Стратегии защиты информации в организации (предприятии).

Виды угроз безопасности информации, защищаемой техническими средствами.

Под безопасностью информации следует понимать условия хранения, обработки и передачи информации, при которых обеспечивается ее защита от угроз уничтожения, изменения и хищения. Следует различать потенциальную и реальную безопасность. Потенциальная безопасность информации, как и любого другого объекта или субъекта, существует всегда. Безопасность информации оценивается двумя показателями: вероятностью предотвращения угроз и временем, в течение которого обеспечивается определенный уровень безопасности. Эти показатели взаимозависимые. При заданных конкретных мерах по защите обеспечить более высокий уровень безопасности возможно в течение более короткого времени. Информация постоянно подвергается случайным или преднамеренным воздействиям - угрозам: хищению, изменению, уничтожению. В общем случае эти угрозы реализуются в результате: 1) действий злоумышленников: людей, занимающихся добыванием информации в интересах государственной и коммерческой разведки, криминальных элементов, непорядочных сотрудников или просто психически больных людей; 2) разглашения информации людьми, владеющими секретной или конфиденциальной информацией; 3) утери носителей с информацией (документов, машинных носителей, образцов материалов и др.); 4) несанкционированного распространения информации через поля и электрические сигналы, случайно возникающие в электрических и радиоэлектронных приборов в результате их старения, некачественного конструирования (изготовления) и нарушений правил эксплуатации; 5) воздействий стихийных сил, прежде всего, огня во время пожара и воды в ходе тушения пожара и протечками в трубах водоснабжения; 6)сбоев в работе аппаратуры сбора, обработки, хранения и передачи информации, вызванных ее неисправностями, а также непреднамеренных ошибок пользователей или обслуживающего персонала; 7) воздействия мощных электромагнитных и электрических промышленных и природных помех. Несанкционированное распространение (утечка) информации может происходить в результате: 1) наблюдения за источниками информации; 2) подслушивания конфиденциальных разговоров и акустических сигналов; 3) перехвата электрических, магнитных и электромагнитных полей, электрических сигналов и радиационных излучений; 4) несанкционированного распространения материально-вещественных носителей за пределы организации. Наблюдение включает различные формы: визуальное, визуально-оптическое (с помощью оптических приборов), телевизионное и радиолокационное наблюдение, фотографирование объектов в оптическом и инфракрасном диапазонах. Учитывая распространенность акустической информации при общении людей, подслушивание, прежде всего, речевой информации вызывает одну из наиболее часто встречающихся угроз безопасности информации - ее копирование. Подслушивание звуков, издаваемых механизмами во время испытаний или эксплуатации, позволяет специалистам определить конструкцию, новые узлы и технические решения излучающих эти звуки механизмов. Перехват полей и электрических сигналов, содержащих информацию, осуществляется путем их приема злоумышленником и съема с них информации, а также анализа сигналов с целью получения сигнальных признаков. Наблюдение, перехват и подслушивание информации, проводимые с использованием технических устройств, приводят к ее утечке по техническим каналам.

Стратегии защиты информации в организации (предприятии).

Под стратегией вообще понимается общая направленность в организации соответствующей деятельности, разрабатываемая с учетом объективных потребностей в данном виде деятельности, потенциально возможных условий ее осуществления и возможностей организации. Задача стратегии состоит в создании конкурентного преимущества, устранении негативного эффекта нестабильности окружающей среды, обеспечении доходности, уравновешении внешних требований и внутренних возможностей. Через ее призму рассматриваются все деловые ситуации, с которыми организация сталкивается в повседневной жизни. Исходный момент формирования стратегии — постановка глобальных качественных целей и параметров де­ятельности, которые организация должна достичь в буду­щем. В результате увязки целей и ресурсов формируются альтернативные варианты развития, оценка которых позволяет выбрать лучшую стратегию. Единых рецептов выработки стратегий не существует. В одном случае целесообразно стратегическое планирование (программирование); в другом - ситуационный подход. В соответствии с наиболее реальными вариантами сочетаний значений рассмотренных факторов выделено три стратегии защиты: 1) оборонительная — защита от уже известных угроз, осуществляемая автономно, т. е. без оказания существенного влияния на информационно-управляющую систему; 2) наступательная — защита от всего множества потенциально возможных угроз, при осуществлении которой в архитектуре информационно-управляющей системы и технологии ее функционирования должны учитываться условия, продиктованные потребностями защиты; 3) упреждающая — создание информационной среды, в которой угрозы информации не имели бы условий для проявления

Перечень основных документов отрабатываемых службой защиты информации в организации и их краткое содержание.

