Лекція №6. НОРМАТИВНО-ЗАКОНОДАВЧА БАЗА ІЗ ЗАХИСТУ ІНФОРМАЦІЇ. Єдині критерії безпеки інформаційних технологій

План

1. Основні вимоги безпеки з «Єдиних критеріїв».

«Єдині критерії безпеки інформаційних технологій» («Common Criteria for Information Technology Security Evaluation») є результатом сумісних зусиль авторів Європейських «Критеріїв безпеки інформаційних технологій», «Федеральних критеріїв безпеки інформаційних технологій» і «Канадських критеріїв безпеки комп'ютерних систем», спрямованих на об'єднання основних положень цих документів і створення єдиного міжнародного стандарту безпеки інформаційних технологій. Робота над цім самим масштабним в історії стандартів інформаційної безпеки проектом почалася в червні 1993 року з метою подолання концептуальних і технічних різниць між вказаними документами, їх узгодження і створення єдиного міжнародного стандарту. Перша версія «Єдиних критеріїв» була опублікована в січні 1996 року. Розробниками документа виступили США, Великобританія, Канада, Франція і Нідерланди. Розробка цього стандарту переслідувала наступні основні мети:

· уніфікація національних стандартів в області оцінки безпеки ІТ;

· підвищення рівня довіри до оцінки безпеки ІТ;

· скорочення витрат на оцінку безпеки ІТ на основі взаємного визнання сертифікатів.

Нові критерії були покликані забезпечити взаємне визнання результатів стандартизованої оцінки безпеки на світовому ринку ІТ.

Розробка версії 1.0 критеріїв була довершена в січні 1996 року і схвалена ISO (Міжнародна організація по стандартизації) у квітні 1996 року. Був проведений ряд експериментальних оцінок на основі версії 1.0, а також організоване широке обговорення документа.

У травні 1998 року була опублікована версія 2.0 документа і на її основі в червні 1999 року був прийнятий міжнародний стандарт ІСО/МЕК 15408. Офіційний текст стандарту виданий 1 грудня 1999 року. Зміни, внесені в стандарт на завершальній стадії його прийняття, враховані у версії 2.1, ідентичної початковій. В даний час на підставі отриманого досвіду практичного застосування стандарту готується версія 3.0, що вийде в 2002 році.

Єдині критерії узагальнили зміст і досвід використання «Оранжевої книги», розвили рівні гарантованості європейських критеріїв, втілили в реальні структури концепцію профілів захисту «Федеральних критеріїв США».

В єдиних критеріях проведена класифікація широкого набору функціональних вимог і вимог довіри до безпеки, визначені структури їхнього групування і принципи цільового використання.

Основними відмітними рисами стандарту є:

1. Насамперед, стандарт – це визначена методологія і система формування вимог і оцінки безпеки ІТ. Системність просліджується, починаючи від термінології і рівнів абстракції представлення вимог і закінчуючи їх використанням при оцінці безпеки на всіх етапах життєвого циклу виробів ІТ.

2. Єдині критерії характеризуються найбільш повною на сьогоднішній день сукупністю вимог до безпеки ІТ.

3. В єдиних критеріях проведений чіткий поділ вимог безпеки на функціональні вимоги і вимоги довіри до безпеки. Функціональні вимоги відносяться до сервісів безпеки (ідентифікації, автентифікації, керуванню доступом, аудиту і т.д.), а вимоги довіри – до технології розробки, тестуванню, аналізу уразливостей, експлуатаційної документації, постачанню, супроводу, тобто до всіх етапів життєвого циклу виробів ІТ.

4. Єдині критерії включають шкалу довіри до безпеки (оцінні рівні довіри до безпеки), що може використовуватися для формування різних рівнів впевненості в безпеці продуктів ІТ.

5. Систематизація і класифікація вимог по ієрархії «клас» – «сімейство» – «компоненти» – «елемент» з унікальними ідентифікаторами вимог забезпечує зручність їхнього використання.

6. Компоненти вимог у сімействах і класах ранжовані за ступенем повноти і жорсткості, а також згруповані в пакети вимог.

7. Гнучкість у підході до формування вимог безпеки для різних типів виробів ІТ і умов їхнього застосування забезпечуються можливістю цілеспрямованого формування необхідних наборів вимог у виді визначених стандартизованих структур (профілів захисту і завдань по безпеці).

8. Єдині критерії мають відкритість для наступного нарощування сукупності вимог.

