Организация защиты корпоративной сотовой связи

Организация защиты корпоративной сотовой связи
на базе SafePhone Plus
Решения для операторов персональных данных
Введение
Смартфоны, планшеты (далее – мобильные средства коммуникации (МСК))
широко используются
при исполнении должностных обязанностей работниками
организаций, являющихся операторами персональных данных.
При использовании МСК для обработки
персональных данных (ПДн), необходимо
учитывать, что:
1. МСК, не является доверенным устройством. Основания: ОС и прикладное ПО
могут иметь недекларированные возможности (НДВ).
2. С использованием
МСК в информационных системах персональных данных
(ИСПДн) связаны специфические классы рисков:
 МСК могут быть утеряны или украдены. Обеспечить физическую безопасность,
сохранность МСК гораздо сложнее, чем сохранность стационарных устройств.

МСК имеют широкий арсенал средств, которые могут быть использованы
злоумышленником и нуждаются в контроле.
3. Защита трафика (криптографические алгоритмы), как правило, не соответствует
отечественным требованиям.
4. Многообразие используемых ОС (Android, iOS, BlackBerry OS, …) влечет за собой
трудоемкость управления МСК.
В брошюре рассматривается типовая
постановка задачи оператора ПДн защиты от
несанкционированного доступа (НСД) к информации, хранящейся и обрабатываемой
на МСК.
Цель документа – демонстрация преимуществ использования решения SafePhone при
использовании МСК в ИСПДн.
Область
применения
информационной
-
документ
безопасности
(ИБ)
предназначен
и
других
для
сотрудников
специалистов,
службы
отвечающих
за
планирование, внедрение и поддержание безопасности корпоративной сети мобильной
связи.
Оглавление
Введение .........................................................................................................................................2
Перечень сокращений ...................................................................................................................4
Термины и определения ........................................................................................................5
1.
Неформальная постановка задачи ........................................................................................6
2.
Нормативная база по защите персональных данных .........................................................8
3. Функционал системы централизованного управления сетью корпоративной сотовой
связи (MDM) ..................................................................................................................................9
3.1 Система администрирования МСК и обеспечения доступа к информационным
ресурсам ИСПДн ..................................................................................................................10
3.2 Система обеспечения информационной безопасности .............................................10
3.2.1 Политика ИБ при использовании МСК ....................................................................10
3.2.2 Нормативые документы оператора ПДн ..................................................................12
3.2.3 Базовые требования в части защиты МСК ..............................................................13
3.3
4.
Мониторинг и аудит .................................................................................................14
Системы защиты корпоративной мобильной связи «SafePhone Plus» .........................15
4.1 Компоненты решения ....................................................................................................15
4.2 Функционал SafePhone Plus .........................................................................................17
4.3 Соответствие требованиям регуляторов ......................................................................21
4.3.1 Сертификат соответствия ФСТЭК России ...............................................................21
4.3.2 Сертификат соответствия ФСБ России ....................................................................21
4.3.3 Что дает наличие сертификатов соответствия .........................................................22
5
Пример организации защиты .............................................................................................23
5.1
Постановка задачи.....................................................................................................23
5.2
Актуальные классы рисков ......................................................................................24
5.3 Организация доступа к корпоративным информационным ресурсам......................24
5.4 Обеспечение ИБ .............................................................................................................26
5.4.1 Безопасность данных на МСК ...................................................................................26
5.4.2 Организационные меры защиты ................................................................................26
5.3.3 Технические меры защиты ........................................................................................27
5.3.4 Аудит действий пользователя МСК ..........................................................................29
Перечень сокращений
АС
АРМ
ИБ
ИС
ИСПДн
ИТ
КСМС
МСК
НДВ
НСД
ОРД
ОС
ПДн
ПО
СЗКСС
СКЗИ
СКУД
СрЗИ
СТР-К
ТУ
COPE
DMZ
IPsec
MDM
SIP
VPN
Wi-Fi
Автоматизированная система
Автоматизированное рабочее место
Информационная безопасность
Информационная система
Информационные системы персональных данных
Информационные технологии
Корпоративная сеть мобильной связи
Мобильные средства коммуникации
Недекларированные возможности
Несанкционированный доступ
Организационно-распорядительные документы
Операционная система
Персональные данные
Программное обеспечение
Система защиты корпоративной сотовой связи
Средство криптографической защиты информации
Система контроля и управления доступом
Средство защиты информации
Специальные требования и рекомендации по технической защите
информации
Технические условия
Концепция, допускающая использование для работы только служебных
мобильных устройств(Corporately Owned, Personally Enabled)
Технология обеспечения защиты (demilitarized zone)
Протокол для обеспечения защиты данных, передаваемых по протоколу
IP (IP Security)
Система управления мобильными устройствами (Mobile Device
Management)
Протокол передачи данных, используемый в IP-телефонии (Session Initiate
Protocol)
Виртуальная частная сеть (Virtual Private Network)
Технология беспроводного доступа (Wireless Fidelity)
Термины и определения
В настоящем документе приняты следующие основные термины и определения:
Информационная
система
персональных
данных
(ИСПДн)
–
совокупность
содержащихся в базах данных персональных данных и обеспечивающих их обработку
информационных технологий и технических средств.