В Уставе организации (основном документе, в соответствии с которым организация осуществляет свою деятельность), во всех положениях о структурных подразделениях организации (департаментов, управлений, отделов, служб, групп, секторов и т.п.) и в функциональных обязанностях всех сотрудников, участвующих в процессах автоматизированной обработки информации, должны быть отражены требования по обеспечению информационной безопасности при работе в АС. Задачи организации и функции по ОИБ ее подразделений и сотрудников в перечисленных выше документах должны формулироваться с учетом положений действующего в России законодательства по информатизации и защите информации (Федеральных Законов, Указов Президента РФ, Постановлений Правительства РФ и других нормативных документов). Конкретизация задач и функций структурных подразделений, а также детальная регламентация действий сотрудников организации, их ответственность и полномочия по вопросам ОИБ при эксплуатации АС должны осуществляться как путем дополнения существующих документов соответствующими пунктами, так и путем разработки и введения в действие дополнительных внутренних организационно-распорядительных документов по ОИБ.

В целях обеспечения единого понимания всеми подразделениями и должностными лицами (сотрудниками) организации проблем и задач по обеспечению безопасности информации в организации целесообразно разработать «Концепцию обеспечения информационной безопасности» организации. В Концепции должны определяться основные задачи по защите информации и процессов ее обработки, намечаться подходы и основные пути решения данных задач. Необходимым элементом организации работ по обеспечению безопасности информации, является категорирование, то есть определение требуемых степеней защищенности (категорий) ресурсов АС (информации, задач, каналов взаимодействия задач, компьютеров). Для обеспечения управления и контроля за соблюдением установленных требований к защите информации организации необходимо разработать и принять «Положение об определении требований по защите (категорировании) ресурсов» в АС организации. Целесообразно введение классификации защищаемой информации, включаемой в «Перечень информационных ресурсов, подлежащих защите», не только по уровню конфиденциальности (конфиденциально, строго конфиденциально и т.д.), но и по уровню ценности информации. В данном Перечне необходимо также указывать подразделения организации, являющиеся владельцами конкретной защищаемой информации и отвечающие за установление требований к режиму ее защиты. Любые изменения состава и полномочий пользователей подсистем АС должны производиться установленным порядком согласно специальной "Инструкции по внесению изменений в списки пользователей АС и наделению их полномочиями доступа к ресурсам системы". Меры безопасности при вводе в эксплуатацию новых рабочих станций и серверов, а также при изменениях конфигурации технических и программных средств существующих компьютеров в АС должны определяться "Инструкцией по установке, модификации и техническому обслуживанию программного обеспечения и аппаратных средств компьютеров АС". Разработка ПО задач (комплексов задач), проведение испытаний разработанного и приобретенного ПО, передача ПО в эксплуатацию должна осуществляться в соответствии с утвержденным «Порядком разработки, проведения испытаний и передачи задач (комплексов задач) в эксплуатацию». «Инструкция по организации антивирусной защиты» должна регламентировать организацию защиты АС от разрушающего воздействия компьютерных вирусов и устанавливать ответственность руководителей и сотрудников подразделений, эксплуатирующих и сопровождающих АС, за их ненадлежащее выполнение. «Инструкция по организации парольной защиты» призвана регламентировать процессы генерации, смены и прекращения действия паролей пользователей в автоматизированной системе организации, а также контроль за действиями пользователей и обслуживающего персонала системы при работе с паролями. При использовании в некоторых подсистемах АС средств криптографической защиты информации и средств электронной цифровой подписи необходим еще один документ, регламентирующий действия конечных пользователей, - «Порядок работы с носителями ключевой информации». Для пользователей защищенных АРМ (на которых обрабатывается защищаемая информация или решаются подлежащие защите задачи и на которых установлены соответствующие средства защиты) должны быть разработаны необходимые дополнения к функциональным обязанностям и технологическим инструкциям, закрепляющие требования по обеспечению информационной безопасности при работе в АС и ответственность сотрудников за реализацию мер по обеспечению установленного режима защиты информации.

