FAQ_Print

сертификаций не проводилось. Это факт говорит о том, что условия сертификации (окружение и модель злоумышленника) были подобраны весьма консервативно, в результате чего ни одна из обнаруженных уязвимостей не применима к протестированной конфигурации.

Если подробно говорить про ОК 15408.

Стандарт содержит два основных вида требований безопасности: функциональные, предъявляемые к функциям безопасности и реализующим их механизмам, и требования доверия, предъявляемые к технологии и процессу разработки и эксплуатации.

Чтобы структурировать пространство требований, в стандарте используется иерархия класс-семейство-компонент-элемент: классы определяют наиболее общую, «предметную» группировку требований, семейства в пределах класса различаются по строгости и другим нюансам требований, компонент — минимальный набор требований, фигурирующий как целое, элемент — неделимое требование.

Функциональные требования

Функциональные требования сгруппированы на основе выполняемой ими роли или обслуживаемой цели безопасности, всего 11 функциональных классов (в трёх группах), 66 семейств, 135 компонентов.

Первая группа определяет элементарные сервисы безопасности, например:

FAU — аудит, безопасность (требования к сервису, протоколирование и аудит);

FIA — идентификация и аутентификация;

Вторая группа описывает производные сервисы, реализованные на базе элементарных, например:

FCO — связь (безопасность коммуникаций отправитель-получатель);

FDP — защита данных пользователя;

Третья группа классов связана с инфраструктурой объекта оценки, например:

FMT — управление безопасностью;

FTA — доступ к объекту оценки (управление сеансами работы пользователей);

Классы функциональных требований к элементарным сервисам безопасности

К элементарным сервисам безопасности относятся следующие классы FAU, FIA и FRU.

Класс FAU включает шесть семейств, причём каждое семейство может содержать разное число компонентов.

351

Требования доверия

Требования гарантии безопасности (доверия) — требования, предъявляемые к технологии и процессу разработки и эксплуатации объекта оценки. Разделены на 10 классов, 44 семейства, 93 компонента, которые охватывают различные этапы жизненного цикла.

Первая группа содержит классы требований, предшествующих разработке и оценке объекта:

APE — оценка профиля защиты;

ASE — оценка задания по безопасности.

Вторая группа связана с этапами жизненного цикла объекта аттестации, например:

ALC — поддержка жизненного цикла;

ATE — тестирование;

Если подробнее говорить про Оранжевую книгу (в основном критерии оценки защищенности):

Стандарты и спецификации бывают двух типов:

•Оценочные стандарты, направлены на классификацию комплексных систем и средств защиты.

•Технические сертификации, регламентирующие различные аспекты реализации средств защиты.

Оценочные стандарты выделяют важнейшие с точки зрения информационной безопасности аспекты компьютерных систем, играя роль архитектурных спецификаций.

Под технической спецификацией понимают, как строить компьютерную систему предписанной архитектуры.

Первым оценочным стандартом стала так называемая «Оранжевая книга», в которой речь идет не о безопасных, а о доверенных системах (можно отказать определенную степень доверия).

Вместе с тем, «Оранжевая книга» поясняет понятие безопасной системы, которая управляет с помощью соответствующих средств доступом к информации, так что только должным образом авторизованные лица, или процессы, действующие от имени этих лиц, получают право записывать, читать, редактировать и удалять информацию. Там же описано, что полностью безопасных систем не существует, это абстракция, есть лишь степень доверия, которую можно оказать

той или иной системе.

В «Оранжевой книге» доверенная система определяется как система, исполь-

352

зующая достаточные аппаратные и программные средства, чтобы обеспечить одновременную обработку информации разной степени секретности группой пользователей, без нарушения прав доступа.

Степень доверия оценивается по двум критериям:

1.Политика безопасности. Набор законов, правил и норм поведения, определяющих, как организация обрабатывает, защищает и распространяет информацию.

В зависимости от сформулированной политики можно выбрать конкретные механизмы обеспечения безопасности. Можно отметить, что политика безопасности – это активный аспект защиты, включающий в себя анализ возможных угроз и выбор мер противодействия.

2.Уровень гарантированности. Мера доверия, которая может быть оказана архитектуре и реализации компьютерной системы.

Уровень гарантированности показывает, насколько корректны механизмы, отвечающие за реализацию политики безопасности. Уровень гарантированности

– это пассивный аспект защиты.

Механизмы протоколирования, доверительная система должна фиксировать все события касающиеся безопасности.

Центральным, при оценке степени безопасности, является концепция доверенной вычислительной базы.

Доверенная вычислительная база – совокупность защитных механизмов компьютерной системы, отвечающих за приведение в жизнь политики безопасности.

Основным назначение доверительной вычислительной базы является выполнение функции монитора обращения, т.е. контролировать допустимость выполнения субъектами операций над объектами компьютерной системы.

Монитор безопасности должен обладать тремя качествами:

•Изолированность.

