составляющей коммерческую тайну;
■ ограничение доступа к информации, составляющей коммерческую тайну,
путем установления порядка обращения с этой информацией и контроля за
соблюдением такого порядка;
■ учет лиц, получивших доступ к информации, составляющей коммерческую
тайну, и/или лиц, которым такая информация была предоставлена или
передана;
■ регулирование отношений по использованию информации, составляющей
коммерческую тайну, работниками на основании трудовых договоров и
контрагентами на основании гражданско-правовых договоров;
■ нанесение на материальные носители (документы), содержащие
информацию, составляющую коммерческую тайну, грифа «Коммерческая
тайна» с указанием обладателя этой информации (для юридических лиц -
полное наименование и место нахождения, для индивидуальных
предпринимателей —фамилия, имя, отчество гражданина, являющегося
индивидуальным предпринимателем, и место жительства).
Меры по охране конфиденциальности информации признаются разумно достаточными,
если:
■ исключается доступ к информации, составляющей коммерческую тайну,
любых лиц без согласия ее обладателя;
■ обеспечивается возможность использования информации, составляющей
коммерческую тайну, работниками и передачи ее контрагентам без
нарушения режима коммерческой тайны.
Режим коммерческой тайны не может быть использован в целях, противоречащих
требованиям защиты основ конституционного строя, нравственности, здоровья, прав и
законных интересов других лиц, обеспечения обороны страны и безопасности
государства.
К сожалению, вступивший в действие Федеральный закон от 29.07.2004 № 98-ФЗ
«О коммерческой тайне» не в полной мере обеспечивает неприкосновенность
соответствующей информации. В соответствии со статьёй 6 этого Закона, «Обладатель
информации, составляющей коммерческую тайну, по мотивированному требованию
органа государственной власти, иного государственного органа, органа местного
самоуправления предоставляет им на безвозмездной основе информацию, составляющую
коммерческую тайну» При отказе собственника информационных ресурсов добровольно
вьщать информацию, составляющую коммерческую тайну, она может быть получена в
судебном порядке. При этом какого-либо возмещения издержек собственника на
предоставление информации не предусматривается. Кроме того, данный Закон не
предусматривает отмены ранее принятых нормативных документов по вопросам защиты
коммерческой тайны, в том числе и в части, противоречащей Закону. Данное
обстоятельство, к сожалению, не способствует устранению существовавших до принятия
Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне» правовых
коллизий.
Также, следует отметить наличие методических документов по технической защиты
информации, составляющей коммерческую тайну, выпущенных ФСТЭК России:
■ Методические рекомендации по технической защите информации,
составляющей коммерческую тайну (утверждены Заместителем директора
ФСТЭК России 25.12.2006);
У чеби*** ц е и т р
73
■ Пособие по организации технической защиты информации, составляющей

коммерческую тайну (утверждено Заместителем директора ФСТЭК России
25.12.2006).
Служебная тайна
Общий порядок обращения с документами и другими материальными носителями
информации (фото-, кино-, видео-, и аудиопленки, машинные носители информации и
др.), содержащими служебную информацию ограниченного распространения, в
федеральных органах исполнительной власти, а также на подведомственных им
предприятиях, в учреждениях и организациях определён в «Положении о порядке
обращения со служебной информацией ограниченного распространения в федеральных
органах исполнительной власти», утверждённом постановлением Правительства
Российской Федерации от 03.11.1994 № 1233.
К служебной информации отграниченного распространения относится несекретная
информация, касающаяся деятельности организаций, ограничения на распространение
которой диктуется служебной необходимостью.
На документах (в необходимых случаях и на их проектах), содержащих служебную
информацию ограниченного распространения, проставляется пометка «Для служебного
пользования».
Только лишь руководителям федерального органа исполнительной власти разрешено
определять в пределах своей компетенции:
■ категории должностных лиц, уполномоченных относить служебную
информацию к разряду ограниченного распространения;
■ порядок передачи служебной информации ограниченного распространения
другим органам и организациям;
■ порядок снятия пометки «Для служебного пользования» с носителей
информации ограниченного распространения;
■ организацию защиты служебной информации ограниченного
распространения.
Должностные лица, принявшие решение об отнесении служебной информации к разряду
ограниченного распространения, несут персональную ответственность за обоснованность
принятого решения и за соблюдение ограничений, предусмотренных настоящим
Положением.
Служебная информация ограниченного распространения без санкции соответствующего
должностного лица не подлежащих разглашению (распространению).
За разглашение служебной информации ограниченного распространения, а также
нарушение порядка обращения с документами, содержащими такую информацию,
государственный служащий (работник организации) может быть привлечён к
дисциплинарной или иной предусмотренной законодательством ответственности.
Следует также отметить, что согласно п. 1 Указа Президента Российской Федерации
от 17 марта 2008 г. № 351 «О мерах по обеспечению информационной безопасности
Российской Федерации в сфере международного информационного обмена»
подключение информационных систем, информационно-телекоммуникационных сетей и
средств вычислительной техники, применяемых для хранения, обработки или передачи
информации, содержащей сведения, составляющие государственную тайну, либо
информации, обладателями которой являются государственные органы и которая
содержит сведения, составляющие служебную тайну, к информационно
телекоммуникационным сетям, позволяющим осуществлять передачу информации через
государственную границу Российской Федерации, в том числе к международной
компьютерной сети «Интернет», не допускается.
При необходимости подключения информационных систем, информационно
телекоммуникационных сетей и средств вычислительной техники, указанных выше, к
информационно-телекоммуникационным сетям международного информационного
обмена такое подключение производится только с использованием специально
предназначенных для этого средств защиты информации, в том числе шифровальных
(криптографических) средств, прошедших в установленном законодательством
Российской Федерации порядке сертификацию в Федеральной службе безопасности
Российской Федерации и (или) получивших подтверждение соответствия в Федеральной
службе по техническому и экспортному контролю. Выполнение данного требования
является обязательным для операторов информационных систем, владельцев
информационно-телекоммуникационных сетей и (или) средств вычислительной техники.
Государственные органы в целях защиты общедоступной информации, размещаемой в
информационно-телекоммуникационных сетях международного информационного
обмена, используют только средства защиты информации, прошедшие в установленном
законодательством Российской Федерации порядке сертификацию в Федеральной службе
безопасности Российской Федерации и (или) получившие подтверждение соответствия в
Федеральной службе по техническому и экспортному контролю.
Размещение технических средств, подключаемых к информационно
телекоммуникационным сетям международного информационного обмена, в
помещениях, предназначенных для ведения переговоров, в ходе которых обсуждаются
вопросы, содержащие сведения, составляющие государственную тайну, осуществляется
только при наличии сертификата, разрешающего эксплуатацию таких технических
средств в указанных помещениях. Финансирование расходов, связанных с размещением
технических средств в указанных помещениях федеральных органов государственной
власти, осуществляется в пределах бюджетных ассигнований, предусмотренных в
федеральном бюджете на содержание этих органов.
Банковская тайна
В ст.26 Федерального закона от 02.12.1990 № 395-1 «О банках и банковской
деятельности» сказано, что «Кредитная организация, Банк России гарантируют тайну об
операциях, о счетах и вкладах своих клиентов и корреспондентов. Все служащие
кредитной организации обязаны хранить тайну об операциях, счетах и вкладах её
клиентов и корреспондентов, а также об иных сведениях, устанавливаемых кредитной
организацией, если это не противоречит федеральному закону».
Кроме всего прочего, согласно ст.857 части второй Гражданского кодекса Российской
Федерации (Федеральный закон от 25.01.1996 № 14-ФЗ) «Банк гарантирует тайну счёта и
банковского вклада, операций по счёту и сведений о клиенте».
Следовательно к основным объектам банковской тайны, согласно действующему
законодательству, относятся:
■ Тайна банковского счета - сведения о счетах клиентов и корреспондентов
и действиях с ними в кредитной организации (о расчетном, текущем,
бюджетном, депозитном, валютном, корреспондентском и т.п. счете, об
открытии, закрытии, переводе, переоформлении счета и т.п.);
■ Тайна операций по банковскому счету —сведения о принятии и зачислении
поступающих на счет клиента денежных средств, о выполнении его
распоряжений по перечислению и выдаче соответствующих сумм со счета, а
также проведении других операций и сделок по банковскому счету,
предусмотренных договором банковского счета или законом,
установленными в соответствии с ним банковскими правилами, обычаями
делового оборота;
У чебны » цеитр
75
■ Тайна банковского вклада - сведения о всех видах вкладов клиента в

кредитной организации (срочные, до востребования, в пользу третьих лиц,
либо на иных условиях, предусмотренных публичным договором
банковского вклада).
■ Тайна частной жизни клиента или корреспондента - сведения о клиенте
или корреспонденте, составляющие его личную, семейную тайну и
сохраняемые законом как персональные данные этого клиента или
корреспондента.
Информация в ключевых системах информационной инфраструктуры
Надёжное обеспечение информационной безопасности критически важных объектов
является одним из важнейших условий для успешного экономического и социально
политического развития российского общества, укрепления обороноспособности страны
и безопасности государства. Решение этой проблемы во многом определяется
защищённостью информационных ресурсов, телекоммуникационных систем и сетей
критически важных объектов, создаваемых и используемых как государственными, так и
негосударственными организациями, от угроз преступного или террористического
характера в сфере компьютерной информации, деструктивного информационного
воздействия со стороны других государств.
В настоящее время федеральными органами исполнительной власти, наделёнными
полномочиями нормативно-правового регулирования вопросов обеспечения
безопасности информации в ключевых системах информационной инфраструктуры
Российской Федерации являются ФСТЭК России и ФСБ России.
22 сентября 2006 г. в Государственную Думу был внесён Законопроект (№ п/п: 1
Код: 340741-4) «Об особенностях обеспечения информационной безопасности
критически важных объектов информационной и телекоммуникационной
инфраструктуры», который был снят с рассмотрения 11.03.2008 в связи с отзывом
субъектом права законодательной инициативы.
Тем не менее, ФСТЭК России были разработаны следующие нормативно-методические
документы по обеспечению безопасности информации в ключевых системах
информационной инфраструктуры:
■ Общие требования по обеспечению безопасности информации в ключевых
системах информационной инфраструктуры (утверждены Заместителем
директора ФСТЭК России 18.05.2007);
■ Базовая модель угроз безопасности информации в ключевых системах
информационной инфраструктуры (утверждены Заместителем директора
ФСТЭК России 18.05.2007);
■ Методика определения актуальных угроз безопасности информации в
ключевых системах информационной инфраструктуры (утверждены
Заместителем директора ФСТЭК России 18.05.2007);
■ Рекомендации по обеспечению безопасности информации в ключевых
системах информационной инфраструктуры (утверждены Заместителем
директора ФСТЭК России 19.11.2007).
Исходя из вышеизложенного, можно ввести простую и понятную классификацию тайн:
■ по собственнику (государственная, негосударственная и т.п.);
■ по владельцу (в своих или чужих руках - государственная, коммерческая,
банковская, профессиональная, служебная, персональные данные как
особый институт охраны неприкосновенности частного лица и т.п.);
■ по области применения, в которой извлекается выгода от монопольного
владения (экономическая —коммерческая, политическая, военная и т.п.);
■ по степени важности (гриф).
Другие Федеральные законы и нормативные правовые акты Российской Федерации
предусматривают:
■ лицензирование деятельности предприятий, учреждений и организаций в
области защиты информации;
■ сертификацию средств защиты информации и средств контроля
эффективности защиты, используемых в АС;
■ аттестацию (аттестование) автоматизированных информационных
систем, обрабатывающих информацию с ограниченным доступом на
соответствие требованиям по безопасности информации при проведении
работ со сведениями соответствующей степени конфиденциальности
(секретности);
■ возложение решения вопросов организации лицензирования, аттестации и
сертификации на органы государственного управления в пределах их
компетенции, определенной законодательством Российской Федерации;
■ создание автоматизированных информационных систем в защищенном
исполнении и специальных подразделений, обеспечивающих защиту
информации с ограниченным доступом, являющейся собственностью
государства, а также осуществление контроля защищенности информации и
предоставление прав запрещать или приостанавливать обработку
информации в случае невыполнения требований по обеспечению ее защиты;
■ определение прав и обязанностей субъектов в области защиты информации.
Лицензирование
Лицензирование —деятельность лицензирующих органов по предоставлению,
переоформлению лицензий, продлению срока действия лицензий в случае, если
ограничение срока действия лицензий предусмотрено федеральными законами,
осуществлению лицензионного контроля, приостановлению, возобновлению,
прекращению действия и аннулированию лицензий, формированию и ведению реестра
лицензий, формированию государственного информационного ресурса, а также по
предоставлению в установленном порядке информации по вопросам лицензирования.
Лицензия - специальное разрешение на право осуществления юридическим лицом или
индивидуальным предпринимателем конкретного вида деятельности (выполнения работ,
оказания услуг, составляющих лицензируемый вид деятельности), которое
подтверждается документом, выданным лицензирующим органом на бумажном носителе
или в форме электронного документа, подписанного электронной подписью, в случае,
если в заявлении о предоставлении лицензии указывалось на необходимость выдачи
такого документа в форме электронного документа.
Законодательство Российской Федерации предусматривает установление Правительством
Российской Федерации порядка ведения лицензионной деятельности, перечня видов
деятельности, на осуществление которых требуется лицензия, и органов,
уполномоченных на ведение лицензионной деятельности.
В соответствии со статьёй 12 Федерального закона от 04.05.2011 № 99-ФЗ
«О лицензировании отдельных видов деятельности» обязательному лицензированию
подлежат следующие виды деятельности (в области защиты информации):
■ разработка, производство, распространение шифровальных
(криптографических) средств, информационных систем и
77
телекоммуникационных систем, защищённых с использованием

шифровальных (криптографических) средств, выполнение работ, оказание
услуг в области шифрования информации, техническое обслуживание
шифровальных (криптографических) средств, информационных систем и
телекоммуникационных систем, защищённых с использованием
шифровальных (крипто графических) средств (за исключением случая, если
техническое обслуживание шифровальных (криптографических) средств,
информационных систем и телекоммуникационных систем, защищённых с
использованием шифровальных (криптографических) средств,
осуществляется для обеспечения собственных нужд юридического лица или
индивидуального предпринимателя);
■ разработка, производство, реализация и приобретение в целях продажи
специальных технических средств, предназначенных для негласного
получения информации;
■ деятельность по выявлению электронных устройств, предназначенных для
негласного получения информации (за исключением случая, если указанная
деятельность осуществляется для обеспечения собственных нужд
юридического лица или индивидуального предпринимателя);
■ разработка и производство средств защиты конфиденциальной информации;
■ деятельность по технической защите конфиденциальной информации.
В рамках рассматриваемых видов деятельности были выпущены отдельные
постановления Правительства Российской Федерации, разъясняющие порядок
лицензирования. Среди них:
■ Постановление Правительства РФ от 3.02.2012 № 79 «О лицензировании
деятельности по технической защите конфиденциальной информации»;
■ Постановление Правительства Российской Федерации от 31.08.2006 № 532
«О лицензировании деятельности по разработке и (или) производству
средств защиты конфиденциальной информации»;
«Об утверждении положения о лицензировании деятельности по
разработке, производству, распространению шифровальных
(криптографических) средств, информационных систем и
телекоммуникационных систем, защищенных с использованием
шифровальных (криптографических) средств, выполнению работ, оказанию
услуг в области шифрования информации, техническому обслуживанию
телекоммуникационных систем, защищенных с использованием
шифровальных (криптографических) средств (за исключением случая, если
техническое обслуживание шифровальных (криптографических) средств,
информационных систем и телекоммуникационных систем, защищенных с
использованием шифровальных (криптографических) средств,
осуществляется для обеспечения собственных нужд юридического лица или
индивидуального предпринимателя)».
Под технической защитой конфиденциальной информации, согласно Постановлению
Правительства РФ от 3.02.2012 № 79, понимается выполнение работ и (или) оказание
услуг по ее защите от несанкционированного доступа, от утечки по техническим каналам,
а также от специальных воздействий на такую информацию в целях ее уничтожения,
искажения или блокирования доступа к ней.
Лицензирование деятельности по технической защите конфиденциальной информации
осуществляет Федеральная служба по техническому и экспортному контролю.
Лицензионными требованиями, предъявляемыми к соискателю лицензии на
осуществление деятельности по технической защите конфиденциальной информации
(далее - лицензия), являются:
а) наличие у соискателя лицензии:
• юридического лица - специалистов, находящихся в штате соискателя лицензии,
имеющих высшее профессиональное образование в области технической защиты
информации либо высшее техническое или среднее профессиональное (техническое)
образование и прошедших переподготовку или повышение квалификации по вопросам
технической защиты информации;
• индивидуального предпринимателя - высшего профессионального образования в
области технической защиты информации либо высшего технического или среднего
профессионального (технического) образования при условии прохождения им
переподготовки или повышения квалификации по вопросам технической защиты
б) наличие помещений для осуществления лицензируемого вида деятельности,
соответствующих установленным законодательством Российской Федерации
техническим нормам и требованиям по технической зашите информации и
принадлежащих соискателю лицензии на праве собственности или на ином законном
основании;
в) наличие на праве собственности или на ином законном основании контрольно
измерительного оборудования (прошедшего в соответствии с законодательством
Российской Федерации метрологическую поверку (калибровку) и маркирование),
производственного и испытательного оборудования, соответствующего требованиям по
техническим характеристикам и параметрам, устанавливаемым Федеральной службой по
техническому и экспортному контролю (при выполнении работ и (или) оказании услуг,
предусмотренных подпунктами "а", "в", "г" и "е" пункта 4 Положения);
г) наличие на праве собственности или на ином законном основании средств контроля
защищенности информации от несанкционированного доступа, сертифицированных по
требованиям безопасности информации, в соответствии с перечнем, утверждаемым
Федеральной службой по техническому и экспортному контролю (при выполнении работ
и (или) оказании услуг, предусмотренных подпунктами "б", "в" и "г" пункта 4
Положения);
д) наличие автоматизированных систем, предназначенных для обработки
конфиденциальной информации, а также средств защиты такой информации, прошедших
процедуру оценки соответствия (аттестованных и (или) сертифицированных по
требованиям безопасности информации) в соответствии с законодательством Российской
Федерации;
е) наличие предназначенных для осуществления лицензируемого вида деятельности
программ для электронно-вычислительных машин и баз данных, принадлежащих
соискателю лицензии на праве собственности или на ином законном основании;
ж) наличие технической документации, национальных стандартов и методических
документов, необходимых для выполнения работ и (или) оказания услуг,
предусмотренных пунктом 4 настоящего Положения, в соответствии с утверждаемым
Федеральной службой по техническому и экспортному контролю перечнем и
принадлежащих соискателю лицензии на праве собственности или на ином законном
основании;
з) наличие системы производственного контроля в соответствии с установленными
стандартами (при выполнении работ, указанных в подпункте "в" пункта 4 Положения).
79
Лицензионными требованиями, предъявляемыми к лицензиату при осуществлении

лицензируемого вида деятельности, являются:
а) выполнение работ и (или) оказание услуг лицензиатом:
• юридическим лицом - с привлечением специалистов, находящихся в штате
лицензиата, имеющих высшее профессиональное образование в области технической
защиты информации либо высшее техническое или среднее профессиональное
(техническое) образование и прошедших переподготовку или повышение квалификации
по вопросам технической защиты информации;
• индивидуальным предпринимателем - при наличии у него высшего
профессионального образования в области технической защиты информации либо
высшего технического или среднего профессионального (технического) образования и
при условии прохождения переподготовки или повышения квалификации по вопросам
технической защиты информации;
б) наличие помещений для осуществления лицензируемого вида деятельности,
соответствующих установленным законодательством Российской Федерации
техническим нормам и требованиям по технической защите информации и
принадлежащих лицензиату на праве собственности или на ином законном основании;
в) использование на праве собственности или на ином законном основании контрольно
измерительного оборудования (прошедшего в соответствии с законодательством
Российской Федерации метрологическую поверку (калибровку) и маркирование),
производственного и испытательного оборудования, соответствующего требованиям по
техническим характеристикам и параметрам, устанавливаемым Федеральной службой по
техническому и экспортному контролю (при выполнении работ и (или) оказании услуг,
предусмотренных подпунктами "а", "в", "г" и "е" пункта 4 Положения);
г) использование на праве собственности или на ином законном основании средств
контроля защищенности информации от несанкционированного доступа,
сертифицированных по требованиям безопасности информации, в соответствии с
перечнем, утверждаемым Федеральной службой по техническому и экспортному
контролю (при выполнении работ и (или) оказании услуг, предусмотренных подпунктами
"б", "в" и "г" пункта 4 Положения);
д) использование для обработки конфиденциальной информации автоматизированных
систем и средств защиты такой информации, прошедших процедуру оценки соответствия
(аттестованных и (или) сертифицированных по требованиям безопасности информации) в
соответствии с законодательством Российской Федерации;
е) использование предназначенных для осуществления лицензируемого вида
деятельности программ для электронно-вычислительных машин и баз данных,
ж) наличие технической документации, национальных стандартов и методических
документов, необходимых для выполнения работ и (или) оказания услуг,
предусмотренных пунктом 4 настоящего Положения, в соответствии с утверждаемым
Федеральной службой по техническому и экспортному контролю перечнем и
з) наличие системы производственного контроля в соответствии с установленными
стандартами (при выполнении работ, указанных в подпункте "в" пункта 4 Положения).
7. Под грубым нарушением лицензионных требований понимается невыполнение
лицензиатом требований, предусмотренных подпунктами "а", "в" - "е" и "з" пункта 6
настоящего Положения, повлекшее за собой последствия, предусмотренные частью 11
статьи 19 Федерального закона "О лицензировании отдельных видов деятельности".
Учебный центр
Таким образом, вся деятельность по обеспечению технической защиты
конфиденциальной информации подпадает под обязательное лицензирование, т.е.
владелец АС, в рамках которой обрабатывается, хранится или передаётся
конфиденциальная информация, должен обладать лицензией на проведение работ по
технической защите информации, либо привлекать для проведения подобных работ
компании, обладающие такой лицензией.
Другим важным документом, требующим особого внимания, является постановление
Правительства Российской Федерации от 16.04.2012 № 313 «Об утверждении положения
о лицензировании деятельности по разработке, производству, распространению
телекоммуникационных систем, защищенных с использованием шифровальных
(криптографических) средств, выполнению работ, оказанию услуг в области шифрования
информации, техническому обслуживанию шифровальных (криптографических) средств,
использованием шифровальных (криптографических) средств (за исключением случая,
если техническое обслуживание шифровальных (криптографических) средств,
использованием шифровальных (криптографических) средств, осуществляется для
обеспечения собственных нужд юридического лица или индивидуального
предпринимателя)».
К шифровальным (криптографическим) средствам (средствам криптографической
защиты информации), включая документацию на эти средства, относятся:
а) средства шифрования - аппаратные, программные и программно-аппаратные
шифровальные (криптографические) средства, реализующие алгоритмы
криптографического преобразования информации для ограничения доступа к ней, в том
числе при ее хранении, обработке и передаче;
б) средства имитозащиты - аппаратные, программные и программно-аппаратные
шифровальные (криптографические) средства (за исключением средств шифрования),
реализующие алгоритмы криптографического преобразования информации для ее
защиты от навязывания ложной информации, в том числе защиты от модифицирования,
для обеспечения ее достоверности и некорректируемости, а также обеспечения
возможности выявления изменений, имитации, фальсификации или модифицирования
в) средства электронной подписи;
г) средства кодирования - средства шифрования, в которых часть криптографических
преобразований информации осуществляется с использованием ручных операций или с
использованием автоматизированных средств, предназначенных для выполнения таких
операций;
д) средства изготовления ключевых документов - аппаратные, программные,
программно-аппаратные шифровальные (криптографические) средства, обеспечивающие
возможность изготовления ключевых документов для шифровальных
(криптографических) средств, не входящие в состав этих шифровальных
(криптографических) средств;
е) ключевые документы - электронные документы на любых носителях информации, а
также документы на бумажных носителях, содержащие ключевую информацию
ограниченного доступа для криптографического преобразования информации с
использованием алгоритмов криптографического преобразования информации
(криптографический ключ) в шифровальных (криптографических) средствах;
ж) аппаратные шифровальные (криптографические) средства - устройства и их
компоненты, в том числе содержащие ключевую информацию, обеспечивающие
У ч е б н ы * и ви тр
81
возможность преобразования информации в соответствии с алгоритмами

криптографического преобразования информации без использования программ для
электронных вычислительных машин;
з) программные шифровальные (криптографические) средства - программы для
электронных вычислительных машин и их части, в том числе содержащие ключевую
информацию, обеспечивающие возможность преобразования информации в соответствии
с алгоритмами криптографического преобразования информации в программно
аппаратных шифровальных (криптографических) средствах, информационных системах
и телекоммуникационных системах, защищенных с использованием шифровальных
и) программно-аппаратные шифровальные (криптографические) средства - устройства и
их компоненты (за исключением информационных систем и телекоммуникационных
систем), в том числе содержащие ключевую информацию, обеспечивающие возможность
преобразования информации в соответствии с алгоритмами криптографического
преобразования информации с использованием программ дня электронных
вычислительных машин, предназначенных для осуществления этих преобразований
информации или их части.
Лицензирование деятельности по указанным видам деятельности осуществляется
Федеральной службой безопасности Российской Федерации.
Настоящее Положение не распространяется на деятельность с использованием:
а) шифровальных (криптографических) средств, предназначенных для защиты
информации, содержащей сведения, составляющие государственную тайну;
б) шифровальных (криптографических) средств, а также товаров, содержащих
шифровальные (криптографические) средства, реализующих либо симметричный
криптографический алгоритм, использующий криптографический ключ длиной, не
превышающей 56 бит, либо ассиметричный криптографический алгоритм, основанный
либо на методе разложения на множители целых чисел, размер которых не превышает
512 бит, либо на методе вычисления дискретных логарифмов в мультипликативной
группе конечного поля размера, не превышающего 512 бит, либо на методе вычисления
дискретных логарифмов в иной группе размера, не превышающего 112 бит;
в) товаров, содержащих шифровальные (криптографические) средства, имеющих либо
функцию аутентификации, включающей в себя все аспекты контроля доступа, где нет
шифрования файлов или текстов, за исключением шифрования, которое непосредственно
связано с защитой паролей, персональных идентификационных номеров или подобных
данных для защиты от несанкционированного доступа, либо имеющих электронную
подпись;
г) шифровальных (криптографических) средств, являющихся компонентами
программных операционных систем, криптографические возможности которых не могут
бьггь изменены пользователями, которые разработаны для установки пользователем
самостоятельно без дальнейшей существенной поддержки поставщиком и техническая
документация (описание алгоритмов криптографических преобразований, протоколы
взаимодействия, описание интерфейсов и т.д.) на которые является доступной;
д) персональных смарт-карт (интеллектуальных карт), криптографические возможности
которых ограничены использованием в оборудовании или системах, указанных в
подпунктах "е" - "и" настоящего пункта, или персональных смарт-карт
(интеллектуальных карт) для широкого общедоступного применения, криптографические
возможности которых недоступны пользователю и которые в результате специальной
разработки имеют ограниченные возможности защиты хранящейся на них персональной
е) приемной аппаратуры для радиовещания, коммерческого телевидения или аналогичной
коммерческой аппаратуры для вещания на ограниченную аудиторию без шифрования
цифрового сигнала, кроме случаев использования шифрования исключительно для
управления видео- или аудиоканалами и отправки счетов или возврата информации,
связанной с программой, провайдерам вещания;
ж) оборудования, криптографические возможности которого недоступны пользователю,
специально разработанного и ограниченного для осуществления следующих функций:
• исполнение программного обеспечения в защищенном от копирования виде;
• обеспечение доступа к защищенному от копирования содержимому,
хранящемуся только на доступном для чтения носителе информации, либо
доступа к информации, хранящейся в зашифрованной форме на носителях, когда
эти носители информации предлагаются на продажу населению в идентичных
наборах;
• контроль копирования аудио- и видеоинформации, защищенной авторскими
правами;
з) шифровального (криптографического) оборудования, специально разработанного и
ограниченного применением для банковских или финансовых операций в составе
терминалов единичной продажи (банкоматов), POS-терминалов и терминалов оплаты
различного вида услуг, криптографические возможности которых не могут быть
изменены пользователями;
и) портативных или мобильных радиоэлектронных средств гражданского назначения
(например, для использования в коммерческих гражданских системах сотовой
радиосвязи), которые не способны к сквозному шифрованию (то есть от абонента к
абоненту);
к) беспроводного оборудования, осуществляющего шифрование информации только в
радиоканале с максимальной дальностью беспроводного действия без усиления и
ретрансляции менее 400 м в соответствии с техническими условиями производителя (за
исключением оборудования, используемого на критически важных объектах);
л) шифровальных (криптографических) средств, используемых для защиты
технологических каналов информационно-телекоммуникационных систем и сетей связи,
не относящихся к критически важным объектам;
м) товаров, у которых криптографическая функция гарантированно заблокирована
производителем.
Лицензионными требованиями при осуществлении лицензируемой деятельности
являются:
а) наличие у соискателя лицензии (лицензиата) права собственности или иного законного
основания на владение и использование помещений, сооружений, технологического,
испытательного, контрольно-измерительного оборудования и иных объектов,
необходимых для осуществления лицензируемой деятельности;
б) выполнение соискателем лицензии (лицензиатом) при осуществлении лицензируемой
деятельности требований по обеспечению информационной безопасности,
устанавливаемых в соответствии со статьями 11.2 и 13 Федерального закона "О
федеральной службе безопасности";
в) наличие у соискателя лицензии (лицензиата) условий для соблюдения
конфиденциальности информации, необходимых для выполнения работ и оказания услуг,
составляющих лицензируемую деятельность, в соответствии с требованиями о
соблюдении конфиденциальности информации, установленными Федеральным законом
"Об информации, информационных технологиях и о защите информации";
83
г) наличие у соискателя лицензии (лицензиата) допуска к выполнению работ и оказанию

услуг, связанных с использованием сведений, составляющих государственную тайну (при
выполнении работ и оказании услуг, указанных в пунктах 1 ,4 -6 , 16 и 19 перечня);
д) наличие в штате у соискателя лицензии (лицензиата) следующего квалифицированного
персонала:
• руководитель и (или) лицо, уполномоченное руководить работами в рамках
лицензируемой деятельности, имеющие высшее профессиональное образование
по направлению подготовки "Информационная безопасность" в соответствии с
Общероссийским классификатором специальностей и (или) прошедшие
переподготовку по одной из специальностей этого направления (нормативный
срок - свыше 1000 аудиторных часов), а также имеющие стаж в области
выполняемых работ в рамках лицензируемой деятельности не менее 5 лет (только
для работ и услуг, указанных в пунктах 1,4 - 6, 16 и 19 перечня);
лицензируемой деятельности, имеющие высшее профессиональное образование
по направлению подготовки "Информационная безопасность" в соответствии с
Общероссийским классификатором специальностей и (или) прошедшие
переподготовку по одной из специальностей этого направления (нормативный
срок - свыше 500 аудиторных часов), а также имеющие стаж в области
выполняемых работ в рамках лицензируемой деятельности не менее 3 лет (только
для работ и услуг, указанных в пунктах 2,3, 1 - 15,17, 18,20,25 - 28 перечня);
лицензируемой деятельности, имеющие высшее или среднее профессиональное
образование по направлению подготовки "Информационная безопасность" в
соответствии с Общероссийским классификатором специальностей и (или)
прошедшие переподготовку по одной из специальностей этого направления
(нормативный срок - свыше 100 аудиторных часов) (только для работ и услуг,
указанных в пунктах 21-24 перечня);
• инженерно-технические работники (минимум 2 человека), имеющие высшее
профессиональное образование по направлению подготовки "Информационная
безопасность" в соответствии с Общероссийским классификатором
специальностей и (или) прошедшие переподготовку по одной из специальностей
этого направления (нормативный срок - свыше 1000 аудиторных часов), а также
имеющие стаж в области выполняемых работ в рамках лицензируемой
деятельности не менее 5 лет (только для работ и услуг, указанных в пунктах 1 ,4
6, 16 и 19 перечня);
• инженерно-технический работник (минимум 1 человек), имеющий высшее
специальностей и (или) прошедший переподготовку по одной из специальностей
этого направления (нормативный срок - свыше 500 аудиторных часов), а также
имеющий стаж в области выполняемых работ в рамках лицензируемой
деятельности не менее 3 лет (только для работ и услуг, указанных в пунктах 2, 3,
7 - 15,17,18,20,25 -28 перечня);
• инженерно-технический работник, имеющий высшее или среднее
специальностей (только для работ и услуг, указанных в пунктах 2 1-24 перечня);
• е) наличие у соискателя лицензии приборов и оборудования, прошедших поверку
и калибровку в соответствии с Федеральным законом "Об обеспечении единства
измерений", принадлежащих ему на праве собственности или ином законном
основании и необходимых для выполнения работ и оказания услуг, указанных в
пунктах 1 -11,16 -19 перечня;
ж) представление соискателем лицензии (лицензиатом) в лицензирующий орган перечня
шифровальных (криптографических) средств, в том числе иностранного производства, не
имеющих сертификата Федеральной службы безопасности Российской Федерации,
технической документации, определяющей состав, характеристики и условия
эксплуатации этих средств, и (или) образцов шифровальных (криптографических)
средств;
з) использование соискателем лицензии (лицензиатом) предназначенных для
осуществления лицензируемой деятельности программ для электронных
вычислительных машин и баз данных, принадлежащих соискателю лицензии
(лицензиату) на праве собственности или ином законном основании.
Сертификация средств защиты и аттестация объектов

информатизации
Согласно Закону Российской Федерации «О государственной тайне» средства защиты
информации должны иметь сертификат, удостоверяющий их соответствие требованиям
по защите сведений соответствующей степени секретности.
Кроме того, в соответствии с «Положением о государственной системе защиты
информации в Российской Федерации от иностранных технических разведок и от её
утечки по техническим каналам» (постановление Совета Министров - Правительства
Российской Федерации от 15.09.1993 № 912-51) информация, содержащая сведения,
отнесённые к государственной или служебной тайне, должна обрабатываться с
использованием защищённых систем и средств информатизации и связи или с
использованием технических и программных средств защиты, сертифицированных в
установленном порядке. Для оценки готовности систем и средств информатизации и
связи к обработке (передаче) информации, содержащей сведения, отнесённые к
государственной или служебной тайне, проводится аттестование указанных систем и
средств в реальных условиях эксплуатации на предмет соответствия принимаемых
методов, мер и средств защиты требуемому уровню безопасности информации.
Также следует отметить, что согласно требованиям «Положения о лицензировании
деятельности по технической защите конфиденциальной информации» (постановление
Правительства Российской Федерации от 3.02.2012 № 79) допускается использование
автоматизированных систем, обрабатывающих конфиденциальную информацию, а также
средств защиты такой информации, прошедших процедуру оценки соответствия
(аттестованных и(или) сертифицированных по требованиям безопасности информации) в
соответствии с законодательством Российской Федерации. Не невыполнение данных
требований является грубым нарушением лицензионных требований и условий.
В «Положении об обеспечении безопасности персональных данных при их обработке в
информационных системах персональных данных» (постановление Правительства
Российской Федерации от 17.11.2007 № 781) сказано, что средства защиты информации,
применяемые в информационных системах, в установленном порядке проходят
процедуру оценки соответствия.
85
В Указе Президента Российской Федерации от 17.03.2008 № 351 сказано, что:

■ при необходимости подключения информационных систем, информационно
телекоммуникационных сетей и средств вычислительной техники, применяемых
для хранения, обработки или передачи информации, содержащей сведения,
составляющие государственную тайну, либо информации, обладателями которой
являются государственные органы и которая содержит сведения, составляющие
служебную тайну, к информационно-телекоммуникационным сетям
международного информационного обмена такое подключение производится
только с использованием специально предназначенных для этого средств защиты
информации, в том числе шифровальных (криптографических) средств,
прошедших в установленном законодательством Российской Федерации порядке
сертификацию в Федеральной службе безопасности Российской Федерации и
(или) получивших подтверждение соответствия в Федеральной службе по
техническому и экспортному контролю;
■ государственные органы в целях защиты общедоступной информации,
размещаемой в информационно-телекоммуникационных сетях международного
информационного обмена, используют только средства защиты информации,
прошедшие в установленном законодательством Российской Федерации порядке
сертификацию в Федеральной службе безопасности Российской Федерации и
(или) получившие подтверждение соответствия в Федеральной службе по
техническому и экспортному контролю;
■ размещение технических средств, подключаемых к информационно
телекоммуникационным сетям международного информационного обмена, в
помещениях, предназначенных для ведения переговоров, в ходе которых
обсуждаются вопросы, содержащие сведения, составляющие государственную
тайну, осуществляется только при наличии сертификата, разрешающего
эксплуатацию таких технических средств в указанных помещениях.
В постановлении Правительства Российской Федерации от 18.05.2009 № 424 сказано, что:
■ операторы федеральных государственных информационных систем, созданных
или используемых в целях реализации полномочий федеральных органов
исполнительной власти и содержащих сведения, указанные в перечне сведений о
деятельности Правительства Российской Федерации и федеральных органов
исполнительной власти, обязательных для размещения в информационно
телекоммуникационной сети Интернет, утверждённом постановлением
Правительства Российской Федерации от 12 февраля 2003 г. № 98
«Об обеспечении доступа к информации о деятельности Правительства
Российской Федерации и федеральных органов исполнительной власти» (далее —
информационные системы общего пользования), при подключении
информационных систем общего пользования к информационно
телекоммуникационным сетям, доступ к которым не ограничен определённым
кругом лиц, обязаны обеспечить: использование при подключении
информационных систем общего пользования к информационно
телекоммуникационным сетям средств защиты информации, прошедших оценку
соответствия (в том числе в установленных случаях сертификацию), в
порядке, установленном законодательством Российской Федерации.
В постановлении Правительства Российской Федерации от 15.05.2010 № 330 сказано, что
аккредитация органа по сертификации и испытательной лаборатории (центра),
выполняющих работы по подтверждению соответствия продукции (работ, услуг),
указанной в пункте 2 настоящего постановления, осуществляется органом по
аккредитации в установленном законодательством Российской Федерации порядке при
условии наличия у органа по сертификации и испытательной лаборатории (центра):
автоматизированных систем, обрабатывающих информацию ограниченного доступа, а
также средств её защиты, прошедших процедуру оценки соответствия
(аттестованных и (или) сертифицированных по требованиям безопасности
информации) в соответствии с законодательством Российской Федерации.
В остальных случаях сертификация и аттестация носят добровольный характер
(добровольная сертификация и аттестация) и может осуществляться по инициативе
заказчика или владельца объекта информатизации.
В Федеральном законе от 27.12.2002 № 184-ФЗ «О техническом регулировании» даны
■ оценка соответствия - прямое или косвенное определение соблюдения
требований, предъявляемых к объекту;
■ подтверждение соответствия - документальное удостоверение соответствия
продукции или иных объектов, процессов проектирования (включая изыскания),
производства, строительства, монтажа, наладки, эксплуатации, хранения,
перевозки, реализации и утилизации, выполнения работ или оказания услуг
требованиям технических регламентов, положениям стандартов, сводов правил
или условиям договоров;
■ сертификация - форма осуществляемого органом по сертификации
подтверждения соответствия объектов требованиям технических регламентов,
положениям стандартов, сводов правил или условиям договоров;
■ декларирование соответствия - форма подтверждения соответствия
продукции требованиям технических регламентов;
■ технический регламент - документ, который принят международным
договором Российской Федерации, ратифицированным в порядке, установленном
законодательством Российской Федерации, или межправительственным
соглашением, заключённым в порядке, установленном законодательством
Российской Федерации, или федеральным законом, или указом Президента
Российской Федерации, или постановлением Правительства Российской
Федерации, или нормативным правовым актом федерального органа
исполнительной власти по техническому регулированию и устанавливает
обязательные для применения и исполнения требования к объектам технического
регулирования (продукции, в том числе зданиям, строениям и сооружениям или к
связанным с требованиями к продукции процессам проектирования (включая
изыскания), производства, строительства, монтажа, наладки, эксплуатации,
хранения, перевозки, реализации и утилизации);
■ форма подтверждения соответствия —определённый порядок
документального удостоверения соответствия продукции или иных объектов,
процессов проектирования (включая изыскания), производства, строительства,
монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации,
выполнения работ или оказания услуг требованиям технических регламентов,
положениям стандартов или условиям договоров;
■ схема подтверждения соответствия - перечень действий участников
подтверждения соответствия, результаты которых рассматриваются ими в
качестве доказательств соответствия продукции и иных объектов установленным
требованиям.
Подтверждение соответствия осуществляется в целях:
■ удостоверения соответствия продукции, процессов проектирования (включая
изыскания), производства, строительства, монтажа, наладки, эксплуатации,
хранения, перевозки, реализации и утилизации, работ, услуг или иных объектов
техническим регламентам, стандартам, сводам правил, условиям договоров;
87
■ содействия приобретателям в компетентном выборе продукции, работ, услуг;

■ повышения конкурентоспособности продукции, работ, услуг на российском и
международном рынках;
■ создания условий для обеспечения свободного перемещения товаров по
территории Российской Федерации, а также для осуществления международного
экономического, научно-технического сотрудничества и международной
торговли.
Подтверждение соответствия осуществляется на основе принципов:
■ доступности информации о порядке осуществления подтверждения соответствия
заинтересованным лицам;
■ недопустимости применения обязательного подтверждения соответствия к
объектам, в отношении которых не установлены требования технических
регламентов;
■ установления перечня форм и схем обязательного подтверждения соответствия в
отношении определённых видов продукции в соответствующем техническом
регламенте;
■ уменьшения сроков осуществления обязательного подтверждения соответствия и
затрат заявителя;
■ недопустимости принуждения к осуществлению добровольного подтверждения
соответствия, в том числе в определённой системе добровольной сертификации;
■ защиты имущественных интересов заявителей, соблюдения коммерческой тайны
в отношении сведений, полученных при осуществлении подтверждения
соответствия;
■ недопустимости подмены обязательного подтверждения соответствия
добровольной сертификацией.
Подтверждение соответствия разрабатывается и применяется равным образом и в равной
мере независимо от страны и (или) места происхождения продукции, осуществления
процессов проектирования (включая изыскания), производства, строительства, монтажа,
наладки, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ
и оказания услуг, видов или особенностей сделок и (или) лиц, которые являются
изготовителями, исполнителями, продавцами, приобретателями.
Подтверждение соответствия на территории Российской Федерации может носить
добровольный или обязательный характер. Добровольное подтверждение соответствия
осуществляется в форме добровольной сертификации. Обязательное подтверждение
соответствия осуществляется в формах:
■ принятия декларации о соответствии (далее - декларирование соответствия);
■ обязательной сертификации.
Порядок применения форм обязательного подтверждения соответствия устанавливается
Федеральным законом «О техническом регулировании».
В отношении продукции (работ, услуг), используемой в целях защиты сведений,
составляющих государственную тайну или относимых к охраняемой в соответствии с
законодательством Российской Федерации иной информации ограниченного доступа;
продукции (работ, услуг), сведения о которой составляют государственную тайну;
продукции (работ, услуг) и объектов, для которых устанавливаются требования,
связанные с обеспечением ядерной и радиационной безопасности в области
использования атомной энергии; процессов проектирования (включая изыскания),
производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки,
« ' Уче&ньм центр
реализации, утилизации, захоронения соответственно указанной продукции и указанных
объектов обязательными требованиями наряду с требованиями технических регламентов
являются требования, установленные государственными заказчиками, федеральными
органами исполнительной власти, уполномоченными в области обеспечения
безопасности, обороны, внешней разведки, противодействия техническим разведкам и
технической защиты информации, государственного управления использованием
атомной энергии, государственного регулирования безопасности при использовании
атомной энергии, и (или) государственными контрактами (договорами). Особенности
оценки соответствия указанной продукции (работ, услуг) и объектов, а также
соответственно процессов их проектирования (включая изыскания), производства,
строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации,
утилизации, захоронения устанавливаются Правительством Российской Федерации.
Технический регламент должен содержать перечень и (или) описание объектов
технического регулирования, требования к этим объектам и правила их идентификации в
целях применения технического регламента. Технический регламент должен содержать
правила и формы оценки соответствия (в том числе в техническом регламенте могут
содержаться схемы подтверждения соответствия, порядок продления срока действия
выданного сертификата соответствия), определяемые с учетом степени риска, предельные
сроки оценки соответствия в отношении каждого объекта технического регулирования и
(или) требования к терминологии, упаковке, маркировке или этикеткам и правилам их
нанесения. Технический регламент должен содержать требования энергетической
эффективности.
Оценка соответствия проводится в формах:
■ государственного контроля (надзора);
■ аккредитации;
■ испытания;
■ регистрации;
■ подтверждения соответствия;
■ приёмки и ввода в эксплуатацию объекта, строительство которого закончено;
■ и в иной форме.
Не включённые в технические регламенты требования к продукции или к связанным с
ними процессам проектирования (включая изыскания), производства, строительства,
монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации,
правилам и формам оценки соответствия, правила идентификации, требования к
терминологии, упаковке, маркировке или этикеткам и правилам их нанесения не могут
носить обязательный характер.
Обязательное подтверждение соответствия проводится только в случаях, установленных
соответствующим техническим регламентом, и исключительно на соответствие
требованиям технического регламента. Объектом обязательного подтверждения
соответствия может быть только продукция, выпускаемая в обращение на территории
Российской Федерации.
Форма и схемы обязательного подтверждения соответствия могут устанавливаться
только техническим регламентом с учётом степени риска недостижения целей
технических регламентов.
Декларация о соответствии и сертификат соответствия имеют равную юридическую силу
и действуют на всей территории Российской Федерации в отношении каждой единицы
продукции, выпускаемой в обращение на территории Российской Федерации во время
действия декларации о соответствии или сертификата соответствия, в течение срока
У чеб н ы м ц е н т р
89
годности или срока службы продукции, установленных в соответствии с

законодательством Российской Федерации.
Работы по обязательному подтверждению соответствия подлежат оплате на основании
договора с заявителем. Стоимость работ по обязательному подтверждению соответствия
продукции определяется независимо от страны и (или) места её происхождения, а также
лиц, которые являются заявителями.
Декларирование соответствия осуществляется по одной из следующих схем:
■ принятие декларации о соответствии на основании собственных доказательств;
■ принятие декларации о соответствии на основании собственных доказательств,
доказательств, полученных с участием органа по сертификации и (или)
аккредитованной испытательной лаборатории (центра) (далее - третья сторона).
При декларировании соответствия заявителем может быть зарегистрированные в
соответствии с законодательством Российской Федерации на её территории юридическое
лицо или физическое лицо в качестве индивидуального предпринимателя, либо
являющиеся изготовителем или продавцом, либо выполняющие функции иностранного
изготовителя на основании договора с ним в части обеспечения соответствия
поставляемой продукции требованиям технических регламентов и в части
ответственности за несоответствие поставляемой продукции требованиям технических
регламентов (лицо, выполняющее функции иностранного изготовителя). Круг заявителей
устанавливается соответствующим техническим регламентом. Схема декларирования
соответствия с участием третьей стороны устанавливается в техническом регламенте в
случае, если отсутствие третьей стороны приводит к недостижению целей подтверждения
соответствия.
При декларировании соответствия на основании собственных доказательств заявитель
самостоятельно формирует доказательственные материалы в целях подтверждения
соответствия продукции требованиям технических регламентов. В качестве
доказательственных материалов используются техническая документация, результаты
собственных исследований (испытаний) и измерений и (или) другие документы,
послужившие мотивированным основанием для подтверждения соответствия продукции
требованиям технических регламентов. Состав доказательственных материалов
определяется соответствующим техническим регламентом.
При декларировании соответствия на основании собственных доказательств и
полученных с участием третьей стороны доказательств заявитель по своему выбору в
дополнение к собственным доказательствам:
■ включает в доказательственные материалы протоколы исследований (испытаний)
и измерений, проведённых в аккредитованной испытательной лаборатории
(центре);
■ предоставляет сертификат системы качества, в отношении которого
предусматривается контроль (надзор) органа по сертификации, выдавшего
данный сертификат, за объектом сертификации.
Сертификат системы качества может использоваться в составе доказательств при
принятии декларации о соответствии любой продукции, за исключением случая, если для
такой продукции техническими регламентами предусмотрена иная форма подтверждения
соответствия.
Декларация о соответствии оформляется на русском языке и должна содержать:
■ наименование и местонахождение заявителя;
■ наименование и местонахождение изготовителя;
■ информацию об объекте подтверждения соответствия, позволяющую
идентифицировать этот объект;
■ наименование технического регламента, на соответствие требованиям которого
подтверждается продукция;
■ указание на схему декларирования соответствия;
■ заявление заявителя о безопасности продукции при её использовании в
соответствии с целевым назначением и принятии заявителем мер по обеспечению
соответствия продукции требованиям технических регламентов;
■ сведения о проведённых исследованиях (испытаниях) и измерениях, сертификате
системы качества, а также документах, послуживших основанием для
подтверждения соответствия продукции требованиям технических регламентов;
■ срок действия декларации о соответствии;
■ иные предусмотренные соответствующими техническими регламентами
сведения.
Срок действия декларации о соответствии определяется техническим регламентом.
Форма декларации о соответствии утверждается федеральным органом исполнительной
власти по техническому регулированию.
Оформленная заявителем декларация о соответствии подлежит регистрации в едином
реестре деклараций о соответствии в течение трёх дней. Порядок формирования и
ведения единого реестра деклараций о соответствии, порядок регистрации деклараций о
соответствии, предоставления содержащихся в указанном реестре сведений определяются
уполномоченным Правительством Российской Федерации федеральным органом
исполнительной власти.
Обязательная сертификация осуществляется органом по сертификации на основании
договора с заявителем. Схемы сертификации, применяемые для сертификации
определённых видов продукции, устанавливаются соответствующим техническим
регламентом.
Соответствие продукции требованиям технических регламентов подтверждается
сертификатом соответствия, выдаваемым заявителю органом по сертификации.
Сертификат соответствия включает в себя:
■ наименование и местонахождение заявителя;
■ наименование и местонахождение изготовителя продукции, прошедшей
сертификацию;
■ наименование и местонахождение органа по сертификации, выдавшего
сертификат соответствия;
■ информацию об объекте сертификации, позволяющую идентифицировать этот
объект;
■ наименование технического регламента, на соответствие требованиям которого
проводилась сертификация;
■ информацию о проведённых исследованиях (испытаниях) и измерениях;
■ информацию о документах, представленных заявителем в орган по сертификации
в качестве доказательств соответствия продукции требованиям технических
регламентов;
■ срок действия сертификата соответствия.
Учвбмми центр
91
Срок действия сертификата соответствия определяется соответствующим техническим

регламентом. Форма сертификата соответствия утверждается федеральным органом
исполнительной власти по техническому регулированию.
Обязательная сертификация осуществляется органом по сертификации, аккредитованным
в порядке, установленном Правительством Российской Федерации.
В соответствии с действующим законодательством обязательная сертификация
проводится в рамках систем сертификации средств защиты информации, созданных
федеральными органами исполнительной власти, уполномоченными проводить работы
по сертификации средств защиты информации в пределах компетенции, определённой
для них законодательными и иными нормативными правовыми актами Российской
Федерации. В качестве таких нормативных правовых актов следует отметить:
«О сертификации средств защиты информации»;
«Об особенностях оценки соответствия продукции (работ, услуг), используемой в
целях защиты сведений, составляющих государственную тайну или относимых к
охраняемой в соответствии с законодательством Российской Федерации иной
информации ограниченного доступа, и продукции (работ, услуг), сведения о
которой составляют государственную тайну, предназначенной для эксплуатации
в загранучреждениях Российской Федерации, а также процессов её
проектирования (включая изыскания), производства, строительства, монтажа,
наладки, эксплуатации, хранения, перевозки, реализации, утилизации и
захоронения, об особенностях аккредитации органов по сертификации и
испытательных лабораторий (центров), выполняющих работы по подтверждению
соответствия указанной продукции (работ, услуг), и о внесении изменения в
Положение о сертификации средств защиты информации»;
«Об особенностях оценки соответствия продукции (работ, услуг), используемой в
целях защиты сведений, относимых к охраняемой в соответствии с
законодательством Российской Федерации информации ограниченного доступа,
не содержащей сведения, составляющие государственную тайну, а также
процессов её проектирования (включая изыскании), производства, строительства,
монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации и
захоронения, об особенностях аккредитации органов по сертификации и
испытательных лабораторий (центров), выполняющих работы по подтверждению
соответствия указанной продукции (работ, услуг)».
Согласно требованиям Постановления Правительства Российской Федерации
от 26.06.1995 № 608 «О сертификации средств защиты информации» были созданы
системы обязательной сертификации пяти федеральных органов исполнительной власти:
■
ФАПСИ - Система сертификации средств криптографической защиты
информации (утверждена генеральным директором ФАПСИ 28 октября
1993 г., зарегистрирована Госстандартом России в Государственном реестре
15 ноября 1993 г. /Свидетельство № РОСС RU.0001.030001/)-
в соответствии с Указом Президента Российской Федерации от 11.03.2003
№ 308 в связи с расформированием ФАПСИ соответствующие функции
переданы Федеральной службе безопасности Российской Федерации;
ФСТЭК России - Положение о сертификации средств защиты информации
по требованиям безопасности информации (введено в действие приказом
Председателя Гостехкомиссии России от 27.10.1995 № 199,
зарегистрировано Госстандартом России в Государственном реестре
20 марта 1995 г. /Свидетельство № РОСС RU.OOO 1.01 БИ00/);
У че&ньм центр
92
ФСБ России - Положение о система сертификации средств защиты

информации по требованиям безопасности для сведений, составляющих
государственную тайну (утверждено приказом ФСБ России от 13 ноября
1999 г. № 564, зарегистрировано в Минюсте России 27 декабря 1999 г. № 2028);
Минобороны России - Система сертификации средств защиты информации
по требованиям безопасности информации (введено в действие приказом
Министра обороны Российской федерации 1996 г. № 058, зарегистрировано
Госстандартом России в Государственном реестре в 1996 г. /Свидетельство
№ РОСС RU.OOOl.OiriUOO/);
■ СВР России - Положение о системе сертификации средств защиты
информации по требованиям безопасности информации (утверждено
директором СВР России 05.08.1998, зарегистрировано Госстандартом
России в Государственном реестре 15 марта 1999 г. /Свидетельство
№ РОСС RU.0001.04C300/).
Конкретные средства и меры защиты информации должны разрабатываться и
применяться в зависимости от уровня конфиденциальности и ценности информации, а
также от уровня возможного ущерба в случае её утечки, уничтожения, модификации или
блокирования.
Необходимой составляющей государственной системы обеспечения информационной
безопасности являются национальные (государственные стандарты) и другие
руководящие, нормативно-технические и методические документы по безопасности
информации, утверждённые федеральными органами исполнительной власти в
соответствии с их компетенцией, и определяющие нормы защищённости информации и
требования в различных направлениях защиты информации.
К основным стандартам и руководящим документам по вопросам обеспечения
безопасности информации, в соответствии с требованиями которых осуществляется
сертификация продукции и аттестация объектов информатизации по требованиям
безопасности информации, сертификация средств криптографической защиты
информации, относятся:
■ в области защиты информации от несанкционированного доступа:
• ГОСТ Р 50922-96. Защита информации. Основные термины и
определения;
• ГОСТ Р 50739-95. Средства вычислительной техники. Защита от
несанкционированного доступа к информации. Общие технические
требования;
• ГОСТ Р 51275-99. Защита информации. Объект информатизации.
Факторы, воздействующие на информацию. Общие положения;
• Руководящие документы Гостехкомиссии России (ФСТЭК России):
■ Защита от несанкционированного доступа к информации. Термины и
определения;
■ Концепция защиты средств вычислительной техники и автоматизированных
систем от несанкционированного доступа к информации;
■ Автоматизированные системы. Защита от несанкционированного доступа к
информации. Классификация автоматизированных систем и требования по
защите информации;
■ Средства вычислительной техники. Защита от несанкционированного
доступа к информации. Показатели защищённости от несанкционированного
доступа к информации;
У ч еб н ы й ц е н т р
93
Временное положение по организации разработки, изготовления и

эксплуатации программных и технических средств защиты информации от
несанкционированного доступа в автоматизированных системах и средствах
вычислительной техники;
Средства вычислительной техники. Межсетевые экраны. Защита от
несанкционированного доступа к информации. Показатели защищённости от
несанкционированного доступа к информации;
Защита информации. Специальные защитные знаки. Классификация и общие
требования;
Средства защиты информации. Защита информации в контрольно-кассовых
машинах и автоматизированных кассовых системах. Классификация
контрольно-кассовых машин автоматизированных кассовых систем и
требования по защите информации;
Защита от несанкционированного доступа к информации. Часть 1.
Программное обеспечение средств защиты информации. Классификация по
уровню контроля отсутствия недекларированных возможностей;
Безопасность информационных технологий. Критерии оценки безопасности
информационных технологий» (Часть 1, Часть 2, Часть 3);
• и другие;
в области защиты информации от утечки по техническим каналам:
• ГОСТ Р В50170-2005. Противодействие иностранной технической
разведке. Термины и определения;
• ГОСТ Р 50752-95. Информационная технология. Защита информации от
утечки за счёт побочных электромагнитных излучений при её обработке
средствами вычислительной техники. Методы испытаний;
• ГОСТ 29339-92. Информационная технология. Защита информации от
утечки за счёт побочных электромагнитных излучений при её обработке
средствами вычислительной техники. Общие технические требования»;
• ГОСТ 30373-95/ГОСТ 50414-92. Совместимость технических средств
электромагнитная. Оборудование для испытаний. Камеры
экранированные. Классы, основные параметры, технические требования
и методы испытаний;
• нормативно-методические документы ФСТЭК России:
Специальные требования и рекомендации по технической защите
конфиденциальной информации (СТР-К);
Методические рекомендации по технической защите информации,
составляющей коммерческую тайну;
Временная методика оценки защищённости помещений от утечки речевой
конфиденциальной информации по акустическому и виброакустическому
каналам;
Временная методика оценки защищённости ОТСС, предназначенных для
обработки, хранения и (или) передачи по линиям связи конфиденциальной
Временная методика оценки защищённости конфиденциальной информации,
обрабатываемой ОТСС, от утечки за счёт наводок на вспомогательные
технические средства и системы и их коммуникации;
■ Временная методика оценки защищённости помещений от утечки речевой
конфиденциальной информации по каналам электроакустических
преобразований
• и другие;
■ в области криптографического преобразования информации при ее хранении
и передаче по каналам связи:
• ГОСТ 28147-89. Системы обработки информации. Защита
криптографическая. Алгоритм криптографического преобразования;
• ГОСТ Р 34.10-2001. Информационная технология. Криптографическая
защита информации. Процессы формирования и проверки электронной
цифровой подписи;
• ГОСТ Р 34.11-94. Функция хеширования;
• документы ФСБ России:
■ Положение о разработке, изготовлении и обеспечении эксплуатации
шифровальной техники, систем связи и комплексов вооружения,
использующих шифровальную технику (ПШ-93);
■ Положение о разработке, производстве, реализации и эксплуатации
шифровальных (криптографических) средств защиты информации
(Положение ПКЗ-2005);
■ Инструкция об организации и обеспечении безопасности хранения,
обработки и передачи по каналам связи с использованием средств
криптографической защиты информации с ограниченным доступом, не
содержащей сведений, составляющих государственную тайну;
• и другие.
Остановимся более детально на вопросах сертификации средств защиты. Следует
отметить, что после передачи лицензирующих подразделений ФАПСИ в ведение
ФСБ России основные принципы системы лицензирования и сертификации не
изменились. Все ранее выданные ФАПСИ лицензии и сертификаты оставались
действительными на обозначенный в них срок.
Сертификация
Под сертификацией средств защиты информации по требованиям безопасности
информации понимается деятельность по подтверждению их соответствия требованиям
государственных стандартов или иных нормативных документов по защите информации,
утверждённых уполномоченными федеральными органами исполнительной власти в
пределах ргх компетенции.
Сертификат соответствия —документ, выданный по правилам системы сертификации
для подтверждения соответствия сертифицированной продукции установленным
требованиям.
Знак соответствия - зарегистрированный в установленном порядке знак, которым по
правилам, установленным в данной системе сертификации, подтверждается соответствие
маркированной им продукции установленным требованиям.
Средства защиты информации (СЗИ) - технические, криптографические, программные
и другие средства, предназначенные для защиты сведений конфиденциального характера,
а также средства контроля эффективности защиты информации.
Руководящий документ ФСТЭК России «Средства вычислительной техники. Зашита от
несанкционированного доступа к информации. Показатели защищённости средств
95
вычислительной техники» устанавливает классификацию средств вычислительной

техники по уровню защищённости от несанкционированного доступа к информации на
базе перечня показателей защищённости и совокупности описывающих их требований.
В соответствии с этим руководящим документом возможные показатели защищённости
исчерпываются 7-ю классами. По классу защищённости можно судить о номенклатуре
используемых механизмов защиты - наиболее защищённым является 1 класс. Выбор
класса защищённости зависит от секретности обрабатываемой информации, условий
эксплуатации и расположения объектов системы (см. Рис. 1.5.2). В частности, для защиты
конфиденциальной информации (персональных данных, служебной тайны и др.) можно
применять средства защиты 5 и 6 класса.
Рис. 1.5.2. Показатели защищённости СВТ
Другим важным руководящим документом ФСТЭК России является «Защита от

несанкционированного доступа к информации. Часть 1. Программное обеспечение
средств защиты информации. Классификация по уровню контроля отсутствия
недекларированных возможностей», который устанавливает классификацию
программного обеспечения (отечественного и импортного производства) средств защиты
информации по уровню контроля отсутствия в нем недекларированных возможностей
(см. Рис. 1.5.3).
Недекларироеанные возможности (НДВ) —функциональные возможности
программного обеспечения (ПО), не описанные или не соответствующие описанным в
документации, при использовании которых возможно нарушение конфиденциальности,
доступности и целостности обрабатываемой информации.
Рис. 5.3. Классификация по уровню контроля отсутствия недекларированных

возможностей
^
*— Уче&ньм ц ентр
^Г1
Также следует отметить руководящий документ ФСТЭК Росс™ «Средства
вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа
к информации. Показатели защищённости от несанкционированного доступа к
информации», который устанавливает классификацию межсетевых экранов (МЭ) по
уровню защищённости от несанкционированного доступа к информации на базе перечня
показателей защищённости и совокупности описывающих их требований (см. Рис. 1.5.4).
Межсетевой экран —локальное (однокомпонентное) или функционально-
распределённое средство (комплекс), реализующее контроль за информацией,
поступающей в АС и/или выходящей из АС, и обеспечивает защиту АС посредством
фильтрации информации, т.е. её анализа по совокупности критериев и принятия решения
о её распространении в (из) АС.
Рис. 1.5.4. Классификация МЭ по уровню защищённости от НСД
За последние годы достигнут существенный прогресс в развитии методов решения задачи

дискретного логарифмирования, что послужило причиной разработки в 2000 - 2001 годах
нового государственного стандарта ЭЦП. Новый стандарт основан на математическом
аппарате эллиптических кривых, а его стойкость основывается на сложности вычисления
дискретного логарифма в группе точек эллиптической кривой. Внедрение схемы ЭЦП на
базе данного стандарта повышает, по сравнению с действующей схемой, уровень
защищённости передаваемых сообщений от подделок и искажений. Кроме того, новый
стандарт терминологически и концептуально увязан с международными стандартами
ИСО 2382-2, ИСО/МЭК 9796 и др.
Стандарт ГОСТ Р 34.10-2001 «Информационная технология. Криптографическая защита
информации. Процессы формирования и проверки электронной цифровой подписи»
утверждён приказом Госстандарта от 12.09.2001 № 380, введён в действие с 01.07.2002.
Старый стандарт ЭЦП сразу не отменялся. Он действовал ещё несколько лет, но согласно
письму ФАПСИ лицензиатам - разработчикам СКЗИ использование открытого ключа
ЭЦП длиной 512 бит допускалось только до 31 декабря 2001 г. С 1 января 2002 г. д лина
открытого ключа ЭЦП должна быть 1024 бита.
Отметим в заключение, что применение сертифицированных средств защиты
информации является обязательным условием при рассмотрении в судебном порядке
спорных вопросов, связанных с удостоверением подлинности электронных документов и
идентификацией личности пользователей системы.
Аттестация
При проведении работ со сведениями соответствующей степени конфиденциальности
(секретности) системы информатизации должны (могут) быть аттестованы на
соответствие требованиям по безопасности информации.
У ч е б н ы * и ви тр
97
Государственная система аттестации объектов информатизации устанавливает основные

принципы, организационную структуру, порядок проведения аттестации, а также порядок
контроля и надзора за эксплуатацией аттестованных объектов информатизации.
Под объектами информатизации, аттестуемыми по требованиям безопасности
информации, понимаются автоматизированные системы различного уровня и назначения,
системы связи, отображения и размножения вместе с помещениями, в которых они
установлены, предназначенные для обработки и передачи информации, подлежащей
защите, а также сами помещения, предназначенные для ведения конфиденциальных
переговоров.
Система аттестации объектов информатизации по требованиям безопасности
информации является составной частью единой государственной системы сертификации
средств защиты информации и аттестации объектов информатизации по требованиям
безопасности информации. Деятельность системы аттестации организуют
уполномоченные федеральные органы по сертификации продукции и аттестации
объектов информатизации по требованиям безопасности информации.
Под аттестацией объектов информатизации понимается комплекс организационно
технических мероприятий, в результате которых посредством специального документа —
«Аттестата соответствия» подтверждается, что объект соответствует требованиям
стандартов или иных нормативно-технических документов по безопасности информации,
утверждённых уполномоченными федеральными органами исполнительной власти.
Наличие на объекте информатизации действующего «Аттестата соответствия» даёт право
обработки информации с определённым уровнем конфиденциальности и в указанный в
«Аттестате соответствия» период времени.
При аттестации объекта информатизации подтверждается его соответствие требованиям
по защите информации от несанкционированного доступа, в том числе от компьютерных
вирусов, от утечки за счёт побочных электромагнитных излучений и наводок при
специальных воздействиях на объект (высокочастотное навязывание и облучение,
электромагнитное и радиационное воздействие), от утечки или воздействия на неё за счёт
специальных устройств, встроенных в объекты информатизации.
Аттестация проводится уполномоченными органами по аттестации объектов
информатизации, аккредитованными федеральными органами исполнительной власти.
Правила аккредитации определяются действующими в соответствующих системах
сертификации положениями. В системе сертификации ФСТЭК России разработано и
утверждено 25 ноября 1994 г. «Положением об аккредитации органов по аттестации
объектов информатизации по требованиям безопасности информации». Каждый такой
орган имеет лицензию на право выполнения работ в области защиты информации и
Аттестат аккредитации. Виды работ, которые он может выполнять, указываются в
области аккредитации, являющейся приложением к Аттестату аккредитации. В своей
деятельности органы по аттестации руководствуются нормативно-методическими
документами ФСТЭК России.
Аттестат соответствия утверждается руководителем органа по аттестации объектов
информатизации, который и несёт юридическую и финансовую ответственность за
качество проведённых работ. Кроме того, органы по аттестации несут ответственность за
обеспечение сохранности государственных и коммерческих секретов, а также за
соблюдение авторских прав разработчиков аттестуемых объектов информатизации и их
компонент.
Аттестация информационных систем может производиться в соответствии с
Руководящим документом ФСТЭК России «Автоматизированные системы. Защита от
несанкционированного доступа к информации. Классификация автоматизированных
систем и требования по защите информации», который вводит в рассмотрение 9 классов
защищённости АС, объединённых в три группы (см. Рис. 1.5.5).
У чебнм ! центр
"^Г1
0i $
J. с
"\
1Д 1Г IB 1Б ] A ” 1 группа
9 классов
^ защищенности
2Б | 2A 1 2 гРУппа от НСД
ЗБ v ЗА 3 'py” na
J Рис.
1.5.5. Классы защищённости АС
Основные признаки группировки в различные классы связаны с:

■ наличием в АС информации различного уровня конфиденциальности;
■ уровнем полномочий субъектов доступа АС на доступ к конфиденциальной
информации (одинаковый или разный);
■ режимом обработки данных в АС (коллективный или индивидуальный).
Для каждого класса сформулирован определённый набор требований для подсистем:

■ управления доступом;
■ регистрации и учета;
■ криптографической;
■ обеспечения целостности.
Группа 1 классифицирует многопользовательские АС, в которых одновременно
обрабатывается и (или) хранится информация разных уровней конфиденциальности и не
все пользователи имеют право доступа ко всей информации АС. Группа содержит пять
классов: 1Д, 1Г, 1В, 1Б и 1А.
Группа 2 классифицирует АС, в которых пользователи имеют одинаковые права доступа
(полномочия) ко всей информации АС, обрабатываемой и (или) хранимой на носителях
различного уровня конфиденциальности. Группа содержит два класса: 2Б и 2А.
Группа 3 классифицирует АС, в которых работает один пользователь, допущенный ко
всей информации АС, размещённой на носителях одного уровня конфиденциальности.
Группа содержит два класса: ЗБ и ЗА.
Соответствие классов защищённости различным уровням конфиденциальности
приведено на Рис. 1.5.6.
У чебным ц ентр
99
Служебная тайна, КСЗ должен обладать

персональные данные, механизмом, гарантирующим
банковская тайна, иная перехват диспетчером доступа
конфиденциальная всех обращений субъектов к
информация объектам
J 1 1 1
1Д 1Г 1В 1Б 1А АС
3 СВТ
ВДВ
4 1 МЭ
rue. i .j . u. гишссы защищенности л и и категории информации ограниченного

доступа
Новое поколение нормативно-технических документов

(ГОСТ Р ИСО/МЭК 15408-2008)
До 2002 г. единственными нормативными документами по критериям оценки
защищённости средств вычислительной техники и автоматизированных систем являлись
рассмотренные выше руководящие документы ФСТЭК России.
Качественно новым этапом в развитии нормативной базы оценки безопасности ИТ
послужило начало разработки и апробация (во исполнение решений Совета безопасности
Российской Федерации от 26.03.2002 № 1.2 и Коллегии Гостехкомиссии России
от 30.05.2002 № 9.2) нового поколения нормативных документов в системе сертификации
ФСТЭК России на основе методологии ГОСТ Р ИСО/МЭК 15408-2002
«Информационная технология. Методы и средства обеспечения безопасности. Критерии
оценки безопасности информационных технологий», который содержал полный
аутентичный текст Международного стандарта ISO/IEC 15408:1999 «Information
Technology. Security techniques. Evaluation criteria for П security», так называемые «Общие
критерии».
Ещё начиная с 70-х годов службами безопасности США делались исследования в области
формальных методов оценки безопасности, связанной с использованием ИТ. Позднее, в
90-х, эта деятельность привела к разработке набора критериев TCSEC (Trusted Computer
System Evaluation Criteria), более известного как «Оранжевая книга», а также
«Федеральных критериев безопасности информационных технологий». Аналогичные
критерии были разработаны и в других странах: «Гармонизированные критерии
европейских стран» (Information Technology Security Evaluation Criteria), «Канадские
критерии оценки безопасности компьютерных продуктов» и т. д.
Понимая, что национальные критерии будут препятствовать широкому распространению
продуктов в области ИТ-безопасности, в 1990 году под эгидой ISO были начаты работы
Ф
100
по унификации национальных стандартов. В 1993 году организации США, Канады,
Великобритании, Франции, Германии и Нидерландов [Национальный институт
стандартов и технологии, Агентство национальной безопасности (США), Учреждение
безопасности коммуникаций (Канада), Агентство информационной безопасности
(Германия), Агентство национальной безопасности коммуникаций (Нидерланды), Органы
исполнения Программы безопасности и сертификации ИТ (Великобритания), Центр
обеспечения безопасности систем (Франция)], объединили свои усилия в рамках проекта,
получившего название «Общие критерии оценки безопасности информационных
технологий» (Common Criteria for Information Technology Security Evaluation).
Разработка версии 1.0 «Общих критериев...» была завершена в январе 1996 года и
одобрена международной организацией по стандартизации (ISO) уже в апреле 1996 года.
Появление международного стандарта явилось новым этапом в развитии нормативной
базы оценки информационной безопасности. Новые критерии обеспечили взаимное
признание результатов стандартизованной оценки безопасности на мировом рынке ИТ.
«Общие критерии...» обобщили содержание и опыт использования «Оранжевой книги»,
развили оценочные уровни доверия «Европейских критериев...», воплотили в реальные
структуры концепцию типовых профилей защиты «Федеральных критериев...». В
«Общих критериях...» проведена классификация широкого набора функциональных
требований и требований доверия к безопасности, определены способы их группирования
и принципы использования.
В мае 1998 года была опубликована версия 2.0 «Общих критериев...» и на её основе в
июне 1999 года был принят международный стандарт ISO/IEC 15408:1999 (Information
technology — Security techniques — Evaluation criteria for IT security).
Практически одновременно с «Общими критериями...» разрабатывались версии «Общей
методологии оценки безопасности информационных технологий». В августе 1999 года
опубликована версия 1.0 «Общей методологии оценки..» (часть 2) для оценочных уровней
доверия (ОУД) \А . В январе 2004 году опубликованы версии 2.2, а в августе 2005 г.
версии 2.3 «Общих критериев.. .» и «Общей методологии оценки..». Именно они легли в
основу стандартов ISO/IEC 15408:2005 и ISO/IEC 180:2005 (Information technology —
Security techniques — Methodology for П security evaluation) соответственно.
В июле 2005 года опубликованы новые версии 3.0 «Общих критериев...» и «Общей
методологии оценки..», в которых предыдущие версии подверглись существенной
ревизии. Однако, как показало обсуждение этих версий в международном сообществе,
далеко не все предложенные авторами изменения были целесообразны и корректны. В
результате, в сентябре 2006 года появились версии 3.1 «Общих критериев...» и «Общей
методологии оценки..», которые и были признаны официальными версиями. Именно эти
версии, с определёнными доработками, легли в основу уже третьей и на данный момент
последней, версии стандарта ISO/IEC 15408, части которого вышли в 2008 и 2009 годах.
Надо сказать, что Россия достаточно сильно отставала от этого движения. Только в 2002
году постановлением Госстандарта России году был принят
ГОСТ Р ИСО/МЭК 15408-2002, содержащий полный аутентичный текст международного
стандарта ISO/IEC 15408:1999 (введён в действие с 1 января 2004 года). Вскоре была
принята вторая редакция стандарта - ГОСТ Р ИСО/МЭК 15408-2008, содержащая
полный текст международного стандарта ISO/IEC 15408:2005. Однако, как уже было
сказано, с 2005 по 2008 годы международный стандарт подвергся серьёзным
переработкам, которые не нашли своего отражения в действующей в России версии
документа.
Главная тенденция, которая прослеживается на протяжении целого ряда стандартов в
области информационной безопасности — отказ от жёсткой универсальной шкалы
классов безопасности и обеспечение гибкости в подходе к оценке безопасности
различных типов ИТ-продуктов. Именно это стремление объясняет столь сложную на
первый взгляд логическую структуру стандарта ISO/IEC 15408.
УчвСмьм центр
101
Если говорить кратко, то принципиальные черты стандарта следующие:

1. Чёткое разделение требований безопасности на функциональные требования и
требования доверия к безопасности. Функциональные требования относятся к функциям
безопасности (идентификация, аутентификация, управление доступом, аудит и т. д.), а
требования доверия — к технологии разработки, тестированию, анализу уязвимостей,
поставке, сопровождению, эксплуатационной документации, то есть ко всем этапам
жизненного цикла изделий информационных технологий.
2. Систематизация и классификация требований к безопасности в рамках иерархии
«класс» — «семейство» — «компонент» — «элемент».
3. Ранжирование компонентов требований в семействах и классах по степени полноты и
жёсткости, а также их группирование в пакеты функциональных требований и Уровни
Оценки Доверия.
4. Гибкость и динамизм в подходе к заданию требований безопасности для различных
типов изделий информационных технологий и условий их применения, обеспечиваемые
путём целенаправленного формирования необходимых наборов требований в виде
определённых структур (Профилей Защиты и Целевых Уровней Безопасности).
Понимание методологии является залогом эффективного использования того огромного
фактического материала по требованиям безопасности ИТ, порядку их задания и оценке,
который содержится в данном стандарте.
Общие критерии разработаны таким образом, чтобы удовлетворить потребности трёх
групп специалистов: разработчиков, оценшиков и пользователей объекта оценки. Под
объектом оценки (ОО) понимается аппаратно-программный продукт или
информационная система. К таким объектам относятся, например, операционные
системы, вычислительные сети, распределённые системы, прикладные программы.
К рассматриваемым в ОК аспектам безопасности относятся: защита от
несанкционированного доступа, модификации или потери доступа к информации при
воздействии угроз, являющихся результатом случайных или преднамеренных действий.
Защищённость от этих трёх типов угроз обычно называют конфиденциальностью,
целостностью и доступностью.
Однако, некоторые аспекты безопасности ИТ находятся вне рамок Общих критериев:
■ стандарт не содержит критериев оценки безопасности, касающихся
административных мер, непосредственно не относящихся к мерам
безопасности ИТ. Административные меры безопасности в среде
эксплуатации ОО рассматриваются в качестве предположений о безопасном
использовании;
■ оценка физических аспектов безопасности ИТ, таких, как контроль
электромагнитного изучения, специально не рассматривается, хотя многие
концепции ОК применимы и в этой области;
■ в ОК не рассматривается ни методология оценки, ни нормативная и правовая
база, на основе которой критерии могут применяться органами оценки;
■ процедуры использования результатов оценки при аттестации продуктов и
систем ИТ находятся вне области действия ОК. Аттестация продукта или
системы ИТ является административным актом, посредством которого
компетентный орган допускает их использование в конкретных условиях
эксплуатации;
■ критерии для оценки специфических качеств криптографических алгоритмов
в ОК не входят.
Общие критерии предполагается использовать как при задании требований к продуктам и
системам ИТ, так и при оценке их безопасности на всех этапах жизненного цикла.
Стандарт ГОСТ Р ИСО/МЭК 15408-2008 не меняет сложившейся в России методологии
защиты, однако по уровню систематизации, полноте и степени детализации требований,
универсальности и гибкости значительно превосходит действующие в настоящее время
руководящие документы.
В качестве основы для разработки нормативных документов по оценке безопасности
информационных технологий был принят руководящий документ (РД) «Безопасность
информационных технологий. Критерии оценки безопасности информационных
технологий» (введён в действие с 1 августа 2002 г. приказом председателя
Гостехкомиссии России от 19.06.2002 № 187), который и применяется при проведении
сертификации средств защиты информации. Самым главным недостатком РД является
то, что он был на разработан на основе старой редакции ОК и не учитывает всех тех
изменений, которые были внесены в ISO/TEC 15408.
Основной целью РД является повышение доверия к безопасности продуктов и систем
информационных технологий. Положения руководящего документа направлены на
создание продуктов и систем информационных технологий с уровнем безопасности,
адекватным имеющимся по отношению к ним угрозам и проводимой политике
безопасности с учётом условий применения, что должно обеспечить оптимизацию
продуктов и систем ИГ по критерию «эффективность - стоимость».
Под безопасностью информационной технологии понимается состояние ИТ,
определяющее защищённость информации и ресурсов ИТ от действия объективных и
субъективных, внешних и внутренних, случайных и преднамеренных угроз, а также
способность ИТ выполнять предписанные функции без нанесения неприемлемого ущерба
субъектам информационных отношений.
Доверие к безопасности ИТ обеспечивается, как реализацией в них необходимых
функциональных возможностей, так и осуществлением комплекса мер по обеспечению
безопасности при разработке продуктов и систем ИТ, проведением независимых оценок
их безопасности и контролем её уровня при эксплуатации.
Требования к безопасности конкретных продуктов и систем ИТ устанавливаются исходя
из имеющихся и прогнозируемых угроз безопасности, проводимой политики
безопасности, а также с учётом условий их применения. При формировании требований
должны в максимальной степени использоваться компоненты требований,
представленные в настоящем руководящем документе. Допускается также использование
и других требований безопасности, при этом уровень детализации и способ выражения
требований, представленных в настоящем руководящем документе, должны
использоваться в качестве образца. Требования безопасности могут задаваться
Заказчиком в техническом задании на разработку продуктов и систем ИТ или
формироваться Разработчиком при создании им продуктов ИТ самостоятельно.
Требования безопасности, являющиеся общими для некоторого типа продуктов или
систем ИТ, могут оформляться в виде представленной в настоящем руководящем
документе структуры, именуемой «Профиль защиты». Профили защиты, прошедшие
оценку в установленном порядке, регистрируются и помещаются в каталог оценённых
профилей защиты.
Оценка и сертификация безопасности ИТ проводится на соответствие требованиям,
представляемым Разработчиком продукта или системы ИТ в Задании по безопасности.
Требования заданий по безопасности продуктов и систем ИТ, предназначенных для
использования в областях применения, регулируемых государством, должны
соответствовать требованиям установленных профилей защиты.
Руководящий документ состоит из трёх частей.
103
Часть 1 РД определяет виды требований безопасности (функциональные и требования

