Есть данные с прямым риском
Обрабатываются данные, утечка которых создаёт прямой юридический, финансовый или репутационный риск — персональные данные, коммерческая тайна, платёжные данные.
Защищаем данные при хранении и передаче: подбор алгоритмов и решений, сертифицированные СКЗИ и ГОСТ-криптография — где это требуется, управление ключами.
Шифрование данных
Шифрование данных
Защищаем данные при хранении и передаче шифрованием: подбираем алгоритмы и решения под задачу — от стандартного шифрования дисков и каналов связи до сертифицированных СКЗИ и ГОСТ-криптографии, где это требуется по закону или контрагенту. Выстраиваем управление ключами так, чтобы шифрование действительно защищало данные, а не создавало новую точку отказа.
Когда актуально
Когда шифрование данных особенно актуально
Особенно актуально, если верно хотя бы одно из следующего.
Требуют закон или контрагент
Закон, регулятор или контрагент требует использовать сертифицированные средства криптографической защиты информации.
Данные вне контролируемой инфраструктуры
Данные передаются или хранятся вне полностью контролируемой инфраструктуры — облако, партнёрские интеграции, мобильные устройства, съёмные носители.
Нет ясности с управлением ключами
Шифрование уже используется, но нет ясности, кто и как управляет ключами и что произойдёт при их утере.
Для руководителя коротко. Задача этой услуги — защитить содержимое данных от прочтения без права доступа там, где это оправдано моделью угроз или обязательными требованиями, и не создать при этом риск потери доступа к собственным данным из-за неуправляемых ключей.
С чего начинаем
С чего начинаем, если шифрование ещё не выстроено
Отсутствие готового понимания — стартовая точка, а не препятствие.
- Не знаете, что требует шифрования? Начинаем с классификации данных и модели угроз — шифровать всё подряд дорого и не всегда оправдано.
- Непонятно, нужна ли сертифицированная СКЗИ? Определяем применимые требования закона, регулятора или конкретного контрагента прежде чем выбирать продукт.
- Шифрование есть, но ключи не управляются? Начинаем именно с этого: шифрование без управляемого жизненного цикла ключей создаёт риск потери доступа к собственным данным.
- Шифрование не заменяет остальные меры защиты — контроль доступа, сегментацию, мониторинг. Скомпрометированная учётная запись с легитимным правом читать данные делает шифрование бесполезным именно для этого канала атаки.
Смежные задачи
Как это соотносится с соседними услугами
Несколько услуг относятся к защите данных, но защищают от разных сценариев.
Шифрование
Защищает содержимое данных от прочтения без ключа.
DLP
Контролирует, куда данные перемещаются — а насколько DLP видит содержимое зашифрованного трафика, зависит от архитектуры и точки контроля.
Управление доступом
Определяет, кто вообще может к данным обратиться.
Эти меры дополняют друг друга: зашифрованные данные всё равно могут быть скопированы легитимным пользователем с доступом к ним, а DLP без контроля доступа не защитит данные, если у атакующего уже есть легитимные права на чтение.
Нужна ли СКЗИ
Когда нужна именно сертифицированная СКЗИ, а когда нет
Само по себе желание «шифровать как можно надёжнее» не означает, что нужна именно сертифицированная СКЗИ — во многих случаях это увеличивает стоимость и сложность эксплуатации без изменения уровня защиты данных, если обязательных оснований для сертификации нет.
Обычно нужна, если. Организация работает со сведениями, составляющими государственную тайну; оператор персональных данных выбрал криптографические средства как меру защиты и должен выполнять приказ ФСБ России № 378 — состав требований зависит от уровня защищённости и модели угроз; это прямо требуется для типа системы или предусмотрено договором с контрагентом либо отраслевым стандартом.
Может быть достаточно обычного шифрования, если. Нет ни одного из оснований для обязательной сертификации; задача — защитить данные от постороннего доступа при утере устройства, перехвате трафика или компрометации инфраструктуры, а не выполнить конкретное регуляторное требование, и это соответствует принятой модели угроз.
Форматы работы
Форматы работы
От оценки данных до управления ключами и сертифицированной криптографии.
