Оранжевая книга. История создания. Основные положения

Оранжевая книга. История создания. Основные положения 
 

Содержание 
 
 

      Введение  

      Мы  живем в то время, когда осуществляется переход от индустриального общества к информационному, в котором  информация становится более важным ресурсом, чем материальные или энергетические ресурсы. «Информационные ресурсы являются собственностью, находятся в ведении соответствующих органов и организаций, подлежат учету и защите, т.к. информацию можно использовать не только для производства товаров и услуг, но и превратить ее в наличность, продав кому-нибудь, или, что еще хуже, уничтожить» (5, с. 3). Зачастую получение (производство) информации – не только трудоемкий, но и дорогостоящий процесс, а ценность самой информации определяется в первую очередь приносимыми ею доходами.

      В условиях рыночной экономики как  никогда актуальны вопросы конкуренции, в т.ч. и конкурентная борьба за получение  уникальной и/или конфиденциальной информации самыми разными способами. «Установлено, что 47% охраняемых сведений добывается с помощью технических средств промышленного шпионажа»(5, с. 4). В таких условиях вопросы защиты информации от несанкционированного овладения ею приобретают первостепенное значение, заставляя принимать меры против таких действий с информацией, как ее разглашение, несанкционированный доступ; актуальная и борьба с противоправными действиями по уничтожению, модификации, искажению, копированию, блокированию информации; с несоблюдением правового режима документированной информации как объекта собственности и нарушением прав субъектов при разработке и производстве информационных систем и технологий также необходимо бороться. Особую остроту эти вопросы приобретают в свете регулярного применения для хранения, обработки, передачи информации средств вычислительной техники.

      Для решения обозначенных проблем потребовалось  не только осуществлять практическую деятельность, но и вырабатывать общие  нормы, критерии, положения (в т.ч. и  правовые), которые бы обеспечили информационную безопасность. Тема данной контрольной работы – «Оранжевая книга. История создания. Основные положения», и в ней планируется рассмотреть основные положения критериев оценки безопасности компьютерных систем, известных как «Оранжевая книга». Для более глубокого понимания исследуемой темы в начале работы будут кратко рассмотрены определение и основные положения информационной безопасности. 

      1. Определение  информационной безопасности, основные положения,  связанные с данным  понятием 

     Информационная  безопасность – «состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства» (6). Как видно, данное определение является очень общим, намечающим только концептуальные основы рассматриваемого понятия. Дадим еще одно определение: информационная безопасность – это «такое состояние рассматриваемой системы, при котором она, с одной стороны, способна противостоять дестабилизирующему воздействию внешних и внутренних информационных угроз, а с другой – ее функционирование не создает информационных угроз для элементов самой системы и внешней среды» (2, с. 12).

     Исследователи говорят об очевидной необходимости теоретической разработки международно-правовых основ регулирования взаимоотношений субъектов международного права в сфере качественно изменяющихся под воздействием информационной революции условий обеспечения международной и национальной безопасности, в сфере обеспечения информационной безопасности государства (1, с. 6–14).

     Актуальность  проблемы информационной безопасности заключается:

• в особом характере общественной опасности возможных преступлений;
• в наличии тенденции к росту числа преступлений в информационной сфере;
• в неразработанности ряда теоретических положений, связанных с информационной безопасностью (1, с. 6–14).

     Проблема  обеспечения безопасности носит  комплексный характер, для ее решения необходимо сочетание законодательных, организационных и программно-технических мер и средств. Программно-технические средства, реализуются программным и аппаратным обеспечением, при этом решают разные задачи по защите. Они могут быть встроены в операционные системы либо реализованы в виде отдельных продуктов.

     Ключевые  моменты, которые описывают положение  в сфере информационной безопасности Российской Федерации и предлагают варианты решения актуальных проблем, содержатся в «Концепции национальной безопасности РФ» (утверждена Указом Президента РФ от 17.12.1997 г., в ред. Указа Президента от 10.01.2000 г.), а также в Военной доктрине Российской Федерации, которая была утверждена Указом Президента РФ от 21.04.2000 г. Советом безопасности в дополнение к этому в 2001 г. была предложена «Концепция совершенствования правового обеспечения информационной безопасности РФ».

