Постановление Кабинета Министров Чувашской Республики от 28.12.2000 № 265

6. Защита информации

Система защиты должна обеспечивать следующие характеристики информации:

- конфиденциальность - гарантия того, что конкретная информация доступна только тому кругу лиц, для кого она предназначена; нарушение этой категории называется хищением либо раскрытием информации;

- целостность - гарантия того, что информация сейчас существует в ее исходном виде, то есть при ее хранении или передаче не было произведено несанкционированных изменений; нарушение этой категории называется фальсификацией сообщения;

- аутентичность - гарантия того, что источником информации является именно то лицо, которое заявлено как ее автор; нарушение этой категории называется фальсификацией автора сообщения;

- апеллируемость - гарантия того, что при необходимости можно будет доказать, что автором сообщения является именно заявленный человек и не может являться никто другой; отличие этой категории от предыдущей в том, что при подмене автора третье лицо пытается заявить, что оно - автор сообщения, а при нарушении апеллируемости - сам автор пытается отказаться от своего авторства.

Основными принципами построения системы защиты являются:

- применение комбинированных аппаратно-программных средств;

- использование криптосредств, имеющих соответствующие российские сертификаты.

На I этапе создания РИАС проводится тестирование и апробация компонентов системы защиты, полное развертывание программно-аппаратного комплекса осуществляется на II этапе.

Направления защиты информации

РИАС включает комплексную многоуровневую систему защиты от различных угроз (внешнее вторжение и атаки, перехват трафика, внутренние нарушения и ошибки персонала).

Направление защиты	Средство защиты
Контроль  за  доступом  из Интернет,   предотвращение взлома извне	Использование   внутренних    IP-адресов   и маршрутизации NAT;                           Применение  межсетевого  экрана  Cisco   PIX Firewall;                                   Хранение общедоступных ресурсов на публичном Интернет-портале, создание  демилитаризован- ной зоны.
Авторизация и  идентифика- ция абонентов, разграниче- ние  доступа  к внутренней информации	Использование персональных аппаратных ключей на порт USB (токенов) с хранением  ключей  в энергонезависимой памяти;                   Индивидуальный пароль абонента  с  контролем периодичности его смены и попыток подбора;  Синхронизация учетной информации  и  паролей информационных систем всех уровней;         Многоуровневая система разграничения доступа (на уровне хранения данных -  SQL  Server  и уровне    приложений    -     Интранет     и персонализируемые порталы);                 Обратный    дозвон    (call    back)     для коммутируемых линий.
Контроль за  выходом  або- нентов в Интернет, ограни- чение выхода              Закрытие сообщений	Сервер полномочий и  кэширования  (MS  Proxy Server);                                    Система анализа и ограничения трафика.      Использование    унифицированных     средств шифрации    и    аутентификации,     имеющих необходимые российские сертификаты;         Шифрация  сообщений  электронной   почты   и электронная подпись;                        HTTPS-шифрация трафика.

Программно-аппаратная система на базе токенов

В качестве фундамента системы защиты информации выбрано программно-аппаратное решение на базе токенов, предназначенное для обеспечения сохранности и целостности данных и пользовательских прав доступа в корпоративных информационных системах. Использование персонального аппаратного ключа каждым пользователем системы обеспечивает намного более высокий уровень защиты, чем разработки только на основе программных решений.

В качестве ключа используется токен - полнофункциональный аналог смарткарты, выполненный в виде брелка. Он напрямую подключается к компьютеру через USB порт и не требует наличия дополнительных устройств (карт-ридеров и пр.). "Горячее подключение" к USB позволяет одному или нескольким устройствам подсоединяться и отсоединяться без выключения системы. Токен имеет до 64 Кбайт энергонезависимой памяти и аппаратно реализованный алгоритм шифрования DES-X со 120-битным ключом. Время хранения информации в памяти - не менее 10 лет, количество циклов перезаписи - более 100 тыс. Главное назначение токена - аутентификация пользователя при доступе к защищенным ресурсам и безопасное хранение паролей входа в систему, ключей шифрования, цифровых сертификатов, любой другой секретной информации.

Токен поддерживает реальную двухфакторную аутентификацию, основанную на том, что пользователь имеет персональный ключ и знает уникальный пароль. Поэтому после вставки токена в порт USB рабочей станции пользователь должен ввести уникальный пароль токена. При этом пользователю не нужно помнить различные пароли и имена для каждого приложения, они хранятся в токене и при необходимости автоматически используются.

Программная часть системы защиты информации базируется на технологии цифровых сертификатов и Открытой Инфраструктуре Ключей (PKI - Public Key Infrastructure). В PKI используется пара ключей - два отдельных ключа, работающих в паре: открытый ключ, который широко доступен всем, и личный ключ, известный только его держателю. Открытый ключ может использоваться, например, для зашифровки сообщений таким образом, что только личный ключ сможет открыть его.