 

Билет 9

1. Семейство международных стандартов на системы менеджмента информационной безопасности.

Семейство Международных Стандартов на Системы Управления Информационной Безопасностью 27000 разрабатывается ISO/IEC JTC 1/SC 27. Это семейство включает в себя Международные стандарты, определяющие требования к системам управления информационной безопасностью, управление рисками, метрики и измерения, а также руководство по внедрению. Для этого семейства стандартов используется последовательная схема нумерации, начиная с 27000 и далее.

Некоторые стандарты данного семейства:

- ISO 27000 ISO/IEC 27000:2009 Information technology. Security techniques. Information security management systems. Overview and vocabulary - Определения и основные принципы. Выпущен в июле 2009г.

- ISO 27001 ISO/IEC 27001:2005/BS 7799-2:2005 Information technology. Security techniques. Information security management systems. Requirements - Информационные технологии. Методы обеспечения безопасности. Системы управления информационной безопасностью. Требования. Выпущен в октябре 2005г.

- ISO 27002 ISO/IEC 27002:2005, BS 7799-1:2005,BS ISO/IEC 17799:2005 Information technology. Security techniques. Code of practice for information security management - Информационные технологии. Методы обеспечения безопасности. Практические правила управления информационной безопасностью. Выпущен в июне 2005г.

- ISO 27003 ISO/IEC 27003:2010 Information Technology. Security Techniques. Information Security Management Systems Implementation Guidance - Руководство по внедрению системы управления информационной безопасностью. Выпущен в январе 2010г.

- ISO 27004 ISO/IEC 27004:2009 Information technology. Security techniques. Information security management. Measurement - Измерение эффективности системы управления информационной безопасностью. Выпущен в январе 2010г.

- ISO 27005 ISO/IEC 27005:2008 Information technology. Security techniques. Information security risk management - Информационные технологии. Методы обеспечения безопасности. Управление рисками информационной безопасности. Выпущен в июне 2008г.

2. Защита права на личную информацию с ограниченным доступом.

(ФЗ от 27.07.06 №149 «Об информации информационных технологиях и о защите информации») Обладатель информации, если иное не предусмотрено федеральными законами, вправе: 1) разрешать или ограничивать доступ к информации, определять порядок и условия такого доступа; 2) использовать информацию, в том числе распространять ее, по своему усмотрению; 3)передавать информацию другим лицам по договору или на ином установленном законом основании; 4) защищать установленными законом способами свои права в случае незаконного получения информации или ее незаконного использования иными лицами; 5) осуществлять иные действия с информацией или разрешать осуществление таких действий.

Обладатель информации при осуществлении своих прав обязан: 1) соблюдать права и законные интересы иных лиц; 2)принимать меры по защите информации; 3) ограничивать доступ к информации, если такая обязанность установлена федеральными законами.

Так же защита прав на личную информацию прописана в ФЗ №152 «О персональных данных» Настоящим Федеральным законом регулируются отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами (далее - государственные органы), органами местного самоуправления, не входящими в систему органов местного самоуправления муниципальными органами (далее - муниципальные органы), юридическими лицами, физическими лицами с использованием средств автоматизации или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации.

3. Организация подготовки и проведения совещаний и заседаний по конфиденциальным вопросам.

В ходе повседневной деятельности предприятий, связанной с использованием конфиденциальной информации, планируются и проводятся служебные совещания, на которых рассматриваются или обсуждаются вопросы конфиденциального характера. Мероприятия по защите информации проводятся при подготовке, в ходе проведения и по окончании совещания. В работе руководства и должностных лиц предприятия по защите информации при проведении совещания важное место занимает этап планирования конкретных мероприятий, направлениях на исключение утечки конфиденциальной информации и на ее защиту. Планирование мероприятий по защите информации проводится заблаговременно до начала совещания и включает выработку конкретных мер, определение ответственных за их реализацию должностных лиц (структурных подразделений), а также сроков их осуществления. При планировании совещания предусматривается такая очередность рассмотрения вопросов, при которой будет исключено участие в их обсуждении лиц, не имеющих к ним прямого отношения.

