Организация защиты корпоративной сотовой связи на базе SafePhone Plus Решения для операторов персональных данных




Дата13.05.2017
Размер1.2 Mb.
Просмотров185
Скачиваний0

Организация защиты корпоративной сотовой связи
на базе SafePhone Plus
Решения для операторов персональных данных


Введение
Смартфоны, планшеты (далее – мобильные средства коммуникации (МСК)) широко используются при исполнении должностных обязанностей работниками организаций, являющихся операторами персональных данных.
При использовании МСК для обработки персональных данных (ПДн), необходимо учитывать, что:
1.
МСК, не является доверенным устройством. Основания: ОС и прикладное ПО могут иметь недекларированные возможности (НДВ).
2.
С использованием МСК в информационных системах персональных данных
(ИСПДн) связаны специфические классы рисков:

МСК могут быть утеряны или украдены. Обеспечить физическую безопасность, сохранность МСК гораздо сложнее, чем сохранность стационарных устройств.

МСК имеют широкий арсенал средств, которые могут быть использованы злоумышленником и нуждаются в контроле.
3.
Защита трафика (криптографические алгоритмы), как правило, не соответствует отечественным требованиям.
4.
Многообразие используемых ОС (Android, iOS, BlackBerry OS, …) влечет за собой трудоемкость управления МСК.
В брошюре рассматривается типовая постановка задачи оператора ПДн защиты от несанкционированного доступа (НСД) к информации, хранящейся и обрабатываемой на МСК.
Цель документа – демонстрация преимуществ использования решения SafePhone при использовании МСК в ИСПДн.
Область применения - документ предназначен для сотрудников службы информационной безопасности (ИБ) и других специалистов, отвечающих за планирование, внедрение и поддержание безопасности корпоративной сети мобильной связи.


Оглавление
Введение ......................................................................................................................................... 2
Перечень сокращений ................................................................................................................... 4
Термины и определения ........................................................................................................ 5 1. Неформальная постановка задачи ........................................................................................ 6 2. Нормативная база по защите персональных данных ......................................................... 8 3. Функционал системы централизованного управления сетью корпоративной сотовой связи (MDM) .................................................................................................................................. 9 3.1 Система администрирования МСК и обеспечения доступа к информационным ресурсам ИСПДн .................................................................................................................. 10 3.2 Система обеспечения информационной безопасности ............................................. 10 3.2.1 Политика ИБ при использовании МСК .................................................................... 10 3.2.2 Нормативые документы оператора ПДн .................................................................. 12 3.2.3 Базовые требования в части защиты МСК .............................................................. 13 3.3
Мониторинг и аудит ................................................................................................. 14 4. Системы защиты корпоративной мобильной связи «SafePhone Plus» ......................... 15 4.1 Компоненты решения .................................................................................................... 15 4.2 Функционал SafePhone Plus ......................................................................................... 17 4.3 Соответствие требованиям регуляторов ...................................................................... 21 4.3.1 Сертификат соответствия ФСТЭК России ............................................................... 21 4.3.2 Сертификат соответствия ФСБ России .................................................................... 21 4.3.3 Что дает наличие сертификатов соответствия ......................................................... 22 5
Пример организации защиты ............................................................................................. 23 5.1
Постановка задачи ..................................................................................................... 23 5.2
Актуальные классы рисков ...................................................................................... 24 5.3 Организация доступа к корпоративным информационным ресурсам...................... 24 5.4 Обеспечение ИБ ............................................................................................................. 26 5.4.1 Безопасность данных на МСК ................................................................................... 26 5.4.2 Организационные меры защиты ................................................................................ 26 5.3.3 Технические меры защиты ........................................................................................ 27 5.3.4 Аудит действий пользователя МСК .......................................................................... 29

Перечень сокращений
АС
Автоматизированная система
АРМ
Автоматизированное рабочее место
ИБ
Информационная безопасность
ИС
Информационная система
ИСПДн
Информационные системы персональных данных
ИТ
Информационные технологии
КСМС
Корпоративная сеть мобильной связи
МСК
Мобильные средства коммуникации
НДВ
Недекларированные возможности
НСД
Несанкционированный доступ
ОРД
Организационно-распорядительные документы
ОС
Операционная система
ПДн
Персональные данные
ПО
Программное обеспечение
СЗКСС
Система защиты корпоративной сотовой связи
СКЗИ
Средство криптографической защиты информации
СКУД
Система контроля и управления доступом
СрЗИ
Средство защиты информации
СТР-К
Специальные требования и рекомендации по технической защите информации
ТУ
Технические условия
COPE
Концепция, допускающая использование для работы только служебных мобильных устройств(Corporately Owned, Personally Enabled)
DMZ
Технология обеспечения защиты (demilitarized zone)
IPsec
Протокол для обеспечения защиты данных, передаваемых по протоколу
IP (IP Security)
MDM
Система управления мобильными устройствами (Mobile Device
Management)
SIP
Протокол передачи данных, используемый в IP-телефонии (Session Initiate
Protocol)
VPN
Виртуальная частная сеть (Virtual Private Network)
Wi-Fi
Технология беспроводного доступа (Wireless Fidelity)