Як показують оцінки фахівців в області інформаційної безпеки [ЗИ], за рівнем систематизації, повноті і можливостям деталізації вимог, універсальності і гнучкості в застосуванні стандарт являє собою найбільш розроблений з існуючих в даний час стандартів. Причому, що дуже важливо, в силу особливостей побудови, він має практично необмежені можливості для розвитку, являє собою не функціональний стандарт, а методологію завдання, оцінки і каталог вимог безпеки ІТ, що може нарощуватися й уточнюватися.

Основними документами, що описують всі аспекти безпеки ІТ-продукта, з погляду користувачів і розроблювачів є відповідно профіль захисту і проект захисту.

Профіль захисту визначає вимоги безпеки до визначеної категорії ІТ-продуктів і не уточнює методи і засоби їхньої реалізації. Це дуже докладний документ, що містить такі розділи: уведення, опис ІТ-продукта, середовище експлуатації, задачі захисту, вимоги безпеки, додаткові зведення, обґрунтування задач захисту і вимог безпеки.

Проект захисту містить вимоги і задачі ІТ-продукта, а також описує рівень функціональних можливостей реалізованих у ньому засобів захисту, їхнє обґрунтування і підтвердження ступеня їхньої адекватності. Проект захисту, з одного боку є відправною крапкою для розроблювача системи, а з іншого, являє собою еталон системи в ході кваліфікаційного аналізу. Документ містить наступні розділи: вступ, опис ІТ-продукта, середовище експлуатації, задачі захисту, вимоги безпеки, загальні специфікації ІТ-продукта, заявка на відповідність профілю захисту, обґрунтування.

Профіль і проект захисту вичерпним образом регламентують взаємодію споживачів, виробників і експертів по кваліфікації в процесі створення ІТ-продукта. Фактично ці документи визначають технологію розробки захищених систем. Найважливішим елементом цієї технології є вимоги безпеки.

«Єдині критерії» розділяють вимоги безпеки на дві категорії: функціональні вимоги і вимоги адекватності.

Функціональні вимоги регламентують функціонування компонентів ІТ-продукта, що забезпечують безпеку, і визначають можливості засобів захисту. Функціональні вимоги представляються у виді складної, але добре проробленої формальної ієрархічної структури, що складається з класів, розбитих на розділи.

Адекватність являє собою характеристику ІТ-продукта, що показує, наскільки ефективно забезпечується заявлений рівень безпеки, а також ступінь коректності реалізації засобів захисту. Вимоги адекватності жорстко структуровані і регламентують всі етапи проектування, створення й експлуатації ІТ-продукта з погляду надійності роботи засобів захисту і їхньої адекватності функціональним вимогам, задачам захисту і погрозам безпеки. Є сім стандартних рівнів адекватності, причому рівень вимог адекватності зростає від першого рівня до сьомого. Кожен рівень характеризується набором вимог адекватності, що регламентують застосування різних методів і технологій розробки, тестування, контролю і верифікації ІТ-продукта:

Рівень 1. Функціональне тестування.

Рівень 2. Структурне тестування.

Рівень 3. Методичне тестування і перевірка.

Рівень 4. Методична розробка, тестування й аналіз.

Рівень 5. Напівформальні методи розробки і тестування.

Рівень 6. Напівформальні методи верифікації розробки і тестування.

Рівень 7. Формальні методи верифікації розробки і тестування.

Таким чином, вимоги «Єдиних критеріїв» охоплюють практично всі аспекти безпеки ІТ-продуктів і технології їхнього створення, а також містять усі вихідні матеріали, необхідні споживачам і розроблювачам для формування профілів і проектів захисту. Крім того, стандарт є практично всеосяжною енциклопедією інформаційної безпеки, тому може використовуватися як довідник по безпеці інформаційних технологій.

Даний стандарт ознаменував собою новий рівень стандартизації інформаційних технологій, піднявши його на міждержавний рівень. За цим проглядається реальна перспектива створення єдиного безпечного інформаційного простору, у якому сертифікація систем безпеки обробки інформації буде здійснюватися на глобальному рівні, що надасть можливості для інтеграції національних інформаційних систем, що у свою чергу відкриє зовсім нові сфери застосування інформаційних технологій.

Контрольні запитання

1. Для чого необхідні стандарти з інформаційної безпеки?

2. Які погляди на проблеми інформаційної безпеки мають споживачі засобів захисту, виробники та експерти по кваліфікації?

3. Якими узагальненими показниками можна охарактеризувати стандарти з інформаційної безпеки?