8.2.2 Потенційні загрози безпеці та типові завдання захисту

Загрози безпеці обчислювальної системи — впливи на об­числювальну систему, які прямо або побічно можуть нанести шкоду її безпеці. Розробники вимог безпеки та засобів захисту виділяють три види загроз:

• загрози порушення конфіденційності інформації;

• загрози порушення цілісності інформації;

• загрози порушення працездатності системи (відмови в обслуго­вуванні) .

Загрози порушення конфіденційності — загрози безпеці об­числювальної системи, спрямовані на розголошення інформації з обмеженим доступом.

Загрози порушення цілісності — загрози безпеці обчислювальної системи, що полягають у спотворенні або зміні неавторизованим користувачем інформації, що зберігається або передається. Цілісність інформації може бути порушена як зловмисником, так і

323

Частина II Основи безпеки інформаційних технологій

врезультаті об'єктивних впливів із сторони середовища експлуата­ції системи. Найбільш актуальна ця загроза для систем передавання інформації — комп'ютерних мереж і систем телекомунікації.

Загрози порушення працездатності — загрози безпеці обчи­слювальної системи, спрямовані на створення ситуацій, коли в ре­зультаті навмисних дій понижується працездатність обчислювальної системи, або її ресурси стають недоступними.

Завдання захисту — в "Загальних критеріях" декларуються на­ступним чином:

• захист від загроз порушення конфіденційності (несанкціоновано­го одержання) інформації з усіх каналів її витоку, особливо за рахунок каналів ПЕМВН і прихованих (таємних) каналів зв'яз­ку;

• захист від загроз порушення цілісності (несанкціонованого змі­нювання інформації);

• захист від загроз порушення доступності інформації (несанкціо­нованого або випадкового обмеження інформації та ресурсів са­мої системи);

• захист від загроз аудитові системи (наприклад, загрози несан­кціонованих вторгнень у систему, маніпуляцій з протоколами обміну та аудиту, із загальносистемним програмним забезпече­нням) .

8.2.3 Політика безпеки

Політика безпеки [security policy] — сукупність законів, норм і правил, що регламентують порядок оброблення, захисту і розповсю­дження інформації комп'ютерної системи.

В системах зв'язку політика безпеки є частиною загальної політи­ки безпеки оператора зв'язку і може включати, зокрема, положення державної політики у галузі захисту інформації.

Для кожної системи (підсистеми) зв'язку політика безпеки може бути індивідуальною і може залежати від технології передавання, оброблення та зберігання інформації, що реалізується, особливостей системи зв'язку, середовища експлуатації і від багатьох інших фа­кторів. Політика повинна визначати ресурси системи зв'язку, які потребують захисту, зокрема, встановлювати категорії інформації, яка передається, оброблюється та зберігається в системі. Мають бу­ти сформульовані основні загрози для системи зв'язку, персоналу, інформації різних категорій і вимоги до захисту від цих загроз.

324

Розділ 8 Критерії безпеки інформаційних технологій

Складовими частинами загальної політики безпеки в системізв'язку мають бути політики забезпечення конфіденційності, цілі­сності і доступності інформації, що передається, оброблюється і збе­рігається. Відповідальність персоналу за виконання положень полі­тики безпеки має бути персоніфікована.

Частина політики безпеки, яка регламентує правила доступу ко­ристувачів і процесів системи зв'язку, складає правила розмежува­ння доступу.