Из Р 50.1.056-2005 Техническая защита информации. Основные термины и определения

Р 50.1.056-2005 Техническая защита информации. Основные термины и определения. Technical information protection. Terms and definitions. УДК 001.4:025.4:006.354 ОКС 01.040.01 Т00. Редакция от 24.03.2022.

1 Область применения Р 50.1.056-2005

Настоящие рекомендации устанавливают термины и определения понятий в области технической защиты информации в различных сферах деятельности.

Термины, установленные настоящими рекомендациями, рекомендуются для использования во всех видах документации и литературы по вопросам технической защиты информации, используемой в сфере работ по стандартизации [из 1 Область применения Р 50.1.056-2005]

2 Нормативные ссылки Р 50.1.056-2005

3 Термины и определения Р 50.1.056-2005

3.1 Общие понятия Р 50.1.056-2005

Целостность ресурсов информационной системы по Р 50.1.056-2005

Состояние ресурсов информационной системы, при котором их изменение осуществляется только преднамеренно субъектами, имеющими на него право, при этом сохраняются их состав, содержание и организация взаимодействия [из 3.1.7 Р 50.1.056-2005]

Доступность информации (ресурсов информационной системы) (Availability) по Р 50.1.056-2005

Состояние информации (ресурсов информационной системы), при котором субъекты, имеющие права доступа, могут реализовать их беспрепятственно.

Примечание - К правам доступа относятся право на чтение, изменение, копирование, уничтожение информации, а также право на изменение, использование, уничтожение ресурсов [из 3.1.8 Р 50.1.056-2005]

Подлинность ресурсов информационной системы (Authenticity) по Р 50.1.056-2005

Состояние ресурсов информационной системы, при котором обеспечивается реализация информационной технологии с использованием именно тех ресурсов, к которым субъект, имеющий на это право, обращается [из 3.1.10 Р 50.1.056-2005]

3.2 Угрозы безопасности информации Р 50.1.056-2005

Уязвимость информационной системы, брешь (Vulnerability, breach) по Р 50.1.056-2005

Свойство информационной системы, предоставляющее возможность реализации угроз безопасности обрабатываемой в ней информации.

Примечания:

  1. Условием реализации угрозы безопасности обрабатываемой в системе информации может быть недостаток или слабое место в информационной системе.
  2. Если уязвимость соответствует угрозе, то существует риск.

[из 3.2.3 Р 50.1.056-2005]

Утечка информации по техническому каналу (Leakage) по Р 50.1.056-2005

Неконтролируемое распространение информации от носителя защищаемой информации через физическую среду до технического средства, осуществляющего перехват информации [Р 50.1.053-2005] [из 3.2.4 Р 50.1.056-2005]

Несанкционированный доступ к информации (ресурсам информационной системы), НСД по Р 50.1.056-2005

Доступ к информации (ресурсам информационной системы), осуществляемый с нарушением установленных прав и (или) правил доступа к информации (ресурсам информационной системы) с применением штатных средств информационной системы или средств, аналогичных им по своим функциональному предназначению и техническим характеристикам.

Примечания:

  1. Несанкционированный доступ может быть осуществлен преднамеренно или непреднамеренно.
  2. Права и правила доступа к информации и ресурсам информационной системы устанавливают для процессов обработки информации, ее обслуживания, изменения программных, технических и информационных ресурсов, а также получения информации о них.

[из 3.2.6 Р 50.1.056-2005]

Несанкционированное воздействие на информацию (ресурсы информационной системы) по Р 50.1.056-2005

Изменение, уничтожение или копирование информации (ресурсов информационной системы), осуществляемое с нарушением установленных прав и (или) правил.

Примечания:

  1. Несанкционированное воздействие может быть осуществлено преднамеренно или непреднамеренно. Преднамеренные несанкционированные воздействия являются специальными воздействиями.
  2. Изменение может быть осуществлено в форме замены информации (ресурсов информационной системы); введения новой информации (новых ресурсов информационной системы), а также уничтожения или повреждения информации (ресурсов информационной системы).

[из 3.2.7 Р 50.1.056-2005]

Несанкционированное блокирование доступа к информации (ресурсам информационной системы), отказ в обслуживании (Denial of service) по Р 50.1.056-2005

Создание условий, препятствующих доступу к информации (ресурсам информационной системы) субъекту, имеющему право на него.

Примечания:

  1. Несанкционированное блокирование доступа осуществляется нарушителем безопасности информации, а санкционированное - администратором.
  2. Создание условий, препятствующих доступу к информации (ресурсам информационной системы), может быть осуществлено по времени доступа, функциям по обработке информации (видам доступа) и (или) доступным информационным ресурсам.

[из 3.2.10 Р 50.1.056-2005]

Закладочное устройство, закладка по Р 50.1.056-2005

Элемент средства съема информации или воздействия на нее, скрытно внедряемый (закладываемый или вносимый) в места возможного съема информации.

Примечание - Местами возможного съема информации могут быть ограждение, конструкция здания, оборудование, предметы интерьера, транспортные средства, а также технические средства и системы обработки информации [из 3.2.11 Р 50.1.056-2005]

Компьютерный вирус (Computer virus) по Р 50.1.056-2005

Исполняемый программный код или интерпретируемый набор инструкций, обладающий свойствами несанкционированного распространения и самовоспроизведения.

Примечание - Созданные дубликаты компьютерного вируса не всегда совпадают с оригиналом, но сохраняют способность к дальнейшему распространению и самовоспроизведению [из 3.2.13 Р 50.1.056-2005]

Программная закладка (Malicious logic) по Р 50.1.056-2005

Скрытно внесенный в программное обеспечение функциональный объект, который при определенных условиях способен обеспечить несанкционированное программное воздействие.

Примечание - Программная закладка может быть реализована в виде вредоносной программы или программного кода [из 3.2.15 Р 50.1.056-2005]

3.3 Объекты технической защиты информации Р 50.1.056-2005

3.4 Средства технической защиты информации Р 50.1.056-2005

Межсетевой экран по Р 50.1.056-2005

Локальное (однокомпонентное) или функционально-распределенное программное (программно-аппаратное средство, комплекс), реализующее контроль за информацией, поступающей в автоматизированную систему и (или) выходящей из автоматизированной системы [из 3.4.5 Р 50.1.056-2005]

Средство обеспечения технической защиты информации по Р 50.1.056-2005

Техническое, программное, программно-техническое средство, используемое и (или) создаваемое для обеспечения технической защиты информации на всех стадиях жизненного цикла защищаемого объекта [из 3.4.8 Р 50.1.056-2005]

3.5 Мероприятия по технической защите информации Р 50.1.056-2005

Организационно-технические мероприятия по обеспечению защиты информации (Technical safeguards) по Р 50.1.056-2005

Совокупность действий, направленных на применение организационных мер и программно-технических способов защиты информации на объекте информатизации.

Примечания:

  1. Организационно-технические мероприятия по обеспечению защиты информации должны осуществляться на всех этапах жизненного цикла объекта информатизации.
  2. Организационные меры предусматривают установление временных, территориальных, пространственных, правовых, методических и иных ограничений на условия использования и режимы работы объекта информатизации.

[из 3.5.1 Р 50.1.056-2005]

Аудиторская проверка информационной безопасности в организации, аудит (Security audit) по Р 50.1.056-2005

Периодический, независимый и документированный процесс получения свидетельств аудита и объективной их оценки с целью установления степени выполнения в организации установленных требований по обеспечению информационной безопасности.

Примечание - Аудит информационной безопасности в организации может осуществляться независимой организацией (третьей стороной) по договору с проверяемой организацией, а также подразделением или должностным лицом организации (внутренний аудит) [из 3.5.4 Р 50.1.056-2005]

Аудиторская проверка безопасности информации в информационной системе, аудит (Computer system audit) по Р 50.1.056-2005

Проверка реализованных в информационной системе процедур обеспечения безопасности информации с целью оценки их эффективности и корректности, а также разработки предложений по их совершенствованию [из 3.5.5 Р 50.1.056-2005]

Удостоверение подлинности, нотаризация (Notarization) по Р 50.1.056-2005

Регистрация данных защищенной третьей стороной, что в дальнейшем позволяет обеспечить точность характеристик данных.

Примечание - К характеристикам данных, например, относятся содержание, происхождение, время и способ доставки [из 3.5.13 Р 50.1.056-2005]

Оценка, анализ риска (Risk assessment, analysis) по Р 50.1.056-2005

Выявление угроз безопасности информации, уязвимостей информационной системы, оценка вероятностей реализации угроз с использованием уязвимостей и оценка последствий реализации угроз для информации и информационной системы, используемой для обработки этой информации [из п. 3.5.19 Р 50.1.056-2005]

Приложение А (справочное) - Общетехнические термины и определения, связанные с областью информационных технологий Р 50.1.056-2005

Информационная система по Р 50.1.056-2005

  1. Организационно-упорядоченная совокупность документов (массивов документов) и информационных технологий, в том числе с использованием средств вычислительной техники и связи [5].
  2. Автоматизированная система, результатом функционирования которой является представление выходной информации для последующего использования.

[из А.2 Р 50.1.056-2005]

Защищаемая информация по ГОСТ Р 50922-2006

Информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.

Примечание - Собственниками информации могут быть: государство, юридическое лицо, группа физических лиц, отдельное физическое лицо [из 2.5.2 ГОСТ Р 50922-2006]

Безопасность по ГОСТ 1.1-2002

Отсутствие недопустимого риска, связанного с возможностью нанесения ущерба.

Примечание - В области стандартизации безопасность продукции, процессов и услуг обычно рассматривается с целью достижения оптимального баланса ряда факторов, включая такие нетехнические факторы как поведение человека, позволяющее свести устранимый риск, связанный с возможностью нанесения ущерба здоровью людей и сохранности имущества, до приемлемого уровня [из А.7 ГОСТ 1.1-2002]

Защита информации от утечки по ГОСТ Р 50922-2006

Защита информации, направленная на предотвращение неконтролируемого распространения защищаемой информации в результате ее разглашения и несанкционированного доступа к ней, а также на исключение (затруднение) получения защищаемой информации (иностранными) разведками и другими заинтересованными субъектами.

Примечание - Заинтересованными субъектами могут быть: государство, юридическое лицо, группа физических лиц, отдельное физическое лицо [из 2.3.2 ГОСТ Р 50922-2006]

Объект информатизации по ГОСТ Р 51275-2006

Совокупность информационных ресурсов, средств и систем обработки информации, используемых в соответствии с заданной информационной технологией, а также средств их обеспечения, помещений или объектов (зданий, сооружений, технических средств), в которых эти средства и системы установлены, или помещений и объектов, предназначенные для ведения конфиденциальных переговоров [из 3.1 ГОСТ Р 51275-2006]

Риск по ГОСТ Р 56257-2014

Сочетание вероятности нанесения ущерба и тяжести этого ущерба в виде негативных последствий (разрушение, повреждение здания, сооружения, системы, элемента, нарушение в работе, авария и связанные с ними опасности нанесения ущерба жизни и здоровью человека и (или) ущерба окружающей среде) при внешних воздействиях природного или техногенного происхождения [из 2.66 ГОСТ Р 56257-2014]

Доступ к информации (ресурсам информационной системы) по Р 50.1.056-2005

Получение возможности ознакомления с информацией, обработки информации и (или) воздействия на информацию и (или) ресурсы информационной системы с использованием программных и (или) технических средств [1].

Примечание - Доступ осуществляется субъектами доступа, к которым относятся лица, а также логические и физические объекты [1] [из А.15 Р 50.1.056-2005]

Средство измерений по Р 50.1.056-2005

Техническое средство, предназначенное для измерений, имеющее нормированные метрологические характеристики, воспроизводящее и (или) хранящее единицу физической величины, размер которой принимают неизменным (в пределах установленной погрешности) в течение известного интервала времени [из А.18 Р 50.1.056-2005]

Нормативный правовой документ по Р 50.1.056-2005

Письменный официальный документ, принятый в установленном порядке, управомоченного на то органа государственной власти, органа местного самоуправления или должностного лица, устанавливающий правовые нормы (правила поведения), обязательные для неопределенного круга лиц, рассчитанные на неоднократное применение и действующие независимо от того, возникли или прекратились конкретные правоотношения, предусмотренные актом [7] [из А.21 Р 50.1.056-2005]

Нарушитель безопасности информации по Р 50.1.056-2005

Физическое лицо, случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности информации при ее обработке техническими средствами в информационных системах [из А.25 Р 50.1.056-2005]

Свидетельства (доказательства) аудита информационной безопасности по Р 50.1.056-2005

Записи, изложения фактов или другая информация, которые имеют отношение к критериям аудита информационной безопасности и могут быть проверены.

Примечание - Свидетельства аудита информационной безопасности могут быть качественными или количественными [из А.27 Р 50.1.056-2005]

Управление риском по ГОСТ Р 51897-2002

Действия, осуществляемые для выполнения решений в рамках менеджмента риска.

Примечание - Управление риском может включать в себя мониторинг, переоценивание и действия, направленные на обеспечение соответствия принятым решениям [из 3.4.2 ГОСТ Р 51897-2002]

Библиография Р 50.1.056-2005

[1] Рекомендации по стандартизации Р 50.1.053-2005 Информационная технология. Основные термины и определения в области технической защиты информации

[2] Руководящий документ. Гостехкомиссия России, 1998 г. Защита от несанкционированного доступа к информации. Термины и определения

[3] ИСО 2382-8:1998 Информационная технология. Словарь. Часть 8. Безопасность

[4] Руководящий документ. Гостехкомиссия России, 1998 г. Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации

[5] Федеральный закон Российской Федерации от 20.02.1995 № 24-ФЗ (в ред. Федерального закона от 10.01.2003 № 15-ФЗ Об информации, информатизации и защите информации

[6] Федеральный закон Российской Федерации от 7.07.2003 № 126-ФЗ О связи

[7] Пленум Верховного суда Российской Федерации. Постановление от 20.01.2003 г. № 2 О некоторых вопросах, возникших в связи с принятием и введением в действие Гражданского процессуального кодекса Российской Федерации

[из Библиография Р 50.1.056-2005]