Авторизація систем з безпеки

Авторизація з безпеки інформаційних, електронних комунікаційних, інформаційно-комунікаційних і технологічних систем проводиться для прийняття обґрунтованого рішення щодо можливості їх безпечної експлуатації. Процедура передбачає визначення вимог до захисту інформації, оцінювання ризиків, впровадження необхідних заходів, підготовку авторизаційної документації та підтвердження того, що система може функціонувати з прийнятним рівнем ризику.

У сучасній моделі рішення про авторизацію приймає власник системи на підставі результатів оцінювання та підготовленої документації. Після цього відповідні матеріали подаються для включення системи до переліку авторизованих систем з безпеки. Тому коректніше розглядати послугу не як формальне «отримання дозволу», а як комплексну підготовку системи, документів і відповідальної організації до проходження передбаченої процедури.

ТЕЛЕКОН надає консалтинг у сфері інформаційної безпеки та супроводжує організації від первинної оцінки системи до підготовки авторизаційного пакета й подальшої взаємодії з уповноваженими установами.

Необхідність авторизації визначається типом системи, категоріями інформації, що в ній обробляються, правовим статусом власника та вимогами до захисту державних інформаційних ресурсів або об’єктів критичної інформаційної інфраструктури. На початковому етапі важливо правильно класифікувати систему та визначити, які нормативні й технічні вимоги застосовуються саме до неї.

Процедура може стосуватися систем, у яких:

• обробляються державні інформаційні ресурси або інформація з обмеженим доступом;
• зберігаються чи передаються персональні, службові або конфіденційні дані;
• забезпечується робота об’єкта критичної інформаційної інфраструктури;
• надаються електронні комунікаційні або суспільно важливі цифрові послуги;
• використовуються технологічні процеси, порушення яких може створити істотні наслідки;
• власник або розпорядник зобов’язаний підтвердити відповідність установленому профілю безпеки.

Аудит системи та визначення вимог

Підготовка починається з аналізу архітектури системи, складу програмно-технічних засобів, потоків даних, користувачів, зовнішніх інтеграцій, фізичної інфраструктури та чинної документації. Фахівці визначають межі системи, категорії інформації, потенційні загрози й нормативні документи, яким має відповідати організація. Результатом аудиту є перелік невідповідностей та дорожня карта їх усунення.

Цільовий профіль безпеки та управління ризиками

Цільовий профіль безпеки формує набір вимог і заходів, які мають бути реалізовані для конкретної системи. Він повинен відповідати призначенню системи, категоріям інформації, моделі загроз і прийнятному рівню ризику. На практиці це означає визначення правил доступу, журналювання подій, резервного копіювання, реагування на інциденти, управління вразливостями, фізичного захисту, роботи з постачальниками та інших організаційних і технічних заходів.

Підготовка авторизаційної документації

Документація повинна не лише описувати заплановані заходи, а й підтверджувати їх фактичне впровадження. До пакета можуть входити опис системи, політики безпеки, результати оцінювання, документи з управління ризиками, плани реагування, протоколи випробувань, рішення відповідальних осіб та авторизаційний лист. Точний склад залежить від типу системи й базового профілю безпеки.

Роботи доцільно організувати в такій послідовності:

1. Визначення власника, меж, призначення та категорії системи.
2. Аналіз нормативних вимог і вибір відповідного профілю безпеки.
3. Проведення GAP-аналізу організаційних і технічних заходів.
4. Формування плану усунення невідповідностей і розподіл відповідальності.
5. Розроблення або актуалізація політик, процедур та технічної документації.
6. Впровадження передбачених заходів захисту.
7. Організація оцінювання відповідності та опрацювання зауважень.
8. Підготовка рішення власника системи та авторизаційного листа.
9. Супровід включення системи до відповідного переліку.
10. Підготовка до подальшого моніторингу й актуалізації документів.

Найчастіше складнощі виникають не через відсутність окремого технічного засобу, а через невідповідність між реальною роботою системи та її документацією. Наприклад, політика може передбачати журналювання подій, але журнали фактично не аналізуються; правила доступу можуть бути описані, але не підтверджені матрицею ролей; резервні копії створюються, однак відновлення не тестується. Такі розбіжності потрібно виявляти до офіційного оцінювання.

До поширених недоліків належать:

• нечітко визначені межі системи та відповідальні особи;
• застаріла або формальна модель загроз;
• відсутність документованого процесу управління ризиками;
• невідповідність політик фактичним технічним налаштуванням;
• неповні докази впровадження заходів безпеки;
• відсутність регулярного контролю доступів, подій та вразливостей;
• неузгодженість дій власника системи, ІТ-підрозділу, служби безпеки та підрядників.

Фахівці ТЕЛЕКОН допомагають визначити вимоги, провести аудит, сформувати цільовий профіль, підготувати організаційні документи, координувати впровадження заходів і зібрати авторизаційний пакет. Комплексний формат дозволяє зменшити навантаження на внутрішню команду та уникнути ситуації, коли технічні роботи виконуються окремо від юридичних і документальних вимог.

Вартість супроводу залежить від розміру та складності системи, категорій інформації, кількості компонентів, наявності документації й поточного рівня готовності. До початку робіт доцільно провести окремий аудит, після якого можна визначити реалістичний обсяг, строки та бюджет авторизації.

Для яких систем може бути потрібна авторизація з безпеки?

Процедура може бути актуальною для інформаційних, електронних комунікаційних, інформаційно-комунікаційних і технологічних систем, у яких обробляються державні інформаційні ресурси, інформація з обмеженим доступом або дані об’єктів критичної інформаційної інфраструктури.

Хто приймає рішення про авторизацію системи?

Рішення приймає власник системи на підставі результатів оцінювання безпеки та підготовленого комплекту документів. Подальші дії виконуються відповідно до встановленого порядку взаємодії з Держспецзв’язку.

Які документи потрібно підготувати?

Точний склад залежить від типу та меж системи. Зазвичай готуються опис системи, цільовий профіль безпеки, документи з управління ризиками, політики, процедури, результати оцінювання та матеріали, що підтверджують впровадження заходів захисту.

Скільки часу займає підготовка до авторизації?

Тривалість залежить від складності системи, кількості компонентів, наявної документації та фактичного рівня впровадження заходів безпеки. Після GAP-аналізу формується реалістичний план робіт.

Чи можна авторизувати систему без попереднього аудиту?

Попередній аудит не завжди є окремою формальною вимогою, але практично він потрібен для виявлення прогалин, перевірки документації та зменшення ризику невідповідностей під час оцінювання.