Часть 2 стандарта включает универсальный систематизированный каталог функциональных требований безопасности и предусматривает возможность их детализации и расширения по определённым правилам.
Часть 3 стандарта включает систематизированный каталог требований доверия, определяющих меры, которые должны быть приняты на всех этапах жизненного цикла продукта или системы ИТ для обеспечения уверенности в том, что они удовлетворяют предъявленным к ним функциональным требованиям
61. Общие критерии разрабатывались в расчете на то, чтобы удовлетворить запросы трех групп специалистов. Опишите эти группы.
Производители должны использовать Общие критерии при проектировании и разработке ИТ-продуктов, а также в подготовке их к квалификационному анализу и сертификации. Этот документ дает возможность производителям на основании анализа запросов потребителя определить набор требований, которым должен удовлетворять разрабатываемый ими продукт. Кроме того, производители могут использовать Общие критерии для определения границ своей ответственности, а также условий, которые необходимо выполнить для успешного прохождения квалификационного анализа и сертификации ими продукта.
Потребители используют предлагаемую Общими критериями технологию для обоснования своих претензий на то, что поставляемый им ИТ-продукт успешно противостоит угрозам безопасности, на основании того, что он удовлетворяет выдвинутым функциональным требованиям и их реализация осуществлена с достаточным уровнем адекватности.
Эксперты по сертификации используют этот документ в качестве критериев определения соответствия средств защиты ИТ-продукта требованиям, предъявляемым к нему потребителями, и угрозам, действующим в среде его эксплуатации. Общие критерии описывают только общую схему проведения квалификационного анализа и сертификации, но не регламентируют процедуру их осуществления. Вопросам методологии квалификационного анализа и сертификации посвящен отдельный раздел – Общая методология оценки безопасности информационных технологий.
62. ГОСТ Р ИСО/МЭК 15408-2002 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий". Основное содержание, общие положения. Термины и определения.
Положение определяет порядок разработки, оценки, регистрации и публикации профилей защиты и заданий по безопасности для продуктов и систем информационных технологий, предназначенных для обработки информации, отнесенной к информации ограниченного доступа в соответствии с законодательством Российской Федерации.
Общие положения
Профиль защиты - это нормативный документ, предназначенный для изложения проблемы безопасности определенной совокупности продуктов и систем ИТ и формулирования требований безопасности для решений данной проблемы.
Задание по безопасности - это документ, содержащий требования безопасности для конкретного изделия ИТ, которые реализованы в нем для достижения установленных целей безопасности. ЗБ является основой для проведения оценки безопасности изделия ИТ.
Термины и определения.
3.1 Активы : Информация или ресурсы, подлежащие защите контрмерами изделия ИТ
3.2 Доверие: Основание для уверенности в том, что изделие ИТ отвечает своим целям безопасности
3.3 Задание по безопасности: Совокупность требований безопасности и спецификаций, предназначенная для использования в качестве основы для оценки конкретного изделия ИТ
3.4 Заявитель : физическое или юридическое лицо, подающее заявку на оценку, сертификацию и регистрацию ПЗ.
3.5 Изделие ИТ : Обобщенный термин для продуктов и систем ИТ.
3.6 Орган регистрации : Орган, уполномоченный Гостехкомиссией России для регистрации профилей защиты и пакетов.
3.7 Оценка безопасности : Исследования (испытания), проводимые для проверки соответствия ПЗ, ЗБ или изделия ИТ установленным требованиям безопасности.
3.8 Политика безопасности организации Совокупность руководящих принципов, правил, процедур и практических приемов в области безопасности, которыми руководствуется организация в своей деятельности
3.9 Предположения: Условия, которые должны быть обеспечены в среде, чтобы изделие ИТ могло рассматриваться как безопасное.
3.10 Продукт ИТ : Совокупность программных, программно- аппаратных и/или аппаратных средств ИТ, предоставляющая определенные функциональные возможности и предназначенная для непосредственного использования или включения в различные системы ИТ
3.11 Профиль защиты): Независимая от реализации совокупность требований безопасности для некоторой категории изделий ИТ, отвечающая специфическим запросам потребителя
3.12 Система ИТ Специфическое воплощение изделия ИТ с конкретным назначением и условиями эксплуатации
3.13 Среда безопасности : Область среды, в пределах которой предусматривается обеспечение необходимых условий для поддержания требуемого режима безопасности изделия ИТ.
3.14 Угроза : Совокупность условий и факторов, определяющих потенциальную или реально существующую опасность возникновения инцидента, который может привести к нанесению ущерба изделию ИТ или его собственнику.
3.15 Функция безопасности: Функциональные возможности части или частей изделия ИТ, обеспечивающие выполнение подмножества взаимосвязанных требований безопасности
3.16 Цель безопасности Сформулированное намерение противостоять установленным угрозам и/или удовлетворять установленной политике безопасности организации и предположениям
63. Функциональные требования безопасности.
Идентификация и аутентификация.
Защита данных пользователя.
Защита функций безопасности (требования относятся к целостности и контролю данных сервисов безопасности и реализующих их механизмов).
Управление безопасностью (требования этого класса относятся к управлению атрибутами и параметрами безопасности).
Аудит безопасности (выявление, регистрация, хранение, анализ данных, затрагивающих безопасность объекта оценки, реагирование на возможное нарушение безопасности).
Доступ к объекту оценки.
Приватность (защита пользователя от раскрытия и несанкционированного использования его идентификационных данных).
Использование ресурсов (требования к доступности информации).
