Миф об обязательности использования сертифицированных СЗИ для обеспечения безопасности персональных данных
Миф о том, что для обеспечения безопасности персональных данных операторы ПДн обязаны использовать только сертифицированные средства защиты информации, получил настолько широкое распространение в профессиональной и в непрофессиональной среде, что я и сам порой уже как-будто готов в него поверить. Открываю первоисточники (законы РФ и официальные нормативные документы регуляторов), перечитываю и убеждаюсь в очередной раз в том, что действующее законодательство не дает достаточных оснований для того, чтобы требовать от любого оператора ПДн обязательного использования для обеспечения безопасности ПДн только сертифицированных СЗИ. Однако, легче от этого, увы, не становится.
В этой статье мы продолжаем не соглашаться с широко распространенными мифами, появившимися на свет после принятия Федерального закона № 152-ФЗ "О персональных данных" и последующего формирования соответствующей подзаконной базы. Данный цикл статей носит название "Чего не требует от операторов закон о персональных данных" и начинался он с Заблуждения 1. "Закон требует от операторов получения согласий на обработку ПДн от субъектов ПДн".
Последние два специфических заблуждения, которые мы рассматривали в данной рубрике, относились к банковской сфере, и формулировались они следующим образом:
Некоторые банкиры только сейчас, уже реализовав проекты по внедрению СТО БР ИББС и по защите ПДн, начинают прозревать, а тем, кто не прозревает самостоятельно, помогают регуляторы и законодатели, которым и в голову не приходит, что согласование ими каких-либо отраслевых рекомендаций по защите ПДн может являться причиной для невыполнения разрабатываемых ими обязательных требований законов и нормативных актов. В реальности банкиры слишком боятся ЦБ для того, чтобы иметь какую-либо точку зрения по данному вопросу, отличную от сообщаемой им на официальных конференциях или в официальных директивах. Мы их в этом понимаем и помогаем по мере возможности.
Рассматриваемый нами сегодня миф является одним из самых жестоких и обременительных для операторов ПДн и формулируется он следующим образом:
Заблуждение 7. Все операторы персональных данных обязаны использовать для обеспечения безопасности персональных данных только сертифицированные средства защиты информации
Двойственность ситуации, связанной с регулированием вопросов защиты информации в нашей стране и сущность сертификационных процедур я уже описывал ранее по заказу редакции CNews в статье "Что мешает развитию ИБ в России?". К сожалению, прошло уже 5 лет, а данная статья нисколько не потеряла своей актуальности.
До принятия закона о персональных данных всем специалистам было понятно, что государственные организации для защиты информации ограниченного распространения обязаны использовать сертифицированные СЗИ, а частные компании могут использовать любые СЗИ по своему усмотрению. Поскольку и в государственных организациях полностью выполнить данное требование было во многих случаях невозможно, при проведении приемо-сдаточных, аттестационных испытаний и прочих проверок руководствовались более простым правилом: "все обязательные функциональные требования по защите информации должны закрываться при помощи сертифицированных СЗИ". Данное требование выполнить уже намного проще, т.к. обязательных требований относительно немного, под них имеется множество сертифицированных отечественных продуктов, на которые не жалко потратить казенные деньги. Реальные же потребности организаций в области защиты информации при этом могут закрываться при помощи любых подходящих СЗИ.
Необходимость использования сертифицированных СЗИ в государственных организациях устанавливалась в СТР-К "Специальные требования и рекомендации по защите конфиденциальнной информации", принятым Гостехкомиссией России в 1999 году и до сих пор носящим гриф ДСП, а поэтому нигде неопубликованном. СТР-К распростаняется на защиту государственных информационных ресурсов некриптографическими методами. Формулировки этого документа, что характерно, весьма расплывчаты. Во-первых, не всегда понятно, что является требованием, а что рекомендацией. Во-вторых, сами требования и рекомендации недостаточно четко сформулированы и допускают множественные толкования. Об использовании сертифицированных СЗИ в документе упомянается неоднократно в различных формулировках. Например, как трактовать следующее положение?:
"Для защиты конфиденциальной информации используются сертифицированные по требованиям безопасности информации технические средства защиты информации. Порядок сертификации определяется законодательством Российской Федерации".
