8.3. Керівні документи з вимогами до захисту інформації в інформаційних системах певних типів

Як уже зазначалося, ефективно застосовувати критерії оцінювання захищеності інформації, що обробляється в інформаційно-комунікаційних системах або окре­мих їх компонентах, можна лише за умови, що буде розроблено нормативну базу із застосування цих критеріїв. Однією з найважливіших складових такої нор­мативної бази є вимоги до захисту інформації в інформаційних системах окремих типів, які містять, зокрема, стандартні функціональні профілі захищеності, вимоги до необхідного рівня гарантій, вимоги до реалізації політики послуг безпеки. Робо­та зі створення таких нормативних документів наразі триває. У цьому підрозділі буде розглянуто два документи: «Вимоги із захисту конфіденційної інформації від несанкціонованого доступу під час оброблення в автоматизованих системах класу 2» (НД ТЗІ 2.5-008-02) [84] та «Вимоги до захисту інформації веб-сторінки від несанкціонованого доступу» (НД ТЗІ 2.5-010-03) [85].

8.3.1. Вимоги із захисту конфіденційної інформації

від несанкціонованого доступу під час оброблення

в автоматизованих системах класу 2

Цей документ надає нормативно-методологічну базу для розроблення комплексу засобів захисту від несанкціонованого доступу до конфіденційної інформації, яка обробляється в АС класу 2, створення комплексної системи захисту інформації,

проведения аналізу та оцінювання захищеності інформації від несанкціонованого доступу в системах класу 2. Документ містить також рекомендації щодо визначення необхідного функціонального профілю захищеності інформації в конкретній АС.

У документі наведено загальні вимоги до захисту конфіденційної інформації (які випливають із вимог чинного законодавства) та характеристики типових умов функціонування АС класу 2. Тут розглянуто вимоги до обчислювальної системи, фізичного середовища, в якому вона розташована і функціонує, користувачів АС та оброблюваної інформації, зокрема до технології її оброблення. На підставі загальних вимог і типових умов функціонування розроблено вимоги що до захисту інформації в АС класу 2.

Для АС класу 2 документом визначено такі стандартні функціональні профілі захищеності оброблюваної інформації.

• Для технології, що вимагає підвищених вимог до забезпечення конфіденційності оброблюваної інформації:

2.К.З = {КД-2, КА-2, КО-1, НР-2, НК-1, НЦ-2, НТ-2, НИ-2, НО-2}.

♦ Для технології, що вимагає підвищених вимог до забезпечення конфіденційності та цілісності оброблюваної інформації:

2.КЦ.З = {КД-2, КА-2, КО-1, ЦД-1, ЦА-2, ЦО-1, НР-2, НК-1, НЦ-2, НТ-2, НИ-2, НО-2}.

♦ Для технології, що вимагає підвищених вимог до забезпечення конфіденційності та доступності оброблюваної інформації:

2.КД.1а = {КД-2, КА-2, КО-1, ДР-1, ДС-1, ДЗ-1, ДВ-1, НР-2, НК-1, НЦ-2, НТ-2, НИ-2, НО-2}.

• Для технології, що вимагає підвищених вимог до забезпечення конфіденційності, цілісності та доступності оброблюваної інформації:

2.КЦД.2а = {КД-2, КА-2, КО-1, ЦД-1, ЦА-2, ЦО-1, ДР-1, ДС-1, ДЗ-1, ДВ-1, НР-2, НК-1, НЦ-2, НТ-2, НИ-2, НО-2}.

Документ визначає, що мінімальним достатнім рівнем гарантій реалізації КЗЗ АС класу 2 є рівень Г-2. Послугу безпеки КО-1 можна не реалізовувати, якщо в АС класу 2 усіх користувачів допущено до оброблення конфіденційної інформації одного рівня.

Основним принципом політики безпеки визначено адміністративний принцип розмежування доступу, який забезпечують послуги безпеки КА і ЦА. Послуги безпеки, що базуються на довірчому принципі розмежування доступу (КД і ЦД), реалізують у випадках, коли політикою безпеки передбачено створення груп користувачів з однаковими повноваженнями для розмежування доступу до об'єктів, що містять конфіденційну інформацію, у межах цих груп, а також для розмежування доступу до об'єктів, які потребують захисту, але не містять конфіденційної інформації.

Крім того, в документі детально розглянуто політику реалізації послуг безпеки інформації в АС класу 2. Керуючись цим документом, можна розробити технічне завдання на створення КСЗІ в АС класу 2.