Руководящий документ. Безопасность информационных технологий. Руководство по разработке профилей защиты и зданий по безопасности

     8. Среда безопасности ОО

В данной главе представлены рекомендации по спецификации раздела ПЗ/ЗБ "Среда безопасности ОО". Требования к содержанию этого раздела ПЗ/ЗБ определены в п.Б.2.4 и п.В.2.4 части 1 ОК.

Содержание раздела "Среда безопасности ОО" в ПЗ и раздела "Среда безопасности ОО" в ЗБ не имеют серьезных различий.

Цель раздела "Среда безопасности ОО" состоит в том, чтобы определить аспекты безопасности среды ОО (см. рисунок 1).

     
Рисунок 1 - Определение аспектов среды безопасности ОО

Поэтому в данном разделе предметом рассмотрения становятся следующие аспекты:

а) предположения относительно среды безопасности ОО;

б) активы, требующие защиты (обычно информация или ресурсы в пределах ИТ-среды или непосредственно ОО), идентифицированные источники угроз и сами угрозы, которые они порождают для активов;

в) ПБОр или правила, которым должен соответствовать ОО.

Последующие разделы ПЗ и ЗБ показывают, как аспекты безопасности среды ОО будут удовлетворяться объектом оценки и его средой. Именно поэтому важно обеспечить ясную и краткую формулировку аспектов безопасности среды ОО.

При определении аспектов среды безопасности следует избегать, где это возможно, описания того, каким образом ОО учитывает аспекты безопасности среды. Такой подход позволяет акцентировать внимание пользователя ПЗ/ЗБ на наиболее важных аспектах безопасности среды ОО.

8.1 Идентификация и спецификация предположений безопасности

В соответствии с ОК в раздел "Среда безопасности ОО" ПЗ/ЗБ необходимо включать перечень предположений относительно среды безопасности ОО или предполагаемого использования ОО.

Для формирования такого перечня необходимо определиться с характером предположений относительно среды безопасности ОО и ее границами. Например, может потребоваться формулирование предположений, связанных с тем, что потенциальные угрозы практически не оказывают влияния на безопасность активов среды ОО.

В ПЗ/ЗБ целесообразно включать следующие группы предположений:

а) предположения относительно предопределенного использования ОО;

б) предположения, связанные с защитой любой части ОО со стороны среды (например, физическая защита);

в) предположения связности (например, межсетевой экран должен быть единственным сетевым соединением между частной (защищаемой) и внешней (потенциально враждебной) сетью);

г) предположения, имеющие отношение к персоналу (например, предполагаемые пользовательские роли, основные обязанности (ответственность) пользователей и степень доверия этим пользователям).

Кроме того, в ПЗ/ЗБ целесообразно включать и другие предположения, оказывающие существенное влияние на содержание ПЗ/ЗБ, например, предположения, определяющие выбор требований доверия к безопасности. Необходимо помнить, что все идентифицированные предположения безопасности должны быть учтены при формировании целей безопасности. Те предположения безопасности, которые по какой-либо причине не могут быть учтены при формировании целей безопасности, целесообразно включать в ПЗ/ЗБ в качестве сопроводительной информации.

Чаще всего невозможно полностью идентифицировать все предположения с первого раза. Поэтому предположения могут быть дополнительно идентифицированы на протяжении всего периода разработки ПЗ или ЗБ. В частности, при формировании раздела ПЗ/ЗБ "Обоснование" (например, при демонстрации пригодности целей безопасности для противостояния идентифицированным угрозам) необходимо установить, были ли сделаны предположения, не нашедшие своего отображения в ПЗ/ЗБ.

Наряду с использованием итерационного подхода к идентификации предположений безопасности, необходимо избегать включения в раздел "Среда безопасности ОО" любых "предположений", связанных с эффективным использованием конкретных функций безопасности ОО (ФБО), которые идентифицированы в процессе формирования раздела "Обоснование". Соответствующую этим "предположениям" информацию целесообразно включать в ПЗ/ЗБ в виде требований безопасности для не-ИТ-среды (смотри п.10.5.2).

Однако в раздел "Среда безопасности ОО" целесообразно включать предположения, имеющие отношение к персоналу, например, следующего вида: "для ОО определены один или несколько администраторов, в обязанности которых входит обеспечение надлежащей настройки и соответствующего использования ФБО".

Для упрощения ссылок рекомендуется, чтобы каждое предположение было пронумеровано или имело уникальную метку.

Примеры предположений даны в Приложении 3 настоящего Руководства.

8.2 Идентификация и спецификация угроз

Согласно п.Б.2.4 части 1 ОК необходимо в ПЗ/ЗБ включать описание всех угроз активам, подлежащим защите. Тем не менее, формулировка угроз может быть опущена, если цели безопасности сформулированы, исходя исключительно из ПБОр. То есть формулировка угроз может быть опущена в случае, если "аспекты среды безопасности ОО" полностью определяются ПБОр и предположениями безопасности.

При этом все же рекомендуется, чтобы формулировка угроз была включена в ПЗ/ЗБ, поскольку она обеспечивает лучшее понимание аспектов среды безопасности ОО, чем соответствующая совокупность правил ПБОр. Более того, достаточно опасно полагаться исключительно на ПБОр, так как она не всегда может надлежащим образом отразить текущие угрозы. Если полная совокупность правил ПБОр уже сформулирована, тем не менее, является целесообразным формулирование угроз с целью максимального облегчения использования ПЗ и отражения более глубокого понимания аспектов среды безопасности ОО.