47
3. уточняются условия расположения объекта защиты относительно
границ контролируемой зоны;
4. уточняются конфигурация и топология ИСПДн и систем связи в целом
и их компонентов, физические, функциональные и технологические связи как
внутри этих систем, так и с другими системами различного уровня и назначения;
5. уточняются состав технических средств и систем, предполагаемых к
использованию в СЗПДн, условия их расположения, общесистемные и прикладные
программные средства;
6. уточняются режимы обработки информации в ИСПДн в целом и в
отдельных ее компонентах; для ИСПДн производится анализ собранной
информации об угрозах и их показателях для разработки Модели угроз;
7. уточняется уровень защищенности ИСПДн;
8. разрабатывается организационно распорядительная документация в
необходимом объёме;
9. разрабатывается модель угроз для ИСПДн на основе РД ФСТЭК
России «Базовая модель угроз безопасности персональных данных при их
обработке в информационных системах персональных данных»;
10. разрабатывается (в случае необходимости) Модель нарушителя на
основе РД ФСБ России «Методические рекомендации по обеспечению с помощью
криптосредств безопасности персональных данных при их обработке в
информационных системах персональных данных с использованием средств
автоматизации»;
11. уточняется степень участия сотрудников в обработке информации,
характер их взаимодействия между собой и со службой ИБ.
На стадии поставки оборудования для построения СЗПДн осуществляется
выбор программных и технических средств.
Выбор программных и технических средств защиты информации для
построения СЗПДн.
С целью выполнения требований мер по обеспечению безопасности
персональных данных, средства защиты информации должны иметь необходимые
сертификаты ФСБ и ФСТЭК России, для обеспечения 3-ого уровня защищенности.
48
Средства защиты информации имеющие необходимые сертификаты:
1. АПКШ "Континент" версия 3.7. Сертификат соответствия ФСТЭК
России № 3008;
2. СКЗИ "Континент-АП" версия 3.7. Сертификат соответствия ФСТЭК
России № 3007;
3. сервер безопасности Secret Net 7. Сертификат соответствия ФСТЭК
России № 2707;
4. средство защиты информации Secret Net 7. Клиент (сетевой режим
работы) Сертификат соответствия ФСТЭК России № 2707;
5. дистрибутив (сертификационный пакет). Установочный комплект.
Средство защиты информации Secret Net 7 (сетевой);
6. средство анализа защищённости Xspider. Сертификат соответствия
ФСТЭК России № 3247;
7. сервер авторизации vGate для Hyper-V. Сертификат соответствия
ФСТЭК России № 2308.
Все сертифицированные ФСТЭК средства защиты представлены на сайте
ФСТЭК (http://www.fstec.ru/) в разделе «Сведения о Системе сертификации средств
защиты информации по требованиям безопасности информации»
(http://www.fstec.ru/_razd/_serto.htm) в подразделе «Государственный реестр
сертифицированных средств защиты информации».
Количественный состав аппаратных средств защиты при внедрении системы
защиты каналов связи и межсетевого экранирования.
49
3 Проектирование системы защиты персональных данных В ООО
«Премьер»
3.1 Схемы построения СЗПДн
Состав комплекса технических средств и связи между этими техническими
средствами или группами технических средств, объединены по каким-либо
логическим признакам (например, совместному выполнению отдельных или
нескольких функций, одинаковому назначению и т. д.).
На рисунке 6 приведена общая схема работы сегмента (Филиала).
Шифрованный трафик идет из глобальной сети до крипто шлюза, он дешифрует
его, далее уже в защищенный сегмент сети поступает открытый трафик.
Рис.6. Общая схема работы сегмента (Филиала)
На рисунке 7 приведена схема взаимодействия между сегментами
(Центральный офис - Филиал). Шифрованный трафик передается между крипто
шлюзами, в защищенных сегментах ЛВС за крипто шлюзом распространяется
открытый трафик.
