Передача защищенной информации через интернет

[D!amond]

Господа, есть вопросы:

1. Можно ли передавать через сети общего пользования (интернет) конфиденциальную информацию ?

2. Достаточно ли для этого применение межсетевых экранов имеющих 4(3) класс защищенности + VPN ?

3. Нужны ли для этого СКЗИ или достаточно СЗИ ?

4. Обязательно применение ГОСТ или возможно построение VPN с использованием 3DES ?

[Maxvit]

Уважаемый D!amond,

Можно или нельзя передавать конфиденциальную информацию через сети общего пользования решает каждая организация для себя сама. Она же и определяет тот необходимый и достаточный выбор средств защиты при передаче данных.

Конечно же если предприятие государственное - то здесь все регламентированно законами, которые нужно найти и знать.

Что бы посмотреть степень защиты информации при ее передаче через Интернет, нужно больше обращать внимание на сертификаты ФАПСИ. Межсетевые экраны не обеспечивают защиту при ПЕРЕДАЧЕ

данных по каналам связи, поэтому и используется шифрование данных.

[Andy]

Вот, вот! Про государственные предприятия очень актуально. А именно - организация распределенной корпоративной сети госпредприятия через сеть Интернет с защитой передаваемых данных средствами VipNet. Противоречит ли это действующим законам/аткам? Или нет?

[Maxvit]

Andy,

Если применяются соответствующие методы защиты информации, то проблем не возникает

[Mia]

Насколько я понимаю, человек говорит о защите именно конфиденциальной информации!

Этот класс информации попадает под область лицензирования определенной постановлением №290!...

определение КИ находится в указе президнта № 188 (если мне память не изменяет). И встает вопрос о том, нужно ли использовать такое СКЗИ как VIPNet при передачи такой информации на расстоянии.

Я бы очень хотел тоже услышать коментарии владельцев форума и грамотных людей.

Насколько я понимаю, требование по защите конфиденциальной информации долны быть прописаны в документе СТР - К ... которого я не видел. Может кто покажет, если даже он еще и не принят.. хоть проджект!

Да и вопрос такой, согласно такому раскладу можно ли будет передавать конфиденциальную инфу открытыми каналами связи на законных основаниях?

[Mia]

D!amond, могу поделиться СТР-К проектом.

[Andy]

Я бы очень хотел тоже услышать коментарии владельцев форума и грамотных людей.

Насколько я понимаю, требование по защите конфиденциальной информации долны быть прописаны в документе СТР - К ... которого я не видел. Может кто покажет, если даже он еще и не принят.. хоть проджект!

Да и вопрос такой, согласно такому раскладу можно ли будет передавать конфиденциальную инфу открытыми каналами связи на законных основаниях?

А "владельцы и грамотные люди" чего-то молчат. А вопрос очень актуальный, но далеко не тривиальный.

Если лень писать, то может хоть ссылочку кинете на другой форум, где тусуются менее ленивые "владельцы и грамонтые люди"?

[Гость admin]

А "владельцы и грамотные люди" чего-то молчат. А вопрос очень актуальный, но далеко не тривиальный.

Если лень писать, то может хоть ссылочку кинете на другой форум, где тусуются менее ленивые "владельцы и грамонтые люди"?

Здравствуйте, Andy!

Сорри за тишину :oops:

Только вчера обнаружил проект документа СПЕЦИАЛЬНЫЕ ТРЕБОВАНИЯ И РЕКОМЕНДАЦИИ ПО ТЕХНИЧЕСКОЙ ЗАЩИТЕ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ (СТР-К, документ, который устанавливает порядок организации работ, требования и рекомендации по обеспечению технической защиты конфиденциальной информации на территории Российской Федерации) в электронном виде.

:idea: Изучить его можно здесь: http://daily.sec.ru/dailypblshow.cfm?rid=9&pid=5415

А потом предлагаю совместно обсудить возникшие вопросы :roll:

[D!amond]

Только вчера обнаружил проект документа СПЕЦИАЛЬНЫЕ ТРЕБОВАНИЯ И РЕКОМЕНДАЦИИ ПО ТЕХНИЧЕСКОЙ ЗАЩИТЕ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ

Спасибо за ссылку.

И еще:

"6. Рекомендации по обеспечению защиты информации, содержащейся в негосударственных информационных ресурсах, при взаимодействии абонентов с информационными сетями общего пользования"

А какой документ определяет порядок защиты информации в государственных инофрмационных ресурсах ?

[Гость admin]

А какой документ определяет порядок защиты информации в государственных инофрмационных ресурсах ?

Я думаю, что порядок защиты для гос. информационных ресурсов определяется требованиями руководящего документа Гостехкомиссии "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации", изучить который можно здесь:

:idea: http://www.infotecs.ru/gtc/New_version/RD_sredstva_.htm

[Андрей]

Хочу отметить один факт. Есть закон о том, что любые локальные сети с информацией с грифом "секретно" и выше запрещено подключать к сетым общего пользования, они должны быть изолированы, и информацию с грифом "секретно" и выше запрещено передавать по сетям общего пользования (например, Интернет) в любом виде, даже после криптографической обработки (шифрования).

Конфиденциальную можно, но как правильно отметили, это решает сама организация, так как есть вероятность перехвата и взлома.

Насчет алгоритма. Рекомендуется ГОСТ, так как не было информации о его компроментации. (DES, например, скомпроментирован). Другие нет, так как любой криптопродукт, предложенный на открытом рынке, имеет закладку и, соответственно, контролируется спецслужбами. Если использовать другие, а не ГОСТ, то будете читаемы АНБ. Уж лучше использовать ГОСТ.

Насчет, хватит ли VPN и межсетевого экрана. Нет!!!! Защита информации - это комплекс мероприятий, который состоит из следующих компонент:

криптографичекая (VPN);

защита от НСД к рабочему месту (электронные ключи, пароли и т.д.);

защита от внешних атак (межсетевой экран);

антивирусный пакет;

защита от внутренних атак (системы сканирования и мониторинга локальных сетей);

и т.д.

[Mia]

Андрей! Хотелось бы добавить еще защиту от ПЭМИН, акустики, виброакустики и т.д.

Насчет компрометации алгоритмов - не совсем так.

Гост думается, в легкую читается спецслужбами, учитывая что они еще и матрицу изначально для него выдают, в случае получения лицензии ФАПСИ.

А по поводу DES - тут нужно рассматривать еще и временной промежуток, если актуальность информации живет всего минут 15, то DES или других подобных вещей хватит за глаза и за уши.

У меня вот дургой вопрос появился, а кто будет блюсти исполнение СТР-К

Насколько мне известно он официально принят, это приказ Гостехкомиссии № 282 от 30 августа 2002 года.