Файл: 4. Правовое регулирование Информационного общества в России 8.docx

Для обработки информации, необходимость защиты которой определяется законодательством РФ или решением ее обладателя, должны создаваться АСЗИ, в которых реализованы в соответствии с действующими нормативными правовыми актами требования о ЗИ.

В работах по созданию АСЗИ участвуют: заказчик АСЗИ; разработчик АСЗИ; изготовитель технических и программных средств; поставщик технических и программных средств.

Стадии и этапы работ по созданию АСЗИ устанавливаются в техническом задании на АСЗИ с учетом положений настоящего стандарта:

Стадия 1. Формирование требований к АС

Стадия 2. Разработка концепции АС

Стадия 3. Техническое задание

Стадия 4. Эскизный проект

Стадия 5. Технический проект

Стадия 6. Рабочая документация

Стадия 7. Ввод в действие

Стадия 8. Сопровождение АС

Защита информации в АСЗИ обеспечивается системой защиты информации АСЗИ (ЗИ АСЗИ). Создание системы ЗИ АСЗИ:

формирование требований к системе ЗИ АСЗИ;
разработка (проектирование) системы ЗИ АСЗИ;
внедрение системы ЗИ АСЗИ;
аттестация АСЗИ и ввод ее в действие;
сопровождение системы ЗИ в ходе эксплуатации АСЗИ.

Формирование требований к системе ЗИ АСЗИ организуется заказчиком и осуществляется разработчиком на основе требований по предотвращению утечки информации, несанкционированного доступа к ней, обеспечению устойчивости и непрерывности функционирования АСЗИ и др.

24. Система сертификации средств защиты информации по требованиям безопасности информации.

Положение №199 «О сертификации СЗИ по требованиям БИ»

Действие положения распространяется на СЗИ, предназначенные для защиты информации, содержащей государственную тайну, от утечки, НСД, от технической разведки, и средства контроля эффективности защиты информации.

Под сертификацией СЗИ по требованиям безопасности информации понимается деятельность по подтверждению характеристик СЗИ требованиям государственных стандартов по защите информации, утвержденных Гостехкомиссией России.

Организационную структуру системы сертификации образуют:

федеральный орган по сертификации СЗИ: определяет перечень СЗИ, подлежащих сертификации; выдает сертификаты и лицензии на применение знака соответствия; приостанавливает, продлевает, отменяет действие сертификатов.
центральный орган системы сертификации СЗИ: участвует в рассмотрении апелляций; ведет учет выданных и аннулированных сертификатов и лицензий на применение знака соответствия.
органы по сертификации средств защиты информации: оформляют экспертное заключение по сертификации СЗИ; хранят документацию, подтверждающую сертификацию средств защиты информации.
испытательные центры (лаборатории): осуществляют сертификационные испытания СЗИ; маркируют сертифицированные СЗИ знаком соответствия.
Заявители: маркируют производимую сертифицированную технику защиты информации знаком соответствия; приостанавливают или прекращают реализацию средств защиты информации, если они не отвечают требованиям, а также по истечении срока действия сертификата, при приостановке его действия или отмены.

Процедура сертификации включает:

подачу и рассмотрение заявки на проведение сертификации;
сертификационные испытания средств защиты информации;
оформление и выдачу сертификата и лицензии на использование знака соответствия;
осуществление государственного контроля и надзора;
информирование о результатах сертификации СЗИ;
рассмотрение апелляций.

ГОСТ Р 51583-2014 Порядок создания автоматизированных систем в защищенном исполнении (АСЗИ).

Для обработки информации, необходимость защиты которой определяется законодательством РФ или решением ее обладателя, должны создаваться АСЗИ, в которых реализованы в соответствии с действующими нормативными правовыми актами требования о ЗИ.

Стадии и этапы работ по созданию АСЗИ: 1. Формирование требований к АС; 2. Разработка концепции АС; 3. Техническое задание; 4. Эскизный проект; 5. Технический проект; 6. Рабочая документация; 7. Ввод в действие; 8. Сопровождение АС.

Защита информации в АСЗИ обеспечивается системой ЗИ АСЗИ:

формирование требований к системе ЗИ АСЗИ;
разработка (проектирование) системы ЗИ АСЗИ;
внедрение системы ЗИ АСЗИ;
аттестация АСЗИ на соответствие требованиям БИ и ввод ее в действие;
сопровождение системы ЗИ в ходе эксплуатации АСЗИ.