доверия), основные конструкции представления требований безопасности (профиль
защиты, задание по безопасности) и содержит основные методические положения по
оценке безопасности ИТ.
Часть 2 РД содержит универсальный систематизированный каталог функциональных
требований безопасности и предусматривает возможность их детализации и расширения
по определённым правилам.
Часть 3 РД содержит систематизированный каталог требований доверия к безопасности и
оценочные уровни доверия, определяющие меры, которые должны быть приняты на всех
этапах жизненного цикла продуктов или систем ИТ для обеспечения уверенности в том,
что они удовлетворяют предъявленным к ним функциональным требованиям.
Требования безопасности, содержащиеся в настоящем руководящем документе, могут
уточняться и дополняться по мере совершенствования правовой и нормативной базы,
развития информационных технологий и совершенствования методов обеспечения
В соответствии с концепцией ОК, требования к безопасности объекта оценки
разделяются на две категории:
■ функциональные требования;
■ требования гарантированности.
В функциональных требованиях описаны те функции объекта оценки, которые
обеспечивают безопасность ИТ. Имеются в виду требования идентификации,
установления подлинности (аутентификации) пользователей, протоколирования и др.
Требования гарантированности отражают качества объекта оценки, дающие основание
для уверенности в том, что необходимые меры безопасности объекта эффективны и
корректно реализованы. Оценка гарантированности получается на основе изучения
назначения, структуры и функционирования объекта оценки. Требования
гарантированности включают требования к организации процесса разработки, а также
требования поиска, анализа и воздействия на потенциально уязвимые с точки зрения
безопасности места.
В РД функциональные требования и требования гарантированности представлены в
едином стиле.
Термин «класс» используется для наиболее общей группировки требований
Члены класса названы семействами. В семейства группируются наборы требований,
которые обеспечивают выполнение определённой части целей безопасности и могут
отличаться по степени жёсткости.
Члены семейства называются компонентами. Компонент описывает минимальный набор
требований безопасности для включения в структуры, определённые в РД.
Компоненты построены из элементов. Элемент —самый нижний, неделимый уровень
требований безопасности.
Организация требований безопасности в РД по иерархии класс - семейство - компонент -
элемент помогает определить нужные компоненты после идентификации угроз
безопасности объекта оценки.
Между компонентами могут существовать зависимости. Они возникают, когда
компонент недостаточен для выполнения цели безопасности и необходимо наличие
другого компонента. Зависимости могут существовать как между функциональными
компонентами, так и компонентами гарантированности.
У ч еб ной ц ентр
104
Назначение позволяет заполнить спецификацию идентифицированного параметра при

использовании компонента. Параметр может быть признаком или правилом, которое
конкретизирует требование к определённой величине или диапазону величин. Например,
элемент функционального компонента может требовать, чтобы данное действие
выполнялось неоднократно. В этом случае назначение обеспечивает число или диапазон
чисел, которые должны использоваться в параметре.
Выбор - это выбор одного или большего количества пунктов из списка с целью
конкретизации возможностей элемента.
Обработка позволяет включить дополнительные детали в элемент и предполагает
интерпретацию требования, правила, константы или условия, основанную на цепях
безопасности. Обработка должна только ограничить набор возможных приемлемых
функций или механизмов, чтобы осуществить требования, но не увеличивать их.
Обработка не позволяет создавать новые требования или удалять существующие и не
влияет на список зависимостей, связанных с компонентом.
РД определяют также набор структур, которые объединяют компоненты требований
Промежуточная комбинация компонентов названа пакетом. Пакет включает набор
требований, которые обеспечивают выполнение многократно используемого поднабора
целей безопасности.
Уровни гарантированности оценки - это предопределённые пакеты требований
гарантированности.
Одной из основных структур РД является «Профиль защиты» (ПЗ), определённый как
набор требований, который состоит только из компонентов или пакетов функциональных
требований и одного из уровней гарантированности. ПЗ специфицирует совокупность
требований, которые являются необходимыми и достаточными для достижения
поставленных целей безопасности.
Требования Профиля защиты могут быть конкретизированы и дополнены в другой
структуре РД - «Задании по безопасности» (ЗБ). ЗБ содержит набор требований, которые
могут быть представлены одним из ПЗ или сформулированы в явном виде. ЗБ определяет
набор требований для конкретного объекта оценки. Оно включает также спецификацию
объекта оценки в виде функций безопасности (ФБ), которые должны обеспечить
выполнение требований безопасности и мер гарантированности оценки.
Результатом оценки безопасности должен бьггь общий вывод, в котором описана степень
соответствия объекта оценки функциональным требованиям и требованиям
гарантированности.
Специальные требования и рекомендации по технической
защите конфиденциальной информации
«Специальные требования и рекомендации по технической защите конфиденциальной
информации (СТР-К)», утверждены приказом Гостехкомиссии России от 30.08.2002
№ 282.
СТР-К является нормативно-методическим документом и устанавливает порядок
организации работ, требования и рекомендации по обеспечению технической защиты
информации с ограниченным доступом, не содержащей сведений, составляющих
государственную тайну на территории Российской Федерации.
Требования и рекомендации этого документа распространяются на защиту
государственных информационных ресурсов некриптографическими методами
(служебная тайна), направленными на предотвращение утечки защищаемой информации
105
по техническим каналам, от несанкционированного доступа к ней и специальных

воздействий на информацию в целях её уничтожения, искажения и блокирования.
При проведении работ по защите негосударственных информационных ресурсов,
составляющих коммерческую тайну, банковскую тайну и т.д., требования
настоящего документа носят рекомендательный характер.
Документ определяет следующие вопросы защиты конфиденциальной информации:
■ организацию работ по защите информации, в том числе при разработке и
модернизации объектов информатизации и их систем защиты информации;
■ состав и основное содержание организационно-распорядительной,
проектной, эксплуатационной и иной документации по защите информации;
■ требования и рекомендации по защите речевой информации при ведении
переговоров, в том числе с использованием технических средств;
■ требования и рекомендации по защите информации при ее
автоматизированной обработке и передаче с использованием технических
средств;
■ порядок обеспечения защиты информации при эксплуатации объектов
информатизации;
■ особенности защиты информации при разработке и эксплуатации АС,
использующих различные типы СВТ и информационные технологии;
■ порядок обеспечения защиты информации при взаимодействии абонентов с
Сетями.
Защита информации, обрабатываемой с использованием технических средств, является
составной частью работ по созданию и эксплуатации объектов информатизации
различного назначения и должна осуществляться в виде системы (подсистемы) защиты
информации во взаимосвязи с другими мерами по защите информации. Защите подлежит
речевая информация и информация, обрабатываемая техническими средствами, а также
представленная в виде информативных электрических сигналов, физических полей,
носителей на бумажной, магнитной, магнито-оптической и иной основе.
Объектами защиты при этом являются:
■ средства и системы информатизации (СВТ, АС различного уровня и
назначения на базе СВТ, в том числе информационно-вычислительные
комплексы, сети и системы, средства и системы связи и передачи данных,
технические средства приема, передачи и обработки информации
(телефонии, звукозаписи, звукоусиления, звуковоспроизведения,
переговорные и телевизионные устройства, средства изготовления,
тиражирования документов и другие технические средства обработки
речевой, графической, видео- и буквенно-цифровой информации),
программные средства (операционные системы, системы управления базами
данных, другое общесистемное и прикладное программное обеспечение),
средства защиты информации, используемые для обработки
конфиденциальной информации;
■ технические средства и системы, не обрабатывающие непосредственно
конфиденциальную информацию, но размещенные в помещениях, где она
обрабатывается (циркулирует);
■ защищаемые помещения.
Защита информации на объекте информатизации достигается выполнением комплекса
организационных мероприятий и применением средств защиты информации от утечки по
техническим каналам, несанкционированного доступа, программно-технических
Учеймьм ц«мтр
воздействий с целью нарушения целостности (модификации, уничтожения) и
доступности информации в процессе её обработки, передачи и хранения, а также
работоспособности технических средств.
При защите информации в локальных вычислительных сетях (ЛВС) конфиденциальная
информация может обрабатываться только в ЛВС, расположенных в пределах
контролируемой зоны.
Средства зашиты информации от НСД должны использоваться во всех узлах ЛВС
независимо от наличия (отсутствия) конфиденциальной информации в данном узле ЛВС
и требуют постоянного квалифицированного контроля настроек СЗИ администратором
безопасности информации. Класс защищённости ЛВС определяется в соответствии с
требованиями действующих руководящих документов ФСТЭК России.
Для управления, контроля защищённости ЛВС и распределения системных ресурсов в
ЛВС, включая управление средствами защиты информации, обрабатываемой (хранимой,
передаваемой) в ЛВС, должны использоваться соответствующие сертифицированные по
требованиям безопасности информации средства защиты.
Юридическая значимость электронных документов с
электронной подписью
Вопросы юридической значимости электронных документов представлены в
приведённых ниже нормативных документах.
Гражданский кодекс Российской Федерации. Часть 1. Глава 9. Статья 160. Письменная
форма сделки:
2. Использование при совершении сделок факсимильного воспроизведения подписи с
помощью средств механического или иного копирования, электронно-цифровой подписи
либо иного аналога собственноручной подписи допускается в случаях и в порядке,
предусмотренных законом, иными правовыми актами или соглашением сторон.
Гражданский кодекс Российской Федерации. Часть 1. Глава 28. Статья 434. Форма
договора:
2. Договор в письменной форме может быть заключён путём составления одного
документа, подписанного сторонами, а также путём обмена документами посредством
почтовой, телеграфной, телетайпной, телефонной, электронной или иной связи,
позволяющей достоверно установить, что документ исходит от стороны по договору.
Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных
технологиях и о защите информации»:
Статья 11. Документирование информации
4. В целях заключения гражданско-правовых договоров или оформления иных
правоотношений, в которых участвуют лица, обменивающиеся электронными
сообщениями, обмен электронными сообщениями, каждое из которых подписано
электронной подписью или иным аналогом собственноручной подписи отправителя
такого сообщения, в порядке, установленном федеральными законами, иными
нормативными правовыми актами или соглашением сторон, рассматривается как обмен
документами.
5. Право собственности и иные вещные права на материальные носители, содержащие
документированную информацию, устанавливаются гражданским законодательством.
Федеральный закон от 06.04.2011 № 63-Ф3 «Об электронной подписи» определяет
основные понятия, связанные с ЭП следующим образом:
■ электронная подпись - информация в электронной форме, которая
присоединена к другой информации в электронной форме (подписываемой
107
информации) или иным образом связана с такой информацией и которая

используется для определения лица, подписывающего информацию;
■ сертификат ключа проверки электронной подписи - электронный
документ или документ на бумажном носителе, выданные удостоверяющим
центром либо доверенным лицом удостоверяющего центра и
подтверждающие принадлежность ключа проверки электронной подписи
владельцу сертификата ключа проверки электронной подписи;
■ квалифицированный сертификат ключа проверки электронной подписи
(далее - квалифицированный сертификат) - сертификат ключа проверки
электронной подписи, выданный аккредитованным удостоверяющим
центром или доверенным лицом аккредитованного удостоверяющего центра
либо федеральным органом исполнительной власти, уполномоченным в
сфере использования электронной подписи (далее - уполномоченный
федеральный орган);
■ владелец сертификата ключа проверки электронной подписи - лицо,
которому в установленном настоящим Федеральным законом порядке выдан
сертификат ключа проверки электронной подписи;
■ ключ электронной подписи —уникальная последовательность символов,
предназначенная для создания электронной подписи;
■ ключ проверки электронной подписи - уникальная последовательность
символов, однозначно связанная с ключом электронной подписи и
предназначенная для проверки подлинности электронной подписи (далее -
проверка электронной подписи);
■ удостоверяющий центр - юридическое лицо или индивидуальный
предприниматель, осуществляющие функции по созданию и выдаче
сертификатов ключей проверки электронных подписей, а также иные
функции, предусмотренные настоящим Федеральным законом;
■ аккредитация удостоверяющего центра - признание уполномоченным
федеральным органом соответствия удостоверяющего центра требованиям
настоящего Федерального закона;
■ средства электронной подписи - шифровальные (криптографические)
средства, используемые для реализации хотя бы одной из следующих
функций - создание электронной подписи, проверка электронной подписи,
создание ключа электронной подписи и ключа проверки электронной
подписи;
■ средства удостоверяющего центра - программные и (или) аппаратные
средства, используемые для реализации функций удостоверяющего центра;
■ участники электронного взаимодействия - осуществляющие обмен
информацией в электронной форме государственные органы, органы
местного самоуправления, организации, а также граждане;
■ корпоративная информационная система - информационная система,
участники электронного взаимодействия в которой составляют
определённый круг лиц;
■ информационная система общего пользования - информационная
система, участники электронного взаимодействия в которой составляют
неопределённый круг лиц и в использовании которой этим лицам не может
быть отказано.
Статья 1. Сфера действия настоящего Федерального закона
Настоящий Федеральный закон регулирует отношения в области использования
электронных подписей при совершении гражданско-правовых сделок, оказании
государственных и муниципальных услуг, исполнении государственных и
муниципальных функций, при совершении иных юридически значимых
действий.
Статья 3. Правовое регулирование отношений в области использования
электронных подписей
1. Отношения в области использования электронных подписей регулируются
настоящим Федеральным законом, другими федеральными законами,
принимаемыми в соответствии с ними нормативными правовыми актами, а
также соглашениями между участниками электронного взаимодействия. Если
иное не установлено федеральными законами, принимаемыми в соответствии с
ними нормативными правовыми актами или решением о создании
корпоративной информационной системы, порядок использования электронной
подписи в корпоративной информационной системе может устанавливаться
оператором этой системы или соглашением между участниками электронного
взаимодействия в ней.
2. Виды электронных подписей, используемых органами исполнительной власти
и органами местного самоуправления, порядок их использования, а также
требования об обеспечении совместимости средств электронных подписей при
организации электронного взаимодействия указанных органов между собой
устанавливает Правительство Российской Федерации.
Статья 5. Виды электронных подписей
1. Видами электронных подписей, отношения в области использования которых
регулируются настоящим Федеральным законом, являются простая электронная
подпись и усиленная электронная подпись. Различаются усиленная
неквалифицированная электронная подпись (далее - неквалифицированная
электронная подпись) и усиленная квалифицированная электронная подпись
(далее - квалифицированная электронная подпись).
2. Простой электронной подписью является электронная подпись, которая
посредством использования кодов, паролей или иных средств подтверждает
факт формирования электронной подписи определённым лицом.
3. Неквалифицированной электронной подписью является электронная подпись,
которая:
1) получена в результате криптографического преобразования информации с
использованием ключа электронной подписи;
2) позволяет определить лицо, подписавшее электронный документ;
3) позволяет обнаружить факт внесения изменений в электронный документ
после момента его подписания;
4) создаётся с использованием средств электронной подписи.
4. Квалифицированной электронной подписью является электронная подпись,
которая соответствует всем признакам неквалифицированной электронной
подписи и следующим дополнительным признакам:
1) ключ проверки электронной подписи указан в квалифицированном
сертификате;
2) для создания и проверки электронной подписи используются средства
электронной подписи, получившие подтверждение соответствия требованиям,
установленным в соответствии с настоящим Федеральным законом.
У ч еб м ьм ц е н т р
109
5. При использовании неквалифицированной электронной подписи сертификат

ключа проверки электронной подписи может не создаваться, если соответствие
электронной подписи признакам неквалифицированной электронной подписи,
установленным настоящим Федеральным законом, может быть обеспечено без
использования сертификата ключа проверки электронной подписи.
Статья 6. Условия признания электронных документов, подписанных
электронной подписью, равнозначными документам на бумажном носителе,
подписанным собственноручной подписью
1. Информация в электронной форме, подписанная квалифицированной
электронной подписью, признается электронным документом, равнозначным
документу на бумажном носителе, подписанному собственноручной подписью,
кроме случая, если федеральными законами или принимаемыми в соответствии
с ними нормативными правовыми актами установлено требование о
необходимости составления документа исключительно на бумажном носителе.
2. Информация в электронной форме, подписанная простой электронной
подписью или неквалифицированной электронной подписью, признается
электронным документом, равнозначным документу на бумажном носителе,
подписанному собственноручной подписью, в случаях, установленных
федеральными законами, принимаемыми в соответствии с ними нормативными
правовыми актами или соглашением между участниками электронного
взаимодействия. Нормативные правовые акты и соглашения между участниками
электронного взаимодействия, устанавливающие случаи признания электронных
документов, подписанных неквалифицированной электронной подписью,
равнозначными документам на бумажных носителях, подписанным
собственноручной подписью, должны предусматривать порядок проверки
электронной подписи. Нормативные правовые акты и соглашения между
участниками электронного взаимодействия, устанавливающие случаи признания
электронных документов, подписанных простой электронной подписью,
равнозначными документам на бумажных носителях, подписанным
собственноручной подписью, должны соответствовать требованиям статьи 9
настоящего Федерального закона.
3. Если в соответствии с федеральными законами, принимаемыми в
соответствии с ними нормативными правовыми актами или обычаем делового
оборота документ должен быть заверен печатью, электронный документ,
подписанный усиленной электронной подписью и признаваемый равнозначным
документу на бумажном носителе, подписанному собственноручной подписью,
признается равнозначным документу на бумажном носителе, подписанному
собственноручной подписью и заверенному печатью. Федеральными законами,
принимаемыми в соответствии с ними нормативными правовыми актами или
соглашением между участниками электронного взаимодействия могут быть
предусмотрены дополнительные требования к электронному документу в целях
признания его равнозначным документу на бумажном носителе, заверенному
печатью.
4. Одной электронной подписью могут быть подписаны несколько связанных
между собой электронных документов (пакет электронных документов). При
подписании электронной подписью пакета электронных документов каждый из
электронных документов, входящих в этот пакет, считается подписанным
электронной подписью того вида, которой подписан пакет электронных
документов.
Статья 7. Признание электронных подписей, созданных в соответствии с
нормами иностранного права и международными стандартами
1. Электронные подписи, созданные в соответствии с нормами права
иностранного государства и международными стандартами, в Российской
Федерации признаются электронными подписями того вида, признакам которого
они соответствуют на основании настоящего Федерального закона.
2. Электронная подпись и подписанный ею электронный документ не могут
считаться не имеющими юридической силы только на том основании, что
сертификат ключа проверки электронной подписи выдан в соответствии с
нормами иностранного права.
Статья 9. Использование простой электронной подписи
1. Электронный документ считается подписанным простой электронной
подписью при выполнении в том числе одного из следующих условий:
1) простая электронная подпись содержится в самом электронном документе;
2) ключ простой электронной подписи применяется в соответствии с правилами,
установленными оператором информационной системы, с использованием
которой осуществляются создание и (или) отправка электронного документа, и в
созданном и (или) отправленном электронном документе содержится
информация, указывающая на лицо, от имени которого был создан и (или)
отправлен электронный документ.
2. Нормативные правовые акты и (или) соглашения между участниками
электронного взаимодействия, устанавливающие случаи признания электронных
документов, подписанных простой электронной подписью, равнозначными
документам на бумажных носителях, подписанным собственноручной
подписью, должны предусматривать, в частности:
1) правила определения лица, подписывающего электронный документ, по его
простой электронной подписи;
2) обязанность лица, создающего и (или) использующего ключ простой
электронной подписи, соблюдать его конфиденциальность.
3. К отношениям, связанным с использованием простой электронной подписи, в
том числе с созданием и использованием ключа простой электронной подписи,
не применяются правила, установленные статьями 1 0 - 1 8 настоящего
Федерального закона.
4. Использование простой электронной подписи для подписания электронных
документов, содержащих сведения, составляющие государственную тайну, или в
информационной системе, содержащей сведения, составляющие
государственную тайну, не допускается.
Статья 10. Обязанности участников электронного взаимодействия при
использовании усиленных электронных подписей
При использовании усиленных электронных подписей участники электронного
взаимодействия обязаны:
1) обеспечивать конфиденциальность ключей электронных подписей, в
частности не допускать использование принадлежащих им ключей электронных
подписей без их согласия;
2) уведомлять удостоверяющий центр, выдавший сертификат ключа проверки
электронной подписи, и иных участников электронного взаимодействия о
нарушении конфиденциальности ключа электронной подписи в течение не более
чем одного рабочего дня со дня получения информации о таком нарушении;
3) не использовать ключ электронной подписи при наличии оснований полагать,
что конфиденциальность данного ключа нарушена;
У ч«бмьш ц е н т р
I ll
4) использовать для создания и проверки квалифицированных электронных

подписей, создания ключей квалифицированных электронных подписей и
ключей их проверки средства электронной подписи, получившие подтверждение
соответствия требованиям, установленным в соответствии с настоящим
Федеральным законом.
Статья 11. Признание квалифицированной электронной подписи
Квалифицированная электронная подпись признается действительной до тех
пор, пока решением суда не установлено иное, при одновременном соблюдении
следующих условий:
1) квалифицированный сертификат создан и выдан аккредитованным
удостоверяющим центром, аккредитация которого действительна на день
выдачи указанного сертификата;
2) квалифицированный сертификат действителен на момент подписания
электронного документа (при наличии достоверной информации о моменте
подписания электронного документа) или на день проверки действительности
указанного сертификата, если момент подписания электронного документа не
определён;
3) имеется положительный результат проверки принадлежности владельцу
квалифицированного сертификата квалифицированной электронной подписи, с
помощью которой подписан электронный документ, и подтверждено отсутствие
изменений, внесённых в этот документ после его подписания. При этом
проверка осуществляется с использованием средств электронной подписи,
получивших подтверждение соответствия требованиям, установленным в
соответствии с настоящим Федеральным законом, и с использованием
квалифицированного сертификата лица, подписавшего электронный документ;
4) квалифицированная электронная подпись используется с учётом ограничений,
содержащихся в квалифицированном сертификате лица, подписывающего
электронный документ (если такие ограничения установлены).
Ответственность за нарушения в сфере защиты информации
Выдержки из статей Уголовного кодекса Российской Федерации:
Статья 183. Незаконное получение и разглашение сведений,
с о с та в л я ю щ и х к о м м е р ч е ск ую или бан ков скую тайну
1. Собирание сведений, составляющих коммерческую или банковскую тайну, путём

похищения документов, подкупа или угроз, а равно иным незаконным способом —
наказывается штрафом в размере до восьмидесяти тысяч рублей или в размере
заработной платы или иного дохода осужденного за период от одного до шести месяцев,
либо исправительными работами на срок до одного года, либо лишением свободы на срок
до двух лет.
2. Незаконные разглашение или использование сведений, составляющих коммерческую,
налоговую или банковскую тайну, без согласия их владельца лицом, которому она была
доверена или стала известна по службе или работе, -
наказываются штрафом в размере до ста двадцати тысяч рублей или в размере заработной
платы или иного дохода осужденного за период до одного года с лишением права
занимать определённые должности или заниматься определённой деятельностью на срок
до трёх лет, либо исправительными работами на срок до двух лет, либо лишением
свободы на срок до трёх лет.
3. Те же деяния, причинившие крупный ущерб или совершенные из корыстной
заинтересованности, -
наказываются штрафом в размере до двухсот тысяч рублей или в размере заработной
t -- ^ У ч еб ны * ц ентр
платы или иного дохода осуждённого за период до восемнадцати месяцев с лишением
права занимать определённые должности или заниматься определённой деятельностью на
срок до трёх лет либо лишением свободы на срок до пяти лет.
4. Деяния, предусмотренные частями второй или третьей настоящей статьи, повлёкшие
тяжкие последствия, -
наказываются лишением свободы на срок до десяти лет.
В настоящее время состав компьютерных преступлений приведён в главе 28 Уголовного
кодекса Российской Федерации «Преступления в сфере компьютерной информации» и
содержит три статьи.
Статья 272. Неправомерный доступ к компьютерной информации
1. Неправомерный доступ к охраняемой законом компьютерной информации, то есть
информации на машинном носителе, в ЭВМ, системе ЭВМ или их сети, если это деяние
повлекло уничтожение, блокирование, модификацию либо копирование информации,
нарушение работы ЭВМ, системы ЭВМ или их сети, -
наказывается штрафом в размере до двухсот тысяч рублей или в размере заработной
платы или иного дохода осуждённого за период до восемнадцати месяцев, либо
исправительными работами на срок до одного года, либо лишением свободы на срок до
двух лет.
2. То же деяние, совершенное группой лиц по предварительному сговору или
организованной группой либо лицом с использованием своего служебного положения, а
равно имеющим доступ к ЭВМ, системе ЭВМ или их сети, -
наказывается штрафом в размере от ста тысяч до трёхсот тысяч рублей или в размере
заработной платы или иного дохода осуждённого за период от одного года до двух лет,
либо исправительными работами на срок от одного года до двух лет, либо арестом на
срок от трёх до шести месяцев, либо лишением свободы на срок до пяти лет.
Статья 273. Создание, использование и распространение
вредоносных программ для ЭВМ
1. Создание программ для ЭВМ или внесение изменений в существующие программы,
заведомо приводящих к несанкционированному уничтожению, блокированию,
модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ
или их сети, а равно использование либо распространение таких программ или машинных
носителей с такими программами -
наказываются лишением свободы на срок до трёх лет со штрафом в размере до двухсот
тысяч рублей или в размере заработной платы или иного дохода осужденного за период
до восемнадцати месяцев.
2. Те же деяния, повлёкшие по неосторожности тяжкие последствия, -
наказываются лишением свободы на срок до семи лет.
Статья 274. Нарушение правил эксплуатации ЭВМ,
системы ЭВМ или их сети
1. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети лицом, имеющим
доступ к ЭВМ, системе ЭВМ или их сети, повлёкшее уничтожение, блокирование или
модификацию охраняемой законом информации ЭВМ, если это деяние причинило
существенный вред, -
наказывается лишением права занимать определённые должности или заниматься
определённой деятельностью на срок до пяти лет, либо обязательными работами на срок
от ста восьмидесяти до двухсот сорока часов, либо ограничением свободы на срок до
двух лет.
2. То же деяние, повлёкшее по неосторожности тяжкие последствия, -
наказывается лишением свободы на срок до четырёх лет.
113
Большое значение для лиц, занимающихся защитой информации, явилось появление в

2002 году новой редакции «Кодекса РФ об административных правонарушениях», в
котором предусмотрена административная ответственность за конкретные нарушения в
сфере защиты информации. Ниже приведены выдержки из наиболее «актуальных» статей
этого документа.
Выдержки из статей Кодекса об административных правонарушениях

Российской Федерации:
Статья 13.11. Нарушение установленного законом порядка сбора,
хранения, использования или распространения информации
о гражданах (персональных данных)
Нарушение установленного законом порядка сбора, хранения, использования или
распространения информации о гражданах (персональных данных) -
влечёт предупреждение или наложение административного штрафа на граждан в размере
от трёхсот до пятисот рублей; на должностных лиц - от пятисот до одной тысячи рублей;
на юридических лиц - от пяти тысяч до десяти тысяч рублей.
Статья 13.12. Нарушение правил защиты информации
1. Нарушение условий, предусмотренных лицензией на осуществление деятельности в
области защиты информации (за исключением информации, составляющей
государственную тайну), -
влечёт наложение административного штрафа на граждан в размере от трёхсот до пятисот
рублей; на должностных лиц - от пятисот до одной тысячи рублей; на юридических лиц -
от пяти тысяч до десяти тысяч рублей.
2. Использование несертифицированных информационных систем, баз и банков данных,
а также несертифицированных средств защиты информации, если они подлежат
обязательной сертификации (за исключением средств защиты информации,
составляющей государственную тайну), -
влечёт наложение административного штрафа на граждан в размере от пятисот до одной
тысячи рублей с конфискацией несертифицированных средств защиты информации или
без таковой; на должностных лиц - от одной тысячи до двух тысяч рублей; на
юридических лиц - от десяти тысяч до двадцати тысяч рублей с конфискацией
несертифицированных средств защиты информации или без таковой.
3. Нарушение условий, предусмотренных лицензией на проведение работ, связанных с
использованием и защитой информации, составляющей государственную тайну,
созданием средств, предназначенных для защиты информации, составляющей
государственную тайну, осуществлением мероприятий и (или) оказанием услуг по защите
информации, составляющей государственную тайну, -
влечёт наложение административного штрафа на должностных лиц в размере от двух
тысяч до трёх тысяч рублей; на юридических лиц - от пятнадцати тысяч до двадцати
тысяч рублей.
4. Использование несертифицированных средств, предназначенных для защиты
информации, составляющей государственную тайну, -
влечёт наложение административного штрафа на должностных лиц в размере от трёх
тысяч до четырёх тысяч рублей; на юридических лиц - от двадцати тысяч до тридцати
тысяч рублей с конфискацией несертифицированных средств, предназначенных для
защиты информации, составляющей государственную тайну, или без таковой.
5. Грубое нарушение условий, предусмотренных лицензией на осуществление
деятельности в области защиты информации (за исключением информации,
составляющей государственную тайну), -
влечёт наложение административного штрафа на лиц, осуществляющих
предпринимательскую деятельность без образования юридического лица, в размере от
114
одной тысячи до одной тысячи пятисот рублей или административное приостановление

деятельности на срок до девяноста суток; на должностных лиц - от одной тысячи до
одной тысячи пятисот рублей; на юридических лиц - от десяти тысяч до пятнадцати
тысяч рублей или административное приостановление деятельности на срок до девяноста
суток.
Статья 13.13. Незаконная деятельность в области защиты информации
1. Занятие видами деятельности в области защиты информации (за исключением
информации, составляющей государственную тайну) без получения в установленном
порядке специального разрешения (лицензии), если такое разрешение (такая лицензия) в
соответствии с федеральным законом обязательно (обязательна), -
тысячи рублей с конфискацией средств защиты информации или без таковой; на
должностных лиц - от двух тысяч до трёх тысяч рублей с конфискацией средств защиты
информации или без таковой; на юридических лиц - от десяти тысяч до двадцати тысяч
рублей с конфискацией средств защиты информации или без таковой.
2. Занятие видами деятельности, связанной с использованием и защитой информации,
составляющей государственную тайну, созданием средств, предназначенных для защиты
информации, составляющей государственную тайну, осуществлением мероприятий и
(или) оказанием услуг по защите информации, составляющей государственную тайну, без
лицензии, -
влечёт наложение административного штрафа на должностных лиц в размере от четырёх
тысяч до пяти тысяч рублей; на юридических лиц - от тридцати тысяч до сорока тысяч
рублей с конфискацией созданных без лицензии средств защиты информации,
составляющей государственную тайну, или без таковой.
Статья 13.14. Разглашение информации с ограниченным доступом
Разглашение информации, доступ к которой ограничен федеральным законом (за
исключением случаев, если разглашение такой информации влечёт уголовную
ответственность), лицом, получившим доступ к такой информации в связи с исполнением
служебных или профессиональных обязанностей, за исключением случаев,
предусмотренных частью 1 статьи 14.33 настоящего Кодекса, —
тысячи рублей; на должностных лиц - от четырёх тысяч до пяти тысяч рублей.
Выдержки из Гражданского Кодекса Российской Федерации
о т 18 д е к а б р я 2006 г. № 2 Э 0-Ф З ( ч а с т ь ч е т в е р т а я ):
Статья 1253. Ответственность юридических лиц и индивидуальных

предпринимателей за нарушения исключительных прав
Если юридическое лицо неоднократно или грубо нарушает исключительные права на
результаты интеллектуальной деятельности и на средства индивидуализации, суд может в
соответствии с пунктом 2 статьи 61 настоящего Кодекса принять решение о ликвидации
такого юридического лица по требованию прокурора.
Если такие нарушения совершает гражданин, его деятельность в качестве
индивидуального предпринимателя может быть прекращена по решению или приговору
суда в установленном законом порядке.
Статья 1290. Ответственность по договорам, заключаемым
автором произведения
]. Ответственность автора по договору об отчуждении исключительного права на
произведение и по лицензионному договору ограничена суммой реального ущерба,
причинённого другой стороне, если договором не предусмотрен меньший размер
ответственности автора.
2. В случае неисполнения или ненадлежащего исполнения договора авторского заказа, за
которое автор несёт ответственность, автор обязан возвратить заказчику аванс, а также
уплатить ему неустойку, если она предусмотрена договором. При этом общий размер
указанных выплат ограничен суммой реального ущерба, причинённого заказчику.
права на произведение
В случаях нарушения исключительного права на произведение автор или иной
правообладатель наряду с использованием других применимых способов защиты и мер
ответственности, установленных настоящим Кодексом (статьи 1250, 1252 и 1253), вправе
в соответствии с пунктом 3 статьи 1252 настоящего Кодекса требовать по своему выбору
от нарушителя вместо возмещения убытков выплаты компенсации:
в размере от десяти тысяч рублей до пяти миллионов рублей, определяемом по
усмотрению суда;
в двукратном размере стоимости экземпляров произведения или в двукратном размере
стоимости права использования произведения, определяемой исходя из цены, которая
при сравнимых обстоятельствах обычно взимается за правомерное использование
произведения.
права на объект смежных прав
В случаях нарушения исключительного права на объект смежных прав обладатель
исключительного права наряду с использованием других применимых способов защиты
и мер ответственности, установленных настоящим Кодексом (статьи 1250,1252 и 1253),
вправе в соответствии с пунктом 3 статьи 1252 настоящего Кодекса требовать по своему
выбору от нарушителя вместо возмещения убытков выплаты компенсации:
в размере от десяти тысяч рублей до пяти миллионов рублей, определяемом по
усмотрению суда;
в двукратном размере стоимости экземпляров фонограммы или в двукратном размере
стоимости права использования объекта смежных прав, определяемой исходя из цены,
которая при сравнимых обстоятельствах обычно взимается за правомерное
использование такого объекта.
п р а в а на с е к р е т п р о и з в о д с т в а
1. Нарушитель исключительного права на секрет производства, в том числе лицо, которое

неправомерно получило сведения, составляющие секрет производства, и разгласило или
использовало эти сведения, а также лицо, обязанное сохранять конфиденциальность
секрета производства в соответствии с пунктом 2 статьи 1468, пунктом 3 статьи 1469 или
пунктом 2 статьи 1470 настоящего Кодекса, обязано возместить убытки, причинённые
нарушением исключительного права на секрет производства, если иная ответственность
не предусмотрена законом или договором с этим лицом.
2. Лицо, которое использовало секрет производства и не знало и не должно было знать о
том, что его использование незаконно, в том числе в связи с тем, что оно получило доступ
к секрету производства случайно или по ошибке, не несёт ответственность в соответствии
с пунктом 1 настоящей статьи.
Выдержки из Федерального закона «О коммерческой тайне»:
Федеральный закон Российской Федерации от 29 июля 2004 г. № 98-ФЗ «О коммерческой
тайне» принят Государственной Думой 9 июля 2004 г., одобрен Советом Федерации
15 июля 2004 г., подписан Президентом Российской Федерации 29 июля 2004 г.,
опубликован 5 августа 2004 г.
Статья 11. Охрана конфиденциальности информации
в рамках трудовых отношений
1. В целях охраны конфиденциальности информации работодатель обязан :
1) ознакомить под расписку работника, доступ которого к информации, составляющей
коммерческую тайну, необходим для выполнения им своих трудовых обязанностей, с
перечнем информации, составляющей коммерческую тайну, обладателями которой
является работодатель и его контрагенты;
2) ознакомить под расписку работника с установленным работодателем режимом
коммерческой тайны и с мерами ответственности за его нарушение;
3) создать работнику необходимые условия для соблюдения им установленного
работодателем режима коммерческой тайны.
2. Доступ работника к информации, составляющей коммерческую тайну, осуществляется
с его согласия, если это не предусмотрено его трудовыми обязанностями.
3. В целях охраны конфиденциальности информации работник обязан
1) выполнять установленный работодателем режим коммерческой тайны;
2) не разглашать информацию, составляющую коммерческую тайну, обладателями
которой являются работодатель и его контрагенты, и без их согласия не использовать эту
информацию в личных целях;
5) передать работодателю при прекращении или расторжении трудового договора
имеющиеся в пользовании работника материальные носители информации, содержащие
информацию, составляющую коммерческую тайну.
6. Трудовым договором с руководителем организации должны предусматриваться его
обязательства по обеспечению охраны конфиденциальности информации, обладателем
которой являются организация и её контрагенты, и ответственность за обеспечение
охраны её конфиденциальности.
8. Работник имеет право обжаловать в судебном порядке незаконное установление
режима коммерческой тайны в отношении информации, к которой он получил доступ в
связи с исполнением им трудовых обязанностей.
Статья 14. Ответственность за нарушение
Федерального закона «О коммерческой тайне»
1. Нарушение настоящего Федерального закона влечёт за собой дисциплинарную,
гражданско-правовую, административную или уголовную ответственность в
соответствии с законодательством Российской Федерации.
2. Работник, который в связи с исполнением трудовых обязанностей получил доступ к
информации, составляющей коммерческую тайну, обладателями которой являются
работодатель и его контрагенты, в случае умышленного или неосторожного разглашения
этой информации при отсутствии в действиях такого работника состава преступления
несёт дисциплинарную ответственность в соответствии с законодательством Российской
Федерации.
3. Органы государственной власти, иные государственные органы, органы местного
самоуправления, получившие доступ к информации, составляющей коммерческую тайну,
несут перед обладателем информации, составляющей коммерческую тайну, гражданско-
правовую ответственность за разглашение или незаконное использование этой
информации их должностными лицами, государственными или муниципальными
служащими указанных органов, которым она стала известна в связи с выполнением ими
должностных (служебных) обязанностей.
У ч еб и ь ж ц е н т р
117
4. Лицо, которое использовало информацию, составляющую коммерческую тайну, и не

имело достаточных оснований считать использование данной информации незаконным, в
том числе получило доступ к ней в результате случайности или ошибки, не может в
соответствии с настоящим Федеральным законом быть привлечено к ответственности.
5. По требованию обладателя информации, составляющей коммерческую тайну, лицо,
указанное в части 4 настоящей статьи, обязано принять меры по охране
конфиденциальности информации. При отказе такого лица принять указанные меры
обладатель информации, составляющей коммерческую тайну, вправе требовать в
судебном порядке защиты своих прав.
Статья 15. Ответственность за непредоставление
органам государственной власти, иным государственным органам,
органам местного самоуправления информации,
составляющей коммерческую тайну
Невыполнение обладателем информации, составляющей коммерческую тайну, законных
требований органов государственной власти, иных государственных органов, органов
местного самоуправления о предоставлении им информации, составляющей
коммерческую тайну, а равно воспрепятствование получению должностными лицами
этих органов указанной информации влечет за собой ответственность в соответствии с
законодательством Российской Федерации.
Раздел I - Тема б :
Государственная система защиты
Введение
Структура государственной системы защиты информации в Российской Федерации, её
задачи и функции, основы организации защиты сведений, отнесённых в установленном
порядке к государственной или служебной тайне, определены в «Положении о
государственной системе защиты информации в Российской Федерации от иностранных
технических разведок и от её утечки по техническим каналам», утверждённом
постановлением Совета Министров - Правительства Российской Федерации
от 15.09.1993 №912-51.
Настоящее Положение является документом, обязательным для выполнения при
проведении работ по защите информации, содержащей сведения, составляющие
государственную или служебную тайну, в органах (аппаратах, администрациях)
представительной, исполнительной и судебной властей Российской Федерации,
республик в составе Российской Федерации, автономной области, автономных округов,
краёв, областей, городов Москвы и Санкт-Петербурга и в органах местного
самоуправления (далее именуются - органы государственной власти), на предприятиях и
в их объединениях, учреждениях и организациях независимо от их организационно
правовой формы и формы собственности (далее именуются - предприятия).
Работы по защите информации в органах государственной власти и на предприятиях
проводятся на основе актов законодательства Российской Федерации.
Защита информации осуществляется путём выполнения комплекса мероприятий по
предотвращению утечки информации по техническим каналам, несанкционированного
доступа к ней, предупреждению преднамеренных программно-технических воздействий с
целью разрушения (уничтожения) или искажения информации в процессе обработки,
передачи и хранения, по противодействию иностранным техническим разведкам, а также
путём проведения специальных работ, порядок организации и выполнения которых
определяется Правительством Российской Федерации.
Мероприятия по защите информации являются составной частью управленческой,
научной и производственной деятельности и осуществляются во взаимосвязи с другими
мерами по обеспечению установленного режима секретности проводимых работ.
Главными направлениями работ по защите информации являются:
■ обеспечение эффективного управления системой защиты информации;
■ определение сведений, охраняемых от технических средств разведки, и
демаскирующих признаков, раскрывающих эти сведения;
■ анализ и оценка реальной опасности перехвата информации техническими
средствами разведки, несанкционированного доступа, разрушения
(уничтожения) или искажения информации путем преднамеренных
программно-технических воздействий в процессе ее обработки, передачи и
хранения в технических средствах, выявление возможных технических
каналов утечки сведений, подлежащих защите;
■ разработка организационно-технических мероприятий по защите
информации и их реализация;
■ организация и проведение контроля состояния защиты информации.
0
Учаб и м » Щ И р
119
Основными организационно-техническими мероприятиями по защите информации

являются:
■ лицензирование деятельности предприятий в области защиты информации;
■ аттестование объектов по выполнению требований обеспечения защиты
информации при проведении работ со сведениями соответствующей степени
секретности;
■ сертификация средств защиты информации и контроля за ее
эффективностью, систем и средств информатизации и связи в части
защищенности информации от утечки по техническим каналам;
■ введение территориальных, частотных, энергетических, пространственных и
временных ограничений в режимах использования технических средств,
подлежащих защите;
■ создание и применение информационных и автоматизированных систем
управления в защищенном исполнении;
■ разработка и внедрение технических решений и элементов защиты
информации при проектировании, строительстве (реконструкции) и
эксплуатации объектов, систем и средств информатизации и связи;
■ разработка средств защиты информации и контроля за ее эффективностью
(специального и общего применения) и их использование;
■ применение специальных методов, технических мер и средств защиты,
исключающих перехват информации, передаваемой по каналам связи.
Конкретные методы, приёмы и меры защиты информации разрабатываются в
зависимости от степени возможного ущерба в случае её утечки, разрушения
(уничтожения).
Проведение любых мероприятий и работ с использованием сведений, отнесённых к
государственной или служебной тайне, без принятия необходимых мер по защите
информации не допускается.
Государственная система защиты информации
Основные задачи государственной системы защиты информации:
■ проведение единой технической политики, организация и координация работ
по защите информации в оборонной, экономической, политической, научно
технической и других сферах деятельности;
■ исключение или существенное затруднение добывания информации
техническими средствами разведки, а также предотвращение ее утечки по
техническим каналам, несанкционированного доступа к ней,
предупреждение преднамеренных программно-технических воздействий с
целью разрушения (уничтожения) или искажения информации в процессе ее
обработки, передачи и хранения;
■ принятие в пределах компетенции правовых актов, регулирующих
отношения в области защиты информации;
■ анализ состояния и прогнозирование возможностей технических средств
разведки и способов их применения, формирование системы
информационного обмена сведениями по осведомленности иностранных
разведок;
■ организация сил, создание средств защиты информации и контроля за ее
эффективностью;
в-— У ч е б м ь * центр
^ Г1
■ контроль состояния защиты информации в органах государственной власти
и на предприятиях.
Государственную систему защиты информации образуют (см. Рис. 1.6.1):
■ Федеральная служба по техническому и экспортному контролю и ее
центральный аппарат;
■ Федеральная служба безопасности Российской Федерации, Министерство
внутренних дел Российской Федерации, Министерство обороны Российской
Федерации, Федеральная служба охраны Российской Федерации, Служба
внешней разведки Российской Федерации, их структурные подразделения по
защите информации;
■ структурные и межотраслевые подразделения по защите информации
органов государственной власти;
■ управления Федеральной службы по техническому и экспортному контролю
по федеральным округам;
■ головная научно-исследовательская организация в Российской Федерации по
защите информации (ФГУП «Научно-исследовательский испытательный
институт проблем технической защиты информации» Федеральной службы
по техническому и экспортному контролю);
■ головные и ведущие научно-исследовательские, научно-технические,
проектные и конструкторские организации по защите информации органов
государственной власти;
■ предприятия, проводящие работы по оборонной тематике и другие работы с
использованием сведений, отнесенных к государственной или служебной
тайне, их подразделения по защите информации;
■ предприятия, специализирующиеся на проведении работ в области защиты
■ высшие учебные заведения и институты повышения квалификации по
подготовке и переподготовке кадров в области защиты информации.
ФСТЭК России является межведомственным коллегиальным органом и возглавляет
государственную систему защиты информации.
Права и функции ФСТЭК России и её центрального аппарата определяются
«Положением о Федеральной службе по техническому и экспортному контролю»,
утверждённым Указом Президента Российской Федерации от 16.08.2004 № 1085 и
«Положением о государственной системе защиты информации в Российской Федерации
от иностранных технических разведок и от её утечки по техническим каналам»,
утверждённом постановлением Совета Министров - Правительства Российской
Федерации от 15.09.1993 № 912-51.
Права и функции в области защиты информации Федеральной службы безопасности
Российской Федерации, Министерства обороны Российской Федерации, Министерства
внутренних дел Российской Федерации, Федеральной службы охраны Российской
Федерации и Службы внешней разведки Российской Федерации определяются
положениями об этих органах.
121
Головная научно
Управления Ф СТЭ К России ФСТЭК
исследовательская
по федеральным округам России организация по ЗИ
ФСБ России МВД России

Минобороны России
ФСО России СВР России
Головные и ведущие научно

исследовательские, научно-технические,
проектные и конструкторские организации по Структурные и межотраслевые
ЗИ в органах государственной власти подразделения по ЗИ органов
государственной власти
Предприятия, специализирующиеся на
выполнении работ в области ЗИ
Предприятия, проводящие работы с
использованием сведений, отнесенных к
Высшие учебные заведения и институты
государственной или служебной тайне,
повышения квалификации по подготовке и
их подразделения по ЗИ
переподготовке кадров в области ЗИ
Рис. 1.6.1. Структура государственной системы защиты информации в Российской

Федерации
Структурные и межотраслевые подразделения по защите информации органов

государственной власти (в пределах их компетенции):
■ проводят единую техническую политику, осуществляют координацию и
методическое руководство работами по защите информации на
подведомственных органу государственной власти предприятиях;
■ выполняют функции заказчика по проведению научно-исследовательских и
опытно-конструкторских работ по проблемам защиты информации, а также
заказчика поисковых научно-исследовательских работ по этим проблемам;
■ разрабатывают предложения для федеральных программ по защите
■ организуют аттестование подведомственных органу государственной власти
объектов по выполнению требований обеспечения защиты информации при
проведении работ со сведениями соответствующей степени секретности,
сертификацию средств защиты информации и контроля за ее
эффективностью, систем и средств информатизации и связи в части
защищенности информации от утечки по техническим каналам, проведение
специальных проверок и специальных исследований технических средств;
■ готовят рекомендации и указания по лицензированию деятельности
предприятий в области защиты информации.
Непосредственное руководство работами по защите информации осуществляют
руководители органов государственной власти или их заместители.
Указанные функции осуществляются подразделениями (штатными специалистами) по
защите информации.
Подразделения по защите информации являются самостоятельными структурными
подразделениями или входят в состав одного из главных, технических, научно
технических или специальных управлений органа государственной власти. Назначение на
Учебный ц ентр
должности и освобождение от должности руководителей этих подразделений
производятся по согласованию с ФСТЭК России.
Допускается создание при органе государственной власти в соответствии с актами
законодательства Российской Федерации самостоятельных предприятий различных
организационно-правовых форм и форм собственности, на которые могут быть
возложены функции структурных, а также межотраслевых подразделений по защите
В целях обеспечения принципа коллегиальности при рассмотрении важнейших вопросов
защиты информации в органах государственной власти могут создаваться технические
комиссии, межотраслевые или отраслевые советы.
Управления ФСТЭК России по федеральным округам, в пределах своих зон
ответственности:
■ проверяют и оценивают состояние защиты информации и оказывают
методическую помощь на местах в организации и проведении мероприятий
по защите информации;
■ участвуют в аттестовании объектов по выполнению требований обеспечения
защиты информации при проведении работ со сведениями соответствующей
степени секретности.
Границы зон ответственности специальных центров определяет директор
ФСТЭК России.
Головная научно-исследовательская организация в Российской Федерации по защите
информации, головные и ведущие научно-исследовательские, научно-технические,
проектные и конструкторские организации по защите информации органов
государственной власти в пределах своей специализации разрабатывают научные основы
и концепции, проекты федеральных программ, нормативно-технических и методических
документов по защите информации, обобщают и анализируют информацию о силах и
средствах технической разведки, прогнозируют её возможности, осуществляют
разработку (корректировку) модели иностранной технической разведки и методик оценки
её возможностей, проводят научные исследования и работы по созданию технических
средств защиты информации и контроля за её эффективностью.
Организация работ по защите информации на предприятиях осуществляется их
руководителями.
В зависимости от объёма работ по защите информации руководителем предприятия
создаётся структурное подразделение по защите информации либо назначаются штатные
специалисты по этим вопросам.
Подразделения по защите информации (штатные специалисты) на предприятиях
осуществляют мероприятия по защите информации в ходе выполнения работ с
использованием сведений, отнесённых к государственной или служебной тайне,
определяют совместно с заказчиком работ основные направления комплексной зашиты
информации, участвуют в согласовании технических (тактико-технических) заданий на
проведение работ, дают заключение о возможности проведения работ с информацией,
содержащей сведения, отнесённые к государственной или служебной тайне.
Указанные подразделения (штатные специалисты) подчиняются непосредственно
руководителю предприятия или его заместителю. Работники этих подразделений
(штатные специалисты) приравниваются по оплате труда к соответствующим категориям
работников основных структурных подразделений.
Для проведения работ по защите информации могут привлекаться на договорной основе
специализированные предприятия, имеющие лицензии на право проведения работ в
области защиты информации.
123
Предприятия, имеющие намерения заниматься деятельностью в области защиты

информации, должны получить соответствующую лицензию на определённый вид этой
деятельности. Лицензии выдаются ФСТЭК России и ФСБ России в соответствии со своей
компетенцией по представлению органа государственной власти.
Высшие учебные заведения и институты повышения квалификации по подготовке и
переподготовке кадров в области защиты информации осуществляют:
■ первичную подготовку специалистов по комплексной защите информации;
■ переподготовку (повышение квалификации) специалистов по защите
информации органов государственной власти и предприятий;
■ усовершенствование знаний руководителей органов государственной власти
и предприятий в области защиты информации.
Подготовка кадров для государственной системы защиты информации осуществляется
при методическом руководстве ФСТЭК России.
Организация защиты информации в системах и средствах
информатизации и связи
Защита информации в системах и средствах информатизации и связи является составной
частью работ по их созданию, эксплуатации и осуществляется во всех органах
государственной власти и на предприятиях, располагающих информацией, содержащей
сведения, отнесённые к государственной или служебной тайне.
Требования по защите информации в системах и средствах информатизации и связи
определяются заказчиками совместно с разработчиками на стадии подготовки и
согласования решений Правительства Российской Федерации, приказов и директив,
планов и программ работ, технических и тактико-технических заданий на проведение
исследований, разработку (модернизацию), испытания, производство и эксплуатацию
(применение) на основе стандартов, нормативно-технических и методических
документов, разработанных Федеральной службой по техническому регулированию и
метрологии, Федеральной службой по техническому и экспортному контролю и другими
органами государственной власти в соответствии с их компетенцией. Указанные
требования согласовываются с подразделениями по защите информации.
Организация защиты информации в системах и средствах информатизации и связи
возлагается на руководителей органов государственной власти и предприятий, заказчиков
и разработчиков систем и средств информатизации и связи, руководителей
подразделений, эксплуатирующих эти системы и средства, а ответственность за
обеспечение защиты информации - непосредственно на пользователя (потребителя)
В интересах обеспечения защиты информации в системах и средствах информатизации и
связи защите подлежат:
■ информационные ресурсы, содержащие сведения, отнесенные к
государственной или служебной тайне, представленные в виде носителей на
магнитной и оптической основе, информативных физических полей,
информационных массивов и баз данных;
■ средства и системы информатизации (средства вычислительной техники,
информационно-вычислительные комплексы, сети и системы), программные
средства (операционные системы, системы управления базами данных,
другое общесистемное и прикладное программное обеспечение),
автоматизированные системы управления, системы связи и передачи
данных, технические средства приема, передачи и обработки информации
(звукозаписи, звукоусиления, звуковоспроизведения, переговорные и
телевизионные устройства, средства изготовления, тиражирования
документов и другие технические средства обработки графической,
смысловой и буквенно-цифровой информации), используемые для
обработки информации, содержащей сведения, отнесенные к
государственной или служебной тайне;
■ технические средства и системы, не обрабатывающие информацию, но
размещенные в помещениях, где обрабатывается (циркулирует)
информация, содержащая сведения, отнесенные к государственной или
служебной тайне, а также сами помещения, предназначенные для ведения
секретных переговоров.
Целями защиты информации являются:
■ предотвращение утечки информации по техническим каналам;
■ предотвращение несанкционированного уничтожения, искажения,
копирования, блокирования информации в системах информатизации;
■ соблюдение правового режима использования массивов, программ
обработки информации, обеспечение полноты, целостности, достоверности
информации в системах обработки;
■ сохранение возможности управления процессом обработки и пользования
информацией.
Защита информации осуществляется путём:
■ предотвращения перехвата техническими средствами информации,
передаваемой по каналам связи;
■ предотвращения утечки обрабатываемой информации за счет побочных
электромагнитных излучений и наводок, создаваемых функционирующими
техническими средствами, а также электроакустических преобразований;
■ исключения несанкционированного доступа к обрабатываемой или
хранящейся в технических средствах информации;
■ предотвращения специальных программно-технических воздействий,
вызывающих разрушение, уничтожение, искажение информации или сбои в
работе средств информатизации;
■ выявления возможно внедренных на объекты и в технические средства
электронных устройств перехвата информации (закладных устройств);
■ предотвращения перехвата техническими средствами речевой информации
из помещений и объектов.
Предотвращение перехвата техническими средствами информации, передаваемой по
каналам связи, достигается применением криптографических и иных методов и средств
защиты, а также проведением организационно-технических и режимных мероприятий.
Предотвращение утечки обрабатываемой информации за счёт побочных
электромагнитных излучений и наводок, а также электроакустических преобразований
достигается применением защищённых технических средств, аппаратных средств
защиты, средств активного противодействия, экранированием зданий или отдельных
помещений, установлением контролируемой зоны вокруг средств информатизации и
другими организационными и техническими мерами.
Исключение несанкционированного доступа к обрабатываемой или хранящейся в
технических средствах информации достигается применением специальных программно
технических средств защиты, использованием криптографических способов защиты, а
также организационными и режимными мероприятиями.
У ч еб и ьш ц е н т р
125
Предотвращение специальных программно-технических воздействий, вызывающих

разрушение, уничтожение, искажение информации или сбои в работе средств
информатизации, достигается применением специальных программных и аппаратных
средств защиты (антивирусные процессоры, антивирусные программы), организацией
системы контроля безопасности программного обеспечения.
Выявление возможно внедрённых на объекты и в технические средства электронных
устройств перехвата информации (закладных устройств) достигается проведением
специальных проверок по выявлению этих устройств.
Предотвращение перехвата техническими средствами речевой информации из
помещений и объектов достигается применением специальных средств защиты,
проектными решениями, обеспечивающими звукоизоляцию помещений, выявлением
специальных устройств подслушивания и другими организационными и режимными
мероприятиями.
Информация, содержащая сведения, отнесённые к государственной или служебной тайне,
должна обрабатываться с использованием защищённых систем и средств
информатизации и связи или с использованием технических и программных средств
защиты, сертифицированных в установленном порядке.
Соответствие технического средства и его программного обеспечения требованиям
защищённости подтверждается сертификатом, выдаваемым предприятием, имеющим
лицензию на этот вид деятельности, по результатам сертификационных испытаний, или
предписанием на эксплуатацию, оформляемым по результатам специальных
исследований и специальных проверок технических средств и программного
обеспечения.
Для оценки готовности систем и средств информатизации и связи к обработке (передаче)
информации, содержащей сведения, отнесённые к государственной или служебной тайне,
проводится аттестование указанных систем и средств в реальных условиях эксплуатации
на предмет соответствия принимаемых методов, мер и средств защиты требуемому
уровню безопасности информации.
Защита информации, передаваемой по общегосударственным и ведомственным линиям
связи, обеспечивается потребителями, которые по согласованию с подразделениями
ФСТЭК России и Мининформсвязи России разрабатывают инструкции по обеспечению
защиты информации и определяют перечень организационных и технических мер,
направленных на предотвращение утечки информации по техническим каналам.
Необходимость защиты доступных средствам радиоразведки каналов связи, по которым
передаются потоки служебной информации, где отдельно взятые сведения не составляют
государственную или служебную тайну, определяется решениями ФСТЭК России по
согласованию с заинтересованными органами государственной власти.
Контроль состояния защиты информации
Контроль состояния защиты информации (далее именуется - контроль) осуществляется с
целью своевременного выявления и предотвращения утечки информации по техническим
каналам, несанкционированного доступа к ней, преднамеренных программно
технических воздействий на информацию.
Контроль заключается в проверке выполнения актов законодательства Российской
Федерации по вопросам защиты информации, решений ФСТЭК России, а также в оценке
обоснованности и эффективности принятых мер защиты для обеспечения выполнения
утверждённых требований и норм по защите информации.
Контроль организуется Федеральной службой по техническому и экспортному контролю,
Федеральной службой безопасности Российской Федерации, Министерством внутренних
дел Российской Федерации, Министерством обороны Российской Федерации, Службой
внешней разведки Российской Федерации и Федеральной службой охраны Российской
Федерации, структурными и межотраслевыми подразделениями органов государственной
власти, входящими в государственную систему защиты информации, и предприятиями в
соответствии с их компетенцией.
Акты проверок предприятий рассылаются их руководителями в орган, проводивший
проверку, и в орган государственной власти по подчинённости предприятия.
ФСТЭК России организует контроль силами центрального аппарата и управлений
ФСТЭК России по федеральным округам. Она может привлекать для этих целей
подразделения по защите информации органов государственной власти.
Центральный аппарат ФСТЭК России осуществляет в пределах своей компетенции
контроль в органах государственной власти и на предприятиях, обеспечивает
методическое руководство работами по контролю (за исключением объектов и
технических средств, защита которых входит в компетенцию ФСБ России, МВД России,
Минобороны России, СВР России, ФСО Росси).
Управления ФСТЭК России по федеральным округам, в пределах своей компетенции
осуществляют контроль в органах государственной власти и на предприятиях,
расположенных в зонах ответственности этих центров.
Органы государственной власти организуют и осуществляют контроль на подчинённых
им предприятиях через свои подразделения по защите информации. Повседневный
контроль за состоянием защиты информации на предприятиях проводится силами их
подразделений по защите информации.
Контроль на предприятиях негосударственного сектора при выполнении работ с
использованием сведений, отнесённых к государственной или служебной тайне,
осуществляется органами государственной власти, ФСТЭК России, ФСБ России, и
заказчиком работ в соответствии с их компетенцией.
Защита информации считается эффективной, если принимаемые меры соответствуют
установленным требованиям или нормам.
Несоответствие мер установленным требованиям или нормам по защите информации
является нарушением.
Нарушения по степени важности делятся на три категории:
■ первая - невыполнение требований или норм по защите информации, в
результате чего имелась или имеется реальная возможность ее утечки по
техническим каналам;
■ вторая - невыполнение требований по защите информации, в результате
чего создаются предпосылки к ее утечке по техническим каналам;
■ третья - невыполнение других требований по защите информации.
При обнаружении нарушений первой категории руководители органов государственной
власти и предприятий обязаны:
■ немедленно прекратить работы на участке (рабочем месте), где обнаружены
нарушения и принять меры по их устранению;
■ организовать в установленном порядке расследование причин и условий
появления нарушений с целью недопущения их в дальнейшем и привлечения
к ответственности виновных лиц;
■ сообщить в ФСТЭК России, ФСБ России, руководству органа
государственной власти и заказчику о вскрытых нарушениях и принятых
мерах.
127
Возобновление работ разрешается после устранения нарушений и проверки

достаточности и эффективности принятых мер, проводимой ФСТЭК России или по её
поручению подразделениями по защите информации органов государственной власти.
При обнаружении нарушений второй и третьей категорий руководители проверяемых
органов государственной власти и предприятий обязаны принять необходимые меры по
их устранению в сроки, согласованные с органом, проводившим проверку, или
заказчиком (представителем заказчика). Контроль за устранением этих нарушений
осуществляется подразделениями по защите информации этих органов государственной
власти и предприятий.
Финансирование мероприятий по защите информации
Финансирование мероприятий по защите информации, содержащей сведения,
отнесённые к государственной или служебной тайне, а также подразделений по защите
информации в органах государственной власти и на бюджетных предприятиях
предусматривается в сметах расходов на их содержание.
Создание технических средств защиты информации, не требующее капитальных
вложений, осуществляется в пределах средств, выделяемых заказчикам на научно
исследовательские и опытно-конструкторские работы, связанные с разработкой
продукции. Расходы по разработке технических средств защиты включаются в стоимость
разработки образца продукции.
Создание технических средств защиты информации, требующее капитальных вложений
осуществляется в пределах средств, выделяемых заказчикам на строительство
(реконструкцию) сооружений или объектов.
128
Основные защитные механизмы, реализуемые
в рамках различных мер и средств защиты
Основные механизмы защиты информационных систем

Для защиты компьютерных систем от неправомерного вмешательства в процессы их
функционирования и НСД к информации используются следующие основные методы
защиты (защитные механизмы):
■ идентификация (именование и опознавание), аутентификация
(подтверждение подлинности) пользователей системы;
разграничение доступа пользователей к ресурсам системы и авторизация
(присвоение полномочий) пользователям;
регистрация и оперативное оповещение о событиях, происходящих в
системе;
криптографическое закрытие (шифрование) хранимых и передаваемых по
каналам связи данных;
контроль целостности и аутентичности (подлинности и авторства) данных;
резервирование и резервное копирование;
фильтрация трафика и трансляция адресов;
обнаружение вторжений (атак);
выявление и нейтрализация действий компьютерных вирусов;
затирание остаточной информации на носителях;
выявление уязвимостей (слабых мест) системы;
маскировка и создание ложных объектов;
страхование рисков.
Перечисленные механизмы защиты могут применяться в конкретных технических
средствах и системах защиты в различных комбинациях и вариациях. Наибольший
эффект достигается при их системном использовании в комплексе с другими видами мер
защиты. В дальнейшем будут рассмотрены наиболее важные защитные механизмы.
Идентификация и аутентификация пользователей
В целях обеспечения возможности разграничения доступа к ресурсам АС и возможности
регистрации событий такого доступа каждый субъект (сотрудник, пользователь, процесс)
и объект (ресурс) защищаемой автоматизированной системы должен быть однозначно
идентифицируем. Для этого в системе должны храниться специальные признаки каждого
субъекта и объекта, по которым их можно было бы однозначно опознать.
Идентификация - это, с одной стороны, присвоение индивидуальных имён, номеров
(идентификаторов) субъектам и объектам системы, а, с другой стороны, —это их
распознавание (опознавание) по присвоенным им уникальным идентификаторам.
Наличие идентификатора позволяет упростить процедуру выделения конкретного
субъекта (определённый объект) из множества однотипных субъектов (объектов).
Чаще всего в качестве идентификаторов применяются номера или условные обозначения
в виде набора символов.
129
Аутентификация - это проверка (подтверждение) подлинности идентификации

субъекта или объекта системы. Цель аутентификации субъекта - убедиться в том, что
субъект является именно тем, кем представился (идентифицировался). Цель
аутентификации объекта —убедиться, что это именно тот объект, который нужен.
Идентификация и аутентификация пользователей должна производиться при каждом их
входе в систему и при возобновлении работы после кратковременного перерыва (после
периода неактивности без выхода из системы или выключения компьютера).
Аутентификация пользователей может осуществляться следующим образом:
■ путем проверки знания того, чего не знают другие (паролей, PIN-кодов,
ключевых слов);
■ путем проверки владения тем, что относительно сложно подделать
(карточками, ключевыми вставками и т.п.);
■ путем проверки уникальных физических характеристик и параметров
(отпечатков пальцев, особенностей радужной оболочки глаз, формы кисти
рук и т.п.) самих пользователей при помощи специальных биометрических
устройств;
■ путем проверки рекомендации (сертификата, специального билета) от
доверенного посредника.
Системы аутентификации могут быть двух видов - с взаимной и односторонней
аутентификацией. Примером взаимной аутентификации является аутентификация
WEB-сервера, которая предполагает предъявление сертификата, доказывающего
взаимодействие с нужным оборудованием, которое находится под управлением нужных
физических или юридических лиц.
Простейшей формой аутентификации является парольная, при которой ввод значений
идентификатора и пароля осуществляется, как правило, с клавиатуры. Считается, что эта
форма аутентификация небезопасна, поскольку:
■ пользователи часто применяют короткие легко подбираемые пароли;
■ во многих системах существуют многочисленные возможности перехвата
паролей (серфинг на плече, запуск клавиатурных «шпионов» (Рис. 1.7.1),
перехват в открытых сетях и т.д.).
ж
J L -'
я к
Рис. 1.7.1. Клавиатурный шпион
У ч е б н ы ! центр
В связи с этим в Международном стандарте ISO/IEC 27002 рекомендуется использовать в
информационной системе сервисы, не допускающие передачу пароля в открытом виде.
Именно поэтому, современные защищённые информационные системы применяют, как
правило, хеширование и шифрование передаваемых паролей, а также одноразовые
пароли.
В качестве эффективного средства против подбора паролей могут быть использованы
организационные меры в виде систематической смены пароля пользователями.
Другим важным достоинством парольной аутентификацией является её интеллектуальная
составляющая, т.е. связь с разумом и сознанием пользователя. В совершенных с точки
зрения безопасности информационных системах пароли должны храниться
исключительно в «человеческой» памяти пользователей без записи на любой
материальный носитель информации.
Другой способ аутентификации связан с использованием «отчуждаемых» элементов,
которыми уникально обладают пользователи (смарт-карты, дискеты, ключевые
контейнеры, радиочастотные бесконтактные карточки, электронные таблетки iButton и
т.п.). Как правило, подобный механизм применяется в совокупности с дополнительной
парольной аутентификацией (вводом PIN-кода), образуя двухфакторную систему
аутентификации. Типичным примером двухфакгорной аутентификации является защита
ключевых контейнеров на различных носителях (смарт-картах, е-токенов и др.) с
помощью PIN-кода.
В качестве другого примера двухфакгорной аутентификации можно привести
технологию RSA Secure ГО, показанную на Рис. 1.7.2.
Запрос на аутентификацию
I D 1____________ ш а SecurlD'
Псевдослучайное число A i
________ I D 2____________
Ш
E J
2
Псевдослучайное число А 2
Li Ш п
______ ID п
Псевдослучайное число Ап Сервер SecurelD

Каждый токен имеет уникальный серийный номер ГО
и срок действия (2 года) _________
т
Фермы токеда: смарт-
карта, калькулятор, брелок
База данных имен
Токен формирует каждую минуту новый пользователей и ID
одноразовый пароль-псевдослучайное число
Рис. 1.7.2. Технология двухфакторной аутентификации RSA Secure ID
Одной из форм этого способа аутентификации является аутентификация по адресу

(IP-адресу, e-mail адресу, телефонному номеру), активно применяющаяся в системах
Клиент-Банк и сотовой телефонии.
Недостаток аутентификации «владения» - возможность потери (кражи) аутентификатора.
Альтернативой служат биометрические технологии, которые характеризуются:
131
■ относительной трудностью потери аутентификатора;

■ высоким уровнем достоверности опознавания пользователей.
В основе работы этих систем лежит биометрическое распознавание - сравнение
физиологических и психологических особенностей субъекта с его аналогичными
характеристиками, хранящимися в базе данных объекта.
Биометрические технологии делятся на физиологические и психологические.
В первой из них используются постоянные физиологические (генетические) параметры
субъекта: параметры пальцев (папиллярные линии, рельеф), структура глаза (сетчатки
или радужной оболочки), форма ладони (отпечаток или топография), геометрические
характеристики лица (2D или 3D графика), структура ДНК (сигнатура) и т.п.
Психологические технологии (индивидуальные поведенческие особенности, присущие
каждому человеку) носят изменчивый характер: спектр голоса, динамические параметры
письма, особенности ввода символов с клавиатуры.
Недостатками биометрической аутентификацией являются:
■ проблема получения ключа из биометрических параметров;
■ возможность исключения из процесса аутентификации субъектов с
скомпрометированным электронным аутентификатором;
■ относительно высокая стоимость реализации биометрических систем;
■ возможностью ошибок распознавания первого и второго рода (пропуск или
ложная тревога);
■ возможность изготовления относительно дешевых муляжей для
биопараметров.
Для реализации рассмотренных выше способов аутентификации необходим
первоначальный контакт между субъектом и объектом, в процессе которого стороны
обмениваются аутентификатором. В ряде случаев такой контакт невозможен, например, в
системах электронного бизнеса В2С.
В2С - это краткосрочное взаимодействие бизнеса и конечного потребителя
бизнес-продукта, сопровождаемое большим числом разовых сделок, при котором ни
поставщики, ни потребители никогда ранее не имели взаимных деловых контактов. Для
подобных заочных транзакций наиболее эффективна аутентификация с использованием
различных форм рекомендаций от доверенного посредника, например сертификата или
билета.
В частности, широко известны сертификаты Х509, связывающие открытый ключ клиента
и его уникальный идентификатор, которые подписаны цифровой подписью доверенного
центра сертификации.
Перспективой развития технологий аутентификации является создание многофакторных
систем аутентификации с комбинированным применением паролей, биопараметров,
отчуждаемых элементов и сертификатов.
Разграничение доступа зарегистрированных пользователей к
ресурсам автоматизированной системы
Разграничение (контроль) доступа к ресурсам А С - это такой порядок использования
ресурсов автоматизированной системы, при котором субъекты получают доступ к
объектам системы в строгом соответствии с установленными правилами.
Объект - это пассивный компонент системы, единица ресурса автоматизированной
системы (устройство, диск, каталог, файл и т.п.), доступ к которому регламентируется
правилами разграничения доступа.
И Информзащита
Субъект - это активный компонент системы (пользователь, процесс, программа),
действия которого регламентируются правилами разграничения доступа.
Доступ к информации - ознакомление с информацией (чтение, копирование), её
модификация (корректировка), уничтожение (удаление) и т.п.
Доступ к ресурсу —получение субъектом возможности манипулировать данным
ресурсом (использовать, управлять, изменять настройки и т.п.).
Правила разграничения доступа - совокупность правил, регламентирующих права
доступа субъектов к объектам в некоторой системе.
Несанкционированный доступ (НСД) - доступ субъекта к объекту в нарушение
установленных в системе правил разграничения доступа.
Авторизация —предоставление аутентифицированному субъекту соответствующих
(предписанных установленным порядком) прав на доступ к объектам системы: какие
данные и как он может использовать (какие операции с ними выполнять), какие
программы может выполнять, когда, как долго и с каких терминалов может работать,
какие ресурсы системы может использовать и т.п.
Авторизованный субъект доступа - субъект, которому предоставлены
соответствующие права доступа к объектам системы (полномочия).
Авторизация пользователей осуществляется с использованием следующих основных
механизмов реализации разграничения доступа:
■ механизмов избирательного управления доступом, основанных на
использовании атрибутных схем, списков разрешений и т.п.;
■ механизмов полномочного управления доступом, основанных на
использовании меток конфиденциальности ресурсов и уровней допуска
пользователей;
■ механизмов обеспечения замкнутой среды доверенного программного
обеспечения (индивидуальных для каждого пользователя списков
разрешенных для использования программ),
поддерживаемых механизмами идентификации и аутентификации пользователей при их
входе в систему.
Технические средства разграничения доступа к ресурсам АС должны рассматриваться
как составная часть единой системы контроля доступа субъектов:
■ на контролируемую территорию;
■ в отдельные здания и помещения организации;
■ к элементам АС и элементам системы защиты информации (физический
доступ);
■ к информационным и программным ресурсам АС.
Механизмы управления доступом субъектов к объектам доступа выполняют основную
роль в обеспечении внутренней безопасности компьютерных систем. Их работа строится
на концепции единого диспетчера доступа. Сущность этой концепции состоит в том, что
диспетчер доступа (монитор ссылок) - выступает посредником-контролером при всех
обращениях субъектов к объектам (см. Рис. 1.7.3).
У чвб м и аи тр
133
Правила
iразграничения
• доступа
ia
Субъект
доступа
Рис. 1.7.3. Диспетчер доступа
Диспетчер доступа выполняет следующие основные функции:

■ проверяет права доступа каждого субъекта к конкретному объекту на
основании информации, содержащейся в базе данных системы защиты
(правил разграничения доступа);
■ разрешает (производит авторизацию) или запрещает (блокирует) доступ
субъекта к объекту;
■ при необходимости регистрирует факт доступа и его параметры в системном
журнале (в том числе попытки несанкционированного доступа с
превышением полномочий).
Основными требованиями к реализации диспетчера доступа являются:
■ полнота контролируемых операций (проверке должны подвергаться все
операции всех субъектов над всеми объектами системы, - обход диспетчера
предполагается невозможным);
■ изолированность диспетчера, то есть защищенность самого диспетчера от
возможных изменений субъектами доступа с целью влияния на процесс его
функционирования;
■ возможность формальной проверки правильности функционирования;
■ минимизация используемых диспетчером ресурсов (накладных расходов).
В общем виде работа средств разграничения доступа субъектов к объектам основана на
проверке сведений, хранимых в базе данных защиты.
Под базой данных защиты (security database) понимают базу данных, хранящую
информацию о правах доступа субъектов к объектам.
Для внесения изменений в базу данных защиты система разграничения доступа должна
включать средства для привилегированных пользователей (администраторов
безопасности, владельцев объектов и т.п.) по ведению этой базы. Такие средства
управления доступом должны обеспечивать возможность выполнения следующих
операций:
■ добавления и удаления объектов и субъектов;
■ просмотра и изменения соответствующих прав доступа субъектов к
объектам.
Форма представления базы данных защиты может быть различной.
У ч в б и м центр
Основу базы данных средств разграничения доступа в общем случае составляет
абстрактная матрица доступа или её реальные представления. Каждая строка этой
матрицы соответствует субъекту, а столбец - объекту АС. Каждый элемент этой матрицы
представляет собой кортеж (упорядоченную совокупность значений), определяющий
права доступа (для всех возможных видов доступа —чтение, модификация, удаление и
т.п.) определённого субъекта к определённому объекту (см. Рис. 1.7.4).
1 2
объекты
.. J J+1
а к
П рава д оступа
i-го с у о ъ е к т а
а
t ... K j-M y о б ъ е к т у
а>
&
ю
>- /,
о
Рис. 1.7.4. Матрица избирательного управления доступом
Сложность управления доступом (ведения матрицы доступа) в реальных системах

связана не только с большой размерностью этой матрицы (большим числом субъектов и
объектов) и высоким динамизмом её корректировки, но и с необходимостью постоянного
отслеживания при таких корректировках большого числа зависимостей между
значениями определённых кортежей. Наличие таких зависимостей связано с объективно
существующими в предметной области ограничениями и правилами наследования
полномочий в иерархии объектов и субъектов.
Например, пользователь должен наследовать полномочия групп пользователей, в которые
он входит. Права доступа некоторого пользователя к каталогам и файлам не должны
превышать соответствующие его права по доступу к диску, на котором они размещены и
т.п.
При полномочном управлении доступом (категорирование объектов и субъектов и
введение ограничений по доступу установленных категорий субъектов к объектам
различных категорий) на матрицу доступа накладываются дополнительные зависимости
между значениями прав доступа субъектов.
Ограничения и зависимости между полномочиями существенно усложняют процедуры
ведения матриц доступа. Это привело к возникновению большого числа способов
неявного задания матрицы (списки доступа, перечисление полномочий, атрибутные
схемы и т.п.).
Основные критерии оценки эффективности различных способов неявного задания
матрицы доступа следующие:
■ затраты памяти на хранение образа матрицы доступа;
■ время на выборку (или динамическое вычисление) значений полномочий
(элементов кортежей);
135
■ удобство ведения матрицы при наличии ограничений и зависимостей между

значениями ее кортежей (простота и наглядность, количество требуемых
операций при добавлении/удалении субъекта или объекта,
назначении/модификации полномочий и т.п.).
Рассмотрим основные способы неявного задания матрицы доступа.
Списки управления доступом к объекту
В данной схеме полномочия по доступу к объекту представляются в виде списков
(цепочек) кортежей для всех субъектов, имеющих доступ к данному объекту. Эго
равносильно представлению матрицы по столбцам с исключением кортежей, имеющих
все нулевые значения.
Такое представление матрицы доступа получило название «списка управления доступом»
(access control list - ACL). Этот вид задания матрицы реализован, к примеру, в ОС
Windows NT/2000/2003/XP/Vista (в NTFS).
Достоинства:
■ экономия памяти, так как матрица доступа обычно сильно разрежена;
■ удобство получения сведений о субъектах, имеющих какой либо вид доступа
к заданному объекту.
Недостатки:
■ неудобство отслеживания ограничений и зависимостей по наследованию
полномочий субъектов;
■ неудобство получения сведений об объектах, к которым имеет какой-либо
вид доступа данный субъект;
■ так как списки управления доступом связаны с объектом, то при удалении
субъекта возможно возникновение ситуации, при которой объект может
быть доступен несуществующему субъекту.
Списки полномочий субъектов
В данной модели полномочия доступа субъекта представляются в виде списков (цепочек)
кортежей для всех объектов, к которым он имеет доступ (любого вида). Это равносильно
представлению матрицы по строкам с исключением кортежей, имеющих нулевые
значения.
Такое представление матрицы доступа называется «профилем» (profile) субъекта. Пример
реализации списков полномочий субъектов - сетевая ОС Novell NetWare.
В системах с большим количеством объектов профили могут иметь большие размеры и,
вследствие этого, ими трудно управлять. Изменение профилей нескольких субъектов
может потребовать большого количества операций и привести к трудностям в работе
системы.
Достоинства:
■ экономия памяти, так как матрица доступа обычно сильно разрежена;
■ удобство получения сведений об объектах, к которым имеет какой-либо вид
доступа данный субъект.
■ неудобство отслеживания ограничений и зависимостей по наследованию
полномочий доступа к объектам;
■ неудобство получения сведений о субъектах, имеющих какой либо вид
доступа к заданному объекту;
1 ^1l*N
y~ irfiiii ы центр
■ так как списки управления доступом связаны с субъектом, то при удалении
объекта возможно возникновение ситуации, при которой субъект может
иметь права на доступ к несуществующему объекту.
Атрибутные схемы
Так называемые атрибутные способы задания матрицы доступа основаны на присвоении

субъектам и/или объектам определённых меток, содержащих значения атрибутов, на
основе сопоставления которых определяются права доступа (производится авторизация
субъекта). Наиболее известным примером неявного задания матрицы доступа является
реализация атрибутной схемы в операционной системе UNIX.
Основными достоинствами этих схем являются:
■ экономия памяти, так как элементы матрицы не хранятся, а динамически
вычисляются при попытке доступа для конкретной пары субъект-объект на
основе их меток или атрибутов;
■ удобство корректировки базы данных защиты, то есть модификации меток и
атрибутов;
■ удобство отслеживания ограничений и зависимостей по наследованию
полномочий субъектов, так как они в явном виде не хранятся, а
формируются динамически;
■ отсутствие потенциальной противоречивости при удалении отдельных
субъектов или объектов.
■ дополнительные затраты времени на динамическое вычисление значений
элементов матрицы при каждом обращении любого субъекта к любому
объекту;
■ затруднено задание прав доступа конкретного субъекта к конкретному
объекту.
Диспетчер доступа, контролируя множество событий безопасности, происходящих в
системе, тесно взаимодействует с подсистемами регистрации событий и оперативного
оповещения об их наступлении. Он обеспечивает обнаружение и регистрацию до
нескольких сотен типов событий. Примером таких событий могут служить:
■ вход пользователя в систему;
■ вход пользователя в сеть;
■ неудачная попытка входа в систему или сеть (неправильный ввод имени или
пароля);
■ подключение к файловому серверу;
■ запуск программы;
■ завершение программы;
■ оставление программы резидентно в памяти;
■ попытка открытия файла недоступного для чтения;
■ попытка открытия на запись файла недоступного для записи;
■ попытка удаления файла недоступного для модификации;
■ попытка изменения атрибутов файла недоступного для модификации;
■ попытка запуска программы, недоступной для запуска;
137
■ попытка получения доступа к недоступному каталогу;

■ попытка чтения/записи информации с диска, недоступного пользователю;
■ попытка запуска программы с диска, недоступного пользователю;
■ вывод на устройства печати документов с грифом (при полномочном
управлении доступом);
■ нарушение целостности программ и данных системы защиты и др.
В хорошо спроектированных системах защиты все механизмы контроля используют
единый механизм регистрации. Однако, в системах, где используются разнородные
средства защиты разных производителей, в каждом из них используются свои механизмы
и ведутся свои журналы регистрации, что создаёт дополнительные сложности в
администрировании системы защиты.
Полномочное управление доступом
Механизм полномочного (меточного, мандатного) управления доступом был разработан
в 80-х годах прошлого века в интересах Министерства обороны США для обработки
информации с различными грифами секретности.
Полномочный метод управления доступом включает:
■ присвоение каждому объекту системы метки критичности, определяющей
ценность содержащейся в нем информации;
■ присвоение каждому субъекту системы уровня прозрачности (уровня
допуска), определяющего максимальное значение метки критичности
объектов, к которым субъект имеет доступ.
При этом цель системы защиты - не просто контролировать доступ пользователя к
объектам АС, а контролировать его так, чтобы:
■ пользователь не получил доступ к данным, более конфиденциальным, чем
позволяет его форма допуска;
■ не произошло копирование этих данных на носители с меньшими уровнями
важности.
Можно выделить две системы присвоения меток конфиденциальности:
■ иерархческая система меток (грифов) конфиденциальности;
■ неиерархческая система меток конфиденциальности.
К сожалению, полномочный метод управления доступом не нашёл широкого
распространения в коммерческом (негосударственном) секторе в связи со следующими
причинами:
■ отсутствием в коммерческой организации четкой классификации хранимой и
обрабатываемой информации, аналогичной государственной;
■ относительно высокой стоимостью реализации и большими накладными
расходами.
Замкнутая программная среда
Механизм замкнутой программной среды предусматривает формирование жёсткого
списка программ, разрешённых системе для запуска.
Однако при этом необходимо обеспечить выполнение определённых требований:
■ «запрещено все, что явно не разрешено»;
■ указание полных путей доступа к исполняемым файлам;
1-» —^ У ч е б н а ц ентр
138
■ запрет модификации (защита от подмены) файлов;

■ формирование списка по журналам регистрации;
■ наличие «мягкого» режима работы.
Регистрация и оперативное оповещение о событиях

