Парошин А.А. Информационная безопасность: стандартизированные термины и понятия

Подождите немного. Документ загружается.

Стандартизированные термины и понятия

111

3.205. Подотчетность (ресурсов

АС)

Accountability

Р 50.1.056-2005

Состояние ресурсов АС, при котором обеспечиваются идентификация и регистрация

действий с ними.

3.206. Защищаемый объект ин-

форматизации

Protected informa-

tion object

Р 50.1.056-2005

Объект информатизации, предназначенный для обработки защищаемой информа-

ции с требуемым уровнем ее защищенности.

3.207. Защищаемые ресурсы (ИС)

Protected resources

(IS)

Р 50.1.056-2005

Ресурсы, использующиеся в информационной системе при обработке защищаемой

информации с требуемым уровнем ее защищенности.

3.208. Защищаемые программ-

ные средства; Средства про-

граммные защищаемые

Р 50.1.056-2005

Программные средства, используемые в информационной системе при обработке

защищаемой информации с требуемым уровнем ее защищенности.

3.209. Защищаемая сеть связи

Protected communi-

cation Network

Р 50.1.056-2005

Сеть связи, используемая при обмене защищаемой информацией с требуемым

уровнем ее защищенность.

3.209.1. Объект информаци-

онной безопасности

Information security

object

OCT 45.127-99

Объект [объекты], воздействие на который [которые] может привести к реализации

угрозы информационной безопасности.

Примечание. Управление объектом [объектами] в соответствии с заданной полити-

кой информационной безопасности в отношении специфических действий, относя-

щихся к информационной безопасности, осуществляется единым руководящим ор-

ганом [администратором] системы обеспечения информационной безопасности.

3.210. Служебная информация;

Информация служебная

OCT 45.127-99

Информация, не содержащая сведений, составляющих гостайну, определяемая ус-

тановленными в государстве ведомственными перечнями собственников информа-

ции, циркулирующая в органах гос. власти и управления, а также в гос. и коммерче-

ских предприятиях и учреждениях, выполняющих гос. заказы, подлежащая защите

(собственником этой информации) от иностранных технических разведок и от ее

утечки при передаче по каналам и сетям связи.

3.211. Информационная безо-

пасность ВСС РФ; Безопасность

информационная ВСС РФ

Information security

(infosecurity) of the

Interconnected

Communication Net-

work of Russia

OCT 45.127-99

Состояние [степень] защищенности информационной сферы ВСС РФ от заданного

множества угроз информационной безопасности ВСС РФ.

3.212. Защищенность информа-

ционной сферы ВСС РФ

Protection of infor-

mation sphere of the

Interconnected

Communication Net-

OCT 45.127-99

112

Информационная безопасность

work of Russia

Способность ВСС РФ к недопущению, либо обнаружению и ликвидации определен-

ной угрозы информационной безопасности ВСС РФ с заданным уровнем качества

служб информационной безопасности ВСС РФ.

3.213. Информационно-

безопасная [защищенная] сеть

связи общего пользования

[служба электросвязи]

The infosecured [pro-

tected] Public Com-

munication Network

[Telecommunication

service]

OCT 45.127-99

Сеть связи общего пользования [служба электросвязи], обеспечивающая заданный

уровень качества служб информационной безопасности ССОП [службы электросвя-

зи] по отношению к заданному множеству угроз информационной безопасности

ССОП [службы электросвязи] и предоставление пользователю по его запросу опре-

деленных услуг информационной безопасности ССОП [службы электросвязи].

3.214. Информационно-

безопасная система управления

[подсистема управления] ВСС

РФ; Система информационно-

безопасная управления ВВС РФ

The infosecured sys-

tem of control [ser-

vice of control] of the

Interconnected

Communication Net-

work of Russia

OCT 45.127-99

Система управления [ПСУ] ВСС РФ, обеспечивающая заданный уровень качества

служб информационной безопасности СУ [ПСУ] ВСС РФ по отношению к заданному

множеству угроз информационной безопасности СУ [ПСУ] ВСС РФ.

3.215. Защищаемые помещения

СТР-К

Помещения (служебные кабинеты, актовые, конференц-залы и т.д.), специально

предназначенные для проведения конфиденциальных мероприятий (совещаний, об-

суждений, конференций, переговоров и т.п.).

