Разработка методов и средств проведения экспертизы и контроля качества защиты информации и информационных ресурсов, в том числе вопросов оценки базовых общесистемных программных средств на соответствие требованиям информационной безопасности

- системный анализ  и обоснование требований к  ПО;

- предварительное  (эскизное) и детальное (техническое) проектирование ПО;

- разработка  программных компонент, их комплексирование  и отладка ПО в целом; 

- испытания,  опытная эксплуатация и тиражирование  ПО;

- регулярная  эксплуатация ПО, поддержка эксплуатации  и анализ результатов; 

- сопровождение  ПО, его модификация и совершенствование, создание новых версий.

     Данная  модель является общепринятой и соответствует  как отечественным нормативным  документам в области разработки программного обеспечения, так и  зарубежным. С точки зрения обеспечения  технологической безопасности целесообразно рассмотреть более подробно особенности представления этапов ЖЦ в зарубежных моделях, так как именно зарубежные программные средства являются наиболее вероятным носителем программных дефектов диверсионного типа.

     Первоначально была создана каскадная модель ЖЦ, в которой крупные этапы начинались друг за другом с использованием результатов предыдущих работ. Наиболее специфической является спиралевидная модель ЖЦ. В этой модели внимание концентрируется на итерационном процессе начальных этапов проектирования. На этих этапах последовательно создаются концепции, спецификации требований, предварительный и детальный проект. На каждом витке уточняется содержание работ и концентрируется облик создаваемого ПО.

     Стандартизация  ЖЦ ПО проводится по трем направлениям. Первое направление организуется и стимулируется Международной организацией по стандартизации (ISO - International Standard Organization) и Международной комиссией по электротехнике (IEC - International Electro-technical Commission). На этом уровне осуществляется стандартизация наиболее общих технологических процессов, имеющих значение для международной кооперации. Второе направление активно развивается в США Институтом инженеров электротехники и радиоэлектроники (IEEE - Institute of Electrotechnical and Electronics Engineers) совместно с Американским национальным институтом стандартизации (American Na-tional Standards Institute-ANSI). Стандарты ISO/IEC и ANSI/IEEE в основном имеют рекомендательный характер. Третье направление стимулируется Министерством обороны США (Department of Defense-DOD). Стандарты DOD имеют обязательный характер для фирм, работающих по заказу Министерства обороны США.

     Для проектирования ПО сложной системы, особенно системы реального времени, целесообразно использовать общесистемную модель ЖЦ, основанную на объединении всех известных работ в рамках рассмотренных базовых процессов. Эта модель предназначена для использования при планировании, составлении рабочих графиков, управлении различными программными проектами.

     Совокупность  этапов данной модели ЖЦ целесообразно  делить на две части, существенно  различающихся особенностями процессов, технико-экономическими характеристиками и влияющими на них факторами.

     В первой части ЖЦ производится системный  анализ, проектирование, разработка, тестирование и испытания ПО. Номенклатура работ, их трудоемкость, длительность и другие характеристики на этих этапах существенно зависят от объекта и среды разработки. Изучение подобных зависимостей для различных классов ПО позволяет прогнозировать состав и основные характеристики графиков работ для новых версий ПО.

     Вторая  часть ЖЦ, отражающая поддержку эксплуатации и сопровождения ПО, относительно слабо связана с характеристиками объекта и среды разработки. Номенклатура работ на этих этапах более стабильна, а их трудоемкость и длительность могут существенно изменяться, и зависят от массовости применения ПО. Для любой модели ЖЦ обеспечение высокого качества программных комплексов возможно лишь при использовании регламентированного технологического процесса на каждом из этих этапов. Такой процесс поддерживается CASE средствами автоматизации разработки, которые целесообразно выбирать из имеющихся или создавать с учетом объекта разработки и адекватного ему перечня работ. 

Обеспечение базового уровня безопасности городских информационных систем 

     Основой организации обеспечения информационной безопасности в ОИВ города Москвы в рамках комплексной системы  информационной безопасности (КСИБ) является достижение базового уровня безопасности городских автоматизированных систем (АС).

     Базовый уровень информационной безопасности - это уровень безопасности, при котором удовлетворяется установленный минимальный объем требований по информационной безопасности, приводящий к приемлемому для владельцев информации уровню снижения риска ее компрометации, то есть приемлемому для владельцев информации уровню возможности утери конфиденциальности информации, ее целостности или доступности.

     Задание требований к базовому уровню информационной безопасности (ИБ) для конкретного объекта защиты должно происходить на предпроектной стадии создания автоматизированной системы. В ходе ее создания или модернизации параллельно должна создаваться или модернизироваться обеспечивающая базовый уровень подсистема информационной безопасности. По завершении очередного этапа создания, модернизации, установленного календарного периода эксплуатации (как правило, не менее года) должен определяться текущий уровень ИБ объекта защиты в целях контроля его соответствия требуемому уровню - так называемый периодический контроль. В критически важных элементах городской информационной инфраструктуры дополнительно должен быть предусмотрен постоянный контроль за соблюдением базового уровня - в этих целях создается Система мониторинга событий информационной безопасности города Москвы. Базовый уровень также может уточняться в зависимости от установленных критериев его достижения в процессе разработки и эксплуатации объекта защиты.

