 |
Перечень стандартов Республики Беларусь, касающихся информационной безопасности
|
|
|
|
ГОСТ 28147-89. Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования. М.: Госстандарт СССР.
ГОСТ 31078-2002. Защита информации. Испытания программных средств на наличие компьютерных вирусов. Типовое руководство.
СТБ ИСО/МЭК 9126-2003. Информационные технологии. Оценка программной продукции. Характеристики качества и руководства по их применению.
СТБ ИСО/МЭК ТО 9294-2003. Информационные технологии. Руководство по управлению документированием программного обеспечения.
СТБ ИСО/МЭК 12119:1994. Информационные технологии. Пакеты программ. Требования к качеству и тестирование
СТБ ИСО/МЭК ТО 12182-2003. Информационные технологии. Классификация программных средств.
СТБ ИСО/МЭК 12207-2003. Информационные технологии. Процессы жизненного цикла программных средств.
СТБ ИСО/МЭК 14764-2003. Информационные технологии. Сопровождение программных средств.
СТБ ГОСТ Р 51241-2003. Средства контроля и управления доступом. Классификация. Общие технические требования. Методы испытаний.
СТБ 1176.1. Функция хеширования.
СТБ 1176.2. Процедуры выработки и проверки электронной цифровой подписи.
СТБ 1221-2000. Документы электронные. Правила выполнения, обращения и хранения.
СТБ 34.101.1 - 2001. Информационная технология. Методы и средства безопасности. Критерии оценки безопасности информационных технологий. Ч. 1. Введение и общая модель.
СТБ 34.101.2 - 2001. Информационная технология. Методы и средства безопасности. Критерии оценки безопасности информационных технологий. Ч. 2. Функциональные требования безопасности.
СТБ 34.101.3 - 2001. Информационная технология. Методы и средства безопасности. Критерии оценки безопасности информационных технологий. Ч. 3. Гарантийные требования безопасности.
|
|
|
СТБ П 34.101.4-2002. Информационная технология. Профиль защиты электронной почты предприятия.
СТБ П 34.101.5-2003. Информационные технологии и безопасность. Общая методология испытаний продуктов и систем информационных технологий на соответствие уровням гарантий.
СТБ П 34.101.6-2003. Информационные технологии и безопасность. Задание по обеспечению безопасности. Разработка, обоснование, оценка.
СТБ П 34.101.7-2003. Информационные технологии и безопасность. Профиль защиты. Разработка, обоснование, оценка.
СТБ П 34.101.8-2003. Информационные технологии. Методы и средства безопасности. Программные средства защиты от воздействия вредоносных программ и антивирусные программные средства. Общие требования
РД РБ07040.1001-2002. Автоматизированная система межбанковских расчетов. Общие требования по обеспечению непрерывной работы и восстановления работоспособности участников в АС МБР.
РД РБ 07040.1101-2000. АС МБР. Архивы электронных документов. Общие требования.
РД РБ 07040.1601-2000. АС МБР. Форматы электронных сообщений. Ч. 1. Электронные сообщения системы расчетов по крупным и срочным платежам на валовой основе в режиме реального времени.
РД РБ 07040.1602-2002. Автоматизированная система межбанковских расчетов. Форматы электронных сообщений. Часть 2. Электронные сообщения клиринговой системы расчетов.
РД РБ 07040.1605-2000. АС МБР. Правила формирования электронных документов. Ч. 1. Электронные документы и сообщения системы расчетов по крупным и срочным платежам на валовой основе в режиме реального времени.
РД РБ 07040.1606-2000. АС МБР. Правила формирования электронных документов. Ч. 2. Электронные сообщения и документы клиринговой системы расчетов.
Перечень правовых актов Республики Беларусь, касающихся информационной безопасности
Уголовный кодекс.
Гражданский кодекс.
Уголовно-процессуальный кодекс.
|
|
|
Банковский кодекс.
Закон Республики Беларусь «О государственных секретах».
Закон Республики Беларусь «Об информатизации».
Закон Республики Беларусь «Об информационной безопасности» (проект).
Закон Республики Беларусь «О защите информации» (проект).
Закон Республики Беларусь «Об электронном документе».
Закон Республики Беларусь «О национальном архивном фонде и архивах Республики Беларусь».
Закон Республики Беларусь «Об органах государственной безопасности».
Закон Республики Беларусь «О милиции».
Положение о Государственном центре безопасности информации при Президенте Республики Беларусь.
Временное положение о порядке выдачи субъектам хозяйствования специальных разрешений (лицензий) на разработку, производство, реализацию, монтаж, наладку, сервисное обслуживание технических и программных средств защиты информации и контроля ее защищенности, специальных материалов и оборудования для производства этих средств, программно-аппаратных средств защиты от несанкционированного доступа, в том числе с применением средств криптографии, проведение специальных исследований технических средств от утечки информации, работ по выявлению устройств съема информации и контроля ее защищенности.
Положение о коммерческой тайне. Утверждено постановлением Совета Министров Республики Беларусь от 6 ноября 1992 г. № 670.
Глоссарий
Абонент. Лицо (группа лиц или организация), имеющее право на пользование услугами соответствующей системы.
Авторизация. Предоставление определенных полномочий аутентифицированному субъекту на выполнение некоторых действий в системе.
Администратор безопасности. Лицо, уполномоченное специальным образом в системе информационной безопасности управлять всей системой или определенными функциями в системе -сферами влияния. Администратор безопасности системы (подсистемы) отвечает за информационную безопасность системы (подсистемы) в целом и наделяет полномочиями определенных пользователей, устанавливая для них сферы влияния (сферы ответственности).
Администрирование. Процесс управления защитой информации на общесистемном уровне или на уровне сфер влияния, ограниченных предоставленными администраторам полномочиями. Сферы влияния могут пересекаться и включать одна другую. Администрирование на общесистемном уровне поглощает все сферы администрирования.
|
|
|
Архив. Система хранения информации в течение установленного срока.
Аттестация. Комплекс проверок программного (программно-аппаратного) продукта с целью удостоверения соответствия его установленным требованиям в реальных условиях эксплуатации.
Аудит безопасности. Аудит безопасности включает распознавание, запись, хранение и анализ информации, связанной с действиями, влияющими на безопасность. Получаемые в результате записи аудита могут быть проанализированы для определения значимости этих действий для безопасности. Этот класс образован из семейств, которые определяют, помимо всего прочего, требования к отбору событий, подлежащих аудиту, анализу записей аудита, их защите и хранению.
Аудит. Периодический контроль (просмотр) протокольной информации в системе с целью обеспечения ее безопасности или повышения производительности.
Аутентификация пользователя (абонента). Проверка соответствия пользователя предъявляемым им идентификатору и паролю. Установление подлинности пользователя.
Аутентификация сообщения. Добавление к блоку данных контрольного поля для обнаружения любых изменений в данных.
Безопасность информационной системы. Свойство информационной системы противостоять попыткам несанкционированного доступа к ресурсам.
Безопасность компьютерной системы. Свойство компьютерной системы противостоять попыткам несанкционированного доступа к обрабатываемой и хранимой информации, вводу информации, приводящей к деструктивным действиям и навязыванию ложной информации, выходу (выводу) из строя, разрушению ресурсов и системы в целом.
Блокировка данных. Защита файла или его части (блока, записи) путем запрещения доступа к ним всех пользователей за исключением одного.
Блокировка. Запрет на выполнение последующих действий.
Верификация. Доказательство правильности работы программы, комплекса, системы.
|
|
|
Вирус. Программа, способная самопроизвольно создавать свои копии и модифицирующая другие программы, записанные в файлах или системных областях, для последующего получения управления и воспроизводства новой копии. Часто содержит логические бомбы или создает различные аудио- и видеоэффекты.
Восстановление. Возврат к исходному (доаварийному) состоянию или к нормальному функционированию.
Готовность системы. Мера способности системы выполнять свои функции при нахождении в рабочем состоянии. Количественно готовность можно оценить с помощью коэффициента готовности.
Группа пользователей. Один или несколько пользователей, объединенные общими требованиями доступа к некоторым ресурсам и выступающие как один субъект доступа к ресурсам системы.
Данные. Информация, представленная в формализованном виде, пригодном для интерпретации, обработки и пересылки ее автоматическими средствами при возможном участии человека.
Дезинформация. Сознательное искажение передаваемых сведений с целью ложного представления улиц, использующих эти сведения; передача ложной информации.
Дешифрование. Процесс восстановления открытой информации из закрытой. Выполняется с помощью аналитических методов позволяющих определить использованный ключ или понизить стойкость алгоритма шифрования.
Диагностика. Контроль, проверка и прогнозирование состояния объекта. Цель технической диагностики - обнаружение неисправностей и выявление элементов, ненормальное функционирование которых является причиной возникновения неисправностей.
Достоверность. Свойство информации быть правильно воспринятой; вероятность отсутствия ошибок.
Доступ. Взаимодействие между субъектом и объектом, обеспечивающее передачу информации между ними.
Доступность. Свойство объекта (системы, ресурса) быть доступным для использования по назначению авторизованным субъектом во время, определенное регламентом работы.
Живучесть. Свойство системы оставаться работоспособной в условиях внешних воздействий.
Журнал. Набор данных (файл), используемый для сбора и учета статистической информации, различных сообщений и других данных.
Задание по безопасности (ЗБ). Задание по безопасности содержит цели и требования безопасности ИТ для конкретно определенного ОО и определяет функции безопасности и меры обеспечения уверенности в безопасности, предоставляемые этим ОО для выполнения установленных требований. В ЗБ может быть заявлено о соответствии одному или нескольким ПЗ, и оно составляет основу для оценки.
Защита от несанкционированного доступа (НСД). Предотвращение или существенное затруднение несанкционированного доступа к программам и данным путем использования аппаратных, программных и криптографических методов и средств защиты, а также проведения организационных мероприятий. Наиболее распространенным программным методом защиты является парольная система.
|
|
|
Защита. Средства для ограничения доступа или использования всех или части ресурсов системы; юридические, организационные и программно-технические меры предотвращения несанкционированного доступа к объектам системы (аппаратуре, программам и данным).
Идентификатор пользователя. Символическое имя, присваиваемое отдельному пользователю (лицу или группе лиц - субъекту).
Идентификация пользователя. Присвоение пользователю (субъекту доступа) идентификатора.
Идентификация группы. Присвоение группе пользователей, имеющих общие требования к защите некоторых ресурсов, идентификатора.
Идентификация. Присвоение субъектам и объектам доступа идентификаторов. Ключ. Код, на основе которого производится шифрование.
Ключевая система. Совокупность криптографических ключей и правил обращения с ними при обеспечении криптографической защиты информации.
Компрометация. Утеря конфиденциальной (критичной) информации либо получение ее неавторизованным для этого субъектом (лицом, программой, процессом и т.п.).
Контроль доступа. Предупреждение несанкционированного использования какого-либо ресурса, включая предупреждение использования ресурса несанкционированным способом.
Контрольная сумма. Уникальное число, поставленное в соответствие некоторой информации по определенному алгоритму, позволяющее судить о целостности этой информации.
Конфиденциальность. Свойство информации, состоящее в том, что она не может быть обнаружена и сделана доступной отдельным лицам, программам, процессам без разрешения.
Концепция. Определенный способ понимания, трактовки каких-либо явлений, основная точка зрения, руководящая идея для их освещения, ведущий замысел, конструктивный принцип различных видов деятельности
Криптографическая система. Совокупность технических и/или программных средств, организационных методов, обеспечивающих криптографическое преобразование информации и управление процессом распределения ключей.
Критичность. Критерий защиты информации, позволяющий классифицировать информацию и установить уровни защиты информации в системе.
Мониторинг. Отображение текущего состояния контролируемых объектов системы с целью своевременного выявления угроз безопасности.
Надежность. Характеристика способности функционального узла, устройства, системы выполнять при определенных условиях требуемые функции в течение определенного периода времени. Показателями надежности являются вероятность безотказной работы, среднее время наработки на отказ, среднее время восстановления.
Нормативный (нормативно-технический) документ. Документ, содержащий требования, правила, общие принципы или характеристики, касающиеся различных видов деятельности или их результатов, обязательный для исполнения в пределах области распространения.
Объект защиты. Ресурс системы, подлежащий защите.
Объект оценки (ОО). Та часть продукта или системы, которая является предметом оценки. Угрозы, цели и требования безопасности объекта оценки, а также краткая спецификация функций безопасности и мер по обеспечению уверенности в безопасности излагаются в задании по безопасности (ЗБ), которое используется оценщиками как основание при оценке.
Оператор. Тип пользователя, выполняющего свои функциональные обязанности путем непосредственного взаимодействия с ЭВМ.
Описание объекта оценки. Устанавливает контекст оценки. Поскольку рассматривается определенная категория объекта оценки, могут быть указаны совокупность предположений и условия применения объекта оценки этой категории.
Орган сертификации. Орган, уполномоченный установленным образом проводить сертификацию.
Отказ. Ситуация, в которой система или какая-то ее часть оказывается неспособной выполнять возлагаемые на нее функции.
Оценка задания по безопасности. Цель оценки задания по безопасности состоит в том, чтобы показать, что задание по безопасности является полным, непротиворечивым и технически грамотным, и поэтому оно пригодно в качестве основы для оценки объекта оценки.
Оценка профиля защиты. Цель оценки профиля защиты состоит в том, чтобы показать, что профиль защиты является полным, непротиворечивым и технически грамотным. В дальнейшем применение профиля защиты предусмотрено при изложении требований к оцениваемому объекту оценки.
Оценка. Основными исходными материалами для оценки являются задание по безопасности, совокупность свидетельств об объекте оценки и собственно объект оценки. Ожидаемым результатом процесса оценивания является содержащееся в одном или нескольких отчетах, документирующих заключения оценки, подтверждение того, что объект оценки удовлетворяет требованиям задания по безопасности.
Пароль ресурса. Идентификатор ресурса (строка символов), который является его секретом. Доступ к ресурсу получает тот пользователь, который знает П. ресурса.
Пароль. Секретный признак, подтверждающий право доступа; обычно это строка символов.
Парольная защита ресурса. Возможность системы предоставить доступ к ресурсам, защищенным паролями, только тем пользователям, которым известны пароли.
Парольная история. Возможность системы хранить предыдущие пароли и при изменении пароля сравнивать новый пароль с хранимыми, чтобы запретить частое использование одних и тех же паролей.
|
|
|
