Complete_Assignment_Presentation (1)

1.

Информационная безопасность и
защита информации
Информационная безопасность — состояние АС, при котором сохраняются
конфиденциальность, целостность и доступность информации.
Защита информации — совокупность мер (организационных, правовых,
технических, криптографических и др.) для обеспечения информационной
безопасности.
Источник: 'Материалы для изучения.pptx' (лекционные материалы).

2.

Классификация угроз ИБ —
общая схема
По свойствам защищаемой информации: угрозы нарушения
конфиденциальности, целостности, доступности.
По происхождению: естественные (стихийные), искусственные (человеческий
фактор).
По преднамеренности: случайные (ошибки, халатность), преднамеренные
(злоумышленники).

3.

Внутренние (internal) угрозы
Действия или ошибки сотрудников: несанкционированный доступ, утечка
данных, халатность.
Подмена/кража учетных данных, использование служебных привилегий.
Физическая кража носителей внутри контролируемой зоны; некорректная
утилизация.
Неправильная конфигурация систем администрирования (переправа прав).

4.

Внешние (external) угрозы
Атаки извне: фишинг, взлом через интернет, эксплуатация уязвимостей.
Перехват данных по каналам связи, ПЭМИН, дистанционная фото/видеосъемка.
Подмена ПО/зловредное ПО (кейлоггеры, трояны), DDoS-атаки.
Социальная инженерия (подкупы, шантаж), поставщики/партнёры.

5.

Угрозы: источник — внутри/вне
контролируемой зоны
Вне контролируемой зоны: перехват ПЭМИН, перехват каналов связи,
дистанционная съемка.
В пределах контролируемой зоны: подслушивающие устройства, хищение
носителей, внутренние злоумышленники.

6.

По способу доступа к ресурсам
АС
Стандартный доступ: компрометация легитимных учетных данных (соц. инж.,
подкуп).
Нестандартный доступ: эксплуатация недекларированных возможностей,
аппаратных уязвимостей.

7.

Активные и пассивные угрозы
Пассивные: прослушивание, несанкционированное копирование — не
изменяют структуру АС.
Активные: изменение данных, уничтожение, внедрение вредоносного кода
— нарушают структуру и работу АС.

8.

ГОСТ Р 58833-2020 (кратко) —
назначение
Регламентирует принципы и требования к идентификации и аутентификации
субъектов/объектов доступа.
Определяет термины, уровни доверия и основные методы аутентификации.
Покрывает организационные и технические требования к реализации
процедур удостоверения.

9.

ГОСТ — ключевые положения
(пп. 3.1–3.9, 3.13, 3.16–3.18)
3.1–3.3: термины и определения (идентификация, аутентификация,
идентификатор, аутентификационная информация).
3.4–3.6: требования к идентификаторам (уникальность, назначение, журнал
учёта).
3.7–3.9: требования к процедурам идентификации (регистрация, проверка,
ведение записей).
3.13: требования к обеспечению сохранности учетных записей и процедур их
удаления/блокирования.
3.16–3.18: классификация методов аутентификации (знание, предмет,
биометрия, ассоциированная информация).

10.

ГОСТ — ключевые положения
(пп. 3.20–3.28, 3.31–3.35)
3.20–3.24: правила разработки политик аутентификации — длина пароля,
срок действия, хранение хэшей/ключей.
3.25–3.28: требования к использованию смарт-карт, токенов и одноразовых
паролей (OTP).
3.31–3.35: требования к биометрической аутентификации — качество, защита
шаблонов, обратимость.

11.

ГОСТ — ключевые положения
(пп. 3.39–3.44, 3.50, 3.55)
3.39–3.44: механизмы восстановления учетных записей и протоколы
расследования инцидентов (логи, трассировка).
3.50: уровень доверия/уровни уверенности в результатах идентификации и
аутентификации.
3.55: требования к регулярному аудиту и проверке соответствия процедур
идентификации/аутентификации.

12.

ГОСТ — Основы идентификации
(сжатая версия)
Идентификация отвечает на вопрос «Кто это?» — присвоение уникальных
идентификаторов.
Процедуры регистрации и учёта идентификаторов, требование уникальности
и контроля присвоения.
Журналирование, контроль изменений, полная история назначений
идентификаторов.

13.

ГОСТ — Основы аутентификации
(сжатая версия)
Аутентификация — проверка принадлежности предъявленного
идентификатора субъекту и подтверждение его подлинности.
Четыре основные группы методов: знание (пароль), предмет (токен),
биометрия, ассоциированная информация (контекст).
Требования к стойкости методов, защите секретов, использованию
многократной/многофакторной аутентификации при повышенных рисках.

14.

Разграничение: Идентификация
— Аутентификация —
Авторизация
• Идентификация: назначение/предъявление идентификатора (кто это?).
Аутентификация: проверка, действительно ли субъект соответствует
идентификатору (он ли это?).
Авторизация: присвоение прав доступа после успешной аутентификации (что
может делать субъект?).

15.

Закон РФ «О государственной
тайне» — объект регулирования
Регулирует отношения по отнесению сведений к государственной тайне, их
засекречиванию/рассекречиванию и охране.
Цель — охрана сведений, распространение которых может нанести ущерб
безопасности РФ.

16.

Закон — основные понятия (ст.2)
Государственная тайна — сведения, охраняемые государством в интересах
безопасности.
Носитель сведений — документ или технический объект, содержащий
секретную информацию.
Гриф секретности носителя — реквизит, указывающий степень секретности
сведений на носителе.

17.

Закон — п.п. 2 и 3 ст.5: примеры
сведений, составляющих гос.
тайну
• П.2 и п.3 дают примеры сведений в военной, внешнеполитической,
разведывательной сферах и иные сведения, разглашение которых вредит
безопасности.
В презентации — перечислить примеры: планы, разработки, оперативные
данные, сведения о вооружениях, специальные коммуникации и т.д.

18.

Закон — ст.6 и ст.7: принципы и
исключения
Ст.6: Принципы отнесения сведений к гос. тайне — законность,
обоснованность, необходимость и своевременность.
Ст.7: Исключения — сведения об чрезвычайных ситуациях, экологическом
состоянии, эпидемиях, социально-значимые сведения не подлежат
засекречиванию.

19.

Закон — ст.11 и ст.13: порядок
засекречивания и
рассекречивания
• Ст.11: Порядок засекречивания сведений и их носителей — решение
уполномоченных органов, требование маркировки носителей.
Ст.13: Рассекречивание — по решению уполномоченного органа, с указанием
процедуры и порядка уведомления заинтересованных сторон.

20.

Закон — ст.27 и ст.28: допуск и
сертификация
Ст.27: Допуск организаций к работам со сведениями, составляющими гос.
тайну — специальные разрешения и проверки.
Ст.28: Сертификация средств защиты информации — обязательная проверка
и сертификация средств, используемых для защиты секретных сведений.

21.

Определения
Степень секретности сведений — это классификация по уровню возможного
ущерба при их раскрытии (особой важности / совершенно секретно /
секретно).
Гриф секретности носителей сведений — реквизит на документе/носителе,
указывающий степень секретности и орган, установивший засекречивание.

22.

Практические рекомендации
(итоги)
Внедрять многофакторную аутентификацию (MFA) для критичных систем.
Маркировать носители, вести журнал доступа и аудит, обеспечивать
хранение ключей и шаблонов биометрии.
Регулярно проводить аудит процедур идентификации/аутентификации и
проверять наличие сертифицированных средств защиты для работы с
секретными сведениями.

23.

Источники и примечания
Лекции: 'Материалы для изучения.pptx' (предоставленные учебные
материалы).
Нормативно-правовая база: ГОСТ Р 58833-2020
(идентификация/аутентификация) — суммарные тезисы.
Закон РФ 'О государственной тайне' №5485-I — ключевые статьи
(ст.2,5,6,7,11,13,27,28).