учебник хахаева. Хахаев_ИТТ. Информационные таможенные технологии
 Скачать 1.27 Mb.
|
|
6. Намеренные действия, приводящие к нарушению информационной безопасности, могут подпадать под действия статей Уголовного кодекса РФ (глава 28 «Преступления в сфере компьютерной информации». Так, статья 272 «Неправомерный доступ к компьютерной информации» определяет возможные наказания за повлекло уничтожение, блокирование, модификацию либо неправомерное копирование компьютерной информации, статья 273 «Создание, использование и распространение вредоносных программ для ЭВМ» определяет наказания за создание, распространение или использование компьютерных программ либо иной компьютерной информации, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации, а статья 274 «Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети» - наказания за нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации либо информационно-телекоммуникационных сетей и оконечного оборудования, а также правил доступа к информационно-телекоммуникационным сетям, повлекшее уничтожение, блокирование, модификацию либо копирование компьютерной информации, причинившее крупный ущерб. 7. Постановление Правительства РФ от 26 июня 1995 г. N 608 «О сертификации средств защиты информации» определяет, чтотехнические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых 90 они реализованы, а также средства контроля эффективности защиты информации являются средствами защиты информации. Указанные средства подлежат обязательной сертификации, которая проводится в рамках систем сертификации средств защиты информации. При этом криптографические (шифровальные) средства должны быть отечественного производства и выполнены на основе криптографических алгоритмов, рекомендованных Федеральной службой безопасности Российской Федерации. 8. В соответствии с Приказом Федеральной службы по техническому и экспортному контролю (ФСТЭК России) от 11 февраля 2013 г. N 17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» работы по защите информации в ходе создания и эксплуатации информационной системы обладателем информации (заказчиком) и оператором в соответствии с законодательством Российской Федерации при необходимости привлекаются организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации в соответствии с Федеральным законом от 4 мая 2011 г. N 99-ФЗ «О лицензировании отдельных видов деятельности», а средства защиты информации должны пройти оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации в соответствии со статьёй 5 Федерального закона от 27 декабря 2002 г. N 184-ФЗ «О техническом регулировании» 9. Подпрограмма 5 «Безопасность в информационном обществе» Государственной программы «Информационное общество (2011-2020 годы)» (в первоначальной редакции 2010 года) предусматривает следующие мероприятия: Мероприятие 2: создание и поддержка отечественных защищённых технологий хранения и обработки больших массивов неструктурированной информации, в том числе создание отечественных защищённых функциональных сервисов и технологических компонентов, обеспечивающих хранение и обработку больших массивов неструктурированной информации, их дальнейшая поддержка и развитие, позволяющие увеличить объем обрабатываемой неструктурированной информации Мероприятие 4: создание национальной программной платформы (комплекс отечественных программных решений - модулей, построенных на базе единых технологий, позволяющих осуществлять разработку новых программных продуктов методом компоновки и настройки уже готовых модулей, а также разработку новых модулей), в том числе развитие отечественной сборки операционной системы на свободном программном обеспечении и создание отечественной системы управления базами данных на основе открытых разработок. 10. Упоминавшийся ранее Приказ Министерства связи и массовых коммуникаций Российской Федерации (Минкомсвязь России) от 2 91 сентября 2011 г. N 221 «Об утверждении Требований к информационным системам электронного документооборота федеральных органов исполнительной власти, учитывающих в том числе необходимость обработки посредством данных систем служебной информации ограниченного распространения» устанавливает требование по обеспечению класса защищённости от несанкционированного доступа к информации в АИС федеральных органов исполнительной власти не ниже 1Г. 11. Оценка соответствия требованиям по безопасности информации для АИС проводится на основании Руководящих документов Гостехкомиссии РФ: • «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» • «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищённости от несанкционированного доступа к информации» • «Защита от несанкционированного доступа к информации Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей». Оценки уровня защищённости автоматизированных информационных систем. Поскольку абсолютная защита в принципе недостижима (или не имеет практической ценности), принято говорить об уровне доверия к средствам защиты информации или, соответственно, о доверенных информационных системах (или программно-аппаратных комплексах). При этом нужно понимать, какие метрики используются для оценки уровня доверия, и по какой системе эти метрики оцениваются. При обсуждении варианты защиты в нормативных документах и в специальной литературе применяются следующие понятия. Дискреционная защита - защита (управление доступом) на основе идентификации. Пользователь/группа с правами доступа к одному объекту класса имеет те же права доступа ко всем объектам этого класса. Мандатная защита предусматривает разграничение доступа субъектов к объектам, основанное на назначении метки конфиденциальности для информации, содержащейся в объектах, и выдаче официальных разрешений (допуска) субъектам на обращение к информации такого уровня конфиденциальности. Например, субъект «Пользователь2», имеющий допуск уровня «не секретно», не может получить доступ к объекту, имеющего метку «для 92 служебного пользования». В то же время, субъект «Пользователь1» с допуском уровня «секретно», право доступа к объекту с меткой «для служебного пользования» имеет. Верифицированная защита характеризуется применением формальных методов верификации корректности работы механизмов управления доступом (дискреционного и мандатного). Требуется, чтобы было формально показано соответствие архитектуры и реализации комплекса средств защиты (КСЗ) требованиям безопасности. Уровни доверия TCSEC Необходимость как-то измерять уровень «доверия» к АИС и их защищённость привела к разработке стандарта TCSEC(Trusted Computer System Evaluation Criteria), впервые опубликованного в 1985 году и разработанного Министерством обороны и Национальным центром компьютерной безопасности (National Computer Security Center – NCSC) США. Стандарт TCSEC известен под названием «Оранжевая книга» (Orange Book). В этой «Оранжевой книге» перечислены семь подуровней четырех основных уровней защиты, начиная от самой высокой степени непроницаемости до самой низкой. • Уровень A – верифицируемая безопасность • Уровень B – принудительное (мандатное) управление доступом • Уровень C – произвольное (дискреционное) управление доступом • Уровень D – неудовлетворительная защита Ниже приведены краткие характеристики подуровней оценки в соответствии с TCSEC. Эти уровни касаются в первую очередь операционных систем. Уровень Описание A1 Наивысший уровень. Теоретически возможная, но практически недостижимая защита. B3 Опытный программист, имеющий доступ к системе, не может изменить свои права или нарушить работу системы. B2 К системе невозможен несанкционированный доступ, вирусы не работают. B1 Обычный пользователь не может преодолеть защиту, вирусы в принципе возможны. C2 Обеспечивается защита процедур входа, производится контроль за событиями, имеющими отношение к безопасности, разграничиваются права доступа к ресурсам. Вирусы бывают. C1 Есть возможность защиты личных данных при дополнительной установке средств защиты. D Тестирование проводилось, но требования более высокого класса не выполнялись. 93 Максимально достигнутый уровень доверия по TCSEC для систем, продающихся на открытом рынке — B2. Минимальный уровень доверия, допустимый для систем коммерческих предприятий и государственных организаций — C2. Оценка защищённости АИС в Российской Федерации. Контроль соответствия требованиям по защите информации в Российской Федерации может проводиться по требованиям ФСТЭК, по требованиям ФСБ и Министерства обороны. Для федеральных органов исполнительной власти, к которым относятся и Федеральные службы, актуальным является оценка по требованиям ФСТЭК и ФСБ. Непосредственная деятельность по сертификация ФСБ РФ регламентирована ФЗ «О государственной тайне», постановлением Правительства Российской Федерации от 26.06.95 г. No 608 «О сертификации средств защиты информации» и приказом ФСБ РФ от 13 ноября 1999 г. No 564 «Об утверждении положений о системе сертификации средств защиты информации по требованиям безопасности для сведений, составляющих государственную тайну, и о ее знаках соответствия». Согласно ст. 28 ФЗ «О государственной тайне», средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности. В соответствии с п. 1.4 Приказа ФСБ РФ No 564, органы по сертификации системы сертификации проводят обязательную сертификацию средств защиты информации, используемых при работе со сведениями, составляющими государственную тайну, в том числе иностранного производства. Результатом сертификации ФСБ является разрешение для операционной системы или программно-аппаратного комплекса на использование при обработке информации, содержащей сведения, составляющие государственную тайну. Для оценки защищённости от несанкционированного доступа к информации для многопользовательских автоматизированных информационных систем все классы защиты подразделяются на гри группы. • Первая группа: многопользовательские АИС, разные уровни конфиденциальности информации, ограничения доступа (классы 1А, 1Б, 1В, 1Г, 1Д) • Вторая группа: многопользовательские АИС, пользователи имеют одинаковые права доступа (классы 2А, 2Б) • Третья группа: однопользовательские АИС (классы 3А, 3Б) Для каждой группы и класса определяется набор требований к различным подсистемам АИС. Соответствие предъявляемым требованиям и определяет итоговый класс защиты (если какое-то требование не выполняется, класс 94 понижается). Максимальный класс защиты в такой системе оценки — 1А, минимальный — 3Б. 1. Требования к подсистеме управления доступом Требования Классы 3Б 3А 2Б 2А 1Д 1Г 1В 1Б 1А Идентификация, проверка подлинности и контроль доступа субъектов