Информационная безопасность для CIO - История изменений

Hunter po: /* Используемые материалы */

2015-06-22T06:42:55Z

Используемые материалы

← Предыдущая		Версия 06:42, 22 июня 2015
Строка 378:		Строка 378:


	'''Подготовлено''' 25.06.2012 (правки 04.12.2012) для [http://www.4cio.ru/ Клуба топ-менеджеров 4CIO], использовано в on-line книге [http://4cio.activetextbook.com/active_textbooks/34#~~page584~~ «Учебник 4CIO. Версия 2.0»].		'''Подготовлено''' 25.06.2012 (правки 04.12.2012) для [http://www.4cio.ru/ Клуба топ-менеджеров 4CIO], использовано в on-line книге [http://4cio.activetextbook.com/active_textbooks/34#page603 «Учебник 4CIO. Версия 2.0»].

	'''В формате [http://mindstep.ru/wiki/images/6/69/Information_Security_for_CIO_%28ver_0.1%29.pdf pdf]'''.		'''В формате [http://mindstep.ru/wiki/images/6/69/Information_Security_for_CIO_%28ver_0.1%29.pdf pdf]'''.

Hunter po: /* Методы и средства защиты информации */

2015-01-23T07:02:55Z

Методы и средства защиты информации

← Предыдущая		Версия 07:02, 23 января 2015
Строка 133:		Строка 133:

	Перечисленные подсистемы ПУД, ПРУ, ПОЦ, в зависимости от требований по информационной безопасности к информационным системам, могут быть реализованы:		Перечисленные подсистемы ПУД, ПРУ, ПОЦ, в зависимости от требований по информационной безопасности к информационным системам, могут быть реализованы:
	• средствами операционной системы, специально настроенной в соответствии с требованиями/рекомендациями руководящих документов по безопасной настройке и контролю ОС;		* средствами операционной системы, специально настроенной в соответствии с требованиями/рекомендациями руководящих документов по безопасной настройке и контролю ОС;
	• специализированными средствами защиты информации;		* специализированными средствами защиты информации;
	• средствами информационной системы, путем приведения ее в соответствие требованиям руководящих документов.		* средствами информационной системы, путем приведения ее в соответствие требованиям руководящих документов.

	'''Подсистема криптографической защиты (ПКЗ)''' – должна обеспечивать шифрование всей конфиденциальной информации, записываемой на совместно используемые различными субъектами доступа (разделяемые) носители данных, в каналах связи, а также на съемные носители данных (дискеты, микрокассеты и т.п.) долговременной внешней памяти для хранения за пределами сеансов работы санкционированных субъектов доступа.		'''Подсистема криптографической защиты (ПКЗ)''' – должна обеспечивать шифрование всей конфиденциальной информации, записываемой на совместно используемые различными субъектами доступа (разделяемые) носители данных, в каналах связи, а также на съемные носители данных (дискеты, микрокассеты и т.п.) долговременной внешней памяти для хранения за пределами сеансов работы санкционированных субъектов доступа.
Строка 208:		Строка 208:
	Однако стоит обратить внимание, что при установке компонентов в режиме IPS может резко снизиться доступность распределенной информационной системы. Это происходит в том случае, если изменения в системе происходят часто и не контролируются теми, кто настраивает фильтры сигнатур, а также в случае выхода новых сигнатур обнаружения вторжений.		Однако стоит обратить внимание, что при установке компонентов в режиме IPS может резко снизиться доступность распределенной информационной системы. Это происходит в том случае, если изменения в системе происходят часто и не контролируются теми, кто настраивает фильтры сигнатур, а также в случае выхода новых сигнатур обнаружения вторжений.

	Подсистема анализа защищенности (сканирования уязвимостей) – предназначена для контроля настроек защиты операционных систем на рабочих станциях и серверах и позволяет оценить возможность проведения нарушителями атак на сетевое оборудование, а также контролирует безопасность программного обеспечения. С помощью таких средств производится сканирование сети с целью исследования ее топологии, осуществления поиска незащищенных или несанкционированных сетевых подключений, проверки настроек межсетевых экранов и т.п. Данный анализ производится на основании детальных описаний уязвимостей настроек средств защиты (например, коммутаторов, маршрутизаторов, межсетевых экранов) или уязвимостей операционных систем или прикладного программного обеспечения. Результатом работы средств анализа защищенности является отчет, в котором обобщаются сведения об обнаруженных уязвимостях.		'''Подсистема анализа защищенности (сканирования уязвимостей)''' – предназначена для контроля настроек защиты операционных систем на рабочих станциях и серверах и позволяет оценить возможность проведения нарушителями атак на сетевое оборудование, а также контролирует безопасность программного обеспечения. С помощью таких средств производится сканирование сети с целью исследования ее топологии, осуществления поиска незащищенных или несанкционированных сетевых подключений, проверки настроек межсетевых экранов и т.п. Данный анализ производится на основании детальных описаний уязвимостей настроек средств защиты (например, коммутаторов, маршрутизаторов, межсетевых экранов) или уязвимостей операционных систем или прикладного программного обеспечения. Результатом работы средств анализа защищенности является отчет, в котором обобщаются сведения об обнаруженных уязвимостях.

	Средства сканирования уязвимостей могут функционировать на сетевом уровне, уровне операционной системы и уровне приложения. Применяя сканирующее ПО, можно составить карту доступных узлов информационной системы, выявить используемые на каждом из них сервисы и протоколы, определить их основные настройки и сделать предположения относительно вероятности реализации несанкционированного доступа. По результатам сканирования системы вырабатываются рекомендации и меры, позволяющие устранить выявленные недостатки.		Средства сканирования уязвимостей могут функционировать на сетевом уровне, уровне операционной системы и уровне приложения. Применяя сканирующее ПО, можно составить карту доступных узлов информационной системы, выявить используемые на каждом из них сервисы и протоколы, определить их основные настройки и сделать предположения относительно вероятности реализации несанкционированного доступа. По результатам сканирования системы вырабатываются рекомендации и меры, позволяющие устранить выявленные недостатки.

Hunter po в 14:44, 13 января 2015

2015-01-13T14:44:08Z

← Предыдущая		Версия 14:44, 13 января 2015
Строка 1:		Строка 1:
	~~Информационная безопасность для ИТ-шника~~		[[Файл:1._IS_for_CIO.jpg]]

	Многие рассматривают информационную безопасность по остаточному принципу, зачастую совсем про нее забывая.		Многие рассматривают информационную безопасность по остаточному принципу, зачастую совсем про нее забывая. Вот и мы посмотрим, как лучше поступить.
	~~[[Файл:1._IS_for_CIO.jpg]]~~
	Вот и мы посмотрим, как лучше поступить.

	= Что такое информационная безопасность? =		= Что такое информационная безопасность? =
Строка 105:		Строка 103:
	= Методы и средства защиты информации =		= Методы и средства защиты информации =

	[[Файл:4._IS_for_CIO.~~jpg~~]]		[[Файл:5._IS_for_CIO.png]]


	Среди методов защиты информации можно выделить правовые (заключение соглашений, категорирование и присваивание грифа информации), экономические (страхование рисков), организационные (изменение оргструктуры, внедрение политик и инструкций и пр.), технические (использование средств защиты информации и пр.) и т.д.		Среди методов защиты информации можно выделить правовые (заключение соглашений, категорирование и присваивание грифа информации), экономические (страхование рисков), организационные (изменение оргструктуры, внедрение политик и инструкций и пр.), технические (использование средств защиты информации и пр.) и т.д.
Строка 227:		Строка 225:
	= Организация информационной безопасности =		= Организация информационной безопасности =

	[[Файл:5._IS_for_CIO.~~png~~]]		[[Файл:4._IS_for_CIO.jpg]]



	Информационная безопасность идет бок о бок с информационными технологиями и даже международный стандарт для управления и обслуживания ИТ сервисов ISO 20000 рассматривает ИТ-безопасность как один из процессов предоставления услуг.		Информационная безопасность идет бок о бок с информационными технологиями и даже международный стандарт для управления и обслуживания ИТ сервисов ISO 20000 рассматривает ИТ-безопасность как один из процессов предоставления услуг.

