Основы в области информационной безопасности

1. Основные понятия и определения в области информационной безопасности Информация - сведения (сообщения, данные) независимо от формы их представления; Информационные технологии - процессы, методы поиска, сбора, хранения, обработки, распространения информации и способы осуществления таких процессов и методов; предоставления, Информационная система - совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств; Информационно-телекоммуникационная сеть - технологическая система, предназначенная для передачи по линиям связи информации, доступ к которой осуществляется с использованием средств вычислительной техники; Обладатель информации - лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам. Угроза - возможная причина нежелательного инцидента, которая может нанести ущерб (информационной) системе или всей организации Инцидент – не желательное или не ожидаемое событие ИБ, которое со значительной вероятностью приводит к компрометации бизнес-операций и создает угрозы для ИБ Уязвимость - недостаток (слабость) программного (программно-технического) средства или информационной системы в целом, который (которая) может быть использована для реализации угроз безопасности информации Основные понятия Доктрины информационной безопасности РФ, введенной Указом Президента РФ от 05.12.2016 № 646 б) угроза информационной безопасности Российской Федерации (далее - информационная угроза) - совокупность действий и факторов, создающих опасность нанесения ущерба национальным интересам в информационной сфере; в) информационная безопасность Российской Федерации (далее - информационная безопасность) - состояние защищенности личности, общества и государства от внутренних и внешних информационных угроз, при котором обеспечиваются реализация конституционных прав и свобод человека и гражданина, достойные качество и уровень жизни граждан, суверенитет, территориальная целостность и устойчивое социально-экономическое развитие Российской Федерации, оборона и безопасность государства; г) обеспечение информационной безопасности - осуществление взаимоувязанных правовых, организационных, оперативно-розыскных, разведывательных, контрразведывательных, научно- технических, информационноаналитических, кадровых, экономических и иных мер по прогнозированию, обнаружению, сдерживанию, предотвращению, отражению информационных угроз и ликвидации последствий их проявления; д) силы обеспечения информационной безопасности - государственные органы, а также подразделения и должностные лица государственных органов, органов местного самоуправления и организаций, уполномоченные на решение в соответствии с законодательством Российской Федерации задач по обеспечению информационной безопасности; е) средства обеспечения информационной безопасности - правовые, организационные, технические и другие средства, используемые силами обеспечения информационной безопасности; ж) система обеспечения информационной безопасности - совокупность сил обеспечения информационной безопасности, осуществляющих скоординированную и спланированную деятельность, и используемых ими средств обеспечения информационной безопасности; з) информационная инфраструктура Российской Федерации (далее - информационная инфраструктура) совокупность объектов информатизации, информационных систем, сайтов в сети "Интернет" и сетей связи, расположенных на территории Российской Федерации, а также на территориях, находящихся под юрисдикцией Российской Федерации или используемых на основании международных договоров Российской Федерации. Структура информационной безопасности Информационная безопасность Политика информационной безопасности Информационный объект Моделирование угроз информационной безопасности Угрозы информации Деятельность по реализации системы обеспечения информационной безопасности Обеспечение информационной безопасности Средства обеспечения информационной безопасности Обладатель информации Назначение политики информационной безопасности Определение целей и задач системы управления информационной безопасностью Формирование совокупности правил, требований и руководящих принципов в области информационной безопасности, направленных на: защиту информационных активов от угроз, исходящих от противоправных действий злоумышленников уменьшение рисков и снижение финансовых потерь от случайных и преднамеренных действий внешних и внутренних нарушителей ИБ 1.1 Методология классификации информации и информационных ресурсов Принципы отнесения информации к защищаемой Законность Соответствие информации законодательству о собственности на информационные ресурсы и информационные системы, законодательству об информации, информационных технологиях и ЗИ, законодательству об интеллектуальной собственности Обоснованность Установление путем экспертной оценки, путем договорных отношений, путем решения обладателя информации целесообразности защиты конкретных сведений, вероятных экономических и иных последствий этого акта исходя из баланса жизненно важных интересов субъектов гражданско-правовых отношений Своевременность Установление ограничений на распространение защищаемых сведений с момента их получения (разработки) или заблаговременно Информация, подлежащая защите ФЗ № 149 Общедоступная Ограниченного доступа Государственная тайна Персонал ьные данные Профессио нальная тайна Конфиденциальная информация Нормат ивно правов ые акты Служебная тайна Коммерческая тайна Семейная тайна Иная тайна О состоян ии окружа ющей среды О деятельности государствен ных органов и органов местного самоуправлен ия Сведения Обладателя информации в Интернете с учетом требований РФ по государственной тайне Сведения не нарушающие прав Обладателя информации в Интернете с учетом требований РФ Иная инфор мация Согласно старой редакции Закона №149 «Об информации, информационных технологиях и защите информации» информационные ресурсы — отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах согласно ГОСТ ИСО/ТО 13469-2007 «Финансовые услуги. Рекомендации по информационной безопасности» информационные ресурсы – есть оборудование, используемое для обработки, передачи или хранения информации, независимо от того, находится оно внутри организации или за ее пределами, т.е. это могут быть В описании ФСТЭК от 15.02.2008 г. «Базовая модель угроз безопасности данных при их обработке в информационных системах персональных данных» приводится понятие ресурса информационной системы в виде элемента системного, прикладного или аппаратного обеспечения функционирования информационной системы. Виды субъектов в области информационных ресурсов Граждане, в том числе иностранные, и лица без гражданства Организации:      библиотеки, архивы, музеи; информационные центры, фонды и другие информационные структуры; центры анализа информации; информационные агентства, другие органы массовой информации; другие организации – собственники и владельцы информационных ресурсов. Органы государственной власти Информационные ресурсы Документированные Недокументированные Индивиду альные знания Коллектив ные знания Тексты Графики Фотогр афии Аудио Видео Электро нные 2. Информационная безопасность 2.1 Актуальность развития теории и практики обеспечения информационной безопасности Основные причины актуальности обеспечения безопасности Расширение сферы использования средств «цифровой» техники Развитие территориально распределенных информационных систем и систем с удаленным доступом к совместно используемым ресурсам Рост неправомерных вмешательств в работу информационных систем Повышение уровня доверия к информационным системам управления и обработки информации Концентрация больших объемов значимой информации на электронных носителях Отношен ие к информации, как к товару Многообраз ием видов угроз и реализацией возможных каналов несанкционированн ого доступа к информации Рост правонарушений в области программноматематического воздействия на информационные системы Внешние угрозы Внутренние угрозы Нарушитель Нарушитель Информационная безопасность - защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры. Система обеспечения информацио нной безопасност и ( защита информации и защита информации от информации ) Уязвимос ти системы обеспече ния ИБ. Уязвимос ти информа ционной системы Информац ионная система Субъект ы информ ационн ых отноше ний Ущерб Причинность развития теории информационной безопасности: Во-первых, так как все большую актуальность приобретает не только защита информации, но и защита людей и технических (главным образом, электронных) систем от разрушающего воздействия информации, то формируется задача обеспечения информационной безопасности как органической совокупности задач защиты информации и защиты от информации. Во-вторых, с самого начала регулярного использования автоматизированных технологий обработки информации актуальность задачи обеспечения требуемого качества информации возрастает, а сама задача усложняется. Следовательно, обеспечение информационной безопасности невозможно без учета задач обеспечения качества информации. Наиболее часто встречаемые показатели качества информации – это достоверность, полнота, доступность и актуальность. В-третьих, решение задач защиты информации, задач защиты от информации и обеспечения качества информации обусловливает обеспечения эффективного управления информацией. Управление информацией – это направление, призванное скоординировать деятельность по работе с информацией, включая информационные технологии, информационную безопасность, маркетинг, рекламу и применение информации ее пользователями. С какой целью? Безусловно с финансовой - сэкономить затраты на персонал и при этом повысить качество обслуживания клиентов, обеспечить соответствие нормативным требованиям, а также добиться гибкости и оперативности рабочих процессов. В-четвертых, серьезное внимание на новом этапе развития теории защиты информации должно быть уделено совершенствованию научно-методологического базиса и инструментальных средств защиты информации, обеспечивающих решение любых возникающих задач, связанных с решением проблем информационной безопасности, информационных технологий, информатизации общества. Назначение теории информационной безопасности создание теоретических основ и формирование научно-методологического базиса, позволяющих адекватно описывать процессы в условиях значительной неопределенности и непредсказуемости проявления дестабилизирующих факторов (информационных угроз) разработка научно-обоснованных нормативно-методических документов по обеспечению информационной безопасности на базе исследования и классификации угроз информации и выработки стандартов требований к защите стандартизация подходов к созданию систем защиты информации и рационализация схем и структур управления защитой на объектовом, региональном и государственном уровнях 2.2 Методы обеспечения информационной безопасности Свойства информации Доступность это характеристика информации, указывающая на возможность за приемлемое время получить требуемую информацию/услугу Целостность это актуальность и непротиворечивость информации, ее защищенность от разрушения и не санкционированного изменения Конфиденциальность это характеристика информации, указывающая на необходимость защиты от несанкционированного доступа к информации Сервисы сетевой безопасности • • • • • • • • Идентификация/аутентификация Разграничение доступа Протоколирование/аудит Экранирование Туннелирование Шифрование Контроль целостности Контроль защищенности Инженерно-технические методы Методы обеспечения информационной безопасности • • • • Программные Аппаратные Криптографические Физические ограждения и препятствия Правовые методы Организационные методы • • • • • Создание служб безопасности Введение режима защиты информации Управлением рисками информационной безопасности Подготовка и переподготовка кадров Лицензирование и сертификация в области защиты информации • • Нормотворческая деятельность по созданию законодательства в области информационной безопасности Исполнительная и правоприменительная деятельность по исполнению законодательства в области информации 3. Теоретические основы информационной безопасности Российской Федерации 3.1 Концептуальная модель и основные понятия Основные понятия Доктрины РФ: а) национальные интересы РФ в информационной сфере - объективно значимые потребности личности, общества и государства в обеспечении их защищенности и устойчивого развития в части, касающейся информационной сферы; б) информационная угроза РФ - совокупность действий и факторов, создающих опасность нанесения ущерба национальным интересам в информационной сфере; в) информационная безопасность РФ - состояние защищенности личности, общества и государства от внутренних и внешних информационных угроз, при котором обеспечиваются реализация конституционных прав и свобод человека и гражданина, достойные качество и уровень жизни граждан, суверенитет, территориальная целостность и устойчивое социально-экономическое развитие РФ, оборона и безопасность государства; г) обеспечение информационной безопасности - осуществление взаимоувязанных правовых, организационных, оперативнорозыскных, разведывательных, контрразведывательных, научно- технических, информационно-аналитических, кадровых, экономических и иных мер по прогнозированию, обнаружению, сдерживанию, предотвращению, отражению информационных угроз и ликвидации последствий их проявления; д) силы обеспечения информационной безопасности - государственные органы, а также подразделения и должностные лица государственных органов, органов местного самоуправления и организаций, уполномоченные на решение в соответствии с законодательством РФ задач по обеспечению информационной безопасности; е) средства обеспечения информационной безопасности - правовые, организационные, технические и другие средства, используемые силами обеспечения информационной безопасности; ж) система обеспечения информационной безопасности - совокупность сил обеспечения информационной безопасности, осуществляющих скоординированную и спланированную деятельность, и используемых ими средств обеспечения информационной безопасности; з) информационная инфраструктура РФ - совокупность объектов информатизации, информационных систем, сайтов в сети «Интернет» и сетей связи, расположенных на территории Российской Федерации, а также на территориях, находящихся под юрисдикцией Российской Федерации или используемых на основании международных договоров Российской Федерации. Согласно Доктрине ИБ РФ национальными интересами в информационной сфере являются: а) обеспечение и защита конституционных прав и свобод человека и гражданина в части, касающейся получения и использования информации, неприкосновенности частной жизни при использовании информационных технологий, б) обеспечение устойчивого и бесперебойного функционирования информационной инфраструктуры РФ и единой сети электросвязи РФ, в мирное время, в период непосредственной угрозы агрессии и в военное время; в) развитие в РФ отрасли информационных технологий и электронной промышленности, а также совершенствование деятельности производственных, научных и научно-технических организаций по разработке, производству и эксплуатации средств обеспечения информационной безопасности, оказанию услуг в области обеспечения информационной безопасности; г) доведение до российской и международной общественности достоверной информации о государственной политике РФ по социально значимым направлениям; д) содействие формированию системы международной информационной безопасности, направленной на противодействие угрозам использования информационных технологий в целях нарушения стратегической стабильности, на укрепление равноправного стратегического партнерства в области информационной безопасности, а также на защиту суверенитета РФ в информационном пространстве. Назначение Доктрины ИБ РФ Идентификация угроз Определение стратегических целей Оценка состояния ИБ Определение направлений по обеспечению ИБ Доктрина РФ представляет собой систему официальных взглядов на обеспечение национальной безопасности Российской Федерации в информационной сфере с целью стратегического плана развития ИБ РФ Информационная сфера - совокупность информации, объектов информатизации, информационных систем, сайтов в информационно-телекоммуникационной сети «Интернет», сетей связи, информационных технологий, субъектов, деятельность которых связана с формированием и обработкой информации, развитием и использованием названных технологий, обеспечением информационной безопасности, а также совокупность механизмов регулирования соответствующих общественных отношений. 