6. Стандарты и спецификации в области защиты иб

Стандартом принято называть документ, в котором в целях добровольного многократного использования устанавливается характеристики продукции, эксплуатации, характеристики процессов производства и правила осуществления, эксплуатации, хранения, перевозки, реализации и утилизации, выполнение работ или оказание услуг

Стандарты ИБ

Оценочные

(предназначены для оценки и классификации АС и средств защиты информации по требованиям безопасности)

- «Оранжевая книга» («Критерии оценки доверенных компьютерных систем»)

-Руководящие документы Гостехкомиссии РФ(РД Гостехкомиссии РФ)

-«Общие критерии» Критерии оценки безопасности информационных технологий

Спецификации

(Технич. Спецификации. Регламентируют различные аспекты реализации и использования средств и методов защиты)

-X.509 инфраструктура открытых ключей

-ГОСТ 28147-89-симметричный криптографический алгоритм

-управленческие стандарты(ISO 17799, ISO27001 и др.)

7. Административный уровень иб (политика безопасности, распределение ролей и ответственности)

Целью административного уровня является разработка программы работ в области ИБ и обеспечение ее выполнения в конкретных условиях функционирования ИС

Содержание АУ:

1 Разработка политики безопасности

2. Проведение анализов угроз и расчета рисков

3. Выбор механизмов средств обеспечения ИБ

Политика безопасности - это комплекс предупредительных мер по обеспечению ИБ организации («Оранжевая книга»)

ПБ обычно оформляется в виде документа, включающего такие разделы, как описание проблемы, область применения, позиция организации, распределение ролей и обязанностей, санкции и др.

1. Специалист по ИБ

2. Владелец информации

3. Поставщики аппаратного и программного обеспечения

4. Менеджер отдела

5. Операторы

6. Аудиторы

8.Понятие угрозы. Виды угроз информационным системам

УИБ - потенциальная возможность нарушения информационной безопасности.

Классификация:

1. По природе возникновения:

-естественные

-искусственные

2. По степени преднамеренности проявления:

-угрозы, вызванные ошибками или халатностью персонала.

-угрозы преднамеренного действия

3. По непосредственному источнику угроз:

-природная среда

-человек

-санкционированные программно-аппаратные средства

-несанкционированные программно-аппаратные средства

4. По положению источника угроз:

-вне контролируемой зоны АС

- в пределах контролируемой зоны АС

-непосредственно в АС

5. По степени зависимости от активности АС:

-независимо от активности АС

-только в процессе обработки данных

6. По степени воздействия на АС:

-пассивные угрозы

-активные угрозы

7. По этапам доступа пользователей или программ к ресурсам АС:

-угрозы, проявляющиеся на этапе доступа к ресурсам АС

-угрозы, проявляющиеся после разрешения доступа к ресурсам АС

8. По способу доступа к ресурсам АС:

-угрозы, осуществляемые с использованием стандартного пути доступа к ресурсам АС

-угрозы, осуществляемые с использование скрытого нестандартного пути доступа к ресурсам АС

9. По текущему месту расположения информации, хранимой и обрабатываемой в АС:

-угрозы доступа к информации, находящейся на внешних запоминающих устройствах

-угрозы доступа к информации, находящейся в оперативной памяти

-угрозы доступа к информации, циркулирующей в линиях связи

-угрозы доступа к информации, отображаемой на терминале или печатаемой на принтере