СП 553.1327500.2026. Свод правил. Защита сетей сигнализации SS7 и Diameter

(утв. Приказом Минцифры России от 25.03.2026 № 259)

Российской Федерации

ОКС 33.040

Дата введения 1 сентября 2026 года

Предисловие

Сведения о своде правил

1 ИСПОЛНИТЕЛЬ — Федеральное государственное автономное учреждение «Национальный исследовательский центр телекоммуникаций имени М.И. Кривошеева» (ФГАУ НИЦ Телеком)

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 480 «Связь»

3 ПОДГОТОВЛЕН к утверждению Департаментом государственного регулирования рынка телекоммуникаций Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации (Минцифры России)

4 УТВЕРЖДЕН приказом Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 25 марта 2026 г. № 259 и введен в действие с 1 сентября 2026 г.

5 ЗАРЕГИСТРИРОВАН Федеральным агентством по техническому регулированию и метрологии (Росстандарт)

В случае пересмотра (замены) или отмены настоящего свода правил соответствующее уведомление будет опубликовано в установленном порядке. Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования — на официальном сайте разработчика (Минцифры России) в сети Интернет

Введение

Настоящий свод правил разработан в целях обеспечения соблюдения требований Федеральных законов [1] и [2].

Свод правил выполнен авторским коллективом ФГАУ НИЦ Телеком (д-р техн. наук В.А. Нетес, канд. техн. наук Е.Д. Григорьева, канд. техн. наук А.А. Немыкин, канд. техн. наук Д.Ю. Панкратов, канд. техн. наук А.Э. Смирнов, канд. техн. наук М.Г. Бакулин, Д.Н. Безумнов, Д.А. Пальцин, А.С. Фень, М.В. Крейнделин, С. Бен Режеб Бен Камель, А.В. Федоров).

1 Область применения

1.1 Настоящий свод правил распространяется на процессы обеспечения информационной безопасности в части обеспечения конфиденциальности и доступности информации, а также управления информационной безопасностью в сетях сигнализации SS7 и Diameter, которые рассматриваются как составные части сети подвижной радиотелефонной связи в части:

определения целей и задач защиты сетей сигнализации;

содержания и порядка разработки, внедрения, использования частной политики безопасности «Защита сетей сигнализации SS7 и Diameter»;

определения функциональных и технических требований к оборудованию, обеспечивающему защиту сетей сигнализации SS7 и Diameter;

критериев оценки и способа определения критериев нормального и аномального функционирования сетей сигнализации SS7 и Diameter;

рекомендаций по нормативно-правовой, физической, технической и криптографической защите сетей сигнализации SS7 и Diameter.

1.2 Настоящий свод правил устанавливает требования к управлению информационной безопасностью сетей сигнализации с учетом требований ГОСТ Р ИСО/МЭК 27000, ГОСТ Р ИСО/МЭК 27001, ГОСТ Р ИСО/МЭК 27002, ГОСТ Р ИСО/МЭК 27003, ГОСТ Р ИСО/МЭК 27004, ГОСТ Р ИСО/МЭК 27005 в целях обеспечения поддержания защищенности информации в сетях сигнализации SS7 и Diameter на заданном уровне.

1.3 Настоящий свод правил распространяется на сети сигнализации SS7 и Diameter как единый информационный актив.

1.4 Настоящий свод правил не распространяется на процессы обеспечения целостности данных в сетях сигнализации.

1.5 Настоящий свод правил не содержит конкретных конфигураций систем защиты информации в сетях сигнализации SS7 и Diameter.

1.6 Настоящий свод правил не содержит рекомендаций по защите спутниковых каналов передачи данных как возможного элемента сети сигнализации, а также не содержит требований безопасности к арендованным волоконно-оптическим каналам передачи данных.

1.7 Требования настоящего свода правил распространяются также на проведение контрольных мероприятий в форме мониторинга, самооценки или внутреннего аудита информационной безопасности в части установления нормального или аномального функционирования сети сигнализации.

2 Нормативные ссылки

В настоящем своде правил использованы нормативные ссылки на следующие стандарты:

ГОСТ 34.12 Информационная технология. Криптографическая защита информации. Блочные шифры

ГОСТ 34.13 Информационная технология. Криптографическая защита информации. Режимы работы блочных шифров

ГОСТ Р ИСО/МЭК 13335 Информационная технология. Методы и средства обеспечения безопасности. Часть 1. Концепция и модели менеджмента безопасности информационных и телекоммуникационных технологий

ГОСТ Р ИСО/МЭК ТО 18044 Информационные технологии. Методы и средства обеспечения безопасности. Менеджмент инцидентов информационной безопасности

ГОСТ Р ИСО 22301 Надежность в технике. Системы менеджмента непрерывности деятельности. Требования

ГОСТ Р ИСО/МЭК 27000-2021 Информационные технологии. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Общий обзор и терминология

ГОСТ Р ИСО/МЭК 27001 Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования

ГОСТ Р ИСО/МЭК 27002 Информационные технологии. Методы и средства обеспечения безопасности. Свод норм и правил применения мер обеспечения информационной безопасности

ГОСТ Р ИСО/МЭК 27003 Информационные технологии. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Руководство по реализации

ГОСТ Р ИСО/МЭК 27004 Информационные технологии. Методы и средства обеспечения безопасности. Менеджмент информационной безопасности. Мониторинг, оценка защищенности, анализ и оценивание

ГОСТ Р ИСО/МЭК 27005 Информационная технология. Методы и средства обеспечения безопасности. Менеджмент риска информационной безопасности

ГОСТ Р ИСО/МЭК 27031 Информационная технология. Методы и средства обеспечения безопасности. Руководство по готовности информационно-коммуникационных технологий к обеспечению непрерывности бизнеса

ГОСТ Р 51241 Средства и системы контроля и управления доступом. Классификация. Общие технические требования. Методы испытаний

ГОСТ Р 51558-2014 Средства и системы охранные телевизионные. Классификация. Общие технические требования. Методы испытаний

ГОСТ Р 52435-2015 Технические средства охранной сигнализации. Классификация. Общие технические требования и методы испытаний

ГОСТ Р 53647.1 Менеджмент непрерывности бизнеса. Часть 1. Практическое руководство

ГОСТ Р 53647.2 Менеджмент непрерывности бизнеса. Часть 2. Требования

ГОСТ Р 53647.3 Менеджмент непрерывности бизнеса. Часть 3. Руководство по обеспечению соответствия требованиям ГОСТ Р ИСО 22301

ГОСТ Р 54126-2010 Оповещатели охранные. Классификация. Общие технические требования и методы испытаний

Примечание — При пользовании настоящим сводом правил целесообразно проверить действие ссылочных документов в информационной системе общего пользования — на официальном сайте федерального органа исполнительной власти в сфере стандартизации в сети Интернет, на официальном сайте федерального органа исполнительной власти, разработавшего и утвердившего настоящий свод правил, или по ежегодному информационному указателю «Национальные стандарты», который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя «Национальные стандарты» за текущий год. Если заменен ссылочный документ, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого документа с учетом всех внесенных в данную версию изменений. Если заменен ссылочный документ, на который дана датированная ссылка, то рекомендуется использовать версию этого документа с указанным выше годом утверждения (принятия). Если после утверждения настоящего свода правил в ссылочный документ, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный документ отменен без замены, то положение, в котором дана ссылка на него, рекомендуется применять в части, не затрагивающей эту ссылку. Сведения о действии сводов правил целесообразно проверить в Федеральном информационном фонде стандартов.

3 Термины, определения и сокращения

3.1 В настоящем своде правил применены термины по ГОСТ Р ИСО/МЭК 27000, а также следующие термины с соответствующими определениями:

3.1.1 аудит протокола событий: Анализ протоколируемой информации с целью оперативного выявления и предотвращения нарушений режима информационной безопасности.

Примечание — Может быть пассивным и активным.

3.1.2

3.1.3 вероятность: Степень возможности наступления какого-либо события.

3.1.4 взлом: Действия, направленные на несанкционированное разрушение конструкции.

3.1.5 внутренний аудит информационной безопасности: Аудит информационной безопасности, осуществляемый представителями специального контрольного органа — подразделения организации, деятельность которого регламентируется внутренними документами организации по контролю функционирования ее СОИБ (включая СУИБ) и различных аспектов обеспечения информационной безопасности, в рамках помощи органам управления организации.

3.1.6 высшее руководство: Лицо или группа лиц, руководящих организацией и контролирующих ее на высшем уровне.

3.1.7

3.1.8 зона доступа: Помещение, вход и (или) выход которого оборудованы средствами контроля и управления доступом.

3.1.9 инцидент информационной безопасности: Одно или несколько нежелательных или неожиданных событий информационной безопасности, которые с высокой степенью вероятности могут привести к компрометации в бизнес-процессах и создают угрозы для информационной безопасности или приводят к нарушению конфиденциальности, доступности и целостности информации.

3.1.10

3.1.11 интегрированная система безопасности: Программно-аппаратный комплекс, который объединяет в единое решение и информационное пространство оборудование различных подсистем от разных производителей.

3.1.12

3.1.13 манипулирование: Действия с устройствами контроля доступа, находящимися в рабочем режиме, без их разрушения, с целью получения действующего кода или приведения в открытое состояние управляемого преграждаемого устройства.

Примечание — Устройства контроля доступа могут при этом продолжать правильно функционировать во время манипулирования и после него; следы такого действия будут незаметны.

3.1.14 мера обеспечения информационной безопасности (защитная мера): Мера, направленная на снижение уровня угроз в сети сигнализации.

3.1.15 монитор обращений: Инструмент проверки каждого обращения пользователя к программам или данным на предмет согласованности со списком действий, допустимых для пользователя, и реализуемый ядром безопасности.

3.1.16

3.1.17 мониторинг информационной безопасности объекта: Постоянное наблюдение за объектами и субъектами, влияющими на обеспечение ИБ объекта, а также сбор, анализ и обобщение результатов наблюдений.

3.1.18 платформа анализа угроз: Система анализа угроз на основе данных об угрозах, получаемых из множества источников в режиме реального времени.

3.1.19 объект доступа к информации: Единица информационного ресурса автоматизированной системы, доступ к которой регламентируется правилами разграничения доступа.

3.1.20 показатель: Переменная, которой присваивается какое-либо значение как конкретный результат измерения.

3.1.21 политика безопасности организации: Документация, определяющая высокоуровневые цели, содержание и основные направления и устанавливающая правила, процедуры, практические приемы и руководящие принципы обеспечения ИБ организации, которыми она руководствуется в своей деятельности.

3.1.22 протоколирование (регистрация): Механизм подотчетности системы обеспечения информационной безопасности, фиксирующий все события, относящиеся к вопросам безопасности.

3.1.23 проход под принуждением: Насильственные действия по отношению к лицу, имеющему право доступа, с целью несанкционированного проникновения через управляемое преграждающее устройство.

Примечание — Устройства контроля и управления доступом при этом могут функционировать нормально.

3.1.24 риск информационной безопасности: Возможность того, что данная угроза сможет воспользоваться уязвимостью актива или группы активов и тем самым нанесет ущерб организации.

3.1.25 руководящий орган: Лицо или группа лиц, несущих ответственность за производительность оператора связи и за соблюдение им применяемых норм.

3.1.26 саботаж: Созданное преднамеренно состояние системы или ее компонентов, при котором нарушается работоспособность, ухудшаются параметры, происходит повреждение системы.

3.1.27 сервер абонентских данных: Один из важнейших элементов в инфраструктуре сетей подвижной радиотелефонной связи четвертого поколения (LTE, LTE-A), служит для хранения важной пользовательской информации и информации о действиях абонентов.

3.1.28 система контроля и управления доступом: Совокупность программно-аппаратных технических средств контроля и средств управления, имеющих целью ограничение и регистрацию входа-выхода объектов (людей, транспорта на заданной территории через «точки прохода» (точки доступа): двери, ворота, контрольно-пропускной пункт.

3.1.29

3.1.30 степень защиты IP: Код, который показывает, насколько корпус устройства защищает его от проникновения влаги и твердых предметов.

3.1.31 субъект доступа к информации: Лицо или процесс, действия которого регламентируются правилами разграничения доступа.

3.1.32 точка доступа: Место, где непосредственно осуществляется контроль доступа (например, дверь).

3.1.33

3.1.34 управление [менеджмент] инцидентами информационной безопасности: Процессы обнаружения, информирования, оценки, реагирования, рассмотрения и изучения инцидентов информационной безопасности.

3.1.35 уровень доступа: Совокупность временных интервалов доступа (окон времени) и точек доступа, которые назначаются определенному лицу или группе лиц, имеющим доступ в заданные точки доступа в заданные временные интервалы.

3.1.36

3.1.37

3.1.38 частная политика безопасности: Политика информационной безопасности, относящейся к определенной области технологий (включая область информационных технологий и область технологий обеспечения информационной безопасности) — локальный нормативный документ, определяющий требования к обеспечению информационной безопасности, систему мер либо порядок действий, а также ответственность сотрудников организации и механизмы контроля для определенной области технологий (включая область информационных технологий и область технологий обеспечения информационной безопасности).

3.1.39

3.1.40 ядро безопасности: Центральная часть аппаратного обеспечения компьютера или системы связи, встроенного программного обеспечения и программного обеспечения, которая реализует основные процедуры безопасности для контроля доступа к системным ресурсам.

3.1.41 SIEM-технология: Набор программных инструментов и сервисов, обеспечивающих комплексную защиту информационных ресурсов путем выявления угроз безопасности и оперативного уведомления об инцидентах ИБ.

3.2 В настоящем своде правил применены следующие сокращения:

АРМ — автоматизированное рабочее место;

АС — автоматизированная система;

ВОЛС — волоконно-оптические линии связи;

ИБ — информационная безопасность;

ИСБ — интегрированная система безопасности;

КСЗИ — комплексная система защиты информации;

МСЭ — межсетевой экран;

НДВ — недекларированные возможности;

НСД — несанкционированный доступ;

ОИБ — обеспечение информационной безопасности;

ПЭМИН — побочные электромагнитные излучения и наводки;

СВТ — средство вычислительной техники;

СЗИ — средство защиты информации;

СКУД — система контроля и управления физическим доступом;

СОВ — система обнаружения вторжений;

СОИБ — система обеспечения информационной безопасности;

СОС — система охранной сигнализации;

СОТ — система охранного телевидения;

СУИБ — система управления информационной безопасностью;

CAMEL — протокол расширенной логики услуг для пользователей мобильных сетей (Customized Applications for Mobile network Enhanced Logic);

CAP — подсистема приложений CAMEL (CAMEL Application Part);

DEA — пограничный агент (Diameter Edge Agent);

DRA — агент маршрутизации, осуществляющий маршрутизацию Diameter-трафика (Diameter Routing Agent);

HSS — сервер абонентских данных (Home Subscriber Server);

IP — международная защита (International Protection);

IPR — степень защиты от проникновения (Ingress Protection Rating);

IMSI — международный идентификатор абонента мобильной сети (International Mobile Subscriber Identity);

MAP — подсистема мобильных приложений (Mobile Application Part);

MME — узел управления мобильностью (Mobility Management Entity);

PACS — система контроля и управления доступом (Physical Access Control System);

SS7 — общеканальная система сигнализации № 7 (Signaling System 7);

TIP — платформа анализа угроз (Threat Intelligence Platform);

VPN — виртуальная частная сеть (Virtual Private Network);

SIEM — управление информацией о безопасности и событиями безопасности (Security Information and Event Management).

4 Общие положения

4.1 Частная политика безопасности

4.1.1 Центральным звеном в обеспечении защиты сетей сигнализации SS7 и Diameter является частная политика информационной безопасности, определяющая общее намерение и направление, официально выраженное руководством организации в отношении решения задач, непосредственно связанных с обеспечением конфиденциальности, доступности и целостности служебной информации, передающейся по сетям связи с помощью протоколов SS7 и Diameter.

4.1.2 Высшее руководство организации (оператора связи) обеспечивает разработку, реализацию и поддержку в актуальном состоянии частной политики информационной безопасности, которая должна:

соответствовать целям деятельности организации;

содержать цели защиты сетей сигнализации SS7 и Diameter или обеспечивать основу для их установления;

содержать обязательство соответствовать применимым требованиям, относящимся к информационной безопасности;

содержать обязательство постоянно улучшать защиту сетей сигнализации SS7 и Diameter;

являться документом второго уровня по отношению к корпоративной политике информационной безопасности применительно к защите сетей сигнализации SS7 и Diameter и конкретизировать ее положения.

4.1.3 Частная политика информационной безопасности «Защита сетей сигнализации SS7 и Diameter» (далее — частная политика безопасности) является внутренним документом организации, она должна быть документирована, утверждена руководством и доведена до сведения всех сотрудников организации, допущенных к эксплуатации и ремонту сетей сигнализации SS7 и Diameter, а также всех заинтересованных сторон (включая сторонние организации).

4.1.4 Частная политика безопасности является основанием для разработки документов, содержащих положения, применяемые к процедурам (порядку выполнения действий или операций) ОИБ, правила и параметры, устанавливающие способ осуществления и выполнения конкретных действий, связанных с ИБ в рамках технологических процессов, используемых в организации, либо ограничения по выполнению отдельных действий, связанных с реализацией защитных мер в используемых технологических процессах (технические задания, регламенты работ, порядки, инструкции по эксплуатации, руководства по администрированию и т.п.); а также документы, содержащие свидетельства выполненной деятельности по ОИБ и отражающие достигнутые результаты (промежуточные и окончательные), относящиеся к ОИБ организации.

4.1.5 Частная политика безопасности, как высокоуровневый документ, должна определять систему приоритетов, принципов и методов достижения целей защищенности активов организации, включающих сети сигнализации SS7 и Diameter, в условиях наличия для них угроз ИБ. Она содержит основные методологические подходы, позволяющие определить наиболее важные объекты защиты, разрабатывать необходимые защитные меры.

4.1.6 Формулировка частной политики безопасности путем выработки четкой позиции в решении вопросов ИБ является прерогативой высшего руководства (директор, совет директоров или иное уполномоченное лицо). Цель ОИБ не может быть достигнута, пока на самом высоком уровне не определено, чего следует добиваться, и не выделены ресурсы, позволяющие должным образом защитить информационную инфраструктуру организации и обеспечить управление защитными мероприятиями.

4.1.7 Частная политика безопасности организации разрабатывается на основе накопленного в организации опыта в области ОИБ, результатов идентификации активов, подлежащих защите, оценки рисков ИБ, с учетом особенностей бизнеса и технологий, требований законодательства Российской Федерации, отраслевых нормативных актов, а также интересов и бизнес-целей конкретной организации и отвечать следующим требованиям:

должна быть утверждена высшим руководством организации и издана;

должна быть реализуема (т.е. содержать только те положения, которые могут быть реализованы на практике), а ее реализация контролируема;

должна быть краткой, простой для понимания и не допускать двойного толкования ее положений;

должна обеспечивать защиту и при этом не влиять на эффективность работы сотрудников организации, т.е. не снижать результативность их работы;

должна устанавливать ответственность руководства и излагать подход организации к управлению ИБ;

должна регулярно (через запланированные промежутки времени, по графику) анализироваться. Анализ должен включать в себя оценивание возможностей для улучшения в ответ на изменения в организационном окружении, деловых обстоятельствах, юридических условиях или в технической среде;

в случае возникновения значительных изменений в текущем развитии организации с целью обеспечить соответствие, адекватность и результативность частной политики безопасности, она должна пересматриваться и модифицироваться согласно разработанной заранее процедуре;

должно быть назначено ответственное за частную политику безопасности должностное лицо, которое отвечает за ее реализацию и пересмотр в соответствии с установленной процедурой;

частная политика безопасности должна быть надлежащим образом доведена в доступной и понятной форме до сведения сотрудников организации, задействованных в эксплуатации сетей сигнализации SS7 и Diameter, с которой они должны ознакомиться под расписку;

частная политика безопасности должна быть обязательно согласована со всеми существующими нормативно-правовыми документами, соблюдение которых требуется от организации в стране ее функционирования, а также директивами, законами, приказами и общими задачами самой организации. Она должна быть интегрирована в общую политику организации и согласована с другими политиками (например, политикой приема/найма на работу);

при распространении частной политики безопасности за пределы организации следует позаботиться о том, чтобы не раскрыть важную (конфиденциальную, критичную) информацию, потеря, раскрытие или уничтожение которой по тем или иным причинам нежелательны для бизнеса или ее владельца;

пересмотренная частная политика безопасности также должна быть утверждена руководством.

4.1.8 Разработанная частная политика безопасности должна:

определять необходимый и достаточный набор требований по ОИБ сетей сигнализации SS7 и Diameter, позволяющих уменьшить риски ИБ до приемлемой величины;

основываться на первоначально проведенном анализе рисков ИБ активам, включающим сети сигнализации SS7 и Diameter и определенном оптимальном уровне риска для организации на основе заданного критерия;

оказывать минимальное влияние на производительность труда;

учитывать особенности бизнес-процессов организации;

поддерживаться руководством;

позитивно восприниматься и исполняться сотрудниками.

4.1.9 При разработке частной политики безопасности необходимо руководствоваться следующими принципами:

а) законность, т.е. осуществление защитных мер в соответствии с действующим законодательством в области ИБ, другими нормативными актами по ОИБ, утвержденными органами государственной власти, с применением всех дозволенных методов обнаружения и пресечения правонарушений;

б) определенность целей, сформулированных в частной политике безопасности;

в) учет всех взаимосвязанных и изменяющихся во времени элементов, условий и факторов, значимых для обеспечения конфиденциальности информации, передающейся с помощью протоколов SS7 и Diameter, включая все особенности объекта защиты и направления нарушений ИБ, уязвимости используемых систем, высокую квалификацию злоумышленника и т.п.;

г) эшелонированность (многоуровневость) защиты и разнообразие защитных средств;

д) способность защитных мер к интеграции для наиболее эффективного выполнения требований частной политики безопасности и согласованность (скоординированное функционирование) применения различных защитных мер при построении целостной системы защиты сетей сигнализации SS7 и Diameter, отсутствие слабых мест при стыковке различных защитных мер, покрытие ими всех объектов обеспечения ИБ в случае наступления инцидента ИБ;

е) эффективность и непрерывность защиты, предполагающая целенаправленный непрерывный процесс принятия соответствующих мер на всех этапах жизненного цикла организации;

ж) своевременность, адекватность и пропорциональность защитных мер, определенных в частной политике безопасности, реальным угрозам и рискам ИБ;

з) гибкость управления и применения защитных мер, позволяющая варьировать уровень защищенности в зависимости от текущей ситуации и потребности организации в ИБ в данный период времени; гибкость также важна, когда установку средств защиты необходимо осуществлять на уже работающую систему, не нарушая процесса ее нормального функционирования;

и) простота и управляемость защитных средств (защитные средства должны быть интуитивно понятны и просты в использовании; только для простого защитного средства можно доказать его корректность; только в простой и управляемой системе можно проверить согласованность конфигурации различных компонентов и осуществить централизованное администрирование);

к) невозможность перехода защитных средств в небезопасное состояние, т.е. при любых обстоятельствах, в том числе нештатных, они либо полностью выполняют свои функции, либо полностью блокируют доступ к защищаемому активу;

л) наблюдаемость и контролируемость защитных мер (любые предлагаемые защитные меры должны быть устроены так, чтобы результат их применения был явно наблюдаем (прозрачен) и мог быть оценен подразделением организации, имеющим соответствующие полномочия);

м) обязательность контроля (мониторинга и аудита) защитных мер и соблюдения частной политики безопасности, позволяющего своевременно выявлять и пресекать попытки нарушения на основе используемых защитных мер при совершенствовании критериев и методов оценки их эффективности с учетом влияния защитных мер на бизнес-цели организации;

н) совершенствование защиты за счет периодической переоценки защитных мер и потребности в них;

о) разделение полномочий (обязанностей) — распределение ролей и ответственности, при котором ни один человек не имеет полномочий, позволяющих ему единолично осуществлять выполнение критичных операций, и не может нарушить критически важный для организации процесс или создать уязвимость в защите по заказу злоумышленников;

п) минимизация полномочий и привилегий, предписывающая выделять пользователям и администраторам систем и ИБ только те права доступа, которые необходимы им для выполнения служебных обязанностей;

р) рассмотрение как персональной (для каждого сотрудника в пределах его полномочий), так и групповой ответственности в случаях инцидентов ИБ, когда распределение прав и обязанностей сотрудников строится таким образом, чтобы в случае любого нарушения круг виновников был четко известен или сведен к минимуму;

с) обеспечение всеобщей поддержки защитных мер, предусматривающее комплекс мер, направленный на обеспечение лояльности персонала и его постоянное теоретическое и практическое обучение;

т) соблюдение этики и учет различных прав и законных интересов сотрудников организации, включая право на частную жизнь.

4.1.10 Частная политика безопасности только определяет, что должно быть защищено и какова ответственность в случае несоблюдения ее положений. Защитные меры определяют, как конкретно защитить активы организации. Они являются механизмами реализации частной политики безопасности на практике и представляют собой полный перечень всех рекомендаций и действий, которые должны предприниматься в определенных обстоятельствах и при определенных условиях. Защитные меры выбираются таким образом, чтобы устранить так называемую проблему одной точки провала (например, служащий внезапно уволился, а его функции по реализации частной политики безопасности никому не передали, или вышло из строя и не подлежит восстановлению какое-то средство защиты).

4.1.11 Частная политика безопасности должна содержать следующие разделы:

а) область действия;

б) объект защиты (описание защищаемого актива — сетей сигнализации SS7 и Diameter);

в) организационная структура;

г) стратегия защиты, включая следующие обязательные аспекты:

порядок аутентификации и авторизации пользователей — должны быть однозначно определены процедуры входа в систему, процедуры выдачи привилегий и разделения ролей между сотрудниками;

используемый метод и модель разграничения доступа к информации;

порядок и объемы мониторинга и аудита;

порядок и процедуры реагирования на инциденты ИБ;

обеспечение осведомленности сотрудников, периодичность и формы повышения квалификации сотрудников в области ИБ и защиты сетей сигнализации, формы контроля осведомленности и уровня их подготовки.

4.1.12 Выработка набора конкретных требований частной политики безопасности зависит от размера и целей организации [оператора связи], их принимающей. Они должны по возможности носить не рекомендательный, а обязательный характер. Ответственность за их нарушение должна быть четко определена.

4.1.13 Содержание частной политики безопасности «Защита сетей сигнализации SS7 и Diameter» определяет следующее:

цели и задачи информационной безопасности, на обеспечение которых направлена частная политика безопасности;

область действия, определение объектов защиты, уязвимостей, угроз ИБ и оценка рисков ИБ, связанных с объектами защиты;

сведения о виде деятельности, на которые направлено действие положений частной политики безопасности, совокупности ИТ-технологий, применяемых в рамках выполнения данного вида деятельности, и основных технологических процессов, реализующих указанные технологии;

определение субъектов (ролей), на которые распространяется действие политики (как структурных подразделений организации, так и отдельных исполнителей);

содержательную часть (требования и правила);

обязанности по ОИБ в рамках области действия частной политики безопасности, описание функций субъектов (ролей) над управляемыми объектами в рамках регламентируемых технологических процессов;

состав ссылочных документов (документы, ознакомление с которыми обязательно для адекватного понимания текста политики);

положения по контролю реализации политики;

ответственность за реализацию и поддержку политики;

условия пересмотра политики.

4.1.14 Жизненный цикл частной политики безопасности должен включать формализованные и четко определенные этапы (рисунок 4.1):

а) разработка;

б) внедрение;

в) применение;

г) аннулирование.

Рисунок 4.1 — Жизненный цикл частной политики безопасности

4.1.15 На этапе разработки должны быть осуществлены следующие мероприятия:

установлены границы и область действия частной политики безопасности;

выделены роли и ответственность, связанные с реализацией и внедрением частной политики безопасности;

назначена группа конкретных людей, которые будут участвовать во всех процессах создания частной политики безопасности;

выполнена оценка осуществимости реализации частной политики безопасности.

4.1.16 Созданная частная политика безопасности должна быть подвергнута независимой оценке (ревизии) отдельными лицами (группами лиц), предшествующей окончательному ее утверждению. Рассматриваются не только технические, но и юридические аспекты частной политики безопасности, поскольку политика имеет непосредственное отношение к практической деятельности организации и напрямую затрагивает работу ее персонала.

4.1.17 Для проведения оценки (ревизии) частной политики безопасности может быть назначена специальная комиссия, которая анализирует и оценивает ее жизнеспособность. Эта комиссия состоит из группы заинтересованных лиц, которые несут ответственность за то, что политика хорошо написана и понятна, полностью согласована и выполнима с точки зрения людей, процессов и технологий, которых она затрагивает.

4.1.18 При согласовании проводится оценка частной политики безопасности со стороны самого руководства организации.

4.1.19 Утверждение частной политики безопасности — процесс, представляющий собой простое одобрение руководством окончательной редакции документа. На бумажном документе ставится подпись соответствующего уполномоченного должностного лица организации, после чего частная политика безопасности готова к непосредственному использованию.

4.1.20 На этапе внедрения предварительным шагом является коммуникация, основная цель которой — распространение частной политики безопасности внутри организации и среди тех, на кого она распространяется (партнеров, клиентов и т.д.). При этом обязательно должны быть выполнены следующие мероприятия:

определены степень и метод начального распространения частной политики безопасности;

решены вопросы ее доставки в другие географические регионы, а также языковые проблемы;

предотвращено несанкционированное распространение;

установлена система надзора за распространением.

4.1.21 Для повышения эффективности перечисленных мероприятий должен быть разработан и реализован план, в котором в том числе должны быть сведения о выделенных ресурсах для коммуникации и документировано ознакомление сотрудников с частной политикой безопасности.

4.1.22 Соблюдение частной политики безопасности — непосредственное выполнении политики и всех ее требований на практике, для чего необходимо выполнить следующие мероприятия:

проводить работу с сотрудниками организации, разъясняющую, как им наилучшим образом исполнять частную политику безопасности в различных ситуациях и организационных моментах;

обеспечить понимание политики теми, от кого требуется ее реализация, контроль и поддержка;

осуществлять мониторинг, отслеживание и составление отчетности по темпам, масштабам и эффективности деятельности по осуществлению частной политики безопасности;

проводить информирование руководства о ходе осуществления частной политики безопасности.

4.1.23 Необходимо конкретизировать возможные исключения из частной политики безопасности. Основной задачей на этом шаге является разрешение ситуаций, когда исполнение частной политики безопасности невозможно либо частично, либо полностью. Из-за нехватки времени, персонала или других эксплуатационных требований не все требования частной политики безопасности могут быть выполнены так, как это первоначально предполагалось.

4.1.24 Исключения из политики, в полной мере не отвечающие ее требованиям, рассматриваются и согласуются с соответствующими лицами, вплоть до руководства организации.

4.1.25 Определяется процедура фиксации запросов в соответствующие службы на признание, отслеживание, оценку и одобрение/неодобрение исключений. После этого такие исключения документируются и контролируются на протяжении утвержденного срока признания исключения. Все наиболее часто повторяющиеся исключения из частной политики безопасности, а также временные отказы от выполнения требований из-за краткосрочных обстоятельств должны фиксироваться.

4.1.26 На этапе применения необходимо выполнить информирование всех сотрудников, которых касаются требования частной политики безопасности, проводить мониторинг соблюдения требований, правоприменение и сопровождение.

4.1.27 Информирование о частной политике безопасности включает в себя постоянную деятельность по ознакомлению сотрудников организации и всех заинтересованных лиц и лиц, на которых она распространяется, с содержанием политики ИБ с целью выполнения ими ее требований. При этом необходимо не просто довести содержание частной политики безопасности до сведения всех целевых групп, но и провести обучение и дать необходимые разъяснения сомневающимся, которые пытаются обойти новые правила под различными предлогами. Для этого определяются потребности в информировании различных целевых групп в рамках организации (исполнителей, руководителей, пользователей и т.д.); устанавливаются наиболее эффективные методы информирования для каждой группы (например, брифинги, обучение, рассылка сообщений и т.п.); разрабатываются и распространяются различные информационные материалы о необходимости соблюдения политики ИБ; измеряется уровень информированности сотрудников о политике ИБ (например, посредством тестирования) и по полученным результатам данная деятельность корректируется.

4.1.28 Мониторинг частной политики безопасности имеет целью непрерывный контроль соблюдения положений и требований и является обязательным для всех сотрудников организации. Информация для отслеживания и написания отчетов по эффективности соблюдения частной политики безопасности собирается из разных источников — наблюдений сотрудников и руководителей, отчетов с результатами различных плановых проверок (внешнего и внутреннего аудитов ИБ, различных оценок, анализов и т.п.) и постоянного мониторинга (в первую очередь на основе журналов регистрации событий, влияющих на информационную безопасность сети сигнализации), а также отчетов и действий при реагировании на инциденты информационной безопасности.

4.1.29 Мониторинг заключается в постоянной деятельности по контролю за соблюдением или несоблюдением частной политики безопасности с использованием формальных и неформальных методов и подготовке отчетов для соответствующих лиц с целью принятия определенных мер. Конкретные формы мониторинга должны определяться лицом, ответственным за внедрение и применение частной политики безопасности с учетом специфики сетей сигнализации SS7 и Diameter в организации.

4.1.30 Проведение систематически повторяемого (по заранее составленному графику) планового внешнего или внутреннего аудита ИБ должно стать основным методом контроля жизнеспособности частной политики безопасности, позволяющим оценить эффективность ее использования. Результаты аудита информационной безопасности могут служить основанием для пересмотра некоторых положений частной политики безопасности и внесения в нее необходимых корректировок.

4.1.31 Ответственность за осуществление деятельности по мониторингу должна быть распределена между всеми сотрудниками и руководителями организации, внутренними аудиторами, сотрудниками, отвечающими за информационную безопасность, и т.д.

4.1.32 Каждый сотрудник, на которого распространяются требования частной политики безопасности, должен помогать в проведении мониторинга, сообщать обо всех замеченных им отклонениях как в самой политике, так и защитных мерах, реализующих ее.

4.1.33 Правоприменение политики ИБ включает в себя ответную реакцию со стороны руководства на действия или бездействие, результатом которых стали нарушения частной политики безопасности. Это означает, что как только нарушение выявлено, определяются соответствующие корректирующие действия, которые применяются к нарушителям (в виде дисциплинарных мер), а также к процессам (их переработка) и технологиям (их обновление), пострадавшим от нарушений. В дальнейшем это предотвращает или затрудняет повторение подобных нарушений в будущем.

4.1.34 Должно быть обязательным включение информации о таких корректирующих действиях в информирование целевых групп.

4.1.35 Основная ответственность за осуществление данной деятельности возлагается на руководителей сотрудников, на которых распространяется частная политика безопасности.

4.1.36 Сопровождение частной политики безопасности означает обеспечение широкого применения и поддержания целостности политики ИБ. Он включает следующие действия:

отслеживаются основные побудительные мотивы и события для внесения изменений в нее (например, изменения в технологиях, процессах, людях, самой организации, направленности бизнеса и т.д.), которые могут влиять на частную политику безопасности;

вырабатываются рекомендации и согласуются коррективы, которые требуется внести в частную политику безопасности в соответствии с вышеперечисленными изменениями;

осуществляется документирование изменений в политику ИБ и регистрируется деятельность по ее корректировке.

4.1.37 Ответственность за сопровождение частной политики безопасности должна быть распределена между всеми сотрудниками, на кого она распространяются: от руководства организации до ответственных за информационную безопасность в подразделениях и рядовых сотрудников

4.1.38 Этап аннулирования частной политики безопасности является заключительной стадией ее жизненного цикла, а изъятие из обращения — последним его шагом.

4.1.39 Чтобы избежать путаницы, отслужившая свой срок «лишняя» частная политика безопасности удаляется из перечня действующих, архивируется для дальнейших ссылок на нее, а решение об отмене политики ИБ (включая обоснование, дату и т.д.) документируется.

4.1.40 Причинами аннулирования частной политики безопасности являются:

а) политика ИБ не в полной мере отвечает всем потребностям организации, не всегда охватываются все области, которые должны быть регламентированы сформулированными в политике требованиями, что было выявлено на этапах внедрения и применения. Например, вскрыты противоречия в требованиях и способах их выполнения, частная политика не была должным образом согласована при утверждении и т.д.;

б) организация больше не использует технологию, для которой разрабатывалась частная политика безопасности, или используемые технологии и организация бизнес-процессов существенно изменились, что приводит к необходимости корректировать существующие подходы к обеспечению информационной безопасности и отказаться от данной частной политики безопасности как таковой.

4.2 Нарушитель информационной безопасности

4.2.1 Для целей настоящего свода правил нарушителей классифицируют по уровню возможностей, предоставляемых им штатными средствами сети сигнализации SS7 или Diameter.

4.2.2 Учитывают 4 уровня возможностей, на каждом уровне нарушитель является специалистом высшей квалификации, знает все о сети сигнализации и, в частности, о средствах ее защиты:

1 уровень — возможность запуска программ из фиксированного набора, реализующих заранее предусмотренные функции по обработке информации;

2 уровень — возможность создания и запуска собственных программ с новыми функциями по обработке информации;

3 уровень — возможность управления функционированием сети сигнализации, т.е. воздействие на базовое программное обеспечение системы и на состав и конфигурацию ее оборудования;

4 уровень — весь объем возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств АС, вплоть до включения в состав СВТ собственных технических средств с новыми функциями по обработке информации.

4.2.3 Кроме того, рассматривают внешнего нарушителя, который действует из сети, являющейся внешней по отношению к тестируемой сигнальной сети, и осуществляет атаки, основанные на возможном прохождении запросов различных протоколов уровня приложений (MAP, CAP) в сеть оператора.

4.2.4 Для получения НСД к информации, содержащейся в протоколах SS7 и Diameter, нарушитель может использовать:

непосредственное обращение к объектам доступа;

создание программных и технических средств, выполняющих обращение к объектам доступа в обход средств защиты;

модификация средств защиты, позволяющая осуществить НСД (например, путем внедрения программных закладок);

внедрение в технические средства сети сигнализации программных или технических механизмов, нарушающих предполагаемую структуру и функции технических средств сети сигнализации и позволяющих осуществить НСД.

4.3 Общие требования к защите сетей сигнализации SS7 и Diameter

4.3.1 Для обеспечения защиты сети необходим комплексный подход к безопасности.

4.3.2 При организации защиты сетей сигнализации необходимо, чтобы все защитные меры по обеспечению информационной безопасности принимались в комплексе и включали в себя регулярный анализ защищенности сети, поддержание параметров безопасности в актуальном состоянии, постоянный мониторинг и анализ сигнального трафика, своевременное выявление нелегитимной активности и реагирование на возникающие угрозы на ранних стадиях.

4.3.3 При включении конкретных защитных мер в состав комплексной системы защиты сети сигнализации необходимо руководствоваться следующими принципами:

а) защита сетей сигнализации основывается на положениях и требованиях соответствующих законов, государственных стандартов и нормативно-методических документов и поддерживается действующей частной политикой безопасности;

б) защита сетей сигнализации должна обеспечиваться на всех технологических этапах обработки информации и во всех режимах функционирования, в том числе при проведении ремонтных и регламентных работ;

в) программно-технические средства защиты не должны существенно ухудшать основные функциональные характеристики сети сигнализации:

• надежность,
• быстродействие,
• возможность изменения конфигурации сети сигнализации;

г) необходимо выполнять оценку эффективности средств защиты, осуществляемую по методике, разрабатываемой в организации, соответствующей положениям частной политики безопасности и учитывающей всю совокупность технических характеристик оцениваемого объекта, включая технические решения и практическую реализацию средств защиты;

д) контроль эффективности средств защиты сетей сигнализации необходимо выполнять периодически в соответствии с требованиями действующей частной политики безопасности, либо инициироваться руководством в случаях изменения конфигурации сети сигнализации или в случае обнаружения инцидента информационной безопасности.

5 Определение состава оборудования, обеспечивающего защиту сетей сигнализации SS7 и Diameter, функциональных и технических требований к нему

5.1 Определение состава оборудования, обеспечивающего защиту сетей сигнализации SS7 и Diameter

5.1.1 Состав серверного, сетевого и иного вспомогательного оборудования, обеспечивающего защиту сетей сигнализации SS7 и Diameter, должен определяться исходя из возможности наиболее полного выполнения функций защиты в соответствии с требованиями частной политики безопасности и с учетом требований подпунктов «а» и «б» пункта 1 [3].

5.1.2 При определении состава оборудования необходимо учитывать специфику конкретной сети сигнализации, а также специфику применения и предполагаемых режимов работы: диапазоны рабочих температур, степень защиты IP, предполагаемые рабочие и критические нагрузки.

5.1.3 При выборе конкретных типов оборудования необходимо руководствоваться соображениями надежности оборудования и его ремонтопригодности, возможности быстрого восстановления всех функций защиты при аппаратурных отказах и программных сбоях.

5.2 Функциональные и технические требования к оборудованию, обеспечивающему защиту сетей сигнализации SS7 и Diameter

5.2.1 Доступ сотрудников к оборудованию, обеспечивающему защиту сетей сигнализации, должен быть реализован в соответствии с требованиями разграничения доступа частной политики безопасности, при этом должен быть реализован мандатный принцип контроля доступа на основе идентификации и аутентификации субъекта доступа.

5.2.2 В серверном оборудовании должна выполняться автоматическая очистка кеша и оперативной памяти при выходе из приложения или завершении процесса.

5.2.3 В серверном оборудовании должна быть обеспечена изоляция программных модулей, при этом уровни изоляции от уровня приложений до уровня конфигурации должны выбираться исходя из требований частной политики безопасности и особенностей конкретной сети сигнализации.

5.2.4 Должна быть обеспечена надежная защита ввода и вывода на отчуждаемые физические носители информации.

5.2.5 Должно поддерживаться сопоставление пользователя с устройством не только в момент обращения, но и в течение всего сеанса.

5.2.6 Все пользователи и процессы при работе с оборудованием, обеспечивающим защиту сетей сигнализации, должны быть обеспечены надежными идентификацией и аутентификацией, в том числе рекомендуется использование двухфакторной аутентификации.

5.2.7 Все оборудование, используемое для защиты сетей сигнализации, должно быть обеспечено гарантиями проектирования.

5.2.8 Все оборудование, обеспечивающее защиту сетей сигнализации, должно поддерживать единый протокол событий: регистрацию событий, имеющих отношение к информационной безопасности. Хранение протокола событий должно быть организовано только в защищенном виде, при этом должна быть исключена возможность корректировки протокольных записей: добавление или удаление отдельных записей, а также изменения отдельных записей (даты, время, статус события, пользовательские данные и проч.).

5.2.9 Взаимодействие пользователя с комплексом средств защиты (подразумевается четкое определение всех возможных интерфейсов).

5.2.10 Должно обеспечиваться надежное и оперативное восстановление функций защиты в случаях событий безопасности или инцидентов информационной безопасности, связанных с аппаратурными отказами или программными сбоями, потери электропитания и проч.

5.2.11 Должен быть обеспечен контроль любых модификаций оборудования.

5.2.12 Контроль дистрибуции (имеется в виду контроль точности копирования при изготовлении копий с образца носителя данных).

5.2.13 Гарантии архитектуры (означает, что реализованная модель безопасности обеспечивает гарантированный перехват монитором безопасности обращений всех попыток доступа в системе).

5.2.14 Должна обеспечиваться возможность тестирования оборудования на работоспособность и правильное выполнение всех обеспечиваемых функций защиты как в автоматическом режиме, так и по запросу.

5.2.15 Все оборудование, используемое для защиты сетей сигнализации, должно быть обеспечено комплектом документации:

конструкторская документация;

программная документация.

5.3 Требования по сертификации оборудования

Для защиты сетей сигнализации SS7 и Diameter допускается использовать только сертифицированные программные или аппаратно-программные компоненты, выполняющие функции защиты информации, а также специальные средства защиты информации:

МСЭ не ниже, чем по 3 классу защищенности (в соответствии с [4]);

СОВ не ниже, чем по 4 классу защиты (в соответствии с [5]);

СЗИ (программные части) не ниже, чем по 4 уровню отсутствия НДВ (в соответствии с [6]).

6 Определение мест размещения оборудования, обеспечивающего защиту сетей сигнализации SS7 и Diameter

6.1 Оборудование, обеспечивающее защиту сетей сигнализации SS7 и Diameter, относящееся к технической защите, должно размещаться в выделенной зоне безопасности в отдельных серверных стойках.

6.2 Изоляция зоны безопасности от иного оборудования сети оператора связи обеспечивается использованием в общей среде механизмов разграничения доступа на физическом и программном уровнях.

6.3 Должны выделяться отдельные серверы для реализации межсетевого экранирования, систем обнаружения вторжений, протоколирования и аудита событий информационной безопасности.

6.4 Размещение всех технических средств обеспечения безопасности сетей сигнализации SS7 и Diameter (серверное оборудование СЗИ, системы хранения данных, устройства и средства коммутации, устройства резервного копирования и носители резервных копий) должно производиться внутри отдельных серверных стоек (шкафов).

6.5 Размещение в стойках с оборудованием средств защиты сетей SS7 и Diameter оборудования, не имеющего отношения к защите сетей сигнализации, не допускается.

6.6 Серверные стойки (шкафы) должны оборудоваться запирающими устройствами и опечатываться методами, гарантирующими невозможность вскрытия стойки без нарушения целостности печати.

6.7 Коммуникации между стойками (шкафами) должны выполняться отдельным оптическим кабелем, прокладываемым в пределах серверных помещений, в которых расположены стойки. Расшивка кабеля должна проводиться на патч-панелях, размещенных внутри стоек.

6.8 Серверные помещения, в которых размещаются стойки (шкафы) с оборудованием, выполняющим функции защиты сетей сигнализации, должны оборудоваться средствами видеонаблюдения, обеспечивающими возможность проведения визуального контроля доступа персонала к каждой из стоек. Архивные записи системы видеонаблюдения должны быть доступны для просмотра за период не менее чем 30 дней. Режимы видеозаписи для архивирования (постоянная видеозапись, запись по событиям, количество кадров в секунду) определяются руководством исходя из требований частной политики безопасности.

6.9 Рабочие места, предназначенные для администрирования средств защиты информации в сетях сигнализации SS7 и Diameter и размещаемые в помещениях оператора связи, должны быть выделенными и предназначены только для администраторов информационной безопасности.

6.10 Системные блоки рабочих мест администраторов должны опечатываться методами, гарантирующими невозможность вскрытия блока без нарушения целостности печати.

6.11 Серверное оборудование, размещаемое по технологическим или иным причинам вне выделенной зоне безопасности, должно размещаться в местах, обеспечивающих невозможность непосредственного доступа к оборудованию посторонних лиц и сотрудников, не имеющих отношения к выполнению задач защиты сетей сигнализации SS7 и Diameter.

6.12 В помещениях оператора связи, а также на других объектах размещения серверных компонентов защиты сетей SS7 и Diameter должны быть реализованы и поддерживаться организационно режимные меры, обеспечивающие возможность пребывания и/или непосредственного доступа к техническим средствам только уполномоченных лиц или в сопровождении уполномоченных лиц.

6.13 Необходимо включать во внутренние инструкции, регламентирующие работу пользователей и администраторов, положения, запрещающие несанкционированное изменение конфигурации аппаратных средств защиты сетей сигнализации SS7 и Diameter.

6.14 Размещение устройств вывода информации, входящих в состав АРМ администратора безопасности, должно выполняться таким образом, чтобы была исключена возможность просмотра посторонними лицами текстовой и графической видовой информации, содержащей защищаемые данные.

6.15 При необходимости, оконные проемы помещений, в которых размещаются АРМ администратора безопасности, должны оборудоваться с помощью штор, жалюзи или иных методов, препятствующих удаленному просмотру информации.

6.16 Необходимость организации защиты отдельных компонентов оборудования защиты сетей сигнализации, размещаемых в помещениях оператора связи, от утечек за счет ПЭМИН устанавливается с учетом реализованных на объекте оператора связи организационно-технических мер: пропускного режима, контроля за действиями персонала, условий размещения выделенной зоны безопасности на объекте, наличия контролируемой территории, использования СЗИ от утечки по техническим каналам. При наличии оснований полагать их недостаточными (выявления уязвимостей) могут приниматься дополнительные меры.

7 Критерии оценки нормального и аномального функционирования сетей сигнализации SS7 и Diameter

7.1 В качестве показателя нормального/аномального функционирования сетей сигнализации SS7 и Diameter используется общий уровень актуальных угроз информационной безопасности в сети сигнализации. Критерием нормального функционирования считается непревышение текущего уровня актуальных угроз, минимально допустимого уровня актуальных угроз в сети. При этом сеть сигнализации рассматривается как единый информационный актив. Показатель нормального/аномального функционирования необходимо определять отдельно для угроз нарушения доступности и угроз нарушения конфиденциальности информации. Исходя из целей, определяемых в частной политике безопасности, может быть также рассмотрен показатель для угроз нарушения целостности информации, однако в большинстве случаев нарушению целостности данных в сетях сигнализации предшествуют нарушения конфиденциальности информации.

7.2 Для определения текущего уровня актуальных угроз необходимо выполнить следующие шаги:

а) выполнить идентификацию информационного актива — сети сигнализации SS7 (Diameter) для конкретной защищаемой системы. При этом вся информационная система оператора рассматривается как Объект обеспечения информационной безопасности, а сеть сигнализации SS7 или Diameter — как отдельный информационный актив, т.е. часть объекта, представляющая ценность для его владельца. В соответствии с рекомендациями ГОСТ Р ИСО/МЭК 27002 информационный актив должен быть идентифицирован и четко определен, а также должна составляться и поддерживаться опись актива. В опись актива следует включить всю информацию, необходимую для восстановления после инцидента информационной безопасности, в том числе тип актива, формат, местоположение, информацию о резервных копиях, информацию о лицензировании и ценности для бизнеса, при этом следует обеспечивать уверенность в том, что содержание описи выверено. В составе актива должны быть учтены:

информация — базы данных и файлы данных, данные, передаваемые по протоколам SS7 и Diameter, а также договоры и соглашения, системная документация, исследовательская информация, руководства пользователя, учебные материалы, процедуры эксплуатации или поддержки, меры по переходу на аварийный режим, контрольные записи и архивированная информация и проч.;

программные активы — системные программные средства, прикладные программные средства, средства разработки и служебные программные средства (утилиты);

физические активы — компьютерное (серверное) оборудование, сетевое оборудование, съемные носители информации, каналы передачи данных и другое оборудование;

услуги — вычислительные услуги и услуги связи, основные поддерживающие услуги (отопление, освещение, системы электропитания, кондиционирование воздуха и проч.);

персонал, допущенный к эксплуатации и ремонту сетей сигнализации SS7 и Diameter, его квалификация, навыки и опыт;

б) определить перечень актуальных угроз нарушения конфиденциальности и перечень актуальных угроз нарушения доступности информации в сети сигнализации SS7 или Diameter. Примерный перечень угроз информационной безопасности для сетей сигнализации приведен в приложении А. При определении перечня актуальных угроз необходимо учитывать то, что злоумышленник может действовать из сети, внешней по отношению к оператору, а также то, что нарушитель информационной безопасности может находиться внутри защищаемой сети, т.е. учитывать возможности внутреннего нарушителя. Актуальной следует считать угрозу, для которой существует хотя бы один сценарий ее реализации в данной конкретной сети сигнализации. Актуализацию угроз следует проводить с учетом требований частной политики безопасности, особенностей состава и конфигурации сети сигнализации, а также модели нарушителя информационной безопасности;

в) определить критичность для каждой актуальной угрозы методом экспертных оценок (приложение В);

г) для каждой актуальной угрозы информационной безопасности необходимо определить уязвимости сети сигнализации, через которые возможна реализация данной угрозы;

д) назначить численные значения вероятностей реализации учитываемых угроз через установленные уязвимости сети сигнализации и значения критичности учитываемых угроз, для чего использовать метод экспертных оценок. Рекомендуемая процедура экспертных оценок и рекомендации по формированию экспертной группы содержатся в приложении В;

е) определить для каждой актуальной угрозы ее текущий уровень в сети сигнализации (уровень i-й угрозы при ее реализации через j-ю уязвимость) по формуле:

Th_{ij} = \frac{P(V)_{ij} \cdot KR_{i}}{100} , (7.1)

где P(V)ij — вероятность реализации i-й угрозы через j-ю уязвимость;

KRi — критичность i-й угрозы;

ж) определить общий текущий уровень для i-й угрозы по всем известным уязвимостям сети сигнализации, через которые она может реализоваться, по формуле:

UUh_{i} = 1 - \prod_{j = 1}^{n} (1 - Th_{ij}) , (7.2)

где Thij — уровень i-й угрозы при ее реализации через j-ю уязвимость;

n — количество учтенных уязвимостей, через которые может реализоваться i-я угроза;

з) определить общий уровень актуальных угроз в сети сигнализации по формуле:

UUhR = 1 - \prod_{i = 1}^{m} (1 - UUh_{i}) , (7.3)

где UUhi — общий текущий уровень для i-й угрозы по всем учитываемым уязвимостям сети сигнализации, через которые она может реализоваться;

m — количество учтенных угроз информационной безопасности.

7.3 Результаты проведения оценки текущего уровня актуальных угроз конфиденциальности и доступности информации в сетях сигнализации SS7 и Diameter должны быть оформлены протоколом, утверждаемым высшим руководителем. В протокол включают следующие сведения:

дата и время проведения оценки;

лицо, ответственное за выполнение оценки текущего уровня актуальных угроз конфиденциальности и доступности информации в сетях сигнализации SS7 и Diameter;

состав экспертной группы, выполнявшей численную оценку вероятности и критичности учитываемых угроз информационной безопасности;

результаты промежуточных расчетов и окончательная оценка текущего уровня актуальных угроз конфиденциальности и доступности информации в сетях сигнализации SS7 и Diameter;

заявление о конфиденциальности информации, содержащейся в Протоколе на основании требований частной политики безопасности;

подписи всех участвовавших лиц.

7.4 Оценку текущего уровня актуальных угроз конфиденциальности и доступности информации в сетях сигнализации SS7 и Diameter необходимо выполнять:

периодически (в плановом порядке), периодичность определяется требованиями частной политикой безопасности;

в случае получения информации о появлении новых угроз или обнаружении ранее не известных уязвимостях сети сигнализации;

в случае выявления инцидента информационной безопасности сразу после его расследования;

внепланово, по решению владельца сети.

7.5 Все предыдущие и последующие протоколы оценки текущего уровня актуальных угроз конфиденциальности и доступности информации в сетях сигнализации SS7 и Diameter должны храниться в течение всего жизненного цикла сети сигнализации для возможности проведения анализа изменений в защищенности информации, содержащейся в сетях сигнализации, и декларирования достижения целей, заявленных в частной политике безопасности.

7.6 Далее необходимо определить минимально допустимый уровень угроз в сети UUhR_min. Минимально допустимые значения вероятностей реализации учитываемых угроз представлены в таблице 7.1.

Таблица 7.1

Параметры угроз

7.7 Посредством представленных выше расчетов и рекомендованных значений из таблицы вычисляется численное значение минимально допустимого уровня угроз в сети UUhRmin.

7.8 Критерием нормального функционирования сетей сигнализации SS7 и Diameter является выполнение неравенства:

UUhR <= UUhRmin. (7.4)

7.9 При этом аномальным должно быть признано функционирование сетей сигнализации SS7 и Diameter в случае, когда приведенное неравенство не выполняется.

7.10 В случае выявленного аномального функционирования сети сигнализации необходимо в систему защиты сети вводить дополнительные меры защиты или усиливать существующие.

8 Правила эксплуатации и технического обслуживания оборудования, обеспечивающего защиту сетей сигнализации SS7 и Diameter

8.1 К эксплуатации и техническому обслуживанию серверного оборудования, обеспечивающего защиту сетей сигнализации SS7 и Diameter, допускаются сотрудники, имеющие право доступа в выделенные зоны безопасности в соответствии с требованиями частной политики безопасности.

8.2 Состав работ по эксплуатации оборудования, обеспечивающего защиту сетей сигнализации, приведен в таблице 8.1.

Таблица 8.1

Состав работ по эксплуатации оборудования, обеспечивающего защиту сетей сигнализации

8.3 В случае если производитель не включил в эксплуатационную документацию требования по проведению необходимых регламентных работ с оборудованием, организация должна самостоятельно определить объемы и содержание таких работ исходя из условий эксплуатации оборудования, особенностей мест расположения и требований частной политики безопасности. Сведения о сроках и объемах выполненных регламентных работ с оборудованием должны заноситься в специальный журнал (приложение Б).

8.4 Состав регламентных работ на серверном и сетевом оборудовании, обеспечивающем защиту сетей сигнализации SS7 и Diameter, может включать очистку серверов от пыли, проверку и восстановление системы охлаждения и источников бесперебойного питания в целях снижения вероятности аппаратурных отказов вследствие перегрева и других проблем, связанных с физическим состоянием оборудования.

9 Нормативно-правовая защита

9.1 Общие положения

9.1.1 Нормативно-правовая база в области защиты сетей сигнализации SS7 и Diameter представляет совокупность нормативных актов в части, касающейся:

- нормообразующих документов Российской Федерации [7], [3];

- федеральных законов Российской Федерации и подзаконных актов, принятых в развитие требований федеральных законов [1], [2], [8], [9];

- национальных стандартов Российской Федерации: ГОСТ Р ИСО/МЭК 13335, ГОСТ Р ИСО 22301, ГОСТ Р ИСО/МЭК 27000, ГОСТ Р ИСО/МЭК 27001, ГОСТ Р ИСО/МЭК 27002, ГОСТ Р ИСО/МЭК 27003, ГОСТ Р ИСО/МЭК 27031, ГОСТ Р 51241, ГОСТ Р 51558, ГОСТ Р 52435, ГОСТ Р 53647.1, ГОСТ Р 53647.2, ГОСТ Р 53647.3, ГОСТ Р 54126;

- ведомственных нормативных документов ФСБ России, ФСТЭК России и Минцифры России.