Криптографическая поддержка (управление ключами).
Связь (аутентификация сторон, участвующих в обмене данными).
Доверенный маршрут/канал (для связи с сервисами безопасности).
64. Руководящие документы Гостехкомиссии (ФСТЭК) России.
Защита от несанкционированного доступа к информации. Термины и определения
Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации
Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации
Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищённости от несанкционированного доступа к информации
Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа. Показатели защищённости от несанкционированного доступа к информации
Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей
65. Сервисы безопасности и исполняемые ими роли
Выделяют следующие сервисы безопасности:
Аутентификация. Данный сервис обеспечивает проверку подлинности партнеров по общению и проверку подлинности источника данных. Аутентификация партнеров по общению используется при установлении соединения и, быть может, периодически во время сеанса. Она служит для предотвращения таких угроз, как маскарад и повтор предыдущего сеанса связи. Аутентификация бывает односторонней (обычно клиент доказывает свою подлинность серверу) и двусторонней (взаимной).
Управление доступом. Обеспечивает защиту от несанкционированного использования ресурсов, доступных по сети.
Конфиденциальность данных. Обеспечивает защиту от несанкционированного получения информации. Отдельно упомянем конфиденциальность трафика (это защита информации, которую можно получить, анализируя сетевые потоки данных).
Целостность данных подразделяется на подвиды в зависимости от того, какой тип общения используют партнеры - с установлением соединения или без него, защищаются ли все данные или только отдельные поля, обеспечивается ли восстановление в случае нарушения целостности.
Неотказуемость (невозможность отказаться от совершенных действий) обеспечивает два вида услуг: неотказуемость с подтверждением подлинности источника данных и неотказуемость с подтверждением доставки. Побочным продуктом неотказуемости является аутентификация источника данных.
Активно развиваемое ролевое управление доступом решает не столько проблемы безопасности, сколько улучшает управляемость систем (что, конечно, очень важно). Суть его в том, что между пользователями и их привилегиями помещаются промежуточные сущности — роли. Для каждого пользователя одновременно могут быть активными несколько ролей, каждая из которых дает ему определенные права.
Мы уже отмечали, что сложность информационной системы характеризуется, прежде всего, числом имеющихся в ней связей. Поскольку ролей много меньше, чем пользователей и привилегий, их (ролей) использование способствует понижению сложности и, следовательно, улучшению управляемости. Кроме того, на основании ролевой модели можно реализовать такие важные принципы, как разделение обязанностей (невозможность в одиночку скомпрометировать критически важный процесс). Между ролями могут быть определены статические или динамические отношения несовместимости (невозможности одному субъекту по очереди или одновременно активизировать обе роли), что и обеспечивает требуемую защиту.
Для некоторых употребительных сервисов, таких как Web, ролевое управление доступом может быть реализовано относительно просто (в Web-случае — на основе cgi-процедур). Правда, следует позаботиться о средствах администрирования, но, разумеется, существуют и они. Так что в данном случае слово за системными администраторами.
66 Сетевые механизмы безопасности.
Для реализации сервисов (функций) безопасности могут использоваться следующие механизмы и их комбинации:
шифрование ;
электронная цифровая подпись ;
механизмы управления доступом. Могут располагаться на любой из участвующих в общении сторон или в промежуточной точке;
механизмы контроля целостности данных. В рекомендациях X.800 различаются два аспекта целостности: целостность отдельного сообщения или поля информации и целостность потока сообщений или полей информации. Для проверки целостности потока сообщений (то есть для защиты от кражи, переупорядочивания, дублирования и вставки сообщений) используются порядковые номера, временные штампы, криптографическое связывание или иные аналогичные приемы;
механизмы аутентификации. Согласно рекомендациям X.800, аутентификация может достигаться за счет использования паролей, личных карточек или иных устройств аналогичного назначения, криптографических методов, устройств измерения и анализа биометрических характеристик;
механизмы дополнения трафика ;
механизмы управления маршрутизацией. Маршруты могут выбираться статически или динамически. Оконечная система, зафиксировав неоднократные атаки на определенном маршруте, может отказаться от его использования. На выбор маршрута способна повлиять метка безопасности, ассоциированная с передаваемыми данными;
механизмы нотаризации. Служат для заверения таких коммуникационных характеристик, как целостность, время, личности отправителя и получателей. Заверение обеспечивается надежной третьей стороной, обладающей достаточной информацией. Обычно нотаризация опирается на механизм электронной подписи.
67 Администрирование средств безопасности
усилия администратора средств безопасности должны распределяться по трем направлениям:
· администрирование информационной системы в целом;
· администрирование сервисов безопасности;
· администрирование механизмов безопасности.
Администрирование информационной системы в целом включает обеспечение актуальности политики безопасности, взаимодействие с другими административными службами, реагирование на происходящие события, аудит и безопасное восстановление.
Администрирование сервисов безопасности включает в себя определение защищаемых объектов, выработку правил подбора механизмов безопасности (при наличии альтернатив), комбинирование механизмов для реализации сервисов, взаимодействие с другими администраторами для обеспечения согласованной работы.
Администрирование механизмов безопасности включает:
· управление криптографическими ключами (генерация и распределение);
· управление шифрованием (установка и синхронизация криптографических параметров);
· администрирование управления доступом (распределение информации, необходимой для управления – паролей, списков доступа и т. п.);
· управление аутентификацией (распределение информации, необходимой для аутентификации – паролей, ключей и т. п.);
· управление дополнением трафика (выработка и поддержание правил, задающих характеристики дополняющих сообщений – частоту отправки, размер и т. п.);
· управление маршрутизацией (выделение доверенных путей);
· управление нотаризацией (распространение информации о нотариальных службах, администрирование этих служб).
