Рівень 1. Функціональне тестування.
Рівень 2. Структурне тестування.
Рівень 3. Методичне тестування і перевірка.
Рівень 4. Методична розробка, тестування й аналіз.
Рівень 5. Напівформальні методи розробки і тестування.
Рівень 6. Напівформальні методи верифікації розробки і тестування.
Рівень 7. Формальні методи верифікації розробки і тестування.
Таким чином, вимоги «Єдиних критеріїв» охоплюють практично всі аспекти безпеки ІТ-продуктів і технології їх створення, а також містять усі вихідні матеріали, необхідні споживачам і розробникам для формування профілів і проектів захисту. Крім того, стандарт є практично всеосяжною енциклопедією інформаційної безпеки, тому може використовуватися як довідник з безпеки інформаційних технологій.
Цей стандарт ознаменував собою новий рівень стандартизації інформаційних технологій, піднявши його на міждержавний рівень.
II. Державний стандарт України із захисту інформації
У 1997 р. Департаментом спеціальних телекомунікаційних систем та захисту інформації служби безпеки України була розроблена перша версія системи нормативних документів із технічного захисту інформації в комп'ютерних системах від НСД. Ця система включає чотири документи:
Загальні положення щодо захисту інформації в комп'ютерних системах від несанкціонованого доступу.
Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу.
Критерії оцінки захищеності інформації в комп'ютерних системах від несанкціонованого доступу.
Термінологія в галузі захисту інформації в комп'ютерних системах від несанкціонованого доступу.
Нормативний документ технічного захисту інформації (НД ТЗІ) «Загальні положення щодо захисту інформації в комп'ютерних системах від несанкціонованого доступу» визначає концепцію вирішення завдань захисту інформації в комп'ютерних системах і створення нормативних і методологічних документів, що регламентують питання:
- визначення вимог щодо захисту КС від несанкціонованого доступу;
- створення захищених КС і засобів їх захисту від несанкціонованого
доступу;
- оцінки захищеності КС і їх придатності для вирішення завдань споживача.
Документ призначено для постачальників (розробників), споживачів (замовників, користувачів) КС, які використовуються для обробки (у тому числі збирання, збереження, передачі і т. п.) критичної інформації (інформації, що вимагає захисту), а також для державних органів, що здійснюють функції контролю за обробкою такої інформації.
Інформаційні ресурси держави або суспільства в цілому, а також окремих організацій і фізичних осіб являють собою певну цінність, мають відповідне матеріальне вираження і вимагають захисту від різноманітних за своєю сутністю впливів, які можуть призвести до зниження цінності інформаційних ресурсів.
Кінцевою метою всіх заходів щодо захисту інформації є забезпечення безпеки інформації під час її обробки в АС. Захист інформації повинен забезпечуватись на всіх стадіях життєвого циклу АС, на всіх технологічних етапах обробки інформації й в усіх режимах функціонування.
У випадку, якщо в АС планується обробка інформації, порядок обробки і захисту якої регламентується законами України або іншими нормативно-правовими актами (наприклад, інформація, що становить державну таємницю), для обробки такої інформації в цій АС необхідно мати дозвіл відповідного уповноваженого державного органу. Підставою для видачі такого дозволу є висновок експертизи АС, тобто перевірки відповідності реалізованої КСЗІ встановленим нормам.
Якщо порядок обробки і захисту інформації не регламентується законодавством, експертиза може виконуватись у необов'язковому порядку за поданням замовника (власника АС або інформації).
У процесі експертизи оцінюється КСЗІ АС у цілому. У тому числі виконується й оцінка реалізованих у КС засобів захисту. Засоби захисту від НСД, реалізовані в комп'ютерній системі, слід розглядати як підсистему захисту від НСД у складі КСЗІ. Характеристики фізичного середовища, персоналу, оброблюваної -інформації, організаційної підсистеми істотно впливають на вимога до функцій захисту, що реалізуються КС.
Як КС можуть виступати: ЕОМ загального призначення або персональна ЕОМ; операційна система; прикладна або інструментальна програма (пакет програм); локальна обчислювальна мережа, як сукупність апаратних засобів, ПЗ, що реалізує протоколи взаємодій, мережевої операційної системи і т. ін., ОС автоматизованої системи, яка реально функціонує, у найбільш загальному випадку - сама АС або її частина.
