6. Требования к системам криптографической защиты: криптографические требования, требования надежности, требования по защите от нсд, требования к средствам разработки.

Криптографические требования. 1) Сложность и стойкость криптографического закрытия данных должны выбираться в зависимости от объема и степени секретности данных. 2) Надежность закрытия должна быть такой, чтобы секретность не нарушалась даже в том случае, когда злоумышленнику становится известен метод шифрования. 3) Метод закрытия, набор используемых ключей и механизм их распределения не должны быть слишком сложными. 4) Выполнение процедур прямого и обратного преобразований должно быть формальным. Эти процедуры не должны зависеть от длины сообщений.

Требования надежности. 1) Средства защиты должны обеспечивать заданный уровень надежности применяемых криптографических преобразований информации, определяемый значением допустимой вероятности неисправностей или сбоев, приводящих к получению злоумышленником дополнительной информации о криптографических преобразованиях. 2) Регламентные работы (ремонт и сервисное обслуживание) средств криптографической защиты не должно приводить к ухудшению свойств средств в части параметров надежности.

Требование по защите от несанкционированного доступа для средств криптографической информации в составе информационных систем. В автоматизированных информационных системах, для которых реализованы программные или аппаратные средства криптографических защиты информации, при хранении и обработке информации должны быть предусмотрены следующие основные механизмы защиты: 1) идентификация и аутентификация пользователей и субъектов доступа; 2) управление доступом; 3) обеспечения целостности; 4) регистрация и учет.

Требования к средствам разработки, изготовления и функционирования средств криптографической защиты информации. Аппаратные и программные средства, на которых ведется разработка систем криптографической защиты информации, не должны содержать явных или скрытых функциональных возможностей, позволяющих: 1) модифицировать или изменять алгоритм работы средств защиты информации в процессе их разработки, изготовления и эксплуатации; 2) модифицировать или изменять информационные или управляющие потоки, связанные с функционированием средств; 3) осуществлять доступ посторонних лиц к ключам идентификационной и аутентификационной информации; 4) получать доступ к конфиденциальной информации средств криптографической защиты информации.

7. Законодательный уровень обеспечения информационной безопасности. Основные законодательные акты РФ в области защиты информации. Классификация автоматизированных систем по классам защищенности. Показатели защищенности средств вычислительной техники от несанкционированного доступа.

Законодательный уровень обеспечения информационной безопасности. Основные законодательные акты РФ в области защиты информации. Меры законодательного уровня обеспечивают правовую поддержку мероприятий информационной безопасности. Выделяют две группы мер: 1) Меры, направленные на создание и поддержание в обществе негативного отношения к нарушениям и нарушителям информационной безопасности; 2) Направляющие и координирующие меры, способствующие повышению уровня знаний в области информационной безопасности, помогающие в разработке и распространении средств обеспечения безопасности;

ФЗ №149 от 27 июля 2006 г. «Об информации, информационных технологиях и о защите информации» В законе выделены следующие цели защиты информации: 1) Предотвращение утечки, хищения, утраты, искажения информации;

Сохранение государственной тайны, конфиденциальности документированной информации в соответствии с законодательством. Закон «Об электронной цифровой подписи» обеспечивает правовые условия использования электронной цифровой подписи в электронных документах.

Классификация автоматизированных систем по классам защищенности. Третья группа включает АС, в которых работает один пользователь, допущенный ко всей информации АС, размещенной на носителях одного уровня конфиденциальности. Группа содержит два класса - 3Б и 3А. Вторая группа включает АС, в которых пользователи имеют одинаковые права доступа (полномочия) ко всей информации АС, обрабатываемой и (или) хранимой на носителях различного уровня конфиденциальности. Группа содержит два класса - 2Б и 2А. Первая группа включает многопользовательские АС, в которых одновременно обрабатывается и (или) хранится информация разных уровней конфиденциальности. Не все пользователи имеют право доступа ко всей информации АС. Группа содержит пять классов - 1Д, 1Г, 1В, 1Б и 1А.

Показатели защищенности средств вычислительной техники от несанкционированного доступа:

1) Дискреционный принцип контроля доступа; 2) Мандатный принцип контроля доступа; 3) Очистка памяти; 4) Маркировка документов; 5) Защита ввода и вывода на отчуждаемый физический носитель информации; 6) Идентификация и аутентификация; 7) Взаимодействие пользователя с КСЗ; 8) Надежное восстановление; 9) Контроль модификации;

10) Руководство для пользователя; 11) Руководство по КСЗ.

Безопасность информации - это состояние устойчивости данных к случайным или преднамеренным воздействиям, исключающее недопустимые риски их уничтожения, искажения и раскрытия, которые приводят к материальному ущербу владельца или пользователя.

8. Функции и назначение стандартов информационной безопасности. Примеры стандартов, их роль при проектировании и разработке информационных систем. Критерии оценки безопасности компьютерных систем. Структура требований безопасности. Классы защищенности.

Базовый стандарт информационной безопасности ISO15408 "Common Criteria" (Общие критерии оценки безопасности ИТ).

Общие критерии (ОК) созданы для взаимного признания результатов оценки безопасности ИТ в мировом масштабе и представляют собой ее основу. Они позволяют сравнить результаты независимых оценок информационной безопасности и допустимых рисков на основе множества общих требований к функциям безопасности средств и систем ИТ, а также гарантий, применяемых к ним в процессе тестирования.

Стандарт содержит два основных вида требований безопасности: функциональные, предъявляемые к функциям безопасности и реализующим их механизмам, и требования доверия, предъявляемые к технологии и процессу разработки и эксплуатации.

Функциональные требования сгруппированы на основе выполняемой ими роли или обслуживаемой цели безопасности, всего 11 функциональных классов (в трёх группах), 66 семейств, 135 компонентов.

Первая группа определяет элементарные сервисы безопасности:

FAU — аудит, безопасность (требования к сервису, протоколирование и аудит);

FIA — идентификация и аутентификация;

FRU — использование ресурсов (для обеспечения отказоустойчивости).

Вторая группа описывает производные сервисы, реализованные на базе элементарных:

FCO — связь (безопасность коммуникаций отправитель-получатель);

FPR — приватность;

FDP — защита данных пользователя;

FPT — защита функций безопасности объекта оценки.

Третья группа классов связана с инфраструктурой объекта оценки:

FCS — криптографическая поддержка (обслуживает управление криптоключами и крипто-операциями);

FMT — управление безопасностью;

FTA — доступ к объекту оценки (управление сеансами работы пользователей);

FTP — доверенный маршрут/канал;

Требования гарантии безопасности (доверия) — требования, предъявляемые к технологии и процессу разработки и эксплуатации объекта оценки. Разделены на 10 классов, 44 семейства, 93 компонента, которые охватывают различные этапы жизненного цикла.

Первая группа содержит классы требований, предшествующих разработке и оценке объекта:

APE — оценка профиля защиты;

ASE — оценка задания по безопасности.

Вторая группа связана с этапами жизненного цикла объекта аттестации:

ADV — разработка, проектирование объекта;

ALC — поддержка жизненного цикла;

ACM — управление конфигурацией;

AGD — руководство администратора и пользователя;

ATE — тестирование;

AVA — оценка уязвимостей;

ADO — требования к поставке и эксплуатации;

АMA — поддержка доверия-требования, применяется после сертификации объекта на соответствие общим критериям.

Государственные (национальные) стандарты РФ

ГОСТ Р 50922-2006 — Защита информации. Основные термины и определения.

Р 50.1.053-2005 — Информационные технологии. Основные термины и определения в области технической защиты информации.

ГОСТ Р 51188—98 — Защита информации. Испытание программных средств на наличие компьютерных вирусов. Типовое руководство.

ГОСТ Р 51275-2006 — Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения.

ГОСТ Р ИСО/МЭК 15408-1-2008 — Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель.

ГОСТ Р ИСО/МЭК 15408-2-2008 — Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности.

ГОСТ Р ИСО/МЭК 15408-3-2008 — Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности.

ГОСТ Р ИСО/МЭК 15408 — «Общие критерии оценки безопасности информационных технологий» — стандарт, определяющий инструменты и методику оценки безопасности информационных продуктов и систем; он содержит перечень требований, по которым можно сравнивать результаты независимых оценок безопасности — благодаря чему потребитель принимает решение о безопасности продуктов. Сфера приложения «Общих критериев» — защита информации от несанкционированного доступа, модификации или утечки, и другие способы защиты, реализуемые аппаратными и программными средствами.

ГОСТ Р ИСО/МЭК 17799 — «Информационные технологии. Практические правила управления информационной безопасностью». Прямое применение международного стандарта с дополнением — ISO/IEC 17799:2005.

ГОСТ Р ИСО/МЭК 27001 — «Информационные технологии. Методы безопасности. Система управления безопасностью информации. Требования». Прямое применение международного стандарта — ISO/IEC 27001:2005.

ГОСТ Р 51898-2002 — Аспекты безопасности. Правила включения в стандарты.

9. Административный уровень защиты информации. Задачи различных уровней управления в решении задачи обеспечения информационной безопасности. Процедурный уровень обеспечения безопасности.

10. Идентификация и аутентификация при входе в информационную систему. Использование парольных схем. Недостатки парольных схем. Применение программно-аппаратных средств аутентификации.

11. Биометрические средства идентификации и аутентификации пользователей. Аутентификация субъектов в распределенных системах, проблемы и решения. Схема Kerberos.

12. Аудит в информационных системах. Функции и назначение аудита, его роль в обеспечении информационной безопасности. Понятие электронной цифровой подписи. Процедуры формирования цифровой подписи.

13. Место информационной безопасности экономических систем в национальной безопасности страны. Концепция информационной безопасности. Средства обеспечения информационной безопасности в ОС Windows’2000/XP/2003/Vista. Разграничение доступа к данным. Групповая политика.

14. Применение файловой системы NTFS для обеспечения информационной безопасности в Windows 2000/XP/2003/Vista. Списки контроля доступа к данным (ACL) их роль в разграничении доступа к данным. Применение средств Windows 2000/XP/2003/Vista для предотвращения угроз раскрытия конфиденциальности данных. Шифрование данных. Функции и назначение EFS.

15. Вирусы и методы борьбы с ними. Антивирусные программы и пакеты. Программно-аппаратные защиты информационных ресурсов в Интернет. Межсетевые экраны, их функции и назначения.

16. Защита СУБД. Обеспечение отказоустойчивости при отказах программно-аппаратных средств.