ЗМІСТ

Нормативно-правове забезпечення інформаційної безпеки

1.Властивості інформації з погляду її захисту. Презумпція відкритості інформації.

2.Державна таємниця. Порядок віднесення інфорамції до державної таємниці.

3.Відповідальність за порушення законодавства про інформацію.

4.Загальні вимоги та організаційні засади забезпечення захисту державних інформаційних ресурсів або інформації, вимога щодо захисту якої встановлена законом, в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах.

5.Публічна інформація. Порядок доступу до публічної інформації.

6.Інформація: поняття, види (за змістом, за режимом доступу).

7.Державна експертиза в сфері технічного захисту інформації.

8.Ліцензування господарської діяльності з надання послуг у галузі технічного захисту інформації.

9.Правові та організаційні засади технічного захисту важливої для держави, суспільства і особи інформації, охорона якої забезпечується державою.

10.Головні принципи інформаційних відносин та напрямів державної інформаційної політики в Україні.

Методології аудиту захищеності ІКС

1.Концепція та різновиди DoS та DDos атак.

2.Концепція атаки SQL-injection.

3.Концепція атаки на переповнення буфера.

4.Методи сканування відкритих TCP-портів хоста.

5.Причини та методи атак типу Session hijacking.

6.Завдання та концепція перерахувань (Windows Enumeration, SNMP Enumeration, etc.)

7.Етапи та завдання аудиту захищеності комп'ютених систем.

8.Концепція атак на прослуховування мережевого трафіку.

9.Шкідливе програмне забезпечення, призначення та класифікація.

10.Типові вразливості веб-додатків.

Системи технічного захисту інформації:

1.Види і природа каналів витоку інформації при експлуатації ЕОМ.

2.Характеристика електричних каналів витоку інформації. Паразитні зв'язки та наведення.

3.Характеристика візуально-оптичних каналів витоку інформації.

4.Характеристика акустичних каналів витоку мовної інформації.

5.Безпека оптоволоконних кабельних систем.

6.Характеристика радіоканалів витоку інформації. Витік інформації через побічні електромагнітні випромінювання.

7.Технічні заходи із використанням пасивних методів захисту інформації

8.Технічні заходи із використанням активних методів захисту інформації

9.Пасивні методи та засоби виявлення закладних пристроїв.

10.Активні методи та засоби виявлення закладних пристроїв.

Прикладна криптологія

1.Математична модель криптосистеми. Класифікація криптографічних методів. Сфери застосування.

2.Історичні шифри перестановки (Скітали, маршрутні та інші)

3.Моноалфавітні шифри заміни. Частотний аналіз

4.Біграмні шифри (Плейфеєра, афінної підстановки), методи злому.

5.Шифр Віженера, як приклад поліалфавітної заміни, його криптоаналіз.

6.Види криптографічних атак та поняття стійкості.

7.Теорія Шенона: ентропія, надмірність, відстань єдинності.

8.Теоретична стійкість за Шенноном. Шифр Вернама, як приклад системи з абсолютною стійкістю

9.DES – перший стандарт блочних шифрів

10.Українські стандарти блочних шифрів: ГОСТ 28147-89 та Калина.

11.Міжнародний стандарт AES

12.Режими використання блочних шифраторів

13.Регістри зсуву з лінійним зворотнім зв’язком (LFSR) як приклад псевдовипадкового генератора.

14.Сучасні потокові шифри. Приклад.

15.Принципи асиметричної криптографії. Односторонні функції. Односторонні функції з секретом.

16.Схема Діффі-Хеллмана розподілу ключів по відкритих каналах

17.Системи шифрування RSA та Ель-Гамаля

18.MDC (коди перевірки повідомлень). Безключові хеш-функції

19.MAC’и (Коди аутентифікації повідомлень), як ключові хеш функції

20.Асиметричні перетворення для цифрового підпису.

Інформаційні банківські технології

1.Принципи побудови системи захисту інформації та порядок отримання і повернення засобів захисту інформації організаціями-учасниками системи електронних платежів

(СЕП).

2.Заходи інформаційної безпеки у системі електронних платежів (СЕП).

