Please enable JavaScript.

Coggle requires JavaScript to display documents.

Стандарті України в галузі інформаційної та кібербезпеки Квітницький Р.О…

- - - - досягнення необхідного рівня захисту ІзОД за мінімальних затрат і допустимого рівня обмежень видів ІД;
      - досягнення необхідного рівня захисту ІзОД за допустимих затрат і заданого рівня обмежень видів ІД;
      - досягнення максимального рівня захисту ІзОД за необхідних затрат і мінімального рівня обмежень видів ІД.
    - - проведенні обстеження підприємства, установи, організації (далі - підприємство);
      - розробленні і реалізації організаційних, первинних технічних, основних технічних заходів з використанням засобів забезпечення ТЗІ (додаток А);
      - прийманні робіт з ТЗІ;
      - атестації засобів (систем) забезпечення ІД на відповідність вимогам нормативних документів з ТЗІ.
  - - - провести аналіз умов функціювання підприємства, його розташування на місцевості (ситуаційного плану) для визначення можливих джерел загроз;
      - дослідити засоби забезпечення ІД, які мають вихід за межі контрольованої території;
      - вивчити схеми засобів і систем життєзабезпечення підприємства (електроживлення, уземлення, автоматизації, пожежної та охоронної сигналізацій), а також інженерних комунікацій та металоконструкцій;
      - дослідити інформаційні потоки, технологічні процеси передачі, одержання, використання, розповсюдження і зберігання (далі - оброблення) інформації і провести необхідні вимірювання;
      - визначити наявність та технічний стан засобів забезпечення ТЗІ;
      - перевірити наявність на підприємстві нормативних документів, які забезпечують функціювання системи захисту інформації, організацію проектування будівельних робіт з урахуванням вимог ТЗІ, а також нормативної та експлуатаційної документації, яка забезпечує ІД;
      - виявити наявність транзитних, незадіяних (повітряних, настінних, зовнішніх та закладених у каналізацію) кабелів, кіл і проводів;
      - визначити технічні засоби і системи, застосування яких не обгрунтовано службовою чи виробничою необхідністю і які підлягають демонтуванню;
      - визначити технічні засоби, що потребують переобладнання (перемонтування) та встановлення засобів ТЗІ.
    - - генеральний та ситуаційний плани
        підприємства, схеми розташування засобів і
        систем забезпечення ІД, а також інженерних
        комунікацій,
        які виходять за межі контрольованої території;
      - оцінку шкоди,
        яка передбачається від реалізації загроз.
  - - - вимоги до системи захисту інформації;
      - вимоги до складу проектної та експлуатаційної документації;
      - етапи виконання робіт;
      - порядок внесення змін і доповнень до розділів ТЗ;
      - вимоги до порядку проведення випробування системи захисту.
    - - перелік розпорядчих, організаційно-методичних, нормативних документів з ТЗІ, а також вказівки щодо їхнього застосування;
      - інструкції про порядок реалізації організаційних, первинних технічних та основних технічних заходів захисту;
      - інструкції, що встановлюють обов`язки, права та відповідальність персоналу;
      - календарний план ТЗІ.
  - - - визначити окремі задачі захисту ІзОД;
      - обгрунтувати структуру і технологію функціювання системи захисту інформації;
      - розробити і впровадити правила реалізації заходів ТЗІ;
      - визначити і встановити права та обов`язки підрозділів та осіб, що беруть участь в обробленні ІзОД;
      - придбати засоби забезпечення ТЗІ та нормативні документи і забезпечити ними підприємство;
      - установити порядок упровадження захищених засобів оброблення інформації, програмних і технічних засобів захисту інформації, а також засобів контролю ТЗІ;
      - установити порядок контролю функціювання системи захисту інформації та її якісних характеристик;
      - визначити зони безпеки інформації;
      - установити порядок проведення атестації системи захисту інформаціїі, її елементів і розробити програми атестаційного випробування;
      - забезпечити керування системою захисту інформації.
    - - вивчати й аналізувати технологію проходження ІзОД у процесі ІД;
      - оцінювати схильність ІзОД до впливу загроз у конкретний момент часу;
      - оцінювати очікувану ефективність застосування засобів забезпечення ТЗІ;
      - визначати (за необхідності) додаткову потребу в засобах забезпечення ТЗІ;
      - здійснювати збирання, оброблення та реєстрацію даних, які відносяться до ТЗІ;
      - розробляти і реалізовувати пропозиції щодо коригування плану ТЗІ в цілому або окремих його елементів.
  - - - блокування каналів витоку інформації;
      - блокування несанкційованого доступу до інформації чи її носіїв;
      - перевірку справності та працездатності технічних засобів забезпечення ІД.
    - - демонтуванням технічних засобів, ліній зв'язку, сигналізації та керування, енергетичних мереж, використання яких не пов'язано з життєзабезпеченням підприємства та обробленням ІзОД;
      - видаленням окремих елементів технічних засобів, які є середовищем поширення полів та сигналів, з приміщень, де циркулює ІзОД;
      - тимчасовим відключенням технічних засобів, які не беруть участі в обробленні ІзОД, від ліній зв'язку, сигналізації, керування та енергетичних мереж;
      - застосуванням способів та схемних рішень із захисту інформації, що не порушують основних технічних характеристик засобів забезпечення ІД.
    - - створенням умов роботи в межах установленого регламенту;
      - унеможливленням використання програмних, програмно-апаратних засобів, що не пройшли перевірки (випробування).
  - - - установити засоби виявлення та індикації загроз і перевірити їхню працездатність;
      - установити захищені засоби оброблення інформації, засоби ТЗІ та перевірити їхню працездатність;
      - застосувати програмні засоби захисту в засобах обчислювальної техніки, автоматизованих системах, здійснити їхнє функційне тестування і тестування на відповідність вимогам захищеності;
      - застосувати спеціальні інженерно-технічні споруди, засоби (системи).
    - - ідентифікації та автентифікації користувачів, персоналу і ресурсів системи оброблення інформації;
      - розмежування доступу користувачів до інформації, засобів обчислювальної техніки і технічних засобів автоматизованих систем;
      - цілісності інформації та конфігурації автоматизованих систем;
      - реєстрації та обліку дій користувачів;
      - маскування оброблюваної інформації;
      - реагування (сигналізації, відключення, зупинення робіт, відмови у запиті) на спроби несанкційованих дій.
  - - - установити відповідність об`єкта, що атестується, вимогам ТЗІ;
      - оцінити якість та надійність заходів захисту інформації;
      - оцінити повноту та достатність технічної документації для об`єкта атестації;
      - визначити необхідність внесення змін і доповнень до організаційно-розпорядчих документів тощо.
- - - - 1 етап - визначення й аналіз загроз;
      - 2 етап - розроблення системи захисту інформації;
      - 3 етап - реалізація плану захисту інформації;
      - 4 етап - контроль функціювання та керування системою захисту інформації.
  - - - Джерелами загроз може бути діяльність іноземних розвідок, а також навмисні або ненавмисні дії юридичних і фізичних осіб.
      - Загрози можуть здійснюватися:
        
        технічними каналами, що включають канали побічних електромагнітних випромінювань і наводок, акустичні, оптичні, радіо-, радіотехнічні, хімічні та інші канали;
        
        каналами спеціального впливу шляхом формування полів і сигналів з метою руйнування системи захисту або порушення цілісності інформації;
        
        несанкційованим доступом шляхом підключення до апаратури та ліній зв’язку, маскування під зареєстрованого користувача, подолання заходів захисту для використання інформації або нав’язування хибної інформації, застосування закладних пристроїв чи програм та вкорінення комп’ютерних вірусів.
      - Опис загроз і схематичне подання шляхів їх здійснення складають окрему модель загроз.
    - - На другому етапі слід здійснити розроблення плану ТЗІ, що містить організаційні, первинні технічні та основні технічні заходи захисту ІзОД, визначити зони безпеки інформації.
      - Для технічного захисту інформації слід застосовувати спосіб приховування або спосіб технічної дезінформації.
      - Заходи захисту інформації повинні:
        
        бути відповідними загрозам;
        
        бути розробленими з урахуванням можливої шкоди від їх реа-лізації і вартості захисних заходів та обмежень, що вносяться ними;
        
        забезпечувати задану ефективність захисту інформації на встановленому рівні протягом часу обмеження доступу до неї або можливості здійснення загроз.
      - Рівень захисту інформації означується системою кількісних та якісних показників, які забезпечують розв’язання завдання захисту інформації на основі норм та вимог ТЗІ.
      - Мінімально необхідний рівень захисту інформації забезпечують обмежувальними і фрагментарними заходами протидії найнебезпечнішій загрозі.
    - - Засоби ТЗІ можуть функціювати автономно або спільно з технічними засобами забезпечення інформаційної діяльності у вигляді самостійних пристроїв або вбудованих у них складових елементів.
      - Склад засобів забезпечення ТЗІ, перелік їх постачальників, а також послуг з установлення, монтажу, налагодження та обслуговування визначаються особами, що володіють, користуються і розпоряджаються ІзОД самостійно або за рекомендаціями спеціалістів з ТЗІ згідно з нормативними документами системи ТЗІ.
      - Надання послуг з ТЗІ, атестацію та сервісне обслуговування засобів забезпечення ТЗІ можуть здійснювати юридичні і фізичні особи, що мають ліцензію на право проведення цих робіт, видану уповноваженим Кабінетом Міністрів України органом.
    - - Керування системою захисту інформації полягає у адаптації заходів ТЗІ до поточного завдання захисту інформації.
      - У разі потреби підвищення рівня захисту інформації необхідно виконати роботи, передбачені 1, 2 та 3 етапами побудови системи захисту інформації.
      - Порядок проведення перевірок і контролю ефективності захисту інформації встановлюється нормативними документами.
    - - Нормативні документи розробляються в ході проведення комплексу робіт із стандартизації та нормування у галузі ТЗІ.
      - Нормативні документи повинні забезпечувати:
        
        проведення єдиної технічної політики;
        
        створення і розвиток єдиної термінологічної системи;
        
        функціювання систем сертифікації, ліцензування й атестації згідно з вимогами безпеки інформації;
        
        розвиток сфери послуг у галузі ТЗІ;
        
        організацію проектування будівельних робіт у частині забезпечення ТЗІ;
    - - нормативні документи із стандартизації у галузі ТЗІ;
      - державні стандарти та прирівняні до них нормативні документи;
      - нормативні акти міжвідомчого значення, що реєструються у Міністерстві юстиції України;
      - нормативні документи міжвідомчого значення технічного характеру, що реєструються уповноваженим Кабінетом Міністрів органом;
      - нормативні документи відомчого значення органів державної влади та органів місцевого самоврядування.
- - - - інформація з обмеженим доступом Інформація, право доступу до якої обмежено встановленими правовими нормами і (чи) правилами
        
        таємна інформація Інформація з обмеженим доступом, яка містить відомості, що становлять державну або іншу передбачену законом таємницю
        
        конфіденційна інформація Інформація з обмеженим доступом, якою володіють, користуються чи розпоряджаються окремі фізичні чи юридичні особи або держава і порядок доступу до якої встановлюється ними
  - - - самочинний (технічний) канал витоку інформації; ненавмисний канал витоку інформації Технічний канал витоку інформації, в якому носії інформації та (чи) середовище їх поширення формуються самочинно
      - штучний (технічний) канал витоку інформації; навмисний канал витоку інформації