FSTEC बनाम NIST: रूसी और अमेरिकी में रिसाव संरक्षण

रूसी और पश्चिमी मानसिकता के अंतर के विषय पर बहुत सारे ग्रंथ लिखे गए हैं, कई किताबें प्रकाशित हुई हैं, और कई फिल्मों की शूटिंग हुई है। मानसिक विसंगति वस्तुतः सब कुछ के माध्यम से चलती है, रोजमर्रा की बारीकियों से लेकर नियम बनाने तक - सूचना रिसाव संरक्षण (डीएलपी) प्रणालियों के आवेदन के क्षेत्र में। इसलिए हमें अपने पाठकों के लिए रूसी और अमेरिकी तरीके से रिसाव संरक्षण के दृष्टिकोण की तुलना करने वाले लेखों की एक श्रृंखला तैयार करने का विचार था।



पहले लेख में, हम सूचना सुरक्षा पर रूसी और विदेशी नियामकों की सिफारिशों में समानता और अंतर की तुलना करते हैं, जिसमें रिसाव संरक्षण प्रणाली एक डिग्री या किसी अन्य पर लागू हो सकती है। दूसरे में, हम रूसी संघ के FSTEC द्वारा अनुशंसित GIS सुरक्षा उपायों के लिए घटक मॉड्यूल के संदर्भ में प्रमुख DLP प्रणालियों की प्रयोज्यता के बारे में बात करेंगे। तीसरे में, हम अमेरिकी NIST अमेरिकी मानक की सिफारिशों के साथ सहसंबंधों के लिए रिसाव संरक्षण प्रणालियों की समान सूची पर विचार करते हैं।

तो, रूसी संघ और NIST यूएस के FSTEC हमें सूचना के संरक्षण के संबंध में क्या सलाह देते हैं, जिसके लिए DLP सिस्टम का उपयोग किया जा सकता है? इस सवाल का जवाब कट के नीचे है।

हमारे साथ

रूसी संघ में, राज्य नीति को लागू करने वाला निकाय, साथ ही राज्य सूचना सुरक्षा के क्षेत्र में विशेष और नियंत्रण कार्य करता है, FSTEC (तकनीकी और निर्यात नियंत्रण के लिए संघीय सेवा) है। आदेश संख्या 17, 21 और 31 के अनुसार, जीआईएस (राज्य सूचना प्रणाली) और ISPDn (व्यक्तिगत डेटा सूचना प्रणाली) के लिए मुख्य नियामक दस्तावेज, FSTEC "राज्य सूचना प्रणाली में सूचना की सुरक्षा के उपाय" का पद्धतिगत दस्तावेज है। दस्तावेज़ राज्य और संबंधित सूचना प्रणालियों (आईपी) में सूचना की सुरक्षा के लिए संगठनात्मक और तकनीकी उपायों को लागू करने के लिए एक पद्धति का वर्णन करता है।

यह दस्तावेज़ बताता है कि सूचना सुरक्षा आवश्यकताएँ सिस्टम की सुरक्षा कक्षा पर निर्भर करती हैं। केवल तीन वर्ग हैं - K1, K2, K3, इनका उद्देश्य सिस्टम में संसाधित जानकारी की गोपनीयता, अखंडता और पहुंच सुनिश्चित करना है। पहला वर्ग (K1) सबसे ऊंचा है, तीसरा वर्ग (K3) सबसे कम है। सिस्टम का वर्ग दो मापदंडों पर निर्भर करता है: संसाधित जानकारी के महत्व स्तर पर और सूचना प्रणाली के पैमाने पर।

FSTEC दस्तावेज़ सूचना प्रणालियों में सूचना सुरक्षा उपायों को पहचानता है, पहचान और प्रमाणीकरण के साथ शुरू होता है और आईपी के संरक्षण, साधन और संचार और डेटा हस्तांतरण की प्रणालियों के साथ समाप्त होता है। दस्तावेज़ के अनुसार सूचना सुरक्षा प्रक्रिया, निम्नानुसार संरचित होनी चाहिए:

