Викентий Францев, 17/07/23
История разработки решения для безопасной дистанционной работы Aladdin LiveOffice в начале 2020 г. стала для компании Аладдин интересным технологическим вызовом. Была задача перевести на дистанционную работу сотрудников налоговой службы, поскольку не было необходимого количества служебных ноутбуков со средствами защиты информации. Пришлось срочно разрабатывать решение для обеспечения дистанционной работы и защиты доступа к информационной системе с использованием личных компьютеров сотрудников с возможностью подключаться к государственным информационным системам, обрабатывать конфиденциальную информацию и персональные данные.
Автор: Викентий Францев, руководитель продуктового направления ЗНИ, компания Аладдин
В марте 2020 г. силами ФСТЭК России были разработаны технические решения для перевода госслужащих на дистанционной режим работы. Классический вариант обеспечения безопасной дистанционной работы предполагал применение служебных ноутбуков. Альтернативный вариант учитывал ситуацию с недостаточным количеством служебных ноутбуков и допускал использование технологии Live USB. ФСТЭК России разработала требования ИБ к тому, что именно USB-носитель должен содержать, какие средства на нем должны быть установлены.
Новые меры предполагали применение на носителях сертифицированной операционной системы, средств доверенной загрузки и криптографической защиты информации.
Дополнительные условия, которые потребовалось учесть в Aladdin LiveOffice, были продиктованы соображениями безопасности:
- удобство для подключения сотрудника к информационной системе без ввода логина и пароля для предотвращения кражи учетных данных;
- удобство использования личного компьютера, но без возможности скопировать, сохранить или распечатать обрабатываемую информацию;
- удобство выполнения обычной офисной работы: выхода в Интернет, обмена данными с коллегами, подключения к информационным системам.
Внешний вид Aladdin LiveOffice
Aladdin LiveOffice позволяет:
- дистанционно работать в ГИС, КИИ, ИСПДн;
- обрабатывать служебные сведения и практически все виды тайн (кроме гостайны);
- использовать электронную подпись в системах документооборота.
Aladdin LiveOffice может использоваться при работе как из дома, так и в офисе:
- как обычный корпоративный USB-токен для 2ФА при доступе в ИС предприятия, к различным электронным сервисам;
- как полноценное средство электронной подписи для работы в системах электронного документооборота, на торговых площадках, с электронными сервисами и пр.
Преимущества Aladdin LiveOffice
- Aladdin LiveOffice в несколько раз дешевле защищенного служебного (корпоративного) ноутбука.
- Aladdin LiveOffice существенно компактнее, всегда с собой, позволяет подключиться и безопасно поработать с личного или любого недоверенного компьютера.
- Aladdin LiveOffice безопаснее: поверхность атаки существенно меньше, чем при использовании ноутбука.
- Не нужно переучиваться и привыкать к новому средству: все процессы происходят на служебном компьютере, документы находятся на привычных местах.
- Легче обслуживать: пользователи работают в терминальном режиме из фиксированной замкнутой доверенной среды.
- Возможность встраивания решения Aladdin LiveOffice в существующую инфраструктуру с минимальными ее изменениями.
- Aladdin LiveOffice удобнее в работе: пароль вводится один раз и можно продолжить начатую в офисе работу с того же места, но уже из дома.
- При организации дистанционной работы в ГИС, ИСПДн, КИИ не требуется аттестация рабочего места сотрудника, поэтому значительно проще готовить и проходить аттестацию ИС/АС.
- Легче обеспечить выполнение требований регуляторов (в частности, по контролируемой зоне).
Как работает Aladdin LiveOffice
При включении компьютера со встроенной флеш-памяти подключенного USB-токена загружается доверенная сертифицированная ОС, в процессе ее загрузки осуществляется аутентификация пользователя и проверка – авторизован ли данный компьютер для дистанционной работы.
Если проверки проходят успешно, производится подключение к Интернету, автоматически устанавливается защищенное VPN-соединение со шлюзом организации, устанавливается RDP-соединение с физическим служебным компьютером или виртуальным (VDI).
Далее пользователь работает в замкнутой доверенной среде, не имея возможности что-то сохранить на свой локальный диск или флешку, загрузить что-либо с диска в ИС, распечатать обрабатываемые данные на своем локальном принтере, отослать их по электронной почте или через мессенджер. Данные передаются по сети в зашифрованном виде.
Пользователь не сможет изменить образ установленной администратором ОС, загрузить и использовать свои приложения, узнать или изменить настройки и параметры удаленного подключения. Он даже не знает свой пароль для удаленного подключения, следовательно, и не сможет его кому-то передать и дискредитировать.
