В УЗКОМ СМЫСЛЕ:
«Состояние защищенности информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий искусственного или естественного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений» - не учитываются гуманитарные и психологические аспекты ИБ.
Защита информации – деятельность по обеспечению информационной безопасности.
8
ОПРЕДЕЛЕНИЕ ЦЕЛЕЙ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Обеспечение информационной безопасности начинается с выявления
субъектов информационных отношений
и их интересов в информационной сфере,
(связанных с получением, обработкой, передачей, хранением и использованием информации)
27
ОСНОВНЫЕ ПРИНЦИПЫ ЗАЩИТЫ ИНФОРМАЦИИ, как деятельности по обеспечению информационной безопасности
СООТВЕТСТВИЕ ЗАКОНОДЕТЕЛЬСТВУ . Информационная безопасность основывается на положениях и требованиях существующих законов, стандартов и нормативно-методических документов.
КОМПЛЕКСНОСТЬ. Обеспечение информационной безопасности достигается путем применения комплексного подхода с использованием физических, технических, правовых, организационных и морально-этических средств.
НЕПРЕРЫВНОСТЬ ЗАЩИТЫ. Элемент информации должен быть защищен во всех своих формах, постоянно и на любом месте. Информационная безопасность АС должна обеспечиваться на всех технологических этапах обработки информации и во всех режимах функционирования, в том числе при проведении ремонтных и регламентных работ.
СИСТЕМНОСТЬ. Должны быть учтены в максимальной степени все взаимосвязанные, взаимодействующие и изменяющиеся во времени элементы, условия и факторы.
ЭШЕЛОНИРОВАННОСТЬ ЗАЩИТЫ. Защита информации должна осуществляться на всех уровнях, «прорыв» на одном из уровней не должен привести к разрушению всей системы защиты.
27
ОСНОВНЫЕ ПРИНЦИПЫ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
ПРОСТОТА ПРИМЕНЕНИЯ СРЕДСТВ ЗАЩИТЫ Программно-технические средства защиты не должны существенно ухудшать основные функциональные характеристики АС (надежность, быстродействие, возможность изменения конфигурации АС).
ОЦЕНКА ЭФФЕКТИВНОСТИ. Неотъемлемой частью работ по информационной безопасности является оценка эффективности средств защиты, осуществляемая по методике, учитывающей всю совокупность технических характеристик оцениваемого объекта, включая технические решения и практическую реализацию средств защиты.
КОНТРОЛЬ ЭФФЕКТИВНОСТИ. Защита АС должна предусматривать контроль эффективности средств защиты. Этот контроль может быть периодическим либо инициироваться по мере необходимости пользователем АС или контролирующим органом.
РАЗУМНАЯ ДОСТАТОЧНОСТЬ. Затраты на защиту информации должны соответствовать ценности защищаемой информации, и не превышать потенциально возможный ущерб в случае нарушения информационной безопасности.
ГИБКОСТЬ. Создание СЗИ с учетом адаптации к изменениям.
34
ПОСЛЕДОВАТЕЛЬНОСТЬ РАБОТ ПО ОБЕСПЕЧЕНИЮ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
АНАЛИЗ ИНФОРМАЦИОННОЙ БАЗЫ:
анализ имеющихся в организации информационных ресурсов и информационных потоков (информационная модель)
категорирование и классификация информационных ресурсов, оценка параметров информации
выявление угроз классифицированной информации и расширенная информационной модели путем структуризации угроз относительно информационной модели
с целью определения и учета информации, нуждающейся в тех или иных видах защиты,
анализ угроз и оценка рисков.
34
ПОСЛЕДОВАТЕЛЬНОСТЬ РАБОТ ПО ОБЕСПЕЧЕНИЮ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
ФОРМИРОВАНИЕ ПОЛИТИКИ БЕЗОПАСНОСТИ. Разработка базового документа организации по ИБ, формирование программы работ с учетом основных принципов обеспечения ИБ
РАЗРАБОТКА НОРМАТИВНЫХ ДОКУМЕНТОВ: руководств, инструкций для персонала и пользователей и т.п. по обеспечению ИБ
ПЛАНИРОВАНИЕ И РЕАЛИЗАЦИЯ ОРГАНИЗАЦИОННЫХ МЕРОПРИЯТИЙ: разработка процедур контроля и доступа к защищаемой информации. Иметь в виду - функции администратора сети и администратора информационной безопасности сети объективно противоречат друг другу.
35
ПОСЛЕДОВАТЕЛЬНОСТЬ РАБОТ ПО ОБЕСПЕЧЕНИЮ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
ПРОЕКТИРОВАНИЕ ИНФОРМАЦИОННЫХ СИСТЕМ С УЧЕТОМ ТРЕБОВАНИЙ БЕЗОПАСНОСТИ: учет требований по безопасности на начальном этапе позволяет построить наиболее эффективную систему защиты, однако не всегда это реализуемо в конкретных условиях, если информационная система уже функционирует.
ТЕХНИЧЕСКОЕ ОБЕСПЕЧЕНИЕ ЗАЩИТЫ ИНФОРМАЦИИ: должна быть обеспечена
