Лекция 13: Нормативно-правовые документы и стандарты в области защиты информации

• Рассматриваются законы Российской Федерации, касающиеся защиты информации, и базовые стандарты.  

• Закон об информации, закон о персональных данных и закон о электронной цифровой подписи.  

• Информация, сведения, сообщения, данные.  

• Обладатель информации, оператор, доступ к информации, конфиденциальность информации.  

• Информация, свободно распространяемая, информация, предоставляемая по соглашению, информация, подлежащая предоставлению или распространению.  

• Информация, распространение которой в Российской Федерации ограничивается или запрещается.  

• Защита информации, составляющей государственную тайну, осуществляется в соответствии с законодательством Российской Федерации о гостайне.  

• Требования к защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и уполномоченным органом в области противодействия техническим разведкам.  

• Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации.  

• Закон регулирует отношения, связанные с обработкой персональных данных, и распространяется на всех субъектов, связанных с обработкой данных.  

• Закон ориентирован на всех граждан РФ, включая защиту прав на неприкосновенность частной жизни и личную семейную тайну.  

• Персональные данные - любая информация, относящаяся к физическому лицу.  

• Оператор - государственный орган или организация, осуществляющая обработку персональных данных.  

• Обработка персональных данных - действия с персональными данными, совершаемые оператором.  

• Использование персональных данных - действия, совершаемые оператором в целях принятия решений или совершения иных действий.  

• Блокирование персональных данных - временное прекращение сбора, систематизации, накопления, использования и распространения персональных данных.  

• Уничтожение персональных данных - действия, в результате которых невозможно восстановить содержание данных.  

• Цель закона - обеспечение правовых условий использования электронной цифровой подписи.  

• Сфера применения закона - гражданско-правовые сделки и другие случаи, предусмотренные законодательством РФ.  

• Электронная цифровая подпись - реквизит электронного документа, предназначенный для защиты от подделки и идентификации владельца сертификата ключа подписи.  

• Электронная цифровая подпись и электронный документ неразрывно связаны.  

• Без электронного документа электронная цифровая подпись мало что стоит.  

• Аппаратные и программные средства, обеспечивающие реализацию функций электронной цифровой подписи.  

• Сертификат средств электронной цифровой подписи, подтверждение соответствия и сертификация.  

• Международные стандарты и гармонизированные версии, прямое применение международных стандартов в рамках национальных стандартов.  

• Стандарты информационной безопасности, включая стандарты защиты информации, менеджмента информационной безопасности и другие.  

• Стандарт устанавливает требования по разработке, внедрению, функционированию, мониторингу, анализу, поддержке и улучшению документированной системы менеджмента информационной безопасности.  

• Стандарт предназначен для применения организациями любой формы собственности.  

• Доступность информации - свойство быть доступной для авторизованного индивидуума, логического объекта или процесса.  

• Конфиденциальность информации - свойство быть недоступной для неавторизованного индивидуума.  

• Информационная безопасность - свойство информации сохранять конфиденциальность, целостность, доступность и аутентичность.  

• События информационной безопасности - идентифицированное возникновение состояния системы, услуги или сети, указывающее на возможное нарушение политики информационной безопасности.  

• Система менеджмента информационной безопасности - часть общей системы менеджмента, основанная на использовании методов оценки бизнес-рисков для разработки, внедрения, функционирования, мониторинга, анализа, поддержки и улучшения информационной безопасности.  

• Целостность - свойство сохранять правильность и полноту активов, включая информацию.  

• Остаточный риск - риск, остающийся после его обработки.  

• Принятие риска - решение по принятию риска.  

• Анализ риска - систематическое использование информации для определения источников риска и количественной оценки риска.  

• Оценка риска - процесс сравнения количественно оцененного риска с заданными критериями риска для определения его значимости.  

• Менеджмент риска - скоординированные действия по руководству и управлению организацией в отношении риска.  

• Обработка риска - процесс выбора и осуществления мер по модификации риска.  

• Структурная схема - аналогична модели системы менеджмента качества, включает требования, заинтересованные стороны, исходный уровень, мониторинг и анализ, внедрение, функционирование, поддержку и улучшение системы, степень удовлетворенности заинтересованных сторон.