РС БР ИББС-2.8-2015

     

РЕКОМЕНДАЦИИ В ОБЛАСТИ СТАНДАРТИЗАЦИИ БАНКА РОССИИ

РС БР ИББС-2.8-2015

ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ОРГАНИЗАЦИЙ БАНКОВСКОЙ СИСТЕМЫ РОССИЙСКОЙ ФЕДЕРАЦИИ

ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПРИ ИСПОЛЬЗОВАНИИ ТЕХНОЛОГИИ ВИРТУАЛИЗАЦИИ

     

Дата введения: 2015-05-01

Предисловие

ВВЕДЕНЫ в действие приказом Банка России от 19 февраля 2015 года N ОД-393.

Настоящие рекомендации в области стандартизации не могут быть полностью или частично воспроизведены, тиражированы и распространены в качестве официального издания без разрешения Банка России.

Введение

В соответствии с действующим стандартом Банка России "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения" (далее - СТО БР ИББС-1.0) условием реализации деятельности организаций банковской системы (БС) Российской Федерации (РФ) является обеспечение необходимого и достаточного уровня информационной безопасности вне зависимости от применяемых информационных технологий.

Настоящий документ устанавливает рекомендации по обеспечению информационной безопасности при использовании технологии виртуализации, расширяющие и уточняющие базовый набор требований к системе информационной безопасности организаций БС РФ, определенный положениями подразделов 7.2 - 7.11 СТО БР ИББС-1.0.

1. Область применения

Настоящий документ распространяется на организации БС РФ, использующие технологию виртуализации в рамках реализации банковских технологических процессов.

Настоящий документ рекомендован для применения путем использования установленных в нем положений, а также путем включения ссылок на них и (или) их прямого использования во внутренних документах организации БС РФ.

Настоящий документ применяется организациями БС РФ на добровольной основе. В конкретной организации БС РФ для обеспечения ИБ при использовании технологии виртуализации могут применяться иные подходы, отражающие специфику и сложившуюся практику организации БС РФ.

2. Нормативные ссылки

В настоящих рекомендациях в области стандартизации Банка России использованы нормативные ссылки на СТО БР ИББС-1.0.

3. Термины и определения

В настоящих рекомендациях применяются термины в соответствии со СТО БР ИББС-1.0, а также следующие термины с соответствующими определениями:

3.1. Технология виртуализации - информационная технология, позволяющая с использованием аппаратно-программных средств эмулировать на одном физическом средстве вычислительной техники (хост-сервере) функционирование нескольких средств вычислительной техники, включая их программное обеспечение (ПО).

3.2. Техническое средство - аппаратное, программное или аппаратно-программное средство.

3.3. Средство виртуализации (гипервизор) - программное средство, используемое для реализации технологии виртуализации, которое обеспечивает эмуляцию на одном физическом средстве вычислительной техники (хост-сервере) нескольких виртуальных машин.

3.4. Виртуальная машина - средство вычислительной техники, функционирование которого осуществляется с использованием гипервизора, способное выполнять собственную операционную систему (ОС), системное и иное ПО.

3.5. Серверные компоненты виртуализации - совокупность гипервизора, технических средств, необходимых для функционирования гипервизора, технических средств, предназначенных для управления и администрирования гипервизора, ПО, предназначенного для предоставления доступа к виртуальным машинам с АРМ пользователей (брокер соединений).

3.6. Образ виртуальной машины - набор файлов, представляющий собой настройки виртуальной машины, системное, прикладное и иное ПО виртуальной машины и данных, обрабатываемый с использованием указанного ПО.

3.7. Базовый образ виртуальной машины - образ виртуальной машины, используемый в качестве первоначального образа при запуске (загрузке) виртуальной машины.

3.8. Информационный обмен между виртуальными машинами - межпроцессорное взаимодействие, а также сетевые информационные потоки между виртуальными машинами, в том числе реализуемые средствами гипервизора в оперативной разделяемой памяти хост-сервера.

3.9. Текущий образ виртуальной машины - образ виртуальной машины в определенный (текущий) момент времени ее функционирования.

