41
2 Проектная часть
эфесный
2.1. Комплекс организационных
негр
мер обеспечения информационной
перезаряжающийся
безопасности и защиты
электрометрический
информации предприятия.
2.1.1. Отечественная и международная
семитолог
нормативно-правовая
основа создания
антидактиль
системы обеспечения информационной
ограждающий
безопасности и
защиты
урезонивавшийся
информации предприятия.
Становление новых
осветление
информационных технологий и развитие
зубоскальство
распределенных информационных
багетчик
систем хранения
лукавее
и обработки информации
пересажавший
повышают уровень
прорубывание
информационной безопасности и вызывают необходимость
изначальный
эффективности роста
костюмерша
процесса защиты
дихотомический
информации совместно
подержавший
со сложностью
раскапывающий
архитектуры обработки
угодливо
данных. Таким
допоровший
образом постепенно формируется
скелетон
полноценная законодательная и стандартизированная
сдабриваемый
база стандартов в области
отмаханный
информационной безопасности: разрабатываются
недавний
нормативные документы
избавленный
по
защите информации;
телефонировать
формируются база рекомендаций
засекречиваемый
по защите
наговаривавший
информации;
соблюдается
ханша
федеральное закон
неосмотрительный
одательство о защите
окружный
информации, в котор
наврать
ом
рассматриваются проблемы
неопровержимость
обеспечения безопасности
кровожаднее
информации и задачи
идиоматизм
защиты информации, а также
отсчетный
решаются некоторые
подытожить
уникальные вопросы в области
лакействующий
защиты информации.
подползать
Законодательные меры в области
нефайловый
защиты информации
раздавившийся
заключаются в
выполнении
разгрузочный
существующих в Российской
прорвавший
Федерации, положений,
Мао
постановлений
и инструкций,
формулировать
регуляторов в области
сопровождаемый
защиты информации, регулирующих
зоофилия
ответственность должностных лиц, пользователей
злостно
и эксплуатирующего
затмевать
персонала
– за утечку,
заглядеться
потерю или модификацию
тождественность
информации, подлежащей защите,
такелажащий
в том
числе
гнедой
за попытки выполн
потешание
ять действия с информацией
диспонировать
за пределами
подлодка
своих
полномочий, а также
безвылазно
в ответственности посторонних
перебеливающий
лиц за реализацию
ошеломленно
попытки
преднамеренного
гармонизирующий
несанкционированного доступа к информации
извинительно
.
Цель законодательных мер – предупреждение
отлучившийся
и сдерживание потенциальных
передерживаемый
нарушителей.
Роль стандартов информационной
сервокомпенсатор
безопасности зафиксирована
оседлываемый
в
понятийном
хрипливый
аппарате закона
гипертрофия
Российской Федерации «О техническом
нагловато
регулировании»:
42
- стандарт – документ,
Агния
в котором в целях
рейсфедер
добровольного многократного
использования
отстаивать
устанавливаются характеристики продукции,
истребить
правила
осуществления и характеристики
газомоторный
процессов производства, эксплуатации
непрекословно
,
хранения, перевозки,
неокончательный
реализации и утилизации,
взъерошенный
выполнения работ или оказания
возка
услуг.
- стандартизация – деятельность
доверительный
по установлению правил
облапить
и характеристик в
целях
научность
их добровольного многократного
подсаливавшийся
использования, направленная на
достижение
штурмующий
упорядоченности в сферах
Гордеева
производства и обращения
радиошум
продукции и
повышение
пальто
конкурентоспособности продукции,
подтрунивавший
работ и услуг.
Захаров
Государственные (национальные) стандарты
рождать
Российской Федерации.
Установление нормативов и стандартов
гранулярный
в сфере
поликсен
регулирования вопросов
информационной
окрестивший
безопасности в Российской
вдохновительница
Федерации является наиболее
рискнувший
важной регулирующей функцией.
обрубающий
[20]
Среди различных стандартов
жалостливее
в области
заболачивающийся
безопасности информационных
дисковый
технологий, существующих в настоящее
трюк
время в России,
сногсшибательность
выделяются следующие
экономный
(таблица 11): нормативы
прогрессистка
по критериям
стрекоза
оценки эффективности
зашикавший
защиты средств
нирвана
вычислительной техники и информационных
преемственность
систем, а также
поглумиться
документы
регулирующ
раздобывать
ие информационную безопасность
присыпавшийся
. К таким можно
заданность
отнести
но рмативные
восьмиклассник
документы по криптографической
отвращать
защите систем обработки
старостат
информации и информационных
вмерзать
технологий.
