Требования к безопасности информационных систем в России.

Сформулированы в руководящем документе Государственной технической комиссией при Президенте РФ «Классификация автоматизированных систем и требований по защите информации» выпущенном в 1992 году, в котором выделено 9 классов защищенности автоматизированных систем от несанкционированного доступа к информации. По специфике обработки информации классы разделены на группы: - третья группа – системы в которых работает один пользователь, допущенный ко всей обрабатываемой информации (классы 3Б и 3А); - вторая группа – системы в которых работает несколько пользователей, которые имеют одинаковые права доступа ко всей информации (классы 2Б и 2А); - первая группа – многопользовательские системы, в которых одновременно обрабатывается и/или хранится информация разных уровней конфиденциальности, причем различные пользователи имеют разные права на доступ к информации (классы 1Д, 1Г, 1В, 1Б и 1А). Требования к защите растут от систем класса 3Б к классу 1А.

3) В России единственными нормативными документами по критериям оценки защищенности средств вычислительной техники и автоматизированных систем являются Руководящие документы Гостехкомиссии РФ (Руководящий документ. Защита от несанкционированного доступа к информации. Термины и определения. Руководящий документ. Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации. Руководящий документ. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от НСД к информации. Руководящий документ. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации. Руководящий документ. Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от НСД в автоматизированных системах и средствах вычислительной техники).

Появление материалов проекта международного стандарта ISO 15408 по Общим критериям оценки безопасности информационных технологий (Common Criteria for Information Technology Security Evaluation (CCEB)), принятом в 1999 году, является качественно новым этапом в развитии нормативной базы оценки безопасности ИТ. В нём наиболее полно представлены критерии для оценки механизмов безопасности программно-технического уровня.

В Общих критериях проведена классификация широкого набора функциональных требований и требований гарантированности, определены структуры их группирования и принципы целевого использования.

Главные преимущества Общих критериев — полнота требований безопасности, гибкость в применении и открытость для последующего развития с учетом новейших достижений науки и техники.

При проведении работ по анализу защищенности АС, а также средств вычислительной техники (СВТ) "Общие критерии" целесообразно использовать в качестве основных критериев, позволяющих оценить уровень защищенности АС (СВТ) с точки зрения полноты реализованных в ней функций безопасности и надежности реализации этих функций.

Первая часть "Общих критериев" содержит определение общих понятий, концепции, описание модели и методики проведения оценки безопасности ИТ. В ней вводится понятийный аппарат, и определяются принципы формализации предметной области.

Требования к функциональности средств защиты приводятся во второй части "Общих критериев" и могут быть непосредственно использованы при анализе защищенности для оценки полноты реализованных в АС (СВТ) функций безопасности.

Третья часть"Общих критериев" содержит классы требований гарантированности оценки, включая класс требований по анализу уязвимостей средств и механизмов защиты под названием AVA: Vulnerability Assessment. Данный класс требований определяет методы, которые должны использоваться для предупреждения, выявления и ликвидации следующих типов уязвимостей:

Наличие побочных каналов утечки информации;
Ошибки в конфигурации либо неправильное использование системы, приводящее к переходу в небезопасное состояние;
Недостаточная надежность (стойкость) механизмов безопасности, реализующих соответствующие функции безопасности;
Наличие уязвимостей ("дыр") в средствах защиты информации, дающих возможность пользователям получать НСД к информации в обход существующих механизмов защиты.

Соответствующие требования гарантированности оценки содержатся в следующих четырех семействах требований:

Семейство AVA_CCA: Covert Channel Analysis (Анализ каналов утечки информации);
Семейство AVA_MSU: Misuse (Ошибки в конфигурации либо неправильное использование системы, приводящее к переходу системы в небезопасное состояние);
Семейство AVA_SOF: Strength of TOE Security Functions (Стойкость функций безопасности, обеспечиваемая их реализацией);
Семейство AVA_VLA: Vulnerability Analysis (Анализ уязвимостей).

При проведении работ по аудиту безопасности перечисленные семейства требований могут использоваться в качестве руководства и критериев для анализа уязвимостей АС (СВТ).