в систему + + + + + + + + + Идентификация, проверка подлинности и контроль доступа субъектов к терминалам, ЭВМ, узлам сети, внешним устройствам - - - + - + + + + Идентификация, проверка подлинности и контроль доступа субъектов к программам - - - + - + + + + Идентификация, проверка подлинности и контроль доступа субъектов к томам, каталогам, файлам, записям, полям записей - - - + - + + + + Управление потоками информации - - - + - - + + + 2. Требования к подсистеме регистрации и учёта Требования Классы 3Б 3А 2Б 2А 1Д 1Г 1В 1Б 1А Регистрация и учёт входа/выхода субъектов доступа в/из системы (узла сети) + + + + + + + + + Регистрация и учёт выдачи печатных (графических) выходных документов - + - + - + + + + Регистрация и учёт запуска/завершения программ и процессов (заданий, задач) - - - + - + + + + Регистрация и учёт доступа программ субъектов доступа к терминалам, ЭВМ, узлам сети, каналам связи, внешним устройствам, программам, томам, каталогам, файлам, записям, полям записей - - - + - + + + + Регистрация и учёт изменения полномочий субъектов доступа - - - - - - + + + Регистрация и учёт создаваемых защищаемых объектов доступа - - - + - - + + + Учёт носителей информации + + + + + + + + + Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей - + - + - + + + + Сигнализация попыток нарушения защиты - - - - - - + + + 95 3. Требования к криптографической подсистеме Требования Классы 3Б 3А 2Б 2А 1Д 1Г 1В 1Б 1А Шифрование конфиденциальной информации - - - + - - - + + Шифрование информации, принадлежащей различным субъектам доступа (группам субъектов) на разных ключах - - - - - - - - + Использование аттестованных (сертифицированных) криптографических средств - - - + - - - + + Классификация по уровню контроля недекларированных возможностей распространяется на ПО, предназначенное для защиты информации ограниченного доступа. 1. Устанавливается четыре уровня контроля отсутствия недекларированных возможностей. Каждый уровень характеризуется определённой минимальной совокупностью требований. 2. Самый высокий уровень контроля – первый, достаточен для ПО, используемого при защите информации с грифом «ОВ» («особо важно»). 3. Второй уровень контроля достаточен для ПО, используемого при защите информации с грифом «CC» («совершенно секретно»). 4. Третий уровень контроля достаточен для ПО, используемого при защите информации с грифом «C» («секретно»). 5. Самый низкий уровень контроля – четвертый, достаточен для ПО, используемого при защите конфиденциальной информации. 6. Для ПО, используемого при защите информации, отнесённой к государственной тайне, должен быть обеспечен уровень контроля не ниже третьего. Недекларированные возможности (НДВ) – функциональные возможности ПО, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации. Реализацией недекларированных возможностей, в частности, являются программные закладки. Программные закладки – преднамеренно внесённые в ПО функциональные объекты (модули, подпрограммы, процедуры, функции), которые при определённых условиях (входных данных) инициируют выполнение не описанных в документации функций ПО, приводящих к нарушению конфиденциальности, доступности или целостности обрабатываемой информации. Для выявления НДВ применяется анализ ПО, который делится на статический (тексты программ) и динамический (процесс выполнения 96 алгоритмов). Для каждого уровня контроля определяется набор требований к различным аспектам контроля. Соответствие предъявляемым требованиям и определяет итоговый уровень контроля (если какое-то требование не выполняется, уровень контроля понижается). 1. Требования к документации (состав и содержание документации) Требования Уровень контроля 4 3 2 1 Спецификация (ГОСТ 19.202-78) + = = = Описание программы (ГОСТ 19.402-78) + = = = Описание применения (ГОСТ 19.502-78) + = = = Пояснительная записка (ГОСТ 19.404-79) - + = = Тексты программ, входящих в состав ПО (ГОСТ 19.401- 78) + = = = Обозначения: «-» – отсутствие требований; «+» – новые или дополнительные требования, «=» – требования совпадают с требованиями для предыдущего уровня контроля. 2. Требования к содержанию испытаний А. Контроль исходного состояния программного обеспечения (ПО) производится для всех уровней контроля. Б. Статический анализ исходных текстов программ Требования Уровень контроля 4 3 2 1 Контроль полноты и отсутствия избыточности исходных текстов + + + = Контроль соответствия исходных текстов ПО его объектному (загрузочному) коду + = = + Контроль связей функциональных объектов по управлению - + = = Контроль связей функциональных объектов по информации - + = = Контроль информационных объектов - + = = Контроль наличия заданных конструкций в исходных текстах - - + + Формирование перечня маршрутов выполнения функциональных объектов - + + = Анализ критических маршрутов выполнения функциональных объектов - - + = Анализ алгоритма работы функциональных объектов на основе - - + = 97 блок-схем, диаграмм и т.п., построенных по исходным текстам контролируемого ПО В. Динамический анализ исходных текстов программ Требования Уровень контроля 4 3 2 1 Контроль выполнения функциональных объектов - + + = Сопоставление фактических маршрутов выполнения функциональных объектов и маршрутов, построенных в процессе проведения статического анализа - + + = |