50
Рис. 7. Схема взаимодействия между сегментами (Центральный офис - Филиал)
На рисунке 8 приведена схема взаимодействия между сегментами и
отдельного рабочего места. Шифрованный трафик до VPN- клиента поступает на
прямую от крипто шлюза, и расшифровывается непосредственно на рабочей
станции.
Рис. 8. Схема взаимодействия между сегментами и отдельного рабочего места
На рисунке 9 приведена схема функциональной структуры.
51
Рис. 9. Схема функциональной структуры
Крипто шлюз выполняет следующие функции:
1) маршрутизация сетевого трафика;
2) осуществляет балансировку нагрузки между каналами связи и
динамическую/статическую маршрутизацию трафика;
3) межсетевое экранирование;
4) сегментация внутренней сети и обеспечение безопасности периметра с
помощью межсетевого экрана на основе технологии SPI с поддержкой технологии
NAT/PAT;
5) защита каналов связи;
6) криптозащита трафика по ГОСТ 28147–89 с современной ключевой
схемой обеспечивает высокую криптографическую стойкость VPN-сети;
7) управление трафиком;
52
8) поддерживает работу механизмов управления QoS и Traffic shaping,
благодаря чему обеспечивается устойчивая работа критически важных сервисов
(ВКС, IP-телефония и др.);
9) мониторинг и регистрация событий;
10) отправка оперативной информации о состоянии VPN-шлюзов и
событиях, которые требую незамедлительного вмешательства, на e-mail
администратора ИБ и в ЦУС;
11) обеспечивает функционирование отказоустойчивых защищенных
сетей с горячим резервированием каналов связи и VPN-устройств;
12) централизованное управление;
13) управление узлами сети и обновлением ПО узлов сети;
14) графический интерфейс;
15) функциональная графическая консоль управления;
16) мониторинг в реальном времени;
17) мониторинг состояния устройств, состояния сети и событий НСД в
реальном времени;
18) интеграция с внешними системами мониторинга;
19) интеграция с системами мониторинга сетевой инфраструктуры и
мониторинга ИБ;
20) централизованное хранение журналов;
21) централизованный сбор и хранение журналов во внешней СУБД;
22) синхронизация системного времени;
23) синхронизация системного времени с NTP-серверами
На рисунке 10 приведена блок-схема взаимодействия компонентов и
исполнения ролей в СЗПДн.
53
Рис. 10. Блок-схема исполнения ролей
В приложении 1 указаны ведомость покупных изделий таблица 7 и
спецификация покупаемых изделий, таблица 8.
Таблица 7
Ведомость покупных изделий
№
строки
Наименование
Код
продук
ции
Обозна
чение
докуме
нта на
постав
ку
Поста
вщик
Куда
входи
т
(обоз
начен
ие)
Количество
На
изде
лие
В
комп
лект
ы
На
регу
лир.
Все
го
1
АПКШ
«Континент» 3.7.
ЦУС. Платформа
IPC-100. Inc. TS Ba
HSEC-
1.0-
IPC100
-WAF-
SP1Y
Отгруз
очные
докуме
нты
ООО
«Код
Безопа
сности
»
В
типов
ые
схем
ы
1
1
2
АПКШ
«Континент» 3.7.
Криптошлюз.
Платформа IPC-
400. Inc. TS Basic l
HSEC-
1.0-
IPC400
-WAF-
SP1Y
Отгруз
очные
докуме
нты
ООО
«Код
Безопа
сности
»
В
типов
ые
схем
ы
1
2
ЦУС
Крипто шлюз
сегмента сети
Крипто шлюз
сегмента сети
VPN-
клиент
Производится
обмен
шифрованного
трафика между
компонентами
VPN-сети
ЦУС управляет
крипто шлюзами и
клиентами VPN-
сети
54
Продолжение таблицы 7
3
АПКШ
«Континент» 3.7.
Криптошлюз.
Платформа IPC-
HSEC-
1.0-
IPC100
-S102-
WAF-
SP1Y
Отгруз
очные
докуме
нты
ООО
«Код
Безопа
сности
»
В
типов
ые
схем
ы
1
2
4
АПКШ
«Континент» 3.7.
