«Три принципа безопасности — не просто теория из учебника, а рабочий механизм, позволяющий проверить любую ИТ-систему на прочность. Если хотя бы один принцип игнорируется, защита становится формальной и уязвимой. В российских реалиях эти же принципы заложены в костяк требований ФСТЭК и 152-ФЗ, только названы там иначе.»
Конфиденциальность: доступ по праву
Информация должна быть доступна только тем, у кого есть на это чёткие, документально подтверждённые права. Задача защиты — не просто зашифровать всё подряд, а построить систему, где любое обращение к данным постороннего или сотрудника вне его компетенции блокируется автоматически. Ключевая метрика здесь — количество несанкционированных успешных обращений: в идеальной системе оно должно быть равно нулю.
| Механизм | Как это работает | Сценарий сбоя |
|---|---|---|
| Шифрование | Данные превращаются в нечитаемый вид с помощью ключа. Без ключа даже физический доступ к носителю бесполезен. | Утечка базы пользователей, где пароли хранятся в открытом виде. Это позволяет получить доступ ко всем аккаунтам без взлома. |
| RBAC (Управление доступом на основе ролей) | Права назначаются не конкретным людям, а ролям (бухгалтер, менеджер). Сотрудник получает доступ только к тому, что нужно для его работы. | Сотрудник переводится в другой отдел, но его старые права не отозваны. Он сохраняет доступ к чувствительным данным. |
| Многофакторная аутентификация (MFA) | Пароль — это лишь один из ключей. Система требует дополнительное подтверждение через приложение, токен или отпечаток пальца. | Фишинговая атака: сотрудник ввёл пароль на поддельном сайте, но без одноразового кода из приложения доступ не получен. |
В требованиях ФСТЭК конфиденциальность реализуется через «меры по недопущению несанкционированного доступа». Например, при аттестации ИСПДн проверяют, что доступ к персональным данным действительно разграничен и соответствует обязанностям сотрудников.
Целостность: неизменность данных
Защита целостности гарантирует, что информация не была изменена случайно, утеряна или подменена. Речь не только о злоумышленниках — ошибка в бухгалтерской проводке или повреждение файла при передаче это тоже нарушение целостности. Данные должны оставаться точными и полными на всём пути: от ввода до архивации.
Технические методы
Основа целостности — криптографические контрольные суммы (хэши) и цифровые подписи. Система регулярно проверяет, совпадает ли хэш файла с эталонным значением. Например, при обновлении программного обеспечения клиент сверяет хэш скачанного файла с хэшем, опубликованным разработчиком. Если они не совпадают, файл считается повреждённым или скомпрометированным.
В системах с высокой нагрузкой используют более сложные схемы, такие как верификация цепочек блоков (blockchain) для критичных журналов изменений.
Организационные методы
Технологии бессильны, если нет правил. Важны политики, ограничивающие права на изменение: например, режим «только для чтения» (Read-Only) для архивных документов. Любое изменение критичных данных должно проходить через процесс утверждения с обязательной записью в журнале аудита: кто, когда и на каком основании внёс правку.
Пример: в учётной системе бухгалтер не может изменить платёжное поручение задним числом без согласования с руководителем и соответствующей записи в системном логе, защищённом от удаления.
Доступность: система всегда на связи
Парадоксальный, но критичный принцип: меры защиты не должны блокировать легитимный доступ. Система обязана работать для авторизованных пользователей 24/7, даже в условиях сбоя оборудования, аварии или направленной атаки. Для бизнеса недоступность часто убыточнее утечки данных.
| Угроза | Мера защиты | Критерий оценки |
|---|---|---|
| DDoS-атака | Балансировка нагрузки между серверами, фильтрация тракта, использование CDN-сетей для распределения запросов. | Процент времени доступности (Uptime) за период. Для критичных систем он должен стремиться к 99,99% и выше. |
| Аппаратный сбой | Кластеризация серверов, где при отказе одного узла его нагрузку мгновенно принимает другой (горячее резервирование). | Время восстановления (RTO) — максимально допустимый простой. Время потери данных (RPO) — объём данных, который допустимо потерять. |
| Программа-шифровальщик (Ransomware) | Изолированные и регулярно тестируемые резервные копии, системы мониторинга поведения (EDR), строгое ограничение прав на запись в сетевые папки. | Возможность полностью восстановить работоспособность из чистого бэкапа в течение заданного RTO без выплаты выкупа. |
Требования ФСТЭК к доступности закреплены в документах по обеспечению непрерывности функционирования. Это не просто рекомендация иметь бэкап, а целый комплекс мер: от резервных каналов связи до планов восстановления после инцидентов.
