Пакет руководящих документов Гостехкомиссии России

Разработка и публикация в 1992 году документов ГТК явилась следствием бурно развивающегося в России процесса внедрения информационных технологий. До начала 90-х годов необходимости в подобных документах не было, т.к. в большинстве случаев обработка и хранение информации осуществлялось без применения вычислительной техники. Поэтому разработка стандартов подобного рода представляет собой абсолютно новую и незнакомую область деятельности для соответствующих институтов и учреждений, что позволяет трактовать данные документы как первую стадию формирования отечественных стандартов в области информационной безопасности.

Их идейной основой является «Концепция защиты средств вычислительной техники от несанкционированного доступа к информации», содержащая систему взглядов ГТК на проблему информационной безопасности и основные принципы защиты компьютерных систем.

Установлено 7 классов защищённости СВТ от НСД к информации. Самый низкий класс – седьмой (никаких требований), самый высокий - первый.

Требования по безопасности к Автоматизированным Системам предъявляются по четырём свойствам:

Подсистема управления доступом;

Подсистема регистрации и учета;

Криптографическая подсистема;

Подсистема обеспечения целостности.

Документы ГТК устанавливают 9 классов защищённости АС от НСД, каждый из которых характеризуется определённой совокупностью требований к средствам защиты. Классы подразделяются на три группы, отличающиеся спецификой обработки информации в АС.

Впределах каждой группы соблюдается иерархия классов защищённости АС. Класс, соответствующий высшей степени защищённости для данной группы, обозначается индексом NА, где N – номер группы. Следующий класс обозначается NБ и т.д.

К недостаткам данного стандарта относится отсутствие требований к защите от угроз работоспособности, ориентация исключительно на противодействие НСД и отсутствие требований к адекватности реализации политики безопасности. Понятие «политика безопасности» трактуется как поддержание режима секретности и отсутствие НСД, что принципиально неверно. Средства защиты ориентированы исключительно на противодействие внешним угрозам, а к структуре самой системы и её функционированию не предъявляется никаких требований.

При анализе системы защиты внешнего периметра корпоративной сети, в качестве основных критериев используется РД «СВТ. МЭ. Защита от НСД к информации. Показатели защищенности от НСД к информации». Данный документ определяет показатели защищенности МЭ. Каждый показатель защищенности представляет собой набор требований безопасности, характеризующих определенную область функционирования МЭ. Всего выделяется пять показателей защищенности:

Управление доступом

Идентификация и аутентификация

Регистрация событий и оповещение

Контроль целостности

Восстановление работоспособности

На основании показателей защищенности определяется следующие пять классов защищенности МЭ:

Простейшие фильтрующие маршрутизаторы - 5 класс

Пакетные фильтры сетевого уровня - 4 класс

Простейшие МЭ прикладного уровня - 3 класс

МЭ базового уровня - 2 класс

Продвинутые МЭ - 1 класс

МЭ первого класса защищенности могут использоваться в АС класса 1А, обрабатывающих информацию “Особой важности”. Второму классу защищенности МЭ соответствует класс защищенности АС 1Б, предназначенный для обработки “совершенно секретной” информации и т. п.

В настоящее время описанные РД уже устарели и содержащаяся в них классификация АС, СВТ и МЭ не может признаваться состоятельной. Достаточно заметить, что классификация АС и СВТ, разрабатывалась без учета распределенной (сетевой) природы современных АС, а все современные коммерческие МЭ по своим возможностям существенно превосходят требования 1-го класса защищенности (за исключением требования по использованию сертифицированных криптографических алгоритмов).

Несмотря на указанные недостатки, документы ГТК заполнили правовой вакуум в области стандартов информационной безопасности в нашей стране и на определённом этапе оперативно решили актуальную проблему.

5. Техническое проектирование защищённых корпоративных систем

Дата добавления: 2015-10-24