Вопрос 36. Классы безопасности информационных систем. Политика безопасности.

В соответствии с «Оранжевой книгой» политика безопасности должна включать в себя следующие элементы:

• произвольное управление доступом

• безопасность повторного использования объектов

• метки безопасности, состоящие из уровня секретности и списка категорий;

• принудительное управление

В«Оранжевой книге» дано определение безопасной системы — это система, которая посредством специальных механизмов защиты контролирует доступ к информации таким образом, что только имеющие соответствующие полномочия лица или процессы, выполняющиеся от их имени, могут получить доступ на чтение, запись, создание или удаление информации. В ней выделены основные классы защищенности — D, С, В, А.

В класс D попадают системы, оценка которых выявила их несоответствие требованиям всех других классов.

Класс С1: ИС должна управлять доступом именованных пользователей к именованным объектам; пользователи должны идентифицировать себя до выполнения каких-либо контролируемых ИС действий; ИС должна быть защищена от внешних воздействий и от попыток слежения за ходом работы; должна обеспечиваться корректность функционирования аппаратных и программных средств путем периодической проверки; должен быть описан подход к безопасности, используемый разработчиком, и применение его при реализации ИС.

Класс С2 (в дополнение к требованиям класса С1): все объекты должны подвергаться контролю доступа; каждый пользователь системы должен уникальным образом идентифицироваться; каждое регистрируемое действие должно ассоциироваться с конкретным пользователем; предусмотрена ликвидация всех следов внутреннего использования объектов ИС; ИС должна создавать, поддерживать и защищать журнал регистрационной информации, относящейся к доступу к объектам, контролируемым ИС; тестирование должно подтвердить отсутствие очевидных недостатков в механизмах изоляции ресурсов и защиты регистрационной информации.

Класс В1 (в дополнение к требованиям класса С2): каждый хранимый объект ИС должен иметь отдельную идентификационную метку; ИС должна обеспечить реализацию принудительного управления доступом к хранимым объектам, взаимную изоляцию процессов путем разделения их адресных пространств; должна существовать неформальная или формальная модель политики безопасности.

Класс В2 (в дополнение к требованиям класса В1): должна быть предусмотрена возможность регистрации событий, связанных с организацией тайных каналов обмена информа цией; ИС должна быть внутренне структурирована и демонстрировать устойчивость к попыткам проникновения; тесты должны подтверждать действенность мер по уменьшению пропускной способности тайных каналов передачи информации.

Класс ВЗ (в дополнение к требованиям класса В2): для управления доступом должны использоваться списки управления доступом с указанием разрешенных режимов; должна быть предусмотрена возможность регистрации появления или накопления событий, несущих угрозу политике ИБ; администратор безопасности должен извещаться о попытках нарушения политики безопасности, а система в случае продолжения попыток должна пресекать их наименее болезненным способом; должны существовать процедуры и/или механизмы, позволяющие произвести восстановление после сбоя или иного нарушения работы без ослабления защиты; должна быть продемонстрирована устойчивость ИС к попыткам проникновения.

Класс А1 (в дополнение к требованиям класса ВЗ): тестирование должно продемонстрировать, что реализация ИС соответствует формальным спецификациям; механизм управления ИБ должен распространяться на весь жизненный цикл и все компоненты системы, имеющие отношение к обеспечению безопасности.

Политика безопасности — это совокупность норм и правил, определяющих принятые в организации меры по обеспечению безопасности информации, связанной с деятельностью организации. Цель ее формулирования для ИС — изложение взглядов руководства организации на сущность угроз информационной безопасности. Политика безопасности должна быть оформлена документально на нескольких уровнях управления: на уровне высшего руководства — подготавливается и утверждается документ, в котором определены цели политики безопасности, структура и перечень решаемых задач и ответственные за реализацию политики; администраторами безопасности ИС детализируется документ с учетом принципов деятельности организации, важности целей и наличия ресурсов.

Политика безопасности обычно состоит из двух частей: общих принципов и конкретных правил работы с ИС для различных категорий пользователей.

В руководство по компьютерной безопасности, разработанное Национальным институтом стандартов и технологий США {National Institute of Standards and Technology — NIST), рекомендовано включать в описание политики безопасности следующие разделы:

1.Предмет политики — определяются цели и указываются причины разработки политики, область ее применения, задачи, термины и определения.

2.Описание позиции организации — описываются ресурсы ИС, перечень допущенных к ресурсам лиц и процессов, порядок получения доступа к ресурсам.

3.Применимость — порядок доступа к данным ИС, ограничения или технологические цепочки, применяемые при реализации политики безопасности.

4.Роли и обязанности — определяются ответственные должностные лица и их обязанности в отношении разработки и внедрения элементов политики.

5.Соблюдение политики — описываются права и обязанности пользователей ИС, недопустимые действия при осуществлении доступа к информационным ресурсам и наказать за нарушения режимных требований, технология фиксации фактов нарушения политики безопасности и применения административных мер воздействия к нарушителям.