Правовые основы защиты информации

9.4. Система стандартов в области защиты информации

Система стандартов по защите информации (ССЗИ) - совокупность взаимосвязанных стандартов, устанавливающих характеристики продукции, правила осуществления и характеристики процессов, выполнения работ или оказания услуг в области защиты информации.

Национальные стандарты (ГОСТы) в общем случае являются рекомендательными. Однако в ряде случаев обязательность следования стандартам и спецификациям закреплена законодательно. В соответствии со ст.6 ФЗ №162 "О стандартизации в Российской Федерации" в том случае, если речь идет о "стандартизации в отношении оборонной продукции (товаров, работ, услуг) по государственному оборонному заказу, продукции, используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа, продукции, сведения о которой составляют государственную тайну, продукции, для которой устанавливаются требования, связанные с обеспечением безопасности в области использования атомной энергии, а также в отношении процессов и иных объектов стандартизации, связанных с такой продукцией", стандарты являются обязательными к применению.

Основополагающим стандартом РФ в области защиты информации (некриптографическими методами) является ГОСТ Р 52069.0-2013 "Защита информации. Система стандартов. Основные положения".

Целью создания ССЗИ является достижение рациональной упорядоченности организации и содержания работ в области ЗИ, повышение эффективности ЗИ на основе установления общих правил и характеристик для их многократного использования, а также повышение эффективности работ по стандартизации за счет упорядочения структуры системы стандартов, процесса разработки стандартов, учета взаимосвязи стандартов различных систем.

Основными задачами по формированию и развитию ССЗИ являются:

• установление основополагающих принципов построения, требований к составу и содержанию системы документов в области ЗИ;
• обеспечение единства терминологии в области ЗИ;
• упорядочение объектов и аспектов стандартизации в области ЗИ;
• обеспечение единства организационных и методических подходов к проведению работ по ЗИ;
• установление системы требований по ЗИ, предъявляемых к различным видам ОЗИ, и методов контроля выполнения этих требований;
• установление общих технических требований к СЗИ и СКЭЗИ, методам их испытаний;
• установление общих требований к услугам по ЗИ;
• установление требований к методам и методикам испытаний и оценки качества СЗИ и СКЭЗИ, к методам и методикам измерений в процессе контроля эффективности мероприятий по ЗИ;
• установление требований к метрологическому, информационному и другим видам обеспечения ЗИ.

Система стандартов по защите информации включает следующие виды документов в области стандартизации по ЗИ, используемых на территории Российской Федерации:

• национальные стандарты Российской Федерации, в том числе ограниченного распространения, государственные военные стандарты, национальные стандарты, оформленные на основе аутентичных переводов международных стандартов (гармонизированные стандарты);
• межгосударственные стандарты;
• правила стандартизации, нормы и рекомендации в области стандартизации;
• общероссийские классификаторы технико-экономической и социальной информации;
• стандарты организаций;
• предварительные национальные стандарты[86].

Структура ССЗИ представлена на рис. 9.2:

увеличить изображение
Рис. 9.2. Структура системы стандартов по защите информации

Сокращения на рисунке:

• ЗИ - защита информации;
• ОБИ в КСИИ - обеспечение безопасности информации в ключевых системах информационной инфраструктуры;
• ОЗИ - объект защиты информации;
• СЗИ - средство защиты информации;
• СКЭЗИ - средство контроля эффективности защиты информации;
• ТЗИ - техническая защита информации.

В таблице 9.1 приведен перечень стандартов в области защиты информации в соответствии с сайтом ФСТЭК России (http://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/113-gosudarstvennye-standarty):

Следует отметить наличие стандартов Банка России, регулирующих защиту информации в банковской сфере. Стандарт Банка России по обеспечению информационной безопасности организаций банковской системы Российской Федерации (СТО БР ИББС) - это комплекс документов Банка России, описывающий единый подход к построению системы обеспечения информационной безопасности организаций банковской сферы с учётом требований российского законодательства:

• Стандарт Банка России: "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Сбор и анализ технических данных при реагировании на инциденты информационной безопасности при осуществлении переводов денежных средств" (СТО БР ИББС-1.3-2016)
• Стандарт Банка России: "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения" (СТО БР ИББС-1.0-2014)
• Стандарт Банка России: "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0 - 2014" (СТО БР ИББС-1.2-2014)
• Стандарт Банка России: "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Аудит информационной безопасности СТО БР ИББС-1.1-2007" (СТО БР ИББС-1.1-2007)

Стандарты являются основным средством обеспечения взаимной совместимости аппаратно-программных систем и их компонентов. Они также являются средством накопления знаний и методологической платформой к комплексному решению проблем информационной безопасности.

В лекциях "Методы и средства контроля защищенности информации" и "Сертификация средств защиты информации" будут подробно рассмотрены вопросы сертификации и аттестации в области защиты информации.