Аттестация автоматизированных систем по требованиям безопасности информации

Аттестация АС и ИС. Обзор нормативно-методических документов.

Аттестация объектов информатизации предусматривает комплексную проверку (аттестационные испытания) защищаемого объекта информатизации для оценки соответствия применяемого комплекса мер и средств защиты требуемому уровню безопасности информации. Аттестация по требованиям безопасности является завершающей стадией ввода в действие системы защиты информации и выступает подтверждением эффективности комплекса мер и средств защиты информации, используемых на конкретном объекте информатизации. При проведении аттестации оцениваются в совокупности все средства защиты информации, а также конкретные условия эксплуатации рассматриваемого объекта. Вне зависимости от используемых отечественных или зарубежных технических и программных средств объекты информатизации аттестуются на соответствие требованиям нормативных и методических документов по безопасности информации, утвержденных федеральным органом по сертификации и аттестации (СТР-К и РД Гостехкомиссии).

В качестве объекта информатизации выступают автоматизированные и информационные системы, выделенные и защищаемые помещения, системы связи, отображения и размножения информации.

Согласно законодательству Российской Федерации и нормативным правовым актам уполномоченных федеральных органов аттестация может носить добровольный либо обязательный характер.

Обязательная аттестация имеет место в случае:

• обработки информации, составляющей государственную тайну;
• управления экологически опасными объектами;
• ведения секретных переговоров;
• при организации защиты информации, содержащейся в государственных информационных ресурсах («СТР-К», Гостехкомиссия России);
• при обработке информации в государственных и муниципальных информационных системах (Приказ ФСТЭК России № 17);
• при проведении лицензирующей деятельности по ТЗКИ и СКЗИ (Постановления Правительства РФ № 79 и № 313).

В остальных случаях аттестация носит добровольный характер и представляет собой способ официального подтверждения соответствия вашего объекта информатизации требованиям по безопасности информации (иного способа нормативная база не предусматривает).

Нормативно-методические документы, регламентирующие порядок проведения аттестации объектов информатизации и содержащие требования к объектам информатизации:

• Положение по аттестации объектов информатизации по требованиям безопасности информации, утв. председателем Гостехкомиссии при Президенте РФ, 25 ноября 1994 г.;
• ГОСТ РО 0043-003-2012 «Защита информации. Аттестация объектов информатизации. Общие положения»;
• ГОСТ РО 0043-004-2013 «Защита информации. Аттестация объектов информатизации. Программа и методики испытаний»;
• «Специальные требования и рекомендации по технической защите конфиденциальной информации» (СТР-К), Гостехкомиссия России, 30.08.2002;
• Руководящие документы по защите информации от НСД (Гостехкомиссия России).

Стороны, участвующие в аттестации:

Уполномоченный федеральный орган. В соответствии с законодательством РФ федеральным органом, который организует деятельность системы аттестации, является ФСТЭК России. В рамках своих полномочий он осуществляет лицензирование организаций и аккредитацию органов по аттестации, разработку и утверждение нормативных правовых актов, устанавливающих требования безопасности информации и порядок аттестации, рассмотрение апелляций в спорных случаях, осуществление государственного контроля (надзора) за соблюдением порядка аттестации и ведение сводного реестра аттестованных объектов.

Органы по аттестации объектов информатизации по требованиям безопасности информации – это отраслевые и региональные предприятия, учреждения и организации, специальные центры ФСТЭК России, аккредитованные ФСТЭК России и получившие от него лицензию на проведение аттестации объектов информатизации. Аккредитация органов по аттестации осуществляется согласно положению Гостехкомиссии России «Об аккредитации испытательных лабораторий и органов по сертификации средств защиты информации по требованиям безопасности информации» и служит официальным подтверждением их технической компетентности.

Испытательные центры (лаборатории) привлекаются заявителем для испытания несертифицированной продукции, используемой на аттестуемом объекте информатизации.

Перечень органов по аттестации и испытательных лабораторий, прошедших аккредитацию, представлен на официальном сайте ФСТЭК России.

Заявители (владельцы аттестуемых объектов информатизации) проводят подготовку системы защиты информации объекта информатизации и самого объекта для аттестации. Для проведения аттестации заявитель должен предоставить органам по аттестации все необходимые материалы. После получения аттестата соответствия он должен осуществлять эксплуатацию объекта информатизации в соответствии с установленными требованиями, а в случае изменений объекта информатизации обязан извещать орган по аттестации, выдавший аттестат соответствия.

Основным документами, определяющими цели и задачи, порядок и условия проведения аттестации объектов информатизации, являются руководящий документ Гостехкомиссии РФ «Положение об аттестации объектов информатизации по требованиям безопасности информации» и ГОСТ РО 0043-003-2012. Предложенный ими порядок аттестации объектов информатизации по требованиям безопасности информации представлен на схеме ниже.

Сначала заявитель осуществляет выбор органа по аттестации и направляет в него заявку на проведение аттестации с исходными данными об аттестуемом объекте информатизации. Орган по аттестации рассматривает ее, производит анализ исходных данных и в случае, если их недостаточно, проводит работы по ознакомлению с аттестуемым объектом. Если на аттестуемом объекте используются несертифицированные средства и системы защиты информации в схему аттестации могут быть включены работы по их испытаниям в испытательных центрах (лабораториях) по сертификации средств защиты информации. В этом случае заявителем к началу аттестационных испытаний должны быть представлены заключения органов по сертификации средств защиты информации по требованиям безопасности информации и сертификаты.

Следующим важным шагом в проведении аттестации является разработка программы и методики аттестационных испытаний, определяющей перечень работ и их продолжительность, методы испытаний (при обязательной аттестации используют ГОСТ РО 0043-004-2013), а также количественный и профессиональный состав аттестационной комиссии, назначаемой органом по аттестации, используемые технические, программные средства и измерительную аппаратуру. Разработанную программу согласовывают с заказчиком.

ГОСТ РО 0043-004-2013 устанавливает требования к составу и содержанию аттестационных испытаний и содержит наборы программ и методик для разных объектов информатизации.

Проведение аттестационных испытаний объекта информатизации включает:

• анализ структуры объекта информатизации, информационных потоков, комплекса технических средств и программного обеспечения, системы защиты информации и разработанной документации;
• оценку корректности категорирования объекта информатизации и классификации информационной системы, выбора и применения продукции, используемой для защиты информации;
• проверку наличия сертификатов соответствия на продукцию, используемую в целях защиты информации;
• аттестационные испытания системы защиты информации объекта информатизации в реальных условиях эксплуатации;
• оформление протоколов аттестационных испытаний. Протоколы подписывают специалисты, проводившие испытания, и утверждает орган по аттестации. Протоколы должны содержать описание проведенных измерений, испытаний, расчетов, а также их результаты и выводы о соответствии этих результатов требованиям безопасности информации;
• оформление заключения по результатам аттестационных испытаний. Заключение подписывается членами аттестационной комиссии, утверждается органом по аттестации и доводится до заявителя.

При проведении аттестационных испытаний применяют:

• экспертно-документальный метод;
• инструментальный метод;
• проверку соответствия параметров настройки элементов системы защиты информации требованиям безопасности информации;
• проверку подсистем защиты информации от несанкционированного доступа, целостности применяемых средств защиты информации от несанкционированного доступа, в том числе с использованием специальных средств контроля защищенности информации;
• проверку программной совместимости и корректности функционирования всего комплекса используемых средств вычислительной техники с продукцией, используемой в целях защиты информации;
• испытания системы защиты информации от несанкционированного доступа путем осуществления попыток несанкционированного доступа к тестовой защищаемой информации в обход используемой системы защиты информации, в том числе с использованием специальных программных тестирующих средств.

После утверждения положительного заключения по результатам аттестационных испытаний объекта информатизации орган по аттестации оформляет и регистрирует аттестат соответствия. В течении срока действия аттестата (не более 3 лет) владелец должен обеспечивать неизменность условий функционирования объекта информатизации и технологии обработки защищаемой информации, которые могут повлиять на характеристики, определяющие безопасность информации (состава и структуры технических средств, условий размещения, используемого программного обеспечения, режимов обработки информации, средств и мер защиты).

В случае несогласия с отказом в выдаче аттестата соответствия заявитель имеет право обратиться в уполномоченный федеральный орган исполнительной власти с апелляцией для дополнительного рассмотрения полученных при испытаниях результатов.

Положение об аттестации объектов информатизации по требованиям безопасности информации и ГОСТ РО 0043-003-2012 также определяют порядок ввода в действие и эксплуатации аттестованных объектов информатизации и контроля за эксплуатацией уже аттестованных объектов информатизации.

Общее описание процедуры аттестации автоматизированных систем по требованиям информационной безопасности

Александр Астахов, CISA, 2000

Введение

В России аттестация по существу только начинает внедряться в практику создания и применения АС. В связи с этим существует целый комплекс нерешенных проблем, в числе которых проблемы стандартизации и совершенствования нормативной документации, состоящие в разработке, выборе и адаптации документов, применяемых при аттестации и описывающих процедуру, критерии и методику ее проведения. Целесообразным является использование для решения этих проблем опыта, накопленного мировым сообществом.

В США набор руководящих документов в области аттестации был сформирован еще в начале 80-х годов. Изучение и адаптация этих документов к российским условиям может существенно ускорить процесс создания отечественной нормативной базы. Для федеральных органов США основополагающим документом в области аттестации является Руководство по Проведению Аттестации и Аккредитации безопасности АС (FIPS PUB 102).

Данная работа является попыткой использования отечественного опыта и американской нормативной базы для создания общего руководства по проведению аттестации АС по требованиям безопасности информации.

Используемая терминология

Система аттестации АС является составной частью Единой системы сертификации средств защиты информации (СЗИ) и аттестации объектов информатизации по требованиям безопасности информации, организация функционирования которой осуществляется Гостехкомиссией при Президенте РФ. В соответствии с принятой в нашей стране концепцией защиты информации от несанкционированного доступа (НСД), существует два относительно самостоятельных направления решения этой проблемы: направление, связанное со средствами вычислительной техники (СВТ), и направление, связанное с АС. Отличие между этими направлениями заключается в том, что при рассмотрении вопросов защиты СВТ огрганичиваются только программно-техническими аспектами функционирования системы, в то время как защита АС предполагает рассмотрение организационных мер защиты, вопросов физического доступа, защиты информации от утечки по техническим каналам и т. п. СВТ представляют собой программно-технические средства, разрабатываемые и поставляемые на рынок как элементы, из которых строятся АС. Помимо набора СВТ, АС включает в себя обслуживающий персонал и систему организационных мероприятий, обеспечивающих ее функционирование, а также помещения, пользовательскую информацию, бумажную документацию и т. д. Существование двух условно различающихся направлений в защите информации является причиной отличия используемой в нашей стране терминологии от принятой в других странах. Понятие «сертификация по требованиям безопасности» в России применяется по отношению к СВТ, в то время как тот же самый процесс по отношению к АС называется аттестацией. В США в обоих случаях используется понятие «сертификация».

Cогласно американским руководящим документам, сертификация по требованиям безопасности — это проводимый независимыми экспертами комплекс организационно-технических мероприятий по проверке соответствия реализованных в АС или СВТ механизмов безопасности определенному набору требований. Требования безопасности используются в качестве критерия для оценки уровня защищенности АС или СВТ. Они могут быть сформулированы в руководящих документах органов государственного управления, внутриведомственных и межведомственных приказах, национальных и международных стандартах, стандартизированных профилях защиты или заданиях по безопасности, а также в виде требований конкретной организации или пользователей АС.

Примечание: Для определенности, в остальной части настоящей статьи по отношению к АС будет использоваться принятый в нашей стране термин — аттестация.

В случае положительного результата аттестационных испытаний создается специальный документ — «Аттестат соответствия», в котором подтверждается, что объект испытаний соответствует требованиям стандартов или иных нормативно-технических документов по информационной безопасности. Таким образом, основным продуктом аттестации является аттестат соответствия. Но не менее важным является то, что к проведению обследования и аттестационных испытаний активно привлекается обслуживающий персонал АС, ее разработчики и пользователи, в результате чего повышается их осведомленность в вопросах обеспечения безопасности и общий уровень защищенности АС.

Аттестация АС по требованиям безопасности информации является лишь одним из аспектов общей процедуры аттестации, выполняемой с целью получения гарантий того, что АС удовлетворяет предъявляемым к ней требованиям по функциональности, производительности, безопасности, качеству и надежности функционирования. Поэтому ее лучше всего осуществлять как часть общей процедуры аттестации, охватывающей все требования к эффективности функционирования АС и зачастую использующей те же методы проведения обследования и испытаний.

В американской нормативной документации термин «сертификация» применяется по отношению к программному обеспечению, аппаратным компонентам, приложениям, системам, терминалам, сетям и другим объектам. Природа сертифицируемого объекта оказывает минимальное влияние на общий процесс проведения аттестации, хотя она оказывает существенное влияние на детали выполнения отдельных работ.

В США термином «аккредитация безопасности АС» обозначается основывающаяся на результатах аттестации санкция руководства предприятия, позволяющая использовать АС для обработки жизненно-важной и/или конфиденциальной информации в данной среде функционирования.

Таким образом, аккредитация является официальным разрешением руководства использовать данную АС в данной среде функционирования. Хотя в этом определении фигурируют только «жизненно-важные и/или конфиденциальные данные», предполагается его более широкая трактовка, охватывающая также критичные АС, которые могут и не содержать жизненно-важных и/или конфиденциальных данных. Такие АС считаются критичными скорее из-за того вреда, который может быть нанесен организации в случае отказа в обслуживании этой АС, чем от несанкционированного раскрытия или использования данных.

Критичные АС — это АС, для которых необходима определенная степень защищенности, потому что они обрабатывают критичные данные или существует риск причинения вреда в результате их неправильного функционирования или злоумышленного манипулирования ими.

Все АС имеют определенную степень критичности. Важным вопросом является наличие соглашения о том, для каких АС требуется проводить аттестацию. Желательно иметь упорядоченный по приоритетам список таких АС.

Описание процедуры аттестации

Процедуру аттестации АС можно условно разделить на несколько последовательных этапов: планирование, сбор информации, базовый анализ, детальный анализ, подготовка отчетных документов и аккредитация. Далее рассматривается содержание каждого из этих этапов.

Планирование

План подготовки и проведения аттестации должен определять проблемные области, потребности в специальных знаниях, потребности в инструментарии для поддержки процедуры оценивания и другие вопросы, ответы на которые невозможно дать без проведения соответствующего анализа, характерного для этапа базового оценивания и специфичного для каждой конкретной ситуации. Можно выделить четыре стадии планирования:

• Инициирование.
• Анализ.
• Планирование ресурсов.
• Документирование плана проведения аттестации.

Рисунок 1. Планирование процедуры аттестации

На этапе инициирования осуществляется определение общей схемы проведения аттестации и ее согласование с заказчиком работ. Схема определяет общий порядок выполнения работ и необходимые затраты ресурсов. Рассматриваются следующие вопросы:

1. Назначение, выполняемые функции и структура объекта информатизации; критичность АС и обрабатываемой в ней информации; границы проведения обследования; узкие места и проблемные области; состав и структура комплекса средств защиты; привлечение для проведения работ специалистов различных технических профилей.
2. Оценка временных затрат и затрат ресурсов на проведение работ; наличие результатов ранее проведенного анализа рисков и аудита безопасности, которые можно было бы использовать для определения трудоемкости и объема работ по аттестации.
3. Состав экспертной группы; распределение обязанностей между специалистами.
4. Факторы, оказывающие влияние на качество и глубину аттестационных испытаний.
5. Наличие специфических для данного объекта требований, которые должны использоваться в качестве критерия для проведения аттестации, помимо имеющейся нормативной документации.
6. Наличие и полнота документации, документированность используемых механизмов безопасности.
7. Наличие и документированность политики безопасности организации.

Принятая схема проведения аттестации оформляется в виде Технического задания и Плана-графика работ.

Анализ

Анализ составляет основную часть процесса планирования. В процессе анализа рассматриваются следующие вопросы:

1. Требования безопасности
2. Исходные данные
3. Границы проведения аттестации и распределение работ
4. Области повышенного внимания
5. Требуемый уровень детализации

Анализ требований безопасности

Целью аттестации является проверка соответствия исследуемой АС предъявляемым к ней требованиям безопасности. Поэтому анализ начинается с рассмотрения требований безопасности. Основным критерием для аттестации служат требования, сформулированные в виде руководящих документов Гостехкомиссии РФ, законов РФ, внутриведомственных, межведомственных, национальных и международных стандартов. Для каждой АС рассматривается также набор внутренних требований, которые формулируются по результатам анализа рисков и учитывают специфику и особенности среды функционирования исследуемой АС. Некоторые внутренние требования могут быть очень специфичными для данной АС и касаться критичности данных, ограничений на раскрытие некоторых видов информации и других вопросов безопасности.

Анализ состава исходных данных

Для разработки программы и методики аттестационных испытаний помимо стандартного перечня исходных данных, содержащегося в РД Гостехкомиссии «Положение по аттестации объектов информатизации по требованиям безопасности информации», необходимо предоставить также дополнительные данные, состав которых уточняется в каждой конкретной ситуации. Например, сообщения об известных слабостях АС, попытках НСД к информации или отчеты о возникших проблемах, полученные в ходе предшествующего периода ее эксплуатации, приводят к необходимости сбора дополнительных сведений из более узких областей.

Руководство организации, владеющей либо эксплуатирующей АС, может иметь собственное мнение по поводу информации, которая может быть предоставлена в качестве исходных данных для аттестации. При планировании эти мнения необходимо учитывать. Например, для обеспечения сохранности коммерческой тайны между заказчиком и исполнителем работ может быть заключено соглашение о конфиденциальности.

Определение границ проведения аттестации и распределение работ

При определении границ проведения аттестации необходимо в равной степени учитывать организационный, физический и программно-технический уровни обеспечения безопасности. В противном случае результаты аттестации не будут отражать реальный уровень защищенности АС. Например, надежные технические методы защиты окажутся бесполезными, если неправильно определен состав административных мероприятий или меры обеспечения физической безопасности являются неадекватными.

После определения границ проведения аттестации необходимо задокументировать предположения относительно среды функционирования. Например, если операционная система не попадает в границы объекта исследования, то нужно задокументировать предположение о том, что ОС обеспечивает достаточный базовый уровень защищенности в таких областях, как изоляция процессов, аутентификация, авторизация, мониторинг, контроль целостности, регистрация и учет событий и т. п. Предположения относительно среды и условий функционирования АС указываются в «Аттестате соответствия» и являются необходимым условием для разрешения обработки в АС критичной либо конфиденциальной информации.

Когда границы проведения аттестации определены, осуществляется распределение ответственности между специалистами экспертной группы. В большинстве случаев в подготовке и проведении аттестационных испытаний требуется участие специалистов различных технических профилей.

При определении состава экспертной группы и распределении работ учитывается ряд характеристик АС. Основные характеристики, на которые обращается внимание, включают количество и сложность программно-технических компонентов АС и их документированность.

Количество и сложность программно-технических компонентов АС определяют объем трудозатрат, необходимый для проведения аттестации. Кроме того, следует учитывать такие характеристики АС, как физическая, логическая или функциональная распределенность ее компонентов.

Документированность АС является важным фактором при планировании процедуры аттестации. Необходимо учитывать наличие описания подсистемы информационной безопасности АС, включая описание механизмов безопасности, комплекса средств защиты и системы организационных мероприятий; делается ли в документации разделение между механизмами безопасности и другими механизмами; документированы ли функциональные требования, имеются ли спецификации системы, тестовая документация, справочные руководства и т. п. Учитывается также полнота представленной документации, ее соответствие текущему состоянию дел, требованиям нормативной и методической документации.

Области повышенного внимания

При проведении аттестационных испытаний основное внимание должно уделяться компонентам и подсистемам, осуществляющим передачу, обработку и хранение критичной информации. Критичность информации определяется величиной возможного ущерба, который может быть нанесен организации в случае нарушения безопасности этой информации.

Помимо критичности информации на определение областей повышенного внимания могут также влиять и другие факторы. Например, меньше внимания может уделяться тем компонентам АС, все уязвимости которых уже хорошо изучены. Однако, существование этих уязвимостей должно найти отражение в документах.

Для определения областей повышенного внимания и концентрации усилий при аттестации могут использоваться различные методы экспертных оценок. Например, широко распространенный метод Дельфи. В качестве исходных данных для принятия решения могут служить результаты проведения аудита безопасности, либо комплексного аудита АС, результаты анализа рисков и данные об имевших место нарушениях безопасности. Уязвимые места, требующие особого внимания, могут быть выявлены по результатам опросов пользователей и обслуживающего персонала.

Требуемый уровень детализации

В большинстве случаев для получения адекватных результатов достаточно провести базовый анализ механизмов безопасности АС, позволяющий определить общий уровень ее защищенности и степень соответствия требованиям безопасности. Базовый анализ ограничивается уровнем функциональных спецификаций и заключается в проверке наличия в составе системы компонентов, реализующих необходимый набор требований безопасности.

В некоторых ситуациях, по причине высокой критичности обрабатываемой информации или когда механизмы безопасности расположены на нижних уровнях абстракции и невидимы на верхних уровнях, оправдано проведение детального анализа. При детальном анализе не ограничиваются констатацией факта наличия необходимых функций безопасности, но оценивают также эффективность их реализации.

Существует большое количество критериев для определения уровня детализации, используемого при аттестации. В большинстве случаев основными критериями являются: критичность АС, состав исходных данных (например, доступность исходных текстов программ) и размещение механизмов безопасности (используются встроенные или наложенные средства защиты). Другими критериями могут служить: степень детализации, необходимая заказчику, размер и сложность АС, опыт экспертов. Решения, принятые на основании перечисленных выше критериев, могут относиться как ко всей АС, так и к ее отдельным компонентам и подсистемам.

Планирование ресурсов

На основе проведенного анализа осуществляется выделение ресурсов (временных, людских, технических средств и т. п.), необходимых для выполнения намеченных задач. Оценка времени включает не только время, необходимое для решения поставленных задач, но также, и время связанное с решением организационных вопросов при выделении соответствующих ресурсов. Выделение ресурсов производится с учетом возможных незапланированных ситуаций, способных оказать влияние на доступность людских и других ресурсов.

Документирование плана проведения аттестации

На основе проведенного анализа осуществляется подготовка и согласование плана проведения аттестации, который в общем случае включает в себя следующие разделы:

1. Резюме. Включает все необходимые сведения о порядке проведения работ.
2. Введение. Описывает структуру АС и границы проведения обследования, уровень критичности обрабатываемой информации и других ресурсов, группы задач, решаемых системой, и ограничения, накладываемые политикой безопасности, общий график работ, а также критерии для оценки уровня защищенности АС, включая требования нормативных документов и требования, специфичные для данной АС.
3. Распределение ответственности. Определяется организационная структура и обязанности экспертной группы и других участников процедуры аттестации. Определяются обязанности обслуживающего персонала по поддержке процедуры аттестации.
4. Требования безопасности. Определяется набор требований безопасности, используемых в качестве критерия при аттестации. Помимо существующей нормативной базы обычно имеются дополнительные требования, предъявляемые пользователями и политикой безопасности организации и специфичные для исследуемой АС. Универсальным методом для определения требований безопасности, адекватных существующим угрозам, является анализ рисков.
5. Подход к оцениванию. В этом разделе перечисляются задачи, выполняемые при проведении базового анализа и, в случае необходимости, детального анализа. Осуществляется распределение работ между участниками процедуры аттестации. Состав задач сильно зависит от того, находится ли АС на стадии разработки или на стадии эксплуатации. Затрагиваются следующие вопросы: области повышенного внимания, уровни детализации, конкретные задачи и используемые методы проведения испытаний, источники информации.
6. План-график работ. Определяет сроки подготовки промежуточных отчетных документов и исходных данных, сроки проведения совещаний и сроки окончания этапов выполнения работ. Сроки подготовки промежуточных отчетов определяются на основании оценки времени, сделанной на этапе планирования ресурсов.
7. Поддержка. Перечисляются требования к видам административной и технической поддержки процедуры аттестации со стороны обслуживающего персонала и руководства организации.
8. Отчетные документы. Основными отчетными документами являются отчет по результатам предварительного обследования объекта информатизации, программа и методика проведения аттестационных испытаний, протокол испытаний и заключение по результатам испытаний.
9. Приложения. В приложениях приводится структура отчета по результатам аттестационных испытаний, а также информация по методам и средствам, которые использовались при проведении испытаний и анализа или даются ссылки на источники такой информации.

Различия между процедурами аттестации, выполняемыми на стадии разработки АС и на стадии ее эксплуатации, проявляются при рассмотрении деталей выполнения отдельных задач. Например, при тестировании механизмов безопасности, аттестация, проводящаяся на стадии разработки, располагает только данными тестирования, в то время как на стадии эксплуатации доступны также данные аудита и мониторинга безопасности.

Сбор информации

Большая часть работы, выполняемой при аттестации (включая фазу планирования), заключается в сборе информации. Рассмотрим три основных метода сбора информации:

1. Получение информации от обслуживающего персонала и разработчиков АС
2. Изучение документации
3. Проведение опросов

При проведении аттестации наибольшее количество времени тратится на изучение характеристик АС. При изучении АС рассматриваются два основных вопроса: (1) назначение и принципы функционирования АС, (2) уровень защищенности АС (угрозы безопасности, ресурсы, механизмы защиты, уязвимости). Оба эти вопроса могут быть разрешены при изучении документации и в ходе опросов пользователей и разработчиков АС. Однако, эти способы сбора информации требуют больших временных затрат.

В идеале лучшим источником информации об объекте информатизации является проектная, рабочая и эксплуатационная документация. К сожалению, качество документации часто бывает низким, а иногда она просто отсутствует. С другой стороны, там, где она существует, ее объем может исчисляться сотнями и тысячами страниц печатного текста. Документация также может содержать устаревшие сведения. Механизмы безопасности в документации часто не отделяются от других механизмов или вообще не описываются. Поэтому существующая документация зачастую трудна для изучения и не содержит достаточного количества исходных данных для аттестации.

Метод проведения опросов также не лишен недостатков. Одним из основных недостатков этого метода является то, что для получения необходимой информации требуются значительные затраты времени. Типичный опрос требует, по крайней мере, один человеко-день работы, включая время его подготовки и документирования, и отнимает время и у проводящих опрос, и у опрашиваемых.

Наиболее эффективным методом сбора информации об АС является метод, при котором руководство организации, разрабатывающей либо эксплуатирующей АС, ставит перед ее разработчиками или обслуживающим персоналом задачу подготовить эту информацию и представить ее в экспертную группу.

Для проведения аттестационных испытаний должны быть подготовлены следующие документы:

1. Документы, содержащие требования безопасности
2. Отчет по результатам анализа рисков
3. Диаграммы информационных потоков приложений

Рисунок 2. Сбор информации для аттестации

Документы, содержащие требования безопасности

Требования безопасности являются критерием для проведения аттестации. Если требования безопасности не были должным образом сформулированы, то это делается в ходе аттестации. Формулировка требований является результатом совместной работы специалистов, осуществляющих поддержку АС, и экспертов, проводящих ее аттестацию. Участие экспертов, проводящих аттестацию, необходимо по той причине, что у специалистов по поддержке АС недостаточно знаний в области информационной безопасности, особенно в отношении нормативной и правовой базы. Участие специалистов по поддержке АС необходимо по причине недостаточного понимания экспертами, проводящими аттестацию, особенностей функционирования АС, а также требований пользователей.

Типичный набор руководящих документов, используемых при аттестации АС в нашей стране, включает в себя, но не исчерпывается, следующими документами:

• Закон РФ от 20 февраля 1995 г. № 24-Ф3 «Об информации, информатизации и защите информации»;
• Закон РФ от 4 июля 1996 г. № 85-Ф3 «Об участии в международном информационном обмене»;
• Указ Президента РФ от 6 марта 1997 г. № 188 «Об утверждении перечня сведений конфиденциального характера»;
• «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация АС и требования к защите информации», Гостехкомиссия России, 1997;
• «Средства вычислительной техники. Защита от НСД к информации. Показатели защищенности от НСД к информации», Гостехкомиссия России, 1992.

Из перечисленных нормативных документов последние два имеют особое значение для аттестации.

