FSTEC के 17 वें क्रम में परिवर्तनों की समीक्षा

नमस्कार, हेब्र! 13 सितंबर को, न्याय मंत्रालय ने 17 वें आदेश में संशोधन करने वाले एक दस्तावेज को मंजूरी दी। यह वह है जो राज्य सूचना प्रणाली (इसके बाद - जीआईएस) में सूचना के संरक्षण के बारे में है। वास्तव में, कई बदलाव हैं और उनमें से कुछ महत्वपूर्ण हैं। जीआईएस ऑपरेटरों के लिए कम से कम एक बहुत ही सुखद बात है। कट के तहत विवरण।

सुखद के बारे में

चलो इसके साथ शुरू करते हैं, और फिर बाकी सब के बारे में। ऑपरेटरों के लिए सबसे अच्छी बात यह है कि जीआईएस प्रमाणपत्र अब असीमित है। अनुच्छेद 17.4 में, जहां यह पहले लिखा गया था कि प्रमाण पत्र 5 वर्षों के लिए जारी किया जाता है, अब यह लिखा जाता है "सूचना प्रणाली के संपूर्ण जीवन के लिए प्रमाण पत्र जारी किया जाता है।" सच है, यह, ज़ाहिर है, प्रमाण पत्र के साथ सूचना सुरक्षा प्रणाली के अनुपालन को बनाए रखने की आवश्यकता को समाप्त नहीं करता है, जैसा कि एक ही पैराग्राफ 17.4 में उल्लेख किया गया है।

क्लाउड डेटा केंद्रों के बारे में

हमारे अनुभव में, अधिक से अधिक जीआईएस ऑपरेटरों का मानना ​​है कि यह उनके लिए बहुत लाभदायक नहीं है कि वे अपने स्वयं के सर्वर अवसंरचना को बनाए रखें और क्लाउड प्रदाता की क्षमता की ओर पलायन करें। कुछ पंक्तियाँ ऑर्डर 17 के पिछले संस्करण में ऐसी स्थितियों के लिए समर्पित थीं, लेकिन अब उन्होंने इसे और अधिक विस्तार से वर्णन करने का निर्णय लिया। विशेष रूप से, निम्नलिखित आवश्यकताओं को इंगित किया जाता है:

• क्लाउड डेटा सेंटर में जाने वाली जीआईएस की कक्षा स्वयं डेटा सेंटर की कक्षा से अधिक नहीं होनी चाहिए, जिसका मतलब है कि डेटा सेंटर को वर्गीकरण (17 वें क्रम के पैरा 14.2 में नया पैराग्राफ) पास करना होगा;
• सूचना प्रणाली के लिए धमकी मॉडलिंग की प्रक्रिया में जो एक तृतीय-पक्ष डेटा केंद्र में स्थानांतरित हो गया है, डेटा केंद्र से संबंधित खतरों को स्वयं ध्यान में रखा जाना चाहिए। विशेष रूप से, यह सीधे इंगित करता है कि डेटा सेंटर और जीआईएस (पैरा 14.4 का नया पैराग्राफ) में दो अलग-अलग खतरे वाले मॉडल विकसित किए जाने चाहिए;
• यदि डेटा केंद्र सूचना की सुरक्षा के लिए उपायों को लागू करता है, तो जीआईएस की सूचना सुरक्षा प्रणाली के लिए डिज़ाइन प्रलेखन में, हम उन्हें इंगित कर सकते हैं कि यह कहाँ प्रासंगिक और आवश्यक है (पैराग्राफ 15.1 का नया पैराग्राफ);
• जीआईएस में सूचना सुरक्षा उपकरण एक दूसरे के साथ संगत होना चाहिए (यह एक मोड़ है!) और डेटा सेंटर में उपयोग किए जाने वाले सुरक्षा उपकरणों के साथ। तार्किक रूप से, अन्यथा सभी के बाद कुछ भी काम नहीं करेगा (खंड 16.1 का एक नया पैराग्राफ);
• जिस डेटा केंद्र पर जीआईएस चलता है उसे 17 आदेशों के अनुसार प्रमाणित किया जाना चाहिए। यह पहले से ही कई के लिए स्पष्ट था, लेकिन किसी ने विरोध किया (संशोधित पैरा 17.6);
• यदि डेटा सेंटर में किए गए उपाय जीआईएस के लिए सभी सुरक्षा खतरों को रोकते हैं, तो जीआईएस में जानकारी की सुरक्षा के लिए अतिरिक्त उपायों की आवश्यकता नहीं है (नया पैराग्राफ - 22.1)

अन्य सामान्य ज्ञान

अनुच्छेद 17 में, जहां यह पहले से ही लिखा गया था कि सुरक्षा प्रणाली के डिजाइन और इसके प्रमाणीकरण को विभिन्न अधिकारियों द्वारा किया जाना चाहिए, "कर्मचारियों" को "अधिकारियों" को कोष्ठक में जोड़ा गया था। यह अच्छा है कि उन्होंने स्पष्टता को जोड़ा, क्योंकि "अधिकारियों" द्वारा क्या मतलब है के बारे में बहस गंभीर थी।

