Как составить модель злоумышленника - Исправление недочетов и поиск решений вместе с Examum.ru

Что делать?

Составляем модель нарушителей: на что обратить внимание

Оператору персональных данных для корректной работы в правовом поле необходимо выполнить ряд требований законодательства. Одно из них – составление моделей угроз и нарушителей информационной системы. В этой статье мы рассмотрим модели нарушителей, а в следующей поговорим о модели угроз. (ВСТАВИТЬ ССЫЛКУ НА ТЕКСТ ПРО МОДЕЛЬ УГРОЗ).

Правильно построенные модели угроз позволяют построить эффективную систему обеспечения ИБ. Система информационной защиты строится с опорой на них. Модель нарушителя – составная часть модели угроз.

Что такое модель нарушителя?

Модель нарушителя – это перечень вариантов действий одного или нескольких возможных нарушителей ИБ, их квалификации, рабочей техники и пр.

Рекомендации по составлению модели нарушителя дают ФСТЭК и ФСБ. Каждое из ведомств контролирует свою область: ФСБ отвечает за правильное использование средств криптографической защиты, ФСТЭК описывает виды и возможности нарушителей и их мотивацию.

Учреждения разработали свои рекомендации:

— Федеральная служба безопасности России составила «Методические рекомендации по разработке нормативных правовых актов, определяющих угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности»,

— Федеральная служба по техническому и экспортному контролю написала «Методику определения угроз безопасности информации в информационных системах»,

собрала банк данных угроз безопасности информации.

Также полезными для оставления модели нарушителей будут эти документы:

— базовая модель угроз безопасности ПДн при их обработке в ИСПДн;

— методика определения актуальных угроз безопасности ПДн при их обработке в ИСПДн

Учитывая, что подходы у ведомств различаются, разработчики моделей угроз обычно составляют два документа: под требования обеих служб.

Модель нарушителя по ФСБ

В соответствии с требованиями ведомства по контролю использования средств криптографической защиты и среде их использования, выделяются шесть категорий возможностей, которыми могут обладать нарушители. Согласно им нарушители могут атаковать:

только за пределами криптографической защиты (КЗ);
в пределах КЗ без доступа к вычислительной технике (СВТ);
в пределах КЗ с доступом к СВТ;
с привлечением специалистов в области анализа сигналов линейной передачи и ПЭМИН (Побочных ЭлектроМагнитных Излучений и Наводки);
с привлечением специалистов в области использования недекларированных возможностей (НДВ) прикладного ПО;
с привлечением специалистов в области использования НДВ аппаратного и программного компонентов среды функционирования средств криптографической защиты информации (СКЗИ).

Каждая возможность соответствует определенному классу СКЗИ. В приказе ФСБ №378 сказано, что средства криптозащиты необходимо выбирать и использовать, опираясь на актуальную для информационной системы возможность.

Модель нарушителя по ФСТЭК

Как было сказано выше, ФСТЭК рассматривает различные виды нарушителей, их возможности и потенциал. Потенциал может быть низким, средним и высоким.

Нарушители с высоким потенциалом вносят закладки в программно-техническое обеспечение системы, применяют особые средства проникновения в систему и проводят специальные исследования. Эта категория выделена под иностранные спецслужбы;

Нарушители со средним потенциалом могут проводить анализ кода прикладного ПО, сопоставлять данные, находить уязвимости и использовать их. В эту категорию попадают конкуренты, системные администраторы и разработчики программного обеспечения, криминальные и террористические группы;

Нарушители с низким потенциалом используют для осуществления атак только доступные источники. К ним причисляются рядовые сотрудники организации, пользователи системы и люди, не имеющие отношение к компании.

Отсеять лишнее

После анализа данных необходимо определить, какие нарушители представляют для информационной системы угрозу и как их нейтрализовать. Для этого необходимо хотя бы предварительно классифицировать ИС. (поставить ссылку на Что на счет защиты: определяем необходимый уровень защищенности персональных данных)

Если информационная система государственная (ГИС), ответ дает пункт 25 приказа ФСТЭК №17. Там сказано, что для:

— ИС 1 класса система защиты должна нейтрализовать угрозы нарушителей высокого потенциала;

— ИС 2 класса – угрозы от нарушителей среднего потенциала;

— ИС 3 и 4 классов – угрозы от нарушителей низкого потенциала.

Для систем, которые к ГИС не относятся, типы угроз регламентирует постановление правительства 1119. В нем указано, что:

— угрозы 1 типа связаны с наличием недекларированных возможностей в системно ПО;

— угрозы 2 типа связаны с наличием недекларированных возможностей в прикладном ПО;

— угрозы 3 типа не связаны с наличием недекларированных возможностей в ПО.

После определения ИС нужно составить описание нарушителей, подходящих под модель, исключив нарушителей с более высоким потенциалом.

Объединение нарушителей

Зачастую, как было сказано ранее, сотрудники безопасность создают две модели нарушителей, по ФСБ и ФСТЭК. Дело в том, что объединение чаще всего представляется сложным или невозможным. Но если есть желание составить общую модель, портал Securitylab.ru, опираясь на описания возможных нарушителей, предлагает объединить нарушителей по ФСТЭК и ФСБ по следующему принципу:

— Нарушители с низким потенциалом по классификации ФСТЭК – это нарушители 1, 2, 3 типов по ФСБ;

— Нарушители со средним потенциалом у ФСТЭК – это нарушители 4,5 типов по классификации ФСБ;

— Нарушители с высоким потенциалом по ФСТЭК – это нарушители 6 типа у ФСБ.

Источник

Всем привет, мы продолжаем свой цикл статей по «бумажной безопасности». Сегодня поговорим о разработке модели угроз. Если цель прочтения этой статьи в получении практических навыков, то лучше сразу скачать наши шаблоны документов, в котором есть и шаблон модели угроз. Но и без шаблона под рукой со статьей тоже можно ознакомиться в общеобразовательных целях.

Зачем нужна модель угроз?

Необходимость разработки модели угроз регламентирована рядом нормативных документов. Вот некоторые из них.

Часть 2 статьи 19 закона №152-ФЗ «О персональных данных»:

2. Обеспечение безопасности персональных данных достигается, в частности:

1) определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных (утверждены приказом ФСТЭК России от 18 февраля 2013г. №21):

4. Меры по обеспечению безопасности персональных данных реализуются в том числе посредством применения в информационной системе средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия, в случаях, когда применение таких средств необходимо для нейтрализации актуальных угроз безопасности персональных данных.

Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах (утверждены ФСТЭК России от 11 февраля 2013г. №17)

Формирование требований к защите информации… в том числе включает:
…
определение угроз безопасности информации, реализация которых может привести к нарушению безопасности информации в информационной системе, и разработку на их основе модели угроз безопасности информации;
…

Требования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды (утверждены приказом ФСТЭК России от 14 марта 2014г. №31):

Формирование требований к защите информации в автоматизированной системе управления… в том числе включает:
…
определение угроз безопасности информации, реализация которых может привести к нарушению штатного режима функционирования автоматизированной системы управления, и разработку на их основе модели угроз безопасности информации;

Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации (утверждены приказом ФСТЭК России от 25 декабря 2017г. №239):

11. Разработка организационных и технических мер по обеспечению безопасности значимого объекта осуществляется субъектом критической информационной инфраструктуры… и должна включать:

а) анализ угроз безопасности информации и разработку модели угроз безопасности информации или ее уточнение (при ее наличии);

Итак, вывод отсюда простой: для любых информационных систем, так или иначе подлежащих защите в соответствии с законодательством необходимо разработать модель угроз.

Содержание модели угроз

С необходимостью создания документа разобрались, давайте же посмотрим, что предписывает нам законодательство по его содержанию. Здесь, как ни странно, все довольно скудно.

В качестве хрестоматийного примера описания содержания модели угроз можно привести 17 приказ ФСТЭК:

Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей (модель нарушителя), возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации.

Вы не поверите, но это все. Но с другой стороны, хоть текста и не много, но он довольно содержательный. Давайте еще раз перечитаем и выпишем, что должно быть в нашей модели угроз:

описание информационной системы;
структурно-функциональные характеристики;
описание угроз безопасности;
модель нарушителя;
возможные уязвимости;
способы реализации угроз;
последствия от нарушения свойств безопасности информации.

Это по законодательству, что требует ФСТЭК. Так же дополнительно есть требования ФСБ (о них чуть позже) и некоторые неофициальные требования-пожелания от ФСТЭК, с которыми мы столкнулись в процессе согласования моделей угроз государственных информационных систем.

Вступительная часть модели угроз

Хорошо, давайте уже перейдем к содержанию документа.

Думаю про титульный лист, список сокращений, терминов и определений все понятно. Хотя, пожалуй, стоит поподробнее остановиться на… внезапно титульном листе.

В шаблоне его подписывает именно руководитель владельца информационной системы. Это не просто так.

Постановление Правительства РФ от 11 мая 2017г. №555:

4. Техническое задание на создание системы и модель угроз безопасности информации утверждаются должностным лицом органа исполнительной власти, на которое возложены соответствующие полномочия.

Естественно, если информационная система не государственная и оператор системы не является органом исполнительной власти, то подписывать модель угроз может кто угодно. Просто мы не раз сталкивались, когда при выполнении вышеуказанных условий (государственная информационная система органа исполнительной власти) заказчик нас просил изменить титульный лист, чтобы там были подписи только представителей компании-лицензиата (то есть – наши). Приходилось объяснять, почему такую модель угроз ФСТЭК вернет на доработку.

Раздел «Нормативно-методическое обеспечение»

Здесь хотелось бы вспомнить, о том, что модель угроз может разрабатываться для очень разных систем – от ИСПДн до КИИ. Поэтому и список нормативной документации может отличаться. Например, если мы разрабатываем модель угроз для АСУ ТП, то из шаблона нужно убрать 21 и 17 приказы ФСТЭК и добавить 31-й.

Документы, помеченные аббревиатурой «СКЗИ» это нормативные документы ФСБ, регламентирующие обращение с шифровальными средствами. Если криптосредства в информационной системе не используется (сейчас это редкость, но все же), то эти нормативные документы из списка необходимо удалить.

Частой ошибкой здесь бывает добавление различных ГОСТ и прочих нормативных документов (очень любят сюда вписывать СТР-К), никак не связанных с моделированием угроз. Либо отмененных документов. Например, часто в моделях угроз можно встретить в списке нормативных документов ФСБшные так называемые «Методические рекомендации…» и «Типовые требования…», которые давно не актуальны.

Общие положения

Здесь в шаблоне представлена стандартная вода – зачем нужна модель угроз и т. д. То, на чем нужно здесь заострить внимание это комментарий по поводу вида рассматриваемой информации. По умолчанию в шаблоне представлен наиболее часто встречаемый вариант – персональные данные (ПДн). Но в системе может не быть персональных данных, но может быть другая конфиденциальная информация (КИ), а еще информация может быть не конфиденциальной, но защищаемой (ЗИ) по другим характеристикам – целостность и доступность.

Описание информационной системы

Здесь указываются общие сведения об информационной системе – где находится, как называется, какие данные и какого класса (уровня защищенности, категории) обрабатываются. Здесь конечно многих интересует – насколько подробно нужно описывать информационную систему.

В процессе многократных согласований моделей угроз для государственных информационных систем нами выработано решение относительно этого – должна быть золотая середина. Это не должна быть копипаста из технического паспорта с указанием серийных номеров технических средств. Но с другой стороны, человек не знакомый с системой, почитавший ее описание в модели угроз должен примерно понять, как эта самая система работает.

Пример:

Серверная часть информационной системы «Нипель» представляет собой кластер физических серверов, на которых развернут гипервизор ESXi 6.x. Работа серверной части основных сервисов информационной системы обеспечивается виртуальными серверами (имена серверов) под управлением операционных систем (список ОС). Основным программным обеспечением, реализующим технологические процессы обработки является (название ПО). Прикладное программное обеспечение является клиент-серверным приложением. Клиентская часть работает как толстый клиент на рабочих станциях пользователей под управлением операционных систем (список ОС). Пользователи получают доступ к информационной системе, как из локальной сети, так и через сеть интернет с использованием защищенных каналов связи. В целом информационная система функционирует как показано на схеме.

Прикладывается функциональная (не топологическая!) схема информационной системы.

Вот примерно так оно обычно выглядит. Стиль и другие детали, конечно, могут сильно отличаться, главное – информация, которую можно подчерпнуть из описания.

Здесь же есть раздел «Охрана помещений». Тут описываем, как охраняются помещения в рабочее и в нерабочее время – видеонаблюдение, СКУД, охранник, вахтер, сигнализация и вот это все.

Сюда же в шаблоне модели угроз отнесены чисто ФСБшные разделы «Определение актуальности использования СКЗИ для обеспечения безопасности персональных данных» и «Дополнительные объекты защиты». Если криптография не используется, то эти разделы просто убираем, если используется, то там особо менять ничего, в общем-то, и не нужно, кроме как вписать название информационной системы.

Раздел «Принципы модели угроз» тоже можно не менять. Просто обратите внимание, что есть вариант для случаев, когда в системе используются криптосредства, и когда нет. Выбираем нужный и едем дальше.

Модель нарушителя

Здесь можно разделить эту часть на классическую и новую. Классическая это та самая, где описаны потенциальные нарушители 1, 2 и далее категорий. На самом деле эта часть модели нарушителя оставлена в шаблоне только потому, что регуляторам нравится, когда она есть. Практическую же ценность представляет раздел «Нарушители согласно банку данных угроз ФСТЭК России».

Практическую ценность этот раздел представляет потому, что сами угрозы из банка данных угроз ФСТЭК (далее – БДУ) привязаны к нарушителям с низким, средним и высоким потенциалом. Сам раздел представляет из себя копипасту описаний характеристик нарушителей с низким, средним и высоким потенциалами. Далее делается вывод нашим любимым «экспертным» путем — какой нарушитель для нас актуален. То есть, по сути, составитель выбирает нарушителя «на глаз», потому что каких-либо методик выбора нарушителя просто нет.
Не будем здесь приводить эти описания полностью, постараемся коротко сформулировать, чем отличаются потенциалы нарушителей. Кроме разграничения по потенциалу нарушители еще бывают внешние и внутренние.

Самый талантливый хакер в мире, который в совершенстве пользуется уже имеющимися инструментами и может создавать свои инструменты это внезапно нарушитель с низким потенциалом. Нарушитель с теми же возможностями, но имеющий некую инсайдерскую информацию о системе это уже средний потенциал. Основная фраза, отличающая средний потенциал от низкого: «Имеют доступ к сведениям о структурно-функциональных характеристиках и особенностях функционирования информационной системы». Вот здесь нужно хорошо подумать, насколько вероятна утечка такой информации. Нарушители с высоким потенциалом, если коротко, то это в основном спецслужбы. Тут у нас и возможность привлекать специализированные научные организации и съем информации с физических полей и вот это все.

В реалистичных ситуациях потенциал нарушителя либо низкий, либо средний.

«ФСБшные» разделы

Далее идут разделы «Обобщенные возможности источников атак» и «Реализация угроз безопасности информации, определяемых по возможностям источников атак». Эти разделы не нужны, если не используются криптосредства. Если они все же используются, то исходные данные, да и в целом таблицы для этих разделов выдумывать не нужно, они берутся из нормативного документа ФСБ «Методические рекомендации по разработке нормативных правовых актов, определяющих угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности» (утверждены руководством 8 Центра ФСБ России 31 марта 2015 года, № 149/7/2/6-432).

У нас правда в шаблоне результат несколько отличается от дефолтного, приведенного в указанном выше, документе ФСБ.

Конечная цель этих разделов – установить класс средств криптографической защиты информации (СКЗИ), который можно использовать в рассматриваемой системе. Класс этот напрямую зависит от возможностей нарушителя и устанавливается в соответствии с 378 приказом ФСБ (для персональных данных, а для других видов информации таких требований просто нет).

Чаще всего применимый класс криптосредств – КС3. Сейчас расскажем почему.

Вообще в документе «Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности» (утверждены приказом ФСБ России от 10 июля 2014 года № 378) класс СКЗИ для рассматриваемой системы устанавливается, во-первых исходя из типа угроз, а во-вторых исходя из возможностей нарушителя.

Про типы угроз подробно не будем останавливаться, информации много в интернете. Остановимся на том, что есть 3 типа угроз и нам всеми правдами и неправдами, если планируется применение криптографии нужно делать именно 3-й тип угроз (неактуальные угрозы, связанные с недекларированными возможностями в прикладном и общесистемном ПО). Почему?

Потому что 378 приказ ФСБ:

СКЗИ класса КА в случаях, когда для информационной системы актуальны угрозы 1 типа;

СКЗИ класса КВ и выше в случаях, когда для информационной системы актуальны угрозы 2 типа;

СКЗИ класса КС1 и выше в случаях, когда для информационной системы актуальны угрозы 3 типа.

Вроде понятно, а в чем проблема? Проблема в том, что СКЗИ классов КА1, КВ1 и КВ2 вы не сможете купить просто так, даже если у вас есть куча денег, которых они стоят.

Проведем небольшое «расследование». Качаем свежий реестр СКЗИ, ищем СКЗИ класса КА1. Поиском первым попался «Аппаратно-программный шифратор М-543К». Идем в гугл, пишем «Аппаратно-программный шифратор М-543К купить» — провал. Пытаемся «купить» следующее криптосредство – опять провал. Вбиваем просто «криптосредство КА1 купить» — провал. Получаем только ссылки на другие криптосредства классов КС1-КС3 или на форумы, где обсуждают криптографию. А дело в том, что, как уже было сказано, просто так купить СКЗИ классов КА и КВ вы не сможете, только через специализированные воинские части. Зачем было эти криптосредства вообще упоминать в документе по персональным данным – до сих пор не ясно. Поэтому в обычной ИСПДн — только третий тип угроз.

С КА и КВ разобрались, но почему именно КС3, а не КС2 и КС1? Тут уже виновато второе условие – нарушитель.

378 приказ ФСБ:

12. СКЗИ класса КС3 применяются для нейтрализации атак, при создании способов, подготовке и проведении которых используются возможности из числа перечисленных в пунктах 10 и 11 настоящего документа и не менее одной из следующих дополнительных возможностей:

а) физический доступ к СВТ, на которых реализованы СКЗИ и СФ;
б) возможность располагать аппаратными компонентами СКЗИ и СФ, ограниченная мерами, реализованными в информационной системе, в которой используется СКЗИ, и направленными на предотвращение и пресечение несанкционированных действий.

Тут логика такая:

такие распространенные СКЗИ, как, например ViPNet Client или КриптоПРО CSP реализованы на рабочих станциях пользователей;
пользователи – потенциальные нарушители;
потенциальный нарушитель имеет физический доступ к средствам вычислительной техники, на которых реализованы их СКЗИ и среда функционирования.

Таким образом, обосновать более низкий класс СКЗИ можно только обосновав, что наши пользователи не являются потенциальными нарушителями (сложно), или использовать только криптошлюзы, которые расположены в серверных помещениях, в которые, в свою очередь, имеют доступ только привилегированные пользователи, которых мы исключили из списка потенциальных нарушителей.

Уязвимости

Как мы помним, в модели угроз должны быть указаны возможные уязвимости. В скачиваемом шаблоне модели угроз этого раздела пока что нет, поэтому коротко опишем, как стоит с этим поступать.

У составителя модели угроз сразу должен появиться вопрос: а что нужно прям список выявленных сканером уязвимостей к документу прикладывать? Вопрос хороший и ответ не однозначный. Знаем мы коллег, которые делают именно так, но мы считаем такой подход неправильным и вот почему.

Во-первых, модель угроз безопасности информации документ, хоть и подлежащий изменениям, но все-таки более-менее статичный. Разработали один раз и забыли до существенных инфраструктурных изменений в системе.

Список уязвимостей, который формируется сканерами – информация очень динамичная. Сегодня мы выявили уязвимости, завтра их устранили и просканировали заново – получили новый отчет. Послезавтра появились новые сигнатуры, сканер обновился и нашел новые уязвимости и так по кругу. Какой смысл прикладывать отчет сканера уязвимостей, сделанный на момент разработки модели угроз? Никакого.

Во-вторых, модель угроз может создаваться для еще физически не существующей (спроектированной, но не построенной) информационной системы. В таком случае мы даже просканировать ничего не можем.

Выход из этой ситуации простой. Указывать в модели угроз не конкретные уязвимости с указанием идентификатора CVE и рейтинга CVSS, а перечислить возможные классы уязвимостей для конкретной информационной системы. А чтобы придать этому списку солидности, возьмем этот список не из головы, а из ГОСТ Р 56546-2015 «Защита информации. Уязвимости информационных систем. Классификация уязвимостей информационных систем». Перечень под спойлером. Берем его и убираем лишние, не совместимые со структурно-функциональными характеристиками нашей системы. Раздел готов!

Классы уязвимостей по ГОСТ

Уязвимости по области происхождения:

уязвимости кода;
уязвимости конфигурации;
организационные уязвимости;
многофакторные уязвимости.

Уязвимости по типу недостатков информационной системы:

уязвимости, связанные с неправильной настройкой параметров ПО;
уязвимости, связанные с неполнотой проверки входных данных;
уязвимости, связанные с возможностью перехода по ссылкам;
уязвимости, связанные с возможностью внедрения команд ОС;
уязвимости, связанные с межсайтовым скриптингом (выполнением сценариев);
уязвимости, связанные с внедрением произвольного кода;
уязвимости, связанные с переполнением буфера памяти;
уязвимости, связанные с недостатками, приводящими к утечке/раскрытию информации ограниченного доступа;
уязвимости, связанные с управлением полномочиями (учетными данными);
уязвимости, связанные с управлением разрешениями, привилегиями и доступом;
уязвимости, связанные с аутентификацией;
уязвимости, связанные с криптографическими преобразованиями;
уязвимости, связанные с подменой межсайтовых запросов;
уязвимости, связанные с управлением ресурсами.

Уязвимости по месту возникновения (проявления):

уязвимости в общесистемном (общем) программном обеспечении;
уязвимости в прикладном программном обеспечении;
уязвимости в специальном программном обеспечении;
уязвимости в технических средствах;
уязвимости в портативных технических средствах;
уязвимости в сетевом (коммуникационном, телекоммуникационном) оборудовании;
уязвимости в средствах защиты информации.

Частная модель угроз безопасности

И вот только здесь мы приступаем непосредственно к определению актуальных угроз.
Методика определения актуальных угроз от ФСТЭК 2008 года слегка попахивает и о ней мы уже писали здесь. Но здесь ничего не поделаешь, как в той же статье отмечено – что есть, с тем и работаем. Давайте же посмотрим, что конкретно нам нужно сделать, чтобы получить список актуальных угроз.

Свежие документы от ФСТЭК предписывают в качестве исходных данных для угроз безопасности информации использовать БДУ. Сейчас там 213 угроз и список может пополняться.

Здесь сразу же хотелось бы рассказать о плюсах и минусах БДУ. Несомненный плюс – это то, что теперь нет необходимости придумывать и формулировать угрозы самостоятельно, хотя дополнить модель угроз своими угрозами тоже ничего не запрещает. Еще один плюс это прописанный потенциал нарушителя и определенные нарушаемые характеристики безопасности информации для каждой угрозы – не нужно ничего выдумывать.

Минусы. Первый минус это до ужаса скудные возможности по сортировке угроз. Когда вы первый раз начинаете делать модель угроз по БДУ, то естественное желание это отсеять угрозы, которые не могут быть актуальны в вашей системе по структурно-функциональным характеристикам. Например, убрать угрозы для виртуальных контейнеров и гипервизоров, потому что в системе не применяется виртуализация или отобрать угрозы для BIOS/UEFI нужно по какой-то причине, а такой возможности нет. Не говоря уже о том, что в БДУ целый ряд достаточно экзотических угроз, связанных, например, с суперкомпьютерами или грид-системами.

Поскольку мы, как организация-лицензиат, разрабатываем много моделей угроз для разных систем, нам пришлось вручную разбить на группы 213 угроз, иначе работа очень затрудняется, особенно учитывая то, что угрозы даже по порядку никак не сгруппированы.

Второй минус – описание самих угроз. Нет, где-то все четко и понятно. Но бывает угроза так сформулирована, что нужно голову поломать, чтобы разобраться о чем вообще речь.

Вернемся определению списка актуальных угроз.

Уровень исходной защищенности

Первое, что нужно определить это глобальный параметр – уровень исходной защищенности. Глобальный он потому, что определяется один раз и не меняется от угрозы к угрозе.

Чтобы определить уровень исходной защищенности (он же коэффициент исходной защищенности Y1) нужно для семи показателей выбрать одно из значений, которое больше всего подходит для вашей системы.

Список характеристик под спойлером.

Список характеристик и их значений

Каждому значению соответствует высокий, средний или низкий уровень защищенности. Считаем какой процент у нас получился для показателей с разными значениями. Про высокий уровень исходной защищенности – забудьте, его не бывает. Если «высокий» и «средний» набрали 70% и выше, то определяем средний уровень исходной защищенности (Y1 = 5), если нет, то – низкий (Y1 = 10).

Опасность угроз

Этот раздел в шаблоне называется «Определение последствий от нарушения свойств безопасности информации (опасность угроз)». Назвали его именно так, потому что, по сути, по определению опасности угроз это является определением последствий, но при согласовании модели угроз, проверяющие могут и не провести эту параллель, а поскольку «определение последствий» должно быть в модели угроз – пишут замечание.

Итак, опасность угроз может быть низкой, средней или высокой, в зависимости от того незначительные негативные, просто негативные или же значительные негативные последствия наступают при реализации угрозы соответственно.

Специалисты здесь часто спорят — должна ли опасность угроз определяться один раз и быть константой для всех угроз – или же нет. Методикой это не оговорено, поэтому можно и так и так. Наш подход промежуточный – мы определяем опасность угроз в зависимости от нарушения конфиденциальности, целостности или доступности при реализации конкретной угрозы.

По нашей логике негативные последствия не зависят от способа нарушения конфиденциальности, целостности и доступности. Например, если ваши персональные данные утекут в какой-то базе, то вам скорее всего будет неважно каким образом это произошло – с помощью SQL-инъекции или с помощью физического доступа нарушителя к серверу (профессиональный интерес ИБ-шника не в счет!). Поэтому определяем так сказать три «опасности угроз», для нарушения конфиденциальности, целостности и доступности. Часто они могут совпадать, но все равно в модели угроз лучше отдельно проанализировать. К счастью, в БДУ для каждой угрозы нарушаемые характеристики тоже прописаны.

Исключение «лишних» угроз

Далее, чтобы сразу отсечь лишние угрозы делаем табличку со списком исключаемых угроз и обоснование – почему мы их выкидываем.

В шаблоне в качестве примера представлены:

исключение угроз, связанных с грид-системами, суперкомпьютерами и большими данными;
исключение угроз, связанных с виртуализацией;
исключение угроз, связанных с использованием беспроводных сетей связи;
исключение угроз, связанных с использованием облачных сервисов;
исключение угроз для АСУ ТП;
исключение угроз, связанных с использованием мобильных устройств;
исключение угроз, реализация которых возможна только нарушителем с высоким потенциалом.

По последнему пункту нужно уточнить пару моментов:

если вы определили нарушителя с низким потенциалом, то здесь исключаются угроз, которые может осуществить нарушители со средним и высоким потенциалом;
исключаются только оставшиеся угрозы, которые не были исключены в предыдущих пунктах;
обращайте внимание на то, что в БДУ для некоторых угроз для внутренних и внешних нарушителей может быть определен разный потенциал.

Описание угроз

Далее идет таблица с описанием угроз, которые не были исключены. Да, здесь нужно именно копипастить текст из БДУ, потому что в модели угроз должно быть «описание угроз», отделаться идентификаторами не получится. Давайте посмотрим, что у нас в этой таблице есть.

Номер по порядку и идентификатор угроз из БДУ – тут все понятно. Столбцы «описание угрозы» и «способ реализации угрозы» — текстовый блок из БДУ. В первый столбик вставляем текст до слов «Реализация угрозы возможна…». Во второй – все остальное. Разделение опять же связано с требованием нормативных документов о том, что в модели угроз должны быть описаны «Способы реализации угрозы». При согласовании это поможет избежать лишних вопросов.

Следующие столбцы таблиц это потенциалы внутреннего и внешнего нарушителей. Для того чтобы сделать таблицу боле компактной и дать больше места текстовым блокам мы предварительно сопоставили высокому, среднему и низкому потенциалам соответственно цифры 1, 2 и 3. Если потенциал в БДУ не указан, ставим прочерк.

Столбец «Объекты воздействия» — также берем данные из БДУ.

Столбец «Нарушаемые свойства» — К, Ц и Д, конфиденциальность, целостность и доступность – заменили на буквы с той же целью, что и в случае с нарушителями.

И последние столбцы – «Предпосылки» и «Обоснование отсутствия предпосылок». Первый – это начало определения коэффициента Y2, он же вероятность реализации угрозы, который в свою очередь определяется из наличия предпосылок к реализации угрозы и принятия мер по нейтрализации угрозы.

Определение вероятности угрозы

Под частотой (вероятностью) реализации угрозы понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация конкретной угрозы безопасности ПДн для данной ИСПДн в складывающихся условиях обстановки. Вводятся четыре вербальных градации этого показателя:

маловероятно – отсутствуют объективные предпосылки для осуществления угрозы (например, угроза хищения носителей информации лицами, не имеющими легального доступа в помещение, где последние хранятся);

низкая вероятность – объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (например, использованы соответствующие средства защиты информации);

средняя вероятность — объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны;

высокая вероятность — объективные предпосылки для реализации угрозы существуют и меры по обеспечению безопасности ПДн не приняты.

При составлении перечня актуальных угроз безопасности ПДн каждой градации вероятности возникновения угрозы ставится в соответствие числовой коэффициент, а именно:

0 – для маловероятной угрозы;
2 – для низкой вероятности угрозы;
5 – для средней вероятности угрозы;
10 – для высокой вероятности угрозы.

Здесь важно сказать, что последний столбец это чисто наша инициатива и законодательством не предусмотрена. Поэтому можете его спокойно убирать. Но мы считаем важным, что если специалист дополнительно исключает угрозы, потому что для их реализации нет предпосылок, важно чтобы он описал, почему он так решил.

С этим моментом также связано то, что мы здесь в каком-то смысле отходим от методики моделирования угроз. По методике для угроз, не имеющих предпосылок необходимо далее просчитывать их актуальность. И в ряде случаев угрозы, не имеющие предпосылок, могут стать актуальными. Считаем это недоработкой законодательства и из итоговой таблицы все-таки исключаем угрозы, не имеющие предпосылок.

Список актуальных угроз

Если точнее, то последняя таблица это список актуальных и неактуальных угроз и свод оставшихся параметров для определения их актуальности. Здесь нет уже угроз, для которых нет предпосылок, но и из оставшихся угроз, исходя из вычислений коэффициентов, некоторые угрозы могут быть признаны неактуальными.

В последней таблице мы умышленно не стали включать некоторые параметры:

Y1 – этот параметр у нас глобальный, поэтому просто держим его в голове;
предпосылки – в финальной таблице у нас только угрозы, имеющие предпосылки, поэтому смысла в этом столбце нет.

Коротко пройдемся по столбцам. Номер по порядку и угроза уже только в виде идентификатора – тут все понятно.

«Меры приняты» — «экспертным» путем определяем, приняты ли меры для нейтрализации данной угрозы (кстати, еще один прикол методики — если меры «приняты», то угроза все равно может остаться актуальной). Может быть три варианта: приняты; приняты, но недостаточны; не приняты (+, +-, — соответственно).

Исходя из принятых мер и учитывая, что для угрозы есть предпосылки определяется коэффициент вероятности (Y2), как его определить – выше под спойлером.

Следующий столбец – коэффициент реализуемости угрозы Y. Вычисляется по простой формуле Y = (Y1+Y2)/20.

Возможность реализации – это вербальный аналог коэффициента Y. Определяется в зависимости от числового значения следующим образом:

Опасность – выше мы определили опасность угрозы, исходя из нарушаемого свойства безопасности. Здесь уже вписываем нужное значение опасности исходя из того какие свойства безопасности данная конкретная угроза нарушает.

Ну и последнее – актуальность угрозы. Определяется по таблице:

Ура! Наша модель угроз готова.

Источник

Сегодня, наш системный аналитик Алина поделится опытом применения требований информационной безопасности в рамках проектирования коммерческой системы. В статье разберемся, что это такое и зачем нужно.

«Что такое модель угроз и нарушителя?»

Первый и самый логичный вопрос, который возникает, когда видишь этот документ в списке требований от Заказчика.

Сначала пойдем простым путем и поищем определение на просторах интернета. Как итог – определение Роскомнадзора используется практически везде. Звучит оно так:

Модель угроз и нарушителя – это «совокупность предположений о возможных угрозах и возможностях нарушителя, которые он может использовать для разработки и проведения атак в рамках разрабатываемой системы».

Теперь разберёмся с основной целью написания документа (оставлю небольшую ремарку: в целом, модель нарушителя – это больше описание «бумажной безопасности»).

Для более точного понимания обратимся к нормативной документации, а именно – методике Федеральной службы по техническому и экспортному контролю (ФСТЭК). Получим следующее определение:

«Целью моделирования угроз безопасности информации является выявление совокупности условий и факторов, которые приводят или могут привести к нарушению безопасности обрабатываемой в системах и сетях информации (нарушению конфиденциальности, целостности, доступности, неотказуемости, подотчетности, аутентичности и достоверности информации и т.д., а также к нарушению или прекращению функционирования систем и сетей)»

Если вы впервые сталкиваетесь с требованиями информационной безопасности, то скорее всего вам будет «очень интересно, но ничего непонятно».

Будем проще – данная модель содержит перечень возможных нарушителей, которые могут скомпрометировать/навязать/испортить информацию в разрабатываемой системе; список угроз в соответствии с классом вашей системы и описание некоторых последствий, которые могут появиться, если нарушитель все-таки украдет вашу информацию.

Нормативно-методическая база

С моей точки зрения, необходимо сделать небольшое формальное отступление и перечислить ФЗ, которые, как раз-таки, регламентируют написание данного документа:

Федеральный закон от 27.07.2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (ред. от 09.03.2021);
Федеральный закон от 27.07.2006 года № 152-ФЗ «О персональных данных»;
Требования к защите персональных данных при их обработке в информационных системах персональных данных, утвержденные постановлением Правительства Российской Федерации от 01.11.2012 г. № 1119;
Требования к защите автоматизированных систем управления субъектов критической информационной инфраструктуры – в соответствии с положениями Федерального закона от 26.07.2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»;

Итак, я думаю, что со списком ФЗ тоже все понятно.

Вывод: если вы взялись за разработку государственной информационной системы, которая содержит коммерчески значимую информацию или персональные данные, которые, как ни крути, подлежат защите в соответствии с законодательством, от разработки модели угроз вам никуда не деться.

Содержание модели угроз

Рассмотрение вопроса о необходимости написания документа позади, теперь давайте посмотрим, что предписывает нам законодательство по его содержанию. Здесь, как ни странно, все довольно скромно.

Для того, чтобы понять, что конкретно должно содержаться в модели, обратимся снова к нормативным документам ФСТЭКа, а именно к 17 приказу.

«Модель угроз безопасности информации должна содержать описание информационной системы и ее структурно-функциональных характеристик, а также описание угроз безопасности информации, включающее описание возможностей нарушителей (модель нарушителя), возможных уязвимостей информационной системы, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации».

Вы не поверите, но это все. С другой стороны, хоть требование и небольшое, оно довольно содержательное.

Давайте еще раз перечитаем и выделим основные моменты, которые должны быть:

описание информационной системы;
структурно-функциональные характеристики;
описание угроз безопасности;
модель нарушителя;
возможные уязвимости;
способы реализации угроз;
последствия от нарушения свойств безопасности информации.

Это по законодательству, что требует ФСТЭК. Также, дополнительно есть требования Федеральной службы безопасности (ФСБ). Их в рамках нашей статьи мы не будем рассматривать, так как в нашей системе не предусмотрено применение средств криптографической защиты (СКЗИ), по крайней мере, пока что.

Давайте чуть подробнее пробежимся по содержанию требования для создания «общей картины» документа:

описание информационной системы – тут все достаточно тривиально – необходимо привести назначение, цели создания системы, предполагаемую структуру/архитектуру. Также здесь есть раздел «Охрана помещений». Тут описываем, как охраняются помещения в рабочее и внерабочее время и т.д.;
описание угроз безопасности – если коротко, то здесь нужно именно копипастить текст из БДУ (база угроз ФСТЭК), потому что в модели угроз должно быть «описание угроз», отделаться идентификаторами не получится;
модель нарушителя – здесь можно разделить эту часть на классическую и новую. Классическая – это та самая, где описаны потенциальные нарушители 1, 2 и далее категорий. Практическую же ценность представляет раздел «Нарушители согласно банку данных угроз ФСТЭК России». Раздел представляет ценность так как сами угрозы из банка данных угроз ФСТЭК привязаны к нарушителям с низким, средним и высоким потенциалом;
возможные уязвимости – в данном разделе необходимо перечислить возможные классы уязвимостей для конкретной информационной системы. А чтобы придать этому списку солидности, возьмем этот список не из головы, а из ГОСТ Р 56546-2015 «Защита информации. Уязвимости информационных систем. Классификация уязвимостей информационных систем»;
способы реализации угроз – в этом разделе необходимо описать возможные способы, как программные, так и аппаратные;
последствия от нарушения свойств безопасности информации – назвали этот раздел именно так, потому что, по сути, по определению опасности угроз, это является определением последствий. Итак, опасность угроз может быть низкой, средней или высокой, в зависимости от этого, незначительные негативные, просто негативные или же значительные негативные последствия наступают при реализации угрозы соответственно. Специалисты здесь часто спорят – должна ли опасность угроз определяться один раз и быть константой для всех угроз или же нет. Методикой это не оговорено, поэтому можно и так, и так. Наш подход промежуточный – мы определяем опасность угроз в зависимости от нарушения конфиденциальности, целостности или доступности при реализации конкретной угрозы.

В списке выше данный пункт не указан, но упомянуть его все же необходимо. Определение вероятности угрозы – здесь важно сказать, что заполнение данной информации – чисто наша инициатива и законодательством не предусмотрена. Поэтому можете его спокойно убирать. Но я считаю важным, что если специалист дополнительно исключает угрозы, потому что для их реализации нет предпосылок, важно чтобы он описал, почему он так решил.

Выводы

определяем классы защищаемой информации в разрабатываемой системе;
корректируем требования для дальнейшей разработки с учетом «хотелок» ФСТЭК;
составляем перечень нарушителей, которые могут нанести ущерб вашей системе (как внутренние, так и внешние);
не забываем про перечень возможных угроз в рамках вашей системы;
проводим оценку найденных уязвимостей (придется задуматься, как защититься);
получаем (бесценный!) опыт работы с 17-м приказом ФСТЭК.

Было полезно? Будем рады получить обратную связь и узнать о вашем опыте в этом вопросе ✌

Источник

внутренние
субъективные источники угроз безопасности
информации — действия лиц, имеющих
доступ к работе со штатными средствами
ИС и (или) допуск в пределы контролируемой
зоны.

К объективным источникам относятся:

стихийные источники
потенциальных угроз информационной
безопасности, которые являются внешними
по отношению к ИС и под которыми
понимаются прежде всего природные
явления (пожары, землетрясения, наводнения
и т.п.);
источники, связанные
с техническими средствами ИС, которые
являются внутренними по отношению к
ИС и включают в себя:

передачу информации
по проводным и волоконно-оптическим
каналам передачи данных;
дефекты, сбои и
отказы технических средств ИС (средств
обработки информации и программно-технических
средств защиты информации ИС);
отказы и сбои
программных средств обработки
информации.

Виды угроз

Угрозы информационной безопасности ИС
можно разделить на следующие виды:

атаки;
угрозы, не являющиеся
атаками.

Атака является целенаправленным
действием нарушителя с использованием
технических и (или) программных средств,
с целью нарушения заданных характеристик
безопасности защищаемых ресурсов ИС
или с целью создания условий для этого.

Атаки на информационные ресурсы ИС
подразделяются на следующие виды:

атаки, реализуемые
через каналы, возникающие за счет
использования технических средств
съема (добывания) информации, обрабатываемой
в ИС (технические каналы утечки
информации);
атаки, реализуемые
за счет несанкционированного доступа
к защищаемой информации в ИС с применением
программных и программно-аппаратных
средств.

Угрозы, не являющиеся атаками, могут
быть следующими:

угрозы, не связанные
с деятельностью человека (стихийные
бедствия и природные явления);
угрозы
социально–политического характера
(забастовки, саботаж, локальные конфликты
и т.д.);
угрозы техногенного
характера (отключение электропитания,
системы заземления, разрушение инженерных
сооружений, неисправности, сбои
аппаратных средств, нестабильность
параметров системы электропитания,
заземления, помехи и наводки, приводящие
к сбоям в работе аппаратных средств и
т.д.);
ошибочные или
случайные действия и (или) нарушения
тех или иных требований лицами,
взаимодействующими с ресурсами ИС в
рамках своих полномочий (непреднамеренные
действия пользователей ИС).

Атаки и угрозы, не являющиеся атаками,
способны привести к совершению НСД к
защищаемым ресурсам ИС и нарушению
принятых для ИС характеристик безопасности,
а именно:

нарушению
конфиденциальности защищаемой
информации;
нарушению
целостности защищаемой информации и
(или) аппаратно-программных средств
ИС;
нарушению
доступности защищаемой информации и
(или) аппаратно-программных средств
ИС.

В связи с тем, что модель угроз предназначена
для разработки требований, определяющих
организационно-режимные и технические
мероприятия по защите информации в ИС,
а все факторы воздействия, характерные
для угроз, несвязанных с деятельностью
человека, также могут быть вызваны
действиями нарушителя, угрозы, не
связанные с деятельностью человека
(стихийные бедствия и природные явления,
угрозы техногенного и социально–политического
характера), в рамках данной модели не
рассматриваются.

Таким образом, угрозы информационной
безопасности ИС полностью реализуются
через действия потенциальных нарушителей,
т.е. через атаки.

По способу реализации угрозы информационной
безопасности подразделяются на:

угрозы, связанные с НСД к ПДн (в том
числе угрозы внедрения вредоносных
программ);
угрозы утечки ПДн по техническим каналам
утечки информации;
угрозы специальных воздействий на ИС.

Угрозы НСД в ИС могут осуществляться
как при непосредственном доступе к ТС
ИС, так и с использованием каналов связи.
Угрозы НСД в ИС могут осуществляться с
применением:

средств общесистемного программного
обеспечения;
специально разработанных средств НСД;
вредоносного ПО.

Так как на практике атаки, связанные с
НСД к ПДн, как правило, осуществляются
комбинацией вышеперечисленных способов
реализации, в рамках данной модели
принята классификация угроз НСД по
каналу доступа нарушителя – непосредственный
доступ или доступ с использованием
протоколов межсетевого взаимодействия.

Угрозы утечки по техническим каналам
включают в себя:

угрозы утечки видовой информации;
угрозы утечки речевой информации;
угрозы утечки по каналам ПЭМИН.

Угрозы утечки по техническим каналам
могут осуществляться как в пределах
КЗ, так и из-за границы КЗ.

Специальные воздействия включают в
себя, в том числе механические, термические
и электромагнитные воздействия. Угрозы
специальных воздействий на ИС могут
осуществляться при непосредственном
физическом доступе на объекты, в которых
размещаются ТС ИС.

Ход выполнения практической работы:

1. Повторить теоретические вопросы,
связанные с определением источников,
способов и результатами дестабилизирующего
воздействия. Проанализировать угрозы
безопасности информации и последствия
от их реализации, представленные в
таблице 1.

Таблица 1 – Угрозы безопасности информации
и последствия от их реализации

Угрозы информационной безопасности	Возможные последствия нарушения
конфиден- циаль- ности	целост- ности	работо- способ- ности
1	2	3	4
1. Угрозы, связанные с организацией вычислительного процесса
Разрушение зданий (помещений)	+	+	+
Повреждение зданий (помещений)	+	+	+
Отказы аппаратуры (оборудования)	+	+	+
Сбои аппаратуры (оборудования)	+	+	+
Аварии электропитания		+
Нарушения системы кондиционирования		+	+
Перебои с водоснабжением		+	+
Временное отсутствие связи		+	+
Повреждения кабелей грызунами и другими животными		+	+
Короткие замыкания от насекомых		+	+
Изменение режимов работы аппаратуры (оборудования)	+	+	+
Внедрение аппаратных «жучков»	+	+	+
Внедрение активных радиопомех		+	+
Применение подслушивающих устройств	+
Перехват различных видов излучений от аппаратуры (оборудования)	+
Дистанционная фото- и видеосъемка	+
Подключение к линиям связи АТС	+	+	+
Физическое разрушение АС (компонентов системы)		+	+

Продолжение
таблицы 1

1	2	3	4
Вывод из строя АС (компонентов системы)		+	+
Вывод из строя подсистем обеспечения функционирования АС (компонентов системы)		+	+
Отключение подсистем обеспечения функционирования АС (компонентов системы)		+	+
Стихийные бедствия	+	+	+
2. Угрозы, связанные с хищением, порчей, уничтожением носителей
Хищение носителей информации	+	+	+
Хищение аппаратуры (оборудования)	+	+	+
Хищение отходов (распечаток, записей)	+
Порча носителей информации		+	+
Копирование информации с немашинных носителей	+
Чтение информации с немашинных носителей	+
Чтение информации со средств отображения и документирования	+
Разглашение информации	+
Ознакомление посторонних лиц с речевой информацией	+
Ознакомление посторонних лиц с документами	+
Ознакомление посторонних лиц с машинной информацией	+
Извлечение информации из «мусора»	+
Саботаж	+	+	+
Забастовки			+
Шпионаж	+	+	+
Внедрение вирусов	+	+
Атака «хакеров»	+	+	+
3. Угрозы, связанные с функционированием вычислительных сетей и электронной почты
Подключение к каналам связи	+	+	+
Пассивный перехват информации в сети	+
Активный перехват информации в сети	+	+	+
Изменение протоколов обмена	+	+	+
Изменение потока сообщений	+	+	+
Установление незаконного соединения в сети	+	+	+
Введение помех в процесс обмена сообщениями		+	+
Изменение полномочий других пользователей в сети	+	+	+
Незаконное использование «точек входа»	+	+	+
Маскировка под шлюз	+	+	+
Использование терминальных серверов для маскировки	+	+	+
Пересылка информации по ошибочному адресу	+	+	+

Продолжение
таблицы 1

1	2	3	4
Нарушение целостности электронного письма		+	+
Переупорядочивание сообщений электронной почты		+	+
4. Угрозы, связанные с функционированием средств защиты информации
Разглашение атрибутов разграничения доступа (паролей, шифров и др.)	+	+	+
Незаконное получение атрибутов разграничения доступа (паролей, шифров и др.)	+	+	+
Незаконное изменение атрибутов разграничения доступа (паролей, шифров и др.)	+	+	+
Вскрытие шифров криптозащиты	+
Нарушение процесса криптозащиты	+	+	+
Внесение изменений в программные средства криптозащиты	+	+
Внедрение «жучков» в аппаратные средства криптозащиты	+	+
Внесение изменений в программы системы защиты	+	+	+
Порча системы защиты		+	+
Обход системы защиты	+	+	+
Отключение системы защиты	+	+	+
Некомпетентное использование средств защиты	+	+	+
Отключение криптозащиты	+	+
5. Угрозы, связанные с организацией разработки ИТ и АС
Ошибки при использование языков доступа к данным (SQL)	+	+	+
Ошибки при проектировании архитектуры системы	+	+	+
Ошибки при проектировании технологии обработки данных	+	+	+
Ошибки в технологии разработки ИТ и АС	+	+	+
Ошибки администрирования	+	+	+
Нарушение установленных правил при работе в системе	+	+	+
Внедрение в программное обеспечение	+	+
Внедрение в информационное обеспечение	+	+	+
Внедрение в математическое обеспечение	+	+	+
Внедрение в лингвистическое обеспечение	+	+	+
Изменение программ	+	+	+
Удаление программ		+	+
Порча программ		+	+
Изменение режимов работы программного обеспечения	+	+	+
Изменение информации		+	+
Ввод ошибочной информации		+	+
Ввод ложной информации		+	+
Удаление информации		+	+

Продолжение
таблицы 1

1	2	3	4
Порча информации		+	+
Копирование информации с машинных носителей	+
Чтение информации с машинных носителей	+
Чтение остаточной информации из оперативной памяти, регистров, буферов и т.д.	+
Незаконное использование «точек входа»	+	+	+
Использование неправильно спроектированных программ	+	+	+
Использование программ с ошибками	+	+	+
Использование неучтенных (незаконных) программ	+	+	+
Неправомерная перегрузка (компонентов системы)		+	+

2 Определить и описать возможные угрозы
для заданного объекта информатизации
по схеме, предлагаемой в таблице 2

Таблица 2 – Возможные угрозы

Компоненты системы	Нарушение конфиденциальности информации	Нарушение целостности информации	Нарушение работоспособности системы
Персонал
Аппаратные средства
Программные средства
Данные

Проанализировать возможные каналы
утечки информации. В выводах перечислить
возможные каналы утечки информации.
Дополнительно результаты продемонстрировать
с помощью схемы (например, рис.1).

Рисунок 1 – Обобщенная схема технических
каналов утечки информации:

1 — утечка за счет структурного звука в
стенах и перекрытиях; 2 — съем информации
с ленты принтера, плохо стертых дискет
и т.п.; 3 — съем информации с использованием
видеозакладок; 4 — программно-аппаратные
закладки и ПК; 5 — радиозакладки в стенах
и мебели; 6 — съем информации по системе
вентиляции; 7 — лазерный съем акустической
информации с окон; 8 — производственные
и технологические отходы; 9 — компьютерные
вирусы, логические бомбы и т.д.; 10 — съем
информации за счет наводок и «навязывания»;
11 — дистанционный съем видеоинформации
(оптика);12 — съем акустической информации
с использованием диктофонов; 13 — хищение
носителей информации; 14 — высокочастотный
канал утечки в бытовой технике; 15 — съем
информации направленным микрофоном;16
— внутренние каналы утечки информации
(через обслуживающий персонал); 17 —
несанкционированное копирование; 18 —
утечка за счет побочного излучения
информации; 19 — съем информации за счет
использования «телефонного уха»; 20 —
съем информации с клавиатуры по
акустическому каналу; 21 — съем информации
с дисплея по электромагнитному каналу;
22 — визуальный съем информации с дисплея
и принтера; 23 — наводки по линии коммуникации
и сторонние проводники; 24 — утечка через
линии связи; 25 — утечка по цепям заземления;
26 — утечка по сети электрочасов; 27 — утечка
по трансляционной сети и громкоговорящей
связи; 28 — утечка по охранно-пожарной
сигнализации; 29 — утечка по сети; 30 —
утечка по сети отопления, газо — и
водоснабжения, электропитания

Задачи практической работы:

– Дать характеристики основных групп
нарушителей;

– Определить возможных нарушителей
защиты рассматриваемого объекта
информатизации;

– Определить каналы, используемые
нарушителем для доступа к защищаемым
ресурсам ИС

Исходные данные:

Исходными данными являются данные
полученные в практической работе №1,
2, 3

Теоретический материал

Модель нарушителя ИС

Модель нарушителя типовой ИС разрабатывается
для определения типового перечня угроз
информационной безопасности ИС.

Модель нарушителя ИС содержит предположения
о возможностях нарушителя, которые он
может использовать для реализации
угроз, а также об ограничениях на эти
возможности. Угрозы (атаки) готовятся
и проводятся нарушителем, причем
возможность реализации угрозы обусловлена
возможностями нарушителя, а именно его
информационной и технической
вооруженностью.

Описание потенциального нарушителя
информационной безопасности ИС

Под нарушителем понимается физическое
лицо, случайно или преднамеренно
совершающее действия, следствием которых
является нарушение безопасности
защищаемой информации при ее обработке
в ИС.

Целями несанкционированных действий
нарушителя, способных привести к
совершению НСД к защищаемым ресурсам
ИС и нарушению принятых для ИС характеристик
информационной безопасности, являются:

нарушение
целостности защищаемых ресурсов;
нарушение
конфиденциальности защищаемых ресурсов;
нарушение
доступности защищаемых ресурсов;
создание условий
для последующего проведения атак.

Возможными направлениями несанкционированных
действий нарушителя в том числе являются:

доступ к защищаемой
информации с целью нарушения ее
конфиденциальности (хищение, ознакомление,
перехват);
доступ к защищаемой
информации с целью нарушения ее
целостности (модификация данных);
доступ к техническим
и программным средствам ИС с целью
постоянного или временного нарушения
доступности защищаемой информации для
легального пользователя;
доступ к техническим
и программным средствам ИС с целью
внесения в них несанкционированных
изменений, создающих условия для
проведения атак;
доступ к средствам
защиты информации с целью изменения
их конфигурации.

При разработке Модели предполагалось,
что доступ к защищаемой информации
нарушитель может получить путем:

преодоления
(обхода) средств и системы защиты
информации, систем контроля доступа;
использования
специальных программных средств (в
том числе вредоносного ПО) или уязвимостей
легально используемого ПО;
использования
специализированных средств съема
(добывания) информации по техническим
каналам;
использование
средств специальных воздействий;
внедрения аппаратных
закладных устройств.

Закладные устройства, как правило,
активируются путем программно-математических
воздействий, реализованных при
непосредственном физическом доступе
к ТС, либо путем удаленного сетевого
воздействия.

Типы нарушителей информационной
безопасности ИС

Нарушители информационной безопасности
ИС могут быть следующих типов:

внешние нарушители,
осуществляющие атаки из-за пределов
контролируемой зоны ИС;
внутренние
нарушители, осуществляющие атаки,
находясь в пределах контролируемой
зоны ИС.

В зависимости от категории обрабатываемых
персональных данных изменяются категории
лиц, заинтересованных в несанкционированном
получении информации ограниченного
доступа, то есть изменяются возможности
потенциального нарушителя информационной
безопасности. В таблице Error: Reference source not found
актуальность угрозы для каждой категории
персональных данных определяется по
колонке «Категории ПДн».

Внешний нарушитель

К внешним нарушителям ИС относятся
следующие группы лиц:

представители
криминальных структур;
другие физические
лица, пытающиеся получить доступ к
информации в инициативном порядке, в
том числе «хакеры» и т.п.

Внешний нарушитель может осуществлять
попытки НСД к информации из-за границы
КЗ, в том числе с использованием каналов
передачи данных.

Предположения об информационной и
технической вооруженности внешнего
нарушителя

Внешний нарушитель может обладать
следующей информацией и данными об ИС:

знаниями
функциональных особенностей ИС;
высоким уровнем
знаний в области технических средств;
сведениями о
средствах защиты информации (в том
числе применяемых в ИС);
данными об
уязвимостях ИС, включая данные о
недокументированных возможностях
технических средств ИС;
информацией о
возможных и существующих способах
(методах) реализации атак;
знаниями в области
программирования и вычислительной
техники.

Средства, используемые внешним
нарушителем для доступа к защищаемой
информации ИС

Состав и характеристики имеющихся у
нарушителя средств существенно
определяются имеющимися у него
возможностями по их приобретению или
разработке. Возможности нарушителя по
использованию имеющихся средств зависят
от реализованной в ИС политики
безопасности.

Внешний нарушитель может использовать
следующие средства доступа к защищаемой
информации:

средства,
подключаемые к сетям связи общего
пользования;
средства активации
аппаратных закладок;
имеющиеся в
свободной продаже программные средства
прослушивания каналов передачи данных;
имеющиеся в
свободной продаже программные средства
модификации данных при их передаче по
каналам связи;
специальные
программные средства для осуществления
несанкционированного доступа, в том
числе вредоносное ПО.

Внутренний нарушитель

Возможности внутреннего нарушителя ИС
существенным образом зависят от
действующих в пределах КЗ ограничительных
факторов, основными из которых являются
организационные, режимные,
инженерно-технические и другие меры,
направленные на:

предотвращение
и пресечение несанкционированных
действий лиц, имеющих доступ в КЗ ИС;
подбор и расстановку
кадров для работы с ИС;
организацию
контроля и разграничения доступа
физических лиц в КЗ, а также к штатным
средствам ИС и в помещения, в которых
они расположены;
контроль над
порядком проведения работ;
контроль над
соблюдением требований документации,
определяющей политику безопасности
ИС (в том числе, контроль над выполнением
режимных мер, регламентирующих порядок
обращения с информацией, обрабатываемой
в ИС).

Исходя из прав доступа лиц к ресурсам
ИС, потенциальных внутренних нарушителей
можно разделить на следующие категории:

Категория I: зарегистрированный
пользователь с полномочиями администратора
ИС (системного администратора,
администратора безопасности). Лица
данной категории являются доверенными
(в силу реализованных организационных,
режимных и кадровых мероприятий), и как
нарушители информационной безопасности
не рассматриваются. Администраторы ИС
проходят инструктаж по вопросам обработки
информации в ИС, допускаются к работе
с ресурсами ИС после проверки знаний
ими положений соответствующих должностных
инструкций, в связи с чем рассмотрение
их ошибочных действий, способных привести
к нарушению информационной безопасности
ИС, в рамках данной модели не проводится.

Категория II: зарегистрированный
пользователь ресурсов АС.

Нарушитель категории II может обладать
следующей информацией и данными о ИС:

атрибутами,
обеспечивающими доступ к некоторому
подмножеству ресурсов (например,
паролем, легальным именем доступа);
сведениями о
структуре, функциях, принципах, механизмах
действия и правилах работы технических
средств и средств защиты информации в
объеме эксплуатационной документации;
знаниями
функциональных особенностей ИС;
сведениями о
ресурсах ИС: порядок и правила создания,
хранения и передачи информации, форматы
сообщений, структура и свойства
информационных потоков;
данными об
уязвимостях ИС, включая данные о
недокументированных возможностях
технических средств ИС;
данными о
реализованных в системе и средствах
защиты информации принципах и алгоритмах;
сведениями о
возможных для ИС каналах атак;
информацией о
способах атак.

Нарушитель категории II обладает
следующими средствами доступа к ресурсам
ИС:

штатными средствами
ИС (компьютером, подключаемым
непосредственно к СВТ ИС);
имеющимися в
свободной продаже программными
средствами прослушивания каналов
передачи данных;
имеющимися в
свободной продаже программными
средствами модификации данных при их
передачи по каналам связи;
общедоступными
компьютерными вирусами;
общедоступным
программным обеспечением, предназначенным
для подготовки и осуществления применения
программных средств скрытого
информационного воздействия.

Лица категории II могут исключаться из
числа потенциальных нарушителей в
зависимости от организационных и
кадровых мероприятий, принятых в
учреждении, эксплуатирующем ИС, с учетом
категории персональных данных:
предполагается, что лица категории II
могут быть заинтересованы в получении
ПДн категории I и II.

Категория III: лица, имеющие
санкционированный доступ в помещения
с размещаемыми ТС из состава ИС, но не
имеющие санкционированного доступа к
ресурсам ИС.

Нарушитель категории III может обладать
следующей информацией и данными о ИС:

знаниями об
«именах» (логинах) зарегистрированных
пользователей;
знаниями
функциональных особенностей ИС;
любыми фрагментами
информации о топологии сети
(коммуникационной части подсети) и об
используемых в ИС коммуникационных
протоколах и их сервисах;
данными об
уязвимостях ИС, включая данные о
недокументированных возможностях
технических и программных средств ИС;
данными о
реализованных в системе и средствах
защиты информации ИС принципах и
алгоритмах;
сведениями о
возможных для ИС каналах атак;
информацией о
способах атак.

Нарушитель категории III обладает
следующими средствами доступа к ресурсам
ИС:

оставленными без
присмотра штатными средствами ИС;
имеющимися в
свободной продаже программными
средствами прослушивания каналов
передачи данных;
имеющимися в
свободной продаже программными
средствами модификации данных при их
передаче по каналам связи;
общедоступными
компьютерными вирусами;
общедоступным
программным обеспечением, предназначенным
для подготовки и осуществления применения
программных средств скрытого
информационного воздействия.

Категория IV: сотрудники подразделений
(организаций), выполняющие разработку
прикладного программного обеспечения,
ремонт и восстановление работоспособности
ТС ИС.

Лица категории IV:

обладают информацией
о программах обработки информации ИС,
а также о реализованных в данных
программах алгоритмах;
обладают
возможностями внесения ошибок (в том
числе вредоносного ПО) в ИС на стадии
разработки и сопровождения;
могут располагать
любыми фрагментами информации о
топологии ЛВС, технических средствах
обработки и средствах защиты информации,
применяемых в типовой ИС.

Каналы, используемые нарушителем для
доступа к защищаемым ресурсам ИС

Возможные каналы доступа к ресурсам
ИС

При попытке доступа к защищаемым ресурсам
ИС (попытке атаки) нарушитель в общем
случае может использовать следующие
каналы:

каналы
непосредственного доступа к объекту
атаки (визуальный, физический);
общедоступные
каналы связи, по которым осуществляется
передача информации ограниченного
доступа;
технические каналы
утечки информации.

На основании анализа организационно-режимных
мероприятий, регламентирующих эксплуатацию
ИС, особенностей размещения типовых ИС
(ИС эксплуатируется внутри КЗ
соответствующих подразделений, в объеме
помещения сосредоточено большое
количество однородных СВТ, используются
качественные сбалансированные
симметричные и экранированные линии)
и обработки информации (в ИС используются
современные способы кодирования данных
и низкоэнергетические шумоподобные
способы модулирования сигналов), а также
анализа возможностей групп лиц,
заинтересованных в осуществлении НСД
к информации ИС (п. 3.2.1, 3.2.2) можно сделать
вывод о том, что утечка ПДн по ТКУИ не
позволяет получить в течение обозримого
периода времени доступ к существенному
объему ПДн и потенциальный внешний
нарушитель не обладает необходимыми
знаниями и средствами (в том числе
финансовыми и временными ресурсами)
для осуществления перехвата защищаемой
информации по техническим каналам
утечки, использование технических
средств разведки внутренним нарушителем
исключается организационно-режимными
мероприятиями.

С учетом реализованных на объектах
Операторов организационно-технических
мер по ограничению доступа в помещения,
в которых размещаются ТС ИС, внесение
в пределы КЗ средств осуществления
специальных воздействий исключен.

Таким образом, возможность съема
нарушителем обрабатываемой в ИС
информации по каналам ПЭМИН и угрозы
специальных воздействий в данной модели
не рассматриваются.

В типовых ИС не предусмотрены голосовой
ввод и воспроизведение информации
конфиденциального характера, а также
ее обсуждение в процессе обработки, в
связи с чем угрозы утечки акустической
информации в данной модели не
рассматриваются.

Каналы, используемые внутренним
нарушителем для доступа к защищаемым
ресурсам ИС

Для осуществления доступа к ресурсам
ИС внутренний нарушитель может
использовать следующие каналы атак:

визуальный канал
утечки информации;
физический доступ
к штатным программно-аппаратным
средствам из состава ИС;
носители информации,
в том числе съемные;
каналы связи ИС,
по которым осуществляется передача
ПДн.

Каналы, используемые внешним нарушителем
для доступа к защищаемым ресурсам ИС

Для осуществления доступа к ресурсам
ИС внешний нарушитель может использовать
следующие основные каналы атак:

визуально-оптический
канал;
носители
информации (НЖМД, flash-накопители,
оптические диски и т.д.), использованные
в процессе эксплуатации ИС и оказавшиеся
за пределами КЗ;
общедоступные
каналы связи, по которым осуществляется
передача информации ограниченного
доступа.

Ход выполнения практической работы:

1. Составить модель нарушителя на
основании квалификации в области
информационных технологий (приложение
В). Результаты оформить в таблице 3.

Таблица 3 – Образец составления модели
нарушителя

Должность	Квалификация нарушителя
Начальные навыки использования ПК. 1 уровень	Может запускать программы 2 уровень	Создает программы 3 уровень	Знает, как устроена система защиты. Может управлять 4 уровень
Начальник отдела кадров
Системный администратор

2 На основании полученных результатов
сделать выводы и дать письменное описание
каждого возможного нарушителя.

ПРИЛОЖЕНИЕ В

РУКОВОДЯЩИЙ
ДОКУМЕНТ

Концепция защиты средств
вычислительной техники и автоматизированных
систем от

несанкционированного
доступа к информации

Утверждена
решением Государственной технической
комиссии при Президенте Российской
Федерации от 30 марта 1992 г.

1. Общие положения

1.1.
Настоящий документ излагает систему
взглядов, основных принципов, которые
закладываются в основу проблемы защиты
информации от несанкционированного
доступа (НСД), являющейся частью общей
проблемы безопасности информации.

1.2.
Концепция предназначена для заказчиков,
разработчиков и пользователей СВТ и
АС, которые используются для обработки,
хранения и передачи требующей защиты
информации.

2. Определение нсд

2.1.
При анализе общей проблемы безопасности
информации выделяются те направления,
в которых преднамеренная или
непреднамеренная деятельность человека,
а также неисправности технических
средств, ошибки программного обеспечения
или стихийные бедствия могут привести
к утечке, модификации или уничтожению
информации.

Известны
такие направления исследования проблемы
безопасности информации, как
радиотехническое, побочные электромагнитные
излучения и наводки, акустическое, НСД
и др.

2.2.
НСД определяется как доступ к информации,
нарушающий установленные правила
разграничения доступа, с использованием
штатных средств, предоставляемых СВТ
или АС.

Под
штатными средствами понимается
совокупность программного, микропрограммного
и технического обеспечения СВТ или АС.

3. Основные принципы защиты от нсд

3.1.
Защита СВТ и АС основывается на положениях
и требованиях существующих законов,
стандартов и нормативно-методических
документов по защите от НСД к информации.

3.2.
Защита СВТ обеспечивается комплексом
программно-технических средств.

3.3.
Защита АС обеспечивается комплексом
программно-технических средств и
поддерживающих их организационных мер.

3.4.
Защита АС должна обеспечиваться на всех
технологических этапах обработки
информации и во всех режимах
функционирования, в том числе при
проведении ремонтных и регламентных
работ.

3.5.
Программно-технические средства защиты
не должны существенно ухудшать основные
функциональные характеристики АС
(надежность, быстродействие, возможность
изменения конфигурации АС).

3.6.
Неотъемлемой частью работ по защите
является оценка эффективности средств
защиты, осуществляемая по методике,
учитывающей всю совокупность технических
характеристик оцениваемого объекта,
включая технические решения и практическую
реализацию средств защиты.

3.7.
Защита АС должна предусматривать
контроль эффективности средств защиты
от НСД. Этот контроль может быть либо
периодическим, либо инициироваться по
мере необходимости пользователем АС
или контролирующими органами.

4. Модель нарушителя в ас

4.1.
В качестве нарушителя рассматривается
субъект, имеющий доступ к работе со
штатными средствами АС и СВТ как части
АС.

Нарушители
классифицируются по уровню возможностей,
предоставляемых им штатными средствами
АС и СВТ. Выделяется четыре уровня этих
возможностей.

Классификация
является иерархической, т.е. каждый
следующий уровень включает в себя
функциональные возможности предыдущего.

4.2.
Первый уровень определяет самый низкий
уровень возможностей ведения диалога
в АС — запуск задач (программ) из
фиксированного набора, реализующих
заранее предусмотренные функции по
обработке информации.

Второй
уровень определяется возможностью
создания и запуска собственных программ
с новыми функциями по обработке
информации.

Третий
уровень определяется возможностью
управления функционированием АС, т.е.
воздействием на базовое программное
обеспечение системы и на состав и
конфигурацию ее оборудования.

Четвертый
уровень определяется всем объемом
возможностей лиц, осуществляющих
проектирование, реализацию и ремонт
технических средств АС, вплоть до
включения в состав СВТ собственных
технических средств с новыми функциями
по обработке информации.

4.3.
В своем уровне нарушитель является
специалистом высшей квалификации, знает
все об АС и, в частности, о системе и
средствах ее защиты.

5. Основные способы нсд

К
основным способам НСД относятся:

— непосредственное
обращение к объектам доступа;

— создание
программных и технических средств,
выполняющих обращение к объектам доступа
в обход средств защиты;

— модификация
средств защиты, позволяющая осуществить
НСД;

— внедрение
в технические средства СВТ или АС
программных или технических механизмов,
нарушающих предполагаемую структуру
и функции СВТ или АС и позволяющих
осуществить НСД.

6. Основные направления обеспечения защиты от нсд

6.1.
Обеспечение защиты СВТ и АС осуществляется:

— системой
разграничения доступа (СРД) субъектов
к объектам доступа;

— обеспечивающими
средствами для СРД.

6.2.
Основными функциями СРД являются:

— реализация
правил разграничения доступа (ПРД)
субъектов и их процессов к данным;

— реализация
ПРД субъектов и их процессов к устройствам
создания твердых копий;

— изоляция
программ процесса, выполняемого в
интересах субъекта, от других субъектов;

— управление
потоками данных в целях предотвращения
записи данных на носители несоответствующего
грифа;

— реализация
правил обмена данными между субъектами
для АС и СВТ, построенных по сетевым
принципам.

6.3.
Обеспечивающие средства для СРД выполняют
следующие функции:

— идентификацию
и опознание (аутентификацию) субъектов
и поддержание привязки субъекта к
процессу, выполняемому для субъекта;

— регистрацию
действий субъекта и его процесса;

— предоставление
возможностей исключения и включения
новых субъектов и объектов доступа, а
также изменение полномочий субъектов;

— реакцию
на попытки НСД, например, сигнализацию,
блокировку, восстановление после НСД;

— тестирование;

— очистку
оперативной памяти и рабочих областей
на магнитных носителях после завершения
работы пользователя с защищаемыми
данными;

— учет
выходных печатных и графических форм
и твердых копий в АС;

— контроль
целостности программной и информационной
части как СРД, так и обеспечивающих ее
средств.

6.4.
Ресурсы, связанные как с СРД, так и с
обеспечивающими ее средствами, включаются
в объекты доступа.

6.5.
Способы реализации СРД зависят от
конкретных особенностей СВТ и АС.
Возможно применение следующих способов
защиты и любых их сочетаний:

— распределенная
СРД и СРД, локализованная в
программно-техническом комплексе (ядро
защиты);

— СРД
в рамках операционной системы, СУБД или
прикладных программ;

— СРД
в средствах реализации сетевых
взаимодействий или на уровне приложений;

— использование
криптографических преобразований или
методов непосредственного контроля
доступа;

— программная
и (или) техническая реализация СРД.

РУКОВОДЯЩИЙ ДОКУМЕНТ

Автоматизированные системы.

Защита
от несанкционированного доступа к
информации

Классификация
автоматизированных систем и требования
по защите информации

Утверждено решением председателя
Государственной технической комиссии
при Президенте Российской Федерации
от 30 марта 1992 г.

2. Требования по защите информации от нсд для ас

2.1. Защита информации от НСД является
составной частью общей проблемы
обеспечения безопасности информации.
Мероприятия по защите информации от
НСД должны осуществляться взаимосвязано
с мероприятиями по специальной защите
основных и вспомогательных средств
вычислительной техники, средств и систем
связи от технических средств разведки
и промышленного шпионажа.

2.2. В общем случае, комплекс
программно-технических средств и
организационных (процедурных) решений
по защите информации от НСД реализуется
в рамках системы защиты информации от
НСД (СЗИ НСД), условно состоящей из
следующих четырех подсистем:

— управления доступом;

— регистрации и учета;

— криптографической;

— обеспечения целостности.

2.3. В зависимости от класса АС в рамках
этих подсистем должны быть реализованы
требования в соответствии с пп. 2.4, 2.7 и
2.10. Подробно эти требования сформулированы
в пп. 2.5, 2.6, 2.8, 2.9 и 2.11-2.15.

2.4. Требования к АС третьей группы

Обозначения:

— » — » — нет требований к данному
классу;

— » + » — есть требования к данному
классу.

Подсистемы и требования	Классы
3Б	3А
1. Подсистема управления доступом
1.1. Идентификация, проверка подлинности и контроль доступа субъектов:
в систему	+	+
к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ	—	—
к программам	—	—
к томам, каталогам, файлам, записям, полям записей	—	—
1.2. Управление потоками информации
2. Подсистема регистрации и учета
2.1. Регистрация и учет:
входа (выхода) субъектов доступа в (из) систему(ы) (узел сети)	+	+
выдачи печатных (графических) выходных документов	—	+
запуска (завершения) программ и процессов (заданий, задач)	—	—
доступа программ субъектов доступа к защищаемым файлам, включая их создание и удаление, передачу по линиям и каналам связи	—	—
доступа программ субъектов доступа к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ, программам, томам, каталогам, файлам, записям, полям записей	—	—
изменения полномочий субъектов доступа	—	—
создаваемых защищаемых объектов доступа	—	—
2.2. Учет носителей информации	+	+
2.3. Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей	—	+
2.4. Сигнализация попыток нарушения защиты	—	—
3. Криптографическая подсистема
3.1. Шифрование конфиденциальной информации	—	—
3.2. Шифрование информации, принадлежащей различным субъектам доступа (группам субъектов) на разных ключах	—	—
3.3. Использование аттестованных (сертифицированных) криптографических средств	—	—
4. Подсистема обеспечения целостности
4.1. Обеспечение целостности программных средств и обрабатываемой информации	+	+
4.2. Физическая охрана средств вычислительной техники и носителей информации	+	+
4.3. Наличие администратора (службы) защиты информации в АС	—	—
4.4. Периодическое тестирование СЗИ НСД	+	+
4.5. Наличие средств восстановления СЗИ НСД	+	+
4.6. Использование сертифицированных средств защиты	—	+

2.5. Требования к классу защищенности
3Б:

Подсистема управления доступом:

должны осуществляться идентификация
и проверка подлинности субъектов доступа
при входе в систему по паролю
условно-постоянного действия, длиной
не менее шести буквенно-цифровых
символов.

Подсистема регистрации и учета:

должна осуществляться регистрация
входа (выхода) субъектов доступа в
систему (из системы), либо регистрация
загрузки и инициализации операционной
системы и ее программного останова.
Регистрация выхода из системы или
останова не проводится в моменты
аппаратурного отключения АС.

В параметрах регистрации указываются:

— дата и время входа (выхода) субъекта
доступа в систему (из системы) или
загрузки (останова) системы;

— должен проводиться учет всех
защищаемых носителей информации с
помощью их любой маркировки и с занесением
учетных данных в журнал (учетную
карточку).

Подсистема обеспечения целостности:

должна быть обеспечена целостность
программных средств СЗИ НСД, обрабатываемой
информации, а также неизменность
программной среды.

При этом:

— целостность СЗИ НСД проверяется
при загрузке системы по наличию имен

(идентификаторов) компонент СЗИ;

— целостность программной среды
обеспечивается отсутствием в АС средств
разработки и отладки программ;

— должна осуществляться физическая
охрана СВТ (устройств и носителей
информации), предусматривающая контроль
доступа в помещения АС посторонних лиц,
наличие надежных препятствий для
несанкционированного проникновения в
помещения АС и хранилище носителей
информации, особенно в нерабочее время;

— должно проводиться периодическое
тестирование функций СЗИ НСД при
изменении программной среды и персонала
АС с помощью тест-программ, имитирующих
попытки НСД;

— должны быть в наличии средства
восстановления СЗИ НСД, предусматривающие
ведение двух копий программных средств
СЗИ НСД и их периодическое обновление
и контроль работоспособности.

Практическая работа № 5 Разработка модели угроз информационной безопасности

Задачи практической работы:

– . Изучить теоретический материал по
теме практической работы;

– Определить способы реализации атак
на ИС, источники угроз (нарушителей) и
категории видов тайн.

– Заполнить таблицу

Исходные данные:

Исходными данными являются данные
полученные в практической работе №1,
2, 3

Теоретический материал

Модель угроз информационной безопасности
ИС

Модель угроз предназначена для выявления
актуальных угроз информационной
безопасности ИС с целью последующей
разработки требований, определяющих
организационно-режимные и технические
мероприятия по защите информации
ограниченного распространения,
обрабатываемой в типовой ИС, а также
передаваемой техническими средствами
типовой ИС по незащищенным каналам
передачи данных.

Пример типовой модели угроз безопасности
ИС

Для ИС Операторов в общем случае актуальны
следующие типовые угрозы:

угрозы, связанные с НСД к ПДн (в том
числе угрозы внедрения вредоносных
программ):

угрозы, осуществляемые
при непосредственном физическом доступе
к ТС ИС:

кража (утеря)
носителей информации;
несанкционированный
доступ к информации, хранящейся на
съемных носителях (в том числе
оказавшихся за пределами КЗ);
восстановление
защищаемой информации и информации
об ИС путем анализа выведенных из
употребления носителей информации;
несанкционированный
доступ к ПДн;
модификация,
уничтожение, блокирование информации;
нарушение
работоспособности АРМ из состава
ИС;
нарушение
работоспособности коммутационного
оборудования, каналов связи ИС;
несанкционированное
(в том числе непреднамеренное)
отключение средств защиты информации;
внедрение
вредоносного ПО;
проведение
атак, основанных на использовании
уязвимостей и НДВ средств,
взаимодействующих со средствами
защиты информации и способных
повлиять на их функционирование;
установка ПО,
не предназначенного для исполнения
служебных обязанностей;
установка
аппаратных закладок в приобретаемые
ПЭВМ;
внедрение
аппаратных закладок посторонними
лицами после начала эксплуатации
ИС;
подбор
аутентифицирующей информации
пользователей (администраторов);
вывод информации
на неучтенные носители (в том числе
вывод на печать);
утечка защищаемой
информации;
модификация
технических средств ИС, внесение
неисправностей в технические
средства;
модификация
программных средств ИС;
модификации
программных средств защиты, изменение
их настроек;
модификация
ведущихся в электронном виде
регистрационных протоколов;

угрозы, осуществляемые
с использованием протоколов межсетевого
взаимодействия:

анализ сетевого
трафика с перехватом передаваемой из
ИС и принимаемой в ИС из внешних сетей
информации;
модификация
защищаемой информации при ее передаче
по каналам связи;
получение сведений
об программно-аппаратных средствах ИС
путем прослушивания каналов связи;
разглашение
информации путем передачи ее по
электронной почте, системам обмена
моментальными сообщениями и т.п.;
внедрение по сети
вредоносных программ;
создание нештатных
режимов работы программных
(программно-аппаратных) средств за счет
преднамеренных изменений служебных
данных;
создание нештатных
режимов работы программных
(программно-аппаратных) средств за счет
преднамеренных изменений передаваемой
информации;
получение доступа
(проникновение) в операционную среду
АРМ с использованием штатного программного
обеспечения и протоколов сетевого
взаимодействия (средств операционной
системы или прикладных программ общего
применения);
отказ в обслуживании;
выявление паролей;
навязывание
ложного маршрута путем несанкционированного
изменения маршрутно-адресных данных
внутри сети;
навязывание
ложного маршрута путем несанкционированного
изменения маршрутно-адресных данных
во внешних сетях;
сканирование,
направленное на выявление типа или
типов используемых операционных систем,
сетевых адресов рабочих станций ИС,
топологии сети, открытых портов и служб,
открытых соединений и др.;
внедрение ложного
объекта как в ИС, так и во внешних сетях;
подмена доверенного
объекта;

угрозы утечки по техническим каналам
утечки информации:

просмотр информации
на дисплее лицами, не допущенными к
обработке ПДн;

просмотр информации
на дисплее лицами, не допущенными к
обработке ПДн с использованием
технических (в т.ч. оптических) средств.

Способы атак определяют типовой перечень
актуальных угроз безопасности ИС, то
есть определяют типовую модель угроз
безопасности.. Описание типовой угрозы
включает в себя:

способ реализации
угрозы;
источник угрозы
– категорию нарушителя ;
тип
информационной системы, для которого
данная угроза актуальна (см. таблицу
Error: Reference source not found);
категории
персональных данных , для которых данная
угроза актуальна.

Ход выполнения практической работы:

1. Определить способы реализации атак
на ИС, источники угроз (нарушителей) и
категории видов тайн. Заполнить этими
данными таблицу 1.

Таблица 1 – Типовой перечень угроз
безопасности ИС

№ атаки	Способ реализации	Источник угрозы (нарушитель)	Категории персональных данных
Угрозы утечки по техническим каналам утечки информации
	Просмотр информации на дисплее лицами, не допущенными к обработке ПДн	Внутренний (II, III, IV)	Категория 1 Категория 2 Категория 3
	Просмотр информации на дисплее лицами, не допущенными к обработке ПДн с использованием технических (в т.ч. оптических) средств	Внешний	Категория 1 Категория 2 Категория 3
Угрозы, связанные с НСД к ПДн
Угрозы, осуществляемые при непосредственном физическом доступе к ТС ИС
	Кража (утеря) носителей информации	Внутренний (II, III, IV)	Категория 1 Категория 2 Категория 3
	Несанкционированный доступ к информации, хранящейся на съемных носителях (в том числе оказавшихся за пределами КЗ)
	Восстановление защищаемой информации и информации об ИС путем анализа выведенных из употребления носителей информации
	Несанкционированный доступ к ПДн
	Модификация, уничтожение, блокирование информации
	Нарушение работоспособности АРМ из состава ИС
	Нарушение работоспособности коммутационного оборудования, каналов связи ИС
	Несанкционированное (в том числе непреднамеренное) отключение средств защиты информации
	Внедрение вредоносного ПО
	Проведение атак, основанных на использовании уязвимостей и НДВ средств, взаимодействующих со средствами защиты информации и способных повлиять на их функционирование
	Установка ПО, не предназначенного для исполнения служебных обязанностей
	Установка аппаратных закладок в приобретаемые ПЭВМ
	Внедрение аппаратных закладок посторонними лицами после начала эксплуатации ИС
	Подбор аутентифицирующей информации пользователей (администраторов)
	Вывод информации на неучтенные носители (в том числе вывод на печать)
	Утечка защищаемой информации
	Модификация технических средств ИС, внесение неисправностей в технические средства
	Модификация программных средств ИС
	Модификации программных средств защиты, изменение их настроек
	Модификация ведущихся в электронном виде регистрационных протоколов
Угрозы, осуществляемые с использованием протоколов межсетевого взаимодействия
	Разглашение информации путем передачи ее по электронной почте, системам обмена моментальными сообщениями и т.п.	Внутренний (II)	Категория 1 Категория 2 Категория 3
	Анализ сетевого трафика с перехватом передаваемой из ИС и принимаемой в ИС из внешних сетей информации
	Получение сведений об программно-аппаратных средствах ИС путем прослушивания каналов связи
	Модификация защищаемой информации при ее передаче по каналам связи
	Внедрение по сети вредоносных программ
	Создание нештатных режимов работы программных (программно-аппаратных) средств за счет преднамеренных изменений служебных данных
	Создание нештатных режимов работы программных (программно-аппаратных) средств за счет преднамеренных изменений передаваемой информации
	Получение доступа (проникновение) в операционную среду АРМ с использованием штатного программного обеспечения и протоколов сетевого взаимодействия (средств операционной системы или прикладных программ общего применения)
	Отказ в обслуживании
	Выявление паролей
	Навязывание ложного маршрута путем несанкционированного изменения маршрутно-адресных данных внутри сети
	Навязывание ложного маршрута путем несанкционированного изменения маршрутно-адресных данных во внешних сетях
	Угрозы сканирования, направленные на выявление типа или типов используемых операционных систем, сетевых адресов рабочих станций ИС, топологии сети, открытых портов и служб, открытых соединений и др.
	Угрозы внедрения ложного объекта как в ИС, так и во внешних сетях
	Подмена доверенного объекта

Добавить
в таблицу данные по угрозам при работе
с коммерческой и конфиденциальной
информацией.

Практическая работа № 6 Разработка проекта подсистемы защиты информации для автоматизированной системы (ас)

Задачи практической работы:

– Разработать проект подсистемы защиты
информации для автоматизированной
системы (АС);

– Создать подсистему опознания и
разграничения доступа для АС;

– Создать матрицу разграничения
полномочий

– Создать журнал входа-выхода в/из
системы для регистрации событий

Исходные данные:

Исходными данными являются данные
полученные в практической работе №1,
2, 3, 4

Теоретический материал

1. Разработать проект подсистемы защиты
информации для автоматизированной
системы (АС). Согласно РД Гостехкомиссии
РФ «Концепция ….» (Приложение В) основной
подсистемой защиты от НСД является
система разграничения доступа (СРД).
СРД состоит из обеспечивающей и
функциональной части.

В документе «Политика безопасности на
предприятии» (Приложение А) в разделе
«Основные требования и рекомендации
по защите информации» говорится: «АС,
обрабатывающая информацию на предприятии
«ЗАО «Спецстрой»», содержащая сведения,
составляющие служебную тайну или
персональные данные, имеют класс
защищенности не ниже 3Б, 2Б, и 1Г».

Создаваемая подсистема должна
удовлетворять требованиям класса 3Б
(приложение В).

Сформировать требования для проектируемой
подсистемы управления доступом класса
3Б, привести их в соответствующем разделе
«Требования к подсистеме контроля и
управления доступом в автоматизированной
системе».

2. Создать подсистему опознания и
разграничения доступа для АС, субъекты
которой: сметчик, начальник отдела
кадров, инженер-проектировщик, бухгалтер,
системный администратор. Данные АС
структурированы в таблицу (базу данных),
содержащую следующие поля: фамилия
работника, табельный номер, оклад,
квалификация сотрудника, код проекта,
стоимость проекта.

Создать таблицу кодов паролей по образцу,
приведённому в таблице 1.

Таблица 1 – Таблица кодов паролей

Логин	Пароль	Должность	ФИО	Номер места
Бух_Пет	12345678	бухгалтер	Петухова А.В.	А1

3. Создать матрицу разграничения
полномочий по образцу (табл.2). Матрица
разграничения полномочий является
математической моделью подсистемы
разграничения доступа (тип доступа: RW
— «чтение/запись», R –
«чтение»).

Согласно требованиям класса защищенности
3Б необходимо регистрировать вход в
систему всех пользователей.

Таблица 2 – Матрица разграничения
полномочий

Субъекты	Объекты
Табельный номер	ФИО	Оклад	Квалификация сотрудника	Стоимость проекта	Код проекта	ТКП	ТРП
Начальник отдела кадров	RW	RW	RW	RW
Бухгалтер

4 Создать журнал входа-выхода в/из системы
для регистрации событий (табл. 3).

Таблица 3 – Журнал входа-выхода в/из
системы для регистрации событий

Логин	Время входа	Время выхода	Признак
Бух_Пет	12.01.12.08.2011	12.31.12.08.2011	1

Признаки:

1- успешный вход

2 – попытка НСД

3- блокировка

Практическая работа № 7 Разработка модели защиты

Задачи практической работы:

– Изучить теоретические вопросы
разработки модели защиты;

– Заполнить таблицу методов защиты

Исходные данные:

Исходными данными являются данные
полученные в практической работе №1,
2, 3

Теоретический материал

Типовая модель защиты

В типовой модели защиты ИС предлагается
ряд организационных и технических мер
и механизмов, которые необходимо
предпринять для реализации защиты
информации в типовых ИС.

На основании типовой модели защиты и
частной модели угроз ИС Оператора
разрабатывается частная модель защиты
ИС Оператора. Данная модель включает в
себя меры и механизмы противодействия
актуальным для ИС Оператора угрозам.
При формировании модели защиты ИС
Оператора допускается осуществлять
выборку методов и механизмов защиты,
основываясь на показателе опасности
конкретной угрозы. Этот показатель
имеет три значения:

низкая опасность
– применяется, если реализация угрозы
может привести к незначительным
негативным последствиям для субъектов
персональных данных;
средняя опасность
– применяется, если реализация угрозы
может привести к негативным последствиям
для субъектов ПДн;
высокая опасность
– применяется, если реализация угрозы
может привести к значительным негативным
последствиям для субъектов ПДн.

В случае, если угроза имеет высокую
опасность, должны быть применены все
механизмы защиты Типовой модели. В
случае определения низкого или среднего
показателя опасности допускается
исключение части механизмов при условии
реализации соответствующих организационных
мер.

Например, если в ИС обрабатываются
персональные данные 2 категории жителей
одного района, угроза установки ПО,
несвязанного с выполнением служебных
обязанностей, является актуальной, но
имеет низкий показатель опасности, а в
случае, если в ИС обрабатываются данные
жителей города – высокую. В первом
случае достаточно реализации
организационных мер, препятствующих
установке ПО, несвязанного с исполнением
служебных обязанностей, во втором —
необходимо использовать весь комплекс
мер Типовой модели защиты, включая
средства реализации замкнутой программной
среды.

Типовая модель защиты информации в ИС
представлена в таблице 1.

Таблица 1 – Угрозы и меры по их нейтрализации

Основные пути реализации непреднамеренных искусственных (субъективных) угроз АС организации	Меры по нейтрализации угроз и снижению возможного наносимого ущерба
Действия сотрудников организации, приводящие к частичному или полному отказу системы или нарушению работоспособности аппаратных или программных средств; отключению оборудования или изменение режимов работы устройств и программ; разрушению информационных ресурсов системы (неумышленная порча оборудования, удаление, искажение программ или файлов с важной информацией, в том числе системных, повреждение каналов связи, неумышленная порча носителей информации и т.п.)	1. Организационные меры (регламентация действий, введение запретов). 2. Применение физических средств, препятствующих неумышленному совершению нарушения. 3. Применение технических (аппаратно-программных) средств разграничения доступа к ресурсам. 4. Резервирование критичных ресурсов
Несанкционированный запуск технологических программ, способных при некомпетентном использовании вызывать потерю работоспособности системы (зависания или зацикливания) или осуществляющих необратимые изменения в системе (форматирование или реструктуризацию носителей информации, удаление данных и т.п.)	1. Организационные меры (удаление всех потенциально опасных программ с дисков ПЭВМ АРМ). 2. Применение технических (аппаратно-программных) средств разграничения доступа к технологическим и инструментальным программам на дисках ПЭВМ АРМ
Несанкционированное внедрение и использование неучтенных программ (игровых, обучающих, технологических и других, не являющихся необходимыми для выполнения сотрудникам и своих служебных обязанностей) с последующим необоснованным расходованием ресурсов (процессорного времени, оперативной памяти, памяти на внешних носителях и т.п.)	1. Организационные меры (введение запретов). 2. Применение технических (аппаратно-программных) средств, препятствующих несанкционированному внедрению и использованию неучтенных программ
Непреднамеренное заражение компьютера вирусами	1. Организационные меры (регламентация действий, введение запретов). 2. Технологические меры (применение специальных программ обнаружения и уничтожения вирусов). 3. Применение аппаратно-программных средств, препятствующих заражению компьютеров компьютерными вирусами
Разглашение, передача или утрата атрибутов разграничения доступа (паролей, ключей шифрования или ЭЦП, идентификационных карточек, пропусков и т.п.)	1. Организационные меры (регламентация действий, введение запретов, усиление ответственности). 2. Применение физических средств обеспечения сохранности указанных реквизитов
Игнорирование организационных ограничений (установленных правил) при работе в системе	1. Организационные меры (усиление ответственности и контроля).
2. Использование дополнительных физических и технических средств защиты
Некомпетентное использование, настройка или неправомерное отключение средств защиты персоналом подразделения безопасности	Организационные меры (обучение персонала, усиление ответственности и контроля)
Ввод ошибочных данных	1. Организационные меры (усиление ответственности и контроля). 2. Технологические меры контроля за ошибками операторов ввода данных

Таблица 2- Типовая модель защиты информации
в ИС

№ атаки	Способ реализации	Источник угрозы (нарушитель)	Метод защиты
	Просмотр информации на дисплее лицами, не допущенными к обработке персональных данных	Внутренний (III, IV)	Размещение ТС должно препятствовать несанкционированному просмотру информации на дисплее. Должно быть реализовано блокирование ТС в периоды неиспользования.
	Просмотр информации на дисплее лицами, не допущенными к обработке персональных данных, с использованием технических (в т.ч. оптических) средств	Внешний	Размещение ТС должно препятствовать несанкционированному просмотру информации на дисплее (в частности, из окон помещений с размещаемым ТС).
	Кража (утеря) носителей информации
	Несанкционированный доступ к информации на съемных носителях (в том числе оказавшихся за пределами КЗ)
	Восстановление защищаемой информации и информации об ИС путем анализа выведенных из употребления носителей информации
	Несанкционированный доступ к ПДн
	Модификация, уничтожение, блокирование информации
	Нарушение работоспособности АРМ
	Нарушение работоспособности коммутационного оборудования, каналов связи
	Несанкционированное (в том числе непреднамеренное) отключение средств защиты
	Внедрение вредоносного ПО
	Проведение атак, основанных на использовании уязвимостей и НДВ средств, взаимодействующих со средствами защиты, и способных повлиять на их функционирование
	Установка ПО, не связанного с исполнением служебных обязанностей
	Установка аппаратных закладок в приобретаемые ТС
	Внедрение аппаратных закладок посторонними лицами после начала эксплуатации ИС
	Подбор аутентифицирующей информации пользователей (администраторов)
	Вывод информации на неучтенные носители (в том числе вывод на печать)
	Утечка защищаемой информации
	Модификация ТС ИС, внесение неисправностей в ТС
	Модификация программных средств
	Модификация программных средств защиты, изменение их настроек
	Модификация ведущихся в электронном виде регистрационных протоколов
	Разглашение информации путем передачи ее по электронной почте, системам обмена моментальными сообщениями и т.п.
	Анализ сетевого трафика с перехватом передаваемой из ИС и принимаемой в ИС информации из внешних сетей
	Модификация защищаемой информации при ее передаче по каналам связи
	Получение сведений об программно-аппаратных средствах ИС путем прослушивания каналов связи
	Внедрение по сети вредоносных программ
	Создание нештатных режимов работы программных (программно-аппаратных) средств за счет преднамеренных изменений служебных данных
	Создание нештатных режимов работы программных (программно-аппаратных) средств за счет преднамеренных изменений передаваемой информации
	Получение доступа (проникновение) в операционную среду АРМ с использованием штатного программного обеспечения и протоколов сетевого взаимодействия (средств операционной системы или прикладных программ общего применения)
	Отказ в обслуживании
	Выявление паролей
	Навязывание ложного маршрута путем несанкционированного изменения маршрутно-адресных данных внутри сети
	Навязывание ложного маршрута путем несанкционированного изменения маршрутно-адресных данных во внешних сетях
	Угрозы сканирования, направленные на выявление типа или типов используемых операционных систем, сетевых адресов рабочих станций ИС, топологии сети, открытых портов и служб, открытых соединений и др.
	Угрозы внедрения ложного объекта как в ИС, так и во внешних сетях
	Подмена доверенного объекта

Практическая работа № 8 Выбор основных механизмов и средств обеспечения безопасности информации.

Задачи практической работы:

– Проанализировать материал по выбору
механизмов и средств обеспечения
безопасности информации;

– Заполнить таблицу методов защиты

Исходные данные:

Исходными данными являются данные
полученные в практической работе №1,
2, 3

Ход выполнения практической работы

1. Заполните таблицу

Организационно-правовые меры защиты информации
Документы по защите интересов ОРГАНИЗАЦИИ, регламентирующие порядок разбора возможных конфликтных ситуаций при взаимодействии с внешними организациями. Случаи практического применения данных документов
Организационные меры обеспечения информационной безопасности
Документы, регламентирующие действия персонала при возникновении нештатных (аварийных ситуаций), средств обеспечения непрерывной работы и восстановления системы
Инструкции, регламентирующие действия конечных пользователей подсистемы по вопросам ОБИ, Знание положений данных инструкций пользователями
Меры по физической защите помещений и СВТ
Физические средства защиты, соблюдение режимных требований, соответствие помещений, в которых осуществляется обработка информации ограниченного доступа, требованиям нормативных документов
Соответствие подсистемы АС требованиям защиты от утечки информации по техническим каналам (ПЭМИН, акустический, визуальный и т.д.), наличие необходимых документов аттестации и категорирования подсистемы
Меры по защите СВТ от НСД
Меры по защите носителей информации
Порядок ввода, учета, хранения, вывода, регистрации и использования конфиденциальной информации на отчуждаемых носителях (в том числе бумажных), архивирования входных и выходных данных
Маркировка документов, выдаваемых на печать
Контроль за порядком размножения документов
Документы и инструкции, регламентирующие порядок осуществления конфиденциального делопроизводства
Программно-технические меры защиты
Аппаратно-программные средства защиты АС
Меры административной поддержки физических и технических средств защиты АС

При выборе программно-технических мер
защиты можно воспользоваться предлагаемым
перечнем средств защиты:

Системы антивирусной защиты

1. Лаборатория Касперского:

Open
Space Security Suite.

2. ООО «Доктор
Веб»:

Dr.Web
Enterprise Security Suite.

3. Компания
ESET:

ESET NOD32 Business Edition;

ESET NOD32 Business Edition Smart Security.

4.
Symantec:

Symantec
Endpoint Protection;

Другие продукты
линейки безопасности
Symantec.

5.
Trend Micro:

Trend
Micro Enterprise Security Suite.

6.
McAfee:

McAfee
Total Protection for Endpoint — Enterprise Edition;

Другие продукты линейки безопасности
McAfee.

7.
Avira:

Avira
Business Bundle.

8.
BitDefender:

BitDefender©
Client Security;

9.
Microsoft:

Forefront
Protection Suite.

10.
AVAST

avast!
Enterprise Suite

11.
Panda:

Panda Security
for Enterprise.

Системы защиты информации от
несанкционированного доступа

1. СЗИ от
НСД Dallas Lock 7.7

Производитель: ООО «Конфидент»

СЗИ от НСД Dallas Lock 7.7 предназначена для
защиты информации от НСД на ПЭВМ в ЛВС,
а также для разграничение полномочий
пользователей по доступу к файловой
системе и другим ресурсам компьютера.
Разграничения касаются всех пользователей
– локальных, сетевых, доменных,
терминальных.

2. Программно-аппаратный модуль «Аккорд-NT
/2000»

Производитель: ОКБ САПР

Программно-аппаратный комплекс средств
защиты информации (ПАК СЗИ) Аккорд-NT/2000
V3.0 предназначен для разграничения
доступа пользователей к рабочим станциям,
терминалам и терминальным серверам.

3. DeviceLock 6.4.1

Производитель: Смарт Лайн Инк

Система идентификации и аутентификации
пользователей

1. Сертифицированные ключи eToken

Производитель: Aladdin

Электронные ключи eToken – персональное
средство аутентификации и защищённого
хранения данных, аппаратно поддерживающее
работу с цифровыми сертификатами и
электронной цифровой подписью (ЭЦП).

2. eToken TMS
(Token Management
System)

Производитель: Aladdin

eToken TMS (Token Management System) — система,
предназначенная для внедрения, управления,
использования и учета аппаратных средств
аутентификации пользователей (USB-ключей
и смарт-карт eToken) в масштабах предприятия.

3. Система одноразовых паролей Aladdin
eToken OTP

Производитель: Aladdin

eToken NG-OTP (Java) — комбинированный USB-ключ
с генератором одноразовых паролей.
Обладает всем функционалом электронных
ключей eToken PRO (Java) для использования в
PKI-системах и автономным режимом работы
без подключения к компьютеру.

Криптографические средства защиты

1.Система Secret Disk NG (производство Alladin)
предназначена для защиты информации
на ПК и съемных носителях информации.

2. Программное решение ViPNet SafeDisk
предназначено для организации безопасного
хранения конфиденциальной информации
и удобной работы с ней на персональном
компьютере.

3. ViPNet CUSTOM — VPN

4. КриптоПро CSP и КриптоПро УЦ. С помощью
данных решений компании КриптоПро
возможно построение удостоверяющего
центра организации и использования
криптографической защиты.

Сетевая защита (системы предотвращения
(IPS) вторжений)

1. Cisco IPS 4240

Производитель: Cisco

Cisco IPS 4240 обнаруживает вредоносную
активность в сети за счет выявления
аномалий на уровне протоколов или общего
трафика, либо сопоставления событий,
описываемых сигнатурами, с состоянием
TCP-соединения и предотвращает её.

2. Check Point IPS-1

Производитель: Check Point

3. ПО Honeypot Manager

Производитель: Информзащита

ПО Honeypot Manager позволяет сымитировать
систему хранения данных с помощью
специальных сенсоров, отслеживает
активность на имитируемой СУБД и
уведомляет о фактах НСД к данным.

Cистемы фильтрации содержимого (почта,
Internet)

1. InfoWatch Traffic Monitor Enterprise

Производитель: InfoWatch

InfoWatch Traffic Monitor Enterprise – комплексное
модульное программное решение,
предназначенное для защиты корпоративной
информации от утечки или несанкционированного
распространения.

2. Websense Data Security

Производитель: Websense

Websense Data Security Suite предотвращает утечки
конфиденциальной информации за счет
оперативного анализа данных и
автоматического применения политик
безопасности, независимо от того,
работают пользователи в корпоративной
сети, или вне ее.

3. Symantec Data Loss Prevention

Производитель: Symantec

Symantec Data Loss Prevention упрощает обнаружение
и защиту наиболее ценной информации
организации – интеллектуальной
собственности.

Анализ защищенности

1. Positive Technologies:

Система контроля защищенности и
соответствия стандартам MaxPatrol;

Сетевой cканер безопасности XSpider 7.x.

2. GFI:

Сетевой сканер безопасности GFI LANguard.

3.
eEye Digital Security:

Сканер web-приложений
Retina Web Security Scanner;

Сетевой сканер
безопасности Retina Network
Security Scanner.

4.
Lumension:

Сканер безопасности
Lumension® Scan.

5. Imperva:

Сканер безопасности баз данных Scuba.

6. Outpost24:

Система периметральной оценки уязвимостей
Outpost24 Outscan;

Система внутренней оценки уязвимостей
Outpost24 HIAB.

7. Acunetix:

Сканер web-уязвимостей Web Vulnerability Scanner.

8.
Tenable Network Security:

Сканер безопасности
Tenable Nessus.

9.
Qualys:

Система автоматического
аудита и
сканирования уязвимостей
QualysGuard Vulnerability Management.

10. Fortify:

Система тестирования безопасности
веб-приложений HP WebInspect.

11. SAINT:

Сканер безопасности SAINTscanner™.

12. IBM:

Продукты линейки IBM ISS и IBM Tivoli.

13. ЗАО НПО «Эшелон»:

Система комплексного анализа защищенности
«Сканер-ВС».

14. ЗАО «ЦБИ – сервис»:

Сетевой сканер «Ревизор сети»

Анализатор сетевого трафика «Астра»

Для поиск альтернативных программно-аппаратных
средств защиты информации можно
воспользоваться сайтами поставщиков
и производителей:

http://www.confident.ru

http://www.cobra.ru

www.gas-is.spb.ru

www.guardnt.ru

www.okbsapr.ru

www.securitycode.ru

www.ancud.ru

www.fstec.ru

http://www.cps.tver.ru

Практическая работа № 9 Распределение функций по защите информации

Задачи практической работы:

– Ознакомиться с обеспечением
взаимодействия между субъектами,
защищающими и использующими информацию
ограниченного доступа

– Распределить функции по защите
информации в соответствии с занимаемыми
должностями.

Теоретический материал

Обеспечение взаимодействия между
субъектами, защищающими и использующими
информацию ограниченного доступа

Взаимодействие между персоналом
предприятия и службой защиты информации
может быть обеспечено путем определения
соответствующих обязанностей персонала
предприятия и предоставления
соответствующих полномочий службе
защиты информации.

Полномочия службы защиты информации
могут быть закреплены в должностных
обязанностях персонала, а также в
положении о службе защиты информации
(или разделе положения о службе
безопасности предприятия). Наиболее
важными из этих полномочий являются:

• подчиненность сотрудников службы
защиты информации строго определенным
должностным лицам (как правило,
руководителю предприятия, его заместителю
по безопасности и должностным лицам
службы защиты информации — по
подчиненности);

• предоставление права проверять
наличие материалов, содержащих информацию
ограниченного доступа и порядок обращения
с ними у всего персонала предприятия;

• персонал предприятия обязан выполнять
требования представителей службы защиты
информации, связанные с соблюдением
установленного порядка разработки,
обращения, хранения, передачи (пересылки),
уничтожения носителей информации
ограниченного доступа;

• службе защиты информации предоставляется
право проводить служебные расследования
по фактам нарушений установленного
порядка разработки, обращения, хранения,
передачи (пересылки), уничтожения
носителей информации ограниченного
доступа разработки;

• персонал обязан давать объяснения
представителям службы защиты информации
по вопросам, связанным с нарушением
установленного порядка разработки,
обращения, хранения, передачи (пересылки),
уничтожения носителей информации
ограниченного доступа.

Кроме того, руководство предприятия
может осуществлять негласный контроль
за действиями персонала согласно Закону
Российской Федерации 1992 г. «О частной
детективной и охранной деятельности в
Российской Федерации»*. В этих целях в
установленных случаях должна быть
получена лицензия на частную детективную
деятельность, а устав (положение) о
службе безопасности предприятия,
согласованный с органами внутренних
дел, предусматривает следующие виды
деятельности (приведен пример из
действующего устава службы безопасности
одной из коммерческих фирм):

• сбор сведений по гражданским делам;

• изучение рынка, сбор информации для
деловых переговоров, выявление
некредитоспособных или ненадежных
деловых партнеров;

• установление обстоятельств
неправомерного использования в
предпринимательской деятельности
фирменных знаков и наименований,
недобросовестной конкуренции, а также
разглашения сведений, составляющих
коммерческую тайну;

• выяснение биографических и других
характеризующих личность данных об
отдельных гражданах (с их письменного
согласия) при заключении ими трудовых
и иных контрактов;

• поиск утраченного имущества;

• сбор сведений по уголовным делам;

• защита жизни и здоровья граждан;

• охрана имущества собственников, в
том числе при его транспортировке;

• проектирование, монтаж и эксплуатационное
обслуживание средств охранно-пожарной
сигнализации;

• консультирование и подготовка
рекомендаций клиентам по вопросам
правомерной защиты от противоправных
посягательств;

• изучение деятельности фирмы, открытой
информации о конкурирующих фирмах для
своевременного внесения предложений
по разработке и корректировке перечня
сведений, составляющих коммерческую
тайну; после утверждения перечня
руководителем незамедлительное
ознакомление с ним исполнителей закрытых
работ в части, касающейся их;

• осуществление контроля за правильностью
засекречивания и рассекречивания работ,
документов, изданий, материалов;

• оценка классифицированных документов
с целью предотвращения включения в них
излишних данных;

• подготовка списка лиц, имеющих право
классифицировать информацию;

• составление плана размещения и ведение
учета помещений, в которых руководителем
после соответствующей аттестации
разрешено постоянное или временное
хранение носителя коммерческой тайны,
а также проведение закрытых работ;

• составление и корректировка списка
лиц, которые могут быть допущены к
закрытым сведениям, необходимым им для
выполнения служебных обязанностей;

• разработка разрешительной системы
доступа сотрудников и командированных
к носителям охраняемых сведений и
определение места выполнения работ с
ними, анализ эффективности этой системы;

• принятие мер, исключающих разглашение
охраняемой информации фирмы, в процессе
контроля оформления документов,
предназначенных для передачи заказчику,
отправки и вывоза за границу, переписки
с инофирмами;

• организация и ведение закрытого
делопроизводства, размножение документов,
содержащих экономические секреты, их
учет, хранение, выдача исполнителям
работ, уничтожение;

• участие в разработке мер по обеспечению
безопасности при обработке сведений,
составляющих коммерческую тайну,
различными техническими средствами и
системами при пользовании ЭВМ;

• планирование и осуществление режимных
мероприятий при проведении всех видов
работ, в которых используются закрытая
информация и классифицированные
носители;

• содействие руководителям подразделений
фирмы в разработке и осуществлении мер
защиты сведений в процессе научной,
конструкторской, производственной,
коммерческой и иной деятельности;

• организация и проведение защитных
мероприятий при испытаниях, хранении,
транспортировке, уничтожении продукции,
содержащей коммерческую тайну;

• разработка и осуществление мер по
предупреждению утечки информации при
оформлении материалов, предназначенных
к опубликованию в открытой печати, для
использования на конференциях, выставках,
в рекламной деятельности, а также при
проведении совещаний, конференций,
выставок на территории объекта и вне
его;

• систематический контроль за соблюдением
правил обращения с носителями коммерческой
тайны на рабочих (выделенных) местах,
их движением, возвратом, размножением
и уничтожением;

• разработка положений, инструкций,
правил по обеспечению режима работы
для исполнителей закрытых работ,
специалистов службы безопасности;

• осуществление комплекса профилактических
мероприятий по предупреждению
правонарушений (уголовных, административных
и гражданских) на территории фирмы;

• организация обучения лиц, допущенных
к закрытым работам, проверка уровня их
режимной подготовки;

• организация работ по повышению
квалификации сотрудников службы
безопасности (в т.ч. с участием приглашенных
специалистов);

• организация и контроль состояния
пропускного и внутриобъектового режимов;

• участие в подборе лиц, планируемых
для работы с представителями инофирм,
проведение их инструктажа.

Функции руководства предприятия

Функции руководства предприятия по
защите информации зависят от ряда
факторов, основными из которых являются:

• виды тайн, используемых на предприятии
(государственная, коммерческая, служебная,
персональные данные и т.д.);

• форма собственности и организационно-правовая
форма предприятия;

• подчиненность (подведомственность)
предприятия (для предприятий государственной
формы собственности);

• сфера деятельности.

Эти функции в самом общем виде определяются
в уставных и внутренних распорядительных
документах организации. Вместе с тем
они могут быть возложены на руководителей
непосредственно нормативными правовыми
актами. Так, на руководителей предприятий,
использующих в своей деятельности
сведения, составляющие государственную
тайну, законодательство возлагает
определенные функции, права и обязанности.

Одними из документов определяющих
функции руководителей являются:

1. Закон РФ «О государственной тайне».

2. Инструкция о порядке допуска должностных
лиц и граждан Российской Федерации к
государственной тайне.

Реализация всего комплекса функций по
защите информации ограниченного доступа
на предприятии (с учетом ее объемов)
требует наличия специального подразделения
(или подразделений, например, по видам
информации ограниченного доступа).
Задача руководителя предприятия в этом
процессе должна заключаться в принятии
управленческих решений, контролю их
выполнения и, при наличии необходимости,
применению управленческих воздействий,
направленных на достижение поставленных
в решениях задач.

Функции службы защиты информации

Учитывая разнообразие видов тайн,
специфику нормативных требований по
защите каждой из них, под службой ЗИ в
общем виде будем понимать структурные
подразделения предприятия, специально
созданные для выполнения задач защиты
информации (независимо от ее вида).

Функции специальных комиссий

Использование различных видов информации
ограниченного доступа в управленческой
и производственной деятельности
предприятия является сложным процессом,
тонкости которого не могут быть в полном
объеме известны специалистам службы
защиты информации ввиду необходимости
узкоспециальных знаний, технической
сложности и разнообразия производственных
процессов. Вместе с тем знание таких
«тонкостей» является важнейшим условием
принятия эффективных решений по защите
информации ограниченного доступа,
начиная со стадии отнесения информации
к таковой и заканчивая внедрением
сложных технических средств защиты
информации.

Учитывая изложенное, рядом нормативных
документов, а также исходя из практики
деятельности по защите информации, на
предприятиях предусматривается создание
целого ряда комиссий, являющихся
нештатными рабочими органами руководителя
предприятия, призванными обеспечить
принятие эффективных решений по защите
информации.

К таким специальным комиссиям относятся:

а) в области защиты государственной
тайны — экспертные комиссии, предусмотренные
ст. 14 Закона РФ «О государственной тайне»
и постановлением Правительства Российской
Федерации от 04.09.1995 г. № 870 «Об утверждении
правил отнесения сведений, составляющих
государственную тайну, к различным
степеням секретности»*, а также постоянно
действующие технические комиссии
предприятий по защите государственной
тайны, создаваемые в соответствии с
Положением, утвержденным совместным
приказом Гостехкомиссии России и ФСБ
России 2001 г. № 309/405;

б) экспертные комиссии, создаваемые в
соответствии с Основными правилами
работы архивов организаций (одобр.
Коллегией Росархива от 06.02.2002 г.), «Перечнем
типовых управленческих документов,
образующихся в деятельности организаций,
с указанием сроков хранения» (утв.
Росархивом 06.10.2000 г.), Типовой инструкцией
по делопроизводству в федеральных
органах исполнительной власти (приказ
Минкультуры РФ от 08.11.2005 г. № 536,
зарегистрирован в Минюсте РФ 27.01.2006 г.
№ 7418);

в) внутренние проверочные комиссии,
назначаемые руководителем предприятия
для проверки наличия носителей информации
ограниченного доступа, соблюдения
порядка обращения с ними; аналогичные
комиссии, назначаемые для проверок в
подчиненных организациях (дочерних,
филиалах и т.п.), ликвидационные комиссии.

В последнее время в практике работы
предприятий используются так называемые
Советы по безопасности, в числе прочих
задач выполняющие функции консультативных
органов по защите информации ограниченного
доступа при руководителе предприятия.
В состав советов, как правило, включаются:

• специалисты подразделений предприятия,
использующих в своей работе информацию
ограниченного доступа;

• специалисты службы безопасности (по
вопросам охраны, физической защиты
объектов и т.п.);

• специалисты подразделений по защите
информации;

• представители организаций-заказчиков.

Основной задачей советов по безопасности
в области защиты информации является
выработка рекомендаций руководству
предприятия по защите информации
ограниченного доступа при решении
следующих вопросов:

Обязанности пользователей защищаемой
информации

Обязанности персонала предприятия по
защите информации определяются в
коллективном договоре, трудовых
договорах, должностных (функциональных)
обязанностях, инструкциях, правилах,
положениях и других организационно-распорядительных
документах.

Ход выполнения практической работы:

1. Распределите в таблицу 1 перечисленные
функции и обязанности в соответствии
с занимаемыми должностями или структурными
подразделениями.

Таблица 1 –Распределение функций по
защите информации

Функции руководства предприятия	Функции службы защиты информации	Функции специальных комиссий	Обязанности пользователей защищаемой информации	Обязанности руководителей структурных подразделений предприятия, использующих информацию ограниченного доступа

Перечень функций по защите информации:

• обоснование необходимости отнесения
к государственной тайне сведений,
полученных (разработанных) на предприятии;

• передача в собственность государства
сведений, составляющих государственную
тайну, полученных (разработанных) на
предприятии;

• знать основы законодательства,
устанавливающего ответственность
(гражданскую, административную, уголовную)
за разглашение информации ограниченного
доступа или утрату ее носителей,

• ведение учета осведомленности
работников в информации ограниченного
доступа;

• участие в обеспечении пропускного
режима, охраны предприятия и режимных
территорий, контроле несения службы
охраной;

• получение разрешения на передачу
сведений, составляющих государственную
тайну, в другие организации, с санкции
органа государственной власти, в
распоряжении которого находятся
сведения;

• создание условий по защите сведений,
составляющих государственную тайну,
полученных от других организаций;

• знать правила обращения, разработки,
учета, хранения уничтожения носителей
информации ограниченного доступа;

• организация и ведение учета носителей
информации ограниченного доступа;

• контроль наличия лицензий на проведение
работ, связанных с использованием
сведений, составляющих государственную
тайну, у организаций, по отношению к
которым предприятие является заказчиком
работ;

• обеспечение защиты государственной
тайны при изменении функций, формы
собственности, ликвидации предприятия
или прекращении работ, связанных с
использованием сведений, составляющих
государственную тайну;

• контроль соблюдения установленного
порядка работы с носителями информации
ограниченного доступа.

• отнесении сведений к различным видам
информации ограниченного доступа,
определении степени ее конфиденциальности;

• ответственность за организацию защиты
государственной тайны;

• создание структурных подразделений
защиты государственной тайны;

• проведение инструктажа работников,
допущенных к информации ограниченного
доступа, контроль знания ими требований
нормативных документов по режиму
обеспечения ее сохранности;

• участие в определении эффективности
инженерно-технических средств охраны
и разработке предложений по их
совершенствованию;

• принятие решения о допуске подчиненных
лиц к государственной тайне;

• принятие решения об отказе в допуске
к государственной тайне подчиненным
лицам ;

• участвовать в определении круга
сотрудников подразделения, допускаемых
к документам и работам, содержащим
информацию ограниченного доступа;

• участвовать в работе комиссий по
проверке наличия и уничтожения документов,
содержащих информацию ограниченного
доступа.

• обязанность и право прекращения
допуска к государственной тайне
подчиненных лиц в установленных
законодательством случаях;

• организация доступа должностных лиц
и сотрудников предприятия к государственной
тайне и персональная ответственность
за создание таких условий, при которых
они могут ознакомиться только со
сведениями, необходимыми для выполнения
должностных обязанностей;

• контроль разработки и осуществление
мероприятий по защите информации
ограниченного доступа;

• осуществление мероприятий, обеспечивающих
доступ к информации ограниченного
доступа только тех работников, которым
она необходима для выполнения должностных
обязанностей;

• получение лицензии на допуск к
проведению работ, связанных с использованием
сведений, составляющих государственную
тайну, и прохождение государственной
аттестации.

• размножать (тиражировать, копировать)
носители информации ограниченного
доступа только в порядке, установленном
соответствующими правилами и инструкциями,
с использованием разрешенных для этого
средств и с разрешения уполномоченных
лип; своевременно передавать вновь
размноженные носители информации
ограниченного доступа в подразделения,
ведущие их учет;

• персональная ответственность за
подбор лиц, допускаемых к государственной
тайне ;

• контроль за соответствием формы
допуска фактической степени секретности
сведений, с которыми ознакамливаются
работники;

• организация проведения профилактической
работы с работниками предприятия по
соблюдению режима обеспечения сохранности
информации ограниченного доступа;

• разработка перечней должностей
работников, подлежащих допуску к
информации ограниченного доступа;

• своевременно информировать службу
защиты информации или непосредственных
начальников о замеченных нарушениях
режима обеспечения зашиты информации
ограниченного доступа, допущенных
другими работниками, о неисправностях
технических средств или других событиях,
могущих привести к разглашению информации
ограниченного доступа;

• определение перечня должностей
сотрудников, подлежащих оформлению на
допуск к государственной тайне;

• прекращение допуска к государственной
тайне в установленных случаях;

• анализ деятельности предприятия по
защите информации ограниченного доступа,
выявление возможных каналов ее утечки
и подготовка предложений по их закрытию;

• учет и анализ нарушений режима
обеспечения сохранности информации
ограниченного доступа;

• организации методического обеспечения
и проведения аналитической работы по
предупреждению несанкционированного
Распространения информации ограниченного
доступа;

• передавать информацию ограниченного
доступа другим сотрудникам предприятия
только в порядке, установленном
соответствующими инструкциями и с
разрешения полномочных должностных
лиц;

• допуск к секретным сведениям без
проведения проверочных мероприятий, в
том числе руководителей организаций,
в отношении которых предприятие является
заказчиком;

• организация планирования, разработки
и проведения мероприятий по защите
информации ограниченного доступа при
проведении работ с ее носителями;

• координация деятельности структурных
подразделений предприятия по вопросам
защиты информации ограниченного доступа,
контроль выполнения ими нормативных
документов по защите такой информации;

• персональная ответственность за
обеспечение режима секретности
допущенными к секретным сведениям
лицами, не достигшими 16-летнего возраста;

• обеспечение разграничения доступа
к государственной тайне при приеме
командированных лиц.

• производить работы с носителями
информации ограниченного доступа только
в предназначенных для этого помещениях,
с соблюдением мер по защите ее
конфиденциальности, установленных
соответствующими правилами и инструкциями;

• разработке, создании, испытаниях
объектов информатизации и производстве
продукции, содержащей информацию
ограниченного доступа;

• участие в работе по отнесению сведений
к различным категориям информации
ограниченного доступа, разработке
перечней такой информации,
нормативно-методических документов по
обеспечению ее защиты;

• участие в проведении служебных
расследований в случае утраты либо
хищения носителей информации ограниченного
доступа, других нарушений режима
обеспечения сохранности такой информации,
а также по фактам ее разглашения;

• не использовать информацию ограниченного
доступа в целях, не связанных с выполнением
должностных обязанностей, не сообщать
ее посторонним, при обращении в другие
организации и учреждения, средства
массовой информации и т.п.;

• не вести переговоры по незащищенным
техническим средствам связи и
телекоммуникации, связанные с обсуждением
информации ограниченного доступа.

• устанавливать и поддерживать строгий
порядок в обращении с информацией
ограниченного доступа;

• обеспечивать правильное определение
степени конфиденциальности информации
ограниченного доступа, своевременное
уничтожение утративших практическую
надобность документов (носителей
информации ограниченного доступа);

• разработке нормативных, научно-технических
и методических документов по вопросам
выявления и закрытия возможных каналов
утечки информации ограниченного доступа,
технической защите информации,
совершенствованию физической защиты
объектов;

• пересылать (передавать) носители
информации ограниченного доступа
контрагентам предприятия и их сотрудникам
только в порядке, определенном
соответствующими правилами и инструкциями,
с разрешения уполномоченных должностных
лиц;

• не выносить за пределы предприятия
носители информации ограниченного
доступа без разрешения уполномоченных
должностных лиц;

• осуществлять контроль исполнения
требований регламентирующих документов
по защите информации ограниченного
доступа;

• постоянно изучать и анализировать
все стороны деятельности подразделения
с целью принятия эффективных мер закрытия
возможных каналов утечки информации
ограниченного доступа в процессах
разработки, обращения, хранения и
рассылки документов, содержащих
информацию с учетом решаемых подразделением
задач, условий обстановки и реальных
возможностей;

• обеспечению охраны объекта, организации
пропускного и внутриобъектового режимов,
выборе средств автоматизации этих
процессов;

• знать и неукоснительно выполнять
требования организационно-распорядительных
документов предприятия по защите
информации ограниченного доступа;

• рассмотрении проектов договоров и
технических заданий на проведение
работ, конструкторской, технологической
и отчетной документации по ним с целью
определения достаточности мероприятий
по обеспечению режима сохранности
информации ограниченного доступа,
используемой при проведении работ;

• принимать меры дисциплинарного
воздействия к лицам, допускающим
нарушения требований по защите информации
ограниченного доступа;

• доводить до подчиненных требования
регламентирующих документов по защите
информации ограниченного доступа;

• знать содержание перечней информации
ограниченного доступа, к которой имеет
отношение в силу служебных обязанностей;
уметь правильно определять наличие и
степень конфиденциальности информации
ограниченного доступа, используемой
им при выполнении должностных обязанностей;
своевременно проставлять установленные
нормативными правовыми документами
отличительные реквизиты на ее носителях;

• определять сотрудникам подразделения
их задачи и обязанности по защите
информации ограниченного доступа;

• требовать от сотрудников подразделения
обеспечивать сохранность информации
ограниченного доступа и принимать меры
по предотвращению случаев ее разглашения;

• рассмотрение вопроса о величине
ущерба в случае разглашения информации
ограниченного доступа, возможности
снятия ограничений на распространение
информации ограниченного доступа и др.

• своевременно сдавать не нужные для
дальнейшей работы носители информации
ограниченного доступа в подразделения,
ведущие их учет;

• знать требования руководящих и
нормативных документов, Регламентирующих
вопросы обеспечения режима обеспечения
Защиты информации ограниченного доступа;

• знать фактическое состояние дел по
обеспечению защиты информации
ограниченного доступа в своем подразделении
и организовывать постоянную работу по
выявлению возможных каналов ее утечки
и их закрытию;

• черновики, перепечатанные и испорченные
листы документов, содержащих информацию
ограниченного доступа, сдавать для
уничтожения в подразделения, ведущие
учет таких документов;

Практическая работа № 10 Внутренние нормативные и методические документы по защите информации

Задачи практической работы:

– Изучить материал по содержанию
комплекта внутренних нормативных и
методических документов по защите
информации;

Теоретический материал

На
основе концепции защиты информации
(концепции безопасности предприятия),
законодательства и иных нормативных
документов в информационной области с
учетом уставных положений и специфики
деятельности предприятия определяется
и разрабатывается комплект
внутренних нормативных и методических
документов, как
правило, включающий:

перечни
сведений, подлежащих защите на
предприятии;
документы,
регламентирующие порядок обращения
сотрудников предприятия с информацией,
подлежащей защите;
положения
об управлениях и отделах (разделы по
ЗИ);
документы
по предотвращению несанкционированного
доступа к информационным ресурсам
и АС;
документы,
регламентирующие порядок взаимодействия
предприятия со сторонними организациями
по вопросам, связанным с обменом
информацией;
документы,
регламентирующие пропускной и
внутриобъектовый режим;
документы,
регламентирующие порядок эксплуатации
автоматизированных систем предприятия;
документы,
регламентирующие действия должностных
лиц и персонала предприятия в условиях
чрезвычайных ситуаций, обеспечения
бесперебойной работы и восстановления;
планы
защиты автоматизированных систем
предприятия;
документы,
регламентирующие порядок разработки,
испытания и сдачи в эксплуатацию
программных средств;
документы,
регламентирующие порядок закупки
программных и аппаратных средств (в
т.ч. средств защиты информации);
документы,
регламентирующие порядок эксплуатации
технических средств связи и
телекоммуникации.

«Инструкция
по обеспечению защиты информации от
несанкционированного доступа»
содержит:

определение
целей, задач защиты информации в АС и
основных путей их достижения
(решения);
требования
по организации и проведению работ по
защите информации в АС;
описание
применяемых мер и средств защиты
информации от рассматриваемых угроз,
общих требований к настройкам применяемых
средств защиты информации от НСД;
распределение
ответственности за реализацию
«Инструкции…» между должностными
лицами и структурными подразделениями
организации.

«Положение
о категорировании ресурсов АС» содержит:

формулировку
целей введения классификации ресурсов
(АРМ, задач, информации, каналов передачи)
по степеням (категориям) защищенности;
предложения
по числу и названиям категорий защищаемых
ресурсов и критериям классификации
ресурсов по требуемым степеням
защищенности (категориям);
определение
мер и средств защиты информации,
обязательных и рекомендуемых к применению
на АРМ различных категорий;

образец
формуляра ЭВМ (для учета требуемой
степени защищенности (категории),
комплектации, конфигурации и перечня
решаемых на ЭВМ задач);
образец
формуляра решаемых на ЭВМ АС функциональных
задач (для учета их характеристик,
категорий пользователей задач и их
прав доступа к информационным ресурсам
данных задач).

«Порядок
обращения с информацией, подлежащей
защите», содержит:

определение
основных видов защищаемых сведений
(информационных ресурсов);
общие
вопросы организации учета, хранения и
уничтожения документов и магнитных
носителей ИОД;
порядок
передачи (предоставления) ИОД третьим
лицам;
определение
ответственности за нарушение установленных
правил обращения с защищаемой информацией;
форму
типового «Соглашения (обязательства)
сотрудника организации о соблюдении
требований обращения с защищаемой
информацией».

«План
обеспечения непрерывной работы и
восстановления» включает:

общие
положения (назначение документа);
классификацию
возможных (значимых) кризисных ситуаций
и указание источников получения
информации о возникновении кризисной
ситуации;
перечень
основных мер и средств обеспечения
непрерывности процесса функционирования
АС и своевременности восстановления
ее работоспособности;
общие
требования к подсистеме обеспечения
непрерывной работы и восстановления;
типовые
формы для планирования резервирования
ресурсов подсистем АС и определения
конкретных мер и средств обеспечения
их непрерывной работы и восстановления;
порядок
действий и обязанности персонала по
обеспечению непрерывной работы и
восстановлению работоспособности
системы.

«Положение
об отделе технической защиты информации»
содержит:

общие
положения, руководство отделом;
основные
задачи и функции отдела;
права
и обязанности начальника и сотрудников
отдела, ответственность;

• организационно-штатную
структуру отдела. «Обязанности
администратора информационной
безопасности подразделения» содержат:

• основные
права и обязанности по поддержанию
требуемого режима безопасности;

• ответственность
за реализацию принятой политики
безопасности в пределах своей
компетенции.

«Памятка
пользователю АС предприятия» определяет
общие обязанности сотрудников
подразделений при работе со средствами
АС и ответственность за нарушение
установленных порядков.

«Инструкция
по внесению изменений в списки
пользователей» определяет
процедуру регистрации, предоставления
или изменения прав доступа пользователей
к ресурсам АС.

«Инструкция
по модификации технических и программных
средств» регламентирует
взаимодействие подразделений предприятия
по обеспечению безопасности информации
при проведении модификаций программного
обеспечения и технического обслуживания
средств вычислительной техники;

«Инструкция
по организации парольной защиты»
регламентирует
организационно-техническое обеспечение
процессов генерации, смены и прекращения
действия паролей (удаления учетных
записей пользователей) в автоматизированной
системе предприятия, а также контроль
за действиями пользователей и
обслуживающего персонала системы
при работе с паролями.

«Инструкция
по организации антивирусной защиты»
содержит:

требования
к закупке, установке антивирусного
программного обеспечения;
порядок
использования средств антивирусной
защиты, регламенты проведения
проверок и действия персонала при
обнаружении вирусов;
распределение
ответственности за организацию и
проведение антивирусного контроля.

Перечень
внутренних организационно-распорядительных
документов для объекта ВТ:

техническое
задание на СЗИ объекта информатизации;
технический
паспорт объекта вычислительной техники;

• схема
размещения основных и вспомогательных
средств и систем, устройств защиты и
схема прокладки систем электропитания
и заземления объекта информатизации в
помещении;

• схема
контролируемой зоны предприятия;

инструкция
по защите сведений, отнесенных к
государственной тайне, при обработке
на средствах ВТ;
приказ
«Об организации обработки информации,
содержащей ГТ, на объекте ВТ»;
перечень
лиц, которым разрешен доступ к обработке
информации на АРМ;
инструкция
пользователя СВТ;
положение
об администраторе безопасности;
положение
о пропускном и внутриобъектовом режиме;

руководство
по защите информации;
технологическая
схема обработки ИОД на АРМ;
перечень
задач, выполняемых на АРМ;
паспорта
задач, выполняемых на АРМ;
акт
категорирования объекта ВТ;
заключение
и предписание на эксплуатацию ПЭВМ по
результатам проведения спецпроверки;
протокол
специальных исследований АРМ на базе
ПЭВМ;
заключение
по результатам оценки защищенности
объекта ВТ;
предписание
на эксплуатацию объекта ВТ;
документы,
подтверждающие освоение учебных
программ должностными лицами и
специалистами по ЗИ.

Практическая работа № 11 Подготовка мероприятий по защите информации в условиях чрезвычайной ситуации

Задачи практической работы:

– Повторить теоретический материал по
управлению комплексной системой защиты
информации в условиях чрезвычайных
ситуаций;

– Изучить документы по планированию
мероприятий защиты информации в условиях
ЧС;

– Заполнить таблицы по определению
ответственных за мероприятия по защите
информации в условиях ЧС.

Теоретический материал

Управление комплексной системой
защиты информации в условиях чрезвычайных
ситуаций

Понятие и основные виды чрезвычайных
ситуаций

Чрезвычайная ситуация — это обстановка
на определенной территории, сложившаяся
в результате аварии, опасного природного
явлении, катастрофы, стихийного или
иного бедствия, которые могут повлечь
или повлекли за собой человеческие
жертвы, ущерб здоровью людей или
окружающей природной среде, значительные
материальные потери и нарушение условий
жизнедеятельности людей.

В соответствии с нормативно-правовыми
документами в Российской Федерации
принята следующая классификация ЧС:

по источникам происхождения — природного
или техногенного характера;
по масштабам, в зависимости от количества
пострадавших, размеров материального
ущерба или границ распространения
поражающих факторов ЧС — локальные,
местные, территориальные, региональные,
федеральные и трансграничные.

При подготовке внутренних нормативных
документов предприятия по вопросам
ликвидации ЧС необходимо также учитывать
требование законодательства о том, что
ликвидация ЧС осуществляется силами
и средствами предприятий, учреждений
и организаций независимо от их
организационно-правовой формы, органов
местного самоуправления, органов
исполнительной власти субъектов
Российской Федерации, на территориях
которых сложилась ЧС, под руководством
соответствующих комиссий по чрезвычайным
ситуациям:

ликвидация локальной ЧС осуществляется
силами и средствами организации;
ликвидация местной ЧС осуществляется
силами и средствами органов местного
самоуправления;
ликвидация территориальной ЧС
осуществляется силами и средствами
органов исполнительной власти субъекта
Российской Федерации;
ликвидация региональной и федеральной
ЧС осуществляется силами и средствами
органов исполнительной власти субъект
Российской Федерации, оказавшихся в
зоне ЧС.

При недостаточности собственных сил и
средств для ликвидации локальной,
местной, территориальной, региональной
и федеральной ЧС соответствующие
комиссии по ЧС могут обращаться за
помощью к вышестоящим комиссиям по ЧС.

Хотелось отметить особую опасность ЧС,
возникших в результате террористических
акций и различного рола действий
криминального характера.

Технология принятия решений в условиях
ЧС

Управление мероприятиями по предупреждению
и ликвидации ЧС включает:

организацию и осуществление мероприятий
по поддержанию готовности предприятия
к действиям в ЧС;
изучение, анализ и оценку потенциально
опасных объектов и прогнозирование
возможной обстановки на них;
принятие решений на ликвидацию ЧС,
возникших на объектах предприятия;
постановку задач подчиненным должностным
лицам, органам управления и
подразделениям (силам) на ликвидацию
ЧС;
планирование и организацию подразделений
(сил) при возникновении ЧС;
организацию и поддержание взаимодействия;
организацию и выполнение мероприятий
по всестороннему обеспечению подразделений
(сил), задействованных в ликвидации
ЧС и ее последствий;
организацию системы управления при
ликвидации ЧС;
организацию выполнения поставленных
задач в ходе ликвидации ЧС.

При возникновении ЧС управление
осуществляется, как правило, через
специально создаваемую оперативную
группу (штаб), состав которой определяется
в зависимости от места возникновения,
масштаба и характера ЧС. Оперативная
группа (штаб) создаются заблаговременно.
В её состав, как правило, включаются:

руководитель предприятия и его
заместители:
руководители основных производственных
подразделений;
руководители (ответственные представители)
службы безопасности, отдела кадров,
отдела по установлению контактов с
общественностью, финансового отдела.

Оперативная группа (штаб) не только
предпринимает меры в случае возникновения
ЧС, но занимается также разработкой
мероприятий по их предупреждению.

Цель планирования действий в условиях
ЧС заключается в минимизации отрицательных
последствий независимо от их характера
и масштаба.

Факторы, влияющие на принятие решений
в условиях ЧС

Анализ источников ЧС и физической
природы их проявления позволяет сделать
вывод, что основными факторами, влияющими
на адекватность принимаемых решений
условиям реально складывающейся
обстановки, вызванной чрезвычайной
ситуацией, будут:

неопределенность. связанная со сложностью
сбора и обработки информации в
условиях воздействия источников ЧС, с
возможными повреждениями линий и
аппаратуры связи, нанесением ущерба
или уничтожением автоматизированных
систем управления, комплексным
проявлением негативных воздействий
источников ЧС (природные источники
ЧС рано или поздно «запускают в
действие» техногенные и т.п.);
ограниченность во времени, связанная
с необходимостью принятия решений
в сжатые сроки, высокой скоростью
изменения обстановки, фактором
наличия инициативы на стороне «противника»
(независимо от формы его проявления —
наводнение или криминальная группа),
необходимостью сработать «на опережение»;
физио-психологическое состояние лиц,
принимающих решения и их исполнителей,
вызванное неблагоприятным воздействием
источников чрезвычайных ситуаций
(страх, голод, холод, жара и т.п.).

Подготовка мероприятий на случай
возникновения ЧС

Очевидно, что сглаживание воздействия
перечисленных ранее и других неблагоприятных
факторов возможно исключительно за
счет заблаговременного планирования
(с максимально возможной детализацией,
по всем наиболее вероятным вариантам),
подготовки материально-технического
обеспечения, обучения и грс ниш а
персонала (на заключительном лапе
обучения — путем про ведения учений в
условиях, близких к чрезвычайным
ситуациям).

Относительно зашиты информации такое
планирование должно предусматривать:

меры по защите наиболее важных и ценных
носителей информации, потеря которых
может привести к значительному ущербу
(как в плане потери конфиденциальности,
так и в отношении ущерба производственным
процессам); к таким мерам относятся
назначение ответственных за организацию
сохранности; категорирование носителей
информации по степени важности и их
маркирование; заблаговременная
подготовка тары, средств транспортировки,
мест эвакуации и лиц, ответственных за
охрану;
подробные инструкции каждому работнику,
определяющие перечень и последовательность
его действий (ранжированные с учетом
приоритетов), места нахождения
используемых средств, взаимодействие
с другими работниками и т.д.;
создание резервных копий информации,
потеря которой может привести к
срыву производственных процессов или
восстановление которой требует
значительных затрат;
заблаговременное распределение
обязанностей и ответственности
работников за сохранность носителей
информации при возникновении ЧС;
материально-техническое обеспечение
мероприятий, имена, адреса и номера
телефонов сотрудников, справочную
информацию о взаимодействующих
правоохранительных органах,
вспомогательную информацию (маршруты
перевозок, карты, адреса, и т.д.).

Планирование мероприятий, проведение
тренировок должны осуществляться исходя
из того, что при минимальных затратах
от них свести к минимуму последствия
ЧС.

В качестве одного из примеров и вариантов
планирования предлагаем рассмотреть
«Примерную инструкцию о порядке работы
государственных архивов при чрезвычайных
ситуациях», утвержденную приказом
Росархива от 28 марта 2001 г. № 24.

ФЕДЕРАЛЬНАЯ АРХИВНАЯ СЛУЖБА РОССИИ

ПРИКАЗ от 28 марта 2001 г. Ns 24

о введении в действие «Примерной
инструкции о порядке работы государственных
архивов при чрезвычайных ситуациях»

В целях совершенствования работы
государственных архивов в условиях
режима чрезвычайных ситуаций (ЧС) и
ликвидации их последствий приказываю:

Утвердить и ввести в действие согласованную
с Министерством Российской Федерации
по делам гражданской обороны, чрезвычайным
ситуациям и ликвидации последствий
стихийных бедствий «Примерную инструкцию
о порядке работы государственных архивов
при чрезвычайных ситуациях»
(прилагается).

Возложить на директоров федеральных
государственных архивов — руководителей
объектов и председателей комиссий по
чрезвычайным ситуациям объектов
ответственность за принятие необходимых
решений и действия при введении
режима ЧС и ликвидации се последствий.

Директорам федеральных государственных
архивов обеспечить внедрение Примерной
инструкции, организовав уточнение в
соответствии с се требованиями имеющихся
организационно-методических документов
о порядке действий архивов при чрезвычайных
ситуациях различного характера, а
также изучение положений Инструкции в
системе повышения квалификации
кадров.

Рекомендовать руководителям органов
управления архивным делом субъектов
Российской Федерации организовать
внедрение Примерной инструкции на
основе разработки комплекса
организационно-методических документов
о порядке действий государственных
архивов при чрезвычайных ситуациях
различного характера, изучение се
положений в системе повышения квалификации
кадров.

Отделу обеспечения сохранности и
государственного учета архивных
документов (Ф.И.О.) совместно с режимным
отделом Объединения по эксплуатации
и техническому обслуживанию федеральных
архивов (Ф.И.О.) и начальником штаба по
делам гражданской обороны и чрезвычайных
ситуаций Росархива (Ф.И.О.) оказать помощь
в организации внедрения Примерной
инструкции.

Приказ Росархива от 13.05.94 № 42 «Об
утверждении «Инструкции о порядке
работы федеральных архивов, центров
хранения документов при чрезвычайных
обстоятельствах считать утратившим
силу.

Контроль за исполнением настоящего
Приказа возложить на заместителя
Руководителя Росархива (Ф.И.О.).

Руководитель Росархива (Ф.И.О.)

Примерная инструкция о порядке работы государственных архивов при чрезвычайных ситуациях

Настоящая Примерная инструкция определяет
порядок подготовки и действий на случай
чрезвычайных ситуаций (ЧС) в государственных
архивах, центрах хранения документации
(далее — архив) в целях предупреждения
их возникновения и развития, снижения
размеров ущерба и потерь, ликвидации
последствии ЧС. Инструкция подготовлена
в соответствии с Федеральными законами
от 21.12.1994 г. N? 68-ФЗ «О защите населения и
территорий от чрезвычайных ситуаций
природного и техногенного характера»
и от 21.12.1994 г. № 69-ФЗ «О пожарной
безопасности», Постановлениями
Правительства Российской Федерации от
05.11.1995 г. № 1113 «О единой государственной
системе предупреждения и ликвидации
чрезвычайных ситуаций», от 03.08.1996 г. №
924 «О силах и средствах единой
государственной системы предупреждения
и ликвидации чрезвычайных ситуаций»,
от 05.01.2000 г. № 14-1 «Об утверждении Положения
о защите в военное время документов
Архивного фонда Российской Федерации,
хранящихся в федеральных государственных
архивах» и другими правовыми и нормативными
актами в области зашиты населения и
территорий от чрезвычайных ситуаций.

Чрезвычайные ситуации

Чрезвычайными ситуациями в деятельности
архивов являются такие обстоятельства,
при которых невозможно выполнение в
полном объеме возложенных на архив
задач в соответствии с требованиями
нормативных документов, создастся
угроза жизни и здоровью персонала и
посетителей, сохранности документов
Архивного фонда Российской Федерации.

К основным причинам возникновения
чрезвычайных ситуаций на архивных
объектах могут относиться:

Объявление в государстве (регионе,
республике, крае, области, городе, районе)
режима чрезвычайного положения.

Пожар или бедствия природного и
техногенного характера.

Аварии систем жизнеобеспечения архива,
а также здания архива.

Проникновение в архив посторонних лиц
или другие противоправные действия,
повлекшие кражу или порчу архивных
документов, имущества.

Отказ от обслуживания архива милицейской,
противопожарной или другой
вневедомственной охраной.

Забастовка или иные действия, связанные
с отказом от выполнения служебных
обязанностей части работников архива.

Другие обстоятельства, вынуждающие
руководство архива принять решение
о приостановке деятельности архива.

Обязанности архивов в области зашиты
персонала, посетителей и архивных
объектов от чрезвычайных ситуаций

Планирование и осуществление необходимых
мер в области зашиты персонала,
посетителей и архивных объектов от
чрезвычайных ситуаций.

Планирование и проведение мероприятий
по повышению устойчивости
функционирования архивных объектов.

Обеспечение создания, подготовки и
поддержания в готовности сил и средств
по предупреждению и ликвидации
чрезвычайных ситуаций, обучение
работников архива способам защиты и
действиям в чрезвычайных ситуациях.

Поддержание в постоянной готовности
технических средств оповещения о
чрезвычайных ситуациях.

Организация и обеспечение проведения
аварийно-спасательных и других неотложных
работ в случае чрезвычайных ситуаций.

Создание резервов материальных ресурсов
для ликвидации чрезвычайных ситуаций.

Предоставление в установленном порядке
информации в области зашиты персонала,
посетителей и архивных объектов от
чрезвычайных ситуаций, а также оповещение
вышестоящего органа управления архивным
делом и работников архива об угрозе
возникновения или о возникновении
чрезвычайных ситуаций.

Принятие решения о наступлении
чрезвычайных ситуаций

При наступлении чрезвычайных ситуаций
руководство архива немедленно (по
телефону, телеграфу, факсу или лично)
сообщает об этом руководству вышестоящего
органа управления архивным делом.

Решение о наступлении чрезвычайных
ситуаций принимается директором архива
(или лицом, его замещающим) по согласованию
с руководством вышестоящего органа
управления архивным делом в соответствии
с п. 1.2 настоящей Примерной инструкции.

Переход на работу в режиме чрезвычайных
ситуаций оформляется приказом
директора архива.

В случае необходимости приостановить
деятельность архива при наступлении
чрезвычайных обстоятельств, указанных
в п. 5, 6. 7. 8 настоящей Примерной
инструкции, директор архива издает
приказ, в соответствии с которым
работники, не связанные с обеспечением
функционирования систем жизнедеятельности,
освобождаются от работы до особого
распоряжения с сохранением заработной
платы в соответствии со ст. 94 КЗоТ
Российской Федерации.

Работники, занятые охраной здания
архива, обеспечением его пожарной
безопасности, контролем за работой
систем жизнедеятельности, ответственные
за сохранность документов, обязаны
выполнять свои функции в соответствии
с установленным для них приказом
директора архива режимом.

При прекращении чрезвычайных обстоятельств
по приказу директора архива его
работники должны возвратиться на свои
рабочие места и приступить к исполнению
должностных обязанностей.

Подготовка к чрезвычайным ситуациям

Каждый архив обязан иметь утвержденные
директором планы мероприятий, другие
документы (положения, инструкции, памятки
и др.; далее — планы мероприятий) на
случай возможных чрезвычайных ситуаций
различного характера (прил. I). Планы
мероприятий предусматривают конкретные
как превентивные (по предупреждению и
подготовке) действия, так и меры по
ликвидации последствий чрезвычайных
ситуаций, а также определяют
ответственных должностных лиц, необходимые
силы и средства.

К разработке планов мероприятий
привлекаются соответствующие
специалисты в области строительства
сооружений и их технической эксплуатации,
пожарного дела, вневедомственной охраны,
гражданской обороны и т.п.

Мероприятия, направленные на предупреждение
чрезвычайных ситуаций, а также на
максимально возможное снижение размеров
ушер- 6а и потерь п случае их возникновения,
проводятся заблаговременно. Объем и
содержание указанных мероприятий
определяются исходя из возможностей
имеющихся сил и средств и их использования
на основе принципов необходимой
достаточности.

Меры по защите архивных документов при
чрезвычайных ситуациях осуществляются
с учетом их ценности и потенциальной
долговечности

Независимо от характера возможной
чрезвычайной ситуации в планах мероприятий
заблаговременно предусматриваются
следующие превентивные меры:

усиление технической устойчивости
архивных объектов, реализация
требовании пожарной безопасности и
охранного режима, поддержание в
нормативном состоянии систем
жизнеобеспечения зданий;
определение состава и объема документов
в зависимости от их ценности
(уникальные, особо ценные, пенные),
маркировка дел и их размещение в
местах, наиболее удобных для эвакуации;
подготовка расчетов материальных и
людских ресурсов, необходимых для
выполнения мероприятий по защите
документов;
определение в соответствии с нормативами
видов и количества медикаментов,
необходимых для аптечки первой
медицинской помощи;
определение объема и видов тары
(количество мешков, контейнеров, вес
и т.п.), необходимых для упаковки
документов, подлежащих перемещению в
целях спасения при чрезвычайных
ситуациях;
определение видов и количества
оборудования, упаковочного материала
(мешки, шпагат, бумага оберточная,
брезентовые и деревянные лотки, веревка
крепежная, синтетическая пленка или
брезент для укрытия документов и
т.п.), необходимых для выполнения
мероприятий по защите документов;
приобретение необходимого упаковочного
материала, а также других средств,
необходимых для выполнения мероприятий
по защите персонала, посетителей и
документов (медикаменты, средства связи
и оповещения. противопожарный
инвентарь, электрические фонари и
т.п.);
решение с соответствующими службами
вопросов закрепления за архивом мест
для укрытия документов, транспорта,
необходимого для их перемещения;
организация формирований, необходимых
для выполнения мероприятий по защите
персонала, посетителей и документов;
проведение обучения работников архива
действиям при чрезвычайных ситуациях.

Обязательным элементом планов мероприятий
является перечень практических действий
работников, предпринимаемых сразу же
при возникновении чрезвычайной
ситуации (прил. 2, 3).

Превентивные меры, предусмотренные
планами мероприятий, включаются в
годовые планы работы архивов с
соответствующим финансовым. техническим
и кадровым обеспечением.

Работники архива, ответственные за
выполнение конкретных мероприятий,
систематически проходят специальную
подготовку и переподготовку (обучение,
инструктаж и др.).

Для реализации задач, определенных п.
2 настоящей Примерной инструкции, в
архиве создается комиссия по чрезвычайным
ситуациям.

Порядок работы архива при объявлении
в государстве (регионе, республике,
крае, области, городе, районе) режима
чрезвычайною положения

При объявлении чрезвычайного положения
приказом директора вводится особый
режим работы архива, который предусматривает
меры по усилению безопасности архивных
объектов, защите персонала, посетителей
и документов.

Меры по обеспечению безопасности
архивных объектов включают:

Усиление противопожарной безопасности
и охраны объектов жизнеобеспечения
деятельности архива путем привлечения
его работников для дежурства на этих
объектах.

Круглосуточное дежурство руководящих
работников архива, членов комиссии по
ЧС, эвакокомиссии и других формирований
на период действия чрезвычайного
положения.

Оформление и получение документов,
разрешающих передвижение работников
архива, примеченных к работе на период
действия комендантского часа, а также
закрепленного за архивом автотранспорта,
необходимого для оперативного решения
служебных вопросов вне рабочего
времени.

Отмену всех местных и других командировок,
не связанных с оперативным решением
служебных вопросов по обеспечению
жизнедеятельности архива.

В целях организации зашиты персонала,
посетителей и документов выполняются
следующие мероприятия:

Приведение в готовность средств связи
и оповещения.

Дооборудование мест зашиты персонала,
посетителей и документов, не подлежащих
эвакуации.

Оборудование для работников, переведенных
на круглосуточный режим работы, мест
отдыха.

Упаковка документов и подготовка их к
перемещению.

Проведение аварийно-спасательных работ
в случае возникновения опасности
для документов.

Организация своевременного прибытия
автотранспорта для транспортировки
документов в соответствии с графиком
и утвержденными маршрутами. Обеспечение
автотранспорта необходимым количеством
огнетушителей и другого противопожарного
инвентаря, а также охраной.

Погрузка (разгрузка) документов и их
транспортировка (перемещение) к
местам зашиты.

Обеспечение своевременного информирования
вышестоящих организаций и штабов ГО
согласно табелю срочных донесений.

Объявление о прекращении действия
особого режима производится приказом
директора архива.

Порядок работы архива при пожаре или
бедствии природного и техногенного
характера

6.1. При возникновении в здании архива
возгорания любого масштаба каждый
работник, обнаруживший возгорание,
прежде всего, сообщает о нем по телефону
в пожарную службу, затем членам
добровольной пожарной дружины (ДПД)
и руководству архива и до прибытия
пожарных или членов ДПД принимает меры
к локализации и тушению пожара подручными
средствами.

Конкретные действия по борьбе с пожаром,
спасению персонала, посетителей, архивных
документов и имущества определяются
специальной инструкцией, разрабатываемой
в каждом архиве с учетом его специфики.

Непосредственное руководство тушением
пожара осуществляется прибывшим на
пожар руководителем тушения пожара.
Указания руководителя тушения пожара
обязательны для исполнения всеми
должностными лицами архива, в котором
осуществляются боевые действия по
тушению пожара.

Должностные лица архива обязаны оказывать
содействие пожарной охране при
тушении пожара, установлении причин и
условии его возникновения и развития,
а также при выявлении лиц, виновных в
нарушении требований пожарной безопасности
и возникновении пожара.

В случае внезапных бедствий природного
и техногенного характера действия
должностных лиц аналогичны действиям
при пожаре и определяются соответствующими
документами.

В случае получения извещения о
приближающемся стихийном бедствии или
нахождении архива в зоне стихийного
бедствия директор архива принимает
меры по обеспечению безопасности
работников архива, освобождая их от
работы и направляя в укрытия, убежища
или другие места, обеспечивающие
сохранение им жизни и здоровья. Свои
служебные обязанности выполняют
лишь те сотрудники, присутствие которых
необходимо в сложившейся ситуации и
заранее определено в соответствующих
документах.

Порядок работы архива при авариях систем
жизнеобеспечения, а также здания архива

При аварии систем жизнеобеспечения
архива: отопления, энергоснабжения,
канализации, водопровода немедленно
извещается руководство архива и
соответствующие аварийные службы.

Если при аварии пострадали архивные
документы, то немедленно организуется
проведение аварийно-спасательных
мероприятий и принимаются меры по
защите документов.

Если при аварии создается ситуация,
связанная с угрозой жизни или здоровью
работников архива, директор вправе
принять решение о временном переводе
работников на другую работу (ст. 26 КЗоТ
Российской Федерации) или временном
освобождении от работы до ликвидации
аварии или на иной период тех работников,
присутствие которых не требуется для
ликвидации аварии, поддержания
функционирования систем жизнедеятельности
архива и обеспечения сохранности
документов.

При длительном отключении систем
жизнеобеспечения архива, которое привело
к ситуациям, аналогичным названным в
п. 8.2, 8.3, принимаются меры, предусмотренные
этими пунктами.

Порядок работы архива в случае
проникновения в него посторонних
лиц или других противоправных действий,
повлекших хищение или порчу архивных
документов, имущества

8.1. При обнаружении факта проникновения
в архив посторонних людей немедленно
извещается руководство архива и
территориальное отделение милиции. До
прибытия представителей милиции
принимаются меры по задержанию
посторонних. Допуск любых лиц к месту
проникновения в архив не разрешается,
за исключением специалистов технических
служб в случаях, требующих их экстренного
вмешательства: возгорание, повреждение
коммуникаций и т.п.

В соответствии с заключением работников
милиция, других специалистов
руководство архива может установить
на определенный период ограничительный
режим допуска работников архива и других
лиц к месту проникновения в архив или
обнаруженных повреждений.

При обнаружении факта проникновения
посторонних лиц в архивохранилище
руководство архива вправе прекрати»
любую работу с документами в этом
архивохранилище до завершения следственных
действий и проверки наличия дел.

9. Порядок работы при отказе от обслуживания
архива милицейской, противопожарной
или другой вневедомственной охраной

9.1. При отказе охраны архива выполнять
свои функции руководство архива
незамедлительно принимает меры по
охране архива силами его работников.

9.2 В соответствии с приказом директора
работники архива обязаны принимать
участие в его охране по утвержденному
графику и на основе ст. 26 КЗоТ.

При организации охраны исходят из
расчета 4 человека на I пост (сутки
дежурства, трое суток отдыха).

При осуществлении охраны архива силами
его работников все входы в архив, кроме
основного, закрываются, опечатываются
и используются только при крайней
необходимости с разрешения директора
или назначенного им ответственного за
охрану архива дежурного.

