Критерії класифікації автоматизованих систем за НД ТЗІ 2.5-004-99: користувачі, грифи, типові помилки.
Клас автоматизованої системи (АС-1, АС-2 або АС-3) визначає весь подальший обсяг робіт з захисту — від переліку функцій безпеки до вартості експертизи. Помилка у класифікації на старті проєкту коштує 2-4 місяці і десятки відсотків бюджету. Стаття дає критерії, за якими класифікувати правильно з першого разу.
Класи автоматизованих систем визначені у НД ТЗІ 2.5-004-99 «Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу». Цей документ — основа класифікації для всіх систем без державної таємниці.
Система обробляє інформацію одного грифу (наприклад, тільки «службова інформація») і доступна одному користувачеві або групі користувачів з ідентичними правами.
Приклад: робоча станція бухгалтера з локальною базою.
Система обробляє інформацію одного грифу, але доступна багатьом користувачам з різними правами.
Приклад: внутрішня ERP-система з категорією «службова інформація», де ролі і права різняться між підрозділами.
Система обробляє інформацію різних грифів одночасно і має декількох користувачів з різними рівнями допуску.
Приклад: документообіг в установі, де є відкриті документи, з обмеженим доступом і таємні (без державної таємниці).
| Параметр | АС-1 | АС-2 | АС-3 |
|---|---|---|---|
| Кількість користувачів | 1 або група з ідентичними правами | Багато, різні права | Багато, різні права |
| Кількість грифів | 1 | 1 | 2+ |
| Складність функцій безпеки | Базова | Розширена | Підвищена |
| Орієнтовний обсяг КСЗІ-документів | 50-100 стор. | 150-300 стор. | 300-500+ стор. |
| Тривалість експертизи | 3-4 міс. | 5-7 міс. | 7-9 міс. |
«У нас не АС-3, а дві АС-2 — для документів з грифом А окрема система, для документів з грифом Б окрема». Експерт це бачить одразу: якщо системи мають спільну інфраструктуру, спільних адміністраторів, спільні канали зв’язку — це одна АС, навіть якщо логічно розділена. Класифікація йде за фактичною архітектурою, не за бажанням замовника.
Правильно: або реально окремі системи (окремі сервери, окремі адміністратори, окремі мережі — повний фізичний розрив), або визнавайте АС-3.
«Так, у нас 50 користувачів, але всі вони мають ідентичні права — отже, АС-1». Експерт перевірить: чи дійсно ідентичні? Чи може користувач А бачити дані користувача Б? Якщо ні — це вже АС-2.
Система зараз обробляє один гриф, але історично у БД є дані іншого грифу (з попередньої версії, з міграції, з тестових записів). Якщо ці дані залишаються — це вже АС-3.
Правильно: або очистити історичні дані, або визнати АС-3.
Система отримує дані з зовнішньої системи. Зовнішня система — з вищим грифом. Якщо отримувані дані несуть вищий гриф — наша система автоматично переходить на цей гриф.
Правильно: класифікувати з урахуванням всіх даних, включно з отриманими з інтеграцій.
Заявлено АС-2, фактично АС-3:
Заявлено АС-3, фактично АС-2:
Приклад 1. Корпоративна CRM з продажами охоронним компаніям і режимним об’єктам. Користувачі — продажі та керівники. Дані — контрагенти, умови контрактів, адреси об’єктів і графіки обслуговування. Частина контрагентських даних — категорія обмеженого доступу. → АС-2 (один гриф, багато користувачів з різними правами).
Приклад 2. Система обліку пацієнтів у клініці. 200 користувачів — лікарі, реєстратори, керівництво. Пацієнти різні, але дані всіх — медична таємниця, один гриф. → АС-2.
Приклад 3. Документообіг у державній установі. 500 користувачів. Документи різних грифів: відкриті, з обмеженим доступом, для службового користування. → АС-3.
Приклад 4. Реєстр виборців. 10 користувачів (адміністратори ЦВК). Дані — персональні дані виборців (один гриф), всі користувачі мають ідентичні права на читання, різні на запис. → АС-2 (різниця у правах робить це АС-2, не АС-1).
UBD сертифікований у експертному висновку Г-3 для АС-1, АС-2 і АС-3. Для АС-3 рекомендовано двоконтурне розгортання — окремі логічні контури для різних грифів з контрольованим обміном через cross-domain gateway (див. матеріал «Cross-domain рішення»). У штатній архітектурі UBD це налаштовується конфігурацією, без модифікації коду.