А вам нравится «BIS Journal»?

Присоединяйтесь к обществу профессионалов по информационной безопасности.

«BIS Journal» рекомендует!
Нажмите МНЕ НРАВИТСЯ!

15 сентября, 2016«BIS Journal» № 3(22)/2016

Минин Виктор

Председатель правления (Межрегиональная общественная организация «Ассоциация руководителей служб информационной безопасности»)

Першин Александр

член (МОО «АРСИБ»)

Носов Николай

член (МОО "АРСИБ")


Национальная мобильная платформа

Противодействие вызовам и угрозам в сфере мобильных технологий

«Детские годы» мобильных технологий уже в прошлом. За последние три года проделан путь от простых (по сегодняшним меркам) устройств и приложений до полнофункциональных компонентов корпоративных систем. Мобильные приложения продолжают рост как количественно, так и качественно. На рынок мобильных технологий вышли крупные компании, которые ранее мобильными технологиями не занимались: IBM, Oracle, Dell, SAP, Hewlett-Packard, CheckPoint, Symantec, Citrix, VMware и др. Произошли многие слияния и поглощения (например, компания SAP приобрела Sybase, Symantec – Odyssey и Nicona, Citrix – Zenprise, BMC – Partnerpedia, IBM – Fiberlink, Oracle – Bitzer Mobile, VMWare – AirWatch, BlackBerry – Good Technologies). С целью усиления рыночных позиций в области мобильных технологий образованы различные альянсы: IBM и Apple, Sumsung и Oracle, Sumsung и BlackBerry и др.
 
Организации, чтобы остаться конкурентоспособными в мобильную эпоху, должны адаптировать свои стратегии, бизнес-процессы[1] и технологии к новым условиям. Как и другие революционные технологии, такие как персональные и суперкомпьютеры, Интернет, переход к корпоративным[2] мобильным решениям требует значительных изменений в приоритетах организации и ее бизнес-процессах.  «Мобильность» бизнес-процессов организации – это не продукт, который можно купить, и не услуга, на которую можно подписаться. Это комплекс решений, продуктов и сервисов, а также новых бизнес-процессов и информационных технологий.

Что такое «мобильные технологии», безопасность которых необходимо обеспечивать? «Мобильные технологии – это совокупность технических средств, организационно-распорядительных мероприятий и документов, персонала обеспечения, а также комплекса стандартов, протоколов, способов и методов, обеспечивающих беспроводную передачу голоса и данных от абонента до абонента или от абонента до (корпоративной, ведомственной, публичной и др.) информационной и/или вычислительной системы, а также межмашинное взаимодействие»[3].

Корпоративные мобильные технологии включают, как правило, следующие составляющие:
  1. Мобильные устройства, управляемые пользователями (абонентами) – работниками организации.
  2. Беспроводная среда передачи данных: Wi-Fi, сотовая (GSM/ GPRS/ EDGE/ 3G/ LTE и аналогичные), спутниковая и др., обеспечиваемая одним или несколькими операторами связи – от абонента до приемного устройства оператора связи.
  3. Канал передачи данных от сети оператора связи до объекта доступа (ресурс в корпоративной, ведомственной, общедоступной или другой сети).
  4. Корпоративная информационная система, включая приложения и данные.
  5. Сторонние информационные системы, доступ пользователя (работника организации) к которым осуществляется посредством мобильных устройств (публичные, ведомственные и др., исключая корпоративные) – если это разрешено политикой организации.
  6. Сторонние участники: производители мобильных устройств, приложений и систем управления ими.
А также соответствующие стандарты, технологии, протоколы и способы передачи голоса и данных.

Обобщенная схема взаимодействия этих составляющих представлена на рисунке 1.

 

Рис. 1
 
Определить понятие «мобильное устройство» достаточно сложно, поскольку их характеристики постоянно меняются. Необходимо определить набор базовых характеристик любого мобильного устройства. Наиболее полно их определяет NIST SP800-124 release 1:
  1. Малые геометрические размеры и вес.
  2. Наличие, как минимум, одного беспроводного интерфейса сетевого доступа (для передачи голоса и данных): интерфейс Wi-Fi, сотовой связи или другой для подключения устройства к сетевой инфраструктуре оператора связи с возможностью подключения к Интернет или к другой сети передачи данных.
  3. Специализированная мобильная операционная система (ОС).
«Мобильная ОС – это (специально разработанное) программное обеспечение, которое позволяет смартфонам, планшетам и другим (беспроводным) устройствам выполнять приложения и программы». Как правило, мобильная ОС стартует при включении устройства и выводит на экран иконки или ссылки для запуска приложений и/или доступа к данным (информации). Мобильная ОС также управляет телефонными соединениями, доступом к сотовым и другим беспроводным сетям.

        4. Наличие встроенных в мобильную ОС функций для синхронизации       данных (со стационарным компьютером или ноутбуком, с серверами организации, поставщиками услуг или третьими сторонами и т.п.).

Портативное (мобильное) вычислительное устройство имеет ОС, способную выполнять различные типы прикладного программного обеспечения. Большинство таких устройств (уже) оснащены функциями Wi-Fi, Bluetooth, NFC и GPS/ ГЛОНАСС с возможностью доступа к Интернету, другим сетям и устройствам, таким, как автомобильная или микрофонная гарнитура, а также к сервису определения местоположения. Также эти устройства имеют встроенный источник питания и, как правило, фото/ видеокамеру и проигрыватель мультимедиа для записи/ воспроизведения фото/ видео/ музыкальных данных. Все чаще мобильные устройства снабжаются датчиками типа акселерометра, компаса, магнитометра или гироскопа для определения местоположения или параметров движения.

Более подробно с направлениями и тенденциями развития, а также методами и способами управления, контроля и защиты мобильных технологий можно ознакомиться в брошюре «Безопасность мобильных технологий в корпоративном секторе. Общие рекомендации», которую в июне 2015 г. выпустила Ассоциация руководителей служб информационной безопасности (АРСИБ). Ее можно свободно загрузить с сайта АРСИБ. В II-III кв. 2016 г. планируется выпуск 2-й редакции данной брошюры.

Мобильные технологии следует рассматривать не как самостоятельное технологическое решение, но как часть бизнес-процессов организации. Для стационарных компьютеров и кабельных каналов связи разработаны и внедряются как технические, так и организационные средства и меры обеспечения информационной безопасности. Применение мобильных технологий привносит специфические вызовы и угрозы, связанные с беспроводной средой передачи данных, которые необходимо учитывать при их внедрении в организации. Ниже перечислены некоторые из них:
  • Для мобильных технологий понятие «периметр контролируемой зоны» отсутствует.
  • Действия корпоративных служб по информационным технологиям и информационной безопасности отстают от темпов развития мобильных технологий.
  • Пользователи имеют собственный опыт и предпочтения к дизайну и правилам использования мобильных устройств и приложений.
  • Пользователи (особенно VIP) требуют свободного доступа к корпоративным ресурсам и данным.
  • Мобильные технологии влекут специфические риски и угрозы, имеют собственные приложения и средства управления.
Для мобильных технологий существуют специфичные вызовы и угрозы, а «стандартные» имеют свои особенности. Ниже перечислены основные из них:
  • Наличие недекларированных возможностей (НДВ) в программно-аппаратном обеспечении мобильного устройства или в мобильных приложениях сторонних производителей (технологические «черные ходы», «бреши», «закладки», ошибки или недостатки проектирования или реализации, возможность произвольного включения/ отключения устройства или его внутренних устройств: микрофон, фото/ видеокамера, устройство определения местоположения и др.).
  • Перехват голоса/ данных «по воздуху» или по сети операторов связи (прослушивание).
  • Манипуляция с данными при передаче (подмена, уничтожение, блокировка данных, атаки посредника или «человек посередине» – «man-in-the-middle»).
  • GPS/ геолокация (незаконная трассировка, раскрытие или подмена местонахождения).
  • Утеря или кража устройства (данные могут быть несанкционированно восстановлены третьей стороной, возможно несанкционированное использование контрольной информации или полномочий).
  • Использование недоверенных («серых» или непроверенных) устройств, сетевых сервисов или их неправомочное использование (риски НДВ, загрузки вредоносного кода, компрометации устройства или корпоративной системы).
Выводы
  • Стремительное развитие мобильных технологий, особенно в корпоративном секторе, включая органы государственного управления.
  • Наличие специфичных технологических и организационных вызовов и угроз.
  • Использование мобильных технологий практически не регламентировано и не контролируется (частичное исключение – СОРМ).
Итог
Перечисленные и другие проблемы, по отдельности или в сочетании, при существующих принципах использования мобильных технологий, в случае возникновения специфических для них вызовов и угроз в совокупности могут являться угрозой национальной безопасности. Особенно в том случае, если мобильные и Интернет-технологии используются как инструмент для совершения противоправных действий.

