7.4.2. Федеральні критерії безпеки

інформаційних технологій США

«Федеральні критерії безпеки інформаційних технологій США» — це концепту­альний стандарт, який було розроблено як основу для нових підходів до оці­нювання захищеності інформаційних систем в умовах надзвичайно стрімкого роз­витку технологій, що вимагає гнучкості та розширюваності системи оцінювання. Основні завдання цього стандарту:

• визначення універсального і відкритого для подальшого розвитку набору ос­новних вимог безпеки, що висувають до сучасних інформаційних технологій;

• удосконалення наявних вимог і критеріїв безпеки;

♦ приведення до відповідності вимог і критеріїв безпеки інформаційних техно­логій, які було прийнято в різних країнах;

• нормативне закріплення основних принципів інформаційної безпеки.

У «Федеральних критеріях» і в кількох наступних стандартах застосовують тер­мін продукт інформаційних технологій (продукт IT). Згідно з чинним в Україні НД ТЗІ 1.1-003-99 [2], цей термін близький до терміну комп'ютерна система і означає: сукупність наданих для кваліфікаційного аналізу програмних і апарат­них засобів. У керівних документах ДТК Росії використовують термін засіб об­числювальної техніки (рос. — средство вычислительной техники). Зауважимо, що термін із «Федеральних критеріїв» більш гнучкий. Розглядають три етапи розроблення продукту IT.

• Розроблення й аналіз профілю захисту. Вимоги, викладені в профілі захис­ту, визначають функціональні можливості продукту IT із забезпечення безпе­ки та умов його експлуатації, дотримання яких гарантує відповідність пропо­нованим вимогам. Профіль захисту аналізують на повноту, несуперечність і технічну коректність.

• Розроблення і кваліфікаційний аналіз продукту IT. Створений продукт IT піддають незалежному аналізу, мета якого — визначення ступеня відповід­ності характеристик продукту вимогам профілю захисту.

• Компонування і сертифікація системи оброблення інформації в цілому. Отримана в результаті система має задовольняти заявлені у профілі захисту вимоги.

«Федеральні критерії» перший стандарт з інформаційної безпеки, де було визначено три незалежні групи вимог: функціональні вимоги безпеки, вимоги до технології розроблення та вимоги до процесу кваліфікаційного аналізу. Функціональні вимоги безпеки добре структуровані, а їх зміст визначає середовище експлуатації продукту IT. Вимоги до технології розроблення спонукають виробників застосовувати сучасні технології програмування, здатні підтвердити безпеку продукту. Вимоги до процесу кваліфікаційного аналізу мають загальний характер і не містять конкретних методик тестування та дослідження рівня безпеки продукту IT.

У «Федеральних критеріях» уперше було запропоновано концепцію профілю

захисту. Профіль захисту — це спеціальний нормативний документ, що має строго визначені форму і зміст. Він містить такі обов'язкові розділи:

• опис (класифікаційна інформація, необхідна для ідентифікації профілю у спе­ціальній картотеці);

• обґрунтування (опис середовища експлуатації, передбачуваних загроз безпеці та методів використання продукту IT);

• функціональні вимоги до реалізації засобів захисту продукту IT;

• вимоги до технології розроблення продукту IT;

♦ вимоги до процесу кваліфікаційного аналізу.

Цей стандарт ознаменував появу нового покоління стандартів у сфері інфор­маційної безпеки, а його положення було покладено в основу розроблення «Ка­надських критеріїв безпеки комп'ютерних систем» та «Загальних критеріїв без пеки інформаційних технологій» [8-10].

Висновки

1. Стандарти оцінювання захищеності систем регламентують концепції інфор­маційної безпеки, підходи до її досягнення, вимоги до систем і шляхи їх реа­лізації, а також систему критеріїв і процедури оцінювання систем за цими критеріями. Ці стандарти створюють основу для погодження вимог розроб­ників систем, споживачів (користувачів систем і власників інформації, що в них обробляється) та експертів, які оцінюють захищеність інформації в систе­мах. Розглядають три етапи розвитку стандартів, які вплинули на підходи до створення системи критеріїв оцінювання захищеності систем.

♦ Стандарти, орієнтовані на застосування військовими та спецслужбами. Ти­пові риси: єдина ієрархічна шкала оцінювання систем, підвищені вимоги до конфіденційності інформації. Приклади: «Критерії оцінювання захищених систем» Міністерства оборони США («Оранжева книга»), Керівні доку­менти Державної технічної комісії при Президенті Російської Федерації.

♦ Стандарти, що враховують специфіку вимог захисту в різних системах. Типові риси: відмова від єдиної ієрархічної шкали оцінювання систем, на­явність заздалегідь визначених класів для систем із різними вимогами до

властивостей інформації, окреме оцінювання адекватності засобів захисту. Приклади: «Європейські критерії безпеки інформаційних технологій».

♦ Стандарти, що використовують концепцію профілю захисту і дають змогу гнучко оцінювати широкий клас систем. Типові риси: використання спеці­альних документів (профілів захисту), у яких на основі системи критеріїв оцінювання сформульовано вимоги до конкретної системи або класу сис­тем. Приклади: «Федеральні критерії безпеки інформаційних технологій».

2. З використанням концепції профілю захисту процедура оцінювання захище­ності комп'ютерних систем суттєво змінилася. Профіль захисту, в якому врахо­вано специфічні вимоги до системи і особливості середовища її експлуатації, розробляють і обґрунтовують ще на етапі проектування системи. Оцінювання системи виконують відповідно до вимог профілю, обраного для цієї системи, а не згідно з вимогами наперед визначеного класу.

Контрольні запитання та завдання

1. Які завдання виконують стандарти інформаційної безпеки?

2. Назвіть характерні особливості стандартів, орієнтованих на застосування вій­ськовими та спецслужбами? Які вони мають переваги та недоліки?

3. У якому стандарті вперше було введено окреме оцінювання адекватності засо­бів захисту? Дайте визначення адекватних засобів захисту.

4. Сформулюйте основні положення концепції профілю захисту?

5. Дайте повні назви стандартів TCSEC, ITSEC і FCITS.

6. Що таке профіль захисту?

Розділ 8

Нормативно-правова база України

• Закон України «Про захист інформації в інформаційно-телекомунікаційних

системах»

• Критерії захищеності інформації в комп'ютерних системах від

несанкціонованого доступу

• Класифікація автоматизованих систем оброблення інформації та

стандартні функціональні профілі захищеності інформації

в комп'ютерних системах

• Вимоги до окремих типів інформаційно-комунікаційних систем