Комплексная система защиты персональных данных в распределенной информационной системе

ВВЕДЕНИЕ

Персональные данные (ПДн) нуждаются в надежной защите ввиду повсеместно распространившихся краж информации, превратившихся в проблему мирового масштаба. Серьезность и острота проблемы потребовали от органов государственной власти принятия конкретных мер по ее урегулированию, вследствие чего в 2007 году в России вступил в силу Федеральный закон «О персональных данных» [1], направленный на обеспечение всех необходимых мер по защите информации, используемой коммерческими и государственными организациями.

В соответствии с 152-ФЗ, каждое предприятие должно обеспечить защиту персональных данных своих сотрудников, клиентов и партнеров и принять все необходимые меры по защите ПДн.

Так как под понятие ПДн попадают такие данные о человеке, как фамилия, имя, отчество, дата и место рождения, адрес, семейное, социальное и имущественное положение, образование, профессия, информация о доходах и многое другое — система защиты ПДн (СЗПДн) нужна фактически любой организации. В случае нарушения положений компания может быть привлечена к судебному разбирательству (вплоть до приостановления действий, аннулирования соответствующих лицензий), а виновные лица — к гражданской, уголовной, административной, дисциплинарной ответственности.

Под особым вниманием со стороны регулирующих органов оказываются:

— государственные организации или организации со значительной долей государственного участия;

— организации нефтегазовой отрасли;

— организации, обрабатывающие данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных убеждений, состояния здоровья;

— организации, обрабатывающие данные более чем 100 000 субъектов ПДн;

— организации, работающие на рынке с высокой и «некорректной» конкуренцией (с использованием административного ресурса).

Из этого списка видно, что в большинстве случаев в зоне риска проверок со стороны регуляторов оказываются крупные информационные системы ПДн (ИСПДн), которым свойственна сложная распределенная структура.

При проектировании систем защиты локальных (согласно представляющих собой комплексы автоматизированных рабочих мест, объединенных в единую информационную систему средствами связи без использования технологии удаленного доступа) и автономных (согласно представляющих собой автономные (не подключенные к иным информационным системам) комплексы технических и программных средств) ИСПДн большинство операторов стараются использовать отработанные методики и подходы. Для этого ими применяются типовые несложные решения, применение и проектирование СЗПДн на основе которых является задачей приведения к шаблону.

При проектировании систем защиты крупных распределенных ИСПДн разработка СЗПДн является сложной задачей, требующей участия высококвалифицированных специалистов в области защиты информации. В крупных распределенных ИСПДн появляется необходимость криптографической защиты передаваемых данных, ввиду распределенности и разнородности средств информатизации и защиты, остро становится вопрос выбора средств защиты информации (СЗИ), вопрос централизации механизмов мониторинга и управления.

Несмотря на то, что крупные распределенный ИСПДн требуют индивидуального подход в разработке СЗПДн, они обладают некоторыми общими характеристиками, позволяющими разработать общие принципы построения СЗПДн. Это позволяет произвести анализ приближенной к типовой модели угроз и нарушителя, анализ выбора СЗИ, технологий управления и мониторинга СЗПДн.

1. ИССЛЕДОВАНИЕ И АНАЛИЗ ОСОБЕННОСТЕЙ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ В РАСПРЕДЕЛЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

1.1 Анализ структуры распределенной информационной СИСТЕМЫ и обрабатываемых в ней персональных данных Согласно [3], распределенная ИСПДн представляет собой комплекс автоматизированных рабочих мест и (или) локальных информационных систем, объединенных в единую информационную систему средствами связи с использованием технологии удаленного доступа. Необходимость создание распределенной ИСПДн возникает ввиду географической распределенности объектов информатизации.

В большинстве случаев распределенные ИСПДн имеют иерархическую структуру. Структура представлена на рисунке 1.1.

Рисунок 1.1 — Структура распределенной ИСПДн Сервера распределенной ИСПДн могут выносятся в центр обработки данных (ЦОД). В большинстве случаев он находится в административном центре предприятия в выделенном серверном помещении, либо же выносится в отдельное строение, предназначенное исключительно для ЦОД и осуществляющих его поддержку структур.

