Сертификация средств защиты информации. Сертификация средств защиты и персональные данные
Сертификация средств защиты информации вызывала, вызывает и будет вызывать огромное количество вопросов у IT-люда. И к сожалению не только у него: сами «законотворцы» и «методикоделы» не всегда толком могут ответить на вопрос о сертификации. Тут можно выделить пожалуй два подвопроса:
1. Что «хотят» контролирующие органы (ФСТЭК, ФСБ, Роскомнадзор) - далее «КО»;
2. А что «хочет» закон и методики.
Частично написано в ответ на Защита информации и сертификация. Если нет разницы - зачем платить больше? , где, считаю, не совсем корректно представлено текущее положение дел… хотя взгляд на него излагаю из личного опыта общения с КО, сертифицирующими органами, клиентами и опытом внедрения систем защиты.
Не стоит воспринимать эту статью как научный труд о законодательстве в области защиты перс. данных. Скорее как краткое эссе на указанную тему.
Что «хочет» закон и методики
До выхода Постановления Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» ситуация была примерно следующая:Сертификация являлась единственной реально выполнимой формой оценки соответствия средств защиты информации .
Были другие методы, но с ними было всё веселее: отсутствовали технические регламенты по оценке соответствия для конкретных типов средств защиты. Требования были, а руководств по оценке не было. А для государства всё просто: нет процедуры проверки (то есть не описано, какие конкретно процессы являются проверочными для выполнения требования), значит, не существует проверки.
Возможно, можно было бы самостоятельно написать «Программу и методику оценки соответствия», согласовать ее с ФСТЭК или сертифицирующим органом (что очень вряд ли) и написать «Протокол...». Но данный вопрос не исследовал, потому что в большинстве случаев это было слишком трудоемко и не окупалось. Легче было купить сертифицированный продукт или уйти от угрозы в «Модели угроз...».
Это выглядело бы довольно просто с технической точки зрения, если бы требовалось обеспечить СЗИ 5 класс защищенности СВТ, что в большинстве случаев было достаточно (что при беглом взгляде является тестированием функций авторизации продукта как blackbox-системы), но, например, если продукт был в системе класса К1, то еще требовалось обеспечить контроль НДВ (отсутствие недекларированных возможностей). А контроль НДВ 4 уровня по сути представляет из себя отсутствие избыточности кода, которое надо подтвердить опять же сертифицированными средствами навроде АК-ВС или Аист, которые стоят в несколько сотен тысяч рублей.
Да, можно было бы сделать это вручную, но когда у вас имеется продукт с закрытым кодом? Или продукт настолько сложен, что вручную эта работа займет огромное количество времени? И опять же вопрос согласования " Программы и методики...".
И открою маленький секрет: в настоящее время и для сертификационных лабораторий не существует методик и регламентов по оценке, и многие лаборатории создают их по мере опыта. И опыт больше сводится к тому, утвердят ли методику в органе по сертификации, а не к качеству оценки защитных функций.
С выходом же Постановления № 1119 ситуация немного изменилась.
В пункте 12 указано:
Для обеспечения… уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:…
г) использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.
Озвучу своё виденье: теперь сертифицированные СЗИ требуются для закрытия актуальных угроз, соответственно, в ваших руках грамотно составить «Модель угроз...», сведя к минимуму использование данных СЗИ. Остались меры, указанные в Приложении к Положению. Но нет указания ни в постановлении, ни в других нормативных документах на использование СЗИ для реализации требуемых мер.
Также, теперь скромно указано «оценка соответствия», а не «сертификация». Но этот момент я рассмотрел выше: да, это не обязательно сертификация «де-юре», но сертификация «де-факто». И почему это так и нужно воспринимать, ниже.
Что «хотят» контролирующие органы
Думаю, тут стоит отметить два момента:1. В первую очередь стоит отметить, что КО зачастую имеют свой замысловатый взгляд на то, что написано в законе. При этом комментировать свой подход они не сильно собираются. Достаточно вспомнить «обсуждение» Постановления 1119, к которому КО всех пригласили, но никого не послушали и никому ничего не прокомментировали. Тут два предположения: либо они просто не поняли, что им сказали, либо «обсуждение» затевалось для галочки. Мое мнение: всего по чуть-чуть.
Наша организация тоже несколько раз пыталась получить комментарии по некоторым пунктам, которые мы, как интеграторы, должны выполнять, но в ответ лишь было: «А не наше это дело - комментировать, что мы придумали» (как в шутке - «сама придумала, сама обиделась»).
Показательным было уведомление на официальном сайте ФСТЭК (полный текст ):
Одновременно сообщаем, что ФСТЭК России не наделена полномочиями по разъяснению Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119, в том числе в части определения типов угроз персональных данных и порядка определения уровней защищенности персональных данных.
2. В связи с пунктом 1 при проверке все карты будут на руках у ФСТЭК (при проверке ФСТЭК). Усугубляется всё еще тем, что в каждом федеральном округе свои ФСТЭК, Роскомнадзор, ФСБ и почему-то точки зрения в связи с этим у них свои и могут кардинально отличаться от соседнего ФО.
Так что же делать
1. Попытайтесь минимизировать перечень актуальных угроз, тут благо вас никто особо не ограничивает. Приведите разумные аргументы, пропишите их в «Модели угроз...». Но наглеть тоже не стоит.2. Исходя из Модели определитесь с перечнем СЗИ.
Нужно учитывать, что для закрытия угрозы, не обязательно требуется сертифицировать всё ПО, необходимо сертифицировать механизм защиты: если у вас реализован вход в ПО обработки с использованием NTLM-аутентификации (Kerberos) и всё разграничение прав идет на уровне домена, сертифицируйте механизмы домена, а не само ПО (если не требуется НДВ), каким-нибудь Secret Net, Dallas Lock, пакетом сертификации Windows.
В связи с этим решать читателю: «встать в позу» или с минимумом рисков и затрат достичь цели.
К счастью, стоит отметить, что большинство самых используемых продуктов прошли сертификацию и не весь рынок представляет из себя студенческие российские поделки. Если будет интерес, то могу написать небольшой обзор средств защиты для минимального ущерба работоспособности.
Это совокупность участников сертификации, осуществляющих ее по установленным правилам. Данные системы создаются Федеральной службой по техническому и экспортному контролю, Федеральной службой безопасности, Министерством обороны и Службой внешней разведки Российской Федерации, уполномоченными проводить работы по сертификации средств защиты информации в пределах компетенции, определенной для них законодательными и иными нормативными актами Российской Федерации (они именуются - федеральные органы по сертификации). Так, например, системы сертификации средств криптографической защиты информации (СКЗИ), в том числе электронной цифровой подписи и электронного ключа на основе криптоалгоритма, создаются ФСБ России , на которую также возложены функции :
Осуществлять регулирование в области разработки, производства, реализации, эксплуатации криптографических средств и защищенных с их использованием систем и комплексов телекоммуникаций, расположенных на территории Российской Федерации, а также в области предоставления услуг по шифрованию информации в Российской Федерации;
Осуществлять государственный контроль за организацией и функционированием криптографической безопасности информационно-телекоммуникационных систем, систем шифрованной, засекреченной и иных видов специальной связи в подразделениях государственных органов и организаций на территории России, а также в ее учреждениях, находящихся за границей.
Для решения этих и ряда других смежных задач в структуре ФСБ России создано единственное в стране профильное учебное заведение - Академия криптографии Российской Федерации .
Сертификация средств защиты информации осуществляется на основании требований государственных стандартов , нормативных документов, утверждаемых Правительством Российской Федерации и федеральными органами по сертификации в пределах их компетенции. В каждой системе сертификации разрабатываются положение о ней, а также перечень средств защиты информации, подлежащих сертификации, и требования, которым эти средства должны отвечать.
Сертификационные испытания СЗИ производят испытательные лаборатории федеральных органов по сертификации, которые несут ответственность за полноту испытаний и достоверность полученных результатов .
Изготовление и реализация СЗИ на территории России осуществляются исключительно при наличии сертификата. При этом изготовители (продавцы) должны иметь лицензию на соответствующий вид деятельности, связанный с оборотом СЗИ .
Лицензия является официальным документом, который разрешает выполнение на определенных условиях конкретного вида деятельности в течение установленного срока. Лицензия действительна на всей территории Российской Федерации, а также в учреждениях Российской Федерации, находящихся за границей. Например, постановлением Правительства Российской Федерации от 29.12.2007 г. № 957 были утверждены положения о лицензировании отдельных видов деятельности, связанных с шифровальными (криптографическими) средствами, а именно о лицензировании:
Деятельности по распространению шифровальных (криптографических) средств;
Деятельности по техническому обслуживанию шифровальных (криптографических) средств;
Предоставления услуг в области шифрования информации;
Разработки, производства шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных и телекоммуникационных систем.
В соответствии с п. 2 названного постановления к шифровальным (криптографическим) средствам относятся:
а) средства шифрования - аппаратные, программные и аппаратно-программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты информации при передаче по каналам связи и (или) для защиты информации от несанкционированного доступа при ее обработке и хранении;
б) средства имитозащиты - аппаратные, программные и аппаратно-программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты от навязывания ложной информации;
в) средства электронной цифровой подписи - аппаратные, программные и аппаратно-программные средства, обеспечивающие на основе криптографических преобразований реализацию хотя бы одной из следующих функций: создание электронной цифровой подписи с использованием закрытого ключа электронной цифровой подписи, подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи, создание закрытых и открытых ключей электронной цифровой подписи;
г) средства кодирования - средства, реализующие алгоритмы криптографического преобразования информации с выполнением части преобразования путем ручных операций или с использованием автоматизированных средств на основе таких операций;
д) средства изготовления ключевых документов (независимо от вида носителя ключевой информации);
е) ключевые документы (независимо от вида носителя ключевой информации).
Вместе с тем требования данного Положения не распространяется на деятельность по распространению (п. 3):
Шифровальных (криптографических) средств, являющихся компонентами доступных для продажи без ограничений посредством розничной торговли, либо сделок по почтовым запросам, либо электронных сделок, либо сделок по телефонным заказам программных операционных систем, криптографические возможности которых не могут быть изменены пользователями, которые разработаны для установки пользователем самостоятельно без дальнейшей существенной поддержки поставщиком и техническая документация (описание алгоритмов криптографических преобразований, протоколы взаимодействия, описание интерфейсов и т. д.) на которые является доступной, в том числе для проверки;
Персональных кредитных карточек со встроенной микроЭВМ, криптографические возможности которых не могут быть изменены пользователями;
Портативных или мобильных радиотелефонов гражданского назначения (типа радиотелефонов, предназначенных для использования в коммерческих гражданских системах сотовой радиосвязи), которые не имеют функции сквозного шифрования;
Приемной аппаратуры радиовещания, коммерческого телевидения или иной аппаратуры коммерческого типа для вещания на ограниченную аудиторию без шифрования цифрового сигнала, в которой шифрование ограничено функциями управления видео- или аудиоканалами;
Специально разработанных и применяемых только для банковских и финансовых операций шифровальных (криптографических) средств в составе терминалов единичной продажи (банкоматов), криптографические возможности которых не могут быть изменены пользователями;
Специально разработанных и применяемых только в составе контрольно-кассовых машин шифровальных (криптографических) средств защиты фискальной памяти;
Шифровальных (криптографических) средств независимо от их назначения, реализующих симметричные криптографические алгоритмы и обладающих максимальной длиной криптографического ключа менее 40 бит, а также реализующих асимметричные криптографические алгоритмы, основанные либо на разложении на множители целых чисел, либо на вычислении дискретных логарифмов в мультипликативной группе конечного поля, либо на дискретном логарифме в группе, отличной от названной, и обладающих максимальной длиной криптографического ключа 128 бит.
Анализ материалов следственной и судебной практики показал, что чаще всего при нарушении авторских и смежных прав в отношении программ для ЭВМ и баз данных преступниками подделывается такое их средство технической защиты, как электронноцифровой ключ (ЭЦК). Он используется исключительно для защиты электронного документа от неправомерного использования и ознакомления с его содержанием.
Электронно-цифровой ключ, также как и обычный - металлический, используется в совокупности с «запирающим устройством (замком)». Роль «замка» выполняет специальная служебная программа для ЭВМ - драйвер ЭЦК. При попытке запуска защищенной программы на исполнение или создания и запуска ее копии драйвер прерывает исполнение этого процесса, обращается к коммутационному порту ЭВМ, проверяет наличие в нем ЭЦК, сверяет его программный код со своим и в случае совпадения возобновляет прерванный ранее процесс (рис. 11).
Рис. 11. Принцип работы программы для ЭВМ, защищенной электронно-цифровым ключом
Таким образом, применительно к технической стороне вопроса электронно-цифровой ключ - это совокупность знаков, значение которой система использует для определения того, должен ли защищенный ресурс быть доступным процессу, выдавшему данное значение ключа . Указанная совокупность знаков находится в электронноцифровой форме на материальном носителе, в качестве которого выступает интегральная микросхема. Конструктивно она может быть оформлена в виде:
Обычного USB-накопителя данных (USB-ключ, подключаемый к стандартному USB-порту компьютера);
Специального переходного устройства в форме разъемной колодки, подключаемой к стандартному LPT- (COM) порту (LPT-ключ);
Металлической таблетки (ключ «iButton»);
Уникального проводного переходного устройства, подключаемого к клавиатурному порту ПЭВМ и разъему провода клавиатуры (клавиатурный ключ).
В настоящее время наибольшее распространение получили следующие виды электронно-цифровых ключей и основанные на них программно-аппаратные средства защиты электронных документов:
- «HASP» (Hardware Against Software Piracy - аппаратное средство для защиты программного обеспечения от пиратов);
- «HardLock» (аппаратный замок);
- «iButton» (Intellectual Button - интеллектуальная кнопка).
