29. Классы безопасности информационных систем

Политика без-ти должна вкл в себя след элементы:

• произвольное управление доступом — метод разграничения доступа к объектам, основанный на учете личности

• безопасность повторного использования объектов —дополнительные средства, предохраняющие от случайного или преднамеренного извлечения конфиденциальной информации из оператвки, диск-х блоков и магн-х носителей в целом;

• метки безопасности, состоящие из уровня секретности и списка категорий;

• принудительное управление доступом основано на сопоставлении меток безопасности субъекта и объекта: метка субъекта описывает его благонадежность, метка объекта — степень конфиденциальности содержащейся в нем инфы.

Безопасная система — это система, которая контролирует доступ к информации т.о., что только имеющие соответствующие полномочия лица могут получить доступ на чтение, запись, создание или удаление инфы. В ней выделены основные классы защищенности – D,C,B,A

D: попадают системы, оценка которых выявила их несоответствие требованиям всех др классов.

С1: ИС должна управлять доступом именованных

пользователей к именованным объектам; пользователи должны идентифицировать себя до выполнения каких-либо контрол-х ИС действий.

С2: все объекты должны подвергаться контролю доступа; каждый пользователь системы должен уникальным образом идентифицироваться;

В1 каждый хранимый объект ИС должен иметь отдельную идентификационную метку;

В2: должна быть предусмотрена возможность регистрации событий, связанных с организацией тайных каналов обмена информацией.

ВЗ : управления доступом должны использоваться списки управления доступом с указанием разрешенных режимов; должна быть предусмотрена возможность регистрации появления или накопления событии, несущих угрозу политике ИБ

А1: тестирование должно продемонстрировать, что реализация ИС соответствует формальным спецификациям;

Критерии оценки ИБ: Стандарт определяет инструменты оценки бе­зопасности ИТ и порядок их использования, ряд ключевых понятий, лежащих в основе концепции оценки защищенности продуктов ИТ: профиля защиты, задания по безопасности и объекта оценки.

Профиль защиты — документ, содержащий обобщенный стандартный набор функц-х требований Задания по безопасности – документ, содержащий требования для конкретного объекта оценки и специфицирующий ф-ии безоп-сти и меры доверия.

В стандарте представлены две категории требований безопасности: функциональные и требования адекватности механизмов безопасности. Использование стандарта позволяет:

- сравнивать между собой результаты различных серти­фикационных испытаний ИС и контролировать качество оценки безопасности;

- исследования защищенности инф ресурсов;

- криптографическое преобразование данных для обеспечения целостности, подлинности и конфиденциальности инфы.

- использовать имеющиеся результаты и методики оценок различных стран;

- определять общий набор понятий, структур данных и язык для формулирования вопросов и утверждений относительно ИБ