Роль ведомственных документов и стандартов информационной безопасности

Безопасность является качественной характеристикой системы, и нельзя с однозначным результатом сравнивать безопасность двух систем – одна будет обладать лучшей защитой в одних условиях, другая – в иных. Кроме того, у каждой группы специалистов, занимающихся проблемами безопасности информационных технологий, имеется свой взгляд на безопасность и средства её достижения, а, следовательно, и свой взгляд на то, что должна представлять собой защищённая система. Дополнительно необходимо отметить, что в области информационной безопасности законы реально преломляются и работают через нормативные документы, подготовленные соответствующими ведомствами.

Для согласования всех точек зрения на проблему создания защищённых операционных систем разработаны и продолжают разрабатываться стандарты информационной безопасности. Это документы, регламентирующие основные понятия и концепции информационной безопасности на государственном или межгосударственном уровне, определяющие понятие «защищённая система» посредством стандартизации требований и критериев безопасности, образующих шкалу оценки степени защищённости ВС.

Главная задача стандартов информационной безопасности - создать основу для взаимодействия между производителями, потребителями и экспертами по квалификации продуктов информационных технологий. Каждая из этих групп имеет свои интересы и свои взгляды на проблему информационной безопасности.

Потребители, во-первых, заинтересованы в методике, позволяющей обоснованно выбрать продукт, отвечающий их нуждам, для чего им нужна шкала оценки безопасности и, во-вторых, нуждаются в инструменте, с помощью которого они могли бы формулировать свои требования к производителям. При этом потребителей интересуют исключительно характеристики и свойства конечного продукта, а не методы и средства их достижения.

Производители нуждаются в стандартах как в средстве сравнения возможностей своих продуктов, и в применении процедуры сертификации как механизме объективной оценки их свойств. С точки зрения производителя требования должны быть максимально конкретными и регламентировать необходимость применения тех или иных средств, механизмов алгоритмов и т.п. Кроме того, требования не должны противоречить существующим парадигмам обработки информации, архитектуре вычислительных систем и технологии.

Эксперты по квалификации и специалисты по сертификации рассматривают стандарты как инструмент, позволяющий им оценить уровень безопасности и предоставить потребителям возможность сделать обоснованный выбор.

Таким образом, перед стандартами информационной безопасности стоит непростая задача – примирить точки зрения и создать эффективный механизм взаимодействия всех сторон.

Дата добавления: 2015-10-24