 |
Специальные требования и рекомендации по технической защите конфиденциальной информации.
|
|
|
|
Документ разработан в соответствии с Федеральным законом от 20 февраля 1995 г. № 24-ФЗ «Об информации, информатизации и защите информации», Указом Президента Российской Федерации от 6 марта 1997 г. № 188 «Перечень сведений конфиденциального характера», Указом Президента Российской Федерации от 19 февраля 1999 г. № 212 «Вопросы Государственной технической комиссии при Президенте Российской Федерации», «Доктриной информационной безопасности Российской Федерации», утвержденной Президентом Российской Федерации 9 сентября 2000 г. № Пр.-1895, «Положением о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти», утвержденным постановлением Правительства Российской Федерации от 3 ноября 1994 г. № 1233 и другими нормативными правовыми актами по защите информации, список которых приводится в приложении А к требованиям.
Вопросы, освещаемые документом:
- организация работ по защите информации, в том числе при разработке и модернизации объектов информатизации и их систем защиты информации;
- состав и основное содержание организационно-распорядительной, проектной, эксплуатационной и иной документации по защите информации;
- требования и рекомендации по защите речевой информации при ведении переговоров, в том числе с использованием технических средств;
- требования и рекомендации по защите информации при ее автоматизированной обработке и передаче с использованием технических средств;
- порядок обеспечения защиты информации при эксплуатации объектов информатизации;
- особенности защиты информации при разработке и эксплуатации АС, использующих различные типы СВТ и информационные технологии;
|
|
|
- порядок обеспечения защиты информации при взаимодействии абонентов с сетями.
Стандарты безопасности ИСО/МЭК 15408-2002, ISO 17799
ИСО/МЭК 15408-2002 и его зарубежные аналоги
Обзор стандарта
Наиболее полно критерии для оценки механизмов безопасности программно-технического уровня представлены в международном стандарте ISO 15408: Common Criteria for Information Technology Security Evaluation (Общие критерии оценки безопасности информационных технологий).
Определение: ISO 15408 The Common Criteria for Information Technology Security Evaluation Общие критерии оценки безопасности информационных технологий, международный стандарт в области безопасности, в котором подробно рассмотрены общие подходы, методы и функции обеспечения защиты информации в организациях.
Следуя по пути интеграции, в 1990 г. Международная организация по стандартизации (ISO) и Международная электротехническая комиссия (ТЕС) составили специализированную систему мировой стандартизации, a ISO начала создавать международные стандарты по критериям оценки безопасности информационных технологий для общего использования, названные Common Criteria for Information Technology Security Evaluation или просто Common Criteria. В их разработке участвовали: Национальный институт стандартов и технологии и Агентство национальной безопасности (США), Учреждение безопасности коммуникаций (Канада), Агентство информационной безопасности (Германия), Агентство национальной безопасности коммуникаций (Нидерланды), Органы исполнения программы безопасности и сертификации информационных технологий (ИТ) (Англия), Центр обеспечения безопасности систем (Франция).
В дальнейшем "Общие критерии" неоднократно редактировались. В результате 8 июня 1999 года был утвержден Международный стандарт ISO/IEC 15408 под названием "Общие критерии оценки безопасности информационных технологий" (ОК). В соответствии со стандартом ISO 15408, весь комплекс информационной безопасности можно разделить на отдельные функции, к результатам выполнения которых могут быть предъявлены особые требования.
|
|
|
Общие критерии оценки безопасности информационных технологий (далее "Общие критерии") определяют функциональные требования безопасности (security functional requirements) и требования к адекватности реализации функций безопасности (security assurance requirements).
При проведении работ по анализу защищенности АС, а также средств вычислительной техники (СВТ) "Общие критерии" целесообразно использовать в качестве основных критериев, позволяющих оценить уровень защищенности АС (СВТ) с точки зрения полноты реализованных в ней функций безопасности и надежности реализации этих функций.
Хотя применимость "Общих критериев" ограничивается механизмами безопасности программно-технического уровня, в них содержится определенный набор требований к механизмам безопасности организационного уровня и требований по физической защите, которые непосредственно связаны с описываемыми функциями безопасности.
Функции системы информационной безопасности обеспечивают выполнение требований конфиденциальности, целостности, достоверности и доступности информации. Все функции представлены в виде четырехуровневой иерархической структуры: класс, семейство, компонент, элемент. По аналогии представлены требования качества. Подобная градация позволяет описать любую систему информационной безопасности и сопоставить созданную модель с текущим положением дел.
Первая часть "Общих критериев" содержит определение общих понятий, концепции, описание модели и методики проведения оценки безопасности ИТ. В ней вводится понятийный аппарат, и определяются принципы формализации предметной области.
Требования к функциональности средств защиты приводятся во второй части "Общих критериев" и могут быть непосредственно использованы при анализе защищенности для оценки полноты реализованных в АС (СВТ) функций безопасности.
Третья часть "Общих критериев" содержит классы требований гарантированности оценки, включая класс требований по анализу уязвимостей средств и механизмов защиты под названием AVA: Vulnerability Assessment. Данный класс требований определяет методы, которые должны использоваться для предупреждения, выявления и ликвидации следующих типов уязвимостей:
|
|
|
- Наличие побочных каналов утечки информации;
- Ошибки в конфигурации либо неправильное использование системы, приводящее к переходу в небезопасное состояние;
- Недостаточная надежность (стойкость) механизмов безопасности, реализующих соответствующие функции безопасности;
- Наличие уязвимостей ("дыр") в средствах защиты информации, дающих возможность пользователям получать НСД к информации в обход существующих механизмов защиты.
Соответствующие требования гарантированности оценки содержатся в следующих четырех семействах требований:
- Семейство AVA_CCA: Covert Channel Analysis (Анализ каналов утечки информации);
- Семейство AVA_MSU: Misuse (Ошибки в конфигурации либо неправильное использование системы, приводящее к переходу системы в небезопасное состояние);
- Семейство AVA_SOF: Strength of TOE Security Functions (Стойкость функций безопасности, обеспечиваемая их реализацией);
- Семейство AVA_VLA: Vulnerability Analysis (Анализ уязвимостей).
При проведении работ по аудиту безопасности перечисленные семейства требований могут использоваться в качестве руководства и критериев для анализа уязвимостей АС (СВТ).
Оценка эффективности системы безопасности производится по цепочке: общая оценка базируется на суммарной эффективности выполнения функций. В свою очередь, степень выполнения каждой функции зависит от удовлетворения соответствующих требований, которые обусловлены вероятностью возникновения нарушений (потенциальные возможности нарушителя, выгоды в случае удачного нарушения и т.п.).
В стандарте выделены 11 классов функций: аудит, идентификация и аутентификация, криптографическая защита, конфиденциальность, передача данных, защита пользовательских данных, управление безопасностью, защита функций безопасности системы, использование ресурсов, доступ к системе, надежность средств.
Оценка информационной безопасности базируется на моделях системы безопасности, состоящих из перечисленных в стандарте функций.
|
|
|
С целью оптимального сочетания типовых требований с требованиями, учитывающими особенности конкретной области применения ИТ, используются два ключевых понятия: профиль защиты и задание по безопасности.
Профиль защиты представляет собой функционально полный, прошедший апробацию, стандартизованный набор требований, предназначенный для многократного использования.
Задание по безопасности – это полная комбинация требований, являющихся необходимыми для создания и оценки ИБ конкретной системы или продукта ИТ.
В ISO 15408 содержится ряд предопределенных моделей (так называемых профилей), описывающих стандартные модули системы безопасности. С их помощью можно не создавать модели распространенных средств защиты самостоятельно, изобретая велосипед, а пользоваться уже готовыми наборами описаний, целей, функций и требований к этим средствам. Простым примером профилей может служить модель межсетевого экрана или СУБД.
В мире уже создано и сертифицировано большое количество профилей. Каждый из них имеет отличительные черты, в том числе: область применения (например, профили Контроль доступа или Программный межсетевой экран); уровень надежности; статус сертификации (скажем, проект, в стадии разработки или сертифицирован).
Сертифицированный профиль представляет собой полное описание определенной части (или функции) системы безопасности. В нем содержится анализ внутренней и внешней среды объекта, требования к его функциональности и надежности, логическое обоснование его использования, возможности и ограничения развития объекта.
