Понятие защищаемого объекта информатизации. Этапы классификации объектов информатизации. Нормативные документы.

Защищаемыми объектами информатизации являются (Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР-К) (утверждены приказом Гостехкомиссии России от 30.08.2002 № 282, п. 2.7 ) :

-средства и системы информатизации (СВТ, АС различного уровня и назначения на базе СВТ, в том числе информационно-вычислительные комплексы, сети и системы, средства и системы связи и передачи данных, технические средства приема, передачи и обработки информации (телефонии, звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных, другое общесистемное и прикладное программное обеспечение), используемые для обработки конфиденциальной информации;

-технические средства и системы, не обрабатывающие непосредственно конфиденциальную информацию, но размещенные в помещениях, где она обрабатывается (циркулирует);

-защищаемые помещения.

Под объектами информатизации, аттестуемыми по требованиям безопасности информации, понимаются автоматизированные системы различного уровня и назначения, системы связи, отображения и размножения вместе с помещениями, в которых они установлены, предназначенные для обработки и передачи информации, подлежащей защите, а также сами помещения, предназначенные для ведения конфиденциальных переговоров.

Объекты защиты:

-автоматизированные (информационные) системы; -выделенные(защищаемые)помещения;

-средства изготовления и размножения документов; -технические средства приема, передачи и обработки информации (телефонии, звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации

Классификация ОИ определяется в руководящих документах ФСТЭК России как классификация автоматизированных систем (АС), находящихся на ОИ и классификация (категорирование) средств вычислительной техники (СВТ), входящих в состав данной АС. Классификация АС указана в РД ФСТЭК России «Автоматизированные системы. Защита от НСД к информации. Классификация АС и требования по ЗИ».

Основными этапами классификации АС являются:

- разработка и анализ исходных данных;

- выявление основных признаков АС, необходимых для классификации;

- сравнение выявленных признаков АС с классифицируемыми;

- присвоение АС соответствующего класса ЗИ от НСД.

Устанавливается девять классов защищенности АС от НСД к информации. Каждый класс характеризуется определенной минимальной совокупностью требований по защите.

Классы подразделяются на три группы, отличающиеся особенностями обработки информации в АС. Классы подразделяются на 3 группы. 3 группа – классы 3Б и 3А. Классы соответствуют автоматизированным системам, в которых работает один пользователь, допущенный ко всей информации в АС, размещённой на носителях одного уровня конфиденциальности. 2 группа – классы 2Б и 2А. Классы данной группы соответствуют автоматизированным системам, в которых пользователи имеют одинаковые права доступа ко всей информации в АС, обрабатываемой или хранимой на носителях различного уровня конфиденциальности. 1 группа – классы 1Д, 1Г, 1В, 1Б и 1А. В этих автоматизированных системах одновременно обрабатывается или хранится информация разных уровней конфиденциальности. Не все пользователи имеют доступ ко всей информации в АС.

Классификация СВТ указана в РД ФСТЭК России "СВТ. Защита от НСД к информации. Показатели защищенности от НСД.»

Устанавливается семь классов защищенности СВТ от НСД к информации. Самый низкий класс – седьмой, самый высокий – первый. Классы подразделяются на четыре группы, отличающиеся качественным уровнем защиты:

- 1 группа содержит только один седьмой 7 класс;

- 2 группа характеризуется дискреционной защитой и содержит 6 и 5 классы;

- 3 группа характеризуется мандатной защитой и содержит 4, 3 и 2 классы;

- 4 группа характеризуется верифицированной защитой и содержит только 1 класс.

Выбор класса защищенности СВТ для автоматизированных систем, создаваемых на базе защищенных СВТ, зависит от грифа секретности обрабатываемой в АС информации, условий эксплуатации и расположения объектов системы.

Применение в комплекте СВТ средств криптографической ЗИ по ГОСТ 28147-89 может быть использовано для повышения гарантий качества защиты.

Оценка класса защищенности СВТ проводится в соответствии с Положением о сертификации средств и систем вычислительной техники и связи по требованиям ЗИ, Временным положением по организации разработки, изготовления и эксплуатации программных и ТС ЗИ от несанкционированного доступа в автоматизированных системах и средствах вычислительной техники и другими документами.