استخدام التشفير في الشركات الروسية. إدخال تدابير التشفير في أنظمة حماية البيانات الشخصية

تختلف أدوات حماية معلومات التشفير من فئتي الأمان KS2 وKS1 وفقًا لمتطلبات FSB في روسيا في القدرات الفعلية لمصادر الهجوم والتدابير المتخذة لمواجهة الهجمات.

1. القدرات الحالية لمصادر الهجوم

يتم استخدام أدوات حماية معلومات التشفير (CIPF) من الفئة KS1 عندما تكون القدرات الحالية لمصادر الهجوم موجودة، أي لإنشاء أساليب الهجوم بشكل مستقل، وإعداد الهجمات وتنفيذها فقط خارج المنطقة الخاضعة للسيطرة.

يتم استخدام فئة CIPF KS2 عندما تكون الإمكانات الحالية لمصادر الهجوم:

إنشاء أساليب الهجوم بشكل مستقل، والتحضير وتنفيذ الهجمات خارج المنطقة الخاضعة للسيطرة فقط؛
إنشاء أساليب الهجوم بشكل مستقل، وإعداد وتنفيذ الهجمات داخل المنطقة الخاضعة للسيطرة، ولكن دون الوصول الفعلي إلى الأجهزة التي يتم تطبيق CIPF وبيئة التشغيل الخاصة بها (SF) عليها.

وبالتالي، تختلف فئة CIPF KS2 عن KS1 من حيث تحييد مصادر الهجوم، وإنشاء أساليب الهجوم بشكل مستقل، وإعداد وتنفيذ الهجمات داخل المنطقة الخاضعة للسيطرة، ولكن دون الوصول المادي إلى الأجهزة التي يتم تنفيذ CIPF وIP عليها.

2. خيارات تنفيذ فئات الحماية CIPF KS3 وKS2 وKS1

الخيار 1، هذا هو برنامج CIPF الأساسي الذي يوفر فئة الحماية KS1.

الخيار 2 هو CIPF من الفئة KS2، ويتكون من CIPF أساسي من الفئة KS1 مع وحدة تحميل موثوقة معتمدة للبرامج والأجهزة (APMDZ).

الخيار 3 هو فئة CIPF KS3، ويتكون من فئة CIPF KS2 مع برنامج متخصص لإنشاء بيئة برمجية مغلقة والتحكم فيها.

وبالتالي، يختلف برنامج CIPF فئة KS2 عن KS1 فقط في إضافة APMDZ المعتمد إلى فئة CIPF KS1. الفرق بين فئة CIPF KS3 والفئة KS1 هو استخدام فئة CIPF KS1 بالتزامن مع APMDZ المعتمد والبرامج المتخصصة لإنشاء بيئة برمجية مغلقة والتحكم فيها. والفرق أيضًا بين فئة CIPF KS3 والفئة KS2 هو استخدام فئة CIPF KS2 مع البرامج المتخصصة لإنشاء بيئة برمجية مغلقة والتحكم فيها.

3. تدابير لمواجهة الهجمات

لا تطبق فئة CIPF KS2 تدابير للهجمات المضادة، والتي تكون إلزامية عند تشغيل فئة CIPF KS1، وهي:

تمت الموافقة على قائمة الأشخاص الذين يحق لهم الوصول إلى المبنى؛
تمت الموافقة على قائمة الأشخاص الذين يحق لهم الوصول إلى المباني التي توجد بها أنظمة حماية معلومات التشفير؛
تمت الموافقة على قواعد الوصول إلى المباني التي توجد بها أنظمة حماية المعلومات المشفرة أثناء ساعات العمل وغير ساعات العمل، وكذلك في حالات الطوارئ؛
يتم توفير الوصول إلى المنطقة والمباني الخاضعة للرقابة حيث توجد أنظمة معلومات البيانات الشخصية (PDIS) و/أو موارد CIPF وفقًا لنظام التحكم في الوصول؛
المعلومات حول التدابير المادية لحماية المرافق التي توجد بها أنظمة المعلومات متاحة لعدد محدود من الموظفين؛
يتم تخزين الوثائق الخاصة بـ CIPF بواسطة الشخص المسؤول عن CIPF في خزانة معدنية (خزانة)؛
المباني التي توجد بها وثائق مكونات CIPF وCIPF وSF مجهزة بأبواب مدخل بأقفال، مما يضمن إغلاق أبواب المبنى بشكل دائم وعدم فتحها إلا للمرور المصرح به؛
ممثلو الخدمات الفنية والصيانة وخدمات الدعم الأخرى عند العمل في المباني (الرفوف) التي يوجد بها CIPF، والموظفون الذين ليسوا من مستخدمي CIPF، يتواجدون في هذه المباني فقط بحضور موظفي التشغيل؛
يتم إبلاغ الموظفين الذين يستخدمون ISPD، ولكنهم ليسوا مستخدمين لـ CIPF، بقواعد العمل في ISPD والمسؤولية عن عدم الامتثال لقواعد أمن المعلومات؛
يتم إعلام مستخدمي CIPF بقواعد العمل في ISDN، وقواعد العمل مع CIPF والمسؤولية عن عدم الامتثال لقواعد أمن المعلومات؛
يتم تسجيل ومحاسبة إجراءات المستخدم مع البيانات الشخصية؛
يتم مراقبة سلامة وسائل أمن المعلومات.

منذ ما يزيد قليلاً عن عقدين من الزمن، كان التشفير في روسيا يتمتع تقريبًا بنفس مستوى السرية الذي تتمتع به تكنولوجيا إنتاج الأسلحة - وكان تطبيقه العملي حكرًا على الأجهزة العسكرية والاستخباراتية، أي أنه كان خاضعًا لسيطرة الدولة بالكامل. لم يكن من الممكن العثور على أي منشورات أو أعمال علمية حول هذه المسألة في المجال العام - تم إغلاق موضوع التشفير.

لقد تغير الوضع فقط في عام 1990، عندما تم تقديم معيار التشفير GOST 28147-89. في البداية، تم تصنيف الخوارزمية على أنها DSP وأصبحت رسميًا "مفتوحة بالكامل" فقط في عام 1994.

من الصعب أن نقول بالضبط متى حدث اختراق معلوماتي في التشفير المحلي. على الأرجح، حدث هذا مع ظهور الوصول إلى الإنترنت من قبل عامة الناس، وبعد ذلك بدأ نشر العديد من المواد التي تحتوي على أوصاف لخوارزميات وبروتوكولات التشفير، ومقالات حول تحليل التشفير وغيرها من المعلومات المتعلقة بالتشفير على الإنترنت.

في ظل الظروف الحالية، لم يعد من الممكن أن يظل التشفير من اختصاص الدولة وحدها. بالإضافة إلى ذلك، أدى تطور تكنولوجيا المعلومات والاتصالات إلى ظهور حاجة لاستخدام وسائل حماية التشفير من قبل الشركات والمنظمات التجارية.

اليوم ل وسائل حماية المعلومات التشفير(رابطة الدول المستقلة) تشمل: أدوات التشفير، أدوات الحماية من التقليد، أدوات التوقيع الرقمي الإلكتروني، أدوات الترميز، أدوات إنتاج المستندات الرئيسيةوأنفسهم الوثائق الرئيسية.

حماية أنظمة معلومات البيانات الشخصية؛
حماية المعلومات السرية للشركة؛
تشفير البريد الإلكتروني للشركات؛
إنشاء والتحقق من التوقيعات الرقمية.

استخدام التشفير وCIPF في الشركات الروسية

1. إدخال العملات المشفرة في أنظمة حماية البيانات الشخصية

ترتبط أنشطة أي شركة روسية تقريبًا اليوم بتخزين ومعالجة البيانات الشخصية (PD) من مختلف الفئات، والتي تطرح تشريعات الاتحاد الروسي عددًا من المتطلبات لحمايتها. ولتحقيقها، تواجه إدارة الشركة، أولاً وقبل كل شيء، الحاجة إلى التشكيل نماذج التهديدالبيانات الشخصية والتطورات المبنية عليها أنظمة حماية البيانات الشخصية، والتي يجب أن تتضمن وسيلة لحماية معلومات التشفير.

