Факторы, влияющие на требуемый уровень защиты информации

Классы защищенности средств вычислительной техники от несанкционированного доступа

В ч. 2 руководящих документах Гостехкомиссии устанавливается классификация средств вычислительной техники (СВТ) по уровню защищенности от несанкционированного доступа к информации на базе перечня показателей защищенности и совокупности описывающих их требований. Под средствами вычислительной техники понимаются совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем.

Показатели защищенности содержат требования по защите СВТ от несанкционированного доступа к информации и применяются к общесистемным программным средствам и операционным системам с учетом архитектуры компьютера. Классы защищенности СВТ описываются совокупностью требований. Совокупность всех средств защиты составляет комплекс средств защиты.

Изложенные ниже требования к показателям защищенности предъявляются к общесистемным программным средствам и операционным системам.

В зависимости от реализованных моделей защиты и надежности их проверки классы подразделяются на 4 группы. Первая группа включает только один седьмой класс - минимальная защищенность.

Вторая группа характеризуется избирательной защитой и включает шестой и пятый классы. Избирательная защита предусматривает контроль доступа поименованных субъектов к поименованным объектам системы. При этом для каждой пары «субъект - объект» должны быть определены разрешенные типы доступа. Контроль доступа применяется к каждому объекту и к каждому субъекту - индивиду или группе равноправных индивидов.

Третья группа характеризуется полномочной защитой и включает четвертый, третий и второй классы. Полномочная защита предусматривает присвоение каждому субъекту и объекту системы классификационных меток, указывающих место субъекта объекта в соответствующей иерархии. Классификационные метки на объекты устанавливаются пользователем системы или специально выделенным субъектом. Обязательным требованием для классов, входящих в эту группу, является реализация диспетчера доступа в иностранной литературе - reference monitor, монитор ссылок. Контроль доступа должен осуществляться применительно ко всем объектам при явном и скрытом доступе со стороны любого из субъектов. Решение о санкционированности запроса на доступ должно приниматься только при одновременном разрешении его и избирательными и полномочными правилами разграничения доступа.

Четвертая группа характеризуется верифицированной защитой и содержит только первый класс.

Для присвоения класса защищенности система должна иметь:

• руководство администратора по системе;

• руководство пользователя;

• тестовую и конструкторскую документацию.

Таблица Показатели защищенности СВТ от НСД

Примечание. «-» - нет требований к данному классу; «+» - новые или дополнительные требования; «=» - требования совпадают с требованиями к СВТ предыдущего класса.

Методика оценки безопасности и США и России практически ориентированы на оценку безопасности на качественном уровне.

Таким образом, можно классифицировать факторы, влияющие на уровни защиты информации.

Группа 1- обусловливаемые характером обрабатываемой информации:

1. Степень секретности.

2. Объемы.

3. Интенсивность обработки.

Группа 2- обусловливаемые архитектурой автоматизированной системы обработки данных:

1. Геометрические размеры.

2. Территориальная распределенность.

3. Структурированность компонентов.

Группа 3- обусловливаемые условиями функционирования автоматизированной системы обработки данных:

1. Расположение в населенном пункте.

2. Расположение на территории объекта.

3. Обустроенность.

Группа 4- обусловливаемые технологией обработки информации.

1. Масштаб.

2. Стабильность.

3. Доступность.

4. Структурированность.

Группа 5- обусловливаемые организацией работы автоматизированной системы обработки данных:

1. Общая постановка дела.

2. Укомплектованность кадрами.

3. Уровень подготовки и воспитания кадров.

4. Уровень дисциплины.