Информационная безопасностьинформационных систем

Сравнительный анализ стандартов информационной безопасности. Опыт эксплуатации существующих компьютерных систем об­работки информации показывает, что проблема обеспечения без­опасности еще далека от своего решения, а предлагаемые произ­водителями различных систем средства защиты сильно различа­ются как по решаемым задачам и используемым методам, так и по достигнутым результатам. Это определяет актуальность пробле­мы построения защищенных систем обработки информации, ре­шение которой следует начать с анализа причин сложившейся ситуации. Проблема защиты машинной информации на современном уровне развития информатизации общества столь важна и много­гранна, что заслуживает более подробного рассмотрения, чем другие аспекты автоматизации профессиональной деятельности. Для того чтобы объединить усилия всех специалистов в направ­лении конструктивной работы над созданием защищенных систем, необходимо определить, что является целью исследований, что мы хотим получить в результате и чего в состоянии достичь. Для ответа на эти вопросы и согласования всех точек зрения на пробле­му создания защищенных систем разработаны и продолжают раз­рабатываться стандарты информационной безопасности. Это доку­менты, регламентирующие основные понятия и концепции ин­формационной безопасности на государственном или межгосудар­ственном уровне, определяющие понятие «защищенная система» посредством стандартизации требований и критериев безопаснос­ти, образующих шкалу оценки степени защищенности вычисли­тельных систем (ВС). В соответствии с этими документами защи­щенная система обработки информации представляет собой систе­му, отвечающую тому или иному стандарту информационной без­опасности. Этот факт позволяет сопоставлять степени защищенно­сти различных систем относительно установленного стандарта.

Основные понятия и определения.

Политика безопасности — совокупность норм и правил, обеспечивающих эффективную защиту системы обработки информации от заданного множества угроз.

Модель безопасности — формальное представление политики безопасности.

Дискреционное, или произвольное, управление доступом — управ­ление доступом, основанное на совокупности правил предостав­ления доступа, определенных на множестве атрибутов безопасно­сти субъектов и объектов, например, в зависимости от грифа сек­ретности информации и уровня допуска пользователя.

Ядро безопасности — совокупность аппаратных, программных и специальных компонентов ВС, реализующих функции защиты и обеспечения безопасности.

Идентификация — процесс распознавания сущностей путем присвоения им уникальных меток (идентификаторов).

Аутентификация — проверка подлинности идентификаторов сущностей с помощью различных (преимущественно криптогра­фических) методов.

Адекватность — показатель реально обеспечиваемого уровня безопасности, отражающий степень эффективности и надежно­сти реализованных средств защиты и их соответствия поставлен­ным задачам (в большинстве случаев это задача реализации поли­тики безопасности).

Таксономия — наука о систематизации и классификации слож-ноорганизованных объектов и явлений, имеющих иерархическое строение. Таксономия основана на декомпозиции явлений и по­этапном уточнении свойств объектов (иерархия строится сверху вниз).

Прямое взаимодействие — принцип организации информаци­онного взаимодействия (как правило, между пользователем и си­стемой), гарантирующий, что передаваемая информация не под­вергается перехвату или искажению. Защищенная система обработки информации для определен­ных условий эксплуатации обеспечивает безопасность (доступ­ность, конфиденциальность и целостность) обрабатываемой ин­формации и поддерживает свою работоспособность в условиях воздействия на нее заданного множества угроз. Под защищенной системой обработки информации предлага­ется понимать систему, которая соответствует требованиям и критериям стандартов информа­ционной безопасности.

Отсюда вытекают следующие задачи, которые необходимо и достаточно решить, для того чтобы создать защищенную систему обработки информации, а именно:

. в ходе автоматизации процесса обработки конфиденциальной информации реализовать все аспекты этого процесса, связанные с обеспечением безопасности обрабатываемой информации;

. обеспечить противодействие угрозам безопасности, действу­ющим в среде эксплуатации защищенной системы;

· реализовать необходимые требования соответствующих стан­дартов информационной безопасности.