- •Теория защиты информации. Основные направления.
- •Обеспечение информационной безопасности и направления защиты.
- •Основы обеспечения информационной безопасности организации
- •Комплексность (целевая, инструментальная, структурная, функциональная, временная).
- •Требования к системе защиты информации.
- •Угрозы информации.
- •Виды угроз. Основные нарушения.
- •Характер происхождения угроз.
- •Источники угроз. Предпосылки появления угроз.
- •Система защиты информации.
- •Классы каналов несанкционированного получения информации.
- •11. Причины нарушения целостности информации.
- •12. Методы и модели оценки уязвимости информации.
- •13. Общая модель воздействия на информацию.
- •18. Рекомендации по использованию моделей оценки уязвимости информации.
- •19. Допущения в моделях оценки уязвимости информации.
- •20. Методы определения требований к защите информации.
- •21. Факторы, обуславливающие конкретные требования к защите, обусловленные спецификой автоматизированной обработки информации. Задачи по защите информации
- •Объекты защиты
- •Планирование и реализация систем защиты
- •Методы защиты информации
- •Организационные
- •Аппаратно-программные
- •Методы контроля доступа
- •Методы идентификации пользователей
- •Средства разграничения доступа
- •Протоколирование
- •Криптографические средства
- •Siem-системы
- •22. Классификация требований к средствам защиты информации. Организационные требования
- •Существенные различия между моделями регулирования
- •Организационные меры для государственного органа
- •Организационные меры у операторов пд
- •Требования к программным продуктам
- •Государственные ис
- •Программные и технические средства для операторов пд
- •Требования к файрволам
- •23. Требования к защите, определяемые структурой автоматизированной системы обработки данных.
- •24. Требования к защите, обуславливаемые видом защищаемой информации.
- •25. Требования, обуславливаемые, взаимодействием пользователя с комплексом средств автоматизации.
- •26. Анализ существующих методик определения требований к защите информации.
- •27. Стандарт сша "Критерии оценки гарантировано защищенных вычислительных систем в интересах министерства обороны сша". Основные положения.
- •28. Руководящем документе Гостехкомиссии России "Классификация автоматизированных систем и требований по защите информации", выпущенном в 1992 году. Часть 1.
- •29. Классы защищенности средств вычислительной техники от несанкционированного доступа.
- •30.Факторы, влияющие на требуемый уровень защиты информации.
- •31. Функции и задачи защиты информации. Основные положения механизмов непосредственной защиты и механизмы управления механизмами непосредственной защиты.
- •32. Методы формирования функций защиты.
- •33. События, возникающие при формировании функций защиты.
- •34. Классы задач функций защиты.
- •39. Стратегии защиты информации.
- •40. Способы и средства защиты информации.
- •41. Способы "абсолютной системы защиты".
- •42. Архитектура систем защиты информации. Требования.
- •43. Общеметодологических принципов архитектуры системы защиты информации.
- •44. Построение средств защиты информации.
- •45. Ядро системы защиты.
- •46. Семирубежная модель защиты.
Программные и технические средства для операторов пд
Перечень программных средств для операторов ПД аналогичен тому, который предлагается для государственных систем, но от них требуется меньший функционал.
Оператор вправе:
определить базовый набор мер программной и технической защиты информации, ориентируясь на рекомендованный в приложении;
адаптировать базовый набор мер к кадровым, финансовым, техническим возможностям компании;
при появлении возможности уточнить и дополнить выбранный комплекс программных средств.
Если использование какого-то средства невозможно, то ведомство предлагает компенсирующие меры, также устраняющие риски утраты данных. Финансовая целесообразность остается базовым принципом при выстраивании архитектуры системы. Дополнительно ведомство рекомендует операторам своевременно тестировать систему на проникновения и на качество защиты. В большинстве случаев операторы при формировании своих систем ограничиваются антивирусной защитой, межсетевыми экранами и регулярным мониторингом.
Требования к файрволам
Брандмауэры или файрволы для защиты информации применяют многие компании, вне зависимости от необходимости защиты ПД, поэтому интересно рассмотреть требования ФСТЭК РФ к ним. Ведомство открыло для общего доступа нормы, регламентирующие только профили файрволов 4-6 классов защиты, то есть не предназначенных для систем, в которых обрабатываются сведения, содержащие государственную тайну.
Согласно утвержденному ведомством профилю защиты межсетевых экранов, под межсетевым экраном понимается ПО, реализующее функции контроля и фильтрации проходящих через него информационных потоков в соответствии с изначально заданными правилами.
Файрвол должен обеспечивать защиту от угроз:
НСД (несанкционированный доступ) к информации, хранящейся в ИС, путем неконтролируемых сетевых подключений;
отказ ИС или ее элементов в работе, связанный с неконтролируемыми подключениями, уязвимостью программного обеспечения или сетевых протоколов, низким качеством настройки элементов защиты. В условиях работы межсетевого экрана при защите от этого типа угроз присутствует формулировка, предполагающая, что ПО обязано защищать и от DDoS-атак;
утечки защищаемой информации из сети в Интернет из-за действия вируса или внутреннего пользователя;
нарушения его собственной работы в результате внешнего вмешательства и обхода защиты.
Функциями межсетевого экрана, согласно ФСТЭК РФ, являются:
фильтрация трафика;
идентификация и аутентификация пользователей ПО;
аудит и регистрация инцидентов информационной безопасности, классификация которых приведена в стандарте ГОСТ Р ИСО/МЭК 15408-2-2013;
обеспечение собственной работы и восстановления после сбоев;
администрирование собственной работы;
эффективное взаимодействие с другими программными компонентами систем безопасности.
Рассмотренные в документе типы межсетевых экранов применимы только к рабочим станциям, ведомство не интересует регулирование средств защиты информации в рамках мобильных устройств, объектов Интернета вещей, автомобильной электроники. Выбор программного обеспечения для этих целей остается на усмотрение пользователей.