Devlet bilgi sistemleri (GIS): bilgi güvenliğinin pratik sorunları. Bilgi sistemleri listesi Rusya Federasyonu Federal Bilgi Sistemleri Kaydı

Devlet kurumlarının az çok ciddi (ancak gizli olmayan) bilgi sistemlerini kaydetmelerinin gerekli olduğu. Oldukça küçük, uzun zamandır daha derine inmek ve sistemlerin ne olduğuna ve nasıl çalıştığına daha yakından bakmak, sıradan bir vatandaşın hayatını her geçen gün daha da kolaylaştırmak ve mutlu etmek istedim.

Kayıt, şeffaflık trendinde olmaya çalışan Roskomnadzor portalında barındırılıyor, bu nedenle açık veri kümelerine sahip bir bölümü var - harika! 16.02.2016 tarihli Kayıt'ın en son arşivini indirin, içinde Eylül 2015 tarihli bir xml indirmesi var... İyi deneme, vatandaş. Düşmanların Kayıt Defterini ayrıştırmasını zorlaştırmak için her şeyin yapıldığı "açık verileri" doğrudan siteden gelen yeni bilgilerle tamamlamamız gerekecek. Sonuç olarak, 8 Mart 2016 itibariyle, 339 federal hükümet bilgi sisteminin bir listesini aldık, aşağıda size sunmak istediğim bazı ilginç infografikler var.

Kayıt Defterindeki her bir GIS için, desteklenen birkaç işletim sistemi ve DBMS aynı anda belirtilebilir, bu nedenle gerçekte hangi yazılımla çalıştığını tam olarak anlamak imkansızdır. Bu nedenle, bu tür sistemler için sonraki üç diyagramda artı işareti aynı anda birkaç kategoriye yerleştirildi.

1. Desteklenen sunucu işletim sistemine göre dağıtım

Yerli gelişmelerden yalnızca Solaris, Alt Linux ve MSVS tabanlı gizemli Zircon işletim sisteminden bahsediliyor.

2. Desteklenen istemci işletim sistemine göre dağıtım

Birçok başvuru sahibinin “Mobil işletim sistemi” ile tam olarak neyi kastettiği açık değildir.

3. Kullanılan DBMS

DBMS'lerden yalnızca Red Database (Firebird tabanlı), IRBIS64 ve LINTER-VS yerli gelişmeler olarak kabul edilebilir.

4. Veri depolama formatları

Yazı tipi boyutu desteğin yaygınlığına karşılık gelir.

Bu diyagramı kullanarak "GOST R ISO/IEC 26300-2010 tarafından onaylanan ofis belge formatlarını resimde bulun ve CBS'de desteklerini almayın" adlı heyecan verici bir oyun oynayabilirsiniz. 2011'de, ithal ikamesi çağından önce, devlet belge akışında tek standart haline gelmesi gereken formatlar. Ama öyle görünüyor ki bir şeyler yine ters gitti. 3 yıl önce, en hafif deyimle Açık Belge'nin devlet kurumlarının web sitelerinde nasıl yavaş yavaş uygulamaya konulduğunu yazmıştım. Bugün de bazı şeyler hala orada. Yalnızca 10 GIS için GOST formatlarının desteklenmesinden bahsedilmektedir.

5. Ofis yazılımını kullanma

Başka yazılımlar içeren (ofis paketi olmayan) veya hiç veri içermeyen CBS'ler dikkate alınmamıştır.

Genel olarak, Kayıt Defterinin bazı üyeleri, Özgür Yazılım terimi hakkında oldukça garip bir anlayışa sahiptir (Kayıt Defterinde böyle bir sütun vardır), buna Internet Explorer, Delphi ve hatta Ccleaner da dahildir.

6. CBS'nin işletmeye alma tarihine göre dağılımı

Dikkate değer olan şey, görünüşe göre Slow Russian Post'un her zaman olduğu gibi geç kalmamak için Devlet Konut ve Toplumsal Hizmetler Bilgi Sisteminin hizmete girme tarihini Temmuz 2016 gibi erken bir tarih olarak belirlemesidir. Bu gelecekten gelen tek CBS'dir.

