Mahitaji maalum ya ulinzi wa habari. Vipengele kuu vya hati: mahitaji maalum na mapendekezo ya ulinzi wa kiufundi wa habari za siri (STR-K)

(STR-K)

Moscow 2001

MAUDHUI

1. Masharti, ufafanuzi na vifupisho
2. Masharti ya jumla
3. Shirika la kazi juu ya ulinzi wa habari
4. Mahitaji na mapendekezo ya ulinzi wa habari ya hotuba
4.1. Masharti ya jumla
4.2. Mahitaji ya kimsingi na mapendekezo ya kulinda habari inayozunguka katika majengo yaliyolindwa
4.3. Ulinzi wa habari zinazozunguka katika uimarishaji wa sauti na mifumo ya sauti ya filamu
4.4. Ulinzi wa habari wakati wa kurekodi sauti.
4.5. Ulinzi wa taarifa za sauti wakati wa upitishaji wake kwenye njia za mawasiliano
5. Mahitaji na mapendekezo kwa ajili ya ulinzi wa habari kusindika na teknolojia ya kompyuta
5.1. Mahitaji ya jumla na mapendekezo
5.2. Mahitaji ya kimsingi na mapendekezo ya kulinda siri rasmi na data ya kibinafsi
5.3. Mapendekezo ya kimsingi ya kulinda habari inayojumuisha siri ya biashara
5.4. Utaratibu wa kuhakikisha ulinzi habari za siri wakati wa operesheni ya mzungumzaji
5.5. Ulinzi wa taarifa za siri katika vituo vya kazi vya kiotomatiki kulingana na Kompyuta zinazojiendesha
5.6. Kulinda habari wakati wa matumizi anatoa zinazoweza kutolewa uwezo mkubwa kwa vituo vya kazi vya kiotomatiki kulingana na Kompyuta zinazojiendesha
5.7. Ulinzi wa habari katika mitandao ya ndani ya kompyuta
5.8. Ulinzi wa habari wakati wa kufanya kazi kwenye mtandao
5.9. Kulinda habari wakati wa kufanya kazi na mifumo ya usimamizi wa hifadhidata
6. Mapendekezo ya kuhakikisha ulinzi wa habari zilizomo katika rasilimali za habari zisizo za serikali wakati wasajili wanaingiliana na mitandao ya habari. matumizi ya kawaida
6.1. Masharti ya jumla
6.2. Masharti ya kuunganisha waliojisajili kwenye Mtandao
6.3. Utaratibu wa kuunganisha na kuingiliana pointi za mteja na Mtandao, mahitaji na mapendekezo ya kuhakikisha usalama wa habari
7. Maombi:

1.18. Ndani mtandao wa kompyuta- mtandao wa kompyuta unaotumia njia moja au zaidi ya upitishaji wa kasi ya juu ndani ya eneo dogo habari za kidijitali, zinazotolewa kwa vifaa vilivyounganishwa kwa matumizi ya muda mfupi ya kipekee.

1.19. Firewall (FW) ni kifaa cha ndani (kipengele kimoja) au programu inayosambazwa kiutendaji (vifaa na programu) (changamano) ambayo hutekeleza udhibiti wa taarifa zinazoingia kwenye ngome na/au kuondoka kwenye ngome.

1.20. Ufikiaji usioidhinishwa(vitendo visivyoidhinishwa) (NSD) - ufikiaji wa habari au vitendo na habari ambayo inakiuka sheria za udhibiti wa ufikiaji kwa kutumia fedha za kawaida zinazotolewa na teknolojia ya kompyuta au mifumo ya kiotomatiki.

1.21. Njia za kimsingi za kiufundi na mifumo (OTSS) - njia za kiufundi na mifumo, pamoja na mawasiliano yao, inayotumika kwa usindikaji, kuhifadhi na kusambaza habari za siri. Katika muktadha wa hati hii, hizi ni pamoja na njia za kiufundi na mifumo mifumo ya kiotomatiki viwango na madhumuni mbalimbali kulingana na teknolojia ya kompyuta, mawasiliano na zana za upitishaji data na mifumo inayotumika kuchakata taarifa za siri.

1.22. Mtoa Huduma wa Mtandao ni shirika lililoidhinishwa ambalo hufanya kazi za mtoa huduma wa Mtandao kwa pointi ya mteja na moja kwa moja kwa wanachama wa Mtandao.

1.23. Mfumo wa ulinzi wa habari kutoka NSD (SZI NSD) - tata hatua za shirika na programu na maunzi (ikiwa ni lazima, kriptografia) njia za ulinzi dhidi ya ufikiaji usioidhinishwa wa habari (vitendo visivyoidhinishwa nayo) katika mfumo wa kiotomatiki.

1.24. Maelezo ya huduma ya SZI NSD - msingi wa habari AS inavyohitajika kwa utendakazi wa mfumo wa usalama wa habari wa NSD (kiwango cha mamlaka ya wafanyikazi wa uendeshaji wa AS, matrix ya ufikiaji, funguo, nywila, n.k.).

1.25. Njia ya kiufundi ya uvujaji wa habari ni mchanganyiko wa kitu cha akili ya kiufundi, mazingira ya kimwili na njia za akili za kiufundi ambazo data ya akili hupatikana.

1.26. Huduma za mtandao - ngumu utendakazi zinazotolewa kwa watumiaji wa mtandao wanaotumia itifaki za maombi(itifaki Barua pepe, FTP - Itifaki ya Uhamisho wa Faili - mapokezi/uhamisho wa faili, HTTP - Itifaki ya Uhamisho wa Maandishi ya Juu - ufikiaji wa seva za Wavuti, IRC - Gumzo la Relay ya Mtandao - mazungumzo ya wakati halisi, Telnet - ufikiaji wa terminal kwenye mtandao, WAIS - Seva za Taarifa za Eneo Wide - mfumo wa kuhifadhi na kurejesha hati kwenye mtandao, nk).

1.27. Uadilifu wa habari ni upinzani wa habari kwa ushawishi usioidhinishwa au wa bahati mbaya juu yake wakati wa usindikaji kwa njia za kiufundi, ambayo inaweza kusababisha uharibifu na upotoshaji wa habari.

1.28. Seva ya wavuti - inapatikana kwa umma kwenye Mtandao seva ya habari, kwa kutumia teknolojia ya hypertext.

2. MASHARTI YA JUMLA

2.1. Hati hii inaweka utaratibu wa kuandaa kazi, mahitaji na mapendekezo ya kuhakikisha ulinzi wa kiufundi wa habari za siri kwenye eneo hilo. Shirikisho la Urusi na ni hati kuu ya mwongozo katika eneo hili kwa miili ya serikali ya shirikisho, miili ya serikali ya vyombo vya Shirikisho la Urusi na serikali za mitaa, biashara, taasisi na mashirika (hapa yanajulikana kama taasisi na makampuni), bila kujali fomu zao za kisheria na aina ya umiliki, maafisa na raia wa Shirikisho la Urusi ambao wamefanya majukumu au wanalazimika kwa hali ya kutimiza mahitaji ya hati za kisheria za Shirikisho la Urusi juu ya ulinzi wa habari.

Habari ya siri - habari kutoka ufikiaji mdogo, isipokuwa habari iliyoainishwa kama siri za serikali na data ya kibinafsi iliyomo katika rasilimali ya habari ya serikali (manispaa), iliyokusanywa kwa gharama ya bajeti ya serikali (manispaa) na ambayo ni mali ya serikali (hii inaweza kujumuisha habari inayounda siri rasmi. na aina zingine za siri kwa mujibu wa sheria ya Shirikisho la Urusi, pamoja na habari ya asili ya siri kwa mujibu wa "Orodha ya taarifa za siri" iliyoidhinishwa na Amri ya Rais wa Shirikisho la Urusi la Machi 6, 1997 No. . 000), ulinzi ambao unafanywa kwa maslahi ya serikali (hapa inajulikana kama siri rasmi);

· habari juu ya ukweli, matukio na hali ya maisha ya kibinafsi ya raia, kuruhusu utambulisho wake kutambuliwa (data ya kibinafsi) (Kwa mujibu wa Sheria ya Shirikisho "Juu ya Habari, Taarifa na Ulinzi wa Habari", serikali ya ulinzi wa data ya kibinafsi lazima kuamuliwa na sheria ya shirikisho.

2.3. Ili kulinda habari za siri zilizomo katika rasilimali za habari zisizo za serikali, serikali ya ulinzi ambayo imedhamiriwa na mmiliki wa rasilimali hizi (kwa mfano, habari inayojumuisha biashara, siri za benki, nk) (baadaye - siri ya biashara), hati hii ni ushauri kwa asili.

2.4. Hati hiyo ilitengenezwa kwa misingi ya sheria za shirikisho "Juu ya habari, taarifa na ulinzi wa habari", "Katika ushiriki wa kubadilishana habari za kimataifa", Amri ya Rais wa Shirikisho la Urusi la tarehe 03/06/97. Nambari ya 000 "Orodha ya Taarifa za Siri", "Mafundisho ya Usalama wa Taarifa ya Shirikisho la Urusi", iliyoidhinishwa na Rais wa Shirikisho la Urusi mnamo 09.09.2000. Na. Pr.-1895, “Kanuni za utaratibu wa kushughulikia taarifa rasmi za usambazaji mdogo katika miili ya shirikisho nguvu ya utendaji", iliyoidhinishwa na Amri ya Serikali ya Shirikisho la Urusi tarehe 3 Novemba 1994 No. 000, vitendo vingine vya kisheria vya udhibiti juu ya ulinzi wa habari (Kiambatisho Na. 8), pamoja na uzoefu katika kutekeleza hatua za ulinzi wa habari katika wizara na idara, taasisi. na makampuni ya biashara.

2.5. Hati hiyo inafafanua masuala makuu yafuatayo ya usalama wa habari:

· shirika la kazi juu ya ulinzi wa habari, ikiwa ni pamoja na maendeleo na kisasa ya vitu vya habari na mifumo yao ya ulinzi wa habari;

· muundo na maudhui kuu ya shirika, utawala, muundo, uendeshaji na nyaraka nyingine juu ya ulinzi wa habari;

· utaratibu wa kuhakikisha ulinzi wa habari wakati wa uendeshaji wa vitu vya taarifa;

· Vipengele vya ulinzi wa habari wakati wa ukuzaji na uendeshaji wa mifumo ya kiotomatiki inayotumia Aina mbalimbali vifaa vya kompyuta na teknolojia ya habari;

· utaratibu wa kuhakikisha ulinzi wa habari wakati wateja wanaingiliana na mitandao ya habari ya umma.

Utaratibu wa ukuzaji, utengenezaji, uuzaji na utumiaji wa njia za ulinzi wa habari za siri imedhamiriwa na "Kanuni za utaratibu wa ukuzaji, uzalishaji (utengenezaji), uuzaji, ununuzi na utumiaji wa njia za ulinzi wa habari za kriptografia na ufikiaji mdogo ambao haufanyi. vyenye habari inayounda siri ya serikali" (Kanuni PKZ-99), na pia "Maelekezo ya kuandaa na kuhakikisha usalama wa uhifadhi, usindikaji na usambazaji wa habari za siri kupitia njia za mawasiliano ya kiufundi katika Shirikisho la Urusi kwa kutumia FAPSI iliyoidhinishwa. njia za kriptografia".

2.6. Ulinzi wa habari iliyochakatwa kwa kutumia njia za kiufundi ni sehemu muhimu ya uundaji na uendeshaji wa vitu vya habari kwa madhumuni mbalimbali na lazima itekelezwe kwa njia iliyowekwa na hati hii kwa namna ya mfumo wa ulinzi wa habari (mfumo mdogo) kwa kushirikiana na hatua zingine za ulinzi wa habari.

2.7. Habari iko chini ya ulinzi, hotuba na kusindika kwa njia za kiufundi, na vile vile habari iliyotolewa kwa njia ya ishara za habari za umeme, uwanja wa mwili, media kwenye karatasi, sumaku, macho na besi zingine, kwa namna ya safu za habari na hifadhidata katika AS.

Vitu vilivyolindwa vya uarifu ni:

· zana na mifumo ya teknolojia ya habari (zana za teknolojia ya kompyuta, mifumo ya otomatiki ya viwango na madhumuni anuwai kulingana na zana za teknolojia ya kompyuta, pamoja na vifaa vya habari na kompyuta, mitandao na mifumo, zana na mifumo ya upitishaji data, njia za kiufundi za kupokea, kusambaza na kusindika. habari (simu, kurekodi sauti, ukuzaji wa sauti, uzazi wa sauti, intercom na vifaa vya televisheni, njia za uzalishaji, kurudia hati na njia zingine za kiufundi za usindikaji wa hotuba, picha, video na habari ya alphanumeric); programu (Mfumo wa Uendeshaji, mifumo ya usimamizi wa hifadhidata, programu nyingine ya mfumo mzima na programu) inayotumika kuchakata taarifa za siri;

· njia za kiufundi na mifumo ambayo haichakati moja kwa moja habari za siri, lakini ziko katika majengo ambayo huchakatwa (kusambazwa);

· majengo yaliyohifadhiwa.

2.8. Ulinzi wa habari unapaswa kufanywa kupitia utekelezaji wa seti ya hatua na matumizi (ikiwa ni lazima) ya zana za usalama wa habari ili kuzuia uvujaji wa habari au athari juu yake kupitia njia za kiufundi, kwa sababu ya ufikiaji usioidhinishwa, kuzuia programu na vifaa vya kukusudia. mvuto kwa lengo la kukiuka uadilifu (uharibifu, uharibifu) habari katika mchakato wa usindikaji, maambukizi na uhifadhi wake, usumbufu wa upatikanaji wake na utendaji wa njia za kiufundi.

2.9. Wakati wa kufanya mazungumzo na kutumia njia za kiufundi kwa usindikaji na kusambaza habari, inawezekana njia zifuatazo Uvujaji na vyanzo vya vitisho vya usalama wa habari:

mionzi ya akustisk ya ishara ya hotuba ya habari;

· ishara za umeme, inayotokana na ubadilishaji wa ishara ya taarifa kutoka kwa acoustic hadi umeme kutokana na athari ya kipaza sauti na kueneza pamoja na waya na mistari inayoenea zaidi ya mzunguko mfupi;

ishara za vibroacoustic zinazotokana na ubadilishaji wa mawimbi ya akustisk yenye taarifa inapofunuliwa ujenzi wa jengo na mawasiliano ya uhandisi na kiufundi ya majengo yaliyohifadhiwa;

· ufikiaji usioidhinishwa na vitendo visivyoidhinishwa kuhusiana na habari katika mifumo ya kiotomatiki, ikijumuisha kutumia mitandao ya habari ya umma;

· athari kwenye maunzi au programu ya mifumo ya habari ili kukiuka usiri, uadilifu na upatikanaji wa habari, utendakazi wa njia za kiufundi, na njia za usalama wa habari kupitia programu iliyotekelezwa mahususi;

· madhara mionzi ya sumakuumeme ishara ya habari kutoka kwa njia za kiufundi usindikaji habari za siri na njia za upitishaji wa habari hii;

· kuingiza mawimbi yenye taarifa, iliyochakatwa kwa njia za kiufundi, kwenye saketi za usambazaji wa nishati na njia za mawasiliano zinazopita zaidi ya mzunguko mfupi;

· uzalishaji wa redio au mawimbi ya umeme kutoka kwa vifaa maalum vya kielektroniki vya kunasa taarifa za usemi “alamisho” zilizopachikwa katika njia za kiufundi na majengo yaliyolindwa, yanayorekebishwa na mawimbi ya taarifa;

· uzalishaji wa redio au mawimbi ya umeme kutoka kwa vifaa vya kielektroniki vya kukatiza taarifa vilivyounganishwa kwa njia za mawasiliano au njia za kiufundi za usindikaji wa habari;

· kusikiliza mazungumzo ya simu na redio yanayoendelea;

· Kutazama taarifa kutoka kwenye skrini na njia nyinginezo za kuionyesha, karatasi na vyombo vingine vya habari, ikiwa ni pamoja na kutumia njia za macho;

· wizi wa vifaa vya kiufundi vilivyo na habari iliyohifadhiwa ndani yake au vyombo vya habari vya kibinafsi.

