Рубрика «информационная безопасность»

В России хотят создать мегарегулятора информационной безопасности, взяв пример с США

Ваш отзыв
В рамках реализации программы «Цифровая экономика» предлагается определить единый госорган, ответственный за требования к средствам информационной безопасности. Это должно ускорить выход новых продуктов на рынок, но эксперты сомневаются, что кто-то из двух существующих регуляторов — ФСБ и ФСТЭК — захотят поделиться своими полномочиями.

Единый регулятор для средств информационной безопасности

Проект плана мероприятий разработанной по распоряжению Президента России Владимира Путинапрограммы «Цифровая экономика» по разделу «Информационная безопасность» предлагает назначить единый государственный орган, ответственный за гармонизацию требований к информационной безопасности.

Гармонизация требований государственных и добровольных систем сертификации средств информационной безопасности и раскрытие этих требований предусмотрены проектом плана мероприятий раздела «Информационная безопасность». Этот раздел программы «Цифровая экономика» разработан Сбербанком.

В настоящее время вопросами лицензирования и сертификации в сфере информационной безопасности занимаются два ведомства: Федеральная служба технического и экспортного контроля (ФСТЭК) и Федеральная служба безопасности (ФСБ) в лице Центра по лицензированию, сертификации и защите и государственной тайны.

ФСТЭК занимается регулированием средств защиты информации (СЗИ), использующих некриптографические методы, а также противодействию иностранным техническим разведкам и экспортным контролям.

ФСБ в лице Центра по лицензированию и сертификации регулирует разработку и распространение средств криптографической информации (СкЗИ), а также работы по защите информации, содержащей гостайну, и оборот специальных технических средств для негласного получения информации.

Брать пример с Америки

Как отмечается в плане мероприятий программы «Цифровая экономика» по разделу «Информационная безопасность», современные средства защиты информации носят комплексный характер и попадают под действие сразу обоих систем сертификации: ФСБ и ФСТЭК. Частично требования этих систем сертификации пересекаются: например, в части проверок на отсутствие незадокументированных возможностей, общих требований безопасности аппаратных платформ и операционных систем и пр.

«В настоящее время приходится дважды проводить по сути одни и те же проверки в разных системах сертификации, что приводит к увеличению сроков и стоимости сертификации продуктов в целом, что сказывается на динамике вывода новой продукции на рынок, — сетуют авторы документа. — В среднем такая комплексная сертификация занимает от одного до двух лет».

В качестве «хорошего примера» по гармонизации требований в области информационной безопасности авторы документа приводят американский Национальный институт стандартов и технологий (NIST), отвечающий за выпуск всех требований в области ИБ в США. Европейские же стандарты в области ИБ зачастую ссылаются на документы NIST или попросту их копируют.

Определение единого органа, ответственного за гармонизацию систем сертификации в сфере ИБ, вместе с гармонизаций самих систем сертификации, исключением дублирования и открытие установленных требований должны уменьшить для вендоров время и затраты на сертификацию.

Спецслужбы не хотят делиться информацией друг с другом

Впрочем, опрошенные CNews эксперты и участники рынка информационной безопасности сомневаются в реалистично реализации данной инициативы. «Для определения единого госоргана в области требований к информационной безопасности кому-то — или ФСБ, или ФСТЭК — придется поделиться полномочиями, а никто из них этого не захочет делать», — говорят собеседники издания.

Топ-менеджер одной из ИБ-компаний вообще считает существующую систему регулирования в данной сфере логичной. «ФСТЭК занимается лицензированием деятельности по Защиты информации и сертификацией СЗИ, а если организации требуется криптография по ГОСТ или высокие классы защиты, тогда ей необходим сертификат ФСБ» — говорит собеседник издания.

Господдержка технических комитетов по информационной безопасности

Другое предлагаемое мероприятие в данной сфере — это государственная поддержка технических комитетов по направлению информационной безопасности. Сейчас деятельность таких комитетов осуществляется почти на общественных началах за счет средств компаний-экспертов.

«Это нормальная практика для развитого зарубежного рынка информационной безопасности, где масштаб компаний-экспертов и их финансовые возможности не сравнимы ни с одной российской компанией, — указывают авторы документа. — Для российских компаний, участников рынка ИБ, такая деятельность на постоянной основе оказывается серьезной финансовой нагрузкой. Участие в международных комитетах не является системным, не позволяет эффективно отстаивать интересы России на уровне государства».

Дифференциация требований к система защиты информации

Кроме того, предлагается создание системы добровольного декларирования уровня безопасности продуктов и услуг ИТК — Декларации информационной безопасности. Для этого необходимо создать положение о саморегулируемых организациях (СРО), действующих в сфере производства товаров и услуг в области информационной безопасности. К 2020 г. должно появиться три соответствующих СРО.

В рамках данного мероприятия предлагается разработать и внедрить дифференцируемый подход к требованиям к криптосредствам и другим СЗИ. Средства защиты информации для негосударственных систем, в том числе для интернета вещей, по своим требованиям должны отличаться от требованиям к средствам защиты информации для государственных информационных систем и и информационных систем персональных данных.

Также предлагается вырабатывать набор требований регуляторов к СКЗИ и СЗИ для негосударственных нужд и интернета вещей на основе методологии Common Criteria for Information Technology Security Evaluation — российского и международного стандарта по компьютерной безопасности. Это позволит распространить гармонизированный набор требований к средствам защиты информации на более широкий круг стран и больший спектр товаров и услуг.