01
Оценка и классификация данных
- Определение, какие данные и в каком объёме требуют шифрования и какие требования к ним применимы
02
Шифрование при хранении
- Дисков, баз данных, файловых хранилищ, резервных копий
03
Шифрование при передаче
- Каналов связи, VPN, защищённого взаимодействия между системами
04
Сертифицированные СКЗИ и ГОСТ
- Там, где это требуется законом, регулятором или контрагентом
05
Управление ключами
- Генерация, хранение, ротация, отзыв и процедуры восстановления доступа
Процесс
Как мы выстраиваем шифрование данных
От классификации данных до передачи в сопровождение.
Классифицируем данные.
Определяем, что и где хранится и передаётся, какие данные критичны с точки зрения конфиденциальности.
Определяем применимые требования.
Закон, регулятор, контрагент; нужна ли сертифицированная СКЗИ и какого класса.
Проектируем архитектуру шифрования.
Что и на каком уровне шифруется — диск, файл, база данных, канал, — и где хранятся ключи.
Подбираем решение.
Сертифицированное или нет — с учётом производительности, совместимости и эксплуатационных затрат.
Настраиваем управление ключами.
Генерация, хранение, ротация, отзыв и восстановление доступа; разделение ролей и аудит операций с ключами.
Внедряем поэтапно.
С проверкой производительности и совместимости с существующими системами.
Передаём в сопровождение.
Регламенты ротации ключей, порядок действий при компрометации, поддержка при проверках.
Результат
Что вы получаете
Понятный набор результатов вне зависимости от состава решения.
- Классификацию данных и понимание, что именно требует шифрования
- Определение применимых требований к криптографии для вашей организации
- Архитектуру шифрования данных при хранении и при передаче
- Настроенное управление жизненным циклом ключей
- При необходимости — внедрённые сертифицированные СКЗИ и поддержку соответствия применимым требованиям
Особенности и ограничения
Особенности и ограничения
Честно фиксируем границы того, что решает шифрование.
Не защищает от легитимного доступа
Если у скомпрометированной учётной записи есть право читать данные, шифрование не помешает атакующему прочитать их после расшифровки.
Потеря ключей — риск недоступности
Без заранее предусмотренного механизма резервирования и восстановления организация рискует потерять доступ к собственной зашифрованной информации.
Сертифицированные СКЗИ строже в эксплуатации
Обычно предъявляют более строгие требования к среде эксплуатации, чем стандартные средства, что отражается на стоимости и сложности.
Хранение и передача — разные механизмы
Шифрование данных при передаче не защищает данные при хранении, и наоборот — это рассматривается отдельно для каждого канала и хранилища.
Эскалация
Эскалация при компрометации или потере ключей
Порядок согласуется на установочной сессии и фиксируется в договоре.
Что фиксируем заранее
Назначенных представителей заказчика, ответственных за криптографические ключи, порядок их замещения; порядок действий при подозрении на компрометацию ключа — отзыв, перевыпуск, уведомление затронутых сторон; целевое время реагирования; порядок действий, если ответственное лицо недоступно.
Границы ответственности
Настройка шифрования, управление ключами в согласованном объёме и консультации по инцидентам, связанным с криптографией, входят в услугу. Расследование иных инцидентов — отдельный объём работ.
Метрики и конфиденциальность
Как измеряем результат и защищаем ваши данные
Показатели согласуем на старте, чтобы результат можно было оценивать по понятным критериям.
- Доля критичных данных, охваченных шифрованием при хранении и при передаче
- Соответствие используемых средств и классов криптографии применимым требованиям
- Соблюдение согласованных сроков плановой ротации ключей
- Время от подтверждения компрометации ключа до его отзыва, замены и восстановления штатной работы
- Количество инцидентов, связанных с компрометацией или потерей ключей, и время реагирования
- Что не используем как показатель: сам по себе факт «у нас всё зашифровано» без учёта того, кто и как управляет ключами
- Конфиденциальность: работа с шифрованием подразумевает потенциальный доступ к самим ключам — отдельно чувствительная категория информации
- Порядок фиксируется до начала работ — NDA, защищённые каналы, журналирование обращений к ключевым материалам, согласованный срок хранения
Регуляторный контекст
Регуляторный контекст
Наличие лицензии ФСБ, сертифицированного продукта СКЗИ и применение ГОСТ-алгоритмов — не одно и то же, что полное соответствие всем требованиям к конкретной системе.
Лицензирование криптодеятельности
Постановление Правительства РФ от 16.04.2012 № 313 регулирует лицензирование разработки, производства и распространения шифровальных средств, работ и услуг в области шифрования. Для техобслуживания предусмотрено исключение — для собственных нужд организации. Использование готового средства шифрования для защиты собственных данных не выделено как самостоятельный лицензируемый вид деятельности.
