Information Security Presentation (B.E.E.R 2021)

Защита информации
«All Inclusive»:
от персональных данных до
критических инфраструктур.
Соберем конструктор вместе
(Практический кейс)
Вячеслав Аксёнов,
Enterprise Security Architect
BEST ENGINEERING EVENT OF THE REPUBLIC
B.E.E.R 2021

Организация:
ООО «XYZ». Частная форма собственности.
Информационные системы/ресурсы:
 CRM.
 1С.
 СПО – (web-приложение. оказание платных услуг физ. лицам).
 ПО АРМ «Плательщик» (МНС), ПО «Ввод ДПУ» (ФСЗН),
Консультант-Плюс, клиент-банк, почта, MS Project, web-сайт,
хранилище файлов.
Инфраструктура:
 ЦОД (поставщика услуг): Серверный шкаф: серверы,
оборудование СХД и СПД.
 Офис: ПК сотрудников, обеспечивающая IT-инфраструктура.

Цель:
Соответствие требованиям
(законодательства) в области
защиты информации

Проект:
Этап 1. Определение применимых требований.
Этап 2. Реализация требований.

Определение применимых требований
ИНФОРМАЦИЯ
распространение и (или)
предоставление которой
ограничено
общедоступная
персональные данные коммерческая тайна
профессиональная тайна банковская тайна
служебная информация
ограниченного
распространения
государственные секреты
Закон Республики Беларусь
от 10 ноября 2008 г.
№ 455-З
«Об информации,
информатизации и
защите информации»
ГЛАВА 3

3. Кто является
владельцем
(собственником) ИС?
1. Какая информация
обрабатывается в ИС?
Наша
организация
Другая
гос. секреты
перс. данные
ком. тайна
(тайна юр. лица)
служебная (ДСП)
Реализация
мероприятий по
проектированию,
созданию и
аттестации СЗИ
НАШЕЙ ОРГАНИЗАЦИИ НЕ ТРЕБУЕТСЯ
Реализация мероприятий по проектированию,
созданию и аттестации СЗИ ИС
2. Является ли наша
государственной?
Регулятор КГБ
Требования супер
секретные J
ДА
НЕТ

На основании соответствия критериям отнесения к КВОИ
Показатели уровня вероятного ущерба национальным
интересам Республики Беларусь в политической,
экономической, социальной, информационной,
экологической и иных сферах в случае создания угроз
информационной безопасности либо в результате
возникновения рисков информационной безопасности в
отношении объекта информатизации, не предназначенного
для проведения работ с использованием государственных
секретов (его составляющих элементов)
Приказ Оперативно-аналитического центра при Президенте
Республики Беларусь
20.02.2020 № 65

1. Составление перечня (реестра) информационных
систем и ресурсов.
2. Категорирование информации (информационных
систем) в соответствии с законодательством об
информации, информатизации и защите информации.
3. Классификация информационных систем и ресурсов.
4. Определение применимых требований.
Этап 1. Определение применимых
требований

Инвентаризация ИС/ИР

Группа Общедоступная информация Информация, распространение и (или)
предоставление которой ограничено
Подгруппа Изолированная Открытая Изолированная Открытая
Категория частн гос частн гос фл юл дсп фл юл дсп
Класс 6-частн 6-гос 5-частн 5-гос 4-фл 4-юл 4-дсп 3-фл 3-юл 3-дсп
частн - негосударственные ИС;
гос - государственные ИС;
изолированная - не имеет подключений к открытым
каналам передачи данных;
открытая - подключена к открытым каналам передачи
данных;
фл - информация о частной жизни физического лица и персональные данные, иная
информация, составляющая охраняемую законом тайну физического лица;
юл - информация, составляющая коммерческую и иную охраняемую законом тайну
юридического лица, распространение и (или) предоставление которой ограничено (за
исключением гос секретов и ДСП);
дсп - служебная информация ограниченного распространения.
Приложение 1 к Положению о порядке технической и криптографической защиты информации в информационных системах,
предназначенных для обработки информации, распространение и (или) предоставление которой ограничено», утвержденное Приказом
Оперативно-аналитического центра при Президенте Республики Беларусь 20.02.2020 № 66
Классификация ИС/ИР

Классификация ИС/ИР
Приложение 2 к Положению о порядке технической и
криптографической защиты информации в информационных системах,
предназначенных для обработки информации, распространение и (или)
предоставление которой ограничено», утвержденное Приказом
Оперативно-аналитического центра при Президенте Республики
Беларусь 20.02.2020 № 66