Термины и определения
В настоящем документе приняты следующие основные термины и определения:
Информационная система персональных данных (ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Мобильное средство коммуникации (МСК) – компактное переносное техническое средство (мобильные телефоны, смартфоны и планшетные устройства), обладающее следующими базовыми характеристиками:

наличие канала сотовой связи или возможно других проводных и беспроводных интерфейсов (Wi-Fi, Bluetooth, NFC) для обмена данными;

наличие микрофона, камеры;

наличие операционной системы и встроенной (расширяемой) памяти;

наличие функционала, позволяющего получать и загружать различные приложения и данные;

наличие возможности создания (программирования) функционала, позволяющего организовать удаленное управление данным устройством.
Оператор персональных данных – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Персональные данные (ПДн) – любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).
Служебное МСК – МСК, владельцем которого является организация (Company-Owned
Devices).
MDM - система централизованного управления сетью корпоративной сотовой связи,
обеспечивающая:

защиту МСК от несанкционированного доступа;

дистанционное управление МСК;

мониторинг предоставляемых услуг связи.
Угроза - возможная причина нежелательного инцидента, которая может нанести ущерб
[информационной] системе или всей организации.

Уровень защищенности ПДн - Под уровнем защищенности ПДн понимается комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности персональных данных при их обработке в информационных системах персональных данных.
Уязвимость - слабость актива или управления, эксплуатация которой приведёт к реализации одной или нескольких угроз.
1.

Неформальная постановка задачи
Оператор ПДн планирует использовать ИСПДн в служебные МСК наряду со стационарными АРМ. В информационной системе обрабатывается конфиденциальная информация (сведения, относящиеся к служебной тайне).
Доступ МСК к ресурсам информационной системы (ИС) необходимо обеспечить с использованием:

Точек беспроводного доступа (Wi-Fi), расположенных на объектах оператора ПДн;

Сервисов операторов мобильной связи.
Что нужно сотрудникам:

Доступ к информационным ресурсам ИСПДн в соответствии с технологией обработки ПДн;

Возможность использования телефона по прямому назначению (звонки) как внутри компании, так и внешним абонентам;

Возможность использования некоторых приложений на МСК в служебных и личных целях.
Что нужно службам ИТ и ИБ:

Интеграция МСК в ИСПДн;

Интеграция МСК в систему безопасности ИСПДн.

Обеспечить соответствие требованиям в части защиты ПДн;

Принять контрмеры против актуальных угроз, связанных с МСК.
Что нужно проектировщикам:
Продукт класса MDM, обеспечивающей необходимый функционал для обработки ПДн, а также потребности служб ИТ и ИБ.

Продукт должен включать (рис 1):

Систему централизованного управления сетью корпоративной мобильной связи, имеющую функционал, обеспечивающий: o
Доступ МСК к корпоративным информационным ресурсам и приложениям; o
Администрирование МСК; o
Защиту информационных ресурсов ИСПДн от НСД; o
Мониторинг и аудит действий пользователей МСК.

Систему защиты МСК, включающую: o
Наложенные средства защиты, взаимодействующие с системой администрирования MDM и штатными средствами защиты МСК; o
Защиту канала связи; o
Защиту на уровне приложений.
Рис 1. Организация защиты МСК в ИСПДн

Продукт должен иметь функционал, обеспечивающий защиту от специфичных для
МСК угроз безопасности.
Конкретные требования к функционалу зависят от:

Требований, вытекающих из технологии обработки ПДн;

Требований в области ИБ, вытекающих из требований нормативных актов;

Требований политики безопасности оператора ПДн.
2.

Нормативная база по защите персональных данных
Требования по безопасности информации в ИСПДн изложены в документах:

Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;

Постановление Правительства РФ от 01.11 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

Постановление Правительства Российской Федерации от 21.03.2012 № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных»;

Приказ ФСТЭК России № 21 от 18.02.2013 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

Приказ ФСБ России от 10 июля 2014 г. N 378
«Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности».
В части защиты технической защиты информации:

Меры защиты мобильных технических средств (кроме криптогафии) изложены в Приказе ФСТЭК России от 18.02.2013 N 21;


Вопросы использования средств криптографической защиты информации рассмотрены в приказе ФСБ России.
Эти требования, применительно к функционалу рассматриваемой MDM, приведены ниже.
3.

Функционал системы централизованного управления сетью
корпоративной сотовой связи (MDM)
MDM включает следующие элементы:

Система администрирования МСК и обеспечения доступа к корпоративным ресурсам;

Система обеспечения информационной безопасности;

Система мониторинга и аудита.

