Файл: воронежский государственный университет инженерных технологий.pdf

147
или выдачей сертификата. Сведения о сертификатах обычно публикуются и являют- ся общедоступными.
При соответствии результатов испытаний требованиям нормативных доку- ментов орган сертификации оформляет отчет о сертификации и выдает сертификат соответствия.
Сертификат ПЗ – документ, удостоверяющий соответствие ПЗ критериям, приведенным в разделе 4 части 3 Руководящего документа «Критерии оценки без- опасности информационных технологий».
4. После завершения разработки проекта профиля защиты подается заявка на его регистрацию в орган регистрации профилей защиты в соответствии с РД Гос- техкомиссии России «Руководство по регистрации профилей защиты». При положи- тельном результате проверки ПЗ включается в реестр профилей защиты.
О разработке зарегистрированного проекта профиля защиты должно быть опубликовано уведомление в информационной системе общего пользования в элек- тронно-цифровой форме по адресу www.gostexkom.ru.
Уведомление о разработке проекта ПЗ выполняется по форме Приложения А к данному Положению и должно содержать информацию о том, в отношении каких типов изделий ИТ будут устанавливаться разрабатываемые требования, с кратким изложением цели этого ПЗ, обоснованием необходимости его разработки и указани- ем тех разрабатываемых требований, которые отличаются от требований существу- ющих ПЗ, а также информацию о способе ознакомления с проектом ПЗ, наименова- ние организации или фамилию, имя, отчество разработчика проекта данного ПЗ, почтовый адрес и, при наличии, адрес электронной почты, по которым должен осу- ществляться прием в письменной форме замечаний заинтересованных лиц.
5. Содержание ПЗ соответствует Приложению Б части 1 РД Гостехкомиссии
России «Критерии оценки безопасности информационных технологий» и приведено в таблице 9.
Таблица 9
Содержание профиля защиты
№ п/п
Наименование раздела
1.
Введение ПЗ
2.
Описание изделия ИТ
3.
Среда безопасности изделия ИТ
4.
Цели безопасности
5.
Требования безопасности изделия ИТ

148 6.
Замечания по применению
7.
Обоснование
В разделе «Введение ПЗ» идентифицируется ПЗ и дается его аннотация в форме, наиболее подходящей для включения в каталоги и реестры ПЗ.
В раздел «Описание изделия ИТ» включается сопроводительная информация об изделии ИТ (или типе изделия ИТ), предназначенная для пояснения его назначе- ния и требований безопасности.
В раздел ПЗ «Среда безопасности изделия ИТ» включается описание аспектов среды безопасности изделия ИТ, которые должны учитываться для изделия ИТ, в частности – детальное описание предположений безопасности, определяющих гра- ницы среды безопасности, угроз активам, требующим защиты (включая описание этих активов), и политики безопасности организации, которой должно удовлетво- рять изделие ИТ.
В раздел ПЗ «Цели безопасности» включается краткое изложение предполага- емой реакции на аспекты среды безопасности, как с точки зрения целей безопасно- сти, которые должны быть удовлетворены изделием ИТ, так и с точки зрения целей безопасности, которые должны быть удовлетворены ИТ- и не-ИТ-мерами безопас- ности в пределах среды изделия ИТ.
В раздел ПЗ «Требования безопасности изделия ИТ» включаются функцио- нальные требования безопасности изделия ИТ, требования доверия к безопасности, а также требования безопасности программного, программно-аппаратного и аппа- ратного обеспечения ИТ-среды изделия ИТ.
В раздел ПЗ «Замечания по применению ПЗ» может включаться любая допол- нительная информация, которую разработчик ПЗ считает полезной. Замечания по применению могут быть распределены по соответствующим разделам ПЗ.
В разделе ПЗ «Обоснование» демонстрируется, что ПЗ специфицирует пол- ную и взаимосвязанную совокупность требований безопасности изделия ИТ, и что соответствующее изделие ИТ учитывает идентифицированные аспекты среды без- опасности.
Структура ПЗ в общем виде приведена на рисунке 10.

