Стандарты информационной безопасности


Общие положения - часть 2


В курсе [91] "Основы информационной безопасности" выделены следующие базовые сервисы безопасности:

  • идентификация и аутентификация;
  • управление доступом;
  • протоколирование и аудит;
  • шифрование;
  • контроль целостности;
  • экранирование;
  • анализ защищенности;
  • обеспечение отказоустойчивости;
  • обеспечение безопасного восстановления;
  • туннелирование;
  • управление.

В силу разных причин не для всех перечисленных сервисов профили защиты разработаны или разрабатываются. Так, традиционные протоколирование и аудит, отказоустойчивость и безопасное восстановление адекватно описываются соответствующими классами функциональных требований "Общих критериев", поэтому формировать на их основе привычные классы защищенности относительно несложно (однако сделать это, разумеется, все же необходимо).

Выделение сервисов туннелирования и управления еще не вошло в общепринятую практику, поэтому пока они обойдены вниманием разработчиков ПЗ.

Наконец, криптография во многих странах (да и в самих "Общих критериях") является "особой точкой" безопасности, поэтому создание профилей защиты для сервисов шифрования и контроля целостности, а также для других сервисов, реализация которых опирается на криптографические механизмы, затруднено по законодательным и/или организационным причинам. (Заметим, что, хотя сложившееся вокруг компьютерной криптографии положение можно объяснить, его никак нельзя признать нормальным.)

Если придерживаться объектно-ориентированного подхода (см., например, курс [91], а также книгу [90]), то целесообразно выделить по крайней мере два уровня в иерархии наследования требований к сервисам безопасности:

  • общие требования, применимые ко всем или многим сервисам;

  • частные требования, специфичные для конкретного сервиса.

С точки зрения технологии программирования, "Общие критерии" построены по дообъектной, "библиотечной" методологии. Они предоставляют параметризованные функциональные требования, но не содержат необходимые для практического применения комбинации таких требований или универсальные интерфейсы, допускающие конкретизацию в контексте различных сервисов.Тем не менее, мы попытаемся выделить из разных профилей общие требования к сервисам безопасности, поскольку это упростит охват и понимание всей системы имеющихся профилей защиты.

При изложении общих и частных требований к сервисам безопасности, их комбинациям и приложениям мы будем следовать стандартной структуре профилей защиты (см. выше описание класса требований доверия APE), обращая особое внимание на интересующие нас аспекты:

  • предположения безопасности;
  • угрозы безопасности;
  • политика безопасности;
  • цели безопасности для объекта оценки;
  • цели безопасности для среды;
  • функциональные требования безопасности;
  • требования доверия безопасности.




Начало  Назад  Вперед



Книжный магазин