Послe завершения рабочего дня охрана
архива передается ответственным за
охрану на пульт охраны. Дежурство на
пульте охранной сигнализации архива
осуществляется круглосуточно работниками
архива по утвержденному приказом
директора графику.

Ответственный за охрану архива перед
сдачей его на пульт охраны осматривает
состояние всех дверей, печатей на них,
состояние окон, пожарных лестниц и
входов с них в помещение архива. В случае
обнаружения каких-либо нарушений о
них информируется директор архива и
делается запись в специальном журнале.

Открытие дверей архива возможно только
ответственным за охрану или директором
после предварительного осмотра их
состояния и снятия с пульта охраны. При
обнаружении каких-либо нарушений
состояния дверей, запоров, печатей,
повреждении окон ответственный за
охрану до открытия архива извещает о
нарушениях директора архива и составляет
вместе с ним акт о нарушениях, а также
делает соответствующую запись в
специальном журнале. О выявленных фактах
нарушений информируется территориальное
отделение милиции.

На время отказа охраны архива выполнять
свои функции прекращается работа
читальных залов и допуск в архив
посетителей.

При отказе от обслуживания архива
пожарными военизированными
формированиями функции контроля за
противопожарной безопасностью архива
передаются приказом директора архива
добровольной пожарной дружине.

Деятельность добровольной пожарной
дружины регламентируется положением
о ней (см. Правила пожарной безопасности
для государственных архивов. ППБ-0-145-1986.
–М.. 1988). Под наблюдение и под ответственность
каждого участника добровольной пожарной
дружины передается строго определенный
участок в архиве.

Руководство архива обеспечивает
взаимодействие с сотрудниками
территориального отделения милиции и
пожарной охраны.

10. Порядок работы архива при забастовках
или иных действиях, связанных с
отказом от выполнения своих служебных
обязанностей части работников архива

При забастовках или иных действиях,
связанных с отказом от выполнения своих
служебных обязанностей части работников,
руководство архива перераспределяет
обязанности между продолжающими
работать сотрудниками так. чтобы в
первую очередь гарантировать деятельность
жизнеобеспечивающих систем и сохранность
документов.

Работа по другим направлениям деятельности
осуществляется при наличии сотрудников,
не занятых выполнением функций, указанных
в п. 10.1.

Дирекция архива, трудовой коллектив и
забастовочный комитет обязаны при любом
числе участвующих в забастовке обеспечить
жизнедеятельность архива, сохранность
документов и имущества.

ПРИЛОЖЕНИЕ 1

ПРИМЕРНЫЙ ПЕРЕЧЕНЬ

организационно-методических документов,
подлежащих подготовке в соответствии
с Примерной инструкцией о порядке работы
государственных архивов при чрезвычайных
ситуациях

Проекты приказов директора архива:

о переходе на работу в режиме чрезвычайной
ситуации;
о прекращении работы в режиме чрезвычайной
ситуации.

Планы мероприятий, положения, инструкции
на случай чрезвычайных ситуаций
различного характера в соответствии с
п. 6. 7. 8. 9. 10 Примерной инструкции, в том
числе:

Инструкция по противопожарной
безопасности.
Инструкция по организации охраны архива
в случае снятия вневедомственной
охраны, включающая схемы размещения
постов охраны силами работников архива.
Положение о добровольной пожарной
дружине (пожарно-технической комиссии,
посте пожарной охраны).
Расчеты материальных и людских ресурсов,
необходимых для выполнения мероприятий
по защите персонала и документов.
Схемы эвакуации персонала и документов.

ПРИЛОЖЕНИЕ 2

ПЕРЕЧЕНЬ

практических действий работников при
чрезвычайных ситуациях

N» п/п	Наименование мероприятий	Ответственный за проведение	Необходимое количество человек	Примечание
1	Вызвать соответствующие службы (пожарную охрану, полицию, аварийные службы и т.п.)	Работник, первым обнаруживший ЧС
2	Сообщить руководству архива	Работник, первым обнаруживший ЧС
3	Принять решение о наступлении чрезвычайной ситуации	Директор
4	Доложить вышестоящему руководству	Директор
5	Издать приказ о переходе на работу в режиме чрезвычайной ситуаций	Директор
6	Усилить охрану объекта	Директор	Определить
7	Ввести в действие формирования, силы и средства по ликвидации ЧС	Директор, КЧС, руководители формирований	Определить
8	При ЧС, угрожающих жизни и здоровью людей, принимаются меры по их защите (направление в укрытия, убежища или другие места, выдача средств индивидуальной защиты и т. п.)	Директор. КЧС, эвакокомиссия и другие формирования	Определить
9	Перераспределить обязанности сотрудников в целях обеспечения деятельности жизнеобеспечивающих систем и сохранности документов	Директор, руководители структурных подразделений	Определить
10	Издать приказ о прекращении работы в режиме чрезвычайных ситуаций	Директор

ПРИЛОЖЕНИЕ 3

СПИСОК ТЕЛЕФОНОВ ЭКСТРЕННОЙ ПОМОЩИ

Наименование службы	Номер телефона
Пожарная служба
Полиция
Скорая помощь
Служба спасения
Аварийная служба
Коммунальная служба
Телефонная служба
Санэпилнадзор
Ответственный дежурный по Росархиву

СПИСОК ТЕЛЕФОНОВ ДЕЖУРНЫХ СПЕЦИАЛИСТОВ

Наименование службы

Номер телефона

Электрик

Водопроводчик

Слесарь

Плотник

Лифтер

Уборщица

Ход выполнения практической работы:

1. Изучите теоретический материал и
примеры документов по организации
мероприятий защиты информации в условиях
ЧС

2. Заполните таблицы приложений 2 и 3 в
соответствии с приведенными примерами
для заданных объектов защиты в практической
работе №1..

Аттестационно-педагогические измерительные материалы

по дисциплине «Эксплуатация комплексной
системы защиты информации»

для специальности 090108 «Информационная
безопасность»

ВВЕДЕНИЕ

АПИМ по дисциплине «Эксплуатация
комплексной системы защиты информации»
для специальности ФГОУ СПО «ЖГМК» 090108
«Информационная безопасность» разработаны
для использования в процедурах
самообследования и аккредитации колледжа
с целью оценки уровня подготовки
студентов, завершивших изучение данной
дисциплины. Уровень сложности заданий
и их содержание полностью соответствует
требованиям ГОС по дисциплине «Эксплуатация
комплексной системы защиты информации».

1. Апим (тест) по дисциплине «Эксплуатация комплексной системы защиты информации» для специальности 090108 «Информационная безопасность»

Назначение: итоговый контроль знаний

Время выполнения: 60 мин.

Количество заданий: 50

Тип заданий: закрытый

1.1 Выписка из гос спо специальности 090108 «Информационная безопасность» по дисциплине «Эксплуатация комплексной системы защиты информации»

СД.ДС.05.

Сущность и задачи комплексной системы
защиты информации (КСЗИ); принципы
организации КСЗИ; факторы, влияющие на
организацию КСЗИ; состав защищаемой
информации; объекты защиты; анализ и
оценка угроз безопасности информации;
выявление и оценка источников, способов
и результатов дестабилизирующего
воздействия на информацию; определение
потенциальных каналов и методов
несанкционированного доступа к защищаемой
информации; определение возможностей
несанкционированного доступа к защищаемой
информации; определение компонентов
КСЗИ; определение условий функционирования
КСЗИ; разработка модели КСЗИ; технологическое
и организационное построение КСЗИ;
кадровое обеспечение функционирования
КСЗИ; материально-техническое и
нормативно-методическое обеспечение
функционирования КСЗИ; назначение,
структура и содержание управления КСЗИ;
принципы и методы планирования
функционирования КСЗИ; обеспечение
надежности КСЗИ; контроль, обслуживание
и диагностика элементов КСЗИ; управление
КСЗИ в условиях чрезвычайных ситуаций.

1.2 Дидактические единицы (де) дисциплины «Эксплуатация комплексной системы защиты информации»

Сущность и задачи комплексной системы
защиты информации (КСЗИ); принципы
организации КСЗИ; факторы, влияющие на
организацию КСЗИ;
Состав защищаемой информации; объекты
защиты;
Угрозы безопасности информации;
источники, способы и результаты
дестабилизирующего воздействия на
информацию;
Каналы и методы несанкционированного
доступа к защищаемой информации;
определение возможностей несанкционированного
доступа к защищаемой информации;
Компоненты КСЗИ; условия функционирования
КСЗИ; модели КСЗИ; методы построения
КСЗИ;
Кадровое, материально-техническое и
нормативно-методическое обеспечение
функционирования КСЗИ;
Назначение, структура и содержание
управления КСЗИ; принципы и методы
планирования функционирования КСЗИ;
обеспечение надежности КСЗИ; контроль,
обслуживание и диагностика элементов
КСЗИ;
Управление КСЗИ в условиях чрезвычайных
ситуаций.

1.3 Форма тестовых заданий

Тест состоит из закрытых заданий, в
которых правильные ответы предъявляются
студенту:

– для выбора одного правильного ответа
из нескольких предложенных;

– для выбора нескольких правильных
ответов (более одного) из нескольких
предложенных.

Вопросы и варианты ответов задаются
автоматизированный информационной
системой в случайном порядке.

1.4 Алгоритм проверки результатов
тестирования:

Алгоритм проверки:

— за правильный ответ тестируемый
получает 1 балл;

— за неправильный ответ тестируемый
получает 0 баллов.

Максимально возможное количество баллов
по результатам тестирования: 50

1.5 Характеристика заданий

Все предлагаемые задания в тестах по
дисциплине «Эксплуатация комплексной
системы защиты информации» 2 уровня
сложности (решение типовой задачи –
известное сочетание типовых действий);
время решения в минутах каждого из них
равно примерно 1-2 минутам.

1.6 Критерии оценки результатов
тестирования

Критерием освоения раздела дисциплины
составляет 60-70% выполненных заданий из
группы заданий одинаковой трудности
для каждого раздела дисциплины. Критерием
выполнения требований государственного
образовательного стандарта является
100 % освоение дидактических единиц
(разделов) не менее чем 50% тестируемых
(т.е. не менее 50% студентов получают зачет
по всем разделам АПИМ).

1.7 Структура АПИМ по дисциплине
«Эксплуатация комплексной системы
защиты информации» и соответствие
содержательной структуры теста
требованиям ГОС СПО
специальности 090108
«Информационная безопасность»

№	ДЕ ГОС	№	Наименование элемента содержания (темы)	Перечень КУЭ	Тестовые задания
1	2	3	4	5	6
1.	Сущность и задачи КСЗИ. Принципы организации КСЗИ. Факторы, влияющие на организацию КСЗИ.	1.1	Введение. Понятие комплексной системы защиты информации. Назначение комплексной системы защиты информации.	иметь представление: – о месте комплексных систем защиты информации в деятельности современных предприятий; знать: – определение объекта информатизации; – основные особенности современного предприятия; – сущность КСЗИ; – цель создания системы защиты информации.	1 – 8
1.2	Подходы к проектированию систем защиты информации.	знать: – основные проблемы реализации систем защиты; – понятие комплексного (системного) подхода к построению систем;	9 – 16
1.3	Принципы построения комплексной системы защиты информации.	знать: – принципы построения КСЗИ.	17 – 24
1.4	Стратегии защиты информации.	знать: – виды стратегий используемых в области защиты информации	25 – 27
1.5	Выработка политики безопасности	знать: – понятие политики безопасности; – виды политик безопасности и их характеристики.	28 – 37
1.6	Основные требования, предъявляемые к комплексной системе защиты информации	знать: – основные требования, предъявляемые к комплексной системе защиты информации.	38 – 42

1	2	3	4	5	6
2.	Состав защищаемой информации. Объекты защиты.	2.1	Методика определения состава защищаемой информации	знать: – понятия конфиденциальной и открытой информации; – критерии отнесения информации к защищаемой.	43 – 49
2.2	Классификация информации по видам тайны и степеням конфиденциальности	знать: – классификацию информации по видам тайн и степеням конфиденциальности; – понятие государственной тайны; – понятие коммерческой тайны; – характеристики носителей защищаемой информации; – рубежи защиты носителей информации;	50 – 56
2.3	Определение объектов защиты	знать: – понятие объекта защиты; уметь: – составлять общую характеристику организации или структурного подразделения; – составлять общую характеристику АС организации или структурного подразделения; – определять объекты защиты АС организации или структурного подразделения.	57 – 63
3.	Угрозы безопасности информации. Источники, способы и результаты дестабилизирующего воздействия на информацию	3.1	Анализ и оценка угроз безопасности информации.	знать: – понятие и структуру угроз защищаемой информации; – классификацию угроз защищаемой информации; уметь: – классифицировать угрозы защищаемой информации;	64 – 69
3.2	Выявление и оценка источников дестабилизирующего воздействия на информацию.	знать: – виды дестабилизирующего воздействия на информацию; – характеристики источников дестабилизирующего воздействия на информацию;	70 – 76
3.3	Определение причин и условий дестабилизирующего воздействия на информацию.	знать: – причины, вызывающие преднамеренное дестабилизирующее воздействие; – условия и обстоятельства реализации преднамеренного дестабилизирующего воздействия; уметь: – определять причины, условия и обстоятельства реализации преднамеренного дестабилизирующего воздействия на объекты защиты.	77 – 82
4.	Каналы и методы несанкционированного доступа к защищаемой информации. Определение возможностей несанкционированного доступа к защищаемой информации.	4.1	Определение потенциальных каналов и методов несанкционированного доступа к информации	знать: – понятие несанкционированного доступа к защищаемой информации и виды НСД; – каналы НСД к конфиденциальной информации и их характеристики; уметь: – определять каналы НСД к конфиденциальной информации АС организации или структурного подразделения; – выполнять описание модели угроз АС организации или структурного подразделения;	83 – 102
4.2	Деловая разведка как канал получения информации	знать: – задачи деловой разведки; – методы ведения деловой разведки;	103 – 109
4.3	Модель потенциального нарушителя	знать: – методы, используемые злоумышленниками при осуществлении НСД по определенным каналам; – классификации нарушителей; уметь: – выполнять описание модели потенциального нарушителя.	110 – 119
5.	Компоненты КСЗИ. Условия функционирования КСЗИ. Модели КСЗИ. Методы построения КСЗИ.	5.1	Понятие модели объекта. Значение моделирования процессов КСЗИ.	знать: – понятие модели объекта; – классификации моделей; – задачи моделирования; – требования, предъявляемые к моделям;	120 – 132
5.2	Архитектурное построение комплексной системы защиты информации.	знать: – структуру архитектуры КСЗИ; уметь: – анализировать совокупность моделей, отражающих общую организацию, состав компонентов КСЗИ и топологию их взаимодействия.	133 – 139
5.3	Общее содержание работ технологического построения КСЗИ. Этапы разработки.	знать: – понятие организационной системы; – технологические этапы разработки КСЗИ; – принципы создания и функционирования КСЗИ;	140 – 148
5.4	Факторы, влияющие на выбор состава КСЗИ	знать: – факторы, влияющие на выбор состава КСЗИ;	149 – 154
5.5	Механизмы обеспечения безопасности информации	знать: – понятия идентификации и аутентификации; – принципы разграничения доступа; – алгоритм регистрации и алгоритма; – принципы использования криптографической подсистемы; – принципы межсетевого экранирования.	155 – 178
6.	Кадровое, материально-техническое и нормативно-методическое обеспечение функционирования КСЗИ.	6.1	Подбор персонала. Подготовка персонала для работы в условиях эксплуатации КСЗИ. Мотивация.	знать: – причины нарушения информационной безопасности сотрудниками предприятий; – методы изучения личности сотрудника; – виды адаптации человека на производстве; – методы и средства повышения мотивации; – основные направления работы с персоналом в плане защиты информации ограниченного доступа; уметь: – анализировать кодексы корпоративного поведения и распределять функции по ЗИ.	179 – 184
6.2	Значение и состав материально-технического обеспечения.	знать: – состав материально-технического обеспечения КСЗИ организации; – основные направления реализации материально-технического обеспечения КСЗИ организации.	185 – 189
6.3	Значение и состав нормативно-методического обеспечения.	знать: – состав нормативно-методического обеспечения КСЗИ организации; уметь: – анализировать федеральные законы в области защиты информации по вопросам материально-технического и нормативно-методического обеспечения КСЗИ.	190 – 196
6.4	Порядок разработки и внедрения документов.	знать: – порядок разработки и внедрения нормативно-методических документов; – основания для засекречивания и рассекречивания информации; – ответственные государственные органы; – действия по защите и обработке конфиденциальных документов;	197 – 201
7.	Назначение, структура и содержание управления КСЗИ. Принципы и методы планирования функционирования КСЗИ. Обеспечение надежности КСЗИ. Контроль, обслуживание и диагностика элементов КСЗИ.	7.1	Понятие и цели управления.	знать: – проблемы управления КСЗИ предприятия; – цели и задачи, функции управления КСЗИ предприятия;	202 – 213
7.2	Планирование функционирования КСЗИ. Обеспечение надежности КСЗИ.	знать: – этапы, способы планирования функционирования КСЗИ;	214 – 220
7.3	Контроль обслуживания и диагностика элементов КСЗИ.	знать: – цели, задачи, стадии, организационные меры контроля работы КСЗИ; уметь: – выполнять анализ фактического состояния работы КСЗИ с заданным режимом, обстановкой и оценивать характер допущенных отклонений и недоработок; – разрабатывать мероприятия по улучшению и корректировке процесса управления и принятие мер по их реализации.	221 – 230
8.	Управление КСЗИ в условиях чрезвычайных ситуаций.	8.1	Понятие и виды чрезвычайных ситуаций.	знать: – понятие и виды чрезвычайных ситуаций в работе КСЗИ;	231 – 236
8.2	Технология принятия решения в условиях чрезвычайной ситуации.	знать: – режимы функционирования системы управления ЧС; – технологию принятия решения в условиях ЧС;	237 – 243
8.3	Подготовка мероприятий на случай возникновения чрезвычайной ситуации.	уметь: – моделировать проведение мероприятий по ЗИ в условиях чрезвычайной ситуации.	244 – 247
9.	Понятия и определения по защите информации, используемые в ходе обучения	9.1	Понятия и определения по защите информации, используемые в ходе обучения	знать: – понятия и определения по защите информации	248 – 274

2 Тестовые задания

№ вопроса	Вопросы	№ ответа	Ответы	Признак правильности ответа
	Объект информатизации — …	а)	это единая информационная система, охватывающая в целом предприятие, учреждение, организацию	Да
б)	информационные ресурсы, средства и системы обработки информации, средства обеспечения объекта информатизации, помещения и объекты, предназначенные для ведения конфиденциальных переговоров	Да
в)	элемент организационной структуры, обеспечивающий поддержание режима информационной деятельности, реализацию программы ЗИ, целей деятельности
	Современное предприятие -…	а)	большое количество разнородных компонентов, объединенных в сложную систему для выполнения поставленных целей.	Да
б)	элемент организационной структуры, обеспечивающий поддержание режима информационной деятельности, реализацию программы ЗИ, целей деятельности
в)	сложная организационная структура с многоаспектностью функционирования, в рамках которой осуществляется защита информации.	Да
	Что не относится к особенностям современного предприятия?	а)	всевозрастающий удельный вес бумажной технологии обработки информации	Да
б)	широкие связи с окружающей средой
в)	высокая техническая оснащенность
	Что не относится к особенностям современного предприятия?	а)	сложная организационная структура
б)	необходимость ограничения доступа к информации	Да
в)	многоаспектность функционирования
	Этапы развития СЗИ:	а)	на основе вакуумных ламп, на основе транзисторов, на основе интегральных схем
б)	использование традиционных технологий, использование ЭВМ первых поколений, массовое использование ПК и средств ВТ	Да
в)	верны оба варианта ответа
	КСЗИ создаются с целью защиты от…	а)	организационных, криптографических, программно-аппаратных, инженерно-технических средств совершения нарушений
б)	от злоумышленников, от некомпетентных пользователей, от нештатных ситуаций технического характера	Да
в)	от искусственных (преднамеренных и непреднамеренных) и от естественных угроз	Да
	Главная цель создания системы ЗИ – …	а)	конфиденциальность системы ЗИ
б)	целостность системы ЗИ
в)	надежность системы ЗИ	Да
	КСЗИ — …	а)	система, полно и всесторонне охватывающая все предметы, процессы и факторы, которые обеспечивают безопасность всей защищаемой информации.
б)	это организованная совокупность объектов и субъектов ЗИ, используемых методов и средств защиты, а также осуществляемых защитных мероприятий
в)	верны оба варианта ответа	Да
	Проблема создания КСЗИ заключается в том, что:	а)	нельзя создать абсолютно надежную систему, полностью не ограничив доступ к информации	Да
б)	система ЗИ не является основной целью современного предприятия
в)	многообразие производственных связей не позволяют создать КСЗИ
	Системность целевая — …	а)	предлагает взаимоувязанное решение всех вопросов защиты на всех компонентах предприятия
б)	защищенность информации рассматривается как основная часть общего понятия качества информации	Да
в)	означает непрерывность работ по ЗИ, осуществляемых в соответствии планам
	Системность пространственная — …	а)	означает единство организации всех работ по ЗИ и управления ими
б)	означает непрерывность работ по ЗИ, осуществляемых в соответствии планам
в)	предлагает взаимоувязанное решение всех вопросов защиты на всех компонентах предприятия	Да
	Системность временная — …	а)	означает непрерывность работ по ЗИ, осуществляемых в соответствии планам	Да
б)	защищенность информации рассматривается как основная часть общего понятия качества информации
в)	означает единство организации всех работ по ЗИ и управления ими
	Системность организационная — …	а)	предлагает взаимоувязанное решение всех вопросов защиты на всех компонентах предприятия
б)	означает единство организации всех работ по ЗИ и управления ими	Да
в)	означает непрерывность работ по ЗИ, осуществляемых в соответствии планам
	Комплексный (системный) подход к построению любой системы не включает:	а)	изучение объекта внедряемой системы; оценку угроз безопасности объекта; анализ средств, которые обеспечивают создание и функционирование системы
б)	оценку экономической целесообразности
в)	изучение самой системы, ее свойств, принципов работы и возможность увеличения ее эффективности; соотношение всех внутренних и внешних факторов
г)	исключение дополнительных изменений в процессе построения системы; частичную организацию всего процесса	Да
	Комплексный (системный) подход не рекомендует приступать к созданию системы до тех пор, пока не определены следующие ее компоненты:	а)	Входные элементы (виды угроз безопасности, возможные на данном объекте) и ресурсы (например, материальные затраты, энергопотребление, допустимые размеры и т. д.), которые обеспечивают создание и функционирование системы	Да
б)	Окружающая среда создаваемой системы.	Да
в)	Сотрудники предприятия
г)	Цели, функции и критерии эффективности создаваемой системы	Да
д)	Конкретные средства и механизмы создаваемой КСЗИ
	Что необходимо делать на всех этапах создания КСЗИ?	а)	обучать персонал требованиям ЗИ	Да
б)	уточнять требования к СЗИ	Да
в)	осуществлять контроль функционирования СЗИ
	Принцип законности — …	а)	предполагает априорное опережающее заблаговременное принятие мер по защите до начала разработки или получения информации
б)	заключается в соответствии принимаемых мер законодательству РФ о защите информации	Да
в)	защите подлежит не только информация, составляющая государственную, коммерческую или служебную тайну, но и та часть несекретной информации, утрата кото¬рой может нанести ущерб ее собственнику либо владельцу
	Принцип полноты ЗИ — …	а)	предполагает априорное опережающее заблаговременное принятие мер по защите до начала разработки или получения информации
б)	заключается в соответствии принимаемых мер законодательству РФ о защите информации
в)	защите подлежит не только информация, составляющая государственную, коммерческую или служебную тайну, но и та часть несекретной информации, утрата кото¬рой может нанести ущерб ее собственнику либо владельцу	Да
	Принцип обоснованности ЗИ — …	а)	заключается в установлении путем экспертной оценки целесообразности защиты информации, вероятных экономических и других последствий такой защиты исходя из баланса жизненно важных интересов государства, общества и граждан	Да
б)	заключается в соответствии принимаемых мер законодательству РФ о защите информации
в)	предполагает априорное опережающее заблаговременное принятие мер по защите до начала разработки или получения информации
	Принцип создания специализированных подразделений по ЗИ — …	а)	каждое лицо персонально отвечает за сохранность и неразглашение вверенной ему защищаемой информации
б)	ЗИ является служебной обязанностью каждого лица, имеющего по роду выполняемой работы отношение к защищаемой информации
в)	такие подразделения являются непременным условием организации КСЗИ, поскольку только спецслужбы способны должным образом разрабатывать и внедрять защитные мероприятия и осуществлять контроль за их выполнением
	Принцип участия в ЗИ всех соприкасающихся с ней лиц — …	а)	каждое лицо персонально отвечает за сохранность и неразглашение вверенной ему защищаемой информации
б)	ЗИ является служебной обязанностью каждого лица, имеющего по роду выполняемой работы отношение к защищаемой информации	Да
в)	такие подразделения являются непременным условием организации КСЗИ, поскольку только спецслужбы способны должным образом разрабатывать и внедрять защитные мероприятия и осуществлять контроль за их выполнением
	Принцип персональной ответственности за ЗИ — …	а)	каждое лицо персонально отвечает за сохранность и неразглашение вверенной ему защищаемой информации	Да
б)	ЗИ является служебной обязанностью каждого лица, имеющего по роду выполняемой работы отношение к защищаемой информации
в)	такие подразделения являются непременным условием организации КСЗИ, поскольку только спецслужбы способны должным образом разрабатывать и внедрять защитные мероприятия и осуществлять контроль за их выполнением
	Принцип наличия и использования всех необходимых сил и СЗИ — …	а)	такие подразделения являются непременным условием организации КСЗИ, поскольку только спецслужбы способны должным образом разрабатывать и внедрять защитные мероприятия и осуществлять контроль за их выполнением
б)	защите подлежит не только информация, составляющая государственную, коммерческую или служебную тайну, но и та часть несекретной информации, утрата кото¬рой может нанести ущерб ее собственнику либо владельцу
в)	КСЗИ требует участия в ней руководства предприятия, спецслужбы ЗИ, всех исполнителей, работающих с защищаемой информацией, использования различных организационных форм, методов и средств ЗИ.	Да
	Принцип превентивности принимаемых мер по ЗИ — …	а)	предполагает априорное опережающее заблаговременное принятие мер по защите до начала разработки или получения информации	Да
б)	заключается в соответствии принимаемых мер законодательству РФ о защите информации
в)	защите подлежит не только информация, составляющая государственную, коммерческую или служебную тайну, но и та часть несекретной информации, утрата которой может нанести ущерб ее собственнику либо владельцу
	Оборонительная стратегия защиты — …	а)	защита от всего множества потенциально возможных угроз, при осуществлении которой в архитектуре информационно-управляющей системы и технологии ее функционирования должны учитываться условия, продиктованные потребностями защиты
б)	создание информационной среды, в которой угрозы информации не имели бы условий для проявления.
в)	защита от уже известных угроз, осуществляемая автономно, т. е. без оказания существенного влияния на информационно-управляющую систему	Да
	Наступательная стратегия защиты — …	а)	защита от всего множества потенциально возможных угроз, при осуществлении которой в архитектуре информационно-управляющей системы и технологии ее функционирования должны учитываться условия, продиктованные потребностями защиты	Да
б)	создание информационной среды, в которой угрозы информации не имели бы условий для проявления.
в)	защита от уже известных угроз, осуществляемая автономно, т. е. без оказания существенного влияния на информационно-управляющую систему
	Упреждающая стратегия защиты — …	а)	защита от всего множества потенциально возможных угроз, при осуществлении которой в архитектуре информационно-управляющей системы и технологии ее функционирования должны учитываться условия, продиктованные потребностями защиты
б)	создание информационной среды, в которой угрозы информации не имели бы условий для проявления.	Да
в)	защита от уже известных угроз, осуществляемая автономно, т. е. без оказания существенного влияния на информационно-управляющую систему
	Политика безопасности — это…	а)	контрмеры, предпринимаемые для снижения рисков и уменьшения уязвимостей
б)	программное и/или аппаратное средство, которое определяет и/или предотвращает атаку
в)	правила, директивы и практические навыки, которые определяют то, как информационные ценности обрабатываются и защищаются в организации	Да
	Избирательная политика безопасности подразумевает, что…	а)	права доступа субъекта к объекту системы определяются на основании некоторого внешнего правила (свойство избирательности)	Да
б)	каждому объекту системы присвоена метка критичности, определяющая ценность содержащейся в нем информации
в)	доступ осуществляется в соответствии с категорированием защищаемой информации
	Для чего в первую очередь создается система разграничения доступа к информации…	а)	для осуществления НСДИ
б)	для защиты информации от НСД	Да
в)	определения максимального уровня конфиденциальности документа
	Полномочная политика безопасности основывается на…	а)	многоуровневой модели защиты	Да
б)	использование матриц доступа
в)	криптографическом преобразовании
	Недостаток избирательной политики безопасности (матричное управление доступом)…	а)	сложность иерархических подчинений
б)	необходимость использования дополнительных программных или аппаратно-программных средств
в)	из-за большого количества субъектов и объектов доступа матрица доступа достигает очень больших размеров	Да
	Основу политики безопасности составляет…	а)	механизм идентификации/аутентификации
б)	система разграничения доступа	Да
в)	механизмы криптографического закрытия
	Основой избирательной политики безопасности является избирательное управление доступом, которое подразумевает, что…	а)	все субъекты и объекты системы должны быть идентифицированы; права доступа субъекта к объекту системы определяются на основании некоторого правила (свойство избирательности)	Да
б)	все субъекты и объекты системы должны быть однозначно идентифицированы; каждому объекту системы присвоена метка критичности, определяющая ценность содержащейся в нем информации; каждому субъекту системы присвоен уровень прозрачности
в)	все субъекты идентифицированы, а объекты определяют возможность доступа в зависимости от идентификатора
	Избирательное управление доступом реализует принцип…	а)	все субъекты и объекты системы должны быть идентифицированы; права доступа субъекта к объекту системы определяются на основании некоторого правила (свойство избирательности)
б)	все субъекты и объекты системы должны быть однозначно идентифицированы; каждому объекту системы присвоена метка критичности, определяющая ценность содержащейся в нем информации; каждому субъекту системы присвоен уровень прозрачности	Да
в)	все субъекты идентифицированы, а объекты определяют возможность доступа в зависимости от идентификатора
	Основу полномочной политики безопасности составляет полномочное управление доступом, которое соответствует выражению…	а)	«Не лезь, куда не просят»
б)	«Что не разрешено, то запрещено»	Да
в)	“Семь раз отмерь – один раз отрежь”
г)	«По начальнику и шапка»
	Организация меток критичности (в полномочной политике безопасности) имеет…	а)	линейную структуру
б)	иерархическую структуру	Да
в)	горизонтальную структуру
г)	дискретную структуру
	Какие основные требования предъявляются к КСЗИ?	а)	КСЗИ не должна быть всеохватывающей, необходимо защищать только конкретную информацию
б)	КСЗИ должна быть достаточно гибкой к изменению условий защиты.	Да
в)	Чем сложнее КСЗИ, тем она надежнее.
г)	КСЗИ должна быть привязана к целям и задачам защиты информации на конкретном предприятии	Да
	Обеспечение безопасности информации –…	а)	непрерывный процесс	Да
б)	дискретный процесс
в)	предполагает обоснование и реализацию наиболее рациональных путей совершенствования и развития системы защиты	Да
г)	предполагает постоянный контроль защищенности, выявлении узких мест в системе защиты,	Да
	Одним из основных условий реализации комплексной системы защиты информации является …	а)	использование на предприятиях эшелонированной защиты
б)	подготовка пользователей в области защиты информации и соблюдение ими всех правил защиты	Да
в)	применение правовых методов защиты информации
г)	отсутствии подключения к различным вычислительным сетям
	Безопасность информации в системе обработки данных может быть обеспечена лишь при…	а)	отсутствии подключения к различным вычислительным сетям
б)	отсутствии в работе системы человека
в)	комплексном использовании всего арсенала имеющихся средств защиты	Да
г)	категорировании данных по степени секретности
	Никакую систему защиты нельзя считать абсолютно надежной, так как…	а)	изначально все системы защиты ненадежны
б)	одновременно со средствами защиты создаются средства взлома этой защиты
в)	всегда может найтись злоумышленник, который найдет лазейку для доступа к информации	Да
г)	всегда в ее работе присутствует человек и человеческий фактор
	Информация – это…	а)	информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.
б)	информация или носитель информации или информационный процесс, в отношении которых необходимо обеспечивать защиту в соответствии с поставленной целью защиты информации.
в)	сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления.	Да
	Защищаемая информация – это…	а)	информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.	Да
б)	информация или носитель информации или информационный процесс, в отношении которых необходимо обеспечивать защиту в соответствии с поставленной целью защиты информации.
в)	сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления.
	Защита открытой информации производится путём…	а)	регистрации ее носителей, учета их движения и местонахождения	Да
б)	категорирования данных и документов
в)	хранения в сейфах
г)	Открытая информация не подлежит защите.
	Открытая информация подлежит защите от…	а)	разглашения
б)	утечки
в)	утраты
г)	НСД
	Основным, определяющим критерием отнесения информации к конфиденциальной и защиты ее от утечки является…	а)	необходимость информации для правового обеспечения деятельности предприятия
б)	возможность получения преимуществ от использования информации за счет неизвестности ее третьим лицам	Да
в)	важность информации как исторического источника, раскрывающего направления и особенности деятельности предприятия
	Критерии отнесения информации к защищаемой являются по существу…	а)	критериями определения конфиденциальности и целостности информации
б)	критериями защищенности информации
в)	принципами построения КСЗИ
г)	критериями определения ценности информации	Да
	Применительно к открытой информации, критерием отнесения информации к защищаемой НЕ является…	а)	необходимость информации для производственной деятельности
б)	необходимость информации для финансовой деятельности
в)	необходимость распространения рекламы продукции предприятия	Да
г)	необходимость информации как доказательного источника на случай возникновения конфликтных ситуаций
	Собственник информации —	а)	субъект, осуществляющий владение и пользование информацией и реализующий полномочия распоряжения в пределах прав, установленных законом и/или собственником информации.
б)	субъект, в полном объеме реализующий полномочия владения, пользования, распоряжения информацией в соответствии с законодательными актами.	Да
в)	физическое лицо, или материальный объект, в том числе физическое поле, в которых информация находит свое отображение в виде символов, образов, сигналов, технических решений и процессов.
	Владелец информации —	а)	субъект, осуществляющий владение и пользование информацией и реализующий полномочия распоряжения в пределах прав, установленных законом и/или собственником информации.	Да
б)	субъект, в полном объеме реализующий полномочия владения, пользования, распоряжения информацией в соответствии с законодательными актами.
в)	физическое лицо, или материальный объект, в том числе физическое поле, в которых информация находит свое отображение в виде символов, образов, сигналов, технических решений и процессов.
	Собственником информации может быть…	а)	государство или юридическое лицо
б)	группа физических лиц или отдельное физическое лицо
в)	верны оба варианта ответа	Да
	Государственная тайна —	а)	защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности РФ	Да
б)	информация, позволяющая государству при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду
в)	научно-техническая, технологическая, производственная, финансово-экономическая или иная информация (в том числе составляющая секреты производства (ноу-хау)) информация, которая имеет действительную или потенциальную ценность в силу неизвестности ее третьим лицам, к которой нет свободного доступа на законном основании и в отношении которой обладателем такой информации введен режим государственной тайны.
	Защита информации, составляющей коммерческую тайну, должна осуществляться …	а)	государством
б)	ее обладателем	Да
в)	общественными правовыми организациями
г)	любыми пользователями
	Коммерческая тайна – …	а)	защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности РФ
б)	информация, позволяющая ее собственнику при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду	Да
в)	научно-техническая, технологическая, производственная, финансово-экономическая или иная информация (в том числе составляющая секреты производства (ноу-хау)) информация, которая имеет действительную или потенциальную ценность в силу неизвестности ее третьим лицам, к которой нет свободного доступа на законном основании и в отношении которой обладателем такой информации введен режим коммерческой тайны.	Да
	Документы, относящиеся к государственной тайне могут иметь гриф:	а)	Секретно	Да
б)	Очень секретно	Да
в)	Чрезвычайно секретно
г)	Особой важности	Да
	Объект защиты – это…	а)	информация и обрабатывающие ее автоматизированные системы
б)	информация или носитель информации, или информационный процесс, или информационная система, в отношении которых необходимо обеспечивать защиту в соответствии с поставленной целью защиты информации.	Да
в)	сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления.
	Носитель информации – …	а)	субъект, осуществляющий владение и пользование информацией и реализующий полномочия распоряжения в пределах прав, установленных законом и/или собственником информации.
б)	субъект, в полном объеме реализующий полномочия владения, пользования, распоряжения информацией в соответствии с законодательными актами.
в)	физическое лицо, или материальный объект, в том числе физическое поле, в котором информация находит свое отображение в виде символов, образов, сигналов, технических решений и процессов.	Да
	В каком из носителей защищаемая информация отображается в виде технических решений?	а)	Магнитные, магнитооптические и оптические носители
б)	Технологические процессы изготовления продукции	Да
в)	Выпускаемая продукция (изделия)	Да
г)	Физические поля
	К рубежам защиты носителей защищаемой информации относятся…	а)	прилегающая к предприятию территория	Да
б)	непосредственные хранилища носителей	Да
в)	сотрудники предприятия, использующие носители информации в своей деятельности	Да
г)	здания предприятия	Да
д)	помещения, в которых расположены хранилища носителей, производится обработка носителей и осуществляется управленческо-производственная деятельность с использованием носителей	Да
	Продолжите фразу: «Чем рубежей защиты носителей защищаемой информации больше, …	а)	чем сложнее их преодолеть, тем надежнее обеспечивается защита носителей	Да
б)	тем хуже обеспечивается защита носителей
	Как носитель информации человек обладает следующими негативными чертами:	а)	без согласия субъекта-носителя защищаемой информации из его памяти, как правило, никакая информация не может быть извлечена
б)	он может просто разболтать информацию	Да
в)	он может ранжировать и потребителей защищаемой информации, т. е. знать, кому и какую информацию он может доверить
г)	он может заблуждаться в отношении истинности потребителя защищаемой информации или умышленно не сохранять доверенную ему информацию:	Да
	Как носитель информации человек обладает следующими положительными чертами:	а)	без согласия субъекта-носителя защищаемой информации из его памяти, как правило, никакая информация не может быть извлечена	Да
б)	он может просто разболтать информацию
в)	он может ранжировать и потребителей защищаемой информации, т. е. знать, кому и какую информацию он может доверить	Да
г)	он может заблуждаться в отношении истинности потребителя защищаемой информации или умышленно не сохранять доверенную ему информацию:
	Под угрозой безопасности информации в компьютерной системе (КС) понимают:	а)	возможность возникновения на каком-либо этапе жизненного цикла КС такого ее состояния, при котором создаются условия для реализации угроз безопасности информации.
б)	событие или действие, которое может вызвать изменение функционирования КС, связанное с нарушением защищенности обрабатываемой в ней информации.	Да
в)	действие, предпринимаемое нарушителем, которое заключается в поиске и использовании той или иной уязвимости
	Уязвимость информации — это:	а)	возможность возникновения на каком-либо этапе жизненного цикла КС такого ее состояния, при котором создаются условия для реализации угроз безопасности информации	Да
б)	событие или действие, которое может вызвать изменение функционирования КС, связанное с нарушением защищенности обрабатываемой в ней информации.
в)	действие, предпринимаемое нарушителем, которое заключается в поиске и использовании той или иной уязвимости
	Атака на автоматизированную систему обработки данных – это …	а)	действие, предпринимаемое нарушителем, которое заключается в поиске и использовании той или иной уязвимости	Да
б)	возможность возникновения на каком-либо этапе жизненного цикла АСОД такого ее состояния, при котором создаются условия для реализации угроз безопасности информации
в)	событие или действие, которое может вызвать изменение функционирования АСОД, связанное с нарушением защищенности обрабатываемой в ней информации
	Риск – это…	а)	вероятность тот, что конкретная атака будет осуществлена с использованием конкретной уязвимости	Да
б)	слабое место в системе, с использованием которого может быть осуществлена атака
в)	возможность возникновения на каком-либо этапе жизненного цикла АСОД такого ее состояния, при котором создаются условия для реализации угроз безопасности информации
	По отношению к информационной системе всё множество угроз можно разбить на группы:	а)	внешние и внутренние	Да
б)	умышленные и случайные	Да
в)	опасные и неопасные
г)	явные и скрытые	Да
	Искусственные угрозы исходя из их мотивов разделяются на:	а)	косвенные и непосредственные
б)	непреднамеренные и преднамеренные	Да
в)	опасные и неопасные
г)	несанкционированные и санкционированные
	Самым распространенным, многообразным и опасным источником дестабилизирующего воздействия на защищаемую информацию являются…	а)	Люди (сотрудники данного предприятия; сотрудники государственных органов разведки других стран и разведывательных служб конкурирующих отечественных и зарубежных предприятий; лица из криминальных структур, хакеры)	Да
б)	Технологические процессы отдельных категорий промышленных объектов
в)	Технические средства отображения (фиксации), хранения, обработки, воспроизведения, передачи информации, средства связи
г)	Системы обеспечения функционирования технических средств отображения, хранения, обработки, воспроизведения и передачи информации
д)	Природные явления
	К видам дестабилизирующего воздействия на защищаемую информацию со стороны источника воздействия — «Технические средства отображения, хранения, обработки, воспроизведения, передачи информации и средств связи» НЕ относятся:	а)	Вывод средств из строя
б)	Сбои в работе средств
в)	Создание электромагнитных излучений
г)	Подкуп собственника технического средства или системного администратора	Да
	Какие способы воздействия на информацию возможны со стороны людей?	а)	Непосредственное воздействие на носители защищаемой информации	Да
б)	Изменение структуры окружающей среды
в)	Создание электромагнитных излучений
г)	Несанкционированное распространение конфиденциальной информации	Да
	Какие способы воздействия на информацию НЕ возможны со стороны людей?	а)	Вывод из строя технических средств отображения, хранения, обработки, воспроизведения, передачи информации и средств связи;
б)	Нарушение режима работы технических средств отображения, хранения, обработки, воспроизведения, передачи информации и средств связи;
в)	Изменения локальной структуры магнитного поля, происходящего вследствие деятельности объектов радиоэлектроники и по изготовлению некоторых видов вооружения и военной техники.	Да
г)	Вывод из строя и нарушение режима работы систем обеспечения функционирования технических средств отображения, хранения, обработки, воспроизведения, передачи информации и средств связи;
	Какие виды дестабилизирующего воздействия приводят к уничтожению, искажению и блокированию информации?	а)	Непосредственное воздействие на носители информации	Да
б)	Несанкционированное распространение конфиденциальной информации
в)	Вывод из строя технических средств отображения, хранения, обработки, воспроизведения, передачи информации и средств связи	Да
г)	Создание электромагнитных излучений
	Какие виды дестабилизирующего воздействия НЕ приводят к уничтожению, искажению и блокированию информации?	а)	Изменение структуры окружающей среды	Да
б)	Землетрясение, наводнение, ураган, шторм, оползень, лавина, извержение вулкана
в)	Сбои в работе систем
г)	Создание электромагнитных излучений	Да
	Какие виды дестабилизирующего воздействия приводят к разглашению информации?	а)	Вывод из строя и нарушение режима работы систем обеспечения функционирования ТС
б)	Природные явления
в)	Несанкционированное распространение конфиденциальной информации	Да
г)	Сбои в работе технических средств	Да
	К причинам, вызывающим преднамеренное дестабилизирующее воздействие со стороны людей, следует отнести:	а)	халатность, безответственность, недисциплинированность, недобросовестное отношение к выполняемой работе
б)	стремление получить материальную выгоду (подзаработать)	Да
в)	стремление обезопасить себя, родных и близких от угроз, шантажа, насилия	Да
г)	стремление показать свою значимость	Да
	Причинами непреднамеренного дестабилизирующего воздействия на информацию со стороны людей могут быть:	а)	стремление нанести вред (отомстить) руководству или коллеге по работе, а иногда и государству
б)	неквалифицированное выполнение операций	Да
в)	стремление продвинуться по службе
г)	небрежность, неосторожность, неаккуратность, физическое недомогание	Да
	Обстоятельствами (предпосылками), способствующими появлению причин преднамеренного дестабилизирующего воздействия со стороны людей, могут быть:	а)	тяжелое материальное положение, финансовые затруднения	Да
б)	плохое отношение со стороны администрации
в)	склонность к развлечениям, пьянству, наркотикам	Да
г)	недовольство служебным положением, карьеризм, зависть, обида	Да
	К обстоятельствам (предпосылкам) появления причин непреднамеренного дестабилизирующего воздействия со стороны людей можно отнести:	а)	излишнюю болтливость, привычку делиться опытом, давать советы	Да
б)	перезагруженность работой, срочность ее выполнения, нарушение режима работы
в)	тщеславие, самомнение, завышенная самооценка, хвастовство
г)	низкий уровень профессиональной подготовки
	К условиям, создающим возможность для преднамеренного дестабилизирующего воздействия на информацию, можно отнести:	а)	незнание или нарушение правил работы с информацией исполнителями
б)	недостаточное внимание и контроль со стороны администрации вопросам защиты информации	Да
в)	плохие отношения между сотрудниками и сотрудников с администрацией	Да
г)	принятие решений по производственным вопросам без учета требований по защите информации	Да
	Условиями для реализации непреднамеренного дестабилизирующего воздействия на информацию могут быть:	а)	недостаточность мер, принимаемых для защиты информации, в том числе из-за недостатка ресурсов
б)	плохие отношения между сотрудниками и сотрудников с администрацией
в)	недостаточный контроль со стороны администрации за соблюдением режима конфиденциальности	Да
г)	недостаточное внимание со стороны администрации условиям работы, профилактики заболеваний, повышению квалификации	Да
	НСДИ — …	а)	доступ, не нарушающий установленные правила разграничения доступа, служащие для регламентации прав доступа субъектов к объектам доступа
б)	доступ к информации, нарушающий установленные правила разграничения доступа, с использованием штатных средств, предоставляемых СВТ или АС	Да
в)	доступ к информации из-за ошибок пользователя, сбоя АС и СВТ, а также природных явлений или иных ненаправленных на изменение информации воздействий, приводящих к искажению, уничтожению, блокированию доступа к информации или самой информации
	Для осуществления НСДИ злоумышленник не применяет…	а)	аппаратные или программные средства, не входящие в КС	Да
б)	сведения о системе защиты информации в КС
в)	знания о КС и умения работать с ней
	Для осуществления НСДИ злоумышленник применяет…	а)	сбои, отказы технических и программных средств	Да
б)	ошибки, небрежность обслуживающего персонала и пользователей	Да
в)	сведения о системе защиты информации в КС	Да
г)	аппаратные или программные средства, не входящие в КС
	Для исследования системы ЗИ злоумышленник…	а)	получает копию программного средства системы защиты или технического средства защиты, а затем производит их исследование в лабораторных условиях	Да
б)	расспрашивает о системе защиты работающих с ней сотрудников службы безопасности
в)	использует неучтенные копии на съемных носителях информации	Да
	Косвенными каналами утечки называют…	а)	каналы, связанные с физическим доступом к элементам КС
б)	каналы, не связанные с физическим доступом к элементам КС	Да
в)	вспомогательные каналы производственной деятельности
г)	каналы, связанные с изменением элементов КС и ее структуры
	Непосредственными каналами утечки называют…	а)	каналы, связанные с физическим доступом к элементам КС	Да
б)	каналы, по которым осуществляется передача защищенной информации
в)	каналы, не связанные с физическим доступом к элементам КС
г)	каналы, непосредственной передачи данных.
	Какие методы НСДИ не используются для канала «Установление контакта с лицами, имеющими или имевшими доступ к конфиденциальной информации»?	а)	принуждение к выдаче конфиденциальной информации шантажом, различного рода угрозами, применением физического насилия как к лицу, владеющему информацией, так и к его родственникам и близким
б)	метод покупки конфиденциальной информации
в)	выведывание информации под благовидным предлогом («использование собеседника втемную»)
г)	систематический сбор конфиденциальной информации с целью оказания на нее дестабилизирующего воздействия через агента	Да
	Какой метод не применяется при использования канала НСДИ «Проникновение на территорию объекта»?	а)	использование подложного, украденного или купленного (в том числе и на время) пропуска
б)	преодоление заграждающих барьеров, минуя охрану, в том числе и за счет вывода из строя технических средств охраны или проезд спрятанным в автотранспорте;
в)	систематический сбор конфиденциальной информации с целью оказания на нее дестабилизирующего воздействия через агента	Да
г)	изоляция или уничтожение охраны (в редких, чрезвычайных обстоятельствах)
	Самым распространенным и недорогим каналом НСДИ является …	а)	Установление контакта с лицами, имеющими или имевшими доступ к конфиденциальной информации
б)	Прослушивание речевой конфиденциальной информации	Да
в)	Подключение к средствам отображение, хранения, обработки, воспроизведения и передачи информации, средствам связи
г)	Перехват электромагнитных излучений	Да
	Использование методов какого канала НСДИ возможно при нарушении требований по хранению носителей конфиденциальной информации и обращению с ними?	а)	Визуальный съем конфиденциальной информации
б)	Исследование выпускаемой продукции, производственных отходов и отходов процессов обработки информации	Да
в)	Изучение доступных источников информации
г)	Перехват электромагнитных излучений
	Способ совершения компьютерного преступления «Уборка мусора» относится к…	а)	НСД к средствам компьютерной техники
б)	перехвату информации	Да
в)	манипуляции данными
	Способ совершения компьютерного преступления через снятие ПЭМИН относится к…	а)	НСД к средствам компьютерной техники
б)	перехвату информации	Да
в)	манипуляции данными
	Способ совершения компьютерного преступления «За дураком» относится к…	а)	НСД к средствам компьютерной техники	Да
б)	перехвату информации
в)	манипуляции данными
	Способ совершения компьютерного преступления через использование троянского коня относится к…	а)	НСД к средствам компьютерной техники
б)	перехвату информации
в)	манипуляции данными и управляющими командами	Да
	Замеры и взятие проб окружающей среды…	а)	относятся к каналам НСД к конфиденциальной информации	Да
б)	не относятся к каналам НСД к конфиденциальной информации
в)	обычные вспомогательные производственные действия не рассматриваемые в ИБ
	От чего зависит реальный состав каналов НСД к защищаемым объектам?	а)	от вида деятельности предприятия; возможностей конкурентов	Да
б)	от категорий носителей, способов обработки информации	Да
в)	от стоимости и современности системы защиты объектов
	Самым многообразным по методам НСД и самым опасным каналом является…	а)	установление контакта с лицами, имеющими или имевшими доступ к конфиденциальной информации	Да
б)	визуальный съем конфиденциальной информации
в)	подключение к средствам отображения, хранения, обработки, воспроизведения и передачи средствами связи
	К визуальному съему конфиденциальной информации относятся следующие методы…	а)	чтение документов (в том числе, с экранов дисплеев, с печатающих устройств) в присутствии пользователей	Да
б)	наблюдение за технологическими процессами изготовления, обработки, размножения информации	Да
в)	сбор и изучение поломанных изделий, макетов изделий, бракованных узлов, устройств, деталей
г)	чтение документов (в том числе, с экранов дисплеев, с печатающих устройств) в отсутствии пользователей	Да
д)	прослушивание речевой информации, зафиксированной на носителе.
	Относится ли к каналам НСД исследование выпускаемой продукции, отходов производства?	а)	Да	Да
б)	Нет
	Относится ли к каналам НСД информация из СМИ, рекламных акций предприятий?	а)	Да	Да
б)	Нет
	Основная задача деловой (коммерческой) разведки — …	а)	добывание достоверной разведывательной информации
б)	создание комплексной системы защиты
в)	обеспечение стратегического менеджмента фирмы, ее генеральной, в том числе маркетинговой стратегии (или стратегий).	Да
г)	обеспечение бесперебойной работы предприятия
	Пассивными методами деловой разведки являются…	а)	методы без физического доступа к компьютерным системам конкурентов
б)	работа со вторичными источниками	Да
в)	работа с первоисточниками (агентурные возможности), наблюдение, проведение разведывательных мероприятий и иными методами добывания достоверной разведывательной информации
	Активными методами деловой разведки являются…	а)	методы без физического доступа к компьютерным системам конкурентов
б)	работа со вторичными источниками
в)	работа с первоисточниками (агентурные возможности), наблюдение, проведение разведывательных мероприятий и иными методами добывания достоверной разведывательной информации	Да
	Задачи службы деловой разведки:	а)	сбор, накопление и анализ информации о конкурентах и потенциальных партнерах	Да
б)	проведение маркетинговых исследований и прогноз возможных рисков	Да
в)	ведение частной детективной и охранной деятельности
г)	осуществление шантажа, подкупа, воровства для получения информации о конкурентах
	Под деловой разведкой подразумеваются следующие направления сбора информации:	а)	Сбор данных о партнерах и клиентах для предотвращения мошенничеств с их стороны.	Да
б)	Определение потенциальных партнеров и сотрудников.	Да
в)	Выполнение услуг предусмотренных «Законом частной детективной и охранной деятельности» (поиск имущества должника и т. п.)	Да
г)	Сбор информации маркетингового характера.	Да
	В промышленном шпионаже реже используется…	а)	вербовка и внедрение агентов
б)	покупка конфиденциальной информации
в)	физическое проникновение к носителям конфиденциальной информации сотрудников разведывательных служб	Да
	При использовании метода покупки конфиденциальной информации активно ищут…	а)	руководителей предприятий или структурных подразделений, владеющей конфиденциальной информацией
б)	недовольных заработком и руководством, продвижением по службе	Да
в)	специалистов ведущих обработку конфиденциальной информации
	Нарушитель безопасности – …	а)	субъект случайно или преднамеренно совершивший действие, следствием которого является возникновение и/или реализация угроз нарушения безопасности информации.	Да
б)	субъект или объект случайно совершивший действие, следствием которого является возникновение угроз нарушения безопасности информации.
в)	субъект преднамеренно совершивший действие, следствием которого является реализация угроз нарушения безопасности информации.
	По отношению к исследуемой системе нарушители могут быть	а)	неквалифицированными или квалифицированными
б)	клиентами или конкурентами
в)	внутренними или внешними	Да
г)	совершающими преднамеренный НСДИ или непреднамеренный НСДИ
	К посторонним лицам, которые могут быть нарушителями, относятся:	а)	клиенты	Да
б)	технический персонал
в)	любые лица за пределами контролируемой территории	Да
г)	лица, случайно или умышленно нарушившие пропускной режим	Да
	Внутренним нарушителем может быть лицо из следующих категорий персонала:	а)	сотрудники службы безопасности	Да
б)	любые лица на контролируемой территории
в)	руководители различных уровней должностной иерархии	Да
г)	лица, случайно или умышленно нарушившие пропускной режим
	Действия злоумышленника могут быть вызваны следующими причинами:	а)	усталостью и психологическим дискомфортом при работе с конфиденциальной информацией	Да
б)	корыстным интересом	Да
в)	дисциплинированностью
г)	ради самоутверждения	Да
д)	безответственностью	Да
	По уровню знаний о системе нарушителей можно классифицировать следующим образом:	а)	обладает высоким уровнем знаний и опытом работы с техническими средствами системы и их обслуживания	Да
б)	любой знающий человек из сторонников противника или его контактеров, проговаривающий информацию под влиянием активных методов
в)	обладает высоким уровнем знаний в области программирования и вычислительной техники, проектирования и эксплуатации автоматизированных информационных систем	Да
г)	человек противника, контактер или любое информированное лицо, проговаривающее интересные факты в деловой, дружеской, компанейской либо интимной беседе
	Нарушитель «Эксперт» — это…	а)	человек, знающий функциональные особенности, основные закономерности формирования в системе массивов данных, умеет пользоваться штатными средствами
б)	индивид, чьи профессиональные знания и контакты (как работа, так и хобби) обеспечивают первоклассную ориентацию в разрабатываемом вопросе	Да
в)	человек из группировки противника (конкурента), завербованный и поставляющий информацию по материальным, моральным и другим причинам.
г)	человек, совершенно не рассматриваемый как потенциальный информатор, вдруг оказывающийся носителем уникальной информации.
	Нарушитель «Союзник» – это…	а)	люди, когда-либо контактировавшие с изучаемым человеком (группой, организацией)
б)	человек, совершенно не рассматриваемый как потенциальный информатор, вдруг оказывающийся носителем уникальной информации.
в)	человек, либо общественная, государственная или криминальная структура, выступающая как противник или «надзиратель» объекта	Да
г)	свой человек, тем или иным манером просочившийся в окружение объекта (человека, группы, организации)
	Нарушитель «Внутренний информатор (осведомитель)» – это…	а)	человек, знающий функциональные особенности, основные закономерности формирования в системе массивов данных, умеет пользоваться штатными средствами
б)	индивид, чьи профессиональные знания и контакты (как работа, так и хобби) обеспечивают первоклассную ориентацию в разрабатываемом вопросе
в)	человек из группировки противника (конкурента), завербованный и поставляющий информацию по материальным, моральным и другим причинам.	Да
г)	человек, совершенно не рассматриваемый как потенциальный информатор, вдруг оказывающийся носителем уникальной информации.
	По времени действия нарушителя могут осуществляться:	а)	в процессе функционирования системы	Да
б)	в период неактивности компонентов системы	Да
в)	в период утилизации компонентов системы
г)	как в процессе функционирования, так и в период неактивности компонентов системы	Да
	Моделирование — это…	а)	ассоциирование двух и более объектов
б)	замещение одного объекта (оригинала) другим (моделью) и фиксация или изучение свойств оригинала путем исследования свойств модели	Да
в)	создание точной копии объекта, с точно такими же характеристиками и свойствами, для использования в тех же целях, что и исходный объект
	Какой этап является первым в процессе моделирования функционирования КСЗИ?	а)	формальное описание процессов функционирования КСЗИ и ее взаимодействия с другими подсистемами предприятия;
б)	определение угроз безопасности информации;
в)	осуществление целеполагания для КСЗИ и ее подсистем;	Да
г)	интерпретация полученных результатов для разработки проектных решений по созданию КСЗИ
	Какой этап является последним в процессе моделирования функционирования КСЗИ?	а)	определение угроз безопасности информации;
б)	формальное описание процессов функционирования КСЗИ и ее взаимодействия с другими подсистемами предприятия;
в)	интерпретация полученных результатов для разработки проектных решений по созданию КСЗИ	Да
г)	осуществление целеполагания для КСЗИ и ее подсистем;
	Задачи моделирования КСЗИ:	а)	оптимальное или рациональное распределение механизмов безопасности между всеми мерами защиты	Да
б)	оценка технико-экономических показателей КСЗИ на различных этапах жизненного цикла	Да
в)	оценка доступности и конфиденциальности КСЗИ по результатам исследований
г)	оценка эффективности КСЗИ	Да
	Требования к моделям объектов – …	а)	модель должна быть адекватной объекту	Да
б)	модель должна быть полной	Да
в)	модель должна быть точной копией объекта
г)	модель должна поддерживать конфиденциальность, целостность и работоспособность
	Политику безопасности отображает…	а)	формальная модель	Да
б)	неформальная модель
в)	стандартная модель
г)	нестандартная модель
	Теоретические модели, описывающие различные аспекты безопасности делятся на следующие классы:	а)	модели обеспечения конфиденциальности, контроля целостности	Да
б)	модели доступа Харрисона, Руззо и Ульмана, модели Take-Grant
в)	модели информационных потоков и ролевого доступа	Да
г)	субъектно-ориентированная модель изолированной программной среды	Да
д)	модель Белла-Лападула, Биба, систем военных сообщений
	В прикладных моделях КСЗИ используют…	а)	формализацию процессов защиты информации в АС
б)	категорирование субъектов и объектов защищаемой АС	Да
в)	построение масштабируемой модели КСЗИ
г)	количественные и качественные показатели защищенности АС
	Модель управления безопасностью – …	а)	модель для определения общей стратегии защиты и возможных нештатных каналов доступа к информации, принятия решения о размещении средств защиты в них, составе и структуре системы защиты, оценки уязвимости обрабатываемой информации, стоимостных расходов на проектирование и эксплуатацию системы защиты.
б)	модель, связанныя с технологией прохождения информации через структурные компоненты системы, определяемые в предметной области моделирования как объекты системы.
в)	модель, в которой для исследования свойств и закономерностей построения систем управления используются различные кибернетические модели, которые позволяют проектировать механизмы управления, определять оптимальные алгоритмы преобразования информации для принятия решений и выработки управляющих воздействий на объекты управления.	Да
	Виды моделей КСЗИ:	а)	формальные, стандартные, нестандартные
б)	аналитические, имитационные, экспертные	Да
в)	дискретные и аналоговые
г)	системные и комплексные
	Цели построения концептуальных моделей – …	а)	определение общей стратегии защиты и возможных нештатных каналов доступа к информации, принятие решения о размещении средств защиты в них, составе и структуре системы защиты, оценка уязвимости обрабатываемой информации, стоимостных расходов на проектирование и эксплуатацию системы защиты.	Да
б)	реализация технологий прохождения информации через структурные компоненты системы, определяемые в предметной области моделирования как объекты системы.
в)	исследование свойств и закономерностей построения систем управления используются различные кибернетические модели, которые позволяют проектировать механизмы управления, определять оптимальные алгоритмы преобразования информации для принятия решений и выработки управляющих воздействий на объекты управления.
	Потоковые модели – это…	а)	модели исследования свойств и закономерностей построения систем управления, которые позволяют проектировать механизмы управления, определять оптимальные алгоритмы преобразования информации для принятия решений
б)	модели, связанные с технологией прохождения информации через структурные компоненты системы, определяемые в предметной области моделирования как объекты системы.	Да
в)	модели определения общей стратегии защиты и возможных нештатных каналов доступа к информации, принятия решения о размещении средств защиты в них, составе и структуре системы защиты, оценки уязвимости обрабатываемой информации, стоимостных расходов на проектирование и эксплуатацию системы защиты.
	Модель объекта представляет собой …	а)	точную реальную копию объекта (процесса)
б)	образ реального объекта (процесса), выраженный в материальной или идеальной форме, отражающий наиболее существенные свойства объекта и замещающий его в ходе изучения	Да
в)	материальную копию реального объекта, отражающую все свойства изучаемого объекта
г)	образ реального объекта (процесса), выраженный в идеальной форме, отражающий все свойства объекта и замещающий его в ходе изучения
	Архитектура КСЗИ включает следующие модели:	а)	кибернетическую, функциональную, информационную	Да
б)	организационную и структурную	Да
в)	формальную и неформальную
г)	концептуальную, потоковую, управления безопасностью
	Кибернетическая модель КСЗИ…	а)	отображает состав, содержание и взаимосвязи тех функций, осуществление которых достигается целью деятельности моделируемых систем
б)	отражает структуру, содержание, объем и направление циркуляции тех информационных потоков, которые необходимы для решения всех задач предприятия и КСЗИ.
в)	состав, взаимосвязь и подчиненность в управленческой иерархии подразделений, входящих в состав комплексной системы защиты информации.
г)	содержит в себе информацию о структуре, параметрах и других важных характеристиках и свойствах субъекта и объекта управления, образующих систему	Да
	Информационная модель КСЗИ…	а)	отображает состав, содержание и взаимосвязи тех функций, осуществление которых достигается целью деятельности моделируемых систем
б)	отражает структуру, содержание, объем и направление циркуляции тех информационных потоков, которые необходимы для решения всех задач предприятия и КСЗИ.	Да
в)	состав, взаимосвязь и подчиненность в управленческой иерархии подразделений, входящих в состав комплексной системы защиты информации.
г)	содержит в себе информацию о структуре, параметрах и других важных характеристиках и свойствах субъекта и объекта управления, образующих систему
	Организационная модель КСЗИ…	а)	отображает состав, содержание и взаимосвязи тех функций, осуществление которых достигается целью деятельности моделируемых систем
б)	отражает структуру, содержание, объем и направление циркуляции тех информационных потоков, которые необходимы для решения всех задач предприятия и КСЗИ.
в)	состав, взаимосвязь и подчиненность в управленческой иерархии подразделений, входящих в состав комплексной системы защиты информации.	Да
г)	содержит в себе информацию о структуре, параметрах и других важных характеристиках и свойствах субъекта и объекта управления, образующих систему
	Функциональная модель КСЗИ…	а)	отображает состав, содержание и взаимосвязи тех функций, осуществление которых достигается целью деятельности моделируемых систем	Да
б)	отражает структуру, содержание, объем и направление циркуляции тех информационных потоков, которые необходимы для решения всех задач предприятия и КСЗИ.
в)	состав, взаимосвязь и подчиненность в управленческой иерархии подразделений, входящих в состав комплексной системы защиты информации.
г)	содержит в себе информацию о структуре, параметрах и других важных характеристиках и свойствах субъекта и объекта управления, образующих систему
	Структурная модель КСЗИ…	а)	содержит в себе информацию о структуре, параметрах и других важных характеристиках и свойствах субъекта и объекта управления, образующих систему
б)	отражает содержание таких компонентов КСЗИ, как кадровый, организационно-правовой и ресурсный	Да
в)	комплекс организационно-технических мероприятий и правовых актов, являющихся основой, регулирующей функционирование основных подсистем КСЗИ
г)	отражает структуру, содержание, объем и направление циркуляции тех информационных потоков, которые необходимы для решения всех задач предприятия и КСЗИ.
	Ресурсный компонент структурной модели КСЗИ представлен основными видами обеспечения:	а)	техническое, математическое, программное	Да
б)	организационно-техническое, организационно-правовое
в)	информационное, лингвистическое	Да
	Организационной системой называется …	а)	система, структурными элементами которой являются люди, осуществляющие преобразование ресурсов этой системы	Да
б)	система, в основе которой лежит нормативно-методическая организационно-техническая документация
в)	система организации работы КСЗИ
г)	сложная многоуровневая система, состоящая из множества взаимодействующих подсистем и элементов, главным из которых являются люди	Да
	Для эффективного функционирования КСЗИ предприятия необходимо…	а)	наличие самых передовых технологий в области ЗИ
б)	наличие системы взаимосвязанных нормативно-методических и организационно-распорядительных документов	Да
в)	наличие подразделения защиты информации, наделенного необходимыми полномочиями	Да
г)	четкое распределение функций и определение порядка взаимодействия подразделений при решении вопросов ЗИ	Да
	В целях выработки и обеспечения единого понимания всеми должностными лицами предприятия проблем и задач по обеспечению ЗИ на предприятии разрабатывается…	а)	Доктрина защиты информации (информационной безопасности)
б)	Концепция защиты информации (информационной безопасности)	Да
в)	Устав защиты информации (информационной безопасности)
	К типовым принципам создания и функционирования КСЗИ относятся:	а)	экономическая целесообразность, специализация	Да
б)	комплексность, своевременность, непрерывность	Да
в)	активность, законность, обоснованность	Да
г)	взаимодействие и координация, совершенствование, централизация управления	Да
	На предпроектной стадии разработки КСЗИ выделяют следующие этапы:	а)	1) разработка технико-экономического обоснования и 2) разработка технического задания	Да
б)	1) разработка технического проекта и 2) разработка рабочего проекта
в)	1) ввод в действие отдельных элементов системы и 2) комплексная стыковка элементов системы
г)	1) опытная эксплуатация, 2) приемочные испытания и сдача в эксплуатацию.
	На стадии проектирования КСЗИ выделяют следующие этапы:	а)	1) разработка технического проекта и 2) разработка рабочего проекта	Да
б)	1) ввод в действие отдельных элементов системы и 2) комплексная стыковка элементов системы
в)	1) опытная эксплуатация, 2) приемочные испытания и сдача в эксплуатацию.
г)	1) разработка технико-экономического обоснования и 2) разработка технического задания
	На стадии ввода КСЗИ в эксплуатацию выделяют следующие этапы:	а)	этап разработки технического проекта и этап разработки рабочего проекта
б)	этапы ввода в действие отдельных элементов системы и комплексной стыковки элементов системы	Да
в)	этап опытной эксплуатации и этап приемочных испытаний и сдачи в эксплуатацию	Да
г)	этапы разработки технико-экономического обоснования и разработки технического задания
	Каждая система защиты	а)	уникальна	Да
б)	имеет общепринятую структуру и одинаковые элементы
в)	имеет строго индивидуальную рабочую документацию	Да
г)	имеет стандартную рабочую документацию
	В состав рабочей документации входят:	а)	спецификация оборудования и материалов, схемы	Да
б)	схемы размещения технических средств системы защиты (охранно-пожарной сигнализации, охранного телевидения, охранного освещения и т. п.),	Да
в)	должностные инструкции персонала обслуживающего технические средства системы защиты
г)	концепция защиты информации на предприятии
д)	прокладки кабельной связи системы защиты, схемы прокладки электропитания системы защиты	Да
	Наиболее влиятельные факторы выбора состава КСЗИ предприятия –…	а)	характер деятельности предприятия; численный состав и структура кадров предприятия; экономическое состояние предприятия	Да
б)	состав защищаемой информации, ее объем, способы представления и отображения;	Да
в)	режим работы предприятия, технология производства и управления
г)	организационная структура предприятия; техническая оснащенность предприятия; нормативно-правовое обеспечение деятельности предприятия.	Да
	В меньшей степени на организацию КСЗИ на предприятии оказывают влияние следующие факторы:	а)	режим работы предприятия, технология производства и управления	Да
б)	организационная структура предприятия; техническая оснащенность предприятия; нормативно-правовое обеспечение деятельности предприятия.
в)	тип и объем производства, форма собственности предприятия, местоположение и архитектурные особенности предприятия	Да
г)	характер деятельности предприятия; численный состав и структура кадров предприятия; экономическое состояние предприятия
	Характер деятельности предприятия оказывает влияние на…	а)	организационно-функциональную структуру КСЗИ, ее состав; состав и структуру кадров СЗИ, численность и квалификацию ее сотрудников; техническое обеспечение КСЗИ средствами защиты; количество и характер мер и мероприятий по ЗИ; цели и задачи КСЗИ;	Да
б)	состав и структуру СЗИ; организационные мероприятия по ЗИ; состав технических средств защиты, их объем; состав нормативно-правового обеспечения КСЗИ; методы и способы ЗИ; объем материальных затрат на ЗИ;
в)	объем и состав технических средств ЗИ; количество и квалификацию технического персонала СЗИ; методы и способы ЗИ; размер материальных затрат на ЗИ;
	Состав защищаемой информации, ее объем, способы представления и отображения, технологии обработки оказывают влияние на…	а)	объем и состав технических средств ЗИ; количество и квалификацию технического персонала СЗИ; методы и способы ЗИ; размер материальных затрат на ЗИ;
б)	организационно-функциональную структуру КСЗИ, ее состав; состав и структуру кадров СЗИ, численность и квалификацию ее сотрудников; техническое обеспечение КСЗИ средствами защиты; количество и характер мер и мероприятий по ЗИ; цели и задачи КСЗИ;
в)	состав и структуру СЗИ; организационные мероприятия по ЗИ; состав технических средств защиты, их объем; состав нормативно-правового обеспечения КСЗИ; методы и способы ЗИ; объем материальных затрат на ЗИ;	Да
	Техническая оснащенность предприятия оказывает влияние на…	а)	состав и структуру СЗИ; организационные мероприятия по ЗИ; состав технических средств защиты, их объем; состав нормативно-правового обеспечения КСЗИ; методы и способы ЗИ; объем материальных затрат на ЗИ;
б)	объем и состав технических средств ЗИ; количество и квалификацию технического персонала СЗИ; методы и способы ЗИ; размер материальных затрат на ЗИ;	Да
в)	организационно-функциональную структуру КСЗИ, ее состав; состав и структуру кадров СЗИ, численность и квалификацию ее сотрудников; техническое обеспечение КСЗИ средствами защиты; количество и характер мер и мероприятий по ЗИ; цели и задачи КСЗИ;
	Какая из структур систем не допустима для описания СЗИ?	а)	кольцевая
б)	линейная	Да
в)	сотовая
г)	иерархическая
д)	многосвязная
	Идентификация объекта – это…	а)	присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов	Да
б)	взаимное установление подлинности объектов, связывающихся между собой по линиям связи
в)	подтверждение подлинности
г)	сфера действий пользователя и доступные ему ресурсы КС
	Авторизация – это…	а)	цифровая подпись
б)	присвоение субъектам и объектам доступа идентификатора
в)	подтверждение подлинности
г)	предоставлением полномочий	Да
	Аутентификация – это…	а)	цифровая подпись
б)	подтверждение подлинности	Да
в)	присвоение субъектам и объектам доступа идентификатора
г)	предоставление полномочий
	Биометрическая идентификация и аутентификация пользователя – это…	а)	схема идентификации позволяющая увеличить число аккредитаций, выполняемых за один цикл, и тем самым уменьшить длительность процесса идентификации
б)	схема идентификации с нулевой передачей знаний
в)	присвоение субъектам и объектам биометрических параметров
г)	идентификация потенциального пользователя путем измерения физиологических параметров и характеристик человека, особенностей его поведения	Да
	Межсетевой экран — это…	а)	комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов на различных уровнях модели OSI в соответствии с заданными правилами	Да
б)	сетевое устройство, на основании информации о топологии сети и определённых правил принимающее решения о пересылке пакетов сетевого уровня (уровень 3 модели OSI) между различными сегментами сети.
в)	служба в компьютерных сетях, позволяющая клиентам выполнять косвенные запросы к другим сетевым службам.
	Honeypot – это…	а)	информационная система, специально предназначенная для неправомерного доступа	Да
б)	маршрутизатор или работающая на сервере программа для фильтрации входящих и исходящих пакетов
в)	программа контролирующая доступность сеанса связи
г)	информационная система, позволяющая определить факт атаки и предотвращать атаки на реальные сервисы	Да
	Основным механизмом, обеспечивающим конфиденциальность и целостность передаваемых по сети данных, является	а)	идентификация/аутентификация
б)	разграничение доступа
в)	шифрование	Да
г)	туннелирование
	В асимметричной криптосхеме…	а)	один из ключей является открытым, а другой – секретным	Да
б)	у отправителя и получателя один и тот же секретный ключ
в)	передают по защищенному каналу открытый и секретный ключ
	Криптоанализ — это…	а)	любая попытка со стороны перехватчика расшифровать шифртекст для получения открытого текста или зашифровать свой собственный текст для получения правдоподобного шифртекста, не имея подлинного ключа
б)	наука о раскрытии исходного текста зашифрованного сообщения без доступа к ключу	Да
в)	совокупность методов преобразования данных, направленных на то, чтобы сделать эти данные бесполезными для противника.
	В симметричной криптосхеме…	а)	один из ключей является открытым, а другой – секретным
б)	у отправителя и получателя один и тот же секретный ключ	Да
в)	передают по защищенному каналу открытый и секретный ключ
	Что такое ключ?	а)	упорядоченный набор из элементов алфавита
б)	конечное множество используемых для кодирования информации знаков
в)	информация, необходимая для беспрепятственного шифрования и дешифрования тестов	Да
	Электронная цифровая подпись — это…	а)	присоединяемое к тексту его криптографическое преобразование, которое позволяет при получении текста другим пользователем проверить авторство и подлинность сообщения.	Да
б)	побитное изменение проходящего через систему потока данных. Практически единственной операцией, используемой в цифровой подписи является XOR
в)	преобразование входного массива данных произвольной длины (осмысленного выражения) в выходную битовую строку фиксированной длины.
	Криптостойкость определяется…	а)	количеством всех возможных ключей	Да
б)	профессионализмом криптоаналитика
в)	средним временем, необходимым для криптоанализа	Да
г)	используемым для шифрования методом
	Система разграничения доступа к информации должна содержать следующие функциональные блоки…	а)	блок идентификации и аутентификации субъектов доступа; блок криптографического преобразования информации; блок очистки памяти
б)	блок идентификации и аутентификации субъектов доступа; диспетчер доступа; блок криптографического преобразования информации; блок очистки памяти	Да
в)	блок идентификации и аутентификации субъектов доступа; диспетчер доступа
	На этапе эксплуатации КС целостность и доступность информации в системе обеспечивается путем…	а)	дублирования информации; повышения отказоустойчивости КС; противодействия перегрузкам и «зависаниям» системы	Да
б)	контроля целостности информации в КС; особой регламентации процессов технического обслуживания и проведения доработок	Да
в)	подбора профессиональных кадров; категорирования документации
г)	использования строго определенного множества программ; выполнения комплекса антивирусных мероприятий	Да
	Уровень информированности, политик и процедур эшелонированной защиты -…	а)	представляет собой системы охраны и наблюдения для предотвращения физического доступа к системе
б)	представляет собой описание политик и мер безопасности, утвержденных руководством и обучение безопасности персонала	Да
в)	представляет собой точку, которая соединяет вашу сеть со сторонней сетью, безопасности которой нельзя доверять полностью
	Уровень периметра эшелонированной защиты — …	а)	представляет собой системы охраны и наблюдения для предотвращения физического доступа к системе
б)	представляет собой описание политик и мер безопасности, утвержденных руководством и обучение безопасности персонала
в)	представляет собой точку, которая соединяет вашу сеть со сторонней сетью, безопасности которой нельзя доверять полностью	Да
	Уровень физической безопасности эшелонированной защиты — …	а)	представляет собой точку, которая соединяет вашу сеть со сторонней сетью, безопасности которой нельзя доверять полностью
б)	описывает безопасность конкретных данных на уровне каталога и файла
в)	представляет собой системы охраны и наблюдения для предотвращения физического доступа к системе	Да
	Уровень узла эшелонированной защиты — …	а)	описывает расширенную безопасность приложений, запускаемых на компьютерах
б)	описывает безопасность отдельного компьютера в сети	Да
в)	описывает безопасность конкретных данных на уровне каталога и файла
	Уровень приложения эшелонированной защиты — …	а)	описывает расширенную безопасность приложений, запускаемых на компьютерах	Да
б)	описывает безопасность отдельного компьютера в сети
в)	описывает безопасность конкретных данных на уровне каталога и файла
	Уровень внутренней сети эшелонированной защиты — …	а)	представляет собой интранет организации и может состоять из локальных сетей, городской, глобальной и беспроводных сетей	Да
б)	описывает безопасность отдельного компьютера в сети
в)	представляет собой точку, которая соединяет вашу сеть со сторонней сетью, безопасности которой нельзя доверять полностью
	Подсистема регистрации должна обеспечивать…	а)	подотчетность пользователей и администраторов; возможность реконструкции последовательности событий	Да
б)	идентификацию/аутентификацию пользователя; ограничение физического доступа к носителям информации ограниченного доступа
в)	обнаружение попыток нарушений ИБ; предоставление информации для выявления и анализа проблем	Да
	Аудит – …	а)	учет всех защищаемых носителей информации с помощью их маркировки и с занесением учетных данных в журнал
б)	хронологически упорядоченная совокупность записей результатов деятельности субъектов системы
в)	анализ накопленной информации, проводимый оперативно в реальном времени или периодически	Да
г)	регистрация попыток доступа программных средств к защищаемым файлам
	Подсистема регистрации должна осуществлять…	а)	учет всех защищаемых носителей информации с помощью их маркировки и с занесением учетных данных в журнал	Да
б)	анализ накопленной информации, проводимый оперативно в реальном времени или периодически
в)	регистрацию попыток доступа программных средств к защищаемым файлам	Да
г)	регистрацию запуска (завершения) программ и процессов (заданий, задач), предназначенных для обработки защищаемых файлов	Да
	Качества личности человека, не способствующие сохранению доверенной тайны:	а)	эмоциональное расстройство, неуравновешенность поведения, разочарование в себе, употребление наркотиков и алкоголя	Да
б)	стремление к успеху и порядку в работе, осторожность
в)	принципиальность, исполнительность, пунктуальность, дисциплинированность,
г)	отчужденность от коллег по работе, недовольство своим служебным положением, ущемленное самолюбие, эгоистичные интересы, нечестность	Да
	К качествам личности, соответствующим работе с конфиденциальной информацией относятся:	а)	отчужденность от коллег по работе, недовольство своим служебным положением, ущемленное самолюбие, эгоистичные интересы, нечестность
б)	честность, добросовестность, принципиальность, исполнительность, пунктуальность, дисциплинированность, эмоциональная устойчивость, стремление к успеху и порядку в работе,	Да
в)	самоконтроль в поступках и действиях, правильная самооценка собственных способностей и возможностей, осторожность, умение хранить секреты, тренированное внимание и неплохая память.	Да
г)	эмоциональное расстройство, неуравновешенность поведения, разочарование в себе, употребление наркотиков и алкоголя
	Наиболее результативные методы изучения личности:	а)	изучение жизненного пути личности; изучение ближайшего окружения личности	Да
б)	изучение мнения коллектива, в котором работает личность; изучение высказывания личности о собственной роли в делах коллектива	Да
в)	изучение записей в трудовой книжке и в личных делах человека с прежних мест работы
г)	создание ситуации, наиболее подходящей для проявления профессионально важных качеств и свойств	Да
д)	наведение справок у членов семьи
	Профессиональная адаптация человека на производстве –…	а)	включает в себя знакомство с работой органов управления и обеспечения работы предприятия (отдел кадров, администрация и т. д.).
б)	адаптация к самой трудовой деятельности со всеми обеспечивающими ее предметными и временными составляющими	Да
в)	связана с вхождением нового работника в первичный коллектив
г)	включает в себя знакомство со сферой жизни коллектива, связанной с бытом и отдыхом
	Социально-организационная адаптация человека на производстве –…	а)	включает в себя знакомство с работой органов управления и обеспечения работы предприятия (отдел кадров, администрация и т. д.).	Да
б)	адаптация к самой трудовой деятельности со всеми обеспечивающими ее предметными и временными составляющими
в)	связана с вхождением нового работника в первичный коллектив
г)	включает в себя знакомство со сферой жизни коллектива, связанной с бытом и отдыхом	Да
	Основные направления работы с персоналом в плане защиты информации с ограниченным доступом:	а)	подбор и расстановка кадров, юридическое обеспечение, изучение персонала службой безопасности
б)	непрерывный контроль сотрудников, использующих защищаемую информацию, в том числе и в нерабочее время	Да
в)	обучение персонала, использующего защищаемую информацию и персонала, обеспечивающего защиту информации с ограниченным доступом, безопасность персонала	Да
г)	стимулирование труда, применение мер дисциплинарной, административной и материальной ответственности, оценка деятельности	Да
	Материально-техническое обеспечение КСЗИ охватывает деятельность службы защиты информации по…	а)	разработке, проектированию и установке технических средств предназначенных непосредственно для ЗИ
б)	использованию материально-технической базы, материальных и денежных средств в ходе выполнения задач защиты информации	Да
в)
г)
	К объектам хозяйственного назначения материально-технического обслуживания относятся…	а)	все виды защиты, в том числе носители информации
б)	системы заземления, электронные системы доступа в помещения, средства охраны, сигнализации, видеонаблюдения и оповещения, бумагоуничтожающие машины, электронные и электрические замки и т.п.
в)	здания и помещения, в которых хранятся носители информации, размещаются подразделения и объекты технического назначения службы	Да
г)	различные технические средства, используемые службой ЗИ, но не предназначенные непосредственно для ЗИ
	К объектам технического назначения материально-технического обслуживания относятся…	а)	все виды защиты, в том числе носители информации
б)	системы заземления, электронные системы доступа в помещения, средства охраны, сигнализации, видеонаблюдения и оповещения, бумагоуничтожающие машины, электронные и электрические замки и т.п.	Да
в)	здания и помещения, в которых хранятся носители информации, размещаются подразделения и объекты технического назначения службы
г)	различные технические средства, используемые службой ЗИ, но не предназначенные непосредственно для ЗИ	Да
	К материальным средствам службы ЗИ относятся…	а)	все виды защиты, в том числе носители информации	Да
б)	системы заземления, электронные системы доступа в помещения, средства охраны, сигнализации, видеонаблюдения и оповещения, бумагоуничтожающие машины, электронные и электрические замки и т.п.
в)	здания и помещения, в которых хранятся носители информации, размещаются подразделения и объекты технического назначения службы
г)	различные технические средства, используемые службой ЗИ, но не предназначенные непосредственно для ЗИ
	Материально-техническое обеспечение КСЗИ включает…	а)	своевременное определение потребности, приобретение, учет и хранение всех видом материальных средств, их распределение, выдачу по назначению, ведение отчетности	Да
б)	выявление ошибок, нарушений в материально-техническом обеспечении, оперативное принятие мер по их устранению	Да
в)	правильную эксплуатацию, сбережение, своевременное обслуживание и ремонт	Да
г)	разработку, проектирование технических средств предназначенных непосредственно для ЗИ
д)	строительство, ремонт и правильную эксплуатацию зданий и помещений	Да
	Состав нормативно-методического обеспечения КСЗИ может быть определен следующим образом:	а)	технический проект КСЗИ, модель КСЗИ, правила эксплуатации КСЗИ
б)	законодательная база, руководящие методические документы и информационно-справочная база	Да
в)	словари, каталоги, специализированные журналы, справочники, электронные базы данных
г)	законы, указы президента, постановления правительства, кодексы (гражданский, уголовный, административный), госты.
	Законодательная база нормативно-методического обеспечения КСЗИ включает…	а)	документы министерств и ведомств (Гостехкомиссия, ФСБ), а также документы, разработанные на предприятиях по вопросам за
б)	законы, указы президента, постановления правительства, кодексы (гражданский, уголовный, административный), госты.	Да
в)	словари, каталоги, специализированные журналы, справочники, электронные базы данных
г)	технический проект КСЗИ, модель КСЗИ, правила эксплуатации КСЗИ
	Руководящие методические документы нормативно-методического обеспечения КСЗИ включают…	а)	словари, каталоги, специализированные журналы, справочники, электронные базы данных
б)	законы, указы президента, постановления правительства, кодексы (гражданский, уголовный, административный), госты.
в)	документы министерств и ведомств (Гостехкомиссия, ФСБ), а также документы, разработанные на предприятиях по вопросам за	Да
г)	технический проект КСЗИ, модель КСЗИ, правила эксплуатации КСЗИ
	Информационно-справочная база нормативно-методического обеспечения КСЗИ включает…	а)	словари, каталоги, специализированные журналы, справочники, электронные базы данных	Да
б)	законы, указы президента, постановления правительства, кодексы (гражданский, уголовный, административный), госты.
в)	документы министерств и ведомств (Гостехкомиссия, ФСБ), а также документы, разработанные на предприятиях по вопросам за
г)	технический проект КСЗИ, модель КСЗИ, правила эксплуатации КСЗИ
	К внутренним нормативным и методическим документам относятся:	а)	Перечень сведений, подлежащих защите на предприятии	Да
б)	Перечень сведений, отнесенных к государственной власти
в)	Порядок обращения с информацией, подлежащей защите	Да
г)	Инструкция о порядке допуска должностных лиц и граждан РФ к государственной тайне
д)	Инструкция по обеспечению ЗИ от НСД	Да
	К внутренним нормативным и методическим документам относятся:	а)	Инструкции ФСТЭК России или ФСБ
б)	Положение о категорировании ресурсов АС	Да
в)	Инструкция по модификации технических и программных средств	Да
г)	Инструкция по организации антивирусной защиты	Да
	Нормативный документ «Памятка пользователю АС предприятия» определяет…	а)	процедуру регистрации, представления или изменения прав доступа пользователей к ресурсам АС
б)	взаимодействие подразделений предприятия по обеспечению ИБ при проведении модификаций ПО и технического обслуживания СВТ
в)	организационно-техническое обеспечение процессов генерации, смены и прекращения действия паролей в АС предприятия
г)	общие обязанности сотрудников подразделений при работе со средствами АС и ответственность за нарушение установленных порядков.	Да
	Не подлежат отнесению к государственной тайне и засекречиванию сведения:	а)	о размерах золотого запаса и государственных валютных резервах РФ	Да
б)	о чрезвычайных происшествиях и катастрофах, угрожающих безопасности и здоровью граждан, и их последствия, а также о стихийных бедствиях	Да
в)	в области экономической, научно-технической и оперативно-розыскной деятельности, распространение которых может нанести ущерб интересам предприятия, учреждения или организации
г)	о фактах нарушения законности органами государственной власти и их должностными лицами	Да
д)	в области экономической, научно-технической и оперативно-розыскной деятельности, распространение которых может нанести ущерб интересам министерства (ведомства) или отрасли экономики РФ
	Коммерческой тайной предприятия может быть… .	а)	любая информация, внесенная руководством в нормативные акты предприятия как информация ограниченного доступа
б)	только информация, относящаяся к служебной информации
в)	все, что не запрещено законом или иными правовыми актами, охраняется предприятием и имеет ценность для предпринимательской деятельности	Да
	Обоснованность отнесения сведений к государственной тайне и их засекречивание заключается…	а)	в установлении единолично руководителем предприятия целесообразности засекречивания конкретных сведений исходя из баланса жизненно важных интересов государства, общества и граждан.
б)	в установлении путем экспертной оценки органами государственной власти целесообразности засекречивания конкретных сведений, исходя из баланса жизненно важных интересов государства, общества и граждан.	Да
в)	в установлении представителями службы безопасности предприятия целесообразности засекречивания конкретных сведений, исходя из баланса жизненно важных интересов государства.
	Перечень сведений, отнесенных к государственной власти утверждается…	а)	руководителем предприятия, на котором разрабатываются, используются сведения составляющие государственную тайну
б)	президентом РФ	Да
в)	премьер министром РФ
г)	экспертной комиссией по информационной безопасности
	Пересмотр содержания действующих в органах государственной власти, на предприятиях, учреждениях и организациях перечней сведений и их соответствия установленной ранее степени секретности должно проводится…	а)	не реже 10 лет
б)	не реже 3 лет
в)	не реже 5 лет	Да
г)	не реже 1 раза в год
	К внешним возмущениям системы управления следует отнести:	а)	указы вышестоящих организаций	Да
б)	нет достаточного количества квалифицированных кадров, плохие условия работы
в)	отсутствует по каким-то причинам ряд ответственных работников
г)	изменения ситуаций на рынке	Да
д)	экономические и политические факторы	Да
	К внутренним возмущениям системы управления следует отнести:	а)	указы вышестоящих организаций
б)	нет достаточного количества квалифицированных кадров, плохие условия работы	Да
в)	отсутствует по каким-то причинам ряд ответственных работников	Да
г)	изменения ситуаций на рынке
д)	экономические и политические факторы
	В КСЗИ должно быть предусмотрено два вида функций:	а)	функции, основной целью которых является создание механизмов защиты	Да
б)	функции, осуществляемые с целью разработки сведений ограниченного доступа
в)	функции, основной целью которых является поиск злоумышленников
г)	функции, осуществляемые с целью непрерывного и оптимального управления механизмами защиты	Да
	Особенности системы управления КСЗИ:	а)	информация, на основе которой вырабатываются управляющие воздействия, отличается неполнотой, недостоверностью и противоречивостью	Да
б)	функционирование в конфликтных ситуациях (СУ КСЗИ <-> злоумышленник)	Да
в)	орган управления выбирает наиболее предпочтительную допустимую линию поведения системы по тем или иным критериям
г)	СУ КСЗИ подвергается различным видам воздействия со стороны злоумышленника, что приводит к нарушению и элементов КСЗИ и самой СУ	Да
	Управление определяется как…	а)	процесс осуществления информационных воздействий на объекты управления для формирования их целенаправленного поведения.	Да
б)	процесс проектирования, разработки и внедрения объектов управления для решения поставленных целей.
в)	элемент, функция организованных систем различной природы, обеспечивающая сохранность их определенной структуры, поддержание режимов деятельности, реализацию их программ и целей.	Да
г)	процесс осуществления различных воздействий на субъекты управления для формирования их различного вида поведения.
	Цели защиты, на достижение которых направлено управление КСЗИ:	а)	реализация права на доступ к информации	Да
б)	соблюдение конфиденциальности информации ограниченного доступа	Да
в)	сохранение ценностей владельца
г)	обеспечение ЗИ от НСД, модификации, удаления и других неправомерных действий	Да
	Принцип управления КСЗИ «Экономическая целесообразность и сопоставимость возможного ущерба и затрат» предполагает…	а)	совершенствование мер и средств защиты осуществляется на основе нового опыта, появления новых технических средств с учетом изменений в методах
б)	функционирование системы ЗИ по единым правовым, организационным, функциональным и методическим принципам
в)	что система управления должна рассматриваться как нечто целое
г)	что стоимость системы должна быть меньше размера возможного ущерба	Да
	Принцип управления КСЗИ «Централизация управления» предполагает…	а)	совершенствование мер и средств защиты осуществляется на основе нового опыта, появления новых технических средств с учетом изменений в методах
б)	функционирование системы ЗИ по единым правовым, организационным, функциональным и методическим принципам	Да
в)	что система управления должна рассматриваться как нечто целое
г)	что стоимость системы должна быть меньше размера возможного ущерба
	Принцип управления КСЗИ «Всесторонность» предполагает…	а)	совершенствование мер и средств защиты осуществляется на основе нового опыта, появления новых технических средств с учетом изменений в методах
б)	функционирование системы ЗИ по единым правовым, организационным, функциональным и методическим принципам
в)	учет при управлении всех связей в объекте и факторы, влияющие на его функционирование	Да
г)	что стоимость системы должна быть меньше размера возможного ущерба
	Принцип управления КСЗИ «Активность» предполагает…	а)	учет при управлении всех связей в объекте и факторы, влияющие на его функционирование
б)	что меры ЗИ имеют упреждающий характер
в)	проведение мероприятий по ЗИ с достаточной степенью настойчивости, с широким использованием мер и средств защиты	Да
г)	использование возможностей и средств ЗИ на современном уровне развития науки и техники
	К основным процессам управления КСЗИ относятся:	а)	сбор информации о состоянии элементов системы ЗИ и внешней среды	Да
б)	обработка и оценка существующего состояния системы ЗИ и внешней среды, соответствие целям ЗИ	Да
в)	проектирование, разработка и внедрение средств ЗИ
г)	доведение информационных воздействий до объектов управления	Да
	Основные управленческие функции:	а)	планирование, оперативное управление, контроль, учет	Да
б)	сбор информации, анализ, синтез, принятие решения
в)	проектирование, разработка проектов ЗИ
г)	информационное воздействие на объекты управления
	Выделяют следующие этапы планирования КСЗИ:	а)	уяснение задачи и оценка обстановки; выработка замысла решения; завершение работы по принятию решения; оформление и доведение документов планирования	Да
б)	постановка задачи, анализ и синтез собранной информации; выводы; оформление выводов
в)	разработка плана; выполнение анализа плана; синтез принятых решений; заключение
	Первым этапом планирования КСЗИ является…	а)	выработка замысла решения;
б)	оформление и доведение документов планирования;
в)	уяснение задачи и оценка обстановки;	Да
г)	завершение работы по принятию решения;
	Способы планирования:	а)	синтез	Да
б)	индукция
в)	итерация	Да
г)	анализ	Да
д)	дедукция
	Способ планирования «Анализ» заключается в…	а)	разработке компонентов плана (цели, задачи, возможные условия, выделенные ресурсы и др) сначала на высшем уровне организационной структуры предприятия, затем на уровне подразделений и далее на низшем уровне	Да
б)	составлении планов сначала на низшем уровне, которые затем, последовательно обобщенные, синтезируют в соответствии и иерархической структурой
в)	разработке первого приближения плана, который уточняется и корректируется, затем выбирается наилучший вариант, который тоже корректируется до тех пор пока не будет удовлетворять требованиям структур и системы в целом
	Способ планирования «Синтез» заключается в…	а)	разработке компонентов плана (цели, задачи, возможные условия, выделенные ресурсы и др) сначала на высшем уровне организационной структуры предприятия, затем на уровне подразделений и далее на низшем уровне
б)	составлении планов сначала на низшем уровне, которые затем, последовательно обобщенные, синтезируют в соответствии и иерархической структурой	Да
в)	разработке первого приближения плана, который уточняется и корректируется, затем выбирается наилучший вариант, который тоже корректируется до тех пор пока не будет удовлетворять требованиям структур и системы в целом
	Способ планирования «Итерация» заключается в…	а)	разработке компонентов плана (цели, задачи, возможные условия, выделенные ресурсы и др) сначала на высшем уровне организационной структуры предприятия, затем на уровне подразделений и далее на низшем уровне
б)	составлении планов сначала на низшем уровне, которые затем, последовательно обобщенные, синтезируют в соответствии и иерархической структурой
в)	разработке первого приближения плана, который уточняется и корректируется, затем выбирается наилучший вариант, который тоже корректируется до тех пор пока не будет удовлетворять требованиям структур и системы в целом	Да
	Мероприятия в плане функционирования КСЗИ следует систематизировать по следующим разделам:	а)	организационно-методическая работа, контрольно-проверочная работа, профилактическая работа, работа с кадрами	Да
б)	проектирования КСЗИ, разработка КСЗИ, внедрение КСЗИ, эксплуатация КСЗИ
в)	организационно-правовая работа, инженерно-техническая работа, криптографическая работа, программно-аппаратная работа
г)	материально-техническая работа, нормативно-методическая работа, кадровая и ресурсная работа
	Цели контроля функционирования КСЗИ:	а)	установление степени соответствия принимаемых мер по ЗИ различным нормативно-правовым документам и требованиям по ЗИ	Да
б)	выявление возможных каналов утечки и НСДИ, выработка рекомендаций по закрытию этих каналов	Да
в)	контроль действий нарушителей и злоумышленников
г)	корректировка фактического состояния системы
	Процесс контроля включает следующие стадии:	а)	Установление фактического состояния СЗИ	Да
б)	Разработка нормативно-методической базы КСЗИ
в)	Разработка мероприятий по улучшению и корректировке процесса управления и принятия мер по их реализации	Да
г)	Анализ сравнения фактического положения с заданным режимом, обстановкой и оценка характера допущенных отклонений и недоработок	Да
	Основными задачами контроля являются:	а)	Определение обоснованности и практической целесообразности проводимых мероприятий по ЗИ	Да
б)	Выявление фактического состояния СЗИ в данный период времени	Да
в)	Установление причин и обстоятельств отклонений показателей качества, характеризующих СЗИ, от заданных	Да
г)	Изучение деловых качеств и уровня профессиональной подготовки лиц, осуществляющих ЗИ	Да
	Организационные меры контроля включают:	а)	Проверку выполнения сотрудниками требований по обеспечению сохранности КТ.	Да
б)	Проверку выполнения пропускного режима	Да
в)	Проверку технического состояния СЗИ
г)	Проверку наличия защищаемых носителей конфиденциальной информации	Да
	Технические меры контроля включают:	а)	Проверку работоспособности СЗИ через моделирование реальных условий работы технического средства разведки	Да
б)	Проверку выполнения сотрудниками требований по обеспечению сохранности КТ.
в)	Проверку соответствия объективных показателей работоспособности СЗИ допустимым значениям (нормам)	Да
г)	Проверку наличия защищаемых носителей конфиденциальной информации
	Виды контроля функционирования КСЗИ:	а)	внутренний	Да
б)	запланированный
в)	незапланированный
г)	внешний	Да
	Внутренний контроль функционирования КСЗИ выполняется…	а)	службой безопасности предприятия	Да
б)	подразделением защиты информации предприятия	Да
в)	руководителем предприятия
г)	руководителями структурных подразделений предприятия
	Внешний контроль функционирования КСЗИ выполняется…	а)	руководителем предприятия
б)	руководителями структурных подразделений предприятия
в)	различного рода государственными организациями, имеющими соответствующие полномочия	Да
г)	аудиторскими организациями	Да
	Внешний контроль отслеживает…	а)	обеспечение защиты только документов, содержащих сведения государственной тайны
б)	обеспечение защиты государственной тайны и персональных данных	Да
в)	обеспечение защиты всех видов документов, содержащих сведения с ограничением доступа
	Первой категории опасности нарушения в области технической защиты информации соответствует…	а)	выявление недостатков в оформлении документов по организации ТЗИ, которые не ведут непосредственно к утечке информации и НСД
б)	невыполнение требований или норм по ТЗИ, в результате чего создаются предпосылки к утечке информации или НСД
в)	невыполнение требований или норм по ТЗИ, составляющей государственную тайну, в результате чего имелась или имеется реальная возможность утечки, НСД	Да
	Чрезвычайную ситуацию (ЧС) можно определить как …	а)	комплекс событий, проявление и протекание которых могут создать условия для проявления различных форм уязвимости защищаемой информации.	Да
б)	комплекс событий, проявление и протекание которых могут привести к нарушению нормального функционирования КСЗИ.	Да
в)	комплекс событий, не предусмотренных инструкцией по информационной безопасности предприятия
г)	ситуацию, произошедшую по вине злоумышленника
	ЧС классифицируются по масштабам действия на:	а)	межгосударственные, общегосударственные, местные, объектовые.	Да
б)	ЧС с прямым ущербом; ЧС с косвенным ущербом; ЧС, представляющие угрозу жизни людей; ЧС, приводящие к нарушению экологического равновесия, уничтожению материальных ресурсов и т. д.
в)	стратегические ЧС, приводящие к катастрофическим последствиям; медленнотекущие ЧС; ЧС оперативного плана, с выраженной динамикой развития.
г)	легкоустранимые ЧС; ЧС, требующие определенных временных и ресурсных затрат для их ликвидации; трудноустранимые ЧС; ЧС, требующие особых средств и мероприятий для ликвидации их последствий.
д)	прогнозируемые; трудно прогнозируемые; непрогнозируемые.
	ЧС классифицируются по виду наносимого ущерба на:	а)	легкоустранимые ЧС; ЧС, требующие определенных временных и ресурсных затрат для их ликвидации; трудноустранимые ЧС; ЧС, требующие особых средств и мероприятий для ликвидации их последствий.
б)	межгосударственные, общегосударственные, местные, объектовые.
в)	ЧС с прямым ущербом; ЧС с косвенным ущербом; ЧС, представляющие угрозу жизни людей; ЧС, приводящие к нарушению экологического равновесия, уничтожению материальных ресурсов и т. д.	Да
г)	стратегические ЧС, приводящие к катастрофическим последствиям; медленнотекущие ЧС; ЧС оперативного плана, с выраженной динамикой развития.
	ЧС классифицируются по времени и динамике развития на:	а)	легкоустранимые ЧС; ЧС, требующие определенных временных и ресурсных затрат для их ликвидации; трудноустранимые ЧС; ЧС, требующие особых средств и мероприятий для ликвидации их последствий.
б)	межгосударственные, общегосударственные, местные, объектовые.
в)	ЧС с прямым ущербом; ЧС с косвенным ущербом; ЧС, представляющие угрозу жизни людей; ЧС, приводящие к нарушению экологического равновесия, уничтожению материальных ресурсов и т. д.
г)	стратегические ЧС, приводящие к катастрофическим последствиям; медленнотекущие ЧС; ЧС оперативного плана, с выраженной динамикой развития.	Да
	ЧС классифицируются по вероятности возникновения на:	а)	ЧС с прямым ущербом; ЧС с косвенным ущербом; ЧС, представляющие угрозу жизни людей; ЧС, приводящие к нарушению экологического равновесия, уничтожению материальных ресурсов и т. д.
б)	стратегические ЧС, приводящие к катастрофическим последствиям; медленнотекущие ЧС; ЧС оперативного плана, с выраженной динамикой развития.
в)	легкоустранимые ЧС; ЧС, требующие определенных временных и ресурсных затрат для их ликвидации; трудноустранимые ЧС; ЧС, требующие особых средств и мероприятий для ликвидации их последствий.
г)	прогнозируемые; трудно прогнозируемые; непрогнозируемые.	Да
	ЧС классифицируются по степени сложности при ликвидации последствий на:	а)	прогнозируемые; трудно прогнозируемые; непрогнозируемые.
б)	легкоустранимые ЧС; ЧС, требующие определенных временных и ресурсных затрат для их ликвидации; трудноустранимые ЧС; ЧС, требующие особых средств и мероприятий для ликвидации их последствий.	Да
в)	ЧС с прямым ущербом; ЧС с косвенным ущербом; ЧС, представляющие угрозу жизни людей; ЧС, приводящие к нарушению экологического равновесия, уничтожению материальных ресурсов и т. д.
г)	стратегические ЧС, приводящие к катастрофическим последствиям; медленнотекущие ЧС; ЧС оперативного плана, с выраженной динамикой развития.
	Система управления ЧС должна функционировать в следующих режимах:	а)	режим повседневной деятельности; режим повышенной готовности	Да
б)	чрезвычайный режим, пост чрезвычайный режим	Да
в)	пассивный режим ЧС, активный режим ЧС
г)	режим легкоустранимой ЧС, режим трудноустранимой ЧС, режим особых ЧС
	Задачи системы управления ЧС в стационарных условиях…	а)	осуществление оперативных действий по защите объектов различного типа.
б)	определить и создать нормативные, законодательные и экономические механизмы, направленные на минимизацию риска и ущерба от ЧС	Да
в)	разработка и осуществление детальных планов мероприятий по предупреждению либо смягчению последствий ЧС на основе заранее подготовленных сценариев ее развития и ответных действий
г)	оперативное и долгосрочное планирование действий по смягчению или полной ликвидации последствий ЧС
	Задачами системы управления ЧС в режиме готовности являются…	а)	разработка и осуществление детальных планов мероприятий по предупреждению либо смягчению последствий ЧС на основе заранее подготовленных сценариев ее развития и ответных действий	Да
б)	осуществление оперативных действий по защите объектов различного типа.
в)	определить и создать нормативные, законодательные и экономические механизмы, направленные на минимизацию риска и ущерба от ЧС
г)	оперативное и долгосрочное планирование действий по смягчению или полной ликвидации последствий ЧС
	Задачами системы управления ЧС в режиме чрезвычайной ситуации являются…	а)	разработка и осуществление детальных планов мероприятий по предупреждению либо смягчению последствий ЧС на основе заранее подготовленных сценариев ее развития и ответных действий
б)	осуществление оперативных действий по защите объектов различного типа.	Да
в)	определить и создать нормативные, законодательные и экономические механизмы, направленные на минимизацию риска и ущерба от ЧС
г)	оперативное и долгосрочное планирование действий по смягчению или полной ликвидации последствий ЧС
	Момент начала развития ЧС – …	а)	это момент времени, когда руководящие лица дают указание о начале принятия контрмер вследствие начала необратимых последствий в связи с ЧС
б)	это момент времени, когда зафиксирован первый признак ЧС
в)	это момент времени, когда накопившиеся данные с высокой степенью вероятности свидетельствуют о том, что ухудшение ситуации становится необратимым и необходимо принятие контрмер	Да
	Самым критическим для принятия решения в условиях ЧС является…	а)	создание нормативных, законодательных и экономических механизмов, направленных на минимизацию риска и ущерба от ЧС
б)	разработка детальных планов мероприятий по предупреждению либо смягчению последствий ЧС
в)	момент начала развития ЧС	Да
г)	момент пика развития ЧС
	Основные причины запаздывания принятия решения в условиях ЧС…	а)	затраты времени на обмен информацией о начале ЧС	Да
б)	отсутствие руководителя на рабочем месте
в)	необходимость проверки и подтверждения достоверности информации о возникновении ЧС	Да
г)	паника в момент возникновения ЧС
д)	психологические особенности человека, в частности руководителей	Да
	Для решения задач предупреждения, нейтрализации (локализации) и ликвидации последствий ЧС на предприятии создаются	а)	кризисные группы, штабы
б)	служба безопасности ЧС, служба ликвидации ЧС
в)	службы обеспечения защиты в условиях ЧС, оперативные бригады
г)	подразделения быстрого реагирования на последствия ЧС
	В числе постоянных представителей кризисных групп и штабов и других структур по ЧС выступают …	а)	руководители предприятия и службы безопасности	Да
б)	руководители функциональных подразделений, юрист, специалист финансового отдела	Да
в)	пользователи информации с ограниченным доступом
г)	специально выделенные сотрудники функциональных подразделений	Да
д)	представители всех отделов и структурных подразделений предприятия
	При разработке мероприятий по подготовке к действиям в условиях ЧС необходимо учитывать, что в период протекания чрезвычайных ситуаций…	а)	психологические нагрузки возрастают, поведенческие и эмоциональные реакции человека меняются	Да
б)	все средства КСЗИ автоматически отключаются или переходят в режим автономной работы
в)	может у людей нарушаться координация движений, понижается внимание и восприятие окружающей действительности	Да
г)	повышается дисциплинированность сотрудников, ими легче управлять
	Основными обязанностями штаба, кризисной группы по ЧС являются:	а)	выявление тенденций развития ЧС, оценка масштабов ее негативного воздействия и последствий	Да
б)	принятие однозначных решений по локализации ЧС и ликвидации последствий
в)	расчет времени и ресурсов, необходимых для локализации и ликвидации, определение приоритетов при разработке и осуществлении основных мероприятий	Да
г)	сбор, обработка и предоставление необходимой информации для руководителей, принимающих решения в условиях протекания ЧС	Да
д)	выполнение работ по локализации ЧС и ликвидации последствий ЧС
	Защита информации от утечки —	а)	деятельность по предотвращению неконтролируемого распространения защищаемой информации от ее разглашения, несанкционированного доступа к защищаемой информации и от получения защищаемой информации [иностранными] разведками.	Да
б)	деятельность по предотвращению воздействия на защищаемую информацию с нарушением установленных прав на изменение информации, приводящего к искажению информации, а также к порче или искажению носителя информации.
в)	деятельность по предотвращению несанкционированного доведения защищаемой информации до неконтролируемого количества получателей информации.
	Защита информации от разглашения	а)	деятельность по предотвращению неконтролируемого распространения защищаемой информации от ее разглашения, несанкционированного доступа к защищаемой информации и от получения защищаемой информации [иностранными] разведками.
б)	деятельность по предотвращению воздействия на защищаемую информацию с нарушением установленных прав на изменение информации, приводящего к искажению информации, а также к порче или искажению носителя информации.
в)	деятельность по предотвращению несанкционированного доведения защищаемой информации до неконтролируемого количества получателей информации.	Да
	Защита информации от несанкционированного воздействия	г)	деятельность по предотвращению неконтролируемого распространения защищаемой информации от ее разглашения, несанкционированного доступа к защищаемой информации и от получения защищаемой информации [иностранными] разведками.
д)	деятельность по предотвращению воздействия на защищаемую информацию с нарушением установленных прав на изменение информации, приводящего к искажению информации, а также к порче или искажению носителя информации.	Да
	Целью защиты информации (ее желаемым результатом) является	а)	обеспечение конфиденциальности, целостности и доступности информации
б)	предотвращение ущерба собственнику, владельцу или пользователю информации	Да
в)	неразглашение информации с ограниченным доступом третьим лицам
	Защита информации от непреднамеренного воздействия —	а)	деятельность по предотвращению воздействия на защищаемую информацию ошибок пользователя, сбоя технических и программных средств ИС, а также природных явлений или иных нецеленаправленных на изменение информации воздействий	Да
б)	деятельность по предотвращению получения защищаемой информации заинтересованным субъектом с нарушением установленных правовыми документами или собственником, владельцем информации прав или правил доступа к защищаемой информации
в)	деятельность по предотвращению получения защищаемой информации агентурной разведкой.
	Защита информации от несанкционированного доступа —	а)	деятельность по предотвращению воздействия на защищаемую информацию ошибок пользователя, сбоя технических и программных средств ИС, а также природных явлений или иных нецеленаправленных на изменение информации воздействий
б)	деятельность по предотвращению получения защищаемой информации заинтересованным субъектом с нарушением установленных правовыми документами или собственником, владельцем информации прав или правил доступа к защищаемой информации	Да
в)	деятельность по предотвращению получения защищаемой информации агентурной разведкой.
	Эффективность защиты информации —	а)	заключается в ее существовании в неискаженном виде, неизменном по отношению к некоторому ее исходному состоянию
б)	степень соответствия результатов защиты информации поставленной цели.	Да
в)	это свойство, указывающее на необходимость введения ограничений на доступ к ней определенного круга пользователей
	Нормы эффективности защиты информации	а)	содержание и порядок действий по обеспечению защиты информации.
б)	значения показателей эффективности защиты информации, установленные нормативными документами.	Да
в)	совокупность действий по разработке и/или практическому применению способов и средств защиты информации.
	Мероприятие по защите информации	а)	совокупность действий по разработке и/или практическому применению способов и средств защиты информации.	Да
б)	средства защиты информации, средства контроля эффективности защиты информации, средства и системы управления, предназначенные для обеспечения защиты информации.
в)	верны оба варианта ответа
	Система защиты информации —	а)	техническое, программное средство, вещество и/или материал, предназначенные или используемые для защиты информации.
б)	средства защиты информации, средства контроля эффективности защиты информации, средства и системы управления, предназначенные для обеспечения защиты информации.
в)	совокупность органов и/или исполнителей, используемая ими техника ЗИ, а также объекты защиты, организованные по правилам, установленным правовыми, организационно-распорядительными и нормативными документами по ЗИ.	Да
	Техника защиты информации —	а)	техническое, программное средство, вещество и/или материал, предназначенные или используемые для защиты информации.
б)	средства защиты информации, средства контроля эффективности защиты информации, средства и системы управления, предназначенные для обеспечения защиты информации.	Да
в)	совокупность органов и/или исполнителей, используемая ими техника ЗИ, а также объекты защиты, организованные по правилам, установленным правовыми, организационно-распорядительными и нормативными документами по ЗИ.
	Категорирование защищаемой информации [объекта защиты]	а)	установление градаций важности защиты защищаемой информации [объекта защиты]	Да
б)	порядок и правила применения определенных принципов и средств контроля эффективности защиты информации.
в)	проверка соответствия организации и эффективности защиты информации установленным требованиям и/или нормам в области защиты информации.
	Средство защиты информации —	а)	средства защиты информации, средства контроля эффективности защиты информации, средства и системы управления, предназначенные для обеспечения защиты информации.
б)	порядок и правила применения определенных принципов и средств защиты информации.
в)	техническое, программное средство, вещество и/или материал, предназначенные или используемые для защиты информации.	Да
	Доступ к информации	а)	право доступа: совокупность правил доступа к информации, установленных правовыми документами или собственником, владельцем информации.
б)	получение субъектом возможности ознакомления с информацией, в том числе при помощи технических средств.	Да
в)	идентификация/аутентификация
	Собственник информации —	а)	субъект, осуществляющий владение и пользование информацией и реализующий полномочия распоряжения в пределах прав, установленных законом и/или собственником информации.
б)	субъект, в полном объеме реализующий полномочия владения, пользования, распоряжения информацией в соответствии с законодательными актами.	Да
в)	физическое лицо, или материальный объект, в том числе физическое поле, в которых информация находит свое отображение в виде символов, образов, сигналов, технических решений и процессов.
	Владелец информации —	а)	субъект, осуществляющий владение и пользование информацией и реализующий полномочия распоряжения в пределах прав, установленных законом и/или собственником информации.	Да
б)	субъект, в полном объеме реализующий полномочия владения, пользования, распоряжения информацией в соответствии с законодательными актами.
в)	физическое лицо, или материальный объект, в том числе физическое поле, в которых информация находит свое отображение в виде символов, образов, сигналов, технических решений и процессов.
	Доступность — …	а)	это свойство, характеризующее ее способность обеспечивать своевременный и беспрепятственный доступ пользователей к интересующим их данным	Да
б)	это свойство, указывающее на необходимость введения ограничений на доступ к ней определенного круга пользователей
в)	заключается в ее существовании в неискаженном виде, неизменном по отношению к некоторому ее исходному состоянию
	Конфиденциальность — …	а)	заключается в ее существовании в неискаженном виде, неизменном по отношению к некоторому ее исходному состоянию
б)	это свойство, указывающее на необходимость введения ограничений на доступ к ней определенного круга пользователей	Да
в)	это свойство, характеризующее ее способность обеспечивать своевременный и беспрепятственный доступ пользователей к интересующим их данным
	Целостность информации – …	а)	это свойство, характеризующее ее способность обеспечивать своевременный и беспрепятственный доступ пользователей к интересующим их данным
б)	заключается в ее существовании в неискаженном виде, неизменном по отношению к некоторому ее исходному состоянию	Да
в)	это свойство, указывающее на необходимость введения ограничений на доступ к ней определенного круга пользователей
	Электромагнитный перехват…	а)	требует непосредственного подключения к системе
б)	не требует непосредственного подключения к системе	Да
в)	является наиболее опасным и довольно распространенным
	Аудиоперехват или снятие информации по виброакустическому каналу	а)	требует использования сложных дорогостоящих инженерно-технических средств перехвата информации
б)	является наиболее опасным и довольно распространенным	Да
в)	наиболее редко используемый метод перехвата информации
	Под утечкой информации понимают	а)	неконтролируемое распространение защищаемой информации путем ее разглашения, несанкционированного доступа к ней и получения разведками	Да
б)	доведение защищаемой информации до неконтролируемого количества получателей информации
в)	получение защищаемой информации заинтересованным субъектом с нарушением правил доступа к ней
	Самой интенсивной причиной компьютерных инцидентов являются:	а)	вывод из строя технических средств
б)	атаки хакеров
в)	ошибки пользователей	Да
	Правовые меры защиты информации — это…	а)	традиционно сложившиеся в стране или обществе нормы поведения и правила обращения с информацией.
б)	действующие в стране законы, указы и другие нормативные акты, регламентирующие правила обращения с информацией и ответственность за их нарушения, препятствующие тем самым неправомерному ее использованию	Да
в)	разного рода механические или электронно-механические устройства и сооружения, специально предназначенные для создания различных препятствий на возможных путях проникновения и доступа потенциальных нарушителей к компонентам АС
	DoS-атака -,,,	а)	атака, с помощью которой выполняется прослушивание каналов связи, т.е. запись и последующий анализ всего проходящего потока сообщений
б)	атака на вычислительную систему с целью вывести её из строя, то есть создание таких условий, при которых легитимные (правомерные) пользователи системы не могут получить доступ к предоставляемым системой ресурсам, либо этот доступ затруднён.	Да
в)	атака, осуществляемая крекером
	С точки зрения распределения ролей между компьютерами сети бывают	а)	одноранговые и клиент-серверные сети	Да
б)	однопользовательские и многопользовательские сети
в)	локальные, региональные, глобальные
	К атакуемым сетевым компонентам относятся:	а)	сервера, рабочие станции, типы разъемов и кабелей, способы и методы передачи данных	Да
б)	алгоритмы работы сетевых интерфейсов, методы взаимодействия прикладных процессов, коммутационное оборудование, среда передачи данных	Да
в)	одноранговые и клиент-серверные сети

Примерный перечень вопросов к экзамену

Содержание
и особенности комплексного подхода к
построению СЗИ.
Системный
подход и его роль в создании КСЗИ.
Концептуальная
модель КСЗИ.
Принципы
организации КСЗИ.
Основные
требования, предъявляемые к КСЗИ.
Содержательная
характеристика этапов разработки КСЗИ.
Факторы,
влияющие на организацию КСЗИ.
Этапы
работы по формированию перечня сведений,
составляющих коммерческую тайну.
Структура
перечня сведений, составляющих
коммерческую тайну и нормативное
закрепление состава защищаемой
информации.
Определение
состава носителей защищаемой информации.
Классификация
угроз и источников дестабилизирующего
воздействия на информацию и способы
воздействий.
Оценки
потенциального ущерба от дестабилизирующего
воздействия на информацию.
Потенциальные
каналы утечки информации и уязвимости.
Выявление
каналов несанкционированного доступа
к информации.
Понятие
и классификация моделей нарушителя.
Оценка
степени уязвимости информации в
зависимости от категорий нарушителей.
Анализ
рисков, сущность и основные понятия.
Основные
факторы риска и шкалы для их измерения.
Двух
и трехфакторный анализ рисков.
Моделирование
как инструмент анализа сложных систем.
Виды
моделей, применяемых при построении
КСЗИ.
Моделирование
объекта защиты.
Моделирование
угроз безопасности информации.
Функциональная
модель КСЗИ.
Организационная
модель КСЗИ.
Структурная
модель КСЗИ.
Основные
стадии построения КСЗИ.
Структура
и содержание документационного
обеспечения стадий создания КСЗИ.
Распределение
функций по защите информации между
персоналом предприятия и службой защиты
информации.
Определение
состава кадрового обеспечения
функционирования КСЗИ.
Подбор
и обучение персонала.
Нормативные
документы, регламентирующие деятельность
персонала по защите информации.
Материально-техническое
обеспечение КСЗИ.
Нормативно-методические
документы, обеспечивающие функционирование
КСЗИ.
Организация
и особенности управления КСЗИ.
Понятие
и задачи планирования. Способы и стадии
планирования.
Календарно-плановое
руководство.
Понятие,
цели и виды контроля, задачи контроля
в КСЗИ.
Особенности
управления в случае возникновения
чрезвычайных ситуаций.
Основные
подходы к оценке эффективности КСЗИ.