3.2 Основные информационные угрозы РФ Угрозы ИБ РФ информационно-техническое воздействие на информационную инфраструктуру в военных целях, техническая разведка в отношении российских государственных органов, научных организаций и предприятий оборонно-промышленного комплекса. информационно-психологическое воздействие, направленное на дестабилизацию внутриполитической и социальной ситуации в различных регионах мира, ведущее к подрыву суверенитета и нарушению территориальной целостности других государств. информационное воздействие на индивидуальное, групповое и общественное сознание в целях нагнетания межнациональной и социальной напряженности компьютерная преступность, прежде всего в кредитно-финансовой сфере; увеличивается число преступлений, связанных с нарушением конституционных прав и свобод человека и гражданина, в том числе в части, касающейся неприкосновенности частной жизни, личной и семейной тайны, при обработке персональных данных с использованием информационных технологий. применение информационных технологий в целях нанесения ущерба суверенитету, территориальной целостности, политической и социальной стабильности РФ 3.3 Оценка состояния информационной безопасности РФ Оценка состояния ИБ характеризуется в области обороны - увеличение масштабов применения отдельными государствами и организациями информационных технологий в военно-политических целях, направленных на подрыв суверенитета, политической и социальной стабильности, территориальной целостности РФ в области государственной и общественной безопасности - рост скоординированности компьютерных атак на объекты критической информационной инфраструктуры, усилением разведывательной деятельности иностранных государств в отношении РФ в экономической сфере - недостаточный уровень развития конкурентоспособных информационных технологий, электронной компонентной базы, программного обеспечения, вычислительной техники и средств связи; в области науки, технологий и образования -недостаточная эффективность научных исследований информационных технологий, низкий уровень внедрения отечественных разработок и недостаточное кадровое обеспечением в области информационной безопасности. При этом мероприятия по обеспечению безопасности информационной инфраструктуры, включая ее целостность, доступность и устойчивое функционирование зачастую не имеют комплексной основы. в области стратегической стабильности и равноправного стратегического партнерства- стремление отдельных государств использовать технологическое превосходство для доминирования в информационном пространстве. Отсутствие международно-правовых норм, регулирующих межгосударственные отношения в информационном пространстве затрудняет обеспечение безопасного и устойчивого функционирования сети «Интернет» 3.4 Стратегические цели ИБ РФ Определение стратегических целей защита жизненно важных интересов личности, общества и государства от внутренних и внешних угроз, связанных с применением информационных технологий в военно-политических целях, противоречащих международному праву, в том числе в целях осуществления враждебных действий и актов агрессии, направленных на подрыв суверенитета, нарушение территориальной целостности государств и представляющих угрозу международному миру, безопасности и стратегической стабильности. 3.5 Основные направления обеспечения информационной безопасности РФ Определение направлений по обеспечению ИБ РФ в области государственной и общественной безопасности: • противодействие использованию информационных технологий для пропаганды экстремистской идеологии, распространения ксенофобии в целях подрыва суверенитета, политической и социальной стабильности; • пресечение деятельности с использованием технических средств и информационных технологий специальными службами и организациями иностранных государств, а также отдельными лицами; • повышение защищенности критической информационной инфраструктуры, развитие механизмов обнаружения и предупреждения информационных угроз и ликвидации последствий их проявления; • обеспечение целостности, устойчивости функционирования и безопасности единой сети электросвязи , обеспечение безопасности информации, передаваемой по ней и обрабатываемой в информационных системах; • повышение эффективности профилактики правонарушений, совершаемых с использованием информационных технологий; • обеспечение защиты информации, содержащей сведения, составляющие государственную тайну, иной информации ограниченного доступа и распространения; • нейтрализация информационного воздействия, направленного на размывание традиционных российских духовно-нравственных ценностей. в экономической сфере: • инновационное развитие отрасли информационных технологий и электронной промышленности, увеличение доли продукции этой отрасли в валовом внутреннем продукте, в структуре экспорта страны; • ликвидация зависимости отечественной промышленности от зарубежных информационных технологий и средств обеспечения информационной безопасности; • развитие отечественной конкурентоспособной электронной компонентной базы и технологий производства электронных компонентов. в области науки, технологий и образования: • достижение конкурентоспособности российских информационных технологий и развитие научнотехнического потенциала в области обеспечения информационной безопасности; • создание и внедрение информационных технологий, изначально устойчивых к различным видам воздействия; • проведение научных исследований и осуществление опытных разработок в целях создания перспективных информационных технологий и средств обеспечения информационной безопасности; • развитие кадрового потенциала в области обеспечения информационной безопасности и применения информационных технологий; • обеспечение защищенности граждан от информационных угроз, в том числе за счет формирования культуры личной информационной безопасности. в области стратегической стабильности и равноправного стратегического партнерства: • защита суверенитета РФ в информационном пространстве посредством осуществления самостоятельной и независимой политики, направленной на реализацию национальных интересов в информационной участие в формировании сфере; системы международной информационной безопасности, обеспечивающей эффективное противодействие использованию информационных технологий в военнополитических целях, противоречащих международному праву, а также в террористических, экстремистских, криминальных и иных противоправных целях; • создание международно-правовых механизмов, учитывающих специфику информационных технологий, в целях предотвращения и урегулирования межгосударственных конфликтов в информационном пространстве; • развитие национальной системы управления российским сегментом сети «Интернет». 4. Основы взаимодействия информационных систем 4.1 Модели протоколов обмена информацией Информационнотелекоммуникационная сеть Информационная система ИТ Информационнотелекоммуникационная сеть Информационная система ИТ Модели сетевых протоколов Сетевой протокол – это стандартный набор правил, определяющих порядок сетевого взаимодействия систем 1) Физический уровень: определяет метод передачи данных, какая среда используется (передача электрических сигналов, световых импульсов или радиоэфир), уровень напряжения, метод кодирования двоичных сигналов. 2) Канальный уровень : он берет на себя задачу адресации в пределах локальной сети, обнаруживает ошибки, проверяет целостность данных. MAC-адрес и протокол «Ethernet» располагаются на этом уровне. Media Access Control — уникальный идентификатор, присваиваемый каждой единице активного оборудования ( сетевая карта) или некоторым их интерфейсам в компьютерных сетях Ethernet 3) Сетевой уровень: этот уровень берет на себя объединения участков сети и выбор оптимального пути (т.е. маршрутизация). Каждое сетевое устройство должно иметь уникальный сетевой адрес в сети. Например, протоколы IPv4 и IPv6. Эти протоколы работают на данном уровне. 4) Транспортный уровень : Этот уровень берет на себя функцию транспорта. К примеру, когда вы скачиваете файл с Интернета, файл в виде сегментов отправляется на Ваш компьютер. Также здесь вводятся понятия портов, которые нужны для указания назначения к конкретной службе. На этом уровне работают протоколы TCP (с установлением соединения) и UDP (без установления соединения). 5) Сеансовый уровень : Роль этого уровня в установлении, управлении и разрыве соединения между двумя хостами. К примеру, когда открываете страницу на веб-сервере, то Вы не единственный посетитель на нем. И вот для того, чтобы поддерживать сеансы со всеми пользователями, нужен сеансовый уровень. 6) Уровень представления : Он структурирует информацию в читабельный вид для прикладного уровня. Например, многие компьютеры используют таблицу кодировки ASCII для вывода текстовой информации или формат jpeg для вывода графического изображения. 7) Прикладной уровень : Наверное, это самый понятный для всех уровень. Как раз на этом уроне работают привычные для нас приложения — e-mail, браузеры по протоколу HTTP ( протокол прикладного уровня для передачи гипертекста), FTP ( протокол передачи файлов) и остальное. 4.1.1. Функции и Протоколы модели OSI Уровень Тип данных Функции 7. Прикладной Поддержка работы протоколов приложений Доступ к сетевым службам 6. Представительский Преобразование данных в общий формат Шифрование данных Данные Примеры сервисов Примеры протоколов HTTP, FTP, SMTP, RDP, SNMP, DHCP ASCII, JPEG 5. Сеансовый Управление взаимодействием приложениеприложение Управление сеансом связи 4. Транспортный Установление надежного и не надежного обмена данными между хостами Подтверждение и не подтверждение получения данных TCP, UDP, SCTP, SSL, TLS, SPX Определение маршрута и логическая адресация IPv4, IPv6, IPsec, RIP, IGMP, OSPF RPC, PAP, NFS, SQL, NetBIOS PORTS 3. Сетевой 2. Канальный 1. Физический Сегменты/ Дейтаграммы Пакеты Кадры Преобразование логических адресов в физические Физическая адресация Работа со средой передачи, сигналами и Биты двоичными данными Network Cards PPP, IEEE 802.22, Ethernet, DSL, ARP, L2TP, SLIP витая пара, коаксиальный кабель, оптический кабель USB, X.21 4.1.2. Совместная работа уровней 4.2. Модель TCP/IP Взаимодействие с протоколами вышестоящего уровня и службами посредством портов 5. Политики, стандарты, базисы, руководства и процедуры ИБ Политика безопасности – это всеобъемлющее основное заявление высшего руководства компании, указывающее роль безопасности в организации. «Оранжевая книга» Политика безопасности - совокупность правил, регулирующих управление активами, их защиту и распределение в пределах объекта оценки. «Общие критерии» Цели могут быть ежедневными (операционными), среднесрочными (тактическими) и долгосрочными (стратегическими). Стратегическое управление – это набор функций, выполняющихся Советом Директоров и высшим руководством, которые задают стратегическое направление, контролируют достижение целей, надлежащее управление рисками и ответственное использование ресурсов компании Стандарты – это обязательные действия или правила. Стандарты поддерживают и развивают политику по определенным направлениям. Стандарты могут быть внутренними и внешними (например, законодательство). Руководства описывают рекомендующиеся действия и являются эксплуатационными инструкциями для пользователей, ИТ-специалистов и других сотрудников, там, где не применяются соответствующие стандарты. Рекомендации могут касаться технологических методик, персонала или физической безопасности. Процедуры – это детальные, описанные «шаг за шагом» задачи, выполняемые чтобы достичь определенной цели. Шаги могут выполняться пользователями, ИТ-специалистами, сотрудниками безопасности и другими сотрудниками, выполняющими специфические задачи. 6. Стандарты и руководства информационной безопасности Стандарты/руководства ИБ Оценочные Предназначены для оценки и классификации ИС и СЗИ по требованиям безопасности Регламентирующие Предназначены для реализации средств защиты 6.1 Оценочные стандарты Под оценкой информационной безопасности информационной системы следует понимать определение ее класса защищенности для достижения требуемых свойств информации 7.1.1. Общие сведения о «Критериях оценки доверенных компьютерных систем» Оранжевая Книга При оценке безопасности системы проверяются части системы, имеющие отношение к ее безопасности: ТСВ ( – Trusted Computing Base), механизмы управления доступом, монитор обращений, ядро и механизмы защиты информации. Взаимоотношения и взаимодействие между этими компонентами также подлежит оценке. Доверенная система определяется как «система, использующая достаточные аппаратные и программные средства, чтобы обеспечить одновременную обработку информации разной степени секретности группой пользователей без нарушения прав доступа». Речь идет о доверенных системах, которым можно оказать определенную степень доверия В рассматриваемых Критериях и безопасность, и доверие оцениваются исключительно с точки зрения управления доступом к данным, что является одним из средств обеспечения конфиденциальности и целостности (статической) Степень доверия оценивается по трем основным критериям: 1. Политика безопасности – набор законов, правил и норм поведения, определяющих, как организация обрабатывает, защищает и распространяет информацию. В зависимости от сформулированной политики можно выбирать конкретные механизмы обеспечения безопасности. Политика безопасности – это активный аспект защиты, включающий в себя анализ возможных угроз и выбор мер противодействия. 2. Подотчетность - определение степени ответственности пользователей за действия в системе, все происходящие в ней события, имеющие значение с точки зрения безопасности, должны отслеживаться и регистрироваться в защищенном протоколе 3. Уровень гарантированности – мера доверия, которая может быть оказана архитектуре и реализации ИС. Доверие безопасности может проистекать как из анализа результатов тестирования, так и из проверки (формальной или нет) реализации системы в целом и отдельных ее компонентов. Уровень гарантированности показывает, насколько корректны механизмы ИБ, т.е. средства контроля независимы от средств защиты, отвечающие за реализацию политики безопасности. Это пассивный аспект защиты. Требования к ИБ «Оранжевая книга» Подотчетность/аудит пользователей ИС Политика ИБ Управление конфиденциальностью и целостностью Очистка памяти ОТСС Метки безопасн ости Гарантии/корректность функционирования СЗИ Управление доступом Мандат ное Дискрец ионное Изолиро ванность Полно та Верифи цируемо сть Идентифик ация и аутентифик ация Монитор обращений Субъекты ИС/Пользователи ИС ( классы защищенности ИС =A, B, C, D ) Предоставл ение доверенного пути Анализ регистрацио нной информации Концепция доверенной вычислительной базы является центральной при оценке степени доверия безопасности. Доверенная вычислительная база (TCB) – это совокупность защитных механизмов ИС (включая аппаратное и программное обеспечение), отвечающих за проведение в жизнь политики безопасности. Основное назначение доверенной вычислительной базы – выполнять функции монитора обращений, то есть контролировать допустимость выполнения субъектами (активными сущностями ИС, действующими от имени пользователей) определенных операций над объектами (пассивными сущностями). Монитор проверяет каждое обращение пользователя к программам или данным на предмет согласованности с набором действий, допустимых для пользователя. Монитор обращений должен обладать тремя качествами: Изолированность. Необходимо предупредить возможность отслеживания работы монитора. Полнота. Монитор должен вызываться при каждом обращении, не должно быть способов обойти его. Верифицируемость/проверяемость. Монитор должен быть компактным, чтобы его можно было проанализировать и протестировать, будучи уверенным в полноте тестирования. Реализация монитора обращений называется ядром безопасности. Ядро безопасности – это основа, на которой строятся все защитные механизмы. Помимо перечисленных выше свойств монитора обращений, ядро должно гарантировать собственную неизменность. Механизмы безопасности Согласно «Оранжевой книге», политика безопасности должна обязательно включать в себя следующие элементы: 1. произвольное управление доступом; 2. безопасность повторного использования объектов; 3. метки безопасности; 4. принудительное управление доступом. 1. Произвольное управление доступом (называемое дискреционным) – это метод разграничения доступа к объектам, основанный на учете личности субъекта или группы, в которую субъект входит. Произвольность управления состоит в том, что некоторое лицо (обычно владелец объекта) может по своему усмотрению предоставлять другим субъектам или отбирать у них права доступа к объекту. Управление доступом субъектов к объектам реализуется на основе списков управления доступом или матрицы доступа. Оно требует разделения пользователей и информации, проведения идентификации и аутентификации отдельных сущностей. 2. Безопасность повторного использования объектов – важное дополнение средств управления доступом, предохраняющее от случайного или преднамеренного извлечения конфиденциальной информации из «мусора». Безопасность повторного использования должна гарантироваться для областей оперативной памяти (в частности, для буферов с образами экрана, расшифрованными паролями и т.п.), для дисковых блоков и магнитных носителей в целом. 3. Для реализации принудительного управления доступом с субъектами и объектами ассоциируются метки безопасности. Метка субъекта описывает его благонадежность, метка объекта – степень конфиденциальности содержащейся в нем информации. 