8. Этапы проектирования комплексной системы защиты информации (ксзи).

1.Разработка технико-экономического обоснования, создание комплексной системы (кс) обеспечения информационной безопасности (иб) информационной системы (ис).

На данном этапе обосновывается необходимость и актуальность задач обеспечения защиты информации в ИС, приводятся цели построения системы, производится ориентировочная оценка затрат, этапы и сроки проведения работ.

2.Формирование требований по обеспечению безопасности конфиденциальной информации.

Для формирования требований используются руководящие документы федеральной службы по техническому и экспортному контролю (ФСТЭК), в том числе, наиболее современные документы, такие, как ГОСТ Р ИСО/МЭК 15408-2002 «Безопасность информационных технологий (ИТ), критерии оценки безопасности ИТ», ГОСТ Р ИСО/МЭК 27001 «ИТ. Методы и средства обеспечения безопасности. Системы менеджмента ИБ. Требования», ГОСТ Р ИСО/МЭК 17799-2005 «ИТ. Практические правила управления ИБ».

3.Разработка и утверждение технического задания на создание КСЗИ.

На этом этапе проводят разработку, оформление, согласование и утверждение технического задания на систему.

4. Разработка технического проекта.

Разработка проектных решений по созданию КСЗИ включает в себя обоснование и выборы решений по защите информации (ЗИ), выбор состава средств ЗИ, определение мест размещения средства ЗИ, определение режимов функционирования и настроек средств ЗИ, определение необходимости доработки средств ЗИ либо разработки дополнительных, разработка порядка и этапов внедрения КСЗИ, сметную стоимость работ.

5.Разработка и адаптация организационно-распорядительных документов по вопросам обеспечения ИБ.

Разработка подобных документов производится путем адаптации типовых организационно-распорядительных документов, регламентирующих защиту ИС в соответствии с разработанной технологией управления безопасностью.

6.Ввод в действие системы.

На данном этапе осуществляется установка и настройка внедряемой системы защиты на площадке пользователя, а также проведение обучения персонала.

7.Этап сопровождения системы защиты, на котором проводятся консультации заказчика по вопросам, связанным с эксплуатацией КСЗИ.

В общем случае этапы и стадии создания автоматизированной системы (АС) приведены в ГОСТ 34.601-90 «АС. Стадии создания». Этапы создания КСЗИ в основном повторяют этапы создания АС.

Конкретный состав работы по каждому из вышеперечисленных этапов формируется, исходя из характеристик ИС заказчика, а также состава проектируемой КСЗИ.

9. Уязвимости. Классификация уязвимостей в соответствии с техническими отчетами проекта risos и pa Report (отчет “Анализ защиты”).

Уязвимость системы защиты – это возможность возникновения на каком либо этапе жизненного цикла ИС такого её состояния, при котором создаются условия для реализации угроз безопасности её информации.

См. Вопрос 3

Технический отчет проекта RISOS появившийся в 1976 году представляет собой фактически первый обзор причин проблем и методы повышения безопасности компьютерных систем. Документ представляет концепцию дефектов (faults) безопасности и методов повышения безопасности ОС.

В отчете выделены 6 категорий:

1. Неполная проверка параметров, т.е. когда программа не проверяет размер аргумента перед помещением его в буфер памяти фиксированного размера;

2. Несовместимая проверка параметров, т.е. когда возникает конфликт между двумя программами в связи с различающимися механизмами проверки параметров;

3. Асинхронная проверка/неадекватная сериализация, например «состояние гонок» (race conditions);

4. Неадекватная идентификация/авторизация/аутентификация;

5. Нарушение запретов/ограничений;

6. Логические ошибки.

ПРОЕКТ АНАЛИЗА ЗАЩИТЫ.

Отчет «Анализ защиты» (PA report) был попыткой классифицировать ошибки в ОС и программных приложениях. Результатом стала классификация ошибок ОС состоящая из:

• Ошибки домена – являющиеся результатом неправильного распределения информации. Примером является отсутствие очистки использованной памяти операционной системой;

• Ошибки проверки – неправильная проверка операндов или границ;

• Ошибки именования – когда новые объекты получают имена и наследуют разрешения удаленных объектов;

• Ошибки серилизации – т.е. «состояния гонок».