Необходимо создавать аттестованную
СЗИ
3. Кто является
владельцем
(собственником) ИС?
1. Какая информация
обрабатывается в ИС?
Наша
Другая
гос. секреты
перс. данные
ком. тайна
(тайна юр. лица)
служебная (ДСП)
Реализация
мероприятий по
проектированию,
созданию и
аттестации СЗИ
НАШЕЙ ОРГАНИЗАЦИИ НЕ ТРЕБУЕТСЯ
Реализация мероприятий по проектированию,
созданию и аттестации СЗИ ИС
2. Является ли наша
государственной?
Регулятор КГБ
Требования супер
секретные J
ДА
НЕТ

Необходимо создавать аттестованную
СЗИ?

На основании соответствия критериям отнесения к КВОИ
Показатели уровня вероятного ущерба национальным
интересам Республики Беларусь в политической,
экономической, социальной, информационной,
экологической и иных сферах в случае создания угроз
информационной безопасности либо в результате
возникновения рисков информационной безопасности в
отношении объекта информатизации, не предназначенного
для проведения работ с использованием государственных
секретов (его составляющих элементов)
Приказ Оперативно-аналитического центра при Президенте
20.02.2020 № 65

Показатели уровня вероятного ущерба …
Приказ Оперативно-аналитического центра при
Президенте Республики Беларусь 20.02.2020 № 65
Оценка соответствия
критериям отнесения к КВОИ

Примечания:
1. Обозначения «4-фл», «4-юл», «4-дсп», «3-фл», «3-юл» и «3-дсп»
соответствуют классам типовых информационных систем.
2. Требования, отмеченные знаком «+», являются обязательными.
3. Требования, отмеченные знаком «+/–», являются рекомендуемыми.
Перечень требований к СЗИ
Приложение 3 к
Положению о порядке
технической и
криптографической
защиты информации в
информационных
системах,
предназначенных для
обработки информации,
распространение и (или)
предоставление которой
ограничено»,
утвержденное Приказом
Оперативно-
аналитического центра
при Президенте
20.02.2020 № 66

Приложение 3 к Положению о порядке технической и
криптографической защиты информации в информационных
системах, предназначенных для обработки информации,
распространение и (или) предоставление которой ограничено»,
утвержденное Приказом Оперативно-аналитического центра при
Президенте Республики Беларусь 20.02.2020 № 66

Rout - Использование
маршрутизатора (коммутатора
маршрутизирующего)
FW - Использование межсетевого
экрана.
IDS - Обеспечение обнаружения и
предотвращения вторжений в
информационной системе.
AV EP - Обеспечение защиты СВТ от
вредоносных программ.
AV NET - Обеспечение в реальном
масштабе времени автоматической
проверки пакетов сетевого трафика и
файлов данных, передаваемых по
сети, и обезвреживание
обнаруженных вредоносных
программ.
AV MAIL - Обеспечение в реальном масштабе времени автоматической проверки файлов данных, передаваемых по
почтовым протоколам, и обезвреживание обнаруженных вредоносных программ.
VPN - Обеспечение конфиденциальности и контроля целостности информации при ее передаче посредством сетей
электросвязи общего пользования (средства линейного или предварительного шифрования).
DLP - Использование системы обнаружения и предотвращения утечек информации из ИС.
LM - Обеспечение централизованного сбора и хранения информации о событиях ИБ.
IDM - Обеспечение централизованного управления учетными записями пользователей ИС.
AM - Автоматизированный контроль за составом средств вычислительной техники и сетевого оборудования.
Класс
ИС
FW IDS AV EP VPN LM
DLP
3-дсп
3-юл
3-фл
4-дсп
4-юл
4-фл
IDM AM
AV
NET
AV
MAIL
Rout

Требования к проведению комплекса мероприятий
(последовательность выполнения работ)
Требования к организационным мерам
(политика, регламенты).
Требования к техническим мерам
(средства защиты)
Этап 2. Реализация требований

Категорирование
информации
Классификация ИС
Анализ структуры
ИС
Разработка/дорабо
тка политики ИБ
Разработка
технического
задания на
создание СЗИ
Определение
требований к
средствам ЗИ,
подлежащим к
закупке
документа «Общая
схема СЗИ»
Ввод в действие
СЗИ: закупка,
монтаж,
пусконаладочные
работы
(корректировка)
документации на
систему ЗИ
Подготовка
исходных данных
для проведения
аттестации
программы и
методики
аттестации
Проведение
аттестации системы
защиты
Оформление
технического отчета
и протокола
испытаний
Оформление
аттестата
соответствия
Проект (последовательность работ)
«Положение о порядке технической и криптографической защиты информации в
информационных системах, предназначенных для обработки информации,
распространение и (или) предоставление которой ограничено»,
«Положение о порядке аттестации систем защиты информации информационных
систем, предназначенных для обработки информации, распространение и (или)
предоставление которой ограничено»,
утвержденные Приказом Оперативно-аналитического центра при Президенте
Республики Беларусь 20.02.2020 № 66

• цели и принципы защиты информации в организации;
• перечень информационных систем, отнесенных к соответствующим классам типовых
информационных систем, а также отдельно стоящих электронных собственности или
ином законном основании, с указанием подразделения защиты информации или иного
подразделения (должностного лица), ответственного за обеспечение защиты
информации;
• обязанности пользователей информационной системы;
• порядок взаимодействия с иными информационными системами (в случае
предполагаемого взаимодействия), в том числе при осуществлении информационных
отношений на правах операторов, посредников, пользователей информационных систем
и обладателей информации.
Политика информационной безопасности
• резервирования и уничтожения информации;
• защиты от вредоносного программного обеспечения;
• использования съемных носителей информации;
• использования электронной почты;
• обновления средств защиты информации;
• осуществления контроля (мониторинга) за функционированием информационной
системы и системы защиты информации;
• реагирования на события информационной безопасности и ликвидации их последствий;
• управления криптографическими ключами, в том числе требования по их генерации,
распределению, хранению, доступу к ним и их уничтожению.
Регламенты
Политика, регламенты

Средства защиты Область применения
Маршрутизатор
Cisco ISR 4321/K9
Обеспечение управления внешними информационными потоками (маршрутизация) между
информационными системами.
Межсетевой экран
Cisco Firepower
FPR1120-NGFW-K9
Многофункциональное
устройство защиты информации
FortiGate-100
FG-100F
Межсетевое экранирование.
Обеспечение ограничений входящего и исходящего трафика (фильтрация) информационной
системы только необходимыми соединениями.
Обеспечение сегментирования (изоляции) сети управления объектами информационной
системы от сети передачи данных.
Обеспечение обнаружения и предотвращения вторжений в информационной системе.
Обеспечение в реальном масштабе времени автоматической проверки пакетов сетевого
трафика и файлов данных, передаваемых по сети, и обезвреживание обнаруженных
вредоносных программ
Программно-аппаратный
комплекс «Шлюз безопасности
Bel VPN Gate 4.5»
Криптографическая защита информации
Обеспечение защищенного канала передачи данных между рабочими местами субъектов
информационной системы и объектами
Обеспечение защищенного канала передачи данных при взаимодействии с иными
Программный продукт «Клиент
безопасности Bel VPN Client-P
4.1»
Криптографическая защита информации.
Обеспечение защищенного канала передачи данных между рабочими местами субъектов
информационной системы и объектами
Программный комплекс «Сервер
TLS АВЕСТ» (AvTLSSrv)
Криптографическая защита информации
Идентификация пользователя с использованием сертификата открытого ключа изданного РУЦ
ГосСУОК.
Коммутатор Cisco Nexus
N3K-C3524P-10GX
Средства защиты информации

Endpoint Security for Windows
Endpoint Security for Linux
Secure Mail Gateway
Security
Center
Advanced
Malware
Protection
Cisco Firepower 1120
NGFW Appliance
Средства защиты информации

Руководитель организации
несет персональную
ответственность
за организацию работ по
технической и
криптографической защите
информации в организации.
(п.15)
Указ Президента РБ от 16.04.2013 № 196
(в редакции Указа Президента РБ от
09.12.2019 № 449)
Положение о технической и
криптографической защите

СПАСИБО ЗА ВНИМАНИЕ!
Вячеслав Аксёнов,
Enterprise Security Architect

Information Security Presentation (B.E.E.R 2021)

Recommended

Recommended

More Related Content

What's hot

What's hot (17)

Similar to Information Security Presentation (B.E.E.R 2021)

Similar to Information Security Presentation (B.E.E.R 2021) (20)

More from Вячеслав Аксёнов

More from Вячеслав Аксёнов (14)

Information Security Presentation (B.E.E.R 2021)