Мобильное средство коммуникации (МСК) – компактное переносное техническое
средство (мобильные телефоны, смартфоны и планшетные устройства), обладающее
следующими базовыми характеристиками:
 наличие канала сотовой связи или возможно других проводных и беспроводных
интерфейсов (Wi-Fi, Bluetooth, NFC) для обмена данными;
 наличие микрофона, камеры;
 наличие операционной системы и встроенной (расширяемой) памяти;
 наличие
функционала,
позволяющего
получать
и
загружать
различные
приложения и данные;
 наличие возможности создания (программирования) функционала, позволяющего
организовать удаленное управление данным устройством.
Оператор персональных данных
– государственный орган, муниципальный орган,
юридическое или физическое лицо, самостоятельно или совместно с другими лицами
организующие и (или) осуществляющие обработку персональных данных, а также
определяющие цели обработки персональных данных, состав персональных данных,
подлежащих обработке, действия (операции), совершаемые с персональными данными.
Персональные данные (ПДн) – любая информация, относящаяся прямо или косвенно к
определенному или определяемому физическому лицу (субъекту персональных данных).
Служебное МСК – МСК, владельцем которого является организация (Company-Owned
Devices).
MDM - система централизованного управления сетью корпоративной сотовой связи,
обеспечивающая:
 защиту МСК от несанкционированного доступа;
 дистанционное управление МСК;
 мониторинг предоставляемых услуг связи.
Угроза - возможная причина нежелательного инцидента, которая может нанести ущерб
[информационной] системе или всей организации.
Уровень защищенности ПДн - Под уровнем защищенности ПДн понимается
комплексный
показатель,
характеризующий
требования,
исполнение
которых
обеспечивает нейтрализацию определенных угроз безопасности персональных данных
при их обработке в информационных системах персональных данных.
Уязвимость - слабость актива или управления, эксплуатация которой приведёт к
реализации одной или нескольких угроз.
1. Неформальная постановка задачи
Оператор ПДн
планирует использовать ИСПДн в служебные МСК наряду со
стационарными АРМ. В информационной системе обрабатывается
конфиденциальная
информация (сведения, относящиеся к служебной тайне).
Доступ МСК к ресурсам информационной системы (ИС)
необходимо обеспечить с
использованием:
 Точек беспроводного доступа (Wi-Fi), расположенных на объектах оператора ПДн;
 Сервисов операторов мобильной связи.
Что нужно сотрудникам:
 Доступ к информационным ресурсам ИСПДн в соответствии с технологией
обработки ПДн;
 Возможность использования телефона по прямому назначению (звонки) как
внутри компании, так и внешним абонентам;
 Возможность использования некоторых приложений на МСК в служебных и
личных целях.
Что нужно службам ИТ и ИБ:
 Интеграция МСК в ИСПДн;
 Интеграция МСК в систему безопасности ИСПДн.
 Обеспечить соответствие требованиям в части защиты ПДн;
 Принять контрмеры против актуальных угроз, связанных с МСК.
Что нужно проектировщикам:
Продукт класса MDM, обеспечивающей необходимый функционал для обработки ПДн, а
также потребности служб ИТ и ИБ.
Продукт должен включать (рис 1):
 Систему централизованного управления сетью корпоративной мобильной связи,
имеющую функционал, обеспечивающий:
o Доступ МСК к корпоративным информационным ресурсам и приложениям;
o Администрирование МСК;
o Защиту информационных ресурсов ИСПДн от НСД;
o Мониторинг и аудит действий пользователей МСК.
 Систему защиты МСК, включающую:
o Наложенные средства защиты, взаимодействующие с системой
администрирования MDM и штатными средствами защиты МСК;
o Защиту канала связи;
o Защиту на уровне приложений.
Рис 1. Организация защиты МСК в ИСПДн
Продукт должен иметь функционал, обеспечивающий защиту от специфичных для
МСК угроз безопасности.
Конкретные требования к функционалу зависят от:
 Требований, вытекающих из технологии обработки ПДн;
 Требований в области ИБ, вытекающих из требований нормативных актов;
 Требований политики безопасности оператора ПДн.
2. Нормативная база по защите персональных данных
Требования по безопасности информации в ИСПДн изложены в документах:
 Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
 Постановление Правительства РФ от 01.11 2012 г. № 1119 «Об утверждении
требований к защите персональных данных при их обработке в информационных
системах персональных данных»;
 Постановление Правительства Российской Федерации от 21.03.2012 № 211 «Об
утверждении
перечня
мер,
направленных
на
обеспечение
выполнения
обязанностей, предусмотренных Федеральным законом «О персональных данных»;
 Приказ ФСТЭК России № 21 от 18.02.2013 «Об утверждении Состава и содержания
организационных и технических мер по обеспечению безопасности персональных
данных при их обработке в информационных системах персональных данных».
 Приказ ФСБ России от 10 июля 2014 г. N 378
«Состав и содержание
организационных и технических мер по обеспечению безопасности персональных
данных при их обработке в информационных системах персональных данных с
использованием средств криптографической защиты информации, необходимых
для
выполнения
требований
к
установленных
защите
Правительством
персональных
данных
для
Российской
каждого
Федерации
из
защищенности».
В части защиты технической защиты информации:
 Меры защиты
мобильных
технических
средств (кроме криптогафии)
изложены в Приказе ФСТЭК России от 18.02.2013 N 21;
уровней
 Вопросы использования средств криптографической защиты информации
рассмотрены в приказе ФСБ России.
Эти требования, применительно к функционалу рассматриваемой MDM, приведены ниже.
