- •Этапы построения ксзи
- •Субъекты и объекты ксзи
- •Порядок проведения аттестации и контроля объектов информатизации
- •Организационная структура системы аттестации объектов информатизации по требованиям безопасности информации
- •Назначение аттестации объектов информатизации
- •6. Основные руководящие документы фстэк России по аттестации объектов информатизации
- •Основные руководящие документы фстэк России по аттестации объектов информатизации
- •Права, ответственность и обязанности органа по аттестации
- •Исходные данные по аттестуемому объекту информатизации
- •Оформление, регистрация и выдача аттестатов соответствия
- •Действия в случае изменения условий и технологии обработки защищаемой информации
- •Требования к нормативным и методическим документам по аттестации объектов информатизации
- •12. Каналы утечки информации, обрабатываемой в овт
- •Каналы утечки информации, обрабатываемой в овт
- •Разрешительные документы, необходимые для проведения работ по аттестации ои
- •14. Методы и средства защиты информации в овт от утечки по техническим каналам
- •Методы и средства защиты информации в овт от утечки по техническим каналам
- •Мероприятия по защите информации на ои
- •16. Требования к средствам защиты информации на ои
- •Требования к средствам защиты информации на ои
- •Каналы утечки речевой информации в вп
- •18. Методы и средства защиты информации в вп от утечки по техническим каналам
- •Методы и средства защиты информации в вп от утечки по техническим каналам
- •Структура программы проведения аттестационных испытаний ои
- •20. Классификация автоматизированных систем в составе объектов вычислительной техники
- •Классификация автоматизированных систем в составе объектов вычислительной техники
- •Категорирование объектов информатизации
- •Подбор средств защиты информации от несанкционированного доступа
- •Организация защиты пэвм от несанкционированного доступа
- •24. Методы и средства защиты от несанкционированного доступа
- •Методы и средства защиты от несанкционированного доступа
- •Методы защиты программно-аппаратными средствами ас
- •Требования и рекомендации по защите информации от несанкционированного доступа
Методы и средства защиты от несанкционированного доступа
Методы можно классифицировать на формальные и неформальные.
Неформальный метод описывает процесс реализации какой-либо функции, который не может быть выражен в обобщённых алгоритмах. При этом под алгоритмом понимается точное предписание, определяющее последовательность действий, необходимую для получения требуемого результата.
Формальный метод задаёт обобщённые алгоритмы реализации какой-либо функции или другими словами – обобщённые алгоритмы решения какой-либо задачи.
Отдельные методы могут быть комбинированными или полуформальными, когда одна их часть соответствует формальному признаку, а другая – неформальному.
По способам осуществления все меры обеспечения безопасности компьютерных систем подразделяются на правовые (законодательные), морально-этические, административные, физические и аппаратно-программные. Все перечисленные меры безопасности АС можно рассматривать как последовательность барьеров или рубежей защиты информации.
Для использования методов защиты АС на практике создаются средства защиты. Средства защиты в свою очередь также разделяются на формальные и неформальные.
Формальные средства являются техническими устройствами или компьютерными программами, функционирующими по реализованным в них алгоритмам.
Неформальные средства сами по себе функционировать не могут, так как являются мероприятиями, проводимыми людьми, или правилами (законами, актами, нормами и т.д.), регламентирующими деятельность людей или функционирование формальных средств защиты.
Методы защиты программно-аппаратными средствами ас
Функции и методы:
Защита от несанкционированного доступа к ресурсам АС
- Идентификация
- Аутентификация
- Разграничение доступа
- Завершение сеанса работы
- Защита от компьютерных вирусов
- Регистрация и сигнализация
Защита от несанкционированного использования ресурсов
- Защита программ от копирования, исследования и модификации
- Шифрование и контрольное суммирование информации
- Уничтожение остаточных данных и аварийное уничтожение
- Регистрация и сигнализация
Защита от некорректного использования ресурсов
- Изолирование участков оперативной памяти
- Защита системных областей внешней памяти
- Поддержание целостности и непротиворечивости данных
Внесение информационной и функциональной избыточности ресурсов АС
- Резервирование информации
- Тестирование и самотестирование
- Восстановление и самовосстановление
- Дублирование компонентов АС
Разработка качественных программно-аппаратных средств АС
- Системный анализ концепции
- Безошибочное проектирование
- Эффективная отладка
Требования и рекомендации по защите информации от несанкционированного доступа
Основными направлениями защиты информации являются:
- Обеспечение защиты информации от хищения, утраты, утечки, уничтожения, искажения и подделки за счет несанкционированного доступа (НСД) и специальных воздействий;
- Обеспечение защиты информации от утечки по техническим каналам при ее обработке, хранении и передаче по каналам связи.
В качестве основных мер защиты информации с ограниченным доступом рекомендуются:
- Документальное оформление перечней сведений конфиденциального характера и чувствительной информации, подлежащей защите;
- Реализация разрешительной системы допуска исполнителей (пользователей, обслуживающего персонала) к работам, документам и информации с ограниченным доступом;
- Ограничение доступа персонала и посторонних лиц в защищаемые помещения и помещения, где размещены средства информатизации и коммуникации, а также хранятся носители информации;
- Разграничение доступа пользователей и обслуживающего персонала к информационным ресурсам, программным средствам обработки (передачи) и защиты информации;
- Учет документов, информационных массивов, регистрация действий пользователей АС и обслуживающего персонала, контроль за несанкционированным доступом и действиями пользователей, обслуживающего персонала и посторонних лиц;
- Надежное хранение традиционных и машинных носителей информации, ключей (ключевой документации) и их обращение, исключающее их хищение, подмену и уничтожение;
- Необходимое резервирование технических средств и дублирование массивов и носителей информации;
- Использование сертифицированных серийно выпускаемых в защищенном исполнении технических средств обработки, передачи и хранения информации;
- Использование сертифицированных средств защиты информации;
- Использование технических средств, удовлетворяющих требованиям стандартов по электромагнитной совместимости;
- Размещение объектов защиты на максимально возможном расстоянии относительно границы контролируемой зоны предприятия (учреждения);
- Размещение понижающих трансформаторных подстанций электропитания и контуров заземления объектов защиты в пределах контролируемой зоны;
- Развязка цепей электропитания объектов защиты с помощью защитных фильтров, блокирующих (подавляющих) информативный сигнал;
- Электрическая развязка линий связи и других цепей, выходящих за пределы контролируемой зоны и остающихся внутри нее;
- Использование защищенных каналов связи;
- Размещение дисплеев и других средств отображения информации, исключающее несанкционированный просмотр информации;
- Организация физической защиты помещений и собственно технических средств с помощью сил охраны и технических средств, предотвращающих или существенно затрудняющих проникновение в здания, помещения посторонних лиц, хищение документов и информационных носителей, самих средств информатизации, исключающих нахождение внутри контролируемой зоны технических средств разведки или промышленного шпионажа;
- Криптографическое преобразование информации, обрабатываемой и передаваемой средствами вычислительной техники и связи (при необходимости, определяемой особенностями функционирования конкретных АС и систем связи);
- Предотвращение внедрения в автоматизированные системы программ-вирусов, программных закладок.
В целях дифференцированного подхода к защите информации, обрабатываемой в АС различного уровня и назначения, осуществляемого в целях разработки и применения необходимых и достаточных мер и средств защиты информации, проводится классификация автоматизированных систем.
Классификация АС осуществляется на основании требований РД Гостехкомиссии России «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» настоящего раздела документа.
Классификации подлежат все действующие, но ранее не классифицированные, и разрабатываемые АС, предназначенные для обработки информации с ограниченным доступом.
Классифицируются АС любого уровня и назначения. Условно выделяются следующие виды АС:
- Автоматизированные рабочие места (АРМ) на базе автономных ПЭВМ;
- Локальные вычислительные сети;
- Вычислительные системы с терминальной сетью на базе различных ЭВМ;
- Неоднородные вычислительные сети на базе ЭВМ различных типов;
- Корпоративные вычислительные сети;
- Глобальные вычислительные сети, в том числе с выходом в международные телекоммуникационные сети,
- Другие АС.
Конкретные требования по защите информации и мероприятия по их выполнению определяются в зависимости от установленного для АС класса защищенности.