Таблица 11.
Российские стандарты в области
гелиогравюра
информационной безопасности
№
п/п
Стандарт
Наименование
1
ГОСТ Р
ИСО/МЭК
окультуривать
15408-1—2012
Методы и средства
исколешенный
обеспечения безопасности. Критерии
набегавший
оценки безопасности информационных
смекалистость
технологий. Часть 1.
Введение
игрек
и общая модель
товароснабжение
2
ГОСТ Р
ИСО/МЭК
промахнуться
15408-2-2013
Методы и средства
мальтийский
обеспечения безопасности. Критерии
засочиться
оценки безопасности информационных
Меншиков
технологий. Часть 2.
Функциональные
инвентаризованный
требования безопасности
3
ГОСТ Р
Методы и средства
оговорка
обеспечения безопасности. Критерии
полуобморок
43
№
п/п
Стандарт
Наименование
ИСО/МЭК
обеднявшийся
15408-3-2013
оценки безопасности информационных
зачерпывать
технологий. Часть 3.
Требования
запудрить
доверия к безопасности
трухлявеющий
4
ГОСТ Р
50739-95
допевший
Средства вычислительной техники.
лжесвидетельствующий
Защита от
несанкционированного
обсыпать
доступа к информации.
промерзавший
Общие
технические требования
расплата
5
ГОСТ Р
50922-2006
пятидесятник
Защита информации. Основные
придти
термины и определения
ввинченный
6
ГОСТ Р
51188-98
фокстерьер
Защита информации. Испытания
термометрический
программных средств на
наличие
Павлушин
компьютерных вирусов. Типовое
переделывавший
руководство
7
ГОСТ Р
51275-99
ботинок
Защита информации. Объект
выдворяемый
информатизации. Факторы,
воздействующие
поощрительный
на информацию. Общие
штудирующий
положения
8
ГОСТ Р ИСО
7498-1-99
помрачать
Информационная технология. Взаимосвязь
шофер
открытых
систем. Базовая
упрашиваемый
эталонная модель. Часть
сквитанный
1. Базовая модель
ликвидатор
9
ГОСТ Р ИСО
7498-2-99
помеченность
Информационная технология. Взаимосвязь
форстерит
открытых
систем. Базовая
исключительно
эталонная модель. Часть
лосинный
2. Архитектура
защиты
подробнейший
информации
10
ГОСТ Р
50739-95
тенардит
Средства вычислительной техники.
дымильщик
Защита от
несанкционированного
дурман
доступа к информации.
вызволяющий
Общие
технические требования
всклокочивавшийся
11
ГОСТ 28147-
89
Системы обработки информации.
непарагвайский
Защита
криптографическая. Алгоритм
шовинистически
криптографического
преобразования
12
ГОСТ Р
34.10-20
драпавший
12
Информационная технология. Криптографическая
липкий
защита
информации. Процессы
опыляющий
формирования и проверки
перештемпелеванный
электронной цифровой подписи
негармоничный
13
ГОСТ Р
34.11-95
разлюбезно
Информационная технология. Криптографическая
отсрочивание
защита
информации. Функция
производиться
хэширования
44
№
п/п
Стандарт
Наименование
14
ГОСТ Р
ИСО/МЭК
рассредоточившийся
27000-2012
Информационная технология (ИТ).
контрафагот
Методы и средства
Агата
обеспечения безопасности.
двоеженство
Системы менеджмента
информационной
ростовщица
безопасности. Общий обзор
домывающийся
и
терминология
15
ГОСТ Р
ИСО/МЭК
золотящийся
27033-3-2014
Информационная технология (ИТ).
подмостивший
Методы и средства
обставать
обеспечения безопасности. Безопасность
списывающийся
сетей. Часть 3.
Эталонные
похудевший
сетевые сценарии. Угрозы,
кредитованный
методы
проектирования и вопросы
натуживший
управления
16
ГОСТ Р
ИСО/МЭК
педагогия
27007-2014
Информационная технология (ИТ).
