В рамках выставки SofTool 2012 прошло методическое совещание Совета главных конструкторов (СГК) информатизации регионов Российской Федерации на тему “Методология подготовки государственных и муниципальных услуг для их предоставления в электронном виде”. Напомним, что СГК являлся коллективным совещательным органом при Совете по региональной информатизации, отвечающим за развитие информационно-коммуникационных технологий в России и внедрение информационных технологий в деятельность государственных органов и органов местного самоуправления.

Живой интерес на совещании вызвал доклад “Новые требования по защите информации и их реализация на муниципальном уровне”, сделанный заместителем начальника управления по аналитической работе и взаимодействию с органами власти ФГУП “Центр финансового и правового обеспечения” Валерием Конявским.

В своем выступлении он акцентировал внимание на изменениях в требованиях регуляторов, обязательных при защите информации ограниченного доступа, содержащейся в государственных информационных системах (ИС), создаваемых и эксплуатируемых на территории Российской Федерации, а также в муниципальных ИС.

Главным нововведением, по его мнению, стал измененный подход к обеспечению ИБ информационных систем — отныне защита содержащейся в них информации признается неотъемлемой частью работ по их созданию и эксплуатации. ИБ по требованиям регуляторов становится обязательной частью ИТ-проектов, а настройки средств защиты должны определяться на этапе развертывания ИС.

Г-н Конявский обратил внимание на появление среди требований к защите ИС необходимости их классификации. Класс защищенности ИС определяется значимостью обрабатываемой ею информации (малозначащая, низкая, средняя, высокая) и масштабом ИС (федеральный, региональный, объектовый). Требования к классу защищенности теперь обязательно включаются в техническое задание на разработку ИС. По оценкам г-на Конявского, большая часть муниципальных ИС подпадает под класс К3 и в некоторых случаях К2. Обновленный список документов, предъявляемых на стадии аттестации ИС, отныне должен включать акт классификации и техническое задание на ИС.

К важным достижениям работы сообщества ИБ-экспертов с регуляторами г-н Конявский отнес распространение результатов аттестации типовых ИС на их конкретные инсталляции. Это означает, что отныне аттестация каждой конкретной ИС сводится к доказательству ее соответствия базовой, что, по подсчетам г-на Конявского, стоит более чем в 100 раз дешевле. Существенно, что по решению заказчика допускается аттестация ИС на основе результатов испытаний выделенного набора сегментов системы, реализующих полную технологию обработки информации конфиденциального характера.

Как отметил г-н Конявский, в требованиях к ИБ для ИС, применяемых в госорганах и органах местного самоуправления, появилось обязательное обеспечение доверенной загрузки ПО и его компонентов. При этом контроль целостности ПО и информации заменен на обеспечение целостности, что обязывает исполнителя отвечать за результат контроля, а не за то, как он реализуется. Появились нормы контроля съемных носителей. Регуляторы также начали требовать защиты среды виртуализации ИТ-ресурсов, что наконец-то формально легализует использование этой технологии в их глазах.

Серьезным камнем преткновения для российских компаний, по словам г-на Конявского, станет необходимость технически трудно реализуемой сертифицированной доверенной визуализации электронной подписи, что связано с переходом нашей страны от закона №1-ФЗ “Об электронной цифровой подписи” к № 63-ФЗ “Об электронной подписи”.

Г-н Канявский поделился результатами анализа, который он провел для нескольких доступных и наиболее распространенных среди российских корпоративных заказчиков решений, используемых для реализации мер по защите информации в системах класса К3.

Как заявил г-н Конявский, решения, построенные на базе модуля Trusted Security Module и предлагаемые совместно компаниями Kraftway и “Аладдин Р.Д.”, в отличие от конкурирующих из числа подвергнутых экспертной им экспертной оценке, не выполняют предъявляемых регуляторами требований по защите ИС класса К3.

В числе таковых он отметил отсутствие: идентификации и аутентификации пользователей, процессов, иных субъектов доступа; реализации методов и типов управления доступом, правил разграничения доступа субъектов доступа к объектам доступа; управления сеансами и видами доступа; управления подключением устройств; управления установкой и запуском компонентов ПО; уничтожения информации в оперативной памяти и других энергозависимых запоминающих устройствах и др.

Важным здесь является то, что, по словам г-на Конявского, в девяти регионах России решение Kraftway и “Аладдин Р.Д.” закуплены как базовые. Лидирует по масштабу закупок данного решения Санкт-Петербург, потративший уже 350 млн. руб., что в 3—10 раз больше, чем на это решение потратили остальные восемь регионов.

В целом на непригодные ИБ-решения, по оценкам г-на Конявского, государство потратило к настоящему времени около 1,2 млрд. руб.: “Думаю, что это связано с недостатком информации у заказчиков для того, чтобы они смогли сделать правильный выбор. Однако убежден, что в ряде случаев в выборе неэффективных ИБ-решений есть коррупционная составляющая. Мы должны поставить этому преграду. Когда дело дойдет до аттестации таких систем, окажется, что все средства защиты нужно будет покупать заново”.

Мы попросили представителей Kraftway и “Аладдин Р.Д.” прокомментировать критические оценки Валерия Канявского совместного решения этих компаний. Вот что они сообщили.

“При реализации региональной программы информатизации, кроме платформ Kraftway и TSM, используется ещё комплекс средств, обеспечивающих соответствие информационной системы утверждённой модели угроз. Эти средства в принципе не рассматривались в представленном сравнении экспертов, которые выдернули из общего комплекса только TSM и платформу. Соответственно корректность сравнения отдельных средств защиты с комплексом вызывает сомнения в справедливости результатов”, — считает старший вице-президент компании Kraftway Ренат Юсупов.

“Если в качестве объектов для сравнения подразумевались средства доверенной загрузки, то средство электронной подписи “Марш” таким средством не является. Средство “Секрет” не идентифицировано. Сравнение может быть проведено только между аппаратным модулем доверенной загрузки (АМДЗ) “Аккорд” и модулем безопасности TSM разработки нашей компании”, — заявил руководитель инновационных проектов компании “Аладдин Р.Д.” Олег Левенков.

Отметим, что возможности по выполнению отдельных функций защиты информации при совместном использовании именно устройств “Марш”, “Секрет” и “Аккорд” сравнивались Валерием Канявским с возможностями решения Kraftway+TSM выполнять те же функции.

“Для сравнения АМДЗ “Аккорд” и модуля безопасности TSM от “Аладдин Р.Д.” правильным было бы использование требований к средствам доверенной загрузки, хотя эти критерии также не дают полной картины, т. к. АМДЗ по конструктивным особенностям являются извлекаемыми, соответственно, при их использовании необходимо обеспечить средства обнаружения/регистрации вскрытия корпуса, а также оперативного реагирования на подобные инциденты, что увеличивает стоимость решения. Иными словами, случайное или преднамеренное извлечение АМДЗ из разъёма PCI компрометирует систему защиты рабочего места. Нужно также учитывать, что стоимость АМДЗ “Аккорд” значительно выше стоимости лицензии на TSM”, — добавил г-н Левенков.