7. Bölümlere göre dağılım

Dikdörtgenin alanı ne kadar büyük olursa, bu departmanın sahip olduğu GIS sayısı da o kadar fazla olur.

8. Geliştirme, modernizasyon ve işletmeye harcanan fon miktarı

Kayıt, vergi mükellefi için sistemin maliyeti hakkında serbest biçimde bilgi içeren “FSIS'in oluşturulması, işletilmesi, modernizasyonu için finansman kaynakları hakkında bilgi” alanını içerir. Bu bilgilerin Sicile girme zorunluluğu ve sıklığı net değildir ancak maliyetlerin miktarı hakkında yaklaşık bir fikir vermektedir.

Harcanan tüm fonların yarısını yalnızca 7 bilgi sistemi oluşturuyor (tutarlar bin ruble olarak belirtiliyor):

Birinci ve ikinci sırada minimum farkla Devlet Özerk Yönetimi Seçimler ve Adalet yer alıyor. Açıklayıcı IBD-F adıyla İçişleri Bakanlığı'nın otomatik sistemine onurlu bir 3.lük verildi. Bu güçlü GIS troykası, Kayıtta belirtilen tüm harcamaların dörtte birinden fazlasını - 61 milyar ruble - oluşturuyor.

Etiket Bulutu

Akr0n kullanıcısı tarafından habrhabr.ru'da yayınlanan metni (minimum kısaltmalarla) dikkatinize sunuyoruz. Yazar, devlet bilgi sistemlerinde kullanılan ithal ve yerli sistem çapındaki yazılımların oranını göstermek için Federal Devlet Bilgi Sistemleri Kaydı'nı analiz ediyor.

Herkesin sevdiği Roskomnazdor tarafından tutulan ve devlet kurumlarının az çok ciddi (ancak gizli olmayan) bilgi sistemlerini kaydetmeleri gereken federal devlet bilgi sistemlerinin (GIS) kaydı küçüktür. Uzun zamandır bu konuyu daha derinlemesine incelemek ve sıradan bir vatandaşın hayatını her geçen gün daha da kolay ve mutlu hale getiren sistemlerin ne olduğuna ve nasıl çalıştıklarına daha yakından bakmak istedim. Özellikle federal medya her gün, bilişim sektörü de dahil olmak üzere ulusal ekonominin tüm sektörlerinde ithal ikamesinin başarısını mutlu bir şekilde rapor ederken ve büyük Batılı satıcılar Rus hükümetinin müşterilerinden uzaklaşmaya başladığında.

Kayıt, açık veri kümelerinin bulunduğu bir bölümün bulunduğu Roskomnadzor web sitesinde yayınlanmaktadır - harika! Kayıt'ın 16 Şubat 2016 tarihli son arşivini indirin, içinde Eylül 2015'e ait bir xml indirmesi var... İyi deneme, vatandaş. Düşmanların Kayıt Defterini ayrıştırmasını zorlaştırmak için her şeyin yapıldığı "açık verileri" doğrudan siteden gelen yeni bilgilerle tamamlamamız gerekecek. Sonuç olarak, 8 Mart 2016 itibariyle, 339 federal hükümet bilgi sisteminin bir listesine ulaştık; size sunmak istediğim bazı ilginç infografikler.

Kayıt Defterindeki her bir GIS için, desteklenen birkaç işletim sistemi ve DBMS aynı anda belirtilebilir, bu nedenle gerçekte hangi yazılımla çalıştığını anlamak imkansızdır. Bu nedenle, bu tür sistemler için sonraki üç diyagramda artı işareti aynı anda birkaç kategoriye yerleştirildi.

1. Desteklenen sunucu işletim sistemine göre dağıtım

Yerli gelişmelerden yalnızca Solaris, AltLunux ve MSVS tabanlı gizemli Zircon işletim sisteminden bahsediliyor.

2. Desteklenen istemci işletim sistemine göre dağıtım

Birçok başvuru sahibinin “Mobil işletim sistemi” ile tam olarak neyi kastettiği belirsizdir.

