FSTEC से वर्तमान खतरों के निर्धारण के लिए वर्तमान पद्धति की समस्याएं

शुभ दिन, हेब्र! आज हम 14 फरवरी 2008 को रूस के FSTEC द्वारा अनुमोदित व्यक्तिगत डेटा सूचना प्रणालियों में संसाधित होने पर व्यक्तिगत डेटा की सुरक्षा के लिए वास्तविक खतरों को निर्धारित करने के लिए दस्तावेज़ "पद्धति पर आलोचना करना चाहते हैं।" (इसके बाद के तरीके के रूप में जाना जाता है)।

यह कार्यप्रणाली वर्तमान सुरक्षा खतरों के निर्धारण के लिए एकमात्र अनुमोदित दस्तावेज है, और वर्तमान कानून के अनुसार "सूचना सुरक्षा खतरों का निर्धारण करने और सूचना सुरक्षा खतरों के एक मॉडल को विकसित करने के लिए, रूस के FSTEC द्वारा विकसित और अनुमोदित किए गए पद्धतिगत दस्तावेजों का उपयोग किया जाता है ... " का उपयोग किया जाता है ।

जैसा कि कार्यप्रणाली के अनुमोदन की तारीख से देखा जा सकता है, यह पहले से ही 10 वर्ष से अधिक पुराना है और वास्तव में इसके साथ कई समस्याएं हैं। कौन से - हम आगे विचार करेंगे।

समस्या नंबर 1। व्यक्तिगत डेटा के लिए लिंक

यह समस्या दस्तावेज़ के शीर्षक में पहले से ही मौजूद है: " व्यक्तिगत डेटा सुरक्षा प्रणालियों में संसाधित होने पर व्यक्तिगत डेटा की सुरक्षा के लिए वास्तविक खतरों को निर्धारित करने की पद्धति"।

आगे की कार्यप्रणाली के पाठ के साथ हम निम्नलिखित देखते हैं:

निम्नलिखित स्वचालित व्यक्तिगत डेटा सूचना प्रणालियों में उनके प्रसंस्करण के दौरान व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए कार्य करने के लिए कार्यप्रणाली का उपयोग किया जाता है:

• राज्य या नगरपालिका ISPDn;
• ISPDn, उद्यमों, संगठनों और संस्थाओं द्वारा संचालित (या) (बाद में संगठनों के रूप में संदर्भित), उनके उद्देश्य के अनुसार इन संगठनों के कार्यों को करने के लिए आवश्यक स्वामित्व के रूप की परवाह किए बिना;
• ISPDn को व्यक्तियों द्वारा बनाया और उपयोग किया जाता है, सिवाय इसके कि जब बाद वाले इन प्रणालियों का उपयोग केवल व्यक्तिगत और पारिवारिक जरूरतों के लिए करते हैं।

ठीक है, ठीक है, व्यक्तिगत डेटा और आईएसपीडी से लिंक करना, लेकिन समस्या क्या है? और समस्या तब उत्पन्न होती है जब हमें एक खतरे के मॉडल को लिखने की आवश्यकता होती है, उदाहरण के लिए, एक राज्य सूचना प्रणाली (जीआईएस) जिसमें व्यक्तिगत डेटा संसाधित नहीं होता है।

सूचना सुरक्षा के लिहाज से हर जीआईएस ऑपरेटर अपनी चटनी में पकाया जाता है तो सब कुछ ठीक हो जाएगा - अपने द्वारा ईजाद की गई विधि के अनुसार एक खतरे का मॉडल विकसित करेगा, इसे केवल खुद ही इस्तेमाल करेगा और किसी को भी नहीं दिखाएगा। केवल यहां, रूसी संघ की सरकार के एक प्रस्ताव द्वारा दिनांक 11 मई, 2017 नंबर 555, सभी नए बनाए गए जीआईएस के ऑपरेटरों को रूस के एफएसटीईसी और रूस के एफएसबी के साथ सूचना सुरक्षा प्रणाली बनाने के लिए खतरे के मॉडल और तकनीकी विशिष्टताओं के समन्वय के लिए बाध्य किया गया था।

और, ज़ाहिर है, एक खतरे के मॉडल को विकसित करने के लिए "रचनात्मक" दृष्टिकोण के मामले में, जीआईएस ऑपरेटर को जवाब मिलेगा कि "धमकी मॉडल को रूस के एफएसटीईसी द्वारा अनुमोदित नियामक दस्तावेजों को ध्यान में रखते बिना विकसित किया गया है, इसे फिर से करें"।

और हमारे पास एक और स्वीकृत पद्धति नहीं है।

समस्या संख्या 2। विवादास्पद विरासत

कार्यप्रणाली का पहला पैराग्राफ कहता है:

व्यक्तिगत डेटा सूचना प्रणाली (ISPD) में उनके प्रसंस्करण के दौरान व्यक्तिगत डेटा (PDN) की सुरक्षा के लिए वर्तमान खतरों का निर्धारण करने की पद्धति रूस के FSTEC द्वारा 27 जुलाई 2006 के संघीय कानून के आधार पर विकसित की गई है। व्यक्तिगत डेटा सूचना प्रणालियों में उनके प्रसंस्करण के दौरान डेटा ", रूसी संघ की सरकार की 17 नवंबर, 2007 संख्या 781 की डिक्री द्वारा अनुमोदित, सूचना के संरक्षण पर रूस के FSTEC के वर्तमान नियामक दस्तावेजों को ध्यान में रखते हुए। rmatsii।

यहां समस्या यह है कि 2012 में सरकार के साहसिक प्रस्ताव को रद्द कर दिया गया था। लेकिन अगर केवल इस अनुच्छेद में दिखाई दिया, तो कार्यप्रणाली को पूरी तरह से नाजायज माना जा सकता है। लेकिन अभी भी 152-एफजेड है, जो काफी जीवंत और अभिनय है। मेथडोलॉजी की वैधता के मुद्दे पर वकीलों की राय का विचलन।

किसी भी मामले में, जैसा कि पहले ही उल्लेख किया गया है, यह एकमात्र दस्तावेज है जो किसी तरह स्वीकृत है, इसलिए हम पीड़ित हैं और इसका उपयोग करते हैं। हम क्यों “तड़प रहे” हैं? आइए आगे विचार करें।

(अर्द्ध) समस्या संख्या ३। FSTEC रूस के साथ संचार की कमी

हालांकि FSTEC के सभी प्रासंगिक विनियामक दस्तावेज़ों में खतरे के मॉडल के स्रोत के रूप में एक खतरे वाले डेटा बैंक के उपयोग की आवश्यकता होती है, कार्यप्रणाली दस्तावेज़ को संदर्भित करती है "व्यक्तिगत डेटा सुरक्षा खतरों का मूल मॉडल जब वे व्यक्तिगत डेटा सूचना प्रणालियों में संसाधित होते हैं", जिसे 2008 में भी अनुमोदित किया गया था। और जो वास्तव में उपयोग करना असंभव है।

यह, कुल मिलाकर, यह एक सीधी समस्या नहीं है, हम बस एनओएस का उपयोग कर रहे हैं और यह बात है। लेकिन साथ ही, यह स्थिति स्पष्ट रूप से नियामक दस्तावेजों की विसंगतियों और विसंगतियों को दर्शाती है। जबकि FSTEC के 17, 21 और 239 आदेश किसी भी तरह से अपडेट किए गए BDU को संदर्भित करते हैं, 2008 में कार्यप्रणाली अटक गई।

समस्या संख्या 4। प्रारंभिक सुरक्षा सूचकांक

इसलिए, हमें वास्तविक खतरों के निर्धारण के लिए वास्तविक कार्यप्रणाली के लिए मिला। इसका सार इस प्रकार है: हमारे पास खतरों की एक सूची है, प्रत्येक खतरे के लिए, इसकी प्रासंगिकता (या प्रासंगिकता) निर्धारित करने के लिए, हमें कई मापदंडों को निर्धारित करने की आवश्यकता है, और फिर कार्यप्रणाली में वर्णित गणना / जोड़तोड़ के माध्यम से, वांछित लक्ष्य पर आएं - वास्तविक खतरों की एक सूची।

