41. Оценка информационной безопасности ис: стандарты и классы иб, требования к иб.

«Оранжевая книга» - документ стал первым стандартом в области создания защищенных компьютерных систем и впоследствии основой организации системы их сертификации по критериям защиты информации.

В «Оранжевой книге» дано определение безопасной системы - это система, которая посредством специальных механизмов защиты контролирует доступ к информации.

В ней выделены основные классы защищенности - D, C, B, A.

В класс D попадают системы, оценка которых выявила их несоответствие требованиям всех других классов.

Класс C1: ИС должна управлять доступом именованных пользователей к именованным объектам; пользователи должны идентифицировать себя до выполнения каких-либо контролируемых ИС действий; ИС должна быть защищена от внешних воздействий и от попыток слежения за ходом работы.

Класс C2 (в дополнение к C1): все объекты должны подвергаться контролю доступа; каждый пользователь системы должен уникальным образом идентифицироваться; каждое регистрируемое действие должно ассоциироваться с конкретным пользователем; ликвидация всех следов внутреннего использования объектов ИС.

Класс B1 (в дополнение к C2): каждый хранимый объект ИС должен иметь отдельную идентификационную метку; ИС должна обеспечить реализацию принудительного управления доступом к хранимым объектам.

Класс B2 (в дополнение к B1): должна быть предусмотрена возможность регистрации событий, связанных с организацией тайных каналов обмена информацией; ИС должна быть внутренне структурирована и демонстрировать устойчивость к попыткам проникновения.

Класс B3 (в дополнение к B2): для управления доступом должны использоваться списки управления доступом с указанием разрешенных режимов; должна быть предусмотрена возможность регистрации появления или накопления событий, несущих угрозу политике ИБ.

Класс A1 (в дополнение к B3): тестирование должно продемонстрировать, что реализация ИС соответствует формальным спецификациям; механизм управления ИБ должен распространяться на весь жизненный цикл и все компоненты системы, имеющие отношение к обеспечению безопасности.

42. Правовое обеспечение ис. Политика безопасности предприятия. Государственное законодательство в области информационной безопасности ис.

Правовое обеспечение ИС - совокупность законодательных и морально­этических средств, регламентирующих правила и нормы поведения при обработке и использовании информации, информационных ресурсов и ИС.

Политика безопасности - это совокупность норм и правил, определяющих принятые в организации меры по обеспечению безопасности информации, связанной с деятельностью организации.

Рекомендовано включать в описание политики безопасности следующие разделы:

1. Предмет политики - определяются цели и указываются причины разработки политики, область ее применения, задачи, термины и определения.

2. Описание позиции организации - описаны ресурсы ИС, перечень допущенных к ресурсам лиц и процессов.

3. Применимость - порядок доступа к данным ИС.

4. Роли и обязанности - определяются ответственные должностные лица и их обязанности.

5. Соблюдение политики - описываются права и обязанности пользователей ИС.

Исходные положения правового обеспечения процессов информатизации в Беларуси определены Концепцией государственной политики в области информатизации, одобренной Указом Президента Республики Беларусь от 6 апреля 1999 г. № 195. В Концепции национальной безопасности, утвержденной Указом Президента Республики Беларусь от 17 июля 2001 г. № 390 определены приоритетные направления и основные принципы обеспечения безопасности Республики Беларусь в информационной сфере.

Закон Республики Беларусь «Об информации, информатизации и защите информации» от 10 ноября 2008 г. регулирует правоотношения, возникающие в процессе формирования и использования документированной информации и информационных ресурсов.