безопасности
Механизмы регистрации предназначены для получения и накопления (с целью
последующего анализа) информации о состоянии ресурсов системы и о действиях
субъектов, признанных администрацией АС потенциально опасными для системы.
Анализ собранной средствами регистрации информации позволяет выявить факты
совершения нарушений, характер воздействий на систему, определить, как далеко зашло
нарушение, подсказать метод его расследования и способы поиска нарушителя и
исправления ситуации.
Дополнительно, средства регистрации позволяют получать исчерпывающую статистику
по использованию тех или иных ресурсов, межсетевому трафику, использованию
сервисов, попыткам несанкционированного доступа, и т.п.
Кроме записи сведений об определённых событиях в специальные журналы для
последующего анализа средства регистрации событий могут обеспечивать и оперативное
оповещение администраторов безопасности (при наличии соответствующих
возможностей по передаче сообщений) о состоянии ресурсов, попытках НСД и других
действиях пользователей, которые могут повлечь за собой нарушение политики
безопасности и привести к возникновению кризисных ситуаций.
При регистрации событий безопасности в системном журнале обычно фиксируется
следующая информация:
■ дата и время события;
■ идентификатор субъекта (пользователя, программы), осуществляющего
регистрируемое действие;
■ действие (если регистрируется запрос на доступ, то отмечается объект и тип
доступа).
Механизмы регистрации очень тесно связаны с другими защитными механизмами.
Сигналы о происходящих событиях и детальную информацию о них механизмы
регистрации получают от механизмов контроля (подсистем разграничения доступа,
контроля целостности ресурсов и других).
В наиболее развитых системах защиты подсистема оповещения сопряжена с
механизмами оперативного автоматического реагирования на определённые события.
Могут поддерживаться следующие основные способы реагирования на обнаруженные
факты НСД (возможно с участием администратора безопасности):
■ подача сигнала тревоги;
■ извещение администратора безопасности;
■ извещение владельца информации о НСД к его данным;
■ снятие программы (задания) с дальнейшего выполнения;
■ отключение (блокирование работы) терминала или компьютера, с которого
были осуществлены попытки НСД к информации;
■ исключение нарушителя из списка зарегистрированных пользователей и т.п.
139
Криптографические методы защиты информации

Криптографическое преобразование —это преобразование информации, основанное на
некотором алгоритме, зависящем от изменяемого параметра (обычно называемого
секретным ключом), и обладающее свойством невозможности восстановления исходной
информации по преобразованной, без знания действующего ключа, с трудоёмкостью
меньше заранее заданной.
К криптографическим средствам защиты (в соответствии с «Положением о
лицензировании деятельности по разработке, производству, распространению
телекоммуникационных систем, защищенных с использованием шифровальных
(криптографических) средств, выполнению работ, оказанию услуг в области шифрования
информации, техническому обслуживанию шифровальных (криптографических) средств,
использованием шифровальных (криптографических) средств (за исключением случая,
если техническое обслуживание шифровальных (криптографических) средств,
использованием шифровальных (криптографических) средств, осуществляется для
обеспечения собственных нужд юридического лица или индивидуального
предпринимателя)», утверждённым постановлением Правительства Российской
Федерации от 16.04.2012 № 313) относятся:
а) средства шифрования - аппаратные, программные и программно-аппаратные
шифровальные (криптографические) средства, реализующие алгоритмы
криптографического преобразования информации для ограничения доступа к ней, в том
числе при ее хранении, обработке и передаче;
б) средства имитозащиты - аппаратные, программные и программно-аппаратные
шифровальные (криптографические) средства (за исключением средств шифрования),
реализующие алгоритмы криптографического преобразования информации для ее
защиты от навязывания ложной информации, в том числе защиты от модифицирования,
для обеспечения ее достоверности и некорректируемости, а также обеспечения
возможности выявления изменений, имитации, фальсификации или модифицирования
в) средства электронной подписи;
г) средства кодирования - средства шифрования, в которых часть криптографических
преобразований информации осуществляется с использованием ручных операций или с
использованием автоматизированных средств, предназначенных для выполнения таких
операций;
д) средства изготовления ключевых документов - аппаратные, программные,
программно-аппаратные шифровальные (криптографические) средства, обеспечивающие
возможность изготовления ключевых документов для шифровальных
(криптографических) средств, не входящие в состав этих шифровальных
е) ключевые документы - электронные документы на любых носителях информации, а
также документы на бумажных носителях, содержащие ключевую информацию
ограниченного доступа для криптографического преобразования информации с
использованием алгоритмов криптографического преобразования информации
(криптографический ключ) в шифровальных (криптографических) средствах;
ж) аппаратные шифровальные (криптографические) средства - устройства и их
компоненты, в том числе содержащие ключевую информацию, обеспечивающие
возможность преобразования информации в соответствии с алгоритмами
криптографического преобразования информации без использования программ для
электронных вычислительных машин;
з) программные шифровальные (криптографические) средства - программы для
электронных вычислительных машин и их части, в том числе содержащие ключевую
информацию, обеспечивающие возможность преобразования информации в соответствии
с алгоритмами криптографического преобразования информации в программно
аппаратных шифровальных (криптографических) средствах, информационных системах
и телекоммуникационных системах, защищенных с использованием шифровальных
и) программно-аппаратные шифровальные (криптографические) средства - устройства и
их компоненты (за исключением информационных систем и телекоммуникационных
систем), в том числе содержащие ключевую информацию, обеспечивающие возможность
преобразования информации в соответствии с алгоритмами криптографического
преобразования информации с использованием программ для электронных
вычислительных машин, предназначенных для осуществления этих преобразований
информации или их части.
Криптографические технологии защиты информации позволяют решать следующие
задачи:
■ аутентификация абонентов;
■ контроль целостности данных;
■ закрытие данных, хранимых в АС или передаваемых по каналам связи;
■ разграничение ответственности на основе обеспечения аутентичности и
неотказу емости.
Основным достоинством криптографических методов является то, что они обеспечивают
высокую гарантированную стойкость защиты, которую можно рассчитать и выразить в
числовой форме (средним числом операций или временем, необходимым для раскрытия
зашифрованной информации или вычисления ключей).
К числу основных недостатков криптографических методов следует отнести:
■ значительные затраты ресурсов (времени, производительности процессоров)
на выполнение криптографических преобразований информации;
■ трудности совместного использования зашифрованной (подписанной)
информации, связанные с управлением ключами (генерация, распределение
и т.д.);
■ высокие требования к сохранности секретных ключей и защиты открытых
ключей от подмены.
Криптография делится на два класса: криптография с симметричными ключами и
криптография с открытыми ключами.
Криптография с симметричными ключами
В криптографии с симметричными ключами (классическая криптография) абоненты
используют один и тот же (общий) ключ (секретный элемент), как для шифрования, так и
для расшифрования данных.
Следует выделить следующие преимущества криптографии с симметричными ключами:
■ относительно высокая производительность алгоритмов;
■ высокая криптографическая стойкость алгоритмов на единицу длины ключа.
К недостаткам криптографии с симметричными ключами следует отнести:
141
■ необходимость использования сложного механизма распределения ключей;

■ технологические трудности обеспечения неотказуемости.
Криптография с открытыми ключами
Для решения задач распределения ключей и ЭП были использованы идеи
асимметричности преобразований и открытого распределения ключей Диффи и
Хеллмана. В результате была создана криптография с открытыми ключами, в которой
используется не один секретный, а пара ключей: открытый (публичный) ключ и
секретный (личный, индивидуальный) ключ, известный только одной
взаимодействующей стороне. В отличие от секретного ключа, который должен
сохраняться в тайне, открытый ключ может распространяться публично. На Рис. 1.7.5
представлены два свойства систем с открытыми ключами, позволяющие формировать
зашифрованные и аутентифицированные сообщения.
'■ 1 —► Шнфрование- —«расшифрование — ► 101

А Гс~-
ключомпозволяет
посы пать •
ayi ентифнцированные
С'е»с|> е т н ы й О тк р ы ты й
сообщения
ключ клю ч
101 — ► Шифрование - * в/оЛЬ -* Расшифрование — ► 101

г д *
•
Обладание o i крытым
ключом позволяет
посылать
I
зашифрованные О тк р ы ты й Секретный
сообщения клю ч ключ
Рис. 1.7.5. Два свойства криптографии с открытыми ключами
Схема шифрования данных с использованием открытого ключа приведена на Рис. 1.7.6 и

состоит из двух этапов. На первом из них производится обмен по несекретному каналу
открытыми ключами. При этом необходимо обеспечить подлинность передачи ключевой
информации. На втором этапе, собственно, реализуется шифрование сообщений, при
котором отправитель зашифровывает сообщение открытым ключом получателя.
Зашифрованный файл может быть прочитан только владельцем секретного ключа, т.е.
получателем. Схема расшифрования, реализуемая получателем сообщения, использует
для этого секретный ключ получателя.
Учеймь* центр
Г*
ШещттшШ
ключ
Канал
▼
«■в
Щуфрование связи Расшифрование Я
ь#* ЭД
ЭД
ГС=> т$
Г
I .....
" Открытый
О тправитель КЛЮЧ Получатель
Рис. 1.7.6. Схема шифрования в криптографии с открытыми ключами
Реализация схемы ЭП связанна с вычислением хэш-функции (дайджеста) данных,

которая представляет собой уникальное число, полученное из исходных данных путём
его сжатия (свёртки) с помощью сложного, но известного алгоритма. Хэш-функция
является однонаправленной функцией, т.е. по хэш-значению невозможно восстановить
исходные данные. Хэш-функция чувствительна к всевозможным искажениям данных.
Кроме того, очень трудно отыскать два набора данных, обладающих одним и тем же
значением хэш-функции.
Схема формирования подписи электронного документа (ЭД) его отправителем включает
вычисление хэш-функции ЭД и зашифрование этого значения посредством секретного
ключа отравителя. Результатом шифрования является значение ЭП ЭД (реквизит ЭД),
которое пересылается вместе с самим ЭД получателю. При этом получателю сообщения
должен быть предварительно передан открытый ключ отправителя сообщения
(см. Рис. 1.7.7).
ЯЛ
— к эд •
W
I
I Расшифрсешие |
Шифрование
ф *
Hash
(ЭД) Канал I
Т
А
связи I
.J
I
Рис. 1.7.7. Схема ЭП в криптографии с открытыми ключами
143
Схема проверки (верификации) ЭП, осуществляемая получателем сообщения, состоит из

следующих этапов. На первом из них производится расшифрование блока ЭП
посредством открытого ключа отправителя. Затем вычисляется хэш-функция ЭД.
Результат вычисления сравнивается с результатом расшифрования блока ЭП. В случае
совпадения, принимается решение о соответствии ЭП ЭД. Несовпадение результата
расшифрования с результатом вычисления хэш-функции ЭД может объясняться
следующими причинами:
■ в процессе передачи по каналу связи была потеряна целостность ЭД;
■ при формировании ЭП был использован не тот (поддельный) секретный
ключ;
■ при проверке ЭП был использован не тот открытый ключ (в процессе
передачи по каналу связи или при дальнейшем его хранении открытый ключ
был модифицирован или подменен).
Реализация криптографических алгоритмов с открытыми ключами требует сравнительно
(с симметричными алгоритмами) больших затрат процессорного времени. Поэтому
криптография с открытыми ключами обычно используется для решения задач
распределения ключей и ЭП, а симметричная криптография для шифрования.
Широко известна схема комбинированного шифрования, сочетающая высокую
безопасность криптосистем с открытым ключом с преимуществами высокой скорости
работы симметричных криптосистем. В этой схеме для шифрования используется
случайно вырабатываемый симметричный (сеансовый) ключ, который, в свою очередь,
зашифровывается посредством открытой криптосистемы для его секретной передачи по
каналу в начале сеанса связи (см. Рис. 1.7.8).
Комбинированный метод
(шифрование) Шифр„К1ПОЧ
О ткры ты й
текст для
секретной
пер едачи
Генератор
случайного
ключа
А )
Открытый ключ получателя
Рис. 1.7.8. Схема комбинированного шифрования
N
Доверие к открытому ключу и цифровые сертификаты
Центральным вопросом схемы открытого распределения ключей является вопрос доверия
к полученному открытому ключу партнёра, который в процессе передачи или хранения
может быть модифицирован или подменен. Для широкого класса практических систем
(системы электронного документооборота, системы Клиент-Банк, межбанковские
системы электронных расчётов), в которых возможна личная встреча партнёров до начала
обмена ЭД, эта задача имеет относительно простое решение - взаимная сертификация
открытых ключей.
Эта процедура заключается в том, что каждая сторона при личной встрече удостоверяет
подписью уполномоченного лица и печатью бумажный документ - распечатку
содержимого открытого ключа другой стороны. Этот бумажный сертификат является, во-
первых, обязательством стороны использовать для проверки подписи под входящими
сообщениями данный ключ, и, во-вторых, обеспечивает юридическую значимость
взаимодействия. Действительно, рассмотренные бумажные сертификаты позволяют
однозначно идентифицировать мошенника среди двух партнёров, если один из них
захочет подменить ключи.
Таким образом, для реализации юридически значимого электронного взаимодействия
двух сторон необходимо заключить договор, предусматривающий обмен сертификатами.
Сертификат представляет собой документ, связывающий личностные данные владельца и
его открытый ключ. В бумажном виде он должен содержать рукописные подписи
уполномоченных лиц и печати.
В системах, где отсутствует возможность предварительного личного контакта партнёров,
необходимо использовать цифровые сертификаты, выданные и заверенные ЭП
доверенного посредника - удостоверяющего или сертификационного центра.
На Рис. 1.7.9 показана схема электронного взаимодействия двух партнёров с участием
центра сертификации (ЦС).
ЭЛ Пеятра ..
С ертиф икации
Рис. 1.7.9. Взаимодействие партнёров с участием ЦС
На предварительном этапе каждый из партнёров лично посещает ЦС и получает личный

сертификат - своеобразный электронный аналог гражданского паспорта (см. Рис. 1.7.10).
145
Сертификат Х509
Х509 - промышл енный стандарт

Номер версии Х.509
сертификатов
Открытый ключ пользователя
C e r liftc o te
Серкикым номер сертификата
Идентификатор пользователя
Период действия сертификата

Идентификатор эмитента
ЭП эмитента
Сертификат может выпушен
только уполномоч екньгм Идентификатор алгоритма ЭП
эмитентом (С А) н содержит
рннствент ю ЭП эмитент*
Рис. 1.7.10. Сертификат х. 509
После посещения ЦС каждый из партнёров становится обладателем открытого ключа ЦС.

Открытый ключ ЦС позволяет его обладателю проверить подлинность открытого ключа
партнёра путём проверки подлинности ЭП удостоверяющего центра под сертификатом
открытого ключа партнёра. В соответствии с Федеральным законом «Об электронной
подписи» сертификат ключа проверки ЭП содержит следующую информацию:
■ даты начала и окончания срока его действия;
■ фамилия, имя и отчество (если имеется) - для физических лиц,
наименование и место нахождения —для юридических лиц или иная
информация, позволяющая идентифицировать владельца сертификата ключа
проверки ЭП;
■ ключ проверки ЭП;
■ наименование используемого средства ЭП и (или) стандарты, требованиям
которых соответствуют ключ ЭП и ключ проверки ЭП;
■ наименование удостоверяющего центра, который выдал сертификат ключа
проверки ЭП;
■ иная информация, предусмотренная частью 2 статьи 17 настоящего
Федерального закона, - для квалифицированного сертификата.
Этот сертификат ключа проверки ЭП подписан на «секретном» ключе ЦС, поэтому
любой обладатель «открытого» ключа ЦС может проверить его подлинность. Таким
образом, использование сертификата ключа проверки ЭП предполагает следующую
схему электронного взаимодействия партнёров. Один из партнёров посылает другому
собственный сертификат, полученный из ЦС, и сообщение, подписанное ЭП. Получатель
сообщения осуществляет проверку подлинности сертификата партнёра, которая
включает:
■ проверку доверия эмитенту сертификата и срока его действия;
■ проверку ЭП эмитента под сертификатом;
Уче&нмй центр
■ проверку аннулирования сертификата.
В случае если сертификат партнёра не утратил свою силу, а ЭП используется в
отношениях, в которых она имеет юридическое значение, открытый ключ партнёра
извлекается из сертификата. На основании этого открытого ключа может быть проверена
ЭП партнёра под ЭД.
Важно отметить, что в соответствии с Федеральным законом «Об электронной подписи»
подтверждением подлинности ЭП в ЭД является положительный результат проверки
соответствующим сертифицированным средством ЭП с использованием сертификата
ключа подписи (см. Рис. 1.7.11).
ЦС, обеспечивая безопасность взаимодействия партнёров, выполняет следующие
функции:
■ создает сертификаты ключей проверки электронных подписей и выдает
такие сертификаты лицам, обратившимся за их получением (заявителям);
■ устанавливает сроки действия сертификатов ключей проверки электронных
подписей;
■ аннулирует выданные этим удостоверяющим центром сертификаты ключей
проверки электронных подписей;
■ выдает по обращению заявителя средства электронной подписи, содержащие
ключ электронной подписи и ключ проверки электронной подписи (в том
числе созданные удостоверяющим центром) или обеспечивающие
возможность создания ключа электронной подписи и ключа проверки
электронной подписи заявителем;
■ ведет реестр выданных и аннулированных этим удостоверяющим центром
сертификатов ключей проверки электронных подписей (далее - реестр
сертификатов), в том числе включающий в себя информацию,
содержащуюся в выданных этим удостоверяющим центром сертификатах
ключей проверки электронных подписей, и информацию о датах
прекращения действия или аннулирования сертификатов ключей проверки
электронных подписей и об основаниях таких прекращения или
аннулирования;
■ устанавливает порядок ведения реестра сертификатов, не являющихся
квалифицированными, и порядок доступа к нему, а также обеспечивает
доступ лиц к информации, содержащейся в реестре сертификатов, в том
числе с использованием информационно-телекоммуникационной сети
«Интернет»;
■ создает по обращениям заявителей ключи электронных подписей и ключи
проверки электронных подписей;
■ проверяет уникальность ключей проверки электронных подписей в реестре
сертификатов;
■ осуществляет по обращениям участников электронного взаимодействия
проверку электронных подписей;
■ осуществляет иную связанную с использованием электронной подписи
деятельность.
147
tn ;
"Формирование
ЭП
ЭД
Г
ЭД
I
1 Проверка сертификата с пополню открытого нпоча ЦС. 2Лкпорг открытего кпюта
отправителя. 3. Проверка ЭП отправителя
Рис. 1.7.11. Формирование и проверка ЭП
В ЦС создаются условия безопасного хранения секретных ключей на дорогом и хорошо

защищённом оборудовании, а также условия администрирования доступа к секретным
ключам.
Регистрация каждой ЭП осуществляется на основе заявления, содержащего сведения,
необходимые для выдачи сертификата, а также сведения, необходимые для
идентификации ЭП обладателя и передачи ему сообщений. Заявление подписывается
собственноручной подписью обладателя ЭП, содержащиеся в нем сведения
подтверждаются предъявлением соответствующих документов. При регистрации
проверяется уникальность открытых ключей ЭП в реестре и архиве ЦС.
Важно отметить, что в соответствии с законом «Об электронной подписи» владелец
сертификата проверки ключа ЭП—исключительно физическое лицо, на имя которого
удостоверяющим центром выдан сертификат ключа и которое владеет соответствующим
закрытым ключом ЭП.
Кроме того, сертификат ключа подписи - электронный документ с ЭП уполномоченного
лица удостоверяющего центра. Поэтому устойчивость всей инфраструктуры открытых
ключей связана с сертификатом, выданным на уполномоченное физическое лицо. Смена
работы или завершение земного пути уполномоченного лица УЦ приведёт к
компрометации всех сертификатов, сформированных данным УЦ.
При регистрации в ЦС оформляются на бумажных носителях два экземпляра
сертификата ключа подписи, которые заверяются собственноручными подписями
обладателя ЭЦП и уполномоченного лица удостоверяющего центра и печатью
удостоверяющего центра. Один экземпляр выдаётся обладателю ЭП, второй остаётся в
удостоверяющем центре.
В реальных системах каждым партнёром может использоваться несколько сертификатов,
выданных различными ЦС. Различные ЦС могут быть объединены инфраструктурой
открытых ключей или PKI (PKI - Public Key Infrastructure). ЦС в рамках PKI обеспечивает
не только хранение сертификатов, но и управление ими (выпуск, отзыв, проверку
доверия). Наиболее распространённая модель PKI - иерархическая (см. Рис. 1.7.12).
Фундаментальное преимущество этой модели состоит в том, что проверка сертификатов
V'pwfii» 1 центр
148
требует доверия только относительно малому числу корневых ЦС. В то же время эта
модель позволяет иметь различное число ЦС, выдающих сертификаты.
Корневой (root) Корневой

УД-1 (root)
УЦ-2
Г I
Промежуточный
(intermediate) УЦ
* I ч
Выдающий (issuing) > Ц
Г,
Рис. 1.7.12. Иерархия ЦС
Контроль целостности программных и информационных

ресурсов
Механизм контроля целостности ресурсов системы предназначен для своевременного
обнаружения модификации ресурсов системы. Он позволяет обеспечить правильность
функционирования системы защиты и целостность обрабатываемой информации.
Контроль целостности программ, обрабатываемой информации и средств защиты, с
целью обеспечения неизменности программной среды, определяемой предусмотренной
технологией обработки, и защиты от несанкционированной корректировки информации
должен обеспечиваться:
■ средствами разграничения доступа, запрещающими модификацию или
удаление защищаемого ресурса;
■ средствами сравнения критичных ресурсов с их эталонными копиями
(и восстановления в случае нарушения целостности);
■ средствами подсчета контрольных сумм (сигнатур, имитовставок и т.п.);
■ средствами электронной цифровой подписи.
Контролируемые ресурсы:
■ файлы и каталоги;
■ элементы реестра;
■ сектора дисков;
Контролируемые параметры:
149
■ содержимое ресурса;
■ списки управления доступом;
■ атрибуты файлов;
Алгоритмы контроля:
■ сравнение с эталоном;
■ вычисление контрольных сумм (сигнатур);
■ формирование ЭП и имитовставок;
Время контроля:
■ до загрузки ОС;
■ при наступлении событий;
■ по расписанию.
Обнаружение атак
Обнаружение вторжений (атак) - это процесс мониторинга событий, происходящих в
АС, с целью поиска признаков нарушений безопасности.
Выше было сказано, что нарушением безопасности (просто нарушением или атакой)
называется реализация угрозы безопасности (наступление соответствующего события).
Например, просматривая журнал регистрации событий и обнаружив там большое
количество неудачных попыток аутентификации за короткий промежуток времени
(Рис. 1.7.13), можно сделать вывод, что произошла атака «подбор пароля». В данном
случае, определённое число неудачных попыток аутентификации за определённый
период времени —это и есть признак нарушения безопасности.
Теоретически, поиск признаков атак может выполняться вручную (в этом случае он
сводится к рассмотренному выше анализу собранной средствами регистрации
информации, что, в принципе, позволяет выявить факты совершения нарушений), но суть
механизма обнаружения атак состоит именно в автоматизации данного процесса.
Таким образом, система (средство) обнаружения вторжений (атак) - это программное
(или программно-аппаратное) обеспечение, автоматизирующее процесс обнаружения
атак.
Event Viewer (Local) Security *4J6£«*vY&

а 1|i««i мррпсаиоп
^______
i 5eo_ylty ' .............. Data iJm......... ! | Category 1

j j FaAre Aod* 13.CS,2011 12:04:58 Security Logon/Logoff
sii System
—
j « FaAjre Audtf 13.05,2011 12:04:58 Security Account Logon
ForwardedEvents
f t FaAre Aortt 13.05,2011 12:04:50 Security Logor\/Logoff
1 Internet Explorer ^ F a l/ e A u * 13.05.2011 12:04:58 Security Account Logon
• Microsoft -Windows-EventColIed
Microsoft-Windows-Farwarding/ T) Fa A xt Audrt 13,05.2011 12:04:58 Security Logon/Logoff
4 Microsoft Office Diagnostics g FaAse AudR 13,05,2011 12:04:58 Security Account Logon
ч Microsoft Office Sessions A FaAse Audit 13,05.2011 12:04:58 Security Logon/Logoff
Windows PowerShell Д Au* 13.0S.2011 12:04:58 Security Account Logon
Й Fa*/e Audit 13.05.2011 12:04:58 Security Logon/Logoff
Д F«k/e AudR 13.05.2011 12:04:58 Security Account Logon
1О ПС OOI 1 1?<П4'Св C*wi wih> 1 Л
Рис. 1.7.13. Неудачные попытки аутентификации
Для приведённого выше примера с журналом это означает, что система будет непрерывно
осуществлять мониторинг журнала «Security» и при обнаружении там определённого
количества записей, свидетельствующих о неудачных попытках аутентификации за
единицу времени, будет произведено соответствующее оповещение (Рис. 1.7.14).
V’ WiBi m i ц ентр
150
I Tag N am e I S e v e rity j S ta tu s ] > E v e n t C o u n t | Stj

Brute_forceJogiri_attack High <4 Detected event 1
Registry_eventlog_settings_changed У Medium , Detected event 3
Audit _policy_change i_ Medium Detected event 2
Failed_login-bad_usemame_or_password W Low ' Detected event 13
Windows_Access_Error V Low Detected event 13
Privileged_service_called ▼ Low f Detected event 8
5MB_Auth_Failed V Low t Detected event 3
SensorStatistics w Low ■f Detected event 1
5ensorStatistics_Cumulative W Low Detected event 1
Рис. 1.7.14. Консоль системы обнаружения атак
Считается, что впервые механизм обнаружения атак был «обозначен» в работе Джеймса
Андерсена (James Anderson) «Computer Security Threat Monitoring and Surveillance»
(Рис. 1.7.15).
Computer Security Threat htonitoring and Surveillance
February 26, 1980 - Revised: April 15, 1980
1 .1 In tro d u c tio n
T h is i s th e T in s ! r e p o r t o f a s tu d y , t h e p u r p o s e o f w h ic h w a s t o im p r o v e
th e c o m p u te r s e c u r i t y a u d itin g and s u r v e illa n c e c a p a b i l i t y o f t h e c u s t o m e r 's
s y s te m s .
Puc. 1.7.15. Фрагмент статьи Джеймса Андерсена
В частности, Джеймс Андерсен предложил автоматизировать анализ результатов работы

м ехан и зм а реги страц и и собы ти й с ц ел ью сокращ ен и я врем ен и реаги ро ван и я на
нарушения.
Таким образом, появившись как дополнительная «надстройка» над механизмом
регистрации событий, обнаружение атак стало вполне самостоятельным защитным
механизмом.
В настоящее время системы обнаружения атак осуществляют поиск признаков
нарушений в следующих источниках:
■ сетевой трафик;
■ журналы событий;
■ действия субъектов системы.
Более подробно средства обнаружения атак будут рассмотрены ниже.
Защита периметра компьютерных сетей
С развитием сетевых технологий появился новый тип СЗИ - межсетевые экраны
(Firewall), которые обеспечивают безопасность при осуществлении электронного обмена
информацией с другими взаимодействующими автоматизированными системами и
151
внешними сетями, разграничение доступа между сегментами корпоративной сети, а

также защиту от проникновения и вмешательства в работу АС нарушителей из внешних
систем.
Межсетевые экраны, установленные в точках соединения с сетью Интернет -
обеспечивают защиту внешнего периметра сети предприятия и защиту собственных
Intemet-cepBepoB, открытых для общего пользования, от несанкционированного доступа.
В межсетевых экранах применяются специальные, характерные только для данного вида

средств методы защиты. Основные из них:
■ трансляция адресов для сокрытия структуры и адресации внутренней сети;
■ фильтрация проходящего трафика;
■ управление списками доступа на маршрутизаторах;
■ дополнительная идентификация и аутентификация пользователей
стандартных служб (на проходе);
■ ревизия содержимого (вложений) информационных пакетов, выявление и
нейтрализация компьютерных вирусов;
■ виртуальные частные сети (для защиты потоков данных, передаваемых по
открытым сетям - обеспечения конфиденциальности, - применяются
криптографические методы, рассмотренные выше);
■ противодействие атакам на внутренние ресурсы.
Управление механизмами защиты
Конкуренция в области разработки средств защиты компьютерных систем неизбежно
приводит к унификации перечня общих требований к таким средствам. Одним из пунктов
в таком унифицированном списке практически всегда можно встретить требование
наличия средств управления всеми имеющимися защитными механизмами. К
сожалению, кроме того, что средства управления в системе должны быть, в лучшем
случае, для вычислительных сетей, можно встретить лишь уточнение о необходимости
обеспечения централизованного удалённого контроля и управления защитными
механизмами. Разработчики систем защиты основное внимание уделяют реализации
самих защитных механизмов, а не средств управления ими. Такое положение дел
свидетельствует о незнании или непонимании и недооценке проектировщиками и
разработчиками большого числа психологических и технических препятствии,
возникающих при внедрении разработанных систем защиты. Успешно преодолеть эти
препятствия можно только, обеспечив необходимую гибкость управления средствами
защиты.
Недостаточное внимание к проблемам и пожеланиям заказчиков, к обеспечению удобства
работы администраторов безопасности по управлению средствами зашиты на всех этапах
жизненного цикла компьютерных систем часто является основной причиной отказа от
использования конкретных средств защиты.
Опыт внедрения и сопровождения систем разграничения доступа в различных
организациях позволяет указать на ряд типовых проблем, возникающих при установке,
вводе в строй и эксплуатации средств разграничения доступа к ресурсам компьютерных
систем, а также предложить подходы к решению этих проблем.
В настоящее время в большинстве случаев установка средств защиты производится на
уже реально функционирующие АС заказчика. Защищаемая АС используется для
решения важных прикладных задач, часто в непрерывном технологическом цикле, и её
владельцы и пользователи крайне негативно относятся к любому, даже
кратковременному, перерыву в её функционировании для установки и настройки средств
Учобмьм центр
■^Г1
защиты или частичной потере работоспособности АС вследствие некорректной работы
средств защиты.
Внедрение средств защиты осложняется ещё и тем, что правильно настроить данные
средства с первого раза обычно не представляется возможным. Это, как правило, связано
с отсутствием у заказчика полного детального списка всех подлежащих защите
аппаратных, программных и информационных ресурсов системы и готового
непротиворечивого перечня прав и полномочий каждого пользователя АС по доступу к
ресурсам системы.
Поэтому, этап внедрения средств защиты информации обязательно в той или иной мере
включает действия по первоначальному выявлению, итеративному уточнению и
соответствующему изменению настроек средств защиты. Эти действия должны
проходить для владельцев и пользователей системы как можно менее болезненно.
Очевидно, что те же самые действия неоднократно придётся повторять администратору
безопасности и на этапе эксплуатации системы каждый раз при изменениях состава
технических средств, программного обеспечения, персонала и пользователей и т.д. Такие
изменения происходят довольно часто, поэтому средства управления системы защиты
должны обеспечивать удобство осуществления необходимых при этом изменений
настроек системы защиты. Такова «диалектика» применения средств защиты. Если
система защиты не учитывает этой диалектики, не обладает достаточной гибкостью и не
обеспечивает удобство перенастройки, то такая система очень быстро становится не
помощником, а обузой для всех, в том числе и для администраторов безопасности, и
обречена на отторжение.
Для поддержки и упрощения действий по настройке средств защиты в системе защиты
необходимо предусмотреть следующие возможности:
■ выборочное подключение имеющихся защитных механизмов, что
обеспечивает возможность реализации режима постепенного поэтапного
усиления степени защищенности АС;
■ так называемый «мягкий» режим функционирования средств защиты, при
котором несанкционированные действия пользователей (действия с
превышением полномочий) фиксируются в системном журнале обычным
порядком, но не пресекаются (то есть не запрещаются системой защиты).
Этот режим позволяет выявлять некорректности настроек средств защиты (и
затем производить соответствующие их корректировки) без нарушения
работоспособности АС и существующей технологии обработки
■ возможности по автоматизированному изменению полномочий пользователя
с учетом информации, накопленной в системных журналах (при работе как в
«мягком», так и обычном режимах).
С увеличением масштаба защищаемой АС усиливаются требования к организации
удалённого управления средствами защиты. Поэтому те решения, которые приемлемы
для одного автономного компьютера или небольшой сети из 10 - 15 рабочих станций,
совершенно не устраивают обслуживающий персонал (в том числе и администраторов
безопасности) больших сетей, объединяющих несколько сотен рабочих станций.
Для решения проблем управления средствами защиты в больших сетях в системе
необходимо предусмотреть следующие возможности:
■ должны поддерживаться возможности управления механизмами защиты как
централизованно (удаленно, с рабочего места администратора безопасности
сети), так и децентрализованно (непосредственно с конкретной рабочей
станции). Причем любые изменения настроек защитных механизмов,
произведенные централизованно, должны автоматически распространяться
Учебиын ивитр
153
на все рабочие станции, которых они касаются (независимо от состояния

рабочей станции на момент внесения изменений в центральную базу
данных). Аналогично, часть изменений, произведенных децентрализованно,
должна быть автоматически отражена в центральной базе данных защиты и
при необходимости также разослана на все другие станции, которых они
касаются. Например, при смене своего пароля пользователем,
осуществленной на одной из рабочих станций, новое значение пароля этого
пользователя должно быть отражено в центральной базе данных защиты
сети, а также разослано на все рабочие станции, на которых данному
пользователю разрешено работать;
■ управление механизмами защиты конкретной станции должно
осуществляться независимо от активности данной станции, то есть
независимо от того, включена она в данный момент времени и работает ли
на ней какой-то пользователь или нет. После включения неактивной станции
все изменения настроек, касающиеся ее механизмов защиты, должны быть
автоматически перенесены на нее;
■ в крупных АС процедура замены версий программ средств защиты (равно
как и любых других программ) требует от обслуживающего персонала
больших трудозатрат и связана с необходимостью обхода всех рабочих
станций для получения к ним непосредственного доступа. Проведение таких
замен может быть вызвано как необходимостью устранения обнаруженных
ошибок в программах, так и потребностью совершенствования и развития
системы (установкой новых улучшенных версий программ);
■ для больших АС особую важность приобретает оперативный контроль за
состоянием рабочих станций и работой пользователей в сети. Поэтому
система защиты в свой состав должна включать подсистему оперативного
контроля состояния рабочих станций сети и слежения за работой
пользователей.
Увеличение количества рабочих станций и использование новых программных средств,
включающих большое количество разнообразных программ (например MS Windows),
приводит к существенному увеличению объёма системных журналов регистрации
событий, накапливаемых системой защиты. Объем зарегистрированной информации
становится настолько велик, что администратор уже физически не может полностью
проанализировать все системные журналы за приемлемое время.
Для облегчения работы администратора с системными журналами в системе должны
быть предусмотрены следующие возможности:
■ подсистема реализации запросов, позволяющая выбирать из собранных
системных журналов данные об определенных событиях (по имени
пользователя, дате, времени происшедшего события, категории
происшедшего события и т.п.). Естественно такая подсистема должна
опираться на системный механизм обеспечения единого времени событий;
■ возможность автоматического разбиения и хранения системных журналов по
месяцам и дням в пределах заданного количества последних дней. Причем
во избежание переполнения дисков по истечении установленного количества
дней просроченные журналы, если их не удалил администратор, должны
автоматически уничтожаться;
■ в системе защиты должны быть предусмотрены механизмы семантического
сжатия данных в журналах регистрации, позволяющие укрупнять
регистрируемые события без существенной потери их информативности.
Например, заменять все многократно повторяющиеся в журнале события,
154
связанные с выполнением командного файла autoexec.bat, одним

обобщенным;
■ желательно также иметь в системе средства автоматической подготовки
отчетных документов установленной формы о работе станций сети и
имевших место нарушениях. Такие средства позволили бы существенно
снять рутинную нагрузку с администрации безопасности.
Страхование информационных рисков
Утрата или искажение данных в результате компьютерных преступлений и
мошенничества, несанкционированных действий третьих лиц, воздействия программ-
вирусов, отказов и сбоев аппаратных средств, ошибок программного обеспечения,
неквалифицированных и преднамеренных действий обслуживающего персонала и других
причин способны повлечь за собой значительный материальный ущерб. Одним из
эффективных методов компенсации ущерба, наступившего в результате вышеназванных
событий, является страхование.
В соответствии с Федеральным законом от 27.11.1992 № 4015-1 «Об организации
страхового дела в Российской Федерации» страхование представляет собой отношения по
защите интересов физических и юридических лиц при наступлении определенных
событий (страховых случаев) за счет денежных фондов, формируемых из уплачиваемых
ими страховых взносов (страховых премий).
Страховой случай
К страховым случаям можно отнести уничтожение или повреждение застрахованных
активов, вследствие наступления следующих событий:
■ действие вирусов, червей и троянских коней;
■ компьютерные атаки со стороны внешних злоумышленников (хакеров);
■ хищение денежных средств в электронной форме внешними
злоумышленниками. Такое хищение может происходить как с помощью
сфальсифицированного финансового поручения посланного электронным
способом страхователю или от имени страхователя, так и путем
модификации программного обеспечения и даже путем непосредственного
ввода команд;
■ несанкционированные действия со стороны собственных сотрудников
организации;
■ сбои систем по причине ошибок при их проектировании, разработке,
создании, установке, настройке и эксплуатации;
■ страховым случаем также является временное прекращение деятельности
вследствие любого из вышеперечисленных страховых случаев.
Принятие решения об использовании страхования
При выборе страхования как метода защиты информации проводится оценка рисков.
После принятия решения об использовании страхования в качестве метода зашиты
информации, специалист по защите информации (информационной безопасности)
должен составить справку по объектам, подлежащим страхованию, рискам и возможным
потерям, по вероятности реализации рисков и по размерам возможных убытков и принять
решение по поводу вида страхования, типа договора, условий страхования и т.п.
После выбора вида страхования, необходимо заключить договор со страховой
компанией.
155
Процедура страхования информационных рисков

Этапами процедуры страхования информационных рисков являются:
■ переговоры, определяющие условия страхования;
■ разработка и согласование предложений по страхованию;
■ проведение экспертизы страхователя;
■ выполнение рекомендаций, полученных в результате экспертизы;
■ подписание договора о страховании.
Непременным условием страхования информационных рисков является проведение
специальной экспертизы по анализу рисков страхового объекта. Эта экспертиза, так
называемая - «сюрвей» (от английского «survey» —«осмотр»), проводится экспертами в
области информационной безопасности, которые и выносят свой вердикт об уровне
защищенности страхуемой компании.
Особенность этой экспертизы в том, что совершается она независимыми специалистами,
неработающими ни в страхуемой, ни в страховой компании. Считается, что это позволит
страховой компании получить более точную картину о страхователе, а последнему —
оценить свою систему защиты с точки зрения независимого незаинтересованного
эксперта. Надо помнить, что привлечение российских экспертов обходится в несколько
раз дешевле их западных коллег, предпочитающих почасовую оплату труда. Половина
стоимости такого сюрвея компенсируется страховой компании при заключении
соответствующего договора страхования.
Параметры, влияющие на ставку страхования
К параметрам, влияющим на ставку страхования, относят:
■ стоимость застрахованных ресурсов;
■ используемые средства защиты. Чем известнее система защиты, тем ниже
ставка страхования;
■ статистика атак для аналогичных организаций отрасли.
156
Выводы
Универсальные механизмы защиты, имеющиеся в арсенале специалистов по
безопасности, обладают своими достоинствами и недостатками и могут применяться в
различных вариациях и совокупностях в конкретных методах и средствах защиты.
Повышать уровень стойкости системы защиты за счёт применения более совершенных
физических и технических средств можно только до уровня стойкости персонала из ядра
безопасности системы. Успех или неудача масштабного применения систем защиты
информации зависит от наличия в них развитых средств управления режимами работы
защитными механизмами, и реализации функций, позволяющих существенно упрощать
процессы установки, настройки и эксплуатации средств защиты.
И-
L j Информзащита
157
Раздел II.
Обеспечение безопасности
Тема 8: О рганизационная структура си стем ы обеспечения

безоп асности инф орм ац ионн ы х технологий.
Тема 9: О бязанн ости конечны х пользовател ей и

отв етств ен н ы х за обеспечение безопасности
инф орм ац и онн ы х технологий в подразделениях.
Тема 10: Докум енты , регламентирую щ ие правила п арольной и

антивирусной защ иты.
Тема 11: Д окум енты , регламентирую щ ие порядок допуска к

работе и изменения полном очий пользовател ей
автом ати зирован ной си стем ы .
Тема 12: Докум енты , регламентирую щ ие порядок изменения

конф игурации аппаратно-програм м ны х ср е д ств
а втом ати зир ован ной си стем ы .
Тема 13: Регламентация п р о ц е ссо в разработки, испы тания,

опы тной эксплуатации, внедрения и сопровож дения
задач.
Тема 14: О пределение требований к защите и категорирование

р есур со в . Проведение инф орм ационны х
о б сл е д ова н ий и анализ п од си стем
автом ати зирован ной си стем ы как объекта защ иты.
Тема 15: Планы защ иты и планы обеспечения непреры вной
работы и восстан ов л ен и я под систем
автом ати зирован ной си стем ы .
Тема 16: О сн о в н ы е задачи подразделений обеспечения

безоп асности инф орм ац и онн ы х технологий.
Организация работ по обеспечению безопасности
инф орм ац и онн ы х технологий.
Тема 17: Концепция безопасности инф орм ац ионн ы х

технологий предприятия (организации).
Уче&ньм центр
Раздел II - Тема 8:
Организационная структура системы
обеспечения безопасности информационных
Понятие технологии обеспечения (управления) безопасности

информации и ресурсов в автоматизированной системе
Поскольку обеспечение безопасности информационных технологий - есть процесс
управления рисками, то система защиты - это система управления, реализующая
технологию обеспечения безопасности (управления безопасностью). Любая технология
предусматривает определённый набор операций и процессов взаимодействия их
исполнителей, направленный на достижение конечного результата (цели).
Цель - достижение заданного (приемлемого) уровня информационной безопасности
организации (предприятия). Предполагает распределение функций между исполнителям
и организацию процессов их взаимодействия. Необходима чёткая согласованность
(координация) действий и реальная выполнимость функций всеми исполнителями.
Основной вопрос: Кто и что в этой системе должен делать?
Проблемы безопасности ИТ каждой конкретной ОРГАНИЗАЦИИ «не уникальны»!
Поэтому рассматриваемая технология носит универсальный характер, поскольку в ней
обобщён опыт специалистов многих организаций и разных стран.
Организационные меры - черновая и не очень «приятная» составляющая обеспечения
безопасности ИТ.
Основные вопросы при разработке технологии:
■ Какие категории сотрудников работают в АС организации и как они связаны
с безопасностью ИТ ?
■ Кто из сотрудников входит в систему безопасности ИТ организации ?
■ Кто и какие функции выполняет ?
■ Как взаимодействуют подразделения ?
■ Какие процессы и действия должны регламентироваться?
■ Какие организационно-распорядительные и нормативно-методические
документы должны быть разработаны ?
Под технологией обеспечения безопасности информации и ресурсов в АС понимается
определённое распределение функций и регламентация порядка их исполнения, а также
порядка взаимодействия подразделений и сотрудников (должностных лиц) организации
по обеспечению комплексной защиты ресурсов АС в процессе её эксплуатации.
Требования к технологии управления безопасностью:
■ соответствие современному уровню развития информационных технологий;
■ учёт особенностей построения и функционирования различных подсистем
АС;
■ точная и своевременная реализация политики безопасности организации;
■ минимизация затрат на реализацию самой технологии обеспечения
159
Для реализации технологии обеспечения безопасности в АС необходимо:

■ наличие полной и непротиворечивой правовой базы (системы
взаимоувязанных нормативно - методических и организационно
распорядительных документов) по вопросам обеспечения безопасности ИТ;
■ распределение функций и определение порядка взаимодействия
подразделений и должностных лиц организации по вопросам обеспечения
безопасности ИТ на всех этапах жизненного цикла подсистем АС,
обеспечивающее чёткое разделение их полномочий и ответственности;
■ наличие специального органа (подразделения защиты информации,
обеспечения информационной безопасности), наделённого необходимыми
полномочиями и непосредственно отвечающего за формирование и
реализацию единой политики безопасности ИТ организации и
осуществляющего контроль и координацию действий всех подразделений и
сотрудников организации по вопросам обеспечения безопасности ИТ.
Реализация технологии обеспечения безопасности ИТ предполагает:
■ назначение и подготовку должностных лиц (сотрудников), ответственных за
организацию, реализацию функций и осуществление конкретных
практических мероприятий по обеспечению безопасности информации и
процессов её обработки;
■ строгий учёт всех подлежащих защите ресурсов системы (информации, её
носителей, процессов обработки) и определение требований к
организационно-техническим мерам и средствам их защиты;
■ разработку реально выполнимых и непротиворечивых организационно
распорядительных документов по вопросам обеспечения безопасности
■ реализацию (реорганизацию) технологических процессов обработки
информации в АС с учётом требований по безопасности ИТ;
■ принятие эффективных мер сохранности и обеспечения физической
целостности технических средств и поддержку необходимого уровня
защищённости компонентов АС;
■ применение физических и технических (программно-аппаратных) средств
защиты ресурсов системы и непрерывную административную поддержку их
использования;
■ регламентацию всех процессов обработки подлежащей защите информации, с
применением средств автоматизации и действий сотрудников структурных
подразделений, использующих АС, а также действий персонала,
осуществляющего обслуживание и модификацию программных и
технических средств АС, на основе утверждённых организационно
распорядительных документов по вопросам обеспечения безопасности ИТ;
■ чёткое знание и строгое соблюдение всеми сотрудниками, использующими и
обслуживающими аппаратные и программные средства АС, требований
организационно-распорядительных документов по вопросам обеспечения
безопасности информации;
■ персональную ответственностью за свои действия каждого сотрудника,
участвующего в рамках своих функциональных обязанностей, в процессах
автоматизированной обработки информации и имеющего доступ к ресурсам
АС; '
С *-"" Г ч я Г н п и центр
■^г
160
■ эффективный контроль за соблюдением сотрудниками подразделений -
пользователями и обслуживающим АС персоналом, —требований по
обеспечению безопасности информации;
■ проведение постоянного анализа эффективности и достаточности принятых
мер и применяемых средств защиты информации, разработку и реализацию
предложений по совершенствованию системы защиты информации в АС.
Организационные (административные) меры регламентируют процессы
функционирования системы обработки данных, использование её ресурсов, деятельность
персонала, а также порядок взаимодействия пользователей с системой таким образом,
чтобы в наибольшей степени затруднить или исключить возможность реализации угроз
Цели создания системы обеспечения информационной
Конечной целью создания системы обеспечения безопасности информационных
технологий является предотвращение или минимизация ущерба (прямого или
косвенного, материального, морального или иного), наносимого субъектам
информационных отношений посредством нежелательного воздействия на информацию,
её носители и процессы обработки.
Основной задачей системы защиты является обеспечение необходимого уровня
доступности, целостности и конфиденциальности компонентов (ресурсов) АС
соответствующими множеству значимых угроз методами и средствами.
Обеспечение информационной безопасности —это непрерывный процесс, основное
содержание которого составляет управление рисками через управление людьми,
ресурсами, средствами защиты и т.п. Люди - обслуживающий персонал и конечные
пользователи АС, —являются неотъемлемой частью автоматизированной (то есть
«человеко-машинной») системы. От того, каким образом они реализуют свои функции в
системе, существенно зависит не только её функциональность (эффективность решения
задач), но и её безопасность.
Уровень информационной безопасности организации существенно зависит от
деятельности следующих категорий сотрудников и должностных лиц организации
(см. Рис. 2.8.1):
■ сот рудников ст рукт урны х подразделений (конечных пользователей АС),
решающих свои функциональные задачи с применением средств
автоматизации;
■ программистов, осуществляющих разработку (приобретение и адаптацию)
необходимых прикладных программ (задач) для автоматизации
деятельности сотрудников организации;
■ сотрудников подразделения внедрения и сопровождения ПО,
обеспечивающих нормальное функционирование и установленный порядок
инсталляции и модификации прикладных программ (задач);
■ сотрудников подразделения эксплуатации ТС, обеспечивающих
нормальную работу и обслуживание технических средств обработки и
передачи информации и системного программного обеспечения;
■ системных администраторов штатных средств защиты (ОС, СУБД и т.п.);
■ сотрудников подразделения защиты информации, оценивающих
состояние безопасности ИТ, определяющих требования к системе защиты,
разрабатывающих организационно-распорядительные документы по
вопросам обеспечения безопасности ИТ (аналитиков), внедряющих и
Учебны й центр
161
администрирующих специализированные дополнительные средства защиты

(администраторов безопасности);
■ руководителей организации, определяющих цели и задачи
функционирования АС, направления её развития, принимающих
стратегические решения по вопросам безопасности и утверждающих
основные документы, регламентирующие порядок безопасной обработки и
использования защищаемой информации сотрудниками организации.
Кроме того, на безопасность ИТ организации могут оказывать влияние посторонние
лица и сторонние организации, предпринимающие попытки вмешательства в процесс
нормального функционирования АС или несанкционированного доступа к информации
как локально, так и удалённо.
Руководство
организации
Служба Служба
безопасности автоматизации
Аналитики Программисты
Адм инистраторы Группа внедрения и

дополнительных средств сотзовожления ПО
защиты Компоненты
и ресурсы Группа обслуживания и
АС ремонта ТС
Подразделения
Сотрудники Администраторы
(конечные штатных средств
пользователи) защиты
Рис. 2.8.1. Субъекты, влияющие на состояние безопасности ИТ
Влияние на безопасность информационных технологий

со стороны руководства организации
Руководство принимает стратегические решения по вопросам обеспечения безопасности
ИТ и утверждает основные документы, регламентирующие порядок функционирования и
развития АС, обеспечивающий безопасную обработку и использование защищаемой
Руководство определяет критичность процессов, ресурсов и степень их защиты, а также
координирует деятельность по управлению и распределению обязанностей по
обеспечению безопасности ИТ между службами безопасности и автоматизации.
Без понимания руководством важности решения проблемы безопасности ИТ и
поддержки комплекса мер обеспечения безопасности ИТ - эффективную систему
обеспечения безопасности создать нельзя.
Руководство должно признать комплекс мер по обеспечению безопасности ИТ частью
производственного процесса.
Как сказано в стандарте ISO 27002 (BS 7799) высшее руководство должно поставить
чёткую цель и показать свою поддержку и заинтересованность в вопросах безопасности
ИТ, распространение политики безопасности ИТ среди сотрудников организации. В
организации должны проводиться регулярные совещания руководства по вопросам
корректировки политики безопасности ИТ и координации действий персонала.
Чтобы добиться понимания и осознания важности проблем безопасности ИТ необходимо
осуществлять постоянное воздействие на руководителей, показывая актуальность данной
проблемы —учить (информировать, образовывать) на чужих и собственных примерах
(инцидентах). В этих целях можно использовать различные меры и способы, например
такие как:
■ извлечение максимальной пользы из любых случившихся инцидентов с
акцентом на важность решений вопросов по обеспечению безопасности ИТ;
■ организация собственных показательных мероприятий (например,
демонстрация слабости парольной защиты). Проведение подобных
мероприятий требует предварительного согласования с руководством,
документального оформления и осторожности при реализации.
■ демонстрация реальных документов других организаций по вопросам
обеспечения безопасности ИТ.
со стороны Службы безопасности
Наиболее значимым звеном, оказывающим влияние на безопасность ИТ организации,
являются аналитики и администраторы средств защиты, контроля и управления
безопасностью.
Аналитики отвечают за анализ состояния безопасности ИТ, определение требований к
защищённости различных подсистем АС и выбор методов и средств защиты.
Администраторы средств защиты, контроля и управления безопасностью отвечают за
эффективное применение специализированных средств защиты.
со стороны подразделения автоматизации
Наиболее существенное влияние на безопасность ИТ организации в подразделении
автоматизации оказывают специалисты подразделений разработки, внедрения и
сопровождения ПО, эксплуатации технических средств и общего программного
обеспечения, системные администраторы.
Программисты осуществляют разработку (приобретение и адаптацию) необходимых
прикладных программ (задач) для автоматизации деятельности сотрудников организации.
Влияние программистов может быть непреднамеренным (ошибки) и преднамеренным
(закладки, люки). Практика показывает, что ошибки кода всегда присутствуют в любой
программе.
Подразделение внедрения и сопровождения ПО обеспечивает нормальное
функционирование прикладных программ (задач).
Подразделение эксплуатации обеспечивает нормальную работу и обслуживание
технических (вычислительных средств и средств телекоммуникации) и общего
(системного) программного обеспечения.
Администраторы серверов, приложений, баз данных и т.п. отвечают за эффективное
применение штатных средств защиты и разграничения доступа всех используемых ОС и
СУБД.
163
Для обеспечения безопасности ИТ необходимо повышение ответственности на основе

регламентации процессов разработки, отладки и внедрения ПО (необходимо разделить
сотрудников на группы разрабатывающих, тестирующих, внедряющих и
сопровождающих ПО и регламентировать их взаимодействие). Кроме того, также
необходимо обеспечить чёткое разделение и регламентацию обязанностей
администраторов служб автоматизации и безопасности.
со стороны сотрудников структурных подразделений организации
Сотрудники структурных подразделений (конечные пользователи системы) решают свои
функциональные задачи с применением средств автоматизации. Совершение ошибок
пользователями способствует порождению угроз, которые затем могут быть
использованы злоумышленниками для нанесения вреда организации и её сотрудникам. К
числу таких угроз можно отнести:
■ создание предпосылок к осуществлению несанкционированного доступа со
стороны других лиц (уязвимостей, каналов проникновения) к критичным
ресурсам системы;
■ разглашение (утечка) конфиденциальной информации (сведений,
составляющих коммерческую тайну организации, персональных данных,
паролей и др.);
■ заражение рабочих станций вирусами, «троянскими» и другими
вредоносными программами (внедрение вредоносных и шпионских кодов);
■ создание помех для (или остановка) основных производственных процессов.
Способы нанесения ущерба организации (они же возможные цели злоумышленников):
■ порча или утрата материального имущества (технических средств);
■ искажение или утрата файлов с важной (ценной, чувствительной)
информацией;
■ потеря конкурентных преимуществ в результате разглашения сведений,
составляющих коммерческую тайну;
■ дезорганизация или снижение эффективности производственных процессов
(нарушение работоспособности подсистем);
■ непроизводительные траты ресурсов (материальных, информационных,
операционных, рабочего времени и др.);
■ судебные иски к организации, к её руководителям и сотрудникам (со
стороны государственных органов, других юридических и физических лиц);
■ потеря деловой репутации организации (с последующей потерей клиентов,
партнёров и т.п.);
■ физический или моральный ущерб персоналу (сотрудникам) организации
или третьим лицам.
Выполнение сотрудниками ряда ограничительных мероприятий существенно повышает
безопасность ИТ. Смысл безопасности ИТ - жёсткая регламентация всей деятельности
сотрудников, сочетающаяся с высокой исполнительской дисциплиной. Необходимо
учитывать, что регламентация деятельности сотрудников (непосредственно не
подчинённых службе безопасности) может привести к конфликтам, поэтому
дополнительные функции сотрудников должны быть чётко определены в
соответствующих утверждённых руководством инструкциях.
164
Регламентация действий пользователей и обслуживающего

персонала автоматизированной системы
Обслуживающий персонал и пользователи, как неотъемлемая часть АС, сами являются
источником внутренних угроз безопасности ИТ организации и одновременно могут
являться частью системы защиты АС. Поэтому одним из основных направлений
обеспечения безопасности ИТ является регламентация действий всех пользователей и
обслуживающего персонала АС, целями которой являются:
■ сокращение возможностей лиц из числа пользователей и персонала по
совершению нарушений (как неумышленных, так и преднамеренных);
■ реализацию специальных мер противодействия другим внутренним и
внешним для системы угрозам (связанным с отказами и сбоями
оборудования, ошибками в программах, стихийными бедствиями и
действиями посторонних лиц, не являющихся частью АС).
Регламентация предусматривает введение таких ограничений и внедрение таких приёмов
работы сотрудников, которые, не создавая помех для исполнения ими своих
функциональных обязанностей (технологических функций), минимизируют возможности
совершения ими случайных или преднамеренных нарушений (например, наделение
каждого сотрудника (пользователя) минимально необходимыми для выполнения им
своих обязанностей полномочиями по доступу к ресурсам АС).
Кроме того, чтобы персонал и пользователи как часть системы безопасности АС
реализовали свои «защитные возможности», регламентации подлежат вопросы
исполнения ими дополнительных специальных обязанностей (функций), связанных с
усилением режима безопасности ИТ. Так, для защиты от действий посторонних лиц и
«подкрепления» вводимых ограничений на действия своих сотрудников на компьютерах
АС могут применяться средства защиты, работающие на физическом, аппаратном или
программном уровне. Применение таких средств защиты требует регламентации
вопросов их использования конечными пользователями и процессов их
администрирования сотрудниками подразделений автоматизации и обеспечения
С учётом вышеизложенного, можно сделать вывод:
1. К обеспечению безопасности информационных технологий организации
(и в определённой степени к управлению её безопасностью) должны привлекаться
практически все сотрудники, участвующие в процессах автоматизированной
обработки информации, и все категории обслуживающего АС персонала (все кроме
посторонних).
2. Роли и функции различных категорий сотрудников и подразделений организации в
обеспечении безопасности ИТ существенно различаются (большинство сотрудников
должны лишь исполнять установленные в организации регламенты и правила
безопасной работы в АС).
3. Создание (построение, развитие) и эффективное функционирование системы
безопасности ИТ может быть обеспечено только при наличии:
■ правильно разработанной системы организационно-распорядительных и
нормативно-методических документов, определяющих политику
безопасности ИТ (регламенты по вопросам безопасности АС для всех
категорий сотрудников организации);
■ специальных технических средств защиты и контроля эффективности
принятых мер защиты;
Учебмыш ц *м тр
165
■ специального подразделения (например, отдела технической защиты

информации - ОТЗИ).
За формирование системы защиты и реализацию единой политики безопасности ИТ
организации и осуществление контроля и координации действий всех подразделений и
сотрудников организации по вопросам обеспечения безопасности ИТ должно
непосредственно отвечать специальное подразделение (служба) защиты информации
(обеспечения безопасности ИТ).
В силу малочисленности данного подразделения решение им многих процедурных
вопросов и эффективный контроль за соблюдением всеми сотрудниками требований по
обеспечению безопасности ИТ возможны только при назначении во всех подразделениях,
эксплуатирующих подсистемы АС, нештатных помощников - ответственных за
обеспечение безопасности ИТ.
Эффективное использование штатных (для ОС и СУБД) и дополнительных средств
защиты обеспечивается системными администраторами и администраторами средств
защиты. Системные администраторы обычно входят в штат подразделений
автоматизации (информатизации). Администраторы дополнительных средств защиты,
как правило, являются сотрудниками подразделения защиты информации.
Таким образом, организационную структуру системы обеспечения безопасности ИТ
организации можно представить в виде совокупности следующих уровней:
■ уровень 1 —Руководство организации;
■ уровень 2 - Аналитики подразделения обеспечения безопасности ИТ;
■ уровень 3 - Администраторы штатных и дополнительных средств защиты;
■ уровень 4 - Ответственные за обеспечение безопасности ИТ в
подразделениях (на технологических участках);
■ уровень 5 - Конечные пользователи и обслуживающий персонал.
Институт ответственных за обеспечение безопасности ИТ
Малочисленное подразделение безопасности должно управлять деятельностью большого
числа сотрудников организации. Ответственный за обеспечение безопасности ИТ в
подразделении - это посредник между малочисленным подразделением безопасности и
многочисленными пользователями (это «представители безопасности ИТ» на местах).
Основные функции ответственных за обеспечение безопасности ИТ - эффективная
под держка реализации разработанных подразделением безопасности и утверждённых
руководством регламентов.
При отсутствии ответственного за обеспечение безопасности ИТ в подразделении его
функции должен выполнять руководитель подразделения.
Наличие института ответственных за обеспечение безопасности ИТ в подразделении -
признак развитой системы безопасности организации и необходимое условие
Основные требования к ответственному за обеспечение безопасности ИТ -
исполнительность, добросовестность, доступность и повышенный уровень знаний по
вопросам обеспечения безопасности ИТ.
Необходимые условия реализации технологии обеспечения безопасности ИТ
организации:
■ понимание и поддержка со стороны руководства;
У ч е б м м центр
■ наличие специального подразделения обеспечения безопасности ИТ, с
функциями определения требований к защите конкретных ресурсов,
организации их защиты и контроля;
■ разработка правильной системы организационно-распорядительных и
нормативно-методических документов, определяющих политику
безопасности (регламенты по вопросам безопасности АС для всех категорий
сотрудников организации);
■ наличие института ответственных за обеспечение безопасности ИТ в
подразделениях и на технологических участках АС;
■ наличие в организации должного уровня исполнительской дисциплины.
Политика безопасности организации
Политика безопасности организации в области ИТ - это совокупность документируемых
решений в виде программных, аппаратных, организационных, административных,
юридических, физических мер, методов, средств, правил и инструкций, чётко
регламентирующих все аспекты деятельности организации в области безопасности ИТ.
Основная цель политики безопасности —информирование пользователей, сотрудников и
руководства о наложенных на них обязательных требованиях по защите технолог™ и
информационных ресурсов.
Все документально оформленные решения, формирующие политику безопасности ИТ,
должны быть утверждены руководством и опубликованы. Все сотрудники организации
должны быть ознакомлены с политикой безопасности ИТ. Концептуальные вопросы
политики безопасности организации целесообразно изложить в «Концепции
обеспечения безопасности в автоматизированной системе организации».
Основные составляющие политики безопасности ИТ:
■ определение целей политики безопасности;
■ определение принципов обеспечения и границ применяемости политики
безопасности;
■ краткое разъяснение (дайджест) политики безопасности;
■ соответствие законодательным актам и стандартам;
■ определение правил приобретения информационных технологий, которые
отвечают требованиям безопасности;
■ определение политики обеспечения непрерывности работы и
восстановления АС;
■ определение политики конфиденциальности стандартных сервисов
(электронная почта (ЭП), Интернет, VPN, мобильные пользователи);
■ определение политики аутентификации (пароли, рекомендации по
аутентификации удалённых субъектов и использованию
аутентифицирующих устройств);
■ определение политики разграничения доступа и привилегии для различных
категорий сотрудников (пользователей, системных администраторов,
администраторов безопасности, руководителей);
■ обнаружение и блокирование вирусов и других вредоносных программ;
■ определение порядка разработки и сопровождения АС;
■ обучение персонала по вопросам безопасности ИТ;
167
■ защита от недекларированных возможностей ПО;

■ ликвидация последствий нарушения политики безопасности и
ответственность нарушителей;
■ ссылки на более детальные документы по безопасности ИТ (положения,
инструкции);
■ аудит и обновление политики безопасности.
К сожалению, на практике после внедрения в организациях систем обеспечения
безопасности информационных технологий иногда имеют место быть некоторые
недостатки, среди которых можно выделить типовые:
■ отсутствие необходимой организационной основы, обеспечивающей
согласованные действия подразделений организации по выработке и
реализации единой политики безопасности ИТ;
■ отсутствие в организационно-штатной структуре организации специального
подразделения, непосредственно ответственного за решение вопросов
обеспечения безопасности ИТ в организации, за разработку и внедрение в
организации единой технологии управления безопасностью ИТ;
■ неполнота и противоречивость нормативно-правовой базы организации по
вопросам обеспечения безопасности ИТ, слабая увязка существующих
организационно-распорядительных документов с реальными потребностями
и требованиями законодательства Российской Федерации;
■ отсутствие системного подхода к обеспечению безопасности ИТ
организации, при котором была бы обеспечена комплексная защита
информации на всех этапах жизненного цикла АС и технологических циклов
её обработки и передачи.
Для оценки текущего состояния ИТ в организации (насколько имеющиеся ИТ-средства и
процессы эффективны «сами по себе» (с точки зрения ИТ) и для реализации бизнес-
процессов, насколько безопасна имеющаяся ИТ-инфраструктура, какова стоимость ИТ
для организации в терминах общей стоимости владения (ТСО) и каков возврат
инвестиций, вложенных в ИТ-инфраструктуру, для бизнеса (ROI)) и получения ответа на
вопрос «что делать, если текущее положение дел не устраивает?» можно воспользоваться
существующими различными методиками и моделями зрелости или оптимизации ИТ-
инфраструктуры, предлагаемыми известными исследовательскими и консалтинговыми
организациями в области ИТ. Среди таких методик можно назвать Infrastructure Maturity
Model (Gartner Group), Architecture Maturity Model (MTI), Infrastructure Optimization Model
(Microsoft) и ряд других. Набор сервисов в моделях зрелости часто называют уровнем
зрелости. Например, в Infrastructure Maturity Model (Gartner Group) определены четыре
уровня зрелости (в сфере обеспечения ИБ):
0-й уровень:
■ информационной безопасностью в компании никто не занимается,
руководство компании не осознает важности проблем информационной
■ финансирование отсутствует;
■ информационная безопасность реализуется штатными средствами
операционных систем, СУБД и приложений (парольная защита,
разграничение доступа к ресурсам и сервисам).
■ информационная безопасность рассматривается руководством как чисто
«техническая» проблема, отсутствует единая программа (концепция
щ Информзащита
Учебмьм центр
168
информационной безопасности, политика) развития системы обеспечения

информационной безопасности компании;
■ финансирование ведётся в рамках общего ИТ - бюджета;
■ информационная безопасность реализуется средствами нулевого уровня
плюс средства резервного копирования, антивирусные средства, межсетевые
экраны, средства организации VPN (построения виртуальных частных
сетей), т.е. традиционные средства защиты.
■ информационная безопасность рассматривается руководством как комплекс
организационных и технических мероприятий, существует понимание
важности информационная безопасности для производственных процессов,
есть утверждённая руководством программа развития системы обеспечения
информационной безопасности компании;
■ финансирование ведётся в рамках отдельного бюджета
■ информационная безопасность реализуется средствами первого уровня плюс
средства усиленной аутентификации, средства анализа почтовых сообщений
и web-контента, системы обнаружения вторжений (IDS), средства анализа
защищённости, средства однократной аутентификации (SSO),
инфраструктура открытых ключей (PKI) и организационные меры
(внутренний и внешний аудит, анализ рисков, политика информационной
безопасности, положения, процедуры, регламенты и руководства).
■ информационная безопасность является частью корпоративной культуры,
назначен старший администратор по вопросам обеспечения
информационной безопасности (CISA);
■ финансирование ведётся в рамках отдельного бюджета
■ информационная безопасность реализуется средствами второго уровня плюс
система управления информационной безопасностью, группа реагирования
на инциденты нарушения информационной безопасности (CSIRT),
соглашение об уровне сервиса (SLA).
О сновны е орган и зац и он н ы е и о р га н и за ц и о н н о -т е х н и ч е с к и е
мероприятия по созданию и обеспечению функционирования
комплексной системы защиты
Организационные меры являются той основой, которая объединяет различные меры
защиты в единую систему. Они включают:
■ разовые (однократно проводимые и повторяемые только при полном
пересмотре принятых решений) мероприятия;
■ мероприятия, проводимые при осуществлении или возникновении
определённых изменений в самой защищаемой АС или внешней среде (по
необходимости);
■ периодически проводимые (через определённое время) мероприятия;
■ постоянно (непрерывно или дискретно в случайные моменты времени)
проводимые мероприятия.
Разовые мероприятия
К разовым мероприятиям относят:
У чебны й ц ентр
169
■ мероприятия по созданию нормативно-методологической базы (разработка

концепции и других руководящих документов) защиты АС;
■ мероприятия, осуществляемые при проектировании, строительстве и
оборудовании вычислительных центров и других объектов АС (исключение
возможности тайного проникновения в помещения, исключение
возможности установки технических средств несанкционированного съёма
информации и т.п.);
■ мероприятия, осуществляемые при проектировании, разработке и вводе в
эксплуатацию технических средств и программного обеспечения (проверка и
сертификация используемых технических и программных средств,
документирование и т.п.);
■ проведение спецпроверок применяемых в АС средств вычислительной
техники и проведения мероприятий по защите информации от утечки по
техническим каналам;
■ внесение необходимых изменений и дополнений во все организационно
распорядительные документы (положения о подразделениях,
функциональные обязанности должностных лиц, технологические
инструкции пользователей системы и т.п.) по вопросам обеспечения
безопасности ресурсов АС и действиям в случае возникновения кризисных
ситуаций;
■ создание подразделения защиты информации (компьютерной безопасности)
и назначение нештатных ответственных за обеспечение безопасности ИТ в
подразделениях и на технологических участках, осуществляющих
организацию и контроль за соблюдением всеми категориями должностных
лиц требований по обеспечению безопасности программно
информационных ресурсов автоматизированной системы обработки
информации, разработка и утверждение их функциональных обязанностей;
■ мероприятия по разработке политики безопасности, определение порядка
назначения, изменения, утверждения и предоставления конкретным
категориям сотрудников (должностным лицам) необходимых полномочий
по доступу к ресурсам системы;
■ мероприятия по созданию системы защиты АС и необходимой
инфраструктуры (организация учёта, хранения, использования и
уничтожения документов и носителей с закрытой информацией,
оборудование служебных помещений сейфами (шкафами) для хранения
реквизитов доступа, средствами уничтожения бумажных и магнитных
носителей конфиденциальной информации и т.п.);
■ мероприятия по разработке правил разграничения доступа к ресурсам
системы (определение перечня задач, решаемых структурными
подразделениями организации с использованием АС, а также используемых
при их решении режимов обработки и доступа к данным;
■ определение перечней файлов и баз данных, содержащих сведения
конфиденциального характера, а также требований к уровням их
защищённости от НСД при передаче, хранении и обработке в АС;
■ выявление наиболее вероятных угроз для АС, выявление уязвимых мест
процессов обработки информации и каналов доступа к ней, оценка
возможного ущерба, вызванного нарушением безопасности информации,
разработка адекватных требований по основным направлениям защиты;
■ организация охраны и надёжного пропускного режима;
■V
170
■ определение порядка проектирования, разработки, отладки, модификации,

приобретения, приёма в эксплуатацию, хранения и контроля целостности
программных продуктов, а также порядка обновления версий используемых
и установки новых системных и прикладных программ на рабочих местах
защищённой системы (кто обладает правом разрешения таких действий, кто
осуществляет, кто контролирует и что при этом они должны делать),
определение порядка учёта, выдачи, использования и хранения съёмных
магнитных носителей информации, содержащих эталонные и резервные
копии программ и массивов информации, архивные данные, определение
порядка проведения спецпроверок и специсследований СВТ и т.п.;
■ определение перечня необходимых регулярно-проводимых превентивных
мер и оперативных действий персонала по обеспечению непрерывной
работы и восстановлению вычислительного процесса АС в критических
ситуациях, возникающих как следствие НСД, сбоев и отказов СВТ, ошибок в
программах и действиях персонала, стихийных бедствий.
Периодически проводимые мероприятия
К периодически проводимым мероприятиям относят:
■ распределение реквизитов разграничения доступа (паролей, ключей
шифрования и т.п.);
■ анализ системных журналов (журналов регистрации), принятие мер по
обнаруженным нарушениям правил работы;
■ пересмотр правил разграничения доступа пользователей к ресурсам АС
■ осуществление анализа состояния и оценки эффективности мер и
применяемых средств защиты и разработка необходимых мер по
совершенствованию (пересмотру состава и построения) системы защиты.
Мероприятия, проводимые по необходимости
К мероприятиям, проводимым по необходимости, относят:
■ мероприятия, осуществляемые при кадровых изменениях в составе
персонала системы;
■ мероприятия, осуществляемые при ремонте и модификациях оборудования и
программного обеспечения (санкционирование, рассмотрение и утверждение
изменений, проверка их на удовлетворение требованиям защиты,
документальное отражение изменений и т.п.);
■ проверка поступающего оборудования, предназначенного для обработки
закрытой информации, на наличие специально внедрённых закладных
устройств, инструментальный контроль технических средств на наличие
побочных электромагнитные излучения и наводок;
■ оборудование систем информатизации устройствами защиты от сбоев
электропитания и помех в линиях связи;
■ мероприятия по подбору и расстановке кадров (проверка принимаемых на
работу, обучение правилам работы с информацией, ознакомление с мерами
ответственности за нарушение правил защиты, обучение, создание условий,
при которых персоналу было бы невыгодно нарушать свои обязанности и
т.д.);
■ оформление юридических документов (договоров, приказов и распоряжений
руководства организации) по вопросам регламентации отношений с
пользователями (клиентами) и третьей стороной (арбитражем, третейским
У чеб н ы й м ем тр
171
судом) о правилах разрешения споров, связанных с информационным

обменом;
■ обновление технических и программных средств защиты от НСД к
информации в соответствие с меняющейся оперативной обстановкой.
Постоянно проводимые мероприятия
Постоянно проводимые мероприятия включают:
■ мероприятия по обеспечению достаточного уровня физической защиты всех
компонентов АС (противопожарная охрана, охрана помещений, пропускной
режим, обеспечение сохранности и физической целостности СВТ, носителей
информации и т.п.);
■ мероприятия по непрерывной поддержке функционирования и управлению
(администрированию) используемыми средствами защиты;
■ организацию явного и скрытого контроля за работой пользователей и
персонала системы;
■ контроль за реализацией выбранных мер защиты в процессе
проектирования, разработки, ввода в строй, функционирования,
обслуживания и ремонта АС;
■ постоянно (силами службы безопасности) и периодически (с привлечением
сторонних специалистов) осуществляемый анализ состояния и оценка
эффективности мер и применяемых средств защиты.
Распределение функций по обеспечению безопасности
Реализация подразделениями и отдельными сотрудниками организации функций по
обеспечению безопасности ИТ осуществляется в соответствии с разработанными и
утверждёнными руководством организационно-распорядительными документами
(положениями, инструкциями, обязанностями, перечнями, формулярами и т.п.), о
которых говорилось выше.
Приведённое далее структурное деление и наименование подразделений являются
условными и введены с целью конкретизации положений технологии управления
безопасностью ИТ.
Технология управления безопасностью ИТ предусматривает взаимодействие и
реализацию определённых функций по обеспечению безопасности следующими
подразделениями и должностными лицами организации:
Подразделение безопасности (отдел защиты информации)
Выполнение различных мероприятий по созданию и поддержанию работоспособности
системы защиты должно быть возложено на специальное подразделение - службу
безопасности (отдел защиты информации).
Служба безопасности ИТ должна представлять собой систему штатных подразделений и
нештатных сотрудников, организующих и обеспечивающих комплексную защиту
На основе утверждаемой установленным порядком системы организационно
распорядительных документов Служба безопасности выполняет следующие основные
работы:
■ определяет критерии, по которым различные ресурсы АС относятся к той
или иной категории по требуемой степени защищённости, и оформляет их в
У ч а й м ш ц ентр
виде «Положения об определении требований по защите (категорировании)
ресурсов»;
■ определяет типовые конфигурации и настройки программно-аппаратных
средств защиты информации для АРМ различных категорий (требуемых
степеней защищённости);
■ по заявкам руководителей структурных подразделений (используя
формуляры АРМ и формуляры задач) проводит анализ возможности
решения (а также совмещения) указанных задач на конкретных АРМ (с
точки зрения обеспечения безопасности) и принимает решение об отнесении
АРМ к той или иной группе по степени защищённости;
■ совместно с подразделениями технического обслуживания Службы
автоматизации проводит работы по установке на АРМ программно
аппаратных средств защиты информации;
■ согласовывает и утверждает предписания на эксплуатацию АРМ
(формуляры АРМ), подготовленные в подразделениях организации;
■ обеспечивает проведение необходимых дополнительных специальных
мероприятий по обеспечению безопасности информации;
■ определяет организацию, методики и средства контроля эффективности
противодействия попыткам несанкционированного доступа к информации
(НСД) и незаконного вмешательства в процесс функционирования АС.
Подразделение автоматизации (отдел эксплуатации и отдел телекоммуникаций)
■ по заявкам руководителей структурных подразделений (используя
формуляры АРМ и формуляры задач) проводит анализ возможности
решения указанных задач на конкретных АРМ и уточнение содержания
необходимых для этого изменений в конфигурации аппаратных и
программных средств АРМ;
■ на основе утверждённых заявок начальников структурных подразделений
установленным порядком производит:
- установку (развёртывание, обновление версий) программных средств,
необходимых для решения на АРМ конкретных задач (используя
полученные в фонде алгоритмов и программ дистрибутивы и формуляры
задач);
- удаление (затирание) программных пакетов, необходимость в
использовании которых отпала;
- установку (развёртывание) новых АРМ или подключение
дополнительных устройств (узлов, блоков), необходимых для решения
на АРМ конкретных задач;
- изъятие или замену ПЭВМ (отдельных устройств, узлов, блоков),
необходимость в использовании которых отпала, предварительно
осуществляя установленным порядком затирание остаточной
информации на изымаемых машинных носителях;
■ принимает участие в заполнении (корректировке сведений) формуляров
АРМ и выдаче предписаний на эксплуатацию АРМ;
■ в своей деятельности сотрудники отдела эксплуатации руководствуются
«Инструкцией по установке, модификации и техническому обслуживанию
программного обеспечения и аппаратных средств АРМ АС организации».
Подразделение автоматизации (фонд алгоритмов и программ)
■ ведёт общий перечень задач, решаемых в АС организации;
У чебн ы м ц ен т р
173
■ по запросу начальников структурных подразделений предоставляет общий

перечень и копии формуляров конкретных задач, решаемых в АС;
■ совместно с отделами разработки и сопровождения Службы автоматизации
и отделом защиты информации оформляет формуляры установленного
образца на новые функциональные задачи АС, сдаваемые в фонд алгоритмов
и программ (ФАП);
■ хранит установленным порядком и осуществляет резервное копирование и
контроль целостности лицензионных дистрибутивов или эталонных
носителей, принятых в ФАП программных пакетов;
■ осуществляет выдачу установленным порядком (во временное пользование)
специалистам отдела технического обслуживания Службы автоматизации
лицензионных дистрибутивов или эталонных носителей программных
пакетов (их целостных копий) для их развёртывания или обновления на
АРМ по заявкам начальников структурных подразделений.
Все структурные подразделения организации
■ определяют функциональные задачи, которые должны решаться в
подразделении с использованием АРМ;
■ все необходимые изменения в конфигурации АРМ и полномочиях
пользователей подразделения осуществляют на основе заявок в соответствии
с «Инструкцией по внесению изменений в списки пользователей АС
организации и наделению их полномочиями доступа к ресурсам системы» и
«Инструкцией по установке, модификации и техническому обслуживанию
программного обеспечения и аппаратных средств АРМ автоматизированной
системы организации»;
■ заполняют формуляры АРМ и представляют их на утверждение в отдел
технической защиты Службы безопасности;
■ обеспечивают надлежащую эксплуатацию установленных на АРМ средств
Кроме того, при распределении функций по обеспечению безопасности ИТ необходимо
учитывать, что малочисленная служба безопасности должна управлять деятельностью
большого числа сотрудников организации. Поэтому в структурных подразделениях
организации считается целесообразным назначить ответственных за обеспечение
Ответственный за обеспечение безопасности ИТ в подразделении является посредником
между малочисленной группой службы безопасности и многочисленными
пользователями (это «представители службы безопасности ИТ» на местах).
Основные функции ответственных за обеспечение безопасности ИТ - эффективная
поддержка реализации разработанных службой безопасности и утверждённых
руководством организации регламентов.
Наличие института ответственных за обеспечение безопасности ИТ в подразделении
является признаком развитой системы безопасности организации и необходимым
условием обеспечения безопасности ИТ.
Система организационно-распорядительных документов по

обеспечению безопасности информационных технологий
В Уставе организации (основном документе, в соответствии с которым организация
осуществляет свою деятельность), во всех положениях о структурных подразделениях
организации (департаментов, управлений, отделов, служб, групп, секторов и т.п.) и в
функциональных обязанностях всех сотрудников, участвующих в процессах
w -*■— - Учебньш ц ентр
автоматизированной обработки информации, должны быть отражены требования по
обеспечению безопасности информации при работе в АС.
Задачи организации и функции по обеспечению безопасности ИТ её подразделений и
сотрудников в перечисленных выше документах должны формулироваться с учётом
положений действующего в России законодательства по информатизации и защите
информации (Федеральных законов, Указов Президента Российской Федерации,
постановлений Правительства Российской Федерации и других руководящих и
нормативно-методических документов).
Конкретизация задач и функций структурных подразделений, а также детальная
регламентация действий сотрудников организации, их ответственность и полномочия по
вопросам обеспечения безопасности информации при эксплуатации АС должны
осуществляться как путём дополнения существующих документов соответствующими
пунктами, так и путём разработки и введения в действие дополнительных внутренних
организационно-распорядительных документов по обеспечению безопасности ИТ.
В целях обеспечения единого понимания всеми подразделениями и должностными
лицами (сотрудниками) организации проблем и задач по обеспечению безопасности ИТ в
организации целесообразно разработать «Концепцию обеспечения безопасности
информационных технологий». В Концепции на основе анализа современного
состояния информационной инфраструктуры организации и интересов организации в
области обеспечения безопасности ИТ должны определяться основные задачи по защите
информации и процессов её обработки, намечаться подходы и основные пути решения
данных задач.
Необходимым элементом организации работ по обеспечению безопасности информации,
её носителей и процессов обработки в АС организации является категорирование, то есть
определение требуемых степеней защищённости (категорий) ресурсов АС (информации,
задач, каналов взаимодействия задач, компьютеров, персонала). Для обеспечения
управления и контроля за соблюдением установленных требований к защите информации
и с целью обеспечения дифференцированного подхода к защите конкретных АРМ
различных подсистем АС организации необходимо разработать и принять «Положение
об определении требований по защите (категорировании) ресурсов» в АС
организации. В этом документе необходимо отразить вопросы взаимодействия
подразделений организации при определении требуемой степени защищённости ресурсов
АС организации в зависимости от степени ценности обрабатываемой информации,
характера обработки и обязательств по обеспечению безопасности информации перед
сторонними организациями и физическими лицами.
Целесообразно введение классификации защищаемой информации, включаемой в
«Перечень информационных ресурсов, подлежащих защите», не только по уровню
конфиденциальности (конфиденциально, строго конфиденциально и т.д.), но и по уровню
ценности информации (определяемой величиной возможных прямых и косвенных
экономических потерь в случае нарушения её целостности и несвоевременности
представления - своевременности решения задач).
В данном Перечне необходимо также указывать подразделения организации, являющиеся
владельцами конкретной защищаемой информации и отвечающие за установление
требований к режиму её защиты.
Любые изменения состава и полномочий пользователей подсистем АС должны
производиться установленным порядком согласно специальной «Инструкции по
внесению изменений в списки пользователей АС и наделению их полномочиями
доступа к ресурсам системы».
Меры безопасности при вводе в эксплуатацию новых рабочих станций и серверов, а
также при изменениях конфигурации технических и программных средств
существующих компьютеров в АС должны определяться «Инструкцией по установке,
175
модификации и техническому обслуживанию программного обеспечения и

