3. Структура методов информационной безопасности.

Информационная безопасность— состояние защищенности информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций,государства(определение согласно ст. 2. Федерального закона от 04.07.96 № 85 «Об участии в международном информационном обмене». Закон признан утратившим силу в связи с принятием Федерального закона от 27.07.2006 №149 «Об информации, информатизации и защите информации»^[1]).

В качестве стандартной модели безопасности часто приводят модель CIA:

• конфиденциальность (англ.confidentiality);

• целостность (integrity);

• доступность (availability).

Под конфиденциальностью понимается доступность информации только определённому кругу лиц, под целостностью — гарантия существования информации в исходном виде, под доступностью — возможность получение информации авторизованным пользователем в нужное для него время.

Выделяют и другие категории:

• аутентичность — возможность установления автора информации;

• апеллируемость — возможность доказать что автором является именно заявленный человек, и никто другой.

Содержание [убрать] 1 Определения 2 Стандарты в области информационной безопасности 3 Источники 4 См. также 5 Ссылки

Определения

Информационная безопасность есть активное противодействие государства таким угрозам, которые возникают когда под видом свободы слова осуществляется политика внедрения в сознание граждан информации и культурных стандартов, определенным образом ориентирующих и мотивирующих их деятельность, подменяющих традиционные духовные ценности и, в конечном итоге, ведущих к разложению национальной идентичности и размыванию государственного суверенитета.

Словосочетание информационная безопасностьявляется переводом на русский язык английского терминаinformation security. Вторым исторически устоявшимся переводом того же термина является — защита информации. В России словосочетание информационная безопасность имеет (чаще всего) научный, теоретический окрас, а словосочетание защита информации применяется при описании практических мероприятий.

Возможен и иной подход к трактовке этих определений. В то время как информационная безопасность— этосостояниезащищенности информационной среды,защита информации— представляет собойдеятельностьпо предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию (в соответствии с «ГОСТ Р 50922-96. Защита информации. Основные термины и определения»), то естьпроцесс, направленный на достижение этого состояния.

Стандарты в области информационной безопасности

• BS 7799-1:2005— Британский стандарт BS 7799 первая часть. BS 7799 Part 1 — Code of Practice for Information Security Management (Практические правила управления информационной безопасностью) описывает 127 механизмов контроля, необходимых для построениясистемы управления информационной безопасностью(СУИБ) организации, определенных на основе лучших примеров мирового опыта (best practices) в данной области. Этот документ служит практическим руководством по созданию СУИБ

• BS 7799-2:2005— Британский стандарт BS 7799 вторая часть стандарта.BS 7799 Part 2 — Information Security management — specification for information security management systems (Спецификация системы управления информационной безопасностью) определяет спецификацию СУИБ. Вторая часть стандарта используется в качестве критериев при проведении официальной процедуры сертификации СУИБ организации.

• BS 7799-3:2006— Британский стандарт BS 7799 третья часть стандарта. Новый стандарт в области управления рисками информационной безопасности

• ISO/IEC 17799:2005— «Информационные технологии — Технологии безопасности — Практические правила менеджмента информационной безопасности». Международный стандарт, базирующийся на BS 7799-1:2005.

• ISO/IEC 27000— Словарь и определения.

• ISO/IEC 27001:2005— «Информационные технологии - Методы обеспечения безопасности - Системы управления информационной безопасностью - Требования». Международный стандарт, базирующийся на BS 7799-2:2005.

• ISO/IEC 27002 — Сейчас: ISO/IEC 17799:2005. Дата выхода — 2007 год.

• ISO/IEC 27005— Сейчас: BS 7799-3:2006 — Руководство по менеджменту рисков ИБ.

• ГОСТ Р 50922-96— Защита информации. Основные термины и определения.

• Р 50.1.053-2005— Информационные технологии. Основные термины и определения в области технической защиты информации.

• ГОСТ Р 51188—98— Защита информации. Испытание программных средств на наличие компьютерных вирусов. Типовое руководство.

• ГОСТ Р 51275-99— Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения.

• ГОСТ Р ИСО/МЭК 15408-1-2002— Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель.

• ГОСТ Р ИСО/МЭК 15408-2-2002— Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности.

• ГОСТ Р ИСО/МЭК 15408-3-2002— Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности.

• ГОСТ Р ИСО/МЭК 15408— «Общие критерии оценки безопасности информационных технологий» — стандарт, определяющий инструменты и методику оценки безопасности информационных продуктов и систем; он содержит перечень требований, по которым можно сравнивать результаты независимых оценок безопасности — благодаря чему потребитель принимает решение о безопасности продуктов. Сфера приложения «Общих критериев» — защита информации от несанкционированного доступа, модификации или утечки, и другие способы защиты, реализуемые аппаратными и программными средствами.

• ГОСТ Р ИСО/МЭК 17799— «Информационные технологии. Методы безопасности. Руководство по управлению безопасностью информации». Прямое применение международного стандарта с дополнением — ISO/IEC 17799:2005.

• ГОСТ Р ИСО/МЭК 27001— «Информационные технологии. Методы безопасности. Система управления безопасностью информации. Требования». Прямое применение международного стандарта — ISO/IEC 27001:2005.

• Стандарт ЦБРСТО БР ИББС-1.0— «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения». Версия стандарта управления информационной безопасностью в банковской сфере РФ, предложеннаяБанком России, разработана на базе международных спецификаций ISO/IEC 17799, ISO/IEC 27001 иCobiT, с учетом общепринятых иностранных законов и стандартов в области ИБ — акты Сарбейниса-Оксли (SOX, Sarbanes-Oxley Act of 2002) иGLBA(Gramm-Leach-Bliley Act), адаптированых к местной специфике.

• ГОСТ Р 51898-2002— Аспекты безопасности. Правила включения в стандарты.

• German Information Security Agency. IT Baseline Protection Manual - Standard security safeguards (Руководство по базовому уровню защиты информационных технологий).

Из закона об информ, информатизации и защите информации

Статья 16. Защита информации

1. Защита информациипредставляет собой принятие правовых, организационных и технических мер, направленных на: 1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации; 2) соблюдение конфиденциальности информации ограниченного доступа; 3) реализацию права на доступ к информации. 2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации. 3. Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в пунктах 1 и 3 части 1 настоящей статьи. 4. Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить: 1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации; 2) своевременное обнаружение фактов несанкционированного доступа к информации; 3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации; 4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование; 5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней; 6) постоянный контроль за обеспечением уровнязащищенности информации. 5. Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям. 6. Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации.