ГОСТ Р 50922-2006 – защита информации

Защите информации уделяется огромное внимание в российском законодательстве. В частности, этому посвящены 149-ФЗ, 152-ФЗ, 98-ФЗ, 68-ФЗ, 187-ФЗ. Кража информации и ее нецелевое использование – огромная проблема информационной безопасности, которая несет множественные риски как для организаций, так и обычных граждан, чьи данные эти организации обрабатывают.

Одним из важнейших нормативных актов, затрагивающих вопросы безопасности данных, является ГОСТ Р 50922-2006 о защите информации.

Ключевые положения, тезисы ГОСТ Р 50922-2006

В стандарте изложены базовые термины и понятия, которыми оперируют при создании систем защиты информации и проведении мероприятий по информационной безопасности. Ключевыми понятиями в нем являются:

• Защита информации – группа методик правового, физического, технического, криптографического характера, нацеленных на противодействие информационным утечкам, несанкционированному доступу к данным, находящимся под защитой закона.

• Информационные угрозы – группа явлений, факторов, способных выступать в качестве вероятной или настоящей опасности, привести к нарушению безопасности данных.

• Модель угроз – совокупность представленных свойств, параметров возможных информационных угроз, выраженных в математическом, статистическом, физическом эквивалентах.

• Уязвимость данных – состояние информации или информационной системы, в ходе которого наблюдается вероятность реализации угроз.

• Анализ информационных рисков – совокупность количественных, качественных показателей, подтверждающих или прогнозирующих возможность реализации угроз в информационной системе и описывающих величины ущерба.

• Безопасность данных – состояние, в ходе которого достигается поддержание таких свойств как конфиденциальность, целостность, доступность.

• Цель защиты информации – достижение недопущения возможного ущерба правообладателю данных, вызванного утечками, получением несанкционированного доступа к данным или случайными непреднамеренными действиями.

• Средства защиты информации (СЗИ) – комплекс программных, аппаратных решений, методов, подходящих для поддержания безопасности информации.

• Способы защиты информации – последовательность правил, рекомендаций, принципов при работе с данными и совокупность СЗИ.

• Система защиты информации – комплекс объектов, исполнителей, защитных техник, решений, объединенных в единое целое и функционирующих на основе исполнения известных норм, правил, законов в области информационной безопасности.

Где и кем используется ГОСТ Р 50922-2006?

Стандарт подходит для применения всеми государственными и коммерческими организациям, которые по долгу профессиональной деятельности сталкиваются с конфиденциальными видами данных. Например, ПДн, государственная и коммерческая тайна и другие виды тайн, которые охраняются законодательством РФ. ГОСТ Р 50922-2006 о защите информации нужно рассматривать в качестве дополнения к 149-ФЗ от 27.07.2006 и 98-ФЗ от 29.07.2004. Он реализует нормы стандартизации защиты информации, обозначенные в вышеописанных законах.

Как организовать защиту информации в соответствии ГОСТ Р 50922-2006?

Согласно приведенным в стандарте указаниям и рекомендациям для обеспечения надежной информационной защиты необходимо действовать одновременно в нескольких направлениях:

• Защита от утечек. Включает комплекс мероприятий, в ходе которых необходимо предотвратить разглашение сведений и несанкционированный доступ к данным. Оптимальным решением здесь выступает разработка и внедрение регламентов по работе с информацией, ее хранением и передачей, контроль за исполнением регламентов.

• Защита данных от действий разведки конкурентов или иностранного государства. Включает комплекс мероприятий, направленный на выявление инсайдеров, шпионов, работающих на интересы третьей стороны. Обнаружение шпионов может быть выполнено с помощью использования технических средств контроля и мониторинга состояния информационных систем. Например, DLP-, SIEM-систем.

• Защита данных от перехвата. Комплекс мероприятий, направленный на использование безопасных, закрытых каналов связи, дополненных шифрованием при передаче данных.

ГОСТ Р 50922-2006 о защите информации демонстрирует широту подходов по обеспечению информационной безопасности. Одним из эффективных способов защиты информации в организации могут стать DLP-системы. Один из таких примеров – Solar Dozor. Система контролирует каналы передачи данных, коммуникации сотрудников, позволяет предотвращать утечки конфиденциальных сведений. Также Solar Dozor помогает проводить расследование инцидентов безопасности по горячим следам.