1. Головні принципи та етапи захисту від загроз.
дій, що призводять до порушення політики безпеки, попередження появи
Створення комплексу заходів безпеки з метою отримання можливості
реалізації ефективних заходів захисту вимагає, перш за все, визначення
факторів загроз і втрат, яких вони завдають.
Система захисту - сукупність правових і морально-етичних норм,
організаційних (адміністративних) заходів та програмно-технічних засобів, які
спрямовані на протидію загрозам для системи і метою яких є мінімізація
можливих збитків користувачів і власників системи.
Створення надійної системи захисту можна розподілити на чотири основні
етапи:
аналіз можливих загроз;
розробка (планування) системи захисту;
реалізація системи захисту;
супроводження системи захисту під час експлуатації on-line-системи.
Процес створення системи захисту є постійним і потребує уваги та
безперервного ретельного аналізу роботи системи.
Аналіз можливих загроз - це ідентифікація і вибір з усієї безлічі можливих
впливів на систему лише таких, які реально можуть виникати і завдавати
значних збитків.
На етапі розробки (планування) система захисту формується як єдина
сукупність заходів різного плану для протидії можливим загрозам, а саме:
правові заходи; морально-етичні заходи: норми поведінки учасників системи
та обслуговуючого персоналу; адміністративні заходи; технічні (апаратно-
програмні та програмні) засоби захисту
2. Види захисту інформації.
1. Технічний — забезпечує обмеження доступу до носія повідомлення
апаратно-технічними засобами (антивіруси, фаєрволи, маршрутизатори,
токіни, смарт-карти тощо):
- попередження витоку по технічним каналам;
- попередження блокування;
2. Інженерний — попереджує руйнування носія внаслідок навмисних дій або
природного впливу інженерно-технічними засобами (сюди відносять
обмежуючі конструкції, охоронно-пожежна сигналізація).
3. Криптографічний — попереджує доступ за допомогою математичних
перетворень повідомлення (ІП):
- попередження несанкціонованої модифікації ;
- попередження НС розголошення.
4. Організаційний — попередження доступу на об'єкт інформаційної діяльності
сторонніх осіб за допомогою організаційних заходів (правила розмежування
доступу).
3. Завдання захисту інфрормації в ІТС.
Завданнями захисту інформації можуть бути:
- забезпечення необхідних властивостей інформації (конфіденційності,
цілісності, доступності) під час створення та експлуатації ІТС;
- своєчасне виявлення та знешкодження загроз для ресурсів ІТС, причин та
умов, які спричиняють (можуть привести до) порушення її функціонування та
розвитку;
- створення механізму та умов оперативного реагування на загрози для безпеки
інформації, інші прояви негативних тенденцій у функціонуванні ІТС;
ефективне знешкодження (попередження) загроз для ресурсів ІТС шляхом
комплексного впровадження правових, морально-етичних, фізичних,
організаційних, технічних та інших заходів забезпечення безпеки;
- керування засобами захисту інформації, керування доступом користувачів до
ресурсів ІТС, контроль за їхньою роботою з боку персоналу СЗІ, оперативне
сповіщення про спроби НСД до ресурсів ІТС;
- реєстрація, збір, зберігання, обробка даних про всі події в системі, які мають
відношення до безпеки інформації;
- створення умов для максимально (несанкціонованими) діями фізичних та
юридичних осіб, впливом зовнішнього середовища та іншими чинниками,
зменшення негативного впливу наслідків порушення безпеки на
функціонування ІТС.
Концепція безпеки інформації розкриває основні напрями забезпечення
безпеки інформації. Розроблення концепції здійснюється після вибору варіанту
концепції створюваної ІТС і виконується на підставі аналізу таких чинників:
- правових і (або) договірних засад;
- вимог до забезпечення безпеки інформації згідно з завданнями і функціями
ІТС;
- загроз, яким зазнають впливу ресурси ІТС, що підлягають захисту.
За результатами аналізу мають бути сформульовані загальні положення
безпеки, які стосуються або впливають на технологію обробки інформації в ІТС:
- мета і пріоритети, яких необхідно дотримуватись в ІТС під час забезпечення
безпеки інформації;
- загальні напрями діяльності, необхідні для досягнення цієї мети;
- аспекти діяльності у галузі безпеки інформації, які повинні вирішуватися на
рівні організації в цілому;
- відповідальність посадових осіб та інших суб’єктів взаємовідносин в ІТС, їхні
права і обов'язки щодо реалізації завдань безпеки інформації.
Вибір основних рішень щодо забезпечення безпеки інформації розглядається
на 3-х рівнях:
- правовому;
- організаційному;
- технічному.
На правовому рівні повинні бути вироблені підходи щодо
- підтримки керівництвом організації заходів з забезпечення безпеки
інформації в ІТС, виконання правових вимог з захисту інформації, визначення
відповідальності посадових осіб, організаційної структури, комплектування і
розподілу обов'язків співробітників СЗІ;
- процедур доведення до персоналу і користувачів ІТС основних положень
політики безпеки інформації, їхнього навчання і підвищення кваліфікації з
питань безпеки інформації;
- системи контролю за своєчасністю, ефективністю і повнотою реалізації в ІТС
рішень з захисту інформації, дотриманням персоналом і користувачами
положень політики безпеки.
На організаційному рівні повинні бути вироблені підходи щодо:
- застосування режимних заходів на об’єктах ІТС;
- забезпечення фізичного захисту обладнання ІТС, носіїв інформації, інших
ресурсів;
- порядку виконання робіт з захисту інформації, взаємодії з цих питань з
іншими суб’єктами системи ТЗІ в Україні;
- виконання робіт з модернізації ІТС (окремих компонентів);
- регламентації доступу сторонніх користувачів до ресурсів ІТС;
- регламентації доступу власних користувачів і персоналу до ресурсів ІТС;
- здійснення профілактичних заходів (наприклад, попередження ненавмисних
- інструкція про порядок обліку та використання машинних носіїв інформації;
вірусів тощо);
- реалізації окремих положень політики безпеки, найбільш критичних з точки
зору забезпечення захисту аспектів (наприклад, організація віддаленого
доступу до ІТС, використання мереж передачі даних загального користування,
зокрема Интернет тощо).
На технічному рівні повинні бути вироблені підходи щодо застосування
технічних і програмно-технічних засобів, які реалізують задані вимоги з захисту
інформації. Під час розгляду різних варіантів реалізації рекомендується
враховувати наступні аспекти:
- інженерно-технічне обладнання приміщень, в яких розміщуються
компоненти ІТС;
- реєстрація санкціонованих користувачів ІТС, авторизація користувачів в
системі;
- керування доступом до інформації і механізмів, що реалізують послуги
безпеки, включаючи вимоги до розподілу ролей користувачів і адміністраторів;
- виявлення та реєстрація небезпечних подій з метою здійснення
повсякденного контролю;
- перевірка і забезпечення цілісності критичних даних на всіх стадіях їхньої
обробки в ІТС;
- забезпечення конфіденційності інформації, у тому числі
використання криптографічних засобів;
- резервне копіювання критичних даних, супроводження архівів даних і ПЗ;
- відновлення роботи ІТС після збоїв, відмов, особливо для систем із
підвищеними вимогами до доступності інформації;
- захист ПЗ, окремих компонентів і ІТС в цілому від внесення
несанкціонованих доповнень і змін;
- забезпечення функціонування засобів контролю
4. Етапи створення КСЗІ та її документів відповідно до НД ТЗІ 3.7-003-
2005.
1. Формування вимог до КСЗІ в ІТС
1.1. Обґрунтування необхідності створення КСЗІ і призначення СЗІ:
- наказ про порядок проведення робіт зі створення КСЗІ
- наказ про створення СЗІ;
- положення про СЗІ;
- перелік інформації, що підлягає обробленню в ІТС та потребує захисту.
1.2. Категоріювання ІТС:
- наказ про призначення комісії з категоріювання;
- акт категоріювання.
1.3. Обстеження середовищ функціонування ІТС:
- наказ про призначення комісії з обстеження;
- акт обстеження;
- формуляр ІТС;
- Опис моделі порушника політики безпеки інформації: модель порушника;
- Опис моделі загроз для інформації: модель загроз;
- Формування завдання на створення КСЗІ: звіт за результатами проведення
аналізу ризиків та формування завдань на створення КСЗІ .
2. Розробка політики безпеки інформації в ІТС
- Вибір варіанту КСЗІ;
- Складання політики безпеки;
- Складання плану захисту;
- Складання календарного плану робіт із захисту інформації.
3. Розробка Технічного завдання на створення КСЗІ:
- складання технічного завдання та погодження його
Держспецзв’язку.
4. Розробка проекту КСЗІ:
- складання документів ескізного проекту КСЗІ;
- складання документів технічного проекту КСЗІ;
- складання документів робочого проекту КСЗІ.
5. Введення КСЗІ в дію та оцінка захищеності інформації в ІТС
5.1 Підготовка КСЗІ до введення в дію:
- інструкція про порядок введення в експлуатацію КСЗІ.
5.2 Навчання користувачів:
- інструкція адміністратора безпеки в ІТС;
- інструкція системного адміністратора ІТС;
- інструкція користувача;
- правила управління паролями в ІТС;
- правила видачі, вилучення та обміну персональних ідентифікаторів, інших
атрибутів розмежування доступу в ІТС.
5. 3 Комплектування КСЗІ
Будівельно-монтажні роботи:
- наказ про призначення комісії з приймання робіт;
- акт приймання робіт.
Пуско-налагоджувальні роботи:
- акт інсталяції та налагоджування АВПЗ і КЗЗ від НСД;
- акт оцінки відповідності проведених робіт вимогам експлуатаційних
документів.
Попередні випробування КСЗІ:
- наказ про створення комісії з проведення випробувань;
- програма та методика попередніх випробувань;
- протокол про проведення попередніх випробувань;
- акт про приймання КСЗІ у дослідну експлуатацію.
Дослідна експлуатація КСЗІ:
- наказ про введення ІТС в дослідну експлуатацію;
- акт про завершення дослідної експлуатації;
- акт про завершення робіт зі створення;
Державна експертиза КСЗІ:
- заявка на проведення державної експертиза КСЗІ;
- експертний висновок щодо відповідності КСЗІ вимогам НД ТЗІ;
- атестат відповідності КСЗІ вимогам НД ТЗІ;
- наказ про дозвіл на обробку в ІТС інформації, яка підлягає захисту.
6. Супровід КСЗІ:
- наказ про порядок забезпечення захисту інформації в ІТС;
- інструкція щодо забезпечення правил обробки ІзОД в ІТС;
- інструкція з антивірусного захисту інформації в ІТС;
- інструкція про порядок використання засобів КЗІ в ІТС;
- інструкція з правил управління паролями в ІТС;
- інструкція про порядок створення і зберігання резервних копій
інформаційних ресурсів ІТС;
- інструкція про порядок проведення контролю режиму обробки та захисту
інформації в ІТС;
- інструкція про порядок супроводу та модернізації КСЗІ в ІТС;
- інструкція про порядок відновлювальних та ремонтних робіт ІТС - інші
іструкції.
5. Категоріювання ІТС. Порядок проведення, типи та призначення.
Об'єкти, на яких здійснюватиметься обробка технічними засобами та/або
озвучуватиметься ІзОД, підлягають обов'язковому категоріюванню. Об’єкти,
на яких здійснюватиметься обробка технічними засобами та/або
озвучуватиметься тільки відкрита інформація, категоріюванню не підлягають.
Об'єктами категоріювання є об’єкти інформаційної діяльності (далі - ОІД), в
тому числі об'єкти електронно-обчислювальної техніки (далі - ЕОТ) ІТС. ОІД -
це інженерно-технічна споруда (приміщення), транспортний засіб, де
здійснюється озвучення та/або обробка технічними засобами ІзОД.
Категоріювання ІТС здійснюється комісією організації-власника
(розпорядника) ІТС для визначення необхідного рівня захисту інформації, що
обробляється на об'єктах ЕОТ ІТС. Категоріювання здійснюється за ознакою
ступеня обмеження доступу до інформації, що обробляється технічними
засобами та/або озвучується на ОІД.
Згідно ТПКО-95 «Тимчасове положення про категоріювання об'єктів»
установлюються 4 категорії об'єктів, на яких обробляється технічними
засобами та/або озвучується ІзОД, що:
- становить державну таємницю, для якої встановлено гриф секретності
«особливої важливості» - перша (І);
- становить державну таємницю, для якої встановлено гриф секретності
«цілком таємно» - друга (ІІ);
- становить державну таємницю, для якої встановлено гриф секретності
«таємно», а також інформація, що містить відомості, які становлять іншу
передбачену законом таємницю - третя (ІІІ);
- не становить державної таємниці - четверта (ІV).
Категоріювання ОІД четвертої категорії здійснюється згідно вимог НД ТЗІ 1.6-
005-2013 «Положення про категоріювання об'єктів, де циркулює інформація з
обмеженим доступом, що не становить державної таємниці».
Категоріювання може бути первинним, черговим або позачерговим.
Первинне категоріювання здійснюється у разі створення ІТС, де буде
оброблятися ІзОД. Чергове - не рідше ніж один раз на 5 років. Позачергове - у
разі зміни ознаки, за якою була встановлена категорія ІТС.
Комісія з категоріювання визначає ступень обмеження доступу до
інформації, яка оброблятиметься в ІТС, та з урахуванням цього ступеня
встановлює категорію ІТС. Встановлена категорія зазначається в Акті
категоріювання ІТС, який складається комісією за результатами її роботи. Акт
категоріювання є чинним протягом 5 років з моменту проведення
категоріювання, якщо не змінилась ознака, за якою була встановлена категорія
об'єкта.
В акті зазначається:
1. Підстава для категоріювання (рішення про створення КСЗІ, закінчення
терміну дії акта категоріювання, зміна ознаки, за якою була встановлена
категорія, та реквізити наказу про призначення комісії з категоріювання.
2. Вид категоріювання: первинне, чергове, позачергове (у разі чергового або
позачергового категоріювання вказується категорія, що була встановлена до
цього категоріювання, та реквізити акту, яким було встановлено цю категорію).
3. В ІТС здійснюється обробка ІзОД.
4. Ступінь обмеження доступу до ІзОД, що обробляється в ІТС (передбачена
законом таємниця; службова інформація; конфіденційна інформація, яка
перебуває у володінні розпорядників інформації, інша конфіденційна
з органами інформація, вимога щодо захисту якої встановлена законом).
5. Встановлена комісією категорія.
6. Обстеження середовищ функціонування ІТС: мета, складові та порядок
проведення.
Метою обстеження є підготовка засадничих даних для формування вимог до
КСЗІ у вигляді опису кожного середовища функціонування ІТС та виявлення в
ньому елементів, які безпосередньо чи опосередковано можуть впливати на
безпеку інформації, виявлення взаємного впливу елементів різних середовищ,
документування результатів обстеження для використання на наступних
етапах робіт.
До об'єктів, що підлягають інвентаризації, можуть бути віднесені:
- обладнання - ЕОМ та їхні складові частини (процесори, монітори, термінали,
робочі станції та ін.), периферійні пристрої;
- програмне забезпечення - вихідні, завантажувальні модулі, утиліти, СКБД,
операційні системи та інші системні програми, діагностичні і тестові програми
тощо;
- дані - тимчасового і постійного зберігання, на магнітних носіях, друковані,
архівні і резервні копії, системні журнали, технічна, експлуатаційна і
розпорядча документація та ін.;
- персонал і користувачі ІТС.
