Комплексні системи захисту інформації. Проектування, впровадження, супровід. Вадим Гребенніков

Чтение книги онлайн.

СКАЧАТЬ та доступності інформації.

      Якщо врахувати наявність в кожній групі трьох класів АС, сумарна кількість підкласів становить 21.

      НД ТЗІ 2.5-005-99 «Класифікація АС і стандартні функціональні профілі захищеності оброблюваної інформації від НСД» вводить таке поняття як «стандартний функціональний профіль захищеності» (далі – СФПЗ). Він являє собою перелік мінімально необхідних рівнів послуг, які повинен реалізовувати КЗЗ обчислювальної системи АС, щоб задовольняти певні вимоги щодо захищеності інформації, яка обробляється в даній АС.

      Для кожного з підкласів кожного класу вводиться деяка кількість ієрархічних СФПЗ, яка може бути різною для кожного класу і підкласу АС. Профілі є ієрархічними в тому розумінні, що їх реалізація забезпечує наростаючу захищеність від загроз відповідного типу (К, Ц і Д). Зростання ступеня захищеності може досягатись як підсиленням певних послуг, тобто включенням до профілю більш високого рівня послуги, так і включенням до профілю нових послуг.

      Така класифікація корисна для полегшення вибору переліку функцій, які повинен реалізовувати КЗЗ проектованої або існуючої АС. Цей підхід дозволяє мінімізувати витрати на початкових етапах створення КСЗІ ІТС. Проте слід визнати, що для створення КЗЗ, який найповніше відповідає характеристикам і вимогам до конкретної АС, необхідно проведення в повному обсязі аналізу загроз і оцінки ризиків.

      СФПЗ будуються на підставі існуючих вимог щодо захисту певної інформації від певних загроз і відомих на сьогоднішній день функціональних послуг, що дозволяють протистояти даним загрозам і забезпечувати виконання вимог, які висуваються. Політика безпеки АС, що реалізує певний СФПЗ, має бути «успадкована» з документів, що встановлюють вимоги до порядку обробки певної інформації в АС.

      НД ТЗІ 2.5-005-99 визначає стандартний підхід до визначення ФПЗ АС шляхом вибору з множини СФПЗ, який базується на таких припущеннях:

      – усі АС можна віднести до одного з трьох класів за наступними ознаками: конфігурація апаратних засобів, їх фізичне розміщення, кількість категорій оброблюваної інформації, кількість користувачів і категорій користувачів;

      – у межах класу АС можна віднести до одного з підкласів, що визначені за критерієм необхідності забезпечення К, Ц і Д;

      – вимоги до безпеки АС різних класів суттєво відрізняються, що дозволяє сформувати для їх підкласів множини СФПЗ, що знаходяться у ієрархічній залежності;

      – для створення КЗЗ, який найповніше відповідає характеристикам і вимогам до конкретної ІТС, необхідно проведення в повному обсязі аналізу загроз і оцінки ризиків.

      Стандартний підхід визначення ФПЗ вимагає таких етапів:

      1. Визначення підкласу АС.

      2. Визначення призначення АС та вибір підказки, яку треба використовувати у цьому випадку для вибору одного із СФПЗ, використовуючи довідковий додаток «А» з НД ТЗІ 2.5-005-99. Якщо призначення АС відрізняється СКАЧАТЬ