4. Какие исходные данные используются для составления плана по улучшению защищённости объекта информатизации?

Используются следующие данные (по методичке ФСТЭК):

• модель угроз и модель нарушителя;

• акт классификации объекта;

• информация о структуре, составе и конфигурации систем;

• результаты анализа уязвимостей;

• результаты предыдущих проверок и испытаний;

• эксплуатационная документация и организационно-распорядительные документы (ОРД);

• данные о кадрах, доступах, режимах эксплуатации;

• нормативные требования (ГОСТ, приказы ФСТЭК/ФСБ).

5. Какими документами должен руководствоваться специалист по защите информации при составлении плана мероприятий по улучшению защищённости объекта информатизации?

Федеральные законы:

149-ФЗ «Об информации…» — общие требования защиты.

152-ФЗ «О персональных данных» — защита ПДн.

Постановления Правительства РФ

№1119 (2012 г.) — требования к защите ПДн в ИСПДн, уровни защищённости.

№512 (2008 г.) — требования к носителям биометрических ПДн.

№687 (2008 г.) — обработка ПДн без автоматизации.

Приказы ФСТЭК

№21 (18.02.2013) — состав и содержание мер по защите ПДн.

№17 (2014) — модели угроз и нарушителя для ГИС.

Приказы ФСБ

№149/6/6-622 (2008 г.) — требования к криптозащите информации, включая ПДн.

Методические рекомендации по криптографической защите ПДн.

ГОСТы

ГОСТ Р 51583 — порядок создания АС в защищённом исполнении.

ГОСТ Р 51624 — общие требования к защищённости АС.

ГОСТы серии 34:

• 34.601-90 — стадии создания АС;

• 34.602-89 — Техническое задание;

• 34.603-92 — испытания АС.

ГОСТ Р ИСО/МЭК 27001 — Система менеджмента ИБ.

ГОСТ Р ИСО/МЭК 27002 — свод мер по ИБ.

ГОСТ Р 56939-2016 — меры технической защиты.

6 ЛАБА

1) Основные компоненты подсистемы защиты базы данных.

К основным компонентам подсистемы защиты базы данных относятся: – механизм идентификации и аутентификации пользователей и процессов (проверка подлинности субъекта доступа); – механизм разграничения доступа (проверка полномочий, система привилегий и ролей, реализация избирательного и/или обязательного доступа); – система управления пользователями, группами и ролями, включая хранение их атрибутов и полномочий в системных каталогах СУБД; – средства регистрации и аудита действий пользователей (журналы доступа, протоколирование административных операций); – средства обеспечения целостности данных (ограничения целостности, триггеры, механизмы транзакций и отката); – средства криптографической защиты и защиты связи с сервером БД (шифрование каналов, при необходимости – шифрование данных); – средства резервного копирования и восстановления, обеспечивающие сохранность данных при сбоях и инцидентах.

2) Какие наиболее общие подходы к вопросу обеспечения безопасности данных поддерживаются в современных субд?

Современные СУБД поддерживают два наиболее общих подхода к обеспечению безопасности данных:

– избирательный (дискреционный) подход – каждому пользователю или группе назначается набор прав (привилегий) на конкретные объекты БД. Разные пользователи могут иметь разные права на один и тот же объект (SELECT, INSERT, UPDATE, DELETE и т.д.); – обязательный (мандатный) подход – каждому объекту данных назначается классификационный уровень, а каждому пользователю – уровень допуска; доступ к объекту разрешается только при соответствии уровня допуска пользователя уровню (или диапазону уровней) объекта, в соответствии с заданной политикой безопасности.