Информационная безопасность

     "+" механизм пригоден для реализации  данной функцию безопасности;

     "-" механизм не предназначен для реализации данной функции безопасности.

2.3. Администрирование средств безопасности.

     Администрирование средств безопасности включает в себя распространение информации, необходимой для работы сервисов и механизмов безопасности, а также сбор и анализ информации об их функционировании. Примерами могут служить распространение криптографических ключей, установка значений параметров защиты, ведение регистрационного журнала и т.п.

     Концептуальной  основой администрирования является информационная база управления безопасностью. Эта база может не существовать как единое (распределенное) хранилище, но каждая из оконечных систем должна располагать информацией, необходимой для реализации избранной политики безопасности.

     Согласно  рекомендациям X.800, усилия администратора средств безопасности должны распределяться по трем направлениям:

• администрирование информационной системы в целом;
• администрирование сервисов безопасности;
• администрирование механизмов безопасности.

     Среди действий, относящихся к ИС в целом, можно отметить обеспечение актуальности политики безопасности, взаимодействие с другими административными службами, реагирование на происходящие события, аудит и безопасное восстановление.

     Администрирование сервисов безопасности включает в себя определение защищаемых объектов, выработку  правил подбора механизмов безопасности (при наличии альтернатив), комбинирование механизмов для реализации сервисов, взаимодействие с другими администраторами для обеспечения согласованной работы.

     Обязанности администратора механизмов безопасности определяются перечнем задействованных  механизмов:

• управление ключами (генерация и распределение);
• управление шифрованием (установка и синхронизация криптографических параметров). К управлению шифрованием можно отнести и администрирование механизмов электронной подписи. Управление целостностью, если оно обеспечивается криптографическими средствами, также тяготеет к данному направлению;
• администрирование управления доступом (распределение информации, необходимой для управления - паролей, списков доступа и т.п.);
• управление аутентификацией (распределение информации, необходимой для аутентификации - паролей, ключей и т.п.);
• управление дополнением трафика (выработка и поддержание правил, задающих характеристики дополняющих сообщений - частоту отправки, размер и т.п.);
• управление маршрутизацией (выделение доверенных путей);
• управление нотаризацией (распространение информации о нотариальных службах, администрирование этих служб).

     Таким образом администрирование средств безопасности в распределенной ИС имеет много особенностей по сравнению с централизованными системами.

3.Общие критерии оценки безопасности информационных технологий. ISO 15408.

3.1. Основные понятия.

     ISO 15408 The Common Criteria for Information Technology Security Evaluation — «Общие критерии оценки безопасности информационных технологий», международный стандарт в области безопасности, в котором подробно рассмотрены общие подходы, методы и функции обеспечения защиты информации в организациях.

     Стандарт ISO 15408 — один из наиболее распространенных стандартов в области безопасности. В его создании приняли участие  организации из США, Канады, Англии, Франции, Германии, Голландии. В стандарте, получившем название «Общие критерии оценки безопасности информационных технологий» (The Common Criteria for Information Technology Security Evaluation), подробно рассмотрены общие подходы, методы и функции обеспечения защиты информации в организациях.

     Функции системы информационной безопасности обеспечивают выполнение требований конфиденциальности, целостности, достоверности и доступности информации. Все функции представлены в виде четырехуровневой иерархической структуры: класс — семейство — компонент — элемент. По аналогии представлены требования качества. Подобная градация позволяет описать любую систему информационной безопасности и сопоставить созданную модель с текущим положением дел. В стандарте выделены 11 классов функций: аудит, идентификация и аутентификация, криптографическая защита, конфиденциальность, передача данных, защита пользовательских данных, управление безопасностью, защита функций безопасности системы, использование ресурсов, доступ к системе, надежность средств.

     Оценка  информационной безопасности базируется на моделях системы безопасности, состоящих из перечисленных в стандарте функций. В ISO 15408 содержится ряд предопределенных моделей (так называемых профилей), описывающих стандартные модули системы безопасности. С их помощью можно не создавать модели распространенных средств защиты самостоятельно, изобретая велосипед, а пользоваться уже готовыми наборами описаний, целей, функций и требований к этим средствам. Простым примером профилей может служить модель межсетевого экрана или СУБД.

     В мире уже создано и сертифицировано большое количество профилей. Каждый из них имеет отличительные черты, в том числе: область применения (например, профили «Контроль доступа» или «Программный межсетевой экран»); уровень надежности; статус сертификации (скажем, «проект», «в стадии разработки» или «сертифицирован»).

