ГОСТ Р 59162-2020

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

Информационные технологии

МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ

Безопасность сетей

Часть 6

Обеспечение информационной безопасности при использовании беспроводных IP-сетей

Information technology. Security techniques. Network security. Part 6. Securing wireless IP network access

ОКС 35.030

Дата введения 2021-06-01

Предисловие

1 РАЗРАБОТАН Федеральным государственным учреждением "Федеральный исследовательский центр "Информатика и управление" Российской академии наук" (ФИЦ ИУ РАН) и Обществом с ограниченной ответственностью "Информационно-аналитический вычислительный центр" (ООО ИАВЦ)

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 22 "Информационные технологии"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 10 ноября 2020 г. N 1038-ст

4 Настоящий стандарт разработан с учетом основных нормативных положений международного стандарта ИСО/МЭК 27033-6:2016* "Информационные технологии. Методы и средства обеспечения безопасности. Безопасность сетей. Часть 6. Обеспечение информационной безопасности при использовании беспроводных IP-сетей" (ISO/IEC 27033-6:2016 "Information technology - Security techniques - Network security - Part 6: Securing wireless IP network access", NEQ)

________________

* Доступ к международным и зарубежным документам, упомянутым в тексте, можно получить, обратившись в Службу поддержки пользователей. - Примечание изготовителя базы данных.

5 ВВЕДЕН ВПЕРВЫЕ

6 Федеральное агентство по техническому регулированию и метрологии не несет ответственности за патентную чистоту настоящего стандарта. Патентообладатель может заявить о своих правах и направить в национальный орган по стандартизации аргументированное предложение о внесении в настоящий стандарт поправки для указания информации о наличии в стандарте объектов патентного права и патентообладателе

Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

Введение

В современном мире большинство коммерческих и государственных организаций обладают собственными информационными системами, оснащенными сетевыми соединениями одного или нескольких типов:

- внутри организации;

- между разными организациями;

- между организацией и широким кругом лиц.

В условиях быстрого развития общедоступных сетевых технологий (в частности, сети Интернет), обеспечивающих существенные коммерческие возможности, организации все чаще реализуют электронный бизнес в глобальном масштабе и предоставляют общедоступные онлайн-сервисы. Возможности включают в себя как просто обеспечение более дешевой передачи данных и использование сети Интернет в качестве среды передачи данных, так и более сложные услуги, предлагаемые Интернет-провайдером (ISP). При этом на каждом конечном узле доступа к полнофункциональным системам электронной торговли и доставки услуг с использованием веб-приложений могут использоваться относительно недорогие локальные точки подключения. Помимо этого, новые технологии, такие как интеграция данных, голоса и видео, расширяют возможности удаленной (дистанционной) работы, что позволяет персоналу в течение значительных периодов времени работать дистанционно. Эти технологии могут поддерживать связь посредством использования средств удаленного доступа к сетям организации и сообществ, а также получать необходимую информацию и услуги для поддержки своей работы.

Хотя подобная среда обеспечивает для бизнеса существенные преимущества, она добавляет новые риски безопасности, которыми необходимо управлять. Поскольку деятельность организации сильно зависит от использования информации и соответствующих информационных сетей, утрата конфиденциальности, нарушение целостности и доступности информации и услуг могут оказать существенное негативное влияние на работу организации. В предотвращение появления новых рисков безопасности информации необходимо устанавливать требования по защите сетей и связанных с ними информации и информационных систем. Другими словами, внедрение и поддержание соответствующей безопасности сети абсолютно необходимы для успеха деловой деятельности любой организации.

Поэтому отрасли телекоммуникаций и информационных технологий ищут экономически эффективные комплексные решения безопасности, направленные на защиту сетей от вредоносных атак и непреднамеренных неправильных действий, а также удовлетворяющие требованиям в отношении конфиденциальности, целостности и доступности информации и услуг. Безопасность сети также имеет важное значение для обеспечения надлежащего учета и использования информации. Функции безопасности, заложенные в продукты, являются критически важными для безопасности сети в целом, включая приложения и сервисы. При этом по мере возрастания числа продуктов, которые объединяются для обеспечения общих решений, их совместимость или ее отсутствие является определяющим фактором успешности решений. Безопасность должна быть не только жизненно важным аспектом для каждого продукта или услуги, но и должна разрабатываться таким образом, чтобы способствовать интеграции функций безопасности в рамках общего решения по обеспечению защиты.

________________

В настоящем стандарте под "продуктом" следует понимать "изделия/средства (программные, технические или программно-технические)".

