Материал: Формализация управления рисками при деструктивных воздействиях на информационно-технологическую инфраструктуру критически важных объектов. Ермилов Е.В., Калашников А.О
А |
Г |
|
шифровальные |
средства |
ЗИ |
и |
||
|
средства контроля эффективности |
|||||||
|
|
|
ЗИ. Указанные средства должны |
|||||
|
|
|
иметь сертификаты соответствия, |
|||||
|
|
|
полученные |
в |
соответствующих |
|||
|
|
|
системах |
сертификации |
|
по |
||
|
|
|
требованиям |
|
безопасности |
|||
|
|
|
информации. |
Специальные средства |
||||
|
|
|
должны быть |
сертифицированы |
в |
|||
|
|
|
установленном |
порядке |
до |
начала |
||
|
|
|
опытной эксплуатации ИТИ |
|
|
|||
|
|
|
|
|
||||
|
|
оценка возможности |
решения |
основных |
||||
|
|
вопросов создания СЗИ ИТИ, исходя из |
||||||
|
|
ресурсных ограничений |
|
|
|
|||
разработка и внедрение специальной СЗИ ИТИ
СЗИ может являться подсистемой ИТИ и в этом случае должна соответствовать требованиям, предъявляемым к ИТИ
разработка концепции
изучение ИТИ
определение путей и оценку возможности реализации требований, предъявляемых к
создаваемой (модернизируемой) СЗИ ИТИ
А Д Е Ж
Рис. 3.12. Структурная схема процесса реализации мероприятий по управлению рисками в информационнотехнологической инфраструктуре критически важного объекта (продолжение)
96
А Д Е Ж
оценку материальных, трудовых и финансовых затрат на разработку и внедрение (модернизирование) СЗИ
проведение необходимых научно- 
исследовательских работ
анализ требований заказчика к назначению, структуре и 
конфигурации создаваемой
(модернизируемой) ИТИ
уточнение режимов обработки 
информации в ИТИ в целом и в
отдельных компонентах
обоснование актуальных угроз безопасности информации и перечня мероприятий по их устранению
уточнение требований по ЗИ в ИТИ
уточнение требований к архитектуре и конфигурации СЗИ
А |
Д |
З |
Рис. 3.12. Структурная схема процесса реализации мероприятий по управлению рисками в информационнотехнологической инфраструктуре критически важного объекта (продолжение)
97
А |
Д |
З |
уточнение требований к составу и характеристикам основных и вспомогательных технических и программных средств, которые могут быть использованы при разработке (модернизации) СЗИ, режимам их работы
обоснование перечня каталогизированных, 
сертифицированных средств ЗИ, использование которых возможно в составе СЗИ
уточнение оценки материальных, трудовых и финансовых затрат на 
создание (модернизацию) СЗИ
требования к СЗИ
формирование цели и задачи обеспечения ЗИ
формирование перечня нормативных правовых актов, методических документов и национальных стандартов, требованиям которых должна соответствовать ИТИ
А Д И
Рис. 3.12. Структурная схема процесса реализации мероприятий по управлению рисками в информационнотехнологической инфраструктуре критически важного объекта (продолжение)
98
А Д И
формирование перечня типов объектов защиты
формирование требований к мерам и средствам ЗИ, применяемым в ИТИ
разработка СЗИ
определение типов субъектов доступа (пользователи, процессы и иные субъекты доступа) и объектов доступа, являющихся объектами защиты (устройства, объекты файловой системы, запускаемые и исполняемые модули, объекты операционной системы и системы управления базами данных, объекты, создаваемые прикладным программным обеспечением, иные объекты доступа)
определение методов управления 
доступом (дискреционный, мандатный, ролевой или иные методы)
определение типов доступа (чтение, 
запись, выполнение или иные типы
доступа)
А Д К
Рис. 3.12. Структурная схема процесса реализации мероприятий по управлению рисками в информационнотехнологической инфраструктуре критически важного объекта (продолжение)
99
А Д К
определение правил разграничения доступа субъектов доступа к объектам доступа (на основе списков, меток безопасности, ролей и иных правил), подлежащих реализации в ИТИ
выбор мер ЗИ, подлежащих реализации в СЗИ
определение видов и типов средств 
ЗИ, обеспечивающих реализацию
технических мер ЗИ
определение структуры СЗИ, включая 
состав (количество) и места
размещения ее элементов
осуществление выбора средств ЗИ с учетом их стоимости, совместимости с информационными технологиями и средствами ИТИ, выполняемых этими средствами ИТИ функций и особенностей их реализации, а также класса кибербезопасности соответствующих систем ИТИ
А Д К
Рис. 3.12. Структурная схема процесса реализации мероприятий по управлению рисками в информационнотехнологической инфраструктуре критически важного объекта (продолжение)
100