Запомнить
Регистрация Забыли пароль?
 

Блог экспертов

Минюст обязал банки проводить пентесты и аудит кибербезопасности

13/08/2018

Банки обяжут соблюдать новые меры кибербезопасности, среди которых обязательными являются аудит информационной безопасности, различные тестирования на проникновение (пентесты), обязательная сертификация использованного программного обеспечения.

Реклама





Партнеры

Лаборатория кибербезопасности





Форум

Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Регистрация
Войти  
Страницы: 1
RSS
[ Закрыто ] Целостность, краеугольный камень для К3
Горячо любимое всеми Положение по 58-му приказу для К3 гласит в том числе:
"в) обеспечение целостности:
обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность программных средств проверяется при загрузке системы по контрольным суммам компонентов средств защиты информации, а целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ в процессе обработки и (или) хранения защищаемой информации;"


Кто-то уже придумал красивое, или не очень красивое, решение данного пункта?
ФИКС за 2К что-то совсем не тянет покупать ради этого...
Согласен, данный пункт наверно самый противоречивый из всех "требований".
Давайте попробуем разобраться.
Нам нужно:
1. обеспечение целостности программных средств системы защиты персональных данных по контрольным суммам компонентов средств защиты информации
2. обеспечение целостности обрабатываемой информации
3. целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ в процессе обработки и (или) хранения защищаемой информации.

С 1ым все просто: все сертиф.СЗИ проверяют свои модули по контрольным суммам при запуске (как минимум). Поэтому 1ый пункт выполняется.

Касательно 2го: Про сохранение целостности обрабатываемой информации можно говорить только во время её хранения в неработающем ЭВМ.. потому как в другое время она обрабатывается и постоянно изменятся (т.е. целостность ссанкционированно нарушается). Для обеспечения такого рода целостности нужно брать на контроль информационные ресурсы при выключении компа, и проверять их при включении, и хорошо бы автомтом. Какое СЗИ умеет это делать я не знаю.

Касательно 3го: Про трансляторы с языков высого уровня и отсутствие средств модификации объектного кода, это мягко говоря чтото с чемто )) Видно подконец фантазия совсем разыгралась у авторов документа. По сути: трансляторы с языков высокого уровны нужны для отыскивания вредоносного кода, допустим антивирусы с этим спрявятся (хотя и не имеют в себе трансляторов). А вот с "отсутсвие средств модификации объектного кода" не все так просто, потому как средством модификации а тем более объектного кода может служить обычный "блокнот (notepad.exe)" или любой другой текстовый или 16ричный редактор, и я уж не говорю об встроенных средстах редактирования visual basic из пакета майкрософт офис.. и других программ служащих как раз для прикладного программирования (net framework к примеру). Избавиться от них будет проблемматично и очень неудобно.
Для защиты от 3го ну ум приходит только замкнутая программная среда в секретнете например, которая четко закрепляет какие программы могут запускаться пользователем, а какие нет.
Страницы: 1
Читают тему (гостей: 2, пользователей: 0, из них скрытых: 0)