Билет 15
15. Понятие «система защиты информации». Направления защиты информации.
Система защиты информации (СЗИ) – совокупность органов и (или) исполнителей, используемой ими техники защиты информации, а также объектов защиты информации, организованная и функционирующая по правилам и нормам, установленным соответствующими документами в области защиты информации.
Или проще – это комплекс технических и организационных мер, направленных на обеспечение информационной безопасности организации.
35. Виды лицензируемой деятельности по технической защите конфиденциальной информации.
*Назвать то, что под буквами, штуки 3. Лицензия нужна, если пытаешься заработать деньги на технической защите. Если для своей организации, деятельности, то лицензия не требуется.
Федеральный закон «О лицензировании отдельных видов деятельности».
Постановление Правительства РФ от 03.02.2012 № 79 (ред. от 15.06.2016) "О лицензировании деятельности по технической защите конфиденциальной информации" – в этом документе прописаны виды лицензируемой деятельности по технической защите конфиденциальной информации.
Эти лицензии выдаёт ФСТЭК.
При осуществлении лицензируемого вида деятельности по технической защите лицензированию подлежат:
а) услуги по контролю защищенности конфиденциальной информации от утечки по техническим каналам(ПЭМИН);
б) услуги по контролю защищенности конфиденциальной информации от несанкционированного доступа и её модификации в средствах и системах информатизации (программно-аппаратная защита);
в) услуги по мониторингу (трафика на аутсорсинге) информационной безопасности средств и систем информатизации;
г) работы и услуги по аттестационным испытаниям и аттестации на соответствие требованиям по защите информации;
д) работы и услуги по проектированию в защищённом исполнении;
е) услуги по установке, монтажу, наладке, испытаниям, ремонту средств защиты информации.
55. Требования фстэк России по обеспечению безопасности асутп.
ПРИКАЗ от 14 марта 2014 г. № 31 ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ К ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ИНФОРМАЦИИ В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ УПРАВЛЕНИЯ ПРОИЗВОДСТВЕННЫМИ И ТЕХНОЛОГИЧЕСКИМИ ПРОЦЕССАМИ НА КРИТИЧЕСКИ ВАЖНЫХ ОБЪЕКТАХ, ПОТЕНЦИАЛЬНО ОПАСНЫХ ОБЪЕКТАХ, А ТАКЖЕ ОБЪЕКТАХ, ПРЕДСТАВЛЯЮЩИХ ПОВЫШЕННУЮ ОПАСНОСТЬ ДЛЯ ЖИЗНИ И ЗДОРОВЬЯ ЛЮДЕЙ И ДЛЯ ОКРУЖАЮЩЕЙ ПРИРОДНОЙ СРЕДЫ.
Требования к организации защиты информации в автоматизированной системе управления:
7. Автоматизированная система управления, как правило, имеет многоуровневую структуру (3 уровня):
уровень операторского (диспетчерского) управления (верхний уровень) (пользовательский интерфейс);
уровень автоматического управления (средний уровень) (контроллеры);
уровень ввода (вывода) данных исполнительных устройств (нижний (полевой) уровень) (датчики).
В автоматизированной системе управления объектами защиты являются:
информация (данные) о параметрах (состоянии) управляемого (контролируемого) объекта или процесса;
программно-технический комплекс, включающий технические средства, программное обеспечение, а также СЗИ.
Принимаемые организационные и технические меры защиты информации:
должны обеспечивать доступность обрабатываемой в автоматизированной системе управления информации (исключение неправомерного блокирования информации), ее целостность (исключение неправомерного уничтожения, модифицирования информации), а также, при необходимости, конфиденциальность (исключение неправомерного доступа, копирования, предоставления или распространения информации);
должны соотноситься с мерами по обеспечению безопасности АСУ;
должны сохранять штатный режим функционирования АСУ.
10. Для обеспечения защиты информации в автоматизированной системе управления оператором назначается структурное подразделение или должностное лицо (работник), ответственные за защиту информации.
11. В АСУ применяются СЗИ, прошедшие оценку соответствия в соответствии с законодательством РФ о техническом регулировании.
12. Для обеспечения защиты информации в автоматизированной системе управления проводятся следующие мероприятия:
формирование требований к защите информации в автоматизированной системе управления;
разработка системы защиты автоматизированной системы управления;
внедрение системы защиты автоматизированной системы управления и ввод её в действие;
обеспечение защиты информации в ходе эксплуатации автоматизированной системы управления;
обеспечение защиты информации при выводе из эксплуатации автоматизированной системы управления.