На личный токен каждого пользователя системы записывается цифровой сертификат - закодированный файл, который гарантирует подлинность пользователя в системе, являясь аналогом паспорта или удостоверения личности. Он выпускается и проверяется доверяемой третьей стороной - полномочным представителем (CA - Certification Authority).

Файл сертификата в соответствии со стандартом Х.509 содержит:

- информацию о пользователе (Ф.И.О., электронный адрес и пр.);

- открытый ключ;

- информацию о CA и срок действия сертификата.

На токен также записывается личный ключ.

Токен совместим с технологиями Microsoft, на которых базируется РИАС:

- службами CA в Windows 2000 Server (функция Smart Card Enrollment в Microsoft CA Certificate Services позволяет выдать сертификат пользователю, определить соответствующие параметры регистрации в системе для пользовательского сертификата и сохранить сертификат в пользовательском токене);

- CAPI (Cryptographic Application Programming Interface) - стандарт разработки приложений, которые включают в себя функционирование безопасных сертификатов, ключей и хранилищ данных, аутентификацию, шифрование, подписи, сигнатуры и проверки. CAPI используется в сертификатах и ключах, поддерживающихся в продуктах фирмы Microsoft (Internet Explorer, Outlook и Outlook Express).

Предполагается использование совместно с токеном сертифицированной программной системы, реализующей отечественные стандарты шифрования и цифровой подписи.

Подтверждение доступа к Windows и корпоративным сетям

Токен подменяет собственной процедурой аутентификации процедуру входа в Windows 2000 с учетной записью и паролем. После вставки токена в порт USB и ввода его пароля из токена считывается пароль Windows и с использованием шифрации передается на сервер для входа в сеть. Пароль учетной записи Windows никогда физически не вводится пользователем и не известен ему. Для обеспечения дополнительной защиты каждый раз, когда пользователь входит в систему, генерируется новый случайный пароль учетной записи, который заменяет предыдущий пароль и на сервере, и в токене. При этом вход в сеть с персональным токеном возможен с любой правильно сконфигурированной рабочей станции сети. Данная процедура используется и при авторизации доступа к прикладным программным системам, в том числе Интранет-системам через броузер.

К каждой учетной записи можно обращаться только с определенным токеном. Пользователи, которые имеют более чем одну учетную запись, могут установить дополнительные учетные записи в своих токенах. Каждый пользователь должен получить свой индивидуальный токен. Нежелательно совместное использование одного токена одновременно несколькими пользователями, поскольку это серьезно снижает безопасность при входе в Windows.

Цифровая подпись электронной почты

Добавление цифровой сигнатуры к электронному письму гарантирует, что любые последующие изменения текста сообщения будут обнаружены. Цифровая подпись включают в себя три принципа защиты электронной почты:

- Целостность содержания: Microsoft Outlook и Outlook Express дают пользователям возможность подписывать письма с использованием личного ключа. При этом вместе с подписанным письмом пересылается сертификат отправителя и его открытый ключ. Настроив клиентскую программу электронной почты, пользователь сможет автоматически подписывать исходящие сообщения;

- Проверка: когда пользователь посылает электронную почту, которая подписана цифровой подписью, получатель может немедленно подтвердить личность отправителя с использованием открытого ключа;

- Защита от отказа: отправитель не сможет отрицать факта отправки данного письма.

Шифрование электронной почты

Шифрование гарантирует защиту содержимого сообщений корпоративной электронной почты. Зашифрованное и подписанное сообщение не может быть никем прочитано до расшифровки. Чтобы зашифровать сообщение, отправитель должен иметь копию открытого ключа получателя. Зашифрованное сообщение может быть расшифровано и прочитано только владельцем соответствующего личного ключа.

Шифрование трафика

Использование средств шифрации делает возможным создание защищенных корпоративных Интранет-систем, в которых обеспечивается конфиденциальность и целостность информации, передаваемой между броузером и Web-сервером по открытым IP-сетям, а также аутентификация взаимодействующих сторон.

В такой системе клиент взаимодействует с сервером по специальному защищенному протоколу (HTTPS), который в момент установления соединения клиента с сервером осуществляет двустороннюю криптографическую аутентификацию и вырабатывает сеансовый ключ шифрования. Протокол HTTPS инкапсулирует в себя протокол HTTP, шифруя при этом весь трафик.

Управление цифровыми сертификатами

Ключевым элементом системы защиты данных является управление пользовательскими токенами и сертификатами.

