Юрий Родичев - Информационная безопасность. Национальные стандарты Российской Федерации

Безопасность информационной технологии– состояние защищенности информационной технологии, при котором обеспечиваются безопасность информации, для обработки которой она применяется, и информационная безопасность информационной системы, в которой она реализована.

Безопасность автоматизированной информационной системы– состояние защищенности автоматизированной информационной системы, при котором обеспечиваются конфиденциальность, доступность, целостность, подотчетность и подлинность ее ресурсов.

Блокирование доступа (к информации) – прекращение или затруднение доступа к информации лиц, имеющих на это право (законных пользователей).

Вредоносная программа– программа, предназначенная для осуществления несанкционированного доступа к информации и/или воздействия на информацию или ресурсы ИС.

Вредоносная программа– программа, используемая для осуществления несанкционированного доступа к информации и/или воздействия на информацию или ресурсы автоматизированной информационной системы.

Доступность (информации [ресурсов автоматизированной информационной системы]) – состояние информации [ресурсов автоматизированной информационной системы], при котором субъекты, имеющие право доступа, могут реализовать их беспрепятственно.

Защита информации (ЗИ) – деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.

Инцидент ИБ– любое непредвиденное или нежелательное событие, которое может нарушить деятельность или информационную безопасность.

В стандарте ГОСТ Р 53114 указаны следующие виды инцидентов:

• утрата услуг, оборудования или устройств;

• системные сбои или перегрузки;

• ошибки пользователей;

• несоблюдение политики или рекомендаций по ИБ;

• нарушение физических мер защиты;

• неконтролируемые изменения систем;

• сбои программного обеспечения и технических средств;

• нарушение правил доступа.

Информационный процесс– процесс создания, сбора, обработки, накопления, хранения, поиска, распространения и использования информации.

Информационная технология– процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов.

Информационная сфера– совокупность информации, информационной инфраструктуры, субъектов, осуществляющих сбор, распространение и использование информации, а также системы регулирования возникающих при этом общественных отношений.

Информационная безопасность организации– состояние защищенности интересов организации в условиях угроз в информационной сфере.

Идентификация– действия по присвоению субъектам и объектам доступа идентификаторов и/или по сравнению предъявляемого идентификатора с перечнем присвоенных идентификаторов.

Конфиденциальность (информации [ресурсов автоматизированной информационной системы]) – состояние информации [ресурсов автоматизированной информационной системы], при котором доступ к ней [к ним] осуществляют только субъекты, имеющие на него право.

Криптографическая защита информации– защита информации с помощью ее криптографического преобразования.

Критически важная система информационной инфраструктуры (КСИИ) – информационно-управляющая или информационно-телекоммуникационная система, которая осуществляет управление или информационное обеспечение критическим объектом или процессом или используется для официального информирования общества и граждан, нарушение или прерывание функционирования которой может привести к чрезвычайной ситуации со значительными негативными последствиями.

Критический объект– объект или процесс, нарушение непрерывности функционирования которого может нанести значительный ущерб.

ПРИМЕЧАНИЕ

В Федеральном законе от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» даны следующие определения:

критическая информационная инфраструктура– объекты критической информационной инфраструктуры, а также сети электросвязи, используемые для организации взаимодействия таких объектов;

объекты критической информационной инфраструктуры– информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъектов критической информационной инфраструктуры.

Критерий обеспечения ИБ организации– показатель, на основании которого оценивается степень достижения цели (целей) ИБ организации.

Меры обеспечения информационной безопасности– совокупность действий, направленных на разработку и/или практическое применение способов и средств обеспечения ИБ.

Мониторинг безопасности информации(при применении информационных технологий) – процедуры регулярного наблюдения за процессом обеспечения безопасности информации при применении информационных технологий.

Недекларированные возможности– функциональные возможности средств вычислительной техники и программного обеспечения, не описанные или не соответствующие описанным в документации, которые могут привести к снижению или нарушению свойств безопасности информации.

Объект информатизации– совокупность информационных ресурсов, средств и систем обработки информации, используемых в соответствии с заданной информационной технологией, а также средств их обеспечения, помещений или объектов (зданий, сооружений, технических средств), в которых эти средства и системы установлены, или помещений и объектов, предназначенных для ведения конфиденциальных переговоров.

Объект защиты информации– информация или носитель информации или информационный процесс, который необходимо защищать в соответствии с целью ЗИ.

Оценка риска– выявление угроз безопасности информации, уязвимостей информационной системы, оценка вероятностей реализации угроз с использованием уязвимостей и оценка последствий реализации угроз для информации и информационной системы, используемой для обработки этой информации.

Оценка соответствия ИБ организации установленным требованиям– деятельность, связанная с прямым или косвенным определением выполнения или невыполнения в организации установленных требований ИБ.

Оценка соответствия требованиям по ЗИ– прямое или косвенное определение степени соблюдения требований по ЗИ, предъявляемых к объекту ЗИ.