Руководящие документы Гостехкомиссии

В 1992 г. Гостехкомиссия при Президенте Российской Федерации опубликовала пять руководящих документов, посвященных вопросам защиты компьютерных систем, важнейшие из них: «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» и «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации».

В первом документе рассматриваются требования к обеспечению защищенности отдельных программно-аппаратных элементов защищенных компьютерных систем. Под средствами вычислительной техники понимаются не только аппаратные средства, но и «совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем». Установлено семь классов защищенности средств вычислительной техники. Самые низкие требования предъявляются к классу 7, самые высокие - к классу 1. Требования этих классов в основном соответствуют аналогичным требованиям «Оранжевой книги», при этом класс 7 соответствует классу D₁ "Оранжевой книги", класс 6 - классу С₁, ..., класс 1 - классу А₁. Из наиболее существенных отличий следует отметить следующие:

• начиная с класса 5 вводятся требования, связанные с поддержанием целостности комплекса средств защиты защищаемой системы, причем требования усиливаются в классах 4 и 3;

• в классе 5 требования к процедурам идентификации и аутентификации пользователей несколько менее сильны, чем в соответствующем ему классе C₂ "Оранжевой книги";

• начиная с класса 4 требования к запрету повторного использования удаленной информации несколько более сильны, чем в «Оранжевой книге».

Второй документ, касающийся автоматизированных систем, вводит стандарты защищенности не отдельных программно-аппаратных средств защиты, а всей защищаемой компьютерной системы в целом. Система стандартов этого документа более существенно отличается от аналогичной системы стандартов «Оранжевой книги». Все автоматизированные системы разделяются на три группы, в каждой из которых вводится своя иерархия классов защиты. Всего вводится девять классов защиты, требования которых в применении к операционным системам излагаются ниже (очень упрощенно).

ГРУППА 3. Однопользовательские системы.

Класс 3Б. Проверка подлинности пользователя при входе в систему. Регистрация входа и выхода пользователей из системы. Учет используемых внешних носителей информации.

Класс 3А. Выполняются все требования класса 3Б. Регистрация распечатки документов. Физическая очистка очищаемых областей оперативной и внешней памяти.

ГРУППА 2. Многопользовательские системы, в которых пользователи имеют одинаковые полномочия доступа ко всей информации.

Класс 2Б. Проверка подлинности пользователя при входе в систему. Регистрация входа и выхода пользователей из системы. Учет используемых внешних носителей информации.

Класс 2А. Выполняются все требования класса 2Б. Избирательное разграничение доступа. Регистрация событий, потенциально опасных для поддержания защищенности системы. Физическая очистка очищаемых областей оперативной и внешней памяти. Наличие подсистемы шифрования конфиденциальной информации, использующей сертифицированные алгоритмы.

ГРУППА 1. Многопользовательские системы, в которых пользователи имеют различные полномочия доступа к информации.

Класс 1Д. Проверка подлинности пользователя при входе в систему. Регистрация входа и выхода пользователей из системы. Учет используемых внешних носителей информации.

Класс 1Г. Выполняются все требования класса 1Д. Избирательное разграничение доступа. Регистрация событий, потенциально опасных для поддержания защищенности системы. Физическая очистка очищаемых областей оперативной и внешней памяти.

Класс 1В. Выполняются все требования класса 1Г. Полномочное разграничение доступа. Усилены требования к подсистеме регистрации событий, потенциально опасных для поддержания защищенности системы. Интерактивное оповещение администраторов системы о попытках несанкционированного доступа.

Класс 1Б. Выполняются все требования класса 1В. Наличие подсистемы шифрования конфиденциальной информации, использующей сертифицированные алгоритмы.

Класс 1А. Выполняются все требования класса 1Б. Различные субъекты доступа имеют различные ключи, используемые для шифрования конфиденциальной информации.

Нетрудно видеть, что требования к защищенности систем классов ЗБ, 2Б и 1Д (минимальная защита в каждой группе) совпадают и представ- ляют собой несколько усиленную версию класса С₁ «Оранжевой книги» (и соответствующего ему класса 6 для средств вычислительной техники). Требования класса 1Г в основном совпадают с требованиями класса С₂ «Оранжевой книги», а класс 1В из рассматриваемого документа очень по- хож на класс В₁ «Оранжевой книги». Таким образом, отличия требований Гостехкомиссии от требований «Оранжевой книги» в наиболее распространенном диапазоне защищенности операционных систем (С₂ – В₁ по «Оранжевой книге» и 1Г – 1В по документам Гостехкомиссии) незначительны.