korsar

Подниму тему. Вступление этих требований (приведение информсистем к требованиям НПА) перенесено на 1 января 2011г (ФЗ не привожу). Обязанность иметь таких специалистов не предусмотрена, однако выполнить все требования ФСТЭК и ФСБ (при наличии СКЗИ), пост Правительства и совместных приказов без специалистов сложно. Сейчас очень много фирм развелось, которые под эту "лавочку" навязывают свои услуги, часто некачественные. Проверки ФСТЭК и Роскомнадзора , на которых довелось присутсвовать в разных регионах довольно жесткие.

Не совсем понятно при чем здесь все системы шифрования дисков? Взять тот же секрет диск - убран Е Тoken - убраны ключи и сертификаты, ну а когда он вставлен, то тут понятно. А не допустить физического доступа к системе с ключами уже организационно-техническая задача. Для этого, кстати , в том же секрет диске существует красная кнопка у консоли админа, затирающая все ключи или просто уничтожающая всю инфу на винтах.

Да здесь уже все изобретено - и НПА и все другое. Посмотрите хотябы требования Центробанка при использовании БЭСП (АРМ КБР и т.д.) - там требования весьма жесткие и кабинет аттестуют представители банка. НУ, конечно, соблюдение этих требований на совести клиентв - но деньги то его))) Ключи хранятся у удного, выдаются другим. Админ отдельный. Ну и уж сидеть в Инете с этого компа никак нельзя.

IMHO - А что они будут пытаться выявить при тестировании? Если то ,что действительно нужно - ни один не пройдет)))), по крайней меря я таких не видел))) Насчет крутости полиграфистов ФСБ также сомневаюсь - просто их ошибки никто не видит.

Я что-то не понял. Хороший и опытный, например, сетевик как раз и является спецом в области информационных технологий. А вот различных ГОСТ, моделей построения ИБ и т.п. по информабез-ти он не знает. Но зато он как никто другой может понимать, где слабое звено (в практическом ситсемно-техническом плане). Кстати ,если о размерах конторы камень в мой огород, то я думаю по размерам корпоративной сети мы входим в 5 в России. У нас полностью своя корпоративнвая защищенная сеть в регионах и по России. С резервированием, распеделенными базами. Поэтому многие новые решения в области информабезопасности крупных информационных систем многие разработчики (как госуд-е так и нет) "обкатывают" у нас.

Да не собираюсь я ни с кем ни чем мериться. Тем более я не претендую на какие-то суперзнания - давно уже оргработой занимаюсь. Руковожу то есть)))) FCD-10B имеется у наших айтишников, продает его связькомплект. Используют для голоса. Для перехватывания полного траффика не подходит, потери на вводе 6дБ и более. И тем более вы магистральный оптоволоконный кабель видели? Туда его не подцепишь, да в любом случае физический доступ к кабелю нужен. Я то думал появилось что-то особенное для перехвата по побочным излучениям или т.п. Про GPS я просто спросил, поскольку "корректировкой" GPS, да и вообще GPS не занимаемся, поэтому меня это профессионально не интересует. Однако мой сотрудник пишет диссертацию (на стороне) как раз по повышению точности позиционирования GPS, да и сам я радиофизик . А поскольку форум вроде как профессиональный, то терминология тоже должна быть такой же (ИМХО) Извините, если чем-то обидел.

To LOO Тогда и я не понял, о чем вы писали. 1. Вы дали определение хакера, я с вами не согласился 2. Вы "сходу" сформулировали вопросы к компании, которые позволят оценить степень ее защищенности - я указал, что это и так должно проводиться (если компания вообще занимается своей информбезопастностью. Т.е. тоже ни о чем - здесь вряд ли возможно описать возможные угрозы, не зная конкретной топологии сети (сетей) и информсистемы Ну и т.д. А кстати не могли бы привести ссылки по информации об успешной атаки на оптоволокно? Интересно чисто пофессионально - я лично не в курсе. А заодно (я фильм не смотрел) поясните, что такое GPS передатчик? А корректировка GPS в моем понимании это как раз учет воздействия ионосферы и других факторов для увеличения точности позиционирования и приближения ее точности к закрытой американцами.