Среди защитных механизмов в сетевых конфигурациях на первое место выдвигается криптография, помогающая поддерживать как конфиденциальность, так и целостность. Следствием использования криптографических методов является необходимость реализации механизмов управления ключами.
Сетевой сервис перестает быть доступным, когда пропускная способность коммуникационных каналов падает ниже минимально допустимого уровня или сервис не в состоянии обслуживать запросы. Удаленный ресурс может стать недоступным и вследствие нарушения равноправия в обслуживании пользователей.
Для обеспечения непрерывности функционирования могут применяться следующие защитные меры:
· внесение в конфигурацию той или иной формы избыточности (резервное оборудование, запасные каналы связи и т. п.);
· наличие средств реконфигурирования для изоляции и/или замены узлов или коммуникационных каналов, отказавших или подвергшихся атаке на доступность;
· рассредоточенность сетевого управления, отсутствие единой точки отказа;
· наличие средств нейтрализации отказов (обнаружение отказавших компонентов, оценка последствий, восстановление после отказов);
· выделение подсетей и изоляция групп пользователей друг от друга.
68. Обязанности администратора механизмов безопасности
Обязанности администратора механизмов безопасности
Обязанности администратора механизмов безопасности определяются перечнем задействованных механизмов. Типичный список таков:
управление ключами (генерация и распределение) ;
управление шифрованием (установка и синхронизация криптографических параметров). К управлению шифрованием можно отнести и администрирование механизмов электронной подписи. Управление целостностью, если оно обеспечивается криптографическими средствами, также тяготеет к данному направлению;
администрирование управления доступом (распределение информации, необходимой для управления - паролей, списков доступа и т.п.);
управление аутентификацией (распределение информации, необходимой для аутентификации - паролей, ключей и т.п.);
управление дополнением трафика (выработка и поддержание правил, задающих характеристики дополняющих сообщений - частоту отправки, размер и т.п.);
управление маршрутизацией (выделение доверенных путей);
управление нотаризацией (распространение информации о нотариальных службах, администрирование этих служб).
69 Международный стандарт ISO/IEC 17799:2000 (BS 7799-1:2000) «Управление информационной безопасностью — Информационные технологии». Основное содержание, общие положения. Термины и определения.
ISO/IEC 17799 — стандарт информационной безопасности, опубликованный в 2005 году организациями ISO и IEC. Текущая версия стандарта является переработкой версии, опубликованной в 2000 году, которая являлась полной копией Британского стандарта BS 7799-1:1999.
Основное содержание
Стандарт предоставляет лучшие практические советы по менеджменту информационной безопасности для тех, кто отвечает за создание, реализацию или обслуживание систем менеджмента информационной безопасности. Информационная безопасность определяется стандартом как «сохранение конфиденциальности (уверенности в том, что информация доступна только тем, кто уполномочен иметь такой доступ), целостности (гарантии точности и полноты информации и методов её обработки) и доступности (гарантии в том, что уполномоченные пользователи имеют доступ к информации и связанным ресурсам)».
Общее положение
Настоящий Международный Стандарт был разработан с целью установить требования для создания, внедрения, поддержания функционирования и непрерывного улучшения системы менеджмента информационной безопасности
Система менеджмента информационной безопасности направлена на сохранение
конфиденциальности, целостности и возможности применения информации за счет
выполнения процессов управления рисками и обеспечивает уверенность заинтересованных
сторон в том, что риски управляются надлежащим образом.
Термины иопределения
Для целей настоящего документа применяются термины и определения, данные в ISO/IEC
27000.
управление доступом (access control)
механизмы, призванные гарантировать, что доступ к активам разрешен и ограничен в
соответствии с требованиями бизнеса и безопасности
2.2
аналитическая модель (analytical model)
алгоритм или расчет, включающий одну или более основных (2.10) и/или производных мер
(2.22), с соответствующим критериями принятия решений
2.3
атака (attack)
попытка уничтожить, раскрыть, изменить, сделать недоступным, украсть или получить
несанкционированный доступ или несанкционированно использовать актив
2.4
атрибут (attribute)
свойство или характеристика объекта (2.55), отличие которого - количественное или
качественное – от другого может быть установлено непосредственно человеком или
автоматизированными средствами
2.5
аудит (audit)
систематический, независимый и документированный процесс (2.61) получения
свидетельства аудита и объективной его оценки с целью определения степени, с которой
выполняются критерии аудита
Примечание 1 к определению: Аудит может быть внутренним (первой стороны) или внешним (второй или
третьей стороны), а также может быть комбинированным аудитом (объединяющим два или более
направления)
Примечание 2 к определению: Термины «свидетельство аудита» и «критерий аудита» определены в ISO
19011.
