9. Правовое обеспечение безопасности информационных технологий

Правовое обеспечение безопасности регламентируется стандартами информационной безопасности:

• Стандарт CSEC предложен в 1988г Национальным Институтом стандартов и технологий США, определяет перечень показателей информационной безопасности, таких как политика безопасности, маркировка, идентификация и учет объектов системы, уверенность в безопасности системы.

• Стандарт ITSEC принят позже в 90-х годах, является основным Европейским стандартом.

В РБ существуют следующие стандарты информационной безопасности:

• стандарт защиты информации (основные термины и определения)

• стандарт средств вычислительной техники (защита от несанкционированного доступа к информации)

• стандарт системы обработки информации (модель услуг и сертификации протокола)

Кроме стандартов используются системы правовой сертификации:

1. "Оранжевая книга" - разработана Министерством безопасности США. Определяет перечень, по которому выделяется та или иная категория безопасности

2. Система европейской сертификации - European Union Information Technology Security Evaluation Criteria.

Для информационной безопасности используются специальные ключи (как алгоритмы шифрования информации, согласно требованиям криптографии ключ - это число большой разрядности), сертификаты (электронные документы, содержащие цифровую информацию (ключ), которая подтверждает . безопасность сервера, соотнося схему шифрования с имеющимся ключом) и протоколы.

Электронные ключи - устройства, подключаемые к одному из внешних разъемов компьютера и "прозрачные" для внешних устройств. По сложности ключи можно разделить на три группы в зависимости от строения входных и выходных данных:

• простейшие работают по принципу " есть ключ - нет ключа";

• стандартные работают по принципу внешнего запоминающего устройства, доступного для чтения заранее записанного туда шифра;

• сложно устроенные по принципу реализованной аппаратно математической функции с парольным ответом.

Электронная подпись - это некоторое информационное сообщение, признаваемое участниками данной ассоциации в качестве подписи.

9. Критерии оценки информационной безопасности

Уязвимыми являются буквально все основные структурно-функциональные элементы ИС: рабочие станции, серверы (Host-машины), межсетевые мосты (шлюзы, центры коммутации), каналы связи.

В качестве элементов безопасности информационных систем выделяются следующие:

1. Компьютерная безопасность (обеспечивается комплексом технологических и административных мер, применяемых к аппаратным средствам компьютера с целью обеспечения доступности, целостности и конфиденциальности связанных с ними ресурсов)

2. Безопасность данных (достигается защитой данных от неавтоматизированных случайных или возможных по халатности разрушений)

3. Безопасное ПО (общецелевые системные и прикладные программы, осуществляющие безопасную обработку данных и безопасно расходующие ресурсы системы)

4.  Безопасность коммуникаций (обеспечивается посредством определения подлинности телекоммуникаций за счет предотвращения предоставления неавторизованным лицам критической информации).

В качестве критериев оценки обеспечения защиты информации могут выступать:

1. Корпоративные стандарты (собственная разработка);

2. Замечания аудиторов;

3. Стандарты лучшей мировой практики (например, BS7799/ISO17799);

4. Число инцидентов в области безопасности;

5. Финансовые потери в результате инцидентов;

6. Расходы на ИБ;

7. Эффективность в достижении поставленных целей.