ГОСТ Р ИСО/МЭК 17799—2005
- процедуры по выполнению тестов на подтверждение выводимых данных;
- определение обязанностей всех сотрудников, вовлеченных в процесс вывода данных.
10.3 Меры защиты информации, связанные с использованием криптографии
Цель; защита конфиденциальности, аутентичности или целостности информации.
Криптографические системы и методы следует использовать для защиты конфиденциальной
информации, когда другие средства контроля не обеспечивают адекватной защиты.
10.3.1 Политика в отношении использования криптографии
Решения относительно применения криптографических мер защиты следует рассматривать в
рамкахболее общего процесса оценкирисков ивыбора мероприятий пообеспечению информационной
безопасности. Для определения необходимого уровня защиты информации следует проводить оценку
рисков, которая должна использоваться для определения того, является ли криптографическое сред
ство подходящим, какой тип средств необходим, с какой целью и в отношении каких бизнес-процессов
его следует применять.
В организации следует разработать политику использования криптографических средств защиты
информации. Такая политика необходима, чтобы максимизировать преимущества и минимизировать
риски, связанные с использованием криптографических средств, а также избежать неадекватного или
неправильного их использования. При этом необходимо определить;
а) методику использования криптографических средств в организации, включая общие прин
ципы, в соответствии с которыми следует защищать служебную информацию:
б) принципы управления ключами, включая методы восстановления зашифрованной инфор
мации в случае потери, компрометации или повреждения ключей;
в) роли и обязанности должностных лиц за;
1) реализацию политики;
2) управление ключами;
г) соответствующий уровень криптографической защиты для различных данных;
д) перечень мероприятий, которые должны обеспечивать эффективность внедрения мето
дов криптозащиты в организации.
10.3.2 Шифрование
Шифрование — это криптографический метод, который может использоваться для обеспечения
защиты конфиденциальной, важной или критичной информации.
Наосновеоценкирисковнеобходимоопределятьтребуемыйуровеньзащиты, принимая во внима
ние тип и качество используемого алгоритма шифрования, а также длину криптографических ключей.
При разработке политики использования криптографическихсредств необходимо учитывать тре
бования законодательства и ограничения, которые могут применяться в отношении использования
криптографических методов в разных странах, а также вопросы, касающиеся объема потока зашифро
ванной информации, передаваемой черезграницы государств. Кроме того, следуетучитыватьтребова
ния законодательства в отношении экспорта и импорта криптографических технологий (12.1.6).
Дляопределения необходимогоуровня защиты информации, выбораподходящихсредств името
дов защиты, которыедолжны обеспечивать требуемый уровень защиты и реализации безопасных спо
собов управления ключами, целесообразно консультироваться со специалистами (10.3.5). Кроме того,
может потребоваться консультация юриста относительно законов и нормативных актов, которые могут
быть применимы в случае предполагаемого использования организацией методов и средств
шифрования.
10.3.3 Цифровые подписи
Цифровые подписи обеспечивают защиту аутентификации и целостности электронных докумен
тов.
Например, электронные подписи могут использоваться при электронной торговле, где есть необ
ходимость в контроле с целью удостовериться, кто подписал электронный документ, а также проверке,
было ли содержание подписанного документа изменено.
Цифровые подписи могутприменятьсядля любой формыдокумента, обрабатываемого электрон
нымспособом, например, при подписиэлектронныхплатежей, денежныхпереводов, контрактови согла
шений. Цифровые подписи могут быть реализованы при использовании криптографического метода,
основывающегося наоднозначносвязанной пареключей, гдеодин ключ используетсядлясозданияпод
писи (секретный/личный ключ), а другой — для проверки подписи (открытый ключ).
Необходимосособойтщательностьюобеспечиватьконфиденциальностьличного ключа, который
следуетхранить всекрете, так каклюбой имеющий кнемудоступ можетподписыватьдокументы (плате
жи. контракты), тем самым фальсифицируя подпись владельца ключа. Кроме того, очень важна защита
42