इन मापदंडों में से पहला जो हमें निर्धारित करने की आवश्यकता है "प्रारंभिक सुरक्षा का स्तर", यह "प्रारंभिक सुरक्षा की डिग्री" भी है, यह "प्रारंभिक सुरक्षा का गुणांक" है, यह वाई 1 है (वैसे, यह कार्यप्रणाली की एक और मध्यवर्ती समस्या है - एक के लिए कई नाम हैं और एक ही इकाई)।

प्रारंभिक सुरक्षा की डिग्री निम्नानुसार निर्धारित की जाती है। 7 संकेतक (सिस्टम की तकनीकी और परिचालन विशेषताएं) हैं, प्रत्येक संकेतक के लिए मूल्यों के लिए कई विकल्प हैं और प्रत्येक संकेतक के लिए आपको इनमें से केवल एक मान को चुनने की आवश्यकता है, जो हमारी सूचना प्रणाली के लिए सबसे उपयुक्त है। चयनित मान सुरक्षा (उच्च, मध्यम या निम्न) के स्तर से संबद्ध है।

अगला, हम विचार करते हैं कि हमारे पास "उच्च", "मध्यम" और "कम" के स्तरों के साथ कितने विकल्प हैं। यदि 7 संकेतकों में से, 70% या अधिक को "उच्च स्तर की सुरक्षा" प्राप्त हुई, तो पूरे सिस्टम की प्रारंभिक सुरक्षा की डिग्री उच्च है (Y1 = 0)। यदि 7 संकेतकों में से, 70% या अधिक को उच्च या मध्यम स्तर की सुरक्षा प्राप्त हुई, तो संपूर्ण प्रणाली की प्रारंभिक सुरक्षा की डिग्री औसत (Y1 = 5) है। यदि पिछली दो स्थितियां संतुष्ट नहीं हैं, तो पूरे सिस्टम की प्रारंभिक सुरक्षा की डिग्री कम है (Y1 = 10)।



यह सामान्य लगता है, लेकिन।

सबसे पहले, संकेतक, उनके मूल्यों और सुरक्षा स्तरों को वितरित किया जाता है ताकि एक वास्तविक सूचना प्रणाली (एक स्टैंड-अलोन कंप्यूटर नेटवर्क से डिस्कनेक्ट न हो, संचार और विद्युत दोनों), आपको कभी भी उच्च सुरक्षा प्राप्त नहीं होगी ।

दूसरे, संकेतक खुद और उनके मूल्य बहुत अजीब हैं। अक्सर ऐसा होता है कि दो मान एक संकेतक के लिए एक बार में उपयुक्त होते हैं, या कोई भी उपयुक्त नहीं होता है।

उदाहरण 1:

संकेतक "क्षेत्रीय वितरण द्वारा"।

संभावित मूल्य:

• वितरित आईएसपीडी, जो कई क्षेत्रों, क्षेत्रों, जिलों या पूरे राज्य को कवर करता है;
• शहरी ISPDn, एक से अधिक बस्ती (शहर, गांव) को कवर नहीं करता है;
• कॉर्पोरेट ने ISPD को वितरित किया, एक संगठन के कई प्रभागों को कवर किया;
• स्थानीय (परिसर) आईएसपीडी, कई निकट स्थित इमारतों के भीतर तैनात;
• स्थानीय आईएसपीडी, एक ही इमारत के भीतर तैनात।

यहाँ, स्थितियाँ असामान्य नहीं हैं जब दो मान एक साथ सूचना प्रणाली के लिए उपयुक्त हों: "वितरित" और "कॉर्पोरेट" या "शहरी" और "कॉर्पोरेट"।

उदाहरण 2:

संकेतक "व्यक्तिगत डेटा तक पहुंच के भेदभाव पर"

संभावित मूल्य:

• ISPDn, जिस तक पहुंच उस संगठन के कर्मचारियों की सूची द्वारा निर्धारित की जाती है जो ISPD, या एक व्यक्तिगत PDN का मालिक है;
• ISPDn, जिसके पास ISPD के पास मौजूद संगठन के सभी कर्मचारियों की पहुंच है;
• खुली पहुंच के साथ आईएसपीडी।

दो चरम सीमाएं हैं, या तो सिस्टम खुला है या उस तक पहुंच है, केवल संगठन के कर्मचारी जो इस सूचना प्रणाली के मालिक हैं।

आधुनिक दुनिया में, अक्सर ऐसी परिस्थितियां होती हैं जहां संरक्षित जानकारी तक पहुंच तीसरे पक्ष के उपयोगकर्ताओं (जो सूचना प्रणाली के मालिक के कर्मचारी नहीं हैं) को प्रदान की जाती है, जबकि यह प्रणाली सार्वजनिक रूप से उपलब्ध नहीं है। ये अंक FSTEC के आदेश 17 और 21 में पूरी तरह से परिलक्षित होते हैं (बाहरी उपयोगकर्ताओं को जोड़ने के लिए अलग-अलग उपाय हैं), लेकिन कार्यप्रणाली में अनुपस्थित हैं। उसी समय, हम अपने स्वयं के मूल्यों को नहीं जोड़ सकते हैं; कार्यप्रणाली इसके लिए प्रदान नहीं करती है।

तीसरा, ऐसे संकेतक हैं जो व्यक्तिगत डेटा के साथ कसकर जुड़े हुए हैं और उनके संदर्भ से बाहर बस लागू नहीं होते हैं, उदाहरण के लिए, संकेतक "व्यक्तिगत डेटा के सामान्यीकरण (अवैयक्तिकरण) के स्तर तक"। जब हम GIS के लिए एक खतरा मॉडल विकसित करने के लिए कार्यप्रणाली का उपयोग करते हैं जो पीडी की प्रक्रिया नहीं करता है, तो इस सूचक को बस बाहर फेंकने की आवश्यकता है।

और "ISPDn, जो किसी भी जानकारी प्रदान नहीं करता है" अकेले लागत क्या है ...

समस्या संख्या 5। किसी और चीज के बिना खतरों के लिए प्रासंगिकता की गणना

यदि Y1 है, तो Y2 होना चाहिए। Y2 एक अलग "खतरे की संभावना" है। 4 ग्रेडिएंट्स हैं: संभावना नहीं, कम संभावना, औसत संभावना और उच्च संभावना (वाई 2 = 0, 2, 5, 10, क्रमशः)।

एक खतरे की संभावना खतरे की प्राप्ति के लिए पूर्व शर्त की उपस्थिति और खतरे को बेअसर करने के लिए किए गए उपायों की उपस्थिति / अनुपस्थिति / अपूर्णता पर निर्भर करती है।

यदि खतरा उत्पन्न होने के लिए कोई उद्देश्य पूर्वापेक्षाएँ नहीं हैं, तो एक खतरे की संभावना नहीं है।

तो, समस्या क्या है? और समस्या यह है कि कार्यप्रणाली में लिखने के बजाय, जो कि संभावित खतरे नहीं हैं, केवल वास्तविक खतरों की सूची से बाहर रखा गया है, हमारे पास बस उनके लिए अपना मूल्य Y2 है। और इसका मतलब है कि उन खतरों के लिए जिनके लिए कोई पूर्वापेक्षाएँ नहीं हैं (उदाहरण के लिए, सिस्टम में वर्चुअलाइज़ेशन वातावरण से जुड़े खतरे जहाँ वर्चुअलाइज़ेशन का उपयोग नहीं किया जाता है), हमें गुणांक की गणना करनी चाहिए और प्रासंगिकता / प्रासंगिकता निर्धारित करनी चाहिए। क्या यह बकवास नहीं है?