تم طرح المتطلبات التالية لـ CIPF المطبقة في نظام حماية البيانات الشخصية:

يجب أن تعمل أداة التشفير بشكل صحيح مع الأجهزة والبرامج التي يمكن أن تؤثر على تلبية المتطلبات الخاصة بها.
لضمان أمان البيانات الشخصية أثناء معالجتها، يجب استخدام العملات المشفرة المعتمدة في نظام شهادات FSB في روسيا.

يمكن تصنيف أداة التشفير، اعتمادًا على مستوى الحماية التي توفرها، إلى واحدة من ست فئات (KS1، KS2، KS3، KB1، KB2، KA1). يتم تحديد إدخال أداة تشفير من فئة أو أخرى مع نظام الأمان بواسطة فئة الجاني(موضوع الهجوم)، والذي يحدده المشغل في نموذج التهديد.

وبالتالي، يتم الآن استخدام أدوات حماية التشفير بشكل فعال من قبل الشركات والمنظمات لحماية البيانات الشخصية للمواطنين الروس وهي أحد أهم المكونات في أنظمة حماية البيانات الشخصية.

2. حماية معلومات الشركة

إذا تم تحديد استخدام وسائل التشفير في الفقرة 1، أولاً وقبل كل شيء، وفقًا لمتطلبات تشريعات الاتحاد الروسي، ففي هذه الحالة تكون إدارة الشركة نفسها مهتمة باستخدام حماية معلومات التشفير. باستخدام أداة التشفير، تكون الشركة قادرة على حماية معلومات الشركة الخاصة بها - المعلومات التي تمثل سرًا تجاريًا وملكية فكرية ومعلومات تشغيلية وتقنية وما إلى ذلك.

اليوم، للاستخدام الفعال في بيئة الشركة، يجب أن يوفر برنامج التشفير ما يلي:

تشفير البيانات على خادم بعيد؛
دعم التشفير غير المتماثل؛
تشفير شفاف؛
تشفير مجلدات الشبكة؛
القدرة على التمييز بين حقوق الوصول إلى المعلومات السرية بين موظفي الشركة؛
قدرة الموظفين على تخزين المفاتيح الخاصة على وسائط التخزين الخارجية (الرموز المميزة).

لذا، فإن التطبيق الثاني لـ CIPF هو حماية معلومات الشركة السرية. يمكن لأداة التشفير التي تدعم القدرات المذكورة أعلاه أن توفر حماية موثوقة إلى حد ما، ولكن يجب بالتأكيد استخدامها كمكون نهج متكامللحماية المعلومات. يتضمن هذا النهج بالإضافة إلى ذلك استخدام جدران الحماية ومضادات الفيروسات وجدران الحماية، ويتضمن أيضًا تطوير نموذج تهديد أمن المعلومات، ووضع سياسات أمن المعلومات اللازمة، وتعيين المسؤولين عن أمن المعلومات، والتحكم في تدفق المستندات الإلكترونية، والتحكم ومراقبة أنشطة الموظفين، الخ.

3. التوقيع الإلكتروني

يعد التوقيع الإلكتروني (ES) اليوم بمثابة نظير كامل للتوقيع المكتوب بخط اليد ويمكن استخدامه من قبل الكيانات القانونية والأفراد لتقديم مستند بتنسيق رقمي له قوة قانونية. يؤدي استخدام التوقيعات الإلكترونية في أنظمة إدارة المستندات الإلكترونية إلى زيادة سرعة إتمام المعاملات التجارية بشكل كبير، وتقليل حجم المستندات المحاسبية الورقية، وتوفير وقت الموظف. بالإضافة إلى ذلك، فإن التوقيع الإلكتروني يقلل من تكاليف الشركة لإبرام العقود ومعالجة مستندات الدفع والحصول على الشهادات المختلفة من الجهات الحكومية وغير ذلك الكثير.

تتضمن أدوات حماية التشفير، كقاعدة عامة، وظائف لإنشاء التوقيعات الإلكترونية والتحقق منها. ويطرح التشريع الروسي المتطلبات التالية لمثل هذا CIPF:

عند إنشاء التوقيع الإلكتروني، يجب عليهم:

أن يبين للشخص الموقع على المستند الإلكتروني محتويات المعلومات التي يوقعها.
إنشاء توقيع إلكتروني فقط بعد تأكيد الشخص الموقع على الوثيقة الإلكترونية لعملية إنشاء توقيع إلكتروني؛
تظهر بوضوح أنه تم إنشاء التوقيع الإلكتروني.