Строка 321:		Строка 318:

	[[Файл:6._IS_for_CIO.png]]		[[Файл:6._IS_for_CIO.png]]


	Российское законодательство уделяет должное внимание вопросам информационной безопасности и разработало достаточное количество нормативных документов, позволяющих регулировать вопросы информационной безопасности.		Российское законодательство уделяет должное внимание вопросам информационной безопасности и разработало достаточное количество нормативных документов, позволяющих регулировать вопросы информационной безопасности.

Hunter po: /* Нормативное регулирование */

2013-11-04T04:11:44Z

Нормативное регулирование

Hunter po: /* Организация информационной безопасности */

2013-11-04T04:08:36Z

Организация информационной безопасности

Внесённые изменения

Hunter po: /* Методы и средства защиты информации */

2013-11-04T04:03:28Z

Методы и средства защиты информации

Внесённые изменения

Hunter po: /* Оценивание риска */

2013-11-04T03:57:28Z

Оценивание риска

← Предыдущая		Версия 03:57, 4 ноября 2013
Строка 80:		Строка 80:

	После того, как риск оценен, должно быть принято решение относительно его обработки — точнее, выбора и реализации мер и средств по минимизации риска. Помимо оцененного уровня риска, при принятии решения могут быть учтены затраты на внедрение и сопровождение механизмов безопасности, политика руководства, простота реализации, мнение экспертов и др. В зависимости от итогов оценки, может быть определен один из четырех вариантов обработки реакции на риска:		После того, как риск оценен, должно быть принято решение относительно его обработки — точнее, выбора и реализации мер и средств по минимизации риска. Помимо оцененного уровня риска, при принятии решения могут быть учтены затраты на внедрение и сопровождение механизмов безопасности, политика руководства, простота реализации, мнение экспертов и др. В зависимости от итогов оценки, может быть определен один из четырех вариантов обработки реакции на риска:
	*уменьшение риска - риск считается неприемлемым, и для его уменьшения выбираются и реализуются соответствующие меры и средства безопасности;		*[[уменьшение риска]] - риск считается неприемлемым, и для его уменьшения выбираются и реализуются соответствующие меры и средства безопасности;
	*передача риска - риск считается неприемлемым и на определённых условиях (например, в рамках страхования, поставки или аутсорсинга) предается сторонней организации;		*[[передача риска]] - риск считается неприемлемым и на определённых условиях (например, в рамках страхования, поставки или аутсорсинга) предается сторонней организации;
	*принятие риска - риск в данном случае считается осознанно допустимым - организация должна смириться с возможными последствиями (обычно это означает, что стоимость контрмер значительно превосходит финансовые потери в случае реализации угрозы, либо организация не может найти подходящие меры и средства безопасности);		*[[принятие риска]] - риск в данном случае считается осознанно допустимым - организация должна смириться с возможными последствиями (обычно это означает, что стоимость контрмер значительно превосходит финансовые потери в случае реализации угрозы, либо организация не может найти подходящие меры и средства безопасности);
	*отказ от риска – отказ от бизнес-процессов организации, являющихся причиной риска (например, отказ от обработки информации о состоянии здоровья работника в сети).		*[[отказ от риска]] – отказ от бизнес-процессов организации, являющихся причиной риска (например, отказ от обработки информации о состоянии здоровья работника в сети).