аппаратных средств автоматизированной системы».
Разработка ПО задач (комплексов задач), проведение испытаний разработанного и
приобретённого ПО, передача ПО в эксплуатацию должна осуществляться в соответствии
с утверждённым «Порядком разработки, проведения испытаний и передачи задач
(комплексов задач) в эксплуатацию».
«Инструкция по организации антивирусной защиты» должна регламентировать
организацию защиты АС от разрушающего воздействия компьютерных вирусов и
устанавливать ответственность руководителей и сотрудников подразделений,
эксплуатирующих и сопровождающих АС, за их ненадлежащее выполнение.
«Инструкция по организации парольной защиты» призвана регламентировать
процессы генерации, смены и прекращения действия паролей пользователей в
автоматизированной системе организации, а также контроль за действиями пользователей
и обслуживающего персонала системы при работе с паролями.
При использовании в некоторых подсистемах АС средств криптографической защиты
информации и средств электронной цифровой подписи необходим ещё один документ,
регламентирующий действия конечных пользователей, - «Порядокработы с
носителями ключевой информации».
Для пользователей защищённых АРМ (на которых обрабатывается защищаемая
информация или решаются подлежащие защите задачи и на которых установлены
соответствующие средства защиты) должны быть разработаны необходимые дополнения
к функциональным обязанностям и технологическим инструкциям, закрепляющие
требования по обеспечению информационной безопасности при работе в АС и
ответственность сотрудников за реализацию мер по обеспечению установленного режима
Обязанности конечных пользователей и
ответственных за обеспечение
безопасности информационных технологий в
подразделениях
Проблема человеческого фактора

«Дырки в голове пользователя» - не менее серьёзная проблема, чем «дырки в
программном обеспечении». Пользователь АС является важнейшим информационным
ресурсом АС, который реализует критичные функции, настраивает ПО, хранит пароли,
управляет безопасностью ИТ. Система безопасности ИТ должна обеспечить защиту АС
от нарушений со стороны конечных пользователей, обслуживающего персонала, сетевых
и системных администраторов, администраторов безопасности и руководителей.
Аспекты, связанные с безопасностью ИТ, следует учитывать ещё на стадии набора
персонала, включать их в должностные инструкции и контракты, а также контролировать
в течение всего времени работы сотрудника. Как сказано в стандарте ISO 27002
(BS 7799) - весь персонал организации и пользователи информационных ресурсов из
сторонних организаций должны подписать обязательство о конфиденциальности, а в
должностных инструкциях сотрудников должна быть отражена вся присущая данной
должности ответственность за безопасность ИТ. Каждый сотрудник ОБЯЗАН:
■ хранить конфиденциальные (защищаемые организацией) сведения, ставшие
ему известными в силу производственной (служебной) необходимости;
■ во время работы в организации и в течение 3-х лет после увольнения не
раскрывать (не передавать) посторонним лицам ставшие ему известными
конфиденциальные сведения;
■ не использовать ставшие ему известными или разработанные им
конфиденциальные сведения иначе, как в интересах организации;
■ соблюдать требования и правила обеспечения безопасности информации в
■ в случае прекращения работы в организации, сразу же возвратить
организации все документы (в том числе, электронные), носители
информации и другие материалы, содержание которых отнесено к
конфиденциальной информации, полученные в ходе выполнения своих
служебных обязанностей
■ и т.д.
Кроме всего прочего, сотрудник подтверждает, что:
■ он ознакомлен с требованиями обеспечения безопасности информации;
■ он не имеет перед кем-либо никаких обязательств, которые входят в
противоречие с настоящим соглашением или ограничивают его деятельность
в организации.
Достижение некоторого уровня безопасности ИТ возможно только при выработке у
персонала и пользователей АС определённой дисциплины по соблюдению
установленных ограничений и правил использования ресурсов и обслуживания
компонент АС.
177
Эта дисциплина немыслима без персональной ответственности всех сотрудников,

допущенных к работе с АС, за нарушения установленного порядка (регламента)
безопасной обработки информации, правил хранения и использования, находящихся в их
распоряжении защищаемых ресурсов системы.
Регламентация работы сотрудников предполагает определение для каждой категории
пользователей и обслуживающего персонала:
■ обязательных знаний, действий и процедур, необходимых для
обеспечения безопасности ИТ при автоматизированной обработке
информации и обслуживании компонент АС;
■ запрещённых действий, которые могут привести к нарушению нормальной
работы АС, вызвать непроизводительные затраты ресурсов, нарушить
конфиденциальность или целостность хранимой и обрабатываемой
информации, нарушить интересы других пользователей;
■ ответственности за нарушение установленных требований и
ограничений.
Общие правила обеспечения безопасности информационных
технологий при работе сотрудников с ресурсами
автоматизированной системы
Каждый сотрудник, участвующий в рамках своих функциональных обязанностей в
процессах автоматизированной обработки информации и имеющий доступ к аппаратным
средствам, программному обеспечению и данным автоматизированной системы, несёт
персональную ответственность за свои действия и ОБЯЗАН:
■ производить обработку защищаемой информации в подсистемах АС в
строгом соответствии с утверждёнными технологическими инструкциями
(техническими порядками) для данных подсистем;
■ строго соблюдать установленные правила обеспечения безопасности
информации при работе с программными и техническими средствами АС;
■ знать и строго выполнять правила работы со средствами защиты
информации, установленными на его рабочей станции;
■ хранить в тайне свой пароль (пароли). С установленной периодичностью в
соответствии с «Инструкцией по организации парольной защиты
автоматизированной системы» менять свой пароль (пароли);
■ передавать для хранения установленным порядком своё индивидуальное
устройство идентификации (iButton, Smart Card, Proximity, eToken и т.п.),
другие реквизиты разграничения доступа и носители ключевой информации
только руководителю своего подразделения или ответственному за
информационную безопасность в подразделении (в пенале, опечатанном
своей личной печатью);
■ надёжно хранить и никому не передавать личную печать и использовать её
только для опечатывания пенала с реквизитами доступа и носителями
ключевой информации;
■ если сотруднику (исполнителю) предоставлено право защиты
(подтверждения подлинности и авторства) документов, передаваемых по
технологическим цепочкам в АС, при помощи электронной подписи (ЭП), то
он дополнительно обязан соблюдать все требования «Порядка работы с
ключевыми носителями»;
■ выполнять требования «Инструкции по организации антивирусной защиты в
АС» в части касающейся действий пользователей рабочих станций;
■ немедленно ставить в известность ответственного за безопасность
информации и руководителя подразделения в случае утери носителей
ключевой информации, индивидуального устройства идентификации или
при подозрении компрометации личных ключей и паролей, а также при
обнаружении:
- нарушений целостности пломб (наклеек, нарушении или несоответствии
номеров печатей) на аппаратных средствах или иных фактов совершения
в его отсутствие попыток несанкционированного доступа к закреплённой
за ним защищённой рабочей станции;
- некорректного функционирования установленных на рабочей станции
технических средств защиты;
- несанкционированных (произведённых с нарушением установленного
порядка) изменений в конфигурации программных или аппаратных
средств рабочей станции;
- непредусмотренных формуляром рабочей станции отводов кабелей и
подключённых устройств;
- отклонений в нормальной работе системных и прикладных программных
средств, затрудняющих эксплуатацию рабочей станции, выхода из строя
или неустойчивого функционирования узлов рабочей станции или
периферийных устройств (дисководов, принтера и т.п.), а также перебоев
в системе электроснабжения;
■ присутствовать при работах по изменению аппаратно-программной
конфигурации закреплённой за ним рабочей станции, по завершении таких
работ проверять её работоспособность.
Категорически ЗАПРЕЩАЕТСЯ.
■ использовать компоненты программного и аппаратного обеспечения АС не
по назначению (в неслужебных целях);
■ самовольно вносить какие-либо изменения в конфигурацию аппаратно
программных средств рабочей станции или устанавливать дополнительно
любые программные и аппаратные средства, не предусмотренные
формуляром рабочей станции;
■ осуществлять обработку конфиденциальной информации в присутствии
посторонних (не допущенных к данной информации) лиц;
■ записывать и хранить конфиденциальную информацию (сведения
ограниченного распространения) на неучтённых носителях (гибких
магнитных дисках и т.п.);
■ оставлять включённой без присмотра свою рабочую станцию (компьютер),
не активизировав средства защиты от НСД (временную блокировку экрана и
клавиатуры);
■ передавать кому-либо свой персональный ключевой носитель (дискету,
iButton, Smart Card, Proximity, eToken и т.п.) кроме ответственного за
информационную безопасность или руководителя своего подразделения
установленным порядком, делать неучтённые копии ключевого носителя,
снимать с него защиту записи и вносить какие-либо изменения в записанные
на носитель файлы;
■ использовать свои ключи ЭП для формирования электронной подписи
любых электронных документов, кроме электронных документов,
регламентированных технологическим процессом на его рабочем месте;
Уче&иьа* ц ентр
179
■ оставлять без личного присмотра на рабочем месте или где бы то ни было

своё персональное устройство идентификации, носители ключевой
информации, носители и распечатки, содержащие сведения ограниченного
распространения;
■ умышленно использовать недокументированные свойства и ошибки в
программном обеспечении или в настройках средств защиты, которые могут
привести к нарушениям информационной безопасности и возникновению
кризисной ситуации. Об обнаружении такого рода ошибок - ставить в
известность ответственного за безопасность информации и руководителя
своего подразделения.
Обязанности ответственного за обеспечение безопасности
информации в подразделении
Ответственный за обеспечение безопасности информации подразделения
(технологического участка) назначается из числа штатных сотрудников подразделения по
представлению его руководителя, согласованному с подразделением обеспечения
Ответственный за обеспечение безопасности информации непосредственно подчиняется
руководителю подразделения, в штате которого он состоит, и осуществляет контроль за
выполнением требований организационно-распорядительных документов по
обеспечению безопасности информации при её обработке на компьютерах подразделения
дополнительно к своим непосредственным функциональным обязанностям.
Методическое руководство работой ответственного за обеспечение безопасности
информации осуществляется подразделением обеспечения безопасности ИТ.
Ответственный за обеспечение безопасности информации обязан:
■ знать перечень установленных в его подразделении компьютеров и перечень
задач, решаемых с их использованием;
■ обеспечивать постоянный контроль за выполнением сотрудниками
подразделения установленного комплекса мероприятий по обеспечению
безопасной автоматизированной обработки информации;
■ контролировать целостность печатей (пломб) на устройствах защищённых
компьютеров подразделения;
■ немедленно сообщать руководителю подразделения и сотрудникам
подразделения обеспечения безопасности ИТ об обнаруженных фактах
(попытках) несанкционированного доступа к информации и техническим
средствам, и принимать необходимые меры по пресечению нарушений;
■ обеспечивать соблюдение сотрудниками своего подразделения,
подразделений автоматизации и обеспечения безопасности ИТ
утверждённого порядка проведения работ по установке и модернизации
аппаратных и программных средств рабочих станций и серверов
(«Инструкции по установке, модификации и техническому обслуживанию
программного обеспечения и аппаратных средств АС»), при их техническом
обслуживании и отправке в ремонт (контролировать затирание
конфиденциальной информации на магнитных носителях) и лично
присутствовать при выполнении данных работ (участвовать в работах);
■ вести «Журнал учёта нештатных ситуаций, фактов вскрытия и опечатывания
ПЭВМ, выполнения профилактических работ, установки и модификации
аппаратных и программных средств рабочих станций подразделения»;
180
■ хранить формуляры защищённых рабочих станций, контролировать их
соответствие реальным конфигурациям рабочих станций и вести учёт
изменений их аппаратно-программной конфигурации (заявки, на основании
которых были произведены данные изменения);
■ вести «Журнал учёта ключевых дискет подразделения», хранить,
осуществлять приём и выдачу ключевых дискет ответственным
исполнителям подразделения в строгом соответствии с установленным
порядком работы с ключевыми дискетами, осуществлять контроль за
правильность использования ключевых дискет сотрудниками своего
подразделения (технологического участка);
■ осуществлять контроль за порядком учёта, создания, хранения и
использования резервных и архивных копий массивов данных, машинных
(выходных) документов (в соответствии с Планом обеспечения непрерывной
работы и восстановления (ОНРВ) АС);
■ проводить работу по выявлению возможных каналов неправомерного
вмешательства в процесс функционирования АС и осуществления НСД к
информации и техническим средствам ПЭВМ. При выявлении таковых
сообщать о них руководству подразделения и специалистам подразделения
обеспечения безопасности ИТ;
■ инструктировать сотрудников подразделения по вопросам обеспечения
безопасности информации и правилам работы с используемыми СЗИ.
Ответственный за обеспечение безопасности информации имеет право:
■ требовать от сотрудников подразделения - пользователей АС соблюдения
установленных технологий обработки информации и выполнения
инструкций по обеспечению безопасности информации в АС;
■ инициировать проведение служебных расследований по фактам нарушения
установленных требований обеспечения безопасности ИТ,
несанкционированного доступа, утраты, порчи защищаемой информации и
технических компонентов АС;
■ обращаться к руководителю подразделения с требованием прекращения
работы на рабочих станциях при несоблюдении установленной технологии
обработки информации и невыполнении требований по безопасности ИТ;
■ подавать свои предложения по совершенствованию организационных,
технологических и технических мер защиты на своём участке работы;
■ обращаться в подразделение обеспечения безопасности ИТ за необходимой
технической и методологической помощью в своей работе.
Ответственность за нарушения
Для создания необходимой юридической основы процедур привлечения сотрудников к
ответственности за нарушения в области обеспечения безопасности ИТ необходимо,
чтобы:
■ в Уставе организации, во всех положениях о структурных подразделениях и
в функциональных (технологических) обязанностях всех сотрудников,
участвующих в процессах автоматизированной обработки информации,
были отражены требования по обеспечению безопасности ИТ при работе в
АС;
■ каждый сотрудник (при приёме на работу) подписывал трудовой договор, в
котором определены обязательства по соблюдению установленных
требований по сохранению государственной, служебной и коммерческой
Учвбмми ц ентр
181
тайны, а также об ответственности за нарушение правил работы с

защищаемой информацией в АС;
■ все пользователи, руководящий и обслуживающий персонал АС были
ознакомлены с перечнем сведений, подлежащих защите, в части их
касающейся (в соответствии со своим уровнем полномочий);
■ доведение требований организационно-распорядительных документов по
вопросам обеспечения безопасности ИТ до лиц, допущенных к обработке
защищаемой информации, осуществлялось руководителями подразделений
под роспись.
Сотрудники организации несут ответственность по действующему законодательству за
разглашение сведений, составляющих (государственную, банковскую, коммерческую)
тайну, и сведений ограниченного распространения, ставших им известными по роду
работы.
Любое грубое нарушение порядка и правил работы в АС сотрудниками структурных
подразделений должно расследоваться. К виновным должны применяться адекватные
меры воздействия.
Нарушения установленных правил и требований по обеспечению безопасности ИТ
являются основанием для применения к сотруднику (исполнителю) административных
мер наказания, вплоть до увольнения и привлечения к уголовной ответственности.
Мера ответственности сотрудников за действия, совершенные в нарушение
установленных правил обеспечения безопасной автоматизированной обработки
информации, должна определяться с учётом нанесённого ущерба, наличия злого умысла
и других факторов по усмотрению руководства.
Для реализации принципа персональной ответственности сотрудников за свои
действия необходимы:
■ индивидуальная идентификация сотрудников и инициированных ими
процессов при работе в АС, т.е. установление за ними уникальных
идентификаторов пользователей, на основе которых будет осуществляться
разграничение доступа и регистрация событий;
■ проверка подлинности соответствия пользователей и сотрудников
(аутентификация) на основе паролей, ключей, специальных устройств,
биометрических характеристик личности сотрудников и т.п.;
■ регистрация (протоколирование) работы механизмов контроля доступа
пользователей к ресурсам информационных систем с указанием даты и
времени, идентификаторов пользователя и запрашиваемых им ресурсов,
вида взаимодействия и его результата;
■ оперативная реакция на попытки несанкционированного доступа
(сигнализация, блокировка и т.д.).
Поддержка процедур регламентации
Пользователи для допуска к работе с подсистемами АС должны изучить документы
(пройти обучение) и сдать зачёты на знание и умение выполнять требования по
обеспечению безопасности ИТ.
Необходимо:
■ доводить инструкции под роспись (в традиционном виде);
■ размещать инструкции в электронном виде на корпоративном портале;
■ оповещать обо всех изменениях требований в документах (в части
касающейся);
■ периодически повторять инструктажи и обучение.
Порядок работы с носителями ключевой информации
В некоторых подсистемах АС для обеспечения контроля за целостностью передаваемых
по технологическим цепочкам электронных документов (ЭД), а также для подтверждения
их подлинности и авторства могут использоваться средства электронной подписи (ЭП).
Каждому сотруднику (исполнителю), которому в соответствии с его функциональными
обязанностями предоставлено право постановки на ЭД цифровой подписи, выдаётся
персональный ключевой носитель информации (например, дискета), на который записана
уникальная ключевая информация («ключ электронной подписи»), относящаяся к
категории сведений ограниченного доступа.
Этапы жизненного цикла ключей:
■ генерация ключей;
■ использование ключей;
■ хранение ключей;
■ передача ключей;
■ уничтожение ключей;
■ обновление ключей.
Ошибки в технологиях распространения ключей, небрежное хранение становятся
причиной того, что злоумышленник получает доступ к строго конфиденциальной
информации и может под делать ЭП владельца.
Чтобы избежать всевозможных ошибок, в организации должна быть разработана
«Политика безопасности при работе с носителями ключевой информации», которая
должна содержать ответы на основные вопросы:
■ кто должен формировать ключи для пользователей;
■ где должны храниться ключи;
■ должен ли владелец ключей (т.е. пользователь) иметь лицензию на
деятельность по техническому обслуживанию шифровальных средств;
■ как восстановить зашифрованную информацию при потере ключа;
■ кто должен изготовлять ключевые носители;
■ как должны уничтожаться ключевые носители;
■ кто должен уничтожать ключевые носители и т.д.
Кроме всего прочего, необходимо учитывать, что политики безопасности ИТ в
отношении ключей ЭП и ключей шифрования существенно различаются. При
регламентации порядка работы с ключами шифрования необходимо помнить, что
получение доступа к зашифрованным данным требует передачи копии секретного ключа,
а также необходимо обеспечить хранение секретного ключа у агента восстановления (на
случай его утраты без компрометации) и архивное хранение секретного ключа после
истечения срока его использования. А вот ключ ЭП не должен ни с кем разделяться и
после истечения срока действия - уничтожаться, плюс ко всему необходимо обеспечить
архивное хранение открытых ключей после их использования.
V ча Ы тт и ви тр
Персональный ключевой носитель (чаще всего - дискета) обычно изготавливается в
центре управления ключевыми системами (ЦУКС) или удостоверяющем центре (УЦ) на
основании заявки, подписанной руководителем подразделения исполнителя.
Генерация уникальной ключевой информации и её запись на дискету осуществляется на
специально оборудованном автономном «АРМ генерации ключей», программное
обеспечение которого выполняет функции, регламентированные технологическим
процессом формирования ключей электронной подписи, уполномоченными
сотрудниками подразделения обеспечения безопасности ИТ - специалистами ЦУКС в
присутствии самого исполнителя, маркируется, учитывается в «Ведомости выдачи
ключевых дискет» ЦУКС и выдаётся ему под роспись. Оснащение «АРМ генерации
ключей» должно гарантировать, что уникальная секретная ключевая информация
исполнителя записывается только на его персональный носитель.
Для обеспечения возможности восстановления ключевой информации исполнителя, в
случае выхода ключевого носителя из строя, обычно создаётся его рабочая копия. Для
того, чтобы при копировании с эталонного носителя на рабочий ключевой носитель его
содержимое не попадало на какой-либо промежуточный носитель, копирование должно
осуществляться только на защищённых «АРМ генерации ключей».
Ключевые носители должны иметь соответствующие этикетки, на которых отражается:
регистрационный номер носителя (по «Ведомости выдачи...»), дата изготовления и
подпись уполномоченного сотрудника подразделения обеспечения информационной
безопасности, изготовившего носитель, вид ключевой информации - ключевой носитель
(эталон) или ключевой носитель (рабочая копия), фамилия, имя, отчество и подпись
владельца - исполнителя.
Персональные ключевые носители (эталон и рабочую копию) исполнитель должен
хранить в специальном пенале, опечатанном личной печатью.
В подразделении учёт и хранение персональных ключевых носителей исполнителей
должен осуществляться ответственным за обеспечение безопасности информации (при
его отсутствии - руководителем подразделения), который ведёт «Журнал учёта ключевых
носителей исполнителей подразделения (технологического участка)». Ключевые
носители должны храниться в сейфе ответственного за информационную безопасность
подразделения в индивидуальных пеналах, опечатанных личными печатями
исполнителей. Пеналы извлекаются из сейфа только на время приёма (выдачи) рабочих
копий ключевых носителей исполнителям. Эталонные копии ключевых носителей
исполнителей должны постоянно находиться в опечатанном пенале и могут быть
использованы только для восстановления установленным порядком рабочей копии
ключевого носителя при выходе последнего из строя. Наличие эталонных ключевых
носителей в пеналах проверяется исполнителями и ответственным за обеспечение
безопасности информации в подразделении при каждом вскрьггии и опечатывании
пенала.
Контроль за обеспечением безопасности технологии обработки электронных документов
в АС, в том числе за действиями исполнителей, выполняющих свою работу с
применением персональных ключевых носителей, осуществляется ответственными за
информационную безопасность подразделений в пределах своей компетенции и
сотрудниками подразделения обеспечения безопасности ИТ.
Ключи проверки электронной подписи исполнителей установленным порядком
регистрируются специалистами ЦУКС или УЦ в справочнике ключей проверки ЭП,
используемом при проверке подлинности документов по установленным на них ЭП.
Обязанности исполнителя
Исполнитель, которому в соответствии с его должностными функциями предоставлено
право постановки на ЭД электронной подписи, несёт персональную ответственность за
сохранность и правильное использование вверенной ему ключевой информации и
содержание документов, на которых стоит его ЭП.
Он обязан:
■ лично присутствовать в ЦУКС при изготовлении своей ключевой
информации (от момента включения до момента выключения «АРМ
генерации ключей»), чтобы быть уверенным в том, что содержание его
ключевых дискет (эталонной и рабочей копии) не компрометировано;
■ под роспись в «Ведомости выдачи ключевых носителей» ЦУКС получить
эталонный и рабочий ключевые носители и убедиться, что они правильно
маркированы. Зарегистрировать (учесть) их у ответственного за
информационную безопасность своего подразделения, положить их в пенал,
опечатать его своей личной печатью и передать пенал на хранение
ответственному за обеспечение безопасности информации установленным
порядком;
■ использовать для работы только рабочую копию своего ключевого носителя;
■ в начале рабочего дня получать, а в конце рабочего дня сдавать
ответственному за обеспечение безопасности информации рабочую копию
своего ключевого носителя. При каждом вскрытии пенала (для извлечения
из него или помещения в него рабочей копии ключевого носителя), они оба
обязаны убедиться в целостности и подлинности печати на пенале, а также в
наличии в нем эталонного ключевого носителя и сделать запись о
выдаче/приёме носителя. Если печать на пенале нарушена (и/или эталонный
носитель отсутствует), то носитель считается скомпрометированным;
■ сдавать свой персональный ключевой носитель на временное хранение
ответственному за информационную безопасность, например на время
отсутствия исполнителя на рабочем месте. Процедуры сдачи на временное
хранение и получения ключевого носителя после временного хранения в
точности должны совпадать с процедурами получения персонального
ключевого носителя в начале рабочего дня и сдачи в конце рабочего дня;
■ в случае порчи рабочей копии ключевого носителя (например, при ошибке
чтения носителя) исполнитель обязан передать его уполномоченному
сотруднику подразделения обеспечения безопасности ИТ, который должен в
присутствии исполнителя и ответственного за обеспечение безопасности
информации подразделения на «АРМ генерации ключей» ЦУКС сделать
новую рабочую копию ключевого носителя с имеющегося у исполнителя
эталона и выдать его последнему взамен старого (испорченного) ключевого
носителя. Испорченная рабочая копия ключевого носителя должна быть
уничтожена установленным порядком в присутствии исполнителя. Все эти
действия должны быть зафиксированы в «Ведомости выдачи ключевых
носителей ЦУКС».
Исполнителю ЗАПРЕЩАЕТСЯ:
■ оставлять персональный ключевой носитель без личного присмотра где бы
то ни было;
■ передавать свой персональный ключевой носитель (эталонную или его
рабочую копию) другим лицам (кроме как для хранения ответственному за
информационную безопасность в опечатанном пенале);
■ делать неучтённые копии ключевого носителя, распечатывать или
переписывать с него файлы на иной носитель информации (например,
185
жёсткий диск ПЭВМ), вносить изменения в файлы, находящиеся на

ключевом носителе;
■ использовать персональный ключевой носитель на заведомо неисправном
считывателе и/или ПЭВМ;
■ подписывать своим персональным «ключом ЭП» любые электронные
сообщения и документы, кроме тех видов документов, которые
регламентированы технологическим процессом;
■ сообщать кому-либо вне работы, что он является владельцем «ключа ЭП»
для данного технологического процесса.
Действия при компрометации ключей
Под компрометацией ключей подразумевается утрата доверия к тому, что
используемые ключи обеспечивают безопасность информации (целостность,
конфиденциальность, подтверждение авторства, невозможность отказа от авторства).
Различают явную и неявную компрометацию ключей. Явной называют компрометацию,
факт которой становится известным на отрезке установленного времени действия
данного ключа. Неявной называют компрометацию ключа, факт которой остается
неизвестным для лиц, являющихся законными пользователями данного ключа.
Событиям, квалифицируемым, как явная компрометация ключей, являются:
■ утрата ключевого носителя;
■ утрата ключевого носителя с последующим обнаружением;
■ увольнение сотрудников, имевших доступ к ключевой информации;
■ нарушение печати на сейфе с ключевыми носителями;
■ нарушение правил хранения и уничтожения (после окончания срока
действия) ключевой информации;
■ наличие в подписи под входящим документом сертификата, находящегося в
списке отозванных сертификатов;
■ случаи, когда нельзя достоверно установить, что произошло с ключевыми
носителями, (в том числе случаи, когда ключевой носитель вышел из строя и
доказательно не опровергнута возможность того, что данный факт
произошёл в результате несанкционированных действий злоумышленника);
■ навязывание заведомо ложной информации в документах, защищённых
имитовставками и т.д.
Также к событиям, требующим проведения расследования и принятия решения на
предмет происшествия явной компрометации, относится возникновение подозрений в
утечке информации в системе конфиденциальной связи.
Наибольшую опасность представляют неявные компрометации ключей, вызванная
такими событиями, как, например:
■ возникновение подозрений на искажение информации в системе
конфиденциальной связи;
■ нарушение печати на сейфе с ключевыми носителями;
■ случаи, когда нельзя достоверно установить, что произошло с ключевыми
носителями и т.д.
Решение задачи защиты ключей от компрометации направлено на исключение
компрометаций вообще или, по крайней мере, на то, чтобы свести неявную
компрометацию к явной.
У ч а В и ш ! ц ентр
Если у исполнителя появилось подозрение, что его персональный ключевой носитель
попал или мог попасть в чужие руки (был скомпрометирован), он обязан немедленно
прекратить (не возобновлять) работу с ключевым носителем, сообщить об этом
ответственному за обеспечение безопасности информации своего подразделения, сдать
ему скомпрометированный ключевой носитель, соблюдая обычную процедуру с
пометкой в журнале о причине компрометации, написать объяснительную записку о
факте компрометации персонального ключевого носителя на имя начальника
подразделения.
В случае утери персонального ключевого носителя исполнитель обязан немедленно
сообщить от этом ответственному за обеспечение безопасности информации своего
подразделения, написать объяснительную записку об утере носителя на имя начальника
подразделения и принять участие в служебном расследовании факта утери персонального
ключевого носителя.
Ответственный за обеспечение безопасности информации подразделения обязан
немедленно оповестить о факте утраты или компрометации ключевого носителя
уполномоченного сотрудника ЦУКС, для принятия последним действий по
блокированию ключей ЭП указанного исполнителя.
По решению руководителя подразделения установленным порядком исполнитель может
получить в ЦУКС новый комплект персональных ключевых носителей взамен
скомпрометированных.
В случае перевода исполнителя на другую работу, увольнения и т.п. он обязан сдать
(сразу по окончании последнего сеанса работы) свой персональный ключевой носитель
ответственному за обеспечение безопасности информации своего подразделения под
роспись в журнале учёта ключевых носителей. Последний обязан сразу же оповестить об
этом уполномоченного сотрудника ЦУКС, для принятия действий по блокированию
использования ЭП увольняемого исполнителя.
Уничтожение ключей
Уничтожение ключей может производиться путём физического уничтожения ключевого
носителя, на котором они расположены, или путём стирания (разрушения) ключей без
повреждения ключевого носителя (для обеспечения возможности его многократного
использования)/
Ключевые носители уничтожаются либо исполнителями, либо ответственными за
обеспечение безопасности ИТ под расписку в соответствующих журналах. При этом
исполнителям разрешается уничтожать только свои ключи.
Централизованное уничтожение ключей по акту производит комиссия в составе
сотрудников ЦУКС и ответственного за обеспечение безопасности ИТ.
О проведённом уничтожении делаются отметки в соответствующих журналах.
Права исполнителя
Исполнитель должен иметь право обращаться к ответственному за обеспечение
безопасности информации своего подразделения за консультациями по вопросам
использования ключевой дискеты и по вопросам обеспечения безопасности ИТ.
Исполнитель имеет право требовать от ответственного за обеспечение безопасности
информации своего подразделения и от своего непосредственного руководителя создания
необходимых условий для выполнения перечисленных выше требований.
Исполнитель имеет право представлять свои предложения по совершенствованию мер
защиты на своём участке работы.
У чвбньм ц ен тр
187

Документы, регламентирующие правила
парольной и антивирусной защиты
Инструкция по организации парольной защиты

Данная инструкция призвана регламентировать организационно-техническое
обеспечение процессов генерации, смены и прекращения действия паролей (удаления
учётных записей пользователей) в автоматизированной системе организации, а также
контроль за действиями пользователей и обслуживающего персонала системы при работе
с паролями.
Организационное и техническое обеспечение процессов генерации, использования,
смены и прекращения действия паролей во всех подсистемах АС и контроль за
действиями исполнителей и обслуживающего персонала системы при работе с паролями
возлагается на сотрудников подразделения обеспечения безопасности ИТ -
администраторов средств защиты, в которых реализованы механизмы идентификации и
аутентификации (подтверждения подлинности) пользователей.
Личные пароли должны генерироваться и распределяться централизованно либо
выбираться пользователями автоматизированной системы самостоятельно с учётом
следующих требований:
■ длина пароля должна быть не менее установленной (обычно 6^8 символов);
■ в числе символов пароля обязательно должны присутствовать буквы в
верхнем и нижнем регистрах, цифры и специальные символы
(@, #, $, &, *, % и т.п.);
■ пароль не должен включать в себя легко вычисляемые сочетания символов
(имена, фамилии, номера телефонов и т.д.), а также общепринятые
сокращения (ЭВМ, ЛВС, USER и т.п.);
■ при смене пароля новое значение должно отличаться от предыдущего не
менее чем в заданном числе (например в 6-ти) позициях;
■ личный пароль пользователь не имеет права сообщать никому.
Владельцы паролей должны быть ознакомлены под роспись с перечисленными выше
требованиями и предупреждены об ответственности за использование паролей, не
соответствующих данным требованиям, а также за разглашение парольной информации.
В случае, если формирование личных паролей пользователей осуществляется
централизованно, ответственность за правильность их формирования и распределения
возлагается на уполномоченных сотрудников подразделения обеспечении безопасности
ИТ. Для генерации «стойких» значений паролей могут применяться специальные
программные средства. Система централизованной генерации и распределения паролей
должна исключать возможность ознакомления самих уполномоченных сотрудников
подразделения обеспечении безопасности ИТ, а также ответственных за обеспечение
безопасности информации в подразделениях с паролями других сотрудников
подразделений организации (исполнителей).
При наличии технологической необходимости использования имён и паролей некоторых
сотрудников (исполнителей) в их отсутствие (например, в случае возникновении
нештатных ситуаций, форс-мажорных обстоятельств и т.п.), такие сотрудники обязаны
сразу же после смены своих паролей их новые значения (вместе с именами своих учётных
записей) передавать на хранение ответственному за информационную безопасность
188
подразделения (руководителю своего подразделения) в запечатанном конверте или

опечатанном пенале. Опечатанные конверты (пеналы) с паролями исполнителей должны
храниться в сейфе. Для опечатывания конвертов (пеналов) должны применяться личные
печати владельцев паролей (при их наличии у исполнителей), либо печать
уполномоченного представителя подразделения обеспечения безопасности ИТ.
Полная плановая смена паролей пользователей должна проводиться регулярно, например,
не реже одного раза в месяц.
Внеплановая смена личного пароля или удаление учётной записи пользователя
автоматизированной системы в случае прекращения его полномочий (увольнение,
переход на другую работу внутри организации и т.п.) должна производиться
администраторами соответствующих средств защиты в соответствии с «Инструкцией по
внесению изменений в списки пользователей АС и наделению их полномочиями доступа
к ресурсам системы» немедленно после окончания последнего сеанса работы данного
пользователя с системой.
Внеплановая полная смена паролей всех пользователей должна производиться в случае
прекращения полномочий (увольнение, переход на другую работу и т.п.)
администраторов средств защиты и других сотрудников, которым по роду работы были
предоставлены полномочия по управлению парольной защитой подсистем АС.
В случае компрометации личного пароля пользователя автоматизированной системы
должны быть немедленно предприняты меры по внеплановой смене паролей (в
зависимости от полномочий владельца скомпрометированного пароля).
Хранение сотрудником (исполнителем) значений своих паролей на бумажном носителе
допускается только в личном, опечатанном владельцем пароля сейфе, либо в сейфе у
ответственного за обеспечение безопасности информации или руководителя
подразделения в опечатанном личной печатью пенале (возможно вместе с
персональными ключевыми дискетами и идентификаторами).
Повседневный контроль за действиями исполнителей и обслуживающего персонала
системы при работе с паролями, соблюдением порядка их смены, хранения и
использования возлагается на ответственных за обеспечение безопасности информации в
подразделениях (руководителей подразделений), периодический контроль —возлагается
на сотрудников подразделения обеспечения безопасности ИТ - администраторов средств
парольной защиты.
Инструкция по организации антивирусной защиты
Настоящая Инструкция определяет требования к организации защиты АС организации от
разрушающего воздействия со стороны злонамеренного ПО (компьютерных вирусов,
сетевых червей, «троянских коней», логических бомб и т.п.) и устанавливает
ответственность руководителей и сотрудников подразделений, эксплуатирующих и
сопровождающих АС, за их выполнение.
К использованию в организации допускаются только лицензионные антивирусные
средства, централизованно закупленные у разработчиков (поставщиков) указанных
средств, рекомендованные к применению подразделениями автоматизации и
безопасности информации.
В случае необходимости использования антивирусных средств, не вошедших в перечень
рекомендованных, их применение необходимо согласовать с подразделениями
автоматизации и безопасности информации.
Установка средств антивирусного контроля на компьютерах на серверах и рабочих
станциях АС осуществляется уполномоченными сотрудниками подразделения
автоматизации в соответствии с «Инструкцией по установке, модификации и
техническому обслуживанию программного обеспечения и аппаратных средств АС».
189
Настройка параметров средств антивирусного контроля осуществляется сотрудниками

подразделения автоматизации в соответствии с руководствами по применению
конкретных антивирусных средств.
Применение средств антивирусного контроля
Антивирусный контроль всех дисков и файлов рабочих станций должен проводиться
ежедневно в начале работы при загрузке компьютера (для серверов - при перезапуске) в
автоматическом режиме.
Обязательному антивирусному контролю подлежит любая информация (текстовые
файлы любых форматов, файлы данных, исполняемые файлы), получаемая и
передаваемая по телекоммуникационным каналам, а также информация на съёмных
носителях (магнитных дисках, лентах, CD-ROM и т.п.). Разархивирование и контроль
входящей информации необходимо проводить непосредственно после её приёма на
выделенном автономном компьютере или, при условии начальной загрузки
операционной системы в оперативную память компьютера с заведомо «чистой» (не
заражённой вирусами) и защищённой от записи системной дискеты, - на любом другом
компьютере. Возможно применение другого способа антивирусного контроля входящей
информации, обеспечивающего аналогичный уровень эффективности контроля.
Контроль исходящей информации необходимо проводить непосредственно перед
архивированием и отправкой (записью на съёмный носитель).
Файлы, помещаемые в электронный архив, должны в обязательном порядке проходить
антивирусный контроль. Периодические проверки электронных архивов должны
проводиться не реже одного раза в месяц.
Установка (изменение) системного и прикладного программного обеспечения
осуществляется на основании «Инструкции по установке, модификации и техническому
обслуживанию программного обеспечения и аппаратных средств автоматизированной
системы организации».
Устанавливаемое (изменяемое) программное обеспечение должно быть предварительно
проверено на отсутствие вирусов. Непосредственно после установки (изменения)
программного обеспечения компьютера должна быть выполнена антивирусная проверка:
■ на защищаемых серверах и рабочих станциях - ответственным за
обеспечение безопасности информации подразделения;
■ на других серверах и рабочих станциях АС не требующих защиты, - лицом,
установившим (изменившим) программное обеспечение, - в присутствии и
под контролем руководителя данного подразделения или сотрудника, им
уполномоченного.
Факт выполнения антивирусной проверки после установки (изменения) программного
обеспечения должен регистрироваться в специальном журнале подразделения за
подписью лица, установившего (изменившего) программное обеспечение, и лица, его
контролировавшего.
Действия при обнаружении вирусов
При возникновении подозрения на наличие компьютерного вируса (нетипичная работа
программ, появление графических и звуковых эффектов, искажений данных, пропадание
файлов, частое появление сообщений о системных ошибках и т.п.) сотрудник
подразделения самостоятельно или вместе с ответственным за обеспечение безопасности
информации подразделения (технологического участка) должен провести внеочередной
антивирусный контроль своей рабочей станции. При необходимости привлечь
специалистов подразделения автоматизации для определения ими факта наличия или
отсутствия компьютерного вируса.
л— ' ' Уче&мьм центр
В случае обнаружения при проведении антивирусной проверки заражённых
компьютерными вирусами файлов сотрудники подразделений обязаны:
■ приостановить работу;
■ немедленно поставить в известность о факте обнаружения заражённых
вирусом файлов руководителя и ответственного за обеспечение
безопасности информации своего подразделения, владельца заражённых
файлов, а также смежные подразделения, использующие эти файлы в работе;
■ совместно с владельцем заражённых вирусом файлов провести анализ
необходимости дальнейшего их использования;
■ провести лечение или уничтожение заражённых файлов (при необходимости
для выполнения требований данного пункта привлечь специалистов
подразделения автоматизации);
■ в случае обнаружения нового вируса, не поддающегося лечению
применяемыми антивирусными средствами, передать заражённый вирусом
файл на гибком магнитном диске в подразделение автоматизации для
дальнейшей отправки его в организацию, с которой заключён договор на
антивирусную поддержку;
■ по факту обнаружения заражённых вирусом файлов составить служебную
записку в отдел обеспечения безопасности информации, в которой
необходимо указать предположительный источник (отправителя, владельца
и т.д.) заражённого файла, тип заражённого файла, характер содержащейся в
файле информации, тип вируса и выполненные антивирусные мероприятия.
Ответственность
Ответственность за организацию антивирусного контроля в подразделении,
эксплуатирующем подсистему АС, в соответст вии с требованиями настоящей
Инструкции возлагается на руководителя подразделения.
Ответственность за проведение мероприятий антивирусного контроля в подразделении и
соблюдение требований настоящей Инструкции возлагается на ответственного за
обеспечение безопасности информации и всех сотрудников подразделения, являющихся
пользователями АС.
Периодический контроль за состоянием антивирусной защиты, а также за соблюдением
установленного порядка антивирусного контроля и выполнением требований настоящей
Инструкции сотрудниками подразделений организации осуществляется подразделением
191

Документы, регламентирующие порядок
допуска к работе и изменения полномочий
пользователей автоматизированной системы
Допуск сотрудников подразделений к работе с автоматизированной системой и доступ к

её ресурсам должен быть строго регламентирован.
В рамках разрешительной системы (системы авторизации) допуска устанавливается:
■ кто, кому, при каких условиях, к каким ресурсам АС и на какие виды
доступа может давать разрешения;
■ система санкционирования и разграничения доступа, которая предполагает
определение для всех пользователей информационных и программных
ресурсов, доступных им для чтения, модификации, удаления, выполнения и
т.п.;
■ как реализуется процедура допуска.
Систему санкционирования доступа целесообразно строить на основе структурно
функционального (заданного) подхода к разделению всего множества защищаемых
ресурсов АС. Отдельная задача должна описывать все используемые при её решении
ресурсы (файлы, каталоги, таблицы баз данных и т.п.), все категории пользователей (роли
в задаче) и права доступа для каждой такой категории к ресурсам задачи. Описания задач
в виде формуляров должны формироваться с участием специалистов по сопровождению
данных задач и системных администраторов (администраторов баз данных) и могут
храниться в архиве эталонных дистрибутивов программ.
Полномочия руководителей подразделений давать разрешения на допуск к решению тех
или иных задач должны быть закреплены решениями (приказами) высшего руководства
организации. Как правило, задачи закрепляются за конкретными подразделениями, а
права допуска сотрудников этих подразделений к ресурсам этих задач предоставляются
руководителям подразделений.
Любые изменения состава и полномочий пользователей подсистем АС должны
производиться установленным порядком согласно «Инструкции по внесению
изменений в списки пользователей АС и наделению их полномочиями доступа к
ресурсам системы», в которой должны быть отражены следующие основные вопросы.
Правила именования пользователей
С целью соблюдения принципа персональной ответственности за свои действия каждому
сотруднику, допущенному к работе с конкретной подсистемой АС, должно быть
сопоставлено персональное уникальное имя (бюджет или учётная запись пользователя),
под которым он будет регистрироваться и работать в автоматизированной системе. В
случае производственной необходимости сотрудникам могут быть сопоставлены
несколько уникальных имён (учётных записей).
Использование несколькими сотрудниками при работе в АС одного и того же имени
пользователя («группового имени») должно бьпъ ЗАПРЕЩЕНО.
Все операции по ведению баз данных и допуск сотрудников подразделений к работе с
этими базами данных должны производиться в соответствии с технологическими
инструкциями. Распределение имён, генерация паролей, сопровождение правил
разграничения доступа к базам данных возлагается на специальных пользователей -
администраторов баз данных.
Учётные записи всех пользователей должны быть «привязаны» к конкретным рабочим
станциям (к номерам сетевых карт) или к сегменту сети (группе рабочих станций),
закреплённых за конкретным подразделением организации. При этом могут
использоваться, как штатные средства защиты СУБД и операционных систем, так и
дополнительные средства защиты.
Для всех пользователей должен быть установлен режим принудительного запроса смены
пароля не реже одного раза в месяц.
Процедура авторизации сотрудников
Процедура регистрации (создания учётной записи) пользователя для сотрудника и
предоставления ему (или изменения его) прав доступа к ресурсам АС инициируется
заявкой начальника подразделения (отдела, сектора), в котором работает данный
сотрудник. В заявке указывается:
■ содержание запрашиваемых изменений (регистрация нового пользователя
АС, удаление учётной записи пользователя, расширение или сужение
полномочий и прав доступа к ресурсам АС ранее зарегистрированного
пользователя);
■ наименование подразделения, должность, фамилия, имя и отчество
сотрудника;
■ имя пользователя (учётной записи) данного сотрудника (при изменении
полномочий и прав доступа);
■ полномочия, которых необходимо лишить пользователя или которые
необходимо добавить пользователю (путём указания решаемых
пользователем задач на конкретных рабочих станциях АС). Наименования
задач должны указываться в соответствии с формулярами задач,
наименования рабочих станций (компьютеров) - в соответствии с
формулярами этих рабочих станций.
Если полномочий непосредственного начальника недостаточно, заявку может визировать
вышестоящий руководитель, утверждая тем самым производственную необходимость
допуска (изменения прав доступа) конкретного сотрудника к необходимым для решения
им указанных задач ресурсам АС.
Затем руководители подразделений автоматизации и обеспечения безопасности ИТ
рассматривают представленную заявку и подписывают задание соответствующим
системным администраторам (серверов, баз данных) и администратору специальных
средств защиты информации от несанкционированного доступа (СЗИ НСД) на внесение
необходимых изменений в списки пользователей соответствующих подсистем.
На основании заявки (задания) системный администратор сети в соответствии с
формулярами указанных задач (хранящихся в архиве эталонных дистрибутивов (АЭД)
программ), и документацией на средства защиты сетевых операционных систем
производит необходимые операции по созданию (удалению) учётной записи
пользователя, присвоению ему начального значения пароля и заявленных прав доступа к
сетевым ресурсам АС, включению его в соответствующие ролям задач группы
пользователей и другие необходимые действия.
Аналогичные операции для систем управления базами данных (СУБД) выполняет
администратор баз данных.
Администратор СЗИ НСД в соответствии с формулярами указанных задач и
Руководством администратора системы защиты от НСД производит необходимые
операции по регистрации нового пользователя, присвоению ему начального значения
193
пароля (возможно также регистрацию персонального идентификатора, например iButton)

и прав доступа к ресурсам указанных в заявке рабочих станций, включению его в
соответствующие задачам системные группы пользователей и другие необходимые
операции.
После внесения изменений в списки пользователей администратор СЗИ НСД должен
обеспечить соответствующие категориям защиты указанных рабочих станций настройки
средств защиты. Проверка правильности настроек средств защиты должна
осуществляться с участием сотрудника, ответственного за эксплуатацию конкретной
рабочей станции, согласно «Порядку проверки работоспособности системы защиты после
установки (обновления) программных средств АС и внесения изменений в списки
пользователей».
По окончании внесения изменений в списки пользователей в заявке делается отметка о
выполнении задания за подписями исполнителей - системного администратора,
администратора баз данных и администратора СЗИ НСД.
Сотруднику, зарегистрированному в качестве нового пользователя системы, под роспись
сообщается имя соответствующего ему пользователя (учётная запись), выдаётся
персональный идентификатор и личные ключевые дискеты (для работы в режиме
усиленной аутентификации и работы со средствами криптографической защиты) и
начальное(-ые) значение(-ия) пароля(-ей), которое(-ые) он обязан сменить при первом же
входе в систему (при первом подключении к АС).
Исполненная заявка передаётся в подразделение и хранится в архиве у ответственного за
информационную безопасность подразделения (при его отсутствии - у руководителя
подразделения). Копии исполненных заявок могут находиться также в подразделении
автоматизации (у системных администраторов) и в подразделении обеспечения
безопасности ИТ. Они могут впоследствии использоваться:
■ для восстановления бюджетов и полномочий пользователей после аварий в
АС;
■ для контроля правомерности наличия у конкретного пользователя прав
доступа к тем или иным ресурсам автоматизированной системы при разборе
конфликтных ситуаций;
■ для проверки правильности настройки средств разграничения доступа к
ресурсам автоматизированной системы.
Документы, регламентирующие порядок
изменения конфигурации аппаратно
программных средств автоматизированной
системы
Аппаратно-программная конфигурация автоматизированных рабочих мест, на которых

обрабатывается защищаемая информация (с которых возможен доступ к защищаемым
ресурсам), должна соответствовать кругу возложенных на сотрудников (пользователей
данного АРМ) функциональных обязанностей. В соответствии с принципом
«минимизации полномочий» все неиспользуемые в работе (лишние) устройства ввода-
вывода информации на таких АРМ должны быть отключены (удалены), ненужные для
работы программные средства и данные с дисков АРМ также должны быть удалены.
Все аппаратные и программные ресурсы защищённых компьютеров должны быть
установленным порядком категорированы (для каждого ресурса должен быть определён
требуемый уровень защищённости). Подлежащие защите ресурсы системы
(информационные файлы, задачи, программы, АРМ) подлежат учёту (на основе
использования соответствующих формуляров или специализированных баз данных).
Все программное обеспечение (разработанное специалистами организации, полученное
централизованно или приобретённой у фирм-производителей) должно установленным
порядком проходить испытания и передаваться в фонд алгоритмов и программ (архив
эталонных дистрибутивов). В подсистемах АС должны устанавливаться и использоваться
только полученные установленным порядком из АЭД программные средства.
Использование в АС ПО, неучтённого в АЭД, должно быть запрещено.
На всех АРМ, подлежащих защите, должны быть установлены необходимые технические
средства защиты (соответствующие категории данных АРМ).
Для упрощения сопровождения, обслуживания и организации защиты АРМ должны
оснащаться программными средствами и конфигурироваться унифицировано (в
соответствии с установленными правилами).
Обеспечение и контроль физической целостности и неизменности конфигурации
аппаратно-программных средств автоматизированной системы
Физическая охрана объектов информатизации (компонентов компьютерных систем)
включает:
■ определение границ контролируемой зоны объекта, подлежащего защите;
■ организацию и обеспечение внутриобъектового и пропускного режима;
■ установку инженерных и технических сооружений и устройств защиты
периметра объекта (ограждающие конструкции, шлагбаумы, «колючая
проволока» и т.п.);
■ установку систем видеонаблюдения, охранной и пожарной сигнализации, а
также систем контроля допуска на объект и в помещения;
■ введение дополнительных средств и мер, ограничивающих свободный
допуск лиц на объект и в помещения, где размещаются защищаемые ресурсы
АС (формирование и утверждение списков лиц допущенных в помещения,
У чМ им
195
установка механических, кодовых и электронных замков, применение

средств для пломбирования и опечатывания и т.д.);
■ организацию и обеспечение визуального и технического контроля за
контролируемой территорией объекта защиты.
Узлы и блоки оборудования СВТ, к которым доступ обслуживающего персонала в
процессе эксплуатации не требуется, после наладочных, ремонтных и иных работ,
связанных с доступом к их монтажным схемам должны закрываться и опечатываться
(пломбироваться) сотрудниками подразделения обеспечения безопасности ИТ. О
вскрытии (опечатывании) блоков ПЭВМ делается запись в «Журналеучёта
нештатных ситуаций, фактов вскрытия и опечатывания блоков ПЭВМ,
выполнения профилактических работ, установки и модификации аппаратных и
программных средств АРМ подразделения».
Повседневный контроль за целостностью и соответствием печатей (пломб) на системных
блоках ПЭВМ должен осуществляться пользователями АРМ и ответственными за
обеспечение безопасности информации подразделений. Периодический контроль -
сотрудниками подразделения обеспечения безопасности ИТ.
Регламентация процессов обслуживания и осуществления модификации аппаратных и
программных средств автоматизированной системы
Ввод в эксплуатацию новых АРМ и все изменения в конфигурации технических и
программных средств существующих АРМ в АС должны осуществляться только
установленным порядком согласно «Инструкции по установке, модификации и
техническому обслуживанию программного обеспечения и аппаратных средств АРМ
АС».
Эта инструкция призвана регламентировать функции и взаимодействия подразделений
организации по обеспечению безопасности при проведении модификаций и
обслуживании программного обеспечения и технических средств АС, и должна
содержать следующие положения.
Все изменения конфигурации технических и программных средств защищённых рабочих
станций и серверов (различных уровней защищённости в соответствии с «Положением о
категорировании ресурсов АС») должны производиться только на основании заявок
руководителей структурных подразделений организации либо заявок руководителя
подразделения автоматизации, согласованных с руководителем подразделения
Право внесения изменений в конфигурацию аппаратно-программных средств
защищённых рабочих станций и серверов АС должно быть предоставлено
уполномоченным сотрудникам (могут быть отданы соответствующими приказами)
определённых подразделений:
■ в отношении системных и прикладных программных средств, а также в
отношении аппаратных средств - уполномоченным сотрудникам
подразделения автоматизации;
■ в отношении программно-аппаратных средств защиты - уполномоченным
сотрудникам подразделения обеспечения безопасности ИТ;
■ в отношении программно-аппаратных средств телекоммуникации -
уполномоченным сотрудникам службы (отдела) связи (телекоммуникации).
Изменение конфигурации аппаратно-программных средств защищённых рабочих
станций и серверов кем-либо, кроме уполномоченных сотрудников перечисленных
подразделений, должно быть ЗАПРЕЩЕНО.
Право внесения изменений в конфигурацию аппаратно-программных средств рабочих
станций АС организации, не требующих защиты, может быть предоставлено как
сотрудникам подразделения автоматизации (на основании заявок), так и сотрудникам
подразделений, в которых они установлены, на основании распоряжений начальников
данных подразделений.
Процедура внесения изменений в конфигурацию аппаратных и программных средств
защищённых серверов и рабочих станций
Процедура внесения изменений в конфигурацию аппаратных и программных средств
защищённых серверов и рабочих станций системы может инициироваться либо заявкой
руководителя данного подразделения, либо заявкой руководителя подразделения
автоматизации.
Заявка руководителя подразделения, в котором требуется произвести изменения
конфигурации рабочей станции, оформляется на имя руководителя подразделения
автоматизации. Производственная необходимость проведения указанных в заявке
изменений может подтверждаться подписью вышестоящего руководителя.
Заявка руководителя подразделения автоматизации, которое отвечает за плановое
развитие АС и проведение изменений (обновлений версий) ПО, оформляется на имя
руководителя структурного подразделения (подразделений), использующего
(использующих) подсистему АС, требующую модификации. Производственная
необходимость проведения указанных в заявке изменений может подтверждаться
подписью вышестоящего руководителя.
В заявках могут указываться следующие виды необходимых изменений в составе
аппаратных и программных средств рабочих станций и серверов подразделения:
■ установка в подразделении новой ПЭВМ (развёртывание новой рабочей
станции или сервера);
■ замена ПЭВМ (рабочей станции или сервера подразделения);
■ изъятие ПЭВМ (рабочей станции или сервера подразделения);
■ добавление устройства (узла, блока) в состав конкретной рабочей станции
или сервера подразделения;
■ замена устройства (узла, блока) в составе конкретной рабочей станции или
сервера подразделения;
■ изъятие устройства (узла, блока) из состава конкретной рабочей станции или
сервера;
■ установка (развёртывание) на конкретной рабочей станции или сервере
программных средств, необходимых для решения определённой задачи
(добавление возможности решения данной задачи на данной рабочей
станции или сервере);
■ обновление (замена) на конкретной рабочей станции или сервере
программных средств, необходимых для решения определённой задачи
(обновление версий используемых для решения определённой задачи
программ);
■ удаление с конкретной рабочей станции или сервера программных средств,
используемых для решения определённой задачи (исключение возможности
решения данной задачи на данной рабочей станции).
В заявке должны указываться условные наименования развёрнутых рабочих станций и
серверов в соответствии с их формулярами. В случае развёртывания новой рабочей
станции её наименование в заявке указывать не требуется (оно должно устанавливается
позднее при заполнении формуляра новой рабочей станции). Наименования задач
указываются в соответствии с формулярами задач или перечнем задач архива эталонных
197
дистрибутивов подразделения автоматизации, которые можно решать с использованием

АС.
Заключение о технической возможности осуществления затребованных изменений
выдаётся специалистами подразделения автоматизации (на основании формуляров задач
и формуляров соответствующих рабочих станций или серверов).
Заключение о возможности совмещения решения новых задач (обработки информации)
на указанных в заявке рабочих станциях или серверах в соответствии с требованиями по
безопасности выдаётся специалистами подразделения обеспечения безопасности ИТ,
которым заявка передаётся на согласование (одновременно с этим производится
определение новых категорий защищённости указанных рабочих станций или серверов).
После чего заявка передаётся в подразделение автоматизации для непосредственного
исполнения работ по внесению изменений в конфигурацию рабочих станций или
серверов АС организации.
Ответственный за обеспечение безопасности информации в подразделении (при его
отсутствии - руководитель подразделения) допускает уполномоченных исполнителей к
внесению изменений в состав аппаратных средств и программного обеспечения только по
предъявлении последними утверждённой заявки на осуществление данных изменений.
Установка, изменение (обновление) и удаление системных и прикладных программных
средств производится уполномоченными сотрудниками подразделения автоматизации.
Если рабочая станция или сервер относится к защищаемым рабочим станциям, то
установка, снятие, и внесение необходимых изменений в настройки средств защиты от
НСД и средств контроля целостности файлов на рабочей станции осуществляется
уполномоченными сотрудниками подразделения обеспечения безопасности ИТ
(администраторами специальных средств защиты). Работы производятся в присутствии
ответственного за обеспечение безопасности информации подразделения и пользователя
данной рабочей станции.
Установка или обновление подсистем АС должны проводиться в строгом соответствии с
технологией проведения модификаций программных комплексов данных подсистем.
Модификация ПО на подлежащих защите серверах осуществляется уполномоченными
сотрудниками подразделения автоматизации обязательно в присутствии
уполномоченного сотрудника подразделения обеспечения безопасности ИТ. После
установки модифицированных модулей на сервер сотрудник подразделения безопасности
ИТ в присутствии сотрудников подразделения автоматизации должен настроить средства
контроля целостности модулей на сервере (произвести пересчёт контрольных сумм
эталонов модулей).
Все добавляемые программные и аппаратные компоненты должны быть предварительно
установленным порядком проверены на работоспособность, а также отсутствие опасных
функций. До и после проведения модификации ПО на рабочих станциях и серверах
сотрудник подразделения автоматизации может проводить антивирусный контроль, если
это оговорено в соответствующей «Инструкции по антивирусной защите».
Установка и обновление общего ПО (системного, тестового и т.п.) на рабочие станции и
сервера должны производиться с оригинальных лицензионных дистрибутивных
носителей (дискет, компакт дисков и т.п.), полученных установленным порядком, либо с
эталонных копий программных средств, полученных из АЭД (при реализации сетевого
архива эталонных дистрибутивов программ - из него).
При необходимости (в случае установки части компонент на дисках сетевых серверов) к
работам привлекаются администраторы сети (серверов) и администраторы баз данных.
Устанавливаемое (изменяемое) программное обеспечение должно быть предварительно
проверено на отсутствие вирусов. Непосредственно после установки (изменения)
198
программного обеспечения компьютера также должна быть выполнена антивирусная

проверка.
После установки (обновления) ПО администратор СЗИ НСД (возможно также
администраторы серверов и баз данных) должен произвести настройку средств
управления доступом к компонентам данной задачи (программного средства) в
соответствии с её (его) формуляром и совместно с сотрудником подразделения
автоматизации и пользователем рабочей станции должен проверить работоспособность
ПО и правильность настройки средств защиты.
После завершения работ по внесению изменений в состав аппаратных средств
защищённой рабочей станции её системный блок должен закрываться сотрудником
подразделения автоматизации на ключ (при наличии штатных механических замков) и
опечатываться (пломбироваться, защищаться специальной наклейкой) сотрудником
подразделения обеспечения безопасности ИТ.
Уполномоченные исполнители работ от подразделений автоматизации и обеспечения
безопасности ИТ должны произвести соответствующую запись в «Журнале учёта
нештатных ситуаций, фактов вскрытия и опечатывания ПЭВМ, выполнения
профилактических работ, установки и модификации аппаратных и программных средств
рабочих станций подразделения», а также сделать отметку о выполнении задания на
модификацию (на обратной стороне заявки).
Формат записей Журнал учёта нештатных ситуаций, фактов вскрытия и опечатывания
ПЭВМ, выполнения профилактических работ, установки и модификации аппаратных и
программных средств рабочих станций подразделения следующий:
Краткое описание ФИО ФИО Подпись Примечание

№ Дата выполненной работы исполнителей и ответственного ответственного за (ссылка на
п/п (нештатной ситуации) их подписи пользователя PC, обеспечение заявку)
подпись безопасности
подразделения
1 2 3 4 5 6 7
При изъятии компьютера из состава рабочих станций подразделения, его передача на

склад, в ремонт или в другое подразделение для решения иных задач осуществляется
только после того, как специалист подразделения обеспечения безопасности ИТ снимет с
данной ПЭВМ средства защиты и предпримет необходимые меры для затирания
защищаемой информации, которая хранилась на дисках компьютера. Факт уничтожения
данных, находившихся на диске компьютера, оформляется актом за подписью
ответственного за обеспечение безопасности информации в подразделении.
Допуск новых пользователей к решению задач с использованием вновь развёрнутого ПО
(либо изменение их полномочий доступа) осуществляется согласно «Инструкции по
внесению изменений в списки пользователей системы и наделению пользователей
полномочиями доступа к ресурсам АС».
Оригиналы заявок (документов), на основании которых производились изменения в
составе технических или программных средств рабочей станции с отметками о внесении
изменений в состав аппаратно-программных средств должны храниться вместе с
оригиналами формуляров рабочих станций и «Журналом учёта...» в подразделении (у
ответственного за обеспечение безопасности информации подразделения или
руководителя подразделения). Копии исполненных заявок и актов могут храниться в
подразделениях автоматизации и обеспечения безопасности ИТ. Они могут
использоваться:
199
■ для восстановления конфигурации рабочей станции после аварий;

■ для контроля правомерности установки на конкретной рабочей станции
средств для решения соответствующих задач при разборе конфликтных
ситуаций;
■ для проверки правильности установки и настройки средств защиты рабочей
станции.
Экстренная модификация (обстоятельства форс-мажор)
В исключительных случаях (перечень которых должен определяться руководством
организации), требующих безотлагательного изменения ПО и модификации технических
средств, сотрудник подразделения автоматизации ставит в известность своего
руководителя и руководителя подразделения обеспечения безопасности ИТ (в случае их
отсутствия - дежурного сотрудника подразделения обеспечения безопасности ИТ и
пользователя рабочей станции) о необходимости такого изменения для получения
соответствующего разрешения (перечень лиц, которым предоставлено право разрешать
выполнение форс-мажорных работ должен определяться руководством организации).
Факт внесения изменений в ПО и технических средств защищённых рабочих станций и
серверов фиксируется актом за подписями ответственного за обеспечение безопасности
информации в подразделении и пользователя данной рабочей станции, сотрудников
подразделений автоматизации и обеспечения безопасности ИТ. В акте указывается
причина модификации, перечисляются файлы, подвергшиеся изменению, и указываются
лица, принявшие решение на проведение работ и проводившие эти работы. Факт
модификации ПО и корректировки настроек системы защиты фиксируется в «Журнале
учёта нештатных ситуаций...» того подразделения, в котором установлены рабочие
станции (сервера).
В течение следующего дня после составления акта руководством подразделений
автоматизации и обеспечения безопасности ИТ при участии сотрудников структурных
подразделений выясняются причины и состав проведённых экстренных изменений и
принимается решение о необходимости подготовки исправительной модификации ПО
или восстановления ПО рабочей станции (сервера) с эталонной копии (из АЭД).
Результат разбирательства оформляется в виде согласованного решения и хранится в
подразделении автоматизации, копии передаются в подразделение обеспечения
безопасности ИТ и в структурное подразделение.
200

Регламентация процессов разработки,
испытания, опытной эксплуатации,
внедрения и сопровождения задач
Согласно сложившемуся порядку в большинстве организаций ответственность за

решение всех вопросов, связанных с защитой информации, на этапах проектирования и
разработки прикладных программ возлагается на те же подразделения (и специалистов),
которые отвечают за создание и внедрение данных прикладных программ.
При этом требования к характеристикам средств защиты в разрабатываемых и
создаваемых подсистемах определяют сами разработчики - прикладные программисты, а
не заказчики или специалисты по защите информации. Разработчики действуют исходя
из собственных, не всегда правильных в силу специфики вопроса, представлений о
достаточности средств и механизмов защиты, то есть сами принимают и оценивают
решения по удовлетворению этих требований, и сами же оценивают качество реализации
необходимых защитных механизмов.
Все это, в конечном итоге, приводит к недопустимым упрощениям в вопросах
обеспечения безопасности информации в разрабатываемых прикладных подсистемах.
Поскольку применение дополнительных средств защиты создаёт определённые
ограничения при эксплуатации и использовании прикладных программ, требует
дополнительных затрат системных ресурсов компьютеров (создание качественных
средств защиты требует существенных затрат времени и сил, специальных знаний и
опыта), то разработчики прикладного программного обеспечения, отвечающие прежде
всего за своевременность и качество решения задач по автоматизации технологических
процессов, объективно не заинтересованы в создании и применении надёжных средств
защиты.
Порядок приёма разработанных программных продуктов в промышленную
эксплуатацию чаще всего сводится к проведению испытаний и подписанию акта
сдачи-приёмки. Зачастую внедрение задач и особенно их модернизация осуществляются
без надлежащей передачи эталонных копий ПО и всей необходимой документации в
фонд алгоритмов и программ (архив эталонных дистрибутивов), либо это делается с
большим отставанием по времени. В результате документация, имеющаяся в архиве, по
многим подсистемам неполна и часто не соответствует реальным версиям ПО. Некоторые
(в особенности новые) из подсистем оказываются недокументированными.
Это может приводить к возникновению ситуаций, когда сопровождение прикладного ПО
или реализация дополнительных мер по обеспечению безопасности ИТ будут затруднены
или просто станут невозможными по причине увольнения создавших данное ПО
программистов и отсутствия необходимых описаний и исходных текстов программ.
Кроме того, это свидетельствует о наличии у разработчиков возможностей достаточно
свободно осуществлять замену версий ПО, находящегося в эксплуатации.
Для устранения отмеченных недостатков требуется переход к такому порядку
взаимодействия подразделений, при котором определение требований по защите
информации в прикладных подсистемах и контроль за качеством реализации механизмов
защиты в них должны осуществляться специалистами по защите информации вне
подразделений, разрабатывающих ПО и эксплуатирующих технические средства, исходя
из единых для организации целей и задач защиты информации.
201
Разработка ПО задач (комплексов задач), проведение испытаний разработанного и

приобретённого ПО, передача ПО в эксплуатацию должна осуществляться в соответствии
с утверждённым «Порядком разработки, проведения испытаний и передачи задач
(комплексов задач) в эксплуатацию».
Порядок разработки комплексов задач (задач) должен включать требования по
номенклатуре и содержанию нормативных документов, разрабатываемых специалистами
подразделения обеспечения безопасности ИТ совместно со специалистами подразделения
автоматизации, порядку определения требований по обеспечению безопасности ИТ и
проведения экспертизы реализации механизмов защиты в прикладных системах.
Организация разработки и отладки программ должна исключать возможность доступа
программистов в эксплуатируемые подсистемы АС (к реальной информации и базам
данных). Для разработки и отладки программ должен бьггь организован специальный
опытный участок АС.
Передача разработанных (доработанных) программ в эксплуатацию должна
осуществляться через архив эталонных дистрибутивов программ (фонд алгоритмов и
программ) подразделения, ответственного за эксплуатацию ПО.
В связи с тем, что вопросами закупок средств защиты занимаются, как правило,
несколько подразделений организации, необходимо разработать и принять порядок
согласования выбора и приобретения средств защиты информации в АС для нужд
организации, а также порядок инспекторского контроля специалистами подразделения
обеспечения безопасности ИТ за соблюдением технических условий и сертификатов
ФСТЭК России и ФСБ России на приобретённые средства защиты и прикладные
системы.
Взаимодействие подразделений на этапах проектирования,

разработки, испытания и внедрения новых
автоматизированных подсистем
При проектировании и разработке
Специалисты подразделения обеспечения безопасности ИТ совместно со специалистами
отдела разработки программ и представителями заказывающего подразделения
участвуют в разработке постановки задач и Технического задания (спецификаций) в
части определения требований по информационной безопасности.
На основе анализа категории пользователей, категорий сведений, используемых и
создаваемых при решении задачи, их размещения на носителях, характера
осуществляемых преобразований информации и других особенностей проектируемой
технологии обработки данных и с учётом требований Концепции безопасности ИТ
организации и других документов, специалисты подразделения обеспечения
безопасности ИТ проводят анализ рисков и формируют требования к защите ресурсов
разрабатываемой подсистемы.
При этом учитываются реальные возможности по реализации требований обеспечения
безопасности ИТ организационными мерами и аппаратно-программными средствами
защиты системного и прикладного уровней и другие особенности создаваемой
подсистемы. При необходимости определяется потребность в приобретении или
разработке дополнительных средств защиты.
Согласованные с начальником подразделения обеспечения безопасности ИТ требования
должны включаться отдельным разделом в проектную документацию (постановку
задачи, техническое задание, техно-рабочий проект и т.п.).
Подразделение обеспечения безопасности ИТ участвует также в процессе выбора
аппаратно-программных средств (системных, инструментальных, базовых и т.п.),
планируемых к приобретению и использованию в разрабатываемой подсистеме.
подразделения технического сопровождения и представителями подразделений
разработки участвуют в обсуждении предложений по конфигурации (правил коммутации,
маршрутизации и т.п.) телекоммуникационной сети организации в части определения
требований по обеспечения безопасности ИТ. Требования формируются на основе
анализа коммуникационных потребностей прикладных задач подсистемы, категорий
сведений, используемых при решении данных задач. При этом учитываются реальные
возможности по реализации требований обеспечения безопасности ИТ техническими
средствами и организационными мерами. При необходимости определяется потребность
в приобретении и использовании дополнительных средств защиты телекоммуникаций.
При проведении испытаний
подразделений разработки и системного сопровождения ПО и представителями
заказывающего подразделения участвуют в подготовке программ и методик испытаний
задач и программных средств в части проверки реализации требований по обеспечению
безопасности ИТ, участвуют в испытаниях, фиксации контрольных сумм сдаваемого в
ФАП ПО и подписывают акты по результатам испытаний.
При сдаче в промышленную эксплуатацию
подразделений разработки и системного сопровождения ПО участвуют в разработке
формуляра для задачи (разработанного или приобретённого программного средства),
передаваемой в ФАП.
Формуляр (карта разграничения доступа) задачи (программного средства) должен
содержать перечень и размещение всех программных, информационных и других
ресурсов, используемых при решении задачи (применен™ программного средства),
список всех категорий пользователей данной задачи (программного средства) и указание
их прав по доступу к перечисленным ресурсам. Данный формуляр необходим при
настройке средств разграничения доступа на этапе внедрения задачи (при восстановлении
системы после сбоев). Кроме того, формуляры могут использоваться при контрольных
проверках правильности настройки и работы средств защиты.
В процессе установки (развёртывания) подсистем (задач) специалисты подразделения
автоматизации осуществляют настройку штатных средств защиты, а специалисты
подразделения обеспечения безопасности ИТ - контролируют правильность их настройки
и настраивают дополнительные средства защиты в соответствии с формулярами задач
(программных средств).
подразделений разработки и системного сопровождения, а также заказывающего
подразделения участвуют в разработке специальных требований по обеспечению
безопасности ИТ в должностных инструкциях пользователям АС.
В процессе эксплуатации (сопровождения)
Изменения настроек средств защиты в соответствии с утверждёнными заявками на
изменение полномочий пользователей осуществляется специалистами, системными
администраторами и администраторами безопасности, отвечающими за эксплуатацию
соответствующих подсистем (комплексов задач).
Внесение изменений в конфигурацию аппаратно-программных средств подсистемы (в
том числе при снятии задач с эксплуатации и при передаче аппаратных средств в ремонт)
осуществляется специалистами подразделений эксплуатации и технического
сопровождения на основании утверждённых и согласованных с подразделением
обеспечения безопасности ИТ заявок (заданий) от руководителей операционных
подразделений в строгом соответствии с «Инструкцией по установке, модификации и
УчеАиым ц ен т р
203
техническому обслуживанию программного обеспечения и аппаратных средств

автоматизированной системы организации».
В экстренных случаях (в кризисных ситуациях) специалисты подразделений
эксплуатации и технического сопровождения руководствуются Планом обеспечения
непрерывной работы и восстановления (ПОНРВ).
Конечные пользователи (специалисты операционных подразделений) при работе с АС
руководствуются своими должностными инструкциями и инструкцией пользователям по
вопросам обеспечения безопасности ИТ.
Правильность функционирования и настройки системы защиты периодически
контролируется специалистами подразделений эксплуатации (системными
администраторами), а также специалистами подразделения обеспечения безопасности ИТ
(администраторами информационной безопасности).
204

Определение требований к защите и
категорирование ресурсов. Проведение
информационных обследований и анализ
подсистем автоматизированной системы как
объекта защиты
Наибольшую сложность при решении вопросов обеспечения безопасности
информационных технологий представляет задача определения требований к защите
конкретной информации, её носителей и процессов обработки. Ключом к решению
данной задачи для общего случая служит учёт интересов всех затрагиваемых технологией
субъектов информационных отношений.
Определение градаций важности и соответствующих уровней

обеспечения защиты ресурсов
Исторически сложившийся подход к классификации государственной информации
(данных) по уровням требований к её защищённости основан на рассмотрении и
обеспечении только одного свойства информации - её конфиденциальности (грифа
секретности). Требования же к обеспечению целостности и доступности информации, как
правило, лишь косвенно фигурируют среди общих требований к системам обработки
этих данных. Считается, что раз к информации имеет доступ только узкий круг
доверенных лиц, то вероятность её искажения (несанкционированного уничтожения)
незначительна.
Если такой подход в какой-то степени оправдан в силу существующей приоритетности
свойств безопасности важной государственной информации, то это вовсе не означает, что
его механический перенос в другую предметную область (с другими субъектами и их
интересами) будет иметь успех.
Во многих областях деятельности (предметных областях) доля конфиденциальной
информации сравнительно мала. Для коммерческой и персональной информации, равно
как и для государственной информации, не подлежащей засекречиванию, приоритетность
свойств безопасности информации может быть совершенно иной. Для открытой
информации, ущерб от разглашения которой несущественен, важнейшими могут быть
такие качества, как доступность, целостность или защищённость от неправомерного
тиражирования. К примеру, для платёжных (финансовых) документов самым важным
является свойство их целостности (достоверности, неискажённое™). Затем, по степени
важности, следует свойство доступности (потеря платёжного документа или задержка
платежей может обходиться очень дорого). Требования к обеспечению
конфиденциальности платёжных документов, как правило, стоят на третьем месте.
Попытки подойти к решению вопросов защиты такой информации с позиций
традиционного обеспечения только конфиденциальности, терпят провал. Основными
причинами этого, являются узость традиционного подхода к защите информации,
отсутствие опыта и соответствующих проработок в плане обеспечения целостности и
доступности информации, не являющейся конфиденциальной.
Развитие системы классификации информации по уровням требований к её
защищённости предполагает введение ряда степеней (градаций, категорий) требований по
обеспечению каждого из свойств безопасности информации: доступности, целостности,
конфиденциальности.
205
Количество дискретных градаций и вкладываемый в них смысл могут различаться.

