Требования ИБ для серверной

[chris_diavol]

Я как то искал стандарты связанные с проектированием серверных (аппаратных) комнат. Нашел вот что:

* Стандарт TIA/EIA-569. Commercial Building Standard for Telecommunication Pathways and Spaces.
* Стандарт ANSI/NECA/BICSI 568-2001. Installing Commercial Building Telecommunication Cabling.
* Стандарт ANSI/TIA/EIA-607. Commercial Building Grounding and Bonding Requirements for Telecommunications.
* СН 512-78. Инструкция по проектированию зданий и помещений для электронных вычислительных машин. Строительные нормы.
* ППБ 01-93. Правила пожарной безопасности в Российской Федерации. Главное управление государственной противопожарной службы МВД России.
* РД 45.120-2000. Нормы технологического проектирования.

Если есть необходимость, могу выложить здесь.

[chris_diavol]

файлы

[exploit]

Спасибо, за файлик. Полезный архивчик, сохранил.
Вроде разобрались: требования защищенности серверой нет в док-ах ФСТЭК.
А тогда какой класс защищености у самого сервера (он является СВТ)?
А какой класс защищенности АС, например, страховой компании, кредитной организации (тобишь банка) и у налоговой ????

[malotavr]

chris_diavol: спасибо!

exploit: привязка классов защищенности к категориям информации прописана в СТР-К. СТР-К оперирует двумя категориями конфиденциальной (т.е. не составляющей гостайну) информации:

1. Персональные данные. Система должна соответствовать классу 1Д для АС, сервера и рабочие станции - классу то ли 6, то ли 5 СВТ (точно не помню), защищенный сегмент сети должен отделяться от общедоступного межсетевым экраном толи 5-го, то ли 4-го класса МЭ (опять же, точно не помню).

2. Кониденциальная информация (коммерческая тайна и ДСП) - соответственно, 1Г АС, 5 СВТ, 4 МЭ.

На практике средства защиты сертифицируется на уровни не ниже 1Г АС, 5 СВТ и 4 МЭ, чтобы можно было использовать их для любых категорий конфиденциальной информации.

Для программных средств защиты сертификация по уровню СВТ заменяется на сертификацию по уровню контроля недекларированных возможностей (НДВ). Для негостайны достаточно низшего уровня (4 НДВ).

Более высокие уровни используются для защиты гостайны, нам с вами они не интересны.

Соответственно, банк, налоговая или страховая самостоятельно решают, какую категорию конфиденциальной информации они обрабатывают и, исходя из этого выбора, самостоятельны выбирают уровни (в принципе, можете и 1А + 1 СВТ + 1 МЭ выбрать, только сертифицированных на такие уровни средств нету).

[exploit]

Подскажите в каком ГОСТе указанно, что серверная НЕ должна иметь окон?

[malotavr]

Во!

Нигде не сказано, по крайней мере я нигде не встречал. Половина опрошенных мною айтишников почему-то уверена, что не должна, но никто не может сказать, почему.

Кстати, в ЦБ окна в некоторых сервеных есть. Как-то сервер через окно загружали - он в двери не проходил.

[George-on-Don]

2 All ИМХО если в помещении есть окна- то значительно возрастают информационные утечки по аккустическим и электромагнитным каналам.

[exploit]

Если в серверной есть окно, оно нах.под охраной, + металличекие решетки с замком. Окно выходи во двор, где располагаются офисы различного характера. Что еще нужно для серверной для избежания утечки информации, в том числе, тех.каналам.

[malotavr]

2 All ИМХО если в помещении есть окна- то значительно возрастают информационные утечки по аккустическим и электромагнитным каналам.

Требования по ПЭМИН и виброаккустической защите к системам, обрабатывающим сведения, не составляющие государственную тайну, не предъявляются.Для физической защиты того, что написал exploit (решетки + двери с доводчиками + датчики открытия + датчики объема + СКУД + видеонаблюдение), достаточно.

Возможно, есть санитарные нормы (повышенное содержание вредных веществ в воздухе серверной), но я таких не видел.

[exploit]

"Требования по ПЭМИН и виброаккустической защите к системам обрабатывающим сведения, не составляющие государственную тайну не предъявляются." но можно использовать РД и СТР-к

Есть отличия требований серверной и аппаратной??

[malotavr]

"Требования по ПЭМИН и виброаккустической защите к системам обрабатывающим сведения, не составляющие государственную тайну не предъявляются." но можно использовать РД и СТР-к

Есть отличия требований серверной и аппаратной??

Я видел выдержку из ведомственых требований по физической защите серверной, утвержденной ФГУП "Охрана" (фактически, это условия, при которых вневедомственная берется за охрану серверной). Там были отличия между серверной и аппаратной (коммуникационной, кроссовой). Например, в аппаратную не требуется система газового пожаротушения. К сожалению, деталей не помню.

