Стандарти захисту інформації

Для узгодження всіх підходів до проблеми створення захищених систем розроблені стандарти інформаційної безпеки - документи, які регламентують основні поняття та концепції інформаційної безпеки на державному та міждержавному рівнях, визначають поняття “захищена система” шляхом стандартизації вимог та критеріїв безпеки, які формують шкалу оцінки ступеня захищеності ІС. Саме наявність таких стандартів дозволяє узгоджувати потреби користувачів та замовників ІС з якісними характеристиками ПЗ, що створюють розробники ІС.

Захищена система - це система, яка відповідає конкретному стандарту інформаційної безпеки.

Будь-який захист починається з визначення того, що потрібно захищати, від яких загроз і якими засобами. Тому захист інформації починається із встановлення співвідношень між трьома фундаментальними властивостями інформації - конфіденційність (запобігання несанкціонованому читанню або отриманню деяких відомостей про інформацію); цілісністю (запобігання несанкціонованій модифікації або руйнуванню інформації) й доступністю (забезпечення доступності даних для авторизованих користувачів) - для конкретної ПрО. Саме ці співвідношення і є змістом політики безпеки інформації.

Дотримання ПБ має забезпечити той компроміс, що обрали власники цінної інформації для її захисту. Після прийняття такого рішення можна будувати захист, тобто систему підтримки виконання правил ПБ. Таким чином, побудована система захисту інформації задовільна, якщо вона надійно підтримує виконання правил ПБ.

Таке визначення проблеми захищеності інформації дозволяє залучити точні математичні методи для доведення того, що дана система у заданих умовах підтримує ПБ. Це дозволяє говорити про “гарантовано захищену систему”, в якій при дотримуванні початкових умов виконуються усі правила ПБ. Термін “гарантований захист” вперше зустрічається у стандарті міністерства оборони США на вимоги до захищених систем - "Оранжевій книзі" (OK). ОК була розроблена у 1983 р. і прийнята стандартом у 1985 р. Міністерством оборони США для визначення вимог безпеки до апаратного, програмного і спеціального забезпечення комп’ютерних систем та створення відповідних методологій аналізу ПБ, що реалізувалася в комп’ютерних системах військового призначення. OK надає виробникам стандарт, що встановлює, якими засобами безпеки варто оснащувати свої продукти, щоб вони задовольняли вимоги гарантованої захищеності (мається на увазі, насамперед, захист від розкриття даних) для використання при обробці цінної інформації.

Країни Європи (Франція, Німеччина, Нідерланди, Великобританія) у 1991 р. розробили спільні “Критерії безпеки інформаційних технологій” (“Information Technology Security Evaluation Criteria”), в яких розглянуті такі цілі засобів інформаційної безпеки:

• захист інформації від несанкціонованого доступу з ціллю забезпечення конфіденційності,

• забезпечення цілісності інформації шляхом захисту її від несанкціонованої модифікації та знищення,

• забезпечення працездатності систем за допомогою протидії загрозам відмови в обслуговуванні.

У 1992 році Державна технічна комісія Росії видала від свого імені документи, аналогічні за цілями і змістом ОК.

У всіх документах, пов'язаних з ОК, безпеку інформації розуміють як контроль за доступом до інформації.

Окрім передумов для протидії всім основним видам загроз, ОК містить вимоги, в основному спрямовані на протидію загрозам конфіденційності. Це пояснюється її орієнтованістю на системи військового призначення. Європейські критерії безпеки ІТ перебувають приблизно на тому ж рівні, хоч і приділяють загрозам цілісності набагато більшу увагу. Документи Державної технічної комісії Росії виглядають більш відсталими, тому що навіть у самій їхній назві визначена єдина аналізована в них загроза - несанкціонований доступ.

Федеральні критерії безпеки інформаційних технологій, що були розроблені в складі американського федерального стандарту з обробки інформації як альтернатива ОК, докладно розглядають усі види загроз і пропонують механізм профілів захисту для опису загроз безпеки, що властиві середовищу експлуатації конкретного продукту ІТ. Це дозволяє враховувати специфічні види загроз. Канадські критерії безпеки комп'ютерних систем, що були розроблені в Центрі безпеки відомства безпеки зв'язку Канади на основі ОК і під впливом Федеральних критеріїв безпеки інформаційних технологій США, обмежуються типовим набором загроз безпеки. Єдині критерії безпеки інформаційних технологій ставлять на перше місце задоволення потреб користувачів, пропонуючи для цього відповідні механізми, що дозволяє говорити про якісно новий підхід до проблеми безпеки інформаційних технологій. Прийняті в Україні критерії, що складаються з чотирьох документів, найбільш близькі до Канадських критерії безпеки.

Комп’ютерна система безпечна, якщо вона забезпечує контроль за доступом до інформації так, що тільки уповноважені особи або процеси, що функціонують від їхнього імені, мають право читати, писати, створювати або знищувати інформацію.

Політика безпеки містить норми, правила і практичні прийоми, що регулюють управління, захист і розподіл цінної інформації. ПБ надає комплекс поглядів, основних принципів, практичних рекомендацій і вимог, що закладаються в основу комплексної системи захисту інформації.

Рівні ПБ:

• політичний (розроблення офіційної політики захисту інформації);

• аналітичний (створення процедур для попередження порушень);

• профілактичний (типи процедур, послуги і функції інформаційної безпеки);

• управлінський (реакція на порушення інформаційної безпеки);

• технологічний (розроблення заходів, що застосовуються після порушень).

Створення політики захисту означає розроблення плану вирішення питань, що пов’язані з комп’ютерним захистом. Один з найбільш загальних підходів до рішення цієї проблеми полягає в формулюванні відповідей на питання:

• Від кого і від чого потрібно захищати інформацію?

• Які ймовірні загрози захищеній інформації?

• Які рішення щодо забезпечення захисту існують?

• Чи можуть ці рішення забезпечити достатній захист?

• Які заходи для реалізації обраних рішень найбільш економічні?

• Як постійно стежити за процесом захисту і покращувати його, якщо знайдене слабке місце?

Ідентифікація - розпізнавання імені об'єкта. Об'єкт, що ідентифікується, має бути однозначно розпізнаваним.

Аутентифікація - це підтвердження того, що пред'явлене ім'я відповідає об'єкту.

Аудит - реєстрація подій, що дозволяє відновити і довести факт здійснення цих подій. Крім того, аудит передбачає аналіз тієї інформації, що реєструється.

Гарантованість – міра довіри, яка має бути надана архітектурі та реалізації ІС.