Пример: система обработки платёжных данных
В интернет-банке или платёжном шлюзе все три принципа работают одновременно, но с разным приоритетом.
- Конфиденциальность. Номера карт шифруются при хранении (стандарт AES-256) и передаче (протокол TLS 1.3). Логи маскируются, в них отображаются только последние четыре цифры. Приоритет высокий, но не абсолютный — законный платёж должен пройти.
- Целостность. Каждая транзакция подписывается цифровой подписью банка-эмитента. Любая попытка изменить сумму, номер счёта или получателя приводит к отказу в операции. Это принцип с наивысшим приоритетом в финансовой сфере.
- Доступность. Серверная часть развёрнута в геораспределённом кластере. При падении одного дата-центра трафик автоматически перенаправляется на другой. Резервные копии транзакций создаются в режиме, близком к реальному времени. Простой системы измеряется секундами в год.
Чек-лист для внутренней проверки
Пройдитесь по этому списку, чтобы оценить базовую зрелость системы защиты.
| Область | Вопрос для проверки |
|---|---|
| Управление доступом | Все ли учётные записи имеют минимально необходимый набор прав для работы? Проведена ли актуализация ролей при смене сотрудников должностей? |
| Шифрование | Применяется ли шифрование для конфиденциальных данных в состоянии покоя (на дисках, в БД) и при передаче (между серверами, для пользователей)? Используются ли сертифицированные СКЗИ, если того требуют стандарты? |
| Обеспечение целостности | Настроены ли проверки целостности для критичных системных файлов и ПО? Используются ли цифровые подписи или контрольные суммы для загружаемых обновлений и резервных копий? |
| Обеспечение доступности | Существуют ли задокументированные значения RTO и RPO для ключевых сервисов? Регулярно ли тестируется процедура восстановления из резервных копий? |
| Аудит и мониторинг | Включено ли логирование всех критичных событий (вход, доступ к данным, изменения конфигурации)? Хранятся ли логи в защищённом, централизованном хранилище в течение требуемого законом срока (например, 6 месяцев для некоторых систем с ПДн)? |
Интеграция с 152-ФЗ и требованиями ФСТЭК
Триада CIA не является выдумкой западных стандартов. Её логика напрямую и полностью отражена в российской регуляторике, что делает эти принципы универсальным языком для диалога с проверяющими органами.
- Конфиденциальность — это основа статьи 18 152-ФЗ, которая обязывает оператора применять меры, «необходимые и достаточные для обеспечения защиты персональных данных от неправомерного или случайного доступа к ним». Реализуется через разграничение прав доступа, шифрование и контроль учётных записей, что детализируется в приказах ФСТЭК.
- Целостность соответствует требованию закона о недопущении «уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных». Технически обеспечивается средствами контроля целостности и ведением журналов учёта, что прямо предписано многими методическими рекомендациями.
- Доступность зашита в требования к обеспечению непрерывности обработки. Например, необходимость резервного копирования и восстановления данных прямо указана в базовых требованиях ФСТЭК. Простои и потеря данных считаются нарушением безопасности.
Понимая, как каждый ваш технический контроль (шифрование, бэкапы, MFA) ложится на конкретный принцип безопасности, вы можете гораздо точнее обосновать архитектуру системы перед аудитором. Вы не просто ставите «галочку», а демонстрируете осознанный подход к защите информации.
«Баланс между конфиденциальностью, целостностью и доступностью — это не абстракция, а ежедневная практика проектирования защищённых систем. Нарушение одного принципа немедленно создаёт риск для остальных. Успешное соответствие требованиям ФСТЭК и 152-ФЗ достигается не зазубриванием нормативов, а через призму этих трёх фундаментальных идей.»