КОНТРОЛЬНОЕ ЗАДАНИЕ ПО МДК.03.01 Технология применения программно-аппаратных средств защиты информации в системах мобильной связи для студентов заочной формы обучения специальности 11.02.08 Средства связи с подвижными объектами

Смоленский колледж телекоммуникаций (филиал)
федерального государственного бюджетного
образовательного учреждения высшего образования
«Санкт-Петербургский государственный университет
телекоммуникаций им. проф. М.А. Бонч-Бруевича»










КОНТРОЛЬНОЕ ЗАДАНИЕ ПО
МДК.03.01 Технология применения программно-аппаратных средств защиты информации в системах мобильной связи

для студентов заочной формы обучения
специальности
11.02.08 Средства связи с подвижными объектами














Смоленск, 2016














Составитель: Скряго О.С. – преподаватель высшей категории СКТ(ф)СПбГУТ

















Контрольное задание по МДК.03.01 Технология применения программно-аппаратных средств защиты информации в системах мобильной связи разработано на основе Федеральных государственных образовательных стандартов среднего профессионального образования специальности 11.02.08 Средства связи с подвижными объектами, утвержденного приказом Министерства образования и науки РФ от «28» июля 2014 г. № 810.











Общие указания

В соответствии с учебным планом представлено контрольное задание по МДК.03.01 Технология применения программно-аппаратных средств защиты информации в системах мобильной связи, составленное в десяти вариантах. Номер варианта (с 1 по 10) определяется, согласно установленному порядку на каждый учебный год.
Контрольное задание содержит десять вариантов. Каждый вариант состоит из двух заданий. Для успешного выполнения домашней контрольной работы необходимо проработать материал по учебнику в соответствии с рекомендациями в данном контрольном задании.
Ответы к заданиям должны быть последовательными, краткими, по существу вопросов. Если при выполнении домашней контрольной работы возникают трудности, то следует обращаться за письменной или устной консультацией к преподавателям МДК.03.01 Технология применения программно-аппаратных средств защиты информации в системах мобильной связи.

Порядок выполнения работы


Работа должна быть аккуратно оформлена.
Работа выполняется в отдельной тетради темными чернилами. Допускается оформление работы в печатном виде на листах формата А4.
Каждое задание начинается с новой страницы.
Необходимо четко выделять вопросы в виде подзаголовков, нумеровать страницы, выбирать шрифты и выравнивание в соответствии с общепринятыми стандартами.
Необходимо оставлять поля для замечаний преподавателя.
Условие задания записывается полностью.
Решение необходимо кратко пояснять. В конце работы необходимо привести список используемой учебной литературы, поставить подпись и дату.
Контрольная работа, выполненная небрежно или по неправильно выбранному варианту, возвращается обучающемуся без проверки.
Если работа не зачтена, она выполняется заново.
Получив проверенную работу и отзыв, студенту следует ознакомиться с отзывом, подумать над критическими замечаниями, внести необходимые изменения и дополнения.







Контрольное задание

Вариант 1.
Задание 1.
Описать понятие информационной безопасности, характеристика ее составляющих. Место информационной безопасности в системе национальной безопасности.

Задание 2.
Провести анализ угроз по акустическим и электромагнитным каналам. Разработать техническое решение по защите конфиденциальной информации в переговорной комнате от утечки по акустическим и электромагнитным каналам.
Исходные данные:
Переговорная комната представляет собой выделенное помещение (площадь 25 кв.м), в котором решаются различные вопросы, а также проводятся совещания сотрудников компании с руководителем (см. рисунок 1). Руководитель имеет собственное автоматизированное рабочее место (АРМ: ПК, принтер, телефон), на котором обрабатывается и хранится различная конфиденциальная информация (новые проекты, разрабатываемые компанией).
Все технические средства, установленные в помещении, имеют каналы связи, выходящие за пределы контролируемой зоны.

HYPER13 EMBED Visio.Drawing.11 HYPER14HYPER15
Рисунок - Схема расположения переговорной комнаты

В комнате присутствует 1 окно (трехкамерный стеклопакет), выходящее на улицу. Комната находится на восьмом этаже здания. Стены, потолок, пол - железобетонные плиты толщиной 500 мм; дверь - металлическая. Зона рассматриваемого помещения граничит с коридором. В комнате установлены система отопления, телефонные и электропроводные линии, каналы связи, выходящие за пределы контролируемой зоны, датчики охранной и пожарной сигнализации.



Вариант 2.
Задание 1.
Описать концептуальную модель защиты информации. Проблемы информационной безопасности в сфере телекоммуникаций: объекты защиты; виды защиты; системы защиты информации.

Задание 2.
Злоумышленник реализовал атаку «Интернет за чужой счет» (см. рисунок 1). Охарактеризуйте цель атаки, схему мошенничества, результат и предложите мероприятия по обеспечению безопасности мобильного интернета.


Рисунок – Схема атаки «Интернет за чужой счет»



Вариант 3.
Задание 1.
Описать классификацию и анализ угроз информационной безопасности в телекоммуникационных системах. Виды уязвимости информации и формы ее проявления.



Задание 2.
Злоумышленник реализовал атаку «Перехват данных» (см. рисунок 1). Охарактеризуйте цель атаки, схему мошенничества, результат и предложите мероприятия по обеспечению безопасности мобильного интернета.


Рисунок – Схема атаки «Перехват данных»





Вариант 4.
Задание 1.
Описать понятие о конфиденциальной информации (грифы, закон о государственной тайне, закон о личной тайне, закон о коммерческой тайне).

Задание 2.
Определите вид атаки на сотовый телефон по следующим признакам:
- бесконечный поток SMS-сообщений;
- бессмысленное содержание SMS;
- отказ телефона принимать SMS-сообщения.
Предложите механизмы защиты от атаки.






Вариант 5.
Задание 1.
Описать уровни информационной безопасности – законодательно-правовой, административно-организационный, программно-технический. Принципы построения систем защиты информации.

Задание 2.
Определите вид атаки на сотовый телефон по следующим признакам:
- SMS-сообщения со странными просьбами от знакомых и родных;
- SMS-сообщения с просьбой перевести деньги;
- SMS-сообщения с оскорблениями от людей, от которых Вы этого не ожидали;
- недоступность абонента при вызове отправителя SMS-сообщения.
Предложите механизмы защиты от атаки.

Вариант 6.
Задание 1.
Описать информацию как объект права. Нормативно-правовые основы информационной безопасности в РФ. Законодательно - нормативные акты в области обеспечения информационной безопасности, защиты государственной тайны и конфиденциальной информации. Конституционные гарантии прав граждан в области информационной безопасности. Понятие и виды защищаемой информации по законодательству РФ. Система защиты государственной тайны, правовой режим защиты государственной тайны.