Руководящий документ (РД) Гостехкомиссии РФ «СВТ. Защита от НСД к информации. Показатели защищенности от НСД к информации» устанавливает классификацию СВТ по уровню защищенности от несанкционированного доступа к информации на базе перечня показателей защищенности и совокупности описывающих их требований. Устанавливается семь классов защищенности СВТ от НСД к информации. Самый низкий класс седьмой, самый высокий первый. Классы подразделяются на четыре группы, отличающиеся уровнем защищенности:

• первая группа содержит только один седьмой класс;
• вторая группа характеризуется дискреционной защитой и содержит шестой и пятый классы;
• третья группа характеризуется мандатной защитой и содержит четвертый, третий и второй классы;
• четвертая группа характеризуется верифицированной защитой и содержит только первый класс.

РД Гостехкомиссии РФ «АС. Защита от НСД к информации. Классификация АС и требования по защите информации» устанавливает классификацию АС, подлежащих защите от несанкционированного доступа к информации, и требования по защите информации в АС различных классов. Определяющими признаками, по которым производится группировка АС в различные классы, являются:

• наличие в АС информации различного уровня конфиденциальности;
• уровень полномочий субъектов доступа АС на доступ к конфиденциальной информации;
• режим обработки данных в АС — коллективный или индивидуальный.

Устанавливается девять классов защищенности АС от НСД к информации. Каждый класс характеризуется определенной минимальной совокупностью требований по защите. Классы подразделяются на три группы, отличающиеся особенностями обработки информации в АС. В пределах каждой группы соблюдается иерархия требований по защите в зависимости от ценности и конфиденциальности информации и, следовательно, иерархия классов защищенности АС.

Кроме этого, в зависимости от характера АС, могут использоваться другие руководящие документы Гостехкомиссии РФ, содержащие требования, предъявляемые к конкретным классам СВТ, входящим в состав АС.

Отчет по результатам анализа рисков

Анализ рисков на объекте информатизации проводится с целью обоснования требований безопасности, предъявляемых к АС, уточнения состава этих требований и выработки системы контрмер, необходимых для успешного противодействия существующим в данной среде угрозам безопасности. Отчет по результатам анализа рисков содержит описание ресурсов АС, оценку их критичности, описание существующих угроз и уязвимостей, оценку ущерба, связанного с осуществлением угроз, и оценку рисков. Оценка рисков определяется вероятностью осуществления угрозы, величиной уязвимости и величиной возможного ущерба, причиняемого организации в случае успешного осуществления угрозы. Проведение анализа рисков требует деятельного участия специалистов, отвечающих за эксплуатацию АС.

Диаграммы информационных потоков приложений

Диаграммы информационных потоков приложений описывают входные, выходные и внутренние информационные потоки приложений, выполняющихся в рамках АС. Диаграммы информационных потоков необходимы для понимания принципов функционирования АС. Этот документ готовится при участии специалистов, отвечающих за поддержку АС.

Описание механизмов безопасности АС

К механизмам безопасности относится любая реализация защитных мер, включая организационный, физический и программно-технический уровни, а также любые действия и процедуры, уменьшающие вероятность нарушения безопасности АС.

Документы, содержащие описание механизмов безопасности АС, полученные от разработчиков или обслуживающего персонала АС, должны подкрепляться изучением документации и проведением опросов.

Базовый анализ

Аттестация может проводиться на двух уровнях детализации: базовый анализ и детальный анализ. Основное отличие между базовым и детальным анализом заключается в том, что базовый анализ концентрируется главным образом на общих функциональных возможностях обеспечения безопасности АС, а не на особенностях отдельных защитных механизмов. Например, при базовом анализе определяется, является ли достаточным контроль доступа на уровне файлов или на уровне отдельных записей; достаточно ли осуществлять аутентификацию на уровне хостов или на уровне пользователей. При базовом анализе также проверяется существование механизмов безопасности. При детальном анализе проверяется правильность функционирования механизмов безопасности, удовлетворяют ли они критерию производительности, являются ли они достаточно надежными и их устойчивость к попыткам взлома.

В ходе базового анализа решаются следующие основные задачи:

1. Оценка адекватности требований безопасности.
2. Оценка адекватности механизмов безопасности.
3. Проверка существования механизмов безопасности.
4. Обзор методологии реализации механизмов безопасности.

Рисунок 3. Этапы базового анализа АС

 

Оценка адекватности требований безопасности

Основной целью аттестации является проверка соответствия механизмов безопасности АС предъявляемым к ним требованиям. Поэтому требования безопасности должны быть четко определены и должны быть адекватны существующим рискам. Для большинства АС не существует четко определенного набора адекватных требований безопасности.

На этапе базового анализа существующие требования безопасности должны быть критически исследованы с целью определения их пригодности для целей аттестации и соответствия ожиданиям пользователей, политике безопасности организации, законодательной и нормативной базе. Основная часть требований может содержаться в техническом задании на создание АС.

Если требования безопасности ранее не были определены и документированы, то их необходимо сформулировать и документировать в процессе анализа рисков.

Как при определении, так и при оценке адекватности требований безопасности рассматриваются два класса требований: общие требования и требования, специфичные для исследуемой АС. Общие требования формулируются на основе федеральных законов, руководящих документов государственных органов, стандартов и политики безопасности организации. Специфичные требования формулируются в процессе анализа рисков.

Мероприятия по анализу и управлению рисками

Анализ рисков — это то, с чего должно начинаться построение любой системы информационной безопасности. Он включает в себя мероприятия по обследованию безопасности АС, целью которых является определение того, какие ресурсы и от каких угроз надо защищать, а также в какой степени те или иные ресурсы нуждаются в защите. Определение набора адекватных контрмер осуществляется в ходе управления рисками. Ниже раскрываются сущность и содержание мероприятий по анализу и управлению рисками.

Риск определяется вероятностью причинения ущерба и величиной ущерба, наносимого ресурсам АС в случае осуществления угрозы безопасности.

Анализ рисков состоит в том, чтобы выявить существующие риски и оценить их величину, т. е. дать им количественную оценку. Его можно разделить на несколько последовательных этапов:

• Идентификация ключевых ресурсов АС.
• Определение важности тех или иных ресурсов.
• Идентификация существующих угроз безопасности и уязвимостей, делающих возможным осуществление угроз.
• Вычисление рисков, связанных с осуществлением угроз безопасности.

Ресурсы АС можно разделить на три категории:

• Информационные ресурсы.
• Программное обеспечение.
• Технические средства.

В каждой категории ресурсы можно разделить на классы и подклассы. Необходимо идентифицировать только те ресурсы, которые определяют функциональность АС и существенны с точки зрения обеспечения безопасности.

Важность (или стоимость) ресурса определяется величиной ущерба, наносимого в случае нарушения конфиденциальности, целостности или доступности этого ресурса. В ходе оценки стоимости ресурсов определяется величина возможного ущерба для каждой категории ресурсов:

• Данные были раскрыты, изменены, удалены или стали недоступны.
• Аппаратура была повреждена или разрушена.
• Нарушена целостность ПО.

Типичные угрозы безопасности включают в себя:

• локальные и удаленные атаки на ресурсы АС;
• стихийные бедствия;
• ошибки персонала;
• сбои в работе АС, вызванные ошибками в ПО или неисправностями аппаратуры.

Под уровнем угрозы понимается вероятность ее осуществления.

Оценка уязвимостей предполагает определение вероятности успешного осуществления угроз безопасности. Успешное осуществление угрозы означает нанесение ущерба ресурсам АС. Наличие уязвимостей в АС обусловлено слабостями защиты.

Таким образом, вероятность нанесения ущерба определяется вероятностью осуществления угрозы и величиной уязвимости.

Величина риска определяется на основе стоимости ресурса, уровня угрозы и величины уязвимости. С увеличением стоимости ресурса, уровня угрозы и величины уязвимости возрастает и величина риска. На основе оценки величины рисков определяются требования безопасности.

Задача управления рисками включает выбор и обоснование выбора контмер, позволяющих снизить величину рисков до приемлемого уровня. Управление рисками включает в себя оценку стоимости реализации контрмер, которая должна быть меньше величины возможного ущерба. Разница между стоимостью реализации контмер и величиной возможного ущерба должна быть тем больше, чем меньше вероятность причинения ущерба.

Контрмеры могут способствовать уменьшению величины рисков различными способами:

• уменьшая вероятность осуществления угроз безопасности;
• ликвидируя уязвимости или уменьшая их величину;
• уменьшая величину возможного ущерба;
• выявляя атаки и другие нарушения безопасности;
• способствуя восстановлению ресурсов АС, которым был нанесен ущерб.

При выполнении работ по анализу и управлению рисками в компании Инфосистемы Джет используется методика CRAMM и соответствующие инструментальные средства. Метод CRAMM (the UK Government Risk Analysis and Management Method) используется начиная с 1985 г. правительственными и коммерческими организациями Великобритании. За это время он приобрел популярность во всем мире.

CRAMM предполагает разделение всей процедуры на три последовательных этапа. Задачей первого этапа является ответ на вопрос: «Достаточно ли для защиты системы применения средств базового уровня, реализующих традиционные функции безопасности, или необходимо проведение более детального анализа защищенности?». На втором этапе производится идентификация рисков и оценивается их величина. На третьем этапе решается вопрос о выборе адекватных контрмер.

Методика CRAMM для каждого этапа определяет набор исходных данных, последовательность мероприятий, анкеты для проведения опросов, списки проверки и набор выходных документов (отчетов).

Единые критерии оценки безопасности информационных технологий

В основе аттестации АС в настоящее время лежат «Единые критерии оценки безопасности ИТ» (Common Criteria for Information Technology Security Evaluation). «Единые критерии» — это нормативный документ, определяющий требования безопасности, на основании которых проводится оценка уровня защищенности продуктов ИТ, общий набор понятий, структур данных и язык для формулирования вопросов и утверждений относительно безопасности продуктов ИТ.

Международная организация по стандартизации (ISO) начала разработку критериев оценки защищенности в 1990 году. Затем авторы канадского (CTCPEC), европейского (ITSEC) и американских (FC и TCSEC) критериев оценки защищенности в 1993 году объединили свои усилия и начали разработку проекта «Единых критериев». Целью проекта было устранение концептуальных и технических различий между существующими критериями. 1 декабря 1999 года версия 2.1 «Единых критериев» была принята ISO в качестве международного стандарта ISO 15408.

В «Единых критериях» определен ряд ключевых понятий, лежащих в основе концепции оценки защищенности продуктов ИТ. Среди них понятие Профиля защиты (PP — Protection Profile), Задания по безопасности (ST — Security Target) и Объекта оценки (TOE — Target of Evaluation). В качестве Объекта оценки может выступать любое СВТ или АС.

PP представляет собой жестко структурированный документ, содержащий требования безопасности для определенного класса программно-технических средств. Помимо требований безопасности PP описывает множество угроз безопасности и задач защиты, а также содержит обоснование соответствия между угрозами безопасности, задачами защиты и требованиями безопасности.

ST представляет собой жестко структурированный документ, определяющий, помимо требований безопасности, функциональную спецификацию механизмов безопасности конкретного продукта ИТ. Содержащиеся в ST требования безопасности определяются при помощи ссылок на соответствующие Профили защиты и требования «Единых критериев». Специфичные для конкретного продукта ИТ требования формулируются отдельно и также включаются в ST. Кроме этого, ST содержит обоснование соответствия между требованиями безопасности и функциональной спецификацией TOE.

В «Единых критериях» представлены две категории требований безопасности: функциональные требования и требования адекватности (гарантированности) механизмов безопасности. Функциональные требования определяют совокупность функций TOE, обеспечивающих его безопасность. Адекватность — это свойство TOE, дающее определенную степень уверенности в том, что механизмы безопасности TOE достаточно эффективны и правильно реализованы. Выводы об адекватности TOE делаются на основании знаний о спецификации, реализации и функционировании TOE. Для выражения функциональных требований и требований адекватности в «Единых критериях» используется единая терминология и стиль.

Аттестация — сложный, длительный и очень ресурсоемкий процесс. Из-за невозможности произвести формальную верификацию или исчерпывающее тестирование всей АС, приходится говорить лишь о достижении определенного уровня адекватности (гарантированности) результатов аттестационных испытаний. В «Единых критериях» вводится единая шкала уровней адекватности оценки (EAL — Evaluation Assurance Level). Каждый EAL представлен определенной совокупностью требований адекватности «Единых критериев».

Вводится семь уровней адекватности оценки: EAL1, EAL2, ..., EAL7. Эти уровни упорядочены по возрастанию. Минимальный уровень адекватности — EAL1 (функциональное тестирование) предоставляет минимальные гарантии адекватности путем проведения анализа механизмов безопасности с использованием спецификаций функций и интерфейса TOE, сопровождаемого независимым тестированием каждого механизма безопасности по методу «черного ящика». EAL1 предназначен для обнаружения только самых очевидных уязвимостей защиты при минимальных издержках. Он применим в тех случаях, когда отсутствуют серьезные риски, связанные с безопасностью. Максимальный уровень адекватности — EAL7 (формальная верификация проекта и тестирование) характеризуется использованием при проектировании комплекса средств защиты формальной модели, формального представления функциональных спецификаций, полуформального представления проекта нижнего уровня и формальной или полуформальной демонстрации соответствия между ними. Анализы сопровождаются независимым тестированием механизмов безопасности по методу «белого ящика». Уровень EAL7 представляет верхнюю границу уровней адекватности оценки АС, которую реально достичь на практике. Его использование следует рассматривать только в качестве экспериментального для аттестации простых и особо критичных АС.

Согласно «Единым критериям» этапы оценки защищенности TOE определяются, исходя из различных уровней абстракции представления: угрозы безопасности —> задачи защиты —> требования безопасности —> спецификация —> реализация.

Выделяют два основных этапа проведения оценивания:

1. Оценка базовых Профилей защиты.
2. Анализ Объекта оценки.

Оценка базовых Профилей защиты включает анализ угроз безопасности, задач защиты, требований безопасности и установку соответствия между ними.

Анализ Объекта оценки проводится в два этапа: Оценка Задания по безопасности и Оценка TOE.

Оценка Задания по безопасности имеет целью демонстрацию того, что спецификация (формальное, полуформальное или неформальное описание) механизмов безопасности полностью отвечает требованиям Профиля защиты и является пригодным для использования в качестве основы для оценивания TOE;

Оценка TOE заключается в проверке соответствия реализации TOE его спецификации, содержащейся в Задании по безопасности.

