Alat perlindungan informasi kriptografi digunakan untuk melindungi informasi pribadi atau rahasia yang dikirimkan melalui jalur komunikasi. Untuk menjaga kerahasiaan data, disarankan untuk menjalani otorisasi, mengautentikasi pihak-pihak yang menggunakan protokol TLS, IPSec, dan memastikan keamanan tanda tangan elektronik dan saluran komunikasi itu sendiri.

ISBC menawarkan solusi bermerek yang efektif mengenai penggunaan fasilitas penyimpanan yang aman informasi penting, tanda tangan elektronik, perlindungan akses saat menggunakan sistem kontrol. Organisasi pemerintah terbesar bekerja sama dengan kami, termasuk Layanan Pajak Federal Rusia, produsen dan pengembang alat keamanan informasi kriptografi terkemuka perangkat lunak, pusat sertifikasi yang beroperasi di berbagai wilayah di Rusia.

CIPF: jenis, aplikasi

Saat menggunakan CIPF, metode berikut digunakan:

1. Otorisasi data, memastikan perlindungan kriptografi atas signifikansi hukumnya selama transmisi dan penyimpanan. Untuk tujuan ini, algoritma digunakan untuk menghasilkan kunci elektronik dan memverifikasinya sesuai dengan peraturan yang ditentukan.
2. Perlindungan kriptografi atas informasi pribadi atau rahasia, kontrol atas integritasnya. Penerapan enkripsi asimetris, perlindungan imitasi (penghilangan kemungkinan substitusi data).
3. Perlindungan kriptografi aplikasi dan perangkat lunak sistem. Memastikan kontrol atas perubahan yang tidak sah dan operasi yang salah.
4. Pengelolaan elemen utama sistem sesuai dengan peraturan yang telah ditetapkan.
5. Otentikasi pihak-pihak yang bertukar data.
6. Perlindungan kriptografi transmisi informasi menggunakan protokol TLS.
7. Menggunakan perlindungan kriptografi untuk koneksi IP menggunakan ESP, IKE, AH.

Penjelasan lengkap tentang penggunaan sarana perlindungan informasi kriptografi terdapat dalam dokumen yang relevan.

solusi CIPF

Sedang dalam proses pengamanan informasi keamanan CIPF menggunakan metode berikut:

1. Otentikasi dalam aplikasi dilakukan berkat Blitz Identity Provider. Server otentikasi memungkinkan, menggunakan satu akun, mengelola sumber daya yang terhubung dalam bentuk apa pun (aplikasi Asli, Web, Desktop), menyediakan otentikasi ketat pengguna menggunakan token, kartu pintar.
2. Pada saat menjalin komunikasi, identifikasi para pihak dipastikan berkat tanda tangan elektronik. Inter-PRO memberikan perlindungan lalu lintas HTTP, kemampuan pengeditan dan kontrol tanda tangan digital on line.
3. Alat proteksi kriptografi yang digunakan untuk kerahasiaan alur dokumen digital juga menggunakan tanda tangan elektronik. Bekerja dengan kunci elektronik Plugin Blitz Smart Card digunakan dalam format aplikasi web.
4. Penggunaan sarana keamanan kriptografi menghilangkan masuknya perangkat tertanam dan malware, serta modifikasi sistem.

Klasifikasi CIPF

Alat yang digunakan untuk perlindungan kriptografi informasi terbuka di sistem yang berbeda,Menyediakan kerahasiaan dalam jaringan terbuka, bertujuan untuk melindungi, integritas data. Penting bahwa penggunaan alat-alat tersebut untuk menyimpan rahasia negara dilarang oleh hukum, tetapi cukup sesuai untuk menjamin keamanan informasi pribadi.

Sarana yang digunakan untuk melindungi informasi kriptografi diklasifikasikan berdasarkan kemungkinan ancaman dan penilaian kemungkinan metode peretasan sistem. Mereka bergantung pada adanya kemampuan yang tidak terdokumentasi atau ketidakpatuhan terhadap karakteristik yang disebutkan, yang mungkin berisi:

1. perangkat lunak sistem;
2. aplikasi perangkat lunak;
3. kelemahan lain dari media penyimpanan.

Perlindungan perangkat lunak diwakili oleh serangkaian solusi yang dirancang untuk mengenkripsi pesan yang terletak di berbagai media penyimpanan. Media penyimpanan tersebut dapat berupa kartu memori, flashdisk atau harddisk. Yang paling sederhana dapat ditemukan di domain publik. Perlindungan kriptografi perangkat lunak mencakup jaringan virtual yang dirancang untuk bertukar pesan yang beroperasi “di atas Internet”, misalnya, VPN, ekstensi yang memiliki protokol HTTP, mendukung ekstensi untuk HTTPS, enkripsi SSL. Protokol yang digunakan untuk bertukar informasi digunakan untuk membuat aplikasi Internet di IP telephony.

Perlindungan kriptografi perangkat lunak mudah digunakan di komputer rumah, untuk berselancar di Internet, dan di area lain di mana tidak ada tuntutan tinggi pada fungsionalitas dan keandalan sistem. Atau, seperti saat menggunakan Internet, Anda perlu membuat sejumlah besar sambungan aman yang berbeda.

Sistem perlindungan kriptografi perangkat keras

Sarana perlindungan kriptografi perangkat keras adalah perangkat fisik yang terkait dengan sistem transmisi data yang menyediakan enkripsi, perekaman, dan transmisi informasi. Perangkat tersebut dapat berupa perangkat pribadi atau terlihat seperti:

• Enkripsi USB, flash drive.

Dengan menggunakan perangkat ini Anda dapat membangun jaringan komputer yang sangat aman.

Alat perlindungan kriptografi perangkat keras mudah dipasang dan memberikan tingkat respons yang tinggi. Informasi yang diperlukan untuk memberikan perlindungan kriptografi tingkat tinggi terletak di memori perangkat. Bisa dibaca kontak atau non kontak.

Saat menggunakan CIPF yang diproduksi dengan merek ESMART, Anda akan menerima teknologi efektif yang memberikan perlindungan kriptografi efektif online atau offline, otentikasi pengguna menggunakan token, kartu pintar, atau data biometrik. Kombinasi metode perangkat keras dengan solusi perangkat lunak memungkinkan Anda mendapatkan hasil maksimal level tinggi perlindungan dengan sedikit waktu dan tenaga dalam proses pertukaran informasi.

Fitur penting dari lini produk perlindungan kriptografi ESMART® adalah kehadiran produk unik - berdasarkan chip MIK 51 domestik dari Mikron PJSC, yang dengannya Anda dapat secara efektif menyelesaikan banyak masalah terkait keamanan dan perlindungan data . Ini adalah CIPF dengan dukungan perangkat keras untuk algoritma kriptografi Gost Rusia berdasarkan chip domestik.

CIPF ESMART® Token Gost diterbitkan dalam bentuk kartu pintar dan token. Pengembangan perusahaan ESMART disertifikasi oleh FSB Rusia di kelas KS1/KS2/KS3. Sertifikat No. SF/124-3668 menyatakan bahwa CIPF ESMART Token GOST mematuhi persyaratan FSB Rusia untuk sarana enkripsi (kriptografi) kelas KS1/KS2/KS3, persyaratan untuk sarana tanda tangan elektronik yang disetujui oleh Perintah FSB No. 796 dan dapat digunakan untuk perlindungan informasi kriptografi, tidak mengandung informasi yang merupakan rahasia negara. Pemberitahuan ABPN.1-2018 mengizinkan penggunaan Gost R 34.10-2001 di token ESMART gost cipf selama masa berlaku sertifikat karena penundaan transisi ke gost r 34.10-2012 hingga 1 Januari 2020. Selain itu, ESMART® Token Gost dapat digunakan untuk membuat kunci, membuat dan memverifikasi tanda tangan elektronik, autentikasi pengguna multi-faktor yang ketat, dll.

Perusahaan ESMART menawarkan untuk membeli CIPF modern di harga terbaik dari pabrikan. Pusat R&D teknik dan produksi kami berlokasi di Zelenograd. Penggunaan chip produksi Rusia memungkinkan kami menawarkan harga terbaik dan paling kompetitif untuk alat perlindungan informasi kriptografi untuk proyek pemerintah, perusahaan, dan organisasi.

Alat perlindungan informasi kriptografi, atau disingkat CIPF, digunakan untuk memastikan perlindungan menyeluruh atas data yang dikirimkan melalui jalur komunikasi. Untuk melakukan ini, perlu untuk memastikan otorisasi dan perlindungan tanda tangan elektronik, otentikasi pihak yang berkomunikasi menggunakan protokol TLS dan IPSec, serta perlindungan saluran komunikasi itu sendiri, jika diperlukan.

Di Rusia, penggunaan sarana kriptografi untuk keamanan informasi sebagian besar dirahasiakan, sehingga hanya ada sedikit informasi yang tersedia untuk umum mengenai topik ini.

Metode yang digunakan dalam CIPF

• Otorisasi data dan memastikan keamanan signifikansi hukumnya selama transmisi atau penyimpanan. Untuk melakukan ini, mereka menggunakan algoritma untuk membuat tanda tangan elektronik dan memverifikasinya sesuai dengan peraturan yang ditetapkan RFC 4357 dan menggunakan sertifikat sesuai dengan standar X.509.
• Melindungi kerahasiaan data dan memantau integritasnya. Enkripsi asimetris dan perlindungan imitasi digunakan, yaitu menangkal substitusi data. Mematuhi Gost R 34.12-2015.
• Perlindungan perangkat lunak sistem dan aplikasi. Pantau perubahan yang tidak sah atau fungsi yang salah.
• Pengelolaan elemen terpenting dari sistem sesuai dengan peraturan yang diadopsi.
• Otentikasi pihak yang bertukar data.
• Mengamankan koneksi menggunakan protokol TLS.
• Melindungi koneksi IP menggunakan protokol IKE, ESP, AH.

Metode tersebut dijelaskan secara rinci dalam dokumen berikut: RFC 4357, RFC 4490, RFC 4491.

