4.4 Государственные стандарты

Среди различных стандартов по безопасности информационных технологий, существующих в нашей стране, следует выделить ряд документов, регламентирующих защиту взаимосвязи открытых систем К ним можно добавить нормативные документы по средствам, системам и критериям оценки защищенности средств вычислительной техники и автоматизированных систем (cм. Таблицу 1, строки 4-8). Последняя группа документов, также как и многие ранее созданные зарубежные стандарты, ориентирована преимущественно на защиту государственной тайны.

Нормативные документы, регламентирующие оценку защищенности ИТ

1 ГОСТ Р ИСО 7498-2-99 Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 2. Архитектура защиты информации

2 ГОСТ Р ИСО/МЭК 9594-8-98 Информационная технология. Взаимосвязь открытых систем. Справочник. Часть 8. Основы аутентификации

3 ГОСТ Р ИСО/МЭК 9594-9-95 Информационная технология. Взаимосвязь открытых систем. Справочник. Часть 9. Дублирование

4 - Руководящий документ Гостехкоммиссии "РД. СВТ. Межсетевые экраны. Защита от НСД к информации. Показатели защищенности от НСД к информации" (Гостехкомиссия России, 1997)

5 ГОСТ Р 50739-95 "Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования"

6 ГОСТ 28147-89 Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования

7 ГОСТ Р 34.10-94 Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной подписи на базе асимметричного криптографического алгоритма

8 ГОСТ Р 34.11-94 Информационная технология. Криптографическая защита информации. Функция хэширования

9 ГОСТ Р 50543-93 Конструкции базовые несущие средств вычислительной техники. Требования по обеспечению защиты информации и электромагнитной совместимости методом экранирования

10 ГОСТ Р 50922-96 Защита информации. Основные термины и определения

11 ГОСТ Р 51188-98 Защита информации. Испытания программных средств на наличие компьютерных вирусов. Типовое руководство

12 ГОСТ Р 51275-99 Защита информации. Объект информатизации. Факторы, воздействующне на информацию. Общие положения

13 ГОСТ Р 51583-2000 Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Общие положения

14 ГОСТ Р ИСО/МЭК 15408-х-2002 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий"

Как и где работают различные стандарты.

Все имеющиеся на сегодняшний день стандарты являются разноуровневыми. Это значит, что их применение ограничено определенным уровнем абстракции в информационных системах (например, нельзя применять "Common Criteria" для детального описания механизма выработки сеансового ключа в протоколе TLS). Очевидно, что для эффективного применения стандартов необходимо хорошо знать об их уровне и назначении.

Так, при формировании политики безопасности и системы оценок эффективности, а также при проведении комплексных испытаний защищенности лучше всего использовать положения ISO 15408 ("Common Criteria"). Для реализации и оценки технического совершенства систем шифрования и электронно-цифровой подписи предназначены соответствующие ГОСТы. Если нужно защитить канал обмена произвольной информацией, то целесообразно использовать протокол TLS. Когда же речь идет не просто о защите линии связи, а о безопасности финансовых транзакций, в дело вступает SET, включающий в себя протоколы защиты каналов в качестве одного из стандартов более низкого уровня.

4.5 Безопасность в платежных системах

4.5.1 Безопасность JAVA-банка

Пользователю необходимо активизировать GPRS-канал, получить в банке специальный ПИН и активизировать Java-приложение. Защита информации обеспечивается путем параллельного применения нескольких схем аутентификации клиента.

• По номеру SIM-карты

• По федеральному телефонному номеру клиента

• По специальному ПИНу клиента.

4.5.2 Безопасность Интернет-банка

Пользователю необходимо получить специальный ПИН и/или получить одноразовые пароли. Защита информации обеспечивается

• логином и паролем

• одноразовым паролем

• таймаутами

• безопасным подключением к интернету.

4.5.3 Стандарты банковской безопасности

Департамент внешних и общественных связей сообщает, что 19 мая 2009 г. вышел «Вестник Банка России» № 31 (1122), в котором опубликован Стандарт Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0-2008» (СТО БР ИББС-1.2.-2009).

Cистема обеспечения информационной безопасности (СОИБ) состоит из двух частей – управляющей системы, принимающей решения о том, какие риски как обрабатывать, то есть системы менеджмента информационной безопасности (СМИБ), и объекта управления – непосредственно процессов обработки рисков, составляющих систему информационной безопасности (СИБ). Если мы взглянем на методологию, предлагаемую стандартом информационной безопасности Центрального Банка Российской Федерации (СТО БР ИББС-1.0-2008), то найдем в ней описание структуры системы обеспечения информационной безопасности организации, которая состоит из двух компонентов – системы менеджмента информационной безопасности и системы информационной безопасности.