4. Принудительное (или мандатное) управление доступом основано на сопоставлении меток безопасности субъекта и объекта. Субъект может читать информацию из объекта, если уровень секретности субъекта не ниже, чем у объекта, а все категории, перечисленные в метке безопасности объекта, присутствуют в метке субъекта. В таком случае говорят, что метка субъекта доминирует над меткой объекта. Смысл сформулированного правила понятен – читать можно только то, что положено. Субъект может записывать информацию в объект, если метка безопасности объекта доминирует над меткой субъекта. В частности, «конфиденциальный» субъект может записывать данные в секретные файлы, но не может – в несекретные (разумеется, должны также выполняться ограничения на набор категорий). Краткие характеристики классов защищённости: 1) Группа D – характеризуется низким уровнем защищенности. 2) Группа C - дискреционная защита Данная группа характеризуется наличием дискреционного управления доступом.  Класс C1 - рассчитан на однопользовательские системы, в которых осуществляется совместная обработка данных одного уровня конфиденциальности.  Класс C2 – обеспечивает более избирательное управление доступом путём применения средств индивидуального контроля за действиями пользователей, регистрации, учёта событий и выделения ресурсов. 3) Группа B – мандатная защита. Система обеспечивает мандатное управление доступом с использованием меток безопасности. Реализуется концепция монитора безопасности обращений, контролирующего все события в системе.  Класс B1 – защита с применением меток безопасности. Помимо выполнения всех требований к классу C2, система должна поддерживать маркировку данных и мандатное управление доступом. При экспорте из системы информация должна подвергаться маркировке.  Класс B2 – структурированная защита. Ядро безопасности должно поддерживать формально определённую и чётко документированную модель безопасности, предусматривающую дискреционное и мандатное управление доступом, которое распространяется на все субъекты. Должен осуществляться контроль скрытых каналов передачи информации. Интерфейс ядра безопасности должен быть чётко определён, а его архитектура и реализация должны быть выполнены с учётом возможности проведения тестовых испытаний. Управление безопасностью должно осуществляться администратором безопасности.  Класс B3 – домены безопасности. Ядро безопасности должно поддерживать монитор безопасности обращений, который контролирует все типы доступа субъектов к объектам и который невозможно обойти. Ядро безопасности содержит исключительно подсистемы, отвечающие за реализацию функций защиты, и является достаточно компактным для обеспечения возможности эффективного тестирования. Средства аудита должны включать механизмы оповещения администратора о событиях, имеющих значение для безопасности системы. Необходимо наличие средств восстановления работоспособности системы. 4) Группа A – верифицированная защита. Группа характеризуется применением формальных методов верификации корректности функционирования механизмов управления доступом. Функциональные требования совпадают с классом B3, однако на всех этапах разработки АС требуется применение формальных методов верификации систем защиты. 6.1.2. Стандарт ISO/IEC 15408 «Критерии оценки безопасности информационных технологий» Общие критерии Цели создания стандарта:  унификация различных национальных стандартов в области оценки безопасности ИТ;  повышение уровня доверия к оценке безопасности ИТ;  сокращение затрат на оценку безопасности ИТ на основе взаимного признания сертификатов. Содержанием стандарта: представляют собой некий набор определений и правил, в рамках которых можно описывать различные системы защиты информации. Назначение стандарта: с помощью его можно оценить насколько используемые в нем механизмы защиты отвечают требованиям политики безопасности организации. Часть 1 предлагает модель безопасности ИС и дает возможность сравнения результатов независимых оценок безопасности. Результаты оценки могут помочь потребителям решить, являются ли продукты или системы ИТ достаточно безопасными для их предполагаемого применения и приемлемы ли прогнозируемые риски при их использовании. При оценке продукт или систему ИТ с функциями безопасности называют объектом оценки (ОО). К таким ОО, например, относятся операционные системы, вычислительные сети, распределенные системы и приложения. Часть 2 содержит каталог всех функциональных компонентов, семейств и классов требований безопасности, являющихся основой для обеспечения функциональных требований безопасности, отражаемых в профиле защиты (ПЗ) или задании по безопасности (ЗБ). Эти требования описывают необходимый режим функционирования объекта оценки (ОО) и направлены на достижение целей безопасности, определяемых в ПЗ или ЗБ. Часть 3 содержит каталог всех компонентов, семейств и классов доверия, являющихся основой для требований доверия к безопасности, отражаемых в профиле защиты (ПЗ) или в задании по безопасности (ЗБ). Кроме того, в данной части определены критерии оценки профилей защиты и заданий по безопасности и представлены оценочные уровни доверия (ОУД), которые устанавливают предопределенную в ИСО/МЭК 15408 шкалу ранжирования доверия к ОО. Понятия безопасности и их взаимосвязь В стандарте приведены понятия:  базовая стойкость функции безопасности (СФБ) соответствует уровню стойкости функции безопасности ОО, при котором достигается адекватная защита от случайного нарушения безопасности ОО нарушителями с низким потенциалом нападения;  высокая СФБ соответствует уровню стойкости функции безопасности ОО, на котором достигается адекватная защита от тщательно спланированного и организованного нарушения безопасности ОО нарушителями с высоким потенциалом нападения;  средняя СФБ соответствует уровню стойкости функции безопасности ОО, на котором достигается адекватная защита от прямого или умышленного нарушения безопасности ОО нарушителями с умеренным потенциалом нападения. В модели Общих критериев выполняется оценка продукта, после чего ему присваивается Оценочный уровень гарантий (EAL – Evaluation Assurance Level). Исчерпывающее и строгое тестирование, основанное на ориентированных на детали задачах, повышает уровень гарантий. Общие критерии имеют семь уровней гарантий в диапазоне от «EAL1», где проводится тестирование функциональности, до «EAL7», где выполняется исчерпывающее тестирование и проверяется структура системы. Различные пакеты EAL приведены в списке:  EAL 1. Функционально протестировано  EAL 2. Структурно протестировано  EAL 3. Методически протестировано и сверено  EAL 4. Методически проработано, протестировано и проанализировано  EAL 5. Полуформально проработано и протестировано  EAL 6. Полуформально проработано и протестировано с подтверждением  EAL 7. Формально проработано и протестировано с подтверждением 6.1.3 Информационная безопасность распределенных систем. Рекомендации X.800. Сетевые сервисы безопасности Функции (сервисы) безопасности Аутентификация. Данная функция обеспечивает аутентификацию партнеров по общению и аутентификацию источника данных. Аутентификация партнеров по общению используется при установлении соединения. Аутентификация источника данных — это подтверждение подлинности источника отдельной порции данных. Управление доступом. Управление доступом обеспечивает защиту от несанкционированного использования ресурсов, доступных по сети. Конфиденциальность данных. Данная функция обеспечивает защиту от несанкционированного получения информации. Различают следующие виды конфиденциальности:  конфиденциальность данных при общении с установлением соединения;  конфиденциальность данных при общении без установления соединения;  конфиденциальность отдельных полей данных (избирательная конфиденциальность);  конфиденциальность трафика (защита информации, которую можно получить, анализируя трафик). Целостность данных. Данная функция подразделяется на подвиды в зависимости от того, какой тип общения используют партнеры с установлением соединения или без такового, защищаются ли все данные или только отдельные поля, обеспечивается ли восстановление в случае нарушения целостности. Неотказуемость.   Данная функция (невозможность отказаться от совершенных действий) обеспечивает два вида услуг: неотказуемость с подтверждением подлинности источника данных; неотказуемость с подтверждением доставки. Побочным продуктом неотказуемости является аутентификация источника данных. Таблица «Распределение функций безопасности по уровням эталонной семиуровневой модели» Х.800 6.1.3.1 Сетевые механизмы безопасности Для реализации функций безопасности могут использоваться следующие механизмы безопасности: Шифрование. Шифрование подразделяется на симметричное и асимметричное. Различают также обратимое и необратимое шифрование. Электронная (цифровая) подпись.   Механизм электронной подписи включает в себя две процедуры: выработку подписи; проверку подписанной порции данных. Механизмы управления доступом. При принятии решений по поводу предоставления запрашиваемого типа доступа могут использоваться следующие виды и источники информации:  Базы данных управления доступом.  Пароли или иная аутентификационная информация.  Токены, билеты или иные удостоверения, предъявление которых свидетельствует о наличии прав доступа.  Метки безопасности, ассоциированные с субъектами и объектами доступа.  Время запрашиваемого доступа.  Маршрут запрашиваемого доступа.  Длительность запрашиваемого доступа. Механизмы управления доступом могут располагаться на любой из общающихся сторон или в промежуточной точке. В промежуточных точках целесообразно проверять права доступа к коммуникационным ресурсам. Очевидно, требования механизма, расположенного на приемном конце, должны быть известны заранее, до начала общения. Механизмы контроля целостности данных. Различают два аспекта целостности: • целостность отдельного сообщения или поля информации; • целостность потока сообщений или полей информации. Процедура контроля целостности отдельного сообщения (поля) включает в себя два процесса — один на передающей стороне, другой на приемной. На передающей стороне к сообщению добавляется избыточная информация, которая является функцией от сообщения (та или иная разновидность контрольной суммы). На приемной стороне независимо генерируется контрольная сумма полученного сообщения с последующим сравнением результатов. Данный механизм сам по себе не защищает от дублирования сообщений. Для проверки целостности потока сообщений (то есть для защиты от кражи, переупорядочивания, дублирования и вставки сообщений) используются порядковые номера, временные штампы, криптографическое связывание (когда результат шифрования очередного сообщения зависит от предыдущего) или иные аналогичные приемы. Механизмы аутентификации. Аутентификация может достигаться за счет использования паролей, личных карточек или иных устройств аналогичного назначения, криптографических методов (когда демонстрируется знание секретного ключа), устройств измерения и анализа биометрических характеристик. Аутентификация бывает односторонней (обычно клиент доказывает свою подлинность серверу) и двусторонней (взаимной). Пример односторонней аутентификации — процедура входа пользователя в систему ( сотовая связь – базовая станция не аутентифицируется). Механизмы дополнения трафика. Механизмы дополнения трафика, разумеется, эффективны только в сочетании со средствами обеспечения конфиденциальности, поскольку в противном случае злоумышленнику будет очевиден фиктивный характер дополнительных сообщений. Механизмы управления маршрутизацией. Маршруты могут выбираться статически или динамически. Оконечная система, зафиксировав неоднократные атаки на определенном маршруте, может отказаться от его использования. На выбор маршрута способна повлиять метка безопасности, ассоциированная с передаваемыми данными. Механизмы нотаризации. Механизм нотаризации служит для заверения таких коммуникационных характеристик, как целостность, время, личности отправителя и получателей. Заверение обеспечивается надежной третьей стороной, которая обладает достаточной информацией, чтобы ее заверениям можно было доверять. Обычно нотаризация опирается на механизм электронной подписи. 7. Руководящие документы Гостехкомиссии России/ФСТЭК        Защита от несанкционированного доступа к информации. Термины и определения. Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищённости от несанкционированного доступа к информации. Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа. Показатели защищённости от несанкционированного доступа к информации. Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей. Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных 7.1. Основные положения концепции защиты СВТ и АС от НСД к информации Основные способы НСД непосредственно е обращение создание программных и технических средств, выполняющих обращение модификация средств защиты/внедрение программных закладок внедрение в технические средства СВТ или АС программных или технических механизмов/загрузка компьютера в обход штатной операционной системы Принципы защиты от НСД законы, стандарты и нормативнометодические документы на всех технологических этапах обработки информации и во всех режимах функционирования комплекс программнотехнических средств программнотехнические средства защиты не должны существенно ухудшать основные функциональные характеристики АС комплекс программнотехнических средств и поддерживающие их организационные меры оценка эффективности средств защиты контроль эффективности средств защиты от НСД 7.2. Автоматизированные системы. Защита от НСД к информации. Показатели защищенности Автоматизированные системы Третья группа Вторая группа Однопользовательская Многопользовательские с равными полномочиями Первая группа Многопользовательские с разными полномочиями Уровни конфиденциальности информации Не секретно ОВ, СС, С Класс защищенности от НСД 3Б 3А Не секретно ОВ, СС, С Не Не секретно секретно Класс защищенности от НСД 2Б 2А С СС ОВ Класс защищенности от НСД 1Д 1Г 1В 1Б 1А Если объединяются АС различных классов защищенности, то интегрированная АС должна классифицироваться по высшему классу защищенности входящих в нее АС, за исключением случаев их объединения посредством межсетевого экрана, когда каждая из объединяющихся АС может сохранять свой класс защищенности. Требования к защищенности автоматизированных систем Подсистемы и требования Классы 3Б 3А 2Б 2А 1Д 1Г 1В 1Б 1А 1. Подсистема управления доступом 1.1. Идентификация, проверка подлинности и контроль доступа субъектов: в систему; + + + + + + + + + к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ; к программам; - - - + + - + + + + + + + + - - - + + - + - + + + + + + + + + + + + + + + выдачи печатных (графических) выходных документов; - + - + - + + + + запуска/завершения программ и процессов (заданий, задач); - - - + - + + + + - - - + - - + - + + + + + + - - - + - - + + + к томам, каталогам, файлам, записям, полям записей. 1.2. Управление потоками информации 2. Подсистема регистрации и учета 2.1. Регистрация и учет: входа/выхода субъектов доступа в/из системы (узла сети); доступа программ субъектов доступа к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ, программам, томам, каталогам, файлам, записям, полям записей; изменения полномочий субъектов доступа; создаваемых защищаемых объектов доступа. Подсистемы и требования 2.2. Учет носителей информации. 2.3. Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей. 2.4. Сигнализация попыток нарушения защиты. 3. Криптографическая подсистема 3.1. Шифрование конфиденциальной информации. 3.2. Шифрование информации, принадлежащей различным субъектам доступа (группам субъектов) на разных ключах. 3.3. Использование аттестованных (сертифицированных) криптографических средств. 4. Подсистема обеспечения целостности 4.1. Обеспечение целостности программных средств и обрабатываемой информации. 4.2. Физическая охрана средств вычислительной техники и носителей информации. 4.3. Наличие администратора (службы защиты) информации в АС. 4.4. Периодическое тестирование СЗИ НСД. 4.5. Наличие средств восстановления СЗИ НСД. 4.6. Использование сертифицированных средств защиты. "–" нет требований к данному классу; "+" есть требования к данному классу; Классы 3Б 3А 2Б 2А 1Д 1Г 1В 1Б 1А + + + + + + + + + - + - - + - - + - + + + + + + - - - + - - - + + - - - - - - - - + - - - + - - - + + + + + + + + + + + + + + + + + + + + + + - + + + + + - + + + + + + - + + - + + + + + + + + + + + + 7.3. Информационные системы персональных данных. Уровни защищенности информации 1.Специальные персональные данные - сведения, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни 2. Биометрические персональные данные - сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных 3. Общедоступные персональные данные (в том числе справочники, адресные книги) – сведения, полученные с письменного согласия субъекта персональных данных, могут включать его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, сообщаемые субъектом персональных данных. Оператор персональных данных - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Он несет ответственность за безопасность персональных данных перед субъектом персональных данных    Типы актуальных угроз: угрозы 1-го типа связанны с наличием недекларированных возможностей в системном ПО, используемом в ИСПДн; угрозы 2-го типа связанны с наличием недекларированных возможностей в прикладном ПО, используемом в ИСПДн; угрозы 3-го типа не связаны с наличием недекларированных возможностей в программном обеспечении, используемом в ИСПДн. Требования к средствам защиты информации в ИСПДн Уровни защищенности ИСПДн 1,2 УЗ 3 УЗ 4 УЗ Тип угрозы ИСПДн Международ ный обмен данными 1 да 2 да 3 нет 2 да 3 нет Класс СВТ Не ниже 5 Класс СОВ и САВЗ Не ниже 4 Класс МЭ Не ниже 3 Уровень контроля отсутствия НДВ в ПО СЗИ Не ниже 4 Не ниже 4 Не ниже 5 Не ниже 6 Не ниже 4 Не ниже 3 Не ниже 5 Не ниже 4 Не ниже 5 Не ниже 5 Не ниже 4 7.4. Государственные информационные системы. Показатели защищенности Уровень значимости информации Масштаб информационной системы Федеральный Региональный Объектовый УЗ 1 К1 К1 К1 УЗ 2 К1 К2 К2 УЗ 3 К2 К3 К3 УЗ 4 К3 К3 К4 Класс защищенности (К) = [уровень значимости информации; масштаб системы]. Уровень значимости информации определяется степенью возможного ущерба для обладателя информации (заказчика) и (или) оператора от нарушения конфиденциальности (неправомерные доступ, копирование, предоставление или распространение), целостности (неправомерные уничтожение или модифицирование) или доступности (неправомерное блокирование) информации. Уровень значимости (УЗ) = [(конфиденциальность, степень ущерба) (целостность, степень ущерба) (доступность, степень ущерба)], где степень возможного ущерба определяется обладателем информации (заказчиком) и (или) оператором самостоятельно экспертным или иными методами Уровень значимости информации УЗ 1 - Высокий уровень значимости информации. Нарушение конфиденциальности или целостности или доступности приводит к существенным негативным последствиям в социальной, политической, международной, экономической, финансовой или иных областях деятельности и оператор не может выполнять возложенные на него функции УЗ 2 - Средний уровень значимости информации (нет ни одного свойства, для которого определена высокая степень ущерба). Нарушение конфиденциальности или целостности или доступности приводит к умеренным негативным последствиям в социальной, политической, международной, экономической, финансовой или иных областях деятельности и оператор не может выполнять хотя бы одну из возложенных на них функций. УЗ 3 - Низкий уровень значимости информации (для всех свойств определены низкие степени ущерба). Нарушение конфиденциальности или целостности или доступности приводит к незначительным негативным последствиям в социальной, политической, международной, экономической, финансовой или иных областях деятельности и оператор может выполнять возложенные на него функции с недостаточной эффективностью или выполнение функций возможно только с привлечением дополнительных сил и средств. УЗ 4 - Минимальный уровень значимости информации. Степень ущерба от нарушения конфиденциальности, целостности, доступности не может быть определена При обработке в ГИС двух и более видов информации (служебная тайна, налоговая тайна и иные установленные законодательством Российской Федерации виды информации ограниченного доступа) уровень значимости информации (УЗ) определятся отдельно для каждого вида информации. Итоговый уровень значимости информации, обрабатываемой в ГИС, устанавливается по наивысшим значениям степени возможного ущерба, определенным для конфиденциальности, целостности, доступности информации каждого вида информации. Требования к средствам защиты информации в ГИС Класс ГИС 1,2 Класс СВТ Не ниже 5 Класс СОВ и САВЗ Класс МЭ Обмен данными с международн ыми ИС Не ниже 3 да Не ниже 4 Не ниже 4 нет Не ниже 4 Не ниже 3 да нет 3 Не ниже 5 Не ниже 5 Не ниже 4 4 Не ниже 5 Не ниже 5 Не ниже 4 Уровень контроля отсутствия НДВ в ПО СЗИ Не ниже 4 ГИС 1 класса защищенности обеспечивают 1, 2, 3 и 4 уровни защищенности ПДн; ГИС 2 класса защищенности обеспечивают 2, 3 и 4 уровни защищенности ПДн; ГИС 3 класса защищенности обеспечивают 3 и 4 уровни защищенности ПДн; ГИС 4 класса защищенности, обеспечивают 4 уровень защищенности ПДн. Сравнительная таблица мер защиты информации в ГИС с содержанием мер по обеспечению безопасности персональных данных Условное обозначение и номер меры Меры защиты информации в ГИС и содержание мер по обеспечению безопасности персональных данных Классы защищенности информационной системы Уровни защищенности персональных данных 4 3 2 1 4 3 2 1 I. Идентификация и аутентификация субъектов доступа и объектов доступа (ИАФ) должны обеспечивать присвоение субъектам и объектам доступа уникального признака (идентификатора), сравнение предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов, а также проверку принадлежности субъекту (объекту) доступа предъявленного им идентификатора (подтверждение подлинности) ИАФ.1 Идентификация и аутентификация пользователей, являющихся работниками оператора + + + + + + + + Идентификация и аутентификация устройств, в том числе стационарных, мобильных и ИАФ.2 + + + + портативных Управление идентификаторами, в том числе создание, присвоение, уничтожение ИАФ.3 + + + + + + + + идентификаторов II. Управление доступом субъектов доступа к объектам доступа (УПД) должны обеспечивать управление правами и привилегиями субъектов доступа, разграничение доступа субъектов доступа к объектам доступа на основе совокупности установленных в информационной системе правил разграничения доступа, а также обеспечивать контроль соблюдения этих правил Управление (заведение, активация, блокирование и уничтожение) учетными записями УПД.1 + + + + + + + + пользователей, в том числе внешних пользователей Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения + УПД.2 + + + + + + + доступа Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между УПД.3 + + + + + + устройствами, сегментами информационной системы, а также между информационными системами Ограничение неуспешных попыток входа в информационную систему (доступа к УПД.6 + + + + + + + + информационной системе) III. Ограничение программной среды (ОПС) должны обеспечивать установку и (или) запуск только разрешенного к использованию в информационной системе программного обеспечения или исключать возможность установки и (или) запуска запрещенного к использованию в информационной системе программного обеспечения Установка (инсталляция) только разрешенного к использованию программного + + + + + обеспечения и (или) его компонентов IV. Защита машинных носителей информации (ЗНИ) должны исключать возможность несанкционированного доступа к машинным носителям и хранящейся на них информации, а также несанкционированное использование съемных машинных носителей информации Учет машинных носителей информации ЗНИ.1 + + + + + + Контроль использования интерфейсов ввода (вывода) информации на машинные носители ЗНИ.5 + + информации Уничтожение (стирание) информации на машинных носителях при их передаче между пользователями, в сторонние организации для ремонта или утилизации, а также контроль + ЗНИ.8 + + + + + + уничтожения (стирания) (обезличивания) V. Регистрация событий безопасности (РСБ) должны обеспечивать сбор, запись, хранение и защиту информации о событиях безопасности в информационной системе, а также возможность просмотра и анализа информации о таких событиях и реагирование на них Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и РСБ.5 + + + + + + реагирование на них Генерирование временных меток и (или) синхронизация системного времени в РСБ.6 + + + + информационной системе Защита информации о событиях безопасности РСБ.7 + + + + + + + + VI. Антивирусная защита (АВЗ) должны обеспечивать обнаружение в информационной системе компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирование на обнаружение этих программ и информации Реализация антивирусной защиты АВЗ.1 + + + + + + + + Обновление базы данных признаков вредоносных компьютерных программ (вирусов) АВЗ.2 + + + + + + + + ОПС.3 VII. Обнаружение вторжений (СОВ) должны обеспечивать обнаружение действий в информационной системе, направленных на преднамеренный несанкционированный доступ к информации, специальные воздействия на информационную систему и (или) информацию в целях ее добывания, уничтожения, искажения и блокирования доступа к информации, а также реагирование на эти действия Обнаружение вторжений СОВ.1 + + + + Обновление базы решающих правил СОВ.2 + + + + VIII. Контроль (анализ) защищенности информации (АНЗ) должны обеспечивать контроль уровня защищенности информации, содержащейся в информационной системе, путем проведения мероприятий по анализу защищенности информационной системы и тестированию ее системы защиты информации Выявление, анализ уязвимостей информационной системы и оперативное устранение АНЗ.1 + + + + + + вновь выявленных уязвимостей Контроль состава технических средств, программного обеспечения и средств защиты АНЗ.4 + + + + + + информации Контроль правил генерации и смены паролей пользователей, заведения и удаления учетных записей пользователей, реализации правил разграничения доступом, полномочий АНЗ.5 + + + + + пользователей в информационной системе IX. Обеспечение целостности информационной системы и информации (ОЦЛ) должны обеспечивать обнаружение фактов несанкционированного нарушения целостности информационной системы и содержащейся в ней информации, а также возможность восстановления информационной системы и содержащейся в ней информации Контроль целостности программного обеспечения, включая программное обеспечение ОЦЛ.1 + + + + средств защиты информации Обеспечение возможности восстановления программного обеспечения, включая программное обеспечение средств защиты информации, при возникновении нештатных + ОЦЛ.3 + + + ситуаций ОЦЛ.6 Ограничение прав пользователей по вводу информации в информационную систему + X. Обеспечение доступности информации (ОДТ) должны обеспечивать авторизованный доступ пользователей, имеющих права по такому доступу, к информации, содержащейся в информационной системе, в штатном режиме функционирования информационной системы Использование отказоустойчивых технических средств ОДТ.1 + Резервирование технических средств, программного обеспечения, каналов передачи информации, средств обеспечения функционирования информационной системы ОДТ.2 + ОДТ.4 Периодическое резервное копирование информации на резервные машинные носители информации + + + + XI. Защита среды виртуализации (ЗСВ) должны исключать несанкционированный доступ к информации, обрабатываемой в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры, а также воздействие на информацию и компоненты, в том числе к средствам управления виртуальной инфраструктурой, монитору виртуальных машин (гипервизору), системе хранения данных (включая систему хранения образов виртуальной инфраструктуры), сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевым операционным системам, виртуальным машинам (контейнерам), системе и сети репликации, терминальным и виртуальным устройствам, а также системе резервного копирования и создаваемым ею копиям ЗСВ.1 ЗСВ.10 Идентификация и аутентификация субъектов доступа и объектов доступа в виртуальной инфраструктуре, в том числе администраторов управления средствами виртуализации Разбиение виртуальной инфраструктуры на сегменты (сегментирование виртуальной инфраструктуры) для обработки информации отдельным пользователем и (или) группой пользователей + + + + + + + + + + + + + XII. Защита технических средств (ЗТС) должны исключать несанкционированный доступ к стационарным техническим средствам, обрабатывающим информацию, средствам, обеспечивающим функционирование информационной системы (далее – средства обеспечения функционирования), и в помещения, в которых они постоянно расположены, защиту технических средств от внешних воздействий, а также защиту информации, представленной в виде информативных электрических сигналов и физических полей Защита информации, обрабатываемой техническими средствами, от ее утечки по ЗТС.1 техническим каналам Организация контролируемой зоны, в пределах которой постоянно размещаются стационарные технические средства, обрабатывающие информацию, и средства защиты + ЗТС.2 + + + информации, а также средства обеспечения функционирования Контроль и управление физическим доступом к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены, исключающие несанкционированный ЗТС.3 + + + + + + + физический доступ к средствам обработки информации, средствам защиты информации и + средствам обеспечения функционирования информационной системы и помещения и сооружения, в которых они установлены ЗТС.5 Защита от внешних воздействий (воздействий окружающей среды, нестабильности электроснабжения, кондиционирования и иных внешних факторов) + XIII. Защита информационной системы, ее средств, систем связи и передачи данных (ЗИС) должны обеспечивать защиту информации при взаимодействии информационной системы или ее отдельных сегментов с иными информационными системами и информационно-телекоммуникационными сетями посредством применения архитектуры информационной системы, проектных решений по ее системе защиты информации, направленных на обеспечение защиты информации Запрет несанкционированной удаленной активации видеокамер, микрофонов и иных периферийных устройств, которые могут активироваться удаленно, и оповещение + ЗИС. 5 + + + пользователей об активации таких устройств Контроль санкционированного и исключение несанкционированного использования технологий передачи речи, в том числе регистрация событий, связанных с использованием ЗИС.8 + + технологий передачи речи, их анализ и реагирование на нарушения, связанные с использованием технологий передачи речи Контроль санкционированной и исключение несанкционированной передачи видеоинформации, в том числе регистрация событий, связанных с передачей ЗИС.9 + + видеоинформации, их анализ и реагирование на нарушения, связанные с передачей видеоинформации Выявление, анализ и блокирование в информационной системе скрытых каналов передачи информации в обход реализованных мер защиты информации или внутри разрешенных ЗИС.16 сетевых протоколов Разбиение информационной системы на сегменты (сегментирование информационной ЗИС.17 + + + + системы) и обеспечение защиты периметров сегментов информационной системы Защита беспроводных соединений, применяемых в информационной системе ЗИС.20 + + + + + + XIV. Выявление инцидентов и реагирование на них (ИНЦ) должны обеспечивать обнаружение, идентификацию, анализ инцидентов в информационной системе, а также принятие мер по устранению и предупреждению инцидентов Определение лиц, ответственных за выявление инцидентов и реагирование на них ИНЦ.1 + + Обнаружение, идентификация и регистрация инцидентов ИНЦ.2 + + Своевременное информирование лиц, ответственных за выявление инцидентов и реагирование на них, о возникновении инцидентов в информационной системе ИНЦ.3 + + пользователями и администраторами Анализ инцидентов, в том числе определение источников и причин возникновения ИНЦ.4 + + инцидентов, а также оценка их последствий Планирование и принятие мер по предотвращению повторного возникновения ИНЦ.6 + + инцидентов XV. Управление конфигурацией информационной системы и системы защиты персональных данных (УКФ) должны обеспечивать управление изменениями конфигурации информационной системы и системы защиты персональных данных, анализ потенциального воздействия планируемых изменений на обеспечение безопасности персональных данных, а также документирование этих изменений УКФ.1 Определение лиц, которым разрешены действия по внесению изменений в конфигурацию информационной системы и системы защиты персональных данных + + + УКФ.2 Управление изменениями конфигурации информационной системы и системы защиты персональных данных + + + УКФ.4 Документирование информации (данных) об изменениях информационной системы и системы защиты персональных данных + + + в конфигурации 7.5. Средства вычислительной техники. Защита от НСД к информации. Показатели защищенности Средства вычислительной техники Уровни конфиденциальности Государственная тайна ОВ СС С Не секретная информация Классы защищенности от НСД Верификационная защита 1=1А,2А,3А+ (1-4)ГИС Мандатная защита 2 =1А,2А,3А+ (1-4) ГИС 3=1Б,2А,3А +(1-4)ГИС 4=1В,2А,3А+ (1-4)ГИС Дискреционная защита 5=1Г, 2Б, 3Б+(1-4)ГИС 6= 1Д Требования к защищенности средств вычислительной техники Класс защищенности Показатели защищенности по классам СВТ Наименование показателя 6 5 4 3 2 1 1. Дискреционный принцип контроля доступа + + + = + = 2. Мандатный принцип контроля доступа - - + = = = 3. Очистка памяти 4. Изоляция модулей 5. Маркировка документов - + - + + + + = = = + = = = = 6. Защита ввода и вывода на отчуждаемый физический носитель информации - - + = = = 7. Сопоставление пользователя с устройством - - + = = = 8. Идентификация и аутентификация + = + = = = 9. Гарантия проектирования 10. Регистрация - + + + + + + + = + = Класс защищенности Показатели защищенности по классам СВТ Наименование показателя 6 5 4 3 2 1 11. Взаимодействие пользователя с КСЗ - - - + = = 12. Надежное восстановление 13. Целостность КСЗ 14. Контроль модификации 15. Контроль дистрибуции 16. Гарантии архитектуры 17. Тестирование + + + + + + + + = = + + + = = = = + = 18. Руководство пользователя + = = = = = 19. Руководство по КСЗ 20. Текстовая документация + + + + = + + + + + = = 21. Конструкторская (проектная) документация + + + + + + Обозначения: "-" - нет требований к данному классу; "+" - новые или дополнительные требования; "=" требования совпадают с требованиями к СВТ предыдущего класса; КСЗ - комплекс средств защиты. 7.6. Средства вычислительной техники. Межсетевые экраны. Защита от НСД к информации. Показатели защищенности Межсетевой экран (МЭ) - это локальное (однокомпонентное) или функционально - распределенное программное (программноаппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в АС и/или выходящей из АС. Межсетевой экран обеспечивает защиту АС посредством фильтрации информации, т.е. ее анализа по совокупности критериев и принятия решения о ее распространении в (из) АС на основе заданных правил, проводя таким образом разграничение доступа субъектов из одной АС к объектам другой АС. Каждое правило запрещает или разрешает передачу информации определенного вида между субъектами и объектами. Интерпретация набора правил выполняется последовательностью фильтров, которые разрешают или запрещают передачу данных (пакетов) на следующий фильтр или уровень протокола. Правила фильтрации - перечень условий по которым с использованием заданных критериев фильтрации осуществляется разрешение или запрещение дальнейшей передачи пакетов (данных) и перечень действий, производимых МЭ по регистрации и/или осуществлению дополнительных защитных функций. Критерии фильтрации - параметры, атрибуты, характеристики, на основе которых осуществляется разрешение или запрещение дальнейшей передачи пакета (данных) в соответствии с заданными правилами разграничения доступа (правилами фильтрации). В качестве таких параметров могут использоваться служебные поля пакетов (данных), содержащие сетевые адреса, идентификаторы, адреса интерфейсов, портов и другие значимые данные, а также внешние характеристики, например, временные, частотные характеристики, объем данных и т.п. Экранирование - функция МЭ, позволяющая поддерживать безопасность объектов внутренней области, игнорируя несанкционированные запросы из внешней области. В результате экранирования уменьшается уязвимость внутренних объектов, поскольку первоначально сторонний нарушитель должен преодолеть экран, где защитные механизмы сконфигурированы особенно тщательно и жестко. Экранирование дает также возможность контролировать информационные потоки, направленные во внешнюю область, что способствует поддержанию во внутренней области режима конфиденциальности. Помимо функций разграничения доступа, экраны осуществляют регистрацию информационных обменов. В Требованиях от 2016 года выделены следующие типы межсетевых экранов: • межсетевой экран уровня сети (тип «А» = уровень сети) – межсетевой экран, применяемый на физической границе (периметре) информационной системы или между физическими границами сегментов информационной системы. Межсетевые экраны типа «А» могут иметь только программно-техническое исполнение; • межсетевой экран уровня логических границ сети (тип «Б» = уровень логических границ сети) – межсетевой экран, применяемый на логической границе (периметре) информационной системы или между логическими границами сегментов информационной системы. Межсетевые экраны типа «Б» могут иметь программное или программно-техническое исполнение; • межсетевой экран уровня узла (тип «В» = уровень узла) – межсетевой экран, применяемый на узле (хосте) информационной системы. Межсетевые экраны типа «В» могут иметь только программное исполнение и устанавливаются на мобильных или стационарных технических средствах конкретного узла информационной системы; • межсетевой экран уровня веб-сервера (тип «Г» = уровень Web-сервера) – межсетевой экран, применяемый на сервере, обслуживающем сайты, веб-службы и веб-приложения, или на физической границе сегмента таких серверов (сервера). Межсетевые экраны типа «Г» могут иметь программное или программно-техническое исполнение и должны обеспечивать контроль и фильтрацию информационных потоков по протоколу передачи гипертекста, проходящих к веб-серверу и от веб-сервера; • межсетевой экран уровня промышленной сети (тип «Д» = промышленные МСЭ) – межсетевой экран, применяемый в автоматизированной системе управления технологическими или производственными процессами. Межсетевые экраны типа «Д» могут иметь программное или программно-техническое исполнение и должны обеспечивать контроль и фильтрацию промышленных протоколов передачи данных (Modbus, Profibus, CAN, HART, IndustrialEthernet и (или) иные протоколы). Для дифференциации требований к функциям безопасности межсетевых экранов выделяются шесть классов защиты межсетевых экранов. Самый низкий класс – шестой, самый высокий – первый. Межсетевые экраны, соответствующие 6 классу защиты, применяются в государственных информационных системах 3 и 4 классов защищенности*, в автоматизированных системах управления производственными и технологическими процессами 3 класса защищенности**, в информационных системах персональных данных при необходимости обеспечения 3 и 4 уровней защищенности персональных данных***. Межсетевые экраны, соответствующие 5 классу защиты, применяются в государственных информационных системах 2 класса защищенности*, в автоматизированных системах управления производственными и технологическими процессами 2 класса защищенности***, в информационных системах персональных данных при необходимости обеспечения 2 уровня защищенности персональных данных**. Межсетевые экраны, соответствующие 4 классу защиты, применяются в государственных информационных системах 1 класса защищенности*, в автоматизированных системах управления производственными и технологическими процессами 1 класса защищенности**, в информационных системах персональных данных при необходимости обеспечения 1 уровня защищенности персональных данных***, в информационных системах общего пользования II класса****. Межсетевые экраны, соответствующие 3, 2 и 1 классам защиты, применяются в информационных системах, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну. Примечания: * Устанавливается в соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. N 17 (зарегистрирован Минюстом России 31 мая 2013 г., регистрационный N 28608). ** Устанавливается в соответствии с Требованиями к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды, утвержденными приказом ФСТЭК России от 14 марта 2014 г. N 31 (зарегистрирован Минюстом России 30 июня 2014 г., регистрационный N 32919). *** Устанавливается в соответствии Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012 г., N 1119. **** Устанавливается в соответствии с Требованиями о защите информации, содержащейся в информационных системах общего пользования, утвержденными приказом ФСБ России и ФСТЭК России от 31 августа 2010 г. N 416/489 (зарегистрирован Минюстом России 13 октября 2010 г., регистрационный N 18704). Требования к межсетевым экранам Показатели защищенности Классы защищенности 6 5 4 3 2 1 Управление доступом (фильтрация данных и трансляция адресов) + + + + = Идентификация и аутентификация - - + = + Регистрация - + + + = Администрирование: идентификация и аутентификация + = + + + Администрирование: регистрация + + + = = Администрирование: простота использования - - + = + Целостность + = + + + Восстановление + = = + + Тестирование + + + + + Руководство администратора защиты Оповещение о критичных видах событий Маскирование наличия МСЭ Приоритезация информационных потоков Взаимодействие с другими СЗИ + = = = = введено с 2016 года 7.7. Защита от НСД. Часть 1. Программное обеспечение СЗИ. Классификация по уровню контроля отсутствия недекларированных возможностей Программное обеспечение СЗИ по уровню контроля отсутствия в нем недекларированных возможностей Уровни конфиденциальности Государственная тайна ОВ СС Не секретная информация С Класс защищенности от НДВ 1=1А,2А,3А 2=1Б,2А,3А 3=1В,2А,3А 4=1Г,2Б,3Б + 1,2ГИС Недекларированные возможности - функциональные возможности ПО, не описанные или не соответствующие описанным в документации ПО, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации. Реализацией недекларированных возможностей, в частности, являются программные закладки. Программные закладки – преднамеренно внесенные в ПО функциональные объекты, которые при определенных условиях (входных данных) инициируют выполнение не описанных в документации функций ПО, приводящих к нарушению конфиденциальности, доступности или целостности обрабатываемой информации. Механизмы обнаружения программных закладок: Статический анализ исходных текстов программ – совокупность методов контроля (не)соответствия реализованных и декларированных в документации функциональных возможностей ПО, основанных на структурном анализе и декомпозиции исходных текстов программ. Статический анализ исходных текстов программ должен включать следующие технологические операции: - контроль полноты и отсутствия избыточности исходных текстов ПО на уровне файлов; - контроль соответствия исходных текстов ПО его объектному (загрузочному) коду. Динамический анализ исходных текстов программ – совокупность методов контроля (не)соответствия реализованных и декларированных в документации функциональных возможностей ПО, основанных на идентификации фактических маршрутов выполнения функциональных объектов с последующим сопоставлением маршрутам, построенным в процессе проведения статического анализа. Динамический анализ исходных текстов программ должен включать следующие технологические операции: - контроль выполнения функциональных объектов (процедур, функций); - сопоставление фактических маршрутов выполнения функциональных объектов (процедур, функций) и маршрутов, построенных в процессе проведения статического анализа. Требования к уровню контроля N Наименование требования Уровень контроля 4 3 2 1 Требования к документации 1 Контроль состава и содержания документации 1.1. Спецификация (ГОСТ 19.202-78) + = = = 1.2. Описание программы (ГОСТ 19.402-78) + = = = 1.3. Описание применения (ГОСТ 19.502-78) + = = = 1.4. Пояснительная записка (ГОСТ 19.404-79) - + = = 1.5. Тексты программ, входящих в состав ПО (ГОСТ 19.401-78) Требования к содержанию испытаний 2. Контроль исходного состояния ПО + = = = + = = = 3.1. Контроль полноты и отсутствия избыточности исходных текстов + + + = 3.2. Контроль соответствия исходных текстов ПО его объектному (загрузочному) коду + = = + 3. Статический анализ исходных текстов программ Наименование требования N Уровень контроля 4 3 2 1 3.3. Контроль связей функциональных объектов по управлению - + = = 3.4. Контроль связей функциональных объектов по информации - + = = 3.5. Контроль информационных объектов - + = = 3.6. Контроль наличия заданных конструкций в исходных текстах - - + + 3.7. Формирование перечня маршрутов выполнения функциональных объектов - + + = 3.8. Анализ критических маршрутов выполнения функциональных объектов - - + = - - + = - + + = Сопоставление фактических маршрутов выполнения функциональных объектов и маршрутов, построенных в процессе проведения статического анализа - + + = Отчетность + + + + 3.9. 4. Анализ алгоритма работы функциональных объектов на основе блок-схем, диаграмм и т. п., построенных по исходным текстам контролируемого ПО Динамический анализ исходных текстов программ 4.1. Контроль выполнения функциональных объектов 4.2. 5. Обозначения "-" - нет требований к данному уровню; "+" - новые или дополнительные требования; "=" - требования совпадают с требованиями предыдущего уровня. 7.8. Системы обнаружения вторжений Основными компонентами СОВ являются датчик(и) и анализатор(ы) СОВ. Датчики собирают информацию о сетевом трафике, поступающем в ИС (сегменты ИС), осуществляют первичный анализ и направляют эту информацию (данные) анализатору. Анализатор выполняет анализ собранных данных, уведомляют администраторов СОВ об обнаруженных вторжениях, выполняют другие действия по реагированию, генерируют отчеты на основе собранной информации (данных). Датчики уровня сети могут устанавливаться в разрыв канала связи контролируемого сегмента ИС; путем подключения к портам сетевого оборудования ИС, а также быть интегрированными в межсетевые экраны или в коммуникационное оборудование ИС. Анализатор должен обладать следующими функциональными возможностями: • принимать данные от датчиков; • обрабатывать данные с целью выявления вторжений; • реагировать на выявленные вторжения. Реагирование может включать создание отчетов, отображение сообщения на консоли управления и иные возможности по реагированию. Решение об обнаружении вторжения СОВ принимает в соответствии с результатами анализа информации, собираемой сенсорами СОВ, с применением базы решающих правил СОВ. СОВ четвертого класса защиты уровня узла ИС СОВ пятого класса защиты в ИС уровня сети 7.9. Системы антивирусной защиты Установлено шесть классов защиты средств антивирусной защиты. Требования ужесточаются (на самом деле по функционалу несущественно) от шестого класса к первому. Самый низкий класс – шестой, самый высокий – первый. В открытом доступе находятся требования с 6-го до 4-го уровней включительно. Требования к остальным уровням в открытый доступ не выкладываются, имеют уровень секретности — ДСП. Предоставляются по запросу. САВЗ с 4-го по 6-го класс защиты применяются в информационных системах персональных данных и в государственных информационных системах, в которых обрабатывается информация ограниченного доступа, не содержащая сведения, составляющие государственную тайну. САВЗ с 1-го по 3-й класс защиты применяются в информационных системах, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну. Типы САВЗ тип «А» – предназначены для централизованного администрирования средствами антивирусной защиты, установленными на компонентах информационных систем (серверах, автоматизированных рабочих местах). САВЗ данного типа не применяются самостоятельно тип «Б» – предназначенны для применения на серверах информационных систем тип «В» – предназначенны для применения на автоматизированных рабочих местах информационных систем тип «Г» – предназначенны для применения на автономных автоматизированных рабочих местах Средства антивирусной защиты, должны обеспечивать: • возможность выполнения проверок с целью обнаружения зараженных вредоносными компьютерными программами ( КВ) объектов в файловых областях носителей информации; • возможность выполнения проверок с целью обнаружения зараженных КВ объектов по команде; • возможность выполнения проверок с целью обнаружения зараженных КВ объектов сигнатурными методами; • возможность получения и установки обновлений БД признаков КВ без применения средств автоматизации; • возможность генерирования записей аудита для событий, подвергаемых аудиту; • возможность чтения информации из записей аудита; • возможность ассоциации событий аудита с идентификаторами субъектов; • ограничение доступа к чтению записей аудита; • поиск, сортировку, упорядочение данных аудита; • возможность уполномоченным пользователям (ролям) управлять режимом выполнения функций безопасности САВЗ; • возможность уполномоченным пользователям (ролям) управлять параметрами настройки функций безопасности САВЗ; • поддержку определенных ролей для САВЗ и их ассоциации с конкретными администраторами безопасности и пользователями ИС. САЗ 4,5-го уровней защиты типа А САЗ 4,5-го уровней защиты типа Б САЗ 6-го уровня защиты типа В 7.10. Семейство ГОСТ Р ИСО/МЭК 27000-27011 - ISO/IEC 27000:2009 Система менеджмента информационной безопасности. Общий обзор и терминология; - ISO/IEC 27001:2005 Система менеджмента информационной безопасности. Требования; - ISO/IEC 27002:2005 Свод правил по управлению защитой информации; - ISO/IEC 27003 Руководство no реализации системы менеджмента информационной безопасности; - ISO/IEC 27004 Менеджмент информационной безопасности. Измерения; - ISO/IEC 27005:2008 Управление рисками информационной безопасности; - ISO/IEC 27006:2007 Требования для органов, обеспечивающих аудит и сертификацию систем менеджмента информационной безопасности; - ISO/IEC 27007 Руководство для аудитора СМИБ; - ISO/IEC 27011 Руководящие указания по управлению защитой информации организаций, предлагающих телекоммуникационные услуги, на основе ISO/IEC 27002. 7.10.1. Стандарт ГОСТ Р ИСО/МЭК 27001 Модель внедрения СМИБ В СМИБ используется цикл, включающий в себя разработку, анализ и пересмотр. Этот цикл известен как модель PDCA (Plan-Do-Check-Act, Цикл Деминга) Моделирование системы менеджмента информационной безопасности (СМИБ) направлено на: создание внедрение функционирование мониторинг анализ Защита информационных активов Оценка и управление рисками поддержка улучшение 7.10.2 Стандарт ГОСТ Р ИСО/МЭК 27002 Три основных источника требований безопасности организации Оценки рисков организации Правовые, законодательные, нормативные и договорные требования Принципы, цели и требования бизнеса для обработки информации Идентификация угроз и уязвимостей Для организации, ее торговых партнеров, подрядчиков и поставщиков услуг Обеспечение функционирования бизнеспроцессов организации Стандарт ГОСТ Р ИСО/МЭК 27002 дает детальное описание средств управления безопасностью, обеспечивающих защиту информации и информационных технологий. Средства управления ИБ Политика ИБ Утвердит ь руководст вом, издать и довести до сотрудник ов организац ии и соответст вующих сторонни х организац ий Организац ия ИБ Создать структуру и обеспечить безопасность информации и средств обработки информации организации и при вводе продуктов или сервисов сторонних организаций Управлени е активами Провести идентифика цию активов с установлени ем владельцев, классифика цию информации Безопасно сть персонала Роли и обязанности в области ИБ сотрудников, подрядчиков и представите лей третьей стороны необходимо определять и оформлять документаль но Физическа я защита и защита от воздействи я окружающ ей среды Предотвращ ать неавторизов анный физический доступ, повреждени еи воздействие в отношении помещений и информации Управление коммуника циями и работами Обеспечить требуемый уровень ИБ в организации , в т.