Класифікація засобів захисту інформації: класи, типи, перелік

Засіб захисту інформації це будь-який інструмент чи механізм, який реалізує заходи безпеки. Коли таких інструментів десятки, потрібна система координат: за якими ознаками їх поділяють, чим рівень відрізняється від призначення й де шукати офіційний державний реєстр. Огляд шести основних груп — в оглядовій статті рубрики.

Класифікація засобів захисту інформації: сім осей поділу

Єдиної «правильної» схеми не існує. Той самий продукт одночасно належить до кількох груп — усе залежить від зрізу, який вас цікавить:

Пасивні та активні. Пасивні просто перешкоджають: замок, екранування, шифрування сховища. Активні виявляють подію й діють — IPS, антивірус, WAF у режимі блокування. Різниця не академічна: активний інструмент здатний зупинити атаку — і здатний зупинити ваш бізнес хибним спрацюванням.

Етапи протидії. Запобігання — не дати статися (firewall, контроль доступу). Виявлення — помітити (SIEM, IDS, моніторинг). Реагування й відновлення — усунути наслідки (резервні копії, план реагування).

Один продукт — кілька груп одночасно

Поділ не означає, що виріб живе в одній комірці. Візьмімо міжмережевий екран нового покоління: спосіб реалізації — програмно-апаратний, характер дії — активний, етап — превентивний, об'єкт — мережа, місце роботи — периметр, а режим можна тримати і в спостереженні, і в блокуванні.

Той самий фокус із резервним копіюванням: технічне рішення, пасивне характером, працює на етапі відновлення, закриває доступність, об'єкт — сховище, місце — і хост, і хмара. Через цю багатовимірність будь-яка спроба скласти «єдиний правильний список» приречена: набір комірок залежить від питання, яке ви ставите.

Класи засобів захисту інформації та їхні типи: різниця слів

У побуті «клас» і «тип» вживають як синоніми. У документах різниця є, і вона породжує непорозуміння на переговорах.

• Тип — про призначення виробу: антивірусний, мережевий, криптографічний, контролю доступу. Відповідає на питання «для чого він».
• Клас — про рівень. Слово прив'язане до вимог: рівень автоматизованої системи (одномашинна, локальна, розподілена), рівень захищеності, рівень довіри за міжнародною шкалою. Відповідає на питання «наскільки суворі вимоги».

Звідси типова плутанина в тендерах: замовник пише «виріб другого класу», маючи на увазі рівень вимог, а постачальник читає його як групу за призначенням. Формулюйте прямо: тип відповідає на питання «що», клас — на питання «наскільки».

Типи засобів захисту інформації зручно перевіряти за призначенням: якщо продукт не закриває жодного ризику зі списку, він зайвий.

Восьма вісь: походження продукту

Поділ за походженням у підручниках трапляється рідко, зате саме він визначає реальний кошторис:

• вбудовані — уже наявні в операційній системі, поштовому сервісі чи хмарному кабінеті: фільтрація, шифрування диска, багатофакторна автентифікація, журнали. Оплачені ліцензією, потребують лише годин адміністратора;
• відкриті — безкоштовні за ліцензією, платні за супроводом: інженер, який їх веде, коштує дорожче за передплату середнього комерційного продукту;
• комерційні — ціна включає підтримку, оновлення й відповідальність постачальника.

Практичний висновок простий: перш ніж купувати нове, перевірте, чи не придбали ви потрібне разом із наявною платформою. Ця вісь економить бюджет частіше, ніж усі інші разом узяті.

Пасивні та активні: ціна помилки

Активний режим приваблює: продукт сам блокує загрозу. Але він же створює ризик протилежного роду — зупинити легітимну роботу. Хибне спрацювання на платіжному шлюзі коштує дорожче за пропущений скан порту.

Тому активні інструменти вмикають поступово:

1. Спостереження. Кілька тижнів продукт лише фіксує події.
2. Аналіз. Розбираєте, що саме він позначив би як атаку.
3. Винятки. Описуєте легітимні сценарії, які продукт плутає з нападом.
4. Блокування. Спершу для явних сигнатур, далі — ширше.

Пропущені кроки перетворюють активний режим на вимкнений: після першої зупинки бізнес-процесу продукт переводять у спостереження — і забувають там назавжди.

Ті самі осі в міжнародному стандарті

Українська практика поділу не унікальна. Додаток А стандарту ISO 27001 групує контролі за чотирма темами — організаційні, людські, фізичні та технологічні, — а супровідний звід практик додає до кожного контролю атрибути: тип (превентивний, детективний, коригувальний), властивість (конфіденційність, цілісність, доступність), операційна спроможність, домен.

Порівняйте з таблицею вище: тема — це спосіб реалізації, тип — етап протидії, властивість — функція безпеки. Тобто міжнародна схема користується тими самими координатами, лише називає їх інакше. Практична вигода очевидна: якщо ви колись готуватиметеся до сертифікації системи управління, ваша власна таблиця вже говоритиме мовою аудитора.

Класифікатор засобів ТЗІ

Для регульованої сфери в Україні діє окремий інструмент — Класифікатор засобів технічного захисту інформації (нормативний документ системи ТЗІ, чинний із 2012 року). Він упорядковує вироби за призначенням і задає спільну мову: замовник, виконавець і регулятор однаково розуміють, про що йдеться в договорі.

Практична користь від нього трояка. По-перше, спільна мова: у технічному завданні можна послатися на позицію класифікатора — і виконавець не підмінить предмет. По-друге, перевірка компетентності: підрядник, який плутається в позиціях, навряд чи вестиме вас крізь державну експертизу. По-третє, повнота: перебираючи позиції, легко помітити напрямок, про який ви взагалі не думали.

Детальніше про саму галузь — у статті Технічний захист інформації, а докладний розбір виробів ТЗІ та реєстрів — у матеріалі Засоби і системи ТЗІ.

Перелік засобів захисту інформації, дозволених державою

Держспецзв'язку веде й оприлюднює Перелік засобів ТЗІ, дозволених для державних інформаційних ресурсів. Назва довга, суть проста: продукт із цього реєстру можна застосовувати в регульованій сфері, решту — ні.

Реєстр охоплює чотири категорії:

1. Технічні вироби, основне призначення яких — убезпечити дані від витоку, порушення цілісності чи блокування.
2. Технічні вироби, у яких захисні функції додаткові до основного призначення.
3. Обладнання для пошуку закладних пристроїв.
4. Обладнання для оцінювання захищеності.

Практична порада: перевіряйте не назву виробника, а конкретну модель і версію. Запис у реєстрі прив'язаний до версії, і оновлення продукту здатне вивести його за межі підтвердженого.

Види сертифікації засобів захисту інформації: три шляхи

Раніше шляхів було два. Тепер їх три — і про третій досі знають не всі:

Важливе застереження: для державної таємниці міжнародний маршрут закритий — там потрібен український експертний висновок. І ще одне: підтверджений документ стосується конкретної версії продукту, а не бренду загалом.

Докладніше про вимоги до таких виробів — у статті Сертифіковані засоби захисту.

Реєстр — це допуск, а не рейтинг

Присутність продукту в державному реєстрі означає одне: його дозволено застосовувати там, де діють нормативні вимоги. Реєстр стосується допуску, а не якості: порівняння виробів між собою й придатність саме для вашого випадку лишаються на вас.

Звідси дві поширені помилки. Перша — обирати з реєстру «навмання», мовляв, усі однаково дозволені. Друга — вважати, ніби поза реєстром продуктів немає: для звичайного бізнесу без державних ресурсів реєстр узагалі не є обмеженням.

Що робити, коли потрібного виробу в реєстрі немає

Ситуація трапляється частіше, ніж хочеться: потрібна функція є лише в продукті, якого державний реєстр не знає. Варіантів три, і всі законні:

• ініціювати підтвердження відповідності для конкретної версії — довго й недешево, зате результат лишається вам;
• знайти функціональний аналог серед дозволених — інколи виявляється, що потрібну функцію закриває вже наявний виріб;
• переглянути архітектуру так, щоб чутливі дані взагалі не потрапляли в контур, де діють обмеження.

