Мзи вопросы

* Список действий, которые являются преступлениями по общегосударственным законам.
    * Преступление это
        * это общественно опасное деяние
        * уголовно-противоправное деяние
        * Виновное деяние
        * Прямой умысел/косвенный умысел/легкомыслие/небрежность
* Общая методика Количественной модели рисков оперирует следующими параметрами...
    * Вероятность одного нежелательного события, количество потерянных денег/жертв в результате одного нежелательного события
    * Частота нежелательных событий в единицу времени, число объектов риска подверженных определенному фактору риска
* Информационная безопасность должна обеспечиваться следующими действиями и мерами...
    * Целостностью данных, путём устранения сбоев системы
    * Сохранением абсолютной конфиденциальности данных
    * Безопасным доступом к информации для зарегистрированных пользователей
* Стоимость осязаемых активов учитывает...
    * Документация, аппаратное обеспечение, программное обеспечение, запасные запчасти, зарплата персонала
* Государственные секреты включают в себя...
    * Государственную и служебную тайны
* Сведениям, составляющим Гос тайну, присваивается ограничительные грифы...
    * "особой важности", "совершенно секретно"
* Для того, чтобы не упустить из рассмотрения варианты получения ущерба необходимо...
    * ожидаемый годовой ущерб = частота происхождения проишествия в год * разовый ущерб, стоимость актив * фактор воздействия
* С информацией, имеющей гриф "Секретно", может работать лицо, обладающее формой допуска...
    * 1-й, 2-й и 3-й формами допуска
* Модель обобщенного стоимостного результата Миоры.
    * Модель GCC не требует учета вероятностей катастрофических событий, она оперирует понятиями ущерба от простоя, как функцией времени после наступления события. Для каждого информационного актива (группы схожих активов, называемых категорией) определяется размер возможного ущерба, срок начала его влияния и распределенность во времени.
        * Например, простой производства будет приносить ущерб в 50000$ в день, начиная с первого дня. Простой службы заключения контрактов начнет действовать с пятого дня. Затем все категории ущерба суммируются.
        * Можно отобразить рост ущерба в виде графика, где одна кривая показывает суммарный ущерб организации во времени при отсутствии защитных мероприятий – аварийного плана DRP (Disaster Recovery Plan), а вторая – суммарный ущерб при наличии DRP. Здесь необходимость и эффективность СЗИ особенно наглядна.
        * Модель различает три вида ущерба: прямой осязаемый, косвенный осязаемый и неосязаемый. К первой категории относятся производственные активы (то, что непосредственно производит прибыль). Второй вид – это функции поддержки, активы, связанные с внешними источниками (например, ущерб от падения акций). В третий вид включены ущерб репутации, невыполненные обещания, негативное общественное мнение.
    * Ниже наведена традиционная методика организации средств по управлению рисками:
        * Уяснение политики управления рисками которая реализуется на общепринятых понятиях реализации информационной безопасности (GASSP), которая должна быть описана в политике безопасности предприятия. Политика дает избежать субъективного подхода.
        * Нужно назначить персонал, который будет заниматься этим вопросом и нужно финансирование отдела. Также возможное обучение персонала в некоторых вопросах.
        * Выбор методов защиты информации и средства, с помощью которых реализуется оценка риска.
        * Идентификация и уменьшение риска. На первой ступени нужно определить область применения работ, которые имеют угрозы.
        * Определение критериев допустимых рисков. К примеру неприемлемый риск на эквивалент 100 000$ это 3/100.
        * Неприемлемые риски нужно уменьшать. Нужно выбрать средство для снижения риска и описать оценку эффективности средства.
        * Нужно периодически мониторить риска. Чтобы вовремя их выявлять и уменьшать или ликвидировать.
* Коммерческую тайну составляют...
    * научно-техническая, технологическая, производственная, финансово-экономическая или иная информация, в том числе составляющая секреты производства (ноу-хау), которая имеет действительную или потенциальную коммерческую ценность в силу неизвестности её третьим лицам, к которой нет свободного доступа на законном основании и в отношении которой обладателем такой информации введён режим коммерческой тайны.
* Что не входит в систему охраны периметра объекта?
    * Периметр включает непроходимый забор, камеры, у внутренней стороны. датчики движения, датчик вибрации, визуальный контроль сотрудника безопасности, металлоискатели, просвечивающие механизмы.
* Целостность компьютерной информации.
    * Данные не были изменены при выполнении какой-либо операции над ними (передача, хранение, отображение)
* Под механизмом инф безопасности "Контроль доступа" подразумевают...
    * это совокупность программных и технических средств, а также организационно-методических мероприятий, с помощью которых решается задача контроля и управления посещением охраняемого объекта.
* Под механизмом инф безопасности "Управление конфигурацией" подразумевают...
    * процесс поддержания изделия в целостном состоянии.
* Перечислите методики оценки рисков.
    * Качественная, количественная, мировая
* Типичный инструментарий инф безопасности включает в себя...
* Задачи протоколов сетевой безопасности.
* Принципы проведения инвентаризации инф сети организации.
    * принцип единообразного подхода, принцип обьективности, принцип многоуровненвого подхода, принцип сопряжения
* Для первоначальной аутентификации субъекта после установления соединения используется протокол...
    * протокол Challenge Handshake Authentication Protocol (CHAP) [RFC-1994]
* Протокол Kerberos.
    * система позволяющая пользователю аутетифицировать себя. Аутентификация субъекта обьектом
* Схема SESAMI предназначена...
    * для обеспечения безопасности при работе в незащищенной сети(Telnet, Rlogin)
* Стадии жизненного цикла информации.
    * 1) постановка задачи,
        * 2) проектирование услуг,
        * 3) разработка и развертывание,
        * 4) гарантированное предоставление услуг,
        * 5) модернизация или ликвидация услуги.
    *
* Протокол SOCKS5 предназначен для...
    * Пересылки пакетов от клиента к серверу через прокси-сервер незаметно и использовать сервисы за межсетевыми экранами.
* Компонент с точки зрения CCITSE.
    * наименьшее разделяемое множество элементов которые могут быть включены в профиль защиты или предмет безопасности
* Пакетный фильтр в чистом виде - это...
    * Сниффер
* Что не входит в обязанности Администратора пользователей.
* В демилитаризованной зоне принято размещать...
    * В ней размещаются сервера, которые смотрят напрямую в Интернет и к которым есть доступ из Интернета. Но, с этих серверов нельзя обратиться к локальной сети за файерволом. (Например в DMZ размещают Front-end сервера)
* Что не входит в полномочия Администратора безопасности.
* Модели доступа.
    * Модель на основе ролей RBAC,
    * Модель на основе аттрибутов ABAC
    * Мандатная модель MAC
    * Избирательная/Дискреционная модель DAC