Анализ механизмов безопасности

Используемая методика анализа механизмов безопасности зависит от того, имеется ли четко определенный набор требований безопасности либо по тем или иным причинам он отсутствует.

Когда требования безопасности определены

Когда требования безопасности определены и задокументированы, основной задачей этапа базового анализа становится проверка соответствия реализованных в АС механизмов безопасности этим требованиям. При проведении испытаний АС используются списки проверки, которые содержат, например, следующие вопросы: Обеспечен ли индивидуальный учет пользователей? Идентифицированы ли субъекты и объекты и присвоены ли им метки доступа? Обеспечивается ли режим доступа к данным «только на чтение»? Выполняется ли регистрация всех попыток доступа к файлам? Имеются планы восстановления работоспособности и реагирования на попытки НСД? и т. п.

Требования безопасности могут быть сформулированы с различной степенью детализации. В некоторых случаях требования только определяют необходимость наличия некоторого механизма безопасности, например, такого, как аутентификация удаленных пользователей. В других случаях требования могут определять необходимость использования конкретной схемы аутентификации. В обоих ситуациях проверяется наличие соответствующих механизмов безопасности и их адекватность существующим угрозам.

Когда требования безопасности не определены

Бывают ситуации, когда требования безопасности не могут быть четко определены. Например, когда требуется обеспечить защиту ресурсов корпоративной сети от сетевых атак, то практически невозможно идентифицировать все способы возможных атак, от которых требуется защищаться. В таких ситуациях целесообразно использовать методы активного тестирования механизмов безопасности АС. Эти методы основаны на оценке эффективности противодействия механизмов безопасности определенным видам угроз. Например, активное тестирование механизмов контроля доступа выполняется путем осуществления попыток проникновения в систему (с помощью автоматического инструментария или вручную). Для поиска известных уязвимостей защиты АС используются различные автоматизированные средства анализа защищенности, наиболее распространенными из которых являются сетевые сканеры.

Большинство методов оценки требований безопасности также годятся и в данной ситуации. Однако, без четко сформулированных требований трудно определить адекватность механизмов безопасности.

Уровень детализации

Важным вопросом анализа механизмов безопасности является выбор уровня детализации. В общем случае базовый анализ должен выполняться на функциональном уровне. Функциональный уровень — это уровень абстракции, представленный спецификациями функций АС. Это относится как к внутренним механизмам безопасности, так и к внешним (физическим и административным мерам защиты), хотя последние обычно не определяются в функциональных спецификациях.

Для многих АС функциональных спецификаций просто не существует, либо они бывают неполны. Поэтому экспертам для того, чтобы определить функциональные спецификации АС, приходится изучать принципы ее функционирования, проектную и эксплуатационную документацию.

Проверка существования механизмов безопасности

На этапе базового анализа проверяется существование механизмов безопасности, представленных функциональными спецификациями АС. Установить факт существования большинства физических и административных мер защиты можно простой визуальной проверкой и проверкой наличия соответствующей организационно-распорядительной документации. Для проверки наличия механизмов безопасности, реализованных программными или техническими средствами, необходимо проведение тестирования. При тестировании не ставится задача определения качества функционирования защитных механизмов, т. к. это выходит за рамки базового анализа. С другой стороны, в случае наличия серьезных недостатков, ставящих под вопрос общую эффективность комплекса средств защиты АС, качество реализации защитных механизмов должно учитываться. Обычно для проверки наличия механизмов безопасности бывает достаточно проведения тестирования по методу «черного ящика».

Обзор методологии реализации механизмов безопасности

Проверка существования механизмов безопасности не дает гарантий эффективности функционирования этих механизмов. Лучшим способом получить определенные гарантии, не погружаясь в тестирование и детальные анализы, является рассмотрение методологии, использовавшейся при разработке АС. Рассмотрение методологии производится независимо от того, находится ли АС на этапе разработки или эксплуатации.

Обзор методологии позволяет судить о степени надежности реализации механизмов безопасности и о вероятности наличия брешей в защите АС. Недостатки используемых методов проектирования и разработки приводят к ошибкам в реализации АС. Если в результате анализа методологии установлено, что качеству реализации доверять нельзя, то, обычно, требуется проведение детального анализа для поиска конкретных ошибок в реализации АС.

Американские источники, посвященные методологии разработки средств защиты информации, содержат множество государственных стандартов, устанавливающих порядок разработки и анализа защищенности критичных АС и ПО.

В нашей стране Гостехкомиссией РФ был принят РД «Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от НСД в АС и СВТ», определяющий следующие основные вопросы:

• организационную структуру и порядок проведения работ по защите информации от НСД и взаимодействия при этом на государственном уровне;
• систему государственных нормативных актов, стандартов, руководящих документов и требований по этой проблеме;
• порядок разработки и приемки защищенных СВТ, в том числе программных и технических (в частности, криптографических) средств и систем защиты информации от НСД;
• порядок приемки указанных средств и систем перед сдачей в эксплуатацию в составе АС, порядок их эксплуатации и контроля за работоспособностью этих средств и систем в процессе эксплуатации.

Повышенное внимание во время обзора методологии уделяется следующим вопросам:

1. Полнота и качество проектной и эксплуатационной документации.
2. Наличие четко определенных требований к проектированию АС.
3. Используемые методы управления проектом. Наличие у разработчиков методики анализа и тестирования механизмов безопасности АС.
4. Используемые в процессе создания АС методы пректирования. Учет основных принципов архитектурной безопасности. Используемые стандарты и технологии программирования.
5. Осведомленность разработчиков АС в вопросах информационной безопасности. Учет требований безопасности на этапах проектирования и реализации.

Детальный анализ

Во многих случаях для проведения аттестации бывает недостаточно одного базового анализа. Примерами могут служить случаи, при которых (1) во время базового анализа обнаруживаются проблемы, требующие проведения дальнейших исследований; (2) АС имеет высокую степень критичности; или (3) основные механизмы безопасности встроены во внутренние функции, которые не видны на функциональном уровне. В подобных случаях требуется проведение детального анализа.

Детальный анализ концентрируется на оценке эффективности реализации механизмов безопасности. АС исследуется с трех точек зрения:

1. Оценка правильности функционирования механизмов безопасности.
2. Оценка эксплуатационных характеристик, таких как надежность и производительность.
3. Оценка устойчивости к попыткам взлома.

При детальном анализе используется множество подходов, выбор которых определяется скорее существующими угрозами и их последствиями, чем общими характеристиками и критичностью АС. Например, если главной задачей является обеспечение конфиденциальности закрытой информации, основной упор делается на контроле доступа к этой информации и закрытии ее содержания при помощи криптографических средств. Организации, предоставляющие пользователям критичные сервисы, должны сконцентрировать свои усилия, прежде всего, на вопросах доступности этих сервисов. Если главной задачей приложения является обработка клиентских счетов, то особое внимание должно быть уделено механизмам контроля целостности данных.

Рисунок 4. Детальный анализ механизмов безопасности АС

 

Подходы к проведению детального анализа

Проверка правильности функционирования механизмов безопасности

При проверке правильности функционирования механизмов безопасности ставится задача оценить, выполняют ли защитные механизмы возложенные на них функции. Наиболее часто для решения этой задачи используются различные методы тестирования.

При тестировании защитных механизмов изучаются следующие вопросы:

1. Работоспособность механизмов безопасности.
2. Проверка правильности обработки недопустимых параметров функций.
3. Обработка исключительных ситуаций.
4. Мониторинг механизмов безопасности и регистрация событий, связанных с безопасностью.
5. Проверка правильности функционирования средств администрирования.

Механизмы безопасности АС должны быть адекватно защищены как от ошибок пользователей, так и от внутренних ошибок. Следовательно, при тестировании особое внимание должно уделяться системным интерфейсам, через которые могут распространяться эти ошибки:

1. человек-человек (сообщения оператора);
2. человек-система (команды, процедуры);
3. система-система (внутренние функции системы);
4. процесс-система (системные вызовы);
5. процесс-процесс (межпроцессорное взаимодействие).

Здесь может использоваться большинство известных методов тестирования. Тестирование может быть либо внешним (метод «черного ящика»), либо внутренним (метод «белого ящика», тестирование отдельных программных модулей и связей между модулями), в зависимости от типа интерфейса, который подвергается тестированию. Тестирование может быть выполнено группой экспертов, проводящих анализ, разработчиками, пользователями или смешанным коллективом.

Когда тестирование внутренних интерфейсов выполняется независимо от разработчика АС, оно может быть связано с определенными техническими проблемами. Может потребоваться написание фиктивных подпрограмм (пустышек), инструментарий для генерации и сбора тестовых данных и множество вспомогательного программного обеспечения. Может потребоваться инструментарий для разработки ПО, специально приспособленный для конкретной ОС или конкретной АС. Идеальным решением является использование средств, при помощи которых АС первоначально разрабатывалась.

Помимо тестирования, существуют также другие методы анализа, которые можно использовать для проверки правильности функционирования механизмов безопасности.

В качестве одного из методов при проведении детального анализа может использоваться формальная верификация. Формальная верификация дает возможность математически точно доказать соответствие реализации функций безопасности АС на языке программирования ее формальной спецификации.

Представляется весьма перспективным использование автоматизированных систем доказательства корректности программ. К настоящему времени существует уже более двадцати подобных систем. Каждая из этих систем разрабатывалась для верификации широкого класса программ определенной предметной области. В их основе лежат разные математические аппараты и разные принципы функционирования. Однако можно выделить компоненты, необходимые любой подобной системе:

1. Язык формальной спецификации.

   На этом языке описываются входные и выходные данные (структуры данных, абстрактные типы данных).

2. Язык программирования.

   На этом языке пишется программа. Для того, чтобы правильность этой программы можно было доказать, семантика этого языка должна быть формально определена.

3. Блок синтаксического анализа.

   На вход этого блока поступает уже аннотированная программа, т. е. программа на языке программирования вместе с ее спецификацией на языке спецификации. Блок синтаксического анализа осуществляет синтаксический контроль и преобразует программу к специальному виду, удобному для дальнейшей обработки.

4. Генератор условий корректности (генератор теорем).

   Выдает список условий корректности на вход блока доказательства. Реализует алгоритмы обратного и прямого прослеживания.

5. Блок доказательства теорем.

   Является наиболее сложным. Он выдает список упрощенных условий корректности на вход блока анализа выхода, среди которых выделены доказанные условия. Блок доказательства имеет дополнительный вход, на который подается информация от пользователя в виде аксиом.

6. Блок анализа выходных данных.

   Осуществляет, совместно с пользователем, анализ списка условий корректности. Если все условия доказаны, то входная программа частично корректна.

Например, система FDM позволяет пользователю написать спецификацию формальной модели (включая инварианты и ограничения по безопасности) на языке спецификации Ina Jo, а генератор теорем автоматически генерирует теоремы (критерий правильности), которые должны быть доказаны, чтобы гарантировать, что спецификация верхнего уровня соответствует модели. Генератор теорем также автоматически генерирует теоремы, которые необходимо доказать, чтобы гарантировать, что спецификация каждого нижележащего уровня следует из спецификации более высокого уровня.

Система AFFIRM доказывает корректность программ на языке Паскаль, расширенных за счет абстрактных типов данных. Основная особенность системы — использование базы данных и модуля доказательства в эквациональных теориях на основе алгоритма Кнута-Бендикса. Модуль применяется для доказательства свойств абстрактных типов данных, аксиоматизированных посредством равенств. База данных используется для хранения аксиом и свойств абстрактных типов данных, установленных с помощью канонических систем подстановок термов, а также для хранения промежуточных утверждений, возникающих в процессе доказательства условий корректности. Система AFFIRM включает также модуль доказательства теорем в процессе диалога с пользователем, который выбирает стратегию доказательства. Этот модуль базируется на универсальном методе доказательства теорем (метод естественного вывода, включающий правило индукции) и в процессе работы использует информацию из базы данных. Задача синтеза инвариантов циклов в этой системе возлагается на пользователя.

Существуют успешные примеры применения автоматизированных систем доказательства корректности программ для верификации механизмов безопасности. Например, в проекте защищенной операционной системы UNIX, выполненном в Калифорнийском университете в городе Лос-Анжелес (UCLA), для проверки механизмов защиты данных от несанкционированного доступа использовались методы формальной спецификации и верификации. В этом проекте для доказательства правильности программного кода использовался генератор условий корректности для языка Паскаль системы AFFIRM. Доказательства условий правильности уровня проектирования были выполнены вручную, однако, система AFFIRM использовалась для проверки части этих доказательств.

Формальные методы из-за своей трудоемкости, высокой стоимости и недостаточной изученности пока не получили широкого распространения. Однако, они используются при разработке и верификации механизмов контроля вооружений, космических аппаратов и других АС, связанных с высоким риском. Эти методы в перспективе будут играть более важную роль при проведении аттестации.

Оценка эксплуатационных характеристик

Эффективность механизмов безопасности определяется не только корректностью их функционирования. Многие показатели, определяющие эффективность, можно отнести к общей категории под названием «эксплуатационные характеристики», которая является второй областью исследования при детальном анализе. К показателям эффективности относятся: надежность, отказоустойчивость, восстанавливаемость, время реакции и производительность. Они применимы как к отдельным механизмам, так и к АС в целом.

Тестирование является лучшим способом оценки эксплуатационных характеристик, при этом для измерения каждого показателя эффективности необходимы специальные виды тестов. Употребительным методом является тестирование на пиковых нагрузках. Для создания пиковых нагрузок требуется создание множества запросов на обслуживание, использование большого количества фоновых процессов и задействование максимального количества системных ресурсов. Этот метод годится и для тестирования механизмов безопасности, т. к. в процессе эксплуатации пиковые нагрузки часто перемежаются с нормальной работой.

Тестирование при пиковых нагрузках также используется в более направленной манере, путем осуществления попыток исчерпать квоты на использование конкретных системных ресурсов, таких как буферы, очереди, таблицы, порты и т. п. Направленное тестирование при пиковых нагрузках особенно полезно при оценке устойчивости АС к отказам в обслуживании.

