Çfarë i referohet mjeteve të sigurisë së informacionit kriptografik. (skzi) mjetet e mbrojtjes kriptografike të informacionit

21.07.2019 Windows 10

Termi "kriptografi" vjen nga fjalët e lashta greke "fshehur" dhe "shkrim". Fraza shpreh qëllimin kryesor të kriptografisë - është mbrojtja dhe ruajtja e sekretit të informacionit të transmetuar. Mbrojtja e informacionit mund të bëhet në mënyra të ndryshme. Për shembull, duke kufizuar aksesin fizik në të dhëna, duke fshehur kanalin e transmetimit, duke krijuar vështirësi fizike në lidhjen me linjat e komunikimit, etj.

Qëllimi i kriptografisë Ndryshe nga kriptografia tradicionale, kriptografia supozon akses të plotë në kanalin e transmetimit për sulmuesit dhe siguron konfidencialitetin dhe autenticitetin e informacionit duke përdorur algoritme enkriptimi që e bëjnë informacionin të paarritshëm për të huajt. Një sistem modern i mbrojtjes së informacionit kriptografik (CIP) është një kompleks kompjuterik softuer dhe harduer që siguron mbrojtje informacioni sipas parametrave kryesorë të mëposhtëm.

+ Konfidencialiteti- pamundësia e leximit të informacionit nga persona që nuk kanë të drejtat e duhura aksesi. Komponenti kryesor i sigurimit të konfidencialitetit në CIPF është një çelës (çelës), i cili është një kombinim unik alfanumerik për aksesin e përdoruesit në një bllok specifik të CIPF.

+ Integriteti- pamundësia e ndryshimeve të paautorizuara, si redaktimi dhe fshirja e informacionit. Për këtë, teprica i shtohet informacionit fillestar në formën e një kombinimi kontrolli, i llogaritur duke përdorur një algoritëm kriptografik dhe në varësi të çelësit. Kështu, pa e ditur çelësin, shtimi ose ndryshimi i informacionit bëhet i pamundur.

+ Autentifikimi- konfirmimi i origjinalitetit të informacionit dhe palëve që e dërgojnë dhe e marrin atë. Informacioni i transmetuar përmes kanaleve të komunikimit duhet të vërtetohet pa mëdyshje nga përmbajtja, koha e krijimit dhe transmetimit, burimi dhe marrësi. Duhet mbajtur mend se burimi i kërcënimeve mund të jetë jo vetëm sulmuesi, por edhe palët e përfshira në shkëmbimin e informacionit me besim të pamjaftueshëm reciprok. Për të parandaluar një situatë të tillë, CIPF përdor një sistem të vulosjes kohore për të bërë të pamundur dërgimin ose ridërgimin e informacionit dhe ndryshimin e renditjes së tij.

+ Autorësia- konfirmimi dhe pamundësia e refuzimit nga veprimet e kryera nga përdoruesi i informacionit. Mënyra më e zakonshme për të konfirmuar autenticitetin është një nënshkrim elektronik dixhital (EDS). Sistemi EDS përbëhet nga dy algoritme: për krijimin e një nënshkrimi dhe për verifikimin e tij. Në rast të punës intensive me ECC, rekomandohet përdorimi i qendrave të certifikimit të softuerit për krijimin dhe menaxhimin e nënshkrimeve. Qendra të tilla mund të zbatohen si një mjet për mbrojtjen e informacionit kriptografik, plotësisht i pavarur nga struktura e brendshme. Çfarë do të thotë kjo për organizatën? Kjo do të thotë se të gjitha transaksionet me nënshkrime elektronike përpunohen nga organizata të pavarura të certifikuara dhe falsifikimi është pothuajse i pamundur.

Për momentin, midis mjeteve të mbrojtjes së informacionit kriptografik mbizotërojnë algoritme të hapura të kriptimit me përdorimin e çelësave simetrik dhe asimetrik me një gjatësi të mjaftueshme për të siguruar kompleksitetin e kërkuar kriptografik. Algoritmet më të zakonshme janë:

çelësat simetrik - rus Р-28147.89, AES, DES, RC4;
çelësat asimetrik - RSA;
duke përdorur funksionet hash - Р-34.11.94, MD4 / 5/6, SHA-1/2. 80

Shumë vende kanë standardet e tyre kombëtare për algoritmet e kriptimit. Në Shtetet e Bashkuara, përdoret një algoritëm i modifikuar AES me një gjatësi çelësi 128-256 bit, dhe në Federatën Ruse, një algoritëm i nënshkrimit elektronik R-34.10.2001 dhe një algoritëm kriptografik bllok R-28147.89 me një çelës 256-bit. . Disa elementë të sistemeve kombëtare kriptografike janë të ndaluara për eksport jashtë vendit; zhvillimi i sistemeve të mbrojtjes së informacionit kriptografik kërkon licencim.

Sistemet e mbrojtjes së kriptove harduerike

Pajisjet e mbrojtjes së informacionit kriptografik të harduerit janë pajisje fizike që përmbajnë softuer për enkriptimin, regjistrimin dhe transmetimin e informacionit. Pajisjet e enkriptimit mund të bëhen në formën e pajisjeve personale, siç janë enkriptuesit ruToken USB dhe disqet IronKey, kartat e zgjerimit për kompjuterët personalë, çelsat dhe ruterat e specializuar të rrjetit, mbi bazën e të cilave është e mundur të ndërtohen rrjete kompjuterike plotësisht të sigurta.

Mjetet e mbrojtjes së informacionit kriptografik të harduerit instalohen shpejt dhe funksionojnë me shpejtësi të lartë. Disavantazhet - të larta, në krahasim me mjetet e mbrojtjes së informacionit kriptografik të bazuar në softuer dhe harduer, kosto dhe opsione të kufizuara modernizimi. Gjithashtu, hardueri mund t'i atribuohet blloqeve CIPF të integruara në pajisje të ndryshme për regjistrimin dhe transmetimin e të dhënave, ku kërkohet kriptim dhe kufizim i aksesit në informacion. Pajisjet e tilla përfshijnë takometrat e makinave, rregullimin e parametrave të automjeteve, disa lloje të pajisjeve mjekësore, etj. Për funksionimin e plotë të sistemeve të tilla, kërkohet një aktivizim i veçantë i modulit CIPF nga specialistët e furnitorit.

Sisteme softuerike për mbrojtjen e kriptove

Softueri CIPF është një paketë softuerike speciale për enkriptimin e të dhënave në mediat e ruajtjes (hard dhe flash disqet, kartat e kujtesës, CD / DVD) dhe gjatë transmetimit përmes Internetit (e-mail, skedarë në bashkëngjitje, biseda të sigurta, etj.). Ka shumë programe, duke përfshirë ato falas, për shembull, DiskCryptor. Rrjetet virtuale të mbrojtura për shkëmbimin e informacionit që punojnë "nëpërmjet internetit" (VPN), një zgjerim i protokollit të internetit HTTP me mbështetje për kriptim HTTPS dhe SSL, një protokoll kriptografik për transferimin e informacionit të përdorur gjerësisht në sistemet e telefonisë IP dhe aplikacionet e internetit, gjithashtu mund të t'i referohen CIPF-ve të softuerit.
Mjetet softuerike për mbrojtjen e informacionit kriptografik përdoren kryesisht në internet, në kompjuterët e shtëpisë dhe në zona të tjera ku kërkesat për funksionalitetin dhe stabilitetin e sistemit nuk janë shumë të larta. Ose si në rastin e internetit, kur duhet të krijoni shumë lidhje të ndryshme të sigurta në të njëjtën kohë.

Mbrojtja e kriptos së harduerit dhe softuerit

Kombinon cilësitë më të mira të sistemeve harduerike dhe softuerike për mbrojtjen e informacionit kriptografik. Kjo është mënyra më e besueshme dhe funksionale për të krijuar sisteme të sigurta dhe rrjete të transmetimit të të dhënave. Mbështeten të gjitha opsionet e identifikimit të përdoruesit, si hardueri (ruajtje USB ose kartë inteligjente) ashtu edhe "tradicionale" - hyrje dhe fjalëkalim. Mjetet e mbrojtjes së informacionit kriptografik të softuerit dhe harduerit mbështesin të gjitha algoritmet moderne të kriptimit, kanë një gamë të gjerë funksionesh për krijimin e një rrjedhe të sigurt dokumentesh bazuar në EDS, të gjitha certifikatat e kërkuara të shtetit. Instalimi SKZI kryhet nga personeli i kualifikuar i zhvilluesit.

Shikime postimi: 295

Mjetet e mbrojtjes së informacionit kriptografik, ose shkurtuar CIPF, përdoren për të siguruar mbrojtje gjithëpërfshirëse të të dhënave të transmetuara përmes linjave të komunikimit. Për ta bërë këtë, është e nevojshme të vëzhgoni autorizimin dhe mbrojtjen e nënshkrimit elektronik, vërtetimin e palëve që komunikojnë duke përdorur protokollet TLS dhe IPSec, si dhe mbrojtjen e vetë kanalit të komunikimit, nëse është e nevojshme.

Në Rusi, përdorimi i mjeteve kriptografike për mbrojtjen e informacionit është kryesisht i klasifikuar, kështu që ka pak informacion të disponueshëm publikisht për këtë temë.

Metodat e përdorura në sistemet e mbrojtjes së informacionit kriptografik

Autorizimi i të dhënave dhe garantimi i sigurisë së rëndësisë së tyre ligjore gjatë transmetimit ose ruajtjes. Për këtë, përdoren algoritmet për krijimin e një nënshkrimi elektronik dhe verifikimin e tij në përputhje me rregulloret e vendosura RFC 4357 dhe certifikatat sipas standardit X.509.
Mbrojtja e konfidencialitetit të të dhënave dhe kontrolli i integritetit të tyre. Përdoret enkriptimi asimetrik dhe mbrojtja imituese, domethënë kundërveprimi ndaj zëvendësimit të të dhënave. Në përputhje me GOST R 34.12-2015.
Mbrojtja e sistemit dhe softuerit aplikativ. Ndjekja e ndryshimeve ose mosfunksionimeve të paautorizuara.
Menaxhimi i elementeve më të rëndësishëm të sistemit në përputhje të plotë me rregulloret e miratuara.
Autentifikimi i palëve që shkëmbejnë të dhëna.
Sigurimi i lidhjes duke përdorur protokollin TLS.
Mbrojtja e lidhjeve IP duke përdorur protokollet IKE, ESP, AH.

Metodat përshkruhen në detaje në dokumentet e mëposhtme: RFC 4357, RFC 4490, RFC 4491.

Mekanizmat CIPF për mbrojtjen e informacionit

Konfidencialiteti i informacionit të ruajtur ose të transmetuar mbrohet duke përdorur algoritme të enkriptimit.
Kur vendoset një lidhje, identifikimi sigurohet me nënshkrim elektronik kur ato përdoren gjatë vërtetimit (sipas rekomandimit X.509).
Rrjedha e punës dixhitale mbrohet gjithashtu me anë të nënshkrimeve elektronike së bashku me mbrojtjen kundër ndërhyrjes ose përsëritjes, ndërkohë që kontrollohet vlefshmëria e çelësave të përdorur për verifikimin e nënshkrimeve elektronike.
Integriteti i informacionit sigurohet me anë të nënshkrimit dixhital.
Përdorimi i veçorive të enkriptimit asimetrik ndihmon në mbrojtjen e të dhënave tuaja. Përveç kësaj, funksionet e hashimit ose algoritmet e mbrojtjes së imitimit mund të përdoren për të kontrolluar integritetin e të dhënave. Megjithatë, këto metoda nuk e mbështesin atribuimin e dokumentit.
Mbrojtja kundër përsëritjes ndodh nga funksionet kriptografike të nënshkrimit elektronik për mbrojtjen e enkriptimit ose imitimit. Në të njëjtën kohë, çdo sesion rrjeti i shtohet një identifikues unik, mjaft i gjatë për të përjashtuar rastësinë e tij aksidentale, dhe verifikimi nga pala marrëse zbatohet.
Mbrojtja nga ndërhyrja, domethënë nga depërtimi në komunikime nga jashtë, sigurohet me anë të nënshkrimit elektronik.
Mbrojtje të tjera - kundër faqeshënuesve, viruseve, modifikimeve të sistemit operativ, etj. - sigurohet duke përdorur mjete të ndryshme kriptografike, protokolle sigurie, softuer antivirus dhe masa organizative.

Siç mund ta shihni, algoritmet e nënshkrimit elektronik janë një pjesë themelore e mbrojtjes së informacionit kriptografik. Ato do të diskutohen më poshtë.

Kërkesat për përdorimin e CIPF

CIPF ka për qëllim mbrojtjen (verifikimin e nënshkrimit elektronik) të të dhënave të hapura në sisteme të ndryshme informacioni të përdorimit të përgjithshëm dhe sigurimin e konfidencialitetit të tyre (verifikimi i nënshkrimit elektronik, imitimi i mbrojtjes, kriptimi, kontrollimi i hash-it) në rrjetet e korporatave.

Mjetet personale të mbrojtjes së informacionit kriptografik përdoren për të mbrojtur të dhënat personale të përdoruesit. Megjithatë, është e nevojshme të theksohen informacionet në lidhje me sekretet shtetërore. Sipas ligjit, CIPF nuk mund të përdoret për të punuar me të.

E rëndësishme: përpara se të instaloni mjetin e mbrojtjes së informacionit kriptografik, gjëja e parë që duhet të bëni është të kontrolloni vetë paketën e softuerit. Ky është hapi i parë. Në mënyrë tipike, integriteti i paketës së instalimit verifikohet duke krahasuar shumat e kontrollit të marra nga prodhuesi.

Pas instalimit, duhet të përcaktoni nivelin e kërcënimit, në bazë të të cilit mund të përcaktoni llojet e mjeteve të mbrojtjes së informacionit kriptografik që kërkohen për përdorim: softuer, harduer dhe harduer-softuer. Duhet gjithashtu të kihet parasysh se gjatë organizimit të disa mjeteve të mbrojtjes së informacionit kriptografik, është e nevojshme të merret parasysh vendndodhja e sistemit.

Klasat e mbrojtjes

Sipas urdhrit të FSB të Rusisë të datës 07/10/14 nën numrin 378, që rregullon përdorimin e mjeteve kriptografike për mbrojtjen e informacionit dhe të dhënave personale, përcaktohen gjashtë klasa: KS1, KS2, KS3, KV1, KV2, KA1. Klasa e mbrojtjes për një sistem të caktuar përcaktohet nga analiza e të dhënave në modelin e ndërhyrës, domethënë nga një vlerësim i mënyrave të mundshme të hakimit të sistemit. Në këtë rast, mbrojtja ndërtohet nga mbrojtja e informacionit kriptografik të softuerit dhe harduerit.

AU (kërcënimet aktuale), siç mund të shihet nga tabela, janë të 3 llojeve:

Kërcënimet e llojit të parë shoqërohen me aftësi të padokumentuara në softuerin e sistemit të përdorur në sistemin e informacionit.
Kërcënimet e llojit të dytë shoqërohen me aftësi të padokumentuara në softuerin aplikativ të përdorur në sistemin e informacionit.
Të gjithë të tjerët quhen lloji i tretë i kërcënimit.

Aftësitë e padokumentuara janë funksione dhe veti të softuerit që nuk përshkruhen në dokumentacionin zyrtar ose nuk korrespondojnë me të. Kjo do të thotë, përdorimi i tyre mund të rrisë rrezikun e cenimit të konfidencialitetit ose integritetit të informacionit.

Për qartësi, le të shqyrtojmë modelet e shkelësve, për përgjimin e të cilave nevojitet një ose një klasë tjetër e mjeteve të mbrojtjes së informacionit kriptografik:

КС1 - ndërhyrës vepron nga jashtë, pa ndihmës brenda sistemit.
KS2 është një ndërhyrës i brendshëm, por nuk ka qasje në CIPF.
KS3 është një ndërhyrës i brendshëm që është përdorues i CIPF.
KV1 është një ndërhyrës që tërheq burime të palëve të treta, për shembull, ekspertë të kripto-sigurisë.
KV2 është një ndërhyrës, pas veprimeve të të cilit qëndron një institut ose laborator që punon në fushën e studimit dhe zhvillimit të mjeteve të sigurisë së informacionit kriptografik.
KA1 - shërbimet speciale të shteteve.

Kështu, KC1 mund të quhet klasa bazë e mbrojtjes. Prandaj, sa më e lartë të jetë klasa e mbrojtjes, aq më pak specialistë janë në gjendje ta ofrojnë atë. Për shembull, në Rusi, sipas të dhënave për vitin 2013, kishte vetëm 6 organizata me një certifikatë nga FSB dhe të afta të siguronin mbrojtje të klasës KA1.

Algoritmet e përdorura

Le të shqyrtojmë algoritmet kryesore të përdorura në mjetet e mbrojtjes së informacionit kriptografik:

GOST R 34.10-2001 dhe përditësuar GOST R 34.10-2012 - algoritme për krijimin dhe verifikimin e një nënshkrimi elektronik.
GOST R 34.11-94 dhe më i fundit GOST R 34.11-2012 - algoritme për krijimin e funksioneve hash.
GOST 28147-89 dhe më i ri GOST R 34.12-2015 - zbatimi i algoritmeve të kriptimit dhe imitimi i mbrojtjes së të dhënave.
Algoritme shtesë kriptografike gjenden në RFC 4357.

Nënshkrimi elektronik

Përdorimi i një mjeti për mbrojtjen kriptografike të informacionit nuk mund të imagjinohet pa përdorimin e algoritmeve të nënshkrimit elektronik, të cilët po fitojnë gjithnjë e më shumë popullaritet.

Një nënshkrim elektronik është një pjesë e veçantë e një dokumenti të krijuar nga transformimet kriptografike. Detyra e tij kryesore është të identifikojë ndryshimet dhe atribuimet e paautorizuara.

Certifikata e nënshkrimit elektronik është një dokument i veçantë që dëshmon origjinalitetin dhe pronësinë e një nënshkrimi elektronik për pronarin e tij duke përdorur një çelës publik. Certifikata lëshohet nga autoritetet e certifikimit.

Pronari i certifikatës së nënshkrimit elektronik është personi në emër të të cilit është regjistruar certifikata. Ai është i lidhur me dy çelësa: publik dhe privat. Çelësi privat ju lejon të krijoni një nënshkrim elektronik. Çelësi publik është krijuar për të vërtetuar nënshkrimin përmes një lidhjeje kriptografike me çelësin privat.

Llojet e nënshkrimit elektronik

Sipas Ligjit Federal Nr. 63, një nënshkrim elektronik ndahet në 3 lloje:

nënshkrim i rregullt elektronik;
nënshkrim elektronik i pakualifikuar;
nënshkrim elektronik i kualifikuar.

Nënshkrimi i thjeshtë elektronik krijohet nga fjalëkalimet e vendosura në hapjen dhe shikimin e të dhënave, ose mjete të ngjashme që konfirmojnë në mënyrë indirekte pronarin.

Një nënshkrim dixhital i pakualifikuar krijohet duke përdorur transformimet e të dhënave kriptografike duke përdorur një çelës privat. Falë kësaj, ju mund të konfirmoni personin që ka nënshkruar dokumentin dhe të vërtetoni faktin se janë bërë ndryshime të paautorizuara në të dhëna.

Nënshkrimet e kualifikuara dhe të pakualifikuara ndryshojnë vetëm në atë që në rastin e parë, një certifikatë për nënshkrim elektronik duhet të lëshohet nga një autoritet certifikues i certifikuar nga FSB.

Fusha e përdorimit të nënshkrimit elektronik

Tabela e mëposhtme tregon fushëveprimin e aplikimit të nënshkrimit elektronik.

Teknologjitë e nënshkrimit elektronik përdoren në mënyrë më aktive në shkëmbimin e dokumenteve. Në rrjedhën e brendshme të dokumenteve, nënshkrimi elektronik vepron si miratim i dokumenteve, domethënë si nënshkrim ose vulë personale. Në rastin e rrjedhës së dokumenteve të jashtme, prania e ES është kritike, pasi është një konfirmim ligjor. Vlen gjithashtu të theksohet se dokumentet e nënshkruara me nënshkrim elektronik mund të ruhen për një kohë të pacaktuar dhe të mos humbasin rëndësinë e tyre juridike për shkak të faktorëve të tillë si firmat e fshira, letra e dëmtuar etj.

Raportimi tek autoritetet rregullatore është një tjetër fushë në të cilën fluksi i dokumenteve elektronike po rritet. Shumë kompani dhe organizata e kanë vlerësuar tashmë komoditetin e punës në këtë format.

Sipas ligjit të Federatës Ruse, çdo qytetar ka të drejtë të përdorë nënshkrimin elektronik kur përdor shërbimet publike (për shembull, nënshkrimi i një aplikacioni elektronik për autoritetet).

Tregtimi në internet është një tjetër fushë interesante në të cilën nënshkrimet elektronike përdoren në mënyrë aktive. Është një konfirmim i faktit që një person real merr pjesë në ankand dhe propozimet e tij mund të konsiderohen të besueshme. Është gjithashtu e rëndësishme që çdo kontratë e lidhur me ndihmën e ES të marrë fuqi ligjore.

Algoritmet e nënshkrimit elektronik

Hash i plotë i domenit (FDH) dhe standardet e kriptografisë së çelësit publik (PKCS). Ky i fundit është një grup i tërë algoritmesh standarde për situata të ndryshme.
DSA dhe ECDSA janë standardet e nënshkrimit elektronik të SHBA-së.
GOST R 34.10-2012 është standardi për krijimin e nënshkrimeve elektronike në Federatën Ruse. Ky standard zëvendësoi GOST R 34.10-2001, i cili u ndërpre zyrtarisht pas 31 dhjetorit 2017.
Bashkimi Euroaziatik përdor standarde që janë plotësisht të ngjashme me ato në Rusi.
STB 34.101.45-2013 - Standardi bjellorus për nënshkrimin elektronik dixhital.
DSTU 4145-2002 - standardi për krijimin e një nënshkrimi elektronik në Ukrainë dhe shumë të tjerë.

Duhet gjithashtu të theksohet se algoritmet për krijimin e nënshkrimeve elektronike kanë qëllime dhe qëllime të ndryshme:

Nënshkrimi elektronik i grupit.
Nënshkrimi dixhital një herë.
Nënshkrimi dixhital i besuar.
Nënshkrimi i kualifikuar dhe i pakualifikuar etj.

Nga pikëpamja e sigurisë së informacionit, çelësat kriptografikë janë të dhëna kritike. Nëse më parë, për të grabitur një kompani, keqbërësit duhej të hynin në territorin e saj, të hapnin ambiente dhe kasaforta, tani mjafton të vidhni një token me një çelës kriptografik dhe të bëni një transferim përmes sistemit të Internetit Klient-Bank. Themeli i garantimit të sigurisë duke përdorur sistemet e mbrojtjes së informacionit kriptografik (CIPS) është ruajtja e konfidencialitetit të çelësave kriptografikë.

Si e siguroni konfidencialitetin e diçkaje që nuk e dini se ekziston? Për të vendosur një shenjë me një çelës në kasafortë, duhet të dini për ekzistencën e tokenit dhe kasafortës. Sado paradoksale që tingëllon, shumë pak kompani kanë një ide për numrin e saktë të dokumenteve kryesore që përdorin. Kjo mund të ndodhë për një sërë arsyesh, për shembull, nënvlerësimi i kërcënimeve të sigurisë së informacionit, mungesa e proceseve të mirëpërcaktuara të biznesit, kualifikimet e pamjaftueshme të personelit në çështjet e sigurisë, etj. Kjo detyrë zakonisht mbahet mend pas incidenteve të tilla si ky.

Ky artikull do të përshkruajë hapin e parë drejt përmirësimit të sigurisë së informacionit duke përdorur mjete kriptografike, ose, më saktë, do të shqyrtojmë një nga qasjet për auditimin e mjeteve të mbrojtjes së informacionit kriptografik dhe çelësave kripto. Rrëfimi do të kryhet për llogari të një specialisti të sigurisë së informacionit, ndërkohë që do të supozojmë se puna po kryhet nga e para.

Termat dhe Përkufizimet

Në fillim të artikullit, për të mos trembur lexuesin e papërgatitur me përkufizime komplekse, kemi përdorur gjerësisht termat çelës kriptografik ose kriptoçel, tani është koha që të përmirësojmë aparatin tonë konceptual dhe ta përputhim atë me legjislacionin aktual. Ky është një hap shumë i rëndësishëm pasi do të strukturojë në mënyrë efektive informacionin e marrë nga auditimi.

