ИТ-безопасность в Акционерном Обществе «Почта России» занимает центральное место в стратегии управления и эксплуатации информационных систем. В эпоху цифровизации и всеобщей информатизации обеспечение безопасности данных и информационных процессов становится критически важной задачей.
«Почта России» применяет комплексный подход к ИТ-безопасности, включающий в себя разработку, внедрение и постоянное обновление стандартов и процедур, направленных на защиту информационных активов. Эти меры направлены на предотвращение угроз, обеспечение целостности, конфиденциальности и доступности информации.
Стратегия ИТ-безопасности «Почты России» охватывает не только технические аспекты, но и организационные меры, а также вопросы правового регулирования в сфере защиты информации.
Термины и определения
Для удобства ключевые термины и определения, используемые в стандарте “Почты России”, которые являются основой для понимания и реализации мер по информационной безопасности в компании, представлены в таблице.
| Наименование термина | Определение |
|---|---|
| Авторизация | Процесс проверки наличия у субъекта соответствующих прав для выполнения действий. |
| Аутентификационная информация | Данные, используемые для подтверждения прав доступа субъекта, например, идентификатор, пароль или биометрические данные. |
| Аутентификация | Процедура подтверждения принадлежности предъявленного идентификатора его владельцу. |
| Интерфейс | Средство взаимодействия с внешними пользователями или системами, например, через веб-страницу или API. |
| Внутренний интерфейс | Сервис для взаимодействия с внутренними пользователями или системами. |
| Информационная безопасность (ИБ) | Защищенность информации от несанкционированного доступа, обеспечивающая конфиденциальность, целостность и доступность информации. |
| Информационная система (ИС) | Совокупность данных и технологий, предназначенных для их обработки. |
| ИС персональных данных (ИСПДн) | Система, обрабатывающая персональные данные с использованием информационных технологий и технических средств. |
| Конфиденциальная информация | Данные, доступ к которым ограничен в соответствии с законодательством или внутренними документами организации. |
| Компонент системы | Элемент системы, например, сетевое устройство, сервер или приложение, входящий в состав ИС или подключенный к сети. |
| Минимально необходимые права | Набор прав, позволяющий субъекту выполнять только те операции, которые необходимы для его работы, не превышая их. |
| Модель угроз | Документ, описывающий потенциальные угрозы для системы. |
| Модернизация системы | Изменение компонентов или кода системы для обновления или улучшения её функциональности. |
| Обработка данных | Действия с данными, такие как сбор, хранение, использование, изменение, распространение или уничтожение. |
| Обфускация | Изменение кода программы для усложнения его анализа и понимания, сохраняя при этом её функциональность. |
| Операционная система (ОС) | Программный комплекс, управляющий ресурсами компьютера и организующий взаимодействие с пользователем. |
| Персональные данные | Любая информация, прямо или косвенно связанная с идентифицируемым физическим лицом. |
| Пользователь | Лицо, взаимодействующее с информационной системой. |
| Права доступа пользователя | Правила, определяющие, каким образом пользователь может взаимодействовать с информацией и её носителя |
| Сегмент сети | Отдельно выделенная часть сети, которая логически или физически изолирована от других частей сети. |
| Система | Синоним информационной системы, подразумевающий совокупность данных и технологий для их обработки. |
| Угроза информационной безопасности | Условия и факторы, создающие риск несанкционированного доступа к информационным активам, что может привести к их уничтожению, изменению, копированию или распространению. |
| Активный каталог | Инфраструктурная информационная система, предназначенная для обнаружения и управления ресурсами компании в сети (информация о пользователях, группы, принтеры, компьютеры и т.д.). |
| Интерфейс прикладного программирования | Программный механизм, который позволяет одной компьютерной программе взаимодействовать с другой. |
| Полностью Автоматизированный Публичный Тест Тьюринга на Отличие Компьютеров от Людей | Защитный тест, определяющий, является ли пользователь человеком или компьютером. |
| Куки | Небольшая информация, отправляемая веб-сервером и хранящаяся на компьютере пользователя. |
| Демилитаризованная зона | Часть сети, изолированная межсетевым экраном от основных сегментов сети. Предназначена для ресурсов, доступных из Интернета. |
| Система доменных имён | Распределённая база данных для хранения имен сетевых устройств. Также предоставляет преобразование имен в IP-адреса. |
| Полное доменное имя | Точное указание имени устройства в системе DNS. |
