- •Пояснительная записка
- •Конспект лекций по дисциплине «Информационная безопасность» Лекция 1-2 «Роль и место знаний по дисциплине в сфере профессиональной деятельности»
- •Лекция 2-3 «Понятие информационной безопасности» Уровни зрелости соиб организации
- •Законодательная, нормативно-правовая и научная база
- •Структура и задачи органов (подразделений), обеспечивающих безопасность ит
- •Программно-технические способы и средства обеспечения информационной безопасности
- •Средства защиты от несанкционированного доступа (нсд)
- •Криптографические средства
- •Лекция 5-6 «Наиболее распространенные угрозы»
- •Лекция 7-8 «Оценочные стандарты и технические спецификации»
- •"Оранжевая книга" как оценочный стандарт
- •Лекция 9-10 «Рекомендации х.800»
- •Лекция 11-12 «Стандарт iso/ise 15408. Критерии безопасности информационных технологий»
- •Часть 1. Введение и общая модель.
- •Часть 2. Функциональные требования безопасности.
- •Часть 3. Гарантийные требования безопасности (вариант перевода - "требования гарантированности").
- •Требования общих критериев и результаты оценки
- •Лекция 13-14 «Обзор российского законодательства в области информационной безопасности»
- •Виды угроз информационной безопасности Российской Федерации
- •Лекция 15-16 «Обзор зарубежных законодательных актов»
- •Лекция 17-18 «Основные понятия. Политика безопасности»
- •Лекция 19-20 «Программа безопасности»
- •Лекция 21-22 «Управление рисками» Основные принципы управления рисками информационной безопасности
- •Лекция 23-24 «Основные понятия. Классы мер процедурного уровня»
- •Лекция 25-26 «Поддержание работоспособности информационных систем»
- •Требования к системе резервного копирования
- •Виды резервного копирования
- •Лекция 27-28 «Планирование восстановительных работ»
- •Лекция 29-30 «Основные понятия программно-технического уровня информационной безопасности»
- •Лекция 31-32 «Архитектурная безопасность»
- •Сервисы безопасности: Идентификация/аутентификация
- •Разграничение доступа
- •Протоколирование/аудит
- •Экранирование
- •Туннелирование
- •Контроль защищенности
- •Лекция 33-34 «Идентификация и аутентификация. Управление доступом»
- •1. Основанные на знании лицом, имеющим право на доступ к ресурсам системы, некоторой секретной информации – пароля.
- •2. Основанные на использовании уникального предмета: жетона, электронной карточки и др.
- •3. Основанные на измерении биометрических параметров человека – физиологических или поведенческих атрибутах живого организма.
- •4. Основанные на информации, ассоциированной с пользователем, например, с его координатами.
- •Лекция 35-36 «Протоколирование и аудит, шифрование, управление доступом»
- •Лекция 37-38 «Обзор антивирусных и иных защитных программ» Принципы работы антивирусных программ Общие сведения
- •Сигнатурный поиск
- •Эвристический анализ
- •Детектирование аномального поведения
- •Шифрование методом замены (подстановки)
- •Одноалфавитная подстановка
- •Многоалфавитная одноконтурная обыкновенная подстановка
- •Многоалфавитная одноконтурная монофоническая подстановка
- •Практическое занятие 2 (лекция 41-42) «Шифрование файлов»
- •Простая перестановка
- •Перестановка, усложненная по таблице
- •Практическое занятие 3, 4 (лекция 43-44) «Работа с антивирусным программным обеспечением. Архивация файлов» Архиватор WinZip
- •Архиватор WinRar
- •Практическое занятие 5 (лекция 45-46) «Настройка параметров безопасности пк»
-
Часть 1. Введение и общая модель.
-
Часть 2. Функциональные требования безопасности.
-
Часть 3. Гарантийные требования безопасности (вариант перевода - "требования гарантированности").
