§7.2 Официальный подход

Большую практическую значимость имеет подход к определению эффективности КСЗИ, который условно можно назвать официальным. Политика безопасности информационных технологий проводится государством и должна опираться на нормативные акты. В этих документах необходимо определить требования к защищённости информации различных категорий конфиденциальности и важности.

Требования могут задаваться перечнем механизмов защиты информации, которые необходимо иметь в АС, чтобы она соответствовала определённому классу защиты. Используя такие документы, можно оценить эффективность КСЗИ. В этом случае критерием эффективности КСЗИ является её класс защищённости.

Несомненным достоинством таких классификаторов (стандартов) является простота использования. Основным недостатком официального подхода к определению эффективности систем зашиты, является то, что не определяется эффективность конкретного механизма защиты, а констатируется лишь факт его наличия или отсутствия. Этот недостаток в какой-то мере компенсируется заданием в некоторых документах достаточно подробных требований к этим механизмам защиты.

Во всех развитых странах разработаны свои стандарты защищённости компьютерных систем критического применения. Так, министерстве обороны США используется стандарт ТСSЕС (Department of Defence Trusted Computer System Evaluation Criteria), который известен как Оранжевая книга.

Согласно Оранжевой книге для оценки информационных систем рассматривается четыре группы безопасности: А, В, С, D. В некоторых случаях группы безопасности делятся дополнительно на классы безопасности.

Группа А (гарантированная или проверяемая защита) обеспечивает гарантированный уровень безопасности. Методы защиты, реализованные в системе, могут быть проверены формальными методами. В этой группе имеется только один класс - А1.

Группа В (полномочная или полная защита) представляет полную защиту АС. В этой группе - классы безопасности В1, В2 и В3.

Класс В1 (защита через грифы или метки) обеспечивается использованием в АС грифов секретности, определяющих доступ пользователей к частям системы.

Класс В2 (структурированная защита) достигается разделением информации на защищённые и незащищённые блоки и контролем доступа к ним пользователей.

Класс В3 (области или домены безопасности) предусматривает разделение АС на подсистемы с различным уровнем безопасности и контролем доступа к ним пользователей.

Группа С (избирательная защита) представляет избирательную защиту подсистем с контролем доступа к ним пользователей. В этой группе выделены классы безопасности С1 и С2.

Класс С1 (избирательная защита информации) предусматривает разделение в АС пользователей и данных. Этот класс обеспечивает самый низкий уровень защиты АС.

Класс С2 (защита через управляемый или контролируемый доступ) обеспечивается раздельным доступом пользователей к данным.

Группу D (минимальной безопасности) составляют АС, проверенные на безопасность, но которые не могут быть отнесены к классам А, В или С.

Организация защиты информации в вычислительных сетях министерства обороны США осуществляется в соответствии с требованиями руководства «The Trusted Network Interpretation of Department of Defense Trusted Computer System Evaluation Guidelines». Этот документ получил название Красная книга (как и предыдущий - по цвету обложки).

Подобные стандарты защищенности АС приняты и в других развитых странах. Так, в 1991 году Франция, Германия, Нидерланды и Великобритания приняли согласованные «Европейские критерии», в которых рассмотрено 7 классов безопасности от Е0 до Е6.

В Российской Федерации аналогичный стандарт разработан в 1992 году Государственной технической комиссией при Президенте РФ. Этим стандартом является руководящий документ ГТК «Концепция защиты средств вычислительной техники и автоматизированных систем от НСД к информации».

Устанавливается семь классов защищённости средств вычислительной техники (СВТ) от НСД к информации (табл. 2). Самый низкий класс - седьмой, самый высокий - первый.

Таблица 2. Показатели защищенности по классам СВТ

Обозначения: «-» - нет требований к данному классу; «+» - новые или дополнительные требования; «=» - требования совпадают с требованиями к СВТ предыдущего класса; АСЗ – комплекс средств защиты.

Классы подразделяются на четыре группы, отличающиеся качественным уровнем защиты:

• первая группа содержит только один седьмой класс;

• вторая группа характеризуется дискреционной защитой и содержит шестой и пятый классы;

• третья группа характеризуется мандатной защитой и содержит четвёртый, третий и второй классы; четвертая группа характеризуется верифицированной защитой и содержит только первый класс.

Седьмой класс присваивают СВТ, к которым предъявлялись требования по защите от НСД к информации, но при оценке защищённость СВТ оказалась ниже уровня требований шестого класса.

Кроме требований к защищённости отдельных элементов СВТ, в Руководящем документе приведены требования к защищённости автоматизированных систем (АС). В отличие от СВТ автоматизированные системы являются функционально ориентированными. При создании АС учитываются особенности пользовательской информации, технология обработки, хранения и передачи информации, конкретные модели угроз.

