Контроль классификации средств работы с информацией

admin — Thu, 28 Aug 2008 13:38:12 +0000

Что касается классификации средств работы с информацией, то необходимо различать классификацию, проведенную силами самого предприятия (его службой информационной безопасности) и классификацию, произведенную третьей стороной (например, производителем системы). При этом вовсе не обязательно, что первый вариант хуже второго. Широко известные, сертифицированные на определенную категорию, системы обычно (и это указывается в сертификационном документе) категоризируются в определенной конфигурации, на определенном оборудовании, в определенной среде и при других определенных условиях. А это значит, что система, сертифицированная по пресловутому классу С2, вовсе не соответствует данной категории на конкретном предприятии по различным причинам (другое оборудование, особенности или ошибки конфигурации и пр.). В этом случае, с одной стороны, собственная категоризация (или перекатегоризация), возможно, окажется более точной. С другой стороны, собственная категоризация может не быть такой подробной, как [СС], например, о которых было рассказано в разделе для специалистов.
В любом случае необходимо убедиться в том, как оценивались надежность механизмов безопасности (аутентификация, криптография и др.), возможность управления этими механизмами, защита данных и разграничение доступа к ним, устойчивость системы к сбоям, качество документации к системе, возможные уязвимости системы и остальные параметры, которые подлежат оценке.

Контроль классификации информации

admin — Thu, 28 Aug 2008 13:37:39 +0000

Классификация информации представляет трудность в первую очередь спецификой работы самого предприятия. Поэтому, если классификация информации на предприятии присутствует, необходимо проверить порядок проведения процесса такой классификации. Если классификация производилась на основании умозаключений только представителей службы безопасности, то она может не отражать реальной потребности в защите информационных объектов. То, что кажется маловажным для аналитиков службы безопасности, может показаться критически важным работникам бизнес-подразделений, разработчикам стратегий развития предприятия и другим службам. Если формальная (задокументированная) классификация отсутствует, то скорее всего присутствует некая сложившаяся неформальная классификация и с ней необходимо ознакомиться. В этом случае не следует принимать во внимание разговоры о том, что все информационные объекты защищаются одинаково хорошо. Такое еще возможно в некой одноранговой сети, где каждый пользователь решает, какую информацию предоставить кому из коллег. При совместной же работе двух и более пользователей с одним объектом рано или поздно появляется проблема отделения одной части информации от другой и разграничения доступа к этим частям. А значит, возникают и разные уровни чувствительности информации хотя бы по параметру конфиденциальность.

Информационная безопасность » Контроль классификации информации

Контроль классификации средств работы с информацией

Контроль классификации информации