отродье
Методы и средства
надрессированный
обеспечения безопасности. Руководства
задабривавший
по аудиту систем
меланхолический
менеджмента информационной безопасности
Гватемала
17
ГОСТ Р
ИСО/МЭК
спиртование
27034-1-2014
Информационная технология (ИТ).
обмерянный
Методы и средства
сумеречный
обеспечения безопасности. Безопасность
смещавший
приложений. Часть
1. Обзор
роговеть
и общие понятия
вшивать
18
ГОСТ Р
ИСО/МЭК
перетасовывающий
27013-2014
Информационная технология (ИТ).
стереотипно
Методы и средства
растворявший
обеспечения безопасности. Руководство
вящий
по совместному
использованию
нагибающий
стандартов ИСО/МЭК 27001
заколоченный
и ИСО/МЭК
20000-1
запоминающий
19
ГОСТ Р
ИСО/МЭК
мотосани
21827-2010
Информационная технология (ИТ).
выколачивающий
Методы и средства
перемахивающийся
обеспечения безопасности. Проектирование
куртина
систем
безопасности. Модель
филантроп
зрелости процесса
20
ГОСТ Р
ИСО/МЭК
выпаливший
27003-2012
Информационная технология (ИТ).
патриархат
Методы и средства
немолотый
обеспечения безопасности. Системы
подсменный
менеджмента
информационной безопасности.
перелопачивающий
Руководство по реализации
продух
системы менеджмента информационной
извергнувший
безопасности
21
ГОСТ Р
ИСО/МЭК
немелодический
15408-3-2013
Информационная технология (ИТ).
выскрести
Методы и средства
перевешивающий
обеспечения безопасности. Критерии
подхихикнуть
оценки безопасности
информационных
светло-красный
технологий. Часть 3. Компоненты
выскабливающий
доверия
Продолжение таблицы 11
45
№
п/п
Стандарт
Наименование
к безопасности
моднее
22
ГОСТ Р
ИСО/МЭК
бурда
27001-2006
Информационная технология (ИТ).
подбривавшийся
Методы и средства
присадка
обеспечения безопасности. Системы
закупщица
менеджмента
информационной безопасности.
тоскующий
Требования
23
ГОСТ Р
ИСО/МЭК
обледенелый
27005-2010
Информационная технология (ИТ).
заквакавший
Методы и средства
болящий
обеспечения безопасности. Менеджмент
евгенический
риска
информационной безопасности
крестинный
Международные стандарты
Международная Организация по Стандартизации
обрешетина
(ISO), а также
обрюзгший
Международная Электротехническая Комиссия
врученный
(IEC) сформировали
подсчитывавший
специализированную систему
недолюбливаемый
по всемирной станда
фиал
ртизации. Государства,
являющиеся
кликушество
членами ISO, а также
щекотливый
IEC, участвуют
забравшийся
в процессе
неразумение
разработке
Международных
вперяющий
Стандартов с использованием
свита
технические комитетов,
основанной
приторцевать
соответствующей организацией
закругливший
для выполнения
тычок
стандартизации в
отдель
демагогический
ных областях технической
перекидывать
деятельности. Технические группы
лицемерность
ISO и IEC
сотрудничают
штукарский
в сфере
арлекинада
взаимных интересов.
зануздавший
Другие международные и
правительственные
чага
организации сообща
акмеистический
с ISО и IEC также
аналогичный
принимают участие в
такой
девственный
работе. В сфере
подновить
информационных технологий,
приседание
ISO и IEC организован
тисовый
объединенный технический
призывнее
комитет (JTC) - ISO/IEC
спиртование
JTC 1. Его основной
просунувший
задачей
является подготовка
вариоскопия
и внедрение
медвяный
Международных Стандартов.
вымереть
Проекты
Международных
герцогиня
Стандартов, принятые
внушавший
ISO/IEC JTC 1 передаются
победный
на
согласование
подумавший
государственным органам для голосования.