При обстеженні обчислювальної системи ІТС повинні бути проаналізовані й
описані:
- клас, загальна структурна схема і склад (перелік і склад обладнання,
технічних і програмних засобів, їхні зв'язки, особливості конфігурації,
архітектури й топології, програмні і програмно-апаратні засоби захисту
інформації, взаємне розміщення засобів тощо);
- види і характеристики каналів зв'язку;
- особливості взаємодії окремих компонентів, їх взаємний вплив один на
одного;
- можливі обмеження щодо використання засобів тощо.
Мають бути виявлені компоненти обчислювальної системи, які містять і які
не містять засобів і механізмів захисту інформації, потенційні можливості цих
засобів і механізмів, їхні властивості і характеристики, в тому числі ті, що
встановлюються за умовчанням тощо.
Повинні бути зафіксовані всі активні і пасивні об’єкти, які беруть участь у
технологічному процесі обробки і тим чи іншим чином впливають на безпеку
інформації. Для кожного активного об’єкту ІТС має бути визначено перелік
пасивних об’єктів, які з ним взаємодіють.
Окрім компонентів ІТС, необхідно дати опис технології обробки інформації
в ІТС, що потребує захисту, тобто способів і методів застосування засобів
обчислювальної техніки під час виконання функцій збору, зберігання, обробки,
передачі і використання даних, або алгоритмів окремих процедур.
При цьому рекомендується розробити структурну схему інформаційних
потоків в ІТС, яка б відображала інформаційну взаємодію між основними
компонентами ІТС (завданнями, об’єктами) з прив’язкою до кожного елемента
схеми категорій інформації та визначених політикою безпеки рівнів доступу до
неї.
Метою такого аналізу є надання загального уявлення про наявність
потенційних можливостей щодо забезпечення захисту інформації, виявлення
компонентів ІТС, які вимагають підвищених вимог до захисту інформації і
впровадження додаткових заходів захисту.
При обстеженні інформаційного середовища аналізу підлягає вся
інформація, що обробляється, а також зберігається в ІТС (дані і програмне
забезпечення). Під час аналізу інформація повинна бути класифікована за
режимом доступу, за правовим режимом, за типом їхнього представлення в
ІТС, визначені й описані види її представлення в ІТС. Класифікація є
підставою для визначення власником (розпорядником) інформації або ІТС
методів і способів захисту кожного окремого виду інформації.
За режимом доступу інформація в АС має бути поділена на відкриту та з
обмеженим доступом. Відкриту інформацію слід поділити на відкриту, яка не
потребує захисту, або захист якої забезпечувати недоцільно, та відкриту, яка
такого захисту потребує. До другої слід відносити інформацію, важливу для
особи, суспільства і держави (відповідно до Концепції технічного захисту
інформації в Україні), важливі для організації відомості, порушення цілісності
або доступності яких може призвести до моральних чи матеріальних збитків.
За правовим режимом інформація з обмеженим доступом повинна бути
поділена на таємну, службову та конфіденційну. До таємної інформації має
бути віднесена інформація, що містить відомості, які становлять державну, а
також іншу, передбачену законом таємницю. Правила доступу до службової та
конфіденційної інформації, во¬ло¬діти, ко¬ри-стувати¬ся чи розпоряджатися
якою можуть окремі фізичні, юридичні особи або держава, встановлює
законодавство та її власник.
Конфіденційна інформація може мати велику цінність для її власника, втрата
або передача якої іншим особам може завдати організації (власнику) значних
збитків. З метою встановлення правил розмежування доступу до
конфіденційної інформації необхідно класифікувати її, поділивши на декілька
категорій за ступенем цінності (критерії розподілу можуть бути визначені під
час оцінки ризиків).
Для встановлення правил взаємодії активних і пасивних об’єктів ІТС
інформація повинна бути класифікована за типом її представлення в ІТС (для
кожної з визначених категорій встановлюються типи пасивних об’єктів
комп’ютерної системи, якими вона може бути представлена). Для кожного
виду інформації і типу об’єкта, в якому вона міститься, ставляться у
відповідність властивості захищеності інформації (конфіденційність,
цілісність, доступність) чи ІТС (спостережність), яким вони повинні
задовольняти.
Аналіз технології обробки інформації повинен виявити особливості обігу
електронних документів, мають бути визначені й описані інформаційні потоки
і середовища, через які вони передаються, джерела утворення потоків та місця
їх призначення, принципи та методи керування інформаційними потоками,
складені структурні схеми потоків. Фіксуються види носіїв інформації та
порядок їх використання під час функціонування ІТС.
Для кожного структурного елемента схеми інформаційних потоків
фіксуються склад інформаційних об’єктів, режим доступу до них, можливий
вплив на нього (елементу) елементів середовища користувачів, фізичного
середовища з точки зору збереження властивостей інформації.
За результатами обстеження інформаційного середовища складається
«Перелік інформації, що підлягає автоматизованому обробленню в ІТС і
потребує захисту», який оформлюється як окремий документ, затверджений
керівником організації-власника (розпорядника) відповідної інформації, або як
розділ у інших документах (Політика безпеки, План захисту, Технічне
завдання на створення КСЗІ тощо).
У переліку має бути наведено перелік інформаційних ресурсів (видів
інформації), що підлягають обробленню в ІТС, класифікований за такими
ознаками:
- назва відповідного інформаційного ресурсу, який визначається цільовим
призначенням відповідної інформації;
- характеристики інформації відповідно до встановленого законодавством
правового режиму та режиму доступу (ІДТ, КІВД, КІ, ВІВД, ВІ);
- вищий ступінь обмеження доступу (для ІДТ) до інформації (ступінь
секретності) відповідно до вимог Зводу відомостей, що становлять державну
таємницю;
- критичні властивості інформації з погляду забезпечення її захищеності,
визначені з урахуванням вимог Правил 373 і вимог власника (розпорядника)
інформації;
- вимоги (за наявності) щодо обмеження доступу до інформації користувачів
ІТС різних категорій, визначені з урахуванням, наприклад, вимог «Положення
про забезпечення режиму секретності під час обробки інформації, що
становить державну таємницю, в АС» або «Інструкції про порядок обліку,
зберігання і використання документів, справ, видань та інших матеріальних
носіїв інформації, які містять службову інформацію».
Окрім зазначених вище, можуть бути використані додаткові класифікаційні
ознаки, корисні з погляду подальшого формулювання політики безпеки
інформації, оброблюваної в ІТС, наприклад, вид подання відповідних
інформаційних ресурсів тощо.
При обстеженні середовища користувачів здійснюється аналіз:
- функціонального та кількісного складу користувачів, їхніх функціональних
обов’язків та рівня кваліфікації;
- повноважень користувачів щодо допуску до відомостей, які обробляються
в ІТС, доступу до ІТС та її окремих компонентів;
- повноважень користувачів щодо управління КСЗІ;
- рівня можливостей різних категорій користувачів, що надаються (можуть
бути доступними) їм засобами ІТС.
За результатами обстеження вище зазначених середовищ складається
«Формуляр ІТС», який оформлюється як окремий документ і складається з
таких розділів:
- загальні відомості про ІТС;
- склад технічних засобів ІТС;
- склад програмного забезпечення;
- відомості про програмно-апаратний КЗЗ від НСД;
- відомості про впровадження, випробування та приймання в експлуатацію;
- посадові особи, відповідальні за технічне обслуговування;
- посадові особи, відповідальні за забезпечення захисту інформації;
- реєстрація проведених робіт (технічне обслуговування, ремонт,
модернізація тощо);
- відмітки про проведення перевірок КСЗІ;
- перелік технічних та експлуатаційних документів КСЗІ.
У разі обробки в ІТС таємної інформації здійснюється також обстеження
фізичного середовища, під час якого аналізується взаємне розміщення засобів
обробки інформації ІТС на ОІД, комунікацій, систем життєзабезпечення і
зв’язку, а також режим функціонування цих об’єктів.
Порядок проведення обстеження повинен відповідати ДСТУ 3396.1-96
«Технічний захист інформації. Порядок проведення робіт», а в частині, що
стосується захисту інформації від витоку технічними каналами, - НД ТЗІ 3.1-
001-07 «Створення комплексу технічного захисту інформації. Передпроектні
роботи».
Аналізу підлягають такі характеристики фізичного середовища:
- характеристика об’єктів, де розташовані компоненти ІТС (дані про
інженерно-технічну споруду, її частину або декілька споруд, приміщення
тощо);
- архітектурно-будівельні особливості приміщень: огороджувальні
будівельні конструкції: стеля, підлога, стіни, перегородки (матеріал, товщина);
підвісна стеля (конструкція, матеріал); вікна, двері, інші отвори (кількість,
матеріал, розміри).
- дані про складові об’єктів, що можуть впливати на показники ефективності
захищеності ІзОД і які можуть бути середовищем поширення за межі КЗ її
носіїв (інженерні комунікації, обладнання, оргтехніка, телебачення,
електроживлення, заземлення, газо-, водопостачання, опалення, вентиляції,
кондиціонування повітря, водостоку, каналізації, технологічне обладнання,
огороджувальні будівельні конструкції, світлопроникні отвори приміщень,
будинків, споруд тощо).
- наявність систем безпеки в установі, до яких може бути інтегрована КСЗІ
(відеоспостереження, пожежна та охоронна сигналізації, системи зв’язку);
- схеми розміщення комунікацій, обладнання систем електроживлення, у
тому числі трансформаторної підстанції;
- дані про складові об’єктів, які виходять за межу КЗ або її перетинають,
застосування яких не обґрунтовано виробничою необхідністю і які підлягають
демонтуванню, у подальшому застосуванні яких відсутня необхідність);
- опис систем заземлення (дані про перелік технічних засобів ІТС, що
підлягають заземленню);
- результати аналізу фізичного середовища та пропозиції щодо необхідності
отримання додаткових даних про можливі місця розміщення засобів технічної
розвідки; проведення випробувань (у т.ч. спеціальних досліджень технічних
засобів, які оброблятимуть ІзОД); застосування організаційних, інженерно-
технічних заходів захисту (у т.ч. застосування засобів оброблення ІзОД, інших
технічних засобів у захищеному виконанні).
За результатами комісія складає «Акт обстеження середовищ
функціонування ІТС», який затверджується керівником організації-власника
(розпорядника) ІТС і складається з таких розділів:
- клас і склад обчислювальної системи,
- перелік і характеристики інформаційних ресурсів,
- перелік і повноваження користувачів,
- опис фізичного середовища (до акту додаються генеральний і ситуаційний
плани, схеми систем життєзабезпечення та заземлення).
7. Модель порушника безпеки інформації в ІТС: мета та характеристика.
Модель порушника– це всебічна структурована характеристика порушника,
яка використовується сумісно з моделлю загроз для розробки політики безпеки
інформації. В Україні прийнята така структура моделі порушника:
Категорія осіб, до якої може належати порушник:
1) внутрішні порушники:
- користувачі,
- інженерний склад,
- співробітники відділів, що супроводжують ПЗ,
- технічний персонал, що обслуговує будинок,
- співробітники служби безпеки,
- керівники;
2) зовнішні порушники:
• добре озброєну та технічно оснащену групу, що діє зовні швидко і
напролом;
• поодиноких порушників, що не мають допуску на об'єкт і намагаються
діяти потайки й обережно, так як вони усвідомлюють, що сили реагування
мають перед ним переваги.
Мета порушника:
• отримання необхідної інформації;
• отримання можливості вносити зміни в інформаційні потоки у
відповідності зі своїми намірами;
• нанесення збитків шляхом знищення матеріальних та інформаційних
цінностей.
Повноваження порушника в АС:
• запуск фіксованого набору задач (програм);
• створення і запуск власних програмних засобів;
• керування функціонуванням і внесення змін у конфігурацію системи;
• підключення чи зміна конфігурації апаратних засобів.
Технічна оснащеність порушника:
• апаратні засоби;
• програмні засоби;
• спеціальні засоби.
Кваліфікація порушника:
для аналізу загроз завжди приймається висока кваліфікація.
Приклади дій порушника та типові атаки на інформаційній ресурс
Наведемо спрощену класифікацію, яка відображає найбільш типові атаки на
розподілені автоматизовані системи. Ця класифікація запропонована Питером
Меллом (PeterMell):
- Віддалене проникнення (remote penetration). Атаки, які дозволяють
реалізувати віддалене керування комп’ютером через мережу.
- Локальне проникнення (local penetration). Атака, що приводить до отримання
несанкціонованого доступу до вузла, на якому вона ініційована.
- Віддалена відмова в обслуговуванні (remote denial of service). Атаки, що
дозволяють порушити функціонування системи або перезавантажити
комп’ютер через мережу (в тому числі через Інтернет).
- Локальна відмова в обслуговуванні (local denial of service). Атаки, що
дозволяють порушити функціонування системи або перезавантажити
комп’ютер, на якому вони ініційовані. Приклади атак цього типу: аплет, що
перезавантажує процесор (наприклад, відкриттям великої кількості вікон
великого розміру), що приводить до неможливості обробки запитів інших
програм.
- Сканування мережі (network scanning). Аналіз топології мережі і активних
сервісів, що доступні для атаки. Атака може здійснюватись за допомогою
службового програмного забезпечення.
- Використання сканерів вразливостей (vulnerability scanning). Сканери
вразливостей призначені для пошуку вразливостей на локальному або
віддаленому комп’ютері. Вони в першу чергу призначені служити
діагностичним інструментом системних адміністраторів, але можуть бути
використані і як зброя для розвідки й атаки. Найвідоміші з таких програмних
засобів:SATAN,SystemScanner,Xspider,nessus.
- Злом паролів (password cracking). Для цього використовуються програмні
засоби, що підбирають паролі користувачів. В залежності від надійності
системи зберігання паролів, можуть використовуватись методи зламу або
підбору пароля за словником.
- Аналіз протоколів (sniffing - прослуховування трафіку). Пасивна атака, яка
спрямована на розкриття конфіденційних даних, зокрема, ідентифікаторів і
паролів доступу.
До цієї класифікації не потрапили численні атаки, що спрямовані на
введення в оману протоколів пошуку в мережі. На наш погляд, слід додати
такий пункт:
- Підміна об’єкта (spoofing). Типові приклади: несправжнійDNS-сервер,
підмінаIP-адреси джерела (IPspoofing), несправжнійARP-запит (ARPspoofing).
Неважко помітити, що запропонована класифікація є не цілком
послідовною. Перші чотири класи атак розрізняються здебільшого по
кінцевому результату (або меті реалізації), а наступні – по способу їх
здійснення.
8. Класифікація порушників безпеки інформації.
Рекомендується класифікувати порушників за рівнем можливостей, що
надаються їм засобами ІТС, наприклад, поділити на чотири рівні цих
можливостей. Класифікація є ієрархічною, тобто кожний наступний рівень
включає в себе функціональні можливості попереднього:
- перший рівень визначає найнижчий рівень можливостей ведення діалогу з
ІТС — можливість запуску фіксованого набору завдань (програм), що
реалізують заздалегідь передбачені функції обробки інформації;
- другий рівень визначається можливістю створення і запуску власних програм
з новими функціями обробки інформації;
- третій рівень визначається можливістю управління функціонуванням ІТС,
тобто впливом на базове програмне забезпечення системи і на склад і
конфігурацію її устаткування;
- четвертий рівень визначається повним обсягом можливостей осіб, що
здійснюють проектування, реалізацію, впровадження, супроводження
програмно-апаратного забезпечення ІТС, аж до включення до складу ІТС
власних засобів з новими функціями обробки інформації.