3.1 Система администрирования МСК и обеспечения доступа к
информационным ресурсам ИСПДн
Перечисленные ниже функции являются базовыми для MDM.
Функции системы
администрирования МСК
Комментарий
Дистанционная настройка политик на МСК
По команде системы управления, на МСК могут быть изменены настройки политики ИБ, включая ограничение доступа пользователя к управлению и запуску приложений и интерфейсов
Ведение корпоративного банка доверенных приложений, установка и обновление приложений на МСК
Установка, обновление и удаление приложений на
МСК осуществляться по инициативе администратора и/или пользователя. Приложения устанавливаются из корпоративного банка доверенных приложений.
Управление списком доверенных беспроводных точек доступа
Wi-Fi
Подключение МСК на территории оператора ПДн только к доверенным точкам доступа.
Управление контактами и аккаунтами
Управление учётными записями пользователя.
Ведение телефонных справочников абонентов и обновление их на МСК
Управление приложениями
Установка, обновление, удаление приложений.
Настройка и ограничение полномочий приложений.
Интеграция МСК со службой каталогов и системой управления доступом к ресурсам
Позволяет построить единую корпоративную систему управления доступом к ресурсам для стационарных и мобильных АРМ
Телефонные функции
Отправка и приём сообщений
(SMS/MMS) корпоративным абонентам, работа с SIM картами.

3.2 Система обеспечения информационной безопасности
Требования в части ИБ определяются:

Политикой ИБ оператора ПДн;

Нормативно-распорядительными документами оператора ПДн, которые основываются на нормативной базе регуляторов и учитывают специфику ее области деятельности;

Дополнительными требованиями, вытекающими из конкретной задачи.
3.2.1 Политика ИБ при использовании МСК
Целью Политики является создание условий, позволяющих предотвратить или минимизировать ущерб, который может быть нанесен в результате использования МСК.
Положения типовой политики ИБ организации включают:
1.
Актуальные классы угроз информационной безопасности:


недостаточная физическая безопасностью МСК. Необходимо учитывать риски утери, кражи и несанкционированного доступа к МСК;

использование неразрешенных сервисов. МСК могут иметь сервисы, не разрешенные политикой безопасности и владельцы МСК их могут использовать;

перехват трафика МСК при использовании недоверенных сетей и неконтролируемых точек доступа;

несанкционированный доступ к МСК через недоверенные сетевые подключения;

использованием приложений от недоверенных производителей;

несанкционированный доступ МСК к корпоративными сервисами.
2.
Основными направлениями обеспечения ИБ при использовании МСК в процессах обработки ПДн, осуществляемых оператором ПДн, являются:

технические ограничения на функционал МСК;

централизованное (дистанционное) управление настройками безопасности
МСК;

обеспечение требований к МСК в части технической защиты информации;

контроль использования МСК.
Типовые требования политики ИБ в части защиты МСК, подключенных к ИСПДн, с учетом актуальных классов рисков, перечислены в таблице.
Требования политики ИБ
Комментарий

Выход в интернет с МСК только через
корпоративный шлюз (с применением корпоративных политик безопасности).

Обеспечивается возможность использования корпоративной политики при доступе в интернет с МСК

Возможность дистанционного запрета
на использование отдельных
интерфейсов МСК (например,
Bluetooth, Wi-Fi, цифровая фотокамера, микрофон) и приложений
Контрмера против возможного нарушения политики безопасности сотрудником.

Возможность дистанционного
блокирования МСК и уничтожения
данных при наступлении событий ИБ
Контрмера против кражи МСК

Возможность дистанционного
обновления прошивки, системных
приложений и сервисов МСК
Обеспечивается возможность оперативного изменения корпоративной политики ИБ в части МСК
Обеспечение ИБ реализуется комплексом организационных и технических мер.

Организационные меры должны быть описаны в локальных ОРД оператора ПДн.
3.2.2 Нормативные документы оператора ПДн
Для реализации требований нормативных документов регуляторов и положений политики ИБ в части защиты МСК, подключенных к ИСПДн, оператору ПДн необходимо разработать следующие документы:
Требования нормативных
документов (ФЗ, ПП, приказов
регуляторов)
Ссылка на
нормативные
документы
Наименование документа
оператора ПДн
Наличие документированных процедур, направленных на предотвращение и выявление нарушений законодательства
Российской Федерации, устранение последствий таких нарушений
№ 152 ФЗ, ст.18.1 п.1.2
Инструкция пользователю МСК по обеспечению безопасности персональных данных
Установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными
№ 152 ФЗ, ст.19 п.2.8
Регламент разграничения прав по доступу к защищаемым ресурсам
ИСПДн для пользователей МСК
Обеспечение сохранности носителей персональных данных
Учет машинных носителей персональных данных
№ 152 ФЗ, ст.19 п.2.5
Регламент выдачи и учета МСК
Контроль выполнения требований в части обеспечения безопасности и мер защиты
ИСПДн
Осуществление внутреннего контроля и (или) аудита соответствия обработки
№ 152 ФЗ, ст.18.1 п.1.4,
ПП 1119 п.17
Регламент мониторинга действий пользователей МСК и событий безопасности

Требования нормативных
документов (ФЗ, ПП, приказов
регуляторов)
Ссылка на
нормативные
документы
Наименование документа
оператора ПДн
персональных данных настоящему Федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора

3.2.3 Базовые требования в части защиты МСК
Базовые требования нормативных документов по технической защите информации приведены в таблице:
Меры защиты информации МСК, подключенных к
информационной системе
Ссылка на нормативные документы
1.

Идентификация и аутентификация субъектов доступа
и объектов доступа:

Идентификация и аутентификация пользователей МСК;

Защита обратной связи при вводе аутентификационной информации на МСК.
Приказ ФСТЭК
N 21, ЗИС.30,
ИАФ.1, ИАФ.5
2.

Управление доступом субъектов доступа к объектам
доступа:

Реализация необходимых методов управления доступом и правил разграничения;

Назначение минимально необходимых прав и привилегий пользователям;

Реализация защищенного удаленного доступа к объектам доступа через внешние сети;

Регламентация и контроль использования МСК.
Приказ ФСТЭК
N 21, ЗИС.30
УПД.2, УПД.5,
УПД.13,УПД.15
3.

Ограничение программной среды:

Установка только разрешенного к использованию ПО.
Приказ ФСТЭК
N 21, ЗИС.30,
ОПС.3
4.

Защита носителей данных (встроенная память МСК):

Учет МСК;
Приказ ФСТЭК
N 21, ЗИС.30,


Управление доступом к данным в памяти МСК;

Исключение возможности несанкционированного ознакомления сданными, хранимыми в МСК;

Уничтожение информации при передаче МСК другому пользователю.

ЗНИ.1,ЗНИ.2,
ЗНИ.4, ЗНИ.8
5.

Регистрации событий безопасности:

Определение событий безопасности, подлежащих регистрации;

Определение состава и содержания информации о событиях, подлежащих регистрации;

Сбор, запись и хранение информации о событиях безопасности в течение установленного времени;

Мониторинг результатов регистрации событий безопасности и реагирование на них.

Приказ ФСТЭК
N 21, ЗИС.30,
РСБ.1, РСБ.2,
РСБ.3, РСБ.5
6.

Антивирусная защита:

Реализация антивирусной защиты;

Обновление базы данных признаков вирусов.
Приказ ФСТЭК
N 21, ЗИС.30,
АВЗ.1 иАВЗ.2
7.

Контроль защищенности информации:

Выявление, анализ и устранение уязвимостей МСК;

Контроль установки обновлений ПО;

Контроль работоспособности, параметров настройки и правильности функционирования ПО и СрЗИ.
Приказ ФСТЭК
N 21, ЗИС.30,
АНЗ.1, АНЗ.2 и
АНЗ.3
8.

Обеспечение целостности информационной системы и
информации:
Контроль целостности ПО, включая ПО СрЗИ
Приказ ФСТЭК
N 21, ЗИС.30,
ОЦЛ.1
9.

Требования к СКЗИ и СрЗИ
ПП 211,
Приказ ФСБ
№ 378

3.3

Мониторинг и аудит
Система мониторинга и аудита реализует функции, необходимые для оценки соответствия системы защиты информации установленным требованиям.
Типовой функционал системы мониторинга и аудита приведен в таблице
Функционал, необходимый для
мониторинга пользователей МСК
Комментарии
Мониторинг событий МСК
Передача данных о событиях ИБ в систему управления MDM. На основе этих данных готовятся отчеты о событиях ИБ
Определение местоположения абонентов
МСК (геолокация).
Для определенных категорий работников необходимо отслеживать их местонахождение в соответствии с политикой безопасности организации.
Система построения отчетов по заданным параметрам
Система аудита ИБ включает анализ отчетов

4.

Системы защиты корпоративной мобильной связи «SafePhone
Plus»
Комплексное решение SafePhone Plus для защиты корпоративной системы связи разработано на основе анализа угроз, а также с учетом отечественного и зарубежного опыта. В число задач, решаемых с использованием решения SafePhone Plus, входят:

обеспечение безопасности телефонных переговоров;

защита мобильного устройства и информации, хранящейся на нем;

обеспечение защищенного доступа к корпоративным ресурсам;

конфиденциальный обмен данными;

обеспечение безопасной видеоконференцсвязи на мобильных устройствах;

реализация возможностей интеграции с корпоративной АТС.
4.1 Компоненты решения
Решение построено на базе системы SafePhone от компании «НИИ СОКБ» для защиты информации на корпоративных мобильных устройствах и защищенной доверенной среды передачи информации ViPNet от компании «ИнфоТеКС» с использованием публичных и выделенных каналов связи. На мобильном устройстве развертываются клиентские программы SafePhone, ViPNet и SIP-клиент, а на контролируемой территории организации — серверные компоненты этих систем:
SafePhone Server, ViPNet Coordinator, Server SIP.
Первый компонент решения - SafePhone, представляет собой систему защиты информации на корпоративных мобильных устройствах с централизованным управлением. Функции SafePhone:

Защита от несанкционированного доступа к конфиденциальной информации;

Предотвращение несанкционированной установки стороннего программного обеспечения;

Ведение банка доверенного программного обеспечения;

Контроль использования служебных мобильных устройств;

Применение различных политик безопасности на территории предприятия и за ее пределами;

Мониторинг событий и подготовка отчетов.
Второй компонент решения - Mobile VoIP, обеспечивает голосовую связь по каналам
Интернет или по локальным сетям, доступным с мобильного устройства. Его функциональное назначение:


Обеспечение возможности ведения конфиденциальных переговоров по мобильному устройству с мобильными и стационарными абонентами;

Снижение затрат на оплату GSM трафика;

Предоставление корпоративным абонентам дополнительных услуг: o
переадресация звонков; o
конференц-связь, видеоконференция; o
обмен текстовыми и медийными сообщениями по защищенному каналу защищенный обмен текстовыми и медийными сообщениями; o
единый номер в корпорации (в рамках интеграции с УПАТС).
Рис 4.1 Архитектура MDM SafePhone Plus
Мобильный клиент SafePhone является приложением, устанавливаемым на МСК.
Он осуществляет защиту от установки недоверенных приложений, а также обеспечивает применение к устройству корпоративных политик в области информационной
безопасности — политик использования SIM-карт, списков доверенных беспроводных сетей, разрешенных интерфейсов и т.д.
VipNet Client позволяет осуществлять шифрованную передачу всего исходящего трафика МСК (в том числе почтового клиента, браузера и любого другого приложения, установленного на МСК) на корпоративный VPN-криптошлюз.
АРМ
Администратора представляет собой клиентское приложение, предназначенное для выполнения действий, связанных с удаленным управлением и мониторингом МСК.
Сервер SafePhone Plus обеспечивает взаимодействие между МСК (мобильными клиентами) и сервером базы данных, управляя потоками команд и параметров, поступающих от компонентов. Сервер SafePhone Plus обеспечивает постоянную связь со всеми корпоративными МСК, подключенными к серверу SafePhone Plus и находящимися в зоне доступа сети.
Сервер базы данных предназначен для хранения и обработки данных системы.
ГИС-сервер обеспечивает возможность визуализации географической информации, используемой для мониторинга местоположения МСК. Локальный ГИС-сервер позволяет не загружать карту из Интернета, визуализация картографических данных при этом обеспечивается при помощи АРМ Администратора SafePhone Plus.
SafePhone
Plus обеспечивает функциональное назначение при реализации организацией, предприятием следующих предварительных организационно- распорядительных мер:

создание административной группы или подразделения, обеспечивающего установку, настройку и сопровождение системы;

разработка нормативных документов, определяющих порядок допуска пользователей к системе и назначения их полномочий;

реализация мероприятий по антивирусной защите и обеспечение свободной от вирусов программной среды компьютеров.
4.2 Функционал SafePhone Plus
Система реализует следующие функции:
1.
Регистрация МСК в корпоративной системе связи.

В результате выполнения данной функции в базу данных SafePhone вносятся сведения, позволяющие однозначно идентифицировать МСК и его пользователя. Регистрация производится одновременно с установкой мобильного клиента SafePhone на МСК.
2.
Управление контактами и аккаунтами. Администратор использует функции:

Установка корпоративной адресной книги;

Управление учётными записями пользователей МСК.
3.
Аутентификация и авторизация пользователя МСК, включающая функции:

Аутентификация пользователя МСК;

Управление многопользовательским режимом;

Управление парольными политиками МСК;

Управление сертификатами.
4.
Телефонные функции:

Голосовые вызовы (GSM, встроенный VoIP);

Отправка и приём сообщений (SMS/MMS) во внешние сети;
5.
Управление приложениями на МСК:

Установка, обновление, удаление приложений;

Запуск и останов приложений;

Ограничение доступа пользователя к управлению и запуску приложений;

Настройка и ограничение полномочий приложений;

Получение списков установленных и запущенных приложений.
6.
Мониторинг состояния МСК, зарегистрированного в SafePhone, и мониторинг событий на МСК.
Состояние всех МСК отслеживается в системе и отображается на АРМ администратора.
Регистрируются следующие данные:

Состояние подключения МСК к серверу SafePhone;

События подключения и отключения МСК;

События регистрации GPS-координат (информации о местоположении МСК);

События запуска/остановки приложений;

События установки/обновления/деинсталляции приложений на МСК;


Перечень установленных приложений;

Перечень запущенных приложений;

События регистрации голосового вызова;

События регистрации текстовых сообщений;

Сведения об использовании интернет-трафика;

События регистрации внутренних сообщений (текстовых и голосовых);

События смены SIM-карты на МСК;

Состояние уровня заряда батареи и подключения к зарядному устройству.
7.
Дистанционное выполнение действий на МСК, зарегистрированных в SafePhone.
На МСК могут быть удаленно выполнены команды АРМ администратора:

Изменение политик безопасности МСК и конфигурации МСК: o
возможность связи с внекорпоративными абонентами; o
возможность смены SIM-карты; o
возможность использовать открытые Wi-fi точки доступа; o
установка списка разрешенных точек доступа; o
установка списка разрешенных интерфейсов.