Главное, чтобы требования к защищённости различных свойств информации указывались
отдельно и достаточно конкретно (исходя из серьёзности возможного наносимого
субъектам информационных отношений ущерба от нарушения каждого из свойств
безопасности информации и системы её обработки).
В дальнейшем любой отдельный функционально законченный документ (некоторую
совокупность знаков), содержащий определённые сведения, вне зависимости от вида
носителя, на котором он находится, будем называть информационным пакетам.
К одному типу будем относить информационные пакеты (типовые документы), имеющие
сходство по некоторым признакам (по структуре, технологии обработки, типу сведений и
т.п.).
Задача состоит в определении реальных уровней заинтересованности (высокая, средняя,
низкая, отсутствует) субъектов в обеспечении требований к защищённости каждого из
свойств различных типов информационных пакетов, циркулирующих в АС.
Примерный порядок определения требований к защищённости циркулирующей в
системе информации представлен ниже:
1. Составляется перечень типов информационных пакетов (документов, таблиц и т.п.).
Для этого с учётом предметной области системы пакеты информации разделяются на
типы по тематике, функциональному назначению, сходности технологии обработки и т.п.
признакам.
На последующих этапах первоначальное разбиение информации (данных) на типы
пакетов может уточняться с учётом требований к их защищённости.
2. Затем для каждого типа пакетов, выделенного на первом шаге, и каждого критического
свойства информации (доступности, целостности, конфиденциальности) определяются
(например, методом экспертных оценок):
■ перечень и важность (значимость по отдельной шкале) субъектов, интересы
которых затрагиваются при нарушении данного свойства информации;
■ уровень наносимого им при этом ущерба (незначительный, малый, средний,
большой, очень большой и т.п.) и соответствующий уровень требований к
защищённости.
При определении уровня наносимого ущерба необходимо учитывать:
■ стоимость возможных потерь при получении информации конкурентом;
■ стоимость восстановления информации при её утрате;
■ затраты на восстановление нормального процесса функционирования АС и
т.д.
3. Для каждого типа информационных пакетов с учётом значимости субъектов и уровней
наносимого им ущерба устанавливается степень необходимой защищённости по каждому
из свойств информации (при равенстве значимости субъектов выбирается максимальное
значение уровня).
Пример оценки требований к защищённости некоторого типа информационных пакетов
выглядит следующим образом:
^ Учебным центр
206
Уровень ущерба по свойствам информации

Субъекты
Конфиденциальность Целостность Доступность
№1 Нет Средняя Средняя

№2 Высокая Средняя Средняя
№m Низкая Низкая Низкая
В итоге Высокая Средняя Средняя
Категорирование защищаемых ресурсов

Категорирование ресурсов АС, подлежащих защите, предполагает:
■ установление градаций важности (категорий) обеспечения защиты ресурсов;
■ отнесение конкретных ресурсов к соответствующим категориям.
Категорирование ресурсов (определение требований к защите ресурсов) АС является
необходимым элементом организации работ по обеспечению безопасности информации и
имеет своими цепями:
■ создание нормативно-методической основы для дифференцированного
подхода к защите ресурсов автоматизированной системы (информации,
задач, компьютеров) на основе их классификации по степени риска в случае
нарушения их доступности, целостности или конфиденциальности;
■ типизацию принимаемых контрмер и распределения физических и
аппаратно-программных средств защиты по компьютерам АС (рабочим
станциям и серверам) и унификацию и настроек защитных механизмов.
Категории защищаемой информации
Исходя из необходимости обеспечения различных уровней защиты разных видов
информации (не содержащей сведений, составляющих государственную тайну),
хранимой и обрабатываемой в АС, вводится несколько категорий конфиденциальности и
несколько категорий целостности защищаемой информации.
Категории конфиденциальности защищаемой информации:
■ «СТРОГО КОНФИДЕНЦИАЛЬНАЯ» - к данной категории относится
информация, являющаяся конфиденциальной в соответствии с требованиями
действующего законодательства (банковская тайны, персональные данные),
а также информация, ограничения на распространение которой введены
решениями руководства организации (коммерческая тайна), разглашение
которой может привести к тяжким финансово-экономическим последствиям
для организации вплоть до банкротства (нанесению тяжкого ущерба
жизненно важным интересам его клиентов, корреспондентов, партнёров или
сотрудников);
■ «КОНФИДЕНЦИАЛЬНАЯ» - к данной категории относится информация,
не отнесённая к категории «СТРОГО КОНФИДЕНЦИАЛЬНАЯ »,
ограничения на распространение которой вводятся решением руководства
организации в соответствии с предоставленными ему как собственнику
(уполномоченному собственником лицу) информации действующим
законодательством правами, разглашение которой может привести к
значительным убыткам и потере конкурентоспособности организации
Учебным даитр
207
(нанесению ощутимого ущерба интересам его клиентов, корреспондентов,

партнёров или сотрудников);
■ «ОТКРЫТАЯ» - к данной категории относится информация, обеспечения
конфиденциальности (введения ограничений на распространение) которой
не требуется.
Категории целостности защищаемой информации:
■ «ВЫСОКАЯ» - к данной категории относится информация,
несанкционированная модификация (искажение, подмена, уничтожение) или
фальсификация (подделка) которой может привести к нанесению
значительного прямого ущерба организации, целостность и аутентичность
(подтверждение подлинности источника) которой должна обеспечиваться
гарантированными методами (средствами электронной подписи —ЭП) в
соответствии с обязательными требованиями действующего
законодательства, приказов, директив и других нормативных актов;
■ «НИЗКАЯ» - к данной категории относится информация,
несанкционированная модификация, подмена или удаление которой может
привести к нанесению незначительного косвенного ущерба организации, её
клиентам, партнёрам или сотрудникам, целостность которой должна
обеспечиваться в соответствии с решением руководства (методами подсчёта
контрольных сумм, хеш-функций);
■ «НЕТ ТРЕБОВАНИЙ» - к данной категории относится информация, к
обеспечению целостности (и аутентичности) которой требований не
предъявляется.
Категории функциональных задач
В зависимости от периодичности решения функциональных задач и максимально
допустимой задержки получения результатов их решения вводится четыре требуемых
степени (категории) доступности функциональных задач.
Требуемые степени доступности функциональных задач:
■ «БЕСПРЕПЯТСТВЕННАЯ ДОСТУПНОСТЬ» - доступ к задаче должен
обеспечиваться в любое время (задача решается постоянно, задержка
получения результата не должна превышать нескольких секунд или минут);
■ «ВЫСОКАЯ ДОСТУПНОСТЬ» —доступ к задаче должен осуществляться
без существенных временных задержек (задача решается ежедневно,
задержка получения результата не должна превышать нескольких часов);
■ «СРЕДНЯЯ ДОСТУПНОСТЬ» —доступ к задаче может обеспечиваться с
существенными временными задержками (задача решается раз в несколько
дней, задержка получения результата не должна превышать нескольких
дней);
■ «НИЗКАЯ ДОСТУПНОСТЬ» —временные задержки при доступе к задаче
практически не лимитированы (задача решается с периодом в несколько
недель или месяцев, допустимая задержка получения результата - несколько
недель).
Категории компьютеров
Категории защиты компьютеров (рабочих станций и серверов) устанавливаются в
зависимости от категорий конфиденциальности и целостности хранимой или
обрабатываемой информации и категорий доступности решаемых на компьютерах задач.
Категория компьютера представляет собой триаду, включающую:
208
■ максимальную категорию конфиденциальности, хранимой или

обрабатываемой на компьютере информации;
■ максимальную категорию целостности, хранимой или обрабатываемой на
компьютере информации;
■ максимальную категорию доступности задач, решаемых на компьютере.
Например:
«КОНФИДЕНЦИАЛЬНО», «ВЫСОКАЯ», «БЕСПРЕПЯТСТВЕННАЯ
ДОСТУПНОСТЬ»;
<«СТРОГО КОНФИДЕНЦИАЛЬНО», «НЕТ ТРЕБОВАНИЙ», «НИЗКАЯ
ДОСТУПНОСТЬ»;
«ЮТКРЫТАЯ», «НИЗКАЯ», «СРЕДНЯЯ ДОСТУПНОСТЬ».
Для компьютеров различных категорий определяются конкретные требования по
обеспечению безопасности (по применению соответствующих вариантов обязательных
мер и настроек защитных механизмов средств защиты).
Порядок определения категорий защищаемых ресурсов автоматизированной системы
Категорирование ресурсов автоматизированной системы (компьютеров, задач,
информации) проводится на основе их инвентаризации и предполагает составление и
последующее ведение (поддержание в актуальном состоянии) перечней (совокупностей
формуляров) ресурсов АС, подлежащих защите.
Ответственность за составление и ведение перечней ресурсов АС организации
возлагается:
■ в части составления и ведения перечня компьютеров (с указанием их
размещения, закрепления за подразделениями организации, состава и
характеристик, входящих в его состав технических средств - формуляров
компьютеров) - на подразделение автоматизации организации;
■ в части составления и ведения перечня системных (общих) и прикладных
(специальных) задач, решаемых на компьютерах (с указанием перечней
используемых при их решении ресурсов - устройств, каталогов, файлов с
информацией) - на отделы программирования, внедрения, сопровождения и
эксплуатации ПО подразделения автоматизации организации.
Ответственность за определение требований к обеспечению конфиденциальности,
целостности, доступности и присвоение соответствующих категорий ресурсам
конкретных компьютеров (информационным ресурсам и задачам) возлагается на
функциональные подразделения организации, которые непосредственно решают задачи
на данных компьютерах, и на подразделение обеспечения безопасности ИТ
(компьютерной безопасности).
Утверждение назначенных категорий ресурсов АС производится руководителем
подразделения обеспечения безопасности ИТ.
Инициаторами категорирования компьютеров и получения соответствующих
предписаний на эксплуатацию (формуляров ПЭВМ) должны выступать руководители
подразделений организации, в которых используются данные ПЭВМ.
Контроль за правильностью категорирования ресурсов АС и законностью эксплуатации
(наличием утверждённых формуляров - предписаний на эксплуатацию) защищённых
рабочих станций и серверов АС организации в подразделениях организации
осуществляется сотрудниками подразделения обеспечения безопасности ИТ.
209
Категорирование ресурсов АС организации может осуществляться последовательно для

каждого конкретного компьютера в отдельности с последующим объединением и
формированием общего перечня ресурсов АС организации, подлежащих защите:
■ перечня информационных ресурсов АС организации, подлежащих защите;
■ перечня подлежащих защите задач (совокупности формуляров задач),
решаемых в АС организации;
■ перечня подлежащих защите компьютеров (совокупности формуляров
ПЭВМ), эксплуатируемых в организации.
На первом этапе работ производится категорирование всех видов информации,
используемой при решении задач на конкретной ПЭВМ (установление категорий
конфиденциальности и целостности конкретных видов информации). Подлежащие
защите информационные ресурсы включаются в «Перечень информационных ресурсов,
подлежащих защите».
На втором этапе происходит категорирование всех функциональных задач, решаемых на
данной ПЭВМ.
На третьем этапе, устанавливается категория ПЭВМ, исходя из максимальных категорий
обрабатываемой информации и задач, решаемых на нем.
Проведение информационных обследований и документирование

защищаемых ресурсов
Категорирование предполагает проведение работ по выявлению (инвентаризации) и
анализу всех ресурсов подсистем АС организации, подлежащих защите. Примерная
последовательность и основное содержание конкретных действий по осуществлению
этих работ приведены ниже.
Для проведения анализа всех подсистем автоматизированной системы организации,
проведения инвентаризации и категорирования ресурсов АС, подлежащих защите,
формируется специальная рабочая группа. В состав этой группы включаются
специалисты подразделения обеспечения безопасности ИТ и других подразделений
организации (осведомлённые в вопросах технологии автоматизированной обработки
информации в организации).
Для придания необходимого статуса рабочей группе, издаётся соответствующее
распоряжение руководства организации, в котором, в частности, даются указания всем
руководителям структурных подразделений организации об оказании содействия и
необходимой помощи рабочей группе в проведении работ по анализу ресурсов всех
компьютеров АС. Для оказания помощи на время работы группы в подразделениях
руководителями этих подразделений должны выделяться сотрудники, владеющие
детальной информацией по вопросам автоматизированной обработки информации в
данных подразделениях.
В ходе обследования конкретных подразделений организации и автоматизированных
подсистем выявляются и описываются все функциональные задачи, решаемые с
использованием АС, а также все виды информации (сведений), используемые при
решении этих задач в подразделениях.
Составляется общий перечень функциональных задач и для каждой задачи оформляется
формуляр. При этом следует учитывать, что одна и та же задача в разных подразделениях
может называться по-разному, и наоборот, различные задачи могут иметь одно и то же
название. Одновременно с этим ведётся учёт программных средств (общих,
специальных), используемых при решении функциональных задач подразделения.
При обследовании подсистем и анализе задач выявляются все виды входящей,
исходящей, хранимой, обрабатываемой и т.п. информации. Необходимо выявлять не
Учебмьж u e m p
210
только информацию, которая может быть отнесена к конфиденциальной (к банковской и

коммерческой тайне, персональным данным), но и информацию, подлежащую защите в
силу того, что нарушение её целостности (искажения, фальсификации) или доступности
(уничтожения, блокирования) может нанести ощутимый ущерб организации.
При выявлении всех видов информации, циркулирующей и обрабатываемой в
подсистемах желательно проводить оценку серьёзности последствий, к которым могут
привести нарушения её свойств (конфиденциальности, целостности). Для получения
первоначальных оценок серьёзности таких последствий целесообразно проводить опрос
(например, в форме анкетирования) специалистов, работающих с данной информацией.
При этом надо выяснять, кого может интересовать данная информация, как они могут на
неё воздействовать или незаконно использовать, к каким последствиям это может
привести. В случае невозможности количественной оценки вероятного ущерба
производится его качественная оценка (например: низкая, средняя, высокая, очень
высокая).
При составлении перечня и формуляров функциональных задач, решаемых в организации
необходимо выяснять периодичность их решения, максимально допустимое время
задержки получения результатов решения задач и степень серьёзности последствий, к
которым могут привести нарушения их доступности (блокирование возможности
решения задач). В случае невозможности количественной оценки вероятного ущерба
производится качественная оценка.
Все, выявленные в ходе обследования, различные виды информации заносятся в
«Перечень информационных ресурсов, подлежащих защите».
Определяется (и затем указывается в Перечне) к какому типу тайны (банковская,
коммерческая, персональные данные, не составляющая тайны) относится каждый из
выявленных видов информации (на основании требований действующего
законодательства и предоставленных организации прав).
Первоначальные предложения по оценке категорий обеспечения конфиденциальности и
целостности конкретных видов информации выясняются у руководителей (ведущих
специалистов) структурного подразделения (на основе их личных оценок вероятного
ущерба от нарушения свойств конфиденциальности и целостности информации). Данные
оценки категорий информации заносятся в «Перечень информационных ресурсов,
подлежащих защите».
Затем Перечень согласовывается с руководителями подразделений автоматизации и
обеспечения безопасности ИТ (компьютерной безопасности) и выдвигается на
рассмотрение руководства организации.
На следующем этапе происходит категорирование функциональных задач. На основе
требований по доступности, предъявляемых руководителями подразделений организации
и согласованных с подразделением автоматизации, категорируются все специальные
(прикладные) функциональные задачи, решаемые в подразделениях с использованием
АС. Информация о категориях специальных задач заносится в формуляры задачи.
Категорирование общих (системных) задач и программных средств вне привязки к
конкретным компьютерам и прикладным задачам не производится.
В дальнейшем, с участием специалистов подразделений автоматизации и обеспечения
безопасности ИТ необходимо уточнить состав информационных и программных
ресурсов каждой задачи и внести в её формуляр сведения по группам пользователей
задачи и указания по настройке применяемых при её решении средств защиты
(полномочия доступа групп пользователей к перечисленным ресурсам задачи). Эти
сведения будут использоваться в качестве эталона настроек средств зашиты
соответствующих компьютеров, на которых будет решаться данная задача, и для
контроля правильности их установки.
211
На последнем этапе происходит категорирование компьютеров. Категория компьютера

устанавливается, исходя из максимальной категории специальных задач, решаемых на
нем, и максимальных категорий конфиденциальности и целостности информации,
используемой при решении этих задач. Информация о категории компьютера (триада)
заносится в его формуляр.
Планы защиты и планы обеспечения
непрерывной работы и восстановления
подсистем автоматизированной системы
План защиты информации

Планы зашиты информации разрабатываются с целью конкретизации положений
Концепции безопасности ИТ для конкретных подсистем АС и должны содержать
следующие сведения:
■ описание подсистемы АС как объекта защиты: назначение, перечень
решаемых задач, конфигурация, характеристики и размещение технических
средств и программного обеспечения, перечень категорий информации
(пакетов, файлов, наборов и баз данных, в которых они содержатся),
подлежащих защите, требований по обеспечению доступности,
конфиденциальности, целостности этих категорий информации, список
пользователей и их полномочий по доступу к ресурсам системы и т.п.;
■ цель защиты и пути обеспечения безопасности ресурсов подсистемы АС и
циркулирующей в ней информации;
■ перечень значимых угроз безопасности и наиболее вероятных путей
нанесения ущерба подсистеме АС;
■ основные требования к организации процесса функционирования
подсистемы АС и мерам обеспечения безопасности обрабатываемой
■ требования к условиям применения и определение зон ответственности
установленных в системе штатных и дополнительных технических средств
защиты;
■ основные правила, регламентирующие деятельность пользователей и
персонала по вопросам обеспечения безопасности в подсистеме.
План обеспечения непрерывной работы и восстановления
План обеспечения непрерывной работы и восстановления (ПОНРВ) определяет основные
меры, методы и средства сохранения (поддержания) работоспособности АС при
возникновении различных кризисных ситуаций, а также способы и средства
восстановления информации и процессов её обработки в случае нарушения
работоспособности АС и её основных компонентов. Кроме того, он описывает действия
различных категорий персонала системы в кризисных ситуациях по ликвидации их
последствий и минимизации наносимого ущерба.
Классификация кризисных ситуаций
Ситуация, возникающая в результате нежелательного воздействия на АС, не
предотвращённого средствами защиты, называется кризисной. Кризисная ситуация
может возникнуть в результате злого умысла или случайно (в результате
непреднамеренных действий, аварий, стихийных бедствий и т.п.).
Под умышленным нападением понимается кризисная ситуация, которая возникла в
результате выполнения злоумышленниками в определённые моменты времени заранее
обдуманных и спланированных действий.
«ямгр
213
Под случайной (непреднамеренной) кризисной ситуацией понимается такая кризисная

ситуация, которая не была результатом заранее обдуманных действий, и возникновение
которой явилось результатом, объективных причин случайного характера, халатности,
небрежности или случайного стечения обстоятельств.
По степени серьёзности и размерам наносимого ущерба кризисные ситуации разделяются
на следующие категории:
Угрожающая - приводящая к полному выходу АС из строя и её неспособности
выполнять далее свои функции, а также к уничтожению, блокированию, неправомерной
модификации или компрометации наиболее важной информации;
Серьёзная - приводящая к выходу из строя отдельных компонентов системы (частичной
потере работоспособности), потере производительности, а также к нарушению
целостности и конфиденциальности программ и данных в результате
несанкционированного доступа;
Ситуации, возникающие в результате нежелательных воздействий, не наносящих
ощутимого ущерба, но, тем не менее, требующие внимания и адекватной реакции
(например, зафиксированные неудачные попытки проникновения или
несанкционированного доступа к ресурсам системы) к критическим не относятся.
Действия в случае возникновения таких ситуаций предусмотрены Планом защиты (в
обязанностях персонала: ответственных за безопасность в подразделениях и на
технологических участках и сотрудников подразделения обеспечения безопасности ИТ).
К угрожающим кризисным ситуациям, например, могут быть отнесены:
■ нарушение подачи электроэнергии в здание;
■ выход из строя сервера (с потерей информации);
■ выход из строя сервера (без потери информации);
■ частичная потеря информации на сервере без потери его работоспособности;
■ выход из строя локальной сети (физической среды передачи данных).
К серьёзным кризисным ситуациям, например, могут быть отнесены:
■ выход из строя рабочей станции (с потерей информации);
■ выход из строя рабочей станции (без потери информации);
■ частичная потеря информации на рабочей станции без потери её
работоспособности.
К ситуациям, требующим внимания, например, могут быть отнесены:
■ несанкционированные действия, заблокированные средствами защиты и
зафиксированные средствами регистрации.
Источники информации о возникновении кризисной ситуации:
■ пользователи, обнаружившие несоответствия Плану защиты или другие
подозрительные изменения в работе или конфигурации системы или средств
её защиты в своей зоне ответственности;
■ средства защиты, обнаружившие предусмотренную планом защиты
кризисную ситуацию;
■ системные журналы, в которых имеются записи, свидетельствующие о
возникновении или возможности возникновения кризисной ситуации.
УчеЬньм центр
Меры обеспечения непрерывной работы и восстановления работоспособности
автоматизированной системы
Непрерывность процесса функционирования АС и своевременность восстановления её
работоспособности достигается:
■ проведением специальных организационных мероприятий и разработкой
организационно-распорядительных документов по вопросам обеспечения
НРВ вычислительного процесса;
■ строгой регламентацией процесса обработки информации с применением
ЭВМ и действий персонала системы, в том числе в кризисных ситуациях;
■ назначением и подготовкой должностных лиц, отвечающих за организацию
и осуществление практических мероприятий по обеспечению НРВ
информации и вычислительного процесса;
■ чётким знанием и строгим соблюдением всеми должностными лицами,
использующими средства вычислительной техники АС, требований
руководящих документов по обеспечению НРВ;
■ применением различных способов резервирования аппаратных ресурсов,
эталонного копирования программных и страхового копирования
информационных ресурсов системы;
■ эффективным контролем за соблюдением требований по обеспечению НРВ
должностными лицами и ответственными;
■ постоянным поддержанием необходимого уровня защищённости
компонентов системы, непрерывным управлением и административной
поддержкой корректного применения средств защиты;
■ проведением постоянного анализа эффективности принятых мер и
применяемых способов и средств обеспечения НРВ, разработкой и
реализацией предложений по их совершенствованию.
Общие требования
Все пользователи, работа которых может быть нарушена в результате возникновения
угрожающей или серьёзной кризисной ситуации, должны немедленно оповещаться.
Дальнейшие действия по устранению причин нарушения работоспособности АС,
возобновлению обработки и восстановлению повреждённых (утраченных) ресурсов
определяются функциональными обязанностями персонала и пользователей системы.
Каждая кризисная ситуация должна анализироваться администрацией безопасности и по
результатам этого анализа должны вырабатываться предложения по изменению
полномочий пользователей, атрибутов доступа к ресурсам, созданию дополнительных
резервов, изменению конфигурации системы или параметров настройки средств защиты
и т.п.
Серьёзная и угрожающая кризисная ситуация могут требовать оперативной замены и
ремонта вышедшего из строя оборудования, а также восстановления повреждённых
программ и наборов данных из резервных копий.
Оперативное восстановление программ (используя эталонные копии) и данных
(используя страховые копии) в случае их уничтожения или порчи в серьёзной или
угрожающей кризисной ситуации обеспечивается резервным (страховым) копированием
и внешним (по отношению к основным компонентам системы) хранением копий.
Резервному копированию подлежат все программы и данные, обеспечивающие
работоспособность системы и выполнение ею своих задач (системное и прикладное
программное обеспечение, базы данных и другие наборы данных), а также архивы,
журналы транзакций, системные журналы и т.д.
215
Все программные средства, используемые в системе должны иметь эталонные

(дистрибутивные) копии. Их местонахождение и сведения об ответственных за их
создание, хранение и использование должны быть указаны в формулярах на каждую
ЭВМ (рабочую станцию, сервер). Там же должны быть указаны перечни наборов данных,
подлежащих страховому копированию, периодичность копирования, место хранения и
ответственные за создание, хранение и использование страховых копий данных.
Необходимые действия персонала по созданию, хранению и использованию резервных
копий программ и данных должны быть отражены в функциональных обязанностях
соответствующих категорий персонала.
Каждый носитель, содержащий резервную копию, должен иметь метку, содержащую
данные о классе, ценности, назначении хранимой информации, ответственном за
создание, хранение и использование, дату последнего копирования, место хранения и др.
Дублирующие аппаратные ресурсы предназначены для обеспечения работоспособности
системы в случае выхода из строя всех или отдельных аппаратных компонентов в
результате угрожающей кризисной ситуации. Количество и характеристики
дублирующих ресурсов должны обеспечивать выполнение основных задач системой в
любой из предусмотренной планом ОНРВ кризисной ситуации.
Ликвидация последствий угрожающей или серьёзной кризисной ситуации подразумевает,
возможно, более полное восстановление программных, аппаратных, информационных и
других повреждённых компонентов системы.
В случае возникновения любой кризисной ситуации должно производиться
расследование причин её возникновения, оценка причинённого ущерба, определение
виновных и принятие соответствующих мер.
Расследование кризисной ситуации производится группой, назначаемой руководством
учреждения. Возглавляет группу администратор безопасности. Выводы группы
докладываются непосредственно руководству организации.
Если причиной угрожающей или серьёзной кризисной ситуации явились недостаточно
жёсткие меры защиты и контроля, а ущерб превысил установленный уровень, то такая
ситуация является основанием для полного пересмотра Плана защиты и Плана
обеспечения непрерывной работы и восстановления.
Средства обеспечения непрерывной работы и восстановления
1. Резервному копированию (РК) подлежит следующая информация:
■ системные программы и наборы данных - невозобновляемому
(однократному, эталонному) РК;
■ прикладное программное обеспечение и наборы данных -
невозобновляемому (эталонному) РК;
■ наборы данных, генерируемые в процессе работы и содержащие ценную
информацию (журналы транзакций, системный журнал и т.д.) -
периодическому возобновляемому РК.
Программные и информационные ресурсы, подлежащие резервному копированию,
заносятся в соответствующие списки, которые могут быть оформлены в виде таблицы
(Таблица 1):
—^
216
Таблица 1
Наименование Где Вид резервного Ответственный за Где хранится Порядок
информационного размещается копирования резервное резервная копия использования
ресурса ресурс в (период копирование и (ответственный, резервной копии
системе возобновляемого порядок создания его телефон) (кто, в каких
копирования) резервной копии случаях)
(используемые
технические
средства)
Безопасность резервных копий обеспечивается:

■ хранением резервных копий вне системы (в других помещениях, на другой
территории);
■ соблюдением мер физической защиты резервных копий;
■ строгой регламентацией порядка использования резервных копий.
2. Также дублированию (резервированию) в АС подлежат и используемые в подсистемах
АС технические средства, списки которых оформляются в виде таблиц (Таблица 2):
Таблица 2
Наименование Где Вид резерва Ответственный за Порядок Где хранится
дублируемого размещается (групповой или готовность использования резервное
(резервируемого) данное индивидуальный, резервного (включения, средство
технического средство в холодный или средства(период настройки) (ответствен
средства системе горячий), время проверки резерва (для ' ный, его
готовности резерва работоспособ различных телефон)
ности резервного кризисных
средства) ситуаций)
Обязанности и действия персонала по обеспечению непрерывной работы и

восстановлению автоматизированной системы
Действия персонала в кризисной ситуации зависят от степени её тяжести.
В случае возникновения ситуации требующей внимания, администратор безопасности
подсистемы должен провести её анализ собственными силами. О факте систематического
возникновения таких ситуации и принятых мерах необходимо ставить в известность
руководство подразделения.
В случае возникновения угрожающей или серьёзной критической ситуации действия
персонала включают следующие этапы:
■ немедленная реакция;
■ частичное восстановление работоспособности и возобновление обработки;
■ полное восстановление системы и возобновление обработки в полном
объёме;
■ расследование причин кризисной ситуации и установление виновных.
Этапы включают следующие действия:
В качестве немедленной реакции:
217
■ обнаруживший факт возникновения кризисной ситуации оператор обязан

немедленно оповестить об этом администратора безопасности;
■ администратор должен поставить в известность операторов всех смежных
подсистем о факте возникновения кризисной ситуации для их перехода на
аварийный режим работы (приостановку работы);
■ вызвать ответственных системного программиста и системного инженера;
■ определить степень серьёзности и масштабы кризисной ситуации, размеры и
область поражения;
■ оповестить персонал взаимодействующих подсистем о характере кризисной
ситуации и ориентировочном времени возобновления обработки.
Ответственными за этот этап являются оператор подсистемы и администратор
При частичном восстановлении работоспособности (минимально необходимой для
возобновления работы системы в целом, возможно с потерей производительности) и
возобновлении обработки:
■ отключить поражённые компоненты или переключиться на использование
дублирующих ресурсов (горячего резерва);
■ если не произошло повреждения программ и данных, возобновить обработку
и оповестить об этом персонал взаимодействующих подсистем;
■ восстановить работоспособность повреждённых критичных аппаратных
средств и другого оборудования, при необходимости произвести замену
отказавших узлов и блоков резервными;
■ восстановить повреждённое критичное программное обеспечение, используя
эталонные (страховые) копии;
■ восстановить необходимые данные, используя страховые копии;
■ проверить работоспособность повреждённой подсистемы, удостовериться в
том, что последствия кризисной ситуации не оказывают воздействия на
дальнейшую работу системы;
■ уведомить операторов смежных подсистем о готовности к работе.
Затем необходимо внести все изменения данных за время с момента создания последней
страховой копии (за текущий период, операционный день), для чего должен
осуществляться <<докат» на основании информации из журналов транзакций либо все
связанные с повреждённой подсистемой пользователи должны повторить действия,
выполненные в течение последнего периода (дня).
Ответственным за этот этап является администратор безопасности подсистемы,
системный программист и системный инженер.
Для полного восстановления в период неактивности системы:
■ восстановить работоспособность всех повреждённых аппаратных средств,
при необходимости произвести замену отказавших узлов и блоков
резервными;
■ восстановить и настроить все повреждённые программы, используя
эталонные (страховые) копии;
■ восстановить все повреждённые данные, используя страховые копии и
журналы транзакций;
■ настроить средства защиты подсистемы в соответствии с планом защиты;
Уче&нмцентр
218
■ о результатах восстановления уведомить администратора системы (базы

данных).
Ответственными за этот этап являются администратор безопасности подсистемы,
системный программист и системный инженер.
Далее необходимо провести расследование причин возникновения кризисной ситуации.
Для этого необходимо ответить на вопросы:
■ случайная или преднамеренная кризисная ситуация ?
■ учитывалась ли возможность её возникновения в Плане защиты и Плане
обеспечения непрерывной работы и восстановления ?
■ можно ли было её предусмотреть ?
■ вызвана ли она слабостью средств защиты и регистрации ?
■ превысил ли ущерб от неё установленный уровень ?
■ есть ли невосполнимый ущерб и велик ли он ?
■ это первая кризисная ситуация такого рода ?
■ есть ли возможность точно определить круг подозреваемых ?
■ есть ли возможность точно установить виновника ?
■ в чем причина кризисной ситуации ?
■ достаточно ли имеющегося резерва ?
■ есть ли необходимость пересмотра плана защиты ?
■ есть ли необходимость пересмотра плана обеспечения непрерывной работы
и восстановления?
Ответственным за расследование является администратор безопасности подсистемы.
Отчёт о результатах расследования и предложениях по совершенствованию системы
необходимо направить администратору системы (базы данных) и руководству
организации.
Обязанности системного инженера по обеспечению непрерывной работы и
восстановлению автоматизированной системы
В обязанности инженерного состава входит:
■ поддержание аппаратных средств и другого оборудования, включая
резервное (дублирующее), в рабочем состоянии и их периодическая
проверка;
■ восстановление функций аппаратных средств и другого оборудования в
случае отказов;
■ оперативная замена дефектных узлов резервными в случае отказов;
■ подготовка и оперативное включение резервных аппаратных средств и
другого оборудования в случае серьёзной кризисной ситуации.
219

Основные задачи подразделения
обеспечения безопасности информационных
технологий. Организация работ по
обеспечению безопасности информационных
Организационная структура, основные функции подразделения

Для непосредственной организации (построения) и эффективного функционирования
комплексной системы защиты информации в АС может быть (а на государственных
предприятиях и при больших объёмах защищаемой информации - должно быть) создано
специальное подразделение обеспечения безопасности информации (служба
компьютерной безопасности).
Служба компьютерной безопасности представляет собой штатное или нештатное
подразделение, создаваемое для организации квалифицированной разработки системы
защиты информации и обеспечения её нормального функционирования.
На это подразделение целесообразно возложить решение следующих основных задач.
■ определение требований к системе защиты информации, её носителей и
процессов обработки, разработка (совершенствование), согласование и
утверждение у руководства политики безопасности;
■ организация мероприятий по реализации принятой политики безопасности,
оказание методической помощи и координация работ по созданию и
развитию комплексной системы защиты информации;
■ контроль за соблюдением установленных правил безопасной работы в АС,
оценка эффективности и достаточности принятых мер и применяемых
средств защиты.
Основные функции службы заключаются в следующем:
■ формирование требований к системе защиты при создании и развитии АС;
■ участие в проектировании системы защиты, её испытаниях и приёмке в
эксплуатацию;
■ планирование, организация и обеспечение функционирования системы
защиты информации в процессе функционирования АС;
■ обучение пользователей и персонала АС правилам безопасной обработки
информации и обслуживания компонентов АС;
■ распределение между пользователями необходимых реквизитов доступа к
ресурсам АС;
■ контроль за соблюдением пользователями и персоналом АС установленных
правил обращения с защищаемой информацией в процессе ее
автоматизированной обработки;
■ взаимодействие с ответственными за безопасность информации в
подразделениях;
■ регламентация действий и контроль за администраторами баз данных,
серверов и сетевых устройств (за сотрудниками, обеспечивающими
правильность применения имеющихся в составе ОС, СУБД и т.п. средств
разграничения доступа и других средств защиты информации);
■ принятие мер при попытках НСД к информации и при нарушениях правил
функционирования системы защиты;
■ наблюдение за работой системы защиты и её элементов и организация
проверок надёжности их функционирования.
Организационно-правовой статус службы обеспечения безопасности информации
определяется следующим образом:
■ служба должна подчиняться тому лицу, которое несёт персональную
ответственность за соблюдение правил обращения с защищаемой
информацией;
■ сотрудники службы должны иметь право доступа во все помещения, где
установлены технические средства АС, и право требовать от руководства
подразделений прекращения автоматизированной обработки информации
при наличии непосредственной угрозы для защищаемой информации;
■ руководителю службы защиты должно быть предоставлено право запрещать
включение в число действующих новые элементы АС, если они не отвечают
требованиям защиты информации и это может привести к серьёзным
последствиям в случае реализации значимых угроз безопасности;
■ численность службы должна быть достаточной для выполнения всех
перечисленных выше функций;
■ штатный персонал службы не должен иметь других обязанностей, связанных
с функционированием АС;
■ сотрудникам службы должны обеспечиваться все условия, необходимые им
для выполнения своих функций.
Для решения задач, возложенных на подразделение обеспечения безопасности
информации, его сотрудники должны иметь следующие права
■ определять необходимость, разрабатывать представлять на согласование и
утверждение руководством нормативные и организационно
распорядительные документы, касающиеся вопросов обеспечения
безопасности информации, включая документы, регламентирующие
деятельность сотрудников других подразделений;
■ получать необходимую информацию от сотрудников других подразделений
по вопросам применения информационных технологий и эксплуатации АС,
в части касающейся обеспечения безопасности ИТ;
■ участвовать в проработке технических решений по вопросам обеспечения
безопасности ИТ при проектировании и разработке новых подсистем и
комплексов задач (задач);
■ участвовать в испытаниях разработанных подсистем и комплексов задач
(задач) по вопросам оценки качества реализации требований по
обеспечению безопасности ИТ;
■ контролировать деятельность сотрудников других подразделений
организации по вопросам обеспечения безопасности ИТ.
Естественно, все эти задачи не под силу одному человеку, особенно в крупной
организации (компании, банке и т.п.). Более того, в службу компьютерной безопасности
У чебны м
221
могут входить сотрудники с разными функциональными обязанностями. В состав такого

подразделения должны входить следующие специалисты:
■ руководитель, непосредственно отвечающий за состояние информационной
безопасности и организацию работ по созданию комплексных систем
защиты информации в АС;
■ аналитики по вопросам компьютерной безопасности, отвечающие за анализ
состояния информационной безопасности, определение требований к
защищённости различных подсистем АС и путей обеспечения их защиты, а
также за разработку необходимых нормативно-методических и
организационно-распорядительных документов по вопросам защиты
■ администраторы средств защиты, контроля и управления, отвечающие за
сопровождение и администрирование конкретных средств защиты
информации и средств анализа защищённости подсистем АС;
■ администраторы криптографических средств защиты, ответственные за
установку, настройку, снятие СКЗИ, генерацию и распределение ключей и
т.п.;
■ ответственные за решение вопросов защиты информации в разрабатываемых
программистами и внедряемых прикладных программах (участвующие в
разработке технических заданий по вопросам защиты информации, в выборе
средств и методов защиты, участвующие в испытаниях новых прикладных
программ с целью проверки выполнения требований по защите и т.д.);
■ специалисты по защите информации от утечки по техническим каналам;
■ ответственные за организацию конфиденциального (секретного)
делопроизводства и др.
-
222

Концепция безопасности информационных
технологий предприятия (организации)
Назначение и статус документа

«Концепция безопасности информационных технологий организации» (далее
Концепция) определяет систему взглядов на проблему обеспечения безопасности
информации в АС организации, и представляет собой систематизированное изложение
целей и задач защиты, основных принципов построения, организационных,
технологических и процедурных аспектов обеспечения безопасности информации в АС.
Основные положения и требования Концепции распространяются на все структурные
подразделения организации, в которых осуществляется автоматизированная обработка
подлежащей защите информации, а также на подразделения, осуществляющие
сопровождение, обслуживание и обеспечение нормального функционирования АС.
Концепция является методологической основой для:
■ формирования и проведения единой политики в области обеспечения
безопасности информации в АС;
■ принятия управленческих решений и разработки практических мер по
воплощению политики безопасности информации и выработки комплекса
согласованных мер нормативно-правового, технологического и
организационно-технического характера, направленных на выявление,
отражение и ликвидацию последствий реализации различных видов угроз
безопасности информации;
■ координации деятельности структурных подразделений при проведении
работ по созданию, развитию и эксплуатации АС с соблюдением требований
обеспечения безопасности информации;
■ разработки предложений по совершенствованию правового, нормативного,
методического, технического и организационного обеспечения безопасности
АС.
Правовой основой Концепции должны являться Конституция Российской Федерации,
Гражданский и Уголовный кодексы, законы, указы, постановления, другие нормативные
документы действующего законодательства Российской Федерации, документы ФСТЭК
России, ФСБ России и другие нормативные документы, регламентирующие вопросы
защиты информации в АС.
При разработке Концепции должны учитываться основные принципы создания
комплексных систем обеспечения безопасности информации, характеристики и
возможности организационно-технических методов и современных аппаратно
программных средств защиты и противодействия угрозам безопасности информации, а
также текущее состояние и перспективы развития информационных технологий.
Основные положения Концепция должны базироваться на качественном осмыслении
вопросов безопасности информации и не концентрировать внимание на экономическом
(количественном) анализе рисков и обоснован™ необходимых затрат на защиту
Положения Концепции предусматривают существование в рамках проблемы
обеспечения безопасности информации в АС двух относительно самостоятельных
направлений, объединённых единым замыслом: защита информации от утечки по
223
техническим каналам и защита информации в автоматизированных системах от

В Концепции безопасности информационных технологий должны быть отражены
следующие вопросы:
■ характеристика АС организации, как объекта безопасности ИТ (объекта
защиты):
- назначение, цели создания и эксплуатации АС организации;
- структура, состав и размещение основных элементов АС организации,
информационные связи с другими объектами;
- категории информационных ресурсов, подлежащих защите;
- категории пользователей АС организации, режимы использования и
уровни доступа к информации;
- интересы субъектов информационных отношений затрагиваемых при
эксплуатации АС организации;
- уязвимость основных компонентов АС организации;
■ цели и задачи обеспечения безопасности ИТ организации и основные пути
их достижения (решения задач системы защиты);
■ перечень основных опасных воздействующих факторов и значимых угроз
безопасности ИТ:
- внешние и внутренние воздействующие факторы, угрозы безопасности
информации и их источники;
- пути реализации непреднамеренных субъективных угроз безопасности
информации в АС организации;
- умышленные действия сторонних лиц, зарегистрированных
пользователей и обслуживающего персонала;
- утечка информации по техническим каналам;
- неформальная модель возможных нарушителей;
- подход к оценке риска в АС организации;
■ основные положения технической политики в области обеспечения
безопасности информации АС организации;
■ принципы обеспечения безопасности ИТ организации;
■ основные меры и методы (способы) защиты от угроз, средства обеспечения
требуемого уровня защищённости ресурсов АС:
- организационные (административные) меры защиты;
- структура, функции и полномочия подразделения обеспечения
- физические средства защиты;
- технические (программно-аппаратные) средства защиты;
- управление системой обеспечения безопасности информации;
- контроль эффективности системы защиты;
■ первоочередные мероприятия по обеспечению безопасности информации
АС организации;
■ перечень нормативных документов, регламентирующих деятельность в
области защиты информации;
■ основные термины и определения.
Раздел III.
Средства защиты информации от
несанкционированного доступа
Тема 18: Назначение и возможности средств защиты

Тема 19: Рекомендации по выбору средств защиты
Тема 20: Аппаратно-программные средств защиты информации
от несанкционированного доступа.
Тема 21: Возможности применения штатных и дополнительных
средств защиты информации от
УчябиыИ чви*р
225
Раздел III - Тема 18:

Назначение и возможности средств защиты
информации от несанкционированного
доступа
Принято различать внешнюю и внутреннюю безопасность компьютерных систем.
Внешняя безопасность включает защиту АС от проникновения злоумышленников извне с
целью получения неправомерного доступа к информации и её носителям, а также с целью
вмешательства в процессы функционирования или вывода отдельных компонентов
автоматизированной системы из строя.
Усилия по обеспечению внутренней безопасности компьютерных систем фокусируются
на создании надёжных и удобных механизмов регламентации деятельности всех её
законных пользователей и обслуживающего персонала для принуждения их к
безусловному соблюдению установленной в организации дисциплины доступа к
ресурсам системы.
Задачи, решаемые средствами защиты информации от
На технические средства защиты информации от НСД возлагают решение следующих
основных задач:
■ защиту от вмешательства в процесс функционирования АС посторонних лиц
(возможность использования автоматизированной системы и доступ к её
ресурсам должны иметь только зарегистрированные установленным
порядком пользователи - сотрудники подразделений организации);
■ разграничение доступа зарегистрированных пользователей к аппаратным,
программным и информационным ресурсам АС (обеспечение возможности
доступа только к тем ресурсам и выполнения только тех операций, которые
необходимы конкретным пользователям АС для выполнения ими своих
служебных обязанностей);
■ регистрацию действий пользователей при использовании защищаемых
ресурсов АС в системных журналах и периодический контроль
корректности действий пользователей системы путём анализа содержимого
этих журналов сотрудниками подразделений компьютерной безопасности;
■ оперативный контроль за работой пользователей АС и оперативное
оповещение администратора безопасности о попытках
несанкционированного доступа к ресурсам системы;
■ защиту от несанкционированной модификации (обеспечение неизменности,
целостности) используемых в АС программных средств, а также защиту
системы от внедрения несанкционированных программ, включая
компьютерные вирусы и вредоносные «программы-закладки»;
■ защиту хранимой, обрабатываемой и передаваемой по каналам связи
информации ограниченного распространения от несанкционированного
разглашения, искажения подмены или фальсификации;
■ обеспечение аутентификации абонентов, участвующих в информационном
обмене (подтверждение подлинности отправителя и получателя
информации);
и Информзащита
226
■ гибкое управление всеми защитными механизмами.

Кроме того, системы защиты информации от НСД должны обладать высокой
надёжностью, универсальностью, возможностями реализации современных технологий
защиты, невысокими требованиями к ресурсам защищаемых компьютеров, широкими
возможностями по управлению механизмами защиты, должны работать с
разнообразными средствами аппаратной поддержки защитных функций, и
ориентироваться на наиболее распространённые операционные системы.
227

Рекомендации по выбору средств защиты
доступа
На выбор средств защиты информации оказывают влияние потребности организации в

определённом уровне защищённости автоматизированной системы, количество
компьютеров, их основные технические характеристики, применяемые операционные
системы и т.п.
Потребности организации в некотором уровне защищённости автоматизированной
системы можно определить, воспользовавшись руководящими документами
ФСТЭК России, классифицирующими АС по уровням требований к защите
(«Автоматизированные системы. Защита от несанкционированного доступа к
информации. Классификация автоматизированных систем и требования по защите
информации»).
При выборе соответствующих уровню защищённости АС конкретных средств защиты
необходимо пользоваться руководящим документом ФСТЭК России «Средства
вычислительной техники. Защита от несанкционированного доступа к информации.
Показатели защищённости от несанкционированного доступа к информации».
Защищённость СВТ есть потенциальная защищённость, т.е. способность их
предотвращать или существенно затруднять НСД к информации в дальнейшем при
использовании СВТ в составе АС. Защита СВТ обеспечивается комплексом программно
технических средств.
Защита АС обеспечивается комплексом программно-технических средств и
поддерживающих их организационных мер.
Эти требования выражаются в показателях защищённости. Совокупность значений
показателя защищённости определяет класс защищённости АС или СВТ. Существует
9 классов защищённости АС, объединённые в 3 группы и 6 классов защищённости СВТ.
Основные требования ФСТЭК России к защищённости АС сведены в таблицу 3.19.1,
СВТ - в таблицу 3.19.2.
228
Распределение показателей защищённости по классам для

автоматизированных систем
Классы
Подсистемы и требования
ЗБ ЗА 2Б 2А 1Д 1Г IB 1Б 1А
1. Подсистема управления доступом
1.1. Идентификация, проверка подлинности и контроль доступа
субъектов:
в систему + + + + + + + + +
к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, + + + + +
внешним устройствам ЭВМ
к программам - - - + - + + + +
к томам, каталогам, файлам, записям, полям записей - - - + - + + + +
1.2. Управление потоками информации - - - + - - + + +
2. Подсистема регистрации и учёта
2.1. Регистрация и учёт:
входа (выхода) субъектов доступа в (из) систему (узел сети) + + + + + + + + +
выдачи печатных (графических) выходных документов - + - + - + + + +
запуска (завершения) программ и процессов (заданий,
+ + + + +
задач)
доступа программ субъектов доступа к защищаемым
файлам, включая их создание и удаление, передачу по - - - + - + + + +
линиям и каналам связи
доступа программ субъектов доступа к терминалам, ЭВМ,
узлам сети ЭВМ, каналам связи, внешним устройствам
+ + + + +
ЭВМ, программам, томам, каталогам, файлам, записям,
полям записей
изменения полномочий субъектов доступа + + +
создаваемых защищаемых объектов доступа - - - + - - + + +
2.2. Учёт носителей информации + + + + + + + + +
2.3. Очистка (обнуление, обезличивание) освобождаемых
- + - + - + + + +
областей оперативной памяти ЭВМ и внешних накопителей
2.4. Сигнализация попыток нарушения защиты + + +
3. Криптографическая подсистема
3.1. Шифрование конфиденциальной информации - - - + - - - + +
3.2. Шифрование информации, принадлежащей различным _i_
субъектам доступ а (гр у п п ам субъектов) на разн ы х клю чах
3.3. И спользовани е аттесто ван н ы х (серти ф иц ирован ны х)
+ + +
к рип тограф и чески х средств
4. Подсистема обеспечения целостности
4 . 1. О бесп ечен ие ц ело стн о сти п р о гр ам м н ы х средств и
+ + + + + + + +
обраб аты ваем о й и н ф орм ац ии
4.2. Ф и зи ческая охран а средств вы числи тельн ой техн ики и
+ + + + + + + + +
носителей информации
4.3. Н али чие ад м и н и стр ато р а (служ бы ) защ и ты и нф орм ац ии в
+ + + +
АС
4.4. Периодическое тестирование СЗИ НСД + + + + + + + + +
4.5. Наличие средств восстановления СЗИ НСД + + + + + + + + +
4.6. Использование сертифицированных средств защиты - + - + - - + + +
229
Требования руководящих документов ФСТЭК России к

средствам защиты информации от несанкционированного
доступа
Класс защищённости
Наименование показателя
6 5 4 3 2 1
1. Дискреционный принцип контроля доступа + + + = + =
2. Мандатный принцип контроля доступа - - + = = =
3. Очистка памяти - + + + = =
4. Изоляция модулей - - + = + =
5. Маркировка документов - - + = = =
6. Защита ввода и вывода на отчуждаемый физический + = = =
- -
носитель информации
7. Сопоставление пользователя с устройством - - + = =
8. Идентификация и аутентификация + = + = =
9. Гарантии проектирования - + + ■ • +
10. Регистрация - + + + = =
11. Взаимодействие пользователя с КСЗ - - - + = =
12. Надёжное восстановление - - - + = =
13. Целостность КСЗ - + + + = =
14. Контроль модификации - - - - -Г =
15. Контроль дистрибуции - - - - + =
16. Гарантии архитектуры - - - - - +
17. Тестирование + + + + + =
18. Руководство пользователя + = = = = =
19. Руководство по КСЗ + + = + + =
20. Тестовая документация + + + + + =
21. Конструкторская (проектная) документация + + + + + +
Обозначения:
«-» —нет требований к данному классу
«+» - новые или дополнительные требования
«=» - требования совпадают с требованиями к СВТ предыдущего класса.
Сокращения:
КСЗ - комплекс средств защиты.
230
Рекомендации по выбору средств защиты информации от

При выборе системы защиты следует оценить её функциональность, соответствие
возможностей требованиям к защите ресурсов АС конкретной организации и стоимость.
Для повышения обоснованности выбора целесообразно учесть состояние и перспективы
развития парка компьютеров, подлежащих защите, применяемых операционных систем и
другого программного обеспечения, задачи, решаемые персоналом с применением АС в
различных сферах деятельности организации.
Для выбора СЗИ НСД необходимо:
■ определить цель применения СЗИ НСД и какие задачи необходимо решать с
их помощью;
■ проанализировать какие СЗИ НСД существуют на рынке, какие из них
удовлетворяют заданным требованиям и подходят под принятую в
организации технологию обработки данных. Этот этап целесообразно
провести, используя технические описания СЗИ НСД и дополнительную
информацию, полученную от разработчиков;
■ получить информацию от производителей СЗИ НСД о том, где реально
используется данные средства;
■ получить у поставщика образец СЗИ НСД с ограниченным сроком действия
и попытаться применить его на своей АС.
Для определения общих требований к системе защиты необходимо провести детальное
обследование защищаемой АС, в ходе которого уточнить:
■ конфигурацию технических и программных средств;
■ технологию обработки информации;
■ номенклатуру и обязанности должностных лиц, участвующих в процессе
обработки информации;
■ существующие угрозы для АС, наиболее вероятные способы их реализации
и меры защиты от них.
Приобретение дополнительных средств защиты требуется в следующих основных
случаях:
■ при использовании на компьютерах средств криптографической защиты (для
защиты ключей электронной подписи и шифрования);
■ при необходимости регламентации действий пользователей, работающих на
компьютерах и протоколирования их действий;
■ при необходимости ограничения доступа пользователей, работающих на
компьютерах, к локальным ресурсам системы (локальным дискам,
каталогам, файлам или внешним устройствам).
Кроме того, при выборе СЗИ НСД целесообразно:
■ провести проверку на совместимость СЗИ НСД с эксплуатируемым в
организации набором программных средств в части устойчивого их
функционирования;
■ обратить внимание на длительность существования данных СЗИ НСД на
рынке (чем дольше срок жизни того или иного СЗИ НСД, тем выше
вероятность того, что большая часть ошибок разработчиками СЗИ НСД
устранена. Чем больше организаций, в которых установлены данные СЗИ
231
НСД, тем больше перечень программных средств, с которыми они

совместимы).
Факторы, влияющие на применимость СЗИ НСД в конкретной АС:
■ использование в СЗИ НСД различных технических средств идентификации и
аутентификации;
■ совместимость с существующими программно-аппаратными средствами;
■ удобство эксплуатации.
Удобство эксплуатации СЗИ НСД становится актуальным в АС с числом компьютеров
более пяти при небольшом количестве обслуживающего персонала и зависит от
следующих факторов:
■ от применяемой схемы управления;
■ от наличия специальных механизмов, облегчающих ввод СЗИ НСД в
эксплуатацию;
■ от наличия подробной, ориентированной на соответствующий уровень
пользователя, документации;
■ от наличия службы поддержки и сопровождения.
Разработчики средств защиты могут реализовать две различные схемы управления:
■ схем а «длинны е руки» - управление полномочиями пользователя
осуществляется администратором удалённо на каждом компьютере
(недостатками данной схемы являются её децентрализованный характер
(например, для смены пароля пользователя необходимо вручную изменить
его пароль на всех компьютерах, на которых он зарегистрирован) и
зависимость от того, включён ли компьютер пользователя или нет);
■ схем а отлож енного ц ентрализованного управления доступом -
полномочия пользователя меняются один раз в центральной базе данных, и
затем их изменение на конкретном компьютере берет на себя система
защиты (при этом администратору безразлично состояние ПК на момент
внесения изменений в центральную базу данных. Все изменения на
компьютер передаются во время сеанса синхронизации). В последнее время
при разработке СЗИ для платформы Windows всё больше получает
распространение подход, когда в качестве центральной базы данных по
настройкам СЗИ на компьютере используется Active Directory, а для
распространения настроек используется механизм групповых политик.
Также следует отметить, что наличие хорошо написанной документации на СЗИ НСД
является необходимым атрибутом профессионально разработанной системы защиты.
Такая документация крайне необходима администраторам безопасности для корректной
установки и настройки СЗИ НСД и адаптации их к условиям эксплуатации в конкретной
АС. Отсутствие документации, её некорректное написание затрудняют процесс
эксплуатации СЗИ НСД.
232

Аппаратно-программные средства защиты
доступа
С момента создания и начала функционировании системы сертификации средств зашиты

информации по требованиям безопасности информации ФСТЭК России было
с е р т и ф и ц и р о в а н о несколько десятков СЗИ НСД. Ниже будут рассмотрены некоторые из
существующих на рынке СЗИ НСД, но представленные сведения не следует
рассматривать как полный и исчерпывающий обзор таких средств. Наиболее полный
перечень сертифицированных СЗИ НСД опубликован на сайте ФСТЭК России, а
подробную информацию о возможностях соответствующих СЗИ НСД необходимо
запрашивать у разработчиков этих средств.
Краткий обзор существующих на рынке средств защиты
информации от несанкционированного доступа
Среди основных предприятий - разработчиков СЗИ НСД, включённых в
Государственный реестр сертифицированных средств защиты информации можно
выделить следующие:
Ассоциация защиты информации «Конфидент» (Санкт-Петербург,
http://www.confident.ru) разрабатывает семейство программных комплексов
DALLAS L O C K
Комплекс - предназначен для защиты от несанкционированного доступа к ресурсам
персонального компьютера и локальной вычислительной сети, разграничения прав
зарегистрированных пользователей по доступу к ресурсам персонального компьютера,
автоматизированного контроля и протоколирования событий по доступу к компьютеру.
Программное средство обеспечивает многоуровневую защиту локальных ресурсов
компьютера. Может поставляться как в программном варианте комплектации, так и с
опциональным дополнением аппаратных средств защиты, что значительно повышает их
эксплуатационные характеристики, предусмотрена возможность подключения различных
видов считывателей и идентификаторов (iButton, USB-eToken, Proximity) через com- и
usb-порты.
На сегодняшний день существует несколько сертифицированных версий СЗИ НСД:
■ DALLAS LOCK 6.0 для Windows 950SR2/98/ME (сертификат ФСТЭК
России № 762 от 21.06.2003 по 4-му классу для СВТ и 3-му уровню контроля
отсутствия НДВ);
■ DALLAS LOCK 7.0 для Windows 2000/ХР (сертификат ФСТЭК России
№ 896 от 06.05.2004 по 4-му классу для СВТ и 3-му уровню контроля
отсутствия НДВ);
- DALLAS LOCK 7. J для Windows 2000(SP4)/XP(SP2)/2003(SP 1) (сертификат
ФСТЭК России № 1685 от 18.09.2008 по 3-му классу для СВТ и 2-му уровню
контроля отсутствия НДВ);
■ DALLAS LOCK 7.7 для Windows XP/2003/Vista/2008/7 (сертификат ФСТЭК
России № 2209 от 19.11.2010 по 3-му классу для СВТ и 2-му уровню
контроля отсутствия НДВ).
Основные возможности СЗИ НСД DALLAS LOCK 7.7:
233
■ запрет загрузки компьютера посторонними лицам;

■ двухфакторная авторизация по паролю и аппаратным идентификаторам
(USB eToken, смарт-карты eToken, Rutoken, iButton);
■ разграничение прав пользователей на доступ к локальным и сетевым
ресурсам;
■ контроль работы пользователей со сменными накопителями;
■ мандатный и дискреционный принципы разграничения прав;
■ организация замкнутой программной среды;
■ аудит действий пользователей;
■ контроль целостности ресурсов компьютера;
■ очистка остаточной информации;
■ возможность автоматической печати штампов (меток конфиденциальности)
на всех распечатываемых документах;
■ защита содержимого дисков путём прозрачного преобразования;
■ удалённое администрирование;
■ выделенный центр управления, работа в составе домена безопасности;
■ возможность установки на портативные компьютеры (Notebook);
■ отсутствие обязательной аппаратной части;
■ работа на сервере терминального доступа.
СЗИ НСД блокирует доступ посторонних лиц к ресурсам персонального компьютера и
позволяет разграничить права пользователей и администраторов при работе на
компьютере. Контролируются права локальных, сетевых и терминальных пользователей.
Разграничения касаются прав доступа к объектам файловой системы, доступа к сети, к
сменным накопителям и к аппаратным ресурсам.
Для идентификации пользователей служат индивидуальные пароли и аппаратные
идентификаторы iButton, eToken, ruToken (двухфакторная аутентификация). Аппаратная
идентификация не является обязательной - система может работать в полностью
программном режиме.
Запрос пароля и аппаратных идентификаторов происходит до начала загрузки ОС.
Загрузка ОС возможна только после проверки идентификационных данных пользователя
в СЗИ НСД. Таким образом обеспечивается доверенная загрузка системы.
Разграничение прав доступа к ресурсам файловой системы реализуется следующими
методами:
■ дискреционный - предоставляет доступ к защищаемым объектам файловой
системы на основании списков контроля доступа. В соответствии с
содержимым списков определяются права доступа для каждого
пользователя;
■ мандатный —каждому пользователю присваивается максимальный уровень
мандатного доступа. Пользователь получает доступ к объектам, мандатный
уровень которых не превышает его текущий уровень;
■ замкнутая программная среда —режим, в котором пользователь может
запускать только программы, определённые администратором.
234
СЗИ НСД позволяет контролировать целостность файлов, папок и параметров аппаратно

программной среды компьютера. Для контроля целостности используются контрольные
суммы, вычисленные по одному из алгоритмов на выбор: CRC32, MD5, ГОСТ Р 34.11-94.
Подсистема аудита действий пользователей состоит из шести журналов, в которые
заносятся события и результат (с указанием причины, при отказах) попыток входов и
выходов пользователей, события доступа к ресурсам файловой системы, события запуска
процессов, события печати на локальных и сетевых принтерах, события по
администрированию СЗИ НСД. Для облегчения работы с журналами, реализована
возможность фильтрации записей по определённым признакам и экспорт журналов в
формат MS Excel.
Подсистема очистки остаточной информации гарантирует невозможность
восстановления удалённых данных. Возможно очищение освобождаемого дискового
пространства, файла подкачки, освобождаемой памяти и заданных папок при выходе
пользователя из системы. Подсистема может работать в автоматическом режиме, когда
зачищаются все удаляемые данные, либо данные зачищаются по команде пользователя.
Подсистема перехвата событий печати позволяет на каждом распечатанном с
персонального компьютера документе добавлять штамп. Формат и поля штампа могут
гибко настраиваться.
Для защиты от загрузки компьютера и доступа к информации в обход СЗИ НСД
предусмотрена возможность преобразования содержимого диска в «прозрачном» режиме.
Информация преобразуется при записи и декодируется при чтении с носителя. При
работе процесс преобразования незаметен для пользователя. После преобразования диска
получить доступ к хранящейся на нем информации невозможно без пароля для входа в
СЗИ НСД. Режим «прозрачного» преобразования диска защищает информацию, даже
если жёсткий диск будет подключён к другому компьютеру. Данные могут быть
преобразованы по алгоритмам XOR32 или ГОСТ 28147-89.
СЗИ НСД предоставляет возможность преобразования отдельных файлов и/или папок. В
качестве ключа преобразования используется пароль и, по желанию пользователя,
аппаратный идентификатор. Преобразованные данные хранятся в файле-контейнере,
который может использоваться для безопасной передачи данных или хранения
информации на отчуждаемом носителе. Доступ к преобразованным данным можно
получить с любого компьютера с СЗИ НСД при совпадении пароля и аппаратного
идентификатора. Возможно использование встроенного алгоритма преобразования
ГОСТ 28147—89, либо подключение внешнего сертифицированного криптопровайдера
(например, «КриптоПро»).
Для предотвращения утечки информации через сменные накопители предусмотрена
возможность гибкого разграничения доступа к дискетам, оптическим дискам, USB-
Flash - возможно разграничения доступа по типу накопителя, либо к конкретным
экземплярам.
Для осуществления централизованного управления защищёнными компьютерами в
составе ЛВС, в состав СЗИ НСД входит «Сервер Безопасности» (СБ). СБ Dallas Lock и
зарегистрированные на нем компьютеры с Dallas Lock образуют «Домен Безопасности».
При использовании СБ возможно централизованное управление учётными записями
пользователей, управление политиками безопасности, просмотр и автоматический сбор
журналов, назначение прав доступа к ресурсам, управление прозрачным преобразованием
и выполнение команд оперативного управления.
С помощью модуля «Менеджер серверов безопасности» возможно объединение
нескольких СБ в «Лес Безопасности», с помощью которого осуществляется
централизованное управления несколькими Доменами Безопасности (получение
журналов, управление политиками и учётными записями пользователей).
235
Существует возможность просматривать экранные снимки удалённых компьютеров. Эти

снимки могут быть сохранены в файлы и просмотрены в дальнейшем.
Также возможна установка СЗИ СНД на сервер терминального доступа.
Научно-исследовательский отдел проблем информационной безопасности Санкт-
П етербургского института информатики и автоматизации РАН (Санкт-Петербург,
http://www.cobra.ru) разрабатывает средства программных комплексных систем защиты
На сегодняшний день существует две сертифицированные версии СЗИ НСД:
■ СЗИ «Аура» для Windows 2000 Professional SP4/ 2000 Server SP4/
ХР Professional SP3/ Server 2003 Standard Edition SP2/
Server 2003 Enterprise Edition SP2/ Server 2008 Standard Edition SP2/
Server 2008 Enterprise Edition SP2/ Vista Business SP2/ Vista Ultimate SP2
(сертификат ФСТЭК России № 2188 от 21.10.2010 по 3-му классу для СВТ и
2-му уровню контроля отсутствия НДВ);
■ СЗИ «Щит-РЖД» для Windows 2000/ХР (сертификат ФСТЭК России
№ 1090/1 от 14.02.2007 по 3-му классу для СВТ и 2-му уровню контроля
отсутствия НДВ).
Основные функциональные возможности СЗИ НСД «Аура»:
■ обеспечение доверенной среды для аутентификации пользователей и
контроля целостности информационных объектов;
■ усиленная аутентификация;
■ многоуровневый контроль целостности информационных объектов
вычислительной системы;
■ контроль доступа к устройствам, файлам и папкам;
■ управление печатью, автоматическая маркировка и учет документов;
■ достоверное уничтожение информационных объектов;
■ регистрация действий пользователя в системных журналах;
■ идентификация и аутентификация пользователей в доверенной среде с
применением электронных устройств Rutoken (на данный момент
используется Rutoken версии 1.0. При установке новых драйверов функция
блокировки консоли доступна и с Rutoken версии 2.0).
Основные функциональные возможности СЗИ НСД «Щит-РЖД»:
■ поставляется совместно с электронным ключом Guardant (по согласованию
возможна поставка системы без электронного ключа);
■ идентификация и аутентификация пользователей в доверенной среде и с
применением электронных устройств Rutoken (на данный момент
используется Rutoken версии 1.0);
■ динамический контроль целостности системы защиты, компонентов ОС,
прикладных программ и управляющих данных;
■ контроль доступа к устройствам, файлам и папкам;
■ управление печатью, автоматическая маркировка и учёт документов;
■ прозрачное кодирование жёстких дисков, дискет, компакт-дисков и
виртуальных дисков;
| Информзащита
236
■ интерактивная очистка освобождаемых областей дисковой памяти при

удалении файлов;
■ гарантированное уничтожение информации по решению пользователя;
■ регистрация действий пользователя в системных журналах ОС.
Компания О О О «ГАЗИНФ ОРМ СЕРВИС» (Санкт-Петербург http://www.gaz-is.spb.ru)
разрабатывает семейство программных и программно-техническое средств защиты
На сегодняшний день существует несколько сертифицированные версий СЗИ НСД:
■ СЗИ «Блокпост-2000/X.Y» v.1 .0 (локальный вариант) для Windows 2000/ХР
(сертификат ФСТЭК России № 964/1 от 28.02.2005 по 4-му классу для СВТ и
■ СЗИ «Блокхост-сеть» для Windows 2000/ХР/2003 (сертификат ФСТЭК
России № 1351 от 02.03.2007 по 3-му классу для СВТ и сертификат ФСТЭК
России № 1517 от 30.11.2007 по 3-му уровню контроля отсутствия НДВ).
СЗИ НСД «Бюкпост-2000/ХР» v.1.0 дополняет стандартные защитные механизмы
операционных систем (ОС) MS Windows функциями, обеспечивающими:
■ идентификацию пользователей при помощи специальных аппаратных
средств (iButton);
■ дискреционное и мандатное управление доступом пользователей к
информационным ресурсам персонального компьютера (ПК);
■ оперативный контроль за работой пользователей ПК путём регистрации
событий, связанных с безопасностью информационной системы (ИС), с
помощью средств просмотра и представления зарегистрированной
■ контроль целостности программ, используемых пользователями и ОС;
■ возможность создания для любого пользователя замкнутой программной
среды (списка разрешённых для запуска программ);
■ контроль запуска процессов (создание списка запрещённых для запуска
программ);
■ простоту управления объектами с помощью механизма шаблонов настроек;
■ контроль сетевых подключений с помощью встроенного персонального
экрана.
СЗИ НСД «Блокхост-сеть» дополняет и усиливает функциональные возможности
операционной системы по защите информации, обеспечивая защиту от
несанкционированного доступа к информации, содержащейся на:
■ локальном компьютере (без подключения к сети);
■ сетевом компьютере (как в одноранговой, так и в доменной сети);
■ рабочих станциях, объединённых в сеть, с установленной на каждой из них
клиентской частью СЗИ «Блокхост-сеть».
Серверная часть СЗИ «Блокхост-сеть» обеспечивает централизованную защиту
информации, включая:
■ разграничение удаленного доступа пользователей к защищаемой
информации, содержащейся на рабочих станциях (объединённых в
одноранговую или доменную сеть) на основе мандатного (полномочного)
механизма;
237
■ удалённое администрирование клиентской части СЗИ «Блокхост-сеть» на

рабочих станциях (объединённых в одноранговую или доменную сеть);
■ удалённое ведение оперативного контроля.
Клиентская часть СЗИ «Блокхост-сеть» обеспечивает локальную защиту информации,
содержащейся на рабочей станции.
Аппаратные средства, функционирующие в составе СЗИ «Блокхост-сеть» (eToken,
RuToken, другие USB устройства) позволяют:
■ хранить персональные данные для идентификации и аутентификации;
■ хранить криптографическую информацию.
Программные средства защиты информации, функционирующие в составе СЗИ
«Блокхост-сеть» позволяют:
■ обеспечить более надёжную защиту входа в систему с помощью аппаратных
средств идентификации пользователя;
■ разграничить вход пользователей в систему по времени и дням недели;
■ санкционировать доступ пользователей к ресурсам с помощью
дискреционного и мандатного механизмов разграничения доступа;
■ обеспечить контроль информационного обмена с отчуждаемыми
физическими носителями информации;
■ обеспечить гарантированное удаление информации;
■ санкционировать работу программ с помощью механизмов разграничения
доступа к запуску процессов;
■ осуществлять контроль целостности информации;
■ обеспечить очистку памяти после завершения работы приложений;
■ контролировать вывод информации на печать, осуществлять маркировку
документов;
■ осуществлять мониторинг активности пользователей в системе - работу СЗИ
в мягком режиме;
■ осуществлять групповое администрирование;
■ разграничить доступ пользователей к сетевым ресурсам;
■ санкционировать доступ пользователей к администрированию СЗИ
«Блокхост-сеть»;
■ выполнять оперативный контроль за событиями, связанными с
безопасностью защищаемой информации.
ЗАО Научно-Производственный Центр «Модуль» (Москва http://www.guardnt.ru)
разрабатывает семейство программных систем защиты информации от
На сегодняшний день существует две сертифицированные версии системы защиты
информации «Страж NT»:
■ СЗИ «Страж NT» (версия 2.5) для Windows NT 4.0, 2000, ХР, 2003 Server
■ СЗИ «Страж NT» (версия 3.0) для 32-разрядных операционных систем
Windows 2000 (Server и Professional), Windows ХР (Professional и Home
—— У ч в б н ш центр
^ г 1
Edition), Windows Server 2003, Windows Vista, Windows Server 2008
2-му уровню контроля отсутствия НДВ).
Основные функциональные возможности СЗИ «Страж NT» (версия 15):
• вход в систему пользователей только при предъявлении ими специального
идентификатора (дискеты, iButton или USB-ключа типа eToken и
GuardantID) и ввода пароля;
■ возможность идентификации пользователей без перезагрузки ОС при
использовании однотипных идентификаторов;
■ избирательное разграничение доступа пользователей к защищаемым
ресурсам (дискам, каталогам, файлам и др.);
■ разграничение доступа пользователей к информации различных уровней
конфиденциальности в соответствии с имеющимися у них допусками;
■ возможность изменения наименований меток конфиденциальности;
■ управление запуском и поддержка мандатного принципа контроля доступа
для DOS-приложений и консольных приложений Win32;
■ управление и настройка механизмов защиты как локально, так и удалённо;
■ упрощённая схема настройки программных средств для работы с
защищаемыми ресурсами, в том числе упрощённая настройка принтеров для
печати защищаемых документов;
■ регистрация широкого перечня событий безопасности, ведение
дополнительных журналов аудита;
■ создание замкнутой программной среды пользователя, позволяющей ему
запуск только разрешённых приложений;
■ контроль целостности защищаемых ресурсов, обеспечивающий защиту от
несанкционированного внесения изменений в программную среду
автоматизированной системы;
■ возможность гарантированной очистки содержимого всех файлов на
локальных жёстких дисках при их удалении;
■ регистрация выдаваемых на печать документов с их автоматической
маркировкой в соответствии с заданными требованиями;
■ возможность запуска хранителя экрана, блокировка рабочей станции при
удалении USB-ключа или при предъявлении iButton;
■ создание и удаление пользователей, удаление (добавление) их из (в)
групп(ы);
■ наличие средств тестирования работоспособности СЗИ, в том числе
возможность одновременного тестирования СЗИ на нескольких
компьютерах в сети;
■ возможность применения шаблонов настроек программных средств;
■ наличие встроенных в программу управления СЗИ сервисных функций по
настройке СЗИ.
Основные отличия СЗИ НСД «Страж NT» (версия 3.0) от предыдущих версий:
■ может устанавливаться как на автономных рабочих станциях, так и на
рабочих станциях в составе рабочей группы или домена, серверах, в том
числе в составе кластера;
У чебным центр
239
■ может функционировать на одно- и многопроцессорных компьютерных

системах на базе архитектуры х86 под управлением 32-хразрядных
операционных систем Windows Vista, Windows Server 2008;
■ имеется возможность контроля устройств, подключённых к компьютеру
путём задания дескрипторов безопасности для групп однотипных устройств;
■ имеется дополнительный механизм защиты съёмных носителей (дискет и
флэш-накопителей) путём прозрачного преобразования всей информации,
записываемой на носитель. Преобразование информации осуществляется с
применением функции гаммирования с обратной связью алгоритма
криптографического преобразования ГОСТ 28147-89;
■ имеется механизм позволяющий создавать списки настроек и свободно
тиражировать их на другие компьютеры;
■ помимо уже используемых ранее гибких магнитных дисков,
идентификаторов iButton, USB-ключей eToken и Guardant ID, в новой версии
реализована поддержка ключей RuToken. Дополнительно реализована
возможность использования в качестве идентификаторов пользователей
флэш-накопителей;
■ полностью переработана подсистема работы с носителями информации. В
новой версии существует возможность регистрировать как отчуждаемые
носители, так и отдельные тома жёстких дисков;
■ новая программа настройки маркировки документов позволяет более гибко
задавать состав и порядок служебной информации, выводимой на печать;
■ добавлены новые функции работы с идентификаторами и возможность
редактировать пользователей на удалённых рабочих станциях;
■ настройка системы защиты реализована в виде единого центра настройки.
ЗАО «ОКБ САПР» (Москва http://www.okbsapr.ru) разрабатывает семейство
программно-технических средств защиты информации от несанкционированного
доступа.
На сегодняшний день существует несколько сертифицированных версий СЗИ НСД:
■ Комплекс СЗИ НСД «Аккорд-1ЧТ/2000» v.3.0 для ОС Windows в системах
терминального доступа, построенных на базе терминальных служб сетевых
операционных систем семейства Microsoft Windows, и программного
обеспечения Citrix /является совместной разработкой ЗАО ОКБ САПР и
ООО Фирма «ИнфоКрипт»/ (сертификат ФСТЭК России № 1161
от 31.03.2006 по 3-му классу для СВТ и 2-му уровню контроля отсутствия
НДВ);
■ Подсистема распределённого аудита и управления «Аккорд-РАУ»,
функционирующая на ПЭВМ, совмещённых с IBM PC АТ, под управлением
ОС Windows NT/2000/XP/2003/Vista (сертификат ФСТЭК России № 1576
от 24.03.2008 по 3-му уровню контроля отсутствия НДВ).
Основные функциональные возможности Комплекса СЗИ НСД «Аккорд»:
■ защита от несанкционированного доступа к ПЭВМ;
■ идентификация/аутентификация пользователей до загрузки операционной
системы с последующей передачей результатов успешной
идентификации/аутентификации в операционную систему;
■ аппаратный контроль целостности системных файлов и критичных разделов
реестра;
■ доверенная загрузка ОС;
■ контроль целостности программ и данных, их защита от
несанкционированных модификаций:
■ создание индивидуальной для каждого пользователя изолированной рабочей
программной среды;
■ запрет запуска неразрешённых программ;
■ разграничение доступа пользователей к массивам данных и программам с
помощью дискреционного контроля доступа;
■ разграничение доступа пользователей и процессов к массивам данных с
помощью мандатного контроля доступа;
■ автоматическое ведение протокола регистрируемых событий в
энергонезависимой памяти аппаратной части комплекса.
Кроме того, следует отметить СЗИ НСД «Аккорд-Рубеж» v.1.5 (сертификат ФСТЭК
России № 1322 от 22.01.2007 по 4-му классу для СВТ), которая является совместной
разработкой ЗАО ОКБ САПР и ООО Фирма «ИнфоКрипт».
Комплекс СЗИ НСД «Аккорд-Рубеж» решает проблему защиты информации путём
создания программно-изолированной среды на рабочих станциях под управлением ОС
Windows 2000 и Windows ХР.
Для фиксации списка защищаемых объектов (информационных файлов и запускаемых
модулей) создается так называемый «белый список». Для того чтобы избежать
трудоемкой процедуры создания «белого списка», в комплексе «Аккорд-Рубеж»
реализован режим автоматического сбора статистики. Вместе с тем администратор
безопасности имеет возможность через консоль редактировать «белый список». После
сбора статистики комплекс переводится в основной «боевой режим», в котором
пользователь имеет право запускать приложения только из белого списка, целостность
которых проверяется динамически (при каждом запуске). Каждая попытка
несанкционированного доступа фиксируется в журнале.
При защите корпоративных АС комплексы «Аккорд-Рубеж» используются совместно с
комплексом «АккордСеть-NDS» (сертификат ФСТЭК России № 262/3 от 28.10.2005 по
4-му классу для СВТ).
Комплекс «АккордСеть-NDS» предназначен для защиты от несанкционированного
доступа информационных ресурсов корпоративных гетерогенных автоматизированных
систем и имеет следующие возможности:
■ решает проблему защиты гетерогенных АС, используя как свою
внутреннюю трёхзвенную архитектуру «клиент-приложения-данные», так и
службы единого каталога (например, Active Directory, Open LDAP и т.п.);
■ обеспечивает интеграцию средств защиты разнородных прикладных и
информационных компонентов гетерогенных АС и управление защитой всей
гетерогенной АС из единой консоли администратора информационной
безопасности АС;
■ обеспечивается поддержка обширного списка серверных сетевых ОС, таких
как ОС Windows, Linux, Sun Solaris, HP-UX, FreeBSD, NetWare.
ООО «Код Безопасности» /ГК «Информзащита»/ (Москва http://www.securitycode.ru/)
разрабатывает семейство программно-аппаратных и программных систем защиты
На сегодняшний день существует несколько сертифицированных версий СЗИ НСД среди
которых можно выделить:
241
■ СЗИ Secret Net 5.0 (мобильный вариант) для Windows 2000/ХР/2003

(сертификаты ФСТЭК России № 1119/1 от 29.06.2007 по 4-му уровню
контроля отсутствия НДВ и оценочный уровень доверия ОУДЗ (усиленный),
для АС класса 1Г включительно);
■ СЗИ Secret Net 5.0-С для Windows 2000/ХР/2003 (сертификат
■ СЗИ Secret Net 5.0-С (сетевой вариант) для Windows 2000/ХР/2003
■ СЗИ Secret Net 5.1 (автономный вариант) для Windows 2000/XP/2003/Vista
■ СЗИ Secret Net 5.1 (сетевой вариант) для Windows 2000/ХР/2003/Vista
■ СЗИ Secret Net 6 (вариант К) для Windows 2000/XP/2003/Vista/7/2008
■ СЗИ Secret Net 6 для Windows 2000/XP/2003/Vista/7/2008 (сертификат
■ СЗИ Security Studio для Windows 2000/ХР/2003 и open SUSE Linux 10.2, a
также в системах терминального доступа, построенных на базе
терминальных служб сетевых ОС Microsoft Windows (сертификат
контроля отсутствия НДВ).
СЗИ Secret Net 6 - это комплексное решение, сочетающее в себе необходимые
возможности по защите информации, средства централизованного управления, средства
оперативного реагирования и возможность мониторинга безопасности информационной
системы в реальном времени.
Возможности СЗИ Secret Net 6:
■ идентификация и аутентификация пользователя с помощью программно
аппаратных средств при его входе в систему. В качестве устройств для ввода
в неё идентификационных признаков могут использоваться:
- iButton;
- еТ oken Pro;
- Rutoken;
■ управление доступом пользователей к конфиденциальной информации
(каждому информационному ресурсу назначается один их трёх уровней
конфиденциальности: «Не конфиденциально», «Конфиденциально», «Строго
конфиденциально», а каждому пользователю - уровень допуска. Доступ
осуществляется по результатам сравнения уровня допуска с категорией
конфиденциальности информации);
■ разграничение доступа к устройствам с целью предотвращения
несанкционированного копирования информации с защищаемого
компьютера (существует возможность запретить, либо разрешить
пользователям работу с любыми портами/устройствами
У ч е б н а центр
(последовательные и параллельные порты, сменные, логические и
оптические диски, USB-порты))',
контроль подключения устройств на шинах USB, PCMCIA, IEEE 1394 по
типу и серийному номеру (права доступа на эти устройства задаются не
только для отдельных пользователей, но и для групп пользователей);
возможность запрета использования сетевых интерфейсов - Ethernet, 1394
FireWire, Bluetooth, IrDA, WiFi;
создание доверенной информационной среды;
запрет (с помощью средств аппаратной поддержки) загрузки ОС с внешних
съёмных носителей (в качестве аппаратной поддержки используется
программно-аппаратный комплекс «Соболь» или Secret Net Card. Плату
аппаратной поддержки невозможно обойти средствами BIOS: если в течение
определённого времени после включения питания на плату не было
передано управление, она блокирует работу всей системы);
создание замкнутой программной среды (для каждого пользователя
компьютера формируется определённый перечень программ, разрешённых
для запуска. Он может быть задан как индивидуально для каждого
пользователя, так и определён на уровне групп пользователей. Применение
этого режима позволяет исключить распространение вирусов, «червей» и
шпионского ПО, а также использования компьютера в качестве игровой
приставки);
контроль целостности (используется для слежения за неизменностью
контролируемых объектов с целью защиты их от модификации. Контроль
проводится в автоматическом режиме в соответствии с заданным
расписанием. Объектами контроля могут быть файлы, каталоги, элементы
системного реестра и секторы дисков. Каждый тип объектов имеет свой
набор контролируемых параметров. Так, файлы могут контролироваться на
целостность содержимого, прав доступа, атрибутов, а также на их
существование, т.е. на наличие файлов по заданному пути. При обнаружении
несоответствия предусмотрены следующие варианты реакции на
возникающие ситуации нарушения целостности: регистрация события в
журнале Secret Net, блокировка компьютера, восстановление
повреждённой/модифицированной информации, отклонение или принятие
изменений);
контроль аппаратной конфигурации компьютера (осуществляет
своевременное обнаружение изменений в аппаратной конфигурации
компьютера и реагирования на эти изменения. Предусмотрено два вида
реакций: регистрация события в журнале Secret Net, блокировка
компьютера);
функциональный самоконтроль подсистем (самоконтроль производится
перед входом пользователя в систему и предназначен для обеспечения
гарантии того, что к моменту завершения загрузки ОС все ключевые
компоненты Secret Net 6 загружены и функционируют);
защита информации в процессе хранения;
контроль печати конфиденциальной информации (при разрешённом выводе
конфиденциальной информации на печать документы автоматически
маркируются в соответствии с принятыми в организации стандартами. Факт
печати отображается в журнале защиты Secret Net 6);
243
■ гарантированное уничтожение данных (уничтожение достигается путём

записи случайной последовательности на место удалённой информации в
освобождаемую область диска. Для большей надёжности может быть
выполнено до 10 циклов (проходов) затирания);
■ регистрация событий (система Secret Net 6 регистрирует все события,
происходящие на компьютере: включение\выключение компьютера,
вход\выход пользователей, события НСД, запуск приложений, обращения к
конфиденциальной информации, контроль вывода конфиденциальной
информации на печать и отчуждаемые носители и т.п.);
■ импорт и экспорт параметров (после проверки корректности работы
защитных механизмов на компьютере, принимаемом за эталонный,
выполняется экспорт значений параметров в файл. Далее значения
импортируются на необходимое количество компьютеров).
Обзор задач, решаемых средствами аппаратной поддержки
систем защиты информации от несанкционированного доступа
Состав средств аппаратной поддержки СЗИ НСД определяется исходя из требований к
стойкости системы защиты и использования персональных электронных
идентификаторов для идентификации и аутентификации пользователей.
На средства аппаратной поддержки возлагается решение следующих задач:
■ осуществление идентификации и аутентификации пользователей до загрузки
операционной системы (с регистрацией попыток НСД);
■ предотвращение несанкционированной загрузки сторонней (незащищённой)
операционной системы с отчуждаемых носителей (с гибких дисков, компакт-
дисков, загрузочных USB флэш дисков и других устройств);
■ обеспечение усиленной аутентификации пользователей с применением
персональных электронных идентификаторов («таблеток») iButton,
Smart-карт и Proximity-карт.
В основе функциональности средств аппаратной поддержки лежит использование
расширений базовой системы ввода-вывода и применение персональных устройств
идентификации: «таблеток» iButton, Smart-карт, Proximity-карт, хранящих уникальный
собственный номер и позволяющих считывать и записывать персональные данные
пользователя (ключи и т.п.).
Существующие средства аппаратной поддержки
Общепринятый подход состоит в том, что аппаратная поддержка осуществляется с
помощью специальной платы, обеспечивающей чтение аппаратурой компьютера
информации из микросхемы расширения BIOS. Плата содержит разъем для системной
шины PCI, панель для установки микросхемы с расширением BIOS и разъем для
подключения считывателя персональных идентификаторов.
Изделия такого класса (Secret Net Card /Рис. 3.20.1/ и программно-аппаратный комплекс
(ПАК) «Соболь» /Рис. 3.20.2/) входят в состав разработок Компании «Код безопасности»
и поставляются в качестве одного из вариантов аппаратной поддержки для СЗИ НСД
Secret Net.
Secret Net Card полностью обеспечивает защиту от загрузки с отчуждаемых носителей и
усиленную аутентификацию пользователей.
Считыватель Proximity-карт обеспечивает чтение персональных идентификаторов, а в
дальнейшем - и запись информации в идентификатор.
JJ Информзащита
Рис. 3.20.1. Плата Secret Net Card
Возможности Secret Net Card:

■ идентификации и аутентификация пользователей с использованием
персональных идентификаторов;
■ защита от загрузки операционной системы с внешних съёмных носителей
■ автоматическое определение времени срабатывания сторожевого таймера
(индивидуально для каждого изделия Secret Net Card);
■ поддержка работы платы Secret Net Card с современными версиями BIOS
Intel и других производителей.
Secret Net Card не является самостоятельным средством защиты информации, а
поставляется только, как плата аппаратной поддержки для СЗИ НСД Secret Net.
В отличии от Secret Net Card ПАК «Соболь» может бьпъ использован как
самостоятельное средство защиты информации функционирующее под управлением ОС
семейства Windows, FreeBSD, Trustverse Linux XP Desktop 2008 Secure Edition, MCBC и
VMWare ESX.
Возможности ПАК «Соболь»:
■ идентификация и усиленная (двухфакторная) аутентификация пользователей
с использованием персональных идентификаторов (в качестве персональных
идентификаторов пользователей могут применяться: iButton, eToken PRO,
смарт-карта eToken PRO через USB-счигыватель Athena ASEDrive Ше
USB V2. iKey 2032, Rutoken S, Rutoken RF S);
■ блокировка загрузки ОС со съёмных носителей на аппаратном уровне для
всех пользователей компьютера, кроме администратора (после успешной
загрузки штатной копии ОС доступ к этим съёмным носителям
восстанавливается. Администратор имеет возможность задать режим работы
ПАК, при котором будет блокирован вход пользователей в систему при
нарушении целостности контролируемых файлов (контроль целостности
Информэащита
245
функционирует под управлением операционных систем, использующих

следующие файловые системы: NTFS5, NTFS, FAT32, FAT 16 и FAT 12));
■ контроль целостности программной среды (механизм контроля целостности
позволяет контролировать неизменность файлов и физических секторов
жёсткого диска до загрузки операционной системы. Для этого вычисляются
некоторые контрольные значения проверяемых объектов и сравниваются
с ранее рассчитанными для каждого из этих объектов эталонными
значениями. Формирование списка подлежащих контролю объектов с
указанием пути к каждому контролируемому файлу и координат каждого
контролируемого сектора производится с помощью программы
управления шаблонами контроля целостности);
■ контроль целостности системного реестра Windows (данная возможность
существенно повышает защищённость рабочих станций от
несанкционированных действий внутри операционной системы);
■ сторожевой таймер (обеспечивает блокировку доступа к компьютеру при
условии, что после включения компьютера и по истечении заданного
интервала времени управление не передано расширению BIOS ПАК);
■ регистрация попыток доступа к АС (ведётся системный журнал, записи
которого хранятся в специальной энергонезависимой памяти платы ПАК. В
системном журнале фиксируются следующие события: факт входа
пользователя и имя пользователя, предъявление незарегистрированного
идентификатора пользователя, введение неправильного пароля,
превышение числа попыток входа в систему, число и дата НСД).
Рис. 3.20.2. ПАК «Соболь 3.0.»
Среди других продуктов с примерно аналогичной функциональностью (их чаще всего

называют аппаратно-программными модулями доверенной загрузки /АПМДЗ/) следует
отметить:
■ программно-аппаратные комплексы семейства «Аккорд» (разработчик -
ЗАО «ОКБ САПР», Москва, http://www.okbsapr.ru);
■ программно-аппаратные комплексы семейства «Dallas Lock» (разработчик -
компания «Конфидент», Санкт-Петербург, www.confident.ru);
246
■ аппаратно-программные модули доверенной загрузки «КРИПТОН-ЗАМОК»