Задание 2.
Провести анализ угроз по акустическим и электромагнитным каналам. Разработать техническое решение по защите конфиденциальной информации в переговорной комнате от утечки по акустическим и электромагнитным каналам.
Исходные данные: переговорная комната представляет собой выделенное помещение (площадь 28 кв.м), в котором решаются различные вопросы, а также проводятся совещания сотрудников компании с руководителем (см. рисунок 1). Руководитель имеет собственное автоматизированное рабочее место (АРМ: ПК, принтер, телефон), на котором обрабатывается и хранится различная конфиденциальная информация (новые проекты, разрабатываемые компанией).
Все технические средства, установленные в помещении, имеют каналы связи, выходящие за пределы контролируемой зоны.
В комнате присутствует 1 окно (двухкамерный стеклопакет), выходящее на улицу. Комната находится на пятом этаже здания. Стены, потолок, пол - железобетонные плиты толщиной 500 мм; дверь - металлическая. Зона рассматриваемого помещения граничит с коридором. В комнате установлены система отопления, телефонные и электропроводные линии, каналы связи, выходящие за пределы контролируемой зоны, датчики охранной и пожарной сигнализации.


HYPER13 EMBED Visio.Drawing.11 HYPER14HYPER15
Рисунок - Схема расположения переговорной комнаты


Вариант 7.

Задание 1.
Описать лицензирование и сертификация в области защиты информации. Стандартизация информационной безопасности.
Задание 2.
Руководство фирмы дало вам задание – сделать оценку текущего состояния конфиденциальности информационной системы. Составьте алгоритм своей работы и проанализируйте его. Перечислите документы, которые необходимо создать после вашей оценки.

Вариант 8.
Задание 1.
Описать сущность и сферы действия организационной защиты информации. Механизмы обеспечения информационной безопасности. Разработка политики безопасности.

Задание 2.
Вам поручили провести аудит безопасности информационной системы предприятия, на котором Вы работаете. Какие шаги необходимо предпринять?
Вариант 9.
Задание 1.
Описать способы проведение анализа угроз и расчета рисков в области информационной безопасности. Выбор механизмов и средств обеспечения информационной безопасности. Модели защиты информационных систем.
Задание 2.
Вы работаете в отделе информационной безопасности некоторой компании, занимающейся предоставлением услуг связи клиентам. Какую информацию в Вашей компании можно отнести к конфиденциальной? Какие виды конфиденциальной информации Вы знаете?
Вариант 10.
Задание 1.
Описать правила организации работ подразделений защиты информации. Разработка инструкций по работе со средствами защиты. Организация работы персонала с конфиденциальной информацией.
Задание 2.
Вы как начальник службы безопасности хотите исключить любую возможность хищения строго конфиденциальной информации с определенного компьютера. Какие меры вы предпримете?

Коды проверяемых профессиональных и общих компетенций при выполнении данного контрольного задания:
ПК3.1. Использовать программно-аппаратные средства защиты информации в системах мобильной связи.
ПК 3.2. Применять системы анализа защищенности для обнаружения уязвимости в сетевой инфраструктуре, выдавать рекомендации по их устранению.
ПК 3. 3. Обеспечивать безопасное администрирование систем и сетей.
ОК1. Понимать сущность и социальную значимость своей будущей профессии, проявлять к ней устойчивый интерес;
ОК2. Организовывать собственную деятельность, выбирать типовые методы и способы выполнения профессиональных задач, оценивать их эффективность и качество;
ОК3. Принимать решения в стандартных и нестандартных ситуациях и нести за них ответственность;
ОК4. Осуществлять поиск и использование информации, необходимой для эффективного выполнения профессиональных задач, профессионального и личностного развития;
ОК8. Самостоятельно определять задачи профессионального и личностного развития, заниматься самообразованием, осознанно планировать повышение квалификации.
Теоретические сведения

