Стандарты безопасности КС

Впервые основные требования к системе защиты информации были сформулированы в документе Министерства обороны США «Trusted Computer System Evaluation Criteria» («Критерии оценки безопасности компьютерных систем», или более известной (по цвету обложки) под названием «Оранжевая книга») в 1985 г. В этом документе предложены три основные категории требований.

1. Политика:

наличие явной и хорошо определенной политики обеспечения безопасности;

использование маркировки объектов КС для управления доступом к ним.

2. Подотчетность:

индивидуальная идентификация субъектов КС;

сохранение и защита информации аудита.

3. Гарантии:

включение в состав КС программно-аппаратных средств защиты для гарантированного выполнения требований 1 и 2 категории;

постоянная защищенность средств обеспечения безопасности информации в КС от их преодоления и (или) несанкционированного изменения.

В «Оранжевой книге» были введены семь классов защищенности КС. Минимальная защита – класс D1. Верхний класс – класс А1.

Требования «Оранжевой книги» явились первой попыткой создать единый стандарт безопасности КС, рассчитанный на проектировщиков, разработчиков (программистов), пользователей подобных систем и специалистов по их сертификации.

Отличительной чертой этого стандарта является ориентация на государственные (в первую очередь военные) организации и существующие операционные системы.

В 1992 году Гостехкомиссия России опубликовала первый комплект руководящих документов по защите средств вычислительной техники (СВТ) и автоматизированных систем (АС) от несанкционированного доступа.

СВТ используются в качестве элементов АС и непосредственно не решают прикладных задач. В качестве примере СВТ, используемых как элемент АС, можно привести плату расширения BIOS с соответствующим аппаратным и программным интерфейсом для аутентификации пользователей АС или программу шифрования информации на жестком диске.

В руководящих документах Гостехкомиссии России определены семь классов защищенности СВТ от несанкционированного доступа к обрабатываемой (сохраняемой, передаваемой) с помощью этих средств информации (наиболее защищенным является первый класс).

АС рассматривается как комплекс СВТ и имеет дополнительные характеристики: полномочия пользователей, модель нарушителя, технология обработки и передачи информации. Типичным примером АС является многопользовательская и многозадачная операционная система.

В руководящих документах Гостехкомиссии России определены девять классов защищенности АС от несанкционированного доступа, объединенных в три группы:

однопользовательские АС с информацией, размещенной на носителях одного уровня конфиденциальности (класс 3Б, 3А);

многопользовательские АС с одинаковыми полномочиями пользователей и информацией на носителях разного уровня конфиденциальности (классы 2Б, 2А);

многопользовательские АС с разными полномочиями пользователей и информацией разного уровня конфиденциальности (в порядке возрастания защищенности от класса 1Д до класса 1А).

Под несанкционированным доступом к информации в руководящих документах Гостехкомиссии России понимается доступ к информации, нарушающий установленные правила разграничения доступа и использующий штатные возможности СВТ и АС.

Руководящие документы Гостехкомиссии России, подобно «Оранжевой книге», ориентированы прежде всего на применение в КС силовых структур Российской Федерации.

Дальнейшее развитие стандартов в области информационной безопасности КС завершилось на сегодняшний день принятием «Общих критериев безопасности информационных технологий» (Common Criteria for Information Technology Security Evaluation). За этим документом исторически закрепилось более короткое название – «Общие критерии», или ОК. В создании этого документа приняли участие правительственные организации следующих стран: Канада, США, Великобритания, Германия, Нидерланды и Франция. ОК имеют несколько версий, например, версия 2.1 принята в августе 1999 года.

«Проект ОК» с самого начала носил не только технический, но и экономико-политический характер. Его цель состояла, в частности, в том, чтобы упростить, удешевить и ускорить выход сертифицированных изделий информационных технологий (ИТ) на мировой рынок. Для этого в мае 2000 года уполномоченные правительственные организации шести стран-основателей «Проекта ОК», а также Австралии и Новой Зеландии, Греции, Италии, Испании, Норвегии, Финляндии и Швеции подписали соглашение «О признании сертификатов по Общим критериям в области безопасности информационных технологий» (позднее к нему присоединились Австрия и Израиль).

«Общие критерии…» адресованы трем группам специалистов (пользователям, разработчикам и экспертам по классификации КС) и представляют собой новый межгосударственный уровень в стандартизации безопасности информационных технологий.

Участие в соглашении предполагает соблюдение двух независимых условий: признание сертификатов, выданных соответствующими органами других стран-участниц, а также возможность осуществления подобной сертификации.

По данным на конец 2002 года, правом выдачи сертификатов, признаваемых участниками соглашения, обладали Австралия, Новая Зеландия, Великобритания, Германия, Канада, США и Франция.

К началу 2003 года сертификаты по «Общим критериям» получили около семидесяти разнообразных изделий ИТ ведущих производителей:

операционные системы,

системы управления базами данных,

межсетевые экраны, коммуникационные средства и т.п.

В 1999 году была организована работа по подготовке российского стандарта и Руководящего документа (РД) Гостехкомиссии России на основе «Общих критериев». Она велась в тесном контакте с зарубежными коллегами и успешно завершена в 2002 году.

