8.2.2. Потенційні загрози безпеці та типові завдання захисту

Загрози безпеці обчислювальної системи — впливи на обчислювальну систему, які прямо або побічно можуть нанести шкоду її безпеці. Розробники вимог безпеки та засобів захисту виділяють три види загроз:

• загрози порушення конфіденційності інформації;

• загрози порушення цілісності інформації;

• загрози порушення працездатності системи (відмови в обслуговуванні).

Загрози порушення конфіденційності — загрози безпеці обчислювальної системи, спрямовані на розголошення інформації з обмеженим доступом.

Загрози порушення цілісності — загрози безпеці обчислювальної системи, що полягають у спотворенні або зміні неавторизованим користувачем інформації, що зберігається або передається. Цілісність інформації може бути порушена як зловмисником, так і в результаті об'єктивних впливів з боку середовища експлуатації системи. Найбільш актуальна ця загроза для систем передавання інформації — комп'ютерних мереж і систем телекомунікації.

Загрози порушення працездатності — загрози безпеці обчислювальної системи, спрямовані на створення ситуацій, коли в результаті навмисних дій понижується працездатність обчислювальної системи, або її ресурси стають недоступними.

Завдання захисту — в "Загальних критеріях" декларуються наступним чином:

• захист від загроз порушення конфіденційності (несанкціонованого одержання) інформації з усіх каналів її витоку, особливо за рахунок каналів ПЕМВН і прихованих (таємних) каналів зв'язку;

• захист від загроз порушення цілісності (несанкціонованого змінювання інформації);

• захист від загроз порушення доступності інформації (несанкціонованого або випадкового обмеження інформації та ресурсів самої системи);

• захист від загроз аудиту системи (наприклад, загрози несанкціонованих вторгнень у систему, маніпуляцій з протоколами обміну та аудиту, із загальносистемним програмним забезпеченням).

8.2.3. Політика безпеки

Політика безпеки [security policy] — сукупність законів, норм і правил, що регламентують порядок обробки, захисту і розповсюдження інформації комп'ютерної системи.

В системах зв'язку політика безпеки є частиною загальної політики безпеки оператора зв'язку і може включати, зокрема, положення державної політики у галузі захисту інформації.

Для кожної системи (підсистеми) зв'язку політика безпеки може бути індивідуальною і може залежати від технології передавання, обробки та зберігання інформації, що реалізується, особливостей системи зв'язку, середовища експлуатації і від багатьох інших факторів. Політика повинна визначати ресурси системи зв'язку, які потребують захисту, зокрема, встановлювати категорії інформації, яка передається, оброблюється та зберігається в системі. Мають бути сформульовані основні загрози для системи зв'язку, персоналу, інформації різних категорій і вимоги до захисту від цих загроз.

Складовими частинами загальної політики безпеки в системі зв'язку мають бути політики забезпечення конфіденційності, цілісності і доступності інформації, що передається, оброблюється і зберігається. Відповідальність персоналу за виконання положень політики безпеки має бути персоніфікована.

Частина політики безпеки, яка регламентує правила доступу користувачів і процесів системи зв'язку, складає правила розмежування доступу.