Правовые основы функционирования КСЗИ

Руководящий документ «Концепция защиты СВТ и АС от НСД к информации», утверждена решением Государственной технической комиссии при Президенте РФ от 30.03.1992.

Содержит следующие разделы:

1). Общие положения

Настоящий документ излагает систему взглядов, основных принципов, которые закладываются в основу проблемы ЗИ от НСД, являющейся частью общей проблемы безопасности инфы.
Концепция – методологической базой нормативно-технических и методических документов, по решению следующих задач:
выработка требований по защите СВТ и АС от НСД к инфе;
создание защищенных от НСД к информации СВТ и АС;
сертификация защищенных СВТ и АС.
Концепция предусматривает 2 направления в проблеме ЗИ от НСД: с СВТ и с АС.

СВТ разрабатываются и поставляются на рынок как элементы, из которых строятся функционирование ориентированных АС, и поэтому, не решая прикладных задач, СВТ не содержат пользовательскую информацию и прочее.

2). Определение НСД. НСД – доступ к информации, нарушающий установленные правила разграничения доступа, с использованием штатных средств. Под штатными средствами понимается совокупность программного, микропрограммного и технического обеспечения СВТ или АС.

3). Основные принципы защиты от НСД, из них:

Защита СВТ обеспечивается комплексом программно-технических средств.
Защита АС обеспечивается комплексом программно-технических средств и организационных мер и др.

4). Модель нарушителя в АС. Нарушитель – субъект, имеющий доступ к работе со штатными средствами АС и СВТ как части АС. Нарушители классифицируются по уровню возможностей, предоставляемых им штатными средствами АС и СВТ. Выделяется 4 уровня этих возможностей. 1–й самый низкий.

5). Основные способы НСД

непосредственное обращение к объектам доступа;
создание ПО и ТС, выполняющих обращение к объектам обход средств защиты;
модификация средств защиты, позволяющая осуществить НСД;
внедрение в ПО/ТС, нарушающих структуру и функции СВТ или АС и позволяющих НСД.

6). Основные направления обеспечения защиты от НСД

системой разграничения доступа (СРД) субъектов к объектам доступа;
обеспечивающими средствами для СРД.

7). Основные характеристики технических средств защиты от НСД

степень полноты и качество охвата ПРД (правил разграничения доступа) реализованной СРД;
состав и качество обеспечивающих средств для СРД;
гарантии правильности функционирования СРД и обеспечивающих ее средств.

8). Классификация АС

Характеристики объектов и субъектов защиты, а также способов их взаимодействия:

информационные, определяющие ценность информации, ее объем и степень (гриф) конфиденциальности, возможные последствия неправильного функционирования АС из-за искажения (потери) информации;
организационные, определяющие полномочия пользователей;
технологические, определяющие условия обработки информации, например, способ обработки (автономный, мультипрограммный и т.д.), время циркуляции (транзит, хранение и т.д.), вид АС (автономная, сеть, стационарная, подвижная и т.д.).

9). Организация работ по защите от НСД

Организация работ по защите СВТ и АС от НСД к информации должна быть частью общей организации работ по ИБ.
Обеспечение защиты основывается на требованиях по защите к разрабатываемым СВТ и АС, формулируемых заказчиком и согласуемых с разработчиком. Ответственность за разработку КСЗ возлагается на главного конструктора СВТ или АС.
Проверка выполнения технических требований по защите проводится аналогично с другими техническими требованиями в процессе испытаний (предварительных, государственных и др.).