Режимы безопасности

Приказом ФСТЭК России № 117 от 11 апреля 2025 года установлены три класса защищённости информационных систем (К1, К2 и К3), которые определяются в зависимости от уровня значимости обрабатываемой информации и масштаба системы^[4].^[5] Требования документа распространяются на муниципальные информационные системы, государственные унитарные предприятия, а также на подрядчиков, участвующих в жизненном цикле систем^[6].^[7] Кроме того, приказом введено использование количественных показателей оценки:

• показатель защищённости (Кзи), который оценивается не реже одного раза в 6 месяцев^[8];^[7]
• показатель уровня зрелости (Пзи), оцениваемый не реже одного раза в 2 года^[9].^[8]

Реализация процессного подхода к обеспечению информационной безопасности строится на основе цикла Деминга — Шухарта (PDCA)^[10]. Управление режимом безопасности представляет собой непрерывную деятельность, состоящую из четырёх ключевых этапов:

• планирование (Plan) — разработка и планирование мероприятий по защите информации;
• реализация (Do) — проведение запланированных мероприятий и практическое принятие мер;
• проверка (Check) — мониторинг, оценка состояния защиты и проверка эффективности реализованных мер;
• совершенствование (Act) — внедрение улучшений и устранение недостатков^[10].

Согласно методическому документу ФСТЭК России от 12 апреля 2026 года, в рамках защиты информации выделяются 19 организационных мероприятий и 17 групп технических мер^[11].^[12]

В защищённых операционных системах (на примере Astra Linux) для обеспечения выделенного режима безопасности и изоляции ресурсов применяются следующие технологии:

• Мандатное управление доступом (MAC) — обеспечивает защиту от утечки конфиденциальных данных и строгое разграничение доступа к информации на основе меток конфиденциальности^[13].^[14].
• Мандатный контроль целостности (МКЦ) — защищает ядро и высокоцелостные системные компоненты от модификации вредоносным программным обеспечением, а также ограничивает возможности скомпрометированного суперпользователя с низкой меткой целостности^[15].^[14].
• Адаптированная контейнерная виртуализация — применяется совместно с МКЦ для изоляции недоверенного программного обеспечения в «песочницах» на пониженном уровне целостности, что предотвращает заражение или компрометацию остальной системы^[14]..
• Изоляция адресного пространства (страничная защита памяти) — защищает память ядра от прямого несанкционированного доступа со стороны пользовательских процессов (взаимодействие допускается только через системные вызовы) и изолирует процессы друг от друга^[13]..
• Изолированные сессии — создают полностью изолированную среду для обработки критичных данных с уникальной мандатной меткой, исключающей несанкционированный доступ между сессиями по умолчанию^[16]..
• Замкнутая программная среда (ЗПС) — обеспечивает защиту от выполнения произвольного кода и загрузки библиотек без корректной электронной цифровой подписи^[14]..

Согласно Приказу ФСТЭК № 117, специфические требования для облачных инфраструктур определены в группе мер «Защита виртуализации и облачных вычислений»^[17]. К ним относятся следующие меры защиты:

• доверенная загрузка компонентов виртуализации (хостовой ОС и средств виртуализации), а также предотвращение несанкционированного запуска виртуальных машин^[17];
• контроль целостности среды виртуализации^[17];
• управление доступом, включая управление учётными записями и контроль привилегированных пользователей^[17];
• резервное копирование образов виртуальных машин и параметров настройки средств виртуализации^[17];
• ограничение программной среды (контроль состава разрешённого программного обеспечения)^[17];
• защита памяти в среде виртуализации (изоляция областей памяти различных виртуальных машин и очистка остаточной информации)^[17];
• идентификация и аутентификация разработчиков и администраторов в среде виртуализации^[17];
• управление виртуальными машинами (контроль процесса их перемещения)^[17].

Для защиты от атак на цепочки поставок (Supply Chain) применяется комплексный подход, включающий обязательный аудит поставщиков, ведение спецификаций SBOM (Software Bill of Materials) для инвентаризации компонентов, внедрение практик DevSecOps и использование модели «нулевого доверия» (Zero Trust)^[18].^[19]

В условиях гибридного режима работы и использования устройств интернета вещей (IoT) применяются дополнительные меры безопасности. Для защиты IoT-устройств осуществляется сегментация сети с их выделением в отдельные VLAN. Безопасность при использовании личных устройств обеспечивается применением EDR-решений. Кроме того, для противодействия новым методам социальной инженерии проводится регулярное обучение сотрудников распознаванию современных фишинговых атак^[20].