Klase sigurnosti računalnih sustava. Međunarodni standard asa/apa 15408

Moderni računalni sustavi opremljeni su određenim načinima zaštite informacija od stranaca i uljeza. Bez njega je nemoguće zamisliti niti jedan program ili cijeli kompleks informacijske tehnologije. Klase sigurnosti ključne su za računalne sustave jer sve više osobnih podataka korisnika i intelektualnog vlasništva završava na mreži, a stupanj njihove zaštite izravno utječe na živote ljudi. S tim u vezi treba razmotriti postojeće vrste zaštite podataka.

Opće informacije

Zahvaljujući standardizaciji i sistematizaciji zahtjeva i karakteristika informacijskih kompleksa sa zaštitom, pojavio se sustav nacionalnih i međunarodnih standarda u području zaštite i sigurnost informacija, koji uključuje više od stotinu dokumenata. Jedno od glavnih mjesta u ovom sustavu zauzima standard 15408.

Povijest

Početak stvaranja međunarodnog standarda za ocjenu sigurnosti i sigurnosnih klasa započeo je 1990 Međunarodne organizacije o standardizaciji. U razvoju su sudjelovale Sjedinjene Države, Kanada, Njemačka, Engleska i Francuska. Razvoj je bio u tijeku desetljeće najboljih stručnjaka u svijetu i više puta je uređivan. Odobrenje standarda verzije 2.1 dogodilo se 8. lipnja 1999. Generički naziv za iPhone, ili "Opći kriteriji za procjenu sigurnosti informacijskih sustava".

Stvorio "Opći kriteriji" kombinirano znanje i iskustvo u korištenju "Narančasta knjiga", unaprijedili su europske i kanadske kriterije sigurnosti sustava i uspostavili stvarnu strukturu profila zaštite američkih saveznih kriterija.

Sadržaj

Opće odredbe klasificiraju širok skup zahtjeva za alate za osiguranje računalne sigurnosti, definiraju strukturu grupiranja i načine uporabe. Glavna prednost ovog sustava bila je potpuna Izjava o sigurnosnim zahtjevima i njihovo pojednostavljenje, fleksibilnost u korištenju i mogućnosti za daljnji napredak. Glavni svjetski proizvođači tehnologije tog vremena odmah su stvorili i isporučili kupcima sredstva koja udovoljavaju zahtjevima općih kriterija.

Njihov je razvoj proveden kako bi se zadovoljile sljedeće skupine stručnjaka: proizvođači, potrošači it proizvoda i stručnjaci u procjeni razine sigurnosti tehnologije. Uvedeni standard pružio je potporu za odabir informacijskih proizvoda koji moraju ispunjavati zahtjeve za funkcioniranje u uvjetima sigurnosne prijetnje i služe kao podrška dizajnerima sigurnosnih sustava tih proizvoda. Također je regulirana tehnologija stvaranja takvih sustava i procjena postignute razine sigurnosti.

Uvođenjem kriterija, informacijska sigurnost smatra se skupom integriteta i povjerljivosti podataka koje informacijski proizvod obrađuje i postavlja cilj zaštite proizvoda i suzbijanja prijetnji koje mogu biti relevantne u radu određenog proizvoda. Iz toga slijedi da kombinirani kriteriji uključuju svi dijelovi projektiranje, stvaranje i korištenje informacijskih proizvoda koji rade pod određenim sigurnosnim rizicima.

Struktura

Imenovani standard 15408. sadrži tri dijela:

• Uvod i opći prikaz.
• Funkcionalni sigurnosni zahtjevi.
• Zahtjevi sigurnosnog jamstva.

S ovog popisa postaje jasno, što zajedničko kriteriji pružaju dvije vrste zahtjeva za zaštitu podataka: funkcionalni i zajamčeni. Prvi se odnose na sigurnosne usluge koje uključuju provjeru autentičnosti, identifikaciju, kontrolu pristupa, reviziju i još mnogo toga. Jamstvo uključuje tehnologiju razvoja, ispitivanja, analize ranjivosti, rada, održavanja i još mnogo toga.

Sve klase sigurnosti i njihovi zahtjevi dijele zajednički stil i organizirani su u hijerarhiju. Između njih mogu postojati ovisnosti, pod uvjetom da komponente nisu dovoljne za ispunjavanje sigurnosne svrhe i da je potrebna druga komponenta.

Modeli prijetnji

Da bi se učinkovito koristio i razvio sigurnosni profil, u procesu njegovog stvaranja provodi se analiza svih prijetnji koje bi mogle biti izvedive u odnosu na tehnologiju ove skupine. Tijekom toga izrađuju se modeli prijetnji koji uključuju sljedeće:

• životni ciklus prijetnje;
• smjer prijetnje;
• izvor;
• ugroženi sustavi;
• imovina koja zahtijeva zaštitu;
• metode i algoritmi za provedbu prijetnje;
• mogući problemi;
• rizici i drugi aspekti.

Dizajn modela prijetnje

Nije dovoljno samo pretpostaviti koje opasnosti sustav koji se stvara može očekivati. Osim toga, trenutno je njihov broj ogroman i pružanje zaštite od svih zahtijevat će puno vremena i novca. S tim u vezi uspostavlja se opći popis mogućih opasnosti relevantnih za sustave u određenom području, na temelju kojih će se u budućnosti uspostaviti kriteriji za određivanje sigurnosti računalnih sustava ove vrste.

Postupak stvaranja modela prijetnje sličan je provođenje analize rizika. Dakle, u procesu opisivanja prijetnji od namjerne ljudske aktivnosti, format izvora procjenjuje se prema načinima provedbe prijetnje i vjerojatnosti njezine provedbe.

Klase sigurnosti

Standard definira sigurnosnu funkciju kao dio sustava na kojem počiva provedba podskupa pravila njihove sigurnosne politike. Sigurnosna funkcija dodaje otpornost, karakteristiku koja izvještava o minimalnom potrebnom utjecaju na njezinu sigurnost, u kojem prekršit će se sigurnosna politika ove značajke. Njegove vrijednosti su sljedeće:

• Osnovni. Značajka jamči sigurnost od slučajnih prekršaja, pod uvjetom da počinitelj ima mali potencijal napada.
• Srednja. Osigurana je zaštita od ciljanih kršenja sigurnosti od strane prekršitelja s umjerenom stopom napada.
• Visoka. Jamči zaštitu od planiranih i organiziranih kršenja od napadača visoke vještine.

Postoji i zasebna shema za određivanje potencijala napada koja uzima u obzir određene čimbenike:

1. Prilikom definiranja ranjivosti:
   Vrijeme potrebno za identifikaciju problema. Razina potrebne obuke. Imati znanje o projektu i njegovom funkcioniranju. Softverski alati i druga oprema.
2. Kada koristite:
   Vrijeme provedeno u korištenju problema. Razina obuke. Upoznavanje s projektom funkcioniranja. Potrebni softverski proizvodi.

Zaštita računalnih sustava glavni zadatak bilo kojeg softverskog proizvoda odgovornog za računalnu sigurnost. Istodobno, kvaliteta ove funkcije i informacije o prijetnjama kojima se sustav može oduprijeti imaju svoju klasifikaciju, unaprijed odobrenu u fazi razvoja. Zahvaljujući tome, Računalna sigurnost ima visoke pokazatelje kvalitete.