3. Kullanılan DBMS

DBMS'lerden yalnızca Kırmızı Veritabanı (Firebird tabanlı), IRBIS64 ve LINTER-VS yerli gelişmeler olarak kabul edilebilir (yayına yapılan yorumlarda yazara itiraz edilir: “1C: Veritabanı” da yerli bir işletim sistemi olarak kabul edilebilir - ed. ).

4. Veri depolama formatları (yazı tipi boyutu, formatın yaygınlığına karşılık gelir)

Bu diyagramı kullanarak, "GOST R ISO/IEC 26300-2010 tarafından onaylanan ofis belge formatlarını resimde bulun ve CBS'de desteklerini almayın" adlı heyecan verici bir oyun oynayabilirsiniz. Bunlar, 2011'de, ithal ikamesi çağından önce, devlet belge akışı için birleşik bir standart haline gelmesi gereken formatlardı. Ama öyle görünüyor ki bir şeyler yine ters gitti. Yalnızca 10 GIS için GOST formatlarının desteklenmesinden bahsedilmektedir.

5. Ofis yazılımının kullanımı (başka bir yazılımın belirtildiği (ofis paketi olmayan) veya hiç veri bulunmayan GIS'ler dikkate alınmamıştır).

Bazı Kayıt Defteri üyeleri, Internet Explorer, Delphi ve hatta CCleaner dahil olmak üzere "Özgür Yazılım" terimi hakkında garip bir anlayışa sahiptir (Kayıt Defterinde böyle bir sütun vardır).

6. CBS'nin işletmeye alma tarihine göre dağılımı

Görünüşe göre, Rus Postası her zaman olduğu gibi geç kalmamak için konut ve toplumsal hizmetlere yönelik GIS'inin işletmeye alma tarihini Temmuz 2016 gibi erken bir tarihte belirledi. Bu gelecekten gelen tek CBS'dir.

7. Bölüme göre dağılım (dikdörtgenin alanı ne kadar büyük olursa, GIS bu bölüme o kadar fazla sahip olur)

8. Geliştirme, modernizasyon ve işletmeye harcanan fon miktarı

Kayıt, vergi mükellefi için sistemin maliyetinin serbest biçimde raporlandığı “FSIS'in oluşturulması, işletilmesi, modernizasyonu için finansman kaynakları hakkında bilgi” alanını içerir. Bu bilgilerin Sicile girme zorunluluğu ve sıklığı belirsizdir ancak maliyetlerin miktarı hakkında yaklaşık bir fikir vermektedir. Yedi bilgi sistemi harcanan tüm fonların yarısını oluşturuyor (tutarlar binlerce ruble olarak belirtiliyor):

Üzücü ironi, paranın aslan payının bazı efsanevi şeylere harcanmış olmasıdır - minimum boşlukla birinci ve ikinci sıralar Devlet Otomatik Bilgi Sistemi "Seçimler" ve "Adalet" tarafından işgal edilmiştir. Onurlu bir üçüncülük, açıklayıcı IBD-F adıyla İçişleri Bakanlığı'nın otomatik sistemine veriliyor. Bu güçlü GIS troykası, Kayıtta belirtilen tüm harcamaların dörtte birinden fazlasını - 61 milyar ruble - oluşturuyor.

Konsept

Aralık 2011'de Devlet Bilgi Sistemleri Muhasebesi Kavramı onaylandı.

Konsepte göre, 2012 yılı Nisan ayı sonuna kadar muhasebe sisteminin oluşturularak deneme işletimine alınması gerekiyordu.

Haziran 2012 itibariyle, federal devlet kurumları için bir yazılım kaydı mevcut olup, bu kayıtta 239 sistem hakkında bilgi bulunmaktadır. Veri gönderen departmanlar arasında Tarım Bakanlığı , Hesap Odası , Rosreestr , Dışişleri Bakanlığı , Rosstat ve bir dizi başkası.

Bilgi açıklama portalının mevcut sürümünde, Rosalkogolregulirovanie'deki kötü şöhretli alkol muhasebe sisteminin (USAIS) işletilmesinden sorumlu kişinin adı, gerekli ekipman ve veritabanlarının kısa açıklamaları, 2010 yılındaki geliştirme ve işletme maliyetleri görülebilir. Şimdilik 2011 yılı için herhangi bir miktar yok.

