СОИБ. Проектирование. Чего мы ещё лишаемся требуя использовать сертифицированную криптографию

В серии предыдущих заметок я уже приводил примеры с какими сложностями, дополнительными затратами и ограничениями придется столкнутся организациям, использующим сертифицированный по ГОСТ remote VPN по сравнению с счастливыми обладателями альтернативных решений.

Посмотрим теперь сравнение в случае если потребовалась защитить информацию, передаваемую по собственным или арендованным каналам связи с использованием криптографических средств (внутренние каналы связи между объектами сети передачи данных).   

Такая необходимость может возникнуть в случаях:

  • Если защита любых каналов требуется отраслевым регулятором, вышестоящей организацией или контрагентом, который поручил обработку
  • Если каналы связи проходят за границами контролируемой территории (группа не огороженных близко расположенных зданий, распределенные ЦОД в разных концах города, беспроводные каналы связи и т.п.)
  • Если необходимость применения криптографической защиты для таких каналов ошибочно определена при моделировании угроз или оценки рисков самой организацией, при этом была переоценена опасность угрозы, эффективность криптографии по ГОСТ и недооценены проблемы и стоимость внедрения сертифицированных средств криптографической защиты.

Возьмем отказоустойчивую быструю сеть передачи данных средней распределенной организации и посмотрим на дизайны получившихся сетей.

 

Вариант 1с примирением сертифицированных криптошлюзов (с минимальным возможным влиянием на характеристики СПД)

 

Вариант 2с примирением защиты каналов по AESреализованной на аппаратном уровне сетевого оборудования

 

Сравним плюсы и минусы вариантов:

 

Вариант 1. Защита с использованием криптошлюзов

Вариант 2. Защита с использованием возможностей сетевого оборудования

Плюсы

“Надежный алгоритм” шифрования по ГОСТ 28147-89

Сертифицированное ФСБ Р решение

Надежный алгоритм шифрования AES

Более быстрая СПД

Более надежная СПД

Меньшая стоимость создания СПД

Меньшая стоимость обслуживания и поддержки СПД

Минусы

Более медленная СПД

Менее надежная СПД + СКЗИ

Большая стоимость создания СПД + СКЗИ

Большая стоимость обслуживания и поддержки СПД + СКЗИ

Несертифицированное ФСБ Р решение

 

Плюсы второго варианта настолько хороши, что стоит за него побороться.

А вариантов не использовать криптографию внутри сети немало:

  • Уменьшить количество информационных потоков, в рамках которых передается информация, подлежащая защите в соответствии c законодательством РФ (например, обезличивая ПДн)
  • Обеспечить контролируемость каналов не криптографическими способами. Так как в общем случае жесткий набор мер, которые надо принять для обеспечения контролируемого канала отсутствует, можно проявить творческий подход - разработать внутренний документ, который будет требовать, например, мониторинг портов оборудования, находящегося за пределами КЗ. Если этого мало, то опечатывания + периодического осмотра + пары видеокамер может быть уже достаточно
  • При моделировании угроз признать вероятность перехвата информации в каналах между зданиями низкой или “нулевой”, возможный ущерб небольшим, угрозу неактуальной, внешнего нарушителя имеющего физический доступ к каналу между зданиями неактуальным
  • При выборе мер защиты не требовать условия, что для нейтрализации угрозы перехвата информации между зданиями необходимо сертифицированное СКЗИ
  • При выборе варианта реализации мер защиты использовать подход экономической нецелесообразности решений на криптошлюзах и замены контрмеры на альтернативную
PS: Не имею ничего против сертифицированных СКЗИ, которые применяются для решения узких специфических задач, не вносят больших затруднений и не ухудшают работу основной сети и обладают теми же возможностями, что и несертифицированные решения по защите.

Если вы заметили ошибку, выделите необходимый текст и нажмите Ctrl+Enter, чтобы сообщить об этом редакции    Система Orphus

RSS: Новое в блогах на Anti-Malware.ru Новое в блогах