Источник

Читать полностью »

Possibly Related Posts:


АНБ теряет контроль над кибероружием

Ваш отзыв

 

Газета The New York Times, пообщавшись с рядом бывших и нынешних сотрудников АНБ, пришла к выводу, что ведомство не может встать на ноги после кражи его хакерских инструментов в 2016 г. Собственные хакеры агентства уходят из него на большие зарплаты, а шпиона, через которого утекли программные коды, до сих пор не нашли.

Катастрофа в АНБ

Агентство национальной безопасности (АНБ) никак не может оправиться от удара, который нанесла ему хакерская группировка Shadow Brokers, укравшая в 2016 г. исходные коды хакерских инструментов ведомства. В августе 2016 г. хакеры начали публиковать эти коды, что нанесло большой ущерб разведывательному и кибернетическому потенциалу АНБ, сообщил бывший министр обороны США Леон Панетта(Leon Panetta) изданию The New York Times.

АНБ уже 15 месяцев занимается расследованием инцидента, однако до сих пор не может с уверенностью сказать, была ли это хакерская операция иностранных специалистов, или внутренняя утечка, или и то, и другое. К расследованию привлечено контрразведывательное подразделение АНБ Q Group и Федеральное бюро расследований (ФБР). С 2015 г. три сотрудника АНБ были арестованы за то, что вынесли из офиса засекреченные данные, но в ведомстве опасаются, что в штате есть и до сих пор не раскрытые шпионы.

Эти опасения подтвердил The New York Times бывший сотрудник киберподразделения АНБ Джейк Уильямс(Jake Williams), описавший, как в апреле 2017 г. представитель Shadow Brokers пообщался с ним в соцсети Twitter. Неизвестный хакер не только знал, кто такой Уильямс, но и упоминал технические детали хакерских операций АНБ, которые были известны лишь некоторым коллегам Уильямса по подразделению.

Читать полностью »

Possibly Related Posts:


«Сканер-ВС» прошел очередной инспекционный контроль в системе сертификации ФСТЭК России!

Ваш отзыв

Универсальный инструмент для решения широкого спектра задач по тестированию и анализу защищенности информационных систем, а также контроля эффективности средств защиты информации «Сканер-ВС» успешно прошел инспекционный контроль в системе сертификации ФСТЭК России.

В рамках очередного обновления продукта в «Сканер-ВС» появился единый веб-интерфейс для проведения комплексного анализа защищенности.  Теперь все задачи тестирования защищенности сгруппированы по ключевым фазам типового проекта:

  • поиск целей: выявление узлов и сетевых сервисов;
  • поиск уязвимостей: выявление уязвимостей в сетевых сервисах;
  • эксплуатация: подбор паролей и поиск подходящих эксплойтов.

Читать полностью »

Possibly Related Posts:


Продлен аттестат аккредитации испытательной лаборатории ФСБ России!

Ваш отзыв

В очередной раз продлен аттестат аккредитации ФСБ России испытательной лаборатории НПО «Эшелон».

НПО «Эшелон» аккредитовано в качестве испытательной лаборатории в системах сертификации ФСБ России, ФСТЭК России, Минобороны России, в ряде систем добровольной сертификации, а также является органом по сертификации ФСТЭК России.

За последние несколько лет сотрудники испытательной лаборатории НПО «Эшелон» участвовали в сертификации более 1000 продуктов ведущих российских и зарубежных производителей: «Доктор Веб», «Лаборатория Касперского», «Код безопасности», «РусБИТех» «Анкад», Amdocs Limited, Astaro AG, Avaya Inc., Check Point Software Technologies Ltd., Cisco Systems, Inc., ESET, Esri, Fox-IT, Huawei Technologies Co. Ltd, IBM,  Microsoft Corporation, Nortel Networks Corporation, OpenText Corporation, Oracle Corporation, Polycom, SAP, Saperion AG, Siemens AG, Symantec Corporation, Trend Micro Inc. и др.

Эксперты испытательной лаборатории НПО «Эшелон» являются авторами множества публикаций и книг в области ИТ и ИБ, состоят в редколлегиях и оргкомитетах ряда журналов и конференций и делятся своим опытом на курсах учебного центра «Эшелон».

Possibly Related Posts:


Первая специальная экспертиза Аттестационного центра АО «НПО «Эшелон»!

Ваш отзыв

17 мая 2017 г. АО «НПО «Эшелон» получило официальный статус Аттестационного центра ФСТЭК России (лицензия рег. № 2030) в части проведения специальных экспертиз организаций-соискателей лицензий ФСТЭК России:

  • на проведение работ, связанных с созданием средств защиты информации;
  • на осуществление мероприятий и (или) оказание услуг в области защиты государственной тайны (в части технической защиты информации);
  • осуществление мероприятий и (или) оказание услуг в области защиты государственной тайны (в части противодействия иностранным техническим разведкам).

В августе этого года сотрудники НПО «Эшелон» успешно провели первую специальную экспертизу организации-соискателя лицензии на проведение работ, связанных с созданием средств защиты информации в качестве Аттестационного центра ФСТЭК России.

В настоящее время на базе НПО «Эшелон» создано два Аттестационных центра – Минобороны и ФСТЭК России. У нашей компании более чем десятилетний опыт проведения специальных экспертиз соискателей лицензии в области создания средств защиты информации. Специалисты НПО «Эшелон» проводят в среднем 30 специальных экспертиз в год на всей территории Российской Федерации, в том числе в таких городах, как Санкт-Петербург, Красноярск, Пенза, Екатеринбург, Курск, Казань и т.д.

Сотрудники ГК «Эшелон» консультируют по поводу получения лицензий ФСТЭК России на деятельность по разработке и производству средств защиты конфиденциальной информации и на деятельность по технической защите конфиденциальной информации, в том числе по поводу переоформлении лицензии в связи с расширением на пункт «мониторинг информационной безопасности».

Possibly Related Posts: