Вопрос 41. Методология построения систем защиты информации в ас. Основные этапы разработки защищенных ас. Жизненный цикл по. Гост р исо/мэк 12207.

Эквивалент ГОСТ Р ИСО/МЭК 12207-1999. Он определяет процессы работы и задачи которые используются при приобретении любой системы включающей ПО, а также приобретение отдельного поставляемого обеспечения. Это стандарт не определяет состав и содержание документации. Не определена модель жизненного цикла. Стандарт не распространяется на готовое ПО. Модель жизненного цикла – структура состоящая из процессов, работ и задач включающая в себя разработку и эксплуатацию, охватывающее ее жизнь от установленных требований до прекращения использования. Каждый процесс описывается набором работ, каждая работа делится на задачи. Все процессы разделены на 22 группы:

1. Основные процессы жизненных циклов: 1 Процесс заказа (деятельность организации которая приобретает) 2. Процесс поставки 3. Процесс разработки (какая организация будет разрабатывать) 4 Эксплуатация 5 сопровождение

2. Вспомогательные процессы. Они являются частью других процессов, но могут выполнятся самостоятельно: документирование, управление конфигурацией, обеспечение качества, верификация, аттестация, аудит, решение проблем, совместный анализ (взаимодействие сторон)

3. Организационные процессы. Предназначены для совершенствования структуры жизненного цикла: управление, создание инфраструктуры, усовершенствование, обучение.

Процесс адаптации является процессом применения процессов ЖЦ описанных в стадии, условием каждого отдельно проекта. Документирование принятых решений по адаптации.

Перечисление процессов не определяет их последовательности. Процессы могут быть не связаны, но могут инициировать друг друга. Взаимосвязь устанавливается сторонами. Не устанавливаются модели жизненного цикла, в стандарте она не определена. Наличие процессов, связанных с контролем качества. Общее назначение процессов: обеспечение гарантий того, что программный продукт соответствует установленным требованиям и утвержденной документации. Эти процессы относятся к группе вспомогательных процессов.

Вопрос 43. Принципы разработки защищенных ас.

1. Принцип системности.

Заключается в необходимости учёта всех факторов, влияющих на безопасность АС.

- предполагает учёт воздействия злоумышленника ( нарушителя)

- предполагает учёт действий авторизированных пользователей

2. Принцип комплексности.

Этот принцип заключается в том, что при построении системы защиты, нужно учитывать особенности применяемых мер и средств.

3. Принцип непрерывности защиты.

- предполагает непрерывное функционирование средств защиты информации

- предполагает постоянно применение мер и их совершенствование

4. Принцип разумной достаточности.

- нет 100% защиты

- нет смысла в защите на 1000$, если защищаемая информация стоит 100$

- не мешать пользователям работать

5. Принцип гибкости в системе защиты.

- возможность изменения уровня защищённости

6. Принцип открытости алгоритмов и механизмов защиты.

- защита не должна основываться на системе алгоритмов и механизмов

- характеристики алгоритмов

7. Принцип простоты применения средств защиты.

- не должно требоваться специальных знаний и значительных затрат

- не должно требоваться специальное обучение

-------------------------------------------------------------------------