Стратегія кібербезпеки України (найновіший документ)

Безпечний кібер простір – запорука успішного розвитку України

Перша стратегія була о 2016 році.
Друга стратегія – 26 серпня 2021 року.

Кібер простір визнано одним із можливих театрів воєнних дій.

Згідно стратегії передбачається забеспечення захисту критичної інфраструктури та роведення
превентивних наступальних операцій у кіберпросторі,виведення з ладу КОІ противника.
Прогнозується зростання інтенсивності міждержавного протиборства і розвідовально-
підривної діяльності у кіберпросторі.
Використання кіберпростору терористичними організаціями набуває глобального
маштабу(об’єкти: транспорту, сховищ, хімічні, біологічні, атомна енергетика, електрика,
банківська і тд)

Стан Реалізації
На виконання цієї стратегії було:
1. Прийнято закон України про основні засади забеспечення кібербезпеки України.
2. Вдосконалено нормативне забеспечення з кібер безпеки.
3. Утворено центри кібербезпеки та кіберзахисту: Держспецзвязку, сбу, нбу, міністерство
оборони україни, міністерство зв’язку україни.
4. Розбудовується національна телекомунікаційна мережа.
5. Національний центр резервування державних інформаційних ресурсів.
6. Створену урядову команду реагування на комп’ютерні надзвичайні події України
(CERTUA)
7. Створено національний координаційний центр кібербезпеки.
8. декларовано міжнародний обмін інформацією з США,ЄС,НАТО.
Ті завдання, котрі були поставлені минулою стратегією були не виконані тільки на 40%:
1. Не налагодженно обмін інформацією про ківберзагрози
2. Не вирішена підготовка кадрів
3. Недостатній розвиток наукових дослідженнь в галузі ЗІ
4. Несформовано перелік об’єктів інформаційної структури.

Національний кіберпростір. Виклики та загрози.

Загрозами кіберпростору являються:

1. Гібридна агресія російської федерації.
2. Російська нарощує арсенал кіберзброї наступального призначення
3. Кібер атаки спрямовані на інфомаційно телекомунікаційні системи
4. Доступ агресора через систему до об’єктів критичної кіберструктури може привезти
до виводу з ладу стратегічних об’єктів.

В стратегії зазначається що уряди других держав організовують та спонсорують

викрадення інформації(кібершпигунство), здійснення розвідувально-підривної діяльності в
кіберсистемі.

1. Серед тих недоліків,зазначених в серпні – недосконалість нормативно правової бази.

2. Повільна імплементація положення європейського законодавства.
3. Недостатнє кадрове забеспечення.
4. Відсутність підрозділів кібербезпеки.
 Національна система кібербезпеки засади розбудови
Першою метою є посилення спроможності для неуможливлення збройної агресії в
кіберпросторі.
Друга, важлива, мета – набуття здатності швидко адаптуватися до внутрішніх та зовнішніх
загроз.
Третя мета – забеспечення комунікації, координації діяльності між суб’єктами на
національному рівні, розвиток відносин на європейському рівні.

Пріорітети забеспечення кібербезпеки україни і статегічні цілі.

Поділені на ряд груп:
1. Формування потенціалу стримування (С) 4 цілі стримування:
С1 – дієва кібероборона
С2 – ефективна протидія розвідовально підривній діяльності
С3 – ефективна протидія кіберзлочинності
С4 – розвиток асиметричних інструментів стримування(створює необхідні умови
стримування шляхом застосування економічних, дипломатичних розвідувальних
заходів).
2. Набуття кіберстійкості (К):
К1 національна кіберготовність та надійний кіберзахист
К2 – професійне вдосконалення, кіберобізнане суспільство, науково технічне
забезпечення
К3 – безпечні цифрові послуги.
3. Вдосконалення взаємодії (В):
В1 – зміцнення системи координації
В2 – формування нової моделі відносин у сфері кібербезпеки
В3 – прагматичне, міжнародне співробітництво(НАТО і тд)

СТРАТЕГІЧНІ ЗАВДАННЯ

Напрями зовнішньо політичної діяльності у сфері кібербезпеки

Механізми реалізації стратегії та забезпечення відкритості

Основними суб’єктами національної кібербезпеки: координатор стратегії, Національний

координаційний центр кібер безпеки.
Реалізація стратегії здійснюються під суб’єктами МЗС України, Міністерство цифрової
інформації, міністерство освіти і науки України

Національний координаційний центр кібербезпеки (НКЦКБ) – розробляються плани,

координує і контролює виконання.

Цей план реалізації стратегії є основою щорічного планування

На Кабмін покладено забеспечувати, в установленому порядку, необхідними силами,
засобами і ресурсами. Уряд має виділити необхідні кошти.
Результати виконання відправляються в координаційний центр. (президенту україни, голові
верховної ради, КабМінУкр)
 Вимір успіху/метрики

Ефективність реалізації безпеки визначається постійним моніторингом та для цього

передбачено систему індикаторів стану безпеки.

Закон україни про основні засади забеспечення кібербезпеки україни(2017р)

Зміни у 2018 до червня 2020 року.

Індикатори кібер загроз – це показники(технічні дані), що використовуться для виявлення та

реагування на кіберзагрози.

Національне телекомунікаційне щось там

Системи управління технологічними системами і БЛЯТЬ!...

1. Міністерства та інші центральні органи виконавчої влади,місцеві держ

органи,військові,НБУ,ОКІ,субєкти господарювання в сфері кіберзахисту є
суб’єктами КБ

Стаття __--__ принципи забеспечення кібербезпеки (верховенства права, законність,

забезпечення національних інтересів України, відкритість/доступність, державно приватна
взаємодія, пропорційність та адекватність засобів кіберзахисту реальним кіберризикам,
невідворотні покарання за вчинення кіберзлочинів, приоритетний розвиток бла-бла-бла
потенціалу, забезпечення демократичного/цивільного контролю за утвореними органами, що
проводять діяльність у сфері кібербезпеки)

Національна система кібербезпеки(ще одна юзлес стаття) : Держспецзвязок, Національна

поліція,НБУ,СБУ,Мін Оборони

Урядова команда реагування на комп’ютерні надзвичайні події України

Відповідальність за порушення законодавства у сфері кібербезпеки несуть відповідальність

згідно із законом.

Фінансове забезпечення:
1. Державний і місцевий бюджет
2. Обєкти господарювання
3. Кредити банків
4. Інші джерела не заборонені законодавством

Законодавчий рівень інформаційної безпеки

У справі забезпечення інформаційної безпеки успіх може забезпечити

тільки комплексний підхід. Для захисту інтересів суб’єктів інформаційних
стосунків необхідно поєднувати заходи таких рівнів:
• законодавчого;
• адміністративного (накази та інші дії керівництва організацій, пов’язаних з
інформаційними системами, що захищаються):;
• процедурного (заходи безпеки, орієтовані на людей);
• програмно-технічного.
Законодавчий рівень є найважливішим для забезпечення інформаційної
безпеки. Більшість людей не чинять протиправних дій не тому, що це технічно
не є можливим, а тому, що це засуджується і/або карається суспільством, тому
що так поступати не прийнято. На законодавчому рівні будемо розрізняти дві
групи заходів:
• заходи, скеровані на створення та підтримання в суспільстві негативного (в
тім числі з застосуванням покарань) ставлення до порушень і порушників
інформаційної безпеки (назвемо їх заходами обмежувальної скерованості);
• направляючі і координуючі заходи, які сприяють підвищенню освіченості
суспільства в галузі інформаційної безпеки і допомагають в розробці та
поширенні засобів забезпечення інформаційної безпеки (заходи творчої
скерованості).
На практиці обидві групи заходів є важливими в однаковій мірі, але
доцільно виділити аспект усвідомленого дотримання норм та правил
інформаційної безпеки. Це є важливим для всіх суб’єктів інформаційних
стосунків, оскільки розраховувати лише на захист силами правоохоронних
органів було б надто наївно. Це необхідно також і тим, у чиї обов’язки входить
карати порушників, оскільки забезпечити доказовість розслідуванні та
судовому розбиранні комп’ютерних злочинів без спеціальної підготовки
неможливо. Найважливіше (і, напевно, найважче) на законодавчому рівні –
це створити механізм, який дозволяє узгоджувати процес розробки законів з
реаліями і прогресом інформаційних технологій. Закони не можуть
випереджувати життя, але важливо, щоб відставання не було надто великим,
так як на практиці, окрім інших негативних моментів, це веде до зниження до
інформаційної безпеки. На законодавчому рівні особливої уваги заслуговують
правові акти і стандарти.

Проблеми створення стандартів із ЗІ

В основному роль стандартів із ЗІ така сама, як і в будь-якій іншій сфері.
Кожна людина повинна мати можливість оцінювати і порівнювати все, що є
навколо неї і чим вона користується. У цьому сенсі ІБ нічим не відрізняється
від інших сфер нашої діяльності. Головне завдання стандартів ІБ - створити
основу для взаємодії між виробниками, споживачами та експертами з
кваліфікації продуктів інформаційних технологій. Кожна з цих груп має свої
інтереси і свої погляди на проблему ІБ.
Споживачі, по-перше, зацікавлені в методиці, яка дозволяє обґрунтовано
обрати продукт, що відповідає їх потребам і вирішує їх проблеми, для чого їм
необхідна чітка шкала оцінки безпеки, і, по-друге, мають потребу в
інструменті, за допомогою якого вони могли б формулювати свої вимоги
 виробнику. При цьому споживачів (що, до речі, цілком природно й
обгрунтовано) цікавлять виключно характеристики і властивості кінцевого
продукту, а не методи та засоби їх досягнення. Тут звернемо увагу на те, що
саме з цієї точки зору ми цікавимось взагалі будь-якими товарами (тобто не
обов'язково пов'язаними з ІБ). З цієї ж точки зору ідеальна шкала оцінки
безпеки мала б виглядати приблизно так (звичайно, залежно від можливого
для споживача рівня конфіденційності інформації):
Рівень 1. Система для обробки інформації з грифом не вище ніж «для
службового користування».
Рівень 2. Система для обробки інформації з грифом не вище ніж «секретно» і т.
д.
Відповідно і вимоги споживач міг би сформулювати приблизно в такій формі:
«Я хотів би, щоб у мене все було захищене для обробки, наприклад, цілком
таємної інформації». Нагадаємо, що коли ми щось купуємо, то, звичайно ж,
хочемо, щоб воно було найліпшим, найдовго-вічнішим і т. ін. Однак цей
неконструктивний підхід сам по собі не такий страшний, багато гірше інше -
більшість споживачів не розуміє і не хоче розуміти, що за все треба платити (і не
тільки грошима) і що вимоги безпеки обов'язково суперечать (не можуть не
суперечити!) функціональним вимогам (наприклад, зручності роботи, швидкодії і т.
п.), накладають обмеження на сумісність і, як правило, вимагають відмовитися
від широко розповсюджених незахищених прикладних ПЗ.
Виробники, у свою чергу, мають потребу в стандартах для порівняння
можливостей своїх продуктів і в застосуванні процедури сертифікації для
об'єктивного оцінювання їх властивостей, а також у стандартизації певного набору
вимог безпеки, що міг би обмежити фантазію замовника конкретного продукту і
змусити його вибирати вимоги з цього продукту. Знову згадаємо будь-якого
звичайного виробника -йому зовсім не хочеться робити все для всіх. З погляду
виробника, вимоги повинні бути максимально конкретними і регламентувати
необхідність застосування тих чи інших засобів, механізмів, алгоритмів і т. д. Крім
того, вимоги не повинні вступати в конфлікт з існуючими методами й алгоритмами
обробки інформації, архітектурою КС і технологіями створення інформаційних
продуктів. Цей підхід також не може бути визнаний домінуючим, тому що він не
враховує потреби користувачів (адже в кінцевому рахунку саме для них все
робиться) і намагається підігнати вимоги захисту під існуючі системи і технології,
а це далеко не завжди можливо здійснити без збитку для безпеки.
Експерти з кваліфікації і фахівці із сертифікації розглядають стандарти як
інструмент, що допомагає їм оцінити рівень безпеки, забезпечуваний продуктами
інформаційних технологій, і надати споживачам можливість зробити
обґрунтований вибір. Виробники в результаті кваліфікації рівня безпеки одержують
об'єктивну оцінку можливостей свого продукту. Експерти з кваліфікації опиняються
у двоїстому становищі. З одного боку, вони, як і виробники, зацікавлені в чітких і
простих критеріях, над застосуванням яких до конкретного продукту не потрібно
ламати голову (найкраще це могла б бути анкета з відповідями типу «так/ні»). З
іншого боку, вони повинні дати обґрунтовану відповідь користувачам -
задовольняє продукт їх потреби чи ні. Виходить, що саме експерти приймають на
себе весь тягар відповідальності за безпеку продукту, що одержав кваліфікацію
рівня безпеки і пройшов сертифікацію.
Таким чином, перед стандартами ІБ стоїть непросте завдання – примирити ці три
точки зору і створити ефективний механізм взаємодії всіх сторін. Причому
«обмеження» потреб хоча б однієї з них приведе до неможливості
взаєморозуміння і взаємодії і, отже, не дасть вирішити загальне завдання -
створення захищеної системи обробки інформації. Якими узагальненими
показниками можна було б охарактеризувати стандарти ІБ? Як такі показники, що
мають значення для всіх трьох сторін, зручно використовувати універсальність,
гнучкість, гарантованість, реалізовуваність і актуальність [3].
Універсальність стандарту визначається множиною типів АС і галуззю
інформаційних технологій, до яких можуть бути коректно використані його
положення. Вона дуже важлива, оскільки зараз інформаційні технології бурхливо
розвиваються, архітектура систем постійно удосконалюється, сфера їх
застосування розширюється. Такі стандарти повинні враховувати всі аспекти.
Під гнучкістю стандарту розуміється можливість і зручність його застосування
до інформаційних технологій, що постійно розвиваються, і час його «застаріння».
Гнучкість може бути досягнута виключно через фундаментальність вимог і
критеріїв і їхню інваріантність стосовно механізмів реалізації і технологій
створення ІТ-продуктів.
Гарантованість визначається потужністю передбачених стандартом методів і
засобів підтвердження надійності результатів кваліфікаційного аналізу. Як показав
досвід, для досягнення поставлених цілей експерти повинні мати можливість
обґрунтовувати свої висновки, а розробники мати потребу в механізмах, за
допомогою яких вони могли б підтвердити коректність своїх розробок і надати
споживачам певні гарантії.
Реалізовуваність - це можливість адекватної реалізації вимог і критеріїв
стандарту на практиці з урахуванням витрат на цей процес. Реалізовуваність
багато в чому пов'язана з універсальністю і гнучкістю, але відбиває суто практичні
і технологічні аспекти реалізації положень і вимог стандарту.
Актуальність відбиває відповідність вимог і критеріїв стандарту множині загроз
безпеці і новітніх методів і засобів, що використовуються ЗЛ. Ця характеристика,
поряд з універсальністю, є однією з найважливіших, тому що здатність
протистояти загрозам і прогнозувати їх розвиток фактично є вирішальним
чинником при визначенні його придатності.
Необхідність таких стандартів була усвідомлена вже давно (звичайно, якщо
зважати на розвиток інформаційних технологій), і в цьому напрямі досягнуто
істотного прогресу, закріпленого у новому поколінні документів розробки 90-х
років. Найбільш значимими стандартами ІБ є (у хронологічному порядку):
«Критерії безпеки комп'ютерних систем Міністерства оборони СІЛА»,
«Європейські критерії безпеки інформаційних технологій», «Керівні документи
Держтехкомісії Росії», «Федеральні критерії безпеки інформаційних технологій
США», «Канадські критерії безпеки комп'ютерних систем», «Єдині критерії
безпеки інформаційних технологій», «Українські критерії безпеки
автоматизованих систем». Далі ці документи розглядатимуться з
погляду їх структури, вимог і критеріїв, а також оцінки ефективності їх
практичного застосування. Тому огляд буде здійснюватися за схемою: мета
розробки, основні положення, таксономія і ранжирування вимог і критеріїв.
Нагадаємо деякі найважливіші терміни і визначення, що трактуються практично
однаково майже у всіх стандартах.
Політика безпеки (Security Policy). Сукупність норм і правил, що
забезпечують ефективний захист системи обробки інформації від заданої
множини загроз безпеки.
Модель безпеки (Security Model). Формальне представлення політики безпеки.
Дискреційне, або довільне, керування доступом (Discretionary Access Control).
Керування доступом, здійснюване на підставі заданої адміністратором множини
дозволених відносин доступу.
Мандатне, або нормативне керування доступом (Mandatory Access Control).
Керування доступом, що грунтується на сукупності правил надання доступу,
визначених на множині атрибутів безпеки суб'єктів і об'єктів, наприклад залежно
від грифа таємності інформації і рівня допуску користувача.
Ядро безпеки (Trusted Computing Base (TCB)). Сукупність апаратних,
програмних і спеціальних компонентів КС, що реалізують функції захисту і
забезпечення безпеки.
Ідентифікація (Identification). Процес розпізнавання сутностей шляхом
присвоєння їм унікальних міток (ідентифікаторів).
Автентифікація (Authentication). Перевірка дійсності ідентифікаторів сутностей
за допомогою різних (переважно криптографічних) методів.
Адекватність (Assurance). Показник реально забезпечуваного рівня безпеки, що
відбиває ступінь ефективності і надійності реалізованих засобів захисту і їх
відповідностей поставленим завданням (у більшості випадків це завдання
реалізації політики безпеки).
Кваліфікаційний аналіз, кваліфікація рівня безпеки (Evaluation). Аналіз КС з
метою визначення рівня її захищеності і відповідності вимогам безпеки на основі
критеріїв стандарту безпеки. Кваліфікація рівня безпеки є кінцевим етапом
технологічного циклу створення захищених систем, безпосередньо передує
процедурі сертифікації і завершується присвоєнням КС того чи іншого класу чи
рівня безпеки.
Таксономія (Taxonomy). Наукова дисципліна, що займається систематизацією і
класифікацією складноорганізованих об'єктів і явищ, які мають ієрархічну будову
(від грецького taxis - лад, порядок і nomos - закон). На відміну від звичайної
класифікації, що встановлює зв'язки і відношення між об'єктами (ієрархія
будується знизу вгору), таксономія базується на декомпозиції явищ і поетапному
уточненні властивостей об'єктів (ієрархія будується зверху вниз).
Прямий вплив (Trusted Path). Принцип організації інформаційної взаємодії (як
правило, між користувачем і системою), який гарантує, що передана інформація не
піддається перехопленню чи перекручуванню.
Огляд стандартів із захисту інформації
 Критерії безпеки комп'ютерних систем Міністерства оборони США (Trusted
Computer System Evaluation Criteria), що отримали назву «Помаранчева книга» (за
кольором обкладинки), були розроблені Міністерством оборони США в 1983 році
(перша версія) з метою визначення вимог безпеки, які висуваються до апаратного,
програмного і спеціального забезпечення комп'ютерних систем і розробки
відповідної методології аналізу політики безпеки, що реалізується в КС
військового призначення. У цьому документі були вперше визначені такі
поняття, як «політика безпеки», ТСВ (ядро безпеки), тощо. Відповідно до
«Помаранчевої книги» безпечна КС - це система, яка підтримує керування
доступом до оброблюваної в ній інформації таким чином, що відповідно
авторизовані користувачі або процеси, що діють від їх імені, отримують
можливість читати, писати, створювати і видаляти інформацію. Запропоновані в
цьому документі концепції захисту і набір функціональних вимог послужили
основою для формування інших стандартів безпеки інформації.
У подальшому виявилося, що ряд положень документа застаріли і він був
розвинутий (було створено понад чотири десятки допоміжних документів -
«Веселкова серія»). Значення «Помаранчевої книги» важко переоцінити - це була
перша спроба створення єдиного стандарту безпеки, і це був справжній прорив у
галузі безпеки інформаційних технологій. Цей документ став точкою відліку для
подальших досліджень і розробок. Основною його відмінністю є орієнтація на
системи військового застосування.
Історично другими були розроблені «Критерії безпеки інформаційних
технологій» (Information Technology Security Evaluation Criteria, далі «Європейські
критерії»). Вони були розроблені Францією, Німеччиною, Нідерландами та
Великобританією і вперше опубліковані в 1991 році. «Європейські критерії»
розглядають такі основні завдання інформаційної безпеки; • захист інформації від
НСД з метою забезпечення конфіденційності; •забезпечення цілісності інформації
шляхом захисту її від несанкціонованої модифікації або знищення; • забезпечення
працездатності систем за допомогою протидії загрозам відмови в обслуговуванні.
У 1992 р. Держтехкомісія (ДТК) при президенті Російської Федерації
опублікувала п'ять Керівних документів з питань захисту інформації від НСД:
1. Захист від несанкціонованого доступу до інформації. Терміни
2.Концепція захисту ЗОТ і АС від НСД до інформації.
3.Автоматизовані системи. Захист від несанкціонованого доступу до
інформації. Класифікація автоматизованих систем і вимоги до захисту
інформації. 4.Засоби обчислювальної техніки. Захист від
несанкціонованого доступу до інформації. Показники захищеності від НСД до
інформації. 5.Тимчасове положення при організації
розробки, виготовлення й експлуатації програмних і технічних засобів захисту
інформації від НСД в автоматизованих системах і засобах обчислювальної техніки.
«Федеральні критерії безпеки інформаційних технологій»
(Federal Criteria for Information Technology Security) розроблялись як одна із
складових «Американського федерального стандарту з обробки інформації»
(Federal for Information Processing Standard) і мали замінити «Оранжеву книгу».
Розробниками стандарту виступили Національний інститут стандартів і технологій
США (National Institute of Standards and Technology - NIST) та Агентство
національної безпеки США (National Security Agency - NSA). Перша версія
документа була опублікована в грудні 1992 р.
Цей документ розроблений на основі
результатів численних досліджень у галузі забезпечення інформаційних
технологій 80-х - початку 90-х років, а також на основі досвіду використання
«Помаранчевої книги». Документ являє собою основу для розробки і сертифікації
компонентів інформаційних технологій з погляду забезпечення безпеки.
«Канадські критерії
безпеки комп'ютерних систем» (Canadian Trusted Computer Product Evaluation
Criteria) були розроблені в Центрі безпеки відомства безпеки зв'язку Канади
(Canadian System Security Centre Communication Security Establishment) для
використання як національного стандарту безпеки комп'ютерних систем. Першу
версію стандарту було опубліковано в 1992 р. «Єдині критерії
безпеки інформаційних технологій» (Common Criteria for Information Technology
Security Evaluation) є результатом спільних зусиль авторів європейських
«Критеріїв безпеки інформаційних технологій», «Федеральних критеріїв безпеки
інформаційних технологій» і «Канадських критеріїв безпеки комп'ютерних
систем», спрямованих на об'єднання основних положень цих документів і
створення єдиного міжнародного стандарту безпеки інформаційних технологій.
Робота над цим наймасштабнішим в історії стандартів інформаційної безпеки
проектом почалася в червні 1993 року з метою подолання концептуальних і
технічних розбіжностей між указаними документами, їх узгодження і створення
єдиного міжнародного стандарту. Перша версія «Єдиних критеріїв» була
опублікована в січні 1996 р. Розробниками документа виступили США, Велика
Британія, Канада, Франція і Нідерланди. Розробка цього стандарту мала такі основні
цілі:
• уніфікація національних стандартів у сфері оцінки безпеки IT;
• підвищення рівня довіри до оцінки безпеки IT;
• скорочення витрат на оцінку безпеки ІТ на основі взаємного визнання
сертифікатів.
Розробка версії 1.0 критеріїв була завершена в січні 1996 року і схвалена
ISO (Міжнародна організація зі стандартизації) у квітні 1996 року. Був
проведений ряд експериментальних оцінок на основі версії 1.0, а також
організоване широке обговорення документа.
У травні 1998 року була опублікована версія 2.0 документа і на її основі в
червні 1999 року був прийнятий міжнародний стандарт ІСО/МЕК 15408.
Офіційний текст стандарту видано 1 грудня 1999 року. Зміни, внесені в стандарт на
завершальній стадії його прийняття, враховані у версії 2.1, ідентичній початковій
основі. Єдині критерії узагальнили зміст і досвід використання «Помаранчевої
книги», розвинули рівні гарантованості європейських критеріїв, втілили в реальні
структури концепцію профілів захисту «Федеральних критеріїв США».
У 1997 р. Департаментом спеціальних телекомунікаційних систем та захисту
інформації СБ України була розроблена перша версія системи нормативних
документів із технічного захисту інформації в комп'ютерних системах від НСД.
Ця систем містила чотири документи:
1.Загальні положення щодо захисту інформації в комп'ютерних системах від
несанкціонованого доступу.
2.Класифікація автоматизованих систем і стандартні функціональні профілі
захищеності оброблюваної інформації від несанкціонованого доступу.
3. Критерії оцінки захищеності інформації в комп'ютерних системах від
несанкціонованого доступу.
4.Термінологія в галузі захисту інформації в комп'ютерних системах .

Правове становище Держспецзв’язку

Закон України від 23 лютого 2006 року № 3475-ІУ «Про Державну

службу, спеціального зв'язку та захисту інформації України» (що набув
чинності з 1 січня 2007 року), а також постанови Кабінету Міністрів України
від 25 травня 2006 року № 734 «Питання Адміністрації Державної служби
спеціального зв'язку та захисту інформації», від 24 червня 2006 року № 868
«Про затвердження Положення про Адміністрацію Державної служби
спеціального зв'язку та захисту інформації» та від 24 червня 2006 року № 869
«Деякі питання організації діяльності Державної служби спеціального зв'язку та
захисту інформації» передбачили початок діяльності ДСС з 1 січня 2007 року.
ДСС створена на базі Департаменту спеціальних телекомунікаційних систем і
захисту інформації, яких до того входив до складу СБ України.
Суттєвою відмінністю, що заслуговує уваги, є відкритість структури
Держспецзв'язку для широкого загалу порівняно з ДСТСЗІ. Якщо про
структуру Департаменту та його підрозділів на місцях можна було лише
здогадуватись, спираючись на відкриті публікації, а більш детальна інформація
містилася у внутрішніх документах, що затверджувалися Головою Служби
безпеки України за поданням керівника Департаменту (стаття 13 Указу
Президента від 6 жовтня 2000 року № 1120/2000), то відповідні положення, які
стосуються Держспецзв'язку можна знайти у розділі II Закону України «Про
Державну службу спеціального зв'язку та захисту інформації України».
Згідно з текстом даного розділу до складу Держспецзв'язку входять:
- спеціально уповноважений центральний орган виконавчої влади з питань
організації спеціального зв'язку та захисту інформації;
- регіональні органи;
- територіальні підрозділи;
- навчальні заклади;
- медичні, санітарно-курортні та інші заклади;
- науково-дослідні установи;
- науково-виробничі установи;
 - державні підприємства, діяльність яких пов'язана із забезпеченням
виконання покладених на Держспецзв'язку завдань.
Регіональні органи Державної служби спеціального зв'язку та захисту
інформації утворюються в Автономній Республіці Крим, областях, містах Києві
та Севастополі рішенням спеціально уповноваженого центрального органу
виконавчої влади з питань організації спеціального зв'язку та захисту
інформації. Територіальні підрозділи створюються для забезпечення урядовим
зв'язком Президента України, Голови Верховної Ради України та Прем'єр-
міністра України.
Керівництво Державною службою спеціального зв'язку та захисту
інформації України здійснює Голова Держспецзв'язку України, який очолює
спеціально уповноважений центральний орган виконавчої влади з питань
організації спеціального зв'язку та захисту інформації та несе особисту
відповідальність за виконання покладених на Державну службу спеціального
зв'язку та захисту інформації України завдань (стаття 6 Закону України «Про
Державну службу спеціального зв'язку та захисту інформації України»).
Голова Держспецзв'язку призначається на посаду та звільняється з посади
Кабінетом Міністрів України за поданням Прем'єр-міністра України.
Заступники Голови Держспецзв'язку України призначаються на посади та
звільняються з посад Кабінетом Міністрів України за поданням Голови
Держспецзв'язку України.
Загальна чисельність створюваної структури, згідно з постановою Кабінету
Міністрів України № 869 від 24 червня 2006 року, складає 8250 осіб (з них 7400
осіб рядового і начальницького складу). У Держспецзв'язку України відсоток
осіб рядового і начальницького складу (тобто таких, що мають військові
звання) - близько 90%.
Що стосується правового положення осіб рядового та начальницького складу
Держспецзв'язку, згідно зі статтею 10 Закону України «Про Державну службу
спеціального зв'язку та захисту інформації України», до особового складу
Держспецзв'язку України належать особи рядового і начальницького складу, які
проходять службу за контрактом, державні службовці та інші працівники, з
якими укладається трудовий договір. Причому особам рядового і
начальницького складу встановлюються військові звання від рядового
Держспецзв'язку України і аж до генерал-лейтенанта тієї ж таки служби.
Наступним важливим, питаннямє правове становище Адміністрації
Держспецзв'язку, яка, відповідно до Постанови Кабінету Міністрів України від
24 червня 2006 року № 868, є спеціально уповноваженим центральним органом
виконавчої влади з питань організації спеціального зв'язку та захисту
інформації.
 Даний орган виконавчої влади був створений 25 травня 2006 року постановою
КМУ № 734 на базі Департаменту спеціальних телекомунікаційних систем та
захисту інформації Служби безпеки України.
Свідченням відкритості Держспецзв'язку є той факт, що, на відміну від ДСТСЗІ,
підрозділи Адміністрації Державної служби спеціального зв'язку та захисту
інформації у повному обсязі перераховані у доступній для широкого загалу
постанові Кабінету Міністрів України від 24 червня 2006 року № 869. Згідно з
даним документом, передбачено наступну організаційну структуру вказаного
державного органу.
1. Департамент забезпечення діяльності Голови Служби.
2. Департамент організації урядового зв'язку.
3. Департамент урядового польового зв'язку.
4. Департамент регулювання діяльності у сфері криптографічного захисту
інформації.
5. Департамент експертизи у сфері криптографічного захисту інформації.
6. Департамент регулювання діяльності у сфері технічного захисту
інформації.
7. Департамент стратегії розвитку спеціальних інформаційно-
телекомунікаційних систем.
8. Департамент з питань захисту інформації в інформаційно-
телекомунікаційних системах.
9. Департамент з питань протидії технічним розвідкам.
10. Департамент безпеки інформаційно-теле-комунікаційних систем.
11. Департамент державного контролю за станом криптографічного та
технічного захисту інформації.
12. Департамент кадрового забезпечення.
13. Департамент господарського та матеріально-технічного забезпечення.
14. Фінансово-економічний департамент.
15. Управління контролю безпеки урядового зв'язку.
16. Управління з питань використання радіочастотного ресурсу.
17. Контрольно-ревізійне управління.
18. Юридичне управління.
19. Режимно-секретне управління.
20. Мобілізаційний відділ.
21. Відділ внутрішньої безпеки.
22. Сектор технічного і пожежного нагляду та охорони праці.
23. Сектор метрології.
При цьому досить чітко прослідковується розподіл підрозділів на
функціональні (такі, що забезпечують виконання функцій та повноважень,
спрямованих на досягнення основної мети діяльності Адміністрації
Держспецзв'язку) та обслуговуючі (такі, що виконують роботу, пов'язану із
забезпеченням належних умов функціонування Адміністрації). Зокрема,
створення департаментів забезпечення діяльності Голови Служби, кадрового
забезпечення, господарського та матеріально-технічного забезпечення,
фінансово-економічного, а також юридично¬го, контрольно-ревізійного,
режимно-секретного управлінь та мобілізаційного відділу реалізовано
відповідно до вимог чинної нормативної бази з питань упорядкування
структури апарату центральних органів виконавчої влади.
Окремої заслуговує факт створення у якості окремих підрозділів
департаментів регулювання діяльності у сфері технічного захисту інформації, з
питань захисту інформації в інформаційно-телекомунікаційних системах,
безпеки інформаційно-телекомунікаційних систем. Можемо констатувати, що
нині заходи із захисту інформації в інформаційних (інформаційно-
телекомунікаційних) системах все більше виділяються у окремий напрям
діяльності поряд із технічним захистом мовної та інформації на інших видах
носіїв крім електронних. Про зростаючу увагу до даного напряму робіт
свідчить також значна кількість нормативних документів, розроблена свого
часу Департаментом і присвячена виключно даним питанням. Такі ж тенденції
прослідковуються і у публікаціях та наукових розробках з питань захисту
інформації за останні три-чотири роки.
Поряд з цим, необхідність створення окремо департаментів з питань захисту
інформації в інформаційно-телекомунікаційних системах та безпеки
інформаційно-телекомунікаційних систем, на сьогодні залишається досить
спірним питанням: на наше переконання, якщо виходити з назви вказаних
департаментів, їх функції мають бути повністю ідентичні. Слід нагадати, що до
цього часу у вчених колах точаться суперечки з приводу обрання назви для
діяльності з протидії протиправним посяганням на інформацію у
інформаційних та автоматизованих системах: або ж таку діяльність слід
позначати як «захист інформації», або ж як «забезпечення інформаційної
безпеки». Правові засади діяльності Адміністрації Держспецзв'язку містяться у
відповідному Положенні, затвердженому постановою Кабінету Міністрів
України від 24 червня 2006 року № 868.
Адміністрація Держспецзв'язку є центральним органом виконавчої влади зі
спеціальним статусом, діяльність якого спрямовується і координується
Кабінетом Міністрів України. З питань, пов'язаних із забезпеченням
національної безпеки України Адміністрація підпорядковується і
підконтрольна Президентові України. Відповідно до покладених завдань,
Адміністрація реалізує ряд функцій, які ми умовно згрупували до чотирьох
блоків: основні функції, функції центрального органу виконавчої влади,
функції із забезпечення діяльності Держспецзв'язку та інші функції (рисунок 1).
До основних функцій (спрямованих на досягнення основної мети діяльності
Держспецзв'язку) включено:
1. Проведення робіт, що входять до компетенції Держспецзв'язку. У межах
даного напряму діяльності Адміністрація:
- забезпечує надійне функціонування, безпе-ку та розвиток державної
системи урядового зв'язку, зокрема її готовності до роботи в особ-ливий період
та в разі виникнення надзвичайної ситуації;
- забезпечує в установленому порядку урядовим зв'язком Президента
України, Голову Верховної Ради України та Прем'єр-міністра України в місцях
їх постійного і тимчасового перебування, а також посадових осіб органів
державної влади, органів місцевого самоврядування, ор¬ганів військового
управління, керівників підприємств, установ і організацій;
- впроваджує комплексні системи захисту інформації на об'єктах
інформаційної'діяльності та в інформаційно-телекомунікаційних системах
закордонних дипломатичних установ України;
- здійснює заходи щодо забезпечення безпеки і функціонування урядового
зв'язку із закордонними дипломатичними установами України;
- здійснює заходи щодо створення, розвитку та забезпечення
функціонування і безпеки Національної системи конфіденційного зв'язку та
виконує функції з її оперативно-технічного управління;
- визначає порядок проведення і проводить державну експертизу
комплексних систем за-хисту інформації в інформаційно-телеко-мунікаційних
системах, у сфері криптографічного та технічного захисту інформації та
сер¬тифікації засобів криптографічного та технічного захисту інформації;
- організовує розроблення, виготовлення та постачання ключових
документів до засобів криптографічного захисту інформації, що містить
державну таємницю, та конфіденційної інформації, що є власністю держави.
2. Функції державного контролю. У межах даного напряму діяльності
Адміністрація Держспецзв'язку:
- здійснює державний контроль за станом криптографічного та технічного
захисту інфор-мації, яка є власністю держави, або інформації з обмеженим
доступом, вимога щодо захисту якої встановлена законом, в органах державної
влади, органах місцевого самоврядування, військових формуваннях, на
підприємствах, в установах і організаціях незалежно від форми власності, у
тому числі в закордонних дипломатичних установах України, миротворчих
контингентах України за кордоном, місцях постійного і тимчасового пе-
ребування вищих посадових осіб держави, а також під час діяльності на
території України іно-земних інспекційних груп відповідно до міжнародних
договорів України, згода на обов'язковість яких надана Верховною Радою
України;
- здійснює державний контроль за додержанням вимог безпеки у процесі
розроблення, виробництва, використання, експлуатації, сертифікаційних
випробувань, проведення тематичних досліджень, експертизи, ввезення, виве-
зення та знищення криптографічних систем і за-собів криптографічного захисту
інформації та обладнання спеціального зв'язку;
- здійснює державний контроль за додержанням вимог законодавства у
сфері надання послуг електронного цифрового підпису;
- виконує відповідно до Закону України «Про електронний цифровий
підпис» функції контролюючого органу.
3. Функції державного регулювання. З даного напряму діяльності
Адміністрація:
- розробляє і здійснює заходи щодо розвитку систем криптографічного та
технічного захисту інформації;
- розробляє порядок та вимоги щодо: захисту державних інформаційних
ресурсів в інформаційно-телекомунікаційних системах, криптографічного та
технічного захисту інформації, яка є власністю держави, або інформації з
обмеженим доступом, вимога щодо захисту якої встановлена законом;
використання інформаційно-телекомунікаційних систем, у тому числі
загального користування, органами державної влади, органами місцевого са-
моврядування, підприємствами, установами і організаціями незалежно від
форми власності, які займаються збиранням, обробленням, збереженням та
передачею інформації, яка є власністю держави, або інформації з обмеженим
доступом, вимога щодо захисту якої встановлена законом;
- здійснює методичне керівництво та коор-динацію діяльності органів
державної влади, органів місцевого самоврядування, військових формувань,
підприємств, установ і організацій незалежно від форми власності у сфері крип-
тографічного та технічного захисту інформації, а також з питань, пов'язаних із
запобіганням вчиненню порушень безпеки інформації в інформаційно-
телекомунікаційних системах, виявленням та усуненням наслідків інших не-
санкціонованих дій щодо державних інфор-маційних ресурсів в інформаційно-
телекомунікаційних системах;
- розробляє критерії та порядок оцінювання стану захищеності державних
інформаційних ресурсів в інформаційно-телекомунікаційних системах,
організовує та здійснює оцінювання стану їх захищеності, на¬дає відповідні
рекомендації;
- видає відповідно до вимог законодавства ліцензії на провадження
господарської діяльності у сфері криптографічного та технічного захисту
інформації, дозволи органам держав-ної влади на проведення робіт з технічного
за¬хисту інформації для власних потреб, а також здійснює контроль за
виконанням ліцензійних умов та умов проведення робіт для власних потреб;
- координує разом з центральним органом виконавчої влади у сфері
стандартизації, метрології та сертифікації роботи з проведення сертифікації
засобів криптографічного та технічного захисту інформації;
- видає атестат відповідності Комплексної системи захисту інформації,
передбачений Законом України «Про закупівлю товарів, робіт і послуг за
державні кошти», за наявності позитивного висновку з питань державних за-
купівель, що надається згідно із статтею 17-3 зазначеного Закону;
- здійснює технічне регулювання у сфері за-хисту державних
інформаційних ресурсів в інформаційно-телекомунікаційних системах,
криптографічного та технічного захисту інформації, ор¬ганізовує та проводить
оцінку відповідності, роз¬робляє в установленому порядку стандарти, технічні
регламенти і технічні умови;
- встановлює порядок розроблення та прийняття нормативних документів
щодо технічного захисту інформації органами державної влади, органами
місцевого самоврядування, військовими формуваннями, підприємствами,
установами і організаціями незалежно від форми власності, діяльність яких
пов'язана з інформацією, яка є власністю держави, або інформацією з
обмеженим доступом, вимога щодо захисту якої встановлена законом;
- визначає переліки технічних засобів загального призначення, дозволених
для забезпечення технічного захисту інформації, яка є власністю держави, або
інформації з обмеженим доступом, вимога щодо захисту якої вста¬новлена
законом.
4. Дорадчі функції. У межах даного напряму діяльності Адміністрація
Держспецзв'язку:
- готує пропозиції щодо визначення загальної стратегії та пріоритетних
напрямів діяльності у сфері захисту державних інформаційних ресурсів в
інформаційно-телекомунікаційних системах, криптографічного та технічного
захисту інформації;
- погоджує проекти нормативно-правових актів з питань:
оперативно-технічного управління телеко-мунікаційними мережами,
використання технічних засобів телекомунікацій і ресурсів телекомунікаційних
мереж операторів телеко-мунікацій, центральних органів виконавчої вла-ди,
підприємств, установ і організацій незалежно від форми власності, що
стосуються забезпечення функціонування державної системи урядового зв'язку
та Національної системи конфіденційного зв'язку, у тому числі в умовах
надзвичайного та воєнного стану, а також у разі виникнення надзвичайної
ситуації; захисту державних інформаційних ресурсів в інформаційно-
телекомунікаційних системах, криптографічного та технічного захисту інфор-
мації, яка є власністю держави, або інформації з обмеженим доступом, вимога
щодо захисту якої встановлена законом, а також здійснення міжнародних
передач криптографічних систем, засобів криптографічного та технічного
захисту інформації, зокрема наявних у складі озб-роєння, військової та
спеціальної техніки;
- погоджує проекти створення інформаційно-телекомунікаційних систем, в
яких оброблятиметься інформація, яка є власністю держави, або інформація з
обмеженим доступом, вимога щодо захисту якої встановлена законом,
організовує проведення їх експертної оцінки і визначає можливість введення в
експлуатацію;
- погоджує технічні завдання на проектування, будівництво і
реконструкцію особливо важливих об'єктів, розроблення зразків військової та
спеціальної техніки, критичних і небезпечних технологій, у процесі
експлуатації або застосування яких збирається, обробляється, зберігається,
передається чи приймається інформація, яка є власністю держави, або
інформація з обмеженим доступом, вимога щодо захисту якої встановлена
законом, та здійснює контроль за їх виконанням;
- погоджує порядок проведення органами виконавчої влади, що мають
дозвіл на провадження діяльності з технічного захисту інформації для власних
потреб, державної експертизи комплексних систем захисту інформації в
інформаційно-телекомунікаційних системах підприємств, установ і організацій,
що належать до сфери їх управління;
- погоджує нормативні документи, відповідно до яких виготовляються
засоби забезпечення технічного захисту інформації та які підлягають реєстрації
в центральному органі виконавчої влади у сфері стандартизації, метрології та
сертифікації;
- бере участь у межах своїх повноважень у погодженні питань щодо
розміщення на території України дипломатичних представництв і консульських
установ іноземних держав.
5. Аналітичні функції. З даного напряму діяльності Адміністрація
Держспецзв'язку:
- накопичує та аналізує дані про вчинення та/або спроби вчинення
несанкціонованих дій щодо державних інформаційних ресурсів в
інформаційно-телекомунікаційних системах, а також про їх наслідки, інформує
правоохоронні органи для вжиття заходів із запобігання та припинення
злочинів у зазначеній сфері;
 - розробляє моделі технічних розвідок шляхом збирання та аналізу
інформації про існуючі системи і засоби технічної розвідки, тактику та методи
їх застосування, а також перспективи розвитку; надає рекомендації орга¬нам
державної влади, органам місцевого самоврядування, військовим формуванням,
підприємствам, установам і організаціям для оцінки загроз та вжиття
відповідних заходів з метою захисту інформації;
- подає на розгляд Президентові України, Голові Верховної Ради України і
Прем'єр-міністрові України одержані за результатами державного контролю
аналітичні матеріали щодо стану захисту державних інформаційних ре¬сурсів в
інформаційно-телекомунікаційних системах, криптографічного та технічного
захисту інформації в державі, розробляє рекомендації щодо його поліпшення.
У ході реалізації інших основних функцій Адміністрація:
- відповідає за реалізацію державної політики у сфері захисту державних
інформаційних ресурсів в інформаційно-телекомунікаційних системах,
криптографічного та технічного захисту інформації;
- виконує відповідно до Закону України «Про захист інформації в
інформаційно-телекомунікаційних системах» обов'язки уповноваженого органу
у сфері захисту інформації в інформаційно-телекомунікаційних системах.
У якості центрального органу виконавчої влади Адміністрація
Держспецзв'язку:
- забезпечує в межах сврїх повноважень реалізацію державної політики у
сфері охорони державної таємниці, здійснює контроль за її збереженням у
підрозділах Адміністрації, підпорядкованих органах та на підприємствах, що
належать до сфери її управління;
- організовує участь Держспецзв'язку у виконанні завдань територіальної
оборони, а також здійсненні заходів, спрямованих на підтримання правового
режиму воєнного та надзвичайного стану відповідно до закону;
- забезпечує в межах своїх повноважень виконання Держспецзв'язку
завдань з мобілізаційної підготовки та мобілізаційної готовності.
До функцій із забезпечення діяльності Держспецзв'язку належать:
1. Господарські функції. У межах даного напряму діяльності Адміністрація
Держспецзв'язку:
- виступає державним замовником з оборонного замовлення та замовником
закупівлі товарів, робіт і послуг за державні кошти;
- здійснює контроль якості та приймання продукції, інших товарів
військового призначення, які виготовляються (модернізуються) на замовлення
Держспецзв'язку;
- виконує відповідно"до законодавства функції з управління об'єктами
державної власності, у тому числі державними корпоративними правами;
 - закріплює майно, що належить Держспецзв'язку, за підпорядкованими
органа-ми на праві оперативного управління;
- виступає замовником будівництва житла та інших об'єктів
Держспецзв'язку, вживає заходів до їх експлуатації, реконструкції та ремонту.
2. Управлінські функції. За даним напрямом Адміністрація:

- розробляє наукові і науково-технічні програми за напрямами діяльності

Держспецзв'язку та забезпечує їх виконання;
- утворює, реорганізовує і ліквідує відповідно до законодавства в межах
загальної структури, чисельності особового складу Держспецзв'язку і виділених
коштів регіональні органи, територіальні підрозділи, заклади та установи
Держспецзв'язку, здійснює управління ними, матеріальне та інше забезпечення;
- забезпечує бойову та мобілізаційну го-товність підпорядкованих органів;
- організовує, координує та контролює діяльність підприємств, що
належать до сфери її управління.
3. Кадрові функції. У межах даного напряму діяльності Адміністрація
Держспецзв'язку:
- організовує та здійснює разом з централь¬ним органом виконавчої влади
у галузі освіти і науки науково-методичне управління підготовкою кадрів у
сфері криптографічного та технічного захисту інформації;
- організовує підготовку, перепідготовку і підвищення кваліфікації
особового складу Держспецзв'язку, виконує функції державного замовника на
підготовку кадрів у вищих навчальних закладах;
- визначає критерії професійної придатності, фахової підготовленості та
інші вимоги до осіб рядового і начальницького складу, державних служ¬бовців
та інших працівників Держспецзв'язку;
- забезпечує відповідно до законодавства правовий і соціальний захист осіб
рядового і начальницького складу, державних службовців та інших працівників
Держспецзв'язку і членів їх сімей.
Нарешті пунктом 50 статті 4 Положення про Адміністрацію Держспецзв'язку
та захисту інформації визначено, що Адміністрація, крім вищеперерахованих,
виконує й інші функції, що випливають з покладених на неї завдань.

Контрольні питання розділ 3

1. Основні рівні інформаційної безпеки
• законодавчий;
• адміністративний (накази та інші дії керівництва організацій, пов’язаних з
інформаційними системами, що захищаються):;
• процедурний (заходи безпеки, орієтовані на людей);
• програмно-технічний.
2 Групи заходів законодавчого рівня:
• заходи, скеровані на створення та підтримання в суспільстві негативного (в
тім числі з застосуванням покарань) ставлення до порушень і порушників
інформаційної безпеки (назвемо їх заходами обмежувальної скерованості);
• направляючі і координуючі заходи, які сприяють підвищенню освіченості
суспільства в галузі інформаційної безпеки і допомагають в розробці та
поширенні засобів забезпечення інформаційної безпеки (заходи творчої
скерованості).
3. В чому полягає зацікавленість груп фахівців у використанні стандартів?
(Споживачі, по-перше, зацікавлені в методиці, яка дозволяє обґрунтовано обрати
продукт, що відповідає їх потребам і вирішує їх проблеми, для чого їм необхідна
чітка шкала оцінки безпеки, і, по-друге, мають потребу в інструменті, за
допомогою якого вони могли б формулювати свої вимоги виробнику. При цьому
споживачів (що, до речі, цілком природно й обгрунтовано) цікавлять виключно
характеристики і властивості кінцевого Виробники, у свою чергу, мають потребу
в стандартах для порівняння можливостей своїх продуктів і в застосуванні
процедури сертифікації для об'єктивного оцінювання їх властивостей, а також у
стандартизації певного набору вимог безпеки, що міг би обмежити фантазію
замовника конкретного продукту і змусити його вибирати вимоги з цього продукту.
Експерти з кваліфікації і фахівці із сертифікації розглядають стандарти як
інструмент, що допомагає їм оцінити рівень безпеки, забезпечуваний продуктами
інформаційних технологій, і надати споживачам можливість зробити
обґрунтований вибір. Саме експерти приймають на себе весь тягар
відповідальності за безпеку продукту, що одержав кваліфікацію рівня безпеки і
пройшов сертифікацію.)
4.Узагальнені показники, що характеризують стандарти:
Універсальність стандарту визначається множиною типів АС і галуззю
інформаційних технологій, до яких можуть бути коректно використані його
положення.
Під гнучкістю стандарту розуміється можливість і зручність його застосування
до інформаційних технологій, що постійно розвиваються, і час його «застаріння».
Гарантованість визначається потужністю передбачених стандартом методів і
засобів підтвердження надійності результатів кваліфікаційного аналізу.
Реалізовуваність - це можливість адекватної реалізації вимог і критеріїв
стандарту на практиці з урахуванням витрат на цей процес.
Актуальність відбиває відповідність вимог і критеріїв стандарту множині загроз
безпеці і новітніх методів і засобів, що використовуються зловмисниками.
5. Які стандарти ІБ є найбільш значимими? (у хронологічному порядку):
«Критерії безпеки комп'ютерних систем Міністерства оборони СІЛА»,
«Європейські критерії безпеки інформаційних технологій», «Керівні документи
Держтехкомісії Росії», «Федеральні критерії безпеки інформаційних технологій
США», «Канадські критерії безпеки комп'ютерних систем», «Єдині критерії
безпеки інформаційних технологій», «Українські критерії безпеки
автоматизованих систем».

Потенційні загрози безпеці інформації АС.

Типова модель потенційного зловмисника ТЗІ
Практичний досвід експлуатації комп’ютерних систем в провідних
країнах показує, що однією із основних потенційних загроз для інформації за
так званим людським фактором слід вважати цілеспрямовані або
випадкові деструктивні дії її персоналу, оскільки вони становлять до 75%
всіх випадків.
Взагалі припускається, що порушник ТЗІ може займати позицію, яка
дозволяє здійснити як пасивне, так і активне перехоплення.
В разі пасивного перехоплення порушник ТЗІ тільки стежить за
повідомленнями, що передаються по з’єднанню, без втручання в їх потік.
Спостереження порушника за даними в повідомленні дозволяє розкрити зміст
повідомлення. Зловмиcник ТЗІ може також стежити за заголовками
повідомлень, навіть якщо дані йому не зрозумілі, з метою визначення місця
розміщення та ідентифікаторів процесів, що приймають участь в передачі
даних. Зловмиcник ТЗІ може визначити реквізити, довжину повідомлень або
записів, кількість записів і частоту їх передачі для визначення характеру даних,
що передаються, тобто провести аналіз потоку повідомлень інформаційної
мережі (ІМ).
Порушник ТЗІ може також здійснювати активне перехоплення,
виконуючи множину несанкціонованих дій над повідомленнями, що
передаються з’єднанням. Ці повідомлення можуть бути вибірково змінені,
знищені, затримані, переупорядковані, здубльовані та введені в з’єднання
пізніше. Порушник ТЗІ може створювати фальшиві повідомлення та вводити їх
в з’єднання. Такі несанкціоновані дії можна визначити як зміна потоку і змісту
повідомлень ІМ.
Крім того, порушник може затримувати їх. Такі дії можна класифікувати
як перерву передачі повідомлень ІМ.
Вже на початку 80-х років були сформульовані п’ять основних
категорій потенційних загроз безпеці даних в обчислювальних мережах, які
доцільно використовувати в АС для захисту від таких несанкціонованих
дій та атак порушників ТЗІ:
1) розкриття змісту передаваних повідомлень;
2) аналіз трафіку, що дозволяє визначити належність відправника і
одержувача даних до однієї з груп санкціонованих користувачів мережі, які
пов’язані загальною задачею;
3) зміна потоку повідомлень, що може призвести до порушення
режиму роботи будь-якого об’єкту, який керується з віддаленої ПЕОМ
(робочої станції);
 1) неправомірна відмова у наданні послуг
5) несанкціоноване встановлення з’єднання.
Важливо знати , кого рахувати порушником ТЗІ. При цьому в ролі
потенційного порушника ТЗІ може бути не тільки стороння особа, але і
санкціонований користувач ІС, наприклад, навіть адміністратор системи з
наступним блокуванням реєстрації своїх дій в ІС. З цих позицій наведені вище
п’ять основних категорій потенційних загроз безпеці даних в
обчислювальних мережах характерні для моделі поведінки стороннього
порушника ТЗІ.
До помилок людини як частини АС слід віднести помилки людини-
оператора, адміністратора-програміста, невірні дії обслуговуючого персоналу.
Помилки людини розподіляються на логічні ( невірно прийняті рішення),
сенсорні (невірно сприйнята оператором інформація) та оперативні або моторні
(невірна реалізація рішення). Інтенсивність помилок людини може коливатись в
досить широких межах: від 1-2% до 15-40% і вище стосовно загальної кількості
операцій, що виконуються при рішенні прикладної програми. рівню помилок
персоналу як частини АС. При цьому імовірність помилок залежить від
загальної кількості кнопок в ряду, кнопок, які треба натиснути одночасно,
відстані між краями кнопок тощо.
Концептуально помилки людини як ланки, що приймає рішення,
визначаються неповною адекватністю розуміння ним реальної ситуації та
властивістю людини діяти за раніше визначеною програмою. Другою
важливою особливістю людини є прагнення до побудови спрощеної моделі
оцінюваної ситуації загроз НСД, саме тому вилучення з неї суттєво важливих
ситуацій призводить до подальших помилок в наборі обов’язкових функцій
захисту від спрощених загроз НСД.
Оскільки час та місце факту умисної загрози НСД передбачити
неможливо, доцільно прогнозувати узагальнену інформаційно-аналітичну
модель поведінки потенційного порушника ТЗІ в найбільш загрозливих
ситуаціях, а саме:
1) порушник може з’явитися в будь-який час та в будь-якому місці
периметру безпеки ІС;
2) кваліфікація та освіченість порушника ТЗІ можуть бути на рівні
розробника даної системи;
3) інформація щодо принципів роботи системи, у тому числі і таємна,
порушнику ТЗІ відома;
4) для досягнення своєї мети порушник ТЗІ вибиратиме найбільш
слабкішу ланку в захисті;
5) порушником ТЗІ може бути не тільки стороння особа, але і
санкціонований користувач системи;
6) порушник діє один.
Дана формалізована інформаційно-описова модель порушника ТЗІ
дозволяє визначитись з вихідними даними для організаційно-технічних заходів
захисту, накреслити концептуальні основи для їх експертної оцінки і подальшої
реалізації.
 Згідно п.1 необхідно створити навколо об’єкта захисту постійно діючий
замкнений контур або оболонку захисту у вигляді деякої низки перешкод ТЗІ.
Згідно п.2 властивості перешкоди ТЗІ, що являє собою механізм або засіб
захисту, повинен по мо жливості бути відповідним очікуваній кваліфікації та
освіченості порушника ТЗІ;
Згідно п.3 для входу в АС санкціонованого користувача необхідна
мінлива таємна інформація, яка відома тільки йому.
Згідно п.4 підсумкова стійкість захисного контуру (оболонки) ТЗІ
визначається їх найслабкішою ланкою.
Згідно п.5 при наявності декількох санкціонованих користувачів доцільно
забезпечити розмежування їх доступу до інформації в відповідності з
повноваженнями та виконуваними функціями, тим самим забезпечується
реалізація основного концептуального принципу найменшої освіченості
користувача ІС з метою скорочення втрати, якщо матиме місце
безвідповідальність (халатна помилка) одного з них. Звідси також слідує, що
розрахунок стійкості захисту повинен здійснюватись для двох можливих
вихідних позицій порушника ТЗІ: за межами контрольованої території та в
її межах.
Згідно п.6 як вихідною передумовою також вважаємо, що порушник ТЗІ
один, оскільки захист від групи порушників – завдання окремого етапу
досліджень. Але це не виключає можливості захисту пропонованими методами
та засобами і від такого роду ситуацій, хоча подібна задача значно складніша.
При цьому під групою порушників ТЗІ слід розуміти групу фахівців, які
виконують одну задачу ТЗІ під спільним керівництвом.
Але для різних за призначенням і принципами роботи АС, видів і
обмеженості оброблюваної в них інформації найбільш “загрозлива” модель
поведінки потенційного порушника ТЗІ також може бути різною. Наприклад,
для військових систем (систем національної гвардії, цивільної оборони) це
рівень розвідника-професіонала, для комерційних – рівень кваліфікованого
користувача. Очевидно, що для захисту інформації від більш кваліфікованого і
освіченого (проінформованого) порушника ТЗІ потрібно буде розглянути
більшу кількість потенційних каналів НСД та використати більшу кількість
засобів захисту з вищими показниками стійкості ТЗІ.
Реалізація вказаних вище рівнів безпеки ІС від загроз НСД згідно
класів порушників ТЗІ повинна узгоджуватись з низкою відповідних
організаційно-технічних заходів та засобів захисту. Рівень безпеки захисту
для кожного класу забезпечується експертною оцінкою та реалізацією стійкості
окремих засобів і контуру (оболонки) захисту від цілеспрямованих загроз НСД
по розрахунковим формулам, виведення яких надається у наступному розділі.

1.2 Інформаційно-аналітична модель з оцінки базового первинного захисту АС

від загроз НСД
Згідно вимог нормативних документів з питань ТЗІ України однією із
важливіших задач керівництва комплексною системою ТЗІ є контроль,
перевірка та експертна оцінка ефективності використованих
організаційно-технічних заходів захисту. Досягається це реалізацією
комплексу заходів, серед яких проблема створення інформаційно-аналітичних
моделей захисту від загроз несанкціонованого доступу (НСД) до інформації
займає досить суттєве місто. Такі моделі дозволяють не тільки дати оцінку
використовуваних заходів захисту, але і прогнозувати наслідки прояву нових
загроз НСД, які постійно змінюються та удосконалюються. В розділі
розглядається базова первинна інформаційно-аналітична модель експертної
оцінки виявлення та блокування загроз НСД до інформації ІС.
Відповідно до вимог законів України “Про інформацію”, “Про
державну таємницю” та “Про захист інформації в автоматизованих
стстемах” основним об’єктом захисту є інформація з обмеженим доступом,
що становить державну або іншу передбачену законодавством України
таємницю, конфіденційна інформація, що є державною власністю чи
передана державі у володіння, користування, розпорядження (далі -
інформація з обмеженим доступом, ІзОД).
Носії різних видів інформації АС здебільшого знаходяться в виділених
приміщеннях, за винятком телекомунікаційних засобів, які можуть
розміщуватись як в приміщеннях, так і на великих територіях. Але в усіх
випадках навколо них, як об’єктів захисту, створюються так звані перепони ТЗІ
(фізичні, режимні, організаційні, апаратні, технічні, програмні, віртуальні і т.
ін.).
Таким чином, об’єкт захисту знаходиться, так би мовити, в замкненій та
однорідній оболонці, яка зветься перепоною ТЗІ. Стійкість захисту залежить від
властивостей перепони. Принципову роль грає здатність перепони протистояти
спробам подолання її порушником ТЗІ. Властивість об’єкту захисту - здатність
приваблювати його власника та потенційного порушника ТЗІ. Привабливість
об’єкту захисту полягає в вагомості, ступеню обмеженості, цінності його
інформації. Ця властивість об’єкта захисту широко використовується при
експертній оцінці захищеності інформації в будь-яких інформаційних системах.
З цих позицій можна сформулювати два концептуальних правила
достатності стійкості ТЗІ від її порушника:
1) стійкість створеної перепони ТЗІ достатня, якщо вартість
очікуваних витрат на її подолання потенційним порушником ТЗІ перевищує
вартість інформації що підлягає захисту;
2) стійкість створеної перепони ТЗІ достатня, якщо витрати часу на її
подолання потенційним порушником ТЗІ перевищують час життєвого циклу
(старіння,цінності) інформації, що підлягає захисту;
У загальному найпростіша модель базового первинного (одноланкового і
однорівневого) захисту будь-якого об’єкту від загроз НСД може бути
формалізовано представлена у вигляді, наведеному на рис. 1.
Якщо позначити імовірність неподолання системи захисту інформації
(СЗІ) через Рсзі, термін життєвого циклу (старіння, цінності) інформації через
tж, очікуваний термін подолання перешкоди порушником через tп, імовірність
обходу перешкоди порушником через Робх, то для випадку старіння інформації
умову достатності захисту одержимо у вигляді наступних відношень:

Рсзі = 1, якщо tж<tп і Робх = 0. (1.1)

Робх, що дорівнює нулю, відображає необхідність замкнення перешкоди

навколо об’єкта захисту. Якщо tж >tп, а Робх = 0, тоді

Рсзі = (1 – Рпод), (1.2)

де Рпод – імовірність подолання перешкоди порушником за термін, менший

t ж.
Для реального випадку, коли tж>tп і Робх = 0, стійкість захисту можна
надати у вигляді:

Рсзі = (1 – Рпод)(1 – Робх), (1.3)

де Рпод = 0, якщо tж<tп; Рпод>0, якщо tж>tп.

Однак ця формула справедлива для випадку, коли порушників двоє, тобто

коли один переборює перешкоду, а другий її обходить. Але в вихідній моделі
поведінки потенційного порушника допускаємо, що розглядається поодинокий
порушник і йому відома стійкість перешкоди та складність шляхів її обходу.
Оскільки одночасно по двом шляхам він долати перешкоду не зможе, він вибере
один з них – найбільш простіший, тобто по схемі “або”. Тоді формульне
вираження стійкості захисту в цілому для даного випадку буде відповідати
формулі:

Рсзі = (1 – Рпод) U (1 – Робх), (1.4)

де U – знак “або”.

Таким чином, стійкість перешкоди після визначення і порівняння величин

(1 – Рпод) і (1 – Робх) буде дорівнюватись найменшому значенню однієї із них.
В якості прикладу первинного захисту, що вираховується по формулі (1.4),
може бути кріптографічний захист інформації, де величина Р под може
визначатись шляхом оцінки імовірності підбору коду ключа, з допомогою якого
можна дешифрувати закриту даним способом інформацію. Цю величину можна
визначити по формулі:

Рпод = n/As, (1.5)

 де Рпод – імовірність подолання перешкоди порушником за термін, менший
t ж.
де n – кількість спроб підбору коду;
А - кількість символів у вибраному алфавіті коду ключа;
S - довжина коду ключа в кількості символів.

Величина Робх буде залежить від відібраного метода шифрування, способу

застосування, повноти перекриття змісту інформації, існуючих методів
кріптоаналізу, а також способу зберігання дійсного значення коду ключа та
періодичності його зміни на нове значення, якщо інформація, закрита даним
способом, постійно зберігається у її власника. Можливі і інші обставини, що
впливають на імовірність обходу кріптографічного захисту.
Вибір та визначення конкретної величини Робх спочатку можна проводити експертним шляхом

на основі досвіду фахівців. Величина Робх повинна приймати значення від 0 до 1. При Робх = 1

захист втрачає усякий зміст.

Можливо також, що у однієї перешкоди можуть бути декілька шляхів обходу. Тоді формула

(1.5) приймає вид:

Рсзі = (1 – Рпод) U (1 – Робх1) U (1 – Робх2)U... U(1 – Робх-к), (1.6)

де к – кількість шляхів обходу перешкоди, тобто стійкість перешкоди дорівнюється

найменшому значенню, що одержано після визначення та порівняння величин:

(1 – Рпод), (1 – Робх1), (1 – Робх2), (1 – Робх-к). (1.7)

При масованих атаках ТЗІ, тобто при можливій одночасності подолання первинної

перешкоди ТЗІ і використання усіх каналів її обходу, формулу (1.6) можна подати у вигляді

(максимальна загроза НСД через первинну перешкоду ТЗІ):

 K
Рсзі = 1- Рпод ∏ ❑ Робх-к, (1.8)
1

де Рсзі оцінюється ймовірністю неподолання та необходу перешкоди ТЗІ ні по одному із

каналів НСД.

В тому разі, коли інформація, що підлягає захисту, не старіє або періодично оновлюється,

тобто коли виконується нерівність tж>tп постійно або ж коли забезпечити tп>tж по якимсь

причинам неможливо, звичайно використовується постійно діюча перешкода ТЗІ, яка володіє

властивостями виявлення та блокування доступу порушника ТЗІ до об’єкту захисту. В якості

такого захисту можуть бути використані людина або спеціальна автоматизована система

виявлення під управлінням адміністратора безпеки (автоматизована перепона ТЗІ).

1 1

3
.
Рис.1. Інформаційно-аналітична модель первинного базового захисту АС
від загроз НСД. 1 - об`єкт захисту від загроз НСД; 2 - перешкода ТЗІ; 3 -
стійкість перешкоди ТЗІ

Т Т Т
t

tп

tспр

tвм

tбл
Твбл

Рис. 2. Почасова діаграма контролю загроз НСД.

Очевидно, що параметри цієї перепони будуть впливати на її стійкість.

Здатність перепони виявляти та блокувати загрози НСД повинна враховуватись при

експертній оцінці її стійкості шляхом введення в формулу (1.6) замість (1 – Рпод) величини Рвбл

– імовірності виявлення та блокування загроз НСД.