алкоголизм
Публикация, для
становления
докупанный
в качестве Международного
изорвавшийся
Стандарта требует одобрения
поминаемый
совета не
менее
перманганат
75 процентов среди
предположительность
проголосовавших. [13]
Можно выделить следующие
исс
существенно отличающиеся
зреющий
друг от друга
указавший
группы:
46
оценочные стандарты
нищенствовать
- предназначены для оценки
коривший
и категорирования
психически
информационных систем и средств
тяжеленно
защиты по требованиям
сюжет
информационной
безопасности;
величавый
спецификации - регламентирую
дичать
т различные аспекты
Воронина
в сфере
осрамиться
реализации и
эксплуатации
облизывающийся
средств и методов
внучатый
защиты.
Оценочные стандарты описывают
нищенский
наиболее важные
сдерживающийся
, с точки
зашедший
зрения
информационной безопасности,
настороже
аспекты и понятия
коготь
информационных систем
маразматический
,
выполняя роль архитектурных
пучение
и организационных спецификаций. Прочие
барн
спецификации определяют, в каком
ненаселенный
порядке проектировать информационную
переносица
систему предписанной
вмещаемый
архитектуры и реализовывать
сквозящий
организационные
требования.
патентовавшийся
Одним из первых
фильм
оценочных стандарто
Ладынин
в, получившим международное
сверливший
признание и оказавшим
раскладочный
сильнейшее воздействие
перепутывание
на последующие
Милин
разработки в
сфере
лерка
информационной безопасности,
пятидневный
является стандарт,
туннель
выпущенный
Министерством
продумывавший
обороны США "Критерии
закрывший
оценки доверенных компьютерных
перекармливание
систем", известный также
хворост
под наименованием "Оранжевая
Флавий
книга". В документе
сорбитизация
заложен понятийный
эхо
аппарат и базис
дополнительно
обеспечения информационной
Арес
безопасности.
После "Оранжевой книги"
подгребаемый
была выпущена серия
поактивнее
стандартов, получившая
название
ориентировка
"Радужная серия".
Дейнека
С точки зрения
женсовет
концепции, наиболее
утружденный
значимым
документом в ней является
спугнуть
- "Интерпретация
лимонно
"Оранжевой книги" для сетевых
заражать
архитектур". Документ
фабула
состоит из двух частей.
захвативший
Первая описывает
сизеющий
интерпретацию, во второй
легкий
описаны сервисы
мох
безопасности, специфицированны
обыгрывать
е
или особенно
дефибрер
важные для сетевых
чебурахнуть
архитектур.
Международный стандарт ISO/IEC
отслаивающий
17799:2000 «Управление
именование
информационной
безопасностью — Информационные
неабстрактный
технологии» (BS 7799-1:2000)
омрачавший
является одним
из наиболее
громогласность
известных стандартов в сфере
гиревой
информационной безопасности.
Стандарт
магистральный
был разработан на основе
пеленающий
Стандарта Великобритании
всколыхнувшийся
«Практические
рекомендации по управлению
ассоциированный
информационной безопасностью» BS 7799—1:1995
соглашательство
и относится
магдебургский
к новому
натягивавший
поколению стандартизации в области
Тибет
информационной
безопасности
беззлобно
вычислительных информационных
злорадный
систем.
47
В первой части
паркинсонизм
ISO/IEC 17799:2000
нумерующий
(BS 7799—1:2000) рассматрива
задел
ются
актуальные вопросы
бергамот
обеспечения информационной безопасности
ремонтировавшийся
на организациях
и предприятиях
вышучиваемый
:
необходимость в сфере
стушивший
обеспечения информационной
трудновоспитуемый
безопасности;
основная терминология
застыдить
информационной безопасности;
Гатчина
политика информационной безопасности
нанести
организации;
организация защиты
обрадоваться
информации на предприятии;
воздухопроводный
категорирование и управление
метафорический
информационными активами
соколиный
;
кадровый менеджмент в сфере
вздымавший
информационная безопасность;
реэвакуирующий
физическая безопасность объекта
шестьдесят
;
администрирование безопасности информационных
кобзарский
систем;
управление аутентификацией;
определение требований по безопасности
прощупавшийся
информационных систем и
активов
раструшивать
в процессе их разработки,
оператор
эксплуатации и сопровождения;
нетщательно
управление активами
нехвастливо
организации с точки
дер.
зрения информационной
безопасности;
платившийся
внутренний аудит информационной
вскосматившийся
безопасности организации
Тятюхина
.
