18.6Показатели защищенности средств вычислительной техники

Показатели защищенности средств вычислительной техники (СВТ) от несанкционированного доступа (НСД) приведены в документе «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности». В этом документе определены семь классов защищенности СВТ от НСД к информации. Самый низкий класс седьмой, самый высокий первый. Каждый класс наследует требования защищенности от предыдущего. В зависимости от реализованных моделей защиты и надежности их проверки классы подразделяются на четыре группы.

Первая группа включает только один седьмой класс (минимальная защищенность).

Вторая группа характеризуется избирательной защитой и включает шестой и пятый классы. Избирательная защита предусматривает контроль доступа поименованных субъектов к поименованным объектам системы. При этом для каждой пары «субъект-объект» должны быть определены разрешенные типы доступа. Контроль доступа применяется к каждому объекту и каждому субъекту (индивиду или группе равноправных индивидов).

Третья группа характеризуется полномочной защитой и включает четвертый, третий и второй классы. Полномочная защита предусматривает присвоение каждому субъекту и объекту системы классификационных меток, указывающих место субъекта (объекта) в соответствующей иерархии. Классификационные метки на объекты устанавливаются пользователем системы или специально выделенным субъектом. Обязательным требованием для классов, входящих в эту группу, является реализация диспетчера доступа (в иностранной литературе — reference monitor, монитор ссылок). Контроль доступа должен осуществляться применительно ко всем объектам при явном и скрытом доступе со стороны любого из субъектов. Решение о санкционированности запроса на доступ должно приниматься только при одновременном разрешении его и избирательными и полномочными правилами разграничения доступа.

Четвертая группа характеризуется верифицированной защитой и содержит только первый класс.

Для присвоения класса защищенности система должна иметь:

— руководство администратора по системе,

— руководство пользователя;

— тестовую и конструкторскую документацию.

18.7Заключение

Методика оценки безопасности и США и России практически одного плана, ориентированы на оценку безопасности на качественном уровне.

Управление безопасностью состоит из следующих взаимосвязанных шагов:

Выявление потенциальных угроз;

Анализ уязвимости;

Анализ риска или управление риском

Оценка механизмов безопасности

Проверка механизмов безопасности

Определение методов восстановления

18.8Рекомендации

Ниже приведены действия, рекомендуемые для начала проведения корпоративной программы по обеспечению безопасности:

1. Ключевым моментом всей программы является создание и опубликование политики обеспечения безопасности. Этот документ служит основой для всех остальных действий.

2. Чрезвычайно важна программа информирования, поскольку с ее помощью сотрудникам напоминают им об их обязанностях, связанных с безопасностью.

3. Хотя ответственность за безопасность лежит на менеджерах, сотрудники службы безопасности могут также участвовать в реализации этой программы.

4. Программа установления владельцев информации необходима для всех систем контроля доступа к данным, при этом нужно гарантировать, что рассмотрены все ресурсы.

5. Программа классификации информации важна для того, чтобы предотвратить ее чрезмерную или недостаточную защиту, что влечет за собой дополнительные расходы,

6. Необходимо наличие правил доступа к данным, чтобы ограничить доступ любопытных сотрудников к чувствительным ресурсам, а также тем, кто может изменить или уничтожить данные.

7. Установка системного ПО способствует внедрению политики контроля доступа. Изменения могут быть быстро локализованы, и предприняты соответствующие

8. действия для пресечения неразрешенной активности .