Защита электронной информации.

Международные стандарты безопасности информационно-вычислительных систем.

В 1985 году Национальным центром компьютерной безопасности Министерства обороны США была опубликована так называемая "Оранжевая книга" ("Критерии оценки достоверности вычислительных систем Министерства обороны"). В ней приведены основные положения, по которым американское ведомство обороны определяло степень защищенности информационно-вычислительных систем. В ней в систематизированном виде приводились основные понятия, рекомендации и классификация по видам угроз безопасности информационных систем и методы защиты от них. В дальнейшем книга превратилась в сборник научно-обоснованных норм и правил, описывающих системный подход для обеспечения безопасности информационных систем и их элементов, и стала настольной книгой для специалистов в области защиты информации. Предложенная в "Оранжевой книге" методология по сути стала общепринятой и в той или иной степени вошла в национальные стандарты.

Системный подход в соответствии с "Оранжевой книгой" требует:

принятие принципиальных решений в области безопасности на основе текущего состояния информационной системы;

прогнозирование возможных угроз и анализа связанного с ними риска для информационной системы;

планирование мероприятий по предотвращению возникновения критических ситуаций;

планирование мероприятий по выходу из критических ситуаций на случай, если они возникнут.

Одно из основных понятий, введенных в "Оранжевой книге", это политика безопасности. Политика безопасности - это совокупность норм, правил и методик, на основе которых в дальнейшем строится деятельность информационной системы в области обработки, хранения и распределения критической информации. При этом под информационной системой пидрозумиваеться не только аппаратно-программный комплекс, но и обслуживающий персонал.

Понятие политика безопасности.

Политика безопасности формируется на основе анализа текущего состояния и перспективы развития информационной системы, возможных угроз и определяет:

цели, задачи и приоритеты системы безопасности;

сфера действия отдельных подсистем;

гарантированный минимальный уровень защиты;

обязанности персонала по обеспечению защиты;

санкции за нарушение защиты.