Парошин А.А. Информационная безопасность: стандартизированные термины и понятия

Подождите немного. Документ загружается.

Стандартизированные термины и понятия

161

метрического образа.

5.189. Электронный муляж

ГОСТ Р 52633-2006

Электронные данные, имитирующие биометрические данные пользователя при тес-

тировании или попытках обхода системы защиты.

Примечание. Различают неслучайный электронный муляж — электронные биомет-

рические данные реального пользователя априорно известны, например перехваче-

ны. Случайный муляж — электронные данные генерируются случайно. Частично

случайный муляж — частично или полностью известные электронные биометриче-

ские данные реального пользователя искусственно размываются случайным шумом.

5.190. Политика информацион-

ной безопасности (организации)

ГОСТ Р 53114-2008

Формальное изложение правил поведения, процедур, практических приемов или ру-

ководящих принципов в области информационной безопасности, которыми руково-

дствуется организация в своей деятельности.

Примечание. Политики должны содержать:

• - предмет, основные цели и задачи политики безопасности;

• - условия применения политики безопасности и возможные ограничения;

• - описание позиции руководства организации в отношении выполнения полити-

ки безопасности и организации режима информационной безопасности орга-

низации в целом;

• - права и обязанности, а также степень ответственности сотрудников за вы-

полнение политики безопасности организации;

• - порядок действия в чрезвычайных ситуациях, в случае нарушения политики

безопасности.

5.191. Цель информационной

безопасности (организации)

ГОСТ Р 53114-2008

Заранее намеченный результат обеспечения информационной безопасности орга-

низации в соответствии с установленными требованиями в политике ИБ (организа-

ции).

Примечание. Результатом обеспечения ИБ может быть предотвращение ущерба об-

ладателю информации из-за возможной утечки информации и (или) несанкциониро-

ванного и непреднамеренного воздействия на информацию.

5.192. Система документов по ИБ

в организации

ГОСТ Р 53114-2008

Объединенная целевой направленностью упорядоченная совокупность документов,

взаимосвязанных по признакам происхождения, назначения, вида, сферы деятель-

ности, единых требований к их оформлению и регламентирующих в организации

деятельность по обеспечению информационной безопасности.

5.193. Менеджмент информаци-

онной безопасности организа-

ции

ГОСТ Р 53114-2008

Скоординированные действия по руководству и управлению организацией в части

обеспечения ее информационной безопасности в соответствии с изменяющимися

условиями внутренней и внешней среды организации.

5.194. Менеджмент риска инфор-

мационной безопасности орга-

ГОСТ Р 53114-2008

162

Информационная безопасность

низации

Скоординированные действия по руководству и управлению организацией в отно-

шении риска ИБ с целью его минимизации.

Примечание. Основными процессами менеджмента риска являются установление

контекста, оценка риска, обработка и принятие риска, мониторинг и пересмотр риска.

5.195. Роль информационной

безопасности в организации

ГОСТ Р 53114-2008

Совокупность определенных функций и задач обеспечения информационной безо-

пасности организации, устанавливающих допустимое взаимодействие между субъ-

ектом и объектом в организации.

Примечания.

1. К субъектам относятся лица из числа руководителей организации, ее персонал

или инициируемые от их имени процессы по выполнению действий над объектами.

2. Объектами могут быть техническое, программное, программно-техническое сред-

ство, информационный ресурс, над которыми выполняются действия.

5.196. Служба информационной

безопасности организации

ГОСТ Р 53114-2008

Организационно-техническая структура системы менеджмента информационной

безопасности организации, реализующая решение определенной задачи, направ-

ленной на противодействие угрозам информационной безопасности организации.

5.197. Обеспечение информаци-

онной безопасности организа-

ции

ГОСТ Р 53114-2008

Деятельность, направленная на устранение (нейтрализацию, парирование) внутрен-

них и внешних угроз информационной безопасности организации или на минимиза-

цию ущерба от возможной реализации таких угроз.

5.198. Мера (обеспечения) безо-

пасности

ГОСТ Р 53114-2008

Сложившаяся практика, процедура или механизм обработки риска.