Это требование или рекомендация? Только сертифицированные или не только? Относятся ли к числу технических СЗИ программные СЗИ или нет? Как можно было в одно простое предложение столько неясностей заложить?
"В качестве основных мер защиты информации рекомендуются использование сертифицированных серийно выпускаемых в защищенном исполнении технических средств обработки, передачи и хранения информации"
Из данного пункта можно сделать вывод о том, что для средств обработки информации, не являющихся СЗИ, сертификация носит все же рекомендательный характер.
"Для управления, контроля защищенности ЛВС и распределения системных ресурсов в ЛВС, включая управление средствами защиты информации, обрабатываемой (хранимой, передаваемой) в ЛВС, должны использоваться соответствующие сертифицированные по требованиям безопасности информации средства защиты".
Вот это уже явно требование, из которого с очевидностью следует, что должны использоваться сертифицированные СЗИ, вот только вопрос для чего? Получается, что сертифицированные СЗИ должны использоваться для ..... управления СЗИ и ЛВС, а также для контроля защищенности и распределения системных ресурсов. Т.е. для всех прочих задач не обязательно использовать сертифицированные СЗИ?
Мы видим, что даже единственный нормативный документ, якобы устанавливающий обязательность использования сертифицированных СЗИ для защиты государственных информационных ресурсов, СТР-К (нигде к тому же официально не опуликованный, а значит не имеющий статуса НПА) не устанавливает данного требования с достаточной определенностью и для всех типов СЗИ. "Вилами по воде писано", как говорят у нас в народе. Ведь, если требуется установить обязательность использования сертифицированных СЗИ, почему так прямо и коротко не написать: "Для защиты государственных информационных ресурсов должны использоваться (разрешается использовать) только сертифицированные СЗИ"? И почему не опубликовать данный документ, чтобы не только регуляторы и лицензиаты ФСТЭК об этом знали, но и те, кто данное требование должен выполнять? Может быть данное требование просто нельзя полностью выполнить и наши регуляторы боятся поймать на крючок самих себя? Лучше половить рыбку в мутной воде? Можно тогда и без крючка, голыми руками, - сам не зацепишься.
Давайте теперь посмотрим, где же в действующем законодательстве или нормативной базе можно обнаружить требование об обязательности использования сертифицированных СЗИ для защиты персональных данных? В последней редакции закона о персональных данных (№ 261-ФЗ о внесении изменений в 152-ФЗ) в статье 19 говорится следующее:
"2. Обеспечение безопасности персональных данных достигается, в частности: .... 3) применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации; ..."
Другими словами, закон требует, чтобы применяемые для защиты ПДн СЗИ проходили в установленном порядке процедуру оценки соответствия. Требование, надо сказать, вполне логичное. Разве можно допускать, чтобы для защиты ПДн (читай: интересов наших граждан) использовалось неизвестно что? Про сертифицикацию СЗИ в законе ничего не сказано. Сертификация - это лишь одна из форм подтверждения соответствия, а подтверждение соответствия, согласно действующему законодательству, является лишь одной из многих форм оценки соответствия. В Федеральном законе № 184-ФЗ "О техническом регулировании" об этом говорится следующее:
"оценка соответствия - прямое или косвенное определение соблюдения требований, предъявляемых к объекту"
"Оценка соответствия проводится в формах государственного контроля (надзора), аккредитации, испытания, регистрации, подтверждения соответствия, приемки и ввода в эксплуатацию объекта, строительство которого закончено, и в иной форме".
Как мы видим из данного определения, помимо подтверждения соответствия, оценка соответствия также может проводиться в форме испытаний, а также в иных формах.
