- методика
определения уровня ЗИ в соответствии
с РД ФАПСИ и ГТК.
В
рамках методического направления
должна быть разработана концепция
(политика) безопасности.
Мероприятия
по созданию систем защиты конфиденциальной
информации, реализуемые вне единого
комплекса мер, прописанных в
рамках концепции политики безопасности,
бесперспективны с точки зрения
ожидаемой отдачи по решению проблем
безопасности.
Определение
2. Под концепцией
безопасности понимается
взаимоувязанный комплекс
организационно-технических
мер, методологических
указаний, регламентов,
комплектов форм типовых
документов и т.д., решающих
задачи защиты конфиденциальной
информации.
Концепция
(Политика) безопасности
- документ,
в котором:
1. применяется
методика определения и описания
информационных потоков, описанная
в методологии, представляющая
собой формальное и точное
описание работы с информацией
в подразделениях Заказчика, с учетом
их изменении со временем, определены
критерии, по которым принимается решение
о появлении или прекращении конкретного
информационного потока;
2. анализируются,
описываются и фиксируются информационные
потоки, существующие при работе
с информацией Заказчика на текущий
момент;
3.определяются
для каждого информационного
потока фазы существования информации
(например, бумажный документ, электронный
документ, запись в базе данных);
4.определяются
категории конфиденциальной информации
Заказчика, разрабатывается классификация
информации по категориям конфиденциальности;
5.проводится
категорирование информации по
категориям и фазам, создана
матрица конфиденциальности;
6.определяются
возможные пути разглашения конфиденциальной
информации (модель угроз);
7.для
каждой угрозы и атаки определяется
модель нарушителя, в которой
определяется:
- профессиональный
круг лиц, к которому принадлежит нарушитель;
- мотивация
нарушителя (цели нарушителя);
- предполагаемая
квалификация нарушителя;
- предполагаемые
ограничения на действия и характер возможных
действий нарушителя.
8.определяются
уровни риска для всей матрицы
конфиденциальности, вероятности реализации
каждой атаки, стоимость ущерба
при каждой атаке и усредненные
вероятные величины убытков (риски);
9.определяются
порядок изменения Концепции безопасности
и Регламента обеспечения безопасности.
(30)
Нормативное
направление работ
по созданию и функционированию
КСЗИ
Перечень
основных нормативных
и организационно-распорядительных
документов, необходимых
для организации комплексной
системы защиты информации
Для
организации и обеспечения эффективного
функционирования комплексной системы
компьютерной безопасности должны быть
разработаны следующие группы организационно-распорядительных
документов:
- документы, определяющие
порядок и правила обеспечения безопасности
информации при ее обработке в АС (план
защиты информации в АС, план обеспечения
непрерывной работы и восстановления
информации);
- документы, определяющие
ответственность взаимодействующих организаций
(субъектов) при обмене электронными документами
(договор об организации обмена электронными
документами).
План
защиты информации в АС должен содержать
следующие сведения:
- описание защищаемой
системы (основные характеристики защищаемого
объекта): назначение АС, перечень решаемых
АС задач, конфигурация, характеристики
и размещение технических средств и программного
обеспечения, перечень категорий информации
(пакетов, файлов, наборов и баз данных,
в которых они содержатся), подлежащих
защите в АС и требований по обеспечению
доступности, конфиденциальности, целостности
этих категорий информации, список пользователей
и их полномочий по доступу к ресурсам
системы и т.п.;
- цель защиты системы
и пути обеспечения безопасности АС и
циркулирующей в ней информации;
- перечень значимых
угроз безопасности АС, от которых требуется
защита и наиболее вероятных путей нанесения
ущерба;
- основные требования
к организации процесса функционирования
АС и мерам обеспечения безопасности обрабатываемой
информации ;
- требования к
условиям применения и определение зон
ответственности установленных в системе
технических средств защиты от НСД;
- основные правила,
регламентирующие деятельность персонала
по вопросам обеспечения безопасности
АС (особые обязанности должностных лиц
АС).
План
обеспечения непрерывной работы
и восстановления информации должен
отражать следующие вопросы:
- цель обеспечения
непрерывности процесса функционирования
АС, своевременность восстановления ее
работоспособности и чем она достигается;
- перечень и классификация
возможных кризисных ситуаций;
- требования, меры
и средства обеспечения непрерывной работы
и восстановления процесса обработки
информации (порядок создания, хранения
и использования резервных копий информации
и дублирующих ресурсов и т.п.);
- обязанности
и порядок действий различных категорий
персонала системы в кризисных ситуациях
по ликвидации их последствий, минимизации
наносимого ущерба и восстановлению нормального
процесса функционирования системы.
Договор
о порядке организации обмена
электронными документами должен включать
документы, в которых отражаются следующие
вопросы:
- разграничение
ответственности субъектов, участвующих
в процессах обмена электронными документами;
- определение
порядка подготовки, оформления, передачи,
приема, проверки подлинности и целостности
электронных документов;
- определение
порядка генерации, сертификации и распространения
ключевой информации (ключей, паролей
и т.п.);
- определение
порядка разрешения споров в случае возникновения
конфликтов.(18)
Техническое
направление работ по
созданию КСЗИ
Техническая
компонента КСЗИ - комплекс технических
средств и технологий защиты информации
(ЗИ) при ее обработке, хранении и
передаче, включая криптографические
средства. Техническая компонента создается
в рамках технического направления
работ. При реализации технического направления
проводится сбор исходных данных для разработки
технических предложений по оснащенности
автоматизированной системы (АС) обработки,
хранения и передачи информации средствами
ЗИ, позволяющими реализовать требуемый
уровень защищенности.