Çelësi kriptografik (kriptoçelës)- një grup të dhënash që lejon zgjedhjen e një transformimi specifik kriptografik nga të gjitha të mundshmet në një sistem të caktuar kriptografik (përkufizim nga "udhëzimet rozë - Urdhri i FAPSI Nr. 152, datë 13 qershor 2001, në vijim referuar si FAPSI 152) .
Informacion kyç- një grup i organizuar posaçërisht çelësash kripto të krijuar për të zbatuar mbrojtjen kriptografike të informacionit brenda një periudhe të caktuar [FAPSI 152].
Ju mund të kuptoni ndryshimin themelor midis një çelësi kripto dhe informacionit kryesor duke përdorur shembullin e mëposhtëm. Kur organizohet HTTPS, krijohet një çift çelësash publik dhe privat dhe merret një certifikatë nga çelësi publik dhe informacion shtesë. Pra, në këtë skemë, kombinimi i një certifikate dhe një çelësi privat formojnë informacionin kryesor, dhe secili prej tyre individualisht është një çelës kripto. Këtu mund të udhëhiqeni nga rregulli i thjeshtë i mëposhtëm - përdoruesit fundorë, kur punojnë me mjetet e mbrojtjes së të dhënave kriptografike, përdorin informacionin kryesor, dhe çelësat kripto zakonisht përdorin mjetet e mbrojtjes së të dhënave kriptografike brenda vetes. Në të njëjtën kohë, është e rëndësishme të kuptohet se informacioni kryesor mund të përbëhet nga një çelës kripto.
Dokumentet kryesore- dokumente elektronike në çdo media, si dhe dokumente në media letre që përmbajnë informacion kyç me akses të kufizuar për transformimin kriptografik të informacionit duke përdorur algoritme për transformimin kriptografik të informacionit (çelës kriptografik) në mjete kriptimi (kriptografike). (përkufizim nga Vendimi i Qeverisë nr. 313, datë 16.04.2012, në vijim - PP-313)
Me fjalë të thjeshta, një dokument kyç është informacioni kryesor i regjistruar në një medium. Kur analizoni informacionin kryesor dhe dokumentet kryesore, është e nevojshme të nënvizoni atë që përdoret (d.m.th., përdoret për transformime kriptografike - kriptim, nënshkrim elektronik, etj.) Informacioni kryesor, dhe dokumentet kryesore që e përmbajnë atë u transferohen punonjësve.
Mjetet e mbrojtjes së informacionit kriptografik (CIPF)- mjetet e kriptimit, mjetet e mbrojtjes imituese, mjetet e nënshkrimit elektronik, mjetet e kodimit, mjetet e prodhimit të dokumenteve kyçe, dokumentet kryesore, mjetet e enkriptimit harduer (kriptografik), mjetet softuerike dhe harduerike të enkriptimit (kriptografike). [PP-313]
Kur analizoni këtë përkufizim, mund të gjeni në të praninë e termit dokumente kyçe. Afati është dhënë në Dekretin e Qeverisë dhe ne nuk kemi të drejtë ta ndryshojmë. Në të njëjtën kohë, përshkrimi i mëtejshëm do të bëhet mbi bazën se vetëm mjetet e kryerjes së transformimeve kriptografike do të lidhen me CIPF). Kjo qasje do të thjeshtojë auditimin, por në të njëjtën kohë nuk do të ndikojë në cilësinë e tij, pasi ne ende do të marrim parasysh dokumentet kryesore, por në seksionin tonë dhe duke përdorur metodat tona.

Metodologjia e auditimit dhe rezultatet e pritura

Karakteristikat kryesore të metodologjisë së auditimit të propozuar në këtë artikull janë postulatet që:

asnjë punonjës i vetëm i kompanisë nuk mund t'i përgjigjet me saktësi pyetjeve të bëra gjatë auditimit;
Burimet ekzistuese të të dhënave (listat, regjistrat, etj.) janë të pasakta ose të strukturuara dobët.

Prandaj, metodologjia e propozuar në artikull është një lloj miningu i të dhënave, gjatë së cilës të njëjtat të dhëna do të nxirren nga burime të ndryshme, dhe më pas do të krahasohen, strukturohen dhe rafinohen.

Këtu janë varësitë kryesore që do të na ndihmojnë me këtë:

Nëse ekziston një mjet për mbrojtjen e informacionit kriptografik, atëherë ka edhe informacion kyç.
Nëse ka një rrjedhë dokumenti elektronik (përfshirë palët dhe rregullatorët), atëherë ka shumë të ngjarë që ai përdor një nënshkrim elektronik dhe, si rezultat, mjetet e mbrojtjes së informacionit kriptografik dhe informacionin kryesor.
Rrjedha elektronike e dokumenteve në këtë kontekst duhet të kuptohet gjerësisht, domethënë, do të përfshijë si shkëmbimin e drejtpërdrejtë të dokumenteve elektronike me rëndësi ligjore, ashtu edhe paraqitjen e raporteve, si dhe punën në sistemet e pagesave ose tregtimit, e kështu me radhë. Lista dhe format e menaxhimit të dokumenteve elektronike përcaktohen nga proceset e biznesit të kompanisë, si dhe nga legjislacioni aktual.
Nëse një punonjës është i përfshirë në menaxhimin e dokumenteve elektronike, atëherë ka shumë të ngjarë që ai ka dokumente kryesore.
Kur organizoni rrjedhën elektronike të dokumenteve me palët, zakonisht lëshohen dokumente (urdhra) organizative dhe administrative për emërimin e personave përgjegjës.
Nëse informacioni transmetohet përmes Internetit (ose rrjeteve të tjera publike), atëherë ka shumë të ngjarë që ai është i koduar. Kjo vlen kryesisht për VPN dhe sisteme të ndryshme të aksesit në distancë.
Nëse në trafikun e rrjetit gjenden protokolle që transmetojnë trafikun në një formë të koduar, atëherë përdoren mjetet e mbrojtjes së informacionit kriptografik dhe informacioni kryesor.
Nëse do të bëheshin marrëveshje me palët e angazhuara në: furnizimin e produkteve të sigurisë së informacionit, pajisjeve të telekomunikacionit, ofrimin e shërbimeve për transferimin e fryrjes, shërbimet e qendrave të certifikimit, atëherë me këtë ndërveprim mund të bliheshin mjete për mbrojtjen e informacionit kriptografik ose dokumente kyçe.
Dokumentet kryesore mund të jenë ose në media të huaja (disketa, disqe flash, argumente, ...), ose të regjistruara brenda kompjuterëve dhe mjeteve të sigurisë së informacionit kriptografik të harduerit.
Kur përdorni mjete virtualizimi, dokumentet kryesore mund të ruhen si brenda makinave virtuale, ashtu edhe të montohen në makina virtuale duke përdorur një hipervizor.
Mjetet e mbrojtjes së informacionit kriptografik të harduerit mund të instalohen në dhomat e serverëve dhe të mos jenë të disponueshëm për analiza në rrjet.
Disa sisteme elektronike të menaxhimit të dokumenteve mund të jenë joaktive ose joaktive, por në të njëjtën kohë përmbajnë informacion kyç aktiv dhe mjete për mbrojtjen e informacionit kriptografik.
Dokumentacioni i brendshëm rregullator, organizativ dhe administrativ mund të përmbajë informacion në lidhje me sistemet e menaxhimit të dokumenteve elektronike, CIPF dhe dokumentet kryesore.

Për nxjerrjen e informacionit parësor, ne do të:

interviston punonjësit;
të analizojë dokumentacionin e kompanisë, duke përfshirë dokumentet e brendshme rregullatore dhe administrative, si dhe urdhërpagesat dalëse;
të kryejë një analizë vizuale të dhomave të serverëve dhe kabineteve të komunikimit;
kryerja e analizave teknike të përmbajtjes së stacioneve të automatizuara të punës (AWS), serverëve dhe mjeteve të virtualizimit.

Ne do të formulojmë masa specifike më vonë, por tani për tani do të shqyrtojmë të dhënat përfundimtare që duhet të marrim si rezultat i auditimit:

Lista e SKZI:

Modeli CIPF... Për shembull, CIPF Crypto CSP 3.9, ose OpenSSL 1.0.1
Identifikuesi i shembullit CIPF... Për shembull, numri serial, licenca (ose regjistrimi sipas PKZ-2005) SKZI
Informacion në lidhje me certifikatën e FSB të Rusisë për CIPF, duke përfshirë numrin dhe datat e fillimit dhe mbarimit të vlefshmërisë.
Informacion në lidhje me vendin e funksionimit të SKZI... Për shembull, emri i kompjuterit në të cilin është instaluar softueri SKZI, ose emri i mjeteve teknike ose ambienteve ku është instaluar hardueri SKZI.

Ky informacion do të lejojë:

Menaxhoni dobësitë në sistemet e mbrojtjes së informacionit kriptografik, domethënë zbuloni dhe rregulloni shpejt ato.
Monitoroni periudhën e vlefshmërisë së certifikatave për mjetet e mbrojtjes së informacionit kriptografik, si dhe kontrolloni nëse një mjet i certifikuar i mbrojtjes së informacionit kriptografik përdoret në përputhje me rregullat e përcaktuara nga dokumentacioni apo jo.
Planifikoni koston e mbrojtjes së informacionit kriptografik, duke ditur se sa është tashmë në funksion dhe sa më shumë fonde të konsoliduara janë në dispozicion.
Gjeneroni raportim rregullator.

Lista e informacionit kryesor:

Për secilin element të listës, ne regjistrojmë të dhënat e mëposhtme:

Emri ose identifikuesi i informacionit kyç... Për shembull, "Çelësi ES i kualifikuar. Numri serial i certifikatës është 31: 2D: AF ", dhe identifikuesi duhet të zgjidhet në atë mënyrë që të jetë e mundur të gjendet çelësi me të. Për shembull, autoritetet e certifikimit, kur dërgojnë njoftime, zakonisht identifikojnë çelësat me numrat e certifikatës.
Qendra kryesore e kontrollit të sistemit (CMC) lëshuesi i këtij informacioni kyç. Kjo mund të jetë organizata që ka lëshuar çelësin, për shembull, një autoritet certifikimi.
Individual, në emër të të cilit është lëshuar informacioni kyç. Ky informacion mund të merret nga fushat CN të certifikatave X.509
Formati kryesor i informacionit... Për shembull, CryptoPRO CIPF, Verba-OW CIPF, X.509, etj. (ose me fjalë të tjera, për përdorim me të cilin CIPF synohet ky informacion kyç).
Caktimi i informacionit kryesor... Për shembull, "Pjesëmarrja në ankande në faqen e Sberbank AST", "Nënshkrimi elektronik i kualifikuar për paraqitjen e raporteve", etj. Nga pikëpamja teknike, në këtë fushë, mund të rregulloni kufizimet e fiksuara nga fushat e zgjeruara të përdorimit të çelësit dhe certifikatat e tjera X.509.
Fillimi dhe mbarimi i vlefshmërisë së informacionit kyç.
Procedura e ribotimit të informacionit kyç... Kjo do të thotë, njohuri se çfarë të bëni dhe si të ribotoni informacionin kryesor. Së paku, këshillohet që të regjistrohen kontaktet e zyrtarëve të QKM-së që kanë dhënë informacionin kyç.
Lista e sistemeve të informacionit, shërbimeve ose proceseve të biznesit brenda të cilave përdoret informacioni kryesor... Për shembull, "Sistemi i shërbimeve bankare në distancë Internet Client-Bank".

Ky informacion do të lejojë:

Ndiqni datat e skadimit të informacionit kryesor.
Ribotoni shpejt informacionin kryesor nëse është e nevojshme. Kjo mund të jetë e nevojshme si për ribotimet e planifikuara ashtu edhe për ato të paplanifikuara.
Blloko përdorimin e informacionit kyç, pas shkarkimit të një punonjësi, të cilit i është dhënë.
Hetoni incidentet e sigurisë së informacionit duke iu përgjigjur pyetjeve: "Kush i kishte çelësat për të bërë pagesat?" dhe etj.

Lista e dokumenteve kryesore:

Për secilin element të listës, ne regjistrojmë të dhënat e mëposhtme:

Informacion kyç të përfshira në dokumentin kyç.
Transportuesi kryesor i informacionit, në të cilën regjistrohet informacioni kryesor.
Fytyra përgjegjës për sigurinë e dokumentit kyç dhe konfidencialitetin e informacionit kyç që përmbahet në të.

Ky informacion do të lejojë:

Rilëshimi i informacionit kyç në rastet e: largimit nga puna të punonjësve që kanë dokumente kyçe, si dhe në rast kompromisi të medias.
Siguroni konfidencialitetin e informacionit kryesor duke bërë një inventar të transportuesve që e përmbajnë atë.

Plani i auditimit

Tani është koha për të shqyrtuar veçoritë praktike të auditimit. Le ta bëjmë këtë duke përdorur shembullin e një organizate krediti dhe financiare, ose me fjalë të tjera, duke përdorur shembullin e një banke. Ky shembull nuk u zgjodh rastësisht. Bankat përdorin një numër mjaft të madh të sistemeve të ndryshme të mbrojtjes kriptografike që përfshihen në një numër të madh procesesh biznesi, dhe përveç kësaj, pothuajse të gjitha bankat janë të licencuara nga FSB e Rusisë në kriptografi. Më tej në artikull do të prezantohet një plan auditimi për mjetet e mbrojtjes së informacionit kriptografik dhe çelësat kriptografikë në lidhje me Bankën. Në të njëjtën kohë, ky plan mund të merret si bazë kur kryhet një auditim i pothuajse çdo kompanie. Për lehtësinë e perceptimit, plani ndahet në faza, të cilat, nga ana tjetër, janë palosur në spoliers.

