CC BY
168
О.И. Нестеровский, И.А. Бурдинский
ВЫБОР ВАРИАНТА КЛАССИФИКАЦИИ АВТОМАТИЗИРОВАННЫХ СИСТЕМ ОБРАБОТКИ ИНФОРМАЦИИ ПО ТРЕБОВАНИЯМ БЕЗОПАСНОСТИ
ИНФОРМАЦИИ
THE CHOICE OF CLASSIFICATION VARIANT OF AUTOMATED SYSTEMS OF INFORMATION PROCESSING ACCORDING TO THE INFORMATION SECURITY REQUIREMENTS
Рассматриваются возможные варианты классификации автоматизированных систем обработки информации по требованиям безопасности информации, предписанные действующими в РФ нормативными, правовыми и методическими документами. Обсуждается вопрос о выборе конкретного варианта при решении задач защиты информации.
Potentially classification variants of automated systems of information processing according to the information security requirements which are enacted by effective statutory, legal, guidance documents in Russia are considered. A matter of particular variant choice while solving the problems of information security is discussed.
Введение. Одной из основных задач, решаемых в процессе создания систем защиты информации (СЗИ) для автоматизированных систем обработки информации (АСОИ) является обоснование требований к СЗИ. Как правило, такие требования формулируются с учетом особенностей построения системы, характера обрабатываемой информации и возможного ущерба от нарушения свойств ее безопасности при реализации угроз безопасности информации. В действующих в РФ документах по защите информации (например, [1]) указанные характеристики АСОИ учитываются при определении требуемого класса защищенности системы, в соответствии с которым в дальнейшем и производится обоснование требований по защите.
При определении класса защищенности АСОИ, в которой обрабатывается информация различной степени конфиденциальности (персональные данные, данные систем общего пользования, данные государственных информационных систем, данные систем управления производственными и технологическими процессами на критически важных объектах), возникает ряд сложностей, связанных с тем, что для каждой категории перечисленных данных на настоящий момент в Российской Федерации существует своя нормативная база, регламентирующая как порядок определения класса защищенности, так и порядок последующей защиты информации в АСОИ определенного класса. И в ситуации, когда в АСОИ содержится одновременно несколько различных категорий обрабатываемых данных, у специалистов (подразделений) по защите информации возникает вопрос, каким образом проводить классификацию, и, следовательно, каким образом защищать информацию, циркулирующую в таких АСОИ. Разработка классификационных
признаков для АСОИ, одновременно обрабатывающих информацию различных категорий, и является целью настоящих исследований, для достижения которой необходимо: проанализировать имеющуюся нормативную базу по защите информации в различных категориях АСОИ; разработать систему классификационных признаков, в соответствии с которыми можно будет проводить классификацию таких систем и последующую защиту информации, циркулирующей в них.
Организация защиты информации в автоматизированных системах различного назначения. В настоящее время требуемый класс защищенности АСОИ определяется по-разному для систем различного назначения и/или принадлежности, причем в основу признаков классификации закладываются различные характеристики АСОИ, что приводит к сложностям в практической деятельности специалистов по защите информации. Общие принципы (критерии) классификации АСОИ для систем обработки информации различных градаций конфиденциальности (категорий) в настоящий момент отсутствуют. Рассмотрим подробнее некоторые варианты классификации АСОИ в соответствии с действующими документами по обеспечению безопасности информации.
Документом, регламентирующим порядок классификации АСОИ с точки зрения защиты от несанкционированного доступа (НСД) к информации, является «Руководящий документ. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» (утвержден решением председателя Государственной технической комиссии при Президенте Российской Федерации от 30 марта 1992 г.). К числу определяющих признаков, по которым производится группировка АСОИ в различные классы, в этом документе относятся:
- наличие в АСОИ информации различного уровня конфиденциальности;
- уровень полномочий субъектов доступа АСОИ на доступ к конфиденциальной информации;
- режим обработки данных в АСОИ — коллективный или индивидуальный.
Устанавливается девять классов защищенности АСОИ от несанкционированного
доступа к информации. Классы подразделяются на три группы, отличающиеся особенностями обработки информации в АСОИ.
Третья группа включает АСОИ, в которых работает один пользователь, допущенный ко всей информации АСОИ, размещенной на носителях одного уровня конфиденциальности. Группа содержит два класса.
Вторая группа включает АСОИ, в которых пользователи имеют одинаковые права доступа (полномочия) ко всей информации АСОИ, обрабатываемой и (или) хранимой на носителях различного уровня конфиденциальности. Группа содержит три класса.
