1.7.3. Документы пользователя

Согласно СТР-45, на этапе ввода ИТ в эксплуатацию необхо­димо разработать большое количество документов. Часть из них будут новыми для отечественных потребителей. К таким доку­ментам относятся следующие:

• планы: обеспечения безопасности ИТ; действий в непредви­денных ситуациях;

• политики: безопасности информационных технологий; реагирования на инциденты нарушения безопасности; оценки рисков; защиты носителей информации; обеспечения целостности III и информации; физической защиты и защиты среды ИТ; обес-п' чения безопасности эксплуатирующего персонала; обучения (тренинга) безопасности (для ИТ 2 категории и выше); иденти­фикации и аутентификации; управления доступом; аудита и обес­печения подотчетности (политика регистрации и учета); защиты III и коммуникаций; сопровождения ИТ; управления конфигурацией;

• руководства: по использованию беспроводных технологий (для ИТ 3-й и последующих категорий); по использованию пор-I.минных и мобильных устройств (для ИТ 3-й и последующих категорий); по использованию технологий мобильного кода (для III 2-й и следующих категорий); по использованию технологии передачи речи по IP-сетям (1Р-телефонии);

• списки: персонала, уполномоченного на выполнение действий пи еоировождению ИТ; ключевых компонентов ИТ (для ИТ 2-й и сиелуюших категорий); доступа эксплуатирующего персонала на объекты ИТ;

• журналы: доступа посетителей; регистрации действий по со­провождению ИТ (для ИТ 3-й и следующих категорий);

• правила поведения эксплуатирующего персонала в отно­шении обеспечения безопасности ИТ,

• соглашения о доступе;

• базовая конфигурация ИТ,

• реестр компонентов ИТ.

В тексте СТР-45 очень кратко упоминается о том, что должен мнержать каждый из перечисленных документов. Учитывая отсутствие необходимой методической базы, можно полагать, что |м (работка документации по ИТ будет непростым делом для по-феГжтелей.

Организационно-распорядительная документация по примене­нию мер и средств обеспечения безопасности ИТ должна отно­ситься к информации ограниченного доступа.

1.7.4. Требования к средствам обеспечения безопасности

Проект СТР-46 использует в основном ту же терминологию, 410 и СТР-45. Под средствами обеспечения безопасности инфор­мационных технологий (СОБИТ) авторы проекта понимают средства, реализующие совокупность функций, обеспечивающих БИТ.

Нам это определение представляется довольно расплывчатым. На­пример, система пожаротушения тоже реализует указанные функ­ции (и в СТР-45 приведены требования к ней), но она не являет­ся предметом рассмотрения данного проекта регламента. Дума­ется, что будет правильным ставить знак равенства между исполь­зующимся сейчас термином «средства защиты информации» и СОБИТ. Разработчики обещают в следующих версиях проекта СТР привести исчерпывающий список средств, относящихся к СОБИТ.

Категория СОБИТ устанавливается исходя из того, в ИТ какой максимальной категории его можно использовать. В зависимости от категории к СОБИТ предъявляется определенный набор тре­бований доверия к безопасности. Сравнение с ГОСТ 15408 пока­зывает, что эти наборы требований для различных категорий не совпадают с требованиями оценочных уровней доверия ОК. Taким образом, СОБИТ наивысшей категории не сможет быть авто­матически сертифицирован на соответствие ОК даже по самому низкому уровню доверия. Верно и обратное: выполнение требо­ваний ОК недостаточно для того, чтобы СОБИТ соответствовали СТР-46.

Функциональные требования безопасности к СОБИТ не уста­навливаются в связи с их многообразием. Состав этих требований будет определять разработчик, исходя из парируемых средством угроз, условий применения и его категории. В приложении к проек­ту СТР-46 приведен перечень основных функциональных требо­ваний с пояснениями, что можно рассматривать в качестве мето­дического пособия по данной теме. Между тем, непонятно, для! чего эти материалы предлагается включить в текст закона.

Подтвердить соответствие СОБИТ требованиям безопасности предполагается двумя формами: декларированием соответствия и обязательной сертификацией (для СОБИТ трех старших катего­рий).

Интересным, но до конца непродуманным предложением ав­торов является открытое опубликование результатов сертифика­ционных испытаний. Очевидно, что для СОБИТ высших катего­рий такое опубликование не только нецелесообразно, но и может привести к разглашению государственной тайны.

По аналогии с ИТ, в отношении СОБИТ предлагается прово­дить государственный контроль и надзор. При этом контролю) подвергаются не только разработчики и продавцы СОБИТ, но а пользователи, что, по нашему мнению, неверно. Дело в том, что защищаемые активы появляются только в ИТ, и именно ИТ целе-1 сообразно подвергать контролю (надзору), как это и предусмот­рено СТР-45.

Разработка технических регламентов по информационной безн опасности является, скорее всего, первым опытом открытой разработки документов по защите информации. Нельзя сказать, что «первый блин вышел комом», но существующие варианты проектов пока еще очень далеки от совершенства, в связи с чем неоднократно происходит перенос сроков представления регламен­та и правительственные органы.

Остается неясным вопрос, насколько оправданно создание тех­нических регламентов по информационной безопасности? На наш Взгляд, вместо этого было бы правильным внести в ст.1 ФЗ

«О техническом регулировании» абзац, где бы говорилось об от-1г льном регулировании такой чувствительной области, по аналогии с тем, как это сделано в этом законе для единой сети связи.

Гл а в а 2

Принципы организации и этапы разработки КСЗИ