АС
является составляющей информационной
системы предприятия, поэтому подготовка
технических предложений хронологически
следует за разработкой общей
концепции КСЗИ.
Подготовка
технических решений проблемы соответствия
параметров Автоматизированной Системы
установленным требованиям защищенности
(определяются в Концепции безопасности)
возможна в двух направлениях:
- Разработка
АС "с нуля" с учетом требований защищенности;
- Встраивание
механизмов защиты в существующую АС посредством
наложения некоторого набора аппаратно-программных
средств ЗИ, имеющих сертификаты ГТК и
ФАПСИ.
Выбор
направления предполагает взвешенный
анализ сопоставимости результата объемам
инвестиций в построение системы, проводимый
в соответствии с методикой оценки
рисков, описанной в Методологии построения
комплексной системы защиты конфиденциальной
информации.(30)
Технические
средства реализуются в виде электрических,
электромеханических и электронных
устройств. Вся совокупность технических
средств делится на,
физические, аппаратные
и программные.
Физические
средства защиты.
К физическим средствам защиты
относятся физические объекты,
механические, электрические и электронные
устройства, элементы конструкции
зданий, средства пожаротушения
и целый ряд других средств,
обеспечивающих выполнение следующих
задач:
- защита территории
и помещений вычислительного центра или
центра автоматизированной системы от
проникновения злоумышленников;
- защита аппаратуры
и носителей информации от повреждения
или хищения;
- предотвращение
возможности наблюдения за работой персонала
и функционированием оборудования
из-за пределов территории или через
окна;
- предотвращение
возможности перехвата электромагнитных
излучений работающего оборудования и
линий передачи данных;
- контроль
за режимом работы персонала;
- организация
доступа в помещения, где расположена
АС, сотрудников;
- контроль
за перемещением в различных рабочих зонах;
- противопожарная
защита помещений;
- минимизация
материального ущерба и потерь информации,
которые могут возникнуть в результате
стихийного бедствия.
Физические средства защиты являются
наиболее традиционными средствами
охраны АС. В принципе, они ничем
не отличаются от давно используемых
средств охраны банков, музеев, магазинов
и других объектов, которые
потенциально могут привлечь злоумышленников.
Однако, как правило, для физической защиты
АС в настоящее время используются
более совершенные и сложные системы.
Физические средства защиты представляют
собой первый рубеж защиты жизненно
важных элементов вычислительной системы.
Следует
четко представлять себе, что
обеспечение физической безопасности
системы является необходимым,
но недостаточным условием сохранения
целостности и конфиденциальности
циркулирующей или хранящейся в
ней информации.
Для реализации систем физической
защиты могут быть использованы
самые разнообразные механизмы.
Например, организация вооруженной
охраны; ведение наблюдения за
всеми принципиально возможными
путями проникновения в
помещения АС; организация пропускной
системы (с использованием паролей,
опознавательных значков, специальных
магнитных карточек, сложных систем
опознавания сотрудников по голосу или
по динамике подписей, рентгеновские и
ультразвуковые системы и т.п.); создание
системы внешнего и внутреннего освещения;
применение фотографических и телевизионных
систем наблюдения; установка оград,
барьеров и защитных экранов; применение
датчиков для обнаружения нарушителей
или для установления факта повреждения
или похищения аппаратуры; использование
датчиков дыма, открытого пламени и т.д. (32)
Аппаратные
средства защиты.
Определение3. Аппаратными
средствами защиты называются
различные электронные
и электронно-механические
устройства, которые
включаются в состав
технических средств
АС и выполняют самостоятельно
или в комплексе с другими
средствами некоторые
функции защиты.
К настоящему времени применяется
значительное число различных
аппаратных средств, причем они
могут включаться практически
во все устройства АС: терминалы
пользователей, устройства группового
ввода-вывода данных, центральные процессоры,
внешние запоминающие устройства, другое
периферийное оборудование. Так, например,
в терминалах пользователей наибольшее
распространение получили устройства
предназначенные для предупреждения
несанкционированного включения терминала
в работу (различного рода замки и блокираторы),
обеспечения идентификации терминала
(схемы генерирования идентифицирующего
ко-
да) и
идентификации пользователя (магнитные
индивидуальные карточки, дактилоскопические
и акустические устройства опознавания
и т.п.).
Самостоятельную группу
составляют аппаратные средства
шифрования данных, которые к настоящему
времени получили весьма широкое распространение
за рубежом и, в настоящее время,
внедряются в нашей стране. Так,
например, Центральный банкРоссии
в 1992 г. закупил около трех тысяч устройств
шифрования данных, передаваемых по каналам
телеграфной связи. Современные устройства
шифрования могут сопрягаться с помощью
стандартных интерфейсов практически
с любым устройством АСОД, обеспечивая
как шифрование, так и дешифрование
данных. Кроме того в больших АС находит
применение целый ряд вспомогательных
аппаратных средств защиты: устройства
уничтожения информации на магнитных
носителях, устройства сигнализации
о несанкционированных действиях и ряд
других. (32)