7.1. Призначення стандартів інформаційної безпеки

У цьому і двох наступних розділах висвітлено основні положення нормативних документів, що регламентують проектування, розроблення й оцінювання про­грамно-апаратних засобів захищених інформаційно-комунікаційних систем. Окрім діючих вітчизняних і міжнародних документів буде розглянуто також ретроспек­тиву розвитку стандартів, що відображає еволюцію поглядів на вимоги до побу­дови захищених ІКС.

У попередніх розділах докладно описано ті властивості ІКС, що роблять їх уразливими до реалізації багатьох загроз. Складається враження, що, зваживши на всі наявні вади захисту систем, можна створити ідеально захищену систему, точ­ніше — систему, яка не має вад захисту. Але нескладно зрозуміти, що це не так. По перше, захист системи не є головною метою, важливо досягти розумного компро­місу між захищеністю, функціональністю, зручністю у використанні та вартістю системи. По-друге, сучасні технології програмування не дають змоги повністю вик­лючити можливість виникнення помилок. Використання технологій, які зменшу­ють імовірність виникнення помилок, призводить до значного зростання вартості розроблення програмного забезпечення, не гарантуючи повної відсутності поми­лок. Зрештою, слід зауважити, що, крім розглянутих аспектів безпеки (чи небезпе­ки) ІКС (вад захисту і шкідливого програмного забезпечення, що їх використовує), є ще й інші. Ми майже не торкалися теми надійності програмного і апаратного за­безпечення, а також можливих наслідків, спричинених їх відмовами і збоями.

Ще гірша ситуація з мотивацією дій користувачів. Ми говорили про неком­петентність користувачів і свідомо зловмисні наміри деяких сторонніх осіб. Але інколи зловмисники, плануючи цілеспрямовану атаку на систему, де обробля­ється інформація, вартість якої справді висока (наприклад, якщо це інформаційні

системи органів державної влади або банківські платіжні системи), можуть здійснювати підкуп користувачів або впроваджувати своїх агентів у систему.

Як захищати такі системи? Насамперед, розробники інформаційної системи і впровадженої в неї системи захисту мають чітко усвідомлювати, чого саме вони прагнуть досягти і якого кінцевого результату слід очікувати. Потрібно точно ви значити висунуті до системи вимоги, що і яким чином вона має забезпечувати,

а також (що є дуже важливим) в який спосіб це можна перевірити і оцінити.

Викорінення вад захисту — це лише тактичний крок, так би мовити, «підхід знизу». Він позбавляє систему від окремих уразливостей і підвищує її захищеність, але не дозволяє оцінити, якою мірою було виконано це завдання і чи було досягнуто необхідного рівня захисту. Безпека системи — характеристика якісна, яку неможливо виміряти. Різні фахівці пропонують різні шляхи підвищення захищеності системи і по-різному її оцінюють.

Єдиний спосіб оцінити захищеність систем і узгодити думки різних фахівців

щодо цього — розробити стандарт, який би регламентував концепції інформаційної безпеки, методи її досягнення, вимоги до систем і шляхи їх реалізації, а також надавав систему критеріїв і процедури оцінювання систем за цими критеріями.

Фактично, стандарти визначають стратегічний підхід до створення захищених систем, або «підхід зверху».

Розроблені та затверджені стандарти інформаційної безпеки дають змогу вирі шити низку непростих завдань. По-перше, вони створюють базу для погодження вимог розробників систем, споживачів (користувачів систем і власників інформації, що в них обробляється) і експертів, що оцінюють захищеність інформації в системах (а за потреби і державних або відомчих органів, які видають дозвіл па експлуатацію системи і оброблення в ній певної інформації).

Стандарти інформаційної безпеки — порівняно новий вид стандартів, який існує трохи більше двадцяти років. За цей період деякі з концепцій набули певного розвитку, але майже повністю зберегли свою основу, решта зазнали суттєвих змін. Ми розглянемо стандарти у хронологічному порядку, зосереджуючи увагу на критеріях оцінювання захищеності систем.