1.7 Современное понимание методологии защиты информации

1.7.1 Особенности национального технического регулирования

Под методологией защиты информации понимается совокупность используемых моделей, методов, методик, необходимых и достаточных для решения проблем защиты информации. Подходы к моделированию КСЗИ, применяемые в ней методы и методики будут рассмотрены в следующих главах. Здесь же рассмотрим проекты двух документов в этой области, которые отражают современную систему взглядов на проблему защиты информации. Это – проекты технических регламентов, которые будут иметь силу закона.

С принятием в 2002 году Федерального закона «О техническом регулировании» началась новая эра в области задания требований к продукции и оценке ее соответствия. Целью данного закона было снятие излишних, искусственно воздвигнутых барьеров на пути изделий отечественных (и не только) производителей, ликвидация разнородных и иногда противоречивых требований, заложенных в отечественных стандартах. Отныне все обязательные требования разрешается излагать только в технических регламентах (ТР), а следование стандартам – дело добровольное. При этом и в ТР можно предъявлять не произвольные требования, а лишь касающиеся «защиты жизни или здоровья граждан, имущества физических или юридических лиц, государственного или муниципального имущества; охраны окружающей среды, жизни или здоровья животных и растений; предупреждения действий, вводящих в заблуждение приобретателей».

В ст.7 упомянутого закона приведены различные виды безопасности, которые обеспечиваются выполнением минимальных требований регламентов. Механическая, пожарная, промышленная, … Обращает на себя внимание отсутствие такого важного вида, как информационная безопасность. Существуют мнения о необходимости внесения в закон соответствующих поправок, но в настоящее время решили идти «окольным» путем. Влияет информационная безопасность на жизнь людей, на сохранность имущества? – В какой-то степени, да. Поэтому было решено разработать и принять два специальных технических регламента (СТР-45 и СТР-46) в этой области, а в преамбуле написать, что принимаются данные регламенты в целях, указанных в ФЗ «О техническом регулировании», которые приведены выше.

Надо сказать, что СТР-45 («О безопасности информационных технологий») и СТР-46 («О требованиях к средствам обеспечения безопасности информационных технологий») должны были быть приняты еще в 2005 году. На момент написания книги (лето 2007 года) их судьба все еще неясна. Тем не менее, методологический подход, заложенный в проектах этих регламентов изучить целесообразно.

1.7.2 Что понимается под безопасностью ит

Несмотря на свое довольно широкое название, проект СТР-45 рассматривает, в основном, только одну сторону обеспечения безопасности ИТ – защиту от НСД в АС. Кроме того, изложены требования к физической защите и защите среды ИТ (пожарная, электробезопасность и т.д.) При этом, чтобы хоть как-то соответствовать своему названию, вместо термина АС по тексту используется термин «ИТ -- упорядоченная совокупность аппаратных, программных, аппаратно-программных средств, систем и информационных процессов». На наш взгляд, не очень удачное определение, так как из него не видно, как связаны информационные процессы с «железом». Кроме того, непонятно, что относится к ИТ. Например, мобильный телефон – это тоже упорядоченная совокупность программных и аппаратных средств и информационных процессов. Нарушение безопасности информации, хранимой в телефоне или передаваемой с помощью него, вполне может повлечь существенный ущерб, указанный в табл.1.2.

Таблица 1.2

Категория ИТ (уровень ущерба)	Материальный ущерб, МРОТ	Нарушены условия жизнедеятельности, чел	Пострадало, чел	Размер зоны чрезвычайной ситуации
1	401-500	2-10	-	-
2	501-1000	11-100	1-10	Территория объекта
3	1001-5000	101-300	11-50	Населенный пункт, район
4	5001-0,5 млн	301-500	51-500	Субъект РФ
5	0,5 млн-5 млн	501-1000	51-500	2 субъекта РФ
6	> 5 млн	> 1000	> 500	> 2 субъектов РФ

Большая часть рассматриваемого регламента посвящена требованиям к безопасности при эксплуатации ИТ. В проекте указаны стадии жизненного цикла ИТ: подготовка к эксплуатации, ввод в эксплуатацию, эксплуатация, снятие с эксплуатации, и для каждой стадии приведен перечень необходимых мероприятий.

Первое, что необходимо выполнить при подготовке к эксплуатации – это категорирование по безопасности ИТ. СТР-45 вводит 6 категорий ИТ, в зависимости от того, какой возможный ущерб будет от нарушения безопасности (см. табл. 1.2). К данным, приведенным в столбцах табл.1.2, надо применять операцию «или».

Размер ущерба от нарушения безопасности будет определяться после выполнения анализа и оценки рисков, правила выполнения которых приведены в приложении В к проекту СТР-45.

Кроме категорирования по безопасности, в проекте СТР-45 предусмотрена еще и классификация ИТ, но для чего она выполняется разработчики написать «забыли». Требования к ИТ предъявляются лишь исходя из категории безопасности ИТ. В соответствии с духом ГОСТ 15408, все требования подразделяются на функциональные и требования доверия к безопасности. Функциональные требования, в свою очередь, подразделяются на требования к организационным мерам и требования к техническим мерам и средствам обеспечения безопасности ИТ.

Из описания организационных мер обеспечения безопасности видно, что авторы СТР-45 учли прогрессивные международные стандарты и рекомендации «наилучшей практики», такие как ISO 17799, BSI, COBIT и другие, в том числе корпоративные стандарты. Оргмеры включают в себя не только традиционные мероприятия по защите, но и реагирование на инциденты безопасности, действия в непредвиденных ситуациях (то есть обеспечение непрерывности ведения бизнеса), оценку рисков, информирование и обучение пользователей.

Функциональные требования помимо прочего включают в себя сравнительно новые для наших пользователей детализированные требования к аудиту безопасности ИТ, требования к защите коммуникаций. Введение последней категории требований, кстати, показывает, что разработчики учли распределенный характер современных ИТ.

Требования доверия к безопасности не так многочисленны, как функциональные требования и включают в себя, в основном, требования к сопровождению ИТ, внесению изменений в ее конфигурацию, требования к персоналу, а также к документации.

Наверное, болезненный для многих потребителей вопрос связан с аттестацией ИТ. Согласно существующей нормативной базе, аттестация ИТ внешней комиссией выполняется лишь в случае «обработки гостайны». В проекте СТР-45 предусмотрены две формы оценки соответствия ИТ требованиям безопасности: аттестация ИТ и государственный контроль (надзор). При этом для ИТ третьей-шестой категории аттестация осуществляется аккредитованными органами по аттестации, для первой-второй категорий – своими силами.

Государственный контроль и надзор выполняется пока неназванными уполномоченными органами, правила его проведения и периодичность пока также не указаны. А ведь по результатам этого контроля может быть остановлен процесс эксплуатации ИТ в случае обнаружения нарушений СТР-45.