Вопросы По Приказу Фсб Рф От 27.12.2011 N 796

[Echo]

Обязательно нужен замок. а вот какой - тут есть нюанс, про модели замков лучше смотреть как написано в формуляре и сертификате. Также в соответствии с требованием Формуляра и Правил пользования эксплуатация допускается только с той моделью замка, которая сертифицирована на соответствие требованиям ФСБ к АПМДЗ или явно указана в Формуляре. Далее, пока говорим только про ViPNet Client и Coordinator 3.2: есть два отдельных изделия, соответствующих требованиям ФСБ к СКЗИ. ViPNet Client/Coordinator 3.2 КС3 выпускается только с одним вариантом поставки (комплектации), наличие замка обязательно, эксплуатация без замка не означает соответствие его требованиям класса КС1, поскольку этого не сказано в сертификате. ViPNet Client/Coordinator 3.2 в соответствии с сертификатом, выпускается в двух вариантах исполнения - при использовании замка соответствует требованиям к СКЗИ класса КС2, без замка - соответствует требованиям к СКЗИ класса КС1. Для других СКЗИ (а они, в том числе и Клиент и Координатор обычно также имеют и сертификаты на соответствие требованиям к ЭП или/и УЦ, либо это соответствие прописано в общем сертификате) нужно смотреть в их сертификатах. Сертификаты можно посмотреть тут: http://infotecs.ru/products/cert/ , например, сертификат на ViPNet Client 3.2 http://infotecs.ru/products/cert/detail.php?ID=10653 (обратите внимание на формулировки, касающиеся связи СКЗИ и средств ЭП) и парный ему на СКЗИ : http://infotecs.ru/products/cert/detail.php?ID=8919.

[Echo]

> Почему же сразу не сертифицированный. Как раз наоборот. И правила официальные. То есть клиентов можно оргмерами без "замков" закрывать. - Все верно, но вот это уже придется доказывать отдельно при аттестации/ проверке/еще что-то каждого рабочего места. Как Вы же , по-моему, и писали выше - при выполнении всех требований дороже, но надежнее. И КС3 так не получить. Из формуляра (эта фраза одинакова и для формуляра на изделие под КС2 и под КС3)

1. Средство защиты от НСД типа «электронный замок» должно быть сертифицировано ФСБ России на соответствие требованиям к аппаратно-программным модулям доверенной загрузки. В комплект поставки не входит. Поставляется по согласованию с заказчиком. А далее еще раз рекомендую смотреть как сказано в формулярах, в разных версиях изделий могут оказаться несколько отличающиеся формулировки. А так просто поверьте, что именно АПМДЗ и именно сертифицированный.
   

[Echo]

Вот к примеру, про Соболь, раз с него началось: http://www.securitycode.ru/products/pak_sobol/sertificates/ , http://www.securitycode.ru/upload/iblock/a0a/027_1450.pdf , а вот про Аккорд: http://www.accord.ru/accord.html , http://www.okbsapr.ru/sert127_2255.html

[Alejandro]

Вы не обижайтесь, я это все понимаю. Я лишь хочу донести, что даже Вы ( как и законодательство) ни где не расшифровываете что такое "устройство типа электронный замок" дальше у Вас написано "например соболь...".

Вот смотрите, например, я пользователь с минимальным пониманием вопроса смотрю Ваш формуляр - там довольно расплывчато написано с употреблением этого термина и ссылка на Ваши Правила. В которых указано, что, во-первых, допускается использование без замка для клиента (про не соответствие сертификату в этом случае ни слова), во-вторых, лезу в глоссарий на диске и нигде не нахожу, что такое устройство типа электронный замок (даже у Вас), лезу в законы, требовани, регламенты, и там нигде не нахожу этого термина. Нигде не нахожу, про обязательную доверенную загрузку. Я понимаю, что при ее использовании есть необходимость ее сертификации, но я не вижу необходимости ее использования. В ваших сертификатах ссылка на формуляр, но какой именно состав сертифицировался ни слова. То есть с тем же успехом если Ваша версия клиента (к примеру) сертифицировалась только с одной версией соболя, то другая версия того же соболя не подойдет. Потому что сертификат выдан на конкретную связку. И объяснение, что это то же самое, только новее и тоже сертифицировалось не прокатит. Так как сертификата на связку с новой версией нет, правильно???