     Основным  документом, определяющим подход к  заданию необходимого и достаточного уровня информационной безопасности, является утвержденный документ «Методические рекомендации по формированию требований к обеспечению информационной безопасности информационных систем и ресурсов органов исполнительной власти города»

     В качестве объектов защиты Методические рекомендации определяют информационные системы и ресурсы города, включающие:

- общедоступную информацию;

- информацию ограниченного доступа, в том числе информацию, составляющую служебную тайну, коммерческую тайну, профессиональную тайну и персональные данные;

- средства и системы связи и передачи данных в АС, программные средства (операционные системы, системы управления базами данных, другое общесистемное и прикладное программное обеспечение), используемые для сбора, хранения, обработки и передачи информации, средства защиты информации.  

     В зависимости от состава (категории) информации и потенциальных угроз  для определения требуемых мероприятий  по защите информации, а также для  минимизации затрат на защиту информации установлено два базовых уровня информационной безопасности АС:

1) Базовый уровень  информационной безопасности АС, обрабатывающих открытую информацию - определяется владельцем, т.е. Правительством  Москвы.

2) Уровень информационной  безопасности АС, содержащих информацию ограниченного доступа, в том числе конфиденциальную и секретную - определяется нормативными документами федерального уровня.

     Реализация  базового уровня информационной безопасности может обеспечиваться использованием типовых проектных решений.

     Основу  требований базового уровня информационной безопасности АС должны составлять квалификационные минимумы требований к видам обеспечения ИБ: правовому, техническому, организационному.

     В целях нормативно-правового обеспечения  информационной безопасности должны быть разработаны соответствующие документы на следующих уровнях: макроуровень (Российская Федерация, международные организации); метауровень; микроуровень (предприятие, организация - владелец информации).

     Организационное обеспечение базового уровня информационной безопасности требует выполнения каждым владельцем информационных систем и ресурсов города , в том числе, следующих требований:

-  обеспечение штатного наполнения специалистами по информационной безопасности;

- разработка и контроль реализации программ и планов обеспечения информационной безопасности города и отдельных информационных систем и ресурсов;

- определение порядка обращения с категорированной информацией;

- контроль выполнения регламентов органов власти города в части обеспечения информационной безопасности, реализации механизмов поощрения и наказания должностных лиц.

- организация разработки типовых решений и технологий защиты, рекомендуемых для обеспечения базового уровня безопасности городских информационных систем и ресурсов и другое.

     Базовый уровень информационной безопасности информационной системы конкретного  органа власти оценивается совокупной мерой оценок показателей нейтрализации  всех угроз, установленных при создании системы с учетом выбранного класса защищенности автоматизированной системы. Такую оценку правомочны осуществлять государственный заказчик создания автоматизированной системы, разработчик с привлечением специалистов по информационной безопасности.

     Таким образом, достижение базового уровня информационной безопасности органов исполнительной власти города означает, что во всех городских информационных системах обеспечивается защита от тех угроз, которые были определены владельцами информации с учетом требований федерального и московского законодательства.

     Требования базового уровня информационной безопасности в случае создания (модернизации) конкретной АС могут и должны (особенно в случае создания (модернизации) АС, содержащей информацию ограниченного доступа) дополняться требованиями нормативных, нормативно-технических документов различного уровня с учетом положений Методических рекомендаций.

     Подсистема  управления доступом должна обеспечивать защиту от несанкционированного доступа (НСД) серверов, автоматизированных рабочих  мест (АРМ) пользователей и прикладных сервисов. Кроме того, должна быть обеспечена защита от НСД аппаратно-программных средств, влияющих на функционирование сегментов информационных сетей, в которых обрабатывается защищаемая информация.

     При создании подсистемы управления доступом могут использоваться как наложенные, так и встроенные в операционные системы и приложения системы защиты от НСД.

     Доступ  к защищаемым инфраструктурным и  информационным ресурсам должен осуществляться в соответствии с матрицей доступа. При построении матрицы доступа:

- для инфраструктурных ресурсов должна осуществляться идентификация терминалов, электронных вычислительных машин (ЭВМ), узлов сети ЭВМ, каналов связи, устройств сети хранения данных, внешних устройств ЭВМ - по логическим именам, адресам в информационной сети, уникальным кодам устройств, цифровым сертификатам и иным технологически допустимым параметрам;

- для информационных ресурсов должна осуществляться идентификация сервисов, программ, томов, каталогов, файлов, записей, полей записей - по сетевым адресам доступа к ним, логическим именам, цифровым сертификатам и иным технологически допустимым параметрам;

- субъекты доступа (пользователи) идентифицируются по логическим именам, паролям условно-постоянного действия длиной не менее шести буквенно-цифровых символов, цифровым сертификатам, электронным ключам и иным параметрам.

     Подсистема  регистрации и учета должна обеспечивать регистрацию следующих событий:

а) запуск и останов  средств регистрации;

б) события, связанные  с функциональными компонентами (средствами безопасности), в том числе:

- любое использование программно-аппаратных средств аутентификации;

- принятие или отвержение любого используемого атрибута безопасности (например: пароля или цифрового сертификата) при аутентификации;

- все попытки установления сеансов пользователями;

- успешное применение предупредительных действий, которые должны использоваться при возможном нарушении безопасности;

- истечение срока действия атрибутов безопасности (паролей, цифровых сертификатов и пр.);

- успешные и неуспешные попытки активизации (запуска) программ (процессов) субъектами доступа (пользователями);

- идентификатор пользователя или субъекта доступа, неуспешно пытавшегося получить доступ к объекту доступа (сервису или файлу);

любые попытки  выполнения операций с системным журналом, т.е. любые попытки чтения, изменения или уничтожения системного журнала;

- извещения администратора в случае переполнения системного журнала.

     Средства  регистрации должны приписывать  к каждой записи, по крайней мере, следующие данные:

а) дату и время  возникновения события, тип события, идентификатор субъекта доступа  и результат завершения события: успешное/неуспешное;