Nметодичні вказівки по розробці технічного завдання на створення комплексної системи захисту інформації в автоматизованій системі (НД тзі 3. 7-001-99)

NТипове положення про службу захисту інформації в автоматизованій системі (НД ТЗІ 1.4-001-2000)

NТехнічний захист інформації. Комп'ютерні системи. Порядок створення, впровадження, супроводження і модернізації засобів технічного захисту інформації від несанкціонованого доступу. (НД ТЗІ 3.6-001-2000)

nВимоги із захисту конфіденційної інформації від несанкціонованого доступу під час оброблення в автоматизованих системах класу 2
(НД ТЗІ 2.5-008-02)

NВимоги до захисту інформації WEB–сторінки від несанкціонованого доступу (НД ТЗІ 2.5-010-03)

nПорядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі
(НД ТЗІ 3.7-003-05)

nМетодичні вказівки з оцінювання функціональних послуг безпеки в засобах захисту інформації від несанкціонованого доступу
(НД ТЗІ 2.7-009-09)

NМетодичні вказівки з оцінювання рівня гарантій коректності реалізації функціональних послуг безпеки в засобах захисту інформації від несанкціонованого доступу (НД ТЗІ 2.7-010-09)

Термінологія в галузі захисту інформації в КС від НСД

Термінологія в галузі захисту інформації в КС від НСД

NДовірче керування доступом

¨користувачам дозволено керувати доступом до об’єктів свого домену (наприклад, на підставі права володіння об’єктами)

NАдміністративне керування доступом

¨керувати доступом до об’єктів дозволено лише спеціально уповноваженим користувачам (адміністраторам)

Критерії оцінки захищеності інформації в КС від НСД

NКритерії конфіденційності

NКритерії цілісності

NКритерії доступності

NКритерії спостережності

NКритерії гарантій

Концепція функціонального профілю в НД ТЗІ

NПослуга (сервіс) безпеки

¨Сукупність функцій, що забезпечують захист від певної загрози або від множини загроз

¨Для кожної послуги запропонована окрема шкала оцінок, яка визначає рівень реалізації цієї послуги

NФункціональний профіль

¨Перелік рівнів функціональних послуг, які реалізуються комп’ютерною системою

¨Функціональний профіль оформлюється певним чином

Nзокрема, специфіковано порядок, у якому повинні бути названі послуги

Критерії конфіденційності

nДовірча конфіденційність (КД-1…4)

¨дозволяє користувачу керувати потоками інформації від захищених об'єктів, що належать його домену, до інших користувачів

nАдміністративна конфіденційність (КА-1…4)

¨дозволяє адміністратору або спеціально авторизованому користувачу керувати потоками інформації від захищених об'єктів до користувачів

NПовторне використання об'єктів (КО-1)

¨дозволяє забезпечити коректність повторного використання розділюваних об'єктів, тобто таких, які почергово виділяються різним користувачам та/або процесам

¨гарантує, що коли розділюваний об'єкт виділяється новому користувачу або процесу, він не містить інформації, яка залишилась від попереднього користувача або процесу

nАналіз прихованих каналів (КК-1…3)

¨забезпечує виявлення і усунення потоків інформації, які існують, але не контролюються іншими послугами

nКонфіденційність при обміні (КВ-1…4)

¨забезпечує захист об'єктів від несанкціонованого ознайомлення з інформацією, яку вони містять, під час їх передавання через незахищене середовище

Критерії цілісності

nДовірча цілісність (ЦД-1…4)

¨дозволяє користувачу керувати потоками інформації від інших користувачів до захищених об'єктів, що належать його домену

nАдміністративна цілісність (ЦА-1…4)

¨дозволяє адміністратору або спеціально авторизованому користувачу керувати потоками інформації від користувачів до захищених об'єктів

nВідкат (ЦО-1...2)

¨забезпечує можливість відмінити операцію або послідовність операцій і повернути (відкотити) захищений об'єкт до попереднього стану

nЦілісність при обміні (ЦВ-1…3)

¨забезпечує захист об'єктів від несанкціонованої модифікації інформації, яку вони містять, під час їх передавання через незахищене середовище

Критерії доступності

nВикористання ресурсів (ДР-1…3)

¨забезпечує керування використанням користувачами послуг і ресурсів

nСтійкість до відмов (ДС-1…3)

¨гарантує доступність КС (можливість використання інформації, окремих функцій або КС в цілому) після відмови її компонента

nГаряча заміна (ДЗ-1…3)

¨дозволяє гарантувати доступність КС (можливість використання інформації, окремих функцій або КС в цілому) в процесі заміни окремих компонентів

nВідновлення після збоїв (ДВ-1…3)

¨забезпечує повернення КС у відомий захищений стан після відмови або переривання обслуговування

Критерії спостережності

nРеєстрація (НР-1…5)

¨дозволяє контролювати небезпечні для КС дії шляхом реєстрації і аналізу подій, що мають відношення до безпеки

nІдентифікація й автентифікація (НИ-1…3)

¨дозволяє КЗЗ визначити і перевірити особистість користувача, що намагається одержати доступ до КС

nДостовірний канал (НК-1…2)

¨дозволяє гарантувати користувачу можливість безпосередньої взаємодії з КЗЗ

nРозподіл обов'язків (НО-1…3)

¨дозволяє зменшити потенційні збитки від навмисних або помилкових дій користувача і обмежити авторитарність керування

nЦілісність комплексу засобів захисту (НЦ-1…3)

¨визначає міру здатності КЗЗ захищати себе і гарантувати свою спроможність керувати захищеними об'єктами

nСамотестування (НТ-1…3)

¨дозволяє КЗЗ перевірити і на підставі цього гарантувати правильність функціонування і цілісність певної множини функцій КС

nІдентифікація й автентифікація при обміні (НВ-1…3)

¨дозволяє одному КЗЗ ідентифікувати інший КЗЗ (встановити і перевірити його ідентичність) і забезпечити іншому КЗЗ можливість ідентифікувати перший, перш ніж почати взаємодію

nАвтентифікація відправника (НА-1…2)

¨дозволяє забезпечити захист від відмови від авторства і однозначно встановити належність певного об'єкта певному користувачу, тобто той факт, що об'єкт був створений або відправлений даним користувачем

nАвтентифікація одержувача (НП-1…2)

¨дозволяє забезпечити захист від відмови від одержання і дозволяє однозначно встановити факт одержання певного об'єкта певним користувачем

Критерії гарантій

NАрхітектура

nСередовище розроблення:

¨процес розроблення

¨керування конфігурацією

nПослідовність розроблення:

¨функціональні специфікації (політика безпеки)

¨функціональні специфікації (модель політики безпеки)

¨проект архітектури

¨детальний проект

¨реалізація

NСередовище функціонування

NДокументація