2.10. Kuingilia habari au ushawishi juu yake kwa kutumia njia za kiufundi kunaweza kufanywa:

· kutoka nje ya mpaka wa mzunguko mfupi kutoka kwa majengo ya karibu na Gari;

· kutoka kwa majengo ya karibu ya taasisi nyingine (biashara) na iko katika jengo moja na kitu kilichohifadhiwa;

· wakati wa kutembelea taasisi (biashara) na wageni;

· kutokana na ufikiaji usioidhinishwa (vitendo visivyoidhinishwa) kwa habari inayozunguka katika AS, kwa kutumia njia za kiufundi za AS na kupitia mitandao ya habari ya umma.

2.11. Vifaa vinavyobebeka, kubebeka na kuvaliwa vilivyowekwa karibu na kitu kilicholindwa au kuunganishwa kwa njia za mawasiliano au njia za kiufundi za usindikaji wa habari vinaweza kutumika kama kifaa cha kunasa au kushawishi habari na njia za kiufundi, na vile vile vifaa vya elektroniki unyanyasaji wa habari "alamisho" iliyowekwa ndani au nje ya majengo yaliyohifadhiwa.

2.12. Mbali na udukuzi wa taarifa kwa njia za kiufundi, inawezekana kwamba taarifa zilizolindwa zinaweza kuwafikia watu ambao hawaruhusiwi kuzipata, lakini walio ndani ya eneo la usalama. Hii inawezekana, kwa mfano, kutokana na:

· kusikiliza bila kukusudia bila kutumia njia za kiufundi za mazungumzo ya siri kutokana na insulation ya sauti ya kutosha ya miundo iliyofungwa ya majengo yaliyohifadhiwa na mifumo yao ya uhandisi na kiufundi;

kusikiliza kwa bahati mbaya mazungumzo ya simu wakati wa kufanya kazi ya kuzuia katika mitandao mawasiliano ya simu;

· vitendo visivyo na uwezo au makosa ya watumiaji na wasimamizi wa AS wakati wa uendeshaji wa mitandao ya kompyuta;

· kutazama habari kutoka skrini za kuonyesha na njia zingine za kuzionyesha.

2.13. Utambulisho na kuzingatia mambo yanayoathiri au uwezo wa kuathiri habari iliyolindwa (tishio kwa usalama wa habari) katika hali maalum, kwa mujibu wa GOST R, huunda msingi wa kupanga na kutekeleza hatua zinazolenga kulinda habari katika kituo cha taarifa.

Tembeza hatua muhimu ulinzi wa habari imedhamiriwa kulingana na matokeo ya ukaguzi wa kitu cha habari, kwa kuzingatia uwiano wa gharama za ulinzi wa habari na uharibifu unaowezekana kutoka kwa ufichuaji wake, upotezaji, uharibifu, upotoshaji, ukiukaji wa upatikanaji ulioidhinishwa wa habari na utendakazi. ya njia za kiufundi usindikaji habari hii, pamoja na kuzingatia fursa za kweli kuingilia kwake na kufichua yaliyomo.

2.14. Tahadhari kuu inapaswa kulipwa kwa ulinzi wa habari kuhusiana na ambayo vitisho vya usalama wa habari vinatekelezwa bila kutumia njia ngumu za kiufundi za kukatiza habari:

· taarifa za hotuba zinazozunguka katika majengo yaliyohifadhiwa;

· habari iliyochakatwa na teknolojia ya kompyuta kutoka kwa ufikiaji usioidhinishwa na vitendo visivyoidhinishwa;

· habari iliyoonyeshwa kwenye skrini za kufuatilia video;

· habari zinazopitishwa kupitia njia za mawasiliano zinazopita zaidi ya mzunguko mfupi.

2.15. Ukuzaji wa hatua na kuhakikisha ulinzi wa habari unafanywa na vitengo vya ulinzi wa habari (huduma za usalama) au wataalam wa kibinafsi walioteuliwa na usimamizi wa biashara (taasisi) kufanya kazi kama hiyo. Uendelezaji wa hatua za usalama wa habari pia unaweza kufanywa na makampuni ya tatu ambayo yana leseni zinazofaa kutoka Tume ya Kiufundi ya Jimbo la Urusi na/au FAPSI kwa haki ya kutoa huduma katika uwanja wa usalama wa habari.

Wakati wa usindikaji habari za siri zilizoandikwa katika vituo vya taarifa katika miili ya serikali ya Shirikisho la Urusi na miili ya serikali ya vyombo vya Shirikisho la Urusi, mashirika mengine ya serikali, makampuni ya biashara na taasisi, njia za kulinda mifumo ya habari zinakabiliwa na vyeti vya lazima.

2.17. Vitu vya uarifu lazima vidhibitishwe kwa kufuata mahitaji ya usalama wa habari (Hapa, uthibitisho unamaanisha kukubalika kwa kitu cha habari na biashara na ushiriki wa lazima wa mtaalam wa usalama wa habari.)

2.18. Wajibu wa kuhakikisha mahitaji ya ulinzi wa kiufundi habari za siri hutolewa kwa wakuu wa taasisi na makampuni ya biashara ya vifaa vya habari vya uendeshaji.

3. UTENGENEZAJI WA KAZI YA ULINZI WA HABARI

3.1. Shirika na utekelezaji wa kazi juu ya ulinzi wa kiufundi wa habari na ufikiaji mdogo ambao hauna habari inayojumuisha siri ya serikali, inaposhughulikiwa na njia za kiufundi, imedhamiriwa na hati hii, viwango vya sasa vya hali na hati zingine za udhibiti na mbinu za Ufundi wa Jimbo. Tume ya Urusi.

3.2. Shirika la kazi juu ya ulinzi wa habari hukabidhiwa kwa wakuu wa taasisi na makampuni ya biashara, wakuu wa idara zinazofanya maendeleo ya miradi ya vitu vya habari na uendeshaji wao, na mwongozo wa mbinu na udhibiti wa ufanisi wa hatua za ulinzi wa habari zilizotolewa. wakuu wa idara za ulinzi wa habari (huduma za usalama) za taasisi (biashara).

3.3. Usimamizi wa kisayansi na kiufundi na shirika la moja kwa moja la kazi juu ya uundaji (kisasa) wa mfumo wa ulinzi wa habari wa kitu cha habari unafanywa na mbuni wake mkuu au afisa mwingine ambaye hutoa usimamizi wa kisayansi na kiufundi wa uundaji wa kitu cha habari.

3.4. Ukuzaji wa usalama wa habari unaweza kufanywa ama na idara ya taasisi (biashara) au na biashara maalum ambayo ina leseni kutoka Tume ya Ufundi ya Jimbo la Urusi na / au FAPSI kwa aina inayolingana ya shughuli katika uwanja wa usalama wa habari. .

Katika kesi ya maendeleo ya usalama wa habari au vipengele vyake vya mtu binafsi na biashara maalum, katika taasisi (biashara) ambayo maendeleo yanafanywa (biashara ya wateja), mgawanyiko (au wataalam binafsi) wanaohusika na kuandaa na kutekeleza (utekelezaji na utekelezaji). operesheni) ya hatua za ulinzi wa habari huamuliwa wakati wa kufanya kazi kwa kutumia habari za siri.

Ukuzaji na utekelezaji wa usalama wa habari unafanywa kwa ushirikiano kati ya msanidi programu na huduma ya usalama ya biashara ya wateja, ambayo hutoa mwongozo wa mbinu na inashiriki katika ukuzaji wa mahitaji maalum ya ulinzi wa habari, uhalali wa uchambuzi kwa hitaji la kuunda usalama wa habari, uratibu wa uchaguzi wa teknolojia ya kompyuta na mawasiliano, vifaa na zana za ulinzi wa programu, kazi ya shirika ili kutambua fursa na kuzuia uvujaji na ukiukwaji wa uadilifu wa habari iliyolindwa, katika uthibitishaji wa vitu vya taarifa.

3.5. Shirika la kazi juu ya uundaji na uendeshaji wa vitu vya habari na usalama wao wa habari imedhamiriwa katika "Mwongozo wa Ulinzi wa Habari" ulioandaliwa katika biashara au katika maalum "Kanuni za utaratibu wa kuandaa na kufanya kazi juu ya ulinzi wa habari" na inapaswa. toa kwa:

· utaratibu wa kuamua habari iliyolindwa;

· utaratibu wa kuvutia mgawanyiko wa biashara, maalum mashirika ya tatu kwa maendeleo na uendeshaji wa habari na vitu vya usalama wa habari, kazi na kazi zao katika hatua mbalimbali uundaji na uendeshaji wa kitu cha habari;

· utaratibu wa mwingiliano wa mashirika yote, idara na wataalamu wanaohusika katika kazi hii;

· utaratibu wa ukuzaji, uagizaji na uendeshaji wa vitu vya habari;

· jukumu la maafisa kwa muda na ubora wa uundaji wa mahitaji ya ulinzi wa habari za kiufundi, kwa ubora na kiwango cha kisayansi na kiufundi cha maendeleo ya usalama wa habari.

3.6. Taasisi (biashara) lazima iandike orodha ya habari za siri (Kiambatisho Na. 6) ambayo inakabiliwa na ulinzi kwa mujibu wa vitendo vya kisheria vya udhibiti, na pia kuendeleza mfumo wa kuruhusu wa wafanyakazi kupata aina hii ya habari.

3.7. Hatua zifuatazo za kuunda mfumo wa usalama wa habari zimeanzishwa:

· hatua ya awali ya mradi, ikiwa ni pamoja na uchunguzi wa awali wa mradi wa kitu cha taarifa, maendeleo ya uhalali wa uchambuzi kwa haja ya kuunda mfumo wa usalama wa habari na vipimo vya kiufundi (kibinafsi) kwa kuundwa kwake;

· hatua ya kubuni (maendeleo ya mradi) na utekelezaji wa kitu cha taarifa, ikiwa ni pamoja na maendeleo ya habari ya usalama wa habari kama sehemu ya kitu cha taarifa;

· hatua ya kuwaagiza mfumo wa ulinzi wa habari, ikiwa ni pamoja na operesheni ya majaribio na upimaji wa kukubalika wa zana za usalama wa habari, pamoja na uthibitisho wa kitu cha habari kwa kufuata mahitaji ya usalama wa habari.

3.8. Katika hatua ya awali ya mradi wa uchunguzi wa kitu cha habari:

· haja ya usindikaji (majadiliano) ya taarifa za siri imeanzishwa kitu hiki taarifa;

· orodha ya taarifa za siri ambazo ziko chini ya ulinzi dhidi ya kuvuja kupitia njia za kiufundi imedhamiriwa;

· vitisho kwa usalama wa habari na mfano wa mkiukaji anayewezekana hutambuliwa (imefafanuliwa) kuhusiana na hali maalum za uendeshaji;

· masharti ya eneo la vitu vya taarifa kuhusiana na mipaka ya mzunguko mfupi imedhamiriwa;

· usanidi na topolojia ya mifumo ya kiotomatiki na mifumo ya mawasiliano kwa ujumla na vipengele vyake vya kibinafsi, miunganisho ya kimwili, ya kazi na ya teknolojia imedhamiriwa ndani ya mifumo hii na mifumo mingine ya viwango na madhumuni mbalimbali;

· njia za kiufundi na mifumo inayokusudiwa kutumika katika AS iliyotengenezwa na mifumo ya mawasiliano, masharti ya eneo lao, mfumo mzima na programu ya matumizi inayopatikana kwenye soko na iliyopendekezwa kwa maendeleo imedhamiriwa;

· Njia za usindikaji wa habari zimebainishwa katika AS kwa ujumla na ndani vipengele vya mtu binafsi;

· darasa la ulinzi la mfumo wa spika limebainishwa;

Kiwango cha ushiriki wa wafanyikazi katika usindikaji (majadiliano, usambazaji, uhifadhi) wa habari, asili ya mwingiliano wao na kila mmoja na huduma ya usalama imedhamiriwa;

· hatua zimedhamiriwa ili kuhakikisha usiri wa habari katika mchakato wa kubuni kitu cha taarifa.

3.9. Kulingana na matokeo ya uchunguzi wa awali wa mradi, uhalalishaji wa uchambuzi wa haja ya kuunda mfumo wa usalama wa habari unatengenezwa.

Kwa msingi wa vitendo vya kisheria vya sasa vya kisheria na hati za mbinu juu ya ulinzi wa habari za siri, pamoja na hati hii, kwa kuzingatia darasa la usalama lililowekwa la AS, mahitaji maalum ya ulinzi wa habari yameainishwa, yamejumuishwa katika uainishaji wa kiufundi (kibinafsi) maendeleo ya usalama wa habari.

3.10. Uchunguzi wa kabla ya mradi katika suala la kuamua habari iliyolindwa inapaswa kutegemea orodha za kumbukumbu za habari za siri.

Orodha ya habari ya siri inakusanywa na mteja wa kitu cha habari na kusainiwa na meneja husika.

3.11. Uchunguzi wa kabla ya mradi unaweza kukabidhiwa kwa biashara maalum ambayo ina leseni inayofaa, lakini hata katika kesi hii, inashauriwa kufanya uchambuzi wa usaidizi wa habari kulingana na habari iliyolindwa na wawakilishi wa biashara ya wateja kwa msaada wa mbinu. ya biashara maalumu.

Ujuzi wa wataalam wa biashara hii na habari iliyolindwa hufanywa kwa mujibu wa utaratibu uliowekwa katika biashara ya wateja.

