– коммерческая тайна – позволяет ее обладателю при особых случаях увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду. Информация, составляющая коммерческую тайну, научно-техническая, технологическая, производственная, финансово-экономическая или иная информация (в том числе составляющая секреты производства (ноу-хау)), которая имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к которой нет свободного доступа на законном основании и в отношении которой обладателем такой информации введен режим коммерческой тайны (ст. 3,Закон РФ «О коммерческой тайне» от 29.07.2004 N 98-ФЗ);

– служебная информация ограниченного распространения (служебная тайна) – это охраняемая законом конфиденциальная информация о деятельности государственных органов, доступ к которой ограничен в силу служебной необходимости, а также ставшая известной в государственных органах и органах местного самоуправления только на законном основании (Указ Президента РФ от 6 марта 1997 г. № 188 «Об утверждении сведений конфиденциального характера»);

– персональные данные – любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация. (Федеральный закон РФ от 27 июля 2006 года № 152-ФЗ «О персональных данных»).

1. Схема размещения компонентов ИС (ОТСС и ВТСС), на которых обрабатывается защищаемая информация

Данная схема создается с общим планом всех помещений и каждого по отдельности, в которой расположена ИС:

– при общем плане помещений необходимо указать название отделов, отвечающих за выполнение определенных функций;

– при указании на схеме элементов необходимо задать их наименование или же вынести это наименование в легенду, расположенной под схемой.

На рисунке А.1 представлен пример плана помещения инженерного отдела.

Рисунок А.1 – Схема размещения компонентов ИС в инженерном отделе

1. Перечень прикладного ПО, которое используется в аттестованной ИС и предназначено для обработки защищаемой информации

При определении состава необходимо учитывать все отделы организации и каждое автоматизированное рабочее место (АРМ) по отдельности. Итоговые данные представляются в виде таблицы.

В таблице А.2 указан пример оформления перечня прикладного ПО, используемого в ИС.

Таблица А.2 – Перечень прикладного ПО, используемого в ИС

Название отдела	Название АРМ	Состав прикладного ПО
Инженерный отдел	АРМ №1	MS Word, MS Excel, Adobe Reader, MS SQL Server
…	…	…
Бухгалтерия	АРМ начальника отдела	MS Word, MS Excel, Adobe Reader, 1С:Бухгалтерия
…	…	…

6 Наличие и характер взаимодействия с другими ИС

Ввиду того, что характер взаимодействия может быть не у всей ИС, а только у определенной части (отдела), тогда необходимо к описанию представить схему сети этого взаимодействия (пример представлен на рисунке А.2).

Например, в компании Х у двух отделов ИС существует взаимодействие с компанией У через сеть Интернет посредством защищенного соединения VPN.

Рисунок А.2 – Схема взаимодействия информационных систем

7 Состав системы защиты информации, которая используется в аттестованной ИС, а также перечень технических и программных средств защиты информации

При определении состава системы защиты информации необходимо учитывать все отделы организации и каждое автоматизированное рабочее место (АРМ) по отдельности. Итоговые данные представляются в виде таблицы.

После того как будет сформирована таблица с данными технических и программных средств защиты информации, необходимо после нее указать номера сертификатов соответствия и срок их действия.

В таблице А.3 представлен пример оформления состава средств защиты информации в ИС.

Таблица А.3 – Состава средств защиты информации в ИС

Название отдела	Название АРМ	Средства защиты информации
Инженерный отдел	АРМ №1	“Соната-ВК3” по линиям компьютерных сетей; система защиты информации “Dallas Lock 7.7”
…	…	…
Бухгалтерия	АРМ начальника отдела	“Соната-ВК3” по линиям компьютерных сетей; система защиты информации “Dallas Lock 7.7”
…	…	…

Сертификаты соответствия используемых средств защиты:

– “Соната-ВК3” по линиям компьютерных сетей – сертификат ФСТЭК России №2533/1 до 09.11.2018 г.;

– Система защиты информации “Dallas Lock” – сертификат ФСТЭК России № 2209 до 19.11.2019 г.

Анализ событий безопасности в ИС

Экспертной группой проводится сканирование системных журналов безопасности за весь период с момента проведения предыдущего анализа защищенности информации в ИС, согласно алгоритму представленному на рисунке А.3.

Рисунок А.3 – Алгоритм анализа событий безопасности

Примечания к рисунку А.3:

– обнаружение – просмотр уведомления об инциденте;

– оценка – выполнение первоначальной оценки, для получения дополнительных сведений об инциденте;

– диагностика – выполнение технического анализа и определение стратегии сдерживания проблемы;

– стабилизация – выполнение стратегии по устранению проблемы;

– закрытие – контрольная проверка на попытку проявления инцидента.

Найденные инциденты (уязвимости) сводятся в таблицу, в которой указывается название отдела, наименование АРМ, название инцидента, дата события.

В таблице А.4 представлен перечень инцидентов журнала событий безопасности.

Таблица А.4 – Перечень инцидентов журнала событий безопасности

Название отдела	Наименование АРМ	Название инцидента	Дата события
Инженерный отдел	АРМ №1	Попытка доступа к закрытому каталогу	1.05.2017 г.
…	…	…	…
Бухгалтерия	АРМ начальника отдела	Попытка доступа к незащищенному ресурсу	2.02.2017 г. 6.08.2017 г.
…	…	…	…

Поиск уязвимостей ПО в ИС

Выполнение данного этапа необходимо для определения особых уязвимых мест в коде ПО, используемого в ИС. После выполнения тщательного сканирования администратором безопасности, есть вероятность обнаружения множества угроз безопасности информации.

При выполнении поиска уязвимостей в ИС необходимо использовать методы поиска: ручной поиск, метод черного ящика, метод белого ящика. Основное внимание уделяется основному функционалу ПО, производимым ресурсам ПО, обрабатываемым ресурсам ПО.

а) ручной поиск

Метод основан на поиске уязвимых мест кода, приводящих к неправильной работе или ошибкам работы программы. Производится путем открытия программы в среде разработки и полном сканировании ПО.

Тестирующая группа должна провести мероприятия:

– графически смоделировать процесс работы программы;

– сравнить графически смоделированный процесс работы программы с техническим заданием;

– открыть ПО в среде разработки и анализировать логику программы.

Например, после проверки графически смоделированного процесса программы, представленного на рисунке А.4, и сравнения его с техническим заданием не было выявлено недостатков. Но после открытия ПО в среде разработки была выявлена уязвимость в коде.

void *SpecificMalloc(unsigned int size) { return malloc(size); }

. ..

char *buf;

size_t len; //уязвимость

read(fd, &len, sizeof(len));

buf = SpecificMalloc(len);

read(fd, buf, len);

Рисунок А.4 – Графическое представление работы программы

Данная уязвимость может позволить передавать в программу данные большого объема, превышающие четыре Гб, а это будет ошибкой в работе программы. Ошибка произойдет в том случае, если размер файла будет больше четыре Гб, а при чтении данных из этого файла программа выйдет за границы массива.

б) метод черного ящика

При использовании данного метода выполняются несколько поэтапных тестов: эквивалентное разбиение, анализ граничных значений, анализ причинно-следственных связей.

1. эквивалентное разбиение

На этом этапе выполняются действия:

– входные данные разбиваются на конечное количество классов эквивалентности;

Класс эквивалентности – множество тестов со сходными параметрами.

Например, в одном из классов эквивалентности содержится ряд тестов. Один из тестов смог определить некоторую ошибку (уязвимость). Следовательно, остальные тесты, которые содержаться в этом классе, обнаруживают эту же ошибку.

– минимизировать общее число тестов, путем включения их в максимальное количество классов эквивалентности.

Примечания

Для точного выделения классов эквивалентности необходимо придерживаться рядом правил:

– когда входное условие принимает одно из значений определенного интервала (например [100,200]), соответственно выделяется один класс эквивалентности правильный (входит в данный диапазон) и два неправильных (не входят в диапазон, x<100 и x>200);

– при диапазоне входных значений, описываемым входным условием, определяется множество правильных классов эквивалентности, где одному значению из диапазона соответствует правильный класс эквивалентности;

– в том случае, когда множество входных значений описываются входным условием, то для них соответствует количество правильных классов приравненных количеству элементов входных значений.

Определение тестов происходит при условиях, что:

– присвоение уникального номера для каждого класса эквивалентности;

– при не включенных правильных классах составляются новые тесты, для покрытия наибольшего количества возможных классов;

– при остаточных неправильных классах, которые не были включены, пишутся тесты для покрытия только одного класса.

Пример эквивалентного разбиения представлен в таблице А.5.

Таблица А.5 – Пример эквивалентного разбиения

Ограничение на значение параметра	Правильные классы эквивалентности	Неправильные классы эквивалентности
Х – входные значения (количество товаров Интернет-магазина). Ограничение на покупку 317 шт.	1<X<317 X – числовое значение. Х – целое число.	Х<1 X>317 X – нечисловое значение. X – не целое число.

1. анализ граничных значений

Под граничными значениями понимается некоторые ситуации, которые возникают на границах классов эквивалентности определенных входных значений или около них. Это позволяет увидеть, в каких местах резко увеличилась вероятность обнаружения ошибки (уязвимости).

Для анализа граничных значений необходимо выполнить:

– выбирается случайный элемент в классе эквивалентности, для определения тестом каждую границу класса;

– разрабатывается тест, при котором выделяются входные и выходные значения, для обнаружения ошибки.

Например, даны классы эквивалентности:

– товары >1;

– товары <317.

Определяем границы эквивалентности: