8Защита информации

В современном мире информация представляет собой очень ходовой товар который можно выгодно продать или использовать для достижения своих целей. Особый интерес представляет информация корпоративная, т.е. связанная с предпринимательской деятельностью.

В последние годы в нашей стране происходит резкий переход к автоматизации разнообразных видов деятельности. Но автоматизация вместе с достоинствами имеет недостатки. При автоматизации информация концентрируется в большом количестве в одном месте. Потеря одного листка бумаги - пустяк, но потеря файла, являющегося эквивалентом бухгалтерской книги - беда.

Поэтому, наиболее ценная информация нуждается в защите, а любой сотрудник компании обязан знать и применять хотя бы общие принципы защиты информации. Основная цель мероприятий по защите информации заключена в следующем:

1. Информация должна быть доступна только тем, для кого она предназначается;

2. В случае утечки информация должна быть представлена в таком виде, чтобы воспользоваться ей было весьма затруднительно.

Исходя из этого, в современных информационных технологиях защита информации осуществляется по двум (если смотреть упрощенно) направлениям:

1. Ограничение доступа к информации;

2. Шифрование информации.

Данный взгляд на проблему защиты информации, конечно, весьма упрощен, но для целей данного пособия он вполне приемлем.

8.1Стандарты в области защищенности компьютерных информационных продуктов

В 1985 году в США был опубликован ряд критериев оценки защищенности, названный TCSEC(Критерии Оценки Защищенности Надежных Систем или Оранжевая книга).

Эти критерии определяли набор уровней (C1, C2, B1, B2, B3, A1), требовавших наличия определенных возможностей в области защиты, подходящий для ряда специфических сред. После появления TCSEC европейцы разработали ITSEC (Критерии Оценки Защищенности Информационных Технологий), Канада разработала CTCPEC, и наконец, США разработали новые Федеральные Критерии (Federal Criteria).

Так как эти критерии являются несовместимыми между собой, было принято решение попытаться гармонизировать (объединить) все эти критерии в новый набор критериев оценки защищенности, названный Common Criteria(или просто CC).

Основной целью СС является дать набор критериев по оценке защищенности, который мог бы использоваться для всех продуктов в области безопасности информационных технологий (ИТ). В то же самое время он обеспечивает хороший небольшой набор возможных требований к безопасности, которые были бы желательны в продукте.

СС в основном состоят из нескольких принципов: Они делят требования к безопасности ИТ на:

1. требования к функциональным возможностям, то есть требования, которые указывают, что продукт должен обеспечивать и в каких областях

2. требования к гарантиям, то есть требования, которые позволяют пользователю «доверять» информационным продуктам

СС дает 7 уровней доверия (Уровни Гарантий при Оценке), которые может запросить пользователь. Уровень EAL1 обеспечивает лишь небольшое доверие к корректности системы, а уровень EAL7 дает очень высокие гарантии, конечно за счет более высокой стоимости продукта и его оценки.

Вводятся два понятия: Профиль Защиты(PP) и Цель безопасности(ST).

Профиль защиты специфицирует требования к типу продуктов. Например, если пользователь хочет использовать «безопасную» базу данных, он может разработать PP или выбрать PP из списка стандартных PP, указывающих, чего можно ожидать. Разработчик создает ST, который применим только к одному специфическому продукту (например, Windows 2000 или Oracle 7).

СС дает ряд потенциальных преимуществ пользователям:

контрольный список для требований по безопасности, основу для спецификации своих потребностей в безопасности, конкретные наборы требований по безопасности, источник удовлетворения основных потребностей в безопасности(PP). Он также предоставляет выгоды разработчику, дает ему рекомендации в отношении необходимой информации, которую следует предоставлять, интерпретацию требований безопасности и основу для описания того, что обеспечивает данный продукт в терминах безопасности.

СС еще не завершен. На данный момент доступна его версия 1.0 от 31 января 1996 года. Впоследствии СС может и измениться в результате проверки на практике. Разработчики СС хотят, чтобы ISO сделало CC международным стандартом, и уже передали его ISO для рассмотрения.