3. Функционал системы централизованного управления сетью
корпоративной сотовой связи (MDM)
MDM включает следующие элементы:
 Система администрирования МСК и обеспечения доступа к корпоративным
ресурсам;
 Система обеспечения информационной безопасности;
 Система мониторинга и аудита.
3.1 Система администрирования МСК и обеспечения доступа к
информационным ресурсам ИСПДн
Перечисленные ниже функции являются базовыми для MDM.
Функции системы
администрирования МСК
Дистанционная настройка
политик на МСК
Комментарий
Интеграция МСК со службой
каталогов и системой
управления доступом к ресурсам
Телефонные функции
Позволяет построить единую корпоративную систему
управления доступом к ресурсам для стационарных и
мобильных АРМ
Отправка и приём сообщений
(SMS/MMS) корпоративным абонентам, работа с SIM
картами.
По команде системы управления, на МСК могут быть
изменены настройки политики ИБ, включая
ограничение доступа пользователя к управлению и
запуску приложений и интерфейсов
Ведение корпоративного банка
Установка, обновление и удаление приложений на
доверенных приложений,
МСК осуществляться по инициативе администратора
установка и обновление
и/или пользователя. Приложения устанавливаются из
приложений на МСК
корпоративного банка доверенных приложений.
Управление списком доверенных Подключение МСК на территории оператора ПДн
беспроводных точек доступа
только к доверенным точкам доступа.
Wi-Fi
Управление контактами и
Управление учётными записями пользователя.
аккаунтами
Ведение телефонных справочников абонентов и
обновление их на МСК
Управление приложениями
Установка, обновление, удаление приложений.
Настройка и ограничение полномочий приложений.
3.2 Система обеспечения информационной безопасности
Требования в части ИБ определяются:
 Политикой ИБ оператора ПДн;
 Нормативно-распорядительными документами оператора ПДн, которые
основываются на нормативной базе регуляторов и учитывают специфику ее
области деятельности;
 Дополнительными требованиями, вытекающими из конкретной задачи.
3.2.1 Политика ИБ при использовании МСК
Целью Политики является создание условий, позволяющих предотвратить или
минимизировать ущерб, который может быть нанесен в результате использования МСК.
Положения типовой политики ИБ организации включают:
1. Актуальные классы угроз информационной безопасности:
 недостаточная физическая безопасностью МСК. Необходимо учитывать риски
утери, кражи и несанкционированного доступа к МСК;
 использование неразрешенных сервисов. МСК могут иметь сервисы, не
разрешенные политикой безопасности и владельцы МСК их могут использовать;
 перехват
трафика
МСК
при
использовании
недоверенных
сетей
неконтролируемых точек доступа;
 несанкционированный доступ к МСК через недоверенные сетевые подключения;
 использованием приложений от недоверенных производителей;
 несанкционированный доступ МСК к корпоративными сервисами.
2. Основными направлениями обеспечения ИБ при использовании МСК в процессах
обработки ПДн, осуществляемых оператором ПДн, являются:
 технические ограничения на функционал МСК;
 централизованное (дистанционное) управление настройками безопасности
МСК;
 обеспечение требований к МСК в части технической защиты информации;
 контроль использования МСК.
Типовые требования политики ИБ в части защиты МСК, подключенных к ИСПДн, с
учетом актуальных классов рисков, перечислены в таблице.
Требования политики ИБ
 Выход в интернет с МСК только через
корпоративный шлюз (с применением
корпоративных политик безопасности).
 Возможность дистанционного запрета
на использование отдельных
интерфейсов МСК (например,
Bluetooth, Wi-Fi, цифровая фотокамера,
микрофон) и приложений
 Возможность дистанционного
блокирования МСК и уничтожения
данных при наступлении событий ИБ
 Возможность дистанционного
обновления прошивки, системных
приложений и сервисов МСК
Комментарий
Обеспечивается возможность
использования корпоративной
политики при доступе в
интернет с МСК
Контрмера против возможного
нарушения политики
безопасности сотрудником.
Контрмера против кражи МСК
Обеспечивается возможность
оперативного изменения
корпоративной политики ИБ в
части МСК
Обеспечение ИБ реализуется комплексом организационных и технических мер.
и
Организационные меры должны быть описаны в локальных ОРД оператора ПДн.
3.2.2 Нормативные документы оператора ПДн
Для реализации требований нормативных документов регуляторов и положений
политики ИБ в части защиты МСК, подключенных к ИСПДн, оператору ПДн
необходимо разработать следующие документы:
Требования нормативных
Ссылка на
документов (ФЗ, ПП, приказов
нормативные
регуляторов)
документы
Наименование документа
оператора ПДн
Наличие документированных
№ 152 ФЗ,
Инструкция пользователю МСК по
процедур, направленных на
ст.18.1 п.1.2
обеспечению безопасности
предотвращение и выявление
персональных данных
нарушений законодательства
Российской Федерации,
устранение последствий таких
нарушений
Установление правил доступа к
№ 152 ФЗ, ст.19
Регламент разграничения прав по
персональным данным,
п.2.8
доступу к защищаемым ресурсам
обрабатываемым в
ИСПДн для пользователей МСК
информационной системе
персональных данных, а также
обеспечением регистрации и
учета всех действий,
совершаемых с персональными
данными
Обеспечение сохранности носителей персональных данных
Учет машинных носителей
персональных данных
№ 152 ФЗ, ст.19
п.2.5
Регламент выдачи и учета МСК
Контроль выполнения требований в части обеспечения безопасности и мер защиты
ИСПДн
Осуществление внутреннего
№ 152 ФЗ,
Регламент мониторинга действий
контроля и (или) аудита
ст.18.1 п.1.4,
пользователей МСК и событий
соответствия обработки
ПП 1119 п.17
безопасности
Требования нормативных
Ссылка на
документов (ФЗ, ПП, приказов
нормативные
регуляторов)
документы
Наименование документа
оператора ПДн
персональных данных
настоящему Федеральному
закону и принятым в
соответствии с ним
нормативным правовым актам,
требованиям к защите
персональных данных, политике
оператора в отношении
обработки персональных
данных, локальным актам
оператора
3.2.3 Базовые требования в части защиты МСК
Базовые требования нормативных документов по технической защите информации
приведены в таблице:
Меры защиты информации МСК, подключенных к
информационной системе
1. Идентификация и аутентификация субъектов доступа
и объектов доступа:
 Идентификация и аутентификация пользователей МСК;
 Защита обратной связи при
вводе
аутентификационной информации на МСК.