И наконец вывод:

так как нигде нет ни слова про электронный замок, про его необходимость, про необходимость доверенной загрузки. Я сам додумываю и придумываю, что такое "электронный замок" и делаю по сути, что мне вздумается, объясняя, что в моем понимании это вот так.

У нас есть замечательный принцип. Не знание закона не освобождает от ответственности. Поэтому я и прошу дать ссылки хоть на какие-нибудь НПА РФ, в которых описана необходимость этого. Я действительно извиняюсь, если я не прав. Уж очень хочется повысить свой уровень в этих вопросах.

[Echo]

Спасибо за уточнения, возможно, термин "электронный замок" оказался неудачен, попробуем исправить. Хотя цель была, в общем, благая - не заставлять пользователей привязываться к конкретному типу АПМДЗ, оставляя простор для маневра. Но вот требование к применению сертифицированного АПМДЗ - тут вроде все прозрачно.

[Alejandro]

Снова вопрос, где вообще требование к применению АПМДЗ. Что они должны иметь сертификат это понятно. По сути все должно иметь сертификат. Может где в руководящих документах, требованиях, рекомендациях. Ведь не просто так его добавляли. Опять же их сертифицируют. Вот хочу источник почитать. Откуда "ноги" растут )))

[Echo]

Ну, да, вопрос интересный. Требование к применению АПМДЗ может и не быть, может быть требование обеспечить какую-то функцию, либо состояние системы, либо состояние окружения. Например, что система должна иметь защиту от вирусов. Можно например решить ее путем жесткой фиксации без возможности модификации ее программной части чем-либо вообще, что превратит АРМ в немодифицируемую железку, но это неудобно. Логично, что в Правилах пользования появится требование использовать сертфицированный антивирус. Так же и тут, есть какое-то требование, которое нужно обеспечить для получения сертификата соответствия требованиям к СКЗИ, физически оно может быть решено использованием АПМДЗ. Вот он и прописан. А требования, наверняка, у Регуляторов, что-то есть и в открытых источниках, те же 795 и 796 Приказы. Соответственно, начинать можно с сайта ФСТЭК, опубликованных федеральных законов и приказов ФСБ (Гарант, Конфидент.) да и форумов на которых обсуждаются эти темы достаточно много. ТО есть, применение АПМДЗ, в данном случае, это наше решение, которое позволило сертифицировать наше изделие, а не требование Регулятора вообще к любым системам. Например, наши программно-аппаратные комплексы замков не содержат.

[Alejandro]

Вот именно. Знаете, почему такие вопросы к АПМДЗ. У Вас 100 тоже имеет сертификат под КС3(как и 1000 и 2000) но там ни слова об АПМДЗ. И в комплекте его нет, да и я с трудом могу представить как в сотку впихнуть АПМДЗ.

[ivanmolotilov]

Приветствую, подскажите на счет совместимости с максимом http://www.rusbitech.ru/products/information/12/

[Echo]

Вот именно. Знаете, почему такие вопросы к АПМДЗ. У Вас 100 тоже имеет сертификат под КС3(как и 1000 и 2000) но там ни слова об АПМДЗ. И в комплекте его нет, да и я с трудом могу представить как в сотку впихнуть АПМДЗ.

Вот-вот! действительно для наших программно-аппаратных комплексов замок не требуется, но не забывайте, что это именно ПАКи - для них зафиксирована аппаратная платформа, ОС и прошивка программы. А в случае чисто программных изделий - платформа не зафиксирована.

Приветствую, подскажите на счет совместимости с максимом http://www.rusbitech...information/12/

Мы проводили проверку совместимости нашего ПО с Максим-М1, в процессе проверки проблем не обнаружено. Если Вам что-то известно - пишите.

[Alejandro]

Вот-вот! действительно для наших программно-аппаратных комплексов замок не требуется, но не забывайте, что это именно ПАКи - для них зафиксирована аппаратная платформа, ОС и прошивка программы. А в случае чисто программных изделий - платформа не зафиксирована.

Извините, но я не вижу логики. Для чего нужен АПМДЗ? Для защиты от злоумышленника. Ведь так? Это каким же образом пароль пользователя и администратора на ПАКе устойчивее к взлолму, чем то же самое на обычной машине??? С моей точки зрения как раз наоборот, ну или как минимум на том же уровне. При обновлении прошивки ПАКов паролей администратора и пользователя даже не нужно- они тупо сразу с образа на флешке начинают читать информацию. Я просто не понимаю логики. Точнее понимаю, но к сожалению на данный момент я вижу логику не в защите информации, а (без обид) типичную "русскую-коммерческую".