Mekanisme CIPF untuk perlindungan informasi

1. Kerahasiaan informasi yang disimpan atau dikirimkan dilindungi oleh penggunaan algoritma enkripsi.
2. Saat membuat koneksi, identifikasi diberikan melalui tanda tangan elektronik saat digunakan selama otentikasi (seperti yang direkomendasikan oleh X.509).
3. Alur dokumen digital juga dilindungi oleh tanda tangan elektronik bersama dengan perlindungan terhadap pembebanan atau pengulangan, sementara keaslian kunci yang digunakan untuk memverifikasi tanda tangan elektronik dipantau.
4. Integritas informasi dijamin melalui tanda tangan digital.
5. Menggunakan fungsi enkripsi asimetris membantu melindungi data Anda. Selain itu, fungsi hashing atau algoritma peniruan identitas dapat digunakan untuk memeriksa integritas data. Namun, metode ini tidak mendukung penentuan kepenulisan suatu dokumen.
6. Perlindungan pengulangan terjadi menggunakan fungsi kriptografi tanda tangan elektronik untuk enkripsi atau perlindungan imitasi. Dalam hal ini, pengidentifikasi unik ditambahkan ke setiap sesi jaringan, cukup lama untuk mengecualikan kebetulan acaknya, dan verifikasi dilaksanakan oleh pihak penerima.
7. Perlindungan terhadap pembebanan, yaitu terhadap penetrasi komunikasi dari luar, diberikan melalui tanda tangan elektronik.
8. Perlindungan lainnya - terhadap bookmark, virus, modifikasi sistem operasi, dll. - disediakan menggunakan berbagai sarana kriptografi, protokol keamanan, perangkat lunak anti-virus, dan tindakan organisasi.

Seperti yang Anda lihat, algoritma tanda tangan elektronik adalah bagian mendasar dari sarana perlindungan informasi kriptografi. Mereka akan dibahas di bawah.

Persyaratan untuk menggunakan CIPF

CIPF ditujukan untuk melindungi (dengan memeriksa tanda tangan elektronik) data terbuka di berbagai bidang sistem Informasi ah penggunaan umum dan memastikan kerahasiaannya (verifikasi tanda tangan elektronik, perlindungan imitasi, enkripsi, verifikasi hash) di jaringan perusahaan.

Alat perlindungan informasi kriptografi pribadi digunakan untuk melindungi data pribadi pengguna. Namun, penekanan khusus harus diberikan pada informasi yang berkaitan dengan rahasia negara. Menurut hukum, CIPF tidak dapat digunakan untuk bekerja dengannya.

Penting: sebelum menginstal CIPF, hal pertama yang harus Anda periksa adalah paket perangkat lunak CIPF itu sendiri. Ini adalah langkah pertama. Biasanya, integritas paket instalasi diverifikasi dengan membandingkan checksum yang diterima dari pabrikan.

Setelah instalasi, Anda harus menentukan tingkat ancaman, berdasarkan mana Anda dapat menentukan jenis CIPF yang diperlukan untuk digunakan: perangkat lunak, perangkat keras, dan perangkat keras-perangkat lunak. Perlu juga diingat bahwa ketika mengatur CIPF tertentu, penempatan sistem juga harus diperhitungkan.

Kelas perlindungan

Menurut perintah FSB Rusia tertanggal 10 Juli 2014, nomor 378, yang mengatur penggunaan sarana kriptografi untuk melindungi informasi dan data pribadi, enam kelas didefinisikan: KS1, KS2, KS3, KB1, KB2, KA1. Kelas perlindungan untuk sistem tertentu ditentukan dari analisis data tentang model penyusup, yaitu dari penilaian cara yang mungkin meretas sistem. Perlindungan dalam hal ini dibangun dari perlindungan informasi kriptografi perangkat lunak dan perangkat keras.

AC (ancaman saat ini), dilihat dari tabel, ada 3 jenis:

1. Ancaman jenis pertama dikaitkan dengan kemampuan tidak terdokumentasikan dalam perangkat lunak sistem yang digunakan dalam sistem informasi.
2. Ancaman jenis kedua terkait dengan kemampuan tidak terdokumentasikan dalam perangkat lunak aplikasi yang digunakan dalam sistem informasi.
3. Jenis ancaman ketiga mengacu pada ancaman lainnya.

Fitur yang tidak terdokumentasi adalah fungsi dan fitur perangkat lunak yang tidak dijelaskan dalam dokumentasi resmi atau tidak sesuai dengannya. Artinya, penggunaannya dapat meningkatkan risiko pelanggaran kerahasiaan atau integritas informasi.

Untuk lebih jelasnya, mari kita lihat model penyusup yang intersepsinya memerlukan satu atau beberapa kelas sarana keamanan informasi kriptografi:

• KS1 - penyusup bertindak dari luar, tanpa asisten di dalam sistem.
• KS2 adalah penyusup internal, namun tidak memiliki akses ke CIPF.
• KS3 adalah penyusup internal yang merupakan pengguna CIPF.
• KV1 adalah penyusup yang menarik sumber daya pihak ketiga, misalnya spesialis CIPF.
• KV2 adalah penyusup, di balik tindakannya terdapat lembaga atau laboratorium yang bergerak di bidang kajian dan pengembangan CIPF.
• KA1 - layanan khusus negara bagian.

Dengan demikian, KS1 dapat disebut sebagai kelas proteksi dasar. Oleh karena itu, semakin tinggi kelas perlindungannya, semakin sedikit spesialis yang mampu menyediakannya. Misalnya saja di Rusia, menurut data tahun 2013, hanya ada 6 organisasi yang memiliki sertifikat dari FSB dan mampu memberikan perlindungan kelas KA1.

Algoritma yang digunakan

Mari kita pertimbangkan algoritma utama yang digunakan dalam alat perlindungan informasi kriptografi:

• Gost R 34.10-2001 dan gost r 34.10-2012 yang diperbarui - algoritma untuk membuat dan memverifikasi tanda tangan elektronik.
• Gost R 34.11-94 dan gost r 34.11-2012 terbaru - algoritma untuk membuat fungsi hash.
• Gost 28147-89 dan banyak lagi gost baru R 34.12-2015 - implementasi algoritma enkripsi dan perlindungan data.
• Algoritme kriptografi tambahan ditemukan di RFC 4357.

Tanda tangan elektronik

Penggunaan alat keamanan informasi kriptografi tidak dapat dibayangkan tanpa penggunaan algoritma tanda tangan elektronik, yang semakin populer.

Tanda tangan elektronik adalah bagian khusus dari dokumen yang dibuat melalui transformasi kriptografi. Tugas utamanya adalah mengidentifikasi perubahan yang tidak sah dan menentukan kepenulisan.

Sertifikat tanda tangan elektronik adalah dokumen tersendiri yang membuktikan keaslian dan kepemilikan tanda tangan elektronik oleh pemiliknya dengan menggunakan kunci publik. Sertifikat dikeluarkan oleh otoritas sertifikasi.

Pemilik sertifikat tanda tangan elektronik adalah orang yang namanya terdaftar pada sertifikat tersebut. Hal ini terkait dengan dua kunci: publik dan swasta. Kunci pribadi memungkinkan Anda membuat tanda tangan elektronik. Tujuan dari kunci publik adalah untuk memverifikasi keaslian tanda tangan melalui tautan kriptografi ke kunci privat.

Jenis tanda tangan elektronik

Menurut Undang-Undang Federal No. 63, tanda tangan elektronik dibagi menjadi 3 jenis:

• tanda tangan elektronik biasa;
• tanda tangan elektronik yang tidak memenuhi syarat;
• tanda tangan elektronik yang memenuhi syarat.

Tanda tangan elektronik sederhana dibuat melalui kata sandi yang dikenakan saat membuka dan melihat data, atau cara serupa yang secara tidak langsung mengonfirmasi pemiliknya.

Tanda tangan elektronik yang tidak memenuhi syarat dibuat menggunakan transformasi data kriptografi menggunakan kunci pribadi. Berkat ini, Anda dapat mengonfirmasi orang yang menandatangani dokumen dan menentukan apakah perubahan tidak sah telah dilakukan pada data.

Perbedaan tanda tangan yang memenuhi syarat dan tidak memenuhi syarat hanya terletak pada kasus pertama, sertifikat tanda tangan elektronik harus diterbitkan oleh pusat sertifikasi yang disertifikasi oleh FSB.

Ruang lingkup penggunaan tanda tangan elektronik

Tabel di bawah ini membahas tentang ruang lingkup penerapan tanda tangan elektronik.

Teknologi tanda tangan elektronik paling aktif digunakan dalam pertukaran dokumen. Dalam aliran dokumen internal, tanda tangan elektronik bertindak sebagai persetujuan dokumen, yaitu sebagai tanda tangan atau stempel pribadi. Dalam hal aliran dokumen eksternal, keberadaan tanda tangan elektronik sangatlah penting, karena merupakan konfirmasi hukum. Perlu juga dicatat bahwa dokumen yang ditandatangani dengan tanda tangan elektronik dapat disimpan tanpa batas waktu dan tidak kehilangan signifikansi hukumnya karena faktor-faktor seperti tanda tangan terhapus, kertas rusak, dll.

Pelaporan kepada pihak yang berwenang merupakan bidang lain dimana arus dokumen elektronik semakin meningkat. Banyak perusahaan dan organisasi telah menghargai kenyamanan bekerja dalam format ini.

Dalam hukum Federasi Rusia Setiap warga negara berhak menggunakan tanda tangan elektronik saat menggunakan layanan pemerintah (misalnya, menandatangani aplikasi elektronik untuk pihak berwenang).

Perdagangan online adalah bidang menarik lainnya di mana tanda tangan elektronik digunakan secara aktif. Ini menegaskan fakta bahwa orang sungguhan berpartisipasi dalam pelelangan dan penawarannya dapat dianggap dapat diandalkan. Penting juga bahwa setiap kontrak yang dibuat dengan tanda tangan elektronik mempunyai kekuatan hukum.

Algoritma tanda tangan elektronik

• Full Domain Hash (FDH) dan Standar Kriptografi Kunci Publik (PKCS). Yang terakhir mewakili seluruh kelompok algoritma standar untuk berbagai situasi.
• DSA dan ECDSA adalah standar untuk membuat tanda tangan elektronik di AS.
• GOST R 34.10-2012 - standar untuk membuat tanda tangan elektronik di Federasi Rusia. Standar ini menggantikan GOST R 34.10-2001, yang secara resmi berakhir setelah 31 Desember 2017.
• Uni Eurasia menggunakan standar yang sangat mirip dengan standar Rusia.
• STB 34.101.45-2013 - Standar Belarusia untuk tanda tangan elektronik digital.
• DSTU 4145-2002 - standar untuk membuat tanda tangan elektronik di Ukraina dan banyak lainnya.

