Информационные и аналитические материалы (отчеты и обзоры информационного характера) о деятельности ФСТЭК России

Информационное сообщение ФСТЭК России от 20 января 2020 г. N 240/24/250

Информационное сообщение ФСТЭК России от 20 января 2020 г. N 240/24/25

Информационное сообщение ФСТЭК России от 20 января 2020 г. N 240/24/25

	83 КБ	6908
	127 КБ	1626

ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ

ИНФОРМАЦИОННОЕ СООБЩЕНИЕ

О ПРИМЕНЕНИИ СЕРТИФИЦИРОВАННЫХ ОПЕРАЦИОННЫХ MICROSOFT WINDOWS 7 И MICROSOFT WINDOWS SERVER 2008 R2 В СВЯЗИ С ПРЕКРАЩЕНИЕМ ИХ ТЕХНИЧЕСКОЙ ПОДДЕРЖКИ

от 20 января 2020 г. N 240/24/250

Компанией Microsoft Corporation (США) с 14 января 2020 г. прекращена поддержка и выпуск обновлений для операционных систем Microsoft Windows 7 и Microsoft Windows Server 2008 R2, в том числе обновлений, направленных на устранение ошибок и уязвимостей в указанных операционных системах.

В настоящее время в информационных системах федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации, органов местного самоуправления и организаций продолжают применяться следующие версии сертифицированных по требованиям безопасности информации операционных систем Microsoft Windows 7 и Microsoft Windows Server 2008 R2:

операционная система Microsoft Windows 7 (SP1) в редакциях «Профессиональная», «Корпоративная» и «Максимальная» (сертификат соответствия от 4 октября 2011 г. N 2180/1);

операционная система Microsoft Windows Server 2008 R2 (SP1) в редакциях Standard, Enterprise и Datacenter (сертификат соответствия от 13 октября 2011 г. N 2181/1);

программный комплекс «Microsoft Windows Server 2008 Standard Edition Service Pack 2» (сертификат соответствия от 14 мая 2010 г. N 1928/1);

программный комплекс «Microsoft Windows Server 2008» версии Standard Edition в редакции 32-бит/64-бит (сертификат соответствия от 27 октября 2009 г. N 1928);

программный комплекс «Microsoft Windows Server 2008 Enterprise Edition Service Pack 2» (сертификат соответствия от 14 мая 2010 г. N 1929/1);

программный комплекс «Microsoft Windows Server 2008» версии Enterprise Edition в редакции 32-бит/64-бит (сертификат соответствия от 27 октября 2009 г. N 1929);

программный комплекс «Microsoft Windows Server 2008″ версии Datacenter» в редакции 32-бит/64-бит (сертификат соответствия от 29 октября 2009 г. N 1930).

Это обусловлено, в том числе, наличием большого количества разработанного под Microsoft Windows 7 и Microsoft Windows Server 2008 R2 специфичного прикладного программного обеспечения, применяемого для реализации органами государственной власти и организациями своих полномочий.

В соответствии с эксплуатационной документацией на указанные сертифицированные версии операционных систем Microsoft Windows 7 и Microsoft Windows Server 2008 R2 обязательным условием их применения в информационных системах является установка сертифицированных обновлений операционных систем Microsoft Windows 7 и Microsoft Windows Server 2008 R2, выпущенных разработчиком (компанией Microsoft Corporation) и предоставляемых российскими производителями операционных систем (заявителями).

Необходимо отметить, что прекращение выпуска обновлений сертифицированных версий операционных систем Microsoft Windows 7 и Microsoft Windows Server 2008 R2 в сочетании с вероятным обнаружением в них новых уязвимостей приведет к возможности реализации угроз безопасности информации конфиденциального характера, обрабатываемой в указанных информационных системах. Кроме того, прогнозируется повышение интереса к операционным системам Microsoft Windows 7 и Microsoft Windows Server 2008 R2 со стороны отдельных категорий нарушителей.

