Преимущества сертифицированных ФСТЭК России продуктов Dr.Web

• Использование только антивируса не обеспечивает защиты от хакеров, спама, возможности ограничения доступа к различным интернет-ресурсам, отдельным дискам, папкам или файлам, проверки всего интернет-трафика до поступления его в различные программы. Данные возможности доступны в лицензии Dr.Web Enterprise Security Suite. Комплексная защита.
• Надежная защита всей сети и выполнение требований закона о защите персональных данных обеспечиваются при установке средств защиты почтового и интернет-трафика, а также средств защиты от несанкционированного доступа — использование только антивируса в качестве единственной меры защиты рабочих станций и персональных компьютеров недостаточно. Внедрение средств защиты почтового и интернет-трафика не только повышает уровень вашей безопасности и позволяет экономить интернет-трафик, но и снижает нагрузку на рабочие компьютеры.
• Использование Dr.Web Enterprise Security Suite позволит перекрыть все пути поступления вирусов и спама на компьютеры и выполнить требования по защите данных в части защиты от несанкционированного доступа и централизованной защиты каналов передачи данных. При этом Dr.Web Enterprise Security Suite:
  • дает вам возможность контроля состояния вашей защиты из любой точки мира;
  • позволяет оперативно реагировать на возникающие проблемы, что, в свою очередь, снижает риск заражения сети и финансовых потерь компании из-за потери данных, отключения от Интернета, заражения партнёров по бизнесу;
  • автоматизирует рутинные операции по обеспечению безопасности, сбору статистики и периодической проверке сети.
• Использование для организации защиты программ от одного производителя не только снижает стоимость закупки и исключает проблему несовместимости программ от разных производителей, но и позволяет сэкономить трафик после их установки!

Поставка производится только на дисках, содержащих верифицированные версии.

Область скачивания сертифицированных ФСТЭК России версий Dr.Web

Отсутствует, так как все сертифицированные продукты поставляются только на дисках.

Обновление сертифицированных ФСТЭК России версий Dr.Web

Обновления производятся со специально созданных областей.

• Обновление компонентов: изменение компонентов защиты не допускается. Оно происходит только после проведения инспекционного контроля испытательной лабораторией по линии сертифицирующего ведомства. После этого проверенные компоненты попадают на области обновления, а также в формуляры (с новыми контрольными суммами).
• Обновление вирусных баз: вирусные базы Dr.Web не подвергаются контрольному суммированию при сертификации, т.к. контрольные суммы создаются только на исполняемые файлы и библиотеки, а вирусные базы не содержат исполняемых модулей. Таким образом, обновление вирусных баз является сертифицированной функцией продуктов.

Контрольные суммы

Эталонные значения контрольных сумм сертифицированных версий Dr.Web заявлены в формулярах на соответствующие продукты и в открытом доступе не публикуются. Подсчет контрольных сумм осуществляется с помощью программы "ПИК-Эшелон" по алгоритму ФИКС Уровень 1.

Dr.Web для бизнеса сертифицированный (картонная коробка)

Формируемое решение для одного или нескольких продуктов Dr.Web Enterprise Security Suite, сертифицированных ФСТЭК России.

Комплектация:

• фирменная картонная коробка Dr.Web;
• бланк лицензионного договора;
• DVD-диск с дистрибутивами сертифицированных программ Dr.Web в фирменном конверте;
• формуляр;
• голографическая наклейка ФСТЭК*.

*Качество клеящего слоя наклейки не дает гарантии, что она удержится на диске в процессе его эксплуатации в CD-приводе. Отслоение наклейки может привести к различным негативным последствиям, вплоть до отказа оборудования, поэтому она наклеивается на формуляр, что согласовано со ФСТЭК России.

* Возможна поставка на двух компакт-дисках.

Глоссарий

Персональные данные (ПД) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Конфиденциальность персональных данных — документированная информация, доступ к которой ограничивается в соответствии с законодательством Российской Федерации. К конфиденциальной информации относятся сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях. Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Первый уровень защищенности персональных данных устанавливается при наличии хотя бы одного из следующих условий:

а) для информационной системы актуальны угрозы 1-го типа (угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе) и информационная система обрабатывает либо специальные категории персональных данных, либо биометрические персональные данные, либо иные категории персональных данных;

б) для информационной системы актуальны угрозы 2-го типа (угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе.) и информационная система обрабатывает специальные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.

Только Dr.Web Enterprise Security Suite может быть использован для обеспечения 1-го уровня защищенности персональных данных, а также систем, содержащих документы с уровнем «Совершенно секретно».

Федеральный закон Российской Федерации
от 27 июля 2006 г.
№ 152-ФЗ «О персональных данных» (далее – «Закон»)

Краткие факты

Дата вступления Закона в силу: 27.07.2006 г.

1. Что Закон требует защищать?

   Персональные данные (ПД).

   Персональные данные (ПД) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

2. Какие категории ПД подлежат защите согласно Постановлению Правительства Российской Федерации от 1 ноября 2012 г. № 1119, Приказу ФСТЭК РФ № 21?

