Система правового обеспечения информационной безопасности России
Правовое обеспечение ИБ является самостоятельным комплексным направлением правового регулирования отношений в области проявления угроз объектам ИБ и противодействия этим угрозам на основе норм и институтов различных отраслей права (конституционного, гражданского, уголовного, информационного).
Она включает отдельные нормативные правовые акты, специально предназначенные для регулирования отношений в области обеспечения ИБ, и отдельные нормы в этой области, содержащиеся в нормативных правовых актах различных отраслей законодательства. К нормативным правовым актам относятся:
федеральные законы и законы субъектов РФ, в том числе технические регламенты;
Указы Президента России;
Постановления Правительства России;
нормативные правовые акты федеральных органов исполнительной власти уполномоченных осуществлять правовое регулирование в области ИБ и защиты информации.
Правовое обеспечение создаёт правовую основу для функционирования всех других систем в области ИБ и управления ими со стороны Президента и Правительства России.
Организационная основа системы обеспечения информационной безопасности России
Основными элементами организационной основы СОИБ РФ являются:
Президент России,
Совет Федерации,
Государственная Дума,
Правительство,
Совет Безопасности,
федеральные органы исполнительной власти,
межведомственные и государственные комиссии, создаваемые Президентом и Правительством,
органы исполнительной власти субъектов РФ, органы местного самоуправления, органы судебной власти,
общественные объединения, граждане, принимающие в соответствии с законодательством участие в решении задач обеспечения ИБ.
Президент России руководит в пределах своих конституционных полномочий органами и силами по обеспечению ИБ.
Концептуальная модель информационной безопасности организации и основные понятия
Основы ИБ организации, призваны в форме научного знания, дать целостное представление об объектах ИБ организации, угрозах этим объектам и интересам субъектов, политике и системе обеспечения ИБ организации, их закономерностях и существенных связях между собой и окружающей средой.
Данная глава основана на идеях, которые нашли свое воплощение в лучших мировых практиках, отражённых в международных стандартах в области информационных технологий применительно к ИБ. Значительная часть этих стандартов, в последние годы, принята в России в качестве национальных. Их основу составляют стандарты:
ГОСТ Р ИСО/МЭК серии 27000, относящиеся к системам менеджмента ИБ;
ГОСТ Р ИСО/МЭК серии 13335 относящиеся к методам и средствам обеспечения безопасности;
ГОСТ Р ИСО/МЭК серии 15408 относящиеся к критериям оценки безопасности информационных технологий.
Стандарты предназначены для применения организациями любой формы собственности (например, коммерческими, государственными и некоммерческими организациями) и содержат концепции и модели по менеджменту ИБ, руководства по управлению безопасностью ИТ и ИТТ на которых основаны бизнес-процессы организации, методы управления рисками в этой области, меры организационного, технического характера по обеспечению безопасности информационных технологий, меры физической защиты.
С учётом общей концептуальной модели ИБ и идей, воплощённых в лучших мировых практиках, компоненты концептуальной модели ИБ организации будут включать:
активы (объекты ИБ);
уязвимости, риски, инциденты (угрозы);
политику информационной безопасности организации, защитные меры (система обеспечения ИБ организации).
Рисунок 4. 1 - Концептуальная модель ИБ организации
С позиции управления информационной безопасностью организации информационная безопасность определяется, как свойство информации сохранять конфиденциальность, целостность и доступность.
С позиции безопасности системы информационных технологий, на которых основаны бизнес-процессы организации информационная безопасность - это все аспекты, связанные с определением, достижением и поддержанием конфиденциальности, целостности, доступности, неотказуемости, подотчетности, аутентичности и достоверности информации или средств ее обработки.
Свойства неотказуемости, подотчётности и аутентичности, связаны со средствами обработки информации и означают:
неотказуемостъ - способность удостоверять имевшее место действие или событие так, чтобы эти события или действия не могли быть позже отвергнуты;
подотчетность - свойство, обеспечивающее однозначное прослеживание действий любого логического объекта;
аутентичность - свойство, гарантирующее, что субъект или ресурс идентичны заявленным