Средство защиты информации от несанкционированного доступа — это механизм, который встаёт поверх операционной системы и решает несколько связанных задач: опознать пользователя, разграничить его права, зафиксировать действия в журнале и закрыть пути, по которым данные уходят мимо правил. Сюда же относят контроль подключаемых устройств и печати, контроль целостности файлов и настроек, затирание удаляемых данных и замкнутую программную среду, где запускается только разрешённое администратором.
Программные средства и модули доверенной загрузки
Программные СЗИ ставятся на рабочие станции и серверы и управляются из общей консоли — это удобно, когда машин много и нужны единые политики. Аппаратно-программные модули доверенной загрузки работают раньше: плата опознаёт пользователя и проверяет целостность до старта операционной системы — ещё до того, как управление получит её загрузчик. Часть задач закрывают и встроенные механизмы сертифицированных операционных систем. Что именно потребуется, выводят из модели угроз и требований к конкретной системе, а не из длины списка функций в описании продукта.
Что смотреть в сертификате
Сертифицированные продукты перечислены в реестре ФСТЭК России, и в записи важны три вещи: действует ли сертификат, на какую версию он выдан и какой уровень доверия подтверждён. Привязка к версии — типичное место, где соответствие теряется: обновились на несертифицированную сборку, и формально система перестала отвечать требованиям. Для государственных информационных систем и систем персональных данных требования к применяемым средствам установлены приказами ФСТЭК России, а для части систем предусмотрена аттестация объекта информатизации.
Кто внедряет и что уточнить у подрядчика
Карточками здесь идут разработчики средств защиты и компании-интеграторы. Работы по защите информации, которые подрядчик выполняет для заказчика, относятся к лицензируемым: у исполнителя должна быть лицензия ФСТЭК России на техническую защиту конфиденциальной информации, её номер и перечень разрешённых работ проверяют по реестру лицензий. Помимо лицензии смотрят на опыт с вашей операционной системой и средой виртуализации, на порядок поставки обновлений и на то, кто отвечает за настройку политик после запуска. Юридическая сторона — документы по обработке персональных данных и уведомление регулятора — это соседний раздел каталога, а вопрос о том, какие объекты вообще подлежат защите, решается на этапе категорирования.