 |
Отечественные и зарубежные стандарты в области информационной безопасности
|
|
|
|
В Российской Федерации сейчас насчитывается более 22 тысяч действующих стандартов. Стандартизация начинается с основополагающего стандарта, устанавливающего общие положения. На сегодняшний день такого стандарта в области информационной безопасности нет. Девять ГОСТов: ГОСТ 28147—89, ГОСТ Р 34.10—94, ГОСТ Р 34.11-94, ГОСТ 29. 339-92, ГОСТ Р 50752-95, ГОСТ РВ
50170-92, ГОСТ Р 50600-93, ГОСТ Р 50739-95, ГОСТ Р 50922-96 относятся к различным группам по классификатору стандартов и, к сожалению, не являются функционально полными ни по одномуиз направлений защиты информации. Кроме того, есть семейства родственных стандартов, имеющих отношение к области защиты информации:
• системы тревожной сигнализации, комплектуемые извещателями различного принципа действия, — 12 ГОСТов;
• информационные технологии (сертификация систем телекоммуникации, программных и аппаратных средств, аттестационное тестирование взаимосвязи открытых систем, аттестация баз данных и т. д.) — около 200 ГОСТов;
• системы качества (в том числе стандарты серии 9000, введенные в действие на территории РФ) — больше 100 ГОСТов.
Значительная часть стандартов на методы контроля и испытаний (около 60 %) может быть признана не соответствующей требованию Закона РФ «Об обеспечении единства измерений», как правило, в части погрешностей измерений. Отсутствуют стандарты в сфере информационно-психологической безопасности.
Таким образом, очевидно, что работа над объектами стандартизации в сфере информационной безопасности только разворачивается. Для этого крайне важен международный опыт. В 1983 году Агентство компьютерной безопасности Министерства обороны США опубликовало отчет, названный TSEC (Критерии Оценки Защищенности Надежных Систем) или Оранжевая книга (по цвету переплета), где были определены 7 уровней безопасности (Al — гарантированная защита, Bl, B2, В3 — полное управление доступом, Cl, C2 — избирательное управление доступом, D — минимальная безопасность) для оценки защиты конфиденциальных данных в многопользовательских компьютерных системах. Для оценки компьютерных систем Министерства обороны США Национальный Центр компьютерной безопасности МО США выпустил инструкции NCSC-TG-005 и NCSC-TG-011, известные как Красная книга (по цвету переплета). В качестве ответа Агентство информационной безопасности ФРГ подготовило Green Book (Зеленая книга), где рассмотрены в комплексе требования к доступности, целостности и конфиденциальности информации как в государственном, так и в частном секторе.
|
|
|
В 1990 году Зеленая книга была одобрена ФРГ, Великобританией, Францией и Голландией и направлена в ЕС, где на ее основе была подготовлена ITSEC (Критерии Оценки Защищенности Информационных Технологий) или Белая книга как европейский
стандарт, определяющий критерии, требования и процедуры для создания безопасных информационных систем, имеющий две схемы оценки: по эффективности (от Е1 до Е6) и по функциональности (доступность, целостность системы, целостность данных, конфиденциальность информации и передача данных). С учетом интеграции России в общеевропейские структуры рассмотрим подробнее положения европейского стандарта.
В Белой книге названы основные компоненты критериев безопасности ITSEC:
1. Информационная безопасность.
2. Безопасность системы.
3. Безопасность продукта.
4. Угроза безопасности.
5. Набор функций безопасности.
6. Гарантированность безопасности.
7. Общая оценка безопасности.
8. Классы безопасности.
Согласно европейским критериям ITSEC, информационная
безопасность включает в себя шесть основных элементов ее детализации:
|
|
|
1. Конфиденциальность информации (защита от несанкционированного получения информации).
2. Целостность информации (зашита от несанкционированного изменения информации).
3. Доступность информации (защита от несанкционированного или случайного удержания информации и ресурсов системы).
4. Цели безопасности (зачем нужны функции информационной безопасности).
5. Спецификация функций безопасности:
• идентификация и аутентификация (понимается не только традиционная проверка подлинности пользователя, но и функции для регистрации новых пользователей и удаления старых, а также функции для изменения и проверки аутентификационной информации, в т. ч. средств контроля целостности и функции для ограничения количества повторных попыток аутентификации);
• управление доступом (в том числе функции безопасности, которые обеспечивают: временное ограничение доступа к совместно используемым объектам, с целью поддержания целостности этих объектов; управление распространением прав доступа; контроль за
получением информации путем логического вывода и агрегирования данных);
• подотчетность (протоколирование);
• аудит (независимый контроль);
• повторное использование объектов;
• точность информации (поддержка определенного соответствия между разными частями данных (точность связей) и обеспечение неизменности данных при передаче между процессами (точность коммуникации));
• надежность обслуживания (функции обеспечения, когда действия, критичные по времени, будут выполнены именно тогда, когда нужно; некритичные действия нельзя перенести в разряд критичных; авторизованные пользователи за разумное время получат запрашиваемые ресурсы; функции обнаружения и нейтрализации ошибок; функции планирования для обеспечения коммуникационной безопасности, т, е. безопасности данных, передаваемых по каналам связи);
• обмен данными.
6. Описание механизмов безопасности.