3.Внутрішній контроль за станом інформаційної безпеки в банку.

4.Функціональні обов'язки адміністратора інформаційної безпеки банку.

5.Рекомендації НБУ держателям платіжних карток щодо безпеки.

6.Комплексні системи захисту банківських інформаційних технологій та їх застосування. Загальна характеристика внутрішньобанківської платіжної системи.

7.Захист інформації у Засвідчувальному центрі ключів НБУ.

8.Безпека передачі та опрацювання повідомлень SWIFT.

9.Захист інформації у системах дистанційного банківського обслуговування.

10.Можливості протоколу SET щодо захисту транзакцій в інтернет.

Управління інформаційною безпекою

1.Загальний аналіз міжнародних стандартів та вимог управління інформаційною безпекою. Міжнародні критерії оцінки безпеки інформаційних ресурсів.

2.Концепція захищеної автоматизованої системи. Принципи створення захищеної інформаційно-телекомунікаційної системи.

3.Модель протидії загрозам безпеки. Стратегія, напрямки та методи забезпечення безпеки інформації.

4.Основні поняття та задачі менеджменту інформаційної безпеки.

5.Характеристика сучасної національної та міжнародної нормативної бази у сфері інформаційної безпеки. Алгоритм впровадження системи менеджменту інформаційної безпеки.

6.Практичні правила управління інформаційною безпекою, цілі та задачі управління інформаційною безпекою на базі міжнародного стандарту ІSO/ІEC 27002.

7.Основні заходи забезпечення безпеки інформаційних мереж.

8.Організація управління доступом.

9.Технології аудиту інформаційної безпеки. Практичні кроки аудиту інформаційної безпеки. Задачі, що вирішуються при проведенні аудиту.

10.Принципи аналізу і управління інформаційними ризиками. Оцінка інформаційних ризиків з використання методів системного аналізу.

Комп’ютерна стеганографія

1.Історія розвитку стеганографії. Предмет термінологія, області її застосування. Місце стеганографічних систем в інформаційній безпеці.

2.Стеганографія. Приклади методів стеганографії без використання спеціальних технічних засобів.

3.Структурна схема стегосистеми. Поняття та види контейнерів.

4.Математична модель стегосистеми.

5.Класифікація атак на стеганографічну систему. Атаки на системи цифрових водяних знаків.

6.Приховування даних у нерухомих зображеннях. Методи приховування даних у просторовій області зображення.

7.Методи приховування даних у частотній області зображення.

8.Принципи стеганографічного аналізу. Оцінка якості стеганосистеми.

9.Методи приховування даних у тексті і їх характеристика.

10.Приховуваня даних в аудіо сигналах, основні методи.

КСЗІ: проектування, впровадження, супровід

1.Головні принципи та етапи захисту від загроз.

2.Види захисту інформації.

3.Завдання захисту інфрормації в ІТС.

4.Етапи створення КСЗІ та її документів відповідно до НД ТЗІ 3.7-003-2005.

5.Категоріювання ІТС. Порядок проведення, типи та призначення.

6.Обстеження середовищ функціонування ІТС: мета, складові та порядок проведення.

7.Модель порушника безпеки інформації в ІТС: мета та характеристика.

8.Класифікація порушників безпеки інформації.

9.Модель загроз для інформації в ІТС: мета та завдання.

10.Джерела загроз інформації в ІТС. Характеристика каналів витоку інформації.

11.Нормативні документи системи технічного захисту інформації. Їх роль та призначення.

12.Визначення критеріїв оцінки ризиків.

13.Вибір варіанту побудови КСЗІ. Загальна структура та склад КСЗІ.

14.Функціональні послуги захисту.

Інформаційно-комунікаційні системи

1.Компоненти комп’ютерної мережі та їх призначення.

2.Правила обміну даними. Основні характеристики.

3.Багаторівневі моделі протокольної взаємодії. Призначення та типи.

4.Компоненти фізичного рівня.

5.Протоколи канального рівня. Призначення, основні характеристики.

6.Протоколи прикладного рівня.

7.Протокол Ethernet. Принципи роботи, особливості застосування.

8.Використання комутаторів в локальній мережі. Комутація кадрів.

9.Протоколи мережевого рівня. Призначення, основні характеристики.

10.Протоколи транспортного рівня. Основні характеристики.

11.Обмін даними в ТСР. Етапи організації сеансу зв’язку.

12.Типи комунікацій на мережевому рівні.

13.Управління доступом до середовища передавання даних.

Захист інформації в інформаційно-комунікаційних системах

1.Базові поняття захисту інформації. Завдання захисту інформації.

2.Загрози безпеці інформації. Класифікація загроз.

3.Модель загроз і модель порушника. Моделі політики безпеки.

4.Підсистеми комплексу засобів захисту ІКС.

5.Класифікація вад захисту ІКС.

6.Атаки на переповнення буфера.

7.Класифікація шкідливого програмного забезпечення..

8.Алгоритмічні та програмні закладки.

9.Методи захисту прав на програмне забезпечення.

10.Методи захисту програмного забезпечення від дослідження (реверс-інжинірингу).

11.Способи та протоколи автентифікації.

12.Загрози безпеці операційних систем.

13.Загрози безпеці функціонування баз даних.

14.Механізми апаратного забезпечення засобів захисту

15.Принципи та підходи до створення захищених операційних систем.

16.Загрози безпеці інформації в комп’ютерних мережах.

17.Безпека взаємодії відкритих систем.

18.Безпека протоколів прикладного рівня стеку TCP/IP.

19.Безпека протоколів транспортного рівня стеку TCP/IP.

20.Безпека протоколів мережного рівня стеку TCP/IP.

21.Безпека прикладних служб Інтернет: електронна пошта, веб-служба.

22.Архітектура захищених мереж.

23.Міжмережні екрани.

24.Системи виявлення атак.

25.Віртуальні захищені мережі.

3. Відповідальність за порушення законодавства про інформацію.

Порушення законодавства України про iнформацiю тягне за собою дисциплiнарну, цивiльно-правову, адмiнiстративну або кримiнальну вiдповiдальнiсть згiдно з законодавством України.

Вiдповiдальнiсть за порушення законодавства про iнформацiю несуть особи, виннi у вчиненнi таких порушень, як:

необгрунтована вiдмова вiд надання вiдповiдної iнформацiї;

надання iнформацiї, що не вiдповiдає дiйсностi;

несвоєчасне надання iнформацiї;

навмисне приховування iнформацiї;

примушення до поширення або перешкодження поширенню чи безпiдставна вiдмова вiд поширення певної iнформацiї;

поширення вiдомостей, що не вiдповiдають дiйсностi, ганьблять честь i гiднiсть особи;

використання i поширення iнформацiї стосовно особистого життя громадянина без його згоди особою, яка є власником вiдповiдної iнформацiї внаслiдок виконання своїх службових обов'язкiв;

розголошення державної або iншої таємницi, що охороняється законом, особою, яка повинна охороняти цю таємницю;

порушення порядку зберiгання iнформацiї;

навмисне знищення iнформацiї;

необгрунтоване вiднесення окремих видiв iнформацiї до категорiї вiдомостей з обмеженим доступом.

4.Загальні вимоги та організаційні засади забезпечення захисту державних інформаційних ресурсів або інформації, вимога щодо захисту якої встановлена законом, в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах.

Найбільш широко загрози інформаційним ресурсам можна розглядати як потенційно можливі випадки природного, технічного або антропогенного характеру, які можуть спричинити небажаний вплив на інформаційну систему, а також на інформацію, що зберігається в ній. Виникнення загрози, тобто віднаходження джерела актуалізації певних подій у загрози характеризується таким елементом як уразливість. Саме за наявності вразливості як певної характеристики системи і відбувається активізація загроз. Безперечно, що самі загрози за своєю суттю відповідно до теорії множин є невичерпними, а отже й не можуть бути піддані повному описові у будь-якому дослідженні.