9.1.2 Для конкретизации целей, задач, принципов и мер защиты сетей сигнализации SS7 и Diameter в организации должна быть разработана, утверждена и внедрена частная политика безопасности, а на ее основе и с учетом требований, содержащихся в частной политике безопасности, разработан комплект внутренних нормативных документов, регламентирующий отдельные аспекты защиты сетей сигнализации. Такой комплект является основой для реализации организационных мер защиты сетей сигнализации SS7 и Diameter.

9.1.3 В организации должны быть регламентированы следующие аспекты защиты сетей сигнализации:

а) управление рисками ИБ;

б) управление инцидентами ИБ;

в) управление контрольными мероприятиями в области защиты сетей сигнализации;

г) управление персоналом.

9.2 Управление рисками ИБ

9.2.1 Риск информационной безопасности измеряется исходя из комбинации вероятности события и его последствия. Последствия реализации угроз в сетях сигнализации SS7 и Diameter возможно оценить с точки зрения нанесения финансового ущерба только частично. Для объектов критической информационной инфраструктуры размеры ущерба определяются в соответствии с [1], поэтому понятие риска ИБ сведено в настоящем своде правил к уровню актуальных угроз в сети сигнализации SS7 и Diameter.

9.2.2 Последовательность действий при определении текущего уровня актуальных угроз в сети сигнализации и определении критерия нормального/аномального функционирования сети содержится в пункте 8 настоящего свода правил.

9.3 Внутренние процедуры и нормативные документы по управлению инцидентами ИБ

9.3.1 Если в сетях сигнализации SS7 и Diameter зафиксировано событие ИБ, то производится его анализ с целью считать или не считать его инцидентом ИБ (для этого должен быть разработан соответствующий список, утвержденный в организации). В большинстве случаев к инцидентам ИБ относятся такие события, в результате которых произошло нарушение конфиденциальности, доступности или целостности информации

9.3.2 В случае, когда событие ИБ не признано инцидентом ИБ, информация о нем заносится в базу данных.

9.3.3 В случае если имеются основания считать, что обнаруживаемые события ИБ могут являться частью инцидента или частью шагов, предпринимаемых злоумышленником для получения какого-то результата, несанкционированного частной политикой безопасности организации, то такие события ИБ должны анализироваться на наличие признаков инцидента ИБ:

есть ли факт нарушения свойств информации как объекта защиты;

имеется ли нарушитель (злоумышленник), внешний или внутренний.

9.3.4 В случае установления наличия инцидента ИБ дополнительно должно быть определено:

какие цели нарушитель мог преследовать (получение финансовой выгоды, нарушение или затруднение работы сети сигнализации, нарушение непрерывности бизнеса и т.д.);

какие методы и средства использовал нарушитель (физическая атака, внедрение скриптов или вредоносных программ, перехват трафика SS7 и Diameter и т.д.);

действия и объекты, на которые направлены эти действия;

последствия от инцидента ИБ.

9.3.5 В организации должны быть разработаны следующие регламенты управления инцидентами ИБ:

порядок обнаружения, оповещения и учета инцидентов ИБ в сетях сигнализации SS7 и Diameter;

инструкция по реагированию на инциденты ИБ, включая порядок применения необходимых средств для предотвращения и уменьшения последствий и/или восстановления после нанесенного ущерба;

инструкция по расследованию произошедших инцидентов ИБ в сетях сигнализации SS7 и Diameter;

план превентивных защитных мер и улучшения процесса управления инцидентами ИБ в сетях сигнализации SS7 и Diameter.

9.3.6 Содержание применяемых мер должно соответствовать требованиям ГОСТ Р ИСО/МЭК ТО 18044.

9.4 Внутренние процедуры и нормативные документы по управлению контрольными мероприятиями

9.4.1 Мероприятия по контролю безопасности сетей сигнализации имеют важное значение, потому что именно по результатам проверки, полученным в ходе проведения контроля, и их последующей оценке должны приниматься решения по тактическим или стратегическим изменениям в защите сетей сигнализации с учетом текущих потребностей, изменений в законодательной области и нормативной базе, а также влияния воздействия окружающей среды безопасности и других значимых факторов.

9.4.2 Целями и задачами контроля защиты сетей сигнализации являются:

установление адекватности реализованных в сетях защитных мер существующему текущему уровню актуальных угроз в сети сигнализации (или рискам ИБ);

выявление ошибок в текущей конфигурации сети сигнализации, позволяющих нарушителям обходить механизмы контроля доступа;

уточнение наличия уязвимостей в используемом программном обеспечении, которые могут быть использованы для НСД к информации в сети сигнализации;

проведение оценки уровня защищенности сети сигнализации и определения его достаточности в данной среде функционирования;

определение перечня защитных мер, которые позволят реально повысить существующий уровень защиты.

9.4.3 Полученные в ходе проведения контрольных мероприятий результаты и их анализ поможет организации сделать следующее:

определить и понять потенциальные проблемы в реализации и функционировании средств защиты сетей сигнализации;

определить и понять возможное влияние неустраненных уязвимостей;

расставить приоритеты в снижении рисков ИБ;

подтвердить, что ранее определенные или новые уязвимости адекватно устраняются;

обеспечить необходимые инвестиции в совершенствование СУИБ.

9.4.4 Этот контроль должен проводиться путем выполнения мониторинга и контроля используемых защитных мер (как непрерывные во времени, постоянно проводимые процессы).

9.4.5 Целями мониторинга защиты сетей сигнализации SS7 и Diameter являются:

а) контроль за реализацией положений частной политики безопасности для обнаружения отклонений от принятых требований;

б) контроль качества (результативности и эффективности) используемых защитных мер;

в) выявление нештатных, в том числе злоумышленных, действий в сети сигнализации;

г) выявление событий ИБ, часть из которых в дальнейшем может классифицироваться как инциденты ИБ;

д) выявление уязвимостей активов, которыми могут воспользоваться злоумышленники для реализации атак на сети сигнализации;

е) обеспечение доказательной базы на случай расследования инцидентов ИБ и компьютерных преступлений.

9.4.6 Процессы мониторинга безопасности сетей сигнализации SS7 и Diameter включают:

поиск, отслеживание, наблюдение, накопление, систематизацию, оценивание сведений, относящихся к защите сетей сигнализации SS7 и Diameter;

прогнозирование состояния и качества всех объектов и процессов в сетях сигнализации SS7 и Diameter.

9.4.7 В организации должно быть разработано и утверждено Положение о мониторинге защищенности сетей сигнализации SS7 и Diameter.

9.5 Внутренние процедуры и нормативные документы в области управления персоналом

9.5.1 Целью регламентации деятельности персонала в области защиты сетей сигнализации является снижение уровня угроз (рисков) нарушения конфиденциальности информации, передающейся по протоколам SS7 и Diameter в результате ошибок персонала, кражи, мошенничества и неправомерного использования технических средств сетей сигнализации.

9.5.2 Обязанности, связанные с информационной безопасностью сетей сигнализации, следует оговаривать на этапе приема на работу и включать в текст трудовых соглашений (контрактов). Для этого должен быть разработан типовой раздел в трудовом соглашении (контракте) для сотрудников, в обязанности которых включена работа на сетях сигнализации.

9.5.3 Права и обязанности сотрудников в отношении информационной безопасности сетей сигнализации, описанные в соответствии с частной политикой безопасности, должны быть внесены в должностные обязанности (должностные инструкции), включая:

сведения об общих обязанностях по реализации и поддержке частной политики безопасности;

конкретные обязанности по защите сетей сигнализации SS7 и Diameter;

обязанности по выполнению конкретных операций, связанных с безопасностью сетей сигнализации SS7 и Diameter.

9.5.4 Во время работы сотрудников необходимо следить за выполнением этих обязанностей.

9.5.5 При необходимости, в соответствии с частной политикой безопасности, эта ответственность за выполнение обязанностей сотрудником в части обеспечения безопасности сетей сигнализации должна распространяться и на определенный период по окончании срока работы. В договоре должны быть описаны меры, которые будут приняты в случае несоблюдения сотрудником требований к безопасности.

9.5.6 При приеме на работу необходимо внимательно отбирать кандидатов, особенно если речь идет о ключевых должностях.

9.5.7 При приеме на постоянную работу необходимо проводить проверку кандидатов. Эта проверка должна включать следующее:

наличие у кандидата удовлетворительных рекомендаций, например одной деловой и одной личной;

проверка резюме кандидата (на предмет полноты и точности);

подтверждение наличия заявленного профессионального образования;

независимая проверка личности (с помощью паспорта или заменяющего его документа).

9.5.8 Для сотрудников, непосредственно имеющих отношение к эксплуатации серверного или сетевого оборудования сетей сигнализации, каналов передачи данных по протоколам SS7 и Diameter, необходима проверка кредитной истории сотрудника.

9.5.9 Для сотрудников, работающих на руководящих должностях, такую проверку необходимо периодически повторять.

9.5.10 Все сотрудники и сторонние пользователи средств обработки информации сетей сигнализации SS7 и Diameter должны подписать соглашение о конфиденциальности (неразглашении). Соглашение о конфиденциальности следует просматривать заново при изменении условий контракта или найма, в частности, когда сотрудник собирается увольняться или когда срок действия контракта заканчивается.

9.5.11 Руководство должно утвердить методы контроля новых и неопытных сотрудников, имеющих право доступа к системам сигнализации. Работа всего персонала должна периодически подвергаться оценке и одобрению руководством соответствующих подразделений.

9.5.12 Руководители должны понимать, что на работу сотрудника могут влиять обстоятельства его личной жизни. Проблемы личного и финансового характера, изменения в поведении и стиле жизни, частые отлучки и признаки стресса или депрессии могут вести к мошенничеству, кражам, ошибкам и другим случаям нарушения безопасности сетей сигнализации.

9.5.13 Данную информацию следует использовать согласно законодательству, действующему в соответствующей юрисдикции.

9.5.14 В организации должен быть разработан план повышения квалификации сотрудников в области защиты сетей сигнализации. Целью, преследуемой постоянным повышением квалификации сотрудников в области защиты информации, является обеспечение гарантий, что сотрудники сведущи в вопросах информационной безопасности, в частности защиты сетей сигнализации, и имеют необходимые навыки для поддержки частной политики безопасности организации в ходе обычной работы, обучены процедурам, связанным с безопасностью, правильным методам работы с оборудованием и каналами передачи данных в сетях сигнализации.

9.5.15 В организации должны быть разработаны процедуры уведомления о различных типах инцидентов (уязвимостях, атаках и сбоях), которые могут повлиять на безопасность сетей сигнализации SS7 и Diameter, и все сотрудники должны быть с ними ознакомлены.

9.5.16 В их обязанности должна входить максимально быстрая передача информации о выявленных или подозреваемых инцидентах соответствующим определенным лицам. Пользователям следует сообщить, что они ни при каких условиях не должны пытаться убедиться в наличии подозреваемой уязвимости. Это поможет им самим доказать свою непричастность, поскольку проверка на наличие уязвимости может быть принята за попытку неправомерного использования системы.

9.5.17 В организации необходимо принять и формально утвердить систему дисциплинарных взысканий, применяемых к лицам, по вине которых произошло нарушение безопасности сетей сигнализации.

9.5.18 Подобные взыскания могут оказать сдерживающий эффект на сотрудников, которые в ином случае могли бы пренебречь процедурами, связанными с безопасностью.

9.5.19 Кроме того, наличие утвержденных взысканий поможет гарантировать справедливое обращение с сотрудниками, подозреваемыми в серьезном или неоднократном нарушении безопасности.