[romanr]

Извините, но я не вижу логики. Для чего нужен АПМДЗ? Для защиты от злоумышленника. Ведь так? Это каким же образом пароль пользователя и администратора на ПАКе устойчивее к взлолму, чем то же самое на обычной машине??? С моей точки зрения как раз наоборот, ну или как минимум на том же уровне. При обновлении прошивки ПАКов паролей администратора и пользователя даже не нужно- они тупо сразу с образа на флешке начинают читать информацию. Я просто не понимаю логики. Точнее понимаю, но к сожалению на данный момент я вижу логику не в защите информации, а (без обид) типичную "русскую-коммерческую".

Поправьте меня если я не прав, но пароли тут не причем. Все дело в размещении и правилах эксплуатации ПАКа и ПК.

Насчет ПАКов. По правилам их эксплуатации (п.6.2 для комплектации ФСБ) после настройки все входы должны быть опечатаны и ПАК должен находится в помещении где отсутствует пребывание чужого народа.

Насчет ПК. Они обычно ставятся в помещениях где как показывает практика проходной двор (тем более с учетом КС3 или КС2), так что тут замок как раз и нужен.

[Alejandro]

Вы правы, но ветку дискуссии пожалуйста прочитайте, всего-то 2 страницы. А то мы опять сначала начнем. Я ранее уже говорил про закрытие клиента орг.мерами. Однако у инфотекса жестко прописани в их правилах использование "электронного замка". Отдельный разговор, что такое "устройства типа электронный замок". Этого понятия ни в законах, ни в документации инфотекса нет. То есть я сам додумываю, что это (как самый тупой пример замок на двери с лампочкой. Замок?-замок, электронный?- провода есть, ток бежит, выходит электронный).

Тут уже разговор перешел от требований закона к требованиям инфотекса и их логичности с точки зрения защиты.

И вот не рассказывайте, что hw-100 ставятся в серверных. В кабинетах их также и ставят. Так в чем же разница???

Опять же раньше это уже было. Вот ответьте на вопрос: если помещение защищено лучше серверной, ну все, что только можно представить. Могу ли я использовать клиент без "электронного замка"??? Вы удивитесь!!! Суть в том, что инфотекс не оставляет возможности закрывать оргмерами, да будь у Вас хоть 12 этаж в глубину бункера под кремлем, о котором и знает к примеру один человек, ставь АПМДЗ.

[Xenobius]

(как самый тупой пример замок на двери с лампочкой. Замок?-замок, электронный?- провода есть, ток бежит, выходит электронный).

Ну, если уж на то пошло - это замок не электронный, а электрический. Стало быть, согласно документации, именно такой замок уже не подходит.

[Alejandro]

А я говорю, что электронный. Докажите обратное ))))))))) Закон, приказ, указ, рекомендацию, инструкцию, гост. Где есть такое понятие. Если нет - то как в сериале "твое слово против моего, встретимся в суде" )))))) каждый сам придумывает определение термину.

[Xenobius]

А я говорю, что электронный. Докажите обратное ))))))))) Закон, приказ, указ, рекомендацию, инструкцию, гост. Где есть такое понятие. Если нет - то как в сериале "твое слово против моего, встретимся в суде" )))))) каждый сам придумывает определение термину.

Хотя бы потому, что "элеткронный" - подразумевает наличие какой-то ЭЛЕКТРОНИКИ. Интегральные схемы, логика и т.д. Если Вы говорите только про провода и всё - тут никакой электроники нет. Электрика - да. Следовательно, для организации защиты, как обсуждается в теме, такого замка не достаточно.

Лично для меня проблем нет - я пользовался программным Координатором, и собираюсь так делать в будущем (если, конечно, получится). Воткнул в системник, например, Соболь - и всё.

[Alejandro]

Вы опять не поняли. В данном случае понятие "электронный замок" можно с успехом заменить ну к примером "шморгалка". А что это такое??? А фиг его знает, определения то нигде нет!!! А я вот, к примеру, считаю, что провода есть, диодик стоит, значит "электронный". Это если упереться рогом, самое интересное, что вы мне обратного не докажете.