3.12. Uhalali wa uchanganuzi wa hitaji la kuunda mfumo wa usalama wa habari unapaswa kuwa na:

· sifa za habari na muundo wa shirika wa kitu cha habari;

· sifa za ugumu wa njia kuu na za ziada za kiufundi, programu, njia za uendeshaji, mchakato wa kiteknolojia usindikaji wa habari;

· njia zinazowezekana uvujaji wa habari na orodha ya hatua za kuziondoa na kuzipunguza;

· orodha ya zana za usalama wa habari zilizoidhinishwa zinazopendekezwa kutumika;

· uhalali wa hitaji la kuvutia mashirika maalum ambayo yana leseni zinazohitajika kufanya kazi juu ya ulinzi wa habari;

· tathmini ya gharama za nyenzo, kazi na kifedha kwa maendeleo na utekelezaji wa mifumo ya ulinzi wa habari;

· makadirio ya muda wa maendeleo na utekelezaji wa mifumo ya ulinzi wa habari;

· orodha ya hatua za kuhakikisha usiri wa habari katika hatua ya kubuni ya kitu cha taarifa.

Uhalali wa uchambuzi umesainiwa na mkuu wa uchunguzi wa muundo wa awali, aliyekubaliana na mbuni mkuu (afisa anayetoa mwongozo wa kisayansi na kiufundi wa kuunda kitu cha habari), mkuu wa huduma ya usalama na kupitishwa na mkuu wa kitengo cha habari. biashara ya wateja.

3.13. Uainishaji wa kiufundi (kibinafsi) wa ukuzaji wa mifumo ya ulinzi wa habari lazima iwe na:

· mantiki ya maendeleo;

· data ya awali ya kitu kilichoundwa (kisasa) cha habari katika kiufundi, programu, habari na vipengele vya shirika;

· Uainishaji wa mahitaji ya usalama wa habari kulingana na hati za sasa za udhibiti na mbinu na darasa la usalama lililowekwa la mmea;

· orodha ya zana za usalama wa taarifa zilizoidhinishwa zinazokusudiwa kutumika;

· uhalali wa uundaji wa zana zetu za usalama wa habari, kutowezekana au kutofaa kutumia zana za usalama wa habari zilizoidhinishwa zinazopatikana kwenye soko;

· orodha ya wakandarasi wanaofanya aina za kazi;

· orodha ya bidhaa za kisayansi na kiufundi na nyaraka zinazowasilishwa kwa mteja.

3.14. Uainishaji wa kiufundi (kibinafsi) wa ukuzaji wa usalama wa habari umesainiwa na msanidi programu, kukubaliana na huduma ya usalama ya biashara ya wateja, makandarasi na kupitishwa na mteja.

Darasa la usalama la mfumo kutoka kwa ufikiaji usioidhinishwa wa habari huanzishwa kwa pamoja na mteja na msanidi programu na ushiriki wa wataalam wa usalama wa habari kulingana na mahitaji ya hati ya mwongozo (RD) ya Tume ya Ufundi ya Jimbo la Urusi " Mifumo otomatiki. Ulinzi dhidi ya ufikiaji usioidhinishwa wa habari. Uainishaji wa mifumo otomatiki na mahitaji ya ulinzi wa habari" na sehemu ya 5 ya hati hii na inarasimishwa kwa kitendo.

GOST R 53113.2-2009

Kikundi T00

KIWANGO CHA TAIFA CHA SHIRIKISHO LA URUSI

Teknolojia ya habari

ULINZI WA TEKNOLOJIA YA HABARI NA MIFUMO OTOMATIKI KUTOKANA NA VITISHO VYA USALAMA WA HABARI KWA KUTUMIA MICHUZI YA HABARI.

Teknolojia ya habari. Ulinzi wa teknolojia ya habari na mifumo ya kiotomatiki dhidi ya vitisho vya usalama vinavyoletwa na matumizi ya njia za siri. Sehemu ya 2. Mapendekezo ya kulinda taarifa, teknolojia ya habari na mifumo ya kiotomatiki dhidi ya mashambulizi ya njia ya siri.

SAWA 35.040

Tarehe ya kuanzishwa 2009-12-01

Dibaji

1 IMEANDALIWA na Kampuni ya Dhima ndogo "Cryptocom"

2 IMETAMBULISHWA na Shirika la Shirikisho kwa udhibiti wa kiufundi na metrology

3 IMETHIBITISHWA NA KUINGIA KUFANIKIWA na Agizo la Wakala wa Shirikisho wa Udhibiti wa Kiufundi na Metrolojia la tarehe 15 Desemba 2009 N 841-st.

4 IMETAMBULISHWA KWA MARA YA KWANZA

5 JAMHURI. Oktoba 2018

Sheria za utumiaji wa kiwango hiki zimewekwa ndani Kifungu cha 26 cha Sheria ya Shirikisho ya Juni 29, 2015 N 162-FZ "Juu ya Udhibiti katika Shirikisho la Urusi". Taarifa kuhusu mabadiliko ya kiwango hiki huchapishwa katika ripoti ya kila mwaka (tangu Januari 1 ya mwaka huu) ya habari "Viwango vya Taifa", na maandishi rasmi ya mabadiliko na marekebisho yanachapishwa katika ripoti ya kila mwezi ya habari "Viwango vya Taifa". Katika kesi ya marekebisho (uingizwaji) au kughairi kiwango hiki, ilani inayolingana itachapishwa katika toleo linalofuata la ripoti ya kila mwezi ya "Viwango vya Kitaifa". Habari inayofaa, arifa na maandishi pia yamewekwa kwenye mfumo wa habari wa umma - kwenye wavuti rasmi ya Wakala wa Shirikisho wa Udhibiti wa Kiufundi na Metrology kwenye Mtandao (www.gost.ru)

Utangulizi

Kiwango hiki kinaanzisha mapendekezo ya kuandaa usalama wa habari (IS), teknolojia ya habari na mifumo ya kiotomatiki dhidi ya mashambulizi yanayotumiwa njia zilizofichwa(SK).

IC hutumika kwa mwingiliano wa kimfumo kati ya programu hasidi ( virusi vya kompyuta) na kikiuka usalama wakati wa kupanga shambulio kwenye mfumo wa kiotomatiki (AS), ambao hautambuliki kwa njia za udhibiti na ulinzi.

Kiwango hiki kilitengenezwa kwa kuzingatia mahitaji ya GOST R ISO/IEC 15408-3 na GOST R ISO/IEC 27002, ambayo hutoa utekelezaji wa hatua za kukabiliana na vitisho kwa usalama wa shirika linalotekelezwa kwa kutumia SC. Katika viwango hivi, hatua za kukabiliana na vitisho vya usalama wa habari kwa kutumia mfumo wa usalama zinawasilishwa mtazamo wa jumla, na maelezo yao yanawasilishwa katika kiwango hiki.

Kwa kuongeza, kuna idadi ya teknolojia ya kutoa usalama wa habari Na hati za udhibiti(ND) Mamlaka kuu ya Shirikisho ( FSTEC ya Urusi, ambayo hujadili vipengele fulani vya tatizo hili).

Kwa hivyo GOST R 51188 huanzisha kanuni za jumla kuandaa na kufanya vipimo vya programu na vipengele vyake ili kuchunguza na kuondokana na virusi vya kompyuta ndani yao. Kiwango hiki pia kinasimamia utaratibu wa kuangalia kompyuta kwa uwepo wa virusi vya kompyuta na kuziondoa. Jaribio kama hilo linaweza kutambua wakala wa mkiukaji wa usalama anayetumiwa naye kupanga chaneli ya siri, lakini tu ikiwa wakala sio sehemu muhimu ya mfumo wa uendeshaji au jukwaa la maunzi la kompyuta inayojaribiwa. Kwa sababu ya hundi ya antivirus hawana uwezo wa kutambua mawakala wote wanaowezekana, kuna haja ya kukabiliana na IC ambazo mawakala kama hao "wasioonekana" wanaweza kutumia kuingiliana na mkiukaji wa usalama.

NTD FSTEC ya Urusi imeanzisha uainishaji wa programu (za uzalishaji wa ndani na nje) kwa zana za teknolojia ya habari, pamoja na zile zilizojumuishwa katika mfumo mzima na kutumika. programu(programu), kulingana na kiwango cha udhibiti juu ya kutokuwepo kwa uwezo usiojulikana ndani yake. Wakati wa uthibitishaji kama huo, uwezo ambao haujatangazwa, unaotambuliwa kuwa sio hatari, unaweza kuwa hatari zaidi wakati wa utendakazi wa programu kama matokeo ya mwingiliano kupitia CS na mhalifu wa nje wa usalama.

NTD FSTEC ya Urusi huanzisha uainishaji wa ukuta wa moto kulingana na kiwango cha usalama dhidi ya ufikiaji usioidhinishwa wa habari kwa kuchagua viashiria sahihi vya usalama. Viashiria hivi vina mahitaji ya zana za usalama wa habari, zinazotekelezwa kwa njia ya ngome, kuhakikisha mwingiliano salama wa mitandao ya kompyuta ya AS kwa kudhibiti mtiririko wa habari kati ya mtandao. Firewall hutumia kazi za kizuizi mitandao, pamoja na mahitaji ya sera ya usalama ya habari iliyopitishwa ya shirika. Mwingiliano kwa kutumia CS unafanywa ndani ya mipaka ya vikwazo vilivyowekwa na firewall, hivyo CS inaweza kufanya kazi hata wakati wa kutumia firewall iliyopangwa vizuri ambayo ina kiwango cha kutosha cha usalama.

Kiwango hiki pia huweka utaratibu wa kawaida wa kuandaa makabiliano na IC, ambayo yanaweza kubainishwa kwa kuzingatia masharti na vipengele vya matumizi ya teknolojia ya habari katika mitambo ya nyuklia. Kwa kuongeza, hatua za ziada za ulinzi zinaweza kuendelezwa na kutumika.

Shirika la ulinzi wa IT na AS dhidi ya mashambulizi kwa kutumia CS hujumuisha taratibu za kuwatambua na kuwakandamiza. Seti ya mbinu zinazotumiwa kutambua na/au kukandamiza IC inapaswa kubainishwa kulingana na muundo wa tishio la usalama wa shirika.

Hatua za kulinda dhidi ya mashambulizi kwa kutumia CS lazima zijumuishwe katika mfumo wa usalama wa taarifa wa shirika.

Kiwango hiki kinatumika kwa kushirikiana na GOST R 53113.1.

1 eneo la matumizi

Kiwango hiki kimekusudiwa kwa wateja, watengenezaji na watumiaji wa teknolojia ya habari katika mchakato wa kukuza mahitaji ya ulinzi wa habari katika hatua za ukuzaji, upatikanaji na utumiaji wa bidhaa, teknolojia ya habari na mifumo ya kiotomatiki kulingana na mahitaji ya hati za kisheria za kisheria. mamlaka kuu ya shirikisho (FSTEC ya Urusi), au mahitaji yaliyowekwa na habari ya mmiliki.

Kiwango hiki kimekusudiwa kwa mashirika ya uthibitisho, pamoja na maabara za upimaji, wakati wa kudhibitisha kufuata kwa teknolojia ya habari na mifumo ya kiotomatiki na mahitaji ya kuhakikisha usalama wa habari inayozunguka katika mifumo hii, vitengo vya uchambuzi na huduma za usalama.

2 Marejeleo ya kawaida

Kiwango hiki kinatumia marejeleo ya kawaida kwa viwango vifuatavyo:

GOST R ISO/IEC 7498-1-99 Teknolojia ya habari. Uhusiano mifumo wazi. Msingi mfano wa kumbukumbu. Sehemu ya 1. Mfano wa msingi

GOST R ISO/IEC 15408-3 Teknolojia ya habari. Mbinu na njia za kuhakikisha usalama. Vigezo vya kutathmini usalama wa teknolojia ya habari. Sehemu ya 3: Vipengele vya Dhamana ya Usalama

GOST R ISO/IEC 27002 Teknolojia ya habari. Mbinu na njia za kuhakikisha usalama. Seti ya kanuni na sheria za usimamizi

GOST R 51188 Ulinzi wa habari. Programu ya kupima virusi vya kompyuta. Mwongozo wa mfano

GOST R 51901.1 Usimamizi wa hatari. Uchambuzi wa hatari ya mifumo ya kiteknolojia

GOST R 53113.1-2008 Teknolojia ya habari. Ulinzi wa teknolojia za habari na mifumo ya kiotomatiki dhidi ya vitisho vya usalama wa habari vinavyotekelezwa kwa kutumia njia za siri. Sehemu ya 1. Masharti ya jumla

Kumbuka - Unapotumia kiwango hiki, inashauriwa kuangalia uhalali wa viwango vya kumbukumbu katika mfumo wa habari wa umma - kwenye tovuti rasmi ya Shirika la Shirikisho la Udhibiti wa Kiufundi na Metrology kwenye mtandao au kutumia ripoti ya kila mwaka ya habari "Viwango vya Taifa" , ambayo ilichapishwa mnamo Januari 1 ya mwaka huu, na juu ya maswala ya faharisi ya habari ya kila mwezi "Viwango vya Kitaifa" kwa mwaka huu. Iwapo kiwango cha marejeleo ambacho rejeleo lisilo na tarehe kimetolewa kinabadilishwa, inashauriwa kutumia toleo la sasa kiwango hiki, kwa kuzingatia mabadiliko yote yaliyofanywa toleo hili mabadiliko. Ikiwa kiwango cha marejeleo cha tarehe kitabadilishwa, inashauriwa kutumia toleo la kiwango hicho pamoja na mwaka wa idhini (kuasili) ulioonyeshwa hapo juu. Iwapo, baada ya kuidhinishwa kwa kiwango hiki, mabadiliko yatafanywa kwa kiwango kilichorejelewa ambapo marejeleo ya tarehe yanafanywa ambayo yanaathiri utoaji unaorejelewa, inashauriwa kwamba kifungu hicho kitumike bila kuzingatia mabadiliko hayo. Ikiwa kiwango cha marejeleo kimeghairiwa bila uingizwaji, basi kifungu ambacho marejeleo yake yanapendekezwa kutumika katika sehemu ambayo haiathiri rejeleo hili.

3 Masharti na ufafanuzi

Kiwango hiki kinatumia maneno kulingana na GOST R 53113.1.

4 Alama na vifupisho

Alama na vifupisho vifuatavyo vinatumika katika kiwango hiki:

ABS - mfumo wa benki otomatiki;

VOS - uunganisho wa mifumo ya wazi;

IS - usalama wa habari;

IT - teknolojia ya habari;

NSD - ufikiaji usioidhinishwa;

DBMS - mfumo wa usimamizi wa hifadhidata;

HTTP - ( uhamisho wa hypertext itifaki) - itifaki ya uhamisho wa hypertext;

IP - (itifaki ya mtandao) - itifaki ya mtandao;

VPN - (mtandao wa kibinafsi wa kibinafsi) - mtandao wa kibinafsi wa kibinafsi.

5 Utaratibu wa utendakazi wa chaneli iliyofichwa

5.1 SC hutumiwa kwa mwingiliano wa kimfumo wa programu hasidi (virusi vya kompyuta) na mkiukaji wa usalama wakati wa kuandaa shambulio la AS, ambalo haligunduliwi na zana za udhibiti na ulinzi.