Первая группа включает многопользовательские АСОИ, в которых одновременно обрабатывается и (или) хранится информация разных уровней конфиденциальности, причем не все пользователи имеют право доступа ко всей информации АСОИ. Группа содержит пять классов.
В пределах каждой группы соблюдается иерархия требований по защите в зависимости от ценности (конфиденциальности) информации.
Документом, устанавливающим порядок классификации АСОИ, относящихся к информационным системам персональных данных, является совместный приказ ФСТЭК
России, ФСБ России и Мининформсвязи России от 13 февраля 2008 г. [2] (в настоящее время не действует, рассматривается для обеспечения полноты проводимого анализа). В соответствии с этим приказом вводятся четыре класса информационных систем персональных данных:
- класс 1 — информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов персональных данных;
- класс 2 — информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к негативным последствиям для субъектов персональных данных;
- класс 3 — информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов персональных данных;
- класс 4 — информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, не приводит к негативным последствиям для субъектов персональных данных.
Характеристики безопасности персональных данных задаются оператором и включают, в общем случае, конфиденциальность, защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий (сохранена терминология рассматриваемого документа). В зависимости от заданных характеристик безопасности информационные системы подразделяются на типовые и специальные. В типовых информационных системах требуется обеспечение только конфиденциальности персональных данных, в специальных — дополнительно хотя бы одной из характеристик безопасности персональных данных, отличной от конфиденциальности. Предписанный настоящим документом порядок классификации распространяется только на типовые системы.
В качестве признаков классификации использованы категория обрабатываемых в информационной системе персональных данных и объем обрабатываемых персональных данных (количество субъектов персональных данных, данные которых обрабатываются в информационной системе).
В 2010 году приказом ФСТЭК России были утверждены «Требования о защите информации, содержащейся в информационных системах общего пользования» [3], в соответствии с которыми информационные системы общего пользования в зависимости от значимости содержащейся в них информации и требований к ее защите разделяются на два класса. К I классу относятся информационные системы общего пользования (ИСОП) Правительства Российской Федерации и иные информационные системы общего пользования в случае, если нарушение целостности и доступности информации, содержащейся в них, может привести к возникновению угроз безопасности Российской Федерации. Отнесение ИСОП к 1 классу проводится по решению руководителя соответствующего федерального органа исполнительной власти. Ко 2 классу относятся все остальные ИСОП. Из анализа данного документа следует, что никакая дополнительная классификация ИСОП (в отличие от «Руководящего документа. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации») не проводится, и, следовательно, класси-
фицировать требования по защите информации в зависимости от состава и особенностей эксплуатации ИСОП не представляется возможным.
Отсутствие в этом документе конкретных рекомендаций по порядку отнесения ИСОП к одному из двух классов, на наш взгляд, затрудняет работу лиц, ответственных за обеспечение целостности и доступности информации (обеспечение конфиденциальности не требуется) в этих системах и, тем самым, может привести к ситуациям, когда, например, к идентичным информационным системам в двух различных субъектах РФ будут предъявлены различные требования по защите информации.
Документом, регламентирующим порядок классификации АСОИ (с учетом типов угроз), следует считать «Требования к защите персональных данных при их обработке в информационных системах персональных данных», утвержденные постановлением Правительства Российской Федерации [4]. В указанном документе в качестве аналога понятия «класс защищенности» употреблен термин «уровень защищенности» ((неявно подразумевается — требуемый), который определяется в зависимости от:
- типа угрозы;
- категории обрабатываемых в системе персональных данных;
- количества субъектов, персональные данные которых обрабатываются.
При этом тип угрозы определяется в зависимости от того, чем обусловлено возникновение угроз, а именно:
- угрозы первого типа обусловлены наличием недокументированных (недеклари-рованных) возможностей в системном программном обеспечении, используемом в информационной системе;
- угрозы второго типа обусловлены наличием недокументированных (недеклари-рованных) возможностей в прикладном программном обеспечении, используемом в информационной системе;
- угрозы третьего типа не связаны с наличием недокументированных (недеклари-рованных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.
Следует отметить, что в такой трактовке требуемый уровень защищенности не зависит напрямую от величины (степени) ущерба, возникающего вследствие неправомерных действий с персональными данными, обрабатываемыми в информационной системе. В то же время, по сравнению с ранее рассмотренным документом [2], уровень защищенности может быть определен как для типовых информационных систем, так и для информационных систем в которых обрабатываются биометрические персональные данные и специальные категории персональных данных. При этом классификация информационных систем персональных данных проводится уже по отдельному направлению (критерию) — особенностям исключительно программного обеспечения.