В связи с прекращением поддержки и выпуска обновлений для операционных систем Microsoft Windows 7 и Microsoft Windows Server 2008 в соответствии с Положением о системе сертификации средств защиты информации, утвержденным приказом ФСТЭК России от 3 апреля 2018 г. N 55, приказом ФСТЭК России от 20 января 2020 г. N 9 прекращено действие сертификатов соответствия от 4 октября 2011 г. N 2180/1 на операционную систему Microsoft Windows 7 (SP1) в редакциях «Профессиональная», «Корпоративная» и «Максимальная» и от 13 октября 2011 г. N 2181/1 на операционную систему Microsoft Windows Server 2008 R2 (SP1) в редакциях Standard, Enterprise и Datacenter.

Кроме того, ФСТЭК России принято решение об исключении 1 июня 2020 г. из Государственного реестра сертифицированных средств защиты информации сведений о сертификатах NN 2180/1, 2181/1, 1928/1, 1928, 1929/1, 1929, 1930.

Учитывая изложенное, органам государственной власти и организациям, использующим для защиты информации сертифицированные ФСТЭК России версии операционных систем Microsoft Windows 7 и Microsoft Windows Server 2008 R2, рекомендуется:

1. Спланировать мероприятия по переводу до 1 июня 2020 г. информационных систем на сертифицированные по требованиям безопасности информации операционные системы, поддерживаемые их производителями.

2. До перехода на сертифицированные по требованиям безопасности информации операционные системы с учетом моделей угроз безопасности информации принять следующие дополнительные меры защиты информации, направленные на минимизацию рисков реализации угроз безопасности информации:

установить все актуальные обязательные сертифицированные обновления сертифицированных версий операционных систем Microsoft Windows 7 и Microsoft Windows Server 2008 R2, выпущенные российскими производителями (заявителями);

установить запрет на автоматическое обновление сертифицированных версий операционных систем Microsoft Windows 7 и Microsoft Windows Server 2008 R2;

провести настройку и обеспечить периодический контроль механизмов защиты сертифицированных версий операционных систем Microsoft Windows 7 и Microsoft Windows Server 2008 R2 в соответствии с руководствами по безопасной настройке и контролю сертифицированных версий операционных систем Microsoft Windows 7 и Microsoft Windows Server 2008 R2;

по возможности исключить подключение к сети Интернет и к ведомственным (корпоративным) локальным вычислительным сетям средств вычислительной техники или сегментов информационных систем, работающих под управлением операционных систем Microsoft Windows 7 и Microsoft Windows Server 2008 R2;

при невозможности отключения от сети Интернет и (или) от ведомственных (корпоративных) локальных вычислительных сетей средств вычислительной техники или сегментов информационных систем, функционирующих под управлением операционных систем Microsoft Windows 7 и Microsoft Windows Server 2008 R2, применять в обязательном порядке меры по сегментированию информационных систем и защите периметра информационной системы и выделенных сегментов (в том числе путем применения сертифицированных межсетевых экранов, средств антивирусной защиты, систем обнаружения вторжений, средств защиты от несанкционированной передачи (вывода) информации (DLP — систем), средств управления потоками информации);

обеспечить регулярное резервное копирование информации, программного обеспечения и средств защиты информации, содержащихся на средствах вычислительной техники или в сегментах информационных систем, работающих под управлением операционных систем Microsoft Windows 7 и Microsoft Windows Server 2008 R2, на внешние носители информации;

регламентировать и обеспечить контроль за применением съемных машинных носителей информации, исключив при этом использование незарегистрированных в информационной системе машинных носителей информации и не проверенных средствами антивирусной защиты;

проводить периодический анализ уязвимостей сегментов информационных систем, работающих под управлением операционных систем Microsoft Windows 7 и Microsoft Windows Server 2008 R2, с использованием сертифицированных средств контроля (анализа) защищенности информации, а также периодический контроль целостности установленных операционных систем;

применить дополнительные сертифицированные средства защиты информации, реализующие (дублирующие) функции по безопасности информации операционных систем;

проводить мониторинг общедоступных источников, публикующих сведения об уязвимостях, на предмет появления в них информации об уязвимостях в операционных системах Microsoft Windows 7 и Microsoft Windows Server 2008 R2 и принимать меры, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителями выявленных уязвимостей (в том числе за счет применения дополнительных средств защиты информации);

разработать и внедрить правила и процедуры действий должностных лиц в случае выявления уязвимостей в операционных системах Microsoft Windows 7 и Microsoft Windows Server 2008 R2 или возникновения инцидентов информационной безопасности, связанных с их применением.

