Организация работ по защите от НСД
9.1. Организация работ по защите СВТ и АС от НСД к информации должна быть частью общей организации работ по безопасности информации.
9.2. Обеспечение защиты основывается на требованиях по защите к разрабатываемым СВТ и АС, формулируемых заказчиком и согласуемых с разработчиком.
Эти требования задаются либо в виде желаемого уровня защищенности СВТ или АС, либо в виде определенного, соответствующего этому уровню перечня требований.
Требования по защите обеспечиваются разработчиком в виде комплекса средств защиты. Организационные мероприятия для АС реализуются заказчиком.
Ответственность за разработку КСЗ возлагается на главного конструктора СВТ или АС.
9.3. Проверка выполнения технических требований по защите проводится аналогично с другими техническими требованиями в процессе испытаний (предварительных, государственных и др.).
По результатам успешных испытаний оформляется документ (сертификат), удостоверяющий соответствие СВТ или АС требованиям по защите и дающий право разработчику на использование и (или) распространение их как защищенных.
9.4. Разработка мероприятий по защите должна проводиться одновременно с разработкой СВТ и АС и выполняться за счет финансовых и материально-технических средств (ресурсов), выделенных на разработку СВТ и АС.
Модель нарушителя ИБ
Для обеспечения информационной безопасности в автоматизированных системах управления, построения эффективной системы защиты информации, не достаточно выявить каналы утечки информации, проанализировать возможные угрозы, последствия их реализации и оценить потери. Нужно еще хорошо представлять облик нарушителя.
Нарушитель - это лицо, предпринявшее попытку выполнения запрещенных операций по ошибке, незнанию или осознанно использующее для этого различные возможности, методы и средства.
Любой нарушитель для реализации своих замыслов руководствуется определенной мотивацией и намерениями, владеет совокупностью знаний, умений и навыков (способов) совершения противоправных действий с применением технических средств, обладающих соответствующим потенциалом. Только совокупность знаний обо всех элементах облика нарушителя позволит адекватно среагировать на возможные угрозы и, в конце концов, выбрать соответствующие средства защиты.
Кроме того, реальные возможности нарушителя информационной безопасности во многом определяются как организована информационная безопасность: состоянием объекта защиты, наличием потенциальных каналов утечки информации, качеством средств защиты информации. От надежности системы защиты информации зависят и действия нарушителя, так как для достижения своих целей нарушитель должен приложить некоторые усилия, затратить определённые ресурсы. Если информационная безопасность достаточно высока, его затраты будут чрезмерно велики, и он откажется от своего замысла. В связи с этим целесообразно определить в качестве показателя эффективности системы защиты информации вероятность обнаружения и своевременной реакции на каждый вид нарушения.
Таким образом, одной из важнейших составляющих вероятного сценария осуществления противоправных действий по доступу к информации является модель нарушителя. Наличие такой модели нарушителя безопасности, которая постоянно корректируется на основе получения новых знаний о возможностях нарушителя и изменениях в системе защиты, на основе анализа причин произошедших нарушений, позволит повлиять на сами эти причины, а также точнее определить требования к системе обеспечения информационной безопасности от данного вида нарушений.
Для того, чтобы модель нарушителя приносила максимальную пользу, она должна быть сориентирована на конкретный объект защиты (модель не может быть универсальной), учитывать мотивы действий и социально-психологические аспекты нарушения, потенциальные возможности по доступу к информационным ресурсам различных категорий внешних и внутренних нарушителей на различных пространственно-временных срезах объекта защиты.
Правильно построенная модель нарушителя информационной безопасности, (адекватная реальности), в которой отражаются его практические и теоретические возможности, априорные знания, время и место действия и т.п. характеристики - важная составляющая успешного проведения анализа риска и определения требований к составу и характеристикам системы защиты.
