2) Требования к безопасности информационных систем в России.

Сформулированы в руководящем документе Государственной технической комиссией при Президенте РФ «Классификация автоматизированных систем и требований по защите информации» выпущенном в 1992 году, в котором выделено 9 классов защищенности автоматизированных систем от несанкционированного доступа к информации. По специфике обработки информации классы разделены на группы: - третья группа – системы в которых работает один пользователь, допущенный ко всей обрабатываемой информации (классы 3Б и 3А); - вторая группа – системы в которых работает несколько пользователей, которые имеют одинаковые права доступа ко всей информации (классы 2Б и 2А); - первая группа – многопользовательские системы, в которых одновременно обрабатывается и/или хранится информация разных уровней конфиденциальности, причем различные пользователи имеют разные права на доступ к информации (классы 1Д, 1Г, 1В, 1Б и 1А). Требования к защите растут от систем класса 3Б к классу 1А.

3) В России единственными нормативными документами по критериям оценки защищенности средств вычислительной техники и автоматизированных систем являются Руководящие документы Гостехкомиссии РФ (Руководящий документ. Защита от несанкционированного доступа к информации. Термины и определения. Руководящий документ. Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации. Руководящий документ. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от НСД к информации. Руководящий документ. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации. Руководящий документ. Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от НСД в автоматизированных системах и средствах вычислительной техники).

Появление материалов проекта международного стандарта ISO 15408 по Общим критериям оценки безопасности информационных технологий (Common Criteria for Information Technology Security Evaluation (CCEB)), принятом в 1999 году, является качественно новым этапом в развитии нормативной базы оценки безопасности ИТ. В нём наиболее полно представлены критерии для оценки механизмов безопасности программно-технического уровня.

В Общих критериях проведена классификация широкого набора функциональных требований и требований гарантированности, определены структуры их группирования и принципы целевого использования.

Главные преимущества Общих критериев — полнота требований безопасности, гибкость в применении и открытость для последующего развития с учетом новейших достижений науки и техники.

При проведении работ по анализу защищенности АС, а также средств вычислительной техники (СВТ) "Общие критерии" целесообразно использовать в качестве основных критериев, позволяющих оценить уровень защищенности АС (СВТ) с точки зрения полноты реализованных в ней функций безопасности и надежности реализации этих функций.

Первая часть "Общих критериев" содержит определение общих понятий, концепции, описание модели и методики проведения оценки безопасности ИТ. В ней вводится понятийный аппарат, и определяются принципы формализации предметной области.

Требования к функциональности средств защиты приводятся во второй части "Общих критериев" и могут быть непосредственно использованы при анализе защищенности для оценки полноты реализованных в АС (СВТ) функций безопасности.

Третья часть"Общих критериев" содержит классы требований гарантированности оценки, включая класс требований по анализу уязвимостей средств и механизмов защиты под названием AVA: Vulnerability Assessment. Данный класс требований определяет методы, которые должны использоваться для предупреждения, выявления и ликвидации следующих типов уязвимостей:

• Наличие побочных каналов утечки информации;

• Ошибки в конфигурации либо неправильное использование системы, приводящее к переходу в небезопасное состояние;

• Недостаточная надежность (стойкость) механизмов безопасности, реализующих соответствующие функции безопасности;

• Наличие уязвимостей ("дыр") в средствах защиты информации, дающих возможность пользователям получать НСД к информации в обход существующих механизмов защиты.

Соответствующие требования гарантированности оценки содержатся в следующих четырех семействах требований:

• Семейство AVA_CCA: Covert Channel Analysis (Анализ каналов утечки информации);

• Семейство AVA_MSU: Misuse (Ошибки в конфигурации либо неправильное использование системы, приводящее к переходу системы в небезопасное состояние);

• Семейство AVA_SOF: Strength of TOE Security Functions (Стойкость функций безопасности, обеспечиваемая их реализацией);

• Семейство AVA_VLA: Vulnerability Analysis (Анализ уязвимостей).

При проведении работ по аудиту безопасности перечисленные семейства требований могут использоваться в качестве руководства и критериев для анализа уязвимостей АС (СВТ).

4) Естественно, что требуемый уровень зашиты информации в конкретной АСОД и в конкретных условиях ее функционирования существенно зависит от учета факторов, которые сколько-нибудь существенно влияют на защиту. Таким образом, формирование более полного множества этих факторов и возможно более адекватное определение степени их влияния на требуемый уровень защиты представляется задачей повышенной важности и подлежащей упреждающему решению. Задача довольно четко может быть разделена на две составляющие: формирование более полного и хорошо структурированного множества факторов, существенно значимых с точки зрения защиты информации, и определение показателей значимости (веса) факторов.  ‑­ Исходя из составляющих задачи, для формирования множества факторов нужно выполнить три шага: первый шаг – формирование перечня групп факторов, второй – формирование перечня факторов в каждой из выделенных групп, третий – структуризация возможных значений двух факторов. Общая схема рассматриваемой задачи по такой процедуре представлена на рисунке 5. Сформированное по указанной методологии множество факторов включает пять групп следующего содержания. Группа 1 – факторы, обуславливаемые характером обрабатываемой информации: 1.1.Степень секретности. 1.2. Объемы. 1.3. Интенсивность обработки. Группа 2 – факторы, обуславливаемые архитектурой АСОД: 2.1. Геометрические размеры. 2.2. Территориальная распределенность. 2.3. Структурированность компонентов. Группа З – обуславливаемые условиями функционирования АСОД: 3.1. Расположение в населенном пункте. 3.2. Расположение на территории объекта. 3.3. Обустроенность. Группа 4 – обуславливаемые технологией обработки информации: 4.1. Масштаб. 4.2. Стабильность. 4.3. доступность. 4.4. Структурированность. Группа 5 – обуславливаемые организацией работы АСОД: 5.1. Общая постановка дела. 5.2. Укомплектованность кадрами. 5.3. Уровень подготовки и воспитания кадров. 5.4. Уровень дисциплины.

5) "Общие критерии" на самом деле являются метастандартом, определяющим инструменты оценки безопасности ИС и порядок их использования. В отличие от "Оранжевой книги", ОК не содержат предопределенных "классов безопасности". Такие классы можно строить, исходя из требований безопасности, существующих для конкретной организации и/или конкретной информационной ситемы.С программистской точки зрения ОК можно считать набором библиотек, помогающих писать содержательные "программы" - задания по безопасности, типовые профили защиты и т.п. Программисты знают, насколько хорошая библиотека упрощает разработку программ, повышает их качество. Без библиотек, "с нуля", программы не пишут уже очень давно; оценка безопасности тоже вышла на сопоставимый уровень сложности, и "Общие критерии" предоставили соответствующий инструментарий.Важно отметить, что требования могут быть параметризованы, как и полагается библиотечным функциям.

Как и "Оранжевая книга", ОК содержат два основных вида требований безопасности:

• >функциональные, соответствующие активному аспекту защиты, предъявляемые к функциям безопасности и реализующим их механизмам;

• >требования доверия, соответствующие пассивному аспекту, предъявляемые к технологии и процессу разработки и эксплуатации.

Требования безопасности предъявляются, а их выполнение проверяется для определенного объекта оценки - аппаратно-программного продукта или информационной системы.

Очень важно, что безопасность в ОК рассматривается не статично, а в привязке к жизненному циклу объекта оценки. Выделяются следующие этапы:

• >определение назначения, условий применения, целей и требований безопасности;

• >проектирование и разработка;

• >испытания, оценка и сертификация;

• >внедрение и эксплуатация.

В ОК объект оценки рассматривается в контексте среды безопасности, которая характеризуется определенными условиями и угрозами.

В свою очередь, угрозы характеризуются следующими параметрами:

• >источник угрозы;

• >метод воздействия;

• >уязвимые места, которые могут быть использованы;

• >ресурсы (активы), которые могут пострадать.

Уязвимые места могут возникать из-за недостатка в:

• >требованиях безопасности;

• >проектировании;

• >эксплуатации.