29. Классы безопасности. Стандарты информационной безопасности.

Единые критерии оценки безопасности в области информационных технологий определяют:

а) как самый высокий.

Самым низким является класс D исходя из компросса между требованиями безопасности, эффективностью системы, ее ценой получают сертификаты:

класс D называется минимальным уровнем безопасности. В него попадают системы, которые были заявлены в сертификацию, но ее не прошли.

Класс C1 – называется «Избирательная система доступа». предусматривает наличие достоверной вычислительной базы TCB, выполняет требования и избирательной безопасности.

Отделяет пользователей от данных класс C2. Называется «Управляемая защита доступа». Нужно четко контролировать защиту доступа, так как есть процедуры идентификации (ввод логина и пароля) и аутентификация (код с карт). Есть возможность выдачи привилегий доступа. Ведется аудит событий. Ресурсы изолированы.

Класс B1 – маркированное обеспечение безопасности. С2 + описана модель политики безопасности. И есть принудительное управление к доступам, к субъектам и объектам.

В2 – «структурированная защита». DCB определяется и опирается на четкую документированную формальную модель политики безопасности. Она декомпозируется на элементы, ведется системный анализ администрирования, есть четкие механизмы управления конфигурацией.

Класс В3. «Домены безопасности». ТСВ должна удовлетворять требованиям эталонным механизмам мониторинга, контролировать весь доступ субъектов к объектам, доступ можно тестировать и анализировать, механизмы аудита имеют возможность оповещать о событиях, критичных по отношению к безопасности. Есть процедуры восстановления систем. Система устойчива к вторжениям.

А1 – Верифицированное проектирование. В3+ дополнительные архитектурные особенности политики безопасности: имеется формальная спецификация проектирования и методы верификации.

30. Информационная безопасность корпоративной сети.

Под информационной безопасностью понимается защищенность информации и поддерживающей инфра-структуры от случайных или преднамеренных воздействий естественного или искусственного характера, направленных на нанесение ущерба владельцам или пользователям информации и поддерживающей инфра-структуры.

Безопасная сис-ма – это сис-ма, кот : 1) осущ свои функции с учетом всех аспектов, связ с обеспеч безопасн в работе и защите обраб инфы от случ или преднамер несанкционир доступа, 2) успешно противостоит угрозам безопасности, 3) должна соответ требованиям и критериям стандартов информ безопасности.

Классы безопасности:D-подсистема безопасности,для систем котор.использ.для защиты отдельн ф-ции безоп-ти;C1-избирательная защита-разделение пользоват.и данных;С2-управляемый доступ,так как иС1 + уникаль-ная идентификация субъектов доступа;В1-меточная защита,присвоение меток субъектам,котор.содержат конфеденц.инфу.В2-структурир-ая защита.то же что и В1 + дополнит требов к защите мех-мов аутентифика-ции.В3-область безопасности.концепция монитора ссылок;А1-верифицированная разработка. Методы вери-фикации-анализ спецификации систем на предмет неполноты или противоречивости. Автоматизир.системы по уровню защищенн-ти от НСД делят на 9 классов,котор характериз определ.совок.требов к защите.Классы подраздел.на 3 группы.В пределах кажд группы соблюд.иерархию требов. к защите в зависим. от ценности инфы.

В качестве критериев оценки обеспечения защиты информации могут выступать:Корпоративные стандарты (собственная разработка);Замечания аудиторов;Стандарты лучшей мировой практики (например, BS7799/ISO17799);Число инцидентов в области безопасности;Финансовые потери в результате инциден-тов;Расходы на ИБ;Эффективность в достижении поставленных целей.

Политика безопасности – набор законов, правил и норм поведения, определяющих, как организация обраба-тывает, защищает и распространяет информацию. Задачи: 1) кому и какая инфа необход для выполн служебн обязанностей, 2) какая степень защиты необход для каждого вида инфы, 3) опред, какие именно сервисы ин-форм безопасности и мехмы их реализ необход испол-ть в сис-ме, 4) как организ работу по ЗИ.