	В результате обработки риска остается так называемый остаточный риск, относительно которого принимается решение о завершении этапа отработки риска. Управление рисками осуществляется состоит в путем комбинированияи предупредительных и корректирующих механизмов контроля, тактики избегания, принятия или передачи риска другой организации (аутсорсинг информационной безопасности). Помимо оцененного уровня риска, при принятии решения могут быть учтены затраты на внедрение и сопровождение механизмов безопасности, политика руководства, простота реализации, мнение экспертов и др. В результате обработки риска остается так называемый остаточный риск, относительно которого принимается решение о завершении этапа отработки риска.		В результате обработки риска остается так называемый остаточный риск, относительно которого принимается решение о завершении этапа отработки риска. Управление рисками осуществляется состоит в путем комбинированияи предупредительных и корректирующих механизмов контроля, тактики избегания, принятия или передачи риска другой организации (аутсорсинг информационной безопасности). Помимо оцененного уровня риска, при принятии решения могут быть учтены затраты на внедрение и сопровождение механизмов безопасности, политика руководства, простота реализации, мнение экспертов и др. В результате обработки риска остается так называемый остаточный риск, относительно которого принимается решение о завершении этапа отработки риска.
Строка 93:		Строка 93:

	При планировании мер по обработке риска, желательно провести ранжирование таких мер на первоочередные, среднесрочные и долгосрочные меры:		При планировании мер по обработке риска, желательно провести ранжирование таких мер на первоочередные, среднесрочные и долгосрочные меры:
	*первоочередные мероприятия должны позволять снизить часть рисков без затрат, за короткий промежуток времени (например, не более одного месяца – выпуск локального нормативного акта, содержащего организационные мероприятия);		*'''первоочередные мероприятия''' должны позволять снизить часть рисков без затрат, за короткий промежуток времени (например, не более одного месяца – выпуск локального нормативного акта, содержащего организационные мероприятия);
	*среднесрочные мероприятия должны позволить снизить следующую часть рисков за непродолжительный промежуток времени в рамках запланированного бюджета (например, в течение финансового года путем перераспределения финансовых средств с других статей расходов на закупку ПО или оборудования);		*'''среднесрочные мероприятия''' должны позволить снизить следующую часть рисков за непродолжительный промежуток времени в рамках запланированного бюджета (например, в течение финансового года путем перераспределения финансовых средств с других статей расходов на закупку ПО или оборудования);
	*долгосрочные мероприятия должны снижать риск до приемлемого в перспективе (например, путем планирования в инвестиционную программу будущих лет выполнения проекта по защите).		*'''долгосрочные мероприятия''' должны снижать риск до приемлемого в перспективе (например, путем планирования в инвестиционную программу будущих лет выполнения проекта по защите).

	Решения о выборе мер противодействия угрозам информационной безопасности должны приниматься совместно с владельцами деловых процессов, нарушение или неверное функционирование которых может привести к ущербу.		Решения о выборе мер противодействия угрозам информационной безопасности должны приниматься совместно с владельцами деловых процессов, нарушение или неверное функционирование которых может привести к ущербу.

Hunter po: /* Анализ рисков */

2013-11-04T03:55:28Z

Анализ рисков

← Предыдущая		Версия 03:55, 4 ноября 2013
Строка 58:		Строка 58:
	Анализа рисков, подразделяется на два этапа:		Анализа рисков, подразделяется на два этапа:

	*Определение стоимости защищаемых ресурсов. Проводится инвентаризация и категоризация защищаемых ресурсов, выяснение нормативных, технических, договорных требований к ресурсам в сфере ИБ. Затем с учетом этих требований определяется стоимость ресурсов. В стоимость входят все потенциальные потери, связанные с возможной компрометацией защищаемых ресурсов.		*'''Определение стоимости защищаемых ресурсов.''' Проводится инвентаризация и категоризация защищаемых ресурсов, выяснение нормативных, технических, договорных требований к ресурсам в сфере ИБ. Затем с учетом этих требований определяется стоимость ресурсов. В стоимость входят все потенциальные потери, связанные с возможной компрометацией защищаемых ресурсов.
	*Моделирование угроз информационной безопасности. Следующим этапом анализа рисков является составление перечня значимых угроз и уязвимостей для каждого ресурса, а затем вычисление вероятности их реализации (моделирование угроз информационной безопасности). Для решения этой задачи разрабатывается модель угроз ИБ к конкретному защищаемому ресурсу.		*'''Моделирование угроз информационной безопасности'''. Следующим этапом анализа рисков является составление перечня значимых угроз и уязвимостей для каждого ресурса, а затем вычисление вероятности их реализации (моделирование угроз информационной безопасности). Для решения этой задачи разрабатывается модель угроз ИБ к конкретному защищаемому ресурсу.

	Модель угроз информационной безопасности – это описание существующих угроз ИБ, их актуальности, возможности реализации и последствий.		[[Модель угроз информационной безопасности]] – это описание существующих угроз ИБ, их актуальности, возможности реализации и последствий.

	Цель разработки модели угроз – определение актуальных для конкретной информационной системы угроз безопасности, источников угроз и уязвимостей. Результаты моделирования используются для классификации информационных систем, а также в качестве исходных данных для построения (проектирования) обоснованной и эффективной системы защиты информационной системы.		Цель разработки модели угроз – определение актуальных для конкретной информационной системы угроз безопасности, источников угроз и уязвимостей. Результаты моделирования используются для классификации информационных систем, а также в качестве исходных данных для построения (проектирования) обоснованной и эффективной системы защиты информационной системы.
Строка 69:		Строка 69:
	Существует масса методик построения моделей угроз, но выбирать все же стоит, исходя из категории защищаемых данных, специфики своей отрасли, а также требований регуляторов, если такие имеются у организации (например: руководящие документы ФСТЭК России и ФСБ России, ГОСТ, ISO/IEC, банковские стандарты и т.д.).		Существует масса методик построения моделей угроз, но выбирать все же стоит, исходя из категории защищаемых данных, специфики своей отрасли, а также требований регуляторов, если такие имеются у организации (например: руководящие документы ФСТЭК России и ФСБ России, ГОСТ, ISO/IEC, банковские стандарты и т.д.).
	В случае, когда в организации нет ресурсов на построение модели угроз, при создании системы защиты рекомендуется придерживаться нескольких общих рекомендаций по достижению установленной защищенности информации:		В случае, когда в организации нет ресурсов на построение модели угроз, при создании системы защиты рекомендуется придерживаться нескольких общих рекомендаций по достижению установленной защищенности информации:
	*конфиденциальности – путем защиты от несанкционированного доступа и шифрования информации в виде документов и каналов связи;		*[[конфиденциальность\|конфиденциальности]] – путем защиты от несанкционированного доступа и шифрования информации в виде документов и каналов связи;
	*целостности – путем использования электронной подписи для документов и каналов связи;		*[[целостность\|целостности]] – путем использования электронной подписи для документов и каналов связи;
	*доступности – путем резервирования компонентов информационной системы и каналов связи, восстановлением в случае сбоев.		*[[доступность\|доступности]] – путем резервирования компонентов информационной системы и каналов связи, восстановлением в случае сбоев.

	== Оценивание риска ==		== Оценивание риска ==

Hunter po: /* От чего защищать информацию? */

2013-11-04T03:53:47Z

От чего защищать информацию?

← Предыдущая		Версия 03:53, 4 ноября 2013
Строка 44:		Строка 44:
	Угрозы приводят к рискам информационной безопасности.		Угрозы приводят к рискам информационной безопасности.

	Риском информационной безопасности называется возможность того, что угроза сможет воспользоваться уязвимостью актива или группы активов и тем самым нанесет ущерб организации[5].		[[Риск информационной безопасности\|Риском информационной безопасности]] называется возможность того, что '''угроза''' сможет воспользоваться '''уязвимостью''' актива или группы активов и тем самым нанесет '''ущерб''' организации[5].

