02. Международные стандарты по оценке информационной безопасности

2.1. Роль стандартов в сфере ИБ

Стандарт - это документ, устанавливающий требуемые характеристики продукции, процессов ее производства, эксплуатации и хранения, выполнения работ или оказания услуг. Стандарт может задавать и другие требования - например, к символике или терминологии.

Цель стандарта - обеспечение:
- необходимого уровня качества товаров и услуг;
- единых характеристик товаров и услуг.

Причиной необходимости использования стандартов является то, что необходимость соблюдения некоторых из них закреплена законодательно. Реальные причины гораздо глубже - обычно стандарт является обобщением опыта лучших специалистов в той или иной области, и потому представляет собой надёжный источник оптимальных и проверенных решений.

В зависимости от статуса стандарты делятся на:
- международные - принятые международной организацией по стандартизации;
- региональные - принятые региональной организацией по стандартизации;
- национальные - принятые национальным органом стандартизации;
- ведомственные - принятые органом стандартизации определенного ведомства.

В зависимости от специфики объекта стандартизации установлены следующие виды стандартов:

- основополагающий стандарт - имеет широкую сферу распространения или содержащий общие положения для определенной области (организационно-методические, общетехнические и терминологические);

- стандарт на методы (методики) испытания (измерения, анализа, контроля) - устанавливает методы испытания, например, использование статистических методов и порядок проведения испытаний;

- стандарт на продукцию - устанавливает требования, которым должно удовлетворять изделие (группа изделий), чтобы обеспечить свою соответствие назначению;

- стандарт на процесс - устанавливает требования, которым должен удовлетворять процесс, чтобы обеспечить свое соответствие назначению;

- стандарт на услугу - устанавливает требования, которым должна удовлетворить услуга, чтобы обеспечить свое соответствие назначению;

- стандарт на совместимость - устанавливает требования к совместимости продукции, услуг или систем при их одновременном использовании;

- стандарт общих технических требований - содержит перечень характеристик, значения которых или другие данные устанавливаются для изделия, процесса или услуги в каждом случае отдельно.

Стандартизация в области ИБ необходима для выработки единства:
- требований по ИБ;
- подходов к решению проблем ИБ;

- качественных показателей для оценки ИБ.

Основными областями стандартизации ИБ являются:
- управление ИБ;
- аудит ИБ;
- методы обеспечения ИБ;
- криптография и др.

Потребители (заказчики) продуктов информационных технологий без стандартов не смогут сформулировать свои требования по ИБ производителям ИС (нужны какие-то критерии, показатели, единицы измерения ИБ и т.д.).

Производители продукции ИТ и средств защиты (программных, технических) нуждаются в стандартах для того, чтобы можно было бы объективно оценить свою продукцию с точки зрения обеспечения ИБ, то есть СЕРТИФИЦИРОВАТЬ ее. Им также необходим стандартный набор требований для того, чтобы ограничить фантазию заказчика и заставить выбирать конкретные требования из этого набора.

Стандарты нужны экспертам по ИБ и специалистам по сертификации как инструмент для оценки уровня ИБ, обеспечиваемого конкретными механизмами и средствами защиты информации (техническими, программными и т.д.) либо комплексами таких средств.

Международные организации по стандартизации, входящие в структуру ООН:

- ISO (International Organization for Standardization - Международная организация по стандартизации) - серии стандартов ISO;

- IEC (International Electrotechnical Commission - Международная электротехническая комиссия) - серии стандартов IEC;

- ITU-T (International Telecommunication Union - Telecommunications - Международный союз по телекоммуникации) - стандарты серии X (сети передачи данных, взаимосвязь открытых систем и безопасность).

В настоящее время существует довольно много стандартов, а также других нормативных и руководящих документов в области ИБ. Все их рассмотреть в рамках данного курса не представляется возможным. Поэтому мы будем рассматривать только базовые стандарты в области ИБ, которыми руководствуются при создании, сертификации и эксплуатации СУИБ.

Эти стандарты можно разбить на две группы.

1 группа - оценочные стандарты. Они предназначены для оценки и классификации ИС и средств защиты информации по требованиям безопасности. Ими руководствуются для того, чтобы ответить на вопрос: соответствует ли ИС и средства защиты требованиям ИБ?

2 группа - так называемые спецификации. Они регламентируют различные вопросы реализации и использования методов и средств защиты информации. Ими руководствуются для того, чтобы ответить на вопрос: Как обеспечить ИБ, какие подходы, методы и средства необходимо для этого использовать?

Далее мы рассмотрим более подробно вышеназванные стандарты.

2.2. «Оранжевая книга» (TCSEC)

История стандартизации ИБ началась в январе 1981 года созданием Центра компьютерной безопасности Министерства обороны США, перед которым была поставлена задача определения пригодности предлагаемых различными разработчиками компьютерных систем. Позднее, в сентябре 1985 года, этот центр был переименован в Национальный центр компьютерной безопасности США (англ. National Computer Security Center, NCSC).

В 1983 году центром был разработан стандарт «Критерии оценки доверенных компьютерных систем» (англ. Trusted Computer System Evaluation Criteria, TCSEC), по цвету своей обложки более известный как «Оранжевая книга», который стал первым в истории общедоступным оценочным стандартом ИБ.

Разработка и публикация «Оранжевой книги» стали важнейшей вехой в становлении теории ИБ. Такие базовые понятия, как «политика безопасности», «монитор безопасности обращений» или «администратор безопасности» впервые в открытой литературе появились именно в «Оранжевой книге».  Согласно «Оранжевой книге» доверенная система должна обеспечить одновременную обработку информации разной степени секретности группой пользователей без нарушения прав доступа.

Доверенность систем оценивается по двум основным критериям:

1. Политика безопасности - набор правил и норм поведения, определяющих, как организация обрабатывает и защищает информацию. Она является активным компонентом защиты, включающим в себя анализ возможных угроз и выбор защитных мер.

В частности, правила определяют, в каких случаях пользователь имеет право оперировать с определенными наборами данных. Чем надежнее система, тем строже и многообразнее должна быть политика безопасности. В зависимости от сформулированной политики можно выбирать конкретные механизмы, обеспечивающие безопасность системы.

2. Гарантированность - мера доверия, которая может быть оказана архитектуре и реализации ИС.

Гарантированность является пассивным компонентом защиты, надзирающим за самими защитниками. Гарантированность можно определить тестированием системы в целом и ее компонентов. Гарантированность показывает, насколько корректны механизмы, отвечающие за реализацию политики безопасности.

Важным средством обеспечения безопасности является механизм подотчетности (протоколирования). Доверенная система должна фиксировать все события, касающиеся безопасности. Ведение протоколов должно дополняться аудитом, т.е. анализом регистрационной информации.

При оценке степени гарантированности, с которой систему можно считать доверенной, центральной является концепция надежной вычислительной базы. Вычислительная база - это совокупность защитных механизмов компьютерной системы (включая аппаратное и программное обеспечение), отвечающих за проведение в жизнь политики безопасности.

Доверенность вычислительной базы определяется исключительно ее реализацией и корректностью исходных данных, которые вводит административный персонал (например, это могут быть данные о степени благонадежности пользователей).

Основное назначение надежной вычислительной базы - выполнять функции монитора обращений. Монитор обязан контролировать допустимость выполнения субъектами определенных операций над объектами. Каждое обращение пользователя к программам или данным проверяется на предмет согласованности со списком действий, допустимых для пользователя.

От монитора обращений требуется выполнение трех свойств:
- изолированность - монитор должен быть защищен от отслеживания своей работы;
- полнота - монитор должен вызываться при каждом обращении, не должно быть способов его обхода;
- верифицируемость - монитор должен быть компактным, чтобы его можно было проанализировать и протестировать, будучи уверенным в полноте тестирования.

Реализация монитора обращений называется ядром безопасности. Ядро безопасности - это основа, на которой строятся все защитные механизмы. Помимо перечисленных выше свойств монитора обращений, ядро должно гарантировать собственную неизменность...

 Чтобы прочитать лекцию полностью, напишите автору

----------------------------------------------------------------------------------------------------

Книга | Автор | Статьи | Фильмы | Фото | Ссылки | Отзывы

Контакт | Студентам | Ветеранам | Астрология | Карта сайта



Рейтинг@Mail.ru Яндекс.Метрика