Основные элементы политики безопасности

· произвольное управление доступом – метод ограничения доступа к объектам, основанный на учете личности субъекта или группы, в которую субъект входит.

· безопасность повторного использования объектов- защита от извлечения секретной информации из мусора.

· метки безопасности- присваиваются субъектам и объектам. Метка субъекта описывает его благонадежность, а метка объекта степень его закрытости.

· принудительное управление доступом- основано на сопоставлении меток безопасности субъекта и объекта.

Согласно "Оранжевой книге", метки безопасности состоят из двух частей: уровня секретности и списка категорий. Уровни секретности, поддерживаемые системой, образуют упорядоченное множество, которое может выглядеть, например, так:

· совершенно секретно; секретно; конфиденциально; несекретно.

Классы безопасности. В "Оранжевой книге" определяется четыре уровня надежности (безопасности) - D, C, B и A. Уровень D предназначен для систем, признанных неудовлетворительными. По мере перехода от уровня C к A к надежности систем предъявляются все более жесткие требования. Уровни C и B подразделяются на классы (C1, C2, B1, B2, B3) с постепенным возрастанием надежности.

II. Европейские критерии безопасности информационных технологий. О публикованы в июне 1991 г.

Основные понятия. «ЕК» рассматривают задачи средств информационной безопасности:

-защита информации от НСД с целью обеспечения конфиденциальности;

-обеспечение целостности информации посредством защиты от ее несанкционированной модификации или уничтожения;

-обеспечение работоспособности систем с помощью противодействия угрозам отказа в обслуживании.

Для признания средств защиты эффективными впервые вводится понятие адекватности средств защиты. Адекватность включает в себя два аспекта: эффективность, отражающую соответствие средств безопасности решаемым задачам и корректность, характеризующую процесс их разработки и функционирования.

Функции защиты с точки зрения «ЕК» - идентификация и аутентификация; управление доступом; подотчетность; аудит; повторное использование объектов; целостность информации; надежность обслуживания; безопасность обмена данными.

Критерии адекватности. «ЕК» определяет семь уровней адекватности от Е0 до Е6 (в порядке ее возрастания). Уровень Е0 обозначает минимальную адекватность. Уровни адекватности от Е1 до Е6 выстроены по нарастанию требований тщательности контроля.

В «ЕК» определены три уровня безопасности – базовый, средний, высокий.

III. Руководящие документы Гостехкомиссии России. В 1992 году - опубликованы пять руководящих документов по защите информации от несанкционированного доступа. Идейной основой этих документов является «концепция». С точки зрения разработчиков данных документов основная и едва ли не единственная задача – обеспечение защиты от НСД к информации. Если средствам контроля и обеспечения целостности еще уделяется некоторое внимание, то поддержке работоспособности АСОИ вообще не уделяется. Уклон в сторону поддержания секретности объясняется тем, что эти документы были разработаны в расчете на применение в спецслужбах РФ, а также невысоким уровнем информационных технологий этих систем по сравнению с современными.

Предлагаются две группы критериев безопасности: показатели защищенности средств вычислительной техники (СВТ) от НСД и критерии защищенности автоматизированных систем (АС) обработки данных.