- •Часть 1 Общие положения защиты информации
- •1. Организационно-административное обеспечение информационной безопасности
- •1.1 Политика информационной безопасности
- •1.1.1 Документ с изложением политики информационной безопасности
- •1.2 Выработка официальной политики предприятия в области информационной безопасности
- •1.2.1 Краткий обзор
- •1.2.1.1 Организационные вопросы
- •1.2.1.4 Распределение ответственности
- •1.2.2 Оценка рисков
- •1.2.2.1 Общие положения
- •1.2.1.2 Кто делает политику?
- •1.2.1.3 Кого затрагивает политика?
- •1.2.2.2 Идентификация активов
- •1.2.2.3 Идентификация угроз
- •1.2.3 Распределение прав пользователей
- •1.2.3.1 Кто имеет право использовать ресурсы?
- •1.2.3.2 Как правильно использовать ресурсы?
- •1.2.3.3 Кто наделен правом давать привилегии и разрешать использование?
- •1.2.3.4 Кто может иметь административные привилегии?
- •1.2.3.5 Каковы права и обязанности пользователей?
- •1.2.3.6 Каковы права и обязанности администраторов безопасности по отношению к другимпользователям?
- •1.2.3.7 Как работать с конфиденциальной информацией?
- •1.2.4 Что делать, когда политику безопасности нарушают
- •1.2.4.1 Выработка ответа на нарушение политики
- •1.2.4.2 Что делать, когда местные пользователи нарушают политику безопасности стороннейорганизации
- •1.2.4.3 Спецификация контактов с внешними организациями и определение ответственных
- •1.2.4.4 Каковы обязанности по отношению к соседям и другим пользователям Интернет?
- •1.2.4.5 Процедурные вопросы реагирования на нарушения
- •1.2.5 Пресекать или следить?
- •1.2.6 Толкование политики безопасности
- •1.2.7 Гласность политики безопасности
- •1.3 Организация системы безопасности
- •1.3.1 Инфраструктура информационной безопасности
- •1.3.2 Совещание руководящих лиц по информационной безопасности
- •1.3.3 Координация информационной безопасности
- •1.3.4 Распределение ответственности за информационную безопасность
- •1.3.5 Процедура санкционирования в отношении средств информационной технологии
- •1.3.6 Консультация специалиста по информационной безопасности
- •1.3.7 Сотрудничество между организациями
- •1.3.8 Независимая ревизия состояния информационной безопасности
- •1.4 Ответственность субъектов информационной безопасности
- •1.5 Классификация ресурсов и контроль за ними
- •1.5.1 Отчетность по ресурсам
- •1.5.2 Инвентаризация ресурсов
- •1.5.3 Классификация информации
- •1.5.4 Принципы классификации
- •1.5.5 Маркирование информации
- •1.6 Обеспечение безопасности персоналом
- •1.6.1 Обеспечение безопасности при составлении должностных инструкций и проверка благонадежности
- •1.6.2 Отражение мер безопасности в должностных инструкциях
- •1.6.3 Проверка на благонадежность при приеме на работу
- •1.6.4 Договор о соблюдении конфиденциальности
- •1.7 Обучение пользователей
- •1.7.1 Теоретическое и практическое обучение информационной безопасности
- •1.8 Реагирование на инциденты
- •1.8.1 Доведение информации об инцидентах, касающихся проблем безопасности
- •1.8.2 Сообщение об уязвимости защиты
- •1.8.3 Сообщение о сбоях программного обеспечения
- •1.8.4 Процедуры дисциплинарного воздействия
- •2. Основные положения теории защиты информации
- •2.1 Введение
- •2.2 Возникновение и история развития проблемы защиты информации
- •2.3 Методы исследования проблем защиты информации
- •2.3.1 Основные положения теории нечетких множеств
- •2.3.2 Основные положения нестрогой математики
- •2.3.3 Неформальные методы оценивания
- •2.3.4 Неформальные методы поиска оптимальных решений
- •2.4 Угрозы безопасности автоматизированной системы обработки информации
- •2.5 Причины, виды и каналы утечки информации
- •2.6 Модели разграничения доступа к информации
- •2.6.1 Модели безопасности
- •2.6.2 Модель пятимерного пространства безопасности Хардстона
- •2.6.3 Модель Белла-Лападула
- •2.6.4 Средства разграничения доступа
- •3. Управление защитой информации
- •3.1 Введение
- •3.2 Аудит
- •3.2.1 Определение и задачи аудита
- •3.2.2 Isaca
- •3.2.3 CoBiT
- •3.2.4 Практика проведения аудита кис
- •3.2.5 Результаты проведения аудита кис
- •3.3 Управление паролями
- •3.3.2 Пути снижения рисков
- •3.3.3 Обязательные правила
- •3.4 Управление идентификаторами привилегированных пользователей
- •3.4.1 Потенциальные угрозы
- •3.4.2 Пути снижения рисков
- •3.4.3 Обязательные правила
- •3.5 Планирование мероприятий по обеспечению логической безопасности
- •3.5.1 Потенциальные угрозы
- •3.5.2 Пути снижения рисков
- •3.5.3 Обязательные правила
- •3.6 Планирование мероприятий по обеспечению физической безопасности
- •3.6.1 Потенциальные угрозы
- •3.6.2. Пути снижения рисков
- •3.7 Слежение за состоянием безопасности
- •3.7.1 Потенциальные угрозы
- •3.8 Планирование мероприятий на случай выхода системы из строя
- •3.7.2 Пути снижения рисков
- •3.8.1 Потенциальные угрозы
- •3.8.2 Пути снижения рисков
- •3.9 Использование средств удаленной диагностики
- •3.9.1 Потенциальные угрозы
- •3.9.2 Пути снижения рисков
- •3.9.3 Обязательные правила
- •4. Перечень стандартов Республики Беларусь, касающихся информационной безопасности
- •5. Перечень правовых актов Республики Беларусь, касающихся информационной безопасности
1.5 Классификация ресурсов и контроль за ними
Обеспечение соответствующей защиты ресурсов организации невозможно без их идентификации. Все основные информационные ресурсы должны быть четко определены, взяты на соответствующий учет с назначением ответственного лица.
1.5.1 Отчетность по ресурсам
Отчетность за использование ресурсов помогает обеспечить адекватность мер безопасности. По основным ресурсам должны определяться их владельцы с возложением на них ответственности за поддержание соответствующих мер безопасности. Реализация этих мер может быть делегирована другим лицам, но ответственность по отчетности остается на назначенных владельцах ресурсов.
1.5.2 Инвентаризация ресурсов
Инвентаризация ресурсов помогает обеспечить эффективность мер безопасности и может способствовать достижению других целей, например, обеспечению здоровья и личной безопасности, страхованию и управлению активами. Инвентаризация должна проводиться в отношении основных ресурсов каждой информационной системы. Каждый компонент ресурсов должен быть четко определен в соответствии с классификацией по его принадлежности и применяемым к нему мерам безопасности. Примерами ресурсов, ассоциирующихся с информационными системами, могут быть:
информационные ресурсы: базы и файлы данных, системная документация, руководства для пользователей, учебные материалы, операционные процедуры и процедуры поддержки, схемы обеспечения непрерывного функционирования, схемы нейтрализации неисправности;
программные ресурсы: прикладное программное обеспечение, системное программное обеспечение, средства разработки приложений и утилиты;
физические ресурсы: компьютеры и коммуникационное оборудование, магнитные носители информации (ленты и диски), другое техническое оборудование (источники питания, кондиционеры),мебель, помещения;
услуги: вычислительные и коммуникационные услуги, другие технические (отопление, освещение,энергоснабжение, кондиционирование воздуха).
1.5.3 Классификация информации
Классификация информации должна использоваться для определения необходимости принятия мер безопасности, их объема и приоритетности.
Информация имеет различную степень уязвимости и важности. Отдельные компоненты информации могут нуждаться в дополнительной защите или в особом обращении. Для определения соответствующих уровней обеспечения безопасности и информирования пользователей о необходимости особого обращения с информацией должна использоваться система классификации мер безопасности.
1.5.4 Принципы классификации
При классификации мер безопасности и определении соответствующих мероприятий по защите информации следует принимать во внимание необходимость предоставления информации, а также последствия несанкционированного доступа или разрушения информации. В частности, следует обратить внимание на следующие факторы:
конфиденциальность: производственная необходимость предоставления или ограничения доступа к информации с соблюдением конфиденциальности и контроля, требуемых в отношении ограниченного доступа к информации;
целостность: производственная необходимость проверки изменений информации и контроль,необходимый для защиты правильности и полноты информации;
доступность: производственная необходимость иметь доступ к информации и соблюдение принятых видов контроля для ее получения.
Ответственность за определение классификационной принадлежности единицы информации, например, документа, записи данных, файла данных или дискеты, а также за периодичный пересмотр классификации должна лежать на лице, подготовившем данные, или на владельце данных.
Следует уделить особое внимание интерпретации классификационных меток на документах, поступающих от других организаций, которые могут быть различными в отношении одной и той же информации либо похожими.