32. Стандарты информационной безопасности.

Политика безопасности — набор законов, правил и норм поведения, определяющих, как организация обрабатывает, защищает и распространяет информацию. Задачи: 1 кому и какая инфа необход для выполн служебн обязанностей, 2 какая степень защиты необход для каждого вида инфы, 3 опред, какие именно сервисы информ безопасности и мехмы их реализ необход испол-ть в сис-ме, 4 как организ работу по ЗИ.

На практике политика безопасности трактуется несколько шире — как совокупность документированных административных решений, направленных на обеспечение безопасности информационного ресурса. Результатом политики являетсявысокоуровневый документ, представляющий систематизированное изложение целей, задач, принципов и способов достижения информационной безопасности. В политике безопасности должна быть утверждена схема управления распределением прав доступа к сервисам — централизованная или децентрализованная, или иная. Должно быть четко определено, кто распоряжается правами доступа к сервисам и какими именно правами. С практической точки зрения, политику безопасности целесообразно разделить на несколько уровней. Как правило, выделяют два-три уровня.

Верхний уровень носит общий характер и определяет политику организации в целом. Здесь основное внимание уделяется: порядку создания и пересмотра политики безопасности; целям, преследуемым организацией в области информационной безопасности; вопросам выделения и распределения ресурсов; принципам технической политики в области выбора методов и средств защиты информации; координированию мер безопасности. Средний уровень политики безопасности выделяют в случае структурной сложности организации либо при необходимости обозначить специфичные подсистемы организации. Это касается отношения к перспективным, еще не достаточно апробированным технологиям. Например, использование новых сервисов Internet, организация связи и обработка информации на компьютере и др.

Нижний уровень политики безопасности относится к конкретным службам или подразделениям организации и детализирует верхние уровни политики безопасности. На этом уровне описываются механизмы защиты информации и используемые программно-технические средства для их реализации в рамках, конечно, управленческого уровня, но не технического. За политику безопасности нижнего уровня отвечают системные администраторы

33. Методы и средства защиты информации. Криптографический метод защиты. Электронная цифровая подпись. Компьютерная стеганография и др. Для защиты информации используется 2 подхода: Фрагментарный и комплексный.Фрагментарный ориентирован на избирательность относительно конкретной угрозы. Комплексный — к защите информации в сложных автоматизиро­ванных системах обработки и передачи данных.Основными методами защиты информации являются:

препятствие- метод физического преграждения пути злоумыш­леннику к информации, которая защищена от посторонних лиц;

управление доступом — метод защиты информации. С его помо­щью для защиты используются все ресурсы самой системы (программ­ные и технические средства). Управление доступом включает такие функции защиты, как:

•идентификация пользователей, персонала и ресурсов системы;

•аутентификация объекта или субъекта по предъявленному им идентификатору;

-Регистрация обращений –реагирование на попытки доступа несанкционированных лиц.

Маскировка - метод защиты информации в каналах телекоммуни­каций путем криптографического закрытия.

Регламентация - метод, создающий такие условия автоматизиро­ванной обработки, хранения и передачи защищаемой информации, при которых возможности несанкционированного доступа к ней сводятся к минимуму.

Принуждение - метод, при котором пользователи и персонал вы­нуждены соблюдать правила обработки, передачи и использования за­щищаемой информации под угрозой материальной, административной или уголовной ответственности.

Побуждение - метод, с помощью которого пользователь и персо­нал системы не нарушают установленных правил за счет соблюдения сложившихся моральных и этических норм.

Перечисленные методы поддерживаются следующими средствами, которые делятся на формальные (физические, аппаратные, программ­ные) и неформальные (организационные, законодательные и морально-этические):

•физические, которые могут быть представлены в виде автоном­ных устройств (замки, решетки и т.д.);

•которые реализуются в виде электрических, электромеханиче­ских и электронных устройств (наиболее известные аппаратные средст­ва - это схемы контроля информации по четности, схемы защиты полей памяти по ключу и т.д.);

•программные средства - программное обеспечение, которое предназначено для выполнения функции защиты информации;

•организационные средства защиты информации - организацион­но-технические и организационно-правовые мероприятия, которые осу­ществляются в процессе создания и эксплуатации аппаратуры телеком­муникаций для обеспечения защиты информации;

•законодательные средства защиты информации определяются за­конодательными актами той страны, где они функционируют, регламен­тируют правила использования, обработки и передачи информации ог­раниченного доступа и устанавливают меры ответственности за нару­шение этих правил;

•морально-этические средства защиты выражаются в виде норм, которые сложились традиционно по мере внедрения вычислительной техники и средств связи.