Устойчивость к попыткам взлома

При использовании этого подхода ставится задача оценить устойчивость механизмов безопасности АС к попыткам их взлома или обхода. Устойчивость — это способность АС блокировать и оперативно реагировать на возможные атаки. Методы криптоанализа, например, могут использоваться для взлома конкретного механизма безопасности — шифрования. Создание и использование перехватчика паролей — это пример обхода механизмов безопасности.

Используемые методы анализа устойчивости АС определяются моделью нарушителя. В соответствии с моделью нарушителя обычно все потенциальные нарушители делятся на две категории: внешние и внутренние. В качестве внутреннего нарушителя рассматривается субъект, имеющий доступ к работе со штатными средствами АС и СВТ как части АС. Нарушители классифицируются по уровню возможностей, предоставляемых им штатными средствами АС и СВТ. Выделяется четыре уровня этих возможностей. Классификация является иерархической, т.е. каждый следующий уровень включает в себя функциональные возможности предыдущего.

Первый уровень (уровень пользователя) определяет самый низкий уровень возможностей ведения диалога в АС — запуск задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции по обработке информации.

Второй уровень (уровень прикладного программиста) определяется возможностью создания и запуска собственных программ с новыми функциями по обработке информации.

Третий уровень (уровень администратора) определяется возможностью управления функционированием АС, т.е. воздействием на базовое программное обеспечение системы, на состав и конфигурацию ее оборудования. Четвертый уровень (уровень системного программиста или разработчика АС) определяется всем объемом возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств АС, вплоть до включения в состав СВТ собственных технических средств с новыми функциями по обработке информации.

Внешние нарушители по уровню своих возможностей также могут подразделяться на уровни.

В своем уровне нарушитель является специалистом высшей квалификации, знает все об АС и, в частности, о системе и средствах ее защиты.

Понятие устойчивости к попыткам взлома относится не только к атакам на данные, но также к атакам, направленным против физических и программных ресурсов АС. Оценка устойчивости к попыткам взлома может оказаться технически наиболее сложной задачей при детальном анализе. Эта часть анализа производится с целью повышения уровня гарантированности, а также поиска и устранения брешей в защите АС. Однако, опыт показывает неадекватность метода «найти и устранить» для обеспечения безопасности. Здесь выделяются три задачи:

1. Оценка устойчивости АС к попыткам взлома.
2. Определение величины уязвимостей (с какими трудностями связано использование брешей в защите).
3. Демонстрация возможностей использования брешей в защите.

Существует несколько подходов к анализу устойчивости АС:

1. Поиск уязвимостей, попадающих в определенную категорию или соответствующих определенному шаблону.
2. Построение гипотезы о наиболее характерных уязвимостях и определение того, существуют ли они в данной программе.

Хотя эти подходы применяются при анализе программного обеспечения, существуют аналогичные подходы к анализу технических средств, а также физических и административных механизмов безопасности.

Рисунок 5. Обобщенная схема автоматизированной системы доказательства корректности программ

 

Стратегии сосредоточения усилий при детальном анализе

Даже при детальном анализе редко удается охватить целиком все аспекты обеспечения безопасности АС. Ниже представлены две стратегии сосредоточения усилий, которые применяются при проведении анализа с использованием обсуждавшихся выше подходов. Одна основана на анализе компонентов модели защиты, а другая — на анализе конкретных сценариев атак и процессов, происходящих в АС.

Анализ компонентов модели защиты АС

Эта стратегия сосредоточения усилий базируется на четырех основных компонентах модели защиты АС, в число которых входят ресурсы, угрозы, возможные последствия угроз и механизмы безопасности. Все эти компоненты должны быть уже рассмотрены на этапе базового анализа и в ходе анализа рисков. Текущая задача предполагает их более детальное рассмотрение на основе уже имеющихся данных.

Информационные, программные и физические ресурсы АС выступают в качестве объекта защиты. Может потребоваться произвести детальное исследование ресурсов (файлов, записей, программ, устройств, каналов связи и т. п.) вместе с их атрибутами (количество, параметры, способы использования, характеристики).

Угрозы безопасности для ресурсов АС определяются в терминах модели нарушителя, способа осуществления угрозы и объекта нападения. При анализе угроз важно различать виды угроз: случайные, намеренные или обусловленные естественными причинами. Защита от намеренных угроз, называемых также атаками, может оказаться наиболее сложной.

Атаки на ресурсы АС, предпринимаемые как внешними, так и внутренними нарушителями, подразделяются на удаленные (сетевые) и локальные.

Локальные атаки характеризуются следующими атрибутами:

1. Источник угрозы, описываемый моделью нарушителя.
2. Вид атаки, указывает на принадлежность к тому или иному известному виду атак, согласно их классификации.
3. Способ атаки, указывает на принадлежность к тому или иному известному способу атаки данного вида, согласно их классификации.
4. Объект атаки (ресурс АС, против которого направлена атака).
5. Цель и последствия (результат) осуществления угрозы (описание последствий и оценка вероятного ущерба). Возможными целями осуществления угроз безопасности являются нарушение конфиденциальности, целостности или доступности информационных ресурсов АС, а также доступности программных и технических компонентов АС.
6. Условия (предпосылки) возникновения угрозы безопасности, такие как наличие определенных видов уязвимостей, нарушения технологического процесса проектирования и разработки ПО и т. п.
7. Жизненный цикл угрозы, который состоит из следующих процессов:
   • зарождение,
   • развитие,
   • проникновение в АС,
   • проникновение в критичную информацию,
   • инициализация,
   • результат действия,
   • регенерация.

Удаленные (сетевые) атаки дополнительно могут характеризоваться следующими атрибутами:

1. Условие начала осуществления воздействия:
   • Атака по запросу от атакуемого объекта.
   • Атака по наступлению ожидаемого события на атакуемом объекте.
   • Безусловная атака.
2. По наличию обратной связи с атакуемым объектом:
   • С обратной связью.
   • Без обратной связи.
3. По расположению субъекта атаки относительно атакуемого объекта:
   • Внутрисегментное.
   • Межсегментное.
4. По уровню эталонной модели OSI, на котором осуществляется воздействие:
   • Физический.
   • Канальный.
   • Сетевой.
   • Транспортный.
   • Сеансовый.
   • Представительский.
   • Прикладной.
5. По характеру воздействия:

В процессе анализа исследуются факторы, влияющие на вероятности успешного осуществления угроз. Вероятности осуществления угроз зависят от состояния и степени критичности ресурсов, последствий, связанных с реализацией угрозы, существующих защитных механизмов и ожидаемого выигрыша, получаемого злоумышленником. Вероятности успешного осуществления угроз зависят от величины уязвимостей защиты АС, которые также оцениваются.

На выбор методов анализа оказывает влияние природа угроз. Например, стандартным является метод анализа исходных текстов программы с целью определения их соответствия установившейся технологии и стилю программирования, поиска ошибок и брешей в реализации механизмов безопасности. Однако, если источником угрозы является разработчик приложения, то встает задача поиска программных закладок и, вместо исходных текстов и спецификации, проводится изучение объектного кода, т.к. злонамеренные действия разработчика в этом случае не будут задокументированы.

Последствия реализации угроз — это формы возможных потерь, характеризуемые величиной ущерба, наносимого владельцу или пользователям АС. Примерами последствий реализации угроз могут служить раскрытие конфиденциальной информации, принятие ошибочных решений руководством организации и кража денежных средств путем компьютерного мошенничества. При оценке возможного ущерба рассматривается наихудший вариант развития событий.

Анализ механизмов безопасности предполагает детальное исследование эффективности их противодействия угрозам. На этом этапе осуществляется поиск слабостей механизмов безопасности, которые обуславливают существование уязвимостей защиты, определение реальных трудностей, связанных с использованием слабостей конкретного механизма безопасности, анализ накладных расходов на обеспечение безопасности и исследование альтернативных способов реализации защитных механизмов.

Анализ конкретных сценариев атак и процессов

Размеры и сложность современных АС часто не позволяют получить исчерпывающую информацию обо всех аспектах ее функционирования. В этом случае оценку уровня защищенности АС приходится давать, основываясь на неполной информации. Эффективным решением в данной ситуации является использование подхода, связанного с анализом конкретных сценариев атак и процессов, происходящих в АС. Данный подход дополняет результаты базового анализа конкретными примерами, и позволяет сосредоточиться на частных и наиболее важных аспектах работы отдельных приложений.

Сценарий атаки описывает стадии реализации угрозы безопасности, рассмотренные выше. Примером сценария атаки может служить пошаговое описание попытки несанкционированного проникновения в АС (включая последовательность действий злоумышленника и процесс планирования атаки), используемых уязвимостей, скомпрометированных ресурсов АС и последствий атаки (включая оценку ущерба).

Данный подход предполагает широкое использование методов активного тестирования защищенности АС с применением соответствующих инструментальных средств. Идея активного тестирования заключается в имитации действий возможного злоумышленника по преодолению системы защиты с использованием известных методов осуществления локальных и удаленных атак. По результатам тестирования делается вывод о наличии либо отсутствии в АС известных уязвимостей. На данном принципе основана работа сетевых сканеров, являющихся в настоящее время основным инструментом активного тестирования АС.

Подготовка отчетных документов по результатам аттестации

Основными отчетными документами по результатам аттестации являются Заключение и прилагаемый к нему Протокол аттестационных испытаний. Заключение содержит выводы относительно соответствия механизмов безопасности АС критериям аттестации, оценку уровня защищенности и рекомендации по обеспечению режима информационной безопасности АС, дополняющие существующие организационные меры защиты. Заключение основывается на данных, содержащихся в Протоколе аттестационных испытаний. На основании Заключения председатель аттестационной комиссии принимает решение о выдаче Аттестата соответствия.

Содержание отчетных документов

В американских руководящих документах предлагается следующая структура итогового отчета:

1. Введение и краткое содержание. Коротко описываются назначение, основные характеристики и особенности исследуемой АС, делаются выводы по результатам базового и детального анализов и даются рекомендации по устранению замеченных недостатков в организации защиты.
2. Описание объекта оценки. Этот раздел содержит информацию, необходимую для принятия решения о возможности выдачи Аттестата соответствия, разрешающего обработку в АС информации заданной степени критичности. Одним из основных вопросов здесь является соответствие АС стандартам, нормативным документам и требованиям политики безопасности. Также в данном параграфе описываются характеристики АС, влияющие на принятие решения о выдаче аттестата, ограничения, накладываемые на использование АС, и ее границы.
3. Результаты аттестационных испытаний. В первой части этого раздела описываются механизмы безопасности АС и их роль в противодействии существующим угрозам безопасности. Во второй части раздела дается описание уязвимостей АС, которые делятся на две категории: остаточные уязвимости, которые по экономическим соображениям можно оставить, и уязвимости, которые необходимо ликвидировать. Эта часть раздела служит одновременно кратким изложением результатов анализа и рекомендацией по ликвидации обнаруженных уязвимостей или принятию остаточных рисков.
4. Мероприятия по устранению недостатков системы защиты. В этом разделе описываются мероприятия по устранению уязвимостей, оценивается стоимость реализации контрмер и их влияние на работу АС, а также расставляются приоритеты на выполнение указанных задач.

К итоговому отчету прилагаются следующие документы:

• Протокол аттестационных испытаний.
• Заключение по результатам аттестации с указанием возможности обработки в АС информации заданного уровня критичности.
• отчеты по результатам предварительного обследования АС, базового и детального анализов.

В случае несоответствия АС предъявляемым к ней требованиям по безопасности информации и невозможности оперативно устранить выявленные недостатки может быть принято решение об отказе в выдаче аттестата. При этом может быть назначен срок проведения повторной аттестации.

При наличии замечаний непринципиального характера Аттестат может быть выдан после проверки устранения этих замечаний.

Многие уязвимости защиты, выявленные при аттестации, не могут являться достаточным основанием для отказа в выдаче Аттестата. В подобной ситуации для закрытия брешей в программно-технической защите АС возможно использование различных контрмер организационного уровня, перечень которых обязательно указывается в Аттестате соответствия. Примерами подобных контрмер могут служить запрещение осуществления удаленного доступа к ресурсам АС по коммутируемым каналам связи в приказном порядке, ограничение уровня конфиденциальности информации, разрешенной для обработки в АС, изъятие из состава АС наиболее уязвимых ее компонентов и т. п.

Рисунок 6. Процедура аттестации автоматизированных систем по требованиям информационной безопасности

 

4. Аттестация объектов информатизации по требованиям безопасности информации.

4.1 Понятие аттестации объектов, состав комплекса мероприятий по аттестации. Органы, проводящие аттестацию объектов информатизации. Порядок проведения аттестационных испытаний защищаемого помещения, объекта информатизации, автоматизированной системы. Документальное оформление результатов аттестационных испытаний.

Аттестация объектов информатизации – это комплекс организационно-технических мероприятий, в результате выполнения которых посредством специального документа – «Аттестата соответствия» подтверждается, что объект информатизации соответствует требованиям стандартов и иных нормативных и методических документов по безопасности информации, утвержденных ФСТЭК (Гостехкомиссией) России.

При аттестации объекта информатизации подтверждается его соответствие требованиям по защите информации:

1. от несанкционированного доступа (в том числе от компьютерных вирусов);

2. от утечки за счет побочных электромагнитных излучений и наводок при специальных воздействиях на объект (высокочастотное навязывание и облучение, электромагнитное и радиационное воздействие);

3. от утечки или воздействия за счет встроенных специальных устройств.

перечня работ:

- анализ исходных данных по аттестуемому объекту информатизации;

- предварительное ознакомление с аттестуемым объектом информатизации;

- проведение экспертного обследования объекта информатизации и анализ разработанной документации по защите информации на этом объекте с точки зрения ее соответствия требованиям нормативной и методической документации;

- проведение испытаний отдельных средств и систем защиты информации на аттестуемом объекте информатизации с помощью специальной контрольной аппаратуры и тестовых средств;

- проведение испытаний отдельных средств и систем защиты информации в испытательных центрах (лабораториях) по сертификации средств защиты информации по требованиям безопасности информации;

- проведение комплексных аттестационных испытаний объекта информатизации в реальных условиях эксплуатации;

- анализ результатов экспертного обследования и комплексных аттестационных испытаний объекта информатизации и утверждение заключения по результатам аттестации.

Деятельность системы аттестации организует федеральный орган по сертификации продукции и аттестации объектов информатизации по требованиям безопасности информации (далее - федеральный орган по сертификации и аттестации), которым является Гостехкомиссия России.