Perlu juga dicatat bahwa algoritma untuk membuat tanda tangan elektronik memiliki maksud dan tujuan yang berbeda:

• Tanda tangan elektronik kelompok.
• Tanda tangan digital satu kali.
• Tanda tangan elektronik tepercaya.
• Tanda tangan yang memenuhi syarat dan tidak memenuhi syarat, dll.

1.1. Kebijakan Penerapan Alat Perlindungan Informasi Kriptografi ini ( Lebih jauh - Kebijakan ) menentukan prosedur untuk mengatur dan memastikan berfungsinya enkripsi ( kriptografi) berarti dimaksudkan untuk melindungi informasi yang tidak mengandung informasi yang merupakan rahasia negara ( Lebih jauh - CIPF, sarana kripto ) dalam hal penggunaannya untuk menjamin keamanan informasi rahasia dan data pribadi selama pemrosesannya dalam sistem informasi.

1.2. Kebijakan ini dikembangkan untuk:

• Hukum Federal "Tentang data pribadi" , peraturan Pemerintah Federasi Rusia di bidang menjamin keamanan data pribadi;
• Undang-Undang Federal No.63-FZ "Tentang tanda tangan elektronik" ;
• Perintah FSB Federasi Rusia No.378 "Atas persetujuan komposisi dan isi tindakan organisasi dan teknis untuk memastikan keamanan data pribadi selama pemrosesannya dalam sistem informasi data pribadi menggunakan alat perlindungan informasi kriptografi yang diperlukan untuk memenuhi persyaratan yang ditetapkan oleh Pemerintah Federasi Rusia untuk perlindungan dari data pribadi untuk setiap tingkat keamanan";
• Surat Perintah FAPSI No.152” Atas persetujuan Instruksi tentang pengorganisasian dan penjaminan keamanan penyimpanan, pemrosesan dan transmisi melalui saluran komunikasi dengan menggunakan sarana perlindungan kriptografi informasi dengan akses terbatas yang tidak mengandung informasi yang merupakan rahasia negara»;
• Perintah FSB Federasi Rusia N 66" Atas persetujuan Peraturan tentang Pengembangan, Produksi, Penjualan dan Pengoperasian Sarana Keamanan Informasi Enkripsi (Kriptografi) (Peraturan PKZ-2005) »;

1.3. Kebijakan ini berlaku untuk alat kripto yang dirancang untuk menjamin keamanan informasi rahasia dan data pribadi ketika diproses dalam sistem informasi;

1.4. Sarana kriptografi untuk perlindungan informasi ( Lebih jauh - CIPF ), penerapan fungsi enkripsi dan tanda tangan elektronik digunakan untuk melindungi dokumen elektronik yang dikirimkan melalui saluran komunikasi publik, misalnya Internet publik, atau melalui saluran komunikasi dial-up.

1.5. Untuk menjamin keamanan, perlu digunakan CIPF, yang:

• memungkinkan penyematan ke dalam proses teknologi memproses pesan elektronik, memastikan interaksi dengan perangkat lunak aplikasi pada tingkat pemrosesan permintaan transformasi kriptografi dan penerbitan hasil;
• disediakan oleh pengembang dengan serangkaian dokumentasi operasional lengkap, termasuk deskripsi sistem kunci, aturan untuk bekerja dengannya, serta pembenaran atas dukungan organisasi dan staf yang diperlukan;
• mendukung kelangsungan proses pencatatan pengoperasian CIPF dan memastikan integritas perangkat lunak untuk lingkungan operasi CIPF, yang merupakan seperangkat alat perangkat keras dan perangkat lunak, yang dengannya CIPF berfungsi normal dan dapat mempengaruhi pemenuhan persyaratan CIPF;
• disertifikasi oleh badan negara yang berwenang atau memiliki izin dari FSB Rusia.

1.6. CIPF yang digunakan untuk melindungi data pribadi harus memiliki kelas minimal KS2.

1.7. CIPF diimplementasikan berdasarkan algoritma yang mematuhi standar nasional Federasi Rusia dan ketentuan perjanjian dengan pihak lawan.

1.8. CIPF, lisensi, dokumen-dokumen penting yang menyertainya, instruksi untuk CIPF dibeli oleh organisasi secara mandiri atau dapat diperoleh dari pihak ketiga yang memulai aliran dokumen yang aman.

1.9. CIPF, termasuk media instalasi, dokumen kunci, deskripsi dan instruksi CIPF, merupakan rahasia dagang sesuai dengan Peraturan Informasi Rahasia.

1. Prosedur penggunaan CIPF

2.1. Pemasangan dan konfigurasi alat perlindungan informasi kriptografi dilakukan sesuai dengan dokumentasi operasional, instruksi FSB Rusia dan organisasi lain yang berpartisipasi dalam aliran dokumen elektronik yang aman. Setelah instalasi dan konfigurasi selesai, kesiapan CIPF untuk digunakan diperiksa, kesimpulan dibuat tentang kemungkinan pengoperasiannya, dan CIPF dioperasikan.

Penempatan dan pemasangan CIPF, serta peralatan lain yang beroperasi dengan aset kripto, di lokasi yang aman harus meminimalkan kemungkinan akses tidak terkendali oleh orang yang tidak berwenang ke dana tersebut. Pemeliharaan peralatan tersebut dan perubahan kunci kripto dilakukan tanpa adanya orang yang tidak berwenang untuk bekerja dengan data CIPF. Penting untuk menyediakan langkah-langkah organisasi dan teknis untuk mengecualikan kemungkinan penggunaan CIPF oleh orang yang tidak berwenang. Penempatan fisik CIPF harus menjamin keamanan CIPF dan mencegah akses tidak sah ke CIPF. Akses orang ke tempat di mana peralatan pelindung berada dibatasi sesuai dengan kebutuhan resmi dan ditentukan oleh daftar yang disetujui oleh direktur.

Penyematan dana kripto kelas KS1 dan KS2 dilakukan tanpa kendali oleh FSB Rusia ( jika pengendalian ini tidak diatur dalam kerangka acuan pengembangan (modernisasi) sistem informasi).

Penyematan cryptocurrency kelas KS3, KB1, KB2 dan KA1 hanya dilakukan di bawah kendali FSB Rusia.

Penanaman alat kripto kelas KS1, KS2 atau KS3 dapat dilakukan baik oleh pengguna alat kripto itu sendiri jika ia memiliki lisensi yang sesuai dari FSB Rusia, atau oleh organisasi yang memiliki lisensi yang sesuai dari FSB dari Rusia.

Penyematan mata uang kripto kelas KV1, KV2 atau KA1 dilakukan oleh organisasi yang memiliki lisensi yang sesuai dari FSB Rusia.

Penonaktifan CIPF dilakukan dengan tunduk pada prosedur yang menjamin jaminan penghapusan informasi, penggunaan tidak sah yang dapat membahayakan kegiatan bisnis organisasi, dan informasi yang digunakan oleh alat keamanan informasi, dari memori permanen dan dari media eksternal ( dengan pengecualian arsip dokumen elektronik dan protokol interaksi elektronik, yang pemeliharaan dan pelestariannya untuk jangka waktu tertentu diatur oleh peraturan dan (atau) dokumen kontrak yang relevan) dan diformalkan dengan Undang-undang. CIPF dihancurkan ( membuang) dengan keputusan pemilik dana kripto, dan dengan pemberitahuan kepada organisasi yang bertanggung jawab sesuai dengan organisasi akuntansi dana kripto salinan per contoh.

Ditakdirkan untuk kehancuran ( mendaur ulang) CIPF dapat dihapus dari perangkat keras yang berfungsi. Dalam hal ini, alat kripto dianggap dihapus dari perangkat keras jika prosedur untuk menghapus perangkat lunak alat kripto, yang diatur dalam dokumentasi operasional dan teknis untuk CIPF, telah selesai dan terputus sepenuhnya dari perangkat keras.

Komponen dan suku cadang perangkat keras serba guna yang cocok untuk penggunaan lebih lanjut, tidak dirancang khusus untuk implementasi perangkat keras algoritma kriptografi atau fungsi CIPF lainnya, serta peralatan yang bekerja sama dengan alat kriptografi ( monitor, printer, pemindai, keyboard, dll.), dapat digunakan setelah penghancuran CIPF tanpa batasan. Dalam hal ini, informasi yang mungkin tersisa di perangkat memori peralatan ( misalnya pada printer, scanner), harus dilepas dengan aman ( dihapus).

2.2. Pengoperasian CIPF dilakukan oleh orang-orang yang ditunjuk atas perintah direktur organisasi dan telah dilatih untuk bekerja dengan mereka. Jika ada dua atau lebih pengguna CIPF, tanggung jawab didistribusikan di antara mereka, dengan mempertimbangkan tanggung jawab pribadi atas keamanan aset kripto, kunci, dokumentasi operasional dan teknis, serta untuk area kerja yang ditugaskan.

Pengguna dana kripto diharuskan untuk:

• tidak mengungkapkan informasi yang mereka berwenang, termasuk informasi tentang CIPF dan tindakan perlindungan lainnya;
• jangan mengungkapkan informasi tentang dokumen penting;
• jangan izinkan pembuatan salinan dokumen-dokumen penting;
• mencegah dokumen penting ditampilkan ( memantau) komputer pribadi atau pencetak;
• jangan izinkan informasi asing direkam pada media utama;
• jangan izinkan pemasangan dokumen penting di komputer pribadi lainnya;
• mematuhi persyaratan untuk menjamin keamanan informasi, persyaratan untuk menjamin keamanan CIPF dan dokumen-dokumen penting di dalamnya;
• melaporkan tentang upaya orang yang tidak berwenang yang mereka kenal untuk memperoleh informasi tentang CIPF yang digunakan atau dokumen penting untuk mereka;
• segera memberitahukan fakta kehilangan atau kekurangan CIPF, dokumen penting, kunci tempat, fasilitas penyimpanan, stempel pribadi dan fakta lain yang dapat mengarah pada pengungkapan informasi yang dilindungi;
• menyerahkan CIPF, dokumentasi operasional dan teknis untuk mereka, dokumen penting pada saat pemecatan atau penghapusan tugas terkait dengan penggunaan mata uang kripto.