Hükümet Kararnamesi

Haziran 2012'de Başbakan Dmitry Medvedev, federal departmanların ve bütçe dışı fonların çıkarları doğrultusunda oluşturulan bilgi sistemlerinin muhasebeleştirilmesine ilişkin bir kararname imzaladı.

Belgede hükümet iki grup talimat veriyor: proje koordinatörü - Telekom ve Kitle İletişim Bakanlığı ve muhasebe sistemine bilgi girmesi gereken federal hükümet kurumlarının kendilerine.

Telekomünikasyon ve Kitle İletişim Bakanlığı, Ağustos 2012 sonuna kadar yazılım ve altyapı bileşenlerinin muhasebeleştirilmesi ve sınıflandırılmasına ilişkin talimatlar verecek, elektronik pasaport formları ve yazılım ve ekipman için benzersiz tanımlayıcıların derlenmesine ilişkin kurallar geliştirecek. Ayrıca bakanlığın, verilerin muhasebe sistemine gönderilmesine ilişkin kurallar ve işin etkililiğinin değerlendirilmesine yönelik bir metodoloji yazması gerekiyor.

Federal departmanlara Eylül ayı sonuna kadar bir ay daha süre verildi. Bu son tarihten önce, verileri yayınlamaktan sorumlu bir kişiyi seçmeli ve bu tür bir açıklamanın nasıl gerçekleşeceğini resmi olarak açıklamalıdırlar. Bölümler arası etkileşimde olduğu gibi muhasebe sistemini doldurmaktan sorumlu kişinin statüsü başkan yardımcısından daha düşük olmamalıdır. Bundan sonra bir ay içinde yani. En geç Kasım ayı sonuna kadar departmanda çalışan yazılıma ait tüm verilerin muhasebe sisteminde olması gerekmektedir.

Sonunda, çalışan yazılım, maliyetleri ve projelerin etkinliği hakkındaki bilgileri 365.minsvyaz.ru web sitesinde ve ayrıca birleşik bütçe sistemi portalı budget.gov.ru'da okuyabileceksiniz (şu anda sadece bir test sayfası bulunmaktadır) mevcut).

Mevcut hükümet kararnamesinin eki, yayınlanan veri kümesini ve birleşik veritabanının güncellenme hızını belirler. Muhasebe bilgi sistemlerinin ticari işletmeye alınması için son tarih, konseptte tanımlandı - 2012 sonu.

Rusya Federasyonu'nda yaklaşık 100 devlet bilgi sistemi vardır, bunlar federal ve bölgesel olarak ayrılmıştır. Bu sistemlerden herhangi birini işleten kuruluşun, içinde işlenen verilere ilişkin güvenlik gerekliliklerine uyması gerekmektedir. Sınıflandırmaya bağlı olarak, farklı bilgi sistemleri, uyumsuzluk durumunda para cezasından daha ciddi önlemlere kadar yaptırımların uygulandığı farklı gereksinimlere tabidir.

Rusya Federasyonu'ndaki tüm bilgi sistemlerinin işleyişi, 27 Temmuz 2006 tarih ve 149-FZ sayılı Federal Kanun (21 Temmuz 2014'te değiştirildiği şekliyle) “Bilgi, bilgi teknolojileri ve bilginin korunması hakkında” (27 Temmuz 2006) ile belirlenmektedir. ). Bu yasanın 14. maddesi CBS'nin ayrıntılı bir tanımını sağlar. Kısıtlı erişim bilgilerinin işlendiği (devlet sırrı teşkil eden bilgiler içermeyen) devlet bilgi sistemlerinin operatörleri, 11 Şubat 2013 tarihli Rusya FSTEC'in 17 No'lu Siparişinde belirtilen gerekliliklere tabidir. Devlet bilgi sistemlerinde yer alan, devlet sırrı oluşturmayan bilgilerin korunması."