2. Управление доступом субъектов доступа к объектам
доступа:
 Реализация необходимых методов управления доступом и
правил разграничения;
 Назначение минимально необходимых прав и привилегий
пользователям;
 Реализация защищенного удаленного доступа к объектам
доступа через внешние сети;
 Регламентация и контроль использования МСК.
3. Ограничение программной среды:
 Установка только разрешенного к использованию ПО.
4. Защита носителей данных (встроенная память МСК):
 Учет МСК;
Ссылка на
нормативные
документы
Приказ ФСТЭК
N 21, ЗИС.30,
ИАФ.1, ИАФ.5
Приказ ФСТЭК
N 21, ЗИС.30
УПД.2, УПД.5,
УПД.13,УПД.15
Приказ ФСТЭК
N 21, ЗИС.30,
ОПС.3
Приказ ФСТЭК
N 21, ЗИС.30,
 Управление доступом к данным в памяти МСК;
 Исключение возможности несанкционированного
ознакомления сданными, хранимыми в МСК;
 Уничтожение информации при передаче МСК другому
пользователю.
ЗНИ.1,ЗНИ.2,
ЗНИ.4, ЗНИ.8
5. Регистрации событий безопасности:
 Определение событий безопасности, подлежащих
регистрации;
 Определение состава и содержания информации о
событиях, подлежащих регистрации;
 Сбор, запись и хранение информации о событиях
безопасности в течение установленного времени;
 Мониторинг результатов регистрации событий
безопасности и реагирование на них.
Приказ ФСТЭК
N 21, ЗИС.30,
РСБ.1, РСБ.2,
РСБ.3, РСБ.5
Антивирусная защита:
Реализация антивирусной защиты;
Обновление базы данных признаков вирусов.
Контроль защищенности информации:
Выявление, анализ и устранение уязвимостей МСК;
Контроль установки обновлений ПО;
Контроль работоспособности, параметров настройки и
правильности функционирования ПО и СрЗИ.
8. Обеспечение целостности информационной системы и
информации:
Контроль целостности ПО, включая ПО СрЗИ
9. Требования к СКЗИ и СрЗИ
Приказ ФСТЭК
N 21, ЗИС.30,
АВЗ.1 иАВЗ.2
Приказ ФСТЭК
N 21, ЗИС.30,
АНЗ.1, АНЗ.2 и
АНЗ.3
6.


7.



3.3 Мониторинг и аудит
Система мониторинга и аудита
Приказ ФСТЭК
N 21, ЗИС.30,
ОЦЛ.1
ПП 211,
Приказ ФСБ
№ 378
реализует функции, необходимые для оценки
соответствия системы защиты информации установленным требованиям.
Типовой функционал системы мониторинга и аудита приведен в таблице
Функционал, необходимый для
мониторинга пользователей МСК
Мониторинг событий МСК
Определение местоположения абонентов
МСК (геолокация).
Система построения отчетов по заданным
параметрам
Комментарии
Передача данных о событиях ИБ в систему
управления MDM. На основе этих данных
готовятся отчеты о событиях ИБ
Для определенных категорий работников
необходимо отслеживать их
местонахождение в соответствии с
политикой безопасности организации.
Система аудита ИБ включает анализ
отчетов
4. Системы защиты корпоративной мобильной связи «SafePhone
Plus»
Комплексное решение SafePhone Plus для защиты корпоративной системы связи
разработано на основе анализа угроз, а также с учетом отечественного и зарубежного
опыта. В число задач, решаемых с использованием решения SafePhone Plus, входят:
 обеспечение безопасности телефонных переговоров;
 защита мобильного устройства и информации, хранящейся на нем;
 обеспечение защищенного доступа к корпоративным ресурсам;
 конфиденциальный обмен данными;
 обеспечение безопасной видеоконференцсвязи на мобильных устройствах;
 реализация возможностей интеграции с корпоративной АТС.
4.1 Компоненты решения
Решение построено на базе системы SafePhone от компании «НИИ СОКБ» для
защиты информации на корпоративных мобильных устройствах и защищенной
доверенной среды передачи информации ViPNet от компании «ИнфоТеКС» с
использованием публичных и выделенных каналов связи. На мобильном устройстве
развертываются клиентские программы SafePhone, ViPNet
и
SIP-клиент,
а на
контролируемой территории организации — серверные компоненты этих систем:
SafePhone Server, ViPNet Coordinator, Server SIP.