Keamanan pemrosesan informasi menggunakan CIPF dijamin dengan:

• kepatuhan pengguna terhadap kerahasiaan ketika menangani informasi yang dipercayakan kepada mereka atau diketahui melalui pekerjaan mereka, termasuk informasi tentang fungsi dan prosedur untuk memastikan keamanan CIPF yang digunakan dan dokumen-dokumen penting bagi mereka;
• kepatuhan yang akurat oleh pengguna CIPF terhadap persyaratan keamanan informasi;
• penyimpanan dokumentasi operasional dan teknis yang andal untuk CIPF, dokumen utama, media distribusi terbatas;
• deteksi tepat waktu atas upaya orang yang tidak berwenang untuk memperoleh informasi tentang informasi yang dilindungi, tentang CIPF yang digunakan atau dokumen penting bagi mereka;
• penerapan segera tindakan untuk mencegah pengungkapan informasi yang dilindungi, serta kemungkinan kebocorannya jika ditemukan fakta kehilangan atau kekurangan CIPF, dokumen penting untuknya, sertifikat, izin, kunci tempat, fasilitas penyimpanan, brankas ( lemari logam), stempel pribadi, dll.

Jika perlu untuk mengirimkan pesan layanan akses terbatas melalui sarana komunikasi teknis mengenai organisasi dan pengoperasian CIPF, pesan-pesan ini harus ditransmisikan hanya menggunakan sarana kripto. Transfer kunci kripto melalui sarana komunikasi teknis tidak diperbolehkan, kecuali sistem yang terorganisir secara khusus dengan pasokan kunci kripto yang terdesentralisasi.

CIPF tunduk pada akuntansi menggunakan indeks atau nama konvensional dan nomor registrasi. Daftar indeks, nama kode, dan nomor registrasi aset kripto ditentukan oleh Layanan Keamanan Federal Federasi Rusia.

CIPF digunakan atau disimpan, dokumentasi operasional dan teknisnya, dokumen-dokumen penting harus direkam salinan demi salinan. Bentuk Buku Catatan CIPF diberikan pada Lampiran No. 1, Buku Catatan Media Utama pada Lampiran No. 2 Kebijakan ini. Dalam hal ini, sistem perlindungan informasi kriptografi perangkat lunak harus diperhitungkan bersama dengan perangkat keras yang digunakan untuk menjalankan operasi normalnya. Jika CIPF perangkat keras atau perangkat keras-perangkat lunak terhubung ke bus sistem atau ke salah satu antarmuka perangkat keras internal, maka sarana kripto tersebut juga diperhitungkan bersama dengan perangkat keras terkait.

Unit akuntansi salinan demi salinan dokumen-dokumen penting dianggap sebagai media kunci yang dapat digunakan kembali, buku catatan kunci. Jika media kunci yang sama digunakan berulang kali untuk mencatat kunci kripto, maka media tersebut harus didaftarkan secara terpisah setiap kali.

Semua salinan aset kripto yang diterima, dokumentasi operasional dan teknisnya, dokumen penting harus diterbitkan dengan tanda terima dalam daftar salinan demi salinan yang sesuai kepada pengguna aset kripto yang secara pribadi bertanggung jawab atas keamanannya.

Pemindahan CIPF, dokumentasi operasional dan teknisnya, dan dokumen-dokumen penting hanya diperbolehkan antara pengguna aset kripto dan (atau) pengguna aset kripto yang bertanggung jawab dengan tanda terima di jurnal yang sesuai untuk akuntansi individu. Transfer antar pengguna dana kripto tersebut harus disahkan.

Penyimpanan media instalasi CIPF, dokumentasi operasional dan teknis, dokumen penting dilakukan di lemari ( kotak, penyimpanan) untuk penggunaan individu dalam kondisi yang menghalangi akses yang tidak terkendali terhadapnya, serta penghancurannya yang tidak disengaja.

Perangkat keras yang digunakan CIPF untuk beroperasi secara normal, serta perangkat keras dan perangkat lunak CIPF, harus dilengkapi dengan sarana kontrol atas pembukaannya ( disegel, disegel). Tempat penyegelan ( penyegelan) cryptocurrency, perangkat kerasnya harus sedemikian rupa sehingga dapat dipantau secara visual. Di hadapan kelayakan teknis Selama tidak adanya pengguna dana kripto, dana ini harus diputuskan dari jalur komunikasi dan ditempatkan di fasilitas penyimpanan tertutup.

Perubahan pada perangkat lunak CIPF dan dokumentasi teknis untuk CIPF dilakukan berdasarkan pembaruan yang diterima dari produsen CIPF dan terdokumentasi dengan pencatatan checksum.

Pengoperasian CIPF melibatkan pemeliharaan setidaknya dua salinan cadangan perangkat lunak dan satu salinan cadangan media kunci. Pemulihan fungsi CIPF dalam situasi darurat dilakukan sesuai dengan dokumentasi operasional.

2.3. Pembuatan dokumen kunci dari informasi kunci awal dilakukan oleh pengguna CIPF yang bertanggung jawab, menggunakan alat kripto standar, jika kemungkinan seperti itu disediakan dalam dokumentasi operasional dan teknis dengan adanya lisensi dari FSB Rusia untuk produksi dokumen kunci untuk alat kripto.

Dokumen penting dapat dikirimkan melalui kurir ( termasuk departemen) komunikasi atau dengan pengguna dan karyawan dana kripto yang ditunjuk secara khusus dan bertanggung jawab, dengan tunduk pada tindakan untuk mencegah akses yang tidak terkendali ke dokumen-dokumen penting selama pengiriman.

Untuk mengirimkan dokumen penting, dokumen tersebut harus ditempatkan dalam kemasan tahan lama yang mengecualikan kemungkinan kerusakan fisik dan pengaruh luar. Kemasannya menunjukkan pengguna yang bertanggung jawab untuk siapa kemasan tersebut dimaksudkan. Paket tersebut ditandai “Secara Pribadi”. Bungkusan tersebut disegel sedemikian rupa sehingga tidak mungkin mengeluarkan isinya tanpa merusak bungkusan dan segelnya.

Sebelum deportasi awal ( atau kembali) penerima diberitahu dalam surat tersendiri tentang uraian bungkusan yang dikirimkan kepadanya dan stempel yang dapat digunakan untuk menyegelnya.

Untuk mengirimkan dokumen-dokumen penting, dibuat surat pengantar yang harus memuat: apa yang dikirim dan berapa jumlahnya, nomor registrasi dokumen, serta bila perlu tujuan dan tata cara penggunaan barang yang dikirim. Surat pengantar disertakan dalam salah satu paket.

Paket yang diterima hanya dibuka oleh pengguna yang bertanggung jawab atas dana kripto yang dimaksudkan. Jika isi paket yang diterima tidak sesuai dengan yang tertera pada surat pengantar atau kemasan itu sendiri dan segel tidak sesuai dengan deskripsinya ( jejak), dan juga apabila kemasannya rusak sehingga isinya leluasa untuk diakses, maka penerima membuat laporan, yang dikirimkan kepada pengirim. Dokumen-dokumen penting yang diterima dengan pengiriman tersebut tidak diperbolehkan untuk digunakan sampai instruksi diterima dari pengirim.

Jika dokumen kunci atau kunci kripto yang rusak ditemukan, satu salinan produk yang cacat harus dikembalikan ke produsen untuk mengetahui penyebab insiden dan menghilangkannya di masa mendatang, dan salinan lainnya harus disimpan hingga instruksi tambahan diterima dari produsen. pabrikan.

Penerimaan dokumen kunci harus dikonfirmasikan kepada pengirim dengan cara yang ditentukan dalam surat pengantar. Pengirim wajib mengendalikan penyerahan barangnya kepada penerima. Jika konfirmasi yang sesuai tidak diterima dari penerima pada waktu yang tepat, pengirim harus mengirimkan permintaan kepadanya dan mengambil tindakan untuk memperjelas lokasi kiriman.

Pemesanan untuk pembuatan dokumen-dokumen penting berikutnya, produksi dan distribusinya ke tempat-tempat penggunaan untuk penggantian tepat waktu dari dokumen-dokumen penting yang ada dilakukan terlebih dahulu. Instruksi untuk memberlakukan dokumen kunci berikutnya diberikan oleh pengguna dana kripto yang bertanggung jawab hanya setelah menerima konfirmasi dari mereka bahwa dokumen kunci berikutnya telah diterima.

Dokumen kunci yang tidak digunakan atau dinonaktifkan harus dikembalikan ke pengguna dana kripto yang bertanggung jawab atau, atas arahannya, harus dimusnahkan di lokasi.

Penghancuran kunci kripto ( informasi kunci awal) dapat dilakukan dengan menghancurkan secara fisik media utama tempatnya berada, atau dengan menghapus ( penghancuran) kunci kripto ( informasi kunci awal) tanpa merusak media kunci ( untuk memastikan penggunaannya kembali).

Kunci Kripto ( informasi kunci awal) dicuci menggunakan teknologi yang diadopsi untuk media utama yang dapat digunakan kembali ( floppy disk, compact disc (CD-ROM), Kunci Data, Kartu Cerdas, Memori Sentuh, dll.). Tindakan langsung untuk menghapus kunci kripto ( informasi kunci awal), serta kemungkinan pembatasan penggunaan lebih lanjut dari media kunci terkait yang dapat digunakan kembali diatur oleh dokumentasi operasional dan teknis untuk CIPF terkait, serta instruksi dari organisasi yang mencatat kunci kripto ( informasi kunci awal).

Media kunci dimusnahkan dengan menyebabkan kerusakan fisik yang tidak dapat diperbaiki, tidak termasuk kemungkinan penggunaannya, serta dengan memulihkan informasi penting. Tindakan langsung untuk menghancurkan jenis media kunci tertentu diatur oleh dokumentasi operasional dan teknis untuk CIPF terkait, serta instruksi dari organisasi yang mencatat kunci kripto ( informasi kunci awal).

Kertas dan media utama yang mudah terbakar lainnya dimusnahkan dengan cara membakar atau menggunakan mesin pemotong kertas apa pun.

