АППАРАТНО ПРОГРАММНЫЕ СРЕДСТВА ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ.
• Сетевые экраны и фильтрующие маршрутизаторы;
• Сервера аутентификации;
• Шифрование данных на сетевом и канальном уровнях;
• Антивирусные пакеты;
• Оборудование по контролю доступа;
• Криптографическое оборудование;
• Виртуальные частные сети (VPN);
• Системы обнаружения (предотвращения) вторжения (IDS, IPS);
• Демилитаризованная зона (DMZ)
• Дополнительные механизмы безопасности.
ЗАКОН О ПЕРСОНАЛЬНЫХ ДАННЫХ.
152 ФЗ «О персональных данных»
Основные мероприятиями по организации и техническому обеспечению
безопасности персональных данных включают:
- вопросы организации обеспечения безопасности персональных данных, в том
числе классификацию информационной системы;
- мероприятия по техническому обеспечению безопасности персональных данных
при их обработке в информационной системе, включающие размещение, специальное
оборудование, охрану и организацию режима допуска в помещения, где ведется работа с
персональными данными;
- мероприятия по закрытию технических каналов утечки персональных данных при
их обработке в информационных системах;
- мероприятия по защите персональных данных от несанкционированного доступа
и определению порядка выбора средств защиты персональных данных при их обработке в информационных системах персональных данных.
КАТЕГОРИИ ПЕРСОНАЛЬНЫХ ДАННЫХ.
Категории обрабатываемых в ИС персональных данных
Категория 1 – персональные данные, касающиеся расовой, национальной
принадлежности, политических взглядов, религиозных и философских убеждений,
состояния здоровья, интимной жизни
Категория 2 – персональные данные, позволяющие идентифицировать субъекта
персональных данных и получить о нем дополнительную информацию, за исключением
ПД, относящихся к категории 1
Категория 3 – персональные данные, позволяющие идентифицировать субъекта
персональных данных
Категория 4 – обезличенные и (или) общедоступные персональные данные
КЛАССИФИКАЦИЯ ИСПДН.
Классы информационных систем
Класс 1 (К1) – ИС, для которых нарушение заданной характеристики безопасности ПД, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов ПД
Класс 2 (К2) – ИС, для которых нарушение заданной характеристики безопасности ПД, обрабатываемых в них, может привести к негативным последствиям для
субъектов ПД
Класс 3 (К3) – ИС, для которых нарушение заданной характеристики безопасности ПД, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов ПД
Класс 4 (К4) – СИ, для которых нарушение заданной характеристики безопасности ПД, обрабатываемых в них, не приводит к негативным последствиям для субъектов ПД
61. ФУНКЦИИ ФСТЭК ПО ВОПРОСАМ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ.
Федеральная служба по техническому и экспортному контролю (ФСТЭК России) - это
федеральный орган исполнительной власти, обладающий следующими полномочиями:
обеспечение безопасности информации в ключевых системах информационной и
телекоммуникационной инфраструктуры;
противодействие иностранным техническим разведкам;
обеспечение технической защиты информации некриптографическими методами;
осуществление экспортного контроля.
ФСТЭК России организует деятельность государственной системы противодействия
техническим разведкам и технической защиты информации и руководит ею.
СИММЕТРИЧНЫЙ И АСИММЕТРИЧНЫЕ КРИПТОСИСТЕМЫ.
Различают симметричные и асимметричные криптосистемы. В симметричных
системах знание ключа зашифрования k1 позволяет легко найти ключ расшифрованияkг (в большинстве случаев эти ключи просто совпадают). В асимметричных криптосистемах знание ключа k1 не позволяет определить ключ k2. Поэтому для симметричных криптосистем оба ключа должны сохраняться в секрете, а для асимметричных — толькоодин — ключ расшифрования k2, а ключ k1
можно сделать открытым (общедоступным). В связи с этим их называют еще шифрами с открытым ключом.
БЕЗКЛЮЧЕВЫЕ ХЭШ-ФУНКЦИИ.
КЛЮЧЕВЫЕ ХЭШ-ФУНКЦИИ
Для того чтобы злоумышленник не смог самостоятельно вычислить
контрольное значение свертки и тем самым осуществить успешную имитацию или
подмену данных, хеш-функция должна зависеть от секретного, не известного
злоумышленнику, параметра — ключа пользователя.Этот ключ должен быть известен передающей и проверяющей сторонам. Такие хеш-функции будем называть ключевыми.
ЦИФРОВАЯ ПОДПИСЬ.
информация в электронной форме, присоединенная к другой информации в электронной форме (электронный документ) или иным образом связанная с такой информацией. Используется для определения лица, подписавшего информацию (электронный документ).
По своему существу электронная подпись представляет собой реквизит электронного документа, позволяющий установить отсутствие искажения информации в электронном документе с момента формирования ЭП и проверить принадлежность подписи владельцу сертификата ключа ЭП. Значение реквизита получается в результате криптографического преобразования информации с использованием закрытого ключа ЭП.
АУТЕНТИФИКАЦИЯ ТИПА ЗАПРОС-ОТВЕТ.
Действительно защищенной от перехвата при прослушивании является схема "запрос-ответ" (англ, challengehandshake). Она основана на том, что клиент подтверждает серверу знание парольной информации, не раскрывая ее. Традиционная методика схемы "запрос-ответ" выглядит следующим образом:
· Сервер генерирует случайное или псевдослучайное число (challenge) (оно должно отвечать только одному требованию — уникальности, т. е. неповторяемости с течением времени) и высылает его клиенту.
· Клиент производит какое-либо однонаправленное криптопреобразование (блочное шифрование или хэширование) над парольной фразой и присланным запросом и высылает результат серверу.
· Сервер производит независимо от клиента такие же преобразования и сверяет получившийся у него результат с присланным ответом клиента.
Технология "запрос-ответ" надежно защищает абонентов от злоумышленников, имеющих возможность прослушивать канал.
КЛЮЧЕВОЕ СОГЛАШЕНИЕ.