2354

соответствия политике информационной безопасности. В случае выявления запрещенного действия/сообщения, администратор безопасности получает сообщение и принимает решение о способе реагирования. Преимуществом этого способа является возможность немедленно реагировать на события, а недостатком – невозможность предотвращения утечек и функционирование администратора в режиме on-line.

Режим активной защиты позволяет активно вмешиваться в информационные процессы, блокировать опасные операции безвозвратно или до их разрешения администратором безопасности. Преимуществом этого режима является возможность блокирования попыток нарушить политику информационной безопасности, предотвращение утечек. Недостатками этого режима является необходимость постоянного присутствия администратора безопасности для разбора спорных случаев и ложных срабатываний, а также высокая требовательность к ресурсам, особенно при обработке on-line потоков.

3.3. Ведение эксплуатационной документации автоматизированной защищенной системы

Разработка регламентирующей документации является важным этапом создания системы защиты информации на объекте информатизации, поскольку она является официальной (признаваемой законодательством РФ) нормативной основой информационной деятельности и правоотношений. Для организации и обеспечения эффективного функционирования комплексной системы компьютерной безопасности должны быть разработаны следующие группы организационнораспорядительных документов:

1) Положение об информационной системе объекта. Содержит описание защищаемой системы:

назначение КС и перечень решаемых задач;

конфигурацию, характеристики и размещение

111

технических средств и программного обеспечения; субъектов и типов информационных отношений.

2) Положение о перечне и порядке обращения с информацией ограниченного распространения. В нем закрепляются:

категории информации (пакетов, файлов, баз данных) и технологических процессов подлежащих защите;

требования по обеспечению доступности, конфиденциальности, целостности этих категорий; список пользователей и их полномочий по доступу к ресурсам системы и т.п.

3) Положение о системе защиты информации (в ряде источников – план защиты информации). Включает в себя:

цели защиты системы, пути обеспечения безопасности КС и циркулирующей в ней информации;

перечень значимых угроз безопасности КС, от которых требуется защита, и наиболее вероятных каналов нанесения ущерба;

основные требования к организации процесса функционирования КС и мерам обеспечения безопасности обрабатываемой информации;

требования к условиям применения и определение зон ответственности установленных в системе технических средств защиты от НСД; основные правила, регламентирующие деятельность

персонала по вопросам обеспечения безопасности КС.

4)Набор должностных инструкций (памяток) для пользователей и персонала с правилами эксплуатации элементов КС и требованиями информационной безопасности;

5)Приказы руководителя организации о вводе в

эксплуатацию КС и ее подсистем, о назначении ответственных

112

за различные аспекты безопасности сотрудников;

6)Акты категорирования помещений и компьютерной техники, заключения о проведении проверочных мероприятий, предписания на эксплуатацию КС и ее элементов;

7)Подписанные сотрудниками обязательства по соблюдению правил и требований и неразглашению информации ограниченного распространения.

8)Журналы учета документов, носителей компьютерной информации, выдачи средств доступа и т.п.

9)План обеспечения бесперебойной работы и восстановления целостности КС. Должен отражать следующие вопросы:

цель обеспечения непрерывности процесса функционирования КС, своевременность восстановления ее работоспособности и чем она достигается;

перечень и классификация возможных кризисных ситуаций;

требования, меры и средства обеспечения непрерывной работы и восстановления процесса обработки информации (порядок создания, хранения и использования резервных копий информации и дублирующих ресурсов и т.п.); обязанности и порядок действий различных

категорий персонала системы в кризисных ситуациях по ликвидации их последствий, минимизации наносимого ущерба и восстановлению нормального процесса функционирования системы.

10) Технический паспорт на объект информатизации,

безопасности информации (результаты аттестационных испытаний, специальных проверок, наличие сертификатов и т.п.); учет проведения регламентных проверок оборудования АС и СЗИ.