Первый компонент решения - SafePhone, представляет собой систему защиты
информации на корпоративных мобильных устройствах с централизованным
управлением. Функции SafePhone:
 Защита от несанкционированного доступа к конфиденциальной информации;
 Предотвращение несанкционированной установки стороннего программного
обеспечения;
 Ведение банка доверенного программного обеспечения;
 Контроль использования служебных мобильных устройств;
 Применение различных политик безопасности на территории предприятия и за ее
пределами;
 Мониторинг событий и подготовка отчетов.
Второй компонент решения - Mobile VoIP, обеспечивает голосовую связь по каналам
Интернет или по локальным сетям, доступным с мобильного устройства. Его
функциональное назначение:
 Обеспечение возможности ведения конфиденциальных переговоров по
мобильному устройству с мобильными и стационарными абонентами;
 Снижение затрат на оплату GSM трафика;
 Предоставление корпоративным абонентам дополнительных услуг:
o переадресация звонков;
o конференц-связь, видеоконференция;
o обмен текстовыми и медийными сообщениями по защищенному каналу
защищенный обмен текстовыми и медийными сообщениями;
o единый номер в корпорации (в рамках интеграции с УПАТС).
Рис 4.1 Архитектура MDM SafePhone Plus
Мобильный клиент SafePhone является приложением, устанавливаемым на МСК.
Он осуществляет защиту от установки недоверенных приложений, а также обеспечивает
применение
к
устройству корпоративных
политик
в
области
информационной
безопасности — политик использования SIM-карт, списков доверенных беспроводных
сетей, разрешенных интерфейсов и т.д.
VipNet Client позволяет осуществлять шифрованную передачу всего исходящего
трафика МСК (в том числе почтового клиента, браузера и любого другого приложения,
установленного на МСК) на корпоративный VPN-криптошлюз.
АРМ
Администратора
представляет
собой
клиентское
приложение,
предназначенное для выполнения действий, связанных с удаленным управлением и
мониторингом МСК.
Сервер SafePhone Plus обеспечивает взаимодействие между МСК (мобильными
клиентами) и сервером базы данных, управляя потоками команд и параметров,
поступающих от компонентов. Сервер SafePhone Plus обеспечивает постоянную связь со
всеми корпоративными МСК, подключенными к серверу SafePhone Plus и находящимися
в зоне доступа сети.
Сервер базы данных предназначен для хранения и обработки данных системы.
ГИС-сервер обеспечивает возможность визуализации географической информации,
используемой для мониторинга местоположения МСК. Локальный ГИС-сервер позволяет
не загружать карту из Интернета, визуализация картографических данных при этом
обеспечивается при помощи АРМ Администратора SafePhone Plus.
SafePhone
Plus
организацией,
обеспечивает
предприятием
функциональное
следующих
назначение
предварительных
при
реализации
организационно-
распорядительных мер:
 создание
административной
группы
или
подразделения,
обеспечивающего
установку, настройку и сопровождение системы;
 разработка
нормативных
документов,
определяющих
порядок
допуска
пользователей к системе и назначения их полномочий;
 реализация мероприятий по антивирусной защите и обеспечение свободной от
вирусов программной среды компьютеров.
4.2 Функционал SafePhone Plus
Система реализует следующие функции:
1. Регистрация МСК в корпоративной системе связи.
В результате выполнения данной функции в базу данных SafePhone вносятся сведения,
позволяющие однозначно идентифицировать МСК и его пользователя. Регистрация
производится одновременно с установкой мобильного клиента SafePhone на МСК.
2. Управление контактами и аккаунтами. Администратор использует функции:
 Установка корпоративной адресной книги;
 Управление учётными записями пользователей МСК.
3. Аутентификация и авторизация пользователя МСК, включающая функции:
 Аутентификация пользователя МСК;
 Управление многопользовательским режимом;
 Управление парольными политиками МСК;
 Управление сертификатами.
4. Телефонные функции:
 Голосовые вызовы (GSM, встроенный VoIP);
 Отправка и приём сообщений (SMS/MMS) во внешние сети;
5. Управление приложениями на МСК:
 Установка, обновление, удаление приложений;
 Запуск и останов приложений;
 Ограничение доступа пользователя к управлению и запуску
приложений;
 Настройка и ограничение полномочий приложений;
 Получение списков установленных и запущенных приложений.
6. Мониторинг состояния МСК, зарегистрированного в SafePhone, и мониторинг
событий на МСК.
Состояние всех МСК отслеживается в системе и отображается на АРМ администратора.
Регистрируются следующие данные:
 Состояние подключения МСК к серверу SafePhone;
 События подключения и отключения МСК;
 События регистрации GPS-координат (информации о местоположении МСК);
 События запуска/остановки приложений;
 События установки/обновления/деинсталляции приложений на МСК;
 Перечень установленных приложений;
 Перечень запущенных приложений;
 События регистрации голосового вызова;
 События регистрации текстовых сообщений;
 Сведения об использовании интернет-трафика;
 События регистрации внутренних сообщений (текстовых и голосовых);
 События смены SIM-карты на МСК;
 Состояние уровня заряда батареи и подключения к зарядному устройству.
7. Дистанционное выполнение действий на МСК, зарегистрированных в SafePhone.
На МСК могут быть удаленно выполнены команды АРМ администратора:
 Изменение политик безопасности МСК и конфигурации МСК:
o возможность связи с внекорпоративными абонентами;
o возможность смены SIM-карты;
o возможность использовать открытые Wi-fi точки доступа;
o установка списка разрешенных точек доступа;
o установка списка разрешенных интерфейсов.
