Запомнить
Регистрация Забыли пароль?
 

Блог экспертов

Особенности аккредитации органов по сертификации и испытательных лабораторий (центров), выполняющих работы по оценке (подтверждению) соответствия в отношении оборонной продукции (работ, услуг), поставляемой по гособоронзаказу.

12/08/2019 

08 мая 2019 г. утверждены новые Правила аккредитации органов по сертификации и испытательных лабораторий (центров), выполняющих работы по оценке (подтверждению) соответствия в отношении оборонной продукции работ, услуг), поставляемой по государственному оборонному заказу (постановление Правительства Российской Федерации от 30 апреля 2019 г. № 548).

Новые Правила аккредитации кардинально меняют сложившуюся систему не только аккредитации, но и сертификации СМК предприятий, работающих в области государственного оборонного заказа.

Реклама





Партнеры





Форум

Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Регистрация
Войти  
Выбрать дату в календареВыбрать дату в календаре

Страницы: 1
SecretNet для ИСПДн, SecretNet для ИСПДн
Добрый день!
Но ведь помимо базового набора мер из 21/17 приказов есть уточненный и дополнительный набор, для реализации которого может потребоваться средство защиты от НСД (обычно это Secret Net или Dallas Lock)
Небольшая выборка того, что может реализовывать Secret Net в рамках 21 ФЗ:
    Идентификация и аутентификация пользователей, являющихся работниками оператора
    Идентификация и аутентификация устройств, в том числе стационарных, мобильных и портативных (Соболь не выполняет)
    Управление идентификаторами, в том числе cоздание, присвоение, уничтожение идентификаторов
    Управление средствами аутентификации, в том числе хранение, выдача, инициализация, блокирование средств аутентификации и принятие мер в случае утраты и (или) компрометации средств аутентификации
    Защита обратной связи при вводе аутентификационной информации
    Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей
    Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа (Соболь не выполняет)
    Разделение полномочий (ролей) пользователей, администраторов и лиц, обеспечивающих функционирование информационной системы
    Ограничение неуспешных попыток входа в информационную систему (доступа к информационной системе)
    Блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу
    Разрешение (запрет) действий пользователей, разрешенных до идентификации и аутентификации
    Поддержка и сохранение атрибутов безопасности (меток безопасности), связанных с информацией в процессе ее хранения и обработки (Соболь не выполняет)
    Регламентация и контроль использования в информационной системе технологий беспроводного доступа (Соболь не выполняет)
    Регламентация и контроль использования в информационной системе мобильных технических средств (Соболь не выполняет)
    Обеспечение доверенной загрузки средств вычислительной техники
    Управление запуском (обращениями) компонентов программного обеспечения, в том числе определение запускаемых компонентов, настройка параметров запуска компонентов, контроль за запуском компонентов программного обеспечения (Соболь не выполняет)
    Учет машинных носителей персональных данных (Соболь не выполняет)
    Управление доступом к машинным носителям персональных данных (Соболь не выполняет)
    Контроль использования интерфейсов ввода (вывода) информации на машинные носители персональных данных
    Контроль ввода (вывода) информации на машинные носители персональных данных
    Контроль подключения машинных носителей персональных данных
    Определение событий безопасности, подлежащих регистрации, и сроков их хранения
    Определение состава и содержания информации о событиях безопасности, подлежащих регистрации (Соболь не выполняет)
    Сбор, запись и хранение информации о событиях безопасности в течение установленного времени хранения
    Реагирование на сбои при регистрации событий безопасности, в том числе аппаратные и программные ошибки, сбои в механизмах сбора информации и достижение предела или переполнения объема (емкости) памяти
    Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них
    Защита информации о событиях безопасности
    "Контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты
    информации"
    Контроль состава технических средств, программного обеспечения и средств защиты информации
    Контроль правил генерации и смены паролей пользователей, заведения и удаления учетных записей пользователей, реализации правил разграничения доступа, полномочий пользователей в информационной системе (Соболь не выполняет)
    Контроль целостности программного обеспечения, включая программное обеспечение средств защиты информации
    Контроль целостности персональных данных, содержащихся в базах данных информационной системы
    Обеспечение возможности восстановления программного обеспечения, включая программное обеспечение средств защиты информации, при возникновении нештатных ситуаций
    Контроль содержания информации, передаваемой из информационной системы (контейнерный, основанный на свойствах объекта доступа, и контентный, основанный на поиске запрещенной к передаче информации с использованием сигнатур, масок и иных методов), и исключение неправомерной передачи информации из ИС (Соболь не выполняет)
    Ограничение прав пользователей по вводу информации в информационную систему (Соболь не выполняет)
    Резервирование технических средств, программного обеспечения, каналов передачи информации, средств обеспечения функционирования информационной системы (Соболь не выполняет)
    Контроль безотказного функционирования технических средств, обнаружение и локализация отказов функционирования, принятие мер по восстановлению отказавших средств и их тестирование (Соболь не выполняет)

Если Вы напишите в тех.поддержку "Кода безопасности" вопрос о реализации их продуктами 17 и 21 приказов, они Вам скинут подробную и красивую табличку (к сожалению не знаю, есть ли она где-то еще в открытом доступе)
Применение средств защиты
Добрый день!

На форуме недавно, если что-то не так, извините за сумбурность :)
Итак, ситуация, есть ИСПДн "Зарплата и кадры" в школе. По постановлению 1119 и 21 приказу определен 4 УЗ.
Но, в ИС используется технология виртуализации, если быть конкретнее конвергентная платформа Cisco UCS с 8 серверными лезвиями, на одном из которых и размещен сервер с 1С. Для виртуализации используется Vmware vSphere 5 Essentials Plus.
Пользователи подключаются в режиме удаленного рабочего стола и взаимодействуют с 1С. На компьютерах пользователей есть средство защиты от НСД (SN) и антивирус (Kaspesky), есть аппаратный межсетевой экран, но он на всю сеть. Компьютеры пользователей, которые имеют право подключаться (и должны) к 1С находятся в одном домене с остальными компьютерами сети.
Верно ли я понимаю, что на хост с сервером должно быть установлено:
1.средство защиты виртуализации (например, vGate), только на этот хост (возможно ли это вообще?)
2. Средство защиты от НСД (тот же SN)
3. Антивирус
4. Программный межсетевой экран(на компьютеры бухгалтеров), который не будет давать пользователям из общей сети доступа к компьютерам бухгалтерии и серверу. Какое средство можно использовать под эти цели, раньше у "Кода безопасности" был Trust Access, сейчас его заменила Studio, но в силу того, что недавно был обновлен Secret Net покупка Studio нежелательна?
Хотелось бы выполнить требования регулятора и при этом обойтись "малой кровью", то есть не покупать лишнего того без чего вполне можно обойтись, а требования выполнить.

Если подытожить,то основные вопросы :
1.Как защитить такую систему виртуализации, какими средствами, чтобы не было избыточности?
2.Как и чем отделить бухгалтерские компьютеры от остальной сети - вариант отдельный домен и аппаратный межсетевой экран - хорош, но трудно реализуем?
Страницы: 1