Основные положения последнего документа были учтены при разработке документа «Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» [1]). В соответствии с этими требованиями класс защищенности информационной системы определяется в зависимости от уровня значимости информации, обрабатываемой в данной информационной системе, и масштаба информационной системы (федеральный, региональный, объектовый). При этом уровень значимости информации определяется степенью возможного ущерба
для обладателя информации (заказчика) и (или) оператора от нарушения конфиденциальности, целостности или доступности информации. Степень возможного ущерба определяется обладателем информации и (или) оператором самостоятельно и может быть:
- высокой, если в результате нарушения одного из свойств безопасности информации возможны существенные негативные последствия в различных областях деятельности и (или) информационная система не может выполнять возложенные на нее функции;
- средней, если в результате нарушения одного из свойств безопасности информации возможны умеренные негативные последствия в различных областях деятельности и (или) информационная система не может выполнять хотя бы одну из возложенных на нее функций;
- низкой, если в результате нарушения одного из свойств безопасности информации возможны незначительные негативные последствия в различных областях деятельности и (или) информационная система может выполнять возложенные на нее функции с недостаточной эффективностью или выполнение функций возможно только с привлечением дополнительных сил и средств.
Уровень значимости информации при этом однозначно определяется максимальной для всех рассматриваемых свойств безопасности информации степенью ущерба. С одним дополнением: считается, что информация имеет минимальный уровень значимости (УЗ 4), если степень ущерба от нарушения свойств безопасности информации не может быть определена, но при этом информация подлежит защите в соответствии с законодательством Российской Федерации.
В случае обработки в информационной системе информации, содержащей персональные данные, требуемый класс защищенности соответствует наивысшему уровню защищенности персональных данных.
Особый вид информационных систем составляют автоматизированные системы управления производственными и технологическими процессами на критически важных объектах (АСУ ТП КВО), то есть на объектах, нарушение (или прекращение) функционирования которых приводит к потере управления, разрушению инфраструктуры, необратимому негативному изменению (или разрушению) экономики страны, субъекта Российской Федерации либо административно-территориальной единицы или существенному ухудшению безопасности жизнедеятельности населения, проживающего на этих территориях, на длительный срок. Это связано с тем, что нарушение (или прекращение) функционирования АСУ ТП КВО может нанести вред внешнеполитическим интересам Российской Федерации, стать причиной аварий и катастроф, массовых беспорядков, длительных остановок транспорта, производственных или технологических процессов, дезорганизации работы учреждений, предприятий или организаций, нанесения материального ущерба в крупном размере, смерти или нанесения тяжкого вреда здоровью [5]. Для таких систем требуемый класс защищенности (первый, второй или третий) определяется уровнем значимости (критичности) обрабатываемой в ней информации, который, в свою очередь, зависит от степени возможного ущерба от нарушения ее целостности, доступности или конфиденциальности, в результате которых возможно нарушение штатного режима функционирования автоматизированной системы управления или незаконное вмешательство в процессы функционирования автоматизированной системы управления.
Степень ущерба оценивается собственником информации экспертным способом, показатель степени ущерба имеет вербальный характер и может принимать значения «высокий», «средний» или «низкий» в зависимости от масштаба чрезвычайной ситуации или иных негативных последствий, возникающих в случае реализации угроз безопасности информации в АСУ ТП КВО.
Предложения по классификации автоматизированных систем обработки информации. Основная сложность, которую необходимо преодолеть разработчику АСОИ в процессе обоснования требований по защищенности информации, заключается в проведении классификации АСОИ и обосновании требований к системе защиты информации с учетом всех действующих документов. Дело в том, что АСУ ТП КВО, в принципе, может являться государственной информационной системой; в то же время в некоторой государственной информационной системе могут обрабатываться наряду с персональными данными и данные общего пользования. Кроме того, возникает вопрос: почему тип угрозы, связанный с наличием недокументированных (недекларированных) возможностей в программном обеспечении, предлагается учитывать при определении требуемого уровня (класса) защищенности только для информационных систем персональных данных. С нашей точки зрения, последствия от реализации такого типа угроз, например применительно к АСУ ТП КВО, могут быть гораздо более серьезными, чем для информационных систем персональных данных.
Рассматривая более детально перечисленные выше характеристики АСОИ, по которым может производиться классификация, можно установить между ними следующую взаимосвязь.
1. Степень возможного ущерба от нарушения целостности, доступности и конфиденциальности информации связана с такими характеристиками, как ценность или уровень значимости информации (практически напрямую), уровень конфиденциальности информации и категория обрабатываемых данных (опосредовано). Возможный подход к определению степени ущерба предложен в [6].
2. Объем обрабатываемых данных (для персональных данных определяется количеством субъектов, информация о которых обрабатывается в информационной системе) может рассматриваться как аналог масштаба системы (федеральный, региональный, объектовый).
3. Такие характеристики, как уровень полномочий, режим обработки и тип угрозы, вообще говоря, целесообразно использовать скорее не напрямую для классификации АСОИ, а для построения модели угроз безопасности, поскольку, если использовать терминологию [7], они относятся к таким характеристикам информационной системы, как применяемые информационные технологии и особенности (условия) функционирования информационной системы.
Таким образом, по результатам проведенного анализа можно сделать следующие основные выводы.
1. При определении класса АСОИ в интересах обоснования требований к системе защиты информации наиболее конструктивными представляются подходы, ориентирующиеся на оценку ущерба от нарушения свойств безопасности информации, поскольку последняя характеристика интегрирует такие параметры, как уровень значимости ин-
формации и позволяет учесть масштаб системы. Данная характеристика может быть использована как классификационный признак для АСОИ.
2. Технические и эксплуатационные характеристики системы (размещение, наличие подключений к сетям общего пользования, распределение полномочий пользователей, допустимые операции с обрабатываемой информацией, используемые технологии) являются основой для построения модели актуальных угроз безопасности информации и в качестве таковых не имеют прямого отношения к определению требуемого класса защищенности АСОИ.
Заключение. Наибольшую сложность при построении систем защиты информации в АСОИ будут представлять:
- на этапе определения класса АСОИ — оценка степени возможного ущерба от нарушения свойств безопасности информации;
- на этапе обоснования требований к системе защиты информации АСОИ — формирование перечня актуальных угроз безопасности информации на основе анализа уяз-вимостей программного и аппаратного обеспечения АСОИ с учетом технических и эксплуатационных характеристик системы.
В связи с неопределенностью в оценке степени возможного ущерба от нарушения свойств безопасности информации целесообразна разработка предложений по количественной оценке ущерба, что и является целью дальнейших исследований.
ЛИТЕРАТУРА
1. Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. приказ Федеральной службы по техническому и экспортному контролю от 11 февраля 2013 г. № 17 // СПС «КонсультантПлюс».
2. Об утверждении порядка проведения классификации информационных систем персональных данных: приказ Федеральной службы по по техническому и экспортному контролю, Федеральной службы безопасности и Министерства информационных технологий и связи от 13 февраля 2008 г. № 55/86/20 // СПС «КонсультантПлюс».
3. Об утверждении Требований о защите информации, содержащейся в информационных системах общего пользования: приказ Федеральной службы безопасности Российской Федерации и Федеральной службы по техническому и экспортному контролю от 31 августа 2010 г. № 416/489 // СПС «КонсультантПлюс».
4. Требования к защите персональных данных при их обработке в информационных системах персональных данных. Утверждены постановлением Правительства Российской Федерации от 1 ноября 2012 г. № 1119 // СПС «КонсультантПлюс».
5. Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды: приказ Федеральной службы по техническому и экспортному контролю от 14 марта 2014 г. № 31 // СПС «КонсультантПлюс».
6. Нестеровский И.П., Язов Ю.К. Возможный подход к оценке ущерба от реализации угроз безопасности информации, обрабатываемой в государственных информационных системах // Вопросы кибербезопасности. — 2015. — № 2.
7. Методический документ. Меры защиты информации в государственных информационных системах. Утвержден ФСТЭК России 11 февраля 2014 г. // СПС «Кон-сультантПлюс».
REFERENCES
1. Ob utverzhdenii Trebovaniy o zaschite informatsii, ne sostavlyayuschey gosudarstvennuyu taynu, soderzhascheysya v gosudarstvennyih informatsionnyih sistemah: prikaz Federalnoy sluzhbyi po tehnicheskomu i eksportnomu kontrolyu ot 11 fevralya 2013 g. № 17 // SPS «KonsultantPlyus».