За рівнем знань про ІТС усіх порушників можна класифікувати як таких, що:
- володіють інформацією про функціональні особливості ІТС, основні
закономірності формування в ній масивів даних та потоків запитів до них,
вміють користуватися штатними засобами;
- володіють високим рівнем знань та досвідом роботи з технічними засобами
системи та їхнього обслуговування;
- володіють високим рівнем знань у галузі обчислювальної техніки та
програмування, проектування та експлуатації ІТС;
- володіють інформацією про функції та механізм дії засобів захисту.
За використовуваними методами і способами порушників можна
класифікувати як таких, що:
- використовують виключно агентурні методи одержання відомостей;
- використовують пасивні технічні засоби перехоплення інформаційних
сигналів;
- використовують виключно штатні засоби ІТС або недоліки проектування
КСЗІ для реалізації спроб НСД;
- використовують способи і засоби активного впливу на ІТС, що змінюють
конфігурацію системи (підключення додаткових або модифікація штатних
технічних засобів, підключення до каналів передачі даних, впровадження і
використання спеціального ПЗ тощо).
За місцем здійснення дії можуть класифікуватись:
- без одержання доступу на контрольовану територію організації (ІТС);
- з одержанням доступу на контрольовану територію, але без доступу до
технічних засобів ІТС;
- з одержанням доступу до робочих місць кінцевих (у тому числі віддалених)
користувачів ІТС;
- з одержанням доступу до місць накопичення і зберігання даних (баз даних,
архівів, АРМ відповідних адміністраторів тощо);
- з одержанням доступу до засобів адміністрування ІТС і засобів керування
КСЗІ.
9. Модель загроз для інформації в ІТС: мета та завдання.
Основою для проведення аналізу ризиків і формування вимог до КСЗІ є
розробка моделі загроз для інформації та моделі порушника.
Для створення моделі загроз необхідно скласти перелік суттєвих загроз,
описати методи і способи їхнього здійснення.
Необхідно визначити, якими з можливих способів можуть здійснюватися
загрози в ІТС:
- технічними каналами, що включають канали побічних електромагнітних
випромінювань і наводок, акустичні, оптичні, радіо- та радіотехнічні, хімічні та
інші канали;
- каналами спеціального впливу шляхом формування полів і сигналів з метою
руйнування системи захисту або порушення цілісності інформації;
- несанкціонованим доступом шляхом підключення до апаратури та ліній
зв’язку, маскування під зареєстрованого користувача, подолання заходів
захисту з метою використання інформації або нав’язування хибної інформації,
застосування закладних пристроїв чи програм та вкорінення комп’ютерних
вірусів.
Загрози для інформації, що обробляється в ІТС, залежать від характеристик
ОС, фізичного середовища, персоналу, технологій обробки та інших чинників і
можуть мати об'єктивну або суб'єктивну природу. Загрози, що мають
суб'єктивну природу, поділяються на випадкові (ненавмисні) та навмисні.
Мають бути визначені основні види загроз для безпеки інформації, які можуть
бути реалізовані стосовно ІТС і повинні враховуватись у моделі загроз,
наприклад:
- зміна умов фізичного середовища (стихійні лиха і аварії, як землетрус, повінь,
пожежа або інші випадкові події);
- збої і відмови у роботі обладнання та технічних засобів ІТС;
- наслідки помилок під час проектування та розробки компонентів ІТС
(технічних засобів, технології обробки інформації, програмних засобів, засобів
захисту, структур даних тощо);
- помилки персоналу (користувачів) ІТС під час експлуатації;
- навмисні дії (спроби) потенційних порушників.
Необхідно визначити перелік можливих загроз і класифікувати їх за
результатом впливу на інформацію, тобто на порушення яких властивостей
вони спрямовані (конфіденційності, цілісності та доступності інформації), а
також порушення спостережності та керованості ІТС.
Випадковими загрозами суб’єктивної природи (дії, які здійснюються
персоналом або користувачами по неуважності, недбалості, незнанню тощо,
але без навмисного наміру) можуть бути:
- дії, що призводять до відмови ІТС (окремих компонентів), руйнування
апаратних, програмних, інформаційних ресурсів (обладнання, каналів зв’язку,
видалення даних, програм та ін.);
- ненавмисне пошкодження носіїв інформації;
- неправомірна зміна режимів роботи ІТС (окремих компонентів, обладнання,
ПЗ тощо), ініціювання тестуючих або технологічних процесів, які здатні
призвести до незворотних змін у системі (наприклад, форматування носіїв
інформації);
- неумисне зараження ПЗ комп’ютерними вірусами;
- невиконання вимог до організаційних заходів захисту чинних в ІТС
розпорядчих документів;
- помилки під час введення даних в систему, виведення даних за невірними
адресами пристроїв, внутрішніх і зовнішніх абонентів тощо;
- будь-які дії, що можуть призвести до розголошення конфіденційних
відомостей, атрибутів розмежування доступу, втрати атрибутів тощо;
- неправомірне впровадження і використання забороненого політикою безпеки
ПЗ (наприклад, навчальні та ігрові програми, системне і прикладне
забезпечення та ін.);
- наслідки некомпетентного застосування засобів захисту;
- інші.
Навмисними загрозами суб’єктивної природи, спрямованими на
дезорганізацію роботи ІТС (окремих компонентів) або виведення її з ладу,
проникнення в систему і одержання можливості несанкціонованого доступу до
її ресурсів, можуть бути:
- порушення фізичної цілісності ІТС (окремих компонентів, пристроїв,
обладнання, носіїв інформації);
- порушення режимів функціонування (виведення з ладу) систем
життєзабезпечення ІТС (електроживлення, уземлення, охоронної сигналізації,
вентиляції та ін.);
- порушення режимів функціонування ІТС (обладнання і ПЗ);
- впровадження і використання комп’ютерних вірусів, закладних (апаратних і
програмних) і підслуховуючих пристроїв, інших засобів розвідки;
- використання засобів перехоплення побічних електромагнітних
випромінювань і наводів, акусто-електричних перетворень інформаційних
сигналів;
- використання (шантаж, підкуп тощо) з корисливою метою персоналу ІТС;
- крадіжки носіїв інформації, виробничих відходів (роздруків, записів, тощо);
- несанкціоноване копіювання носіїв інформації;
- читання залишкової інформації з оперативної пам’яті ЕОМ, зовнішніх
накопичувачів;
- одержання атрибутів доступу з наступним їх використанням для маскування
під зареєстрованого користувача (“маскарад”);
- неправомірне підключення до каналів зв’язку, перехоплення даних, що
передаються, аналіз трафіку тощо;
- впровадження і використання забороненого політикою безпеки ПЗ або
несанкціоноване використання ПЗ, за допомогою якого можна одержати
доступ до критичної інформації (наприклад, аналізаторів безпеки мереж);
- інші.
Перелік суттєвих загроз має бути максимально повним і деталізованим. Для
кожної із загроз необхідно визначити:
- на порушення яких властивостей інформації або ІТС вона спрямована
(рекомендується користуватись чотирма основними градаціями – порушення
конфіденційності, цілісності, доступності інформації, а також порушення
спостережності та керованості ІТС);
- джерела виникнення (які суб’єкти ІТС або суб’єкти, зовнішні по відношенню
до неї, можуть ініціювати загрозу);
- можливі способи здійснення загроз.
10. Джерела загроз інформації в ІТС. Характеристика каналів витоку
інформації.
Носіями загроз безпеці інформації є джерела загроз. Джерелами загроз можуть
бути як суб'єкти (особистість), так і об'єктивні прояви. Причому, джерела
загроз можуть знаходитися як усередині організації — внутрішні джерела, так і
ззовні її — зовнішні джерела. Поділ джерел на суб'єктивні та об'єктивні
виправдане виходячи з попередніх міркувань стосовно вини або ризику збитку
інформації. А поділ на внутрішні та зовнішні джерела виправданий тому, що
для однієї й тієї ж загрози методи відбивання для внутрішніх і зовнішніхзагроз
можуть бути різними.
Усі джерела загроз безпеці інформації можна розділити на три групи:
- обумовлені діями суб'єкта (антропогенні джерела загроз)
- обумовлені технічними засобами (техногенні джерела загроз);
- обумовлені стихійними джерелами.
Антропогенними джерелами загроз виступають суб'єкти, дії яких можуть бути
кваліфіковані як навмисні або випадкові злочини. Тільки в цьому випадку
можна говорити про заподіяння збитку. Ця група джерел загроз найбільш
численна та представляє найбільший інтерес із точки зору організації захисту,
так як дії суб'єкта завжди можна оцінити, спрогнозувати та прийняти адекватні
заходи. Методи протидії у цьому випадку керовані й напряму залежать від волі
організаторів захисту інформації.
Антропогенним джерелом загроз можна вважати суб'єкта, що має доступ
(санкціонований або несанкціонований) до роботи зі штатними засобами
об'єкта, що підлягає захисту. Суб'єкти (джерела), дії яких можуть привести до
порушення безпеки інформації, можуть бути як зовнішніми, так і внутрішніми.
Зовнішні джерела можуть бути випадковими або навмисними та мати різний
рівень кваліфікації.
Внутрішні суб'єкти (джерела), як правило, представляють собою
висококваліфікованих спеціалістів у галузі розробки та експлуатації
програмного забезпечення та технічних засобів, знайомі зі специфікою
завдань, що вирішуються, структурою та основними функціями та принципами
роботи програмно-апаратних засобів захисту інформації, мають можливість
використання штатного обладнання та технічних засобів мережі.
Необхідно враховувати також, що особливу групу внутрішніх антропогенних
джерел складають особи з порушеною психікою та спеціально впроваджені та
завербовані агенти, які можуть бути з числа основного, допоміжного та
технічного персоналу, а також представників служби захисту інформації. Дана
група розглядається у складі перелічених вище джерел загроз, але методи
протидії загрозам для цієї групи джерел можуть мати свої відмінності.
Слід відзначити, що кваліфікація антропогенних джерел загроз безпеці
інформації відіграє важливу роль для оцінки їхнього впливу та враховується
при ранжируванні джерел загроз.
Друга група містить джерела загроз, що визначаються технократичною
діяльністю людини та розвитком цивілізації. Проте наслідки, викликані такою
діяльністю, вийшли з-під контролю людини та діють самі по собі. Людство
дійсно стає все більше залежним від техніки, і джерела загроз, які
безпосередньо залежать від властивостей техніки, менше прогнозовані і тому
потребують особливої уваги. Даний клас джерел загроз безпеці інформації є
особливо актуальних у сучасних умовах, так як очікується різке зростання
числа техногенних катастроф, викликаних фізичним та моральним
застаріванням існуючого обладнання, а також відсутністю коштів на його
оновлення. Технічні засоби, що є джерелами потенційних загроз безпеці
інформації, також можуть бути зовнішніми та внутрішніми.
Третя група джерел загроз об'єднує обставини, що складають непереборну
силу, тобто такі обставини, які носять об'єктивний і абсолютний характер, що
розповсюджується на всіх. До непереборної сили в законодавстві та договірній
практиці відносять стихійні лиха або інші обставини, які неможливо
передбачити або їм запобігти або можливо передбачити, але не можливо
запобігти їм при сучасному рівні знань і можливостей людини. Такі джерела
загроз абсолютно не піддаються прогнозуванню, і тому заходи захисту від них
повинні застосовуватися завжди.
Стихійні джерела потенційних загроз інформаційній безпеці, як правило, є
зовнішніми по відношенню до об'єкта захисту. Під ними розуміють,
насамперед, природні катаклізми.
Всі канали витоку даних можна розділити на непрямі і прямі. Непрямі канали
не вимагають безпосереднього доступу до технічних засобів інформаційної
системи. Прямі відповідно вимагають доступу до апаратного забезпечення і
даних інформаційної системи.
Приклади непрямих каналів витоку:
- Крадіжка або втрата носіїв інформації, дослідження не знищеного сміття;
- Дистанційне фотографування, прослуховування;
- Перехоплення електромагнітних випромінювань.
Приклади прямих каналів витоку:
- Інсайдери (людський фактор). Витік інформації внаслідок
недотримання комерційної таємниці;
- Пряме копіювання.
Канали витоку інформації можна також розділити за фізичними властивостями
і принципам функціонування:
- акустичні — запис звуку, підслуховування і прослуховування;
- акустоелектричні — отримання інформації через звукові хвилі з подальшою
передачею її через мережі електроживлення;
- віброакустичні — сигнали, що виникають за допомогою перетворення
інформативного акустичного сигналу при впливі його на будівельні
конструкції і інженерно-технічні комунікації приміщень, які захищаються;
- оптичні — візуальні методи, фотографування, відеозйомка, спостереження;
- електромагнітні — копіювання полів шляхом зняття індуктивних наводок;
- радіовипромінювання або електричні сигнали від впроваджених в технічні
засоби і приміщення спеціальних електронних пристроїв знімання мовної
інформації «закладних пристроїв», які модульовані інформативним сигналом;
- матеріальні — інформація на папері або інших фізичних носіях інформації
Залежно від виду каналів зв'язку технічні канали перехоплення інформації
можна розділити на:
Перехоплення інформації, переданої по каналах радіо, радіорелейного зв'язку
- Електромагнітний. Модульовані інформаційним сигналом високочастотні
електромагнітні випромінювання передавачів засобів зв'язку можуть
перехоплюватися портативними засобами радіорозвідки і при необхідності
передаватися в центр обробки для їх розкодування. Такий канал перехоплення
інформації широко використовується для прослуховування телефонних
розмов.
Знімання інформації, переданої по кабельних лініях зв'язку. Канал
перехоплення інформації, що передається по кабельних лініях зв'язку,
передбачає контактне підключення апаратури розвідки до кабельних лініях
зв'язку.
- Електричний. Часто використовується для перехоплення телефонних розмов.
При цьому перехоплюється інформація, що може безпосередньо записуватися
на диктофон або передаватися по радіоканалу в пункт прийому для її запису і
аналізу. Пристрої, що підключаються до телефонних ліній зв'язку та які
комплексуються з пристроями передачі інформації по радіоканалу, часто
називають телефонними закладками.
- Індукційний — канал перехоплення інформації, що не вимагає контактного
підключення до каналів зв'язку. При проходженні по кабелю інформаційних
електричних сигналів навколо кабелю утворюється електромагнітне поле. Ці
електричні сигнали перехоплюються спеціальними індукційними датчиками.
Індукційні датчики використовуються в основному для знімання інформації з
симетричних високочастотних кабелів. Сигнали з датчиків посилюються,
здійснюється частотне розділення каналів, і інформація, що передається по
окремих каналах, записується на магнітофон, а високочастотний сигнал
записується на спеціальний магнітофон.
Технічні канали витоку інформації можна розділити на природні і спеціально
створені.
Природні канали витоку інформації виникають при обробці інформації
технічними засобами (електромагнітні канали витоку інформації) за рахунок
побічних електромагнітних випромінювань, а також внаслідок наведень
інформаційних сигналів в лініях електроживлення технічного засобу обробки
інформації, сполучних лініях допоміжних технічних засобів і систем (ДТЗС) та
сторонніх провідниках (електричні канали витоку інформації). До спеціально
створюваних каналах витоку інформації відносяться канали, створювані
шляхом впровадження в технічний засіб обробки інформації електронних
пристроїв перехоплення інформації (закладних пристроїв) і шляхом
високочастотного опромінення технічного засобу обробки інформації
11. Нормативні документи системи технічного захисту інформації. Їх роль
та  призначення.
НД ТЗІ 3.7-001-99 Методичні вказівки щодо розробки технічного завдання на
створення комплексної системи захисту інформації в автоматизованій системі
Цей нормативний документ встановлює вимоги до порядку розробки, складу і
змісту технічного завдання на створення комплексної системи захисту
інформації в автоматизованій системі, призначеній для оброблення, зберігання
і передачі (далі — оброблення) інформації з обмеженим доступом або
інформації, захист якої гарантується державою.
НД ТЗІ 3.6-001-2000 Технічний захист інформації. Комп’ютерні системи.
Порядок створення, впровадження, супроводження та модернізації засобів
технічного захисту інформації від несанкціонованого доступу.
Цей нормативний документ встановлює єдині вимоги до порядку створення,
впровадження, супроводження та модернізації засобів технічного захисту
інформації від несанкціонованого доступу в комп’ютерних системах та
захищених від несанкціонованого доступу компонентів обчислювальних
систем.
НД ТЗІ 3.3-001-07 Захист інформації на об’єктах інформаційної діяльності.
Створення комплексу технічного захисту інформації. Порядок розроблення та
впровадження заходів із захисту інформації
Цей нормативний документ системи технічного захисту інформації визначає
порядок проведення робіт під час створення комплексу ТЗІ на об’єкті
інформаційної діяльності органу державної влади, місцевого самоврядування,
військового формування, підприємства, установи та організації  на етапі
розроблення (проектування) та впровадження заходів із захисту від витоку
інформації з обмеженим доступом технічними каналами.
НД ТЗІ 3.1-001-07Захист інформації на об’єктах інформаційної діяльності.
Створення комплексу технічного захисту інформації. Передпроектні роботи
Цей нормативний документ системи технічного захисту інформації визначає
основні положення щодо проведення передпроектних робіт при створенні на
об'єкті інформаційної діяльності органу державної влади, місцевого
самоврядування, військового формування, підприємства, установи та
організації комплексу ТЗІ, який має забезпечувати захист від витоку
інформації з обмеженим доступом технічними каналами
НД ТЗІ 2.7-011-2012 Захист інформації на об’єктах інформаційної діяльності.
Методичні вказівки з розробки Методики виявлення закладних пристроїв
Цей нормативний документ системи технічного захисту інформації
встановлює загальні вимоги до розробки, змісту, оформлення та погодження
Методик виявлення закладних пристроїв, як документів, що визначають
методи (способи) та порядок проведення робіт з виявлення закладних
пристроїв.
НД ТЗІ 2.7-010-09 Методичні вказівки з оцінювання рівня гарантій коректності
реалізації функціональних послуг безпеки в засобах захисту інформації від
несанкціонованого доступу
Цей нормативний документ містить методичні вказівки та рекомендації щодо
здійснення експертного оцінювання відповідності засобів захисту інформації в
комп'ютерних системах від несанкціонованого доступу та комплексів засобів
захисту комплексних систем захисту інформації в інформаційно-
телекомунікаційних системах вимогам до технічного захисту інформації у
частині оцінювання рівня гарантій коректності реалізації функціональних
послуг безпеки.
НД ТЗІ 3.7-003 -2005 Порядок проведення робіт із створення комплексної
системи захисту інформації в інформаційно-телекомунікаційній системі
Цей документ визначає основи організації та порядок виконання робіт із
захисту інформації в інформаційно-телекомунікаційних системах  - порядок
прийняття рішень щодо складу комплексної системи захисту інформації в
залежності від умов функціонування ІТС і видів оброблюваної інформації,
визначення обсягу і змісту робіт, етапності робіт, основних завдань та порядку
виконання робіт кожного етапу.
Дія цього НД ТЗІ поширюється тільки на ІТС, в яких здійснюється обробка
інформації автоматизованим способом. Відповідно, для таких ІТС чинні всі
нормативно-правові акти та нормативні документи щодо створення АС та
щодо захисту інформації в АС. НД ТЗІ не встановлює нових норм, а
систематизує в одному документі вимоги, норми і правила, які безпосередньо
або непрямим чином витікають з положень діючих нормативних документів.
Цей НД ТЗІ побудовано у вигляді керівництва, яке містить перелік робіт і
посилання на діючі нормативні документи, у відповідності до яких ці роботи
необхідно виконувати. Якщо якийсь з етапів чи видів робіт не нормовано,
наводиться короткий зміст робіт та якими результатами вони повинні
закінчуватись.
НД ТЗІ 2.7-009-09 Методичні вказівки з оцінювання функціональних послуг
безпеки в засобах захисту інформації від несанкціонованого доступу
Цей нормативний документ містить методичні вказівки та рекомендації щодо
здійснення експертного оцінювання відповідності засобів захисту інформації в
комп'ютерних системах від несанкціонованого доступу та комплексів засобів
захисту комплексних систем захисту інформації в інформаційно-
телекомунікаційних системах вимогам до технічного захисту інформації в
частині оцінювання функціональних послуг безпеки. У частині, що стосується
методології проведення оцінювання, наведені рекомендації можуть також
використовуватися при проведенні експертизи засобів захисту інформації, в
яких сукупність реалізованих функцій захисту не в повному обсязі відповідає
встановленим НД ТЗІ вимогам щодо реалізації функціональних послуг
безпеки.
НД ТЗІ 2.6-001-11 Порядок проведення робіт з державної експертизи засобів
технічного захисту інформації від несанкціонованого доступу та комплексних
систем захисту інформації в інформаційно-телекомунікаційних системах
Цей нормативний документ містить опис загальних положень та порядку
проведення робіт з державної експертизи засобів технічного захисту
інформації від несанкціонованого доступу та комплексних систем захисту
інформації, оброблюваної в інформаційно-телекомунікаційних системах, у
сфері технічного захисту інформації.
НД ТЗІ 2.5-004-99 Критерії оцінки захищеності інформації в комп’ютерних
системах від несанкціонованого доступу
Цей нормативний документ — установлює критерії оцінки захищеності
інформації, оброблюваної в комп'ютерних системах, від несанкціонованого
доступу.
НД ТЗІ 2.5-005 -99 Класифікація автоматизованих систем і стандартні
функціональні профілі захищеності оброблюваної інформації від
несанкціонованого доступу
Цей документ установлює принципи класифікації автоматизованих систем і
утворення стандартних функціональних профілів захищеності оброблюваної
інформації від несанкціонованого доступу.
НД ТЗІ 2.5-008-2002 Вимоги із захисту службової інформації від
несанкціонованого доступу під час оброблення в автоматизованих системах
класу 2
Цей документ визначає вимоги із захисту службової інформації від
несанкціонованого доступу під час оброблення в автоматизованих системах
класу 2 і встановлює згідно з визначеними НД ТЗІ 2.5-004 специфікаціями
мінімально необхідний перелік функціональних послуг безпеки та рівнів їх
реалізації у комплексах засобів захисту інформації (стандартний
функціональний профіль захищеності). Установлені цим документом вимоги
застосовуються також для захисту: таємної інформації, що не становить
державної таємниці; конфіденційної інформації, яка перебуває у володінні
розпорядників інформації, визначених частиною першою статті 13 Закону
України “Про доступ до публічної інформації”; іншої інформації з обмеженим
доступом, необхідність захисту якої встановлено законом; конфіденційної
інформації фізичних та юридичних осіб.
12. Визначення критеріїв оцінки ризиків.
    Порушення основних властивостей інформації може стати серйозною
загрозою для організацій в даний час. Інформацію важче контролювати і вона
піддається зростаючому числу загроз і вразливостей, в тому числі
комп'ютерного шахрайства, шпигунству, саботажу, вандалізму, пожежі або
повені. Інформаційні ресурси, як і матеріальні, володіють якістю та кількістю,
мають собівартість і ціну. Оцінка ризиків є важливою частиною будь-якого
процесу інформаційної безпеки. Її використовують для визначення масштабу
загроз безпеці інформації та ймовірності реалізації загрози.
