ГОСТ Р 50922-2006: статус и термины защиты информации

Да, действует. По данным реестра национальных стандартов, статус ГОСТ Р 50922-2006 — «действует», поле «дата отмены» пустое, поле «заменён на» тоже пустое: у этого стандарта нет более новой редакции. Он утверждён и введён в действие приказом Федерального агентства по техническому регулированию и метрологии (Ростехрегулирования) от 27 декабря 2006 г. № 373-ст, дата введения в действие — 1 февраля 2008 года.

Полное название — «Защита информации. Основные термины и определения» (англ. Protection of information. Basic terms and definitions). Это национальный стандарт Российской Федерации (индекс ГОСТ Р), группа Э00, код ОКС 01.040.01 («Словари»). Разработчиком выступил ФГУ «Государственный научно-исследовательский испытательный институт проблем технической защиты информации ФСТЭК России» (ФГУ «ГНИИИ ПТЗИ ФСТЭК России») — профильная организация именно в сфере технической защиты информации.

Стандарт не устанавливает требования к защите информации — какие меры применять, как их проверять — этим занимаются другие документы. Его задача — единый терминологический аппарат: для каждого понятия в области защиты информации фиксируется один стандартизованный термин с определением, чтобы разные нормативные документы, ГОСТы, ведомственные акты и организации говорили на одном языке.

В самом стандарте это сформулировано так: термины «рекомендуется использовать в правовой, нормативной, технической и организационно-распорядительной документации, научной, учебной и справочной литературе».

В стандарте прямо указано, что в нём реализованы нормы двух федеральных законов — № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и № 98-ФЗ «О коммерческой тайне» — то есть терминология ГОСТа согласована с формулировками этих законов, а не расходится с ними.

ГОСТ Р 50922-2006 заменил ГОСТ Р 50922-96 — это прямо зафиксировано в разделе «Сведения о стандарте» самого документа пунктом «5 ВЗАМЕН ГОСТ Р 50922-96». Действующая редакция — 2006 года выпуска, введённая в действие с 1 февраля 2008 года; редакция 1996 года с этого момента не применяется.

Практический вывод для тех, кто встречает в старой документации или договорах ссылку на «ГОСТ Р 50922-96»: ссылаться нужно на действующую редакцию — ГОСТ Р 50922-2006. Само по себе наличие ссылки на устаревший номер в старом документе не делает его недействительным, но при обновлении документации формулировку стоит привести к актуальному обозначению.

Стандарт определяет около 70 терминов, сгруппированных в разделы: общие понятия, виды защиты информации, замысел защиты, объект защиты, угрозы безопасности информации, техника защиты, оценка соответствия, эффективность защиты. Ниже — 12 терминов, которые встречаются чаще всего в другой нормативке и в документации по защите информации, с номером пункта ГОСТа и кратким определением.

↔ таблицу можно прокрутить вбок

Про «субъект защиты» отдельно. В тексте ГОСТ Р 50922-2006 нет отдельного стандартизованного термина «субъект защиты информации» — стандарт оперирует понятием «объект защиты информации» (см. таблицу) и понятием «заинтересованный субъект» внутри определений угроз (государство, юридическое лицо, группа физических лиц, отдельное физическое лицо). Понятия «обладатель информации» и «пользователь информации» приведены в справочном приложении А как термины из 149-ФЗ, а не как собственные термины этого ГОСТа — различие стоит учитывать при цитировании.

Отдельно стандарт содержит справочное приложение А с терминами общетехнических понятий, которые нужны для понимания основной части, но заимствованы из 149-ФЗ, а не введены самим ГОСТом: информация, документированная информация, данные, информационная система, обладатель информации, доступ к информации, конфиденциальность информации, целостность, доступность информации.

Как национальный стандарт добровольного применения, ГОСТ Р 50922-2006 напрямую никого не обязывает. На практике его терминологией пользуются:

ГОСТ Р 50922-2006 работает как терминологическая база для более прикладных норм по защите информации.

• 149-ФЗ и 98-ФЗ. Сам стандарт прямо указывает, что реализует нормы 149-ФЗ «Об информации...» и 98-ФЗ «О коммерческой тайне» — понятия информации, доступа к информации, конфиденциальности, целостности и доступности в справочном приложении А заимствованы именно из 149-ФЗ.
• Р 50.1.056-2005. В библиографии ГОСТ Р 50922-2006 в качестве источника указаны «Рекомендации по стандартизации Р 50.1.056-2005. Техническая защита информации. Основные термины и определения» — предшествующий рекомендательный документ, на понятия которого стандарт частично опирается (термин «доступность информации»).
• Модель угроз ФСТЭК. Определения «угроза (безопасности информации)» и «модель угроз (безопасности информации)» из этого ГОСТа — терминологическая основа для методических документов ФСТЭК по оценке угроз, подробнее — на странице «Модель угроз».
• Профильные отраслевые ГОСТы. Более прикладные стандарты по защите информации в отдельных отраслях — например, ГОСТ Р 57580 для финансовых организаций — используют термины «защита информации», «угроза», «уязвимость» в значении, согласованном с 50922-2006, хотя прямая ссылка на конкретный пункт в тексте отраслевого стандарта не всегда присутствует.
• Оценка соответствия и аудит. Термин «оценка соответствия требованиям по защите информации» (п. 2.8.1) и «аудит информационной безопасности в организации» (п. 2.8.6) из этого ГОСТа — терминологическая рамка для практик, подробно разобранных на страницах «Оценка соответствия и сертификация СЗИ» и «Аудит информационной безопасности».

Базовые понятия защиты информации и кибербезопасности в практическом, а не нормативном изложении разобраны без привязки к конкретному ГОСТу на странице словаря «Что такое информационная безопасность». Термин «вредоносная программа» (п. 2.6.5) с прикладной классификацией — на странице «Виды вредоносного ПО», а процесс работы с уязвимостями (п. 2.6.4) — на странице «Управление уязвимостями».