Loclay : другие произведения.

2013-v01-Программа Государственного Междисциплинарного Экзамена по специальности 090103

Самиздат: [Регистрация] [Найти] [Рейтинги] [Обсуждения] [Новинки] [Обзоры] [Помощь|Техвопросы]
Ссылки:
Школа кожевенного мастерства: сумки, ремни своими руками
 Ваша оценка:
  • Аннотация:
    Ответы к вопросам

   1. Понятие и сущность ИБ современногообщества. Доктрина информационная безопасностьРФ.
   информационная безопасностьгосударства - состояние сохранности инф. ресурсов государства и защищённости законных прав личности и общества в информационной сфере. Доктрина информационная безопасностьРФ инфа дб полной, достоверной и своевременной, причем на всех этапах жизни инфы. Поэтому инфа дб защищена от негативных инф-ых воздействий. НБ РФ существенным образом зависит от обеспечения ИБ, и в ходе тех. прогресса эта зависимость будет возрастать. Доктрина представляет собой "совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационная безопасностьРФ". Доктрина предназначена служить основой для: •формирования гос. политики в области обеспечения информационная безопасностьРФ; •подготовки предложений по совершенствованию правового, методического, научно-тех. и организационного обеспечения информационная безопасностьРФ; •разработки целевых программ обеспечения информационная безопасностьРФ. В части безопасности инфы интересы личности в инф-ой сфере заключаются в "ЗИ, обеспечивающей личную безопасность", интересы общества - "в обеспечении интересов личности в этой сфере", интересы государства - "в создании условий для гармоничного развития российской инф-ой инфраструктуры". Составляющие нац интересов: 1) соблюдение конституционных прав и свобод человека и гражданина в области получения инфы и пользования ею; 2) инф обеспечение гос. политики РФ; 3) развитие современных ИТ, отеч индустрии инфы; 4) защита инф ресурсов от НСД, обеспечение безопасности инфителекоммуникац систем. Требования (пути) к обеспечению нац. интересов: •обеспечение конституционных прав и свобод человека и гражданина на личную и семейную тайну, тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений; •обеспечение запрета на сбор, хранение, использование и распространение инфы о частной жизни лица без его согласия; •повысить безопасность инф-ых систем. •поддерживать развитие отечественного произ-ва аппаратных и программных СрЗИ. •обеспечить защиту сведений, сост. ГТ; •расширять международное сотрудничество РФ в инф-ой сфере. Виды угроз ИБ: см. составляющиенац интересов. Мероприятия по реализации гос политики обеспечения ИБ: •создание безопасных ИТ для систем, используемых в процессе реализации жизненно важных функций общества и государства; •пресечение комп-ой преступности; •обеспечение технологической независимости страны в области создания и эксплуатации инф-телекоммуникационных систем оборонного назначения.
  
   2. Понятия "инфа", "сообщение", "сведения", "док-ная инфа", "инф. технологии", информационные системы". Способы и ср-ва док-ния инфы, возникающие угрозы.
   Инфа - сведения (сообщения, данные) независимо от формы их представления. Док-ная инфа - зафиксированная на мат. носителе с реквизитами, позволяющая ее идентифицировать. Док-ние инфы явл-я обязательным условием включения инфы в инф. ресурсы. Информационные ресурсы - отдельные док-ты и отдельные массивы док-в. Информ. системы (ИС) - совокупность содержащейся в базах данных инфы и обеспечивающих ее обработку инф-ых технологий и ТС. ИС, технологии и ср-ва их обеспечения выступают в качестве товара (продукции) при соблюдении исключ. прав их разработчиков. Собственник ИС, технологии и ср-тв их обеспечения определяет условия использования этой продукции. ИТ - процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения инфы и способы осущ-ия таких процессов и методов. Документирование - это процесс создания и оформления док-та. Запись инфы на мат. носителе осущ-ся с помощью спец. ср-тв док-ния, начиная от простейших (ручка, карандаш и тд) и заканчивая эл-ми ср-ми. Способы док-ия: текстовое док-ие, кино-, фото-, фонодок-ние, электронное док-ние. Письменный док-т - это текст. док-т, инфа которого зафиксирована любым типом письма. Изобразительный док-т - док-т, содержащий инфоу, выраженную поср-твом изображения ка-либо предмета. Графический док-т - изобразительный док-т, в кот. изображение объекта получено по ср-вам линии, штрихов, светотени. Кинодок-т - изобразительный или аудиовизуальный док, созданный киномотографическим способом. Фотодок-т - изобразительный док-т, созданный фотографическим способом. Фонодок-т - док-т, содержащий звуковую инфу, зафиксированную любой системой звукозаписи. Аудиовизуальный док-т - док-т, содержащий звуковую и изобразительную инфу. Электронный док-т - док-т, зафиксированный на эл-ом носителе (в виде набора символов, звукозаписи или изображения) Угрозы: Хищение, Потеря, Несанкц. уничтожение, Искажение, Блокирование, Разглашение. Но результатом проявления этих угроз могут быть либо утрата, либо утечка или одновременно и то и другое.
  
   3. Инфа как предмет защиты. Понятие и сущность информационная безопасностьобъекта.
   Защите подлежит любая док-ционная инфа, неправомерное обращение с кот. может нанести ущерб ее собственнику, владельцу, пользователю. Режим ЗИ устанавливается: *в отношении сведений, отнесенных к ГТ - уполномоченными органами на основании Закона РФ N 5485-1 "О ГТ"; *в отношении КИ - собственником инф. ресурсов или уполномоченным лицом. *в отношении ПД - фед. законом. Инфа в зависимости от порядка ее распространения подразделяется на: *И, свободно распространяемую; *И, предоставляемую по соглашению лиц, участвующих в соот-их отношениях; *И, кот. в соотв-ии. с фед. законами подлежит предоставлению или распространению; *И, распространение кот. в РФ ограничивается или запрещается. Требования к инфе. (полнота, достоверность, своевременность): "информационная безопасность- состояние инф-ой среды, обеспечивающее удовлетворение инф-ых потребностей субъектов инф-ых отношений, обеспечивающее БИ и защиту субъектов от негативного инф-го воздействия". Принципы ИБ: законность, открытость в реализации ф-ций органов власти, правовое равенство всех участников инф. взаимодействия, приоритетное развитие отеч. инф. и телекоммуникац. технологий, тех и прогр ср-в. Методы ИБ: правовые, орг-технич, экономич. К правовым методам относится разработка норм-ых прав-ых актов, регламентирующих отношения в инф-ой сфере, и нормативных мет-их док-ов. Орг-техническими методами явл-я: создание и соверш-ие системы обеспечения информационная безопасностьРФ; усиление правоприменительной дея-ти фед. органов исп. власти, органов исп. власти субъектов РФ; разработка, использование и соверш-ие СрЗИ и методов контроля эфф-ти этих ср-тв, развитие защищенных телекоммуникационных систем, повышение надежности спец ПО; создание систем и ср-тв предотвращения НСД к обрабатываемой инфе и спец. воздействий, вызывающих разрушение, уничтожение, искажение инфы, а также изменение штатных режимов функц-ия систем и ср-тв информатизации и связи; выявление тех. устройств и программ, сертификация СрЗИ, лицензирование деят-ти в области защиты ГТ, стандартизация способов и СрЗИ; формирование системы мониторинга показателей и хар-ик ИБ. Эконом. методы обеспечения информационная безопасностьРФ вкл. в себя: разработку программ обеспечения информационная безопасностьРФ и определение порядка их финансирования; совершенствование системы финансирования работ, связанных с реализацией правовых и орг-тех. методов ЗИ, создание системы страхования инф-ых рисков физ. и юр. лиц.
  
   4. Принципы, критерии и условия отнесения инфы к защ-ой.
   Защищаемая инфа - это вся КИ и определяемая собственником часть открытой инфы, утечка или утрата кот. может нанести ущерб собственнику И или лицу, к кот. она имеет отношение. При этом утечка и утрата имеют отношение только к КИ, а к открытой И имеет отношение только утрата. Конф-ть И - обязательное для выполнения лицом, получившим доступ к определенной И, требование не передавать такую И третьим лицам без согласия ее обладателя. Состав защищаемой И определяет собственник исходя из критериев и условий отнесения И к защищаемой. К критериям относится: 1) Для открытой инфы: Необходимость инфы для правового обеспечения, для производственной, фин., управленческой деят-ти, функ-ия соц-ой сферы. 2) Для КИ: Неизвестность И 3-им лицам и получение за счет этого преимуществ. Условия: Если инфа не содержит сведений, кот. по гос. нормативным актам запрещено относить к конф; Если ЗИ возможна по тех. условиям; Если затраты на ЗИ не превышают величину ущерба, кот. может произойти при ее незащищенности. Принципы (организационный (О) и правовой (П)): законность (П); обоснованность (О); своевременность (О); соблюдение баланса интересов государства, общества и граждан (П); приоритет международного права над внутренним. Он касается той инфы, по кот. наша страна явл-я участником международных соглашений (П); подчиненность ведомственных интересов общегос. при их несовпадении. принципы.
  
   5. Клас-ия конф-ой инфы по видам тайн. Признаки клас-ии.
   Понятие "тайна" можно интерпретировать как инфу, доступ к кот. ограничен. Виды тайн: ПД; тайна следствия и судопроиз-ва; служебная тайна; проф. тайна; КТ; свед-я о сущности изобретения, полезной модели или пром. образца до официальной публикации инфы о них. ГТ - защищаемые гос-вом свед-я в области военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деят-ти, распространение кот. может нанести ущерб безопасности РФ. Основания ГТ: соот-ие инфы переченю сведений, сост. ГТ, содержащийся в ст. 5 закона N 5485-1 "о ГТ". СТ - служебные свед-я, доступ к кот. ограничен органами гос. власти в соотв. с ст. 139ГК РФ и фед. законами. К СТ огр. распространения относится несекретная инфа, касающаяся деят-ти орг-ии, ограничения на распространение кот. диктуется служ. необходимостью (материалы закрытого суд-го заседания; данные предварительного расследования; охраноспособная инфа, ставшая известной в силу исполнения служе. обязанностей). КТ (ст. 139ГК РФ) - режим конф-ти инфы, позволяющий ее обладателю при сущ-их или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерч. выгоду. Состав инфы, относимой к КТ, устанавливается ее собственником. Решающую роль при этом играют: потенциальный ущерб; потенциально упущенная выгода; соразмерность затрат на защиту инфы. ПТ - свед-я, связанные с проф-ой деят-тью, доступ к кот. ограничен в соотв. с Конституцией РФ и фед. законами (врачебная, т усыновления, т связи, нотариальная, адвокатская, т страхования, т исповеди)). ПД - любая инфа, относящаяся к опред. или определяемому на основании такой инфы физ. лицу. Классификационные признаки инфы: 1)Место возникновения. Входная, выходная, внутр. и внешняя инф-ии. 2)Стабильность. Переменная инфа отражает факт-ие кол-е и качественные хар-ки произ-хоз. деят-и фирмы; Постоянная (условно-постоянная) инфа. 3)Стадия обработки. Первичная инфа; Вторичная инфа - обработка первичной инфы, мб промежуточной и результатной; Промежуточная инфа испол-ся в кач-е исходных данных для последующих расчетов; Результатная инфа - обработка первичной и промежуточной инфы и испол-ся для выработки управленческих решений. 4)Способ отображения. 5)Ф-ция упр-ия. Плановая, Нормативно-справочная, Учетная, Оперативная (текущая) инф-ии.
  
   6. Понятие и структура угроз инфы.
   Угроза защищаемой инфы - совокупность явлений, факторов и условий, создающих опасность нарушения статуса инфы. Любая угроза состоит из опред. взаимосвязанных компонентов, каждый из кот. сам по себе не создает угрозу, но явл-я неотъемлемой её частью. Угроза возникает лишь при совокупном их взаимодействии. Угроза связана с уязвимостью инфы. Реализация угроз приводит к одной или нескольким формам проявления уязвимости. Формам уязвимости присущи опред. угрозы с набором соот-их компонентов. Структура угроз предопределяет форму проявления уязвимости. К явлениям относятся: Источники ДВ на инфу; Виды ДВ; Способы ДВ. К факторам, помимо причин и обстоятельств, относятся: наличие каналов и методов НСД к инфе; наличие огр. доступа со стороны не имеющих к этой инфе разрешенного доступа. По аспекту ИБ, на кот. направлены угрозы, выделяют: •Угрозы конф-ти (неправомерный доступ к КИ) •Угрозы целостности (любое преднамеренное преобразование данных, содержащихся в ИС) •Угрозы доступности. (полноя или временная невозможность получения доступа к ресурсам ИС). По степени преднамеренности действий угрозы делят на: • Случайные (стихийные бедствия и аварии, ошибки при разработке ИС, сбои и отказы систем, ошибки юзеров и обслуживающего персонала, выход из строя ТС), •Преднамеренные (человек: получить мат-ую выгоду; нанести вред руководству или коллеге; стремление продвинуться по службе; физ. воздействие со стороны злоумышленника,) вывод из строя ТС). По расположению источника угроз: •Внутренние (находяться внутри системы) •Внешние (Находятся вне системы). По степени зависимости от активности ИС: •Угрозы, реализация кот. не зависит от активности ИС. •Угрозы, осуществление кот. возможно только при автоматизированной обработке данных. По размерам наносимого ущерба: • Общие (наносят ущерб объекту безопасности в целом, причиняя значительное отриц. влияние на условия его деят-ти. •Локальные (воздействуют на условия сущ-ия отдельных частей объекта безопасности). •Частные (причиняют вред отдельным св-ам эл-ов объекта или отдельным направлениям его деят-ти. По степени воздействия на ИС: •Пассивные (структура и содержание системы не изменяются. •Активные (структура и содержание системы подвергается изменениям)
  
   7. Источники, виды и способы ДВ на инфу.
   Источники ДВ на инфу. Люди; ТС отображения, хранения, обработки, воспроизведения, передачи инфы, ср-ва связи; Системы обеспечения функ-ия ТС (это системы электро-, водо-, теплоснабжения, кондиционирования); Технологические процессы (процессы объектов ядерной энергетики, хим. пром-ти, радиоэлектроники, а также объектов по изготовлению некот. видов вооружения и военной техники, кот. изменяют естественную структуру окр. объект среды); Природные и атмосферные явления (стихийные бедствия). В зависимости от источника и вида воздействия оно может быть непосред-но либо опосредованным. Виды воздействия. Люди - *непосред-ное воздействие на носитель защищаемой инфы; *несанкц. распространение инфы; *вывод из строя ТС; *нарушение режима работы перечисленных ср-тв и технологии обработки инфы; *вывод из строя и нарушение режима работы систем обеспечения функ-ия названных ср-тв. ТС - *выход из строя; *сбои в работе; *создание ЭМ-излучений. Системы обеспечения функ-ия ТС - *выход из строя; *сбои в работе. Технологические процессы - изменение структуры окр. среды. Природные явления - стихийные бедствия. Способы ДВ на инфу. Люди - *физ. воздействие; *вывод из строя и нарушение режима работы ТС; *размагничивание носителя; *создание помех в радиоэфире, разрыв линий связи; *нарушение технологии обработки И; *вывод из строя и нарушение режима работы систем обеспечения функ-ия; *заражение ПО; *передача копий носителей КИ; *опубликование КИ. Приводят к уничтожению, искажению, блокированию. ТС - *тех. поломка, аварии; *возгорания, затопления; *разрушения или повреждения носителя инфы; *возникновение тех. неисправностей ТС; *нарушение режима функ-ия ср-тв. Системы обеспечения функ-ия ТС -- *поломки, аварии; *возгорания, затопления; *выход из строя источников питании. Технологические процессов - изменения естественного рад. фона, хим. состава и локальной структуры маг. поля окр. среды. Природные явления - стихийные бедствия.
  
   8. Причины, обстоятельства и условия ДВ на инфу.
   В основе любого ДВ на инфу лежат опред. причины, побудительные мотивы, кот. обуславливают появление того или иного вида и способа воздействия. Вместе с тем, и причины имеют под собой основания, обстоятельства (предпосылки), кот. вызывают их, способствуют их появлению. Однако, наличие источников, видов, способов, причин и обстоятельств ДВ представляют потенциально существующую опасность, кот. может развиться при наличии опред. условий для этого. Тк виды и способы ДВ зависят от источников воздействия, то и причины, обстоятельства и условия дб привязаны к источникам воздействия. Источник: ЛЮДИ: Преднамеренные ДВ - Причины: получить мат-ую выгоду; нанести вред руководству или коллеге; стремление продвинуться по службе; физ. воздействие со стороны злоумышленника и тд). Обстоятельства: тяжелое мат-ое положение, финансовые затруднения; жадность; карьеризм. Непреднамеренные ДВ - Причины: неквалифицированное выполнение операций; халатность; небрежность; физ. недомогание. Обстоятельства: низкий уровень подготовки; отсутствие стимулов; перегруженность; плохое отношение со стороны администрации. Условия: Недостаточность мер по ЗИ; недостаточный контроль; принятие решений без учета требований по ЗИ. ТС: Причины: недостаток или низкое качество ср-тв; низкое качество режима функ-ия; перезагруженность ср-тв; низкое качество технологии работ; ДВ на ср-ва со стороны др. источников воздействия. Обстоятельства: недофинансирование; плохой выбор ср-тв; износ; ошибки при монтаже и эксплуатации. Условия: недостаточное внимание к составу и качеству ср-тв со стороны администрации; нерегулярный профилактический осмотр ср-тв; низкое качество обслуживания ср-тв. Технологические процессы - изменение структуры окр. среды. Причины: явл-я специфика технологи. Обстоятельством - необходимость такой технологии. Условием - отсутствие возможности противодействия изменению структуры окр. среды. Природные явления - стихийные бедствия. В основе ДВ со стороны природных явлений лежат причины и обстоятельства, неподконтрольные людям, и неподдающиеся нейтрализации или устранению.
  
   9. Соотношение видов ДВ на инфу с формами проявления уязвимости инфы.
   Со стороны людей:
   1) Непоср-твенное возд-ие на носитель ЗИ (физ. уничтожение носит., удаление инфы с носит., размагничивание носит, внесение фальцив-ой инфы на носит.) - уничтожение, искажение, блокирование.
   2) Несанкц. распр-е КИ (словесная передача, передача копиий носит., показ носит., ввод инфы в вычислит сети, публикация инфы в откр. печати, испол-ие инфы в публич. выступлениях) - разглашение.
   3) Вывод из строя ТС при работе с инфой и ср-тв связи (неправ. монтаж ТС, поломка/разрушение ТС и кабелей, созд-е авар. ситуаций для ТС, отключение ТС, вывод из строя систем обесп-я функц-я ТС, вмонтирование в ЭВМ разрушающих радио и программных закладок.) - уничтожение, искажение, блокирование.
   4) Нарушение режима работы ТС и технологий обр. инфы (повреждение эл-от ТС, нарушение правил экспл-ии ТС, внесение в порядок обр. инфы, заражение ПО вирусами, создание помех в радиоэфире, передача ложных сигналов, подкл-ие подавляющих фильтров на инф. цепи, цепи питания и зазем. нарушение или изменение режима работы сист. обесп. функц-я ТС.) - уничтожение, искажение, блокирование, хищение.
   5) Вывод из строя и нарушение режима работы систем обесп-ия функц-я ТС (неправ. монтаж С; поломка, разрушение С или их элементов; созд. авар. ситуаций для С; отк. питания, наруш. правил эксп-ии С.) - уничтожение, искажение, блокирование.
   Со стороны ТС и ср-тв связи:
   6) Выход из строя и сбои в работе ТС (тех.поломка, авария (без вмеш. люд.); возгорание затопление (без вмеш. люд.); выход из строя питания, возд. природ. явл., возникновение тех.неисправноестей эл-ов ТС; заражение ПО, возд. окр-го маг. поля; нарушение режима работсы систем обесп. функц-я ТС) - уничтожение, искажение, блокирование, хищение.
   7) Создание ЭМ-излучений (запись этих излуч.) - хищение.
   Со стороны систем обесп. функц-я ТС
   8) Выход из строя систем (тех. поломка, авария (без вмеш. люд.); возгорание затопление (без вмеш. люд.); выход из строя питания, возд. природ. явл., возникновение тех. неисправноестей эл-ов ТС) - уничтожение, искажение, блокирование
   Со стороны технолог. процессов отдельных пром-ых объектов
   9) Изменение струтуры окр. среды (изменение ест. рад. фона окр. ср. при функц-ии объекторв яд.эн; изменение ест. хим. состава орк. ср. при функц. объектов хим. пром-ти; изменение локал. структуры маг. поля из-за деят-и объектов радиоэл-ники и изготов-ю некот. видов воор и воентехники) - хищение.
   Со стороны природы:
   10) Природные явл-ия (разрушение/поломка, затопление сожжение носит. инфы, ТС, кабелей, систем обесп. функц. ТС; нарушение работы ТС и их систем обесп. функц.; нарушение режима работы ТС и их систем об.ф.; нарушение технологии обр. инфы) -потеря, уничтожение, искажение, блокирование, хищение.
  
   10. Понятие и угрозы обеспечения целостности, доступности и конф-ти инфы.
   Под целостностью инфы понимается её физ. сохранность, защищённость от разрушения и искажения, а также её актуальность и непротиворечивость. Угрозы целостности: Физ. уничтожение или порча носит. инфы; Уничтожение определенной инфы; Изменение инфы, вследствие кот. инфа перестает отражать реальное положение дел либо становится противоречивой. Доступность инфы подразумевает, что субъект инф-ых отношений (пользователь) имеет возможность за приемлемое время получить требуемую информ. услугу. Угрозы доступности: Прекращение функц-ия системы электронной обработки данных вследствие разрушения обеспечивающей инфраструктуры; Прекращение функц-ия системы вследствие поломки оборудования (компов, ком. оборудования и тд); Неправильное функц-ие системы в результате ошибок в ПО либо несоответствия между реальной работой и док-цией на систему; Ошибки персонала системы; Целенаправленные атаки с целью вызвать отказ в обслуживании (DDoS - атаки). Конф. инфа - это инфа, на доступ к кот. имеет право ограниченный круг лиц. Если же доступ к КИ получает лицо, не имеющее такого права, то это НСД и рассматривается как нарушение защиты конф-ти инфы. Угрозы конф-ти: Потеря ТС идентификации (ключей, чипов); Прочтение инфы с экрана либо в процессе набора на клаве посторонним чел-ом; Небрежность юзеров, записывающих пароли и оставляющих эти записи в доступных местах; Небрежное хранение копий и черновиков конф. док-ов, а также использованных при их печати копировальной и обычной бумаги; Оставление без присмотра рабочих мест, с кот. осуществлен доступ к КИ; Исп-ие легко подбираемых паролей; Исп-ие спец. ТС и ПО ср-тв для взлома СЗИ.
  
   11. Каналы и методы НСД к конф-ой инфе.
   НСД - преднамеренный или случайный доступ к инфе, не разрешенный в установленном порядке. Канал НСД - путь, используя кот., можно получить неразрешенный преднамеренный или случайный доступ к инфе. Угроза инфы - совокупность явлений, факторов и условий, создающих опасность нарушения статуса инфы. 2 принципиальных различия между понятиями "НСД" и "утечка КИ": *утечка КИ происходит от носителя (источника) к лицам, не имеющим доступа к инфе; НСД осущ-ся от лиц, не имеющих доступа к защищаемой инфе, к носителям; *утечка ограничивается тремя формами проявления уязвимости: разглашением, потерей носителя, хищением носителя или инфы; НСД может привести к хищению, уничтожению, искажению, блокированию, разглашению. Каналы: 1)Установление контакта с лицами, имеющими или имевшими доступ к КИ (выведывание инфы; получение от лица КИ с прежнего места работы; разовая покупка КИ; принуждение к выдаче КИ; склонение к выдаче КИ). 2)Вербовка и/или внедрение агентов, кот. осущ-ют: ознакомление с док-ми, находящимися на рабочих местах др. сотрудников, осмотр продукции, наблюдение за технолог. процессом; считывание инфы в массивах др. юзеров, подслушивание разговоров, прослушивание выступлений; кража носителей инфы. 3)Орг-ия физ. проникновения к носителям КИ использование подложного пропуска; маскировка под другое лицо; проход под видом внешнего обслуживающего персонала; проезд спрятанным в автотранспорте; отвлечение внимания охраны для прохода незамеченным; преодоление заграждающих барьеров, минуя охрану, 4)Проникновение к носителям КИ путем взлома дверей хранилищ и сейфов, через окна, 5)Орг-ия физ. проникновения к ср-вам отображения, хранения, обработки, воспроизведения, передачи инфы и системам обеспечения функ-ия этих ср-тв: с ПК с использ. телеф. набора или с несанкц. терминала со взломом или без взлома парольной защиты с помощью ЗУ с помощью прямого подсоединения к кабельным линиям связи за счет ПЭМИН и ВЧ навязывания. 6)Подключение к системам обеспечения функ-ия ср-тв отображения, хранения, обработки, воспроизведения и передачи инфы, ср-тв связи: замеры потребления элэнергии, воды или подключение к сетям питания, заземления. 7)Прослушивание речевой конф инфы.: Напрямую ушами или с использованием радиозакладок, направленных микрофонов, лазерных систем. 8)Визуальный съем КИ: чтение док-в; осмотр продукции, наблюдение за технолог. процессом изготовления продукции; наблюдение за технолог. процессами изготовления, обработки, размножения инфы; считывание инфы в массивах др. юзеров.
  
   12. Соотношение между каналами НСД и КУ инфы.
   НСД - преднамеренный или случайный доступ к инфе, не разрешенный в установленном порядке. Канал НСД - путь, используя кот., можно получить неразрешенный преднамеренный или случайный доступ к инфе. Угроза инфы - совокупность явлений, факторов и условий, создающих опасность нарушения статуса инфы. 2 принципиальных различия между понятиями "НСД" и "утечка конф инфы": *утечка КИ происходит от носителя (источника) к лицам, не имеющим доступа к инфы; НСД осущ-ся от лиц, не имеющих доступа к защищаемой инфы, к носителям; *утечка ограничивается тремя формами проявления уязвимости: разглашением, потерей носителя, хищением носителя или инфы; НСД может привести к хищению, уничтожению, искажению, блокированию, разглашению. Установление контакта с лицами, имеющими или имевшими доступ к КИ (выведывание инфы; получение от лица КИ с прежнего места работы; разовая покупка КИ; принуждение к выдаче КИ; склонение к выдаче. - Инсайдеры (чел. фактор). Вербовка и (или) внедрение агентов: Ознакомление с док-ми, находящимися на рабочих местах др. сотруднико, осмотр продукции, наблюдение за технологическим процессом; считывание инфы в массивах др. пользователей, подслушивание разговоров, прослушивание выступлений; кража носителей инфы. - Инсайдеры (чел. фактор), прямое копирование, дистанц. фотографирование, прослушивание. Организация физ проникновения к носителям КИ: испол-ие подложного пропуска; маскировка под другое лицо; проход под видом внешнего обслуживающего персонала; проезд спрятанным в авт; отвлечение внимания охраны для прохода незамеченным; преодоление загр.х барьеров, минуя охрану - прямое копирование, дистанц. фотографирование, кража. Подк. к ср-ам отображение, хран., обр., воспр. и передачи инфы: с ПК с использ. телеф. набора или с несанкц. терминала со взломом или без взлома парольной защиты. с помощью закладных уст-тв. с помощью прямого подсоединения к кабельным линиям связи за счет ПЭМИН и ВЧ навязывания, в тч с использованием параллельных тел. апп-в - прямое копирование, кража, перехват ЭМ-излучений, радиоизлучение или элсигналы от ЗУ. Прослушивание речевой КИ - акустические - запись звука, подслушивание и прослушивание; акустоэлектрические - получение инфы через звуковые волны с дальнейшей передачей ее через сети элпитания; виброакуст. - сигналы, возникающие поср-вом преобразования инф-го акуст. сигнала при воздействии его на строительные конструкции и инженерно-тех. коммуникации защищаемых помещений; радиоизлучения или эл. сигналы от внедренных в ТС и защищаемые помещения спец. эл. уст-тв съема речевой инфы ЗУ, модулированные информативным сигналом. Визуальный съем КИ, Анализ архит. особенностей некот. категорий объектов. Оптический канал: визуального наблюдения, фото-видеосъемки, использования видимого и ИК-диапазонов для передачи инфы от скрыто установленных микрофонов и других датчиков. Перехват ЭМ-излучений: электромагнитные копирование полей путем снятия индуктивных наводок (выделение нужных сигналов; съем инфы; обр. и анализ данных).
  
   13. Методы и формы НСД к инфе, применяемые при использовании различных каналов доступа.
   1)Установление контакта с лицами, имеющими или имевшими доступ к КИ. *выведывание инфы; *получение от лица КИ с прежнего места работы; *разовая покупка КИ; *принуждение к выдаче КИ; *склонение к выдаче КИ. 2)Вербовка и/или внедрение агентов, кот. осущ-ют: ознакомление с док-ми, находящимися на рабочих местах др. сотрудников, осмотр продукции, наблюдение за технологическим процессом; считывание инфы в массивах др. юзеров, подслушивание разговоров, прослушивание выступлений; кража носителей инфы. 3)Орг-ия физ. проникновения к носителям КИ использование подложного пропуска; маскировка под другое лицо; проход под видом внешнего обслуживающего персонала; проезд спрятанным в автотранспорте; отвлечение внимания охраны для прохода незамеченным; преодоление заграждающих барьеров, минуя охрану, 4)Проникновение к носителям конф инфы путем взлома дверей хранилищ и сейфов, через окна. 5)Орг-ия физ. проникновения к ср-вам отображения, хранения, обработки, воспроизведения, передачи инфы и системам обеспечения функ-ия этих ср-тв: с ПК с использ. телеф. набора или с несанкц. терминала со взломом или без взлома парольной защиты с помощью ЗУ, с помощью прямого подсоединения к кабельным линиям связи за счет ПЭМИН и ВЧ навязывания. 6)Подключение к системам обеспечения функ-ия ср-тв отображения, хранения, обработки, воспроизведения и передачи инфы, ср-тв связи - замеры потребления элэнергии, воды или подключение к сетям питания, заземления. 7)Прослушивание речевой конф инфы.: напрямую ушами или с использованием радиозакладок, направленных микрофонов, лазерных систем. 8)Визуальный съем КИ может осущ-ся след. методами: чтением док-в; осмотром продукции, наблюдением за технолог. процессом изготовления продукции; наблюдением за технолог. процессами изготовления, обработки, размножения инфы; считыванием инфы в массивах др. пользователей.
  