Как видно из приведенного перечня, "Общие критерии" предусматривают наличие двух типов требований безопасности - функциональных и гарантированности. Функциональные требования относятся к сервисам безопасности, таким как идентификация, аутентификация, управление доступом, аудит и т.д. Требования гарантированности относятся к технологии разработки, тестированию, анализу уязвимостей, поставке, сопровождению, эксплуатационной документации и т.д.
Между компонентами могут существовать зависимости. Они возникают, когда компонент недостаточен для выполнения цели безопасности и необходимо наличие другого компонента.
Стандарт определяет функцию безопасности, как часть или части ОО (объекта оценки), на которые возлагается реализация тесно связанного подмножества правил из политики безопасности. Функции безопасности характеризуются стойкостью. Стойкость функции безопасности ОО - это ее характеристика, выражающая минимально необходимое воздействие на ее механизмы безопасности, в результате которого нарушается политика безопасности в части этой функции. Выделяется базовая, средняя и высокая стойкость.
Базовая стойкость означает, что функция обеспечивает адекватную защиту от случайного нарушения безопасности ОО нарушителем с низким потенциалом нападения.
Средняя стойкость - функция обеспечивает защиту от целенаправленного нарушения безопасности ОО нарушителем с умеренным потенциалом нападения.
Высокая стойкость - такой уровень стойкости функции безопасности ОО, на котором она обеспечивает защиту от тщательно спланированного и организованного нарушения безопасности ОО нарушителем с высоким потенциалом нападения.
Требования общих критериев и результаты оценки
Рисунок 1 – Результаты оценки
где: ОО – объект оценки;
ПЗ – профиль защиты;
ЗБ – задание по безопасности;
Необходимо, чтобы оценка приводила к объективным и повторяемым результатам, на которые затем можно ссылаться как на свидетельство, даже при отсутствии абсолютно объективной шкалы для представления результатов оценки безопасности ИТ. Наличие совокупности критериев оценки является необходимым предварительным условием для того, чтобы оценка приводила к значимому результату, предоставляя техническую основу для взаимного признания результатов оценки различными органами оценки. Но практическое применение критериев включает как объективные, так и субъективные элементы, поэтому невозможно получение абсолютно точных и универсальных рейтингов безопасности ИТ.
Рейтинг, полученный в соответствии с ОК, представляет итоговые данные специфического типа исследования характеристик безопасности ОО. Такой рейтинг не гарантирует пригодность к использованию в какой-либо конкретной среде применения. Решение о приемке ОО к использованию в конкретной среде применения основывается на учете многих аспектов безопасности, включая и выводы оценки.
Лекция 13-14 «Обзор российского законодательства в области информационной безопасности»
Основным законом Российской Федерации является Конституция, принятая 12 декабря 1993 года.
В соответствии со ст. 24 Конституции, органы государственной власти и органы местного самоуправления, их должностные лица обязаны обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом. Ст. 41 гарантирует право на знание фактов и обстоятельств, создающих угрозу для жизни и здоровья людей, ст. 42 – право на знание достоверной информации о состоянии окружающей среды.
Ст. 23 Конституции гарантирует право на личную и семейную тайну, на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, ст. 29 – право свободно искать, получать, передавать, производить и распространять информацию любым законным способом. Современная интерпретация этих положений включает обеспечение конфиденциальности данных, в том числе в процессе их передачи по компьютерным сетям, а также доступ к средствам защиты информации.
Доктрина информационной безопасности Российской Федерации
(утверждена Президентом Российской Федерации В.Путиным 9 сентября 2000 г., № Пр-1895)
Доктрина информационной безопасности Российской Федерации представляет собой совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности Российской Федерации.
Настоящая Доктрина служит основой для:
-
формирования государственной политики в области обеспечения информационной безопасности Российской Федерации;
-
подготовки предложений по совершенствованию правового, методического, научно-технического и организационного обеспечения информационной безопасности Российской Федерации;
-
разработки целевых программ обеспечения информационной безопасности Российской Федерации.
Настоящая Доктрина развивает Концепцию национальной безопасности Российской Федерации применительно к информационной сфере.