Проекты разрабатываемых руководящих, организационно-распорядительных и нормативно-методических документов

Проект типовой методики оценки профилей защиты и заданий по безопасности

Проект Положения по обеспечению безопасности при разработке, испытаниях, поставке и эксплуатации изделий информационных технологий

Проект базовой модели обеспечения безопасности в жизненном цикле изделий информационных технологий

Проект руководящего документа «Общая методология оценки безопасности информационных технологий»

Проект Концепции оценки соответствия автоматизированных систем по требованиям безопасности информации

Проект Концепции аудита информационной безопасности систем информационных технологий и организаций

2. Автоматизированные информационные системы защищенного исполнения

Автоматизированная система в защищенном исполнении — автоматизированная система, реализующая информационную технологию выполнения установленных функций в соответствии с требованиями стандартов и/или иных нормативных документов по защите информации (ГОСТ 51624-2000).

Система защиты информации автоматизированной системы — совокупность всех технических, программных и программно-технических средств защиты информации и средств контроля эффективности защиты информации (по ГОСТ Р 51583).

Специальная проверка — проверка компонентов автоматизированной системы, осуществляемая с целью поиска и изъятия закладочного устройства (по ГОСТ Р 51583).

Специальные исследования (специсследования) — выявление с использованием контрольно-измерительной аппаратуры возможных технических каналов утечки защищаемой информации от основных и вспомогательных технических средств и систем и оценка соответствия защиты информации требованиям нормативных документов по защите информации (по ГОСТ Р 51583).

Угроза безопасности информации — совокупность условий и факторов, создающих потенциальную или реально существующую опасность, связанную с утечкой информации, и/или несанкционированными и/или непреднамеренными воздействиями на нее.

Побочное электромагнитное излучение — электромагнитное излучение, возникающее при работе технических средств обработки информации (по ГОСТ Р 51275).

Закладочное устройство — элемент средства съема информации, скрытно внедряемый (закладываемый или вносимый) в места возможного съема информации (в том числе в ограждение, конструкцию, оборудование, предметы интерьера, транспортные средства, а также в технические средства и системы обработки информации) (по ГОСТ Р 51275).

Программная закладка — внесенные в программное обеспечение функциональные объекты, которые при определенных условиях (входных данных) инициируют выполнение не описанных в документации функций программного обеспечения, позволяющих осуществлять несанкционированные воздействия на информацию (по ГОСТ Р 51275).

Вирус — вредоносная программа, способная создавать свои копии или другие вредоносные программы и внедрять их в файлы, системные области компьютера, компьютерных сетей, а также осуществлять иные деструктивные действия.

Класс защищенности автоматизированной системы — определенная совокупность требований по защите информации, предъявляемых к автоматизированной системе.

Контролируемая зона — пространство, в пределах которого осуществляется контроль за пребыванием и действиями лиц и/или транспортных средств. Границей контролируемой зоны может быть: периметр охраняемой территории предприятия (учреждения); ограждающие конструкции охраняемого здания, охраняемой части здания, выделенного помещения.

Защита информации в АСЗИ должна быть:

· целенаправленной, осуществляемой в интересах реализации конкретной цели защиты информации в АСЗИ;

· комплексной, осуществляемой в интересах защиты всего многообразия структурных элементов АСЗИ от всего спектра опасных для АСЗИ угроз;

· управляемой, осуществляемой на всех стадиях жизненного цикла АСЗИ, в зависимости от важности обрабатываемой информации, состояния ресурсов АСЗИ, условий эксплуатации АСЗИ, результатов отслеживания угроз безопасности информации;

· гарантированной; методы и средства защиты информации должны обеспечивать требуемый уровень защиты информации от ее утечки по техническим каналам, несанкционированного доступа к информации, несанкционированным и непреднамеренным воздействиям на нее, независимо от форм ее представления.

В АСЗИ должна быть реализована система защиты информации, выполняющая следующие функции:

· предупреждение о появлении угроз безопасности информации;

· обнаружение, нейтрализацию и локализацию воздействия угроз безопасности информации;

· управление доступом к защищаемой информации;

· восстановление системы защиты информации и защищаемой информации после воздействия угроз;

· регистрацию событий и попыток несанкционированного доступа к защищаемой информации и несанкционированного воздействия на нее;

· обеспечение контроля функционирования средств и системы защиты информации и немедленное реагирование на их выход из строя.

В АСЗИ защите подлежат:

· информационные ресурсы в виде информационных массивов и баз данных, содержащих защищаемую информацию, и представленные на магнитных, оптических и других носителях;

· средства автоматизации (средства вычислительной техники, информационно-вычислительные комплексы, сети и системы), программные средства (операционные системы, системы управления базами данных, другое общесистемное и прикладное программное обеспечение), автоматизированные системы управления, системы связи и передачи данных и другие средства.

Задачи защиты информации в АСЗИ включают:

· предотвращение перехвата защищаемой информации, передаваемой по каналам связи;

· предотвращение утечки обрабатываемой защищаемой информации за счет побочных электромагнитных излучений и наводок;

· исключение несанкционированного доступа к обрабатываемой или хранящейся в АСЗИ защищаемой информации;

· предотвращение несанкционированных и непреднамеренных воздействий, вызывающих разрушение, уничтожение, искажение защищаемой информации или сбои в работе средств АСЗИ;

· выявление возможно внедренных в технические средства АСЗИ специальных электронных устройств перехвата информации;

· организация разрешительной системы допуска пользователей АСЗИ к работе с защищаемой информацией и ее носителями;

· осуществление контроля функционирования средств и систем защиты информации в АСЗИ.

Дата добавления: 2014-11-08