	Под ущербом (в гражданском праве) понимаются невыгодные для собственника имущественные последствия, возникшие в результате причинения ему вреда. Ущерб выражается в уменьшении имущества либо в недополучении дохода, который был бы получен при отсутствии нарушения (упущенная выгода). Ущерб может быть материальным и настать для собственника или контрагента, моральным или физическим, порочащим деловую репутацию, экологическим, социальным и т.д.		Под '''ущербом''' (в гражданском праве) понимаются невыгодные для собственника имущественные последствия, возникшие в результате причинения ему вреда. '''Ущерб''' выражается в уменьшении имущества либо в недополучении дохода, который был бы получен при отсутствии нарушения (упущенная выгода). Ущерб может быть материальным и настать для собственника или контрагента, моральным или физическим, порочащим деловую репутацию, экологическим, социальным и т.д.

	Причиненный ущерб может быть квалифицирован как состав преступления, предусмотренный уголовным правом, или сопоставляться с рисками утраты, предусмотренными гражданским или административным правом.		Причиненный '''ущерб''' может быть квалифицирован как состав преступления, предусмотренный уголовным правом, или сопоставляться с рисками утраты, предусмотренными гражданским или административным правом.

	Не все идентифицированные угрозы одинаково осуществимы и могут привести к одинаковому ущербу. Для принятия оптимизированных решений по уменьшению угроз информационной безопасности применяется подход, при котором решения принимаются по результатам оценки рисков информационной безопасности.		Не все идентифицированные '''угрозы''' одинаково осуществимы и могут привести к одинаковому '''ущербу'''. Для принятия оптимизированных решений по уменьшению '''угроз''' информационной безопасности применяется подход, при котором решения принимаются по результатам '''оценки рисков''' информационной безопасности.

	Оценка рисков — процесс, предназначенный для идентификации источников рисков и определения его уровня значимости. Оценку рисков разбивают на анализ рисков и оценивание рисков.		'''Оценка рисков''' — процесс, предназначенный для идентификации источников рисков и определения его уровня значимости. Оценку рисков разбивают на '''анализ рисков''' и '''оценивание рисков'''.

	== Анализ рисков ==		== Анализ рисков ==

Hunter po: /* Угрозы информационной безопасности */

2013-11-03T18:14:31Z

Угрозы информационной безопасности

Внесённые изменения

← Предыдущая		Версия 04:11, 4 ноября 2013
Строка 322:		Строка 322:
	[[Файл:6._IS_for_CIO.png]]		[[Файл:6._IS_for_CIO.png]]


	Российское законодательство уделяет должное внимание вопросам информационной безопасности и разработало достаточное количество нормативных документов, позволяющих регулировать вопросы информационной безопасности.		Российское законодательство уделяет должное внимание вопросам информационной безопасности и разработало достаточное количество нормативных документов, позволяющих регулировать вопросы информационной безопасности.

	К нормативно-правовым актам федерального законодательства в области информационной безопасности можно отнести международные договоры РФ, Конституцию РФ, законы федерального уровня (включая федеральные конституционные законы, кодексы), указы Президента РФ, постановления Правительства РФ, нормативные правовые акты федеральных министерств и ведомств, нормативные правовые акты субъектов РФ, органов местного самоуправления и т. д.		К нормативно-правовым актам федерального законодательства в области информационной безопасности можно отнести международные договоры РФ, Конституцию РФ, законы федерального уровня (включая федеральные конституционные законы, кодексы), указы Президента РФ, постановления Правительства РФ, нормативные правовые акты федеральных министерств и ведомств, нормативные правовые акты субъектов РФ, органов местного самоуправления и т. д.

