Главная

Документы

ГОСТ Р ИСО/МЭК 27033-4-2021 Информационные технологии (ИТ). Методы и средства обеспечения безопасности. Безопасность сетей. Часть 4. Обеспечение безопасности межсетевого взаимодействия с использованием шлюзов безопасности

Картотека документов

Электронный фонд правовой
и нормативно-технической документации

ГОСТ Р ИСО/МЭК 27033-4-2021 Информационные технологии (ИТ). Методы и средства обеспечения безопасности. Безопасность сетей. Часть 4. Обеспечение безопасности межсетевого взаимодействия с использованием шлюзов безопасности

ГОСТ Р ИСО/МЭК 27033-4-2021

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

Информационные технологии

МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ

Безопасность сетей

Часть 4

Обеспечение безопасности межсетевого взаимодействия с использованием шлюзов безопасности

Information technology. Security techniques. Network security. Part 4. Securing communications between networks using security gateways

ОКС 35.040

Дата введения 2021-11-30

Предисловие

1 ПОДГОТОВЛЕН Федеральным государственным учреждением "Федеральный исследовательский центр "Информатика и управление" Российской академии наук" (ФИЦ ИУ РАН), Акционерным обществом "Научно-технический и сертификационный центр по комплексной защите информации" (АО Центр "Атомзащитаинформ") ГК "Росатом" и Обществом с ограниченной ответственностью "Информационно-аналитический вычислительный центр" (ООО "ИАВЦ") на основе собственного перевода на русский язык англоязычной версии стандарта, указанного в пункте 4

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 022 "Информационные технологии"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 19 мая 2021 г. N 391-ст

4 Настоящий стандарт идентичен международному стандарту ИСО/МЭК 27033-4:2014* "Информационные технологии. Методы и средства обеспечения безопасности. Безопасность сетей. Часть 4. Обеспечение безопасности межсетевого взаимодействия с использованием шлюзов безопасности" (ISO/IEC 27033-4:2014 "Information technology - Security techniques - Network security - Part 4: Securing communications between networks using security gateways", IDT).

________________

* Доступ к международным и зарубежным документам, упомянутым в тексте, можно получить, обратившись в Службу поддержки пользователей. - Примечание изготовителя базы данных.

ИСО/МЭК 27033-4 разработан подкомитетом ПК 27 "Методы и средства обеспечения безопасности ИТ" Совместного технического комитета СТК 1 "Информационные технологии" Международной организации по стандартизации (ИСО) и Международной электротехнической комиссии (МЭК).

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты, сведения о которых приведены в дополнительном приложении ДА.

Дополнительные сноски в тексте стандарта, выделенные курсивом, приведены для пояснения текста оригинала

5 ВВЕДЕН ВПЕРВЫЕ

6 Некоторые положения международного стандарта, указанного в пункте 4, могут являться объектом патентных прав. Международная организация по стандартизации (ИСО) и Международная электротехническая комиссия (МЭК) не несут ответственности за идентификацию подобных патентных прав

Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

Введение

Большинство как коммерческих, так и государственных организаций владеют информационными системами, соединенными сетями, причем сетевые соединения могут быть одним или несколькими вариантами из следующих:

- внутри организации;

- между разными организациями;

- между организацией и общедоступными сетями.

Кроме того, в связи с быстрым развитием общедоступных сетевых технологий (в частности, сети Интернет), предоставляющих широкие возможности для бизнеса, организации все чаще ведут электронный бизнес в глобальном масштабе и предоставляют общедоступные онлайн-услуги. Такие возможности включают в себя различные услуги - от простой поддержки более дешевой передачи данных с использованием сети Интернет в качестве глобальной среды связи до более сложных услуг, предоставляемых поставщиками Интернет-услуг (ISP). Это может означать использование как недорогих локальных точек подключения на каждом конце канала, так и полнофункциональных систем электронной онлайн-торговли и предоставления услуг с использованием веб-приложений и услуг. Также новые технологии (включая интеграцию данных, голоса и видео) расширяют возможности удаленной работы. Работники, работающие в режиме удаленного доступа, могут обеспечить связь путем применения средств удаленного доступа к сетям организаций и сообществ, а также к соответствующей информации и сервисам поддержки бизнеса.

Эта среда действительно обеспечивает бизнесу значительные преимущества, но также порождает необходимость управлять новыми угрозами безопасности. Поскольку для ведения бизнеса организации в значительной степени полагаются на использование информации и соответствующих сетей, потеря конфиденциальности, целостности и доступности информации и услуг может оказать существенное неблагоприятное воздействие на бизнес-процессы. Таким образом, существует большая потребность в надлежащей защите сетей и связанных с ними информационных систем и информации. Другими словами, реализация и поддержание адекватной безопасности сетей имеет решающее значение для успеха бизнес-процессов каждой организации.

В этом контексте отрасли телекоммуникаций и информационных технологий стремятся к экономически эффективным комплексным решениям обеспечения безопасности, предназначенным для защиты сетей от целевых атак и непреднамеренных ошибочных действий, тем самым удовлетворяя бизнес-требования по обеспечению конфиденциальности, целостности и доступности информации и услуг. Защита сети важна и для точного выставления счетов за использование сетей. Возможности защиты в продуктах имеют решающее значение для общей безопасности сети (включая приложения и услуги). Однако по мере того, как все больше продуктов объединяется для создания комплексных решений, их способность к взаимодействию или ее отсутствие будут определять успех этого решения. Безопасность должна быть не только предметом рассмотрения для каждого продукта или услуги, но и должна разрабатываться таким образом, чтобы способствовать объединению возможностей защиты в общее решение обеспечения безопасности.

Цель настоящего стандарта заключается в том, чтобы предоставить руководство по идентификации и анализу угроз безопасности сетей, связанных со шлюзами безопасности, определить требования по обеспечению безопасности сетей для шлюзов безопасности на основе анализа угроз, представить методы разработки для создания сетевой архитектуры технической безопасности для устранения угроз и решения вопросов управления для типовых схем построения сетей, а также для решения проблем, связанных с внедрением, эксплуатацией, мониторингом и проверкой мер обеспечения информационной безопасности (ИБ) с помощью шлюзов безопасности.

Следует подчеркнуть, что настоящий стандарт может быть использован всем персоналом, который участвует в детальном планировании, проектировании и внедрении шлюзов безопасности (например, архитекторов и проектировщиков сетей, администраторов сетей и сотрудников службы безопасности сетей).

________________

Положения настоящего стандарта должны рассматриваться с учетом требований национальных нормативных правовых актов и стандартов Российской Федерации в области защиты информации.

1 Область применения

В настоящем стандарте содержится руководство по обеспечению безопасности межсетевого взаимодействия с использованием шлюзов безопасности (межсетевых экранов, межсетевых экранов уровня приложений, систем предотвращения вторжений и т.д.) в соответствии с документированной политикой информационной безопасности (ИБ) для шлюзов безопасности, включающее в себя:

a) выявление и анализ угроз безопасности сети, связанных со шлюзами безопасности;

Доступ к полной версии документа ограничен

Название документа

Номер документа

ИСО/МЭК 27033-4-2021

Вид документа

Нормативно-технический документ

Принявший орган

Применяется с 30.11.2021

Классификация ОКС

35 Информационные технологии 35.040 Кодирование информации

Статус

Скрыто

Дата принятия

Скрыто

Дата начала действия

Скрыто

Документ «ГОСТ Р ИСО МЭК 27033 4 2021» посвящён вопросам обеспечения безопасности сетевого взаимодействия с использованием шлюзов безопасности. Он является частью серии стандартов, направленных на создание эффективных методов защиты информационных технологий и сетевых систем. Основное назначение данного документа заключается в установлении требований и рекомендаций по проектированию, внедрению и эксплуатации шлюзов безопасности, которые обеспечивают защиту данных при межсетевом взаимодействии.

Сфера применения стандарта охватывает различные области, включая корпоративные сети, государственные учреждения и организации, работающие с конфиденциальной информацией. Ключевые регламентируемые аспекты включают методы оценки безопасности, параметры, касающиеся конфиденциальности и целостности данных, а также процедуры тестирования и верификации функциональности шлюзов безопасности. Это позволяет организациям формировать надёжные механизмы защиты информации при обмене данными через сети.

Документ также описывает важные технические детали, такие как условия испытаний, классификации шлюзов безопасности и измеряемые величины, относящиеся к их производительности и устойчивости к атакам. В частности, рассматриваются методы оценки уязвимостей и способы их устранения, что позволяет повысить общую безопасность сетевой инфраструктуры. Эти аспекты критически важны для обеспечения защиты от различных киберугроз.

Целевая аудитория стандарта включает производителей оборудования, проектировщиков и разработчиков программного обеспечения, а также лаборатории и контролирующие органы, занимающиеся сертификацией средств защиты информации. Стандарт служит основой для разработки новых решений в области сетевой безопасности и помогает обеспечить соответствие современным требованиям к защите данных.

Практическое значение стандарта заключается в его влиянии на безопасность информационных систем, качество предоставляемых услуг и совместимость различных решений в области сетевой безопасности. Внедрение рекомендаций ГОСТ Р ИСО МЭК 27033 4 2021 способствует снижению рисков утечки информации и повышению доверия пользователей к системам, работающим с конфиденциальными данными. Кроме того, в документе могут содержаться изменения и дополнения, касающиеся актуализации требований в соответствии с развивающимися угрозами и технологическими новшествами в области информационной безопасности.

Описание документа носит справочный характер, достоверность этого материала не гарантируется.