 Централизованное
обновление
адресной
книги
на
МСК
(поддерживается
интеграция со справочником Active Directory);
 Установка/удаление/обновление мобильных приложений. Допускается установка
только доверенных приложений, предварительно внесенных в банк доверенных
приложений SafePhone;
 Запуск/остановка мобильных приложений;
 Блокировка услуг связи.
8. Ограничение доступа абонентов к функциям МСК.
В зависимости от установленных политик безопасности, а также по команде
администратора, на МСК могут быть ограничены отдельные функции:
 Ограничения возможности пользования услугами связи.Услуги связи могут быть
заблокированы по команде администратора, а также заблокированы или
ограничены при реализации соответствующих политик безопасности;
 Запрет
установки
мобильных
приложений.
Самостоятельная
установка
приложений на МСК невозможна. Управление приложениями осуществляется
только через АРМ Администратора;
 Ограничения возможности подключения к произвольным точкам доступа.
Допускается подключение только к тем точкам доступа, список которых
устанавливается администратором;
 Запрет использования отдельных интерфейсов и предустановленных приложений.
Потенциально опасные интерфейсы связи/приложения (Bluetooth, камера, диктофон)
могут быть заблокированы при реализации соответствующих политик безопасности.
9. Управление сетевым трафиком на МСК:
 Управление межсетевым экраном (firewall) и URL фильтрацией;
 Управление взаимодействием устройства с серверами push-уведомлений;
 Управление встроенным VPN;
 Получение статистики использовании трафика;
 Получение информации об имеющихся сетевых подключениях;
 Настройка сетевых IP подключений.
10.
Обмен сообщениями по защищенному каналу между абонентами SafePhone.
МСК могут обмениваться текстовыми и голосовыми внутренними сообщениями,
передаваемыми по защищенному каналу. Данные сообщения не регистрируются
оператором сотовой связи.
11. Резервное копирование данных
 Управление встроенными средствами резервного копирования;
 Резервное копирование данных на корпоративный сервер MDM.
12.
Построение отчетов.
В АРМ Администратора могут быть построены отчеты:
 Суммарное время разговоров абонентов SafePhone за заданный период времени;
 Изменения местоположения абонентов SafePhone за заданный период времени.
Данные отображаются на карте в виде треков.
10. Дистанционное отключение МСК от корпоративной сети и удаление всех данных
с МСК.
МСК может быть отключено по команде администратора. При этом данные на
МСК, в том числе Мобильный клиент SafePhone, удаляются (производится сброс
МСК в заводские настройки).
4.3 Соответствие требованиям регуляторов
4.3.1 Сертификат соответствия ФСТЭК России
На систему защиты корпоративной сотовой связи «SafePhone» выдан сертификат
соответствия
ФСТЭК
РОССИИ
№3005.
Сертификат
удостоверяет
соответствие
требованиям по 4 уровню контроля отсутствия НДВ и наличие встроенных средств
защиты от НСД к информации, не содержащей сведений, составляющих государственную
тайну.
В соответствии с техническими условиями ТУ 5014-001-95561296-2012 реализованы
функции безопасности:
 Администрирование: идентификация и аутентификация;
 Администрирование: дискреционный принцип контроля доступа;
 Администрирование: регистрация;
 Идентификация и аутентификация;
 Контроль целостности;
 Очистка памяти;
 Предотвращение доступа к мобильному контенту и интерфейсам;
 Регистрация инцидентов.
Ограничения, указанные в сертификате соответствия.
Обработка информации ограниченного доступа на мобильном устройстве может
вестись только с применением сертифицированных СКЗИ, имеющих заключение о
корректности встраивания в мобильное устройство. В решении SafePhone Plus
СКЗИ
реализует ViPNet Client.
4.3.2 Сертификат соответствия ФСБ России
Сертификаты соответствия ФСБ России (СФ/114-1971, СФ/124-2226) выданы на
программный комплекс ViPNet Client
(iOS, Android).
соответствие требованиям к СКЗИ класса КС1.
Сертификат удостоверяет
ViPNet Client— это приложение,
являющееся средством криптографической
защиты информации класса КС1, работающее под управлением
iOS или Android, и
позволяющее получить доступ посредством защищенного технологиями ViPNet VPN
туннеля, к ресурсам корпоративной сети:
- Доступ к корпоративным информационным ресурсам;
- Доступ к корпоративным терминальным серверам и веб-порталам;
- Доступ к библиотекам документов;
- Защищенная IP-телефония и другие средства коммуникации.
Корректность встраивания ViPNet Client в мобильное устройство
возможно
проверить только при условии выбора конкретной модели устройства. Таким образом,
любые заключения о корректности встраивания данного СКЗИ будут сделаны для
конкретных партий устройств определенной модели МСК.
4.3.3 Что дает наличие сертификатов соответствия
Наличие
нормативных
«сертификатов
документов
в
соответствия»
части
защиты
позволяет
выполнить
информации,
не
требования
составляющей
государственную тайну, содержащейся в государственных информационных системах, а
также в информационных системах персональных данных.
Прежде всего, это касается криптографической защиты канала связи мобильного
устройства и корпоративной информационной системы.
Кроме того, «SafePhone» предоставляет полный набор встроенных функций безопасности,
необходимых при построении подсистемы защиты информации.
