22. Законодательный уровень информационной безопасности (на конкретных примерах законодательства рф).

Государство должно обеспечивать в стране ЗИ в масштабах государства, на уровне организации и отдельных граждан. Государством должна проводится единая политика безопасности в области ИТ.

Законодательный уровень является важнейшим для обеспечения информационной безопасности. Большинство людей не совершают противоправных действий не потому, что это технически невозможно, а потому, что это осуждается и/или наказывается обществом, потому, что так поступать не принято.

Различают на законодательном уровне две группы мер:

• меры, направленные на создание и поддержание в обществе негативного отношения к нарушениям и нарушителям информационной безопасности (меры ограничительной направленности);

• направляющие и координирующие меры, способствующие повышению образованности общества в области информационной безопасности, помогающие в разработке и распространении средств обеспечения информационной безопасности (меры созидательной направленности).

Самое важное и трудное на законодательном уровне — создать механизм, позволяющий согласовать процесс разработки законов с реалиями и прогрессом ИТ.

Законодательством определены органы, ведающие лицензированием и сертификацией. Россия сохранила государственный контроль за производством и распространением внутри страны средств обеспечения ИБ, в особенности продуктов криптографических технологий. В области ИБ законы преломляются и работают через нормативные документы, подготовленные соответствующими ведомствами.

В современном мире глобальных сетей нормативно-правовая база должна быть согласована с международной практикой. Использование зарубежных продуктов в некоторых критически важных системах может представлять угрозу НБ. В то же время, в подавляющем большинстве случаев потенциальные угрозы ИБ носят исключительно внутренний характер. В таких условиях незаконность использования зарубежных разработок при отсутствии отечественных аналогов затрудняет или вообще делает невозможной ЗИ. Проблема сертификации аппаратно-программных продуктов зарубежного производства сложна. Вхождение России в эту систему и участие российских специалистов в сертификационных испытаниях в состоянии снять имеющееся противоречие между независимостью в области ИТ и ИБ без какого-либо ущерба для НБ.

Подводя итог, можно наметить следующие основные направления деятельности на законодательном уровне:

• разработка новых законов с учетом интересов всех категорий субъектов ин-формационных отношений;

• обеспечение баланса созидательных и ограничительных (в первую очередь преследующих цель наказать виновных) законов;

• интеграция в мировое правовое пространство;

• учет современного состояния ИТ.

22. Стандарты и спецификации в области информационной безопасности (на конкретных примерах).

Отмеченная роль стандартов зафиксирована в основных понятиях закона РФ "О техническом регулировании" от 27 декабря 2002 года под номером 184-ФЗ:

• стандарт - документ, в котором в целях добровольного многократного использования устанавливаются характеристики продукции, правила осуществления и характеристики процессов производства, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ или оказания услуг.

• стандартизация - деятельность по установлению правил и характеристик в целях их добровольного многократного использования, направленная на достижение упорядоченности в сферах производства и обращения продукции и повышение конкурентоспособности продукции, работ или услуг.

На верхнем уровне можно выделить две существенно отличающиеся друг от друга группы стандартов и спецификаций:

• оценочные стандарты, предназначенные для оценки и классификации информационных систем и средств защиты по требованиям безопасности;

• спецификации, регламентирующие различные аспекты реализации и использования средств и методов защиты.

Из числа оценочных необходимо выделить стандарт Министерства обороны США "Критерии оценки доверенных компьютерных систем" и его интерпретацию для сетевых конфигураций, "Гармонизированные критерии Европейских стран", международный стандарт "Критерии оценки безопасности информационных технологий" и, конечно, Руководящие документы Гостехкомиссии России. К этой же группе относится и Федеральный стандарт США, регламентирующий конкретный, но очень важный и сложный аспект информационной безопасности.

Технические спецификации, применимые к современным распределенным ИС, создаются, главным образом, "Тематической группой по технологии Internet" и ее подразделением - рабочей группой по безопасности. Ядром рассматриваемых технических спецификаций служат документы по безопасности на IP-уровне. Кроме этого, анализируется защита на транспортном уровне, а также на уровне приложений. Необходимо отметить, что Internet-сообщество уделяет внимание административному и процедурному уровням безопасности.

В вопросах сетевой безопасности невозможно разобраться без освоения спецификаций X.800 "Архитектура безопасности для взаимодействия открытых систем", X.500 "Служба директорий: обзор концепций, моделей и сервисов" и X.509 "Служба директорий: каркасы сертификатов открытых ключей и атрибутов".

Британский стандарт BS 7799 "Управление информационной безопасностью. Практические правила", полезный для руководителей организаций и лиц, отвечающих за информационную безопасность, без сколько-нибудь существенных изменений воспроизведен в международном стандарте ISO/IEC 17799.