2. Ob utverzhdenii poryadka provedeniya klassifikatsii informatsionnyih sistem personalnyih dannyih: prikaz Federalnoy sluzhbyi po po tehnicheskomu i eksportnomu kontrolyu, Federalnoy sluzhbyi bezopasnosti i Ministerstva informatsionnyih tehnologiy i svyazi ot 13 fevralya 2008 g. № 55/86/20 // SPS «KonsultantPlyus».
3. Ob utverzhdenii Trebovaniy o zaschite informatsii, soderzhascheysya v informatsionnyih sistemah obschego polzovaniya: prikaz Federalnoy sluzhbyi bezopasnosti Rossiyskoy Federatsii i Federalnoy sluzhbyi po tehnicheskomu i eksportnomu kontrolyu ot 31 avgusta 2010 g. № 416/489 // SPS «KonsultantPlyus».
4. Trebovaniya k zaschite personalnyih dannyih pri ih obrabotke v informatsionnyih sistemah personalnyih dannyih. Utverzhdenyi postanovleniem Pravitelstva Rossiyskoy Feder-atsii ot 1 noyabrya 2012 g. № 1119 // SPS «KonsultantPlyus».
5. Ob utverzhdenii Trebovaniy k obespecheniyu zaschityi informatsii v avtomatiziro-vannyih sistemah upravleniya proizvodstvennyimi i tehnologicheskimi protsessami na kriticheski vazhnyih ob'ektah, potentsialno opasnyih ob'ektah, a takzhe ob'ektah, pred-stavlyayuschih povyishennuyu opasnost dlya zhizni i zdorovya lyudey i dlya okruzhayuschey prirodnoy sredyi: prikaz Federalnoy sluzhbyi po tehnicheskomu i eksportnomu kontrolyu ot 14 marta 2014 g. № 31 // SPS «KonsultantPlyus».
6. Nesterovskiy I.P., Yazov Yu.K. Vozmozhnyiy podhod k otsenke uscherba ot reali-zatsii ugroz bezopasnosti informatsii, obrabatyivaemoy v gosudarstvennyih informatsionnyih sistemah // Voprosyi kiberbezopasnosti. — 2015. — № 2.
7. Metodicheskiy dokument. Meryi zaschityi informatsii v gosudarstvennyih informatsionnyih sistemah. Utverzhden FSTEK Rossii 11 fevralya 2014 g. // SPS «KonsultantPlyus».
СВЕДЕНИЯ ОБ АВТОРАХ
Нестеровский Олег Игоревич. Старший преподаватель кафедры информационной безопасности. Кандидат технических наук.
Воронежский институт МВД России.
E-mail: nester6679@yandex.ru
Россия, 394065, г. Воронеж, проспект Патриотов, 53. Тел. (473) 200-52-44.
Бурдинский Игорь Анатольевич. Заместитель начальника кафедры огневой подготовки.
Воронежский институт МВД России.
E-mail: armor1970@yandex.ru
Россия, 394065, г. Воронеж, проспект Патриотов, 53. Тел. (473) 200-53-82.
Nesterovskij Oleg Igorevich. Senior Lecturer of Informational security chair. Candidate of technical sciences.
Voronezh Institute of the Ministry of the Interior of Russia. E-mail: nester6679@yandex.ru
Work address: Russia, 394065, Voronezh, Prospect Patriotov, 53. Tel. (473) 200-52-44.
Burdinskij Igor' Anatol'evich.
Deputy Head of the firearms training chair.
Voronezh Institute of the Ministry of the Interior of Russia.
E-mail: armor1970@yandex.ru.
Work address: Russia, 394065, Voronezh, Prospect Patriotov, 53. Тел. (473) 200-53-82.
Ключевые слова: система обработки информации; ущерб; класс защищенности; несанкционированный доступ к информации; конфиденциальность; целостность; доступность.
Key words: information processing system; damage; protection class; unauthorized access; confidentiality; integrity; availability.
УДК 621
ИЗДАНИЯ ВОРОНЕЖСКОГО ИНСТИТУТА МВД РОССИИ
Интегративный подход к профессиональной подготовке специалистов для подразделений по делам несовершеннолетних: монография / Е.И. Мещерякова, И.С. Панферкина. - Воронежский институт МВД России, 2015. - 212 с.
Обосновываются направления и представляется модель формирования целостной личности будущего специалиста, даются методические рекомендации по оптимизации межпредметных и внутрипредметных связей, а также по рациональному сочетанию традиционных, инновационных и эвристических методов в процессе обучения.
Для преподавателей и руководителей ведомственных образовательных организаций, а также всех тех, кто занимается исследованием проблем повышения эффективности подготовки специалистов, получающих высшее образование.