Экономика защиты информации

1. Реализация проекта создания системы защиты информации (приобретения технических, программно-аппаратных средств защиты информации).

Варианты реализации проектов и привлекаемые организации. Выбор организации-исполнителя проекта. Анализ единовременных и периодических затрат на реализацию проекта. Принятие решения о выборе исполнителя.

см. экономический вопрос практики - ТСО, по нему рассказать и ок.

есть еще ROI - разница стартовой прибыли (обозн. Пс) и ТСО.

хз что тут еще писать, экономики не было

2. Моделирование затрат на информационную безопасность.

Применение классических моделей: совокупная стоимость владения (ТСО), оценка возврата инвестиций (ROI), порядок определения показателей. Модель затрат, основанная на превентивных затратах. Модель затрат, основанная на превентивных и ликвидационных затратах. Обоснование системы защиты информации, основанное на использовании многофакторных моделей рисков информационной безопасности.

Криптографическая защита информации

«Аттестация объектов информатизации по требованиям безопасности информации. Защита от несанкционированного доступа» - PDF

1 Частное учреждение дополнительного профессионального образования «Учебный центр «ЦБИ» (Частное учреждение ДПО «УЦ ЦБИ») Дополнительная профессиональная программа повыш ения квалификации специалистов в области инф орм ационной безопасности «Аттестация объектов информатизации по требованиям безопасности информации. Защита от несанкционированного доступа» г. Королев 201 г.

2 2 Перечень сокращений АС нсд ои ос по ПРД ПЭВМ рд сзи СрЗИ СрЗИ от НСД свт ФСБ ФСТЭК - автоматизированная система - несанкционированный доступ - объект информатизации - операционная система - программное обеспечение - правила разграничения доступа - персональная электронно-вычислительная машина - руководящий документ - система защиты информации - средства защиты информации - средства защиты информации от несанкционированного доступа - средства вычислительной техники - Федеральная служба безопасности - Федеральная служба по техническому и экспортному контролю

3 г 1. ОБЩАЯ ХАРАКТЕРИСТИКА ПРОГРАММЫ 1.1. Общие положения Настоящая программа повышения квалификации разработана на основании Федерального закона от г. 273-ФЗ «Об образовании в Российской Федерации», приказа Минобрнауки России от г «Об утверждении порядка разработки дополнительных профессиональных программ, содержащих сведения, составляющие государственную тайну, и дополнительных профессиональных программ в области информационной безопасности» и приказа Минобрнауки России от г. 499 «Об утверждении Порядка организации и осуществления образовательной деятельности по дополнительным профессиональным программам». Программа повышения квалификации реализуется в Частном учреждении дополнительного профессионального образования «Учебный центр ЦБИ» Цель реализации программы Целью реализации дополнительной профессиональной программы является: совершенствование и получение новых компетенций необходимых для выполнения профессиональной деятельности в области аттестации объектов информатизации по требованиям безопасности информации в части несанкционированного доступа Категории обучающихся: - руководители и специалисты испытательных лабораторий; - эксперты органов по аттестации объектов информатизации и сертификации средств защиты информации Характеристика вида профессиональной деятельности Область профессиональной деятельности Область профессиональной деятельности слушателя, освоившего программу повышения квалификации, включает совокупность задач, связанных с аттестацией объектов информатизации и средств вычислительной техники по требованиям безопасности информации Объекты профессиональной деятельности - объекты информатизации, включая автоматизированные системы обработки, хранения и передачи информации определенного уровня конфиденциальности; - технологии обеспечения информационной безопасности объектов различного уровня (система, объект системы, компонент объекта), которые связаны с информационными технологиями, используемыми на этих объектах; - нормативно-правовые акты РФ в области защиты информации; - нормативно- методические документы по защите информации от НСД; - методы и средства обеспечения информационной безопасности АС; - методы проведения аттестационных испытаний; - средства защиты информации от НСД; - организационно-распорядительная, проектная и эксплуатационная документация ОН; - инструментальные средства контроля эффективности защиты информации от НСД Вид и задачи профессиональной деятельности Вид профессиональной деятельности: организация и проведение работ по аттестации объектов информатизации, а также оценке соответствия требованиям по безопасности информации средств вычислительной техники, используемых для обработки сведений, составляющих государственную тайну или относимых к

4 4 охраняемой в соответствии с законодательством Российской Федерации, иной информации ограниченного доступа, сведения о которой составляют государственную тайну. Задачи (функции) профессиональной деятельности: - организация аттестации АС по требованиям безопасности информации; - оценка правильности категорирования и классификации АС (определение уровня защищенности информации); - анализ исходных данных и документации по защите информации и проверка их соответствия реальным условиям размещения и эксплуатации АС; - разработка программы и методик аттестационных испытаний АС; - проверка состояния организации работ и выполнения организационно-технических требований по защите информации в АС; - оценка полноты и уровня разработки организационно-распорядительной, проектной и эксплуатационной документации; - оценка уровня подготовки кадров, обеспечивающих защиту информации, и распределения ответственности должностных, эксплуатирующих АС, за выполнение требований по защите информации в АС; - проведение испытаний АС на соответствие требованиям по защите информации от НСД; - подготовка отчетной документации и оценка результатов испытаний аттестуемой АС; - контроль соответствия системы защиты информации аттестованной АС требованиям безопасности в процессе ее эксплуатации Планируемые результаты обучения Процесс освоения обучающимися дополнительной профессиональной программы повышения квалификации направлен на качественное изменение следующих компетенций: а) общепрофессиональных: - способность понимать сущность и значение информации в развитии современного информационного общества, сознавать опасности и угрозы, возникающие в этом процессе, соблюдать основные требования информационной безопасности, в том числе защиты государственной тайны; - способность выявлять и анализировать возможные угрозы информационной безопасности объектов информатизации; способность проводить анализ информационной безопасности объектов и систем с использованием отечественных и зарубежных стандартов; - способность использовать нормативные правовые акты и нормативно-методические документы ФСБ России и ФСТЭК России в области информационной безопасности и защиты информации; - способность ориентироваться в структуре федеральных органов исполнительной власти, обеспечивающих информационную безопасность; - способность разрабатывать предложения по совершенствованию системы управления информационной безопасностью; - способность организации защиты информации на объектах информатизации. б) профильных профессиональных: - способность проводить экспертный анализ уровня защищённости автоматизированных систем обработки информации ограниченного доступа от различного вида угроз и оценку соответствия автоматизированных систем международным и отечественным стандартам и нормативно-методическим документам ФСБ России и ФСТЭК России в области защиты информации; - способность организовать процесс проведения и сопровождения аттестации объекта информатизации на соответствие требованиям безопасности информации; - способность разрабатывать программы и методики аттестационных испытаний по оценке защищенности информации от несанкционированного доступа; - умение применять способы и средства защиты информации от несанкционированного доступа к информации;

5 5 самостоятельно проводить аттестационные испытания с использованием инструментальных средств контроля защищенности; способность разрабатывать организационно-распорядительные документы, регламентирующие работу по защите информации на объекте информатизации; - способность осуществлять классификацию СВТ и АС по уровню защищенности от несанкционированного доступа к обрабатываемой информации; - способность проводить аттестационные испытания АС по оценке защищенности информации от несанкционированного доступа; - способность оформлять протоколы и заключения по результатам аттестационных испытаний. - способность применять методы и средства контроля эффективности защиты СВТ и АС от несанкционированного доступа к информации; В результате освоения дополнительной профессиональной программы повышения квалификации обучающиеся должны получить знания, умения и навыки, которые позволят качественно изменить соответствующие компетенции. В результате освоения учебной программы обучаемые должны знать: нормативно-правовые и организационные основы обеспечения безопасности информации ограниченного доступа в РФ; виды информационных ресурсов по категориям доступа; свойства, характеризующие защищенность информации; основные способы НСД к информации; основные направления защиты информации от НСД; возможности и характеристики технических, программно-технических и программных средств защиты информации от НСД; архитектуру современных автоматизированных систем; характеристики информации, циркулирующей в средствах и системах информатизации; типовые угрозы информации и ресурсам автоматизированных систем; этапы и критерии классификации АС; требования существующих законов, стандартов и нормативно-методических документов по защите информации от НСД для АС; организационную структуру Системы аттестации ОН по требованиям безопасности информации и функции субъектов процесса аттестации; порядок организации и проведения работ по аттестации ОН по требованиям безопасности информации; нормативные документы, определяющие содержание и объем аттестационных испытаний; условия, виды и методы проведения аттестационных испытаний; возможные схемы аттестации ОН; порядок разработки программы и методик аттестационных испытаний и требования к их содержанию; этапы аттестационных испытаний, их содержание и особенности реализации; инструментальные средства проведения аттестационных испытаний ОИ на соответствие требованиям по защите информации от НСД и условия их применения; уметь: применять действующую законодательную базу в области информационной безопасности; организовать работу по аттестации, обеспечить соблюдение правил и процедур аттестационных испытаний и обоснованность выдачи «Аттестата соответствия», в том числе: определять перечень охраняемых сведений ОИ; провести анализ и оценку исходных данных и документации, представленных заявителем для аттестации ОИ; оценить правильность классификации и категорирования ОИ; разработать программу и методику проведения аттестационных испытаний ОИ;

6 6 провести анализ и оценку технологического процесса обработки информации на ОИ; провести оценку достаточности мероприятий по защите информации на ОИ; провести анализ результатов аттестационных испытаний; оформить протоколы, заключение и «Аттестат соответствия» по результатам аттестационных испытаний ОИ; организовать и провести контроль и надзор за соблюдением правил аттестации и эксплуатацией аттестованных ОИ; разрабатывать положения, инструкции и другие организационно-распорядительные документы по защите информации от НСД; обладать навыками: применения инструментальных средств аттестации ОИ на соответствие требованиям по защите информации от НСД; настройки и администрирования встроенных механизмов защиты ОС; настройки и администрирования специализированных средств защиты информации от НСД Трудоемкость программы Общая трудоемкость освоения данной программы повышения квалификации составляет 72 (семьдесят два) академических часа Форма и сроки обучения Обучение по данной программе повышения квалификации осуществляется в очной (с отрывом от работы) форме. Срок освоения данной программы повышения квалификации при очной форме обучения составляет 8 дней Режим занятий Учебные занятия проводятся в соответствии с расписанием, утверждаемым директором. Продолжительность одного занятия - 45 минут. Перерыв между занятиями 10 минут. Перерыв на обед - 1 час. Учебная нагрузка - не более 9 академических часов в день, включая все виды аудиторной и внеаудиторной учебной работы слушателя Учебный план Наименование разделов и тем 2. СОДЕРЖАНИЕ ПРОГРАММЫ Всего часов В том числе, час Л с з ПЗ Зач к, СР Раздел 1. Государственная система защиты информации Тема: Основные определения. Актуальность проблемы защиты 1 1 информации Тема: Структура, задачи и основные функции Государственной 1 1 системы защиты информации. Тема: Система лицензирования деятельности в области защиты государственной тайны. Тема: Система лицензирования деятельности в области защиты конфиденциальной информации. Тема: Система сертификации средств защиты информации в 1 1

7 Наименование разделов и тем 7 Всего часов В том числе, час Л СЗ ПЗ Зач к, СР РФ. Тема: Система аттестации объектов информатизации (ОИ) по требованиям безопасности информации. Раздел 2. Система нормативно - правового регулирования деятельности в области защиты информации в РФ Тема: Структура нормативно-правовых актов РФ в области защиты информации по уровню и назначению. 1 1 Тема: Законы РФ в области защиты информации. Основные 2 2 положения. Тема: Постановления Правительства РФ в области защиты 2 2 информации. Основные положения Тема: Основные национальные стандарты и технические регламенты в области защиты информации. Основные 1 1 положения Тема: Основные руководящие документы и нормативнометодические документы в области защиты информации. Назначение. Основные положения Тема: Основные организационно-распорядительные документы организации (предприятия) в области защиты информации. Назначение. Регламентируемые положения 1 1 Тема: Ответственность за правонарушения в области защиты информации. Нормативно-правовые акты, устанавливающие ответственность Раздел 3. Автоматизированные системы. Защита информации от несанкционированного доступа Тема: Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа Тема: Классификация автоматизированных систем, подлежащих защите от несанкционированного доступа к информации Тема: Система защиты информации от несанкционированного доступа в АС. Требования по защите информации от несанкционированного доступа в АС Тема: Средства защиты информации от несанкционированного доступа - основа системы защиты информации в АС. Раздел 4. Аттестация объектов информатизации по требованиям безопасности информации Тема: Порядок организации работ по аттестации объектов 1 1 информатизации по требованиям безопасности информации. Тема: Исходные данные и документация, представляемые для проведения аттестации объектов информатизации. Особенности исходных данных для различных типов аттестуемых объектов информатизации Тема: Условия и порядок проведения аттестационных испытаний объектов информатизации. Методы проверок и испытаний. Возможные схемы аттестации объектов 1 1 информатизации. Тема: Методическое обеспечение и инструментальные средства для проведения аттестационных испытаний (общий обзор). 1 1 Тема: Анализ и оценка исходных данных и документации по защите информации на объекте информатизации. Проверка 2 2

8 Наименование разделов и тем 8 Всего часов В том числе, час Л СЗ ПЗ Зач к, СР соответствия исходных данных реальным условиям размещения и эксплуатации объекта информатизации. Тема: Программа и методики аттестационных испытаний объектов информатизации Тема: Проверка состояния технологического процесса 1 1 обработки информации Тема: Проверка состояния организации работ и выполнения организационно-технических требований по защите информации. Тема: Государственный контроль и надзор, инспекционный контроль за соблюдением правил аттестации и эксплуатации 1 1 аттестованных объектов. Раздел 5. Аттестационные испытания автоматизированных систем на соответствие требованиям по защите информации от несанкционированного доступа Тема: Анализ и оценка технологического процесса обработки 1 1 информации в части несанкционированного доступа. Тема: Испытания подсистемы управления доступом Тема: Испытания подсистемы регистрации и учета Тема: Испытания подсистемы обеспечения целостности Тема: Испытания подсистемы антивирусной защиты Тема: Испытания подсистемы криптографической защиты Тема: Особенности аттестации автоматизированных систем, использующих сетевую технологию обработки информации. Тема: Оценка результатов испытаний. Подготовка отчетных документов Итоговая аттестация (зачет) 2 2 Итого: Примечание: «Л» - лекция, «СЗ» - семинарское занятие, «ПЗ» - практическое занятие, «К» - консультация, «СР» - самостоятельная работа, «Зач» - зачет. Наименование тем занятий, их виды и объем могут корректироваться в пределах объема программы повышения квалификации с учетом обновления законодательной и нормативно-методической базы в области информационной безопасности, появления новых средств защиты информации и инструментальных средств контроля Календарный учебный график Занятия по программе повышения квалификации проводятся, как правило, ежемесячно в соответствии с утвержденным графиком проведения курсов на текущий год. Продолжительность реализации программы повышения квалификации составляет 8 (восемь) дней. Наименование раздела программы Раздел 1. Государственная система защиты информации Учебные дни Объем нагрузки (час) 9ч 9ч 9ч 9ч 9ч 9ч 9ч 9ч 9 9