У нас в былые времена за такое "случайно" давали вполне не случайные сроки)))). Как сейчас с этой правоприменительной практикой не в курсе)). Но думаю, что тоже мало не покажется.

Кстати "вирусование" личных ПЭВМ достаточно частое явление при большом числе пользователей - все равно тайком бывает что-то приносят - о игрушек до курсовых и дипломов. Но во первых для этих целей стоят антивирусные сервера и ПТК контроля сетевой активности. Ну плюс ограничение по портам и протоколам, чтобы свести к минимуму работу эксплойтов, также плюс сервер автоматических обновлений ОС (хотя бы на предмет критических по безопасности. Во вторых выйти на "вне" этот вирус (троян и т.п. и т.д.) не может, т.к. нет там выхода. Мы частенько (1-2 раза в год) выцепляем такое в КСПД. Например последний случай - комп проявил сетевую активность ночью, а сервер доступа показал, что сотрудник не присутствует на рабочем месте. Т.е. это или что-то не санкционированное или запуск ПО по времени (что тоже запрещено в общем случае). А для отсечения юзера от внешних устройств применяются ПО типа DeviceLock. Кстати это также позволяет "отсечь" умников с модемом (это вообще угроза серьезная - напрямую в Инет лезет). Ну а то, что вирусы и т.п. пишут не только любители, я думаю никто и не сомневается. Поэтому как на ПЭВМ этого военослужащего (с которого, как понимаю, он в сети общего доступа ходил) оказались документы ограниченного доступа непонятно. Хотя я лично не в курсе требований по безопасности у "них".

1. О физическом доступе к оборудованию, как понимаю, речь не шла. Здесь уже можно говорить об атаках на криптование и т.п. Но это далеко не тривиальные мероприятия. Речь шла о доступе через ИНЕТ, и я указал какой НПА запрещает физически соединять СВТ, работающие в сетях общего пользования и обрабатывающие инф-ю ограниченного лдоступа. Ну про аттестацию обьекта я уж и не говорю - там как раз и проводятся мероприятия про которые вы пишите. Да пусть роутеры провайдера контролируют - это его проблемы, причем как понимаю речь не о выделенных каналах идет. Взять под контроль выделенный канало задача еще та))). Не раскрывая секретов скажу - физический доступ к кабелю уже фиксируется. Ну а если используем 1 уровень от провайдера, то там , естественно крипта. Кстати приведите ссылки на успешные атаки действующих алгоритмов. Замечу, что госорганизации и ГТ криптуется только российскими стандартами и всякие там поломки MD5 и т.п меня не заботят. (Вообще не отрицаю возможности этого, но обычно указания сменить ГОСТы приходят ранее) 2. Что и как контролировать и регламенты проверки расписаны в предписании на эксплуатацию (по крайней мере так было в конторах где я служил -работал) и в отдельных ведомственных НПА. 3. Определение хакера довольно широкое. И совсем не обязательно ,что это тот, кто "пришел и незаметно взял". Частенько как раз не незаметно и причем специально. 4. Естественно никто и никогда гарантии 100% защищености и надежности СЗИ не даст. Но чаще информация уходит все же через персонал. Дешевле это получается, чем канал и крипту ломать. Так же не отрицаю различные технологические "глюки", когда чего-то взломать можно, потому, что вовремя не заблокировали ,не отключили и т.п. Чтобы этого не было деньги безопасникам информационным и платят.

От себя добавлю - многие слишком "идеализируют" возможности государства. Государство понятие растяжимое, уровней много разных. Да и технологически не так идеально все работает, как хотелось бы. Если брать только города типа Москва, Питер, то возможно (да и то сомнительно). Но в любом случае, если "играть по взрослому", то нужно иметь познания несколько выше, чем определения порта, IP адреса, шлюза, VPN соединения и т.п. К счастью для государства достаточно квалифицированных спецов относительно мало - основная масса специалистов имеет узкую специализацию, либо вообще спецами не является, а научилась поверхностно пользоваться пакетом утилит, сканеров, эксплойтов (грамотно их использовать тоже уметь надо).