План мероприятий по защите информации при проведении совещания с участием представителей сторонних организаций содержит следующие основные разделы. 1)Определение состава участников и их оповещение — порядок формирования списка лиц, привлекаемых к участию в совещании, и перечня предприятий, которым необходимо направить запросы с приглашениями. 2)Подготовка служебных помещений, в которых планируется проведение совещания, — работа по выбору служебных помещений и проверке их соответствия требованиям по защите информации; необходимость и целесообразность принятия дополнительных организационно-технических мер, направленных на исключение утечки информации; оборудование рабочих мест участников совещания; порядок использования средств звукоусиления, кино- и видеоаппаратуры. 3)Определение объема обсуждаемой информации — порядок определения перечня вопросов, выносимых на совещание, и очередности их рассмотрения, оценки степени их конфиденциальности. 4)Организация пропускного режима на территории и в служебных помещениях, в которых проводится совещание — виды пропусков и проставляемых на них условных знаков или шифров для прохода в конкретные служебные помещения; порядок их учета, хранения, выдачи и выведения из действия; количество и регламент работы основных и дополнительных контрольно-пропускных пунктов для прохода участников совещания на территорию и в служебные помещения. 5)Организация допуска участников совещания к рассматриваемым вопросам — мероприятия, касающиеся непосредственного допуска участников к вопросам, выносимым на совещание, с учетом порядка их обсуждения и степени конфиденциальности информации, к которой допущен каждый участник совещания. 6)Осуществление записи (стенограммы), фото-, кино-, видеосъемки совещания — порядок и возможные способы записи, съемки, стенографирования хода совещания и обсуждаемых вопросов с учетом их конфиденциальности. 7)Меры по защите информации непосредственно при проведении совещания — порядок и способы охраны служебных помещений, меры по исключению проникновения в них посторонних лиц, а также участников совещания, не участвующих в рассмотрении конкретных вопросов; мероприятия по предотвращению утечки информации по техническим каналам, силы и средства, задействованные при проведении этих мероприятий; конкретные меры, исключающие визуальный просмотр и прослушивание ведущихся переговоров и обсуждения участниками совещания вопросов конфиденциального характера. 8) Организация учета, хранения, выдачи и рассылки материалов совещания — порядок учета, хранения, размножения, выдачи, рассылки и уничтожения материалов совещания, а также рабочих тетрадей или блокнотов, предназначенных для записи обсуждаемых вопросов; 9)Оформление документов лиц, принимавших участие в совещании, — порядок и сроки оформления документов, подтверждающих право доступа участников совещания к конфиденциальной информации, предписаний или доверенностей на участие в совещании. 10) Проверка и обследование места проведения совещания после его окончания — мероприятия по организации и проведению визуальной проверки, а также проверки с использованием специальных технических средств помещений, в которых проводилось совещание, в целях выявления забытых участниками совещаний технических устройств, носителей конфиденциальной информации и личных вещей. 11) Организация контроля за выполнением требований по защите информации — порядок, способы и методы контроля полноты и качества проводимых мероприятий, направленных на предотвращение утечки и разглашения конфиденциальной информации.

 

 

Билет 10

1. Принципы добывания и обработки информации техническими средствами.