Средство защиты электронных документов «HASP» состоит из таких компонентов, как:
Электронный ключ;
Специальное программное обеспечение для адаптации защищаемого программного продукта к электронному ключу, инсталляции драйверов защиты в компьютерную систему пользователя (на машинный носитель), кодирования данных и управления режимами работы ключа (локально или по сети ЭВМ с использованием ЭЦП);
Электронная инструкция пользователя, в которой изложены правила эксплуатации «HASP», порядок работы с ключом, схемы и методы защиты программ для ЭВМ и других электронных документов, способы обнаружения признаков подделки ключа и алгоритм действий пользователя в нештатных ситуациях.
Рассматриваемое средство защиты бесконфликтно работает с большинством современных аппаратных платформ ЭВМ и операционных систем, в связи с чем ключами «HASP» в настоящее время защищается более 2/3 коммерческих программ для ЭВМ, производимых и продаваемых на территории стран СНГ и Балтии .
Каждый ключ «HASP» содержит прикладную уникальную интегральную микросхему (Application Specific Integrated Circuit - ASIC-чип) для работы в LPT- (СОМ-) порту системного блока ЭВМ или специализированный защищенный микроконтроллер для использования в USB-порту ПЭВМ. По своему строению эти микросхемы состоят из двух основных компонентов: крипто-процессора, используемого для кодирования и декодирования потоков данных, посылаемых защищенной программой ключу в процессе работы, и электрически стираемого программируемого постоянного запоминающего устройства (ЭСППЗУ) или «EEPROM-памяти» (Electrically Erasable Programmable Read-only memory - электрически стираемая программируемая только читаемая память), как его чаще всего называют . В ЭСППЗУ в электронно-цифровой форме записывается различная служебная информация, которая может быть многократно перезаписана и считана, а именно:
Серийный номер ключа;
Неизменяемый уникальный код пользователя ключа - комбинация из 5-7 букв и цифр (печатается также графическими знаками на этикетке и корпусе ключа);
Служебные программы - драйверы и приложения, обеспечивающие работу ключа (технологическую коммутацию, программноаппаратную адаптацию, шифрование/дешифрование данных и др.);
Информация пользователя ключа (режим доступа к защищенному электронному документу и др.).
Объем памяти ключа составляет 512 байт. Микросхема выдерживает до 100 тыс. циклов перезаписи каждой ячейки памяти и гарантированно хранит записанную компьютерную информацию в течение не менее 10 лет .
Рассматриваемая технология позволяет «привязать» каждую копию электронного документа к конкретному ключу «HASP», контролировать процесс их распространения и использования, в том числе в сети ЭВМ.
Доступ на использование защищенного электронного документа (его чтение, редактирование, копирование и т. д.) разрешается в случаях если:
К ЭВМ, системе ЭВМ или их сети, на машинных носителях которых он содержится, подключен оригинальный ключ «HASP», соответствующий данному электронному документу;
Количество пользователей электронного документа в компьютерной сети не превышает число, записанное в памяти ключа (устанавливается изготовителем документа с помощью вышеуказанных средств «HASP»).
Система защиты «HardLock» включает электронный ключ «HardLock», карту криптографического программирования ключей (Crypto-Programmer Card) и программное обеспечение, позволяющее за короткий промежуток времени профессионально и быстро создать защиту для файлов данных и других электронных документов.
По внешним признакам и внутреннему строению ключ «HardLock» напоминает «HASP». Он также базируется на микроэлектронном изделии - интегральной микросхеме ASlC, состоящей из микропроцессора, EEPROM-памяти и работающей под управлением уникального программного обеспечения.
ASIC имеет сложную внутреннюю организацию и нетривиальные алгоритмы работы, которые практически невозможно реализовать на аппаратном уровне с помощью стандартных наборов микросхем типа PAL, GAL или PEEL.
Ключ «HardLock» программируется с помощью вышеуказанной криптокарты, после чего позволяет зашифровывать и расшифровывать данные блоками по 64 бита. Количество комбинаций кода равно 248. Напряжение питания микросхемы ASIC составляет всего 1,5 V, поэтому он устойчиво работает во всех стандартных портах ЭВМ и в любых режимах (при соответствующем конструктивном исполнении коммутирующих разъемов). Малый ток потребления ASIC позволяет одновременно использовать практически любое количество ключей «HardLock» на одной ЭВМ, т. е. параллельно работать с несколькими защищенными электронными документами (в мультипрограммном режиме): при чтении они автоматически расшифровываются, а при записи (сохранении) - зашифровываются с использованием алгоритма своего электронного ключа .
Ключи «HardLock» могут использоваться для работы и на автономной ЭВМ, и в локальной компьютерной сети. В последнем случае необходим всего лишь один ключ - «HardLock-Server», подключенный к порту сервера этой сети. «HardLock-Server» может работать в любых компьютерных сетях, использующих такие наиболее распространенные протоколы приема-передачи данных, как TCP/IP, NetBIOS и IPX.
Программное обеспечение электронного ключа «HardLock» включает следующие программы для ЭВМ:
Мастер настройки параметров работы ключа;
Модуль программирования и тестирования работы ключа;
Интерактивное руководство пользователя ключа, содержащее детальное описание каждой функции ключа, правила ее использования и тестирования;
Систему диагностирования ключа, позволяющую быстро определить и устранить возникшие неполадки в работе ключа при его использовании в стандартных программных средах DOS, Win16, Win32 или в компьютерных сетях;
Систему защиты электронных документов сетевого использования - документов, размещенных на Web- и FTP-серверах глобальной компьютерной сети Интернет в виде сайтов и отдельных электронных страниц .
Ключ ««iButton» широко используется в различных автоматизированных системах безопасности, охраны объектов и имущества, требующих идентификации владельца или пользователя: в системах разграничения доступа к компьютерной информации, автоматизированных контрольно-пропускных пунктах (КПП), электронных замках и системах электронной цифровой подписи. Помимо охранных систем «iButton» может служить для идентификации пользователя в системах электронных расчетов, требующих наличия банковских карт.
Рассматриваемый ключ представляет собой миниатюрное электронное устройство, выполненное на базе интегральной микросхемы энергонезависимой памяти, в которой хранится личный идентификационный код пользователя. Герметичный металлический двух- сегментный корпус в виде таблетки диаметром 16 мм и толщиной 3 либо 5 мм предохраняет ее от вредных атмосферных воздействий, механических повреждений и влияния электромагнитных полей. Одновременно металлические сегменты являются электрическими контактами, с помощью которых микросхема подключается к считывающему устройству. Ключ не требует особых условий эксплуатации - температурный диапазон его полноценной работы колеблется от -40 до +80 о С. Для удобства использования таблетка своим основанием впаяна в пластмассовый корпус - держатель, имеющий форму брелока для обычных ключей, с одной стороны которого находится «таблетка», а с другой - сквозное отверстие для его крепления на связке обычных ключей.
Каждому ключу при его изготовлении присваивается уникальный идентификационный номер, количество комбинаций которого достигает 256 триллионов: это исключает возможность его случайного подбора. Время гарантированного хранения идентификационной информации в памяти микросхемы ключа составляет более 10 лет .
Для обеспечения идентификации при работе с компьютером достаточно одного прикосновения к контактному устройству, чтобы пользовательский код считался из памяти «iButton» специальным считывающим устройством - считывателем («замком»), поставляемым вместе с электронным ключом. Считыватель представляет собой контактное миниатюрное электронное устройство, конструктивно оформленное в пластмассовый корпус черного цвета круглой, квадратной или овальной формы. Он может быть настроен на кратковременное касание ключом либо на удержание (фиксацию) ключа. С помощью клеящейся подложки он крепится на корпус ЭВМ, автоматизированного КПП, входных (защитных) дверей охраняемых объектов, дверные косяки, стены, решетки ограждения либо механически встраивается в них. Через адаптер для порта RS-232 считыватель с помощью провода и набора стандартных разъемов подключается к соответствующему порту ЭВМ, системы ЭВМ или их сети.
По функциональному назначению ключи «iButton» подразделяются на три вида: электронный идентификатор (Touch Serial Number); электронный ключ с памятью (Touch Memory); электронный ключ с защищенной памятью (Touch MultiKey) .
Итак, с криминалистических позиций электронно-цифровой ключ можно определить как программируемое электронное техническое устройство, изготовленное на базе интегральной микросхемы, содержащей в своей энергонезависимой памяти уникальный код доступа к охраняемой законом компьютерной информации, и являющееся одним из основных элементов программно-технического средства защиты информации.
Анализ материалов следственной практики позволяет выделить типичные способы подделки программно-аппаратных средств защиты, функционирующих на основе электронно-цифровых ключей 279 280 . Приведем их с учетом степени распространенности:
1. Создание и (или) использование программной копии (эмулятора) ЭЦК.
2. Модификация (переработка) защищенной программы.
3. Комбинированный способ (комплексное использование способов первой и второй группы).
Создание и (или) использование эмулятора 280 - наиболее распространенный способ подделки ЭЦК. Он состоит в написании специальной программы для ЭВМ, которая полностью имитирует работу драйвера защиты и самого ЭЦК. Эмулятор осуществляет программную подмену драйвера ЭЦК, перехватывает обращения к нему защищенной программы и посылает ей правильные ответы по идентификации кода ключа, которого реально нет в порту ПЭВМ (рис. 12). Иными словами, это корректно созданная на программном уровне точная копия ЭЦК и его драйвера, которая вместе с защищенной программой записывается на один материальный носитель.
Рис. 12. Принцип работы программы - эмулятора ЭЦК
Здесь и далее используются материалы, которые были опубликованы нами ранее. См.: Вехов В. Б. К вопросу борьбы с преступлениями в сфере оборота документов, защищенных электронно-цифровыми ключами // Защита информации. Инсайд, 2006. - № 1. - С. 12-16.
Эмуляция - имитация функционирования всей или части одной системы средствами другой системы без потери функциональных возможностей или искажения получаемых результатов. См.: Першиков В. И., Савинков В. М. Толковый словарь по информатике. М.: Финансы и статистика. - 1991. - С. 445.
Этот способ позволяет преступникам использовать защищенную программу, в том числе неограниченное число раз копировать ее вместе с эмулятором на различные машинные носители.
Так, 19 июля 2004 г. Кировским районным судом г. Омска в открытом судебном заседании были рассмотрены материалы уголовного дела в отношении А., обвиняемого в совершении преступлений, предусмотренных ч. 2 ст. 146 и ч. 1 ст. 273 УК РФ. Судом установлено, что А. в период с 30 сентября 2002 г. по 15 марта 2004 г., находясь при исполнении обязанностей инженера автоматизированных систем управления в ЗАО «H-Продукт» и обладая специальными познаниями в сфере установки и распространения компьютерных программ, умышленно причинил ущерб в крупном размере правообладателю бухгалтерской программы ЗАО «1C», путем установки контрафактных экземпляров компьютерной программы «УС: Предприятие 7.7 (сетевая версия). Комплексная поставка» на компьютеры нескольких филиалов своего предприятия.
Поскольку программа «УС: Предприятие 7.7 (сетевая версия). Комплексная поставка» могла работать в локальной компьютерной сети ЗАО «H-Продукт» только с уникальным электронно-цифровым ключом «HardLock-Server», которого у А. не было, он, в целях обеспечения ее нормальной работы без электронного ключа правообладателя, незаконно установил на компьютеры филиалов ЗАО «H-Продукт» программу-эмулятор «Sable», которую скопировал с одного из хакерских сайтов глобальной компьютерной сети Интернет. По заключению судебной компьютерно-технической экспертизы «Sable» является вредоносной программой для ЭВМ. На программном уровне она эмулирует (подменяет) работу ЭЦК «HardLock-Server», настроенного на защиту компьютерной программы «УС: Предприятие 7.7 (сетевая версия). Комплексная поставка», что позволяет использовать эту программу в нарушение режима охраны, установленного ее правообладателем ЗАО «1C», т. е. без подключения соответствующего ЭЦК.
Суд признал А. виновным в незаконном использовании объектов авторского права, совершенном в крупном размере (ч. 2 ст. 146 УК РФ), а также использовании и распространении программы для ЭВМ, заведомо приводящей к несанкционированному блокированию и модификации информации, нарушению работы ЭВМ, системы ЭВМ и их сети (ч. 1 ст. 273 УК РФ), и назначил наказание в виде одного года и шести месяцев лишения свободы условно с испытательным сроком один год, штрафа в размере пяти тысяч рублей и взыскания в пользу потерпевшего ЗАО «1C» денежной суммы 217,5 тысяч рублей. В последующем суд кассационной инстанции признал приговор законным, обоснованным и справедливым .
Алгоритм выявления признаков подделки ЭЦК
1. Установить наличие работающей защищенной программы.
2. Установить наличие или отсутствие в порту ЭВМ (системы ЭВМ) ЭЦК.
3. Попытаться запустить защищенную программу без ЭЦК.
Алгоритм установления местонахождения эмулятора ЭЦК
1. На машинном носителе, на котором находится защищенная программа, произвести поиск программы-эмулятора.
2. По всем реквизитам (названию, объему, дате и логическому расположению на носителе) сравнить исполняемые файлы «взломанной» программы с аналогичными файлами защищенной программы - образцом.
3. По всем реквизитам сравнить драйвер ЭЦК «взломанной» программы с драйвером - образцом. Например, для ЭЦК «HASP» запустить оригинальный драйвер «hinstall-info» (образец) и узнать версию драйвера ЭЦК «взломанной» программы; файлы «haspnt.sys» (для ЭЦК «HASP»), «aksusb.sys», «hardlock.sys» и «hardlock.vxd» (для ЭЦК «HardLock) пореквизитно сравнить с оригинальными.
