Андрей Петров, заместитель председателя ООО «ЦБИ»
Практический опыт, полученный ЦБИ в результате участия в работах по созданию полутора десятков СЦ органов государственной власти, свидетельствует о том, что в контексте обеспечения информационной безопасности СЦ обладают рядом специфических черт, позволяющих говорить о них как об особом виде автоматизированных систем. Во-первых, в большинстве информационных систем чем ближе пользователь находится к вершине административной пирамиды, тем больше полномочий по доступу к информационным ресурсам системы ему предоставляется. Для СЦ картина выглядит наоборот: чем большими административными полномочиями обладает пользователь, тем меньше прав по доступу к первичным данным, составляющим основной объем информационных ресурсов системы, ему реально необходимо. Такая специфика СЦ позволяет по-новому взглянуть на модель нарушителя в системе. Во-вторых, несмотря на многообразие и различие смыслового содержания исходной информации и методов ее накопления и обработки в различных СЦ, практически все СЦ используют ряд технических решений, определяющих набор характерных для СЦ актуальных угроз информации.
К таким технологиям относится прежде всего использование средств коллективного отображения информации, поступающей от различных источников различной степени конфиденциальности. При этом возникает угроза «перетекания» информации от источника более высокой степени конфиденциальности к источнику менее высокой степени конфиденциальности. Для нейтрализации данной угрозы применяются специальные технические средства защиты: переключатели или устройства однонаправленной передачи информации. При использовании переключателей информация от различных источников последовательно отображается на устройстве коллективного отображения. Если необходимо отображать информацию от нескольких источников одновременно, источники подключают к устройству коллективного отображения через устройства однонаправленной передачи по схеме «проводное ИЛИ».
Характерным для СЦ режимом работы является и последовательное проведение различных мероприятий, на которых могут обсуждаться различные по конфиденциальности вопросы с участием представителей организаций в качестве докладчиков или приглашенных лиц. Мультимедийная поддержка докладов обеспечивается предоставлением докладчикам автоматизированного рабочего места СЦ. Материалы докладов и презентаций представляются на электронных носителях, для их воспроизведения на АРМ докладчика может потребоваться установка дополнительного программного обеспечения. В этих условиях актуальной становится угроза повторного воспроизведения остаточной информации, ранее накопленной на АРМ докладчика в ходе предыдущих мероприятий. Для ее нейтрализации используются специализированные АРМ-шлюзы и средства уничтожения остаточной информации. Все упомянутые средства защиты информации разработаны и производятся ЦБИ.
И наконец, о том, о чем следует подумать, приступая к созданию СЦ органа государственной власти. СЦ – это не общедоступный информационный сервис. На основе результатов работы СЦ принимаются ответственные управленческие решения, зачастую в экстремальных условиях. Поэтому хранимая и обрабатываемая в СЦ информация должна быть защищена от несанкционированного воздействия и манипуляций в чьих-либо интересах. В соответствии со ст. 14 Федерального закона от 27.07.2006 № 149-ФЗ (ред. от 21.07.2014) «Об информации, информационных технологиях и о защите информации» технические средства, предназначенные для обработки информации, содержащейся в государственных информационных системах, в том числе программно-технические средства и средства защиты информации, должны отвечать требованиям законодательства Российской Федерации о техническом регулировании. В связи с этим разработчики СЦ должны взвешенно подходить к выбору программно-аппаратных платформ, сервисов, средств разработки бизнес-приложений и т. д., учитывая наличие для них средств защиты информации, сертификатов соответствия требованиям безопасности. Понятно, что это создает для разработчиков пользовательских приложений дополнительные сложности и ограничения, в частности в применении средств автоматизации разработки. Но трудности создания новых средств защиты информации и их последующая сертификация могут оказаться гораздо бóльшими.
Вообще, если говорить о создании Системы (П/Ж) ситуационных центров, то задача выбора унифицированного, экономически эффективного решения должна быть приоритетной для Межведомственной комиссии по координации деятельности федеральных органов исполнительной власти по созданию Системы распределенных ситуационных центров, работающих по единому регламенту взаимодействия.