   14. Понятие и сущность ЗИ. Соотношение понятий "утечка" и "разглашение" инфы.
   По содержательной части ЗИ рассматривается как: предупреждение НСД к И; ограничение распространение И; ограждение права владение и распоряжение И; предотвращение утечки, хищения, утраты, уничтожения, копирования, модификации, искажения, блокирования, разглашения И; сохранение полноты, надежности, целостности, достоверности, конф-ти И и тд. Статус - положение, состояние. Нарушение статуса любой И заключается: в нарушении её физ сохранности вообще или у данного собственника; в нарушении структурной целостности И; в нарушении доступности для правомочных юзеров (дополнительно вкл. в себя нарушение ее конф-ти). Уязвимость - некая слабость, кот. можно использовать для нарушения системы или содержащейся в ней инфы. Формы уязвимости: Хищение, Потеря; Несанкц. уничтожение; Искажение; Блокирование; Разглашение. Утечка И - неправомерный выход инфы за пределы защищаемой зоны ее функц-ия или установленного круга лиц вследствие разглашения инфы, потери носителя, хищения носителя (формы уяхвимости), результатом кот. явл-я получение инфы лицами, не имеющим к ней санкц. доступа. Разглашение И - несанкц. доведение КИ до потребителей, не имеющих права доступа к ней. Утрата инф-ции - полная или частичная, временная или безвозвратная потеря носителя, хищение или несанк. уничтожение носителя либо содержащейся на нем инфы, искажение и блокирование (формы уязвимости). Наиболее опасными формами проявления уязвимости КИ явл-я потеря, хищение и разглашение - первые две одновременно могут привести и к утрате, и к утечке инфы, вторая (хищение инфы при сохранности носителя) и третья могут не обнаружиться со всеми вытекающими из этого последствиями. Подводя итог: поскольку нарушение статуса инфы выражается в различных формах проявления уязвимости инфы, а все формы сводятся к двум видам уязвимости, содержательную часть понятия ЗИ можно определить как предотвращение утраты и утечки КИ и утраты защищаемой открытой инфы.
  
   15. Клас-ия носителей инфы и особенности защиты зафиксированной на них инфы.
   Носители инфы: человек, на бумажной основе, на мат. основе, магнитооптические и оптические диски, микросхемы, выпускаемая продукция, технолог. процессы изготовления продукции. Носители где инфа отображена опосредованно: Объекты содержащие следы защищаемой инфы (отходы пр-ва (мусор), воздух с изменённым рад. фоном, вода и почва содер-ие осадки пр-ва); Формы, размеры и особенности строения продукции. Орг-ая защита носителей инфы. На предприятии нужно установить порядок учета, хранения и уничтожения носителей в научных, производственных и функц-ых подразделениях, а также разработать и ввести в действие разрешительную систему допуска исполнителей к док-ам и сведениям, содержащие КИ. Учет осущ-ся по карточкам или журналам установленной формы, в том числе автоматизировано с использованием СВТ. Доступ к инфе исполнителей (юзеров, обслуживающего персонала) осущ-ся в соот-ии с разрешительной системой допуска исполнителей к док-ам и сведениям конф. хар-ра, действующей в учреждении (на предприятии). В общем случае ЗИ ТС и обесп-ся в след. вариантах: 1)Источник и носитель инфы локализованы в пределах границ объекта защиты и обеспечена механ. преграда от контакта с ними злоумышленника или дистанц. воздействия на них полей его ТС добывания; 2)Соотношение энергии носителя и помех на выходе приемника канале утечки такое, что зло-ку не удается снять инфу с носителя с необходимым для ее использования качеством. 3)Зло-ик не может обнаружить источник или носитель инфы. 4)Вместо истинной инфы зло-ик получает ложную, кот. он принимает как истинную. Эти варианты реализуют след. методы защиты: 1)Воспрепятствование непосред-му проникновению зло-ка к источнику инфы с помощью инж. конструкций, ТС охраны. 2)скрытие достоверной инфы. 3) "подсовывание" зло-ку ложной инфы.
  
   16. Объекты ЗИ, их клас-ия и особенности.
   Носители КИ как объекты защиты должны защ-ся, в зависимости от их видов, от НСД, от утраты и утечки содержащейся в них инфы. Но чтобы обеспечить защиту, необходимо защищать и объекты, которые явл-я подступами к носителям, и их защита выступает в роли опред. рубежей защиты носителей. Объекты защиты (рубежи): территория предприятия, здание предприятия, помещения, где расположены хранилища носителей, производится обработка носителей и осущ-ся управленческо-производственная деят-ть с использованием носителей; непоср-твенные хранилища носителей (защищаются от НСД). Кроме того, объектами защиты должны быть: 1)Ср-ва отображения, обработки, воспроизведения и передачи КИ (ЭВМ, кот. должны защ-ся от несанкц. подкл., побочных ЭМ-излучений, заражения вирусом, электронных закладок, визуального наблюдения, вывода из строя, нарушения режима работы; копировально-множительная техника, защищаемая от визуального набалюд. и побочных ЭМ-излуч. во время обработки инфы; ср-ва видео- и звукозаписывающей и воспроизводящей техники, кот. требуют защиты от прослушивания, визуального наблюдения и побочных ЭМ-излучений). 2)Ср-ва транспортировки носителей КИ, подлежащие защите от проникновения посторонних лиц к носителям или их уничтожения во время транспорт. 3)Ср-ва радио- и кабельной связи, радиовещания и телевидения, используемые для передачи КИ, которые защищаются от прослушивания, вывода из строя, нарушения режима работы. 4)Системы обеспечения функц-ия предприятия (электро-, водоснабжение, кондиционирование и др.), которые должны защищаться от использования их для вывода их строя ср-тв обработки и передачи инфы, прослушивания конф. разговоров, визуального наблюдения за носителями. 5)ТС ЗИ и контроля за ними, требующие защиты от НСД с целью выведения их из строя.
  
   17. Виды и способы ДВ на объекты защиты.
   Источники ДВ на инфу. Люди; Тех. ср-ва отображения, хранения, обработки, воспроизведения, передачи инфы, ср-ва связи; Системы обеспечения функ-ия ТС (системы электро-, водо-, теплоснабжения, кондиционирования); Технолог. процессы (процессы объектов яд. энергетики, хим. пром-ти, радиоэлектроники, а также объектов по изготовлению некот. видов вооружения и военной техники, кот. изменяют естественную структуру окр. объект среды); Природные явления (тихийные бедствия и атмосферные явления). Виды воздействия. Люди - *непосред-ное воздействие на носитель защищаемой инфы; *несанкц. распространение инфы; *вывод из строя ТС; *нарушение режима работы ср-тв и технологии обработки инфы; *вывод из строя и нарушение режима работы систем обеспечения функ-ия названных ср-тв.). ТС - *выход из строя; *сбои в работе; *создание ЭМ-излучений. Системы обеспечения функ-ия ТС - *выход из строя; *сбои в работе. Технологические процессы - изменение структуры окр. среды. Природные явления - стихийные бедствия. Способы ДВ Люди - *физ. воздействие; *вывод из строя и нарушение режима работы ТС; *размагничивание носителя; *создание помех в радиоэфире, разрыв линий связи; *нарушение технологии обработки И; *вывод из строя и нарушение режима работы систем обеспечения функ-ия; *заражение ПО; *передача копий носителей КИ; *опубликование КИ. Приводят к уничтожению, искажению, блокированию. ТС - тех. поломка, аварии; *возгорания, затопления; *разрушения или повреждения носителя инфы; *нарушение режима функ-ия ТС. Системы обеспечения функ-ия ТС - *поломки, аварии; *возгорания, затопления; *выход из строя источников питании. Технолог. процессы - изменения естественного рад. фона, хим. состава и локальной структуры маг. поля окр. среды. Природные явления - проявления стихийных бедствий.
  
   18. Принципы, цели и теоретические основы ЗИ.
   Под принципами ЗИ понимаются основные идеи и важнейшие рекомендации по вопросам орг-ии и осущ-ию работ для эфф-ой защиты КИ. Правовые принципы ЗИ: законность, приоритет международного права над внутригос-ым, собственность и экономическая целесообразность. Роль организационной ЗИ в системе мер безопасности опред-ся своевременностью и правильностью принимаемых рук-ом упр-их решений, при учете имеющихся в распоряжении ср-тв, способов и методов ЗИ, также на основе действующих норм.-метод. док-ов. Организационные методы ЗИ предполагают проведение орг-тех. и орг-правовых мероприятий, а так же вкл. в себя след. принципы ЗИ: научный подход к орг-ии ЗИ; системный и комплексный подход к орг-ии ЗИ; ограничение числа допускаемых лиц к ЗИ; личная ответ-ть персонала за сохранность доверенной инфы; единство мнений в решении производ., комм. и фин. вопросов; непрерывность процесса ЗИ. Принципы ЗИ от ТС разведки: активная ЗИ - целенаправленное навязывание разведке ложных представлений об объекте и его устремлениях, соот-но замыслу защиты; убедительная ЗИ - принцип, состоящий в оправданности замысла и мер защиты условиям и обстановке. Соот-ет характеру защ-го объекта, а также св-ам окр. среды, позволяющих применение ТС защиты в подходящих климат., сезонных и др. условиях; непрерывность процесса ЗИ - предполагает орг-ию защиты объектов на всех стадиях жиз. цикла разработки и эксплуатации; разнообразие СрЗИ - исключение шаблонов на этапе выбора объектов прикрытия и разнообразных путей реализации защиты, не исключая применение типовых решений. Цель ЗИ - желаемый результат ЗИ. Цели определяют ради чего защищается инфа, задачи определяют вопросы, кот. нужно решить для обеспечения ЗИ. ЗИ как и любой вид деят-ти должен иметь двухуровневые цели: непосред-ная и опосредованная. Непосред. цель - обеспечение БИ (тк БИ одно из сост. ИБ). Опосредованной или общей целью ЗИ явл-я обеспечение информационная безопасностьгосударства, общ-ва и личности. (БИ => часть информационная безопасность=> часть НБ) Общую цель ЗИ следует разбить на множество целей применительно к субъектам (гос-во, общество, личность) и их интересам. Теорию ЗИ совокупность идей и общих принципов, необходимых для раскрытия сущности, значения ЗИ и выработки методологии защиты. Основные положения: *Исходное положение теории ЗИ - презумпция открытости инфы, т.е. И дб общедоступной и для ограничения доступа нужны веские основания. *Объективная необходимость и общественная потребность в ЗИ. *ЗИ должна удовлетворять общественные потребности. *ЗИ должна соот-ать внеш. и внутр. политике государства. *ЗИ зависит и от воен-политич обстановки в мире. *ЗИ должна отражать политику государства в области НБ и базироваться на ней и охватывать все сферы жизнедеят-ти. *ЗИ дб увязана с проблемами информатизации общ-ва. *Ограничение доступа к И не должно нарушать конституционные права и свободы граждан. *Ограничение доступа к И должно обеспечивать баланс интересов государства, общ-ва и личности. *Необходимо правовое закон-ое регулирование основных вопросов ЗИ и взаимный контроль государства и общ-ва за соблюдением нормат.актов. *ЗИ должна иметь необходимую научно-метод. базу. *ЗИ дб вмонтирована в области деят-ти и содействовать повышению эфф-ти.
  
   19. Клас-ия видов, методов и СрЗИ.
   Правовая ЗИ - вид защиты, включающий совокупность установленных и охраняемых гос-вом правил, регламентирующих ЗИ. Орг-ная ЗИ - вкл. совокупность орг.-распорядительных док-в, орг. методов и мероприятий, регламентирующих и обеспечивающих организацию, технологию и контроль ЗИ. Криптографической ЗИ - закрытие инфы методами шифрования, кодирования. Программно-аппаратная ЗИ - спец. программы, функц-ие автономно, либо реализованы в программных ср-вах обработки инфы или ТС. Т.о., программно-аппаратная защита предназначена для защиты инф-ых технологий, ТС обработки инфы. Инженерно-техническая ЗИ - комплекс ИТ методов, ТС и мероприятий по их установке и эксплуатации. Сферой ИТЗИ явл-я защита от физ. и тех. НСД. Методы ЗИ - способы защиты, кот. самостоятельно или в совокупности со ср-вами защиты обеспечивают один или несколько видов защиты. Локальные - методы имеющие отношение к одному опред. виду защиты. Универсальные - методы используемые не в одном, а в нескольких видах защиты; Регламентация - дб установлены правила регулирующие ЗИ; Скрытие - сделать незаметным для противника существ. объекта; Маскировка - скрыть истинное назначение объекта; Дезинфа - введение в заблуждение; Дробление - каждый знает свою часть; Препятствие - создание различ препятствий. СрЗИ - совокупность техн., криптографических, программных и др. ср-в, предназначенных для ЗИ, ср-ва, в кот. они реализованы, а также ср-ва контроля эфф-ти защиты. Бывают: Тех. (аппаратные) ср-ва; Программные ср-ва; Смешанные аппаратно-программные; Организационные ср-ва (организационно-тех. и организационно-правовых). Области применения методов: Орг.-общие: разработка и внедрение технологии защиты; подбор, проверка и обучение персонала; распределение и регламентация обязанностей по ЗИ; установление персон. ответственности; поощрения за обеспечение ЗИ; осущ-е контроля. Специфические методы организационной защиты относятся к конкретным объектам защиты: конф док-ми; защищаемой продукции; допущенному к защищаемой инфе персонала. Криптографические - относящимися к ЗИ в целом и вкл. в себя шифрование, кодирование. Шифрование явл-я самым распространённым методом в инф. сетях. Инженерно-тех Общие методы обеспечивают ЗИ: от НСД и физ. проникновения к ней; от визуального наблюдения; от подслушивания; от перехвата ЭМ-излучений.
  
   20. Направления, виды и особенности деят-ти развед. служб по НСД к инфе.
   В настоящий момент практически все государства имеют систему органов разведывательных органов двух видов: самостоятельные (подчиняются непосред-нно главе государства); в ставе министерств и ведомств. По структуре можно разделить на 3 категории: разведслужбы в составе подразделений безопасности предприятий; самостоятельные развед. подразделения в составе предприятий; специализированные развед. службы, являющиеся самостоятельными предприятиями. Три формы разведки: Нелегальная (агентурная развед., шпионаж) - добывание развед., защищаемой инфы с помощью агентов, т.е. лиц, действующих по поручению разведки. Легальная (приобретение открытой литературы; выведывание инфы у граждан; визуальное наблюдение при поездках). Научно-техническая - разведка с помощью ТС. Направления и виды разведывательной деят-ти, их соотношение и взаимосвязь: *добывание развед. инфы, исследование и анализ инфы, создание условий для работы разведки, непосред-ные действия, или ведение подрывных акций; *военно-полит., эконом., пром. шпионажи. Практически во всех каналах НСД, так или иначе, используются ТС разведки: подключение к ср-ам отображения, хранения, обработке инфы; подключение к системам обеспечения функц-я; подслушивание; визуальный съем при помощи фото и видео ср-тв; перехват ЭМ-излучений осущ-ся с помощью ТС, также как и расшифровка; замеры проб воздуха и воды.
  
   21. Организационные основы и методологические принципы ЗИ.
   Орг. основы: Наличие спец. подразделений ЗИ; Норм.-методической базы по ЗИ; Наличие помещений для хранения носителей и для работы с ними; Обеспечение охраны; Наличие мат. базы для ЗИ; Мероприятий по орг-ии ЗИ и эфф-ти. Значение принципов ЗИ - основные исходные положения, подходы и требования по ЗИ. Они универсальны, т.е. применимы к ЗИ, составляющей любой вид тайны. Принципы, обусловленные принадлежностью, ценностью, конф-тью, технологией ЗИ. Суть принципов сводится к следующему: ЗИ должен обеспечивать собственник или владелец; В ЗИ должны участвовать все сотрудники соприкасающихся с защищаемой инфой; персон. ответственность сотрудника к допущенной инфе; ЗИ в соотв. с нормативно-правовой базой; ЗИ дб привязана к конкретным специфике предприятия; Должны учитываться все потенциально угрозы, вероятность их реализации стремления и возможности соперников; Уровень ЗИ должен соот-ть важности инфы; ЗИ дб экономически целесообразна; ЗИ дб своевременной; ЗИ дб непрерывной; ЗИ дб системной и комплексной; ЗИ дб дифференцирована, в зависимости от характера, объема, вида тайны и тд ; ЗИ не должна препятствовать комм. использованию инфы; ЗИ содействовать повышению эфф-ти деят-ти. Научно-методологическими основы ЗИ - совокупность принципов, подходов и методов (научно-тех. направлений), необходимых и достаточных для анализа (изучения, исследования) проблемы ЗИ, построения оптимальных механизмов защиты и управления механизмами защиты в процессе их функц-ия. Основными компонентами научно-мет. основ явл-я принципы, подходы и методы. Принципы - основное исходное положение какой-л теории, учения, науки, мировоззрения; подхы - совокупность приемов, способов изучения и разработки какой-л проблемы; методы - способ достижения какой-л цели, решения конкретной задачи (при реализации принципа разграничения доступа в качестве подхода можно выбрать моделирование, а в качестве метода реализации - построение матрицы доступа). Состав научно-методологических основ: •орг-ия и построение - основные положения теории систем; •управление - общие законы кибернетики (как науки об управлении в системах любой природы); •методы моделирования больших систем и процессов их функционирования. Система, это совокупность или множество связанных между собой элементов, объединенных единством цели или назначения и функциональной целостностью. Под эл-ми здесь понимаются: люди, подразделения, компоненты изделия или изделие в целом, являющееся в свою очередь составной частью более крупного изделия и т.п. Системный анализ - совокупность методов и средств, позволяющих исследовать свойства, структуру и функции объектов, явлений или процессов в целом, представив их в качестве систем со всеми сложными межэл-ми взаимосвязями, взаимовлиянием эл-ов на систему и на окр. среду, а также влиянием самой системы на ее структурные эл-ты. Такими эл-ми явля люди (руководство и сотрудники орги), инженерные конструкции и ТС, обеспечивающие ЗИ. Кибернетика занимается изучением процессов упр-ия системами любой природы. Законы кибернетики: Любое упр-ие - это информ процесс, это целенаправленный процесс, это с-ма, в к-рой есть субъект упр-ия, объект упр-ия, прямая и обратная связь между ними. В киберн. системе дается описание эконом., соц., правовых, полит., фин. и др. условий, в к-рых функционирует КСЗ и к-рые образуют для нее внешнюю среду. Моделирование - это процесс познания объекта исследования на их моделях и построения моделей объекта.модель - образ реального объекта или процесса, который имеет сходство с оригиналом и служит средством описания и/или объяснения и/или прогнозирования поведения оригинала. Модель- это тоже система, включающая множество параметров и хар-ик.
  
   22. Гос. система ЗИ. Основные функции МВК по ЗГТ.
   Система защиты ГТ - это органы, защищающие ГТ, применяемые ими методы и ср-ва защиты сведений, а также мероприятия, проводимые в этих целях. 1.Федеральная служба технического и экспортного контроля (ФСТЭК России) и ее территориальные органы (региональные управления в субъектах РФ); 2.Фед-ые органы исп. власти, другие, руководящие работники кот. входят в состав коллегии ФСТЭК по должности (Минюст, Минобороны, МЧС, МВД, МИД, Минпромэнерго, Минэкономразвития, Минприроды, ФСО, ФСБ, СВР); 3.Структурные подразделения по PФ фед. органов исп. власти, др. органов гос. власти. 4.Предприятия, проводящие работы с использованием сведений, отнесенных к инфе. огр. доступа, и их подразделения по ЗИ; 5.Научно-исследовательские орги по проблемам ЗИ; 6.Орги-разработчики СрЗИ, защищенных ТС и ср-тв контроля эфф-ти ЗИ; 7.Предприятия, оказывающие услуги в области ЗИ; 8.Орги фед-го агентства по тех, регулированию и метрологии, выполняющие работы по стандартизации в области ЗИ; 9.Органы системы лицензирования деят-ти в области ЗИ; 10.Органы системы сертификации СрЗИ; 11.Органы системы аттестации объектов защиты по требованиям БИ. Межведомственная комиссия (МВК) явл-я коллегиальным органом, созданным для координации деят-ти фед. органов гос. власти и органов гос. власти субъектов РФ по защите ГТ в интересах разработки и выполнения гос., нормат. и метод. док-ов, обеспечивающих реализацию фед. закон-ва о ГТ. МВК формирует перечень должностных лиц органов гос. власти, наделяемых полномочиями по отнесению тех или иных сведений к ГТ, а также перечень сведений, отнесенных к ГТ. МВК подготавливает предложения по правовому регулированию защиты ГТ. Она определяет порядок рассекречивания носителей сведений, сост. ГТ; рассматривает вопросы о возможности передачи сведений, сост. ГТ, другим государствам и международным оргам; координирует работы по тех. регулированию в отношении продукции (работ, услуг), сведения кот. сост. ГТ, а также работы по орг-ии сертификации СрЗИ; координирует проведение работ по лицензированию деят-ти организаций, связанной с использованием ГТ, созданием СрЗИ, а также осуществлением мероприятий и (или) оказанием услуг по ЗГТ; решает вопрос о продлении 30-летнего срока засекречивания ГТ; координирует деят-ть в области подготовки, переподготовки и (или) повышения квалификации спец-ов по вопросам ЗГТ; осущ-ет разработку метод. рекомендаций по орг-ии и проведению гос. аттестации рук-лей организаций, ответственных за ЗГТ, определяет перечень учебных заведений, свидетельство об окончании кот. дает право на освобождение указанных рук-лей от гос. аттестации. Решения МВК, принятые в соот-ии с ее полномочиями, обязательны для исполнения фед. оргаґнами гос. власти, органами гос. власти субъектов РФ, органами местного самоуправления предприятиями, учреждениями, оргами, должностными лиґцами и гражданами.
  
   23. Сущность моделирования информационных процессов и систем. Разработка модели КСЗИ.
   Под моделью понимается образ реального объекта, выраженный в мат-ой или идеальной форме, отражающий наиболее существенные свойства объекта и замещающий его в ходе изучения. Сам процесс моделирования охватывает формирование след-их моделей кибернетической, функциональной, структурной и инф-ой. Кибернетика занимается изучением процессов упр-ия системами любой природы. Законы кибернетики: Любое упр-ие - это информ процесс., это целенаправленный процесс, это с-ма, в к-рой есть субъект упр-ия, объект упр-ия, прямая и обратная связь между ними. В киберн. системе дается описание эконом., соц., правовых, поли., фин. и др. условий, в к-рых функционирует КСЗИ и кот. образуют для нее внешнюю среду. Организационное построение КСЗИ Как правило, орг с-мы - это сложные многоуровневые системы, к-рые состоят из мн-ва взаимодействующих эл-тов и подс-м. Отличительной их особенностью явл-я то, что кажд её эл-т принимает решение по орг-и действий, т.е. явл-я решающим эл-том. Исполнительные эл-ты принимают решение по орг-ии только своих собственных действий, руководящие эл-ты - своих собственных и действий исполнительных эл-тов. Основные этапы технологии построения орг-ых систем: 1)постановка проблемы; 2)исследование проблемы (сбор, анализ данных, построение модели); 3)опр-е границ (с точки зрения состава) проблемного объекта, т.е. всех потенциальных участников решения проблемы; 4)обследование проблемного объекта; 5)выбор критерия эфф-ти или оценка альтернативных проектов; 6)выбор границ (состава) объекта упр-ния; 7)обследование объекта упр-я (изучение орг-ий, входящих в состав объекта упр-ия с целью формирования альтернативных вариантов построения системы упр-ия и орг с-мы в целом); 8)разработка ТЗ; 9)тех. и рабочее проектирование; 10)внедрение. В зависимости от полноты перечня вопросов, подлежащих исследованию, проектные работы представляются в виде разработки комплексного или локального проекта. Функциональная модель КСЗИ - отражение состава и содержания общих и спец. функций КСЗИ, реализуемых в рамках опред. условий, кот. связаны с этапами формирования и развития системы и объекта защиты. Анализируя срезы этой модели можно детализировать содержание ф-ий защиты по выбранному направлению на конкретном этапе развития системы защиты. Модель потенциального нарушителя определяет его потенц. возможности, знания, время и место действия. При разработке модели опред-ся предположение о категории лиц, к кот. может принадлежать нар-ль. Предположения о мотивах действий нар-ля (какие цели преследует, предположения о квалификации нар-ля и его тех. оснащенности, об использовании в совершении нарушения методов и ср-тв). Ограничения и предположения о хар-ре возможных действий нар-ля. По отношению к системе нар-ли могут быть внутренними (из числа персонала) или внешними. Нар-лей можно квалифицировать след. образом: по уровню знаний; по уровню возможностей (использованных методов и ср-тв); по времени действия (в момент функ-ия системы; в период неактивности компонентов); по месту действия (без доступа на контролируемую территорию; с контролем территории без доступа в здание, помещение; внутри помещения; с доступом к данным; с доступом к месту упр-ия ср-вами обеспечения безопасности). Реализация концепции СЗИ матрица разграничения доступа, модель с полным перекрытием. Обеспечение ЗИ основная цель. Для этого нужно организовать матрицу разграничения доступа (наглядно реализуется в АИС), в кот. каждый субъект имел бы опред. права относительно каждого объекта. Чтобы построить модель с полным перекрытием, нужно закрыть все возможные пути НСД и ДВ на объект. Нужно выявить все явления, факторы и условия, кот. могут нарушить статус инфы. НСД к каждому из наборов защищаемых объектов дб сопряжен с некот. долей ущерба для своего владельца. С каждым объектом требующим защиты связывается некоторое множество действий, к кот. может прибегать злоумышленник для получения НСД. Если попытаться перечислить все потенциальные действия зло-ка, то т.о. будет перечислен набор угроз направленных на нарушения БИ.
   24. Сущность, задачи и принципы функционирования КСЗИ.
   КСЗИ - это комплекс правовых, орг-ных, инженерно-тех. ср-тв, методов и способов, предназначенных для обеспечения сохранности инфы, заданной степени секретности (конф-ти). Основной состав КСЗИ: системы сохранности мат. ценностей; четкая система документооборота; орг-ция СБ или СОхр; орг-ция управленческой и аналитической работы КСЗИ; подразделение, непоср-твенно занимающееся обеспечением БИ. Задачи, ставящиеся перед КСЗИ вытекают из след. принципа: выявления по возможности каналов утечки инфы и угрозы инфы и борьба с ними. 1)Создание и документальное закрепление ор-ии методов ЗИ; 2)правовое регулирование ЗИ; 3)ЗИ от случайных угроз (стихийное бедствие); 4)ЗИ от шпионажа и диверсии; 5)ЗИ от НСД; 6)ЗИ от разрушающих программ, действующих в АС; 7)ЗИ в распределительных АС обработки данных. Принципы функ. КСЗИ: *разделение и минимизация полномочий по доступу к обрабатываемой инфе и процедурам обработки, т.е. предоставление юзера минимума строго опред. полномочий, достаточных для успешного выполнения ими своих служ. обязанностей, с точки зрения автоматизированной обработки доступной им КИ; *полнота контроля и регистрации попыток НСД, т.е. необходимость точного установления идентичности каждого юзера и протоколирования его действий для проведения возможного расследования, а также невозможность совершения любой операции обработки инфы без её предварительной регистрации; *обеспечение надежности системы защиты, т.е. невозможность снижения уровня надежности при возникновении в системе сбоев, отказов, преднамеренных действий нарушителя или преднамеренных ошибок юзеров и обслуживающего персонала; *обеспечения контроля за функ-ем СЗИ, т.е. создание ср-тв и методов контроля работоспособности механизмов защиты; *"прозрачность" СЗИ для общего, прикладного ПО и юзеров АС; *эконом. целесообразность использования СЗИ, выражающаяся в том, что стоимость разработки и функц-СЗИ должна быть меньше стоимости возможного ущерба, наносимого объекту в случае разработки и эксплуатации АС без СЗИ.
  
   25. Сущность и основные этапы орг. проектирования КСЗИ.
   Общая или комплексная цель - это проектирование орг-ии технологии всего комплекса или большего числа мероприятий по ЗИ. При локальном проектировании осущ-ся проектирование отдельной подсистемы КСЗИ. Перечень направлений комплексного проектирования опред-ся в зависимости от нужд конкретного предприятия и постановленных перед проектом задач и условий. Основные направления проектирования КСЗИ: 1)создание и совершенствование орг структуры КСЗИ; 2)соверш-е технологических процессов ЗИ; 3)соверш-е методов и СрЗИ; 4)соверш-е информац обеспечения ЗИ; 5)соверш-е связей и орг-ия взаимодействия по вопросам ЗИ с др предприятиями. Основные этапы технологии построения орг-ных систем: a)постановка проблемы; b)исследование проблемы (сбор, анализ данных, построение модели); c)опр-е границ (с точки зрения состава) проблемного объекта, т.е. всех потенциальных участников решения проблемы; d)обследование проблемного объекта; e)выбор критерия эфф-ти или оценка альтернативных проектов; f)выбор границ (состава) объекта упр-ния; g) обследование объекта упр-я (изучение орг-ий, входящих в состав объекта упр-ия с целью формирования альтернативных вариантов построения системы упр-ия и орг с-мы в целом); h)разработка ТЗ; i)тех. и рабочее проектирование; j)внедрение. Хар-ика основных стадий создания КСЗИ. Процесс создания КСЗИ вкл. несколько стадий: предпроектную стадию, стадию рабочего проектирования, внедрение и эксплуатация. На предпроектной стадии происходит разработка технико-экономич обоснования (ТЭО) к созданию системы, опред-ся. общие требования к ней, а также разрабатывается ТЗ. В ТЭО - обосновывается необход. создания, задачи, состав функций, оцениваются затраты, определяются требования к КСЗИ в целом и отд. ее подсистемам. В ТЗ - указыв. порядок проведения проектных и др. работ, их очередность, стадии, этапы, орги-исполнители, составляется план - график мероприятий по вводу в действие системы. Далее начинается обследование предприятия с целью выявления объектов ЗИ и опр-я целей, ф-ций, задач и состава основных компонент СЗИ. Происходит формирование рабоч. групп; сбор и анализ данных о структуре объекта; анализ с-мы упр-я объектом, целей его функц-я, квалиф. и численного состава сотрудников, технологич. базы; определение объемов работ, необходимых для создания системы и затрат. На стадии рабочего проектирования детализируется орг, тех, технологические идеи и решения, содержащиеся в тех. проекте; происходит подготовка рабоч. помещений, утверждение спецификаций оборудования, монтаж и наладка ТС, подготовка нормативно-справочной док-тации, док-тационное оформление самого проекта. На стадии внедрения идет процесс постепенного перехода на др. уровень орг-ции технологич. процессов, обучение персонала, доработка отд. компонентов с-мы, составление приемно-сдаточного акта. Эксплуатация вкл. уточнение требований, предъявляемых к СЗИ на данном предприятии, корректировку проектных решений, отладку ср-тв и технологии выполнения ф-ций по эксплуатации, оценку устойчивости системы к негативным воздействиям, орг-тех и программное сопровождение работы тех. комплексов.
  
   26. Понятие и сущность управления КСЗИ.
   Технология орг. упр-ия - регламентированная совокупность методов и ср-тв упр-ия коллективами людей в процессе достижения цели их деят-ти. Орг-ое упр-ие может быть рассмотрено в двух основных аспектах: 1)орг-ия содержания деят-ти (что делается, т.е. каковы ф-ии и цели системы упр-ия); 2)орг-ия самого процесса (как делается: какими методами достигается поставленная цель и осущ-ся сам процесс упр-ия). Общая цель упр-ия - обеспечение max возможной эфф-ти использования ресурсов. Орг-ия упр-ия представляет собой процесс упорядочения управляющих систем и вкл. след. операции: выявление функций упр-я; установление рационального кол-ва ступеней и звеньев упр-я; распределение ф-ий, прав и ответственности между ними по вертикали и горизонтали; определение проф-го и колич-го состава кадров; выбор ТС упр-ия; разработка норм.-методической базы (положения, должностных инструкций.); регламентация, т.е. установление порядка реализации управленческих процессов (направления, схемы док-оборота, сетевые и матричные схемы решения задач). Взаимодействию упр-ия присущи след-щие черты: субъект упр-ия направляет объекту упр-я команды упр-ия, к-рые содержат инфу о функ-ии объекта упр-ия; объект упр-ия получает их, действует в соотв. с ними. В роли субъекта упр-я могут выступать совокупность подразделений или служб предприятия, отдельное подразделение. В качестве объекта может выступать коллектив спецов, отдельный работник, ресурсообеспечение, док-топоток и тп. Упр-ие необходимо рассматривать как процесс, имеющий как прямые, так и обратные связи.
  
