Класс защищённости информационной системы
Простыми словами
Проще говоря, «Класс защищённости информационной системы» помогает команде понять, какое требование относится к организации, что именно нужно сделать и чем подтвердить выполнение. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как применяется
В практике ИБ термин «Класс защищённости информационной системы» используют так: его применяют при определении обязанностей организации, состава защитных мер и доказательств выполнения требований. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Пример применения
Перед запуском системы организация разбирает понятие «Класс защищённости информационной системы» применительно к своим обязанностям, локальным документам, мерам защиты и подтверждающим материалам.
Не путать с
- Уровень доверия средств защиты информацииУровень доверия СЗИ — характеристика доверия к средству защиты, определяемая по результатам оценки его разработки и безопасности.
- Средство защиты информации от НСДСЗИ от НСД — средство защиты информации от несанкционированного доступа, реализующее механизмы идентификации, доступа и контроля.
- Ключевая информацияКлючевая информация — данные, определяющие криптографическое преобразование, включая ключи и сведения, необходимые для их использования.
Как это работает
- Идентифицировать информационную системуОпределяют назначение, владельца, обрабатываемую информацию и область действия требований.
- Применить критерии классификацииКласс устанавливают по конкретному нормативному документу и характеристикам системы.
- Выбрать меры защитыТребования соответствующего класса адаптируют к модели угроз и архитектуре.
- Подтвердить соответствиеКласс, реализованные меры и результаты контроля документируют и пересматривают.
Частые вопросы
Проще говоря, «Класс защищённости информационной системы» помогает команде понять, какое требование относится к организации, что именно нужно сделать и чем подтвердить выполнение. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «Класс защищённости информационной системы» применяют на практике?В практике ИБ термин «Класс защищённости информационной системы» используют так: его применяют при определении обязанностей организации, состава защитных мер и доказательств выполнения требований. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «Класс защищённости информационной системы» отличается от близких понятий?«Класс защищённости информационной системы» описывает следующее: уровень требований к защите, устанавливаемый для конкретного вида информационной системы по применимому документу. «Уровень доверия средств защиты информации» означает: характеристика доверия к средству защиты, определяемая по результатам оценки его разработки и безопасности. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.