2.6
область аудита (audit scope)
объем и границы аудита (2.5)
2.7
аутентификация (authentication)
обеспечение гарантии того, что заявленные характеристики объекта являются
подлинными
2.8
подлинность (authenticity)
свойство, указывающее, что объект представляет собой то, что он заявляет о себе
2.9
возможность применения (availability)
свойство доступности и готовности к использованию по авторизованному запросу
2.10
основная мера (base measure)
мера (2.47), определенная в отношении атрибута (2.4) и метода его количественной
оценки
[ИСТОЧНИК: ISO/IEC 15939:2007]
Примечание 1 к определению: Основная единица измерения не является функцией других единиц измерения
2.11
компетентность (competence)
способность применять знания и навыки для достижения желаемых результатов
2.12
конфиденциальность (confidentiality)
свойство, указывающее, что информация остается недоступной или нераскрытой для
неавторизованных частных и юридических лиц или процессов (2.61)
2.13
соответствие (conformity)
выполнение требования (2.63)
Примечание 1 к определению: Термин «conformance» является синонимом, но не рекомендуется для
применения
2.14
последствие (consequence)
результат события (2.25), оказывающий влияние на цели (2.56)
2.15
постоянное улучшение (continual improvement)
периодически осуществляемые действия по улучшению показателей деятельности (2.59)
2.16
средство управления (control)
цель управления (control objective)
описание того, что должно быть достигнуто в результате применения средств управления
(2.16)
2.18
коррекция (correction)
действие для устранения обнаруженного несоответствия (2.53)
2.19
корректирующее действие (corrective action)
действие для устранения причины обнаруженного несоответствия (2.53) и
предотвращения ее повторного проявления
2.20
данные (data)
Примечание 1 к определению: Это определение применяется только в контексте ISO/IEC 27004:2009
2.21
критерий принятия решения (decision criteria)
2.22
производная мера (derived measure)
документированная информация (documented information)
результативность (effectiveness)
событие (event)
возникновение или изменение определенного набора обстоятельств
высшее исполнительное руководство (executive management)
лицо или группа лиц, кому делегирована руководящим органом управления
внешний контекст (external context)
внешняя среда, в которой организация стремиться достичь своих целей
управление информационной безопасностью (governance of information security)
руководящий орган управления (governing body)
2.30
показатель (indicator)
мера (2.47), которая обеспечивает качественное или количественное представление
конкретных атрибутов (2.4), полученных из аналитической модели (2.2), с учетом
выявленных потребностей в информации (2.31)
2.31
потребность в информации (informational need)
данные, необходимые для управления задачами, целями, рисками и проблемами
2.32
устройства обработки информации (information processing facilities)
любая система обработки информации, служба или инфраструктура, или физическое место
их размещения
2.33
информационная безопасность (information security)
сохранение конфиденциальности (2.12), целостности (2.40) и возможности применения
(2.9) информации
2.34
непрерывность информационной безопасности (information security continuity)
процессы (2.61) и процедуры, гарантирующие постоянное обеспечение информационной
безопасности (2.33)
2.35
событие информационной безопасности (information security event)
установленное возникновение состояния системы, службы или сети, указывающее на
возможное нарушение политик информационной безопасности или недостаточность
средств управления, или на ранее неизвестную ситуацию, которая может быть
существенной с точки зрения безопасности
2.36
инцидент информационной безопасности (information security incident)
одно или несколько нежелательных или неожиданных событий информационной
безопасности (2.35), которые со значительной степенью вероятности подвергают
опасности деловую деятельность и угрожают информационной безопасности (2.33)
2.37
менеджмент инцидентов информационной безопасности (information security
incident management)
2.38
сообщество обмена информацией (information sharing community)
группа организаций, которые согласились совместно использовать информацию
Примечание 1 к определению: В качестве организации может выступать отдельное лицо
2.39
информационная система (information system)
приложения, службы, активы, связанные с информационными технологиями, или другие
компоненты обработки информации
2.40
целостность (integrity)
свойство сохранения полноты и точности
2.41
заинтересованная сторона (interested party)
лицо или организация (2.57), которые могут влиять на решения или действия, а также на
которых могут влиять или они полагают, что на них могут влиять решения или действия
2.42
внутренний контекст (internal context)
внутренняя среда, в которой организация стремится достичь своих целей
2.43
проект СМИБ (ISMS project)
структурированные действия, предпринятые организацией (2.57) для внедрения СМИБ
2.44
уровень риска (level of risk)
величина риска (2.68), выраженная комбинацией последствий (2.14) и их вероятности
(2.45)
вероятность (likelihood)
степень возможности того, что что-то произойдет
ISO/IEC 27000:2014 (E)
2.46
система менеджмента (management system)
совокупность взаимосвязанных или взаимодействующих элементов организации (2.57)
для разработки политик (2.60) и целей (2.56), а также процессов (2.61) для достижения
этих целей
мера (measure)
переменная, значением которой служит результат измерения (2.48)
2.48
измерение (measurement)
процесс (2.61) определения значения
2.49
функция расчета производной меры (measurement function)
алгоритм или вычисление, выполняемые для объединения двух или более основных мер
2.50
метод измерения (measurement method)
логическая последовательность действий, описанная в общем виде, используемая для
количественного определения атрибута (2.4) в соответствии с конкретной шкалой (2.80)
2.51
результаты измерения (measurement results)
один или более показателей (2.30) и связанных с ними интерпретаций, которые служат
удовлетворению потребности в информации (2.31)
мониторинг (monitoring)
определение состояния системы, процесса (2.61) или работы
Примечание 1 к определению: Для определения состояния может быть необходимым проверять,
контролировать или критически изучать.
