Осенний документооборот 2014 Москва, 17 октября Вопросы информационной безопасности при использовании мобильных устройств для работы с корпоративными информационными системами Обмен опытом, мнениями
Информационная безопасность – защищенность от неправомерного доступа, копирования, предоставления или распространения информации (обеспечение конфиденциальности информации) неправомерного уничтожения или модифицирования информации (обеспечение целостности информации) неправомерного блокирования информации (обеспечение доступности информации) Цель - обезопасить владельцев или пользователей информации от вреда, который может быть им причинен путем случайного или намеренного воздействия на информацию или поддерживающую ее инфраструктуру (технические средства; общесистемное, прикладное и специализированное ПО; СЗИ)
Меры защиты Комплекс организационных, методических и технических мер (политики, регламенты, обучение, проектирование, аттестация, эксплуатация) Зависят от: целей создания информационной системы задач, решаемых информационной системой уровня значимости информации, содержащейся в информационной системе и масштаба информационной системы (класс значимости информационной системы)
Особенность мобильных решений Выход за пределы защищенного контура, доверенной среды, контролируемой владельцем информации (оператором) Доступ с мобильных устройств Угроза использования неконтролируемого устройства Угроза утери, кражи устройства Правила работы с устройствами Запрет использования неконтролируемых устройств Централизованное удаленное управление устройствами (конфигурирование, модификация и установка ПО, удаление информации, блокирование устройств) Запрет использования Bluetooth, Wi-Fi, камера, Определение местонахождения устройства Обеспечение централизованного контроля за используемыми устройствами
Особенность мобильных решений Доступ из внешней среды, использование открытых каналов связи Угроза перехвата данных, выдачи себя за пользователя/сервер, Несанкционированного доступа к ресурсам, несанкционированной модификации Угроза вирусных атак, загрузки вредоносных кодов Усиление процедур идентификации и аутентификации пользователей и объектов доступа, авторизации пользователей, дифференцирование уровня доступа Средства контроля и ограничения доступа Безопасный удаленный доступ или защищенные каналы Антивирусные и сетевые экраны СКЗИ Недопущение прямого контакта корпоративной сети с внешней недоваренной средой
Особенность мобильных решений Риск отказа в доступе к информации Угроза доступности информации Обеспечение повышенной отказоустойчивости Разница во времени источника и потребителя информации Угроза возникновения временного несоответствия выполненных в системе действий Обеспечение синхронизации времени сервера и мобильного устройства Многообразие платформ Сложность технической и программной поддержки Ограничение по использованию платформ, аппаратных и программных средств на мобильных устройствах, обеспечивающих должный уровень безопасности
Реализация мер защиты 1. Формирование требований к СЗИ(оценка необходимости, классификация информационной системы, определение угроз, определение требований к СЗИ) 2. Разработка 3. Внедрение 4. Аттестация (при необходимости) 5. Эксплуатация 6. Вывод из эксплуатации
Примеры документов по защите информации Законы Об информации, информационных технологиях и о защите информации (Федеральный закон РФ от ФЗ) О персональных данных (Федеральный закон РФ от ФЗ) Правительство РФ О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно- телекоммуникационных сетей международного информационного обмена (указ Президента РФ от ) ФСТЭК Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах (приказ ФСТЭК от ) Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных (приказ ФСТЭК от ) РД. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации Специальные требования и рекомендации по технической защите конфиденциальной информации. ФСБ РД. Типовые требования, методические рекомендации по обеспечению информационной безопасности с использованием криптосредств (конфиденциальная информация) ФСО Документы по обеспечению информационной безопасности в МЭДО