Централизованное обновление адресной книги на МСК (поддерживается интеграция со справочником Active Directory);

Установка/удаление/обновление мобильных приложений. Допускается установка только доверенных приложений, предварительно внесенных в банк доверенных приложений SafePhone;

Запуск/остановка мобильных приложений;

Блокировка услуг связи.
8.
Ограничение доступа абонентов к функциям МСК.
В зависимости от установленных политик безопасности, а также по команде администратора, на МСК могут быть ограничены отдельные функции:

Ограничения возможности пользования услугами связи.Услуги связи могут быть заблокированы по команде администратора, а также заблокированы или ограничены при реализации соответствующих политик безопасности;


Запрет установки мобильных приложений. Самостоятельная установка приложений на МСК невозможна. Управление приложениями осуществляется только через АРМ Администратора;

Ограничения возможности подключения к произвольным точкам доступа.
Допускается подключение только к тем точкам доступа, список которых устанавливается администратором;

Запрет использования отдельных интерфейсов и предустановленных приложений.
Потенциально опасные интерфейсы связи/приложения (Bluetooth, камера, диктофон) могут быть заблокированы при реализации соответствующих политик безопасности.
9. Управление сетевым трафиком на МСК:

Управление межсетевым экраном (firewall) и URL фильтрацией;

Управление взаимодействием устройства с серверами push-уведомлений;

Управление встроенным VPN;

Получение статистики использовании трафика;

Получение информации об имеющихся сетевых подключениях;

Настройка сетевых IP подключений.
10.
Обмен сообщениями по защищенному каналу между абонентами SafePhone.
МСК могут обмениваться текстовыми и голосовыми внутренними сообщениями, передаваемыми по защищенному каналу. Данные сообщения не регистрируются оператором сотовой связи.
11. Резервное копирование данных

Управление встроенными средствами резервного копирования;

Резервное копирование данных на корпоративный сервер MDM.
12.
Построение отчетов.
В АРМ Администратора могут быть построены отчеты:

Суммарное время разговоров абонентов SafePhone за заданный период времени;

Изменения местоположения абонентов SafePhone за заданный период времени.
Данные отображаются на карте в виде треков.
10.
Дистанционное отключение МСК от корпоративной сети и удаление всех данных с МСК.

МСК может быть отключено по команде администратора. При этом данные на
МСК, в том числе Мобильный клиент SafePhone, удаляются (производится сброс
МСК в заводские настройки).
4.3 Соответствие требованиям регуляторов
4.3.1 Сертификат соответствия ФСТЭК России
На систему защиты корпоративной сотовой связи «SafePhone» выдан сертификат соответствия ФСТЭК РОССИИ №3005. Сертификат удостоверяет соответствие требованиям по 4 уровню контроля отсутствия НДВ и наличие встроенных средств защиты от НСД к информации, не содержащей сведений, составляющих государственную тайну.
В соответствии с техническими условиями ТУ 5014-001-95561296-2012 реализованы функции безопасности:

Администрирование: идентификация и аутентификация;

Администрирование: дискреционный принцип контроля доступа;

Администрирование: регистрация;

Идентификация и аутентификация;

Контроль целостности;

Очистка памяти;

Предотвращение доступа к мобильному контенту и интерфейсам;

Регистрация инцидентов.
Ограничения, указанные в сертификате соответствия.
Обработка информации ограниченного доступа на мобильном устройстве может вестись только с применением сертифицированных СКЗИ, имеющих заключение о корректности встраивания в мобильное устройство. В решении SafePhone Plus СКЗИ реализует ViPNet Client.
4.3.2 Сертификат соответствия ФСБ России
Сертификаты соответствия ФСБ России (СФ/114-1971, СФ/124-2226) выданы на программный комплекс ViPNet Client (iOS, Android).
Сертификат удостоверяет соответствие требованиям к СКЗИ класса КС1.

ViPNet Client— это приложение, являющееся средством криптографической защиты информации класса КС1, работающее под управлением iOS или Android, и позволяющее получить доступ посредством защищенного технологиями ViPNet VPN туннеля, к ресурсам корпоративной сети:
- Доступ к корпоративным информационным ресурсам;
- Доступ к корпоративным терминальным серверам и веб-порталам;
- Доступ к библиотекам документов;
- Защищенная IP-телефония и другие средства коммуникации.
Корректность встраивания ViPNet Client в мобильное устройство возможно проверить только при условии выбора конкретной модели устройства. Таким образом, любые заключения о корректности встраивания данного СКЗИ будут сделаны для конкретных партий устройств определенной модели МСК.
4.3.3 Что дает наличие сертификатов соответствия

Наличие «сертификатов соответствия» позволяет выполнить требования нормативных документов в части защиты информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, а также в информационных системах персональных данных.
Прежде всего, это касается криптографической защиты канала связи мобильного устройства и корпоративной информационной системы.
Кроме того, «SafePhone» предоставляет полный набор встроенных функций безопасности, необходимых при построении подсистемы защиты информации.
Для обеспечения соответствия требованиям, необходимо иметь заключение о корректности встраивания СКЗИ в МСК. Таким образом, на этапе технического проектирования информационной системы, необходимо выбрать модель мобильного устройства и для него провести соответствующие исследования.

