Современное понимание методологии защиты информации

Особенности национального технического регулирования

Под методологией зашиты информации понимается использо­вание совокупности необходимых и достаточных моделей, мето­дов, методик. Подходы к моделированию КСЗИ, применяемые в

ней методы и методики будут рассмотрены в следующих главах. Здесь мы остановимся на проектах двух документов в этой облас-1ти, которые отражают современную систему взглядов на проблему зашиты информации, — проектах технических регламентов._; В случае их принятия они будут иметь силу закона.

С принятием в 2002 г. Федерального закона «О техническом регулировании» началась новая эра в области задания требований к продукции и оценке ее соответствия. Целью данного закона было снятие излишних, искусственно воздвигнутых барьеров на пути изделий отечественных (и не только) производителей, ликвидация разнородных и иногда противоречивых требований, заложенных в отечественных стандартах. Отныне все обязательные требования разрешается излагать только в технических регламентах (ТР), а следование стандартам — дело добровольное. При этом и в ТР можно предъявлять не произвольные требования, а лишь касающиеся «защиты жизни или здоровья граждан, имуществафизических или юридических лиц, государственного или муниципального имущества; охраны окружающей среды, жизни или здоровья животных и растений; предупреждения действий, в водящих в заблуждение приобретателей».

В ст. 7 упомянутого закона приведены различные виды безопасности, которые обеспечиваются выполнением минимальных требований регламентов: механическая, пожарная, промышленная,...Обращает на себя внимание отсутствие такого важного вида, как информационная безопасность.

Существуют мнения о необходимости внесения в закон соответствующих поправок, но в настоящее время решили идти «окольным» путем. Влияет информационная безопасность на жизнь людей, на сохранность имущества? В какой-то степени, да. Поэтому было решено разработать и принять два специальных технических регламента (СТР-45 и СТР-46) в этой области, а в преамбуле написать, что принимаются данные регламенты в целях, указан­ных в ФЗ «О техническом регулировании», которые приведены выше.

Надо сказать, что СТР-45 («О безопасности информационныхтехнологий») и СТР-46 («О требованиях к средствам обеспечения безопасности информационных технологий») должны были быть приняты еще в 2005 г. На момент написания книги (2008 г.) их судьба все еще неясна, тем не менее целесообразно изучить методологический подход, заложенный в проектах этих регламентов.