3.216. Информационные ресур-

сы

Information re-

sources

СТР-К

Отдельные документы и отдельные массивы документов, документы и массивы до-

кументов в информационных системах (библиотеках, архивах, фондах, банках дан-

ных, других информационных системах).

3.217. Контролируемая зона

СТР-К

Это пространство (территория, здание, часть здания), в котором исключено некон-

тролируемое пребывание лиц, не имеющих постоянного или разового допуска, и по-

сторонних транспортных средств.

Границей КЗ могут являться:

• периметр охраняемой территории учреждения (предприятия);

• ограждающие конструкции охраняемого здания или охраняемой части здания,

если оно размещено на неохраняемой территории.

В отдельных случаях на период обработки техническими средствами конфиденци-

альной информации КЗ временно может устанавливаться большей, чем охраняемая

территория предприятия. При этом должны приниматься организационно-режимные

и технические меры, исключающие или существенно затрудняющие возможность

ведения перехвата информации в этой зоне.

3.218. Конфиденциальная ин-

формация; Информация конфи-

денциальная

Sensitive information

СТР-К

Стандартизированные термины и понятия

113

Документированная информация, доступ к которой ограничивается в соответствии с

законодательством РФ.

3.219. Технический канал утечки

информации

СТР-К

Совокупность объекта технической разведки, физической среды и средства техниче-

ской разведки, которыми добываются разведывательные данные.

3.220. Выделенное помещение

Базовая модель УБИ

в КСИИ

Специальное помещение, предназначенное для регулярного проведения собраний.

Совещаний, бесед и других мероприятий секретного характера.

3.221. Безопасность информации

в КСИИ

Information Security

of Key System of the

Information Infra-

structure

ОТ в КСИИ

Состояние защищенности информационных ресурсов ключевых систем информаци-

онной инфраструктуры от внутренних и внешних угроз.

3.222. Информационная и теле-

коммуникационная инфраструк-

тура РФ

Information and Tel-

ecommunication In-

frastructure of the

Russian Federation

ОТ в КСИИ

Совокупность объектов информатизации, гос., общественных и частных информаци-

онно-телекоммуникационных систем, осуществляющих сбор, формирование, рас-

пространение и использование информации и предназначенных для обеспечения

функционирования (деятельности) объектов, относящихся к сферам обороны, безо-

пасности, международных отношений, экономики, другим сферам хозяйства или ин-

фраструктуры страны.

3.223. Критически важный объ-

ект [процесс]

ОТ в КСИИ

Объект [процесс], оказывающий существенное влияние на национальную безопас-

ность РФ, прекращение или нарушение функционирования которого приводит к

чрезвычайной ситуации или к значительным негативным последствиям для оборо-

ны, безопасности, международных отношений, экономики, другой сферы хозяйства

или инфраструктуры страны, либо для жизнедеятельности населения, проживающе-

го на соответствующей территории, на длительный период времени.

3.224. Критически важный сег-

мент информационной инфра-

структуры РФ

ОТ в КСИИ

Составная часть инфраструктуры РФ, в которой имеются информационные и ин-

формационно-телекоммуникационные системы отраслей (отрасли) экономики или

хозяйства страны, прекращение или нарушение функционирования которых может

привести к чрезвычайной ситуации или к значительным негативным последствиям.

Примечание. Критически важный сегмент может содержать кроме критически важ-

ных систем также системы, не относящиеся к критически важным.

3.225. Чувствительный [важный]

для РФ процесс

ОТ в КСИИ

Совокупность действий, направленных на достижение поставленной цели, в области

обороны, безопасности, внутренней или внешней политики, экономики, другой сфе-

ры хозяйства страны, имеющая особое гос. значение.

114

Информационная безопасность

3.226. Хозяйствующие субъекты

в области КСИИ

ОТ в КСИИ

Органы гос. власти, организации любой формы собственности, эксплуатирующие

ключевые системы информационной инфраструктуры. Хозяйствующими субъектами

в области ключевых систем информационной инфраструктуры могут быть организа-

ции, в чьем ведении находятся ключевые системы информационной инфраструкту-

ры, или сторонние организации, которым ключевые системы информационной ин-

фраструктуры переданы в эксплуатацию (Эксплуатанты).

3.227. Безопасность персональ-

ных данных; Персональных

данных безопасность

Personal Data Secu-

rity

Базовая модель

УБПДн в ИСПДн

Состояние защищенности персональных данных, характеризуемое способностью

пользователей, технических средств и ИТ обеспечить конфиденциальность, целост-

ность и доступность персональных данных при их обработке в информационных

системах персональных данных.

3.228. Технические средства

ИСПДн; Средства технические

ИСПДн

Базовая модель

УБПДн в ИСПДн

Средства вычислительной техники, информационно-вычислительные комплексы и

сети, средства и системы передачи, приема и обработки персональных данных

(средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговор-

ные и телевизионные устройства, средства изготовления, тиражирования докумен-

тов и другие технические средства обработки речевой, графической, видео- и бук-

венно-цифровой информации), программные средства (операционные системы, сис-

темы управления базами данных и т.п.), средства защиты информации, применяе-

мые в информационных системах.

3.229. Пользователь ИСПДн

Базовая модель

УБПДн в ИСПДн

Лицо, участвующее в функционировании информационной системы персональных

данных или использующее результаты ее функционирования.

3.230. Безопасность объекта

Object Security

ФСБ РФ,

№ 149/54-144, 2008

Состояние защищенности объекта от внешних и внутренних угроз.

Примечание. Данное определение распространяется на любой реальный объект, в

качестве которого могут выступать технические средства, программные средства,

информация, ИТ, информационные системы, информационно-

телекоммуникационные сети, здания, сооружения и т.д.

3.231. Документированные воз-

можности ПО [ТС]; Деклариро-

ванные возможности ПО [ТС]

ФСБ РФ,

№ 149/54-144, 2008

Функциональные возможности ПО [ТС], описанные в документации на ПО [ТС].

3.232. Недокументированные

возможности ПО [ТС]; Недекла-

рированные возможности ПО

[ТС]

ФСБ РФ,

№ 149/54-144, 2008

Функциональные возможности ПО [ТС], не описанные или не соответствующие опи-

санным в документации, при использовании которых возможно нарушение характе-

ристик безопасности защищаемой информации.

Стандартизированные термины и понятия

115

3.233. Опубликованные возмож-

ности ПО или ТС

ФСБ РФ,

№ 149/54-144, 2008

Возможности, сведения о которых содержатся в общедоступных открытых источни-

ках (технические и любые другие материалы разработчика ПО или ТС, монографии,

публикации в СМИ, материалы конференций и других форумов, информация из сети

Internet и т.д.).

3.234. Характеристика безопас-

ности объекта

ФСБ РФ,

№ 149/54-144, 2008

Требование к объекту, или к условиям его создания и существования, или к инфор-

мации об объекте и условиях его создания и существования, выполнение которого

необходимо для обеспечения защищенности жизненно важных интересов личности,

общества или государства.

3.235. Негативные функциональ-

ные возможности (криптос-

редств)

ФСБ РФ,

№ 149/54-144, 2008

Документированные и недокументированных возможности программных и аппарат-

ных компонентов криптосредства и среды функционирования криптосредства, по-

зволяющие:

- модифицировать или искажать алгоритм работы криптосредств в процессе их ис-

пользования;

- модифицировать или искажать информационные или управляющие потоки и про-

цессы, связанные с функционированием криптосредства;

- получать доступ нарушителям к хранящейся в открытом виде ключевой, идентифи-

кационной и (или) аутентифицирующей информации, а также к защищаемой инфор-

мации.

116

Информационная безопасность

4. Угрозы информационной безопасности, управление рисками

4.1. Угроза безопасности

Threat to security

Закон РФ № 2446-1

от 05.03.1992

Совокупность условий и факторов, создающих опасность жизненно важным интере-

сам личности, общества и государства.

Реальная и потенциальная угроза объектам безопасности, исходящая от внутренних

и внешних источников опасности, определяет содержание деятельности по обеспе-

чению внутренней и внешней безопасности.

4.2. Разглашение информации,

составляющей коммерческую

тайну

Disclosure of making

a trade secret infor-

mation

№ 98-ФЗ

от 29.07.2004

Действие или бездействие, в результате которых информация, составляющая ком-

мерческую тайну, в любой возможной форме (устной, письменной, иной форме, в

том числе с использованием технических средств) становится известной третьим

лицам без согласия обладателя такой информации либо вопреки трудовому или

гражданско-правовому договору.

4.3. Блокирование персональ-

ных данных; Персональных

данных блокирование

Personal Data Block-

ing

№ 152-ФЗ

от 27.07.2006

Временное прекращение сбора, систематизации, накопления, использования, рас-

пространения персональных данных, в том числе их передачи.

4.4. Уничтожение персональ-

ных данных; Персональных

данных уничтожение

Destruction of per-

sonal data

№ 152-ФЗ

от 27.07.2006

Действия, в результате которых невозможно восстановить содержание персональ-

ных данных в информационной системе персональных данных или в результате ко-

торых уничтожаются материальные носители персональных данных.

4.5. Контрафакт

Contrafact copies

№ 230-ФЗ

от 18.12.2006

В случае, когда изготовление, распространение или иное использование, а также

импорт, перевозка или хранение материальных носителей, в которых выражены ре-

зультат интеллектуальной деятельности или средство индивидуализации, приводят

к нарушению исключительного права на такой результат или на такое средство, та-

кие материальные носители считаются контрафактными.

4.6. Вредоносное программное

обеспечение

ПП РФ № 575

от 10.09.2007

Программное обеспечение, целенаправленно приводящее к нарушению законных

прав абонента и (или) пользователя, в том числе к сбору, обработке или передаче с

абонентского терминала информации без согласия абонента и (или) пользователя,

либо к ухудшению параметров функционирования абонентского терминала или сети

связи.

4.7. Спам

ПП РФ № 575

от 10.09.2007

Телематическое электронное сообщение, предназначенное неопределенному кругу

лиц, доставленное абоненту и (или) пользователю без их предварительного согла-

сия и не позволяющее определить отправителя этого сообщения, в том числе ввиду

указания в нем несуществующего или фальсифицированного адреса отправителя.

Стандартизированные термины и понятия

117

4.8. Отклонение услуги

Service rejecting

ГОСТ Р ИСО 7498-2-

Предотвращение санкционированного доступа к ресурсам или задержка операций,

критичных ко времени.

4.9. Активная угроза

Active thread

ГОСТ Р ИСО 7498-2-

Угроза преднамеренного несанкционированного изменения состояния системы.

Примечание. Примерами активных угроз, относящихся к защите информации, могут

служить модификация сообщений, дублирование сообщений, вставка ложных сооб-

щений, маскирование какого-либо логического объекта под санкционированный ло-

гический объект и отклонение услуги.

4.10. Пассивная угроза

Passive thread

ГОСТ Р ИСО 7498-2-

Угроза несанкционированного раскрытия информации без изменения состояния сис-

темы.

4.11. Самоотказ

ГОСТ Р ИСО 7498-2-

Самоотрицание одного из логических объектов, участвующих в обмене данными,

полного или частичного своего участия в этом обмене.

4.12. Анализ трафика

Traffic Analysis

ГОСТ Р ИСО 7498-2-

Заключение о состоянии информации на основе наблюдения за потоками трафика

(наличие, отсутствие, объем, направление и частота).

4.13. Воздействие

Impact

ГОСТ Р ИСО/МЭК

13335-1 – 2006

Результат нежелательного инцидента информационной безопасности.

4.14. Инцидент (информацион-

ной безопасности)

Information security

incident

ГОСТ Р ИСО/МЭК

13335-1 – 2006

Любое непредвиденное или нежелательное событие, которое может нарушить дея-

тельность или информационную безопасность.

Примечание. Инцидентами информационной безопасности являются:

• утрата услуг, оборудования или устройств;

• системные сбои и перезагрузки;

• ошибки пользователей;

• несоблюдение политик или рекомендаций;

• нарушение физических мер защиты;

• неконтролируемые изменения системы;

• сбои программного обеспечения и отказы технических средств;

• нарушения правил доступа.

4.15. Угроза

Threat

ГОСТ Р ИСО/МЭК

13335-1 – 2006

Потенциальная причина инцидента, который может нанести ущерб системе или ор-

118

Информационная безопасность

ганизации.

4.16. Уязвимость

Vulnerability

ГОСТ Р ИСО/МЭК

13335-1 – 2006

Слабость одного или нескольких активов, которая может быть использована одной

или несколькими угрозами.

4.17. Планирование непрерыв-

ности бизнеса

Business continuity

planning

ГОСТ Р ИСО/МЭК ТО

18044-2007

Процесс обеспечения восстановления операции в случае возникновения какого-либо

неожиданного или нежелательного инцидента, способного негативно воздействовать

на непрерывность важных функций бизнеса и поддерживающих его элементов.

Примечание. Данный процесс должен также обеспечивать восстановление бизнеса с

учетом заданных очередностей и интервалов времени и дальнейшее восстановле-

ние всех функций бизнеса в рабочее состояние. Ключевые элементы этого процесса

должны обеспечивать применение и тестирование необходимых планов и средств и

включение в них информации, бизнес-процессов, информационных систем и серви-

сов, речевой связи и передачи данных, персонала и физических устройств.

4.18. Событие информационной

безопасности

Information security

event

ГОСТ Р ИСО/МЭК ТО

18044-2007

Идентифицированное появление определенного состояния системы, сервиса или

сети, указывающего на возможное нарушение политики ИБ или отказ защитных мер,

или возникновение неизвестной ранее ситуации, которая может иметь отношение к

безопасности.

4.19. Инцидент информацион-

ной безопасности

Information security

incident

ГОСТ Р ИСО/МЭК ТО

18044-2007

Появление одного или нескольких нежелательных или неожиданных событий ИБ, с

которыми связана значительная вероятность компрометации бизнес-операций и

создания угрозы ИБ.

Примечание. Примеры инцидентов ИБ: Отказ в обслуживании, Сбор информации,

Несанкционированный доступ.

4.20. Группа реагирования на

инциденты ИБ

Information Security

Incident Response

Team; ISIRT

ГОСТ Р ИСО/МЭК ТО

18044-2007

Группа обученных и доверенных членов организации.

Примечание. Данная группа обрабатывает инциденты ИБ во время их жизненного

цикла и иногда может дополняться внешними экспертами, например, из общепри-

знанной группы реагирования на компьютерные инциденты или компьютерной груп-

пы быстрого реагирования.

4.21. Отказ в обслуживании

Denial of service

ГОСТ Р ИСО/МЭК ТО

18044-2007

Отказ в обслуживании является обширной категорией инцидентов ИБ, имеющих од-

ну общую черту. Подобные инциденты ИБ приводят к неспособности систем, серви-

сов или сетей продолжать функционирование с прежней производительностью, ча-

ще всего при полном отказе в доступе авторизованным пользователям.

Существует два основных типа инцидентов ИБ, связанных с отказом в обслужива-

нии, создаваемых техническими средствами: уничтожение ресурсов и истощение

ресурсов.

4.22. Сбор информации

ГОСТ Р ИСО/МЭК ТО

18044-2007

Стандартизированные термины и понятия

119

В общих чертах инциденты ИБ «сбор информации» подразумевают действия, свя-

занные с определением потенциальных целей атаки и получением представления о

сервисах, работающих на идентифицированных целях атаки.

Подобные инциденты ИБ предполагают проведение разведки с целью определения:

- наличия цели, получения представления об окружающей ее сетевой топологии и о

том, с кем обычно эта цель связана обменом информации;

- потенциальных уязвимостей цели или непосредственно окружающей ее сетевой

среды, которые можно использовать для атаки.

4.23. Несанкционированный

доступ

Unauthorized access

ГОСТ Р ИСО/МЭК ТО

18044-2007

Несанкционированный доступ как тип инцидента включает в себя инциденты, не во-

шедшие в первые два типа (Отказ в обслуживании, Сбор информации). Главным об-

разом этот тип инцидентов состоит из несанкционированных попыток доступа в сис-

тему или неправильного использования системы, сервиса или сети. Некоторые при-

меры несанкционированного доступа с помощью технических средств включают в

себя:

- попытки извлечь файлы с паролями;

- атаки переполнения буфера с целью получения привилегированного (например, на

уровне системного администратора) доступа к сети;

- использование уязвимостей протокола для перехвата соединения или ложного на-

правления легитимных сетевых соединений;

- попытки расширить привилегии доступа к ресурсам или информации по сравнению

с легитимно имеющимися у пользователя или администратора.

4.24. Угроза (безопасности ин-

формации)

Threat (to informa-

tion security); Infor-

mation danger

ГОСТ Р 50922-2006

Совокупность условий и факторов, создающих потенциальную или реально сущест-

вующую опасность нарушения безопасности информации.

4.25. Фактор, воздействующий

на защищаемую информацию

ГОСТ Р 50922-2006

Явление, действие или процесс, результатом которого могут быть утечка, искаже-

ние, уничтожение защищаемой информации, блокирование доступа к ней.

4.26. Источник (угрозы безопас-

ности информации)

ГОСТ Р 50922-2006

Субъект (физическое лицо, материальный объект или физическое явление), являю-

щийся непосредственной причиной возникновения угрозы безопасности информа-

ции.

4.27. Уязвимость (информаци-

онной системы); Брешь

Vulnerability; Breach

ГОСТ Р 50922-2006

Свойство информационной системы, обусловливающее возможность реализации

угроз безопасности обрабатываемой в ней информации.

Примечания:

1. Условием реализации угрозы безопасности обрабатываемой в системе ин-

формации может быть недостаток или слабое место в информационной сис-

теме.

2. Если уязвимость соответствует угрозе, то существует риск.

120

Информационная безопасность

4.28. Преднамеренное силовое

электромагнитное воздействие

на информацию

ГОСТ Р 50922-2006

Несанкционированное воздействие на информацию, осуществляемое путем приме-

нения источника электромагнитного поля для наведения (генерирования) в АС элек-

тромагнитной энергии с уровнем, вызывающим нарушение нормального функциони-

рования (сбой в работе) технических и программных средств этих систем.

4.29. Модель угроз (безопасно-

сти информации)

ГОСТ Р 50922-2006;

ГОСТ Р 53114-2008

Физическое, математическое, описательное представление свойств или характери-

стик угроз безопасности информации.

Примечание. Видом описательного представления свойств или характеристик угроз

безопасности информации может быть специальный нормативный документ.

4.30. Анализ информационного

риска; Риска информационного

анализ

Information Risk

Analysis

ГОСТ Р 50922-2006

Систематическое использование информации для выявления угроз безопасности

информации, уязвимостей информационной системы и количественной оценки ве-

роятностей реализации угроз с использованием уязвимостей и последствий реали-

зации угроз для информации и информационной системы, предназначенной для об-

работки этой информации.

4.31. Оценка информационного

риска; Риска информационного

оценка

ГОСТ Р 50922-2006

Общий процесс анализа информационного риска и его оценивания.

4.32. Несанкционированные

действия

ГОСТ Р 51241-98

Действия, целью которых является несанкционированное проникновение через уст-

ройства, преграждающие доступ.

4.33. Взлом

ГОСТ Р 51241-98

Действия, направленные на несанкционированное разрушение конструкции.

4.34. Вскрытие

ГОСТ Р 51241-98

Действия, направленные на несанкционированное проникновение через устройства,

преграждающие доступ, без его разрушения.

4.35. Манипулирование

ГОСТ Р 51241-98

Действия, производимые с устройствами контроля доступа без их разрушения, це-

лью которых является получение действующего кода или приведение в открытое со-

стояние заграждающего устройства. Устройства контроля доступа могут при этом

продолжать правильно функционировать во время манипулирования и после него;

следы такого действия не будут заметны. Манипулирование включает в себя также

действия над программным обеспечением.

4.36. Наблюдение

Monitoring

ГОСТ Р 51241-98

Действия, производимые с устройствами контроля и управления доступом без пря-

мого доступа к ним, целью которых является получение действующего кода.

4.37. Копирование

ГОСТ Р 51241-98