9 Раздел 2. Система нормативно - правового регулирования деятельности в области защиты информации в Российской Федерации Раздел 3. Автоматизированные системы. Защита информации от несанкционированного доступа Раздел 4. Аттестация объектов информатизации по требованиям безопасности информации Раздел 5. Аттестационные испытания автоматизированных систем на соответствие требованиям по защите информации от несанкционированного доступа Итоговая аттестация (зачет) 2 2 Тема Тема Тема 2.3. Содержание разделов и тем Содержание разделов, тем курса и изучаемых вопросов Наименование разделов и тем (основные вопросы) Раздел 1. Государственная система защиты информации Основные определения. Актуальность проблемы защиты информации. Место информационной безопасности в общей системе безопасности РФ. Место информационной безопасности в общей системе безопасности организации. Структура актуальных угроз информационной безопасности. Структура, задачи и основные функции Государственной системы защиты информации (ГСЗИ). Понятие ГСЗИ. Цели ГСЗИ. Основные принципы функционирования ГСЗИ. Правовые основы деятельности ГСЗИ. Основные задачи ГСЗИ. Организационная структура ГСЗИ. Функциональная структура (основные элементы) ГСЗИ. Зоны ответственности. Система лицензирования деятельности в области защиты государственной тайны. Области компетенции лицензирующих органов и лицензируемые ими виды деятельности. Основные нормативные документы системы лицензирования ФСТЭК России. Виды лицензий ФСТЭК России. Общие требования к соискателям лицензий. Лицензионные требования. Заявительные документы. Схема лицензирования. Функции участников. Тема Система лицензирования деятельности в области защиты конфиденциальной информации (ЗКИ). Области компетенции лицензирующих органов и лицензируемые ими виды деятельности. Виды лицензий. Нормативные документы системы лицензирования в области ЗКИ. Внутренние процедуры ФСТЭК России, определяющие порядок лицензирования в области ЗКИ. Условия лицензирования. Общие принципы лицензирования в области ЗКИ. Схема лицензирования Лицензионные требования. Функции участников. Заявительные документы. Тема Тема Система сертификации средств защиты информации (СрЗИ) в РФ. Понятие СрЗИ. Понятие сертификации. Структура СрЗИ, подлежащих сертификации. Необходимость сертификации СрЗИ. Цели системы сертификации СрЗИ. Организационная структура системы сертификации СрЗИ ФСТЭК России. Схема проведения сертификации СрЗИ. Нормативные документы, определяющие порядок сертификации СрЗИ. Срок действия сертификатов. Порядок продления срока действия сертификата Система аттестации объектов информатизации (ОИ) по требованиям безопасности информации. Понятие ОИ. Виды (типы) ОИ. Понятие аттестации ОИ. Необходимость аттестации ОИ. ОИ, подлежащие обязательной аттестации. Общие требования по аттестации ОИ, предназначенных для обработки защищаемой информации. Стандарты, нормативные и руководящие документы ФСТЭК России по требованиям безопасности информации. Организационная структура системы аттестации ФСТЭК России по требованиям безопасности информации.

10 10 Раздел 2. Система нормативно-правового регулирования деятельности в области защиты информации в Российской Федерации Тема Структура нормативно-правовых актов РФ в области защиты информации по уровню и назначению. Тема Законы РФ в области защиты информации. Основные положения. Тема Постановления Правительства РФ в области защиты информации. Основные положения. Тема Основные национальные стандарты и технические регламенты в области защиты информации. Основные положения. Тема Основные руководящие документы и нормативно-методические документы в области защиты информации. Назначение. Основные положения. Тема Основные организационно-распорядительные документы организации (предприятия) в области защиты информации. Назначение. Регламентируемые положения. Тема Ответственность за правонарушения в области защиты информации. Нормативноправовые акты, устанавливающие ответственность. Раздел 3. Автоматизированные системы. Защита информации от несанкционированного доступа Тема Концепция защиты средств вычислительной техники (СВТ) и автоматизированных систем (АС) от несанкционированного доступа (НСД). Определение НСД. Основные принципы защиты от НСД. Основные способы НСД. Основные направления обеспечения защиты от НСД. Организация работ по защите от НСД. Модель нарушителя в АС. Тема Классификация АС, подлежащих защите от НСД к информации. Цель классификации. Критерии классификации. Основные этапы классификации. Исходные данные для проведения классификации. Характеристика классов защищенности. Отличительные особенности. Рекомендации по классификации АС. Тема Система защиты информации (СЗИ) от НСД в АС. Требования по защите информации от НСД для АС. Основные подсистемы СЗИ от НСД. Их назначение и решаемые задачи. Требования к подсистемам СЗИ от НСД в АС. Основные различия и особенности требований в зависимости от конфиденциальности информации. Практическая реализация подсистем СЗИ от НСД. Тема Средства защиты информации от НСД - основа СЗИ от НСД в АС. Определение СрЗИ от НСД. Классификация СрЗИ от НСД. Функциональное назначение современных СрЗИ от НСД. Основные задачи, решаемые СрЗИ от НСД. Требования к СрЗИ от НСД, применяемым при создании защищенных АС. Характерные признаки сертифицированных СрЗИ от НСД. Рекомендации по анализу содержания Сертификатов на СрЗИ от НСД и условиям применения СрЗИ для создания защищенных АС. Краткий обзор современных сертифицированных СрЗИ от НСД. Раздел 4. Аттестация объектов информатизации (ОИ) по требованиям безопасности информации Тема Порядок организации работ по аттестации ОИ по требованиям безопасности информации. Нормативная база. Схема организации и проведения работ по аттестации ОИ. Функции организации-заявителя, ФСТЭК России и органов по аттестации ОИ. Содержание заявки на проведение аттестации ОИ. Тема Исходные данные и документация, представляемые для проведения аттестации ОИ. Особенности исходных данных для различных типов аттестуемых ОИ. Тема Условия и порядок проведения аттестационных испытаний ОИ. Методы проверок и испытаний. Возможные схемы аттестации ОИ. Основные нормативные документы, определяющие условия, порядок, объем, виды и методы проведения аттестационных испытаний ОИ. Общие требования по аттестации ОИ. Цели и задачи аттестационных испытаний и проверок. Стандарты, нормативные и руководящие документы ФСТЭК России по требованиям безопасности информации. Тема Методическое обеспечение и инструментальные средства для проведения аттестационных испытаний (общий обзор). Тема Анализ и оценка исходных данных и документации по защите информации на объекте

11 11 информатизации. Проверка соответствия исходных данных реальным условиям размещения и эксплуатации ОИ. Гема Программа и методики аттестационных испытаний ОИ. Типовое содержание программы аттестационных испытаний ОИ. Основные факторы, определяющие содержание и объем аттестационных испытаний. Рекомендации по разработке. Тема Проверка состояния технологического процесса обработки информации. Выявление реальных объектов и субъектов доступа и средств обработки и передачи информации. Проверка соответствия описания технологического процесса реальной практике на объекте. Выявление опасных факторов, угроз и критических мест, снижающих уровень защищенности. Практические рекомендации по проведению анализа и применению инструментальных средств. Тема Проверка состояния организации работ и выполнения организационно-технических требований по защите информации. Объем испытаний (проверок). Объекты испытаний. Цели испытаний. Методы испытаний. Требования к объектам испытаний. Порядок испытаний. Тема Государственный контроль и надзор, инспекционный контроль за соблюдением правил аттестации и эксплуатации аттестованных объектов. Ответственность за правильность аттестации и эксплуатации аттестованных АС. Раздел 5. Аттестационные испытания АС на соответствие требованиям по защите информации от НСД Тема Анализ и оценка технологического процесса обработки информации в части НСД. Цель анализа (изучение информационных потоков, выявление субъектов и объектов доступа и правил разграничения доступа). Объекты анализа. Порядок действий. Анализ возможных угроз НСД к информационным и техническим ресурсам. Практические рекомендации. Инструментальные средства. Тема Испытания подсистемы управления доступом. Объект испытаний. Цель испытаний. Метод испытаний. Требования к объекту испытания. Порядок испытаний (проверок). Инструментальные средства. Особенности и рекомендации. Тема Испытания подсистемы регистрации и учета. Объект испытаний. Цель испытаний. Метод испытаний. Требования к объекту испытания. Порядок испытаний (проверок). Инструментальные средства. Особенности и рекомендации. Тема Испытания подсистемы обеспечения целостности. Объект испытаний. Цель испытаний. Метод испытаний. Требования к объекту испытания. Порядок испытаний (проверок). Инструментальные средства. Особенности и рекомендации. Тема Испытания подсистемы антивирусной защиты. Объект испытаний. Цель испытаний. Метод испытаний. Требования к объекту испытания. Порядок испытаний (проверок). Инструментальные средства. Особенности и рекомендации. Тема Испытания подсистемы криптографической защиты. Объект испытаний. Цель испытаний. Метод испытаний. Требования к объекту испытания. Порядок испытаний (проверок). Инструментальные средства. Особенности и рекомендации. Тема Особенности аттестации АС, использующих сетевую технологию обработки информации. Объекты испытаний. Цель испытаний. Методы испытаний. Порядок испытаний (проверок). Инструментальные средства. Особенности и рекомендации. Межсетевые экраны. Их настройка и администрирование. Тема Оценка результатов испытаний. Подготовка отчетных документов. Виды отчетных документов и их содержание. Рекомендации и особенности оформления. Примеры типовых форм отчетных документов. Зачет 3. УСЛОВИЯ РЕАЛИЗАЦИИ ПРОГРАММЫ ЗЛ. Требования к уровню подготовки слушателя, необходимому для освоения программы К освоению программы повышения квалификации допускаются лица, имеющие среднее профессиональное и (или) высшее образование и лица, получающие среднее профессиональное и (или) высшее образование.

12 3.2. Требования к кадровым условиям реализации программы 12 Реализация программы повышения квалификации обеспечивается руководящими и научнопедагогическими работниками Учебного центра, а также лицами, привлекаемыми к реализации программы на условиях гражданско-правового договора. Все научно-педагогические работники, участвующие в реализации программы повышения квалификации, должны иметь высшее техническое образование, конкретный опыт реализации научно-прикладных разработок или иной формы практической деятельности в области защиты информации Требования к материально-техническим условиям реализации программы Для проведения занятий используются учебные аудитории и специализированные классы. Учебные аудитории оборудованы учебными досками, компьютерами, экранами и мультимедийными проекторами. Специализированные классы оборудованы стендами и компьютерами с установленным лицензионным программным обеспечением, средствами защиты информации, инструментальными средствами контроля эффективности защиты информации, а также инструментальными средствами, позволяющими отрабатывать практические навыки проведения аттестационных испытаний. Слушателям обеспечивается доступ в помещения, оснащенные компьютерами и другой оргтехникой, для самостоятельной работы и возможностью доступа в Интернет Учебно-методическое и информационное обеспечение программы Средства обеспечения освоения программы 1. Типовые формы программ, методик и протоколов аттестационных испытаний. 2. Презентационные материалы лекций и практических занятий. 3. Документация на средства защиты информации от НСД и инструментальные средства контроля защищенности. 4. Доступ к сети Интернет Основная литература Наименование п/п 1 Аттестационные испытания автоматизированных систем от несанкционированного доступа по требованиям безопасности информации. Учебное пособие. В.С. Горбатов, С.В. Дворянкин и др., Контроль защищенности речевой информации в помещениях. Аттестационные испытания выделенных помещений по требованиям безопасности информации. Учебное пособие. В.С. Горбатов, А.П. Дураковский и др., Контроль защищенности информации от утечки по техническим каналам за счет побочных электромагнитных излучений и наводок. Аттестационные испытания по требованиям безопасности информации. Учебное пособие. А.А. Голяков, В.С. Горбатов и др., Организация и содержание работ по выявлению и оценке основных видов ТКУИ, защита информации от утечки. А.В. Кондратьев, Защита объектов и информации от технических средств разведки. Учебное пособие. Ю.К. Меньшаков, Инженерно-техническая защита информации. Учебное пособие. А.А. Торокин, Информационная безопасность предприятия. И. Конеев, А. Беляев, Защита информации и безопасность компьютерных систем. В.В. Домарев, Информационная безопасность открытых систем. Угрозы, уязвимости, атаки и подходы к защите. Учебное пособие. С.В. Запечников, Н.Г. Милославская и др., Информационная безопасность. Учебное пособие. В.И. Ярочкин, 2004