В Российской Федерации «Общие критерии…» изданы в качестве ГОСТа:

ГОСТ Р ИСО/МЭК 15408-2001 «Методы и средства обеспечения безопасности»,

ГОСТ Р ИСО/МЭК 15408-2002 «Критерии оценки безопасности информационных технологий», ввод в действие с 1 января 2004 года).

В дальнейшем Россия присоединилась к соглашению «О признании сертификатов».

В «Общих критериях…» предложена система функциональных требований к защищенным КС и критерии их независимого ранжирования.

Иначе говоря, в этих стандартах не устанавливается линейная шкала уровней безопасности КС, характерная для «Оранжевой книги». Это объясняется тем, что для одних КС наиболее важным требованием является идентификация и аутентификация пользователей, а для других – реализация конкретной политики разграничения доступа к ресурсам или обеспечение доступности информации.

Основные понятия и идеи «Общих критериев». Основным свойством, которым должны обладать действительно общие критерии оценки безопасности информационных технологий, является универсальность. Следовательно, они не должны содержать априорных предположений об объекте оценки.

В ОК данное условие выполнено: под объектом оценки (ОО) понимается аппаратно-программный продукт или информационная система с соответствующей документацией.

Система – это специфическое воплощение информационных технологий с конкретным назначением и условиями эксплуатации.

Продукт, согласно ОК, есть совокупность средств ИТ, предоставляющая определенные функциональные возможности и предназначенная для непосредственного использования или включения в различные системы.

В качестве собирательного термина для систем и продуктов применяют словосочетание «изделие ИТ». Оно может быть как уже существующим, так и проектируемым.

Объект оценки рассматривается в определенном контексте – среде безопасности, в которую включаются все, что имеет отношение к его безопасности, а именно:

законодательная среда – законы и нормативные акты, затрагивающие ОО;

административная среда – положения политик и программ безопасности, учитывающие особенности ОО;

процедурная среда – физическая среда ОО и меры физической защиты, персонал и его свойства (знания, опыт и т.п.), принятые эксплуатационные и иные процедуры;

программно-техническая среда – предназначение объекта оценки и предполагаемые области его применения, активы (ресурсы), которые требуют защиты средствами ОО.

Дальнейший этап технологического цикла подготовки к оценке, согласно «Общим критериям», - описание следующих аспектов среды ОО:

предположения безопасности. Они выделяют объект оценки из общего контекста, задают границы рассмотрения. Истинность этих предположений принимается без доказательств, а из множества возможных отбирается только то, что заведомо необходимо для обеспечения безопасности ОО;

угрозы безопасности ОО, наличие которых в рассматриваемой среде установлено или предполагается. Они характеризуются несколькими параметрами: источник, метод воздействия, опасные с точки зрения злонамеренного использования уязвимости, ресурсы (активы), потенциально подверженные повреждению. При анализе рисков принимаются во внимание вероятность активизации угрозы и ее успешного осуществления, а также размер возможного ущерба. По результатам анализа из множества допустимых угроз отбираются только те, ущерб от которых нуждается в уменьшении;

положения политики безопасности, предназначенные для применения к объекту оценки. Для системы ИТ такие положения могут быть описаны точно, для продукта – в общих чертах.

На основании предположений, при учете угроз и положений политики безопасности формулируются цели безопасности для объекта оценки, направленные на обеспечение противостояния угрозам и выполнение политики безопасности.

В зависимости от непосредственного отношения к ОО или к среде они подразделяются на две группы.

Часть целей для среды может достигаться нетехническими (процедурными) мерами.

Все остальные (для объекта и среды) носят программно-технический характер. Для их достижения к объекту и среде предъявляются требования безопасности.

«Общие критерии» в главной своей части как раз и являются каталогом (библиотекой) требований безопасности. Спектр стандартизованных требований чрезвычайно широк – это необходимое условие универсальности ОК.

Высокий уровень детализации делает их конкретными, допускающими однозначную проверку.

Наличие параметров обуславливает гибкость требований, а дополнительную возможность ее достижения привносит использование нестандартных (не входящих в каталог ОК) требований.

В России разработаны следующие государственные стандарты (ГОСТы) в области защиты информации.

ГОСТ Р ИСО/МЭК 15408 - 1 – 2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель.

ГОСТ Р ИСО/МЭК 15408 - 2 – 2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности.

ГОСТ Р ИСО/МЭК 15408 - 2 – 2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности.

Гостехкомиссия России. Руководящий документ. Концепция защиты СВТ и АС от НСД к информации.

Гостехкомиссия России. Руководящий документ. Защита от несанкционированного доступа к информации. Термины и определения.

Гостехкомиссия России. Руководящий документ. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации.

Гостехкомиссия России. Руководящий документ. Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от НСД в автоматизированных системах и средствах вычислительной техники.

Гостехкомиссия России. Руководящий документ. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации.

Гостехкомиссия России. Руководящий документ. Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации.

Гостехкомиссия России. Руководящий документ. Безопасность информационных технологий. Критерии оценки безопасности информационных технологий.

Гостехкомиссия России. Руководство по разработке профилей защиты и заданий по безопасности (проект).

Гостехкомиссия России. Руководящий документ. Руководство по регистрации профилей защиты (проект).