Средства защиты информации

Сертифицированные решения для построения систем защиты персональных

данных и конфиденциальной информации.

Калашников Иван ЗАО «АЛТЭКС-СОФТ»

Государственные Регуляторы в области защиты персональных данных

Федеральная служба по техническому и экспортному контролю (ФСТЭК России)

Федеральная служба безопасности (ФСБ России)

Устанавливает методы и способы защиты информации в информационных системах некриптографическими методами

Устанавливает методы и способы защиты информации в информационных системах криптографическими методами

Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)

Контроль и надзор за соответствием обработки ПДн требованиям законодательства

Нормативная база, регламентирующая требования по защите персональных

данных.

Федеральные законы

Об информации, информационных технологиях и о защите информации от 27 июля 2006 года № 149-ФЗ О персональных данных от 27 июля 2006 года № 152-ФЗ

Нормативно-методические документы ФСТЭК России

Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных Положение о методах и способах защиты информации в информационных системах персональных данных (Приказ ФСТЭК России от 5 февраля 2010 г. N 58) Постановление № 781 Об утверждении положения об обеспечении безопасности персональных данных при их обработку в информационных системах персональных данных другие

Основные факторы определяющие выбор средств защиты информации

Имеющиеся в распоряжении средства обеспечения безопасности ПДн

Наличие у СЗИ сертификата соответствия требованиям Регуляторов

Структура имеющийся в распоряжении оператора ИСПДн

Модель угроз безопасности ПДн и Модель нарушителя

Проектирование и внедрение системы защиты информации ИСПДн

Квалификация персонала

Технологический процесс обработки ПДн

Финансовые и временные ресурсы на внедрение и эксплуатацию

Класс защищаемой ИСПДн и режим разграничения прав субъектов доступа к ПДн

Наиболее распространенные классы ИСПДн на территории РФ

В соответствии с «Положением о методах и способах защиты информации в информационных системах персональных данных» (Приказ ФСТЭК России № 58 от 05 февраля 2010 г.), для защиты ПД в информационных системах персональных данных классов К3 и К2 (наиболее распространенные классы ПДн) должны использоваться сертифицированные ФСТЭК России СЗИ.

ФЗ № 152 «О персональных данных» вступил в силу 26 января 2007 года Крайний срок приведения ИСПДн в соответствие – 1 июля 2011 года

ИСПДн класса К2: 1. Персональные данные категории 2 - ПДн, позволяющие идентифицировать субъекта ПДн и получить о нем дополнительную информацию. 2. В ИСПДн одновременно обрабатываются данные от 1 000 до 100 000 субъектов ПДн. 3. Распределенная информационная системе, состоящей из комплексов АРМ и(или) локальных ИС, объединенных в единую ИС с использованием технологии удаленного доступа. 4. Может иметь подключение к Интернет. 5. Многопользовательская. 6. Разграничение прав доступа. 7. Находиться на территории Российской Федерации.

Программно-технические средства защиты информации от НСД

Выбор средств защиты информации сводится к выбору наложенных (дополнительных) средств защиты либо общесистемного и прикладного программного обеспечения со встроенными механизмами защиты информации.

Встроенные средства защиты Полная совместимость Быстродействие систем Унифицированный интерфейс Отсутствие необходимости специальной подготовки Низкая стоимость решения Высококлассная техническая поддержка Microsoft и его партнеров

Наложенные средства защиты Отсутствие гарантий совмести-мости с ОС и прикладным ПО Отсутствие гарантий устойчивости работы систем Потеря быстродействия Специальная подготовка персонала для внедрения подобных систем и их пользователей Неудобства в работе и другое

Программные средства для построения защищенных информационных систем

Windows XP/Vista/7 Windows Server 2003/2003R2/2008/2008R2 SQL Server 2005/2008 Office 2003/2007 ISA Server 2006 Standard ForefrontSecurity ExchangeServer 2007 Standard, Enterprise BizTalkServer 2006 R2/2009 SharePointServer 2007 R2 System Center Operation Manager/ Configuration Manager/ Protection Manager Dynamics CRM/ AX/ NAV.

Advanced Workstation Advanced Server Server for Windows

Антивирусные средства Dr.Web, Kaspersky lab., NOD 32 и др.

Сертифицированные решения на платформе общесистемного ПО Microsoft

Сертифицированные программные продукты Microsoft позволяют создать защищенную ИСПДн до 2-го класса включительно с минимальным набором наложенных средств защиты информации

Более 40 сертификатов ФСТЭК России

Windows XP/Vista/7 Windows Server 2003/2003R2/2008/2008R2 SQL Server 2005/2008 Office 2003/2007 ISA Server 2006 Standard ForefrontSecurity ExchangeServer 2007 Standard, Enterprise BizTalkServer 2006 R2/2009 SharePointServer 2007 R2 System Center Operation Manager/ Configuration Manager/ Protection Manager Dynamics CRM/ AX/ NAV.

Сертифицированное средство для контроля доступа к внешним устройствам

DeviceLock.

Сертифицированное решение DeviceLock - надежное средство для защиты от инсайдерских угроз, утечек информации, протоколирования действий пользователей. Используется для построения защищенных ИСПДн до 1-го класса включительно

Обеспечивает контроль: USB-портов; дисководов; CD/DVD-приводов; шин IEEE 1394 (FireWire); инфракрасных портов; параллельных и последовательных портов; WiFi и Bluetooth-адаптеров; ленточных накопителей; КПК и смартфонов (iPhone, Palm и пр.); сетевых и локальных принтеров;

Российская разработка В 2009 году база инсталляций продукта превысила четыре миллиона компьютеров по всему миру Сертификат ФСТЭК России отсутствия недекларированных возможностей

любых внутренних и внешних сменных нако- пителей и жестких дисков; доступ к определенным типам файлов вне зависимости от установленных на устройство разрешений (более 3800 различных типов файлов). Для каждого пользователя или группы мож но задать свой список устройств, доступ к которым будет всегда разрешен. Устройства идентифицируются по модели и по уникальному серийному номеру.

Сертифицированные средства для резервного копирования и восстановления

Acronis.

Сертифицированные решения Acronis - профессиональные средства для резервного копирования и восстановления информации. Используется при построении защищенных ИСПДн до 1-го класса включительно.

Сертифицированы версии: ABR 10 Advanced Workstation ABR 10 Advanced Server ABR 10 Server for Windows Ключевые особенности: Резервное копирование на уровне файлов Полное резервное копирование Инкрементное резервное копирование Дифференциальное резервное копирование Устройства хранения резервных копий Локальные диски, сетеыве хранилища (NAS и SAN) сетевых и локальных принтеров;

Передовое средство для резервирования и восстановления информации Многолетний опыт использования для создания защищенных объектов информатизации Сертификат ФСТЭК России отсутствия недекларированных возможностей

Дедупликация данных Восстановление Восстановление на «голое железо» Технология Acronis Active Restore длявосстановления приоритетных приложений Централизованная консоль управления Резервное копирование на основе политик Функция резервного копирования и восстановления с сервера Безопасность

Сертифицированные средства для резервного копирования и восстановления

Сертифицированные решения Acronis – средства защиты информации

Сертифицированные Средства резервирования и восстановления – составная часть системы защиты ИСПДн

Возможность незамедлительного восстановления информации – прямая обязанность оператора ПД (ФЗ №149 ФСТЭК России, Постановление правительства №781)

Acronis ABR 10 являются программными средствами со встроенными средствами защиты от НСД, относящимися к программам контроля и восстановления файловой структуры на внешних запоминающих устройствах. (Перечень СЗИ, подлежащих сертификации в Системе сертификации № РОСС RU.0001.01БИ00, Положение №199 Гостехкомиссия России)

Методы и способы защиты информации от НСД (РД «Автоматизированные системы», Положение «Методы и способы защиты информации от НСД…»): - наличие средств восстановления системы защиты персональных данных, предусматривающие ведение двух копий программных средств защиты информации, их периодическое обновление и контроль работоспособности.

Оператор информационной системы обязан обеспечить возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней

Сертифицированное средство для межсетевого экранирования UserGate

Сертифицированное решение UserGate 5.2.F – средство для межсетевого экранирования и безопасного доступа в интернет для защищенных ИСПДн до 1-го класса включительно.

Ключевые особенности: Межсетевой экран Встроенная антивирусная защита Усиленные механизмы аутентификации Расширенный драйвер NAT Организация доступа в Интернет Фильтрация веб-сайтов Ограничение трафика Регулирование скорости доступа Учет трафика Модуль веб-статистики

Альтернатива дорогостоящим средствам межсетевого экранирования Российская разработка с уникальными технологиями Наличие широких функциональных возможностей Сертификат ФСТЭК России отсутствия недекларированных возможностей

Биллинговая система Поддержка различных протоколов Управление шириной канала Кэширование трафика Поддержка IP-телефонии Маршрутизация DHCP-сервер Публикация ресурса Аудит и подробная статистика действий пользователей и администраторов Защищенный доступа в Интернет

Сертифицированные антивирусные средства Dr

Web, Kaspersky lab., NOD 32.