Dokumen-dokumen penting dimusnahkan dalam jangka waktu yang ditentukan dalam dokumentasi operasional dan teknis untuk CIPF terkait. Fakta pemusnahan dicatat dalam jurnal salinan per contoh yang sesuai.

Pemusnahan menurut undang-undang dilakukan oleh suatu komisi yang terdiri dari sedikitnya dua orang. Undang-undang tersebut menentukan apa yang dimusnahkan dan berapa jumlahnya. Di akhir tindakan, catatan akhir dibuat (dalam angka dan kata) tentang jumlah barang dan salinan dokumen penting yang dimusnahkan, media instalasi CIPF, dokumentasi operasional dan teknis. Koreksi teks akta harus disepakati dan disahkan dengan tanda tangan seluruh anggota komisi yang ikut serta dalam pemusnahan. Tentang pemusnahan yang dilakukan, catatan dibuat dalam jurnal yang sesuai untuk catatan individu.

Kunci Kripto yang dicurigai telah disusupi, serta kunci kripto lainnya yang beroperasi bersama dengannya, harus segera dihentikan tindakannya, kecuali prosedur lain ditentukan dalam dokumentasi operasional dan teknis CIPF. Dalam kasus darurat, ketika tidak ada kunci kripto untuk menggantikan kunci kripto yang disusupi, diperbolehkan, berdasarkan keputusan pengguna dana kripto yang bertanggung jawab, yang disepakati dengan operator, untuk menggunakan kunci kripto yang disusupi. Dalam hal ini, jangka waktu penggunaan kunci kripto yang disusupi harus sesingkat mungkin, dan informasi yang dilindungi harus seberharga mungkin.

Tentang pelanggaran yang dapat menyebabkan kompromi terhadap kunci kripto, komponennya, atau transmisinya ( disimpan) dengan penggunaan datanya, pengguna dana kripto wajib memberitahukan kepada pengguna dana kripto yang bertanggung jawab.

Inspeksi media kunci yang dapat digunakan kembali oleh orang yang tidak berwenang tidak boleh dianggap sebagai kecurigaan adanya penyusupan kunci kripto, jika hal ini mengecualikan kemungkinan penyalinannya ( membaca, reproduksi).

Jika terjadi kekurangan, tidak disajikannya dokumen-dokumen penting, serta ketidakpastian lokasinya, pengguna yang bertanggung jawab mengambil tindakan segera untuk menemukannya dan melokalisasi konsekuensi dari kebocoran dokumen-dokumen penting.

1. Prosedur manajemen sistem kunci

Pendaftaran orang yang memiliki hak pengelolaan kunci dilakukan sesuai dengan dokumentasi operasional CIPF.

Manajemen kunci adalah proses informasi yang mencakup tiga elemen:

— pembuatan kunci;

— akumulasi kunci;

— distribusi kunci.

Sistem informasi organisasi menggunakan metode perangkat keras dan perangkat lunak khusus untuk menghasilkan kunci acak. Biasanya, sensor bilangan acak semu digunakan ( Lebih jauh - PSCH ), dengan secukupnya tingkat tinggi keacakan generasi mereka. Generator kunci perangkat lunak yang menghitung PFR sebagai fungsi kompleks dari waktu saat ini dan ( atau) nomor yang dimasukkan oleh pengguna.

Akumulasi kunci mengacu pada organisasi penyimpanan, akuntansi, dan penghapusannya.

Kunci privat tidak boleh ditulis secara eksplisit pada media yang dapat dibaca atau disalin.

Semua informasi tentang kunci yang digunakan harus disimpan dalam bentuk terenkripsi. Kunci yang mengenkripsi informasi kunci disebut kunci master. Setiap pengguna harus hafal kunci utama; dilarang menyimpannya di media nyata apa pun.

Untuk menjamin keamanan informasi, perlu dilakukan pemutakhiran informasi penting dalam sistem informasi secara berkala. Dalam hal ini, kunci reguler dan kunci master akan ditetapkan ulang.

Saat mendistribusikan kunci, persyaratan berikut harus dipenuhi:

— efisiensi dan keakuratan distribusi;

— kerahasiaan kunci yang didistribusikan.

Alternatifnya adalah dua pengguna mendapatkan kunci bersama dari otoritas pusat, Pusat Distribusi Kunci (KDC), yang melaluinya mereka dapat berkomunikasi dengan aman. Untuk mengatur pertukaran data antara CRC dan pengguna, pengguna diberi kunci khusus selama pendaftaran, yang mengenkripsi pesan yang dikirimkan di antara mereka. Setiap pengguna dialokasikan kunci terpisah.

MANAJEMEN KUNCI BERDASARKAN SISTEM KUNCI PUBLIK

Sebelum menggunakan sistem kriptografi kunci publik untuk menukar kunci privat biasa, pengguna harus menukarkan kunci publiknya.

Kunci publik dapat dikelola melalui layanan direktori online atau offline, dan pengguna juga dapat bertukar kunci secara langsung.

1. Pemantauan dan pengendalian penggunaan CIPF

Untuk meningkatkan tingkat keamanan saat mengoperasikan CIPF, sistem harus menerapkan prosedur pemantauan yang mencatat semua peristiwa penting yang terjadi selama proses pertukaran. melalui email, dan semua insiden keamanan informasi. Deskripsi dan daftar prosedur ini harus ditetapkan dalam dokumentasi operasional CIPF.

Kontrol atas penggunaan perlindungan informasi kriptografi menyediakan:

• memantau kepatuhan pengaturan dan konfigurasi alat keamanan informasi, serta perangkat keras dan perangkat lunak yang dapat mempengaruhi pemenuhan persyaratan alat keamanan informasi, peraturan dan dokumentasi teknis;
• memantau kepatuhan terhadap aturan untuk menyimpan informasi akses terbatas yang digunakan dalam pengoperasian alat keamanan informasi ( khususnya, informasi kunci, kata sandi, dan otentikasi);
• pengendalian kemungkinan akses orang yang tidak berwenang terhadap sarana keamanan informasi, serta terhadap perangkat keras dan perangkat lunak yang dapat mempengaruhi pemenuhan persyaratan sarana keamanan informasi;
• memantau kepatuhan terhadap aturan untuk menanggapi insiden informasi ( tentang fakta kehilangan, kebocoran informasi kunci, kata sandi dan autentikasi, serta informasi lain yang aksesnya terbatas);
• kontrol kepatuhan perangkat keras dan perangkat lunak CIPF dan dokumentasi untuk alat ini dengan sampel referensi ( jaminan pemasok atau mekanisme kontrol yang memungkinkan Anda menetapkan kepatuhan tersebut secara mandiri);
• memantau integritas perangkat keras dan perangkat lunak CIPF dan dokumentasi alat-alat ini selama penyimpanan dan pengoperasian alat-alat ini ( menggunakan kedua mekanisme kontrol yang dijelaskan dalam dokumentasi CIPF, dan menggunakan mekanisme organisasi).

Unduh berkas ZIP (43052)

Jika dokumennya bermanfaat, silakan sukai atau:

Persyaratan keamanan informasi ketika merancang sistem informasi menunjukkan karakteristik yang menjadi ciri sarana keamanan informasi yang digunakan. Mereka ditentukan oleh berbagai tindakan regulator di bidang keamanan informasi, khususnya oleh FSTEC dan FSB Rusia. Kelas keamanan apa yang ada, jenis dan tipe peralatan pelindung, serta di mana untuk mengetahui lebih lanjut tentang hal ini, dijelaskan dalam artikel.

Perkenalan

Saat ini, masalah keamanan informasi menjadi perhatian utama, karena teknologi yang diterapkan di mana-mana tanpa menjamin keamanan informasi menjadi sumber masalah baru yang serius.

FSB Rusia melaporkan keseriusan situasi ini: jumlah kerusakan yang disebabkan oleh penyerang selama beberapa tahun di seluruh dunia berkisar antara $300 miliar hingga $1 triliun. Menurut informasi yang diberikan oleh Jaksa Agung Federasi Rusia, pada paruh pertama tahun 2017 saja di Rusia jumlah kejahatan di bidang kejahatan teknologi tinggi meningkat enam kali lipat, jumlah total kerusakan melebihi $18 juta. Peningkatan serangan yang ditargetkan di sektor industri pada tahun 2017 tercatat di seluruh dunia. Secara khusus, di Rusia peningkatan jumlah serangan dibandingkan tahun 2016 sebesar 22%.

Teknologi informasi mulai digunakan sebagai senjata untuk tujuan militer-politik, teroris, campur tangan dalam urusan dalam negeri negara berdaulat, serta untuk melakukan kejahatan lainnya. Federasi Rusia mendukung penciptaan sistem keamanan informasi internasional.

Di wilayah Federasi Rusia, pemegang informasi dan operator sistem informasi diharuskan memblokir upaya akses tidak sah terhadap informasi, serta memantau status keamanan infrastruktur TI secara berkelanjutan. Pada saat yang sama, perlindungan informasi dijamin melalui penerapan berbagai tindakan, termasuk tindakan teknis.

Alat keamanan informasi, atau sistem perlindungan informasi, menjamin perlindungan informasi dalam sistem informasi, yang pada dasarnya adalah kumpulan informasi yang disimpan dalam database, teknologi informasi yang menjamin pemrosesannya, dan sarana teknis.

Sistem informasi modern dicirikan oleh penggunaan berbagai platform perangkat keras dan perangkat lunak, distribusi teritorial komponen, serta interaksi dengan jaringan data terbuka.

Bagaimana cara melindungi informasi dalam kondisi seperti itu? Persyaratan terkait diberlakukan oleh badan yang berwenang, khususnya FSTEC dan FSB Rusia. Dalam kerangka artikel ini, kami akan mencoba mencerminkan pendekatan utama terhadap klasifikasi sistem keamanan informasi, dengan mempertimbangkan persyaratan regulator ini. Cara lain untuk menggambarkan klasifikasi sistem keamanan informasi, tercermin dalam dokumen peraturan Departemen Rusia, serta organisasi dan lembaga asing, berada di luar cakupan artikel ini dan tidak dibahas lebih lanjut.

Artikel ini mungkin berguna bagi spesialis pemula di bidang keamanan informasi sebagai sumber informasi terstruktur tentang metode mengklasifikasikan keamanan informasi berdasarkan persyaratan FSTEC Rusia (pada tingkat yang lebih besar) dan, secara singkat, FSB Rusia.