   Согласно ПП РФ №1119 подлежат защите специальные, биометрические, общедоступные и иные персональные данные. При этом персональными данными согласно 152-ФЗ являются в том числе "фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии".

   Согласно Приказу ФСТЭК РФ № 21 "в состав мер по обеспечению безопасности персональных данных, реализуемых в рамках системы защиты персональных данных с учетом актуальных угроз безопасности персональных данных и применяемых информационных технологий" должны входить такие меры, как

   • идентификация и аутентификация субъектов доступа и объектов доступа;
   • управление доступом субъектов доступа к объектам доступа;
   • ограничение программной среды;
   • защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные (далее - машинные носители персональных данных);
   • регистрация событий безопасности;
   • антивирусная защита;
   • обнаружение (предотвращение) вторжений;
   • контроль (анализ) защищенности персональных данных;
   • обеспечение целостности информационной системы и персональных данных;
   • обеспечение доступности персональных данных;
   • защита среды виртуализации;
   • защита технических средств;
   • защита информационной системы, ее средств, систем связи и передачи данных;

   Согласно вышеуказанным требованиям все компании должны защищать персональные данные, а также использовать антивирусную защиту.

   Dr.Web Enterprise Security Suite совмещает в своем составе возможности антивируса, файрвола, системы ограничения доступа к защищаемым данным. Возможности Dr.Web Enterprise Security Suite позволяют регистрировать события безопасности, обеспечивать защиту сменных носителей информации и многое другое.

   Грамотное использование Dr.Web Enterprise Security Suite дает возможность существенно снизить затраты на выполнение требований по защите персональных данных!

3. Кто должен защищать персональные данные?

   В соответствии со ст. 19 Закона «О персональных данных», оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий. Соответственно, защищать персональные данные должен Оператор ИСПД.

   «Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных».

   Вывод

   Любая компания или организация, имеющая контакты с юридическими и/или с физическими лицами, должна защищать ПД таких лиц в том случае, если этих данных достаточно для персонализации. Как показывает практика, большинство компаний имеют и хранят такие данные.

4. Где требуется защищать ПД?

   Согласно Приказу ФСТЭК РФ № 21 для обеспечения 1 и 2 уровней защищенности персональных данных средства антивирусной защиты применяются в обязательном порядке. Для обеспечения 3 уровня защищенности используются средства антивирусной защиты не ниже 4 класса защиты:

   • в случае актуальности угроз 2-го типа
   • взаимодействия информационной системы с информационно-телекоммуникационными сетями международного информационного обмена

   Средства антивирусной защиты должны применяться даже в случае актуальности угроз только 3-го типа и отсутствия взаимодействия информационной системы с информационно-телекоммуникационными сетями международного информационного обмена (сетью Интернет).

   Вывод

   ИСПДн для любой компании или организации, хранящей или обрабатывающей персональные данные, имеющей подключения к открытым сетям или предусматривающей обмен данными, обязательно обеспечение защиты от атак из внешних сетей, включая антивирусную защиту - и это необходимо даже при отсутствии выхода со станции или сервера в сеть Интернет.

5. C какой целью сертифицируется антивирусное ПО согласно Закону?

   Ст. 19 Закона гласит, что "обеспечение безопасности персональных данных достигается, в частности:... применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации "

   Согласно Приказу ФСТЭК РФ № 21 "для обеспечения 1 и 2 уровней защищенности персональных данных, а также для обеспечения 3 уровня защищенности персональных данных в информационных системах, для которых к актуальным отнесены угрозы 2-го типа, применяются средства защиты информации, программное обеспечение которых прошло проверку не ниже чем по 4 уровню контроля отсутствия недекларированных возможностей"

6. Как классифицировать информационную систему?

   Согласно Приказу ФСТЭК РФ № 21 "Выбор мер по обеспечению безопасности персональных данных, подлежащих реализации в информационной системе в рамках системы защиты персональных данных, включает:

   • определение базового набора мер по обеспечению безопасности персональных данных для установленного уровня защищенности персональных данных в соответствии с базовыми наборами мер по обеспечению безопасности персональных данных, приведенными в приложении к настоящему документу;
   • адаптацию базового набора мер по обеспечению безопасности персональных данных с учетом структурно-функциональных характеристик информационной системы, информационных технологий, особенностей функционирования информационной системы (в том числе исключение из базового набора мер, непосредственно связанных с информационными технологиями, не используемыми в информационной системе, или структурно-функциональными характеристиками, не свойственными информационной системе);
   • уточнение адаптированного базового набора мер по обеспечению безопасности персональных данных с учетом не выбранных ранее мер, приведенных в приложении к настоящему документу, в результате чего определяются меры по обеспечению безопасности персональных данных, направленные на нейтрализацию всех актуальных угроз безопасности персональных данных для конкретной информационной системы;
   • дополнение уточненного адаптированного базового набора мер по обеспечению безопасности персональных данных мерами, обеспечивающими выполнение требований к защите персональных данных, установленными иными нормативными правовыми актами в области обеспечения безопасности персональных данных и защиты информации.