4. По ключевым словам «emulator», «emu» и другим параметрам произвести поиск папки, в которой может находиться программа- эмулятор.
5. Путем сканирования реестра операционной системы ЭВМ произвести поиск адресов местонахождения программы-эмулятора.
Модификация является вторым по степени распространенности в криминальной практике способом подделки ЭЦК. Он заключается в декомпилировании защищенной программы для ЭВМ , определении логики ее подключения к драйверу ЭЦК, отключении связей с ним и компилировании новых логических построений для корректной работы программы. Этот процесс крайне трудоемкий, поскольку фактически приходится произвести реинжениринг всей защищенной программы, а в некоторых случаях еще и драйвера ЭЦК. При этом нет гарантии того, что после выполнения таких операций «взломанная» программа будет работать.
Подчеркнем, что совершить указанные действия может лишь субъект, обладающий специальными знаниями в области программирования.
Понятие, юридическая сила и криминалистически значимые сведения об электронной цифровой подписи
В настоящее время существует много способов, с помощью которых можно установить подлинность электронного документа и идентифицировать его автора. В рамках криминалистики и судебной экспертизы наиболее перспективными из них являются исследование статичной электронной цифровой подписи и исследование динамичной электронной цифровой подписи.
В отличие от электронно-цифрового ключа электронная цифровая подпись (ЭЦП) позволяет не только защитить электронный документ от подделки, но и установить лицо, его создавшее.
Анализ нормативно-справочной и специальной литературы показывает, что статичная ЭЦП активно используется для удостоверения и защиты документированной компьютерной информации уже более 20 лет. Технология ЭЦП была разработана для нужд Министерства обороны и органов государственной безопасности. До конца 80-х гг. прошлого века данная ЭЦП в основном использовалась в закрытых автоматизированных системах управления и документальной электросвязи для защиты циркулирующих в них сведений.
В 1987 г. технология ЭЦП была рассекречена и передана для использования в народнохозяйственном комплексе страны. Нормативно- правовым актом, закрепившим это решение, стал Государственный стандарт СССР - ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования». В связи с тем, что данная сфера специальных знаний является новой для отечественной юридической науки и практики, подробнее рассмотрим некоторые базовые дефиниции.
«Криптография» в переводе с греческого языка означает тайнопись («криптос» - скрытый и «графи» - пишу), что отражает ее первоначальное предназначение: она исторически зародилась из потребности передачи секретной информации. Длительное время криптография была связана только с разработкой специальных методов преобразования информации с целью ее предоставления в форме, не доступной для потенциального противника. Примитивные (с позиций сегодняшнего дня) криптографические методы письма использовались с древнейших времен и рассматривались скорее как некоторое ухищрение, чем строгая научная дисциплина. Таким образом, классическая задача криптографии - обратимое преобразование некоторого понятного исходного текста (открытого письма) в кажущуюся случайной последовательность некоторых знаков письма, называемую шифртекстом, или криптограммой. При этом криптограмма может содержать как новые, так и имеющиеся в открытом сообщении знаки письма. Количество знаков в криптограмме и в исходном тексте может различаться. Однако непременным требованием является то, что, используя некоторые логические замены символов в криптограмме, можно однозначно и в полном объеме восстановить исходный текст знак в знак. Надежность сохранения информации в тайне обусловливалась в далекие времена тем, что в секрете держался сам метод - алгоритм ее преобразования (шифрования) .
Известно, что секретность алгоритма шифрования принципиально не может обеспечить безусловной невозможности чтения криптограммы потенциальным противником. Поскольку секретные алгоритмы не могут быть проверены широкомасштабными криптоаналитическими исследованиями, то имеется значительно более высокая вероятность (по сравнению с открытыми алгоритмами шифрования) того, что будут найдены эффективные способы доступа к зашифрованной информации. В связи с этими обстоятельствами в настоящее время наиболее широко распространены открытые алгоритмы шифрования, прошедшие длительное тестирование и обсуждение в открытой криптографической литературе. Стойкость современных криптосистем основывается на секретности не алгоритма, а некоторой информации сравнительно малого размера, называемой ключом. Ключ используется для управления процессом криптографического преобразования (шифрования) и является легкосменяемым элементом криптосистемы. Он также может быть заменен самим пользователем в произвольный момент, тогда как алгоритм шифрования является долговременным элементом криптосистемы, на разработку и тестирование которого иногда уходят десятилетия.
С началом применения электронно-цифровых способов обработки информации круг задач криптографии начал расширяться. На данном этапе, когда компьютерные технологии нашли массовое применение, проблематика криптографии включает многочисленные задачи, не связанные непосредственно с засекречиванием информации. Современные проблемы этой науки предполагают разработку систем ЭЦП и тайного электронного голосования, протоколов электронной жеребьевки и идентификации удаленных пользователей компьютерных систем и сетей, методов защиты от навязывания ложных
сообщений и несанкционированного доступа к информационным ресурсам, а также защиты документов и ценных бумаг от подделки .
Теоретической базой для решения задачи построения систем ЭЦП явилось открытие американскими исследователями Диффи и Хеллманом в середине 70-х гг. прошлого века двухключевой криптографии . Высказанные ими революционные идеи построения криптосистем с двумя ключами - закрытым (секретным) и открытым (известным всем пользователям криптосистемы, включая потенциального противника) - привели к резкому увеличению числа научных исследований в области криптографии, обозначили новые пути развития этой отрасли специальных знаний и показали уникальность методов криптографии в условиях массового применения компьютерных технологий.
По мнению специалистов, двухключевые криптоалгоритмы позволяют обеспечить строгую доказательность факта составления того или иного сообщения конкретным пользователем (абонентом) криптосистемы. Это основано на том, что только отправитель сообщения, который держит в тайне свой секретный ключ, может составить сообщение со специфической внутренней структурой. То, что сообщение имеет структуру, сформированную с помощью секретного ключа, проверяется с помощью открытого ключа. Эта процедура называется проверкой электронной цифровой подписи. Вероятность того, что документальное сообщение, составленное нарушителем, может быть принято за сообщение, подписанное каким-либо санкционированным пользователем (абонентом) криптосистемы ЭЦП, чрезвычайно низкая -равная 10 -30 степени. Таким образом, процедура проверки ЭЦП с помощью открытого ключа позволяет с высокой степенью гарантии удостовериться в том, что полученное документальное сообщение было составлено истинным владельцем секретного ключа. Открытый ключ формируется из секретного ключа либо секретный и открытый ключи генерируются одновременно с помощью алгоритма криптографического преобразования, определяемого соответствующим стандартом. Причем определение секретного ключа по открытому является вычислительно сложной задачей .
Все существующие на сегодняшний день системы ЭЦП базируются на трех стандартизированных открытых алгоритмах шифрования данных. Кратко рассмотрим их.
Одним из первых алгоритмов так называемого «блочного» или «двухключевого шифрования» информации стал «Data Encryption Standard» - DES. В 1977 г. он был рекомендован Национальным бюро стандартов и Агентством национальной безопасности (АНБ) США в качестве основного средства криптографической защиты информации и в государственных, и в коммерческих структурах. Однако уже в 1988 г. его использование было ограничено АНБ рамками одних лишь систем электронного перевода денежных средств, где он используется и по настоящее время. Необходимость такого шага была продиктована как ошибками, обнаруженными в ходе эксплуатации алгоритма, так и бурным развитием средств электронновычислительной техники, с помощью которых стало возможно расшифровывание сообщений, зашифрованных с его помощью. С учетом выявленных недостатков в DES стали вноситься изменения, что привело к появлению новых алгоритмов шифрования - NewDES («Новый DES»), TripleDES («Тройной DES») и других. Разработка этих алгоритмов была обусловлена большим количеством атак, которым подвергся DES за многие годы своего существования, а также тем, что 56-битного ключа, используемого в прототипе, стало недостаточно для поддержания требуемого уровня защиты документированной компьютерной информации .
Отечественным аналогом DES является ранее указанный алгоритм блочного шифрования, специфицированный в ГОСТ 28147-89. По мнению специалистов-криптографов, разработчики сумели органично соединить в нем две важные, трудно сочетающиеся друг с другом и не реализованные в DES характеристики: высокую криптографическую стойкость к атакам и возможность эффективного программного исполнения (за счет использования узлов, легко реализуемых на базе современных средств электронно-вычислительной техники и электросвязи). Этот алгоритм использует длинные 256-битные ключи шифрования информации, которые практически невозможно подобрать даже с использованием наисовременнейших компьютерных технологий .
В 1991 г. Национальный институт стандартизации и технологий (NIST) США опубликовал стандарт электронной цифровой подписи («Digital Signature Standard» - DSS), в основу которого был положен криптоалгоритм DSA - видоизмененный аналог алгоритма шифрования данных, ранее предложенный изобретателем Эль-Гамалем и основанный также на принципе формирования открытых и закрытых (секретных) ключей. В данном стандарте ЭЦП представляет собой два больших целых числа (одно - открытый ключ, другое - закрытый ключ), полученных в результате использования хэш-функции и асимметричного алгоритма шифрования (DSA) .
Вместе с тем в электронном документообороте зарубежных стран самым распространенным в настоящее время является алгоритм RSA, названный по первым буквам имен его американских создателей (Rivest, Shamir, Adleman). В начале 90-х гг. прошлого века он был обнародован в открытой печати и принят в качестве стандарта, получившего название «PKCS # 1: RSA Encryption Standard». По мнению специалистов, этот алгоритм более надежен, чем DSA за счет усложнения вычислительных операций над большими целыми числами, определяемых односторонними функциями с секретом. В этом случае открытый и секретный ключ состоит из пары простых целых чисел (в DSA - только из одного). Наряду с указанным преимуществом алгоритм RSA имеет и существенный недостаток - по сравнению с DSA он в 1 000 раз медленнее зашифровывает и расшифровывает данные. Это обстоятельство не позволяет эффективно использовать RSA для защиты объемных сообщений, но не мешает применять его для защиты данных малого объема, например, содержащихся на магнитной полосе или в
памяти интегральной микросхемы пластиковой карты.
В отличие от зарубежных алгоритмов DSA и RSA, обеспечивающих технологии ЭЦП, отечественная система удостоверения и защиты электронных документов свободна от их недостатков. Она определяется государственным стандартом нового поколения - ГОСТ Р 34.10-2001 «Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи», который содержит описание процедур формирования и проверки схемы электронной цифровой подписи, реализуемой с использованием операций группы точек эллиптической кривой, определенной над конечным простым полем. Данный нормативный документ разработан взамен ранее действовавшего ГОСТ Р 34.10-94 «Информационная технология. Криптографическая защита информации. Система электронной цифровой подписи на базе асимметричного криптографического алгоритма». Необходимость его разработки вызвана потребностью в повышении стойкости ЭЦП к несанкционированным изменениям. Стойкость ЭЦП по этому стандарту основывается на сложности вычисления дискретного логарифма в группе точек эллиптической кривой, а также на стойкости используемой хэш-функции по действующему ГОСТ Р 34.11-94 «Информационная технология. Криптографическая защита информации. Функция хэширования».
Рассматриваемый ГОСТ Р 34.10-2001 терминологически и концептуально увязан с международными стандартами ИСО 2382-2-76 «Обработка данных. Словарь. Часть 2. Арифметические и логические операции», ИСО/МЭК 9796-91 «Информационная технология. Методы защиты. Схема цифровой подписи с восстановлением сообщения», серии ИСО/МЭК 14888 «Информационная технология. Методы защиты. Цифровые подписи с приложением» и серии ИСО/МЭК 10118 «Информационная технология. Методы защиты. Хэш-функции».
В настоящее время, помимо систем ЭЦП, на базе этих стандартов разработаны и активно внедряются в практику такие средства криптографической защиты информации, как: «Аккорд», «Верба», «Застава», «Криптон», «Крона», «ФОРТ», «ФПСУ-IP», «Шип» и другие. Их производителями являются ООО «Амикон», фирма «Анкей», МО ПНИЭИ и ОАО «Элвис-плюс».
Вместе с тем, поскольку крупнейшими мировыми производителями программного обеспечения и оборудования для технологий банковских карт международных платежных систем объективно являются зарубежные компании, они, естественно, реализуют в этих продуктах свои национальные стандарты, ставшие международными, - семейств DES, DSA и RSA. Анализ материалов конкретных уголовных дел показывает, что средства ЭЦП, которые создаются на базе этих алгоритмов и интегрируются в электронные платежные системы, довольно легко взламываются либо обходятся преступниками, имеющими высокий образовательный уровень и соответствующие специальные знания.
Так, Главным следственным управлением МВД Республики Казахстан было расследовано уголовное дело по факту незаконного перечисления 6 млн 795 тыс. тенге, сопряженного с использованием системы ЭЦП, построенной на базе одного из указанных стандартов.
Следствием было установлено, что некто О. работал в Алатаус- ком филиале КРАМДС-Банка ведущим специалистом по вычислительной технике. Перед увольнением он в рабочее время переписал на свою дискету программу с секретным ключом ЭЦП, которой удостоверялись электронные платежные документы, отправляемые филиалом КРАМДС-Банка в вычислительный центр (ВЦ) Национального Банка Республики Казахстан. Периодическая смена ключей шифрования обычным (ручным) способом не производилась. Данным стандартом ЭЦП также не была предусмотрена возможность динамического изменения ключей в автоматическом режиме по прошествии определенного времени. Эти обстоятельства и позволили
О. через четыре месяца после увольнения совершить покушение на хищение денежных средств следующим способом.
В своей квартире с помощью компьютера и стандартного программного обеспечения он создал фиктивные электронные документы о зачислении на расчетный счет собственного МП «Анжелика» 6 млн 795 тыс. тенге и перечислении этих средств из Алатауского филиала КРАМДС-Банка, обслуживающего данный счет, в АКБ «Казкоммерцбанк» на счет ТОО «Хасар». Далее О. подписал документы имевшейся у него ЭЦП. Зашифрованные таким образом файлы с бухгалтерскими проводками он скопировал на дискету.