Глосарий

Абонент. Лицо (группа лиц или
организация), имеющее право на пользование
услугами соответствующей системы.

Автоматизированная система – система,
состоящая из персонала и комплекса
средств автоматизации его деятельности,
реализующая информационную технологию
выполнения установленных функций.

Авторизация — предоставление
аутентифицированному субъекту
соответствующих (предписанных
установленным порядком) прав на доступ
к объектам системы: какие данные и как
он может использовать (какие операции
с ними выполнять), какие программы может
выполнять, когда, как долго и с каких
терминалов может работать, какие ресурсы
системы может использовать и т.п.

Авторизованный субъект доступа —
субъект, которому предоставлены
соответствующие права доступа к объектам
системы (полномочия).

Администратор безопасности. Лицо,
уполномоченное специальным образом в
системе информационной безопасности
управлять всей системой или определенными
функциями в системе — сферами влияния.
Администратор безопасности системы
(подсистемы) отвечает за информационную
безопасность системы (подсистемы) в
целом и наделяет полномочиями определенных
пользователей, устанавливая для них
сферы влияния (сферы ответственности).

Администрирование. Процесс управления
защитой информации на общесистемном
уровне или на уровне сфер влияния,
ограниченных предоставленными
администраторам полномочиями. Сферы
влияния могут пересекаться и включать
одна другую. Администрирование на
общесистемном уровне поглощает все
сферы администрирования.

Архив. Система хранения информации
в течение установленного срока.

Аттестация. Комплекс проверок
программного (программно-аппаратного)
продукта с целью удостоверения
соответствия его установленным
требованиям в реальных условиях
эксплуатации.

Аудит безопасности. Аудит безопасности
включает распознавание, запись, хранение
и анализ информации, связанной с
действиями, влияющими на безопасность.
Получаемые в результате записи аудита
могут быть проанализированы для
определения значимости этих действий
для безопасности. Этот класс образован
из семейств, которые определяют, помимо
всего прочего, требования к отбору
событий, подлежащих аудиту, анализу
записей аудита, их защите и хранению.

Аудит. Периодический контроль
(просмотр) протокольной информации в
системе с целью обеспечения ее безопасности
или повышения производительности.

Аутентификация пользователя (абонента).
Проверка соответствия пользователя
предъявляемым им идентификатору и
паролю. Установление подлинности
пользователя.

Аутентификация сообщения. Добавление
к блоку данных контрольного поля для
обнаружения любых изменений в данных.

Безопасность информационной системы.
Свойство информационной системы
противостоять попыткам несанкционированного
доступа к ресурсам.

Безопасность компьютерной системы.
Свойство компьютерной системы
противостоять попыткам несанкционированного
доступа к обрабатываемой и хранимой
информации, вводу информации, приводящей
к деструктивным действиям и навязыванию
ложной информации, выходу (выводу) из
строя, разрушению ресурсов и системы в
целом.

Блокировка данных. Защита файла или
его части (блока, записи) путем запрещения
доступа к ним всех пользователей за
исключением одного.

Блокировка. Запрет на выполнение
последующих действий.

Верификация. Доказательство
правильности работы программы, комплекса,
системы.

Вирус. Программа, способная
самопроизвольно создавать свои копии
и модифицирующая другие программы,
записанные в файлах или системных
областях, для последующего получения
управления и воспроизводства новой
копии. Часто содержит логические бомбы
или создает различные аудио- и видеоэффекты.

Восстановление. Возврат к исходному
(доаварийному) состоянию или к нормальному
функционированию.

Готовность системы. Мера способности
системы выполнять свои функции при
нахождении в рабочем состоянии.
Количественно готовность можно оценить
с помощью коэффициента готовности.

Группа пользователей. Один или
несколько пользователей, объединенные
общими требованиями доступа к некоторым
ресурсам и выступающие как один субъект
доступа к ресурсам системы.

Данные. Информация, представленная
в формализованном виде, пригодном для
интерпретации, обработки и пересылки
ее автоматическими средствами при
возможном участии человека.

Дезинформация. Сознательное искажение
передаваемых сведений с целью ложного
представления улиц, использующих эти
сведения; передача ложной информации.

Дешифрование. Процесс восстановления
открытой информации из закрытой.
Выполняется с помощью аналитических
методов позволяющих определить
использованный ключ или понизить
стойкость алгоритма шифрования.

Диагностика. Контроль, проверка и
прогнозирование состояния объекта.
Цель технической диагностики — обнаружение
неисправностей и выявление элементов,
ненормальное функционирование которых
является причиной возникновения
неисправностей.

Достоверность. Свойство информации
быть правильно воспринятой; вероятность
отсутствия ошибок.

Доступ к информации – возможность
получения информации и ее использования,
модификации, уничтожения и т.п.

Доступ к ресурсу — получение субъектом
возможности манипулировать данным
ресурсом (использовать, управлять.
изменять настройки и т.п.).

Доступность. Свойство объекта
(системы, ресурса) быть доступным для
использования по назначению авторизованным
субъектом во время, определенное
регламентом работы.

Живучесть. Свойство системы оставаться
работоспособной в условиях внешних
воздействий.

Журнал. Набор данных (файл), используемый
для сбора и учета статистической
информации, различных сообщений и других
данных.

Задание по безопасности (ЗБ). Задание
по безопасности содержит цели и требования
безопасности ИТ для конкретно определенного
ОО и определяет функции безопасности
и меры обеспечения уверенности в
безопасности, предоставляемые этим ОО
для выполнения установленных требований.
В ЗБ может быть заявлено о соответствии
одному или нескольким ПЗ, и оно составляет
основу для оценки.

Защита от несанкционированного доступа
(НСД). Предотвращение или существенное
затруднение несанкционированного
доступа к программам и данным путем
использования аппаратных, программных
и криптографических методов и средств
защиты, а также проведения организационных
мероприятий. Наиболее распространенным
программным методом защиты является
парольная система.

Защита. Средства для ограничения
доступа или использования всех или
части ресурсов системы; юридические,
организационные и программно-технические
меры предотвращения несанкционированного
доступа к объектам системы (аппаратуре,
программам и данным).

Защищаемая информация – информация,
для которой обладателем информации
определены характеристики ее безопасности.

Идентификатор пользователя. Символическое
имя, присваиваемое отдельному пользователю
(лицу или группе лиц — субъекту).

Идентификация пользователя.
Присвоение пользователю (субъекту
доступа) идентификатора.

Идентификация группы. Присвоение
группе пользователей, имеющих общие
требования к защите некоторых ресурсов,
идентификатора.

Идентификация. Присвоение субъектам
и объектам доступа идентификаторов.
Ключ. Код, на основе которого производится
шифрование.

Информационно-телекоммуникационная
сеть общего
пользования – информационно-телекоммуникационная
сеть, которая открыта для использования
всеми физическими и юридическими лицами,
и в услугах которой этим лицам не может
быть отказано.

Информационная система персональных
данных (ИС) – это информационная
система, представляющая собой совокупность
персональных данных, содержащихся в
базе данных, а также информационных
технологий и технических средств,
позволяющих осуществлять обработку
таких персональных данных с использованием
средств автоматизации или без использования
таких средств.

Ключевая система. Совокупность
криптографических ключей и правил
обращения с ними при обеспечении
криптографической защиты информации.

Компрометация. Утеря конфиденциальной
(критичной) информации либо получение
ее неавторизованным для этого субъектом
(лицом, программой, процессом и т.п.).

Контроль доступа. Предупреждение
несанкционированного использования
какого-либо ресурса, включая предупреждение
использования ресурса несанкционированным
способом.

Контролируемая зона – это
пространство, в котором исключено
неконтролируемое пребывание сотрудников
и посетителей оператора и посторонних
транспортных, технических и иных
материальных средств. Границей
контролируемой зоны может быть: периметр
охраняемой территории предприятия
(учреждения), ограждающие конструкции
охраняемого здания, охраняемой части
здания, выделенного помещения.

Конфиденциальность информации – обязательное
для выполнения лицом, получившим доступ
к определенной информации, требование
не передавать такую информацию третьим
лицам без согласия ее обладателя.

Криптосредства – шифровальные
(криптографические) средства,
предназначенные для защиты информации,
не содержащей сведений, составляющих
государственную тайну. В частности, к
криптосредствам относятся средства
криптографической защиты информации
— шифровальные (криптографические)
средства защиты информации с ограниченным
доступом, не содержащей сведений,
составляющих государственную тайну.

Контрольная сумма. Уникальное число,
поставленное в соответствие некоторой
информации по определенному алгоритму,
позволяющее судить о целостности этой
информации.

Концепция. Определенный способ
понимания, трактовки каких-либо явлений,
основная точка зрения, руководящая идея
для их освещения, ведущий замысел,
конструктивный принцип различных видов
деятельности

Криптографическая система.
Совокупность технических и/или программных
средств, организационных методов,
обеспечивающих криптографическое
преобразование информации и управление
процессом распределения ключей.

Критичность. Критерий защиты
информации, позволяющий классифицировать
информацию и установить уровни защиты
информации в системе.

Мониторинг. Отображение текущего
состояния контролируемых объектов
системы с целью своевременного выявления
угроз безопасности.

Надежность. Характеристика способности
функционального узла, устройства,
системы выполнять при определенных
условиях требуемые функции в течение
определенного периода времени.
Показателями надежности являются
вероятность безотказной работы, среднее
время наработки на отказ, среднее время
восстановления.

Несанкционированный доступ
(несанкционированные действия) – доступ
к информации или действия с информацией,
осуществляемые с нарушением установленных
прав и (или) правил доступа к информации
или действий с ней с применением штатных
средств информационной системы или
средств, аналогичных им по своему
функциональному предназначению и
техническим характеристикам.

Нормативный (нормативно-технический)
документ. Документ, содержащий
требования, правила, общие принципы или
характеристики, касающиеся различных
видов деятельности или их результатов,
обязательный для исполнения в пределах
области распространения.

Объект. Пассивный компонент системы,
единица ресурса автоматизированной
системы (устройство, диск, каталог, файл
и т.п.), доступ к которому регламентируется
правилами разграничения доступа.

Объект защиты. Ресурс системы,
подлежащий защите.

Объект оценки (ОО). Та часть продукта
или системы, которая является предметом
оценки. Угрозы, цели и требования
безопасности объекта оценки, а также
краткая спецификация функций безопасности
и мер по обеспечению уверенности в
безопасности излагаются в задании по
безопасности (ЗБ), которое используется
оценщиками как основание при оценке.

Оператор. Тип пользователя,
выполняющего свои функциональные
обязанности путем непосредственного
взаимодействия с ЭВМ.

Описание объекта оценки. Устанавливает
контекст оценки. Поскольку рассматривается
определенная категория объекта оценки,
могут быть указаны совокупность
предположений и условия применения
объекта оценки этой категории.

Орган сертификации. Орган,
уполномоченный установленным образом
проводить сертификацию.

Отказ. Ситуация, в которой система
или какая-то ее часть оказывается
неспособной выполнять возлагаемые на
нее функции.

Оценка задания по безопасности.
Цель оценки задания по безопасности
состоит в том, чтобы показать, что задание
по безопасности является полным,
непротиворечивым и технически грамотным,
и поэтому оно пригодно в качестве основы
для оценки объекта оценки.

Оценка профиля защиты. Цель оценки
профиля защиты состоит в том, чтобы
показать, что профиль защиты является
полным, непротиворечивым и технически
грамотным. В дальнейшем применение
профиля защиты предусмотрено при
изложении требований к оцениваемому
объекту оценки.

Оценка. Основными исходными
материалами для оценки являются задание
по безопасности, совокупность свидетельств
об объекте оценки и собственно объект
оценки. Ожидаемым результатом процесса
оценивания является содержащееся в
одном или нескольких отчетах,
документирующих заключения оценки,
подтверждение того, что объект оценки
удовлетворяет требованиям задания по
безопасности.

Пароль ресурса. Идентификатор ресурса
(строка символов), который является его
секретом. Доступ к ресурсу получает
тот пользователь, который знает П.
ресурса.

Пароль. Секретный признак,
подтверждающий право доступа; обычно
это строка символов.

Парольная защита ресурса. Возможность
системы предоставить доступ к ресурсам,
защищенным паролями, только тем
пользователям, которым известны пароли.

Парольная история. Возможность
системы хранить предыдущие пароли и
при изменении пароля сравнивать новый
пароль с хранимыми, чтобы запретить
частое использование одних и тех же
паролей.

Персональные
данные – любая
информация, относящаяся к определенному
или определяемому на основании такой
информации физическому лицу (субъекту
персональных данных), в том числе его
фамилия, имя, отчество, дата и место
рождения, адрес, семейное, социальное,
имущественное положение, образование,
профессия, доходы, другая информация.

Подпись электронная. См. Подпись
цифровая.

Подпись цифровая. Последовательность
двоичных цифр, сформированная с
использованием информации, принадлежащей
только подписывающему лицу, и некоторой
контрольной суммы (см.) подписываемых
данных, добавляемая к блоку данных
(электронному сообщению) или результату
их криптографического преобразования,
позволяющая получателю данных проверить
подлинность источника и целостность
данных, что обеспечивает защиту от
подлога или подделки.

Подпись. Собственноручно написанная
фамилия.

Полномочия. Права субъекта
(пользователя, процесса, программы,
системы) на осуществление тех или иных
действий над защищаемым ресурсом.

Пользователь. Зарегистрированный
в системе субъект доступа к ее ресурсам.

Правила разграничения доступа.
Совокупность правил, регламентирующих
права доступа субъектов к объектам в
некоторой системе.

Протокол. Набор данных (файл),
содержащий информацию о произошедших
событиях и действиях субъектов в системе.

Протоколирование. Регистрация
действий субъектов и событий, имеющих
место в системе (подсистеме).

Профиль защиты (ПЗ). Профиль защиты
определяет независимую от реализации
совокупность требований и целей
безопасности для некоторой категории
продуктов или систем, отвечающую
одинаковым запросам потребителей в
безопасности ИТ. Профиль защиты
предназначен для неоднократного
применения и определения требований,
которые признаны полезными и эффективными
для достижения установленных целей.

Разграничение (контроль) доступа к
ресурсам АС. Такой порядок использования
ресурсов автоматизированной системы,
при котором субъекты получают доступ
к объектам системы в строгом соответствии
с установленными правилами.

Расшифрование. Операция, обратная
шифрованию и связанная с восстановлением
исходного текста из зашифрованного.

Реализация объекта оценки. Воплощение
объекта оценки в соответствии с его
спецификацией.

Регистрация. Документирование
(фиксация) идентификатора и пароля в
установленных для этого ресурсах
системы.

Резервирование. Комплекс мер по
обеспечению доступности системы в
случае сбоев или отказов технических
средств.

Резервное копирование. Комплекс
мер по созданию резервных копий информации
в системе с целью обеспечения
гарантированного восстановления ее
работоспособности в случае частичного
или полного разрушения (потери) информации.

Ресурс. Любой из компонентов системы
(лицо, программа, процедура, набор данных,
файл, компьютер, сеть и т.д.).

Риск. Риск есть стоимостное выражение
вероятности события, ведущего к потерям.

Санкционирование. Предоставление
права пользования услугами системы,
например, права доступа к данным.

Сбой. Кратковременный, неустойчивый
отказ оборудования.

Сертификат защиты (сертификат).
Документ, удостоверяющий соответствие
средств вычислительной техники или
автоматизированной системы набору
требований по защите от несанкционированного
доступа к информации и дающий право
разработчику на использование и/или
распространение их как защищенных.

Сертификат соответствия. Документ,
выдаваемый в соответствии с правилами
сертификации, указывающий, что
обеспечивается необходимая уверенность
в том, что должным образом идентифицированная
продукция, процесс или услуга, соответствует
конкретному стандарту или другому
нормативному документу.

Сертификация соответствия. Действие
третьей стороны, доказывающее, что
обеспечивается необходимая уверенность
в том, что должным образом идентифицированная
продукция, процесс или услуга, соответствуют
конкретному стандарту или другому
нормативному документу. (Третья сторона
— лицо или орган, признанные независимыми
от сторон, участвующих в рассматриваемом
вопросе).

Сертификация уровня защиты. Процесс
установления соответствия средства
вычислительной техники или автоматизированной
системы набору определенных требований
по защите.

Сертификация. Официальная аттестация
продукта.

Система защиты данных. Комплекс
аппаратных, программных и криптографических
средств, а также мероприятий, обеспечивающих
защиту данных от случайного или
преднамеренного разрушения, искажения
и использования.

Система разграничения доступа.
Совокупность реализуемых правил
разграничения доступа в средствах
вычислительной техники или автоматизированных
системах.

Система сертификации. Система,
располагающая собственными правилами
процедуры и управления для проведения
сертификации соответствия.

Спецификации безопасности объекта
оценки. Определяют фактически
существующую или предполагаемую
реализацию объекта оценки.

Список доступа. Перечень пользователей,
которым разрешен доступ к ресурсу
(объектам), с указанием предоставленных
прав доступа.

Среда безопасности. Законы, политики
безопасности организаций и т.д.,
определяющие условия использования
объекта оценки. Сюда также включены
угрозы, относящиеся к среде объекта
оценки.

Средства защиты информации – технические,
программные средства, вещества и (или)
материалы, предназначенные или
используемые для защиты информации.

Средства вычислительной
техники – совокупность программных
и технических элементов систем обработки
данных, способных функционировать
самостоятельно или в составе других
систем.

Средства криптографической защиты
информации – аппаратные,
программные и программно-аппаратные
средства, системы и комплексы, реализующие
алгоритмы криптографического
преобразования информации и предназначенные
для защиты информации при передаче по
каналам связи и (или) для защиты информации
от несанкционированного доступа при
ее обработке и хранении.

Субъект доступа. Пользователь (лицо)
или процесс, действия которых
регламентируются правилами разграничения
доступа.

Субъект защиты. См. Пользователь.

Технические средства информационной
системы персональных данных – средства
вычислительной техники,
информационно-вычислительные комплексы
и сети, средства и системы передачи,
приема и обработки персональных данных
(средства и системы звукозаписи,
звукоусиления, звуковоспроизведения,
переговорные и телевизионные устройства,
средства изготовления, тиражирования
документов и другие технические средства
обработки речевой, графической, видео-
и буквенно-цифровой информации),
программные средства (операционные
системы, системы управления базами
данных и т.п.), средства защиты информации.

Трафик. Поток сообщений в сети
передачи данных; рабочая нагрузка линии
связи.

Требования безопасности объекта
оценки. Преобразование целей
безопасности ИТ в совокупность специальных
требований к функциям и уверенности в
безопасности, относящихся к объекту
оценки и его среде ИТ.

Угроза. Потенциальная возможность
нарушения защиты от несанкционированного
доступа.

Угроза безопасности персональных
данных – совокупность условий и
факторов, создающих опасность
несанкционированного, в том числе
случайного, доступа к персональным
данным, результатом которого может
стать уничтожение, изменение, блокирование,
копирование, распространение персональных
данных, а также иных несанкционированных
действий при их обработке в информационной
системе персональных данных.

Уничтожение персональных данных – действия,
в результате которых невозможно
восстановить содержание персональных
данных в информационной системе
персональных данных или в результате
которых уничтожаются материальные
носители персональных данных.

Управление доступом. Определение,
ограничение, и контроль доступа
пользователей, программ и процессов
(субъектов) к данным, программам и
устройствам системы (объектам).

Уровень криптографической защиты
информации – совокупность
требований, предъявляемых к средству
криптографической защиты информации.

Уязвимость. Свойство системы, которое
может привести к нарушению ее защиты
при наличии угрозы.

Цели безопасности. Сформулированное
намерение противостоять идентифицированным
угрозам и/или удовлетворять принятой
политике безопасности организации и
предположениям.

Целостность наборов данных, сообщений.
Свойство набора данных, сообщений,
означающее, что они не могут быть изменены
или разрушены без санкции на доступ;
условия, при которых данные (сообщения)
сохраняются для использования по
назначению.

Целостность. Состояние данных или
компьютерной системы, в которой данные
или программы используются установленным
образом, обеспечивающим устойчивую
работу системы; автоматическое
восстановление в случае обнаружения
системой потенциальной ошибки;
автоматическое использование
альтернативных компонент вместо вышедших
из строя.

Шифрование канальное. Реальное
применение процедур шифрования данных
в канале передачи данных коммуникационной
системы.

Шифрование с открытым ключом.
Криптографический метод, в котором
используются раздельные ключи для
шифрования (открытый ключ) и расшифрования
(секретный ключ).

Шифрование. Преобразование данных
для получения шифрованного текста.

Характеристика безопасности
объекта – требование к объекту,
или к условиям его создания и существования,
или к информации об объекте и условиях
его создания и существования, выполнение
которого необходимо для обеспечения
защищенности жизненно важных интересов
личности, общества или государства.

Перечень сокращений

АРМ – автоматизированное рабочее место

АС – автоматизированная система

БД – база данных

ГОСТ – государственный стандарт

ИС – информационная система

ИСПДн – информационная система
персональных данных

КЗ – контролируемая зона

ЛВС – локальная вычислительная сеть

НЖМД – накопитель на жестких магнитных
дисках

НСД – несанкционированный доступ

ОС – операционная система

ПДн – персональные данные

ПО – программное обеспечение

ПС – программные средства

РД – руководящий документ

РФ – Российская Федерация

СВТ – средства вычислительной техники

СЗИ – система защиты информации

СЗПДн – система защиты персональных
данных

СКЗИ – средство криптографической
защиты информации

СУБД – система управления базами данных

ТКУИ – технические каналы утечки
информации

ТС – технические средства

ФСТЭК – Федеральная служба по техническому
и экспортному контролю

ФСБ – Федеральная служба безопасности

ЭЦП – электронная цифровая подпись

Используемая литература

Гостехкомиссия России. Руководящие
документы.
ГОСТы.
Федеральные законы в области защиты
информации.
Грибунин В.Г., Чудовский В.В. Комплексная
защита информации на предприятии. –
М.: Издательский центр «Академия», 2009.
– 416 с.
Гришина Н. В. Организация комплексной
системы защиты информации. — М.:
Гелиос АРВ, 2007. — 256 с.
Завгородний В.И. Комплексная защита
информации в компьютерных системах.
–М.: Логос, 2001. – 256 с.
Лепешкин О.М., Копытов В.В., Жук А.П.
Комплексные средства безопасности и
технические средства охранно-пожарной
сигнализации: Учебное пособие. – М.:
Гелиос АРВ, 2009. – 288 с.
Партыка Т.Л., Попов И.И. Информационная
безопасность. Учебное пособие для
студентов учреждений СПО. – 2-е изд.,
испр. и доп. М.: ФОРУМ: ИНФРА-М, 2007. – 368
с.
Северин В.А. Комплексная защита информации
на предприятии. / Под ред. Б.И. Пугинского.
–М.: Издательский дом «Городец», 2008. –
368 с.

Источник

Те кто уже успел изучить новые методики регуляторов по моделированию угроз, наверное заметили, что большое внимание уделяется описанию потенциального нарушителя. Например, в проекте методики моделирования угроз от ФСТЭК подробно описаны виды нарушителей и их мотивация. В банке угроз ФСТЭК, для каждой угрозы задан тип и потенциал нарушителя, который может ее реализовать. В общем, модель нарушителя перестает быть простой формальностью и начинает оказывать большое влияние на перечень актуальных угроз.

Проблема в том, что подходы двух регуляторов (ФСБ и ФСТЭК) к формированию модели нарушителя, несколько отличаются. ФСБ отвечает за регулирование в области криптографии и ее методика в основном служит для выбора класса криптосредств. Соответственно, ФСБ при описании нарушителя делает упор на возможностях нарушителя по атакам на криптосредства и среду их функционирования (СФ). Методика ФСТЭК более широкая и описывает возможности нарушителя по атакам на систему в целом.

В результате перед разработчиком модели угроз стоит выбор: либо сделать две модели нарушителя по разным методикам, либо пытаться объединить подходы обоих регуляторов в едином документе.

Поэтому обычно разрабатывается два документа: модель угроз ФСТЭК (включающая свое описание нарушителей) и, отдельно, модель нарушителя ФСБ. По крайней мере так поступали безопасники в большинстве проектов, которые я видел. Две модели нарушителя в одном проекте — это то не очень логично.

В связи с выходом новых документов ФСТЭК и ФСБ, интересно насколько сблизились подходы регуляторов к к описанию потенциальных нарушителей. Стала модель нарушителя более логичной?

Модель нарушителя по ФСТЭК

В проекте методики ФСТЭК перечислены виды нарушителей и их потенциал. Потенциал нарушителя может быть высоким, средним или низким. Для каждого из вариантов задан свой набор возможностей:

Так, нарушители с низким потенциаломмогут для реализации атак использовать информацию только из общедоступных источников. К нарушителям с низким потенциалом ФСТЭК относит любых «внешних» лиц, а также внутренний персонал и пользователей системы.

Нарушители со средним потенциаломимеют возможность проводить анализ кода прикладного программного обеспечения, самостоятельно находить в нем уязвимости и использовать их. К таким нарушителям ФСТЭК относит террористические и криминальные группы, конкурирующие организации, администраторов системы и разработчиков ПО.

Нарушители с высоким потенциаломимеют возможность вносить закладки в программно-техническое обеспечение системы, проводить специальные исследования и применять спец. средства проникновения и добывания информации. К таким нарушителям ФСТЭК относит только иностранные спецслужбы.

Возможности нарушителей по ФСБ

Как уже говорилось выше, у ФСБ своя методика угроз, с криптосредствами и СФ В недавно вышедших методических рекомендациях приводится 6 обобщенных возможностей нарушителей:
1) Возможность проводить атаки только за пределами КЗ;
2) Возможность проводить атаки в пределах КЗ, но без физического доступа к СВТ.
3) Возможность проводить атаки в пределах КЗ, с физическим доступом к СВТ.
4) Возможность привлекать специалистов, имеющих опыт в области анализа сигналов линейной передачи и ПЭМИН;
5) Возможность привлекать специалистов, имеющих опыт в области использования НДВ прикладного ПО;
6) Возможность привлекать специалистов, имеющих опыт в области использования НДВ аппаратного и программного компонентовсреды функционирования СКЗИ.

Эти возможности соответствуют классам криптосредств (СКЗИ). В зависимости от того, какую возможность мы признаем актуальной, необходимо использовать СКЗИ соответствующего класса. Подробнее это детализировано в другом документе — в приказе ФСБ №378.

Конкретных примеров нарушителей (террористы, конкуренты и т.д.) в своих новых документах ФСБ не дает. Но вспомним, что ранее были методические рекомендации ФСБ 2008 г.. В них то как раз рассказывалось о 6 типах нарушителей, которые обозначались как Н1- Н6. Возможности описанные в новых документах ФСБ соответствуют тем самым нарушителям Н1 — Н6 из старых методических рекомендаций.

Объединяем нарушителей ФСТЭК и ФСБ

Если прочесть описание возможностей нарушителя, то можно заметить, что оба регулятора уделяют внимание возможностям нарушителя по использованию НДВ. Сравнив описания нарушителей у ФСТЭК и ФСБ, получим примерно следующее:

В случае, если система не относится к ГИС, стоит взглянуть на три типа угроз из ПП 1119:

Угрозы 1 типа явно может использовать только нарушитель с высоким потенциалом. Угрозы 2 типа — нарушитель со средним потенциалом, а угрозы 3 типа — с низким. Поскольку большинство операторов рассматривают актуальными только угрозы 3 типа, то потенциал у нарушителей будет низкий.

У новых методик ФСТЭК и ФСБ есть внятные точки соприкосновения. Грамотно комбинируя обе методики, можно разработать общую и непротиворечивую модель угроз. А заодно и снизить потенциал нарушителя и класс используемых средств защиты.

Источник

Темы самостоятельной работы	Количество часов	Пояснения к выполнению
1	2	3
Введение
Производственная структура современного предприятия. Примеры нарушения на предприятиях информационной безопасности.	2 часа	Подготовьте краткий доклад или реферат. Воспользуйтесь поиском в Интернет для нахождения описания структур различных предприятий (желательно крупного и мелкого предприятия). Сравните уровень сложности этих структур Примеры нарушения информационной безопасности можно найти на сайтах по ИБ.
Тема 1.1 Сущность и задачи комплексной системы защиты информации
Политики безопасности: мандатная (полномочная), избирательная (матричная), ролевая, комплексная.	4 часа	Необходимо выполнить в тетради или в распечатанном формате конспект основных понятий и механизмов реализации различных политик безопасности. Указать достоинства и недостатки. Средства реализации политик при разграничении доступа к системе.
Тема 1.2 Определение состава защищаемой информации
Виды тайн в различных областях жизнедеятельности человека и законодательная база для их защиты.	6 часов	Возьмите у преподавателя тему по определенному виду тайны. Изучите законодательные основы для отнесения определенной информации к защищаемой. Подготовьте краткий конспект.
Тема 1.3 Источники, способы и результаты дестабилизирующего воздействия на информацию
ГОСТы и руководящие документы, используемые при построении КСЗИ.	6 часов	Необходимо сделать краткий конспект определенных преподавателем документов.
Тема 1.4 Каналы и методы несанкционированного доступа к информации
Организация физического проникновения к носителям конфиденциальной информации на предприятии.	4 часов	Подготовьте краткий доклад или реферат в соответствии с полученной темой.

1	2	3
Принципы вербовки и (или) внедрения агентов. Способы и средства подключения к средствам отображение, хранения, обработки, воспроизведения и передачи информации средствам связи. Механизмы перехвата электромагнитных излучений. Изучение доступных источников информации. Замеры и взятие проб окружающей объект среды.
Тема 2.1 Моделирование процессов комплексной системы защиты информации
Построение обобщенной схемы технических каналов утечки информации и схемы размещения средств защиты.	6	По данным соответствующим разработанным в практических работах 1, 2, 3, 4 постройте в САПР Компас 3D схему технических каналов утечки информации и схему размещения средств защиты.
Тема 2.2 Технологическое построение комплексной системы защиты информации
Рассмотрение возможных вариантов выбора состава КСЗИ.	4	По данным соответствующим разработанным в практических работах 1, 2, 3, 4, 5 выберите альтернативные системы защиты.
Тема 2.3 Кадровое обеспечение комплексной системы защиты информации
Изучение кодексов корпоративного поведения.	2	Подготовьте доклад или реферат по основным пунктам Кодекса корпоративного поведения. Можно сравнить кодексы нескольких предприятий. На основе полученных данных напишите свой Кодекс корпоративного поведения для предприятия рассмотренного в практических работах 1, 2, 3, 4.
Тема 2.4 Материально-техническое и нормативно-методическое обеспечение КСЗИ
Нормативно-методическое обеспечение КСЗИ: перечень документов и их содержание.	4	Рассмотрите содержание документов, относящихся к нормативно-методическому обеспечению КСЗИ. Составьте краткий конспект.

1	2	3
Тема 2.5 Управление комплексной системой защиты информации
Характеристика личностных качеств и компетенций, которыми должен обладать: — руководитель предприятия; — руководитель службы ИБ; — сотрудник службы ИБ.	2	Подготовьте краткий доклад или реферат в соответствии с полученной темой.
Тема 2.6 Управление комплексной системой защиты информации в условиях чрезвычайных ситуаций
Анализ реальных чрезвычайных ситуаций и их последствий.	2	Подготовьте краткий доклад или реферат в соответствии с полученной темой.

Что делать?

Составляем модель нарушителей: на что обратить внимание

Что такое модель нарушителя?

Модель нарушителя по ФСБ

Модель нарушителя по ФСТЭК

Отсеять лишнее

Объединение нарушителей

Зачем нужна модель угроз?

Содержание модели угроз

Вступительная часть модели угроз

Раздел «Нормативно-методическое обеспечение»

Общие положения

Описание информационной системы

Модель нарушителя

«ФСБшные» разделы

Уязвимости

Частная модель угроз безопасности

Уровень исходной защищенности

Опасность угроз

Исключение «лишних» угроз

Описание угроз

Список актуальных угроз

«Что такое модель угроз и нарушителя?»

Нормативно-методическая база

Содержание модели угроз

Выводы

1. Общие положения

2. Определение нсд

3. Основные принципы защиты от нсд

4. Модель нарушителя в ас

5. Основные способы нсд

6. Основные направления обеспечения защиты от нсд

2. Требования по защите информации от нсд для ас

Практическая работа № 5 Разработка модели угроз информационной безопасности

Практическая работа № 6 Разработка проекта подсистемы защиты информации для автоматизированной системы (ас)

Практическая работа № 7 Разработка модели защиты

Типовая модель защиты

Практическая работа № 8 Выбор основных механизмов и средств обеспечения безопасности информации.

1. Заполните таблицу

Практическая работа № 9 Распределение функций по защите информации

Практическая работа № 10 Внутренние нормативные и методические документы по защите информации

Практическая работа № 11 Подготовка мероприятий по защите информации в условиях чрезвычайной ситуации

Примерная инструкция о порядке работы государственных архивов при чрезвычайных ситуациях

Рекомендации по выполнению внеаудиторной самостоятельной работы студентов

Аттестационно-педагогические измерительные материалы

1. Апим (тест) по дисциплине «Эксплуатация комплексной системы защиты информации» для специальности 090108 «Информационная безопасность»

1.1 Выписка из гос спо специальности 090108 «Информационная безопасность» по дисциплине «Эксплуатация комплексной системы защиты информации»

1.2 Дидактические единицы (де) дисциплины «Эксплуатация комплексной системы защиты информации»

2 Тестовые задания

Примерный перечень вопросов к экзамену

Глосарий

Перечень сокращений

Используемая литература