Государственная тайна


Согласно российскому законодательству, к государственной тайне относятся сведения в области военной, внешнеполитической, экономической, разведывательной, контрразведывательной, оперативно-розыскной и иной деятельности, распространение которых может нанести ущерб безопасности государства.

Существует ряд документов, регламентирующих защиту таких сведений:

  • «Руководящий документ. Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации» (утв. решением Гостехкомиссии РФ 30.03.1992);
  • «Руководящий документ. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» (утв. решением Гостехкомиссии России от 30.03.1992);
  • «Руководящий документ. Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации» (утв. Гостехкомиссией РФ 30.03.1992);
  • Специальные требования и рекомендации по защите информации, составляющей государственную тайну, от утечки по техническим каналам  (СТР);
  • и другие.

Создание комплексной системы защиты государственной тайны и централизованное управление такой системой – основная обязанность отдела по информационной безопасности.

Продукт Security Vision, сертифицированный ФСТЭК России, представляет собой инструмент управления, который позволяет автоматизировать процесс контроля над всеми процедурами обеспечения безопасности государственной тайны с помощью различных модулей, решая следующие задачи:

  • Управление соответствием;
  • Управление ключевыми показателями;
  • Визуализация данных;
  • Управление знаниями;
  • Управление отчетностью;
  • Управление инцидентами;
  • Управление аудитами;
  • Управление осведомленностью;
  • Управление рисками;
  • Управление тестами на проникновение;
  • Управление лицензиями;
  • Управление уязвимостями;
  • Управление активами;
  • Управление непрерывностью бизнеса;
  • Управление изменениями;
  • Управление документацией;
  • Управление отчетностью.

Одним из основных модулей Security Vision, имеющих сертификат ФСТЭК России, является Агент ИКЦ, который предназначен для централизованного автоматизированного управления процессом инвентаризации и контроля целостности состава аппаратных средств, системного и прикладного программного обеспечения, установленного на сервера и рабочие станции. Возможности Агента ИКЦ применительно к защите государственной тайны показаны в Таблице 1.

Табл. 1. Оценка требований законодательства к функционалу
средства контроля целостности в области защиты
информации, составляющие государственную тайну

Требование законодательства Функционал, закрывающий требования
п. 2.13 Требования к классу защищенности 1ВПодсистема обеспечения целостности:

  • должна быть обеспечена целостность программных средств СЗИ НСД, а также неизменность программной среды.[1]

При этом:

  • целостность СЗИ НСД проверяется при загрузке системы по контрольным суммам компонент СЗИ;
  • целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ при обработке и (или) хранении защищаемой информации;
  • должен быть предусмотрен администратор (служба) защиты информации, ответственный за ведение, нормальное функционирование и контроль работы СЗИ НСД. Администратор должен иметь свой терминал и необходимые средства оперативного контроля и воздействия на безопасность АС;
  • должны использоваться сертифици-рованные средства защиты. Их сертификацию проводят специальные сертификационные центры или специализи-рованные предприятия, имеющие лицензию на проведение сертификации средств защиты СЗИ НСД;
  • Запуск контроля целостности при загрузке операционной системы
  • Сравнение новых снимков с эталоном
  • Обеспечение целостности обрабатываемой информации
  • Обеспечение идентификации средств разработки и отладки программ, установленных на АРМ
  • Наличие централизованной консоли управления и контроля, при функцио-нировании нескольких копий средств контроля целостности в ЛВС
  • Наличие сертификата по 4 уровню контроля отсутствия недекларированных возможностей
п. 5. Основные способы НСД [2]К основным способам НСД относятся:

  • модификация средств защиты, позволяющая осуществить НСД.

п. 6. Основные направления обеспечения защиты от несанкционированного доступа

п. 6.3. Обеспечивающие средства для системы разграничения доступа выполняют следующие функции [2]:

  • реакцию на попытки НСД, например, сигнализацию, блокировку, восстановление после НСД;
  • контроль целостности программной и информационной части как системы разграничения доступа (СРД), так и обеспечивающих ее средств.

п. 7. Основные характеристики технических средств защиты от НСД [2]

п. 7.4. Гарантии правильности функциони-рования оцениваются по способам проектирования и реализации СРД и обеспечивающих ее средств (формальная и неформальная верификация) и по составу и качеству препятствующих обходу СРД средств (поддержание целостности СРД и обеспечивающих средств, восстановление после сбоев, отказов и попыток НСД, контроль дистрибуций, возможность тестирования на этапе эксплуатации).

  • Блокировка рабочей станции, при нарушении целостности файлов СЗИ
  • Оповещение с записью в журнал, при нарушении целостности файлов СЗИ
  • Обеспечение целостности программного обеспечения, выполняющего функции той или иной подсистемы защиты, если данный функционал не предусмотрен самим средством данной подсистемы

[1] РД Гостехкомиссии России «Автоматизированные системы. Защита от несанкционированного доступа к информации Классификация автоматизированных систем и требования по защите информации»

[2] РД Гостехкомиссии России «Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации»