АЗЕРБАЙДЖАНСКИЙ

ГОСУДАРСТВЕННЫЙ
ЭКОНОМИЧЕСКИЙ УНИВЕРСИТЕТ
UNEC
UNEC Факультет: Цифровая экономика
Кафедра «Цифровые технологии и
прикладная информатика»

ПРЕДМЕТ: ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ

Лекция № 3:
Законодательно-правовой уровень защиты
информации.
 Учебно-материальное обеспечение
Литература для самостоятельной работы:
1. Галатенко В.А. Основы информационной безопасности.
М.:ИНТУИТ.РУ. – 2003. с.15-26.
2. Завгородний В.И. Комплексная защита информации в
компьютерных системах. М.: «Логос» – 2001. с. 8-16
3. Малюк А.А., Пазизин С.В., Погожин Н.С. Введение в защиту
информации в автоматизированных системах. М.: «Горячая Линия
– Телеком» – 2001. с. 5-14.
4. Симонович С.В. Информатика базовый курс: Учебник для вузов. 3-
е изд. Стандарт 3-го поколения.-Спб.: Питер, 2012, гл. 3.
5. Сычев Ю.Н. Основы информационной безопасности. Учебно-
практическое пособие. – М.: Изд. центр ЕАОИ, 2007. – гл.1.
6. Нестеров С.А. Информационная безопасность и защита
информации. Санкт-Петербург. Издательство Политехни-
ческого университета 2009. с. 6 - 31
Наглядные пособия: слайды по теме занятия.
 UNEC
ПЛАН ЛЕКЦИИ
Введение
3.1. Национальные интересы Азербайджана в информационной сфере и их
обеспечение
3.2.Обзор зарубежного законодательства в области информационной
безопасности
3.3 Стандарты и спецификации в области информационной безопасности
3.3.1. Оценочные стандарты и технические спецификации. "Оранжевая
книга" как оценочный стандарт
[Link].Основные понятия
[Link]. Механизмы безопасности
[Link]. Классы безопасности
3.4. Интерпретация "Оранжевой книги" для сетевых
конфигураций
Меры законодательного уровня
информационной безопасности
 Меры законодательного уровня информационной
безопасности
 В деле обеспечения информационной безопасности успех может принести только
комплексный подход. Мы уже указывали, что для защиты интересов субъектов
информационных отношений необходимо сочетать меры следующих уровней:
 законодательного;
 административного (приказы и другие действия руководства организаций,
связанных с защищаемыми информационными системами);
 процедурного (меры безопасности, ориентированные на людей);
 программно-технического.

