2589

безопасности системы; - для надежного канала связи между функциями безопасности системы.

290

291

292

В третьей части определяются требования доверия ("уверенности") через множество стандартных компонент, которые каталогизированы и систематизированы тоже в виде семейств и классов. При этом требования жестко структурированы и регламентируют все этапы проектирования, создания и эксплуатации ИТ-продукта с точки зрения обеспечения надежности работы средств защиты и их адекватности функциональным требованиям. Таксономия требований доверия (уверенности) приведена на рис.33. Кроме того, в третьей части определяются критерии оценки для профилей защиты и целей обеспечения безопасности информационных систем и представлены уровни "гарантии" оценки, которые устанавливают "гарантийную" качественную шкалу, определяющую уровни доверия ("уверенности") к оценке (табл.16). Всего имеется 7 классов требований доверия (уверенности):

1.Класс АСМ: управление конфигурацией. Устанавливается для обеспечения целостности контролируемых ими частей объекта оценки (системы), представляя метод отслеживания любых изменений, обеспечения таким образом гарантию того, что объект оценки и документация представляют собой продует и документы, подготовленные для распространения

2.Класс ADO: поставка и функционирование. Определяет требования к мерам, процедурам и стандартам, касающимся надежной поставки, инсталляции продукта, гарантирующие, что меры безопасности не скомпрометированы во время перемещения продукта, его инсталляции, запуска и функционирования.

3.Класс ADV: разработка. Определяет требования к пошаговому уточнению функций безопасности в процессе разработки.

293

4.Класс AGD: руководящие документы. Требования направлены на обеспечение понятности и полноты документации, представляемой разработчиком.

5.Класс ALG: поддержка жизненного цикла. Определяет требования к гарантии принятия точно определенной модели жизненного цикла для всех шагов разработки системы, в том числе процедур и политики устранения изъянов, правильного использования инструментов и методов, а также мер безопасности, применяемых для защиты среды разработки.

6.Класс АТЕ: испытания. Устанавливает требования к испытаниям, которые демонстрируют, что функции безопасности удовлетворяют установленным требованиям.

7.Класс AVA: оценивание уязвимостей. Определяет требования, направленные на идентификацию уязвимостей, сохраняющихся при эксплуатации (возникающих при проектировании, построении, функционировании, неправильном использовании или конфигурировании системы).

Таблица 16 Классификация функций доверия (уверенности)

294

295

Рис.33. Таксономия требований доверия (уверенности)

272

В настоящее время рассматриваются вопросы о внедрении этого стандарта в СНГ, о необходимости подготовки соответствующих стандартов, нормативных и руководящих документов, развивающих положения "Общих критериев". Следует подчеркнуть, что рассматриваемый метастандарт открывает перспективу формализации процессов задания требований. Ведь в нем впервые в весьма полном и, главное, систематизированном и каталогизированном виде приведены реализуемые в информационных системах возможные функции безопасности информации. Во всяком случае, он, несомненно, пусть в рекомендательном виде, принесет пользу в активизации и повышении качества решения вопросов обеспечения безопасности информации в информационно-телекоммуникационных системах.

273

БИБЛИОГРАФИЧЕСКИЙ СПИСОК

1.ГОСТ Р 50922-96 Защита информации. Основные термины и определения

2.Федеральный закон "Об информации, информа-

тизации и защите информации".

3.Мельников В.В. Защита информации в компьютерных системах. М.: Финансы и статистика, Электроин-

форм, 1997-364 с.

4.Домаров В.В.Безопаность информационных технологий. Методология создания систем защиты/К.: ООО

"ТИД "ДС", 2001. – 688 с.

5.Теория и практика обеспечения информационной безопасности. Под ред. П.Д. Зегжды. – М.: Яхтсмен, 1996 г.

6.Теоретические основы компьютерной безопасности: Учеб. пособие для вузов Девянин П.Н., Михальский О.О., Правиков Д.И.и др. / М.: Радио и связь, 2000.-192с.

7.Специальные требования и рекомендации по защите конфиденциальной информации (СТР-К). М. 2001 г.

8.ГОСТ Р 34.602.

9.ГОСТ Р 15.201-2000.

10.ГОСТ Р 34.201

10. Гостехкомиссия России. РД. Концепция защиты СВТ от НСД к информации. М.: Воениздат, 1992.

12.Гостехкомиссия России. РД. СВТ. Защиты от НСД к информации. Показатели защищенности от НСД к информации. М.: Воениздат, 1992.

13.Гостехкомиссия России. РД. Автоматизированные системы. Защиты от несанкционированного доступа к информации. Классификация автоматизированных систем

итребования по защите информации. М.: Воениздат, 1992.

274

14.Гостехкомиссия России. РД. Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от несанкционированного доступа в автоматизированных системах и средствах вычислительной техники. М.: Воениздат, 1992.

15.ГОСТ 34.003-90 Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения

16.ГОСТ 34.602-89 Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы

17.ГОСТ Р 50739-95 Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования

18.ГОСТ Р 51275-99 Защита информации. Объект информатизации. Факторы, воздействующие на информацию

19.Кульгин

20.Олифер

21.Медведовскbq И.Д., Семьянов П.В. и Платонов В.В. "Атаки через Интернет". Под ред. Зегжды П.В. НПО

"Мир и семья-95". 1997.

22.ПМВ (Мухин).

23.Макаревич

24.Хорев А.А. Технические каналы утечки информации по ПЭМИН..- М.: МО РФ, 1998.

25.Хорев А.А. Способы защиты информации от утечки по техническим каналам.- М.: МО РФ, 1998.

26.Зима В., Молдовян А., Молдовян Н. Безопасность глобальных сетевых технологий. – СПб.:БХВПетербург, 2000.-320с.

27.П.Ю. Белкин, О.О. Михальский, А.С. Першаков, Д.И. Правиков, В.Г. Проскурин, Г.В. Фоменков, А.Ю. Щербаков. Программно-аппаратные средства обеспечения

275