Тема 1. Понятие "информационная безопасность"
Информационная безопасность является одной из проблем, с которой столкнулось современное общество в процессе массового использования автоматизированных средств ее обработки.
Проблема информационной безопасности обусловлена возрастающей ролью информации в общественной жизни. Современное общество все более приобретает черты информационного общества.
С понятием "информационная безопасность" в различных контекстах связаны различные определения. Так, в Законе РФ "Об участии в международном информационном обмене" информационная безопасность определяется как состояние защищенности информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций, государства. Подобное же определение дается и в Доктрине информационной безопасности Российской Федерации, где указывается, что информационная безопасность характеризует состояние защищенности национальных интересов в информационной сфере, определяемых совокупностью сбалансированных интересов личности, общества и государства.
Оба эти определения рассматривают информационная безопасность в национальных масштабах и поэтому имеют очень широкое понятие.
Наряду с этим характерно, что применительно к различным сферам деятельности так или иначе связанным с информацией понятие "информационная безопасность" принимает более конкретные очертания. Так, например, в "Концепции информационной безопасности сетей связи общего пользования Российской Федерации" даны два определения этого понятия.
Информационная безопасность – это свойство сетей связи общего пользования противостоять возможности реализации нарушителем угрозы информационной безопасности.
Информационная безопасность – свойство сетей связи общего пользования сохранять неизменными характеристики информационной безопасности в условиях возможных воздействий нарушителя.
Необходимо иметь в виду, что при рассмотрении проблемы информационной безопасности нарушитель необязательно является злоумышленником. Нарушителем информационной безопасности может быть сотрудник, нарушивший режим информационной безопасности или внешняя среда, например, высокая температура, может привести к сбоям в работе технических средств хранения информации и т. д.
Сформулируем следующее определение "информационной безопасности".
Информационная безопасность – это защищенность информации и поддерживающей ее инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести ущерб владельцам или пользователям информации.
Рассматривая информацию как товар можно сказать, что нанесение ущерба информации в целом приводит к материальным затратам.
С другой стороны, рассматривая информацию как субъект управления (технология производства, расписание движения транспорта и т. д.), можно утверждать, что изменение ее может привести к катастрофическим последствиям в объекте управления – производстве, транспорте и др.
Именно поэтому при определении понятия "информационная безопасность" на первое место ставится защита информации от различных воздействий.
Поэтому под защитой информации понимается комплекс мероприятий, направленных на обеспечение информационной безопасности.
Согласно ГОСТу 350922-96 защита информации - это деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.
Решение проблемы информационной безопасности, как правило, начинается с выявления субъектов информационных отношений и интересов этих субъектов, связанных с использованием информационных систем. Это обусловлено тем, что для разных категорий субъектов характер решаемых задач может существенно различаться. Например, задачи решаемые администратором локальной сети по обеспечению информационной безопасности, в значительной степени отличаются от задач, решаемых пользователем на домашнем компьютере, не связанном сетью.
Исходя из этого, отметим следующие важные выводы:
задачи по обеспечению информационной безопасности для разных категорий субъектов могут существенно различаться;
информационная безопасность не сводится исключительно к защите от несанкционированного доступа к информации – это принципиально более широкое понятие.
При анализе проблематики, связанной с информационной безопасностью, необходимо учитывать специфику данного аспекта безопасности, состоящую в том, что информационная безопасность есть составная часть информационных технологий – области, развивающейся беспрецедентно высокими темпами. В области информационной безопасности важны не столько отдельные решения (законы, учебные курсы, программно-технические изделия), находящиеся на современном уровне, сколько механизмы генерации новых решений, позволяющие, как минимум, адекватно реагировать на угрозы информационной безопасности или предвидеть новые угрозы и уметь им противостоять.
В ряде случаев понятие "информационная безопасность" подменяется термином "компьютерная безопасность". В этом случае информационная безопасность рассматривается очень узко, поскольку компьютеры только одна из составляющих информационных систем. Несмотря на это, в рамках изучаемого курса основное внимание будет уделяться изучению вопросов, связанных с обеспечением режима информационной безопасности применительно к вычислительным системам, в которых информация хранится, обрабатывается и передается с помощью компьютеров.
Согласно определению, компьютерная безопасность зависит не только от компьютеров, но и от поддерживающей инфраструктуры, к которой можно отнести системы электроснабжения, жизнеобеспечения, вентиляции, средства коммуникаций, а также обслуживающий персонал.
Тема 2. Составляющие информационной безопасности
Как уже отмечено в предыдущей теме, информационная безопасность – многогранная область деятельности, в которой успех может принести только систематический, комплексный подход.
Обеспечение информационной безопасности в большинстве случаев связано с комплексным решением трех задач:
Обеспечением доступности информации.
Обеспечением целостности информации.
Обеспечением конфиденциальности информации.
Именно доступность, целостность и конфиденциальность являются равнозначными составляющими информационной безопасности.
Информационные системы создаются для получения определенных информационных услуг. Если по тем или иным причинам предоставить эти услуги пользователям становится невозможно, то это, очевидно, наносит ущерб всем пользователям.
Роль доступности информации особенно проявляется в разного рода системах управления – производством, транспортом и т. п. Менее драматичные, но также весьма неприятные последствия – и материальные, и моральные – может иметь длительная недоступность информационных услуг, которыми пользуется большое количество людей, например, продажа железнодорожных и авиабилетов, банковские услуги, доступ в информационную сеть Интернет и т. п.
Доступность – это гарантия получения требуемой информации или информационной услуги пользователем за определенное время.
Фактор времени в определении доступности информации в ряде случаев является очень важным, поскольку некоторые виды информации и информационных услуг имеют смысл только в определенный промежуток времени. Например, получение заранее заказанного билета на самолет после его вылета теряет всякий смысл. Точно так же получение прогноза погоды на вчерашний день не имеет никакого смысла, поскольку это событие уже наступило. В этом контексте весьма уместной является поговорка: "Дорога ложка к обеду".
Целостность информации условно подразделяется на статическую и динамическую. Статическая целостность информации предполагает неизменность информационных объектов от их исходного состояния, определяемого автором или источником информации. Динамическая целостность информации включает вопросы корректного выполнения сложных действий с информационными потоками, например, анализ потока сообщений для выявления некорректных, контроль правильности передачи сообщений, подтверждение отдельных сообщений и др.
Целостность – гарантия того, что информация сейчас существует в ее исходном виде, то есть при ее хранении или передаче не было произведено несанкционированных изменений.
Конфиденциальность – самый проработанный у нас в стране аспект информационной безопасности. К сожалению, практическая реализация мер по обеспечению конфиденциальности современных информационных систем в России связана с серьезными трудностями. Во-первых, сведения о технических каналах утечки информации являются закрытыми, так что большинство пользователей лишено возможности составить представление о потенциальных рисках. Во-вторых, на пути пользовательской криптографии как основного средства обеспечения конфиденциальности стоят многочисленные законодательные и технические проблемы.
Конфиденциальная информация есть практически во всех организациях. Это может быть технология производства, программный продукт, анкетные данные сотрудников и др. Применительно к вычислительным системам в обязательном порядке конфиденциальными данными являются пароли для доступа к системе.
Конфиденциальность – гарантия доступности конкретной информации только тому кругу лиц, для кого она предназначена.
Нарушение каждой из трех категорий приводит к нарушению информационной безопасности в целом. Так, нарушение доступности приводит к отказу в доступе к информации, нарушение целостности приводит к фальсификации информации и, наконец, нарушение конфиденциальности приводит к раскрытию информации.

