Из ГОСТ Р 52448–2005 Защита информации. Обеспечение безопасности сетей электросвязи. Общие положения

Настоящий стандарт предназначен для применения расположенными на территории Российской Федерации организациями, предприятиями и другими субъектами хозяйственной деятельности независимо от их организационно-правовой формы и формы собственности, которые связаны с созданием и эксплуатацией сетей электросвязи, являющимися составными компонентами сети связи общего пользования единой сети электросвязи Российской Федерации. Основными функциями сетей электросвязи являются прием, обработка, хранение, передача и предоставление требуемой информации пользователям и органам государственного управления для ее последующего применения. Сети электросвязи предназначены для оказания услуг связи любому пользователю путем предоставления открытых информационных ресурсов и информации, не содержащей сведений, составляющих государственную тайну, или информации, доступ к которой ограничен в соответствии с законодательством Российской Федерации.

Настоящий стандарт определяет терминологию, цели, задачи, принципы и основные положения обеспечения безопасности сетей электросвязи.

Положениями настоящего стандарта рекомендуется руководствоваться при:

• развитии и совершенствовании правового, организационного, экономического и научно-технического обеспечения безопасности сетей электросвязи;
• разработке проектов, программ, нормативных документов и методических рекомендаций по обеспечению безопасности сетей электросвязи и контролю их состояния;
• формировании и реализации политики безопасности операторами связи.

[из 1 Область применения ГОСТ Р 52448-2005]

В настоящем стандарте использованы нормативные ссылки на следующие стандарты:

• ГОСТ Р ИСО/МЭК 15408-2-2002 Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности
• ГОСТ Р ИСО/МЭК 15408-3-2002 Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности
• ГОСТ Р 51275-99 Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения

[из 2 Нормативные ссылки ГОСТ Р 52448-2005]

В настоящем стандарте применены следующие термины с соответствующими определениями:

Примечание - Взаимосвязь основных понятий и процессов обеспечения безопасности сетей электросвязи показана на примере «Модель безопасности сети электросвязи» (приложение А).

В настоящем стандарте используются следующие сокращения:

• ИТ - информационная технология;
• ВН - воздействие нарушителя;
• СОБ - система обеспечения безопасности;
• ССОП - сеть связи общего пользования;
• НСД - несанкционированный доступ;
• ОТБ - организационные требования безопасности;
• ТТБ - технические требования безопасности;
• ФТБ - функциональные требования безопасности;
• ТДБ - требования доверия к безопасности;
• НСВ - несанкционированные воздействия.

[из 4 Сокращения ГОСТ Р 52448-2005]

5.1 Сети электросвязи являются средой переноса сообщений любого рода в виде электрических сигналов. Сообщения содержат информацию пользователя, которая может быть открытой, закодированной, зашифрованной или скремблированной (что для сети электросвязи является неопределяющим), и служебную информацию (например, адрес получателя). Сеть электросвязи должна обеспечить целостность передаваемых сообщений и своевременность их доставки адресату.

Открытость сетей электросвязи не должна означать полную доступность ко всем ее информационным ресурсам и отсутствие контроля их использования. В сети электросвязи должна быть обеспечена защита собственной, служебной информации, предназначенной для управления работой сети или служб сети.

К информационным ресурсам сетей электросвязи, требующим защиты со стороны оператора связи, могут быть отнесены:

• сведения об абонентах, базы данных;
• информация управления;
• данные, содержащие информацию пользователей (обеспечение доступности и целостности);
• программное обеспечение систем управления сетями электросвязи;
• сведения о прохождении, параметрах, загрузке (использовании) линий связи магистральных сетей;
• обобщенные сведения о местах дислокации узлов связи и установленном сетевом оборудовании;
• сведения, раскрывающие структуру используемых механизмов обеспечения безопасности сети электросвязи.

[из 5.1 ГОСТ Р 52448-2005]

5.10 Для учета всех возможных ВН и определения его категории разрабатывается модель нарушителя безопасности сети электросвязи, под которой понимается абстрактное (формализованное или неформализованное) описание нарушителя политики безопасности.

Задача построения модели нарушителя безопасности сети электросвязи состоит в определении:

• штатных объектов и элементов сети, к которым возможен доступ;
• субъектов, допущенных к работе с оборудованием сети в период ее проектирования, разработки, развертывания и эксплуатации;
• перечня соответствия объектов доступа субъектам, которые могут быть потенциальными нарушителями.

При определении потенциального нарушителя и составлении его модели необходимо исходить из того, что нарушитель может быть как законным абонентом сети (принадлежать к персоналу, непосредственно работающему с абонентскими терминалами), так и посторонним лицом, пытающимся непосредственно или с помощью имеющихся у него технических и программных средств получить доступ к информационным ресурсам и инфраструктуре сети.

ВН, в основном, направлены на ухудшение качественных характеристик функционирования сетей электросвязи и могут осуществляться, как правило, путем поиска и использования эксплуатационных и технологических уязвимостей. ВН могут осуществляться:

• по каналам абонентского доступа, в том числе и беспроводным;
• по внутренним линиям связи;
• с рабочих мест систем управления и технического обслуживания;
• по недекпарированным каналам доступа.

При этом могут использоваться как штатные, так и специальные средства связи [из 5.10 ГОСТ Р 52448-2005]

5.11 ВН могут носить как непреднамеренный (случайный), так и преднамеренный характер.

Непреднамеренные (случайные) воздействия могут быть спровоцированы недостаточной надежностью средств связи, ошибками обслуживающего персонала, природными явлениями и другими объективными дестабилизирующими воздействиями.

Преднамеренные воздействия могут быть активными, пассивными и не преследующими целей [из 5.11 ГОСТ Р 52448-2005]

5.11.1 Активные действия нарушителя предусматривают вмешательство в работу сети электросвязи, нарушение режимов ее функционирования и снижение качества обслуживания вплоть до полного прекращения предоставления услуг связи пользователям. Основные цели активных действий:

• подрыв репутации оператора-конкурента путем нарушения доступности услуг связи и (или) ухудшения их характеристик;
• несанкционированное использование услуг.

[из 5.11.1 ГОСТ Р 52448-2005]

5.11.2 Пассивные действия нарушителя предполагают нанесение вреда абоненту (пользователю услугами связи) путем использования выявленных уязвимостей сети электросвязи, но не наносящие прямого вреда сети электросвязи. Целью таких действий могут являться:

• перехват персональных данных пользователей (например, паролей для регистрации терминалов);
• перехват данных о финансовых сделках с целью нанесения ущерба бизнесу;
• наблюдение за выполняемым процессом (подготовка для новых атак - активных действий);
• поиск идеологических, политических выгод;
• шантаж, вымогательство.

[из 5.11.2 ГОСТ Р 52448-2005]