Обеспечение информационной безопасности при предоставлении государственных услуг в электронном виде на федеральном и региональ

Государственные и муниципальные услуги
Федеральный закон от 27 июля 2010 г. №210-ФЗ «Об организации предоставления государственных и муниципальных услуг»
в части безопасности должны соответствовать
Федеральный закон РФ от 27 июля 2006 года №152-ФЗ
«О персональных данных»;
Постановление Правительства РФ от 18.05.2009 №424
«Об особенностях подключения федеральных государственных информационных систем к информационно-телекоммуникационным сетям»;
Приказ ФСБ РФ N 416, ФСТЭК РФ от 31.08.2010 № 489
«Об утверждении Требований о защите информации, содержащейся в информационных системах общего пользования».
ЗАО «Информационная внедренческая компания»
www.ivk.ru
Нормативная база

Куда необходимо обратиться гражданину для получения государственных услуг в электронном виде?
Возможные варианты:
средства портала Государственных услуг www.gosuslugi.ru
разрозненные порталы и информационные системы федеральных ведомств и органов исполнительной власти
ЗАО «Информационная внедренческая компания»
www.ivk.ru
Вопросы, возникающие у гражданина РФ
На региональном и муниципальном уровне вопрос получения региональных и муниципальных услуг остаётся не решённым

Информационная территориально-распределенная
инфраструктура.
При этом необходимо обеспечить:
Безопасность информации
Доступность информации
Гарантированное доведение информации
Предлагаемые подходы:
Распределённая сеть порталов, объединённых в единую защищённую портальную сеть.
Узлы находятся в крупных муниципальных образованиях.
Зоны ответственности - согласно географии территориального образования.
Механизм контроля исполнения запрошенных гражданами услуг.
Распределение нагрузки.
Увеличение отказоустойчивости системы в целом.
ЗАО «Информационная внедренческая компания»
www.ivk.ru
Архитектура предлагаемого подхода (1/2)

ЗАО «Информационная внедренческая компания»
www.ivk.ru
Виртуальная транспортная магистраль (интеграционная шина)
Создание защищённой наложенной транспортной сети.
Интерфейс (I)
Защита (S)
Коммуникации (C)
I S C
Владелец услуги
ПРД
Администратор безопасности
Сервис 1
Сервис 2
Сервис 3
Сервис 3
Сервис 3
БД 1
БД 3
БД 2

ЗАО «Информационная внедренческая компания»
www.ivk.ru
Архитектура предлагаемого подхода (2/2)
Использование средств защищённой асинхронной передачи данных в сети распределённых порталов.
Это позволит:
обеспечить гарантированную доставку информации независимо от типов и качества используемых каналов связи.
Использование сервис-ориентированной архитектуры.
Это позволит:
предоставить пользователю единую точку доступа ко всем услугам муниципальных порталов, входящих в региональную портальную сеть и получать доступ к личному кабинету.
Данный подход не противоречит системному проекту и позволяет обеспечить интеграцию с федеральным уровнем.

При получении гражданами РФ услуг в электронном виде, на наш взгляд, возникает три отличительные проблемы обеспечения безопасности информации:
Обеспечение гарантированного подтверждения получения согласия от пользователя в соответствии с 152-ФЗ.
Обеспечить конфиденциальность и целостность данных в процессе их передачи от клиента к серверу. Например, угрозы перехвата трафика с использованием сниферов или угрозы типа «человек посередине» (man in the middle).
Гарантии аутентичности (подлинности) пользователя, регистрирующегося на портале.
ЗАО «Информационная внедренческая компания»
www.ivk.ru
Проблемы обеспечения безопасности

Процедура регистрации в соответствии с утверждённым регламентом.
Персональные аутентификационные данные выдаются с обязательной проверкой документов при личной явке.
Аутентификация по персональному сертификату, с использованием устройств типа token или смарт-карт.
Пользователь использует защищённый протокол https, организуемый с помощью сертифицированных средств криптографической защиты информации, реализующих российские криптографические стандарты.
ЗАО «Информационная внедренческая компания»
www.ivk.ru
Предлагаемое решение обозначенных проблем

Важным элементом Системы является Конструктор услуг.
Конструктор услуг позволяет «собирать» услугу из базовых элементов (шагов услуги) и далее их настраивать.
Шагом может быть страница для прикрепления файлов, ввода произвольных данных, вывода логического условия или вывода ознакомительной информации.
Автоматически к реализованной конструктором услуге создаётся административная часть для тонкой её настройки и модерации обращений граждан.
Решение о публикации созданной услуги принимает Главный Модератор, проверяющий соответствие услуги требованиям регламента.
Контроль категорий и объема собираемой информации (например, ПДн) в рамках оказания той или иной услуги гражданину РФ с целью недопущения несоответствия объемов собираемой информации и целей обработки данной информации при оказании услуги.
Аналитическая информация об использовании услуги.
ЗАО «Информационная внедренческая компания»
www.ivk.ru
Конструктор услуг

При оказании услуг в электронном виде гражданам РФ обязательным является контроль исполнения полученных заявок ответственными лицами, в частности НЕОТКАЗУЕМОСТЬ принятия решения по данной заявке непосредственно чиновником.
Средствами достижения вышеуказанных требований является:
Применение технологии PKI (комплексная система, которая связывает открытые ключи с личностью пользователя посредством удостоверяющего центра (УЦ).
Механизм отслеживания изменения заявки.
Контроль сроков исполнения заявок на услуги.
ЗАО «Информационная внедренческая компания»
www.ivk.ru
Контроль исполнения заявок на оказание услуг

