ИБ в год Змеи. Прогнозы и перспективы
Автор
Алексей Лукацкий
2013 год будет очень насыщенным с точки зрения событий в отечественной отрасли информационной безопасности.
Делать прогнозы в столь изменчивой среде, как информационная безопасность, — занятие неблагодарное. Что-то может произойти раньше, чем предсказываешь, а что-то под влиянием различных факторов может и вовсе не наступить.
Однако есть ряд направлений, которые с вероятностью 80% будут в фокусе внимания отрасли информационной безопасности. Какие-то из них попадут в прицел под влиянием ИТ-факторов и активного внедрения тех или иных технологий в бизнес-среду российских предприятий. Какие-то, наоборот, под давлением многочисленных регуляторов будут занимать внимание специалистов.
Защита персональных данных
Тема персональных данных занимает умы российских специалистов последние пять лет, с момента вступления в силу в 2007 году закона «О персональных данных». В 2008-м появились первые документы по защите любой информации о физическом лице. С тех пор эти требования эволюционировали, пока 7 декабря 2012 года на свет не появился новый документ, начинающий действовать с 2013-го и описывающий новый взгляд Федеральной службы по техническому и экспортному контролю (ФСТЭК) на безопасность персональных данных. Это абсолютно новый набор требований, который совершенно непохож на то, что раньше выходило из-под пера ФСТЭК.
Как выглядела ситуация раньше? В зависимости от класса информационной системы ФСТЭК устанавливала набор организационных и технических мер защиты. Шаг влево, шаг вправо не разрешался. Ни о каких новомодных технологиях, вроде виртуализации, облачных вычислений, мобильного доступа, в документах ФСТЭК 2010-го выпуска и речи не шло. И вот спустя два года подход регулятора меняется коренным образом.
Все мероприятия делятся на три группы:
• Минимально необходимые, базовые меры, включающие все то, что и так традиционно реализуется в ИТ-организации — идентификация и аутентификация пользователей, управление несанкционированными попытками доступа в информационную систему, запрет установки ненужного ПО, управление событиями безопасности, применение антивирусов и межсетевых экранов и т. п.
• Дополнительные защитные меры, в зависимости от актуальных угроз, выбираемых оператором персональных данных. Например, в базовом перечне отсутствует блокировка загрузки нештатной ОС со съемных машинных носителей и ее можно выбрать в качестве дополнительной.
• Компенсационные меры, которые применяются в тех случаях, когда какая-либо мера не может быть применена. Например, для платформы iOS не существует антивирусов. Их заменить может компенсационная мера — перенаправление всего трафика с мобильного устройства на корпоративный периметр, применение технологии NAC, контроль устанавливаемых приложений с помощью MDM-решений и т. п.
Сам перечень защитных мер также претерпел серьезные изменения и получил дополнения. Свыше 100 защитных мер — от традиционных для документов ФСТЭК до совершенно новых — защита виртуализации, контроль ошибочных действий пользователей, контроль точности, полноты и правильности информации, вводимой в информационную систему, внедрение DLP-решений, использование обманных систем (ловушек), изоляция процессов в выделенной области памяти, терминальный доступ и т.д.
Ключевым новшеством в области защиты персональных данных стал самостоятельный выбор защитных мер из широкого спектра возможных вариантов, что и будет в 2013-м году занимать умы специалистов, ответственных за защиту персональных данных. При этом перечень подобных мер не жестко прописан в нормативных документах, а может быть адаптирован в зависимости от модели угроз, используемых технологий обработки информации и ряда других критериев.
Немного хуже ситуация с требованиями ФСБ, которые будут выпущены в грядущем году Змеи. Они не претерпят, по сути, практически никаких изменений по сравнению с существующими методическими рекомендациями по применению шифровальных средств для защиты персональных данных — эти средства должны быть только сертифицированными. На закономерный вопрос: «Что делать, если на рынке отсутствуют сертифицированные шифровальные средства?» — документы ответа так и не дают.
Защита государственных информационных ресурсов
Положение с защитой государственных информационных систем напоминает то, что делается в области персональных данных, и это неслучайно — проекты приказов ФСТЭК для государевых ИС и ИС, обрабатывающих персональные данные, создавались параллельно и по одинаковой идеологии. А потому сконцентрируемся на тех отличиях, которые все-таки есть. Первый вопрос, возникающий при прочтении документов ФСТЭК, как определить актуальные угрозы? Как выбрать экспертов, которые возьмут на себя смелость принять решение об актуальности? Какими навыками и компетенциями должны обладать эти специалисты? На чем базироваться экспертам, формирующим перечень актуальных угроз? Как повысить эффективность и качество сделанного выбора? Этому вопросу будет посвящен отдельный документ — методика моделирования угроз, и он станет методическим подспорьем для всех специалистов, занимающихся определением напастей для информационных систем предприятия. При этом данная методика будет унифицированной как для государственных информационных систем, так и для систем персональных данных.
Второй вопрос, возникающий у читателей проектов приказов ФСТЭК, что скрывается, например, за следующей защитной мерой — «разбиение информационной системы на сегменты с учетом значимости обрабатываемых в них персональных данных и обеспечение защиты периметров сегментов информационной системы (сегментирование информационной системы)»? С помощью каких механизмов можно проводить сегментирование? С помощью виртуальных частных сетей VLAN или MPLS, с помощью механизма меток безопасности (SecureGroupTagging), с помощью маршрутизатора или межсетевого экрана? Очевидно, что уровень защищенности каждого из этих механизмов разный и применять их можно в зависимости от модели угроз. Или, например, требование «контроля использования и исключения несанкционированного использования технологий передачи речи». Оно также может быть реализовано по-разному — от управления доступом к цифровой АТС до фильтрации голосового трафика или даже автоматического распознавания утечек в голосовом трафике. Расшифровка защитных мер, приведенных в приказах ФСТЭК, найдет свое отражение в новом документе, и он также будет выпущен в год Змеи.
Третий вопрос, который с завидной регулярностью задается на каждом мероприятии, где присутствуют представители регуляторов, — надо применять сертифицированные средства защиты информации или нет? В документе по персональным данным ФСТЭК использовало ту же формулировку, что и в самом федеральном законе, то есть указав, что средства защиты должны пройти оценку соответствия в установленном порядке. В документе по защите государственных информационных систем ответ дан более конкретный и не допускающий разночтений; средства защиты должны быть обязательно сертифицированы. И вот тут всех специалистов в 2013 году ждет еще один, а точнее два сюрприза.
Первый касается появления новых руководящих документов, устанавливающих требования к различным типам защитных средств — средствам доверенной загрузки, средствам контроля утечек конфиденциальной информации (DLP-системы), межсетевым экранам (текущая версия документа будет серьезно переработана). И все это в дополнение к уже выпущенным в 2012 году требованиям к антивирусам и системам предотвращения вторжений. Второй сюрприз относится к самой схеме сертификации, которая тоже должна стать более адекватной и отвечать современным требованиям схемы. Тогда не придется сертифицировать каждый экземпляр в отдельности, а достаточно будет провести сертификационные испытания эталонной версии системы защиты с последующим инспекционным контролем неизменности продукта, прошедшего оценку соответствия.
Защита Национальной платежной системы
Защита информации при переводе денежных средств, реализуемая в рамках Национальной платежной системы (НПС), также будет находиться в прицеле как регулятора в лице Банка России, так и специалистов компаний, являющихся участниками НПС, — банков, платежных систем, платежных агентов, клиринговых и расчетных центов и т. п. Два документа, появившихся в 2012 году, — а речь идет о положении 382-П и указании 2831-У — только наметили первые шаги в направлении обеспечения бесперебойности функционирования платежных систем с точки зрения информационной безопасности. Первый документ (382-П) установил организационные и технические требования по защите информации при осуществлении денежных переводов, а второй (2831-У) ввел обязательное информирование Банка России обо всех произошедших у участников НПС инцидентов, связанных с нарушениями требований по информационной безопасности. Но это только первая ласточка в части регулирования, которое по-прежнему, остается основным драйвером развития отрасли информационной безопасности в России.
Помимо разъяснений и изменений, которые будут вноситься в 382-П и 2831-У, Банк России запланировал разработку и новых документов, уточняющих и расширяющих требования по защите информации при переводах электронных денежных средств, по защите банкоматов и т. п. Помимо этого, другой департамент Банка России — Главное управление безопасности и защиты информации (ГУБЗИ), — также подвязавшееся на ниве стандартизации вопросов обеспечения информационной безопасности, сконцентрирует свои усилия на обновлении так называемого Комплекса документов по обеспечению информационной безопасности организаций банковской системы Российской Федерации (СТО БРИББС), последняя версия которого была выпущена в 2010 году и изменение которого назрело как в связи с выходом в 2011-м новой редакции закона «О персональных данных» и подзаконных актов, так и в связи с вступлением в силу отдельных статей закона «О национальной платежной системе». При этом указанные работы ведутся при активном участии отраслевого некоммерческого партнерства — НП «Национальный платежный совет» (НПНПС).
Третьим большим направлением развития национальной платежной системы России является принятие в нашей стране (пока неизвестно, в каком статусе) основных положений международного стандарта PCIDSS по защите данных владельцев платежных карт. Данный стандарт был переведен на русский язык в конце 2012 года под эгидой Банка России и должен стать основой для разработки национального документа, устанавливающего обязательные требования по защите платежных карт, выпущенных в обращение на территории Российской Федерации.
Защита виртуализации
Но не отраслевым регулированием будет заметным год 2013-й. Регуляторы обратят свое внимание и на выработку требований по безопасности к различным технологиям, набирающим популярность в ИТ-среде. В первую очередь речь идет о безопасности виртуализации. В современном понимании это достаточно молодая технология, и как такового ее общепринятого определения нет. Кто-то виртуализацией называет способ моделирования или симуляции вычислительной платформы. Кто-то под виртуализацией понимает изоляцию вычислительных процессов и ресурсов друг от друга. Но как бы то ни было, виртуализация — это новый (или скорее вновь актуальный старый) взгляд на вычисления, не связанные и неограниченные реализацией (как минимум в теории), физической конфигурацией или географическим расположением.
В зависимости от области применения сегодня специалисты выделяют следующие типы виртуализации:
• Виртуализация серверов, под которой понимают либо размещение нескольких логических (виртуальных) серверов в рамках одного физического сервера (например, с помощью VMwareESXServer или KVM), либо объединение нескольких физических серверов в один логический для решения определенной задачи (скажем, в виде кластера).
• Виртуализация рабочих станций (VDI), являющаяся развитием идеи терминального подключения и заключающаяся в возможности предоставить пользователю свой собственный «рабочий стол», но функционирующий на удаленном сервере и не задействующий ресурсы компьютера пользователя (например, Citrix XenDesktop).
• Виртуализация приложений позволяет разворачивать приложения «по требованию», изолированные от других приложений (например, Citrix XenApp или VMware ThinApp).
• Виртуализация сети позволяет построить несколько изолированных друг от друга сетей — как в рамках одного предприятия (технология VLAN), так и в рамках оператора связи (технология MPLS).
• Виртуализация аппаратного обеспечения, позволяющая эмулировать оборудование.
• Виртуализация безопасности, которая может трактоваться и как средства защиты, созданные специально для поддержки виртуализированных сред (например, Cisco ASA 1000Vили решения Virtuata), и как виртуальные средства защиты в рамках одного физического устройства защиты (например, виртуальные МСЭ или виртуальные сенсоры системы обнаружения вторжений). Также интересным примером виртуализированной системы защиты являются средства класса Honeypot — они эмулируют на одном компьютере целые подсети, привлекающие злоумышленников и заставляющие последних тратить ресурсы на взлом несуществующих узлов.
Уже больше года специалисты ФСБ на разных мероприятиях выступают, рассказывая об особенностях обеспечения безопасности виртуализированных сред. Это означает только одно — регулятор стал присматриваться к данной технологии, что может повлечь за собой появление как требований по защите виртуализации, так и новых шифровальных продуктов для различных сред виртуализации. ФСТЭК пошла дальше и в рамках технического комитета по стандартизации ТК362 при Ростехрегулировании запланировала в 2013 году разработку двух стандартов по безопасности — для виртуализированных и облачных сред. Причем требования в первом стандарте будут не только для «традиционной» серверной виртуализации, но и для других упомянутых выше типов.
В качестве резюме
2013 год будет очень насыщенным с точки зрения событий в отечественной отрасли информационной безопасности. Даже описанного выше уже достаточно для понимания того, что нас ждет немало нового и интересного. Но ведь регулированием виртуализации, НПС, госорганов и персональных данных потребности отрасли и регуляторов не ограничиваются. Отложенный закон об электронной подписи, контроль Интернета, запрет анонимности в Сети, защита топливно-энергетического комплекса, лоббирование продукции только отечественного производства, очередной «массовый» переход на свободное ПО… Все это может появиться на повестке дня в 2013 году, не считая обычной текучки, которая в жизни любого ИТ/ИБ-специалиста присутствует, невзирая на требования ФСТЭК, ФСБ, Банка России и других многочисленных регуляторов.
Опубликовано 24.12.2012