149
Рис. 10. Структура ПЗ

150
В соответствии с требованиями TCSEC, автоматизированные системы защи- щаемого объекта разделены на группы:
1. D – минимальная защита.
2. С – индивидуальная защита.
3. В – мандатная защита.
4. А – верифицированная защита.
Группы систем делятся на классы, причем все системы, относимые к группе
D, образуют один класс D1, к группе С – два класса С1 и С2, к группе В – три класса
В1, В2 и В3, к группе А – один класс А1 с выделением части систем вне класса.
Следует отметить, что стандарт TCSEC описывает только безопасность си- стем, которая регулируется механизмами разграничения доступа к информации
(чтение, запись, создание или удаление информации).
Согласно требованиям международного стандарта ISO / IEC 15408:1999 «Кри- терии оценки безопасности информационных технологий» (Evaluation criteria for IT security), определены 7 упорядоченных по возрастанию оценочных уровней доверия безопасности, содержащих рассчитанные на многократное применение комбинации требований доверия (не более одного компонента из каждого семейства). Наличие такой шкалы дает возможность сбалансировать получаемый уровень доверия со сложностью, сроками, стоимостью и самой возможностью его достижения.
Для проведения классификации объектов по категориям физической безопас- ности возможно использование положений РД 28/3.006-2005 МВД РФ. В соответ- ствии с которым, в зависимости от значимости и концентрации материальных, ху- дожественных, исторических, культурных ценностей, размещенных на охраняемом объекте, последствий от возможных преступных посягательств на них, все объекты, их помещения и территории подразделяются на две группы (категории): А и Б. Вви- ду большого разнообразия разнородных объектов в каждой группе, они дополни- тельно подразделяются на подгруппы: АI, АII и АIII, БI и БII.
Объекты подгрупп АI и АII – это особо важные объекты жизнеобеспечения повышенной опасности, противоправные действия (кража, грабеж, разбой, терро- ризм и др.) на которых могут привести к крупному, особо крупному экономическо- му или социальному ущербу государства, общества, предприятия, экологии или иному владельцу имущества.
Объекты подгрупп АIII, БI и БII – это объекты, хищения на которых, в соот- ветствии с уголовным законодательством Республики Беларусь, могут привести к ущербу в размере до 250 базовых величин и свыше 250 соответственно.
В зависимости от технической укрепленности объектов, находящихся в них ценностей, расположения в здании, удаленности от постов охраны, они могут бло- кироваться системами охранной сигнализации со следующими уровнями защиты:

151 1. Низкий.
2. Средний.
3. Повышенный.
4. Высокий.
На основании вышеизложенного, для осуществления комплексной классифи- кации объектов по признакам физической и информационной безопасности с учетом особенностей доступа введем следующие категории безопасности:
1. Организационная структура управления объектом – в качестве базовой предлагается система уровневой классификации объектов по признаку государ- ственных приоритетов системы национальной безопасности:
 федеральный уровень административного управления (Правительство, Со- вет безопасности и т. д.)
 региональный уровень административного управления (областные органы управления и власти);
 местный уровень административного управления (городские / районные органы управления и власти).
2. Функционально-экономическое построение процесса организации дея- тельности объекта – в качестве базовой предлагается система уровневой классифи- кации объектов по признаку функционально-экономической организации деятель- ности и регулирования со стороны государства:
 частная собственность с участием только иностранного капитала (деятель- ность не регулируется государством);
 частная собственность с участием смешанного капитала (деятельность ча- стично регулируется государством);
 государственная собственность (деятельность регулируется государством).
3. Оценка риска. Суммарная критичность ресурсов объекта определяется си- стемой критериев:
 ущерб репутации организации;
 безопасность персонала;
 разглашение коммерческих сведений;
 финансовые потери и др.
Под общей оценкой риска (risk assessment) будем понимать процесс, в кото- рый входят идентификация, анализ и оценка риска.
В качестве критериев значимости возможного уровня экономического ущерба можно использовать следующую классификацию:
1. Особо крупный ущерб – на сумму более 1000 базовых величин.
2. Крупный ущерб – на сумму от 250 до 1000 базовых величин.

152 3. Значительный ущерб – на сумму от 40 до 250 базовых величин.
4. Средний ущерб – на сумму от 10 до 40 базовых величин.
5. Мелкий ущерб – на сумму менее 10 базовых величин.
С учетом вышеизложенного предлагается введение новой классификации объ- ектов, учитывая особенности доступа к ним:
1. Упрощенный доступ:
 контроль доступа к ресурсам объекта осуществляется региональными и местными органами административного управления;
 объекты, несанкционированный доступ к ресурсам которых может приве- сти к мелкому (до 10 базовых величин) или среднему (от 10 до 40 базовых величин) экономическому ущербу.
2. Ограниченный доступ:
 контроль доступа к ресурсам объекта осуществляется региональными и местными органами административного управления;
 объекты, несанкционированный доступ к ресурсам которых может приве- сти к значительному (от 40 до 250 базовых величин) экономическому ущербу.
3. Важный доступ:
 особо важные объекты жизнеобеспечения, повышенной опасности, вклю- ченные в Перечень объектов, подлежащих обязательной охране МВД, определен- ный в соответствии с требованиями, несанкционированный доступ к ресурсам кото- рых может привести к крупному (от 250 до 1000 базовых величин) экономическому ущербу.
 контроль доступа к ресурсам объекта осуществляется республиканскими и региональными органами административного управления;
4. Доступ с расширенной защитой:
 контроль доступа к ресурсам объекта осуществляется республиканскими органами административного управления;
 деятельность объекта напрямую регулируется государством не в полном объеме или деятельность объекта напрямую не регулируется государством;
 особо важные объекты жизнеобеспечения, повышенной опасности, вклю- ченные в Перечень объектов, подлежащих обязательной охране МВД, несанкциони- рованный доступ к ресурсам которых может привести к особо крупному (более 1000 базовых величин) экономическому ущербу.
5. Доступ с максимальной защитой:
 контроль доступа к ресурсам объекта осуществляется республиканскими органами административного управления;
 деятельность объекта регулируется государством;