•Полнота.

•Верифицируемость.

Согласно «Оранжевой книги» политика безопасности должна включать в себя следующие элементы:

•Произвольное управление доступом.

•Безопасность повторного использование объектов.

•Метки безопасности.

•Принудительное управление доступом.

353

5. Общая классификация угроз.

Под угрозой безопасности информации в компьютерной системе (КС) понимают событие или действие, которое может вызвать изменение функционирования КС, связанное с нарушением защищенности обрабатываемой в ней информации.

Угрозы информационной безопасности могут быть разделены на угрозы, не зависящие от деятельности человека - естественные, и угрозы, вызванные человеческой деятельностью искусственные угрозы.

Искусственные угрозы исходя из их мотивов разделяются на непреднамеренные (случайные) и преднамеренные (умышленные).

К непреднамеренным угрозам относятся:

•ошибки в проектировании КС;

•ошибки в разработке программных средств КС;

•случайные сбои в работе аппаратных средств КС, линий связи, энергоснабжения;

•ошибки пользователей КС;

•воздействие на аппаратные средства КС физических полей других электронных устройств (при несоблюдении условий их электромагнитной совместимости)

идр.

К умышленным угрозам относятся:

•несанкционированные действия обслуживающего персонала КС

•несанкционированный доступ к ресурсам КС со стороны пользователей КС

ипосторонних лиц

В зависимости от целей преднамеренных угроз безопасности информации в КС угрозы могут быть разделены на три основные группы:

•угроза нарушения конфиденциальности

•угроза нарушения целостности

•угроза нарушения доступности информации.

355

6. Защищенные виды исполнения компьютерных систем.

Автоматизированная(компьютерная) система в защищенном исполнении — автоматизированная система, реализующая информационную технологию выполнения установленных функций в соответствии с требованиями стандартов и/ или иных нормативных документов по защите информации.

ГОСТ Р 51583-2014 Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Общие положения

От этого документа необходимо плясать для ответа на вопрос, но в какую сторону не совсем понятно. Как таковых видов исполнения не обнаружено, но если копнуть в старые законы, которые могут НЕ действовать можно дополнить такой информацией:

Основными направлениями защиты АС являются:

•защита информации от технических средств разведки;

•защита информации от несанкционированного доступа к информации и/ или ее носителю;

•защита информации от различных видов воздействий на информацию и/

или ее носитель.

Мероприятия по защите АС должны обеспечивать предупреждение возникновения факторов, воздействующих на информацию и/или ее носители, и блокирования каналов утечки информации и несанкционированного доступа к информации и ее носителям, соответствовать современному состоянию развития науки

итехники и быть экономически оправданными.

4.12.Основными направлениями и видами работ по обеспечению ЗИ при создании АС в защищенном исполнении являются:

•категорирование (класс защищенности) АС в зависимости от важности защищаемой информации, обрабатываемой в АС;

•обоснование требований по ЗИ в АС;

•разработка и осуществление мероприятий по ЗИ в АС;

•обоснование требований к проведению различных видов испытаний на соответствие требованиям по ЗИ;

•разработка документации по ЗИ в АС для всего жизненного цикла;

356

•проведение экспертизы различных видов документации АС с точки зрения

иреализуемости требований по ЗИ;

•проведение сертификации средств защиты информации и компонентов АС на соответствие требованиям стандартов и/или иных нормативных документов по ЗИ;

•проведение аттестации АС в защищенном исполнении;

•контроль эффективности защиты информации на всех стадиях создания

АС.

Работы по созданию АС в защищенном исполнении должны осуществляются по двум направлениям:

•разработка СВТ общего и специального назначения, защищенных от утечки, искажения или уничтожения защищаемой информации, включая разработку программных и технических (в том числе криптографических) средств и систем защиты информации;

•разработка, внедрение и эксплуатация АС в защищенном исполнении различного уровня и назначения, создаваемых на базе защищенных средств вычислительной техники, прошедших сертификационные испытания на соответствие требованиям стандартов и/или иных нормативных документов по защите информации, так и на базе несертифицированных технических и программных средств и систем АС собственной разработки, но с разработкой системы защиты информации, которая должна быть подсистемой (компонентом) АС.

Разработка средств вычислительной техники и АС в защищенном исполнении

должна осуществляться с использованием следующих компонентов в различном их сочетании:

•защищенных общесистемных программных средств (операционных систем, систем управления базами данных, сетевых программных средств);

•защищенных прикладных программных средств на базе общесистемного программного обеспечения, находящегося в эксплуатации и поставляемого вместе с незащищенными средствами вычислительной техники предприятиями-из- готовителями или государственным Фондом алгоритмов и программ:

•средств вычислительной техники в защищенном исполнении;

•технических средств и/или систем защиты информации.

