3 Термины и определения

В настоящем стандарте применены следующие термины с соответствующими определениями:

3.1 автоматизированная система: Система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций.

3.2 агент нарушителя: Лицо, программное, программно-аппаратное или аппаратное средство, действующие в интересах нарушителя.

3.3 активы (assets): Все, что имеет ценность для организации и находится в ее распоряжении.

Примечание — К активам организации могут относиться:
- вычислительные, телекоммуникационные и прочие ресурсы;
- информационные активы, в т.ч. различные виды информации на следующих фазах их жизненного цикла: генерация (создание), обработка, хранение, передача, уничтожение;
- продукты и услуги, предоставляемые сторонним организациям.

3.4 блокирование доступа (к информации): Прекращение или затруднение доступа законных пользователей к информации.

3.5 вредоносная программа: Программа, предназначенная для осуществления несанкционированного доступа и (или) воздействия на информацию или ресурсы информационной системы.

3.6 глубина анализа скрытого канала: Степень варьирования применяемых средств по сложности для идентификации скрытого канала и его характеристик.

3.7 доверие (assurance): Основание для уверенности в том, что объект соответствует целям безопасности.

3.8 идентификация скрытого канала: Выявление возможности существования скрытого канала и определение его места в классификации.

3.9 информация ограниченного доступа: Вид сведений, доступ к которым ограничен и разглашение которых может нанести ущерб интересам других лиц, общества и государства.

3.10 информационная безопасность (information security): Все аспекты, связанные с определением, достижением и поддержанием конфиденциальности, целостности, доступности, неотказуемости, подотчетности, аутентичности и достоверности информации или средств ее обработки.

3.11 информационная система: Организационно упорядоченная совокупность документов (массивов документов) и информационных технологий, в том числе с использованием средств вычислительной техники и связи, реализующих информационные процессы.

Примечание — Информационные системы предназначены для хранения, обработки, поиска, распространения, передачи и предоставление информации.

3.12 информационная технология: Приемы, способы и методы применения средств вычислительной техники при выполнении функций сбора, хранения, обработки, передачи и использования данных.

3.13 информационный объект: Элемент программы, содержащий фрагменты информации, циркулирующей в программе.

Примечание — В зависимости от языка программирования в качестве информационных объектов могут выступать переменные, массивы, записи, таблицы, файлы, фрагменты оперативной памяти и т.п.

3.14 информационный поток (information flow): Процесс взаимодействия источника информации и ее получателя.

Примечание — Информационный поток может быть разрешенным и неразрешенным. Информационный поток между объектами X и Y существует, если средняя взаимная информация I(X,Y) больше 0. Математическая модель информационного потока может определяться как конечный автомат, в котором источник сообщения посылает входное слово на вход автомата, а получатель сообщения видит выходную последовательность автомата.

3.15 исчерпывающий анализ скрытых каналов (exhaustive covert channel analysis): Анализ, при котором требуется представление дополнительного свидетельства, показывающего, что план идентификации скрытых каналов достаточен для утверждения того, что были испробованы все возможные пути исследования скрытых каналов.

3.16 ключ: Конкретное секретное состояние некоторых параметров алгоритма криптографического преобразования данных, обеспечивающее выбор одного преобразования из совокупности всевозможных для данного алгоритма преобразований.

3.17 коммуникационный канал: Совокупность носителей информации, доставляющих сообщение от источника к приемнику.

3.18 критически важные объекты: Объекты, нарушение или прекращение функционирования которых приводит к потере управления, разрушению инфраструктуры, необратимому негативному изменению или разрушению экономики страны, субъекта или административно-территориальной единицы или к существенному ухудшению безопасности жизнедеятельности населения, проживающего на этих территориях длительный период времени.

3.19 механизм передачи информации: Реализованный способ передачи информации от отправителя к получателю.

3.20 модификация информации: Целенаправленное изменение формы представления и содержания информации.

3.21 нарушитель безопасности информации (adversary): Физическое лицо (субъект), случайно или преднамеренно совершившее действия, следствием которых является нарушение безопасности информации при ее обработке техническими средствами в информационных системах.

3.22 несанкционированный доступ к информации (unauthorized access to information): Доступ к информации или действия с информацией, нарушающие правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами.

Примечание — Доступ к объекту подразумевает и доступ к содержащейся в нем информации.

3.23 объект (object): Пассивный компонент системы, хранящий, принимающий или передающий информацию.

3.24 оценка опасности: Определение степени возможного деструктивного воздействия.

3.25 оценочный уровень доверия (evaluation assurance level): Пакет компонентов доверия, представляющий некоторое положение на предопределенной в нем шкале доверия.

Примечание — Пакет компонентов доверия определяется в соответствии с требованиями ГОСТ Р ИСО/МЭК 15408-3.

3.26 пароль доступа (password): Идентификатор субъекта доступа, который является его (субъекта) секретом.

3.27 персональные данные: Любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных).

Примечание — В качестве персональных данных могут использоваться фамилия, имя. отчество, год, месяц, дата и место рождения субъекта персональных данных, а также адрес, семейное, социальное, имущественное положение, образование, профессия, доходы и другая информация.

3.28 политика безопасности информации (Information security policy): Совокупность документированных правил, процедур, практических приемов или руководящих принципов в области безопасности информации, которыми руководствуется организация в своей деятельности.

3.29 продукт (product): Совокупность программных, программно-аппаратных и/или аппаратных средств информационных технологий, предоставляющая определенные функциональные возможности и предназначенная для непосредственного использования или включения в различные системы.

3.30 пропускная способность скрытого канала (covert channel capacity): Количество информации, которое может быть передано по скрытому каналу в единицу времени или относительно какой-либо другой шкалы измерения.

3.31 система (system): Специфическое воплощение информационных технологий с конкретным назначением и условиями эксплуатации.

3.32 систематический анализ скрытых каналов (systematic covert channel analysis): Анализ, при котором разработчик системы информационных технологий и автоматизированных систем должен идентифицировать скрытые каналы структурированным и повторяемым образом в противоположность идентификации скрытых каналов частным методом, применимым для конкретной ситуации.

Примечание — Идентификация скрытых каналов осуществляется, правило, в соответствии с планом обеспечения безопасности.

3.33 скрытый канал (covert channel): Непредусмотренный разработчиком системы информационных технологий и автоматизированных систем коммуникационный канал, который может быть применен для нарушения политики безопасности.

3.34 среда передачи: Физическая реализация процесса передачи информации.

3.35 субъект (subject): Активный компонент системы, обычно представленный в виде пользователя, процесса или устройства, которые могут явиться причинами потока информации от объекта к объекту или изменения состояния системы.

3.36 угроза безопасности (threat): Совокупность условий и факторов, создающих потенциальную или реально существующую опасность, связанную с утечкой информации и/или несанкционированными и/или непреднамеренными воздействиями на нее.

3.37 уполномоченный пользователь (authorised user): Пользователь, которому в соответствии с политикой безопасности разрешено вылолнять какую-либо операцию.

3.38 ущерб: Отрицательные последствия, возникающие вследствие причинения вреда активам.

3.39 уязвимость: Свойство системы, которое можно использовать для нарушения информационной безопасности системы информационных технологий и автоматизированных систем.

Далее >>>