Що робити точно не варто — ставити недозволений продукт «тимчасово». Під час перевірки це не зауваження, а підстава для скасування допуску всієї системи.

Як поділ працює в тендері

Погана вимога звучить так: «постачити систему безпеки». Її неможливо ані оцінити, ані використати для порівняння пропозицій.

Робоча вимога складається з чотирьох координат:

• тип — призначення (наприклад, фільтрація прикладного рівня для вебсервісу);
• функція — яка властивість береться під охорону (цілісність замовлень);
• режим — очікуваний стан після впровадження (блокування, а не спостереження);
• рівень — суворість вимог, якщо ви в регульованій сфері.

Плюс критерій приймання: замість «продукт встановлено» — «продукт блокує тестовий набір атак і пише журнал, який ми вивантажуємо до свого сховища».

Практичний висновок: матриця покриття

Для звичайного бізнесу поділ потрібен не заради теорії, а щоб побачити діри. Візьміть чотири етапи протидії й позначте, чим кожен закрито:

Заповнювати матрицю варто чесно: до клітинки вписують не назву продукту, а спосіб, у який ви дізнаєтеся про подію та зупините її. «У нас є антивірус» — слабка відповідь для рядка «виявити», якщо сповіщення нікуди не надходять.

Найтиповіша прогалина видно одразу: перший рядок заповнений, другий і третій — порожні. Тобто інструменти запобігання куплено, а виявлення й реагування немає. Наслідок передбачуваний: атаку помічають тоді, коли все вже впало, і починають шукати порядок дій під час самої події.

Чого немає в жодній схемі поділу

Жодна вісь не показує двох речей, від яких залежить результат.

Людина. Інструмент виявлення без того, хто читає сповіщення, працює як дзвоник у порожній квартирі. У матриці покриття він займає клітинку, у житті — ні.

Налаштування. Два однакові продукти в двох компаніях дають різний результат: в одній правила переглянули торік, в іншій вони лишилися заводськими. Класифікація описує можливості, а не стан.

Тому матрицю варто читати з поправкою: клітинка вважається закритою, лише якщо в неї вписано прізвище відповідального й дату останнього перегляду.

Скільки осей потрібно звичайній компанії

Усі сім тримати в голові немає сенсу. Для компанії без окремої служби безпеки робочих осей дві:

• етап протидії — показує діри в обороні;
• власник — показує, чи взагалі хтось відповідає за конкретний інструмент.

Решта осей — інструмент архітектора й закупівельника: вони потрібні тоді, коли ви проєктуєте систему або порівнюєте пропозиції. Регульована сфера додає третю обов'язкову вісь — рівень вимог і підтверджену відповідність.

Як за пів години розкласти власний арсенал

Порядок дій, що обходиться без консультанта й бюджету:

1. Випишіть усе, за що компанія платить або що ввімкнено «за замовчуванням»: антивірус, пошта, хмара, резервні копії, фаєрвол, журнали.
2. Навпроти кожного поставте призначення (тип) і етап протидії.
3. Допишіть режим: спостереження чи блокування — і коли його востаннє змінювали.
4. Додайте прізвище власника й дату останнього перегляду налаштувань.
5. Подивіться на порожні клітинки — це ваш план на наступний квартал.

Найчастіший результат такої вправи — відкриття, що етап «виявлення» тримається на одній людині, яка іноді зазирає в журнали, а етап «відновлення» ніхто не перевіряв від дня встановлення системи копіювання.

Чотири помилки поділу

• Ділити за брендами, а не за функціями. Каталог постачальника — не класифікація: у ньому немає вашого ризику.
• Плутати активний режим із блокуванням за замовчуванням. Продукт може бути активним за природою, але роками стояти в режимі спостереження.
• Вважати, що одна вісь замінює решту. Комплект, повний за способом реалізації, легко лишається порожнім за етапом виявлення.
• Ототожнювати підтверджену відповідність із результатом. Документ говорить про властивості виробу, а не про якість вашого налаштування.