Вообще рассказы про взломы военных сетей из интернета лично мне напоминают сюжеты боевиков. У нас даже корпоративная сеть (сейчас служу в сугубо гражданской конторе) Инет не использует, а использует арендованные защищенные (провайдером) каналы связи и помимо этого мы накладываем свою защиту на каналы. И это всего лишь конфиденциал. А реально хакеры (слово больно громкое, скорее всего комп. хулиганы) чаще дефэйс сайта общего доступа делают и вот тогда понеслось - взломана сеть. Мы ,например, (служба информ без-ти корпорации) вообще безопастностью внешнего сайта не занимаемся - грохнули его и бог с ним , восстановят. Инет чаще используется как резервный канал. Но в серьезных конторах и этого нет. Ну может есть какие-то исключения, про всех не в курсе)))

Чтобы грамотно обсуждать надо знать конкретный текст поправок. Коллегам по МВД замечу (сам я служил не в УР) - большинство поправок, вносимые сейчас в НПА (если внимательно следите - их очень много стало, о значении многих, не будучи спецом, даже сразу не поймешь) предназначаются не для повышения раскрываемости, а для облегчения получения информации субьектам ОРД. Для каких целей иной вопрос. Возьмите тот же СОРМ - Фэбам ваша раскрываемость на фиг не нужна, а рулят-то они (в основном). Вообще об оценке деятельности ОВД и "палки" можно отдельную книгу писать - вам не расказывать((((