Политика ИБ. Структура документа
Основными целями политики информационной безопасности является:
- обеспечение сохранности, целостности информационных ресурсов и предоставление доступа к ним в строгом соответствии с установленными приоритетами и правилами разграничения доступа;
- обеспечение защиты подсистем, задач и технологических процессов, от угроз информационной безопасности, описанных выше в настоящем документе;
- обеспечение защиты управляющей информации от угроз информационной безопасности, описанных выше в настоящем документе;
- обеспечение защиты каналов связи от угроз со стороны каналов связи.
Основой создания подсистемы информационной безопасности (ПИБ) является политикаинформационной безопасности, под которой понимается набор правил и практических рекомендаций, на которых строится обеспечение информационной безопасности, управление и распределение средств защиты информации на объектах информатизации.
Политика информационной безопасности должна представлять совокупность требований, правил, положений и принятых решений, определяющих:
- порядок доступа к информационным ресурсам;
- необходимый уровень (класс и категорию) защищенности объектов информатизации;
- организацию защиты информации в целом;
- дополнительные требования по защите отдельных компонент;
- основные направления и способы защиты информации.
· Политика информационной безопасности направлена на обеспечение:
- конфиденциальности (секретности) информации, циркулирующей в системе, субъективно определяемой характеристике информации, указывающей на необходимость введения ограничений на круг субъектов информационных отношений, имеющих доступ к данной информации, и обеспечиваемую способность среды обработки сохранять информацию в тайне от субъектов, не имеющих полномочий на доступ к ней;
- целостности информации и среды её обработки, то есть предотвращение несанкционированной модификации, реконфигурации или уничтожения информации, программных средств её обработки, а также предотвращения несанкционированного изменения структуры и её объектов информатизации;
- доступности информации, то есть способности информационной среды, средств и технологий обработки информации обеспечить санкционированный доступ субъектов к информации, программным и аппаратным средствам.
· ГОСТ Р ИСО/МЭК 17799-2005
Политика – общее намерение и направление, официально выраженное руководством.
Правила политики ИБ
1. Политика безопасной эксплуатации системы пользователей
В этом разделе д.б. явно указано: ограничения на ресурсы и действия, недопустимые, с точки зрения, производительности системы
2. Частота смены пароля пользователем, способы формирования пароля
3. Правила способа резервного копирования ин-ции
4. Правила работы с конфиденциальной ин-цией
5. Правила работы в сети интернет
6. Правила взаимодействия администраторов ИБ и пользователей системы
Способы оценки инцидента ИБ. Способы оповещения об инциденте ИБ. Ответные меры на инцидент. Регистрация и учет событий, связанных с инцидентом ИБ. Меры, предпринимаемые после инцидента ИБ
Инцидент ИБ- это действительное предпринимаемое или вероятное нарушение ИБ, вызванное либо ошибкой людей, либо неправильным функционированием, либо природными факторами, либо преднамеренными действиями, влияющими на функционирование ИС и вызывающие нарушение целостности, доступности, конфиденциальности ее информационных ресурсов.
В политике указываются цели реакции на инцидент, способы оценки инцидента(критерии, позволяющий отличить инцидент от др. событий и оценка его масштабов) способы оповещения об инциденте, ответные меры на инцидент (сдерживание, ликвидация и анализ), мера, предпринимая после инцидента:
Ø Определение меры влияния инцидента на инф. Ресурс
Ø Определение влияния инцидента на функционирование системы
Ø Проведение нов. Оценки риска
Ø Возможный пересмотр политики безопасности
Политика ИБ. Стандарты
Отсутствие до последнего времени (и в России и за рубежом) специализированных стандартов и методических рекомендаций по составу и структуре документов, составляющих политику информационной безопасности (ИБ), создало огромное поле для творчества специалистов, занимающихся разработкой документов, в результате чего стали появляться комбинированные документы (чаще называемые инструкциями), содержащие положения разного типа документов (политик, процедур, инструкций, стандартов).
Растерянность в свою очередь вносит и многозначность самого термина «политика». С одной стороны, политикой информационной безопасности называется определенный документ, с другой – совокупность всех документов, регламентирующих вопросы обеспечения информационной безопасности в организации.