   27. Сущность и содержание контроля эфф-ти КСЗИ.
   Оценка эфф-ти КСЗИ может осущ-ся на основе как колич., так и кач-ых методов. Использование кач-ых методов предполагает, что будет осущ-ся многофакторный анализ эфф-ти, а схема процедуры оценки будет иметь эвристический анализ. Системная оценка - полнота защиты по всем составляющим защиты, по всем эл-ам технологического цикла, по выполнению основных принципов защиты. Декомпозиционная оценка - выполняется отдельно по направлениям защиты, их составляющим и эл-ам. Вероятностный подход - основан на анализе рисков. Оценочный подход - основан на формировании требований к защищенности объекта: классы защищенности и их хар-ки; контрольно-испытательные процедуры; пороговые значения, как вероятности того, что в течение заданного времени защитные механизмы системы не будут преодолены; Экспертная оценка - выбор системы измерений (вербальные и вербально-числовые шкалы), орг-ия процедуры экспертной оценки (подбор экспертов, составление вопросников, процедура проведения, обработки результатов). Эффективность ЗИ - степень соответствия результатов ЗИ поставленной цели. Контроль эфф-ти КСЗИ - проверка соответствия эфф-ти мероприятий по ЗИ установленным требованиям или нормам эфф-ти ЗИ. Орг-ный контроль - проверка полноты и обоснованности мероприятий по ЗИ требованиям норм. док-в по ЗИ. Тех. контроль- контроль эфф-ти ЗИ, проводимый с использованием ср-тв контроля. Эфф-ть защиты - уровень защищенности, соот-ие некот. показателям защищенности. В самом общем плане эфф-ть = качество защиты. Данные защищаются челом и только от него. Значит данный параметр на 100% опред-ся опытом, знаниями и дисциплиной чела, кот. их защищает. Защ-сть - способность системы самостоятельно контролировать себя и осущность контроль окр. среды в процессе своего ф-ния на предмет выявления и предотвращения ситуаций из некот. наперед заданного множества ситуаций. Показатели защищенности ИС - хар-ка ср-тв (свойств) системы, влияющая на защищенность и описываемая опред. группой требований, варьируемых (по уровню и глубине) в зависимости от класса защ-ти. Модели оценки эфф-ти: Аналитические (определение наиболее уязвимых мест в системе защиты (СЗ)); вероятностное оценивание и эконом. расчет ущерба от реализации угроз безопасности; научное обоснование колич-ых показателей достижения целей защиты и тп; имитационные (исследование объекта защиты); оценка влияния разного рода параметров систем обработки инфы и внешней среды на безопасность; изучение влияния на безопасность различных событий, кот. наблюдаются в реальных условиях; обучение персонала работе с СЗ и т.п.); экспертные (доведение уровня безопасности ИВС до требуемого); сравнение различных вариантов построения СЗ для рассматриваемой архитектуры ИВС; определение целесообразности затрат на создание СрЗИ; анализ последствий воздействия угроз на функц-ие ИВС и тп
  
   28. Методы принятия управленческих решений в КСЗИ.
   Управленческое решение - процесс поиска и нахождения наиболее рационального и оптимального варианта действий и процесс выработки сценария действий по решению конкретных задач или устранению проблемной ситуации, а во-вторых - конечный результат выработки управленческого решения. Процесс принятия решений зависит от хар-ик ситуации, применительно к кот. принимается решение. Ситуации явл-я частью окр. среды, кот. характер-ся тремя параметрами - неопределенность, сложность, динамика. Существуют ситуации: *Детерминированные ситуации, в кот. решения принимаются в условиях определенности, т.е. каждая возможная альтернатива приводит к однозначно определенным последствиям; *Рискованные ситуации, в кот. лицо принимающее решения, не знает наверняка, какого результата оно достигнет, при выборе той или иной альтернативы. Проблемные ситуации могут быть квалифицированы: на стандартные, хорошо структурированные, слабоструктурированные и неструктурированные. К методам анализа и решения задач относятся: *Инструкции и руководства, четко и определенно обосновывающие последовательность анализа и решения проблем; *Экономико-математ. модели, формализующие взаимосвязи процессов и явлений; *Системный анализ; *Экспертные методы. Процесс принятия упр. решения - это последовательная реализация след этапов: *Распознавание и анализ проблемной ситуации, т.е. сбор инфы, оценка ее достоверности, выявления проблем; *Поиск альтернативных вариантов; *Прогнозирование последствий реализации альтернатив и выработка критерия или ф-ии предпочтения; *Выбор одного из альтернат. вариантов, на основании заданного критерия; *Документальное и орг-нное управление и доведение до исполнителей; *Контроль выполнения и при необходимости корректировка. Факторы влияющие на качество принимаемых решений: *Объем, достоверность, оперативность инфы о ситуации; *Время, необходимое для выработки решения, в соотношении с имеющимися временными ресурсами; *Компетентность субъекта принимающего решение, его уровень подготовки, квалификация, личностные качества. Упр. решениям предъявл-я след. требования: Обоснованность; Своевременность; Необходимая полнота содержания; Полномочность; Согласованность с принятыми ранее решениями.
  
   29. Понятие и основные виды ЧС. Технология принятия решений в условиях ЧС.
   ЧС это комплекс событий, проявление и протекание кот. могут привести к нарушению нормального ф-ния КСЗИ, либо создать условия для проявления очень опасных ДВ, влияющих на защищенность инфы. Класс-ия ЧС: Масштаб сферы действия: межгос.; общегос.; местные; объектовые. Вид наносимого ущерба: ЧС с прямущербом; ЧС с косвенным ущербом; ЧС, представляющие угрозу жизни людей; ЧС, приводящие к нарушению эколог. равновесия, уничтожению мат. ресурсов и тд. Временные рамки и динамика развития: стратегические ЧС; медленнотекущие ЧС; ЧС оперативного плана. Вероятность возникновения: прогнозируемые; трудно прогноз.; непрогноз.. Степень сложности при ликв. последствий: легкоустранимые ЧС; ЧС, требующие опред. временных и ресурсных затрат для ликвидации; трудноустранимые ЧС, ЧС, требующие особых ср-тв. Важным требованием к орг-ии упр-ия объектом явл-я требование учета его особенностей. Требуемое соот-ие орг-ии упр-ия особенностям объекта имеет два аспекта: логический и количественный. Система упр-ия КСЗИ в условиях ЧС имеет четыре режима: режим повседневной деят-ти *режим повышенной готовности *ЧС режим. Основными причинами запаздывания ответных действий явл-я: Инерционность ИС; Необходимость проверки и подтверждения достоверности инфы о возникновении ЧС; Психолог. особенности чела. Задачи в условиях ЧС: осущ-е оперативной деят-ти по защите объектов, и все действия происходят в режиме реального времени. Режим ликвидации последствий ЧС (характ-ся отсутствием активных поражающих фактов и необходимостью проведения мероприятий по восстановлению нормального функ-ия объекта). Обеспечение упр-ия КСЗИ в условиях ЧС. Все ситуации, возникающие в процессе функ-ия можно условно разделить на две группы: штатные и нештатные. Среди нештатных ситуаций наиболее опасными явл-я аварийные и потенциально аварийные. Любая из этих ситуаций требует принятия ответных мер, направленных на: *сокращение комплекса факторов, влияющих на возникновение ЧС; *защиту людских, инф-ых, мат. и др. ресурсов от негативного воздействия, нанесения ущерба и уничтожения; *обеспечение работы объекта во время и после реализации нештатной ситуации. Для решения задач предупреждения, нейтрализаций и ликвидации последствий ЧС на предприятии создаются спец. структуры (кризисные группы, штабы, службы обеспечения защиты в условиях ЧС и т.п.). Их задачи: выявление тенденций развития ЧС; оценка масштабов её негативного воздействия и последствий; расчет времени и ресурсов, необходимых для локализации и ликвидации последствий; разработка планов, действий.
   30. Кадровое и ресурсное обеспечение ЗИ.
   От угроз со стороны персонала нужно: вести учет носителей КИ; санкц-ть и вести учет доступа к носителям инфы; назначение ответственных лиц за соблюдением режима конф-ти; ответственность исполнителей; инструктаж сотрудников; квалификационные сотрудники. Состав кадрового обеспечения ЗИ: рук-ли предприятий и структурных подразделений; спец. комиссии по ЗИ; СБ. Полномочия руководства: ответ-сть за обеспечение режима секретности, за своевременную разработку и осущ-е мероприятий по ЗИ; издают приказы, распоряжения, положения, инструкции и др., регламентирующие работу с КИ; подбор кадров по ЗИ; контроль обеспечения режима секретности. Полномочия подразделений: обеспечение режима секретности; ведение конф делопр-ва; орг-ия приема, учета, хранения и размножения конф док-в; контроля обращения с конфи док-ми; контроль присвоения грифа секретности; орг-ия внутри объектового режима. Полномочия спец. комиссий: разработка перечней сведений; снижение или снятие степени конф-ти сведений; экспертиза ценности конф док-в. Полномочия пользователей защищаемой инфы: соблюдать требования ИБ; дать письменное обязательство о неразглашении сведений конф характера; в случае их утраты немедленно сообщить об этом администрации. Мат. ресурсы: спец. выделенные помещения, спец. оборудование, комп и оргтехника, аттестованные в соотв. с принятыми нормами, аппаратные ср-ва, программные ср-ва и комплексы, СрЗИ и др. Информ. ресурсы: нормативная база по проблемам безопасности; КИ; научно-тех. инфа; инфа о производственно-технологических процессах на предприятии; аналитическая инфа. Фин. ресурсы: Практическая работа по проектированию, созданию и сопровождению системы ЗИ невозможна без эконом. обоснования затрат на их реализацию. Количественные показатели: бюджет службы ЗИ и предприятия в целом; число ЭВМ на рабочих местах, сейфов, столов, стульев, мест хранения; кол-во кабинетов для конф делопр-ва; число сотрудников для выполнения конф делопр-ва. Качественные показатели: квалификация сотрудников; наличие сертиф-ых СрЗИ; соот-ие помещения требованиям ФСТЭК.
  
   1. Лицензирование деят-ти предприятий для проведения работ, связанных с использованием св. сост. ГТ.
   Лицензирование - это процесс выдачи спец. разрешений на осущ-е каких-либо видов деят-ти. Лицензия - спец. разрешение на осущ-е конкретного вида деят-ти при обязательном соблюдении лицензионных требований и условий, выданное лицензирующим органом юрлицу или ИП. Лицензирование в области ЗИ - деят-ть, заключающаяся в передаче или получении прав на проведение работ в области ЗИ. Лицензируемый вид деят-ти - вид деят-ти, на осущ-е кот. на территории РФ требуется получение лицензии в соотв. с ФЗ. Основной док-т Положение "О лицензировании деят-ти предприятий, учреждений и организаций по проведению работ, связанных с использованием сведений, сост. ГТ, созданием СрЗИ, а также с осущ-ем мероприятий и оказанием услуг по защите ГТ" от 15.04.95 г. N 33. Органы, ведущие лицензионную деят-ть: по допуску предприятий к проведению работ с исп. свед. ГТ: ФСБ и ее территор. органы; СВР; дающие право проведения работ, связ. с созданием СрЗИ; ФТЭК и ее территор. органы; СВР; Миноборон. Лицензии выдаются на основании результатов спец. экспертиз предприятий и гос. аттестации их рук-лей, ответственных за защиту сведений, сост. ГТ. Для получения лицензии должны соблюдаться след. условия: соблюдение требований закон-х и нормат. актов РФ; наличие подразделения по защите ГТ и необходимого числа спец. подготовленных сотрудников; наличие на предприятии сертиф-ых СрЗИ, соот-щих степени секретности. Спец. экспертизы проводятся на основе договора между предприятием и органом, проводящим спец. экспертизу. Расходы относятся на счет предприятия. Спец. экспертиза проводится путем проверки выполнения требований норм-методических док-в по режиму секретности, противодействию иностр. тех. разведкам, ЗИ от утечки по тех. каналам, а также соблюдения др. условий, необходимых для получения лицензии. Цель экспертизы: оценка готовности предприятия к выполнению требований нормативных и закон-ых актов РФ по обеспечению защиты св., сост. ГТ. На предприятии дб: разграничение доступа к инфе (положение о разрешительной системе доступа); выявление и нейтрализация каналов утечки, включая контроль среды на наличие закладок в ТС и в ПО; обеспечение криптографической ЗИ при хранении, передаче по каналам связи, антивир. защита и целостность при целенаправленных атаках. Предприятие должно обеспечить: соот-ие производственные помещения; соот-щее оборудование; использование серт-ых АС, обрабатывающих КИ, а также СрЗИ; использование на предприятии серт-ых программ и БД. Орган, уполномоченный на ведение лицензионной деят-ти, принимает решение о выдаче или об отказе в выдаче лицензии в течение 30 дней со дня получения заявления пакетом доков. Для получения лицензии заявитель предоставляет в соот. орган: заявление о выдаче лицензии; копии учредительных док-в; копии док-в, подтверждающих право собственности имущества; справку о постановке на учет в налоговом органе; док-т, подтверждающий уплату гос. пошлины. Предприятие может иметь лицензии на несколько видов деят-ти. Методические рекомендации по орг-ии и проведению гос. аттестации рук-лей предприятий разрабатываются МВК. От гос. аттестации освобождаются рук-ли предприятий, имеющие диплом по спец-ости, связ. с ЗИ. Перечень указанных учебных заведений утверждается МВК. Органы, уполномоченные на ведение лицензионной деят-ти, приостанавливают действие лицензии или аннулируют ее в случае: предоставления лицензиатом соотв. заявления; обнаружения недостоверных данных в док-ах; нарушения лицензиатом условий действия лицензии; невыполнения лицензиатом предписаний или распоряжений гос. органов; ликвидации предприятия. В случае изменения обстоятельств, повлекших приостановление действия лицензии, действие лицензии может быть возобновлено. Основания для отказа в выдачи лицензии: недостоверная, искаженная инфа; отрицательное заключение экспертизы; отрицательное заключение аттестации рук-ля.
   2. Допуск граждан к ГТ.
   Законом "О ГТ" определяются понятия "допуск" и "доступ". Допуск к ГТ - процедура оформления права граждан на доступ к ССГТ, предприятий, учреждений и организаций - на проведение работ с использованием таких сведений. Доступ к ССГТ - санкц-ое полномочным должностным лицом ознакомление конкретного лица со ССГТ. Право на доступ к конкретным ССГТ, может быть реализовано при помощи разрешительной системы доступа. Форма допуска - это показатель, к какой степени секретности сведений допущен тот или иной работник. Законом РФ "О ГТ" устанавливаются три формы допуска к ГТ должностных лиц, соот. трем степеням секретности сведений: ОВ, СС, С. Основания для отказа в допуске: а)признание гражданина судом недееспособным, ограниченно дееспособным или рецидивистом, нахождение его под судом или следствием, наличие у гражданина неснятой судимости за эти преступления; б)наличие у гражданина мед. противопоказаний; в)постоянное проживание его самого и (или) его близких родственников за границей; г)выявление в результате проведения проверочных мероприятий действий гражданина, создающих угрозу безопасности РФ; д)уклонение гражданина от проверочных мероприятий и (или) сообщение заведомо ложных анкетных данных. Прекращение допуска: а)расторжение трудового договора; б)однократное нарушение обязательств, связанных с защитой ГТ; в)возникновения обстоятельств, являющимися основаниями для отказа в допуске. Переоформления допуска к ГТ гражданину в орге, в кот. он работает по совместительству, РСО указанной орги запрашивается по постоянному месту работы карточка, кот. после переоформления допуска возвращается одновременно с запросом о направлении ее дубликата. При этом оргой, в кот. гражданин работает постоянно и где хранится карточка, в установленном порядке оформляется новое решение о допуске, а в орган безопасности по месту расположения этой орги направляется уведомление с приложением учетной карточки на допуск, на обороте кот. указываются форма и номер допуска, дата окончания проведения проверочных мероприятий, наименование органа безопасности, проводившего проверочные мероприятия, дата решения о допуске гражданина к ГТ, а также адрес и наименование орг-ии, в направлен дубликат карточки. Инструкцией о порядке допуска должностных лиц и граждан РФ к ССГТ (утв. Постановлением Правительства РФ от 06.02.2010г. N 63) установлено два порядка оформления, учета и хранения допусков: 1 Порядок - допуск обязательно согласовывается с органами безопасности (для 1 и 2 форм). 2 Порядок - без согласования (для 3 формы). Порядок оформления допуска по 1 и 2 форме. 1)На каждого гражданина, оформляемого на допуск, отдел кадров представляет в подразделение по защите ГТ следующие док-ты: анкету, которая является несекретной, в одном экземпляре; 2 фотокарточки; списки на оформляемое лицо и его ближайших родственников(форма 4, зд. и далее - формы из инстр-и 126), кот. являются несекретными, как правило, в трех экземплярах. 2)Работник этого подразделения проверяет правильность заполнения и оформления этих док-ов, заполняет в одном экземпляре карточку (форма 3), которая явл-я допуском, наклеивает фотокарточку и заверяет печатью. Регистрирует эту карточку в журнале учета карточек доступа работников по 1 и 2 форме допуска (форма 10). С этого момента карточка явл-я секретной. 3)Затем заполняется согласование с ФСБ в 1 или 2 экземплярах и учетная карточка по форме 5, кот. явл-я несекретной, и подготавливается сопроводительное письмо в ФСБ о необходимости допуска к ОВ и СС сведениям в двух экземплярах (секретно). 4) После проведения ФСБ проверочных мероприятий карточка по форме 3 возвращается в оргу без сопроводительного письма. Решение о допуске гражданина к ОВ и СС сведениям оформляется распоряжением рук-ля орги в карточке формы 3 в графе 8, заверяется его подписью с печатью орги. 5)После получения заполняется журнал формы 10 и в графе 4 этого журнала проставляется номер допуска. После оформления журнала заключается договор (контракт) с работником. Этот договор вместе с карточкой по форме 3 хранится в подразделении по защите ГТ в спец картотеке в алфавитном порядке. Порядок оформления допуска по 3 форме (без согласования). Реальная потребность в такого рода допусках опред-ся на предприятии его рук-лем совместно с подразделением по ЗГТ. Отдел кадров на основании письменного ходатайства рук-ля структурного подразделения беседует с оформляемыми, на основании их анкет составляет списки лиц, подлежащих допуску к секретным сведениям по форме 6. Списки явл-я несекретными. Списки составляются в алфавитном порядке, утверждаются рук-лем предприятия и это явл-я основанием для допуска указанных лиц к секретным сведениям. На каждое лицо, получившее допуск по форме 3, подразделение по ЗГТ заводит карточку по форме 8, кот. явл-я допуском, с указанием номера списка формы 6 и даты утверждения рук-лем предприятия этого списка. Заполненные карточки заверяются подписью рук-ля или его заместителя и печатью подразделения по ЗГТ, регистрируются в журнале формы 10 отдельно от карточек допуска 1 и 2 формы, хранятся в подразделении по ЗГТ вместе с договорами и контрактами в спец картотеке в алфавитном порядке в течение всего периода работы в данной орг-ии, отдельно от карточек по форме 3.
  
   3. Организационные требования к режимным помещениям.
   Помещение явл-я режимным, если оно отвечает режимным требованиям и обеспечивает сохранность проведения работ. К режимным помещениям (РП) относятся: помещения режимно-секретного отдела (РСО), СБ; закрытые архивы, библиотеки; типографии; лабы, бюро; помещения, где сосредоточена техника; помещения обработки тех. док-ции. Перед началом эксплуатации помещение должна обследовать комиссия, в кот. входят тех. спецы, сотрудники СБ или РСО (или из лицензированной фирмы). Далее комиссия передает акт о пригодности эксплуатации помещения в СБ или РСО. Размещение РП и их оборудование должно соот-ать нормам и исключать возможность бесконтрольного проникновения и гарантировать сохранность док-ов и изделий. Орг-ия хранения конф док-ов предполагает, что помещения подразделения конф делопроиз-ва (КД), должны соот. требованиям тех. безопасности, противопожарной безопасности, а также установленным санитарным нормам. Эти помещения должны размещаться не на первом и последнем этажах зданий, окна - выходить на внутреннюю территорию объекта. Право прохода в такие помещения имеют рук-ль орги и сотрудники, имеющие прямое отношение к обработке и хранению конф док-ов. Лица, обеспечивающие тех. и бытовое обслуживание, допускаются в эти помещения только в присутствии сотрудников подразделения КД. Окна и двери помещений должны иметь надежные ср-ва защиты (сигнализация, связаная с дежурным постом СБ (охраны), датчики движения. Кодовые замки). По окончании рабочего дня двери необходимо не только запирать, но и опечатывать номерной метал. печатью подразделения КД. Сдачу под охрану и вскрытие помещений производят ответственные за эти помещения сотрудники предприятия на основании утвержденных рук-лем предприятия списков этих сотрудников с образцами их подписей. Списки находятся в службе охраны или у дежурного по предприятию. Сотрудники предприятия, кот. предоставлено право вскрытия, сдачи под охрану и опечатывания помещений, отвечают за соблюдение в этих помещениях установленных требований режима секретности. Перед отпиранием двери, если обнаружены попытки проникновения в помещение - поставить в известность СБ и доложить рук-лю орги. Для выдачи конф док-ов исполнителям помещения должны внутри отгораживаться барьером или оборудоваться спец. окошками, не выходящими в общий коридор. Выдача конф док-в может производиться только исполнителям, имеющим санкц. доступ к этим док-м, и только под роспись в учетных формах. Конф док-ы должны храниться в сейфах или мет. шкафах подразделения КД, кот. по окончании рабочего дня запираются и опечатываются. Работать с док-ми на рабочих местах - хранение в спец. портфелях, имеющих приспособление для опечатывания. Сдаются в подразделение КД и хранятся на метал. стеллажах. Ключи от сейфа, спецпортфель и номерная печать выдаются исполнителю под роспись в лицевом счете (журнале учета). В случае утраты ключей - ставятся в известность рук-ли орг-ии и СБ - немедленная замена замков. Для вскрытия помещений без указанных лиц назначается комиссия в составе не менее двух человек, кот. составляет акт о вскрытии с указанием в нем должностей и фамилий лиц, вскрывших помещения, номера помещения, времени и причины вскрытия, номеров печатей, кот. и ранее были опечатаны и вновь опечатаны помещения. Сейфы и шкафы, ключи от них должны учитываться подразделением КД по журналу учета хранилищ и ключей Ежегодно должна проводиться проверка фактического наличия ключей от хранилищ и номерных печатей исполнителей. Должностные лица, кот. разрешено в нерабочее время хранить конф док-ты в личных сейфах, по окончании рабочего дня помещают док-ты в сейф, опечатывают его и сдают помещение под охрану (с соотв. записями в журнале передачи под охрану помещений и пеналов с ключами). Подразделение КД обязано осущность периодический контроль за порядком хранения док-ов в служебных комнатах исполнителей и обращения с ними. Требования к режиму обращения с конфи док-ми дб закреплены в "Положении по обеспечению сохранности КТ орги". Эти требования должны доводиться под роспись до каждого сотрудника, допущенного к работе с конф док-ми. Порядок приема-сдачи под охрану режимных помещений опред-ся инструкцией, спец. разрабатываемой СБ (РСО) и утверждаемой рук-лем предприятия.
  
   4. Организация охраны объекта. Пропускной режим.
   Основная цель охраны - обеспечение безопасности охраняемых объектов путем предупреждения и ликвидации различного рода угроз. Задачи охраны можно подразделить на 2 группы: 1)Аналитические и предупредительные, 2)Процедурно-отражательные, включающие конкретные действия по ликвидации реальных угроз. Виды охраны: охрана с помощью ТС; охрана путем выставления постов; комбинированная охрана. В организационном плане задачи охраны могут решаться силами СБ орги, частными охр. агентствами, вневедомственной охраной, а также в различном сочетании. В основе разработки системы охраны и орг-ии ее функ-ия лежит принцип создания последовательных рубежей безопасности. Взаимосвязь и взаимодействие сил и ср-тв охраны, сконцентрированных на различных рубежах, позволяют обнаружить угрозу, воспрепятствовать ее распространению и отразить или ликвидировать на одном из рубежей. Пропускной режим (ПР) - совокупность правил, регламентирующих порядок входа/выхода лиц, въезда/выезда транспортных ср-тв на территорию учреждения, вноса/выноса, ввоза/вывоза конф док-ов и изделий, а также мероприятия по реализации этих правил. ПР предназначен для того, чтобы исключить: проникновение посторонних лиц на охраняемую территорию учреждения и в режимные помещения; посещение этих помещений без служ. необходимости работниками учреждения и командированными лицами; внос (ввоз) на территорию личных визуальных ср-тв наблюдения, кино- и фотоаппаратуры, радиотех. и др. аппаратуры; вынос (вывоз) с территории учреждения док-ов и изделий без соотв. разрешения; хищение док-ов и изделий. ПР предусматривает: *организацию КПП и постов с пропускными ф-ями на входах/выходах на режимные территории (РТ), в режимные здания, сооружения и помещения, создание бюро пропусков; *введение системы постоянных, временных и разовых пропусков, а также мат. пропусков; *применение спец. шифров и вкладышей, дающих право прохода на опред. РТ, в режимные здания, сооружения и помещения; *определение должностных лиц, имеющих право давать разрешение на выдачу соотв. вида пропуска, вкладыша, на постановку шифров; *определение перечня предметов, запрещенных к проносу (провозу) на РТ; *охрану РТ, зданий, помещений, хранилищ док-ов и изделий; *пропуск командированных лиц на РТ, в помещения, где ведутся работы, с письменного разрешения заместителя рук-ля учреждения по режиму или начальника РСО при наличии предписания на выполнение задания и соотв. справки о допуске. АС обеспечения контрольно-пропускного режима можно разделить на два вида: атрибутные и биометрические. В системах первого вида контроля осущ-ся проверка наличия у пользователя легального атрибута, пароля или идентификационной карты. В биометр. системах сверяется подлинность путем измерения и сопоставления с контрольным эталоном какого-либо биопараметра. Атрибутные идентиф. карточки делятся на: магнитные; инфракрасные; штриховые, радиопередающие. Пропуски могут быть постоянные, временные (до 3 месяцев), разовые для посетителей, а также мат-ые - для ввоза-вывоза мат. ценностей. На удостоверениях и пропусках проставляются печати, цифры и знаки, определяющие зоны доступа, период их действия, право проноса портфелей, кейсов, папок. Учет бланков удостоверений и пропусков осущ. бюро пропусков. Полная замена удостоверений и пропусков производится, как правило, через 3-5 лет. Через 2-3 года производится перерегистрация с проставлением соотв. отметки.
  
   5. Организация внутриобъектового режима на ОИ.
   Внутриобъектовый режим (ВОР) - совокупность орг-тех. мероприятий и правил, направленных на обеспечение режима в учреждениях (на предприятиях). ВОР предусматривает: *соблюдение установленного порядка подбора, изучения и оформления лиц для работы в учреждениях; *ограничение круга лиц, допускаемых к закрытым работам, док-ми и изделиям, определение круга должностных лиц учреждения, имеющих право разрешать ознакомление с той или иной категорией док-ов и сведений, доведение до исполнителей только такого объема сведений, кот. им необходим для выполнения служебных заданий; *выделение соот-их помещений для проведения работ и осущ-е контроля за допуском посетителей в эти помещения, исключение возможности бесконтрольного доступа в них; *проведение мероприятий по предотвращению утечки закрытой инфы в процессе проведения совещаний, конференций, выставок, а также при посещении объектов посетителями, в тч иностранцами; *осущ-е контроля за применением ТС, используемых для передачи, приема, обработки и размножения закрытой инфы, а также за подготовкой предназначенных для проведения закрытых мероприятий помещений, чтобы они удовлетворяли требованиям режима. Порядок орг-ии доступа персонала в помещения различных категорий. Перед началом эксплуатации режимные помещения (РП) обследуются комиссией, назначаемой рук-лем предприятия, в кот. включаются тех. спецы и аттестуются согласно перечню особо режимных, режимных и нережимных. По завершении работы комиссия представляет в СБ или РСО акт обследования о пригодности данного помещения для конкретного вида секретных работ. По окончании рабочего дня все спецхраны, сейфы и режимные помещения запираются и опечатываются. При этом сейфы, метал. шкафы и входные двери РП, где они находятся, опечатываются разными печатями. РП и хранилища, опечатанные пеналы с ключами сдаются под охрану дежурному по учреждению с указанием времени приема-сдачи с отметками о включении охранной сигнализации в журнале. Опечатанные хранилища и РП могут быть вскрыты только лицами, ответственными за сохранность секретных док-в и изделий. Списки таких лиц с образцами их подписей утверждаются заместителем рук-ля учреждения по режиму либо начальником РОС или СБ, и эти списки находятся у охраны или у дежурного по учреждению.
  
   6. Орг-ия работы по засекречиванию и рассекречиванию св. сост. ГТ и др. конф-ой инфы.
   Засекречивание И - это совокупность организационно-правовых мер, регламентированных законами и другими нормативными актами, по введению ограничений на распространение и использование защищаемой И в интересах ее собственника. Отнесение сведений к ГТ осущ-ся в соотв. с Перечнем сведений, сост. ГТ, определяемым Законом N 5485-1 о ГТ, рукями органов гос. власти в соотв. с Перечнем должностных лиц, наделений полномочиями по отнесению св. к ГТ. Органами гос. власти, рук-ли кот. наделены полномочиями по отнесению св. к ГТ, разрабатываются развернутые перечни св., подлежащих засекречиванию. В эти перечни включаются - св., полномочиями по распоряжению кот. и наделены указанные органы, устанавливается степень их секретности, затем перечень утверждается соот-ми рук-лями органов гос. власти. Целесообразность засекречивания таких перечней опред-ся их содержанием. МВК (Межведомственная комиссия): Формирует Перечень св., отнесенных к ГТ. При необходимости проводит межведомственную экспертизу правомерности отнесения св. к ГТ. Согласовывает распределение полномочий по распоряжению ГТ между министерствами, ведомствами и др. органами гос. власти. Готовит Перечень для утверждения Президентом и к опубликованию, представляет его на рассмотрение Правительства РФ. Для разработки проекта развернутого перечня создается комиссия, в составе кот. включаются компетентные спецы. В ходе подготовки этого перечня, экспертная комиссия проводит анализ всех видов деят-ти соот-их органов гос. власти, подведомственных предприятий с целью определения сведений, распространение кот. может нанести ущерб. Обоснование необходимости отнесения св. к ГТ с указанием грифа осущ-ся собственниками этих сведений и оформляется в виде предложений для включения в проект развернутого перечня. Проект перечня представляется на утверждение рук-лю органа гос. власти, наделенного полномочиями по отнесению св. к ГТ. После утверждения Перечень направляется МВК. После рассмотрения и утверждения, Перечень доводится до заинтересованных предприятий. Пересмотр - раз в 5 лет. По истечении установленных сроков засекречивания И и в случае понижения степени секретности И или отмены решения об отнесении ее к ГТ должностные лица, осущ-ие засекречивание И, обязаны обеспечить изменение грифа секретности или рассекречивание И. Рассекречивание сведений и их носителей - снятие ранее введенных (в предусмотренном в законе о ГТ порядке) ограничений на распространение св., сост. ГТ, и на доступ к их носителям. Основаниями для рассекречивания св. явл-ся: взятие на себя РФ международных обязательств по открытому обмену свед-ями, состав-ими в РФ ГТ; изменение объективных обстоятельств, вследствие кот. дальнейшая защита сведений явл-ся нецелесообразной. Срок засекречивания св, сост. ГТ, не должен превышать 30 лет. В исключительных случаях этот срок может быть продлен по заключению МВК.
  