 Законодательный уровень является важнейшим для

обеспечения информационной безопасности.
Большинство людей не совершают противоправных
действий не потому, что это технически невозможно, а
потому, что это осуждается и/или наказывается
обществом, потому что так поступать не принято.
 Меры законодательного уровня информационной
безопасности
 Мы будем различать на законодательном уровне две группы мер:
 меры, направленные на создание и поддержание в обществе негативного (в том числе с
применением наказаний) отношения к нарушениям и нарушителям информационной
безопасности (назовем их мерами ограничительной направленности);
 направляющие и координирующие меры, способствующие повышению образованности
общества в области информационной безопасности, помогающие в разработке и распрос-
транении средств обеспечения информационной безопасности (меры созидательной
направленности).
 На практике обе группы мер важны в равной степени, но нам хотелось бы выделить аспект
осознанного соблюдения норм и правил ИБ. Это важно для всех субъектов информацион-
ных отношений, поскольку рассчитывать только на защиту силами правоохранительных
органов было бы наивно. Необходимо это и тем, в чьи обязанности входит наказывать
нарушителей, поскольку обеспечить доказательность при расследовании и судебном
разбирательстве компьютерных преступлений без специальной подготовки невозможно.
 Самое важное (и, вероятно, самое трудное) на законодательном уровне - создать механизм,
позволяющий согласовать процесс разработки законов с реалиями и прогрессом информа-
ционных технологий. Законы не могут опережать жизнь, но важно, чтобы отставание не
было слишком большим, так как на практике, помимо прочих отрицательных моментов, это
ведет к снижению информационной безопасности.
 3.1. Национальные интересы Азербайджана
в информационной сфере и их обеспечение
 Современный этап развития общества характеризуется возрастающей ролью
информационной сферы. Информационная сфера активно влияет на состояние
политической, экономической, оборонной и других составляющих безопасности
Азербайджанской Республики. Национальная безопасность Азербайджана
существенным образом зависит от обеспечения информационной безопасности.
 Под информационной безопасностью Азербайджана понимается состояние
защищенности его национальных интересов в информационной сфере,
определяющихся совокупностью сбалансированных интересов личности, общества и
государства.
 Интересы личности в информационной сфере заключаются в реализации
конституционных прав человека и гражданина на доступ к информации, на
использование информации в интересах осуществления не запрещенной законом
деятельности, физического, духовного и интеллектуального развития, а также в защите
информации, обеспечивающей личную безопасность.
 Национальные интересы Азербайджана в информационной сфере защищаются
Конституцией Азербайджанской Республики, законом Азербайджанской Республики
"Об информации, информатизации и защите информации", принятым 3 апреля 1998 г.,
законом "О государственной тайне", и т.д.
 Правовые акты общего назначения
 Основной закон Азербайджанской Республики – Конституция. Статьи Конституции
закрепляют ряд прав граждан на защиту и получение информации:
 Ст. 24 – устанавливает право граждан на ознакомление с документами и
нормативными актами, затрагивающими права и свободы;
 Ст. 41 – гарантирует право на знание фактов и обстоятельств, создающих угрозу для
жизни и здоровья граждан,
 ст. 42 – право на получение информации о состоянии окружающей среды
 Ст. 23 – гарантирует право на личную и семейную тайну
 Ст. 29 – право искать, получать, производить и распространять информацию любым
законным способом
 Закон "Об информации, информатизации и защите информации", (принят 3 апреля 1998
г.) является одним из основополагающих законов в области информационной
безопасности.
 В законе юридически определены важные понятия, такие как информация,
документированная информация, информационная система, конфиденциальная
информация, пользователь информации и т.д.
 Закон «Об информации, информатизации и
защите информации»
В законе определены задачи защиты информации (прежде всего конфиденциальности
данных):
 «Защите подлежит любая документированная информация, неправомерное обращение
с которой может нанести ущерб ее собственнику, владельцу, пользователю или иному
лицу»
 В качестве мер по обеспечению защиты информации в законе устанавливаются:
 лицензирование организаций, занимающихся проектированием, производством
средств защиты информации;
 сертификация продуктов и услуг в области защиты информации.
 В законе выделены следующие цели защиты информации:
 Предотвращение утечки, хищения, утраты, искажения информации.
 Предотвращения угроз безопасности личности, общества, государства.
 Предотвращение других форм незаконного вмешательства в информационные
ресурсы и системы, обеспечение правового режима документированной информации
 Защита конституционных прав граждан на сохранение личной тайны и конфиденци-
альности персональных данных
 Сохранение государственной тайны, конфиденциальности документированной
информации в соответствии с законодательством
 Обеспечение прав субъектов в информационных процессах и при разработке,
производстве и применении информационных систем
 Закон «Об информации, информатизации и
защите информации»
Организация защиты информации
 Защите подлежит любая документированная информация, неправомерное обращение с
которой может нанести ущерб ее собственнику, владельцу, пользователю и иному лицу.
 Режим защиты информации в зависимости от категории ее секретности и вида допуска
к ней устанавливается законом Азербайджанской Республики "О государственной
тайне", настоящим Законом, иными нормативно-правовыми актами, а также
собственником информации.
Защита прав субъектов в сфере информатизации
 Пользователь информации несет ответственность за
соблюдение прав собственника или владельца
информации.
 Физические и юридические лица, которые порчей или
изменением информации наносят ущерб его владельцу,
за свои действия несут ответственность в соответствии
с законодательством Азербайджанской Республики.
 Закон Азербайджанской Республики 15 марта 2016
года №176-VQ «О лицензиях и разрешениях»
 Законодательство Азербайджанской Республики о лицензиях и разрешениях состоит из
Конституции Азербайджанской Республики, Закона Азербайджанской Республики "О
предпринимательской деятельности", настоящего Закона, Закона Азербайджанской
Республики "Об административном производстве" и других законодательных актов
Азербайджанской Республики.
 Система лицензий и разрешений - совокупность процедур, связанных с
установлением перечня разрешений и видов деятельности, на осуществление которых
требуется лицензия, выдачей лицензии (разрешения), ее дубликата и дополнения,
переоформлением, приостановлением, восстановлением и аннулированием лицензии
(разрешения), контролем за соблюдением ее условий;
 Настоящий Закон регулирует критерии определения разрешений и видов деятельности,
на осуществление которых требуется лицензия, в связи с осуществлением
предпринимательской деятельности в Азербайджанской Республике (за исключением
области финансовых рынков), их список, принципы государственного регулирования
системы лицензий и разрешений, правила выдачи лицензии (разрешения), ее дубликата
и дополнения, переоформления, приостановления, восстановления и отмены лицензии
(разрешения), ответственность органов, выдающих лицензию и разрешение, их
должностных лиц и владельцев лицензии (разрешения).