عند التحقق من التوقيع الإلكتروني يجب عليهم:

إظهار محتويات مستند إلكتروني موقع بالتوقيع الإلكتروني؛
عرض معلومات حول التغييرات التي تم إجراؤها على المستند الإلكتروني الموقع؛
قم بالإشارة إلى الشخص الذي يستخدم مفتاح التوقيع الرقمي الذي تم توقيع المستندات الإلكترونية عليه.

4. تشفير البريد الإلكتروني

بالنسبة لمعظم الشركات، يعد البريد الإلكتروني هو وسيلة التواصل الرئيسية بين الموظفين. ليس سرا أنه يتم اليوم إرسال كمية هائلة من المعلومات السرية عبر البريد الإلكتروني للشركة: العقود، والفواتير، ومعلومات حول منتجات الشركة وسياسات التسعير، والمؤشرات المالية، وما إلى ذلك. وإذا أصبحت هذه المعلومات متاحة للمنافسين، فقد يؤدي ذلك إلى إلحاق ضرر كبير بالشركة. الشركة حتى انتهاء نشاطها.

لذلك، تعد حماية البريد الإلكتروني للشركة عنصرًا مهمًا للغاية في ضمان أمن معلومات الشركة، والذي يصبح تنفيذه ممكنًا أيضًا من خلال استخدام أدوات التشفير والتشفير.

معظم عملاء البريد الإلكتروني مثل التوقعات، كيندربيرد، الخفاش!وما إلى ذلك، تسمح لك بتكوين تبادل الرسائل المشفرة بناءً على شهادات المفاتيح العامة والخاصة (الشهادات بتنسيقات X.509 وPKCS#12، على التوالي)، التي تم إنشاؤها باستخدام أدوات حماية التشفير.

ومن الجدير بالذكر هنا أيضًا قدرة أدوات التشفير على العمل كسلطات تصديق (CA). الغرض الرئيسي من المرجع المصدق هو إصدار شهادات التشفير والتأكد من صحة مفاتيح التشفير. وفقًا للتشريع الروسي، يتم تقسيم المراجع المصدقة إلى فئات (KS1، وKS2، وKS3، وKB1، وKB2، وKA1)، ولكل منها عدد من المتطلبات. وفي الوقت نفسه، يجب ألا تكون فئة CIPF المستخدمة في أدوات CA أقل من فئة CA المقابلة.

باستخدام CyberSafe المؤسسة

عند تطوير برنامج CyberSafe Enterprise، حاولنا مراعاة جميع الميزات الموضحة أعلاه، بما في ذلك المجموعة الوظيفية للبرنامج. وبالتالي، فهو يدعم الوظائف المذكورة في الفقرة 2 من هذه المقالة، وتشفير البريد الإلكتروني، وإنشاء التوقيعات الرقمية والتحقق منها، بالإضافة إلى العمل كمرجع مصدق.

التوفر في CyberSafe خوادم المفاتيح العامةيسمح للشركات بتنظيم تبادل مناسب للمفاتيح بين موظفيها، حيث يمكن لكل منهم نشر مفتاحه العام، وكذلك تنزيل المفاتيح العامة للمستخدمين الآخرين.

بعد ذلك، سنتناول بمزيد من التفصيل إمكانية إدخال CyberSafe Enterprise في أنظمة حماية البيانات الشخصية. تتوفر هذه الفرصة بفضل دعم برنامج cryptoprovider CryptoPro CSP، المعتمد من قبل FSB في الاتحاد الروسي باعتباره CIPF من الفئات KS1 وKS2 وKS3 (حسب الإصدار) والمحدد في البند 5.1 "توصيات منهجية لضمان أمن البيانات الشخصية باستخدام وسائل التشفير":

"يتم تضمين الأصول المشفرة من فئة KS1 وKS2 دون سيطرة من قبل FSB في روسيا (إذا لم يتم النص على هذا التحكم في المواصفات الفنية لتطوير (تحديث) نظام المعلومات)."