На следующий день О. позвонил оператору ВЦ Нацбанка Республики Казахстан Ч. и, представившись сотрудником филиала КРАМДС-Банка, сообщил, что в филиале якобы произошел устойчивый технический сбой в работе средств электросвязи, вследствие чего они передадут данные о бухгалтерских проводках не по электронной почте (по компьютерной сети), а на дискете, которую привезет сотрудник банка. Ч., зная, что такой порядок передачи электронных документов допускается, не проверил сведения об отсутствии электросвязи с обслуживаемым филиалом КРАМДС-Банка, как того требует инструкция, принял дискету у постороннего лица, не удостоверившись в его личности, и проверил ЭЦП. Установив подлинность ЭЦП и сверив форматы файлов с образцами, Ч. скопировал их с дискеты в компьютерную систему ВЦ и отправил содержащиеся в них электронные бухгалтерские документы на конечную обработку.
В тот же день деньги в сумме 6 млн 795 тыс. тенге были незаконно зачислены на счет ТОО «Хасар», с которым О. заключил договор о покупке товаров народного потребления.
В результате непредвиденных обстоятельств в ТОО «Хасар» товара на указанную сумму, предназначенного для МП «Анжелика», не оказалось, и только по этой причине О. не смог его получить вовремя. Напротив, потерянного О. времени хватило сотрудникам службы безопасности банка, чтобы обнаружить факт незаконного зачисления на счет МП «Анжелика» указанных денежных средств, установить путь их движения по счетам и определить реквизиты счета, на котором они в конечном итоге осели 29 .
На базе двухключевых криптографических алгоритмов, помимо технологий ЭЦП, в настоящее время все более широкое распространение получают системы тайного электронного голосования и криптографическая защита документов и ценных бумаг от подделки.
Валентин
Леонидович
кандидат технических наук, доцент
Никулин Михаил Юрьевич
Правовые основы сертификации средств защиты информации
Аннотация: в статье приведен обзор основных законодательных актов и нормативных документов, лежащих в основе сертификации средств защиты информации по требованиям безопасности информации. Рассматривается структура основных систем обязательной сертификации. Проводится сравнительный анализ правовых аспектов организации каждой из систем сертификации.
Ключевые слова: техническое регулирование, обязательная сертификация, защита тайн.
Задача сертификации средств защиты информации по требованиям безопасности информации возникает при построении автоматизированных систем различного уровня во многих отраслях экономики . Несмотря на то, что наиболее сложными при планировании и реализации сертификационных испытаний остаются технические аспекты, правовые особенности данного вида работ также имеют ряд нюансов и заслуживают отдельного рассмотрения.
В основе любого рода деятельности по оценке соответствия, и, в частности, сертификации средств защиты информации лежит Федеральный закон от 27.12.2002 г. №184-ФЗ «О техническом регулировании». В данном законе под подтверждением соответствия понимается документальное удостоверение соответствия продукции или иных объектов, процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ или оказания услуг требованиям технических регламентов, положениям стандартов, сводов правил или условиям договоров. В свою очередь, одной из форм подтверждения соответствия является сертификация. В области информационной безопасности под сертификацией понимают деятельность третей стороны по подтверждению характеристик средств защиты информации требованиям нормативных документов по защите информации .
При этом Статья 5 названного ранее Закона №184-ФЗ ставит особняком вопросы технического регулирования в отношении оборонной продукции (работ, услуг), поставляемой по государственному оборонному заказу, продукции (работ, услуг), используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа, продукции (работ, услуг), сведения о которой составляют государственную тайну.
Тем самым различные виды сведений, отнесенных к категории ограниченного доступа (см. Таблицу 1), предполагают наличие различных нормативных требований для соответствующих средств защиты информации . Впрочем, на практике большая часть перечисленных в Таблице 1 видов тайн рассматривается просто как конфиденциальная
информация, особняком стоят вопросы организации сертификационных испытаний средств защиты информации, предназначенных для защиты государственной тайны, персональных
Таблица 1
данных, а также ряда более специфических видов защищаемой информации .
Так, например закон Российской Федерации от 21.07.1993 № 5485-1 «О государственной
Сведения, отнесенные к категории ограниченного доступа Основания отнесения сведений к категории ограниченного доступа
Государственная тайна Статья 5 Закона РФ от 21.07.1993 N 5485-1 «О государственной тайне»
Указ Президента РФ от 30.11.1995 N 1203 «Об утверждении Перечня сведений, отнесенных к государственной тайне»
Коммерческая тайна Федеральный закон от 29.07.2004 N 98-ФЗ «О коммерческой тайне»
Статья 12 Федерального закона от 28.11.2011 № 335-ФЗ «Об инвестиционном товариществе»
Персональные данные Статья 7 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных»
Прочие виды тайн Соответствующие законы РФ
тайне» определяет именно сертификацию как единственную форму оценки соответствия таких средств защиты. Статья 28 Закона № 5485-1 гласит, что средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности. При этом организация сертификации средств защиты информации возлагается на федеральный орган исполнительной власти, уполномоченный в области противодействия техническим разведкам и технической защиты информации, федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, и федеральный орган исполнительной власти, уполномоченный в области обороны, в соответствии с функциями, возложенными на них законодательством Российской Федерации.
Тем самым, детализация требований по организации соответствующих систем сертификации возложена, соответственно, на ФСТЭК России, ФСБ России и Минобороны России. Все системы сертификации имеют схожую организационную структуру, указанную на рис. 1.
В ряде случаев федеральный орган выполняет роль органа по сертификации. Как правило, схема проведения сертификации выглядит следующим образом:
Заявитель (это либо разработчик, либо другая компания, заинтересованная в проведении сертификации) подает в федеральный орган по сертификации заявку на проведение сертификационных испытаний некоторого продукта.
Федеральный орган определяет испытательную лабораторию и орган по сертификации.
Испытательная лаборатория, находясь в постоянном контакте с заявителем, проводит сертификационные испытания. Если в процессе испытаний выявляются те или иные несоответствия заявленным требованиям, то они могут быть устранены заявителем в рабочем порядке - что происходит в большинстве случаев, или
Рис.1. Обобщенная структура основных систем сертификации
Правовая информатика
же может быть принято решение об изменении требований к продукту - например, о снижении класса защищенности. Безусловно, возможен вариант, когда сертификационные испытания завершаются с отрицательным результатом.
Детальные протоколы испытаний передаются в орган по сертификации, который проводит их независимую экспертизу. Как правило, в данной экспертизе участвуют не менее двух экспертов, которые независимо друг от друга должны подтвердить, что испытания проведены корректно и в полном объеме .
Федеральный орган по сертификации на основании заключения органа по сертификации оформляет сертификат соответствия.
Следует сказать, что заявитель на сертификацию должен иметь лицензию на право работы в области создания средств защиты информации, а испытательная лаборатория и орган по сертификации - соответственные аттестаты аккредитации .
Что касается документов, на соответствие которым проводятся сертификационные испытания, то они практически идентичны во всех системах сертификации. Существуют два основных подхода к сертификации - и, соответственно, два типа нормативных документов .
Функциональное тестирование средств защиты информации, позволяющее убедиться в том, что продукт действительно реализует заявленные функции. Такое тестирование чаще всего проводится на соответствие конкретному нормативному документу - например, одному из руководящих документов Гостехкомиссии России. Такие документы существуют, например, для межсетевых экранов, для средств защиты от несанкционированного доступа. Если же не существует документа, которому сертифицируемый продукт соответствовал бы в полной мере, то функциональные требования могут быть сформулированы в явном виде - например, в Технических условиях, или в виде Задания по безопасности (в соответствии с положениями стандарта ГОСТ Р 15408). В системе сертификации ФСТЭК России для ряда классов СЗИ (в частности, для систем обнаружения вторжений и антивирусов) разработаны современные нормативные документы на базе «Общих критериев» .
Тестирование программного кода на отсутствие недекларированных возможностей - т.е. возможностей, не описанных или не соответствующих описанным в документации . Классическим примером недекларированных
возможностей являются программные закладки - внесенные в программное обеспечение функциональные объекты, которые при определенных условиях (входных данных) инициируют выполнение не описанных в документации функций, позволяющих осуществлять несанкционированные воздействия на информацию . Выявление недекларированных возможностей предполагает проведение определенных тестов в отношении исходных текстов программного обеспечения - соответственно, предоставление исходных текстов является необходимым условием для возможности проведения сертификационных испытаний .
В большинстве случаев средство защиты информации должно быть сертифицировано как в части основного функционала, так и на предмет отсутствия недекларированных возможностей.
Важным моментом сертификации является выбор схемы сертификации, а именно: партии (одного или нескольких изделий) или серии (типового образца). В случае серии организация-заявитель должна дополнительно пройти спецэкспертизу по проверке возможности осуществлять производство средств защиты информации. В настоящее время Техническим комитетом по стандартизации ТК-362 «Защита информации» проводятся изыскания по формированию требований к системам менеджмента информационной безопасности в части управления безопасным производством программных СЗИ .
В заключение необходимо отметить, что на сегодняшний день фактически не существует процедуры взаимного признания сертификатов соответствия между различными системами сертификации средств защиты информации - существуют лишь единичные случаи, когда решение о возможности использования материалов испытаний, полученных в рамках работ в другой системе, принимается федеральным органом по сертификации в индивидуальном порядке. На наш взгляд, разработка системы унификации требований могла бы стать интересным направлением нормотворческой деятельности.
Литература
1. Барабанов А. В. Стандартизация процесса разработки безопасных программных средств // Вопросы кибербезопасности. 2013. № 1(1). - С.37-41.
2. Барабанов А.В., Марков А.С., Фадин А.А. Сертификация программ без исходных тек-
стов // Открытые системы. СУБД. 2011. № 4. - С.38-41.
3. Барабанов А.В., Марков А.С., Цирлов В.Л. Сертификация систем обнаружения вторжений // Открытые системы. СУБД. 2012. № 3. - С.31-33.
4. Барабанов А.В., Марков А.С., Цирлов В.Л. Сертификация средств антивирусной защиты по новым требованиям безопасности информации // Вестник МГТУ им. Н.Э. Баумана. Сер. «Приборостроение». 2012. Спецвыпуск №5 «Информатика и системы управления». - С.272-278.
5. Барабанов В., Марков А.С., Цирлов В.Л. Методический аппарат оценки соответствия автоматизированных систем требованиям безопасности информации // Спецтехника и связь. 2011. № 3. - С. 48-52.
6. Жидков И.В., Кадушкин И.В. О признаках потенциально опасных событий в информационных системах // Вопросы кибербезо-пасности. 2014. № 1(2). - С. 40-48.
7. Клянчин А.И. Каталог закладок АНБ (Spigel). Часть 1. Инфраструктура // Вопросы кибер-безопасности. 2014. № 2 (3). - С. 60-65.
8. Марков А.С., Миронов С.В., Цирлов В.Л. Выявление уязвимостей программного обеспечения в процессе сертификации // Известия Южного федерального университета. Технические науки. 2006. Т. 62. № 7. - С. 82-87.
9. Марков А.С., Цирлов В.Л. Опыт выявления уязвимостей в зарубежных программных
продуктах // Вопросы кибербезопасности. 2013. № 1(1). - С.42-48.
10. Марков А.С., Цирлов В.Л. Сертификация программ: мифы и реальность // Открытые системы. СУБД. 2011. № 6. - С.26-29.
11. Марков А.С., Цирлов В.Л., Маслов В.Г., Олексенко И.А. Тестирование и испытания программного обеспечения по требованиям безопасности информации // Известия Института инженерной физики. 2009. Т.2, №12. - С.2-6.
12. Матвеев В.А., Цирлов В.Л. Состояние и перспективы развития индустрии информационной безопасности Российской Федерации в 2014 г. // Вопросы кибербезопасности. 2013. № 1(1). - С.61-64.
13. Рибер Г., Малмквист К., Щербаков А. Многоуровневый подход к оценке безопасности программных средств // Вопросы кибербе-зопасности. 2014. № 1(2). - С. 36-39.
14. Федичев А.В., Артамошин С.А. Систематизация видов отношений и ответственности при получении доступа к информации // Вопросы кибербезопасности. 2014. № 2 (3). - С. 51-59.
15. Шахалов И.Ю. Лицензирование деятельности по технической защите конфиденциальной информации // Вопросы кибербезопас-ности. 2013. № 1(1). - С.49-54.
16. Шахалов И.Ю., Дорофеев А.В. Основы управления информационной безопасностью современной организации // Правовая информатика. 2013. № 3. - С. 4-14.
03.07.2015 15:31:32
За более чем двадцать лет существования российских систем сертификации средств защиты информации специалисты коммерческих компаний и государственных организаций осознали, что в ряде случаев нужно приобретать сертифицированные экземпляры программного обеспечения, предназначенного для обработки конфиденциальной информации. Наиболее опытные из них даже уверенно отвечают на вопрос “в каких случаях?”: для использования в государственных информационных системах и для защиты персональных данных. К сожалению, дополнительные наводящие вопросы, вроде “на соответствие каким требованиям?” и “на какой уровень?”, по-прежнему ставят их в тупик. Попробуем с этими вопросами разобраться.
“- На вашу программу есть сертификат ФСТЭК?
Есть. Вас какой интересует?
А что, они бывают разные?”
(Из бесед с заказчиками)
1. Что на что сертифицируется
Прежде всего нужно понимать, что требования о сертификации по требованиям безопасности информации распространяются не на все используемое программное обеспечение, а только на то, с помощью которого эти самые требования выполняются. Требования об использовании именно сертифицированных экземпляров средств защиты устанавливаются непосредственно в нормативных документах, устанавливающих и прочие требования безопасности. К примеру, для государственных информационных систем необходимость использования сертифицированных средств защиты установлена приказом ФСТЭК России №17 от 11.02.2013.
