опыта, а также исходя из потребности решения практических задач процесс гармонизации в России западных стандартов будет неуклонно расширяться.
Рис. 2 иллюстрирует сформировавшуюся на международном уровне обобщенную архитектуру стандартов обеспечения информационной безопасности организации.
К категории I («Менеджмент ИБ» на рис. 2) можно отнести как стандарты семейства менеджмента ИБ ISO/IEC 270ХХ (семейство стандартов СМИБ организации), так и комплекс новых стандартов направления Identity management and privacy technologies (менеджмент идентификационными атрибутами и безопасность личности в электронном мире).
Среди российских национальных стандартов к данной категории можно отнести только гармонизированные международные.
К категории II («Процедуры и процессы (меры и средства контроля и управления) ИБ» на рис. 1.2) можно отнести стандарты для следующих объектов и аспектов стандартизации:
— менеджмент инцидентов информационной безопасности;
— безопасность сетей информационных технологий;
— обнаружение вторжений, выбор и поставка систем обнаружения вторжений;
— управление и пользование услугами третьей доверенной стороны;
— восстановление информационных технологий после бедствий и аварий и т. п.
Среди российских национальных стандартов к данной категории можно отнести ГОСТ Р 50922, ГОСТ Р 51275 и др.
К категории III («Технические средства и инструменты защиты информации и информационной безопасности» на рис. 1.2) можно отнести стандарты на алгоритмы криптографических преобразований, критерии оценки безопасности информационных технологий и т. п. Среди российских национальных стандартов к данной категории можно отнести стандарты требований по защите от несанкционированного доступа к средствам вычислительной техники и автоматизированным системам, гармонизированные международные стандарты критериев оценки безопасности информационных технологий (ГОСТ Р ИСО/МЭК 15408), ГОСТ Р ИСО/МЭК 18045), защиты от вредоносного программного обеспечения и т. п. Далее будут приведены сведения по ряду документов национальной и международной системам стандартизации в области защиты информации и обеспечения информационной безопасности. Эти сведения могут быть использованы в справочных целях для решения тех или иных практических задач.
Стандарты по защите информации и обеспечению информационной безопасности организации в системе национальных документов по стандартизации регистрируются в основном по следующим кодам международной классификации стандартов:
— 01.040.01 «Общие положения. Терминология. Стандартизация. Документация (Словари)»;
— 35.020 «Информационные технологии (ИТ) в целом»;
— 35.040 «Наборы знаков и кодирование информации».
В число наиболее известных действующих стандартов входят:
— ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования»;
— ГОСТ Р 34.10-2001 «Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи»;
— ГОСТ Р 34.11–94 «Информационная технология. Криптографическая защита информации. Функция хэширования»;
— ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения»;
— ГОСТ Р 51188-98 «Защита информации. Испытания программных средств на наличие компьютерных вирусов. Типовое руководство»;
— ГОСТ Р 51275-2006 «Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения»;
— ГОСТ Р 52069.0-2003 «Защита информации. Система стандартов. Основные положения»;
— ГОСТ Р 52447-2005 «Защита информации. Техника защиты информации. Номенклатура показателей качества»;
— ГОСТ Р 52448-2005 «Защита информации. Обеспечение безопасности сетей электросвязи. Общие положения»;
— ГОСТ Р 52633.0-2006 «Защита информации. Техника защиты информации. Требования к средствам высоконадежной биометрической аутентификации»;
— ГОСТ Р 52863-2007 «Защита информации. Автоматизированные системы в защищенном исполнении. Испытания на устойчивость к преднамеренным силовым электромагнитным воздействиям. Общие требования»;
— ГОСТ Р 53110-2008 «Система обеспечения информационной безопасности сети связи общего пользования. Общие положения»;
— ГОСТ Р 53109-2008 «Система обеспечения информационной безопасности сети связи общего пользования. Паспорт организации связи по информационной безопасности»;
— ГОСТ Р 53114-2008 «Защита информации. Обеспечение информационной безопасности в организации. Основные термины и определения»;
— ГОСТ Р 53115-2008 «Защита информации. Испытание технических средств обработки информации на соответствие требованиям защищенности от несанкционированного доступа. Методы и средства»;
— ГОСТ Р 53113.1-2008 «Информационная технология. Защита информационных технологий и автоматизированных систем от угроз информационной безопасности, реализуемых с использованием скрытых каналов. Часть 1. Общие положения»;
— ГОСТ Р ИСО/МЭК ТО 13335 (гармонизированный международный) «Информационная технология. Методы и средства обеспечения безопасности». Включает в себя следующие части: часть 1 «Концепция и модели менеджмента безопасности информационных и телекоммуникационных технологий»; часть 3 «Методы менеджмента безопасности информационных технологий»; часть 4 «Выбор защитных мер»; часть 5 «Руководство по менеджменту безопасности сети»;
— ГОСТ Р ИСО/ТО 13569-2007 (гармонизированный международный) Финансовые услуги. Рекомендации по информационной безопасности;
— ГОСТ Р ИСО/МЭК 15408 (гармонизированный международный) Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Включает в себя следующие части: Часть 1. Введение и общая модель; Часть 2. Функциональные требования безопасности; Часть 3. Требования доверия к безопасности;
— ГОСТ Р ИСО/МЭК ТО 15446-2008 (гармонизированный международный) «Информационная технология. Методы и средства обеспечения безопасности. Руководство по разработке профилей защиты и заданий по безопасности» ГОСТ Р ИСО/МЭК 17799-2005 (гармонизированный международный) «Информационная технология. Практические правила управления информационной безопасностью»;
— ГОСТ Р ИСО/МЭК ТО 18044-2007 (гармонизированный международный) «Информационная технология. Методы и средства обеспечения безопасности. Менеджмент инцидентов информационной безопасности»;
— ГОСТ Р ИСО/МЭК 18045-2008 (гармонизированный международный) «Информационная технология. Методы и средства обеспечения безопасности. Методология оценки безопасности информационных технологий»;
— ГОСТ Р ИСО/МЭК 27001-2006 (гармонизированный международный) «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования».
Международные стандарты по защите информации и обеспечению информационной безопасности организации разрабатываются как в рамках работ 27-го подкомитета СТК 1 ISO/IEC, так и по линии других