| Протокол передачи файлов | Способ передачи данных между сервером и клиентом. |
| Протокол передачи файлов по SSL | Расширение протокола FTP для безопасной передачи данных через SSL. |
| Менеджер идентификации | Централизованная система управления данными пользователей и их синхронизации между хранилищами. |
| Протокол сетевого времени | Протокол для синхронизации времени компьютера с сервером NTP. |
| Безопасное копирование | Протокол копирования файлов через SSH. |
| Безопасные расширения многих целей для интернет-почты | Набор стандартов для безопасной передачи данных через электронную почту. |
| Безопасная оболочка | Протокол для безопасного управления удалённой машиной и передачи данных. |
| Структурированный язык запросов | Язык для работы с данными в реляционных базах данных. |
| Протокол защищённого канала передачи данных | Протокол для обеспечения безопасности передаваемых данных в сети. |
| Универсальный указатель ресурса | Адрес, идентифицирующий ресурс в Интернете. |
| Виртуальная локальная сеть | Логическое разделение сети на канальном уровне. |
| Виртуальная частная сеть | Логическая сеть, созданная поверх другой сети для безопасной передачи данных. |
| Веб-приложение | Клиент-серверная система, в которой взаимодействие происходит через браузер и веб-сервер. |
Основные положения
Основные положения стандарта АО «Почта России» по обеспечению информационной безопасности при разработке или модернизации информационных систем и приложений направлены на унификацию требований к информационной безопасности для новых или обновляемых систем.
Стандарт обеспечивает защиту конфиденциальности, целостности и доступности информации, соблюдая требования законодательства РФ и международных стандартов. Он применяется ко всем подразделениям компании, занимающимся разработкой, модернизацией и эксплуатацией информационных систем.
Департамент информационной безопасности отвечает за координацию и контроль исполнения стандарта. Любые отступления от стандарта требуют согласования с этим департаментом. Стандарт подлежит периодическому пересмотру и актуализации, чтобы оставаться в соответствии с изменениями в законодательстве и стандартах информационной безопасности.
Организационные требования
В рамках обеспечения информационной безопасности в АО «Почта России», особое внимание уделяется организационным аспектам на всех этапах жизненного цикла информационных систем.
Специалисты департамента информационной безопасности активно включаются в процессы разработки и модернизации систем, чтобы внедрять и контролировать соответствие стандартам безопасности. Ключевые требования к безопасности интегрируются в технические документы, обеспечивая их соблюдение на всех этапах разработки.
Перед внедрением системы в эксплуатацию проводятся тестирования на соответствие установленным требованиям, что является обязательным условием для последующего запуска системы. Эти меры позволяют компании поддерживать высокий уровень безопасности обрабатываемой информации и предотвращать возможные угрозы.
Требования к разрабатываемым или модернизируемым системам
В контексте обеспечения информационной безопасности АО «Почта России» уделяет значительное внимание требованиям к разрабатываемым и модернизируемым информационным системам. Эти требования охватывают различные аспекты безопасности, включая использование криптографически защищенных алгоритмов для обеспечения целостности и конфиденциальности данных.
Компания следует принципам защиты информации в различных средах, от внутренней сети до демилитаризованных зон, обеспечивая, что все данные, включая персональные, защищены в соответствии с текущими стандартами и законодательством.
«Почта России» демонстрирует свою приверженность поддержанию высокого уровня безопасности в своих информационных системах.
Аутентификация и авторизация
В АО «Почта России» подчеркивают необходимость строгой проверки пользователей перед предоставлением доступа к ресурсам системы. Аутентификация должна подтверждать личность пользователя, а авторизация — его права на доступ к определенным ресурсам. В системе реализуется ролевой доступ, что позволяет разграничивать права пользователей в соответствии с их ролями и обязанностями, минимизируя при этом предоставление прав.
Для аутентификации могут использоваться пароли, одноразовые пароли, ключи или биометрия. Рекомендуется использовать двухфакторную аутентификацию для систем, обрабатывающих особо важную информацию. При важных операциях может потребоваться повторная аутентификация или подтверждение вторым фактором.
Также предусмотрены механизмы защиты, такие как блокировка учетной записи после нескольких неудачных попыток входа, требования к сложности паролей и их регулярное обновление. Все процессы аутентификации и авторизации должны быть устойчивы к сетевым атакам, обеспечивая надежную защиту идентификационных данных и процедур доступа.
