Добавил:
ivanov666
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз:
Предмет:
Файл:Стандарты информационной безопасности. Защита и обработка конфиденциальных документов. Учебное пособие
.pdf
ВЫСШЕЕ ОБРАЗОВАНИЕ
Министерство образования и науки Российской Федерации
Федеральное государственное бюджетное образовательное
учреждение высшего образования
«Российский экономический университет имени Г. В. Плеханова»
(ФГБОУ ВО «РЭУ им. Г. В. Плеханова»)
Ю. Н. Сычев
СТАНДАРТЫ
ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ.
ЗАЩИТА И ОБРАБОТКА
КОНФИДЕНЦИАЛЬНЫХ
ДОКУМЕНТОВ
Учебное пособие
Вузовское образование
Саратов • 2018
УДК 004
ББК 32.97
С95
Рецензенты:
Тараскин М. М. — д-р техн. наук (МИНИТ ФСБ России);
Креопалов В. В. — канд. техн. наук (РЭУ им. Г. В. Плеханова).
Сычев, Ю. Н.
С95 Стандарты информационной безопасности. Защита и обработка конфи-
денциальных документов [Электронный ресурс] : учебное пособие /
Ю. Н. Сычев. — Электрон. дан. и прогр. (7 Мб). — Саратов: Вузовское
образование, 2018. — 195 с. — (Высшее образование).
ISBN 978-5-4487-0128-3
Специалистам в области информационной безопасности в настоящее
время невозможно обойтись без знания международных и национальных стандартов. Необходимость применения требований криптографических стандартов, Руководящих документов Гостехкомиссии России закреплена законодательно. Помимо этого, во всех стандартах зафиксированы апробированные, высококачественные решения и методологии, разработанные наиболее квалифицированными специалистами в своей области. Стандарты являются основой
обеспечения взаимной совместимости информационных, аппаратнопрограммных систем и их компонентов. Учебное пособие отличается качеством
изложения теоретического материала. В нем чувствуется четкость и продуманность структуры и содержания. Материал представлен по этапам создания
стандартов, т. е. с учетом развития информационного общества.
Для студентов, обучающихся по направлению 10.03.01 «Информационная
безопасность», профиль «Безопасность автоматизированных систем».
В учебных целях стандарты и руководящие документы приведены автором в неполном объеме и в измененном виде.
Учебное электронное издание
© Сычев Ю. Н., 2017
© ООО «Вузовское образование», 2017
Издано в авторской редакции
Технический редактор М.А. Джалая
Компьютерная верстка, обложка С.С. Сизиумовой
Для создания электронного издания использовано:
Приложение pdf2swf из ПО Swftools, ПО IPRbooks Reader,
разработанное на основе Adobe Air
Подписано к использованию 30.10.2017. Объем данных 7 Мб.
Издание представлено в электронно-библиотечных системах
IPRbooks (www.iprbookshop.ru),
Библиокомплектатор (www.bibliocomplectator.ru)
Бесплатный звонок по России: 8-800-555-22-35
Тел.: 8 (8452) 24-77-97, 8 (8452) 24-77-96
Отдел продаж и внедрения ЭБС:
доб. 206, 213, 144, 145
E-mail: sale@iprmedia.ru
Отдел комплектования ЭБС:
доб. 224, 227, 208
E-mail: mail@iprbookshop.ru
По вопросам приобретения издания обращаться:
доб. 208, 201, 222, 224
E-mail: izdat@iprmedia.ru, author@iprmedia.ru
ОГЛАВЛЕНИЕ
Глава 1. СТАНДАРТИЗАЦИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ...................... 6
Глава 2. БРИТАНСКИЕ И МЕЖДУНАРОДНЫЕ СТАНДАРТЫ ....................................... 14
2.1. БРИТАНСКИЙ СТАНДАРТ BS 7799 ................................................................................ 14
2.1.1. Британский стандарт BS 7799-1 «Информационная технология.
Практический кодекс по менеджменту информационной безопасности» ....................... 15
2.1.2. Британский стандарт BS 7799-2 «Управление информационной безопасностью.