"подтверждение соответствия - документальное удостоверение соответствия продукции или иных объектов, процессов производства, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ или оказания услуг требованиям технических регламентов, положениям стандартов или условиям договоров;"
"Подтверждение соответствия на территории РФ может носить добровольный или обязательный характер. 2. Добровольное подтверждение соответствия осуществляется в форме добровольной сертификации. 3. Обязательное подтверждение соответствия осуществляется в формах: принятия декларации о соответствии (далее - декларирование соответствия); обязательной сертификации".
"Обязательное подтверждение соответствия проводится только в случаях, установленных соответствующим техническим регламентом, и исключительно на соответствие требованиям технического регламента".
Поскольку технических регламентов по защите ПДн или по защите конфиденциальной информации в целом, устанавливающих требования обязательного подтверждения соответствия, не существует, то об обязательном подтверждении соответствии речи не идет. Что касается добровольной сертификации СЗИ на соответствие каким-угодно требованиям, то это дело добровольное, также как и колхоз. Сертификация СЗИ конечно может использоваться для подтверждения соответствия СЗИ, применяемых для защиты ПДн, наряду с другими формами оценки соответствия. В случае использования несертифицированных СЗИ оценка соответствия этих СЗИ может осуществляться в ходе приемо-сдаточных испытаний путем проверки реализации данным СЗИ определяемых ТЗ функциональных требований, анализа конфигурационных параметров СЗИ, проведения тестов на проникновение и т.п.
Другими словами, дейстующее законодательство о персональных данных не требует обязательного применения сертифицированных СЗИ, либо обязательного подтверждения соответствия СЗИ, используемых для защиты ПДн. Законодательство требует лишь, чтобы СЗИ, используемые для защиты ПДн, проходили в установленном порядке оценку соответствия, например, путем сертификационных, приемочных и прочих испытаний, а также прочими методами.
Все про ту же самую оценку соответствия СЗИ говорится и в действующем Положении об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных (Постановление Правительства РФ № 781 от 17 ноября 2007) и в Положении о методах и способах защиты информации в информационных системах персональных данных (Приказ ФСТЭК № 58 от 5 февраля 2010 г.). Единственным исключением является требование для ИСПДн класса К1: "Для информационных систем 1 класса применяется программное обеспечение средств защиты информации, соответствующее 4 уровню контроля отсутствия недекларированных возможностей". Заметим однако, что и в этом требовании слово "сертификация" не фигурирует, что оставляет возможности для применения, помимо сертификации, и других способов оценки соответствия.
Постановление Правительства Российской Федерации от 21 апреля 2010 г. № 266 "Об особенностях оценки соответствия продукции (работ, услуг), используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа, и продукции (работ, услуг), сведения о которой составляют государственную тайну, предназначенной для эксплуатации в загранучреждениях Российской Федерации ..." устанавливает обязательную сертификацию и государственных контроль (надзор) в качестве единственных форм оценки соответствия СЗИ, но только для загранучреждений РФ. К персональным данным это постановление не относится.
Наконец, последним аргументом, который используется для убеждения в обязательности использования для защиты ПДн сертифицированных СЗИ, является Постановление Правительства РФ № 330 "Об особенностях оценки соответствия продукции (работ, услуг), используемой в целях защиты сведений, относимых к охраняемой в соответствии с законодательством РФ информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну ...". Данное постановление мало кто видел, т.к. оно почему-то носит гриф ДСП. Распространяется данное постановление на государственные информационные ресурсы, а заодно, и на персональные данные. Подобный документ пока даже сложно комментировать. Во-первых, он носит закрытый характер и поэтому просто не может выполняться операторами ПДн. Во-вторых, данное постановление не только выполняться не может, но и применяться не может и не может повлечь никаких правовых последствий для тех, кто его не знает или не выполняет. Постановлением Правительства РФ от 13.08.97 г. № 1009 утверждены «Правила подготовки нормативно-правовых актов федеральных органов исполнительной власти и их государственной регистрации». В соответствии с п. 19 этих Правил "нормативно-правовые акты, не прошедшие регистрацию в Минюсте России и официально не опубликованные, считаются не вступившими в силу и применяться не могут". Кроме того, в соответствии с ч. 3 ст. 15 Конституции РФ "все законы, а также любые нормативные акты, затрагивающие права, свободы и обязанности человека и гражданина, должны быть официально опубликованы для всеобщего сведения, то есть обнародованы. Неопубликованные нормативные правовые акты не применяются, не влекут правовых последствий, как не вступившие в силу".
