Лекция 2 (01.03.2013)

Программа без документации не является продуктом. Необходимо знать как её установить, как с ней работать, какие требования предъявляются к аппаратной части техники, на которой она будет работать.

Суть подхода ОК состоит в том, чтобы предоставить возможность разработчикам, пользователям продуктов информационных технологий к единому подходу к предъявлению требований продуктов ИТ и их оценки. Оценка может проводиться различными способами, но по методологии ОК оценка проводится путем анализа продукта с той или иной глубиной детализацией рассмотрения продукта и вывода о том, что данный продукт отвечает предъявляемым к нему требованиям. В отличие от предыдущих документов, в которых изложены требования (IPSec, Оранжевая книга и др. в которых требования предъявляются больше к операционной системе. Применение данных требований к МЭ, то из-за специфики МЭ в некоторых классах требования к угрозам могут как отсутствовать, так и быть излишними), требования ОК не предъявляются к тем или иным продуктам. ОК – это пособие для разработчиков и потребителей о том, какие требования следует предъявлять к продуктам и каким образом производить оценку продуктов информационных технологий.

Следует заметить, что объектами оценки являются только те продукты, к которым предъявляются требования ИБ и в которых реализованы механизмы защиты. Если в продукте отсутствуют механизмы защиты, то объектом оценки являться он не может.

ОК состоит из 3 частей в виде 3 книг, которые выпущены Международной организацией по стандартизации (ГОСТ Р ИСО/ИМЭК 15408-1-2-3 соответственно).

Первая содержит основные определения, рассматривает 3 компонента безопасности (секретность, целостность, доступность) Иными словами 1 книга говорит о том, что есть ОК и как с ними работать. 2 и 3 книги по сути являются пособием, справочником, каталогом… в них определяются систематизированные требования и формулировки требований, которые когда либо предъявлялись или могут предъявляться (с т. З. авторов) предъявляться к продуктам.

2 книга содержит функциональные требования безопасности (или компоненты) и их формулировки (криптография, обеспечение целостности, управление потоками и т.д.), и технологические требования использования криптографических алгоритмов («должно быть зашифровано по алгоритму…. По директиве …. По стандарту …..) .

3 книга содержит требования, предъявляемые к

• Разработчику;

• Порядку разработки продуктов ИТ;

Документации, которая должна быть разработана, как к её составу, так и к содержанию.

В ОК не рассматривается:

• Защита информации от ПЭМИН;

• Предъявление требований к алгоритмам по криптографии, однако, разработчик может изложить данные требования в ПЗ или ЗБ в качестве дополнительных компонентов безопасности, если он считает это целесообразным.

Доверие в ОК под собой подразумевает то, что у потребителя продукта появляется уверенность, что данный продукт отвечает всем целям безопасности, предъявляемым к данному продукту.

Россия не подписала ОК. Было принято решение о создании рабочей группы по рассмотрению вопроса о гармонизации стандартов России с Международными стандартами. Представители МинАтома и Министерство культуры с поддержкой гармонизации. Против выступил ФСБ (гармонизация шифров не допустима). К очередному заседанию рабочей группы был Советом по безопасности подготовлен проект гармонизации и признания ОК, однако, перед заседанием полностью поменялась структура Правительства, накопились другие вопросы и в общем было уже не до этого. До сих пор этот вопрос не поднимался.

Лирика: Американцы выделяли огромные деньги. Из них 10% отдавалось России, на остальные закупалось оборудование у Американцев, давали программные средства для учета и физ.защиты. Мы сказали, что по закону РФ все должно быть сертифицировано. Была создана Международная группа по стандартизации. Должно пройти сертификацию по ОИТ (оборудование (оборудование должно работать при разных температурах, при тряске и т.д.)). ОС и СУБД Oracle должны пройти сертификацию, так как идет работа с гос.тайной. Для сертификации нас допустили к исходным кодам Oracle and Microsoft (фрагменты, отвечающие за безопасность). Все прошло успешно и до сих пор в реестре ФСТЭКа числятся Windows NT, Oracle 7. Все это делалось для систему учета и контроля за ядерными материалами. Microsoft открыл правительственную программу: предоставлял свои коды, для того, чтобы страны могли внести в их продукты свои изменения для того, чтобы продукты Microsoft соответствовали государственным стандартам. Россия была первой. От России был НТЦ «Атлас». Была идея открыть для всех организаций, однако ФСБ наложило «лапу» и никто не смог в этом поучаствовать кроме Microsoft, ФСБ и «Атлас». Oracle два года крутил динамо . В случае открытия исходных кодов Россия должна заплатить 600 млн долларов.

Как быть с сертификацией при обновлении версии ПО? В системе сертификации существует понятие инспекционный контроль. Инспекционный контроль проводится в случае внесения незначительных изменений или изменений, не затрагивающих функций безопасности. Обращается внимание только на изменения. Преимущества ИК заключается в простоте проведения проверки. Заявитель -> Испытательную лабораторию, которая проводила сертификацию -> Проводит ИК, проверяет соответствие формуляру, в виде приложения добавляются к формуляру изменения -> Лаборатория пишет заключение «… функции сохранены, сертификат может быть распространен на новую версию …» -> Передача заключения Заявителю и ФСБ and ФСТЭК, подписывается формуляр -> Версия сертифицирована.