Требования к безопасности информационных систем в России

Аналогичный подход реализован и в руководящем документе Государственной технической комиссией при Президенте РФ «Классификация автоматизированных систем и требований по защите информации», выпущенном в 1992 г. Требования всех приведенных ниже документов обязательны для исполнения только для тех государственных либо коммерческих организаций, которые обрабатывают информацию, содержащую государственную тайну. Для остальных коммерческих структур документы носят рекомендательный характер. В данном документе выделено 9 классов защищенности автоматизированных систем от несанкционированного доступа к информации, а для каждого класса определен минимальный состав необходимых механизмов защиты и требования к содержанию защитных функций каждого из механизмов в каждом из классов систем.

Классы систем разделены на три группы, причем основным критерием деления на группы приняты специфические особенности обработки информации, а именно:

третья группа - системы, в которых работает один пользователь, допущенный ко всей обрабатываемой информации, размещенной на носителях одного уровня конфиденциальности; к группе отнесены два класса, обозначенные ЗБ и ЗА;

вторая группа - системы, в которых работает несколько пользователей, которые имеют одинаковые права доступа ко всей информации, обрабатываемой и/или хранимой на носителях различного уровня конфиденциальности; к группе отнесены два класса, обозначенные 2Б и 2А;

первая группа - многопользовательские системы, в которых одновременно обрабатывается и/или хранится информация разных уровней конфиденциальности, причем различные пользователи имеют разные права на доступ к информации; к группе отнесено 5 классов: 1Д, 1Г, 1В, 1Б и 1А.

Требования к защите растут от систем класса ЗБ к классу 1 А.

Все механизмы защиты разделены на 4 подсистемы следующего назначения:

• управления доступом;

• регистрации и учета;

• криптографического закрытия;

• обеспечения целостности.

Таблица Классы подсистем защищенности

Подсистема и ее характеристики Классы систем  
ЗБ ЗА 2Б 2А 1Д 1Г IB 1Б 1А  
1. Подсистема управления доступом      
1.1. Идентификация, проверка подлинности и контроль доступа субъектов:                
в систему; + + + + + + + + +  
к терминалам, ЭВМ, каналам связи, внешним устройствам ЭВМ; - - - + - + + + +  
к программам; - - - + - + + + +  
к томам, каталогам, файлам, записям, полям записей. - - - + - + + + +  
1.2. Управление потоками информации - - - + - - + + +  
2. Подсистема регистрации и учета          
2.1. Регистрация и учет:                
входа (выхода) субъектов доступа в (из) систему(ы) (узел сети) + + + + + + + + +  
выдачи печатных (графических) выходных документов - + - + - + + + +  
запуска (завершения) программ процессов (заданий, задач) - - - + - + + + +  
доступа программ субъектов доступа к защищаемым файлам, включая их создание и удаление, передачу по линиям и каналам связи; - - - + - + + + +  
доступа программ субъектов доступа к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ, программам, томам, каталогам, файлам, записям, полям записей; - - - + - + + + +  
изменения полномочий субъектов доступа - - - - - - + + +  
создаваемых защищаемых объектов доступа - - - + - - + + +  
2.2. Учет носителей информации + + + + + + + + +  
2.3. Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей - + - + - + + + +  
2.4 Сигнализация попыток нарушения защиты - - - - - - + + +  
3. Криптографическая подсистема                    
3.1. Шифрование конфиденциальной информации - - - + - - - + +  
3.2. Шифрование информации, принадлежащей различным субъектам доступа (группам субъектов) на различных ключах - - - - - - - - +  
3.3. Использование аттестованных (сертифицированных) криптографических средств - - - + - - - + +  
4. Подсистема обеспечения целостности  
4.1. Обеспечение целостности программных средств и обрабатываемой информации + + + + + + + + +  
4.2. Физическая охрана средств вычислительной техники и носителей информации + + + + + + + + +  
4.3. Наличие администратора (службы) защиты информации в АС - - - + - - + + +  
4.4. Периодическое тестирование СЗИ НСД + + + + + + + + +  
4.5. Наличие средств восстановления СЗИ НСД + + + + + + + + +  
4.6. Использование сертифицированных средств защиты - + - + - - + + +  

Содержание средств для каждой группы систем приведено в документе. Приведенная в руководящем документе Гостехкомиссии методика распространяется на защиту от несанкционированного доступа к информации, находящейся непосредственно в ЗУ ЭВМ и на сменных машиночитаемых носителях. Значительно раньше, в 1978 г., Гостехкомиссией были выпущены руководящие документы, определяющие требования к защите информации в автоматизированных системах от утечки по побочным электромагнитным излучениям и наводкам. При разработке названных требований учитывались следующие факторы:

1. Доля грифованной информации в общем объеме обрабатываемой информации.

2. Интенсивность обработки грифованной информации, выражаемая относительной долей времени ее обработки в течение суток.

3. Условия расположения аппаратуры автоматизированной системы.

Наличие рассмотренных методик и закрепление их в официальных документах создает достаточно надежную базу для защиты информации на регулярной основе. Однако нетрудно видеть, что с точки зрения современной постановки задачи защиты информации имеющиеся методики являются недостаточными по ряду причин, а именно:

1) методики ориентированы на защиту информации только в средствах ЭВТ, в то время как имеет место устойчивая тенденция органического сращивания автоматизированных и традиционных технологий обработки информации;

2) учитываются далеко не все факторы, оказывающие существенное влияние на уязвимость информации, а поэтому и подлежащие учету при определении требований к защите;

3) в научном плане они обоснованы недостаточно за исключением требований к защите информации от утечки по техническим каналам.