Для обеспечения соответствия требованиям, необходимо иметь заключение о
корректности встраивания СКЗИ в МСК. Таким образом, на этапе технического
проектирования информационной системы,
необходимо выбрать модель мобильного
устройства и для него провести соответствующие исследования.
5 Пример организации защиты
5.1 Постановка задачи
В
государственной
организации
имеется
информационная
система
(ИС),
включающая систему электронного документооборота и электронную почту. В ИС
обрабатываются сведения,
связанные с профессиональной деятельностью, доступ к
которым ограничен в соответствии с законодательством. Данная информационная система
может быть классифицирована как государственная информационная системы общего
пользования, обрабатывающая сведения конфиденциального характера.
Предполагается использовать корпоративную систему мобильной связи для доступа:
 к системе документооборота с использованием специализированного приложения
для МСК;
 к корпоративной электронной почте.
Кроме того, МСК может использоваться как средство служебной и личной
телефонной связи.
Объекты защиты:
 Данные, к которым разрешен доступ с МСК (конфиденциальность, целостность);
 Прочие информационные ресурсы организации, к которым доступ с МСК не разрешен
(конфиденциальность);
 Телефонные переговоры определенного круга лиц;
 Изображения (на экране МСК).
Требования в области ИБ
1. Обеспечить выполнение требований о защите информации, не составляющей
государственную тайну, содержащейся в государственных информационных
системах (Приказ ФСТЭК России от 11.02.2013 N 17)
2. В соответствии с корпоративной политикой ИБ требуется:
 Использовать VPN c сертифицированными криптографическими средствами
защиты информации при передаче данных по открытым каналам связи;
 Обеспечить возможность реализации гибких политик использования МСК в
контролируемых зонах в части введения ограничений (блокировка
интерфейсов) на использование МСК. Фото-видео съемка, использование
диктофонов в некоторых зонах на территории организации запрещена;
 Использование МСК как средства голосовой связи на территории организации с
ограничениями:
o запрет использования МСК в переговорных комнатах;
o при исполнении должностных обязанностей использовать защищенный
режим, обеспечивающий криптографическую защиту речевой информации.
Оценка потенциального ущерба от реализации угроз, связанных с использованием
МСК.
Потенциальный ущерб от некоторых инцидентов ИБ, связанных с использованием МСК
на территории организации, может быть значительным.
5.2 Актуальные классы рисков
Любой обладатель МСК, подключенный к ИС, потенциально может нарушать политику
безопасности организации:
 Установить и использовать неразрешенное в организации ПО;
 Хранить на МСК корпоративные данные вместе с личными;
 Использовать МСК для фото-видео съемок, аудиозаписей на территории, где это
запрещено.
Кроме того, актуальны угрозы, связаны с действиями злоумышленников: внедрение
вредоносного ПО, несанкционированный доступ к МСК, кража МСК.
Классы рисков, связанные с этими угрозами:
 Утечка конфиденциальной информации вследствие несанкционированной фото,
видео съемки, аудиозаписи;
 Доступ нарушителя к корпоративным информационным ресурсам, выделенным
для работы с МСК (нарушение конфиденциальности, целостности, доступности);
 Доступ нарушителя к данным (нарушение конфиденциальности), хранящимся на
МСК;
 Утечки данных (в том числе – голос).
5.3 Организация доступа к корпоративным информационным
ресурсам
Для организации доступа к корпоративным информационным ресурсам (схема на
рис. 5.1) используются штатные функции МСК и функционал решения SafePhone Plus.
Создается
хранилище доверенных приложений для их централизованного
распространения на МСК сотрудников. Доверенные приложения могут устанавливаться
на МСК по команде
администратора системы. Пользователи
МСК также могут
самостоятельно устанавливать и обновллять приложения из этого банка.
Ведется адресная
книга
корпоративных контактов. Актуальная версия книги
распространяется по команде администратора на все корпоративные МСК.
Доступ к системе документооборота и электронной почте обеспечивают клинтские
приложения на МСК (загружаются из банка доверенного ПО).
Телефонная связь может быть организована:
-
«в открытом режиме» с использованием штатных механизмов МСК. При этом
связываться можно как с корпоративными абонентами, так и с «внешними»
абонентами, не входящими в книгу корпоративных контактов;
-
«в закрытом режиме», с использлванием шифрования наложенными средствами. В
этом случае соединение возможно установить только между корпоративными
абонентами.
Для администрирования МСК используется функционал:
-
Регистрация МСК в корпоративной системе связи;
-
Управление учётными записями пользователей МСК;
-
Аутентификация и авторизация пользователя МСК;
-
Управление сетевым трафиком на МСК;
-
Настройка и ограничение полномочий приложений.
ДЕМИЛИТАРИЗОВАННАЯ
ЗОНА
ВНЕШНИЕ СЕТИ
КОРПОРАТИВНАЯ СЕТЬ
ViPNet Client
Сервер
управления
SafePhone
Client
События
мобильных
клиентов
События и
команды
SIP Client
События
мобильных
клиентов
Команды
управления
Запрос на соединение с
абонентом
GSM/GPRS
Команды
управления
Сервер ГИС
ViPNet
Coordinator
Переговоры
Автоматизированное
рабочее место
Администратора
Адресная книга
Приложения
Журналы
Карты ГИС
Шифрование ГОСТ
Интернет
Сервер SIP
ViPNet Client
Шифрование ГОСТ
SIP Client
Переговоры
Запрос на соединение с
абонентом
SafePhone
Client
КОРПОРАТИВНЕ РЕСУРСЫ
События и
команды
Рис 5.1 Схема организации доступа к корпоративным информационным рескрсам с
использованием МСК.
