Основные задачи обеспечения безопасности информации

Государственная политика в сфере формирования информационных ресурсов и информатизации должно быть направленно на создание условий для эффективного и качественного информационного обеспечения и решения стратегических и оперативных задач социального и экономического развития страны. Для эффективного обеспечения безопасности информации требуется создание развитого методологического базиса позволяющего решать следующие комплексные задачи: 1) создать систему органов, ответственных за безопасность информации 2) разработать теоретико-методологические основы обеспечения безопасности информации 3) решить проблему управления защитой информации и её автоматизации 4) создать нормативно правовую базу, регламентирующую решение всех задач обеспечения безопасности информации 5) наладить производство средств защиты информации 6) организовать подготовку специалистов по защите информации 7) подготовить нормативно-методическую базу для проведения работ по обеспечению безопасности информационных технологий (БИТ)

Комплексные задачи обеспечения иб

Задачи	Цели и решения	Общее содержание
Создание системы органов ответственных за безопасность И.	Создание стрйной системы органов необходимых и достаточных для эффективного решения задач обеспечения ИБ на общегосударственном, региональном и объектовом уровне	Создание органов осуществляющих: 1) управление процессами обеспечения Б. 2) разработку и производство необходимых средств 3) практическое решение задач обеспечение БИ на объектах 4) подготовку, повышение квалификации и переподготовку кадров
Разработка теоретико-методолгоческого базиса обеспечения ИБ	Создание научно обоснованного базиса решения всех задач связанных с обеспечением БИ	1.Обоснование понятийного аппарата 2.Аналитико-синтетическая обработка имеющихся данных 3.Обоснование современной постановки задачи 4.Обоснование стратегических подходов 5.Разработка методов решения задач обеспечения безопасности 6.Обоснование структуры и содержания инструментально-методолгоической базы решения задач 7.Обоснование путей и способов решения задач обеспечения Б 8.Обоснование перспектив развития теории и практики обеспечения БИ

Оценочные стандарты и технические спецификации

Оценочные стандарты – направлены на классификацию информационных систем и средств защиты от требования безопасности.

Технические спецификации – регламентируют различные аспекты реализации средств защиты.

Стандарт министерства обороны США «критерии оценки доверенных компьютерных систем» («оранжевая книга») август 1983 года.

Доверенная система – система, которая использует достаточные программные и аппаратные средства чтобы обеспечить одновременную обработку информации разной степени секретности группой пользователей без нарушения прав доступа.

Безопасная система – это система которая управляет с помощью соответствующих средств доступом к информации так, что только авторизованные лица или процессы действующие от их имени получают право читать, записывать, создавать и удалять информацию.

Степень доверия оценивалась по двум основным критериям:

1. Политика безопасности – набор законов, правил и норм поведения определяющих как организация обрабатывает, защищает и распространяет информацию.

2. Уровень гарантированности – мера доверия, которая может быть оказана архитектуре и реализации информационной системе.

Концепция доверено-вычислительной базы – совокупность защитных механизмов информационных систем, отвечающих за приведение в жизнь политики безопасности.

Основное направление доверено-вычислительной базы выполнять функции монитора обращений, контролирует допустимость выполнения субъектами определенных операций над объектами.

Монитор обращений должен обладать тремя качествами:

1. Изолированность – необходимо определить возможность отслеживания работы монитора.

2. Полнота – монитор должен вызываться при каждом обращении, не должно быть способов обойти его.

3. Верифицируемость – монитор должен быть компактным, чтобы его можно было проанализировать и протестировать.

Реализация монитора обращений называется ядром безопасности.

Границу доверено-вычислительной базы называют периметром безопасности. Механизмы безопасности

Политика безопасности – должно обязательно включать в себя:

1. произвольное управление доступом,

2. безопасность повторного использования объектов,

3. метки безопасности,

4. принудительное управление доступом.

Произвольное управление доступом – это метод разграничения доступа к объекту основанный на учете личности субъекта или группу, в которую субъект входит.

Безопасность повторного использования – важное дополнение средств управления доступом, предохраняющее от случайного или преднамеренного извлечения конфиденциальной информации.

Метки безопасности состоят из двух частей уровня секретности и списка категорий.

Принудительное управление доступа основано на сопоставлении меток безопасности субъекта и объекта.

Средства подотчетности делится на 3 категории: 1. Идентификация и аутентификация. 2. Предоставление доверенного пути. 3. Анализ регистрационной информации.

В оранжевой книга рассматривается 2 вида гарантированности: операционная и технологическая.

Операционная относится к архитектурному и реализационным аспектам системы. Технологическая – к методам построения и сопровождения.

Операционная гарантированность включает в себя проверку следующих элементов:

1. Архитектура системы

2. Целостность системы

3. Проверка тайных каналов передачи информации

4. Доверенное администрирование

5. Доверенное восстановление после сбоев

Технологическая гарантированность охватывает весь жизненный цикл информационной системы: периоды проектирования, реализации, тестирование, продажи и сопровождение. Все эти действия должны выполняться в соответствии с жесткими стандартами, чтобы исключить утечку информации.

1987 году национальным центром компьютерной безопасности США была опубликована интерпритация оранжевой книги для сетевых конфигураций.

Сетевая доверенная вычислительная база (СДВБ) – распределенный аналог ДВБ изолированных систем; формируется из всех частей всех компонентов сети обеспечивающих ИБ. Доверенная сетевая система должна обеспечивать такое распределение защитных механизмов, чтобы общая политика безопасности реализовывалась несмотря на уязвимость коммуникационных путей и на параллельную асинхронную работу компонентов. Для обеспечения непрерывности функционирования следует применять защитные меры: 1. Внесение в конфигурацию той или иной формы избыточности 2. Наличие средств реконфигурирования для изоляции или замены узлов или коммуникационных каналов отказавших или подвергшихся атаке на доступность. 3. Росредоточенность сетевого управления, отсутствия единой точки отказа. 4. Наличие средств нейтрализации отказа. 5. Выделение под сетей и изоляция групп пользователей друг от друга.

Сетевая конфигурация предусматривает наличие средств проверки подлинности и коректности функционирования компонентов перед их включением в сеть. Наличие протокола взаимной проверки, а так же присутствие срежств оповещения администратора о неполадках в сети.