Ответы по первому блоку лаба 1

2.1. Основные этапы построения комплексной системы защиты информации (КСЗИ):

• Рождение – проведение анализа существующей системы, выводы. На основании обследования получается анализ (что есть, чего нет, чего не хватает), далее выводы по результатам анализа, по результатам выводов получаем заключения

• Формирование требований – понять, что защищаем(данные), от кого (угрозы) и как (мероприятия/организационно-технические меры) (Исследование анализ, выводы).

• Разработка КСЗИ – спроектировать систему защиты, выбрать средства защиты, подготовить документацию.

• Внедрение КСЗИ – установка и настройка ПО и оборудования, обучение сотрудников, тестирование (Предварительные испытания, Опытная эксплуатация, приёмочная эксплуатация).

• Аттестационные работы – проверка соответствия требованиям безопасности и выдача «аттестата соответствия на КСЗИ».

• Ввод в эксплуатацию – ежедневное использование: администрирование, мониторинг выполнения требований политики безопасности, обновления, выявление и устранение инцидентов.

• Вывод из эксплуатации – архивирование актуальных данных, утилизация носителей и информации, завершение работы системы.

2.2. ГОСТ с учётом, которых должны быть разработаны требования к системе защиты информации:

• ГОСТ Р 51624 «Защита информации. Автоматизированные системы в защищённом исполнении. Общие требования» - Содержит конкретные требования к защищённым системам (например, как должны выполняться требования к конфиденциальности, целостности, доступности). Это базовый стандарт, на который ориентируются при проектировании систем защиты.

• ГОСТ 34.602 «Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы» - Регламентирует, как правильно составлять техническое задание (ТЗ) на создание автоматизированной системы, в том числе с учётом требований по защите информации. Именно в ТЗ указываются цели, задачи, класс защищённости системы, перечень угроз и меры защиты.

• ГОСТ 34.601 «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания» - Определяет жизненный цикл автоматизированной системы: от проектирования → до эксплуатации и вывода из работы. Задаёт последовательность этапов (техническое задание → эскизный проект → технический проект → рабочая документация → внедрение и эксплуатация).

• ГОСТ 34.201 «Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем» - Описывает, какие документы должны быть подготовлены при создании системы (проектная документация, эксплуатационная документация и т.д.). Это важно для КСЗИ, потому что на каждом этапе проектирования и эксплуатации нужно оформлять отчёты, инструкции, регламенты.

2.3. Перечисление основных определений, используемых при проектировании КСЗИ:

• Субъекты доступа – пользователи, процессы, администраторы, программы.

• Объекты доступа – файлы, базы данных, программы, устройства, сервисы.

• Методы управления доступом – дискреционный (по спискам доступа), мандатный (по уровням секретности), ролевой (по должностям).

• Типы доступа – чтение, запись, изменение(редактирование или удаление).

• Меры защиты – пароли, шифрование, антивирусы, межсетевые экраны (аппаратно-программный и программный).

• Средства защиты – сертифицированные программы и устройства, которые реализуют меры защиты.

2.4. Перечисление основных содержаний эксплуатационной документации КСЗИ:

• описание структуры КСЗИ (какие элементы входят, как связаны),

• список средств защиты (ПО и оборудование), их параметры и места установки,

• инструкции по настройке и эксплуатации,

• правила для администраторов и пользователей,

• порядок действий при сбоях и инцидентах.

2.5. Перечисление этапов внедрения системы защиты информации:

• Установка и настройка средств защиты информации.

• Разработка организационно-распорядительных документов (правила, инструкции, регламенты).

• Внедрение организационных мер (разграничение прав, обучение сотрудников).

• Предварительные испытания системы.

• Опытная эксплуатация.

• Анализ уязвимостей и устранение проблем.

• Приёмочные испытания.

2.6. Перечисление процессов, выполняемых при обеспечении защиты информации в ходе эксплуатации аттестованной информационной системы.

• Администрирование системы защиты (создание учётных записей, настройка прав доступа, установка обновлений).

• Выявление и реагирование на инциденты (например, попытки взлома, заражение вирусами, сбои оборудования).

• Управление конфигурацией системы (контроль изменений в ПО, настройках и оборудовании).

• Мониторинг уровня защищённости (проверка работы системы, анализ новых угроз, корректировка защиты).

2 ЛАБА

1. Какие существуют виды обследования защищённости? Выделяют три основных вида обследования защищённости объектов информатизации: – инструментальное обследование (может быть дискретным и непрерывным) – с применением специализированных программных и аппаратных средств контроля защищённости; – обследование защищённости на соответствие стандартам и методикам — проводится для проверки объекта на соответствие установленным требованиям нормативных документов (например, ГОСТ, ISO/IEC 15408, 27001); – обследование защищённости как часть специализированных исследований — проводится при выполнении научных или аналитических работ, направленных на повышение эффективности системы защиты информации.