Operatörün, veritabanlarında bulunan bilgilerin işlenmesi de dahil olmak üzere bir bilgi sisteminin işletilmesiyle ilgilenen bir vatandaş veya tüzel kişi olduğunu hatırlayalım.

Bir kuruluş bir devlet bilgi sistemine bağlıysa, FSTEC Sipariş No. 17, sistemin sertifikalı olmasını zorunlu kılar ve bilgileri korumak için yalnızca sertifikalı bilgi güvenliği araçlarının (geçerli FSTEC veya FSB sertifikalarına sahip) kullanılması gerekir.

Bir bilgi sistemi operatörünün yanlışlıkla onu bir CBS olarak sınıflandırdığı, ancak bir CBS olmadığı durumlar sıklıkla vardır. Bunun sonucunda sisteme aşırı güvenlik önlemleri uygulanıyor. Örneğin, kişisel veri bilgi sisteminin operatörü yanlışlıkla onu devlete ait olarak sınıflandırırsa, işlenen bilgilerin güvenliğine ilişkin yasaların gerektirdiğinden daha katı gereksinimlere uymak zorunda kalacaktır. Bu arada, FSTEC Sipariş No. 21 tarafından düzenlenen kişisel veri bilgi sistemlerinin korunmasına yönelik gereklilikler daha az katıdır ve sistemin sertifikasyonunu gerektirmez.

Uygulamada bağlanmanız gereken sistemin devlete ait olup olmadığı ve dolayısıyla bilgi güvenliğini sağlamak için hangi önlemlerin alınması gerektiği her zaman açık değildir. Bununla birlikte, düzenleyici otoritelerin denetim planı büyüyor ve cezalar sistematik olarak artıyor.

CBS'yi CBS olmayandan nasıl ayırt edebilirim?

Aşağıdakileri sağlamak gerektiğinde bir devlet bilgi sistemi oluşturulur:

devlet kurumlarının yetkilerinin uygulanması;
devlet kurumları arasında bilgi alışverişi;
federal yasalarla belirlenen diğer hedeflere ulaşmak.

Bir bilgi sisteminin devlete ait olduğunu aşağıdaki algoritmayı kullanarak anlayabilirsiniz:

Bir bilgi sisteminin oluşturulmasını gerektiren bir yasal düzenlemenin olup olmadığını öğrenin.
Sistemin kullanılabilirliğini Federal Devlet Bilgi Sistemleri Kaydı'ndan kontrol edin. Federasyonun kurucu kuruluşları düzeyinde de benzer kayıtlar mevcuttur.
Sistemin amacına dikkat edin. Bir sistemi CBS olarak sınıflandırmanın dolaylı bir işareti, uyguladığı yetkilerin bir açıklaması olacaktır. Örneğin, Başkurdistan Cumhuriyeti'nin her idaresinin, yerel yönetim organlarının yetkilerini de açıklayan kendi tüzüğü vardır. IS “Başkurdistan Cumhuriyeti topraklarında konut ihtiyacı olan vatandaşların kaydı”, idarelerin “belediye bölgesinin kapsamlı sosyo-ekonomik kalkınmasına yönelik plan ve programların uygulanmasını benimsemek ve organize etmek” gibi yetkilerini uygulamak için oluşturulmuştur. ”ve bir CBS'dir.

Sistem, devlet kurumları arasında bilgi alışverişini içeriyorsa, büyük olasılıkla devlete ait olacaktır (örneğin, bölümler arası elektronik belge yönetim sistemi).

Bu CBS. Ne yapalım?

FSTEC Sipariş 17, GIS operatörlerine yönelik bilgilerin korunmasına yönelik aşağıdaki önlemleri öngörmektedir:

bilgi sisteminde yer alan bilgilerin korunmasına yönelik gereksinimlerin geliştirilmesi;
bir bilgi sistemi için bir bilgi güvenliği sisteminin geliştirilmesi;
bilgi sisteminin bilgi güvenliği sisteminin uygulanması;
bilgi güvenliği gereksinimlerine göre bilgi sisteminin sertifikasyonu (bundan sonra ISPD sertifikası olarak anılacaktır) ve devreye alınması;
sertifikalı bir bilgi sisteminin çalışması sırasında bilgilerin korunmasının sağlanması;
Sertifikalı bir bilgi sisteminin kullanımdan kaldırılması sırasında veya bilgi işlemenin sonlandırılmasına karar verildikten sonra bilgilerin korunmasının sağlanması.