2.53
несоответствие (nonconformity)
невыполнение требования (2.63)
2.54
неопровержимость авторства (non-repudiation)
возможность доказать осуществление запрошенного события или действия и
инициировавших его источников
2.55
объект (object)
элемент, определяемый посредством измерения (2.48) его атрибутов (2.4)
2.56
цель (objective)
результат, который должен быть достигнут
Примечание 1 к определению: Цель может быть стратегической, тактической или оперативной
2.57
организация (organization)
лицо или группа лиц, наделенные своими собственными функциями с обязанностями,
полномочиями и взаимосвязями для достижения своих целей (2.56)
2.58
передавать на аутсорсинг (outsource)
заключать соглашение, по которому внешняя организация (2.57) выполняет часть функций
или процесса (2.61) организации
2.59
показатель деятельности (performance)
измеримый результат
Примечание 2 к определению: Показатель деятельности может относиться к управлению работами,
процессами (2.61), продуктами (включая услуги), системами или организациями (2.57).
2.60
политика (policy)
намерения и направление развития организации (2.57), официально сформулированные
высшим руководством (2.84)
2.61
процесс (process)
совокупность взаимосвязанных или взаимодействующих видов деятельности, которая
преобразует входы в выходы
2.62
надежность (reliability)
свойство соответствия предполагаемому поведению и результатам
2.63
требование (requirement)
потребность или ожидание, которое сформулировано, обычно подразумеваемое или
обязательное
2.64
остаточный риск (residual risk)
риск (2.68), оставшийся после обработки риска (2.79)
анализ (review)
деятельность, предпринимаемая для определения пригодности, адекватности и
результативности (2.24) объекта анализа в достижении заданных целей
2.66
объект анализа (review object)
конкретный объект, подвергаемый анализу
2.67
цель анализа (review objective)
описание того, что должно быть достигнуто в результате анализа
2.68
риск (risk)
влияние неопределенности на достижение целей
принятие риска (risk acceptance)
обоснованное решение принять конкретный риск (2.68)
анализ риска (risk analysis)
процесс понимания характера риска (2.68) и определения уровня риска (2.44)
оценка риска (risk assessment)
единый процесс (2.61) идентификации риска (2.75), анализа риска (2.70) и определения
степени риска (2.74).
2.72
обмен информацией по рискам и консультации (risk communication and consultation)
непрерывные и повторяющиеся процессы, выполняемые организацией для передачи,
совместного использования или получения информации и участия в диалоге с
заинтересованными сторонами (2.82) по вопросам менеджмента риска (2.68).
2.73
критерий риска (risk criteria)
эталонные условия, на основании которых оценивают значимость риска (2.68)
2.74
определение степени риска (risk evaluation)
процесс (2.61) сравнения результатов анализа риска (2.70) с критериями риска (2.73) для
определения, является ли риск(2.68) и/или его величина допустимыми или приемлемыми.
Примечание 1 к определению: Определение степени риска помогает при принятии решения об обработке
риска (2.79)
2.75
идентификация риска (risk identification)
процесс выявления, определения и описания рисков (2.68)
Примечание 1 к определению: Идентификация риска может включать в себя выявление источников риска,
событий, их причин и возможных последствий
Примечание 2 к определению: При идентификации риска могут использоваться данные за прошедший
период, аналитические методы, обоснованные мнения и экспертные оценки, а также потребности
заинтересованных сторон
2.76
менеджмент риска (risk management)
скоординированные действия по руководству и управлению организацией (2.57) в
отношении рисков (2.68)
2.77
процесс менеджмента риска (risk management process)
систематическое применение политик, процедур и установленных методик к действиям
по обмену информацией, консультациям, установлению контекста, а также
идентификации, анализу, определению степени, обработке, мониторингу и повторному
анализу риска (2.68)
Примечание 1 к определению: ISO/IEC 27005 использует термин «процесс» для описания менеджмента риска
в целом. Элементы процесса менеджмента риска обозначены термином «действия».
2.78
владелец риска (risk owner)
физическое или юридическое лицо с ответственностью и полномочиями для менеджмента
риска (2.68)
2.79
обработка риска (risk treatment)
процесс (2.61), нацеленный на изменение риска (2.68)
2.80
шкала (scale)
упорядоченная совокупность значений, непрерывная или дискретная, или совокупность
категорий, с которой соотносится атрибут (2.4)
2.81
стандарт обеспечения безопасности (security implementation standard)
документ, устанавливающий разрешенные методы обеспечения безопасности
2.82
заинтересованная сторона (stakeholder)
лицо или организация, которые могут влиять на решения или действия, а также на
которых могут влиять или они полагают, что на них могут влиять решения или действия
2.83
угроза (threat)
возможная причина нежелательного инцидента, который может нанести ущерб системе
или организации
2.84
высшее руководство (top management)
лицо или группа лиц, которая направляет и управляет организацией (2.57) на высшем
уровне
2.85
доверенный участник информационного сообщества (trusted information
communication entity)
автономная организация, поддерживающая информационное взаимодействие в
сообществе обмена информацией
2.86
единица измерения (unit of measurement)
конкретная величина, определенная и принятая по соглашению, с которой сравниваются
другие величины того же вида, чтобы выразить их значение относительно данной
2.87
валидация (validation)
подтверждение получением объективных свидетельств, что требования для конкретного
предполагаемого использования или применения были выполнены
2.88
верификация (verification)
подтверждение получением объективных свидетельств, что заданные требования были
выполнены
Примечание 1 к определению: Это также может называться проверкой соответствия
2.89
уязвимость (vulnerability)
слабое место актива или средства управления (2.16), которое может быть использовано
одной или более угрозой (2.83)
70. Германский стандарт BSI
В отличие от ISO 17799 германское «Руководство по защите информационных технологий для базового уровня защищенности» посвящено детальному рассмотрению частных вопросов управления информационной безопасностью компании.
В германском стандарте BSI представлены:
• общая методика управления информационной безопасностью (организация менеджмента в области информационной безопасности, методология использования руководства);
• описания компонентов современных ИТ;
• описания основных компонентов организации режима информационной безопасности (организационный и технический уровни защиты данных, планирование действий в чрезвычайных ситуациях, поддержка непрерывности бизнеса);
• характеристики объектов информатизации (здания, помещения, кабельные сети, контролируемые зоны);
• характеристики основных информационных активов компании (в том числе аппаратное и программное обеспечение, например рабочие станции и серверы под управлением ОС семейства DOS, Windows и UNIX);
• характеристики компьютерных сетей на основе различных сетевых технологий, например сети Novell NetWare, сети UNIX и Windows).
• характеристика активного и пассивного телекоммуникационного оборудования ведущих поставщиков, например Cisco Systems;
• подробные каталоги угроз безопасности и мер контроля (более 600 наименований в каждом каталоге).
Вопросы защиты приведенных информационных активов компании рассматриваются по определенному сценарию: общее описание информационного актива компании — возможные угрозы и уязвимости безопасности — возможные меры, и средства контроля и защиты.
Все виды угроз в стандарте BSI разделены на следующие классы:
• Форс-мажорные обстоятельства.
• Недостатки организационных мер.
• Ошибки человека.
• Технические неисправности.
• Преднамеренные действия.
Аналогично классифицированы контрмеры:
• Улучшение инфраструктуры;
• Административные контрмеры;
• Процедурные контрмеры;
• Программно-технические контрмеры;
• Уменьшение уязвимости коммуникаций; планирование действий в чрезвычайных ситуациях.
71 Стандарты информационной безопасности в Интернете.
В качестве средств обеспечения безопасности в сети Интернет популярны протоколы защищенной передачи данных, а именно SSL (TLS), SET, IP v. 6. Они появились сравнительно недавно, и сразу стали стандартами де-факто.
SSL (TLS) -- Наиболее популярный сейчас сетевой протокол шифрования данных для безопасной передачи по сети представляет собой набор криптографических алгоритмов, методов и правил их применения. Позволяет устанавливать защищенное соединение, производить контроль целостности данных и решать различные сопутствующие задачи.
SET -- SET (Security Electronics Transaction) - перспективный протокол, обеспечивающий безопасные электронные транзакции в Интернете. Он основан на использовании цифровых сертификатов по стандарту Х.509 и предназначен для организации электронной торговли через сеть.Данный протокол является стандартом, разработанным компаниями "MasterCard" и "Visa" при участии "IBM", "GlobeSet" и других партнеров. С его помощью покупатели могут приобретать товары через Интернет, используя самый защищенный на сегодняшний день механизм выполнения платежей. SET - это открытый стандартный многосторонний протокол для проведения платежей в Интернете с использованием пластиковых карточек. Он обеспечивает кросс-аутентификацию счета держателя карты, продавца и банка продавца для проверки готовности оплаты, а также целостность и секретность сообщения, шифрование ценных и уязвимых данных. SET можно считать стандартной технологией или системой протоколов выполнения безопасных платежей на основе пластиковых карт через Интернет.
IPSec -- Спецификация IPSec входит в стандарт IP v. 6 и является дополнительной по отношению к текущей версии протоколов TCP/IP. Она разрабатывается Рабочей группой IP Security IETF. В настоящее время IPSec включает три алгоритмо-независимых базовых спецификации, представляющих соответствующие RFC-стандарты.
Протокол IPSec обеспечивает стандартный способ шифрования трафика на сетевом (третьем) уровне IP и защищает информацию на основе сквозного шифрования: независимо от работающего приложения, шифруется каждый пакет данных, проходящий по каналу. Это позволяет организациям создавать в Интернете виртуальные частные сети. IPSec работает поверх обычных протоколов связи, поддерживая DES, MD5 и ряд других криптографических алгоритмов.
Обеспечение информационной безопасности на сетевом уровне с помощью IPSec включает:
поддержку немодифицированных конечных систем;
поддержку транспортных протоколов, отличных от ТСР;
поддержку виртуальных сетей в незащищенных сетях;
защиту заголовка транспортного уровня от перехвата (предохранение от несанкционированного анализа трафика);
защиту от атак типа "отказ в обслуживании".
Кроме того, IPSec имеет два важных преимущества:
его применение не требует изменений в промежуточных устройствах сети;
рабочие места и серверы не обязательно должны поддерживать IPSec.
72. Перечислите примеры уязвимостей .
Распространённые типы уязвимостей включают в себя:
• Нарушения безопасности доступа к памяти, такие как:
• Переполнения буфера
• Висячие указатели
• Ошибки проверки вводимых данных, такие как:
• Ошибки форматирующей строки
• Неверная поддержка интерпретации метасимволов командной оболочки
• SQL-инъекция
• Инъекция кода
• E-mail инъекция
• Обход каталогов
• Межсайтовый скриптинг в веб-приложениях
• Межсайтовый скриптинг при наличии SQL-инъекции
• Состояния гонки, такие как:
• Ошибки времени-проверки-ко-времени-использования
• Гонки символьных ссылок
• Ошибки путаницы привилегий, такие как:
• Подделка межсайтовых запросов в веб-приложениях
• Эскалация привилегий, такие как:
• Shatter attack
• Уязвимость нулевого дня
73. Внешняя среда и инфраструктура
Отсутствие физической защиты здания, дверей и окон (может быть использовано, например, угрозой хищения).