Сертификация фстэк windows что это

Защита информационных систем — одна из важнейших задач не только для отрасли информационных технологий, но и для всей экономики общества в целом. Понимая это, корпорация Microsoft стала пионером создания надежных информационных систем и автором концепции комплексного обеспечения информационной безопасности.

Одним из ключевых факторов, обеспечивающих создание защищенных систем на базе продуктов Microsoft в России, является выполнение национальных требований к сертификации программного обеспечения. Продукты Microsoft регулярно проходят сертификацию на соответствие требованиям по информационной безопасности РФ. Microsoft дает возможность государству убедиться в отсутствии «потайных дверей» в продуктах Microsoft. При этом это не означает, что Microsoft предоставляет доступ к данным пользователей. На сегодня сертифицированы уже более 70 продуктов. Наши клиенты, в числе которых и государственные заказчики, могут быть уверены, что их информационные системы защищены согласно российским требованиям.

Использование сертифицированного программного обеспечения и средств защиты информации во многих случаях является обязательным условием для обработки информации ограниченного доступа. В российском законодательстве определено свыше 60 видов информации ограниченного доступа, в том числе государственная тайна, служебная тайна, коммерческая тайна, банковская тайна, и др. Конкретные законодательные требования по защите, установленные для указанных видов информации и информационных систем, могут предусматривать требование по обязательному использованию сертифицированного программного обеспечения и средств защиты информации.

Продукты Microsoft, сертифицированные ФСТЭК, с точки зрения программного кода ничем не отличаются от обычных лицензионных легальных продуктов Microsoft, поскольку программная реализация продуктов Microsoft позволяет получать соответствующие сертификаты ФСТЭК без изменений программного кода. Однако в соответствии с законодательством России сертифицированные продукты ФСТЭК имеют ряд других важных отличий от несертифицированных продуктов, а именно:

• каждый экземпляр сертифицированного продукта, находящегося у заказчика, должен пройти процедуру проверки соответствия этого экземпляра тому экземпляру, который прошел сертификацию;
• каждый экземпляр сертифицированного продукта, находящегося у заказчика, в случае положительной проверки его соответствия экземпляру, прошедшему сертификацию, получает пакет сертификационных документов государственного образца, включая голографический знак соответствия ФСТЭК с уникальным номером на каждую копию (если у заказчика 1000 компьютеров с сертифицированным продуктом, то ему выдается 1000 голограмм), который идентифицирует данный экземпляр в системе государственного учета сертифицированных продуктов;
• каждая организация, купившая сертифицированный продукт, получает защищенный доступ к персональной странице для получения сертифицированных обновлений.

Microsoft сертифицирует свои программные продукты со встроенными средствами защиты информации. В России организовано массовое производство всех сертифицированных версий продуктов Microsoft. Это позволяет заказчикам приобретать любые количества сертифицированных продуктов. Непрерывная сертификация ежемесячно выходящих обновлений к продуктам позволяет покупателям иметь сертифицированную версию не только с самыми последними обновлениями системы безопасности, но и соответствующую при этом требованиям регулятора.

Microsoft сертифицирует свои продукты в России с 2003 года. В числе первых продуктов, прошедших сертификацию, были Windows XP, Windows Server 2003, Office 2003 и другие. К весне 2020 года было сертифицировано более 70 продуктов. Microsoft продолжает сертификацию своих продуктов и будет продолжать сертифицировать новые версии своих продуктов и в дальнейшем.