   7. Основные задачи и функции экспертной комиссии по ЗИ на предприятии.
   Экспертная комиссия явл-я коллегиальным органом при рук-ле предприятия и назначается первым лицом по предложению рук-ля по безопасности. В отличие от Совета по безопасности, являющегося прежде всего думным органом по основным аспектам обеспечения безопасности, экспертная комиссия явл-я исполнительным органом по вопросам ЗИ. В состав совета входят рук-ли и ведущие спецы подразделений, работающих с КИ. Экспертная комисси осущ-ет след. ф-ии: *анализ предварительного и формирование окончательного Перечня сведений, сост-их КИ; *периодическое обновление Перечня; *разрабатывает "Перечень сведений конф. хар-ра в орге"; *установленным порядком решает вопросы изменения секретности и конф. обрабатываемой инфы; *разрабатывает "Перечень инф. ресурсов орги, подлежащих защите"; *разрабатывает "Перечень выделенных помещений"; *определяет перечень основных ТС и систем, предназначенных для обработки инфы, составляющей ГТ; *проводит категорирование объектов информатизации и классификацию защищенности АС; *ведет учет и анализ нарушений режима секретности, попыток НСД к защищаемой инфе; *дает экспертную оценку организационно-распорядительной док-ии по вопросам ЗИ; *рассматривает возможность передачи КИ орги по запросам сторонних орг.; *экспертиза док-в, подготавливаемых к открытой печати, на предмет выявления и изъятия сведений, являющихся конф-ми. Экспертная комиссия явл-я постоянно действующим органом.
   8. Орг-ия доступа персонала и иных лиц к конф-ой инфы.
   Доступ к КТ, осущ-ся в соот. со ст. 7 и 10 ФЗ 98 "О КТ". Разрешительная система вкл. в себя две составные части: допуск сотрудника к КИ и непосред-нный доступ этого сотрудника к конкретным сведениям. Основное назначение формы допуска - обеспечить допуск конкретного работника к тем сведениям и той секретности, кот. необходима ему для выполнения служ. обязанностей, предусмотренных номенклатурой должностей на данном предприятии. Форма допуска также служит док-том, по которому определяются пределы и степень доступа работника, в тч во время его служ. командировки на других предприятиях. Работник отдела кадров проводит ознакомительную беседу. В ходе этой беседы он обязан: *сверить указанные в анкете данные с личными док-ми оформляемого, такими, как паспорт, военный билет, трудовая книжка, свидетельство о рождении, диплом об образовании; *выяснить представляющие интерес сведения, не предусмотренные вопросами анкеты, такие, как наличие родственников за границей, ходатайство о выезде на постоянное место жительства за границу, причины частой смены работы; *выяснить, имел ли оформляемый за последний год отношение к секретным док-ам, давал ли обязательства по неразглашению таких сведений. Далее анкета оформляемого на допуск подписывается работником отдела кадров и заверяется печатью. Порядок доступа к секретной инфе лиц, командированных другими оргами, определен Инструкцией N 0126. Доступ командированных лиц (КЛ) к секретным док-ам предприятия производится после предъявления ими док-тов, удостоверяющих личность, справки о допуске и предписании на выполнение задания. КЛ могут иметь доступ только к тем док-ам, которые указаны в предписании и необходимы для выполнения задания. Разрешение на доступ дает рук-ль предприятия. Разрешение оформляется в виде резолюции. На каждое КЛ начальник заинтересованного подразделения оформляет карточку-разрешение, в кот. указывает наименование и номера док-в, с кот. должно быть ознакомлено это КЛ. Доступ к док-ам осущ-ся только в присутствии лиц, отвечающих за сохранность и использование данных док-ов, КЛ выполняет необходимые записи только в учтенных спецблокнотах или раб. тетрадях, кот. впоследствии пересылаются по месту работы КЛ. Разрешение на доступ к КИ представителей других фирм или предприятий оформляется резолюцией полномочного должностного лица на предписании (или письме, обязательстве), представленном заинтересованным лицом. В резолюции дб указаны конкретные док-ты или сведения, к кот. разрешен доступ. Одновременно указывается фамилия сотрудника фирмы, кот. знакомит представителя другого предприятия с этими сведениями и несет ответственность за его работу в помещении фирмы. Док-тальное оформление каждого выданного рук-лем разрешения на доступ может производиться след. способами: *составлением именных списков с указанием в них фио исполнителя, должности, категории док-ов или сведений, кот. ему разрешается пользоваться, списки на право пользования делами и тп); *составлением должностных списков, в кот. указываются должности исполнителей и объем док-ов и сведений, кот. необходимо пользоваться лицам, занимающим ту или иную должность; *заведением карточек-разрешений с указанием в необходимых случаях срока пользования док-ми; *написанием разрешений на самих док-ах (в виде резолюций или др. разрешающих надписей); *указанием в распорядительных доках фамилий лиц и конкретных док-ов, к кот. они дб допущены. Каждое разрешение должно иметь дату его оформления или выдачи.
  
   9. Орг-ная ЗИ при проведении переговоров (совещаний) по конф-ым вопросам.
   Необходимо получить разрешение рук-ля на совещание (переговоры). Рук-лем заинтересованного подразделения составляется докладная записка на имя рук-ля (он назначает должностное лицо, кот. поручается подготовка такого совещания). В докладную записку включаются: тематика совещания и основания для его проведения; перечень конф вопросов; сроки проведения; место; список участвующих; список ответственных. Докладная записка может иметь гриф конф-ти. В организацию, с кот. предполагается проведение переговоров, направляется спец. письмо (приглашение) (имеет гриф конф-ти по соотв. виду тайны). Приглашение лиц, не являющихся сотрудниками, разрешается только в случае необходимости их личного участия в обсуждении конкретного вопроса (эксперты, консультанты) предупреждаются об ответственности и дают письменное обязательство. У сотрудников дб доступ к КИ, кот. будет на совещании. В процессе подготовки и согласования всех вопросов совещания составляются и утверждаются док-ты: программа проведения совещания; список участников по каждому вопросу повестки дня; список мат.-тех. обеспечения и ответственных за него лиц. Чем выше ценность И и чем меньше участников задействовано в обсуждении вопроса, тем позднее вопрос ставится на повестку дня. Любое совещание или переговоры по конф вопросам проводятся только в спец. (выделенном) помещении, оборудованном ТС ЗИ. Помещение аттестовано, ТС сертиф-ны. Контроль за проходом участников в помещение. Сотрудник СБ осущ-ет перс. контроль прохождения участников и напоминает о запрете проноса и использования аппаратуры (сдача на временное хранение и возврат после). Перед началом все предупреждаются о необходимости сохранения конф-ти И. Выдаются заранее подготовленные блокноты, тетради для раб. записей. По окончании носители для ведения записей, сдаются сотруднику подразделения КД и в орг-ии участников данного мероприятия. Невостребованные носители уничтожаются в устан. порядке. Аудио- и видеозапись, фотографирование конф совещаний ведется только по письменному разрешению лица, давшего согласие на проведение совещания и осущ-ся спец назначенным сотрудником орги на учтенных носителях. Участники, замеченные в ведении несанкц. действий, лишаются права дальнейшего присутствия и составляется акт. Носитель несанкц. записанной И изымается для проведения внутр. расследования и уничтожается на нем И. По окончании помещение осматривается сотрудником СБ. При обнаружении неучтенных носителей, несанкц. ТС - докладывается рук-лю орги и принимаются меры для предотвращения возможных негативных последствий. Спец. назначенный сотрудник ведет протокол совещания, в дальнейшем утверждается рук-лем и имеет соотв. гриф конф-ти. Подлежит учету и хранению в подразделении КД. Док-ты, принятые на совещании, оформляются, подписываются и учитываются в соотв. с требованиями по работе с конф док-ми. Направление этих док-ов оргам, принявшим участие осущ-ся порядком, установленным для конф. док-ов.
  
   10. Орг-ная ЗИ в процессе издательской, рекламной и выставочной деят-ти.
   Задачи: определение объема и состава сведений огр. доступа, кот. орга вынуждена по различным причинам предавать огласке; установление порядка оформления разрешения на оглашение сведений огр. доступа; выработка конкретных мер по ЗИ в процессе издат., рекламной и выст. деят-ти с учетом специфики каждого из видов деят-ти; реализация треб. режима ЗИ и контроль их выполнения. Требования: 1)Оценка материала с точки зрения уязвимости, связанной, в тч и с возможностью агрегирования, т.е. получения полной инфы путем ее сбора из различных источников. Материалы должны оцениваться также с точки зрения срока жизни КТ, а возможно и ГТ, и целесообразности. В этой связи, требованиями по ЗИ явл-я: *оглашение инфы огр. доступа должно осущ-ся только в случае действительной необходимости и целесообразности; *если подготовка публикации или рекламного сообщения невозможна без полного или частичного разглашения защищаемой инфы, то ее необходимо раздробить, т.е. разобщить во времени и пространстве (по видам и ср-вам рекламы, различным СМИ, авторам и тд). 2)Необходимо организовывать работу с персоналом орги и привлекаемыми, в частности на договорной основе, сотрудниками. В контракты дб включены положения, предусматривающие возможности общения 3-ми лицами, определены права и обязанности потенциальных авторов на предание огласке принадлежащей орг-ии инфы. Весь персонал, особенно лица, являющиеся носителями секретов, дб инструктирован и предупрежден об особенностях общения с прессой и общественностью. Желательно привлекать рук-лей пресс-служб и служб рекламы к участию. Издательская деят-ть. Сотрудник РСО знакомится с представленными автором материалами и, руководствуясь Перечнями определяет, не содержатся ли в тексте свед-я, составляющие к-либо из видов тайн. Затем работник РСО (СБ) обсуждает с автором целесообразность данной публикации, выясняя, в частности, учтены ли в рукописи ранее опубликованные по данной проблеме материалы, не станет ли сама рукопись или в совокупности с ранее опубликованными работами источником разглашения тайны. Основным же звеном в рассмотрении и оформлении разрешения на публикацию явл-я Экспертные комиссии (ЭК). ЭК создаются в орге приказом руководства и действуют на постоянной основе. В состав ЭК вкл-ся рук-ли основных производственных или научных подразделений, ведущие спецы и др., а также работник РСО. Обязанности работника РСО (СБ), вкл-го в состав ЭК: - подготовка материалов к рассмотрению на заседании комиссии; осущ-е контроля за рассмотрением материалов; ознакомление членов комиссии с их правами и обязанностями, инструктированием по вопросам защиты тайны при рассмотрении материалов; а также с авторами публикаций; проведение аналитической работы, направленной на выявление данных, кот. в своей совокупности могут создать возможность утечки тайны. Заседание комиссии оформляется протоколом, в кот. отражается ход рассмотрения материалов и принятое решение о разрешении или запрещении публикации. По итогам рассмотрения, в случае положительного решения, составляется акт экспертизы, один вариант кот. передается автору публикации. Рекламная деят-ть. Персонал дб инструктирован и предупрежден об особенностях общения с прессой и общественностью; создание круга "своих" журналистов; создание условий, при кот. инфа об орге могла "выходить" через спец созданный, контролируемый канал (используются пресс-службы, отделы по связям с прессой и общественностью). Особые меры по ЗИ предусматриваются при орг-ии выставок: подготовка двух видов рекламных материалов, используемых на стенде: рассчитанных на широкую публику и предназначенных спецам (выдается только после запроса и выяснения целей ее получения); инструктаж работников на стенде; отбор персонала для участия в выставке (спецы, являющиеся носителями секретов, участия не принимают); должен принимать участие работник СБ; орг-ия охраны экспонатов.
  
   11. Орг-ная защита конф. изделий в процессе их изготовления, хранения и транспортировки.
   Проведение мероприятий по обеспечению режима осущ-ся рук-лями структурных подразделений с участием сотрудников СБ или РСО, с привлечением спецов из числа научных сотрудников, инженерно-тех. работников предприятия. Закрытые изделия и их составные части, кроме действующих наименований, в целях зашифровки их назначения заказчиками или разработчиками присваивается условное наименование (шифры, условные обозначения, индексы). Уполномоченные лица обязаны вести повседневный контроль за соблюдением режима, проверки в подразделениях: Если гриф ограничения КТ, С, СС, то не реже 1 раза в квартал. В случае ОВ - 1 раз в месяц. Составляется акт. Общая проверка наличия на предприятии проводится 1 раз в год по состоянию на 1 января. Комиссия для проверки назначается рук-лем предприятия. Проверка проводится в соотв. с инструкцией по проведению проверки наличия док-ов и изделий. Изделия должны состоять на учете в период разработки, хранения и транспортировки, а также в момент эксплуатации, изготовления и испытания. Особенности: 1)Если опытное пр-во происходит при отсутствии технологической док-ции, то учет производится с начала изготовления по закрытым чертежам. 2)Серийное пр-во учитывается с момента, указанного в технологических или сопроводительных картах на изделие, при отсутствии учет начинается со стадии чертежа. 3)Полученное с др. предприятия изделие учитывается сразу с момента поступления. Все закрытые изделия учитываются отдельно от открытых, по чертежным обозначениям, заводским, инвентарным номерам на изделии или бирке. Учет изделий осущ-ся в учетном журнале. Срок хранения не менее 5 лет. Указывается условное наименование (шифры, индексы). Для госпредприятий - унифицированный журнал. Если кол-во таких изделий велико, то назначается уполномоченное лицо для работы с ними. Основания для снятия с учета: Расписка получателя в накладной, печать орги, кот. забирает изделие; получать изделие должны доверенные лица. Реестр спец. связи с распиской, печатью. Акт о производственном уничтожении изделия. Акт об израсходовании закрытого изделия при испытании, экспертной работе и тд Акт о вмонтировании комплектных изделий. Акт о рассекречивании. Хранение изделий: В помещениях, хранилищах, кот. отвечают режимным требованиям. Изделия хранятся отдельно от открытых. Доступ ограничен. В том случае, если необходим доступ на: цехи, склады, то необходим список лиц, утвержденный рук-лем цеха, склада, кот. согласовывается с начальником РСО, СБ или его заместителем; склад готовой продукции, то необходимо письменное разрешение рук-ля предприятия, склад дб изолирован от предприятия. Режим при получении и отправке изделия: Представители получателя должны иметь доверенность, кот. дб заверена нашим рук-лем РСО. В том случае если изделие связано с ГТ, то доверенность дб заверена гербовой печатью, визируется начальником РСО, СБ. Прием, сдача осущ-ся по накладным. Далее осущ-ся проверка целостности упаковки, пломб, кол-во пломб, их номера, описывающие их оттиски, учитываются в сопроводительных док-ах. Если обнаруживается вскрытие, то ответственные лица составляют акт о нарушениях, сообщают отправителю, а также в ФСБ. Отправка изделия осущ-ся 1)С письменного разрешения рук-ля предприятия (накладная N20) + Экспедиционное поручительство на доставку изделия (N41- заказ транспорта, охрана). 2)С разрешения для выноса (вывоза) за пределы предприятия (пропуск, подписанный начальником произ-ва, начальников РСО, СБ на основании накладной N20 и N41). Эксплуатационная, ремонтная док-ция (гриф ограничения) отправляется спец. почтой одновременно с отправкой изделия. Режим при транспортировке: Осущ-ся под контролем РСО, СБ. Рук-лем предприятия назначаются ответственные лица (должны иметь допуск). Требования: Упаковка, маскировка. Даже если все составные части несекретны, то маскируется всё, Не привлекающая к себе охрана. Если ГТ, то используется ведомственная или вневедомственная охрана. Уничтожение изделий: Если уничтожаются изделии, кот. отбракованы или надобность в них отпала, то составляется комиссия (спецы и сотрудники РСО, СБ, уполномоченные лица). Составляется акт N21 на уничтожение изделия, утверждается рук-лем предприятия, рук-лем произ-ва (если большое пр-во). После акта производится демонтаж по технологии, кот. указана в тех. паспорте изделия. Паспорт изделия и вся сопутствующая док-ция также уничтожается по акту. Если изделие нельзя уничтожить целиком, то проставляется отметка в акте о том, что изымаются составные части. Акт N21 хранится с спец-о заведенных делах не менее 5 лет, гриф зависит от сведений.
  
   12. Орг-ия подготовки к передаче св. сост. ГТ, др. государствам.
   Решение о передаче ГТ в соот. с Законом РФ N 5485-1 "О ГТ" принимает Правительство РФ при наличии экспертного заключения МВК по ЗГТ о возможности передачи этих сведений. 1)Получивший мотивированное ходатайство орган гос. власти изучает возможность передачи запрашиваемых сведений и в месячный срок извещает заявителя о своем решении. Мотивированное ходатайство, решение органа гос. власти, рук-ль которого наделен полномочиями по распоряжению данными сведениями, а также действующие (ранее заключенные) международные договоры и другие док-ты, имеющие непоср-твенное отношение к защите рассматриваемых сведений, заявитель представляет в МВК по ЗГТ для подготовки экспертного заключения. Указанное аключение согласовывается с заинтересованными органами гос. власти. 2)Если это заключение МВК по ЗГТ положительное и содержит вывод о возможности передачи сведений ин. гос-ву, данное заключение в установленный срок направляется органу гос. власти (орг-ии), заинтересованному в передаче ГТ. По ходатайству последнего орган гос. власти рук-ль кот. наделен полномочиями по распоряжение указанными сведениями, в установленном порядке вносит проект соот-го решения Прав. РФ с экспертным заключением МВК по ЗГТ в Прав. РФ. 3)После принятия Прав. РФ этого решения заинтересованный орган гос. власти совместно с МИДом, ФСБ и органом гос. власти, и в чьем распоряжении находятся данные сведения, в установленном законом порядке готовит проект межправительственного договора (соглашения) о взаимной защите передаваемых сведений. 4)Данный проект в установленном порядке направляется на рассмотрение ин. государству, кот. предполагается передать ГТ. 5)На основании решения Прав. РФ в соот-ии с процедурами, предусмотренными международным договором и действующими нормативными правовыми актами, осущ-ся факт-ая передача ГТ, и (или) их носителей.6)Орган гос. власти или организация, осущ-ие факт-ую передачу ГТ, ин. государству, определяются заключенным международным договором или решением Прав. РФ в рамках реализации данного договора. 7)Передача ГТ, осущ-ся на основании заключенного контракта на их передачу или на поставку неотделимых от них товаров, продукции или услуг. В этих контрактах могут предусматриваться дополнительные меры защиты передаваемых сведений. 8)Рук-ли органов гос. власти и организаций, уполномоченных Прав. РФ осущность передачу сведений (их носителей) др. гос-ам, несут ответственность за нарушение или ненадлежащее исполнение закон-ва РФ о ГТ. Выполнение положений международного договора о взаимной ЗГТ, заключенного РФ с ин гос-ом, кот. эти сведения передаются (переданы), контролирует определенный этим договором орган гос. власти (компетентный орган).
  
   13. Организация внутреннего расследования по фактам нарушения режима конф-ти.
   Служебное (внутреннее) расследования (ВР СР) - это действия администрации предприятия, направленные на выяснение обстоятельств разглашения сведений, сост. гос. или КТ, либо утраты док-ов или изделий, содержащих свед-я, составляющие ГТ или КТ, определение степени их ограничения, розыск утраченных док-ов или изделий, выявление виновных в этом лиц, а также установление причин и последствий совершенного правонарушения. Цели: поиск утраченного док-та (носителя, изделия); анализ ситуации для принятия мер по предотвращению повторения выявленного нарушения; создание доказательной базы для привлечения виновных лиц к установленной законодательством ответственности. Основания: док-т, удостоверяющий нарушение, проверка, в ходе кот. было выявлено нарушение. Задачи: установление обстоятельств нарушения, в тч времени, места и способа его совершения; обследование мест возможного нахождения утраченного конф док-а (носителя, изделия и тп); установление лиц, непосред-но виновных в данном нарушении; выявление причин и условий, способствовавших нарушению. Для проведения ВР рук-ль предприятия приказом или распоряжением назначает комиссию в составе не менее 3х человек. Состав комиссии.: представитель СБ и конф. делопр-ва, представителя подразделения, в кот. зафиксировано нарушение (но не состоящего в подчиненности с лицами, в отношении кот. проводится расследование), юриста (сотрудника кадрового подразделения). Если имеется вышестоящая орга, то о факте выявленного нарушения и назначении ВР информируется рук-ль подразделения (должностное лицо), отвечающее за ЗИ в этой орге, например, если ГТ, то ФСБ. Вышестоящая орга может направить своего представителя для участия в работе комиссии, возглавить ее или назначить свою комиссию. СР должно проводится в минимально короткие сроки, общая продолжительность расследования не должна превышать одного месяца. Комиссия по проведению СР обязана: разработать план проведения СР; вести розыск непредъявленного носителя; установить обстоятельства утраты (разглашения): время, место, способы; установить лиц, виновных в утрате (разглашении); установить причины и условия, способствовавшие утрате (разглашению). Права и обязанности комиссии вкл. в себя: *опрос работников, допустивших утрату док-ов (носителей, изделий) или разглашение КИ, а также лиц, кот. могут оказать содействие в установлении обстоятельств произошедшего; *проведение осмотров территории, здания, помещений (комнат, кабинетов), хранилищ, сейфов, шкафов, спецпортфелей, столов и др. объектов и предметов, кот. могут иметь отношение к факту нарушения или в кот. могут находиться утраченные док-ты; *проверку всех конф док-ов, а также журналов (карточек) учета и сопроводительных док-ов, отражающих поступление и движение утраченных док-ов; *привлечение (с разрешения соотв. рук-ля) др. работников к проведению отдельных действий в рамках ВР. Работник, в отношении кот. проводится ВР, дб ознакомлен с приказом (распоряжением) о проведении оного. Все действия членов комиссии и полученные в ходе СР материалы подлежат письменному оформлению (актами, справками и тп). Истребование от работника объяснения в письменной форме для установления причины нарушения явл-я обязательным. В случае, когда работник отказывается дать письменные объяснения, его устные показания или отказ от них письменно фиксируются членами комиссии (не менее чем за двумя подписями). Для организованного и оперативного проведения ВР комиссия разрабатывает версии причин нарушения (например, о возможном местонахождении пропавшего док-та) и составляет план проведения необходимых мероприятий (поиска) по каждой из этих версий. *После того, как возможные меры поиска док-та (носителя, изделия) исчерпаны, но не привели к его обнаружению, полностью выяснены обстоятельства утраты и установлены виновные лица, поиск док-та может быть прекращен. Решение о прекращении поиска утверждается должностным лицом, назначившим ВР (по мотивированному заключению комиссии). Если это док-ты С, СС, ОВ и они не находятся, то возбуждается уголовное дело. Прекращение СР по решению следователя. *По окончании ВР комиссия представляет рук-лю орги: заключение по факту разглашения; заключение о степени секретности разглашенных док-ов; письменные объяснения виновных, очевидцев, опрошенных; акты проверок док-ции, помещений, изделий; любые др. док-ты, имеющие отношение к СР. В случае нахождения во время ВР утерянного док-та (носителя, изделия) в заключении комиссии отражаются причины его временного отсутствия. Заключение дб подписано всеми членами комиссии. При несогласии с выводами или содержанием отдельных положений член комиссии, подписывая заключение, приобщает к нему свое особое мнение (в письменном виде). Заключение по результатам ВР подлежит утверждению должностным лицом, назначившим это СР. *Работник, в отношении кот. проводится ВР, или его уполномоченный представитель имеют право знакомиться с материалами оного и требовать приобщения к материалам СР представляемых ими док-ов и материалов. Работник, в отношении кот. проведено ВР, дб ознакомлен с его результатами, что удостоверяется его подписью на утвержденном заключении. Решение о привлечении к ответственности работника принимается только после завершения СР и оформляется приказом. Первый экземпляр заключения с резолюцией рук-ля, копия приказа (выписка) по результатам расследования, все материалы внутреннего расследования, включая док-т (копию), послуживший поводом для назначения расследования, и копию приказа (распоряжения) о назначении комиссии (комиссий), подлежат хранению в отдельном деле. При необходимости заключение и материалы ВР могут иметь гриф конф-ти. В этом случае они учитываются по журналу учета изданных док-ов и хранятся в подразделении КД. Один экземпляр заключения направляется в вышестоящую оргу (если она есть). Учет утрат конф док-ов (носителей, изделий) или фактов разглашения инфы, составляющей КТ (СТ), ведется в спец журнале учета. Анализ материалов ВР позволяет разработать конкретные меры по предотвращению нарушений режима охраняемой законом тайны. *Ответственность может наступать только при наличии опред. условий: если лицо, утратившее инфу, давало предприятию обязательство по сохранению конф-ти инфы; если лицо, утратившее инфу, своевременно официально уведомлено (под роспись), что именно эти свед-я составляют КТ и это док-тально оформлено (перечень сведений); если разглашение таких сведений нанесло действительный ущерб предприятию. Виды санкций за разглашение: Дисциплинарная ответственность - взыскание: замечание (устно), выговоры от руководства (письменно), перевод на работу, не связанную с КИ, увольнение; Мат ответственность закон-ом предусматривается 2 видами: ограниченная и полная; уголовная.
  
   14. Угрозы инфы при документировании и задачи ее защиты.
   Угрозы при док-ии: •док-ие КИ на случайном носителе, не входящем в сферу контроля службы КД; •подготовка к изданию док-а, не обоснованного деловой необходимостью или не разрешенного для издания; •вкл-ие в док. избыточных конф. сведений, что равносильно разглашению тайны ; •случайного или умышленного занижения грифа конф-ти сведений, включенных в док.; •изготовление док-а в условиях, кот. не гарантируют сохранность носителя и КИ; •утеря оригинала, черновика, варианта или редакции док-а, его части, приложения к док-у, умолчания этого факта и попытки подмены утраченных материалов; •сообщения содержания проекта конф. или открытого док-а постороннему лицу, несанкц. копирования док-а или его части (в том числе на неучтенном носителе); •утечка инфы по тех. каналам; •ошибочные действий работника службы КД, особенно в части нарушения разрешительной системы доступа к док-ам. Этапы исполнения конф. док-в: •установление уровня грифа конф-ти сведений, подлежащих включению в будущий док.; •оформление и учет носителя для док-ия выделенного комплекса КИ; •составление вариантов и черновика текста док-а; •учет подготовленного черновика конф. док-а; •изготовление проекта конф. док-а; •издание конф. док-а. Указанные этапы хар-ся не только регламентированной технологией, но и жесткими правилами работы исполнителей КИ. КД решает след. задачи обеспечения ЗИ: •предотвращение выдачи носителя лицу, не связанному с составлением конкретного док-а или исключенному из состава лиц, допускаемых к данному носителю (составляемому док-у); •выявление факта утраты носителя или его частей, организация поиска носителя и проведения служ. расследования; •предотвращение нарушения принципа персональной ответственности за сохранность носителя и фиксируемой в нем инфы; •обнаружение факта подмены носителя другим, фальс-ии части носителя; •обнаружение фактов случайной или умышленной порчи носителя, изменения формата, нумерации листов, вырывания листов, их загрязнения, склеивания и тп; •предотвращение несанкц. и неоправданной деловой необходимостью передачи носителя между рук-лями и исполнителями; •предотвращение несанкц. ознакомления посторонних лиц с содержанием инфы, зафикс-ой на носителе, в процессе его выдачи исполнителю и приеме от исполнителя.
  
   15. Общие требования к орг-ии КД.
   Подразделение КД должно быть обеспечено служ. помещением/ями для хранения конф. док-в и работы сотрудников подразделения, а также помещением для исполнителей, если работа с конф. док-ми не разрешена в служ. помещениях исполнителей. При ведении КД необходимо соблюдать след. требования: •присвоение и снятие грифа конф-ти должно осущ-ся руководством компании; •обязательная регистрация и учет всех конф. док-в, а также передача их исполнителю под расписку в реестре; •контроль не только док-в, содержащих КИ, но и бумаг с печатями, штампами, бланками, особенно бланков строгой отчетности, содержащих уникальный номер, зарегистрированных установленным способом и имеющих спец. режим использования; •организационное выделение КД из обычного; •гриф конф-ти док-а присваивается по наивысшей степени конф. сведений, в нем изложенных; •создание конф. док-ов производится в изолированных, спец. оборудованных помещениях, прием и выдача док-в производится через спец. окно, не выходящее в общий коридор или барьер, ограничивающий доступ к рабочим местам лиц, создающих конф. док-ы; •уничтожение конф. док-в, в тч черновиков, в шредерах в присутствии нескольких человек и с проставлением соот-их пометок в журналах уничтожения конф. док-в. При большом количестве док-в возможно их сжигание; •запрещение выноса конф. док-в из контролируемой зоны; •к работе с конф. док-ми допускаются только лица, заключившие соот-ие договоры о нераспространении КТ; •хранение конф. док-в только в сейфах; •в делах или в архивах конф. док-ы должны храниться отдельно от открытых, по завершении оформления дел на последнем листе делается запись о кол-ве пронумерованных в нем листов, заверенная соот-ей подписью и печатью; •вкл. в док-ты только min необходимую КИ; •рассылка конф. док-в должна быть обоснованной и сведена к min; •система учета (ручная или комп-ая) конф. док-в должна предоставлять необходимые удобства поиска и контроля за местонахождением каждого конф. док-а; •организационно исключить необоснованное ознакомление с док-ми лиц, не имеющих нужных полномочий; •отправку конф. док-в производить только заказными или ценными письмами, по каналам спец. связи или осущность доставку корреспонденции нарочным из числа сотрудников, допущенных к работе с такими док-ми; •контроль за использованием копировально-множительной техники, а также блокирование систем ввода-вывода инфы на компах, обр-щих КИ; •организация периодической проверки КД.
  
   16. Понятие, назначение и особенности учета конф. док-в.
   Учет конф док-ов явл-я одной из важнейших составных частей КД. Цель: сохранность инфы, предотвращение утечки. Угрозы в процессе учета: выпадение док-та из учетной системы за счет ошибочных или злоумышленных действий персонала, вкл-ие сведений из док-ов в учетные формы, утечка инфы по тех. каналам, нарушение персоналом порядка выполнения учетных операций и ведения справочно-информ. банка данных. Виды учета: учет пакетов, содержащих конф док-ты (пакетный учет), учет входящих (поступивших, входных) док-ов, •учет носителей инфы (док-ов предварительного учета), •учет изданных (подготовленных исходящих и внутренних) док-ов, •док-ов выделенного хранения, •учет журналов, картотек и законченных производством дел. В регистрационных формах необходимо фиксировать не только данные о самом док-те, но и любое движение и местонахождение док-та, что позволяет обеспечивать персональную ответственность за его сохранность. Учет конф док-ов подразделяется на 3 вида: изданных док-ов, поступивших док-ов, док-ов выделенного хранения (все док-ты, не подлежащие подшивке в дела). Независимо от вида учета конф док-ты можно учитывать в журналах или карточках (при большом объеме, тк сокращает время поиска). При карточном способе учета необходимо вести контрольный журнал по каждому виду карточного учета. Журналы или картотеки ведутся погодно. Они в совокупности образуют справочно-инф. банк данных. Учет изданных конф док-ов. Осущ-ся на стадии подготовки проектов, все доки, прошедшие регистрацию в журнале учета черновиков. Учет изданных док-ов охватывает все машинописные и рукописные док-ты. Учет поступивших конф док-ов. Конф док-ты должны пересылаться между предприятиями в соотв. образом оформленных запечатанных пакетах. При получении: проверить на пакете наличие грифа конф-ти, соот-е адресата, проставление номеров док-ов и предприятия-отправителя, целостность упаковки, сохранность прошивки и оттиска печати; убедиться, что содержимое пакета не просматривается; проверить в сопроводительном док-те соот-ие наименований адресата и отправителя, номеров док-ов, номеров экземпляров (если указаны), грифа конф-ти; расписаться в сопроводительном док-те за принятые пакеты с проставлением даты, времени и печати или спец. штампа подразделения КД. Поступившему док-ту присваивается очередной номер, проставляемый в журнале учета поступивших пакетов. Одновременно данные о док-те заносятся в журнал или карточку учета поступивших конф док-ов. Выделенное хранение. Док-т, подлежащий выд. хранению, переводится без сопроводительного письма на учет док-ов выд. хранения, а носитель - на учет машинных носителей. Сопроводительное письмо подшивается в дело. При взятии на учет док-та, переводимого с учета изданных док-ов, указывается подразделение данного предприятия, разработавшее док-т, учетный номер док-та по журналу учета изданных док-ов, в журнале учета изданных док-ов проставляются номер, присвоенный док-у по журналу учета док-ов выд. хранения, и кол-во переведенных на выд. хранение экземпляров. Взятые на учет выд. хранения текстовые док-ы помещаются в обложку и брошюруются (прошиваются), при этом после последнего листа док-а помещается лист с заверительной надписью, в кот. указывается прописью кол-во листов в док-е, заверяемое подписью (с расшифровкой) лица, составившего заверительную надпись, с проставлением даты. На текстовых док-ах учетные номера, присвоенные по журналу учета док-ов выд. хранения, проставляются в верхнем левом углу обложки и титульного листа (при его наличии). В правом верхнем углу проставляются гриф конф-ти и под ним номер экземпляра. На чертежно-графических док-ах учетные номера проставляются на каждом листе в местах.
  
   17. Особенности учета но-ей инфы и проектов конф. док-в.
   Основные угрозы: утеря, хищение или копирование черновика, оригинала док-та; утрата инфы за счет ее док-ния на случайном носителе; подготовка к изданию док-та, не обоснованного деловой необходимостью или не разрешенного для издания; включение в док-т избыточных конф сведений; несанкц. изготовление док-а в условиях, не гарантирующих сохранность носителя и инфы; утечка инфы по акуст., визуальному и другим тех. каналам. Секретная инфа должна фиксироваться только на носителях, прошедших предварительный учет в РСО. Это мб: для текст док-ов - спецблокнот, рабочая и стенографическая тетрадь, отдельные листы бумаги, типовые формы и бланка док-ов; для чертежно-графических док-ов - листы ватмана, кальки, пленки, координатной бумаги и др.; для машиночитаемых док-ов - магнитная лента, диск, дискета, CD-ROM и др.; для аудио и визуальных док-ов - магнитная лента, диск, кинопленка и др.; для фото док-ов - фотопленка, микрофотопленка, фотобумага. Перед взятием на учет носители дб оформлены след. образом: *На обложках спецблокнотов сотрудник КД пишет или проставляет штампом (если не проставлено типографским способом) слово "Спецблокнот" и в правом верхнем углу гриф конф-ти. Если листы спецблокнота не пронумерованы типографским способом, то они нумеруются сотр-ом КД; *На обложках раб. и стенографических тетрадей указываются вид носителя, гриф конф-ти, ФИО исполнителя. Листы тетрадей нумеруются, на обороте последнего листа составляется, подписываемая сотр-ом КД, заверительная надпись с указанием кол-ва листов в тетради. Листы типовых форм док-в нумеруются исполнителем, на первом листе проставляется гриф конф-ти. На отдельных листах бумаги, ватмана, миллиметровки, кальки в соот-их графах основных надписей штампов или др. установленных местах исполнителем проставляются: *на всех носителях - гриф конф-ти, номера листов; *дополнительно на носителях, предназначенных для чертежно-графических док-ов - кол-во листов, подразделение и ФИО исполнителя. На любом носителе, предназначенном для составления одного конкретного док-а, указывается наименование этого док-а. Учет бум. носителей в зависимости от их кол-ва и продолжительности хранения может осущ-ся в пределах года или нескольких лет. В последнем случае учетные номера каждого года продолжают номера предыдущих лет. По окончании непрерывного учета заводится новый учет за новыми номерами. Числящиеся по предыдущему учету носители перерегистрируются по новому учету с отметкой о перерегистрации в предыдущей учетной форме. Носители КИ учитываются в журналах или карточка..
  
   18. Технология работы с конф-ыми доками.
   При выходе док-ов за пределы РСО угрозы возрастают за счет вкл-ия в работу значительного числа сотрудников предприятия. Под исполнителями док-ов понимаются все лица, кот. в любой форме причастны к этому док-ту - готовят его, знакомятся с ним, визируют и подписывают. Посторонним лицом явл-я любое лицо, не имеющее права доступа к доку. При распределении конф-ых док-ов по рук-лям и исполнителям получает практическую реализацию разрешительная система доступа к док-ми. Системой доступа должно быть определено: кто из рук-лей предприятия (подразделения), кому из исполнителей и с какими категориями док-ов разрешает знакомиться, а также порядок оформления таких разрешений в зависимости от категорий док-ов. Рук-лям в пределах их полномочий разрешается знакомить исполнителей только с теми док-ми и частями этих док-ов, кот. требуются для выполнения ими служ. обязанностей. Разрешение дается рук-лем только в письменной форме. Исполнители знакомятся с док-ми в помещении РСО. Для работы в подразделениях док-ты выдаются лично исполнителям или уполномоченным РСО в этих подразделениях. Док-т выдается исполнителю или уполномоченному под роспись в 1м экземпляре карточки. После этого карточка помещается: 1й экземпляр - в картотеку "За исполнителями", 2й экземпляр - в валовую картотеку. При приеме док-та от исполнителя внимательно проверяется комплектность док-та и сохранность всех его частей, их физ. целостность. За возврат док-та сотрудник входящего участка расписывается в первом экземпляре учетной карточки и в описи док-ов, находящихся у исполнителя. Одновременно во втором экземпляре карточки или в контрольном журнале указывается новое местонахождение док-та. Для работы с конф док-ми исполнитель должен быть обеспечен: постоянным оборудованным рабочим местом; личным сейфом; номерной личной метал. печатью; экземплярами бланков внутренней описи док-ов, находящихся у исполнителя. Исполнители должны иметь машинограмму перечня находящихся у них конф-ых док-ов, дел, бумажных и тех. носителей инфы. Электронная опись ведется в службе КД. По окончании рабочего дня исполнитель проводит проверку наличия и комплектности конф-ых док-ов и сдает их, в КД. Оставлять док-ты и дела на рабочем месте запрещается.
  
   19. Клас-ия и формирование дел, содержащих конф-ые док-ты, подготовка их к архивному хранению.
   Дело - совокупность док-ов, относящихся к одному вопросу или участку деят-ти и помещенных в отдельную обложку (папку). Номенклатура дел (НД) - систематизированный перечень наименований дел, заводимых на предприятии, с указанием сроков их хранения. Предназначена для: распределения и группировки исполненных док-ов в дела, учета дел и проверки их наличия, установления сроков хранения дел, закрепления дел за конкретными исполнителями. Дела с конфи док-ми вкл-ся в общую НД вместе с неконф делами. Док-ты постоянного срока хранения комплектуются в дела отдельно от док-ов временного срока хранения. НД явл-я основанием для заведения дел. Формирование дела - отнесение док-ов к опред. делу в соотв. с номенклатурой и систематизация док-ов внутри дела. Дела заводятся и формируются централизованно на участке учета и хранения дел, не у исполнителей. Допускается формирование дел в др. подразделениях РСО (например, в отделе режима, в спецчастях). Дата заведения дела должна соот-ть дате поступления первого док-та на подшивку в дело. В дела группируются док-ты одного календарного года, не более 250л. На подшивку док-ты принимаются от работников участков РСО, ответственных за их учет, по передаточному журналу. Док-ты принимаются вместе с учетными карточками. Внутренняя опись дела - перечень док-ов, содержащихся в деле, с указанием их учетных номеров, грифа, даты, вида, краткого содержания и номеров листов, соот-их их расположению в деле. Опись подшивается перед док-ми и имеет самостоятельную нумерацию листов. Свед-я о док-те вносятся в опись при его подшивке в дело. В описи указывается дата подписания или утверждения док-та, а не дата его получения или отправки. Список лиц, допущенных к делу можно оформлять на карточке разрешений. Необходимо осущность контроль за тем, чтобы в делах, к кот. допущено несколько исполнителей, не оказались док-ты огр. доступа, даже если по тематике они связаны с данным делом. Для таких док-ов заводится спец. дело или док-ты берутся на выделенное хранение. Основной принцип хранения дел - персональная ответственность за их сохранность. Изъятие док-ов из дела производится в исключительных случаях по решению рук-ля подразделения и с разрешения рук-ля РСО. Вместо изъятых из дела док-ов помещается справка-заместитель, в кот. указываются основания изъятия док-та, куда он отправлен или данные об уничтожении. Процедура оформления дела при его закрытии. После последнего док-та в дело подшивается лист-заверитель, где указ. кол-во листов в деле, опечатываются концы ниток на листе-завер. сургучной печатью или пломбой. На обложке дела ставится кол-во листов и крайние даты доков. Журнал учета журналов, картотек и законченных производством дел явл-я основным учетным док-ом закрытых дел и ведется в течение ряда лет. Назначение ценности док-ов: С целью определения сроков хранения док-ов и отбора их для архивного хранения и уничтожения проводится экспертиза ценности док-ов. Дб охвачены все конф дела и док-ты выделенного хранения (ВХ)за соотв. период времени. Комиссия вкл. 3-5 чел. под руководством одного из заместителей рук-ля предприятия. Проверяется соот-ие содержания док-ов их грифам. Срок хранения дела в целом устанавливается по наивысшему сроку хранения док-ов, находящихся в деле. По завершении экспертизы в протоколе отражается: какие дела и док-ты ВХ подлежат передаче на архивное хранение; какие док-ты из каких дел и в какие дела необходимо перешить; какие дела, док-ты из дел и док-ты ВХ подлежат уничтожению; с каких дел, док-ов ВХ или отдельных док-ов, подшитых в дела, дб снят гриф конф-ти. Опись дел - первичный учетный док-т дел. На научно-тех., проектную, конструкторскую и иную спец. док-цию составляются отдельные описи. На дела и док-ты ВХ, подлежащие передаче в госархив, опись составляется в 4 экземплярах. Эта опись дополнительно утверждается протоколом экспертно-проверочной комиссии госархива. На дела и док-ты, не подлежащие передаче в госархив, опись составляется в 2х экземплярах: 1)если дела и док-ты передаются в архив предприятия 2)сущ-ют в одном экземпляре. Подготовка док-ов к уничтожению: рассмотрение док-ов и дел экспертной комиссией, составление и утверждение в установленном порядке описей дел постоянного и длительного сроков хранения, получение разрешения рук-лей соот-щих структурных подразделений предприятия на уничтожение док-ов и дел, док-ние разрешения росписью рук-лей под отметками в учетных формах.
  
   20. Дополнительные реквизиты конф-ых док-ов (носителей), их назначение и особенности
   Гриф конф. или гриф ограничения доступа к док-у или носителю представляет собой реквизит док-а, свидетельствующий о конф. содержащихся в док-е сведений и проставляемый на самом док-е и/или сопроводительном письме к нему. Грифы ставятся на всех экземплярах док-а, учетных и отчетных формах, черновиках, вариантах и копиях, в кот. содержится хотя бы один из конф. показателей. Инфа и док-ы, отнесенные к КТ, имеют несколько уровней грифа ограничения доступа, соот-щих различным степеням конф. инфы ("Конф-но", "КИ", "КТ", "Для служ. пользования", "СИ"). Гриф ограничения доступа, указываемый на док-е, не сокращается по написанию и под обозначением грифа указывается номер экземпляра док-а, срок действия грифа и иные условия его снятия. Гриф располагается на первом и титульном листах док-а, а также на обложке дела (тома), в правом верхнем углу. На эл.док-х и док-х, записанных на любых машинных носителях, гриф обозначается на всех листах. Ниже грифа или ниже адресата могут обозначаться ограничительные пометы типа: "Лично", "Только в руки", "Только адресату", "Лично в руки" и др. При регистрации конф. док-в к его номеру добавляется сокращенное обозначение грифа конф., например: N 37к, 89ск, 97дсп. Грифы секретности: ОВ СС и С. Использование этих грифов для засекречивания сведений, не отнесенных к ГТ, не допускается. При засекречивании сведений их носителям присваивается соот-ий гриф секретности и наносятся реквизиты, включающие след. данные: *грифы секретности со ссылкой на пункт действующего в данном органе гос. власти, орги перечня сведений, подлежащих засекречиванию; *об органе гос. власти, орг-ии, осущ-ших засекречивание; *о регистрационном номере; *о дате и условиях рассекречивания сведений или о событии, после наступления кот. сведения будут рассекречены. Экспедиционная обработка конф. док-ов. Процедуры приема, обработки и отправки спец корреспонденции. На носители сведений, сост. ГТ наносятся реквизиты, включающие данные: о степени секретности об органе гос власти, о предприятии, осущ-их засекречивание носителя; о регистрационном номере; о дате или условии рассекречивания сведений либо о событии, после наступления, которого сведения будут рассекречены. При невозможности нанесения таких реквизитов на носитель сведений, сост. ГТ, эти данные указываются в сопроводительной документации на этот носитель.
  
   22. Работа с персоналом, допускаемым к конф-ой инфы. Особенности док-ия трудовых отношений.
   Подбор и расстановка кадров осущ-ся из внутренних перестановок (в основном, когда допуск к наиболее важной КИ) и за счет найма на рынке труда. В качестве критериев подбора рассматриваются требования к проф. (образование, опыт и стаж работы и др.) и личным качествам (возраст, пол, психологические особенности личности, социальный статус и др.) потенциальных претендентов, на каждую конкретную должность. Изучение и отбор персонала: собеседование; тестирование; изучение личных док-ов, док-ов об образовании, трудовой деят-ти, рекомендаций, хар-ик; проверка подлинности док-ов; изучение и подтверждение полноты и подлинности сведений, изложенных в анкетах и автобиографии; проверка фин. состояния и кредитной истории; мед. осмотр; проведений конкурсов на замещение вакансий; аттестация сотрудников предприятия в целях продвижения проф-ой квалификации, возможности выдвижения на более высокие должности. Претендент должен дать письменное обязательство о неразглашении КИ (это указ. в труд. договоре или отдельно). Предупреждается об ответственности за разглашение этой И. Работа с персоналом, обладающим КИ, осущ-ся в течение всего времени его пребывания в орг-ии. Можно выделить несколько основных направлений текущей работы с персоналом: 1.Регулирование доступа к защищаемой инфе 2.Обучение персонала в соотв. с программами по безопасности и ЗИ. 3. Мотивация персонала к деят-ти по обеспечению безопасности и ЗИ. Первый этап имеет своей целью ознакомление вновь принятого сотрудника с целями, задачами, основными требованиями ЗИ, сформулированными в норм-метод. док-ах, а также обучение по спец. программам методам, процедурам, используемым в процессе ЗИ на каждом конкретном рабочем месте. Второй этап предусматривает более углубленное изучение проблем ЗИ и нацелен на развитие навыков работы, ознакомление с изменяющимися требованиями системы ЗИ, представляет собой повышение квалификации сотрудника и программы второго этапа рассчитаны на все время пребывания сотрудника в орге. Формы и методы обучения, используемые на первом и втором этапах, практически одни и те же (лекции, семинары, конференции, индивидуальные тренинги). Процесс обучения, его планирование и орг-ия осущ-ся в основном СБ при участии службы упр-ия персоналом. Орг-ия обучения персонала преследует цель не только обучения, но и мотивации персонала к деят-ти по ЗИ. Под мотивацией понимается целенаправленное воздействие на личность, побуждающее ее изменять поведение в опред. целях и действовать в соотв. с этими целями. Стимулирование труда применяется для поощрения добросовестности и бдительности персонала при выполнении обязанностей по ЗИ (мат., фин., моральное, продвижение по службе). Важность задач по ЗИ и достаточно жесткие требования режима ее защиты предполагают необходимость контроля работы персонала со стороны руководства орги. Контроль: аттестация сотрудников; регулярные проверки соблюдения сотрудниками требований по ЗИ; самоконтроль сотрудников. Объявление выговора, понижение в должности, лишение премии, отстранение от работы с КИ, увольнение. Беседа с увольняющимися имеет целью предотвратить утрату И или ее неправильное использование бывшим сотрудником в результате его природной или умышленной забывчивости. Следует напомнить о подписанном обязательстве о неразглашении и после увольнения сотрудника по крайней мере в течении года за его деят-тью будет осущ-ся наблюдение.
  
   23. Особенности правовой защиты ГТ.
   ГТ - защищаемые гос-вом свед-я в области военной, внешнеполитической, эконом., разведывательной, контрразвед. и оперативно-розыскной деят-ти, распространение кот. может нанести ущерб безопасности РФ. Вопрос регулируется: Конституция, з-н 2446-I "О безопасности", з-н 5485-1 "О ГТ", др. акты, Связанные с защитой ГТ. Отнесение сведений к ГТ и их засекречивание осущ-ся в соотв. с принципами законности, обоснованности и своевременности. Срок засекречивания сведений не больше 30 лет. Отнесение сведений к ГТ осущ-ся в соотв. с перечнем сведений, сост-их ГТ (ССГТ), рук-лями органов гос. власти. МВК по ЗГТ формирует по предложениям органов гос. власти. В этом перечне указываются органы гос. власти, наделяемые полномочиями по распоряжению данными свед-ями. Перечень утверждается президентом, подлежит открытому опубликованию и пересматривается по мере необходимости. В соотв. с перечнем разрабатываются развернутые перечни сведений, подлежащих засекречиванию. Степень секретности ССГТ, должна соот-ть степени тяжести ущерба, вследствие распространения этих сведений. Степени и грифы: ОВ, СС, С. При передаче ССГТ, органы власти и орг-ии, в кот. передаются свед-я, должны обеспечить защиту сведений. Они должны иметь лицензию на проведение работ со свед-ями соотв. степени секретности. Решение о передаче ССГТ, другим государствам или международным орг-иям принимается правительством при наличии экспертного заключения МВК о возможности передачи этих сведений. Обязательства принимающей стороны по защите регламентируются договором (соглашением). Мат-ый ущерб, наносимый собственнику инфы в связи с ее засекречиванием, возмещается гос-вом. Заключается договор, в кот. предусматриваются обязательства собственника инфы по ее нераспространению. При отказе собственника от подписанного договора он предупреждается об ответственности за несанкц. распространение сведений. К органам защиты ГТ относятся: МВК, ФСБ, миноборон, ФАПСИ, ФСО, СВР, и их территориальные органы; органы гос. власти, предприятия, учреждения и орги и их структурные подразделения по ЗГТ. Контроль за обеспечением ЗГТ осущ-ют президент, правительство в пределах полномочий, определяемых Конституцией РФ, фед-ми конституционными законами и ФЗ. Межведомственный контроль за обеспечением ЗГТ в органах гос. власти, на предприятиях, в учреждениях осущ-ют фед. органы исполн-ой власти, уполномоченные в области обеспечения безопасности, в области обороны, в области внешней разведки, в области противодействия тех. разведкам и тех. ЗИ, и их территориальные органы. Органы гос. власти, наделенные полномочиями по распоряжению ССГТ, обязаны контролировать эфф-ть защиты во всех подчиненных им органах, предприятиях, учреждениях. Контроль за обеспечением ЗГТ в администрации президента, в аппаратах палат фед. собрания, правительства организуется их рук-лями. Контроль за обеспечением ЗГТ в судебных органах и органах прокуратуры организуется рук-лями этих органов. Надзор за соблюдением закон-ва при обеспечении ЗГТ и законностью принимаемых при этом решений осущ-ют генпрокурор и подчиненные ему прокуроры. Уголовная ответственность за разглашение ГТ - ст. 283, 284 УК РФ.
  
   24. Особенности правовой защиты КТ.
   КТ - режим конф-ти инфы, позволяющий ее обладателю увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную комм. выгоду. Правовые основы защиты КТ: ГК ст139, ФЗ 98 "О КТ". Режим КТ считается установленным после принятия обладателем инфы, сост. КТ, мер: определить перечень инфы, составляющей тайну, установить порядок обращения с этой инфой и порядок контроля за его соблюдением; вести учет лиц, кот. имеют доступ к этой инфе или кот. она была передана; урегулировать договорные отношения с контрагентами и своими сотрудниками; нанести на мат-ые носители гриф "КТ". Охрана КТ в трудовых отношениях. 1. В целях охраны конф-ти инфы работодатель обязан: ознакомить под расписку работника: с Перечнем; с установленным режимом КТ и с мерами ответственности за его нарушение; создать работнику необходимые условия для соблюдения им установленного режима. 2. Доступ работника к инфе, сост. КТ, осущ-ся с его согласия, 3. В целях охраны конф-ти инфы работник обязан: выполнять установленный работодателем режим КТ; не разглашать КТ не использовать эту инфу в личных целях; не разглашать её. После прекращения трудового договора в течение опред. срока или в течение трех лет после прекращения оного, если соглашение не заключалось; возместить причиненный работодателю ущерб, если работник виновен в разглашении КТ; передать работодателю при прекращении или расторжении трудового договора имеющиеся в пользовании работника мат. носители с КТ. 4. Работодатель вправе потребовать возмещения причиненных убытков лицом, прекратившим с ним трудовые отношения, в случае, если это лицо виновно в разглашении КТ, если разглашение последовало в течение срока, оговоренного выше. 5. Причиненные ущерб, убытки не возмещаются работником или прекратившим трудовые отношения лицом, если разглашение инфы явилось следствием непреодолимой силы, крайней необходимости или неисполнения работодателем обязанности по обеспечению режима КТ. 6. Трудовым договором с рук-лем орги должны предусматриваться его обязательства по обеспечению охраны конф-ти инфы. 7. Рук-ль орги возмещает орге убытки, причиненные его виновными действиями 8. Работник имеет право обжаловать в судебном порядке незаконное установление режима КТ. Практические аспекты использования закон-тва о КТ. Если в уставе орги прописан режим КТ, то при нарушении его третьими лицами, собственник инфы может обратиться в суд, в установленном порядке, на основании ФЗ 98 "О КТ". Особенности правовой охраны секретов произ-ва (СП) (ноу-хау) в режиме КТ. СП (ноу-хау) - свед-я любого хар-ра (производственные, тех., эконом., организационные и др.), в тч о результатах интел-ой деят-ти в научно-тех. сфере, а также свед-я о способах осущ-ия проф. деят-ти, кот. имеют действительную или потенциальную комм. ценность в силу неизвестности их третьим лицам, к кот. у третьих лиц нет свободного доступа на законном основании и в отношении кот. обладателем таких сведений введен режим КТ. Обладателю СП принадлежит ИП использования его любым не противоречащим закону способом (ИП на СП). Лицо, ставшее добросовестно и независимо от др. обладателем сведений, сост. содержание охраняемого СП, приобретает самостоятельное ИП на него. ИП действует до тех пор, пока сохраняется конф-ть сведений, сост. его содержание. С момента утраты конф-ти соот-щих сведений ИП на СП прекращается. Договор об отчуждении ИП на СП 1.По договору об отчуждении ИП одна сторона (правообладатель) передает или обязуется передать ИП в полном объеме др. стороне - приобретателю ИП на этот СП. 2.При отчуждении ИП лицо, распорядившееся своим правом, обязано сохранять конф-ть СП до прекращения действия ИП. Лицензионный договор о предоставлении права использования СП 1)По лицензионному договору одна сторона - обладатель ИП (лицензиар) предоставляет др. стороне (лицензиату) право использования соотв. СП в установленных договором пределах. 2)Лицензионный договор может быть заключен как с указанием, так и без указания срока его действия. В случае, когда срок не указан, любая из сторон вправе в любое время отказаться от договора, предупредив об этом не позднее чем за 6 месяцев, если договором не предусмотрено иное. 3)При предоставлении права использования СП лицо, распорядившееся своим правом, обязано сохранять конф-ть СП в течение всего срока действия лицензионного договора. Служебный СП 1.ИП на СП, созданный работником в связи с выполнением своих трудовых обязанностей, принадлежит работодателю. 2.Гражданин, кот. в связи с выполнением своих трудовых обязанностей стал известен СП, обязан сохранять конф-ть полученных сведений до прекращения действия ИП на этот секрет. СП, полученный при выполнении работ по договору В случае, когда СП получен при выполнении договора, ИП на такой СП принадлежит подрядчику (исполнителю), если соотв. договором не предусмотрено иное. В случае, когда СП получен при выполнении работ по договору, заключаемому главным распорядителем или распорядителем бюджетных ср-тв с фед гос. и учреждениями, ИП на такой СП принадлежит подрядчику (исполнителю), если договором не установлено, что это право принадлежит РФ. Нарушение ФЗ 98 о КТ влечет за собой дисциплинарную, гражданско-правовую, административную или уголовную ответственность в соотв. с закон-ом РФ.
  
   25. Требования нормативных док-ов по защите ПД.
   ФЗ 152 "О ПД", Указ "о свед. конф. хар-ра", приказ ФСТЭК N21, постановление 1119. Основные требования: 1)Определение угроз безопасности ПД при их обработке, формирование на их основе модели угроз. 2)Разработка на основе модели угроз системы защиты ПД, обеспечивающей нейтрализацию предполагаемых угроз. 3)Обучение лиц, использующих СрЗИ, применяемые в ИС, правилам работы с ними. 4)Учет применяемых СрЗИ, носителей ПД, эксплуатац. и тех.. док-ции к ним. 5)Применение орг. и тех. мер по обеспечению безопасности ПД при их обработке в ИС ПД, необходимых для выполнения требований к защите ПД, исполнение кот. обеспечивает уровни защищенности ПД. 6)Описание системы защиты ПД. 6)Применение прошедших в установленном порядке процедуру оценки соответствия СрЗИ. 7)Оценка эфф-ти принимаемых мер по обеспечению безопасности ПД до ввода в эксплуатацию ИСПД. 8)Учет машинных носителей ПД. 9)Учет лиц, допущенных к работе с ПД в ИС. 10)Обнаружение фактов НСД к ПД и принятием мер. 11)Восстановление ПД, модифицированных или уничтоженных вследствие НСД к ним. 12)Установление правил доступа к ПД, обрабатываемым в ИСПД, а также обеспечением регистрации и учета всех действий, совершаемых с ПД в ИСПД. 13)Контроль за принимаемыми мерами по обеспечению безопасности ПД и уровня защищенности ИСПД. 14) Защита каналов связи, по кот. осущ-ся обмен ПД, путем реализации соот-их организационных мер или путем применения ТС. Нормативные док-ты: перечень сведений конф. хар-ра; инструкция администратора ИБ; приказ о назначении лиц, ответственных за организацию обработки ПД и перечне мер по защите ПД; перечень ПД, подлежащих защите; приказ об утверждении мест хранения ПД; инструкция пользователей ИС ПД; приказ о назначении комиссии по уничтожению ПД; порядок резервирования и восстановления работоспособности ТС и ПО, БД и СрЗИ; план внутренних проверок режима защиты ПД; приказ о вводе в эксплуатацию ИС ПД; журнал учета носителей инфы ИС ПД; журнал учета мероприятий по контролю обеспечения защиты ПД; журнал учета обращений граждан-субъектов ПД о выполнении их законных прав; правила обработки ПД без использования средств автоматизации; положение о разграничении прав доступа к обрабатываемым ПД; акт клас-ии ИС ПД; инструкция по проведения антивир. контроля в ИС ПД; инструкция по организации парольной защиты; журнал периодического тестирования СрЗИ; форма акта уничтожения док-ов, содержащих ПД; соглашение о неразглашении ПД; журнал учета СрЗИ; журнал проведения инструктажа по ИБ; инструкция пользователю по обеспечению безопасности при возникновении внештатных ситуаций; приказ о перечне лиц, допущенных к обработке ПД; положение об обработке и защите ПД; план мероприятий по обеспечению безопасности ПД; модель угроз безопасности в ИС ПД.
  
   26. Понятие и сущность ПТ. Виды инфы, относящиеся к ПТ и особенности её защиты.
   Главный отличительный признак ПТ состоит в том, что ее сферой явл-я защита чужих тайн, полученных в процессе осуществления проф. деят-ти, не связанной с госслужбой соот-ми юр. и физ. лицами. ПТ - вид тайны, включающий защищаемую полномочными, юр. или физ. лицами инфу, состав-ю любой вид тайны других физ. и юр. лиц, кот. получена в результате осущ-я проф. деят-ти. Охрана нач-ся с момента, когда данные сведения были доверены и осущ-ся бессрочно, если иное не установлено законом, либо договором с клиентом. Виды: Нотариальная тайна - сведения, ставшие известны нотариусам в силу осущ-я ими их проф. деят-ти. Адвокатская тайна - любые сведения, связанные с оказанием адвокатом юр. помощи своему доверителю. Адвокат не может быть вызван и допрошен в качестве свидетеля об обстоятельствах, ставших ему известными в связи с обращением к нему за юр. помощью или в связи с ее оказанием. Проведение оперативно - розыскных мероприятий и следственных действий в отношении адвоката допускается только на основании судебного решения; Тайна страхования - сведения, ставшие известны работниками страх. компаний в силу осущ-я ими страх. деят-ти; Тайна связи - в РФ гарантируется тайна переписки, телеф. переговоров, почт. отправлений, телеграфных и иных сообщений. Операторы связи обязаны обеспечить соблюдение тайны связи; Врачебная тайна - факт обращения за мед. помощью, сведения о сост-и здоровья, диагнозе заболевания и иные сведения, полученные при обследовании и лечении гражданина в соотв-и с основами закон-ва об охране здоровья; Религиозная тайна - тайна исповеди охраняется законом. Священнослужитель не может быть привлечен к ответственности за отказ от дачи показаний по обстоятельствам, кот. стали известны ему из исповеди; Аудиторская тайна - ауд. орги обязаны хранить инфу об операциях аудируемых лиц, лицах, кот. оказывались ауд. услуги и сведения кот. имеются в док-х аудируемых лиц; Банковская тайна - это защищаемые банками и иными кредитными оргами сведения о банк. оргах по счетам и вкладам, сведения о самих счетах и вкладах, а также сведения о клиентах и корреспондентах, разглашение кот. может повлечь нарушение прав и законных интересов клиентов и корреспондентов банка; Тайна усыновления.
  
   27. Организация защиты ПД на предприятии.
   ФЗ 152 "О ПД", Указ "о свед. конф. хар-ра", приказ ФСТЭК N21, постановление 1119.В первую очередь, рук-лю орги необходимо ознакомиться с зак-вом и провести консультации с юристами и представителями орг, специализирующихся в области ЗИ. Принять решение о начале проекта и назначить ответственных лиц. Провести аудит (инвентаризацию ИС), кот. должен ответить на след. вопросы: *Перечень ИС, обрабатывающих ПД на предприятии; *Оценка законности обработки ПД и наличия согласий субъектов на такую обработку; *Определение предельных сроков и условий прекращения обработки ПД. Сформировать перечень ПД. Провести классификацию ИСПД. Док-но регламентировать работу с ПД. Разработать организационно-распорядительные док-ы по защите ПД. Получить согласие субъектов на обработку ПД и, при необходимости, заключить договоры на обработку ПД с взаимодействующими оргами. Определить актуальные угрозы безопасности ПД и сформировать модель угроз. Уточнить класс спец. ИСПД по результатам оценки актуальных угроз. Привести СЗПД в соот-е с треб-ми норм.-правовых актов и регулирующих органов - ФСБ и ФСТЭК. Установить необходимые СрЗИ (антивирусной защиты, шифрования, защиты от НСД, защиты при межсетевом взаимодействии, защиты от утечки КИ и тд). Обучить лиц, использующих СрЗИ, применяемые в ИС, правилам работы с ними. Лицензировать деят-ть по тех. защите КИ (при необходимости проведения работ силами предприятия). Атт-ть ИСПД по требованиям безопасности инфы (для ИСПДн 1,2 и 3 классов). Уведомить Роскомнадзор - уполномоченный орган по защите ПД об обработке ПД в установленных закон-ом случаях. Организовать эксплуатацию, мониторинг и реагирование на угрозы ИСПД в соот-ии с требованиями по безопасности.
  
   28. Правовое регулирование отношений в сфере АП.
   ГК часть 4, глва 69. АП - интеллектуальные права на произведения науки, литературы и искусства независимо от способа его выражения. К объектам АП также относятся программы для ЭВМ, кот. охраняются как литературные произведения. Автору произведения принадлежат след. права: ИП на произведение; право авторства; право автора на имя; право на неприкосновенность произведения; право на обнародование произведения. АП возникает автоматически с момента создания. Исключительное право (ИП) на произведения науки, литературы и искусства распространяетсяна произведения, обнародованные на (за пределами) территории РФ или необнародованные, но находящиеся в к-либо объективной форме на (за пределами) территории РФ, и признается за авторами (их правопреемниками) независимо от их гражданства. К объектам АП относятся: производные произведения; составные произведения. АП распространяются как на обнародованные, так и на необнародованные произведения, выраженные в к-либо объективной форме, в тч в письменной, устной форме (в виде публичного произнесения, публичного исполнения и иной подобной форме), в форме изображения, в форме звуко- или видеозаписи, в объемно-пространственной форме. Для возникновения, осущ-ия и защиты АП не требуется регистрация произведения или соблюдение каких-либо иных формальностей. В отношении программ для ЭВМ и баз данных возможна регистрация, осущ-ая по желанию правообладателя. АП не распространяются на идеи, концепции, принципы, методы, процессы, системы, способы, решения тех., организационных или иных задач, открытия, факты, языки программирования. Автору произведения или иному правообладателю принадлежит ИП использовать произведение (в соотв. со ст.1229 ГК РФ) в любой форме и любым не противоречащим закону способом (ИП на произведение). Правообладатель может распоряжаться ИП на произведение, а также использовать произведение независимо от того, совершаются ли соот-ие действия в целях извлечения прибыли или без оной.ИП на произведение действует в течение всей жизни автора и 70 лет, считая с 1 января года, следующего за годом смерти автора. ИП на произведение, созданное в соавторстве, действует в течение всей жизни автора, пережившего др. соавторов, и 70 лет, считая с -//-. На произведение, обнародованное анонимно или под псевдонимом, срок действия ИП истекает через 70, считая с -//- его обнародования. Если в течение указанного срока автор произведения, обнародованного анонимно или под псевдонимом, раскроет свою личность или его личность не будет далее оставлять сомнений, ИП будет действовать в течение срока, указанного выше. ИП на произведение, обнародованное после смерти автора, действует в течение 70 лет после обнародования произведения, считая с -//- его обнародования, при условии, что произведение было обнародовано в течение 70 лет после смерти автора. Если автор произведения был репрессирован и посмертно реабилитирован, срок действия ИП считается продленным и 70 лет исчисляются с -//- реабилитации автора произведения. Если автор работал во время ВОВ или участвовал в ней, срок действия ИП увеличивается на 4 года. По истечении срока действия ИП произведение, как обнародованное, так и необнародованное, переходит в общественное достояние. Произведение, перешедшее в общественное достояние, может свободно использоваться любым лицом без чьего-либо согласия или разрешения и без выплаты авторского вознаграждения. При этом охраняются авторство, имя автора и неприкосновенность произведения. Перешедшее в общественное достояние необнародованное произведение может быть обнародовано любым лицом, если только обнародование произведения не противоречит воле автора. ИП на произведение переходит по наследству. ИП на служебное произведение (СП) принадлежит работодателю, если не предусмотрено иное. Если работодатель в течение 3 лет со дня, когда СП было предоставлено в его распоряжение, не начнет использование этого произведения, не передаст ИП на него др.у лицу или не сообщит автору о сохранении произведения в тайне, ИП на СП принадлежит автору. Если работодатель в срок начнет использование СП или передаст ИП др.у лицу, автор имеет право на вознаграждение.
  
   29. Патентное право
   ГК часть 4, глва 72. Патентные права - интеллектуальные права на изобретения, полезные модели (ПМ) и пром. образцы (ПрО). Автором (авторами) изобретения, ПМ или ПрО признается гражданин (граждане), творческим (совместным) трудом кот. создан соотв. результат интел-ой деят-ти. Лицо, указанное в качестве автора в заявке на выдачу патента считается автором изобретения, если не доказано иное. Патент - охранный док-т, удостоверяющий ИП, авторство и приоритет изобретения, ПМ либо ПрО. Изобретение - тех. решение в любой области, относящееся к продукту (уст-тво, вещество, штамм микроорганизма, культура клеток) или способу. ПрО - худ.-конструкторское решение изделия, определяющее его внешний вид. ПМ - сходный с изобретением немат. объект интеллектуальных прав (тех. решение), относящийся к уст-ву.. Право авторства неотчуждаемо и непередаваемо, в тч при передаче др.у лицу или переходе к нему ИП на изобретение, ПМ или ПрО и при предоставлении др. лицу права его использования. Право на получение патента первоначально принадлежит автору. Право может перейти к др.у лицу (правопреемнику) или быть ему передано в случаях и по основаниям, кот. установлены законом. Договор об отчуждении права на получение патента дб заключен в письменной форме. Патентообладателю принадлежит ИП использования изобретения, ПМ или ПрО любым не противоречащим закону способом. Патентообладатель может распоряжаться ИП. Использованием изобретения, ПМ или ПрО считается, в частности: ввоз на территорию РФ, изготовление, применение, предложение о продаже, продажа, иное введение в гражданский оборот или хранение для этих целей продукта, в кот. использованы изобретение или ПМ, либо изделия, в кот. использован ПрО. Срок действия ИП и удостоверяющего это право патента исчисляется со дня подачи первоначальной заявки на выдачу патента в фед. орган исполн-ой власти по интел-ой собственности (ФОИВпИС) и при условии соблюдения требований, установленных ГК РФ, составляет:* 20 лет (+ 15 лет) - для изобретений; *10 лет (+3 года) - для ПМ; *15 лет (+10 лет) - для ПрО. Защита ИП, удостоверенного патентом, может быть осуществлена лишь после гос. регистрации изобретения и выдачи патента. По договору об отчуждении ИП на изобретение одна сторона (патентообладатель) передает или обязуется передать принадлежащее ей ИП на соотв. результат интел-ой деят-ти в полном объеме др. стороне - приобретателю ИП (приобретателю патента). По лицензионному договору одна сторона - патентообладатель (лицензиар) предоставляет или обязуется предоставить др. стороне (лицензиату) удостоверенное патентом право использования изобретения в установленных договором пределах. Патентообладатель может подать в ФОИВпИС заявление о возможности предоставления любому лицу права использования изобретения (открытой лицензии). Договор об отчуждении патента, лицензионный договор, а также др. договоры, поср-твом кот. осущ-ся распоряжение ИП заключаются в письменной форме и подлежат гос. регистрации в ФОИВпИС. 1.Заявка на выдачу патента на изобретение, ПМ или ПрО подается в ФОИВпИС лицом, обладающим правом на получение патента в соотв. с п. 2 ст. 1385 или п. 2 ст. 1394 ГК. 2.Заявление о выдаче патента на изобретение, ПМ или ПрО представляется на рус. языке. Прочие док-ты заявки представляются на рус. или др. языке. Если док-ты заявки представлены на др. языке, к заявке прилагается их перевод на рус. язык. 3.Заявление о выдаче патента на изобретение, подписывается заявителем, а в случае подачи заявки через патентного поверенного или иного представителя - заявителем или его представителем, подающим заявку. 4.Требования к док-ми заявки на выдачу патента на изобретение устанавливаются на основании ГК ФОИВпИС. 5.К заявке на выдачу патента на изобретение прилагается док-т, подтверждающий уплату патентной пошлины в установленном размере, или док-т, подтверждающий основания освобождения от уплаты патентной пошлины, либо уменьшения ее размера, либо отсрочки ее уплаты. ИП на изобретение, ПМ или ПрО признается и охраняется при условии их гос. регистрации, на основании кот. ФОИВпИС выдает патент. На основании решения о выдаче патента этот орган вносит изобретение, ПМ или ПрО в соот-ий. гос. реестр (гос. реестры: изобретений, ПМ, ПрО) и выдает патент. Этот же орган публикует в официальном бюллетене свед-я о любых изменениях записей в гос. реестрах. Подача заявки на выдачу патента на секретное изобретение (СИ), рассмотрение такой заявки и обращение с ней осущ-ся с соблюдением закон-ва о ГТ. Заявки на СИ, для кот. установлена степень секретности ОВ или СС, а также на СИ, которые относятся к ср-вам вооружения и военной техники и к методам и ср-вам в области развед., контрразвед. и оперативно-розыскной деят-ти и для кот. установлена степень секретности С, подаются в зависимости от их тематической принадлежности в уполномоченные Правительством РФ фед. органы исполн-ой власти, уполномоченные органы. Заявки на иные СИ подаются в ФОИВпИС. Если при рассмотрении этим органом заявки на изобретение будет установлено, что содержащиеся в ней свед-я сост-т ГТ, такая заявка засекречивается в порядке, установленном закон-ом о ГТ, и считается заявкой на СИ. Засекречивание заявки, поданной иностранным гражданином или иностранным юрлицом, не допускается. Публикация сведений о такой заявке в этом случае не производится. Гос. регистрация СИ в гос. реестре изобретений РФ и выдача патента на СИ осущ-ся ФОИВпИС или, если решение о выдаче патента на СИ принято уполномоченным органом. Уполномоченный орган, зарегистрировавший СИ и выдавший патент на СИ, уведомляет об этом ФОИВпИС. Договор об отчуждении патента, а также лицензионный договор на использование СИ подлежит регистрации в органе, выдавшем патент на СИ, или его правопреемнике, а при отсутствии правопреемника - в ФОИВпИБ. В отношении СИ не допускаются публичное предложение заключить договор об отчуждении патента и заявление об открытой лицензии. Споры, связанные с защитой патентных прав, рассматриваются судом. Патентообладатель вправе потребовать публикации в официальном бюллетене ФОИВпИС решения суда о неправомерном использовании изобретения, ПМ, ПрО или об ином нарушении его прав.
  
   30. Ссмежные права.
   ГК часть 4, глва 71. Субъектами смежных прав (СП): исполнители (музыканты, певцы, пародисты, актёры, танцоры и т. д.); производители фонограмм; орг-ии эфирного или кабельного вещания; изготовители БД; публикаторы. Ср-ва судебной защиты от случаев нарушения СП, как правило, аналогичны ср-вам, которыми располагают обладатели авторского права (АП) - это: охранительные или временные меры; гражданско-правовые ср. защиты; уголовные санкции; меры, предпринимаемые на границе; а также меры, ср-ва судебной защиты и санкции против злоупотреблений в отношении ТС. Срок действия ИП на объекты СП согласно ГК: На исполнение действует в течение всей жизни исполнителя, но не менее 50 лет, считая с 1 января года, следующего за годом, в кот. осущ-ны исполнение, либо запись исполнения, либо сообщение исполнения в эфир или по кабелю; также необходимо отметить, что если исполнитель был репрессирован и посмертно реабилитирован, срок действия ИП считается продленным, и 50 лет исчисляются с -//- реабилитации. Если исполнитель работал во время ВОВ или участвовал в ней, то срок (50 лет) продлевается еще на 4 года. На фонограмму действует в течение 50 лет, считая с -//-, в котором была осуществлена запись. В случае обнародования фонограммы ИП действует в течение 50 лет, считая с -//-, в кот. она была обнародована при условии, что фонограмма была обнародована в течение 50 лет после ее записи. На сообщение радио- или телепередачи действует в течение 50 лет, считая с -//-, в кот. имело место сообщение радио- или телепередачи в эфир или по кабелю. ИП изготовителя БД возникает в момент завершения ее создания и действует в течение 15 лет, считая с -//- ее создания; срок возобновляется при каждом обновлении БД. ИП публикатора на произведение (к кот. приравнивается программа для ЭВМ) возникает в момент обнародования этого произведения и действует в течение 25 лет, считая -//- его обнародования. По истечении данных сроков действия указанные выше объекты переходят в общественное достояние. Орги, осущ-ие коллективное упр-ие АП и СП и правовые основы: Авторы, исполнители, изготовители фонограмм и иные обладатели АП и СП могут создавать основанные на членстве НКО по управлению правами на коллективной основе. Создание таких НКО не препятствует осущ-ию представительства обладателей АП и СП другими юрлицами и гражданами. Основанием полномочий орг-ии по управлению правами на коллективной основе явл-я договор о передаче полномочий по управлению правами, заключаемый такой оргой с правообладателем в письменной форме. Указанный договор может быть заключен с правообладателями, являющимися членами такой орги, и с правообладателями, не являющимися ее членами. При этом орга по управлению правами на коллективной основе обязана принять на себя упр-ие этими правами, если упр-ие такой категорией прав относится к уставной деят-ти этой орги. Основанием полномочий орги по управлению правами на коллективной основе может быть также договор с др. оргой, в тч иностранной, управляющей правами на коллективной основе.
  
   1. Понятие угрозы БИ, виды источников угроз. КУИ и их особенности. Опасные сигналы, их виды и источники.
   Безопасность инфы - состояние, при кот. обеспечивается конф., целостность и доступность инфы. Угроза БИ - совокупность факторов и условий их реализации, результатом кот. могут быть утечка, модиф-ие (искажение, подмена), уничтожение или блокирование доступа к инфе. Виды угроз: утечка; модифицирование (искажения, подмены); уничтожение; блокирование доступа к инфе; разглашение. Косвенные каналы ут.: кража или утеря носит. инфы; исследование не унич-го мусора; дистанционное фото-ние, прослушивание; перехват ЭМ-излучений. Прямые каналы ут.: инсайдеры (человеческий фактор); утечка из-за несоблюдения КТ; прямое копировани. Физ. каналы ут.: акуст. - запись звука, подслушивание и прослушивание; акустоэл. - получение инфы через звуковые волны с дальнейшей передачей ее через сети элпитания; виброакуст - сигналы, возникающие поср-твом преобразования информативного акуст. сигнала при воздействии его на строительные конструкции и инженерно-техн. коммуникации защищаемых помещений; оптические - визуальные методы, фотографирование, видео съемка, наблюдение; ЭМ-копирование полей путем снятия индуктивных наводок; радиоизлучения или эл. сигналы от внедренных в ТС и защищаемые помещения спец. электронных уст-тв съема речевой инфы ЗУ, модулированные информативным сигналом; мат. - инфа на бумаге или др. физ. носителях инфы. Функциональные сигналы создаются для выполнения радиоср-вом заданных ф-ий по обр., пер. и хр. инфы. К основным источникам ФС относятся: передатчики (источники С) систем связи; передатчики радиотех. систем; излучатели акуст-их. С гидролокаторов и акуст. связи; люди как источники условных С. К ТС обр., пер. и хр., создающим опасные С, относятся ср-ва: телеф. проводной связи; моб. тел. и радиосвязи; e-mail; ЭВМ(Т); телевизионные; звукоусиления; линейной радиотрансляции и оповещения; радиоприемные уст-ва; видеоаппаратура; аудиоаппаратура. Случ. опасные С создают электрич. приборы и ср-ва: системы электрочасофикации; охранной, пожарной сигнализаций; размножения док-ов; системы кондиц. и вент. воздуха; быт. приборы, оргтехника и иное производственное оборудование, имеющее в своем составе элементы преобразования акуст. инфы в электрич. сигналы (акусто-электрич. преобразователи); элпроводящие коммуникации здания, проходящие через контролируемую зону.
  
   2. Порядок построения системы ЗИ на ОИ в соот-ии с требованиями нормативных док-в.
   Организация и проведение работ по ЗИ с ограниченным доступом опред-ся серией законов начиная от "N 912-51 15.09.1993 Положения о гос. системе ЗИ в РФ от иностранных тех. разведок и от ее утечки по ТК" до "Спец. требований и рекомендаций по тех. защите КИ". За организацию работ по ЗИ ответственность возлагается на рук-лей предприятий и учреждений, рук-лей подразделений, осущ-их разработку проектов объектов информатизации (ОИ) и их эксплуатацию. Методическое руководство и контроль эфф-ти предусматривают меры защиты, возлагаемые на рук-лей СБ. Научно-тех. руководство и непоср-твенную ор-ию работ по созданию СЗИ осущ-ет главный конструктор/др. лицо, обеспечивающее создание ОИ. Ответственность за состояние ЗИ возлагается на соот-ее подразделение и лиц СБ. Применительно к типовой структуре СБ комм. структуры ИТЗИ обеспечивается группой ИТЗИ, кот. может состоять из старшего инженера (инженера) - рук-ля группы и инженера (техника) по спец измерениям. Порядок орг-ии работ по созданию и эксплуатации СЗИ опред-ся в разработанном на предприятии руководстве по ЗИ или в спец. положении о порядке орг-ии и проведении работ по ЗИ. Эти док-ты должны предусматривать: •порядок определения защищаемой инфы; •порядок привлечения подразделений предприятия, спецов сторонних организаций к разработке и эксплуатации СЗИ ОИ; •порядок взаимодействия всех занятых сил; •порядок разработки, ввода в действие и эксплуатацию ОИ; •определенную ответственность руководящего состава. В начале всех работ в учреждении дб док-тально оформлены перечни сведений конф характера и чувствительной инфы (относится к управлению различной сложности и опасными производственными циклами и процессами). Предпроектная стадия - производятся обследование объекта, разрабатываются аналитическое обоснования необходимости создания СЗИ и частные задания на СЗИ. Стадия проектирования и создания ОИ: •разработка задания на создание ОИ с учетом требований ТЗ на разработку СЗИ; •проведение строительно-монтажных работ в соот-ии с проектной док-тацией; •разработка организационно-тех. мероприятий по ЗИ; •приобретение сертифицированных ТС, программных ср-тв, программно-тех. СрЗИнформац. установок; •разработка эксплуатационной док-тации на ОИ и СрЗИ. На стадии ввода в действие ОИ и СЗИ осущ-тся: •опытная эксплуатация СрЗИ в комплексе другими ТС и программными ср-ми в целях проверки их работоспособности в составе ОИ и отработки технологического процесса обработки (передачи) инфы; •приемосдаточные испытания СрЗИ по результатам опытной эксплуатации с оформлением приемо-сдаточного акта, подписываемого разработчиком (поставщиком) и заказчиком; •аттестация ОИ по требованиям БИ. На стадии ввода в действие ОИ и СЗИ оформляются: •акты внедрения СрЗИ по результатам их приемо-сдаточных испытаний; •протоколы аттестационных испытаний и заключение по их результатам; •аттестат соответствия ОИ (защищаемое помещение и АС) требованиям по БИ.
  
   3. Преобразование акуст. сигналов в акустоэл. сигналы. Физ. явления, позволяющие преобразовывать акуст. сигналы в эл..
   Преобразователи внешних акуст. сигналов в элсигналы называются акустоэлектрическими преобразователями (АЭП). К ЭП относятся физ. устр-ва, элементы, детали и материалы, способные под действием переменного давления акуст. волны создавать эквивалентные элсигналы или изменять свои параметры. Класс-ия АЭП по физ. процессам, создающим опасные сигналы: Активные - элдинамические, ЭМ, пьезоэл.; Пассивные (параметрические) - индуктивные, магнитострикционые, емкостные. На выходе активных АЭП под воздействием акуст. волны образуются эквивалентные эл.сигналы, пассивные же реагируют лишь изменением своих параметров. Опасные сигналы в элдинамическом АЭП возникают за счет электромаг. индукции при перемещении провода в маг. поле под воздействием акуст. волны. Если провод длиной L под действием звуковой волны с давлением P перемещается со скоростью V в маг. поле с индукцией B, то в нем при условии перпендикулярности силовых маг. линий проводу и скорости его перемещения, возникает ЭДС величиной E=L*B*V. Тк скорость перемещения провода зависит от давления акуст. волны V=PS/Z (Z- мех. сопротивление, S - площадь провода, на кот. воздействует волна), ЭДС так же зависит от параметров акуст. волны, то есть модулируется ею. В пассивных АЭП под воздействием акуст. волны изменятся параметры элементов схем ср-тв. В конечном итоге изменяются и параметры циркулирующих в них элсигналов. Чаще всего изменяются индуктивности и емкости элцепей. Если в элцепи есть катушка с витками проволоки, то под воздействием акуст. волны может измениться размер катушки и расстояние между витками, что приведет к изменению индуктивности катушки. Далее, если катушка явл-я эл-ом, задающим частоту генератора, изменение индуктивности вызовет частотную модуляцию сигнала генератора инфы, кот. была в акуст. волне. Магнитострикция проявляется в изменении маг. свойств электротех. стали и ее сплавов при деформации, что приводит к изменению значений индуктивности цепи и модуляции протекающих через нее сигналов. К случайным АЭП относятся: вызывные устройства телеф. аппаратов; динамические головки громкоговорителей, ЭМ-капсюли телеф. трубок, элдвигатели бытовых элприборов, кнопочные извещатели ручного вызова пожарной службы охран-го объекта, орг. вентиляторы; катушки контуров, дросселей, трансформаторов, провода монтажных жгутов, пластины (электроды) конденсаторов; пьезоэл-ие вещества (кварцы генераторов, виброакуст. излучатели акусти. генераторов помех); ферромаг. материалы в виде сердечников трансформаторов и дросселей. Опасные сигналы, образованные в результате акустоэл. преобразования, могут: распространяться по проводам за пределы контролируемой зоны; излучаться в пространство; модулировать другие сигналы.
  
   4. Ср-ва телевизионного наблюдения, применяемые в системах физ. охраны объекта. Их назначение, состав и основные тех. хар-ки.
   Телевизионные камеры. В современных тел-ых охранных системах используют камеры на приборах с зарядовой связью (ПЗС-матрицы, ПЗС-камеры), хотя в эксплуатации еще есть камеры на электронно-лучевых трубках. Уст-тва обработки и коммутации видеосигналов: Видеомониторы. Видеокоммутаторы последовательного действия (свитчеры) - уст-тва, обеспечивающие последовательное переключение видеосигналов от нескольких камер на 1 или несколько мониторов. Видеоквадраторы - цифровые уст-тва, обеспечивающие размещение изображений от 4-х источников на одном экране. Видеомультиплексоры - высокотехнологические системы видеозаписи и упр-ия, предназначенные для записи видеосигналов до 16 камер на одну видеокассету (с помощью кодирования (каждый кадр окрасить номерами)), воспроизведения кодированной кассеты и обработки сигналов тревоги. Видеоменеджеры (комп. устр-ва упр-ия) - может выполнять ф-ции цифрового видеодетектора движения с программированием данных нарушителя (направление движения, скорость, размеры и тп); управлять режимами "записи", "воспроизведения" и "вывода изображения на экран"; программировать алгоритмы наблюдения, охраны, видео регистрации в ежедневном и еженедельном циклах; производить обработку видеоинфы цифровыми методами; автоматически фиксировать повреждения камер, коммуникаций и другого периферийного оборудования; вести диалог с оператором речевым способом; автоматически дозваниваться и передавать инфу на удаленный пост в случае тревоги через модем. Уст-тва регистрации - устр-во, предназначеные для записи, хранения и воспроизведения видеоинфы. Могут работать в двух режимах: непрерывный; прерывистый записываются только опред. кадры. Уст-тва передачи телевиз. сигнала: коаксиальный кабель, телеф. линия, оптоволокно, радио и ИК-каналы. При необходимости передачи сигнала на большие расстояния применяют видеоусилители и модемы (передатчики-модуляторы, приемники-демодуляторы). Видеоусилители применяют для компенсации затухания сигнала в линиях при передаче на большие расстояния. Видеораспределители используют при трансляции видеосигнала нескольким потребителям. Детекторы активности движения (видеоохрана). Охранник может без наблюдения за экраном получать сигнал тревоги, если изменилась ситуация на наблюдаемом объекте (режим видеоохраны). Видеодетектор движения представляет собой автономный или встроенный в мультиплексор электронный блок, кот. запоминает текущий кадр изображения, сравнивает его с послед. и выдает сигнал тревоги при несовпадении сравниваемых изображений. Аналоговые детекторы движения следят за уровнем яркости и уровнем сигналов одинаковых эл-тов изображения, и выявляют их изменения. Цифровые видеодетекторы - многоканальные уст-тва, позволяющие разбивать охраняемую зону на отдельные блоки, для каждого из кот. вырабатывается свой порог срабатывания. Чем выше этот порог, тем большие изменения должны произойти. Программным путем можно задавать хар-ки движения (начало движение, направление, скорость и тп). Способы увеличения видеозаписи изображений от телевиз. камер наблюдения: Запись событий только при срабатывании детектора движения или релейного выхода Уменьшение разрешения и/или скорости записи изображения (кадр/сек), Использование комп. алгоритмов сжатия (кодеки) видеосигнала.
  
   5. Назначение и задачи специсследования и спецпроверки помещений и тех. ср-тв.
   ГОСТ Р51583-2000, Р51264-2000. Спец. проверка (СП) - это комплекс инженерно-тех. мероприятий, проводимых с использованием контрольно-измерительной аппаратуры, направленных на исключение перехвата тех. разведкой инфы, содержащей ГТ, с помощью внедренных в защищаемые ТС и изделия спец. электронных ЗУ. СП проводятся с целью выявления электронных уст-тв перехвата (негласного получения) инфы. СП подлежат ТС иностранного пр-ва, а также ТС отеч. пр-ва, изготовленные с использованием комплектующих иностранного пр-ва, предназначенные для: •обработки инфы, содержащей ГТ; •обработки КИ, в тч и ПД; •размещения в выделенных (защищаемых) помещениях. По результатам СП составляется заключение, в кот. указывается возможность применения ТС по назначению, а также ограничения по применению ТС. Проведение СП охватывает выделенные помещения, ТС, используемые в процессе обработки инфы с ограниченным доступом, вспомогательные ТС, используемые на ОИ и в выделенных помещениях. Спец. исследования (СИ) - это выявление с использованием контрольно-измерительной аппаратуры возможных тех. каналов утечки защищаемой инфы от основных и вспомогательных ТС и систем и оценка соответствия ЗИ требованиям нормативных док-в по ЗИ. СИ ТС и систем проводятся с целью выявления возможных каналов утечки инфы за счет побочных ЭМ-излучений и наводок, элкустических преобразований, ВЧ-навязывания. СО создаваемой техники явл-ся составной частью предварительных и гос. испытаний и заключаются в выявлении спец. параметров ТС, необходимых для проверки защищенности инфы от утечки на всех этапах жизненного цикла изделия, в разработке и выдаче рекомендаций по блокированию КУ инфы, выдаче Заключения о соответствии ТС и эксплуатационно-тех. док-ии на него, требованиям ТЗ по ЗИ от утечки.
  
   6. Назначение, клас-ия, состав и тех. хар-ки ЗУ. Демаск. признаки ЗУ. Клас-ия, назначение и основные хар-ки ср-тв обнаружения ЗУ.
   Радиоэлектронные закладные уст-тва (РЗУ) представляют собой уст-тва, создающие организованный канал несанкц. получения и передачи в пункт приема аудио-, аудиовиз. или обрабатываемой радиоэлектронной аппаратурой и передаваемой в сетях связи инфы. Закладные уст-тва (ЗУ): По виду носителя - проводные; излучающие. По виду первичного сигнала - акустические; аппаратные. По способу установки - с заходом злоумышленника в помещение; без захода. По режиму работы - неуправляемые; с акустоавтоматом; дистанционно управляемые. По диапазону частот - НЧ, ВЧ, СВЧ, ИК. По стабильности частоты сигнала - нестабилизированные; с "мягкой" стабилизацией; с "жесткой" стабилизацией. По питанию - с автономным питанием; от сети; от аппарата; от внешнего источника радиоизлучений. По способы закрытия инфы - незакрытые; закрытые. Способы поиска ЗУ: По видовым признакам - визуальный осмотр. По сигнальным признакам - поиск радиосигналов ЗУ; поиск эл. сигналов ЗУ. По вещественным признакам - поиск полупроводниковых, метал-х эл-тов; пустот в стенах; неоднородностей в однородной среде; просвечивание предметов. Основные демаск. признаки возможной установки ЗУ: *следы ремонтных работ на полу и стенах, нарушение покраски; *перестановка предметов в помещении; *появление новых предметов, особенно таких, в кожухе или оболочке кот. имеется одно или несколько отверстий. *неизвестные ранее предметы с отрезками проводов; *тонкие провода, заложенные по плинтусу, подвесной потолок; *свежие царапины на предметах и т.п. Индикаторы ЭМ-полей. Обнаружитель поля световым или звуковым сигналом информируют оператора о наличии в месте расположения антенны индикатора ЭМ-поля с напряженностью выше фоновой. Частотомеры - обеспечивают, кроме того, измерение частоты колебаний поля. Существенно большую чувствительность имеют супергетеродинные бытовые приемники. Возможности использования быт. радиоприемников для поиска РЗУ ограничены радиовещательным диапазоном и видами модуляции, применяемыми в радиовещании (AM и ЧМ). Радиоприемники с автоматизированным сканированием радиодиапазона обеспечивают поиск в диапазоне частот, перекрывающем частоты почти всех применяемых РЗУ. Сканирующие радиоприемники имеют оперативную память для запоминания частот, не представляющих интерес источников излучения (радиовещательных и служ. радиостанций). Дистанционно управляемые РЗУ и ЗУ, передающие инфу по проводам, не обнаруживаются аппаратурой радиоконтроля. Для их поиска используются демаск-ие признаки материала конструкции и эл-тов схемы ЗУ, а также признаки сигналов, распространяющихся по проводам. Для поиска используются спецср-ва. Обнаружители пустот позволяют обнаруживать возможные места установки ЗУ в пустотах стен или др. деревянных или кирпичных конструкциях. Ср-ва обнаружения ЗУ по физ. свойствам эл-тов (напр, нелинейные радиолокаторы): Можно искать с помощью металлоискателей, рентгеновской аппаратуры, НРЛ или подповерхностного локатора. Типы и принципы работы нелинейных локаторов. В зависимости от режима излучения бывают НРЛ с непрерывным и импульсным излучением. Принцип НРЛ: передатчик-локатор облучает контролируемую зону, если в обследуемом пространстве находятся объекты, содержащие p-n-переходы (транзисторы, диоды), то посланный сигнал будет ими принят, преобразован в сигнал с другим частотным спектром и переизлучен в определенное пространство. Преобразованный сигнал принимается приемником локатора.
  
   7. Организационно-тех. мероприятия по исключению утечки инфы за счет паразитных связей и наводок. Методы и ср-ва пассивной ЗИ (экранирование маг., ЭМ-поля, эл. проводов).
   Параз. емкостные связи обусловлены эл. емкостью между эл-ми, деталями и проводниками устройств, несущих сигнал. Параз. индуктивные связи обусловлены наличием взаимоиндукции между проводниками и деталями аппаратуры. Параз. ЭМ-связи обычно возникают между выводными проводниками усилительных эл-ов, образующими колебательную систему с распределенными параметрами. На практике это работает примерно так: есть два провода протянутых параллельно друг другу - по одному идет эл-во, а по др. происходит передача инфы (сетевой, телеф., провод до принтера и тд). Информативный сигнал с кабеля наводится на кабель питания и злоумышленник, с помощью спец. аппаратуры, с кабеля питания снимает инфу, кот. вы передавали. Меры защиты: *Применение систем передачи и типов линий связи, обеспечивающих малые значения взаимных влияний. Например, применение коаксиальных кабелей и волоконно-оптических линий практически полностью решает проблему защиты. *Рациональный выбор кабелей для различных систем передачи. *Взаимная компенсация наводок и помех между линиями связи. Реализуется путем скрещивания воздушных линий связи и подбора шагов скрутки цепей кабеля. *Экранирование цепей кабельных лини. Защита от взаимного влияния в этом случае достигается путем ослабления интенсивности влияющего ЭМ-поля в экране. Требования к экранам ЭМ-полей на НЧ и ВЧ. Способы: Экранирование элполя, Экранирование маг. поля, ЭМ-экранирование. Экранирование элполя метал. заземленным экраном достигается за счет нейтрализации зарядов в экране, вызванных этим полем. Для НЧ: Max магнитная проницаемость (во сколько раз сопротивление линиям в вакууме меньше чем в используемом металле), Большая толщина экрана (для достижения одного и того же экранирующего эффекта). Для ВЧ: Сопротивление в проводнике дб min-ым, для этого покрыть экран слоем серебра или золота. Требования к цепям заземления. В качестве заземлителей чаще всего применяются стальные трубы длиною 2-3 м диаметром 35-50 мм и стальные полосы сечением 50-100 мм. Более удобными явл-я трубы, позволяющие достигнуть достаточно глубоких влажных слоев земли, обладающих достаточно высокой проводимостью и не подвергающихся высыханию или промерзанию. Способы снижения излучений симметричных и несимметричных кабелей. Симметричный - кабель, у кот. оба провода имеют одинаковые эл. хар-ики, но разное направление тока. Каждый ток создает свое поле, и за счет этого они друг друга компенсируют (напр., витая пара). Несмотря на то, что излучение сим. кабеля незначительно, это не делает допустимым передачу по нему КИ. Для этого сначала необходимо заземлить цепь. Несимметричный - кабель, где экран явл-я общим сигнальным проводом. Т.е. это такой кабель, где один провод - внутренний, а второй - это метал. сетка. Особенностью проводов несим. кабеля явл-я то, что они имеют разное сопротивление, расстояние между ними может быть больше, а также они имеют разные токи. Несим. кабели необходимо экранировать. Этого можно достичь так: применить железный экран, поместить кабель в газовую или водопроводную трубу.
  
   8. НЧ и ВЧ излучения ТС, источники побочных ЭМ-излучений и наводок. Методы и ср-ва пассивной и активной ЗИ.
   Вид излучения и характер распространения ЭМ-поля зависят от частоты колебания поля и вида излучателя. НЧ считаются излучения звук. диапазона, источниками кот. явл-я цепи и уст-ва звукоусилительной аппаратуры (микрофоны, аудиомагнитофоны, телеф. аппараты, кабели между этими уст-ми). К ВЧ опасным излучениям относятся ЭМ-поля, излучаемые цепями радиоэлектронных ср-тв, по кот. распространяются ВЧ сигналы, содержащие ЗИ. К основным источникам побочных излучений с мощностью, достаточной для выхода сигнала за пределы контро. зоны, относятся: *гетеродины радио- и теле приемников; *генераторы подмагничивания и стирания аудио- и видеомагнитофонов; *усилители и логические эл-ты в режиме паразитной генерации; *электронно-лучевые трубки мониторов и телевизоров; *эл-ты ВЧ-навязывания; *эл-ты компа, в кот. циркулируют сигналы в параллельном коде. К излучающим эл-там ВЧ-навязывания относятся радио- и механ. Эл-ты, кот. модулируют подводимые к ним эл. и радиосигналы: *нелинейные эл-ты, на кот. одновременно поступают НЧ эл. сигнал и ВЧ гармонический сигнал. При этом последний модулируется первым.; *токопроводящие механ. конструкции, изменяющие свой размер и переотражающие внешнее ЭМ-поле. ЗИ от утечки через ПЭМИН осущ-ся с применением пасс. и акт. методов и ср-тв. Активный метод предполагает применение спец. широкополосных передатчиков помех (генераторы шума). Метод хорош тем, что устраняется не только угроза утечки инфы по каналам побочного излучения ТС (комп), но и многие другие угрозы. Как правило, становится невозможным также и применение ЗУ. Становится невозможной разведка с использованием излучения всех др. уст-тв, расположенных в защищаемом помещении. В одной точке пространства уровень излучения источника помех превышает уровень излучения ТС, а в другой точке пространства или на другой частоте это может и не обеспечиваться. Поэтому после установки источников шума необходимо проведение сложных измерений по всему периметру охраняемой зоны и для всех частот. Процедуру проверки необходимо повторять всякий раз, когда просто изменилось расположение ТСили установили новые. Недостатки: 1)достаточно мощный источник излучения никогда не считался полезным для здоровья. 2)наличие маск. излучения свидетельствует, что в данном помещении есть серьезные секреты. Это само по себе будет привлекать к этому помещению повышенный интерес злоумышленников. 3)при опред. условиях метод не обеспечивает гарантированную ЗИ. Этих недостатков лишен пассивный метод - экранировании источника излучения (доработка компа), размещении источника излучения ТС (монитора) в экранированном шкафу или в экранировании помещения целиком. В целом, конечно, для ЗИ пригодны оба метода. Но при одном условии: если у есть подтверждение того, что принятые меры действительно обеспечивают требуемую эфф-ть ЗИ. Есть три вида экранирования: электростатическое (заземление); магнитостатическое (для НЧ); ЭМ (для ВЧ).
  
   9. Акуст. и виброакуст. каналы утечки инфы. Пасс. и акт. методы и ср-ва противодействия подслушиванию.
   Акустические - запись звука, подслушивание и прослушивание; Виброакустические - сигналы, возникающие поср-твом преобразования информативного акуст. сигнала при воздействии его на строительные конструкции и инж-тех. коммуникации защищаемых помещений. Методы защиты: •установка двойной двери с уплотнительными прокладками и тамбуром глубиной 30 см; •увеличение толщины стены между кабинетом и приемной, а также соседними помещениями на 0,5 кирпича; •установка на батареи отопления резонаторных экранов или излучателей генератора виброакуст. зашумления (ИГВЗ); •закрытие окна плотными шторами, установка на стекла окон ИГВЗ (для предотвращения лазерного подслушивания при закрытых окнах); •установка перед воздухозаборниками акуст. экранов; •установка датчиков комплекса обнаружения скрытно работающего диктофона под столешницу стола рук-ля возле стула для посетителя и стола заседания; •применение устройств для подавления сигналов скрытно работающего диктофона. Установка двойной двери повышает звукоиз. с 18 дБ до 48 дБ, утолщение стены увеличивает звукоиз. примерно на 20 дБ. Основу ср-тв акуст. маскировки составляют генераторы помех. Большую группу генераторов шума составляют уст-ва, принцип действия кот. основан на усилении колебаний первичных источников шумов. В качестве источников шумовых колебаний используются элвакуумные, газоразрядные, полупроводниковые и другие электронные приборы и эл-ты. Временной случайный процесс, близкий по своим свойствам к шумовым колебаниям, может быть получен и с помощью цифровых генераторов шума, формирующих последовательности двоичных символов, называемые псевдослучайными. Наряду с шумовыми помехами в целях активной акуст. маск. используют и другие помехи, например, "одновременный разговор нескольких человек", хаотические последовательности импульсов и тд
  
   10. Способы и ср-ва контроля помещений на отсутствие ЗУ. Состав ТС поиска и локализации ЗУ, порядок проведения защитно-поисковых работ.
   Проведения защитно-поисковых работ: от двери по или против часовой стрелки от периферии к центру помещения. Во время осмотра обращать внимание на свежие царапины на обоях, возле сетевых и телеф. розеток и выкл-ей освещения, на стенах, винтах корпуса тел. аппарата, на пылевые следы смещения картины или др. предметов, на отрезки проводов и на др. следы или непонятные на первый взгляд предметы. Для обеспечения БИ в помещении необходим постоянный контроль отсутствия в нем ЗУ - "чистка" помещений. Виды такой "чистки": *оперативный визуальный осмотр помещения; *профилактический периодический контроль с использованием ТС поиска и локализации ЗУ; *разовый контроль помещения перед проведением в нем совещаний по вопросам, инфа по кот. имеет высокий гриф секретности; *проверка помещения после проведения капитального ремонта в нем; *проверка различных новых предметов, размещаемых в помещении представительских подарков, предметов интерьера, радиоэлектронных ср-тв и др.; *радиомониторинг помещения в течение рабочего времени. Состав ср-тв для обнаружения ЗУ: *досмотровое зеркало; *индикатор поля - частотомер; *анализатор телеф. линий и линий элпитания; *портативный металлодетектор; *генератор помех в радиодиапазоне; *фонарь для освещения темных мест при визуальном поиске; *сканирующий портативный приемник.. Такой набор обеспечивает: визуальный осмотр помещений с освещением и контролем уровня ЭМ-поля в труднодоступных местах; обнаружение сканирующим приемником излучений закладок с локализацией мест их установки с помощью индикатора поля; обнаружение неизлучающих ЗУ в не содержащих металл местах (кирпичных стенах, предметах мебели, шкафах и тд).
  
   11. Особенности утечки инфы по техническим каналам, типовая структура тех. каналов утечки инфы по видам носителей. Комплексное использование тех. каналов утечки инфы нарушителем.
   Утечка (инфы) по ТК - неконтролируемое распространение инфы от носителя (Н) защищаемой инфы через физ. среду до ТС, осуществляющего перехват инфы. Тех. канал утечки инфы (ТКУИ), так же как и канал передачи инфы, состоит из источника сигнала, физ. среды его распространения и приемной аппаратуры злоумышленника. Структура. На вход канала поступает инфа в виде первичного сигнала. Первичный сигнал представляет собой Н с инфой от ее источника или с выхода предыдущего канала. Источника сигнала: *объект наблюдения, отражающий ЭМ и акуст. волны; *объект наблюдения, излучающий собственные (тепловые) ЭМ-волны в опт. и радиодиапазонах; *передатчик функц-го канала связи; ЗУ; источник опасного сигнала; источник акуст. волн, модулированных инфой. Инфа от источника поступает на вход канала на языке источника (в виде букв-цифр. текста, символов, знаков, звуков, сигналов и тд), передатчик производит преобразование этой формы представления инфы в форму, обеспечивающую запись ее на Н инфы, соот-ий среде распространения. Выполняет следу. функции: *создает поля или эл. ток, кот. переносят инфу; *производит запись инфы на Н; *усиливает мощность сигнала (Н с инфой); *обеспечивает передачу сигнала в среду распространения в заданном секторе пространства. Среда распространения Н - часть пространства, в кот. перемещается Н. Она хар-ся набором физ. параметров, определяющих условия перемещения Н с инфой. Приемник выполняет ф-ии, обратные функциям передатчика. Он производит: выбор Н с нужной получателю инфой; *усиление принятого сигнала до значений, обеспечивающих съем инфы; съем инфоы с Н; *преобразование инфы в форму сигнала, доступную получателю (человеку, ТС), и усиление сигналов до значений, необходимых для безошибочного их восприятия. Канал утечки инфы - носитель инфы: оптический КУИ - ЭМ-поле (фотоны): *радиоэлектронный КУИ и ЭМ-поля в радиодиапазоне, а также эл. ток (поток электронов), распространяющийся по метал. проводам; *акустические - пругие акуст. волны, распространяющиеся в среде; *мат.-вещественные - черновики док-в и использованная копировальная бумага. ТКУИ, состоящий из передатчика, среды распространения и приемника, явл-я одноканальным. Более сложные варианты ут. ифны - по нескольким последовательным или параллельным каналам. При этом используется свойство инфы переписываться с одного Н на др.. Например, если в каб. ведется конф. разговор, то ут. возможна не только по акуст. каналу через стены, двери, окна, но и по оптическому - путем съема инфы лазерным лучом со стекла окна или по радиоэлектронному с использованием установленной в кабинете РЗУ. В двух последних вариантах образуется составной канал, состоящий из последовательно соединенных акуст. и оптического (на лазерном луче) или акуст. и радиоэлектронного (РЗУ - среда распространения - радиоприемник) каналов.
  
   12. Клас-ия тех. разведок, технология добывания инфы ср-вами тех. разведок. Способы доступа к источникам инфы, методы добывания инфы, показатели эфф-ти добывания инфы.
   По видам ТР подразделяется на космическую, воздушную, морскую и наземную, т.е. в основу класс-ии положено место размещения аппаратуры разв.. В основу же класс-ии ТР по используемой аппаратуре положен физ. принцип построения аппаратуры разв.. В соот-ии с этим принципом ТР разделяется на: *оптическую ОР, оптико-электронную ОЭР (Н - ЭМ-поле в видимом и ИК-диапазонах); *радиоэлектронную РЭР (Н - ЭМ-поле в радиодиапазоне или эл. ток); гидроакустическую ГАР, акустическую АР (Н - акуст. волна в газ., жид. и твердых средах); *химическую ХР (Н - частицы вещества); *радиационную РДР (Н - излучения рад. в-тв); *сейсмическую СР (Н - акуст. волна в земной поверхности); *магнитометрическую ММР (Н - магнитное поле), компьютерную (КР.). Методы добывания инфы: О, РЭР и АР подразделяется на подвиды ТР. ОР включает: визуальнооптическую; фотографическую; инфракрасную; телевизионную; лазерную. Ср-ва инфр. разведки преобразуют изображение в ИК-диапазоне в видимое, но одноцветное изображение, цвет кот. соответствует свечению люминофора экрана. Телевизионная разведка обеспечивает не только добывание инфы о движущихся объектах, но и передачу этой инфы на большое расстояние. Лаз.р.: получение инфы по результатам облучения объекта лаз. лучом (для подсветки, измерения дальности, дистанц. физ. и хим. анализа) и определения источников и хар-ик лаз. излучения. ОЭР - обеспечивает добывание инфы путем приема и анализа ЭМ-излучений ультраф., видимого и ИК-диапазонов от объектов разведки. РЭР - Радиоразведка добывает, семантическую инфу путем перехвата радиосигналов с КИ, радиотехническая - инфу о параметрах (признаках) радиотех. сигналов, радиолокационная - о видовых признаках радиол-го изображения объекта на экране радиол., радиотепловая - о признаках, проявляющихся через собственные ЭМ-излучения объектов в радиодиапазоне. Силы и ср-ва, используемые для добывания инфы из побочных ЭМ-излучений и наводок, образуют разведку ПЭМИН, кот. отличается от радиоразведки более чувствительной аппаратурой. АР, гидроак., виброак. (в твердой среде, в основном в строительных конструкциях и различных трубах) обеспечивает получение инфы путем приема и анализа акуст. сигналов, распространяющихся в различных средах от объектов. ХР добывает инфу о составе, структуре и св-ах в-тв путем взятия проб и анализа их макрочастиц. РДР предназначена для обнаружения, локализации, определения хар-ик и измерения уровней излучений рад. в-тв. ММР позволяет по изменению М-поля Земли обнаруживать объекты, например подводные лодки в погруженном состоянии. СР обеспечивает добывание инфы из акуст. (сейсмических) волн, распространяющихся в земной коре. Процесс добывания инфы ТСР: *добывание первичных разведданных об объекте различными ТСР; *получение разведсведений об объекте на основе анализа первичных разведд. каждого отдельного СрР; *комплексная обработка разведсведений, полученных при помощи нескольких СрР; *подготовка итоговой разв. инфы для потребителя в соот-ии с поставленными разв. задачами; Способы доступа: физ. •проникновение к источнику инфы; •сотрудничество агента с работником (гражданином другого государства или фирмы), имеющим лег. или нел. доступ к интересующей разведку инфе; •дистанционное добывание инфы без нарушения границ. Показатели эфф.: полнота добываемой И; •своевременность добывания И; •достоверность И; •вероятность обнаружения и распознавания объекта; •точность измерения демаск. признаков; •затраты на добывание И.
  
   13. Оптические каналы утечки инфы в видимом и ИК диапазонах. Методы и ср-ва противодействия наблюдению в опт. и ИК диапазонах.
   Структура оптического канала утечки инфы (ОКУИ): Отраженный от объекта свет содержит инфу о его внешнем виде (видовых признаках), а излучаемый объектом свет - о параметрах излучеґний (признаках сигналов). Запись инфы производится в момент отражения падающего света путем изменения его яркости и спектрального состава. Излучаемый свет содержит инфу об уровне и спектральном составе источников видимого света, а в ИК-диапазоне по хар-кам излучений можно также судить о температуре элементов излучения. В общем случае объект наблюдения излучает и отражает свет другого источника как в видимом, так и ИК-диапазонах. Длина (протяженность) ОКУИ зависит от мощности света, от объекта, св-тв среды распространения и чувст-ти фотоприемника. Среда распространения в ОКУИ: безвоздушное (космическое) пространство; атмосфера; оптические световоды. Способы защиты: использование маск. свойств местности; маск-ная обработка местности; маск-ное окрашивание; применение искусственных масок; нанесение на объект воздушных пен. Волоконно-оптическая связь - вид проводной элсвязи, использующий в качестве носителя инфы сигнала ЭМ-излучение опт-го (ближнего инфракрасного) диапазона, а в качестве направляющих систем - волоконно-оптические кабели. Способы защиты ВОЛП: *пассивные методы (регистрация излучения с боковой поверхности волокна); *активные методы (регистрации излучения, выводимого через боковую поверхность волокна с помощью спец. ср-тв); *компенсационные методы (регистрация излучения, выводимого через боковую поверхность с помощью спец. ср-тв, с последующим формированием излучения и ввода его в волокно, кот. скомпенсирует потери мощности при выводе излучения). Способы защиты: *механ. защита волокна; *разработака ТС от НСД к информ. сигналам; *разработка ТС контроля НСД к информ. опт. излучению. Ко 2му и 3му способу относится метод "кодового зашумления" передаваемых сигналов. Принцип работы метода: при небольшом понижении мощности детектируемого сигнала, кот. может быть вызвано подключением к линии уст-ва съёма инфы, в детектируемом на одном из концов волокна цифровом сигнале значительно возрастает количество ошибок, далее или передача инфы обрывается, или быстро обнаруживается нарушитель.
  
   14. Контроль эфф-ти ЗИ на объектах информатизации (ОИ). Орг-ные, орг.-тех.,тех методы контроля.
   Контроль состояния и эфф-ти ЗИ (КСЭЗИ)- комплекс работ, направленный на поддержание уровня защищенности инфы, обрабатываемой на ОИ. КСЭЗИ на ОИ заключается в оценке выполнения требований закон-ва РФ, обоснованности принятых мер ЗИ, проверке выполнения норм и требований эфф-ти ЗИ по действующим методикам с применением соот-ей контрольно-измерительной аппаратуры и прогр. ср-тв тестирования и контроля. Контроль проводится силами СБ, рук-ми орги и структурных подразделений, всеми сотрудниками орги, допущенными к закрытой инфе. Применяют след. виды контроля: предварительный; периодический; постоянный. Предварительный контроль проводится при любых изменениях состава, структуры и алгоритма функц-ия СЗИ, в тч: •после установки нового ТС или изменения орг-ных мер; •после проведения профилактических и рем. работ СрЗИ; •после устранения выявленных нарушений в СЗИ. Периодический контроль осущ-ся с целью обеспечения систематического наблюдения за уровнем защиты. Он проводится выборочно (применительно к отдельным темам работ, структурным подразделениям или всей орги) по планам, утвержденным рук-лем орги, а также вышестоящими органами. Постоянный контроль осущ-ся выборочно силами СБ и привлекаемых сотрудников с целью объективной оценки уровня ЗИ и, прежде всего, выявления слабых мест в СЗИ. Тех. меры контроля проводятся с использованием ТС радио и эл. измерений, физ. и хим. анализа и обеспечивают проверку: •напряженности полей с инфой на границах конт. зон; •уровней опасных сигналов и помех в проводах и экранах кабелей, выходящих за пределы конт. зоны; •степени зашумления генераторами помех структурных звуков в ограждениях; •концентрации демаск. веществ в отходах пр-ва. Для измерения напряженности эл. полей используются селективные вольтметры, анализаторы спектра, панорамные приемники. Различают три вида тех. контроля: инструментальный; инструментальнорасчетный; расчетный. Орг. меры контроля: •проверка выполнения сотрудниками требований РД по ЗИ; •проверку работоспособности ср. охраны и СрЗ от наблюдения, подслушивания, перехвата и утечки инфы по матвещ-му каналу (наличие занавесок, штор, жалюзей на окнах, чехлов на разрабатываемых изделиях, состояние звукоизоляции, экранов, ср-тв подавления опасных сигналов и зашумления, емкостей для сбора отходов с демаск. веществами и тд); •контроль за выполнением инструкций по ЗИ о разрабатываемой продукции; •оценку эфф-ти применяемых способов и СрЗИ.
  
   15. Радиоэлектронные каналы утечки инфы, источники сигналов, среда распространения сигналов и их хар-ки. Акт. и пасс. методы и ср-ва ЗИ от утечки по радиоэлектронному каналу.
   Особенности радиоэл. канала ут. инфы (РЭКУИ): функц-ет свободно от времени суток; полученная инфа достоверна и имеет большой объем; независимость канала от метеоусловий. Источник: уст-ва каналов связи, кот. передают инфу; источники ЭМ-излучений; источники ЭМ-наводок; объекты, кот. отражают ЭМ-волны в радиодиапазоне; объекты, кот. излучают тепловые волны в радиодиапазоне. Среда распространения: атмосфера; безвоздушное пространство; различные типы эл. проводов и волноводы. Виды РЭКУИ: Перехват инфы, кот. передается по функц-му каналу; КУИ специально устанавливаются злоумышленниками. Способы защиты Активные: Маскирующие помехи создают помеховый фон, на кот. затрудняется или исключается обнаружение и распознавание полезных сигналов. Имитирующие помехи по структуре близки к полезным сигналам и при приеме могут ввести в заблуждение получателя. Флуктуационные помехи имеют распределенный по частоте спектр и создаются коронами высоковольтных линий элпередач, лампами дневного света и тд Заградительные помехи имеют ширину спектра частот, значительно превышающую ширину спектра полезного сигнала, Прицельная помеха имеет ширину спектра, соизмеримую (равную или превышающую в 1,5-2 раза) с шириной спектра сигнала, Помеха изменяет демаск. признаки сигнала случайным образом (маскирующая помеха) или формирует демаск. признаки другого объекта сигнала (имитирующая помеха). Помеха, кот. зашумляет пространство, называется пространственной, а помеха, распространяющаяся по направляющим линиям - линейной. Пассивные: скрытия объектов от радиол-го наблюдения его поверхность покрывают материалами, обеспечивающими поглощение облучающей ЭМ-энергии. Отражательная способность объекта в радиодиапазоне зависит не только от его геометр. размеров, но и от элпроводности его поверхности и конфигурации поверхности по отношению к направлению луча радиолокатора.
  
   16. Структура системы охраны объекта защиты от физ. доступа. Принципы, задачи и методы физ. ЗИ.
   ИнжТС и программные ср-тв СФЗ: •система контроля и управления доступом персонала (СКУД); •система охранной сигнализации (СОС); •система телев. наблюдения (СТН); •система оперативной связи и оповещения; •обеспечивающие системы (освещения, элпитания, охранного освещения и др.). Принцыпы СФЗ: зональный принцип построения СО, эшелонирование рубежей защиты, усиление защитных мер (орг-ых и инженерно-тех.) "от периферии к центру"; обеспечение своевременного противодействия принятым угрозам за счет оптимального сочетания ср-тв получения инфы о тревожных ситуациях, физ. барьеров и действий сил охраны; обеспечение "равнопрочности" защиты уязвимых мест объекта (с учетом их категорий) и оптимальной избыточности отдельных элементов СО (для повышения ее живучести); обеспечение постоянного автомат-го контроля за функц-ем СО с целью точной реализации принятых на объекте правил и процедур; обеспечение гибкости функци-ия СО в нормальных и экстрем. ситуациях; системное и блочно-модульное построение СО с целью обеспечения возможности поэтапного ее совершенствования. Задачи ФЗ: предупреждение случаев НСД на объекты предприятия; своевременное обнаружение несанкц. действий на территории предприятия; задержка (замедление) проникновения нарушителя, создание препятствий его действиям; пресечение несанкц. действий на тер. предприятия; задержание лиц, причастных к подготовке или совершению диверсии, хищению носителей КИ или иных мат. ценностей предприятия. Основные методы ИТЗИ на предприятии: создание физ., электронных и других препятствий зл-ку на пути к носителям КИ и ее источникам; введение зло-ка в заблуждение с помощью ТС путем подготовки и распространения (навязывания) ложной инфы; применение различных ср-тв контроля НСД для выявления попыток реализации зло-ком угроз БИ и информирование о выявленных попытках должностных лиц, участвующих в выработке мер ЗИ на объектах предприятия; предупреждение должностных лиц и персонала предприятия о возникновении ЧС на объектах; орг-ция служ. связи, системы оповещения и взаимодействия эл-ов СЗИ. К ТС ФЗ относятся: ср-ва охранной сигнализации, размещенные по периметру охраняемых зон, зданий, сооружений и иных объектов предприятия, а также служ. помещений в этих объектах; ср-ва контроля прохода (доступа), установленные на КПП, в охраняемых зданиях, сооружениях (объектах) предприятия и в служ. помещениях; ср-ва наблюдения за периметрами охраняемых зон, КПП, охраняемыми зданиями, сооружениями предприятия, а также служ. помещениями; ср-ва специ. связи (в тч экстренной); ср-ва обнаружения проноса (провоза) запрещенных предметов, взрывчатых веществ, и предметов из металла (в тч носителей КИ); ср-ва систем жизнеобеспечения (элпитания, освещения и др.).
  
   17. Охрана пожарка
   По назначению: для блокирования отдельных объектов; для закрытых помещений, для открытых пространств, для блокирования периметров, для обнаружения пожара. По виду зоны обнаружения: точечные (охрана отдельных объектов), линейные (охрана периметров), поверхностные (охрана стен, потолков, окон), объемные (охрана объемов помещений). По принципу обнаружения: 1)Контактные извещатели реагируют на механ действия, приводящие к замыканию или размыканию контактов извещателя, обрыву тонкой проволоки. Бывают электроконтактные и. магнитоконтактные. ударно-контактные, обрывные. 2)Акуст. извещатели используют акуст. волны, кот. возникают при разрушении механ преград (пассивные) или отражаются от нарушителя (активные). 3)В оптико-электронных извещателях для обнаружения злоумышленника и пожара используются ИК-лучи. 4)Микроволновые (радиоволновые) извещатели используют для обнаружения зло-ков ЭМ-волны в СВЧ диапазоне. 5)К вибрационным относятся извещатели, обнаруживающие зло-ка по создаваемой им вибрации в грунте при движении, при открывании дверей, окон, люков и др. конструкций. 6)Емкостные извещатели создают сигналы тревоги при приближении зло-ка к объекту охраны. 7)Тепловые извещатели применяют в помещениях, в кот. при возгорании быстро повышается температура воздуха. Способы повышения помехоустойчивости акустических, оптико-электронных и радиоволновых извещателей. Акустические извещатели: увеличивается кол-во используемых для идентификации демас. признаков и усложняются алгоритмы их обработки. Высота установки - 1,5-2,5 м от пола. Не допускается установка над батареями, около форточек, штор, декоративных растений и др. колеблющихся предметов. На период охраны дб закрыты все окна, отключена принудительная вентиляция, калориферы и любые источники акуст. сигналов. Снижение влияния помех в ультразвуковых датчиках достигается регулировкой чувствительности приемника. Оптико-электронные извещатели: исключить попадание в зону действия луча качающихся штор и веток деревьев, прямого солнечного света и света фар. Исключить движение зло-ка к объекту защиты в створе луча. Извещатель не следует располагать на расстоянии менее 1,5 м от вентиляц. отверстия и батареи центрального отопления. Радиоволновые извещатели: для снижения мощности излучения предусматривается импульсный режим работы. Для уменьшения ложных тревог в схеме объемных извещателей реализуется принцип селекции на основе эффекта Допплера.
  
   18. Демаск. признаки объектов. Демаск. признаки сигналов, клас-ия сигналов по форме, по физ. природе, параметры сигналов. Демас. признаки веществ, демаск. признаки деят-ти предприятия.
   Демаск. признаки - это признаки, позволяющие отличить один объект от другого. Значения демас-их признаков двух разных объектов должны отличаться друг от друга. Демаск-ие признаки описывают различные состояния, хар-ики и свойства объекта. Демаск-ие признаки объектов разделяются на опознавательные признаки и признаки деят-ти. Опознавательные признаки описывают объекты в статическом состоянии: его назначение, принадлежность, параметры. Признаки деят-ти объектов хар-ют этапы и режимы функ-ия объектов, например, этапы создания новой продукции: научные исследования, подготовка к производству, изготовление новой продукции, ее испытания. Демаск-ие признаки хар-ик объекта можно разделить на 3 группы: Видовые признаки - описывают внешний вид объекта (форма, размеры, детали, тон, цвет, структура его поверхности и др.); Признаки веществ - определяют физ. и хим. состав, структуру и свойства веществ мат-ого объекта; Признаки сигналов - описывают параметры полей и эл. сигналов, генерируемых объектом (мощность, частота, вид (аналоговый, импульсный), ширина спектра и др.). По физ. природе сигналы могут быть акуст., ЭМ, корпускулярными (в виде потоков элементарных частиц) и мат.-вещественными (напр., пахучие добавки в газ подают сигнал об его утечке). Сигналы по виду передаваемой инфы: речевые, телеграфные, телекодовые, факсимильные, телев., радиоактивные излучения и условные. Сигналы радиоакт. изл-й явл-я демас. признаками радиоакт. в-тв. Условные сигналы несут инфу, содержание кот. предварительно определено между ее источником и получателем (напр., горшок с цветком на подоконнике - провал явки). По времени проявления сигналы могут быть регулярными, время появления кот. получателю инфы известно, например, сигналы точного времени, и случайные, когда это время неизвестно. Стат-ие хар-ки проявления случайных сигналов во времени могут представлять собой достаточно инф-вные демаск. признаки источников, прежде всего, об их принадлежности и режимах функционирования (появление в помещении радиосигнала во время ведения в нем разговоров - демск. признак ЗУ)
  
   19. Аттестационные испытания, аттестация ОИ, назначение, задачи, основные требования к безопасности ОИ.
   "Положение по аттестации ОИ по требованиям БИ" от 25.11.94 Аттестация ОИ - это комплекс орг-тех мероприятий, в результате выполнения кот поср-вом спец документа - "Аттестата соответствия" подтверждается, что ОИ соот-ет требованиям стандартов и иных норм. и мет. док-в по БИ, утвержденных ФСТЭК. Аттестация явл-я обязательной в след. случаях: ГТ; при защите гос. инф. ресурса; управление эколог. опасными объектами; ведение секретных переговоров. Во всех остальных случаях аттестация носит добровольный характер, т.е. может осущ-ся по желанию владельца ОИ. Аттест. испытания предусматривают комплексную проверку защищаемого объекта в реальных условиях эксплуатации в целях оценки соот-ия использованного комплекса мер и СрЗ требуемому уровню БИ и проводятся в след. порядке: анализ и оценка исходных данных и док-ции по ЗИ на ОИ, оценка правильности категорирования выделенных помещений (ВП) и ОИ; оценка уровня подготовки кадров и распределения ответственности за выполнение требований по ЗИ; спец. обследование ОИ; проведение испытаний отдельных Ср и СЗИ в испытательных центрах по серт-ии продукции по требованиям БИ (при необходимости); спец. проверки ТС на наличие возможно внедренных ЗУ перехвата инфы; спец. обследвания помещений на наличие возможно внедренных ЗУ перехвата инфы; проведение испытаний отдельных Ср и СЗИ на аттестуемом объекте с помощью спец. контрольно-измерительной аппаратуры; анализ результатов спец. обследования и аттест-ых испытаний, разработка рекомендаций по совершенствованию принятых мер по ЗИ от утечки по тех. каналам, закрытию выявленных каналов ут. инфы; подготовка отчетной док-ции - протоколов испытаний и заключения по результатам аттест-ых испытаний с выводами комиссии о соот-ии (несоот-ии) ОИ установленным требованиям, кот. представляется в орган по аттестации для принятия решения о выдаче "Аттестата соответствия". При аттестации ОИ подтверждается его соот-ие требованиям по ЗИ: от НСД (в том числе от комп. вирусов); от ут. за счет ПЭМИН при спец. воздействиях на объект (ВЧ навязывание и облучение, ЭМ и радиац. воздействие); от ут. или воздействия за счет встроенных спец. уст-тв.
  
   20. Понятие профиля защиты и задания по безопасности в соот-ии с ГОСТ ИСО/МЭК 15408.
   Стандарт разработан т.о., чтобы удовлетворить потребности трех групп спецов: разработчиков, экспертов по серт-ии и пользователей объекта оценки (ОО). Под ОО понимается "подлежащие оценке продукт информ. технологий (ИТ) или система с руководствами админа и юзера". К таким объектам относятся, ОС, прикладные проги, ПО, ИС и тд. "Общие критерии" предусматривают наличие 2х типов требований безопасности - функц-ых и доверия. Функци-е требования относятся к сервисам безопасности, таким как идентификация, аутентификация, управление доступом, аудит и тд Требования доверия к безоп. относятся к технологии разработки, тестированию, анализу уязвимостей, поставке, сопровождению, экспл-ной док-ии и тд. Описание обоих типов требований выполнено в едином стиле: они организованы в иерархию "класс - семейство - компонент - элемент". Термин "класс" используется для наиболее общей группировки требований безоп., а элемент - самый нижний, неделимый уровень требований безоп. В стандарте выделены 11 классов функци-х требований: аудит безопасности; связь (передача данных); криптограф. защита; защита данных юзера; идентифик. и аутентифик.; управление безоп.; конф-ть; защита ф-ий безоп. объекта; использование ресурсов; доступ к ОО; доверенный маршрут/канал. Основные структуры "Общих критериев" - это профиль защиты (ПЗ) и задание по безопасности (ЗпБ). ПЗ опред-ся как "независимая от реализации совокупность требований безоп. для некот. категории ОО, отвечающая специфическим запросам потребителя". ПЗ состоит из компонентов или пакетов функц-ых требований и одного из уровней гарантированности. ПЗ определяет "модель" системы безоп. или отдельного ее модуля. Количество ПЗ потенциально не ограничено, они разрабатываются для разных областей применения (например, профиль "Специализированные СрЗ от НСД к КИ"). ПЗ служит основой для создания ЗпБ., кот. можно рассматривать как тех. проект для разработки ОО. ЗпБ может вкл. требования одного или нескольких ПЗ. Оно описывает также уровень функц-х возможностей ср-в и механизмов защиты, реализованных в ОО, и приводит обоснование степени их адекватности. По результатам проводимых оценок, создаются каталоги серт-ых ПЗ и продуктов (ОС, СрЗИ и тд), кот. затем используются при оценке других объектов.
  
   21. Основные положения концепции ИТЗИ. Цели и задачи системы ИТЗИ.
   Задачи, не имеющие формальных методов решения, называются неформальными (слабоформализуемыми). Тк основу методологии решения слабоф. задач составляют сист. подход и сист. анализ, то для понимания концепции ИТЗИ необходимо понять сущность СП к ЗИ. Сущность СП: •совокупность сил и ср., обеспечивающих решение задачи, представляется в виде модели, называемой системой; •система описывается совокупностью параметров; •любая система рассматривается как подсистема более сложной системы, влияющей на структуру и функц-ие рассматриваемой; •любая система имеет иерархическую структуру, элементами и связями кот. нельзя пренебрегать без достаточных оснований; •при анализе системы необходим учет внешних и внутренних влияющих факторов, принятие решений на основе части из них без рассмотрения остальных может привести к неверным результатам; •свойства системы превышают сумму свойств ее элементов за счет качественно новых свойств, отсутствующих у ее эл-ов - сист. свойств. Основные положения концепции ИТЗИ определяют ее принципы, кот. конкретизируются в методах, способах и ср-вах ИТЗИ. Если цель отвечает на вопрос, что надо достичь в результате ИТЗИ, а задачи - что надо сделать для этого, то принципы дают общее представление о подходах к решению поставленных задач. Принципы: *непрерывность ЗИ, хар-ет постоянную готовность СЗИ к отражению угроз БИ в любое время; *активность, предусматривает прогнозирование действий злоумышленника, разработку и реализацию опережающих мер по защите; *скрытность, исключает ознакомление посторонних лиц с ТС и технологией ЗИ; *сосредоточение усилий по предотвращению угроз наиболее ценной инфы; *комплексное использование различных способов и СрЗИ, позволяет компенсировать недостатки одних достоинствами других; *соответствие уровня защиты ценности инфы; *гибкость ЗИ; *многозональность ЗИ, предусматривает размещение ист-ов инфы в зонах с контр-ым уровнем ее без-ти; *многорубежность ЗИ на пути движения зло-ка или распространения носителя. В общем виде цель ЗИ опред-ся как обеспечение БИ, содержащей ГТ или иные тайны. Задачи ИТЗИ представляют собой задачи противоборства органов и спецов по инф. без-ти, с одной стороны, и зло-ков, с др. стороны.
  
   22. Простейшие шифры. Шифры с симметр. и асимметр. ключом. Понятие стойкости криптогр. алгоритма.
   Кодирование - преобразование инфы из одного вида в др. Шифрование - преобразование инфы с целью сделать ее недоступной для прочтения посторонним. Шифр в простейшем виде - это преобразование текста с применением ключа шифра на исходный текст для получения шифрованного текса. Простейшие шифры: простая замена (символ исходного текста заменяется другим, таблица соот-ия символов явл-я ключом шифра), простая перестановка (буквы переставляются местами в соотв. с определенной таблицей, являющейся ключом), гаммирование (генерация гамма-последовательности с помощью датчика псевдослучайных чисел и наложение полученной гаммы на открытый текст), шифровка по "магическому квадрату". Пример: простая замена-шифр Цезаря - сдвиг внутри алфавита на фиксированный шаг, число, на кот. происходит смещение, явл-я ключом. Подстановочные шифры в настоящее время не используются в криптографии из-за своей малой стойкости. Для упр-ия шифровкой/дешифровкой используется ключ. Симметричный шифр использует один ключ для шифрования и дешифрования. +скорость, простота реализации, изученность -проблема обмена ключами. Блочные (шифруется сразу блок инфы, выдавая шифротекст после получения всей инфы) и поточные шифры (выдают результат по мере шифровки). Поточные более производительны, используются для шифрования речи. Важные хар-ки блочного шифра - длина ключа и размер блока. Чем больше длина ключа, тем более надёжен шифр. Если длина ключа n бит, то кол-во возможных ключей 2n. В среднем необходимо перебрать 2n-1 ключей до нахождения правильного. GnuPG использует шифры с длиной ключа от 128 бит. 2128 это огромное число и, никаких ресурсов и времени не хватит для нахождения ключа. На практике ключ шифрования зачастую генерируется по опред. алгоритму из задаваемой юзером ключевой фразы (пароля). Вместо перебора всех возможных ключей надо попытаться угадать или подобрать пароль, кот. зачастую короче, чем 128 бит. Длина блока также важна, но она меньше влияет на надёжность шифра. Размер блока у современных шифров 64-256 бит. Асимметричный шифр использует два различных ключа. Открытый ключ доступен всем, что позволяет любому зашифровать сообщение. Расшифровать может только нужный человек, владеющий секретный ключом. Криптографическая стойкость - это способность криптограф. алгоритма противостоять возможным атакам. Стойкость шифра - время вскрытия. Если время взлома превышает врамя актуальности ключа, такой алгоритм можно считать стойким. Стойкость нельзя подтвердить, ее можно только опровергнуть взломом. Системы делятся на абсолютно стойкие (обладают доказанной математической стойкостью вне зависимости от ресурсов атакующего) и практически стойкие (имеющие опред. уровень стойкости)
  
   23. Алгоритмы гаммирования, блоч ш., ГОСТ 28147-89, DES.
   Шифрование - преобразование инфы с целью сделать ее недоступной для прочтения посторонним. Шифр в простейшем виде - преобразование текста с применением ключа шифра на исходный текст для получения шифрованного текса: замена, перестановка, гаммирование. Гаммирование - процесс симметричного шифрования, основанный на наложении гамма-послед. на открытый текст. Суть метода гаммирования - символы шифруемого текста последовательно складываются с символами некоторой спец. последовательности, кот. называется гаммой. Для создания гаммы используют датчик псевдослучайной последовательности (ПСП), кот. на основе ключа юзера генерирует некоторую рабочую ключевую последовательность (гамму). Процесс шифрования: *Символы исходного текста и гаммы представляются в виде двоичного кода; соот-щие разряды складываются по модулю 2. Вместо сложения можно использовать и др. логические операции; *полученная последовательность двоичных знаков шифрованного текста заменяется символами алфавита в соот-ии с выбранным кодом. Процесс дешифрования сводится к повторной генерации гаммы при том же ключе юзера и наложении ее на шифрованные данные. Стойкость шифрования методом гаммирования опред-ся свойствами гаммы - длительностью периода и равномерностью статистических хар-ик. Последнее свойство обеспечивает отсутствие закономерностей в появлении различных символов в пределах периода. Метод гаммирования бессилен, если зло-ку становится известен фрагмент открытого текста и соот-ая ему криптограмма (шифртекст). В большинстве случаев простым вычитанием по модулю получается отрезок ПСП и по нему восстанавливается вся последовательность. Блочные шифры - это последовательность (с возможным повторением и чередованием) основных методов преобразования, кот. применяется к след. друг за другом блокам (в DES по 64-бита) шифруемого текста. Причем для шифрования используется один ключ, но независимо для каждого блока. Важные хар-ки блочного шифра - длина ключа и размер блока. Чем больше длина ключа, тем более надёжен шифр. Если длина ключа n бит, то кол-во возможных ключей 2n. В среднем необходимо перебрать 2n-1 ключей до нахождения правильного. GnuPG использует шифры с длиной ключа от 128 бит. 2128 это огромное число и, никаких ресурсов и времени не хватит для нахождения ключа. На практике ключ шифрования зачастую генерируется по опред. алгоритму из задаваемой юзером ключевой фразы (пароля). Вместо перебора всех возможных ключей надо попытаться угадать или подобрать пароль, кот. обычно короче, чем 128 бит. Длина блока также важна, но она меньше влияет на надёжность шифра. Размер блока у современных шифров 64-256 бит. DES - data encryption standard - симметричный алгоритм шифрования, разработан IBM, утвержден в США в 1977г как официальный стандарт. Расшифрование в DES явл-я операция обратной шифрованию и выполняется путем повторения операция шифрования в обратной последовательности. - тк техника быстро развилась с 77г оказалось возможным осущность исчерпывающий перебор ключей и находить нужный. ГОСТ 28147-89 - советский стандарт симметричного блочного (данные шифруются порциями одинакового размера) шифрования, введен в 1990г, явл-я стандартом СНГ. +бесперспективность силовой атаки, эфф-ть реализации и высокое быстродействие, наличие защиты от навязывания ложных данных (имитовставка). Определяет 3 основных режима шифрования: простая замена, гаммирование и гаммирование с обратной связью (позволяет зацепить блоки один за др. и любое изменение в к-либо. месте шифртекста повлечет за собой при расшифровке повреждение инфы во всех послед-их блоках, что легко заметить. Имитовставка - контрольная комбинация, позволяющая обнаруживать всех случайные или преднамеренные изменения в массиве данных.
  
   24. Назначение и применение электронной подписи.
   ЭЦП - реквизит электронного док-а, предназначенный для защиты данного док-та от подделки, полученный в результате криптограф. преобразования инфы с использованием закрытого ключа ЭЦП и позволяющий идент-ть владельца серт-та ключа подписи. (ФЗ N63 2011г ЭЦП заменено на ЭП). В РФ юр. значимый серт-т ЭП выдаёт удостоверяющий центр. Общепризнанная схема ЦП охватывает три процесса: Генерация ключевой пары. При помощи алгоритма генерации ключа равновероятным образом из набора возможных закрытых ключей выбирается закрытый ключ, вычисляется соотв. ему открытый ключ. Формирование подписи. Для заданного электронного док-та с помощью закрытого ключа вычисляется подпись. Проверка (верификация) подписи. Для данных док-та и подписи с помощью открытого ключа опред-ся действительность подписи. Алгоритмы ЭЦП подразделяются на обычные цифровые подписи и на цифровые подписи с восстановлением док-та. С восстановлением док-та тело док-та восстанавливается автоматически, его не нужно прикреплять к подписи. Обычные цифровые подписи требуют присоединение док-та к подписи. ЦП обеспечивает: Удостоверение источника док-та. В зависимости от деталей определения док-та могут быть подписаны такие поля, как "автор", "внесённые изменения", "метка времени" и тд. Защиту от изменений док-та. При любом случайном или преднамеренном изменении док-та (или подписи) изменится хэш, следовательно, подпись станет недействительной. Невозможность отказа от авторства. Тк создать корректную подпись можно лишь, зная закрытый ключ, а он известен только владельцу, то владелец не может отказаться от своей подписи под док-том. Применение: Таможенное декларирование товаров и услуг (таможенные декларации); Электронная регистрация сделок по объектам недвижимости; Использование в банковских платежных системах; Электронная коммерция (торговля); Контролирующие функции исполнения гос. бюджета и исполнения сметных назначений и лимитов бюджетных обязательств (отраслm или бюджетное учреждение); Управление гос. заказами; В электронных системах обращения граждан к органам власти, в тч и по эконом. вопросам (в рамках таких проектов как "электронное правительство" и "электронный гражданин"); Формирование обязательной налоговой (фискальной), бюджетной, статистической и прочей отчетности перед гос. учреждениями и внебюджетными фондами; Организация юридически легитимного внутрикорпоративного, внутриотраслевого или нац. электронного док-оборота; различные расчетные и трейдинговые системы; Упр-ие акционерным капиталом и долевым участием; В глобал. системах межбанковского рынка обмена валют по опред. курсу.
  
   25. Системы с открытым ключом. Алгоритм RSA. Инфраструктура систем с открытым ключом PKI.
   Криптограф. система (КС) с открытым ключом (или асимметричное шифрование) - система шифрования, при кот. открытый ключ передаётся по открытому каналу, используется для проверки ЭЦП и для шифрования сообщения. Для генерации ЭЦП и для расшифрования сообщения используется секретный ключ. Как бы ни были сложны и надежны КС их слабое место при практической реализации - проблема распределения ключей. Для того, чтобы был возможен обмен КИ между двумя субъектами, ключ дб сгенерирован одним из них, а затем каким-то образом опять же в конф. порядке передан др. Т.е. в общем случае для передачи ключа опять же требуется использование какой-то криптосистемы. Для решения этой проблемы были предложены системы с открытым ключом. Суть их состоит в том, что каждым адресатом генерируются два ключа, связанные между собой по опред. правилу. Один ключ объявл-я открытым, а др. закрытым. Открытый ключ публикуется и доступен любому, кто желает послать сообщение адресату. Секретный ключ сохраняется в тайне. Исходный текст шифруется открытым ключом адресата и передается ему. Зашифрованный текст в принципе не может быть расшифрован тем же открытым ключом. Дешифрование сообщения возможно только с использованием закрытого ключа, кот. известен только самому адресату. Определение закрытого ключа на основе открытого дб невозможным на современном технолог. уровне. Одна из наиболее распространенных систем с открытым ключом - RSA. Она разработанная в 1977 году, названа по именам ее создателей R. Rivest, A. Shamir, L. Adleman. Основано на том, что нахождение больших простых чисел в вычислительном отношении осущ-ся легко, но разложение на множители произведения двух таких чисел практически невыполнимо. Доказано, что раскрытие шифра RSA эквивалентно такому разложению. Алгоритм RSA предполагает, что посланное закодированное сообщение может быть прочитано адресатом и только им. В этом алгоритме используется два ключа - открытый и секретный. Данный алгоритм привлекателен также в случае, когда большое число субъектов (N) должно общаться по схеме все-со-всеми. В случае симметричной схемы шифрования каждый из субъектов каким-то образом должен доставить свои ключи всем остальным участникам обмена, при этом суммарное число используемых ключей будет достаточно велико при большом значении N. Применение асимметричного алгоритма требует лишь рассылки открытых ключей всеми участниками, суммарное число ключей равно N. Инфраструктура систем с откр. ключом (PKI) - современная система упр-ия крипт-ой защитой, в тч и в агрессивной среде (интернет). Серт-т - цифровой или бумажный док-т, подтверждающий соот-ие между открытым ключом и инфой, идент-ей владельца ключа. Серт-ты, как правило, используются для обмена зашифрованными данными в больших сетях. Но сущ-ет проблема подмены открытых ключей, аутентификация пользователя. Идея серт-та - это наличие третьей стороны, кот. доверяют две др. стороны информ. обмена. Т.о., подлог открытого ключа третьей стороны легко выявл-я. Открытый ключ, подписанный центром серт-ии, называется серт-том открытого ключа. Задачей PKI явл-я определение политики выпуска цифровых серт-тов, выдача их и аннулирование, хранение инфы, необходимой для последующей проверки правильности серт-тов. Деят-ть инфраструктуры упр-ия открытыми ключами осущ-ся на основе регламента. Основные компоненты PKI: Удостоверяющий центр (УЦ) обеспечивает связь идентичности субъекта криптографии (обычно имя и какая-то дополнительная инфа) и его открытого ключа. Регистрационный центр (РЦ) - компонент системы, проверяющий правильность предоставленных субъектом криптографии данных для формирования записи об идентичности. УЦ доверяет РЦ проверку этой инфы.
  
   26. Разграничение доступа в ОС.
   Правила разграничения доступа (ПРД), действующие в ОС, устанавливаются админами системы при определении политики безопасности. Сущ-ют две основные модели разграничения доступа: избирательное (дискреционное) разграничение доступа; полномочное (мандатное) разграничение доступа. Избирательное разграничение доступа (ИРД). Система правил ИРД формулируется след. образом: для любого объекта ОС сущ-ет владелец; владелец объекта может произвольно ограничивать доступ др. субъектов к данному объекту; для каждой тройки субъект-объект-метод возможность доступа определена однозначно; для определения прав доступа субъектов к объектам при ИРД используется матрица доступа. Строки этой матрицы представляют собой объекты, столбцы - субъекты. В каждой ячейке матрицы хранится совокупность прав доступа, предоставленных данному субъекту на данный объект. Для сокращения объема матрицы доступа используется объединение субъектов доступа в группы. Права, предоставленные группе субъектов для доступа к данному объекту, предоставляются каждому субъекту группы. ИРД явл-я наиболее распространенным механизмом разграничения доступа. +простота реализации, -защищенность ОС с ИРД во многих случаях недостаточна. Изолированная программная среда (ИПС). ИПС (замкнутая) представляет собой расширение модели ИРД. Здесь правила разграничения доступа формулируются след. образом: для любого объекта ОС сущ-ет владелец; владелец объекта может произвольно ограничивать доступ др. субъектов к данному объекту; для каждой четверки субъект-объект-метод-процесс возможность доступа определена однозначно; сущ-ет хотя бы один привилегированный пользователь (админ), имеющий возможность обратиться к любому объекту по любому методу; для каждого субъекта определен список программ, кот. этот субъект может запускать. При использовании ИПС права субъекта на доступ к объекту определяются не только правами и привилегиями субъекта, но и процессом, с помощью кот. субъект обращается к объекту. +ИПС существенно повышает защищенность ОС. -ИПС не защищает от утечки КИ. Полномочное или мандатное разграничение доступа. При этом правила разграничения доступа формулируются след. образом: для любого объекта ОС сущ-ет владелец; владелец объекта может произвольно ограничивать доступ др. субъектов к данному объекту; для каждой тройки субъект-объект-метод возможность доступа определена однозначно; сущ-ет хотя бы один привилегированный пользователь (админ), имеющий возможность удалить любой объект; в множестве объектов доступа ОС выделяется подмножество объектов полномочного разграничения доступа; каждый объект полномочного разграничения доступа имеет гриф секретности; каждый субъект доступа имеет уровень допуска. Чем выше числовое значение уровня допуска, тем больший допуск имеет субъект. Если доступ субъекта ниже, чем гриф секретности у объекта, то читать этот субъект данный объект не может. Это - так называемое правило NRU (Not Read Up - не читать выше). Если гриф секретности объекта ниже, чем доступ объекта, то писать в него он не может. Это - так называемое правило NWD (Not Write Down - не записывать ниже).
  
   27. Штатные ср-ва идентификации/аутентификации в ОС.
   Идентификация - это присвоение объекту или лицу уникального имени или числа (идентификатора). Аутентификация - процедура проверки соответствия некоего лица и его учетной записи в комп. системе. В простейшем случае проверка происходит с помощью пароля, в более сложном по цифровому серт-ту, смарт-карте или биометрическим данным. Аутентификация бывает односторонней (клиент доказывает свою подлинность серверу) и двусторонней (взаимной). Пример односторонней аутентификации - процедура входа юзера в систему. Основные принципы парольной защиты. Паролем называется некот. секретная кодовая последовательность, предъявление кот. подтверждает опред. права субъекта вычислительного процесса. Схема опознавания пользователей в системе. Повысить надежность парольной защиты - менять, сложные, случайные. Аутентификация по способу "запрос-ответ" обычно используется для взаимного опознания при установлении связи между компами в сети, а также для опознания пользователей-владельцев смарт-карт. Смарт-карты чаще всего используются в платежных АС. Общая схема аутентификации с нулевым разглашением состоит из последовательных инф-ых обменов (итераций) между двумя участниками процедуры, по завершению кот. проверяющий с заданной вероятностью делает правильный вывод об истинности или ложности утверждения. При входе в систему WIN юзер передает в системную функцию LogonUser свое имя, пароль и имя рабочей станции или домена, в кот. данный юзер зарегистрирован. Если он успешно идентифицирован, функция LogonUser возвращает указатель на маркер доступа юзера, кот. в дальнейшем используется при любом его обращении к защищенным объектам системы. Механизм идентификации и аутентификации юзера в ОС Windows NT реализуется спец. процессом Winlogon, кот. активизируется на начальном этапе загрузки ОС и остается активным на протяжении всего периода ее функционирования. Процесс Winlogon состоит из модулей: ядра процесса Winlogon.exe; библиотеки GINA (Graphic Identification aNd Autentication - графической библиотеки идент.и и аутент.) - динамической библиотеки функций, используемых для "локальной" идент. юзера (идент. юзера на раб. станции); библиотек сетевой поддержки (Network Provider DLLs), реализующих "удаленную" идент. юзеров (идент. юзеров, обращающихся к ресурсам сервера через сеть). По умолчанию для аутентификации в системах UNIX используются модули UNIX PAM(Pluggable Authentication Module); при этом применяются файлы passwd и shadow passwd, где хранится инфа о пользовательских учетных записях и паролях. Архитектура PAM позволяет добавлять и использовать альтернат. модули PAM и перекладывать бремя аутент. юзеров на другие системы, кот. будут выполнять эту процедуру в соот-ии с особенностями конкретного приложения и требованиями к защите данных.
  
   28. Межсетевые экраны. Принципы функц-ия и применение.
   Межсетевой экран (МСЭ) - комплекс аппаратных или программных ср-тв, осущ-ий контроль и фильтрацию проходящих через него сетевых пакетов в соотв. с заданными правилами. Основная зада сетевого экрана (СЭ) - защита комп-ых сетей или отдельных узлов от НСД. Также СЭ часто называют фильтрами. МСЭ (firewall, брандмауэр) делают возможной фильтрацию входящего и исходящего трафика, идущего через систему, устанавливаются в точку стыка между локальным сегментом и интернетом. В зависимости от охвата контролируемых потоков данных СЭ делятся на: *традиционный СЭ или МСЭ - программа на шлюзе или аппаратное решение, контролирующие входящие и исходящие потоки данных между подключенными сетями; *персональный СЭ - программа, установленная на ПК и предназначенная для защиты от НСД только этого компа. В зависимости от отслеживания активных соединений сетевые экраны бывают: *простая фильтрация, кот. не отслеживают текущие соединения (нап., TCP), а фильтруют поток данных исключительно на основе статических правил; *фильтрация с учётом контекста, с отслеживанием текущих соединений и пропуском только таких пакетов, кот. удовлетворяют алгоритмам работы соот-щих протоколов и приложений. Сущ-ют два основных типа МСЭ: МСЭ прикладного уровня, или прокси-экраны, представляют собой программные пакеты, базирующиеся на ОС общего назначения (таких как Windows NT и Unix). При использовании МСЭ прикладного уровня все соединения проходят через него. МСЭ защищает системы от атак, выполняемых поср-твом приложений. МСЭ с пакетной фильтрацией могут также быть программными пакетами, базирующимися на ОС общего назначения (таких как Windows NT и Unix). Правила политики усиливаются поср-вом использования фильтров пакетов. Если в соединении появятся др. пакеты, МСЭ прикладного уровня аннулирует или отклонит их, тк они не подходят для данного состояния соединения, даже если соединение разрешено набором правил. При использовании МСЭ с пакетной фильтрацией соединения не прерываются на МСЭ, а направляются непосред-но к конечной системе. При поступлении пакетов МСЭ выясняет, разрешен ли данный пакет и состояние соединения правилами политики. Если это так, пакет передается по своему маршруту. В противном случае пакет отклоняется или аннулируется. При конфигурировании МСЭ дб выбрана стратегия защиты. Возможны два варианта стратегии защиты: запрещено все, что не разрешено; разрешено все, что не запрещено. Первый вариант стратегии обеспечивает более высокий уровень безопасности, но делает систему менее гибкой.
  
   29. Базовые сервисы безопасности.
   Сервисы информационная безопасностьпрограммно-тех. уровня. Основными составляющими (компонентами, эл-ми) интегрированного набора СрЗИ явл. сервисы ИБ. Некот. из них, как правило, проблемно-ориентированные (например, защита отдельных сервисов, высокопроизводительных вычислительных систем, крупных коммуникац. узлов сетей, банковских док-ов и тп) или функционально ориентированные (экранирование, идентификация-аутентификация, управление доступом и тп) явл-я составными и включают в себя более мелкие, в тч атомарные (или неделимые) сервисы. Базовые сервисы ИБ: защита среды передачи; защита данных при передаче; экранирование и фильтрация (защита периметра); идент./аутент; разграничение доступа; протоколирование и аудит. Базовые сервисы безопасности - совокупность механизмов, процедур и других ср-тв управления для снижения рисков, связанных с угрозой утраты или раскрытия данных. Сервис идент. и аутент. обеспечивает аутент. участников коммуникации и аутент. источника данных. Идент. позволяет субъекту (юзеру, процессу, действующему от имени опред. юзера, или иному аппаратно-программному компоненту) назвать себя (сообщить свое имя). Поср-вом аутент. вторая сторона убеждается, что субъект действительно тот, за кого он себя выдает. В качестве синонима слова "аутентиф." иногда используют словосочетание "проверка подлинности". Сервис целостности предотвращает преднамеренное или случайное несанкц. изменение данных, в тч их ввод, уничтожение или модификацию (изменение, сокращение или дополнение), в процессе передачи. Для гарантирования целостности система должна обнаруживать несанкц. модификацию инфы. Цель получателя инфы - убедиться в том, что данные при передаче не были изменены. Сервис конф-ти обеспечивает защиту от НСД к инфе: разрешает доступ к КИ только юзерам, имеющим соот-ие права, и предотвращает несанкц. раскрытие инфы не имеющими полномочий юзерами или процессами.
  
   30. Процедура серт-и программного продукта в системе серт-ии ФСТЭК.
   Участниками процесса серт-ии явл-я: I заявители - те, кто хотят получить серт-т соответствия. Заявителями могут быть продавцы продукции, исполнители продукции. II фед. орган по серт-ии; III центральный орган серт-ии - орган, возглавляющий серт-ию однородной продукции (необязательный участник). IV органы по серт-ии СрЗИ - те, кто проводит серт-ию определенной продукции. V испытательные лабы - лабы, проводящие серт-ые испытания опред. продукции. Процедура серт-ии вкл.: 1)Подачу и рассмотрение заявки на проведение серт-ии (продления срока действия) СрЗИ в фед. орган по серт-ии. Заявка оформляется на бланке заявителя и заверяется печатью. Фед. орган назначает орган по серт-ии и испытательную лабу, после чего заявитель отправляет туда сертифицируемое СрЗИ. 2)Серт-ые испытания СрЗИ и (при необходимости) аттестацию их произ-ва. Сроки проведения испытаний устанавливаются на договорной основе между заявителем и лабой. По результатам испытаний оформляется заключение, кот. отправляется в орган по серт-ии и заявителю. 3)Экспертизу результатов испытаний, оформление, регистрацию и выдачу серт-та и лицензии на право использования знака соот-ия. На основании заключения испытательной лабы орган серт-ии делает заключение и отправляет его в фед. орган по серт-ии. После присвоения серт-ату рег-го номера, его получает заявитель. Срок действия серт-ата - 3г. 4)Осущ-ие гос. контроля и надзора, инспекционного контроля за соблюдением правил обязательной серт-ии и за сертифицированными СрЗИ. По результатам контроля фед. орган по серт-ии может приостановить или аннулировать серт-ат в след. случаях: изменения на закон-ом уровне, касающиеся требований к СрЗИ, методам испытаний и контроля; изменение технологии изготовления, конструкции (состава), комплектности СрЗИ и системы контроля их качества; невыполнение требований технологии изготовления, контроля и испытаний СрЗИ; несоответствие серт-ых СрЗИ тех. условиям или формуляру, выявленное в ходе гос. или инспекц. контроля; отказ заявителя в допуске (приеме) лиц, уполномоченных осущность гос. контроль и надзор, инспекц. контроль за соблюдением правил серт-ии и за серт-ми СрЗИ.
 Ваша оценка:
Связаться с программистом сайта.

Новые книги авторов СИ, вышедшие из печати:
О.Болдырева "Крадуш. Чужие души" М.Николаев "Вторжение на Землю"

Как попасть в этoт список

Кожевенное мастерство | Сайт "Художники" | Доска об'явлений "Книги"