В рамках РИАС необходимо внедрить общую корпоративную политику безопасности, оперативно отслеживать поток сотрудников в организациях, следить за изменением пользовательского статуса и решать другие сопутствующие задачи. Эта задача решается созданием и управлением собственной внутренней системой управления сертификатами (CA - Certification Authority), поддерживающей:

- издание и отзыв сертификатов для пользователей, загрузка сертификатов в пользовательские токены;

- добавление новых пользователей - определение прав доступа, инициализация паролей токенов и их выдача, издание сертификатов и сохранение их в пользовательских токенах;

- поддержка существующих пользователей - предоставление, изъятие, обновление сертификатов (например, при переходе в другой отдел);

- удаление пользователей - изъятие сертификатов и лишение прав пользователя при его уходе или в случае, когда токен потерян или украден.

Система управления сертификатами обеспечивает целостную среду управления доступом к ресурсам и системам. Выдав сертификат нужному пользователю, администратор может гарантировать, что определенные данные ввести в базу может только авторизованный сотрудник.

7. Управление проектом создания РИАС

7.1. Нормативное и методическое обеспечение

Вопросы создания РИАС регулируются следующими федеральными нормативными документами:

- Федеральный закон от 25 февраля 1995 г. N 24-ФЗ "Об информации, информатизации и защите информации";

- Федеральный закон от 4 июля 1996 г. N 85-ФЗ "Об участии в международном информационном обмене";

- Указ Президента Российской Федерации от 6 марта 1992 г. N 188 "Об утверждении перечня сведений конфиденциального характера";

- Указ Президента Российской Федерации от 3 апреля 1995 г. N 334 "О мерах по соблюдению законности в области разработки производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации";

- Доктрина информационной безопасности Российской Федерации (утверждена Президентом Российской Федерации 9 сентября 2000 г.).

Для детального нормативного регулирования вопросов создания РИАС необходима разработка и принятие республиканских нормативных документов (постановлений, соглашений, инструкций, методических указаний, типовых форм документов и пр.), регламентирующих правовые и организационные процедуры взаимодействия участников в ходе создания РИАС.

Возможны следующие формы регулирования взаимоотношений в ходе создания РИАС:

Форма	Документы	Организации
1. Директивная	Постановления и распоряжения Кабинета Министров Чувашской Республики	Органы       исполнительной власти Чувашской Республики (министерства,   государст- венные комитеты и подведом- ственные    республиканские организации)
2. Договорная	Двусторонние и  многосторон- ние  соглашения (о сотрудни- честве   или  информационном обмене)	Органы местного  самоуправ- ления;                     Территориальные органы  фе- деральных органов власти;  Предприятия и организации.

Аспекты, подлежащие регулированию:

- правовой - статус предоставляемой информации, права собственности, порядок доступа;

- информационный - состав, формат и периодичность предоставления и актуализации информации в РИАС (регламент информационного обмена);

- технологический - выделение необходимых ресурсов (помещения, оборудование, каналы связи и пр.);

- организационный и кадровый - изменение (унификация) структуры и штатного расписания, назначение ответственных исполнителей, замещение должностей специалистами, удовлетворяющими требованиям по образованию и навыкам (с проведением аттестации).

Нормативные документы регулируют обязательства сторон.

Кабинет Министров Чувашской Республики принимает на себя обязательства по поставке и развертыванию компьютерно-коммуникационного оборудования и программного обеспечения, подключению к коммуникационной сети, обучению персонала.

Государственные органы принимают на себя обязательства по обеспечению информационного обмена в рамках РИАС, формированию соответствующих информационных ресурсов РИАС, выделению закрепленных сотрудников для эксплуатации системы.

Администрации районов и городов принимают на себя следующие обязательства:

- унифицировать организационную структуру и укомплектовать их штаты в соответствии с должностными требованиями; в частности, создать отделы информационного обеспечения численностью не менее 5 человек;

- выделить и осуществить подготовку помещений, удовлетворяющих необходимым требованиям по размещению информационных комплексов;

- обеспечить финансирование текущей эксплуатации муниципальной информационной системы (приобретение расходных материалов и пр.);

- организовать взаимодействие подразделений администрации с целью информационного наполнения системы.

7.2. Организационное обеспечение

Организационная структура управления проектом создания РИАС соответствует общей структуре управления Программой.

Работы по внедрению РИАС осуществляет рабочая группа РИАС, формируемая из руководителей подразделений информатизации или специалистов по информатизации государственных и муниципальных органов. В работе группы также принимают участие ответственные представители организаций - подрядчиков. Члены рабочей группы несут персональную ответственность за реализацию мероприятий по созданию РИАС представляемыми ими органами власти.

В целях технологического и информационного обеспечения создания и текущего функционирования РИАС в Администрации Президента Чувашской Республики создается Управление информационных технологий (далее - УИТ).

Функциями УИТ являются:

- текущее системное администрирование РИАС, обеспечение информационной безопасности;

- координация сопровождения и информационного наполнения РИАС;

- технологическое и организационное обеспечение деятельности рабочей группы РИАС;

- поддержание публичного Интернет-портала.