Практические правила» .......................................................................................................... 17
2.1.3. Британский стандарт BS 7799-3 «Руководство по управлению рисками
информационной безопасности» ........................................................................................... 25
2.2. МЕЖДУНАРОДНЫЙ СТАНДАРТ ISO/IEC 17799 «ИНФОРМАЦИОННЫЕ
ТЕХНОЛОГИИ. ТЕХНОЛОГИИ БЕЗОПАСНОСТИ. ПРАКТИЧЕСКИЕ ПРАВИЛА
МЕНЕДЖМЕНТА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ» .......................................... 29
2.3. СЕМЕЙСТВО МЕЖДУНАРОДНЫХ СТАНДАРТОВ ISO/IEC 27000 .......................... 33
2.3.1. Международный стандарт ISO/IEC 27001 «Информационные технологии –
Методы обеспечения безопасности – Системы управления информационной
безопасностью – Требования» ............................................................................................... 37
2.3.2. Международный стандарт ISO/IEC 27002 «Информационные технологии –
Технологии безопасности – Практические правила менеджмента
информационной безопасности» ........................................................................................... 39
Глава 3. НАЦИОНАЛЬНЫЕ СТАНДАРТЫ РОССИЙСКОЙ ФЕДЕРАЦИИ
В ОБЛАСТИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ .................................................... 42
3.1. НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ ГОСТ Р 50922-2006
«ЗАЩИТА ИНФОРМАЦИИ. ОСНОВНЫЕ ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ» ................... 42
3.2. НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ Р 50.1.053-2005
«ИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИ. ОСНОВНЫЕ ТЕРМИНЫ
И ОПРЕДЕЛЕНИЯ В ОБЛАСТИ ТЕХНИЧЕСКОЙ ЗАЩИТЫ ИНФОРМАЦИИ» ............ 49
3.3. НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ
ГОСТ Р 51188-1998 «ЗАЩИТА ИНФОРМАЦИИ. ИСПЫТАНИЕ ПРОГРАММНЫХ
СРЕДСТВ НА НАЛИЧИЕ КОМПЬЮТЕРНЫХ ВИРУСОВ» ................................................ 56
3.4. НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ ГОСТ Р 51275-2006
«ЗАЩИТА ИНФОРМАЦИИ. ОБЪЕКТ ИНФОРМАТИЗАЦИИ. ФАКТОРЫ,
ВОЗДЕЙСТВУЮЩИЕ НА ИНФОРМАЦИЮ. ОБЩИЕ ПОЛОЖЕНИЯ» ........................... 65
3.5. НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ ГОСТ Р ИСО/МЭК
15408-2008 «ИНФОРМАЦИОННАЯ ТЕХНОЛОГИЯ. МЕТОДЫ И СРЕДСТВА
ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ. КРИТЕРИИ ОЦЕНКИ БЕЗОПАСНОСТИ
ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ» ............................................................................... 73
3.5.1. Национальный стандарт Российской Федерации ГОСТ Р ИСО/МЭК
15408-1-2008 «Информационная технология. Методы и средства обеспечения
безопасности. Критерии оценки безопасности информационных технологий.
Часть 1. Введение и общая модель» ..................................................................................... 77
3.5.2. Национальный стандарт Российской Федерации ГОСТ Р ИСО/МЭК
15408-2-2013 «Информационная технология. Методы и средства обеспечения
безопасности. Критерии оценки безопасности информационных технологий.
Часть 2. Функциональные компоненты безопасности» ...................................................... 89
4
3.5.3. Национальный стандарт Российской Федерации ГОСТ Р ИСО/МЭК
15408-3-2008 «Информационная технология. Методы и средства обеспечения
безопасности. Критерии оценки безопасности информационных технологий.
Часть 3. Требования доверия к безопасности» .................................................................. 101
3.6. НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ
ГОСТ Р ИСО/МЭК 17799-2005 «ИНФОРМАЦИОННАЯ ТЕХНОЛОГИЯ.
