Глава 6 информационная безопасность

Данная глава преследует цель оценки функции безопасности программы. Анализ программного модуля начинается описанием предназначения, определением среды безопасности и анализом активов, нуждающихся в защите. Строятся предположения на тему безопасного использования программы, определяется цель безопасности. В итоге на основе профиля защиты и заданий по безопасности описывается функциональное требование к безопасности и требование доверия, выясняется уровень доверия.

При оценке использовался документ:

ГОСТ Р ИСО/МЭК 15408-1-2008. Средства и методы обеспечения безопасности. Критерии оценки безопасности информационных технологий.

Часть 1. Введение и общая модель.

Часть 2. Функциональные требования безопасности.

Часть 3. Требования доверия к безопасности.

6.1 Объект оценки

Приложение может быть применено в организациях, как имеющих доступ к Интернету, так и не имеющих. Возможна реализация, когда пользователи будут получать доступ через Интернет, либо возможно расположить ее на сервере, в то время как пользователи локальной сети будут получать доступ.

Приложение предназначено для использования на любом компьютере, следовательно, к программе предъявляются такие же требования, что и к любому ПО.

При работе идет передача данных программы к памяти и жесткому диску компьютера. Передача данных происходит в память. В любом случае данные могут быть перехвачены, если злоумышленник сумеет получить доступ к компьютеру, где установлена программа. К этим данным относятся данные из базы и самой программы.

6.2 Активы, нуждающиеся в защите

Ресурсы, задействованные в разработке продукта: физические, информационные, программные.

К физическим ресурсам (физической среде) относятся: оборудование для разработки и внедрения программы: hardware, оборудование для коммуникаций, носители, иное техническое оборудование, мебель. В нашей задаче средой является компьютер, на котором разрабатывается программный продукт, а также сеть предприятия.

Информационные ресурсы: база данных, файлы, документация, руководства пользователей, обучающие материалы, операционные процедуры и поддержка, план по обеспечению беспрерывности бизнеса, процедура восстановления, архив.

Программные ресурсы: прикладное и системное программное обеспечение, различные средства разработки и утилиты.

Защита необходима файлам программы, по причине возможности несанкционированного доступа к ним. Данные базы будут под контролем злоумышленника, и он получит возможность изменять их. В базе имеются таблицы, анализ которых может дать некоторую информацию о работе приложения. Кроме того, возможно удаление файлов, что сделает приложение неработоспособным. По возможности необходимо защитить память компьютера, дабы злоумышленник, получивший доступ к компьютеру и снявший дамп памяти не смог в нем разобраться.

6.3 Информация о среде безопасности

6.3.1 Предположения о безопасном использовании

Возможны следующие предположения:

- любые системы, с которыми объект оценки взаимодействует, имеют такое же управление и функционируют по одинаковым правилам безопасности, что и объект оценки. КД-совместимые объекты оценки применимы только к сетевым средам, где вся сеть работает с одинаковыми правилами политики безопасности, а также остается одной областью управления;

- для управления объектом оценки и слежения за безопасностью информации назначены конкретные сведущие лица;

• системный управляющий персонал ответственен, управляем и невраждебен, придерживается инструкции документации;

• уполномоченные пользователи имеют необходимые полномочия на доступ, по меньшей мере, до некоторой части информации, могут вместе работать в дружелюбной среде; все связи с внешними устройствами остаются в пределах досягаемости контролируемого доступа. Внутренние пути до точек доступа надежно защищены; пользователи знают политику безопасности предприятия.