(разработчик - ООО Фирма «АНКАД», Зеленоград, www.ancud.ru);
■ аппаратно-программные средства криптографической защиты информации
М-502 и «Щит» (разработчик - ФГУП «Концерн «Системпром»», своего
сайта не имеет, контактную информацию см., например, на
http://www.fstec.ru/_doc/perech/_p erech_cfo.htm);
■ аппаратно-программные комплексы доверенной загрузки «Лабиринт-ДЗ»
(разработчик ЗАО НИИ «Центрпрограммсистем», Тверь, http://cps.tver.ru).
Другие средства и способы аутентификации

Дальнейшее увеличение вычислительной мощности доступных на рынке компьютеров
усугубило проблему, связанную с использованием чисто парольной аутентификации.
Чтобы пароль пользователя невозможно было программно подобрать в течение срока его
действия, запуская специальную программу перебора на современном компьютере,
пароль должен состоять не меньше чем из 8 10 символов, содержать буквы нижнего и
верхнего регистра, цифры и спецсимволы (знаки препинания, арифметических действий,
денежные символы и т. п.), являясь случайной комбинацией символов. Очевидно, что
такой пароль невозможно запомнить, поэтому пользователи их записывают на бумажках,
а бумажки оставляют или прячут на рабочем месте, теряют - в итоге риск компрометации
паролей увеличивается. Получается, что аутентификация по паролю уже не может
обеспечить должный уровень защиты, который дают только схемы с использованием
аппаратных идентификаторов и комбинированные схемы многофакторной
аутентификации.
Можно выделить несколько основных типов аппаратно-программных средств
аутентификации (Рис. 3.20.3):
■ на базе смарт-карт и USB-токенов;
■ на базе пассивных контактных и бесконтактных идентификаторов;
■ биометрические;
■ комбинированные.
С и с те м ы и дентиф икации и аутенти ф икаци и
Э лектронны е - Б иом етри ческие - К ом бинированны е - Р азо вы е пароли
К онтактны е Б есконтактны е
С Iэт и ч ес к и е с м а р т -к а р т ы и U S B - О б н о в л ен и е по
с м а р т -к а р т ы
врем ени
клю чи
Б есконтактны е
Д ина м ические О б н о в л е н и е по
с м а р т -к а р т ы Гибридны е см арт-
наж атию
карты
клавиш и
U S B -к л ю ч и
Б иом етри ческие и
U S B -клю чи
1B u tto n
С истем ы р азо вы х
паролей и USB-
кпю чи
Рис. 3.20.3. Классификация средств идентификации и аутентификации
247
Устройства аутентификации на базе смарт-карт и/или USB-токенов

Поддержка такого рода средств встроена штатно в Microsoft Active Directory Windows
2000, Windows Server 2003 и 2008.
Аутентификация на базе смарт-карт и USB-токенов (фактически, USB-токен —это смарт-
карта, совмещённая в одном корпусе со считывателем, подключаемым к разъёму USB)
основывается на проверке сертификатов открытого ключа. Ключевая пара генерируется
смарт-картой, соответствующий закрытый ключ хранится в смарт-карте, возможны такие
настройки, при которых закрытый ключ не может быть экспортирован. Сертификат
открытого ключа также хранится в смарт-карте, но наряду с этим возможно
централизованное хранение сертификатов в каталоге (это может быть Microsoft Active
Directory или другая служба каталога, поддерживающая LDAP). Все сопутствующие
криптографические вычисления производятся процессором смарт-карты. ОС через
считыватель передаёт в смарт-карту запрос, этот запрос зашифровывается на секретном
ключе и передаётся ОС, ответ расшифровывается на открытом ключе и сравнивается с
исходным запросом, в результате сравнения принимается решение - считать
аутентификацию успешной или нет.
Данная схема может быть усложнена сопутствующими дополнительными техническими
мерами, если необходимо осуществлять аутентификацию по сети (см., например,
описание протоколов аутентификации Kerberos - RFC 1510, ЕАР TLS - RFC 2716), но в
основе всегда лежит проверка того, что проходящий аутентификацию субъект обладает
«секретным» ключом, соответствующим проверяемому сертификату «открытого» ключа,
фактически - обладает данной смарт-картой, выступающей в роли хранилища этого
ключа.
Для реализации схем аутентификации с использованием смарт-карт требуются смарт-
карты и подходящие считыватели (либо USB-токены), а также сопутствующее ПО
(драйверов) на компьютерах, где планируется проводить аутентификацию с
использованием смарт-карт. Кроме того, требуется развернуть в АС организации
инфраструктуру открытых ключей, в рамках которой будут выпускаться сертификаты для
смарт-карт. В некоторых случаях требуется, чтобы все компоненты этой системы, где
используется криптография, были сертифицированы ФСБ России. Последнее требование
резко сужает возможный выбор таких средств.
В качестве программных средств, реализующих инфраструктуру открытых ключей
можно использовать Крипто-Про УЦ (производства компании Крипто-Про, Москва,
www.cryptopro.ru), Notary Pro (производства компании Сигнал-КОМ, Москва,
www.signal-com.ru), либо любое другое ПО для удостоверяющего центра, в которое
можно встроить сертифицированные ФСБ России криптопровайдеры например: Crypto-
CSP (Крипто-Про), Крипто-Ком (Сигнал-Ком), ViPNet CSP (Компания ОАО
«ИнфоТеКС») и др.
Смарт-карты и токены с поддержкой криптографии ГОСТ выпускает компания
«Аладдин Р.Д.» (www.aladdin-rd.ru и токены RuToken ЭЦП, которые являются
совместной разработкой Фирмы «АНКАД» и компании «Актив» и изделия ШИПКА от
ОКБ САПР (в них совмещена функциональность смарт-карты и съёмного диска,
содержимое которого зашифровано на аппаратном уровне).
Для использования сертифицированной отечественной криптографии в процессе
аутентификации по смарт-картам можно воспользоваться продуктом компании
«КриптоПро», который называется «КриптоПро Winlogon».
КриптоПро Winlogon предназначен для ОС семейства
Windows 2000/XP/2003/Vista/7/2008R2 и реализует первоначальную аутентификацию
пользователя протокола Kerberos V5 (RFC 4120) по сертификату и ключевому носителю
КриптоПро CSP 3.0 (смарт-карта, USB-токен) или КриптоПро CSP 3.6.
Открытые ключи и ЭП по ГОСТ Р 34.10-2001 используются для аутентификации и
авторизации пользователя домена Windows в соответствии с проектом документа IETF
(draft-ietf-smime-gost).
КриптоПро Winlogon построен на основе сертифицированного СКЗИ КриптоПро CSP
3.0. и входит в состав СКЗИ КриптоПро CSP 3.6.
В настоящее время наличие аппаратной поддержки отечественной сертифицированной
криптографии стало особо актуально в связи с различными государственными
программами по предоставлению различных услуг гражданам России через сеть
интернет.
В частности решения ведущих российских производителей смарт-карт и токенов
компании «Аладдин Р.Д.» и компании «Актив» востребованы на портале
государственных услуг России (Рис. 3.20.4).
Авторизация По паролю
Вводит# страховой номер индивидуального лицевого счета (СНИЛС)

(«страхованного лица в систомо персонифицированного учета Пенсионного
фонда России
лг
Рис. 3.20.4. Портал государственных услуг
eToken ГОСТ
eToken ГОСТ - это персональное средство формирования электронной подписи с
неизвлекаемым «закрытым» ключом. eToken ГОСТ (Рис. 3.20.5) предназначен для
разработчиков систем дистанционного банковского обслуживания, электронных торгов,
сдачи налоговой отчётности для встраивания в клиентскую часть, а также разработчикам
СКЗИ для обеспечения надёжной зашиты «закрытых» ключей и аппаратной реализации
электронной подписи.
eToken ГОСТ спроектирован в соответствии с требованиями ФСБ России к
шифровальным (криптографическим) средствам, предназначенным дня защиты
информации, не содержащей сведений, составляющих государственную тайну, по классу
КС !, КС2 и реализует следующие криптографические функции:
■ формирование и проверку электронной подписи для блоков данных,
передаваемых в электронный ключ согласно ГОСТ Р 34.10-2001;
■ вычисление значения хэш-функции блоков данных в соответствии с
ГОСТ Р 34.11-94;
249
■ формирование и хранение ключевой пары, сертификатов Х.509 по стандарту

ISO/IEC 9594-8 и др. данных.
Рис. 3.20.5. eToken ГОСТ
Доступны следующие варианты исполнения eToken ГОСТ:

1. USB-ключ eToken ГОСТ;
2. Смарт-карта eToken ГОСТ;
3. Комбинированный USB-ключ eToken ГОСТ с генератором одноразовых
паролей;
4. Комбинированный USB-ключ eToken ГОСТ с Flash-памятью объёмом до
16 ГБ;
5. USB-ключ eToken PRO Anywhere.
Для встраивания eToken ГОСТ в различные приложения могут использоваться
следующие программные интерфейсы:
■ высокоуровневый интерфейс PKCS#11 версии 2.30 (включающий
расширения для российских криптографических алгоритмов). Работа с
eToken ГОСТ возможна в любых операционных системах: Windows 32/64-
бит, Linux 32/64-бит, Mac OS.
■ сертифицированные библиотеки, позволяющие делегировать функции
цифровой подписи ключу eToken ГОСТ (для защиты сообщений и файлов
произвольного формата и использования всех возможностей PKI (работа с
цифровыми сертификатами Х.509, списками отозванных сертификатов,
штампами времени);
■ низкоуровневый интерфейс /система APDU-команд/ (позволяет
использовать eToken ГОСТ на любых платформах и операционных системах
(Windows 32/64-бит, Linux 32/64-бит, Mac OS), а также для аутентификации
250
пользователя до загрузки операционной системы рабочей станции - в

приложениях типа «электронный замок» и аппаратных модулях доверенной
загрузки).
Рутокен
Рутокен - российское средство аутентификации и защиты информации (сайты:
www.rutoken.ru,www.aktiv-company.ru). Рутокен (Рис. 3.20.6) предназначен для
безопасного хранения и использования паролей, цифровых сертификатов, ключей
шифрования и электронной подписи и имеет сертификаты ФСТЭК России (№ 1461,
№ 1395) и ФСБ России (№ СФ/124-0999).
Рис. 3.20.6. Рутокен
Основные функциональные возможности:

■ неизвлекаемые ключи шифрования и ЭП;
■ поддержка международных стандартов;
■ интеграция с решениями, использующими технологии смарт-карт и
инфраструктурой открытых ключей (PKI);
■ расширенная поддержка сертифицированных российских средств
криптографической защиты информации (СКЗИ).
КриптоПро Рутокен CSP - программно-аппаратное средство криптографической защиты
информации (СКЗИ), которое объединяет возможности российского криптопровайдера
КриптоПро CSP и идентификатора Рутокен ЭП.
Возможности КриптоПро Рутокен CSP:
■ поддерживается весь функционал СКЗИ КриптоПро CSP 3.6;
■ существует полная интеграция с инфраструктурой PKI, основанной на
КриптоПро УЦ;
■ с использованием аппаратных ресурсов Рутокен ЭП выполняются
следующие криптографические операции:
- генерация ключей по ГОСТ Р 34.10-2001;
Учебным и в к т р
251
— формирование электронной цифровой подписи по ГОСТ Р 34.10-2001;

— вычисление ключа согласования Диффи-Хеллмана (RFC 4357);
■ обеспечивается безопасное хранение и использование закрытых ключей
внутри ключевого носителя без возможности извлечения. Срок действия
закрытого ключа —до 3-х лет.
Аутентификация с использованием одноразовых паролей
Познакомимся с принципом работы технологии аутентификация с использованием
одноразовых паролей на примере eToken PASS (Рис. 3.207) производства компании
«Аладдин Р.Д.».
Рис. 3.20.7. eToken PASS
В eToken PASS реализован алгоритм генерации одноразовых паролей (One-Time

Password —OTP), разработанный в рамках инициативы OATH. Этот алгоритм основан на
алгоритме НМ АС и хэш-функции SHA-1. Для расчёта значения ОТР принимаются два
входных параметра - «секретный» ключ (начальное значение для генератора) и текущее
значение счётчика (количество необходимых циклов генерации). Начальное значение
хранится как в самом устройстве, так и на сервере в системе eToken TMS. Счетчик в
устройстве увеличивается при каждой генерации ОТР, на сервере —при каждой удачной
аутентификации по ОТР.
При запросе на аутентификацию проверка ОТР осуществляется сервером RADIUS
(Microsoft LAS, FreeRadius и другие), который обращается к системе eToken TMS,
осуществляющей генерацию ОТР на стороне сервера. Если введённое пользователем
значение ОТР, совпадает со значением, полученным на сервере, аутентификация
считается успешной, и RADIUS сервер отправляет соответствующий ответ.
Алгоритм аутентификации пользователя с использованием OTP-токена eToken PASS
очень прост (Рис. 3.20.8):
1. Пользователь (Ольга) активизирует свой ОТР-токен, который генерирует ОТР
("59252459"), зашифровывая значения количества раз прохождения процедуры
аутентификации данным пользователем, с помощью своего «секретного» ключа;
2. Пользователь (Ольга) вводит своё имя пользователя и этот ОТР на рабочей станции;
3. Имя пользователя и ОТР передаются по сети в открытом виде;
4. Аутентификационный сервер находит запись пользователя (Ольги) и шифрует
значение количества раз прохождения процедуры аутентификации данным
пользователем с использованием хранимого им секретного ключа пользователя,
получая в результате ОТР;
5. Сервер сравнивает ОТР, представленный пользователем, и ОТР, вычисленный им
самим.
252
Партия устройств eToken PASS поставляется с зашифрованным файлом, содержащим

начальные значения для всех устройств партии. Этот файл импортируется
администратором в систему eToken TMS. После этого для назначения устройства
пользователю необходим ввод его серийного номера (печатается на корпусе устройства).
Аутентификационный сервер
^ Хэш-функция и база данных аутентификации
Рабочая станция и ОТР-токен
JdL
Пользователь
(Ольга)
3:Х&. II
К
г 59252459 ] iiS
ттт.
ii
\ \ ____
e4rfvgy7
0042
59252459 59252459
Рис. 3.20.8. Аутентификация с использованием OTP-токена eToken PASS.
В случае нарушения синхронизации счётчика генерации в устройстве и на сервере,

система eToken TMS позволяет легко восстановить синхронизацию —привести значение
на сервере в соответствие значению, хранящемуся в устройстве. Для этого администратор
системы или сам пользователь (при наличии соответствующих разрешений) должен
сгенерировать два последовательных значения ОТР и отправить их на сервер через Web-
интерфейс eToken TMS.
В целях усиления безопасности система eToken TMS позволяет использовать
дополнительное значение OTP PIN - в этом случае для аутентификации пользователь
помимо имени пользователя и ОТР вводит дополнительное секретное значение OTP PIN
(это значение задаётся при назначении устройства пользователю). Так же возможна
интеграция генератора одноразовых паролей в комбинированные решения например
eToken NG-OTP (Java) или в мобильные телефоны с использованием технологии
MobilePASS.
Аутентификация с использованием пассивных идентификаторов
Пассивные идентификаторы, в отличие от смарт-карт, ничего сами внутри себя не
вычисляют, а представляют собой только хранилище идентификационной информации, к
которому обращается соответствующее ПО. Простейший пассивный идентификатор -
это дискета, на которую записаны какие-то данные (в частности, это один из возможных
вариантов персональных идентификаторов, присваиваемых сотруднику в системе
Secret Net; обращение к ней происходит после ввода пароля пользователя). В роли такого
идентификатора может выступать USB-Flash диск (или любое устройство, опознаваемое
системой как съёмный диск), изделия iButton (бывшие Touch Memory, производства
компании Dallas Semiconductor), бесконтактные Proximity-карты или RFID-метки.
Наиболее распространены изделия iButton (Рис. 3.20.9) - их используют все разработчики
электронных замков. В зависимости от модели iButton и модели электронного замка, в
iButton может быть записана и в дальнейшем использована дополнительная
вспомогательная информация. Например, Secret Net позволяет хранить на iButton пароль
253
пользователя, при этом его не требуется вводить с клавиатуры - решение о

целесообразности использования данной возможности следует принимать в зависимости
от контингента пользователей. Если компьютер оснащён ПО CryptoPro CSP, в iButton
может храниться ключевая информация (реализовано для АПМДЗ «Соболь», Аккорд,
Dallas Lock).
Рис. 3.20.9. Идентификаторы iButton
В случае с Proximity-картами (Рис. 3.20.10) и RFID-метками обмен данными между

идентификатором и считывателем происходит по радиоканалу: излучение считывателя
возбуждает электрический ток в бесконтактном идентификаторе, этим током
запитывается его микросхема с приёмником/передатчиком, передатчик идентификатора
по запросу считывателя передаёт уникальный номер изделия (уникальность
гарантируется компанией-производителем), который и является идентификационной
информацией. Радиус действия подобных устройств невелик (в случае Proximity-карт -
несколько сантиметров, в случае RFID - несколько метров), если только желающий
подслушать этот радиообмен не обзавёлся направленной антенной, (аналогичные
направленные антенны позволяют устанавливать, а значит и перехватывать обмен
данными по BlueTooth на расстоянии порядка полутора километров на открытой
местности вместо заявленных нескольких десятков метров,
см. http://www.google.ru/search?hl=ru&q=Bluesnarfing). Следовательно, при использовании
бесконтактных идентификаторов необходимо принять меры по экранированию
помещений от утечек через ПЭМИН.
Рис. 3.20.10. Идентификатор и считыватель Proximity
Биометрическая аутентификация
Биометрия - это идентификация пользователя по уникальным, присущим только данному
пользователю, биологическим признакам. Такие системы являются самыми удобными, с
У ч е б н а центр
точки зрения самих пользователей, так как им не приходится ничего запоминать и такие
характеристики весьма сложно потерять. При биометрической идентификации в базе
данных хранится цифровой код, ассоциированный с определённым человеком. Сканер
или другое устройство, используемое для аутентификации, считывает определённый
биологический параметр. Далее он обрабатывается по определённым алгоритмам и
сравнивается с кодом.
К достоинствам биометрических сканеров обычно относят то, что они никак не зависят от
пользователя (например, можно ошибиться при вводе пароля) и никто не может передать
свой биологический идентификатор другому человеку, в отличие от пароля. Однако, как
показали проведённые в США исследования, биометрические сканеры, основанные на
отпечатках пальцев, довольно легко обмануть с помощью муляжа. Или ситуация с
отказом в доступе, осуществляемом на основании распознавания голоса, в случае если
человек простужен.
К биометрическим относятся различные методы. Все их можно разбить на две
подгруппы:
■ статические методы, которые основываются на физиологической
(статической) характеристике человека, то есть уникальном свойстве,
данном ему от рождения и неотъемлемом от него. К статическим относятся
форма ладони, отпечатки пальцев, радужная оболочка, сетчатка глаза, форма
лица, расположение вен на кисти руки и т. д.;
■ динамические методы, которые основываются на поведенческой
(динамической) характеристике человека — особенностях, характерных для
подсознательных движений в процессе воспроизведения какого-либо
действия (подписи, речи, динамики клавиатурного набора).
Распознавание по отпечаткам пальцев
Распознавание по отпечаткам пальцев - самый распространённый статический метод
биометрической идентификации, в основе которого лежит уникальность для каждого
человека рисунка папиллярных узоров на пальцах. Изображение отпечатка пальца,
полученное с помощью специального сканера, преобразуется в цифровой код (свёртку) и
сравнивается с ранее введённым шаблоном (эталоном) или набором шаблонов (в случае
аутентификации).
Среди ведущих производителей оборудования (сканеров отпечатков пальцев) можно
выделить:
■ BioLink (http://www.biolink.ru, http://www.biolinkusa.com);
■ Bioscrypt (http://www.bioscrypt.com);
■ DigitalPersona (http://www.digitalpersona.com);
■ Ethentica (http://www.ethentica.com);
■ Identix (http://www.identix.com);
■ Precise Biometrics (http://www.precisebiometrics.com);
■ Saflink (http://www.saflink.com).
Ведущие производители сенсоров (считывающих элементов для сканирующих
устройств):
■ Atmel (http://www.atmel.com, http://www.atmel-grenoble.com);
■ AuthenTec (http://www.authentec.com);
■ Veridicom (http://www.veridicom.com);
■ Fujitsu (http://www.iujitsu.com).
255
Распознавание по форме руки

Данный статический метод построен на распознавании геометрии кисти руки, также
являющейся уникальной биометрической характеристикой человека. С помощью
специального устройства, позволяющего получать трёхмерный образ кисти руки
(некоторые производители сканируют форму нескольких пальцев), получаются
измерения, необходимые для получения уникальной цифровой свёртки,
идентифицирующей человека.
Ведущие производители:
■ Recognition Systems (http://www.recogsys.com, http://www.handreader.com);
■ BioMet Partners (http://www.biomet.ch).
Распознавание по радужной оболочке глаза
Этот метод распознавания основан на уникальности рисунка радужной оболочки глаза.
Для реализации метода необходима камера, позволяющая получить изображение глаза
человека с достаточным разрешением, и специализированное программное обеспечение,
позволяющее выделить из полученного изображения рисунок радужной оболочки глаза,
по которому строится цифровой код для идентификации человека.
Крупнейшим производителем в данной области является компания Iridian
(http://www.iridiantech.com). На решениях этой компании базируются практически все
разработки других таких компаний как LG, Panasonic, OKI, Saflink и т. д.
Распознавание по форме лица
В данном статическом методе идентификации строится двух- или трёхмерный образ лица
человека. С помощью камеры и специализированного программного обеспечения на
изображении или наборе изображений лица выделяются контуры бровей, глаз, носа, губ и
т. д., вычисляются расстояния между ними и другие параметры, в зависимости от
используемого алгоритма. По этим данным строится образ, выраженный в цифровой
форме для сравнения. Причём количество, качество и разнообразие (разные углы
поворота головы, изменения нижней части лица при произношении ключевого слова и т.
д.) считываемых образов может варьироваться в зависимости от алгоритмов и функций
системы, реализующей данный метод.
■ AcSys Biometrics (http://www.acsysbiometrics.com);
■ А4 Vision (http://www.a4 vision.com);
■ Cognitec Systems (http://www.cognitecsystems.de, http://www.cognitec.com);
■ Identix (http://www.identix.com);
■ Imagis (http://www.imagistechnologies.com);
■ Vicar Vision (http://www.vicarvision.nl);
■ ZN Vision (http://www.zn-ag.com).
К динамическим относят те характеристики, которые могут меняться со временем. Это
такие параметры, как почерк, подпись, голос и т. д.
Распознавание по рукописному почерку
Как правило, для этого динамического метода идентификации человека используется его
подпись (иногда написание кодового слова). Цифровой код идентификации формируется
по динамическим характеристикам написания, то есть для идентификации строится
свёртка, в которую входит информация по графическим параметрам подписи, временным
характеристикам нанесения подписи и динамики нажима на поверхность в зависимости
У чеб ньм центр
256
от возможностей оборудования (графический планшет, экран карманного компьютера и

т. д.).
■ CIC /Communication Intelligence Corporation/ (http://www.cic.com);
■ Cyber-SIGN (http://www.cybersign.com);
■ SOFTPRO (http://www.signplus.com);
■ Valyd (http://www.valyd.com).
Распознавание по клавиатурному почерку
Метод в целом подобен описанному выше, однако вместо подписи в нем используется
некое кодовое слово, а из оборудования требуется только стандартная клавиатура.
Основная характеристика, по которой строится свёртка для идентификации, —
динамика набора кодового слова.
■ BioPassword Security Software (http://www.biopassword.com);
■ Checco (http://www.biochec.com).
Распознавание по голосу
В настоящее время развитие этой одной из старейших технологий ощутимо ускорилось,
так как предполагается её широкое использование при сооружении интеллектуальных
зданий. Существует достаточно много способов построения кода идентификации по
голосу: как правило, это различные сочетания частотных и статических его
характеристик.
■ Nuance (http://www.nuance.com);
■ Persay (http://www.persay.com);
■ Voicevault (http://www.voicevault.com).
Однако стоит учесть, что идентификация по статическим характеристикам более
надежна, так как не зависит от психоэмоционального состояния человека.
Помимо перечисленных производителей сейчас на рынке биометрии появилась новая
группа компаний, чьи решения называются промежуточными. Как правило, это
«программное обеспечение-посредник» между оконечным оборудованием и
программными системами, в которые интегрируются процедуры биометрической
идентификации. Причём посредник может реализовать как просто регистрацию в системе
с использованием измерений биометрического сканера (например, Windows Logon), так и
самостоятельные функции, например создание криптографических контейнеров с
помощью ключа, получаемого только по определённому отпечатку пальца.
Следует, однако, признать, что в чистом виде биометрические средства аутентификации
не позволяют построить 100% надёжную систему защиты: существует определённый
процент ложных срабатываний (в обе стороны - как принятие своих за чужих, так и
принятие чужих за своих), кроме того существует риск компрометации таких систем
(см. например http://www.kinnet.ru/cterra/445/18034.html), появился даже новый термин
Biologger (биометрический кейлоггер). Британский исследователь Мэтью Льюис
(Matthew Lewis) разработал биометрический кейлоггер, который может получить
отпечатки пальцев, необходимые для разблокировки дверей зданий, доступа к
компьютерным сетям или иным системам с ограничением доступа.
У ч в б и м * центр
257
Biologger является концептуальным решением для демонстрации отсутствия защиты

многих биометрических систем, согласно Мэтью Льюису (Matthew Lewis), который
представил свой инструмент на конференции Black Hat в Амстердаме. Исследователь,
который работает с управлением ИБ-рисками, предупреждает, что атака биометрических
систем может стать обычным явлением и может быть использована для регистрации
изображений сетчатки, черт лица и каких-либо других физических характеристик,
используемых в биометрических системах.
«Производители биометрических устройств и системные интеграторы не могут
рассчитывать на полную безопасность своих устройств и систем», - пишет он в своем
докладе, - «Без надлежащей защиты конфиденциальности биометрические устройства
контроля доступа и их данные находятся под угрозой «биологгинга». Деятельность
предприятий, использующих биометрическое сканирование для контроля доступа, также
защищена не в полной мере».
Как отмечено на сайте theregister.co.uk, в устройстве контроля доступа, используемом
Льюисом в его демонстрации, не используется шифрование данных перед их отправкой
на сервер. Льюису удалось перехватить передаваемые между устройствами данные при
помощи ноутбука. По полученным данным исследователь смог воспроизвести
изображение отпечатков пальцев (http://www.securitylab.ru/news/349668.php).
Комбинированные схемы и многофакторная аутентификация
Многофакторная аутентификация - это проверка нескольких секретов для
аутентификации субъекта. Классический вариант многофакторной аутентификации -
проверка смарт-картой PIN-кода, вводимого пользователем, только после которой смарт-
карта открывает доступ к ключевому материалу, и возможна проверка сертификата. В
итоге проверяются два фактора: наличие у пользователя корректной смарт-карты и
знание пользователем корректного PIN-кода для этой смарт-карты.
Ведутся разработки по совмещению функциональности смарт-карты и SIM-карты
мобильного телефона. В Японии компанией NTT DoCoMo предлагается основанная на
SIM-картах система безналичных платежей под названием «Ш». Существуют планы по
внедрению в Москве системы для оплаты проезда в метро через мобильный телефон со
специальной SIM-картой. Вероятно появление в ближайшем будущем технических
решений и для аутентификации пользователей по мобильному телефону в
корпоративных АС, вся необходимая для этого элементная база уже существует.
Любое внедрение электронных замков подразумевает использование двухфакторной
аутентификации: проверяется наличие индивидуального идентификатора и
соответствующего пароля пользователя.
Существуют решения, использующие биометрические факторы в качестве одного из
проверяемых секретов в схемах многофакторной аутентификации. Например,
подразделение ЕМС по обеспечению безопасности (Компания RSA) предлагала USB-
токены, оснащённые считывателем отпечатка пальца: отпечаток пальца используется
вместо PIN-кода для доступа к содержащимся в токене ключам, аналогичное решение
есть у компании Athena Smartcard Solutions (Рис. 3.20.11).
У ч еб м ш центр
Рис. 3.20.11. Карт-ридер ASEDrive Ille Bio Combo F2
Задача защиты от вмешательства посторонних и аппаратные

средства аутентификации
Следует иметь в виду, что аппаратные средства аутентификации предоставляют
инструмент, позволяющий решить главным образом первую из задач, возлагаемых на
СЗИ НСД —задачу защиты от вмешательства посторонних в процесс нормального
функционирования АС. При этом аутентификация осуществляется применительно к трем
моментам работы: загрузке компьютера (при наличии на компьютере электронного замка,
загрузить компьютер может только зарегистрированный пользователь), регистрации в
системе (начать сеанс работы может только зарегистрированный пользователь, для
которого в системе имеется учётная запись) и разблокировке консоли (если в ходе сеанса
работы пользователь заблокировал консоль, разблокировать консоль может только этот
пользователь либо пользователь, обладающий на данном компьютере
административными полномочиями; в последнем случае сеанс работы пользователя,
заблокировавшего консоль, прерывается с принудительным закрытием всех запущенных
пользователем программ, и если какие-либо файлы не были сохранены, вся введённая в
них после последнего сохранения информация теряется).
Эффективное использование данного инструмента возможно в том случае, если
соблюдаются ещё, по крайней мере, два условия, требующие организационных мер:
1. Для пользователей внутренними нормативными документами организации
установлен запрет на передачу своих реквизитов входа другому лицу либо их запись
в доступном для других лиц месте (классический пример - стикер с паролем,
наклеенный на монитор). Другой возможный вариант - разработка некоторой
бюрократической процедуры передачи реквизитов входа, с тем чтобы по
соответствующим данным бумажного учёта можно было однозначно установить,
какой сотрудник воспользовался указанной учётной записью в данный момент;
2. Права доступа пользователей к ресурсам АС установлены таким образом, что
позволяют решать все задачи, входящие в их служебные обязанности, при этом
заранее должна быть предусмотрена возможность подмены других сотрудников на
случай их отсутствия - только это позволит исключить производственную
необходимость передачи реквизитов входа другим лицам.
259

Возможности применения штатных и
дополнительных средств защиты информации
от несанкционированного доступа
Рассмотренные в предыдущей теме средства идентификации и аутентификации

позволяют решить только одну из задач, возлагаемых на СЗИ НСД - задачу защиты от
вмешательства посторонних в процессы нормального функционирования АС. После того,
как сеанс работы пользователя начат либо разблокирован, вступают в действие другие
защитные механизмы, реализованные в составе штатных средств ОС и дополнительных
средствах защиты от НСД позволяющие, при соблюдении определённых условий (при
внедрении необходимых организационных мер), решить остальные задачи по защите АС.
Стратегия безопасности Microsoft
Сервисы
Серверны е
приложения
Защита
Forefront Управление
Q«nt Security учетным
«£ W indow s Vista
Identity l i fecycb
««Windows Manager •
* ш Windows
■ Ш Active Directory isentials
G u idance
Developer
Tools
Puc. 3.21.1. Общая концепция продуктов и технологий компании Microsoft в области

Компания Microsoft очень пристальное внимание уделяет обеспечению безопасности

своих пользователей. На Рис. 3.21.1 представлена общая концепция продуктов и
технологий компании Microsoft, которые решают вопросы защиты информации от
несанкционированного доступа, вредоносного воздействия, искажения и так далее. В
частности, для обеспечения защиты от вирусов и нежелательной почты и СПАМа
предлагается целая линейка решений марки Forefront для защиты серверов и приложений
и для защиты клиентских и серверных ОС. Для защиты периметра сети предлагается
межсетевой экран Forefront Threat Management Gateway 2010 (наследник ISA Server), a
^ Учйймыи ц ентр
260
также шлюз аутентификации и обеспечения сервиса единой точки доступа. Также в

платформу Microsoft Windows встроены технологии, которые обеспечивают защиту
данных от несанкционированного доступа с помощью шифрования - Encrypted file
system, BitLocker, ADRMS - позволяющая обеспечить соблюдение политик безопасности
при работе с документами и важными данными. Есть решения, которые позволяют
управлять учетными записями пользователей, базируются эти технологии на Windows
Server AD services, а также целый ряд продуктов, который позволяет управлять
цифровыми сертификатами, идентификационными данными пользователей и
автоматизировать процесс создания и обработки учётных данных пользователей.
Предлагается целое семейство решений по управлению как аппаратными так и
программными платформами конфигурациями в рамках корпоративной сети. Оно
получило название System Center. Все эти продукты совместимы между собой,
дополняют друг друга и могут обеспечить защиту информации, обрабатываемой и
хранящейся в корпоративной сети.
Сертифицированные решения Microsoft
В настоящее время компания Microsoft продолжает сотрудничать в области
сертификации с ФСТЭК России (Рис. 3.21.2) и ФСБ России, и готова начать
сертификацию в системе сертификации Минобороны России.
СИСТЕМА СЕРТИФИКАЦИИ
СРЕДСТВ З А Щ И Т Ы И Н Ф О Р М А Ц И И
ПО ТРЕБО В А Н И Я М КЕЧО П АСНО СТИ И Н Ф О РМ А Ц И И

JV* РО С С RU.ООО1.01 В И 00
СЕР Т И Ф И К А Т СООТВЕТСТВИЯ
№ 1929
Выдан 21октябри 2009 г.
Действителен до 2? октября 20 ]2 г.
Н асш яш ий сертификат удостоверяет, что п р ш р я м м и ы й к о м п л ^ с «М ктш ш П W indow s

Swerve» 200# E n te rp ris e E d itio n » , разработанны й компанией M icrosoft C orporation, прончиодиммй
и f(оставляемый Ф ГУП «П редприятие по поставкам продукции У п е т л е н и я делам и П р еги д ем а
Российской Федерации)- и ( НК) «С ертиф ицированные инф ормационны е системы**. янляечея
программным средством общ его назначения со встроенны ми средствам и ш щ нты от
иесанкцисжмродамиого доступа к конфиденциальной информации, и соответствует требованиям
руководящ ею документа «Средства вы числительной техники. Защ ита от несанкционированного
Поступи к информации. 3Ь к аш те л и защ ищ енности in несанкционированною доступа к
информации» (Гостехкомиссия, 1992) * но 5 классу ■шнищениости. м о ж сi иеиояизом тьея при
создании автоматизированны х систем до класса ш ц ин& н нисти 1Г вклю чительно и нри создании
информационных систем персональны* данных до 3 класса вклю чительно нри выполнении
ограничений, указанных в поилюксмии к настояш емх сепгиАмкате.
Рис. 3.21.2. Сертификат ФСТЭК России на Windows Server 2008 Enterprise Edition
Текущие результаты сертификации ФСТЭК России:

■ Windows ХР Professional (сертификаты № 844/2, 844/3);
■ Windows Vista /Ultimate, Business/ (сертификат № 1516/1);
■ Windows Server 2008 R2 Datacenter (сертификат № 2181);
■ Windows Server 2008 R2 /Standard Edition, Enterprise Edition/ (сертификат
№ 2181);
■ Windows Server 2003 Standard Edition (сертификаты № 1017/4, 1017/5);
— У чеб н ы й ц е н т р
261
■ Windows Server 2003 Enterprise Edition (сертификаты № 1017/6, 1017/7);

■ Windows 7 Ultimate Edition (сертификат № 2180);
■ Windows 7 Professional Edition (сертификат № 2180);
■ Windows 7 Enterprise (сертификат № 2180);
■ SQL Server 2005 Standard Edition (сертификат № 1319);
■ SQL Server 2005 Enterprise Edition (сертификат № 1319/1);
■ Microsoft Windows Server Standard Edition 2008 (сертификаты № 1928,
1928/1);
■ Microsoft Windows Server 2008 Enterprise Edition (сертификаты № 1929,
1929/1);
■ Microsoft Windows Server 2008 Datacenter (сертификат № 1930);
■ Microsoft System Center Operations Manager 2007 /SP1/ (сертификат № 1927);
■ Microsoft System Center Data Protection Manager 2007 /SP 1/ (сертификат
№ 1931);
■ Microsoft System Center Configuration Manager 2007 R2 (сертификат № 1932);
■ Microsoft SQL Server 2008 /Enterprise Edition, Standard Edition/ (сертификат
№ 1951);
■ Microsoft Office SharePoint Server 2007 (сертификат № 1813);
■ Microsoft Office Professional Plus 2007 (сертификат № 1960);
■ Microsoft Office 2007 Standard (сертификат № 1923);
■ Microsoft Office 2007 Professional (сертификат № 1923);
■ Microsoft Office 2003 Professional (сертификат № 1056/1);
■ Microsoft Forefront Client Security (сертификат № 1764);
■ Microsoft Exchange Server 2007 Standard Edition (сертификат № 1814);
■ Microsoft Exchange Server 2007 Enterprise Edition (сертификат № 1814);
■ Microsoft Dynamics NAV 5.0 (сертификат № 2090);
■ Microsoft Dynamics CRM 4.0 (сертификат № 2091);
■ Microsoft Dynamics AX 4.0 (сертификат № 2089).
Актуальную информацию по сертифицированным продуктам можно найти на сайтах:
http ://www. microsoft. com/Rus/Security/Certificate/results.aspx,
http ://www. microsoft.com/rus/government/certificate/.
Защита от вмешательства в процесс нормального
функционирования АС и НСД к информации посторонних лиц
Для того, чтобы отличать своих от чужих необходимо провести аутентификацию. В
Microsoft Windows встроена платная проверка по паролю, которая используется по-
умолчанию. В Windows 2000/2003 сервер в домене на базе Active Directory (AD) была
лишь одна политика для пароля и блокировки учётной записи (account lockout policy) для
всего домена. Поэтому у некоторых компаний возникала необходимость в использовании
нескольких доменов, чтобы иметь возможность применять различные политики пароля
(password policy) для различных пользователей либо необходимо было разрабатывать
свои собственные фильтры для паролей или покупать решения сторонних
производителей. В операционной системе Windows Server 2008 есть возможность указать
\ Информзащита
262
различные политики паролей для различных пользователей и групп (Рис. 3.21.3). Эта
технология называется «Подробные политики паролей» (Fine-Grained Password Policies).
Она позволяет создавать следующие настройки для разных групп пользователей в рамках
одного домена Active Directory (AD):
■ вести журнал паролей;
■ максимальный срок действия пароля;
■ минимальный срок действия пароля;
■ минимальная длина пароля;
■ пароль должен отвечать требованиям сложности;
■ хранить пароли, используя обратимое шифрование.
[ Group Policy M anagem ent Editor - i D l Xl

File £tbon îew Help
; |ф j f ' Q
I :j Default: Domain Policy [NYC-DC- ~ Poky * I Policy Setting 1
В Computer Configuration . Enforce password history 24 passwords remembered
ES J Software Settings ОцMaximum password age 42 days
В ^ Windows Settings 1 Minimum password age 1 days
Scripts (Startup/Shi . Minimum password length 7 characters
’•r'
В Ц | Security Settings j Enabled
Password must meet complexity requirements
3 Account Policies
Store passwords using reversible encryption Disabled
ffi [ p Password P
ffl Account Lot
El Kerberos Pc
i+j Local Policies
ffi Event Log
Si .g Restricted Grou
GB ^ System Service:__
Ш Registry
1+1 Д File System
IS | s f Wired Network
Ш k iii Windows Firew<
3s Wireless Netwo
(+) . _ Public Key Polici
. !¥l SnFtwftfp Rp.^rLZJ
«1 1 ►!
Рис. 3.21.3. Стандартные настройки парольной политики в Windows
Однако у многих организаций существует инструкция по парольной защите, в которой

сформулированы более конкретные правила формирования паролей, например:
Персональные пароли должны генерироваться специальными программными средствами
административной службы либо выбираться пользователями информационной системы
предприятия «XXX» самостоятельно с учётом следующих требований:
■ длина пароля должна быть не менее 8 символов;
■ в составе символов пароля обязательно должны присутствовать буквы в
верхнем и нижнем регистрах, цифры и специальные символы (“ ~ ! @ # $ %
■ при смене пароля новое значение должно отличаться от предыдущего не

менее чем в 4 (2, 3.., 7, 8) позициях;
■ личный пароль пользователь не имеет права сообщать никому;
■ пароль не должен включать в себя легко вычисляемые сочетания символов
(имена, фамилии, известные названия, словарные и жаргонные слова и т.д.),
последовательности символов и знаков (111, qwerty, abed и т.д.),
общепринятые сокращения (ЭВМ, JIBC, USER и т.п.), аббревиатуры, клички
263
домашних животных, номера автомобилей, телефонов и другие значимые

сочетаний букв и знаков, которые можно угадать, основываясь на
информации о пользователе.
Встроенными средствами Windows Server 2008 эта задача не решается, но может быть
решена при помощи дополнительного ПО сторонних разработчиков. Например, Specops
Password Policy (http://www.specopssoft.com) имеет следующий функционал (Рис. 3.21.4):
■ можно задавать любые комбинации ограничений пароля: нижний регистр,
верхний регистр, численные символы и специальные символы;
■ различные правила срока годности пароля, для каждой политики;
■ запрет последовательных символов в пароле;
■ запрет инкрементных паролей;
■ автоматическая отправка даты окончания срока действия пароля на адрес
электронной почты;
■ дополнительные требования политики паролей, регулярные выражения,
запрещение слов, введённых в обратном порядке из списка слов, запрещение
цифры в качестве последнего символа.
РимсмйРексу
v S p e c o p s P a s s w o r d P o lic y ’'
г , .|Ш|.. т . m
[i?] Mnmunpasswordlength « |i?j Dealovtword*fromdidona^ j hk
15}Мняткжлpasswordlength ISO ^ Daafovtreverseddictionarywards
шО
Nmrtaer Ы requred ch aracter д г а ф reQurwnents
f^jmberofiwiembefedpasrwo-ds
S j Minimum oaaawcnj afle Mays)
Requiredalphacharade™
jjjfj fleaii'ed цзрв- case châdnr*
CbsaNowincrementalpaiawords
jiSr Reaured«wece« charadera . шл . _
Requirednonabhacharacter* ■3
J R e o i« d cbgia §jT: Маигтия password age <day*)
fleaewl apeoal dnaraders (*£ Wanna, ai logon. brfore еасялo n 4iays;
R eq u m d Unicode character Send eâl-: wamtrig Ивуя,* 3Г
[>»ab*eaccou-itlockovi
■3
DaaSowparti &
■usernameInрампой j ignorethisрейсуonpasswordfeset
D*a8wcfey.asfortcharader•-рамword Reqiireuseftochangepaesw:ydonnet logon
Deatqwdig! asladdwadermpaeswonj E UNocklockedaccoj-tsaiiorneticaliyor TSd
EteaSo*consecutivejded'cal diafedef*
MB
■W dfawia, rrfwmidiontoenduser*et равалтхйchange
Cafl 112233for*u>po*t
Puc. 3.21.4. Настройки парольной политики в Specops Password Policy
Но практика показывает, что парольная защита не очень надёжна, поэтому возникает

необходимость в применении двухфакторных вариантов аутентификации.
264
В Windows 7/2008R2 существенно улучшена поддержка для многочисленных решений

сторонних вендоров (поставщиков) ПО для применения двухфакторных вариантов
аутентификации, которые значительно повышают уровень защищённости процесса
Вход по смарт-картам с применением сертификатов существенно упростился за счёт
поддержки многими вендорами спецификации Microsoft ССШ Smart Card Minidriver,
которая не требует установки отдельного драйвера с сайта производителя, а позволяет
использовать встроенные в Windows драйверы или, которые загружаются автоматически
через службу Windows Update.
Биометрия в Windows 7
В состав Windows 7 входит биометрическая платформа Windows — Windows Biometric
Framework, которая обеспечивает единообразное представление сканеров отпечатков
пальцев и других биометрических устройств в форме, удобной высокоуровневым
приложениям, а также позволяет единообразно использовать приложения для анализа
отпечатков пальцев. В предыдущих версиях Windows сканеры отпечатков пальцев
поддерживались как средство регистрации в системе. Такими сканерами сейчас
оборудованы многие переносные компьютеры, но для их работы были необходимы
драйверы и специальное программное обеспечение. Теперь поддержка таких устройств
является частью Windows 7, и для их работы ничего, кроме драйвера, не требуется.
В Windows 8, которая планируется к выпуску компанией Microsoft в 2012 году
технологию биометрической аутентификации предполагается дополнить «визуальной
идентификацией пользователя» (facial recognition), которую можно будет использовать
при входе в Windows через вебкамеру непосредственно подключенную к ПК.
Задача разграничения доступа зарегистрированных
пользователей к ресурсам автоматизированной системы
Как было упомянуто выше, существует три подхода к разграничению доступа:
избирательное, полномочное (мандатное) и разграничение доступа к ПО путём создания
замкнутой программной среды. В современных многопользовательских ОС
избирательное разграничение доступа реализовано штатными средствами, кроме того, во
всех сертифицированных дополнительных СЗИ НСД, согласно требованиям
Руководящих документов ФСТЭК России, существует реализация всех этих трёх
подходов к разграничению доступа.
Избирательное разграничение доступа
Поскольку избирательное разграничение доступа реализовано штатно в
многопользовательских ОС (в частности, в Windows NT/2000/XP/2003/Vista/7/2008
предусмотрено разграничение доступа путём контроля списков управления доступом,
связанных с защищаемыми объектами), данный подход порождает меньше всего проблем
с функционированием ПО, так как практически во все современное ПО заложена
возможность корректного функционирования в условиях, когда среда работы ОС может
блокировать попытки модификации каких-то данных. Поэтому проблема использования
избирательного разграничения доступа сводится к тому, чтобы реализовать его
средствами корректное ограничение доступа к ресурсам АС для соблюдения принципа
минимально необходимых полномочий.
Полномочное (мандатное) разграничение доступа
Принцип полномочного разграничения доступа состоит в том, что сотрудникам
присваивается уровень допуска к конфиденциальной информации, ресурсам АС
присваивается уровень конфиденциальности, после чего система препятствует попыткам
доступа к ресурсам, уровень конфиденциальности которых превышает уровень допуска
265
сотрудника, а при открытии конфиденциальных ресурсов - попыткам переноса данных в

ресурс с более низким уровнем конфиденциальности (контроль потоков данных).
Компания Microsoft в операционных системах Windows Server 2008 и Windows Vista
предложила новую модель безопасности (так называемый «механизм целостности),
которая обеспечивает защитный барьер вокруг процессов с повышенными привилегиями.
Частями этой модели являются обязательный контроль целостности (Mandatory Integrity
Control/MIC) и изоляция привилегий пользовательского интерфейса (UIPI). Наиболее
существенный эффект MIC —это отображение сообщения контроля учетных записей,
когда текущие привилегии недостаточны для выполнения операций.
Уровни целостности
Механизм целостности использует шесть уровней доверия или целостности, которые он
назначает объектам. В данном случае под объектами подразумевается всё: от файлов и
папок до процессов и пользователей. Фактически учётные записи и группы имеют
предустановленный уровень доверия и, таким образом, когда программа запускается в
определённой учётной записи, она автоматически получает её уровень доверия.
Вот список всех шести уровней доверия вместе с группами, которые их используют:
■ Доверенный инсталлятор. Объекты, имеющие статус доверенного
инсталлятора имеют наивысший уровень доверия из возможных и могут
вносить изменения в ОС.
■ Системный. Объекты, имеющий данный статус, являются общими
службами или объектами, которые являются частью ОС. С данным
приоритетом, к примеру, запускаются учётные записи локальных или
сетевых служб.
■ Высокий. Учётная запись администратора запускается с высоким уровнем
доверия, впрочем, как и другие учётные записи продвинутых пользователей,
таких как оператор архива или оператор шифрования. Практически во всех
случаях, когда код запущен с высоким уровнем доверия, он может вносить
изменения в ОС.
■ Средний. Это обычный уровень для стандартных учётных записей и
связанных с ними данных.
■ Низкий. Такой статус имеют учётная запись Everyone и временные файлы.
■ Недоверенный. Такой статус присваивается анонимной и гостевой учётным
записям.
Самое основное ограничение, введённое между уровнями доверия, - это то, что Microsoft
назвала политикой NO WMTE UP. Это означает, что по умолчанию ни один объект
одного уровня не может редактировать объект более высокого уровня.
Ещё одной политикой доверия, которую можно реализовать, является
NEW_PROCESS_MIN. Данная политика предотвращает запуск приложения более
низкого уровня доверия с более высоким уровнем. Например, если запускается командная
консоль гипотетического пользователя, работающего со средним уровнем доверия, и в
ней запускается приложение, имеющее низкий уровень, оно не будет запущено на
уровень выше, кроме низкого. В предыдущих версиях Windows запускаемый процесс
получал уровень того, кто его запустил, несмотря на уровень самого приложения.
Другая редко используемая полигака включает в себя NO READ UP, которая
предотвращает чтение объектами с низким уровнем участков памяти объектов с более
высоким уровнем доверия (который, кстати, по умолчанию не активирован), а также
N0_EXECUTE_UP, который позволяет выбранной программе быть вызванной только
объектом того же или более высокого уровня.
Необходимо понять ещё одну вещь: уровни с одинаковым уровнем доверия не имеют
никаких ограничений по взаимному взаимодействию, по крайней мере, с точки зрения
механизма целостности. Например, все процессы, запущенные со средним уровнем
доверия, могут взаимодействовать и получать доступ к данным друг друга, если вы не
введёте каких-либо ограничений для них.
MIC предоставляет механизм управления доступом к объектам, подлежащим защите.
Этот механизм является дополнением к механизму управления доступом на уровне
пользователей и оценивает доступ с помощью уровней целостности перед проверками
прав доступа, которые выполняет список управления доступом на уровне пользователей
(DACL). Субъектам безопасности и объектам, подлежащим защите, назначаются уровни
целостности, которые определяют их уровень защиты или доступа. В качестве примера
можно привести Internet Explorer® 7, работающий в защищённом режиме Internet
Explorer.
UIPI - это механизм изоляции процессов, который обозначается в окнах сообщений
изображением щита Windows. Поскольку процесс не может отправлять сообщения в
объект с более высокой степенью целостности, UIPI предотвращает использование
повышения привилегий путём внедрения кода в различные процессы одного и того же
сеанса.
Применяемая по умолчанию политика целостности позволяет процессам открыть любой
объект - за исключением объектов-процессов и объектов-потоков - для чтения, если
DACL объекта предоставляет им такой доступ. Это означает, что процесс, работающий с
низким уровнем целостности integrity level (IL), может открыть любые файлы, доступные
для учётной записи пользователя, под которой он работает. С помощью IL-уровней
обозреватель Internet Explorer защищенного режима предотвращает блокировку
изменения параметров учётной записи пользователя вредоносной программой, но не
может помешать ей читать документы пользователя.
Объекты-процессы и объекты-потоки - исключения, поскольку их политика целостности
содержит также компонент «Нет чтения». Это означает, что уровень целостности (IL)
процесса должен быть равен или выше, чем уровень целостности (IL) процесса или
потока, который данному процессу необходимо открыть, a DACL должен предоставить
ему доступ требуемых типов. Ниже предполагается, что DACL-списки разрешают
необходимый доступ. На Рис. 3.21.5 показаны варианты доступа процессов, работающих
со средним и низким IL, к другим процессам и объектам.
Процессы Объекты
Высокий Высокий
Процесс со
средним IL
Процесс с
низким IL
Чтение
Запись
Рис. 3.21.5. Доступ к объектам и процессам
267
Подсистема сообщений Windows также использует уровни целостности для реализации

UIPI, препятствуя отправлению процессом всех сообщений, кроме нескольких
информационных оконных сообщений, в окна, принадлежащие процессу с более
высоким уровнем целостности (EL). Эго позволяет предотвратить ввод в окна процессов с
повышенными правами процессами обычных пользователей и разрушение процесса с
повышенными правами отправкой ему неправильно сформированных сообщений,
вызывающих переполнение внутреннего буфера.
Проблема в том, что требования РД ФСТЭК России (выпущенных в начале 1990-х годов)
предусматривают контроль потоков данных на уровне ОС, применительно к запуску
любого ПО и только в отношении файловых операций. Соблюдение этих требований в
современных условиях порождает ряд проблем.
Во-первых, современные приложения открывают, как правило, не один файл, а
несколько: файлы конфигурации, файлы со вспомогательными данными и т.п. При этом
приложения могут быть построены таким образом, что для их корректной работы эти
вспомогательные файлы должны быть доступны на запись. В условиях, когда
функционирует полномочный доступ в режиме контроля потоков, система блокирует
запись данных в такого рода файлы, что модулем самодиагностики и контроля
исключений данного приложения может быть расценено как аварийная ситуация. Как
минимум, требуется дополнительная нетривиальная настройка приложений, чтобы они
могли относительно корректно работать в таких условиях.
Во-вторых, в настоящее время минимальной логической единицей хранения информации
является не обязательно файл. Это может бьггь запись в базе данных, письмо в почтовом
ящике корпоративной почтовой системы, и т.п. В этом случае разграничение доступа
реализуется уже не ОС, а соответствующим серверным приложением, в которое не всегда
технически возможно встроить дополнительные модули, реализующие полномочное
разграничение доступа, во всяком случае, среди сертифицированных СЗИ НСД подобных
модулей нет.
В-третьих, контроль потоков на уровне файловых операций позволяет блокировать
запись данных в неконфиденциальные файлы, и не в состоянии блокировать
несанкционированный перенос данных другими способами, например с использованием
прикладных интернет-протоколов, таких как FTP или HTTP.
В случаях, когда проявляются описанные проблемы, более целесообразно реализовывать
полномочный доступ не только и не столько средствами дополнительных СЗИ НСД, а
средствами системы электронного документооборота организации, заложив в
реализуемые бизнес-процессы контроль потоков уже на этапе проектирования системы.
Другой подход - заложить в функционирование приложений элементы системы
управления правами. В этом случае служебный заголовок файла (или записи в БД или
письма) содержит информацию о том, каким субъектам какие действия разрешены в
отношении содержащихся в файле (записи, письме) данных. Эта информация, равно как и
защищаемое содержание, зашифрована, и для получения доступа к ключам необходимо
обратиться на сервер управления правами, функционирующий в составе АС. Для
корректного функционирования системы управления правами, ее поддержка должна
бьггь встроена в прикладное ПО.
Подобное решение предлагает компания Microsoft: сервер Microsoft Windows Rights
Management Services (RMS) функционирует на платформе Windows Server 2003 или
Windows Server 2008 (в последнем случае он включен в состав дистрибутива для лицензии
Enterprise и называется Active Directory’ Rights Management Services (AD RMS)),
клиентская часть устанавливается на Windows 2000 (все версии), Windows ХР
Professional, и Windows Server 2003 (все версии), или входит в состав Windows Vista
(Business или Ultimate), Windows 7 и Windows Server 2008 (все версии кроме Core Edition),
в качестве прикладного ПО выступает Office 2003, Office 2007 или Office 2010.
Служба управления правами Active Directory ОС Windows Server 2008 предназначена для
защиты доступа к цифровым файлам организации. Данная технология безопасности
работает с самыми различными приложениями и используется для защиты веб-данных,
документов и почтовых сообщений.
Служба управления правами Active Directory (AD RMS) - это независимая от формата и
приложений технология, которая предоставляет службы, позволяющие создавать
решения для защиты данных. AD RMS работает со всеми поддерживающими данную
технологию приложениями для обеспечения политик постоянного использования для
секретных данных. Служба AD RMS может использоваться для защиты веб-узлов
интрасети, почтовых сообщений и документов. С помощью набора базовых функций
AD RMS разработчики могут добавлять функции защиты данных в существующие
приложения. В AD RMS для ОС Windows Server 2008 включено несколько новых
функций, которые ранее были недоступны в службе управления правами (RMS) Microsoft
Windows. Новые функции позволяют снизить накладные расходы на администрирование
AD RMS и расширить использование службы за пределы организации.
Защита доступа к цифровым файлам организации с помощью AD RMS
Обеспечение конфиденциальности и защита цифровых файлов - это сложная задача.
Традиционные решения в организациях защищают начальный доступ, используя
комбинацию технологий безопасности, размещаемых на периметре, для защиты важных
данных. Например, для защиты доступа к сети используются межсетевые экраны, доступ
к размещаемым на сервере секретным файлам ограничивается списками управления
доступом (ACL), а конфиденциальные почтовые сообщения могут быть зашифрованы
при передаче для предотвращения их подделки. Однако это может привести к утечке
информации и доступу к данным несанкционированных пользователей.
Несмотря на всю важность, эти формы защиты данных имеют один общий недостаток.
После получения предусмотренного (или непредусмотренного) доступа к данным
пользователь получает полную свободу при выборе способа их использования. Например,
он может одним щелчком мыши переслать почтовые сообщения всем (иногда
непредусмотренным получателям) или сохранить их на мобильном компьютере либо
USB-накопителе. А вдруг портативные устройства украдут? Пользователь может
записать данные на компакт-диск для работы дома, а затем неаккуратно хранить его или
потерять. Это может быть сделано как случайно, так и предумышленно, и происходит
подобное слишком часто, а риски слишком велики.
Служба AD RMS для Windows Server 2008 помогает защитить информацию от
несанкционированного использования. Технология защиты данных AD RMS работает со
всеми поддерживающими эту технологию приложениями для защиты данных от
несанкционированного использования. Владельцы содержимого могут точно определить,
как получателю разрешается использовать информацию, - например, указать, кто может
её открывать, изменять, печатать, переадресовывать или выполнять с нею другие
действия. Организации могут создать собственные шаблоны прав использования, такие
как «Конфиденциально - только для чтения», применимые непосредственно к
информации, например, к финансовым отчётам, техническим характеристикам
продуктов, данным о заказчиках и почтовым сообщениям.
Схема работы AD RMS
Алгоритм схемы работы AD RMS представлен на Рис. 3.21.6.
269
Рис. 3.21.6. Схема работы Active Directory Rights Management Services (AD RMS)
1. Автор получает сертификаты;

2. Автор использует права и правила для файла создает «Издательскую лицензию» для
файла и файл шифруется»;
3. Автор распространяет файл;
4. При открытии файла получателем, приложение соединяется с RMS сервером,
который проверяет пользователя и производит «Лицензию использования»;
5. Приложение при работе с файлом обеспечивает исполнение правил.
Получить более подробное представление о технологии Rights Management можно в
курсе Microsoft 2827 «Deploying Microsoft Windows Rights Management Service» или ее
реализации на базе Windows 2008 в курсе Microsoft 6426 «Configuring Identity and Access
Solutions with Windows Server 2008 Active Directory», а так же в авторском курсе УЦ
«Информзащита» БТ29 Безопасность «ОС Windows ХР/7/2008 R2».
Разграничение доступа к программному обеспечению
в режиме замкнутой программной среды
Замкнутая программная среда (ЗПС) - это «белый» список приложений, которые
пользователю разрешается запускать на компьютере. В этот список включаются все
компоненты ПО: исполняемые файлы, программные библиотеки, драйверы, оверлейные
модули, исполняемые сценарии, экранные заставки и т.п. Система должна обеспечивать
блокирование возможности использования программных модулей, не входящих в
«белый» список, а также исключать возможность внесения изменений в сами
программные модули, включённые в список.
Штатные средства Windows, позволяющие организовать работу в режиме замкнутой
программной среды, появились начиная с Windows ХР, где они фигурируют под
названием политики ограниченного использования программ (Software Restriction
Policies). Эти политики настраиваются среди прочих параметров безопасности в
групповых политиках Active Directory, что позволяет легко тиражировать указанные
настройки на большое количество компьютеров. Следует отметить, что эту функцию, во-
первых, не поддерживает Windows 2000, поэтому для ее реализации приходится искать
альтернативные решения, а во-вторых, процесс настройки ограничений ПО в групповых
270
политиках чрезвычайно трудоёмок: каждый модуль, включаемый в список, приходится

вносить вручную (выбрать с помощью стандартного системного диалога выбора файла,
при этом отсутствует возможность выделить и выбрать несколько файлов одновременно),
никаких штатных средств автоматизации также не предусмотрено.
Механизм Software Restriction Policies, встроенный в Windows начиная с ХР, может быть
задействован для контроля целостности содержимого любых файлов путём вычисления
хэш-функции от этих файлов (используется алгоритм MD5 или SHA1) либо путем
проверки ЭП для программных файлов (технология Authenticode; администратор может
подписывать любые файлы, воспользовавшись утилитой командной строки Signcode,
бесплатно загружаемой с сайта Microsoft). Контроль происходит в момент обращения к
файлам, при выявлении расхождений - доступ блокируется.
Как уже было сказано выше, использование механизмов Software Restriction Policies
затруднено неудобством настройки. Либо нужно добавлять в политику контрольную
сумму для каждого программного файла в отдельности, либо проверять запуск ПО по
сертификату вендора данного ПО. При разработке ПО собственными силами можно
воспользоваться для подписи программных файлов утилитой Signcode.
В составе Windows 7 и Windows Server 2008 R2 появилось новое приложение под
названием AppLocker, которое предназначено для замены Software Restriction Policies
(политики ограниченного использования программ). AppLocker содержит новые
возможности для контроля действий пользователей со стороны администратора. Данное
приложение позволяет контролировать, как пользователи могут использовать
исполнимые файлы, скрипты, файлы msi (файлы Windows Installer) и DLL.
Используя AppLocker можно:
■ определять правила, которые основываются на атрибутах файлов, таких как
электронная подпись, наименование производителя данного ПО, имени
файла, версии программного обеспечения;
■ определять правила для группы пользователей или индивидуального
пользователя;
■ создавать исключения из правил;
■ использовать правила в режиме «только аудит», для понимания сути
заданных изменений до их непосредственного применения;
■ импортировать и экспортировать правила.
AppLocker доступен во всех редакциях Windows Server 2008 R2 и в Windows 7 Ultimate и
Windows 7 Enterprise. Рабочая станция под управлением Windows 7 Professional может
использоваться для создания правил AppLocker, однако AppLocker не может применяться
на компьютерах под управлением Windows 7 Professional.
Различия между AppLocker и Software Restriction Policies приведены в Таблице 3.21.1.
271
Особенность Software Restriction Policies AppLocker
Применение правил Все пользователи Определённые пользователи или
группы
Применение правил Файл-hash, путь, сертификат, раздел Файл-hash, путь, издатель
реестра, правила зоны интернет
Типы правил Разрешить/Запретить Разрешить/Запретить
Правило по умолчанию Разрешить/Запретить Разрешить
Режим аудита Нет Да
Группировка правил Нет Да
Мастер для создания правил Нет Да
Импорт/Экспорт политик Нет Да
Поддержка PowerShell Нет Да
Сообщения об ошибках Нет Да
В AppLocker имеется новый мастер, упрощающий создание правил для указанной

пользователем папки. Запустив этот мастер и указав папку, содержащую ЕХЕ-файлы
приложений, для которых требуется создать правила, можно быстро и автоматически
создать политики AppLocker.
Следует иметь в виду, что наряду с настройкой замкнутой программной среды следует
внести и другие дополнения в рабочую среду пользователя: убрать из интерфейса все
элементы, провоцирующие пользователя на попытку запуска программ, не включённых в
состав ЗПС. В состав необходимых настроек входит запрет объектов на рабочем столе,
исключение с кнопки «Пуск» команд «Поиск» и «Выполнить», запрет отображения
общих групп программ. Это делается уже изменением стандартных настроек Windows
через групповые политики либо при помощи новой технологии Group Policy Preferences,
возможность применения, которой есть начиная с Windows ХР и выше. В групповых
политиках начиная с Windows Vista вы можете отредактировать в разделе Group Policy
Preferences меню Start на компьютере пользователя (Рис. 3.21.7).
Рис. 3.21.7. Настройка меню Start
Учебмъм ц ентр
272
Возможность управлять средой, в которой работает пользователь, относится к числу

основных достоинств системы групповых политик, и средства настройки меню Start
традиционно используются администраторами. Настройки групповой политики меню
Start находятся в разделе User ConfigurationAdministrative TemplatesStart Menu and
Taskbar.
Однако в этом методе не предусмотрена возможность установки базовой
предпочтительной конфигурации элементов. Кроме того, поскольку при использовании
настроек меню Start и панели задач возможности операционной системы, в сущности,
ограничиваются, а пользователи вынуждены принимать предложенные изменения,
некоторые считают данные настройки политики недостаточно гибкими.
С другой стороны, настройки Group Policy Preferences Start Menu, находящиеся в разделе
User ConfigurationPreferencesControl Panel SettingsStart Menu, представляют собой
предпочтительные установки, а это значит, что их можно рассматривать скорее как
рекомендации для пользователя. Если пользователям не нравятся предложенные
настройки меню Start, можно дать им возможность при желании изменять эти настройки.
Позднее можно отменить это право, используя параметр Apply once and do not reapply
соответствующего элемента Group Policy Preferences.
Кроме Software Restriction Policies (политики ограниченного использования программ) и
Applocker, реализация замкнутой программной среды включается в состав программной
части всех сертифицированных ФСТЭК России СЗИ НСД. Во времена однозадачных ОС
это было реализовано через формирование меню, с помощью которого пользователи
могли запустить только ограниченный перечень программ, при этом инструкции
запрещали включать в число пунктов меню программы типа Norton Commander,
позволявшие в свою очередь запустить что угодно. В современных многозадачных ОС, в
состав СЗИ НСД входит специальный системный драйвер, «отфильтровывающий»
обращения к программным компонентам, не включенным в список, ассоциированный на
данном компьютере с данным пользователем.
Дополнительная защита доверенной программной среды осуществляется либо
встроенными в СЗИ НСД средствами контроля целостности, на который ставятся модули,
включённые в список замкнутой программной среды для пользователя (при этом
приходится идти на определённый компромисс, чтобы такой контроль не занимал
слишком много времени и не отнимал слишком много системных ресурсов, притом, что
объем контролируемых данных достаточно велик —обычно вся папка Windows и
половина прикладного ПО, имеющегося на компьютере), либо контролем атрибутов
доступа - т.е. включённые в список файлы не должны быть доступны пользователю на
запись.
Задача регистрации событий, имеющих отношение к
безопасности. Оперативное оповещение о зарегистрированных
попытках несанкционированного доступа
Встроенные средства регистрации событий, связанных с безопасностью, имеются в
составе ОС Windows NT/2000/XP/2003 Server/Vista/7/2008 Server. Кроме того, наличие
средств регистрации событий безопасности является одним из требований РД ФСТЭК
России для сертификации СЗИ, поэтому все дополнительные СЗИ НСД содержат в той
или иной форме реализацию данного защитного механизма. Следует отметить, что в АС
под управлением ОС Windows 95/98 для реализации этого защитного механизма
необходимо применять дополнительные СЗИ НСД - встроенной подсистемы
регистрации событий там просто нет. Если же применяется СЗИ НСД для ОС Windows
NT/2000/XP/2003 Server/Vista/7/2008 Server, то реализованная в СЗИ регистрация событий
дополняет защитные механизмы уже встроенные в саму ОС. При этом программы
просмотра встроенных в СЗИ НСД журналов регистрации позволяют просматривать и
273
журналы Windows, а имеющаяся в Windows (начиная с Windows 2000) возможность

добавлять приложениям свои журналы формата EVT, дает возможность встроить
дополнительную регистрацию событий в СЗИ НСД более естественным образом. Кроме
того, журналы регистрации могут быть просмотрены штатными средствами Windows.
Впрочем, разработчики СЗИ НСД не отказываются от разработки собственных программ
просмотра журналов, насыщая их дополнительными сервисными возможностями,
облегчающими администратору безопасности анализ журналов.
Общая проблема применительно к любым журналам регистрации (как штатным, так и
дополнительным) заключается в том, что данные этих журналов по умолчанию
сохраняются на том компьютере, где регистрируются события. Эго дает возможность
злоумышленнику скрыть следы своих действий, если он, имея физический доступ к
компьютеру, загрузит ОС со сменного носителя и подменит файлы журналов. К тому же,
анализ журналов всегда происходит уже после инцидента, после того, как события
зарегистрированы.
Решение этих двух проблем состоит во внедрении системы сбора журналов регистрации в
некоторое централизованное хранилище. При этом целесообразно требовать от такого
рода систем максимальной оперативности передачи в это хранилище данных о
регистрации событий сразу же по мере их регистрации и оповещения оператора о
регистрации событий НСД.
Компания Microsoft использует новый формат событий начиная с Windows Vista.
Изменён как физический формат файла журналов событий Windows с EVT на XML, так
и логические поля, которые составляют каждое событие, пересылаемое в журнал. Так же
специалисты Microsoft полностью переработали все поля в описании каждого события.
В Windows 2003 были сохранены коды событий, унаследованные от Windows 2000
Server, но изменились события, которым они соответствовали, некоторые события были
объединены, и изменился порядок полей в описаниях. Компания Microsoft увеличила
число политик аудита (категорий) с 9 в Windows 2003 до 52 в Windows 2008.
Еще одно важное новшество, связанное с журналами событий Windows 2008 и Vista
функция перенаправления событий, благодаря которой в Windows впервые появляется
возможность автоматически пересылать события на другие серверы, где теоретически
можно централизованно управлять событиями. Сбор журналов из многих компьютеров -
гигантская задача, и метод на основе HTTP, применяемый в Windows 2008 для
перенаправления событий, годится только для малых массивов событий, определённых
очень узкими критериями.
Поэтому для крупных предприятий рекомендуется пользоваться дополнительными
специализированными продуктами.
Ниже представлены некоторые продукты, решающие данную задачу.
Службы AC S (Audit Collection Services)
Если учесть все новые возможности Windows Server 2008, реальное решение для
долгосрочного управления информацией журнала событий безопасности и ее архивации
лежит в создании централизованной базы данных информации аудита. Службы ACS
(Audit Collection Services) являются центральным компонентом System Center Operations
Manager 2007. ACS предоставляют механизм для пересылки, сбора, хранения и анализа
данных событий безопасности. События безопасности собираются почти в реальном
времени и сохраняются в центральном репозитории SQL. Службы ACS также дают
организациям метод предоставления доступа с минимальными полномочиями к
информации аудита, поскольку не требуют физического доступа к системам,
подвергающимся аудиту. Давайте рассмотрим, как работают службы ACS (Рис. 3.21.8).
У ACS имеются три основных компонента. Во-первых, служба пересылки, являющаяся
частью агента диспетчера операций (SCOM agent), передающей данные журнала событий
от клиента инфраструктуре служб ACS. Служба пересылки передаёт данные второму
компоненту, службе сбора (ACS Collector), являющейся прослушивателем на стороне
сервера. Службы пересылки ACS подключаются через порт 51909 TCP для безопасного
сообщения с назначенной им службой сбора. Перед пересылкой данные журнала событий
нормализуются в XML, что значит избавление от лишней информации и сведение
информации о событии в размеченные поля, основанные на заголовке конкретного
события и информации в его теле. После того, как информация достигает службы сбора,
она отсылается третьему и последнему компоненту - базе данных служб ACS (ACS
Database). Она становится хранилищем для долговременного хранения информации о
событиях безопасности. Сохранённую информацию можно извлекать напрямую через
запросы SQL или визуализировать при помощи отчётов HTML, использующих службы
отчётов SQL Server®.
Store Run -
events reports
Administrators
auditors
Puc. 3.21.8. Схема работы Audit Collection Services
С точки зрения производительности, единственная служба сбора ACS может обработать

максимум 100 ООО событий в секунду на пике и 2 500 событий в секунду постоянно. С
точки зрения планирования, единственная служба сбора ACS может поддерживать до 150
контроллеров доменов, 3 000 серверов доменов или 20 000 рабочих станций, основываясь
на параметрах политики аудита по умолчанию. В одном из реально протестированных
случаев около 150 контроллеров домена продемонстрировали максимум в, примерно, 140
событий в секунду с пиковым средним значением 500 000 событий в час. Всего лишь за
14 дней (время сохранения по умолчанию для служб ACS) в базе данных SQL Server
было сохранено свыше 150 ГБ данных событий безопасности. Более агрессивная
политика аудита и связанная с ней настройки SACL, будут, естественно, создавать еще
больше данных (в час, в день и в целом).
Здесь важно осознать, что при таком объёме данных ни один человек никогда не сможет
проверить каждое событие в типичной среде крупной корпорации. С другой стороны,
организации не должны бояться приведённых здесь чисел. Знание изменений,
происходящих в среде, достигается за счёт анализа больших объёмов данных.
Именно здесь службы ACS и находятся в своей стихии. С помощью служб отчётов SQL
Server и ACS можно превратить проблемы, обычно похороненные в журнале событий
безопасности, в нечто, опознаваемое так же легко, как и выделенные условными цветами
события в журнале событий приложений. Поскольку в состав служб ACS входит набор
отчётов по умолчанию, их несложно расширить для соответствия нуждам конкретной
среды.
У ч д б т II ц е н т р
275
В конечном итоге существуют альтернативные решения по управлению журналами от

независимых разработчиков. Можно, например, обратиться к статье на сайте журнала
Windows IT Pro «Технологии управления журналами событий»
(http://www.osp.ni/wm2000/2007/06/4473876/), а так же обзорам других авторов, например,
Диспетчеры журналов событий - № 08,2010 Windows IT Pro «Продукты для управления
журналами событий» (www.osp.ru/win2000/2010/08/13005146/) и «Обзор
диспетчеров журналов» № 01, 2010 Windows IT Pro
(www.osp.ru/win2000/2010/01 /13001656/).
В системах защиты информации от несанкционированного доступа тоже есть
функционал по сбору журналов, например:
Система защиты информации от несанкционированного доступа Secret Net 6
Имеющийся в составе системы сервер безопасности исполняет три основных функции:
централизованного хранения и распространения настроек, сетевой аутентификации,
дополняющей штатную аутентификацию в домене Windows, и сбора журналов
регистрации. В состав СЗИ, в рамках пакета программ для централизованного
администрирования, включены:
■ программа мониторинга, на которой отображаются оповещения о событиях
НСД, зарегистрированных на клиентских компьютерах, с указанием их
местоположения;
■ возможность просмотра журнала регистрации событий на компьютере (эта
информация должна быть предварительно внесена в систему);
■ возможность просмотра в пассивном режиме экрана указанного компьютера;
■ возможность блокирования консоли компьютера, дистанционного
выключения компьютер, отдачи команды на перезагрузку или завершение
сеанса работы пользователя.
Подсистема «Аккорд-РАУ»
Подсистема «Аккорд-РАУ» работает совместно с другими продуктами
ЗАО «ОКБ САПР», которые следует закупать отдельно. Ниже приводится выдержка из
страницы с описанием продукта на сайте www.accord.ru.
Подсистема «Аккорд-РАУ» - это ПО для автоматизации управления защитой
информации в АС. Она объединяет Автоматизированное рабочее место администратора
безопасности информации (АРМ АБИ) и пользовательские терминалы, оснащённые СЗИ
семейства «Аккорд».
С помощью АРМ администратор безопасности информации может выполнять
следующие функции:
■ оперативное наблюдение за работой пользователей, в рамках которого он
может:
- в любой момент времени получить информацию о том, кто работает на
данной станции, версию операционной системы, под управлением
которой идёт работа, список задач, которые выполняются на этой
станции в текущий момент времени;
- просматривать диски рабочих станций (до уровня файлов);
- просматривать все события подсистемы разграничения доступа со всех
станций в одном окне;
- при необходимости детального анализа работы одной станции, получать
все поступающие события в отдельное окно;
УчеДмьм центр
- выбрать только те рабочие станции или только те события, которые в
данный момент представляют особенный интерес;
- оперативно изменять уровень детальности журнала;
- просматривать экран выбранной рабочей станции;
■ оперативное управление работой пользователей, в рамках которого он
может:
- посылать пользователю сообщения;
- обмениваться с пользователем файлами;
- редактировать базы данных как в подсистеме разграничения доступа на
рабочий станциях, так и в АМДЗ;
- включать пользователю Screensaver, который может быть разблокирован
только ТМ-идентификатором АБИ;
- управлять «мышью» и клавиатурой рабочих станций;
- перезагружать рабочие станции;
■ централизованный сбор журналов регистрации СЗИ НСД Аккорд, который
позволяет АБИ получать как журналы подсистемы разграничения доступа с
рабочих станций, так и журналы АМДЗ (с возможностью их очистки):
- с выбранных рабочих станций;
- без обхода рабочих станций;
- систематизировано по соответствующим каталогам с делением по датам
сбора;
■ изменение списка зарегистрированных рабочих станций и серверов и их
параметров.
Подробности технической реализации не сообщаются. Постоянный адрес страницы с
описанием: http://www.accord.ru/Produkt/CPO/cpo_set.shtml.
Задача защиты от несанкционированной модификации программ
и данных
Защита от несанкционированной модификации (контроль целостности) программ и
данных встроена во все сертифицированные ФСТЭК России СЗИ НСД - наличие
реализации данного защитного механизма входит в требования РД Гостехкомиссии
России.
Все сертифицированные программные СЗИ НСД позволяют проверять целостность ПО и
данных либо по событиям, либо по расписанию. Различия в том, что именно и как именно
проверяется.
Кроме того, начиная с Windows 2000 средства контроля целостности встроены
непосредственно в ОС. Впрочем, подсистема Windows File Protection проверяет
исключительно файлы ОС (перечень ЭП для файлов ОС, подписанных Microsoft,
хранится в составе системы), настроить её на проверку каких-либо других программ и
данных невозможно.
Средство защиты ресурсов Windows (Windows Resource Protection/WRP) предотвращает
замену важных системных файлов, папок и разделов реестра, установленных в качестве
частей операционных систем Windows Server 2008 и Windows Vista. Приложения не
должны перезаписывать эти ресурсы, поскольку они используются системой и другими
277
приложениями. Защита этих ресурсов предотвращает сбои приложений и операционной

системы.
Задача защиты данных от несанкционированного копирования
и перехвата средствами шифрования
Встроенные в Windows штатные средства шифрования основанные на технолог™
Encrypting File System (Шифрующая файловая система) развиваются начиная с Windows
2000, постоянно совершенствуются и пополняются дополнительным функционалом. В
частности на текущий момент при передаче по сети между клиентами Windows Vista/7 и
Windows Server 2008 файлы защищённые посредством Encrypting File System (EFS)
передаются в зашифрованном виде с использованием протокола SMB v2. Благодаря
сотрудничеству между компанией «КриптоПро» и компанией «Microsoft» появился
новый интересный продукт «КриптоПро EFS».
ПО «КриптоПро EFS» предназначено для обеспечения защиты конфиденциальной
информации при ее хранении на персональном компьютере.
ПО «КриптоПро EFS» предназначено для использования совместно с СКЗИ «КриптоПро
CSP» версия 3.0 (ЖТЯИ.00015-01 30 01) и «КриптоПро CSP» версия 3.6 (ЖТЯИ.00050-01
30 01) в операционных системах Microsoft Windows XP/2003/Vista/2008/7/2008 R2.
«КриптоПро EFS» (при использовании совместно с «КриптоПро CSP») обеспечивает:
■ конфиденциальность информации хранящейся на компьютере шифрованием
файлов файловой системы NTFS по алгоритму ГОСТ 28147-89;
■ контроль целостности информации хранящейся на компьютере вычислением
имитовставки в соответствии с ГОСТ 28147-89;
■ организацию совместного доступа к данным зашифрованного файла
ограниченной группе пользователей;
■ организацию удалённой работы с защищёнными файлами, размещаемыми в
Web-папках (Web Distributed Authoring and Versioning - распределённая
система хранения файлов с доступом через Web или WebDAV);
■ возможность удалённой работы с зашифрованными файлами пользователей,
использующих Terminal Services для удалённого входа в систему;
■ восстановление данных в случае удаления пользователей из системы,
компрометации или утраты закрытого ключа пользователя.
Основные отличия КриптоПро EFS от встроенного в ОС Windows EFS:
■ использует российские стандарты криптографической защиты данных;
■ обеспечивает контроль целостности файлов;
■ предоставляет пользователю интерфейс для выбора текущего ключа
шифрования, ключа, по умолчанию используемого для шифрования файлов;
■ позволяет одновременно администрировать произвольное множество
защищённых файлов. Проверять целостность множества файлов,
производить одновременное перешифрование многих файлов.
КриптоПро EFS использует сертифицированное ФСБ России средство
криптографической защиты КриптоПро CSP 3.0 или 3.6.
Для шифрования разделов или всего диска начиная с Windows Vista получила развитие
технология BitLocker Drive Encryption. В Windows 7 она получила технологическое
развитие за счёт создания на её основе технологии BitLocker То Go, которая позволяет
шифровать данные на съёмных носителях. Но применение технологических решений на
базе BitLocker и BitLocker То Go сопряжено с тем, что в них на текущий момент не
Учей**ыи ц е н т р
278
поддерживается отечественная криптография, поэтому для этого могут применятся

средства сторонних разработчиков, например:
■ Семейство продуктов Secret Disk (разработчик - Компания «Aladdin R.D.»,
www.aladdin-rd.ru);
■ Семейство продуктов StrongDisk (разработчик - Компания «Физтех-Софт»,
www.strongdisk.ru);
■ СЗИ семейства Secret Net 5.0 и СКЗИ М-506А-ХР (разработчик - Компания
«Код безопасности», www.securitycode.ru);
■ ViPNet Safe Disk (разработчик - Компания «Инфотекс», www.infotecs.ru).
Такого рода программы осуществляют прозрачный доступ к данным, перехватывая
запросы на чтение файла пользователем, расшифровывающие файл и передавая уже
расшифрованный файл приложению. Точно так же перехватываются запросы на запись,
данные зашифровываются, и файл записывается на диск уже в зашифрованном виде.
Для шифрования трафика в Windows возможно применение целого комплекса
технических решений, например шифрования данных при помощи протоколов SSL/TLS,
VPN, Direct Access и IPsec это рассматривается в Разделе IV данного курса.
На текущий момент на этапе сертификации в ФСБ России находится очень интересный
продукт КриптоПро IPsec, он позволяет с использованием сертифицированной
отечественной криптографии решать следующие задачи:
■ защита соединения узлов корпоративной вычислительной сети (Site-to-Site
VPN);
■ защита подключения удалённых пользователей или малых офисов;
■ защита передачи конфиденциальной информации в ЛВС от нарушителей не
являющимися пользователями автоматизированных систем, но имеющим
доступ к ЛВС и/или нарушителей являющихся пользователями, но не
имеющих необходимых полномочий.
Управление средствами защиты
При выборе СЗИ НСД следует обращать внимание на наличие развитых средств сетевого
управления и контроля. Существует три основные схемы управления:
■ децентрализованное локальное управление («быстрые ноги») с консоли
самого защищаемого компьютера;
■ децентрализованное удалённое управление («длинные руки») в режиме
текстового или графического виртуального терминала защищаемой станции
на рабочем месте администратора;
■ централизованное управление («умная голова») всеми защитными
механизмами компьютеров с рабочего места администратора, как в реальном
времени, так и в отложенном режиме (при выключенных в момент выдачи
управляющих воздействий защищаемых компьютерах).
Microsoft предлагает целое семейство решений по управлению как аппаратными так и
программными платформами конфигурациями в рамках корпоративной сети. Оно
называется System Center, при необходимости можно воспользоваться решениями
сторонних разработчиков.
Вопрос о необходимости средств централизованного управления следует решать исходя
из соображений целесообразности, принимая во внимание количество защищаемых
компьютеров, их расположение и доступность, а также перспективы расширения
защищаемой АС. При этом с ростом АС неизбежно возникает ситуация, когда
279
использование средств удалённого сетевого управления или централизованного