ПРАКТИЧЕСКИЕ ПРАВИЛА УПРАВЛЕНИЯ ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТЬЮ» ............................................................................................................... 106
3.7. НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ
ГОСТ Р ИСО/МЭК 27001-2006 «МЕТОДЫ И СРЕДСТВА
ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ СИСТЕМЫ МЕНЕДЖМЕНТА
ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ» ......................................................................... 113
Глава 4. РУКОВОДЯЩИЕ ДОКУМЕНТЫ ГОСТЕХКОМИССИИ РОССИИ ............... 121
4.1. ЗАЩИТА ОТ НЕСАНКЦИОНИРОВАННОГО ДОСТУПА.
ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ .............................................................................................. 121
4.2. КОНЦЕПЦИЯ ЗАЩИТЫ СРЕДСТВ ВЫЧИСЛИТЕЛЬНОЙ ТЕХНИКИ
И АВТОМАТИЗИРОВАННЫХ СИСТЕМ ОТ НЕСАНКЦИОНИРОВАННОГО
ДОСТУПА (НСД) К ИНФОРМАЦИИ ................................................................................... 124
4.3. АВТОМАТИЗИРОВАННЫЕ СИСТЕМЫ. ЗАЩИТА
ОТ НЕСАНКЦИОНИРОВАННОГО ДОСТУПА К ИНФОРМАЦИИ.
КЛАССИФИКАЦИЯ АВТОМАТИЗИРОВАННЫХ СИСТЕМ
И ТРЕБОВАНИЯ ПО ЗАЩИТЕ ИНФОРМАЦИИ ................................................................ 125
4.4. СРЕДСТВА ВЫЧИСЛИТЕЛЬНОЙ ТЕХНИКИ. ЗАЩИТА
ОТ НЕСАНКЦИОНИРОВАННОГО ДОСТУПА К ИНФОРМАЦИИ.
ПОКАЗАТЕЛИ ЗАЩИЩЕННОСТИ ОТ НЕСАНКЦИОНИРОВАННОГО
ДОСТУПА К ИНФОРМАЦИИ ............................................................................................... 151
4.5. ВРЕМЕННОЕ ПОЛОЖЕНИЕ ПО ОРГАНИЗАЦИИ РАЗРАБОТКИ,
ИЗГОТОВЛЕНИЯ И ЭКСПЛУАТАЦИИ ПРОГРАММНЫХ И ТЕХНИЧЕСКИХ
СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ ОТ НЕСАНКЦИОНИРОВАННОГО ДОСТУПА
В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ И СРЕДСТВАХ
ВЫЧИСЛИТЕЛЬНОЙ ТЕХНИКИ .......................................................................................... 168
Глава 5. ЗАЩИТА И ОБРАБОТКА КОНФИДЕНЦИАЛЬНЫХ ДОКУМЕНТОВ ......... 170
5.1. ВИДЫ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ ...................................................... 170
5.2. ПОРЯДОК ОБРАЩЕНИЯ С КОНФИДЕНЦИАЛЬНЫМИ ДОКУМЕНТАМИ .......... 181
СОКРАЩЕНИЯ ........................................................................................................................... 187
КОНТРОЛЬНЫЕ ВОПРОСЫ ................................................................................................... 189
СПИСОК ЛИТЕРАТУРЫ .......................................................................................................... 193
5
Глава 1. СТАНДАРТИЗАЦИЯ ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ
Стандартизация – деятельность по разработке, опубликованию и
применению стандартов, по установлению норм, правил и характеристик
в целях обеспечения безопасности продукции, работ и услуг для окружающей среды, жизни, здоровья и имущества, технической и информационной совместимости, взаимозаменяемости и качества продукции, работ и
услуг в соответствии с уровнем развития науки, техники и технологии,
единства измерений, экономии всех видов ресурсов, безопасности хозяйственных объектов с учетом риска возникновения природных и техногенных катастроф и других чрезвычайных ситуаций, обороноспособности и
мобилизационной готовности страны.
Стандартизация направлена на достижение оптимальной степени
упорядочения в определенной области посредством установления положений для всеобщего и многократного применения в отношении реально
существующих или потенциальных задач.
За реализацию норм стандартизации отвечают органы и службы
стандартизации, наделенные законным правом руководить разработкой и
утверждать нормативные документы и другие правила, придавая им статус стандартов.
Органы и службы стандартизации – организации, учреждения, объ-
единения и их подразделения, основной деятельностью которых является
осуществление работ по стандартизации или выполнение определенных
функций по стандартизации.