     Сертифицированный профиль представляет собой полное описание определенной части (или функции) системы безопасности. В нем содержится анализ внутренней и внешней среды  объекта, требования к его функциональности и надежности, логическое обоснование его использования, возможности и ограничения развития объекта.

     Стандарт ISO 15408 выгодно отличает открытость. Описывающий ту или иную область  системы безопасности профиль можно  создать самостоятельно с помощью  разработанной в ISO 15408 структуры документа. В стандарте определена также последовательность действий для самостоятельного создания профилей.

     Отличающийся  значительной полнотой, универсализмом и большим потенциалом развития ISO 15408 получил признание во многих странах мира, в том числе и в России.

3.2.Особенности ISO 15408.

     Особенности ISO 15408 по сравнению с другими стандартами  в области безопасности:

• Стандарт позволяет определить полный перечень требований к средствам безопасности, а также критерии их оценки (показатели защищенности информации);
• Стандарт определяет полный перечень объектов анализа и требований к ним, не заостряя внимания на методах создания, управления и оценки системы безопасности;
• Стандарт позволяет оценить полноту системы информационной безопасности с технической точки зрения, не рассматривая при этом комплекс организационных мер по обеспечению защиты информации.

4.Гармонизированные критерии Европейских стран.

4.1. Основные понятия.

     "Европейские  Критерии" рассматривают следующие  составляющие информационной безопасности:

• конфиденциальность - защита от несанкционированного получения информации;
• целостность - защита от несанкционированного изменения информации;
• доступность - защита от несанкционированного удержания информации и ресурсов.

     В "Критериях" дается определение  различия между системами и продуктами. Система - это конкретная аппаратно-программная конфигурация, построенная с вполне определенными целями и функционирующая в известном окружении. Продукт - это аппаратно-программный "пакет", который можно купить и по своему усмотрению встроить в ту или иную систему. Таким образом, с точки зрения информационной безопасности, основное отличие между системой и продуктом состоит в том, что система имеет конкретное окружение, которое можно определить и изучить сколь угодно детально, а продукт должен быть рассчитан на использование в различных условиях. Угрозы безопасности системы носят вполне конкретный и реальный характер, а относительно угроз продукту можно лишь строить предположения. Разработчик имеет возможность специфицировать условия, пригодные для функционирования продукта; дело покупателя обеспечить выполнение этих условий.

     Из  практических соображений важно  обеспечить единство критериев оценки продуктов и систем - например, чтобы  облегчить и удешевить оценку системы, составленной из ранее сертифицированных продуктов. В этой связи для систем и продуктов вводится единый термин - объект оценки. В соответствующих местах делаются оговорки, какие требования относятся исключительно к системам, а какие - только к продуктам.

     Каждая  система и/или продукт предъявляют  свои требования к обеспечению конфиденциальности, целостности и доступности. Чтобы  удовлетворить эти требования, необходимо предоставить соответствующий набор  функций или сервисов безопасности, таких как идентификация и аутентификация, управление доступом или восстановление после сбоев. Сервисы безопасности реализуются посредством конкретных механизмов. Например, для реализации функции идентификации и аутентификации можно использовать такой механизм, как сервер аутентификации Kerberos.

     Чтобы объект оценки можно было признать надежным, необходима определенная степень  уверенности в наборе функций  и механизмов безопасности. Степень  уверенности будем называть гарантированностью, которая может быть большей или меньшей в зависимости от тщательности проведения оценки.

     Гарантированность затрагивает два аспекта - эффективность  и корректность средств безопасности. При проверке эффективности анализируется соответствие между целями, сформулированными для объекта оценки, и имеющимся набором функций безопасности. Точнее говоря, рассматриваются вопросы адекватности функциональности, взаимной согласованности функций, простоты их использования, а также возможные последствия эксплуатации известных слабых мест защиты. Кроме того, в понятие эффективности входит способность механизмов защиты противостоять прямым атакам (мощность механизма). Определяется три градации мощности - базовая, средняя и высокая.

     Под корректностью понимается правильность реализации функций и механизмов безопасности. В "Критериях" определяется семь возможных уровней гарантированности корректности в порядке возрастания - от ЕО до Е6. Уровень ЕО обозначает отсутствие гарантированности - аналог уровня D "Оранжевой книги" [1]. При проверке корректности анализируется весь жизненный цикл объекта оценки - от проектирования до эксплуатации и сопровождения.

4.2. Особенности гармонизированных  критериев Европейских  стран.