Для обеспечения:
единого межпортального взаимодействия;
взаимодействия порталов с информационными системами региональных ведомств (РСМЭВ),
должна быть реализована единая политика безопасности межобъектового взаимодействия,
это позволит использовать однотипные сертифицированные программно-технические решения по защите информации в разнородной гетерогенной среде.
При этом мы предлагаем внедрение региональной СМЭВ согласно руководящим документам.
Она соответствует стандартам и интерфейсам, используемым для взаимодействия с федеральной СМЭВ.
ЗАО «Информационная внедренческая компания»
www.ivk.ru
Внедрение регионального СМЭВ

В рамках реализации единой политики безопасности предлагается использовать классический подход к обеспечению защиты периметра сети и межсетевого взаимодействия с помощью таких средств как межсетевое экранирование и средства обнаружения вторжений.
ЗАО «Информационная внедренческая компания»
www.ivk.ru
Защита сетевого периметра

Распределённая защищённая информационная система, позволяющая организовать процесс оказания услуг на региональном и муниципальном уровне.
ЗАО «Информационная внедренческая компания»
www.ivk.ru
ИВК ПОРТАЛ. Электронный муниципалитет
ПО «ИВК ПОРТАЛ» – система поддержки и управления распределёнными Web-приложениями и информационными ресурсами.
Организация логики и интерфейса решения.
ПО «ИВК ЮПИТЕР» – унифицированные программные средства организации, контроля и управления вычислительным процессом в неоднородных вычислительных сетях в защищенном исполнении.
Транспортная магистраль защищённого гарантированного обмена данными.
ПО «ИВК БюрократЪ» – система защищенного электронного документооборота.
Контроль исполнения заявок граждан.
ПО «ИВК КОЛЬЧУГА» – Межсетевой экран с расширенной функциональностью. Защита серверного сетевого периметра.

Основные функции, реализуемые в комплексном решении:
Предоставление пользовательских интерфейсов.
Поддержка процесса оказания услуг в электронном виде.
Обеспечение взаимодействия с гражданином, в части авторизации, приёма и выдачи информации.
Создание услуг простыми графическими средствами.
Обеспечение межведомственного и межуровнего взаимодействия.
Обеспечение контроля и анализа исполнения заявок граждан.
Интерактивная справочная поддержка граждан.
ЗАО «Информационная внедренческая компания»
www.ivk.ru
ИВК ПОРТАЛ

Сертификация по требованиям ФСТЭК РФ и МО РФ,
3-й класс защищенности от НСД,
2-й уровень контроля отсутствия НДВ,
обработка информации в АС до 1Б («сс»),
наличие литеры «О1» (КД и ЭД)
ЗАО «Информационная внедренческая компания»
www.ivk.ru
ИВК ЮПИТЕР 5.0
«ИВК Юпитер™» - лауреат национальной премии ЗУБР-2006 и 2008 как «лучшая технология защищенной обработки информации»!
Унифицированные программные средства организации, контроля и управления вычислительным процессом в неоднородных вычислительных сетях в защищенном исполнении «ИВК ЮПИТЕР» версии 5.0 – один из немногих российских продуктов, обеспечивающих функции интеграции на уровне данных и обмена сообщениями.

Защищенная система электронного документооборота
«ИВК БЮРОКРАТЪ™» предназначена для решения задач организации единого защищенного информационного пространства в части электронного документооборота за счет применения единой технологии обработки и хранения документов.
Контроль исполнения заявок граждан ответственными лицами реализуется средствами защищённого СЭД ПИ «ИВК БюрократЪ».
Информация о поступившей заявке поступает непосредственно на рабочее место чиновника, ответственного за данную реализацию услуги в электронном виде.
ЗАО «Информационная внедренческая компания»
www.ivk.ru
СЭД «ИВК БюрократЪ»

Обеспечение конфиденциальности, целостности и доступности информации на объектах автоматизации АС;
Защита периметра и организация доступа в открытую сеть Интернет объектов автоматизации территориально-распределенной АС;
Организация Интранет-ресурсов на объектах АС;
Возможность удаленного администрирования, построение централизованной системы управления телематическими сервисами АС;
Собственная безопасность и защита от «внешних и внутренних» нарушителей;
Непротиворечивое взаимодействие с объектовыми средствами защиты (в том числе СКЗИ);
Доступность организациям любого масштаба;
Простота администрирования как решение острой кадровой проблемы.
МЭ «ИВК Кольчуга™» сертифицирован ФСТЭК РФ по 4-му и 2-му классам защищенности от НСД (для МЭ) и 2-му уровню контроля НДВ.
МЭ «ИВК Кольчуга™» предлагается в двух вариантах исполнения:
для работы на объектах, обрабатывающих сведения, составляющие гостайну;
для обработки конфиденциальной информации.
ЗАО «Информационная внедренческая компания»
www.ivk.ru
Межсетевой экран «ИВК Кольчуга»

На площадке Красноярского края протестировано комплексное программно-аппаратное решение, позволяющее предоставлять муниципальные услуги в электронном виде.
ЗАО «Информационная внедренческая компания»
www.ivk.ru
Решение вводится в опытную эксплуатацию

ЗАО «Информационная внедренческая компания»
www.ivk.ru
Решение «Под ключ»
Компания ЗАО «ИВК» представляет
комплексное решение «под ключ»:
Аппаратные и программные решения.
Разработка организационно-нормативных документов.
(модель нарушителя и угроз, политики безопасности, руководства и инструкции)
Обеспечение взаимодействия с федеральным уровнем на основе нормативной, методологической и технической базы.
Обучение персонала на местах.