Затверджую

Вид материала

Документы

Содержание 2.6 Сервіси безпеки об’єкта експертизи 3. Середовище безпеки ОБ'ЄКТа ЕКспертизи 3.1 Припущення щодо АС, в яких використовується об’єкт експертизи 1) АС, які призначені для автоматизації діяльності органів державної влади (тип 1). 2) АС, які призначені для автоматизації банківської діяльності (тип 2). 3) АС, що входять до складу довідково-пошукових систем (тип 3).

Подобный материал:

• Затверджую затверджую голова Кримського Голова Державної податкової Республіканського, 117.84kb.
• “Затверджую”, 639.38kb.
• Юрія Федьковича «затверджую», 585.95kb.
• Володимира Даля "затверджую", 183.23kb.
• Затверджую: Проректор з навчальної роботи, 59.36kb.
• «Затверджую», 21.74kb.
• Юрія Федьковича " затверджую, 825.92kb.
• Юрія Федьковича " затверджую, 245.34kb.
• Юрія Федьковича " затверджую, 501.24kb.
• Затверджую прийнятий на засіданні, 1283.44kb.

2.6 Сервіси безпеки об’єкта експертизи

Сервіси безпеки визначаються як сукупність вищевизначених функціональних можливостей ОЕ (додаток 1). Якщо функціональність сервісу безпеки відповідає якій-небудь функціональній послузі безпеки НК, то його назва співпадає з назвою цієї послуги. Якщо сервіс безпеки ОЕ, в силу логіки свого функціонування, забезпечує реалізацію вимог декількох функціональних послуг безпеки НК, то він має власну назву, яка відображає його функціональність (табл. 1).

Таблиця 1

№ п/п	Назва сервісу безпеки ОЕ	Позначення сервісу безпеки ОЕ	Послуга безпеки НК
	Захист даних користувача	ЗДК	Довірча конфіденційність Довірча цілісність Повторне використання об’єктів
	Захист обміну даними	ЗОД	Конфіденційність при обміні Цілісність при обміні Ідентифікація і автентифікація при обміні Автентифікація відправника Автентифікація отримувача
	Відновлення системи після збоїв та відкат	ВСВ	Відновлення після збоїв Відкат
	Використання ресурсів	ВР	Використання ресурсів
	Гаряча заміна	ГЗ	Гаряча заміна
	Керування безпекою	КБ	Розподіл обов’язків
	Захист КЗЗ	ЗКЗЗ	Самотестування Цілісність КЗЗ
	Реєстрація (аудит)	Р	Реєстрація (аудит)
	Ідентифікація і автентифікація	ІА	Ідентифікація і автентифікація Достовірний канал

3. Середовище безпеки ОБ'ЄКТа ЕКспертизи

Середовище безпеки розглядається як сукупність наступних компонентів (рис. 4):

1. припущення щодо використання ОЕ - визначення типів АС, в яких можуть використовуватися ОЕ, та рівня секретності інформації;
   
2. політика безпеки (ПБ) інформації АС - визначення набору правил, обмежень та рекомендацій, що регламентують порядок безпечної обробки інформації;
   
3. загрози безпеці ОЕ - визначення подій, що можуть бути причиною порушення політики безпеки або нанесення збитків АС;
   
4. припущення щодо середовища використання ОЕ - визначення характеристик персоналу, фізичного середовища (оточення) та зовнішніх зв’язків (комунікацій).
   

Характеристики компонентів середовища безпеки ОЕ дозволяють сформулювати цілі безпеки ОЕ, які містять наміри протистояти загрозам та відповідати встановленій політики безпеки інформації АС (рис. 4).

Цілі безпеки, в свою чергу дозволяють визначити ФПЗ, вимоги якого повинні реалізовуватися сервісами безпеки ОЕ (рис. 4).

Для стислого представлення загроз, припущень, правил ПБ та цілей безпеки в ТВ застосовуються їх кодифіковані позначення українською і англійською мовами, семантика яких визначена згідно з документом [7]. В подальшому у таблицях наявність або відсутність визначеного положення для відповідного класу АС відображається позначками "+" або "-".





Рис. 4. Схема структури та взаємозв'язку компонентів середовища безпеки, цілей безпеки та функціонального профілю захищеності ОЕ

3.1 Припущення щодо АС, в яких використовується об’єкт експертизи

Відповідно до [2] за призначенням визначені наступні типи АС, в складі яких може функціонувати ОЕ:

1) АС, які призначені для автоматизації діяльності органів державної влади (тип 1).

Основний тип загроз – загрози, що призводять до несанкціонованого ознайомлення з інформацією, тобто порушення конфіденційності. Першочергові вимоги до КЗЗ ОЕ – забезпечення конфіденційності оброблюваної інформації та персональної відповідальності користувачів за дотримання режиму секретності;

2) АС, які призначені для автоматизації банківської діяльності (тип 2).

Основні загрози для банківської інформації — це в першу чергу загрози порушення цілісності інформації з використанням підробки, відмови від авторства, відмови від одержання або внаслідок порушення технології роботи, а в другу — порушення доступності і конфіденційності;

3) АС, що входять до складу довідково-пошукових систем (тип 3).

Основними загрозами для довідково-пошукових систем масового обслуговування є порушення доступності. В зв’язку з цим, до КЗЗ ОЕ, що входять до складу таких систем, в першу чергу пред’являються вимоги щодо забезпечення доступності.

Оскільки ОЕ не позиціонується розробником як система реального часу, то не розглядається використання цієї системи у складі АС, які призначені для керування технологічними процесами.

Надалі розглядання загроз, політики безпеки, припущень та цілей безпеки виконується для узагальненої АС, для якої характерна вся сукупність загроз, визначених для кожного типу АС за призначенням.

Передбачається використання ОЕ в складі АС, в яких циркулює несекретна інформація, або інформація з категорією „Для службового користування”.