Принцип роботи автоматизованої перепони ТЗІ заснований на тому, що в ній блоком

управління здійснюється періодичний контроль датчиків виявлення порушника ТЗІ.

Результати контролю спостерігаються адміністратором безпеки. Періодичність опитування

датчиків автоматом може досягати тисячних долей секунди та менше. В цьому випадку

очікуваний час подолання перешкоди порушником значно перевищує період опитування

датчиків. Саме тому такий контроль часто вважають постійним. Але для виявлення

порушника адміністратором безпеки, що керує автоматом контролю, тільки малого періоду

опитування датчиків недостатньо. Необхідний ще й термін на виробку сигналу тривожної

сигналізації, тобто термін спрацювання автоматизованої перешкоди, оскільки він часто

значно перевищує період опитування датчиків і, тим самим, збільшує термін виявлення

порушника ТЗІ. Практика показує, що звичайно сигналу такої тривожної сигналізації

достатньо для призупинення дій порушника ТЗІ, якщо цей сигнал до нього дійшов. Але

оскільки фізичний або логічний доступ до об’єкту захисту поки що відкритий, подальші дії

адміністратора безпеки (охорони) зводяться до визначення місця та організації блокування

доступу порушника ТЗІ, на що також потрібний час.

Таким чином, умову стійкості перешкоди ТЗІ з автоматизованим виявленням та

блокуванням загроз НСД можна формалізувати співвідношенням:

(Тод + tспр + tвм + tбл) / tп < 1, (1.9)

де Тод - період опитування датчиків авоматизованої перешкоди ТЗІ;

tспр - термін спрацювання тривожної сигналізації;

tвм - термін визначення місця загрози НСД;

tбл - термін блокування загрози НСД;

tп - термін подолання перешкоди порушником ТЗІ.

Якщо означимо суму (Тод + tспр + tвм + tбл) через Tвбл, одержимо співвідношення:
 Tвбл / tп < 1, (1.10)

де Tвбл - термін виявлення і блокування загрози НСД.

Процес контролю НСД та несанкціонованих дій порушника ТЗІ щодо його терміну наведено

на мал. 1.4. З аналізу діаграми слідує, що порушник ТЗІ може бути невиявленим у двох

випадках:

а) коли tп < Т;

б) коли Т < tп < Tвбл .

В першому разі потребується додаткова умова попадання інтервалу часу tп в інтервал Т, тобто

необхідна синхронізація дій порушника ТЗІ з частотою опитування датчиків виявлення

загроз НСД. Для вирішення цієї задачі порушнику ТЗІ потрібно потайно підключити

вимірювальну апаратуру в момент виконування НСД до інформації, що являє собою досить

складну задачу для стороннього порушника. Саме тому вважаємо, що свої дії з частотою

опитування датчиків автоматизованої перешкоди ТЗІ він синхронізувати не зможе і може

розраховувати лише на деяку імовірність успіху, яка визначається в імовірності попадання

відрізка часу tп в проміжок часу між моментами (запитами, імпульсами) опитування датчиків

ТЗІ, рівний Т.

Згідно визначенню геометричної імовірності одержимо формулу для визначення імовірності

успіху порушника ТЗІ в наступному вигляді:

Рпод = (Т - tп) / Т = 1 - tп /Т (1.11)

Тоді імовірність виявлення несанкціонованих дій порушника буде визначатися:

 Рвбл = 1 - Рпод, (1.12)

або Рвбл = tп /Т. (1.13)

При tп >Т порушник ТЗІ буде виявленим достеменно, тобто Рвбл = 1.

В другому разі, коли Т < tп < Твбл, імовірність успіху порушника буде визначатись по аналогії з

попереднім співвідношенням:

Рпод= 1 - tп / Твбл. (1.14)

Імовірність виявлення та блокування несанкціонованих дій порушника ТЗІ:

Рвбл = (1 - Рпод), (1.15)

Рвбл = tп / Твбл. (1.16)

При tп >Твбл спроба НСД не має сенсу, оскільки вона буде виявлена достеменно. В цьому разі

Рвбл = 1.

Таким чином, розрахунок стійкості базової первинної перешкоди ТЗІ з властивостями

виявлення та блокування загроз НСД можна виконати за формулою:

Рсзі = Рвбл U (1 – Робх1) U (1 – Робх2) U (1 – Робхj), (1.17)

де j – кількість шляхів обходу цієї перешкоди;

 U – знак “або”.

Слід відмітити, що ця формула справедлива також і для організаційного заходу захисту у

вигляді періодичного контролю заданого об’єкта адміністратором безпеки. При цьому

вважаємо, що виявлення, визначення місця НСД та його блокування відбувається одночасно –

в момент контролю об’єкта адміністратором безпеки, тобто tспр = tвм = tбл = 0, Твбл = Т, де Т –

період контролю адміністратором безпеки об’єкта захисту. Імовірність виявлення та

блокування дій порушника буде визначатись формулою (1.13).

Для більш повного представлення стійкості перешкоди у вигляді автоматизованої системи

виявлення та блокування загроз НСД необхідно враховувати надійність її функціонування та

шляхи можливого обходу її порушником ТЗІ.

Імовірність відмови системи визначається за звісною формулою:

Рвідм (t) = е-t, (1.18)

де  - інтенсивність відмов групи технічних засобів, що складають систему виявлення та

блокування загроз НСД;

t - розглядуваний інтервал терміну функціонування системи виявлення та блокування

НСД.

З врахуванням можливої відмови автоматизованої системи контролю стійкість такої

перешкоди ТЗІ буде визначатись за формулою:

Рсзі-к= Рвбл (1 -Рвідм) U (1 – Робх1) U (1 – Робх2)U... U(1 – Робхj), (1.19)

де Рвбл і Рвідм визначаються відповідно за формулами (1.16) і (1.18).

Величина Робх і кількість шляхів обходу визначаються експертним шляхом на основі аналізу

принципів побудови автоматизованої системи контролю та блокування загроз НСД.

Одним із можливих шляхів обходу автоматизованої системи виявлення та блокування загроз

НСД може бути можливість потайного відключення порушником цієї системи (наприклад,

шляхом обривання або замкнення контрольних ланок, підключення імітатора контрольного

сигналу, зміни програми збору сигналів і т.і.) Імовірність такого роду подій визначається у

межах від 0 до 1 методом експертних оцінок на основі аналізу принципів створення і роботи

системи. При відсутності можливості несанкціонованого відключення системи величина

його імовірності дорівнює нулю.

На основі викладеного підводимо деякі підсумки і робимо концептуальний висновок про те,

що первинні захисні перепони доцільно використовувати двох видів: контрольовані і

неконтрольовані адміністратором безпеки (оператором). Стійкість неконтрольованої

перешкоди оцінюється за формулою (1.6), контрольованої – за формулою (1.19). Аналіз даних

формул дозволяє сформулювати таке узагальнене концептуальне правило захисту будь-

якого об’єкту ТЗІ від загроз НСД: стійкість захисної перепони ТЗІ від загроз НСД є

достатньою, якщо очікуваний термін подолання її порушником ТЗІ є тривалішим за термін

життєвого циклу (старіння, обмеженості, цінності) захищуваної інформації або

триваліший терміну виявлення та блокування несанкціонованого доступу до неї та її носіїв

при відсутності шляхів потайного обходу цієї перешкоди.

В більшості випадків на практиці захисна оболонка об’єкта ТЗІ складається із декількох

"з`єднаних" між собою первинних перешкод ТЗІ з різною стійкістю та декількох рівнів або

контурів ТЗІ. В

більшості випадків на практиці захисний контур (оболонка) складається із декількох

"з`єднаних" між собою перепон з різною стійкістю. Модель такого багатоланкового захисту з

декількох ланок наведено на рис. 3.

 3 2

1 1
4

Рис. 3. Інформаційно-аналітична модель багатоланкового захисту АС від

загроз НСД; 1 - об`єкт захисту від загроз НСД; 2,3, - ланки перепони ТЗІ; 5
- стійкість перепони ТЗІ.

Прикладом такого виду захисту може бути приміщення, в якому знаходиться апаратура АС.

Перепонами з різною стійкістю тут можуть бути кодовий замок на вхідній двері, вікна,

стіни, стеля, підлога і т. ін.

Для АС "з`єднання" перешкод ТЗІ (замкнення контуру захисту) має той же зміст, але іншу

реалізацію. Наприклад, система контролю розкриття апаратури і система розпізнання та

розмежування доступу, що контролюють доступ до периметру ІС, на перший погляд, є

замкненим захисним контуром, але доступ до засобів відбиття і документування, до носіїв

інформації і інших можливих каналів НСД вони не перекривають. Тобто, в контур захисту, як
його ланки, ввійдуть ще система контролю доступу до приміщення, засоби захисту від

ПЕМВН, шифрування і т. д. Це не означає, що система контролю доступу в приміщення не

може бути замкненим захисним контуром для іншого об`єкту захисту (наприклад, для тієї ж

ІС). Тут є важливою точка відліку, в даному випадку, стосовно об`єкту захисту, тобто контур

ТЗІ даного об’єкту захисту не буде замкненим до тих пір, поки існує можливість будь-

якої загрози НСД до нього.

Формальний опис стійкості багатоланкового захисту практично збігається з формулами (1.4) і

(1.19), оскільки наявність декількох шляхів обходу однієї перешкоди ТЗІ, що не

задовольняють заданим вимогам, потребує їх перекриття відповідними перешкодами. Тоді

співвідношення для оцінки стійкості багатоланкового захисту при неконтрольованих

перешкодах ТЗІ може бути представлене у вигляді:

Рсзі=Рсзі1UPсзі2UРсзі3U...UРсзііU(1-Робх1)U(1-Робх2)U...U(1-Робхк), (1.20)

де Рсзі-і - стійкість і-ї неконтрольованої перепони.

Адміністративний рівень інформаційної безпеки

Основні поняття

До адміністративного рівня інформаційної безпеки відносяться дії

загального характеру, що вживаються керівництвом організації.
Головною метою адміністративного рівня є формування програми робіт в
галузі інформаційної безпеки і забезпечення її виконання, виділяючи для цього
необхідні ресурси і контролюючи стан справ.
Основою програми є політика безпеки, котра відображає ставлення
організації до захисту своїх інформаційних активів. Під політикою безпеки
будемо розуміти сукупність документованих рішень, що приймаються
керівництвом організації і скеровуються на захист інформації і пов’язаних з нею
ресурсів. Керівництво кожної організації повинно усвідомлювати необхідність
підтримання режиму безпеки і виділення на ці цілі значних ресурсів.
Політика безпеки
будується на підставі аналізу ризиків, що визнаються реальними для
інформаційної системи організації. Після аналізу ризиків і визначення стратегії
захисту складається програма забезпечення інформаційної безпеки. Під цю
програму виділяються необхідні ресурси, призначаються відповідальні особи,
визначається порядок контролю виконання програми, тощо.