Заказчики, которые хотят использовать сертифицированное программное обеспечение, имеющее действующие сертификаты (*) и продолжающее получать обновления безопасности (**), могут использовать следующие продукты Microsoft:

• серверная операционная система Microsoft Windows Server 2012 R2 в редакциях Standard и Datacenter (**);
• система управления информационной структурой Microsoft System Center 2012 R2 в редакциях Standard и Datacenter (**);
• сервер управления почтовыми сообщениями Microsoft Exchange Server 2013 в редакциях Standard и Enterprise (**);
• сервер документооборота Microsoft SharePoint Server 2013 (с SP1) (**);
• платформа офисных приложений Microsoft Office 2016 Professional Plus (***);
• сервер управления почтовыми сообщениями Microsoft Exchange Server 2016 (***);
• сервер документооборота Microsoft SharePoint Server 2016 (***);
• система управления проектами Microsoft Project Server 2016 в составе SharePoint Server 2016;
• система управления информационной структурой Microsoft System Center 2016;
• система управления базами данных Microsoft SQL Server 2016 в редакциях Enterprise Edition (EE), Standard (Std), Developer, Web, Express, Express with tools (с SP2);
• серверная операционная система Microsoft Windows Server 2016;
• система управления базами данных Microsoft SQL Server 2017 в редакциях Enterprise Edition (EE), Standard (Std), Developer, Web, Express, Express with Advanced Services;
• клиентская операционная система Microsoft Windows 8.1 в редакциях Профессиональная и Корпоративная (**);
• сервер документооборота Microsoft SharePoint Server 2019;
• система управления проектами Microsoft Project Server 2019 в составе SharePoint Server 2019;
• система управления базами данных Microsoft SQL Server 2019;
• система управления базами данных Microsoft SQL Server 2019 on Linux;
• клиентская операционная система Microsoft Windows 10 в редакции Корпоративная.

(*) Перед покупкой сертифицированного продукта проверяйте срок действия сертификата;

(**) Получение некоторых обновлений безопасности может потребовать приобретения пакета расширенной поддержки;

(***) Согласно пункту 15 Приказа ФСТЭК России от 3 апреля 2018 г. № 55, «Средство защиты информации может применяться по окончании срока действия сертификата соответствия при условии соблюдения требований по безопасности информации и осуществления заявителем его технической поддержки». Так как заявитель сертифицирует обновления безопасности, выпускаемые в данном случае Microsoft, то технческая поддержка заявителя зависит от срока продолжения выпуска обновлений по безопасности корпорацией Microsoft. Поэтому в данном случае срок эксплуатации сертифицированного продукта зависит от срока окончания выпуска Microsoft обновлений по безопасности.

По всем вопросам, связанным с приобретением сертифицированных продуктов Microsoft через партнеров, обращайтесь к заявителю, ООО «Сертифицированные информационные системы груп», по адресу электронной почты: info@certsys.ru.

Продукты Microsoft, сертифицированные ФСБ, содержат дополнительное программное обеспечение, которое позволяет им удовлетворять требованиям регулятора, — сервисные пакеты, разработанные российскими организациями. Эти сервисные пакеты «Secure Pack Rus» содержат в себе, прежде всего, российскую сертифицированную криптографию, которую Microsoft не производит.

Следующие продукты Microsoft сертифицированы ФСБ:

• клиентская операционная система Microsoft Windows 10 в редакциях Pro, Enterprise и Enterprise LTSC;
• серверная операционная система Microsoft Windows Server 2016 в редакциях Standard и Datacenter;
• программный комплекс Microsoft Skype for Business Server 2015.

Сертификаты удостоверяют, что указанные продукты соответствуют требованиям уполномоченных органов России к

• защите информации, не содержащей сведений, составляющих государственную тайну,
• защите от несанкционированного доступа в автоматизированных информационных системах класса АК2 (некоторые продукты сертифицированы и на уровень АК3).

Как указано в документах, эти продукты могут использоваться для защиты конфиденциальной информации и персональных данных.

Полученные результаты сертификации позволяют создавать системы защищенного документооборота для органов государственной власти и системы «электронного правительства», построенные на платформе Microsoft.