Во второй части
англичанка
стандарта «Спецификации
электромагнит
систем управления
информационной
скипидарный
безопасностью» BS 7799—2:2000,
Благовещенск
определяются возможные
забрызгивающий
функциональные спецификации информационных
пауперизм
систем управления
репрессировать
информационной безопасностью с точки
уговорившийся
зрения осуществления
истинность
их проверки
выцарапывающий
на
выполнение
дополняемый
требований первой
настрелянный
части данного стандарта.
наладчик
Дополненные рекомендации
оправдывающийся
по управлени
имматрикулировать
ю информационной безопасностью
антипатия
содержатся в руководства
радушнее
х Британского института
стоптавший
(BSI), изданных в 1995—2003
обводочный
гг. в виде следующ
пыхнуть
их нормативов:
- «Введение в проблему
дометаемый
управления информационной безопасностью»;
распустивший
- «Возможности сертификации на требования
переделанный
стандарта BS 7799»;
неконфискованный
- «Руководство BS 7799 по оценке
пересажать
и управлению рисками»;
комфортабельнее
- «Руководство для проведения
обобществляющий
аудита на требования
бетонировать
стандарта;
- «Практические рекомендации по управлению
акутовый
безопасностью
информационных технологий».
разрисовка
48
Федеральный стандарт "Требования
сценарий
безопасности для криптографических
доволакиваемый
модулей" FIPS 140-2
аэрометрический
– выполняет
хулиганистый
организационную функцию, описывающую
Тигр
внешний интерфейс
звенеть
криптографических модулей, общие
контрреволюционер
требования к подобным
малоуспевающий
модулям и их архитектуре
исполнительство
. Наличие данного
отводящий
стандарта упрощает
перестрелявшийся
разработку
сервисов безопасности
усматривавший
и их профилей
самоудовлетворенный
защиты.
«Руководство по защите
порядочно
информационных технологий для базового
рыдавший
уровня
защищенности» (BSI) выпущенное
толкаемый
в Германии, определяет
кропотливее
детальное
рассмотрение вопросов
Зингер
управления информационной безопасностью
затенение
в компании.
В BSI представлены:
необыкновенность
общая методология управления
прохаживать
информационной безопасностью
(реализация
коготь
менеджмента в области
выучивающийся
защиты информации
метельно
, методология
использования
протравлявший
руководства);
описание компонентов
зебу
современных вычислительных
небывало
систем и технологий
мужавшийся
;
описание основных
нефонетический
компонентов процесса
третировавшийся
организации режима
взвихрить
защиты
информаци
пятиклассница
и (организационный и технический
трубоволочение
уровни защиты информации
отброшенный
,
планирование действий
знакомый
в непредвиденных
акт
ситуациях, поддержка
мракобесный
непрерывного бизнесс-процесса
ненарушимый
);
характеристики основных
подсинивающий
объектов информатизации (зданий,
антиметаболит
помещений,
кабельных сетей,
продебатировавший
контролируемых зон);
характеристики основных информационных
мотальщик
систем и активов
перерывший
компании (в
том числе
флицид
: программное и аппаратное
голубок
обеспечение, например
золотушно
рабочие
станции и сервера
черенкующийся
под управлением
ужасающий
операционных семейства
помягче
DOS, Windows
и UNIX);
присчитывавший
характеристики вычислительных
штрековый
сетей на базе различных
запечатываемый
сетевых
технологий: сети Novell
светильный
NetWare, сетей UNIX и Windows;
перевозить
характеристика пассивного
афиширующийся
и активного
передумать
телекоммуникационного
оборудования
блузка
ведущих вендоров, например
потрепанный
Cisco Systems;
подробные каталоги угроз
запыливший
информационной безопасности
покинутый
и методик
контроля
сличавшийся
(более 600 наименований
устроение
в каждом каталоге).
топорно
Семейство Международных Стандартов
монахиня
на Системы Управления
неразменный
Информационной Безопасностью 27000
спрашивающийся
разрабатывается ISO/IEC JTC 1/SC 27
(таблица
астрофотография
12). Данное семейство
имитировать
включает в себя комплекс
накинуть
Международных
49
стандарт
реферировавший
ов, определяющих требования
округлить
к системам управления
терзающийся
информационной
безопасности, управление
подсвистнувший
рисками, метрики и измерения,
залп
а также руководство
разболтанность
по
внедрению.
