 |
|
Основні напрями захисту
Комп'ютерна система являє собою організаційно-технічну систему, яка об'єднує обчислювальну систему, фізичне середовище, персонал і опрацьовувану інформацію (рисунок). Прийнято розрізняти два основних напрями ТЗІ в КС — це захист КС і опрацьовуваної інформації від несанкціонованого доступу і захист інформації від витоку технічними каналами (оптичними, акустичними, захист від витоку каналами побічних електромагнітних випромінювань і наведень).
Кінцевою метою всіх заходів щодо захисту інформації, які реалізуються, є забезпечення безпеки інформації під час її опрацювання в АС. Захист інформації повинен забезпечуватись на всіх стадіях життєвого циклу КС, на всіх технологічних етапах опрацювання інформації та в усіх режимах функціонування. Життєвий цикл КС містить розробку, впровадження, експлуатацію та виведення з експлуатації.
Якщо в КС планується опрацювання інформації, порядок опрацювання й захисту якої регламентується законами України або іншими нормативно-правовими актами (наприклад, інформацією, що є державною таємницею), то для опрацювання такої інформації в цій КС необхідно мати дозвіл відповідного уповноваженого державного органу. Підставою для видачі такого дозволу є висновок експертизи КС, тобто перевірки відповідності реалізованої КСЗІ встановленим нормам.
У процесі експертизи оцінюється КСЗІ КС в цілому. Зокрема виконується й оцінка реалізованих в ОС КС засобів захисту. Засоби захисту від НСД, реалізовані в обчислювальній системі, слід розглядати як підсистему захисту від НСД у складі КСЗІ. Характеристики фізичного середовища, персоналу, опрацьовуваної інформації, організаційної підсистеми істотно впливають на вимоги до функцій захисту, що реалізуються ОС.
Обчислювальна система комп'ютерної системи являє собою сукупність апаратних засобів, програмних засобів (в тому числі програм ПЗП), призначених для опрацювання інформації. Кожний з компонентів ОС може розроблятися і надходити на ринок як незалежний продукт.
Кожний з цих компонентів може реалізовувати певні функції захисту інформації, оцінка яких може виконуватися незалежно від процесу експертизи КС і має характер сертифікації. За підсумками сертифікації видаєтся сертифікат відповідності реалізованих засобів захисту певним вимогам (критеріям). Наявність сертифіката на обчислювальну систему КС, або її окремі компоненти, може полегшити процес експертизи КС.
Як в процесі експертизи, так і сертифікації, оцінка реалізованих функцій захисту інформації виконується відповідно до встановлених критеріїв. Ці критерії встановлюються НД ТЗІ 2.5—004—99 «Критерії оцінки захищеності інформації в комп'ютерних системах від несанкціонованого доступу» (далі — Критерії).
Як КС можуть виступати:
• ЕОМ загального призначення або персональна ЕОМ;
• операційна система; прикладна або інструментальна програма (пакет програм);
• КЗЗ, що окремо поставляється, або підсистема захисту від НСД, наприклад, мережа, яка являє собою надбудову над ОС; локальна обчислювальна мережа як сукупність апаратних засобів, ПЗ, що реалізує протоколи взаємодій, мережевої операційної системи і т. ін.;
• ОС комп'ютерної системи, яка реально функціонує в найбільш загальному випадку — сама КС або її частина.
Якщо для побудови КС використовуються компоненти, кожен або деякі з них мають сертифікат, що підтверджує, що ці компоненти реалізують певні функції захисту інформації. Це, проте не означає, що КС, яка складається з таких компонентів, буде реалізовувати всі ці функції.
Для гарантії останнього має бути виконано проектування КС з метою інтеграції засобів захисту, що надаються кожним компонентом, в єдиний комплекс засобів захисту. Таким чином, наявність сертифіката слід розглядати як потенційну можливість КС реалізовувати певні функції захисту опрацьовуваної інформації від певних загроз.