Сертифицированные антивирусы – программные антивирусные средства от ведущих Российских разработчиков для реализации антивирусной защиты в ИСПДн любых классов

Ключевые особенности: Сертифицированы ФСТЭК, ФСБ России. Полностью соответствуют требованиям, предъявляемым к СЗИ для защиты персональных данных. Так же могут применяться в защищенных АС, обрабатывающих конфиденциальную информацию и государственную тайну.

Современные антивирусные средства, включающее в себя элементы защиты всех узлов корпоративной сети Российские разработки, которым доверяют защиту информации силовые структуры Наличие широкого спектра сертификатов ФСТЭК, ФСБ России

Сопоставление требований к системе защиты ИСПДн и функциональных

возможностей СЗИ.

Управление доступом

Средства, обеспечивающие выполнение требований РД

Требование для ИСПДн класса К2

Регистрация и учет

Средства, обеспечивающие выполнение требований РД

Требование ФСТЭК для ИСПДн класса К2

Обеспечение целостности

Средства, обеспечивающие выполнение требований РД

Требование ФСТЭК для ИСПДн класса К2

Межсетевое экранирование

Соответствие функций МЭ Usergate 5.2.F требованиям

Требование ФСТЭК России к межсетевому экранирования ИСПДн класса К2

Антивирусная защита

Средства, обеспечивающие выполнение

Требование ФСТЭК для ИСПДн класса К2

Типовые решения для для обработки ПД или конфиденциальной информации

Решения по защите рабочих мест для обработки персональных данных представляют собой защищенные: автономные АРМ; АРМ с выходом во внешние сети; локальные сети без выхода во внешние сети; локальные cети с выходом во внешние сети, в т. ч. Internet. Режим обработки информации в системах – многопользовательский или однопользовательский В системах пользователи имеют разные права доступа к персональным данным Самые популярные классы ИСПДн - 2 или 3 (К2 и К3)

Типовые рабочие места для защиты ПД или конфиденциальной информации

Автономное рабочее место

Рабочее место с Internet

Типовая локальная сеть для защиты персональных данных

Типовая сеть с выходом Internet для защиты персональных данных

Ключевые особенности рассматриваемых СЗИ

Соответствие национальным стандартам и требованиям Регуляторов к средствам защиты информации; Все СЗИ имеют сертификаты ФСТЭК России; Линейка сертифицированных продуктов Microsoft позволяет строить системы защиты ИСПДн классов К3-К2 с минимальным набором дополнительных наложенных СЗИ сторонних производителей; Полностью совместимы между собой и не способствуют негативному влиянию на другие программы в информационной системе; Не требуют специальных подготовки обслуживающего персонала; Производитель гарантирует бессрочную сертификационную поддержку

Дополнительные преимущества рассматриваемых СЗИ

Стоимость Возможность использования уже имеющегося лицензионного ПО для проведения сертификации Гибкие условия приобретения и поставки Нулевая стоимость поддержки в течении всего срока эксплуатации Экономия финансовых затрат конечного пользователя или интегратора на внедрение Экономия финансовых затрат на сопровождение в процессе эксплуатации

Комплект сертифицированного ПО Microsoft

Верифицированный установочный комплект ПО Бессрочный абонемент на получение сертифицированных on-line обновлений Техническая поддержка (информационные и консультационные услуги) Формуляр на сертифицируемое ПО, промаркированный голографическим знаком соответствия ФСТЭК России Копия Сертификата ФСТЭК России на поставляемое ПО, заверенная печатью Заявителя. Медиа-Кит (CD-диск), содержащий: программу контроля сертифицированной версии ПО; Руководство по безопасной настройке и контролю сертифицированного ПО; Руководство по получению сертифицированных обновлений. 7. USB-ключ с записанным цифровым сертификатом для получения сертифицированных обновлений.

Комплекты сертифицированных версий DeviceLock, UserGate, Acronis

Верифицированный установочный комплект ПО; Бессрочный абонемент на получение сертифицированных online-обновлений поставляемых программных продуктов; Голографические специальные знаки соответствия ФСТЭК России на поставляемые программные продукты; Техническая поддержка (информационные и консультационные услуги) поставляемых программных продуктов в течение 12 месяцев с момента поставки; Копия Сертификата ФСТЭК России на поставляемое ПО, заверенная печатью Заявителя; Формуляр на сертифицируемое ПО; 7. CD-диск, содержащий: Файлы с ключами активации ПО; Руководства по установке, настройке и работе с ПО. 8. Лицензионное соглашение на использование сертифицированного программного продукта

Автоматизация настройки и контроля сертифицированного ПО Microsoft

Программы семейства Check - эффективный инструмент для приведения в соответствие с требования параметров безопасности систем защиты ИСПДн и их контроля

Ключевые функциональные особенности программ контроля и настройки

«Check».

Сбор данных и формирование отчетов о соответствии установленного продукта сертифицированной версии; формирование отчетов об установленных и неустановленных серти-фицированных обновлениях безопасности; контроль загруженных обновлений на предмет соответствия сертифицированным обновлениям продуктов microsoft; фиксацию и контроль целостности исполняемых файлов и библиотек; контроль и настройку параметров безопасности в автоматизированном (на основании сертифицированных конфигураций) и ручном (установка значений отдельных параметров безопасности) режимах; создание произвольных пользовательских конфигураций параметров безопасности с возможностью наследования значений от серртифи-цированных конфигураций или текущего состояния системы и др.

Цена на типовые наборы СЗИ для защиты АРМ в ИСПДн 2-го класса и АС 1Г

1. Базовая защита – ОС Windows XP + Антивирус Dr.Web 2. C доп. защитой DL - ОС Windows XP + Антивирус Dr.Web + DeviceLock 6.4.1 3. C доп. защитой ABR10 - ОС Windows XP + Антивирус Dr.Web + Acronis Backup & Recovery 10 4. C доп. защитой DL + ABR10 - ОС Windows XP + Антивирус Dr.Web + Acronis Backup & Recovery 10 + DeviceLock 6.4.1 5. АРМ в сети – все решения + UserGate 5.2.F

* Приведена стоимость типового решения для защиты автономного АРМ и АРМ в составе сети из расчета партии в 10 АРМ ** В стоимость сертифицированной версии Windows XP не входит стоимость лицензии Microsoft на ОС и ключа для получения обновлений

О компании АЛТЭКС-СОФТ

Основное направление деятельности: производство, поставка и сопровождение сертифицированных средств защиты информации Microsoft, Aladdin, Smartline Inc., Acronis, Entensys и др. Другие направления: оказание консалтинговых услуг при подготовке и в проведении сертификации СЗИ; оказание услуг по защите конфиденциальной информации и государственной тайны; разработка программных и аппаратно-программных средств защиты информации.

Лицензии АЛТЭКС-СОФТ

Лицензии ФСТЭК России: Лицензия ФСТЭК № 2435 от 11 ноября 2009г. на осуществление мероприятий и (или) оказание услуг в области защиты государственной тайны (в части технической защиты информации) Лицензия ФСТЭК № 2436 от 11 ноября 2009г. на проведение работ, связанных с созданием средств защиты информации Лицензия ФСТЭК России №0641 от 16 января 2008г. на деятельность по технической защите конфиденциальной информации Лицензия ФСТЭК России №0369 от 16 января 2008г. на деятельность по разработке и (или) производству средств защиты конфиденциальной информации

Лицензии ФСБ России: Лицензия ФСБ России №14685 от 02 июля 2009г. на осуществление работ, связанных с использованием сведений, составляющих государственную тайну Лицензия ФСБ России №5515Р от 14 мая 2008г. на распространение шифровальных (криптографических) средств Лицензия ФСБ России № 7075К от 22 апреля 2009г. на осуществление разработки и (или) производства средств защиты конфиденциальной информации Лицензия ФСБ России №10053Х от 21 января 2011г. на осуществление технического обслуживания шифровальных (криптографических) средств Лицензия ФСБ России №10052П от 21 января 2011г. на разработку, производство шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных и телекоммуникационных систем Лицензия ФСБ России № 10055У от 21 января 2011г. на предоставление услуг в области шифрования информации

Благодарю за внимание

Вы сможете задать вопросы: kia@altx-soft.ru Тел. (495) 543-31-01 По вопросам приобретения обращайтесь: