Методы защиты информации

Впервые основные категории требований к защищенности КС
были сформулированы в документе Министерства обороны США «Trusted Computer System Evaluation Criteria» («Критерии оценки безопасности компьютерных систем», или «Оранжевая книга»), 1985 г. В этом документе предложены три основные категории тре¬бований.
1.
Политика:
•
наличие явной и хорошо определенной политики обеспече¬
ния безопасности;
•
использование маркировки объектов КС для управления дос¬
тупом к ним.
2.
Подотчетность:
•
индивидуальная идентификация субъектов КС;
•
сохранение и защита информации аудита.
3.
Гарантии:
•
включение в состав КС программно-аппаратных средств для
получения гарантий выполнения требований категорий 1 и 2;
•
постоянная защищенность средств обеспечения безопасности
информации в КС от их преодоления и (или) несанкционирован¬
ного изменения.
В «Оранжевой книге» были введены семь классов защищенно-сти КС — от минимальной защиты (класс D1) до верифицированной (формально доказанной) защиты (класс А1). Требования «Оранжевой книги» явились первой попыткой создать единый стан¬дарт безопасности КС, рассчитанный на проектировщиков, раз-работчиков (программистов), пользователей подобных систем и специалистов по их сертификации.
Отличительной чертой этого стандарта является ориентация на государственные (в первую очередь военные) организации и опе¬рационные системы.
В 1992 г. Гостехкомиссия России опубликовала первый комп¬лект руководящих документов по защите средств вычислительной техники (СВТ) и автоматизированных систем (АС) от несанкци-онированного доступа.
СВТ не решают непосредственно прикладных задач, а исполь¬зуются в качестве элементов АС. Примерами СВТ являются плата расширения BIOS с соответствующим аппаратным и программ¬ным интерфейсом для аутентификации пользователей АС или про¬грамма «прозрачного» шифрования информации на жестком дис¬ке.
В руководящих документах Гостехкомиссии России определе¬ны семь классов защищенности СВТ от несанкционированного доступа к обрабатываемой (сохраняемой, передаваемой) с помо¬щью этих средств информации (наиболее защищенным является первый класс),
АС рассматривается как комплекс СВТ и имеет дополнитель¬ные характеристики: полномочия пользователей, модель наруши¬теля, технология обработки информации.