Типовые сценарии использования решения, которые актуальны сегодня:
- Дистанционная работа сотрудников при использовании ими личных компьютеров:
- во время болезни, отпуска, командировки;
- для сотрудников, временно уехавших из страны, но продолжающих работать дистанционно, с доступом в ИС организации, что повышает риски утечки и компрометации чувствительных данных. - Организация безопасного доступа привилегированных пользователей к критически важным информационным ресурсам организации, если стоит задача не допустить утечки, компрометации, искажения чувствительной информации, снизить вероятность атак и последствий от деструктивных действий внутренних и внешних нарушителей.
- Организация безопасной работы внешних агентов организации.
Пример использования
Организация является оператором персональных данных (оформление полисов), полисы оформляют внешние агенты. Заставить внешних агентов выполнять все требования регуляторов, политик и требований организации по безопасности практически невозможно. Агенты используют для удаленной работы неконтролируемые организацией компьютеры, их аккаунты (логины, пароли, настройки для подключения) могут использоваться посторонними, передаваться третьим лицам, контролировать их использование организация не может. Данные клиентов (персональные данные, оформленные полисы) хранятся на компьютерах агентов, бесконтрольно копируются и утекают, попадают в консолидированные хакерские базы, что несет огромные репутационные риски и оборотные штрафы для организации.
Решение:
- Организация предъявляет требования к средствам для безопасной дистанционной работы, с помощью которых разрешено подключение к ее ИС (по аналогии с ФНС – требования к средствам электронной подписи).
- Агенты (зарабатывающие на оказании услуг по оформлению полисов) самостоятельно приобретают нужные средства или выполняют требования по защите своих компьютеров в соответствии с требованиями 17-го приказа ФСТЭК России ("Меры защиты") и предоставляют их организации для записи сертификатов доступа и параметров подключения к ее ИС. Использование специализированного средства Aladdin LiveOffice обходится значительно дешевле, чем защищенный по требованиям ФСТЭК и ФСБ России компьютер, который в случае с ГИС должен являться частью аттестованной ГИС, что потребует ее переаттестации, организации контролируемой зоны и пр. (что практически нереализуемо).
- При использовании Aladdin LiveOffice внешние агенты будут знать только ПИН-код своего устройства. Ни пароля, ни параметров для подключения к ИС организации они знать не будут, не смогут сохранять у себя данные клиентов, обрабатываемые документы – все это существенно снижает риски утечек и экономит бюджет организации.
Еще один пример использования
Организация является оператором персональных данных, государственной организацией, субъектом КИИ. Для автоматизации используется ПО 1С (Предприятия/Бухгалтерии/Кадры/фреш или др.). Информация в 1С – критическая для организации (данные поставщиков, кадры, цены и пр.). Продукт 1С установлен в закрытом контуре, ИС организации аттестована, поддержкой 1С занимается внешняя организация (1С-франчайзи). Часть функций бухучета (кадровый учет) ведет внешний совместитель. ИС аттестована, добавить компьютер с удаленным доступом – значит включить его в состав ИС и провести переаттестацию (предварительно выполнив все требования регуляторов), это сложно и дорого.
Решение:
- Использование Aladdin LiveOffice, добавление его в состав аттестованной ИС (это несложно, поскольку решение безопасно и сертифицировано именно для этих целей). Проблема контролируемой зоны решается выпуском инструкции для пользователя.
Aladdin LiveOffice выпускается в двух вариантах исполнения
Сертификация
Отдельные классы сертификации для средств дистанционной работы не предусмотрены, поэтому используются требования по уровням доверия в зависимости от того, где необходимо применять LiveOffice.
Решение Aladdin LiveOffice сертифицировано ФСТЭК России по 4-му уровню доверия и может применяться:
- в государственных информационных системах (ГИС) до 1-го класса защищенности включительно;
- в информационных системах персональных данных (ИСПДн) до 1-й категории включительно;
- в ИС значимых объектов критической информационной инфраструктуры (КИИ) до 1-й категории включительно;
- в АСУ ТП на критически важных объектах до 1-го класса защищенности включительно;
- в медицинских (МИС), банковских (ИБС) и других ИС до 1-го класса защищенности включительно;
- в информационных системах общего пользования 2-го класса.
В части микроэлектроники разработана отдельная версия решения на отечественном IoT-микроконтроллере 1892ВМ268 – Cortex M33 с технологией TrustZone производства АО НПЦ "ЭЛВИС", что дало увеличение скорости работы с зашифрованными разделами до 20 Мбайт/с, а это максимальная скорость для USB 2.0.
Решение включено в реестр Минцифры.
Для оценки работы Aladdin LiveOffice можно заказать специальный демокомплект. В его состав входят:
- USB-устройство Aladdin LiveOffice с набором предустановленного ПО, настроенные для подключения к шлюзу демозоны компании Аладдин.
- Инструкция по подключению и использованию.
