Контрольные вопросы по безопасности компьютерных сетей для ДГТУ. Часть 7

1. Каков примерный порядок определения требований к защищенности циркулирующей в системе информации?

Порядок таков:

а. Составляется перечень типов информационных пакетов (документов, таблиц и т.п.). Для этого с учетом предметной области системы пакеты информации разделяются на типы по тематике, функциональному назначению, сходности технологии обработки и т.п. признакам.

б. Затем для каждого типа пакетов, выделенного на первом шаге, и каждого критического свойства информации (доступности, целостности, конфиденциальности) определяются (например, методом экспертных оценок):

• перечень и важность (значимость по отдельной шкале) субъектов, интересы которых затрагиваются при нарушении данного свойства информации;

• уровень наносимого им при этом ущерба и соответствующий уровень требований к защищенности.

в. Для каждого типа информационных пакетов с учетом значимости субъектов и уровней наносимого им ущерба устанавливается степень необходимой защищенности по каждому из свойств информации (при равенстве значимости субъектов выбирается максимальное значение уровня).

2. Что необходимо учитывать при определении уровня возможного ущерба?

Оценивая тяжесть ущерба, необходимо иметь в виду:

• непосредственные расходы на замену оборудования, анализ и исследование причин и величины ущер¬ба, восстановление информации и функционирования АС по ее обработке;

• косвенные потери, связанные со снижением банковского доверия, потерей клиентуры, подрывом репутации, ослабление позиций на рынке.

3. Перечислите цели категорирования ресурсов.

Категорирование защищаемых ресурсов — установление градаций важности обеспечения защиты (категорий) ресурсов и отнесение конкретных ресурсов к соответствующим категориям.

Категорирование осуществляется исходя из экономической значимости, выражающейся в оценке возможного причинения прямого и косвенного ущерба субъектам критической информационной инфраструктуры

4. Приведите примеры категорий защищаемой информации и функциональных задач.

Категории конфиденциальности защищаемой информации:

«СТРОГО КОНФИДЕНЦИАЛЬНАЯ»- к данной категории относится информация, являющаяся конфиденциальной в соответствии с требованиями действующего законодательства (банковская тайны, персональные данные), а также информация, ограничения на распространение которой введены решениями руководства организации (коммерческая тайна), разглашение которой может привести к тяжким финансово-экономическим последствиям для организации вплоть до банкротства.

«КОНФИДЕНЦИАЛЬНАЯ» — к данной категории относится информация, не отнесенная к категории «СТРОГО КОНФИДЕНЦИАЛЬНАЯ», ограничения на распространение которой вводятся решением руководства организации, разглашение которой может привести к значительным убыткам и потере конкурентоспособности организации;

«ОТКРЫТАЯ» — к данной категории относится информация, обеспечения конфиденциальности (введения ограничений на распространение) которой не требуется.

5. Опишите порядок проведения информационного обследования и докомментирования защищаемых ресурсов.

Информационное обследование осуществляется по определенной методике, предусматривающей три ключевых этапа:

• сбор первичной информации (анкетирование, интервью и др.);

• систематизация и анализ информации;

• представление собранных данных (в формате отчета) для согласования результатов обследования с заказчиком проекта.