5

Пример организации защиты
5.1

Постановка задачи
В государственной организации имеется информационная система (ИС), включающая систему электронного документооборота и электронную почту. В ИС обрабатываются сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с законодательством. Данная информационная система может быть классифицирована как государственная информационная системы общего пользования, обрабатывающая сведения конфиденциального характера.
Предполагается использовать корпоративную систему мобильной связи для доступа:

к системе документооборота с использованием специализированного приложения для МСК;

к корпоративной электронной почте.
Кроме того, МСК может использоваться как средство служебной и личной телефонной связи.
Объекты защиты:

Данные, к которым разрешен доступ с МСК (конфиденциальность, целостность);

Прочие информационные ресурсы организации, к которым доступ с МСК не разрешен
(конфиденциальность);

Телефонные переговоры определенного круга лиц;

Изображения (на экране МСК).
Требования в области ИБ
1.
Обеспечить выполнение требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах (Приказ ФСТЭК России от 11.02.2013 N 17)
2.
В соответствии с корпоративной политикой ИБ требуется:

Использовать VPN c сертифицированными криптографическими средствами защиты информации при передаче данных по открытым каналам связи;

Обеспечить возможность реализации гибких политик использования МСК в контролируемых зонах в части введения ограничений (блокировка интерфейсов) на использование МСК. Фото-видео съемка, использование диктофонов в некоторых зонах на территории организации запрещена;


Использование МСК как средства голосовой связи на территории организации с ограничениями: o
запрет использования МСК в переговорных комнатах; o
при исполнении должностных обязанностей использовать защищенный режим, обеспечивающий криптографическую защиту речевой информации.
Оценка потенциального ущерба от реализации угроз, связанных с использованием
МСК.
Потенциальный ущерб от некоторых инцидентов ИБ, связанных с использованием МСК на территории организации, может быть значительным.
5.2

Актуальные классы рисков
Любой обладатель МСК, подключенный к ИС, потенциально может нарушать политику безопасности организации:

Установить и использовать неразрешенное в организации ПО;

Хранить на МСК корпоративные данные вместе с личными;

Использовать МСК для фото-видео съемок, аудиозаписей на территории, где это запрещено.
Кроме того, актуальны угрозы, связаны с действиями злоумышленников: внедрение вредоносного ПО, несанкционированный доступ к МСК, кража МСК.
Классы рисков, связанные с этими угрозами:

Утечка конфиденциальной информации вследствие несанкционированной фото, видео съемки, аудиозаписи;

Доступ нарушителя к корпоративным информационным ресурсам, выделенным для работы с МСК (нарушение конфиденциальности, целостности, доступности);

Доступ нарушителя к данным (нарушение конфиденциальности), хранящимся на
МСК;

Утечки данных (в том числе – голос).
5.3 Организация доступа к корпоративным информационным
ресурсам

Для организации доступа к корпоративным информационным ресурсам (схема на рис. 5.1) используются штатные функции МСК и функционал решения SafePhone Plus.
Создается хранилище доверенных приложений для их централизованного распространения на МСК сотрудников. Доверенные приложения могут устанавливаться на МСК по команде администратора системы. Пользователи МСК также могут самостоятельно устанавливать и обновллять приложения из этого банка.
Ведется адресная книга корпоративных контактов. Актуальная версия книги распространяется по команде администратора на все корпоративные МСК.
Доступ к системе документооборота и электронной почте обеспечивают клинтские приложения на МСК (загружаются из банка доверенного ПО).
Телефонная связь может быть организована:
-
«в открытом режиме» с использованием штатных механизмов МСК. При этом связываться можно как с корпоративными абонентами, так и с «внешними» абонентами, не входящими в книгу корпоративных контактов;
-
«в закрытом режиме», с использлванием шифрования наложенными средствами. В этом случае соединение возможно установить только между корпоративными абонентами.
Для администрирования МСК используется функционал:
-
Регистрация МСК в корпоративной системе связи;
-
Управление учётными записями пользователей МСК;
-
Аутентификация и авторизация пользователя МСК;
-
Управление сетевым трафиком на МСК;
-
Настройка и ограничение полномочий приложений.

Автоматизированное
рабочее место
Администратора
Адресная книга
Приложения
Журналы
Сервер
управления
События мобильных клиентов
Сервер ГИС
Команды управления
События мобильных клиентов
Команды управления
Карты ГИС
ViPNet Client
SafePhone
Client
ViPNet
Coordinator
ДЕМИЛИТАРИЗОВАННАЯ
ЗОНА
КОРПОРАТИВНАЯ СЕТЬ
ВНЕШНИЕ СЕТИ
SIP Client
Сервер SIP
ViPNet Client
SIP Client
SafePhone
Client
Переговоры
Переговоры
Запрос на соединение с абонентом
Запрос на соединение с абонентом
Шифрование ГОСТ
Шифрование ГОСТ
События и команды
События и команды
GSM/GPRS
Интернет
КОРПОРАТИВНЕ РЕСУРСЫ
Рис 5.1 Схема организации доступа к корпоративным информационным рескрсам с использованием МСК.
5.4 Обеспечение ИБ
Рассмотрим основные аспекты обспечения ИБ, включая защиту данных на МСК, организационные и технические меры защиты выбранного решения.
5.4.1 Безопасность данных на МСК
На МСК могут присутствовать личные данные пользователя, корпоративные справочники, корпоративные данные.
Проблемы, связанные с хранением на МСК данных различных типов могут быть решены следующим способом:

