Обеспечение информационной безопасности

Задачами обеспечения безопасности информации, формируемой в ГИС, являются:

1) создание организационных и технических решений, обеспечивающих противодействие угрозам безопасности информации для серверного сегмента (открытого и закрытого контуров), ГИС, для сегментов привилегированных и непривилегированных пользователей ГИС;

2) обеспечение выполнения требований нормативных правовых актов по защите информации в государственных информационных системах, в том числе по защите персональных данных и информационных систем общего пользования;

3) организация процесса безопасной разработки программного обеспечения с использованием совокупности мер, направленных на предотвращение появления и устранение уязвимостей в процессах жизненного цикла программного обеспечения информационной системы, включающих проведение экспертизы исходного кода программного обеспечения и работы по выявлению (предотвращению) уязвимостей программного обеспечения, основанных на моделировании (имитации) действий потенциального нарушителя;

4) минимизация рисков нанесения (пресечение, нейтрализация, отражение) субъектам ПДн, интересы которых затрагиваются при использовании объекта защиты, материального ущерба, морального или иного случайного или преднамеренного вреда, а также ущемления их законных прав в результате нарушения заданных характеристик безопасности ПДн;

5) минимизация негативных последствий нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности).

Большинство задач по информационной безопасности может быть централизовано и унифицировано при сервис-ориентированном подходе к созданию ГИС. Задачи по управлению пользователями и их полномочиями в различных подсистемах или при доступе к различным наборам данных должны быть сосредоточены в рамках одного или нескольких ответственных лиц, обладающих полномочиями на их изменение, а предоставление доступа пользователям должно осуществляться через единую точку доступа. Для реализации указанной схемы необходимо рассмотреть возможность использования созданного и развиваемого Минцифры России инструмента для безопасной онлайн-идентификации (ЕСИА), цель которой упорядочить и централизовать процессы регистрации, идентификации, аутентификации и авторизации пользователей (физических и юридических лиц, органов государственной власти).

Помимо закрытой части информационных ресурсов ГИС предполагается создать наличие компонентов ее инфраструктуры, обращенных к неограниченному кругу пользователей сети "Интернет". Для защиты публичной части ГИС от недобросовестных пользователей, пытающихся нарушить ее работу, должны применяться специальные программно-аппаратные решения, также являющиеся общими для всей информационно-коммуникационной инфраструктуры и соответствующие "Требованиям о защите информации, содержащейся в информационных системах общего пользования", утвержденным приказом ФСБ России, ФСТЭК России от 31 августа 2010 г. N 416/489.

Для работы пользователей с ресурсами ГИС могут применяться автоматизированные рабочие места в различных исполнениях (ПЭВМ, моноблок, ноутбук), обеспечивающие возможность работы пользователей через веб-браузер по каналам связи сети "Интернет", защищенных с применением программных СКЗИ.

С учетом обстоятельств повышенной нагрузки на средства обеспечения безопасности информационных систем, в том числе с учетом повышенных кибератак, необходимым является выполнение требований ФСТЭК России, аналогичных требованиям, предъявляемым к органам власти, среди которых, в частности:

обновление программного обеспечения системы, включая программное обеспечение веб-приложений, веб-сервера, операционной системы веб-сервера, сервера баз данных, системы управления контентом, библиотек и другое используемое программное обеспечение, до актуальных версий, не содержащих уязвимостей, сведения о которых содержатся в банке данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru), а также в иных источниках, содержащих сведения об уязвимостях;

обеспечение безопасности процессов развертывания системы на серверах и администрирования Системы (в том числе удаление метаданных при экспорте веб-приложений, защита рабочих мест администраторов и разработчиков). При экспорте веб-приложений Системы из репозитория рекомендуется использовать механизмы, предотвращающие выгрузку метаданных, или удалять директории и файлы с метаданными после их выгрузки;

обеспечение поддержки системой соединения с применением защищенных протоколов сетевого взаимодействия (HTTPS, SSH и другие протоколы). Рекомендуется использовать только актуальные версии таких протоколов. Не рекомендуется использовать ссылки на сайты с заголовками HTTP даже в теле страниц веб-приложения, поскольку при переходе по такой ссылке есть риск перехвата файлов cookie пользователей;

обеспечение фильтрации сетевого трафика с целью исключения возможности подключения внешних пользователей к TCP-интерфейсам систем управления базами данных и интерфейсам удаленного управления компонентами системы. Рекомендуется оставлять доступными для подключения внешних пользователей только веб-интерфейсы 443/TCP (HTTPS) и 80/TCP (с принудительным перенаправлением на порт 443/TCP с HTTPS);

обеспечение фильтрации трафика прикладного уровня с применением средств межсетевого экранирования уровня приложения (web application firewall (WAF), установленных в режим противодействия атакам;

обеспечение устойчивости системы к распределенным атакам, направленным на отказ в обслуживании (DDoS-атакам), с использованием средств защиты от DDoS-атак, реализация защиты и мониторинга DNS серверов, отвечающих за делегирование доменного имени системы;

реализация мониторинга событий безопасности системы, включая мониторинг показателей нагрузки на вычислительные мощности системы, и ведение журналов регистрации событий безопасности;

обеспечение проверки форм, которые могут отправлять и принимать запросы (комментарии, поиск, обратная связь), на наличие уязвимостей межсайтового скриптинга (xss-уязвимостей). В обязательном порядке необходимо проверять все URL, где возможна отправка данных со стороны пользователя (формы комментариев, обратная связь, поиск). Для нейтрализации уязвимостей межсайтового скриптинга необходимо реализовать кодирование входных данных и управляющих HTML-символов, JavaScript, CSS и URL перед отображением в браузере;

исключение возможности применения сервисов подсчета сбора данных о посетителях, сервисов предоставления информации о месторасположении и иных сервисов, разработанных иностранными организациями (например, ReCAPTCHA, YouTube, Google Analytics, Google Maps, Google Translate);

исключение возможности использования встроенных видео- и аудиофайлов, интерфейсов взаимодействия API, "виджетов" и других ресурсов, загружаемых со сторонних сайтов, с заменой их при необходимости гиперссылкой на такие ресурсы;

исключение применения символов переопределения Unicode Bidi (Unicode Bidirectional Algoritm) в комментариях и строках программного кода.