डेलीरियम, विशेष रूप से यह देखते हुए कि परिस्थितियों के एक निश्चित सेट के तहत, खतरे जिनके लिए कोई पूर्वापेक्षाएँ नहीं हैं, विशुद्ध रूप से मेथोडोलॉजी द्वारा, अचानक प्रासंगिक हो सकते हैं। यह प्रारंभिक सुरक्षा के निम्न स्तर और / या खतरों के औसत / उच्च जोखिम के साथ संभव है। लेकिन किसी भी मामले में, हमें गणना करने में समय बिताना चाहिए। इसलिए, इस स्थान पर "माथे" पद्धति को लागू नहीं करना अच्छा है, लेकिन प्रारंभिक चरण में होने वाले संभावित खतरों का निराकरण करना है।

अब तक, जीआईएस के लिए एफएसटीईसी खतरे के मॉडल से सहमत होने का अनुभव बताता है कि नियामक को इस दृष्टिकोण के बारे में कोई शिकायत नहीं है।

(अर्द्ध) समस्या संख्या ६। एक और अर्थहीन पैरामीटर

पहला अर्थहीन (वास्तव में, लागू नहीं) पैरामीटर उच्च स्तर की प्रारंभिक सुरक्षा थी। इसके अलावा, यदि आप ध्यान से मेथडोलॉजी पढ़ते हैं, तो आप इसका ब्रू ढूंढ सकते हैं

यदि इस जगह पर पढ़ने वालों को Y1 और Y2 के साथ क्या हो रहा है, इस बारे में दिलचस्पी है, तो हम उन्हें अनप्लग्ड फॉर्मूला Y = (Y1 + Y2) / 20 का उपयोग करके Y की गणना करने के लिए उपयोग करते हैं (यह भी एक खतरे को महसूस करने की संभावना है)। परिणामी मूल्य के आधार पर, व्यवहार्यता कम, मध्यम, उच्च या बहुत अधिक हो सकती है। और आखिरी क्रम व्यर्थ है।



यहां कार्यप्रणाली से एक तालिका है, जिसके द्वारा हम दो तरीकों से खतरे की प्रासंगिकता निर्धारित करते हैं - खतरे की संभावना (यह वाई) और खतरे की आशंका (नीचे देखें)। तालिका से पता चलता है कि खतरे को लागू करने की उच्च और बहुत अधिक संभावना अलग नहीं है, इन स्तरों पर सभी खतरे खतरे के खतरे के महत्व के बावजूद प्रासंगिक होंगे।

एक अतिरिक्त व्यर्थ उन्नयन शुरू करने का क्या मतलब था - यह स्पष्ट नहीं है। सामान्य तौर पर, यह हमारे लिए न तो ठंडा है और न ही गर्म है, इसलिए इसे केवल आंशिक रूप से एक समस्या माना जा सकता है।

समस्या संख्या 7। नकारात्मक परिणाम (खतरों का खतरा)

ठीक है, चलो "खतरे का खतरा" पैरामीटर पर चलते हैं। इसके अपने ग्रेडेशन हैं (यह एक मोड़ है!) निम्न, मध्यम और उच्च। वे अलग-अलग हैं कि व्यक्तिगत डेटा के विषय के परिणामों के लिए खतरे का कार्यान्वयन क्या होगा: मामूली नकारात्मक, बस नकारात्मक, महत्वपूर्ण नकारात्मक।

आप शायद सोचते हैं कि आगे की कार्यप्रणाली में इसे विस्तार से और संख्याओं के साथ लिखा गया है - छोटे नकारात्मक परिणाम क्या हैं और वे महत्वपूर्ण लोगों से कैसे भिन्न हैं? नहीं, दस्तावेज़ के संकलक ने खुद को इस मुहावरे तक सीमित कर लिया कि खतरों का खतरा "विशेषज्ञों (सूचना सुरक्षा के क्षेत्र में विशेषज्ञ)" के सर्वेक्षण के आधार पर निर्धारित किया जाता है। मुझे लगता है कि यह किसी के लिए कोई रहस्य नहीं है कि ऐसे मामलों में, कई खतरे मॉडल डेवलपर्स बस वर्तमान खतरों की सूची को कम करने के लिए खतरों के खतरे को हमेशा डिफ़ॉल्ट रूप से कम कर देंगे। इसके अलावा, यह ध्यान देने योग्य है कि अक्सर "विशेषज्ञ" नहीं होते हैं, जिन्हें 200 किमी के दायरे में साक्षात्कार दिया जा सकता है।