управления становится жизненно необходимым.
Не все из включённых в государственный реестр сертифицированных СЗИ НСД
поддерживают возможность сетевого управления. Те из них, которые поддерживают
возможность сетевого управления, реализуют смешанную схему, включающую
возможность децентрализованного локального и децентрализованного удалённого
управления, либо смешанную схему, включающую в себя все три схемы управления.
Система, реализующая смешанную схему управления включающую удалённое
децентрализованное управление, должна иметь распределённую архитектуру: клиентское
ПО на защищаемых компьютерах и ПО оператора системы, обеспечивающее
отображение оповещений о событиях НСД и связь с клиентским ПО для чтения/записи
настроек дополнительных защитных механизмов. Возможен вариант, когда схема с
использованием сетевого управления не является основной, в этом случае агентское ПО,
устанавливаемое на защищаемые компьютеры, поддерживает в штатном режиме
возможность автономной работы, а ПО удалённого администрирования приобретается
дополнительно. Поскольку удалённое децентрализованное управление по определению
предполагает назначение настроек защитных механизмов отдельно для каждого
компьютера и каждого пользователя, часто такие системы включают в себя возможность
настройки по шаблону в той или иной форме, что облегчает управление.
По такой схеме построено сетевое управление в СЗИ Dallas Lock, «Блокхост-сеть» (в
обоих случаях модуль сетевого управления включён в комплект поставки) и Аккорд (ПО
«Аккорд-РАУ», реализующее сетевое управление ПАК «Аккорд», поставляется
дополнительно).
Система, реализующая смешанную схему управления средствами защиты, включающую
централизованное управление, должна иметь распределённую «клиент (агент)-
серверную» архитектуру, в которой центральным элементом является специальный
сервер безопасности (сервер управления доступом), а функции контроля и управления
на защищаемых компьютерах реализуют его специальные клиенты(агенты).
Возможен вариант интеграции управления дополнительными СЗИ НСД со штатными
средствами централизованного управления сетевыми ОС. По этому пути пошли
разработчики сетевой версии системы Secret Net 6: в качестве централизованного
хранилища настроек здесь используется Active Directory, а распространение настроек на
клиентские компьютеры производится с использованием групповых политик. Сетевая
версия системы Secret Net 6 —уникальное существующее на рынке на данный момент
решение такого рода, поэтому дальнейшее изложение назначения компонент системы
относится именно к этой СЗИ НСД.
Клиенты (агенты) на защищаемых компьютерах призваны обеспечивать:
■ нормальную работу дополнительных защитных механизмов компьютеров в
автономном режиме (при отсутствии возможности взаимодействия с
сервером безопасности по сети), что предполагает наличие на защищаемых
компьютерах локальных баз данных защиты, содержащих выдержки «в
части касающейся» из центральной БД, размещаемой в Active Directory
размещаемой на сервере безопасности (т.е. наличие распределённой базы
данных защиты);
■ поддержку централизованного как оперативного, так и «отложенного»
(осуществляемого в периоды неактивности данных компьютеров)
администрирования с рабочих мест администраторов безопасности штатных
и дополнительных защитных механизмов;
■ контроль за действиями пользователей и локальных администраторов,
оперативное (централизованное) оповещение сервера безопасности о
текущем состоянии данных компьютеров и о попытках НСД;
■ передачу на сервер безопасности журналов регистрации событий для их
централизованного анализа, хранения, архивирования и т.п.
Сервер безопасности, кроме работы с клиентами (агентами), должен обеспечивать
взаимодействие со средствами централизованного управления и оперативного
контроля, размещаемыми на компьютерах администраторов безопасности —
сотрудников подразделений технической защиты информации.
Изменение различных составляющих управляющей информации производится по-
разному. Одна часть информации корректируется централизованно (в групповых
политиках) с рабочего места администратора, другая —децентрализовано (в локальной
политике безопасности) с соответствующих рабочих станций. В локальной политике
безопасности доступны для корректировки только те параметры, которые не заданы через
групповые политики. Для параметров СЗИ действуют все те же правила наследования,
что и для стандартных настроек, назначаемых через групповые политики.
У чеб м ы и ц е н т р
281
Раздел IV.
Обеспечение безопасности
компьютерных систем и сетей
Тем а 22: П робл ем ы обеспечения безопасности в
ком пью терны х систем ах и сетях.
Тем а 23: Назначение, возмож ности и о сн о в н ы е защ итны е

м еханизм ы м еж сетевы х экранов.
Тема 24: А нали з содерж им ого п очтового и W e b -трафика
(Content Security).
Тем а 25: В и р туа л ьн ы е частны е сети.
Тема 26: Обнаруж ение и устранение уя зви м остей . Возм ож ности

сканеров уязви м остей .
Тем а 27: М ониторинг соб ы ти й безоп асности.
282
Раздел IV - Тема 22:

Проблемы обеспечения безопасности в
компьютерных системах и сетях
Типовая корпоративная сеть

В настоящее время корпоративные компьютерные сети играют важную роль в
деятельности многих организаций. Многие из них подключены к глобальной сети -
Internet. Если раньше сеть Internet объединяла небольшое число людей, доверявших
друг другу, то сейчас количество её пользователей неуклонно растёт и уже составляет
сотни миллионов. В связи с этим всё серьёзнее становится угроза внешнего
вмешательства в процессы нормального функционирования корпоративных сетей и
несанкционированного доступа с их ресурсам со стороны злоумышленников - так
называемых «хакеров».
В основе функционирования всемирной сети Internet лежат стандарты 1Р-сетей.
Огромный потенциал IP- и Internet-технологий только начинает использоваться. Всё
большую популярность приобретает технология передачи голоса поверх IP (Voice over IP,
VoIP), для связи между офисами всё шире применяются виртуальные частные сети.
Электронная коммерция из абстрактного понятия все более превращается в реальность.
Сеть организации может быть либо изолированной от внешнего мира (что очень
условно), либо может иметь соединение с другими сетями, например, с Internet. Типичная
конфигурация корпоративной сети представлена на Рис. 4.22.1.
Филиал
Внутренние
серверы
DMZ-1
Рис. 4.22.1 Типичная конфигурация сети организации
283
Подключаясь к сетям общего пользования, организация преследует определённые цели и

пытается эффективно решить следующие задачи:
■ обеспечить внутренним пользователям доступ к внешним ресурсам. Это, в
первую очередь, WWW - ресурсы, FTP - архивы и т.п.;
■ предоставить доступ пользователям из внешней сети к некоторым
внутренним ресурсам (корпоративному WEB - серверу, FTP - серверу и
т.д.);
■ обеспечить взаимодействие с удалёнными филиалами и отделениями;
■ организовать доступ к ресурсам внутренней сети мобильных пользователей.
Решая перечисленные задачи, организация сталкивается с рядом проблем, связанных с
безопасностью. Например, при обеспечен™ доступа пользователей к ресурсам Internet
возникает задача разграничения доступа. Предоставление всеобщего доступа к
внутренним ресурсам порождает угрозу внешних вторжений, имеющих целью получения
конфиденциальной информации или выведение из строя узлов внутренней сети. При
взаимодействии с удалёнными филиалами и мобильными пользователями по открытым
каналам возникает угроза перехвата передаваемой информации. Дополнительные
сложности при обеспечении безопасности вносит интеграция с сетевой инфраструктурой
мобильных технологий. Появление беспроводных сетей делает периметр сети всё более и
более «размытым». В целом, применительно к типовой конфигурации, угрозы
безопасности можно поделить на внутренние и внешние.
Уровни информационной инфраструктуры корпоративной сети

Корпоративная сеть - сложная система, состоящая из нескольких взаимодействующих
уровней (Рис. 4.22.2).
Уровень персонала
Уровень приложений
Уровень СУБД
У ровень ОС
Уровень сети
Рис. 4.22.2. Уровни информационной инфраструктуры
Такой подход является более общим, чем семиуровневая сетевая модель и охватывает все
составляющие корпоративной сети, а не только сетевые протоколы.
К уровню сети относятся используемые сетевые протоколы (TCP/IP, NetBEUI, IPX/SPX),
каждый из которых имеет свои особенности, уязвимости и связанные с ними возможные
атаки. Этот уровень является основой всей информационной инфраструктуры.
К уровню операционных систем (ОС) относятся установленные на узлах
корпоративной сети операционные системы (Windows, UNIX и т. д.). На этом уровне
рассматриваются особенности реализации того или иного механизма (протокола,
службы) в различных ОС.
Уровень ОС - основа для функционирования различных приложений.
У- i r f t ia n ц ентр
284
При этом уровень систем управления базами данны х (СУБД) рассматривается

отдельно, т.к. это, как правило, неотъемлемая часть любой корпоративной сети,
предназначенная для хранения в упорядоченном виде основной корпоративной
информации. Кроме того, СУБД по своей сложности сравнимы с операционными
системами, что предполагает их выделение в виде отдельного уровня.
Следующий уровень - это всевозможные приложения, используемые в корпоративной
сети. Эго может быть программное обеспечение Web-серверов, различные офисные
приложения, браузеры и т.п. В принципе, в прикладных программах и выражается
главная задача корпоративной сети, именно они «видны» конечному пользователю, но
для их успешной работы необходимы и нижележащие слои.
И, наконец, верхний уровень информационной инфраструктуры - пользователи и
обслуживающий персонал. При обеспечении безопасности корпоративной сети немалую
роль играют и организационные меры.
Иногда уровни приложений, СУБД и ОС объединяют и называют уровнем узла.
Уровень персонала
Уровень приложений Уровень узла
Уровень ОС
Уязвимости и их классификация
Введение
Наряду с понятием угрозы очень часто, когда речь идёт о сетевой безопасности,
используются понятия уязвимость и атака.
Уязвимость —это любая характеристика или свойство информационной системы,
использование которой нарушителем может привести к реализации угрозы.
Атака —это любое действие нарушителя, которое приводит к реализации угрозы путём
использования уязвимостей информационной системы.
Взаимосвязь определений иллюстрирует следующий рисунок:
285
Атака, использующая
Уязвим о сть, приводящ ая к реализации
уязвимость - запуск
угрозы, - особенность технологии
сетевого анализатора «Ethernet» - общая среда передачи
При обмене данными существует

I________ угроза их перехвата
При обмене данными по сети Ethernet существует угроза их перехвата. Уязвимость,

приводящая к реализации угрозы - особенность технологии Ethernet - общая среда
передачи. Атака, использующая данную уязвимость - запуск сетевого анализатора.
Далее уязвимости и атаки рассматриваются более подробно.
Источники возникновения уязвимостей

Уязвимости проектирования
Часть уязвимостей закладывается ещё на этапе проектирования. Например, для большей

части протоколов прикладного уровня стека TCP/IP не предусмотрено шифрования
передаваемой информации. В качестве иллюстрации можно привести протокол TELNET,
при использовании которого имя пользователя и пароль передаются по сети в открытом
виде. В каталоге CVE, о котором речь пойдёт дальше, эта уязвимость имеет индекс
«CAN-1999-0619».
CAN-1999-0619
Phase: Proposed (19990804)
Description:
The Telnet service is running.
Votes:
ACCEPT(2) Wall, Baker

REJECT(1) Northcutt
У чебмкм ц ентр
Это явный недостаток, заложенный на этапе проектирования. Решением в данном случае
может служить либо использование шифрования трафика на нижележащих уровнях, либо
отказ от использования протокола.
Некоторые уязвимости подобного рода трудно назвать недостатками, скорее это
особенности проектирования. Например, особенность технологии Ethernet - общая среда
передачи, приводящая к возможности прослушивания трафика.
Уязвимости реализации
Другая часть уязвимостей возникает на этапе реализации (программирования). К таким
уязвимостям относятся, например, ошибки реализации стека TCP/IP в различных ОС,
ошибки при написании приложений, приводящие к переполнению буфера и т.п.
Например, к этой категории относится уязвимость СУБД MSSQL Server, послужившая
причиной распространения червя Slammer.
CAN -2002-0649 (under review)
Multiple buffer overflows in SQL Server 2000 Resolution Service allow

remote attackers to cause a denial of service or execute arbitrary code
via UDP packets to port 1434 in which (1) a 0x04 byte causes the SQL
Monitor thread to generate a long registry key name, or (2) a 0x08
byte with a long string causes heap corruption.
BUGTRAQ:20020725 Microsoft SQL Server 2000 Unauthenticated System
Compromise (#NISR25072002)
URL: http ://marc.theaimsgroup.com/?l = bugtraq&m = 102760196931518&w=2
NTBUGTRAQ: 20020725 Microsoft SQL Server 2000 Unauthenticated System

Compromise (#NISR25072002)
URL: http ://marc. theaimsgroup. com/?l=ntbugtraq&m = l 0276047990241 l&w=2
MS:MS02-039
Уязвимости эксплуатации
И, наконец, уязвимости могут быть следствием ошибок, допущенных в процессе

эксплуатации информационной системы. Сюда относятся неверное конфигурирование
операционных систем, протоколов и служб, использование нестойких паролей
пользователей, паролей учетных записей «по умолчанию» и др. Ошибки подобного рода
очень разнообразны, некоторые из них также занесены в каталог CVE, как например,
следующая: пустой пароль пользователя sa.
CAN-2000-1209
Phase: Proposed(20020830)
Reference: BUGTRAQ:20000710 MSDE / Re: Default Password Database
Reference: XF:mssql-no-sapassword(1459)
Reference: URL:http://www.iss.net/security_center/static/1459.php
Учебным и ви тр
287
Description:
The "sa" account is installed with a default null password on (1) Microsoft SQL
Server 2000, (2) SQL Server 7.0, and (3) Data Engine (MSDE) 1.0, including
third party packages that use these products such as (4) Tumbleweed Secure
Mail (MMS) (5) Compaq Insight Manager, and (6) Visio 2000, are installed with
a default "sa" account with a null password, which allows remote attackers to
gain privileges, including worms such as Voyager Alpha Force and Spida.______
Классификация уязвимостей по уровню в инфраструктуре автоматизированной системы

Следующий вариант классификации - по уровню информационной инфраструктуры
организации. Этот вариант классификации показывает, что именно уязвимо.
К уровню сети относятся уязвимости сетевых протоколов - стека TCP/IP, протоколов
NetBEUI, IPX/SPX. Например, к этому уровня относится уже упоминавшаяся ранее
особенность протокола TELNET и других служб прикладного уровня - передача данных
в открытом виде.
Уровень операционной системы
Уровень операционной системы объединяет уязвимости Windows, UNIX, Novell и т. д.,
т.е. конкретной ОС. Пример: некорректная настройка механизма аутентификации,
разрешающая использовать пустые пароли.
На уровне баз данных находятся уязвимости Oracle, MSSQL, Sybase и других СУБД.
Например, неправильная настройка допусков к потенциально опасным хранимым
процедурам.
Уровень приложений
Этот уровень охватывает уязвимости прикладного программного обеспечения (текстовые
процессоры, «браузеры» и т. д.). Сюда относятся уязвимости программного обеспечения
WEB, SMTP-серверов и т. п. Например, уязвимость HTTP-сервера Internet Information
Server, приводящая к тому, что специальным образом сформированный запрос позволяет
просматривать содержимое каталогов сервера.
Классификация уязвимостей по степени риска
Часто уязвимости классифицируют и по степени опасности (критичности). Информация о
степени риска, связанной с той или иной уязвимостью в компьютерной системе являются
важным параметром для выполнения ряда повседневных задач специалиста по
информационной безопасности. На основе этих данных проводится анализ рисков,
связанной с уязвимостью в конкретной сети или информационной системе, и
соответственно - принимается решение о целесообразности и оперативности устранения
проблемы.
Как правило, степень риска присваивается уязвимости производителем системы, в
которой изъян был обнаружен, либо вендором, производящим средство защиты (сканеры
уязвимостей, системы обнаружения атак и т.д.).
Например, в базе данных XForce уязвимости имеют три уровня риска:
Высокий уровень риска
Уязвимости, позволяющие атакующему сразу получить доступ к узлу с правами
суперпользователя, а также уязвимости, делающие возможным обход межсетевых
288
экранов или иных средств защиты. Например, уязвимость Sendmail версии 8.6.5 делает
возможным выполнение команд операционной системы на почтовом сервере.
Средний уровень риска
Уязвимости, позволяющие атакующему получить информацию, которая с высокой
степенью вероятности позволит получить доступ к узлу. Сюда же относятся уязвимости,
приводящие к повышенному расходу ресурсов системы (так называемый «отказ в
обслуживании»).
Низкий уровень риска

Уязвимости, позволяющие осуществлять сбор критической информации о системе.
Например, уязвимость сервера Internet Information Server, позволяющая с помощью
специальным образом построенного запроса узнать внутренний IP-адрес сервера (имеется
в виду трансляция адресов).
Степень риска - взгляд Microsoft
Иногда выделяется - дополнительный четвертый уровень риска - критичные уязвимости.
Такого подхода придерживаются многие производители, например Microsoft в своих
уведомлениях об обновлениях программного обеспечения использует четыре уровня
критичности уязвимостей.
Степень риска Определение

Critical Уязвимость может быть использована для создания lnternet-«4epBH»,
распространяющегося без вмешательства пользователя.
Important Атака с использованием уязвимости может привести к снижению уровню
целостности, доступности или конфиденциальности данных пользователя
или целостности или доступности обрабатываемых ресурсов.
Moderate Возможность использования уязвимости затруднена различными
факторами, такими как настройки по умолчанию, детективные средства
защиты или сложность эксплуатации.
Low Использовать уязвимость очень сложно, либо последствия использования
минимальны.
С тепень риска - взгляд SANS

Однако степень риска, связанная с уязвимостью, может меняться с течением времени.
Одно дело - критичная уязвимость, о деталях использования которой известно только
специалистам компании-разработчика, другое дело - важная уязвимость, эксплойт для
которой общедоступен и работает как часы.
Чтобы учесть факторы, связанные с вероятностью эксплуатации уязвимости можно
ввести дополнительные условия. Например, SANS при анализе уязвимостей (SANS
Critical Vulnerability Analysis) присваивает критический уровень тем уязвимостям, для
которых существует общедоступный эксплойт и/или использование которых не требует
специальных навыков. Вот перечень факторов, рекомендуемых SANS при оценке степени
критичности уязвимости:
1. Распространенность уязвимой системы
2 . Уровень привилегий, получаемый нарушителем при использовании
уязвимости
3 . Конфигурация по умолчанию
4 . Степень важности уязвимой системы
5 . Доступность «эксплойта»
289
6. Сложность использования уязвимости (удалённо/локально и т. п.) Требуется

ли использование методов социальной инженерии (например, «жертва»
должна перейти по ссылке и т. п.)
В соответствии с этой оценкой SANS предлагает огопъ-таки 4-х балльную шкалу,
представленную в следующей таблице.
290
Степень риска Описание

ИННев! Уязвимости, найденные в конфигурациях по умолчанию или в
довольно распространённых системах. Результат их использования -
получение прав администратора на узле-объекте атаки. При этом
«эксплойт» общедоступен, не требуется привилегий для его
использования, не требуется применять методы социальной
инженерии.
High Уязвимость, подобная «Critical», для которой имеется хотя бы один
фактор, усложняющий её использование, например, требуется какой-
либо уровень привилегий.
Moderate Уязвимость, последствия использования которой не так значительны,
например, возможно получение доступа, но с минимальными
привилегиями, или требуется быть в одном сегменте с объектом атаки,
или уязвимость есть только в нестандартной конфигурации, или
использование уязвимости приводит лишь к выведению службы (узла)
из строя.
Low Уязвимость, последствия использования которой минимальны, или её
использование сильно затруднено (например, требуется физический
доступ к узлу). К этой же категории относится возможность получения
информации о системе (используемые версии служб, топология сети и
т. п.)
Руководствуясь информацией о критичности обнаруженной уязвимости, можно

планировать и оперативность её устранения. Например, SANS рекомендует следующее
время реагирования:
Степень риска Время реакции

Critical 48 часов
High 5 рабочих дней
Moderate 15 рабочих дней
Low По усмотрению администратора
Методика CERT
В некоторых случаях требуется более точная оценка уязвимости, выраженная численным
образом. Такая методика расчёта степени риска была предложена CERT. Методика,
используемая US-CERT [http://www.kb.cert.Org/vuls/html/fieldhelp#metric] предполагает
присвоение уязвимости степени риска в виде числового значения от 0 до 180 в
зависимости от следующих критериев:
■ Насколько доступна информации об уязвимости?
■ Зарегистрированы ли случаи использования уязвимости?
■ Подвержены ли уязвимости критичные для сети Интернет узлы?
■ Какое количество узлов сети уязвимо?
■ Каковы последствия использования уязвимости?
■ Насколько легко воспользоваться уязвимостью?
■ Каковы условия необходимые для использования уязвимости?
К сожалению, связь между условиями, их возможными значениями и результирующей
степенью риска формально не определена, что оставляет большой простор для
расхождений в оценках одной и той же уязвимости.
V
291
Common Vulnerability Scoring System

Более чёткие в числовом отношении принципы заложены в основу общей системы
оценки уязвимостей Common Vulnerability Scoring System (CVSS)
[http://www.first.org/cvss/]. Система CVSS предполагает разбиение характеристик
уязвимости на три группы:
■ базовые,
■ временные,
■ связанные со средой.
Для каждой из групп определен четкий набор параметров имеющих предопределенный
набор возможных значений. В результате применения методики для каждой из групп
получатся число в диапазоне от нуля до десяти.
Базовые характеристики уязвимости включают параметры, не изменяющиеся в течении
времени. Сюда входят:
■ Вектор эксплуатации (Access Vector),
■ Сложность использования (Access Complexity),
■ Требования к аутентификации (Authentication),
■ Последствия использования уязвимости с точки зрения целостности,
доступности или конфиденциальности (CIA Impact)
■ Последствия использования уязвимости с учетом подверженности
различных свойств информации (Impact Bias).
При оценке вектора эксплуатации определятся то, является ли данная уязвимость
локальной (Local) или удаленной (Remote). Сложность доступа может принимать два
возможных значения: высокая (High) (например - требуется вмешательство пользователя)
или низкая (Low). Параметр «Аутентификация» может принимать два значения: для
использования уязвимости требуется аутентификация (Required), либо нет (Not Required).
В случае если уязвимость может эксплуатироваться только локально, но не требует
дополнительной аутентификации - значение данного критерия приравнивается единице
(аутентификация не требуется).
При оценке последствий эксплуатации учитывается возможное влияние уязвимости на
целостность, доступность и конфиденциальность по трехбалльной шкале: влияние
отсутствует (None), частичное влияние (Partial), полное нарушение одного из свойств ИС
(Complete). Параметр Impact Bias может принимать одно из трех значений:
■ Normal - уязвимость в равной степени распространяется на все свойства ИС;
■ Confidentiality - уязвимость в большей степени затрагивает
конфиденциальность;
■ Integrity - уязвимость в большей степени затрагивает целостность;
■ Availability - уязвимость в большей степени затрагивает доступность.
Данный параметр введен для возможности приоритизации того или иного свойства ИС с
точки зрения выполняемых системой функций. Например, если уязвимость в
шифрующей файловой системе в равной степени затрагивает (полностью нарушает) и
конфиденциальность и доступность данных, конфиденциальности должен быть отдан
приоритет.
292
Каждому из полученных значений присваивается весовой коэффициент в соответствии с

приведенными ниже правилами:
AccessVector = case AccessVector of

local: 0.7
remote: 1.0
AccessComplexity = case AccessComplexity of

high: 0.8
low: 1.0
Authentication = case Authentication of

required: 0.6
not-required: 1.0
Conflmpact = case Confidentialitylmpact of

none: 0
partial: 0.7
complete: 1.0
ConflmpactBias = case ImpactBias of

normal: 0.333
confidentiality: 0.5
integrity: 0.25
availability: 0.25
Integlmpact = case Integritylmpact of

none: 0
partial: 0.7
complete: 1.0
InteglmpactBias = case ImpactBias of

normal: 0.333
integrity: 0.5
availability: 0.25
Availlmpact = case Availabilitylmpact of

none: 0
partial: 0.7
complete: 1.0
AvaillmpactBias = case ImpactBias of

normal: 0.333
integrity: 0.25
availability: 0.5
На основании этих данных происходит расчет базового значения по формуле:
BaseScore = round_to_l_decimal(10 * AccessVector

* AccessComplexity
* Authentication
* ((Conflmpact * ConflmpactBias)
+ (Integlmpact * InteglmpactBias)
+ (Availlmpact * AvaillmpactBias)))
Базовая оценка уязвимости представляет собой значение, сходное с возможными

последствиями эксплуатации уязвимости (Single Loss Expectancy, SLE) в классической
Г 'И
к
293
методике анализа рисков без учета ценности ресурса. Этот параметр может присваиваться
уязвимости производителем системы при выпуске обновления.
При оценке характеристик уязвимости, изменяющихся во времени используются такие
параметры как возможность использования (Exploitability), наличие возможности
устранения уязвимости (Remediation Level) и достоверность информации об уязвимости
(Report Confidence). Возможность эксплуатации оценивается по наличию информации об
использовании уязвимости или соответствующих программ. Этот параметр может
принимать следующие значения:
■ Unproven: методов использования не описан или носит теоретический
характер.
■ Proof of Concept: существует код (или информация), доказывающая
возможность использования уязвимости, но его нельзя использовать для атак
без модификаций.
■ Functional: существует работоспособный эксплойт.
■ High: существует червь либо полностью автоматическая программа,
использующая уязвимость.
Возможность устранения уязвимости оценивается в зависимости от наличия
официального (Official Fix), временного (Temporary Fix) исправления, устраняющего
уязвимость. При наличии рекомендаций по снижению степени риска данный параметр
принимает значение Workaround
Уязвимость может носить статус неподтвержденной (Unconfirmed), быть
подтвержденной несколькими независимыми источниками (Uncorroborated) или
производителем (Confirmed). Статус Confirmed уязвимость может получить и в случае
отсутствия реакции вендора, например, при наличии работоспособного эксплойта.
Полученным значениям присваиваются веса в соответствии с приведенными ниже
правилами, которые затем используются в формуле для модификации базового значения
риска.
Exploitability = case Exploitability of

unproven: 0.85
proof-of-concept: 0.9
functional: 0.95
high: 1.00
RemediationLevel = case RemediationLevel of

official-fix: 0.87
temporary-fix: 0.90
workaround: 0.95
unavailable: 1.00
ReportConfidence = case ReportConfidence of

unconfirmed: 0.90
uncorroborated: 0.95
confirmed: 1.00
TemporalScore = round_to_l_decimal(BaseScore * Exploitability

* RemediationLevel
* ReportConfidence)
Таким образом, значение TemporalScore отображает риски, связанные с уязвимостью в

динамике её жизненного цикла и учитывает текущую вероятность использования
Учебммцентр
294
уязвимости. С точки зрения классической модели анализа полученное число близко по

смыслу к показателю Annual Loss Expectancy (ALE).
Полученное значение может применяться в различных базах данных уязвимостей,
включая, например, базы сканеров безопасности.
Третья часть параметров позволяет учесть влияние уязвимости на конкретную
информационную систему. Учитываются два параметра:
■ Потенциальный ущерб от использования уязвимости (Collateral Damage
Potential)
■ Количество уязвимых систем (Target Distribution).
Потенциальный ущерб учитывает материальный либо косвенный ущерб, который может
понести ИС в случае проведения атаки с использованием уязвимости. Зарезервированы
значения Low, Medium и High. Количество уязвимых систем в ИС может принимать
следующие значения:
■ None - потенциальные цели атаки отсутствуют или присутствуют только в
непродуктивных системах;
■ Low - уязвимо до 15% всех систем;
■ Medium - уязвимо от 16% до 49%;
■ High - более 50% всех систем могут являться целью атаки.
Для учета полученных значений используется следующие весовые коэффициенты и
формулы:
CollateralDamagePotential = case CollateralDamagePotential of
none: 0
low: 0.1
medium: 0.3
high: 0.5
TargetDistribution = case TargetDistribution of

none: 0
low: 0.25
medium: 0.75
high: 1.00
EnvironmentalScore = round_to_l_decimal((TemporalScore + ((10 - TemporalScore)

* CollateralDamagePotential))
* TargetDistribution)
Далее приведён пример использования CVSS на примере уязвимости CVE-2005-4560

(MS06-001), так же известной как «WMF Bug» для сети, в которой присутствует около
15% рабочих станций под управлением Windows ХР. В общем доступе информация
появилась 27 декабря 2005 года (сообщение в список рассылки Bugtraq). Само сообщение
содержало ссылку на программу, использующую уязвимость для установки вредоносного
программного обеспечения. Поскольку не ясно, какие системы подвержены данной
уязвимости —расчет характеристик для сети не проводился.
Буквально через час появилась работоспособная версия эксплойта для Windows ХР в виде
модуля для Metasploit Framework. Наличие уязвимости было подтверждено, что привело к
повышению её временных характеристик Кроме того, на основе данных об уязвимых ОС
было рассчитано значение риска связанного с уязвимостью для конкретной сети.
295
Двадцать девятого декабря появилась более работоспособная версия эксплойта. Также

были опубликованы рекомендации по временному устранению проблемы, что
компенсировало рост временных характеристик риска. Кроме того, стало ясно, что
уязвимость может быть использована не только в Windows ХР, что увеличило
результирующее значение риска.
Пятого января компания Microsoft выпустила обновление, устраняющее уязвимость, что
привело к снижению степени риска. В дальнейшем, по мере установки обновлений на
компьютеры, значение риска будет снижаться. Результирующие подсчёты представлены
далее в таблицах.
Дата
2 7 .1 2 .2 0 0 5 2 0 :2 0 2 7 . 1 2 . 2 0 0 5 2 1 :3 4 2 9 .1 2 .2 0 0 5 0 5 .0 1 .2 0 0 6
A c c e s s V e c to r REMOTE REMOTE REMOTE REMOTE

A c c e s s C o m p le x ity HIGH HIGH HIGH HIGH
A u th e n tic a tio n NOT-REQUIRED NOT-REQUIRED NOT-REQUIRED NOT-REQUIRED
C o n fid e n tia lity Im p a c t COMPLETE COMPLETE COMPLETE COMPLETE
In te g rity Im p a c t COMPLETE COMPLETE COMPLETE COMPLETE
A v a ila b ility Im p a c t COMPLETE COMPLETE COMPLETE COMPLETE
Im p a c t B ia s NORMAL NORMAL NORMAL NORMAL
BASE SCORE 8,0 B.Q 8,0 8,0
E x p lo ita b ility PROOF-OF-CONCEPT FUNCTIONAL HIGH HIGH

R e m e d ia tio n L eve l UNAVAILABLE UNAVAILABLE WORKAROUND OFFICIAL-FIX
R e p o rt C o n fid e n c e UNCONFIRMED CONFIRMED CONFIRMED CONFIRMED
TEM PO RAL SCORE 6,5 7,6 7,6 7,0
C o lla te ra l D a m a g e P o te n tia l NONE MEDIUM MEDIUM MEDIUM

T a rg e t D is trib u tio n NONE LOW HIGH HIGH
0,0 2,1 S,1 »
Лежащая в основе CVSS методика позволяет легко оценить информацию об

существующих уязвимостях в информационных системах по различным критериям.
Использование доступного математического аппарата дает возможность адаптировать
методику под конкретные нужды.
В настоящий момент далеко не все производители используют CVSS для оценки риска
уязвимостей в своих продуктах. Однако простота использования позволяет на основе
общедоступной информации (например, уведомлений от производителя) рассчитать
необходимые значения.
Получение информации по уязвимостям

Общедоступные базы данных уязвимостей
Существует несколько крупнейших общедоступных баз данных, где можно найти
информацию об известных обнаруженных уязвимостях. Это, например:
www.iss.Net/security_center/search.php - компания InterNet Security Systems (ISS);
www.kb.cert.org/vuls/ - база данных координационного центра CERT;
www.sans.org - институт системного администрирования, сетевых технологий и защиты;

www.ciac.org/ciac/ - группа реагирования на инциденты в области компьютерной
ш У чебньм ц ентр
296
www.securityfocus.com/bid - информация об обнаруженных уязвимостях с подробными

пояснениями и группой новостей.
Каталог уязвимостей «CVE»
Com m on Vulnerabilities and Exposures (CVE) - это словарь, содержащий стандартные

названия для общеизвестных уязвимостей ГГ-систем. Проект CVE предоставляет
следующую информацию:
■ Исчерпывающий список известных уязвимостей
■ Уникальный индекс для каждой уязвимости
■ Анализ достоверности новых, только что опубликованных уязвимостей
Эта информация доступна по адресу http://cve.mitre.org. Для осуществления быстрого
поиска можно воспользоваться специальной поисковой машиной (CVE Vulnerability
Search Engine), доступной по адресу http://icat.nist.gov. Там же можно найти и достаточно
полную базу уязвимостей (свыше 5 тыс. записей), собранных из различных источников.
Основное назначение проекта CVE - обеспечение совместимости различных баз данных
уязвимостей и инструментов, использующих эти базы данных. Например, в приведённых
выше двух примерах уязвимостей используются обозначения компании ISS. Названия и
обозначения одних и тех же уязвимостей в различных базах могут отличаться.
П роцесс получения индекса CVE
Процесс получения индекса CVE (CVE entry) начинается с обнаружения уязвимости.

Уязвимости присваивается статус кандидата CVE и соответствующий номер (CVE
candidate number). После этого происходит обсуждение кандидатуры при помощи
механизма CVE Editorial Board и вынесение окончательного решения о получении
индекса CVE.
С кандидатом CVE ассоциируются номер, краткое описание и ссылки. Номер, также
называемый именем, состоит из года и уникального индекса, например, CAN-1999-0067.
После утверждения кандидатуры аббревиатура «CAN» заменяется на «CVE».
После получения статуса CVE entry уязвимости присваиваются номер, краткое описание
и ссылки, например, CVE-1999-0067. Далее приведен пример - уязвимость, приводящая к
выполнению произвольного кода в Microsoft Windows при обработке WMF файла.
297
AJAtr**tiqto"члкт«&-л!лЫ**
C V E -2 0 0 5 -4 5 6 0 **“ fitera' mnrrtfm
/of»y»uc»«Jif lv.~-'ЛГАП
(under review )
T h is is a c a n d id a t e f o r in c lu s io n in th e C V E l i s t w h ic h s t a n d a r d iz e s n a m e s fo r s e c u r it y
p r o b le m s . It m u s t be r e v ie w e d a n d a c c e p t e d by th e C V E E d ito r ia l B o a r d b e fo r e it c a n b e a d d e d
in to C V E . T h e r e f o r e , th is c a n d id a t e m a y b e m o d if ie d o r e v e n r e je c t e d in t h e f u t u r e ,
:N.ame iCVE~2QGS-4S60 (under nw«t)

Statu* €«*d*date ___
The Windows Graphical Device Interface library СGDI32. DU.) *» Microsoft Windows altows remote attackers ta execute arbitrary
code via з Wmdews Metafile (WMF) fomaX m aqe wrth a crafted 5ETAB0RTPRGC GDI Escape function c£ \. г&Ш&й to the Wwtfws
.Description |PiCtu?e ^ fd X viewer (SMtMCtVW.OU,), * deferent х ф ы ъ Ш у ih*n Cve-20!)S«2125 and СvE*2005-2124, *ar»d as ar^mally
discovered «i the wild on uflieftsee#>cdw.
• feUGTRAQi;20051227 15 this a new exploit?
• URL:h ttp ; / / * ww.secu n t yfecus,c«*n/*rchive/l/arehive/l/42C ^& 'iQ 0/Q /tftr*a4led
• 6UGTRAQ:200S1226 Ш \ H th'S A ft*w eMpitot?
• URL; http; //www .fiftcuiritvfescus.CtW^*rehive/l/arehive/l/42B36?/10D/D/thfedded
• 6UGTRAQ;20QS1227 СлрЮК«(юп of WsirdewS WMF Ж the web
• URL:http://www,secun tyfceus,со т / arc hive/l/archive/i/1 * 20352 /1Q0/0/thre#ded
» fiuGTRAQ: 20051228 fif: [Full*declosure] Someone wasted a nice bug on spyware.
• URL; http;//www.secu<ityfocus.с«n/*wthive/l/arfihivв /1/42035?/lOQ/O/threaded
• BUGTISAQ: 20051228 WMF Exploit
• <JKL: ht tp: //www.Secant уfocus.com/s6rchiye/l/archive/l/^2GaT8/100/0/thread^d
• eUGTRAQ:200S-1229 WMF exploit
• URL: http://w w w .sec9jntyfocus.ci»n/3rchivB/l/archive/l/420446/l0R/Cy'threa(led
• 6UGTRAQ: 20060103 WMF SETAfcORTPP.OC expl№i
• URL:http; //www.s ec-jrity focus .с onj/archive/I/archive/ 1/480664/ 100/0/th redded
• BUGTRAQ: 2006.0103 WMF round-up, updates arvd fte-mystification
• syЙ1; http: //www.sepurityfo^s.cwtt/archive/l/anchive/V'Ôb$ 2/ l 00/ 0/threv«Jed
• fcUGTRAQ: 2006010:5 £e: {funse-e] w Ш round’up, updates an4 tte-mvstjftcaiigri
• URL: http; //www.seciirityfocus .cw /erchive/l/e^htve/i/42& ^t y/lOQ/D/threaded
• 6UGTPAQ; 20060104 Another WMF e-spfoit workaround
• URL. http; / / « ww. secwnt yfocos.com/atchiv ©/l/archiv e / l/420773/l 0G/0/th râded
• MJSC:ht ср://ппдеЬ«* •onîperanael/fyrisee/ÔlSfi -jamj«ry/0024SS~ ht mf
• Ml^C:ht^p://www.f“seojre.com/*ebli3g/«rchives/archive-:i2200S;,htnnt*5SOQ0753
• >4t5€;http://*^.mcafeesecunfty ccmA>il/£sntenVv_l3??6rhtm __________
Часто используемые уязвимости («Тор 20»)

Кроме регулярного добавления в базу данных обнаруживаемых уязвимостей, появляются
и обзоры, где могут быть сгруппированы однотипные уязвимости (например, уязвимости
отдельного программного продукта). Кроме того, публикуются наиболее часто
используемые уязвимости. Самый известный источник таких данных:
http://www.sans.org/top20/. Там публикуется список, состоящий из 20-и наиболее
используемых уязвимостей. Список поделен на четыре части. Например, на момент
подготовки материала для данного руководства список содержал следующие элементы:
298
T o p V u l n e r a b i l i t i e s in W in d o w s S y s t e m s
W l. W in d o w s S e rv ic e s
W 2, In te rn e t E xp lo rer
W 3. W in d o w s Libraries
W 4. M ic r o s o ft O ffic e an d O u tlo o k E xp re ss
W 5. W in d o w s C o n fig u ra tio n W e a k n e s s e s
T o p V u l n e r a b i l i t i e s in C r o s s - P la t f o r m
A p p lic a tio n s
C l, B a c ku p S o ftw a re
C2. A n ti- v ir u s S o ftw a re
C3, P H P -b a s e d A p p lic a tio n s
C4, D a ta b a s e S o ftw a re
C5. File S h a rin g A p p lic a tio n s
C6. DNS S o ftw a re
C7. M e dia P la y e rs
CS, In s ta n t M e ss a g in g A p p lic a tio n s
C9. M ozilla an d F ire fo x B ro w se rs
C IO . O th e r C ro s s -p la tfo rm A p p lic a tio n s
T o p V u l n e r a b i l i t i e s in U N I X S y s t e m s
U l. UNIX C o n fig u ra tio n W e a k n e s s e s
U2. M a c O S X
T o p V u l n e r a b i l i t i e s in N e t w o r k in g
P r o d u c ts
N1. C is c o IO S an d n o n -IO S P ro d u c ts
N2. Ju n ip e r, C h e c k p o in t an d S y m a n te c P ro d u c ts
N3, C is c o D e v ic e s C o n fig u ra tio n W e a k n e s s e s _____________________
Классификация атак
Что касается сетевых атак, то их тоже можно классифицировать по различным
критериям. Правда, здесь нет такой чёткой картины, как с уязвимостями.
Классификация атак по целям
Один из вариантов классификации сетевых атак - по целям:
■ нарушение нормального функционирования объекта атаки (например, вызов
ситуации отказа в обслуживании)
■ получение контроля над объектом атаки (установка серверной части
«троянского коня»)
■ получение конфиденциальной и критичной информации (перехват сетевого
трафика и поиск в нём имён и паролей, передаваемых в открытом виде)
■ модификация и фальсификация данных (например, изменение
информационного наполнения Web-cepeepa)
Классификация по местонахождению нарушителя
Следующий возможный вариант классификации атак - по местонахождению
нарушителя:
■ в одном сетевом сегменте с объектом атаки, в этом случае могут быть
затронуты все уровни сетевой модели, включая канальный.
■ в разных сегментах с объектом атаки, в этом случае вектор атаки
распространяется на сетевой уровень и выше.
299
Атакующий и объект атаки

находятся в одном сегменте
Атакующий и объект атаки

находятся в разных сегментах
Маршрутизатор
Механизмы реализации атак

Наиболее важный и полезный вариант классификации атак - по механизмам их
реализации:
■ П ассивное прослуш ивание. Механизм, при котором со стороны
нарушителя не производится каких-либо активных действий (например, в
сеть не передаётся какой-либо подозрительный трафик). Поэтому
обнаружение таких атак - сложная задача. Пример: перехват трафика
сетевого сегмента и последующий поиск в нём конфиденциальной
информации. Кстати, один из методов сбора информации о сети (так
называемый «passive fngerprinting») основан на анализе перехватываемого
трафика. В этом случае цель - построить карту сети, сделать предположение
о роли в сети отдельных узлов, определить установленные на них
операционные системы.
■ П одозрительная активность. Этот механизм, как правило, используется
для сбора информации о предполагаемом объекте атаки. Но, в отличие о
предыдущего механизма, подразумевает какие-то действия со стороны
нарушителя. Пример: сканирование портов (служб) объекта атаки, попытки
определения операционной системы путём анализа стека TCP/IP, появление
в сети нестандартных пакетов (нетипичный размер, неиспользуемый
протокол и т. д.). Использование данного механизма в большинстве случаев
легко может быть обнаружено.
■ Б есп олезное расходование вы чи сли тельн ого ресурса. Для этого
механизма характерно отсутствие уязвимости, послужившей причиной атаки
(точнее говоря, причина здесь - особенность проектирования). Пример:
исчерпание ресурсов атакуемого узла путём выполнения многократных
подключений к нему с использованием ложного адреса отправителя. Часто
этот механизм называют «отказ в обслуживании».
■ Н аруш ен ие навигации (создание лож ны х объектов и м арш рутов).
Изменение маршрута сетевых пакетов таким образом, чтобы они проходили
через узел нарушителя, изменение соответствия информации различных
уровней стека TCP/IP (DNS-имен и IP-адресов, МАС-адресов и IP-адресов и
т.п.). Пример: ARPSpoofing (см. далее)
У чеб н ьш ц е н т р
300
■ В ы ведени е из строя. Механизм, направленный на выключение какой-либо

службы, вызов перезагрузки узла и т. п. В отличие от бесполезного
расходования вычислительного ресурса, здесь основная причина - ошибки
реализации (т. е. к выведению из строя приводят не многократные
подключения, а посылка специальным образом построенного запроса).
Пример: посылка запроса определённого типа на атакуемый узел,
приводящая к отказу узла или работающей на нём службы (Winnuke и др.)
■ Запуск кода на объекте атаки. При использовании этого механизма на
объекте атаки запускается программа (присутствующая в памяти или
загруженная с диска). Пример: запуск серверной части троянского коня,
передача управления враждебной программе путём переполнения стека,
выполнение вредоносного мобильного кода, встроенного в Web-страницу.
Далее рассматриваются примеры использования перечисленных механизмов.
Примеры атак
Перехват паролей к почтовым ящикам
Краткое описание: Запуск сетевого анализатора на узле, подключенном к сетевому
сегменту, в котором используется общая среда передачи. Перехват трафика и поиск в нём
пакетов, содержащих пользовательские пароли, передаваемые по протоколу POP3.
Цель: Получение конфиденциальной и критичной информации
М еханизм реализации: Пассивное прослушивание
Причина атаки (используемая уязвимость): Общая среда передачи (особенность

проектирования технологии EtherNet). Передача конфиденциальной информации в
открытом виде - недостаток проектирования протоколов прикладного уровня (например,
POP3).
Подробное описание: Технология Ethernet (точнее, метод доступа к среде передачи
CSMA/CD) предполагает использование общей среды передачи. Это означает, что любое
устройство, подключенное к сетевому сегменту, может слышать и принимать все
сообщения, в том числе предназначенные не ему. Сетевые адаптеры Ethernet могут
работать в двух режимах: селективном (non-promiscuous) и неселективном (promiscuous).
В первом случае, принимаются только сообщения, предназначенные данному узлу.
Фильтрация осуществляется на основе МАС-адреса фрейма. Во втором случае
фильтрация не осуществляется и узел принимает все фреймы, передаваемые по
сегменту1. Программа, которая переводит сетевой адаптер в неселективный режим и
записывает весь проходящий по сетевому сегменту трафик, называется сетевым
анализатором (или «сниффером»). Термин «сниффер» («нюхач») впервые был
использован компанией Network Associates в названии известного продукта «Sniffer (г)
Network Analyzer».
1 Более подробно сетевые анализаторы и способы их обнаружения рассматриваются в курсе «Безопасность

компьютерных сетей» (БТ03).
N*
301
Поэтому чтение почты по протоколу POP3 в сегменте, где общей средой передачи
пользуются несколько узлов, может привести к тому, что пароль пользователя будет
известен нарушителю. Поскольку часто пароль к почтовому ящику и пароль для входа в
сеть (домен, Active Directory) совпадают, нарушитель получает полный контроль над
учётной записью данного пользователя.
Определение операционной системы узла
Краткое описание: Использование утилиты Nmap для определения операционной
системы узла (использование механизма опроса стека TCP/IP).
Цель: Получение критичной информации.
Механизм реализации: Подозрительная активность
Причина атаки (используемая уязвимость): Ошибки обслуживания. Параметры стека

TCP/IP не настроены должным образом (с цепью затруднить идентификацию ОС
критичного узла).
Подробное описание: Различные ОС при работе в сети по-разному реагируют на один и
тот же запрос. Исследовав особенности реакций на запрос ОС, версии которых заранее
известны, можно набрать определенную статистику, сопоставив реакции на запрос с
типом ОС. Этот метод называется также «ТСРЛР Stack FingerPrinting».2 Определение
типа и версии операционной системы узла является весьма актуальным на начальном
этапе сбора информации. Чем точнее будет определена ОС тестируемого узла, тем
эффективнее будут дальнейшие действия нарушителя. Впервые такой метод определения
ОС был реализован в утилите Nmap.
2 Более подробно методы определения ОС удалённого узла рассматриваются в курсе КП20 «Анализ защищённости
сетей».
Атака SynFlood
Краткое описание: Посылка большого числа запросов на установление ТСР-соединения
с узлом. При этом адрес источника задаётся случайным образом.
Цель: Нарушение нормального функционирования объекта атаки
Механизм реализации: Бесполезное расходование вычислительного ресурса
Используемые уязвим ости: Особенности схемы установления соединения по протоколу
TCP.
Подробное описание: В случае получения запроса на соединение система отвечает на
пришедший SYN-пакет SYN/ACK-пакетом, переводит сессию в состояние
SYN RECEIVED и заносит ее в очередь незавершённых соединений. Если в течении
заданного времени от клиента не придет АСК (третий пакет в схеме установления
соединения), соединение удаляется из очереди, в противном случае соединение
переводится в состояние ESTABLISHED (установлено).
303
Сервер
Если очередь незавершённых соединений заполнена, а система получает очередной SYN-

пакет (запрос на установление соединения), он будет проигнорирован.
Эта особенность используется для «затопления» системы SYN-пакетами. Обычно
используются случайные (фиктивные) обратные IP-адреса при формировании пакетов,
что затрудняет обнаружение злоумышленника.
19 2 16 8 3 2 10 1
ави>
1 9 2 1 6 8 .3 2 1 0 2 ,
SVN
-gflttftCK,
»
о
е
192.168.32.105
1—SVW Очередь
незаверш ённых
соединений
(backlog queue)
S Y N _ R E C E IV E D 192.168.32.101
S Y N _ R E C E IV E D 192.168.32.102
S Y N _ R E C E IV E D 192.168.32.103
■ ■ ■
SYN_RECEIVED 192.168.32.105
| I Информзащита
304
Атака «ARP-Spoofing»
Краткое описание: Нарушение соответствия между IP-адресами и MAC-адресами путём
добавления ложных записей в ARP-таблицу. Это позволяет прослушивать трафик в
коммутируемых сетях.
Цель: Получение конфиденциальной и критичной информации
Механизм реализации: Нарушение навигации

И спользуемые уязвимости: Особенности проектирования протокола ARP и его
реализация в различных ОС
Подробное описание: Большинство ОС добавляют в ARP-таблицу новую запись на
основе полученного ответа даже без проверки того, был ли послан запрос (единственное
исключение - ОС Solaris).
Таким образом, нарушитель может отправить ARP-ответ, в котором вы качестве
искомого будет указан MAC - адрес нарушителя, сразу двум узлам. При обмене данными
трафик между этими двумя узлами будет проходить через узел нарушителя.
223.1.2.1 16 31
Тип сети Тип исслед. протокола
LH A | LPA Тип действия
MAC адрес отправителя=
несущ ествую щ ий IP-адрес отправителя=
=223.1.2.1 M AC адрес получателя=
Объект =адрес объекта атаки

атаки
IP-адрес получателя адрес объекта атаки
Нарушитель
Практическая реализация описанного механизма - программа CainSAbel.

Переполнение буфера
Переполнение буфера - достаточно объёмная тема, выходящая за рамки данного курса. В
качестве иллюстрации далее приводится простейший пример:
Запуск следующей программы и подача на вход переменной размером более ста
символов вызовет ситуацию переполнения стека.
#include <stdio.h>
int test(char *big)
305
char buffer[100]; // переполняемый буфер

strcpy(buffer,big); 11переполнение буфера
return 0;
}
int main (int argc, char *argv[])
{
char big[l 024];
gets(big); // ввод строки
test(big); // вызов уязвимой функции
return 0;
}
Для проверки (в среде Windows 2000, например) достаточно посмотреть файл
«DrWatsonlog» и найти в нём содержимое стека.
Ошибка обработки WMF-файлов (CVE-2005-4560)
В качестве примера атаки, результатом которой является выполнение произвольного кода
на узле - объекте атаки, можно привести использование крупнейшей в истории Windows
уязвимости —ошибки обработки WMF-файлов. Уязвимость присутствует в одной из
функций библиотеки GDI32.DLL, относится к категории ошибок проектирования и
приводит к запуску произвольного кода на узле - объекте атаки в процессе обработки
специальным образом построенного WMF-файла.
W MF-файл
л п
Д .
GDI32.DLL
О
Выводы
Итак, выше были рассмотрены уязвимости с вариантами их классификации и механизмы
реализации атак. Поскольку атака - это следствие наличия уязвимости, очень важным
моментом в защите сетей является процесс поиска и устранения уязвимостей. Уязвимости
проектирования в большинстве случаев не могут быть устранены напрямую, можно лишь
косвенно снизить их влияние. Уязвимости реализации устраняются путём получения и
установки соответствующих исправлений. И, наконец, устранение уязвимостей
обслуживания - это правильная настройка защитных механизмов.
Статистику использования уязвимостей можно найти по адресу: http://isc.incidents.org/
У ч е б н ы ! центр
Средства защиты сетей
При размещении в сети средств защиты удобно применять то разбиение на уровни,
которое было предложено выше (уровень сети, уровень узла)
Для защиты корпоративной сети необходимо использовать комплекс средств
безопасности, реализующий основные защитные механизмы и состоящий из следующих
компонентов:
■ Средства защиты периметра (межсетевые экраны, VPN-шлюзы,
антивирусные средства сетевого уровня), являющиеся первой линией
обороны и реализующие комплекс защитных механизмов, называемый
защитой периметра. Эта группа средств работает на уровне сети.
■ Средства, реализующие стандартные защитные механизмы (идентификация,
аутентификация, разграничение доступа и т. д.). Фактически, имеется ввиду
использование тех защитных механизмов, которые встроены в
операционные системы, СУБД, приложения. Эти средства используются как
на уровне сети, так и на уровне узла.
■ Средства анализа защищённости, позволяющие оценивать эффективность
работы имеющихся средств защиты и выявлять уязвимости узлов,
протоколов, служб. Эти средства также используются на уровнях сети и
узла.
■ Антивирусные средства уровня узла
■ Средства обнаружения атак, осуществляющие непрерывный мониторинг
сетевых сегментов и отдельных узлов в реальном режиме времени.
Далее рассматриваются примеры средств, относящихся к каждой из упомянутых
категорий.
307

Назначение , возможности, и основные
защитные механизмы межсетевых экранов
Введение
Периметр сети - это граница, отделяющая внутреннюю (доверенную) сеть от внешних
(недоверенных, un-trusted) сетей. Периметр - это первая линия защиты от внешних угроз.
Для зашиты периметра используются следующие средства:
■ Межсетевые экраны (МЭ)
■ Антивирусные системы сетевого уровня
■ Устройства для построения виртуальных частных сетей (Virtual Private
Network, VPN)
■ Системы противодействия атакам
Периметр может состоять из одного или нескольких МЭ и набора контролируемых
серверов, расположенных в так называемой демилитаризованной зоне (demilitarized zone,
DMZ). DMZ обычно содержит почтовые серверы, Web-серверы, там же могут бьггь
расположены и антивирусные средства сетевого уровня.
ФИ1
Защита периметра - это контроль взаимодействия внутренней сети с внешними сетями. В

рамках защиты периметра решаются следующие задачи:
■ Фильтрация трафика
■ Построение VPN
■ Антивирусная защита
■ Противодействие атакам
■ Анализ содержимого трафика
■ Защита от СПАМа
■ Контроль беспроводных устройств
МЭ - основные сведения
Механизмы защиты, реализуемые МЭ
Межсетевой экран (МЭ) —это специализированное программное или аппаратное (или
программно-аппаратное) средство, позволяющее разделить сеть на две или более частей и
реализовать набор правил, определяющих условия прохождения сетевых пакетов из
одной части в другую.
МЭ, установленные в точках соединения с сетью Интернет, обеспечивают защиту
внешнего периметра сети предприятия и защиту собственных Intemet-cepBepoB, открытых
для общего пользования (расположенных в DMZ), от несанкционированного доступа.
Вот основные механизмы защиты, реализуемые МЭ:
■ Фильтрация сетевого трафика
■ Трансляция адресов
■ Шифрование (создание VPN)
Кроме того, МЭ могут обеспечивать и дополнительные механизмы защиты, например:
■ Аутентификация (дополнительная)
■ Противодействие некоторым сетевым атакам (наиболее распространённым)
Основная функция МЭ - фильтрация сетевого трафика. Она может осуществляться на
любом уровне модели OSI. В качестве критериев может выступать информация с разных
уровней: адреса отправителя/получателя, номера портов, содержимое поля данных.
Фильтрация сетевого трафика
Это основная функция МЭ. В самом общем понимании фильтрация —это проверка
сетевого трафика на соответствие каким-либо критериям. Это может быть определённое
сочетание флагов в заголовке TCP-пакета или адрес отправителя IP-датаграммы. Могут
использоваться и более сложные критерии, например, размер файла, передаваемого по
FTP или содержимое почтового сообщения.
У чеб н ы й Мвитр
309
Критерии ф ильтрации
IP-адрес отправителя
IP-адрес получателя
TCP/UDP-порт отправителя
TCP/UDP-порт получателя
Другие критерии
Правила ф ил
С егм ент 1
Сегмент 2
Э то о сновная функция МЭ!
Фильтрация трафика может бьггь выполнена на разных уровнях сетевой модели OSL, т. е.
с использованием критериев разных уровней. Рассматриваемые далее типы МЭ
отличаются друг от друга именно тем, как они выполняют фильтрацию трафика.
Трансляция адресов
Трансляция адресов - ещё один важный защитный механизм, реализуемый МЭ.
Трансляция адресов - это замена в заголовке IP-пакета адреса отправителя или
получателя при прохождении пакета через МЭ. При этом часто требуется заменять
информацию не только сетевого, но и транспортного уровня (номера портов). Кроме того,
для корректной работы некоторых служб прикладного уровня требуется заменять и
содержимое поля данных.
Существует несколько разновидностей трансляции3, две из которых наиболее
распространены:
Статическая (двунаправленная);
Динамическая (трансляция адресов-портов).
При использовании статической трансляции устанавливается взаимно однозначное
соответствие между внутренним адресом ресурса и его внешним адресом. Это
соответствие не меняется всё время работы устройства, выполняющего трансляцию.
Обычно такой способ используется для обеспечения доступа снаружи к внутренним
узлам, имеющим произвольные (незарегистрированные) адреса.
Более подробно трансляция адресов рассматривается в курсе «Применение межсетевых экранов для защиты
корпоративных сетей» (код курса БТ06).
310
Внешняя сеть 192.168.0.110
193.233.69.129
S o u rce A dd re ss=1 93 .23 3 .69 .12 9
D e s tin a tio n A d d re s s = 1 94.100.203.11Q
S o u rc e A d d re s s = 1 9 4 .1 00 50 3 .1 1 0 S o u rce A d d r e E 8 = 1 92.168.0.110
D e s tin a tio n A d d re s s = 1 935 33 .69 .12 9 О О D e s tin a tio n A d d re s s = 193.233.69.129
194.100.203.110 <=> 192.168.0.110
Внутренняя сеть
Динамическая трансляция (трансляция адресов-портов) предусматривает только

исходящие соединения, инициируемые из внутренней сети. При этом достаточно иметь
только один зарегистрированный адрес (обычно это внешний адрес устройства,
осуществляющего трансляцию), чтобы обеспечить доступ в Internet всей внутренней сети.
192 168 0.110

Внешняя сеть
193.233.69.129
S o u rc e A d d re s s = 1 9 4 .1 00503.1 1026 S o u rce A d d re s s = 1 92.168.0.110 1306
D e s tin a tio n A ddress=1 93.233.69.129 80 D e s tin a tio n A ddress=1 93 .23 3 .69 .12 9 80
S o u rce A d d re s e = 1 93.233.69.129 S o u rc e A d d re ss= 193.233.69,129
D e s tin a tio n A d d re s s = 1 9 4.100503.1 D e s tin a tio n A d d re ss= 1 9 2 .1 6 8 .0 .1 10
194.100.203.1 192.168.0.110
192.168.0.111
Внутренняя сеть
Использование одного и того же адреса вносит неоднозначность. Возникает вопрос,

какому внутреннему узлу передать пришедший от внешнего узла ответ? Установление
У ч с б ш » ц ен тр
311
взаимно однозначного соответствия возможно путём использования информации

транспортного уровня, например, номера порта.
Трансляция адресов позволяет скрыть структуру внутренней сети и решить проблему
нехватки адресов. Вместе с тем, трансляция адресов нарушает прозрачность
взаимодействия сетевых узлов и может мешать работе приложений, использующих
несколько независимых соединений (часть из которых - встречные) или обменивающихся
данными, внутри которых фигурируют 1Р-адреса.
Шифрование трафика
Наряду с фильтрацией трафика и трансляцией адресов, МЭ могут шифровать
проходящий через них сетевой трафик. Как правило, шифрование выполняется на
сетевом уровне, т. е. шифруются IP-пакеты.
Незашифрованный
трафик
Эта функция МЭ используется для построения на их основе так называемых виртуальных

частных сетей (см. далее). Т. е. МЭ используются в качестве VPN-шлюзов.
Классификация МЭ
Введение
Существует несколько критериев, используя которые можно поделить МЭ на группы.
Например, по способу реализации можно поделить МЭ на программные и программно
аппаратные, по защищаемым объектам - периметровые и персональные.
312
Однако основным критерием классификации МЭ является уровень сетевой модели OSI,

на котором МЭ осуществляет перехват трафика. Согласно этому варианту классификации
различают следующие типы МЭ:
Мостовые МЭ
пакетные фильтры;
шлюзы уровня соединения (circuit-level gateway);
шлюзы прикладного уровня (application-level gateway);
Последние два типа МЭ используют технологию «Proxy», которая предусматривает
наличие «посредника» между двумя взаимодействующими узлами.
П акетны е ф и л ь тр ы
Процесс фильтрации пакетов основан на проверке содержимого их заголовков.

Пакетные фильтры осуществляют анализ информации сетевого и транспортного уровней
модели OSI. Это сетевые адреса (например, IP) отправителя и получателя пакета, а также
(хотя и необязательно) номера портов отправителя и получателя пакета.
as У чебны м ц е н т р
313
Обычно пакетные фильтры организуются на маршрутизаторах. При этом используются

штатные средства самих маршрутизаторов или операционных систем. В частности,
маршрутизаторы Cisco, BayNetworks и других производителей снабжены функциями
сетевой фильтрации.
Пакетный фильтр iptables в ОС Linux
Ядро ОС Linux имеет встроенные возможности фильтрации пакетов, а утилита,
облегчающая процесс настройки, называется iptables (ядра версий 2.4.x). Структура
пакетного фильтра iptables изображена на рисунке:
314
i
Цепочка Цепочка
«Forward» «Output»
Решение о
маршрутизации forward Решение о
маршрутизации
1/
Цепочка
xPrerouting»
1
i Цепочка
«Postrouting»
Сетевой Сетевой Сетевой

. . .
Адаптер 1 Адаптер 2 Адаптер N
Цепочка фильтрации - это список правил. Вот функции цепочек фильтрации:

■ цепочка InPUT занимается фильтрацией пакетов,
адресованных данному узлу
■ цепочка OUTPUT занимается фильтрацией пакетов,
сгенерированных данным узлом
■ цепочка FORWARD занимается фильтрацией пакетов,
проходящих транзитом.
Более подробно схема работы цепочек фильтрации при прохождении транзитного
трафика приведена на следующем рисунке:
У чебн ы м и л м гр
315
Т р ан спор тны й ур ове нь
Кроме этого, имеются модули трансляции адресов. До маршрутизации срабатывает

цепочка PREROUTInG, а после маршрутизации - POSTROUTInG. В этих цепочках,
кроме обычных правил фильтрации, могут присутствовать правила трансляции адресов.
Краткое описание каждой цепочки приведено в таблице:
PREROUTInG Пакет фильтруется на этой цепочке до того, как будет принято

решение о его маршрутизации. Это самое удачное место для
размещения проверок пакета на правильность. Еще в этой цепочке
возможна замена адреса получателя.
InPUT На этой цепочке фильтруются пакеты, прошедшие маршрутизацию
и предназначенные данному узлу.
FORWARD На этой цепочке фильтруются пакеты, прошедшие маршрутизацию
и п р ед н азн ачен н ы е д л я п ер ед ачи в след ую щ и й сегм ен т.
OUTPUT Через эту цепочку проходят пакеты, сгенерированные на данном
узле, до того, как будет принято решение об их маршрутизации.
POSTROUTInG Пакет фильтруется на этой цепочке после того, как он прошел
маршрутизацию, и непосредственно перед тем, как он будет
отправлен в сеть. В этой цепочке необходимо размещать правила
преобразования адресов отправителя. (SnAT и MASQUERADE).
Достоинства и недостатки пакетных фильтров
Достоинства пакетных фильтров:
■ Низкая стоимость
■ Прозрачность для приложений
■ Небольшая задержка прохождения пакетов
Недостатки пакетных фильтров:
■ «Открытость» (маршрутизируемое^) внутренней сети
■ Сложность конфигурирования правил фильтрации
■ Отсутствие дополнительных механизмов защиты (аутентификация и т. д.)
316
■ «Статичность», отсутствие контроля соединения

Иллюстрация статичности пакетных фильтров
Статичность означает, что пакетный фильтр манипулирует отдельными пакетами, не
учитывая при этом принадлежности пакета к какому-либо соединению, ни, тем более,
сопоставляя данные нескольких (взаимосвязанных между собой) соединений.
Следующий пример, иллюстрирует этот основной недостаток пакетных фильтров. Если
правила разрешают обращение по протоколу UDP из внутренней сети, то для нарушителя
достаточно задать «правильный» порт источника, чтобы подключиться на порты 1024 и
выше.
Протокол
Узел- Узел-
№ Действие Порт Порт Флаги T C P Комментарий
источник получатель
Опции IP
1 Разрешить 200.1.1.0/24
1024 * 53 U DP
-6 5 5 3 5
2 Разрешить * 53 200.1.1.0/24
1024-
UDP
«5535
Подключение к портам 1024-65535 /
..................................... -
Internet ■
Сеть 200.1.1.0/24
С протоколом TCP ситуация в целом лучше, чем с UDP, но проблема остаётся.

Например, правила в следующей таблице обеспечивают возможность отправки почты с
помощью внешнего SMTP-сервера.
r ' /h 'k
У чвймым ц е н т р
317
Узел- Узел- Флаги T C P

№ Действие Порт Порт Комментарий
источник получатель Опции IP
1024- *
1 Разрешить 200.1.1.0/24 -6553Е 25 TCP
* 1024 TCP
2 Разрешить 25 200.1.1.0/24
-65535 АСК=1
Запрос - срабатывает правило 1
Ответ - срабатывает правило 2
Внутренняя сеть 200.1.1.0/24
При этом соединения разрешены только изнутри, но прохождение ответов с 25-го порта
(с любого внешнего узла) разрешено, даже если не было запроса. Таким образом,
нарушитель может посылать большое количество ответов, создавая тем самым ситуацию
бесполезного расходования вычислительных ресурсов.
Узел- Узел- Флаги T C P

№ Действие Порт Порт Комментарий
источник получатель Опции IP
1
1024
Разрешить 200.1.1.0/24 -65535 * 25 TCP
* 1024 TCP
2 Разрешить 25 200.1.1.0/24
-65535 АСК=1
Практическая реализация этой идеи - троянец, клиентская часть которого подключается к

серверной, используя только АСК-пакеты (http://www.ntsecurity.nu/toolbox/ackcmd/).
Поскольку пакетный фильтр блокирует подключения к узлу, основываясь только на
наличии флага SYN в заголовке, АСК-пакеты будут пропускаться.
У чебны * ц е н т р
318
Шлюзы уровня соединения

Посредник - это узел, выполняющий запрос на установление соединения по инициативе
другого узла. Посредник уровня соединения (circuit-level proxy) - это посредник,
статически определяющий, какой трафик должен быть перенаправлен. Он просто
копирует данные между участниками соединения, работая на сеансовом уровне сетевой
модели.
Когда клиент (из внутренней сети) запрашивает соединение с сервером (из внешней сети),
шлюз принимает запрос и проверяет его на соответствие критериям фильтрации. После
того, как шлюз проверил допустимость данного сеанса, он устанавливает соединение.
Начиная с этого момента шлюз просто ретранслирует пакеты в обе стороны, контролируя
процесс обмена данными между клиентом и сервером. При этом на шлюзе должна
поддерживаться таблица установленных соединений.
Для шлюзов уровня соединения, как правило, требуется установка на клиенте
специального программного обеспечения, но это не всегда так. Главная особенность
посредников уровня соединения - статичность, т. е. они устанавливают соединение,
основываясь исключительно на правилах политики безопасности, а не на особенностях
конкретной службы. Например, если правила фильтрации разрешают ftp-соединение, то
такой посредник всегда будет ретранслировать трафик на порт 20 (ftp-data), даже если
отсутствует управляющее соединение (порт 21, ftp-control).
Шлюз уровня соединения является более универсальным, чем шлюз прикладного уровня,
поскольку не учитывает особенностей конкретных служб (TELNET, FTP и пр.).
Примерами шлюзов уровня соединения могут служить узлы, использующие протокол
SOCKS и узлы, осуществляющие трансляцию адресов (NAT).
Шлюзы прикладного уровня
Шлюзы прикладного уровня (application-level proxy), часто называемые ргоху-серверами,
контролируют и фильтруют информацию на прикладном уровне модели OSI. Они
различаются по поддерживаемым протоколам прикладного уровня. Наиболее часто
поддерживаются службы Web (HTTP), FTP, SMTP, POP3/IMAP, NNTP, Gopher, Telnet,
DNS, RealAudio/RealVideo.
Когда клиент внутренней сети обращается, например, к серверу Web, то его запрос
попадает к посреднику Web (или перехватывается им). Последний устанавливает связь с
сервером от имени клиента, а полученную информацию передает клиенту.
Для внешнего сервера посредник выступает в качестве клиента HTTP, а для внутреннего
клиента — в качестве сервера HTTP. Аналогично посредник может работать и в случае
внешнего клиента и внутреннего сервера.
- ''И
У чеб н ы м ц ен т р
319
С ервер
К л и е н тска я ча сть
п р и кл а д н о й с л у ж б ы
Работа посредников прикладного уровня основана на типе протокола прикладного

уровня, в отличие от шлюзов уровня соединения, базирующихся на номерах портов.
Кроме того, установление соединения является здесь обязательным требованием.
Яркий пример посредника прикладного уровня —широко известный SQUID.
Главная особенность шлюзов прикладного уровня —способность просматривать
содержимое сетевых пакетов. В частности, можно отфильтровывать отдельные виды
команд или ответов для всех служб прикладного уровня.
Достоинства шлюза прикладного уровня:
■ Высокая степень контроля соединений за счет проверки содержимого
пакетов
■ Усиленная аутентификация
■ Гибкость правил фильтрации (критериями могут выступать имя
пользователя, разрешённые часы работы и т. д.)
■ Высокая стоимость
■ Отсутствие прозрачности для пользователей
■ Высокие системные требования к узлу
■ Замедление работы
Итак, предлагаемый вариант классификации МЭ содержит три различных типа МЭ. Как
уже упоминалось, чаще всего все три типа реализованы в одном МЭ. Существуют и
отдельные реализации для каждого типа.
Stateful inspection
Выше рассматривались пакетные фильтры и было показано, что недостаточно только
лишь просматривать отдельные пакеты. Информация о состоянии, извлеченная из
Учебны й ц ентр
320
имевших место ранее соединений и других приложений, используется для принятии

окончательного решения о текущей попытке установления соединения. В зависимости от
типа проверяемого пакета, для принятия решения важными могут быть как текущее
состояние соединения, которому он принадлежит (полученное из его истории), так и
состояние приложения, его использующего.
Пакет перехватывается на
сетевом уровне
О
Специальный модуль
анализирует информацию
со всех уровней
Inspection Module О
Инф ормация сохраняется
Канальный уровень и используется для
анализа последующих
пакетов
Таким образом, для обеспечения наивысшего уровня безопасности, МЭ должен уметь

считывать, анализировать и использовать следующую информацию:
■ Информацию о соединении - информацию со всех уровней модели.
■ Состояние соединения - состояние, полученное из предыдущих пакетов.
Например, исходящая команда PORT сессии FTP могла бы быть запомнена
для последующей проверки встречного входящего соединения FTP data.
■ Состояние приложения - информация о состоянии, полученная из других
приложений. Например, когда-либо авторизованному пользователю был
разрешен доступ через firewall только для разрешенных типов сетевых
протоколов.
Кроме того, МЭ должен уметь выполнять действия над передаваемой информацией в
зависимости от всех вышеизложенных факторов.
Stateful Inspection - технология нового поколения, удовлетворяет всем требованиям к
безопасности, приведенным выше.
Технология инспекции пакетов с учетом состояния протокола на сегодня является
наиболее передовым методом контроля трафика (она разработана и запатентована
компанией Check Point Software Technologies).
Эта технология позволяет контролировать данные вплоть до уровня приложения, не
требуя при этом отдельного процесса-посредника (proxy) для каждого защищаемого
протокола или сетевой службы. В результате достигаются высокие показатели
производительности, высокая гибкость решений и возможность быстро и достаточно
просто адаптировать систему под новые нужды.
Основываясь на технологии инспекции пакетов с учетом состояния протокола, МЭ
обеспечивает наивысший уровень безопасности. Метод stateful inspection обеспечивает
сбор информации из пакетов данных, как коммуникационного, так и прикладного уровня,
что достигается сохранением и накоплением ее в специальных контекстных таблицах,
которые динамически обновляются. Такой подход обеспечивает максимально возможный
уровень безопасности, контролируя соединения на уровнях от 3 до 7 сетевой модели OSI,
тогда как proxy посредники могут контролировать соединения только на 5 - 7 уровнях.
Обработка нового соединения при этом осуществляется следующим образом:
После того как соединение занесено в таблицу, обработка последующих пакетов этого
соединения происходит на основе анализа таблиц.
Метод stateful inspection обеспечивает контроль не только на уровне соединения, но и на
прикладном уровне.
322
Варианты расположения МЭ
Вопрос размещения МЭ в корпоративной сети рассматривается с учетом конкретных
особенностей уже имеющихся средств защиты, целей подключения и т. д. Однако можно
выделить несколько общих схем, приемлемых для большинства конфигураций.
Простейшая схема подключения 1 приведена на Рис. 4.23.2 Внутренняя сеть отделена от
внешней маршрутизатором с фильтрацией пакетов. Разумеется, этого недостаточно для
организации полноценной защиты.
Рис. 4.23.2. Схема 1 расположения МЭ
В схеме 2 (Рис. 4.23.3) дополнительно используется МЭ 2-го или 3-го типа (посредник)
или 4-го типа (Stateful Inspection). Это, вероятно, одна из самых популярных схем
подключения МЭ.
323
Рис. 4.23.3. Схема 2 расположения МЭ
Область сети между пакетным фильтром и основным МЭ часто используется для

расположения там дополнительных МЭ. Например, это может быть выделенный
посредник для какой-либо службы (Web, почта) как на Рис. 4.23.4
Рис. 4.23.4. Схема 3 с выделенным посредником
Это может быть и система анализа содержимого (МЭ 5-го типа) как на Рис 4.23.5
Рис. 4.23.5. Схема 4 с системой анализа содержимого
Область между пакетным фильтром и основным МЭ играет существенную роль при

построении защиты периметра. Эта область называется демилитаризованной зоной и
служит для размещения в ней следующих узлов:
■ Средств защиты (дополнительных МЭ, систем обнаружения атак)
y-i^fSin 1 ц ентр
■ Серверов Web, SMTP, DNS и других, требующих доступа снаружи.
Существует два способа организации демилитаризованной зоны:
■ Граничная сеть (рассмотренная в схемах выше)
■ Тупиковая сеть (Рис. 4.23.6)
Второй вариант (тупиковая сеть) предполагает использование отдельного сетевого
интерфейса МЭ для организации демилитаризованной зоны. По соображениям
производительности первый вариант (граничная сеть) предпочтительнее.
internet
Рис. 4.23.6. Тупиковая сеть
Приведённые схемы расположения МЭ могут быть дополнены с учётом особенностей

подключения к Internet, требований к безопасности и других факторов.
Политика безопасности и МЭ
МЭ - это воплощение в жизнь политики безопасности, принятой в организации в
вопросах обмена информацией с «чужими» сетями. Правила политики безопасности
формулируются без учёта особенностей используемого МЭ, его синтаксиса и т. п.
Политика безопасности гласит «как должно быть», а МЭ - это техническая реализация
этой политики. Далее приводится пример реализации политики безопасности.
Допустим, политика безопасности содержит следующие требования:
1. Пользователи внутренней сети имеют неограниченный доступ в Internet
2 . Из Internet доступ возможен только к корпоративному Web-cepeepy и
почтовому серверу
3 . Удалённое управление должно быть аутентифицировано и зашифровано.
Для получения списка правил МЭ на основе предлагаемой политики необходимо
проанализировать перечисленные требования и выбрать подходящий вариант
размещения МЭ.
Первое требование тривиально и его реализация проста.
Второе требование предполагает наличие web-cepeepa и почтового сервера. Лучшим
местом для их размещения является DMZ. Выше рассматривалось два варианта DMZ.
Допустим, в данном случае используется DMZ типа «тупиковая сеть».
Третье требование можно реализовать, предоставив, например, удалённый доступ для
администраторов к отдельным узлам внутренней сети по протоколу SSH.
325
Дополнительно может потребоваться разрешить прохождение трафика, необходимого

для работы перечисленных правил, например, DNS. Также следует обеспечить доступ к
МЭ для управления им.
Следующий момент - порядок следования правил. Многие МЭ просматривают правила
подряд (сверху вниз) до первого совпадения. Общий принцип здесь - размещать более
общие правила в конце списка, более конкретные - в начале списка.
Далее приведён пример реализации правил на МЭ Check Point Firewall-1, но, в общем
случае, это может быть и любой другой МЭ.
/ПН I I * • Ы-1V Р Я 9 Ч ш лгШ «иЯ вм гй ё SI лгв1лго

Fite Edit View Manage Rules Policy 5martMap Search Window Heip
НО КйГ. A ■a •*
№*»
j SI К li I 5martDef e n se , -. j i X
SB Security - Standard A ddress Translation - Standard | @ Manager | ’ □ Desktop Security - Standard j
SOURCE DESTINATION IF V IA SERVICE ACTION
1
Q w s -a d m in У Н fw -m a tn * Any Д t w l- a d m in ф a cce p t - None
г
в * Any Щ fw -m a in * Any ★ Any ® d rop - None
в * Any Q w w w -s e rv e r * Any TCP h ttp Q J accept - None
• A A ny Ц in a i-s e fv e r * Any IE h ttp ® a cce p t - None
I S ssh
в Ж } r-ad m in in te rn a l-syste m s * Any Ф a cce p t - None
в ■Ц1 in te rn a l-n e t □ m a i-s e rv e r * Any Щ p o p -3 ф a cce p t - None
гг .........
in terna l-n e t * A ny •k A n y ф accept - None
-
в "4** d m z ■V" in terna l-n e t * Any * A ny @ 1 drop to n e
в ■k A n y * Any * A ny * Any 1 ® drop '| j Log
<
I Name I IP I Behind NAT i '^ r s to n
For Help, press F I 2 0 0 .1 ,1 .4 IReattyWrite
Первое правило разрешает доступ к МЭ с рабочей станции администратора
Второе правило блокирует доступ к МЭ для всех остальных узлов
Третье правило разрешает доступ к Web-cepeepy по протоколу http
Четвёртое правило разрешает доступ к почтовому серверу по протоколу SMTP

П ятое правило разрешает удалённый доступ к внутренним узлам только с определённых
узлов администраторов.
Ш естое правило разрешает доступ к почтовому серверу по протоколу POP3 для
пользователей внутренней сети
Седьмое правило разрешает пользователям внутренней сети доступ в Internet (при этом
исключается DMZ).
Восьмое правило блокирует доступ из DMZ к узлам внутренней сети.
У чебмьм центр
326
И последнее (9-е) правило запрещает весь остальной трафик (для МЭ Check Point
Firewall-1 оно излишне, поскольку запрет работает неявно, но здесь это сделано с целью
записи в журнал фактов срабатывания этого правила).
Недостатки МЭ
Общий обзор
МЭ позволяют эффективно реализовать политику безопасности, касающуюся вопросов
обмена информацией с «чужими» сетями (например, с внешним миром). Однако, наряду
с очевидными достоинствами, МЭ имеют ряд ограничений:
■ МЭ обеспечивают безопасность только тех соединений, которые
установлены непосредственно через них. Это означает, что применение МЭ
будет эффективным только тогда, когда периметр контролируется
полностью. МЭ не контролируют соединения, установленные в обход
средств защиты периметра, например, с использованием модемов. Кроме
того, МЭ не контролируют внутренние соединения, т. е. подключения со
стороны внутренних пользователей к внутренним ресурсам.
■ МЭ могут содержать ошибки:
- В программном обеспечении (ошибки реализации).
- Допущенные при конфигурировании правил МЭ (ошибки обслуживания)
■ МЭ не способны обнаружить запрещённый трафик, передаваемый поверх
разрешённого протокола (эта проблема частично решается с помощью
средств анализа содержимого). Как известно, механизм передачи трафика
заданного типа поверх (внутри) другого называется туннелированием. Далее
этот механизм рассматривается подробнее.
Туннелирование
Многоуровневая архитектура стека протоколов TCP ЯР делает возможной передачу
трафика какого-либо типа поверх другого. Например, прикладные службы могут
использовать в качестве протокола транспортного уровня TCP или UDP. В стандартных
реализациях стека TCP/IP можно выделить четыре уровня.
Однако теоретически можно добавить ещё один уровень (над прикладными службами) и
передавать произвольный трафик (как правило, это также трафик какой-либо прикладной
службы) поверх прикладного.
327
■
Г -Л
Прикладная служба Прикладная служба
Прикладная служба Прикладная служба
TCP или UDP TCP или UDP
IP IP
Взаимодействие со Взаимодействие со
средой передачи средой передачи
Очевидно, программа для реализации описанного механизма должна иметь

распределённую архитектуру.
Задачи клиентской части:
■ Ожидать соединения со стороны локального пользователя (по возможности,
быть привязанной к интерфейсу 127.0.0.1)
■ Упаковывать пользовательский трафик в трафик заданного типа и
перенаправлять его серверной части (на другой конец туннеля).
Задачи серверной части:
■ Ожидать соединения со стороны клиентской части
■ Распаковывать трафик, отделяя от него информацию, связанную с работой
туннеля
■ Осуществлять взаимодействие с целевым сервером
Схема взаимодействия клиента с целевым сервером показана на следующем рисунке:
У ч е б т.ч центр
328
■ I
-А
Приложение
Клиентская часть Серверная часть

туннеля туннеля
Стек TCP/IP
Разрешённый
трафик
Реализации клиентской и серверной частей программы, выполняющей туннелирование,

для различных ОС можно найти по адресу: http://www.nocrew.org/software/httptunnel.html
Что такое «HoneyNet»?

