- •1. Понятие «информационная безопасность». Основные термины и определения
- •2. Понятия целостности, конфиденциальности и доступности информации
- •3. Составляющие информационной безопасности, системы обеспечения
- •4. Основные нормативные документы в области информационной безопасности
- •5. Органы (подразделения), обеспечивающие информационную безопасность
- •6. Службы, организующие защиту информации на уровне предприятия
- •7. Организационно-технические и режимные меры и методы (политика безопасности информации в организации).
- •8. Организационно-технические и режимные меры и методы
- •9. Программно-технические способы и средства обеспечения информационной безопасности
- •10. Исторические аспекты возникновения и развития информационной безопасности
- •11. Понятия угрозы, уязвимости, атаки. Базовые угрозы
- •12. Критерии определения безопасности компьютерных систем.
- •13. Политики безопасности – мандатная и дискреционная политики безопасности
- •14. Понятия аутентификации, авторизации и аудита
- •15. Метки безопасности и принудительное управление доступом
- •16. Разделы и классы безопасности. «Оранжевая книга», международные и
- •17. Криптографическая защита информации. Правило Керхгоффа
- •18. Симметричные и асимметричные криптографические системы
- •19. Инфраструктура открытых ключей
- •20. Электронная подпись, электронная цифровая подпись
- •21. Виды электронной подписи
- •22. Процедура подписания документа с помощью эцп
- •23. Программные средства работы с эцп
- •24. Обеспечение безопасности автономной рабочей станции
- •25. Модели управления безопасностью: модель «Рабочая группа» и централизованная доменная модель
- •26. Службы каталогов Active Directory
- •27. Локализация трафика и изоляция сетей
- •28. Безопасность в Wi-Fi сетях
13. Политики безопасности – мандатная и дискреционная политики безопасности
Политики безопасности должны быть подробными, четко определёнными и обязательными для компьютерной системы. Есть две основных политики безопасности:
Мандатная политика безопасности — обязательные правила управления доступом напрямую основанные на индивидуальном разрешении, разрешении на доступ к информации и уровне конфиденциальности запрашиваемой информации. Другие косвенные факторы являются существенными и окружающими. Эта политика также должна точно соответствовать закону, главной политике и прочим важным руководствам, в которых устанавливаются правила.
Дискреционная политика безопасности — предоставляет непротиворечивый набор правил для управления и ограничения доступа, основанный на идентификации тех пользователей, которые намерены получить только необходимую им информацию.
14. Понятия аутентификации, авторизации и аудита
Индивидуальная ответственность в независимости от политики должна быть обязательной. Есть три требования по условиям ответственности:
Аутентификация — процесс используемый для распознавания индивидуального пользователя.
Авторизация — проверка разрешения индивидуальному пользователю на получение информации определённого рода.
Аудит — контролируемая информация должна избирательно храниться и защищаться в мере, достаточной для отслеживания действий аутентифицированного пользователя, затрагивающих безопасность.
15. Метки безопасности и принудительное управление доступом
Предусмотрены метки для субъектов (степень благонадежности) и объектов (степень конфиденциальности информации). Метки безопасности содержат данные об уровне секретности и категории, к которой относятся данные. Согласно «Оранжевой книге», метки безопасности состоят из двух частей — уровня секретности и списка категорий. Уровни секретности, поддерживаемые системой, образуют упорядоченное множество, например:
совершенно секретно;
секретно;
конфиденциально;
несекретно.
Категории образуют неупорядоченный набор. Их назначение — описать предметную область, к которой относятся данные. В военном окружении каждая категория может соответствовать, например, определенному виду вооружений. Механизм категорий позволяет разделить информацию по разделам, что способствует лучшей защищенности. Субъект не может получить доступ к «чужим» категориям, даже если его уровень благонадежности «совершенно секретно». Специалист по танкам не узнает тактико-технические данные самолетов.
Принудительное управление доступом основано на сопоставлении меток безопасности субъекта и объекта. Субъект может читать информацию из объекта, если уровень секретности субъекта не ниже, чем у объекта, а все категории, перечисленные в метке безопасности объекта, присутствуют в метке субъекта. В таком случае говорят, что метка субъекта доминирует над меткой объекта. Субъект может записывать информацию в объект, если метка безопасности объекта доминирует над меткой субъекта. В частности, «конфиденциальный» субъект может писать в секретные файлы, но не может — в несекретные.