	Наиболее известные из них:		Наиболее известные из них:
	• Федеральный закон от 29.07.2004 № 98-ФЗ (О коммерческой тайне).		*Федеральный закон от 29.07.2004 № 98-ФЗ (О коммерческой тайне).
	• Федеральный закон от 27.07.2006 № 149-ФЗ (Об информации, информационных технологиях и о защите информации);		*Федеральный закон от 27.07.2006 № 149-ФЗ (Об информации, информационных технологиях и о защите информации);
	• Федеральный закон от 27.07.2006 № 152-ФЗ (О персональных данных);		*Федеральный закон от 27.07.2006 № 152-ФЗ (О персональных данных);
	• Федеральный закон от 06.04.2011 № 63-ФЗ (Об электронной подписи);		*Федеральный закон от 06.04.2011 № 63-ФЗ (Об электронной подписи);
	• Постановление Правительства РФ от 01.11.2012 №1119 (Об обеспечении безопасности персональных данных при их обработке в ИСПДН).		*Постановление Правительства РФ от 01.11.2012 №1119 (Об обеспечении безопасности персональных данных при их обработке в ИСПДН).

	Перечень не исчерпывающий, но достаточный, что бы понимать, на какие аспекты информационной безопасности организации стоит обратить внимание.		Перечень не исчерпывающий, но достаточный, что бы понимать, на какие аспекты информационной безопасности организации стоит обратить внимание.

	Наряду с законами и подзаконными актами, существует масса руководящих и нормативных документов (таких как: национальные стандарты (ГОСТ) в области ИБ, руководящие документы ФСТЭК России, ФСБ России, Роскомнадзор и т.д.), отраслевых стандартов по информационной безопасности(межкорпоративные стандарты по информационной безопасности ОАО «Газпром», Банка России и т.д.), международные стандарты и пр.		Наряду с законами и подзаконными актами, существует масса руководящих и нормативных документов (таких как: национальные стандарты (ГОСТ) в области ИБ, руководящие документы ФСТЭК России, ФСБ России, Роскомнадзор и т.д.), отраслевых стандартов по информационной безопасности(межкорпоративные стандарты по информационной безопасности ОАО «Газпром», Банка России и т.д.), международные стандарты и пр.

	Особенности обеспечения информационной безопасности в РФ вытекают из стремления контролирующих органов снять угрозы национальной безопасности от засилья иностранного аппаратного и программного обеспечения.		Особенности обеспечения информационной безопасности в РФ вытекают из стремления контролирующих органов снять угрозы национальной безопасности от засилья иностранного аппаратного и программного обеспечения.

	Для этого применятся подходы:		Для этого применятся подходы:
	• недопущение на российский рынок иностранных продуктов;		*недопущение на российский рынок иностранных продуктов;
	• сертификация средств защиты информации.		*сертификация средств защиты информации.

	Цель недопущения на рынок иностранных продуктов довольная ясна – это развитие отечественного производства и избегание удаленного управления программными и аппаратными средствами с использованием «закладок» по требованиям иностранных правительств.		Цель недопущения на рынок иностранных продуктов довольная ясна – это развитие отечественного производства и избегание удаленного управления программными и аппаратными средствами с использованием «закладок» по требованиям иностранных правительств.

	К сожалению, развитие отечественного рынка средств защиты информации не развито на столько, чтобы вытеснить зарубежное программное и аппаратное обеспечение (как, например, это пытается делать Китай), что, в принципе касается и ИТ технологий. Поэтому приходится прибегать к сертификации ввозимых средств защиты информации, которая может занимать продолжительное время (например, ввоз межсетевого экрана с иностранной криптографией может занять 6-9 месяцев) и стоить существенных средств.		К сожалению, развитие отечественного рынка средств защиты информации не развито на столько, чтобы вытеснить зарубежное программное и аппаратное обеспечение (как, например, это пытается делать Китай), что, в принципе касается и ИТ технологий. Поэтому приходится прибегать к сертификации ввозимых средств защиты информации, которая может занимать продолжительное время (например, ввоз межсетевого экрана с иностранной криптографией может занять 6-9 месяцев) и стоить существенных средств.