 Закон Азербайджанской Республики от 9 марта 2004
года №602-IIГ“Об электронной подписи и
электронном документе”
 Закон “Об электронной подписи и электронном документе” обеспечивает правовые
условия использования электронной цифровой подписи в электронных документах.
Действие данного закона распространяется на отношения, возникающие при
совершении гражданско-правовых сделок.
 ЭЦП равнозначна собственноручной подписи при соблюдении следующих условий:
 Сертификат подписи, относящийся к ЭЦП, не утратил силы на момент подписания
документа;
 Подтверждена подлинность ЭЦП в электронном документе;
 ЭЦП используется в соответствии со сведениями, указанными в сертификате ключа
подписи.
Использование электронной подписи и электронного документа
 За исключением случаев, предусмотренных законодательством Азербайджанской
Республики, электронная подпись и электронный документ могут использоваться во
всех областях деятельности, в которых применены соответствующие средства.
Посредством электронного документа можно вести официальную и неофициальную
переписку, обмен информации и документов, рождающих юридическую
ответственность и обязательства.
 Законодательный уровень применения
цифровой подписи
Юридическая сила электронной подписи и электронного документа
 За исключением случаев, предусмотренных законодательством Азербайджанской
Республики, действующая и имеющая усовершенствованный сертификат усиленная
электронная подпись, созданная сертифицированными средствами подписи, обладает
такой же юридической силой, как и ручная подпись.
 Электронный документ – представленный в электронной форме документ, утвер-
жденный электронной подписью предназначенный для использования в информаци-
онной системе;
 электронная цифровая подпись - реквизит электронного документа, предназначен-
ный для защиты данного электронного документа от подделки, полученный в резуль-
тате криптографического преобразования информации с использованием закрытого
ключа электронной цифровой подписи и позволяющий идентифицировать владельца
сертификата ключа подписи, а также установить отсутствие искажения информации в
электронном документе;
 владелец сертификата ключа подписи - физическое лицо, на имя которого удосто-
веряющим центром выдан сертификат ключа подписи и которое владеет соответству-
ющим закрытым ключом электронной цифровой подписи, позволяющим с помощью
средств электронной цифровой подписи создавать свою электронную цифровую
подпись в электронных документах (подписывать электронные документы);
 Основные понятия закона об ЭЦП
 сертификат средств электронной цифровой подписи – документ на бумажном
носителе, выданный в соответствии с правилами сертификации;
 закрытый ключ электронной цифровой подписи – уникальная последовательность
символов, известная владельцу сертификата ключа подписи;
 сертификат ключа подписи - документ на бумажном носителе или в электронном
виде, включающие открытый ключ ЭЦП;
 подтверждение подлинности электронной цифровой подписи в электронном
документе – положительный результат проверки;
 пользователь сертификата ключа подписи - физическое лицо, использующее
полученные в удостоверяющем центре сведения о сертификате ключа подписи для
проверки принадлежности электронной цифровой подписи владельцу сертификата
ключа подписи;
 информационная система общего пользования – ИС, доступная для использования
всем физическим и юридическим лицам;
 корпоративная информационная система – ИС, пользователями которой может быть
ограниченный круг лиц.
 Сертификат ключа электронной
цифровой подписи
 По закону сертификат ключа подписи включает в себя:
 Уникальный регистрационный номер сертификата ключа подписи, даты начала и
окончания действия сертификата ключа подписи, находящегося в реестре
удостоверяющего центра;
 Фамилия, имя и отчество владельца сертификата ключа подписи или псевдоним
владельца;
 Открытый ключ ЭЦП;
 Наименование средств ЭЦП, с которыми используется данный открытый ключ ЭЦП;
 Наименование и местонахождение удостоверяющего центра, выдавшего сертификат
ключа подписи;
 Сведения об отношениях, при осуществлении которых электронный документ с
электронной цифровой подписью будет иметь юридическое значение.
 В законе определены условия равнозначности ЭЦП в электронных документах
собственноручной подписи на бумажном носителе, содержание сертификата ЭЦП,
сроки и порядок хранения сертификатов.
 Закон определяет задачи и функции удостоверяющих центров, требования к их
функционированию.
 В законе определены особенности использования ЭЦП в сфере государственного
управления, в корпоративных информационных системах.
 3.2.Обзор зарубежного
законодательства в области
информационной
безопасности
 Обзор зарубежного законодательства в области
информационной безопасности
 Ключевую роль играет американский "Закон об информационной безопасности"
(Computer Security Act of 1987, Public Law 100-235 (H.R. 145), January 8, 1988). Его
цель - реализация минимально достаточных действий по обеспечению безопасности
информации в федеральных компьютерных системах, без ограничений всего спектра
возможных действий.
 Характерно, что уже в начале Закона называется конкретный исполнитель – Нацио-
нальный институт стандартов и технологий – НИСТ (NIST), отвечающий за выпуск
стандартов и руководств, направленных на защиту от уничтожения и несанкциони-
рованного доступа к информации, а также от краж и подлогов, выполняемых с
помощью компьютеров. Таким образом, имеется в виду как регламентация действий
специалистов, так и повышение информированности всего общества.
 Согласно Закону, все операторы федеральных ИС, содержащих конфиденциальную
информацию, должны сформировать планы обеспечения ИБ. Обязательным является и
периодическое обучение всего персонала таких ИС. НИСТ, в свою очередь, обязан
проводить исследования природы и масштаба уязвимых мест, вырабатывать
экономически оправданные меры защиты. Результаты исследований рассчитаны на
применение не только в государственных системах, но и в частном секторе.
 Обзор зарубежного законодательства в области
информационной безопасности
 Закон обязывает НИСТ координировать свою деятельность с другими министер-
ствами и ведомствами, включая Министерство обороны, Министерство энергетики,
Агентство национальной безопасности (АНБ) и т.д., чтобы избежать дублирования и
несовместимости.
 Закона обязывает все правительственные ведомства сформировать план обеспечения
информационной безопасности, направленный на то, чтобы компенсировать риски и
предотвратить возможный ущерб от утери, неправильного использования, несанк-
ционированного доступа или модификации информации в федеральных системах.
Копии плана направляются в НИСТ и АНБ.
 В 1997 году появилось продолжение описанного закона - законопроект "О совершен-
ствовании информационной безопасности" (Computer Security Enhancement Act of
1997, H.R. 1903), направленный на усиление роли Национального института стандар-
тов и технологий и упрощение операций с криптосредствами.
 Для защиты федеральных ИС рекомендуется более широко применять технологичес-
кие решения, основанные на разработках частного сектора. Кроме того, предлагается
оценить возможности общедоступных зарубежных разработок.
 Обзор зарубежного законодательства в области
информационной безопасности
 В законопроекте констатируется, что частный сектор готов предоставить криптосред-
ства для обеспечения конфиденциальности и целостности (в том числе аутентичности)
данных, что разработка и использование шифровальных технологий должны