Devlet bilgi sistemlerine bağlı kuruluşlar aşağıdaki eylemleri gerçekleştirmelidir:

1. IP'yi sınıflandırın ve güvenlik tehditlerini tanımlayın.

IP sınıflandırması FSTEC emrinin 14.2 17 maddesine uygun olarak yapılır.

Sonuçlara göre bilgi güvenliğine yönelik tehditler belirlenir

ihlalcilerin yeteneklerinin değerlendirilmesi;
olası bilgi sistemi güvenlik açıklarının analizi;
bilgi güvenliğine yönelik tehditleri uygulamanın olası yollarının analizi (veya modellenmesi);
Bilgi güvenliği özelliklerinin (gizlilik, bütünlük, kullanılabilirlik) ihlal edilmesinin sonuçlarının değerlendirilmesi.

2. Bilgi işlem sistemi için gereksinimleri oluşturun.

Sistem gereksinimleri şunları içermelidir:

bilgi sisteminde bilgi güvenliğinin sağlanmasının amaç ve hedefleri;
bilgi sistemi güvenlik sınıfı;
bilgi sisteminin uyması gereken düzenleyici yasal düzenlemelerin, metodolojik belgelerin ve ulusal standartların bir listesi;
bilgi sistemi koruma nesnelerinin listesi;
Bilgi sisteminde kullanılan bilgi koruma önlemleri ve araçlarına ilişkin gereklilikler.

3. Bilgi sistemine yönelik bir bilgi güvenliği sistemi geliştirin.

Bunu yapmak için yapmanız gerekenler:

bir bilgi sistemi için bilgi güvenliği sisteminin tasarlanması;
bilgi sisteminin bilgi güvenliği sistemi için operasyonel belgelerin geliştirilmesi;
bilgi sisteminin bilgi güvenliği sisteminin prototiplenmesi ve test edilmesi.

4. Bilgi sisteminin bilgi güvenliği sistemini uygulayın:

bilgi sisteminde bilgi güvenliği araçlarının kurulumu ve yapılandırılması;
işletimi sırasında bilgi sistemindeki bilgilerin korunmasını sağlamak için operatör tarafından uygulanan kural ve prosedürleri tanımlayan belgelerin geliştirilmesi (bundan sonra bilgilerin korunmasına ilişkin kurumsal ve idari belgeler olarak anılacaktır);
bilgileri korumaya yönelik kurumsal önlemlerin uygulanması;
bilgi sisteminin bilgi güvenliği sisteminin ön testleri;
bilgi güvenliği sisteminin deneme işletimi;
inşa edilen bilgi güvenliği sisteminin güvenlik açığı açısından kontrol edilmesi;
bilgi sisteminin bilgi güvenliği sisteminin kabul testleri.

5. ISPDn'yi onaylayın:

sertifika testleri yapmak;
uygunluk belgesi alın.

Düzenleyici otoritelerin denetiminden geçebilmek için kurumsal ve idari belgelere sahip olmanın yeterli olduğuna dair yaygın bir inanış vardır ve bu nedenle CBS operatörleri genellikle güvenlik önlemlerini uygulamayı ihmal etmektedir. Aslında Roskomnadzor, kuruluştaki kişisel verileri korumaya yönelik belgelere ve kurumsal ve idari önlemlerin uygulanmasına büyük önem veriyor. Ancak soruların ortaya çıkması durumunda FSTEC ve FSB'den uzmanlar denetime katılabilir. Aynı zamanda FSTEC, teknik bilgi korumasının bileşimini çok dikkatli bir şekilde inceler ve tehdit modelinin doğruluğunu kontrol eder ve FSB, kriptografik bilgi koruma araçlarının kullanımına ilişkin gereksinimlerin uygulanmasını kontrol eder.

Oleg Necheukhin, bilgi sistemleri koruma uzmanı, Kontur-Güvenlik