5.199. Меры обеспечения ИБ

ГОСТ Р 53114-2008

Совокупность действий, направленных на разработку и/или практическое примене-

ние способов и средств обеспечения информационной безопасности.

5.200. Организационные меры

обеспечения ИБ

ГОСТ Р 53114-2008

Меры обеспечения информационной безопасности, предусматривающие установле-

ние временных, территориальных, пространственных, правовых, методических и

иных ограничений на условия использования и режимы работы объекта информати-

зации.

5.201. Техническое средство

обеспечения ИБ; Средство тех-

ническое обеспечения ИБ

ГОСТ Р 53114-2008

Оборудование, используемое для обеспечения информационной безопасности ор-

ганизации некриптографическими методами.

Примечание. Такое оборудование может быть представлено техническими и про-

граммно-техническими средствами, встроенными в объект защиты и/или функцио-

нирующими автономно (независимо от объекта защиты).

Стандартизированные термины и понятия

163

5.202. Средство обнаружения

вторжений; Средство обнаруже-

ния атак

ГОСТ Р 53114-2008

Программное или программно-техническое средство, которое автоматизирует про-

цесс контроля событий, протекающих в компьютерной системе или сети, а также са-

мостоятельно анализирует эти события в поисках признаков инцидента информаци-

онной безопасности.

5.203. Средство защиты от не-

санкционированного доступа

ГОСТ Р 53114-2008

Программное, техническое или программно-техническое средство, предназначенное

для предотвращения или существенного затруднения несанкционированного досту-

па.

5.204. Защита данных; Данных

защита

Data protection

ISO/IEC 2382-1:1993

Применение административных, технических или физических мер борьбы

с несанкционированным доступом к данным.

5.205. Система менеджмента

[управления] информационной

безопасностью; СМИБ

Information security

management system;

ISMS

ISO/IEC 27001:2005

Часть общей системы менеджмента компании, основывающаяся на подходе бизнес-

риска, предназначенная для создания, реорганизации, эксплуатации, мониторинга,

анализа, поддержки и повышения информационной безопасности компании.

Примечание. Система менеджмента включает структуру, политики, деятельность по

планированию, обязанности, практики, процедуры, процессы и ресурсы компании.

5.206. Положение о применимо-

сти

Statement of appli-

cability

ISO/IEC 27001:2005

Документ, описывающий значимые и приемлемые для компании требования к ин-

формационной безопасности.

Примечание. Требования к информационной безопасности основываются на резуль-

татах оценки и минимизации рисков, требованиях законодательства и регламенти-

рующих документов, требований компании к обеспечению информационной безо-

пасности.

5.207. Документированная про-

цедура

Documented proce-

dure

ISO/IEC 27001:2005

Процедура установлена, документально зафиксирована, выполняется и поддержи-

вается в рамках организации.

Примечания.

1. Объем документации по СУИБ различных организаций может отличаться в зави-

симости от:

• размера организации и сферы ее деятельности;

• масштаба и сложности управляемой системы и требований к информационной

безопасности.

2. Документы могут быть оформлены произвольным образом и храниться на любом

виде носителя информации.

5.208. Корректирующие действия

Corrective action

ISO/IEC 27001:2005

Действия по устранению причин несоответствия требованиям СМИБ с целью преду-

преждения повторений несоответствий.

164

Информационная безопасность

5.209. Превентивные действия

Preventive action

ISO/IEC 27001:2005

Действия по устранению причин потенциальных несоответствий требованиям СМИБ

в целях предотвращения их возникновения.

5.210. Средство управления; Ме-

ханизм контроля

Control

ISO/IEC 27002:2005

Средства управления рисками, включая политику, процедуры, руководящие принци-

пы, практики или организационные структуры, которые могут носить административ-

ный, технический, управленческий или юридический характер.

Примечание. Термин «средство управления» также используется как синоним тер-

мина «Мера безопасности» или «Контрмера».

5.211. Профиль защиты

Protection profile

Р 50.1.053-2005

Совокупность типовых требований по обеспечению безопасности информации, ко-

торые должны быть реализованы в защищаемой АС.

Примечание. Профиль защиты может разрабатываться для АС, средства вычисли-

тельной техники, а также их технических и программных средств.

5.212. Правила разграничения

доступа (в АС)

Р 50.1.053-2005

Правила, регламентирующие условия доступа субъектов доступа к объектам досту-

па в АС.

5.213. Средство защиты инфор-

мации от утечки по техническим

каналам

Р 50.1.056-2005

Техническое средство, вещество или материал, предназначенные и (или) исполь-

зуемые для защиты информации от утечки по техническим каналам.

5.214. Средство защиты инфор-

мации от НСД

Р 50.1.056-2005

Техническое, программное или программно-техническое средство, предназначенное

для предотвращения или существенного затруднения несанкционированного досту-

па к информации или ресурсам информационной системы.

5.215. Средство защиты инфор-

мации от НСВ

Р 50.1.056-2005

Техническое, программное или программно-техническое средство, предназначенное

для предотвращения несанкционированного воздействия на информацию или ре-

сурсы информационной системы.

5.216. Межсетевой экран

Firewall

Р 50.1.056-2005

Локальное [однокомпонентное] или функционально-распределенное программное

[программно-аппаратное] средство [комплекс], реализующее контроль за информа-

цией, поступающей в АС и (или) выходящей из АС.

5.217. Средство поиска закла-

дочных устройств

Р 50.1.056-2005

Техническое средство, предназначенное для поиска закладочных устройств, уста-

новленных на объекте информатизации.

5.218. Средство обеспечения

технической защиты информа-

ции

Р 50.1.056-2005

Техническое, программное, программно-техническое средство, используемое и (или)

создаваемое для обеспечения технической защиты информации на всех стадиях

Стандартизированные термины и понятия

165

жизненного цикла защищаемого объекта.

5.219. Организационно-

технические мероприятия по

обеспечению защиты информа-

ции

Technical safeguards

Р 50.1.056-2005

Совокупность действий, направленных на применение организационных мер и про-

граммно-технических способов защиты информации на объекте информатизации.

Примечания.

1. Организационно-технические мероприятия по обеспечению защиты информа-

ции должны осуществляться на всех этапах жизненного цикла объекта ин-

форматизации.

2. Организационные меры предусматривают установление временных, террито-

риальных, пространственных, правовых, методических и иных ограничений на

условия использования и режимы работы объекта информатизации.

5.220. Обеспечение информаци-

онной безопасности

Providing of informa-

tion security (infose-

curity); Information

security provision

OCT 45.127-99

Деятельность, направленная на предотвращение утечки защищаемой информации

информационной сферы, несанкционированных или непреднамеренных воздейст-

вий нарушителя на информационную сферу, на обнаружение последствий от непре-

дотвращенных воздействий нарушителя на информационную сферу и на ликвида-

цию последствий воздействия нарушителя на информационную сферу.

5.221. Система обеспечения ин-

формационной безопасности;

СОИБ

Providing system of

information security;

Information security

provision system

OCT 45.127-99

Совокупность правовых норм, организационных и технических мероприятий, служб

информационной безопасности и механизмов защиты, органов управления и испол-

нителей, направленных на противодействие заданному множеству угроз информа-

ционной безопасности объекта с целью сведения до минимума возможного ущерба

пользователю или владельцу.

5.222. Информация управления

информационной безопасно-

стью

Control information

of infosecurity

OCT 45.127-99

Информация, необходимая для реализации функции управления в системе обеспе-

чения информационной безопасности.

5.223. Архитектура информаци-

онной безопасности

Architecture of info-

security

OCT 45.127-99

Логическая структура и принципы обеспечения информационной безопасности.

Примечание. Логическая структура обеспечения информационной безопасности –

совокупность органов, служб, средств системы обеспечения информационной безо-

пасности, объектов информационной безопасности и процессов взаимодействия

объектов информационной безопасности между собой и с подсистемой управления

системы обеспечения информационной безопасности.

5.224. Политика информацион-

ной безопасности

Policy of information

security

OCT 45.127-99

Система мероприятий, направленных на обеспечение информационной безопасно-

сти.

166

Информационная безопасность

Примечание. Указанные мероприятия включают совокупность требований и правил

по информационной безопасности для объекта информационной безопасности, вы-

работанных в целях противодействия заданному множеству угроз информационной

безопасности с учетом ценности защищаемой информационной сферы и стоимости

системы обеспечения информационной безопасности.

5.225. Проект информационной

безопасности

Project of informa-

tion security

OCT 45.127-99

План, замысел, определяющий для разрабатываемой системы обеспечения инфор-

мационной безопасности требования к информационной безопасности.

Примечание. Проект информационной безопасности разрабатывается в виде доку-

мента (Концепция информационной безопасности), согласующего приемлемый уро-

вень качества служб информационной безопасности в условиях заданного множест-

ва угроз информационной безопасности, эффективность выбранных мер обеспече-

ния информационной безопасности и результирующую цену системы обеспечения

информационной безопасности.

5.226. Механизм обеспечения

информационной безопасности

Information security

[protection] provid-

ing measures

OCT 45.127-99

Аппаратно-программные и организационные средства системы обеспечения инфор-

мационной безопасности, реализующие, исходя из заданной политики информаци-

онной безопасности, определенные уровни защиты информационной сферы в соот-

ветствии с одним из перекрывающих друг друга этапов защиты: предотвращением,

обнаружением и восстановлением (ликвидацией) последствия воздействия наруши-

теля информационной безопасности.

5.227. Услуга информационной

безопасности

Service of infosecuri-

OCT 45.127-99

Результат деятельности системы обеспечения информационной безопасности, пре-

доставляемый пользователю по его запросу к соответствующей службе информаци-

онной безопасности.

5.228. Служба информационной

безопасности

Service of infosecuri-

OCT 45.127-99

Организационно-техническая структура системы обеспечения информационной

безопасности, реализующая решение определенной задачи, направленной на про-

тиводействие той или иной угрозе информационной безопасности.

5.229. Качество службы инфор-

мационной безопасности

Quality of service of

infosecurity

OCT 45.127-99

Совокупность определяемых, измеряемых и регулируемых параметров предотвра-

щения, обнаружения и ликвидации угрозы информационной безопасности, противо-

действие которой является задачей данной службы информационной безопасности.

5.230. Меры обеспечения ин-

формационной безопасности

Measures of provid-

ing information secu-

rity

OCT 45.127-99

Правовые, организационные, программные и аппаратные способы, правила и про-

цедуры использования механизмов защиты.

5.231. Администратор [руково-

дящий орган] СОИБ

Administrator [lead-

ing body] of informa-

tion security provid-

ing system

OCT 45.127-99

Физическое или юридическое лицо, ответственное за реализацию политики обеспе-

чения информационной безопасности.

Стандартизированные термины и понятия

167

5.232. Санкционированный дос-

туп к информации

Authorized access to

information

Защита от НСД. ТО

Доступ к информации, не нарушающий правила разграничения доступа.

5.233. Матрица доступа

Access matrix

Защита от НСД. ТО

Таблица, отображающая правила разграничения доступа.

5.234. Уровень полномочий

субъекта доступа

Subject privilege

Защита от НСД. ТО

Совокупность прав доступа субъекта доступа.

5.235. Комплекс средств защиты;

КСЗ

Trusted computing

base

Защита от НСД. ТО

Совокупность программных и технических средств, создаваемая и поддерживаемая

для обеспечения защиты средств вычислительной техники или АС от несанкциони-

рованного доступа к информации.

5.236. Система разграничения

доступа

Security policy reali-

zation

Защита от НСД. ТО

Совокупность реализуемых правил разграничения доступа в средствах вычисли-

тельной техники или АС.

5.237. Аутентификация

Authentication

Защита от НСД. ТО

Проверка принадлежности субъекту доступа предъявленного им идентификатора,

подтверждение подлинности.

5.238. Защищенное СВТ; Защи-

щенная АС

Trusted computing

system

Защита от НСД. ТО

Средство вычислительной техники [АС], в котором реализован комплекс средств

защиты.

5.239. Модель защиты

Protection model

Защита от НСД. ТО

Абстрактное (формализованное или неформализованное) описание комплекса про-

граммно-технических средств и (или) организационных мер защиты от несанкциони-

рованного доступа.

5.240. Дискреционное управле-

ние доступом

Discretionary access

control

Защита от НСД. ТО

Разграничение доступа между поименованными субъектами и поименованными

объектами. Субъект с определенным правом доступа может передать это право

любому другому субъекту.

5.241. Мандатное управление

доступом

Mandatory access

control

Защита от НСД. ТО

Разграничение доступа субъектов к объектам, основанное на характеризуемой мет-

кой конфиденциальности информации, содержащейся в объектах, и официальном

разрешении (допуске) субъектов обращаться к информации такого уровня конфи-

денциальности.

5.242. Многоуровневая защита

Multilevel secure

Защита от НСД. ТО

Защита, обеспечивающая разграничение доступа субъектов с различными правами

доступа к объектам различных уровней конфиденциальности.

5.243. Концепция диспетчера

доступа

Reference monitor

concept

Защита от НСД. ТО

Концепция управления доступом, относящаяся к абстрактной машине, которая по-

средничает при всех обращениях субъектов к объектам.

168

Информационная безопасность

5.244. Диспетчер доступа

Security kernel

Защита от НСД. ТО

Технические, программные и микропрограммные элементы комплекса средств за-

щиты, реализующие концепцию диспетчера доступа; ядро защиты.

5.245. Администратор защиты

Security administra-

tor

Защита от НСД. ТО

Субъект доступа, ответственный за защиту АС от несанкционированного доступа к

информации.

5.246. Метка конфиденциально-

сти; Гриф конфиденциальности

Sensitivity label

Защита от НСД. ТО

Элемент информации, который характеризует конфиденциальность информации,

содержащейся в объекте.

5.247. Верификация СВТ [АС]

Verification

Защита от НСД. ТО

Процесс сравнения двух уровней спецификации средств вычислительной техники

или автоматизированной системы на надлежащее соответствие.

5.248. Класс защищенности СВТ

[АС]

Protection class of

computer systems

Защита от НСД. ТО

Определенная совокупность требований по защите средств вычислительной техни-

ки [автоматизированной системы] от несанкционированного доступа к информации.

5.249. Показатель защищенности

(СВТ)

Protection criterion

of computer systems

Защита от НСД. ТО

Характеристика средств вычислительной техники, влияющая на защищенность и

описываемая определенной группой требований, варьируемых по уровню, глубине в

зависимости от класса защищенности средств вычислительной техники.

5.250. Система защиты секретной

информации

Secret information

security system

Защита от НСД. ТО

Комплекс организационных мер и программно-технических (в том числе криптогра-

фических) средств обеспечения безопасности информации в АС.

5.251. Система защиты инфор-

мации от несанкционированного

доступа; СЗИ НСД

System of protection

from unauthorized

access to informa-

tion

Защита от НСД. ТО

Комплекс организационных мер и программно-технических (в том числе криптогра-

фических) средств защиты от несанкционированного доступа к информации в АС.

5.252. Статический анализ ис-

ходных текстов программ

Защита от НСД.

ПО СЗИ

Совокупность методов контроля (не)соответствия реализованных и декларирован-

ных в документации функциональных возможностей ПО, основанных на структурном

анализе и декомпозиции исходных текстов программ.

5.253. Динамический анализ ис-

ходных текстов программ

Защита от НСД.

ПО СЗИ

Совокупность методов контроля (не)соответствия реализованных и декларирован-

ных в документации функциональных возможностей ПО, основанных на идентифи-

кации фактических маршрутов выполнения функциональных объектов с последую-

щим сопоставлением маршрутам, построенным в процессе проведения статического

анализа.

5.254. Специальный защитный

знак; СЗЗ

СТР-К

Стандартизированные термины и понятия

169

Сертифицированное и зарегистрированное в установленном порядке изделие,

предназначенное для контроля несанкционированного доступа к объектам защиты

путем определения подлинности и целостности СЗЗ, путем сравнения самого знака

или композиции "СЗЗ-подложка" по критериям соответствия.

5.255. Служебная информация

СЗИ НСД; Информация служеб-

ная СЗИ НСД

СТР-К

Информационная база АС, необходимая для функционирования СЗИ НСД (уровень

полномочий эксплуатационного персонала АС, матрица доступа, ключи, пароли и

т.д.).

5.256. Средства криптографиче-

ской защиты информации; СКЗИ

Cryptographic Infor-

mation protection fa-

cility

Положение ПКЗ-2005

Шифровальные (криптографические) средства защиты информации конфиденци-

ального характера, к которым относятся:

а) Средства шифрования - аппаратные, программные и аппаратно-программные

средства, системы и комплексы, реализующие алгоритмы криптографического пре-

образования информации и предназначенные для защиты информации при переда-

че по каналам связи и (или) для защиты информации от несанкционированного дос-

тупа при ее обработке и хранении;

б) Средства имитозащиты - аппаратные, программные и аппаратно-программные

средства, системы и комплексы, реализующие алгоритмы криптографического пре-

образования информации и предназначенные для защиты от навязывания ложной

информации;

в) Средства ЭЦП - аппаратные, программные и аппаратно-программные средства,

обеспечивающие на основе криптографических преобразований реализацию хотя

бы одной из следующих функций: создание ЭЦП с использованием закрытого ключа

ЭЦП, подтверждение с использованием открытого ключа ЭЦП подлинности ЭЦП,

создание закрытых и открытых ключей ЭЦП;

г) Средства кодирования - средства, реализующие алгоритмы криптографического

преобразования информации с выполнением части преобразования путем ручных

операций или с использованием автоматизированных средств на основе таких опе-

раций;

д) Средства изготовления ключевых документов (независимо от вида носителя клю-

чевой информации);

е) Ключевые документы (независимо от вида носителя ключевой информации).

5.257. Обеспечение безопасности

информации в КСИИ

ОТ в КСИИ

Деятельность, направленная на ликвидацию угроз или на минимизацию ущерба от

реализации угроз безопасности информации в ключевых системах информационной

инфраструктуры.

5.258. Встраивание криптосред-

ства

ФСБ РФ,

№ 149/54-144, 2008

Процесс подключения криптосредства к техническим и программным средствам, со-

вместно с которыми предполагается его штатное функционирование, за исключени-

ем процесса инсталляции.

5.259. Криптографически опасная

информация; Информация крип-

ФСБ РФ,

№ 149/54-144, 2008

170

Информационная безопасность

тографически опасная

Информация о состояниях криптосредства, знание которой нарушителем позволит

ему строить алгоритмы определения ключевой информации (или ее части) или ал-

горитмы бесключевого чтения.

5.260. Криптосредство

ФСБ РФ,

№ 149/54-144, 2008

Шифровальное (криптографическое) средство, предназначенное для защиты ин-

формации, не содержащей сведений, составляющих гостайну. В частности, к крип-

тосредствам относятся средства криптографической защиты информации (СКЗИ) -

шифровальные (криптографические) средства защиты информации с ограниченным

доступом, не содержащей сведений, составляющих гостайну

5.261. Специальная защита

ФСБ РФ,

№ 149/54-144, 2008

Комплекс организационных и технических мероприятий, обеспечивающих защиту

информации от утечки по каналам побочных излучений и наводок.

5.262. Среда функционирования

криптосредства

ФСБ РФ,

№ 149/54-144, 2008

Совокупность технических и программных средств, совместно с которыми предпола-

гается штатное функционирование криптосредства и которые способны повлиять на

выполнение предъявляемых к криптосредству требований.

5.263. Уровень криптографиче-

ской защиты информации

ФСБ РФ,

№ 149/54-144, 2008

Совокупность требований, предъявляемых к криптосредству.