3.10. Контур безопасности - совокупность аппаратно-программных средств и информационных ресурсов, для которых в организации БС РФ установлен единый набор требований к обеспечению информационной безопасности.

Примечание: в организации БС РФ в числе прочих рекомендуется выделять:

- контур безопасности, в который включаются аппаратно-программные средства и информационные ресурсы, используемые для выполнения банковского платежного технологического процесса (далее - контур безопасности ПТП);

- контуры безопасности, в которые включаются аппаратно-программные средства и информационные ресурсы, используемые для выполнения банковских информационных технологических процессов разной степени критичности, в том числе банковского информационного технологического процесса, в рамках которого осуществляется обработка персональных данных в информационных системах персональных данных (далее - контур безопасности ИСПДн).

3.11. Система хранения данных - совокупность технических средств, предназначенных для хранения данных, используемых при реализации технологии виртуализации, в том числе образов виртуальных машин и данных, обрабатываемых виртуальными машинами.

3.12. Защита от воздействия вредоносного кода на уровне гипервизора - способ защиты от воздействия вредоносного кода с использованием программных средств, функционирующих как отдельные виртуальные машины на уровне гипервизора без установки специального ПО на защищаемые виртуальные машины.

3.13. Эксплуатационный персонал - субъекты доступа, которые решают задачи обеспечения эксплуатации и администрирования, в том числе эксплуатации и администрирования автоматизированных банковских систем (АБС) организации БС РФ, систем управления базами данных, сетевого оборудования, прикладных программных комплексов, а также задачи, связанные с эксплуатацией и администрированием средств и систем обеспечения информационной безопасности.

4. Обозначения и сокращения

АБС - автоматизированная банковская система;

АРМ - автоматизированное рабочее место;

БС - банковская система;

ИБ - информационная безопасность;

ОС - операционная система;

ПО - программное обеспечение;

РФ - Российская Федерация;

СВТ - средство вычислительной техники;

СЗИ - средство защиты информации;

СХД - система хранения данных.

5. Общие положения

5.1. Настоящий документ устанавливает рекомендации по:

- разделению потоков информации и изоляции виртуальных машин;

- обеспечению ИБ образов виртуальных машин;

- обеспечению ИБ серверных компонентов виртуализации;

- обеспечению ИБ виртуальных машин;

- обеспечению ИБ АРМ пользователей (терминалов и персональных электронных вычислительных машин), используемых при реализации технологии виртуализации рабочих мест пользователей;

- мониторингу ИБ;

- составу ролей и разграничению полномочий эксплуатационного персонала;

- обеспечению ИБ СХД.

5.2. Рекомендации настоящего документа применяются среди прочего при создании и модернизации АБС организации БС РФ, реализующих технологию виртуализации, и АБС организации БС РФ, функционирование которых организуется с использованием технологии виртуализации, а также при разработке технических заданий, технорабочих проектов и эксплуатационной документации на АБС организации БС РФ, реализующих технологию виртуализации.

5.3. Создание и модернизация АБС организации БС РФ, реализующих технологию виртуализации, в части вопросов обеспечения ИБ осуществляется по согласованию и под контролем службы ИБ организации БС РФ.

6. Рекомендации по разделению потоков информации и изоляции виртуальных машин

6.1. Рекомендации по разделению потоков информации и изоляции виртуальных машин применяются с целью обеспечения независимого выполнения:

- банковских платежных технологических процессов;

- банковских информационных технологических процессов разной степени критичности для деятельности организации БС РФ, реализуемых в пределах разных контуров безопасности;

- банковских информационных технологических процессов, реализуемых в пределах контура безопасности ИСПДн.

6.2. Рекомендуется размещение совокупности виртуальных машин, входящих в разные контуры безопасности, в первую очередь контур безопасности ПТП и контур безопасности ИСПДн, на отдельных физических СВТ (хост-серверах).

6.3. Доступ к виртуальным машинам, включенным в контур безопасности ПТП, рекомендуется осуществлять только с АРМ, включенных в контур безопасности ПТП.

Доступ к виртуальным машинам, включенным в контур безопасности ИСПДн, рекомендуется осуществлять только с АРМ, включенным в контур безопасности ИСПДн.

Для иных контуров безопасности организации БС РФ рекомендуется реализовать правила, ограничивающие доступ к виртуальным машинам только с АРМ конкретных (установленных) контуров безопасности.

6.4. Реализацию требований и правил ограничения доступа к виртуальным машинам с АРМ, установленных в пункте 6.3 настоящего документа, рекомендуется осуществлять на уровне не выше третьего (сетевой уровень) по семиуровневой стандартной модели взаимодействия открытых систем, определенной в ГОСТ 28906-91, путем применения технических средств, прошедших в соответствии с законодательством РФ оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации (далее - сертифицированные сетевые технические средства).

6.5. Средствами (настройками) гипервизора и (или) иными техническими средствами рекомендуется обеспечивать:

- выделение для групп виртуальных машин, включенных в разные контуры безопасности, в том числе контур безопасности ПТП и контур безопасности ИСПДн, отдельных используемых только для работы данных групп виртуальных машин, логических областей оперативной памяти физического СВТ (хост-сервера);

- запрет нерегламентированного в эксплуатационной документации информационного обмена между виртуальными машинами с использованием общих ресурсов физического СВТ (хост-сервера), в том числе общих областей оперативной памяти физического СВТ (хост-сервера);

- запрет нерегламентированного информационного обмена между виртуальными машинами и программными процессами и ОС физического СВТ (хост-сервера), на котором функционирует гипервизор, с использованием общих ресурсов физического СВТ (хост-сервера), в том числе общих областей оперативной памяти физического СВТ (хост-сервера).

6.6. Не рекомендуется использовать физическое СВТ (хост-сервер), предназначенное для размещения гипервизора, для организации функционирования ПО, реализующего банковские технологические процессы, вне виртуальной машины.

6.7. Совокупность виртуальных машин, включенных в разные контуры безопасности, в том числе в контур безопасности ПТП и контур безопасности ИСПДн, рекомендуется размещать в отдельных сегментах (группах сегментов) вычислительных сетей, в том числе виртуальных вычислительных сетей, реализованных с использованием функциональных возможностей гипервизора.

Информационный обмен между указанными сегментами (группами сегментов) вычислительных сетей рекомендуется обеспечивать только физическим сетевым оборудованием.

6.8. В соответствии с требованиями законодательства РФ для защиты контура безопасности ИСПДн следует применять СЗИ, прошедшие оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации.

6.9. Для организации информационного обмена между сегментами вычислительных сетей, используемыми для размещения виртуальных машин, включенных в контур безопасности ПТП и контур безопасности ИСПДн, и сегментами вычислительных сетей, используемыми для размещения АРМ, включенных в контур безопасности ПТП и контур безопасности ИСПДн соответственно, рекомендуется использовать сертифицированные сетевые технические средства.

6.10. Средствами гипервизора и (или) иными техническими средствами рекомендуется реализовывать запрет нерегламентированного информационного обмена между виртуальными машинами, включенными в контур безопасности ПТП и контур безопасности ИСПДн, используемыми для эксплуатации различных АБС организации БС РФ.

6.11. Рекомендуемым решением является использование гипервизоров, прошедших в соответствии с законодательством РФ оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации.

7. Рекомендации по обеспечению ИБ образов виртуальных машин

7.1. В организации БС РФ рекомендуется регламентировать процессы жизненного цикла базовых образов виртуальных машин, в том числе процесс создания и модернизации базовых образов виртуальных машин.

7.2. Состав ПО каждого из базовых образов виртуальных машин рекомендуется согласовывать со службой ИБ организации БС РФ.

7.3. Для каждого из серверных компонентов АБС организации БС РФ рекомендуется использовать отдельный образ виртуальной машины. Не рекомендуется организовывать функционирование более чем одного серверного компонента АБС организации БС РФ на одной виртуальной машине.

7.4. В случае использования разделяемых (общих) СЗИ, эксплуатируемых с использованием технологии виртуализации для целей обеспечения защиты информации более чем двух виртуальных машин, указанные СЗИ рекомендуется размещать на отдельной виртуальной машине, предназначенной только для этой цели, или физическом СВТ.