Определить класс СКЗИ

Шесть вопросов — нужны ли средства криптографической защиты и какого класса, по Приказу ФСБ России от 10.07.2014 № 378. Без регистрации.

Из чего складывается класс

Приказ ФСБ России от 10.07.2014 № 378 отвечает на два вопроса последовательно, и первый важнее второго.

Нужны ли криптосредства вообще. Они применяются, когда персональные данные передаются по каналам связи, выходящим за пределы контролируемой зоны. Обоснование «у нас нет интернета» ненадёжно: данные могут не покидать организацию, но пересекать границу зоны между площадками — и наоборот, изолированная система внутри одного помещения криптосредств не требует.

Какого класса. Итоговое требование — больший из двух классов: базового и класса по модели крипто-нарушителя. Базовый берётся по связке «уровень защищённости + тип актуальных угроз», второй — по тому, где нарушитель может находиться и до чего дотянуться.

Три класса и что за ними стоит

Речь всюду об атаках на сами криптосредства, а не на защищаемую информацию. Внутренние нарушители из модели угроз — пользователи и администраторы — при КС1 не отрицаются: они пользователи СКЗИ либо контролируются в зоне их размещения.

Три ошибки, из-за которых класс получается неверным

1. Считают, что СКЗИ нужны всем. Первый вопрос приказа — пересекают ли данные границу контролируемой зоны. Пока не пересекают, класс определять не из чего.
2. Забывают про ноутбуки. Средство с установленным криптосредством, уезжающее из офиса, поднимает класс до КС3 при любом уровне защищённости.
3. Берут класс «по уровню» и останавливаются. Базовый класс — только половина ответа; вторая половина — предположение о нарушителе, которое оператор принимает и обосновывает сам (п. 9).

Вопросы и ответы

Когда средства криптографической защиты обязательны

Когда персональные данные передаются по каналам связи, выходящим за пределы контролируемой зоны. Если данные границу зоны не пересекают, Приказ ФСБ России от 10.07.2014 № 378 применения криптосредств не требует — обосновывать надо не отсутствие интернета, а отсутствие пересечения границы.

Чем классы КС1, КС2 и КС3 отличаются друг от друга

Возможностями нарушителя, атакующего сами криптосредства. КС1 — атаки готовятся и проводятся за пределами контролируемой зоны; КС2 — нарушитель может находиться внутри зоны, но без физического доступа к технике с установленными СКЗИ; КС3 — такой доступ у него есть (пп. 10-12 Приказа № 378).

Как получается итоговый класс

Берётся больший из двух: базового — по связке «уровень защищённости и тип актуальных угроз» — и класса по модели крипто-нарушителя. Поэтому организация с УЗ-4 может получить КС3, если ноутбуки с криптосредствами уезжают за пределы зоны.

Кто решает, находится ли нарушитель внутри контролируемой зоны

Оператор. Это предположение, которое он принимает и обосновывает (п. 9 Приказа № 378), а не факт состава системы. Речь при этом об атаках на сами СКЗИ: собственные пользователи и администраторы при КС1 не отрицаются — они пользователи криптосредств либо контролируются организационными мерами.

Что такое контролируемая зона

Пространство, в котором исключено неконтролируемое пребывание посторонних: помещения оператора, здание, охраняемая территория. Канал между двумя площадками через город границу зоны пересекает, даже если обе площадки принадлежат одному оператору.

Обязательно ли покупать сертифицированное средство

Класс — это требование к средству, которое применяется для защиты персональных данных. Если криптосредства нужны, применяются прошедшие процедуру оценки соответствия; средство более низкого класса требование не закрывает, более высокого — закрывает.

Что дальше

• Класс СКЗИ по Приказу ФСБ № 378 — разбор нормы целиком.
• Калькулятор уровня защищённости — величина, от которой считается базовый класс.
• Модель угроз — документ, в котором обосновывается модель нарушителя.
• Приказ ФСТЭК № 21 — меры защиты, среди которых применение криптосредств.