Что-то мне подсказывает, что подобно СТР-К, 330 ПП может так и остаться с грифом ДСП. В этом случае обязательное использование сертифицированных СЗИ, так и не станет нормативным требованием для операторов ПДн, но будет использоваться повсеместно для косвенного воздействия на операторов через лицензиатов ФСТЭК, проводящих работы по защите ПДн, и незаинтересованных в какой-либо полемике по данному вопросу. Схема добровольно-принудительного околозаконного присоединения к различным требованиям у нас в стране достаточно хорошо отработана и операторы должны отнестись к этому с пониманием.
В этом случае с правовой точки зрения сохранит свою актуальность следующий вывод:
Вывод № 1: на сегодняшний день не существует нормативно-правовых актов, обязывающих операторов ПДн использовать для обеспечения безопасности персональных данных сертифицированные СЗИ.
С практической точки зрения вывод будет несколько иной:
Вывод № 2: существует мнение, а скорее даже достаточно четкое указание на необходимость использования операторами ПДн сертифицированных СЗИ, закрепленное в закрытом Постановлении Правительства РФ № 330. Для большинства операторов данного аргумента вполне достаточно для того, чтобы не проверять на собственном опыте правильность Вывода № 1.
Зеркало этого блога на https://protektiva.blogspot.com/
Всё же сертифицированные СЗИ
Я придерживаюсь мнения, что использовать надо сертифицированные средства защиты.Вопрос стоит в том, как определить подойдет ли выбранное средство защиты для систем класса 1Г и для использования в ИСПДн любого класса? Вопрос нигде не написан, и задавался ФСТЭК не один раз. Ответ получается простым до безобразия: подойдет только в том случае, если оно сертифицировано, просто потому, что имеет сертификат, а значит в терминах ПП330 и ПП 781 "прошло оценку соответствия". При этом совершенно не важно, что это за сертификат и что в нем написано - главное, что он есть. Да и с учётом 330-го постановления тоже получается, что обязательно. Хотя 330ПП и имеет гриф ДСП, и с учётом №152ФЗ ст.4: "2. На основании и во исполнение федеральных законов государственные органы, Банк России, органы местного самоуправления в пределах своих полномочий могут принимать нормативные правовые акты, нормативные акты, правовые акты (далее – нормативные правовые акты) по отдельным вопросам, касающимся обработки персональных данных. Такие акты не могут содержать положения, ограничивающие права субъектов персональных данных, устанавливающие не предусмотренные федеральными законами ограничения деятельности операторов или возлагающие на операторов не предусмотренные федеральными законами обязанности, и подлежат официальному опубликованию."; НИГДЕ не сказано, что регулятор не может установить ограничения. Если законом предусмотренно, что ФСТЭК регулятор, то она и определяет, что такое оценка соответствия, так как она ответственна за разработку подзаконных актов.
Многие могут сослаться на №152ФЗ ст. 18 прим. 4) осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных настоящему Федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора. Однако, это касается не средств защиты, а констатации факта соответствия выполнения требований №152ФЗ. А вот как вы будете подтверждать, что средства защиты выбраны правильно? Декларация соответствия к ИСПДн и к СЗи не применима.