    Процес оцінки ризику оцінює ймовірність і потенційний збиток від
виявлених загроз, заходи індивідуального рівня ризику кожного
інформаційного активу і як вони ставляться до конфіденційності, цілісності та
доступності. Потім вимірюється ефективність існуючих заходів. Результати
допомагають організації визначити, які активи є найбільш критичними,
служать основою для визначення пріоритетів і рекомендують курс дій для
захисту активів.
 Є безліч способів оцінки інформаційного ризику і в цій статті авторами буде
представлено класифікацію існуючих методів і засобів оцінки інформаційних
ризиків.
    Оцінка ризику - це процес, який використовується для присвоєння значень
наслідків, ймовірності виникнення та рівня ризику. Вона включає в себе:
1. оцінку ймовірності загроз і вразливостей, які можливі;
2. розрахунок впливу, який може мати загроза на кожен актив;
3. визначення кількісної (вимірні) або якісної (описуваної) вартості ризику.
    Треба взяти до уваги те, що ці три змінні рідко незалежні одина від одної. В
області інформаційної безпеки, є зв'язок між вартістю активів, впливом і
ймовірністю. Наприклад, більш імовірно,  що хакер буде використовувати
уразливість, яка викликає більший вплив, ніж уразливість з низьким рівнем
впливу. Крім того, цінний актив має більшу імовірність компрометації,
ніж марний. Таким чином, в цій області повинно прийматися до уваги більше,
ніж просто випадкові дії. Необхідно брати до уваги, що при наявності
достатнього часу і рішучості, люди мають можливість обійти майже всі заходи
безпеки. Вони можуть бути надзвичайно творчими, коли мотивовані. Таким
чином, фактор мотивації повинен бути серйозно розглянутий в процесі оцінки
безпеки інформаційного ризику.
    У даній статті будуть розглянуті кращі, на думку авторів, способи оцінки
інформаційних ризиків.
На Рис. 1 представлені три способи, за допомогою яких можна проводити
оцінку інформаційних ризиків:
1. методи;
2. управляючі документи;
3. інструменти;

13. Вибір варіанту побудови КСЗІ. Загальна структура та склад КСЗІ.
В залежності від конфіденційності інформації, яка обробляється в ІТС, рівня її
критичності, величини можливих збитків від реалізації загроз, матеріальних,
фінансових та інших ресурсів, які є у розпорядженні власника ІТС, а також
інших чинників обґрунтовується пропозиція щодо доцільності застосування
варіантів побудови КСЗІ. Можливі наступні варіанти:
· досягнення необхідного рівня захищеності інформації за мінімальних затрат і
допустимого рівня обмежень на технологію її обробки в ІТС;
· досягнення необхідного рівня захищеності інформації за допустимих затрат і
заданого рівня обмежень на технологію її обробки в ІТС;
· досягнення максимального рівня захищеності інформації за необхідних затрат
і мінімального рівня обмежень на технологію її обробки в ІТС.
Якщо інформація становить державну таємницю, то необхідно застосовувати,
як правило, третій варіант.
Загальна структура та склад КСЗІ.
До складу КСЗІ входять заходи та засоби, які реалізують способи, методи,
механізми захисту інформації від:
- витоку технічними каналами, до яких відносяться канали побічних
електромагнітних випромінювань і наведень, акустоелектричні та інші канали;
- несанкціонованих дій та несанкціонованого доступу до інформації, що
можуть здійснюватися шляхом підключення до апаратури та ліній зв’язку,
маскування під зареєстрованого користувача, подолання заходів захисту з
метою використання інформації або нав’язування хибної інформації,
застосування закладних пристроїв чи програм, використання комп’ютерних
вірусів та ін;
- спеціального впливу на інформацію, який може здійснюватися шляхом
формування полів і сигналів з метою порушення цілісності інформації або
руйнування системи захисту.
Для кожної конкретної ІТС склад, структура та вимоги до КСЗІ визначаються
властивостями оброблюваної інформації, класом автоматизованої системи та
умовами експлуатації ІТС.
Загальна структура та склад КСЗІ визначаються на етапі формування завдання
на створення КСЗІ
14. Функціональні послуги захисту.
Точки зору забезпечення безпеки інформації ІТС або КЗЗ можна розглядати як
набір функціональних послуг. Кожна послуга являє собою набір функцій, що
дозволяють протистояти деякій множині загроз.
Існує певний перелік послуг, які на підставі практичного досвіду визнані
«корисними» для забезпечення безпеки інформації. Вимоги до реалізації даних
послуг наведені в НД ТЗІ
2.5-004-99 «Критерії оцінки захищеності інформації в КС від НСД».
Кожна послуга може включати декілька рівнів. Чим вище рівень послуги, тим
більш повно забезпечується захист від певного виду загроз. Рівні послуг мають
ієрархію за повнотою захисту, проте не обов'язково являють собою точну
підмножину один одного. Рівні починаються з першого (1) і зростають до
значення n, де n - унікальне для кожного виду послуг.
Функціональні послуги розбиті на 4 групи, кожна з яких описує вимоги до
послуг, що забезпечують захист від загроз одного із 4 -х основних типів:
конфіденційність (К), цілісність (Ц), доступність (Д) і спостережність (Н).
Критерії конфіденційності
В будь-якій КС інформація може переміщуватись в одному з двох напрямів:
від користувача до об'єкта або від об'єкта до користувача. Шляхи
переміщування, як і пристрої введення-виведення, можуть бути
різноманітними. Конфіденційність забезпечується через додержання вимог
політики безпеки щодо переміщення інформації від об'єкта до користувача або
процесу. Правильне (допустиме) переміщення визначається як переміщення
інформації до авторизованого користувача, можливо, через авторизований
процес.
В цьому розділі Критеріїв зібрані послуги, реалізація яких дозволяє
забезпечити захист інформації від несанкціонованого ознайомлення з нею
(компрометації). Конфіденційність забезпечується такими послугами: довірча
конфіденційність, адміністративна конфіденційність, повторне використання
об'єктів, аналіз прихованих каналів, конфіденційність при обміні. Принципи,
що лежать в основі реалізації послуг, визначаються політикою
конфіденційності.
Критерії цілісності
Цілісність забезпечується дотриманням вимог політики безпеки щодо
переміщення інформації до об’єкта з боку користувача або процесу. Правильне
(допустиме) переміщення визначається як переміщення інформації до об’єкта
від авторизованого користувача або процесу
В даному розділі Критеріїв зібрані послуги, реалізація яких дозволяє
забезпечити захист інформації від несанкціонованої модифікації (включаючи її
знищення). Цілісність забезпечується такими послугами: довірча цілісність,
адміністративна цілісність, відкат, цілісність при обміні. Принципи, що лежать
в основі реалізації послуг, визначаються політикою цілісності.
Критерії доступності
Для того, щоб КС могла бути оцінена на відповідність критеріям доступності,
КЗЗ КС, що оцінюється, повинен надавати послуги щодо забезпечення
можливості використання КС в цілому, окремих функцій або оброблюваної
інформації, на певному проміжку часу і гарантувати спроможність КС
функціонувати в разі відмови її компонентів. Доступність може
забезпечуватися в КС такими послугами: використання ресурсів, стійкість до
відмов, гаряча заміна, відновлення після збоїв.
Критерії спостереженості
Для того, щоб КС могла бути оцінена на відповідність критеріям
спостереженості, КЗЗ повинен надавати послуги щодо забезпечення
відповідальності користувача за свої дії і щодо підтримки спроможності КЗЗ
виконувати свої функції. Спостережність забезпечується в КС такими
послугами: реєстрація (аудит), ідентифікація і автентифікація, достовірний
канал, розподіл обов'язків, цілісність КЗЗ, самотестування, ідентифікація і
автентифікація при обміні, автентифікація відправника, автентифікація
отримувача.