Системой защиты информации является совокупность взаимосвязанных средств, мероприятий и методов, которые направлены на предотвращение искажения, уничтожения или несанкционированного получения конфиденциальной информации, что отображается электромагнитными, световыми и звуковыми волнами, а также вещественными носителями в виде образов, сигналов, символов, процессов и технических решений.
Нормативный документ, который были подписан 30 марта 1992 года по решению Гостехкомиссии России, устанавливает классификацию автоматизированных систем, которые подлежат защите от несанкционированного доступа к конфиденциальной информации, а также требования касательно защиты информации в персональных компьютерах различных классов.
Какие существуют классы защиты информации
Классы защиты информации подразделяются на три группы, которые отличаются особенностями обработки информации в автоматизированных системах (далее – АС). В границах каждой группы соблюдена иерархия требований по защите информации в зависимости от ее конфиденциальности, а также иерархия классов защищенности АС.
Третья группа содержит автоматизированные системы, в которых работает один пользователь, который получил допуск ко всей информации АС, размещенных на носителях одного уровня ценности (конфиденциальности). Данная группа содержит два класса защиты информации – 3А и 3Б.
Вторая группа содержит автоматизированные системы, в которых все пользователи имеют равные пользовательские права доступа ко всей информации АС, которая хранится и обрабатывается на носителях разного уровня конфиденциальности. Данная группа содержит два класса защиты информации – 2А и 2Б.
Первая группа содержит многопользовательские автоматизированные системы, в которых одновременно хранится или обрабатывается информация разных уровней ценности (конфиденциальности). Ко всей информации АС не все пользователи имеют доступ. Данная группа содержит пять классов защиты информации – 1Д, 1Г, 1В, 1Б и 1А.
Характеристика классов защиты информации
Класс защиты информации 3А имеет такие требования:
- Подсистема управления доступом должна выполнять идентификацию и проверку подлинности доступа субъектов при входе в систему по идентификатору и паролю условно-постоянного действия, который должен содержать не менее шести символов.
- Регистрация и учет входа субъектов в систему или узел сети.
- Выдача печатной выходной документации.
- Учет информационных носителей.
- Очистка освобождаемых областей внешних накопителей и оперативной памяти.
- Обеспечение целостности обрабатываемой информации и программных средств.
- Обеспечение физической охраны носителей информации и средств вычислительной техники.
- Наличие службы защиты информации в автоматизированных системах.
- Периодическое тестирование системы защиты информации НСД.
- Наличие средств восстановления системы защиты информации НСД.
- Применение сертифицированных средств защиты.
Класс защиты 1А имеет такие требования:
- Подсистема управления доступом должна осуществлять идентификацию и проверку подлинности при входе в систему по специальным устройствам или биометрическим характеристикам (электронным ключам, жетонам, картам), а также по паролю временного действия, который содержит не менее восьми символов (буквы и цифры).
- Должна производиться аппаратная идентификация, а также проверка подлинности терминалов, узлов сети ЭВМ, внешних устройств, а также каналов связи по уникальным встроенным устройствам.
- Должна проводиться проверка подлинности и идентификации программ, каталогов, записей, файлов, а также полей записей по контрольным суммам.
- Должно проводиться управление информационным потоком при помощи меток конфиденциальности. Уровень значимости накопителей при этом должен быть выше уровня конфиденциальности той информации, которая записывается на него.
- Если говорить о системе регистрации и учета, то должна выполняться регистрация входа субъектов доступа в систему либо инициализации операционной системы и ее программного останова. В момент аппаратного отключения автоматизированных систем регистрация выхода из систем не проводится.
- Должна выполняться регистрация запуска или завершения всех программных комплексов и процессов, которые открыты в автоматизированной системе. В параметрах регистрации необходимо указать дату и время запуска, имя идентификатора программы, результат запуска, имя файла.
- Если говорить о криптографической подсистеме, то должно выполняться шифрование всей конфиденциальной информации, которая записывается на носители данных, что совместно используются различными субъектами доступа (разделяемые), в каналах связи, а также на любые съемные носители данных долговременной внешней памяти с целью хранения за пределами сеансов работы санкционированных субъектов доступа. При этом должна осуществляться автоматическая очистка областей внешней памяти, которая содержала ранее незашифрованную информацию.
- Должны применяться криптографические ключи для шифрования информации, которая принадлежит разным субъектам доступа.
- Должны применяться сертифицированные средства криптографической защиты информации. Их сертификация обычно проводится специализированными предприятиями и специальными сертификационными центрами, которые имеют лицензию на проведение сертификации криптографических средств информационной защиты.
- Целостность программной среды должна выполняться качеством приемки программных средств в автоматизированных системах.
