5.5. Информационная безопасность распределительных систем. Рекомендации х.800

В рекомендациях выделяют сервисы безопасности:

1) Аутентификация-проверка подлинности партнеров по общению и источников данных (предотвращает маскарад, повтор предыдущего сеанса)

2)Управление доступом (защита от несанкционированного использования ресурсов, доступных по сети)

3)Конфиденциальность данных обеспечивает защиту от несанкционированного получения информации. Конфиденциальность трафика – защита информации, которую можно получить.

4)Целостность данных - защищаются не все данные, а только отдельные поля. Обеспечивается восстановление в случае нарушения целостности

5)Неотказуемость - невозможно отказаться от совершенных действий. Выделяют: с подтверждением источника данных и с подтверждением доставки данных.

Сетевые механизмы безопасности:

1)Шифрование

2)Электронно-цифровая подпись

3)Механизмы управления доступом- могут располагаться на любой из сторон

4)Механизмы контроля целостности данных

а) целостность отдельного сообщения или поля данных

б) целостность потока сообщений (от кражи, переупорядочивания, вставки сообщения, временные штампы, криптографическое связывание)

5)Механизмы аутентификации (за счет использования паролей, личных карточек)

6)Механизмы дополнения трафика

7)Механизмы управления маршрутизации

8)Механизмы нотаризации обеспечивается надежной третей стороной

Администрирование средств безопасности

Администрирование включает распространение информации по безопасности и сбор, анализ о функционировании системы безопасности.

Обязанности администратора:

1)Управление ключами: генерация и распределение

2)Управление шифрованием

3)Электронно-цифровая подпись

4)Управление доступом: распределение информации для управления (паролей, списков доступа)

5)Управление аутентификацией

6)Управление трафиком

7)Управление маршрутизацией

8)Управление нотаризацией

5.6. СтандартIso/ieс 15408 «Критерии оценки безопасности информационных технологий» 01.12.91

Суть данного стандарта: как произвести оценку безопасности.

Этапы критериев:

1)Определение назначений, целей, требований, условий применения безопасности

2)Проектирование и разработка

3)Испытание, оценка, сертификация

4)Внедрение и эксплуатация

Выделяют системы: 10 классов, 44 семейства, 93 компонента.

Гармонизированные критерии иностранных стран, опубликованные в июне 1991г. Францией, Германией, Нидерландами, Великобританией

Важной чертой является отсутствие требований к условиям, в которых должна работать информационная система.

Организация, запрашивающая сертификационные услуги, формулирует цель оценки, т.е. описывает условия, в которых должны работать системы, возможные угрозы ее безопасности и предоставляемые ею защитные функции. Задача органа сертификации: оценить насколько полно достигаются поставленные цели, т.е. насколько корректны и эффектны архитектура системы и реализация механизма безопасности в описанных спонсором условиях.

7. Руководящие документы Гостехкомиссии России

Выпущено два основных документа:

1. «Классификация авторизованных систем» по уровню защищаемости от несанкционированного доступа

2. «Классификация межсетевых экранов»

Согласно первому документу устанавливается 9 классов защищаемости. Каждый класс характеризуется определяемой минимумом совокупностью требований по защите. Классы делятся на три группы: 1,2,3. в пределах каждой группы соблюдается иерархия требований по защите в зависимости от ценности информации.

3 группа классифицирует авторизованные системы, в которых работает один пользователь, имеющий доступ ко всей информации авторизованной системы, размещаемой на носителях конфиденциальности. К этой группе относятся: 3А и 3Б.

2 группа классифицирует авторизованные системы, в которых пользователи имеют одинаковые права доступа ко всей информации авторизованной системы, обрабатываемой или хранящейся на носителях различного уровня конфиденциальности. К этой группе относятся: 2А и 2Б.

1 группа классифицирует многопользовательские авторизованные системы, в которых одновременно обрабатывается и хранится информация различных уровней конфиденциальности и не все пользователи имеют право доступа.