10 Физическая защита

10.1 Общие положения

10.1.1 Цель физической защиты сетей сигнализации SS7 и Diameter — исключение или значительное затруднение возможности внешнего и внутреннего нарушителя получить прямой доступ к элементам сети сигнализации — серверному, сетевому и другому оборудованию, а также к каналам передачи данных. Такой доступ нарушитель может использовать для:

нарушения доступности информации в сети сигнализации путем модификации или вывода из строя серверного и сетевого оборудования сетей сигнализации, нарушения каналов передачи данных в сети сигнализации;

нарушения конфиденциальности информации путем несанкционированного подключения к серверному или сетевому оборудованию, к каналам передачи данных с целью получения сетевого трафика протоколов SS7 или Diameter.

10.1.2 Физическая защита сетей сигнализации SS7 и Diameter должна обеспечиваться комплексным применением СКУД, системой охранной сигнализации (СОС), системой охранного телевидения (СОТ), запирающими, контролирующими и вспомогательными устройствами с обеспечением интеграции между подсистемами.

10.2 Требования к СКУД

10.2.1 Все серверное, сетевое и другое оборудование, отнесенное к информационному активу «сеть сигнализации SS7 и Diameter», должно размещаться в отдельном (отдельных) помещении (серверной), выделенном в отдельную зону доступа.

10.2.2 В отдельные зоны доступа также должны быть выделены:

коммутационные и распределительные шкафы сетей передачи данных сети сигнализации;

коммутационные шкафы системы электропитания оборудования сети сигнализации.

10.2.3 Такие зоны доступа могут быть организованы в составе общей централизованной СКУД организации, либо в отдельных случаях могут быть организованы как автономные зоны доступа, без передачи информации на центральное устройство управления и контроля со стороны оператора.

10.2.4 Выбор оборудования для реализации СКУД должен соответствовать требованиям раздела 5 настоящего свода правил.

10.2.5 Двери в помещениях должны быть устойчивыми к взлому и оборудованы электромагнитными управляемыми замками.

10.2.6 Назначаемые уровни доступа, типы идентификаторов, считывателей определяет руководство организации исходя из специфики организации сети сигнализации и требований частной политики безопасности.

10.2.7 При выборе типа идентификатора необходимо исключить легко копируемые типы идентификаторов (т.е. нарушитель имеет возможность получения копии идентификатора с действующим кодом).

10.2.8 СКУД выделенных зон доступа сетей сигнализации должна обеспечивать выполнение следующих требований безопасности:

исключение или существенное затруднение возможностей нарушителя для вскрытия, саботажа и манипулирования;

контроль двойного прохода;

контроль прохода «под принуждением»;

протоколирование событий, связанных с осуществлением доступа, при этом глубина архива определяется исходя из требований частной политики безопасности, но не может быть менее 14 суток;

сохранение функций контроля и управления доступом в выделенные зоны в течение 12 часов после пропадания электропитания основной сети электропитания;

иметь возможность интеграции с другими системами физической защиты.

10.3 Требования к СОС

10.3.1 Средствами охранной сигнализации должны быть оборудованы:

а) все помещения, в которых размещается оборудование сетей сигнализации SS7 и Diameter, при этом каждое помещение должно быть выделено в отдельную охранную зону в составе общей СОС;

б) все коммутационные и распределительные шкафы сетей сигнализации;

в) устройства, которые технологически невозможно разместить в отдельном помещении, должны быть оборудованы извещателями вскрытия корпуса, сигналы с которых также должны быть выделены в самостоятельные охранные зоны.

10.3.2 При оборудовании помещений и коммутационных и распределительных шкафов необходимо предусматривать два рубежа охраны:

1-й рубеж — двери и окна помещений должны контролироваться извещателями на открывание дверей (окон);

2-й рубеж — внутренний объем помещений (коммутационных шкафов) — извещатели контроля объема.

10.3.3 Извещатели, используемые в охранных зонах обеспечения физической защиты сетей сигнализации, должны быть не ниже 3-го класса по ГОСТ Р 52435-2015, конкретные типы извещателей определяются руководством организации.

10.3.4 Конструкцией корпуса технических средств охранной сигнализации (если корпус является разборным) должно быть предусмотрено встроенное устройство, обеспечивающее формирование извещения о тревоге или вскрытии при попытке несанкционированного доступа к органам управления, регулировки, клеммам подключения внешних электрических цепей и элементам фиксации технических средств охранной сигнализации.

10.3.5 Требования надежности, устойчивости к воздействию внешних факторов и требования безопасности должны соответствовать пунктам 5.11, 5.12, 5.16 ГОСТ Р 52435-2015.

10.3.6 СОС должна обеспечивать:

- протоколирование событий, связанных с осуществлением доступа в охраняемые помещения, при этом глубина архива определяется исходя из требований частной политики безопасности, но не может быть менее 14 суток;

- сохранение функций охраны в выделенных охранных зонах в течение 12 часов после пропадания электропитания основной сети электропитания;

- возможность интеграции с другими системами физической защиты.

10.4 Требования к СОТ

10.4.1 Система охранного телевидения в составе системы физической защиты сетей сигнализации SS7 и Diameter предназначена для верификации событий информационной безопасности и имеет следующие функциональные задачи:

- визуальный контроль выделенных зон размещения оборудования сетей сигнализации и участков прохождения каналов передачи данных сетей сигнализации;

- наблюдение за обстановкой в точках доступа персонала в выделенные зоны СКУД;

- приоритетное отображение тревожных событий;

- верификация (подтверждение истинности) тревожной ситуации;

- обнаружение и идентификация обнаруженных нарушителей;

• получение дополнительной информации о количестве нарушителей и возможном характере их действий;
• формирование звуковых/световых оповещений об обнаружении нарушителей в целях привлечения внимания сотрудников охраны к этому факту;
• функциональное участие в процедурах приема/сдачи под охрану помещений (выделенных охранных зон), в которых размещается оборудование сетей сигнализации;
• документирование и архивацию событий, критически важных для обеспечения безопасности сетей сигнализации.

10.4.2 При определении структуры СОТ и выборе конкретных типов технических средств СОТ — телевизионных камер, видеомониторов, источников электропитания, устройств коммутации и управления видеосигналов, устройств регистрации, обработки и хранения — необходимо руководствоваться требованиями раздела 4 настоящего свода правил, требованиями частной политики безопасности и рекомендациями раздела 5 ГОСТ Р 51558-2014.

10.4.3 Средства защиты информации СОТ должны обеспечивать защиту от всех видов угроз безопасности таких информационных объектов, как:

• журнал событий;

10.4.4 Уровень защиты информации в СОТ для защиты сетей сигнализации должен соответствовать III уровню защиты по пункту 5.5.3 ГОСТ Р 51558-2014. Дополнительно к требованиям, предъявляемым к указанному уровню защиты, должны быть предусмотрены:

• несколько уровней доступа пользователей к функциям СОТ (пользователь, системный администратор, обслуживающий персонал или изготовитель, имеющий доступ к функциям, изменяющим конструкции системы или для выполнения технического обслуживания системы);
• применение методов для предотвращения несанкционированного просмотра защищаемой информации и других данных без разрешения, например кодирование или шифрование;
• защита конфиденциальности скопированных и экспортируемых данных, а также подтверждения их подлинности.

10.4.5 Требования к совместимости, надежности и устойчивости к внешним факторам должны соответствовать пунктам 5.6, 5.7 и 5.8 ГОСТ Р 51558-2014.

10.4.6 СОТ в зависимости от группы по функциональным характеристикам должна иметь резервное электропитание при пропадании напряжения основного источника питания. В качестве резервного источника электропитания может использоваться резервная сеть переменного тока или источники электропитания постоянного тока.

10.4.7 Резервный источник электропитания должен обеспечивать выполнение основных функций СОТ при пропадании напряжения в сети на время не менее 0,5 ч при условии устранения неисправности основного электропитания в течение этого времени.

10.4.8 Технические характеристики видеокамер — разрешающая способность, рабочий диапазон освещенностей, чувствительность, соотношение сигнал/шум, угол зрения по горизонтали и вертикали должны обеспечивать уверенное выполнение СОТ заявленных функциональных задач.

10.4.9 При выборе мест размещения видеокамер и определении углов обзора и фокусных расстояний необходимо руководствоваться следующими требованиями:

• места размещения видеокамер необходимо выбирать так, чтобы исключить возможность прямого контакта нарушителя с корпусом видеокамеры или объективом без применения подручных средств;
• поле зрения видеокамеры должно обеспечивать уверенную возможность обнаружения и идентификации обнаруженных нарушителей, а также получение дополнительной информации о количестве нарушителей и возможном характере их действий в условиях штатного освещения;
• объектами видеоконтроля являются точки доступа СКУД; места вероятного контакта нарушителя с кабельными каналами передачи данных; сетевое оборудование, расположенное вне выделенных зон контроля доступа;
• в условиях отсутствия освещения (освещенности менее 15 лк) видеокамеры должны быть оснащены ИК-прожекторами, требования к которым должны соответствовать пункту 5.3.6 ГОСТ Р 51558-2014.

10.4.10 На объекте должны иметься средства для оперативного восстановления работоспособности СОТ в случаях события или инцидента информационной безопасности, связанного с нарушением функционирования СОТ в результате аппаратурного отказа или программного сбоя.

10.5 Требования к вспомогательным средствам системы физической защиты сетей сигнализации SS7 и Diameter

10.5.1 Вспомогательные средства физической защиты включают средства оповещения о событиях безопасности, связанных с функционированием систем физической защиты, и отображения этой информации для привлечения внимания служб охраны и администратора безопасности:

• различные световые, звуковые и светозвуковые оповещатели;
• консоли — пластина или короб с определенной информацией, который крепится при помощи специальных кронштейнов к стене или потолку.

10.5.2 При выборе конкретных типов вспомогательного оборудования необходимо руководствоваться требованиями пунктов 6.2 — 6.7 ГОСТ Р 54126-2010.

10.6 Требования к интеграции систем физической защиты

10.6.1 Интеграция СКУД, СОС и СОТ в единый комплекс физической защиты выполняется для достижения следующих целей:

• повышение возможностей интегрируемых подсистем;

- появление новых возможностей системы физической защиты в результате интеграции;

• управление всей системой физической защиты из одного управляющего центра (при сохранении автономности подсистем — дублирование системы управления);
• объединение протоколов событий подсистем для общего аудита системы физической защиты;
• общее повышение эффективности системы физической защиты.

10.6.2 Интеграция может быть выполнена одним из следующих способов:

а) на физическом уровне — релейные выходы какой-либо из подсистем (например, СКУД или СОС), связываются со входами другой подсистемы (например, СОТ);

б) на программном уровне — обеспечивает возможность управления подсистемами ИСБ с помощью команд с компьютерного терминала, используя какой-либо коммуникационный протокол (например, RS-232 или RS-485), при этом позволяет использовать в одной системе оборудование не только разного назначения, но и различных производителей и достигать повышенную гибкость при конфигурировании конкретной ИСБ;

в) смешанного типа — характерно применение в менее значимых местах аппаратной интеграции; для подсистем, требующих глубокого уровня взаимодействия, — интеграция на уровне протокола и работа с подсистемами сторонних производителей с использованием программной интеграции.

10.6.3 Выбор и реализация конкретного способа интеграции систем физической защиты определяется в соответствии с возможностями оператора связи и требований частной политики безопасности.

11 Техническая защита

11.1 Для обеспечения защиты сетей сигнализации необходимо регулярно проводить анализ защищенности мобильной сети с целью выявления уязвимостей, оценки текущего уровня защищенности и потенциальных рисков, выработки защитных мер и проверки их эффективности.

11.2 Необходимо поддерживать параметры безопасности (настройки межсетевых экранов, настройки алгоритмов систем обнаружения вторжений и т.д.) в актуальном состоянии и проводить анализ защищенности при любых изменениях в сети, например при изменении конфигурации, внедрении нового оборудования или модернизации имеющегося оборудования.

11.3 Для оперативного отслеживания изменений конфигурации сети сигнализации, параметров настройки сетевого оборудования рекомендуется внедрять систему управления конфигурацией сетей сигнализации, включающую как организационные, так и программно-аппаратные компоненты.

11.4 Необходим постоянный мониторинг и анализ сигнальных сообщений, пересекающих границы сети, для своевременного выявления нелегитимной активности и реагирования на возникающие угрозы безопасности на самой ранней стадии. К такого рода сообщениям должна применяться 3-я категория фильтрации. Для решения этой задачи должны использоваться СОВ уровня сети. Для защиты от внутрисетевых атак должны использоваться СОВ уровня хоста.

11.5 Анализ сигнального трафика необходимо проводить в режиме реального времени, а в случае обнаружения признаков подозрительной активности (например, несоответствия поступающих сообщений матрице перемещений абонента — его последнему зафиксированному местоположению и времени, прошедшему с момента последнего обновления местоположения) — проводить блокировку нежелательных сообщений, при этом необходимо исключать риски нарушения доступности абонентов. Особое внимание необходимо уделять контролю сетевого трафика на границе сетей с международными и национальными операторами.

11.6 Для повышения эффективности фильтрации сигнальных сообщений протоколов SS7 и Diameter и для повышения надежности работы СОВ необходимо интегрировать эти средства защиты информации в единый комплекс, обеспечивая возможность автоматического изменения параметров настройки МСЭ по данным, полученными от СОВ.

11.7 Для защиты сетей сигнализации SS7 и Diameter рекомендуется использование МСЭ экспертного уровня. Настройки параметров фильтрации трафика должны включать анализ заголовков пакетов и контента сообщений. Рекомендуется использовать все возможности МСЭ экспертного уровня, применяя комплексирование и комбинирование различных параметров фильтрации.

11.8 Для реализации подотчетности системы обеспечения информационной безопасности все события, отнесенные к работе технических средств защиты информации в сигнальных сетях, должны протоколироваться и храниться в защищенном протоколе событий. Для оперативного выявления и предотвращения нарушений режима информационной безопасности, выявления признаков инцидентов ИБ должен осуществляться анализ протоколируемой информации (аудит протокола событий ИБ) как периодически — администратором информационной безопасности, так и по событиям — автоматизированный аудит. Для реализации последнего должен быть определен перечень событий, при наступлении которых необходимо немедленное реагирование. Информация о наступлении таких событий должна выводиться на отдельную консоль и сопровождаться звуковым оповещением для привлечения внимания администратора безопасности.

11.9 Объем информации о событиях информационной безопасности, помещаемых в протокол, определяется исходя из требований частной политики безопасности, при этом он должен быть достаточным для восстановления, просмотра и анализа последовательности действий с целью контроля конечного результата.

11.10 Должна быть обеспечена защита системных журналов от несанкционированного доступа и несанкционированной модификации таким образом, чтобы ни один пользователь (включая администраторов) не мог произвольным образом модифицировать записи системных журналов.

11.11 Глубина архива протокольных записей определяется в соответствии с требованиями частной политики безопасности, но не может быть менее 30 суток.

11.12 Для сбора, анализа, хранения и отображения информации о событиях информационной безопасности в сетях сигнализации рекомендуется использование комплексных систем, реализующих SIEM-технологии, а также внедрение систем анализа угроз (TIP).

11.13 В целях обеспечения непрерывности защиты сетей сигнализации и снижения вероятности реализации угроз нарушения конфиденциальности и доступности информации все оборудование межсетевого экранирования и СОВ должно резервироваться.

11.14 В МСЭ должно быть предусмотрено аварийное переключение между основным и дублирующим устройством, соединенными специальной линией (канал аварийного переключения) и линией передачи состояния для минимизации потерь трафика в момент аварийного переключения и сохранения настроек фильтрации основного устройства.

12 Криптографическая защита

12.1 Средства криптографической защиты должны использоваться при осуществлении обмена информацией в сетях SS7 и Diameter оператора связи удаленного административного доступа к компонентам сети сигнализации с использованием открытых каналов связи, а также при внутрисетевом обмене сигнальными сообщениями.

12.2 Защита удаленного доступа и сетевого информационного взаимодействия осуществляется с использованием технологий VPN.

12.3 Соединения с использованием протоколов SS7 должны проводиться в режиме аутентификации сервера. Цифровой сертификат сервера должен иметь возможность проверки с использованием внешнего доверенного центра сертификации.

12.4 Рекомендуется использование цифровых сертификатов для организации защищенных VPN туннелей и виртуальных частных сетей VPN.

12.5 Срок действия сертификатов или общих ключей, используемых для создания VPN соединений, не должен превышать 1 года.

12.6 Способ хранения криптографических ключей определяется руководителем исходя из требований частной политики безопасности.

12.7 Криптографическая защита информации должна осуществляться с использованием криптоалгоритма (ГОСТ 34.12, ГОСТ 34.13).

12.8 Установка и ввод в эксплуатацию, а также эксплуатация средств криптографической защиты информации должны осуществляться в соответствии с эксплуатационной и технической документацией к этим средствам, а также требованиями нормативных документов ФСБ России.

Приложение А (справочное)

ПРИМЕРНЫЙ ПЕРЕЧЕНЬ УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ДЛЯ СЕТЕЙ СИГНАЛИЗАЦИИ SS7 И DIAMETER

Примерный перечень угроз информационной безопасности для сетей сигнализации SS7 и Diameter приведен в таблицах А.1 и А.2 соответственно.

Таблица А.1

Примерный перечень угроз информационной безопасности для сети сигнализации SS7

Таблица А.2

Примерный перечень угроз информационной безопасности для сети сигнализации Diameter

Приложение В (справочное)

РЕКОМЕНДАЦИИ ПО ФОРМИРОВАНИЮ ЭКСПЕРТНОЙ ГРУППЫ И ПРОВЕДЕНИЮ ЭКСПЕРТНОЙ ОЦЕНКИ ПРИ ОЦЕНКЕ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ

Качественное формирование экспертной группы способствует снижению субъективных факторов при оценке угроз безопасности информации. Занижение (ослабление) экспертами прогнозов и предположений при оценке угроз может повлечь наступление непрогнозируемого (неожиданного) ущерба в результате их реализации. Завышение экспертами прогнозов и предположений при моделировании угроз безопасности информации может повлечь за собой неоправданные расходы на нейтрализацию (блокирование) угроз, являющихся неактуальными.

Независимо от результата формирования экспертной группы при оценке угроз безопасности информации существуют субъективные факторы, связанные с психологией принятия решений. Это также может приводить как к занижению (ослаблению), так и к завышению (усилению) экспертами прогнозов и предположений при оценке угроз безопасности информации, что в свою очередь может привести к пропуску отдельных угроз безопасности информации или к неоправданным затратам на нейтрализацию неактуальных угроз.

Любое решение, принимаемое экспертами при оценке угроз безопасности информации, должно исходить из правил, при которых нарушитель находится в наилучших условиях для реализации угрозы безопасности (принципа «гарантированности»).

В.1 Формирование экспертной группы

В состав экспертной группы для оценки угроз безопасности информации рекомендуется включать экспертов (независимо от того, реализуются ли функции обладателя информации, заказчика и оператора в рамках одной или нескольких организаций):

• от подразделения по защите информации (обеспечения информационной безопасности);
• подразделения, ответственного за цифровую трансформацию (ИТ-специалистов);
• подразделения, ответственного за эксплуатацию сетей связи;
• подразделения, ответственного за эксплуатацию автоматизированных систем управления;

- подразделений обладателя информации или оператора, ответственного за выполнение основных (критических) процессов (бизнес-процессов).

Состав экспертов по решению обладателя информации или оператора может быть дополнен или уточнен с учетом особенностей области деятельности, в которой функционируют системы и сети. В частности, для оценки угроз безопасности информации, реализация которых может привести к финансовым рискам, рекомендуется привлекать дополнительно специалистов экономических (финансовых) подразделений обладателя информации или оператора.

Для организации работы экспертной группы рекомендуется определять специалиста по защите информации (обеспечению информационной безопасности), имеющего стаж работ не менее трех лет и практический опыт оценки информационных рисков. В экспертную группу для оценки угроз безопасности информации рекомендуется включать специалистов, имеющих опыт работы не менее трех лет по соответствующему направлению деятельности, в котором проводится оценка угроз безопасности информации.

Эксперты должны обладать независимостью, основанной на отсутствии коммерческого и финансового интереса или другого давления, которое может оказать влияние на принимаемые решения. Не рекомендуется формировать экспертную группу из участников, находящихся в прямом подчинении, так как это может негативным образом повлиять на результат определения угроз безопасности информации.

В состав экспертной группы должны входить не менее пяти экспертов.

В.2 Проведение экспертной оценки

При проведении экспертной оценки принимаются меры, направленные на снижение уровня субъективности и неопределенности при определении каждой из угроз безопасности информации.

Экспертную оценку рекомендуется проводить в отношении следующих параметров:

а) критичности угрозы (негативного последствия от реализации угроз безопасности информации);

б) вероятности реализации угрозы безопасности информации через известную уязвимость.

Кроме того, экспертная группа может быть использована для выявления и оценки сценариев действий нарушителей при реализации угроз безопасности информации.

Оценку параметров рекомендуется проводить опросным методом с составлением анкеты, в которой указываются вопросы и возможные варианты ответа в единой принятой шкале измерений (наиболее целесообразно использование 100-процентной шкалы условных единиц). При этом вопросы должны быть четкими и однозначно трактуемыми, предполагать однозначные ответы.

Опрос экспертов включает следующие этапы:

- каждый эксперт проводит оценку оцениваемого параметра, результаты которой заносятся в таблицу;

- определяется среднее значение оцениваемого параметра в каждом раунде;

- определяется согласованность мнения экспертов;

- в случае если согласованность мнений экспертов достигнута, полученное среднее значение оцениваемого параметра считается итоговым значением оцениваемого параметра.

Для оценки согласованности мнений экспертов необходимо определить коэффициент вариации по формуле:

K_{\text{вар}} = \frac{1}{X_{\text{ср}}} \sqrt{\frac{\sum_{i = 1}^{m} (X_{i} - X_{\text{ср}})^{2}}{m - 1}} , (В.1)

где m — количество экспертов, участвующих в экспертной оценке;

Xi — значение оценки i-го эксперта;

Xср — полученное среднее значение X_{\text{ср}} = \frac{1}{m} \sum_{i = 1}^{m} X_{i} .

Если коэффициент вариации Kвар, определенный для конкретного раунда оценки, не превышает значение 0,25, оценка считается согласованной.

В случае если оценка признана несогласованной (т.е. значение Kвар превышает 0,25), полученное среднее значение оцениваемого параметра не может быть признано достоверным.

Для повышения согласованности мнений экспертов необходимо применить одно из двух возможных действий:

а) выполнить процедуру типа «Делфи»;

б) изменить состав экспертной группы.

Процедура типа «Делфи» заключается в ознакомлении экспертов с результатами предшествующего тура опроса и повторном проведении опроса (например, на следующий день). Способ ознакомления экспертов с результатами предшествующего тура опроса определяется лицом, проводящим экспертную оценку. Рекомендуется при ознакомлении не называть имена экспертов, а использовать присвоенные им обезличенные номера. Процедуру нецелесообразно проводить более чем в две итерации. Если в результате согласованность мнений экспертов все же не достигнута, то необходимо изменить состав экспертной группы.

Примеры результатов оценки экспертами параметров критичности угроз и вероятности реализации угроз через известные уязвимости актива приведены в таблицах В.1 и В.2.

Таблица В.1

Оценка критичности угроз информационной безопасности

Таблица В.2

Оценка вероятности реализации угроз информационной безопасности

БИБЛИОГРАФИЯ