Безопасность современной корпоративной сети: функциональность или сертификация?

Жизнь не стоит на месте, появляются все новые способы мошенничества, открываются новые уязвимости в ПО, совершенствуется вычислительная техника, и может статься, что средства сетевой защиты, которые еще несколько лет назад обеспечивали надежную защиту ваших информационных ресурсов, уже не способны оградить вас от проблем, связанных с различного рода злоумышленными действиями. Таким образом, систему сетевой безопасности любой современной организации придется постоянно развивать, и от выбора ее архитектуры, ее способности к масштабированию и адаптации к новым видам угроз, во многом зависит реальная защищенность вашей информации. Вообще говоря, выбор тех или иных решений сетевой защиты зависит от многих факторов. Несомненно, в нашей стране немаловажным является фактор соответствия требованиям различных регуляторов в области информационной безопасности, поскольку практически невозможно найти организацию, в сети которой не обрабатывалась бы информация ограниченного распространения, конфиденциальная или персональные данные. И даже когда формально нет обязательного требования по сертификации средств защиты, на практике в основном применяются именно сертифицированные средства. Вот здесь очень тяжело найти баланс между формальным соответствием требованиям нормативных документов, , с одной стороны, и функциональностью, производительностью, удобством работы и обеспечением защиты от реальных угроз – с другой.

Часто организации просто идут по пути наименьшего сопротивления, т.е. выпускают формальные организационные документы, соответствующие нужным требованиям, и приобретают сертифицированные, но при этом самые дешевые средства. Немногие задумываются о том, насколько эффективно эти разнородные средства будут работать вместе, сколько сил потребуется для их правильной настройки и эксплуатации, чтобы они обеспечивали должный уровень защиты.

Кроме того, почти все современные организации подключены к сети Интернет и обеспечение их защиты в полном соответствии с требованиями нормативных документов – очень непростая задача. Много вопросов по защите в виртуальной среде, по обеспечению целостности и доступности, нарушение которых для информационных систем, например, финансовых и страховых организаций, в отдельных случаях может превысить ущерб от нарушения конфиденциальности.

Так что же делать? До недавнего времени необходимый компромисс состоял в применении функциональных и надежных средств сетевой защиты иностранных производителей, сертифицированных партиями. Однако и здесь есть “подводные камни”. На практике схема сертификации партиями для заказчика выливается в дополнительные расходы не только на закупку более дорогой сертифицированной версии, но и траты на проведение процедур инспекционного контроля после выхода каждой новой версии продукта. Можно, конечно, остаться и на старой версии, на которую распространяется действие сертификата, но при этом снизится защищенность информационной системы.

Компания Stonesoft как производитель средств сетевой защиты, давно и успешно работающий на российском рынке и понимающий эту специфику, пошла по другому пути. В настоящий момент мы завершили процесс сертификации производства на территории РФ всех наших продуктов по требованиям безопасности информации ФСТЭК России. Это позволит нашим заказчикам эффективно решить проблему перехода на новые версии продуктов. Межсетевой экран StoneGate Firewall сертифицирован по 2-му классу защищенности для межсетевых экранов и по 4-му уровню контроля НДВ, что позволяет применять его для защиты информационных систем персональных данных самого высокого первого класса. Система предотвращения вторжений StoneGate IPS и шлюз защиты удаленного доступа StoneGate SSL сертифицированы по 3-му классу для межсетевых экранов и так же по 4-му уровню контроля НДВ. Кроме того, в продуктах StoneGate Firewall и StoneGate SSL встроена поддержка сертифицированных криптографических продуктов «Крипто Про». В настоящее время также ведутся работы по обеспечению сертификации обоих продуктов в системе сертификации ФСБ России.