Приказ ФСБ № 378
Для операторов персональных данных, выбравших криптографические средства защиты, применяется приказ ФСБ России от 10.07.2014 № 378: состав мер зависит от уровня защищённости персональных данных и модели угроз. Применение сертифицированных СКЗИ не обязательно для всех операторов само по себе.
63-ФЗ и государственная тайна
Для квалифицированной электронной подписи 63-ФЗ требует применения средств, получивших подтверждение соответствия установленным требованиям. Для сведений, составляющих государственную тайну, применение сертифицированной криптографии обязательно и регулируется отдельным законодательством, включая соответствующий допуск исполнителя.
ГОСТ-алгоритмы
ГОСТ Р 34.12-2015 определяет алгоритмы блочного шифрования («Кузнечик», «Магма»), ГОСТ Р 34.10-2012 — алгоритмы электронной подписи, ГОСТ Р 34.11-2012 — алгоритм хеширования («Стрибог»). Это разные по назначению стандарты, применяемые там, где прямо требуется нормативными актами или соглашением сторон.
Материалы проекта могут использоваться как документы, подтверждающие принятые меры защиты; подтверждением полного соответствия нормативным требованиям сам по себе факт внедрения шифрования не является.
Порядок работы
Порядок работы, сроки, стоимость и приёмка
Бесплатная первичная оценка (до 30 минут, без подключения к инфраструктуре) → предварительное определение задачи и требований к сертификации → договор и NDA → классификация данных и определение применимых требований → проектирование архитектуры шифрования → внедрение → передача в сопровождение.
Объём и договор
Определяется объёмом и типами данных, необходимостью сертифицированной криптографии, архитектурой (облако, on-premise) и требованиями к управлению ключами. В договоре фиксируются состав работ, критерии приёмки и порядок эскалации.
Сроки
Классификация данных и определение требований — от 1 до 3 недель; проектирование и внедрение — от 3 до 8 недель, в зависимости от масштаба и необходимости сертифицированных решений.
Стоимость
Зависит от объёма данных, необходимости сертификации, архитектуры и формата сопровождения ключевого хозяйства. Фиксируется до начала работ.
Почему IST
Почему IST
Обоснованный подбор криптографии, а не максимальный набор «на всякий случай».
С 2011 года
В сфере информационной безопасности с 2011 года.
Более 80 специалистов
Офисы в Самаре, Оренбурге и Нижнем Новгороде, представительство в Москве.
Лицензия ФСТЭК
На деятельность по технической защите конфиденциальной информации.
Лицензия ФСБ
На разработку, производство и распространение шифровальных (криптографических) средств, выполнение работ и оказание услуг в области шифрования информации.
Опыт с УЦ и СКЗИ
Создание и модернизация удостоверяющих центров, работа с СКЗИ.
Полный цикл
От классификации данных и определения требований до сопровождения ключевого хозяйства.
FAQ
Частые вопросы
Ответы на главные вопросы заказчиков.
- Обязательна ли ГОСТ-криптография? Нет, если это не требуется прямо законом, регулятором для вашей системы или соглашением с контрагентом. Иначе допустимы другие современные алгоритмы, соответствующие модели угроз.
- Что будет при потере ключа шифрования? Без предусмотренного заранее механизма восстановления — потеря доступа к зашифрованным данным. Поэтому управление ключами — обязательная часть проекта, а не опция.
- Нужна ли лицензия ФСБ для своих данных? Само по себе использование готового средства шифрования для защиты собственных данных не является отдельным лицензируемым видом деятельности. Применимость зависит от фактического состава работ — уточним на консультации.
- В чём разница между шифрованием и DLP? Шифрование защищает содержимое данных от прочтения без ключа. DLP контролирует, куда данные перемещаются. Это разные механизмы, которые дополняют друг друга.
- Как часто менять ключи шифрования? Единого срока нет — периодичность определяется применимыми требованиями, классом криптографии и внутренней политикой организации. Регламент согласуем как часть проекта.
Обсудить шифрование данных
Расскажите, что и как нужно шифровать — предложим план работ
Какие данные и где хранятся и передаются, есть ли требования к сертифицированной криптографии со стороны закона, регулятора или контрагента. Первичная оценка — бесплатно, до 30 минут, без подключения к инфраструктуре.