58. Методы и модели оценки уязвимости информации.

Уязвимость информации - событие, возникающее как результат такого стечения обстоятельств, когда в силу каких-то причин используемые в АСОД средства защиты не в состоянии оказать достаточного противодействия проявлению дестабилизирующих факторов и нежелательного их воздействия на защищаемую информацию.

три методологических подхода к оценке уязвимости информации:

• Эмпирический(на основе длительного сбора и обработки данных о реальных проявлениях угроз информации и о размерах того ущерба, который при этом имел место, чисто эмпирическим путем устанавливаются зависимости между потенциально возможным ущербом и коэффициентами, характеризующими частоту проявления соответствующей угрозы и значения имевшего при ее проявлении размера ущерба);

• Теоретический (используются положения теории вероятности, теории ролевых игр и теории управления сложными системами).

• Теоретико-эмпирический(1)все необходимые показатели уязвимости могут быть вычислены на основе так называемых базовых показателей.2)Базовым является показатель уязвимости информации в одном структурном компоненте АСОД относительно одного дестабилизирующего фактора и относительно одного нарушителя одной категории (для факторов, связанных с злоумышленными действиями людей).3)Для определения базовых показателей уязвимости различных видов применяются так называемые аналитические модели, которые позволяют определять искомые величины (в данном случае - показатели уязвимости информации) путем проведения вычислений по заранее установленным (выведенным) зависимостям).

59. Виды защиты информации, сфера их действия.

К основным видам защиты информации относятся :

Правовая защита информации - это специальные (на международном, внутригосударственном и ведомственном уровнях) правовые акты, правила, процедуры и мероприятия, обеспечивающие защиту информации на правовой основе (рис. 18). Правовые меры по внутригосударственному праву можно разделить на две группы:

• государственные - нормативные акты, определяющие правила и проце­дуры защиты информации, которые регламентируются законами и подзакон­ными актами, в частности, указами Президента РФ, постановлениями Прави­тельства РФ;

• ведомственные - нормативные акты, устанавливающие ответственность за покушение на сведения, составляющие государственную или коммерческуютайну, и за преступления против установленного порядка сохранения засекре­ченной информации; эти акты регулируются уголовным, гражданским и административным кодексами РФ.

Организационная защита информации (рис. 19) - это регламентация производственной деятельности и взаимоотношений исполнителей на норма­тивно-правовой основе, исключающей или существенно затрудняющей непра­вомерное овладение секретной или конфиденциальной информацией.

Группа мер организационной защиты информации направлена на прове­дение организационной работы по выполнению правил, процедур и требова­ний защиты государственной и коммерческой тайны на основе правил, уста­новленных законами и подзаконными правовыми актами (инструкциями, по­ложениями и т.д.)

Инженерно-техническая защита информации (рис. 20) - это комплекс организационных и инженерно-технических мероприятий, направленных на то, чтобы исключить или существенно затруднить добывание защищаемой ин­формации с помощью технических средств разведки.

Инженерно-техническую защиту информации классифицируют по ис­пользуемым средствам (рис. 21):

• физическим - устройства, инженерные сооружения и организационные меры, затрудняющие или исключающие проникновение злоумышленников к источникам конфиденциальной информации;

• аппаратным - механические, электрические, электронные и другие уст­ройства, предназначенные для защиты информации от утечки и разглашения и противодействия техническим средствам промышленного шпионажа;

• программным - совокупная реализация аппаратных и программных средств и криптографических методов защиты информации;

• криптографическим -технические и программные средства защиты;

• комбинированным - совокупная реализация аппаратных, программных средств и криптографических методов защиты информации.

Некоторые авторы программные и криптографические методы защиты информации объединяют в отдельное направление программно-математичес­кой защиты информации.