Для предотвращения данных вызовов и угроз необходимо создание Национальной мобильной платформы. Цели создания Национальной мобильной платформы:
  1. Обеспечение информационной безопасности при хранении и передаче критичных данных и голоса по беспроводным каналам связи путем разработки и внедрения доверенных мобильных устройств, программного обеспечения и инфраструктуры.
  2. Реализация программы импортозамещения в области мобильных технологий.
«Национальная мобильная платформа» – совокупность доверенных технических средств, организационно-распорядительных мероприятий, персонала, обеспечивающих передачу голоса и данных, в т.ч. критичных, по беспроводным каналам связи от абонента до абонента или от абонента до корпоративной информационной и/или вычислительной системы, а также межмашинное взаимодействие.
Приведенное определение схоже с определением «мобильных технологий». Исключение составляют два ключевых понятия – «доверенный» и «критичные». Следует отметить, что базовые подходы и методы обеспечения безопасности мобильных технологий в корпоративном секторе и в органах государственного управления во многом совпадают. Ключевое отличие состоит в том, что использование Национальной мобильной платформы должно быть обязательным при наличии критичных данных, что требует использования доверенных мобильных технологий. Т.е. в органах государственного управления, а в корпоративном секторе – по необходимости или по желанию.

Доверенный элемент – элемент, успешно прошедший проверку на соответствие требованиям нормативных, руководящих, методических и иных обязательных к применению документов. Проверку осуществляют регуляторы по направлениям деятельности или уполномоченные ими органы на основании необходимых разрешительных документов (лицензий).

Критичные данные – это данные, утеря, некорректное или несанкционированное использование, искажение или разглашение которых может нанести ущерб национальной безопасности, нарушить штатное функционирование ключевых систем информационной инфраструктуры (КСИИ), нанести коммерческий ущерб и ущерб правам личности. Примеры: документы с грифом «ДСП», информация ограниченного распространения, данные КСИИ (включая АСУ ТП и данные межмашинного взаимодействия), данные, составляющие коммерческую тайну, персональные данные.

Создание Национальной мобильной платформы необходимо в целях противодействия угрозам и обеспечения национальной безопасности в сфере мобильных технологий. США такая платформа не нужна, т.к. значительная часть аппаратного и программного обеспечения разработаны США или их ближайшими союзниками. Кроме того, АНБ США может контролировать практически весь глобальный мобильный трафик. Страны ЕС создать такую платформу либо не в состоянии, либо для них в этом нет необходимости по тем же причинам. Некоторые другие страны (например, страны БРИКС или ЕврАзЭС), вероятно, хотели бы иметь свою национальную мобильную платформу, но ее создание сопряжено со значительными трудностями. Причина в том, что развитую криптографическую науку, современные криптографические алгоритмы и реализующие их средства в состоянии создавать, развивать и внедрять очень немногие страны в мире, в первую очередь – Россия и США, в меньшей степени – Индия, Канада, Япония и ряд других.