153
 особо важные объекты жизнеобеспечения, повышенной опасности, вклю- ченные в Перечень объектов, подлежащих обязательной охране МВД, противоправ- ные действия на которых могут привести к особо крупному (более 1000 базовых ве- личин) экономическому ущербу.
Вводимая классификация объектов согласована с требованиями международ- ного стандарта ISO/IEC 15408:1999:
1. Функциональные требования, соответствующие активному аспекту защи- ты, предъявляемые к функциям (сервисам) безопасности и реализующим их меха- низмам.
2. Требования доверия, соответствующие пассивному аспекту; они предъяв- ляются к технологии и процессу разработки и эксплуатации.
Процесс обеспечения безопасности в ISO/IEC 15408:1999 рассматривается не статично, а в соответствии с жизненным циклом объекта оценки, который предстает в контексте среды безопасности, характеризующейся определенными условиями и угрозами.
С учетом вышеизложенного предлагается введение новой структуры профиля безопасности объекта в следующем составе:
1. Политика безопасности объекта – совокупность руководящих принципов, правил, процедур и практических приемов в области безопасности, которыми руко- водствуется организация в своей деятельности.
2. Уровень безопасности объекта – совокупность нормативно-правовых, про- граммно-технических и физических средств/систем защиты объекта, обеспечиваю- щих противодействие угрозам несанкционированного доступа.
3. Аудит безопасности объекта – независимая оценка состояния системы без- опасности объекта, устанавливающая уровень ее соответствия определенным крите- риям и предоставление результатов в виде рекомендаций.
Политику безопасности объекта предлагается формировать в соответствии со следующими этапами:
1. Проведение формализованного описания защищаемого объекта с оценкой текущего уровня безопасности на основе имеющейся информации о структу- ре/ресурсах объекта, а также установленных средствах защиты.
2. Составление перечня угроз и сценариев атак по этапам жизненного цикла системы.
3. Формирование и корректировка политики безопасности с учетом типовых рекомендаций нормативно-правовых документов (ISO / IEC 15408:1999, BS
7799:1995 и др.) и перечнем угроз и сценариев атак по этапам жизненного цикла си- стемы.

154
Результатом формирования политики безопасности объекта будет являться итоговый нормативный документ, который описывает и структурирует основные направления в области защиты организации (предприятия), определяет методику ре- агирования на инциденты безопасности.
Основной задачей практической реализации заданного уровня безопасности объекта будет являться выполнение установленного нормативными документами минимального набора требований к защите объекта, обеспечиваемого введенными средствами и системами защиты с учетом:
 статистических данных по вопросам информационной и физической без- опасности, имущественных преступлений;
 классификации угроз и сценариев атак по этапам жизненного цикла систе- мы. Основные элементы классификации: нормативно-правовые, программно- технические, физические угрозы;
 специализированных сигнатурных баз, построенных по алгоритму мас- штабирования и позволяющих определить базовый перечень средств безопасности для защищаемого объекта. Исходная полнота сигнатурной базы должна соответ- ствовать современному уровню угроз и сценарию атак;
 модульной конструкторско-технологической структуры построения систе- мы безопасности объектов в зависимости от заданного / анализируемого уровня угроз. При функционировании системы должен осуществляться контроль всех функциональных модулей объекта.
Предложенная методика классификации объектов позволяет учесть особенно- сти доступа на объект, его организационную структуру управления, функционально- экономическую организацию процесса обеспечения функционирования объекта и выполнить оценку риска. Введенные категории безопасности позволяют провести детализированную оценку значимости ресурсов объекта.
Предложенная структура профиля безопасности объекта включает норматив- ные требования и правила по обеспечению безопасности объекта, комплекс средств и систем защиты, методику проведения итоговой экспертной оценки, что позволяет упростить процесс проектирования и обеспечить гарантированную защиту объектов различных форм собственности.
Контрольные вопросы
1. Определите нормативную базу формирования профиля защиты.
2. Какие принципы применяются при формировании семейств профилей за- щиты?