[exploit]

Вот выдержка из док-та:
""Требования к проектированию аппаратных (серверных комнат). ...> Аппаратная - помещение, занимаемое телекоммуникационным и\или сереверным оборудованием, обслуживающим пользователей в здании" Александр Матвеев, 2006 "компания "ТИМ""

[exploit]

Требования к серверному помещению TIA-569
Серверная комната - помещение, занимаемое крупным телекоммуникационным и\или серверным оборудованием.
А аппаратная.... что за помещение?

[exploit]

Подведем итог:
- для серверной необходимо наличие охрано-пожарной сигнализации, - две входные двери (одна деревянная с ЭМ-замком, вторая железная с кодовым замком).
- Если есть окно - решетки + сигналка на окна.
- Никакого трубопровода в серверной, никаких транзитных кабелей,
- лампы галогенновы
Есть пара вопросов:
- наличие фальш-пола обязательно?
- помехоподавляющие сетевые фильтры не обязательны (для не ГОС.тайны)?
- какие тех.средства от утечки необходимы для серверной????

[malotavr]

Подведем итог:
- для серверной необходимо наличие охрано-пожарной сигнализации, - две входные двери (одна деревянная с ЭМ-замком, вторая железная с кодовым замком).
- Если есть окно - решетки + сигналка на окна.
- Никакого трубопровода в серверной, никаких транзитных кабелей,
- лампы галогенновы
Есть пара вопросов:
- наличие фальш-пола обязательно?
- помехоподавляющие сетевые фильтры не обязательны (для не ГОС.тайны)?
- какие тех.средства от утечки необходимы для серверной????

Фальшпол - обычно да. Во-первых, через него воздух от кондеев в стойки задувается. Во-вторых, он нагрузку на перекрытие равномерно распределяет.

Остальное - вроде, нет.

[exploit]

СН 512-78 Технические требования к зданиям и помещениям для установки средств вычислительной техники:
..>
6. Специальные требования по пожарной безопасности
6.1. Основой для пожарной безопасности служат нормативные документы, утвержденные в установленном порядке по согласованию с ГУ Государственной противопожарной службы МВД России.
Нормы пожарной безопасности НПБ 110-99 определяют перечень зданий сооружений, помещений и оборудования, которые должны быть защищены автоматическими установками пожаротушения (АУПТ) и пожарной сигнализации (АУПС), которые проектируются в соответствии со СНиП 2.04.09-84. Категория зданий и помещений по взрывопожарной и пожарной опасности определяется в соответствии с НПБ 105-95. Противопожарная защита устанавливается обязательно и независимо от ведомственной принадлежности, организационно-правовой формы и площади помещений. Согласно "Перечню" НПБ 110-99 помещения связи (таблица 3, п. 4.16-4.20) и помещения общественного назначения для размещения ЭВМ (таблица 3, п. 4.38), которые, с учетом современных технологий, имеют в своем составе СВТИ, также подлежат защите. Исключение составляют СВТИ, размещенные на рабочих местах пользователей и не требующих выделения зон обслуживания.
6.2. Помещения для СВТИ относятся в соответствии гл. 7.4 Правил устройства электроустановок (ПУЭ) к классу пожаробезопасности П-IIа (степень огнестойкости).
6.3. Помещения, где установлены СВТИ (серверная), от помещений другого назначения должны отделяться несгораемыми стенами (перегородками) с пределом огнестойкости не менее 0,75 ч. Двери в этих стенах и перегородках должны быть с пределом огнестойкости не менее 0,6 ч. Зону вычислительного центра рекомендуется оборудовать как наиболее защищаемую. Основная и резервная серверные располагаются на разных этажах одного здания, для сложных объектов рекомендуется размещение в разных зданиях. Для хранения магнитных носителей (резервных копий) следует использовать специальный сертифицированный сейф.
6.4. Противодымную защиту следует проектировать в соответствии с требованиями СНиП 2.04.05-91 "Отопление, вентиляция и кондиционирование".
6.5. Серверная (основная и резервная) и телекоммуникационная оборудуются автоматическими установками газового пожаротушения (АУГП), согласно требованиям по проектированию зданий и помещений для ЭВМ (раздел 3, СН-512-78). АУГП предусматривается для помещений, где располагается оборудование управления ИВС (серверная, центр управления, процессинговый центр).

И это для всех серверных обязаловка?!
Кто-нить АУГП у себя использует?

[Пух575]

exploit
Как раз сегодня читал отчёт по аудиту ИБ, проведённый "Информзащитой" на одном довольно крупном градообразующем предприятии, так там за наличие этой самой АУГП в серверной предприятию нарисовали жЫрный такой зачот в разделе "Рекомендации по управлению рисками"

[exploit]

необходимо так необходимо!

[malotavr]

СН 512-78 Технические требования к зданиям и помещениям для установки средств вычислительной техники:

И это для всех серверных обязаловка?!
Кто-нить АУГП у себя использует?

Строительные нормы

Строго говоря - не обязаловка. Нарушение строительных норм контролирует и карает строительная инспекция. Если для обустройства серверной вы наняли фирму со строительной лицензией, а фирма сделала проект, который не предусматривал ГПТ, это ее (фирмы) проблемы, вас это не касается. Если вы оборудовали серверную самостоятельно, то ваша проблема не в отсутствии ГПТ, а в нарушениях при строителстве. ЦБ, ФСБ и ФСТЭК исполнение строительных нормативов не контролируют и контролировать не могут.