Неадекватное или небрежное использование физического управления доступом к зданиям и помещениям (может быть использовано, например, угрозой намеренного повреждения).
Нестабильная электрическая сеть (может быть использована, например, угрозой колебаний напряжения).
Размещение в местности, предрасположенной к наводнениям (может быть использовано, например, угрозой затопления).
74) Уязвимости аппаратных средств.
Отсутствие программ периодической замены (может быть использовано, например, угрозой ухудшения состояния носителей данных).
Чувствительность к колебаниям напряжения (может быть использована, например, угрозой колебаний напряжения).
Чувствительность к колебаниям температуры (может быть использована, например, угрозой экстремальных показателей температуры).
Чувствительность к влажности, пыли, загрязнению (может быть использована, например, угрозой пылеобразования).
Чувствительность к электромагнитному излучению (может быть использована, например, угрозой электромагнитного излучения).
Недостаточное техническое обслуживание/неправильная установка носителей данных (может быть использовано, например, угрозой ошибки технического обслуживания).
Отсутствие эффективного контроля изменений конфигурации (может быть использовано, например, угрозой ошибок операционного персонала).
75) Уязвимости программные средств.
Нечеткие или неполные спецификации для разработчиков (могут быть использованы, например, угрозой сбоя программы).
Отсутствующее или недостаточное тестирование программных средств (может быть использовано, например, угрозой использования программных средств неуполномоченными пользователями).
Сложный пользовательский интерфейс (может быть использован, например, угрозой ошибок операционного персонала).
Отсутствие механизмов идентификации и аутентификации, таких как аутентификация пользователей (может быть использовано, например, угрозой имитации личности пользователя).
Отсутствие контрольного журнала (может быть использовано, например, угрозой использования программных средств несанкционированным образом).
Широко известные дефекты программных средств (могут быть использованы, например, угрозой использования программных средств неуполномоченными пользователями).
Незащищенные таблицы паролей (могут быть использованы, например, угрозой имитации личности пользователя).
Плохой менеджмент паролей (легко отгадываемые пароли, хранение паролей в незашифрованном виде, недостаточная частота смены паролей) (может быть использован, например, угрозой имитации личности пользователя).
Неверное распределение прав доступа (может быть использовано, например, угрозой использования программных средств несанкционированным образом).
Неконтролируемая загрузка и использование программных средств (может быть использована, например, угрозой вредоносного программного обеспечения).
Отсутствие «конца сеанса», покидая рабочую станцию (может быть использовано, например, угрозой использования программных средств неуполномоченными пользователями).
Отсутствие эффективного контроля изменений (может быть использовано, например, угрозой сбоя программы).
Отсутствие документации (может быть использовано, например, угрозой ошибок операционного персонала).
Отсутствие резервных копий (может быть использовано, например, угрозой вредоносного программного обеспечения или угрозой пожара).
Списание или повторное использование носителей данных без надлежащего стирания (может быть использовано, например, угрозой использования программных средств неуполномоченными пользователями).
Активированные ненужные службы (могут быть использованы, например, угрозой использования несанкционированного программного обеспечения).
Недоработанное или новое программное обеспечение (может быть использовано, например, угрозой некомпетентного или неадекватного тестирования).
Широко распределенное программное обеспечение (может быть использовано, например, угрозой потери целостности в процессе распределения).
76. Уязвимости системы связи.
Незащищенные линии связи (могут быть использованы, например, угрозой подслушивания).
Плохая разводка кабелей (может быть использована, например, угрозой проникновения в систему связи).
Отсутствие идентификации и аутентификации отправителя и получателя (может быть использовано, например, угрозой имитации личности пользователя).
Коммутируемые линии (могут быть использованы, например, угрозой получения сетевого доступа неуполномоченными пользователями).
Незащищенный значимый трафик (может быть использован, например, угрозой подслушивания).
Неадекватный сетевой менеджмент (устойчивость маршрутизации) (может быть использован, например, угрозой перегрузки трафика).
Незащищенные соединения сети общего пользования (могут быть использованы, например, угрозой использования программных средств неуполномоченными пользователями)
Ненадежная сетевая архитектура (может быть использована, например, угрозой вторжения).
77. Информационные угрозы реализуются в виде.
- нарушения адресности и своевременности информационного обмена;
- противозаконного сбора и использования информации;
- осуществления несанкционированного доступа к информационным ресурсам и их противоправного использования;
- хищения информационных ресурсов из банков и баз данных;
- нарушения технологии обработки информации.
78. Физические угрозы реализуются в виде.
- уничтожения, повреждения, радиоэлектронного подавления или разрушения средств и систем обработки информации, телекоммуникации и связи;
- уничтожения, повреждения, разрушения или хищения машинных и других носителей информации;
- хищения программных или аппаратных ключей и средств криптографической защиты информации;
- перехвата информации в технических каналах связи и телекоммуникационных системах;
- внедрения электронных устройств перехвата информации в технические средства связи и телекоммуникационные системы, а также в служебные помещения;
- перехвата, дешифрования и навязывания ложной информации в сетях передачи данных и линиях связи;
- воздействия на парольно-ключевые системы защиты средств обработки и передачи информации.
79. Программно-математические угрозы реализуются в виде.
- внедрения в аппаратные и программные изделия компонентов, реализующих функции, не описанные в документации на эти изделия;
- разработки и распространения программ, нарушающих нормальное функционирование информационных систем или их систем защиты
информации.
81. Технические каналы утечки информации.
82. Акустический и оптико-электронный канал утечки информации
В акустических каналах утечки информации средой распространения речевых сигналов является воздух и для их перехвата используются высокочувствительные микрофоны и специальные направленные микрофоны, которые соединяются со специальными миниатюрными передатчиками (закладные устройства). Информация может передаваться по радиоканалу, сети электропитания. Прием информации, передаваемой закладными устройствами, осуществляется, на специальные приемные устройства, работающие в соответствующем диапазоне длин волн.
Оптико-электронный (лазерный) канал утечки акустической информации образуется при облучении лазерным лучом вибрирующих под действием акустического речевого сигнала отражающих поверхностей помещений (оконных стекол, зеркал и т.д.). Отражённое излучение принимается на приёмнике.
83. Оптический и вибро-акустический канал утечки.
Оптический канал утечки информации реализовывается непосредственным восприятием глазом человека окружающей обстановки путем применения специальных технических средств, расширяющих возможности органа зрения по видению в условиях недостаточной освещенности, при удаленности объектов наблюдения и недостаточности углового разрешения.
В качестве среды распространения в оптическом канале утечки информации выступают: безвоздушное пространство; атмосфера; оптические световоды.
В виброакустических каналах утечки информации средой распространения речевых сигналов являются ограждающие строительные конструкции помещений (стены, потолки, полы) и инженерные коммуникации (трубы водоснабжения, отопления, вентиляции и т.п.). Для перехвата речевых сигналов используются вибродатчики (акселерометры). Для передачи информации используется радиоканал, а устройства называются радиостетоскопами.
84. Системы обнаружения вторжений (IDS).
Система обнаружения вторжений — программное или аппаратное средство, предназначенное для выявления фактов неавторизованного доступа в компьютерную систему или сеть либо несанкционированного управления ими в основном через Интернет.
Системы обнаружения вторжений используются для обнаружения некоторых типов вредоносной активности, которая может нарушить безопасность компьютерной системы. К такой активности относятся сетевые атаки против уязвимых сервисов, атаки, направленные на повышение привилегий, неавторизированный доступ к важным файлам, а также действия вредоносного программного обеспечения (компьютерных вирусов, троянов и червей)
Виды: сетевая, узловая, гибридная, основанные на протоколах
Архитектура: сенсорная подсистема, подсистема анализа, хранилище, консоль управления
85. Средства защиты сети. Межсетевые экраны
Межсетевой экран, сетевой экран — программный или программно-аппаратный элемент компьютерной сети, осуществляющий контроль и фильтрацию проходящего через него сетевого трафика в соответствии с заданными правилами.
Межсетевые экраны пропускают или запрещают трафик, сравнивая его характеристики с заданными шаблонами. Фильтрация трафика осуществляется на основе набора предварительно сконфигурированных правил, которые называются ruleset. Удобно представлять межсетевой экран как последовательность фильтров, обрабатывающих информационный поток. Каждый из фильтров предназначен для интерпретации отдельного правила. Последовательность правил в наборе существенно влияет на производительность межсетевого экрана.
Классификация: управляемые коммутаторы, пакетные фильтры, шлюзы сеансового уровня, посредники прикладного уровня, инспекторы состояния.
86. Способы атаки на пароль. Обеспечение безопасности пароля
1. Полный перебор
2.Перебор в ограниченном диапазоне
3. Атака по словарю
4. Фишинг
5. Атака по персональному словарю
В зависимости от вида атаки принимаются разные меры по защите.
87. Способы атаки на пароль. Полный перебор.
Полный перебор -Самая простая (с технической точки зрения) атака на пароль – перебор всех комбинаций допустимых символов (начиная от односимвольных паролей).
Защита: удлинение пароля до 12 символов, это затрудняет работу (Два лишних символа в пароле увеличивают время перебора в 40000 раз, а четыре символа — уже в 1.600.000.000 раз.)
88. Способы атаки на пароль. Перебор в ограниченном диапазоне.
Перебор в ограниченном диапазоне- многие пользователи, составляя пароль, используют символы, находящиеся в определенном диапазоне. Например, пароль, состоящий только из русских букв или только из латинских букв или только из цифр. Такой пароль значительно легче запомнить, однако задача противника, осуществляющего перебор, неимоверно упрощается.
Защита: надежный пароль должен содержать в себе символы из различных диапазонов. Рекомендуется использовать русские и английские, прописные и строчные буквы, цифры, а также прочие символы (знаки препинания, подчеркивание и т.д.).
89. Способы атаки на пароль. Атака по словарю. Фишинг.
Атака по словарю- В качестве пароля очень часто выбирается какое-то слово. Программа автоматического перебора паролей проверяет слова, содержащиеся в заданном файле со словарем (существует огромное количество доступных словарей такого рода для разных языков).
Защита: Надежный пароль не должен строиться на основе слов естественного языка.
Фишинг – это процедура «выуживания» паролей случайных пользователей Интернета. Обычно заключается в создании «подставных» сайтов, которые обманом вынуждают пользователя ввести свой пароль.
Защита: Чтобы противостоять угрозе фишинга необходимо внимательно проверять адрес сайта, прежде чем вводить важный пароль.
90. Способы атаки на пароль. Атака по персональному словарю
Если атака по словарю и перебор паролей небольшой длины, либо составленных из символов одной группы не помогает, злоумышленник может воспользоваться тем фактом, что для облегчения запоминания, многие пользователи выбирают в качестве пароля личные данные (номер сотового телефона, дату рождения, записанную наоборот, кличку собаки и т.д.).
Защита: Надежный пароль должен быть полностью бессмысленным