"CompanyMedia" строим открыто. Бизнес-завтрак 28 июня 2012 "Строим вместе безопасную СЭД".

1. «CompanyMedia» строим открыто!
Строим вместе безопасную СЭД
Москва, 28 июня 2012 г.
Горностаев Владимир, ктн,
Директор центра компетенции
ЭДО и защиты информации
ИнтерТраст
+7 (495) 956-7928,
vgornostaev@intertrust.ru
© В.П.Горностаев, ЗАО "Компания "ИнтерТраст", 2012

2. Термины и определения
Автоматизированная система – система, состоящая из персонала и комплекса
средств автоматизации его деятельности, реализующая информационную технологию
выполнения установленных функций
ГОСТ 34.003-90 Автоматизированные системы. Термины и определения
Информационная система – совокупность содержащейся в базах данных
информации и обеспечивающих ее обработку информационных технологий и
технических средств
ФЗ от 27.07.2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите
информации»
Информационная система персональных данных – совокупность содержащихся
в базах данных персональных данных и обеспечивающих их обработку
информационных технологий и технических средств
Федеральный закон от 27.07.2012 г. № 152-ФЗ «О персональных данных»
Система электронного документооборота (СЭД)
Программное обеспечение
© В.П.Горностаев, ЗАО "Компания "ИнтерТраст", 2012

3. «Простая» СЭД
озы
Уг р
СЗ
СЗ СЭД
СЗИ
Информация
Ц Д
(данные) К
1 2 3 4
© В.П.Горностаев, ЗАО "Компания "ИнтерТраст", 2012

4. Информационная безопасность
Защищаемые свойства информации
Конфиденциальность
Доступ к информации только
авторизованных
пользователей
Доступность Целостность
Доступ к информации и Достоверность и
связанных с ней активам полнота информации и
авторизованных методов ее обработки
пользователей по мере
необходимости

5. СЭД
СЭД – организационно-техническая система, представляющая собой совокупность
программного, аппаратного, организационного и информационного обеспечения, реализующая
электронный документооборот
Безопасность СЭД – состояние защищенности СЭД от внутренних и внешних угроз,
которое обеспечивается оператором СЭД в соответствии с требованиями законодательства,
нормативных актов или обладателя информации, обрабатываемой в СЭД
Система обеспечения безопасности СЭД – система мер организационного,
финансового, технического и иного характера, по выявлению угроз безопасности,
предотвращению и нейтрализации их реализации, пресечению, локализации и
отражению, а также ликвидации последствий реализации угроз
Безопасность ПО
•технологии и используемые средства при создании ПО;
•наличие механизмов защиты.

6. Общая модель безопасности
Объект Работники
Информация
Средства и Физические Интеллектуальная
Защиты (РМ) системы обработки поля собственность
Уязвимости Объективные, субъективные и случайные Модель
нарушителя
Исходят от субъектов, технических средств, стихийных источников
Угрозы Внешние, внутренние, естественные, искусственные, случайные и преднамеренные Модель
Источники Субъекты, материальные объекты или явления различной природы угроз
угроз (физической, химической, биологической…)
Допустимые, критические, катастрофические
Риски Ничтожный, умеренный, серьезный, критический Оценка
Ущерб Материальный. Нематериальный. рисков
(убытки) Ничтожный, умеренный, серьезный, критический
Требования Исключить воздействие факторов или
к защите снизить их воздействие до допустимого ущерба Затраты
Предотвращение, снижение, ликвидация воздействия факторов и угроз.
Методы Правовые, морально-этические, технологические. организационные,
защиты физические, аппаратные и программные, технические Ущерб
Требования к
ПЗИ СЭД
Система безопасности
© В.П.Горностаев, ЗАО "Компания "ИнтерТраст", 2012