Разработка ОБЯЗАТЕЛЬНЫХ требований пожарной безопасности - исключительная прерогатива МЧС (ФЗ "О пожарной безопасности"). Требований устанавливать в серверной системы ГПТ МЧС не издавало.

Мы используем ГПТ - спринклеры и порошковые системы убъют технику напрочь. Но это самостоятельное решение - у нас это во внутренних технических треованиях прописано.

[Пух575]

exploit
Тут вопрос, скорее, в другом - даст ли руководство денег на покупку и установку этой самой АУГП с учётом озвученного коллегой malotavr - ведь "обязаловки" нет?
З.Ы.:Если судить по читаемому мной отчёту, то в ценах 2004 года подобное "удовольствие" стоило обследуемому предприятию порядка 2 млн. вечнодеревянных (цены, естественно, указаны не московские)...

[exploit]

серверным помещение считается, если в нем расположены не "нормальные" сервера (большие с кулерами в шкафах и прочее),а обычные PC с отличной производительностью?
Или помещение будет носить название "аппаратная"? Н
ормы и правила проектировки, противопажарной без-ти и прочее одинаковы?

p/s/Как писали ниже различие между апп-ой и серв-ой присутствует только во внутреннем документе охранного предприятия (учитывается при установки сигнализации).

[malotavr]

exploit
Тут вопрос, скорее, в другом - даст ли руководство денег на покупку и установку этой самой АУГП с учётом озвученного коллегой malotavr - ведь "обязаловки" нет?
З.Ы.:Если судить по читаемому мной отчёту, то в ценах 2004 года подобное "удовольствие" стоило обследуемому предприятию порядка 2 млн. вечнодеревянных (цены, естественно, указаны не московские)...

В отчете, скорее всего, предлагалась "комплексаня система охранно-пожарной сигнализации", причем, скорее всего, на базе решений HoneyWell или GE, с учетом проектирования, работы, откатов и допуска на урезание бюджета

А если по отдельности, то собственно сам модуль ГПТ (с баллоном к нему) стоит порядка $10000. Плюс датчик дыма плюс контроллер плюс провода плюс работа.

Я прои оценке исходил из простых соображений. Считаем, что за 10 лет эксплуатации в комнате с вероятностью 0,9 хотя бы раз произойдет короткое замыкание. Соответствено, вероятность того, что в течение года серверная сгорит, равна примерно 0,21.
В качестве ущерба считаем только потерю оборудования , предполагая, что все хорошо зарезервировано и переключение на резерв пройдет незаметно для бизнеса. Тогда система пожаротушения стоимостью в пятую часть от стоимости серверов и коммутаторов окупит себя уже в первый год

10 лет - для простоты рассчета десятичных логарифмов, а так - это срок службы модуля ГПТ.

А дальше берите по отдельности стоимость каждой комнаты, суммируйте стоимость оборудования, сравниваете со стоимостью ГПТ.

[exploit]

серверным помещение считается, если в нем расположены не "нормальные" сервера (большие с кулерами в шкафах и прочее),а обычные PC с отличной производительностью?
Или помещение будет носить название "аппаратная"? Н
ормы и правила проектировки, противопажарной без-ти и прочее одинаковы?

[exploit]

Разницу в проэктировки противопажарно без-ти нашел!
"Помещения с критичными СВТИ (кроме серверной и коммутационной) вместо АУГП могут оборудоваться только системой автоматической пожарной сигнализации и первичными средствами пожаротушения (переносными или перевозными газовыми модулями) из расчета два огнетушителя на 20 кв. м площади помещений"

[Пух575]

malotavr
В отчете, скорее всего, предлагалась "комплексаня система охранно-пожарной сигнализации", причем, скорее всего, на базе решений HoneyWell или GE, с учетом проектирования, работы, откатов и допуска на урезание бюджета
Nаких подробностей в отчёте не нашёл, но думаю, в одну из предстоящих командировок посмотрю что там есть на самом деле

[exploit]

будем ждать....

[exploit]

Вот вычитал из статьи "Архитектурная стадия проектирования СКС и инженерных систем зданий" Юрия ШЕЛЬПУКА - "Для офисных зданий рекомендуется, а для банков является обязательным условием, ЗАЩИТНОЕ ЭКРАНИРРОВАНИЕ СЕРВЕРНЫХ И ЭЛЕКТРОННЫХ АРХИВОВ либо установка экранированной кабины"
Вопрос: откуда он взял эту обязаловку? Экранирование типа подавление сотовых и прочей аппаратуры????

[malotavr]

"...а для банков является обязательным условием..."

Есть у меня подозрение, что автор этих строк родом с Украины Украинский центробанк действительно ввел такое требование, обязательное для УКРАИНСКИХ банков.

У нас такого требования, слава богу, нет

[exploit]

Значит мы спокойно пьем кофе и ждем, когда ЦБ настряпает стандарт по ИБ для серверной?!

[malotavr]

... и разрабатываем собственные стандарты