5.4 Обеспечение ИБ
Рассмотрим основные аспекты обспечения ИБ, включая защиту данных на МСК,
организационные и технические меры защиты выбранного решения.
5.4.1 Безопасность данных на МСК
На МСК могут присутствовать личные данные пользователя, корпоративные
справочники, корпоративные данные.
Проблемы, связанные с хранением на МСК данных различных типов могут быть
решены следующим способом:
 Запретить хранение конфиденциальных данных в памяти МСК (положение
политики ИБ в отношении МСК);
 Использовать штатные средства защиты МСК (шифрование данных в памяти);
5.4.2 Организационные меры защиты
1. Определить информационные ресурсы, с которыми будут работать пользователи
МСК.
Предусмотреть
выделение
этих
ресурсов
в
отдельный
сегмент
корпоративной сети.
2. Владельцы информационных ресурсов определяют требования к функционалу
МСК в части работы с ресурсами и обеспечению безопасности. Определяется
список доверенного ПО, которое допустимо использовать на МСК при работе с
корпоративными ресурсами.
3. Разработать систему контроля использования МСК в бизнес-процессах. Система
контроля может быть основана на анализе журналов событий.
5.3.3 Технические меры защиты
Механизмы реализации базовых технических мер защиты:
Мера защиты
Реализация:
Функционал SafePhone, VipNet
и штатные механизмы защиты МСК
Идентификация и
 Регистрация МСК в корпоративно системе связи
аутентификация субъектов  Механизмы идентификации и авторизация МСК
доступа и объектов доступа
(SafePhone)
ИАФ.1, ИАФ.5
 Криптографическая защита (VipNet)
 Штатные механизмы защиты обратной связи
при
вводе аутентификационной информации
(МСК)
Управление доступом
- Управление приложениями на МСК
субъектов доступа к
(SafePhone)
объектам доступа
УПД.2, УПД.5 УПД.13
- Аутентификация и авторизация пользователя
УПД.15
МСК (SafePhone)
Ограничение программной
среды
ОПС.3
Защита машинных
носителей
ЗНИ.1, ЗНИ.2, ЗНИ.4,
ЗНИ.8
Регистрации событий
 Функционал средств администратора MDM
(SafePhone):
o Управление объектами учета;
o Управление адресной книгой;
o Календарь рабочего времени;
o Дискреционный принцип контроля доступа;
o Построение отчетов.
- Ограничение доступа абонентов к функциям МСК
(SafePhone)
 Криптографическая защита (VipNet)
 Функционал средств администратора MDM
(SafePhone):
o Управление объектом учета «Приложения»
 Функционал средств администратора MDM
(SafePhone):
o Управление объектами учета;
o Установка политик при смене SIM карты;
o Очистка памяти на МСК.
 Предотвращение доступа к мобильному контенту
и интерфейсам (функция клиента SafePhone)
 Ограничение доступа абонентов к функциям МСК
(SafePhone)
 Дистанционное отключение МСК от
корпоративной сети и удаление всех данных
(SafePhone)
 Мониторинг состояния и мониторинг событий
безопасности РСБ.1 РСБ.2
РСБ.3 РСБ.5
Антивирусная защита
Контроль защищенности
информации
АНЗ.1,АНЗ.2,АНЗ.3
Обеспечение целостности
информационной системы
и информации ОЦЛ.1
МСК(SafePhone)
 Регистрация инцидентов (SafePhone)
Загрузка на МСК только доверенного ПО,
прошедшего антивирусную проверку
Функционал средств администратора MDM
(SafePhone)
 Криптографическая защита (VipNet)
 Контроль целостности (функция клиента
SafePhone)
 Резервное копирование данных (SafePhone)
Запрет возможности
автоматического запуска
приложений на МСК
 Дистанционное выполнение действий на МСК
(SafePhone)
Ограничение доступа абонентов к функциям
МСК (SafePhone)
Принятие мер,
исключающих
несанкционированный
доступ к хранимой на МСК
защищаемой информации
 Дистанционное выполнение действий на МСК
(SafePhone)
 Контроль конфиденциальности (функция
клиента SafePhone)
 Ограничение доступа абонентов к функциям
МСК (SafePhone)
Механизмы реализации дополнительных технических мер защиты
Мера защиты
VPN c сертифицированными
криптографическими средствами
защиты информации при
передаче данных по открытым
каналам связи
Возможность реализации гибких
политик использования МСК в
контролируемых зонах
Реализация:
Функционал SafePhone, VipNet
и штатные механизмы защиты МСК
 VipNet
 Обмен данными по защищенному
каналу между абонентами SafePhone
 Дистанционное выполнение действий на
МСК (SafePhone)
 Ограничение доступа абонентов к
функциям МСК (SafePhone)
5.3.4 Аудит действий пользователя МСК
Мера защиты
Ведение журнала звонков и сообщений
Мониторинг событий для МСК
Определение местоположения абонентов
МСК (геолокация).
Система построения отчетов по заданным
параметрам
Реализация:
Функционал SafePhone, VipNet
и штатные механизмы защиты МСК
Мониторинг событий МСК (SafePhone)
Мониторинг событий МСК (SafePhone)
Мониторинг состояния МСК (SafePhone)
Построение отчетов (SafePhone)