Кваліфікаційний аналіз засобів і систем захисту інформації
| Прізвище | Барабаш |
| Ім'я | Світлана |
| По-батькові | Богданівна |
| Факультет | ФІС |
| Група | СН-41 |
| Залікова книжка | № ПК-07-002 |
 |
Презентація доповіді на тему Кваліфікаційний аналіз засобів і систем захисту інформації є розміщеною в Репозиторії. |
Кваліфікаційний аналіз (рос. — квалификационный анализ, англ. — evaluation) — це аналіз інформаційно-комунікаційної системи (чи обчислювальної системи), що проводиться з метою визначення рівня її захищеності та відповідності вимогам безпеки на основі критеріїв стандарту безпеки.Кваліфікація рівня безпеки є кінцевим етапом технологічного циклу створення захищених систем, безпосередньо передує процедурі сертифікації і завершується присвоєнням комунікаційній системі того чи іншого класу чи рівня безпеки.
Кваліфікаційний аналіз, а також вимоги до нього
- Вимоги до кваліфікаційного аналізу
Можна висувати різні вимоги, починаючи з вимог до якості об'єкта, що підлягає аналізу, виконуваних ним функцій і коректності функціонування та завершуючи вимогами до документації на цей об'єкт. Вимоги до самого процесу кваліфікаційного аналізу регламентовано у відповідних нормативних документах. Українська нормативна база передбачає такі види кваліфікаційного аналізу:
- Атестація.
- Державна експертиза.
- Сертифікація.
В Україні державним органом, на який покладено завдання здійснення дер¬жавного контролю за станом криптографічного та технічного захисту інфор¬мації, є Державна служба спеціального зв'язку та захисту інформації України (Держспецзв'язку), що діє на підставі Закону України «Про Державну службу спеціального зв'язку та захисту інформації України» № 3475-15 від 23 лютого 2006 року [266]. Раніше (до 2007 року) ці функції було покладено на Департа¬мент спеціальних телекомунікаційних систем і захисту інформації (ДСТСЗІ) Служби безпеки України.
Організація державної експертизи
Мета державної експертизи у сфері технічного захисту інформації оцінити захищеність інформації, яка обробляється або циркулює в інформаційних, теле¬комунікаційних та інформаційно-телекомунікаційних системах, а також у примі¬щеннях, інженерно-технічних спорудах тощо (тобто на об'єктах інформаційної діяльності).
- Положення про державну експертизу
У державній експертизі беруть участь:
- Замовники експертизи.
- Адміністрація Держспецзв'язку.
- Організатори експертизи.
- Експерти.
Державну експертизу мають проходити такі об'єкти:
- КСЗІ (комплексна система захисту інформації).
- Окремі технічні та програмні засоби.
Види експертизи:
- Первинною - основний вид експертизи, коли виконують усі необхідні заходи щодо підготовки та прийняття рішення стосовно об'єкта;
- Додатковою — здійснюється до об'єктів, на які впливають нові науково-тех¬нічні обставини, або у зв'язку із завершенням терміну дії висновків первинної експертизи;
- Контрольною експертиза, яку проводять за ініціативи замовника чи Держ¬спецзв'язку, коли хтось із них має претензії до висновків первинної експертизи (таку експертизу здійснює інша організація).
Експертиза відбувається за наступним планом:
- Замовник надсилає на ім'я Голови (заступника Голови) Держспецзв'язку зая¬ву на проведення експертизи КСЗІ або засобу ТЗІ. Замовник може також звернутися до цієї служби із заявою щодо проведення контрольної експертизи.
- Експертна рада розглядає заяву у встановлені терміни та приймає рішення про доцільність експертизи і призначає її організатора. Стосунки між організато¬ром і замовником регламентовано у договорі на проведення експертизи, що містить відомості про порядок фінансування, терміни експертизи тощо.
- Організатор призначає експертів, яких буде залучено до виконання робіт.
- Замовник надає організатору визначений НД ТЗІ комплект документації на об'єкт експертизи.
- Організатор аналізує надані документи, загальні методики оцінювання ефек¬тивності засобу ТЗІ чи КСЗІ та формує програму і власні методики проведен¬ня експертизи об'єкта у визначені в договорі терміни, розробляє (за потреби) програмно-технічне забезпечення. Програма та окремі методики узгоджують¬ся із замовником і Адміністрацією Держспецзв'язку.
- Згідно з програмами та методиками здійснюють безпосередню експертизу, ре¬зультати якої оформлюють у вигляді протоколу, який підписують експерти. Протокол затверджує організатор.
- У разі виявлення невідповідностей об'єкта вимогам НД ТЗІ організатор може запропонувати замовнику доопрацювати об'єкт з метою усунення наявних недоліків.
- Організатор складає та підписує експертний висновок, який визначає відпо¬відність об'єкта експертизи вимогам НД ТЗІ.
- Експертний висновок подають до Адміністрації Держспецзв'язку. Експертна рада його розглядає та, якщо висновок задовольняє всі вимоги, реєструє і пе¬редає замовнику. Замовник також отримує атестат відповідності, підписаний Головою Держспецзв'язку.
Сертифікації засобів технічного захисту інформації
Сертифікацію засобів технічного захисту інформації здійснюють згідно з документом «Порядок проведення робіт із сертифікації засобів забезпечення технічного захисту інформації загаль¬ного призначення». Керівними органами, які організовують і координують роботи із сертифікації, є такі:
- Національний орган із сертифікації Державний комітет стандартизації, метрології та сертифікації України (Держстандарт України).
- Адміністрація Держспецзв'язку України.
Метою сертифікації є встановити відповідність засобів технічного захисту інформації вимогам нормативних документів України з питань технічного захисту інформації, а також вимогам аналогічних іноземних нормативних документів, які діють в Україні. Організації, задіяні у процесі сертифікації, мають зберігати конфіденційність інформації, що становить професійну або комерційну таємницю.