1. आईपी ​​वर्ग के अनुसार सुरक्षा उपायों के एक मूल सेट की परिभाषा,
2. उपायों के मूल सेट का अनुकूलन,
3. खतरे के मॉडल के अनुसार उपायों को परिष्कृत करना,
4. जानकारी के संरक्षण के संबंध में एक अलग नियामक ढांचे को ध्यान में रखते हुए।

उनके पास है

संयुक्त राज्य अमेरिका में, NIST (राष्ट्रीय मानक और प्रौद्योगिकी संस्थान), राष्ट्रीय मानक और प्रौद्योगिकी संस्थान, राज्य और वाणिज्यिक संगठनों की सूचना सुरक्षा को विनियमित करने के लिए जिम्मेदार है।

1990 के दशक की शुरुआत से, NIST ने सूचना सुरक्षा के क्षेत्र में संघीय सूचना प्रसंस्करण मानक (FIPS) और अधिक विस्तृत विशेष प्रकाशन प्रकाशित किए हैं। इस श्रेणी के प्रकाशनों में से एक, SP 800-53 Rev।, डेटा लीक निरोधक प्रणालियों पर लागू है। 5 "सूचना प्रणाली और संगठनों के लिए सुरक्षा और गोपनीयता नियंत्रण"। यह दस्तावेज़ अभी तक स्वीकृत नहीं हुआ है, लेकिन चर्चा के लिए पहले से ही बंद है। दस्तावेज़ का प्रारंभिक पाठ 2019 के वसंत में प्रकाशित किया जाएगा, और 2019 की गर्मियों में अंतिम एक।

इस तथ्य के बावजूद कि दस्तावेज़ उनकी संरचना में भिन्न हैं, उनमें वर्णित सूचना सुरक्षा सुनिश्चित करने का दृष्टिकोण काफी हद तक समान है। उसी समय, अमेरिकी मानक परामर्श के प्रति पूर्वाग्रह दिखाता है:

1. मूल प्रबंधन अनुभाग।
2. अतिरिक्त मार्गदर्शन।
3. बुनियादी नियंत्रण में सुधार।
4. संबंधित नियंत्रण।
5. एक अन्य नियामक ढांचे के लिंक का एक खंड जो एक नियंत्रण पर लागू होता है या जो इस तत्व को बेहतर बनाता है।
   

वर्गों द्वारा सूचना प्रणालियों के वर्गीकरण को एक अन्य दस्तावेज़ द्वारा नियंत्रित किया जाता है - FIPS 199। एफएसटीईसी की सिफारिशों के अनुसार वर्गीकरण दृष्टिकोण, क्लासिक त्रय "गोपनीयता - अखंडता - अभिगम्यता" पर आधारित है। ट्राइएड के तत्वों में से एक के आईपी पर संभावित उच्चतम प्रभाव के आधार पर अधिकतम महत्वपूर्णता निर्धारित की जाती है।

इसलिए, हम सीधे उन उपायों और निर्देशों का पता लगाएंगे जिन्हें डेटा लीक को रोकने के साधनों के लिए जिम्मेदार ठहराया जा सकता है (नीचे तालिका देखें)।

FSTEC और NIST की सिफारिशों की तुलना तालिका

जैसा कि तालिका से देखा जा सकता है, एनआईएसटी की बुनियादी सिफारिशें उच्च स्तर की हैं। हालांकि, यह ध्यान देने योग्य है कि अमेरिकी मानकों में डेटा रिसाव की रोकथाम प्रणालियों के उपयोग पर सीधे निर्देश शामिल हैं, जिसमें इस तरह के सिस्टम के "वैधीकरण" पर एक अलग अध्याय शामिल है, जहां सभी आवश्यक उपायों को कानूनी प्रक्रियाओं और सूचना प्रणाली नीतियों के विकास से जिम्मेदार ठहराया जाता है। और तीसरे पक्ष के साथ सूचना के आदान-प्रदान को नियंत्रित करने से पहले।