Struktur yang menentukan prosedur dan mengoordinasikan penyediaan keamanan informasi menggunakan metode non-kriptografi adalah FSTEC Rusia (sebelumnya Komisi Teknis Negara di bawah Presiden Federasi Rusia, Komisi Teknis Negara).

Jika pembaca pernah melihat Daftar Negara Alat Keamanan Informasi Bersertifikat yang dibentuk oleh FSTEC Rusia, maka ia pasti memperhatikan kehadiran di bagian deskriptif tujuan sistem perlindungan informasi seperti “RD SVT kelas”, “tingkat ketidakpatuhan terhadap data ketidakpatuhan”, dll. (Gambar 1) .

Gambar 1. Fragmen daftar perangkat perlindungan informasi bersertifikat

Klasifikasi alat keamanan informasi kriptografi

FSB Rusia telah menetapkan kelas sistem perlindungan informasi kriptografi: KS1, KS2, KS3, KV dan KA.

Ciri utama dari KS1 kelas IPS antara lain kemampuannya dalam menahan serangan yang dilakukan dari luar area yang dikuasai. Ini menyiratkan bahwa pembuatan metode serangan, persiapan dan implementasinya dilakukan tanpa partisipasi spesialis di bidang pengembangan dan analisis keamanan informasi kriptografi. Diasumsikan bahwa informasi tentang sistem yang menggunakan sistem keamanan informasi tertentu dapat diperoleh dari sumber terbuka.

Jika sistem keamanan informasi kriptografi dapat menahan serangan yang diblokir melalui kelas KS1, serta yang dilakukan di dalam area yang dikendalikan, maka keamanan informasi tersebut sesuai dengan kelas KS2. Dalam hal ini diperbolehkan, misalnya, pada saat persiapan serangan, hal itu bisa terjadi informasi yang tersedia tentang tindakan fisik untuk melindungi sistem informasi, memastikan area terkendali, dll.

Jika memungkinkan untuk menahan serangan jika ada akses fisik ke peralatan komputer dengan informasi keamanan kriptografi yang terpasang, peralatan tersebut dikatakan mematuhi kelas KS3.

Jika keamanan informasi kriptografi tahan terhadap serangan, yang pembuatannya melibatkan spesialis di bidang pengembangan dan analisis alat-alat ini, termasuk pusat penelitian, dan dimungkinkan untuk melakukan studi laboratorium terhadap alat keamanan, maka kita berbicara tentang kepatuhan terhadap kelas HF .

Jika spesialis di bidang penggunaan perangkat lunak sistem NDV terlibat dalam pengembangan metode serangan, dokumentasi desain terkait tersedia dan terdapat akses ke komponen perangkat keras apa pun dari sistem keamanan informasi kriptografi, maka perlindungan terhadap serangan tersebut dapat diberikan melalui kelas KA.

Klasifikasi sarana perlindungan tanda tangan elektronik

Alat tanda tangan elektronik, tergantung kemampuannya menahan serangan, biasanya dibandingkan dengan kelas berikut: KS1, KS2, KS3, KB1, KB2 dan KA1. Klasifikasi ini mirip dengan yang dibahas di atas sehubungan dengan keamanan informasi kriptografi.

kesimpulan

Artikel tersebut membahas beberapa metode klasifikasi keamanan informasi di Rusia, yang didasarkan pada kerangka peraturan regulator di bidang perlindungan informasi. Pilihan klasifikasi yang dipertimbangkan tidaklah lengkap. Namun demikian, kami berharap ringkasan informasi yang disajikan akan memungkinkan spesialis pemula di bidang keamanan informasi untuk menavigasi dengan cepat.

Sarana perlindungan informasi kriptografi (CIPF) meliputi perangkat keras, perangkat lunak-perangkat keras dan perangkat lunak, menerapkan algoritma kriptografi untuk mengubah informasi dengan tujuan:

Perlindungan informasi selama pemrosesan, penyimpanan dan transmisi melalui lingkungan transportasi AS;

Memastikan keandalan dan integritas informasi (termasuk penggunaan algoritma tanda tangan digital) selama pemrosesan, penyimpanan, dan transmisi melalui lingkungan transportasi AS;

Menghasilkan informasi yang digunakan untuk mengidentifikasi dan mengautentikasi subjek, pengguna, dan perangkat;

Pembuatan informasi yang digunakan untuk melindungi elemen autentikasi AS yang dilindungi selama pembuatan, penyimpanan, pemrosesan, dan transmisi.

Diasumsikan bahwa CIPF digunakan di beberapa AS (di sejumlah sumber - sistem informasi dan telekomunikasi atau jaringan komunikasi), bersama dengan mekanisme untuk menerapkan dan menjamin kebijakan keamanan.

Transformasi kriptografi memiliki sejumlah fitur penting:

CIPF mengimplementasikan algoritma konversi informasi tertentu (enkripsi, tanda tangan digital elektronik, kontrol integritas)

Argumen input dan output dari transformasi kriptografi hadir di AS dalam beberapa bentuk material (objek AS)

CIPF menggunakan beberapa informasi rahasia(kunci)

Algoritma transformasi kriptografi diimplementasikan dalam bentuk beberapa objek material yang berinteraksi dengan lingkungan (termasuk subjek dan objek AS yang dilindungi).

Dengan demikian, peran CIPF dalam AS yang dilindungi adalah transformasi objek. Dalam setiap kasus tertentu, transformasi ini memiliki kekhasan tersendiri. Dengan demikian, prosedur enkripsi menggunakan objek - teks biasa dan kunci objek sebagai parameter input, hasil transformasinya adalah objek - teks tersandi; sebaliknya, prosedur dekripsi menggunakan ciphertext dan kunci sebagai parameter input; tata cara pembubuhan tanda tangan digital menggunakan objek – pesan dan objek – kunci tanda tangan rahasia – sebagai parameter masukan, hasil dari tanda tangan digital adalah objek – tanda tangan, biasanya diintegrasikan ke dalam objek – pesan; Kita dapat mengatakan bahwa CIPF melindungi objek pada tingkat semantik. Pada saat yang sama, objek - parameter transformasi kriptografi adalah objek AS yang lengkap dan dapat menjadi objek dari beberapa kebijakan keamanan (misalnya, kunci enkripsi dapat dan harus dilindungi dari akses yang tidak sah, kunci publik untuk memeriksa tanda tangan digital terhadap perubahan). Jadi, CIPF sebagai bagian dari sistem yang dilindungi memiliki implementasi khusus - dapat berupa perangkat khusus terpisah yang terpasang di komputer, atau program khusus. Poin-poin berikut ini penting:

CIPF bertukar informasi dengan lingkungan eksternal, yaitu: kunci dimasukkan ke dalamnya, teks biasa selama enkripsi

CIPF dalam hal implementasi perangkat keras menggunakan basis elemen dengan keandalan terbatas (yaitu, bagian-bagian yang membentuk CIPF dapat mengalami malfungsi atau kegagalan)

CIPF dalam hal implementasi perangkat lunak dijalankan pada prosesor dengan keandalan terbatas dan dalam lingkungan perangkat lunak yang berisi program pihak ketiga yang dapat mempengaruhi berbagai tahapan operasinya

CIPF disimpan pada media nyata (dalam kasus implementasi perangkat lunak) dan mungkin sengaja atau tidak sengaja terdistorsi selama penyimpanan

CIPF berinteraksi dengan lingkungan eksternal secara tidak langsung (ditenagai oleh listrik, memancarkan medan elektromagnetik)

CIPF dibuat dan/atau digunakan oleh orang yang dapat melakukan kesalahan (disengaja atau tidak disengaja) selama pengembangan dan pengoperasian

Alat proteksi data yang ada pada jaringan telekomunikasi dapat dibagi menjadi dua kelompok berdasarkan prinsip membangun sistem kunci dan sistem otentikasi. Kelompok pertama mencakup alat yang menggunakan algoritma kriptografi simetris untuk membangun sistem kunci dan sistem otentikasi, dan kelompok kedua mencakup algoritma asimetris.

Mari kita melakukan analisis komparatif terhadap sistem ini. Pesan informasi yang siap dikirim, awalnya terbuka dan tidak terlindungi, dienkripsi dan dengan demikian diubah menjadi ciphergram, yaitu menjadi teks tertutup atau gambar grafik suatu dokumen. Dalam bentuk ini, pesan dikirimkan melalui saluran komunikasi, meskipun saluran tersebut tidak aman. Pengguna yang berwenang, setelah menerima pesan, mendekripsinya (yaitu, membukanya) dengan mengubah kriptogram secara terbalik, menghasilkan bentuk pesan yang asli dan jelas, dapat diakses oleh pengguna yang berwenang. Metode konversi dalam sistem kriptografi berhubungan dengan penggunaan algoritma khusus. Pengoperasian algoritma tersebut dipicu oleh nomor unik (urutan bit), biasanya disebut kunci enkripsi.

Untuk sebagian besar sistem, rangkaian generator kunci dapat berupa sekumpulan instruksi dan perintah, baik berupa perangkat keras atau program komputer, atau semuanya bersama-sama, tetapi bagaimanapun juga, proses enkripsi (dekripsi) hanya dilakukan dengan kunci khusus ini. Agar pertukaran data terenkripsi berhasil, pengirim dan penerima harus mengetahui pengaturan kunci yang benar dan merahasiakannya. Kekuatan sistem komunikasi tertutup ditentukan oleh tingkat kerahasiaan kunci yang digunakan di dalamnya. Namun kunci ini harus diketahui oleh pengguna jaringan lain agar dapat leluasa bertukar pesan terenkripsi. Dalam hal ini, sistem kriptografi juga membantu memecahkan masalah otentikasi (menetapkan keaslian) informasi yang diterima. Jika pesan disadap, penyerang hanya akan menangani teks terenkripsi, dan penerima sebenarnya, yang menerima pesan pribadi dengan kunci yang diketahui olehnya dan pengirimnya, akan dilindungi secara andal dari kemungkinan kesalahan informasi. Selain itu, dimungkinkan untuk mengenkripsi informasi dan banyak lagi dengan cara yang sederhana- menggunakan generator bilangan pseudo-acak. Penggunaan generator bilangan pseudo-acak melibatkan pembuatan gamma sandi menggunakan generator bilangan pseudo-acak yang diberi kunci tertentu dan menerapkan gamma yang dihasilkan ke data terbuka dengan cara yang dapat dibalik. Metode perlindungan kriptografi ini cukup mudah diterapkan dan memberikan kecepatan enkripsi yang cukup tinggi, namun tidak cukup tahan terhadap dekripsi.

