Лекция 13. Оценка уровня безопасности информационных систем

Цель: использование нормативно-правовых документов при оценке уровня безопасности информационных систем

План:

1. Три основные составляющие норамтивной базы систем правового регулирования

2. Оранжевая книга

3. Классификация автоматизированных систем и требования по защите информации

4. Положение об обеспечение безопасности персональных данных

Выделим три основные составляющие нормативной базы системы правового регулирования информационной безопасности:

• правовые нормы обеспечения безопасности прав и свобод граждан, реализуемых в информационной сфере;

• правовые нормы обеспечения безопасности интересов Российской Федерации в области развития российской инфраструктуры и эффективного использования отечественных информационных ресурсов;

• правовые нормы обеспечения безопасности информационных и телекоммуникационных систем и информационных ресурсов.

Исторически первым оценочным стандартом, получившим широкое распространение и оказавшим огромное влияние на базу стандартизации ИБ во многих странах, стал стандарт Министерства обороны США "Критерии оценки доверенных компьютерных систем".

Данный труд, называемый чаще всего по цвету обложки "Оранжевой книгой", был впервые опубликован в августе 1983 года.

«Оранжевая книга» предусматривает четыре группы критериев¹, которые соответствуют различной степени защищенности: от минимальной (группаD) до формаль­но доказанной (группа А). Каждая группа включает один или несколько классов. Группы D и А содержат по одному классу (классы D1 и А1 соответственно), группа С — классы Cl, C2, а группа В — Bl, B2, ВЗ, характери­зующиеся различными наборами требований безопасно­сти. Уровень безопасности возрастает при движении от группы D к группе А, а внутри группы — с возрастанием номера класса.

Приведенные классы безопасности надолго опреде­лили основные концепции безопасности и ход развития средств защиты.

Аналогичный подход реализован и в руководящем документе Госу­дарственной технической комиссией при Президенте РФ «Классифика­ция автоматизированных систем и требований по защите информации», выпущенном в 1992 г². Требования документаобязательны для исполнения только для тех государственных либо ком­мерческих организаций, которые обрабатывают информацию, содержа­щую государственную тайну. Для остальных коммерческих структур документы носят рекомендательный характер. В данном документе вы­делено 9 классов защищенности автоматизированных систем от несанк­ционированного доступа к информации, а для каждого класса определен минимальный состав необходимых механизмов защиты и требования к содержанию защитных функций каждого из механизмов в каждом из классов систем.

Классы систем разделены на три группы, причем основным критери­ем деления на группы приняты специфические особенности обработки информации, а именно:

• третья группа - системы, в которых работает один пользователь, допущенный ко всей обрабатываемой информации, размещенной на носи­телях одного уровня конфиденциальности; к группе отнесены два класса, обозначенные ЗБ и ЗА;

• вторая группа - системы, в которых работает несколько пользовате­лей, которые имеют одинаковые права доступа ко всей информации, обрабатываемой и/или хранимой на носителях различного уровня конфи­денциальности; к группе отнесены два класса, обозначенные 2Б и 2А;

• первая группа - многопользовательские системы, в которых одно­временно обрабатывается и/или хранится информация разных уровней конфиденциальности, причем различные пользователи имеют разные права на доступ к информации; к группе отнесено 5 классов: 1Д, 1Г, 1В, 1Б и 1А.

Требования к защите растут от систем класса ЗБ к классу 1 А.

Все механизмы защиты разделены на 4 подсистемы следующего на­значения:

• управления доступом;

• регистрации и учета;

• криптографического закрытия;

• обеспечения целостности.

Состав перечисленных подсистем приведен в Приложении 1.

Наличие рассмотренных методик и закрепление их в официальных документах создает достаточно надежную базу для защиты информации на регулярной основе.

По данным 2009 года соотношение количества действующих международных и национальных стандартов в области ИТ и ИБ составило³:

• международные стандарты по ИБ (~170);

• национальные стандарты по ИТ (~200);

• международные стандарты по ИТ (~1300);

• национальные стандарты по ИБ (~40).

В целях осуществления мероприятий по технической защите информационных систем и защиты персональных данных в соответствии с Федеральным законом от 27 июля 2006г. №152-ФЗ «О персональных данных», постановлением Правительства РФ от 17 ноября 2007г. №781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработки в информационных системах персональных данных»

. Класс системы определяется в соответствии с таблицей⁴:

Хпд Хнпд	1	2	3
Категория 4	К4	К4	К4
Категория 3	К3	К3	К2
Категория 2	К3	К2	К1
Категория 1	К1	К1	К1

Х_пд (категория обрабатываемых в информационной системе персональных данных):

• категория1 - персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;

• категория 2 - персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1;

• категория 3 - персональные данные, позволяющие идентифицировать субъекта персональных данных;

• категория 4 - обезличенные и (или) общедоступные персональные данные.

Х_нпд (объем обрабатываемых персональных данных):

- в информационной системе одновременно обрабатываются персональные данные более чем 100 000 субъектов персональных данных или персональные данные субъектов персональных данных в пределах субъекта Российской Федерации или Российской Федерации в целом;

- в информационной системе одновременно обрабатываются персональные данные от 1000 до 100 000 субъектов персональных данных или персональные данные субъектов персональных данных, работающих в отрасли экономики Российской Федерации, в органе государственной власти, проживающих в пределах муниципального образования;

- в информационной системе одновременно обрабатываются данные менее чем 1000 субъектов персональных данных или персональные данные субъектов персональных данных в пределах конкретной организации.

По результатам анализа исходных данных типовой информационной системе присваивался один из следующих классов:

• класс 1 (К1) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов персональных данных;

• класс 2 (К2) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к негативным последствиям для субъектов персональных данных;

• класс 3 (КЗ) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов персональных данных;

• класс 4 (К4) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, не приводит к негативным последствиям для субъектов персональных данных.

Контрольные вопросы:

1. Три основные составляющие норамтивной базы систем правового регулирования

2. Оранжевая книга

3. Классификация автоматизированных систем и требования по защите информации

4. Положение об обеспечение безопасности персональных данных