Введение
Говоря о защите периметра, нельзя не упомянуть о проекте «HoneyNet»
(http://project.honeyNet.org/papers), цель которого - изучение поведения нарушителей.
«HoneyNet» - это сеть узлов, используемых в повседневной работе, но предназначенных
для взлома. В процессе взлома информация фиксируется, а затем анализируется с целью
изучения поведения нарушителей.
Назначение и особенности
Основная цепь «HoneyNet» - сбор данных о противнике, изучение его тактики. С её
помощью можно решить следующие задачи:
■ П олучен и е сведений о рисках в области безопасности и уязвим остях.
Поскольку HoneyNet состоит из систем и приложений, используемых в
повседневной деятельности, риски и уязвимости, имеющиеся в HoneyNet,
полностью отображают риски и уязвимости реальной сети организации.
■ Отработка политики реагирования на инциденты.
■ Отслеживание действий нарушителя в реальном времени (общение через
IRC и т. д.).
Таким образом, с помощью «HoneyNet» можно контролировать любую деятельность,
происходящую внутри. Анализ собранных данных дает информацию об использованных
инструментах, тактике и мотивах нарушителей.
Типовая схема «HoneyNet»
Схема «HoneyNet» должна быть спроектирована таким образом, чтобы обеспечить:
■ Возможность контроля ситуации
У чебн ы м 1*емтр
329
■ Возможность фиксации как можно большего числа данных

Сеть «HoneyNet» должна работать вместе с корпоративной сетью и быть максимально
независимой от нее. Она может быть подключена к Интернет по отдельному каналу или
использовать основной маршрутизатор организации.
Linux Windows Другие ОС
internet
В предлагаемом варианте сети можно выделить три сегмента:

■ Собственно сама сеть «HoneyNet»
■ Административная сеть
■ Интернет
Сегмент «HoneyNet» состоит из:
■ У злов-прим анок. Они создают сетевую среду, моделирующую реальную
сеть предприятия. На этих узлах ничего не эмулируется, ничего не сделано
специально для ослабления защиты.
■ С ервера регистрац ии . Он собирает данные с узлов-приманок, настроенных
так, что все данные сохраняются локально и на сервере-регистрации. На него
могут поступать данные и от системы обнаружения атак (через
административный сегмент)
■ С истем ы обнаруж ения атак, собирающей трафик сетевого сегмента
«HoneyNet».
Административный сегмент служит для сбора и обработки данных, которые и являются
результатом работы «HoneyNet». Источниками данных являются:
■ Межсетевой экран
■ Сервер регистрации
■ Система обнаружения атак
■ Системные журналы узлов сегмента «HoneyNet»
Межсетевой экран осуществляет фиксацию событий и контроль соединений, позволяя
управлять ситуацией в сегменте «HoneyNet». Маршрутизатор защищает от атак сетевого
уровня, исходящих из сегмента «HoneyNet», таких как IPSpoofmg, Ping of Death и т. п., a
также ограничивает ICMP- трафик.
1Т
^
У ч я б н ш центр
N
Итак, использование «HoneyNet» даёт возможность получить информацию о противнике,
изучить аспекты его поведения и сделать соответствующие выводы, относящиеся уже к
реальной сети предприятия.
У чвбньы ц ен тр
331

Анализ содержимого почтового и
Web-трафика (Content Security)
Введение
Выше рассматривались три основных типа МЭ (пакетные фильтры, шлюзы сеансового и
прикладного уровней), а также МЭ с технологией «stateful inspection». Однако для
фильтрации трафика служб прикладного уровня возможностей МЭ указанных типов
может оказаться недостаточно. Особенно это касается контроля электронной почты и
HTTP-трафика. Сложность задачи заключается в том, что для осуществления такого
контроля недостаточно анализа заголовков указанных протоколов прикладного уровня.
Здесь потребуется просмотр передаваемых данных, которые могут быть переданы в
нескольких пакетах, иметь различные форматы и т. д.
Постановка задачи
Задача анализа содержимого сводится к просмотру передаваемой информации
следующего характера:
■ Содержимое электронной почты (в т. ч. прикреплённые файлы)
■ Содержимое НТТР-трафика
■ Передаваемые файлы (например, по протоколу FTP)
Разумеется, задача должна решаться средствами защиты периметра, т. е. МЭ.
Электронная почта
Вероятно, наиболее важная задача в области анализа содержимого - это задача анализа
содержимого сообщений электронной почты.
Почтовый
сервер
in t e r n e t
Рабочие станции
Проверка содержимого
У чебмм* центр
332
Электронная почта, наряду с очевидными преимуществами (удобство для бизнеса,

оперативность, продуктивность) имеет ряд недостатков, например:
■ Возможность создания ситуации отказа в обслуживании (пересылка файлов
большого размера, «СПАМ», подмена адреса отправителя)
■ Возможность пересылки вирусов в сообщении или в прикреплённых файлах
■ Возможность пересылки конфиденциальной информации
■ Возможность пересылки информации неэтичного характера
■ Возможность использования электронной почты в личных целях
Таким образом, средства анализа содержимого электронной почты должны
противодействовать перечисленным угрозам.
Критериями фильтрации для таких средств должны быть:
■ Адреса отправителя и получателя
■ Параметры прикреплённых файлов (тип, размер)
■ Наличие вирусов
■ Содержимое письма и прикреплённых файлов
■ Подлинность адреса отправителя
HTTP - трафик
Контроль использования WEB не менее важен, чем контроль электронной почты.
С HTTP - трафиком связаны следующие угрозы:
■ «Опасное» содержимое —мобильный код, вирусы
■ Пересылка информации через Web-интерфейс
■ Использование Web в личных целях
■ Загрузка материалов недопустимого характера (нелицензионное
программное обеспечение, порнография и т. д.)
Следовательно, критерии фильтрации в данном случае:
■ Параметры загружаемых файлов (имя, тип, размер)
■ Наличие вирусов
■ Содержимое загружаемых файлов
■ URL
■ Почта с Web-интерфейсом
■ Разрешённые часы работы
■ Направление загрузки файлов
Варианты решений задачи анализа содержимого
Задача анализа содержимого может быть решена с помощью МЭ и антивирусного
программного обеспечения. При этом возможны два подхода:
333
■ Анализ содержимого средствами МЭ

(многие МЭ имеют возможности фильтрации на основе адреса отправителя,
получателя, содержимого определённых полей почтового сообщения и т. д.)
П очтовы й
сервер
м э
Роутер
ф
in te r n e t — Сеть
К -
■\
>
Р аб о ч и е с т а н ц и и
Проверка содержимого:
Поле to:
Поле from:
У ч в Ь н ь * ц ентр
О Д
334
■ Антивирусная система
П очтовы й
сервер
in t e r n e t
Роутер
—
, ^
I 0 С еть
Ж.
t
Рабочие станции
Сервер
Протокол контроля
взаимодействия со держ им о го
(C V P, UFP)
Такие решения имеют, например, следующие недостатки:

■ Поддержка небольшого числа критериев фильтрации (простейших)
■ Поддержка небольшого числа форматов передаваемых файлов
Кроме того, немаловажное значение имеет вопрос производительности, поскольку для
детального анализа содержимого требуется значительное количество ресурсов. Оба из
рассмотренных решений могут быть реализованы на базе МЭ Checkpoint FireWall-1.
Системы анализа содержимого

Системы анализа содержимого - это, фактически, посредники прикладного уровня с
расширенными возможностями фильтрации трафика прикладного уровня.
Система анализа содержимого работает аналогично МЭ (фактически, она является
разновидностью МЭ) и может быть подключена, например, как показано на рисунке:
XT ^
Рабочие с т а н ц и и
Почтовый сервер (п оч товы е к ли ен ты )
Система анализа
содержимого
Вообще, размещение такой системы в корпоративной сети зависит от следующих

факторов:
■ Схема подключения к сети Internet
■ Расположение МЭ (пакетного фильтра или посредника)
■ Назначение системы анализа содержимого (проверка почты или
НТТР-трафика)
Например, ещё один вариант размещения такой системы следующий:
J Почтовый сервер
Рабочие ста н ц и и
(почтовы е клиенты )
Ещё один вариант системы анализа содержимого - специализированная система для
определённой модели почтового сервера. В этом случае на почтовый сервер
устанавливается специализированный модуль, который передаёт требующие анализа
почтовые послания модулю анализа содержимого.
Почтовый сервер
I
Модуль
анализа
Специализированный
модуль,
интегрируемый с
почтовой системой
337

Виртуальные частные сети
Введение
Виртуальные частные сети (Virtual Private Networks — VPN) предназначены для
обеспечения безопасного обмена данными между удаленными пользователями и
удаленными друг от друга ЛВС организации через сети с низким уровнем доверия,
например, через Интернет.
VPN позволяют предоставить удаленным мобильным пользователям, где бы они ни
находились, безопасный доступ к корпоративным ЛВС, а партнерам и клиентам —
безопасный доступ к определенным внутренним информационным ресурсам организации
за счет создания криптографически защищенных туннелей для пересылки данных из
одной конечной точки в другую.
Мобильные пользователи
Главными элементами для построения VPN являются криптографические устройства,

располагаемые на входах в удаленные друг от друга ЛВС и на компьютерах удаленных
(мобильных) пользователей. Варианты реализации:
■ VPN на основе межсетевых экранов. Преимущество данного варианта
заключается в том, что для защиты потоков данных для всех узлов каждой
ЛВС в нем используется только один программно-аппаратный комплекс.
■ VPN на основе службы, встроенной в операционную систему сетевых узлов.
Этот вариант является самым доступным, так как реализуется стандартными
средствами ОС. Однако для защиты самих узлов сети все равно необходим
межсетевой экран.
■ VPN на основе специальных криптографических шлюзов между
внутренними сетями и сетью общего пользования, например, VPN на основе
маршрутизатора с криптографическими возможностями. Системы такого
типа отличаются высокой производительностью, не требуют сложного
администрирования, но в то же время относительно дороги.
У ч е б н а цвмтр
^Г1
338
При выборе средств дня построения VPN прежде всего необходимо обращать внимание
на следующие вопросы: какой протокол туннелирования поддерживает
криптографический модуль (межсетевой экран, криптошлюз и т.п.), какие
криптографические алгоритмы используются для шифрования, применение механизмов
сжатия туннелируемых данных, способность системы работать с отдельным удаленным
пользователем.
Виды виртуальных частных сетей
Существует несколько способов классификации виртуальных частных сетей. Наиболее
распространённый - по решаемым при помощи VPN задачам. Согласно этому критерию
выделяют три основных вида виртуальных частных сетей:
■ вн утри к орп орати вн ы е V PN (Intranet V PN ) для организации связей между
филиалами одной организации;
■ V PN с удаленны м доступ ом (R em ote A ccess V PN ) для организации доступа
к корпоративной сети мобильных сотрудников;
■ м еж корпоративны е V PN (E xtranet V PN ) для организации связей с
партнёрами и клиентами.
Кроме того, следует рассмотреть и возможные топологии VPN:
• Смешанная (Mesh)
• Звезда (Star)
Смешанная топология показана далее:
Топология «звезда» приведена на следующем рисунке:
О Д
339
Далее приведены примеры решений по организации VPN.
Решение на базе ОС Windows 2003

Возможности ОС Windows 2003 по построению VPN приведены в следующей таблице:
Вид VPN Протоколы, поддерживаемые Windows 2000

Intranet VPN L2TP+IPSec, РРТР, туннель IPSec
Extranet VPN L2TP+IPSec, РРТР, туннель IPSec
Remote Access VPN L2TP+IPSec, PPTP
Таким образом, для построения VPN первых двух типов может быть использован
протокол IPSec (туннельный режим, шлюз-шлюз). Однако туннельный режим работы
протокола IPSec нельзя использовать для построения VPN с удалённым доступом. Защита
удалённого доступа в ОС Windows 2000 организуется двумя способами:
■ Протокол РРТР
■ Совместное использование протоколов IPSec и L2TP
VPN на основе криптошлюза «Континент-К»

Использование сетей общего пользования для организации корпоративных VPN
предъявляет дополнительные требования к обеспечению надежной защиты
информационных ресурсов предприятия от несанкционированного доступа (НСД),
реализация которых в российских условиях имеет ряд особенностей.
Во-первых, подобная защита достигается в VPN-продуктах за счет шифрования
передаваемой информации. В России существует законодательные ограничения на
применение как зарубежных криптографических алгоритмов и продуктов, так и
отечественных не сертифицированных средств шифрования. Поэтому выбираемый
продукт должен реализовывать «разрешенный» алгоритм и иметь сертификат
соответствующего органа. Невыполнение этого условия может сделать невозможным его
применение.
Во-вторых, особенностью построения VPN в российских условиях является работа на
низкоскоростных каналах связи (в большинстве случаев со скоростью 64-256 Кбит/с).
Любые способы криптографической защиты передаваемой информации увеличивают
количество реально передаваемых данных. Поэтому выбираемый продукт должен
обеспечивать минимальное увеличение объема передаваемой информации, чтобы не
уменьшать пропускную способность канала связи.
Для иллюстрации данного тезиса рассмотрим типовое решение для VPN, построенное на
открытом стандарте IPSec, который реализован во всех зарубежных и в ряде
отечественных VPN-продуктах. Обычно пропускная способность такого устройства
составляет 10-40 Мбит/с. Логично было бы предположить, что на канале 256 Кбит/с
замедления просто не будет, так как скорость устройства на два порядка выше. Но
особенностью реализации IPSec является добавление 70-120 байт (в зависимости от
длины ключа) к каждому передаваемому пакету. При длине передаваемого пакета 1500
байт замедление уже составляет 5-8%. Но многие прикладные системы передают
информацию значительно более короткими «порциями». Например, в платежных
системах банков стандартный размер пакета не превышает 100 байт. В этом случае
замедление составит 70-120%. То есть высокоскоростное устройство более чем в два раза
снижает пропускную способность низкоскоростного канала. Кроме увеличения размера
передаваемых пакетов IPSec в начале процесса установления каждого TCP соединения
предусматривает дополнительный обмен между взаимодействующими сторонами, что
еще больше снижает реальную пропускную способность канала.
Выходом из данной ситуации является применение продуктов, изначально
спроектированных с учетом этих особенностей.
НИП «ИНФОРМЗАЩИТА» на основании утвержденного ФАПСИ тактико-технического
задания разработало программно-аппаратный шифратор IP - протокола (криптошлюз)
«Континент-К». Отличительные особенности этого криптошлюза состоят в том, что он
реализует защиту данных по алгоритму ГОСТ 28147-89, увеличивает размер
передаваемых пакетов всего на 24-36 байтов, не требует дополнительного
взаимодействия сторон при установлении каждого логического соединения и позволяет
сжимать передаваемые данные. Для приведенного выше примера замедление при
передаче данных с использованием комплексов «Континент-К» составило бы 1,6% и
24% для пакетов с длиной 1500 и 100 байт соответственно без сжатия информации. При
передаче частично сжимаемых данных (до 50%) пропускная способность канала не
только не уменьшается, а увеличивается (в среднем) на 38% и 12% соответственно.
Формат пакета представлен на Рис. 4.25.7.
Уч«йиым цлитр
341
Заголовки I
И сходны й пакет Заголовок
верхних Данные
IP уровней
Пакет после
преобразования
Новый
IP-заголовок
С лужебный
з а го л о в о к Н> |
Заголовок!
ULP+ данные
20 байт 16 байт Зашифровано
Аутентифицировано
Рис. 4.25.7. Формат пакета криптошлюза «Континент-К»
Программно-аппаратный комплекс «Континент-К» обеспечивает:

■ защиту внутренних сегментов сети от несанкционированного доступа со
стороны пользователей сетей общего пользования;
■ скрытие внутренней структуры защищаемых сегментов сети;
■ защиту (шифрование, имитозащиту и целостность) данных, передаваемых по
каналам связи сетей общего пользования между защищаемыми сегментами
сети (абонентскими пунктами);
■ безопасный доступ пользователей VPN к ресурсам сетей общего
пользования;
■ возможность одновременной работы с несколькими сегментами сети;
■ аутентификацию удаленных абонентов системы;
■ централизованное управление защитой сети.
Комплекс «Континент-К» включает в свой состав следующие компоненты:
■ криптографический шлюз;
■ абонентский пункт;
■ центр управления сетью криптографических шлюзов;
■ консоль управления сетью криптографических шлюзов.
Варианты применения
Комплекс «Континент» может использоваться в следующих вариантах:
■ защита соединения «точка-точка»;
■ защищенная корпоративная VPN-сеть;
- —" У ч е б н а центр
342
■ защищенный доступ абонентских пунктов, в том числе и мобильных, к

ресурсам сети.
Технические характеристики
■ Общая пропускная способность КШ (имитовставка, шифрование,
туннелирование) - 30 Мбит/с (Celeron/500).
■ Увеличение размера пакета - 24-36 байт (с учетом дополнительного IP-
заголовка).
■ Максимальное количество Kill в сети с одним ЦУС - не более 5000;
■ Максимальное количество консолей управления - не ограничено;
■ Максимальное количество АП для одного КШ - не более 500.
Угрозы, связанные с использованием VPN

Виртуальные частные сети обеспечивают защиту трафика, передаваемого по открытой
(недоверенной) сети, при этом компоненты, участвующие в её работе (VPN шлюзы и
клиенты), сами нуждаются в защите. Атаки злоумышленников могут быть направлены
как на VPN-шлюзы, так и на клиентов VPN, а также на передаваемый трафик
Следовательно, угрозы VPN-можно поделить на три группы:
■ «Незащищённые» клиенты
■ Атаки на VPN-шлюзы
■ Перехват и анализ трафика VPN
«Незащищённые» клиенты
Клиенты VPN, подключающиеся к VPN-шлюзу, имеют два сетевых соединения: одно
защищённое (соединение с корпоративной сетью) и другое - с той сетью, в которой они
находятся в данный момент. При этом второе соединение может оказаться
незащищённым.
Для защиты клиента на сетевом уровне рекомендуется использовать несколько
Ф ильтрация траф ика
343
Первая линия обороны - фильтрация трафика. Она позволяет отсечь лишний трафик, не
требующийся клиенту для работы. Например, можно блокировать весь входящий трафик,
за исключением того, который требуется для функционирования ПО VPN-клиента.
В разрешённом трафике (как входящем, так и исходящем) необходимо искать признаки
атак, при их обнаружении трафик можно блокировать. Это вторая линия обороны.
Наконец, для успешных атак, не обнаруженных системой противодействия атакам,
предусмотрена третья линия обороны —блокировка попыток использования техники
переполнения буфера, обычно сопутствующей ряду сетевых атак.
Защита клиента на прикладном уровне включает в себя:
■ Наличие антивируса
■ Контроль используемых приложений
■ «Поведенческий» анализ
Антивирусные системы (на основе сигнатур)
Атаки на VPN-шлюзы
Атаки на VPN шлюзы можно поделить на три группы:
■ Сбор информации о VPN-шлюзе (программное обеспечение, версия,
конфигурация, поддерживаемые протоколы, открытые порты и т. п.)
■ Бесполезное расходование вычислительного ресурса
■ Атаки с использованием уязвимостей
Защита сервера VPN может быть осуществлена установкой системы обнаружения атак,
кроме того, необходимо регулярно обновлять ПО сервера VPN.
Атаки на VPN-трафик
Конечно, значительная часть трафика VPN зашифрована. Тем не менее, некоторые
данные, в частности, служебные, используемые на этапе согласования, не шифруются.
Насколько они критичны? В частности, имя пользователя передаётся в открытом виде,
что позволяет использовать его для подбора пароля.
У ч еб н м к ц е т р
344

Обнаружение и устранение уязвимостей.
Возможности сканеров безопасности
Контроль эффективности системы защиты

Перед подразделениями защиты информации и управлениями автоматизации
организации периодически возникает задача проверки, насколько реализованные или
используемые механизмы защиты соответствует положениям принятой в организации
политики безопасности.
Контроль эффективности защиты осуществляется с целью своевременного выявления и
предотвращения утечки информации по техническим каналам, за счет
несанкционированного доступа к ней, а также предупреждения возможных специальных
воздействий, направленных на уничтожение информации или нарушение нормального
функционирования средств обработки и передачи информации.
Средства анализа защищенности, так называемые сканеры (security scanners), помогают
определить факт наличия уязвимостей на узлах корпоративной сети и своевременно
устранить их (до того, как ими воспользуются злоумышленники).
Сканеры безопасности, также как и уязвимости, ими обнаруживаемые, могут быть
классифицированы по различным критериям. Далее рассматриваются возможные
варианты их классификации.
Классификация средств анализа защищённости

Расположение по отношению к объекту сканирования
Системы анализа защищённости можно поделить на две категории с точки зрения их
расположения по отношению к объекту сканирования:
■ Локальные (host-based)
■ Дистанционные (network-based)
Системы первой категории устанавливаются на сканируемом узле, как правило (но не
всегда) работают от имени учётной записи с максимальными привилегиями и выполняют
анализ «изнутри».
За сканерами такого рода прочно закрепилось название «системные».
Системы второй категории выполняют дистанционные проверки.
345
защищенности
Такой сканер устанавливается на выделенный для этой цели узел и может параллельно
сканировать несколько узлов сети, осуществлять сбор информации о сети и т. д. Этот
вариант классификации сканеров безопасности можно назвать основным, поскольку
деление сканеров на сетевые и системные широко распространено.
Классификация сканеров по назначению
Ещё один вариант классификации сканеров - по их назначению. Здесь опять возникают
две категории:
■ Сканеры общего характера
■ Специализированные сканеры
Пояснить это можно следующим образом.

Проверки, выполняемые сетевыми сканерами безопасности, направлены, прежде всего,
на сетевые службы. Конечно, при этом осуществляется поиск уязвимостей не только
сетевых служб, но и операционных систем, а также некоторых приложений,
установленных на сканируемом узле. Но следует признать, что проверки, встроенные в
сетевые сканеры, носят общий характер, а если и направлены в отношении приложений,
опять-таки, это наиболее распространенные приложения и наиболее известные
уязвимости. Та же ситуация и со сканерами уровня узла. Их проверки, может быть, чуть
более направлены на операционную систему узла, где установлен агент, они могут быть
направлены и на конкретные приложения, но предпочтение опять-таки не отдаётся
какому-то одному. Это и есть сканеры общего характера. Если можно так выразиться, в
них «всего понемногу». Часть проверок, например, направлена, на поиск уязвимостей в
почтовой службе Sendmail, другая часть - в HTTP-сервере Apache и т. д. Иногда, правда,
бывают «перекосы» в сторону какого-либо приложения. Например, сканер XSpider имеет
довольно много проверок, направленных в отношении Web-приложений, а сканер
NeXpose компании Rapid7 имеет много проверок для Lotus Domino. Но в целом, сканеры
общего характера содержат «универсальный» набор проверок.
Необходимость специализированных сканеров безопасности продиктована тем
обстоятельством, что для проверки используемого в корпоративной сети приложения
возможностей обычных сетевых сканеров может не хватить. Например, перечень
проверок для Lotus Domino, встроенных в Internet Scanner, приведён на следующем
рисунке.
□ Г~ Vulnerabilities (8)
I- Denial of S e rv ice (23
□ j- Daem ons (1)
_
□ I- Email (1)
Г ф LotusDominoSmtpBo
I- Standard (6)
В - I- W eb S can (6)
Г” Ш LotusDom inoDirectoryTraversal
I V LotusDom inoOpenServer
Г Ы LotusD om inoReplicaidAccess
Г ’ЧР' LotusDom inoVersionBanner
|~ V LotusD om inoW ebAccess
I- u . LotusHttpObtainlnformation
Беглого взгляда достаточно, чтобы понять, что они носят чересчур общий характер. В то
же время, их количество и набор достаточно типичны для сетевого сканера.
Ещё пример. Система управления предприятием SAP R73. Для неё практически нет
проверок ни в одном из сетевых сканеров безопасности. В то же время так называемый
“check list” в самом простейшем случае содержит 47 пунктов.
Разумеется, разработчикам сетевых сканеров безопасности нет смысла встраивать
детальные проверки для одного (двух) приложений. Зачем потребителю платать за
неиспользуемый функционал? С другой стороны, если перед администратором или
аудитором стоит задача оценки защищённости определённого приложения, могут помочь
специализированные сканеры безопасности. Вот перечень приложений, при анализе
защищённости которых могут потребоваться специализированные сканеры:
■ Web-приложения
■ СУБД и приложения, их использующие
■ Системы электронного документооборота (например, Lotus Domino)
■ Системы управления предприятием, так называемые ERP-системы
(например, SAP R/3, Oracle Applications)
Можно возразить, что приложения такого рода содержат типовые компоненты, и, в
принципе, для оценки их защищённости можно использовать чёткую методологию и
несколько обычных сканеров безопасности общего характера. И всё же, если приложение
широко распространено, методология анализа его безопасности сформировалась, почему
бы не использовать для оценки его защищённости специализированные инструменты.
Архитектура систем анализа защищённости

Кроме того, сама система анализа защищённости может иметь распределённую
архитектуру:
■ Агент (сервер)
■ Консоль (клиент)
Для систем первой категории (локальных) это может выглядеть так:
347
Системы, выполняющие дистанционные проверки, в случае распределённой архитектуры

могут выглядеть так:
Обзор средств анализа защищённости сетевого уровня

Далее перечислены наиболее известные программные продукты для выполнения
дистанционного анализа защищённости (network-based).
■ Nessus Security Scanner (www.nessus.org)
■ Internet Scanner
(www.iss.net/products_services/enterprise_protection/vulnerability_assessment/sc
anner_internet.php)
■ XSpider (http://www.ptsecurity.ru/xs7.asp)
■ LANguard Network Security Scanner (N.S.S.) (http://www.gfi.com/lannetscan/)
У ч а Ь ь а центр
348
■ Retina_Network Security Scanner

(http://www.eeye.com/html/products/retina/index.html)
■ Shadow Security Scanner (http://www.safety-lab.c 0m/rus/pr0ducts/l .htm)
Задача анализа защищённости на уровне сети - ответить на вопрос: «что может
нарушитель сделать с узлом, получив доступ к нему по сети (удалённо)?». При этом
обычно решаются и такие задачи, как инвентаризация сетевого оборудования,
обнаружение неизвестных устройств, идентификация сетевых служб и т. д.
В действительности грань между сетевым и системным сканером весьма тонка.
Например, для выявления уязвимости к атаке на службу RPCSS (описание уязвимости
содержится в бюллетене MS03-039) системный сканер, будучи установленным на
сканируемом узле, проверит версии и атрибуты следующих файлов:
%SYSTEMROOT%\system32\ole32.dll
%SYSTEMROOT%\system32\rpcrt4.dll
%SYSTEMROOT%\system32\rpcss.dll
В принципе, то же самое может сделать и сетевой сканер, подключившись удалённо к
ресурсу ADMINS. Тем не менее, сетевые и системные сканеры имеют существенные
отличия, перечисленные далее:
■ С етевы е сканеры вы полн яю т проверки дистан ци он н о, т. е. по сети. Это
накладывает отпечаток и на скорость сканирования (сравните, например,
удалённый подбор пароля и локальный), и на достоверность результатов4.
■ С етевы е сканеры м огут и спользовать разны е м етоды для вы явления
одной и той ж е уязви м ости. Сканеры уровня узла руководствуются только
косвенными признаками наличия уязвимости (например, проверка версий
файлов, как было указано выше).
■ С етевы е сканеры м огут использовать разли ч ны е учётны е записи для
подклю чения к служ бам сканируем ого узла. Системные сканеры, как
правило, представляют собой службу (демона), работающую от имени
учётной записи с максимальными привилегиями.
Работа сетевого сканера обычно включает следующие этапы:
1 . Идентификация доступных сетевых устройств.
2 . Идентификация открытых портов.
3 . Идентификация служб.
4 . Идентификация приложений.
5 . Идентификация операционных систем.
6 . Идентификация уязвимостей
Проверки, выполняемые сканером безопасности, можно поделить на две большие

категории:
■ В ы воды - проверки, выполняемые по косвенным признакам (без
использования уязвимости).
■ Тесты - проверки, выполняемые путём проведения атаки в отношении узла
(явное использование уязвимости).
4 В некоторых случаях получение результатов вообще невозможно, например, нет доступа к ресурсу ADMINS - нет
результата проверки.
349
При этом часть проверок второй категории может приводить к выведению из строя
тестируемой службы или узла.
Проверка (Check)
Тест (Test) Вывод (Inference)
«Опасный» тест «Безопасный» тест
Наиболее понятный и очевидный способ поиска какой-либо уязвимости —это попытаться

использовать её, т. е. сымитировать атаку, её использующую. Такие проверки называются
тестами. С другой стороны, наличие уязвимости в системе можно определить и по
косвенным признакам, например, по «баннеру» сканируемой службы или по версии
какого-либо файла. Для обозначения таких проверок существует специальный термин
«Inference», что означает «заключение», «вывод», сделанный на основе какой-либо
информации (собранной ранее). Поэтому результаты таких проверок (по косвенным
признакам) очень зависят от результатов этапа сбора информации (идентификация
открытых портов, служб, приложений и т. д.). В некоторых сканерах существует
возможность выбора способа выявления уязвимости. Например, в сканере Nessus имеется
режим «Safe checks», при включении которого все проверки выполняются по косвенным
признакам.
п.
II Информзащита
J
N1
Session Properties - ;>ession2 JPj X]
Targets Options | Port scan | Connection | Plugins | Comments |
Maximum simultaneous: - General scan options--------------

Hosts scanned: F7 Enable plugin dependencies
Г Do reverse DNS lookups
[7 jgafe checks
Security checks per host:
Г Qptimize the test
[To 3 I- Resolve unknown services
Path to CGIs
j/cgi-bin
-Interface options------------------------ --------------------------------------

I- Remove finished hosts from scan status view
I- Don't show execution options dialog at session execution
ок Cancel
В Internet Scanner для выявления одной и той же уязвимости может быть предусмотрено
две разных проверки, одна с реализацией атаки, другая - по косвенным признакам.
Например, проверка WinMs04011 (наличие обновления MS04-011) работает по
косвенным признакам.
| Ц Policy j Search j 1 Enable

Г 3 WlnMsC3050Patch
Г S)WinMs03051 Patch
Г S WinMs04008Patch
Microsoft W indows M S 0 4 - 0 1 1 patch is not installed
■Ч rГ" oО B BBS ( W in M s 0 4 0 1 1 P a tc h )
WlnMs04012Patch
Г" Э WlnMs04014Pstch
I” 1 WlnMs04029Patch Vuln ID: 15818
I- iS W inM s04031 P atch Risk Level: Q High WinMs04011Patch
А следующая проверка (WinLsassBo, выявляющая ту же уязвимость) выполняется путём

проведения реальной атаки.
ffl Policy J II S e a rch j Г" Enable

1” чй W ln2kM essageQ ueueBo
I- 2 W ln A s n l BoNtlmDeteded
I- 3
Microsoft W indow s LSASS buffer overflow
-|— «ЭW inMessengerPopupBo (W inL sassBo)
Г О W lnRpcDCO M BoD eteded
Г~ £ W lnRpcssDcom Bo
Vuln ID: 15699
.Б Г DCOM (9)
F fmnMQП ^ Risk Level: О High WinLsassBo
Вследствие перечисленных особенностей, сетевые сканеры безопасности могут быть

использованы для решения следующих задач:
Учебным ц литр
351
1 . И н вентаризация ресурсов сети: узлов, сетевых служб, приложений.

Инвентаризационное сканирование предоставляет обобщённую (базовую)
информацию о сети. Параллельно решается задача обнаружения
несанкционированно подключенных устройств.
2 . Т естирование сети на устой ч ивость к взлому. Такое тестирование может
осуществляться как изнутри сети, так и снаружи. В последнем случае это
часто называют анализом защищённости периметра. В процессе проведения
такого исследования могут быть использованы и другие инструменты
(сетевые анализаторы, «троянцы», «руткиты» и пр.), но сканеры уязвимостей,
как правило, используются всегда.5
3 . А удит безопасности сети или отдельны х её областей на соответствие
заданным требованиям. Осуществляется периодически с целью, например,
проверки правильности и своевременности установки обновлений.
Задачи 1 и 3 чаще всего выполняются силами самой организации. Для решения 2-й
задачи, как правило, привлекаются внешние ресурсы.
Обзор средств анализа защищённости уровня узла

Сканеры уровня узла выполняют поиск уязвимостей более тщательно и достоверно,
поскольку установлены на сканируемом узле и работают от имени учётной записи с
максимальными привилегиями (root, SYSTEM).
Сканеры уровня узла могут выполнять те же проверки, что и сетевые сканеры. Например,
они могут осуществлять поиск работающих на узле устройств, таких как модемы. Они
могут также обнаруживать установленные на узле приложения или контролировать
режим работы сетевого адаптера (селективный либо неселективный). С помощью
сканеров уровня узла целесообразно выполнять те проверки, которые являются
невозможными или трудновыполнимыми сетевым сканером или занимают много
времени.
Сканеры уровня узла обычно реализуют и такие механизмы, как:
■ Оценка стойкости паролей
■ Контроль целостности
■ Анализ журналов ОС и приложений. Например, это может быть
использовано для поиска следов, оставленных нарушителем.
Средства сканирования на уровне узла используются для защиты наиболее важных
серверов: почтовых, Web, удаленного доступа, управления базами данных. Эти узлы
часто содержат наиболее критичные данные для ведения бизнеса, и сканирование на
системном уровне поможет найти уязвимости высокой степени риска и предоставить
администратору информацию для устранения найденных проблем. Сканирование на
системном уровне применяется и при защите межсетевых экранов, которые обычно
запускаются под управлением ОС Unix и Windows 2000/2003, и часто содержат хорошо
известные уязвимости и конфигурации, установленные по умолчанию.
Сканеры уровня узла обычно имеют распределённую архитектуру:
■ Агенты, расставленные на защищаемых узлах
■ Консоли, контролирующие работу агентов и осуществляющие сбор данных
от них.
5
Согласно [2], для проведения такого тестирования рекомендуется использовать два сканера безопасности.
352
-Я
Консоль
Сканеры уровня узла используют только пассивные методы идентификации уязвимостей.

Это очевидно, поскольку они, как правило, устанавливаются на важном сервере и должны
оказывать на него минимальное влияние. Далее перечислены источники данных для
сканеров уровня узла:
■ Файловая система узла. Часто признаком наличия уязвимости считается
номер версии того или иного файла. Кроме того, изменения некоторых
важных файлов могут служить признаками следов нарушителя.
■ Журналы регистрации.
■ Конфигурация, параметры, влияющие на безопасность. Например, для ОС
Windows основной источник таких данных —это реестр. К этой же категории
относится информация о пользователях, работающих на узле службах,
установленных приложениях.
Таким образом, проверки, выполняемые сканером уровня узла, осуществляют поиск
уязвимостей следующим образом:
■ Путём сравнения версий файлов или их атрибутов с имеющимися
значениями в базе данных проверок.
■ Путём поиска файлов или ключей реестра, свидетельствующих о наличии на
узле того или иного приложения (вируса и т. п.)
■ Путём сравнения текущих значений параметров конфигурации с
требуемыми значениями. В этом случае пользователь должен задать эти
значения, которые обычно являются частью политики безопасности.
Специализированный анализ защищённости

В принципе, перед специализированными средствами анализа защищённости стоят те же
три задачи, что и перед обычными сканерами:
■ Инвентаризация. В данном случае речь идёт о поиске в сети компонентов
исследуемого приложения.
QJ Информзащита
353
■ Тестирование на устойчивость к взлому. Приложение оценивается с точки

зрения нарушителя, не имеющего привилегий администратора.
■ Аудит безопасности приложения. Проводится с целью проверки текущего
состояния защищённости на соответствие заданным требованиям или с
целью просто получить текущее состояние защищенности системы.
Именно последняя задача более актуальна, потому что, как правило, и так ясно, где
находится анализируемое приложение и какие оно использует службы, поэтому
необходимость инвентаризации отпадает (или она проводится с помощью обычного
сканера безопасности). Тестирование на устойчивость к взлому более характерно для
систем, доступных снаружи, например, для Web-приложений. Для систем электронного
документооборота и управления предприятием обычно более востребован аудит их
безопасности. Несколько примеров специализированных сканеров приведено в
следующих таблицах.
Сист емы анализа защ ищ ённост и Lotus Notes Domino

Название Ссылка
AppDetective http://www.appsecinc.com/products/appdetective/domino/
DominoScan II http://www.ngssoftware.com
NeXpose http://www.rapid7.com/nexpose-resources.htm
Системы анализа защ ищ ённост и SAP R/3

Название Ссылка
SAP Security Optimization http://www. sap.com/services/support/optimizat ion. epx
Service
bv-Control for SAP Systems http://www.bindview.com/products/bvControl/SAPSyste
ms.ctm
Controls Tracker http://www.controlstracker.com/Products/CT for SAP/C
T for SAP.htm
eQSmart http://www.deloitte.eom/dtt/artiele/0,1002,sid%253D 1970
6%2526cid%253D49210,00.html
У *тЫш м ц *»л р
354

Мониторинг событий безопасности
Введение
Среди перечисленных выше механизмов защиты имеются два, направленных на
выявление случаев удачных и неудачных попыток нарушений безопасности, т. е.
относящихся к категории "детективных" (позволяющих как можно более оперативно
зафиксировать факт атаки). Это:
■ Регистрация и оперативное оповещение о событиях безопасности
■ Обнаружение атак
И в том и другом случае накапливается информация о событиях безопасности, анализ
которой позволяет выявить факты совершения нарушений, характер воздействий на
систему, определить, как далеко зашло нарушение, подсказать метод его расследования и
способы поиска нарушителя и исправления ситуации.
Далее речь пойдёт о подходах к построению системы централизованного мониторинга
событий безопасности и о технологии обнаружения атак.
Введение в управление журналами событий
Регистрация событий безопасности обычно предполагает их размещение в каком-либо
журнале (логе).
Журнал событий (лог, log) - это объект (например, файл), содержащий перечень событий,
произошедших с различными активами организации (с системами или сетями).
Обычно журнал событий —это совокупность записей (entries), каждая из которых
содержит информацию, относящуюся к отдельному событию с системой или сетью.
Изначально механизм ведения логов служил для целей выявления причин сбоев, однако в
настоящее время его роль может быть различной. В данном случае этот механизм
рассмотрен с точки зрения безопасности, как средство, предоставляющее данные для
последующего изучения подозрительной активности пользователей.
Один из аспектов ведения журналов - их многообразие. Журналированию могут
подвергаться события, происходящие на уровне операционной системы или отдельного
приложения, события, происходящие с различными сетевыми устройствами и т. д.
Многообразие логов породило понятие управления журналами событий (computer security
log management). В это понятие вкладывается процесс создания (генерации) лог-файлов,
их передачи, хранения, а также последующего анализа.
Категории журналов событий

В контексте безопасности обычно наибольший интерес представляют две категории
журналов событий:
■ Журналы средств защиты
■ Журналы операционных систем, приложений и СУБД.
Первая категория журналов - это результат работы средств защиты уровня сети или
отдельного узла, таких как:
■ Межсетевые экраны (Firewalls).
У ч еб м ьм Цвитр
355
■ Средства противодействия вредоносному коду (Antimalware Software). Сюда

относятся как традиционные антивирусные средства, так и системы
противодействия шпионскому программному обеспечению (Antispyware).
■ Системы обнаружения и предотвращения атак (Intrusion Detection and
Intrusion Prevention Systems)
■ Системы управления уязвимостями (Vulnerability Management Software).
Это, например, сканеры безопасности (vulnerability assessment software) или
системы управления установкой обновлений (patch management software)
■ Серверы аутентификации (Authentication Servers)
■ Серверы контроля доступа к сети .(Network Quarantine Servers)
Журналы операционных систем (серверов, рабочих станций, сетевого оборудования)

обычно содержат два типа записей:
■ Системные события, например, запуск или выключение системы
■ События аудита, например, доступ к файлам, вход в систему и т. п.
Следует отметить, что в журналы операционной системы могут попадать и события,
связанные с работой уже упомянутых выше средств защиты и других приложений.
Наконец, журналы приложений содержат события, связанные с работой таких
приложений, как серверы WEB, шлюзы VPN, почтовые серверы и т. п.
Инфраструктура управления журналами событий

Нынешняя ситуация с ведением логов характеризуется многообразием как их
источников, так и форматов. Это значительно усложняет задачу управления ими. Тем не
менее, для целей контроля и управления рекомендуется придерживаться следующих
рекомендаций:
■ Выделить наиболее важные и приоритетные задачи по регистрации событий
■ Разработать политику в отношении лог-файлов
■ Создать и под держивать инфраструктуру управления лог-файлами
■ Поддерживать на должном уровне квалификацию персонала, участвующего
в процессе управления лог-файлами
Далее подходы к построению инфраструктуры рассматриваются более подробно.
Инфраструктура управления журналами событий включает в себя аппаратное и
программное обеспечение, используемое для генерации, передачи, хранения, анализа и
накопления помещаемых в журналы данных. Архитектурно в этой инфраструктуре
можно выделить три уровня:
■ Генерация журналов
■ Объединение и централизованное хранение
■ Централизованный анализ
Учебный ц ентр
Генерация журналов
v \\ I
I
" w
Объединение и централизованное хранение
Централизованный анализ
Указанная инфраструктура выполняет следующие функции:

■ Фильтрация событий по различным критериям
■ Объединение событий
■ Нормализация (приведение к единому формату)
■ Корреляция
Кроме перечисленных основных функций, инфраструктура управления журналами
событий предоставляет функционал, облегчающий анализ собранных данных:
■ Парсинг журналов (Log Parsing) - обработка, обычно сопровождаемая
преобразованием данных из одного формата в другой (например, из XML в
текстовый). Парсинг журналов часто подразумевает упомянутые выше
фильтрацию, объединение, нормализацию и корреляцию.
■ Просмотр журналов (Log Viewing) - отображение записанных в журнал
данных в удобном для восприятия формате. При этом может производиться
фильтрация событий и их объединение.
■ Анализ журналов (Log Analysis) - поиск в журналах наиболее значимых
событий или событий, отвечающих, определённых требованиям. Этот поиск
обычно выполняется средствами защиты, например, системами обнаружения
атак уровня узла.
■ Ротация журналов (Log Rotation) - смена журналов, например, закрытие
заполненного журнала и открытие нового.
■ Архивирование журналов (Log Archival).
■ Уменьшение журналов (Log Reduction) - оптимизация, удаление из
журналов лишних записей.
■ Чистка журналов (Log Clearing).
■ Контроль целостности журналов (Log File Integrity Checking).
357
Способы построения инфраструктуры управления журналами

событий
Можно выделить два варианта инфраструктуры управления журналами событий:
■ На основе протокола syslog (syslog-based)
■ На основе специализированного программного обеспечения (Security event
management software, SEM)
Во втором случае имеется ввиду специализированное программное обеспечение,
занимающееся управлением журналами событий.
Реализация инфраструктуры управления журналами событий на

основе протокола syslog
В случае инфраструктуры на основе протокола syslog процесс генерации журналов
выполняется одинаковым образом в одинаковом формате. Помимо передачи данных,
подлежащих журналированию, на сервер, источник событий обычно сохраняет их и у
себя (локально).
у
г Протокол syslog
Протокол syslog - это, прежде всего, механизм передачи логов от отдельных узлов на
сервер (в место их централизованного хранения). Однако syslog, по сути дела,
представляет собой стандартизованный механизм генерации, передачи и хранения
событий от различных источников.
Построение инфраструктуры управления журналами событий на основе протокола syslog
имеет следующие преимущества:
■ Простота реализации. Протокол прост сам по себе, его настройка обычно не
вызывает затруднений.
■ Богатый выбор программного обеспечения, реализующего необходимый
функционал
358
К недостаткам следует отнести ограниченность числа источников (необходима

поддержка протокола syslog), а также вопросы безопасности:
■ Отстутствие аутентификации источника сообщения
■ Возможные нарушения последовательности доставки сообщений
■ Нарушение целостности
■ Повторная пересылка (replay)
■ Отправка некорректных сообщений
Инфраструктура «SEM»
По сравнению с инфраструктурой syslog-based, SEM - это относительно новый способ
управления журналами событий.
t Сервер анализа и
ш
обработки данных
ш
Сервер хранения
данных
"■ Агенты SEM -
Обязательный элемент данной инфраструктуры - сервер анализа и обработки данных.

Журналы сохраняются в базе данных на сервере хранения. Обычно такая инфраструктура
предполагает наличие агентов на каждом источнике журналов.
Возможна архитектура и без агентов. В этом случае сервер сам подключается к
источникам журналов и переписывает их к себе.
359
Сервер анализ
обработки дань
Сервер хранения
0
данных
W
Подключение к источнику журналов
Вне зависимости от способа получения журналов, сервер SEM выполняет анализ

событий, корреляцию, помогает выделить наиболее значительные события и обычно
поддерживает различные механизмы реагирования.
В целом, продукты SEM имеют следующие возможности:
■ Графический интерфейс
■ Настраиваемая база сигнатур
■ Средства управления инцидентами
■ Корреляция
В сфере продуктов SEM отсутствуют какие-либо стандарты, поэтому каждый
разработчик использует свои форматы данных и протоколы взаимодействия.
Дополнительные компоненты инфраструктуры управления
журналами
В процессе управления журналами событий может оказаться полезным программное
обеспечение, реализующие перечисленные далее функции.
Средства сбора и анализа сетевого трафика
Помимо традиционных сетевых систем обнаружения атак (Network Intrusion Detection
Systems, NTOS), трафик может быть получен и с межсетевых экранов, а также с серверов
360
Сервер
аутентиф икации
Системы обнаружения атак уровня узла

Указанные системы, помимо анализа трафика защищаемого узла, выполняют контроль
запускаемых приложений, осуществляют антивирусную защиту и т. п.
Дополнительные утилиты и инструменты
В работе могут помочь и перечисленные далее инструменты и утилиты:
■ Инструменты визуализации данных
■ Утилиты ротации
■ Утилиты конвертирования
Введение в технологию обнаружения атак

Обнаружением атак называется процесс идентификации и реагирования на
подозрительную деятельность, направленную на вычислительные ресурсы
Системы обнаружения атак (Intrusion Detection Systems, IDS) предназначены для
своевременного выявления факта нарушения и реагирования на него. Технология
обнаружения атак может быть использована как часть инфраструктуры мониторинга
событий или как самостоятельный механизм защиты.
Необходимость использования данной технологии может быть проиллюстрирована
следующими примерами.
Ситуация 1. Затруднено или невозможно обращение к расположенному в DMZ Web-
серверу компании.
r-V -L
kjaxrp
361
\ \
DMZ
Причиной может быть успешно проведённая DDoS-атака с одной из так называемых

«бот-сетей».
Эффективность защитных механизмов для данного случая можно оценить как:

■ Превентивные - нет
■ Детективные - да
■ Коррективные - нет
Ситуация 2. Резкий рост нагрузки на межсетевой экран
Учсй н ьми ц ентр
■^Г1
362
Причиной может бьггь использование популярных сегодня сетей P2P.
KaZaA
Napster
eDonkey
DMZ
Эффективность приведённых выше защитных механизмов для данного случая можно

оценить как:
■ Превентивные - частично
■ Детективные - да
■ Коррективные - нет
Технология обнаружения атак имеет три составляющие:
У ч в б м ш ц ен тр
363
■ Признаки атак (что обнаруживать?)

■ Источники информации об атаках (где обнаруживать?)
■ Методы анализа информации об атаках (как обнаруживать?)
Соответственно архитектура модуля слежения приведена на следующем рисунке.
Алгоритм (технология)
обнаружения .. _ „
Что и как обнаруживать?
Источники
данных
> С= >
Где обнаруживать? Механизмы
реагирования
В качестве источников данных могут быть использованы:

■ Сетевой трафик
■ Журналы
■ Действия субъектов системы
Алгоритм (технология) обнаружения могут быть следующими:
■ На основе понимания ожидаемого поведения контролируемого объекта
■ На основе знания всех возможных атак и их модификаций
Механизмы реагирования могут быть довольно разнообразны, например:
■ Оповещение
■ Блокировка
■ Вызов внешней программы
■
Классификация систем обнаружения атак

Существует несколько вариантов классификации систем обнаружения атак, далее
приводится несколько вариантов классификации.
Классификация по источнику данных
Этот вариант классификации, который называют также «классификацией по принципу
реализации», показывает, что именно защищает система обнаружения атак. По источнику
данных системы обнаружения атак делятся на два вида:
На базе сетевого сегмента (Network-based) - системы, анализирующие трафик сетевого
сегмента (подобно сетевому анализатору) с целью поиска признаков атак К данному
виду относится большая часть систем обнаружения атак. Принцип работы таких систем
иллюстрирует следующий рисунок.
У ч е б к ш ц ентр
364
Поиск признаков атак
«Препроцессинг»
Фильтр
Захват пакетов
С е те в о й адаптер о ]101 |г
(н е с е л е кт и в н ы й режим р а б о т ы ) п □ Г ~]
г—
IР
На базе узла (host-based) - ориентированные на защиту отдельного узла, входными

данными для таких систем могут являться журналы регистрации и действия
пользователей защищаемого узла.
В некоторых случаях удобнее поместить систему обнаружения атак непосредственно на
защищаемом узле.
VPN-клиенты
DMZ
Классификация по технологии обнаружения

Система обнаружения атак анализирует собранную информацию и делает заключение о
том, произошла атака или нет. При этом может быть использована одна из двух
технологий:
■ Обнаружение злоупотреблений (Misuse Detection)
У чеб м ы и ц е н т р
365
■ Обнаружение аномалий (Anomaly Detection)

В первом случае известен перечень атак, во втором случае известно поведение
контролируемого объекта и любое отклонение считается атакой.
В качестве простейшего примера можно привести сетевую систему обнаружения атак,
занимающуюся синтаксическим разбором отдельных пакетов.
0(0000 1 1 Ai00 «.160

I • п ОС- I I о* 4500 titi :.»Un 1
0*0010 00 •000•001-11 03 м С* о : 1 « т а . сш.
о
«А с * о г
о
с» DA
OsOOZO 0101 117
о« cm t o С 1
г т ■»» : д N SO * I Ы Кр »• и»
ОаООЭО /к to
Л’ *9 00
/г «3
ас о д -г» г» го «1 70€Г ч . . . . (С ) С ору
40
O fОС 7(174 31
у г «» t 31
го » -м IV з г 303031 го tlJ b t 196-2001
S
ОаООСО «* 00
га C o rp ..
ОвООйС од a t од .С : \iIIH D C H S \« y
0*0070 7« и 61' >э г г 31
Именно такой метод и применялся в первых сетевых IDS.

Но обнаружение «злоупотреблений» имеет следующие ограничения:
■ Обнаружение только известных атак
■ Возможные пропуски модификаций атак
■ Отсутствие учёта специфики сети
Альтернативный метод —это обнаружение аномалий.
гТ и
-* —• Уче&мм) центр
366
Источники данных
(журналы, сетевой трафик, включая NetFlow,
деятельность субъектов системы)
Данными для построения профиля поведения могут служить:

■ Объёмы трафика
■ Отношения между узлами и группами узлов
■ Архив потоков данных
Пример модели отношений между узлами сети приведён на следующем рисунке:
2 2 (SSH)
80 (HTTP) ICMP
443 (HTTPS)
Клиенты J
DMZ
367
В целом, «аномальный» подход может быть использован в дополнение к обнаружению

злоупотреблений для:
■ Обнаружения отклонений в трафике по времени и объёму
■ Обнаружения нетипичных подключений
■ Обнаружения недоступных узлов и сервисов
Механизмы реагирования
Как уже было сказано выше, механизмы реагирования отличаются разнообразием. Тем не
менее, этот критерий можно использовать для деления систем на два типа.
Оповещение ^
Блокировка =>
Вызов внешней программы о
Системы обнаружения атак Системы противодействия атакам
На следующем рисунке представлены различные варианты оповещения.
"О )
Пейдж ер
т
Э л е к тр о н н а я почта С и сте м а
се те в о го
управления
*
I fp y
Ж &
К о н со л ь
I Те л е ф о н
уп р а в л е н и я
З в у к о в о й сигнал
Варианты регистрации иллюстрирует следующий рисунок.
369
База данных Системный журнал Ш Ш ^ ВШ ЯЯШ Ш Ш МИМ »Ы
Текстовый файл
1Л. —
•i
iro o tih o e tl e o f t # t a l l /v * r/lo g /* n o rt/e l* rt
T y p e : ! Cc<J*. 0 2 5 . Т б ! B .q : 1ЬЭ6 ECHO
(Х г»Г • > h t t f t .'<•*%. w h i t e h e t e . с о * / i n f о / I M 1 *6]
( 1 - 4 ° » <1 iCWP l.<at I СИР P a c k e t [ • • )

f l e e t JC.I»: P o t e n t i a l l y M d T r a f f i c ] [ P r i o r i t y : 2]
0 5 /Z 7 - 1 » : * 9 9 4 9 9 1 9 2 . 1 2 .1 2 . 1 2 - > 1 9 2 . 1 2 . 1 2 . 13
ГСМР TTb: i t rCB OxO 2C ie * S 7 X p b * n :2 3
Т у р а : 0 Cod* г 0 I D 7 t « l» ( |! 4& K (CMC RE FLY
IX re f *> n ttp ://< * * > . « h l ’.e lta t.* . с о » / in f o /lP I Z 4 < H
frootfhoatl »oft]<Д .....
Блокировка предполагает «активное вмешательство» системы обнаружения атак и может

быть выполнена следующими способами:
■ Аварийное завершение TCP-соединения
■ Посылка ICMP Destination Unreachable для блокировки взаимодействия по
протоколу UDP
■ Блокировка трафика, содержащего признаки атаки
■ Карантин
Механизм блокировки «превращает» систему обнаружения атак в систему
противодействия атакам. Это накладывает дополнительные требования, например:
■ Сценарий действий в случае выхода из строя для Network IPS
■ Наличие «мягкого» режима
■ Отсутствие влияния на производительность
■ Качество сигнатур, минимизация ложных срабатываний
Специализированные системы обнаружения атак

В некоторых случаях требуется специфический подход к обнаружению атак, например:
■ Беспроводные сети
■ Специализированный сервер
Специфика беспроводных сетей в том, что:
■ Обнаружение атак в данном случае - «не роскошь, а необходимость»
■ Требуется контроль уровней 1 и 2 (физического и канального)
■ Необходимо осуществлять локализацию нарушителя
Это делает инфраструктуру обнаружения атак, такой как на следующем рисунке:
371
Список литературы
1. «Конституция Российской Федерации», принята всенародным голосованием 12 декабря 1993г.
2. «О Декларации прав и свобод человека и гражданина», Постановление Верховного Совета РСФСР
от 22.11.1991 № 1920-1.
3. «Доктрина информационной безопасности Российской Федерации», утверждена Президентом РФ 9
сентября 2000г. №Пр-1895.
Кодексы :
4. «Уголовный кодекс Российской Федерации», принят Федеральным законом от 13 июня 1996г. №
63-Ф3.
5. «Кодекс Российской Федерации об административных правонарушениях», принят Федеральным
законом от 30 декабря 2001г. №195-ФЗ.
6. «Гражданский кодекс Российской Федерации (часть первая)», принят Федеральным законом от 30
ноября 1994г. №51-ФЗ.
7. «Гражданский кодекс Российской Федерации (часть вторая)», принят Федеральным законом от 26
января 1996г. №14-ФЗ.
8. «Гражданский кодекс Российской Федерации (часть третья)», принят Федеральным законом от 26
ноября 2001г. №146-ФЗ.
9. «Гражданский кодекс Российской Федерации (часть четвертая)», принят Федеральным законом от
18 декабря 2006г. №230-Ф3.
10. «Трудовой кодекс Российской Федерации», принят Федеральным законом от 30 декабря 2001 г. №
197-ФЗ.
11. «Воздушный кодекс Российской Федерации» принят Федеральным законом от 19 марта 1997г. №
60-ФЗ. Статья 85.1. Персональные данные пассажиров воздушных судов.
Ф едеральны е законы :
12. Федеральный Закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях
и о защите информации».
13. Федеральный Закон от 11 июля 2011г. № 200-ФЗ «О внесении изменений в отдельные
законодательные акты Российской Федерации в связи с принятием Федерального Закона «Об информации,
информационных технологиях и о защите информации».
14. Федеральный Закон от 19 декабря 2005г. № 160-ФЗ «О ратификации Конвенции Совета Европы о
защите физических лиц при автоматизированной обработке персональных данных».
15. Федеральный Закон от 27 июля 2006г. № 152-ФЗ «О персональных данных».
16. Федеральный Закон от 29 июля 2004г. № 98-ФЗ «О коммерческой тайне».
17. Федеральный закон от 2 декабря 1990г. № 395-1 «О банках и банковской деятельности».
18. Федеральный закон от 4 мая 2011г. № 99-ФЗ «О лицензировании отдельных видов деятельности».
19. Федеральный закон от 6 апреля 2011г. № 63-Ф3 «Об электронной подписи».
20. Федеральный Закон от 10 января 2002 г. № 1-ФЗ «Об электронной цифровой подписи».
21. Федеральный закон от 27 декабря 2002г. № 184-ФЗ «О техническом регулировании».
22. Закон Российской Федерации от 21 июля 1993г. №5485-1 «О государственной тайне».
23. Федеральный закон от 28 декабря 2010г. № 390-Ф3 «О безопасности».
24. Федеральный закон от 3 апреля 1995г. № 40-ФЗ «О Федеральной службе безопасности».
25. Федеральный закон от 7 июля 2003г. № 126-ФЗ «О связи».
26. Федеральный закон от 27 июля 2004г. № 79-ФЗ «О государственной гражданской службе
Российской Федерации».
27. Федеральный закон от 2 марта 2007г. № 25-ФЗ «О муниципальной службе в Российской
Федерации». Статья 29. Персональные данные муниципального служащего.
У казы П резидента Российской Ф едерации:

28. Указ Президента Российской Федерации от 12 мая 2009 г. № 537 «О Стратегии национальной
безопасности Российской Федерации до 2020 года».
’
II Информзащита
Учябммчмтг
372
29. Указ Президента Российской Федерации от 6 марта 1997г. № 188 «Об утверждении перечня
сведений конфиденциального характера» (в ред. Указа Президента Российской Федерации от 23 сентября
2005г. № 1111).
30. Указ Президента Российской Федерации от 30 мая 2005г. № 609 «Об утверждении Положения о
персональных данных государственного гражданского служащего Российской Федерации и ведении его
личного дела».
31. Указ Президента Российской Федерации от 3 апреля 1995г. № 334 «О мерах по соблюдению
законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а
также предоставления услуг в области шифрования информации (в ред. Указа Президента Российской
Федерации от 25 июля 2000г. №1358)».
32. Указ Президента Российской Федерации от 17 марта 2008г. № 351 «О мерах по обеспечению
информационной безопасности Российской Федерации при использовании информационно
телекоммуникационных сетей международного информационного обмена».
33. Указ Президента Российской Федерации от 16 августа 2004г. № 1085 «Вопросы Федеральной
службы по техническому и экспортному контролю» (Выписка).
П остановления П рави тел ьства Р оссийской Ф едерации:

34. Постановление Правительства РСФСР от 5 декабря 1991г. № 35 «О перечне сведений, которые не
могут составлять коммерческую тайну».
35. Постановление Правительства Российской Федерации от 16 марта 2009г. № 228 «О федеральной
службе по надзору в сфере связи, информационных технологий и массовых коммуникаций».
36. Постановление Правительства Российской Федерации от 15 сентября 2008г. № 687 «Об
утверждении Положения об особенностях обработки персональных данных, осуществляемой без
использования средств автоматизации».
37. Постановление Правительства Российской Федерации от 17 ноября 2007г. № 781 «Об утверждении
Положения об обеспечении безопасности персональных данных при их обработке в информационных
системах персональных данных».
38. Постановление Правительства Российской Федерации от 6 июля 2008г. № 512 «Об утверждении
требований к материальным носителям биометрических персональных данных и технологиям хранения
таких данных вне информационных систем персональных данных».
39. Постановление Правительства Российской Федерации от 4 марта 2010г. № 125 «О перечне
персональных данных, записываемых на электронные носители информации, содержащиеся в основных
документах, удостоверяющих личность гражданина Российской Федерации, по которым граждане
Российской Федерации осуществляют выезд из Российской Федерации и въезд в Российскую Федерацию».
40. Постановление Правительства Российской Федерации от 16 апреля 2012г. № 313 «Об утверждении
Положения о лицензирования деятельности по разработке, производству, распространению шифровальных
(криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с
использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в
области шифрования информации, техническому обслуживанию шифровальных (криптографических)
средств, информационных систем и телекоммуникационных систем, защищенных с использованием
шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание
шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем,
защищенных с использованием шифровальных (криптографических) средств, осуществляется для
обеспечения собственных нужд юридического лица или индивидуального предпринимателя)».
41. Постановление Правительства Российской Федерации от 31 августа 2006г. № 532 «О
лицензировании деятельности по разработке и (или) производству средств защиты конфиденциальной
информации».
42. Постановление Правительства Российской Федерации от 3 февраля 2012г. № 79 «О
лицензировании деятельности по технической защите конфиденциальной информации».
43. Постановление Совета Министров - Правительства Российской Федерации от 15 сентября 1993г. №
912-51 «Об утверждении Положения о государственной системе защиты информации в Российской
Федерации от иностранных технических разведок и от ее утечки по техническим каналам» (Извлечения).
44. Постановление Правительства Российской Федерации от 18 мая 2009г. № 424 «Об особенностях
подключения федеральных государственных информационных систем к информационно
телекоммуникационным сетям».
373
45. Постановление Правительства Российской Федерации от 15 мая 2010г. № 330 «Об особенностях
оценки соответствия продукции (работ, услуг),используемой в целях защиты сведений, относимых к
охраняемой в соответствии с законодательством Российской Федерации информации ограниченного
доступа, не содержащей сведения, составляющие государственную тайну, а также процессов ее
проектирования (включая изыскании), производства, строительства, монтажа, наладки, эксплуатации,
хранения, перевозки, реализации, утилизации и захоронения, об особенностях аккредитации органов по
сертификации и испытательных лабораторий (центров), выполняющих работы по подтверждению
соответствия указанной продукции (работ, услуг)».
46. Постановление Правительства Российской Федерации от 26 июня 1995г. № 608 «О сертификации
средств защиты информации».
47. Постановление Правительства Российской Федерации от 21.04.2010 № 266 «Об особенностях
оценки соответствия продукции (работ, услуг), используемой в целях защиты сведений, составляющих
государственную тайну или относимых к охраняемой в соответствии с законодательством Российской
Федерации иной информации ограниченного доступа, и продукции (работ, услуг), сведения о которой
составляют государственную тайну, предназначенной для эксплуатации в загранучреждениях Российской
Федерации, а также процессов ее проектирования (включая изыскания), производства, строительства,
монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации и захоронения, об
особенностях аккредитации органов по сертификации и испытательных лабораторий (центров),
выполняющих работы по подтверждению соответствия указанной продукции (работ, услуг), и о внесении
изменения в Положение о сертификации средств защиты информации».
48. Постановление Правительства Российской Федерации от 3 ноября 1994г. № 1233 «Об утверждении
Положения о порядке обращения со служебной информацией ограниченного распространения в
федеральных органах исполнительной власти».
49. Постановление Правительства Российской Федерации от 21 марта 2012г. №211 «Об утверждении
перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным
Законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами,
операторами, являющимися государственными или муниципальными органами».
Нормативные документы Ф СТЭК России:

50. Приказ ФСТЭК Российской Федерации, ФСБ Российской Федерации, Министерства
информационных технологий и связи Российской Федерации
от 13 февраля 2008г. № 55/86/20 «Об утверждении порядка проведения классификации информационных
систем персональных данных», зарегистрирован в Министерстве юстиции Российской Федерации 3 апреля
2008г. № 11462.
51. «Методика определения актуальных угроз безопасности персональных данных при их обработке в
информационных системах персональных данных», утверждена Заместителем директора ФСТЭК России
14 февраля 2008г.
52. «Базовая модель угроз безопасности персональных данных при их обработке в информационных
системах персональных данных (выписка)», утверждена Заместителем директора ФСТЭК России 15
февраля 2008г.
53. «Об утверждении Положения о методах и способах защиты информации в информационных
системах персональных данных», утверждено Приказом ФСТЭК Российской Федерации от 5 февраля
2010г. № 58, зарегистрировано в Министерстве юстиции Российской Федерации 19 февраля 2010г. №
16456.
54. «Методические рекомендации по технической защите информации, составляющей коммерческую
тайну», утверждены Заместителем директора ФСТЭК России 25 декабря 2006г.
55. «Пособие по организации технической защиты информации, составляющей коммерческую тайну»,
утверждены Заместителем директора ФСТЭК России 25 декабря 2006г.
56. «Положение о сертификации средств защиты информации по требованиям безопасности
информации», утверждено приказом председателя Государственной технической комиссии при
Президенте Российской Федерации от 27 октября 1995г. № 199.
57. «Специальные требования и рекомендации по технической защите конфиденциальной информации
(СТР-К)», утверждены приказом председателя Г осударственной технической комиссии при Президенте
Российской Федерации от 30 августа 2002г. № 282.
У чебны й ц ентр
374
58. «Положение по аттестации объектов информатизации по требованиям безопасности информации»,

утверждено председателем Государственной технической комиссии при Президенте Российской
Федерации 25 ноября 1994 г.
59. «Методические рекомендации управлениям ФСТЭК России по федеральным округам об
организации работ по аттестации объектов информатизации по требованиям безопасности информации»,
утверждены заместителем директора ФСТЭК России 25 апреля 2006г.
60. «Сборник временных методик оценки защищённости конфиденциальной информации,
обрабатываемой техническими средствами и системами», утверждены приказом председателя
Государственной технической комиссии при Президенте Российской Федерации, 2001г.
61. «Сборник руководящих документов по защите информации от НСД», утверждены приказом
председателя Государственной технической комиссии при Президенте Российской Федерации, 1998г.
62. «Методические документы по обеспечению безопасности информации в ключевых системах
информационной инфраструктуры», утверждены Заместителем директора ФСТЭК России 18 мая 2007г. и
19 ноября 2007г.
63. «Методические документы по технической защите информации, составляющей коммерческую
тайну», утверждены Заместителем директора ФСТЭК России 25 декабря 2006г.
64. «Методические документы по обеспечению ПДн при их обработке в ИСПДн», утверждены
Заместителем директора ФСТЭК России 14 февраля 2008г. и 15 февраля 2008г. и Приказом ФСТЭК России
от 05 февраля 2010г. № 58.
65. «Руководящий документ. Защита от несанкционированного доступа к информации. Термины и
определения», утвержден решением председателя Гостехкомиссии России от 30 марта 1992 г.
66. «Руководящий документ. Концепция защиты средств вычислительной техники и
автоматизированных систем от несанкционированного доступа к информации», утвержден решением
председателя Гостехкомиссии России от 30 марта 1992 г.
67. «Руководящий документ. Автоматизированные системы. Защита от несанкционированного доступа
к информации. Классификация автоматизированных систем и требования по защите информации»,
утвержден решением председателя Гостехкомиссии России от 30 марта 1992 г.
68. «Руководящий документ. Средства вычислительной техники. Защита от несанкционированного
доступа к информации. Показатели защищенности от несанкционированного доступа к информации»,
утвержден решением председателя Гостехкомиссии России от 30 марта 1992 г.
69. «Руководящий документ. Временное положение по организации разработки, изготовления и
эксплуатации программных и технических средств защиты информации от несанкционированного доступа
в автоматизированных системах и средствах вычислительной техники», утвержден решением председателя
Гостехкомиссии России от 30 марта 1992г.
70. «Руководящий документ. Средства вычислительной техники. Межсетевые экраны. Защита от
несанкционированного доступа. Показатели защищенности от несанкционированного доступа к
информации», утвержден решением председателя Гостехкомиссии России от 25 июля 1997г.
71. «Руководящий документ. Защита информации. Специальные защитные знаки. Классификация и
общие требования», утвержден решением председателя Гостехкомиссии России от 25 июля 1997г.
72. «Руководящий документ. Средства защиты информации. Защита информации в контрольно
кассовых машинах и автоматизированных кассовых системах. Классификация контрольно-кассовых
машин, автоматизированных кассовых систем и требования по защите информации. Сборник руководящих
документов по защите информации от несанкционированного доступа», Гостехкомиссия России, 1998г.
73. «Руководящий документ. Защита от несанкционированного доступа к информации. Часть 1.
Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия
недекларированных возможностей», утвержден приказом председателя Гостехкомиссии России от 4 июня
1999г. № 114.
74. «Руководящий документ. Безопасность информационных технологий. Критерии оценки
безопасности информационных технологий. Часть 1, Часть 2, ЧастьЗ», утвержден приказом председателя
Гостехкомиссии России от 19 июня 2002г. №187.
75. «Руководящий документ. Безопасность информационных технологий. Положение по разработке
профилей защиты и заданий по безопасности», Гостехкомиссия России, 2003г.
76. «Руководящий документ. Безопасность информационных технологий. Руководство по регистрации
профилей защиты», Гостехкомиссия России, 2003г.
У чебным ивитр
375
77. «Руководящий документ. Безопасность информационных технологий. Руководство по

формированию семейств профилей защиты», Гостехкомиссия России, 2003г.
78. «Руководство по разработке профилей защиты и заданий по безопасности», Гостехкомиссия
России, 2003г.
79. «Руководящий документ. Безопасность информационных технологий. Критерии оценки
безопасности информационных технологий. Часть 3. Требования доверия к безопасности», введен в
действие Приказом Гостехкомиссии России от 19 июня 2002г. № 187.
80. «Сборник временных методик оценки защищённости конфиденциальной информации от утечки по
техническим каналам», утвержден первым заместителем председателя Гостехкомиссии России 8 ноября
2001г.
81. «Методика определения актуальных угроз безопасности персональных данных при их обработке в
информационных системах персональных данных», ФСТЭК России, 2008г., пометка «для служебного
пользования» снята Решением ФСТЭК России от 16 ноября 2009г.
82. «Общие требования по обеспечению безопасности информации в ключевых системах
информационной инфраструктуры», утверждены заместителем директора ФСТЭК России 18 мая 2007г.
83. «Базовая модель угроз безопасности информации в ключевых системах информационной
инфраструктуры», утверждены заместителем директора ФСТЭК России 18 мая 2007г.
84. «Базовая модель угроз безопасности персональных данных при их обработке в информационных
системах персональных данных (выписка)», (при рассмотрении угроз утечки информации по каналам
побочных электромагнитных излучений и наводок (ПЭМИН) необходимо применять полную версию
данного документа), ФСТЭК России, 2008г.
85. «Методика определения актуальных угроз безопасности информации в ключевых системах
информационной инфраструктуры», утверждены заместителем директора ФСТЭК России 18 мая 2007г.
86. «Рекомендации по обеспечению безопасности информации в ключевых системах информационной
инфраструктуры», утверждены заместителем директора ФСТЭК России 19 ноября 2007г.
Н орм ативны е докум енты Ф С Б России:

87. «Об утверждении Методических рекомендаций по обеспечению с помощью криптосредств
безопасности персональных данных при их обработке в информационных системах персональных данных
с использованием средств автоматизации», утверждены Приказом ФСБ Российской Федерации 21 февраля
2008г. № 149/54-144.
88. «Об утверждении типовых требований по организации и обеспечению функционирования
шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей
сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности
персональных данных при их обработке в информационных системах персональных данных», утверждены
Приказом ФСБ Российской Федерации 21 февраля 2008 г. N 149/6/6-622.
89. Приказ ФСБ Российской Федерации от 9 февраля 2005г. № 66 «Об утверждении Положения о
разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств
защиты информации (Положение ПКЗ-2005)».
90. Приказ ФАПСИ Российской Федерации от 13 июня 2001г. № 152 «Об утверждении Инструкции об
организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с
использованием средств криптографической защиты информации с ограниченным доступом, не
содержащих сведений, составляющих государственную тайну», зарегистрирован в Министерстве юстиции
Российской Федерации 6 августа 2001 г. № 2848.
Стандарты :
91. ГОСТ Р 51275-99. «Защита информации. Объект информатизации. Факторы, воздействующие на
информацию. Общие положения», принят и введен в действие Постановлением Госстандарта Российской
Федерации от 12 мая 1999г. №160.
92. ГОСТ Р 50739-95. «Средства вычислительной техники. Защита от НСД к информации. Общие
технические требования»
93. ГОСТ Р ИСО/МЭК 15408-1-2002. «Методы и средства обеспечения безопасности. Критерии оценки
безопасности информационных технологий. Часть 1. Введение и общая модель». Госстандарт России.
376
безопасности информационных технологий. Часть 2. Функциональные требования безопасности».
Госстандарт России.
безопасности информационных технологий. Часть 3. Требования доверия к безопасности». Госстандарт
России.
96. ГОСТ Р 50922-96. «Защита информации. Основные термины и определения».
97. ГОСТ 28147-89. «Системы обработки информации. Защита криптографическая. Алгоритм
криптографического преобразования».
98. ГОСТ Р 34.10-2001. «Процедуры выработки и проверки электронной цифровой подписи на базе
асимметричного криптографического алгоритма».
99. ГОСТ Р 34.11-94. «Функция хеширования».
100. ГОСТ 29099-91. «Сети вычислительные локальные. Термины и определения».
101. ГОСТ Р ИСО/МЭК 17799:2005. «Информационная технология. Практические правила управления
безопасностью».
102. BS 7799 1. «Управление информационной безопасностью. Общие требования к управлению
информационной безопасностью».
103. BS 7799 2. «Управление информационной безопасности. Требования и руководство по
применению».
104. BS 7799 3. «Управление информационной безопасности. Руководство по управлению рисками
информационной безопасности».
105. ISO/IEC 27001:2005. «Информационные технологии. Методы обеспечения безопасности. Системы
управления информационной безопасностью. Требования».
106. ISO/IEC 27002:2005 «Информационные технологии. Методы обеспечения безопасности.
Практическое руководство по управлению информационной безопасностью».
Требования к органам аудита и сертификации систем управления информационной безопасностью».
108. ISO/IEC 27001:2005. «Информационные технологии. Методы обеспечения безопасности. Системы
управления информационной безопасностью. Требования».
Практическое руководство по управлению информационной безопасностью».
Требования к органам аудита и сертификации систем управления информационной безопасностью».
Учебные пособия.
111. Петренко С.А., Курбатов В.А. Политики информационной безопасности. М.: Компания АйТи,
2006, 400 с.
112. Безопасность информационных технологий. Руководство слушателя курса БТ01. - М.: УЦ
Информзащита, 2012. - 308 с.
113. Безопасность компьютерных сетей. Руководство слушателя курса БТ03.- М.: УЦ Информзащита,
2 0 1 2 .- 367 с.
114. Основы TCP/IP. Руководство слушателя курса БТ05. - М.: УЦ Информзащита, 2012. - 108 с.
115. Безопасность ОС Windows 2000/ХР/2003. Руководство слушателя курса БТ26. - М.: УЦ
116. Руководство слушателя курса Т005. - М.: УЦ Информзащита, 2012. —245 с.
117. Порядок применения системы защиты Secret Net 5.0 (автономный вариант). Руководство слушателя
курса Т005АВ,- М.: УЦ Информзащита, 2012.-138 с.
118. Порядок внедрения и применения системы КУБ. Руководство слушателя курса Т008. - М.: УЦ
119. Реализация режима коммерческой тайны на предприятии. Руководство слушателя курса КП30. - М.:
УЦ Информзащита, 2012. - 85 с.
120. Организация конфиденциального делопроизводства. Руководство слушателя курса КП31. - М.: УЦ
Информзащита, 2012. -2 1 8 с.
121. Защита персональных данных. Руководство слушателя курса КП32. - М.: УЦ Информзащита, 2012.
- 94 с.
377
Статьи.
122. Правовой анализ локальных нормативных актов работодателя по защите информации
ограниченного доступа / Станскова У.М. // Трудовое право в России и за рубежом. —2011. - № 2.
123. Экспертный анализ методов защиты информации от утечки по техническим каналам / Волков П.П.
// Эксперт-криминалист. - 2009,- № 4.
124. О правовой защите компьютерной информации / Воротников В.Л. // Администратор суда. - 2009. -
№ 2.
125. Актуальные вопросы охраны коммерческой тайны в отношениях с органами государства /
Забегайло JI.A., Назарова И.А. // Современное право. - 2011. - № 7.
126. Административная ответственность как средство обеспечения информационной безопасности /
Савчишкин Д.Б. // Административное и муниципальное право. —2011. - № 6.
127. Электронное государственное управление как новая форма взаимоотношений личности, общества и
государства / Чеботарева А. А. //Государственная власть и местное самоуправление. - 2011. - № 6.
128. Об основных направлениях совершенствования законодательства о развитии Интернета в
Российской Федерации / Маркарьян Р.В. // Международное публичное и частное право. - 2011. - № 4.
129. Организация работы с персональными данными / Кузнецова Т.В. // Трудовое право. - 2011. - № 5.
130. О соблюдении баланса интересов при установлении мер защиты персональных данных / Терещенко
Л.К. // Журнал российского права. - 2011. - №5.
131. Способы совершения преступлений в сфере компьютерной информации / Будаковский Д.С. //
Российский следователь. - 2011. - №4.
132. Киберпреступность: проблемы квалификации преступных деяний / Воронцова С.В. // Российская
юстиция. - 2011. - №2.
133. Административно-правовые средства обеспечения информационной безопасности и защиты
информации в Российской Федерации / Загузов Г.В. // Административное и муниципальное право. - 2010. -
№5.
134. Конфиденциальная информация и институт персональных данных в банковской деятельности /
Палехова Е.А. // Предпринимательское право. - 2010. - №3.

Безопасность информационных технологий (2012) PDF

Загружено:

Сведения о документе

Оригинальное название

Авторское право

Доступные форматы

Поделиться этим документом

Поделиться или встроить документ

Параметры публикации

Этот документ был вам полезен?

Это неприемлемый материал?

Авторское право:

Доступные форматы

Безопасность информационных технологий (2012) PDF

Загружено:

Авторское право:

Доступные форматы

БЕЗОПАСНОСТЬ

Руководство слушателя курса

Все предоставляемые слушателям учебные материалы и

Слушатель курса имеет право на использование всех полученных

Автономная некоммерческая организация

Последняя редакция - 4 мая 2012 года

ВВЕДЕНИЕ В КУРС «БЕЗОПАСНОСТЬ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ» . 12

РАЗДЕЛ I . ОСНОВЫ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ .. 17

Место и роль информационных систем в управлении бизнес-процессами .18

Что такое безопасность информационных технологий.................. 2 9

Статья 272. Неправомерный доступ к компьютерной информации ....112

Доверие к открытому ключу и цифровые сертификаты.............. 144

РАЗДЕЛ II. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ

Общие правила обеспечения безопасности информационных технологий

Определение градаций в ажности и соответствующих уровней

Категорирование защищаемых ресурсов............................... 206

Организационная структура, основные функции подразделения

РАЗДЕЛ III. СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ ОТ

Обзор задач, решаемых средствами аппаратной поддержки систем

Стратегия безопасности Microsoft.................................. 259

РАЗДЕЛ IV. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ КОМПЬЮТЕРНЫХ СИСТЕМ И

Типовая корпоративная сеть.........................................282

С л у ш ател и Программа учебного курса ориентирована на:

Содержание курса В рамках курса рассматриваются:

Необходимая Для лучшего усвоения материала курса слушателям желательно иметь

День 1 Раздел I. Основы безопасности информационных технологий

День 2 Тема 5: Правовые основы обеспечения безопасности информационных

День 3 Раздел II. Обеспечение безопасности информационных технологий

День 5 Раздел IV. Обеспечение безопасности компьютерных систем и сетей

Тема 1: Актуальность проблемы обеспечения безопасности

Место и роль информационных систем в управлении

Без должного внимания к вопросам обеспечения безопасности последствия перехода

Ещё одним весомым аргументом в пользу усиления внимания к вопросам безопасности

ОБОБЩЕННАЯ ОЦЕНКА ИЗДЕРЖЕК

п - количество рисков (угроз)

Анализ рисков состоит в том, чтобы выявить существующие угрозы и оценить их

■ трудностью оценки ущерба по нематериальным активам (репутация,

- затраты на контрольно-проверочные мероприятия, связанные с

возможных негативных аспектов ИТ, которые влияют на целостность и

Прежде всего, необходимо понять, что же такое безопасность информационных

Рис. 1.2.1. Основные компоненты автоматизированной системы

Под обработкой информации в АС будем понимать любую совокупность операций

или иной области (отсюда и смысл введения ограничений на

общественные или коммерческие организации (объединения) и предприятия

отдельных граждан (физические лица).

Рис. 1.3.2. Понятия безопасности и их взаимосвязь (ГОСТ Р ИСО/МЭК 15408-1-2008)

Для обеспечения законных прав и удовлетворения перечисленных выше интересов

Надо отметить, что пользователи и персонал системы также являются

Одним из важнейших аспектов проблемы обеспечения безопасности компьютерных

Благоприятным для повышения безопасности серверов и мостов обстоятельством

функционирования носителя информации), так и непреднамеренное (ошибки

■ уничтожение (наблюдается при хакерском проникновении в

Естественные угрозы - это угрозы, вызванные воздействиями на АС и её элементы

выполнения нарушителем своих служебных обязанностей) с последующим

прямых каналов такое проникновение необходимо. Прямые каналы могут использоваться

Способы нанесения Объекты воздействий

К посторонним лицам, которые могут быть нарушителями, можно отнести:

По уровню возможностей (используемым методам и средствам):

На следующей диаграмме приведены результаты анализа нарушений и проблем с ИТ,

О Ошибки персонала (55%)

К морально-этическим мерам защиты относятся нормы поведения, которые традиционно

Рис. 1.4.1. Взаимосвязь мер обеспечения информационной безопасности

1 - нормативные и организационно-распорядительные документы составляются с учётом

Головные и ведущие научно