अमेरिकी मानक अस्थायी अवरोधन तंत्र और / या मजबूत एन्क्रिप्शन का उपयोग करके सूचना प्रणाली में प्रमाणीकरण के लिए व्यक्तिगत मोबाइल उपकरणों के उपयोग की अनुमति देता है। लेकिन सभी "उन्नतता" के बावजूद, दस्तावेज़ यह नहीं कहता है कि डेटा लीक रोकथाम प्रणालियों में पहचान के लिए इन उपकरणों के उपयोग को कैसे विनियमित किया जाए।

भविष्य में, डीएलपी सिस्टम के व्यापक उपयोग और पहचान की गई घटनाओं की संख्या में वृद्धि के कारण, मुकदमों की संख्या में वृद्धि होगी। ऐसी स्थिति में, केवल "वैध बनाना" पर्याप्त नहीं है - हमें एक सबूत आधार की आवश्यकता है, और यह "अप्रतिरोध्यता" के बिना मौजूद नहीं हो सकता है। NIST इसे एक अलग ऑडिट चैप्टर, AU-10 में समर्पित है, जो इस अवधारणा को परिभाषित करता है। जानकारी बनाने, भेजने और प्राप्त करने के दौरान "गैर-प्रतिवाद" सुनिश्चित करने के लिए प्रक्रिया का वर्णन करने के लिए अतिरिक्त सिफारिशें:

1. सूचना प्रणाली में उपयोगकर्ता और पहचान के बारे में आवश्यक जानकारी का संग्रह।
2. मान्यता - पहचान और पहचान की पुष्टि।
3. जीवन चक्र प्रबंधन सूचनाओं को एकत्र करने और किए गए कार्यों के अनुसार अनुपालन अधिकारों की पुष्टि करने की एक सतत प्रक्रिया है।
4. पारेषण और प्रसंस्करण से पहले सूचनाओं का सत्यापन / संशोधन । उदाहरण के लिए, एक चेकसम का उपयोग करके।
5. इलेक्ट्रॉनिक हस्ताक्षर का उपयोग।

FSTEC सिफारिशों में, "गैर-प्रतिवाद" सुनिश्चित करने की प्रक्रिया का विस्तार से वर्णन नहीं किया गया है, हालांकि IAF.7 (फ़ाइल सिस्टम ऑब्जेक्ट्स की पहचान और प्रमाणीकरण) को मजबूत करने की आवश्यकताएं "प्रामाणिकता के साक्ष्य का उपयोग करके" की आवश्यकता को इंगित करती हैं। शायद भविष्य में, नियामक अधिक विस्तार के उपायों पर विचार करेगा जो "गैर-प्रतिवाद" सुनिश्चित करने के लिए लागू करने के लिए उचित है।

मैं क्या उधार ले सकता हूं

हमारी राय में, अमेरिकी मानक की उपयोगी सिफारिशें हैं:

1. पहचान / प्रमाणीकरण का उपयोग करने की शीघ्रता, खातों के आगे संरक्षण और "गैर-प्रतिवाद" प्रक्रिया के हिस्से के रूप में प्रेषित जानकारी। ऐसी सिफारिशों को संघीय कानून संख्या 63 के अनुसार योग्य इलेक्ट्रॉनिक हस्ताक्षर के उपयोग के बिना किसी भी स्पष्ट और सरलीकृत रूप में रूसी मानक में शामिल किया जा सकता है।
2. डीएलपी "वैधीकरण" तंत्र का विनियमन, दस्तावेजी समर्थन से शुरू होता है और तीसरे पक्ष को सूचना के प्रावधान के साथ समाप्त होता है।

शायद भविष्य में, इन सिफारिशों को घरेलू मानकों में परिलक्षित किया जाएगा।