Тема 3. Система формирования режима информационной безопасности
Анализ основ информационной безопасности показал, что обеспечение безопасности является задачей комплексной. С одной стороны режима информационной, информационная безопасность предполагает, как минимум, обеспечение трех ее составляющих - доступность, целостность и конфиденциальность данных. И уже с учетом этого проблему информационной безопасности следует рассматривать комплексно. С другой стороны, информацией и информационными системами в буквальном смысле "пронизаны" все сферы общественной деятельности и влияние информации на общество все нарастает, поэтому обеспечение информационной безопасности также требует комплексного подхода.
В этой связи вполне закономерным является рассмотрение проблемы обеспечения информационной безопасности на нескольких уровнях, которые в совокупности обеспечивали бы защиту информации и информационных систем от вредных воздействий, наносящих ущерб субъектам информационных отношений.
Рассматривая проблему информационной безопасности в широком смысле, можно отметить, что в этом случае речь идет об информационной безопасности всего общества и его жизнедеятельности, при этом на информационную безопасность возлагается задача по минимизации всех отрицательных последствий от всеобщей информатизации и содействия развитию всего общества при использовании информации как ресурса его развития.
В этой связи основными задачами информационной безопасности в широком смысле являются:
защита государственной тайны, т. е. секретной и другой конфиденциальной информации, являющейся собственностью государства, от всех видов несанкционированного доступа, манипулирования и уничтожения;
защита прав граждан на владение, распоряжение и управление принадлежащей им информацией;
защита прав предпринимателей при осуществлении ими коммерческой деятельности;
защита конституционных прав граждан на тайну переписки, переговоров, личную тайну.
Рассматривая проблему информационной безопасности в узком смысле, отметим, что в этом случае речь идет о совокупности методов и средств защиты информации и ее материальных носителей, направленных на обеспечение целостности, конфиденциальности и доступности информации.
Исходя из этого, выделим следующие задачи информационной безопасности:
защита технических и программных средств информатизации от ошибочных действий персонала и техногенных воздействий, а также стихийных бедствий;
защита технических и программных средств информатизации от преднамеренных воздействий.
С учетом изложенного выделим три уровня формирования режима информационной безопасности:
законодательно-правовой;
административный (организационный);
программно-технический.
Законодательно-правовой уровень включает комплекс законодательных и иных правовых актов, устанавливающих правовой статус субъектов информационных отношений, субъектов и объектов защиты, методы, формы и способы защиты, их правовой статус. Кроме того, к этому уровню относятся стандарты и спецификации в области информационной безопасности. Система законодательных актов и разработанных на их базе нормативных и организационно-распорядительных документов должна обеспечивать организацию эффективного надзора за их исполнением со стороны правоохранительных органов и реализацию мер судебной защиты и ответственности субъектов информационных отношений. К этому уровню можно отнести и морально-этические нормы поведения, которые сложились традиционно или складываются по мере распространения вычислительных средств в обществе. Морально-этические нормы могут быть регламентированными в законодательном порядке, т. е. в виде свода правил и предписаний. Наиболее характерным примером таких норм является Кодекс профессионального поведения членов Ассоциации пользователей ЭВМ США. Тем не менее, эти нормы большей частью не являются обязательными, как законодательные меры.
Административный уровень включает комплекс взаимокоординируемых мероприятий и технических мер, реализующих практические механизмы защиты в процессе создания и эксплуатации систем защиты информации. Организационный уровень должен охватывать все структурные элементы систем обработки данных на всех этапах их жизненного цикла: строительство помещений, проектирование системы, монтаж и наладка оборудования, испытания и проверки, эксплуатация.
Программно-технический уровень включает три подуровня: физический, технический (аппаратный) и программный. Физический подуровень решает задачи с ограничением физического доступа к информации и информационным системам, соответственно к нему относятся технические средства, реализуемые в виде автономных устройств и систем, не связанных с обработкой, хранением и передачей информации: система охранной сигнализации, система наблюдения, средства физического воспрепятствования доступу (замки, ограждения, решетки и т. д.).
Средства защиты аппаратного и программного подуровней непосредственно связаны с системой обработки информации. Эти средства либо встроены в аппаратные средства обработки, либо сопряжены с ними по стандартному интерфейсу. К аппаратным средствам относятся схемы контроля информации по четности, схемы доступа по ключу и т. д. К программным средствам защиты, образующим программный подуровень, относятся специальное программное обеспечение, используемое для защиты информации, например антивирусный пакет и т. д. Программы защиты могут быть как отдельные, так и встроенные. Так, шифрование данных можно выполнить встроенной в операционную систему файловой шифрующей системой EFS или специальной программой шифрования.
Подчеркнем, что формирование режима информационной безопасности является сложной системной задачей, решение которой в разных странах отличается по содержанию и зависит от таких факторов, как научный потенциал страны, степень внедрения средств информатизации в жизнь общества и экономику, развитие производственной базы, общей культуры общества и, наконец, традиций и норм поведения.
Тема 4. Нормативно-правовые основы информационной безопасности в РФ
Законодательные меры в сфере информационной безопасности направлены на создание в стране законодательной базы, упорядочивающей и регламентирующей поведение субъектов и объектов информационных отношений, а также определяющей ответственность за нарушение установленных норм.
Работа по созданию нормативной базы предусматривает разработку новых или корректировку существующих законов, положений, постановлений и инструкций, а также создание действенной системы контроля за исполнением указанных документов. Необходимо отметить, что такая работа в последнее время ведется практически непрерывно, поскольку сфера информационных технологий развивается стремительно, соответственно появляются новые формы информационных отношений, существование которых должно быть определено законодательно.
Законодательная база в сфере информационной безопасности включает пакет Федеральных законов, Указов Президента РФ, постановлений Правительства РФ, межведомственных руководящих документов и стандартов.
Основополагающими документами по информационной безопасности в РФ являются Конституция РФ и Концепция национальной безопасности.
В Конституции РФ гарантируется "тайна переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений" (ст. 23, ч.2), а также "право свободно искать, получать, передавать, производить и распространять информацию любым законным способом" (ст. 29, ч.4). Кроме этого, Конституцией РФ "гарантируется свобода массовой информации" (ст. 29, ч.5), т. е. массовая информация должна быть доступна гражданам.
Концепция национальной безопасности РФ, введенная указом Президента РФ №24 в январе 2000г., определяет важнейшие задачи обеспечения информационной безопасности Российской Федерации:
реализация конституционных прав и свобод граждан Российской Федерации в сфере информационной деятельности;
совершенствование и защита отечественной информационной инфраструктуры, интеграция России в мировое информационное пространство;
противодействие угрозе развязывания противоборства в информационной сфере.
Для обеспечения прав граждан в сфере информационных технологий и решения задач информационной безопасности, сформулированных в Концепции национальной безопасности РФ, разработаны и продолжают разрабатываться и совершенствоваться нормативные документы в сфере информационных технологий.
Основные положения важнейших законодательных актов РФ в области информационной безопасности и защиты информации
Закон Российской Федерации от 21 июля 1993 года №5485-1 "О государственной тайне" с изменениями и дополнениями, внесенными после его принятия, регулирует отношения, возникающие в связи с отнесением сведений к государственной тайне, их рассекречиванием и защитой в интересах обеспечения безопасности Российской Федерации.
В Законе определены следующие основные понятия:
государственная тайна – защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации;
носители сведений, составляющих государственную тайну, – материальные объекты, в том числе физические поля, в которых сведения, составляющие государственную тайну, находят свое отображение в виде символов, образов, сигналов, технических решений и процессов;
система защиты государственной тайны – совокупность органов защиты государственной тайны, используемых ими средств и методов защиты сведений, составляющих государственную тайну, и их носителей, а также мероприятий, проводимых в этих целях;
доступ к сведениям, составляющим государственную тайну – санкционированное полномочным должностным лицом ознакомление конкретного лица со сведениями, составляющими государственную тайну;
гриф секретности – реквизиты, свидетельствующие о степени секретности сведений, содержащихся в их носителе, проставляемые на самом носителе и (или) в сопроводительной документации на него;
средства защиты информации – технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых они реализованы, а также средства контроля эффективности защиты информации.
Законом определено, что средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности.
Организация сертификации средств защиты информации возлагается на Государственную техническую комиссию при Президенте Российской Федерации, Федеральную службу безопасности Российской Федерации, Министерство обороны Российской Федерации в соответствии с функциями, возложенными на них законодательством Российской Федерации.
Закон РФ "Об информации, информатизации и защите информации" от 20 февраля 1995 года №24-ФЗ – является одним из основных базовых законов в области защиты информации, который регламентирует отношения, возникающие при формировании и использовании информационных ресурсов Российской Федерации на основе сбора, накопления, хранения, распространения и предоставления потребителям документированной информации, а также при создании и использовании информационных технологий, при защите информации и прав субъектов, участвующих в информационных процессах и информатизации.
Основными задачами системы защиты информации, нашедшими отражение в Законе "Об информации, информатизации и защите информации", являются:
предотвращение утечки, хищения, утраты, несанкционированного уничтожения, искажения, модификации (подделки), несанкционированного копирования, блокирования информации и т. п., вмешательства в информацию и информационные системы;
сохранение полноты, достоверности, целостности информации, ее массивов и программ обработки данных, установленных собственником или уполномоченным им лицом;
сохранение возможности управления процессом обработки, пользования информацией в соответствии с условиями, установленными собственником или владельцем информации;
обеспечение конституционных прав граждан на сохранение личной тайны и конфиденциальности персональной информации, накапливаемой в банках данных;
сохранение секретности или конфиденциальности информации в соответствии с правилами, установленными действующим законодательством и другими законодательными или нормативными актами;
облюдение прав авторов программно-информационной продукции, используемой в информационных системах.
В соответствии с законом:
информационные ресурсы делятся на государственные и негосударственные (ст. 6, ч. 1);
государственные информационные ресурсы являются открытыми и общедоступными. Исключение составляет документированная информация, отнесенная законом к категории ограниченного доступа (ст. 10, ч. 1);