Хорошо, вариант второй, может понятнее будет, тот же диодик, но набор схем, для того, чтобы при нажатии на ручку диодик тух. Ручку нажали - он потух. Логика? Примитивная, но да. Значит уже и по Вашему определению - это электронный замок. ))))))))))))

Мне уже стыдно, в попытке донести свою мысль я занимаюсь чем-то похожим на троллинг. Все естественно понимают, что подразумевалось. НО. Подразумевалось - это не аргумент ни для ФСТЭК, ни для ФСБ, ни для суда. Там нужна ссылка на действующий НПА. А если его нет, то уж увольте. Замок с лампочкой=электронный замок.

[Xenobius]

Да суть-то темы понятна - документальное подтверждение. Поэтому тут, как часто это бывает, всё зависит от того кто и как проверять будет.

А если упираться рогами - то никто никогда ничего никому вообще не докажет. Можно только обязать, заставить.

[romanr]

Вы опять не поняли. В данном случае понятие "электронный замок" можно с успехом заменить ну к примером "шморгалка". А что это такое??? А фиг его знает, определения то нигде нет!!! А я вот, к примеру, считаю, что провода есть, диодик стоит, значит "электронный". Это если упереться рогом, самое интересное, что вы мне обратного не докажете.

Хорошо, вариант второй, может понятнее будет, тот же диодик, но набор схем, для того, чтобы при нажатии на ручку диодик тух. Ручку нажали - он потух. Логика? Примитивная, но да. Значит уже и по Вашему определению - это электронный замок. ))))))))))))

Мне уже стыдно, в попытке донести свою мысль я занимаюсь чем-то похожим на троллинг. Все естественно понимают, что подразумевалось. НО. Подразумевалось - это не аргумент ни для ФСТЭК, ни для ФСБ, ни для суда. Там нужна ссылка на действующий НПА. А если его нет, то уж увольте. Замок с лампочкой=электронный замок.

Я с вами согласен. Я формулировку "электронный замок" в НПА нигде не встречал.

А вообще выбирайте КС1 и будет вам счастье.

P.S. Но не поверите даже в формуляре на КриптоПро встречается формулировка "электронный замок" при использовании КС2 и выше.

А насчет проверки, все действительно зависит от регуляторов региона. У нас например я не разу не слышал чтобы требовали формуляр на СКЗИ, я уже не говорю про АПМДЗ (требование о наличии которого как раз в нем и написаны)

Изменено 16 Июля 2014 пользователем romanr

[Alejandro]

Оххх, не сыпьте соль. Люди мы подневольные, за нас все решили, так что с КСами все не так просто. И при КС1 счастья точно не будет )))

[Echo]

Нет, не совсем. ViPNet 3.2.Х выпускается в двух инкарнациях - в соответствии требованиям к СКЗИ класса КС1/КС2 и в соответствии с требованиями к СКЗИ класса КС3. Последний без замка эксплуатировать нельзя. Требования к эксплуатации описаны в формуляре и Правилах пользования. По первому - он выпускается в двух вариантах исполнения. На самом деле речь идет о том, что если он эксплуатируется без замка, то соответствует только требованиям к СКЗИ класса КС1. Если присутствует замок, и он настроен в соответствии со своими правилами пользования - то ViPNet соответствует требованиям к СКЗИ класса КС2. Теперь - какой именно замок можно использовать. Сейчас, насколько я помню, в формуляре принята фраза определяющая использование замка, сертифицированного по требованиям к АПМДЗ, но без указания модели или производителя. Значит, если модель Вашего замка имеет сертификат, то данное требование удовлетворяется. Если в формуляре указано что-то другое - давайте уточнять, но формально можно использовать только ту модель, которая прописана. Решение о приобретении и использовании замка потребитель принимает самостоятельно, в комплекте поставки ViPNet замок не присутствует.

[Alejandro]

Знаете, такое ощущение, что мы третью страницу одно и то же по несколько раз переписываем. Выше ведь все обсудили. В формуляре указано с устройством типа.... (например) Все. Первый и последний раз упоминания об электронном замке. Про АПМДЗ вообще тишина. Если за этот месяц формулировка изменилась, то вопрос отпадает. Про их "групповую" связанность с сертификатами тоже уже разобрались.

Я хотел узнать логику этого всего (она ведь должна быть). У нас любая система защиты строится на основании модели угроз. Вот почему ПАКи (судя по всему исходя из модели угроз) не прикручены к АПМДЗ, а клиенты прикручены жестко(отсутствует возможность закрытия оргмерами, даже не смотря на модели угроз).

Метафорами попробую объясниться.