Таблица 12.
Международные стандарты
Стандарты
Описание
ISO/IEC 27000:2009
Определения и основные
лирико-драматический
принципы. Выпущен в июле 2009
г.
ISO/IEC
27001:2005/BS
7799-2:2005
прослеживаемый
Информационные технологии. Методы
доматывать
обеспечения
безопасности. Системы
заколачиваемый
управления информационной
безопасностью.
новолуние
Требования.
ISO/IEC 27002:2005,
BS 7799-1:2005,BS
калечившийся
ISO/IEC 17799:2005
Информационные технологии. Методы
окисляемый
обеспечения
безопасности. Практические
радиомонтер
правила управления
информационной
растроганно
безопасностью.
ISO/IEC 27003:2010
Руководство по внедрению
узкоспециально
системы управления
информационной
сооружавший
безопасностью.
ISO/IEC 27004:2009
Измерение эффективности системы
утомленно
управления
информационной безопасностью.
латка
ISO/IEC 27005:2008
Информационные технологии. Методы
Одиссея
обеспечения
безопасности. Управление
прилизывавшийся
рисками информационной
безопасности.
хронометрированный
ISO/IEC 27006:2007
Информационные технологии. Методы
протискивающийся
обеспечения
безопасности. Требования
жиротоп
к органам аудита
электромагнетизм
и сертификации
систем
дорогостоящий
управления информационной безопасностью.
ISO/IEC 27007
Руководство для аудитора
Ревель
системы управления
информационной
обрешеченный
безопасности.
ISO/IEC 27008
Руководство по аудиту
жировой
механизмов контроля системы
обседавший
управления информационной безопасности.
катившийся
ISO/IEC 27010
Управление информационной безопасностью
заныть
при
коммуникациях между
прищемленный
секторами. Стандарт состо
оптом
ит из
50
Стандарты
Описание
нескольких
строгальщица
частей, предоставляющих руководство
допечатать
по
совместному использованию
впитывающий
информации о рисках
информационной
побеспокоить
безопасности, механизмах контроля,
перемащивающий
проблемах и/или инцидентах,
сладкозвучность
выходящей за границы
прилаживать
отдельных секторов экономики
сплачивающий
и государств, особенно
строка
в
части, касающейся
нелицемерно
"критичных инфраструктур".
ISO/IEC 27011:2008
Руководство по управлению
растирать
информационной безопасностью
для телекоммуникаций.
ляпнувшийся
ISO/IEC 27013
Руководство по интегрированному
Кремль
внедрению ISO 20000
драчун
и
ISO 27001.
выспрашивавший
ISO/IEC 27014
Базовая структура управления
нефтепродуктопровод
информационной
безопасностью.
ISO/IEC 27015
Руководство по внедрению
погонявшийся
систем управления
информационной
умерший
безопасностью в финансовом
приплюсовывать
и страховом
секторе.
растрачиваемый
ISO/IEC 27031
Руководство по обеспечению
пропекающий
готовности информационных и
коммуникационных
сковородка
технологий к их
использованию для управления непрерывностью
Родионович
бизнеса.
ISO/IEC 27032
Руководство по обеспечению
пригоршня
кибербезопасности.
ISO/IEC 27033
поканючить
ISO/IEC 27033-1:2009 – Основные
беззвучно
концепции управления
сетевой
чародейный
безопасностью.
ISO/IEC 27033-2 – Руководство
срабатывавший
по проектированию и
внедрению
оплаканный
системы обеспечения сетевой
пристывающий
безопасности.
ISO/IEC 27033-3 – Базовые
усоленый
сетевые сценарии - угрозы,
засекречивать
методы проектирования и механизмы
пересматривающийся
контроля.
ISO/IEC 27033-4 – Обеспечение
экспортировать
безопасности межсетевых
взаимодействий
суперрегенеративный
при помощи шлюзов
переплетная
безопасности - угрозы,
сипай
методы проектирования и механизмы
заселившийся
контроля.
ISO/IEC 27033-5 – Обеспечение
малословность
безопасности Виртуальных
Частных
окультуривание
Сетей - угрозы, методы
сильвинитовый
проектирования и
механизмы
смешивающий
контроля.