Целью комплекса стандартов ГОСТ Р ИСО/МЭК 27033 является предоставление подробных инструкций по аспектам безопасного контроля, эксплуатации и использования сетей информационных систем и их взаимосвязей. Сотрудники организаций, ответственные за информационную безопасность в целом и за безопасность сетей в частности, должны иметь возможность адаптировать материалы настоящего стандарта к требованиям своих организаций. Основными задачами частей ГОСТ Р ИСО/МЭК 27033 являются:

ГОСТ Р ИСО/МЭК 27033-1 направлен на определение и описание концепций, связанных с безопасностью сети и предоставление рекомендаций по менеджменту безопасности сети. Стандарт содержит общий обзор безопасности сети и связанных с ней определений, рекомендации по идентификации и анализу рисков безопасности сети, кроме того, определение требований безопасности сети. В нем также рассказывается о том, как добиться хорошего качества специализированных архитектур безопасности, а также об аспектах рисков, дизайна и управления, связанных с типичными сетевыми сценариями и областями сетевых технологий, которые подробно рассматриваются в последующих частях ГОСТ Р ИСО/МЭК 27033;

- часть, определяющая, каким образом организации, используя при необходимости последовательный подход к планированию, проектированию и реализации безопасности сети с применением моделей/систем, должны добиваться требуемого качества специализированных архитектур безопасности сети, а также проектирования и реализации, которые обеспечат уверенность в безопасности сети, соответствующей их среде деятельности, приведена в [1]. В данном контексте термины "модель/система" используются для общего представления структуры и функционирования специализированной архитектуры и проекта безопасности. Данный стандарт предназначен для всего персонала, вовлеченного в планирование, проектирование и реализацию аспектов архитектуры безопасности сети (например, для проектировщиков и разработчиков сетевой архитектуры, сетевых менеджеров и сотрудников, ответственных за безопасность сети);

- ГОСТ Р ИСО/МЭК 27033-3 направлен на определение конкретных рисков, методов проектирования и вопросов, касающихся мер обеспечения ИБ, связанных с типовыми сетевыми сценариями. Данный стандарт предназначен для персонала, вовлеченного в планирование, проектирование и реализацию аспектов архитектуры безопасности сети (например, для проектировщиков и разработчиков сетевой архитектуры, сетевых менеджеров и сотрудников, ответственных за безопасность сети);

- часть, направленная на определение конкретных рисков, методов проектирования и вопросов, касающихся меры обеспечения информационной безопасности информационных потоков между сетями с использованием шлюзов безопасности, приведена в [2]. Данный стандарт будет представлять интерес для всего персонала, вовлеченного в детальное планирование, проектирование и реализацию шлюзов безопасности (например, для проектировщиков и разработчиков сетевой архитектуры, сетевых менеджеров и сотрудников, ответственных за безопасность сети);

- часть, направленная на определение конкретных рисков, методов проектирования и вопросов, касающихся мер обеспечения информационной безопасности соединений, установленных с использованием VPN, приведена в [3]. Данный стандарт будет представлять интерес для всего персонала, вовлеченного в детальное планирование, проектирование и реализацию безопасности виртуальных частных сетей (например, для проектировщиков и разработчиков сетевой архитектуры, сетевых менеджеров и сотрудников, ответственных за безопасность сети);

- настоящий стандарт направлен на определение конкретных рисков, методов проектирования и вопросов, касающихся мер обеспечения ИБ беспроводных сетей и радиосетей. Данный стандарт будет представлять интерес для всего персонала, вовлеченного в детальное планирование, проектирование и реализацию безопасности беспроводных сетей и радиосетей (например, для проектировщиков и разработчиков сетевой архитектуры, сетевых менеджеров и сотрудников, ответственных за безопасность сети).

Следует подчеркнуть, что комплекс стандартов ГОСТ Р ИСО/МЭК 27033 предоставляет дополнительные детализированные рекомендации по реализации мер обеспечения безопасности сети, определенных в базовом стандарте ГОСТ Р ИСО/МЭК 27002.

Следует отметить, что настоящий стандарт не является справочным или нормативным документом для регулирующих и законодательных требований безопасности. Хотя в нем подчеркивается важность этих оказывающих влияние факторов, они не могут быть сформулированы конкретно, так как зависят от страны, вида основной деятельности и т.д.

Если не указывается иное, приводимые в настоящем стандарте требования применимы к действующим в настоящее время и (или) планируемым сетям, но в тексте настоящего стандарта будут применены только термины "сеть" или "сети".