ч. в соответстви ис договорами об оказании услуг третьей стороной Управление доступом Доступ к информаци и, средствам обработки информаци ии процессам бизнеса должен быть управляем ым с учетом требований бизнеса и безопаснос ти Приобрете ние, разработка и эксплуатац ия ИС Обеспечить в требования х для ИС наличие мер к ИБ: криптограф ических ; защите от утечек; измерение незащищен ности ИС Управлени е инцидента ми ИБ Управлен ие непрерыв ностью бизнеса соответс твие Обеспечить своевременн ое оповещение об инцидентах ИБ и предпринять корректиру ющее действие Обеспечит ь наличие мер по восстановл ению бизнеспроцесса после инцидента: тестирован ие; репетиции аварий Избежать нарушени й закона, правовых, нормативн ых или договорны х обязательс тв, а также любых требовани й безопасно сти 7.10.3 Стандарт ГОСТ Р ИСО/МЭК 27005 Процесс менеджмента риска информационной безопасности Обработка риска Общий риск = угроза х уязвимость х ценность актива Остаточный риск = (угроза х уязвимость х ценность актива) х недостаток контроля Этапы идентификации рисков Анализ инцидентов Идентификация угроз Определение вероятности угроз Определение мер и средств контроля/управ ления ИБ Идентификация уязвимостей Определение степени уязвимостей Идентификация активов Определение ценности активов Оценка рисков Определение последствий для активов Определение значений рисков инцидентов 8. Методы анализа рисков 8.1 Качественный метод Качественный метод оценки рисков не присваивает численные или денежные значения компонентам и потерям, вместо этого он использует различные сценарии вероятности риска, уровней серьезности угроз и обоснованности различных возможных контрмер. Для качественного анализа рисков применяются суждения, лучшие практики, интуиция и опыт, используя методы ранжирования событий в соответствии выбранной шкале. Пример. Группа анализа рисков распространяет сценарий угрозы между пятью сотрудниками, которые заполняют лист оценки, ранжируя (от 1 до 5) серьезность угрозы, уровень потенциального ущерба, эффективность каждой защитной меры. Результаты показаны в Таблице. Затем на основе этих результатов готовится отчет для руководства, в котором указывается, что из проанализированных трех вариантов защиты (межсетевой экран, система IDS (СОВ) и honeypot (приманка)), наиболее эффективной является защита с помощью межсетевого экрана. 8.2. Количественный метод Количественный анализ рисков направлен на оценку элементов риска, таких показателей, как, например, стоимость защитных мер, ценность актива, ущерб для бизнеса, частота возникновения угрозы, эффективность защитных мер, вероятность использования уязвимости и т.д. Показатель SLE (ущерб от единичного инцидента) и ALE (ожидаемый среднегодовой ущерб). SLE - это потенциальная сумма (в деньгах) ущерба для компании в результате единичного факта реализации соответствующей угрозы: Ценность актива х Фактор воздействия = SLE EF (фактор воздействия) – это процент ущерба для актива от реализовавшейся угрозы, т.е. часть значения (ценности), которую актив потеряет в результате инцидента. Значение SLE используется при расчете ALE: SLE х Среднегодовая частота возникновения инцидентов = ALE ARO (Annualized Rate of Occurrence - среднегодовая частота возникновения инцидентов) – это величина, представляющая собой ожидаемую частоту реализации соответствующей угрозы в год. Значение ARO может быть от 0,0 (никогда) до 1,0 (по крайней мере, раз в год) и выше (несколько раз в год). Значение ALE используется при оценке целесообразности внедрения тех или иных мер защиты соответствующего актива от соответствующей угрозы - годовая стоимость защитных мер, обеспечивающих необходимый уровень безопасности актива, не должна превышать значение ALE. Применение более дорогих защитных мер не будет эффективным и целесообразным. Пример результатов анализа рисков 8.3. Сравнение качественного и количественного методов анализа риска 9. Теоретические основы информационной безопасности организации. 9.1. Концептуальная модель информационной безопасности. 9.2. Политика безопасности информационной телекоммуникационной системы в организации Финансовая политика Инвестиционная политика Маркетинговая политика Политика безопасности Политика ИБ организации Политика безопасности инфокоммуникаций Политика безопасности системы информационных технологий Инфокоммуникационная политика 9.3. Система обеспечения информационной безопасности организации Модель управления защитой информации Этапы управления СЗИ Этап планирования Определение ожидаемого уровня защищенности на основе выбранной целевой функции модели управления СЗИ - F{P1, P2, P3, P4, P5}: Pз.ож = F{P1, P2, P3, P4, P5} Набор СЗИ:  Технических (Т);  Программных (П);  Организационных (О);  Законодательных (З);  Морально-этических (М). В процессе контроля функционирования ИС после применения СЗИ определяется реальное/действующее значение уровня защищенности информации Pз.д и сравнивается с требуемым значением (Pз.д - Pз.тр)<= Pз.доп, Оценка ожидаемого уровня защищенности Pз.ож по отношению к требуемому уровню защищенности Pз.тр : (Pз.ож - Pз.тр)<= Pз.доп, где защищенности информации Этап реализации Pз.доп – допустимый уровень 9.4. Модель безопасности системы информационных технологий организации Где: R - риск; RR - остаточный риск; S - защитная мера; T - угроза; V - уязвимость актива; N- сценарий. Взаимосвязь защитных мер и риска 9.5 Модели систем и процессов защиты информации {Yj} – j-я угроза (дестабилизирующий фактор) воздействия на объект защиты (информацию); Оi – i-й объект защиты; {Cn} – n-е средство защиты информации (объекта защиты); Pijk– вероятность негативного воздействия j -й угрозы на i-й объект в k-м его состоянии (без применения средств защиты); Pijnk– вероятность негативного воздействия с учётом нейтрализации воздействия j-й угрозы на i-й объект в k-м его состоянии с применением n-го средства защиты; Pi– вероятность надёжной защиты i-го объекта. 9.6 Моделирование состояний ИС на базе марковских процессов Функционирование ИС без инцидентов 1 i k k+x l m m+n Угрозы L+y Уязвимости Инцидент функционирования ИС Матрица переходных вероятностей Prt = P00 P10 Pi0 P01 P0i P1k P1,k+x Pi,k+x P1l Pil Pi,l+y Pkm Pk+x,m Plm Pl+y,m Pk,m+n Pk+x,m+n Pl,m+n Pl+y,m+n 10. Методология определения состава защищаемой информации и органов ее защиты 10.1 Определение состава государственной тайны и органов ее защиты В соответствии с Законом РФ от 21.07.1993 г. № 5485-1 «О государственной тайне» приведено понятие «государственная тайна» - защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации. К сведениям, представляющим государственную тайну, относят: 1) информацию в военной области ( в т.ч. документы по управлению Вооруженными Силами РФ; тактико-технические характеристики боевой техники; дислокации войск, сведения о гражданской обороне и др.); 2) информацию в области экономики, науки и техники (в т.ч. достижения науки и техники, сведения о НИР, об ОКБ и технологиях оборонной промышленности, оборонных заказах, сведения о платиновых и алмазных запасов и др.); 3) сведения в области внешней политики и экономики (в т.ч. о внешнеполитической, внешнеэкономической деятельности Российской Федерации, преждевременное распространение которых может нанести ущерб безопасности государства, о финансовой политике в отношении иностранных государств и др); 4) сведения в области разведывательной, контрразведывательной и оперативно-розыскной деятельности (в т.ч .о методах и средствах защиты секретной информации и др.); Устанавливаются три степени секретности сведений, составляющих государственную тайну, и соответствующие этим степеням грифы секретности для носителей указанных сведений: «особой важности», «совершенно секретно» и «секретно».    к сведениям особой важности следует относить сведения в области военной, внешнеполитической, экономической, научно-технической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб интересам Российской Федерации в одной или нескольких из перечисленных областей. к совершенно секретным сведениям следует относить сведения в области военной, внешнеполитической, экономической, научно-технической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб интересам министерства (ведомства) или отрасли экономики Российской Федерации в одной или нескольких из перечисленных областей. к секретным сведениям следует относить все иные сведения из числа сведений, составляющих государственную тайну. Ущербом безопасности Российской Федерации в этом случае считается ущерб, нанесённый интересам предприятия, учреждения или организации в военной, внешнеполитической, экономической, научно-технической, разведывательной, контрразведывательной или оперативно-розыскной области деятельности. Структура органов защиты государственной тайны Территори альный орган ФСТЭК Генштаб Администрац ия Президента межведомственная комиссия по защите государственной тайны Министер ство обороны МИД ФСТЭК Объект ЗИ ГТ ФСБ Территори альный орган ФСБ МВД МинФин Служба внешней разведки 10.2 Определение состава конфиденциальной информации и органов ее защиты К категории конфиденциальной информации относятся:        Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность- «персональные данные»; Сведения, составляющие тайну следствия и судопроизводства, сведения о лицах, в отношении которых в соответствии с федеральными законами принято решение о применении мер государственной защиты, а также сведения о мерах государственной защиты указанных лиц, если законодательством Российской Федерации такие сведения не отнесены к сведениям, составляющим государственную тайну; Служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом Российской Федерации и федеральными законами – «служебная тайна»; Сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией Российской Федерации и федеральными законами (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений и так далее)- «профессиональная тайна»; Сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (коммерческая тайна); Сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них; Сведения, содержащиеся в личных делах осужденных, а также сведения о принудительном исполнении судебных актов, актов других органов и должностных лиц, кроме сведений, которые являются общедоступными. Структура органов защиты конфиденциальной информации Объект ЗИ КТ Администрации Президента Российской Федерации, Совета Безопасности Российской Федерации, Федерального Собрания Российской Федерации, Правительства Российской Федерации, Конституционного Суда Российской Федерации, Верховного Суда Российской Федерации и Высшего Арбитражного Суда Российской Федерации Объект ЗИ ГТ Территори альный орган ФСТЭК ФСТЭК ФСБ Территори альный орган ФСБ 10.3 Определение состава общедоступной информации и органов ее защиты Право на доступ к информации регламентируется Федерального законом «Об информации, информационных технологиях и о защите информации», согласно которому граждане (физические лица) и организации (юридические лица) вправе осуществлять поиск и получение любой информации в любых формах и из любых источников при условии соблюдения требований, установленных федеральными законами. При этом не может быть ограничен доступ к: 1) нормативным правовым актам, затрагивающим права, свободы и обязанности человека и гражданина, а также устанавливающим правовое положение организаций и полномочия государственных органов, органов местного самоуправления; 2) информации о состоянии окружающей среды; 3) информации о деятельности государственных органов и органов местного самоуправления, а также об использовании бюджетных средств (за исключением сведений, составляющих государственную или служебную тайну); 4) информации, накапливаемой в открытых фондах библиотек, музеев и архивов, а также в государственных, муниципальных и иных информационных системах, созданных или предназначенных для обеспечения граждан (физических лиц) и организаций такой информацией; 5) иной информации, недопустимость ограничения доступа к которой установлена федеральными законами. Согласно Закону Российской Федерации от 21 июля 1993 г. № 5485-1 «О государственной тайне» доступ к информации следующего вида не может подвергаться ограничениям: • о состоянии экологии, здравоохранения, санитарии, демографии, образования, культуры, сельского хозяйства, а также о состоянии преступности; • о привилегиях, компенсациях и льготах, предоставляемых государством гражданам, должностным лицам, предприятиям, учреждениям и организациям; • о фактах нарушения прав и свобод человека и гражданина; • о размерах золотого запаса и государственных валютных резервах Российской Федерации; • состоянии здоровья высших должностных лиц России; • о фактах нарушения законности органами государственной власти и их должностными лицами Структура органов защиты общедоступной информации Территори альный орган ФСТЭК ФСТЭК Объект ЗИ ФСБ Территори альный орган ФСБ 11. Угрозы информационной безопасности 11.1 Классификация угроз безопасности Угрозы безопасности Естественные Искусственные Преднамеренные Непреднамеренные    Высокий потенциал подразумевает наличие возможностей уровня предприятия/группы предприятий/государства по разработке и использованию специальных средств эксплуатации уязвимостей. Средний потенциал подразумевает наличие возможностей уровня группы лиц/организации по разработке и использованию специальных средств эксплуатации уязвимостей. Низкий потенциал подразумевает наличие возможностей уровня одного человека по приобретению (в свободном доступе на бесплатной или платной основе) и использованию специальных средств эксплуатации уязвимостей. Потенциал нарушителя - мера усилий, затрачиваемых нарушителем при реализации угроз безопасности информации в информационной системе. Классификация угроз безопасности персональных данных По виду защищаемой от УБПДн информации, содержащей ПДн Угрозы РИ Угрозы ВИ По видам возможных источников УБПДн Создаваемые аппаратной Создаваемые нарушителем закладкой (физическим лицом) Создаваемые встроенной Создаваемые внутренним закладкой нарушителем Создаваемые автономной Создаваемые внешним закладкой нарушителем Угрозы информации, обрабатываемой в ТСОИ Угрозы информации, обрабатываемой в АС Создаваемые вредоносными программами программной закладкой, программой типа“Троянский конь” программным вирусом вредоносной программой, распространяющейся по сети (сетевым червем) другими вредоносными программами, предназначенными для осуществления НСД (подбора паролей, удаленного доступа и др.) По виду нарушаемого свойства информации (виду несанкционированных действий, осуществляемых с ПДн) Угрозы доступности (блокирования) информации Угрозы целостности (утраты, уничтожения, модификации) информации Угрозы конфиденциальности (утечки, перехвата, съема, копирования, хищения, разглашения) информации По типу ИСПДн, на которые направлена реализация УБПДн Угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе АРМ (с подключением и без подключения к вычислительной сети) По способам реализации УБПДн Угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе локальной вычислительной сети (с подключением и без подключения к распределенной вычислительной сети) Угрозы НСД в ИСПДн Угрозы специальных воздействий на ИСПДн механического воздействия химического воздействия акустического воздействия биологического воздействия радиационного воздействия термического воздействия электромагнитного воздействия По используемой уязвимости С использованием уязвимости системного ПО С использованием уязвимости прикладного ПО Угрозы безопасности ПДн, обрабатываемых в ИСПДн на базе распределенных информационных систем (с подключением, без подключения к сети общего пользования) электрическими импульсами Угрозы утечки информации по техническим каналам Угрозы, реализуемые с применением программных средств операционной системы электромагнитными излучениями магнитным полем С использованием уязвимости, вызванной наличием в АС аппаратной закладки Угрозы, реализуемые с применением специально разработанного ПО Угрозы, реализуемые с применением вредоносных програм С использованием уязвимостей протоколов сетевого взаимодействия и каналов передачи данных по радиоканалу по электрическому каналу по оптическому каналу по акустическому (вибрационному) каналу по смешанным (параметрическим) каналам С использованием уязвимости, вызванной недостатками организации ТЗИ от НСД Угрозы утечки РИ Угрозы утечки ВИ Угрозы утечки информации по каналам ПЭМИН С использованием уязвимостей, обусловливающих наличие технических каналов утечки информации С использованием уязвимостей СЗИ По объекту воздействия УБПДн, обрабатываемых на АРМ УБПДн, обрабатываемых в выделенных технических средствах обработки На отчуждаемых носителях информации На встроенных носителях долговременного хранения информации В средствах обработки и хранения оперативной информации В средствах (портах) ввода (вывода) информации УБПДн, передаваемых по сетям связи Угрозы прикладным программам, предназначенным для работы с ПДн На принтера, плоттерах, графопостроителях и т.п. УБПДн при передаче сигналов по линиям связи На выносных терминалах, мониторах, видеопроекторах УБПДн при обработке пакетов в коммуникационных элементах информационнотелекоммуникационных систем В средствах звукоусиления, звуковоспроизведения Угрозы системному ПО, обеспечивающему функционирование ИСПДн 11.2 Угрозы утечки информации по техническим каналам При обработке ПДн в ИСПДн за счет реализации технических каналов утечки информации возможно возникновение следующих УБПДн: угроз утечки акустической (речевой) информации; угроз утечки видовой информации; угроз утечки информации по каналам побочных электромагнитных излучений и наводок (ПЭМИН). 11.3 Угрозы несанкционированного доступа к информации в информационной системе Уязвимости ИСПДн Источник угрозы Нарушитель Уязвимости ПО Внешний Внутренний Лица, имеющие санкционированный доступ в контролируемую зону, но не имеющие доступа к ПДн Пользователи информационных ресурсов, осуществляющие удаленный доступ к ПДн по ЛВС Зарегистрированный пользователь с полномочиями системного администратора ИСПДн Уязвимости драйверов аппаратных средств Деструкти Программисты-разработчики прикладного ПО и лица, обеспечивающие его сопровождение в ИСПДн Разработчики и лица, обеспечивающие поставку, сопровождение в ИСПДн Другие категории лиц в соответствии с оргштатной структурой ИСПДн Программно-аппаратная закладка В незащищенном режиме работы процессора В процессе фунуционирования ОС в привилегированном режиме Уязвимости прикладного ПО Уязвимости ПО пользователя Уязвимости, вызванные наличием в ИСПДн программно-аппаратной закладки Уязвимости, связанные с реализацией протоколов сетевого взаимодействия и каналов передачи данных Программные вирусы Вредоносные программы, распространяющиеся по сети (черви) Другие вредоносные программы Пере п Пере (о Пол Разгл у незащ Уязвимости, вызванные недостатками организации ТЗИ от НСД Испо неучтен Уязвимости СЗИ Исполь (стеган пер Уязвимости программно-аппаратных средств ИСПДн в результате сбоев в работе, отказов этих средств Вредоносная программа Программные закладки Испо пр взаим передач В Конструктивно встроенная Автономная Вскрыв В процессе инициализации ОС Уязвимости специального ПО Зарегистрированный пользователь с полномочиями администратора безопасности ИСПДн Использов уязвимостей п обеспечения Уязвимости микропрограмм, прошивок Уязвимости операционных систем Зарегистрированный пользователь информационных ресурсов, имеющий ограниченные права доступа к ПДн ИСПДн с рабочего места Способ реализации угрозы Наличие технических каналов утечки информации Внедрени уязвимосте проектиро сопров Исполь Вне использо Обме сод модул Изм ости Дн Уязвимости ПО Способ реализации угрозы Объект воздействия Использование существующих уязвимостей программно-аппаратного обеспечения ИСПДн, позволяющих: Уязвимости микропрограмм, прошивок вимости драйверов аппаратных средств На отчуждаемых носителях информации Обходить СЗИ Деструктивно воздействовать на СЗИ звимости операционных систем Вскрывать или перехватывать пароли В процессе инициализации ОС В незащищенном режиме работы процессора В процессе фунуционирования ОС в привилегированном режиме Уязвимости прикладного ПО Уязвимости специального ПО Уязвимости ПО пользователя Использовать уязвимости протоколов сетевого взаимодействия и каналов передачи данных, позволяющие: ости, связанные с реализацией олов сетевого взаимодействия и аналов передачи данных мости, вызванные недостатками организации ТЗИ от НСД Уязвимости СЗИ мости программно-аппаратных тв ИСПДн в результате сбоев в боте, отказов этих средств ие технических каналов утечки информации На гибких магнитных дисках На жестких магнитных дисках На накопителях ZIP На накопителях электронной памяти типа флеш На аудио-, видеокассетах, магнитных лентах На оптических компакт-дисках Перехватывать информацию Модифицировать передаваемые данные Перегружать ресурсы ИСПДн (отказ в обслуживании) Внедрять вредоносные программы мости, вызванные наличием в программно-аппаратной закладки Информация, обрабатываемая на АРМ (узле) ИСПДн, находящаяся: Получать удаленный НСД к системе Разглашать и организовывать утечку информации на незащищенные рабочие места ИСПДн Использовать остаточную, неучтенную информацию (сбор «мусора») Использовать нетрадиционные (стеганографические) каналы передачи информации Внедрение (внесение) новых уязвимостей в ИСПДн на этапе проектирования, разработки и сопровождения ИСПДн В сотовых телефонах, карманных компьютерах, цифровых фотоаппаратах, mp3проигрывателях В цифровых видеокамерах В других устройствах На встроенных носителях долговременного хранения информации На жестких магнитных дисках В ПЗУ На перепрограммируемых (перезаписываемых) запоминающих устройствах В средствах обработки и хранения оперативной информации В оперативной памяти В кеш-памяти, в буферах ввода/вывода В видео-памяти В оперативной памяти подключаемых устройств Использование нештатного ПО Внесение уязвимостей с использованием штатных средств Обмен программами и данными, содержащими выполняемые модули (скрипты, макросы и т.д) Изменение конфигурации ПО Модификация ПО и данных Разработка вредоносных программ Публикация, разглашение защищаемых сведений Информация в средствах, реализующих сетевое взаимодействие, и каналах передачи данных в сети В маршрутизаторах В других устройствах коммутации об ации зы Объект воздействия пользование существующих остей программно-аппаратного ечения ИСПДн, позволяющих: Деструктивное действие Информация, обрабатываемая на АРМ (узле) ИСПДн, находящаяся: На отчуждаемых носителях информации Обходить СЗИ еструктивно воздействовать на СЗИ Вскрывать или перехватывать пароли Использовать уязвимости протоколов сетевого взаимодействия и каналов ередачи данных, позволяющие: На гибких магнитных дисках На жестких магнитных дисках Модифицировать передаваемые данные Перегружать ресурсы ИСПДн (отказ в обслуживании) Внедрять вредоносные программы Получать удаленный НСД к системе Разглашать и организовывать утечку информации на незащищенные рабочие места ИСПДн Использовать остаточную, неучтенную информацию (сбор «мусора») Использовать нетрадиционные (стеганографические) каналы передачи информации едрение (внесение) новых вимостей в ИСПДн на этапе оектирования, разработки и сопровождения ИСПДн Обмен программами и данными, содержащими выполняемые модули (скрипты, макросы и т.д) Изменение конфигурации ПО Несанкционированное копирование Перехват информации в каналах передачи данных На накопителях электронной памяти типа флеш Разглашение (публикация) защищаемой информации На аудио-, видеокассетах, магнитных лентах В сотовых телефонах, карманных компьютерах, цифровых фотоаппаратах, mp3проигрывателях В цифровых видеокамерах В других устройствах На встроенных носителях долговременного хранения информации На жестких магнитных дисках В ПЗУ На перепрограммируемых (перезаписываемых) запоминающих устройствах В средствах обработки и хранения оперативной информации В оперативной памяти Нарушение целостности (уничтожение, модификация, дезинформация) Воздействие на ПО и данные пользователя Воздействие на микропрограммы, данные и драйверы устройств ИСПДн Воздействие на программы, данные и драйверы устройств, обеспечивающих загрузку ОС и СЗИ и их функционирование Воздействие на программы и данные прикладного и специального ПО Внедрение вредоносной программы, программноаппаратной закладки и др. Воздействие на средства управления конфигурацией сети Воздействие на СЗИ Нарушение доступности В кеш-памяти, в буферах ввода/вывода В видео-памяти В оперативной памяти подключаемых устройств Использование нештатного ПО Внесение уязвимостей с спользованием штатных средств Утечка информации На накопителях ZIP На оптических компакт-дисках Перехватывать информацию Нарушение конфиденциальности Информация в средствах, реализующих сетевое взаимодействие, и каналах передачи данных в сети В маршрутизаторах В других устройствах коммутации Нарушение функционирования и отказы средств обработки информации, средств ввода/ вывода информации, средств хранения информации, аппаратуры и каналов передачи данных Нарушение и отказы в функционировании СЗИ 11.4. Общая характеристика угроз программно-математических воздействий Вредоносные программы Компьютерные вирусы Cетевые черви •файловые • загрузочные • макро- и скриптовые •перезаписывающие вирусы •паразитические вирусы •вирусыкомпаньоны •загрузочные вирусы •почтовые черви • черви, использующие интернет-пейджеры •черви в irc-каналах •черви для файлообменных сетей Троянские программы • троянские утилиты удаленного администрирования •похитители паролей •интернет-кликеры • загрузчики •установщики •шпионские программы •рукиты •архивные бомбы Прочие вредоносные программы •Сетевые атаки •Взломщики удаленных компьютеров •«Замусоривание» сети •Фатальные сетевые атаки •Шифровальщики вредоносного ПО Компьютерные вирусы - это программы, которые умеют размножаться и внедрять свои копии в другие программы, т.е. заражать уже существующие файлы. Обычно это исполняемые файлы (*.exe, *.com) или файлы, содержащие макропроцедуры (*.doc, *.xls), которые в результате заражения становятся вредоносными. Сетевые черви - это вредоносные программы, которые размножаются, но не являются частью других файлов, представляя собой самостоятельные файлы. Сетевые черви могут распространяться по локальным сетям (LAN), по Интернету (через электронную почту, IRC (Internet Relay Chat), др.). Червь без Вашего ведома может, например, отправить "червивые" сообщения всем респондентам, адреса которых имеются в адресной книге Вашей почтовой программы. Помимо загрузки сети в результате лавинообразного распространения сетевые черви способны выполнять опасные действия. Троянские программы не размножаются и не рассылаются сами, они ничего не уничтожают на Вашем компьютере, однако последствия от их деятельности могут оказаться самыми неприятными и ощутимыми. Задача троянской программы обычно состоит в том, чтобы обеспечить злоумышленнику доступ к Вашему компьютеру и возможность управления им. Все это происходит очень незаметно, без эффектных проявлений. Прочие вредоносные программы можно рассматривать как комбинации из перечисленных типов. Например, программа может распространяться как сетевой червь, при этом в систему будет сбрасываться программа-троян. 12. Уязвимости информационных систем. 12.1 Классификация уязвимостей Обусловленность возникновения уязвимостей Объективные Объективные уязвимости зависят от особенностей построения и технических характеристик оборудования Излучения элементов ТС: • ПЭМИ, ПЭМИН • Звуковые излучения • Просачивание сигналов в цепи питания Активизируемые уязвимости: • Аппаратными закладками • Программными закладками Особенности элементов ТС: • Наличие элементов ТС, подверженных ВЧ-навязыванию • Прямая видимость • Отражающие поверхности Случайные Субъективные Случайные уязвимости зависят от особенностей окружающей защищаемый объект среды и непредвиденных обстоятельств Субъективные уязвимости зависят от действий сотрудников Ошибки: • • • При вводе данных При проектировании ТС и ПО При управлении передачей данных Нарушения: • Режима охраны и ЗИ • Режима эксплуатации ТС • Режима конфиденциальности Сбои и отказы: • • • • ТС СЗИ Энергоснабжения ПО Повреждения: • • Инженерных коммуникаций Ограждающих конструкций Классификация уязвимостей программного обеспечения По типу ПО По этапу жизненного цикла ПО, на котором возникает уязвимость По причине возникновения уязвимости Системное ПО Прикладное ПО Уязвимости, возникающие на этапе проектирования ПО реализации ПО инсталляции настройки ПО и По характеру последствий от реализации атак Недостатки механизмов аутентификации Уязвимости, используемые для переполнения буфера Недостатки защиты учетных записей Уязвимости, используемые для подбора пароля или идентификатора Наличие функций, позволяющих выполнять деструктивные действия Отсутствие проверки корректности входных данных Уязвимости, используемые для изменения прав доступа Уязвимости, используемые для реализации атаки «Отказ в обслуживании» Определение уровня опасности ПО Базовый вектор уязвимости имеет следующий формат: AV:X/AC:X/Au:X/C:X/I:X/A:X, где  AV – метрика (критерий) способа получения доступа нарушителем;  AC – метрика (критерий) сложности получения доступа нарушителем;  Au – метрика (критерий) характеристики потребности нарушителя в аутентификации;  С – метрика (критерий) влияния на конфиденциальность;  I – метрика (критерий) влияния на целостность;  A – метрика (критерий) влияния на доступность;  Х - значение метрики (критерия). Каждая метрика (критерий) может принимать одно из трёх значений. Метрика (критерий) AV может принимать следующие значения:  L – получение физического (локального) доступа к объекту;  A – получение доступа к объекту из локальной вычислительной сети;  N – получение доступа к объекту из любой вычислительной сети, связанной с объектом атаки. Метрика (критерий) AC может принимать следующие значения:  H – для получения доступа требуется выполнение особых условий (например, повышение привилегий или получение дополнительной информации при помощи методов «социальной инженерии»);  M – для получения доступа требуется выполнение специальных условий (например, прохождение нестандартной процедуры аутентификации или получение предварительной информации при действиях, приводящих к гарантированному результату);  L – для получения доступа выполнение специальных условий не требуется (L). Метрика (критерий) Au может принимать следующие значения:  N – аутентификация не требуется;  S – требуется однократная аутентификация;  M – требуется многократная аутентификация. Метрика (критерий) C может принимать следующие значения:  N – не оказывает влияния на конфиденциальность данных;  P – частичное нарушение конфиденциальности данных;  C – полное нарушение конфиденциальности данных. Метрика (критерий) I может принимать следующие значения:  N – не оказывает влияния на целостность данных;  P – частичное неправомерное уничтожение или модифицирование данных;  C – полное неправомерное уничтожение или модифицирование данных. Метрика (критерий) A может принимать следующие значения:  N – не оказывает влияния на доступность данных;  P – кратковременное неправомерное блокирование данных;  C – долговременное неправомерное блокирование данных. Численное значение базового вектора уязвимости (базовая оценка) изменяется от 0 до 10. На основе численного значения базового вектора V уязвимости (базовой оценки) присваиваются один из четырех уровней опасности:  низкий уровень опасности, если 0,0 ≤ V ≤ 3,9;  средний уровень опасности, если 4,0 ≤ V ≤ 6,9;  высокий уровень опасности, если 7,0 ≤ V ≤ 9,9;  критический уровень опасности, если V = 10,0. Типы ПО каталога уязвимостей ФСТЭК Операционная система СУБД Средство защиты Программное Программно -аппаратное Прикладное ПО ИС Микропроцессорный код программно-аппаратного средства Сетевое средство Программное Программноаппаратное ПО виртуального программноаппаратного средства Средство АСУ ТП Программное Программноаппаратное 13. Методы и средства защиты информации 13.1 Классификация методов и средств защиты информации Способы (методы) защиты информации:  Препятствие - создание на пути информационной угрозы преграды, преодоление которой сопряжено с возникновением сложностей для злоумышленника или дестабилизирующего фактора.  Управление - оказание управляющих воздействий на элементы защищаемой системы.  Маскировка - действия над защищаемой системой или информацией, приводящие к такому их преобразованию, которое делает их недоступными для злоумышленника. (Сюда можно, в частности, отнести криптографические методы защиты ).  Регламентация - разработка и реализация комплекса мероприятий, создающих такие условия обработки информации, которые существенно затрудняют реализацию атак злоумышленника или воздействия других дестабилизирующих факторов.  Принуждение - метод заключается в создании условий, при которых пользователи и персонал вынуждены соблюдать условия обработки информации под угрозой ответственности (материальной, уголовной, административной)  Побуждение - метод заключается в создании условий, при которых пользователи и персонал соблюдают условия обработки информации по морально-этическим и психологическим соображениям. 