Hatari ya SC inategemea dhana ufikiaji wa kudumu mkiukaji wa usalama kwa rasilimali za habari za shirika na kushawishi mfumo wa habari kupitia njia hizi ili kusababisha uharibifu mkubwa kwa shirika.

5.2 Mchoro wa jumla wa utaratibu wa utendakazi wa SC katika AS umewasilishwa katika Mchoro 1.

1 - mkiukaji wa usalama (mshambulizi), ambaye lengo lake ni ufikiaji wa habari iliyozuiliwa ya ufikiaji au ushawishi usioidhinishwa kwa AS; 2 - habari iliyozuiliwa ya ufikiaji au kazi muhimu; 3 - somo na ufikiaji ulioidhinishwa 2 Na 5 ; 3" - wakala wa mkiukaji wa usalama aliye katika kitanzi kilichofungwa na 2 na kuingiliana na 2 kwa niaba ya mhusika 3; 4 - mkaguzi (programu, firmware, maunzi au mtu) anayesimamia mwingiliano wa habari 3 , kuvuka kitanzi kilichofungwa kinachotenganisha kitu cha taarifa kutoka kwa mazingira ya nje; 5 - somo lililo nje ya kitanzi kilichofungwa ambacho 3 hufanya mwingiliano wa habari ulioidhinishwa

Kielelezo 1 - Mchoro wa jumla wa utaratibu wa utendaji wa SC katika AS

5.3 Mwingiliano kati ya masomo 3 Na 5 imeidhinishwa na inahitajika operesheni sahihi AC. Kazi ya wakala 3" ni kuhakikisha mwingiliano wa mara kwa mara kati ya wakala na mshambuliaji. Wakala lazima apitishe habari iliyozuiliwa 2 kwa mshambuliaji 1 au kwa amri ya mshambuliaji 1 kuathiri kazi muhimu 2 . Usiri wa njia ya mwingiliano kati ya mshambuliaji 1 na wakala 3" ndio mada 3 , mkaguzi 4 na somo 5 usigundue ukweli wa kusambaza habari au amri.

SC huruhusu mshambuliaji kuingiliana mara kwa mara na wakala wake aliyepachikwa kwenye AS.

5.4 Katika AS, mwingiliano kati ya wakala 3 na somo 5 inaweza kuwa mtandao au kutokea ndani ya AS moja (tazama 5.6).

5.5 Uainishaji wa SCs kulingana na vigezo mbalimbali hutolewa katika GOST R 53113.1.

5.6 Mifano ya SC, inayoelezea utaratibu wa utendaji wao, imewasilishwa hapa chini.

Mfano 1 - Mkiukaji wa usalama (mshambulizi), anayeshirikiana na shirika shindani, alisakinisha wakala wa programu katika ABS wakati wa mchakato wa utekelezaji (kutuma). Kuingiliana na ABS kama mteja wa benki hii, mshambuliaji hutuma amri kwa wakala wa programu iliyosimbwa katika mlolongo wa vitendo vyake, ambayo kila moja haitoi shaka (kuangalia hali ya akaunti, usimamizi wa akaunti, vipindi vya muda kati ya shughuli, nk. ) Kwa kujibu amri zilizopokelewa kupitia IC, wakala, kwa kutumia IC hiyo hiyo, anarudi kwa mshambulizi habari kuhusu benki iliyoshambuliwa ambayo inavutia mshindani (habari kuhusu akaunti za wateja wengine, kiasi cha mali ya benki, habari nyingine yoyote ya ndani. ambayo wakala anaweza kufikia) au anafanya mabadiliko kwenye hifadhidata kuhusu akaunti za mteja au taarifa nyingine yoyote ambayo anaweza kufikia. Utambuzi wa uwepo wa wakala kama huo unaweza kutokea tu kupitia ishara zisizo za moja kwa moja ambazo zinaweza kutokea kama matokeo ya mabadiliko katika hifadhidata. Uvujaji uliofichwa wa habari kutoka kwa hifadhidata unaotokea kupitia IC kama hiyo hautatambuliwa. Katika kesi hii, kwa mujibu wa mchoro katika Mchoro 1: 3 "- wakala wa programu, 3 - ABS, 2 - hifadhidata, 4 - huduma ya usalama ya benki, 1 - mshambuliaji anayefanya kazi kwa maslahi ya mshindani, 5 - mteja wa benki.

Mfano wa 2 - Mshambulizi ambaye lengo lake ni kupata taarifa za umiliki kutoka kwa kompyuta ya mfanyakazi anaweza kutenda kulingana na hali ifuatayo. Hebu PC iliyolindwa na firewall iambukizwe na Trojan. Programu ya Trojan hupokea amri kutoka kwa mshambulizi na hujibu na taarifa kuhusu Kompyuta iliyoambukizwa na maelezo ya ufikiaji yaliyopunguzwa yaliyohifadhiwa juu yake, ikificha kubadilishana kama itifaki ya HTTP inayoruhusiwa na ngome. Katika kesi hii, kwa mujibu wa mchoro katika Mchoro 1: 3" - programu ya Trojan, 3 - programu ambayo imeidhinisha upatikanaji wa mtandao, 2 - hati ya usambazaji mdogo, 4 - firewall, 5 - node ya mtandao. , 1 - node ya kati ya mtandao, inayodhibitiwa na mshambuliaji.

Mfano 3 - Wakati kwa kutumia VPN Inawezekana pia kuunda IC kwa mwingiliano kati ya wakala na mshambulizi. Acha mtumiaji atumie kituo chake cha kazi kama terminal ufikiaji wa mbali kwa seva ya AS, i.e. habari kuhusu kila kibonye hutumwa na terminal kwa seva. Mshambulizi alisakinisha kibodi iliyo na wakala kwenye kituo cha kazi cha mtumiaji cha mfumo ulioshambuliwa. Wakala hukatiza vibonye vya vitufe na kisha kuzisambaza baada ya muda, na kuchelewesha kuwezesha baadhi ya funguo kulingana na mpango unaojulikana na mshambuliaji. Mshambulizi, akiangalia mtiririko wa pakiti kati ya terminal na seva, hutoa kutoka humo maelezo yanayotumwa na wakala kupitia IC. Kutengwa kwa habari iliyofichwa kunawezekana hata ikiwa chaneli iliyo salama ya siri inatumiwa kati ya terminal na seva, kwani kwa utendakazi wa IC sio yaliyomo kwenye pakiti ambazo terminal na seva hubadilishana na kila mmoja, ambayo ni muhimu. lakini muda wa vipindi kati ya pakiti zilizo karibu.

Katika kesi hii, kwa mujibu wa mchoro katika Mchoro 1: 3" - wakala wa vifaa, 3 - keyboard, 2 - habari iliyoingia kutoka kwa kibodi (kwa mfano, nenosiri), 4 - njia yoyote ya kutoa usalama wa AS ambao hautambui. mifumo katika mtiririko pakiti za mtandao; 5 - seva ya terminal, 1 - mshambuliaji.

Mfano 4 - Uzalishaji wa kushindwa kwa bandia na vikwazo vya upatikanaji vinaweza kufanywa kwa kutumia CS. Kwa mfano, wakala aliyepachikwa katika moja ya vipengele muhimu AS inasubiri kupokea ishara ya masharti kutoka kwa mshambuliaji. Baada ya kupokea ishara hii, wakala huharibu utendakazi wa sehemu ya AS ambamo iko. Matokeo yake, kupoteza kwa muda kwa utendaji wa mfumo au kudhoofisha ulinzi wake hutokea (ikiwa wakala ameingizwa kwenye chombo cha usalama wa habari). Kwa mfano, ishara ya masharti ya kuwezesha wakala kwenye rasilimali ya mtandao wa umma inaweza kuwa jaribio la uthibitishaji na baadhi ya watu. jina maalum mtumiaji na nenosiri. Mfumo wa udhibiti wa ufikiaji rasilimali ya mtandao 4 haitagundua shambulio hili kwa sababu kujaribu kuthibitisha ni kitendo kinachoruhusiwa. Katika kesi hii, kwa mujibu wa mchoro katika Mchoro 1: 2 - kazi muhimu inayofanywa na sehemu ya AC (3), ambayo wakala 3 hujengwa; 1 - mshambuliaji akimpa wakala ishara ya masharti, ambayo, kutoka kwa mtazamo wa 4, si hatari , na kwa hiyo haijazuiliwa, 5 - AC.

Mfano wa 5 - Kwa mujibu wa mchoro katika Mchoro 1: mfumo wa uendeshaji 4 hutoa kutengwa kwa programu ya 3, ambayo ina upatikanaji wa taarifa za siri 2, kutoka kwa mpango wa 1, unaoendesha kwenye mfumo huo wa uendeshaji, lakini usiwe na upatikanaji huo. Ili kuhamisha taarifa 1 ya ufikiaji mdogo, wakala 3" mvamizi hupanga CS kwa wakati, kupiga simu za uwongo kwa nyenzo 5, kwa mfano, gari ngumu. Wakala hurekebisha marudio ya simu kwa maudhui ya maelezo yaliyowekewa vikwazo ambayo anahitaji kusambaza. Mpango wa 1, ukizingatia mzigo mzima wa mfumo kwenye rasilimali hiyo hiyo, hutambua ukubwa wa athari ya wakala kwenye nyenzo hii na inaweza kutoa maelezo yanayotumwa na wakala kutoka kwa asili ya mabadiliko katika ukubwa huu.

6 Sheria za kuunda mtindo wa tishio la usalama kwa kuzingatia kuwepo kwa njia za siri

6.1 Muundo wa tishio la usalama huundwa kwa kuzingatia vitisho vinavyotekelezwa kwa kutumia mfumo wa usalama. Vitisho hivi lazima zizingatiwe wakati wa kutathmini hatari za usalama wa habari.

6.2 Vitisho vya usalama vinavyoweza kutekelezwa kwa kutumia CS ni pamoja na:

- kuanzishwa kwa programu mbaya na data;

- mshambulizi anatoa amri kwa wakala kwa ajili ya utekelezaji;

- kuvuja kwa funguo za cryptographic au nywila;

- kuvuja kwa vitu vya habari vya mtu binafsi.

6.3 Tishio la kuanzisha programu na data hasidi liko katika ukweli kwamba, akiwa na uwezo wa kuingiliana na AS iliyoshambuliwa, mshambuliaji anaweza kuhamishia ndani yake kupitia programu hasidi za SC ambazo zina utendaji anaohitaji. Utangulizi wa data ya uwongo kwenye mfumo ulioshambuliwa unaweza kutekelezwa moja kwa moja na wakala ambaye mvamizi huingiliana naye kupitia mtandao. Kwa mfano, ikiwa wakala amepachikwa kwenye DBMS ya benki, mshambulizi anaweza kuituma amri ya kubadilisha maelezo ya akaunti ya mteja yaliyohifadhiwa katika hifadhidata au kuchukua nafasi ya utaratibu uliohifadhiwa katika hifadhidata hii inayotumia data ya akaunti kwa njia ya uwongo, hasidi inayofanya kazi. kwa maslahi ya mshambuliaji.

6.4 Tishio la mshambulizi kutuma amri kwa wakala kutekeleza majukumu yake ni kwamba wakala anaweza kuathiri AS ambamo imepachikwa kwa amri ya mshambulizi. Amri hizi zinaweza kuwa rahisi (kwa mfano, kuzuia uendeshaji wa mfumo kwa muda) au ngumu zaidi (kwa mfano, kuhamisha yaliyomo kwenye faili iliyohifadhiwa kwenye mfumo ulioshambuliwa kwa mshambuliaji kupitia mtandao).

6.5 Tishio la kuvuja kwa funguo za siri au manenosiri, vitu vya habari vya mtu binafsi hutokea ikiwa mshambuliaji aliweza kupenyeza wakala wake kwenye AS ili wakala apate ufikiaji wa mali muhimu ya habari (kwa mfano, funguo za siri, manenosiri), SC inaweza kutumika kwa uhamisho usioidhinishwa wa taarifa kama hizo kwa mshambuliaji. Kwa kuwa funguo zina kiasi kidogo, hata chaneli ya chini-bandwidth inaweza kuvuja.

7 Utaratibu wa kuandaa ulinzi wa habari, teknolojia ya habari na mifumo ya kiotomatiki kutokana na shambulio linalofanywa kwa kutumia njia za siri.

7.1 ZI, IT na AS kutokana na mashambulizi yanayotekelezwa kwa kutumia SC ni mchakato wa mzunguko, ambayo inajumuisha hatua zifuatazo, zinazorudiwa kwa kila marudio ya mchakato:

- uchambuzi wa hatari kwa mali ya shirika, ikiwa ni pamoja na kutambua mali muhimu na tathmini matokeo iwezekanavyo utekelezaji wa mashambulizi kwa kutumia CS (tazama sehemu ya 8);

- utambulisho wa SC na tathmini ya hatari yao kwa mali ya shirika (tazama sehemu ya 9);

- utekelezaji wa hatua za ulinzi ili kukabiliana na SK (tazama sehemu ya 10);

- shirika la udhibiti wa kukabiliana na IC (tazama sehemu ya 11).

7.2 Asili ya mzunguko wa mchakato wa ulinzi dhidi ya vitisho vya usalama wa habari unaotekelezwa kwa kutumia mfumo wa usalama imedhamiriwa na kuibuka kwa njia mpya za kuunda mfumo wa usalama, ambao haukujulikana wakati wa marudio ya hapo awali.

8 Uchambuzi wa hatari

8.1 Uchaguzi wa hatua za kukabiliana na vitisho vya usalama wa habari unaotekelezwa kwa kutumia mfumo wa usalama unapaswa kutegemea tathmini ya kiufundi na kiuchumi au mbinu zingine za kutathmini thamani ya habari. Kwa kuongezea, matokeo kama vile kupoteza imani katika shirika au uharibifu wa sifa ya biashara ya shirika na kiongozi wake lazima izingatiwe.

8.2 Ni muhimu kutambua ni kipengee kipi kati ya taarifa zinazolindwa ambacho kinaweza kumvutia mshambulizi ambaye ana uwezo wa:

- unganisha wakala wako kwenye AS wakati wa ukuzaji, upelekaji, utekelezaji au uendeshaji wake;

- tambua uwezekano wa kuathiriwa (au wakala aliyejengewa ndani) katika mfumo wa kiotomatiki ambao unaweza kutumika kupanga mfumo otomatiki na kupata ufikiaji wa mali zinazolindwa.

8.3 Kwa uchambuzi wa hatari, unaweza kutumia mbinu kulingana na GOST R 51901.1.

8.4 Ili kupunguza hatari za habari Hatua za kuandaa usalama dhidi ya mashambulizi kwa kutumia mifumo ya usalama lazima zichaguliwe na kutekelezwa kwa kiwango kinachokubalika.

9.1 Utaratibu wa kutambua MC ni pamoja na:

- tathmini ya usanifu wa AS na njia za mawasiliano zinazopatikana ndani yake;

- kitambulisho njia zinazowezekana kubadilishana habari iliyofichwa kati ya mshambuliaji na wakala wake anayedaiwa katika AS;

- tathmini ya hatari ya mifumo ya usalama iliyotambuliwa kwa mali iliyolindwa ya shirika;

- kufanya uamuzi juu ya ushauri wa kukabiliana na kila SCs zilizotambuliwa.