Вы говорите что Ваш автомобиль защитит целостность мозгапри аварии только если внутры вы будете сидеть в головном уборе(более расплывчатого понятия я не нашел) например шлем фирмы такой-то (вы даете разрешение на использование) . Вам говорят: в Вашем автомобиле будут ездить со скоростью 2 км/ч по прямой с ограждением дороги из пластика. Вы говорите - тогда сертификат аннулируется, следовательно использовать нельзя. Со стороны это выглядит как сговор автопроизводителя с владельцем определенной фирмы, производящей шлемы. При этом в правилах автомобиля написали "головной убор". Я- тот "умник", который пытается доказать, что по Вашим "например" на дороге с теми условиями (оргмерами) я могу кататься в бейсболке. )))))))) Ну и плюс этакий симбиоз производителей напрягает.

С уважением.

[Echo]

"Вот почему ПАКи (судя по всему исходя из модели угроз) не прикручены к АПМДЗ, а клиенты прикручены жестко(отсутствует возможность закрытия оргмерами, даже не смотря на модели угроз)". - потому, что ПАКи - это программно-АППАРАТНЫЕ комплексы, и требования, которые для программных продуктов, решаются замком, в ПАКах решаются фиксацией аппаратной платформы (и не только) которая также прописана в формуляре и ее изменения аннулируют соответствие изделия сертификату. Тоже будем говорить о сговоре?

И это как раз удача, могло бы получиться, что замок и в ПАКе требуется , Это - раз.

Про оргмеры уже писали, в правилах пользования есть ссылка, что замок можно заменить выполнением оргмер, но такое решение придется доказывать/согласовывать/обосновывать при проверке/проектировании/вводе в эксплуатацию информационной системы, лучше, все-таки, при проектировании ИС. ТО есть, если хотите - ваше дело, но бремя доказательств ложится на разработчика или владельца ИС. Это - два.

В конце концов, требования к СКЗИ выдвигает Регулятор, Заключение выдает Регулятор, а сертифицируемый продукт либо соответствует им, либо нет. Это - три.

Про метафоры, аллюзии и аллегории.... Представим ситуацию, в соответствии с которой ДПС требует от водителя ездить по дороге только пристегнутым, в обязательном порядке иметь в автомобиле аптечку, огнетушитель и знак аварийной остановки.

По Вашей логике можно сказать так: "Докажите мне необходимость пристегиваться, если я собираюсь ездить со скоростью 2 км/ч" по прямой дороге с ограждением из пластика" и "Требование покупать огнетушитель является сговором между ДПС и производителями оных". Про детские кресла и говорить не будем...

Доп аналогия: При покупке автомобиля он продается в комплекте с колесами, причем выбор определяет поставщик - и производителя и радиус и все остальное. Исходя из Вашей логики следует сразу заявить о сговоре производителей автомобиля и колес, да еще и ТТХ изменять нельзя. Кстати, на лючке бензобака зачем-то написаны указания какое давление должно быть в шинах, радиус, вынос - тоже ведь ограничение, да и октановое число зачем -то регламентировано...

А как Вы относитесь к требованию ездить днем с ближним светом?

Но так, действительно, можно продолжать до бесконечности.

Предлагаю всех заинтересованных в получении реальных рекомендаций по вопросам, связанным с правовыми аспектами применения ПО ViPNet в ИС, а также вопросов комплектации и соответствия требованиям законодательства, направлять вопросы мне в личку, по возможности, подробно и точно их описывая. А мы попробуем на их основе создать FAQ, либо отдельную ветку в форуме, куда, по мере поступления будем складывать ответы.

Вопрос в обратку: множество организаций как раз и занимаются проектированием средств защиты в ИС, соответственно, они знают какие требования есть, почему они такие, и что можно сделать, например, чтобы не ставить замок. А что говорят специалисты этих организаций?

[Alejandro]

Так я ж Вам писал. Система защиты строится на основании утвержденной модели угроз, которая строится исходя из ситуации. На основании этого и определяется что можно закрыть оргмерами, а что средствами защиты. НО средства защиты должны быть сертифицированными, а сертификат у Випнета будет только в случае исполнения с замком. Да я бы закрыл оргмерами, к примеру клиент в бункере стоит (16 этажей охраны), ну закрыт оргмерами этот канал, но без замка у випнета сертификата нет. Соответственно не взирая на орг меры для выполнения закона я должен устанавливать абсолютно ненужный (с точки зрения модели угроз) замок.