13.2 Программные средства защиты информации Основные направления использования программной защиты информации защита программ от копирования защита информации от разрушения Идентификация среды, из которой будет запускаться программа  Аутентификация среды, из которой запущена программа  Реакция на запуск из несанкционированной среды  Регистрация санкционированного доступа  Противодействие изучению алгоритмов работы системы •Восстановительны е мероприятия защита информации от НСД Идентификация объектов и субъектов  Разграничение доступа  Контроль и регистрация действий с информацией и программами   защита информации от вирусов •Применение антивирусных программ и программ ревизоров •Организационн ые мероприятия защита программ от вирусов •Применение антивирусных программ и программ ревизоров •Организационн ые мероприятия программная защита каналов связи •Криптографические методы и средства защиты •Применение межсетевых экранов •Электронная цифровая подпись Защита информации от НСД            Функции ИБ, которые должны осуществляться программными средствами, это: идентификация объектов и субъектов, разграничение (иногда полная изоляция) доступа к вычислительной технике, контроль и регистрация действий с информацией и программами. В процедурах идентификации используются различные методы: простые, сложные и одноразовые пароли, обмен вопросами и ответами с администратором, средства анализа индивидуальных характеристик, ключи, магнитные карты, значки и т.д., специальные идентификаторы или контрольные суммы для аппаратуры. После идентификации защита осуществляется на 3 уровнях: аппаратуры, программного обеспечения, данных. 13.2.1 Идентификация и аутентификация Идентификация — это процедура распознавания субъекта по его идентификатору (проще говоря, это определение имени, логина или номера). Аутентификацией (установлением подлинности) - проверка принадлежности субъекту доступа предъявленного им идентификатора и подтверждение его подлинности. Обычно методы аутентификации классифицируют по используемым средствам. В этом случае указанные методы делят на четыре группы: 1. Основанные на знании лицом, имеющим право на доступ к ресурсам системы, некоторой секретной информации – пароля. 2. Основанные на использовании уникального предмета: жетона, электронной карточки и др. 3. Основанные на измерении биометрических параметров человека – физиологических или поведенческих атрибутах живого организма. 4. Основанные на информации, ассоциированной с пользователем, например, с его координатами. 13.2.2 Управление доступом Фрагмент матрицы доступа Пользова тель_1 Пользова тель_2 Файл Программа orw с системной консоли е Линия Реляционная связи таблица rw с 8:00 до 18:00 а Примечание:"о" — обозначает разрешение на передачу прав доступа другим пользователям, "г" - чтение, "w" — запись, "е" — выполнение, "а" — добавление информации Модель Белла-ЛаПадулы Простое правило безопасности. Субъект не может читать данные из объекта, находящегося на более высоком уровне безопасности (правило «Не читать сверху»). Правило *- свойства. Субъект не может записывать данные в объект, находящийся на более низком уровне безопасности (правило «Не записывать вниз»). Строгое правило *-свойства. Чтобы субъект мог читать и записывать данные в объект, его допуск и классификация объекта должны совпадать. Модель Биба Аксиома *-целостности. Субъект не может записывать данные в объект, находящийся на более высоком уровне целостности (это называют «не записывать вверх»); Простая аксиома целостности. Субъект не может читать данные, находящиеся на более низком уровне целостности (это называют «не читать снизу»). Свойство вызова. Субъект не может запрашивать обслуживание (вызов) у другого субъекта, находящегося на более высоком уровне целостности Ролевое управление доступом     U - множество пользователей; R - множество ролей; Р - совокупность полномочий на доступ к объектам (реализованная, например, в виде матрицы доступа); S - множество сеансов работы пользователей с системой Управление доступом реализуется с использованием следующих отображений: − PA ⊆ P × R - отображение множества полномочий на множество ролей, задающее для каждой роли установленный набор полномочий; − UA ⊆U × R - отображение множества пользователей на множество ролей, определяющее набор ролей, доступных данному пользователю; − user : S →U - функция, определяющая для сеанса s ∈ S текущего пользователя u ∈U : user(s) = u ; − roles : S →{R} - функция, определяющая для сеанса s ∈ S набор ролей из множества R , доступных в данном сеансе: - roles(s)= {ri|(user(s),ri) ⊆ UA}; -permissions (полномочия) : S → {P} – функция, задающая для сеанса s ⊆S набор доступных в нем полномочий ( иначе говоря, совокупность полномочий всех ролей, доступных в данном сеансе): - полномочия (s) = U{pi|(pi,r) ⊆ PA} r⊆ roles(s) 13.3 Межсетевые экраны Межсетевой экран (МЭ) - это локальное (однокомпонентное) или функционально - распределенное программное (программноаппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в АС и/или выходящей из АС. Уровень модели OSI Прикладной Протокол Тип межсетевого экрана · шлюз прикладного уровня; Telnet, FTP, DNS, NFS, SMTP, HTTP · межсетевой экран экспертного уровня. Представления данных Сеансовый Транспортный TCP, UDP TCP, UDP Сетевой IP, ICMP Канальный Физический ARP, RAP Ethernet · шлюз сеансового уровня. · межсетевой экран с фильтрацией пакетов. Классификация межсетевых экранов на основе сетевой модели OSI Сравнение межсетевых экранов Вид МСЭ Коммутатор Пакетные фильтры Шлюзы сеансового уровня Посредники прикладного уровня Инспекторы состояний Достоинства Высокая скорость работы Высокая скорость работы Простота реализации Высокая скорость работы Простота реализации Исключение прямого взаимодействия между двумя узлами Контроль состояния соединения Анализ на прикладном уровне Исключение прямого взаимодействия между двумя узлами Высокий уровень защищенности Контроль состояния соединения Анализ на прикладном уровне Высокая скорость работы Контроль состояния соединения Не требуется дополнительная настройка и изменение конфигурации клиентского ПО Недостатки Отсутствует возможность анализа прикладного уровня Отсутствует возможность анализа заголовков сетевого и сеансового уровней Отсутствует защита от подмены адреса Отсутствует возможность анализа прикладного уровня Отсутствует защита от подмены адреса Сложность настройки и администрирования Возможно снижение производительности при увеличении числа правил Требуется детальное знание сетевых протоколов и услуг Отсутствует контроль состояния соединения Трудность функционирования в сетях с динамическим распределением адресов Отсутствует возможность анализа прикладного уровня Невозможность анализа трафика от «неизвестного» приложения Невысокая производительность Требование изменения модификации клиентского ПО Двойной анализ – на уровне приложения и посредника Низкая защищенность Экранированный узел – это межсетевой экран, экранированный маршрутизатором 13.4 Методы шифрования Симметричная криптография Обеспечивается конфиденциальность передаваемой информации, но не обеспечивается аутентификация Матрица ключей криптографической сети из 6-ти участников К12 К21 К31 К41 К51 К61 К13 К23 К32 К42 К52 К62 К43 К53 К63 К14 К24 К34 К54 К64 К15 К25 К35 К45 К16 К26 К36 К46 К56 К65 Ключи парно-выборочной связи K21 и K12 одинаковые. Поэтому для криптосети из 6 участников необходимо 15 ключей. Каждому участнику необходимо выделить сетевой набор ключей парно-выборочной связи. Число ключей = N(N – 1)/2, где N – число абонентов Выбор ключей сетевого набора для участника 4 К12 К21 К31 К41 К51 К61 К32 К42 К13 К23 К14 К24 К34 К43 К15 К25 К35 К45 К54 К65 К16 К26 К36 К46 К56 Асимметричная криптография Если отправителю важна аутентификация, ему следует зашифровывать передаваемые данные на своем закрытом ключе. Это позволит получателю быть уверенным в том, что зашифровал данные именно тот человек, который имеет соответствующий закрытый ключ. Шифрование данных на закрытом ключе отправителя называют открытым форматом сообщения, т.к. любой человек может расшифровать эти данные с помощью общедоступного открытого ключа отправителя. Конфиденциальность при этом не обеспечивается. Если отправителю важна конфиденциальность передаваемой информации, ему следует зашифровать свое сообщение на открытом ключе получателя. Это называют безопасным форматом сообщения, поскольку только человек, имеющий соответствующий закрытый ключ, сможет расшифровать это сообщение. Различия между симметричными и асимметричными системами Блочные шифры Для обеспечения стойкости шифра, в нем должны в достаточной степени использоваться два основных метода: перемешивание и рассеивание. Пример перестановки с фиксированным периодом. Пусть период перестановки d=4, а ключ К равен 3142. Это означает, что в каждом блоке из четырех символов третий символ становится на первое место, первый – на второе, четвертый – на третье и т.д. Зашифруем с помощью выбранного ключа слово ШИФР: ШИФР ФШРИ Шифрование в режиме сцепления блоков шифротекста Поточные шифры Цифровая подпись Протоколирование и аудит Под протоколированием понимается сбор и накопление информации о событиях, происходящих в ИС. Аудит – это анализ накопленной информации, проводимый в реальном времени или периодически. Оперативный аудит с автоматическим реагированием на выявленные нештатные ситуации называется активным. Реализация протоколирования и аудита решает следующие задачи: •обеспечение подотчетности пользователей и администраторов - является сдерживающим средством; •обеспечение возможности реконструкции последовательности событий – позволяет выявить слабости в защите сервисов, найти виновника вторжения, оценить масштабы причиненного ущерба и вернуться к нормальной работе; •обнаружение попыток нарушений информационной безопасности; •предоставление информации для выявления и анализа проблем. Основные события, безусловно требующие протоколирования: •попытка входа в систему (успешная или нет); •выход из системы; •обращение к удаленной системе; •операции с файлами (открыть, закрыть, переименовать, удалить); •смена привилегий или иных атрибутов безопасности. При протоколировании события рекомендуется записывать, по крайней мере, следующую информацию: •дата и время события; •уникальный идентификатор пользователя – инициатора действия; •тип события; •результат действия (успех или неудача); •источник запроса (например, имя терминала); •имена затронутых объектов (например, открываемых или удаляемых файлов); •описание изменений, внесенных в базы данных защиты (например, новая метка безопасности объекта). Угрозы информационной безопасности Российской Федерации в информационной сфере подразделяются на следующие виды: угрозы конституционным правам и свободам человека и гражданина в области духовной жизни и информационной деятельности, индивидуальному, групповому и общественному сознанию, духовному возрождению России; угрозы информационному обеспечению государственной политики Российской Федерации угрозы развитию отечественной индустрии информации, включая индустрию средств информатизации, телекоммуникации и связи, обеспечению потребностей внутреннего рынка в ее продукции и выходу этой продукции на мировой рынок, а также обеспечению накопления, сохранности и эффективного использования отечественных информационных ресурсов; угрозы безопасности информационных и телекоммуникационных средств и систем, как уже развернутых, так и создаваемых на территории России Угрозами конституционным правам и свободам человека и гражданина в области духовной жизни и информационной деятельности, индивидуальному, групповому и общественному сознанию, духовному возрождению России могут являться: противодействие, в том числе со стороны криминальных структур, реализации гражданами своих конституционных прав на личную и семейную тайну, тайну переписки, телефонных переговоров и иных сообщений; нерациональное, чрезмерное ограничение доступа к общественно необходимой информации; противоправное применение специальных средств воздействия на индивидуальное, групповое и общественное сознание; нарушение конституционных прав и свобод человека и гражданина в области массовой информации; вытеснение российских информационных агентств, средств массовой информации с внутреннего информационного рынка и усиление зависимости духовной, экономической и политической сфер общественной жизни России от зарубежных информационных структур; создание монополий на формирование, получение и распространение информации в Российской Федерации, в том числе с использованием телекоммуникационных систем; девальвация духовных ценностей, пропаганда образцов массовой культуры, основанных на культе насилия, на духовных и нравственных ценностях, противоречащих ценностям, принятым в российском обществе; снижение духовного, нравственного и творческого потенциала населения России, что существенно осложнит подготовку трудовых ресурсов для внедрения и использования новейших технологий, в том числе информационных; манипулирование информацией (дезинформация, сокрытие или искажение информации). Угрозами информационному обеспечению государственной политики Российской Федерации могут являться: монополизация информационного рынка России, его отдельных секторов отечественными и зарубежными информационными структурами; блокирование деятельности государственных средств массовой информации по информированию российской и зарубежной аудитории; низкая эффективность информационного обеспечения государственной политики Российской Федерации вследствие дефицита квалифицированных кадров, отсутствия системы формирования и реализации государственной информационной политики Угрозами развитию отечественной индустрии информации, включая индустрию средств информатизации, телекоммуникации и связи, обеспечению потребностей внутреннего рынка в ее продукции и выходу этой продукции на мировой рынок, а также обеспечению накопления, сохранности и эффективного использования отечественных информационных ресурсов могут являться: противодействие доступу РФ к новейшим информационным технологиям, взаимовыгодному и равноправному участию российских производителей в мировом разделении труда в индустрии информационных услуг, средств информатизации, телекоммуникации и связи, информационных продуктов, а также создание условий для усиления технологической зависимости России в области современных информационных технологий; закупка органами государственной власти импортных средств информатизации, телекоммуникации и связи при наличии отечественных аналогов, не уступающих по своим характеристикам зарубежным образцам; вытеснение с отечественного рынка российских производителей средств информатизации, телекоммуникации и связи; увеличение оттока за рубеж специалистов и правообладателей интеллектуальной собственности. Угрозы безопасности информационных и телекоммуникационных средств и систем, как уже развернутых, так и создаваемых на территории России противоправные сбор и использование информации; нарушения технологии обработки информации; внедрение в аппаратные и программные изделия компонентов, реализующих функции, не предусмотренные документацией на эти изделия; разработка и распространение программ, нарушающих нормальное функционирование информационных и информационно-телекоммуникационных систем, в том числе систем защиты информации; уничтожение, повреждение, радиоэлектронное подавление или разрушение средств и систем обработки информации, телекоммуникации и связи; воздействие на парольно-ключевые системы защиты автоматизированных систем обработки и передачи информации; компрометация ключей и средств криптографической защиты информации; утечка информации по техническим каналам; внедрение электронных устройств для перехвата информации в технические средства обработки, хранения и передачи информации по каналам связи, а также в служебные помещения органов государственной власти, предприятий, учреждений и организаций независимо от формы собственности; уничтожение, повреждение, разрушение или хищение машинных и других носителей информации; перехват информации в сетях передачи данных и на линиях связи, дешифрование этой информации и навязывание ложной информации; использование несертифицированных отечественных и зарубежных информационных технологий, средств защиты информации, средств информатизации, телекоммуникации и связи при создании и развитии российской информационной инфраструктуры; несанкционированный доступ к информации, находящейся в банках и базах данных; нарушение законных ограничений на распространение информации. Согласно Доктрине приведены сферы подверженные деструктивным воздействиям недостатков:     деятельности, наиболее ввиду тех или иных Кредитно-финансовая. Ущерб, наносимый в ходе компьютерных атак на финансовые организации, непрерывно растет. Оборонная. Увеличивается масштаб применения информационных технологий в военнополитических целях. Государственная. Растет число целевых атак на объекты критической информационной инфраструктуры, усиливается разведывательная деятельность спецслужб иностранных государств. Научная. Эффективность научных исследований, направленных на создание перспективных информационных технологий, недостаточна, а мероприятия по обеспечению безопасности информационной инфраструктуры с использованием отечественных технологий и продукции зачастую не имеют комплексной основы.