1. Безопасность (согласно закону рф “о безопасности”) – это состояние защищенности жизненно важных интересов личности, общества и государства.

Жизненно важные интересы – это совокупность потребностей, удовлетворение которых надежно обеспечивает существование и возможности прогрессивного развития личности, общества и государства.

Национальная безопасность Российской Федерации в Концепции национальной безопасности РФ понимается как безопасность ее многонационального народа как носителя суверенитета и единственного источника власти в Российской Федерации.

Национальные интересы России - это совокупность сбалансированных интересов личности, общества и государства в экономической, внутриполитической, социальной, международной, информационной, военной, пограничной, экологической и других сферах. Состояние защищенности национальных интересов РФ в этих сферах и составляет сущность понятий военной, информационной и других видов безопасности.

Интересы личности состоят в реализации конституционных прав и свобод, обеспечении личной безопасности, повышении качества и уровня жизни, физическом, духовном и интеллектуальном развитии человека и гражданина.

Интересы общества состоят в упрочении демократии, создании правового, социального государства, достижении и поддержании общественного согласия, духовном обновлении России.

Интересы государства состоят в незыблемости конституционного строя, суверенитета и территориальной целостности России, в политической, экономической и социальной стабильности, безусловном обеспечении законности и поддержании правопорядка, развитии международного сотрудничества.

Безопасность информации (согласно Руководящему документу ФСТЭК) – это состояние защищенности информации, обрабатываемой средствами ВТ или АС, от внутренних и внешних угроз.

41 ВОПРОС Билет 23

(Защита от закладок при разработке программ, защита от внедрения аппаратных закладок…)

2. Для разработки программных средств, свободных от ошибок и закладок следует выполнять следующие условия: использование современных технологий программирования; наличие автоматизированной системы обработки; наличие автоматизированных контрольно-испытательных стендов; готовых программ на языках высокого уровня; наличие трансляторов для обнаружения закладок. Защита от внедрения аппаратных закладок на этапе разработки и производства. Аппаратные закладки могут внедряться не только на этапе реализации, но и в процессе серийного производства, транспортировки и хранения аппаратных средств. Для защиты от внедрения аппаратных закладок кроме следования общим принципам защиты, необходимо обеспечить всестороннюю проверку комплектующих изделий, поступающих к разработчику, производителю из вне. В процессе производства основное внимание уделяется автоматизации технических процессов и контролю за соблюдением технологической дисциплины. Этапы разработки, модернизации аппаратных средств завершается контролем на наличие конструктивных ошибок, производственного брака и закладок. Блоки, успешно прошедшие контроль, хранятся и транспортируются таким образом, чтобы исключалось возможное внедрение закладок. Защита от несанкционированного изменения структур АС в процессе эксплуатации. Неизменность структуры АС при эксплуатации обеспечивается за счет предотвращения несанкционированного доступа к аппаратным и программным средствам, а так же организация постоянного контроля над целостностью этих средств. НСД к аппаратным и программным средствам может быть исключен или существенно затруднен при выполнении следующего комплекса мероприятий: охрана помещений, в которых находятся аппаратные средства; СРД к оборудованию; противодействие несанкционированному подключению оборудования; защита внутреннего монтажа, средств управления и коммутации от НСВ; противодействие внедрению КВ. Под доступом к оборудованию понимается предоставление субъекту возможности выполнять разрешенные действия с использованием указанного оборудования. При ограничении доступа к оборудованию пользователей, операторов, администраторов выполняются следующие действия: идентификация и аутентификация субъекта доступа; разблокирование устройства; ведение журнала учета доступа. Для идентификации пользователей чаще всего используются атрибутивные идентификаторы: пароли; съемные носители информации; электронные жетоны; пластиковые карты; механические ключи. При организации парольной защиты необходимо выполнять следующие рекомендации: пароль должен запоминаться субъектом доступа; длина пароля должна исключать его раскрытие подбором; пароли должны периодически меняться. В АС фиксируется момент времени успешного получения доступа и время неудачного ввода пароля. Должно ограничиваться число ввода пароля (неудачного). Информация о попытке подбора пароля должна поставляться оператору безопасности. Пароли должны храниться в АС таким образом, чтобы они были недоступны посторонним лицам, что достигается использованием специального запоминающего устройства, либо криптографическим преобразованием пароля. Символы пароля не должны отображаться на экране. Пароль должен легко запоминаться и в то же время быть сложным для отгадывания. Желательно использование символов различных регистров, чередование букв, цифр, специальных символов, использование парадоксального сочетания слов. При использовании съемного носителя информации в качестве идентификатора, чаще всего, используют съемный диск. Используются электронные жетоны – генераторы случайных кодов (псевдослучайных буквенно-цифровых последовательностей, меняющихся примерно раз в минуту, синхронно со сменой такого же кода в АС). В результате вырабатывается одноразовый код, который годится для использования в определенный промежуток времени и только для однократного входа в систему. Атрибутивные идентификаторы (кроме паролей) могут использоваться только на момент доступа и регистрации или должны быть постоянно подключены к устройству считывания до окончания работы. В качестве идентификатора также используют механические ключи. Механический замок может быть совмещен с блоком подачи питания на устройство. Замком может закрываться крышка, под которой находятся основные органы управления. Доступ к устройствам АС блокируется дистанционно. При организации доступа обслуживающего персонала устройство должно освобождаться от конфиденциальной информации.

42 ВОПРОС Билет 22

(Противодействие несанкционированному подключению устройств)

2. Для противодействия используются следующие методы: проверка особенностей устройств; использование идентификаторов устройств; защита внутреннего монтажа, средств управления и коммутации от несанкционированного вмешательства.

Для защиты необходимо выполнять следующие условия: доступ к внутреннему монтажу, органам управления, коммутации, устройствам блокируется имеющими замок дверьми, крышками, экранами и т.п.; наличие контроля вскрытия аппаратуры.

Создание жизненных препятствий на пути злоумышленника должны внедряться на этапе проектирования. Эти конструкции не должны создавать суммарных неудобств при эксплуатации устройств.

Контроль вскрытия аппаратуры обеспечивается за счет использования несложных электрических схем, аналогичных системам охранной сигнализации, обычно с использованием датчиков контактного типа. При срабатывании датчика администратору посылается сигнал. Конкретное нарушение внешней целостности устройств определяется на месте. Этому способствует контроль целостности специальных защитных знаков на специальной защитной конструкции. Специальные защитные знаки реализуются в виде материалов, веществ, самоклеющихся лент, наклеек, самоклеющихся пломб.

Контроль целостности программной структуры и данных выполняются одними и теми же методами. Использование программы изменяется крайне редко на этапе их эксплуатации. Существует достаточно широкий класс программ, для которых все их исходные данные или их часть изменяются крайне редко. Поэтому контроль целостности таких файлов выполняется так же, как и контроль программ. Контроль целостности программных средств и данных осуществляется путем вычисления характеристик, сравнения их с исходными. Контрольные характеристики изменяются соответственно при каждом изменении файла. Характеристики вычисляются по определенным алгоритмам, наиболее простым из которых является контрольное суммирование. Контрольный файл в двоичном виде разбивается на слова, обычно состоящие из четного числа байт. Все двоичные слова поразрядно суммируются с накоплением по модулю два, образуя в результате контрольную сумму. Разрядность контрольной суммы равна разрядности двоичного слова. Алгоритм получения контрольной суммы может отличаться от приведенного, но не является сложным и может быть получен по контрольной сумме и соответствующему файлу.

Характеристики целостности могут так же получаться из циклических кодов. Использование контрольных сумм и циклических кодов имеет существенный недостаток, состоящий в том, что алгоритм получения контрольных характеристик хорошо известен, и поэтому злоумышленники могут произвести изменение таким образом, что контрольная характеристика не изменится. С этим можно бороться, если использовать переменную длину двоичной последовательности при подсчете контрольной характеристики, а характеристику хранить в зашифрованном виде или вне АС (например в ОЗУ типа TouchMemory). Существует метод, который практически позволяет исключить возможность несанкционированного изменения информации, основанный на изменении ХЭШ – функций. Под ХЭШ – функцией понимается процесс получения контрольной характеристики двоичной последовательности основанной на контрольном суммировании и криптографических преобразованиях.

42 ВОПРОС Билет 21

(Противодействие несанкционированному подключению устройств)

2. Для противодействия используются следующие методы: проверка особенностей устройств; использование идентификаторов устройств; защита внутреннего монтажа, средств управления и коммутации от несанкционированного вмешательства.

Для защиты необходимо выполнять следующие условия: доступ к внутреннему монтажу, органам управления, коммутации, устройствам блокируется имеющими замок дверьми, крышками, экранами и т.п.; наличие контроля вскрытия аппаратуры.

Создание жизненных препятствий на пути злоумышленника должны внедряться на этапе проектирования. Эти конструкции не должны создавать суммарных неудобств при эксплуатации устройств.

Контроль вскрытия аппаратуры обеспечивается за счет использования несложных электрических схем, аналогичных системам охранной сигнализации, обычно с использованием датчиков контактного типа. При срабатывании датчика администратору посылается сигнал. Конкретное нарушение внешней целостности устройств определяется на месте. Этому способствует контроль целостности специальных защитных знаков на специальной защитной конструкции. Специальные защитные знаки реализуются в виде материалов, веществ, самоклеющихся лент, наклеек, самоклеющихся пломб.

Контроль целостности программной структуры и данных выполняются одними и теми же методами. Использование программы изменяется крайне редко на этапе их эксплуатации. Существует достаточно широкий класс программ, для которых все их исходные данные или их часть изменяются крайне редко. Поэтому контроль целостности таких файлов выполняется так же, как и контроль программ. Контроль целостности программных средств и данных осуществляется путем вычисления характеристик, сравнения их с исходными. Контрольные характеристики изменяются соответственно при каждом изменении файла. Характеристики вычисляются по определенным алгоритмам, наиболее простым из которых является контрольное суммирование. Контрольный файл в двоичном виде разбивается на слова, обычно состоящие из четного числа байт. Все двоичные слова поразрядно суммируются с накоплением по модулю два, образуя в результате контрольную сумму. Разрядность контрольной суммы равна разрядности двоичного слова. Алгоритм получения контрольной суммы может отличаться от приведенного, но не является сложным и может быть получен по контрольной сумме и соответствующему файлу.

Характеристики целостности могут так же получаться из циклических кодов. Использование контрольных сумм и циклических кодов имеет существенный недостаток, состоящий в том, что алгоритм получения контрольных характеристик хорошо известен, и поэтому злоумышленники могут произвести изменение таким образом, что контрольная характеристика не изменится. С этим можно бороться, если использовать переменную длину двоичной последовательности при подсчете контрольной характеристики, а характеристику хранить в зашифрованном виде или вне АС (например в ОЗУ типа TouchMemory). Существует метод, который практически позволяет исключить возможность несанкционированного изменения информации, основанный на изменении ХЭШ – функций. Под ХЭШ – функцией понимается процесс получения контрольной характеристики двоичной последовательности основанной на контрольном суммировании и криптографических преобразованиях.

3 ВОПРОС Билет 24

(Понятие информационной безопасности применительно к информационным системам…)

1. Информационная безопасность Российской Федерации (в соответствии с Доктриной ИБ РФ) - состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.

В соответствии с ГОСТ Р ИСО/МЭК 13335-1 информационная безопасность - это все аспекты, связанные с определением, достижением и поддержанием конфиденциальности, целостности, доступности, неотказуемости, подотчетности, аутентичности и достоверности информации или средств ее обработки.

Информационная система (согласно ФЗ “Об информации, информационных технологиях и о защите информации» №149-ФЗ от 27.07.06) - это совокупность содержащейся в базах данных информации и обеспечивающих ее обработку технических средств.