КИИ в облаке: соответствие требованиям и аттестация системы заказчика

Выбор площадки, договор, миграция или проверка системы

• Выбираете площадку

  Требования к провайдеру для сравнения предложений и перечень сведений, которые нужно запросить до закупки или подписания договора.

• Согласовываете договор

  Распределение обязательств между провайдером и заказчиком, требования к регламенту взаимодействия и к классу сервиса для технического задания и контракта.

• Готовите миграцию

  Модель угроз с учётом облачного размещения, проект защиты, план переноса и проверки до и после переезда.

• Уже работаете в облаке

  Проверка имеющихся документов площадки и определение работ, которых не хватает на стороне системы заказчика.

Состав проекта зависит от стадии и уже выполненных работ.

Что делаем при размещении КИИ и ГИС в облаке

Пять направлений работ для облака КИИ и ГИС. Берём одно или несколько: состав зависит от стадии проекта и того, что уже сделано.

1. 1

   Документы по КИИ и ГИС для облака

   Когда нужно. Выбираете площадку, готовите закупку, согласовываете договор с провайдером или актуализируете документы работающей системы.

   Что делаем:

   • составляем требования к облачному провайдеру для сравнения коммерческих предложений и запроса недостающих сведений;
   • разрабатываем или актуализируем модель угроз с учётом облачного размещения (для ЗОКИИ её разрабатывает субъект сам или с привлечённой организацией, 239 п. 11): рассматриваем персонал и оборудование площадки как источники угроз, обосновываем класс СКЗИ на канале; для ГИС готовим комплект к согласованию с ФСТЭК и ФСБ (ПП № 676 п. 3);
   • пишем формулировки для технического задания, договора и регламента взаимодействия: класс сервиса, размещение компонентов в России, сроки уведомлений (ПП № 1024 п. 4«в», 5, 6);
   • проверяем присвоенную категорию значимости или готовим материалы для комиссии по категорированию.

   Что получаете. Перечень требований к площадке, модель угроз, разделы для ТЗ и договора, таблицу распределения работ между провайдером, вами и нами.

2. 2

   Миграция в защищённое облако: план переноса и проект защиты

   Когда нужно. Площадка выбрана, договор согласован; систему пора переносить.

   Что делаем:

   • составляем план переноса по этапам с проверками до и после переезда: какие компоненты, в каком порядке, что проверяем на каждом шаге;
   • проектируем систему защиты в облаке: распределяем меры защиты между площадкой и вашей системой на каждом уровне, от гипервизора до прикладного ПО (защита среды виртуализации);
   • переносим компоненты системы по плану вместе с вашей ИТ-службой и провайдером и контролируем, что площадка выполняет закреплённые в договоре требования.

   Что получаете. План миграции в облако, проект системы защиты, протоколы проверок до и после переноса.

3. 3

   Внедрение средств защиты и подготовка к оценке соответствия

   Когда нужно. Проект защиты согласован, систему нужно довести до оценки соответствия.

   Что делаем:

   • подбираем, поставляем и настраиваем средства защиты на стороне вашей системы, кроме СКЗИ: их класс на канале обосновываем в модели угроз и закрепляем в договоре, а поставку, установку и настройку СКЗИ выполняет сторона, названная в договоре: провайдер, лицензиат ФСБ или вы сами для собственных нужд;
   • готовим эксплуатационную документацию: инструкции, регламенты, журналы;
   • готовим систему к аттестационным испытаниям или иной форме оценки соответствия (аттестация системы).

   Аттестационные испытания проводят эксперты, которые не участвовали ни в разработке, ни во внедрении защиты этой системы (приказ ФСТЭК № 77, п. 8): роли внедрения и аттестации в проекте разделяем.

   Что получаете. Настроенные средства защиты с актами настройки, комплект эксплуатационной документации и документов для оценки соответствия.

4. 4

   Мониторинг событий и реагирование на инциденты

   Когда нужно. Система работает в облаке, и обязанность информировать об инцидентах остаётся на вас: субъект КИИ незамедлительно (187-ФЗ ст. 9 ч. 2 п. 1), оператор ГИС, системы госоргана, ГУП или учреждения по 149-ФЗ ст. 16 ч. 7.

   Что делаем:

   • подключаем систему к нашему центру мониторинга событий ИБ: разбираем события с площадки и из вашей системы, готовим карточку инцидента для НКЦКИ в срок по регламенту;
   • закрепляем в регламенте взаимодействия порядок передачи данных об атаках от провайдера;
   • организуем подключение к ГосСОПКА: заявка, технические условия НКЦКИ, регламент; уведомления подаёте от своего имени.

   Что получаете. Мониторинг, порядок уведомления НКЦКИ и готовые карточки инцидентов; уведомление подаёте от своего имени.

5. 5

   Сопровождение в эксплуатации и контроль защищённости

   Когда нужно. Система аттестована или введена в эксплуатацию, и при каждом изменении системы или площадки соответствие приходится подтверждать заново.

   Что делаем:

   • поддерживаем средства защиты и актуализируем документы при изменениях системы или площадки;
   • проводим контроль защищённости: анализ уязвимостей и тестирование на проникновение (приказ ФСТЭК № 77, п. 31(1)); для аттестованной системы отчёт владелец представляет в ФСТЭК не реже раза в три года (п. 31, 32);
   • готовим формулировки требований к подрядчикам с доступом к системе, включая показатель уровня зрелости Узи (117 п. 58; для ЗОКИИ 235 п. 36(4) с 01.03.2027).

   Что получаете. План сопровождения, отчёты контроля защищённости, актуальные модель угроз и документацию.

Документы на выходе

Возможный состав полного проекта. Выполненные работы учитываем; необходимые этапы определяем для вашей системы и начинаем с того шага, который ещё не сделан:

• категорирование или проверка присвоенной категории (как проходит);
• модель угроз с учётом облачного размещения;
• проверка выбранного вами облачного провайдера на соответствие требованиям системы;
• проект системы защиты и миграция в облако;
• оценка соответствия в нужной форме: для ГИС аттестация системы;
• подключение к ГосСОПКА;
• сопровождение в эксплуатации: поддержка средств защиты, мониторинг инцидентов, контроль защищённости с отчётом в ФСТЭК не реже раза в три года.

Кто выполняет работы

«Кредо-С» - лицензиат ФСТЭК России по технической защите конфиденциальной информации (№ Л024-00107-00, реестровая запись № 00581724): аттестационные испытания, контроль защищённости, проектирование и внедрение средств защиты. Сопровождение системы защиты после переезда и мониторинг инцидентов ведёт наш центр мониторинга. По ГосСОПКА действует статус корпоративного центра класса «Б». Работы ведут специалисты лицензиата; роли внедрения и аттестации в проекте разделяем.

12 вопросов облачному провайдеру

Что спросить у площадки до подписания: аттестат и его границы, класс защищённости сервиса, регламент взаимодействия, сроки уведомления об инцидентах, показатель зрелости. С отсылкой к норме по каждому вопросу.