Раздел – Информационная безопасность и защита информации.

Вопрос 28 – Роль и анализ стандартов иб.

Политика безопасности (SecurityPolicy) — совокупность норм и правил, обеспечивающих эффективную защиту системы обработки информации от заданного множества угроз безопасности.

Модель безопасности (SecurityModel) — формальное представление политики безопасности.

Дискреционное управление доступом (DiscretionaryAccessControl) —управление доступом, осуществляемое на основании заданного администратором множества разрешенных отношений доступа.

Мандатное управление доступом (MandatoryAccessControl) — управление доступом, основанное на совокупности правил предоставления доступа, определенных на множестве атрибутов безопасности субъектов и объектов.

Ядро безопасности (TrustedComputingBase,TCB) — совокупность аппаратных, программных и специальных компонент вычислительной системы (ВС), реализующих функции защиты и обеспечения безопасности.

Идентификация (Identification)—процесс распознавания сущностей путем присвоения им уникальных меток.

Главной задачей стандартов безопасности является создание основы для взаимодействия между производителями, потребителями и экспертами по квалификации продуктов информационных технологий.

Потребители заинтересованы в методике, позволяющей обоснованно выбрать продукт, отвечающий их потребностям. Для этого им необходима шкала оценки безопасности. К тому же потребители нуждаются в инструменте, с помощью которого они могли бы формулировать свои требования производителям. При этом потребителей интересуют лишь характеристики и свойства конечного продукта, а не методы его получения.

Производителям стандарты необходимы в качестве средства сравнения возможностей их продуктов. Кроме того стандарты необходимы для процедуры сертификации, которая является механизмом объективной оценки свойств продуктов. С этой точки зрения требования должны быть максимально конкретными и регламентировать необходимость применения тех или иных средств, механизмов, алгоритмов и т.д. Кроме того, требования не должны противоречить существующим парадигмам обработки информации, архитектуре вычислительных систем и технологиям создания информационных продуктов.

Эксперты по квалификации и специалисты по сертификации рассматривают стандарты как инструмент, позволяющий им оценить уровень безопасности, обеспечиваемый продуктами информационных технологий, и предоставить потребителям возможность сделать обоснованный выбор, а производителям—получить объективную оценку возможностей своего продукта.

Наиболее значимыми стандартами информационной безопасности являются:«Критерии безопасности компьютерных систем министерства обороны США», руководящие документы Гостехкомиссии России,«Европейские критерии безопасности информационных технологий»,«Федеральные критерии безопасности информационных технологий США»,«Канадские критерии безопасности компьютерных систем» и «Единые критерии безопасности информационных технологий».

«Оранжевая книга» быларазработана министерством обороны США в 1983 году с целью определения требований безопасности, предъявляемых к программному, аппаратному и специальному программному обеспечению компьютерных систем и выработки соответствующей методологии и технологии анализа степени поддержки политики безопасности в компьютерных системах военного назначения.

Предложенные в этом документе концепции защиты и набор функциональных требований послужили основой для формирования всех появившихся в последствии стандартов безопасности.

В «Оранжевой книге» предложены три критерия безопасности:

• политика безопасности

• аудит

• корректность

В рамках этих критериев сформулированы шесть базовых требований безопасности:

• политика безопасности

• метки

• идентификация и аутентификация

• регистрация и учет

• контроль корректности функционирования средств защиты

• непрерывность защиты