40. Классы безопасности информационных систем. Политика безопасности.

В 1983 году Министерство обороны США выпустило Оранж Бук под названием «Критерии оценки достоверных компьютерных систем». В это же время стали появляться динамичные руководительские документы госкомиссий, а также критерии оценки безопасности информационных технологий. Был разработан международный стандарт ISO (IEC) № 15408. Единые критерии оценки безопасности в области информационных технологий определяют:

A как самый высокий. Самым низким является класс D исходя из компросса между требованиями безопасности, эффективностью системы, ее ценой получают сертификаты: класс D называется минимальным уровнем безопасности. В него попадают системы, которые были заявлены в сертификацию, но ее не прошли.

Класс C1 – называется «Избирательная система доступа». предусматривает наличие достоверной вычислительной базы TCB, выполняет требования и избирательной безопасности.

Отделяет пользователей от данных класс C2. Называется «Управляемая защита доступа». Нужно четко контролировать защиту доступа, так как есть процедуры идентификации (ввод логина и пароля) и аутентификация (код с карт). Есть возможность выдачи привилегий доступа. Ведется аудит событий. Ресурсы изолированы.

Класс B1 – маркированное обеспечение безопасности. С2 + описана модель политики безопасности. И есть принудительное управление к доступам, к субъектам и объектам.

В2 – «структурированная защита». DCB определяется и опирается на четкую документированную формальную модель политики безопасности. Она декомпозируется на элементы, ведется системный анализ администрирования, есть четкие механизмы управления конфигурацией.

Класс В3. «Домены безопасности». ТСВ должна удовлетворять требованиям эталонным механизмам мониторинга, контролировать весь доступ субъектов к объектам, доступ можно тестировать и анализировать, механизмы аудита имеют возможность оповещать о событиях, критичных по отношению к безопасности. Есть процедуры восстановления систем. Система устойчива к вторжениям.

А1 – Верифицированное проектирование. В3+ дополнительные архитектурные особенности политики безопасности: имеется формальная спецификация проектирования и методы верификации.

политика безопасности - качественное выражение свойств защищенности в терминах, представляющих систему. Политика безопасности для конкретной КС не должна быть чрезмерной - ужесточение защиты приводит к усложнению доступа пользователей к КС и увеличению времени доступа. Политика безопасности должна быть адекватна предполагаемым угрозам, и обеспечивать заданный уровень защиты. Политика безопасности включает:

" множество субъектов;

" множество объектов;

" множество возможных операций над объектами;

" множество разрешенных операций для каждой пары субъект-объект, являющееся подмножеством множества возможных состояний.

41. Классификация угроз информационной безопасности. Факторы угроз: глобальные, региональные, локальные.

Угрозы безопасности деятельности предприятий и информации делятся на внешние и внутренние. Их перечень индивидуален для каждой организации. Однако, общими для всех являются: стихийные бедствия, техногенные катастрофы, непреднамеренные ошибки персонала (нарушители), преднамеренные действия (злоумышленники).

Ко всем информационным системам относятся следующий перечень угроз:

- противоправный исход и использование данных;

- нарушение технологий обработки данных;

- внедрение аппаратных и программных закладок, которые нарушают нормальное функционирование информационных систем;

- создание и распределение вредоносных программ (троянские кони, логические бомбы, сетевые черви);

- уничтожение и повреждение информационных систем и каналов связи;

- утечка информации по техническим программам

- внедрение устройств для перехвата информации

- хищение, повреждение и уничтожение носителей;

- несанкционированный доступ в информационные системы, базы и банки знаний.

Глобальные факторы - недружественная политика, деятельность иностранных и специальных служб, преступные действия международных групп. Региональные факторы - рост преступности в информационной сфере, отставание от развитых стран, зависимость технических средств от зарубежных. Локальные факторы - перехват электромагнитных излучений, подслушивающие устройства, перехват акустических излучений и восстановление текста, вирусы, программы-ловушки, незаконное подключение к линиям связи.