Добавил:
ivanov666
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз:
Предмет:
Файл:Организационная защита информации. Учебное пособие для вузов
.pdf
151
органами по лицензированию, лицензионными центрами качества
Лицензирование и сертификация деятельности в области защиты информации
выполненных лицензиатами работ по рекламациям предприятийпотребителей.
9.3. Сертификация средств защиты информации
Национальным органом по сертификации является Госстандарт
РФ. Госстандартом в 1994 г. утверждены "Правила по проведению
сертификации в РФ", в соответствии с которыми целями сертификации
являются [22]:
создание условий для деятельности предприятий и
предпринимателей на товарном рынке РФ и участия в международной
торговли;
содействие потребителям в компетентном выборе продукции;
содействие экспорту и повышение конкурентоспособности
продукции;
защита потребителя от недобросовестности изготовителя
(продавца, исполнителя);
контроль безопасности продукции для окружающей среды,
жизни и имущества;
подтверждение показателей качества продукции, заявленных
изготовителями.
Сертификация средств защиты информации, прежде всего,
подразумевает проверку их качественных характеристик для реализации
основной функции – защиты информации на основании
государственных стандартов и требований по безопасности
информации. Применительно к сведениям, составляющим
государственную тайну, общие принципы организации сертификации
средств защиты информации определены нормами статьи 28 Закона РФ
"О государственной тайне" – средства защиты информации должны
иметь сертификат, удостоверяющий их соответствие требованиям по
защите сведений соответствующей степени секретности [20].
Организация сертификации средств защиты информации возлагается
на Федеральное агентство контроля экспорта и технологий,
Министерство обороны РФ в соответствии с функциями, возложенными
на них законодательством РФ. Сертификация осуществляется на
Глава 1
152
Глава 9
основании требований государственных стандартов РФ и иных
нормативных документов, утверждаемых Правительством РФ. Одним из
основных руководящих документов по сертификации защиты
информации в настоящее время является Положение о сертификации
средств защиты информации, утвержденное Постановлением
Правительства РФ от 25.06.95 г. № 608, реализующим нормы Закона РФ
"О сертификации продукции и услуг".
Порядок проведения сертификации основан на следующих
принципах:
1. Обязанность сертификации изделий, обеспечивающих защиту
государственной тайны.
2. Обязательность использования криптографических алгоритмов,
являющихся стандартами.
3. Принятие на сертификацию только изделий от заявителей,
имеющих лицензию.
Таким образом, в соответствии с вышеназванными документами
разработаны и введены в действие перечни средств защиты
информации, подлежащих обязательной сертификации;
государственным организациям и предприятиям запрещено
использование в информационных системах шифровальных средств (в
т.ч. электронной подписи и защищенных технических средств хранения,
обработки и передачи информации), не имеющих сертификата. Кроме
этого в области информационных технологий действуют системы
добровольной сертификации банковских технологий (МЕКАС) и средств
связи.
Осуществляется следующий порядок сертификации (рис. 9.2.) [22]:
1. В Центральный орган по сертификации подается заявление и
полный комплект технической документации.
2. Центральный орган назначает испытательный центр
(лабораторию) для проведения испытания.
3. Испытания проводятся на основании хозяйственного договора
между заявителем и испытательным центром.
4. Сертификация (экспертиза материалов и подготовка документов
для выдачи) осуществляется Центральным органом. Сертификат
выдается на срок до 5 лет.
153
Центральный
орган по
сертификации
Заявление и
комплект
документов на
технические
средства
Испытательная
лаборатория
Испытания
технического
средства
Сертификат
Результат
испытаний
Рис. 9.2. Порядок сертификации технических средств
Лицензирование и сертификация деятельности в области защиты информации
Кроме указанных целей, сертификация средств защиты
информации необходима также для решения вопросов экономической
безопасности предприятия в связи с постоянным ростом компьютерных
преступлений. Правовой основой предупреждения компьютерных
преступлений является Указ Президента РФ "О мерах по соблюдению
законности в области разработки, производства, реализации и
эксплуатации шифровальных средств, а также предоставление услуг в
области шифрования информации" № 334 от 03.04.95 г. Приведем
некоторые выдержки из данного указа [20]:
государственным организациям и предприятиям запрещено
использование шифровальных средств, технических средств хранения,
обработки и передачи информации, не имеющих сертификата;
запрещено размещение государственных заказов на
предприятиях, в организациях, использующих указанные средства, не
имеющие сертификата;
запретить деятельность физических и юридических лиц в
области шифровальных и защищенных средств без лицензии;
запретить ввоз на территорию России не лицензированных
шифровальных средств и защищенной техники иностранного
производства;
Глава 1
154
Глава 9
создать Федеральный центр защиты экономической
информации (для планирования комплексных программ экономической
безопасности российских финансовых структур).
После получения сертификата на право выпуска продукции или
оказания услуг, за организацией осуществляется государственный
контроль (надзор) по соблюдению требований технических регламентов.
Контрольные вопросы
1. Что представляет собой процесс лицензирования
деятельности по защите информации в РФ?
2. Что такое сертификат на средство защиты информации?
Для чего он нужен?
3. Назовите нормативно-правовые документы РФ, являющиеся
базой лицензирования и сертификации в области защиты
информации.
4. Какие государственные органы РФ уполномочены на ведение
лицензионной деятельности в области защиты информации?
5. На каких принципах основана процедура проведения
сертификации средств защиты информации?
155
ЗАКЛЮЧЕНИЕ
Результаты проведения аудита ИБ позволяют:
выявить значимые угрозы для информации, циркулирующей в
пределах предприятия;
оценить вероятность каждого события, представляющего угрозу
для безопасности, и ущерб от него;
составить неформальную модель нарушителя; определить
основные требования к системе защиты;
оценить с точки зрения этих требований эффективность
применяемых организационных мер и инженерно-технических средств
защиты;
разработать предложения и рекомендации по
совершенствованию комплексной системы обеспечения безопасности.
На основе полученных результатов аудита ИБ проводится
подготовка распорядительных документов, которые создают основу для
проведения защитных мероприятий ("Концепция информационной
безопасности", "План защиты", "Положение о категорировании
ресурсов автоматизированной системы" и некоторые другие), а
также внести пункты, касающиеся защиты, в должностные
инструкции и положения об отделах и подразделениях. Разработанные
документы в зависимости от результатов обследования могут
предусматривать решение следующих задач:
защиту от проникновения в корпоративную сеть и от утечки
информации из сети по каналам связи;
защиту наиболее критичных ресурсов сети от вмешательства в
нормальный процесс функционирования;
защита важных рабочих мест и ресурсов от
несанкционированного доступа;
криптографическую защиту наиболее важных информационных
ресурсов.
Результаты проведения аудита безопасности предприятия дают
возможность:
1. Руководителям организаций и предприятий обеспечить
формирование единой политики и концепции безопасности
предприятия; рассчитать, согласовать и обосновать необходимые
Глава 1
156
затраты на защиту предприятия; объективно и независимо оценить
текущий уровень информационной безопасности предприятия;
обеспечить требуемый уровень безопасности и в целом повысить
экономическую эффективность предприятия; эффективно создавать и
использовать профили защиты конкретного предприятия на основе
неоднократно апробированных и адаптированных качественных и
количественных методик оценки информационной безопасности
предприятий заказчика.
2. Начальникам служб автоматизации и информационной
безопасности предприятия – получить оперативную и объективную
качественную и количественную оценку состояния информационной
безопасности предприятия на всех основных уровнях рассмотрения
вопросов безопасности: организационно-управленческом, техноло–
гическом и техническом; выработать и обосновать необходимые меры
организационного характера (состав и структуру службы
информационной безопасности, положение о коммерческой тайне, пакет
должностных инструкций и инструкции действий в нештатных
ситуациях); составить экономическое обоснование необходимых
инвестиций в защиту информации, обоснованно выбрать те или иные
аппаратно-программные средства защиты информации в соответствии с
концепцией безопасности, а также на основании требований
распоряжений и руководящих документов Гостехкомиссии России,
ФАПСИ и отечественных и международных стандартов ISO 17799, 9001,
15408, BSI; адаптировать и использовать в своей работе предложенные
количественные показатели оценки информационной безопасности,
методики оценки и управления безопасностью с привязкой к
экономической составляющей эффективности предприятия.
3. Системным, сетевым администраторам и
администраторам безопасности предприятия – объективно оценить
безопасность всех основных компонентов и сервисов корпоративной
информационной системы предприятия заказчика, техническое
состояние аппаратно-программных средств защиты информации
(межсетевые экраны, маршрутизаторы, хосты, серверы, корпоративные
БД и приложения); успешно применять на практике рекомендации,
полученные в ходе выполнения аналитического исследования, для
нейтрализации и локализации выявленных уязвимостей аппаратнопрограммного уровня.
157
4. Сотрудникам и работникам предприятий и организаций –
определить основные функциональные отношения и, что особенно
важно, зоны ответственности, в том числе финансовой, за надлежащее
использование информационных ресурсов и состояние политики
безопасности предприятия.
Содержание представленного материала отражает основные виды
работ по организации подготовки и проведению аудита ИБ. Одна из
главных задач, которая стояла перед автором, наряду с изложением
общей теоретической основы, необходимой для подготовки
специалистов в области организации и технологии защиты информации,
дать необходимые сведения студентам для проведения работ по
анализу состояния ИБ предприятий в период прохождения
производственных практик и последующего выполнения курсовых
проектов и дипломных работ.
Автор выражает надежду, что эти задачи в определенной мере
выполнены в предлагаемом учебном пособии.
Глава 1
158
Глоссарий
Глоссарий
Автоматизированная информационная система –
информационная система, реализованная с использованием средств
вычислительной техники и связи.
Агентурная разведка – вид разведывательной деятельности,
осуществляемый с помощью тайных агентов, позволяющих получать
сведения о намерениях противника в политической, военной, военно-
промышленной и других областях деятельности. Ведется как в мирное,
так и в военное время, усиливается в угрожаемый период и приобретает
особо важное значение в ходе войны.
Администратор – должностное лицо, управляющее чем-нибудь;
ответственный распорядитель.