Відповідно до Закону України "Про основи національної безпеки України" до загроз національним інтересам і національній безпеці в інформаційній сфері відносять наступні:

прояви обмеження свободи слова та доступу громадян до інформації;

поширення засобами масової інформації культу насильства, жорстокості, порнографії;

комп'ютерна злочинність та комп'ютерний тероризм;

розголошення інформації, яка становить державну та іншу, передбачену законом, таємницю, а також конфіденційної інформації, що е власністю держави або спрямована на забезпечення потреб та національних інтересів суспільства і держави;

намагання маніпулювати суспільною свідомістю, зокрема, шляхом поширення недостовірної, неповної або упередженої інформації.

До загроз інформаційній безпеці системі управління національною безпекою належать: розкриття інформаційних ресурсів; порушення їх цілісності; збій в роботі самого обладнання.

Ці Правила визначають загальні вимоги та організаційні засади забезпечення захисту державних інформаційних ресурсів або інформації, вимога щодо захисту якої встановлена законом, в інформаційних, телекомунікаційних та інформаційно-

телекомунікаційних системах. Слід зазначити, що: захисту в системі підлягає:

відкрита інформація, яка належить до державних інформаційних ресурсів, а також відкрита інформація про діяльність суб'єктів владних повноважень, військових формувань, яка оприлюднюється в Інтернеті, інших глобальних інформаційних мережах і системах або передається телекомунікаційними мережами (далі - відкрита інформація);

конфіденційна інформація, яка перебуває у володінні розпорядників інформації, визначених частиною першою статті 13 Закону України "Про доступ до публічної інформації" ( 2939-17 ) (далі - конфіденційна інформація);

службова інформація;

інформація, яка становить державну або іншу передбачену законом таємницю (далі - таємна інформація);

інформація, вимога щодо захисту якої встановлена законом.

Контроль за забезпеченням захисту інформації в системі полягає у перевірці виконання вимог з технічного та криптографічного захисту інформації та здійснюється у порядку, визначеному Адміністрацією Держспецзв'язку України.

5. Публічна інформація. Порядок доступу до публічної інформації.

Публічна інформація - це відображена та задокументована будь-якими засобами та на будь-яких носіях інформація, що була отримана або створена в процесі виконання суб'єктами владних повноважень своїх обов'язків, передбачених чинним законодавством, або яка знаходиться у володінні суб'єктів владних повноважень, інших розпорядників публічної інформації, визначених Законом.

Доступ до інформації забезпечується шляхом:

систематичного та оперативного оприлюднення інформації:

в офіційних друкованих виданнях;

на офіційних веб-сайтах в мережі Інтернет;

на єдиному державному веб-порталі відкритих даних;

на інформаційних стендах;

будь-яким іншим способом.

Доступ до публічної інформації відповідно до Закону здійснюється на принципах:

прозорості та відкритості діяльності суб'єктів владних повноважень;

вільного отримання, поширення та будь-якого іншого використання інформації, що була надана або оприлюднена відповідно до цього Закону, крім обмежень, встановлених закономю.

6. Інформація: поняття, види (за змістом, за режимом доступу).

Інформа́ція — абстрактне поняття, що має різні значення залежно від контексту. Cпроби формального визначення поняття перераховані нижче — їх багато, і вони різні в різних областях людської діяльності. На інтуїтивному рівні інформація означає зміст того, про що отримувач довідався.

Властивості інформації

Цінність інформації визначається корисністю та здатністю її забезпечити суб'єкта необхідними умовами для досягнення ним поставленої мети.

Достовірність — здатність інформації об'єктивно відображати процеси та явища, що відбуваються в навколишньому світі. Як правило достовірною вважається насамперед інформація, яка несе у собі безпомилкові та істинні дані. Під безпомилковістю слід розуміти дані які не мають, прихованих або випадкових помилок. Випадкові помилки в даних обумовлені, як правило, неумисними спотвореннями змісту людиною чи збоями технічних засобів при переробці даних в інформаційній системі. Тоді як під істинними слід розуміти дані зміст яких неможливо оскаржити або заперечити.

Актуальність — здатність інформації відповідати вимогам сьогодення (поточного часу або певного часового періоду).

