Роль ведомственных документов и стандартов информационной безопасности

Безопасность является качественной характеристикой системы, и нельзя с однозначным результатом сравнивать безопасность двух систем – одна будет обладать лучшей защитой в одних условиях, другая – в иных. Кроме того, у каждой группы специалистов, занимающихся проблемами безопасности информационных технологий, имеется свой взгляд на безопасность и средства её достижения, а, следовательно, и свой взгляд на то, что должна представлять собой защищённая система. Дополнительно необходимо отметить, что в области информационной безопасности законы реально преломляются и работают через нормативные документы, подготовленные соответствующими ведомствами.

Для согласования всех точек зрения на проблему создания защищённых операционных систем разработаны и продолжают разрабатываться стандарты информационной безопасности. Это документы, регламентирующие основные понятия и концепции информационной безопасности на государственном или межгосударственном уровне, определяющие понятие «защищённая система» посредством стандартизации требований и критериев безопасности, образующих шкалу оценки степени защищённости ВС.

Главная задача стандартов информационной безопасности - создать основу для взаимодействия между производителями, потребителями и экспертами по квалификации продуктов информационных технологий. Каждая из этих групп имеет свои интересы и свои взгляды на проблему информационной безопасности.

Потребители, во-первых, заинтересованы в методике, позволяющей обоснованно выбрать продукт, отвечающий их нуждам, для чего им нужна шкала оценки безопасности и, во-вторых, нуждаются в инструменте, с помощью которого они могли бы формулировать свои требования к производителям. При этом потребителей интересуют исключительно характеристики и свойства конечного продукта, а не методы и средства их достижения.

Производители нуждаются в стандартах как в средстве сравнения возможностей своих продуктов, и в применении процедуры сертификации как механизме объективной оценки их свойств. С точки зрения производителя требования должны быть максимально конкретными и регламентировать необходимость применения тех или иных средств, механизмов алгоритмов и т.п. Кроме того, требования не должны противоречить существующим парадигмам обработки информации, архитектуре вычислительных систем и технологии.

Эксперты по квалификации и специалисты по сертификации рассматривают стандарты как инструмент, позволяющий им оценить уровень безопасности и предоставить потребителям возможность сделать обоснованный выбор.

Таким образом, перед стандартами информационной безопасности стоит непростая задача – примирить точки зрения и создать эффективный механизм взаимодействия всех сторон.

Пакет руководящих документов Гостехкомиссии России

Разработка и публикация в 1992 году документов ГТК явилась следствием бурно развивающегося в России процесса внедрения информационных технологий. До начала 90-х годов необходимости в подобных документах не было, т.к. в большинстве случаев обработка и хранение информации осуществлялось без применения вычислительной техники. Поэтому разработка стандартов подобного рода представляет собой абсолютно новую и незнакомую область деятельности для соответствующих институтов и учреждений, что позволяет трактовать данные документы как первую стадию формирования отечественных стандартов в области информационной безопасности.

Их идейной основой является «Концепция защиты средств вычислительной техники от несанкционированного доступа к информации», содержащая систему взглядов ГТК на проблему информационной безопасности и основные принципы защиты компьютерных систем.

Установлено 7 классов защищённости СВТ от НСД к информации. Самый низкий класс – седьмой (никаких требований), самый высокий - первый.

Требования по безопасности к Автоматизированным Системам предъявляются по четырём свойствам:

Подсистема управления доступом;

Подсистема регистрации и учета;

Криптографическая подсистема;

Подсистема обеспечения целостности.

Документы ГТК устанавливают 9 классов защищённости АС от НСД, каждый из которых характеризуется определённой совокупностью требований к средствам защиты. Классы подразделяются на три группы, отличающиеся спецификой обработки информации в АС.

В пределах каждой группы соблюдается иерархия классов защищённости АС. Класс, соответствующий высшей степени защищённости для данной группы, обозначается индексом NА, где N – номер группы. Следующий класс обозначается NБ и т.д.

К недостаткам данного стандарта относится отсутствие требований к защите от угроз работоспособности, ориентация исключительно на противодействие НСД и отсутствие требований к адекватности реализации политики безопасности. Понятие «политика безопасности» трактуется как поддержание режима секретности и отсутствие НСД, что принципиально неверно. Средства защиты ориентированы исключительно на противодействие внешним угрозам, а к структуре самой системы и её функционированию не предъявляется никаких требований.

При анализе системы защиты внешнего периметра корпоративной сети, в качестве основных критериев используется РД «СВТ. МЭ. Защита от НСД к информации. Показатели защищенности от НСД к информации». Данный документ определяет показатели защищенности МЭ. Каждый показатель защищенности представляет собой набор требований безопасности, характеризующих определенную область функционирования МЭ. Всего выделяется пять показателей защищенности:

Управление доступом

Идентификация и аутентификация

Регистрация событий и оповещение

Контроль целостности

Восстановление работоспособности

На основании показателей защищенности определяется следующие пять классов защищенности МЭ:

Простейшие фильтрующие маршрутизаторы - 5 класс

Пакетные фильтры сетевого уровня - 4 класс

Простейшие МЭ прикладного уровня - 3 класс

МЭ базового уровня - 2 класс

Продвинутые МЭ - 1 класс

МЭ первого класса защищенности могут использоваться в АС класса 1А, обрабатывающих информацию “Особой важности”. Второму классу защищенности МЭ соответствует класс защищенности АС 1Б, предназначенный для обработки “совершенно секретной” информации и т. п.

В настоящее время описанные РД уже устарели и содержащаяся в них классификация АС, СВТ и МЭ не может признаваться состоятельной. Достаточно заметить, что классификация АС и СВТ, разрабатывалась без учета распределенной (сетевой) природы современных АС, а все современные коммерческие МЭ по своим возможностям существенно превосходят требования 1-го класса защищенности (за исключением требования по использованию сертифицированных криптографических алгоритмов).

Несмотря на указанные недостатки, документы ГТК заполнили правовой вакуум в области стандартов информационной безопасности в нашей стране и на определённом этапе оперативно решили актуальную проблему.