क्लॉज 17.2 को पैराग्राफ के साथ पूरक किया गया था कि जीआईएस की स्वीकृति परीक्षणों और सूचना सुरक्षा प्रणाली के प्रमाणीकरण परीक्षणों को संयुक्त किया जा सकता है। हां, सामान्य तौर पर, यह हमेशा मामला रहा है।

सूचना प्रणाली के संचालन के दौरान सूचना सुरक्षा

बिंदु 18 को नए अनिवार्य उपायों के साथ फिर से भर दिया गया जो प्रमाणित जीआईएस के संचालन के दौरान किया जाना चाहिए। सूचना सुरक्षा प्रणाली के प्रबंधन, घटनाओं का पता लगाने और प्रतिक्रिया करने के लिए, सिस्टम कॉन्फ़िगरेशन का प्रबंधन और सूचना सुरक्षा के स्तर को सुनिश्चित करने के लिए नियंत्रण "सूचना की सुरक्षा के लिए उपायों की योजना", "सुरक्षा खतरों का विश्लेषण" और "सूचना प्रणाली के कर्मियों को सूचित करना और प्रशिक्षण" को जोड़ा जाता है। यहां 17 वें क्रम में अंतिम एक निश्चित रूप से लंबे समय से गायब था।

इसके अलावा, 17 वें क्रम के इन सभी चरणों का अधिक विस्तार से खुलासा किया गया है और चूंकि "इवेंट प्लानिंग" सूची में पहले स्थान पर है, "सुरक्षा खतरों का विश्लेषण" - दूसरा, उप-नंबरों की संख्या बदल गई है।

नियोजन के क्रम में (नया अनुच्छेद 18.1) हमें चाहिए:

• सूचना संरक्षण गतिविधियों की योजना और निगरानी के लिए जिम्मेदार लोगों की पहचान करें। पहले, ऐसे व्यक्तियों को नियुक्त करने की आवश्यकता नहीं थी, इसलिए, अच्छे तरीके से, ऐसे लोगों की नियुक्ति पर एक नया आदेश सभी जीआईएस में जारी किया जाना चाहिए;
• घटनाओं की पहचान करने और जवाब देने के लिए जिम्मेदार लोगों की पहचान करें। यह आइटम कुछ भी नया नहीं जोड़ता है। हमारे आंतरिक दस्तावेज़ीकरण गाइड में, हमने पहले से ही सूचना सुरक्षा घटना प्रतिक्रिया टीम के उद्देश्य का वर्णन किया है। कि वे हैं;
• जानकारी की सुरक्षा के लिए उपायों की एक योजना का विकास और अनुमोदन करें। कुछ भी नया नहीं है, इस तरह की योजना लंबे समय से दस्तावेजों के मानक सेट में है ;
• गतिविधियों के कार्यान्वयन की निगरानी के लिए प्रक्रिया निर्धारित करें। यह उसी तरह से किया जा सकता है।

खतरे के विश्लेषण के अनुसार (नया पैराग्राफ 18.2), सब कुछ काफी संक्षिप्त है। कमजोरियों की पहचान करना और उन्हें समाप्त करना, सुरक्षा खतरों में परिवर्तन का विश्लेषण करना और खतरों के कार्यान्वयन के संभावित परिणामों का आकलन करना आवश्यक है।

हमें अक्सर पूछा जाता है कि कितनी बार हमें कमजोरियों की खोज करने और सूचना सुरक्षा खतरों का विश्लेषण करने की आवश्यकता है। उसी पैराग्राफ में, नियामक कहता है कि आवृत्ति ऑपरेटर द्वारा निर्धारित की जाती है।

सूचना सुरक्षा प्रणाली (पूर्व 18.1 और नया 18.3) के प्रबंधन के लिए आइटम भी बदल गया है। यहां से, "उपयोगकर्ताओं को सुरक्षा खतरों के बारे में सूचित करना ..." हटा दिया गया था, जाहिर है क्योंकि अब हमारे पास एक अलग अनुभाग है और "सूचना सुरक्षा प्रणाली के प्रबंधन के लिए जिम्मेदार व्यक्तियों की परिभाषा" को जोड़ा गया है। हालाँकि, विशेष रूप से नए आइटम के बारे में कुछ भी नया नहीं है, यह हमारा प्रिय सम्मानित सुरक्षा प्रशासक है! यहां बाकी चीजें यथावत रहीं, हालांकि थोड़ा विरोधाभास था, लेकिन अनिवार्य रूप से वही था।

सूचना प्रणाली के विन्यास (पुराने 18.3, नए 18.4) के प्रबंधन के बारे में बात कुछ हद तक प्रतिसंतुलित है, लेकिन अनिवार्य रूप से नहीं बदला गया है। घटना प्रतिक्रिया बिंदु (पुराने 18.2, नए 18.5) के बारे में भी यही कहा जा सकता है।

कर्मचारियों के प्रशिक्षण के बारे में अनुच्छेद 18.6 नया है, इसलिए हम इस पर अधिक विस्तार से ध्यान देंगे। तो, हमें उन्हें क्या सिखाना चाहिए और किस बारे में सूचित करना चाहिए:

• सूचना सुरक्षा के नए जरूरी खतरों के बारे में;
• सूचना प्रणाली के सुरक्षित संचालन के लिए नियमों पर;
• सूचना के संरक्षण (नियामक और आंतरिक दस्तावेजों) के लिए आवश्यकताओं पर;
• व्यक्तिगत सूचना सुरक्षा उपकरणों के संचालन के नियमों पर;
• सूचना सुरक्षा के लिए खतरों को रोकने और घटनाओं पर प्रतिक्रिया करने के लिए व्यावहारिक अभ्यास करें;
• उपरोक्त सभी की निगरानी कर्मचारी जागरूकता।

प्रशिक्षण की आवृत्ति ऑपरेटर के आंतरिक दस्तावेजों में स्थापित की जाती है, लेकिन दो वर्षों में कम से कम 1 बार होनी चाहिए।

स्टाफ प्रशिक्षण की उपस्थिति एक अच्छी शुरुआत है, लेकिन दुर्भाग्य से, प्रशिक्षण के रूपों और घंटों को फिर से इंगित नहीं किया जाता है, क्या इस तरह के प्रशिक्षण को FSTEC या पर्याप्त आंतरिक निर्देश द्वारा अनुमोदित कार्यक्रमों के अनुसार किया जाना चाहिए। हमें संदेह है कि कई इस मुद्दे को औपचारिक रूप से जारी रखेंगे, अर्थात्, "निर्देश द्वारा" पत्रिका में अंक, "वास्तव में निर्देश दिए गए" को बिना कक्षाओं का संचालन किए।

सूचना सुरक्षा के स्तर को सुनिश्चित करने के लिए नियंत्रण पर पैराग्राफ में, इस तरह के नियंत्रण की आवृत्ति को जोड़ा गया है। जीआईएस ग्रेड 1 के लिए - प्रति वर्ष कम से कम 1 बार। जीआईएस 2 और 3 वर्गों के लिए - दो वर्षों में कम से कम 1 बार। आप ऐसे आयोजनों में एक लाइसेंसधारी को शामिल कर सकते हैं, लेकिन आप इसे स्वयं संचालित कर सकते हैं।

सूचना सुरक्षा उपकरणों में विश्वास के स्तरों के बारे में

अनुच्छेद 26 में, "उपाय के वर्ग" की अवधारणा के अलावा, "विश्वास के स्तर" की अवधारणा को पेश किया गया है। जीआईएस कक्षा 1 के लिए, आपको जीआईएस 2 वर्गों के लिए कम से कम 4 स्तरों पर विश्वास की आवश्यकता है - जीआईएस 3 वर्गों के लिए - 5 स्तर विश्वास और ऊपर, विश्वास के 6 स्तर और ऊपर। FSTEC ने ट्रस्ट के इन स्तरों के बारे में एक सूचना संदेश जारी किया और इसे GOST R ISO / IEC 15408-3 के अनुसार विश्वास के अनुमानित स्तर के साथ भ्रमित नहीं होना चाहिए (वहाँ, वैसे, विश्वास का 5 वां स्तर उच्चतम है, विश्वास का 1 स्तर सबसे कम है)।

यह परिवर्तन का एकमात्र बिंदु है जो तुरंत नहीं, बल्कि 1 जून, 2020 से प्रवेश करता है। हम इस तिथि तक सूचना सुरक्षा साधनों की अनुरूपता के अद्यतन प्रमाण पत्र की प्रतीक्षा कर रहे हैं। क्या सुरक्षा का साधन जिसने प्रमाणपत्र को नवीनीकृत नहीं किया है वह कद्दू में बदल जाएगा या नहीं अभी भी अज्ञात है। तारीख से करीब FSTEC कुछ प्रकार के सूचनात्मक संदेश जारी कर सकता है क्योंकि यह 2016 में फ़ायरवॉल के साथ था।

प्रो प्रमाणित राउटर्स

अंत में, हम अनुच्छेद 26.1 की शुरूआत से समाप्त हो गए हैं:

"इंटरनेट दूरसंचार नेटवर्क के उपयोग के साथ नव निर्मित या आधुनिक सूचना प्रणालियों को डिजाइन करते समय, राउटर का चयन किया जाना चाहिए जो सूचना सुरक्षा आवश्यकताओं (उन पर लागू सुरक्षा कार्यों के संदर्भ में) को पूरा करने के लिए प्रमाणित हैं।"

वास्तव में, इस पैराग्राफ की शुरूआत बहुत स्पष्ट नहीं है। सबसे पहले, सभी सुरक्षात्मक उपकरणों को प्रमाणित किया जाना चाहिए। दूसरे, एक नियम के रूप में, इंटरनेट से कनेक्ट करते समय, जीआईएस प्रमाणित फायरवॉल का उपयोग करता है, जिसमें राउटर भी शामिल हैं। राउटर के लिए कोई अलग सुरक्षा प्रोफाइल नहीं है (एमई के लिए उन लोगों के साथ समानता से), और शायद निकट भविष्य में उनकी उपस्थिति (सुरक्षा प्रोफाइल) पर 26.1 संकेत का परिचय।