   10. При невозможности технической реализации отдельных выбранных мер по обеспечению безопасности персональных данных, а также с учетом экономической целесообразности на этапах адаптации базового набора мер и (или) уточнения адаптированного базового набора мер могут разрабатываться иные (компенсирующие) меры, направленные на нейтрализацию актуальных угроз безопасности персональных данных.

   В этом случае в ходе разработки системы защиты персональных данных должно быть проведено обоснование применения компенсирующих мер для обеспечения безопасности персональных данных."

   Вывод

   Компании и организации, обеспечивающие защиту персональных данных самостоятельно выбирают меры защиты информации соответственно необходимое программное обеспечение.

   Грамотное использование Dr.Web Enterprise Security Suite дает возможность существенно снизить затраты на выполнение требований по защите персональных данных путем исключения продуктов с избыточным функционалом!

7. Другие требования в области обеспечения защиты персональных данных

   Выдержки из Приказа Федеральной службы по техническому и экспортному контролю (ФСТЭК России) от 18 февраля 2013 г. № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных», Методического документа от 11 февраля 2014 г. «Меры защиты информации в государственных информационных системах»

   Использование антивирусной защиты	Меры по антивирусной защите должны обеспечивать обнаружение в информационной системе компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирование на обнаружение этих программ и информации
   Использование антивирусной защиты везде, где только могут быть внедрены вредоносные программы	Реализация антивирусной защиты должна предусматривать ... применение средств антивирусной защиты на: автоматизированных рабочих местах, серверах, периметральных средствах защиты информации (средствах межсетевого экранирования, прокси-серверах, почтовых шлюзах и других средствах защиты информации), мобильных технических средствах иных точках доступа в информационную систему, подверженных внедрению (заражению) вредоносными компьютерными программами (вирусами) через съемные машинные носители информации или сетевые подключения, в том числе к сетям общего пользования (вложения электронной почты, веб- и другие сетевые сервисы);
   Использование централизованного управления	Реализация антивирусной защиты должна предусматривать ... установку, конфигурирование и управление средствами антивирусной защиты; централизованное управление (установка, удаление, обновление, конфигурирование и контроль актуальности версий программного обеспечения средств антивирусной защиты) средствами антивирусной защиты, установленными на компонентах информационной системы (серверах, автоматизированных рабочих местах); оповещение администраторов безопасности в масштабе времени, близком к реальному, об обнаружении вредоносных компьютерных программ (вирусов);
   Использование функций Офисного контроля	Реализация антивирусной защиты должна предусматривать ... запрет использования съемных машинных носителей информации, которые могут являться источниками вредоносных компьютерных программ (вирусов);
   Защита всех виртуальных рабочих станций и серверов	должны обеспечиваться реализация и управление антивирусной защитой в виртуальной инфраструктуре ... должны обеспечиваться ... проверка наличия вредоносных программ (вирусов) в хостовой операционной системе, включая контроль файловой системы, памяти, запущенных приложений и процессов; проверка наличия вредоносных программ в гостевой операционной системе, в процессе ее функционирования, включая контроль файловой системы, памяти, запущенных приложений и процессов.
   Централизованное управление	должна обеспечиваться реализация технологии обновления программного обеспечения и баз данных признаков компьютерных вирусов средств антивирусной защиты, предусматривающая однократную передачу обновлений на сервер виртуальной инфраструктуры для их последующего применения в виртуальных машинах
   Защита сменных носителей и смартфонов	Оператором должна осуществляться защита применяемых в информационной системе мобильных технических средств. К мобильным техническим средствам относятся съемные машинные носители информации (флэш-накопители, внешние накопители на жестких дисках и иные носители), а также портативные вычислительные устройства и устройства связи с возможностью обработки информации (например, ноутбуки, нетбуки, планшеты, сотовые телефоны, цифровые камеры, звукозаписывающие устройства и иные средства). Защита мобильных технических средств включает: Реализацию в зависимости от мобильного технического средства (типа мобильного технического средства) мер по ... ограничению программной среды ..., регистрации событий безопасности ... , антивирусной защите... запрет возможности автоматического запуска (без команды пользователя) в информационной системе программного обеспечения на мобильных технических средствах.
   Использование антивирусной защиты на уровне шлюза	оператором должно обеспечиваться применение технических средств защиты периметра уровня узла, устанавливаемых на портативные вычислительные устройства;

8. Ответственность за нарушение требований Федерального закона «О персональных данных»

   «Лица, виновные в нарушении требований настоящего Федерального закона, несут предусмотренную законодательством Российской Федерации ответственность».

Дополнительно

• Лицензии и сертификаты
• Брошюра «Антивирусная система защиты»

О технологиях

• Система антивирусной защиты
• Технологии антивирусного ядра Dr.Web
• Антиспам-технологии
• Вирусная база Dr.Web
• Система обновлений

А также

• Обучение и сертификация