     1 Область применения

В настоящем стандарте описаны угрозы, требования к информационной безопасности (ИБ), меры по контролю и проектированию систем безопасности, связанные с беспроводными сетями. Настоящий стандарт содержит рекомендации по выбору, реализации и мониторингу мер по обеспечению безопасности обмена информации через беспроводные сети. Информация, содержащаяся в настоящем стандарте, предназначена для использования при пересмотре технической архитектуры/вариантов проектирования безопасности, а также при выборе и документировании предпочтительной технической архитектуры/проектирования безопасности и связанных с ними мер обеспечения ИБ.

В целом настоящий стандарт будет способствовать всестороннему определению и реализации мер безопасности для беспроводной сетевой среды любой организации. Он предназначен для пользователей и разработчиков, ответственных за реализацию и функционирование технических мер и средств контроля для обеспечения безопасности беспроводных сетей.

     2 Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие стандарты:

ГОСТ Р ИСО/МЭК 27000 Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Общий обзор и терминология

ГОСТ Р ИСО/МЭК 27033-1 Информационная технология. Методы и средства обеспечения безопасности. Безопасность сетей. Часть 1. Обзор и концепция

Примечание - При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования - на официальном сайте Федерального органа исполнительной власти в сфере стандартизации в сети Интернет или по ежегодно издаваемому информационному указателю "Национальные стандарты", который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячно издаваемого информационного указателя "Национальные стандарты" за текущий год. Если заменен ссылочный стандарт, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого стандарта с учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт, на который дана датированная ссылка, то рекомендуется использовать версию этого стандарта с указанным выше годом утверждения (принятия). Если после утверждения настоящего стандарта в ссылочный стандарт, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, рекомендуется применять в части, не затрагивающей эту ссылку.

     3 Термины и определения

В настоящем стандарте применены термины по ГОСТ Р ИСО/МЭК 27000, ГОСТ Р ИСО/МЭК 27033-1, а также следующие термины с соответствующими определениями:

3.1 точка (беспроводного) доступа (access point, wireless access point): Устройство или оборудование, позволяющие беспроводным устройствам подключаться к проводной сети.

Примечание - Подключение использует беспроводную локальную сеть (WLAN) или соответствующий стандарт.

3.2 (беспроводная) базовая станция (base station, wireless base station): Оборудование, обеспечивающее соединение между мобильными или сотовыми телефонами и базовой коммуникационной сетью.

3.3 Bluetooth: Стандарт беспроводной технологии для обмена данными на короткие расстояния.

Примечание - "Bluetooth" - торговая марка, принадлежащая Bluetooth SIG.

3.4 базовая сеть (core network): Часть мобильной телекоммуникационной сети, которая подключает сеть доступа к коммуникационной сети большего охвата.

Пример: Интернет и прочие сети общего доступа являются примерами сетей большего охвата.

3.5 фемтосота; домашняя сота; малая сота (femto cell; home cell; small cell): Маломощная и миниатюрная базовая станция (3.2) сотовой связи.

Примечание - Фемтосоты обычно используются для обслуживания небольшой территории (офиса небольшой организации или дома).

3.6 усиление защиты (hardening): Процесс повышения защищенности системы и сокращения ее уязвимостей.

Примечание - Как правило, процесс усиления защиты обычно включает в себя удаление ненужного программного обеспечения, ненужных имен и логинов пользователей, а также отключение или удаление ненужных служб.

3.7 межмашинная коммуникация (machine to machine): Технология, позволяющая как беспроводным, так и проводным системам связываться с другими устройствами того же типа.

3.8 отношение мощностей; отношение сигнал/шум (power ratio, signal-to-noise ratio): Величина, используемая для сравнения требуемого уровня сигнала с уровнем фонового шума.

Примечание - Определяется отношением мощности сигнала к мощности шума.

3.9 сеть радиодоступа (radio access network): Часть системы мобильной связи, в которой реализована технология радиодоступа, например, WCDMA или LTE, обеспечивающая доступ устройств конечных пользователей к базовой сети (3.4).

Примечание - Сеть радиодоступа находится между устройством конечного пользователя и базовой сетью.

3.10 контроллер радиосети (radio network controller) Компонент мобильной сети, который управляет базовыми станциями, взаимодействует с базовой сетью (3.4) и выполняет функции управления радиоресурсами и мобильностью в сети.

3.11 Wi-Fi: Технология беспроводных локальных сетей, позволяющая электронным устройствам подключаться к сети, в основном используя диапазоны 2,4 ГГц и 5 ГГц.

Примечания

1 "Wi-Fi" является торговой маркой Wi-Fi Alliance.