Kriptografi klasik dicirikan oleh penggunaan satu unit rahasia - sebuah kunci, yang memungkinkan pengirim mengenkripsi pesan dan penerima mendekripsinya. Dalam hal mengenkripsi data yang disimpan pada media magnetik atau media penyimpanan lainnya, kuncinya memungkinkan Anda mengenkripsi informasi saat menulis ke media dan mendekripsinya saat membacanya.

"Metode keamanan informasi organisasi dan hukum"

Dokumen pedoman peraturan dasar yang berkaitan dengan rahasia negara, dokumen peraturan dan acuan

Saat ini, negara kita telah menciptakan kerangka legislatif yang stabil di bidang perlindungan informasi. Hukum dasar dapat disebut Hukum Federal Federasi Rusia “Tentang Informasi, teknologi Informasi dan tentang perlindungan informasi." “Pengaturan negara tentang hubungan di bidang perlindungan informasi dilakukan dengan menetapkan persyaratan untuk perlindungan informasi, serta tanggung jawab atas pelanggaran undang-undang Federasi Rusia tentang informasi, teknologi informasi, dan perlindungan informasi.” tanggung jawab pemegang informasi dan operator sistem informasi.

Adapun peraturan keamanan informasi yang “dikodifikasikan”, norma-norma Kode Pelanggaran Administratif Federasi Rusia dan KUHP Federasi Rusia juga memuat pasal-pasal yang diperlukan. Dalam seni. 13.12 dari Kode Pelanggaran Administratif Federasi Rusia berbicara tentang pelanggaran aturan perlindungan informasi. Juga Seni. 13.13, yang memberikan hukuman atas aktivitas ilegal di bidang keamanan informasi. Dan Seni. 13.14. yang memberikan hukuman untuk pengungkapan informasi yang dibatasi. Pasal 183 KUHP Federasi Rusia memberikan hukuman atas penerimaan ilegal dan pengungkapan informasi yang merupakan rahasia komersial, pajak, atau perbankan.

Undang-undang Federal “Tentang Informasi, Informatisasi, dan Perlindungan Informasi” menetapkan bahwa sumber informasi negara Federasi Rusia bersifat terbuka dan dapat diakses oleh publik. Pengecualiannya adalah informasi terdokumentasi yang diklasifikasikan menurut hukum sebagai akses terbatas.

Konsep rahasia negara yang dimaksud dalam Undang-Undang “Tentang Rahasia Negara” adalah “informasi yang dilindungi negara dalam bidang militer, politik luar negeri, ekonomi, intelijen, kontra intelijen, dan kegiatan operasional investigasi yang penyebarannya dapat membahayakan keamanan. Federasi Rusia.” Dengan demikian, berdasarkan keseimbangan kepentingan negara, masyarakat, dan warga negara, ruang lingkup penerapan Undang-undang tersebut menjadi terbatas tipe tertentu kegiatan: militer, kebijakan luar negeri, ekonomi, intelijen, kontra intelijen dan investigasi operasional.

Undang-undang menetapkan bahwa kriteria utamanya adalah bahwa informasi rahasia adalah milik negara.

Undang-undang tersebut juga mengatur pembentukan sejumlah badan di bidang perlindungan rahasia negara, khususnya komisi antardepartemen untuk perlindungan rahasia negara, memperkenalkan lembaga pejabat yang diberi wewenang untuk mengklasifikasikan informasi sebagai rahasia negara, sekaligus memperkenalkan lembaga pejabat yang diberi wewenang untuk mengklasifikasikan informasi sebagai rahasia negara. waktu menugaskan mereka tanggung jawab pribadi atas kegiatan perlindungan rahasia negara di wilayah yurisdiksinya.

Organisasi umum dan koordinasi kerja di negara tersebut untuk melindungi informasi yang diproses dengan cara teknis dilakukan oleh badan kolegial - Layanan Federal untuk Kontrol Teknis dan Ekspor (FSTEK) Rusia di bawah Presiden Federasi Rusia, yang memantau keamanan di badan pemerintah dan perusahaan yang melakukan pekerjaan di bidang pertahanan dan topik rahasia lainnya.

Maksud dan tujuan di bidang menjamin keamanan informasi di tingkat negara bagian

Kebijakan negara untuk memastikan keamanan informasi Federasi Rusia menentukan arah utama kegiatan badan pemerintah federal dan badan pemerintah entitas konstituen Federasi Rusia di bidang ini, prosedur untuk mengkonsolidasikan tanggung jawab mereka untuk melindungi kepentingan Federasi Rusia di bidang informasi dalam rangka kegiatannya dan didasarkan pada menjaga keseimbangan kepentingan individu, masyarakat dan negara dalam bidang informasi. Kebijakan negara untuk memastikan keamanan informasi Federasi Rusia didasarkan pada prinsip-prinsip dasar berikut: kepatuhan terhadap Konstitusi Federasi Rusia, undang-undang Federasi Rusia, prinsip-prinsip dan norma-norma hukum internasional yang diakui secara umum ketika melakukan kegiatan untuk memastikan informasi keamanan Federasi Rusia; keterbukaan dalam pelaksanaan fungsi badan pemerintah federal, badan pemerintah entitas konstituen Federasi Rusia dan asosiasi publik, yang menyediakan informasi kepada masyarakat tentang kegiatan mereka, dengan mempertimbangkan batasan yang ditetapkan oleh undang-undang Federasi Rusia; kesetaraan hukum seluruh peserta dalam proses interaksi informasi, apapun status politik, sosial dan ekonominya, berdasarkan hak konstitusional warga negara untuk secara bebas mencari, menerima, mengirimkan, memproduksi dan menyebarkan informasi dengan cara apapun yang sah; prioritas pengembangan teknologi informasi dan telekomunikasi modern dalam negeri, produksi perangkat keras dan perangkat lunak yang mampu menjamin peningkatan jaringan telekomunikasi nasional, hubungannya dengan jaringan informasi global untuk memenuhi kepentingan vital Federasi Rusia.

Negara, dalam proses melaksanakan fungsinya untuk memastikan keamanan informasi Federasi Rusia: melakukan analisis dan perkiraan ancaman terhadap keamanan informasi Federasi Rusia yang obyektif dan komprehensif, mengembangkan langkah-langkah untuk memastikannya; mengatur pekerjaan badan legislatif (perwakilan) dan eksekutif kekuasaan negara Federasi Rusia untuk menerapkan serangkaian tindakan yang bertujuan mencegah, menangkis, dan menetralisir ancaman terhadap keamanan informasi Federasi Rusia; mendukung kegiatan asosiasi publik yang bertujuan untuk memberikan informasi objektif kepada masyarakat tentang fenomena penting secara sosial kehidupan publik, melindungi masyarakat dari informasi yang menyimpang dan tidak dapat diandalkan; melakukan pengendalian atas desain, pembuatan, pengembangan, penggunaan, ekspor dan impor alat keamanan informasi melalui sertifikasi dan perizinan kegiatan di bidang keamanan informasi; mengejar kebijakan proteksionis yang diperlukan terhadap produsen alat informasi dan perlindungan informasi di wilayah Federasi Rusia dan mengambil langkah-langkah untuk melindungi pasar domestik dari penetrasi alat informasi dan produk informasi berkualitas rendah; berkontribusi untuk memberikan individu dan badan hukum akses ke sumber informasi dunia dan jaringan informasi global; merumuskan dan melaksanakan kebijakan informasi negara Rusia; mengatur pengembangan program federal untuk memastikan keamanan informasi Federasi Rusia, menggabungkan upaya organisasi negara dan non-negara di bidang ini; mempromosikan internasionalisasi jaringan dan sistem informasi global, serta masuknya Rusia ke dalam komunitas informasi global berdasarkan kemitraan yang setara.

Memperbaiki mekanisme hukum untuk mengatur hubungan masyarakat yang timbul di bidang informasi merupakan arah prioritas kebijakan negara di bidang menjamin keamanan informasi Federasi Rusia.

Hal ini meliputi: menilai efektivitas penerapan peraturan perundang-undangan dan peraturan lainnya yang ada di bidang informasi dan mengembangkan program untuk perbaikannya; penciptaan mekanisme organisasi dan hukum untuk menjamin keamanan informasi; menentukan status hukum semua subjek hubungan di bidang informasi, termasuk pengguna sistem informasi dan telekomunikasi, dan menetapkan tanggung jawab mereka untuk mematuhi undang-undang Federasi Rusia di bidang ini; pembuatan sistem untuk mengumpulkan dan menganalisis data tentang sumber ancaman terhadap keamanan informasi Federasi Rusia, serta konsekuensi penerapannya; perkembangan perbuatan hukum normatif yang menentukan penyelenggaraan penyidikan dan tata cara persidangan terhadap fakta perbuatan melawan hukum di bidang informasi, serta tata cara menghilangkan akibat dari perbuatan melawan hukum tersebut; pengembangan pelanggaran dengan mempertimbangkan kekhususan tanggung jawab pidana, perdata, administratif, disipliner dan pencantuman norma hukum yang relevan dalam kode pidana, perdata, administrasi dan perburuhan, dalam undang-undang Federasi Rusia tentang pelayanan publik; meningkatkan sistem pelatihan personel yang digunakan di bidang memastikan keamanan informasi Federasi Rusia.