9.2 Kutathmini usanifu wa AS kunamaanisha kutambua njia zote za mawasiliano zinazopatikana ndani yake na kuchanganua mwingiliano wa vijenzi vyake kwa matumizi yao yanayoweza kutayarisha SC. Kama matokeo ya uchanganuzi kama huo, vijenzi vya AS ambavyo SC vinaweza kutumika vinapaswa kutambuliwa.

9.3 Utambulisho wa njia zinazowezekana za kubadilishana habari iliyofichwa kati ya mshambuliaji na wakala wake anayedaiwa katika AS unafanywa kwa misingi. mpango wa jumla utaratibu wa utendaji kazi wa mfumo wa bima (tazama sehemu ya 6). Inapaswa kuwa kwa kila moja ya mali inayolindwa 2 (tazama mchoro katika Kielelezo 1) tambua ni masomo gani 3 kuwapata na wakati huo huo wametengwa na mazingira ya nje, lakini wana fursa ya kuingiliana na masomo ya mtu binafsi kutoka kwa mazingira ya nje. 5 . Katika kesi hii, mwingiliano unadhibitiwa 4 na pia inaweza kuzingatiwa na mshambuliaji anayewezekana 1 . Ikiwa vipengele hivi vipo, ni lazima izingatiwe uwezekano wa kupatikana IC inayowezekana kati ya wakala 3" , iliyojengwa ndani 3 , na masomo katika mazingira ya nje 1 au 5 . Kama mfano wa mfumo kama huu, tunaweza kuzingatia uwezo wa mshambulizi kuchunguza vipindi vya muda vinavyoundwa na kipengele cha AS ambacho kinaweza kuwa na wakala wa mshambuliaji. 1 .

9.4 Kwa mtazamo wa mshambulizi, haifai kutumia mfumo wa usalama kukiuka usalama wa habari katika sehemu hizo za mfumo ambapo anaweza kubadilishana habari na wakala wake kwa kutumia chaneli isiyodhibitiwa na njia za usalama. Katika kesi hiyo, hakuna haja ya kuficha ukweli wa kubadilishana habari, kwa sababu kubadilishana vile vya vifaa vya kinga hazidhibiti.

9.5 Wakati wa kutathmini uwezekano wa mwingiliano kupitia CS, mtu anapaswa kuzingatia "kutoweka" kwa aina fulani za CS za sehemu za AS.

9.6 Baada ya kutambua mifumo ya usalama, ni muhimu kutathmini jinsi inavyowezekana na jinsi ilivyo hatari kwa mali zinazolindwa za shirika. Tathmini hii inaamuliwa na kiasi cha mali, uwezo wa kampuni ya bima na muda wa muda ambao mali huhifadhi thamani. Kulingana na tathmini hii, njia ambazo hazina tishio la kweli kwa mali huchukuliwa kuwa sio hatari.

9.7 Kulingana na tathmini ya hatari ya SC, kwa kuzingatia matokeo ya uchambuzi wa hatari, hitimisho hufanywa kuhusu ushauri au kutofaa kwa kukabiliana na njia hizo.

9.8 Kwa mfano, Kielelezo 2 kinaonyesha modeli ya ngazi saba ya mwingiliano wa mifumo iliyo wazi, iliyofafanuliwa katika kifungu kidogo cha 6.1.5 cha GOST R ISO/IEC 7498-1-99.

Kielelezo 2 - Ubadilishanaji wa data kupitia mfumo wazi wa relay

9.9 Kila moja ya viwango vya mtindo huu huingiliana tu na viwango vya chini na vya juu, wakati viwango vya juu mifumo ya wazi imetengwa na ya chini. Kipengele hiki kinaweza kutumika kuficha SC zinazofanya kazi kwa kiwango cha chini kutoka kwa kidhibiti kwa kiwango cha juu.

9.10 Iwapo njia maalum Ugunduzi wa SC hautumiki; uwepo wa SC unaweza kutambuliwa na mtumiaji wa mifumo yoyote inayoingiliana kwa kuona mabadiliko katika tabia ya mifumo hii au upotezaji wa utendakazi wake.

9.11 Kizuizi cha mshambulizi anapochagua kiwango cha modeli ya mwingiliano ya mifumo iliyo wazi kama njia ya kupanga uwasilishaji wa siri ni "kutoweka" kwa mifumo ya relay. Mifumo ya relay haina mtumaji asili na mpokeaji wa mwisho wa data, lakini husambaza data kutoka kwa mfumo mmoja hadi mwingine ikiwa haijaunganishwa na njia moja ya kimwili kwa mujibu wa GOST R ISO/IEC 7498-1.

9.12 Wakati wa kusambaza katika mfumo huo, taarifa iliyopokelewa inafasiriwa katika viwango vyote vya mfano, kuanzia ngazi ya chini (ya kimwili) hadi ngazi ambayo relay ya data inafanywa. Kisha, ili kusambaza data zaidi kwenye mtandao, tena "hushuka" hadi kiwango cha kimwili mtandao wa mpokeaji. Kama matokeo ya mchakato huu, mfumo wa kumbukumbu (angalia kifungu cha 5.2 cha GOST R 53113.1-2008), kwa kutumia vipengele vya itifaki zinazohusiana na viwango vya chini kuliko ile ambayo relay inafanywa, inaweza kuharibiwa au kupunguza uwezekano wa siri. usambazaji wa habari kupitia mfumo kama huo wa relay.

10 Mapendekezo juu ya mbinu za kutekeleza hatua za ulinzi ili kukabiliana na njia za siri

10.1 Kulingana na matokeo ya kutambua mifumo ya usalama, mpango wa utekelezaji unaundwa ili kukabiliana na vitisho vinavyopatikana kwa matumizi yake. Shughuli hizi zinaweza kujumuisha utekelezaji wa mojawapo ya mbinu ambazo tayari zinajulikana (au uboreshaji wa zilizopo) za kukabiliana na matishio ya usalama wa taarifa zinazotekelezwa kwa kutumia mfumo wa usalama.

10.2 Inashauriwa kutumia zifuatazo kama hatua za kinga:

- kupunguza kipimo data njia ya kusambaza habari;

- ufumbuzi wa usanifu ujenzi wa AS;

- kufuatilia ufanisi wa ulinzi wa NPP.

10.3 Uchaguzi wa mbinu za kukabiliana na vitisho vya usalama wa habari vinavyotekelezwa kwa kutumia mfumo wa usalama na uundaji wa mpango wa utekelezaji wao imedhamiriwa na wataalam, kwa kuzingatia sifa za mtu binafsi kulindwa AS.

10.4 Mifano ya mbinu za kukabiliana

Mfano 1 - Kukabiliana na vitisho vinavyohusishwa na CS ni, haswa, kuhalalisha trafiki, ambayo inajumuisha kubadilisha maadili ya sehemu za pakiti za mtandao ili kuondoa utata, ambao unaweza kutumika kupanga CS. Katika kesi hiyo, SC zinazotumia utata huo kwa kazi zao zinaharibiwa. Kama matokeo ya urekebishaji wa trafiki, lazima ihakikishe kuwa utendakazi wa itifaki asilia unabaki ili kutekeleza kazi iliyokusudiwa. Urekebishaji wa sehemu za pakiti za habari zinaweza kujumuisha kuleta maadili ya uwanja kwa kufuata vipimo vya itifaki, kuweka maadili maalum katika uwanja wa pakiti, au kuandika maadili kiholela kwenye uwanja.

Mfano 2 - Kutumia mpatanishi (seva ya wakala), i.e. kifaa ambacho kinaweza kufikia mitandao miwili au zaidi, hukubali maombi kutoka kwa programu zinazoendeshwa kwenye seva pangishi kwenye mojawapo ya mitandao inayopatikana kwake hadi kwa programu zinazoendesha seva pangishi kwenye mtandao mwingine, na kisha kutuma majibu kwa maombi haya kwa mwelekeo wa nyuma. Matumizi ya mpatanishi hufanya iwezekanavyo kuzuia matumizi ya upekee wa itifaki zinazohakikisha uendeshaji wa mtandao ili kuandaa mtandao. Maelezo ya utekelezaji wa itifaki hizi (kwa mfano, maadili ya sehemu za huduma za kibinafsi za pakiti za itifaki hizi) wakati wa kutumia mpatanishi hazihamishwi moja kwa moja kutoka kwa mtandao mmoja hadi mwingine, lakini huundwa upya na mpatanishi. Kwa hivyo, mifumo ya mawasiliano inayozingatia kumbukumbu kwa kutumia itifaki za mtandao kama njia ya upokezaji haitatoa ubadilishanaji wa habari uliofichwa kati ya waliojisajili wakitenganishwa na mpatanishi. Utendaji wa programu ambazo haziingiliani moja kwa moja, lakini "kupitia" (kupitia) mpatanishi, hazitasumbuliwa, kwani mpatanishi anazingatia vipengele vya uendeshaji vya programu hizi. Hii inaruhusu, bila kuchukua hatua za ziada, kuzuia IC nyingi zinazohusiana na sintaksia na semantiki ya itifaki za mtandao na usafiri. Hata hivyo, haitawezekana kuzuia njia zinazofanya kazi katika ngazi ya maombi kwa njia hii, tangu habari iliyofichwa itapitia mpatanishi bila kubadilika pamoja na data ya programu. Programu ya mpatanishi inayotumiwa lazima izingatie maalum ya maombi yaliyotumiwa na itifaki za usafiri, ili kuhifadhi kikamilifu kazi zao zote na si kusababisha hasara ya utendaji wa mtandao. Kwa upande mwingine, programu zinaweza kuundwa kwa kutumia mpatanishi akilini.

Mfano wa 3 - Ufungaji wa trafiki ya mtandao ("tunnel") - upitishaji wa pakiti kutoka kwa subnet moja hadi nyingine kupitia mtandao wa tatu, ambapo pakiti za awali "zimefungwa" kwenye pakiti za itifaki ya handaki zinazopitishwa kupitia mtandao wa tatu, unaoonyeshwa kwenye Kielelezo. 3.

Kielelezo 3 - Ufungaji wa pakiti za IP

10.5 Wakati wa kutumia encapsulation na usimbaji fiche na uthibitisho wa uadilifu wa pakiti, inawezekana kuingiliana CS katika kumbukumbu kati ya nodes "ndani" kuhusiana na lango (yaani, nodi hizo zinazounda pakiti zinazopita kwenye handaki) na "nje" (Lango la mtandao, ambalo njia ambayo pakiti za itifaki ya handaki hutumwa hupita). IC ya muda (angalia kifungu cha 5.3 cha GOST R 53113.1-2008), kinachofanya kazi na pointi za muda ambazo pakiti hupitishwa, haziwezi kuzuiwa kabisa kwa njia hii. Taarifa zinazohusiana na ukubwa wa pakiti na vipindi vya muda kati ya kuonekana kwao pia huhifadhiwa wakati wa encapsulation na inaweza kutumika kwa uendeshaji wa CS.

11 Mapendekezo ya kupanga udhibiti wa kukabiliana na njia za siri

11.1 Ufuatiliaji wa hatua za kupinga mfumo unajumuisha kutambua ukweli wa matumizi ya mfumo katika mfumo unaolindwa. Utambulisho kama huo unaweza kufanywa kwa kuendelea au baada ya kugundua dalili za uharibifu kutokana na matumizi ya mfumo wa bima. Mbinu za takwimu au sahihi zinaweza kutumika kutambua matumizi ya SC.

11.2 Mbinu ya takwimu Ugunduzi wa IC unahusisha kukusanya data ya takwimu kuhusu pakiti zinazopita kwenye sehemu iliyolindwa ya mtandao, bila kuzifanyia mabadiliko yoyote. Utambulisho wa IC unaweza kufanywa kwa wakati halisi (ambayo inaruhusu majibu ya haraka kwa matukio) na kwa uhuru, kwa kutumia data iliyokusanywa kwa muda uliopita, ambayo inafanya uwezekano wa kufanya uchambuzi wa kina zaidi.

11.3 Mbinu ya kutambua IC kulingana na uchanganuzi wa sahihi ni sawa na mbinu inayotumiwa na programu za kuzuia virusi kutafuta programu hasidi. Ikiwa inapatikana utekelezaji unaojulikana IC, kwa kila mmoja wao saini huundwa, ambayo ni seti ya ishara zinazoonyesha kwamba hutumiwa utekelezaji huu SK. Kisha mkaguzi 4 (ona Kielelezo 1) hutafuta saini hizo katika mkondo wa data uliotazamwa kwenye mtandao na kufanya hitimisho kuhusu kuwepo au kutokuwepo kwa IC halali katika utekelezaji fulani. Kwa kazi yenye ufanisi njia hii ni muhimu sasisho la mara kwa mara misingi ya saini, i.e. kuingizwa kwa saini kwa utekelezaji usiojulikana wa mfumo wa usalama.

11.4 Wakati ishara (ikiwa ni pamoja na zisizo za moja kwa moja) za matumizi ya mfumo wa bima zinatambuliwa au mbinu mpya za kujenga mfumo wa bima zinajitokeza, uchambuzi wa hatari unafanywa tena.

Bibliografia


	Hati ya mwongozo. Tume ya Kiufundi ya Jimbo la Urusi, 1999	Ulinzi dhidi ya ufikiaji usioidhinishwa wa habari. Sehemu ya 1. Programu ya usalama wa habari. Uainishaji kulingana na kiwango cha udhibiti juu ya kutokuwepo kwa uwezo usiojulikana
	Hati ya mwongozo. Tume ya Kiufundi ya Jimbo la Urusi, 1998


UDC 351.864.1:004:006.354

Maneno muhimu: njia za siri, uchambuzi wa njia za siri, utaratibu wa shirika la usalama wa habari

Nakala ya hati ya elektroniki
iliyoandaliwa na Kodeks JSC na kuthibitishwa dhidi ya:
uchapishaji rasmi
M.: Standardinform, 2018

Sehemu ya 1. Swali la 1. Mahitaji maalum na mapendekezo ya ulinzi wa kiufundi wa taarifa za siri (STR-K): masharti makuu ya hati.

1.1. Hati hii inaweka utaratibu wa kuandaa kazi, mahitaji na mapendekezo ya kuhakikisha ulinzi wa kiufundi wa taarifa za siri kwenye eneo la Shirikisho la Urusi na ni hati kuu ya mwongozo katika eneo hili kwa miili ya serikali ya shirikisho, miili ya serikali ya vyombo vya Shirikisho la Urusi. na serikali za mitaa, makampuni ya biashara, taasisi na mashirika (hapa yanajulikana kama taasisi na makampuni) bila kujali fomu yao ya shirika na kisheria na aina ya umiliki, maafisa na raia wa Shirikisho la Urusi ambao wamechukua majukumu au wanalazimika kwa hali ya kutimiza mahitaji. hati za kisheria za Shirikisho la Urusi juu ya ulinzi wa habari.

