149.Стандарты информационной безопасности. «Критерии оценки безопасности компьютерных систем». Руководящие документы Гостехкомиссии России. «Единые критерии безопасности информационных технологий».

В хронологическом порядке наиболее значимыми стандартами информационной безопасности являются:

1. Критерии оценки безопасности компьютерных систем мин обороны США («Оранжевая книга»).

2. Руководящие документы Гостехкомиссии России (только для нашей страны).

3. Европейские критерии безопасности информационных технологий.

4. Федеральные критерии безопасности информационных технологий США.

5. Канадские критерии безопасности компьютерных систем. Критерии оценки безопасности компьютерных систем.

I. «Оранжевая книга» США. Разработка - С 1983 по 1988 год. В 1995 году - последняя редакция . В "Оранжевой книге" надежная система определяется как "система, использующая достаточные аппаратные и программные средства, чтобы обеспечить одновременную обработку информации разной степени секретности группой пользователей без нарушения прав доступа".

Надежность систем оценивается по двум основным критериям:

• Политика безопасности- набор законов, правил и норм поведения, определяющих, как организация обрабатывает, защищает и распространяет информацию.

• Гарантированность - мера доверия, которая может быть оказана архитектуре и реализации системы. Важным средством обеспечения безопасности является механизм подотчетности (протоколирования).

Надежная система должна фиксировать все события, касающиеся безопасности. Ведение протоколов должно дополняться аудитом, то есть анализом регистрационной информации.

Основные элементы политики безопасности:

• произвольное управление доступом – метод ограничения доступа к объектам, основанный на учете личности субъекта или группы, в которую субъект входит.

• безопасность повторного использования объектов- защита от извлечения секретной информации из мусора.

• метки безопасности- присваиваются субъектам и объектам. Метка субъекта описывает его благонадежность, а метка объекта степень его закрытости.

• принудительное управление доступом- основано на сопоставлении меток безопасности субъекта и объекта.

Согласно "Оранжевой книге", метки безопасности состоят из двух частей: уровня секретности и списка категорий. Уровни секретности, поддерживаемые системой, образуют упорядоченное множество, которое может выглядеть, например, так:

• совершенно секретно; секретно; конфиденциально; несекретно.

Классы безопасности.В "Оранжевой книге" определяется четыре уровня надежности (безопасности) - D, C, B и A. Уровень D предназначен для систем, признанных неудовлетворительными. По мере перехода от уровня C к A к надежности систем предъявляются все более жесткие требования. Уровни C и B подразделяются на классы (C1, C2, B1, B2, B3) с постепенным возрастанием надежности.

II. Европейские критерии безопасности информационных технологий. Опубликованы в июне 1991 г.

Основные понятия. «ЕК» рассматривают задачи средств информационной безопасности:

-защита информации от НСД с целью обеспечения конфиденциальности;

-обеспечение целостности информации посредством защиты от ее несанкционированной модификации или уничтожения;

-обеспечение работоспособности систем с помощью противодействия угрозам отказа в обслуживании.

Для признания средств защиты эффективными впервые вводится понятие адекватности средств защиты. Адекватность включает в себя два аспекта: эффективность, отражающую соответствие средств безопасности решаемым задачам и корректность, характеризующую процесс их разработки и функционирования.

Функции защиты с точки зрения «ЕК» - идентификация и аутентификация; управление доступом; подотчетность; аудит; повторное использование объектов; целостность информации; надежность обслуживания; безопасность обмена данными.

Критерии адекватности . «ЕК» определяет семь уровней адекватности от Е0 до Е6 (в порядке ее возрастания). Уровень Е0 обозначает минимальную адекватность. Уровни адекватности от Е1 до Е6 выстроены по нарастанию требований тщательности контроля.

В «ЕК» определены три уровня безопасности – базовый, средний, высокий.

III. Руководящие документы Гостехкомиссии России. В 1992 году - опубликованы пять руководящих документов по защите информации от несанкционированного доступа. Идейной основой этих документов является «концепция». С точки зрения разработчиков данных документов основная и едва ли не единственная задача – обеспечение защиты от НСД к информации. Если средствам контроля и обеспечения целостности еще уделяется некоторое внимание, то поддержке работоспособности АСОИ вообще не уделяется. Уклон в сторону поддержания секретности объясняется тем, что эти документы были разработаны в расчете на применение в спецслужбах РФ, а также невысоким уровнем информационных технологий этих систем по сравнению с современными.

Предлагаются две группы критериев безопасности: показатели защищенности средств вычислительной техники (СВТ) от НСД и критерии защищенности автоматизированных систем (АС) обработки данных.