Руководство российской национальной стандартизацией осуществляет национальный орган по стандартизации – Федеральное агентство по
техническому регулированию и метрологии – Ростехрегулирование. Оно
имеет право представлять интересы страны в области стандартизации в
международных или региональных организациях по стандартизации.
Ростехрегулирование осуществляет:
принятие программы разработки национальных стандартов;
утверждение национальных стандартов;
учет национальных стандартов, правил стандартизации, норм и
рекомендаций в этой области и обеспечение их доступности заинтересованным лицам;
введение в действие общероссийских классификаторов технико-
экономической и социальной информации.
6
Ростехрегулирование осуществляет свои функции непосредственно
и через свои межрегиональные территориальные управления (МТУ), а
также российские службы стандартизации.
В структуру Ростехрегулирования входят:
Центральное межрегиональное территориальное управление (ме-
сто расположения центрального аппарата территориального органа –
Москва);
Северо-Западное межрегиональное территориальное управление
(место расположения центрального аппарата территориального органа –
Санкт-Петербург);
Южное межрегиональное территориальное управление (место
расположения центрального аппарата территориального органа – Ростовна-Дону);
Приволжское межрегиональное территориальное управление (ме-
сто расположения центрального аппарата территориального органа –
Нижний Новгород);
Уральское межрегиональное территориальное управление (место
расположения центрального аппарата территориального органа – Екатеринбург);
Сибирское межрегиональное территориальное управление (место
расположения центрального аппарата территориального органа – Новосибирск);
Дальневосточное межрегиональное территориальное управление
(место расположения центрального аппарата территориального органа –
Хабаровск).
Службы стандартизации – специально создаваемые организации и
подразделения для проведения работ по стандартизации на определенных
уровнях управления – государственном, отраслевом, предприятий (организации).
Российские службы стандартизации – научно-исследователь-ские
институты Ростехрегулирования России и технические комитеты по стандартизации.
К научно-исследовательским институтам, например, относятся:
НИИ стандартизации (ВНИИ стандарт) – головной институт в об-
ласти национальной системы стандартизации;
ВНИИ сертификации продукции (ВНИИС) – головной институт в
области сертификации продукции (услуг) и систем управления качеством
продукции (услуг);
7
ВНИИ по нормализации в машиностроении (ВНИИНМАШ) – го-
ловной институт в области разработки научных основ унификации и агрегатирования в машиностроении и приборостроении;
«Стандартинформ» – головной институт в области разработки и
дальнейшего развития Единой системы классификации и кодирования
технико-экономической информации, стандартизации научнотехнической терминологии.
Технические комитеты по стандартизации (ТК) создаются на базе
организаций, специализирующихся на определенных видах продукции
(услуг) и имеющих в данной области наиболее высокий научнотехнический потенциал. На сегодняшний день зарегистрировано свыше
350 ТК.
Стандарт – продукт согласованного мнения всех заинтересованных в
этом документе сторон (пользователей).
Задача Технического комитета заключается в обеспечении «круглого
стола» участников разработки проекта стандарта. Поэтому в состав этих
ТК включают представителей разработчиков, изготовителей, поставщиков, потребителей (заказчиков) продукции, обществ (союзов) потребителей и других заинтересованных предприятий и организаций, а также ведущих ученых и специалистов в конкретной области. ТК несут ответственность за качество и сроки разрабатываемых ими проектов стандартов
в соответствии с действующим законодательством и заключенными договорами на проведение этих работ.
Руководители предприятий непосредственно несут ответственность
за организацию и состояние выполняемых работ по стандартизации на
этих предприятиях. Предприятия создают при необходимости службы
стандартизации (отдел, лабораторию, бюро), которые выполняют научноисследовательские, опытно-конструкторские и другие работы по стандартизации.
