Продукты и проекты

В сфере защиты ГИС важно держать «руку на пульсе»

Основным документом, регламентирующим требования по защите ГИС, на сегодняшний день является приказ ФСТЭК России №17, выпущенный 11 февраля 2013 года. Описанные в приказе меры по защите информации охватывают весь «жизненный» цикл ГИС и включают в себя следующие этапы
1) Формирование требований к защите;
2) Разработку системы защиты информации;
3) Внедрение системы защиты информации;
4) Аттестацию информационной системы по требованиям защиты информации и ввод ее в действие;
5) Обеспечение защиты информации в ходе эксплуатации системы;
6) Обеспечение защиты информации при выводе системы из эксплуатации.

Среди особенностей, связанных с защитой ГИС, можно выделить следующие:
обязательная аттестация информационной системы перед вводом в эксплуатацию;
обязательное использование сертифицированных средств защиты информации; 
более жесткие требования по защите, чем те, которые предъявляются к негосударственным ИС. 

Говоря о перспективах и трендах сферы, автор отмечает следующие.
Государственные облака
К концу 2017 года в стране планируется запустить проект «Гособлако». Проект, реализуемый Минкомсвязью России, подразумевает, что вновь создаваемые информационные системы ведомств будут размещаться у поставщиков облачных услуг. По замыслу создателей, проект повысит эффективность оказания государственных услуг и обеспечит экономию затрат. 
При реализации ГИС в облаке возникнет ряд вопросов, требующих решения: определение требований по ИБ, предъявляемых к поставщикам облачных услуг, разделение зон ответственности за ИБ между участниками процесса, порядок аттестации ЦОД и многое другое. Регулирование в данной области в настоящее время достаточно не проработано. 
Требования по информационной безопасности гособлаков государству также еще предстоит закрепить в документах.

Использование мобильных технологий
Мобильный доступ к ГИС приобретает все большую актуальность. И мобильное рабочее место должно быть защищено при помощи сертифицированных средств защиты информации. 
Проблема заключается в узком выборе средств защиты, доступных для использования на мобильных устройствах. Западные MDM (Mobile Device Management) решения пока недостаточно проникли на российский рынок и не обладают необходимыми сертификатами. Но даже и среди имеющихся отечественных средств защиты мобильных устройств многие обладают ограничениями. Ряд технологий, требующихся нормативно-правовыми требованиями (например, аппаратные модули доверенной загрузки), вообще на мобильных устройствах неприменимы. Таким образом, чтобы «легитимировать» использование мобильных устройств в ГИС, приходится уделять особенное внимание процессам моделирования угроз и разработке проекта на систему защиты. Вместе с тем, отечественные вендоры постепенно адаптируют свои решения под мобильные устройства и в ближайшее время ситуация в этой сфере постепенно улучшается. 

Расширение нормативной базы
Среди позитивных тенденций в области защиты ГИС можно отметить улучшение качества нормативной базы. Приказ ФСТЭК №17, содержащий требования по защите информации в ГИС, регулярно дополняется. Среди совсем «свежих» документов можно отметить проект методики моделирования угроз ФСТЭК и методические рекомендации по разработке отраслевых моделей угроз от ФСБ России. 
В новых документах значительно углубляется «аналитическая» часть: детализируется описание потенциальных нарушителей, учитывается их потенциал и мотивация, учитывается реализация угроз на разных этапах жизни ГИС, имеющаяся статистика по реализации тех или иных угроз. 
Заслуживает внимания также появление обновляемого банка угроз и уязвимостей, созданного ФСТЭК.

Импортозамещение
Импортозамещение существенно затрагивает отрасль ИБ. Дело в том, что в условиях санкций, под вопросом оказывается возможность закупки и дальнейшего сопровождения уже приобретенных западных средств защиты информации. Особенно это актуально для госорганов. Для решения многих задач в области информационной безопасности в настоящий момент у импортных решений есть отечественные аналоги. Традиционно сильны позиции отечественных производителей в области антивирусной защиты, анализа защищенности, обнаружения вторжений, криптографической защиты. Развиваются также системы обнаружения вторжений, межсетевого экранирования, системы управления ИБ. 
Вместе с тем в ряде случаев отечественные решения завоевывают свою долю рынка во многом благодаря более высокому уровню сертификации продуктов. Функционал и характеристики таких решений не всегда является достаточными, особенно в свете перспектив их использования в высокопроизводительной облачной инфраструктуре. Например, по-прежнему на рынке нет сертифицированных средств шифрования для работы на каналах связи производительностью 10 и более Гбит/с, средств шифрования Fibre Channel. А такие требования часто предъявляются к решениям, функционирующим в центрах обработке данных. 
Трудно сказать, станет ли политика государства по имортозамещению толчком к технологическому совершенствованию отечественных решений, но еще более усилить их позиции на рынке оно поможет. 

Таким образом, область, связанная с обеспечением защиты ГИС, в настоящее время активно развивается. Выходят новые и меняются старые нормативные документы, внедряются новые технологии, появляются новые средства защиты информации. 
Разработчикам и поставщикам ПО необходимо учитывать движение ГИС в сторону облачных вычислений и использования технологий мобильного доступа. Вендорам, разрабатывающим средства защиты информации, также придется адаптировать свои решения под использование в центрах обработки данных, а также в части совместимости с мобильными устройствами. Использование отечественных средств защиты будет подкрепляться общей тенденцией по импортозамещению. Специалистам по ИБ, работающим с ГИС, стоит постоянно держать «руку на пульсе», следить за изменениями в области нормативного регулирования и рынка средств защиты, быть готовыми оперативно адаптироваться к ним. 

«БАРС Груп» готова предложить своим Заказчикам комплексные решения созданию систем обеспечения информационной безопасности в государственных организациях. 
Компания является партнером ведущих производителей сертифицированных средств защиты. Специалисты «БАРС Груп» обладают опытом квалификацией, достаточными для проведения работ по защите информации в системах практически любого масштаба и уровня сложности.

С полной версией материала можно ознакомиться здесь.

Управление бюджетом в "облаке" – снижение расходов "на земле"

«БАРС Груп» расширяет географию присутствия

Другие новости