Для создания АС в защищенном исполнении применяются технические, программные и программно-технические средства защиты информации и средства контроля эффективности ЗИ общего и специального применения, также техни-

ческие и программные средства АС в защищенном исполнении.

357

7. Аудит компьютерных систем.

Аудит представляет собой независимую экспертизу отдельных областей

функционирования организации, проводимую по инициативе ее руководства или акционеров, либо в соответствии с планом проведения внутреннего аудита. Основными целями проведения аудита безопасности являются:

•анализ рисков, связанных с возможностью осуществления угроз безопасности в отношении ресурсов ИС;

•оценка текущего уровня защищенности ИС;

•локализация узких мест в системе защиты ИС;

•оценка соответствия ИС существующим стандартам в области информационной безопасности;

•выработка рекомендаций по внедрению новых и повышению эффективности существующих механизмов безопасности ИС.

Работы по аудиту безопасности ИС включают в себя ряд последовательных этапов:

•Инициирование обследования

•Сбор информации

•Анализ полученных данных

•Выработка рекомендаций

•Подготовка отчета по результатам обследования

Подходы к проведению аудита безопасности могут базироваться на анализе рисков, опираться на использование стандартов информационной безопасности, либо объединять оба эти подхода.

Результатом проведения аудита, в последнее время, все чаще становится сертификат, удостоверяющих соответствие обследуемой ИС требованиям признанного международного стандарта. В настоящей статье рассмотрено несколько стандартов и программ сертификации, имеющих практическое значение.

Международные стандарты ISO17799 и ISO15408 служат основой для проведения любых работ в области информационной безопасности, в том числе и аудита. ISO17799 сосредоточен на вопросах организации и управления безопасностью, в то время как ISO15408 определяет детальные требования, предъявляемые к программно-техническим механизмам защиты информации.

ISO 17799 может использоваться в качестве критериев для оценки механизмов безопасности организационного уровня, включая административные, процедур-

358

ные и физические меры защиты.

Практические правила разбиты на следующие 10 разделов:

•Политика безопасности

•Организация защиты

•Классификация ресурсов и их контроль

•Безопасность персонала

•Физическая безопасность

•Администрирование компьютерных систем и вычислительных сетей

•Управление доступом

•Разработка и сопровождение информационных систем

•Планирование бесперебойной работы организации

•Контроль выполнения требований политики безопасности

Десять средств контроля, предлагаемых в ISO 17799 (они обозначены как ключевые), считаются особенно важными. Под средствами контроля в данном контексте понимаются механизмы управления информационной безопасностью организации.

Проект Руководящих документов "Специальные требования и рекомендации по защите конфиденциальной информации" (СТР-К), официально еще не принятый, содержит достаточно полный набор требований и рекомендаций организационного уровня по защите речевой информации, информации, обрабатываемой средствами вычислительной техники, а также по защите информации при подключении к сетям общего пользования. Рассматриваются, в частности, следующие вопросы:

•защита информации на рабочих местах на базе автономных ПК;

•защита информации при использовании съемных накопителей большой емкости для автоматизированных рабочих мест на базе автономных ПК;

•защита информации в локальных сетях;

•защита информации при межсетевом взаимодействии;

•защита информации при работе с системами управления базами данных.

СТР-К может использоваться при проведении аудита и аттестации безопасности АС для оценки полноты и правильности реализации организационных мер защиты информации.

359

8. Вспомогательные средства проведения аудита компьютерных систем.

193.124.209.204/default.aspx?db=book_permyakov&int=VIEW&el=1880&templ =I206

Десять ключевых средств контроля (ISO 17799), перечисленные ниже, представляют собой либо обязательные требования, например, требования действующего законодательства, либо считаются основными структурными элементами информационной безопасности, например, обучение правилам безопасности. Эти средства контроля актуальны для всех организаций и сред функционирования АС и составляют основу системы управления информационной безопасностью.

Ключевыми являются следующие средства контроля:

•документ о политике информационной безопасности;

•распределение обязанностей по обеспечению ИБ;

•обучение и подготовка персонала к поддержанию режима ИБ;

•уведомление о случаях нарушения защиты;

•средства защиты от вирусов;

•планирование бесперебойной работы организации;

•контроль над копированием программного обеспечения, защищенного законом об авторском праве;

•защита документации организации;

•защита данных;

•контроль соответствия политике безопасности.

Процедура аудита безопасности ИС включает в себя проверку наличия перечисленных ключевых средств контроля, оценку полноты и правильности их реализации, а также анализ их адекватности рискам, существующим в данной среде

функционирования. Составной частью работ по аудиту безопасности ИС также является анализ и управление рисками.

В настоящее время имеется большое разнообразие как методов анализа и управления рисками, так и реализующих их программных средств.

Одним из наиболее мощных и универсальных инструментов, анализа рисков

является метод CRAMM. Программное обеспечение CRAMM, помимо анализа и управления рисками, позволяет решать также и ряд других аудиторских задач,

360