Требования к показателям первого класса защищенности
2.7.1. Дискреционный принцип контроля доступа.
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.1).
2.7.2. Мандатный принцип контроля доступа.
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.2).
2.7.3. Очистка памяти.
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.3).
2.7.4. Изоляция модулей.
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.4).
2.7.5. Маркировка документов.
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.5).
2.7.6. Защита ввода и вывода на отчуждаемый физический носитель информации.
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.6).
2.7.7. Сопоставление пользователя с устройством.
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.7).
2.7.8. Идентификация и аутентификация.
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.8).
2.7.9. Гарантии проектирования.
Данные требования включают аналогичные требования второго класса (п.2.6.9).
Дополнительно требуется верификация соответствия объектного кода тексту КСЗ на языке высокого уровня.
2.7.10. Регистрация.
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.10).
2.7.11. Взаимодействие пользователя с КСЗ.
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.11).
2.7.12. Надежное восстановление.
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.12).
2.7.13. Целостность КСЗ.
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.13).
2.7.14. Контроль модификации.
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.14).
2.7.15. Контроль дистрибуции.
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.15).
2.7.16. Гарантии архитектуры.
КСЗ должен обладать механизмом, гарантирующим перехват диспетчером доступа всех обращений субъектов к объектам.
2.7.17. Тестирование.
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.16).
2.7.18. Руководство пользователя.
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.17).
2.7.19. Руководство по КСЗ
Данные требования полностью совпадают с аналогичным требованием второго класса (п.2.6.18).
2.7.20. Тестовая документация
Данные требования полностью совпадают с аналогичными требованиями второго класса (п.2.6.19).
2.7.21. Конструкторская (проектная) документация
Требуется такая же документация, что и для СВТ второго класса (п.2.6.20).
Дополнительно разрабатывается описание гарантий процесса проектирования (п.2.7.9).
Оценка класса защищенности СВТ (сертификация СВТ)
Оценка класса защищенности СВТ проводится в соответствии с Положением о сертификации средств и систем вычислительной техники и связи по требованиям защиты информации, Временным положением по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от несанкционированного доступа в автоматизированных системах и средствах вычислительной техники и другими документами.
Руководящий документ.
Временное положение
по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от несанкционированного доступа в автоматизированных системах и средствах вычислительной техники.
Утверждено решением председателя Государственной технической комиссии при Президенте Российской Федерации от 30 марта 1992 г.
Принятые сокращения
АС - автоматизированная система
ВД - временный документ
ЗАС - засекречивающая аппаратура связи
КСЗ - комплекс средств защиты
НСД - несанкционированный доступ
НТД - нормативно-техническая документация
ОС - операционная система
ППП - пакет прикладных программ
ПРД - правила разграничения доступа
РД - руководящий документ
СВТ - средства вычислительной техники
СЗИ - система защиты информации
СЗИ НСД - система защиты информации от несанкционированного доступа
СЗСИ - система защиты секретной информации
СНТП - специальное научно-техническое подразделение
СРД - система разграничения доступа
СУБД - система управления базами данных
ТЗ - техническое задание
ЭВМ - электронно-вычислительная машина
ЭВТ - электронно-вычислительная техника
Общие положения
1.1. Настоящее Положение устанавливает единый на территории Российской Федерации порядок исследований и разработок в области:
защиты информации, обрабатываемой автоматизированными системами различного уровня и назначения, от несанкционированного доступа;
создания средств вычислительной техники общего и специального назначения, защищенных от утечки, искажения или уничтожения информации за счет НСД1 , в том числе программных и технических средств защиты информации от НСД;
создания программных и технических средств защиты информации от НСД в составе систем защиты секретной информации в создаваемых АС.
1.2. Положение определяет следующие основные вопросы:
организационную структуру и порядок проведения работ по защите информации от НСД и взаимодействия при этом на государственном уровне;
систему государственных нормативных актов, стандартов, руководящих документов и требований по этой проблеме;
порядок разработки и приемки защищенных СВТ, в том числе программных и технических (в частности, криптографических) средств и систем защиты информации от НСД;
порядок приемки указанных средств и систем перед сдачей в эксплуатацию в составе АС, порядок их эксплуатации и контроля за работоспособностью этих средств и систем в процессе эксплуатации.
1.3. Положение разработано в развитие Инструкции № 0126-87 в части требований к программным и техническим средствам и системам защиты информации от НСД и базируется на Концепции защиты СВТ и АС от НСД к информации.
Организационные мероприятия по предупреждению утечки и защите информации, являющиеся составной частью решения проблемы защиты информации от НСД, базируются на требованиях указанной инструкции, дополняют программные и технические средства и системы и в этой части являются предметом рассмотрения настоящего Временного положения.
1.4. Временное положение обязательно для выполнения всеми органами государственного управления, государственными предприятиями, воинскими частями, другими учреждениями, организациями и предприятиями (независимо от форм собственности), обладающими государственными секретами, и предназначено для заказчиков, разработчиков и пользователей защищенных СВТ, автоматизированных систем, функционирующих с использованием информации различной степени секретности.
1.5. Разрабатываемые и эксплуатируемые программные и технические средства и системы защиты информации от НСД должны являться неотъемлемой составной частью защищенных СВТ, автоматизированных систем, обрабатывающих информацию различной степени секретности.
1.6. При разработке средств и систем защиты в АС и СВТ необходимо руководствоваться требованиями следующих руководящих документов:
Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации;
настоящее Временное положение;
Защита от несанкционированного доступа к информации. Термины и определения;
Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации;
Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации.