Комплексні системи захисту інформації. Проектування, впровадження, супровід

Вiн являе собою перелiк мiнiмально необхiдних рiвнiв послуг, якi повинен реалiзовувати КЗЗ обчислювальноi системи АС, щоб задовольняти певнi вимоги щодо захищеностi iнформацii, яка обробляеться в данiй АС.

Для кожного з пiдкласiв кожного класу вводиться деяка кiлькiсть iерархiчних СФПЗ, яка може бути рiзною для кожного класу i пiдкласу АС. Профiлi е iерархiчними в тому розумiннi, що iх реалiзацiя забезпечуе наростаючу захищенiсть вiд загроз вiдповiдного типу (К, Ц i Д). Зростання ступеня захищеностi може досягатись як пiдсиленням певних послуг, тобто включенням до профiлю бiльш високого рiвня послуги, так i включенням до профiлю нових послуг.

Така класифiкацiя корисна для полегшення вибору перелiку функцiй, якi повинен реалiзовувати КЗЗ проектованоi або iснуючоi АС. Цей пiдхiд дозволяе мiнiмiзувати витрати на початкових етапах створення КСЗІ ІТС. Проте слiд визнати, що для створення КЗЗ, який найповнiше вiдповiдае характеристикам i вимогам до конкретноi АС, необхiдно проведення в повному обсязi аналiзу загроз i оцiнки ризикiв.

СФПЗ будуються на пiдставi iснуючих вимог щодо захисту певноi iнформацii вiд певних загроз i вiдомих на сьогоднiшнiй день функцiональних послуг, що дозволяють протистояти даним загрозам i забезпечувати виконання вимог, якi висуваються. Полiтика безпеки АС, що реалiзуе певний СФПЗ, мае бути «успадкована» з документiв, що встановлюють вимоги до порядку обробки певноi iнформацii в АС.

НД ТЗІ 2.5-005-99 визначае стандартний пiдхiд до визначення ФПЗ АС шляхом вибору з множини СФПЗ, який базуеться на таких припущеннях:

– усi АС можна вiднести до одного з трьох класiв за наступними ознаками: конфiгурацiя апаратних засобiв, iх фiзичне розмiщення, кiлькiсть категорiй оброблюваноi iнформацii, кiлькiсть користувачiв i категорiй користувачiв;

– у межах класу АС можна вiднести до одного з пiдкласiв, що визначенi за критерiем необхiдностi забезпечення К, Ц i Д;

– вимоги до безпеки АС рiзних класiв суттево вiдрiзняються, що дозволяе сформувати для iх пiдкласiв множини СФПЗ, що знаходяться у iерархiчнiй залежностi;

– для створення КЗЗ, який найповнiше вiдповiдае характеристикам i вимогам до конкретноi ІТС, необхiдно проведення в повному обсязi аналiзу загроз i оцiнки ризикiв.

Стандартний пiдхiд визначення ФПЗ вимагае таких етапiв:

1. Визначення пiдкласу АС.

2.