Habari ya siri - habari yenye ufikiaji mdogo, isipokuwa habari iliyoainishwa kama siri za serikali na data ya kibinafsi iliyomo katika rasilimali za habari za serikali (manispaa), iliyokusanywa kwa gharama ya bajeti ya serikali (manispaa) na kuwa mali ya serikali (hii inaweza ni pamoja na habari ambayo inajumuisha siri rasmi na aina nyingine za siri kwa mujibu wa sheria ya Shirikisho la Urusi, pamoja na taarifa ya asili ya siri kwa mujibu wa "Orodha ya taarifa za siri" iliyoidhinishwa na Amri ya Rais wa Shirikisho la Urusi. Machi 6, 1997 No. 188), ulinzi ambao unafanywa kwa maslahi ya serikali (hapa - siri rasmi);

Habari juu ya ukweli, matukio na hali ya maisha ya kibinafsi ya raia, kuruhusu utambulisho wake kutambuliwa (data ya kibinafsi) (Kwa mujibu wa Sheria ya Shirikisho "Juu ya Habari, Taarifa na Ulinzi wa Habari", utawala wa ulinzi wa data ya kibinafsi lazima uamuliwe na shirikisho. Sheria.

1.3. Ili kulinda habari za siri zilizomo katika rasilimali za habari zisizo za serikali, serikali ya ulinzi ambayo imedhamiriwa na mmiliki wa rasilimali hizi (kwa mfano, habari inayounda siri ya kibiashara, benki, n.k.) (hapa inajulikana kama siri ya kibiashara), hati hii ni ya ushauri.

1.4. Hati hiyo ilitengenezwa kwa msingi wa sheria za shirikisho "Juu ya habari, uhamasishaji na ulinzi wa habari", "Juu ya ushiriki katika kimataifa. kubadilishana habari", Amri ya Rais wa Shirikisho la Urusi tarehe 03/06/97 No. 188 "Orodha ya taarifa za siri", "Mafundisho ya usalama wa habari wa Shirikisho la Urusi", iliyoidhinishwa na Rais wa Shirikisho la Urusi 09/09/2000 Nambari ya Pr.-1895, "Kanuni za utaratibu wa kushughulikia habari rasmi usambazaji mdogo katika mamlaka ya mtendaji wa shirikisho", iliyoidhinishwa na Amri ya Serikali ya Shirikisho la Urusi la tarehe 3 Novemba 1994 No. 1233, vitendo vingine vya kisheria vya udhibiti juu ya ulinzi wa habari. (Kiambatisho Na. 8), pamoja na uzoefu katika kutekeleza hatua za ulinzi wa habari katika wizara na idara, taasisi na katika makampuni ya biashara.

1.5. Hati hiyo inafafanua masuala makuu yafuatayo ya usalama wa habari:

Shirika la kazi juu ya ulinzi wa habari, ikiwa ni pamoja na maendeleo na kisasa ya vitu vya habari na mifumo yao ya ulinzi wa habari;

Muundo na yaliyomo kuu ya shirika, kiutawala, muundo, uendeshaji na nyaraka zingine juu ya ulinzi wa habari;

. utaratibu wa kuhakikisha ulinzi wa habari wakati wa uendeshaji wa vitu vya habari;

Makala ya usalama wa habari wakati wa maendeleo na uendeshaji wa mifumo ya automatiska kwa kutumia aina mbalimbali za vifaa vya kompyuta na teknolojia ya habari;

Utaratibu wa kuhakikisha ulinzi wa habari wakati watumiaji wanaingiliana na mitandao ya habari ya umma.

Utaratibu wa ukuzaji, utengenezaji, uuzaji na utumiaji wa njia za ulinzi wa habari za siri imedhamiriwa na "Kanuni za utaratibu wa ukuzaji, uzalishaji (utengenezaji), uuzaji, ununuzi na utumiaji wa njia za ulinzi wa habari za kriptografia na ufikiaji mdogo ambao haufanyi. vyenye taarifa zinazounda siri ya serikali” (Kanuni PKZ-99 ), na pia “Maelekezo ya kupanga na kuhakikisha usalama wa uhifadhi, usindikaji na uwasilishaji wa taarifa za siri kupitia njia za mawasiliano ya kiufundi katika Shirikisho la Urusi kwa kutumia njia za siri zilizoidhinishwa na FAPSI.”

1.6. Ulinzi wa habari iliyosindika kwa kutumia njia za kiufundi ni sehemu muhimu ya uundaji na uendeshaji wa vitu vya habari kwa madhumuni anuwai na lazima ufanyike kwa njia iliyoanzishwa na hati hii kwa njia ya mfumo wa ulinzi wa habari (mfumo mdogo) kwa kushirikiana na zingine. hatua za ulinzi wa habari.

1.7. Habari iko chini ya ulinzi, hotuba na kusindika kwa njia za kiufundi, na vile vile habari iliyotolewa kwa njia ya ishara za habari za umeme, uwanja wa mwili, media kwenye karatasi, sumaku, macho na besi zingine, kwa namna ya safu za habari na hifadhidata katika AS.

Vitu vilivyolindwa vya uarifu ni:

Zana na mifumo ya teknolojia ya habari (teknolojia ya kompyuta, mifumo ya otomatiki ya viwango na madhumuni anuwai kulingana na teknolojia ya kompyuta, pamoja na vifaa vya habari na kompyuta, mitandao na mifumo, zana na mifumo ya upitishaji data, njia za kiufundi za kupokea, kusambaza na kusindika habari ( telephony. , kurekodi sauti, ukuzaji wa sauti, uzazi wa sauti, intercom na vifaa vya televisheni, njia za uzalishaji, kurudia hati na njia zingine za kiufundi za usindikaji wa hotuba, picha, video na habari ya alphanumeric), programu (mifumo ya uendeshaji, mifumo ya usimamizi wa hifadhidata, mfumo mwingine- programu pana na iliyotumika) inayotumika kuchakata habari za siri;

Njia za kiufundi na mifumo ambayo haishughulikii moja kwa moja habari za siri, lakini ziko katika majengo ambayo huchakatwa (zinasambazwa);

Majengo yaliyolindwa.

1.8. Ulinzi wa habari unapaswa kufanywa kupitia utekelezaji wa seti ya hatua na matumizi (ikiwa ni lazima) ya zana za usalama wa habari ili kuzuia uvujaji wa habari au athari juu yake kupitia njia za kiufundi, kwa sababu ya ufikiaji usioidhinishwa, kuzuia programu na vifaa vya kukusudia. mvuto kwa lengo la kukiuka uadilifu (uharibifu, uharibifu) habari katika mchakato wa usindikaji, maambukizi na uhifadhi wake, usumbufu wa upatikanaji wake na utendaji wa njia za kiufundi.

1.9. Wakati wa kufanya mazungumzo na kutumia njia za kiufundi kwa usindikaji na kusambaza habari, njia zifuatazo za uvujaji na vyanzo vya vitisho kwa usalama wa habari vinawezekana:

Mionzi ya acoustic ya ishara ya hotuba ya habari;

Ishara za umeme zinazotokana na ubadilishaji wa ishara ya taarifa kutoka kwa acoustic hadi umeme kutokana na athari ya kipaza sauti na kueneza kwa waya na mistari inayoenea zaidi ya mzunguko mfupi;

Ishara za vibroacoustic zinazotokana na mabadiliko ya ishara ya akustisk yenye taarifa inapofunuliwa na miundo ya jengo na mawasiliano ya uhandisi ya majengo yaliyohifadhiwa;

Ufikiaji usioidhinishwa na vitendo visivyoidhinishwa kuhusiana na habari katika mifumo ya kiotomatiki, pamoja na kutumia mitandao ya habari ya umma;

Athari kwa maunzi au programu ya mifumo ya habari ili kukiuka usiri, uadilifu na upatikanaji wa habari, utendakazi wa njia za kiufundi, na njia za usalama wa habari kupitia programu iliyotekelezwa mahususi;

Mionzi ya sumakuumeme ya upande wa ishara ya taarifa kutoka kwa njia za kiufundi usindikaji habari za siri na njia za upitishaji wa habari hii;

Uingizaji wa ishara ya taarifa, iliyosindika kwa njia za kiufundi, kwenye nyaya za usambazaji wa nguvu na mistari ya mawasiliano ambayo huenda zaidi ya mzunguko mfupi;

Utoaji wa redio au ishara za umeme kutoka kwa vifaa maalum vya elektroniki vya kukatiza habari za hotuba "alamisho" iliyoingia katika njia za kiufundi na majengo yaliyolindwa, yanayorekebishwa na ishara ya habari;

Utoaji wa redio au mawimbi ya umeme kutoka kwa vifaa vya kielektroniki vya kukatiza habari vilivyounganishwa na njia za mawasiliano au njia za kiufundi za usindikaji wa habari;

Kusikiliza mazungumzo ya simu na redio yanayoendelea;

Kuangalia habari kutoka kwa skrini za maonyesho na njia zingine za kuionyesha, karatasi na media zingine, pamoja na kutumia njia za macho;

Wizi wa vifaa vya kiufundi na habari iliyohifadhiwa ndani yao au vyombo vya habari vya hifadhi ya mtu binafsi.

1.10. Kuingilia habari au ushawishi juu yake kwa kutumia njia za kiufundi kunaweza kufanywa:

Kutoka nje ya nchi, mzunguko mfupi kutoka kwa majengo ya karibu na magari;

Kutoka kwa majengo ya karibu ya taasisi nyingine (biashara) na iko katika jengo moja na kitu kilichohifadhiwa;

Wakati wa kutembelea taasisi (biashara) na watu wasioidhinishwa;

Kwa sababu ya ufikiaji usioidhinishwa (vitendo visivyoidhinishwa) kwa habari inayozunguka katika AS, kwa kutumia njia za kiufundi za AS na kupitia mitandao ya habari ya umma.

1.11. Vifaa vya kubebeka vinavyobebeka na vinavyoweza kuvaliwa vilivyowekwa karibu na kitu kilicholindwa au vilivyounganishwa kwa njia za mawasiliano au njia za kiufundi za kuchakata taarifa, pamoja na vifaa vya kielektroniki vya kukatiza taarifa “alamisho” zilizowekwa ndani au nje ya majengo yaliyolindwa zinaweza kutumika kama kifaa cha kunasa au kushawishi habari na kiufundi. maana yake..

1.12. Mbali na udukuzi wa taarifa kwa njia za kiufundi, inawezekana kwamba taarifa zilizolindwa zinaweza kuwafikia watu ambao hawaruhusiwi kuzipata, lakini walio ndani ya eneo la usalama. Hii inawezekana, kwa mfano, kutokana na:

Kusikiliza bila kukusudia bila kutumia njia za kiufundi za mazungumzo ya siri kutokana na insulation ya sauti ya kutosha ya miundo iliyofungwa ya majengo yaliyohifadhiwa na mifumo yao ya uhandisi na kiufundi;

Kupiga simu kwa ajali kwa mazungumzo ya simu wakati wa matengenezo ya kuzuia kwenye mitandao ya simu;

Vitendo visivyo na uwezo au vibaya vya watumiaji na wasimamizi wa AS wakati wa uendeshaji wa mitandao ya kompyuta;

Kuangalia habari kutoka kwa skrini za kuonyesha na njia zingine za kuionyesha.

1.13. Utambulisho na kuzingatia mambo ambayo yanaathiri au yanaweza kuathiri habari iliyolindwa (tishio kwa usalama wa habari) katika hali maalum, kwa mujibu wa GOST R 51275-99, hufanya msingi wa kupanga na kutekeleza hatua zinazolenga kulinda habari katika kituo cha taarifa.

Orodha ya hatua muhimu za ulinzi wa habari imedhamiriwa kulingana na matokeo ya uchunguzi wa kitu cha habari, kwa kuzingatia uwiano wa gharama za ulinzi wa habari na uharibifu unaowezekana kutoka kwa ufunuo wake, upotezaji, uharibifu, upotoshaji, ukiukaji wa upatikanaji ulioidhinishwa. ya habari na utendakazi wa njia za kiufundi usindikaji habari hii, pamoja na kuzingatia uwezekano halisi wa kuingiliwa na kufichua yaliyomo.

1.14. Tahadhari kuu inapaswa kulipwa kwa ulinzi wa habari kuhusiana na ambayo vitisho vya usalama wa habari vinatekelezwa bila kutumia njia ngumu za kiufundi za kukatiza habari:

Taarifa za sauti zinazozunguka katika majengo yaliyohifadhiwa;

Habari iliyochakatwa na teknolojia ya kompyuta kutoka kwa ufikiaji usioidhinishwa na vitendo visivyoidhinishwa;

Taarifa iliyoonyeshwa kwenye skrini za kufuatilia video;

Taarifa zinazopitishwa kupitia njia za mawasiliano ambazo huenda zaidi ya mzunguko mfupi.

1.15. Ukuzaji wa hatua na kuhakikisha ulinzi wa habari unafanywa na vitengo vya ulinzi wa habari (huduma za usalama) au wataalam wa kibinafsi walioteuliwa na usimamizi wa biashara (taasisi) kufanya kazi kama hiyo. Uendelezaji wa hatua za usalama wa habari pia unaweza kufanywa na makampuni ya tatu ambayo yana leseni zinazofaa kutoka Tume ya Kiufundi ya Jimbo la Urusi na/au FAPSI kwa haki ya kutoa huduma katika uwanja wa usalama wa habari.

1.17. Vitu vya uarifu lazima vidhibitishwe kwa kufuata mahitaji ya usalama wa habari (Hapa, uthibitisho unamaanisha kukubalika kwa kitu cha habari na biashara na ushiriki wa lazima wa mtaalam wa usalama wa habari.)

1.18. Wajibu wa kuhakikisha mahitaji ya ulinzi wa kiufundi wa taarifa za siri ni wakuu wa taasisi na makampuni ya uendeshaji wa vifaa vya habari.

TUME YA UFUNDI YA SERIKALI CHINI YA RAIS WA URUSI

SHIRIKISHO

HABARI YA SIRI

(STR-K)

1. Masharti, ufafanuzi na vifupisho

2. Masharti ya jumla

3. Shirika la kazi juu ya ulinzi wa habari

4.1. Masharti ya jumla

4.3. Ulinzi wa habari zinazozunguka katika uimarishaji wa sauti na mifumo ya sauti ya filamu

4.4. Ulinzi wa habari wakati wa kurekodi sauti.

4.5. Ulinzi wa taarifa za sauti wakati wa upitishaji wake kwenye njia za mawasiliano

teknolojia ya kompyuta

5.4. Utaratibu wa kuhakikisha ulinzi wa taarifa za siri wakati wa uendeshaji wa NPP

5.5. Ulinzi wa taarifa za siri katika vituo vya kazi vya kiotomatiki kulingana na Kompyuta zinazojiendesha

5.6. Ulinzi wa habari unapotumia vifaa vya uhifadhi wa uwezo wa juu vinavyoweza kutolewa kwa vituo vya kazi vya kiotomatiki kulingana na Kompyuta zinazojiendesha.

5.7. Ulinzi wa habari katika mitandao ya ndani ya kompyuta

5.8. Ulinzi wa habari wakati wa kufanya kazi kwenye mtandao

5.9. Kulinda habari wakati wa kufanya kazi na mifumo ya usimamizi wa hifadhidata 6. Mapendekezo ya kuhakikisha ulinzi wa taarifa zilizomo katika rasilimali za habari zisizo za serikali wakati wasajili wanaingiliana nao. mitandao ya habari ya umma

6.1. Masharti ya jumla

6.2. Masharti ya kuunganisha waliojisajili kwenye Mtandao

6.3. Utaratibu wa kuunganisha na kuingiliana pointi za mteja na Mtandao, mahitaji na mapendekezo ya kuhakikisha usalama wa habari 7, Maombi:

1 . Sheria ya uainishaji wa mfumo wa usindikaji wa habari otomatiki

2. Hati ya kufuata mfumo wa automatiska na mahitaji ya usalama

3. Hati ya kufuata kwa majengo yaliyohifadhiwa na mahitaji ya usalama habari

4. Fomu ya pasipoti ya kiufundi kwa ajili ya majengo yaliyohifadhiwa

5. Fomu ya pasipoti ya kiufundi kwa mfumo wa automatiska

6. Mfano wa kuandika orodha ya taarifa za siri tabia

7. Madarasa ya usalama dhidi ya ufikiaji usioidhinishwa wa habari

8. Vitendo vya msingi vya udhibiti wa kisheria na nyaraka za mbinu juu ya ulinzi

1. MASHARTI, UFAFANUZI NA UFUPISHO

Maneno ya msingi, ufafanuzi na vifupisho vifuatavyo vinatumika katika hati hii:

1.1. Mteja wa mtandao (tazama pia kifungu cha 1.14) - mtu ambaye ni mwajiriwa wa taasisi (biashara) ambaye ana kibali kilichotolewa ipasavyo na uwezo wa kiufundi kuunganishwa na kuingiliana na Mitandao.

1.2. Sehemu ya mteja (AP) - vifaa vya kompyuta vya taasisi (biashara) iliyounganishwa na Mitandao kwa kutumia vifaa vya mawasiliano. AP inaweza kuwa katika mfumo wa kompyuta binafsi ya kielektroniki ya uhuru (PC) yenye modemu na isiwe nayo njia za kimwili mawasiliano na vifaa vingine vya kompyuta (CT) ya biashara, na vile vile kwa njia ya mtandao mmoja au zaidi wa eneo uliojumuishwa (LAN) na vituo vya kazi na seva zilizounganishwa kwenye Mitandao kupitia vifaa vya mawasiliano (modemu, madaraja, lango, ruta, viboreshaji vingi. , seva za mawasiliano, nk).

1.3. Mfumo wa otomatiki (AS) - mfumo unaojumuisha wafanyikazi na seti ya zana za otomatiki kwa shughuli zao, kutekeleza teknolojia ya habari kufanya kazi zilizowekwa.

1.4. Msimamizi wa AS ndiye mtu anayehusika na utendakazi wa mfumo otomatiki katika hali ya kawaida ya kufanya kazi.

1.5. Msimamizi wa ulinzi wa habari (usalama) ni mtu anayehusika na kulinda mfumo wa kiotomatiki kutoka kwa ufikiaji usioidhinishwa wa habari.

1.6. Usalama wa habari ni hali ya usalama wa habari inayoonyeshwa na uwezo wa wafanyikazi, njia za kiufundi na teknolojia ya habari ili kuhakikisha usiri (yaani kutunza siri kutoka kwa watu ambao hawana mamlaka ya kuifahamu), uadilifu na ufikiaji wa habari inapochakatwa. kwa njia za kiufundi.

1.7. Njia na mifumo ya kiufundi (ATSS) - njia za kiufundi na mifumo isiyokusudiwa kwa usambazaji, usindikaji na uhifadhi wa habari za siri, zilizowekwa pamoja na njia kuu za kiufundi na mifumo au katika majengo yaliyolindwa. Hizi ni pamoja na:

aina mbalimbali vifaa vya simu na mifumo;

Njia na mifumo ya usambazaji wa data katika mfumo wa mawasiliano ya redio;

Usalama na mifumo ya kengele ya moto na vifaa;

Njia na mifumo ya onyo na kengele;

Vifaa vya kudhibiti na kupima;

Bidhaa na mifumo ya hali ya hewa;

Zana na mifumo ya mitandao ya utangazaji wa redio yenye waya na mapokezi ya programu za redio na televisheni (vipaza sauti vya mteja, mifumo ya utangazaji wa redio, televisheni na redio, nk);

Vifaa vya ofisi ya elektroniki;

Vifaa vya saa ya umeme na mifumo;

Njia zingine za kiufundi na mifumo.

1.8. Upatikanaji wa habari (ufikiaji) - kufahamiana na habari, usindikaji wake, haswa, kunakili, kurekebisha au uharibifu wa habari.

1.9. Upatikanaji (upatikanaji ulioidhinishwa) wa habari ni hali ya habari inayoonyeshwa na uwezo wa njia za kiufundi na teknolojia ya habari kutoa ufikiaji usiozuiliwa wa habari kwa masomo ambayo yana mamlaka ya kufanya hivyo.

1.10. Ulinzi wa habari kutoka kwa ufikiaji usioidhinishwa (ulinzi kutoka kwa ufikiaji usioidhinishwa) au ushawishi - shughuli zinazolenga kuzuia mhusika kupata habari (au kushawishi habari) kwa ukiukaji. haki zilizowekwa au kanuni.

1.11. Maalum ishara ya kinga(SPZ) - kuthibitishwa na kusajiliwa katika kwa utaratibu uliowekwa bidhaa iliyoundwa kudhibiti ufikiaji usioidhinishwa wa vitu vilivyolindwa kwa kuamua uhalisi na uadilifu wa eneo la ulinzi wa usafi, kwa kulinganisha ishara yenyewe au muundo "eneo la ulinzi la satelaiti - substrate" kulingana na vigezo vya kufuata. sifa za tabia njia za kuona, za ala na zingine.

1.12. Majengo yaliyolindwa (SP) - majengo (ofisi, vyumba vya kusanyiko, vyumba vya mikutano, nk) maalum iliyoundwa kwa ajili ya kufanya matukio ya siri (mikutano, majadiliano, mikutano, mazungumzo, nk).

1.13. Ishara ya taarifa - ishara za umeme, acoustic, sumakuumeme na maeneo mengine ya kimwili, vigezo ambavyo vinaweza kufichua taarifa za siri zinazopitishwa, kuhifadhiwa au kusindika kwa njia za msingi za kiufundi na mifumo na kujadiliwa katika PO.

1.14. Rasilimali za habari - hati za mtu binafsi na safu tofauti za hati, hati na safu za hati ndani mifumo ya habari(maktaba, kumbukumbu, fedha, benki za data, mifumo mingine ya habari).

1.15. Mitandao ya habari umma (hapa inajulikana kama Mitandao) - kompyuta (taarifa na mitandao ya mawasiliano) iliyofunguliwa kwa matumizi ya kimwili na vyombo vya kisheria, huduma ambazo haziwezi kukataliwa kwa watu hawa.

1.16. Eneo la kudhibitiwa (CA) ni nafasi (eneo, jengo, sehemu ya jengo) ambayo uwepo usio na udhibiti wa watu ambao hawana upatikanaji wa kudumu au wa wakati mmoja na magari yasiyoidhinishwa hutolewa. Mpaka wa mzunguko mfupi unaweza kuwa:

Mzunguko wa eneo lililolindwa la taasisi (biashara);

Miundo iliyofungwa ya jengo lililohifadhiwa au sehemu iliyohifadhiwa ya jengo, ikiwa iko katika eneo lisilohifadhiwa.

Katika baadhi ya matukio, kwa kipindi ambacho taarifa za siri zinachakatwa kwa njia za kiufundi, eneo la usalama linaweza kuanzishwa kwa muda kuwa kubwa kuliko eneo lililolindwa la biashara. Katika kesi hii, hatua za shirika, kiutendaji na kiufundi lazima zichukuliwe ambazo hazijumuishi au zinachanganya sana uwezekano wa kuingilia habari katika eneo hili.

1.17. Habari ya siri ni habari iliyoandikwa, ufikiaji ambao ni mdogo kwa mujibu wa sheria ya Shirikisho la Urusi.

1.18. Mtandao wa eneo la karibu - mtandao wa kompyuta unaoauni, ndani ya eneo dogo, njia moja au zaidi ya kasi ya juu ya usambazaji wa taarifa za kidijitali zinazotolewa kwa vifaa vilivyounganishwa kwa matumizi ya muda mfupi ya kipekee.

1.20. Ufikiaji usioidhinishwa (vitendo visivyoidhinishwa) (UA) - ufikiaji wa habari au vitendo na habari inayokiuka sheria za udhibiti wa ufikiaji kwa kutumia njia za kawaida zinazotolewa na teknolojia ya kompyuta au mifumo ya kiotomatiki.

1.21. Njia za kimsingi za kiufundi na mifumo (OTSS) - njia za kiufundi na mifumo, pamoja na mawasiliano yao, inayotumika kwa usindikaji, kuhifadhi na kusambaza habari za siri. Katika muktadha wa hati hii, hizi ni pamoja na njia za kiufundi na mifumo ya mifumo otomatiki ya viwango na madhumuni mbalimbali kulingana na teknolojia ya kompyuta, njia na mifumo ya mawasiliano na upitishaji data inayotumika kuchakata taarifa za siri.

1.22. Mtoa Huduma wa Mtandao ni shirika lililoidhinishwa ambalo hufanya kazi za mtoa huduma wa Mtandao kwa pointi ya mteja na moja kwa moja kwa wanachama wa Mtandao.

1.23. Mfumo wa ulinzi wa habari kutoka NSD (IPS NSD) ni seti ya hatua za shirika na programu na maunzi (cryptographic ikiwa ni lazima) njia za ulinzi dhidi ya ufikiaji usioidhinishwa wa habari (vitendo visivyoidhinishwa nayo) katika mfumo wa kiotomatiki.

1.24. Habari ya huduma ya mfumo wa usalama wa habari wa NSD - msingi wa habari wa mmea muhimu kwa uendeshaji wa mfumo wa usalama wa habari wa NSD (kiwango cha mamlaka ya wafanyikazi wa uendeshaji wa NSD, matrix ya ufikiaji, funguo, nywila, n.k.).

1.25. Njia ya kiufundi ya uvujaji wa habari ni mchanganyiko wa kitu cha akili ya kiufundi, mazingira ya kimwili na njia za akili za kiufundi ambazo data ya akili hupatikana.

1.26. Huduma za mtandao - seti ya utendaji inayotolewa kwa watumiaji wa mtandao wanaotumia itifaki za programu (itifaki za barua pepe, FTP - Itifaki ya Uhawilishaji Faili - mapokezi/uhamishaji wa faili, HTTP - Itifaki ya Uhamisho wa Maandishi ya Juu - ufikiaji wa seva za Wavuti, IRC - Gumzo la Relay ya Mtandao - mazungumzo muda halisi, Telnet - ufikiaji wa terminal kwenye mtandao, WAIS - Seva za Taarifa za Eneo Wide - mfumo wa kuhifadhi na kurejesha nyaraka kwenye mtandao, nk).

1.28. Seva ya wavuti ni seva ya habari inayopatikana hadharani kwenye Mtandao inayotumia teknolojia ya hypertext.

2. MASHARTI YA JUMLA

2.1. Hati hii inaweka utaratibu wa kuandaa kazi, mahitaji na mapendekezo ya kuhakikisha ulinzi wa kiufundi wa taarifa za siri kwenye eneo la Shirikisho la Urusi na ni hati kuu ya mwongozo katika

eneo hili kwa miili ya serikali ya shirikisho, miili ya serikali ya vyombo vya Shirikisho la Urusi na serikali za mitaa, biashara, taasisi na mashirika (hapa inajulikana kama taasisi na biashara), bila kujali fomu yao ya shirika na kisheria na aina ya umiliki, maafisa na raia. wa Shirikisho la Urusi ambao wamechukua majukumu au wanalazimika kwa hali ya kutimiza mahitaji ya hati za kisheria za Shirikisho la Urusi juu ya ulinzi wa habari.

Taarifa kuhusu ukweli, matukio na hali ya maisha ya faragha ya raia ambayo inaruhusu utambulisho wake kutambuliwa (data ya kibinafsi) (Kwa mujibu wa Sheria ya Shirikisho "Juu ya Habari, Taarifa na Ulinzi wa Taarifa", utawala wa ulinzi wa data ya kibinafsi lazima uamuliwe na sheria ya shirikisho. Kabla ya utekelezaji wake, hati hii inapaswa kutumika kuanzisha utawala wa ulinzi wa vile habari., isipokuwa habari zinazoweza kusambazwa katika vyombo vya habari kwa mujibu wa sheria za shirikishokesi.)

2.3. Ili kulinda habari za siri zilizomo katika rasilimali za habari zisizo za serikali, serikali ya ulinzi ambayo imedhamiriwa na mmiliki wa rasilimali hizi (kwa mfano, habari inayounda siri ya kibiashara, benki, n.k.) (hapa inajulikana kama siri ya kibiashara), hati hii ni ya ushauri.

2.4. Hati hiyo ilitengenezwa kwa misingi ya sheria za shirikisho "Juu ya habari, taarifa na ulinzi wa habari", "Katika ushiriki wa kubadilishana habari za kimataifa", Amri ya Rais wa Shirikisho la Urusi la tarehe 03/06/97. Nambari ya 188 "Orodha ya Taarifa za Siri", "Mafundisho ya Usalama wa Taarifa ya Shirikisho la Urusi", iliyoidhinishwa na Rais wa Shirikisho la Urusi mnamo 09.09.2000. Nambari ya Pr.-1895, "Kanuni za utaratibu wa kushughulikia taarifa rasmi za usambazaji mdogo katika mamlaka ya serikali kuu," iliyoidhinishwa na Amri ya Serikali ya Shirikisho la Urusi ya Novemba 3, 1994. Nambari 1233, vitendo vingine vya kisheria vya udhibiti juu ya ulinzi wa habari (Kiambatisho Na. 8), pamoja na uzoefu katika kutekeleza hatua za ulinzi wa habari katika wizara na idara, taasisi na makampuni ya biashara. 2.5. Hati hiyo inafafanua masuala makuu yafuatayo ya usalama wa habari:

Shirika la kazi juu ya ulinzi wa habari, ikiwa ni pamoja na maendeleo na kisasa ya vitu vya habari na mifumo yao ya ulinzi wa habari;

Muundo na yaliyomo kuu ya shirika, kiutawala, muundo, uendeshaji na nyaraka zingine juu ya ulinzi wa habari;

mazungumzo, ikiwa ni pamoja na kutumia njia za kiufundi;

Utaratibu wa kuhakikisha ulinzi wa habari wakati wa uendeshaji wa vitu vya habari;

Makala ya usalama wa habari wakati wa maendeleo na uendeshaji wa mifumo ya automatiska kwa kutumia aina mbalimbali za vifaa vya kompyuta na teknolojia ya habari;

Utaratibu wa kuhakikisha ulinzi wa habari wakati watumiaji wanaingiliana na mitandao ya habari ya umma.

Utaratibu wa ukuzaji, utengenezaji, uuzaji na utumiaji wa njia za ulinzi wa habari za siri imedhamiriwa na "Kanuni za utaratibu wa ukuzaji, uzalishaji (utengenezaji), uuzaji, ununuzi na utumiaji wa njia za ulinzi wa habari za kriptografia na ufikiaji mdogo ambao haufanyi. zina habari zinazounda siri ya serikali” (Kanuni PKZ-99 ), na pia “Maelekezo ya kupanga na kuhakikisha usalama wa uhifadhi, usindikaji na uwasilishaji wa taarifa za siri kupitia njia za mawasiliano za kiufundi katika Shirikisho la Urusi kwa kutumia njia za siri zilizoidhinishwa na FAPSI.”

2.6. Ulinzi wa habari iliyosindika kwa kutumia njia za kiufundi ni sehemu muhimu ya uundaji na uendeshaji wa vitu vya habari kwa madhumuni anuwai na lazima ufanyike kwa njia iliyoanzishwa na hati hii kwa njia ya mfumo wa ulinzi wa habari (mfumo mdogo) kwa kushirikiana na zingine. hatua za ulinzi wa habari.

Zana na mifumo ya teknolojia ya habari (teknolojia ya kompyuta,

mifumo ya kiotomatiki ya viwango na madhumuni anuwai kulingana na teknolojia ya kompyuta, pamoja na vifaa vya habari na kompyuta, mitandao na mifumo, njia na mifumo ya mawasiliano na upitishaji data, njia za kiufundi za kupokea, kusambaza na kusindika habari (simu, kurekodi sauti, ukuzaji wa sauti, sauti. utayarishaji, vyumba vya mikutano na vifaa vya televisheni, njia za kutengeneza, kunakili hati na njia zingine za kiufundi za usindikaji wa hotuba, picha, video na habari ya alphanumeric), programu (mifumo ya uendeshaji, mifumo ya usimamizi wa hifadhidata, programu nyingine ya mfumo mzima na ya maombi) inayotumika kuchakata. habari za siri;

Njia za kiufundi na mifumo ambayo haishughulikii moja kwa moja habari za siri, lakini ziko katika majengo ambayo huchakatwa (zinasambazwa);

Majengo yaliyolindwa.

2.8. Ulinzi wa habari unapaswa kufanywa kupitia utekelezaji wa seti ya hatua na matumizi (ikiwa ni lazima) ya hatua za usalama wa habari ili kuzuia

kuvuja kwa habari au athari juu yake kupitia njia za kiufundi, kwa sababu ya ufikiaji usioidhinishwa, kuzuia ushawishi wa makusudi wa programu na vifaa kwa lengo la kukiuka uadilifu (uharibifu, upotoshaji) wa habari wakati wa usindikaji, usafirishaji na uhifadhi wake, na kuvuruga upatikanaji wake. na utendakazi wa njia za kiufundi.

2.9. Wakati wa kufanya mazungumzo na kutumia njia za kiufundi kwa usindikaji na kusambaza habari, njia zifuatazo za uvujaji na vyanzo vya vitisho kwa usalama wa habari vinawezekana:

Mionzi ya acoustic ya ishara ya hotuba ya habari;

Ishara za umeme zinazotokana na ubadilishaji wa ishara ya taarifa kutoka kwa acoustic hadi umeme kutokana na athari ya kipaza sauti na kueneza kwa waya na mistari inayoenea zaidi ya mzunguko mfupi;

Ishara za vibroacoustic zinazotokana na mabadiliko

ishara ya taarifa ya acoustic wakati inakabiliwa na miundo ya jengo na mawasiliano ya uhandisi ya majengo yaliyohifadhiwa;

Ufikiaji usioidhinishwa na vitendo visivyoidhinishwa kuhusiana na habari katika mifumo ya kiotomatiki, pamoja na kutumia mitandao ya habari ya umma;

Mionzi ya sumakuumeme ya upande wa ishara ya taarifa kutoka kwa njia za kiufundi usindikaji habari za siri na njia za upitishaji wa habari hii;

Uingizaji wa ishara ya taarifa, iliyosindika kwa njia za kiufundi, kwenye nyaya za usambazaji wa nguvu na mistari ya mawasiliano ambayo huenda zaidi ya mzunguko mfupi;

Utoaji wa redio au mawimbi ya umeme kutoka kwa vifaa vya kielektroniki vya kukatiza habari vilivyounganishwa na njia za mawasiliano au njia za kiufundi za usindikaji wa habari;

Kusikiliza mazungumzo ya simu na redio yanayoendelea;

Kuangalia habari kutoka kwa skrini za maonyesho na njia zingine za kuionyesha, karatasi na media zingine, pamoja na kutumia njia za macho;

Wizi wa vifaa vya kiufundi na habari iliyohifadhiwa ndani yao au mtu binafsi

wabebaji wa habari.

2.10. Kuingilia habari au ushawishi juu yake kwa kutumia kiufundi
fedha zinaweza kudumishwa:

Kutoka nje ya nchi, mzunguko mfupi kutoka kwa majengo ya karibu na magari;

Kutoka kwa majengo ya karibu ya taasisi nyingine (biashara) na iko katika jengo moja na kitu kilichohifadhiwa;

Wakati wa kutembelea taasisi (biashara) na watu wasioidhinishwa;

Kwa sababu ya ufikiaji usioidhinishwa (vitendo visivyoidhinishwa) kwa

habari zinazozunguka katika NPP, kwa msaada wa njia za kiufundi za NPP, na kupitia mitandao ya habari ya umma.

2.11. Vifaa vya kubebeka vinavyobebeka na vinavyoweza kuvaliwa vilivyowekwa karibu na kitu kilicholindwa au vilivyounganishwa kwa njia za mawasiliano au njia za kiufundi za kuchakata taarifa, pamoja na vifaa vya kielektroniki vya kukatiza taarifa “alamisho” zilizowekwa ndani au nje ya majengo yaliyolindwa zinaweza kutumika kama kifaa cha kunasa au kushawishi habari na kiufundi. maana yake..

Kupiga simu kwa ajali kwa mazungumzo ya simu wakati wa matengenezo ya kuzuia kwenye mitandao ya simu;

Vitendo visivyo na uwezo au vibaya vya watumiaji na wasimamizi wa AS wakati wa uendeshaji wa mitandao ya kompyuta;

Kuangalia habari kutoka kwa skrini za kuonyesha na njia zingine za kuionyesha.

2.13. Utambulisho na kuzingatia mambo yanayoathiri au uwezo wa kuathiri habari iliyolindwa (tishio kwa usalama wa habari) katika hali maalum, kwa mujibu wa GOST R 51275-99, hufanya msingi wa kupanga na kutekeleza hatua zinazolenga kulinda habari katika kituo cha taarifa.

2.14. Tahadhari kuu inapaswa kulipwa kwa ulinzi wa habari kuhusiana na ambayo vitisho vya usalama wa habari vinatekelezwa bila kutumia njia ngumu za kiufundi za kukatiza habari:

Taarifa za sauti zinazozunguka katika majengo yaliyohifadhiwa;

Habari iliyochakatwa na teknolojia ya kompyuta kutoka kwa ufikiaji usioidhinishwa na vitendo visivyoidhinishwa;

Taarifa iliyoonyeshwa kwenye skrini za kufuatilia video;

Taarifa zinazopitishwa kupitia njia za mawasiliano ambazo huenda zaidi ya mzunguko mfupi.

2.16. Ili kulinda habari, inashauriwa kutumia njia za kiufundi za usindikaji na kusambaza habari, vifaa na zana za programu kwa usalama wa habari uliothibitishwa kulingana na mahitaji ya usalama wa habari. Wakati wa usindikaji habari za siri zilizoandikwa katika vituo vya taarifa katika miili ya serikali ya Shirikisho la Urusi na miili ya serikali ya vyombo vya Shirikisho la Urusi, mashirika mengine ya serikali, makampuni ya biashara na taasisi, njia za kulinda mifumo ya habari zinakabiliwa na vyeti vya lazima.

2.17. Vipengee vya uarifu lazima viidhinishwe kwa kufuata mahitaji ya ulinzi wa habari (Hapa, uthibitisho unamaanisha tumekukubalika kwa kitu cha habari na biashara na ushiriki wa lazima wa mtaalam wa usalama wa habari.)

2.18. Wajibu wa kuhakikisha mahitaji ya ulinzi wa kiufundi wa taarifa za siri ni wakuu wa taasisi na makampuni ya uendeshaji wa vifaa vya habari.

Toleo kamili la hati linaweza kupakuliwa kutoka.

Maneno ya msingi, ufafanuzi na vifupisho vifuatavyo vinatumika katika hati hii:

1.1. Mteja wa Mtandao (tazama pia kifungu cha 1.14) ni mtu ambaye ni mfanyakazi wa taasisi (biashara) ambaye ana kibali kilichotolewa ipasavyo na uwezo wa kiufundi wa kuunganisha na kuingiliana na Mitandao.

1.2. Sehemu ya mteja (AP) - vifaa vya kompyuta vya taasisi (biashara) iliyounganishwa na Mitandao kwa kutumia vifaa vya mawasiliano. AP zinaweza kuwa katika mfumo wa kompyuta za elektroniki za kibinafsi (PC) zilizo na modem na hazina njia za mawasiliano ya mwili na vifaa vingine vya kompyuta (CT) ya biashara, na vile vile kwa njia ya mtandao mmoja au zaidi wa eneo uliojumuishwa. LAN) na vituo vya kazi na seva zilizounganishwa kwenye Mitandao kupitia vifaa vya mawasiliano (modemu, madaraja, lango, ruta, vizidishi, seva za mawasiliano, n.k.).

1.3. Mfumo wa otomatiki (AS) - mfumo unaojumuisha wafanyikazi na seti ya zana za otomatiki kwa shughuli zao, kutekeleza teknolojia ya habari kufanya kazi zilizowekwa.

1.4. Msimamizi wa AS ndiye mtu anayehusika na utendakazi wa mfumo otomatiki katika hali ya kawaida ya kufanya kazi.

1.5. Msimamizi wa ulinzi wa habari (usalama) ni mtu anayehusika na kulinda mfumo wa kiotomatiki kutoka kwa ufikiaji usioidhinishwa wa habari.

aina mbalimbali za vifaa na mifumo ya simu;

Njia na mifumo ya usambazaji wa data katika mfumo wa mawasiliano ya redio;

Usalama na mifumo ya kengele ya moto na vifaa;

Njia na mifumo ya onyo na kengele;

Vifaa vya kudhibiti na kupima;

Bidhaa na mifumo ya hali ya hewa;

Zana na mifumo ya mitandao ya utangazaji wa redio yenye waya na mapokezi ya programu za redio na televisheni (vipaza sauti vya mteja, mifumo ya utangazaji wa redio, televisheni na redio, nk);

Vifaa vya ofisi ya elektroniki;

Vifaa vya saa ya umeme na mifumo;

Njia zingine za kiufundi na mifumo.

1.8. Upatikanaji wa habari (ufikiaji) - kufahamiana na habari, usindikaji wake, haswa, kunakili, kurekebisha au uharibifu wa habari.

1.10. Ulinzi wa habari kutoka kwa ufikiaji usioidhinishwa (ulinzi kutoka kwa ufikiaji usioidhinishwa) au ushawishi - shughuli zinazolenga kuzuia mtu anayevutiwa kupata habari (au kuathiri habari) kwa kukiuka haki au sheria zilizowekwa.

1.11. Alama maalum ya kinga (SPZ) ni bidhaa iliyothibitishwa na iliyosajiliwa ipasavyo iliyoundwa kudhibiti ufikiaji usioidhinishwa wa vitu vilivyolindwa kwa kuamua uhalisi na uadilifu wa SPZ, kwa kulinganisha ishara yenyewe au muundo "SPZ - substrate" kulingana na vigezo vya kufuata sifa za tabia za kuona, ala na njia zingine.

1.14. Rasilimali za habari - hati za kibinafsi na safu za hati, hati na safu za hati katika mifumo ya habari (maktaba, kumbukumbu, fedha, benki za data, mifumo mingine ya habari).

1.15. Mitandao ya taarifa za umma (ambayo hapo baadaye inajulikana kama Mitandao) ina kompyuta (mitandao ya habari na mawasiliano) iliyo wazi kwa matumizi ya watu binafsi na vyombo vya kisheria, huduma ambazo haziwezi kukataliwa kwa watu hawa.

Mzunguko wa eneo lililolindwa la taasisi (biashara);

Miundo iliyofungwa ya jengo lililohifadhiwa au sehemu iliyohifadhiwa ya jengo, ikiwa iko katika eneo lisilohifadhiwa.

1.17. Habari ya siri ni habari iliyoandikwa, ufikiaji ambao ni mdogo kwa mujibu wa sheria ya Shirikisho la Urusi.

1.21. Njia za kimsingi za kiufundi na mifumo (OTSS) - njia za kiufundi na mifumo, pamoja na mawasiliano yao, inayotumika kwa usindikaji, kuhifadhi na kusambaza habari za siri. Katika muktadha wa hati hii, hizi ni pamoja na njia za kiufundi na mifumo ya mifumo otomatiki ya viwango na madhumuni mbalimbali kulingana na teknolojia ya kompyuta, njia na mifumo ya mawasiliano na upitishaji data inayotumika kuchakata taarifa za siri.

1.22. Mtoa Huduma wa Mtandao ni shirika lililoidhinishwa ambalo hufanya kazi za mtoa huduma wa Mtandao kwa pointi ya mteja na moja kwa moja kwa wanachama wa Mtandao.

1.25. Njia ya kiufundi ya uvujaji wa habari ni mchanganyiko wa kitu cha akili ya kiufundi, mazingira ya kimwili na njia za akili za kiufundi ambazo data ya akili hupatikana.

1.26. Huduma za mtandao - seti ya utendaji inayotolewa kwa watumiaji wa mtandao wanaotumia itifaki za programu (itifaki za barua pepe, FTP - Itifaki ya Uhawilishaji Faili - mapokezi/uhamishaji wa faili, HTTP - Itifaki ya Uhamisho wa Maandishi ya Juu - ufikiaji wa seva za Wavuti, IRC - Gumzo la Relay ya Mtandao - mazungumzo kwa wakati halisi, Telnet - upatikanaji wa terminal kwenye mtandao, WAIS - Seva za Habari za Eneo Wide - mfumo wa kuhifadhi na kurejesha nyaraka kwenye mtandao, nk).

1.28. Seva ya wavuti ni seva ya habari inayopatikana hadharani kwenye Mtandao inayotumia teknolojia ya hypertext.

Taarifa zinazohusiana.