Все новости от 27 июня 2002 г.

Представляем стандарты безопасности

Предприятиям, которые пытаются разработать программу оценки информационной безопасности и метрических характеристик для нее, на особую помощь рассчитывать не приходится.

Те метрики, которые существуют на сегодняшний день, имеют узкоспециализированный характер: они создавались для поставщиков услуг, аудиторов и консультантов. Однако уже появляются процессы и стандарты безопасности, построенные на базе накопленного опыта и анализа сделанных ранее оценок. Именно они призваны стать отправной точкой, с которой корпорация может начинать создание собственных метрик. Ниже приведено несколько наиболее известных спецификаций такого рода.

— ISO 17799: обобщенный международный стандарт, основанный на передовом опыте защиты информации в самом широком диапазоне — от использования различных систем до выработки собственной политики в области информационной безопасности (www.iso-17799.com).

— Common Criteria: набор международных рекомендаций по оценке широкого спектра средств информационной безопасности (www.commoncriteria.org).

— OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation — оценка критичных для работы угроз, ресурсов и уязвимости): оценка рисков информационной безопасности; содержит методику измерения параметров, основанную на передовом опыте защиты информации (www.cert.ofg/octave).

— CIS: бесприбыльная организация, разрабатывающая стандарты и средства аудита для безопасной конфигурации технологий. Уже предложены эталонные критерии для операционных систем Solaris и Windows 2000, в настоящее время ведутся работы над стандартами для других операционных систем, сетевых экранов, маршрутизаторов и ВЧС (www.cisecurity.org).

— Federal Information Technology Security Assessment Framework (Федеральная инфраструктура оценки безопасности информационных технологий): разработанная для федеральных органов методика оценки программ информационной безопасности и выработки целей для ее совершенствования (можно найти по адресу www.cio.gov).

— DITSCAP (Department of Defense Information Technology Security Certification and Accreditation Process — процесс сертификации технологий защиты информации и аккредитации их в Министерстве обороны): процесс, используемый в МО США для документирования, оценки и сертификации вычислительных систем военного назначения перед их развертыванием и в процессе эксплуатации (iase.disa.mil/ditscap).