Запретить хранение конфиденциальных данных в памяти МСК (положение политики ИБ в отношении МСК);

Использовать штатные средства защиты МСК (шифрование данных в памяти);
5.4.2 Организационные меры защиты
1.
Определить информационные ресурсы, с которыми будут работать пользователи
МСК. Предусмотреть выделение этих ресурсов в отдельный сегмент корпоративной сети.
2.
Владельцы информационных ресурсов определяют требования к функционалу
МСК в части работы с ресурсами и обеспечению безопасности. Определяется
список доверенного ПО, которое допустимо использовать на МСК при работе с корпоративными ресурсами.
3.
Разработать систему контроля использования МСК в бизнес-процессах. Система контроля может быть основана на анализе журналов событий.
5.3.3 Технические меры защиты
Механизмы реализации базовых технических мер защиты:
Мера защиты
Реализация:
Функционал SafePhone
,
VipNet
и штатные механизмы защиты МСК
Идентификация и аутентификация субъектов доступа и объектов доступа
ИАФ.1, ИАФ.5

Регистрация МСК в корпоративно системе связи

Механизмы идентификации и авторизация МСК
(SafePhone)

Криптографическая защита (VipNet)

Штатные механизмы защиты обратной связи при вводе аутентификационной информации
(МСК)
Управление доступом субъектов доступа к объектам доступа
УПД.2, УПД.5 УПД.13
УПД.15
-
Управление приложениями на МСК
(SafePhone)
-
Аутентификация и авторизация пользователя
МСК (SafePhone)

Функционал средств администратора MDM
(SafePhone): o
Управление объектами учета; o
Управление адресной книгой; o
Календарь рабочего времени; o
Дискреционный принцип контроля доступа; o
Построение отчетов.
- Ограничение доступа абонентов к функциям МСК
(SafePhone)

Криптографическая защита (VipNet)
Ограничение программной среды
ОПС.3

Функционал средств администратора MDM
(SafePhone): o
Управление объектом учета «Приложения»
Защита машинных носителей
ЗНИ.1, ЗНИ.2, ЗНИ.4,
ЗНИ.8

Функционал средств администратора MDM
(SafePhone): o
Управление объектами учета; o
Установка политик при смене SIM карты; o
Очистка памяти на МСК.

Предотвращение доступа к мобильному контенту и интерфейсам (функция клиента SafePhone)

Ограничение доступа абонентов к функциям МСК
(SafePhone)

Дистанционное отключение МСК от корпоративной сети и удаление всех данных
(SafePhone)
Регистрации событий

Мониторинг состояния и мониторинг событий
безопасности РСБ.1 РСБ.2
РСБ.3 РСБ.5
МСК(SafePhone)

Регистрация инцидентов (SafePhone)
Антивирусная защита
Загрузка на МСК только доверенного ПО, прошедшего антивирусную проверку
Контроль защищенности информации
АНЗ.1,АНЗ.2,АНЗ.3
Функционал средств администратора MDM
(SafePhone)
Обеспечение целостности информационной системы и информации ОЦЛ.1

Криптографическая защита (VipNet)

Контроль целостности (функция клиента
SafePhone)

Резервное копирование данных (SafePhone)
Запрет возможности автоматического запуска приложений на МСК

Дистанционное выполнение действий на МСК
(SafePhone)
Ограничение доступа абонентов к функциям
МСК (SafePhone)
Принятие мер, исключающих несанкционированный доступ к хранимой на МСК защищаемой информации

Дистанционное выполнение действий на МСК
(SafePhone)

Контроль конфиденциальности (функция клиента SafePhone)

Ограничение доступа абонентов к функциям
МСК (SafePhone)

Механизмы реализации дополнительных технических мер защиты
Мера защиты
Реализация:
Функционал SafePhone
,
VipNet
и штатные механизмы защиты МСК
VPN c сертифицированными криптографическими средствами защиты информации при передаче данных по открытым каналам связи

VipNet

Обмен данными по защищенному каналу между абонентами SafePhone
Возможность реализации гибких политик использования МСК в контролируемых зонах

Дистанционное выполнение действий на
МСК (SafePhone)

Ограничение доступа абонентов к функциям МСК (SafePhone)




5.3.4 Аудит действий пользователя МСК
Мера защиты
Реализация:
Функционал SafePhone, VipNet
и штатные механизмы защиты МСК
Ведение журнала звонков и сообщений
Мониторинг событий МСК (SafePhone)
Мониторинг событий для МСК
Мониторинг событий МСК (SafePhone)
Определение местоположения абонентов
МСК (геолокация).
Мониторинг состояния МСК (SafePhone)
Система построения отчетов по заданным параметрам
Построение отчетов (SafePhone)


Поделитесь с Вашими друзьями:


База данных защищена авторским правом ©nethash.ru 2017
обратиться к администрации

войти | регистрация
    Главная страница


загрузить материал