Администратор безопасности – полномочный представитель
(лицо или группа лиц), ответственный за обеспечение безопасности в
автоматизированных системах и сетях.
Административная ответственность – вид юридической
ответственности за проступки и правонарушения, не являющиеся
уголовно наказуемыми. Административные взыскания налагаются
соответствующими полномочными инстанциями или должностными
лицами за административные проступки.
Акустическая разведка – добывание сведений о противнике
(конкуренте) путем приема и анализа акустических волн, излученных или
отраженных объектом.
Акустический канал утечки информации – это физический путь
от источника акустических сигналов (человек, техника) к
злоумышленнику за счет механических колебаний среды
распространения (воздух, жесткие среды, вода, жидкости).
Активное средство защиты – средство, обеспечивающее
создание активных помех средствам технической разведки
(промышленного шпионажа) или разрушение нормального
функционирования этих средств.
Анализ – логическая операция разделения исследуемого
предмета, явления, ситуации на составные элементы, расчленения
совокупности фактов, относящихся к предмету, на отдельные,
обособленные группы. Такая операция облегчает изучение предмета,
явления, ситуации, позволяет изучить их более глубоко, выявить
закономерности, которые не проявляются при рассмотрении предмета
159
как целого. Анализ – широко распространенный познавательный
Глоссарий
прием, он необходим для перехода на следующую ступень процесса
познания – ступень синтеза.
Анализ риска – процесс определения угроз безопасности системы
и отдельным ее компонентам, определения их характеристик и
потенциального ущерба, а также разработка мер защиты.
Аппаратные средства защиты – механические,
электромеханические, электронные, оптические, лазерные, радио-,
радиотехнические, радиолокационные и другие устройства, системы и
сооружения, предназначенные для защиты информации от
несанкционированного доступа, копирования, кражи или модификации.
Аппаратура технической разведки – совокупность технических
устройств обнаружения, приема, регистрации, измерения и анализа,
предназначенных для получения данных об объекте.
Атака – попытка преодоления системы защиты ИС. Степень
"успеха" атаки зависит от уязвимости и эффективности системы защиты.
Аттестация – оценка на соответствие определенным требованиям.
С точки зрения защиты аттестации подлежат объекты, помещения,
технические средства, программы, алгоритмы на предмет соответствия
требованиям защиты информации по соответствующим классам
безопасности.
Аудит – форма независимого, нейтрального контроля какого-либо
направления деятельности коммерческого предприятия.
Аутентификация – установление подлинности сообщения.
Аутентификация информации – установление подлинности
информации исключительно на основе внутренней структуры самой
информации независимо от ее источника.
Бездействие преступное (БП) – акт противоправного поведения,
состоящий в несовершении лицом того, что оно обязано было
совершить в силу закона, своих профессиональных или
административных обязанностей. Это одна из форм объективной
стороны преступления. Необходимым признаком БП является его
общественная безопасность, в том числе и безопасность коммерческих
интересов предприятий, организаций и отдельных граждан. Путем
бездействия могут быть причинены значительные экономические,
хозяйственные и торговые потери и издержки. Для наличия БП
необходимо установить, лежала ли на обвиняемом обязанность хранить
коммерческую тайну; мог ли обвиняемый предупредить утечку
Глава 1
160
Глоссарий
коммерческих секретов; имел ли обвиняемый реальные возможности
обеспечить сохранность коммерческой тайны.
Безопасность – состояние защищенности жизненно важных
интересов личности, предприятия, общества и государства от
внутренних и внешних угроз. Безопасность достигается проведением
единой государственной политики в области обеспечения безопасности,
системой мер экономического, политического, организационного и иного
характера, адекватных угрозам жизненно важным интересам личности,
общества и государства.
Безопасность информации – защита информации от случайного
или преднамеренного доступа лиц, не имеющих на это права, ее
получения, раскрытия, модификации или разрушения. Реализация
требований и правил по защите информации, поддержанию
информационных систем в защищенном состоянии, эксплуатация
специальных технических и программно-математических средств
защиты и обеспечение организационных и инженерно-технических мер
защиты информационных систем, обрабатывающих информацию с
ограниченным доступом в негосударственных структурах,
осуществляется службами безопасности информации.
Безопасность информационная – это проведение правовых,
организационных и инженерно-технических мероприятий при
формировании и использовании информационных технологий,
инфраструктуры и информационных ресурсов, защите информации
высокой значимости и прав субъектов, участвующих в информационной
деятельности.
Безопасность информационной сети – меры, предохраняющие
информационную сеть от несанкционированного доступа, случайного
или преднамеренного вмешательства в нормальные действия или
попыток разрушения ее компонентов. Включает защиту оборудования,
программного обеспечения, данных.
Безопасность предприятия – стабильно прогнозируемое во
времени состояние окружения, в котором предприятие может
осуществлять свои действия без нарушения и перерывов.
Безопасность социальная – это система государственной и
общественной социальной защиты как комплекс государственных
институтов и самодеятельных групп, организаций, центров движения,
объединений и партий, ставящих перед собой задачу социальной
защиты населения.
Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]