Студопедия

КАТЕГОРИИ:

АвтомобилиАстрономияБиологияГеографияДом и садДругие языкиДругоеИнформатикаИсторияКультураЛитератураЛогикаМатематикаМедицинаМеталлургияМеханикаОбразованиеОхрана трудаПедагогикаПолитикаПравоПсихологияРелигияРиторикаСоциологияСпортСтроительствоТехнологияТуризмФизикаФилософияФинансыХимияЧерчениеЭкологияЭкономикаЭлектроника



Международные стандарты и соглашения в области безопасности информационных технологий




Читайте также:
  1. Bonpoс 19 Сплавы на основе алюминия и магния. Свойства и области применения.
  2. CASE-технология создания информационных систем
  3. Gt; 89. Предмет и функции СО как научной дисциплины и практической области деятельности. (не до
  4. II. Слагаемые понятия безопасности
  5. V (пятая) группа по электробезопасности
  6. VI. Последовательная и предсказуемая внешняя политика – продвижение национальных интересов и укрепление региональной и глобальной безопасности
  7. XI. Топографическая анатомия и оперативная хирургия поясничной области и забрюшинного пространства
  8. А.1. - ПБ 115.1. Подготовка и аттестация руководителей и специалистов организаций по основам промышленной безопасности
  9. Агрессия США во Вьетнаме. Международные последствия вьетнамской войны.
  10. Административная ответственность за правонарушения в области охраны окружающей среды.

Ключевым аспектом решения проблемы безопасности ИТ является выработка системы требований, критериев и показателей для оценки уровня безопасности ИТ. Необходимо было разработать эту систему в виде международного стандарта.

История создания данного стандарта.

В начале 80-х годов в США были разработаны "Критерии оценки доверенных компьютерных систем" (TCSEC).

В Европе в 1991г. были разработаны "Критерии оценки безопасности информационных технологий" (ITSEC) совместно Францией, Германией, Нидерландами и Великобританией.

В Канаде в начале 1993 г. были созданы "Канадские критерии оценки доверенных компьютерных продуктов" (CTCPEC).

В США в это же время был издан проект стандарта "Федеральные критерии безопасности информационных технологий" (FC), использовавший другой подход к объединению североамериканской и европейской концепций критериев оценки.

В 1990 г. Международной организацией по стандартизации (ISO) была начата разработка международного стандарта критериев оценки для общего использования. Версия 1.0 ОК была завершена CCEB в январе 1996 г. и одобрена ISO в апреле 1996 г. Бета-версия 2.0 ОК появилась в октябре 1997 г.

В результате этих работ появился Международный стандарт ISO/IEC 15408-99 "Критерии оценки безопасности информационных технологий" или так называемые "Общие критерии".

В России аналогичный стандарт подготовлен в 2001г. Это ГОСТ Р ИСО/МЭК 15408-1-2001 «Критерии оценки безопасности информационных технологий».

Данный стандарт содержит общие критерии (ОК) оценки безопасности информационных технологий. Предназначен в качестве руководства при разработке и при приобретении коммерческих продуктов или систем с функциями безопасности ИТ.

ОК применимы к мерам безопасности ИТ, реализуемым аппаратными, программно-аппаратными и программными средствами. Критерии для оценки специфических качеств криптографических алгоритмов не входят в ОК

ОК безопасности продуктов и систем ИТ предназначены в основном для потребителей, разработчиков и оценщиков.

ОК предоставляют потребителям, независимую от реализации структуру, называемую профилем защиты (ПЗ), для выражения их специфических требований к мерам безопасности ИТ в объекте оценки



Кроме указанного выше используется также ГОСТ Р50922-96 «Защита информации. Основные термины и определения».

В настоящее время разработаны и действуют также и другие международные стандарты, например, ISO/IEC 17799 "Безопасность информационных систем".

Представители 26 европейских стран, а также Канады, США, ЮАР и Японии подписали 23 ноября 2001 г. в Будапеште конвенцию по борьбе с киберпреступностью.

Конвенция разрабатывалась специальным комитетом Совета Европы при участии юристов США и других стран в течение четырех лет. Семнадцатью государствами, включая Россию, документ не подписан, считая, что она нарушает права человека.

Криминалистические особенности расследования компьютерных преступлений

Главная проблема при расследовании преступлений в банковских компьютерных системах заключается в установлении самого факта совершения преступления.

Особенность состоит в том, что для того, чтобы утверждать, что было совершено преступление с использованием компьютера, необходимо доказать:

-факт, что компьютерная информация, к которой произведен несанкционированный доступ, охраняется законами Российской Федерации;



-факт, что злоумышленником были осуществлены определенные неправомерные действия;

-факт, что самими несанкционированными действиями нарушены права собственника информации;

-факт несанкционированного доступа к средствам компьютерной техники либо попытка получения такого доступа;

-факт использования злоумышленником полученных в результате неправомерных действий денежных средств в своих целях. Например, необходимо доказать, что доступ был не санкционированным с целью совершения преступления. Тогда установлению и доказыванию подлежит:

-факт, что действительно были совершены несанкционированные манипуляции, например, с программным обеспечением; что, эти манипуляции были недозволенными; лицо, совершавшее их, знало об этом и осуществляло их с целью преступного умысла.

 

Комплекс следственных действий обязательных для первоначального этапа расследования должен включать:

Проведение обыска в служебном помещении, на рабочем месте подозреваемого с целью обнаружения и изъятия физических носителей машинной информации и документов, имеющих отношению к хищению денежных средств.

Исследования:

журналов сбойных ситуаций, рабочего времени ЭВМ, по передачи смен операторами;

средств защиты и контроля банковских компьютерных систем, регистрирующих пользователей, моменты включения (активации) системы либо подключение к ним абонентов с определенным индексом или без такового;

протоколов вечернего решения, представляющих собой копию действий операторов, отображенную на бумажном носителе в ходе вечерней обработки информации, которая проводится по истечении каждого операционного дня;

контрольных чисел файлов;



всего программного обеспечения ЭВМ;

"прошитых" микросхем постоянно запоминающих устройств, микропроцессоров и их схемного исследования.

Получение и анализ технических указаний по обработке ежедневной бухгалтерской информации с перечнем выходящих форм.

Допрос лиц из числа инженеров - программистов, занимавшихся разработкой программного обеспечения и его сопровождением, специалистов отвечающих за защиту информации и специалистов электронщиков, занимающихся эксплуатацией и ремонтов вычислительной техники.

Назначение комплексной судебно-бухгалтерской и программно-технической экспертизы с привлечением специалистов правоохранительных органов, специалистов в области средств компьютерной техники, по ведению банковского учета с использованием средств компьютерной техники, документообороту, организации бухучета и отчетности, специалистов по обеспечению безопасности информации в компьютерных системах.

В ходе судебно-бухгалтерской экспертизы устанавливаются нарушения требований положений о документообороте, их причины (с целью совершения преступления, злоупотребления или ошибки) и ответственные лица за эти нарушения.

 

Результаты программно-технической экспертизы, как заключение экспертов, играют роль доказательств в процессе суда.

 

С помощью таких экспертиз могут решаться следующие задачи:

Воспроизведение информации, содержащейся на физических носителях.

Восстановление информации, ранее содержавшейся на физических носителях и в последствии стертой или измененной по различным причинам.

Установление времени ввода, изменение, уничтожение либо копирование той или иной информации.

Расшифровка закодированной информации, подбор паролей и раскрытие систем защиты.

Установление авторства, места, средства, подготовки и способа изготовления документов (файлов, программ).

Выяснения возможных каналов утечки информации из компьютерной сети и помещений.

Выяснение технического состояния, исправности программно-аппаратных комплексов, возможности их адаптации под конкретного пользователя.

Установления уровня профессиональной подготовки отдельных лиц, проходящих по делу в области программирования и в качестве пользователя.


Дата добавления: 2015-04-18; просмотров: 9; Нарушение авторских прав







lektsii.com - Лекции.Ком - 2014-2021 год. (0.01 сек.) Все материалы представленные на сайте исключительно с целью ознакомления читателями и не преследуют коммерческих целей или нарушение авторских прав
Главная страница Случайная страница Контакты