Журнал "Системы Безопасности" № 5‘2022

Ц И Ф Р О В А Я Т Р А Н С Ф О Р М А Ц И Я , A I , I o T 106 В первую очередь разберем, что такое уда- ленное взаимодействие и какое место зани- мает в нем удаленный доступ. ведь нередко эти два понятия воспринимаются как синонимы. Виды удаленного взаимодействия удаленное взаимодействие можно разделить на три вида: 1. удаленный мониторинг. Процесс постоянного наблюдения и анализа результатов деятельно- сти объекта мониторинга (автоматизированной системы) с целью выявления отклонений от нормальной работы и иных данных, необходи- мых для осуществления деятельности. 2. удаленное управление. Передача управляю- щего сигнала от оператора (одной автоматизи- рованной системы) к объекту управления (дру- гой автоматизированной системе), который расположен на определенном расстоянии. 3. удаленный доступ. Процесс получения досту- па (через внешнюю сеть) к объектам доступа информационной системы из другой информа- ционной системы (сети) или со средства вычис- лительной техники, не являющегося постоянно (непосредственно) соединенным физически или логически с информационной системой, к которой он получает доступ 1 . Соотношение этих видов удаленного взаимо- действия представлено на рис. 1. Удаленный доступ в части удаленного доступа не все однозначно. Пока нет законодательно закрепленного опре- деления этого термина. Он встречается только в нормативно-методических документах (см. табл.), подход которых к данному процессу абсолютно разный. По мнению автора, если речь идет о безопасности удаленного доступа, то наиболее правильно использовать термино- логию из нормативно-методических докумен- тов регулятора по информационной безопасно- сти, то есть ФСТЭК России. достаточно близкое по смыслу определение уда- ленного доступа содержится и в ГОСТ Р 57580.1– 2017 "национальный стандарт Российской Феде- рации. Безопасность финансовых (банковских) операций. защита информации финансовых организаций. Базовый состав организационных и технических мер": удаленный доступ работника финансовой организации (удаленный доступ) – логический доступ работников финансовых орга- низаций, реализуемый из-за пределов вычисли- тельных сетей финансовых организаций. Таким образом, при оценке того, является ли доступ удаленным, ключевым параметром будут являться границы информационной системы. на практике это означает, например, что доступ сотрудника из командировки (или дистанционного работника) к ресурсам инфор- мационной системы посредством виртуальной частной сети или, в случае с дистанционным работником, рабочего места, постоянно логи- чески соединенного с информационной систе- мой, не будет являться удаленным доступом. Требования по обеспечению безопасности удаленного доступа Существуют требования по обеспечению без- опасности удаленного доступа к значимым объектам критической информационной инфраструктуры (п. 31 Требований по обес- печению безопасности значимых объектов критической информационной инфраструкту- ры Российской Федерации, утв. приказом ФСТЭК России от 25.12.2017 г. № 239) 2 , кото- рые устанавливают, что: октябрь – ноябрь 2022 www.secuteck.ru СПЕЦПРОЕКТ БЕзОПаСный удалЕнный дОСТуП. СРЕдСТва авТОмаТизаЦии и защиТа данных Константин Саматов Член Правления Ассоциации руководителей служб информационной безопасности Рис. 1. Взаимосвязь удаленного мониторинга (УМ), удаленного доступа (УД) и удаленного управления (УУ) Таблица Безопасный удаленный доступ Проблемные вопросы и нормативные тонкости Развитие технологий, цифровая трансформация и сопутствующая ей всеобщая циф- ровизация приводят к тому, что все больше коммуникаций и управляющего воздей- ствия на различные автоматизированные, в том числе банковские, системы происхо- дит удаленно. На практике часто возникают вопросы, связанные с обеспечением без- опасности удаленного доступа к автоматизированной системе и разделением сфер ответственности при таком взаимодействии. В статье рассмотрим возможные подхо- ды к этому процессу 1 Приложение № 1 к Мерам защиты информации в государственных информационных системах. (Методический документ. Утвержден ФСТЭК России 11 февраля 2014 г.) 2 Банковские организации и иные организации, функционирующие в сфере финансовых рынков, являются субъектами КИИ. Национальный стандарт Российской Федерации. Судебная компьютерно- техническая экспертиза. ГОСТ Р 57429–2017 Приложение № 1 к Мерам защиты информации в государственных информационных системах. (Методический документ. Утвержден ФСТЭК России 11.02.2014 г.) Удаленный доступ – процесс получения доступа к средствам вычислительной техники посредством вычислительной сети с использованием другого средства вычислительной техники Удаленный доступ – процесс получения доступа (через внешнюю сеть) к объектам доступа информационной системы из другой информационной системы (сети) или со средства вычислительной техники, не являющегося постоянно (непосредственно) соединенным физически или логически с информационной системой, к которой он получает доступ Локальный доступ – доступ субъектов доступа к объектам доступа, осуществляемый непосредственно через подключение (доступ) к компоненту информационной системы или через локальную вычислительную сеть (без использования информационно- телекоммуникационной сети) Внешняя информационная система – информационная система, взаимодействующая с информационной системой оператора из-за пределов границ информационной системы оператора Внешняя информационно-телекоммуникационная сеть – информационно-телекоммуникационная сеть, взаимодействующая с информационной системой оператора из-за пределов границ информационной системы оператора