1.7. Современное понимание методологии защиты информации

1.7.1. Особенности национального технического регулирования

Под методологией зашиты информации понимается использо­вание совокупности необходимых и достаточных моделей, мето­дов, методик. Подходы к моделированию КСЗИ, применяемые в

ней методы и методики будут рассмотрены в следующих главах. Здесь мы остановимся на проектах двух документов в этой облас-1ти, которые отражают современную систему взглядов на проблему зашиты информации, — проектах технических регламентов._; В случае их принятия они будут иметь силу закона.

С принятием в 2002 г. Федерального закона «О техническом регулировании» началась новая эра в области задания требований к продукции и оценке ее соответствия. Целью данного закона было снятие излишних, искусственно воздвигнутых барьеров на пути изделий отечественных (и не только) производителей, ликвидация разнородных и иногда противоречивых требований, заложенных в отечественных стандартах. Отныне все обязательные требования разрешается излагать только в технических регламентах (ТР), а следование стандартам — дело добровольное. При этом и в ТР можно предъявлять не произвольные требования, а лишь касающиеся «защиты жизни или здоровья граждан, имуществафизических или юридических лиц, государственного или муниципального имущества; охраны окружающей среды, жизни или здоровья животных и растений; предупреждения действий, в водящих в заблуждение приобретателей».

В ст. 7 упомянутого закона приведены различные виды безопасности, которые обеспечиваются выполнением минимальных требований регламентов: механическая, пожарная, промышленная, ...Обращает на себя внимание отсутствие такого важного вида, как информационная безопасность.

Существуют мнения о необходимости внесения в закон соответствующих поправок, но в настоящее время решили идти «окольным» путем. Влияет информационная безопасность на жизнь людей, на сохранность имущества? В какой-то степени, да. Поэтому было решено разработать и принять два специальных технических регламента (СТР-45 и СТР-46) в этой области, а в преамбуле написать, что принимаются данные регламенты в целях, указан­ных в ФЗ «О техническом регулировании», которые приведены выше.

Надо сказать, что СТР-45 («О безопасности информационных технологий») и СТР-46 («О требованиях к средствам обеспечения безопасности информационных технологий») должны были быть приняты еще в 2005 г. На момент написания книги (2008 г.) их судьба все еще неясна, тем не менее целесообразно изучить методологический подход, заложенный в проектах этих регламентов.

1.7.2. Что понимается под безопасностью ит?

Несмотря на свое довольно широкое название, проект СТР-45 рассматривает в основном только одну сторону обеспечения без­опасности ИТ — защиту от НСД в АС. Кроме того, изложены требования к физической защите и защите среды ИТ (пожарная, электробезопасность и т.д.). При этом, чтобы хоть как-то соот­ветствовать своему названию, вместо термина АС по тексту ис­пользуется термин «ИТ» — упорядоченная совокупность аппарат­ных, программных, аппаратно-программных средств, систем и ин­формационных процессов. На наш взгляд, определение не очень удачное, так как из него не видно, как связаны информационные процессы с «железом». Кроме того, непонятно, что относится к И Т. Например, мобильный телефон — это тоже упорядоченная совокупность программных и аппаратных средств и информаци­онных процессов, нарушение безопасности которых вполне мо­жет повлечь существенный ущерб.

Большая часть рассматриваемого регламента посвящена требо­ваниям к безопасности при эксплуатации ИТ. В проекте указаны стадии жизненного цикла ИТ: подготовка к эксплуатации, ввод в эксплуатацию, эксплуатация, снятие с эксплуатации, и для каждой стадии приведен перечень необходимых мероприятий.

Первое, что необходимо выполнить при подготовке к эксплуатации, — это категорирование по безопасности ИТ. СТР-45 вво­дит 6 категорий ИТ, в зависимости от того, какой ущерб возмо­жен при нарушении безопасности (табл. 1.2). К данным, приведенным в таблице, надо применять операцию «или».

Размер ущерба от нарушения безопасности будет определяться после выполнения анализа и оценки рисков, правила выполне­ния которых приведены в Приложении В к проекту СТР-45.

Кроме категорирования по безопасности в проекте СТР-45 предусмотрена еще и классификация ИТ, но для чего она выполняется, разработчики написать «забыли». Требования к ИТ предъявляются лишь исходя из категории безопасности ИТ. В соответствии с духом ГОСТ 15408, все требования подразделя­ются на функциональные и требования доверия к безопасности. Функциональные требования, в свою очередь, подразделяются на требования к организационным мерам и требования к техниче­ским мерам и средствам обеспечения безопасности ИТ.

Таблица 1.2. Категорирование по безопасности ИТ

Категория ИТ (уровень ущерба)	Материальный ущерб, МРОТ	Нарушены условия жизнедеятель­ности, человек	Постра­дало, человек	Размер зоны чрезвычайной ситуации
1-я	401-500	2-10	—	—
2-я	501-1000	11 -100	1-10	Территория объекта
3-я	1001-5000	101-300	П-50	Населенный пункт, район
4-я	5001 -0,5 млн	301-500	51-500	Субъект РФ
5-я	0,5 млн—5 млн	501-1000	51-500	2 субъекта РФ
6-я	> 5 млн	> 1000	>500	>2 субъектов РФ

Из описания организационных мер обеспечения безопасности видно, что авторы СТР-45 учли прогрессивные международные стандарты и рекомендации «наилучшей практики», такие как ISO 17799, BSI, COBIT и др., в том числе корпоративные стандарты. Оргмеры включают не только традиционные мероприятия по за­щите, но и реагирование на инциденты безопасности, действия в непредвиденных ситуациях (т.е. обеспечение непрерывности ве­дения бизнеса), оценку рисков, информирование и обучение пользователей.

Функциональные требования помимо прочего включают срав­нительно новые для наших пользователей детализированные тре­бования к аудиту безопасности ИТ, требования к защите комму­никаций. Введение последней категории требований показывает, что разработчики учли распределенный характер современных ИТ.

Требования доверия к безопасности менее многочисленны, чем функциональные, и включают в основном требования к сопро­вождению ИТ, внесению изменений в ее конфигурацию, требова­ния к персон ал у и к документации.

По-видимому, болезненный для многих потребителей вопрос связан с аттестацией ИТ. Согласно существующей нормативной базе, аттестация ИТ внешней комиссией выполняется лишь в слу­чае «обработки гостайны». В проекте СТР-45 предусмотрены две формы оценки соответствия ИТ требованиям безопасности: атте­стация ИТ и государственный контроль (надзор). При этом для ИТ 3 —6-й категорий аттестация осуществляется аккредитован­ными органами по аттестации, для первой и второй категорий — своими силами. Государственный контроль (надзор) выполняется пока неназванными уполномоченными органами, правила его про­ведения и периодичность пока также не указаны. Тем не менее, по результатам контроля процесс эксплуатации ИТ в случае обна­ружения нарушений СТР-45 может быть остановлен.