Dukungan hukum untuk keamanan informasi Federasi Rusia harus didasarkan, pertama-tama, pada kepatuhan terhadap prinsip-prinsip legalitas, keseimbangan kepentingan warga negara, masyarakat dan negara di bidang informasi. Kepatuhan terhadap prinsip legalitas mengharuskan badan pemerintah federal dan badan pemerintah dari entitas konstituen Federasi Rusia, ketika menyelesaikan konflik yang timbul di bidang informasi, untuk secara ketat dipandu oleh undang-undang legislatif dan peraturan lainnya yang mengatur hubungan di bidang ini. Pemenuhan prinsip keseimbangan kepentingan warga negara, masyarakat, dan negara di bidang informasi mengandaikan konsolidasi legislatif atas prioritas kepentingan tersebut di berbagai bidang masyarakat, serta penggunaan bentuk kontrol publik atas kegiatan pemerintah federal. badan dan badan pemerintah dari entitas konstituen Federasi Rusia. Penyelenggaraan jaminan hak konstitusional dan kebebasan manusia dan warga negara dalam kegiatan di bidang informasi merupakan tugas terpenting negara di bidang keamanan informasi. Pengembangan mekanisme dukungan hukum keamanan informasi di Federasi Rusia mencakup langkah-langkah untuk menginformasikan bidang hukum secara keseluruhan. Untuk mengidentifikasi dan mengoordinasikan kepentingan badan-badan pemerintah federal, badan-badan pemerintah dari entitas konstituen Federasi Rusia dan subjek hubungan lainnya di bidang informasi, dan mengembangkan keputusan yang diperlukan, negara mendukung pembentukan dewan publik, komite dan komisi dengan representasi luas dari asosiasi publik dan memfasilitasi pengorganisasian kerja efektif mereka.

Fitur sertifikasi dan standardisasi layanan kriptografi

Di hampir semua negara dengan teknologi kriptografi yang maju, pengembangan CIPF tunduk pada peraturan pemerintah. Peraturan negara, pada umumnya, mencakup perizinan kegiatan yang terkait dengan pengembangan dan pengoperasian alat kriptografi, sertifikasi CIPF, dan standarisasi algoritma transformasi kriptografi.

Jenis kegiatan berikut ini tunduk pada lisensi: pengembangan, produksi, pengujian sertifikasi, penjualan, pengoperasian alat enkripsi yang dimaksudkan untuk perlindungan kriptografi informasi yang berisi informasi yang merupakan rahasia negara atau rahasia lain yang dilindungi secara hukum selama pemrosesan, penyimpanan, dan transmisi melalui saluran komunikasi, serta penyediaan layanan di bidang enkripsi informasi tersebut; pengembangan, produksi, pengujian sertifikasi, pengoperasian sistem telekomunikasi dan kompleks badan pemerintah tertinggi Federasi Rusia; pengembangan, produksi, pengujian sertifikasi, implementasi, pengoperasian sistem tertutup dan kompleks telekomunikasi badan pemerintah dari entitas konstituen Federasi Rusia, badan pusat federal kekuasaan eksekutif, organisasi, perusahaan, bank, dan lembaga lain yang berlokasi di wilayah Federasi Rusia, terlepas dari afiliasi departemen dan bentuk kepemilikannya (selanjutnya disebut sistem tertutup dan kompleks telekomunikasi) yang dimaksudkan untuk transmisi informasi yang merupakan rahasia negara atau lainnya dilindungi undang-undang; melakukan uji sertifikasi, penerapan dan pengoperasian alat enkripsi, sistem tertutup, dan kompleks telekomunikasi yang dimaksudkan untuk memproses informasi yang tidak mengandung informasi yang merupakan rahasia negara atau rahasia lain yang dilindungi undang-undang selama pemrosesan, penyimpanan, dan transmisi melalui saluran komunikasi, serta memberikan layanan dalam enkripsi bidang informasi ini

Alat enkripsi meliputi: perangkat keras, perangkat lunak, dan perangkat keras-perangkat lunak yang menerapkan algoritma kriptografi untuk mengubah informasi, memastikan keamanan informasi selama pemrosesan, penyimpanan dan transmisi melalui saluran komunikasi, termasuk teknologi enkripsi; perangkat keras, perangkat lunak dan perangkat keras-perangkat lunak sarana perlindungan terhadap akses tidak sah terhadap informasi selama pemrosesan dan penyimpanannya yang menerapkan algoritma kriptografi untuk mengubah informasi; penerapan algoritme kriptografi untuk mengubah informasi, perangkat keras, perangkat lunak, dan perangkat keras-perangkat lunak sebagai sarana perlindungan terhadap pengenaan informasi palsu, termasuk sarana perlindungan peniruan dan “tanda tangan digital”; perangkat keras, perangkat keras-perangkat lunak, dan perangkat lunak untuk produksi dokumen kunci untuk alat enkripsi, terlepas dari jenis pembawa informasi utama.

KE sistem tertutup dan kompleks telekomunikasi mencakup sistem dan kompleks telekomunikasi yang menjamin perlindungan informasi menggunakan alat enkripsi, peralatan yang aman, dan tindakan organisasi.

Selain itu, jenis kegiatan berikut ini tunduk pada lisensi: pengoperasian alat enkripsi dan/atau alat tanda tangan digital, serta alat enkripsi untuk melindungi pembayaran elektronik menggunakan kartu kredit plastik dan kartu pintar; penyediaan layanan perlindungan informasi (enkripsi); pemasangan, pemasangan, penyesuaian alat enkripsi dan/atau alat tanda tangan digital, alat enkripsi untuk melindungi pembayaran elektronik dengan menggunakan kartu kredit plastik dan kartu pintar; pengembangan alat enkripsi dan/atau alat tanda tangan digital, alat enkripsi untuk melindungi pembayaran elektronik dengan menggunakan kartu kredit plastik dan kartu pintar

Prosedur sertifikasi CIPF ditetapkan oleh Sistem Sertifikasi Alat Perlindungan Informasi Kriptografi ROSS.R11.0001.030001 dari Standar Negara Rusia.

Standardisasi algoritma transformasi kriptografi mencakup penelitian dan publikasi komprehensif dalam bentuk standar elemen prosedur kriptografi dengan tujuan menggunakan transformasi kriptografi yang kuat secara teruji oleh pengembang CIPF, memastikan kemungkinan operasi bersama berbagai CIPF, serta kemampuan untuk menguji dan memverifikasi kepatuhan implementasi CIPF dengan algoritma yang ditentukan oleh standar. Standar berikut telah diadopsi di Rusia: algoritma transformasi kriptografi 28147-89, algoritma hashing, pembubuhan dan verifikasi tanda tangan digital R34.10.94 dan R34.11.94. Di antara standar asing, algoritma enkripsi DES, RC2, RC4, algoritma hashing MD2, MD4 dan MD5, serta algoritma untuk membubuhkan dan memverifikasi tanda tangan digital DSS dan RSA dikenal dan digunakan secara luas.

Kerangka legislatif untuk keamanan informasi

Konsep dasar, persyaratan, metode dan alat untuk merancang dan menilai sistem keamanan informasi untuk sistem informasi (SI) tercermin dalam dokumen mendasar berikut:

"Buku Oranye" dari Pusat Keamanan Komputer Nasional

"Kriteria Harmonisasi Negara-negara Eropa (ITSEC)";

Konsep perlindungan terhadap kegiatan ilegal Komisi Negara di bawah Presiden Federasi Rusia.

Konsep keamanan informasi

Konsep keamanan sistem yang sedang dikembangkan adalah “seperangkat hukum, aturan, dan norma perilaku yang menentukan bagaimana suatu organisasi memproses, melindungi, dan mendistribusikan informasi kumpulan data. Semakin andal sistem, semakin ketat dan konsep keamanannya harus lebih beragam. Tergantung pada konsep yang dirumuskan, mekanisme khusus dapat dipilih untuk menjamin keamanan sistem. termasuk analisis kemungkinan ancaman dan pemilihan tindakan penanggulangannya."

Menurut Orange Book, konsep keamanan sistem yang dikembangkan harus mencakup unsur-unsur berikut:

Kontrol akses acak;

Keamanan penggunaan kembali objek;

Label keamanan;

Kontrol akses yang diberlakukan.

Mari kita pertimbangkan konten elemen yang terdaftar.

Kontrol akses acak adalah suatu metode untuk membatasi akses terhadap objek, berdasarkan dengan mempertimbangkan identitas subjek atau kelompok tempat subjek tersebut berada. Kesewenang-wenangan kendali adalah bahwa seseorang (biasanya pemilik suatu objek) dapat, atas kebijakannya sendiri, memberikan atau mengambil hak akses dari subjek lain terhadap objek tersebut.

Keuntungan utama dari kontrol akses acak adalah fleksibilitas, kelemahan utama adalah penyebaran kontrol dan kompleksitas kontrol terpusat, serta isolasi hak akses dari data, yang memungkinkan Anda menyalin informasi rahasia ke file publik.

Keamanan penggunaan kembali objek merupakan tambahan penting pada kontrol akses dalam praktiknya, melindungi dari pengambilan informasi sensitif dari sampah secara tidak sengaja atau disengaja. Keamanan penggunaan kembali harus dijamin di suatu area memori akses acak(khususnya, untuk buffer dengan gambar layar, kata sandi yang didekripsi, dll.), untuk blok disk dan media magnetik secara umum.

Label keamanan dikaitkan dengan subjek dan objek untuk menerapkan kontrol akses. Label subjek menggambarkan keterpercayaannya, label objek menggambarkan tingkat kerahasiaan informasi yang dikandungnya. Menurut Buku Oranye, label keamanan terdiri dari dua bagian – tingkat keamanan dan daftar kategori. masalah utama Masalah yang perlu diatasi dengan tag adalah memastikan integritasnya. Pertama, tidak boleh ada subjek atau objek yang tidak diberi tag, jika tidak, akan ada lubang keamanan yang mudah dieksploitasi dalam tag. Kedua, selama operasi apa pun dengan data, label harus tetap benar. Salah satu cara untuk memastikan integritas label keamanan adalah dengan memisahkan perangkat menjadi perangkat multi-level dan satu level. Perangkat multi-level dapat menyimpan informasi dengan tingkat kerahasiaan yang berbeda (lebih tepatnya, terletak pada rentang level tertentu). Perangkat satu level dapat dianggap sebagai kasus degenerasi dari perangkat multi-level, di mana rentang yang diijinkan terdiri dari satu level. Mengetahui level perangkat, sistem dapat memutuskan apakah diperbolehkan menulis informasi dengan label tertentu padanya.

Kontrol akses yang diterapkan didasarkan pada pencocokan label keamanan subjek dan objek. Metode kontrol akses ini disebut paksa, karena tidak bergantung pada kemauan subjek (bahkan administrator sistem). Kontrol akses yang diterapkan hadir dalam berbagai bentuk sistem operasi dan DBMS, ditandai dengan peningkatan langkah-langkah keamanan.