Файл: 8_ua_2_.doc

Гостехкоміссия Росії веде вельми активну нормотворческую діяльність, випускаючи Керівні документи (РД), що грають роль національних оцінних стандартів в області інформаційної безпеки. Як стратегічний напрям Гостехкоміссия Росії вибрала орієнтацію на "Загальні критерії", що можна тільки вітати.

В своєму огляді ми розглянемо два важливих, хоча і не нових, Керівних документа - Класифікацію автоматизованих систем (АС) по рівню захищеності від несанкціонованого доступу (Нсд) і аналогічну Класифікацію міжмережевих екранів (МЕ).

Згідно першому з них, встановлюється дев’ять класів захищеності АС від нсд до інформації.

Кожний клас характеризується певною мінімальною сукупністю вимог по захисту.

Класи підрозділяються на три групи, відмінні особливостями обробки інформації в АС.

В межах кожної групи дотримується ієрархія вимог по захисту залежно від цінності (конфіденційності) інформації і, отже, ієрархія класів захищеності АС.

Третя група класифікує АС, в яких працює один користувач, що має доступ до всієї інформації АС, розміщеної на носіях одного рівня конфіденційності. Група містить два класи - 3Б і 3А.

Друга група класифікує АС, в яких користувачі мають однакові права доступу (повноваження) до всієї інформації АС, оброблюваної і (або) зберігається на носіях різного рівня конфіденційності.

Група містить два класи - 2Б і 2А.

Перша група класифікує розраховані на багато користувачів АС, в яких одночасно обробляється і (або) зберігається інформація різних рівнів конфіденційності і не всі користувачі мають право доступу до всієї інформації АС. Група містить п’ять класів - 1Д, 1Г, 1В, 1Б і 1А.

Зведемо в таблицю вимоги до всіх дев’яти класів захищеності АС.

Таблиця 5.3. Вимоги до захищеності автоматизованих систем
Підсистеми і вимоги	Класи
Підсистеми і вимоги	3Б	3А	2Б	2А	1Д	1Г	1В	1Б	1А
1. Підсистема управління доступом 1.1. Ідентифікація, перевірка автентичності і контроль доступу суб’єктів: в систему;	+	+	+	+	+	+	+	+	+
до терміналів, ЕОМ, вузлам мережі ЕОМ, каналів зв’язку, зовнішніх пристроїв ЕОМ;	-	-	-	+	-	+	+	+	+
до програм;	-	-	-	+	-	+	+	+	+
до томів, каталогів, файлам, записів, полів записів.	-	-	-	+	-	+	+	+	+
1.2. Управління потоками інформації	-	-	-	+	-	-	+	+	+
2. Підсистема реєстрації і обліку 2.1. Реєстрація і облік: входу/виходу суб’єктів доступу в/из системи (вузла мережі);	+	+	+	+	+	+	+	+	+
видачі друкарських (графічних) вихідних документів;	-	+	-	+	-	+	+	+	+
запуску/завершення програм і процесів (завдань, задач);	-	-	-	+	-	+	+	+	+
доступу програм суб’єктів доступу до терміналів, ЕОМ, вузлам мережі ЕОМ, каналів зв’язку, зовнішнім пристроям ЕОМ, програм, томам, каталогів, файлам, записів, полів записів;	-	-	-	+	-	+	+	+	+
зміни повноважень суб’єктів доступу;	-	-	-	-	-	-	+	+	+
створюваних об’єктів доступу, що захищаються.	-	-	-	+	-	-	+	+	+
2.2. Облік носіїв інформації.	+	+	+	+	+	+	+	+	+
2.3. Очищення (обнулення, знеособлення) областей оперативної пам’яті ЕОМ і зовнішніх накопичувачів, що звільняються.	-	+	-	+	-	+	+	+	+
2.4. Сигналізація спроб порушення захисту.	-	-	-	-	-	-	+	+	+
3. Криптографічна підсистема 3.1. Шифрування конфіденційної інформації.	-	-	-	+	-	-	-	+	+
3.2. Шифрування інформації, що належить різним суб’єктам доступу (групам суб’єктів) на різних ключах.	-	-	-	-	-	-	-	-	+
3.3. Використовування аттестованных (сертифікованих) криптографічних засобів.	-	-	-	+	-	-	-	+	+
4. Підсистема забезпечення цілісності 4.1. Забезпечення цілісності програмних засобів і оброблюваної інформації.	+	+	+	+	+	+	+	+	+
4.2. Фізична охорона засобів обчислювальної техніки і носіїв інформації.	+	+	+	+	+	+	+	+	+
4.3. Наявність адміністратора (служби захисту) інформації в АС.	-	-	-	+	-	-	+	+	+
4.4. Періодичне тестування СЗІ нсд.	+	+	+	+	+	+	+	+	+
4.5. Наявність засобів відновлення СЗІ нсд.	+	+	+	+	+	+	+	+	+
4.6. Використовування сертифікованих засобів захисту.	-	+	-	+	-	-	+	+	+

"-" немає вимог до даного класу;

"+" є вимоги до даного класу;

"СЗІ нсд" система захисту інформації від несанкціонованого доступу

По суті перед нами - мінімум вимог, яким необхідно слідувати, щоб забезпечити конфіденційність інформації. Цілісність представлена окремою підсистемою (номер 4), але безпосередньо до предмету, що цікавить нас, має відношення тільки пункт 4.1. Доступність (точніше, відновлення) передбачено тільки для самих засобів захисту.

Переходячи до розгляду другого РД Гостехкоміссиі Росії - Класифікації міжмережевих екранів - вкажемо, що даний РД представляється нам принципово важливим, оскільки в ньому йде мова не про цілісний продукт або систему, а про окремий сервіс безпеки, що забезпечує міжмережеве розмежування доступу.

Даний РД важливий не стільки змістом, скільки самим фактом свого існування.

Основним критерієм класифікації МЕ служить протокольний рівень (відповідно до еталонної семирівневої моделі), на якому здійснюється фільтрація інформації. Це зрозуміло: чим вище рівень, тим більше інформації на ньому доступна і, отже, тим більше тонку і надійну фільтрацію можна реалізувати.

Значну увагу в РД надане власній безпеці служб забезпечення захисту і питанням злагодженого адміністрування розподілених конфігурацій.

Список літератури

Столлингс Вильям. Криптография и защита сетей: принципы и практика /Пер. с англ – М.: Издательский дом «Вильямс», 2001.
Иванов М.А. Криптографические методы защиты информации в компьютерных системах и сетях. – М.: КУДИЦ-ОБРАЗ, 2001.
Жельников В. Криптография от папируса до компьютера. – М.: ABF, 1996.
Бабенко Л.К. Введение в специальность «Организация и технология защиты информации». – Таганрог: Изд-во ТРТУ, 1999. –54с.
Брюхомицкий Ю.А. Введение в информационные системы. – Таганрог: Изд-во ТРТУ, 2001. – 151 с.
Зегжда Д.П., Ивашко А.М. Как построить защищенную информационную систему Под научной редакцией Зегжды Д.П. и Платонова В.В. – СПб: Мир и семья-95,1997. – 312 с.
Гайкович В.Ю., Ершов Д.В. «Основы безопасности информационных технологий»
Котухов М.М., Марков А.С. Законодательно-правовое и организационно-техническое обеспечение информационной безопасности автоматизированных систем. – 1998. – 158 с.
Информационно-безопасные системы. Анализ проблемы: Учеб. пособие Алешин Н. В, Коэлод В. Н., Нечаев Д. А., Смирнов А. С., Сычев М. П., Пальчун Б. П., Черноруцкий И. Г., Черносвитов А. В. Под ред. В. Н. Козлова. – СПб.: Издательство С.-Петербургского, гос. техн. университета, 1996. – 69 с.
Громов В.И., Василева Г.А. «Энциклопедия компьютерной безопасности»

Смотрите также файлы

Анализ оборотных активов строительной фирмы.docx

повреждение, наряду с чужеродными, собственных структур организма.docx

3. Анализ организации логистического управления на предприятии.docx

7 предмет, объекты, задачи и методы криминалистической экспертизы материалов документов.docx

Вариант 18 Опишите основные операции технологии получения магния.doc

Файл: 8_ua_2_.doc

6 Керівні документи Гостехкоміссиі Росії

Список літератури

Смотрите также файлы

Информация

Списки файлов

Дополнительно