Часові властивості

Часові властивості визначають здатність даних передавати динаміку зміни ситуації (динамічність). При цьому можна розглядати або час запізнення появи в даних відповідних ознак об'єктів, або розходження реальних ознак об'єкта і тих же ознак, що передаються даними. Відповідно можна виділити:

Актуальність — властивість даних, що характеризує поточну ситуацію;

Оперативність — властивість даних, яка полягає в тому, що час їхнього збору та переробки відповідає динаміці зміни ситуації;

Ідентичність — властивість даних відповідати стану об'єкта.

Види інформації

Інформацію можна поділити на види за кількома ознаками:

За способом сприйняття

Для людини інформація поділяється на види залежно від типу рецепторів, що сприймають її.

Візуальна — сприймається органами зору. Ми бачимо все довкола.

Аудіальна — сприймається органами слуху. Ми чуємо звуки довкола нас.

Тактильна — сприймається тактильними рецепторами.

Нюхова — сприймається нюховими рецепторами. Ми відчуваємо аромати довкола.

Смакова — сприймається смаковими рецепторами. Ми відчуваємо смак.

За формою подання

За формою подання інформація поділяється на такі види:

Текстова — що передається у вигляді символів, призначених позначати лексеми мови;

Числова — у вигляді цифр і знаків, що позначають математичні дії;

Графічна — у вигляді зображень, подій, предметів, графіків;

Звукова — усна або у вигляді запису передачі лексем мови аудіальним шляхом.

За призначенням

Масова — містить тривіальні відомості і оперує набором понять, зрозумілим більшій частині соціуму

Спеціальна — містить специфічний набір понять, при використанні відбувається передача відомостей, які можуть бути не зрозумілі основній масі соціуму, але необхідні і зрозумілі в рамках вузької соціальної групи, де використовується дана інформація

Особиста — набір відомостей про яку-небудь особистість, що визначає соціальний стан і типи соціальних взаємодій всередині популяції.

7. Державна експертиза в сфері технічного захисту інформації.

Державна експертиза у сфері технічного захисту інформації (далі - експертиза) проводиться з метою дослідження, перевірки, аналізу та оцінки об'єктів експертизи щодо їх відповідності вимогам нормативних документів із технічного захисту інформації та можливості їх використання для забезпечення технічного захисту інформації (далі - ТЗІ).

Дія цього Положення поширюється на всіх юридичних та фізичних осіб, які є суб'єктами експертизи.

Суб'єктами експертизи є:

юридичні та фізичні особи - власники (розпорядники) інформаційних, телекомунікаційних, інформаційно-телекомунікаційних систем, технічних і програмних засобів, які реалізують функції ТЗІ, - замовники експертизи (далі

-Замовники);

Адміністрація Держспецзв’язку;

територіальні органи Адміністрації Держспецзв'язку, які проводять експертизу шляхом аналізу декларацій про відповідність комплексних систем захисту інформації (далі - КСЗІ) вимогам нормативних документів із ТЗІ (далі

-декларація);

навчальні заклади, науково-дослідні, науково-виробничі установи Державної служби спеціального зв'язку та захисту інформації України, підприємства, установи та організації, які проводять експертизу (далі - Організатори);

державні органи, які проводять експертизу у сфері свого управління;

фізичні особи, які на постійній або професійній основі здійснюють діяльність, пов’язану з наданням експертних послуг, - виконавці експертних робіт з ТЗІ (далі - Експерти).

Об'єктами експертизи є:

КСЗІ, які є невід'ємною складовою інформаційної, телекомунікаційної або інформаційно-телекомунікаційної системи (далі - ІТС);

технічні та програмні засоби, які реалізують функції ТЗІ та/або оцінки стану захисту інформації (далі - засоби ТЗІ);

організаційно-технічне рішення на розгортання типової складової компоненти КСЗІ в ІТС - задокументоване уніфіковане рішення для багаторазового

розгортання складових КСЗІ в ІТС або КСЗІ типової складової компоненти КСЗІ в ІТС, самодостатньої для вирішення певного завдання, що включає проектні рішення програмно-технічного комплексу, організаційно-технічні рішення щодо регламенту функціонування типової компоненти ІТС та опис (алгоритм) процедури впровадження (далі - ОТР КСЗІ).