وبالتالي، نظرًا لوجود CIPF CryptoPro CSP مدمج، يمكن استخدام برنامج CyberSafe Enterprise في نظام حماية البيانات الشخصية من الفئتين KS1 وKS2.

بعد تثبيت CryptoPro CSP على كمبيوتر المستخدم، عند إنشاء شهادة في CyberSafe Enterprise، سيكون من الممكن إنشاء شهادة CryptoPRO:

بعد اكتمال إنشاء شهادة CyberSafe، يتم أيضًا إنشاء مفاتيح CryptoPRO وعرضها على الحزمة الخاصة بك وتكون متاحة للاستخدام:

إذا كانت هناك حاجة لتصدير مفاتيح CryptoPro إلى ملف منفصل، فيمكن القيام بذلك من خلال وظيفة تصدير مفتاح CyberSafe القياسية:

إذا كنت تريد تشفير الملفات لنقلها إلى مستخدمين آخرين (أو توقيعها باستخدام توقيعك الرقمي) واستخدام مفاتيح CryptoPro لهذا الغرض، فيجب عليك تحديد CryptoPro من قائمة موفري التشفير المتاحين:

إذا كنت تريد استخدام مفاتيح CryptoPro لتشفير الملفات بشكل شفاف، فيجب عليك أيضًا تحديد CryptoPro كموفر تشفير في نافذة تحديد الشهادة:

في CyberSafe، من الممكن استخدام CryptoPRO وخوارزمية GOST لتشفير محركات الأقراص/الأقسام المنطقية وإنشاء محركات أقراص مشفرة افتراضية:

وأيضًا، استنادًا إلى شهادات CryptoPro، يمكن تكوين تشفير البريد الإلكتروني. في KriptoPro CSP، يتم تنفيذ خوارزميات إنشاء التوقيعات الإلكترونية والتحقق منها وفقًا لمتطلبات معيار GOST R 34.10-2012، ويتم تنفيذ خوارزمية تشفير/فك تشفير البيانات وفقًا لمتطلبات معيار GOST 28147-89.

حتى الآن، يعد CyberSafe البرنامج الوحيد الذي يجمع بين وظائف تشفير الملفات ومجلدات الشبكة ومحركات الأقراص المنطقية والبريد الإلكتروني والقدرة على العمل كمرجع مصدق مع دعم معايير التشفير GOST 28147-89 وGOST R 34.10-2012.

توثيق:

1. القانون الاتحادي "بشأن البيانات الشخصية" بتاريخ 27 يوليو 2006 رقم 152-FZ.
2. اللوائح المتعلقة بضمان أمان البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية، المعتمدة بموجب مرسوم حكومة الاتحاد الروسي بتاريخ 17 نوفمبر 2007 رقم 781.
3. توصيات منهجية لضمان أمن البيانات الشخصية باستخدام أدوات التشفير عند معالجتها في أنظمة معلومات البيانات الشخصية باستخدام أدوات الأتمتة، التي وافقت عليها إدارة المركز الثامن لجهاز الأمن الفيدرالي في روسيا في 21 فبراير 2008 رقم 149/54- 144.
4. اللوائح الخاصة بتطوير وإنتاج وبيع وتشغيل وسائل التشفير (التشفير) لأمن المعلومات، تمت الموافقة عليها بأمر من مجلس الاستقرار المالي للاتحاد الروسي بتاريخ 9 فبراير 2005 رقم 66.
5. متطلبات وسائل التوقيع الإلكتروني ومتطلبات وسائل مركز التصديق، تمت الموافقة عليها بأمر من دائرة الأمن الفيدرالية للاتحاد الروسي بتاريخ 27 ديسمبر 2011 رقم 796.

برمجة "CryptoPro CSP"مصممة لمراقبة سلامة النظام وبرامج التطبيقات، وإدارة العناصر الرئيسية للنظام وفقًا للوائح التدابير الأمنية، والترخيص وضمان الأهمية القانونية للمستندات الإلكترونية عند تبادلها بين المستخدمين. بالإضافة إلى موفر العملات المشفرة نفسه، يتضمن CryptoPro CSP منتجات CryptoPro TLS وCryptoPro EAP-TLS وCryptoPro Winlogon وCryptoPro Revocation Provider.