Криптошлюз.
Платформа IPC-25.
HSEC-
3.7-
IPC25-
S115-
FW-
SP1Y
Отгруз
очные
докуме
нты
ООО
«Код
Безопа
сности
»
В
типов
ые
схем
ы
1
2
5
АПКШ
«Континент» 3.7.
Криптошлюз.
Платформа IPC-10.
HSEC-
3.7-
IPC10-
FW-
SP1Y
Отгруз
очные
докуме
нты
ООО
«Код
Безопа
сности
»
В
типов
ые
схем
ы
1
18
6
ПО Континент АП
(1 дополнительное
подключение
пользователя
Континент АП к
СД). Inc. TS Basic
lvl
HSEC-
3.7-
ACS-
AP-lic
[1-49]-
SP1Y
Лиценз
ия на
право
исполь
зовани
я
ООО
«Код
Безопа
сности
»
В
типов
ые
схем
ы
1
20
7
Патчкорды
Отгруз
очные
докуме
нты
Схем
а
раскл
ючен
ия
1
34
Таблица 8
Спецификация оборудования
Продолжение таблицы 8
№
строки
Наименование и
техническая
характеристика
Код
продукции
Поставщик
Ед.
измерения
Кол.
Масса
1 ед.
кг
1
2
3
4
5
6
7
1
АПКШ
«Континент» 3.7.
ЦУС. Платформа
IPC-100. Inc. TS
Basic lvl
HSEC-1.0-
IPC100-
WAF-SP1Y
ООО «Код
Безопасности»
Шт.
1
7,5 кг
55
На рисунке 11 приведена схема организационной структуры.
Рис. 11. Схема организационной структуры
1
2
3
4
5
6
7
2
АПКШ «Континент» 3.7.
Криптошлюз. Платформа
IPC-400. Inc. TS Basic lvl
HSEC-1.0-
IPC400-WAF-
SP1Y
ООО «Код
Безопасности»
Шт.
2
29,6
кг
3
АПКШ «Континент» 3.7.
Криптошлюз. Платформа
IPC-100. Inc. TS Basic lvl
HSEC-1.0-
IPC100-S102-
WAF-SP1Y
ООО «Код
Безопасности»
Шт.
2
7,5
кг
4
АПКШ «Континент» 3.7.
Криптошлюз. Платформа
IPC-25. Inc. TS Basic lvl
HSEC-3.7-IPC25-
S115-FW-SP1Y
ООО «Код
Безопасности»
Шт.
2
2,5
кг
5
АПКШ «Континент» 3.7.
Криптошлюз. Платформа
IPC-10. Inc. TS Basic lvl
HSEC-3.7-IPC10-
FW-SP1Y
ООО «Код
Безопасности»
Шт.
18
2 кг
6
Право на использование
Континент АП (1
дополнительное
подключение пользователя
Континент АП к СД). Inc.
TS Basic lvl
HSEC-3.7-ACS-
AP-lic [1-49]-
SP1Y
ООО «Код
Безопасности»
Шт.
20
56
3.2 План расположения оборудования и проводок
Серверный шкаф находится в серверном помещении согласно внутреннего
порядка филиала. Установка крипто шлюза подразумевается в серверный шкаф с
минимальным количеством юнитов - 5.
Установка крипто шлюза производится в последний нижний юнит как
указано на рисунках 12 и 13.
Рис. 12. Схема монтирования в филиале
Серверная стойка
№1
Серверная стойка
№2
Серверная стойка
№3
Серверная стойка
№4
Серверная стойка
№5
Рис. 13. Схема монтирования в Вологодском и Череповецком филиале
Серверная стойка №1
Серверная стойка №2
Серверная стойка №3
Серверная стойка №4
Серверная стойка №5
Место
установки
Место установки 1
крипто шлюза
Место установки 2
крипто шлюза