7.4. Стандарти, що використовують

концепцію профілю захисту

7.4.1. Концепція профілю захисту

У розглянутих вище стандартах захищеність комп'ютерних систем оцінюють на підставі:

• вимог до окремих функцій комплексу засобів захисту, що передбачає кілька ступенів повноти реалізації;

• визначеної шкали оцінювання системи в цілому за повнотою виконання ви мог до кожної окремої функції захисту.

За різними стандартами підсумкові оцінки рівня захищеності систем визначаються по-різному. У TCSEC оцінювання проводиться за ієрархічною шкалою, згідно з якою визначено певні рівні захищеності комп'ютерної системи. Така шкала оцінювання дає змогу порівнювати лише однотипні системи.

Розробники «Європейських критеріїв» відмовилися від єдиної ієрархічної шкали. Оцінювання проводиться на відповідність вимогам класів-шаблонів. При цьому в деяких класах (наприклад, призначених для оцінювання СКБД з підвищеними вимогами до цілісності даних) підвищені вимоги висунуто для одних функцій, а в інших класах (наприклад, призначених для мережних систем з підвищеними вимогами до конфіденційності) — для інших. Таким чином, не всі комп'ютерні системи, що успішно пройшли процедуру оцінювання, можна порівнювати між собою за рівнем захищеності. Молена лише сказати, що система задовольняє деякому набору специфічних вимог, який оформлено у вигляді класу-шаблону.

Гнучкість такої системи оцінювання, фактично, обмежується лише кількістю функцій, що оцінюються, і кількістю класів-шаблонів, визначених для підсумкових оцінок систем. Зокрема, в «Європейських критеріях» визначено всього 10 класів, яких явно недостатньо.

Наступним кроком у розвитку стандартів оцінювання захищеності став по дальший розвиток гнучкості системи оцінювання. Значення стандартних, визна­чених наперед класів суттєво зменшилось. Розробникам було надано можливість самостійно визначати набори рівнів реалізації функцій безпеки, що дістали назву профілів захисту. Такий підхід характерний для багатьох сучасних стандартів, зокрема, у сфері інформаційних технологій: стандарт визначає множину функцій і надає специфікації цих функцій, а для кожної конкретної системи (або класу систем) обирається деяка підмножина з цих функцій, яка і є профілем [83].

З використанням концепції профілю процедура оцінювання захищеності комп'ютерних систем суттєво змінилася. Першим етапом оцінювання, який розпочинається ще на стадії проектування системи, є розроблення й обґрунтування профілю захисту, який враховує як специфічні вимоги до системи, так і особливості середовища її експлуатації. Оцінювання проводиться не на відповідність вимогам наперед визначеного класу, а на відповідність вимогам профілю, що за явлений для цієї конкретної системи. Разом із тим деякі профілі захисту можуть

набувати статусу типових або навіть стандартних, і їх можна застосовувати для однотипних систем. Окремі профілі створюють, зокрема, для операційних систем з дискреційним керуванням доступом, операційних систем з мандатним керуван­ням доступом тощо. Профіль також може бути створено на основі певного попу­лярного класу, що використовували у застарілому стандарті. Таким чином мож­на, наприклад, визначити профіль, який відповідає класу С2 з TCSEC.

Першим стандартом, в якому було впроваджено концепцію профілю захисту, були «Федеральні критерії безпеки інформаційних технологій США» (Federal Criteria for Information Technology Security, FCITS, далі — «Федеральні крите­рії») [76]. Велику увагу аналізу цього стандарту приділено у [16, 57].