Оценка - Форум по вопросам информационной безопасности

В чем разница между оценкой защищенности автоматизированной системы от оценки комплекса средств защиты информации автоматизированной системы?

"Оценка комплекса" - просто неграмотная формулировка. Комплекс не может оцениваться, может оцениваться какая-то его характеристика (стоимость, уровень защищенности, соовтетствие и т.п.).

"Оценка защищенности" - сокращенный вариант "оценки уровня защищенности". В новой редакции ГОСТ 50922, до сих пор не принятой, предлагалось ввести понятие "уровень защищенности" как характеристику информационно системы, и эта характеристика может оцениваться.

По моему под "оценкой защищенности автоматизированной системы" - понимается проверка соответствия АС требованиям какого-то нормативного документа...

а фраза "оценка уровня защищенности" лично мне режет слух, и ассоциируется с классификацией АС или определением необходимого уровня защищенности...

под "Оценка комплекса средств защиты" скорее всего подразумевалось "Оценка эффективности комплекса СЗИ"...

*в сторону* <В новой редакции ГОСТ 50922, до сих пор не принятой, предлагалось ввести понятие "уровень защищенности> - ага, тем самым усугубив неразбериху с формулировками, поскольку "уровень защищенности" уже применяется в ИСПДн...

В остальном согласен. "Оценка защищенности АС (ИС)" - это ответ на вопрос, насколько объект защищен (на бумаге ли, по факту ли). "Оценка комплекса средств защиты информации" - это семантический бред, в котором для исправления ситуации не хватает ключевых слов: "достаточности", "стоимости", "корректности функционирования" и т.п.

> поскольку "уровень защищенности" уже применяется в ИСПДн

Спасибо, помнил, что где-то встречал, но где - не помнил.

Вообще на экспертном совете по терминологическому стандарту как раз вокруг терминов "защищенность", "уровень защищенности", "эффективность" основная заруба и была. Участники спорили долго и громко, но так ни к чему и не пришли :)

malotavr | 81238


Как всегда...