На сегодняшний день фактически выделены следующие виды средств защиты:
- средства вычислительной техники со встроенными функциями безопасности;
- межсетевые экраны;
- средства контроля съемных носителей информации;
- средства доверенной загрузки;
- средства антивирусной защиты;
- средства обнаружения вторжений;
- прочие программные и аппаратные средства, реализующие функции безопасности.
Для первых шести видов средств защиты существуют определенные требования информационной безопасности, установленные методическими документами ФСТЭК России. В последнем случае требования к функциям безопасности устанавливает их разработчик или поставщик, оформляя их в виде технических условий или задания по безопасности (эти документы подробнее рассмотрим дальше). Кроме требований к функциям безопасности, к средству защиты могут предъявляться дополнительные требования, например, требования по контролю отсутствия недекларированных возможностей (если проще - уязвимостей и программных закладок, далее - НДВ) определенного уровня, обеспечиваемого производителем при создании этого средства защиты. Эти требования также определены в соответствующем методическом документе ФСТЭК.
Для каждого вида средств защиты, кроме последнего, определяются несколько классов или уровней предъявляемых требований. К примеру, для межсетевых экранов установлены пять классов требований, при этом первый класс содержит максимальный объем требований безопасности, а пятый - минимальный. Таким образом, типичный сертификат соответствия содержит, как правило, два утверждения, например: “на соответствие 5 классу межсетевых экранов и 4 уровню контроля отсутствия НДВ”.
2. Процедура сертификации
Процедура сертификации определена в Положении о сертификации средств защиты по требованиям безопасности информации, утвержденном приказом председателя Гостехкомиссии России от 27 октября 1995 г. В процедуре задействованы несколько участников.
Инициатором сертификации выступает заявитель - разработчик средства защиты или иная компания, подающая заявку на сертификацию программного или аппаратного средства. В отличие от систем сертификации прочих стран, в России заявителем может выступать только российская компания, имеющая лицензию на разработку средств защиты информации - причем даже в том случае, если к разработке сертифицируемого изделия она не имеет никакого отношения. Зарубежным производителям, а также российским компаниям, не имеющим лицензий, приходится обращаться к лицензиатам, которые впоследствии становятся дистрибьюторами сертифицированных экземпляров средства защиты. При этом компания разработчик все равно оказывается участником процедуры, так как для прохождения сертификации заявителю требуется комплект программной документации на средство защиты, которой обладает только разработчик.
Оценку соответствия средства защиты заявленным требованиям выполняет испытательная лаборатория - компания, аккредитованная ФСТЭК России в качестве испытательной лаборатории системы сертификации. Деятельность испытательной лаборатории контролирует орган по сертификации - вторая компания, также имеющая соответствующую аккредитацию. Во главе процесса стоит ФСТЭК России.
В общем случае процедура сертификации выглядит следующим образом. Разработчик, не имеющий лицензий на разработку средств защиты, заключает с одним из лицензиатов партнерский договор, в рамках которого обговариваются условия сертификации, а также поставки сертифицированных экземпляров конечному потребителю. Заявитель выбирает испытательную лабораторию (соответствующий реестр публикуется на веб-сайте ФСТЭК России), совместно с которой определяют, на соответствие каким требованиям будет проводиться сертификация и по какой схеме (о схемах - чуть позже). В результате заявитель направляет в ФСТЭК России заявку, содержащую название средства защиты, наименование методического или иного (технические условия, задание по безопасности) документа, на соответствие которому предлагается провести сертификацию, схему сертификации, а также ходатайство о назначении для проведения сертификации выбранной испытательной лаборатории.
Есть несколько причин, помимо формальных, на основании которых заявителю может быть отказано в сертификации. Вот несколько из них:
- некоторые из функций безопасности выходят за рамки компетенции ФСТЭК (например, если выполнение некоторых требований безопасности невозможно без криптографических функций, оценка которых в рамках системы сертификации ФСТЭК невозможна);
- средство защиты уже имеет действующий сертификат или уже проходит сертификацию по заявке другой компании;
- заявитель запрашивает проведение сертификации на соответствие требованиям технических условий или заданию по безопасности при наличии методических документов, определяющих требования к данному виду средств защиты, и т.п.
Учитывая многообразие средств защиты, результат рассмотрения заявки не всегда однозначен. В сложных случаях вопрос выносится на совещание, на которое приглашают заявителя и экспертные организации. В результате, когда стороны договариваются по всем нюансам, ФСТЭК принимает решение о проведении сертификации, утверждает (как правило, хотя возможны и исключения) испытательную лабораторию и назначает, по своему усмотрению, орган сертификации для проведения экспертизы результатов. После этого заявитель заключает договоры с испытательной лабораторией и органом по сертификации, и процесс стартует. Его длительность, в зависимости от того, на соответствие чему проводится оценка, варьируется от шести месяцев до года, хотя бывают и более долгосрочные случаи.
На практике применяются три схемы сертификации:
- сертификация единичного образца;
- сертификация партии изделий;
- сертификация серийного производства.
Сертификация единичного образца, как следует из названия, заключается в том, что проводятся сертификационные испытания определенного дистрибутива средства защиты или определенного устройства. Выданный сертификат в этом случае распространяется только на один дистрибутив или устройство. К настоящему времени подобная схема стала экзотикой, хотя десять лет назад она активно использовалась зарубежными вендорами в маркетинговых целях: “Смотрите, если вам очень понадобится, мы способны пройти сертификацию”.
Сертификация партии проводится, как правило, при закупке в органы государственной власти определенной партии средств защиты, не имеющих обширного рынка сбыта в Российской Федерации (например, в силу их крайне узкого применения или высокой стоимости). В этом случае испытательная лаборатория отбирает из партии некоторое количество образцов и проводит их испытания. В случае успешного завершения испытаний сертификат выдается на всю партию.
Самой распространенной схемой является сертификация серийного производства. Для программно-аппаратных средств защиты производство, как правило, заключается в установке сертифицированного программного обеспечения на определенную модель аппаратной платформы, в некоторых случаях оно включает и производство самой аппаратной платформы. Для программных средств защиты производство заключается в тиражировании дистрибутива на основе сертифицированного эталонного образца. В случае сертифицированного производства заявитель проходит аудит процесса производства и получает право наносить на изделия специальный защитный знак, подтверждающий “сертифицированность” изделия.
3. Особенности сертификации на соответствие отдельным нормативным требованиям
3.1. Руководящие документы Гостехкомиссии России
К настоящему моменту продолжают действовать два руководящих документа ФСТЭК России:
- руководящий документ «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации»;
- руководящий документ «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации».
Первый документ распространяется на аппаратные платформы с предустановленной операционной системой, второй, как следует из названия, на классические межсетевые экраны. Каждый документ определяет несколько уровней требований, предъявляемых к средствам защиты. При этом за годы применения этих документов наработана большая практика, позволяющая однозначно интерпретировать требования применительно к специфике отдельных средств защиты, и проводить тестирование.
Периодически встречаются попытки сертифицировать отдельные средства защиты на соответствие требованиям руководящего документа «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации», а также на соответствие требованиям, предъявляемым нормативными документами ФСТЭК России к информационным системам персональных данных. Потребителям таких средств защиты следует четко понимать, что ни одно отдельно взятое средство не способно в полном объеме выполнить требования этих документов. Как правильно, сертификация в этом случае проводится на соответствие техническим условиям или заданию по безопасности (об этом - позже), в которые включаются отдельные требования нормативных документов. В этом случае в сертификате делается приписка “…и может использоваться в…” (например, в автоматизированных системах до класса 1Б включительно), однако понять, в каком именно объеме выполнены требования нормативных документов на основании только сертификата невозможно, что часто приводит к неприятным сюрпризам на стадии аттестации созданных информационных систем.
3.2. Сертификация на соответствие техническим условиям
Данный вид сертификации пока остается самым популярным. Теоретически сертификация на соответствие техническим условиям допускается только в тех случаях, когда заявляемое средство защиты относится к тому виду, для функций безопасности которого еще не разработаны методические документы. Разработка каждого такого документа - длительный процесс, занимающий два-три года, поэтому на для многих решений, таких как системы анализа защищенности, системы корреляции данных о событиях безопасности или межсетевые экраны нового поколения, нормативных требований пока нет, а сертифицировать их требуется.
Основная особенность технических условий: заявитель сам определяет требования к собственному решению и формулирует их в свободной форме. Стандартизована лишь структура документа, в который эти требования включаются. Это создает определенные трудности при использовании сертифицированных таким образом решений в информационных системах.
Гипотетический пример: нормативный документ может требовать проведения аутентификации пользователя на основе пароля временного действия. для решения этой задачи предлагается система Identity Management, в которой для аутентификации пользователя применяется брелок, генерирующий пользователю однократные пароли. требования к генерации и проверке паролей заявитель формулирует в технических условиях, однако формулировка требования не буквально, ни по сути не совпадает с формулировкой требования нормативного документа. Будет ли использование такого сертифицированного решения считаться выполнением нормативного требования? На этот вопрос нет однозначного ответа, и его решение оставлено на усмотрение аттестационной комиссии.
Процедура сертификации проста и похожа на предыдущий случай. При подаче заявки заявитель прикладывает к ней проект технических условий, и при рассмотрении заявки ФСТЭК внимательно изучает и формулировки требований, и их схожесть с существующими методическими документами. В случае положительного решения заявитель должен предоставить испытательной лаборатории образец для сертификации и проектную документацию. Так как функции безопасности, как правило, реализуются программным обеспечением, в общем случае предоставляются следующие документы:
- спецификация (ГОСТ 19.202-78);
- описание программы (ГОСТ 19.402-78);
- описание применения (ГОСТ 19.502-78);
- пояснительная записка (ГОСТ 19.404-79);
- руководства оператора/программиста/системного программиста (ГОСТ 19.505/504/503-79 соответственно);
- формуляр (ГОСТ 2.601-95).
В ходе сертификационных испытаний испытательная лаборатория оценивает, насколько полно реализация требований технических условий описана в документации, а также проводит тестирование этих функций.
Особенность сертификации на соответствие техническим условиям заключается в том, что заявитель, как правило, не предоставляет текст технических условий потребителю средства защиты. Как уже упоминалось выше, в силу произвольности формулировок технических условий невозможно определить, в каком объеме сертифицированное средство защиты выполняет требования нормативных документов. Поэтому для успешного прохождения аттестации оператору информационной системы следует требовать от заявителя включить в комплект поставки текст технических условий, а в случае отказа - обратиться в соответствующее подразделение ФСТЭК.
3.3. Сертификация на соответствие заданиям по безопасности и профилям защиты
В последние годы ФСТЭК России расширяет применение в системе сертификации требований ГОСТ 15408, являющийся локализацией международного стандарта ISO 15408 «Information technology -- Security techniques -- Evaluation criteria for IT security». Описание этого стандарта - тема отдельной большой статьи, поэтому остановимся только не основных моментах.
Основная задача данного стандарта - унифицировать язык описания требований безопасности и критерии оценки выполнения этих требований сертифицируемыми средствами защиты. Ключевым для потребителя документом является задание по безопасности - отдаленный аналог технических условий, написанный формализованным языком с соблюдением определенных условий. В документе содержатся не только требования к функциям безопасности, но и описание того, как эти функции реализованы в продукте. Кроме того, есть определенные правила описания требований к функциям безопасности, и в основном они формулируются на основе каталога требований, содержащегося в части 2 ГОСТ 15408.
Есть два существенных отличия сертификации на соответствие заданию по безопасности от сертификации на соответствие техническим условиям. Первое и основное - понятие уровня доверия. Помимо требований к функциям безопасности, ГОСТ 15408 определяет требования к составу и содержанию свидетельств, которые заявитель должен предоставить испытательной лаборатории для подтверждения того, что сертифицируемое решение соответствует требованиям. Низший, первый оценочный уровень доверия примерно соответствует сертификации на соответствие техническим условиям: заявитель предоставляет испытательной лаборатории руководства администратора/пользователя и поверхностное описание того, как реализованы функции безопасности, а испытательная лаборатория подтверждает выполнение требований независимым тестированием. Для второго уровня доверия необходимо предоставить подробную проектную документацию и описание жизненного цикла разработки, прежде всего - процесса тестирования, системы управление версиями программного обеспечения и контроля версий исходных кодов. Для третьего уровня необходимо пройти аудит процесса разработки и, в частности, мер защиты, направленных на предотвращение несанкционированного изменения исходных кодов программистами. Для четвертого уровня необходимо предоставить на анализ исходные коды программного обеспечения и так далее.
При этом, в отличие от ГОСТ 19, ГОСТ 15408 предъявляет строгие требования к содержанию документов, в том числе - к тому, как именно должны быть описаны “внутренности” средства защиты. Прежде всего это касается декомпозиции программного обеспечения на подсистемы и модули, выделение интерфейсов, описание интерфейсов и взаимодействия модулей программного обеспечения между собой при выполнении функций безопасности. Такое пристальное внимание к техническим деталям приводит к сравнительно высоким трудозатратам испытательной лаборатории и, как следствие, к сравнительно высокой длительности и стоимости сертификации.
Вторым отличием данного вида сертификации является возможность демонстрации соответствия требованиям методических документов. Для этого ФСТЭК издает в качестве методических документов профили защиты - формализованные шаблоны, содержащие обязательные для выполнения определенным видом средств защиты требований к функциям безопасности, а также специализированным требованиям к свидетельствам доверия. Функциональные требования при этом также формулируются в виде шаблона, например: “должна обеспечиваться аутентификация пользователя на основе [назначение: метод аутентификации] ”. При сертификации заявитель включает в задание по безопасности утверждение о соответствии своего продукта определенному профилю защиты и раскрывает в нем недооформленые требования профиля, например: “должна обеспечиваться аутентификация пользователя на основе [сопоставления папиллярных узоров с эталонными] ”.