Далі викладається концепція забезпечення ЗІ. Визначаються поняття загрози інформації, політики безпеки, комплекс засобів захисту та об'єкти комп'ютерної системи, визначення несанкціонованого доступу і модель порушника.
Наступний документ присвячений класифікації автоматизованих систем і подає функціональні профілі захищеності оброблюваної інформації від НСД («Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу»).
У цьому документі за сукупністю характеристик АС (конфігурація апаратних засобів ОС і їх фізичне розміщення, кількість різноманітних категорій оброблюваної інформації, кількість користувачів і категорій користувачів) виділено три ієрархічні класи АС, вимоги до функціонального складу КЗЗ яких істотно відрізняються.
Клас «1» - одномашинний однокористувацький комплекс, який обробляє інформацію однієї або кількох категорій конфіденційності.
Істотні особливості: о у кожний момент часу з комплексом може працювати тільки один користувач, хоча у загальному випадку осіб, що мають доступ до комплексу, може бути декілька, але всі воші повинен мати однакові повноваження (права) щодо доступу до інформації, яка обробляється; о технічні засоби (носії інформації і засоби В/У) з точки зору захищеності належать до однієї категорії і всі можуть використовуватись для збереження і/або обробки всієї інформації.
Приклад: автономна персональна ЕОМ, доступ до якої контролюється з використанням організаційних заходів.
Клас «2» - локалізований багатомашинний багатокористувацький комплекс, який обробляє інформацію різних категорій конфіденційності.
Істотна відмінність від попереднього класу - наявність користувачів з різними повноваженнями щодо доступу та технічних засобів, які можуть одночасно здійснювати обробку інформації різних категорій конфіденційності.
Приклад: ЛОМ.
Клас «З» - розподілений багатомашинний багатокористувацький комплекс, який обробляє інформацію різних категорій конфіденційності.
Істотна відмінність від попереднього класу - необхідність передачі інформації через незахищене середовище або, у загальному випадку, наявність вузлів, що реалізують різну політику безпеки.
Приклад: глобальна мережа.
У межах кожного класу АС класифікуються на підставі вимог до забезпечення певних властивостей інформації. З точки зору безпеки інформація характеризується трьома властивостями: конфіденційністю, цілісністю і доступністю.
Перелік функціональних послуг безпеки та рівнів гарантій, їх структура і семантичне позначення наведені в НД ТЗІ «Критерії оцінки захищеності інформації в комп'ютерних системах від несанкціонованого доступу».
У документі «Термінологія в галузі захисту інформації в комп'ютерних системах від НСД» визначено та пояснено 128 основних найбільш поширених термінів, які подані українською, російською та англійською мовами.
ЛІТЕРАТУРА
І.Антонюк А.А., Волощук А.Г., Суслов В.Ю., Ткач А.В. Что такое Оранжевая книга? (Из истории компьютерной безопасности) // Безопасность информации. - №2. - 1996.
Антонюк А.А., Заславская Е.А., Лащевский В.И. Некоторые вопросы разработки политики безопасности информации // Защита информации: Сб. науч. тр. -К.: КМУГА, 1999. - 188 с.
Баричев С. Криптография без секретов. - М., 1998.
Галатенко В.А. Информационная безопасность: практический подход. -М.: Наука, 1998.-301 с.
Герасименко В.А. Защита иформации в автоматизированых системах обработки даных. - М.: Энергоатомиздат, 1994. - В 2-х томах.
Домарев В.В. Защита информации и безопасность компьютерных систем. - К.: Изд. «ДиаСофт», 1999. - 480 с.
Жельников В. Криптография от папируса до компьютера. - М.: ABF, 1996.-336 с.
Загальні положення щодо захисту інформації в комп'ютерних системах від несанкціонованого доступу. - НД ТЗІ 1.1-001-98, ДСТСЗІ СБ України, Київ, 1998.
Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу. -НД ТЗІ 2.2.-002 -98, ДСТСЗІ СБ України, Київ, 1998.
10.Критерії оцінки захищеності інформації в комп'ютерних системах від несанкціонованого доступу. - НД ТЗІ 2.2-001-98, ДСТСЗІ СБ України, Київ, 1998.
11. Корченко А.Г. Несанкционированный доступ в компьютерные системы и методы защиты. -Киев: КМУГА, 1998.
12. http://www.infobezpeka.com/publications/?id=92
Страницы: 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12