असल में, खतरों के खतरे के साथ समस्याएं खत्म नहीं होती हैं। इसके अलावा, सूचना प्रणालियों के लिए खतरे के मॉडल के डेवलपर्स, जिसमें व्यक्तिगत डेटा संसाधित नहीं होते हैं, फिर से पीड़ा होती है। और अगर "व्यक्तिगत डेटा" की अवधारणा को आसानी से "संरक्षित जानकारी" द्वारा प्रतिस्थापित किया जा सकता है, तो नकारात्मक परिणामों के संदर्भ में "व्यक्तिगत डेटा के विषय" को क्या बदला जाना चाहिए? यहां, पहले से ही हर खतरा मॉडल डेवलपर स्थिति के अनुसार कार्य करता है।

और FSTEC क्या है?

एक उचित प्रश्न - यदि वर्तमान पद्धति इतनी खराब है, तो दस्तावेज़ को अपडेट करने की योजनाओं के साथ नियामक कैसे है?

यहां कहानी यह है - 2015 में वापस, FSTEC ने एक नई धमकी मॉडलिंग तकनीक का मसौदा तैयार किया । कुछ समय के लिए, FSTEC ने सभी इच्छुक पार्टियों के प्रस्तावों और परियोजना में सुधार की इच्छा से स्वीकार किया। फिर पहले छह महीने के सवाल "नई तकनीक कहां है?" इस जवाब के बाद कि नियामक को मसौदा दस्तावेज पर बहुत अधिक प्रतिक्रिया मिली है और अब वह पूरी बात पर विचार कर रहा है। फिर, एक और वर्ष के बारे में, FSTEC प्रतिनिधियों ने उसी प्रश्न का उत्तर दिया कि दस्तावेज न्याय मंत्रालय द्वारा अनुमोदित किया जा रहा था (जनसंख्या से प्रतिक्रिया के आधार पर सुधार के साथ मसौदा दस्तावेज पोस्ट नहीं किया गया था, ऊपर लिंक मूल संस्करण है)। और फिर वे सिकुड़ने लगे।

सामान्य तौर पर, कार्यप्रणाली को बदलने का भाग्य एक ही समय में उदास और धूमिल दोनों होता है। यह दुख की बात है क्योंकि परियोजना खराब नहीं थी, निश्चित रूप से बेहतर है कि आपको अभी क्या उपयोग करना है, हालांकि हमारे पास अपने सवाल और शिकायतें भी थीं।

निष्कर्ष

परिणाम क्या है:

• हमारे पास सूचना सुरक्षा के लिए वर्तमान खतरों का निर्धारण करने के लिए एकमात्र वैध तरीका है, और ज्यादातर मामलों में वर्तमान कानून के लिए हमें इसका उपयोग करने की आवश्यकता है;
• वर्तमान कार्यप्रणाली शुरू से ही समस्याग्रस्त है, साथ ही यह पुरानी है और एक ही FSTEC के अधिक हालिया नियामक दस्तावेजों से सहमत नहीं है;
• वर्तमान विधि व्यक्तिगत डेटा और व्यक्तिगत डेटा के विषयों से जुड़ी हुई है, जो व्यक्तिगत डेटा के बिना सूचना प्रणालियों के लिए खतरे के मॉडल विकसित करते समय एक साइकिल का आविष्कार करने की आवश्यकता की ओर जाता है;
• जीआईएस के लिए खतरा मॉडल को एफएसटीईसी के साथ सहमत होना चाहिए, इसलिए, जीआईएस के लिए हम वर्तमान पद्धति का उपयोग नहीं कर सकते हैं;
• ISPD के लिए, हम भी इसका उपयोग नहीं कर सकते, क्योंकि कार्यप्रणाली "152-to के अनुसार" विकसित की गई थी;
• पुरानी और खराब पद्धति वाले दस्तावेज़ को बदलने के लिए FSTEC की योजनाओं के बारे में कुछ भी नहीं पता है।

ये घरेलू IBE की रोजमर्रा की जिंदगी हैं। सभी के लिए अच्छा है।