Добывание информации осуществляется постоянно легальными способами и при недостаточности полученной этими способами информации - путем проведения тайных операций. Легальное добывание информации проводится путем изучения и обработки публикаций по интересующих разведку вопросом в средствах массовой информации, журналах, трудах и др. Нужную информацию можно найти в материалах, имеющих непосредственное отношение к деятельности фирмы: в соглашении о лицензиях, статьях и докладах, годовых отчетах фирм, рекламной литературе и др. Добывание информации в общем случае представляет процесс, который начинается с момента постановки задачи ее пользователями руководством) до момента предоставления пользователям информации, соответствующей поставленным задачам и требованиям. Технология добывания информации включает следующие этапы: 1)организация добывания; 2)добывание данных и сведений; 3) информационная работа. Организация добывания информации предусматривает: 1) декомпозицию (структурирование) задач, поставленных пользователями; 2)разработку замысла операции по добыванию информации; 3)планирование; 4)постановка задач исполнителям; 5)нормативное и оперативное управление действиями исполнителей и режимами работы технических средств. Сведения и данные добываются соответствующими органами путем поиска источников информации и ее носителей, их обнаружение, установление разведывательного контакта с ними, получения данных и сведений. Сведения и данные представляют фрагменты информации и отличаются друг от друга тем, что данные снимаются непосредственно с носителя, а сведения - проанализированные данные. Поиск объектов разведки (источников и носителей информации) производится в пространстве и во времени, а для носителей в виде полей и электрического тока - также по частоте сигнала. Поиск завершается обнаружением объектов разведки и получением от них данных. Обнаружение интересующих разведку объектов в процессе поиска производится по их демаскирующим признакам и заключается в процедуре выделения объекта на фоне других объектов. Основу процесса обнаружения составляет процедура идентификации - сравнение текущих признаковых структур, формируемых в процессе поиска, с эталонной признаковой структурой объекта разведки. Если эталонная признаковая структура отсутствует или принадлежность их объекту вызывает сомнение, то процессу поиска объекта разведки предшествует этап поиска его эталонных (достоверных) признаков. Добытые данные, как правило, разрозненные. Они преобразуются в информацию, отвечающую на поставленные задачи, в ходе информационной работы, выполняемую органами сбора и обработки информации. Информационная или аналитическая работа включает следующие процессы: 1)сбор данных и сведений от органов добывания; 2)видовая обработка; 3)комплексная обработка. Данные и сведения (в случае предварительной обработки данных в органе добывания) передаются в орган видовой обработки. Необходимость видовой обработки обусловлена различиями языков признаков, добываемых органами различных видов. В ходе видовой и комплексной обработки формируются первичные и вторичные сведения на основе методов синтеза информации и процедур идентификации и интерпретации данных и сведений.

2. Объекты защиты информации на предприятии. Принципы их формирования и классификации.

Объект защиты информации - информация или носитель информации или информационный процесс, в отношении которых необходимо обеспечивать защиту в соответствии с поставленной целью защиты информации. В обобщенный перечень объектов защиты информации входят: 1)информационные ресурсы или собственно информация в содержательно-тематическом смысле; 2)системы формирования, распространения, хранения, обработки и использования информационных ресурсов; 3)информационная инфраструктура – объединение предыдущей системы со средствами передачи информации между субъектами информационных отношений (со средствами, образующими информационные коммуникации). Принципиальное значение имеет однозначное определение и единый подход к формированию полных перечней объектов и элементов. Основным методом формирования перечней является структурно-логический анализ архитектурной топологий АС, технологических схем обработки информации, с выделением фрагментов. Структуризация АС на объекты защиты предполагает: 1)повышение эффективности процесса защиты данных за счет полного охвата всех информационных объектов; 2)рациональное распределение защитных ресурсов в соответствии с важностью, обрабатываемой и хранимой в типовых структурных компонентах ИС информации; 3)приведение динамики процесса защиты данных в соответствие с динамикой их обработки и использования. Информация является предметом защиты, но защищать ее как таковую невозможно, поскольку она не существует сама по себе, а фиксируется (отображается) в определенных материальных объектах. Согласно ГОСТ 50922-96 «Защита информации. Основные термины и определения», носитель информации — это «физическое лицо или материальный объект, в том чис­ле физическое поле, в которых информация находит свое отображение в виде символов, образов, сигналов, техни­ческих решений и процессов». Носители защищаемой информации можно классифицировать как: 1)документы; 2)изделия (предметы); 3)вещества и материалы; 4)электромагнитные, тепловые, радиационный и другие излучения; 5)акустические и другие поля и т. п. Кроме того, объектами защиты должны быть: 1)средства отображения, обработки, воспроизведения и передачи конфиденциальной информации, в том числе: ЭВМ, средства видео- звукозаписывающей и воспроизводящей техники; 2)средства транспортировки носителей конфиденциальной информации; 3)средства радио- и кабельной связи, радиовещания телевидения, используемые для передачи конфиденциальной информации; 4)системы обеспечения функционирования предприятия (электро-, водоснабжение, кондиционирование и др.); 5)технические средства защиты информации и контроля за ними. 6)Выпускаемая продукция (изделия). 7)Технологические процессы изготовления продукции, которые включают в себя как технологию производства продукции, так и применяемые при ее изготовлении компоненты (средства производства): оборудование, приборы, материалы, вещества, сырье, топливо и др. 8)Физические поля, в которых информация фиксируется путем изменения их интенсивности, количественных характеристик, отображается в виде сигналов, а в электромагнитных полях и в виде образов. 9)Прилегающая территория к предприятию. Чтобы обеспечить защиту, необходимо защищать и объекты, которые являются подступами к носителям, 10)Здания предприятия 11)Помещения. Защита зданий является вторым рубежом защиты носителей.