7. Строим вместе
Регуляторы Разработчики Заказчики
ПО, СКЗИ
СВТ СЭД - ПО СЭД - АС ИСПДн
Аппаратные средства
НПА
ЛВС, УЦ, СРК …
ЛНА
Система безопасности
Сертификация по требованиям
ФСТЭК Сертификация, Аттестация
безопасности
Контроль встраивания
ФСБ Контроль встраивания СКЗИ
СКЗИ
НСД – 5 класс
Требования СВТ НДВ – 4 уровень, 1Г 1 класс
Требования к ИСПДн
© В.П.Горностаев, ЗАО "Компания "ИнтерТраст", 2012

8. Защита информации в «CompanyMedia»
АС 1Г ИСПд 1 кл.
«CompanyMedia» должна соответствовать требованиям безопасности информации:
отсутствие недекларированных возможностей - по 4 уровню;
защищенность от НСД к информации – по 5 классу
мандатный доступ – по 4 классу
Подсистема ЗИ от НСД
Обеспечения целостности
Управления Регистрации Крипто-
доступом и учета программных графическая
информации
средств
© В.П.Горностаев, ЗАО "Компания "ИнтерТраст", 2012

9. Система ЭДО
СМ 3.х СЭД
ПЗИ
УЦ
Locker 3.х
TSP,
Microsoft Crypto API 2.0 OCSP
СКЗИ
© В.П.Горностаев, ЗАО "Компания "ИнтерТраст", 2012

10. Управление доступом
Субъекты Объекты
Полномочия
СЭД - ПО СЭД - АС ИСПДн
Уровень приложения
Уровень БД
Уровень документа
Уровень полей документа (реквизита)
Мандатный доступ
Классификация ПРД Диспетчер
© В.П.Горностаев, ЗАО "Компания "ИнтерТраст", 2012

11. Идентификация, аутентификация, авторизация
СЭД - ПО СЭД - АС ИСПДн
Уровень приложения
…….
Уровень полей документа (реквизита)
REST: http, https
Базовая SSO
аутентификация
…
eToken
Аутентификация
с использованием
сертификатов
© В.П.Горностаев, ЗАО "Компания "ИнтерТраст", 2012

12. Учет и регистрация
СЭД - ПО СЭД - АС СЭД - ИСПДн
Регистрация событий в
приложении
Параметры регистрации,
настройка
Передача во внешние
системы
© В.П.Горностаев, ЗАО "Компания "ИнтерТраст", 2012

13. Конфиденциальность
СЭД - ПО СЭД - АС СЭД - ИСПДн
Разграничение прав доступа
Шифрование в рамках
приложения
© В.П.Горностаев, ЗАО "Компания "ИнтерТраст", 2012

14. Электронный документ
63-ФЗ от 6 апреля 2011 г.
Электронная подпись - информация в электронной форме, которая присоединена к другой
информации в электронной форме (подписываемой информации) или иным образом связана с
такой информацией и которая используется для определения лица, подписывающего
информацию.
Статья 6. Условия признания ЭД, подписанных ЭП
2.Информация в электронной форме, подписанная квалифицированной ЭП, признается ЭД,
2. Информация в электронной форме, подписанная простой ЭП или неквалифицированной ЭП,
признается ЭД, в случаях,
а). установленных ФЗ, принимаемыми в соответствии с ними НПА
б). соглашением между участниками электронного взаимодействия.

15. Целостность ЭД
СМ 4.х СЭД
РМ-LN РМ-web РМ-iPad
Citrix
ПЗИ
Locker 4.х УЦ
Locker-Citrix Locker-LN Locker-web iLocker
TSP,
OCSP
Microsoft Crypto API 2.0 API
СКЗИ (КриптоПро CSP)
© В.П.Горностаев, ЗАО "Компания "ИнтерТраст", 2012

16. Средства электронной подписи
63-ФЗ от 6 апреля 2011 г.
Статья 12
2. При создании электронной подписи средства электронной подписи должны:
1) показывать лицу, подписывающему электронный документ, содержание информации,
которую он подписывает;
3. При проверке электронной подписи средства электронной подписи должны:
1) показывать содержание электронного документа, подписанного электронной подписью;
СМ х.х СМ х.х
СКЗИ СКЗИ