При сертификации такого средства защиты испытательная лаборатория проверяет не только выполнение самим средством требования задания по безопасности, но и соответствие самого задание по безопасности тому профилю защиты, заявление о соответствии которому сделано в оцениваемом документе. Сертификат, выданный на основе такой оценки, свидетельствует о том, что средство защиты в полном объеме выполняет требования определенного методического документа.
3.4. Контроль отсутствия недекларированнных возможностей
Контроль отсутствия недекларированных возможностей является одной из наиболее непонятных и непрозрачных для заявителя видов сертификации - до первого самостоятельного опыта такой сертификации. Связано это с тем, что методический документ «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей» практически не содержит требований, которые предъявляются к сертифицируемому образцу. К примеру, согласно данному документу, третий уровень контроля включает в себя динамический анализ исходных кодов, который, в свою очередь, включает в себя “контроль выполнения функциональных объектов (процедур, функций)”. В чем должен заключаться указанный контроль и каким требованиям должен соответствовать исходный код, заявителю предлагается додумать самостоятельно.
На практике все происходит довольно просто. В отличие от остальных видов сертификации, объектом исследования в данном случае является не программное обеспечение средства защиты, а его исходный код, который должен быть предоставлен испытательной лаборатории вместе с программной документацией (спецификацией, описанием программы, описанием применения и пояснительной запиской). Необходимость предоставления исходного кода создает определенные трудности при сертификации зарубежного программного обеспечения. Проблема, как правило, решается направлением специалистов испытательной лаборатории непосредственно в центры разработки сертифицируемых программ или предоставлением им удаленного доступа к стендам центров разработки.
В указанном выше методическом документе определены четыре уровня контроля, на соответствие которым проводится сертификация. Четвертый, низший уровень контроля, заключается в проверке двух фактов:
- что сертифицируемый программный продукт действительно может быть скомпилирован из предоставленных исходных кодов;
- что в предоставленных на сертификацию исходниках нет файлов, не участвующих в процессе компиляции сертифицируемого программного продукта.
Для этого на стенде испытательной лаборатории или разработчика воспроизводится контрольная сборка продукта из исходников, результатом которой должен получиться комплект инсталляционных файлов, идентичный сертифицируемому комплекту с точностью до контрольных сумм отдельных файлов. В действительности такое совпадение не происходит практически никогда, так как системы сборки программного обеспечения, как правило, включают в отдельные файлы метки времени или иные данные, изменяющиеся при каждой компиляции. Данная проблема, как правило решается следующим образом: испытательной лаборатории предоставляется только исходный код, а сертифицируемым образцом признается комплект программных файлов, скомпилированный на стенде специалистами испытательной лаборатории
На третьем уровне контроля производится статический анализ исходного кода. Для этого с помощью синтаксического анализатора строится дерево вызовов процедур и функций, в котором специалисты испытательной лаборатории пытаются обнаружить избыточные элементы (т.е. процедуры и функции, которым, следую логике выполнения программы, не передается управление). Наличие подобных элементов может рассматриваться испытательной лабораторией, как наличие программного кода, не участвующего в реализации функциональных возможностей средства защиты, и, следовательно, содержащий недекларированные (т.е. не ожидаемые пользователем) возможности.
На втором уровне контроля статический анализ дополняется динамическим. Специалисты испытательной лаборатории включают в исходный код основных процедур и функций отладочный код, фиксирующий в специальном файле все обращения к ним. Модифицированное таким образом программное обеспечение прогоняется через серию тестов, в ходе которых эксперты пытаются выявить пути исполнения программы, наличие которых невозможно предугадать статическим анализом кода. Наличие таких “спонтанных” переходов также рассматривается как наличие реализация недекларированных возможностей. Кроме того, эксперты пытаются выделить в дереве вызовов т.н. критические маршруты - пути исполнения программы, связанные с выполнением наиболее важных функций безопасности сертифицируемого средства защиты. Для критических маршрутов проводится более вдумчивый анализ кода, включая анализ условных выражений и циклов, цель которого - обнаружить заложенные разработчиком возможности обхода функций безопасности.
Наконец, первый уровень контроля отличается от второго дополнительным требованием к разработчику об использовании сертифицированных средств разработки и компиляции кода. подобный уровень применяется только для наименований программного обеспечения, разрабатываемого в рамках НИОКР по гособоронзаказу, и в обычной жизни сталкиваться с ним не приходится.
4. Особенности внедрения и эксплуатации сертифицированных средств защиты
Итак, разобравшись с особенностями различных видов сертификации, можно сформулировать примерный алгоритм, которого оператору информационной системы следует придерживаться при выборе сертифицированных средств защиты. Прежде всего, следует внимательно посмотреть нормативные документы, определяющие требования к сертификации используемых или планируемых средств защиты. К примеру, для определенной информационной системы нормативные документы могут не требовать контроля отсутствия НДВ или, напротив, устанавливать определенный минимальный уровень такого контроля.
Определившись с требованиями по сертификации, следует внимательно отнестись к выбору сертифицированных решений. Есть три типовые ошибки, которые совершаются при выборе:
- использование несертифицированных экземпляров сертифицированных средств защиты;
- использование средств защиты с непригодными сертификатами;
- использование средств защиты с невыполнением сертификационных ограничений.
Первая ошибка связана с тем, что сертифицированным считается программный продукт, установленный с определенного носителя. К примеру, очень часто недобросовестные поставщики заявляют, что предлагаемая ими версия программы сертифицирована, подтверждая это записью из реестра сертификатов ФСТЭК России. Нужно четко понимать, что сертифицируется не определенная версия программы, а определенные ее экземпляры. Поставщик должен подтвердить наличие сертификата, предоставив следующие свидетельства:
- в комплект поставки сертифицированного программного средства защиты должна входить документация, включающая в себя копию сертификата и формуляр средства защиты (на листе утверждения последнего должны быть отчетливо различимы подпись должностного лица и печать соответствующего управления ФСТЭК России);
- на носитель дистрибутива программного средства защиты и корпус аппаратного средства защиты должен быть нанесен специальный защитный знак системы сертификации;
- дистрибутив программного средства защиты и аппаратное средство защиты должны соответствовать требованиям, указанным в разделе контроля основных характеристик формуляра (например, для программных средств фиксируются контрольные суммы файлов).
Только при выполнении трех перечисленных выше условий экземпляр средства защиты является сертифицированным.
Большие проблемы вызывает непригодность сертификата. К примеру, для выполнения определенных требований нормативных документов может предлагаться специализированное решение, например, антивирус с дополнительной функцией обнаружения вторжений, поставщик может утверждать, что предлагает сертифицированное решение, подтверждая это утверждение сертификатом контроля отсутствия НДВ. Следует понимать, что этого недостаточно: выполнение функций безопасности должно подтверждаться сертификатом соответствия требованиям руководящего документа, задания по безопасности или технических условий.
С соответствием заданию по безопасности или техническим условиям тоже не все просто. В момент сертификации на определенный вид средств защиты могут отсутствовать утвержденные ФСТЭК профили защиты, и заявитель сертифицирует свое решение на соответствие произвольным техническим условиям и заданию по безопасности. За время срока действия сертификата могут быть приняты новые методические документы, вводящие стандартизованные требования к соответствующему виду средств защиты. При этом возможны два варианта, негативных для потребителя. Во-первых, принятие новых методических документов не отменяет действие ранее выданных сертификатов, но применяться для подтверждения соответствия новым методическим документам такие сертификаты не могут. Тем не менее, недобросовестные поставщики могут по-прежнему продавать такие решения, пользуясь незнанием потребителем этого нюанса.
Кроме того, при сертификации некоторых средств защиты на них (например, на их настройку) накладываются некоторые ограничения. К примеру, в комплект поставки сертифицированных версий операционных систем Microsoft Windows входит инструкция по дополнительной настройке операционной системы, необходимой для выполнения сертификационных требований. Подобные ограничения могут сделать некоторое средство защиты непригодным для использования в информационной системе, а невыполнение этих ограничений будет являться нарушением требований информационной безопасности.
Возвращаясь к контролю основных характеристик, еще раз напомним, что сертификат распространяется только на определенную сборку программного обеспечения с определенным и контрольными суммами файлов. При этом современные программные средства, как правило, требуют регулярного обновления. Как быть в этом случае?
Есть три варианта. Во-первых, в рамках сертифицированного производства для ряда средств защиты (например, для сертифицированных операционных систем Microsoft Windows) запущен процесс сертификации обновлений. Такие обновления устанавливать не только можно, но и требуется.
Во-вторых, в профили защиты на ряд решений (на антивирусные средства, на системы обнаружения вторжений, средства анализа защищенности) в раздел обеспечения доверия закладываются требования об организации периодического обновления (например, обновлений базы сигнатур или решающих правил). Использование такого обновления не приводит к изменению основных файлов программного средства и не нарушает требований аутентичности сертифицированного экземпляра.
Наконец, для прочих средств защиты в рамках системы сертификации создана процедура оценки изменений, вносимых при выпуске новых версий или устранении выявленных ошибок. Для средств защиты, прошедших такую оценку выпускается соответствующее уведомление, распространяющее действие выданного ранее сертификата на обновленную версию.
В остальных случаях, если разработчик не озаботился решением проблемы обновления своего продукта, оператору информационной системы не остается ничего другого, кроме как продолжить использование устаревшей версии со всеми выявленными в ней ошибками и планировать переход на другие сертифицированные решения.
Согласно Закону Российской Федерации «О государственной тайне» средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности.
Кроме того, в соответствии с «Положением о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от её утечки по техническим каналам» (постановление Совета Министров - Правительства Российской Федерации от 15.09.1993 № 912-51) информация, содержащая сведения, отнесённые к государственной или служебной тайне, должна обрабатываться с использованием защищённых систем и средств информатизации и связи или с использованием технических и программных средств защиты, сертифицированных в установленном порядке. Для оценки готовности систем и средств информатизации и связи к обработке (передаче) информации, содержащей сведения, отнесённые к государственной или служебной тайне, проводится аттестование указанных систем и средств в реальных условиях эксплуатации на предмет соответствия принимаемых методов, мер и средств защиты требуемому уровню безопасности информации.
Также следует отметить, что согласно требованиям «Положения о лицензировании деятельности по технической защите конфиденциальной информации» (постановление Правительства Российской Федерации от 3.02.2012 № 79) допускается использование автоматизированных систем, обрабатывающих конфиденциальную информацию, а также средств защиты такой информации, прошедших процедуру оценки соответствия (аттестованных и(или) сертифицированных по требованиям безопасности информации) в соответствии с законодательством Российской Федерации. Не невыполнение данных требований является грубым нарушением лицензионных требований и условий.
В «Положении об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» (постановление Правительства Российской Федерации от 17.11.2007 № 781) сказано, что средства защиты информации, применяемые в информационных системах, в установленном порядке проходят процедуру оценки соответствия.
В Указе Президента Российской Федерации от 17.03.2008 № 351 сказано, что:
при необходимости подключения информационных систем, информационно телекоммуникационных сетей и средств вычислительной техники, применяемых для хранения, обработки или передачи информации, содержащей сведения, составляющие государственную тайну, либо информации, обладателями которой являются государственные органы и которая содержит сведения, составляющие служебную тайну, к информационно-телекоммуникационным сетям международного информационного обмена такое подключение производится только с использованием специально предназначенных для этого средств защиты информации, в том числе шифровальных (криптографических) средств, прошедших в установленном законодательством Российской Федерации порядке сертификацию в Федеральной службе безопасности Российской Федерации и (или) получивших подтверждение соответствия
государственные органы в целях защиты общедоступной информации, размещаемой в информационно-телекоммуникационных сетях международного информационного обмена, используют только средства защиты информации, прошедшие в установленном законодательством Российской Федерации порядке сертификацию в Федеральной службе безопасности Российской Федерации и (или) получившие подтверждение соответствия в Федеральной службе по техническому и экспортному контролю;
размещение технических средств, подключаемых к информационно телекоммуникационным сетям международного информационного обмена, в помещениях, предназначенных для ведения переговоров, в ходе которых обсуждаются вопросы, содержащие сведения, составляющие государственную тайну, осуществляется только при наличии сертификата , разрешающего эксплуатацию таких технических средств в указанных помещениях.
В постановлении Правительства Российской Федерации от 18.05.2009 № 424 сказано, что:
операторы федеральных государственных информационных систем, созданныхили используемых в целях реализации полномочий федеральных органов исполнительной власти и содержащих сведения, указанные в перечне сведений о деятельности Правительства Российской Федерации и федеральных органов исполнительной власти, обязательных для размещения в информационно телекоммуникационной сети Интернет, утверждённом постановлением Правительства Российской Федерации от 12 февраля 2003 г. № 98 «Об обеспечении доступа к информации о деятельности Правительства Российской Федерации и федеральных органов исполнительной власти» (далее - информационные системы общего пользования), при подключении информационных систем общего пользования к информационно телекоммуникационным сетям, доступ к которым не ограничен определённым кругом лиц, обязаны обеспечить: использование при подключении информационных систем общего пользования к информационно телекоммуникационным сетям средств защиты информации, прошедших оценку соответствия (в том числе в установленных случаяхсертификацию ), в порядке, установленном законодательством Российской Федерации.
