Висновки

1. Відповідно до закону України «Про інформацію», всю інформацію поділено на відкриту та інформацію з обмеженим доступом. Такий розподіл за режимами доступу до інформації здійснюють виключно на підставі ступеня її конфіденційності.

2. Основним законом, який регламентує відносини суб'єктів, що пов'язані із захистом інформації в комп'ютерних системах, є Закон України «Про захист інформації в інформаційно-телекомунікаційних системах», що набув чинності з 5 липня 1994 року.

3. Доступ користувачів до інформації, яка є власністю держави, або до інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом, та їхні повноваження стосовно цієї інформації визначено законодавством. Таку інформацію слід обробляти в системі із застосуванням КСЗІ, підтвердження відповідності якої здійснено за результатами державної експертизи. Власник системи, в якій обробляється така інформація, має утворити службу захисту інформації або призначити осіб, які б відповідали за забезпечення захисту та здійснювали контроль.

4. Критерії оцінювання комп'ютерних систем визначено в НД ТЗІ 2.5-004-99. Функціональні вимоги до засобів захисту подано у вигляді специфікацій послуг безпеки, які чітко структуровані за ознакою протидії певним загрозам: конфіденційності, цілісності, доступності та спостережності. Вимоги до гарантій реалізації КЗЗ дають змогу визначити ступінь довіри до засобів забезпечення безпеки.

5. Рівень безпеки не можна оцінити за універсальною шкалою, натомість використовують незалежне ранжирування вимог відносно кожної послуги безпеки. Захищеність системи описано за допомогою функціонального профілю (переліку функціональних послуг із досягнутими рівнями безпеки) і досягнутого рівня гарантій.

6. Окремі нормативні документи визначають вимоги до реалізації КЗЗ інформаційно-телекомунікаційних систем деяких конкретних типів. Такі документи містять опис типових властивостей систем, вимоги до їхніх обчислювальних систем, середовища користувачів, фізичного середовища, інформації разом із технологіями її оброблення. У них наведено мінімальні припустимі функціональні профілі та вимоги до реалізації кожної з функціональних послуг.