11) Дополнительная документация по защите информации на АСЗИ (по ГОСТ 34.201):

схема первичного электропитания основных и вспомогательных технических средств АСЗИС7*С учетом требований по ЗИ;

схема заземления основных и вспомогательных технических средств АСЗИ;

спецификация основных и вспомогательных технических средств, программных средств АСЗИ;

руководство для абонентов АСЗИ (сети) по режимным вопросам;

перечень контрольных испытаний и проверок (объем и периодичность) по подтверждению защищенности АСЗИ;

предписание на эксплуатацию с учетом требований по ЗИ;

сертификат соответствия (на каждое ТС, ПС системы и СрЗИ;

акт категорирования средств АСЗИ и системы в целом по вопросам защиты информации;

акт классификации АСЗИ в части защиты от НСД к информации в системе; аттестат соответствия АСЗИ требованиям НД по защите информации.

12) На программные средства разрабатывают конструкторскую и эксплуатационную документацию в соответствии с ЕСПД. На программно-технические средства разрабатывают конструкторскую и эксплуатационную документацию согласно требованиям ЕСПД, ЕСКД и ЕСТД.

114

ПРИЛОЖЕНИЕ Глоссарий используемых понятий

Автоматизированная система в защищенном исполнении (АСЗИ) – автоматизированная система, реализующая информационную технологию выполнения установленных функций в соответствии с требованиями стандартов и/или нормативных документов по защите информации.

Аттестация автоматизированной системы в защищенном исполнении – процесс комплексной проверки выполнения заданных функций автоматизированной системы по обработке защищаемой информации на соответствие требованиям стандартов и/или нормативных документов в области защиты информации и оформления документов о ее соответствии выполнять функции по обработке защищаемой информации на конкретном объекте информатизации.

Государственная тайна – защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации.

Доступ к информации – ознакомление с информацией, ее обработка, в частности, копирование модификация или уничтожение информации.

Доступность – свойство системы (среды, средств и технологий ее обработки), в которой циркулирует информация, обеспечивать своевременный беспрепятственный доступ субъектов к интересующей их информации и требуемая готовность соответствующих подсистем к обслуживанию поступающих запросов.

Защита информации – деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию (по ГОСТ Р 50922).

115

Защищаемая информация – информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации (по ГОСТ Р

50922).

Информационная безопасность (в широком смысле)

– это состояние защищенности интересов субъектов информационных отношений от нежелательных действий в отношении принадлежащей им информации и информационных процессов, в которых они принимают участие.

Информационная безопасность (в узком смысле) –

защищенность компьютерных систем и их компонентов от нежелательных с точки зрения использующих их субъектов воздействий.

Информационная сфера – сфера деятельности субъектов, связанная с созданием, преобразованием и потреблением информации.

Информационная технология – приемы, способы и методы применения средств вычислительной техники при выполнении функций хранения, обработки, передачи и использования данных.

Информационный процесс – процесс создания, сбора,

обработки, накопления, хранения, поиска, распространения и потребления информации.

Испытания – экспериментальное определение количественных и/или качественных характеристик свойств объекта испытаний как результата воздействия на него при его функционировании, при моделировании объекта и/или воздействий (по ГОСТ 16504).

Канал воздействия угрозы – сочетание физической среды проникновения носителя угрозы в КС, компонента КС, на который оказывается несанкционированное воздействие, и их свойств, позволяющих угрозе реализоваться.

Категорирование защищаемой информации –

116

установление градаций важности защищаемой информации (по ГОСТ Р 50922).

Компьютерная атака – целенаправленное несанкционированное воздействие на информацию, на ресурс автоматизированной информационной системы или получение несанкционированного доступа к ним с применением программных или программно-аппаратных средств.

Контроль эффективности защиты информации –

проверка соответствия качественных и количественных показателей эффективности мероприятий по защите информации требованиям или нормам эффективности защиты информации (по ГОСТ Р 50922).

Конфиденциальность – субъективно определяемое свойство информации, требующее введения ограничений на круг субъектов, имеющих доступ к данной информации, и обеспечиваемую способностью системы сохранять указанную информацию в тайне от субъектов, не имеющих полномочий на доступ к ней.

Мероприятие по защите информации – совокупность действий, направленных на разработку и/или практическое применение способов и средств защиты информации (по ГОСТ Р 50922).

Непреднамеренное воздействие на информацию –

ошибка пользователя информацией, сбой технических и программных средств информационных систем, природные явления или иные нецеленаправленные на изменение информации действия, приводящие к искажению, уничтожению, копированию, блокированию доступа к информации, а также к утрате, уничтожению или сбою функционирования носителя информации.

Несанкционированный доступ к информации (НСД)

– доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами.

117

Несанкционированное воздействие на информацию –

воздействие на защищаемую информацию с нарушением установленных прав и/или правил доступа, приводящее к утечке, искажению, подделке, уничтожению, блокированию доступа к информации, а также к утрате, уничтожению или сбою функционирования носителя информации.

Обработка информации – совокупность операций сбора, накопления, ввода, вывода, приема, передачи, записи, хранения, регистрации, уничтожения, преобразования, отображения информации (по ГОСТ Р 51275).

Правила разграничения доступа – совокупность правил, регламентирующих права доступа субъектов доступа к объектам доступа.

Приемочный контроль – контроль продукции, по результатам которого принимается решение о ее пригодности к поставкам и/или использованию (по ГОСТ 16504).

Санкционированный доступ к информации – доступ к информации, не нарушающий правила разграничения доступа.

Секретная информация – информация, содержащая сведения, отнесенные к государственной тайне.

Система защиты информации автоматизированной системы – совокупность технических, программных и программно-технических средств защиты информации и средств контроля эффективности защиты информации.

Служебная тайна – защищаемая по закону конфиденциальная информация, ставшая известной в государственных органах и органах местного самоуправления только на законных основаниях и в силу исполнения их представителями служебных обязанностей, а также служебная информация о деятельности государственных органов, доступ к которой ограничен федеральным законом или в силу служебной необходимости.

Способ (алгоритм) воздействия угрозы – это последовательность действий источника (субъекта) угрозы с

118

использованием определенных методов, средств и каналов по достижению цели реализации угрозы в отношении АС.

Средство защиты информации – техническое,

программное средство, вещество и/или материал, предназначенные или используемые для защиты информации

(по ГОСТ Р 50922).

Средство контроля эффективности защиты информации – техническое, программное средство, вещество и/или материал, предназначенные или используемые для контроля эффективности защиты информации (по ГОСТ Р

50922).

Специальная проверка – проверка компонентов автоматизированной системы, осуществляемая с целью поиска и изъятия закладочного устройства.

Специальные исследования (специсследования) –

выявление с использованием контрольно-измерительной аппаратуры возможных технических каналов утечки защищаемой информации от основных и вспомогательных технических средств и систем и оценка соответствия защиты информации требованиям нормативных документов по защите информации.

Угроза безопасности АС – потенциально возможное действие, событие, процесс или явление, которое посредством воздействия на информацию или другие компоненты КС может прямо или косвенно привести к нанесению ущерба интересам субъектов информационных отношений.

Уровень безопасности АС – реально достижимая степень защищенности АС и ее компонентов от прогнозируемых угроз при условии использования определенного набора сил и средств.

Целостность – свойство информации, заключающееся в ее существовании в неискаженном виде (неизменном по отношению к некоторому фиксированному ее состоянию).

119

БИБЛИОГРАФИЧЕСКИЙ СПИСОК

1.ГОСТ Р 51624-2000 Автоматизированные информационные системы в защищенном исполнении принят и введен в действие Постановлением Госстандарта России от 30 июня 2000 г. №175-ст .

2.ГОСТ Р 51583-2000 Порядок создания автоматизированных систем в защищенном исполнении, принят и введен в действие Постановлением Госстандарта России от 6 апреля 2000 г. № 95-ст .

3.ГОСТ Р 51624-2000. Защита информации. Автоматизированные системы в защищенном исполнении. Общие требования. – М.: Стандартинформ, 2008. -10 с.

4.ГОСТ Р 51275 Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения. – М.: Стандартинформ, 2006. - 12 с.

5.Руководящий документ. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации: Решение председателя Гостехкомиссии России от 30 марта 1992 года.

6. Руководящий документ. Безопасность информационных технологий. Критерии оценки безопасности информационных технологий: Приказ председателя Гостехкомиссии России от 19 июня 2002 года № 187.

7.Руководящий документ. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации: Решение председателя Гостехкомиссии России от 30 марта 1992 года.

8.Белоножкин, В. И. Концепция регионального межведомственного антитеррористического банка данных [Текст] / А. Б. Андреев, Б. Ю. Зинченко, В. И. Белоножкин // Информация и безопасность. – 2002. – Вып. 1. – С. 142-144.

9. Белоножкин, В. И. Методология создания

120