- •Вопросы к экзамену по оиБвИс
- •Второй блок
- •Каково место информационной безопасности в системе национальной безопасности Российской Федерации?
- •Сформулируйте основные положения доктрины информационной безопасности рф.
- •Каковы основные цели защиты информации?
- •Каковы основные задачи в области информационной безопасности?
- •Какова структура государственной системы защиты информации?
- •Кто несет ответственность за нарушение режима защиты информации?
- •Каковы функции руководителей предприятий при организации защиты информации?
- •Каковы основные функции фстэк?
- •Покажите роль различных министерств и ведомств в вопросах защиты информации.
- •1. Введение в этический хакинг, определение, основные цели, основные принципы.
- •2. Понимание кибератак и уязвимостей, природа кибератак, уязвимости и эксплойты.
- •3. Роль технических навыков в этичном хакерстве, примеры кибератак.
- •Понятие аудита безопасности ис, определение, цели, порядок проведения аудита ис. Стандарты безопасности при проведении аудита.
- •4 Лекция
- •Аудит информационной безопасности (иб) систем ip-телефонии. Методы аудита иб систем ip-телефонии. Нормативная база. Инструментарий аудита иб систем ip-телефонии.
- •Политика информационной безопасности. Системное содержание политики информационной безопасности Итерационный процесс разработки и реализации политики иб.
- •Структура политики информационной безопасности организации. Политика удаленного доступа. Процедура реагирования на события. Процедура управления конфигурацией.
- •Разработка политики безопасности организации. Основные требования к Политике безопасности. Схема разработки политики безопасности. Компоненты архитектуры безопасности.
- •Принципы обеспечения безопасности периметра сети телекоммуникационной системы.
- •Регулирование правил работы скуд. Нормативные документы. Рекомендации. Средства. Аудит.
- •Регулирование правил удаленного доступа средствами vpn. Законодательные нормы. Рекомендации. Средства.
- •Контроль безопасности конечных устройств. Методы. Средства. Правила. Угрозы.
- •Контроль безопасности ip-телефонии. Угрозы. Методы защиты. Средства. Рекомендации.
- •Роль стандартов информационной безопасности. Потребители. Производители. Эксперты по квалификации и специалисты по сертификации.
- •Принципы построения Государственных стандартов в области иб рф. Приоритет экономических факторов. Открытость проектирования. Юридическая значимость коммерческой информации.
- •Российские стандарты, регулирующие иб.
- •Стандарт «Критерии оценки безопасности информационных технологий» гост р исо/мэк 15408.
- •Часть 1: Концептуальные основы и методология оценки.
- •Часть 2: Безопасностные функциональные требования.
- •Часть 3: Требования к процессу оценки.
- •Оранжевая книга. Международный стандарт iso/iec 15408. Критерии оценки безопасности информационных систем.
- •Стандарты iso/iec 17799:2002 (bs 7799:2000), Стандарт iso/iec 27001.
- •Стандарты для беспроводных сетей. Стандарт ieee 802.11. Стандарт ieee 802.11b. Стандарт ieee 802.11a. Стандарт ieee 802.11g. Стандарт ieee 802.11i.
- •Протоколы ssl, ipSec, set, pki.
- •Угрозы информационной безопасности в информационных системах. Задача обеспечения информационной безопасности ис.
- •Что относится к технологиям информационной защиты? Каковы цели средств информационного оружия?
- •Основные понятия информационной безопасности. Основные составляющие информационной безопасности.
- •Взаимодействие основных субъектов и объектов обеспечения информационной безопасности, и определения.
- •Определение политики безопасности по гост р исо/мэк 15408-1-2012. Понятия информационной безопасности и их взаимосвязь.
- •Лекция 1
- •Основные понятия защиты информации
- •Угрозы информационной безопасности в информационных системах, определение анализ и классификация угроз информационной безопасности
- •Классификация возможных угроз информационной безопасности.
- •Основные определения и критерии, угрозы целостности и конфиденциальности.
- •Какие цепочки цепочек обработки пакетов существуют в Dionis-nx? Какова их основная задача?
- •Что определяет порядок расположения правил в списке? в каком порядке система просматривает список правил?
- •Какой командой удаляется правило из списка?
- •Вспомните, по каким параметрам осуществляется фильтрация iр-датаграмм в Dionis-nx?
- •Можно ли заблокировать удаленный доступ к Dionis-nx по протоколу ssh при помощи списка доступа на этом Dionis-nx?
- •Какой трафик и почему будет заблокирован при установке списка доступа следующего содержания на вход интерфейса?
- •Какие типы nat используются в Dionis-nx? Какова их основная задача?
- •Ответы по первому блоку лаба 1
- •2. Что должен содержать аттестат соответствия?
- •3. Назовите порядок проведения аттестации объектов информатизации по требованиям безопасности информации.
- •4. Какие документы предоставляет заявитель для проведения испытаний органу по аттестации?
- •5. Какие функции осуществляет фстэк в рамках системы аттестации?
- •2. Каким документом определяются требования к защите персональных данных?
- •1) Структура нормативных документов предприятия.
- •2) Какой документ по защите информации является первичным нормативным актов на предприятии?
- •3) Законы, регулирующие порядок работы с конфиденциальной информаицей.
- •4) Что регулирует закон об архивном деле?
- •5) Что регулирует Федеральный закон «о защите персональных данных?
- •6) Что регулирует Федеральный закон «о коммерческой тайне»?
- •7) Что регулирует Федеральный закон «о связи»?
