Руководство администратора безопасности




Скачать 225.23 Kb.
НазваниеРуководство администратора безопасности
ТипРуководство
rykovodstvo.ru > Руководство эксплуатация > Руководство





127 018, Москва, Сущевский вал, д.16/5
Телефон: (495) 780 4820
Факс: 4095) 780 4820
http://www.CryptoPro.ru
E-mail: info@CryptoPro.ru








Средство
Криптографической
Защиты
Информации

КриптоПро CSP

Версия 3.6

Руководство администратора безопасности

Использование СКЗИ под управлением iOS

ЖТЯИ.00050-03 90 02-07

Листов 12

2011


© OOO "КРИПТО-ПРО", 2000-2011. Все права защищены.

Авторские права на средства криптографической защиты информации типа КриптоПро CSP и эксплуатационную документацию к ним зарегистрированы в Российском агентстве по патентам и товарным знакам (Роспатент).

Настоящий Документ входит в комплект поставки программного обеспечения СКЗИ КриптоПро CSP версии 3.6; на него распространяются все условия лицензионного соглашения. Без специального письменного разрешения OOO "КРИПТО-ПРО" документ или его часть в электронном или печатном виде не могут быть скопированы и переданы третьим лицам с коммерческой целью.

Содержание

1. Аннотация 4

2. Список сокращений 4

3. Основные технические данные и характеристики СКЗИ 5

3.1. Программно-аппаратная среда 5

3.2. Варианты исполнения СКЗИ 5

3.3. Ключевые носители 5

4. Установка дистрибутива ПО КриптоПро CSP 5

5. Обновление СКЗИ КриптоПро CSP 5

6. Состав и назначение компонент программного обеспечения СКЗИ 5

7. Встраивание СКЗИ КриптоПро CSP в прикладное ПО 5

8. Требования по организационно-техническим и административным мерам обеспечения эксплуатации СКЗИ 6

8.1. Общие меры защиты от НСД ПО с установленными СКЗИ для iOS 6

8.2. Требования по размещению технических средств с установленным СКЗИ 8

9. Требования по криптографической защите 8

Приложение 1. Контроль целостности программного обеспечения 10

Приложение 2. Управление протоколированием 11

Лист регистрации изменений 12


1.Аннотация


Настоящее Руководство дополняет документ "ЖТЯИ.00050-03 90 02. КриптоПро CSP. Руководство администратора безопасности. Общая часть" при использовании СКЗИ под управлением iOS.

Инструкции администраторам безопасности и пользователям различных автоматизированных систем, использующих СКЗИ Error: Reference source not found, должны разрабатываться с учетом требований настоящего документа.

2.Список сокращений


CRL

Список отозванных сертификатов (Certificate Revocation List)

ITU-T

Международный комитет по телекоммуникациям (International Telecommunication Union)

IETF

Internet Engineering Task Force

АС

Автоматизированная система

АРМ

Автоматизированное рабочее место

ГМД

Гибкий магнитный диск

ДСЧ

Датчик случайных чисел

HDD

Жесткий магнитный диск

КП

Конечный пользователь

НСД

Несанкционированный доступ

ОС

Операционная система

ПАК

Программно-аппаратный комплекс

ПО

Программное обеспечение

Регистрация

Присвоение определенных атрибутов (адреса, номера ключа, прав использования и т.п.) абоненту

Регламент

Совокупность инструкций и другой регламентирующей документации, обеспечивающей функционирование автоматизированной системы во всех режимах.

СВТ

Средства вычислительной техники

Сертификат

Электронный документ, подтверждающий принадлежность открытого ключа и определенных атрибутов конкретному абоненту

Сертификация

Процесс изготовления сертификата открытого ключа абонента в центре сертификации

СКЗИ

Средство криптографической защиты информации

СОС

Список отозванных сертификатов (Certificate Revocation List)

СС

Справочник сертификатов открытых ключей. Сетевой справочник.

ЦС

Центр Сертификации (Удостоверяющий Центр)

ЦР

Центр Регистрации

ЭД

Электронный документ

ЭЦП

Электронная цифровая подпись


3.Основные технические данные и характеристики СКЗИ


СКЗИ ЖТЯИ.00050-03 разработано в соответствии с криптографическим интерфейсом фирмы Microsoft - Cryptographic Service Provider (CSP).

3.1.Программно-аппаратная среда


СКЗИ ЖТЯИ.00050-03 под управлением iOS используется в программно-аппаратных средах iOS версии 4.2 и выше.

Со сроками эксплуатации операционных систем, в среде которых функционирует СКЗИ, можно ознакомиться по следующему адресу:

<http://www.apple.com/support/>.

3.2.Варианты исполнения СКЗИ


СКЗИ ЖТЯИ.00050-03 для работы с ОС iOS изготовляется и распространяется в одном варианте исполнения:

Исполнение 1 – СКЗИ класса защиты КС1.

3.3.Ключевые носители


В качестве ключевых носителей закрытых ключей выступает устройство iPad/iPod/iPhone.

4.



Примечания. 1. Хранение закрытых ключей в памяти iPad/iPod/iPhone допускается при условии распространения на HDD или ПЭВМ c HDD требований по обращению с ключевыми носителями, в том числе и после удаления ключей.

2. Перечень ключевых носителей по исполнениям СКЗИ и программно-аппаратным платформам см. Формуляр ЖТЯИ.00050-03 30 01, п.п. 3.8, 3.9.
Установка дистрибутива ПО КриптоПро CSP


Для операционной системы iOS КриптоПро CSP не поставляется в виде конечного приложения. КриптоПро CSP для iOS представляет собой фреймворк для разработки, который содержит в себе объектный файл, реализующий функции CSP, ресурсы и заголовочные файлы. Фреймворк не имеет механизма самостоятельной установки в операционную систему. Установка осуществляется в составе прикладной программы, разработанной на основе фреймворка теми средствами, которые предлагает разработчик прикладной программы.

5.Обновление СКЗИ КриптоПро CSP


Обновление КриптоПро CSP на iOS осуществляется в составе приложения, включающего в себя КриптоПро CSP согласно инструкциям от производителя приложения.

6.Состав и назначение компонент программного обеспечения СКЗИ


Для операционной системы iOS КриптоПро CSP не поставляется в виде конечного приложения. КриптоПро CSP для iOS представляет собой фреймворк для разработки, который содержит в себе объектный файл, ресурсы и заголовочные файлы. Объектный файл CPROCSP содержит в себе реализацию интерфейса CSP и вспомогательных функций. Доступные функции описаны в заголовочных файлах из состава фреймворка.

7.Встраивание СКЗИ КриптоПро CSP в прикладное ПО


При встраивании СКЗИ Error: Reference source not found в прикладное программное обеспечение должны выполняться требования раздела 7 документа "Error: Reference source not found

8.Требования по организационно-техническим и административным мерам обеспечения эксплуатации СКЗИ


Должны выполняться требования по организационно-техническим и административным мерам обеспечения безопасности эксплуатации СКЗИ в объеме раздела 12 документа "Error: Reference source not found

8.1.Общие меры защиты от НСД ПО с установленными СКЗИ для iOS


При использовании СКЗИ ЖТЯИ.00050-03 под управлением iOS необходимо предпринять дополнительные меры организационного и технического характера и выполнить дополнительные настройки операционной системы. При этом ставится задача не только обеспечить дополнительную защиту устройства и ОС от НСД, но и обеспечить бесперебойный режим работы и исключить возможности "отказа в обслуживании", вызванного внутренними причинами (например - переполнением файловых систем).

К организационно-техническим мерам относятся:

  • обеспечение физической безопасности устройства;

  • установка программных обновлений;

  • организация процедуры резервного копирования и хранения резервных копий.

Дополнительные настройки iOS касаются следующего:

  • ограничение доступа пользователей и настройки пользовательского окружения;

  • ограничение сетевых соединений;

  • ограничения на запуск процессов и установку программ;

  • дополнительные настройки ядра ОС;

  • настройка сетевых сервисов;

  • ограничение количества "видимой извне" информации о системе;

  • настройка подсистемы протоколирования и аудита.

8.1.1.Организационно-технические меры

8.1.1.1.Обеспечение физической безопасности устройства


Следует исключить возможность доступа неавторизованного персонала к устройству. Для этого необходимо либо осуществлять личный контроль за устройством, либо хранить его в запираемом сейфе.

Доступ персонала к устройству должен быть регламентирован внутренним распорядком эксплуатирующей организации и должностными инструкциями.

8.1.1.2.Организация процедуры резервного копирования и хранения резервных копий


При определении регламента резервного копирования и хранения резервных копий следует обеспечить ответственное хранение резервных копий и определить процедуру выдачи резервных копий ответственному персоналу и уничтожения вышедших из употребления носителей (лент, однократно записываемых дисков и пр.).

Резервные копии должны храниться в запираемых сейфах либо в зашифрованном виде на ЭВМ.

Стандартными мерами по организации ответственного хранения носителей являются:

  • маркировка носителей;

  • составление описи хранимых носителей с указанием серийных (инвентарных) номеров, дат записи носителей, фамилией сотрудника, создавшего копию для каждого шкафа(сейфа);

  • периодическая сверка описи и содержимого сейфов (шкафов);

  • организация ответственного хранения и выдачи ключей от сейфов (шкафов);

  • возможное опечатывание (опломбирование) сейфов(шкафов).

Уничтожение вышедших из употребления носителей должно производится комиссией с составлением акта об уничтожении.

8.1.1.3.При использовании СКЗИ ЖТЯИ.00050-03 на ПЭВМ, подключенных к общедоступным сетям связи, должны быть предприняты дополнительные меры, исключающие возможность несанкционированного доступа к системным ресурсам используемых операционных систем, к программному обеспечению, в окружении которого функционируют СКЗИ, и к компонентам СКЗИ со стороны указанных сетей.

8.1.1.4.Право доступа к рабочим местам с установленным ПО СКЗИ «КриптоПро CSP» предоставляется только лицам, ознакомленным с правилами пользования и изучившим эксплуатационную документацию на программное обеспечение, имеющее в своем составе СКЗИ ЖТЯИ.00050-03

8.1.1.5.На технических средствах, оснащенных СКЗИ «КриптоПро CSP» должно использоваться только лицензионное программное обеспечение фирм-производителей.

8.1.1.6.На компьютере, к которому подключается устройство, не устанавливаются средств разработки и отладки ПО. Если средства отладки приложений нужны для технологических потребностей организации, то их использование должно быть санкционировано администратором безопасности. В любом случае запрещается использовать эти средства для просмотра и редактирования кода и памяти приложений, использующих СКЗИ ЖТЯИ.00050-03.

8.1.1.7.Должны быть приняты меры по исключению несанкционированного доступа посторонних лиц в помещения, в которых установлены технические средства СКЗИ ЖТЯИ.00050-03, по роду своей деятельности не являющихся персоналом, допущенным к работе в указанных помещениях.

8.1.1.8.Должно быть запрещено оставлять без контроля вычислительные средства, на которых эксплуатируется СКЗИ ЖТЯИ.00050-03 после ввода ключевой информации. При уходе пользователя с рабочего места должно использоваться автоматическое включение парольной заставки.

8.1.1.9.Из состава системы должно быть исключено оборудование, которое может создавать угрозу безопасности iOS. Также необходимо избегать использования нестандартных аппаратных средств, имеющих возможность влиять на функционирование устройства или iOS.

8.1.1.10.После инсталляции iOS следует установить все рекомендованные производителем операционной системы программные обновления и программные обновления, связанные с безопасностью, существующие на момент инсталляции.

8.1.2.Дополнительные настройки iOS и операционных систем, к которым устройство подключается через iTunes

8.1.2.1.Индивидуальная настройка iOS


  1. В настройках iOS в разделе «General – Passcode Lock» необходимо включить пароли. Необходимо задать сложность пароля и настройки для удаления данных в случае неправильного ввода пароля, соответствующие политике безопасности.


8.1.2.2.Корпоративная настройка iOS


Корпоративная настройка iOS выполняется при помощи iPhone Configuration utility. Это ПО можно скачать с сайта разработчика: http://www.apple.com/support/ . Документация по утилите также доступна на сайте разработчика. При помощи iPhone Configuration Utility можно создать профиль настройки для устройства и применить его к одному или нескольким устройствам.

  1. Создайте профиль со следующими параметрами:

    1. В разделе “passcode” выберите “require passcode on device” и сделайте настройки:

      1. Maximum passcode age – 30 days

      2. Passcode history 6

      3. Задайте сложность пароля и настройки для удаления данных в случае неправильного ввода пароля, соответствующие политике безопасности огранизации.

    2. В разделе “restrictions” отключите все разрешения, которые не являются необходимыми для выполнения работы. Отключите «Allow installing apps». Если эта возможность необходима для работы, её необходимо оставить, но настроить ограничения через “mobile device management” (см. ниже).

    3. Если в организации имеется сервер для управления мобильными устройствами(Mobile device management server), то в разделе “mobile device management” необходимо настроить подключение к нему. Сервер может быть использован для получения настроек (в том числе новых профилей настроек) и приложений.

  2. Установите на iPad всё необходимое программное обеспечение и примените конфигурационный профиль. Эти действия также можно сделать централизованно при помощи сервера Mobile device management.


8.1.2.3.Настройка ОС, к которой устройство подключается при помощи iTunes


  1. Выполните рекомендации по дополнительной настойке ОС из руководства администратора безопасности для соответствующей ОС.

  2. На компьютер, к котором устройство подключается через iTunes должны быть установлены средства антивирусной защиты.

  3. Если на устройстве хранятся закрытые ключи, резервные копии устройства, сделанные при помощи iTunes, должны быть зашифрованы. Для зашифрования может быть использовано ПО КриптоПро EFS или средства, предоставляемые операционной системой.


8.2.Требования по размещению технических средств с установленным СКЗИ


При размещении технических средств с установленным СКЗИ:

  • Должны быть приняты меры по исключению несанкционированного доступа в помещения, в которых размещены технические средства с установленным СКЗИ, посторонних лиц, по роду своей деятельности не являющихся персоналом, допущенным к работе в этих помещениях. В случае необходимости присутствия посторонних лиц в указанных помещениях должен быть обеспечен контроль за их действиями и обеспечена невозможность негативных действий с их стороны на СКЗИ, технические средства, на которых эксплуатируется СКЗИ и защищаемую информацию.

  • Внутренняя планировка, расположение и укомплектованность рабочих мест в помещениях должны обеспечивать исполнителям работ, сохранность доверенных им конфиденциальных документов и сведений, включая ключевую информацию.

  • В случае планирования размещения СКЗИ в помещениях, где присутствует речевая, акустическая и визуальная информация, содержащая сведения, составляющие государственную тайну, и (или) установлены технические средства и системы приема, передачи, обработки, хранения и отображения информации, содержащей сведения, составляющие государственную тайну, технические средства иностранного производства, на которых функционируют программные модули СКЗИ, должны быть подвергнуты специальной проверке по выявлению устройств, предназначенных для негласного получения информации».

9.Требования по криптографической защите


Должны выполняться требования по криптографической защите раздела 12 документа ЖТЯИ.00050-03 90 02 в части, касающейся Mac OS.

Конкретно должны выполняться требования:

  1. Использование только лицензионного системного программного обеспечения.

  2. При инсталляции СКЗИ должны быть обеспечены организационно-технические меры по исключению подмены дистрибутива и внесения изменений в СКЗИ после установки.

  3. Исключение из программного обеспечения ПЭВМ с установленным СКЗИ средств отладки.

  4. На рабочие станции, к которым устройство с СКЗИ подключается через iTunes, должны быть установлены средствами антивирусной защиты, сертифицированными Федеральной Службой Безопасности РФ по классу Б2 для рабочих станций.

  5. Пароль, используемый для аутентификации пользователей, должен содержать не менее 6 символов алфавита мощности не менее 10. Периодичность смены пароля – не реже одного раза в 3 месяца.

  6. Периодичность тестового контроля криптографических функций - 10 минут.

  7. Ежесуточная перезагрузка ПЭВМ.

  8. Периодичность останова ПЭВМ - 1 месяц.

  9. Запрещается использовать режим простой замены (ЕСВ) ГОСТ 28147-89 для шифрования информации, кроме ключевой.

  10. Должно даваться предупреждение о том, что при использовании режима шифрования CRYPT_SIMPLEMIX_MODE материал, обрабатываемый на одном ключе, автоматически ограничивается величиной 4 МВ.

  11. Должно быть запрещено использование СКЗИ для защиты телефонных переговоров без принятия в системе мер по защите от информативности побочных каналов, специфических при передаче речи.

  12. Должна быть запрещена работа СКЗИ при включенных в ПЭВМ штатных средствах выхода в радиоканал.

  13. Перед началом работы СКЗИ необходимо провести контроль целостности.

  14. Контролем целостности должен быть охвачен исполняемый файл приложения, в которое входит СКЗИ.


Приложение 1. Контроль целостности программного обеспечения


Программное обеспечение СКЗИ Error: Reference source not found имеет средства обеспечения контроля целостности ПО СКЗИ, которые должны выполняются периодически.

Разработчик прикладной программы, содержащей СКЗИ КриптоПро CSP должен рассчитать хэш приложения. Хэш хранится в ресурсах приложения и контролируется средствами КриптоПро CSP при каждом запуске приложения, а также при нажатии на кнопку «Проверить целостность дистрибутива» из панели КриптоПро CSP

Если в результате периодического контроля целостности появляется сообщения о нарушении целостности контролируемого файла, пользователь обязан прекратить работу и обратиться к администратору безопасности.

Администратор безопасности должен проанализировать причину, приведшую к нарушению целостности и в случае необходимости переустановить приложение, содержащее ПО СКЗИ Error: Reference source not found.

Приложение 2. Управление протоколированием


Для включения/отключения значение log используйте:


a) Mac OS


Для задания уровня протокола

/usr/CPROcsp/sbin/cpconfig –loglevel cpcsp -mask 0x9

Для задания формата протокола

/usr/CPROcsp/sbin/cpconfig –loglevel cpcsp - format 0x19

Для просмотра маски текущего уровня и формата протокола

/usr/CPROcsp/sbin/cpconfig –loglevel cpcsp -view


Значением параметра уровнь протокола является битовая маска:
N_DB_ERROR = 1 # сообщения об ошибках
N_DB_LOG = 8 # сообщения о вызовах


Значением параметра формат протокола является битовая маска:
DBFMT_MODULE = 1 # выводить имя модуля


DBFMT_THREAD = 2 # выводить номер нитки

DBFMT_FUNC = 8 # выводить имя функции

DBFMT_TEXT = 0x10 # выводить само сообщение

DBFMT_HEX = 0x20 # выводить НЕХ дамп

DBFMT_ERR = 0x40 # выводить GetLastError

Лист регистрации изменений


Лист регистрации изменений




Номера листов (страниц)

Всего

листов



документа

Входящий

№ сопроводи-

Подп.

Дата

Изм

изменен-

ных

замененных

новых

аннулиро-ванных

(страниц) в докум.




тельного

докум. и

дата








































































































































































































































































































































































































































































































































































































































































































































































































































































































































































































































Похожие:

Руководство администратора безопасности iconОбязанности администратора информационной безопасности (ответственного...
Настоящее документ определяет основные обязанности, права и ответственность администратора информационной безопасности подразделения...

Руководство администратора безопасности iconИнструкция администратора безопасности в Муниципальном учреждении...
Ава и обязанности администратора безопасности по вопросам обеспечения информационной безопасности при обработке персональных данных...

Руководство администратора безопасности iconРуководство администратора Страниц 58 Версия 2 04. 08. 2017 Назначение...
Настоящий документ содержит руководство администратора по программному продукту «q framework». Цель документа – предоставить администратору...

Руководство администратора безопасности iconРуководство администратора На листах Аннотация Документ «Руководство Администратора»
По основным образовательным программам и дополнительным общеобразовательным программам амурской области

Руководство администратора безопасности iconИнструкция администратора безопасности информации в муниципальном...
Данная Инструкция является руководящим документом администратора безопасности информации моу «сош №7»

Руководство администратора безопасности iconИнструкция администратора информационной безопасности
Настоящий документ определяет основные обязанности, права и ответственность администратора информационной безопасности (далее иб)...

Руководство администратора безопасности iconРуководство администратора
Сбора информации о состоянии безопасности объектов надзора по результатам надзорной деятельности в области

Руководство администратора безопасности iconНаименование программы Руководство администратора Документ
Настоящий документ содержит описание действий администратора по настройке по «Фрагмент»

Руководство администратора безопасности iconБаланса главного распорядителя, распорядителя, получателя бюджетных...
Методических указаний по инвентаризации имущества и финансовых обязательств, утвержденных приказом Минфина России от 13. 06. 1995...

Руководство администратора безопасности iconИнструкция администратора информационной безопасности информационной...
Настоящая инструкция определяет функции администратора информационной безопасности информационной системы персональных данных Дневник...

Руководство администратора безопасности iconИнструкция администратора безопасности информационных систем персональных...
Данная Инструкция определяет основные обязанности и права администратора безопасности информационных систем персональных данных моу...

Руководство администратора безопасности iconИнструкция администратору безопасности ас список используемых сокращений ас
Настоящая инструкция определяет общие функции, права и обязанности администратора безопасности информации ас по вопросам обеспечения...

Руководство администратора безопасности iconИнструкция администратора безопасности информационных систем персональных...
Данная Инструкция определяет основные обязанности и права администратора безопасности информационных систем персональных данных мбоу...

Руководство администратора безопасности iconРуководство администратора удаленного клиента
Документ является дополнением к ранее выпущенному документу Руководств администратора удаленного клиента. Документ предназначен для...

Руководство администратора безопасности iconРуководство администратора по обеспечению безопасности испдн в организации...
Администратор испдн (далее – Администратор) назначается приказом руководителя организации

Руководство администратора безопасности iconРуководство администратора
Руководство предназначено для администраторов программного комплекса гнивц курьер «Корпорация» ивключает сведения по


Руководство, инструкция по применению






При копировании материала укажите ссылку © 2018
контакты
rykovodstvo.ru
Поиск