В постановлении Правительства Российской Федерации от 15.05.2010 № 330 сказано, что аккредитация органа по сертификации и испытательной лаборатории (центра), выполняющих работы по подтверждению соответствия продукции (работ, услуг), указанной в пункте 2 настоящего постановления, осуществляется органом по аккредитации в установленном законодательством Российской Федерации порядке при условии наличия у органа по сертификации и испытательной лаборатории (центра): автоматизированных систем, обрабатывающих информацию ограниченного доступа, а также средств её защиты, прошедших процедуру оценки соответствия (аттестованных и (или) сертифицированных по требованиям безопасности информации) в соответствии с законодательством Российской Федерации.
В остальных случаях сертификация и аттестация носят добровольный характер (добровольная сертификация и аттестация) и может осуществляться по инициативе заказчика или владельца объекта информатизации.
В Федеральном законе от 27.12.2002 № 184-ФЗ «О техническом регулировании » даны следующие определения:
оценка соответствия - прямое или косвенное определение соблюдения требований, предъявляемых к объекту;
подтверждение соответствия - документальное удостоверение соответствия продукции или иных объектов, процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ или оказания услуг требованиям технических регламентов, положениям стандартов, сводов правил или условиям договоров;
сертификация - форма осуществляемого органом по сертификации подтверждения соответствия объектов требованиям технических регламентов, положениям стандартов, сводов правил или условиям договоров;
декларирование соответствия - форма подтверждения соответствия продукции требованиям технических регламентов;
технический регламент - документ, который принят международным договором Российской Федерации, ратифицированным в порядке, установленном законодательством Российской Федерации, или межправительственным соглашением, заключённым в порядке, установленном законодательством Российской Федерации, или федеральным законом, или указом Президента Российской Федерации, или постановлением Правительства Российской Федерации, или нормативным правовым актом федерального органа исполнительной власти по техническому регулированию и устанавливает обязательные для применения и исполнения требования к объектам технического регулирования (продукции, в том числе зданиям, строениям и сооружениям или к связанным с требованиями к продукции процессам проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации);
форма подтверждения соответствия - определённый порядок документального удостоверения соответствия продукции или иных объектов,процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ или оказания услуг требованиям технических регламентов, положениям стандартов или условиям договоров;
схема подтверждения соответствия - перечень действий участников подтверждения соответствия, результаты которых рассматриваются ими в качестве доказательств соответствия продукции и иных объектов установленным требованиям.
Подтверждение соответствия осуществляется в целях:
удостоверения соответствия продукции, процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, работ, услуг или иных объектов техническим регламентам, стандартам, сводам правил, условиям договоров;
содействия приобретателям в компетентном выборе продукции, работ, услуг;
повышения конкурентоспособности продукции, работ, услуг на российском и международном рынках;
создания условий для обеспечения свободного перемещения товаров по территории Российской Федерации, а также для осуществления международного экономического, научно-технического сотрудничества и международной торговли.
Подтверждение соответствия осуществляется на основе принципов:
доступности информации о порядке осуществления подтверждения соответствия заинтересованным лицам;
недопустимости применения обязательного подтверждения соответствия к объектам, в отношении которых не установлены требования технических регламентов;
установления перечня форм и схем обязательного подтверждения соответствия в отношении определённых видов продукции в соответствующем техническом регламенте;
уменьшения сроков осуществления обязательного подтверждения соответствия и затрат заявителя;
недопустимости принуждения к осуществлению добровольного подтверждения соответствия, в том числе в определённой системе добровольной сертификации;
защиты имущественных интересов заявителей, соблюдения коммерческой тайны в отношении сведений, полученных при осуществлении подтверждения соответствия;
недопустимости подмены обязательного подтверждения соответствия добровольной сертификацией.
Подтверждение соответствия разрабатывается и применяется равным образом и в равной мере независимо от страны и (или) места происхождения продукции, осуществления процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ и оказания услуг, видов или особенностей сделок и (или) лиц, которые являются изготовителями, исполнителями, продавцами, приобретателями.
Подтверждение соответствия на территории Российской Федерации может носить добровольный или обязательный характер. Добровольное подтверждение соответствия осуществляется в форме добровольной сертификации.
Обязательное подтверждение соответствия осуществляется в формах:
обязательной сертификации.
Порядок применения форм обязательного подтверждения соответствия устанавливается Федеральным законом «О техническом регулировании».
В отношении продукции (работ, услуг), используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа; продукции (работ, услуг), сведения о которой составляют государственную тайну; продукции (работ, услуг) и объектов, для которых устанавливаются требования, связанные с обеспечением ядерной и радиационной безопасности в области использования атомной энергии; процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации, захоронения соответственно указанной продукции и указанных объектов обязательными требованиями наряду с требованиями технических регламентов являются требования, установленные государственными заказчиками, федеральными органами исполнительной власти, уполномоченными в области обеспечения безопасности, обороны, внешней разведки, противодействия техническим разведкам и технической защиты информации, государственного управления использованием атомной энергии, государственного регулирования безопасности при использовании атомной энергии, и (или) государственными контрактами (договорами). Особенности оценки соответствия указанной продукции (работ, услуг) и объектов, а также соответственно процессов их проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации, захоронения устанавливаются Правительством Российской Федерации.
Технический регламент должен содержать перечень и (или) описание объектов технического регулирования, требования к этим объектам и правила их идентификации в целях применения технического регламента. Технический регламент должен содержать правила и формы оценки соответствия (в том числе в техническом регламенте могут содержаться схемы подтверждения соответствия, порядок продления срока действия выданного сертификата соответствия), определяемые с учетом степени риска, предельные сроки оценки соответствия в отношении каждого объекта технического регулирования и (или) требования к терминологии, упаковке, маркировке или этикеткам и правилам их нанесения. Технический регламент должен содержать требования энергетической эффективности.
Оценка соответствия проводится в формах:
государственного контроля (надзора);
аккредитации;
испытания;
регистрации;
подтверждения соответствия;
приёмки и ввода в эксплуатацию объекта, строительство которого закончено;
в иной форме.
Не включённые в технические регламенты требования к продукции или к связанным с ними процессам проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, правилам и формам оценки соответствия, правила идентификации, требования к терминологии, упаковке, маркировке или этикеткам и правилам их нанесения не могут носить обязательный характер.
Обязательное подтверждение соответствия проводится только в случаях, установленных соответствующим техническим регламентом, и исключительно на соответствие требованиям технического регламента. Объектом обязательного подтверждения соответствия может быть только продукция, выпускаемая в обращение на территории Российской Федерации.
Форма и схемы обязательного подтверждения соответствия могут устанавливаться только техническим регламентом с учётом степени риска недостижения целей технических регламентов.
Декларация о соответствии и сертификат соответствия имеют равную юридическую силу и действуют на всей территории Российской Федерации в отношении каждой единицы продукции, выпускаемой в обращение на территории Российской Федерации во время действия декларации о соответствии или сертификата соответствия, в течение срока годности или срока службы продукции, установленных в соответствии с законодательством Российской Федерации.
Работы по обязательному подтверждению соответствия подлежат оплате на основании договора с заявителем. Стоимость работ по обязательному подтверждению соответствия продукции определяется независимо от страны и (или) места её происхождения, а также лиц, которые являются заявителями.
Декларирование соответствия осуществляется по одной из следующих схем:
принятие декларации о соответствии на основании собственных доказательств;
принятие декларации о соответствии на основании собственных доказательств,доказательств, полученных с участием органа по сертификации и (или) аккредитованной испытательной лаборатории (центра) (далее - третья сторона).
При декларировании соответствия заявителем может быть зарегистрированные в соответствии с законодательством Российской Федерации на её территории юридическое лицо или физическое лицо в качестве индивидуального предпринимателя, либо являющиеся изготовителем или продавцом, либо выполняющие функции иностранного изготовителя на основании договора с ним в части обеспечения соответствия поставляемой продукции требованиям технических регламентов и в части ответственности за несоответствие поставляемой продукции требованиям технических регламентов (лицо, выполняющее функции иностранного изготовителя). Круг заявителей устанавливается соответствующим техническим регламентом. Схема декларирования соответствия с участием третьей стороны устанавливается в техническом регламенте в случае, если отсутствие третьей стороны приводит к недостижению целей подтверждения соответствия.
При декларировании соответствия на основании собственных доказательств заявитель самостоятельно формирует доказательственные материалы в целях подтверждения соответствия продукции требованиям технических регламентов. В качестве доказательственных материалов используются техническая документация, результаты собственных исследований (испытаний) и измерений и (или) другие документы, послужившие мотивированным основанием для подтверждения соответствия продукции требованиям технических регламентов. Состав доказательственных материалов определяется соответствующим техническим регламентом.
При декларировании соответствия на основании собственных доказательств и полученных с участием третьей стороны доказательств заявитель по своему выбору в дополнение к собственным доказательствам:
включает в доказательственные материалы протоколы исследований (испытаний)и измерений, проведённых в аккредитованной испытательной лаборатории (центре);
предоставляет сертификат системы качества, в отношении которого предусматривается контроль (надзор) органа по сертификации, выдавшего данный сертификат, за объектом сертификации.
Сертификат системы качества может использоваться в составе доказательств при принятии декларации о соответствии любой продукции, за исключением случая, если для такой продукции техническими регламентами предусмотрена иная форма подтверждения соответствия.
Декларация о соответствии оформляется на русском языке и должна содержать:
наименование и местонахождение изготовителя;
информацию об объекте подтверждения соответствия, позволяющуюидентифицировать этот объект;
наименование технического регламента, на соответствие требованиям которого подтверждается продукция;
указание на схему декларирования соответствия;
заявление заявителя о безопасности продукции при её использовании в соответствии с целевым назначением и принятии заявителем мер по обеспечению соответствия продукции требованиям технических регламентов;
сведения о проведённых исследованиях (испытаниях) и измерениях, сертификате системы качества, а также документах, послуживших основанием для подтверждения соответствия продукции требованиям технических регламентов;
срок действия декларации о соответствии;
иные предусмотренные соответствующими техническими регламентами сведения.
Срок действия декларации о соответствии определяется техническим регламентом. Форма декларации о соответствии утверждается федеральным органом исполнительной власти по техническому регулированию.
Оформленная заявителем декларация о соответствии подлежит регистрации в едином реестре деклараций о соответствии в течение трёх дней. Порядок формирования и ведения единого реестра деклараций о соответствии, порядок регистрации деклараций о соответствии, предоставления содержащихся в указанном реестре сведений определяются уполномоченным Правительством Российской Федерации федеральным органом исполнительной власти.
Обязательная сертификация осуществляется органом по сертификации на основании договора с заявителем. Схемы сертификации, применяемые для сертификации определённых видов продукции, устанавливаются соответствующим техническим регламентом.
Соответствие продукции требованиям технических регламентов подтверждается сертификатом соответствия, выдаваемым заявителю органом по сертификации.
Сертификат соответствия включает в себя:
наименование и местонахождение заявителя;
наименование и местонахождение изготовителя продукции, прошедшей сертификацию;
наименование и местонахождение органа по сертификации, выдавшего сертификат соответствия;
информацию об объекте сертификации, позволяющую идентифицировать этот объект;
наименование технического регламента, на соответствие требованиям которого проводилась сертификация;
информацию о проведённых исследованиях (испытаниях) и измерениях;
информацию о документах, представленных заявителем в орган по сертификации в качестве доказательств соответствия продукции требованиям технических регламентов;
срок действия сертификата соответствия.
Срок действия сертификата соответствия определяется соответствующим техническим регламентом. Форма сертификата соответствия утверждается федеральным органом исполнительной власти по техническому регулированию.
Обязательная сертификация осуществляется органом по сертификации, аккредитованным в порядке, установленном Правительством Российской Федерации.
В соответствии с действующим законодательством обязательная сертификация проводится в рамках систем сертификации средств защиты информации, созданных федеральными органами исполнительной власти, уполномоченными проводить работы по сертификации средств защиты информации в пределах компетенции, определённой для них законодательными и иными нормативными правовыми актами Российской Федерации. В качестве таких нормативных правовых актов следует отметить:
Постановление Правительства Российской Федерации от 26.06.1995 № 608«О сертификации средств защиты информации»;
Постановление Правительства Российской Федерации от 21.04.2010 № 266 «Об особенностях оценки соответствия продукции (работ, услуг), используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа, и продукции (работ, услуг), сведения о которой составляют государственную тайну, предназначенной для эксплуатации в загранучреждениях Российской Федерации, а также процессов её проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации и захоронения, об особенностях аккредитации органов по сертификации и испытательных лабораторий (центров), выполняющих работы по подтверждению соответствия указанной продукции (работ, услуг), и о внесении изменения в Положение о сертификации средств защиты информации»;
Постановление Правительства Российской Федерации от 15.05.2010 № 330 «Об особенностях оценки соответствия продукции (работ, услуг), используемой в целях защиты сведений, относимых к охраняемой в соответствии с законодательством Российской Федерации информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, а также процессов её проектирования (включая изыскании), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации и захоронения, об особенностях аккредитации органов по сертификации и испытательных лабораторий (центров), выполняющих работы по подтверждению соответствия указанной продукции (работ, услуг)».