- •8) Общий список внутренних нормативных документов, которые должны быть на любом объекте информатизации.
- •2. Какая главная цель создания сзи?
- •4. Какие исходные данные используются для составления плана по улучшению защищённости объекта информатизации?
- •5. Какими документами должен руководствоваться специалист по защите информации при составлении плана мероприятий по улучшению защищённости объекта информатизации?
- •1) Основные компоненты подсистемы защиты базы данных.
- •2) Какие наиболее общие подходы к вопросу обеспечения безопасности данных поддерживаются в современных субд?
- •3) Наиболее известные современные субд.
- •4) Алгоритм проверки аутентификации пользователя в mssqlServer.
- •5) Для чего используется механизм разграничения доступа на уровне субд?
- •1) Что называется телекоммуникационной инфраструктурой предприятия?
- •2) Основные уровни модели osi, используемые для защиты телекоммуникационной инфраструктуры.
- •3) Основные компоненты защищённой телекоммуникационной инфраструктуры.
- •4) Основные методы защиты телекоммуникационной инфраструктуры на канальном уровне.
- •5) Основные методы защиты телекоммуникационной инфраструктуры на сетевом уровне.
- •1) Что называется системой управления информационной безопасностью?
- •2) Какие стадии включает в себя процесс контроля целостности системы защиты информации?
- •3) Основные компоненты системы управления информационной безопасностью.
- •4) Основные методы защиты систем управления информационной безопасностью.
- •1) Порядок проведения испытаний системы защиты.
- •2) Порядок разработки методики испытаний.
- •3) Какой нормативный документ устанавливает 7 классов защищенности средств защиты информации?
- •4) Порядок тестирования функций мэ.
- •5) Каким рядом заметных достоинств обладает программный комплекс «Сканер-вс»?
2. Что должен содержать аттестат соответствия?
Аттестат соответствия содержит: регистрационный номер, дату выдачи, срок действия, наименование и адрес объекта информатизации, категорию объекта и класс защищенности автоматизированной системы, гриф конфиденциальности обрабатываемой информации, организационную структуру объекта, сведения об уровне подготовки специалистов, номера и даты утверждения программы и методики испытаний, перечень документов, перечень технических средств, схемы размещения оборудования, перечень разрешённых и запрещённых действий при эксплуатации, а также список ответственных лиц за обеспечение требований безопасности.
3. Назовите порядок проведения аттестации объектов информатизации по требованиям безопасности информации.
Порядок проведения аттестации включает следующие этапы:
Подача и рассмотрение заявки на аттестацию органом по аттестации;
Предварительное ознакомление с аттестуемым объектом при необходимости;
Испытания несертифицированных средств защиты информации;
Разработку программы и методики аттестационных испытаний;
Заключение договоров между заявителем и органом по аттестации;
Проведение комплексных аттестационных испытаний и оформление протоколов;
Регистрация и выдача аттестата соответствия при положительном заключении;
Государственный надзор и инспекционный контроль за эксплуатацией аттестованных объектов;
Рассмотрение апелляций в случае несогласия заявителя с результатами.
4. Какие документы предоставляет заявитель для проведения испытаний органу по аттестации?
Заявитель предоставляет: приёмо-сдаточную документацию на объект, акты категорирования помещений и объектов информатизации, инструкции по эксплуатации средств защиты информации, технический паспорт на объект, сертификаты соответствия ТСОИ, ВТСС и средств защиты информации, акты на скрытые работы, протоколы измерений (звукоизоляция, экранирование, сопротивление заземления), данные о подготовке кадров, документацию по контролю эффективности защиты и пояснительную записку с описанием структуры объекта.
5. Какие функции осуществляет фстэк в рамках системы аттестации?
ФСТЭК России: организует и регулирует обязательную аттестацию объектов информатизации; утверждает нормативно-методические документы; устанавливает правила аккредитации и лицензирования органов по аттестации; аккредитует и контролирует их деятельность; осуществляет государственный надзор за соблюдением требований безопасности; рассматривает апелляции; а также публикует официальную информацию о системе аттестации и аккредитованных лабораториях.
3 ЛАБА
1. Закон о защите персональных данных.
Федеральный закон № 152-ФЗ «О персональных данных» от 27.07.2006 г.
2. Каким документом определяются требования к защите персональных данных?
Постановление Правительства РФ № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» от 01.11.2012 г.
3. Перечень документов используемых для защиты персональных данных.
- Федеральный закон № 152-ФЗ «О персональных данных»;
- Постановление Правительства РФ № 1119 (от 01.11.2012) — требования к защите ПДн в ИСПДн;
- Приказ ФСТЭК № 21 «Об утверждении состава и содержания организационных и технических мер…» (18.02.2013);
- Постановление Правительства РФ № 512 (06.07.2008) — требования к материальным носителям биометрических ПДн;
- Постановление Правительства РФ № 687 (15.09.2008) — об особенностях обработки ПДн без использования средств автоматизации;
- Методические рекомендации и приказы ФСБ по применению криптосредств (приказы ФСБ, см. ниже).
4. Документ регламентирующий использование криптографических средств защиты в информационных системах.
Методические рекомендации по обеспечению безопасности ПДн с помощью криптосредств, утверждённые приказом ФСБ: приказ ФСБ № 149/54-144 от 21.02.2008 г., а также «Типовые требования…» — приказ ФСБ № 149/6/6-622 от 21.02.2008 г. (указаны в методичке как регламент для разработки/внедрения криптосредств при обработке ПДн).
4 ЛАБА