Заодно (в соответствии с названием ветку) приведу перечень НПА по ЗИ (может кому поможет))) ) ФЗ Конституция Российской Федерации О правовой охране программ для ЭВМ и баз данных О правовой охране топологий интегральных микросхем Об информации, информационных технологиях и о защите информации Об авторском праве и смежных правах Об электронной цифровой подписи О применении контрольно-кассовой техники при осуществлении наличных денежных расчетов и (или) расчетов с использованием платежных карт Кодекс "Об административных правонарушениях" (5.39 7.12 глава 13 15.21 19.7 19.8 23.44 23.45 23.46) Об органах федеральной службы безопасности (ФСБ) Уголовный кодекс Российской Федерации ст 129 137 138 140 146 155 183 185.1 187 189 237 гл 28 (ст 273-274) 276 283 287 310 311 320 Гражданский кодекс Российской Федерации 128 129 138 139 142 149 152 160 434 779 847 857 1045 О связи Об оперативно-розыскной деятельности О милиции О коммерческой тайне О персональных данных "О распространении спама в сетях электросвязи" (извлечение из Закона РФ от 13.03.06 г. № 38-ФЗ "О рекламе") "О правовой защите домена в сети Интернет как товарного знака" (извлечение из Закона РФ от 11.12.02 г. № 166-ФЗ) См. также: Постановление Президиума Высшего Арбитражного Суда РФ от 16.01.01 г. № 1192/00 УКАЗЫ О Концепции правовой информатизации России Доктрина информационной безопасности России Об информационной безопасности в сетях связи и Интернет Утверждение Положения о Межведомственной комиссии по защите гос. тайны Об упорядочении организации и проведения оперативно- розыскных мероприятий с использованием технических средств Об обороте специальных технических средств (СТС), предназначенных для негласного получения информации О мерах по соблюдению законности в области оборота шифровальных средств и предоставления услуг в области шифрования информации Соглашение стран СНГ о сотрудничестве в борьбе с компьютерными преступлениями ПОЛОЖЕНИЯ О государственной системе защиты информации в России О Межведомственной комиссии по защите гос. тайны О Федеральной службе по техническому и экспортному контролю (бывшая Гостехкомиссия при Президенте РФ) Положение о Федеральной службе по надзору в сфере связи (с апреля 2007 изменния - обьединили с культнаследием) Инструкция о порядке допуска должностных лиц и граждан Российской Федерации к государственной тайне О порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти Об обороте специальных технических средств (СТС), предназначенных для негласного получения информации Перечень видов СТС для негласного получения, уничтожения или изменения информации О сертификации средств защиты информации Перечень видов средств защиты информации О лицензировании деятельности в сфере защиты информации О государственном учете и регистрации баз и банков данных Порядок государственной регистрации баз данных и баз метаданных Примерное положение об администраторе информационной безопасности О функциях, задачах и структуре ФСБ России Об эмиссии банковских карт и об операциях, совершаемых с использованием платежных карт О порядке разработки, производства, реализации и использования средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну (Положение ПКЗ-99) О федеральной целевой программе "Электронная Россия (2002 - 2010 годы)" Об утверждении Правил оказания услуг связи по передаче данных РАСПОРЯЖЕНИЯ, ПРИКАЗЫ Об усилении борьбы с компьютерными преступлениями Совместная Программа "Защита общих информационных ресурсов Беларуси и России" О концепции создания Единой автоматизированной информационной системы Таможенного комитета Сообщества (России и Беларуси) Концепция использования информационных технологий в деятельности федеральных органов государственной власти до 2010 года Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну О проведении работ по категорированию информационных ресурсов О передаче конфискованных, а также бесхозяйных радиоэлектронных и специальных технических средств, изъятых из оборота или ограниченно оборотоспособных на территории России, федеральным органам исполнительной власти, наделенным полномочиями по их использованию Об уполномоченном федеральном органе исполнительной власти в области использования электронной цифровой подписи Методические рекомендации об организации и функционировании системы представления налоговых деклараций и бухгалтерской отчетности в электронном виде по телекоммуникационным каналам связи Рекомендации по информационному содержанию и организации WEB-сайтов кредитных организаций в сети Интернет ГОСУДАРСТВЕННЫЕ СТАНДАРТЫ О действии стандартов РФ, принятых до 1 июля 2003 г. (см ФЗ "О тех регулировании) Санитарно-эпидемиологические правила и нормативы СанПиН 2.2.2/2.4.1340-03 "Гигиенические требования к персональным электронно-вычислительным машинам и организации работы" Временные требования по обеспечению безопасности технологий обработки электронных платежных документов Система сертификации средств защиты информации по ТБИ Придание юридической силы документам на машинном носителе ГОСТ Р 34.10.2001 "Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи" Оценка риска и внутренний контроль. Характеристика и учет среды компьютерной и информационной систем Проведение аудита с помощью компьютеров ГОСТ 7.82-2001 "СИБИД. Библиографическая запись. Библиографическое описание электронных ресурсов. Общие требования и правила составления" ГОСТ Р 51188-98 "Защита информации. Испытание программных средств на наличие компьютерных вирусов. Типовое руководство" ГОСТ Р 50922-96 Защита информации. Основные термины и определения ГОСТ Р ИСО/МЭК 12207-99 "Информационная технология. Процессы жизненного цикла программных средств" ГОСТ Р ИСО/МЭК 15408-2-2002 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности" Стандарт ЦБР СТО БР ИББС-1.0-2004 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения" РУКОВОДЯЩИЕ ДОКУМЕНТЫ ФСТЭК РОССИИ (Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР-К) Защита от несанкционированного доступа к информации. Термины и определения Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей Концепция защиты СВТ и АИС от НСД к информации Защита информации в контрольно-кассовых машинах (ККМ) и автоматизированных кассовых системах (АКС). Классификация ККМ, АКС и требования по защите информации Защита информации. Специальные защитные знаки. Классификация и общие требования АИС. Защита от НСД к информации. Классификация АИС и требования по защите информации СВТ. Защита от НСД к информации. Показатели защищенности от НСД к информации Требования к защите от НСД к программам, транслируемым с применением системы цифрового телевизионного вещания DVB, при их передаче по каналам связи, образованным спутниковыми линиями передачи сети связи общего пользования

Замечу, что переход на этот ГОСТ должен осуществиться до 1.01.2008г.