К одной из главных особенностей распределенной ИСПДн относится передача ПДн по неконтролируемому каналу, чаще всего представляющему из себя сеть связи общего пользования (ССОП) или Интернет. Эта особенность влияет на множество характеристик безопасности ИСПДн. В том числе появляется необходимость криптографической защиты передаваемых данных, ввиду распределенности и разнородности средств информатизации и средств защиты, остро становится вопрос централизации механизмов мониторинга и управления. Это значительно усложняет структуру СЗПДн, взаимосвязи её компонент с внешней средой системы.

В соответствии с выделяются следующие категории ПДн в рамках ИСПДн:

— категория 1 — ПДн, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;

— категория 2 — ПДн, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1;

— категория 3 — ПДн, позволяющие идентифицировать субъекта персональных данных;

— категория 4 — обезличенные и (или) общедоступные ПДн.

В ИС большинства предприятий ведётся бухгалтерский и кадровый учёт, база данных клиентов.

Состав, результат анализа ПДн, обрабатываемых в ИСПДн, представлены в таблице 1.1.

Таблица 1.1 — Результаты анализа состава ПДн

Опираясь проведенный анализ сформированы следующие правила определения категории ПДн (относительно к составу ПДн) при объединении ПДн касающихся одного и того же лица:

— если объединяются данные категории 4 (обезличенные), то полученный в результате массив данных также будет иметь 4 категорию;

— если объединяются данные категории 4 (общедоступные), то полученный в результате массив данных также будет иметь 4 категорию;

— если объединяются данные 3 категории (позволяющие идентифицировать субъекта ПДн) и данные категории 3 или 4 (при этом никакие данные из этих категорий не относятся к перечню данных входящих в категорию 1), то итоговый массив данных будет категории 2 (данные позволяющие идентифицировать субъекта ПДн и получить о нем дополнительную информацию);

— если объединяются данные 2 категории и какие-либо данные категории 2−4 (при этом никакие данные из этих категорий не относятся к перечню данных входящих в категорию 1), то итоговый массив данных также будет иметь 2 категорию.

Отображение данных правил в табличной форме представлено в таблице 1.2.

Таблица 1.2 — Итоговые категории объединяемых типов данных

В результате, в типовой распределенной ИСПДн обрабатываются ПДн 2 категории.

1.2 Классификации информационных систем персональных данных В соответствии со статьей 19 из [1], оператор при обработке ПДн обязан принимать необходимые организационные и технические меры, для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения ПДн, а также от иных неправомерных действий.

В общем случае можно выделить следующие основные характеристики безопасности:

— конфиденциальность ПДн;

— целостность ПДн;

— доступность ПДн.

Также возможны следующие дополнительные характеристики безопасности:

— неотказуемость;

— учетность (свойство, обеспечивающее однозначное отслеживание собственных действий любого логического объекта (ИСО 7498−2:99));

— аутентичность (свойство обеспечения идентичности субъекта или ресурса заявленной идентичности. Аутентичность применяется к таким субъектам как пользователи, процессы, системы и информация (ISO/IEC 13 335−1:2004); - идентичность объекта тому, что заявлено);

— адекватность (свойство соответствия преднамеренному поведению и результатам (ISO/IEC 13 335−1:2004)).

Однако, учитывая необязательность их рассмотрения ([12], раздел «Определение характеристик безопасности») далее эти характеристики безопасности не рассматриваются.

Так как для распределенной ИСПДн кроме обеспечения конфиденциальности необходимо так же обеспечить целостность и доступность — ИСПДн является специальной (в соответствии с [3]). Класс специальных ИСПДн определяется на основе модели угроз безопасности ПДн.

В соответствии с порядком проведения классификации ИСПДн, установленным [3], ИСПДн подразделяются на следующие классы:

— класс 1 (К1) — ИСПДн, для которых нарушение заданной характеристики безопасности ПДн, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов ПДн;

— класс 2 (К2) — ИСПДн, для которых нарушение заданной характеристики безопасности ПДн, обрабатываемых в них, может привести к негативным последствиям для субъектов ПДн;

— класс 3 (КЗ) — ИСПДн, для которых нарушение заданной характеристики безопасности ПДн, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов ПДн;

— класс 4 (К4) — ИСПДн, для которых нарушение заданной характеристики безопасности ПДн, обрабатываемых в них, не приводит к негативным последствиям для субъектов ПДн.

