Лекция №3 - Стандарты информационной безопасности распределенных систем. Стандарты информационной безопасности в РФ
Ссылки на дополнительные материалы (печатные и электронные ресурсы)
Вопросы для самоконтроля
Выводы по теме
Требования доверия
Вторая форма требований безопасности в "Общих критериях" – требования доверия безопасности.
Установление доверия безопасности основывается на активном исследовании объекта оценки.
Форма представления требований доверия, та же, что и для функциональных требований (класс – семейство – компонент).
Всего в "Общих критериях" 10 классов, 44 семейства, 93 компонента требований доверия безопасности.
Классы требований доверия безопасности:
1. Разработка (требования для поэтапной детализации функций безопасности от краткой спецификации до реализации).
2. Поддержка жизненного цикла (требования к модели жизненного цикла, включая порядок устранения недостатков и защиту среды разработки).
3. Тестирование.
4. Оценка уязвимостей (включая оценку стойкости функций безопасности).
5. Поставка и эксплуатация.
6. Управление конфигурацией.
7. Руководства (требования к эксплуатационной документации).
8. Поддержка доверия (для поддержки этапов жизненного цикла после сертификации).
9. Оценка профиля защиты.
10. Оценка задания по безопасности.
Применительно к требованиям доверия (для функциональных требований не предусмотрены) в "Общих критериях" введены оценочные уровни доверия (их семь), содержащие осмысленные комбинации компонентов.
Степень доверия возрастает от первого к седьмому уровню. Так, оценочный уровень доверия 1 (начальный) применяется, когда угрозы не рассматриваются как серьезные, а оценочный уровень 7 применяется к ситуациям чрезвычайно высокого риска.
1. Основополагающими документами по информационной безопасности в РФ являются Конституция РФ и Стратегия национальной безопасности.
2. Законодательные меры в сфере информационной безопасности направлены на создание в стране законодательной базы, упорядочивающей и регламентирующей поведение субъектов и объектов информационных отношений, а также определяющей ответственность за нарушение установленных норм.
3. Закон РФ "Об информации, информационных технологиях и о защите информации" от 27 июля 2006 года № 149-ФЗ является одним из основных базовых законов в области защиты информации, который регламентирует отношения, возникающие при формировании и использовании информационных ресурсов Российской Федерации на основе сбора, накопления, хранения, распространения и предоставления потребителям документированной информации, а также при создании и использовании информационных технологий, при защите информации и прав субъектов, участвующих в информационных процессах и информатизации.
4. Государственная тайна – защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации.
5. Система защиты государственной тайны – совокупность органов защиты государственной тайны, используемых ими средств и методов защиты сведений, составляющих государственную тайну и их носителей, а также мероприятий, проводимых в этих целях.
6. Немаловажная роль в системе правового регулирования информационных отношении отводится ответственности субъектов за нарушения в сфере информационной безопасности. Основными документами в этом направлении являются:
· Уголовный кодекс Российской Федерации;
· Кодекс Российской Федерации об административных правонарушениях.
7. Стандарт ISO/IEC 15408 "Критерии оценки безопасности информационных технологий" (издан 1 декабря 1999 года) относится к оценочным стандартам.
8. "Общие критерии" являются стандартом, определяющим инструменты оценки безопасности информационных систем и порядок их использования.
9. "Общие критерии" содержат два основных вида требований безопасности:
· функциональные – соответствуют активному аспекту защиты – предъявляемые к функциям безопасности и реализующим их механизмам;
· требования доверия – соответствуют пассивному аспекту – предъявляемые к технологии и процессу разработки и эксплуатации.
10. Угрозы безопасности в стандарте характеризуются следующими параметрами:
· источник угрозы;
· метод воздействия;
· уязвимые места, которые могут быть использованы;
· ресурсы (активы), которые могут пострадать.
11. Для структуризации пространства требований в "Общих критериях" введена иерархия класс – семейство – компонент – элемент.
12. Классы определяют наиболее общую, "предметную" группировку требований (например, функциональные требования подотчетности).
13. Семейства в пределах класса различаются по строгости и другим тонкостям требований.
14. Компонент – минимальный набор требований, фигурирующий как целое.
15. Элемент – неделимое требование.
1. Перечислите основополагающие документы по информационной безопасности.
2. Понятие государственной тайны.
3. Что понимается под средствами защиты государственной тайны?
4. Основные задачи информационной безопасности в соответствии со Стратегией национальной безопасности РФ.
5. Какие категории государственных информационных ресурсов определены в Законе "Об информации, информационных технологиях и о защите информации"?
6. Какие виды требований включает стандарт ISO/IEC 15408?
7. Чем отличаются функциональные требования от требований доверия?
8. В чем заключается иерархический принцип "класс – семейство – компонент – элемент"?
9. Какова цель требований по отказоустойчивости информационных систем?
10. Сколько классов функциональных требований?
11. Какая ответственность в Уголовном кодексе РФ предусмотрена за создание, использование и распространение вредоносных программ для ЭВМ?
Основные:
1. Конституция РФ.
2. Галатенко В. А. Стандарты информационной безопасности. - М: Интернет-Университет Информационных Технологий - ИНТУИТ. РУ, 2004.
3. Карпов Е. А., Котенко И. В., Котухов М. М., Марков А. С., Парр Г. А., Рунеев А. Ю. Законодательно-правовое и организационно-техническое обеспечение информационной безопасности автоматизированных систем и информационно-вычислительных сетей / Под редакцией И. В.Котенко. - СПб.: ВУС, 2000.
4. Щербаков А. Ю. Введение в теорию и практику компьютерной безопасности. – М.: Издательство Молгачева С. В., 2001.
5. Теория и практика обеспечения информационной безопасности / Под ред. П. Д. Зегжды. – М: Яхтсмен, 1996.
6. Галатенко В. А. Основы информационной безопасности. – М: Интернет-Университет Информационных Технологий – ИНТУИТ. РУ, 2003.
7. www.jetinfo.ru.