8.3.2. Вимоги до захисту інформації веб-сторінки від несанкціонованого доступу

Цей документ надає нормативно-методологічну базу для розроблення комплексу засобів захисту від несанкціонованого доступу до інформації веб-сторінки під час створення КСЗІ. У документі наведено загальні вимоги до захисту інформації веб-сторінки (які випливають із вимог чинного законодавства). Оскільки актуалі­зацію розміщених на веб-сторінці інформаційних ресурсів та керування доступом до них слід здійснювати за допомогою АС, в яких створено КСЗІ, в документі на­ведено характеристики типових умов функціонування такої АС. Тут розглянуто вимоги до обчислювальної системи, фізичного середовища, в якому вона розта­шована і функціонує, користувачів АС та оброблюваної інформації, зокрема до технології її оброблення.

У документі зазначено такі типові особливості веб-сторінок.

♦ Інформацію веб-сторінки поділяють на дві категорії: загальнодоступну та тех­нологічну. Загальнодоступну інформацію може використовувати будь-яка фі­зична чи юридична особа, що має доступ до Інтернету. Технологічна інфор­мація веб-сторінки стосується КСЗІ, а також адміністрування та керування обчислювальною системою АС і засобами оброблення інформації. Це дані про мережні адреси, імена, персональні ідентифікатори та паролі користувачів, їхні повноваження та права доступу до об'єктів, інформація журналів реєстрації дій користувачів, інша інформація баз даних захисту, встановлені робочі парамет­ри окремих механізмів або засобів захисту, інформація про профілі обладнання та режими його функціонування, параметри функціонального ПЗ тощо. Техно­логічну інформацію можуть використовувати лише вповноважені користува­чі — співробітники служби захисту інформації й персонал, що забезпечує функ­ціонування АС. Слід звернути увагу на те, що розміщувати на веб-сторінці конфіденційну інформацію чинне законодавство не дозволяє. Якщо інформа­ція не є власністю держави або інформацією з обмеженим доступом, вимогу щодо захисту якої встановлено законом, то власник інформації може запро­ваджувати правила доступу до неї на свій розсуд, щоправда, захист конфіден­ційності такої інформації в Інтернеті гарантувати не можна.

♦ Веб-сторінка може бути розміщеною як на території власника інформації, так і на території сторонньої організації (наприклад, оператора мережі доступу до Інтернету). В останньому випадку заходів із захисту інформації слід вживати не лише власникам інформації, але й власникам автоматизованої системи, де розміщено веб-сторінку. Власник інформації, виходячи з чинного законодав­ства, визначає правила доступу до неї, а власник системи здійснює захист інформації, зокрема забезпечує відповідне розмежування доступу до такої ін­формації.

♦ Доступ до технологічної інформації та передавання даних для актуалізації загальнодоступної інформації здійснюють у два способи: з робочої станції, розташованої на тій самій території, що і веб-сервер (установи-власника веб-сторінки або оператора), чи з терміналу веб-сервера (технологія ТІ), або ж з робочої станції, розміщеної на території установи-власника веб-сторінки, до веб-сервера, розташованого на території оператора, з використанням мереж передавання даних (технологія Т2). Технологія Т1 відрізняється від технології Т2 наявністю у другому випадку незахищеного середовища, яке не контролюється, і додатковими вимогами щодо ідентифікації та автентифікації між КЗЗ робочої станції й КЗЗ веб-сервера під час спроби розпочати обмін інформацією та забезпечення цілісності інформації під час обміну.

На підставі загальних вимог і типових умов функціонування розроблено де тальні вимоги щодо захисту інформації веб-сторінки. Для неї документом визначено такі стандартні функціональні профілі захищеності оброблюваної інформації

♦ За умови, що доступ до технологічної інформації та передавання даних для актуалізації загальнодоступної інформації здійснюється за технологією Т1:

{КА-2, ЦА-1, ЦО-1, ДВ-1, ДР-1, НР-2, НИ-2, НК-1, НО-1, НЦ-1, НТ-1}.

♦ За умови, що доступ до технологічної інформації та передавання даних для актуалізації загальнодоступної інформації здійснюється за технологією Т2:

{КА-2, КВ-1, ЦА-1, ЦО-1, ЦВ-1, ДВ-1, ДР-1, НР-2, НИ-2, НК-1, НО-1, НЦ-1,

НТ-1, НВ-1}.

Мінімальним достатнім рівнем гарантій реалізації КЗЗ веб-сторінки є рівень Г-2. Крім того, в документі детально розглянуто політику реалізації послуг безпеки інформації в АС, що забезпечує функціонування веб-сторінки.

Висновки

• Відповідно до закону України «Про інформацію», всю інформацію поділено на відкриту та інформацію з обмеженим доступом. Такий розподіл за режи­мами доступу до інформації здійснюють виключно на підставі ступеня її кон­фіденційності.

• Основним законом, який регламентує відносини суб'єктів, що пов'язані із за хистом інформації в комп'ютерних системах, є Закон України «Про захист інформації в інформаційно-телекомунікаційних системах», що набув чинності з 5 липня 1994 року.

• Доступ користувачів до інформації, яка є власністю держави, або до інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом, та їхні повноваження стосовно цієї інформації визначено законодавством. Таку інформацію слід обробляти в системі із застосуванням КСЗІ, підтвердження відповідності якої здійснено за результатами державної експертизи. Власник системи, в якій обробляється така інформація, має утворити службу захисту

інформації або призначити осіб, які б відповідали за забезпечення захисту та здійснювали контроль.

• Критерії оцінювання комп'ютерних систем визначено в НД ТЗІ 2.5-004-99. Функціональні вимоги до засобів захисту подано у вигляді специфікацій по­слуг безпеки, які чітко структуровані за ознакою протидії певним загрозам: конфіденційності, цілісності, доступності та спостережності. Вимоги до га­рантій реалізації КЗЗ дають змогу визначити ступінь довіри до засобів забез­печення безпеки.

• Рівень безпеки не можна оцінити за універсальною шкалою, натомість вико­ристовують незалежне ранжирування вимог відносно кожної послуги безпеки. Захищеність системи описано за допомогою функціонального профілю (пере­ліку функціональних послуг із досягнутими рівнями безпеки) і досягнутого рівня гарантій.

• Окремі нормативні документи визначають вимоги до реалізації КЗЗ інфор­маційно-телекомунікаційних систем деяких конкретних типів. Такі документи містять опис типових властивостей систем, вимоги до їхніх обчислювальних систем, середовища користувачів, фізичного середовища, інформації разом із технологіями її оброблення. У них наведено мінімальні припустимі функціо­нальні профілі та вимоги до реалізації кожної з функціональних послуг.

Контрольні запитання та завдання

1. Які групи критеріїв є в НД ТЗІ 2.5-004-99? Критерії яких груп належать до функціональних критеріїв?

2. До якої групи критеріїв належить функціональна послуга НЦ (цілісність ком­плексу засобів захисту)?

3. Назвіть класи АС згідно з НД ТЗІ 2.5-005-99.

4. Скільки користувачів може обслуговувати АС класу 1?

5. Які функціональні профілі пропонує НД ТЗІ 2.5-008-02 для створення захи­щених АС класу 2?

6. Які категорії інформації, що потребує захисту, стосуються веб-сторінки згідно з НД ТЗІ 2.5-010-03?

7. Які технології оновлення інформації веб-сторінки передбачено в документі НД ТЗІ 2.5-010-03?

Розділ 9

Міжнародний стандарт ISO/IEC 15408

• Призначення стандарту ISO/IEC 15408

• Структура вимог стандарту

• Процес розроблення та кваліфікаційного аналізу продуктів інформаційних технологій

• Загальна методологія оцінювання

• Структури профілю захисту і завдання з безпеки