1.3 Анализ модели угроз распределенной информационной системы персональных данных Для построения модели угроз в соответствии с должны использоваться нормативные документы Федеральной службы по техническому и экспортному контролю Российской Федерации (ФСТЭК России) и Федеральной службы безопасности Российской Федерации (ФСБ России).

В соответствии с [4], Модель угроз применительно к конкретной ИСПДн разрабатывается в соответствии с на основе.

На основании определяется степень исходной защищенности (СИЗ) специальных ИСПДн. При определении СИЗ вводится числовой коэффициент Y1, его соответствие вербальному отображению представлено в таблице 1.3.

Таблица 1.3 — Коэффициент СИЗ ИСПДн

Под частотой (вероятностью) реализации угрозы понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация конкретной угрозы безопасности ПДн для данной ИСПДн в складывающихся условиях обстановки. Вербальному представлению сопоставляется численный коэффициент Y2. Используются четыре градации этого показателя, представленные в таблице 1.4.

Коэффициент реализуемости угрозы Y определяется соотношением:

Y = (Y1+Y2) / 20, (1)

где Y — коэффициент реализуемости угрозы,

Y1 — коэффициент степени исходной защищенности,

Y2 — коэффициент вероятности реализации угрозы.

Таблица 1.4 — Вероятности реализации УБПДн

По значению коэффициента реализуемости угрозы Y формируется вербальная интерпретация возможности реализации угрозы следующим образом:

— если 00,3, то возможность реализации угрозы признается низкой;

— если 0,30,6, то возможность реализации угрозы признается средней;

— если 0,6? 0,8, то возможность реализации угрозы признается высокой;

— если Y>0,8, то возможность реализации угрозы признается очень высокой.

Далее оценивается опасность каждой угрозы. При оценке опасности на основе опроса экспертов (специалистов в области защиты информации) определяется вербальный показатель опасности для рассматриваемой ИСПДн. Этот показатель имеет три значения, представленные в таблице 1.5.

Таблица 1.5 — Показатель опасности УБПДн

Выбор из общего (предварительного) перечня угроз безопасности тех, которые относятся к актуальным для данной ИСПДн, в соответствии с правилами, показанными в таблице 1.6.

На основе [4], с использованием данных о классе ИСПДн и составленного перечня актуальных угроз, необходимо сформировать конкретные организационно-технические требования по защите ИСПДн от утечки информации по техническим каналам, от несанкционированного доступа и осуществляется выбор программных и технических средств защиты информации, которые могут быть использованы при создании и дальнейшей эксплуатации ИСПДн.

Таблица 1.6 — Матрица определения актуальности УБПДн

В таблице 1.7 представлены характеристики ИСПДн и СИЗ.

Таблица 1.7 — Показатели исходной защищенности ИСПДн

В таблице 1.8 проведено определение актуальности угроз ИСПДн.

Таблица 1.8 — Определение актуальности угроз безопасности ИСПДн

1.4 Анализ модели нарушителя безопасности персональных данных Нарушитель может действовать на различных этапах жизненного цикла системы. Под этими этапами понимаются разработка средств, их производство, хранение, транспортировка, ввод в эксплуатацию (пуско-наладочные работы), эксплуатация.

Объектами атак на этапах производства, хранения и транспортировки средств системы, подготовки к вводу в эксплуатацию являются только технические и программные средства системы и документация на них.

Целями атак являются:

— получение сведений о средствах (об особенностях средств системы, об условиях их производства и эксплуатации);

— внесение различного рода уязвимостей в средства системы;

— внесение несанкционированных изменений в документацию;

— неправильная конфигурация средств системы.