Устанавливается девять классов защищённости АС от НСД к информации. Классы подразделяются на три группы, отличающиеся особенностями обработки информации в АС.

Третья группа классифицирует АС, с которыми работает один пользователь, допущенный ко всей информации АС, размещённой на носителях одного уровня конфиденциальности. Группа содержит два класса - 3Б и 3А.

Во вторую группу сведены АС, пользователи которых имеют одинаковые права доступа ко всей информации АС. Группа содержит два класса - 2Б и 2А. Первую группу составляют многопользовательские АС, в которых пользователи имеют разные права доступа к информации. Группа включает пять классов - 1Д, 1Г, 1В, 1Б, 1А.

Требования ко всем девяти классам защищённости АС сведены в табл. 3.

Таблица 3. Требования к защищённости автоматизированных систем

Обозначения: «+» - есть требования к данному классу; СЗИ НСД - система зашиты информации от несанкционированного доступа.

Для примера рассмотрим подробно требования к одному из представительных классов защищённости, а именно - к классу 1В.

1) В подсистеме управления доступом автоматизированной системы должны осуществляться:

• идентификация и проверка подлинности субъектов доступа при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов;

• идентификация терминалов, ЭВМ, узлов сети ЭВМ, каналов связи, внешних устройств ЭВМ по логическим именам и/или адресам;

• идентификация программ, томов, каталогов, файлов, записей, полей записей по именам;

• контроль доступа субъектов к защищаемым ресурсам в соответствии с матрицей доступа;

• управление потоками информации с помощью меток конфиденциальности. При этом уровень конфиденциальности накопителей должен быть не ниже уровня конфиденциальности записываемой на него информации.

2) Подсистема регистрации и учёта должна обеспечивать:

• регистрацию входа/выхода субъектов доступа в систему из системы, либо регистрацию загрузки и инициализации операционной системы и её программного останова;

• регистрацию выдачи печатных (графических) документов на «твёрдую» копию;

• регистрацию запуска/завершения программ и процессов (заданий, задач), предназначенных для обработки защищаемых файлов;

• регистрацию попыток доступа программных средств к следующим дополнительным защищаемым объектам доступа: терминалам, ЭВМ, узлам сети ЭВМ, линиям (каналам) связи, внешним устройствам ЭВМ, программам, томам, каталогам, файлам, записям, полям записей;

• регистрацию изменений полномочий субъектов доступа и статуса объектов доступа;

• автоматический учёт создаваемых защищаемых файлов с помощью их дополнительной маркировки, используемой в подсистеме управления доступом. Маркировка должна отражать уровень конфиденциальности объекта;

• учёт всех защищаемых носителей информации с помощью их любой маркировки;

• очистку (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей. Очистка осуществляется путём записи последовательности 1 и 0 в любую освобождаемую область памяти, использованную для хранения защищаемой информации;

• сигнализацию попыток нарушения защиты.

3) Подсистема обеспечения целостности предусматривает:

• обеспечение целостности программных средств СЗИ НСД, а также неизменность программной среды. Целостность СЗИ НСД проверяется при загрузке системы по контрольным суммам компонент СЗИ, а целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ при обработке и (или) хранении защищаемой информации;

• охрану СВТ (устройств и носителей информации), что предполагает охрану территории и здания, где размещается АС, с помощью технических средств и специального персонала, строгий пропускной режим, специальное оборудование помещений АС;

• наличие администратора (службы) защиты информации, ответственного за ведение, нормальное функционирование и контроль работы СЗИ НСД. Администратор должен иметь свой терминал и необходимые средства оперативного контроля и воздействия на безопасность АС;

• периодическое тестирование всех функций СЗИ НСД с помощью специальных программ не реже одного раза в год;

• наличие средств восстановления СЗИ НСД (ведение двух копий программных средств СЗИ НСД и их периодическое обновление и контроль работоспособности);

• использование сертифицированных средств защиты.

Представленный перечень является тем минимумом требований, которым необходимо следовать, чтобы обеспечить конфиденциальность защищаемой информации.

Стандарт требований ТСSЕС соответствует информационным системам с применением ЭВМ общего пользования (main frame) и мини ЭВМ. Для персональных ЭВМ (ПЭВМ) и локальных сетей ПЭВМ требования безопасности должны быть несколько иными. Такие требования изложены в стандарте The Trusted Network Interpretation of Department of Defense Trusted Computer System Evaluation Guidelines, получившем название Красная книга. Неофициальные названия стандартов США Оранжевая книга и Красная книга связаны с соответствующим цветом обложек этих документов.