документированная информация с ограниченного доступа по условиям ее правового режима подразделяется на информацию, отнесенную к государственной тайне, и конфиденциальную (ст. 10, ч. 2).
Закон определяет пять категорий государственных информационных ресурсов:
открытая общедоступная информация во всех областях знаний и деятельности;
информация с ограниченным доступом;
информация, отнесенная к государственной тайне;
конфиденциальная информация;
персональные данные о гражданах (относятся к категории конфиденциальной информации, но регламентируются отдельным законом).
Статья 22 Закона "Об информации, информатизации и защите информации" определяет права и обязанности субъектов в области защиты информации. В частности, пункты 2 и 5 обязывают владельца информационной системы обеспечивать необходимый уровень защиты конфиденциальной информации и оповещать собственников информационных ресурсов о фактах нарушения режима защиты информации.
Следует отметить, что процесс законотворчества идет достаточно сложно. Если в вопросах защиты государственной тайны создана более или менее надежная законодательная система, то в вопросах защиты служебной, коммерческой и частной информации существует достаточно много противоречий и "нестыковок".
При разработке и использовании законодательных и других правовых и нормативных документов, а также при организации защиты информации важно правильно ориентироваться во всем блоке действующей законодательной базы в этой области.
Проблемы, связанные с правильной трактовкой и применением законодательства Российской Федерации, периодически возникают в практической работе по организации защиты информации от ее утечки по техническим каналам, от несанкционированного доступа к информации и от воздействий на нее при обработке в технических средствах информатизации, а также в ходе контроля эффективности принимаемых мер защиты.
Немаловажная роль в системе правового регулирования информационных отношений отводится ответственности субъектов за нарушения в сфере информационной безопасности.
Основными документами в этом направлении являются:
Уголовный кодекс Российской Федерации.
Кодекс Российской Федерации об административных правонарушениях.
В принятом в 1996 году Уголовном кодексе Российской Федерации, как наиболее сильнодействующем законодательном акте по предупреждению преступлений и привлечению преступников и нарушителей к уголовной ответственности, вопросам безопасности информации посвящены следующие главы и статьи:
Статья 138. Нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений.
Статья 140. Отказ в предоставлении гражданину информации.
Статья 183. Незаконное получение и разглашение сведений, составляющих коммерческую или банковскую тайну.
Статья 237. Сокрытие информации об обстоятельствах, создающих опасность для жизни и здоровья людей.
Статья 283. Разглашение государственной тайны.
Статья 284. Утрата документов, содержащих государственную тайну.
Особое внимание уделяется компьютерным преступлениям, ответственность за которые предусмотрена в специальной 28 главе кодекса "Преступления в сфере компьютерной информации". Глава 28 включает следующие статьи:
Статья 272. Неправомерный доступ к компьютерной информации.
Неправомерный доступ к охраняемой законом компьютерной информации, то есть информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети, – наказывается штрафом в размере от двухсот до пятисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от двух до пяти месяцев, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет.
То же деяние, совершенное группой лиц по предварительному сговору или организованной группой, либо лицом с использованием своего служебного положения, а равно имеющим доступ к ЭВМ, системе ЭВМ или их сети, – наказывается штрафом в размере от пятисот до восьмисот минимальных размеров оплаты труда или в размере заработной платы или другого дохода осужденного за период от пяти до восьми месяцев, либо исправительными работами на срок от одного года до двух лет, либо арестом на срок от трех до шести месяцев, либо лишением свободы на срок до пяти лет.
Статья 273. Создание, использование и распространение вредоносных программ для ЭВМ.
Создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами, – наказывается лишением свободы на срок до трех лет со штрафом в размере от двухсот до пятисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от двух до пяти месяцев.
Те же деяния, повлекшие по неосторожности тяжкие последствия, – наказываются лишением свободы на срок от трех до семи лет.
Статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.
Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети лицом, имеющим доступ к ЭВМ, системе ЭВМ или их сети, повлекшее уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ, если это деяние причинило существенный вред, – наказывается лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет, либо обязательными работами на срок от ста восьмидесяти до двухсот сорока часов, либо ограничением свободы на срок до двух лет.
То же деяние, повлекшее по неосторожности тяжкие последствия, – наказывается лишением свободы на срок до четырех лет.
Тема 5. Стандарты информационной безопасности: "Общие критерии"
Стандарт ISO/IEC 15408 "Критерии оценки безопасности информационных технологий" (издан 1 декабря 1999 года) относится к оценочным стандартам. Этот международный стандарт стал итогом почти десятилетней работы специалистов нескольких стран. Он вобрал в себя опыт существовавших к тому времени документов национального и межнационального масштаба. Именно поэтому этот стандарт очень часто называют "Общими критериями".
"Общие критерии" являются метастандартом, определяющим инструменты оценки безопасности информационных систем и порядок их использования.
Как и "Оранжевая книга", "Общие критерии" содержат два основных вида требований безопасности:
функциональные – соответствуют активному аспекту защиты – предъявляемые к функциям безопасности и реализующим их механизмам;
требования доверия – соответствуют пассивному аспекту – предъявляемые к технологии и процессу разработки и эксплуатации.
В отличие от "Оранжевой книги", "Общие критерии" не содержат предопределенных "классов безопасности". Такие классы можно строить, исходя из требований безопасности, существующих для конкретной организации и/или конкретной информационной системы.
Очень важно, что безопасность в "Общих критериях" рассматривается не статично, а в привязке к жизненному циклу объекта оценки.
Угрозы безопасности в стандарте характеризуются следующими параметрами:
источник угрозы;
метод воздействия;
уязвимые места, которые могут быть использованы;
ресурсы (активы), которые могут пострадать.
Принцип иерархии: класс – семейство – компонент – элемент
Для структуризации пространства требований, в "Общих критериях" введена иерархия класс – семейство – компонент – элемент.
Классы определяют наиболее общую, "предметную" группировку требований (например, функциональные требования подотчетности).
Семейства в пределах класса различаются по строгости и другим тонкостям требований.
Компонент – минимальный набор требований, фигурирующий как целое.
Элемент – неделимое требование.
Между компонентами могут существовать зависимости, которые возникают, когда компонент сам по себе недостаточен для достижения цели безопасности.
Подобный принцип организации защиты напоминает принцип программирования с использованием библиотек, в которых содержатся стандартные (часто используемые) функции, из комбинаций которых формируется алгоритм решения.
"Общие критерии" позволяют с помощью подобных библиотек (компонент) формировать два вида нормативных документов: профиль защиты и задание по безопасности.
Профиль защиты представляет собой типовой набор требований, которым должны удовлетворять продукты и/или системы определенного класса (например, операционные системы на компьютерах в правительственных организациях).
Задание по безопасности содержит совокупность требований к конкретной разработке, выполнение которых обеспечивает достижение поставленных целей безопасности.
Функциональный пакет – это неоднократно используемая совокупность компонентов, объединенных для достижения определенных целей безопасности.
Базовый профиль защиты должен включать требования к основным (обязательным в любом случае) возможностям. Производные профили получаются из базового путем добавления необходимых пакетов расширения, то есть подобно тому, как создаются производные классы в объектно-ориентированных языках программирования.
Функциональные требования
Все функциональные требования объединены в группы на основе выполняемой ими роли или обслуживаемой цели безопасности. Всего в "Общих критериях" представлено 11 функциональных классов, 66 семейств, 135 компонентов. Это гораздо больше, чем число аналогичных понятий в "Оранжевой книге".
"Общие критерии" включают следующие классы функциональных требований:
Идентификация и аутентификация.
Защита данных пользователя.
Защита функций безопасности (требования относятся к целостности и контролю данных сервисов безопасности и реализующих их механизмов).
Управление безопасностью (требования этого класса относятся к управлению атрибутами и параметрами безопасности).
Аудит безопасности (выявление, регистрация, хранение, анализ данных, затрагивающих безопасность объекта оценки, реагирование на возможное нарушение безопасности).
Доступ к объекту оценки.
Приватность (защита пользователя от раскрытия и несанкционированного использования его идентификационных данных).
Использование ресурсов (требования к доступности информации).
Криптографическая поддержка (управление ключами).
Связь (аутентификация сторон, участвующих в обмене данными).
Доверенный маршрут/канал (для связи с сервисами безопасности).
Рассмотрим содержание одного из классов.
Класс функциональных требований "Использование ресурсов" включает три семейства.
Отказоустойчивость. Требования этого семейства направлены на сохранение доступности информационных сервисов даже в случае сбоя или отказа. В стандарте различаются активная и пассивная отказоустойчивость. Активный механизм содержит специальные функции, которые активизируются в случае сбоя. Пассивная отказоустойчивость подразумевает наличие избыточности с возможностью нейтрализации ошибок.
Обслуживание по приоритетам. Выполнение этих требований позволяет управлять использованием ресурсов так, что низкоприоритетные операции не могут помешать высокоприоритетным.
Распределение ресурсов. Требования направлены на защиту (путем применения механизма квот) от несанкционированной монополизации ресурсов.
Аналогично и другие классы включают наборы семейств требований, которые используются для формулировки требований к системе безопасности.
"Общие критерии" – достаточно продуманный и полный документ с точки зрения функциональных требований и именно на этот стандарт безопасности ориентируются соответствующие организации в нашей стране и в первую очередь Гостехкомиссия РФ.
Вторая форма требований безопасности в "Общих критериях" – требования доверия безопасности.
Установление доверия безопасности основывается на активном исследовании объекта оценки.
Форма представления требований доверия, та же, что и для функциональных требований (класс – семейство – компонент).
Всего в "Общих критериях" 10 классов, 44 семейства, 93 компонента требований доверия безопасности.
Классы требований доверия безопасности:
Разработка (требования для поэтапной детализации функций безопасности от краткой спецификации до реализации).
Поддержка жизненного цикла (требования к модели жизненного цикла, включая порядок устранения недостатков и защиту среды разработки).
Тестирование.
Оценка уязвимостей (включая оценку стойкости функций безопасности).
Поставка и эксплуатация.
Управление конфигурацией.
Руководства (требования к эксплуатационной документации).
Поддержка доверия (для поддержки этапов жизненного цикла после сертификации).
Оценка профиля защиты.
Оценка задания по безопасности.
Применительно к требованиям доверия (для функциональных требований не предусмотрены) в "Общих критериях" введены оценочные уровни доверия (их семь), содержащие осмысленные комбинации компонентов.
Степень доверия возрастает от первого к седьмому уровню. Так, оценочный уровень доверия 1 (начальный) применяется, когда угрозы не рассматриваются как серьезные, а оценочный уровень 7 применяется к ситуациям чрезвычайно высокого риска.