Отказоустойчивость
Почта России стремится обеспечить отказоустойчивость своих систем и гарантирует обеспечение непрерывности и надежности их работы. Системы должны быть спроектированы таким образом, чтобы обеспечивать балансировку нагрузки и возможность восстановления после сбоев.
Важным аспектом является разработка процедур резервного копирования и восстановления данных, чтобы в случае сбоев или потери информации можно было быстро восстановить работоспособность системы.
Также подчеркивается важность шифрования резервных копий при хранении критически важных данных. В целом, эти требования направлены на минимизацию простоев и потерь данных, что критически важно для эффективной и безопасной работы почтовой службы.
Эксплуатация
В процессе эксплуатации информационных систем в Почте России акцентируют особое внимание на необходимости проведения аудита информационной безопасности перед запуском системы в промышленную эксплуатацию или обеспечением доступа к ней через интернет. Это гарантирует, что система соответствует установленным стандартам безопасности перед её полноценным использованием.
Важным аспектом является проектирование информационных систем с использованием актуальных версий программного обеспечения для обеспечения наилучшей совместимости и безопасности. Обновления системы должны проходить апробацию в тестовой среде перед их применением в рабочей среде, чтобы избежать потенциальных сбоев и обеспечить стабильность работы системы.
При разработке и тестировании изменений системы необходимо избегать использования продуктивных экземпляров системы, чтобы предотвратить возможные негативные воздействия на работу основной системы. Помимо этого, все компоненты системы должны иметь активную техническую поддержку и быть зарегистрированы в корпоративных системах мониторинга и управления конфигурациями.
Эти требования обеспечивают высокий уровень готовности системы к эксплуатации и минимизируют риски, связанные с безопасностью и стабильностью её функционирования.
Веб-приложения
К веб-приложениям в Почте России предъявляют целый ряд требований, который включают разные меры, направленные на обеспечение безопасности и надежности веб-приложений:
- HTTP-заголовки. Веб-приложения должны использовать конкретные HTTP-заголовки для повышения безопасности. Это включает настройки, которые обеспечивают использование HTTPS, предотвращают атаки через iframe, защищают от XSS-атак, предотвращают выполнение MIME-несовместимого контента и контролируют отправку данных через заголовок Referer.
- Политика безопасности контента. Должна быть определена и строго соблюдаться политика безопасности контента, которая управляет доступом к различным ресурсам и функциям браузера, устанавливая ограничения на выполнение скриптов, подключение ресурсов и использование API.
- Защита от угроз. Веб-приложения должны быть спроектированы и разработаны с учетом защиты от известных угроз и атак, включая, но не ограничиваясь, SQL-инъекциями, XSS, CSRF и другими типами уязвимостей.
- Аудит и мониторинг. Должны быть реализованы механизмы аудита и мониторинга, позволяющие отслеживать и анализировать действия пользователей и компонентов системы, обеспечивая тем самым возможность своевременно обнаруживать и реагировать на потенциальные угрозы.
Эти требования направлены на создание надежного и безопасного окружения для веб-приложений Почты России, гарантируя защиту данных пользователей и системы в целом.
Мобильные приложения
При разработке или модернизации мобильных приложений необходимо учитывать специфические аспекты безопасности, связанные с мобильной платформой.
- Мобильные приложения должны обеспечивать защиту персональных данных и конфиденциальной информации пользователей. Для этого необходимо использовать надежные методы шифрования и обеспечивать безопасное хранение данных на устройстве.
- Важно обеспечить безопасность взаимодействия приложения с сервером. Должны использоваться безопасные протоколы передачи данных, такие как HTTPS, для защиты информации при ее передаче по сети.
- Приложения должны иметь механизмы аутентификации и авторизации для контроля доступа к функциям и данным. Это помогает предотвратить несанкционированный доступ и обеспечивает, что пользователи имеют доступ только к тем ресурсам, которые разрешены в соответствии с их правами.
- Разработка приложений должна включать тестирование на уязвимости и проведение аудита безопасности для выявления и устранения потенциальных угроз до выпуска приложения в продакшн.
Эти требования помогают обеспечить, что мобильные приложения Почты России защищены от различных угроз и обеспечивают безопасность пользовательских данных.
Документация
Почта России предъявляет к документации информационных систем строгие требования, которые включают в себя подробное описание всех аспектов работы системы, чтобы обеспечить её прозрачность и понимание структуры и функционирования.
- Описание системы. Документация должна содержать общие сведения о системе, включая её назначение и описание, а также перечень обрабатываемых данных с указанием их конфиденциальности и места хранения.
- Архитектура системы. Необходимо детально описать логическую структуру системы, включая её компоненты, технологический процесс обработки данных, а также описание используемых программных и аппаратных компонентов.
- Инвентаризационные сведения. Должна быть предоставлена информация о сетевой архитектуре системы, IP-адреса компонентов, а также информационные потоки и доступы в системе.
- Обеспечение информационной безопасности. Документация должна включать описание мер по обеспечению информационной безопасности, используемых средств защиты информации, а также детали аудита и мониторинга событий безопасности.
- Руководства и регламенты. Необходимы руководства для пользователей и администраторов, а также матрица доступа, регламенты технического обслуживания, резервного копирования и восстановления системы после сбоев.
Документация должна быть доступна только авторизованным пользователям, содержать актуальную информацию и не включать аутентификационные данные.
ИСПДн
В Почте России к информационным системам персональных данных (ИСПДн) выдвигают жесткие требования, которые определяются необходимостью соответствия законодательству Российской Федерации в области обработки и защиты персональных данных. В том числе:
- Минимизация рисков. Разрабатываемые или модернизируемые системы должны соответствовать типовой модели угроз персональных данных, утвержденной в Почте России. Это позволяет минимизировать затраты на обеспечение соответствия регуляторным требованиям.
- Соответствие модели угроз. Если система не соответствует типовой модели угроз, рекомендуется применить компенсирующие меры, такие как изменение объема и категории обрабатываемых персональных данных, применение обезличивания для приведения системы в соответствие с моделью угроз.
- Защита персональных данных. В случае соответствия системы модели угроз, защита персональных данных осуществляется с помощью развернутой в Почте России системы защиты персональных данных. Это включает в себя обеспечение третьего уровня защищенности для серверных компонентов и четвертого для пользовательских компонентов.
- Разработка и внедрение проекта защиты. Если типовая модель угроз не применима, необходимо разработать частную модель угроз и проект защиты персональных данных, обрабатываемых в системе. Это включает в себя использование решений по защите данных, уже развернутых в организации.
Эти требования помогают обеспечить высокий уровень защиты персональных данных в информационных системах Почты России, соответствуя как внутренним стандартам организации, так и регуляторным требованиям Российской Федерации.
Требования к исполнителям работ
Почта России от исполнителя работ, вовлеченного в разработку или модернизацию систем, требует соблюдения определенных правил и норм, которые обеспечивают высокий уровень информационной безопасности и соответствие регулятивным стандартам.
- Лицензирование и СКЗИ. Если исполнитель задействует в проекте средства криптографической защиты информации (СКЗИ), он должен иметь соответствующую лицензию. Также требуется разработать предложения по выполнению нормативных требований, в частности, приказа ФАПСИ.
- Сертифицированные средства защиты. В случае использования сертифицированных средств защиты информации, исполнитель должен обладать лицензией ФСТЭК России на выполнение соответствующих работ.
- Интеграция и комплексные решения. При интеграции системы с другими информационными системами или использовании различных технических и программных средств, исполнитель должен предоставить комплексное решение по обеспечению информационной безопасности. Это включает настройку, размещение и эксплуатацию всех задействованных средств, от оборудования до прикладного программного обеспечения, обеспечивая их совместимость и безопасность в рамках разрабатываемой системы.
Выводы
В заключении стоит отметить, что комплексные требования АО «Почта России» в области информационной безопасности, охватывают различные аспекты – от организационных требований до спецификаций, предъявляемых к веб- и мобильным приложениям, а также к документации и исполнителям работ.
Эти стандарты и рекомендации не только способствуют защите конфиденциальной информации и персональных данных, но и формируют структурированный подход к разработке и модернизации информационных систем, гарантируя их отказоустойчивость, надежность и соответствие современным требованиям информационной безопасности.
Почта России, следуя этим принципам, демонстрирует приверженность высоким стандартам безопасности, что важно не только для собственной операционной деятельности, но и для обеспечения доверия со стороны клиентов и партнеров.