	Требования по безопасности предъявляются не только к ввозимым средствам, но и к отечественным. Соответствие требованиям подтверждаются разными способами, например:		Требования по безопасности предъявляются не только к ввозимым средствам, но и к отечественным. Соответствие требованиям подтверждаются разными способами, например:
	• сертификация по показателям класса защищенности средств вычислительной техники от несанкционированного доступа;		*сертификация по показателям класса защищенности средств вычислительной техники от несанкционированного доступа;
	• сертификация по отсутствию незадекларированных возможностей;		*сертификация по отсутствию незадекларированных возможностей;
	• сертификация по оценочному уровню доверия (ОУД) к реализации требований по защите;		*сертификация по оценочному уровню доверия (ОУД) к реализации требований по защите;
	• сертификация по классу межсетевого экранирования;		*сертификация по классу межсетевого экранирования;
	• оценка соответствия требованиям к системам обнаружения вторжений и т.д.		*оценка соответствия требованиям к системам обнаружения вторжений и т.д.

	Причем проверить соответствие реализованных функций требованиям руководящих документов и осуществить сертификацию может лишь организация, имеющая аттестат аккредитации испытательной лаборатории.		Причем проверить соответствие реализованных функций требованиям руководящих документов и осуществить сертификацию может лишь организация, имеющая аттестат аккредитации испытательной лаборатории.

	К особенностям информационной безопасности РФ можно также отнести аттестацию информационных систем, автоматизированных рабочих мест и помещений по требованиям регулирующих органов.		К особенностям информационной безопасности РФ можно также отнести аттестацию информационных систем, автоматизированных рабочих мест и помещений по требованиям регулирующих органов.

	К сожалению, наличие сертификата соответствия у отечественных продуктов не гарантирует хорошую работоспособность продукта, а только лишь соответствие продукта требованиям по информационной безопасности определенного уровня. В то же время, наличие отечественного сертификата у хорошо работающего иностранного продукта не гарантирует отсутствие в нем недекларированных возможностей (необходимо внимательно читать на что выдается сертификат) и иных интегральных уязвимостей. Самое главное от чего спасает наличие сертификата - это от замечаний при проверке федеральных органов.		К сожалению, наличие сертификата соответствия у отечественных продуктов не гарантирует хорошую работоспособность продукта, а только лишь соответствие продукта требованиям по информационной безопасности определенного уровня. В то же время, наличие отечественного сертификата у хорошо работающего иностранного продукта не гарантирует отсутствие в нем недекларированных возможностей (необходимо внимательно читать на что выдается сертификат) и иных интегральных уязвимостей. Самое главное от чего спасает наличие сертификата - это от замечаний при проверке федеральных органов.

	Сайты основных регуляторов:		Сайты основных регуляторов:
	~~ФСБ России (~~fsb.ru);		*[http://www.fsb.ru ФСБ России];
	~~ФСТЭК России (~~fstec.ru);		*[http://www.fstec.ru ФСТЭК России];
	~~Роскомнадзор (~~rsoc.ru).		*[http://www.rsoc.ru Роскомнадзор].


	= Используемые материалы =		= Используемые материалы =

Информационная безопасность для CIO - История изменений

Hunter po: /* Используемые материалы */

Hunter po: /* Методы и средства защиты информации */

Hunter po в 14:44, 13 января 2015

Hunter po: /* Нормативное регулирование */

Hunter po: /* Организация информационной безопасности */

Hunter po: /* Методы и средства защиты информации */

Hunter po: /* Оценивание риска */

Hunter po: /* Анализ рисков */

Hunter po: /* ￼От чего защищать информацию? */

Hunter po: /* Угрозы информационной безопасности */

Hunter po: /* От чего защищать информацию? */