Тема 6. Административный уровень обеспечения информационной безопасности.
Административный уровень является промежуточным между законодательно-правовым и программно-техническим уровнями формирования режима информационной безопасности. Законы и стандарты в области информационной безопасности являются лишь отправным нормативным базисом информационной безопасности. Основой практического построения комплексной системы безопасности является административный уровень, определяющий главные направления работ по защите информационных систем.
Задачей административного уровня является разработка и реализация практических мероприятий по созданию системы информационной безопасности, учитывающей особенности защищаемых информационных систем.
Кроме этого, что немаловажно, именно на административном уровне определяются механизмы защиты, которые составляют третий уровень информационной безопасности – программно-технический.
Целью административного уровня является разработка программы работ в области информационной безопасности и обеспечение ее выполнения в конкретных условиях функционирования информационной системы.
Содержанием административного уровня являются следующие мероприятия:
Разработка политики безопасности.
Проведение анализа угроз и расчета рисков.
Разработка политики безопасности ведется для конкретных условий функционирования информационной системы. Как правило, речь идет о политике безопасности организации, предприятия или учебного заведения. С учетом этого рассмотрим следующее определение политики безопасности.
Политика безопасности – это комплекс предупредительных мер по обеспечению информационной безопасности организации. Политика безопасности включает правила, процедуры и руководящие принципы в области безопасности, которыми руководствуется организация в своей деятельности. Кроме этого, политика безопасности включает в себя требования в адрес субъектов информационных отношений, при этом в политике безопасности излагается политика ролей субъектов информационных отношений.
Основные направления разработки политики безопасности:
определение объема и требуемого уровня защиты данных;
определение ролей субъектов информационных отношений.
В "Оранжевой книге" политика безопасности трактуется как набор норм, правил и практических приемов, которые регулируют управление, защиту и распределение ценной информации.
Результатом разработки политики безопасности является комплексный документ, представляющий систематизированное изложение целей, задач, принципов и способов достижения информационной безопасности.
Этот документ является методологической основой практических мер по обеспечению информационной безопасности и включает следующие группы сведений:
основные положения информационной безопасности организации;
область применения политики безопасности;
цели и задачи обеспечения информационной безопасности организации;
распределение ролей и ответственности субъектов информационных отношений организации и их общие обязанности.
Основные положения определяют важность обеспечения информационной безопасности, общие проблемы безопасности, направления их решения, роль сотрудников, нормативно-правовые основы.
При описании области применения политики безопасности перечисляются компоненты автоматизированной системы обработки, хранения и передачи информации, подлежащие защите.
В состав автоматизированной информационной системы входят следующие компоненты:
аппаратные средства – компьютеры и их составные части (процессоры, мониторы, терминалы, периферийные устройства – дисководы, принтеры, контроллеры), кабели, линии связи и т. д.;
программное обеспечение – приобретенные программы, исходные, объектные, загрузочные модули; операционные системы и системные программы (компиляторы, компоновщики и др.), утилиты, диагностические программы и т. д.;
данные – хранимые временно и постоянно, на магнитных носителях, печатные, архивы, системные журналы и т. д.;
персонал – обслуживающий персонал и пользователи.
Цели, задачи, критерии оценки информационной безопасности определяются функциональным назначением организации. Например, для режимных организаций на первое место ставится соблюдение конфиденциальности. Для сервисных информационных служб реального времени важным является обеспечение доступности подсистем. Для информационных хранилищ актуальным может быть обеспечение целостности данных и т. д.
Политика безопасности затрагивает всех субъектов информационных отношений в организации, поэтому на этапе разработки политики безопасности очень важно разграничить их права и обязанности, связанные с их непосредственной деятельностью.
С точки зрения обеспечения информационной безопасности разграничение прав и обязанностей целесообразно провести по следующим группам (ролям):
специалист по информационной безопасности;
владелец информации;
поставщики аппаратного и программного обеспечения;
менеджер отдела;
операторы;
аудиторы.
В зависимости от размеров организации, степени развитости ее информационной системы, некоторые из перечисленных ролей могут отсутствовать вообще, а некоторые могут совмещаться одним и тем же физическим лицом.
Специалист по информационной безопасности (начальник службы безопасности, администратор по безопасности) играет основную роль в разработке и соблюдении политики безопасности предприятия. Он проводит расчет и перерасчет рисков, выявляет уязвимости системы безопасности по всем направлениям (аппаратные средства, программное обеспечение и т. д.).
Владелец информации – лицо, непосредственно владеющее информацией и работающее с ней. В большинстве случае именно владелец информации может определить ее ценность и конфиденциальность.
Поставщики аппаратного и программного обеспечения обычно являются сторонними лицами, которые несут ответственность за поддержание должного уровня информационной безопасности в поставляемых им продуктах.
Администратор сети – лицо, занимающееся обеспечением функционирования информационной сети организации, поддержанием сетевых сервисов, разграничением прав доступа к ресурсам сети на основании соответствующей политики безопасности.
Менеджер отдела является промежуточным звеном между операторами и специалистами по информационной безопасности. Его задача – своевременно и качественно инструктировать подчиненный ему персонал обо всех требованиях службы безопасности и следить за их выполнением на рабочих местах. Менеджеры должны доводить до подчиненных все аспекты политики безопасности, которые непосредственно их касаются.
Операторы обрабатывают информацию, поэтому должны знать класс конфиденциальности информации и какой ущерб будет нанесен организации при ее раскрытии.
Аудиторы – внешние специалисты по безопасности, нанимаемые организацией для периодической проверки функционирования всей системы безопасности организации.
Тема 7. Классификация угроз "информационной безопасности"
Анализ и выявление угроз информационной безопасности является второй важной функцией административного уровня обеспечения информационной безопасности. Во многом облик разрабатываемой системы защиты и состав механизмов ее реализации определяется потенциальными угрозами, выявленными на этом этапе. Например, если пользователи вычислительной сети организации имеют доступ в Интернет, то количество угроз информационной безопасности резко возрастает, соответственно, это отражается на методах и средствах защиты и т. д.
Угроза информационной безопасности – это потенциальная возможность нарушения режима информационной безопасности. Преднамеренная реализация угрозы называется атакой на информационную систему. Лица, преднамеренно реализующие угрозы, являются злоумышленниками.
Чаще всего угроза является следствием наличия уязвимых мест в защите информационных систем, например, неконтролируемый доступ к персональным компьютерам или нелицензионное программное обеспечение (к сожалению даже лицензионное программное обеспечение не лишено уязвимостей).
История развития информационных систем показывает, что новые уязвимые места появляются постоянно. С такой же регулярностью, но с небольшим отставанием, появляются и средства защиты. В большинстве своем средства защиты появляются в ответ на возникающие угрозы, так, например, постоянно появляются исправления к программному обеспечению фирмы Microsoft, устраняющие очередные его уязвимые места и др. Такой подход к обеспечению безопасности малоэффективен, поскольку всегда существует промежуток времени между моментом выявления угрозы и ее устранением. Именно в этот промежуток времени злоумышленник может нанести непоправимый вред информации.
В этой связи более приемлемым является другой способ - способ упреждающей защиты, заключающийся в разработке механизмов защиты от возможных, предполагаемых и потенциальных угроз.
Отметим, что некоторые угрозы нельзя считать следствием целенаправленных действий вредного характера. Существуют угрозы, вызванные случайными ошибками или техногенными явлениями.
Знание возможных угроз информационной безопасности, а также уязвимых мест системы защиты, необходимо для того, чтобы выбрать наиболее экономичные и эффективные средства обеспечения безопасности.
Угрозы информационной безопасности классифицируются по нескольким признакам:
по составляющим информационной безопасности (доступность, целостность, конфиденциальность), против которых, в первую очередь, направлены угрозы;
по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, персонал);
по характеру воздействия (случайные или преднамеренные, действия природного или техногенного характера);
по расположению источника угроз (внутри или вне рассматриваемой информационной системы).
Отправной точкой при анализе угроз информационной безопасности является определение составляющей информационной безопасности, которая может быть нарушена той или иной угрозой: конфиденциальность, целостность или доступность.
Рассмотрим угрозы по характеру воздействия.
Опыт проектирования, изготовления и эксплуатации информационных систем показывает, что информация подвергается различным случайным воздействиям на всех этапах цикла жизни системы.
Причинами случайных воздействий при эксплуатации могут быть:
аварийные ситуации из-за стихийных бедствий и отключений электропитания (природные и техногенные воздействия);
отказы и сбои аппаратуры;
ошибки в программном обеспечении;
ошибки в работе персонала;
помехи в линиях связи из-за воздействий внешней среды.
Преднамеренные воздействия – это целенаправленные действия злоумышленника. В качестве злоумышленника могут выступать служащий, посетитель, конкурент, наемник. Действия нарушителя могут быть обусловлены разными мотивами, например:
недовольством служащего служебным положением;
любопытством;
конкурентной борьбой;
уязвленным самолюбием и т. д.
Угрозы, классифицируемые по расположению источника угроз, бывают внутренние и внешние.
Внешние угрозы обусловлены применением вычислительных сетей и создание на их основе информационных систем.
Основная особенность любой вычислительной сети состоит в том, что ее компоненты распределены в пространстве. Связь между узлами сети осуществляется физически с помощью сетевых линий и программно с помощью механизма сообщений. При этом управляющие сообщения и данные, пересылаемые между узлами сети, передаются в виде пакетов обмена. Особенность данного вида угроз заключается в том, что местоположение злоумышленника изначально неизвестно.
Одним из наиболее распространенных и многообразных способов воздействия на информационную систему, позволяющим нанести ущерб любой из составляющих информационной безопасности является несанкционированный доступ. Несанкционированный доступ возможен из-за ошибок в системе защиты, нерационального выбора средств защиты, их некорректной установки и настройки.
Каналы НСД классифицируются по компонентам автоматизированных информационных систем:
Через человека:
хищение носителей информации;
чтение информации с экрана или клавиатуры;
чтение информации из распечатки.
Через программу:
перехват паролей;
расшифровка зашифрованной информации;
копирование информации с носителя.
Через аппаратуру:
подключение специально разработанных аппаратных средств, обеспечивающих доступ к информации;
перехват побочных электромагнитных излучений от аппаратуры, линий связи, сетей электропитания и т. д.






Вопросы по МДК.03.01 Технология применения программно-аппаратных средств защиты информации в системах мобильной связи


Понятие информационной безопасности, характеристика ее составляющих. Место информационной безопасности в системе национальной безопасности.
Концептуальную модель защиты информации. Проблемы информационной безопасности в сфере телекоммуникаций: объекты защиты; виды защиты; системы защиты информации.
Классификацию и анализ угроз информационной безопасности в телекоммуникационных системах. Виды уязвимости информации и формы ее проявления.
Понятие о конфиденциальной информации (грифы, закон о государственной тайне, закон о личной тайне, закон о коммерческой тайне).
Уровни информационной безопасности – законодательно-правовой, административно-организационный, программно-технический. Принципы построения систем защиты информации.
Информация как объект права. Нормативно-правовые основы информационной безопасности в РФ. Законодательно - нормативные акты в области обеспечения информационной безопасности, защиты государственной тайны и конфиденциальной информации. Конституционные гарантии прав граждан в области информационной безопасности. Понятие и виды защищаемой информации по законодательству РФ. Система защиты государственной тайны, правовой режим защиты государственной тайны.
Лицензирование и сертификация в области защиты информации. Стандартизация информационной безопасности.
Сущность и сферы действия организационной защиты информации. Механизмы обеспечения информационной безопасности. Разработка политики безопасности.
Способы проведение анализа угроз и расчета рисков в области информационной безопасности. Выбор механизмов и средств обеспечения информационной безопасности. Модели защиты информационных систем.
Правила организации работ подразделений защиты информации. Разработка инструкций по работе со средствами защиты. Организация работы персонала с конфиденциальной информацией.










