- •Стандарты в информационной безопасности
- •1. Политика безопасности
- •2. Подотчётность
- •3. Гарантии
- •I. Группа d – минимальная защита.
- •II. Группа c - дискреционная защита.
- •3. Группа b – мандатная защита
- •4. Группа a – верифицированная защита
- •1. Подсистема управления доступом
- •2. Подсистема регистрации и учёта
- •3. Криптографическая подсистема
- •4. Подсистема обеспечения целостности
- •1. Контроль состава и содержания документации
- •2. Контроль исходного состояния программного обеспечения.
- •3. Статический анализ исходных текстов программ.
- •4. Динамический анализ исходных текстов программ
- •5. Отчётность
- •1. Потребители.
- •2. Разработчики
- •3. Оценщики
- •2. Угрозы безопасности
- •3.4.3. Структура и содержание профиля защиты
Стандарты в информационной безопасности
ОБЩИЕ СВЕДЕНИЯ.
В общем случае стандартом принято называть документ, в котором в целях добровольного многократного использования устанавливаются характеристики продукции, правила осуществления и характеристики процессов производства, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ или оказания услуг. Стандарт может задавать и другие требования – например, к символике или терминологии.
Формальной причиной необходимости использования стандартов является тот факт, что необходимость следования некоторым из них закреплена законодательно.
Реальные причины гораздо глубже – обычно стандарт является результатом формализации опыта лучших специалистов в той или иной области, и потому представляет собой надёжный источник оптимальных и проверенных решений.
Стандарты являются также одним из основных механизмов обеспечения совместимости продуктов и систем – в частности, АС, использующих решения от различных производителей.
Остановимся на стандартах в области информационной безопасности [25]. Их общепринятая классификация с примерами приведена на рис. 3.1.
Рис. 3.1. Классификация стандартов в области информационной безопасности
Перечислим основные стандарты в области информационной безопасности, имеющие в настоящее время официальный статус в Российской Федерации:
- Руководящие документы (РД) Гостехкомиссии России действуют и активно используются при проведении сертификации средств защиты информации в системах сертификации ФСТЭК России, Минобороны России, а также в ряде добровольных систем сертификации.
- Стандарт ГОСТ Р ИСО/МЭК 15408-2002, более известный как «Общие критерии», действует и применяется при проведении сертификации средств защиты, не предназначенных для работы с информацией, составляющей государственную тайну. В перспективе предполагается отказ от РД Гостехкомиссии России и полноценный переход к «Общим критериям» как единому оценочному стандарту.
- Криптографические стандарты (ГОСТ 28147-89, ГОСТ 3410-2001, ГОСТ 3411-94) являются обязательными для применения в системах защиты информации, позиционируемых как средства криптографической защиты.
- Управленческие стандарты ISO 17799-2005 и ISO 27001-2005 в настоящее время не имеют в РФ официального статуса, однако планируются к принятию в качестве ГОСТ в ближайшее время
Все остальные спецификации носят сугубо добровольный характер, однако активно используются при построении реальных систем, в первую очередь в целях обеспечения их взаимной совместимости.
«ОРАНЖЕВАЯ КНИГА».
Стандарт «Критерии оценки доверенных компьютерных систем» /Trusted Computer System Evaluation Criteria/, более известный как «Оранжевая книга», [26] был разработан Министерством Обороны США в 1983 г. и стал первым в истории общедоступным оценочным стандартом в области информационной безопасности.
Требования «Оранжевой книги» имеют следующую структуру:
1. Политика безопасности
1.1. Система должна поддерживать точно определённую политику безопасности. Возможность доступа субъектов к объектам должна определяться на основании их идентификации и набора правил управления доступом. По мере необходимости должна использоваться политика мандатного управления доступом.
1.2. С объектами должны быть ассоциированы метки безопасности, используемые в качестве исходной информации для процедур контроля доступа. Для реализации мандатного управления доступом система должна обеспечивать каждому объекту набор атрибутов, определяющих степень конфиденциальности объекта и режимы доступа к этому объекту.