Потенциальные нарушители делятся на:

— внешних нарушителей, не имеющих санкционированных возможностей по доступу в контролируемую зону компании, в которой располагается узел;

— внутренних нарушителей, имеющих санкционированные возможности по постоянному или разовому доступу в контролируемую зону подразделения, в котором располагается узел.

Типы нарушителей по возможностям доступа к различным компонентам узла представлены в таблице 1.9.

К нарушителям 1 типа могут относиться отдельные лица, ведущие злоумышленную деятельность, не имеющие доступа в КЗ.

К нарушителям типа 2 могут относиться:

— посетители, имеющий разовый доступ в КЗ;

— определенные категории обсуживающего персонала и представителей ремонтных организаций, не имеющих доступ к компонентам узлов.

К нарушителям 3 типа могут относиться представители технических и обслуживающих служб, консультационных и других вспомогательных служб, находящихся в пределах КЗ на постоянной основе или периодически. Нарушители этого типа не имеют права доступа к техническим средствам и программному обеспечению ИС.

Таблица 1.9 — Типы нарушителей

К нарушителям типа 4 могут относиться сотрудники Организации, не являющиеся операторами или администраторами ИС.

К нарушителю типа 5 может относиться сотрудник, являющийся оператором АРМ ИС.

Нарушитель типа 6 не рассматривается в настоящей модели. Предполагается, что администраторы являются доверенными лицами, и не относятся к категории нарушителей. Их доверенность должна обеспечиваться комплексом организационных мер по подбору персонала, закреплению ответственности и контролю лояльности.

К нарушителям типа 7 могут относиться сотрудники организаций, осуществляющих обслуживание узлов на постоянной основе в соответствии с заключенными договорами (организации-разработчики ПО, ТС, организации, осуществляющие техническую поддержку). Данный тип нарушителя не рассматривается в настоящей модели. Предполагается, что защита от данного типа нарушителя обеспечивается комплексом организационно-технических мер, а кроме того, правила обращения с информацией, ставшей доступной вследствие проводимых мероприятий, условия конфиденциальности обозначены в договорах.

Предполагается, что существующая в Организации система подбора кадров, действующие организационно-технические мероприятия исключают возможность сговора между нарушителями любых типов.

Предположения об имеющейся у нарушителя информации приведены в таблице 1.10.

Таблица 1.10

Предположения об имеющихся у нарушителей средствах атак приведены в таблице 1.11.

Таблица 1.11 — Предположения об имеющихся у нарушителей средствах атак

Возможные каналы атак ограничены следующими предположениями:

— доступ в контролируемую зону подразделения, помещения регламентирован и контролируется соответствующим режимом;

— в пределах контролируемой зоны серверное оборудование, каналы связи и коммуникационное оборудование доступно только для администраторов, доступ пользователей и обслуживающего персонала ограничен;

— обслуживающий персонал при работе в помещениях, где расположены компоненты системы, сотрудники, не являющиеся пользователями, находятся в помещениях с компонентами узлов только в присутствии сотрудников узлов;

— внутренний нарушитель (тип 5) самостоятельно осуществляет создание методов и средств реализации атак, а также самостоятельно реализует атаки. При этом внутренний нарушитель данного типа ограничен организационно-техническими мерами и технологиями процессов обработки защищаемой информации. Так же данный тип нарушителя не имеет прямых возможностей доступа к средствам криптографической защиты информации других компонентов ИС, так как доступ ограничивается межсетевыми экранами, настройками СПО и ППО, вследствие чего его возможности по доступу к СКЗИ соответствуют возможностям нарушителя типа 4.

Основными каналами атак являются:

— внешние каналы связи, не защищенные от НСД к информации организационно-техническими мерами;

— штатные средства;

— каналы непосредственного доступа к объекту атаки (визуальный, физический);

— машинные носители информации;

— носители информации, выведенные из употребления.

Каналы атак, связанные с получением информации по ПЭМИН, через устройства негласного съема информации, отсутствуют ввиду имеющихся у нарушителей средств атак и предположений об актуальности угроз. К таким каналам относятся:

— сигнальные цепи;

— цепи электропитания;

— цепи заземления;

— канал утечки за счет электронных устройств негласного получения информации.

Доступ к информационным и управляющим интерфейсам СВТ ограничен ввиду введенных предположений о возможностях нарушителя.

На основе введенных предположений об уровне информации, имеющейся у нарушителя, о доступных ему средствах и каналах атак можно сделать вывод, что нарушитель не обладает достаточным уровнем возможностей для нарушителя класса Н2, а именно:

— не имеет доступ в КЗ;

— неизвестны все сети связи, работающие на едином ключе;

— отсутствуют возможности по получению аппаратных компонент криптографических средств;

— не имеют доступа к ключевым центрам.

Таким образом, нарушитель обладает возможностями класса Н2.

Учитывая, что в ИСПДн ПДн передаются по неконтролируемым каналам связи между территориально разнесенными подразделениями, то требуется использование средств криптографической защиты информации.

Нарушитель, ввиду введенных ограничений, не имеет возможностей по перехвату информации на каналах связи внутри КЗ, использование которых контролируется предприятием.

1.5 Выводы К одной из главных особенностей распределенной ИСПДн относится передача ПДн по неконтролируемому каналу, чаще всего представляющему из себя сеть связи общего пользования (ССОП) или Интернет. Эта особенность влияет на множество характеристик безопасности ИСПДн. В том числе появляется необходимость криптографической защиты передаваемых данных, ввиду распределенности и разнородности средств информатизации и защиты остро становится вопрос выбора СЗИ, вопрос централизации механизмов мониторинга и управления.

Согласно анализу состава ПДн, обрабатываемой в распределенной ИСПДн, обрабатываются ПДн 2 категории.

Так как для распределенной ИСПДн кроме обеспечения конфиденциальности необходимо так же обеспечить целостность и доступность — ИСПДн является специальной. Класс специальной ИСПДн определяется на основе модели угроз безопасности персональных данных.

Согласно модели угроз, распределенная ИСПДн имеет низкий уровень исходной защищенности и целый ряд актуальных угроз.

Согласно модели нарушителя, нарушитель обладает возможностями нарушителя класса Н2.

2. АНАЛИЗ МЕР И СРЕДСТВ ПО ЗАЩИТЕ РАСПРЕДЕЛЕННОЙ ИНФОРМАЦИОННОЙ СИСТЕМЫ ПЕРСОНАЛЬНЫХ ДАННЫХ ОТ ВЫЯВЛЕННЫХ АКТУАЛЬНЫХ УГРОЗ В МОДЕЛИ УГРОЗ С УЧЕТОМ МОДЕЛИ НАРУШИТЕЛЯ

2.1 Анализ основных мер по защите от актуальных угроз безопасности персональных данных Для нейтрализации и снижения вероятности проявления тех или иных угроз на всех стадиях жизненного цикла узлов необходимо использовать комплекс мер и средств защиты:

— организационных и организационно-технических;

— инженерных и инженерно-технических;

— технических; программных, аппаратных и программно-аппаратных.

Класс специальной ИСПДн присваивается согласно экспертной оценке специалиста по защите информации. Так как для распределенной ИСПДн предприятия нарушение заданной характеристики безопасности ПДн, обрабатываемых в них, не может привести к значительным негативным последствиям для субъектов персональных данных, ИСПДн присваивается класс К2 специальный. Основные меры по защите от актуальных угроз персональных данных (УБПДн) распределенной ИСПДн представлены в таблице 2.1. Выбор средств защиты ПДн должен осуществляться в несколько этапов. На первом этапе выполняется экспертный анализ рынка средств защиты и проведение предварительного отбора производителя и линейки продуктов СЗИ, удовлетворяющих требованиям к СЗПДн. Для отобранных средств защиты анализируется информация о наличие сертификатов ФСТЭК (Гостехкомиссии) России и/или ФСБ (ФАПСИ) России или о возможности сертификации. Основная цель на данном этапе — сокращение количества анализируемых СЗИ.

Таблица 2.1 — Меры по защите от актуальных УБПДн

Структура СЗПДн распределенной ИСПДн представлена на рисунке 2.1.

Рисунок 2.1 — Структура СЗПДн распределенной ИСПДн По результатам первого этапа составляется перечень средств защиты информации, в котором указывались все линейки продуктов СЗИ анализируемого типа и их производители. При наличии или отсутствии сертификата у средства защиты в таблице сравнения проставлялась соответственно «1» или «0».

На втором этапе для выбора СЗИ из предварительного перечня используется факторный анализ. В факторном анализе используются существенные характеристики СЗИ, весовой коэффициент характеристики, степень соответствия продукта — описанию характеристики.

Перечень характеристик определяется на основе всех существенных свойств средств защиты информации, связанных с функциональными и системными возможностями продуктов, возможностями, связанными с управлением и мониторингом, характеристик связанных с доверием и стоимостью продуктов. При этом учитывались только те свойства, о наличии или отсутствии которых можно дать ответ «есть» или «нет», а также те, для которых можно экспертным путем выбрать значения из диапазона от 0 до 1.

Весовой коэффициент характеристики определяет, насколько данная возможность или характеристика продукта важна для реализации СЗПДн. Он может принимать значения:

— 1 и более — очень важна;

— 0,5 — важна;

— 0 — не важна.

Степень соответствия продукта определяет, насколько продукт соответствует требуемой для СЗПДн возможности или характеристике. Позиции матрицы в факторной таблице заполнялись логическими значениями «0» или «1» соответственно при отсутствии или наличии у СЗИ возможности или качества, описываемой характеристикой. Если степень соответствия характеристике у разных средств может быть оценена, то применяется градация значений параметра этой характеристики, который может принимать значение от 0 до 1.

Для включения в факторную таблицу количественных показателей, например стоимости, они приводились к нормальному виду. Показатели характеристик, для которых лучшими являются максимальные значения, вычисляются по формуле:

(2)

где — нормированный количественный показатель характеристики n-го СЗИ,

— значение показателя характеристики n-го СЗИ,

— максимальное значение показателя характеристики из всех анализируемых СЗИ.

Показатели характеристик, для которых лучшими являются минимальные значения, вычислялись по формуле:

(3)

где — нормированный количественный показатель характеристики n-го СЗИ,

— значение показателя характеристики n-го СЗИ,

— максимальное значение показателя характеристики из всех анализируемых СЗИ.

Например, если стоимость 1-го, 2-го, 3-го и 4-го средств защиты информации равна соответственно 100, 150, 200 и 250 рублей, то будет равен 250 рублей, а нормированные значения показателей для всех средств: 1 — 0,4 = 0,6, 1 — 0,6 = 0,4, 1 — 0,8 = 0,2 и 1 — 1 = 0.

После заполнения факторной таблицы производится расчет и получение значений показателей эффективности СЗИ анализируемого типа.

Показатель эффективности (рейтинг) СЗИ рассчитывался по формуле:

(4)

где — показатель эффективности n-го СЗИ,

— показатель наличия свойства у n-го СЗИ, принимающего значения от 0 до 1,

— весовой коэффициент m-го свойства СЗИ, принимающий значения от 0 до 10,

n — порядковый номер (индекс) СЗИ в матрице факторной таблицы,

m — порядковый номер (индекс) характеристики свойства в матрице факторной таблицы,

М — общее количество характеристик СЗИ.

2.2 Анализ и выбор средств защиты распределенной информационной системы персональных данных Подсистема защиты от НСД реализуется средствами управления съемными носителями (СУСН) и обеспечения усиленной аутентификации.

При выборе СУСН рассматривались производители и их продукты, удовлетворяющие требованиям к СЗПДн, указанные в таблице 2.2.

Таблица 2.2 — Анализируемые СУСН

Было проведено сравнение основных функциональных, системных возможностей продуктов, возможностей, связанных с управлением и мониторингом, характеристик связанных с доверием и стоимостью продуктов. Информация о факторном анализе продуктов приведена в таблице 2.3.

В качестве СУСН выбран продукт Symantec Endpoint Protection производства компании Symantec, так как это комплексное средство реализующее функции нескольких подсистем и имеющее максимальный показатель эффективности.

Таблица 2.3 — Факторный анализ СУСН