В Белой книге декларируется разница между «системой» и «продуктом». Под «системой» понимается конкретная аппаратно-программная конфигурация, созданная с вполне определенными целями и работающая в известном окружении, а под «продуктом» — аппаратно-программный пакет, Который можно купить и по своему усмотрению вставить в ту или иную «систему». Для объединения критериев оценки «системы» и «продукта» в ITSEC вводится единый термин — «объект» оценки. Каждая «система» и/ или «продукт» предъявляют свои требования к обеспечению конфиденциальности, целостности и доступности информации. Для их реализации необходим и соответствующий набор функций безопасности таких, как идентификация и аутентификация, управление доступом, восстановление после сбоев, подотчетность, аудит, правила повторного использования объектов доступа, точность информации, надежность обслуживания, обмен данными. Например, для реализации функций идентификации и аутентификации могут использоваться такие механизмы, как специальный сервер «KERBEROS», а для защиты компьютерных сетей — фильтрующие маршрутизаторы, сетевые анализаторы протоколов (экраны) типа Firewall/Plus, Firewall/1, пакеты фильтрующих программ и т. д.
|
|
|
Чтобы «объект» оценки можно было признать надежным, необходима определенная степень уверенности, которая декларируется как гарантированность безопасности, включающая в себя два компонента — эффективность и корректность механизмов безопасности (средств защиты). В некоторых источниках гарантированность также называют адекватностью средств защиты.
При проверке эффективности анализируется соответствие между задачами безопасности по конфиденциальности, целостности, доступности информации и реализованным набором функций безопасности — их функциональной полнотой и согласованностью, простотой использования, а также возможными последствиями использования злоумышленниками слабых мест защиты. Кроме того, в понятие эффективности включается и способность механизмов защиты противостоять прямым атакам, которая называется мощностью механизмов защиты. По ITSEC декларируются три степени мощности (базовая, средняя, высокая). При проверке корректности анализируются правильность и надежность реализации функций безопасности. По ITSEC декларируются семь уровней корректности — от Е0 до Е6.
|
|
|
Общая оценка безопасности системы по ITSEC состоит из двух компонент — оценки уровня гарантированной эффективности механизмов (средств) безопасности и оценки уровня их гарантированной корректности. Безопасность системы в целом оценивается отдельно для «систем» и «продуктов». Защищенность их не может быть выше мощности самого слабого из критически важных механизмов безопасности (средств защиты).
В европейских критериях устанавливаются 10 классов безопасности (F-C1, F-C2, F-B1, F-B2, F-B3, F-IN, F-AV, F-D1, F-DC, F-DX). Первые пять из них аналогичны классам Cl, C2, Bl, B2, В3 американских критериев TCSEC. Класс F-IN предназначен для систем с высокими потребностями к обеспечению целостности, что типично для СУБД, и различает виды доступа: чтение, запись, добавление, удаление, создание, переименование и выделение объектов. Класс F-AV предназначен для систем с высокими требованиями к обеспечению их работоспособности за счет противодействия угрозам отказа в обслуживании (существенно для систем управления технологическими процессами). Класс F-D1 ориентирован на системы с повышенными требованиями к целостности данных, которые передаются по каналам связи. Класс F-DC характеризуется повышенными требованиями к конфиденциальности информации, а класс F-DX предназначен для систем с повышенными требованиями одновременно по классам F-D1 и F-DC.
Канада разработала СТСРЕС, и, наконец, США разработали новые Федеральные Критерии (Federal Criteria). Так как эти критерии являются несовместимыми между собой, было принято решение попытаться гармонизировать (объединить) все эти критерии в новый набор критериев оценки защищенности, названный Common
Criteria (CC). Общие критерии дают набор критериев по оценке защищенности и устанавливают:
• требования к функциональным возможностям и гарантиям;
• 7 уровней доверия (Уровни Гарантий при Оценке), которые может запросить пользователь (уровень EAL1 обеспечивает лишь небольшое доверие к корректности системы, а уровень EAL7 дает очень высокие гарантии);
• два понятия: Профиль Защиты (РР) и Цель безопасности (ST).
Одним из отечественных аналогов перечисленных стандартов является Руководящий документ Гостехкомиссии РФ «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требований по защите информации».
Комплексность защиты информации достигается за счет использования унифицированного алгоритмического обеспечения для средств криптографической защиты в соответствии с российскими государственными стандартами:
ГОСТ 28147—89 «Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования»;
|
|
|
ГОСТ Р 34. 10—94 «Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма»;
ГОСТ Р 34. 11—94 «Информационная технология. Криптографическая защита информации. Функция хэширования»;
ГОСТ Р 50739—95 «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования».
Поскольку деятельность любой организации подвержена множеству рисков, в том числе вследствие использования информационных технологий, то относительно недавно появилась новая функция — управление рисками, которая включает в себя два вида деятельности: оценку (измерение) рисков и выбор эффективных и экономичных защитных регуляторов. Процесс управления рисками можно подразделить на следующие этапы:
1. Выбор анализируемых объектов и степени детальности их рассмотрения.
2. Выбор методологии оценки рисков.
3. Идентификация активов.
4. Анализ угроз и их последствий, определение слабостей в защите.
5. Оценка рисков.
6. Выбор защитных мер.
7. Реализация и проверка выбранных мер.
8. Оценка остаточного риска.
Правовое регулирование этих отношений возможно и необходимо, прежде всего, через страхование информационных рисков.
Проблема обеспечения безопасности носит комплексный характер. Для ее решения необходимо сочетание как правовых мер, так и организационных (например, в компьютерных информационных системах на управленческом уровне руководство каждой организации должно выработать политику безопасности, определяющую общее направление работ, и выделить на эти цели соответствующие ресурсы) и программно-технических (идентификация и аутентификация; управление доступом; протоколирование и аудит; криптография; экранирование).
|
|
|