Стандарт ISO 15408 выгодно отличает открытость. Описывающий ту или иную область системы безопасности профиль можно создать самостоятельно с помощью разработанной в ISO 15408 структуры документа. В стандарте определена также последовательность действий для самостоятельного создания профилей. Появление проекта Руководства по разработке профилей защиты и заданий по безопасности, в котором развиваются и разъясняются основные требования к Профилям и Заданиям, изложенные в стандарте ISO 15408, является весьма актуальным.
4.1.2 Назначение, структура и краткое содержание Руководства по разработке профилей защиты
Руководство, прежде всего, адресовано тем, кто участвует в процессе разработки Профилей и Заданий. Оно, вероятно, будет полезно и для оценщиков, применяющих Профили и Задания на практике.
Рассматриваемый документ представляет собой детальное руководство по разработке различных частей Профилей и Заданий (изложенное в главах 1- 11) и дает исчерпывающее представление об их взаимосвязи. Наиболее важные аспекты Руководства представлены в Приложении A в виде памятки, что в значительной степени облегчает знакомство и работу с документом. В приложениях приводятся примеры, иллюстрирующие применение Руководства.
|
|
|
Глава 1 посвящена целям и направленности Руководства. Глава 2 содержит краткий обзор профилей защиты (ПЗ) и заданий по безопасности (ЗБ), который включает примерные оглавления и отображает предполагаемое содержание, а также потенциальных пользователей различных частей Профилей и Заданий. В этой главе также обсуждаются соотношение между ПЗ и ЗБ и проблемы, связанные с процессом их разработки.
В Главе 3 более глубоко рассматриваются описательные части Профилей и Заданий. Следующие пять глав придерживаются структуры Профилей и Заданий, установленной в стандарте ISO 15408.
Глава 4 представляет собой руководство по определению безопасности окружения объекта оценки. Глава 5 служит руководством по определению и спецификации целей безопасности в соответствии со сформулированными ранее исходными "потребностями".
Глава 6 - это руководство по выбору и спецификации требований безопасности информационных технологий в ПЗ. В этой главе подробно описывается использование функциональных компонентов и компонентов гарантии, а также компонентов, не предусмотренных ISO 15408, для обеспечения более точного определения требований безопасности ИТ.
Глава 7 представляет собой руководство по разработке заданий по безопасности.
Главы 8 и 9 являются руководствами по составлению и представлению разделов "Обоснование" в ПЗ и ЗБ.
В главе 10 рассматриваются проблемы разработки ПЗ и ЗБ для сложных объектов оценки, то есть объектов, состоящих из двух или более компонентов, для каждого из которых имеются собственные Профили и Задания.
Глава 11 представляет собой руководство по формированию функциональных пакетов и пакетов гарантии, причем таким образом, чтобы их можно было многократно использовать при разработке различных Профилей и Заданий. Пакет при этом рассматривается как потенциально полезный инструмент, предназначенный для облегчения процесса разработки ПЗ/ЗБ.
Как упоминалось выше, Приложение A резюмирует Руководство в виде памятки. Приложение B представляет примеры угроз, политики безопасности организации, предположений и целей безопасности, а также устанавливает соответствие между общими функциональными требованиями и соответствующими функциональными компонентами из Части 2 стандарта ISO 15408.
Приложение C представляет собой руководство по разработке ПЗ и ЗБ объектов оценки, обладающих криптографическими функциональными возможностями.
В Приложениях D, E и F иллюстрируются возможности применения Руководства при разработке ПЗ и ЗБ для различных объектов оценки. Так, в Приложении D рассмотрена возможность использования Руководства применительно к межсетевым экранам.
В Приложении E рассмотрен подход к разработке ПЗ для СУБД. Здесь особое внимание обращается на взаимодействие СУБД с операционной системой, под управлением которой она работает.
Наконец, Приложение F посвящено вопросам разработки Профилей для доверенного центра (ДЦ), являющегося центральным звеном в инфраструктуре с открытыми ключами и организующего работу с цифровыми сертификатами. В Руководстве предлагается интересный подход к формированию ПЗ и ЗБ для ДЦ, учитывающий множество возможных комбинаций дополнительных услуг, предоставляемых конкретным ДЦ, наряду с неизменным набором основных услуг. Подход предусматривает формирование базового набора функциональных требований безопасности, необходимых для обеспечения безопасности основных услуг ДЦ, и дополнительных функциональных пакетов.
|
|
|