الحل مخصص لـ:

الترخيص والتأكد من الأهمية القانونية للمستندات الإلكترونية عند تبادلها بين المستخدمين، من خلال استخدام إجراءات إنشاء التوقيع الإلكتروني والتحقق منه (ES) وفقًا للمعايير المحلية GOST R 34.10-2001 / GOST R 34.10-2012 (باستخدام GOST R 34.11-94 / غوست آر 34.11-2012)؛
ضمان السرية ومراقبة سلامة المعلومات من خلال تشفيرها وحمايتها من التقليد، وفقًا لـ GOST 28147-89؛
ضمان الأصالة والسرية والحماية المقلدة للاتصالات عبر بروتوكول TLS؛
مراقبة سلامة النظام وبرامج التطبيقات لحمايته من التغييرات غير المصرح بها وانتهاكات الأداء الصحيح؛
إدارة العناصر الرئيسية للنظام وفقًا للوائح معدات الحماية.

خوارزميات قابلة للتنفيذ

يتم تنفيذ خوارزمية إنشاء قيمة دالة التجزئة وفقًا لمتطلبات GOST R 34.11-94 / GOST R 34.11-2012 "تكنولوجيا المعلومات. حماية معلومات التشفير. دالة تجزئة."
يتم تنفيذ خوارزميات إنشاء التوقيع الإلكتروني والتحقق منه وفقًا لمتطلبات GOST R 34.10-2001 / GOST R 34.10-2012 "تكنولوجيا المعلومات. حماية معلومات التشفير. عمليات تشكيل والتحقق من التوقيعات الرقمية الإلكترونية.
يتم تنفيذ خوارزمية تشفير / فك تشفير البيانات وحساب الإدخالات المقلدة وفقًا لمتطلبات GOST 28147-89 "أنظمة معالجة المعلومات. حماية التشفير."

عند إنشاء مفاتيح خاصة وعامة، من الممكن إنشاء معلمات مختلفة وفقًا لـ GOST R 34.10-2001 / GOST R 34.10-2012.
عند إنشاء قيمة دالة التجزئة والتشفير، من الممكن استخدام عقد بديلة مختلفة وفقًا لـ GOST R 34.11-94 وGOST 28147-89.

أنواع الوسائط الرئيسية المدعومة

الأقراص المرنة 3.5؛
البطاقات الذكية التي تستخدم أجهزة قراءة البطاقات الذكية التي تدعم بروتوكول PC/SC؛
أجهزة لوحية ذات ذاكرة تعمل باللمس DS1993 - DS1996 تستخدم أجهزة Accord 4+ أو قفل إلكتروني "Sobol" أو "Krypton" أو قارئ كمبيوتر لوحي DALLAS مزود بذاكرة تعمل باللمس (إصدار Windows فقط)؛
مفاتيح إلكترونية مع واجهة USB (رموز USB)؛
الوسائط القابلة للإزالة مع واجهة USB؛
سجل نظام التشغيل ويندوز؛
ملفات نظام التشغيل سولاريس/لينكس/فري بي إس دي.

	سي اس بي 3.6	سي اس بي 3.9	سي اس بي 4.0	سي اس بي 5.0
ويندوز سيرفر 2016		x64*	x64**	x64
ويندوز 10		x86 / x64*	x86 / x64**	x86/x64
ويندوز سيرفر 2012 R2		x64	x64	x64
ويندوز 8.1		x86/x64	x86/x64	x86/x64
ويندوز سيرفر 2012	x64	x64	x64	x64
ويندوز 8	x86/x64	x86/x64	x86/x64
ويندوز سيرفر 2008 R2	x64 / ايتانيوم	x64	x64	x64
ويندوز 7	x86/x64	x86/x64	x86/x64	x86/x64
ويندوز سيرفر 2008	x86 / x64 / إيتانيوم	x86/x64	x86/x64	x86/x64
ويندوز فيستا	x86/x64	x86/x64
ويندوز سيرفر 2003 R2	x86 / x64 / إيتانيوم	x86/x64	x86/x64	x86/x64
ويندوز سيرفر 2003	x86 / x64 / إيتانيوم	x86/x64	x86/x64	x86/x64
ويندوز إكس بي	x86/x64
ويندوز 2000	x86