Вот, например, какие определения, связанные с термином «политика», встречаются в международных и российских стандартах по информационной безопасности:
ГОСТ Р ИСО/МЭК 15408-1-2002
Политика безопасности организации – одно или несколько правил, процедур, практических приемов или руководящих принципов в области безопасности, которыми руководствуется организация в своей деятельности.
Политика безопасности объекта оценки – совокупность правил, регулирующих управление активами, их защиту и распределение в пределах объекта оценки.
ГОСТ Р ИСО/МЭК 17799-2005
Политика – общее намерение и направление, официально выраженное руководством.
ГОСТ Р ИСО/МЭК 13335-1 2006
Политика безопасности информационно-телекоммуникационных технологий – правила, директивы, сложившаяся практика, которые определяют, как в пределах организации и ее информационно-телекоммуникационных технологий управлять, защищать и распределять активы, в том числе критичную информацию.
СТО БР ИББС-1.0-2006
Политика информационной безопасности организации банковской системы Российской Федерации – одно или несколько правил, процедур, практических приемов и руководящих принципов в области информационной безопасности, которыми руководствуется организация банковской системы Российской Федерации в своей деятельности
Методы информационной безопасности. Аварийный план.
Алгоритм RSA
RSA (буквенная аббревиатура от фамилий Rivest, Shamir и Adleman) — криптографический алгоритм с открытым ключом, основывающийся на вычислительной сложностизадачи факторизации больших целых чисел.
Криптосистема RSA стала первой системой, пригодной и для шифрования, и для цифровой подписи. Алгоритм используется в большом числе криптографических приложений, включая PGP, S/MIME, TLS/SSL, IPSEC/IKE и других.[1]
Криптографические системы с открытым ключом используют так называемые односторонние функции, которые обладают следующим свойством:
§ Если известно 
, то 
вычислить относительно просто
§ Если известно 
, то для вычисления нет простого (эффективного) пути.
Под односторонностью понимается не теоретическая однонаправленность, а практическая невозможность вычислить обратное значение, используя современные вычислительные средства, за обозримый интервал времени.
В основу криптографической системы с открытым ключом RSA положена сложность задачи факторизации произведения двух больших простых чисел. Для шифрования используется операция возведения в степень по модулю большого числа. Для дешифрования за разумное время (обратной операции) необходимо уметь вычислять функцию Эйлера от данного большого числа, для чего необходимо знать разложения числа на простые множители.
В криптографической системе с открытым ключом каждый участник располагает как открытым ключом (англ. public key), так и закрытым ключом (англ. private key). В криптографической системе RSA каждый ключ состоит из пары целых чисел. Каждый участник создаёт свой открытый и закрытый ключ самостоятельно. Закрытый ключ каждый из них держит в секрете, а открытые ключи можно сообщать кому угодно или даже публиковать их. Открытый и закрытый ключи каждого участника обмена сообщениями в криптосистеме RSA образуют «согласованную пару» в том смысле, что они являются взаимно обратными, т.е.:
сообщения 
, где 
— множество допустимых сообщений.
допустимых открытого и закрытого ключей 
и 
соответствующие функции шифрования 
и расшифрования 
, такие что
Система RSA используется для защиты программного обеспечения и в схемах цифровой подписи.
Также она используется в открытой системе шифрования PGP и иных системах шифрования (к примеру, DarkCryptTC и формат xdc) в сочетании с симметричными алгоритмами.
Из-за низкой скорости шифрования (около 30 кбит/с при 512 битном ключе на процессоре 2 ГГц), сообщения обычно шифруют с помощью более производительныхсимметричных алгоритмов со случайным ключом (сеансовый ключ), а с помощью RSA шифруют лишь этот ключ, таким образом реализуется гибридная криптосистема. Такой механизм имеет потенциальные уязвимости ввиду необходимости использовать криптостойкий генератор случайных чисел для формирования случайного сеансового ключа симметричного шифрования и эффективно противостоящий атакам симметричный криптоалгоритм (в данное время широкое применение находят AES,IDEA, Serpent, Twofish).
