Автор: Ivanov Dmitry
Дата: 15.03.19 12:01
Кстати, в этом документе ФСТЕК в самом начале есть интересный абзац, п.1 раздела 1:
"Настоящие Требования применяются в случае принятия владельцем автоматизированной системы управления решения об обеспечении защиты информации, обработка которой осуществляется этой системой и нарушение безопасности которой может привести к нарушению функционирования автоматизированной системы управления."
Если владелец автоматизированной системы (далее а.с.) такого решения не принимает, то что? В итоге мы вернулись к тому, что если в ТЗ от заказчика требований по защите информации по "варианту ФСТЕКа" нет, то "на нет и суда нет".
Информация, обрабатываемая а.с., должна делится на два типа:
- нарушение безопасности (это, кстати, что? нарушение целостности информации, ошибки в передачи или искажение исходной информации - это понятно. Нарушение безопасности - нет) которой приводит к нарушению функционирования а.с;
- соответственно, не приводят.
Отсюда растет разделение а.с. на те, к которым эти требования относятся и на части эти а.с., к которым эти требования непосредственно применяются. И все остальные. И разделение это должно быть указано в каком документе? Ну например, структура деления а.с. на типы по отношению к информационной безопасности. А кто должен разрабатывать такой документ и на каком основании? Есть это требование записано в договоре, указано в перечне проектной документации - то все ясно. А если нет?
По моему, вся возня вокруг кибербезосности - очередная кормушка сертификаторов. Как-то все мутно. Таких проблем не возникает при выполнении требований на ЭМС, сейсмику и взрывозащиту, например.
Если действительно хотят обеспечить надежное функционирование а.с. в части контроля прохождения информации и контроля работы вычислительных средств а.с., то задача решается следующим образом:
1. Отделение а.с., выполняющие задачи управления от внешних систем. При необходимости передачи информации между а.с. управления и внешними системами использовать шлюзы, в которых жестко прописаны правила обмена информации: однонаправленная передача информации (только от а.с. управления вовне), разрешение на передачу по согласованному протоколу передачи и т.д.
2. Периодический контроль целостности ПО а.с. (по контрольным суммам).
3. Запрет на изменение ПО а.с. без выполнения определенных процедур: закрыты сторонние аппаратные порты, изменение ПО только с соответствующими правами, отключение автозапуска и т.д.
4. Сигнализация об изменении конфигурации аппаратной и программной части а.с.
Для всего этого ФСТЭК не нужен. Это общие требования на защищенность а.с. от ее несанкционированного изменения. Я могу купить наклейки ФСТЭКа хоть на все комплектующие, включая автоматические выключатели. Без внятной процедуры разработки, изготовления, проведения испытаний и экплуатации а.с. на соответствие конкретным требованиям в части защиты от несанкционированного изменения толка нет.
С уважением ,
Иванов Дмитрий ,
начальник лаборатории ОАО "Корпорация "ВНИИЭМ".
|
|