Вопрос 28 Понятие политики безопасности. Формирование и структура политики иб. Дискреционная политика безопасности. Мандатная политика безопасности.

Политика ИБ – набор правил и рекомендаций, определяющих управление, распределение и защиту информации в организации. Политика указывает на стандарты и принципы определяющие какие защитные меры для обеспечения ИБ необходимы и в каком объеме. При наличии документированной ПИБ организация получает основу для единого понимания принципов обеспечения ИБ и внедрения защитных мер. Персонал службы ИБ получает набор указаний для выполнения своих обязанностей.

Основные принципы политики ИБ: 1) учетность (отслеживаемость) 2) разделение обязанностей и ответственности; 3) управление ресурсами; 4) управление рисками; 5) минимум привилегий; 6) регулярный пересмотр политики безопасности; 7) усиление самого слабого звена защиты; 8) ПИБ должна быть построена таким образом, чтобы атаки не могли миновать защитные средства системы.

Политика должна указывать на кого возложена прямая ответственность за обеспечение ИБ. Дискреционная политика безопасности – политика безопасности осуществляемая на основании заданного администратором множества разрешенных отношений доступа.

Основой дискреционной политики безопасности является дискреционное управление доступом, которое определяется двумя свойствами:  все субъекты и объекты должны быть идентифицированы;  права доступа субъекта к объекту системы определяются на основании некоторого внешнего по отношению к системе правила.

Комплекс средств защиты (КСЗ) должен контролировать доступ наименованных субъектов к наименованным объектам (файлам, программам, томам и т.д.).

К достоинствам дискреционной политики безопасности можно отнести относительно простую реализацию соответствующих механизмов защиты.

В качестве примера реализаций дискреционной политики безопасности в АС можно привести матрицу доступов, строки которой соответствуют субъектам системы, а столбцы - объектам; элементы матрицы характеризуют права доступа. К недостаткам относится статичность модели. Это означает, что данная ПБ не учитывает динамику изменений состояния АС, не накладывает ограничений на состояния системы.

Мандатная политика безопасности – политика безопасности основанная на совокупности предоставления доступа, определенного на множестве атрибутов безопасности субъекта и объекта.

Основу мандатной политики безопасности составляет мандатное управление доступом, которое подразумевает, что:- все субъекты и объекты системы должны быть однозначно идентифицированы; - задан линейно упорядоченный набор меток секретности; - каждому объекту системы присвоена метка секретности, определяющая ценность содержащейся в нем информации - его уровень секретности в АС; - каждому субъекту системы присвоена метка секретности, определяющая уровень доверия к нему в АС - максимальное значение метки секретности объектов, к которым субъект имеет доступ; метка секретности субъекта называется его уровнем доступа.

Основная цель мандатной политики безопасности - предотвращение утечки информации от объектов с высоким уровнем доступа к объектам с низким уровнем доступа, т.е. противодействие возникновению в АС информационных каналов сверху вниз.

Комплекс средств защиты должен реализовывать мандатный принцип контроля доступа применительно ко всем объектам при явном и скрытом доступе со стороны любого из субъектов:  субъект может читать объект, только если уровень субъекта не меньше, чем уровень объекта, и уровень субъекта включает в себя все уровни объекта;  субъект осуществляет запись в объект, только если уровень субъекта в не больше, чем уровень объекта, и все уровни субъекта включаются в уровне объекта.

В СВТ должен быть реализован диспетчер доступа, т.е. средство, осуществляющее перехват всех обращений субъектов к объектам, а также разграничение доступа в соответствии с заданным принципом разграничения доступа.

Достоинство МПБ – более высокая степень надежности, правила ясны и понятны. Недостатки – реализация систем с ПБ данного типа довольно сложна и требует значительных ресурсов ВТ.