     В «Доктрине информационной безопасности Российской Федерации» (утверждена Президентом РФ 09.12.2000 г.) описывается совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности Российской Федерации. Данный документ призван расширять и углублять положения, закрепленные в Концепции национальной безопасности РФ в том, что касается сферы информационных отношений. Приняты и федеральные законы, регламентирующие порядок работы с информацией в тех или иных сферах

(Федеральный закон Российской Федерации от 27 июля 2006 г. N 149-ФЗ Об информации, информационных технологиях и о защите информации; Федеральный закон Российской Федерации от 27 июля 2006 г. N 152-ФЗ О персональных данных; Закон РФ от 21 июля 1993 г. N 5485-I О государственной тайне и др.), целью которых является реализация мер урегулированию сферы информационных отношений, в частности, по обеспечению информационной безопасности.

     Специалисты, работающие в сфере информационной безопасности, в своей работе опираются на различные спецификации и стандарты. Стоит отметить, что законодательство закрепляет необходимость следовать тем или иным стандартам (так обстоит ситуация, скажем, с криптографическими и Руководящими документами Гостехкомиссии России). Кроме этого, существуют и такие причины следования стандартам и спецификациям, которые можно назвать содержательными. Первое: стандарты и спецификации представляют из себя упорядоченные хранилища данных (знаний) о таких уровнях информационной безопасности, как процедурный  и программно-технический. В них изложены апробированные, высококачественные решения и методологии, разработанные наиболее квалифицированными специалистами. Во-вторых, и спецификации, и стандарты можно назвать основным средством обеспечения взаимной совместимости аппаратно-программных систем и их компонентов (1, с. 10–11).

     Среди множества различных стандартов и спецификаций можно выделить две дополняющие друг друга группы документов:

• оценочные стандарты, предназначенные для оценки и классификации информационных систем и средств защиты по требованиям безопасности;
• спецификации, регламентирующие различные аспекты реализации и использования средств и методов защиты.

     Роль  оценочных стандартов, как уже  было указано выше, состоит в описании ключевых понятий и аспектов информационных систем, причем на основе таких стандартов возможно реализовать организационную и архитектурную спецификацию. Среди оценочных стандартов особо выделяется стандарт «Критерии оценки доверенных компьютерных систем» (Trusted Computer System Evaluation Criteria –TCSEC), разработанный Министерством обороны США (будет рассмотрен во второй части работы), интересны и дополнения к нему, сделанные для сетевых конфигураций (Trusted Network Interpretation). Существуют и другие оценочные стандарты.

     Спецификации для распределенных информационных систем в настоящее время создаются в основном одним из подразделений, входящих в состав «Тематической группы по технологии Интернет» (Internet Engineering Task Force, IETF), которое называется рабочей группой по безопасности. Документы, регламентирующие безопасность на IP-уровне (IPsec), являются базовыми, определяющими для спецификаций распределенных ИС. Также регламентируются механизмы защиты транспортного уровня (Transport Layer Security, TLS), уровня приложений (это задача спецификаций Kerberos, GSS-API). Административный и процедурный уровни безопасности также не остаются без внимания («Руководство по информационной безопасности предприятия» – RFC2196; «Руководство по защите сети организации» – RFC1244; «Как выбирать поставщика интернет-услуг»; «Как реагировать на нарушения информационной безопасности» – RFC2350). Спецификациями для урегулирования вопросов сетевой безопасности также являются «Архитектура безопасности для взаимодействия открытых систем» X.800, «Служба каталогов: обзор концепций, моделей и сервисов» X.500, «Служба каталогов: каркасы сертификатов открытых ключей и атрибутов» X.509 (1, с. 12).

     Таким образом, мы видим, что решение проблемы обеспечения информационной безопасности настолько важно, что осуществляется на самых разных уровнях, от обеспечения правовой базы до технического регламентирования. 

      2. «Оранжевая  книга»: история создания  и основные положения 

     Для изучения данного раздела было проанализировано несколько источников информации (1; 7; 8; 9; 10; 11), по которым и было составлено представление об «Оранжевой книге». Тем не менее, отметим, что за основу излагаемой далее информации был взят учебник по информационной безопасности А.М. Блинова (1, с. 22–45).

     «Критерии оценки доверенных компьютерных систем» (Trusted Computer System Evaluation Criteria – TCSEC) были разработаны и опубликованы в 1983 г. Министерством обороны США. Они предназначаются для определения требований безопасности, которые предъявляются к аппаратному, программному и специальному программному и информационному обеспечению компьютерных систем; также данные критерии призваны стать основой для разработки методологии и технологии анализа поддержки политики безопасности в информационных системах, в частности, в военных ИС. Данные требования в дальнейшем стали называться по цвету обложки книги, в которой они были изданы. Таким образом, неформальное название «Оранжевая книга» прочно закрепилось.

     Ценность  этого регламента в том числе  состоит в том, что в нем  были впервые определены такие понятия, как «политика безопасности», «корректность» и др. Исходя из толкования «Оранжевой книги», безопасная компьютерная система – это система, которая поддерживает управление доступом к обрабатываемой в ней информации так, что только соответствующим образом авторизованные пользователи или процессы (субъекты), действующие от их имени, получают возможность читать, записывать, создавать и удалять информацию. Все последующие стандарты и спецификации, касающиеся безопасности распределенных ИС, опираются на положения о защите информации и наборе функциональных требований к ней, прописанные в рассматриваемом документе.

     В рамках общей структуры требований, содержащихся в «Критериях…», выделены четыре категории таких требований: политика, подотчетность, гарантии и документирование, в рамках которых сформулированы базовые требования безопасности. Рассмотрим их подробнее.

     Что касается требований политики безопасности, то система должна поддерживать точно определенную политику безопасности (мандатную или дискреционную). Доступа субъектов, использующих ИС, к ее объектам выявляется путем их (субъектов) идентификации, а также на основании набора правил управления доступом.

     Требования  подотчетности оперируют понятиями  идентификации и аутентификации. Все субъекты в ИС наделяются уникальными идентификаторами. При выполнении контроля доступа анализируются результаты идентификации субъекта и объекта доступа, подтверждается подлинность их идентификаторов (происходит аутентификация) и выполняются правила разграничения доступа. Безусловно, используемые для аутентификации и идентификации данные должны быть защищены от несанкционированного доступа, модификации и уничтожения; также они обязательно ассоциируются со всеми активными компонентами компьютерной системы, функционирование которых критично с точки зрения безопасности. Также требование подотчетности связано с регистрацией и учетом. Все события, происходящие в информационной системе и так или иначе связанные с ее безопасностью, отслеживаются и регистрируются в защищенном протоколе. При этом системой регистрации в процессе анализа из всех событий выделяются только те, которые влияют на безопасность (это делается, чтобы уменьшить объем протокола и повысить эффективность анализа). В такой ситуации естественным требованием является требование о том, что указанный протокол должен надежно защищаться от несанкционированного доступа, модификации и уничтожения. 

     Категория гарантий (корректность) содержит такое требование, как контроль корректности функционирования средств защиты. Это означает, что специальные независимые аппаратные и программные средства должны включаться в систему защиты с целью обеспечить высокий уровень работоспособности защитных функций, а именно: все средства защиты, которые реализуют политику безопасности ИС, управление атрибутами и метками безопасности, идентификацию и аутентификацию субъектов и объектов ИС, регистрацию и учет должны контролироваться отдельной группой средств, которая обеспечит корректность и стабильность их работы. Здесь, как и во многих подобных случаях, важно, чтобы средства контроля (точнее, их функционирование) совершенно не зависели от самих средств защиты. Также соблюдение гарантий диктует необходимость защиты всех средств от таких воздействий, как несанкционированное вмешательство и отключение, причем здесь важно обеспечить непрерывность защиты от указанных воздействий любом режиме функционирования и самой системы защиты, и в целом компьютерной вычислительной системы. Данное требование распространяется на весь жизненный цикл компьютерной системы. Укажем также, что при определении степени надежности системы опираются на данное требование как на одно из ключевых.