V. Последовательность действий при разработке системы обеспечения информационной безопасности объекта.

Прежде, чем приступать к разработке системы информационной безопасности, необходимо определить, что же для организации (физического лица) является интеллектуальной собственностью.

С точки зрения делового человека, интеллектуальной собствен­ностью являются информационные ресурсы, знания, которые помогают ему эффективно разра­батывать и изготавливать новую продукцию, выгодно продавать товар или каким-то другим образом увеличивать свою прибыль. Способ управления производством, технологический процесс, список клиен­тов профиль научных исследований, анализ конкурентоспособно­сти – лишь некоторые примеры тому.

Незнание того, что составляет интеллектуальную собствен­ность — уже шаг к потерям финансовым, моральным и материальным. Именно с этого надо начинать создание системы защиты информации.

Дальнейшими этапами, вне зависимости от размеров организации и специфики ее информационной системы, в том или ином виде должны быть:

Ø определение границ управления информационной безопасностью объекта;

Ø анализ уязвимости;

Ø выбор контрмер, обеспечивающих информационную безопасность; определение политики информационной безопасности;

Ø проверка системы защиты;

Ø составление плана защиты;

Ø реализация плана защиты (управление системой защиты).

Любые действия по созданию системы информационной безопасности должны заканчиваться определенными результатами в виде документа или технического решения (смотри схему 1).

Как показывает раз­работка реальных систем, ни один из способов (мер, средств и мероприятий) обеспечения безопасности информации не явля­ется надежным, а максимальный эффект достигается при объединении всех их в целостную систему защиты информации. Только оптимальное сочетание организационных, технических и программных мероприятий, а также постоянное внимание и контроль над поддержанием системы защиты в актуальном состоянии позволит с наибольшей эффективностью обеспечить решение постоянной задачи.

Методологические основы обеспечения информационной безопасности являются достаточно общими рекомендациями, базирующимися на мировом опыте создания подобных систем. Задача каждого специалиста по защите информации преломить абстрактные положения к своей конкретной предметной области (предприятию, организации, банка), в которых всегда найдутся свои особенности и тонкости этого не простого ремесла.

VI. Международный стандарт "Общие критерии оценки безопасности информационных технологий"

Для рыночных условий важ­на юридическая сила электронных документов, которая достигается с помощью средств защиты информации (ЗИ). В частности, активно разви­вается процесс электронной торговли с использо­ванием последних достижений микроэлектроники и средств телекоммуникаций. Страны ЕС и США договорились и ведут беспошлинную электронную торговлю с 1 января 1998 г.

Всемирная Торговая Организация, членом которой является Россия, в мае 1998 г. приняла решение о введении бес­пошлинной электронной торговли.

В связи с этим, важным направлением международного взаимодействия является формирование открытых систем.Под открытыми системами пони­мают совокупности всевозможного вычислитель­ного и телекоммуникационного оборудования раз­ного производства, совместное функционирование которого обеспечивается соответствием требова­ниям стандартов, прежде всего международных.

Такой подход связан с необходимостью увязать в единую систему большое разнообразие техниче­ских средств и программ, используемых в вычис­лительных системах или сетях. Термин "открытые" подразумевает также, что если вы­числительная система соответствует стандартам, то она будет открыта для взаимосвязи с любой другой системой, которая соответствует тем же стан­дартам. Это, в частности, относится к механизмам криптографической ЗИ и к защите от НСД.

При создании и выборе средств и си­стем ЗИ даже для одной предметной области воз­никает вопрос о том, как оценить или сравнить между собой различные средства ЗИ. Проблема еще более обостряется из-за того, что ИТ очень много, они соприкасаются и пересекаются между собой. Поэтому для их сравнения и стыковки необходимы некоторые критерии.

Следуя по пути интеграции, в 1990 г. Между­народная организация по стандартизации (ISO), a также Международная Электротехническая ко­миссия (ТЕС) составили специализированную систему по мировой стандартизации, a ISO начала создавать международные стандарты по критери­ям оценки безопасности ИТ для общего использо­вания, названные Common Criteria или "Общие критерии оценки безопасности информационных технологий". В их разработке участвовали: На­циональный институт стандартов и технологии и Агентство национальной безопасности (США), Учреждение безопасности коммуникаций (Ка­нада), Агентство информационной безопасности (Германия), Агентство национальной безопасности коммуникаций (Нидерланды), Органы исполне­ния Программы безопасности и сертификации ИТ (Англия), Центр обеспечения безопасности систем (Франция).

За прошедшее десятилетие лучшими специа­листами мира "Общие критерии" неоднократно редактировались. Международный стандарт ISO/IEC 15408 был подготовлен Техническим комитетом ISO/IEC JTC 1 по информационным технологиям совместно с Комитетом по реализа­ции общих критериев, являющимся органом, со­стоящим из членов спонсорских организаций Проекта общих критериев, и под названием "Общие критерии оценки безопасности информа­ционных технологий" (ОК) 8 июня 1999 г. утвержден ISO. Ведущие мировые производители оборудования ИТ основательно подготовились к этому моменту и сразу будут поставлять заказчикам любые средства, полностью отвечающие требованиям ОК.

ОК обобщили содержание и опыт использова­ния Оранжевой книги, развили европейские критерии, критерии Канады и вопло­тили в реальные структуры концепцию типовых профилей защиты федеральных критериев США. В ОК проведена классификация широкого набора требований безопасности ИТ, определены структуры их группирования и принципы исполь­зования. Главные достоинства ОК — полнота и систематизация требований безопасности, гибкость в применении и открытость для последующего развития.

Появление международного стандарта ОК является качественно новым этапом в развитии нормативной базы оценки безопасности ИТ.

К рассматриваемым в ОК аспектам безопас­ности относятся: защита от НСД, модификации или потери доступа к информации при воз­действии угроз, являющихся результатом случай­ных или преднамеренных действий.

Некоторые аспекты безопасности ИТ находятся вне рамок ОК:

оценка административных мер безопасности;

оценка технических аспектов безопасности ИТ типа побочных электромагнитных излучений;

методики оценки;

критерии для оценки криптографических мето­дов ЗИ.

ОК предполагается использовать как при зада­нии требований к продуктам и системам ИТ, так и при оценке их безопасности на всех этапах жиз­ненного цикла.

ОК состоят из следующих частей:

Часть 1. Представление и общая модель.

Общая концепция, принципы и цели оценки безопасности ИТ, категории специалистов, для которых ОК представляют интерес.

Часть 2. Требования к функциям безопас­ности.

Требования к функциям безопасности и набор показателей для оценки безопасности ИТ.

Часть 3. Требования гарантированности безопасности. Требования к гарантиям безопасности, крите­рии оценки для профилей защиты и заданий по безопасности.

Общий объем материалов ОК составляет около 800 страниц. Учитывая перспективность и между­народный характер ОК, целесообразно использовать основные положения и конструкции ОК при разработке методического и инструментального обеспечения оценки безопасности продуктов и систем ИТ в России.

Основные качества Общих критериев

Охват всего спектра ИТ и возможность уче­та особенностей каждой конкретной системы при задании требований по безопасности. ОК предназначены для оценки безопасности как систем ИТ, разрабатываемых для автоматизации в конкретной области применения, так и отдельных продуктов ИТ, которые имеют универсальное пред­назначение. ОК применимы к оценке безопасности как аппаратных средств, так и программного обес­печения ИТ. Исключение составляют:

административные меры обеспечения безопас­ности ИТ;

оценка технических аспектов обеспечения без­опасности типа побочного электромагнитного из­лучения;

специфические свойства криптографических методов и алгоритмов ЗИ.

В ОК отсутствует жесткая шкала классифика­ции ИТ по уровню безопасности. Вместо этого предусмотрено использование сформированных по определенным правилам типовых наборов требо­ваний по различным видам ИТ, уровням ЗИ и другим классификационным признакам. Перечень типовых наборов требований не регламентируется ОК. Они формируются по результатам прохож­дения определенной процедуры согласования и апробации, предусмотренной в ОК. С целью оп­тимального сочетания как определенного набора требований, так и требований, учитывающих осо­бенности конкретной области применения ИТ, в ОК используются два ключевых понятия: про­филь защиты и задание по безопасности.

Профиль защиты представляет собой функ­ционально полный, прошедший апробацию, стан­дартизованный набор требований, предназначен­ный для многократного использования.

Задание по безопасности — это полная комби­нация требований, являющихся необходимыми для создания и оценки ИБ конкретной системы или продукта ИТ.

Учет специфики подхода к безопасности ИТ со стороны заказчиков, разработчиков и лиц, осуществляющих оценку и сертификацию без­опасности ИТ. Для заказчиков ОК предоставляют возможности по грамотному, обоснованному зада­нию требований к безопасности ИТ. ОК могут также использоваться заказчиком для сравнитель­ного анализа различных систем и продуктов ИТ. Разработчикам ИТ ОК предоставляют развитую систему структурированных требований для вы­бора механизмов обеспечения безопасности при проектировании и разработке ИТ ОК содержат также требования к процессу разработки ИТ в целях обеспечения необходимого уровня гарантии реализации заданных функций безопасности.

Для специалистов по оценке безопасности ИТ ОК предоставляют систему критериев для форми­рования заключений об уровне безопасности ИТ и определяют виды, объем и глубину испытаний ИТ по требованиям безопасности.

Широкий спектр, детальность и структури­рованность требований к механизмам безопас­ности, мерам и средствам обеспечения их реа­лизации. ОК содержат две категории требований: функциональные требования и требования гарантированности.

Функциональные требования опи­сывают те функции, которые должны быть реали­зованы в ИТ для обеспечения их безопасности. Требования гарантированности определяют меры и средства, которые должны быть использованы в процессе создания ИТ для получения необходи­мой уверенности в правильности реализации ме­ханизмов безопасности и в их эффективности. Все требования ОК разбиты по классам, семействам, компонентам и элементам с определением зависи­мостей одних компонентов от других. Определены допустимые действия над компонентами, которые могут применяться для конкретизации задаваемых требований безопасности.

Охват всего процесса ИТ, начиная от форми­рования целей и требований обеспечения без­опасности и кончая поставкой и наладкой ИТ на конкретном объекте. Важной отличительной чертой ОК является полнота охвата требований всего жизненного цикла ИТ. В соответствии с ОК на начальном этапе разработки ИТ должна быть определена модель жизненного цикла ИТ, в кото­рой необходимо предоставить все меры и сред­ства, применяемые разработчиком для достижения требуемого уровня безопасности ИТ.

Мерами и средствами обеспечения гарантированности без­опасности охватываются следующие аспекты:

· среда и средства разработки;

· состав, полнота и адекватность проектных ма­териалов;

· конфигурационное управление;

· документация;

· тестирование;

· оценка уязвимости;

· поставка и наладка.

Возможность формирования наборов требо­ваний по уровням безопасности ИТ, сопостави­мых с другими системами оценки. В ОК указы­вается, что они разработаны с учетом совместимости с существующими критериями, чтобы сохранить преемственность оценок безопас­ности. Преемственность достигается за счет воз­можности формирования профилей защиты, соот­ветствующих наборам требований, определяющих уровни безопасности ИТ в других системах.

Комплексность подхода к обеспечению без­опасности ИТ. В соответствии с ОК безопасность должна обеспечиваться на всех уровнях предо­ставления ИТ, от наиболее абстрактного на этапе формирования замысла создания информацион­ной системы до ее применения в конкретных условиях. Предусмотрены следующие уровни рассмотрения безопасности ИТ:

• безопасность окружающей среды — зако­ны, нормативные документы, организационные меры, физическое окружение, определяющие условия применения ИТ, а также существующие и возможные угрозы безопасности ИТ;

• цели безопасности — намерения, опреде­ляющие направленность мер по противодействию выявленным угрозам и обеспечению безопасности;

• требования безопасности — полученный в результате анализа целей безопасности набор техни­ческих требований для механизмов безопасности и гарантированности их реализации, обеспечивающий достижение сформулированных целей;

• спецификации безопасности — проектное представление механизмов безопасности, реализа­ция которых гарантирует выполнение требований безопасности;

• разработка — реализация механизмов без­опасности со спецификациями.

ОК содержат требования по полноте, коррект­ности и последовательности представления без­опасности ИТ на различных уровнях и доказа­тельству взаимосогласованности различных уровней представления ИТ.

Комплексность оценки безопасности ИТ. В со­ответствии с ОК оценка безопасности должна проводиться в процессе разработки ИТ на наибо­лее важных этапах. Предусмотрены следующие стадии оценки:

профиля защиты;

задания по безопасности;

реализованных механизмов безопасности.

Оценка профиля защиты проводится с целью установления того, что сформированный профиль является полным, последовательным, технически правильным и пригодным для использования в качестве типового для определенного класса ИТ. Использование оцененных, апробированных и стан­дартизованных профилей защиты дает возможность заказчикам ИТ избежать затрат на разработку тре­бований по информационной безопасности к созда­ваемым системам и изделиям и исключить дополни­тельные затраты на их обоснование.

Оценка задания по безопасности проводится с целью установления того, что задание соответ­ствует требованиям профиля защиты и содержит полный, последовательный и технически правиль­ный набор требований, необходимых для обеспе­чения безопасности конкретного объекта. Задание по безопасности подлежит согласованию между заказчиками, разработчиками и является в дальнейшем основным документом, в соответствии с которым оценивается безопасность разрабаты­ваемой ИС.

Цель оценки реализованных механизмов обес­печения безопасности ИТ — установить, что ме­ханизмы безопасности обеспечивают выполнение всех требований, содержащихся в задании по без­опасности.

Расширяемость требований к безопасности ИТ. ОК представляют собой наиболее полный на настоящее время набор критериев в области без­опасности ИТ, который удовлетворяет потребно­стям основных категорий и групп пользователей ИТ. Это является основанием для принятия ОК в качестве международного стандарта.