происходить на основании требований рынка, а не распоряжений правительства. Кроме
того, здесь отмечается, что за пределами США имеются сопоставимые и общедоступ-
ные криптографические технологии, и это следует учитывать при выработке экспортных
ограничений, чтобы не снижать конкурентоспособность американских производителей
аппаратного и программного обеспечения.
 Особое внимание обращается на необходимость анализа средств и методов оценки
уязвимых мест других продуктов частного сектора в области ИБ.
 Приветствуется разработка правил безопасности, нейтральных по отношению к
конкретным техническим решениям, использование в федеральных ИС коммерческих
продуктов, участие в реализации шифровальных технологий, позволяющее в конечном
итоге сформировать инфраструктуру, которую можно рассматривать как резервную
для федеральных ИС.
 Обзор зарубежного законодательства в области
информационной безопасности
 Программа безопасности, предусматривающая экономически оправданные защитные
меры и синхронизированная с жизненным циклом ИС, упоминается в законодательстве
США неоднократно. Согласно пункту 3534 ("Обязанности федеральных ведомств")
подглавы II ("Информационная безопасность") главы 35 ("Координация федеральной
информационной политики") рубрики 44 ("Общественные издания и документы"), такая
программа должна включать:
 периодическую оценку рисков с рассмотрением внутренних и внешних угроз целост-
ности, конфиденциальности и доступности систем, а также данных, ассоциирован-
ных с критически важными операциями и ресурсами;
 правила и процедуры, позволяющие, опираясь на проведенный анализ рисков, эконо-
мически оправданным образом уменьшить риски до приемлемого уровня;
 обучение персонала с целью информирования о существующих рисках и об
обязанностях, выполнение которых необходимо для их (рисков) нейтрализации;
 периодическую проверку и (пере)оценку эффективности правил и процедур;
 действия при внесении существенных изменений в систему;
 процедуры выявления нарушений информационной безопасности и реагирования на
них; эти процедуры должны помочь уменьшить риски, избежать крупных потерь;
организовать взаимодействие с правоохранительными органами.
 Обзор зарубежного законодательства в области
информационной безопасности
 В законодательстве ФРГ выделим весьма развернутый (44 раздела) Закон о защите
данных (Federal Data Protection Act of December 20, 1990 (BGBl.I 1990 S.2954), amended
by law of September 14, 1994 (BGBl. I S. 2325)). Он целиком посвящен защите персо-
нальных данных.
 Как, вероятно, и во всех других законах аналогичной направленности, в данном случае
устанавливается приоритет интересов национальной безопасности над сохранением
тайны частной жизни. В остальном права личности защищены весьма тщательно.
Например, если сотрудник фирмы обрабатывает персональные данные в интересах
частных компаний, он дает подписку о неразглашении, которая действует и после
перехода на другую работу.
 Государственные учреждения, хранящие и обрабатывающие персональные данные,
несут ответственность за нарушение тайны частной жизни "субъекта данных", как
говорится в Законе. В материальном выражении ответственность ограничена верхним
пределом в 250 тысяч немецких марок.
 Обзор зарубежного законодательства в области
информационной безопасности
 Из законодательства Великобритании упомянем семейство так называемых
добровольных стандартов BS 7799, помогающих организациям на практике
сформировать программы безопасности. В последующих лекциях мы еще вернемся к
рассмотрению этих стандартов; здесь же отметим, что они действительно работают,
несмотря на "добровольность" (или благодаря ей?).
 3.3. Стандарты и
спецификации в области
информационной
безопасности
3.3.1. Оценочные стандарты и технические специфика-
ции. "Оранжевая книга" как оценочный стандарт
 Исторически первым оценочным стандартом, наиболее известным документом,
определяющим критерии, по которым должна оцениваться защищенность вычисли-
тельных систем, и те механизмы защиты, которые должны использоваться в системах
обработки секретной (конфиденциальной) информации, является так называемая
«Оранжевая книга», представляющая собой стандарт США «Критерии оценки
доверенных вычислительных систем в интересах министерства обороны США»,
принятый в 1983 г. Его принятию предшествовали пятнадцатилетние исследования,
проводившиеся специально созданной рабочей группой и национальным бюро
стандартов США.
 В "Оранжевой книге" доверенная система
определяется как "система, использующая
достаточные аппаратные и программные средства,
чтобы обеспечить одновременную обработку
информации разной степени секретности группой
пользователей без нарушения прав доступа".
 Оценочные стандарты в области
информационной безопасности
 Оценочные стандарты направлены на классификацию информационных систем и средств защиты
по требованиям безопасности.
 Политика безопасности - набор законов, правил и норм поведения, определяющих, как
организация обрабатывает, защищает и распространяет информацию. В частности, правила
определяют, в каких случаях пользователь может оперировать конкретными наборами данных.
Чем выше степень доверия системе, тем строже и многообразнее должна быть политика
безопасности. В зависимости от сформулированной политики можно выбирать конкретные
механизмы обеспечения безопасности. Политика безопасности - это активный аспект защиты,
включающий в себя анализ возможных угроз и выбор мер противодействия.
 Монитор обращений контролирует допустимость выполнения субъектами (активными
сущностями ИС, действующими от имени пользователей) определенных операций над объектами
(пассивными сущностями). Монитор проверяет каждое обращение пользователя к программам
или данным на предмет согласованности с набором действий, допустимых для пользователя.
 Монитор обращений должен обладать тремя качествами:
 Изолированность. Необходимо предупредить возможность отслеживания работы монитора.
 Полнота. Монитор должен вызываться при каждом обращении, не должно быть способов
обойти его.
 Верифицируемость. Монитор должен быть компактным, чтобы его можно было
проанализировать и протестировать, будучи уверенным в полноте тестирования.
 Реализация монитора обращений называется ядром безопасности. Ядро безопасности - это
основа, на которой строятся все защитные механизмы. Помимо перечисленных выше свойств
монитора обращений, ядро должно гарантировать собственную неизменность.
 Положения «Оранжевой книги»
 Первым оценочным стандартом, получившим широкое распространение, стал стандарт
Министерство обороны США «Критерии оценки доверенных компьютерных систем»
(«Оранжевая книга») – 1983 г.
 В данном стандарте рассматриваются вопросы управления доступа к данным (т.е.
обеспечение конфиденциальности и целостности информации).
 Степень доверия оценивается по двум критериям:
 Политика безопасности – набор правил, определяющих как обрабатывается,
защищается и распространяется информация
 Уровень гарантированности – меры доверия, которые могут быть оказаны
архитектуре и реализации ИС.
 Стандартом «Оранжевая книга» предусмотрено шесть фундаментальных требований,
которым должны удовлетворять те вычислительные системы, которые используются
для обработки конфиденциальной информации. Требования разделены на три группы:
стратегия, подотчетность, гарантии – в каждой группе по два требования
следующего содержания.
Политика безопасности (стратегия):
 Требование 1 – стратегия обеспечения безопасности: необходимо иметь явную и
хорошо определенную стратегию обеспечения безопасности.
 Положения «Оранжевой книги»