Faza 1. Mbledhja e të dhënave nga departamentet e infrastrukturës së kompanisë

№	Veprimi
Burimi - të gjithë punonjësit e kompanisë
1	Ne dërgojmë një postë të korporatës për të gjithë punonjësit e kompanisë me një kërkesë për të informuar shërbimin e sigurisë së informacionit për të gjithë çelësat kriptografikë që ata përdorin	Ne marrim email, në bazë të të cilave formojmë një listë të informacioneve kryesore dhe një listë të dokumenteve kryesore
Burimi - Shef i Shërbimit të Teknologjisë së Informacionit
1	Ne kërkojmë një listë të informacioneve kryesore dhe dokumenteve kryesore	Me njëfarë probabiliteti, Shërbimi i IT-së i ruan dokumente të tilla, ne do t'i përdorim ato për të formuar dhe sqaruar listat e informacionit kryesor, dokumentet kryesore dhe mjetet e mbrojtjes së informacionit kriptografik
2	Kërkimi i një liste të burimeve të informacionit kriptografik
3	Kërkojmë regjistrin e softuerit të instaluar në serverë dhe stacione pune	Në këtë regjistër, ne jemi duke kërkuar për mjete kriptografike softuerike dhe përbërësit e tyre. Për shembull, CryptoPRO CSP, Verba-OW, Signal-COM CSP, Signature, PGP, ruToken, eToken, KritoARM, etj. Mbi bazën e këtyre të dhënave, ne formojmë një listë të mjeteve të mbrojtjes së informacionit kriptografik.
4	Ne kërkojmë një listë të punonjësve (ndoshta mbështetje teknike) që ndihmojnë përdoruesit të përdorin mjetet e mbrojtjes së informacionit kriptografik dhe të rishfaqin informacionin kryesor.	Ne u kërkojmë këtyre personave të njëjtin informacion si administratorët e sistemit
Burimi - Administratorët e Sistemit të Shërbimit të Teknologjisë së Informacionit
1	Ne kërkojmë një listë të portave të brendshme të kriptove (VIPNET, Kontinenti, S-terra, etj.)	Në rastet kur kompania nuk zbaton procese të rregullta biznesi të menaxhimit të TI-së dhe sigurisë së informacionit, pyetje të tilla mund t'i ndihmojnë administratorët e sistemit të kujtojnë ekzistencën e një pajisjeje ose softueri të caktuar. Ne e përdorim këtë informacion për të marrë një listë të mjeteve të mbrojtjes së informacionit kriptografik.
2	Ne po kërkojmë një listë të mjeteve kriptografike të softuerit vendas (mjetet e mbrojtjes së informacionit kriptografik MagPro CryptoPacket, VIPNET CSP, CryptonDisk, SecretDisk, ...)
3	Ne kërkojmë një listë të ruterave që zbatojnë VPN për: a) komunikimet ndërmjet zyrave të shoqërisë; b) ndërveprimin me kontraktorët dhe partnerët.
4	Ne kërkojmë një listë të shërbimeve të informacionit të publikuara në internet (të aksesueshme nga Interneti). Ato mund të përfshijnë: a) emaili i korporatës; b) sistemet e mesazheve të çastit; c) faqet e internetit të korporatave; d) shërbimet për shkëmbimin e informacionit me partnerët dhe kontraktorët (ekstranet); e) sistemet bankare në distancë (nëse shoqëria është Bankë); f) sistemet e aksesit në distancë në rrjetin e shoqërisë. Për të kontrolluar plotësinë e informacionit të dhënë, ne e kontrollojmë atë në përputhje me listën e rregullave të Portforwarding për muret e zjarrit kufitar.	Duke analizuar informacionin e marrë, me një probabilitet të lartë, mund të gjeni përdorimin e mjeteve të mbrojtjes së informacionit kriptografik dhe çelësave kripto. Ne përdorim të dhënat e marra për të formuar një listë të mjeteve të mbrojtjes së informacionit kriptografik dhe informacionit kryesor.
5	Ne kërkojmë një listë të sistemeve të informacionit të përdorura për raportim (Taxcom, Kontur, etj.)	Këto sisteme përdorin çelësat e një nënshkrimi elektronik të kualifikuar dhe SKZI. Nëpërmjet kësaj liste, ne formojmë një listë të mjeteve të mbrojtjes së të dhënave kriptografike, një listë të informacioneve kryesore dhe gjithashtu zbulojmë punonjësit që përdorin këto sisteme për të formuar një listë të dokumenteve kryesore.
6	Ne kërkojmë një listë të sistemeve të brendshme të menaxhimit të dokumenteve elektronike (Lotus, DIRECTUM, 1C: Menaxhimi i dokumenteve, etj.), si dhe një listë të përdoruesve të tyre.	Në kuadrin e sistemeve të brendshme të menaxhimit të dokumenteve elektronike, mund të hasen çelësa të nënshkrimit elektronik. Bazuar në informacionin e marrë, ne formojmë një listë të informacioneve kryesore dhe një listë të dokumenteve kryesore.
7	Ne kërkojmë një listë të qendrave të brendshme të certifikimit.	Fondet e përdorura për organizimin e qendrave të certifikimit regjistrohen në listën e mjeteve të mbrojtjes së informacionit kriptografik. Në të ardhmen, ne do të analizojmë përmbajtjen e bazave të të dhënave të qendrave të certifikimit për të identifikuar informacionin kryesor.
8	Ne kërkojmë informacion në lidhje me përdorimin e teknologjive: IEEE 802.1x, WiFiWPA2 Enterprise dhe sistemet e mbikëqyrjes video IP	Në rastin e përdorimit të këtyre teknologjive, ne mund të gjejmë dokumente kyçe në pajisjet e përfshira.
Burimi - Shefi i Burimeve Njerëzore
1	Ju lutemi përshkruani procesin e punësimit dhe shkarkimit të punonjësve. Ne fokusohemi në pyetjen se kush i merr dokumentet kryesore nga largimi i punëtorëve	Ne analizojmë dokumentet (fletët e anashkalimit) për praninë e sistemeve të informacionit në të cilat mund të përdoret sistemi i mbrojtjes së informacionit kriptografik.

Faza 2. Mbledhja e të dhënave nga njësitë e biznesit të kompanisë (në shembullin e Bankës)

№	Veprimi	Rezultati dhe përdorimi i pritshëm
Burimi - Shefi i Shërbimit të Zgjidhjes (Marrëdhëniet me Korrespondencën)
1	Ju lutemi jepni një skemë për organizimin e ndërveprimit me sistemin e pagesave të Bankës së Rusisë. Në veçanti, kjo do të jetë e rëndësishme për bankat që kanë një rrjet të zhvilluar të degëve, në të cilat degët mund të lidhin Bankën Qendrore me sistemin e pagesave drejtpërdrejt.	Bazuar në të dhënat e marra, ne përcaktojmë vendndodhjen e portave të pagesave (AWP KBR, UTA) dhe listën e përdoruesve të përfshirë. Ne përdorim informacionin e marrë për të formuar një listë të mjeteve të mbrojtjes së informacionit kriptografik, informacionit kryesor dhe dokumenteve kryesore.
2	Ne kërkojmë një listë të bankave me të cilat janë krijuar marrëdhënie të drejtpërdrejta korrespondente dhe gjithashtu kërkojmë të tregojmë se kush është i përfshirë në kryerjen e transfertave dhe çfarë mjetesh teknike përdoren.
3	Ne kërkojmë një listë të sistemeve të pagesave në të cilat Banka merr pjesë (SWIFT, VISA, MasterCard, NSPK, etj.), si dhe vendndodhjen e terminaleve për komunikim.	E njëjta gjë si për sistemin e pagesave të Bankës së Rusisë
Burimi - Përgjegjës i Divizionit përgjegjës për ofrimin e shërbimeve bankare në distancë
1	Ne po kërkojmë një listë të sistemeve bankare në distancë.	Në këto sisteme, ne analizojmë përdorimin e mjeteve të mbrojtjes së informacionit kriptografik dhe informacionit kryesor. Bazuar në të dhënat e marra, ne formojmë një listë të mjeteve të mbrojtjes së informacionit kriptografik dhe informacionit kryesor dhe dokumenteve kryesore.
Burimi - Përgjegjës i departamentit përgjegjës për funksionimin e përpunimit të kartave të pagesave
1	Pyetni regjistrin HSM	Bazuar në informacionin e marrë, ne formojmë një listë të mjeteve të mbrojtjes së informacionit kriptografik, informacionit kryesor dhe dokumenteve kryesore.
2	Duke kërkuar listën e oficerëve të sigurisë
4	Kërkimi i informacionit rreth komponentëve LMK HSM
5	Ne kërkojmë informacion në lidhje me organizimin e sistemeve të tilla si 3D-Secure dhe organizimin e personalizimit të kartave të pagesave
Burimi - Drejtuesit e departamenteve që kryejnë funksione të thesarit dhe depozitimit
1	Lista e bankave me të cilat janë krijuar marrëdhënie korrespondente dhe të cilat marrin pjesë në kreditimin ndërbankar.	Ne përdorim informacionin e marrë për të sqaruar të dhënat e marra më parë nga shërbimi i shlyerjes, si dhe për të regjistruar informacione në lidhje me ndërveprimin me shkëmbimet dhe depozituesit. Bazuar në informacionin e marrë, ne formojmë një listë të mjeteve të mbrojtjes së informacionit kriptografik dhe informacionit kryesor.
2	Lista e bursave dhe depozituesve të specializuar me të cilët punon Banka
Burimi - Drejtuesit e shërbimeve të monitorimit financiar dhe departamenteve përgjegjës për paraqitjen e raporteve në Bankën e Rusisë
1	Ne kërkojmë informacion se si ata dërgojnë informacion dhe marrin informacion nga Banka Qendrore. Lista e personave të përfshirë dhe mjeteve teknike.	Ndërveprimi i informacionit me Bankën e Rusisë rregullohet rreptësisht nga dokumentet përkatëse, për shembull, 2332-U, 321-I dhe shumë të tjerë, ne kontrollojmë përputhjen me këto dokumente dhe formojmë listat e mjeteve të mbrojtjes së informacionit kriptografik, informacionin kryesor dhe dokumentet kryesore.
Burimi - Kryekontabilist dhe kontabilistë që paguajnë fatura për nevojat e brendshme të bankës
1	Kërkojmë informacion mbi mënyrën e përgatitjes dhe paraqitjes së raporteve pranë inspektorateve tatimore dhe Bankës së Rusisë	Ne sqarojmë informacionin e marrë më parë
2	Ne kërkojmë një regjistër të dokumenteve të pagesave për të paguar për nevojat e brendshme të bankës	Në këtë regjistër, ne do të kërkojmë dokumente ku: 1) Qendrat e certifikimit, operatorët e specializuar të telekomit, prodhuesit e mjeteve të mbrojtjes së informacionit kriptografik, furnizuesit e pajisjeve të telekomunikacionit tregohen si marrës të pagesave. Emrat e këtyre kompanive mund të merren nga Regjistri i sistemeve të certifikuara të mbrojtjes së informacionit kriptografik të FSB të Rusisë, lista e qendrave të certifikimit të akredituar të Ministrisë së Telekomit dhe Komunikimeve Massive dhe burime të tjera. 2) si deshifrim i pagesës janë të pranishme fjalët: "CIPF", "nënshkrim", "token", "çelës", "BKI" etj.
Burimi - Drejtuesit e borxheve të prapambetura dhe menaxhimit të rrezikut
1	Ne kërkojmë një listë të zyrave të kreditit dhe agjencive të grumbullimit me të cilat punon Banka.	Së bashku me shërbimin e IT, analizojmë të dhënat e marra për të sqaruar organizimin e menaxhimit të dokumenteve elektronike, mbi bazën e të cilave sqarojmë listat e mjeteve të mbrojtjes së informacionit kriptografik, informacionin kryesor dhe dokumentet kryesore.
Burimi - Drejtuesit e Shërbimeve të Menaxhimit të Dokumenteve, Kontrollit të Brendshëm dhe Auditimit të Brendshëm
1	Ne kërkojmë një regjistër të dokumenteve të brendshme organizative dhe administrative (urdhra).	Në këto dokumente, ne kërkojmë dokumente që lidhen me mbrojtjen e informacionit kriptografik. Për ta bërë këtë, analizojmë praninë e fjalëve kyçe "siguri", "personi përgjegjës", "administrator", "nënshkrimi elektronik", "ES", "EDS", "EDO", "ASP", "SKZI" dhe derivatet e tyre. Më pas identifikojmë listën e punonjësve të Bankës të regjistruar në këto dokumente. Ne kryejmë intervista me punonjësit mbi temën e përdorimit të tyre të mjeteve kripto. Ne pasqyrojmë informacionin e marrë në listat e mjeteve të mbrojtjes së informacionit kriptografik, informacionin kryesor dhe dokumentet kryesore.
2	Ne kërkojmë lista të kontratave me palët	Po përpiqemi të identifikojmë marrëveshjet për menaxhimin elektronik të dokumenteve, si dhe marrëveshjet me kompanitë që ofrojnë mjete sigurie informacioni ose ofrojnë shërbime në këtë fushë, si dhe kompani që ofrojnë shërbime të qendrave të certifikimit dhe shërbime për paraqitjen e raporteve nëpërmjet internetit.
3	Ne analizojmë teknologjinë e ruajtjes së dokumenteve të ditës në formë elektronike	Gjatë zbatimit të ruajtjes së dokumenteve të ditës në formë elektronike, kërkohen mjete për mbrojtjen e informacionit kriptografik

Faza 3. Auditimi teknik

№	Veprimi	Rezultati dhe përdorimi i pritshëm
1	Ne kryejmë një inventar teknik të softuerit të instaluar në kompjuter. Për këtë përdorim: · Aftësitë analitike të sistemeve të mbrojtjes antivirus të korporatës (për shembull, Kaspersky Anti-Virus mund të ndërtojë një regjistër të tillë). · Skriptet WMI për kompjuterët e sondazhit me Windows; · Mundësitë e menaxherëve të paketave për sondazhe * nix system; · Softuer i specializuar për inventar.	Midis softuerit të instaluar, ne jemi duke kërkuar për softuerin SKZI, drejtuesit për harduerin SKZI dhe transportuesit kryesorë. Në bazë të informacionit të marrë, ne përditësojmë listën e CIPF-ve.
2	Ne kërkojmë për dokumente kyçe në serverë dhe stacione pune. Për këtë · Logon-scripts anketojnë AWP në domenin për praninë e certifikatave me çelësa privatë në profilet e përdoruesve dhe profilet kompjuterike. Në të gjithë kompjuterët, serverët e skedarëve, hipervizorët, kërkojmë skedarë me ekstensionet: crt, cer, key, pfx, p12, pem, pse, jks, etj. · Në hipervizorët e sistemeve të virtualizimit, ne jemi duke kërkuar për disqe të montuara dhe imazhe diskete.	Shumë shpesh, dokumentet kryesore paraqiten në formën e kontejnerëve të çelësave të skedarëve, si dhe kontejnerëve të ruajtur në regjistrat e kompjuterëve që përdorin Windows. Ne regjistrojmë dokumentet kryesore të gjetura në listën e dokumenteve kryesore, dhe informacionin kryesor që përmbahet në to në listën e informacionit kryesor.
3	Ne analizojmë përmbajtjen e bazave të të dhënave të qendrave të certifikimit	Bazat e të dhënave të autoriteteve të certifikimit zakonisht përmbajnë informacion në lidhje me certifikatat e lëshuara nga këto autoritete. Ne futim informacionin e marrë në listën e informacionit kryesor dhe listën e dokumenteve kryesore.
4	Ne kryejmë një inspektim vizual të dhomave të serverëve dhe dollapëve të instalimeve elektrike, kërkojmë mjetet e mbrojtjes së informacionit kriptografik dhe transportuesit e çelësave të harduerit (tokenat, disqet e diskut)	Në disa raste, është e pamundur të kryhet një inventar i mjeteve të mbrojtjes së informacionit kriptografik dhe dokumenteve kryesore në rrjet. Sistemet mund të jenë në segmente të izoluara të rrjetit ose të mos kenë fare lidhje rrjeti. Për ta bërë këtë, ne kryejmë një inspektim vizual, në rezultatet e të cilit duhet të përcaktohen emrat dhe qëllimi i të gjitha pajisjeve të paraqitura në dhomat e serverit. Ne futim informacionin e marrë në listën e mjeteve të mbrojtjes së informacionit kriptografik dhe dokumenteve kryesore.
5	Ne analizojmë trafikun e rrjetit në mënyrë që të identifikojmë rrjedhat e informacionit duke përdorur shkëmbimin e koduar	Protokollet e koduara - HTTPS, SSH, etj. do të na lejojnë të identifikojmë nyjet e rrjetit në të cilat kryhen transformimet kriptografike, dhe si rezultat, të përmbajnë mjete për mbrojtjen e informacionit kriptografik dhe dokumente kyçe.

konkluzioni

Në këtë artikull, ne shqyrtuam teorinë dhe praktikën e auditimit të mjeteve të mbrojtjes së informacionit kriptografik dhe çelësave kripto. Siç e keni parë, kjo procedurë është mjaft e ndërlikuar dhe kërkon kohë, por nëse trajtohet siç duhet, është mjaft e realizueshme. Shpresojmë që ky artikull t'ju ndihmojë në jetën reale. Faleminderit për vëmendjen tuaj, presim komentet tuaja.

Etiketa: Shto etiketa

Metodat e sigurisë së informacionit kriptografik

Një transformim kriptografik është një transformim informacioni i bazuar në një algoritëm të caktuar që varet nga një parametër i ndryshueshëm (zakonisht i quajtur çelës sekret) dhe ka vetinë e pamundësisë së rikuperimit të informacionit origjinal nga ai i transformuar, pa ditur çelësin efektiv. me një kompleksitet më të vogël se ai i paracaktuar.

Avantazhi kryesor i metodave kriptografike është se ato ofrojnë një forcë të lartë të garantuar mbrojtjeje, e cila mund të llogaritet dhe shprehet në formë numerike (numri mesatar i operacioneve ose koha e nevojshme për të zbuluar informacionin e koduar ose për të llogaritur çelësat).

Disavantazhet kryesore të metodave kriptografike përfshijnë:

Konsumi i konsiderueshëm i burimeve (koha, performanca e procesorit) për kryerjen e transformimeve kriptografike të informacionit;
... vështirësi në ndarjen e informacionit të koduar (të nënshkruar) në lidhje me menaxhimin e çelësave (gjenerimi, shpërndarja, etj.);
... kërkesa të larta për sigurinë e çelësave privatë dhe mbrojtjen e çelësave publikë nga zëvendësimi.

Kriptografia ndahet në dy klasa: kriptografia me çelës simetrik dhe kriptografia me çelës publik.

Kriptografia kryesore simetrike
Në kriptografinë me çelës simetrik (kriptografia klasike), pajtimtarët përdorin të njëjtin çelës (element sekret) si për enkriptimin ashtu edhe për deshifrimin e të dhënave.

Përparësitë e mëposhtme të kriptografisë simetrike të çelësit duhet të theksohen:
... performancë relativisht e lartë e algoritmeve;
... fuqi e lartë kriptografike e algoritmeve për njësi të gjatësisë së çelësit.

Disavantazhet e kriptografisë simetrike të çelësit përfshijnë:
... nevoja për të përdorur një mekanizëm kompleks të shpërndarjes së çelësave;
... vështirësi teknologjike në sigurimin e mosrefuzimit.

Kriptografia e çelësit publik

Për të zgjidhur problemet e shpërndarjes së çelësave dhe nënshkrimit dixhital, u përdorën idetë e asimetrisë së transformimeve dhe shpërndarjes së hapur të çelësave Diffie dhe Hellman. Si rezultat, u krijua kriptografia e çelësit publik, në të cilën përdoret jo një sekret, por një palë çelësa: një çelës publik (publik) dhe një çelës sekret (privat, privat), i njohur vetëm për një palë ndërvepruese. Ndryshe nga një çelës privat, i cili duhet të mbahet sekret, një çelës publik mund të shpërndahet publikisht. Figura 1 tregon dy veti të sistemeve të çelësit publik që mundësojnë gjenerimin e mesazheve të koduara dhe të vërtetuara.

Dy veti të rëndësishme të kriptografisë së çelësit publik

Figura 1 Dy vetitë e kriptografisë së çelësit publik

Skema e enkriptimit të të dhënave duke përdorur një çelës publik është paraqitur në Figurën 6 dhe përbëhet nga dy faza. Në të parën prej tyre, çelësat publikë shkëmbehen përmes një kanali të paklasifikuar. Në këtë rast, është e nevojshme të sigurohet vërtetësia e transmetimit të informacionit kryesor. Në fazën e dytë, në fakt, zbatohet enkriptimi i mesazhit, në të cilin dërguesi e kodon mesazhin me çelësin publik të marrësit.

Skedari i koduar mund të lexohet vetëm nga pronari i çelësit privat, d.m.th. marrësi. Skema e deshifrimit të marrësit përdor çelësin sekret të marrësit për këtë.

Enkriptimi

Figura 2 Skema e enkriptimit në kriptografinë me çelës publik.

Zbatimi i skemës EDS shoqërohet me llogaritjen e një funksioni hash (digest) të të dhënave, i cili është një numër unik i marrë nga të dhënat origjinale duke i ngjeshur (palosur) ato duke përdorur një algoritëm kompleks, por të njohur. Funksioni hash është funksion njëkahësh, d.m.th. vlera hash nuk mund të përdoret për të rikuperuar të dhënat origjinale. Funksioni hash është i ndjeshëm ndaj të gjitha llojeve të korrupsionit të të dhënave. Përveç kësaj, është shumë e vështirë të gjesh dy grupe të dhënash që kanë të njëjtën vlerë hash.

Gjenerimi EDS me hash
Skema për gjenerimin e një nënshkrimi ED nga dërguesi i tij përfshin llogaritjen e funksionit hash ED dhe enkriptimin e kësaj vlere duke përdorur çelësin sekret të dërguesit. Rezultati i kriptimit është vlera e EDS të EDS (atributi EDS), i cili i dërgohet marrësit së bashku me vetë EDS. Në këtë rast, marrësit të mesazhit fillimisht duhet t'i jepet çelësi publik i dërguesit të mesazhit.

Figura 3 Skema EDS në kriptografinë me çelës publik.

Skema e verifikimit (verifikimit) EDS e kryer nga marrësi i mesazhit përbëhet nga fazat e mëposhtme. Në të parën prej tyre, blloku EDS deshifrohet me anë të çelësit publik të dërguesit. Pastaj llogaritet funksioni hash i ED. Rezultati i llogaritjes krahasohet me rezultatin e deshifrimit të bllokut EDS. Në rast të një ndeshjeje, merret një vendim për përputhjen e EDS me ED. Mospërputhja midis rezultatit të deshifrimit dhe rezultatit të llogaritjes së funksionit hash ED mund të shpjegohet nga arsyet e mëposhtme:

Në procesin e transmetimit përmes kanalit të komunikimit, integriteti i ED-it humbi;
... gjatë gjenerimit të EDS, është përdorur çelësi sekret i gabuar (i rremë);
... gjatë kontrollit të EDS, është përdorur çelësi publik i gabuar (në procesin e transmetimit përmes kanalit të komunikimit ose gjatë ruajtjes së tij të mëtejshme, çelësi publik është modifikuar ose ndryshuar).

Zbatimi i algoritmeve kriptografike me çelësa publikë (në krahasim me algoritmet simetrike) kërkon shumë kohë CPU. Prandaj, kriptografia e çelësit publik zakonisht përdoret për të zgjidhur problemet e shpërndarjes së çelësit dhe nënshkrimit dixhital, dhe kriptografia simetrike përdoret për kriptim. Një skemë e njohur e kombinuar e enkriptimit kombinon sigurinë e lartë të kriptosistemeve me çelës publik me përfitimet e shpejtësisë së lartë të kriptosistemeve simetrike. Në këtë skemë, një çelës simetrik (sesioni) i gjeneruar rastësisht përdoret për enkriptim, i cili, nga ana tjetër, kodohet me anë të një kriptosistemi të hapur për transmetimin e tij sekret përmes një kanali në fillim të një sesioni komunikimi.

Metoda e kombinuar

Figura 4 Skema e kombinuar e enkriptimit.

Besimi i çelësit publik dhe certifikatat dixhitale
Çështja qendrore e skemës së shpërndarjes së çelësit publik është çështja e besimit në çelësin publik të marrë të partnerit, i cili mund të modifikohet ose ndryshohet gjatë transmetimit ose ruajtjes.

Për një klasë të gjerë sistemesh praktike (sistemet elektronike të menaxhimit të dokumenteve, sistemet klient-bankë, sistemet e shlyerjeve elektronike ndërbankare), në të cilat është i mundur një takim personal i partnerëve përpara fillimit të shkëmbimit të dokumenteve elektronike, kjo detyrë ka një zgjidhje relativisht të thjeshtë. - certifikimi i ndërsjellë i çelësave publikë.

Kjo procedurë konsiston në faktin se secila palë, në një takim personal, vërteton me nënshkrimin e një personi të autorizuar dhe vulën e një dokumenti në letër - një printim të përmbajtjes së çelësit publik të palës tjetër. Kjo çertifikatë letre është, së pari, detyrimi i palës për të përdorur këtë çelës për të verifikuar nënshkrimin në mesazhet hyrëse dhe, së dyti, jep rëndësinë juridike të ndërveprimit. Në të vërtetë, certifikatat e konsideruara të letrës bëjnë të mundur identifikimin e paqartë të një mashtruesi midis dy partnerëve, nëse njëri prej tyre dëshiron të ndryshojë çelësat.

Kështu, për të zbatuar ndërveprim elektronik të rëndësishëm ligjërisht midis dy palëve, është e nevojshme të lidhet një marrëveshje që parashikon shkëmbimin e certifikatave. Një certifikatë është një dokument që lidh të dhënat personale të pronarit dhe çelësin e tij publik. Në formë letre, ai duhet të përmbajë nënshkrime të shkruara me dorë të personave të autorizuar dhe vula.

Në sistemet ku nuk ekziston mundësia e kontaktit paraprak personal të partnerëve, është e nevojshme të përdoren certifikatat dixhitale të lëshuara dhe të certifikuara nga nënshkrimi dixhital i një ndërmjetësi të besuar - një qendër certifikimi ose certifikimi.

Ndërveprimi i klientëve me Qendrën e Certifikimit
Në fazën paraprake, secili prej partnerëve viziton personalisht Qendrën e Certifikimit (CA) dhe merr një certifikatë personale - një lloj analog elektronik i një pasaporte civile.

Figura 5 Certifikata x.509.

Pas vizitës së AK-së, secili prej partnerëve bëhet pronar i çelësit publik të AK-së. Çelësi publik CA i lejon pronarit të tij të verifikojë vërtetësinë e çelësit publik të partnerit duke vërtetuar EDS-në e autoritetit të certifikimit sipas certifikatës së çelësit publik të partnerit.

Në përputhje me ligjin "Për EDS", një certifikatë dixhitale përmban informacionin e mëposhtëm:

Emri dhe detajet e qendrës kryesore të certifikimit (organi qendror certifikues, qendra certifikuese);
... Vërtetim që certifikata është lëshuar në Ukrainë;
... Numri unik i regjistrimit të certifikatës së çelësit;
... Të dhënat (të dhënat) bazë të pajtimtarit - pronarit të çelësit privat (publik);
... Data dhe ora e fillimit dhe skadimit të certifikatës;
... Çelësi publik;
... Emri i algoritmit kriptografik të përdorur nga pronari i çelësit publik;
... Informacion mbi kufizimin e përdorimit të nënshkrimeve;
... Certifikata e çelësit të përforcuar, përveç të dhënave të detyrueshme që përmban certifikata e çelësit, duhet të ketë shenjën e një certifikate të përforcuar;
... Të dhëna të tjera mund të futen në certifikatën e çelësit të zgjeruar me kërkesë të pronarit të saj.

Kjo certifikatë dixhitale është e nënshkruar me çelësin privat të CA, kështu që çdokush me çelësin publik të CA mund të verifikojë vërtetësinë e tij. Kështu, përdorimi i një certifikate dixhitale supozon skemën e mëposhtme të ndërveprimit elektronik midis partnerëve. Njëri nga partnerët i dërgon tjetrit certifikatën e tij të marrë nga AK dhe një mesazh të nënshkruar me një EDS. Marrësi i mesazhit kryen vërtetimin e certifikatës së kolegëve, i cili përfshin:

Verifikimi i besimit tek lëshuesi i certifikatës dhe periudha e vlefshmërisë së saj;
... verifikimi i EDS-së së emetuesit sipas certifikatës;
... kontrolli i revokimit të certifikatës.

Nëse certifikata e partnerit nuk e ka humbur vlefshmërinë e saj dhe EDS përdoret në marrëdhëniet në të cilat ka rëndësi juridike, çelësi publik i partnerit nxirret nga certifikata. Bazuar në këtë çelës publik, EDS e partnerit mund të verifikohet në një dokument elektronik (ED).
Është e rëndësishme të theksohet se, në përputhje me ligjin "Për EDS", konfirmimi i origjinalitetit të një EDS në një EDS është një rezultat pozitiv i verifikimit nga një mjet përkatës EDS i certifikuar duke përdorur një certifikatë çelësi nënshkrimi.

AK, duke siguruar sigurinë e ndërveprimit ndërmjet partnerëve, kryen funksionet e mëposhtme:

Regjistron çelësat EDS;
... krijon, me kërkesë të përdoruesve, çelësa privatë dhe publikë EDS;
... pezullon dhe rinovon certifikatat kryesore të nënshkrimit, si dhe i revokon ato;
... mban një regjistër të certifikatave kryesore të nënshkrimit, siguron rëndësinë e regjistrit dhe mundësinë e përdoruesve për të hyrë lirisht në regjistër;
... lëshon certifikata të çelësave të nënshkrimit në letër dhe në formën e dokumenteve elektronike me informacion për vlefshmërinë e tyre;
... kryen, me kërkesë të përdoruesve, konfirmimin e origjinalitetit (vlefshmërisë) të nënshkrimit në ED në lidhje me EDS të regjistruar prej tij.

AK krijon kushte për ruajtjen e sigurt të çelësave privatë në pajisje të shtrenjta dhe të mbrojtura mirë, si dhe kushte për administrimin e aksesit në çelësat privatë.

Regjistrimi i çdo nënshkrimi dixhital kryhet në bazë të një aplikacioni që përmban informacionin e kërkuar për lëshimin e një certifikate, si dhe informacionin e nevojshëm për identifikimin e pronarit të nënshkrimit dixhital dhe transmetimin e mesazheve tek ai. Aplikimi nënshkruhet me nënshkrimin me dorë të mbajtësit të EDS, informacioni i përfshirë në të konfirmohet me paraqitjen e dokumenteve përkatëse. Gjatë regjistrimit, kontrollohet veçantia e çelësave publikë EDS në regjistrin dhe arkivin e CA.

Gjatë regjistrimit në AK në letër, lëshohen dy kopje të certifikatës së çelësit të nënshkrimit, të cilat vërtetohen me nënshkrimet e shkruara me dorë të mbajtësit të EDS dhe personit të autorizuar të qendrës së certifikimit (AK) dhe vulën e qendrës së certifikimit. Një kopje i lëshohet mbajtësit të EDS, e dyta mbetet në AK.

Në sistemet reale, çdo partner mund të përdorë certifikata të shumta të lëshuara nga CA të ndryshme. CA të ndryshme mund të kombinohen nga infrastruktura e çelësit publik ose PKI (Infrastruktura e çelësit publik). AK në kuadër të PKI-së ofron jo vetëm ruajtjen e certifikatave, por edhe menaxhimin e tyre (lëshim, revokim, verifikim besimi). Modeli më i zakonshëm i PKI është hierarkik. Avantazhi themelor i këtij modeli është se vërtetimi i certifikatës kërkon vetëm një numër relativisht të vogël të CA-ve rrënjësore për t'u besuar. Në të njëjtën kohë, ky model lejon një numër të ndryshëm të AK-ve që lëshojnë certifikata.

Termat dhe Përkufizimet

Çelësi kriptografik (kriptoçelës)- një grup të dhënash që lejon zgjedhjen e një transformimi specifik kriptografik nga të gjitha të mundshmet në një sistem të caktuar kriptografik (përkufizim nga "udhëzimet rozë - Urdhri i FAPSI Nr. 152, datë 13 qershor 2001, në vijim referuar si FAPSI 152) .
Informacion kyç- një grup i organizuar posaçërisht çelësash kripto të krijuar për të zbatuar mbrojtjen kriptografike të informacionit brenda një periudhe të caktuar [FAPSI 152].
Ju mund të kuptoni ndryshimin themelor midis një çelësi kripto dhe informacionit kryesor duke përdorur shembullin e mëposhtëm. Kur organizohet HTTPS, krijohet një çift çelësash publik dhe privat dhe merret një certifikatë nga çelësi publik dhe informacion shtesë. Pra, në këtë skemë, kombinimi i një certifikate dhe një çelësi privat formojnë informacionin kryesor, dhe secili prej tyre individualisht është një çelës kripto. Këtu mund të udhëhiqeni nga rregulli i thjeshtë i mëposhtëm - përdoruesit fundorë, kur punojnë me mjetet e mbrojtjes së të dhënave kriptografike, përdorin informacionin kryesor, dhe çelësat kripto zakonisht përdorin mjetet e mbrojtjes së të dhënave kriptografike brenda vetes. Në të njëjtën kohë, është e rëndësishme të kuptohet se informacioni kryesor mund të përbëhet nga një çelës kripto.
Dokumentet kryesore- dokumente elektronike në çdo media, si dhe dokumente në media letre që përmbajnë informacion kyç me akses të kufizuar për transformimin kriptografik të informacionit duke përdorur algoritme për transformimin kriptografik të informacionit (çelës kriptografik) në mjete kriptimi (kriptografike). (përkufizim nga Vendimi i Qeverisë nr. 313, datë 16.04.2012, në vijim - PP-313)
Me fjalë të thjeshta, një dokument kyç është informacioni kryesor i regjistruar në një medium. Kur analizoni informacionin kryesor dhe dokumentet kryesore, është e nevojshme të nënvizoni atë që përdoret (d.m.th., përdoret për transformime kriptografike - kriptim, nënshkrim elektronik, etj.) Informacioni kryesor, dhe dokumentet kryesore që e përmbajnë atë u transferohen punonjësve.
Mjetet e mbrojtjes së informacionit kriptografik (CIPF)- mjetet e kriptimit, mjetet e mbrojtjes imituese, mjetet e nënshkrimit elektronik, mjetet e kodimit, mjetet e prodhimit të dokumenteve kyçe, dokumentet kryesore, mjetet e enkriptimit harduer (kriptografik), mjetet softuerike dhe harduerike të enkriptimit (kriptografike). [PP-313]
Kur analizoni këtë përkufizim, mund të gjeni në të praninë e termit dokumente kyçe. Afati është dhënë në Dekretin e Qeverisë dhe ne nuk kemi të drejtë ta ndryshojmë. Në të njëjtën kohë, përshkrimi i mëtejshëm do të bëhet mbi bazën se vetëm mjetet e kryerjes së transformimeve kriptografike do të lidhen me CIPF). Kjo qasje do të thjeshtojë auditimin, por në të njëjtën kohë nuk do të ndikojë në cilësinë e tij, pasi ne ende do të marrim parasysh dokumentet kryesore, por në seksionin tonë dhe duke përdorur metodat tona.

Metodologjia e auditimit dhe rezultatet e pritura

Karakteristikat kryesore të metodologjisë së auditimit të propozuar në këtë artikull janë postulatet që:

asnjë punonjës i vetëm i kompanisë nuk mund t'i përgjigjet me saktësi pyetjeve të bëra gjatë auditimit;
Burimet ekzistuese të të dhënave (listat, regjistrat, etj.) janë të pasakta ose të strukturuara dobët.

Këtu janë varësitë kryesore që do të na ndihmojnë me këtë:

Nëse ekziston një mjet për mbrojtjen e informacionit kriptografik, atëherë ka edhe informacion kyç.
Nëse ka një rrjedhë dokumenti elektronik (përfshirë palët dhe rregullatorët), atëherë ka shumë të ngjarë që ai përdor një nënshkrim elektronik dhe, si rezultat, mjetet e mbrojtjes së informacionit kriptografik dhe informacionin kryesor.
Rrjedha elektronike e dokumenteve në këtë kontekst duhet të kuptohet gjerësisht, domethënë, do të përfshijë si shkëmbimin e drejtpërdrejtë të dokumenteve elektronike me rëndësi ligjore, ashtu edhe paraqitjen e raporteve, si dhe punën në sistemet e pagesave ose tregtimit, e kështu me radhë. Lista dhe format e menaxhimit të dokumenteve elektronike përcaktohen nga proceset e biznesit të kompanisë, si dhe nga legjislacioni aktual.
Nëse një punonjës është i përfshirë në menaxhimin e dokumenteve elektronike, atëherë ka shumë të ngjarë që ai ka dokumente kryesore.
Kur organizoni rrjedhën elektronike të dokumenteve me palët, zakonisht lëshohen dokumente (urdhra) organizative dhe administrative për emërimin e personave përgjegjës.
Nëse informacioni transmetohet përmes Internetit (ose rrjeteve të tjera publike), atëherë ka shumë të ngjarë që ai është i koduar. Kjo vlen kryesisht për VPN dhe sisteme të ndryshme të aksesit në distancë.
Nëse në trafikun e rrjetit gjenden protokolle që transmetojnë trafikun në një formë të koduar, atëherë përdoren mjetet e mbrojtjes së informacionit kriptografik dhe informacioni kryesor.
Nëse do të bëheshin marrëveshje me palët e angazhuara në: furnizimin e produkteve të sigurisë së informacionit, pajisjeve të telekomunikacionit, ofrimin e shërbimeve për transferimin e fryrjes, shërbimet e qendrave të certifikimit, atëherë me këtë ndërveprim mund të bliheshin mjete për mbrojtjen e informacionit kriptografik ose dokumente kyçe.
Dokumentet kryesore mund të jenë ose në media të huaja (disketa, disqe flash, argumente, ...), ose të regjistruara brenda kompjuterëve dhe mjeteve të sigurisë së informacionit kriptografik të harduerit.
Kur përdorni mjete virtualizimi, dokumentet kryesore mund të ruhen si brenda makinave virtuale, ashtu edhe të montohen në makina virtuale duke përdorur një hipervizor.
Mjetet e mbrojtjes së informacionit kriptografik të harduerit mund të instalohen në dhomat e serverëve dhe të mos jenë të disponueshëm për analiza në rrjet.
Disa sisteme elektronike të menaxhimit të dokumenteve mund të jenë joaktive ose joaktive, por në të njëjtën kohë përmbajnë informacion kyç aktiv dhe mjete për mbrojtjen e informacionit kriptografik.
Dokumentacioni i brendshëm rregullator, organizativ dhe administrativ mund të përmbajë informacion në lidhje me sistemet e menaxhimit të dokumenteve elektronike, CIPF dhe dokumentet kryesore.

Për nxjerrjen e informacionit parësor, ne do të:

interviston punonjësit;
të analizojë dokumentacionin e kompanisë, duke përfshirë dokumentet e brendshme rregullatore dhe administrative, si dhe urdhërpagesat dalëse;
të kryejë një analizë vizuale të dhomave të serverëve dhe kabineteve të komunikimit;
kryerja e analizave teknike të përmbajtjes së stacioneve të automatizuara të punës (AWS), serverëve dhe mjeteve të virtualizimit.

Ne do të formulojmë masa specifike më vonë, por tani për tani do të shqyrtojmë të dhënat përfundimtare që duhet të marrim si rezultat i auditimit:

Lista e SKZI:

Modeli CIPF... Për shembull, CIPF Crypto CSP 3.9, ose OpenSSL 1.0.1
Identifikuesi i shembullit CIPF... Për shembull, numri serial, licenca (ose regjistrimi sipas PKZ-2005) SKZI
Informacion në lidhje me certifikatën e FSB të Rusisë për CIPF, duke përfshirë numrin dhe datat e fillimit dhe mbarimit të vlefshmërisë.
Informacion në lidhje me vendin e funksionimit të SKZI... Për shembull, emri i kompjuterit në të cilin është instaluar softueri SKZI, ose emri i mjeteve teknike ose ambienteve ku është instaluar hardueri SKZI.

Ky informacion do të lejojë:

Menaxhoni dobësitë në sistemet e mbrojtjes së informacionit kriptografik, domethënë zbuloni dhe rregulloni shpejt ato.
Monitoroni periudhën e vlefshmërisë së certifikatave për mjetet e mbrojtjes së informacionit kriptografik, si dhe kontrolloni nëse një mjet i certifikuar i mbrojtjes së informacionit kriptografik përdoret në përputhje me rregullat e përcaktuara nga dokumentacioni apo jo.
Planifikoni koston e mbrojtjes së informacionit kriptografik, duke ditur se sa është tashmë në funksion dhe sa më shumë fonde të konsoliduara janë në dispozicion.
Gjeneroni raportim rregullator.

Lista e informacionit kryesor:

Për secilin element të listës, ne regjistrojmë të dhënat e mëposhtme:

Emri ose identifikuesi i informacionit kyç... Për shembull, "Çelësi ES i kualifikuar. Numri serial i certifikatës është 31: 2D: AF ", dhe identifikuesi duhet të zgjidhet në atë mënyrë që të jetë e mundur të gjendet çelësi me të. Për shembull, autoritetet e certifikimit, kur dërgojnë njoftime, zakonisht identifikojnë çelësat me numrat e certifikatës.
Qendra kryesore e kontrollit të sistemit (CMC) lëshuesi i këtij informacioni kyç. Kjo mund të jetë organizata që ka lëshuar çelësin, për shembull, një autoritet certifikimi.
Individual, në emër të të cilit është lëshuar informacioni kyç. Ky informacion mund të merret nga fushat CN të certifikatave X.509
Formati kryesor i informacionit... Për shembull, CryptoPRO CIPF, Verba-OW CIPF, X.509, etj. (ose me fjalë të tjera, për përdorim me të cilin CIPF synohet ky informacion kyç).
Caktimi i informacionit kryesor... Për shembull, "Pjesëmarrja në ankande në faqen e Sberbank AST", "Nënshkrimi elektronik i kualifikuar për paraqitjen e raporteve", etj. Nga pikëpamja teknike, në këtë fushë, mund të rregulloni kufizimet e fiksuara nga fushat e zgjeruara të përdorimit të çelësit dhe certifikatat e tjera X.509.
Fillimi dhe mbarimi i vlefshmërisë së informacionit kyç.
Procedura e ribotimit të informacionit kyç... Kjo do të thotë, njohuri se çfarë të bëni dhe si të ribotoni informacionin kryesor. Së paku, këshillohet që të regjistrohen kontaktet e zyrtarëve të QKM-së që kanë dhënë informacionin kyç.
Lista e sistemeve të informacionit, shërbimeve ose proceseve të biznesit brenda të cilave përdoret informacioni kryesor... Për shembull, "Sistemi i shërbimeve bankare në distancë Internet Client-Bank".

Ky informacion do të lejojë:

Ndiqni datat e skadimit të informacionit kryesor.
Ribotoni shpejt informacionin kryesor nëse është e nevojshme. Kjo mund të jetë e nevojshme si për ribotimet e planifikuara ashtu edhe për ato të paplanifikuara.
Blloko përdorimin e informacionit kyç, pas shkarkimit të një punonjësi, të cilit i është dhënë.
Hetoni incidentet e sigurisë së informacionit duke iu përgjigjur pyetjeve: "Kush i kishte çelësat për të bërë pagesat?" dhe etj.

Lista e dokumenteve kryesore:

Për secilin element të listës, ne regjistrojmë të dhënat e mëposhtme:

Informacion kyç të përfshira në dokumentin kyç.
Transportuesi kryesor i informacionit, në të cilën regjistrohet informacioni kryesor.
Fytyra përgjegjës për sigurinë e dokumentit kyç dhe konfidencialitetin e informacionit kyç që përmbahet në të.

Ky informacion do të lejojë:

Rilëshimi i informacionit kyç në rastet e: largimit nga puna të punonjësve që kanë dokumente kyçe, si dhe në rast kompromisi të medias.
Siguroni konfidencialitetin e informacionit kryesor duke bërë një inventar të transportuesve që e përmbajnë atë.

Plani i auditimit

Faza 1. Mbledhja e të dhënave nga departamentet e infrastrukturës së kompanisë

№	Veprimi
Burimi - të gjithë punonjësit e kompanisë
1	Ne dërgojmë një postë të korporatës për të gjithë punonjësit e kompanisë me një kërkesë për të informuar shërbimin e sigurisë së informacionit për të gjithë çelësat kriptografikë që ata përdorin	Ne marrim email, në bazë të të cilave formojmë një listë të informacioneve kryesore dhe një listë të dokumenteve kryesore
Burimi - Shef i Shërbimit të Teknologjisë së Informacionit
1	Ne kërkojmë një listë të informacioneve kryesore dhe dokumenteve kryesore	Me njëfarë probabiliteti, Shërbimi i IT-së i ruan dokumente të tilla, ne do t'i përdorim ato për të formuar dhe sqaruar listat e informacionit kryesor, dokumentet kryesore dhe mjetet e mbrojtjes së informacionit kriptografik
2	Kërkimi i një liste të burimeve të informacionit kriptografik
3	Kërkojmë regjistrin e softuerit të instaluar në serverë dhe stacione pune	Në këtë regjistër, ne jemi duke kërkuar për mjete kriptografike softuerike dhe përbërësit e tyre. Për shembull, CryptoPRO CSP, Verba-OW, Signal-COM CSP, Signature, PGP, ruToken, eToken, KritoARM, etj. Mbi bazën e këtyre të dhënave, ne formojmë një listë të mjeteve të mbrojtjes së informacionit kriptografik.
4	Ne kërkojmë një listë të punonjësve (ndoshta mbështetje teknike) që ndihmojnë përdoruesit të përdorin mjetet e mbrojtjes së informacionit kriptografik dhe të rishfaqin informacionin kryesor.	Ne u kërkojmë këtyre personave të njëjtin informacion si administratorët e sistemit
Burimi - Administratorët e Sistemit të Shërbimit të Teknologjisë së Informacionit
1	Ne kërkojmë një listë të portave të brendshme të kriptove (VIPNET, Kontinenti, S-terra, etj.)	Në rastet kur kompania nuk zbaton procese të rregullta biznesi të menaxhimit të TI-së dhe sigurisë së informacionit, pyetje të tilla mund t'i ndihmojnë administratorët e sistemit të kujtojnë ekzistencën e një pajisjeje ose softueri të caktuar. Ne e përdorim këtë informacion për të marrë një listë të mjeteve të mbrojtjes së informacionit kriptografik.
2	Ne po kërkojmë një listë të mjeteve kriptografike të softuerit vendas (mjetet e mbrojtjes së informacionit kriptografik MagPro CryptoPacket, VIPNET CSP, CryptonDisk, SecretDisk, ...)
3	Ne kërkojmë një listë të ruterave që zbatojnë VPN për: a) komunikimet ndërmjet zyrave të shoqërisë; b) ndërveprimin me kontraktorët dhe partnerët.
4	Ne kërkojmë një listë të shërbimeve të informacionit të publikuara në internet (të aksesueshme nga Interneti). Ato mund të përfshijnë: a) emaili i korporatës; b) sistemet e mesazheve të çastit; c) faqet e internetit të korporatave; d) shërbimet për shkëmbimin e informacionit me partnerët dhe kontraktorët (ekstranet); e) sistemet bankare në distancë (nëse shoqëria është Bankë); f) sistemet e aksesit në distancë në rrjetin e shoqërisë. Për të kontrolluar plotësinë e informacionit të dhënë, ne e kontrollojmë atë në përputhje me listën e rregullave të Portforwarding për muret e zjarrit kufitar.	Duke analizuar informacionin e marrë, me një probabilitet të lartë, mund të gjeni përdorimin e mjeteve të mbrojtjes së informacionit kriptografik dhe çelësave kripto. Ne përdorim të dhënat e marra për të formuar një listë të mjeteve të mbrojtjes së informacionit kriptografik dhe informacionit kryesor.
5	Ne kërkojmë një listë të sistemeve të informacionit të përdorura për raportim (Taxcom, Kontur, etj.)	Këto sisteme përdorin çelësat e një nënshkrimi elektronik të kualifikuar dhe SKZI. Nëpërmjet kësaj liste, ne formojmë një listë të mjeteve të mbrojtjes së të dhënave kriptografike, një listë të informacioneve kryesore dhe gjithashtu zbulojmë punonjësit që përdorin këto sisteme për të formuar një listë të dokumenteve kryesore.
6	Ne kërkojmë një listë të sistemeve të brendshme të menaxhimit të dokumenteve elektronike (Lotus, DIRECTUM, 1C: Menaxhimi i dokumenteve, etj.), si dhe një listë të përdoruesve të tyre.	Në kuadrin e sistemeve të brendshme të menaxhimit të dokumenteve elektronike, mund të hasen çelësa të nënshkrimit elektronik. Bazuar në informacionin e marrë, ne formojmë një listë të informacioneve kryesore dhe një listë të dokumenteve kryesore.
7	Ne kërkojmë një listë të qendrave të brendshme të certifikimit.	Fondet e përdorura për organizimin e qendrave të certifikimit regjistrohen në listën e mjeteve të mbrojtjes së informacionit kriptografik. Në të ardhmen, ne do të analizojmë përmbajtjen e bazave të të dhënave të qendrave të certifikimit për të identifikuar informacionin kryesor.
8	Ne kërkojmë informacion në lidhje me përdorimin e teknologjive: IEEE 802.1x, WiFiWPA2 Enterprise dhe sistemet e mbikëqyrjes video IP	Në rastin e përdorimit të këtyre teknologjive, ne mund të gjejmë dokumente kyçe në pajisjet e përfshira.
Burimi - Shefi i Burimeve Njerëzore
1	Ju lutemi përshkruani procesin e punësimit dhe shkarkimit të punonjësve. Ne fokusohemi në pyetjen se kush i merr dokumentet kryesore nga largimi i punëtorëve	Ne analizojmë dokumentet (fletët e anashkalimit) për praninë e sistemeve të informacionit në të cilat mund të përdoret sistemi i mbrojtjes së informacionit kriptografik.

Faza 2. Mbledhja e të dhënave nga njësitë e biznesit të kompanisë (në shembullin e Bankës)

№	Veprimi	Rezultati dhe përdorimi i pritshëm
Burimi - Shefi i Shërbimit të Zgjidhjes (Marrëdhëniet me Korrespondencën)
1	Ju lutemi jepni një skemë për organizimin e ndërveprimit me sistemin e pagesave të Bankës së Rusisë. Në veçanti, kjo do të jetë e rëndësishme për bankat që kanë një rrjet të zhvilluar të degëve, në të cilat degët mund të lidhin Bankën Qendrore me sistemin e pagesave drejtpërdrejt.	Bazuar në të dhënat e marra, ne përcaktojmë vendndodhjen e portave të pagesave (AWP KBR, UTA) dhe listën e përdoruesve të përfshirë. Ne përdorim informacionin e marrë për të formuar një listë të mjeteve të mbrojtjes së informacionit kriptografik, informacionit kryesor dhe dokumenteve kryesore.
2	Ne kërkojmë një listë të bankave me të cilat janë krijuar marrëdhënie të drejtpërdrejta korrespondente dhe gjithashtu kërkojmë të tregojmë se kush është i përfshirë në kryerjen e transfertave dhe çfarë mjetesh teknike përdoren.
3	Ne kërkojmë një listë të sistemeve të pagesave në të cilat Banka merr pjesë (SWIFT, VISA, MasterCard, NSPK, etj.), si dhe vendndodhjen e terminaleve për komunikim.	E njëjta gjë si për sistemin e pagesave të Bankës së Rusisë
Burimi - Përgjegjës i Divizionit përgjegjës për ofrimin e shërbimeve bankare në distancë
1	Ne po kërkojmë një listë të sistemeve bankare në distancë.	Në këto sisteme, ne analizojmë përdorimin e mjeteve të mbrojtjes së informacionit kriptografik dhe informacionit kryesor. Bazuar në të dhënat e marra, ne formojmë një listë të mjeteve të mbrojtjes së informacionit kriptografik dhe informacionit kryesor dhe dokumenteve kryesore.
Burimi - Përgjegjës i departamentit përgjegjës për funksionimin e përpunimit të kartave të pagesave
1	Pyetni regjistrin HSM	Bazuar në informacionin e marrë, ne formojmë një listë të mjeteve të mbrojtjes së informacionit kriptografik, informacionit kryesor dhe dokumenteve kryesore.
2	Duke kërkuar listën e oficerëve të sigurisë
4	Kërkimi i informacionit rreth komponentëve LMK HSM
5	Ne kërkojmë informacion në lidhje me organizimin e sistemeve të tilla si 3D-Secure dhe organizimin e personalizimit të kartave të pagesave
Burimi - Drejtuesit e departamenteve që kryejnë funksione të thesarit dhe depozitimit
1	Lista e bankave me të cilat janë krijuar marrëdhënie korrespondente dhe të cilat marrin pjesë në kreditimin ndërbankar.	Ne përdorim informacionin e marrë për të sqaruar të dhënat e marra më parë nga shërbimi i shlyerjes, si dhe për të regjistruar informacione në lidhje me ndërveprimin me shkëmbimet dhe depozituesit. Bazuar në informacionin e marrë, ne formojmë një listë të mjeteve të mbrojtjes së informacionit kriptografik dhe informacionit kryesor.
2	Lista e bursave dhe depozituesve të specializuar me të cilët punon Banka
Burimi - Drejtuesit e shërbimeve të monitorimit financiar dhe departamenteve përgjegjës për paraqitjen e raporteve në Bankën e Rusisë
1	Ne kërkojmë informacion se si ata dërgojnë informacion dhe marrin informacion nga Banka Qendrore. Lista e personave të përfshirë dhe mjeteve teknike.	Ndërveprimi i informacionit me Bankën e Rusisë rregullohet rreptësisht nga dokumentet përkatëse, për shembull, 2332-U, 321-I dhe shumë të tjerë, ne kontrollojmë përputhjen me këto dokumente dhe formojmë listat e mjeteve të mbrojtjes së informacionit kriptografik, informacionin kryesor dhe dokumentet kryesore.
Burimi - Kryekontabilist dhe kontabilistë që paguajnë fatura për nevojat e brendshme të bankës
1	Kërkojmë informacion mbi mënyrën e përgatitjes dhe paraqitjes së raporteve pranë inspektorateve tatimore dhe Bankës së Rusisë	Ne sqarojmë informacionin e marrë më parë
2	Ne kërkojmë një regjistër të dokumenteve të pagesave për të paguar për nevojat e brendshme të bankës	Në këtë regjistër, ne do të kërkojmë dokumente ku: 1) Qendrat e certifikimit, operatorët e specializuar të telekomit, prodhuesit e mjeteve të mbrojtjes së informacionit kriptografik, furnizuesit e pajisjeve të telekomunikacionit tregohen si marrës të pagesave. Emrat e këtyre kompanive mund të merren nga Regjistri i sistemeve të certifikuara të mbrojtjes së informacionit kriptografik të FSB të Rusisë, lista e qendrave të certifikimit të akredituar të Ministrisë së Telekomit dhe Komunikimeve Massive dhe burime të tjera. 2) si deshifrim i pagesës janë të pranishme fjalët: "CIPF", "nënshkrim", "token", "çelës", "BKI" etj.
Burimi - Drejtuesit e borxheve të prapambetura dhe menaxhimit të rrezikut
1	Ne kërkojmë një listë të zyrave të kreditit dhe agjencive të grumbullimit me të cilat punon Banka.	Së bashku me shërbimin e IT, analizojmë të dhënat e marra për të sqaruar organizimin e menaxhimit të dokumenteve elektronike, mbi bazën e të cilave sqarojmë listat e mjeteve të mbrojtjes së informacionit kriptografik, informacionin kryesor dhe dokumentet kryesore.
Burimi - Drejtuesit e Shërbimeve të Menaxhimit të Dokumenteve, Kontrollit të Brendshëm dhe Auditimit të Brendshëm
1	Ne kërkojmë një regjistër të dokumenteve të brendshme organizative dhe administrative (urdhra).	Në këto dokumente, ne kërkojmë dokumente që lidhen me mbrojtjen e informacionit kriptografik. Për ta bërë këtë, analizojmë praninë e fjalëve kyçe "siguri", "personi përgjegjës", "administrator", "nënshkrimi elektronik", "ES", "EDS", "EDO", "ASP", "SKZI" dhe derivatet e tyre. Më pas identifikojmë listën e punonjësve të Bankës të regjistruar në këto dokumente. Ne kryejmë intervista me punonjësit mbi temën e përdorimit të tyre të mjeteve kripto. Ne pasqyrojmë informacionin e marrë në listat e mjeteve të mbrojtjes së informacionit kriptografik, informacionin kryesor dhe dokumentet kryesore.
2	Ne kërkojmë lista të kontratave me palët	Po përpiqemi të identifikojmë marrëveshjet për menaxhimin elektronik të dokumenteve, si dhe marrëveshjet me kompanitë që ofrojnë mjete sigurie informacioni ose ofrojnë shërbime në këtë fushë, si dhe kompani që ofrojnë shërbime të qendrave të certifikimit dhe shërbime për paraqitjen e raporteve nëpërmjet internetit.
3	Ne analizojmë teknologjinë e ruajtjes së dokumenteve të ditës në formë elektronike	Gjatë zbatimit të ruajtjes së dokumenteve të ditës në formë elektronike, kërkohen mjete për mbrojtjen e informacionit kriptografik

Faza 3. Auditimi teknik

№	Veprimi	Rezultati dhe përdorimi i pritshëm
1	Ne kryejmë një inventar teknik të softuerit të instaluar në kompjuter. Për këtë përdorim: · Aftësitë analitike të sistemeve të mbrojtjes antivirus të korporatës (për shembull, Kaspersky Anti-Virus mund të ndërtojë një regjistër të tillë). · Skriptet WMI për kompjuterët e sondazhit me Windows; · Mundësitë e menaxherëve të paketave për sondazhe * nix system; · Softuer i specializuar për inventar.	Midis softuerit të instaluar, ne jemi duke kërkuar për softuerin SKZI, drejtuesit për harduerin SKZI dhe transportuesit kryesorë. Në bazë të informacionit të marrë, ne përditësojmë listën e CIPF-ve.
2	Ne kërkojmë për dokumente kyçe në serverë dhe stacione pune. Për këtë · Logon-scripts anketojnë AWP në domenin për praninë e certifikatave me çelësa privatë në profilet e përdoruesve dhe profilet kompjuterike. Në të gjithë kompjuterët, serverët e skedarëve, hipervizorët, kërkojmë skedarë me ekstensionet: crt, cer, key, pfx, p12, pem, pse, jks, etj. · Në hipervizorët e sistemeve të virtualizimit, ne jemi duke kërkuar për disqe të montuara dhe imazhe diskete.	Shumë shpesh, dokumentet kryesore paraqiten në formën e kontejnerëve të çelësave të skedarëve, si dhe kontejnerëve të ruajtur në regjistrat e kompjuterëve që përdorin Windows. Ne regjistrojmë dokumentet kryesore të gjetura në listën e dokumenteve kryesore, dhe informacionin kryesor që përmbahet në to në listën e informacionit kryesor.
3	Ne analizojmë përmbajtjen e bazave të të dhënave të qendrave të certifikimit	Bazat e të dhënave të autoriteteve të certifikimit zakonisht përmbajnë informacion në lidhje me certifikatat e lëshuara nga këto autoritete. Ne futim informacionin e marrë në listën e informacionit kryesor dhe listën e dokumenteve kryesore.
4	Ne kryejmë një inspektim vizual të dhomave të serverëve dhe dollapëve të instalimeve elektrike, kërkojmë mjetet e mbrojtjes së informacionit kriptografik dhe transportuesit e çelësave të harduerit (tokenat, disqet e diskut)	Në disa raste, është e pamundur të kryhet një inventar i mjeteve të mbrojtjes së informacionit kriptografik dhe dokumenteve kryesore në rrjet. Sistemet mund të jenë në segmente të izoluara të rrjetit ose të mos kenë fare lidhje rrjeti. Për ta bërë këtë, ne kryejmë një inspektim vizual, në rezultatet e të cilit duhet të përcaktohen emrat dhe qëllimi i të gjitha pajisjeve të paraqitura në dhomat e serverit. Ne futim informacionin e marrë në listën e mjeteve të mbrojtjes së informacionit kriptografik dhe dokumenteve kryesore.
5	Ne analizojmë trafikun e rrjetit në mënyrë që të identifikojmë rrjedhat e informacionit duke përdorur shkëmbimin e koduar	Protokollet e koduara - HTTPS, SSH, etj. do të na lejojnë të identifikojmë nyjet e rrjetit në të cilat kryhen transformimet kriptografike, dhe si rezultat, të përmbajnë mjete për mbrojtjen e informacionit kriptografik dhe dokumente kyçe.

konkluzioni

Etiketa:

skzy
kriptografia
nënshkrim elektronik
auditimit
menaxhimi

Shto etiketa

Çfarë i referohet mjeteve të sigurisë së informacionit kriptografik. (skzi) mjetet e mbrojtjes kriptografike të informacionit

Metodat e përdorura në sistemet e mbrojtjes së informacionit kriptografik

Mekanizmat CIPF për mbrojtjen e informacionit

Kërkesat për përdorimin e CIPF

Klasat e mbrojtjes

Algoritmet e përdorura

Nënshkrimi elektronik

Llojet e nënshkrimit elektronik

Fusha e përdorimit të nënshkrimit elektronik

Algoritmet e nënshkrimit elektronik

Termat dhe Përkufizimet

Metodologjia e auditimit dhe rezultatet e pritura

Plani i auditimit

konkluzioni

Termat dhe Përkufizimet

Metodologjia e auditimit dhe rezultatet e pritura

Plani i auditimit

konkluzioni

Artikujt kryesorë të lidhur