7.3. Державний стандарт (Критерії) України із зі

У 1997 р. Департаментом спеціальних телекомунікацій­них систем та захисту інформації СБ України була розроблена перша версія системи нормативних документів із технічного захисту інформації в комп'ютерних системах від НСД. Ця система включає чотири документи:

1. Загальні положення щодо захисту інформації в комп'ютерних системах від несанкціонованого доступу.

2. Класифікація автоматизованих систем і стандартні функціона­льні профілі захищеності оброблюваної інформації від несанк­ціонованого доступу.

3. Критерії оцінки захищеності інформації в комп'ютерних сис­темах від несанкціонованого доступу.

4. Термінологія в галузі захисту інформації в комп'ютерних сис­темах від несанкціонованого доступу.

Розглянемо більш детально кожен з наведених документів.

Нормативний документ технічного захисту інформації (НД ТЗІ) «Загальні положення...» визначає методологічні основи (концепцію) вирішення завдань захисту інформації в комп'ютерних системах і створення нормативних і методологічних документів, що регламен­тують питання:

• визначення вимог щодо захисту КС від несанкціонованого до­ступу;

• створення захищених КС і засобів їх захисту від несанкціоно­ваного доступу;

• оцінки захищеності КС і їх придатності для вирішення завдань споживача.

Документ призначено для постачальників (розробників), спожива­чів (замовників, користувачів) КС, які використовуються для обробки (у тому числі збирання, збереження, передачі і т. п.) критичної інформа­ції (інформації, що вимагає захисту), а також для державних органів, що здійснюють функції контролю за обробкою такої інформації.

Інформаційні ресурси держави або суспільства в цілому, а також окремих організацій і фізичних осіб являють собою певну цінність, мають відповідне матеріальне вираження і вимагають захисту від різноманітних за своєю сутністю впливів, які можуть призвести до зниження цінності інформаційних ресурсів.

Захист інформації, що обробляється в АС, полягає у створенні і підтримці в дієздатному стані системи заходів, як технічних (інженер­них, програмно-апаратних), так і нетехнічних (правових, організацій­них), що запобігають або ускладнюють можливість реалізації загроз, а також знижують потенційні збитки. Інакше кажучи, захист інфор­мації спрямовано на забезпечення безпеки оброблюваної інформації й АС у цілому, тобто такого стану, який забезпечує збереження заданих властивостей інформації й АС, що її обробляє. Система зазначених заходів, що забезпечує захист інформації в АС, назива­ється комплексною системою захисту інформації (КСЗІ).

Істотна частина проблем забезпечення захисту інформації в АС може бути вирішена організаційними заходами. Проте з розвитком інформаційних технологій спостерігається тенденція зростання потреби застосування технічних заходів і засобів захисту.

АС являє собою організаційно-технічну систему, що об'єднує обчислювальну систему, фізичне середовище, персонал і оброблювану інформацію. Прийнято розрізняти два основні напрями ТЗІ в АС - це захист АС і оброблюваної інформації від несанкціонованого доступу і захист інформації від витоку технічними каналами (оптичними, акустичними, захист від витоку каналами побічних електромагнітних випромінювань і наведень).

Цей документ і комплект НД, що базується на ньому, присвяче­ний питанням організації захисту від НСД і побудови засобів захисту від НСД, що функціонують у складі обчислювальної системи АС. Організаційні і фізичні заходи захисту, включаючи захист від фізич­ного НСД до компонентів ОС, як і захист від витоку технічними каналами, не є предметом розгляду. Незважаючи на це, при викладі увага приділяється також і деяким нетехнічним аспектам, але тільки там, де це впливає на оцінку технічної захищеності.

З точки зору методології в проблемі захисту інформації від НСД слід виділити два напрями:

• забезпечення й оцінка захищеності інформації в АС;

• реалізація та оцінка засобів захисту, що входять до складу компонентів, з яких будується обчислювальна система АС (програмних продуктів, засобів обчислювальної техніки та ін.), поза конкретним середовищем експлуатації.

Кінцевою метою всіх заходів щодо захисту інформації є забезпе­чення безпеки інформації під час її обробки в АС. Захист інформації повинен забезпечуватись на всіх стадіях життєвого циклу АС, на всіх технологічних етапах обробки інформації й в усіх режимах функціо­нування. Життєвий цикл АС включає розробку, впровадження, екс­плуатацію та виведення з експлуатації.

У випадку, якщо в АС планується обробка інформації, порядок обробки і захисту якої регламентується законами України або іншими нормативно-правовими актами (наприклад, інформація, що становить