 Требование 2 – маркировка: управляющие доступом метки должны быть связаны с

объектами.
Подотчетность.
 Требование 3 – идентификация: индивидуальные
субъекты должны идентифицироваться.
 Требование 4 – подотчетность: контрольная
информация должна храниться отдельно и защи-
щаться так, чтобы со стороны ответственной за
это группы имелась возможность отслеживать
действия, влияющие на безопасность.
Гарантии.
 Требование 5 – гарантии: вычислительная система в своем составе должна иметь
аппаратные/программные механизмы, допускающие независимую оценку на
предмет достаточного уровня гарантии того, что система обеспечивает выполнение
изложенных выше требований (с первого по четвертое).
 Требование 6 – постоянная защита: гарантированно защищенные механизмы,
реализующие перечисленные требования, должны быть постоянно защищены от
«взламывания» и/или несанкционированного внесения изменений.
 Структура требований «Оранжевой книги»
 В Оранжевой книге вводятся три категории требований безопасности:
 Политика безопасности
 Подотчетность (Аудит)
 Гарантии (Корректность)
 В рамках этих категорий введены шесть требований: четыре из них направлены на
обеспечение безопасности непосредственно, два – на оценку качества средств защиты.
 Политика безопасности
 Требование 1. Политика безопасности. Система должна поддерживать точно
определенную политику безопасности. Возможность доступа субъектов к объектам
определяется на основе их идентификаторов и набора правил управления доступом.
 Требование 2. Метки. С объектами должны быть ассоциированы метки безопас-
ности, используемые в качестве исходной информации для процедур контроля
доступа. Система должна обеспечивать возможность присвоения каждому объекту
метки, определяющей степень конфиденциальности и режимы доступа к объекту.
 Подотчетность (Аудит)
 Требование 3. Идентификация и аутентификация. Все объекты должны иметь
универсальные идентификаторы. Контроль доступа осуществляется на основе
идентификации субъектов и объектов и правил разграничения. Средства
идентификации и аутентификации должны быть защищены от НСД.
 Структура требований «Оранжевой книги»
 Требование 4. Регистрация и учет. Для определения ответственности пользовате-
лей, все происходящие в системе события, имеющие значение для безопасности,
должны отслеживаться и регистрироваться в защищенном протоколе.
 Гарантии (корректность)
 Требование 5. Контроль корректности функционирования средств защиты.
Средства защиты должны содержать независимые аппаратные или программные
компоненты, обеспечивающие работоспособность функций защиты. Основной
принцип контроля корректности состоит в том, что средства контроля независимы
от средств защиты.
 Требование 6. Непрерывность защиты. Все средства должны быть защищены от
несанкционированного вмешательства или отключения. Данное свойство должно
соблюдаться в любом режиме функционирования системы защиты и компьютерной
системы в целом.
 Механизмы безопасности «Оранжевой
книги»
 Согласно "Оранжевой книге", политика безопасности должна обязательно включать в
себя следующие элементы:
 Произвольное управление доступом (называемое иногда дискреционным) - это
метод разграничения доступа к объектам, основанный на учете личности субъекта
или группы, в которую субъект входит. Произвольность управления состоит в том,
что некоторое лицо (обычно владелец объекта) может по своему усмотрению
предоставлять другим субъектам или отбирать у них права доступа к объекту.
 Безопасность повторного использования объектов - важное дополнение средств
управления доступом, предохраняющее от случайного или преднамеренного
извлечения конфиденциальной информации из "мусора". Безопасность повторного
использования должна гарантироваться для областей оперативной памяти (в
частности, для буферов с образами экрана, расшифрованными паролями и т.п.), для
дисковых блоков и магнитных носителей в целом.
 Для реализации принудительного управления доступом с субъектами и объектами
ассоциируются метки безопасности. Метка субъекта описывает его благонадеж-
ность, метка объекта - степень конфиденциальности содержащейся в нем информа-
ции. Метки безопасности состоят из двух частей - уровня секретности и списка
категорий. Уровни секретности образуют упорядоченное множество, категории -
неупорядоченное. Назначение последних - описать предметную область, к которой
относятся данные.
 Механизмы безопасности «Оранжевой
книги»
 Принудительное (или мандатное) управление доступом основано на
сопоставлении меток безопасности субъекта и объекта.
 Субъект может читать информацию из объекта, если уровень секретности субъекта
не ниже, чем у объекта, а все категории, перечисленные в метке безопасности
объекта, присутствуют в метке субъекта. В таком случае говорят, что метка субъекта
доминирует над меткой объекта. Смысл сформулированного правила понятен -
читать можно только то, что положено.
 Субъект может записывать информацию в объект, если метка безопасности объекта
доминирует над меткой субъекта. В частности, "конфиденциальный" субъект может
записывать данные в секретные файлы, но не может - в несекретные (разумеется,
должны также выполняться ограничения на набор категорий).
 Описанный способ управления доступом называется принудительным, поскольку он
не зависит от воли субъектов (даже системных администраторов). После того, как
зафиксированы метки безопасности субъектов и объектов, оказываются
зафиксированными и права доступа.
 Классы безопасности «Оранжевой книги»
 В зависимости от конкретных значений, которым отвечают автоматизированные
системы, в "Оранжевой книге" определяется четыре уровня (группы) доверия систем-
D, C, B и A.
 Группы безопасности D, C, B, A часто называются
D – минимальная защита;
C – индивидуальная защита;
B – мандатная защита;
A – верифицированная защита.
 Группы систем делятся на классы:
системы, относимые к группе D, образуют
один класс D, к группе С – два класса С1 и С2,
к группе В – три класса В1, В2, В3,
к группе А – один класс А1.
 Группы систем C и B подразделяются на классы
(C1, C2, B1, B2, B3) с постепенным возрастанием
степени доверия.
 Классы защищенности компьютерных
систем по «Оранжевой книге»
 Класс D – минимальная защита – системы, подвергнутые оцениванию, но не
отвечающие требованиям более высоких классов.
 Класс C1 – защита, основанная на индивидуальных мерах, – системы, обеспечива-
