125 Кібербезпека / 4 Курс / 3.2_4.1_4.2_Комплексні системи захисту інформації (проектування, впровадження, супровід) / All Lec (kszi)

та службов

службою захисту інформації (далі - СЗІ)

-

2. Характеристика фізичного середовища

.

- - -

.

.

3. Характеристика користувачів

так

-

-

ОС баз данихощо - службов

- -

-

-

-

-

.

. користувачів

.

службов

службових

.

. -

- -

- службов

-

4. Характеристика оброблюваної інформації

. службов

власником цієї інформації

.

. Службов

.

-

-

. -

-

-

.

вп

- є службовою інформацією,

5. Характеристика технологій оброблення інформації

. -

. службової

. і службов- АС

--

і службовою

-

. -

службов

- -

. Службов

-

.

-

-

-

-

. службов

.

.

.

.

.

-

- -

-

.

системи керування базами даних (далі -

)-

-

-

Вимоги до функціональних послуг безпеки інформації

- обробки службової інформації

ений СФПЗ «»:

----------------

Увипадку, коли в АС усі користувачі допущені до обробки службової інформації, реалізація послуги безпеки КО-1 необов’язкова. А у разі наявності користувачів, що допущені до обробки лише відкритої інформації, її реалізація обов’язкова.

Реалізація послуг безпеки, що базуються на довірчому принципі розмежування доступу (КД і ЦД), може здійснюватися у випадках:

- якщо політикою безпеки передбачено створення груп користувачів з однаковими повноваженнями щодо роботи з службовою інформацією для розмежування доступу до об’єктів, що таку інформацію містять, у межах цих груп;

- для розмежування доступу до об’єктів, які потребують захисту, але не містять службової інформації.

Увсіх інших випадках розмежування доступу здійснюється згідно з адміністративним принципом (КА і ЦА).

Послуга безпеки «базова адміністративна цілісність» (ЦА-2) реалізується під час обробки службової інформації, що міститься в сильнозв’язаних об’єктах. Для обробки службової інформації, що міститься в слабозв’язаних об’єктах, реалізується послуга «мінімальна адміністративна цілісність» (ЦА-1).

За певних обставин в КСЗІ вимоги до політики реалізації окремих послуг безпеки можуть частково забезпечуватися організаційними або іншими заходами захисту. Якщо ці заходи у повному обсязі відповідають встановленим НД ТЗІ 2.5-004-99 «Критерії оцінки захищеності інформації в КС від НСД» специфікаціям для певного рівня послуги безпеки, то рівень такої послуги, що входить до СФПЗ, може бути знижений на відповідну величину.

Як виняток, послуга безпеки, що входить до СФПЗ, може не реалізовуватись, якщо її політика у повному обсязі відповідно до моделі захисту інформації спрямована на нейтралізацію лише несуттєвих загроз, визначених моделлю загроз для інформації в АС.

Увипадках, коли в АС для окремих компонентів існують відмінності у характеристиках фізичного та інформаційного середовищ, середовища користувачів, технологій оброблення інформації, рекомендується визначати перелік мінімально необхідних рівнів послуг для кожного компонента окремо.

Розподіл завдань захисту інформації між ФПЗ, організаційними (ОЗ) та інженернотехнічними заходами (ІТЗ), що можуть бути застосовані в АС, наведено в таблиці. Знаком «+» позначено необхідність впровадження заходів, визначених відповідними нормативноправовими актами щодо захисту інформації, знаком «=» позначено необхідність впровадження заходів, визначених в експлуатаційній документації, що супроводжує впроваджений в АС КЗЗ. Для порівняння взяті 2 ОС, які на даний час мають позитивний експертний висновок відповідності вимогам НД ТЗІ та встановлюються на серверах, що забезпечують функціонувння АС-2.

Здійснивши порівняльний аналіз послуг безпеки ФПЗ АС-2 та механізмів захисту ОС

«OpenBSD, шифр BBOS» і «Windows Server 2008 R2 Enterprise Edition SP1», можна зробити такі висновки:

1.2. Базова адміністративна цілісність (ЦА-2)

службов

-

2. Послуги

2.1. Стійкість при обмежених відмовах ДС-1 -

службов

ощо -

-

-

-

2.2. Модернізація ДЗ-1

тощо службової -

ощо

3. Послуги спостереженості

3.1. КЗЗ з гарантованою цілісністю НЦ-2

-

-

службової

ї

У типових режимних умовах експлуатації АС-2 при обробці службової інформації рівень гарантій реалізації ФПЗ має бути не нижчим за Г2.

1. Архітектура КЗЗ повинен реалізовувати політику безпеки. Всі його компоненти повинні бути чітко

визначені 2. Середовище розробки

Розробник повинен визначити всі стадії життєвого циклу АС, розробити, запровадити і підтримувати в робочому стані документально оформлені методики своєї діяльності на кожній стадії. Мають бути документовані всі етапи кожної стадії життєвого циклу і їх граничні вимоги