УИТ состоит из двух отделов - отдела администрирования и отдела сопровождения, его штатная численность составляет не менее 10 человек.

Начальник УИТ руководит работами по созданию РИАС:

- разрабатывает политику информатизации органов власти Чувашской Республики;

- осуществляет руководство рабочей группой РИАС;

- готовит предложения для Дирекции и Межведомственной комиссии по вопросам создания РИАС, в том числе структурным и кадровым изменениям в органах власти;

- осуществляет взаимодействие с организациями-подрядчиками.

Подразделения информатизации государственных и муниципальных органов Чувашской Республики по технологическим и информационным вопросам находятся в оперативном подчинении начальника УИТ.

7.3. Финансирование и взаимодействие с подрядчиками

Концепция создания РИАС является подпрограммой Программы. В связи с этим финансирование РИАС осуществляется на уровне основных мероприятий Программы, по которым доля средств ФФРРФ в финансировании (возмещении) расходов на конкретные мероприятия проекта составляет 80%.

Создание РИАС разбивается на два этапа:

Этап	Период	Содержание	Общий объем  финансирования (тыс.долл. США)
I	04.2001 г. - 09.2001 г.	Развертывание базовой коммуникацион- ной   инфраструктуры   и    основных информационных           комплексов, разработка прикладного  программного обеспечения       и        внедрение экономического регистра	1249
II	10.2001 г. - 12.2002 г.	Развертывание    городской     сети, дооснащение           информационных комплексов,    внедрение    регистра населения,  создание   аналитической подсистемы, внедрение системы защиты информации	1250
	Всего		2499

По направлениям создания РИАС Сметой (Приложение 1) определены примерные затраты. Финансирование осуществляется за счет республиканского бюджета Чувашской Республики.

В ходе создания РИАС определяются организации - подрядчики, выполняющие работы по отдельным направлениям создания РИАС:

- созданию и эксплуатации телекоммуникационной сети;

- поставке компьютерно-коммуникационной техники;

- установке и монтажу информационных систем государственных и муниципальных органов;

- разработке и внедрению программного обеспечения, проектированию и развертыванию ЦОД;

- поставке и внедрению средств информационной безопасности.

Выбор подрядчиков осуществляется на основе конкурсных процедур в соответствии с действующим законодательством.

Приложение 1

Смета работ по созданию РИАС

N пп	Статья	Сумма,   тыс. долл. США
1.	Создание телекоммуникационной сети	299
2.	Поставка оборудования для информационных  комплексов государственных и муниципальных органов	962
3.	Проектирование,     поставка      оборудования     и развертывание Центра обработки данных	244
4.	Разработка, установка и конфигурирование прикладного программного обеспечения	490
5.	Поставка, установка  и  конфигурирование  системного программного  обеспечения  для  серверов  и  рабочих станций РИАС	306
6.	Поставка,       установка    и      конфигурирование аналитического программного обеспечения	36
7.	Поставка и внедрение средств защиты информации	78
8.	Внедрение   программного   обеспечения:    обучение, тиражирование документации, первичное наполнение баз данных, сопровождение	35
9.	Развертывание   информационных   систем:    создание локальных   сетей,  подключение  и  конфигурирование оборудования	50
	Всего	2499

Приложение 2

к постановлению Кабинета Министров

Чувашской Республики

от 28 декабря 2000 г. N 265

План

использования средств для реализации Программы реформирования системы управления общественными финансами в Чувашской Республике

(тыс. долл. США)

Цель расходования      средств	2001 год			2002			Итого по ме- роприятию
	всего	софинансирование из республиканс- кого бюджета Чу- вашской Респуб- лики	субсидии из ФФРРФ	всего	софинансирование из республиканс- кого бюджета Чу- вашской Респуб- лики	субсидии из ФФРРФ
Реализация Программы реформирования региональных финансов
Основные меропри- ятия,  изложенные в Программе	1967,5	377,5	1590	2269	451,8	1807,2	4226,5
Подпрограмма     "Республиканская информационно-   аналитическая си- стема"	1249,6	249,9	999,7	1250	250	1000	2499,6
Подпрограмма     "Здоровый   ребе- нок"	747,1	244	503,1	463,5	463,5	0	1210,6
Подпрограмма     "Снижение  издер- жек  на  поставку тепловой  энергии для     бюджетной сферы  и  муници- пального жилья"	2370	470	1900	2690	490	2200	5060
Погашение долговых обязательств и кредиторской задолженности
	0	0	0	0	0	0	0
Капитальные вложения в общественную инфраструктуру
	0	0	0	0	0	0	0
Финансирование социально значимых расходов
	0	0	0	0	0	0	0
Итого использование средств Федерального фонда развития региональных финансов и средств республиканского бюджета Чувашской Республики
	6334,2	1341,4	4992,8	6662,5	1655,3	5007,2	12996,7