ющие разделение пользователей и данных. Они содержат внушающие доверие сред-
ства, способные реализовать ограничения по доступу, накладываемые на индивиду-
альной основе, т.е. позволяющие пользователям иметь надежную защиту их инфор-
мации и не дающие другим пользователям считывать или разрушать их данные.
Допускается кооперирование пользователей по уровням секретности. Это означает,
что:
 пользователи должны идентифицировать себя, прежде чем выполнять какие-либо
иные действия, контролируемые доверенной вычислительной системой. Для аутенти-
фикации должен использоваться какой-либо защитный механизм, например пароли;
 аутентификационная информация должна быть защищена от несанкционированного
доступа; должны быть в наличии аппаратные и/или программные средства, позволя-
ющие периодически проверять корректность функционирования аппаратных и мик-
ропрограммных компонентов доверенной вычислительной системы;
 защитные механизмы должны быть протестированы на предмет соответствия их
поведения системной документации. Тестирование должно подтвердить, что у
неавторизованного пользователя нет очевидных способов обойти или разрушить
средства защиты доверенной вычислительной базы.
 Классы защищенности компьютерных
систем по «Оранжевой книге»
 Класс C2 – защита, основанная на управляемом доступе, – системы, осуществляющие не
только разделение пользователей, как в системах С1, но и разделение их по
осуществляемым действиям. Это означает, что
 не только каждый пользователь системы должен уникальным образом
идентифицировать-ся, но и каждое регистрируемое действие должно ассоциироваться с
конкретным пользо-вателем;
 вычислительная система должна создавать, поддерживать и защищать журнал регистра-
ционной информации, относящейся к доступу к объектам, контролируемым системой;
 Класс В1 – защита, основанная на присваивании имен отдельным средствам безопас-
ности, – системы, располагающие всеми возможностями систем класса С, и дополнительно
должны быть формальные модели механизмов обеспечения безопасности, присваивания
имен защищаемым данным (включающим и выдаваемым за пределы системы) и средства
мандатного управления доступом ко всем поименованным субъектам и объектам. Это
означает, что
 доверенная вычислительная система класса В1 должна: управлять метками безопаснос-
ти, ассоциируемыми с каждым субъектом и хранимым объектом;
 обеспечить реализацию принудительного (мандатного) управления доступом всех
субъектов ко всем хранимым объектам;
 обеспечивать взаимную изоляцию процессов путем разделения их адресных пространств;
 Классы защищенности компьютерных
систем по «Оранжевой книге»
 Класс В2 – структурированная защита – системы, построенные на основе ясно
определенной формально задокументированной модели, с мандатным управляемым
доступом ко всем субъектам и объектам, располагающие усиленными средствами
тестирования и средствами управления со стороны администратора системы. Это
означает, что
 снабжаться метками должны все ресурсы системы (например, ПЗУ), прямо или кос-
венно доступные субъектам;
 к доверенной вычислительной системе должен поддерживаться доверенный комму-
никационный путь для пользователя, выполняющего операции начальной иденти-
фикации и аутентификации;
 должна быть предусмотрена возможность регистрации событий, связанных с органи-
зацией тайных каналов обмена с памятью;
 модель политики безопасности должна быть формальной. Для доверенной вычисли-
тельной системы должны существовать описательные спецификации верхнего уровня,
точно и полно определяющие ее интерфейс;
 тесты должны подтверждать действенность мер по уменьшению пропускной способ-
ности тайных каналов передачи информации;
 Классы защищенности компьютерных
систем по «Оранжевой книге»
 Класс В3 – домены безопасности – системы, монитор обращений которых контроли-
рует все запросы на доступ субъектов к объектам, не допускающие несанкционирован-
ных изменений. Объем монитора должен быть небольшим с тем, чтобы его состояние и
работу можно было сравнительно легко контролировать и тестировать. Кроме того дол-
жны быть предусмотрены: сигнализация о всех попытках несанкционированных дей-
ствий и восстановление работоспособности системы; Это означает, что:
 для произвольного управления доступом должны обязательно использоваться
списки управления доступом с указанием разрешенных режимов;
 должна быть предусмотрена возможность регистрации появления или накопления
событий, несущих угрозу политике безопасности системы. Администратор безо-
пасности должен немедленно извещаться о попытках нарушения политики безопас-
ности, а система, в случае продолжения попыток, должна пресекать их наименее
болезненным способом;
 должна быть специфицирована роль администратора безопасности. Получить права
администратора безопасности можно только после выполнения явных, протоколи-
руемых действий;
 должны существовать процедуры и/или механизмы, позволяющие произвести
восстановление после сбоя или иного нарушения работы без ослабления защиты;
 Классы защищенности компьютерных
систем по «Оранжевой книге»
 Класс А1 – верифицированный проект – системы, функционально эквивалентные
системам класса В3, но верификация которых осуществлена строго формальными
методами. Управление системой осуществляется по строго определенным процедурам.
Обязательно введение должности администратора безопасности. Это означает, что
 тестирование должно продемонстрировать, что реализация доверенной
вычислительной системы соответствует формальным спецификациям верхнего
уровня;
 помимо описательных, должны быть представлены формальные спецификации
верхнего уровня. Необходимо использовать современные методы формальной
спецификации и верификации систем; механизм конфигурационного управления
должен распространяться на весь жизненный цикл и все компоненты системы,
имеющие отношение к обеспечению безопасности.
 Различие между классами безопасности вычислительных систем в «Оранжевой книги»
коротко может быть сформулировано в терминах управления доступом:
– Уровень C – произвольное управление доступом;
– Уровень B – принудительное управление доступом;
– Уровень A – верифицируемая безопасность.
 Гарантированность безопасности
 «Оранжевая книга» рассматривает два вида гарантированности безопасности –
операционная и технологическая.
 Операционная гарантированность относится к

архитектурным решениям и включает проверку

следующих элементов:
 Архитектура системы;
 Целостность системы;
 Проверка скрытых каналов передачи информации;
 Доверенное администрирование;
 Доверенное восстановление после сбоев.

 Технологическая гарантированность относится к методам построения и сопровожде-

ния системы. Она должна охватывать весь жизненный цикл системы, то есть периоды
проектирования, реализации, тестирования, продажи и сопровождения.
 Все перечисленные действия должны выполняться в соответствии с жесткими
стандартами, чтобы исключить утечку информации и «закладки» в системе.
 3.4. Стандарт ISO/IEC 15408 «Критерии оценки
безопасности информационных технологий»
 Стандарт ISO/IEC 15408 является международным оценочным стандартом в области
информационной безопасности. Выпущен в 1999 г. Часто для его обозначения
используется именование «Общие критерии».
 «Общие критерии» являются метастандартом, определяющим инструменты для оценки
безопасности информационных систем и порядок их использования.
 В отличие от «Оранжевой книги» и других подобных стандартов, Общие критерии не
содержат предопределенных классов безопасности. Данные классы могут быть
построены для конкретной организации или информационной системы.
 В данном стандарте введены два основных вида требований безопасности:
 Функциональные требования, соответствующие активному аспекту защиты и
предъявляемые к функциям безопасности и реализующим их механизмам.
 Требования доверия, соответствующие пассивному аспекту защиты, предъявляемые
к технологии и процессу разработки и эксплуатации ИС.
 Требования безопасности предъявляются для определенного программно-аппаратного
продукта, а их выполнение проверяется с целью оценки уровня информационной
безопасности.
 3.4. Стандарт ISO/IEC 15408 «Критерии оценки
безопасности информационных технологий»
 Общие критерии рассматривают объект оценки в контексте некоторой среды безопас-
ности, характеризующейся определенными условиями и угрозами.
 Для характеристики угрозы информационной безопасности используются следующие
параметры:
 Источник угрозы;
 Метод воздействия на объект оценки;
 Уязвимости, которые могут быть использованы;
 Ресурсы, которые могут пострадать от реализации.
 Одним из основных нормативных документов,
определяемых в Общих критериях, является профиль
защиты.
 Профиль защиты – документ, включающий в себя типовой набор требований,
которым должны удовлетворять системы определенного класса.
 Задание по безопасности (проект защиты) – содержит совокупность требований к
конкретной разработке, выполнение которых обеспечивает достижение поставленных
целей.
 3.4. Стандарт ISO/IEC 15408 «Критерии оценки
безопасности информационных технологий»
 Функциональные требования сгруппированы в Общих критериях на основе
выполнения определенной роли.
 Всего в Общих критериях определено 11 функциональных классов, 66 семейств и 135
компонентов.
 Классы функциональных требований:
 Идентификация и аутентификация
 Защита данных пользователя
 Защита функций безопасности (относится к
 целостности и контролю сервисов и механизмов
 безопасности)
 Управление безопасностью (требования к
управлению атрибутами и параметрами
безопасности)
 Аудит безопасности
 Доступ к объекту оценки
 Приватность (защита пользователя от раскрытия и использования его
идентификационных данных)
 Использование ресурсов (требование доступности информации)
 Криптографическая поддержка
 Связь (аутентификация сторон при обмене данными)
 Доверенный маршрут/канал (для связи с сервисами безопасности)
 3.4. Стандарт ISO/IEC 15408 «Критерии оценки
безопасности информационных технологий»
 Установление доверия безопасности основывается на исследовании объекта оценки.
 Всего определено 10 классов, 44 семейства и 93 компонента требований доверия.
 Классы требований доверия безопасности:
 Требования к разработке системы (поэтапная детализация функций безопасности)
 Поддержка жизненного цикла (требование к модели жизненного цикла)
 Тестирование
 Оценка уязвимостей (включая оценку

стойкости функций безопасности)

 Поставка и эксплуатация
 Управление конфигурацией
 Руководства (требования к эксплуата-

ционной документации)
 Поддержка доверия
 Оценка профиля защиты
 Оценка задания на безопасность
 3.5. Интерпретация "Оранжевой книги" для
сетевых конфигураций
 В 1987 году Национальным центром компьютерной безопасности США была
опубликована интерпретация "Оранжевой книги" для сетевых конфигураций. Данный
документ состоит из двух частей. Первая содержит собственно интерпретацию, во
второй рассматриваются сервисы безопасности, специфичные или особенно важные
для сетевых конфигураций.
 В первой части вводится минимум новых понятий. Важнейшее из них - сетевая
доверенная вычислительная база, распределенный аналог доверенной
вычислительной базы изолированных систем. Сетевая доверенная вычислительная
база формируется из всех частей всех компонентов сети, обеспечивающих
информационную безопасность. Доверенная сетевая система должна обеспечивать
такое распределение защитных механизмов, чтобы общая политика безопасности
реализовывалась, несмотря на уязвимость коммуникационных путей и на
параллельную, асинхронную работу компонентов.
 Среди защитных механизмов в сетевых конфигурациях на первом месте стоит
криптография, помогающая поддерживать как конфиденциальность, так и
целостность. Следствием использования криптографических методов является
необходимость реализации механизмов управления ключами.

 3.4. Интерпретация "Оранжевой книги" для
сетевых конфигураций
 Сетевой сервис перестает быть доступным, когда пропускная способность
коммуникационных каналов падает ниже минимально допустимого уровня или сервис
не в состоянии обслуживать запросы. Удаленный ресурс может стать недоступным и
вследствие нарушения равноправия в обслуживании пользователей. Доверенная
система должна иметь возможность обнаруживать ситуации недоступности, уметь
возвращаться к нормальной работе и противостоять атакам на доступность.
 Для обеспечения непрерывности функционирования могут применяться следующие
защитные меры:
 внесение в конфигурацию той или иной формы избыточности (резервное
оборудование, запасные каналы связи и т.п.);
 наличие средств реконфигурирования для изоляции и/или замены узлов или
коммуникационных каналов, отказавших или подвергшихся атаке на доступность;
 рассредоточенность сетевого управления, отсутствие единой точки отказа;
 наличие средств нейтрализации отказов (обнаружение отказавших компонентов,
оценка последствий, восстановление после отказов);
 выделение подсетей и изоляция групп пользователей друг от друга.
 3.4. Интерпретация "Оранжевой книги" для
сетевых конфигураций
 Одним из важнейших в "Оранжевой книге" является понятие монитора обращений.
Применительно к структурированию сетевой конфигурации можно сформулировать
следующее утверждение, обеспечивающее достаточное условие корректности фраг-
ментирования монитора обращений.
 Пусть каждый субъект (то есть процесс, действующий от имени какого-либо
пользователя) заключен внутри одного компонента и может осуществлять
непосредственный доступ к объектам только в пределах этого компонента. Далее,
пусть каждый компонент содержит свой монитор обращений, отслеживающий все
локальные попытки доступа, и все мониторы реализуют согласованную политику
безопасности. Пусть, наконец, коммуникационные каналы, связывающие компонен-
ты, сохраняют конфиденциальность и целостность передаваемой информации. Тогда
совокупность всех мониторов образует единый монитор обращений для всей
сетевой конфигурации.
 Данное утверждение является теоретической основой декомпозиции
распределенной ИС в объектно-ориентированном стиле в сочетании с
криптографической защитой коммуникаций.
Спасибо за внимание!!!
Слайд разделитель