Согласно требованиям Постановления Правительства Российской Федерации от 26.06.1995 № 608 «О сертификации средств защиты информации» были созданы системы обязательной сертификации пяти федеральных органов исполнительной власти:
ФАПСИ - Система сертификации средств криптографической защиты информации (утверждена генеральным директором ФАПСИ 28 октября 1993 г., зарегистрирована Госстандартом России в Государственном реестре 15 ноября 1993 г. /Свидетельство № РОСС RU.0001.030001/)- в соответствии с Указом Президента Российской Федерации от 11.03.2003 № 308 в связи с расформированием ФАПСИ соответствующие функции переданы Федеральной службе безопасности Российской Федерации;
ФСТЭК России - Положение о сертификации средств защиты информации по требованиям безопасности информации (введено в действие приказом Председателя Гостехкомиссии России от 27.10.1995 № 199, зарегистрировано Госстандартом России в Государственном реестре 20 марта 1995 г. /Свидетельство № РОСС RU.OOO 1.01 БИ00/);
ФСБ России - Положение о система сертификации средств защиты информации по требованиям безопасности для сведений, составляющих государственную тайну (утверждено приказом ФСБ России от 13 ноября 1999 г. № 564, зарегистрировано в Минюсте России 27 декабря 1999 г. № 2028);
Минобороны России - Система сертификации средств защиты информации по требованиям безопасности информации (введено в действие приказом Министра обороны Российской федерации 1996 г. № 058, зарегистрировано Госстандартом России в Государственном реестре в 1996 г. /Свидетельство № РОСС RU.OOOl.OiriUOO/);
СВР России - Положение о системе сертификации средств защиты информации по требованиям безопасности информации (утверждено директором СВР России 05.08.1998, зарегистрировано Госстандартом России в Государственном реестре 15 марта 1999 г. /Свидетельство № РОСС RU.0001.04C300/).
Конкретные средства и меры защиты информации должны разрабатываться и применяться в зависимости от уровня конфиденциальности и ценности информации, а также от уровня возможного ущерба в случае её утечки, уничтожения, модификации или блокирования.
Необходимой составляющей государственной системы обеспечения информационной безопасности являются национальные (государственные стандарты) и другие руководящие, нормативно-технические и методические документы по безопасности информации, утверждённые федеральными органами исполнительной власти в соответствии с их компетенцией, и определяющие нормы защищённости информации и требования в различных направлениях защиты информации.
К основным стандартам и руководящим документам по вопросам обеспечения безопасности информации, в соответствии с требованиями которых осуществляется сертификация продукции и аттестация объектов информатизации по требованиям безопасности информации, сертификация средств криптографической защиты информации, относятся: ■ в области защиты информации от несанкционированного доступа:
ГОСТ Р 50922-96. Защита информации. Основные термины и определения;
ГОСТ Р 50739-95. Средства вычислительной техники. Защита отнесанкционированного доступа к информации. Общие техническиетребования;
ГОСТ Р 51275-99. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения;
Руководящие документы Гостехкомиссии России (ФСТЭК России):
■ Защита от несанкционированного доступа к информации. Термины и определения; ■ Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации; ■ Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации; ■ Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищённости от несанкционированного доступа к информации; ■ Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от несанкционированного доступа в автоматизированных системах и средствах вычислительной техники; ■ Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищённости от несанкционированного доступа к информации; ■ Защита информации. Специальные защитные знаки. Классификация и общие требования;
■ Средства защиты информации. Защита информации в контрольно-кассовых машинах и автоматизированных кассовых системах. Классификация контрольно-кассовых машин автоматизированных кассовых систем и требования по защите информации;
■ Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей; ■ Безопасность информационных технологий. Критерии оценки безопасности информационных технологий» (Часть 1, Часть 2, Часть 3); ■ и другие; в области защиты информации от утечки по техническим каналам:
ГОСТ Р В50170-2005. Противодействие иностранной технической разведке. Термины и определения;
ГОСТ Р 50752-95. Информационная технология. Защита информации от утечки за счёт побочных электромагнитных излучений при её обработке средствами вычислительной техники. Методы испытаний;
ГОСТ 29339-92. Информационная технология. Защита информации от утечки за счёт побочных электромагнитных излучений при её обработке средствами вычислительной техники. Общие технические требования»;
ГОСТ 30373-95/ГОСТ 50414-92. Совместимость технических средств электромагнитная. Оборудование для испытаний. Камеры экранированные. Классы, основные параметры, технические требования и методы испытаний;
нормативно-методические документы ФСТЭК России:
■ Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР-К); ■ Методические рекомендации по технической защите информации, составляющей коммерческую тайну; ■ Временная методика оценки защищённости помещений от утечки речевой конфиденциальной информации по акустическому и виброакустическому каналам; ■ Временная методика оценки защищённости ОТСС, предназначенных для обработки, хранения и (или) передачи по линиям связи конфиденциальной информации; ■ Временная методика оценки защищённости конфиденциальной информации, обрабатываемой ОТСС, от утечки за счёт наводок на вспомогательные технические средства и системы и их коммуникации; ■ Временная методика оценки защищённости помещений от утечки речевой конфиденциальной информации по каналам электроакустических преобразований
■ в области криптографического преобразования информации при ее хранении и передаче по каналам связи:
ГОСТ 28147-89. Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования;
ГОСТ Р 34.10-2001. Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи;
ГОСТ Р 34.11-94. Функция хеширования;
документы ФСБ России:
■ Положение о разработке, изготовлении и обеспечении эксплуатации шифровальной техники, систем связи и комплексов вооружения, использующих шифровальную технику (ПШ-93); ■ Положение о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005); ■ Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну;
Остановимся более детально на вопросах сертификации средств защиты. Следует отметить, что после передачи лицензирующих подразделений ФАПСИ в ведение ФСБ России основные принципы системы лицензирования и сертификации не изменились. Все ранее выданные ФАПСИ лицензии и сертификаты оставались действительными на обозначенный в них срок.
Сертификация
Под сертификацией средств защиты информации по требованиям безопасности информации понимается деятельность по подтверждению их соответствия требованиям государственных стандартов или иных нормативных документов по защите информации, утверждённых уполномоченными федеральными органами исполнительной власти в пределах ргх компетенции.
Сертификат соответствия - документ, выданный по правилам системы сертификации для подтверждения соответствия сертифицированной продукции установленным требованиям.
Знак соответствия - зарегистрированный в установленном порядке знак, которым по правилам, установленным в данной системе сертификации, подтверждается соответствие маркированной им продукции установленным требованиям.
Средства защиты информации (СЗИ) - технические, криптографические, программные и другие средства, предназначенные для защиты сведений конфиденциального характера, а также средства контроля эффективности защиты информации.
Руководящий документ ФСТЭК России «Средства вычислительной техники. Зашита от несанкционированного доступа к информации. Показатели защищённости средств вычислительной техники» устанавливает классификацию средств вычислительной техники по уровню защищённости от несанкционированного доступа к информации на базе перечня показателей защищённости и совокупности описывающих их требований.
В соответствии с этим руководящим документом возможные показатели защищённости исчерпываются 7-ю классами. По классу защищённости можно судить о номенклатуре используемых механизмов защиты - наиболее защищённым является 1 класс. Выбор класса защищённости зависит от секретности обрабатываемой информации, условий эксплуатации и расположения объектов системы на рисунке "Показатели защищённости СВТ". В частности, для защиты конфиденциальной информации (персональных данных, служебной тайны и др.) можно применять средства защиты 5 и 6 класса.
рисунок - Показатели защищённости СВТ
Другим важным руководящим документом ФСТЭК России является «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей», который устанавливает классификацию программного обеспечения (отечественного и импортного производства) средств защиты информации по уровню контроля отсутствия в нем недекларированных возможностей на рисунке "Классификация по уровню контроля отсутствия недекларированных возможностей".
Недекларироеанные возможности (НДВ) - функциональные возможности программного обеспечения (ПО), не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности и целостности обрабатываемой информации.
рисунок - Классификация по уровню контроля отсутствия недекларированных возможностей
Также следует отметить руководящий документ ФСТЭК России «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищённости от несанкционированного доступа к информации», который устанавливает классификацию межсетевых экранов (МЭ) по уровню защищённости от несанкционированного доступа к информации на базе перечня показателей защищённости и совокупности описывающих их требований на рисунке "Классификация МЭ по уровню защищённости от НСД".
Межсетевой экран - локальное (однокомпонентное) или функционально- распределённое средство (комплекс), реализующее контроль за информацией, поступающей в АС и/или выходящей из АС, и обеспечивает защиту АС посредством фильтрации информации, т.е. её анализа по совокупности критериев и принятия решения о её распространении в (из) АС.
рисунок - Классификация МЭ по уровню защищённости от НСД
За последние годы достигнут существенный прогресс в развитии методов решения задачи дискретного логарифмирования, что послужило причиной разработки в 2000 - 2001 годах нового государственного стандарта ЭЦП. Новый стандарт основан на математическом аппарате эллиптических кривых, а его стойкость сновывается на сложности вычисления дискретного логарифма в группе точек эллиптической кривой. Внедрение схемы ЭЦП на базе данного стандарта повышает, по сравнению с действующей схемой, уровень защищённости передаваемых сообщений от подделок и искажений. Кроме того, новый стандарт терминологически и концептуально увязан с международными стандартами ИСО 2382-2, ИСО/МЭК 9796 и др.
Стандарт ГОСТ Р 34.10-2001 «Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи» утверждён приказом Госстандарта от 12.09.2001 № 380, введён в действие с 01.07.2002.
Старый стандарт ЭЦП сразу не отменялся. Он действовал ещё несколько лет, но согласно письму ФАПСИ лицензиатам - разработчикам СКЗИ использование открытого ключа ЭЦП длиной 512 бит допускалось только до 31 декабря 2001 г. С 1 января 2002 г. д лина открытого ключа ЭЦП должна быть 1024 бита.
Отметим в заключение, что применение сертифицированных средств защиты информации является обязательным условием при рассмотрении в судебном порядке спорных вопросов, связанных с удостоверением подлинности электронных документов и идентификацией личности пользователей системы.
Аттестация
При проведении работ со сведениями соответствующей степени конфиденциальности (секретности) системы информатизации должны (могут) быть аттестованы на соответствие требованиям по безопасности информации.
Государственная система аттестации объектов информатизации устанавливает основные принципы, организационную структуру, порядок проведения аттестации, а также порядок контроля и надзора за эксплуатацией аттестованных объектов информатизации.
Под объектами информатизации , аттестуемыми по требованиям безопасности информации, понимаются автоматизированные системы различного уровня и назначения, системы связи, отображения и размножения вместе с помещениями, в которых они установлены, предназначенные для обработки и передачи информации, подлежащей защите, а также сами помещения, предназначенные для ведения конфиденциальных переговоров.
Система аттестации объектов информатизации по требованиям безопасности информации является составной частью единой государственной системы сертификации средств защиты информации и аттестации объектов информатизации по требованиям безопасности информации. Деятельность системы аттестации организуют уполномоченные федеральные органы по сертификации продукции и аттестации объектов информатизации по требованиям безопасности информации.
Под аттестацией объектов информатизации понимается комплекс организационно технических мероприятий, в результате которых посредством специального документа - «Аттестата соответствия» подтверждается, что объект соответствует требованиям стандартов или иных нормативно-технических документов по безопасности информации, утверждённых уполномоченными федеральными органами исполнительной власти. Наличие на объекте информатизации действующего «Аттестата соответствия» даёт право обработки информации с определённым уровнем конфиденциальности и в указанный в «Аттестате соответствия» период времени.
При аттестации объекта информатизации подтверждается его соответствие требованиям по защите информации от несанкционированного доступа, в том числе от компьютерных вирусов, от утечки за счёт побочных электромагнитных излучений и наводок при специальных воздействиях на объект (высокочастотное навязывание и облучение, электромагнитное и радиационное воздействие), от утечки или воздействия на неё за счёт специальных устройств, встроенных в объекты информатизации.
Аттестация проводится уполномоченными органами по аттестации объектов информатизации, аккредитованными федеральными органами исполнительной власти. Правила аккредитации определяются действующими в соответствующих системах сертификации положениями. В системе сертификации ФСТЭК России разработано и утверждено 25 ноября 1994 г. «Положением об аккредитации органов по аттестации объектов информатизации по требованиям безопасности информации». Каждый такой орган имеет лицензию на право выполнения работ в области защиты информации и Аттестат аккредитации. Виды работ, которые он может выполнять, указываются в области аккредитации, являющейся приложением к Аттестату аккредитации. В своей деятельности органы по аттестации руководствуются нормативно-методическими документами ФСТЭК России.
Аттестат соответствия утверждается руководителем органа по аттестации объектов информатизации, который и несёт юридическую и финансовую ответственность за качество проведённых работ. Кроме того, органы по аттестации несут ответственность за обеспечение сохранности государственных и коммерческих секретов, а также за соблюдение авторских прав разработчиков аттестуемых объектов информатизации и их компонент.
Аттестация информационных систем может производиться в соответствии с Руководящим документом ФСТЭК России «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации», который вводит в рассмотрение 9 классов защищённости АС, объединённых в три группы на рисунке "Классы защищённости АС".
рисунок - Классы защищённости АС
Основные признаки группировки в различные классы связаны с:
наличием в АС информации различного уровня конфиденциальности;
уровнем полномочий субъектов доступа АС на доступ к конфиденциальной информации (одинаковый или разный);
режимом обработки данных в АС (коллективный или индивидуальный).
Для каждого класса сформулирован определённый набор требований для подсистем:
управления доступом;
регистрации и учета;
криптографической;
обеспечения целостности.
Группа 1 классифицирует многопользовательские АС, в которых одновременно обрабатывается и (или) хранится информация разных уровней конфиденциальности и не все пользователи имеют право доступа ко всей информации АС. Группа содержит пять классов: 1Д, 1Г, 1В, 1Б и 1А . Группа 2 классифицирует АС, в которых пользователи имеют одинаковые права доступа (полномочия) ко всей информации АС, обрабатываемой и (или) хранимой на носителях различного уровня конфиденциальности. Группа содержит два класса: 2Б и 2А . Группа 3 классифицирует АС, в которых работает один пользователь, допущенный ко всей информации АС, размещённой на носителях одного уровня конфиденциальности. Группа содержит два класса: ЗБ и ЗА.
Соответствие классов защищённости различным уровням конфиденциальности приведено на рисунке "Классы защищенности ли и категории информации ограниченного доступа"
рисунок - Классы защищенности ли и категории информации ограниченного доступа