29. Классы безопасности. Стандарты информац-й безоп-ти.

Политика безоп-ти включ эл-ты: 1)произвольное управление доступом, 2)безоп-ть повторного использ-ния объектов, 3)метки безоп-ти, сост из ур-ня секретности и списка категорий, 4)принудит управление доступом основано на сопоставлении меток безоп-ти субъекта и объекта. Безопасная с-ма – с-ма, кот посредством спец мех-мов защиты контрол-т доступ к инфо так. обр, что только им. соотв-щие полномочия лица или процессы, выполняющ-ся от их имени, могут получить доступ на чтение, запись, создание или удаление инфо. Осн. классы защищенности: 1)Класс D- с-мы, оценка кот выявила их несоотв-вие требованиям всех др классов. Класс С1- пользователи должны идентифиц-ть себя до выполн-я к-л контролируемых ИС действий. ИС д.б. защищена от внешн воздействий и от попыток слежения за ходом работы. Класс С2(доп к клС1)- все объекты должны подвергаться контролю доступа. ИС должна создавать, поддерживать и защищать журнал регистрационной инфо. Класс В1(доп к клС2) – каждый хранимый объект ИС должен иметь отдельную идентификационную метку; ИС должна обесп-ть реализацию принудит управления доступом к хранимым объектам. Класс В2(доп к клВ1) – д.б. предусмотрена возм-ть регистрации событий, связ с орг-цией тайных каналов обмена инфо; ИС должна демонстрировать устойч-ть к попыткам проникновения. Класс В3(доп к клВ2) – для управления доступом д.использ-ся списки управления доступом с указанием разрешенных режимов. Класс А1 (доп к клВ3) – мех-м управления ИБезоп-тью д. распространяться на весь жизненный цикл и все компоненты с-мы, им.отнош-е к обеспеч. безоп-ти.

1 стандарт – «Критерии оценки надежных комп с-м» или «Оранжевая книга». 1999 – ИСО принял стандарт «Общие критерии оценки безоп-ти инф техн-гий», кот опред-т инстр-ты оценки безоп-ти ИТ и порядок их исп-ния, ряд ключ-х понятий: профиля защиты, задания по безоп-ти и объекта оценки.

30. Информационная безопасность корпоративной сети.

Информационный ресурс корпорат ур-ня особенно уязвим и требует качественной и надежной защиты. Мероприятия по защите корпор инфо должны обеспеч-ть выполнение след задач:

- защита от проникновения в КС и утечки инфо из сети по каналам связи;

- разграничение потоков инфо между сегментами сети;

- защита наиболее критичных рес-сов сети от вмешат-ва в норм процесс функц-ния;

- защита важных рабоч мест и рес-сов от несанкцион-го доступа;

- криптографическая защита наиб важных инф рес-сов.

Ключевыми мех-мами поддерж-я инф безоп-ти в КС явл-ся: идентификация и аутентиф-ция, управл-е доступом, технологии обнаружения атак, протоколир-ние и рег-рация, криптография и сетевая защита, экранирование.

31. Политика безопасности- это совок-ть норм и правил, определяющих принятие в организации меры по обеспеч-ю безоп-ти инфо, связанной с деят-ю орг-ция. Цель ее формации для ИС- изложение взглядов руков-ва орг-ции на сущность угроз Ибезоп-ти. Политика безоп-ти должна быть оформлена документ-но на неск-ких ур-нях упр-ния: на ур-не высшего руководства- подготавливается и утверждается док-т, в котором определены цели политики безопасности, структура и перечень решаемых задач и ответственные за реализацию политики.

Политика безопасности состоит из 2 частей: общих принципов и конкретных правил работы с ИС для различных категорий пользователей. Разделы в описании политики безоп-ти: предмет политики, описание позиции орг-ции, применимость, роли и обязанности, соблюдение политики.

32. Методы и средства защиты информации.

Методы: законодат-ные- комплекс мер, направл-х на создание и поддержание в обществе негативн отн-ния к нарушен-м и нарушит-м информ-й безоп-ти (законы, нормат-е акты, стандарты), административно-организац-ные- (действие общего характера направл-е на работу с людьми), программно-технические- защита о вирусов, защита инфо.

Стандартный набор ср-в защиты инфо в составе современной ИС обычно содержит ср-ва, реализующие методы программно-технической защиты информации.

Криптографический - это математ формула, описыв-щая процессы зашифр-ния и расшифр-ния. Для того, чтобы зашифр-ть открытый тест, крипто алгоритм работает в сочетании с ключом- словом, числом.

Компьютерная стеганография – это сокрытие сообщ-я или файла в др сообщ-и или файле. Например, стеганографы могут спрятать аудиофайл в др информац-ном или даже графич файле.

Электронная цифровая подпись- это реквизит электронн док-та, предназн-ный для удостоверения ист-ка данных и защиты электр-го документа от подделки.

33. Правовое обеспечение безоп-ти ИС- - это совок-ть законод-х и морально-этических ср-тв, регламент-х правила и нормы повед-я при обработке и исп-нии инфо, информ ресурсов и ИС.

Законод-е ср-ва- зак. акты страны, кот-ми регламент-ся правила использ-ния и обработки инфо огранич-го доступа и устанавл-ся меры ответств-ти за наруш-е этих правил. Морально-этические средства- всевозможн нормы, кот-е сложились традиционно или склад-ся по мере распростр-я вычисл-х ср-тв в данной стране или общ-ве. В соотв-и с нормами законод-ва РБ физ и юр лица имеют равные права на разраб-ку и произв-во ИС, технологий и средство обеспечения. Осн-е право закрепл-е Конституцией РБ - право каждого на свободн поиск, получ-е, передачу, пр-во и распростр-ние инфо.В соотв-и с нормами бел. закон-ва документированная инфо м.б.: от­крытая (общедоступн) и инфо огранич доступа. Докум-я инфор-я с огранич досту­пом делится на гос секреты (защищаемые гос-м) и конфиденц-ю инфо, доступ к кот-й огран-н в соот­в. с закон-м РБ. Правовые методы защиты программных продуктов также вкл-т: патентную защиту, присвоение статуса производств-х секретов, лиценз-ные соглаш-я и контракты.

В РБ сущ-т след стандарты информац-й безоп-ти:- стандарт защиты инфо (осн термины и определения);- ст-рт сре-тв вычислит-ной техники (защита от несанкц доступа к инфо);- ст-рт сис-мы обраб-ки инфо (модель услуг и сертиф-ции протокола)

Для информ-й безоп-ти исп-ся спец ключи (как алгоритмы шифр инфо), сертиф-ты (электр-ные док-ты, содерж-е цифровую инфо (ключ), кот-я подтверждает безоп-ть сервера) и протоколы.