ЛИТЕРАТУРА:

Основная:
Гришина, Н.В. Комплексная система защиты информации на предприятии: учебное пособие/ Н.В. Гришина.- М.:ФОРУМ, 2011 – 240 с.: ил. – ISBN 978-5-91134-369-9
Калинкина, Т.И. Телекоммуникационные и вычислительные сети. Архитектура, стандарты и технологии: учеб пособие / Т.И. Калинкина, Б.В.Костров, В.Н. Ручкин. – СПб.: БХВ – Петербург, 2013.- 288 с.: ил. – ISBN 978-5-9775-0673-5
Петренко, С. А. Аудит безопасности Intranet. / С.А.Петренко, А.А. Петренко М.: ДМК-Пресс, 2012 г. 416 с. ISBN 5-94074-183-5
Петренко, С. А. Политики информационной безопасности / С.А.Петренко, В.А.Курбатов М.: ДМК-Пресс, 2012 г. 400 с. ISBN 5-98453-124-6
Родичев, Ю. А. Информационная безопасность: нормативно-правовые аспекты. Учебное пособие / Ю.А.Родичев СПб.: Питер, 2012 г. 272 с. ISBN 978-5-388-00169-3

Дополнительная:
Голицына, О.Л. Информационные технологии: учебник. – 2-е изд., перераб. и доп. / О.Л. Голицына, Н.В.Максимов, Т.Л.Партыка, И.И.Попов – М.: ФОРУМ: ИНФРА-М, 2008. – 608 с.: ил. – ISBN 978-5-91134-178-7
Куприянов, А.И. Основы защиты информации: учеб. пособие для студ. высш. учеб. Заведений / А.И.Куприянов, А.В. Сахаров, В.А.Шевцов. – 3-е изд., стер. – М.: Издательский центр «Академия», 2008. – 256 с. – ISBN 978-5-7695-5761-3
Максимов, Н.В. Компьютерные сети: учебное пособие для студентов учреждений среднего профессионального образования. – 3-е изд., испр. и доп. / Н.В. Максимов, И.И. Попов. – М.: ФОРУМ, 2008. – 448 с.: ил. – ISBN 978-5-91134-235-7
Платонов, В.В. Программно-аппаратные средства обеспечения информационной безопасности вычислительных сетей: учеб. пособие для студ. высш. учеб. Заведений / В.В.Платонов. – М.: Издательский центр «Академия» , 2008. – 240 с. – ISBN 5-7695-2706-4
Сёмкин, С.Н. Основы правового обеспечения защиты информации. Учебное пособие для вузов / С.Н.Сёмкин, А.Н.Сёмкин. – М.: Горячая линия – Телеком, 2008. – 238 с.: ил. – ISBN 978-5-9912-0016-5
Шаньгин, В.Ф. Защита компьютерной информации. Эффективные методы и средства / В.Ф.Шаньгин. - М.: ДМК Пресс, 2008. – 544 с.: ил. – ISBN 5-94074-383-8

















·
·
·
·
·
·
·
·
·
·
·
·
·аRoot Entry

Приложенные файлы

  • doc 173
    КОНТРОЛЬНОЕ ЗАДАНИЕ ПО МДК.03.01 Технология применения программно-аппаратных средств защиты информации в системах мобильной связи для студентов заочной формы обучения специальности 11.02.08 Средства связи с подвижными объектами
    Размер файла: 2 MB Загрузок: 0

Добавить комментарий