Законодательные аспекты защиты информации

Так как незнание закона не освобождает от ответственности за его нарушение, первая лекция посвящена именно юридическим вопросам защиты информации.

Кто, от кого или от чего, как и какую информацию должен защищать?

Кто – административные, технические, силовые, юридические и правоохранительные службы государства или негосударственных организаций в лице служб информационной безопасности разных уровней, соответствующих отделов милиции, государственных контролирующих органов и судов.

От кого – от иностранных или отечественных, частных или государственных, юридических или физических лиц, не имеющих права легального доступа к информации, но стремящихся овладеть такой информацией с целью нанесения ущерба ее владельцу либо для извлечения личной выгоды для себя. Интересно отметить тот факт, что довольно часто государство исключает себя из списка возможных злоумышленников, ставя свое любопытство к чужим секретам выше желания своих граждан сохранить эти секреты.

От чего – конкретное вредоносное действие нарушителя может быть направлено против одного из трех свойств информации.

• Доступности информации (информация и предоставляющие ее автоматизированные службы должны быть готовы к обслуживанию запроса к ним всегда, когда в этом возникнет необходимость);

• конфиденциальности информации (засекреченная информация должна быть доступна только тому, кому она предназначена)

• целостности информации (в любой момент времени информация должна быть достоверной и защищенной от возможных преднамеренных искажений или сбоев аппаратуры);

Как – путем создания надежных систем хранения самой информации, грамотного администрирования готовых систем, принятия охранно-режимных, следственно-оперативных и профилактических мер к нарушителям безопасности.

Какую прежде всего акцентируем тот факт, что всевозможные законодательные акты разных стран в сфере защиты информации направлены на защиту не всей информации без разбора, а только особой информации, которая помечается специальным грифом – грифом секретности или .знаком интеллектуальной собственности. С юридической точки зрения, признаком секретности конкретного документа может считаться не только соответствующий значок в верхнем правом углу документа, но также и само смысловое содержание документа. Грифы могут присваивать государственные чиновники компетентных ведомств либо патентные бюро.

По важности на Украине и в России информацию обычно относят к одному из 5 классов секретности.

Таблица 1.1

Гриф секретности информации

Срок действия грифа

Знак интеллектуальной собственности

не определен

Не для печати (НДП)

не определен

Для служебного пользования (ДСП) / Конфиденциальная (КФ)

не определен

Секретная (С)

5 лет

Совершенно секретная (СС)

10 лет

Особой важности (ОВ)

30 лет

Каждый класс (табл. 1.1.) предполагает, что важность среднестатистического документа (средняя стоимость, которую могут заплатить за него заинтересованные лица) возрастает на порядок по сравнению со стоимостью аналогичного документа из предыдущего класса. Наименьший гриф НДП обычно присваивается документам, содержащим информацию, стоимость которой эквивалентна одному дню работы квалифицированного сотрудника. В разных странах в разных организациях и фирмах в зависимости от профиля их работы и уровня бюрократизма, могут быть другие критерии оценок.

Для работы с электронными документами разной степени секретности должны использоваться компьютерные системы (КС) разного уровня безопасности. Однако так как само понятие "уровень безопасности" слишком неконкретно, и оно не может быть измерено в формальных единицах измерения, то для прояснения ситуации необходимо искусственно ввести шкалу оценок. Разные организации предлагают свои системы классификаций уровней безопасности КС. Однако общепризнанной на сегодняшний день является классификация национального комитета по компьютерной безопасности США (National Committee of Computer Security, NCSC). Из-за того, что она стала общепринятым мировым стандартом и лежит в основе всех других классификаций, приведем ее полностью ниже.

NCSC выделил четыре основных группы систем безопасности, которые в свою очередь подразделяются на классы безопасности:

Группа D. Системы без встроенных функций защиты или с минимальной защитой.

Класс D1. К данному классу относятся все системы, которые не удовлетворяют требованиям других классов.

Группа С. Системы данной группы должны обеспечивать произвольное управление доступом к ресурсам (не все процедуры протекают с использованием механизмов защиты, а существуют только островки безопасности в виде ресурсов, требующих предъявления прав доступа к ним и пользователей, обладающие таковыми правами). Системы группы С должны регистрировать действия субъектов, т.е. вести журнал аудита. Пользователи, имеющие права на доступ к определенным ресурсам, могут делегировать свои права другим пользователям по собственному усмотрению. Группа имеет две подгруппы:

Класс С1. Системы класса С1 удовлетворяют требованиям разделения пользователей и информации, включают в себя средства контроля и управления доступом, позволяющие задавать ограничения для индивидуальных пользователей. Системы класса С1 ориентированы на обеспечение работы в многопользовательских бесприоритетных вычислительных средах, где обрабатывается информация одного уровня секретности.

Класс С2. Системы данного класса осуществляют более тонкое управление доступом, чем системы класса С1. Такие системы должны обладать средствами индивидуального контроля за действиями пользователей, регистрацией, учетом событий и выделением ресурсов.

• Группа В. Главное требование к системам данной группы – мандатное управление доступом (абсолютно все компоненты системы: пользователи, процессы, ресурсы, потоки данных, интерфейсные средства перед совершением взаимодействий производят сверку "права доступа субъекта" с "приоритетностью объекта"). Работа в таких системах организована в соответствии с выбранной политикой безопасности – набором неизменных правил. Ядро защиты системы (ТСВ Trusted Computing Base), обеспечивающее функции безопасности, должно быть сертифицировано на корректность реализации этих функций.

Класс В1. Системы класса В1 должны полностью покрывать все требования из класса С2, а кроме того соответствовать определенной неформальной модели безопасности. Экспортируемая из системы информация должна подвергаться маркировке.

Класс В2. Системы класса В2 должны поддерживать формально определенную и четко документированную модель безопасности, предусматривающую, кроме нормативного управления доступом, еще и возможность наложения дополнительных ограничений на права доступа. Такое управление распространяется, в отличие от класса В1, на все компоненты системы. Кроме того, должен осуществляться контроль скрытых каналов утечки информации. В структуре ядра безопасности должны быть выделены компоненты, критичные с точки зрения безопасности. Интерфейс ядра должен быть четко определен, а его архитектура и реализация должны быть выполнены с учетом возможности проведения тестовых испытаний. По сравнению с классом ЕМ должны быть усилены средства аутентификации. Должны быть предусмотрены средства управления конфигурацией.

Класс ВЗ. Для соответствия этому классу ядро безопасности системы должно поддерживать монитор взаимодействий, который контролирует все типы доступа субъектов к объектам, и который невозможно обойти. Кроме того, ядро системы должно быть модульно структурировано с целью исключения из него подсистем, не отвечающих за реализацию функций защиты, и быть достаточно компактным для эффективного тестирования и анализа. В ходе разработки и реализации ядра защиты должны применяться методы и средства, направленные на минимизацию его сложности. В средства аудита должны быть включены механизмы оповещения администратора при возникновении событий, которые могут повлиять на безопасность системы. На случай системных сбоев программного обеспечения или повреждения данных требуется наличие функций автоматического восстановления.

Группа А. Данная группа характеризуется применением формальных методов верификации корректности роботы механизмов управления доступом (произвольного и нормативного). В них требуется дополнительная документация, демонстрирующая, что архитектура и реализация ядра безопасности отвечают требованиям безопасности.

Класс А1. По своим функциональным возможностям системы класса А1 не отличаются от систем класса ВЗ. Отличия заключаются только в применении дополнительных методов повышения уверенности в том, что функции безопасности реализованы корректно. Так, для систем класса А1 необходимо иметь документацию даже на исходный код компилятора, с помощью которого будет создано ядро защиты, а так же на все аппаратные компоненты создаваемой системы.

Дополнительные условия налагаются на процесс создания инсталляционной копии системы и на процесс инсталляции.

Кроме американской классификации защищенных систем на сегодняшний день существуют также канадская, японская, французская и российская классификации. В национальном стандарте Украины предложены две основные группы безопасности КС – ИД (произвольный доступ) и МД (мандатный доступ), в каждой из которых выделены два класса – ИД1, ИД2 и МД1, МД2, соответствующие классам С1, С2 и В1, В2.

Вы можете следить за любыми ответами на эту запись через RSS 2.0 ленту. Вы можете оставить ответ, или trackback с вашего собственного сайта.

Оставьте отзыв

XHTML: Вы можете использовать следующие теги: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

 
Rambler's Top100