8.Ліцензування господарської діяльності з надання послуг у галузі технічного захисту інформації.

Ліцензійними умовами визначені кваліфікаційні, організаційні, технологічні та інші вимоги длпровадженнягосподарської діяльності у галузі криптографічного захисту інформації (крім послуг електронного цифрового підпису) (далі – КЗІ) та технічного захисту інформації (далі – ТЗІ).

Суб’єкт господарювання, який має намір провадити ліцензований вид діяльності у галузі КЗІ та/або КЗІ та відповідаєЛіцензійним умовам подає до Адміністрації Держспецзв’язку заяву про отриманняліцензії разом з підтвердними документами.

У заяві про отримання ліцензії відомості щодо юридичної особи або фізичної особи-підприємця повинні відповідати даним наведеним у Єдиному державному реєстру юридичних осіб та фізичних осіб – підприємців.

Спеціалісти, яких планується залучати для виконання робіт, за ліцензією повинні відповідати кваліфікаційним вимогам, що визначені у Ліцензійних умовах.

З питань підготовки на курсах перепідготовки та підвищення кваліфікації фахівців з питань ТЗІ суб’єктигосподарювання повинні звертатися до навчальних закладів, підприємств та установ, що мають відповідні дозволи на проведення цих навчань, в тому числі, до вищих навчальних закладів, в яких проводиться підвищення кваліфікації в галузізнань “Інформаційна безпека” по програмам підготовки, що погоджені Адміністрацією Держспецзв’язку.

Прийняття рішення про видачу ліцензії або відмову у її видачі проводиться протягом 10 робочих днів з дати надходження до Адміністрації Держспецзв’язку заяви про отримання ліцензії та документів, що додаються до заяви.

У разі відсутності підстав для відмови у видачі ліцензії Адміністрація Держспецзв’язку приймає рішення про видачу ліцензії про що повідомляє суб’єкта господарювання (здобувача ліцензії) протягом 3 робочих днів.

9.Правові та організаційні засади технічного захисту важливої для держави, суспільства і особи інформації, охорона якої забезпечується державою.

Технічний захист інформації здійснюється щодо органів державної влади, органів місцевого самоврядування, органів управління Збройних Сил України та інших військових формувань,

технічного захисту інформації, порядок контролю у цій сфері, характеристики загроз

У разі порушення вимог щодо забезпечення технічного захисту інформації посадові особи та громадяни несуть відповідальність згідно із законодавством України.

10. Головні принципи інформаційних відносин та напрямів державної інформаційної політики в Україні.

Сьогодні Україна переходить від індустріального суспільства до інформаційного. На сучасному етапі інформаційна політика України здійснюється в умовах, коли концепція інформаційного суверенітету перебуває на стадії формування. Водночас інформаційна галузь належить до стратегічних інтересів будьякої країни й потребує особливої уваги.

На розвиток і захист свого інформаційного середовища та створення позитивного іміджу своїх країн у світі розвинені держави виділяють чималі кошти. У нас же ця галузь значною мірою перебуває на периферії суспільного розвитку. Нині, як ніколи, потрібно не тільки досліджувати й вивчати інформаційну галузь України, а й вживати конкретних заходів щодо відновлення та розбудови інформаційного середовища та приведення національного законодавства у відповідність зі світовими нормами.

Державна інформаційна політика - це сукупність основних напрямів і способів діяльності держави з отримання, використання, поширення та зберігання інформації. Головними напрямами і способами державної інформаційної

політики є:

забезпечення доступу громадян до інформації;

створення національних систем і мереж інформації;

зміцнення матеріально-технічних, фінансових, організаційних, правових і наукових основ інформаційної діяльності;

забезпечення ефективного використання інформації;

сприяння постійному оновленню, збагаченню та зберіганню національних інформаційних ресурсів;

створення загальної системи охорони інформації;

сприяння міжнародному співробітництву в галузі інформації і гарантування інформаційного суверенітету України.