В данный момент, пожалуй, для любой компании наиболее важной задачей в области безопасности и нормативного соответствия является обеспечение защиты персональных данных в соответствии с действующим законодательством.

Как правило, современные информационные системы персональных данных (ИСПДн) представляют собой клиент-серверные или многозвенные распределенные системы. Традиционные средства защиты информации (СЗИ) от несанкционированного доступа (НСД), созданные на базе требований к автоматизированным системам, не обеспечивают полноценную защиту персональных данных, обрабатываемых в современных ИСПДн.

Защита ИСПДн – основные моменты

Федеральным законом № 152-ФЗ «О персональных данных» от 27 июля 2006 г. установлены правила в отношении порядка обработки и обеспечения конфиденциальности персональных данных в организации. Российское законодательство признает оператором персональных данных любые организации, осуществляющие обработку персональных данных. Каждая такая организация должна предпринимать необходимые организационные и технические меры для защиты этих данных. В соответствии со статьей 23 ФЗ-152 для контроля и надзора за соответствием обработки персональных данных требованиям федерального закона назначается Уполномоченный орган по защите прав субъектов персональных данных. Такие функции возложены на Роскомнадзор, ФСТЭК и ФСБ в рамках компетенции каждой организации.

Невыполнение требований закона «О персональных данных», правовых актов и нормативных документов может привести к негативным последствиям для организации и ее руководителей, например, к наложению штрафа, а при определенных условиях даже к приостановлению действия или аннулированию лицензий на отдельные виды деятельности.

В соответствии с Постановлением Правительства РФ от 17 ноября 2007 г. № 781 «Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных», а также с приказом ФСТЭК России №58 «Об утверждении Положения о методах и способах защиты информации в информационных системах персональных данных», утвержденным 5 февраля 2010 г., мероприятия по обеспечению безопасности персональных данных при обработке в ИСПДн формулируются в зависимости от класса информационных систем с учетом возможного возникновения угроз безопасности в отношении персональных данных.

Классификация ИСПДн осуществляется на основании Приказа от 13 февраля 2008 года N 55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных». После определения категории и объема обрабатываемых персональных данных оператором персональных данных ИСПДн присваивается один из классов: от K1 (с максимальными требованиями к безопасности) до K4 (с минимальными).

В соответствии с Постановлением № 781 технические и программные средства, используемые для защиты данных в ИСПДн, должны в установленном порядке проходить процедуру оценки соответствия. В настоящий момент сертификация средств защиты в системе ФСБ/ФСТЭК является легитимной, действующей и юридически оправданной формой подтверждения соответствия средств защиты, применяемых для защиты персональных данных.

Безопасность межсетевого взаимодействия

В клиент-серверных и многозвенных информационных системах персональные данные обрабатываются не только локально на компьютерах, но и на серверах баз данных, в клиентских приложениях, использующих сетевые сервисы, в Web-приложениях и т. д.

Традиционные средства защиты от НСД сконцентрированы на защите локальных конфиденциальных файловых ресурсов и не гарантируют защиту персональных данных при их передаче по сети.

Согласно приказу 58 ФСТЭК безопасное межсетевое взаимодействие для ИСПДн при их подключении к сетям международного информационного обмена, а также для распределенных ИСПДн при их разделении на подсистемы достигается путем применения средств межсетевого экранирования (межсетевых экранов).

Напомним, что межсетевой экран (МЭ) — это комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов в соответствии с заданными правилами. Основной его задачей является защита компьютерных сетей или отдельных узлов от несанкционированного доступа. В зависимости от охвата контролируемых потоков данных МЭ делятся на традиционные и персональные. Традиционный МЭ контролирует входящие и исходящие потоки данных между подключенными сетями, тогда как персональный сетевой экран устанавливается на конкретный компьютер и обеспечивает защиту от несанкционированного доступа только этого компьютера.

В зависимости от функций межсетевому экрану присваивается определенный уровень защищенности. Руководящим документом Гостехкомиссии РФ установлено пять классов защищенности МЭ: от первого уровня защищенности (с максимальными требованиями к выполняемым функциям) до пятого (с минимальными).

Для обеспечения безопасного межсетевого взаимодействия в ИСПДн рекомендуется использовать МЭ определенного уровня защищенности:

• в ИСПДн третьего и четвертого классов – не ниже пятого уровня защищенности;
• в ИСПДн второго класса – не ниже четвертого уровня защищенности;
• в ИСПДн первого класса – не ниже третьего уровня защищенности.

Отдельно следует отметить, что в случае защиты ИСПДн первого класса должно использоваться «программное обеспечение средства защиты информации, соответствующее 4 уровню контроля отсутствия недекларированных возможностей».

Особенности выполнения некоторых требований регуляторов

Согласно требованиям ФСТЭК к подсистеме управления доступом для всех ИСПДн должна выполняться процедура идентификации и аутентификации пользователей при доступе к персональным данным. В клиент-серверных и многозвенных информационных системах пользователь, вошедший в систему на одном компьютере сети, обращается к сетевому сервису, расположенному на другом компьютере сети. В случае использования традиционных СЗИ аутентичность пользователя достоверна только в пределах этого рабочего места. При попытке же обратиться к сетевому ресурсу реально передается стандартный токен безопасности операционной системы.

Подобная проблема возникает и с выполнением требований, предъявляемых приказом 58 ФСТЭК к подсистеме регистрации и учета. Традиционные средства защиты от НСД не обеспечивают регистрацию событий, связанных с получением сетевого доступа к персональным данным в клиент-серверных и многозвенных ИСПДн.

Решением вышеуказанных проблем может являться применение сертифицированных персональных межсетевых экранов с функцией аутентификации сетевых соединений. Отдельно следует отметить, что только МЭ не ниже третьего уровня защищенности обеспечивают функционал аутентификации сетевых соединений.

Примером персонального МЭ с функцией аутентификации сетевых соединений может служить TrustAccess компании ООО «Код Безопасности», который имеет сертификат ФСТЭК по уровню МЭ 2 и НДВ 4. TrustAccess имеет собственные механизмы сетевой идентификации, аутентификации и разграничения доступа на базе протоколов сервера аутентификации Kerberos и протоколов создания доверенных соединений на базе IPsec. Продукт обеспечивает доверенную регистрацию событий сетевой аутентификации, установки и разрыва сетевых соединений и т.д.

Снижение класса ИСПДн

Применение сертифицированных межсетевых экранов позволяет параллельно решить довольно важную практическую задачу — снизить класс ИСПДн. Многие компании стремятся это сделать вВ связи с тем, что требования к защите персональных данных предъявляются в зависимости от класса информационной системы персональных данных.

Одним из способов снижения класса ИСПДн является сегментирование сетевой ИСПДн с возможностью присвоить отдельным сегментам более низкий класс. Суть данного способа состоит в том, чтобы сократить объем обрабатываемых в ИСПДн персональных данных. Как известно, объем обрабатываемых персональных данных является одним из критериев определения класса ИСПДн. В частности, снижение объемов обрабатываемых данных второй категории с более чем 100 тыс. записей до менее чем 1000 записей позволит понизить класс ИСПДн с К1 до К3.

Следует отметить, что сегментирование ИСПДн посредством сертифицированных межсетевых экранов является легитимным способом снижения класса ИСПДн. Согласно приказу 58 ФСТЭК, «при разделении информационной системы при помощи межсетевых экранов на отдельные части системы для указанных частей системы может устанавливаться более низкий класс, чем для информационной системы в целом».

На рисунке показан пример сегментирования ИСПДн с помощью сертифицированных межсетевых экранов. Оригинальная ИСПДн представляла собой многозвенную информационную систему класса К1 (в ИСПДн обрабатывается более 100 тыс. записей ПДн). Разбив систему с помощью межсетевого экрана на отдельные сегменты, рабочие станции можно классифицировать как ИСПДн класса К3, поскольку на каждой рабочей станции обрабатывается единовременно не более 1000 записей персональных данных.

* * *

Таким образом, применение сертифицированных персональных межсетевых экранов для защиты персональных данных, обрабатываемых в клиент-серверных и распределенных системах, представляется весьма целесообразным. Такие решения позволяют не только обеспечить безопасность персональных данных при межсетевом взаимодействии подсистем, но и выполнить требования ФСТЭК к подсистемам управления доступом, а также регистрации и учета. Кроме того, сертифицированные МЭ позволяют снизить класс ИСПДн посредством сегментирования и тем самым сэкономить на средствах защиты информации.

Комментарии экспертов

Пришлите мастера, у нас слив плохо работает!

Александр Иржавский, директор технологического департамента; Сергей Ненашев, руководитель отдела разработки ПО, компания ИНФОРИОН

Создавая СЗПДн, операторы и интеграторы сосредотачиваются главным образом на реализации требований, которые изложены в 58-м приказе ФСТЭК и методических документах 8 центра ФСБ. Это вполне логично: случись что, проверять правильность мер защиты будут именно с этими документами в руках…

За время моего дежурства происшествий не случилось…

Антон Марков, генеральный директор НТЦ "Вулкан"

После долгих дискуссий о том, как защищать персональные данные, профессиональное сообщество смогло выработать систему общих взглядов на реализацию требований регуляторов. Системы защиты персональных данных (СЗПДн) теряют признаки «штучного» товара, поскольку нарабатывается и методология, и практика, и опыт проектирования и внедрения…

Межсетевой экран – не панацея

Екатерина Яблокова, зам. директора по развитию бизнеса Stonesoft в России, СНГ и странах Балтии

Оптимизация стоимости системы защиты путем разбиения распределенной информационной системы персональных данных первого или второго класса сертифицированными межсетевыми экранами и понижение класса части подсистем в ее составе до третьего – в настоящий момент едва ли не самый распространенный на практике способ…