3. Порядок оформления документов, необходимых для получения лицензий в области защиты конфиденциальной информации.

Положение о лицензировании деятельности по технической защите конфиденциальной информации Утверждено постановлением Правительства Российской Федерации от 15 августа 2006 г. № 504. Лицензирование деятельности по технической защите конфиденциальной информации осуществляет ФСТЭК. Для получения лицензии соискатель лицензии направляет или представляет в лицензирующий орган следующие документы: 1) заявление о предоставлении лицензии с указанием наименования и организационно-правовой формы юридического лица, места его нахождения; лицензируемого вида деятельности, который намерены осуществлять; 2)копии учредительных документов и копия свидетельства о государственной регистрации соискателя лицензии в качестве юридического лица - для юридического лица; 3) копия свидетельства о государственной регистрации гражданина в качестве индивидуального предпринимателя - для индивидуального предпринимателя; 4) копия свидетельства о постановке соискателя лицензии на учет в налоговом органе; 5) документ, подтверждающий уплату лицензионного сбора; 6)копии документов, подтверждающих квалификацию специалистов по защите информации; 7)копии документов, подтверждающих право собственности, право хозяйственного ведения или оперативного управления на помещения, предназначенные для осуществления лицензируемой деятельности, либо копии договоров аренды; 8)копии аттестатов соответствия защищаемых помещений требованиям безопасности информации; 9) копии технического паспорта АС с приложениями, акта классификации АС по требованиям безопасности информации, плана размещения основных и вспомогательных технических средств и систем, аттестата соответствия АС требованиям безопасности информации, а также перечень защищаемых в АС ресурсов с подтверждением степени конфиденциальности каждого ресурса; 10)копии документов, подтверждающих право на используемые для осуществления лицензируемой деятельности программы для ЭВМ и БД; 11)сведения о наличии производственного и контрольно-измерительного оборудования, средств ЗИ и средств контроля защищенности информации, с приложением копий документов о поверке контрольно-измерительного оборудования; 12)сведения об имеющихся у соискателя лицензии нормативных правовых актах, нормативно-методических и методических документах по вопросам технической ЗИ. Лицензирующий орган проводит проверку полноты сведений, содержащихся в документах, представленных в соответствии с пунктом 5 настоящего Положения. В случае выявления неполноты сведений лицензирующий орган в срок, не превышающий 15 дней, вручает соискателю лицензии уведомление о необходимости представления недостающих сведений. При рассмотрении заявления о предоставлении лицензии лицензирующий орган проводит проверку достоверности сведений о соискателе лицензии, заявлении и документах, а также проверку возможности выполнения соискателем лицензии лицензионных требований и условий в порядке, предусмотренном статьей 12 Федерального закона "О лицензировании отдельных видов деятельности". Лицензирующий орган принимает решение о предоставлении или об отказе в предоставлении лицензии в срок, не превышающий 45 дней с даты поступления в лицензирующий орган заявления о предоставлении лицензии и документов, предусмотренных пунктом 5 настоящего Положения. Указанное решение оформляется соответствующим актом лицензирующего органа.

Билет 11

1. Российские стандарты в области информационной безопасности.

ГОСТ Р 50739-95. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования. Госстандарт России

ГОСТ Р 50922-2006. Защита информации. Основные термины и определения. Госстандарт России

ГОСТ Р 51188-98. Защита информации. Испытания программных средств на наличие компьютерных вирусов. Типовое руководство. Госстандарт России

ГОСТ Р 51275-2006. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения. Госстандарт России

ГОСТ Р ИСО 7498-1-99. Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 1. Базовая модель. Госстандарт России

ГОСТ Р ИСО 7498-2-99. Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 2. Архитектура защиты информации. Госстандарт России

ГОСТ Р ИСО/МЭК 15408-1-2007. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель. Госстандарт России

ГОСТ Р ИСО/МЭК 15408-2-2007. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности. Госстандарт России

ГОСТ Р ИСО/МЭК 15408-3-2007. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности. Госстандарт России