13 13 11 Основы информационной безопасности. Учебное пособие. Е.Б. Белов, В.П. Лось и др., Защита компьютерной информации от несанкционированного доступа. А.Ю. Щеглов, Основы информационной безопасности объектов обработки информации. Научнопрактическое пособие. С.Н. Семкин, А.Н. Семкин, Разработка правил информационной безопасности. С. Бармен, Основы информационной безопасности. Учебное пособие. В.А. Галатенко, Основы организационного обеспечения информационной безопасности объектов информатизации. Учебное пособие. С.Н. Семкин, Э. В. Беляков и др., Информационная безопасность: концептуальные и методологические основы защиты информации. Учебное пособие. А.А. Малюк, Введение в защиту информации в автоматизированных системах. Учебное пособие. А.А. Малюк, С.В. Пазизин, Н.С. Погожин, Общие критерии оценки безопасности информационных технологий. Учебное пособие. А.А. Сидак, Основы информационной безопасности систем и сетей передачи данных. Учебное пособие. Г.Н. Устинов, Системный анализ в защите информации. Учебное пособие. А.А. Шумский, А.А. Шелупанов, Информационная безопасность. Учебное пособие. А.А. Губенков, В.Б. Байбурин, Теоретические основы защиты информации. Учебное пособие. С.С. Корт, Информационная безопасность автоматизированных систем. Учебное пособие. А.Ф. Чипига, Комплекс СЗИ от НСД «Аккорд-АМДЗ». Учебное пособие. Л.К. Бабенко, Е.А. Ищукова, Система защиты информации VipNet. Курс лекций. Н.В. Кабанова, А.О. Чефранова, Система защиты информации VipNet. Практикум. Н.В. Кабанова, А.О. Чефранова, Дополнительная литература Законодательные и правовые акты п/п Наименование 1. «Доктрина информационной безопасности Российской Федерации». Утверждена Президентом Российской Федерации 9 сентября 2000г. Пр «О стратегии национальной безопасности Российской Федерации до 2020г.». Указ Президента Российской Федерации от 12 мая 2009г. N «О безопасности». Федеральный закон от 28 декабря 2010г. 390-ФЗ 4. «О государственной тайне». Закон Российской Федерации от 21 июля 1993г «О Федеральной службе безопасности». Федеральный закон от 3 апреля 1995г. 40-ФЗ 6. «Об информации, информационных технологиях и о защите информации». Федеральный закон от 27 июля 2006г. 149-ФЗ 7. «О техническом регулировании». Федеральный закон от 27 декабря 2002г. 184-ФЗ 8. «О персональных данных». Федеральный закон от 27 июля 2006г. 152-ФЗ 9. «О лицензировании отдельных видов деятельности». Федеральный закон от 4 мая 2011г. 99-ФЗ 10. Вопросы федеральной службы безопасности Российской Федерации. Указ Президента Российской Федерации от 11 августа 2003г Вопросы Федеральной службы по техническому и экспортному контролю. Указ Президента Российской Федерации от 16 августа 2004г Вопросы Межведомственной комиссии по защите государственной тайны. Указ Президента Российской Федерации от 06 октября 2004г О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного

14 14 информационного обмена. Указ Президента Российской Федерации от 17 марта 2008г Перечень сведений, отнесенных к государственной тайне. Указ Президента Российской Федерации от 30 ноября 1995г О перечне должностных лиц органов государственной власти и организаций, наделяемых полномочиями по отнесению сведений к государственной тайне. Распоряжение Президента Российской Федерации от 16апреля 2005г. 151-рп 16. Правила отнесения сведений, составляющих государственную тайну, к различным степеням секретности. Постановление Правительства Российской Федерации от 4 сентября 1995г. 870 с изменениями и дополнениями от 15 января и 22 мая 2008г. 17. Об утверждении перечня сведений конфиденциального характера. Указ Президента Российской Федерации от 06 марта 1997г Об организации лицензирования отдельных видов деятельности. Постановление Правительства Российской Федерации от 21 ноября 2011г Положением о лицензировании деятельности предприятий, учреждений и организаций по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны. Постановление Правительства Российской Федерации от 15 апреля 1996г О лицензировании деятельности по разработке и производству средств защиты конфиденциальной информации. Постановление Правительства Российской Федерации от 3 марта 2012г О лицензировании деятельности по технической защите конфиденциальной информации. Постановление Правительства Российской Федерации от 3 февраля 2012г Положения о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти и уполномоченном органе управления использованием атомной энергии Постановление Правительства Российской Федерации от 3 ноября 1994г О сертификации средств защиты информации. Постановление Правительства Российской Федерации от 26 июня 1995г. 608 Нормативно-методические документы п/п Наименование 1. Положение по аттестации объектов информатизации по требованиям безопасности информации (утверждено председателем Гостехкомиссии России 25 ноября 1994 г.) 2. Типовое положение об органе по аттестации объектов информатизации по требованиям безопасности информации (утверждено председателем Гостехкомиссии России 25 ноября 1994 г.) 3. Положение о сертификации средств защиты информации по требованиям безопасности информации. Приказ ФСТЭК России от 27 октября 1995г Положение об аккредитации испытательных лабораторий и органов по сертификации средств защиты информации по требованиям безопасности информации (утверждено председателем Гостехкомиссии России 25 ноября 1994 г.) 5. Типовое положение об испытательной лаборатории (утверждено председателем Гостехкомиссии России 25 ноября 1994 г.) 6. Типовое положение об органе по сертификации средств защиты информации по требованиям безопасности информации (утвержденное председателем Гостехкомиссии России 25 ноября Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. Приказ ФСТЭК России от 11 февраля 2013г Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных. Приказ ФСТЭК России от 18 февраля 2013г. 21

15 15 9. Руководящий документ. Защита от несанкционированного доступа к информации. Термины и определения». Решение председателя Гостехкомиссии России от 30 марта 1992 г. 10. Руководящий документ. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации. Решение председателя Гостехкомиссии России от 30 марта 1992г. 11. Руководящий документ. Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа. Показатели защищенности от несанкционированного доступа к информации. Решение председателя Гостехкомиссии России от 25 июля 1997г. 12. Руководящий документ. Безопасность информационных технологий. Положение по разработке профилей защиты и заданий по безопасности. Гостехкомиссия России, 2003г. 13. Руководящий документ. Безопасность информационных технологий. Руководство по регистрации профилей защиты. Г остехкомиссия России, 2003г. 14. Руководящий документ. Безопасность информационных технологий. Руководство по формированию семейств профилей защиты. Гостехкомиссия России, 2003г. 15. Руководящий документ. Руководство по разработке профилей защиты и заданий по безопасности. Гостехкомиссия России, 2003г. 16. Руководящий документ. Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей. Приказ председателя Гостехкомиссии России от 4 июня 1999г Руководящий документ. Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от несанкционированного доступа в автоматизированных системах и средствах вычислительной техники. Решение председателя Гостехкомиссии России от 30 марта 1992г. 18. Методика определения актуальных угроз безопасности персональных при их обработке в информационных системах персональных данных данных (утверждена заместителем директора ФСТЭК России 14 февраля 2008 г.) 19. Методические документы. Профили защиты средств антивирусной защиты. Утверждены ФСТЭК России 14 июня 2012г. 20. Методические документы. Профили защиты систем обнаружения вторжений. Утверждены ФСТЭК России 6 марта 2012г. Национальные стандарты Наименование п/п 1. ГОСТ Р «Защита информации. Основные термины и определения» 2. ГОСТ Р «Порядок создания автоматизированных систем в защищенном исполнении» 3. ГОСТ РО г «Защита информации. Аттестация объектов информатизации» 4. ГОСТ РО г «Защита информации. Программа и методики аттестационных испытаний» 5. ГОСТ Р «Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения» 6. ГОСТ Р «Средства и системы контроля и управления доступом. Классификация. Общие технические требования. Методы испытаний» 7. ГОСТ «Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем» 8. ГОСТ «Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированных систем» 9. ГОСТ «Информационная технология. Комплекс стандартов на

16 16 автоматизированные системы. Автоматизированные системы. Термины и определения» 10. ГОСТ «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадия создания» 11. ГОСТ Р «Унифицированные системы документации. Унифицированная система организационно-распорядительной документации. Требования к оформлению документов» 12. ГОСТ «Оценка качества программных средств. Общие положения» 13. ГОСТ Р ИСО\МЭК «Информационная технология. Оценка программной продукции. Характеристика качества и руководства по их применению» 14. ГОСТ Р «Средства вычислительной техники. Защита от несанкционированного доступа к информации» 15. Рекомендации по стандартизации Р «Информационные технологии. Основные термины и определения в области технической защиты информации» 16. Р Рекомендации по стандартизации. Информационные технологии. Основные термины и определения в области технической защиты информации. 17. Р Рекомендации по стандартизации. Техническая защита информации. Основные термины и определения. 18. ГОСТ Р ИСО/МЭК Информационная технология. Практические правила управления информационной безопасностью. 19. ГОСТ Р ИСО/МЭК Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования. 20. ГОСТ Р ИСО/МЭК ТО Информационная технология. Методы и средства обеспечения безопасности. Менеджмент инцидентов информационной безопасности. 21. ГОСТ Р ИСО/МЭК Информационная технология. Методы и средства обеспечения безопасности. Часть 1. Концепция и модели менеджмента безопасности информационных и телекоммуникационных технологий. Научно-техническая литература Наименование п/п 1 Аттестационные испытания автоматизированных систем от несанкционированного доступа по требованиям безопасности информации. Учебное пособие. В.С. Горбатов, С.В. Дворянкин и др., Контроль защищенности речевой информации в помещениях. Аттестационные испытания выделенных помещений по требованиям безопасности информации. Учебное пособие. В.С. Горбатов, А.П. Дураковский и др., Контроль защищенности информации от утечки по техническим каналам за счет побочных электромагнитных излучений и наводок. Аттестационные испытания по требованиям безопасности информации. Учебное пособие. А.А. Голяков, В.С. Горбатов и др., Организация и содержание работ по выявлению и оценке основных видов ТКУИ, защита информации от утечки. А.В. Кондратьев, Защита объектов и информации от технических средств разведки. Учебное пособие. Ю.К. Меньшаков, Инженерно-техническая защита информации. Учебное пособие. А.А. Торокин, Информационная безопасность предприятия. И. Конеев, А. Беляев, Защита информации и безопасность компьютерных систем. В.В. Домарев, Информационная безопасность открытых систем. Угрозы, уязвимости, атаки и подходы к защите. Учебное пособие. С.В. Запечников, Н.Г. Милославская и др., Информационная безопасность. Учебное пособие. В.И. Ярочкин, Основы информационной безопасности. Учебное пособие. Е.Б. Белов, В.П. Лось и др., Защита компьютерной информации от несанкционированного доступа. А.Ю. Щеглов, Основы информационной безопасности объектов обработки информации. Научнопрактическое пособие. С.Н. Семкин, А.Н. Семкин, 2000

17 17 14 Разработка правил информационной безопасности. С. Бармен, Основы информационной безопасности. Учебное пособие. В.А. Галатенко, Основы организационного обеспечения информационной безопасности объектов информатизации. Учебное пособие. С.Н. Семкин, Э. В. Беляков и др., Информационная безопасность: концептуальные и методологические основы защиты информации. Учебное пособие. А.А. Малюк, Введение в защиту информации в автоматизированных системах. Учебное пособие. А.А. Малюк, С.В. Пазизин, Н.С. Погожин, Общие критерии оценки безопасности информационных технологий. Учебное пособие. А.А. Сидак, Основы информационной безопасности систем и сетей передачи данных. Учебное пособие. Г.Н. Устинов, Системный анализ в защите информации. Учебное пособие. А.А. Шумский, А.А. Шелупанов, Информационная безопасность. Учебное пособие. А.А. Губенков, В.Б. Байбурин, Теоретические основы защиты информации. Учебное пособие. С.С. Корт, Информационная безопасность автоматизированных систем. Учебное пособие. А.Ф. Чипига, Комплекс СЗИ от НСД «Аккорд-АМДЗ». Учебное пособие. Л.К. Бабенко, Е.А. Ищукова, Система защиты информации VipNet. Курс лекций. Н.В. Кабанова, А.О. Чефранова, Система защиты информации VipNet. Практикум. Н.В. Кабанова, А.О. Чефранова, Программное обеспечение Пакет программ фирмы Microsoft. Инструментальные средства для проведения аттестационных испытаний: «Ревизор-1ХР», «Ревизор-2ХР», «ФИКС», «Терьер», «Агент инвентаризации» и др. Средства защиты информации от НСД: Secret Net, Dallas Lock, Аккорд, Страж и др Пакет слушателя Пакет слушателя (раздаточный материал) включает: - конспект лекций (презентаций) для слушателя по дополнительной профессиональной программе повышения квалификации специалистов в области информационной безопасности по курсу «Аттестация объектов информатизации по требованиям безопасности информации. Защита от несанкционированного доступа»; - документацию на инструментальные средства, используемые для аттестационных испытаний; - документацию на средства защиты информации от НСД; - пакет типовых документов, разрабатываемых в ходе аттестации ОИ Порядок передачи программы повышения квалификации другой организации Данная программа повышения квалификации может быть передана другой организации на основании и в соответствии с требованиями действующего Законодательства Российской Федерации. 4. ФОРМЫ АТТЕСТАЦИИ Порядок проведения тестирования разрабатывается Частным учреждением ДПО «УЦ ЦБИ» самостоятельно и доводится до обучаемых на установочном занятии. Итоговая аттестация обучающихся завершается зачетом в форме тестирования. В ходе зачета слушатели отвечают на вопросы, изложенные в билетах. Слушатель считается аттестованным, если по результатам зачета (тестирования) количество правильных ответов составляет не менее 80%. Слушателям, успешно сдавшим зачет, выдаются Удостоверения о повышении квалификации

18 18 установленного образца Для проведения итоговой аттестации создается аттестационная комиссия, состав которой утверждается директором Частного учреждения ДПО «УЦ ЦБИ». В целях обеспечения объективной оценки знаний, умений и уровня приобретенных компетенций слушателем по результатам обучения в состав аттестационной комиссии могут включаться представители ФСТЭК России, потенциальные работодатели, профильные специалисты и представители заказчика обучения. 5. ПЕРЕЧЕНЬ СВЕДЕНИЙ, СОСТАВЛЯЮЩИХ ГОСУДАРСТВЕННУЮ ТАЙНУ, ИСПОЛЬЗУЕМЫХ В УЧЕБНОМ ПРОЦЕССЕ Сведения, составляющие государственную тайну, в учебном процессе не используются. Начальник учебно-методической группы

---

Смотрите также

• 
  Федеральный закон о федеральной службе безопасности
• 
  Техника безопасности и охрана труда при работе
• 
  Положение о безопасности подрядных работ
• 
  Какой срок установлен для проведения экспертизы промышленной безопасности
• 
  Общие требования информационной безопасности
• 
  Положение о производственном контроле по промышленной безопасности
• 
  Какие требования безопасности предъявляются пуэ к ограждающим и закрывающим устройствам
• 
  Правовое обеспечение национальной безопасности или юриспруденция
• 
  Меры применяемые в электроустановках для обеспечения безопасности персонала
• 
  Удостоверение по экологической безопасности
• 
  Экспертиза промышленной безопасности лифтов