Сложившиеся в XXI веке этические и моральные факторы, взаимоотношения между государствами, компаниями и отдельными лицами, война санкций и курс на импортозамещение привлекли внимание отечественных специалистов к принципам, стратегии и особенностям использования мобильных технологий и, в частности, к теме создания Национальной мобильной платформы. Мобильными технологиями в настоящее время пользуются практически все – дети и подростки, пенсионеры, гос. служащие, криминальный элемент, сотрудники частных компаний, представители силовых ведомств и правоохранительных органов, работники оборонного комплекса и др., активно развивается межмашинное взаимодействие. При этом практически у всех есть понимание, что существующим мобильным технологиям в полной мере доверять нельзя. У всех категорий пользователей свои вызовы и угрозы, которых они хотели бы избежать, или, наоборот, которые следует использовать правоохранительными органами в целях обеспечения национальной безопасности.

«Джошуа Купер Рамо, автор книги «Седьмое чувство», утверждает, что в сетевую эпоху победитель часто получает все. Он отмечает, что сегодня существует девять глобальных технологических платформ (Google Chrome, Microsoft Office, Facebook и пр.), которыми пользуются более одного миллиарда человек. Все они доминируют на соответствующих рынках – и имеют американское происхождение» (Фарид Закария, The Washington Post, 29.05.2016). В свете приведенной цитаты, которая, в том числе, применима и к области мобильных технологий, создание собственной Национальной мобильной платформы становится все более необходимой задачей.

Вопрос создания Национальной мобильной платформы поднимался 20 апреля 2016 г. в Государственной Думе Российской Федерации на заседании круглого стола на тему: «Комплексное решение проблемы цифрового неравенства: устранение причин и следствий». Заместитель Председателя Госдумы Сергей Железняк сказал: «Идея интересная, продвигайтесь, но надо понимать, что если все упирается в финансирование, то с финансированием сейчас все очень непросто».

Применение Национальной мобильной платформы должно быть регламентировано законодательством, нормативными, руководящими, методическими и иными документами, обязательными к применению. Перечисленные документы могут уточняться и дополняться регуляторами по направлениям деятельности.

В состав Национальной мобильной платформы должны входить, как минимум, следующие компоненты:
  1. Базовый руководящий или иной нормативный документ, определяющий требования и профили безопасности доверенных мобильных платформ.
  2. Доверенная аппаратная платформа. Может быть полностью российской или частично зарубежной сборки (например, Китай) с использованием российских комплектующих (в первую очередь – микропроцессора) и с обязательной военной приемкой.
  3. Доверенная мобильная ОС, включающая встроенные или сторонние российские средства защиты информации от несанкционированного доступа и криптографические средства защиты информации (на уровне ядра ОС).
  4. Доверенные мобильные приложения.
  5. Доверенные системы управления, контроля и обеспечения безопасности российской разработки.
  6. Доверенные хранилища (находящиеся на территории Российской Федерации) и способы распространения приложений и обновлений к ним и ОС.Все или некоторые компоненты, перечисленные в пп. 2-6 должны быть сертифицированы, по отдельности или в комплексе (как автоматизированная система).
  7. Регламент использования мобильных платформ в государственных, муниципальных и иных учреждениях, утвержденный регулятором и обязательный к исполнению. Может уточняться и дополняться регуляторами по направлениям деятельности. 
Создание Национальной мобильной платформы потребует значительных финансовых затрат. Частично финансирование может осуществляться за счет инвестиций компаний, вовлеченных в данную программу. Кроме того, после ввода Национальной мобильной платформы в эксплуатацию следует ожидать возврат инвестиций за счет продажи и поддержки обязательных к использованию «доверенных» устройств и программного обеспечения, систем управления, контроля и обеспечения безопасности, хранилищ приложений и обновлений, а также других компонентов и инфраструктуры.
 

[1] Под терминами «бизнес», «бизнес-процессы» будем понимать деятельность, действия, процессы организаций любых форм собственности.
[2] Также, термин «корпоративные» (технологии, процессы, устройства и пр.) применим к организациям любых форм собственности.
[3] Определение предложено Ассоциацией руководителей служб информационной безопасности (АРСИБ).

Поделитесь с друзьями:

Мы в социальных сетях

События

Пн
Вт
Ср
Чт
Пт
Сб
Вс
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31