Выделяют следующие ключевые задачи стандартизации:
налаживание взаимопонимания между субъектами производствен-
ных процессов (разработчиками, промышленниками, продавцами, покупателями товаров и услуг);
выработка оптимальных критериев стандартизации, отражающих
особенности развития тех или иных отраслей или экономики в целом;
содействие выработке предприятиями оптимальных схем доступа
к необходимым ресурсам посредством внедрения стандартов, отражающих применение тех или иных видов сырья, материалов, компонентов;
8
унификация производственных процессов с целью повышения ди-
намики масштабирования бизнесов (как результат – позитивный эффект в
аспекте роста экономики);
установление оптимальных норм в области метрологии (с целью
оптимизации производственных цепочек как на национальном, так и на
международном уровне);
нормативное обеспечение процедур контроля, испытаний, измере-
ний, исследования продукции на предмет качества;
оптимизация технологических процессов с точки зрения трудоем-
кости, потребности в материалах, электроэнергии;
содействие инвестиционной привлекательности национальных
предприятий в аспекте повышения эффективности производства за счет
оптимизации стандартов.
Стандарты нацелены на регулирование какой-либо конкретной части
производственного процесса (предоставления услуг). В них также могут
указываться критерии, имеющие, к примеру, отношение к терминологии
каких-либо товаров или услуг. Данные документы разрабатываются на
основе обобщенных научных исследований, инженерных работ, они аккумулируют в себе результаты практики производства (оказания услуг) в
различных сферах экономики.
В соответствии с Федеральным законом от 27 декабря 2002 г.
№ 184-ФЗ «О техническом регулировании», все стандарты, применяемые
в российской практике, имеют единообразный формат обозначения. Это
означает, что в любой категории стандартов РФ структура соответствующих норм представлена в виде индекса, номера регистрации, а также года
принятия. Например, ГОСТ Р 50597-93.
Целями стандартизации являются:
повышение уровня безопасности жизни и здоровья граждан, иму-
щества физических и юридических лиц, государственного и муниципального имущества;
обеспечение конкурентоспособности и качества продукции (работ,
услуг), единства измерений, рационального использования ресурсов –
взаимозаменяемости технических средств (машин и оборудования, их составных частей, комплектующих изделий и материалов), технической и
информационной совместимости, сопоставимости результатов исследований (испытаний) и измерений, технических и экономико-статистических
данных, проведения анализа характеристик продукции (работ, услуг), исполнения государственных заказов, добровольного подтверждения соответствия продукции (работ, услуг);
содействие соблюдению требований технических регламентов;
9
создание систем классификации и кодирования технико-
экономической и социальной информации, систем каталогизации продукции (работ, услуг), систем обеспечения качества продукции (работ, услуг),
систем поиска и передачи данных, содействие проведению работ по унификации.
Выделяют следующие основные категории стандартов:
международные;
государственные стандарты РФ (ГОСТ Р);
межгосударственные (ГОСТ);
корпоративные (стандарты предприятий);
отраслевые;
издаваемые общественными объединениями.
Есть в мировой практике и другие категории. Например, региональные стандарты, применимые одновременно в нескольких странах, которые
объединены по культурным или географическим признакам.
Государственные стандарты (или ГОСТы) всех типов – российские
или межгосударственные – характеризуются обязательностью в аспекте
применения предприятиями и организациями, деятельность которых попадает под положения соответствующих норм. ГОСТы в ряде случаев могут быть одним из критериев проведения сертификации предприятия.
Отраслевые стандарты (ОСТ) действуют в отношении конкретного
сегмента экономики. Они также могут использоваться в качестве критериев при проведении сертификации.
С помощью стандартов предприятий (СТП) устанавливаются требования в отношении методов (или же процессов), которые характерны для
тех или иных участков производства. В ряде случаев могут иметь схожесть в отдельных положениях с ГОСТами и ОСТами, однако, как правило, отражают частные особенности производственных процессов на конкретных предприятиях.
В ОСТах название нормы выглядит так же, как и в случае с ГОСТ,
т. е. в виде последовательного обозначения индекса, регистрационного
номера и года принятия.
Классификация источников норм в стандартизации
В России принята четырехуровневая схема организации национального фонда источников права в сфере стандартизации.
На первой ступени располагается техническое законодательство.
Главный источник права здесь – Федеральный закон «О техническом регулировании». На данном уровне присутствуют законы и подзаконные
правовые акты (постановления российского правительства, приказы различных ведомств и т. д.).
10
Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]