|
|
  |
Главная страница / Архитектура отрасли Тестовые вопросыКаким критериям согласно международному стандарту ISO 17799 должна удовлетворять информационная безопасность? Какие действия предусматривает планирование в рамках модели управления информационной безопасностью международного стандарта ISO 27001/BS 7799-2? Что является основным результатом планирования? Чем отличаются понятия «политика безопасности» от «регламента безопасности»? Как решается вопрос информационной безопасности на базе технологии La Grande? Что предполагают тесты на проникновение по «красной группе» в терминологии NSA Infosec – методики АНБ США? Принятие каких стандартов по информационной безопасности планируется в ближайшее время? Какие основные этапы включает в себя процесс разработки и внедрения политики и регламентов информационной безопасности предприятия? Международный стандарт ISO 17799 определяет следующие критерии информационной безопасности: конфиденциальность – гарантия доступности информации только авторизованным субъектам; целостность – обеспечение точности и полноты информации и методов ее обработки; доступность – гарантия доступности информации и ресурсов для авторизованных пользователей в течение всего требуемого времени. В соответствии со стандартом ISO 27001/BS 7799-2 планирование в цепочке «планирование – действие – проверка – реакция» предусматривает разработку политики безопасности, целей, задач, процессов и процедур для управления рисками и повышения уровня информационной безопасности. Основным результатом данного этапа деятельности является формирование требований к СУИБ на соответствие общим целям, задачам и политикам организации. Политика безопасности мотивирует необходимость обеспечения тех или иных мер информзащиты, формулирует перечень угроз, основные принципы и подходы к построению системы обеспечения информационной безопасности. Регламенты описывают конкретные действия по выполнению каждого из условий безопасности, оговоренных в политике. Они содержат общие положения, перечень обязанностей персонала по обеспечению безопасности информации и описание правил использования информационных систем компании. Технология La Grande заключается в том, что «поверх» функциональных операций за счет специальных аппаратных средств организуется выполнение контрольных процедур. Основные функциональные блоки компьютера снабжаются взаимодействующими резидентными компонентами безопасности (РКБ). В случае отклонения выполнения операций от нормы РКБ подает сигнал на специализированный доверенный модуль TPM, который принимает решение о прекращении процесса. Так называемые тесты на проникновение по «красной группе» являются одним из активных этапов технологического аудита. Во внутренней сети используется модель нарушителя, согласно которой аудиторам выдаются следующие минимальные привилегии: физический доступ внутрь охраняемого периметра и возможность подключения к корпоративной информационной сети (КИС) компании на физическом уровне. Логическими правами доступа к информационным ресурсам КИС на этой стадии аудитор не обладает. В конце 2006 г. ожидается принятие двух стандартов по управлению информационной безопасностью: ГОСТ Р ИСО/МЭК 17799 и ГОСТ Р ИСО/МЭК 27001. Последний разработан на основе британского стандарта BS ISO/IEC 27001:2005 и является дополнением ГОСТ Р ИСО/МЭК 17799. Присвоение стандартам государственного статуса позволит организовать и систематизировать современные подходы к комплексному решению проблем информационной безопасности в России. Процесс разработки и внедрения политики и регламентов информационной безопасности подразделяется на следующие этапы: первоначальный аудит организации: обследование информационной системы, выявление критичных ресурсов, описание основных угроз безопасности, определение наиболее критичных бизнес-процессов организации; разработка политик и регламентов; доведение содержания политик и регламентов безопасности до сведения всех сотрудников организации; контроль эффективности внедрения политик и регламентов; пересмотр и корректировка требований с учетом выявленных на предыдущем этапе недостатков. Главная страница / Архитектура отрасли |