4) Естественно, что требуемый уровень зашиты информации в конкретной АСОД и в конкретных условиях ее функционирования существенно зависит от учета факторов, которые сколько-нибудь существенно влияют на защиту. Таким образом, формирование более полного множества этих факторов и возможно более адекватное определение степени их влияния на требуемый уровень защиты представляется задачей повышенной важности и подлежащей упреждающему решению.
Задача довольно четко может быть разделена на две составляющие: формирование более полного и хорошо структурированного множества факторов, существенно значимых с точки зрения защиты информации, и определение показателей значимости (веса) факторов.
Исходя из составляющих задачи, для формирования множества факторов нужно выполнить три шага: первый шаг – формирование перечня групп факторов, второй – формирование перечня факторов в каждой из выделенных групп, третий – структуризация возможных значений двух факторов. Общая схема рассматриваемой задачи по такой процедуре представлена на рисунке 5.
Сформированное по указанной методологии множество факторов включает пять групп следующего содержания.
Группа 1 – факторы, обуславливаемые характером обрабатываемой информации:
1.1.Степень секретности.
1.2. Объемы.
1.3. Интенсивность обработки.
Группа 2 – факторы, обуславливаемые архитектурой АСОД:
2.1. Геометрические размеры.
2.2. Территориальная распределенность.
2.3. Структурированность компонентов.
Группа З – обуславливаемые условиями функционирования АСОД:
3.1. Расположение в населенном пункте.
3.2. Расположение на территории объекта.
3.3. Обустроенность.
Группа 4 – обуславливаемые технологией обработки информации:
4.1. Масштаб.
4.2. Стабильность.
4.3. доступность.
4.4. Структурированность.
Группа 5 – обуславливаемые организацией работы АСОД:
5.1. Общая постановка дела.
5.2. Укомплектованность кадрами.
5.3. Уровень подготовки и воспитания кадров.
5.4. Уровень дисциплины.

5) "Общие критерии" на самом деле являются метастандартом, определяющим инструменты оценки безопасности ИС и порядок их использования. В отличие от "Оранжевой книги", ОК не содержат предопределенных "классов безопасности". Такие классы можно строить, исходя из требований безопасности, существующих для конкретной организации и/или конкретной информационной ситемы.С программистской точки зрения ОК можно считать набором библиотек, помогающих писать содержательные "программы" - задания по безопасности, типовые профили защиты и т.п. Программисты знают, насколько хорошая библиотека упрощает разработку программ, повышает их качество. Без библиотек, "с нуля", программы не пишут уже очень давно; оценка безопасности тоже вышла на сопоставимый уровень сложности, и "Общие критерии" предоставили соответствующий инструментарий.Важно отметить, что требования могут быть параметризованы, как и полагается библиотечным функциям.

Как и "Оранжевая книга", ОК содержат два основных вида требований безопасности:

§ >функциональные, соответствующие активному аспекту защиты, предъявляемые к функциям безопасности и реализующим их механизмам;

§ >требования доверия, соответствующие пассивному аспекту, предъявляемые к технологии и процессу разработки и эксплуатации.

Требования безопасности предъявляются, а их выполнение проверяется для определенного объекта оценки - аппаратно-программного продукта или информационной системы.

Очень важно, что безопасность в ОК рассматривается не статично, а в привязке к жизненному циклу объекта оценки. Выделяются следующие этапы:

§ >определение назначения, условий применения, целей и требований безопасности;

§ >проектирование и разработка;

§ >испытания, оценка и сертификация;

§ >внедрение и эксплуатация.

В ОК объект оценки рассматривается в контексте среды безопасности, которая характеризуется определенными условиями и угрозами.

В свою очередь, угрозы характеризуются следующими параметрами:

§ >источник угрозы;

§ >метод воздействия;

§ >уязвимые места, которые могут быть использованы;

§ >ресурсы (активы), которые могут пострадать.

Уязвимые места могут возникать из-за недостатка в:

§ >требованиях безопасности;

§ >проектировании;

§ >эксплуатации.