25. Защита от несанкционированного доступа к информации (ГОСТ Р 50739, ГОСТ Р 50922, ГОСТ Р 52069)

ГОСТ Р 50739. СВТ. Защита от НСД к информации

Стандарт устанавливает требования к защите СВТ от НСД к информации. Защищенность обеспечивается тремя группами требований:

Требования к разграничению доступа. СВТ должны поддерживать непротиворечивые, однозначно определенные правила разграничения доступа (дискретизационный и мандатный доступ; идентификация и аутентификация и т.д.);
Требования к учету. Регистрацию событий, имеющих отношение к защищенности информации (регистрация и маркировка документов);
Требования к гарантиям. Необходимы механизмы, позволяющие получить гарантии того, что СВТ обеспечивают выполнение требований к разграничению доступа и к учету. (гарантия проектирования, надежное восстановление; гарантии архитектуры; тестирование)

Требования к документации

Для подтверждения качества защиты СВТ от НСД к информации необходима документация: руководство пользователя; тестовая, конструкторская документация).

ГОСТ Р 50922-2006. Основные термины и определения.

Стандарт устанавливает основные термины с определениями, применяемые при проведении работ по стандартизации в области ЗИ.

Термины, относящиеся к видам защиты информации: правовая ЗИ; техническая ЗИ; криптографическая ЗИ; физическая ЗИ.
Термины, относящиеся к способам защиты информации.
Термины, относящиеся к замыслу защиты информации.
Термины, относящиеся к объекту защиты информации
Термины, относящиеся к угрозам безопасности информации.
Термины, относящиеся к технике защиты информации.
Термины, относящиеся к способам оценки соответствия требованиям по ЗИ.
Термины, относящиеся к эффективности защиты информации.

ГОСТ Р 52069.0-2003 ЗИ. Система стандартов. Основные положения

Стандарт устанавливает цель, задачи и структуру системы стандартов по защите информации, объекты и аспекты стандартизации в данной области.

Целью системы стандартов по ЗИ является достижение упорядоченности организации и содержания работ в области ЗИ, повышение эффективности ЗИ.

Основные объекты стандартизации: ЗИ как область деятельности; Объекты ЗИ; Угрозы безопасности информации и уязвимости; Организация и содержание работ по ЗИ; Методы ЗИ и контроля ее состояния; Техника ЗИ; Услуги по ЗИ.

Система стандартов по ЗИ включает: национальные стандарты РФ; межгосударственные стандарты; рекомендации и правила стандартизации, общероссийские классификаторы технико-экономической и социальной информации; стандарты организаций; предварительные национальные стандарты.
26. Защита информационных технологий и автоматизированных систем от угроз информационной безопасности, реализуемых с использованием скрытых каналов. Рекомендации по организации защиты информации (ГОСТ Р 53113)
Противодействие опасным скрытым каналам может осуществляться с помощью следующих средств и методов:

построение архитектуры, позволяющей перекрыть скрытые каналы или снизить их пропускную способность;
использование технических средств, позволяющих перекрывать скрытые каналы или снижать их пропускную способность;
использование программно-технических средств, позволяющих выявлять работу опасных скрытых каналов при эксплуатации системы;
применение организационно-технических мер, позволяющих ликвидировать скрытые каналы.

Классификация скрытых каналов

Скрытые каналы по механизму передачи информации подразделяются:

Скрытые каналы по памяти. Основаны на наличии памяти, в которую передающий субъект записывает информацию, а принимающий - считывает ее.
Скрытые каналы по времени.
Скрытые статистические каналы.

Смотрите также файлы

Нам запрещали лазать по чужим огородам, воровать, курить, особенно строго запрещалось материться.docx

Контрольная работа по дисциплине Теория математической обработки геодезических измерений.docx

Выполнение практических заданий по дисциплине психоконсультирование (часть 12).docx

Отчет о прохождении практики К. М. 05. 03 (У) Вид практики Учебная практика Тип практики предметносодержательная.docx

4. Английская классическая школа (А. Смит, Д. Рикардо) Что такое догма Смита Если подсчитать ввп согласно догме, какой важнейший компонент не будет подсчитан.docx

Файл: 4. Правовое регулирование Информационного общества в России 8.docx

23. Порядок создания автоматизированных систем в защищенном исполнении (ГОСТ Р 51583)

24. Система сертификации средств защиты информации по требованиям безопасности информации.

25. Защита от несанкционированного доступа к информации (ГОСТ Р 50739, ГОСТ Р 50922, ГОСТ Р 52069)

Смотрите также файлы

Информация

Списки файлов

Дополнительно