43.Виды лицензируемой деятельности по криптографической защите информации.

Суть: лицензированию подлежит вся деятельность в области криптографии, кроме случаев, когда она используется для собственных нужд.

К разным видам деятельности предъявляются разные требования.

• Постановление Правительства РФ от 16.04.2012 № 313 «Об утверждении Положения о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя)».

44.Требования по сертификации криптографических средств защиты информации.

• Технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых они реализованы, а также средства контроля эффективности защиты информации являются средствами защиты информации.

• Указанные средства подлежат обязательной сертификации, которая проводится в рамках систем сертификации средств защиты информации.

45.Нормативные документы фсб России по защите персональных данных.

• «Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных», утв. ФСБ России 21 февраля 2008 года № 149/6/6-622.

• «Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации», утв. ФСБ России 21 февраля 2008 года № 149/54-144.

46.Методы программно-аппаратной защиты информации.

Программно-аппаратные средства защиты информации — это сервисы безопасности, встроенные в сетевые операционные системы.

Субъект - тот, кто получает доступ; объект - то, куда получает доступ.

К методам безопасности относятся:

идентификация и аутентификация, управление доступом, протоколирование и аудит, криптография, экранирование.

Идентификация предназначена для того, чтобы пользователь или вычислительный процесс, действующий по команде определенного пользователя, могли идентифицировать себя путем сообщения своего имени. (идентификатор (определяет кто именно этот человек) - тот, кто имеет идентификатор доступа – уникальный номер, имя и т.п.)

С помощью аутентификации вторая сторона убеждается, что пользователь, пытающийся войти в операционную систему, действительно тот, за кого себя выдаёт (подтверждение подлинности субъекта) (аутентификатором может быть даже ключ от дома, чипы от подъезда) (аутентификатор - подтверждает то, что человек обладающий ключом, кодом доступа, имеет право попадать в данное помещение, получать доступ к информации и т.п.).

! Идентификация и аутентификация для того, чтобы не пускать чужих в систему.

Средства управления доступом позволяют специфицировать и контролировать действия, которые пользователи и вычислительные процессы могут выполнять над информацией и другими компьютерными ресурсами, то есть речь идёт о логическом управлении доступом, который реализуется программными средствами. (Нужна для того, чтобы свои не лезли туда, куда им не положено; определение полномочий)

Дискреционное управление доступом – разграничение доступа между поименованными субъектами и поименованными объектами. Субъект с определённым правом доступа может передать это право любому другому субъекту. (гибко, но долго)

Матрица доступа – таблица, отображающая правила разграничения доступа.

Мандатное управление доступом – разграничение доступа субъектов к объектам, основанное на характеризуемой меткой конфиденциальности информации, содержащейся в объектах, и официальном разрешении (допуске) субъектов обращаться к информации такого уровня конфиденциальности. (быстро, но не так гибко, как дискреционное) (есть средство благодаря которому работники не смогут копировать инфу из конфиден документа в общедоступный)

Метка конфиденциальности – элемент информации, который характеризует конфиденциальность информации, содержащейся в объекте (тоже, что и гриф секретности).

Протоколирование - процесс сбора и накопления информации о событиях, происходящих в информационной системе предприятия.

Возможные события принято делить на три группы: - внешние события, вызванные действиями других сервисов; - внутренние события, вызванные действиями самого сервиса; - клиентские события, вызванные действиями пользователей и администраторов.

Аудит - процедура анализа накопленной в результате протоколирования информации. Этот анализ может осуществляться оперативно в реальном времени или периодически. (Нужен для того, чтобы позже, при необходимости, проводить расследования; можно использовать как систему обнаружения вторжений, для DLP-системы (системы предотвращения утечек))

Журнал аудита – запись в хронологическом порядке действий системы, содержащей достаточно сведений для того, чтобы реконструировать, проанализировать и проверить последовательность сред и действий, окружающих каждое событие или ведущих к каждому событию по ходу операции от её начала до выдачи окончательных результатов.

Контроль и обеспечение целостности (Резрв копир, антивирусы)

Резервное копирование – сохранение бизнес-информации для обеспечения непрерывности бизнес-процесса в случае утраты информационных ресурсов. (программное, аппаратное (Raid-массивы))

Экран - средство разграничения доступа клиентов из одного сетевого множества к серверам, принадлежащим другому сетевому множеству. Функция экрана заключается в контроле всех информационных потоков между двумя множествами систем. Примерами экранов являются межсетевые экраны (бранд- мауары (firewalls)), устанавливаемые для защиты локальной сети организации, имеющей выход в открытую среду.

Межсетевой экран - совокупность компонентов, помещённых между двумя сетями, которые вместе обладают следующими свойствами:

• весь входящий и исходящий сетевой трафик изнутри наружу и наоборот должен проходить через межсетевой экран;

• пропускается только сетевой трафик, авторизованный в соответствии с локальной политикой безопасности;

• межсетевой экран сам по себе устойчив к проникновению.

Метод криптографии — одно из наиболее мощных средств обеспечения конфиденциальности и контроля целостности информации.