Політика безпеки

З практичної точки зору політику безпеки доцільно розглядати на трьох

рівнях деталізації. До верхнього рівня відносять рішення, що відносяться до
всієї організації в цілому. Вони мають загальний характер і, як правило
виходять від керівництва організації. Приблизний список таких рішень може
містити такі елементи:
• рішення сформувати або переглянути комплексну програму забезпечення
інформаційної безпеки, призначення осіб, відповідальних за просування
програми;
 формулювання цілей, котрі ставить організація в галузі захисту інформації,
визначення загальних напрямів досягнення цих цілей;
 забезпечення бази для дотримання законів і правил;
 формулювання адміністративних рішень з тих питань реалізації програми
безпеки, які повинні розглядатись на рівні організації в цілому.
Для політики верхнього рівня цілі організації в галузі інформаційної безпеки
формулюються в термінах доступності, цілісності і конфіденційності. Якщо для
організації важливим є підтримання критично важливих баз даних, то на
першому плані може стояти зменшення кількості втрат, ушкоджень або
спотворення даних. Для організації, яка продає комп’ютерну техніку, ймовірно,
важливою є актуальність інформації про надавані послуги та ціни і її
доступність максимальному числу потенційних користувачів. Керівництво ж
режимного підприємства повинно в першу чергу дбати про захист від
несанкціонованого доступу, тобто про конфіденційність.
На верхній рівень виноситься управління захисними ресурсами та
координація використання цих ресурсів, виділення спеціального персоналу для
захисту критично важливих систем і взаємодія з іншими організаціями, що
забезпечують або контролюють режим безпеки.
Політика верхнього рівня повинна чітко окреслювати сферу свого впливу.
Це можуть бути всі комп’ютерні системи організації (або навіть більше, якщо
політика регламентує деякі аспекти використання співробітниками своїх
домашніх комп’ютерів). Можливою є така ситуація, коли в сферу впливу
залучаються лише найважливіші системи.
В політиці повинні бути визначені обов’язки посадових осіб з вироблення
програми безпеки і втілення її в життя. В цьому сенсі політика безпеки є
основою підзвітності персоналу.
Політика верхнього рівня має справу з трьома аспектами
законопослушності та виконавчої дисципліни. По-перше, організація повинна
дотримуватись існуючих законів. По-друге, слід контролювати дії осіб,
відповідальних за вироблення програми безпеки. По-третє, необхідно
забезпечити певний ступінь виконавчої дисципліни персоналу, а для цього треба
розробити систему заохочень та покарань. Зазначимо, що
на верхній рівень слід виносити мінімум питань. Таке винесення є доцільним,
коли воно обіцяє значну економію засобів або коли інакше чинити просто
неможливо. До середнього рівня
можна віднести питання, які стосуються окремих питань інформаційної
безпеки, що є важливими для різних систем, які експлуатуються організацією.
Приклади таких питань - ставлення до передових (але, можливо, недостатньо
перевірених) технологій, доступ до Internet (як сумістити свободу доступу до
інформації з захистом від зовнішніх загроз?), використання домашніх
комп’ютерів, застосування користувачами неофіційного програмного
забезпечення, тощо. Політика середнього рівня
повинна висвітлювати такі питання: Опис аспекту. Наприклад, якщо
розглядається застосування користувачами неофіційного програмного
забезпечення, його можна визначити як програмне забезпечення, яке не було
схвалено і/або закуплено на рівні організації. Галузь застосування. Слід
визначити, де, як, стосовно кого і чого застосовується дана політика безпеки.
Наприклад, чи стосується політика, пов’язана з застосування користувачами
неофіційного програмного забезпечення, організацій-субпідрядників? Чи
зачіпає вона співробітників, які користуються портативними і домашніми
комп’ютерами і переносять інформацію на виробничі машини?
Позиція організації з даного аспекту. На прикладі застосування
користувачами неофіційного програмного забезпечення можна уявити собі
позиції повної заборони, вироблення процедури приймання такого програмного
забезпечення, тощо. Позиція може сформульована і в найзагальнішому вигляді,
як набір цілей, які переслідує організація в даному аспекті. Стиль документів,
що визначають політику безпеки і їх перелік в різних організаціях можуть
значно відрізнятись.
Ролі і обов’язки. До документу необхідно включити інформацію про
посадових осіб, відповідальних за реалізацію політики безпеки. Наприклад,
якщо для застосування неофіційного програмного забезпечення
співробітникам потрібно отримати дозвіл керівництва, повинно бути відомо, у
кого і як його можна отримати. Якщо ж неофіційне програмне забезпечення
застосовувати заборонено, необхідно знати, хто контролює дотримання даного
правила.
Законослухняність. Політика повинна містити загальний опис заборонених дій
і покарань за них.
Точки контакту. Повинно бути відомо, куди слід звертатись за роз’ясненнями,
допомогою і додатковою інформацією. Звичайно “точкою контакту” є певна
посадова особа, а не конкретна людина, що посідає в даний момент даний пост.
Політика безпеки нижнього рівня стосується окремих інформаційних
сервісів. Вона містить два аспекти – цілі і правила їх досягнення, через що її
буває важко відділити від питань реалізації. На відміну від двох верхніх рівнів
політика нижнього рівня повинна бути визначена детальніше. Багато питань,
що є специфічними для окремих видів послуг, не можна однаково
регламентувати в рамках всієї організації. Але ці питання є настільки
важливими для забезпечення режиму безпеки, що рішення з них повинні
прийматись на управлінському, а не технічному рівні. Наведемо приклади
питань, на які слід дати відповіді в політиці безпеки нижнього рівня:
• хто має право доступу до об’єктів, що підтримуються сервісом?
• за яких умов можна читати і модифікувати дані?
• як організовано віддалений доступ до сервісу?
При формулюванні цілей політики безпеки нижнього рівня можна
керуватись міркуваннями цілісності, доступності і конфіденційності. Але цього
недостатньо. Її цілі повинні бути конкретнішими. Наприклад, якщо мова йде
про систему розрахунку заробітної платні, можна поставити мету, щоб тільки
співробітникам відділів кадрів і бухгалтерії дозволялось вводити і
модифікувати інформацію. В загальному випадку цілі повинні зв’язувати між
собою об’єкти сервісу і дії з ними.
З цілей виводяться правила безпеки, які описують, хто, що і за яких умов
може робити. Чим детальнішими є правила, чим формальніше їх викладено,
тим простіше підтримувати їх виконання програмно-технічними засобами. З
іншого боку, надто жорсткі правила можуть заважати роботі користувачів, тому
ймовірно, їх доведеться часто переглядати. Керівництву належить знайти
розумний компроміс, коли за прийнятну ціну буде забезпечено прийнятний
рівень безпеки, а співробітники не виявляться занадто зв’язаними. Звичайно
через особливу важливість найбільш формально задаються права доступу до
об’єктів.

Програма безпеки

Після формулювання політики безпеки можна приступати до складення

програми її реалізації і до власне реалізації.
Щоб реалізувати будь-яку програму, її потрібно структурувати за рівнями,
звичайно згідно структури організації. В найпростішому і найпоширенішому
випадку цілком достатньо двох рівнів – верхнього або центрального, який
охоплює всю організацію, і нижнього або службового, який стосується окремих
послуг або груп однорідних сервісів. Програму верхнього
рівня очолює особа, яка відповідає за інформаційну безпеку організації. Ця
програма має такі головні цілі:
 управління ризиками (оцінка ризиків, вибір ефективних засобів захисту);
 координація діяльності в галузі інформаційної безпеки, поповнення і
розподіл ресурсів;
 стратегічне планування;
 контроль діяльності в галузі інформаційної безпеки .
В рамках програми верхнього рівня приймаються стратегічні рішення з
забезпечення безпеки, оцінюються технологічні новинки. Інформаційні
технології розвиваються дуже швидко, тому необхідно мати чітку політику
відслідковування і впровадження нових засобів.
Контроль діяльності в галузі безпеки має двобічну направленість. По-
перше, необхідно гарантувати, що дії організації не суперечать законам. При
цьому треба підтримувати контакти з зовнішніми контролюючими
організаціями. По-друге, потрібно постійно відслідковувавти стан безпеки
всередині організації, реагувати на випадки порушень і допрацьовувати захисні
заходи з врахуванням змін обстановки.
Зазначимо що, програма верхнього рівня повинна займати чітко визначене
місце в діяльності організації, вона повинна офіційно прийматись і
підтримуватись керівництвом, мати певний штат і бюджет. Метою
програми нижнього рівня є забезпечення надійного і економічного захисту
конкретного сервісу або групи однорідних сервісів. На цьому рівні вирішують,
які механізми захисту слід використовувати, закуповують і встановлюють
технічні засоби, виконують повсякденне адміністрування, відслідковують стан
слабкі місця, тощо. Звичайно за програму нижнього рівня відповідають
адміністратори сервісів.

Синхронізація програми безпеки

з життєвим циклом систем

Можна добитися більшого ефекту з меншими затратами якщо

синхронізувати програму безпеки нижнього рівня з життєвим циклом сервісу,
що захищається. Звичайно додати нову можливість до вже готової системи на
порядок складніше, ніж початково спроектувати і реалізувати її. Це стосується і
інформаційної безпеки.
В життєвому циклі інформаційного сервісу можна виділити такі етапи:
Ініціація. На цьому етапі виявляється необхідність придбання нового
сервісу, документується його передбачуване призначення.
Закупівля. На цьому етапі складаються специфікації, проробляються
варіанти придбання, здійснюється власне закупівля.
Встановлення. Сервіс встановлюється, конфігурується, тестується і
вводиться в експлуатацію.
Експлуатація. На цьому етапі сервіс не тільки працює і адмініструється, але
й піддається модифікаціям.
Виведення з експлуатації. Відбувається перехід на новий сервіс.
Розглянемо детальніше дії, що виконуються на кожному з етапів.
На етапі ініціації оформляється розуміння того, що необхідно придбати
новий або значно модернізувати існуючий сервіс; визначаться, які
характеристики і яку функціональність він повинен мати; оцінюються фінансові
та інші обмеження. З
точки зору безпеки найважливішою дією тут є оцінка критичності як самого
сервісу, так і інформації, яка буде оброблятися з його допомогою. Необхідно
сформулювати відповіді на такі питання:
 якого роду інформація призначається для обробки новим сервісом?
 якими є можливі наслідки порушення цілісності, доступності і
конфіденційності інформації?
 якими є загрози стосовно яких сервіс і інформація будуть найвразливішими?
 чи є які-небудь особливості нового сервісу (наприклад, територіальна
розподіленість компонентів), що вимагають вжиття спеціальних
процедурних заходів?
 якими є характеристики персоналу, які мають відношення до безпеки
(кваліфікація, благонадійність)?
 якими є законодавчі положення і внутрішні правила, яким повинен
відповідати новий сервіс?
Результати оцінки критичності є точкою відліку при складенні
специфікацій. Крім того, вони визначають міру уваги, яку служба безпеки
організації повинна приділяти новому сервісу на наступних етапах його
життєвого циклу.
Етап закупівлі є одним з найскладніших. Потрібно остаточно
сформулювати вимоги до захисних засобів нового сервісу, до компанії, яка може
претендувати на роль постачальника, і до кваліфікації, яку повинен мати
персонал, що використовує або обслуговує закуповуваний продукт. Всі ці
відомості оформляються у вигляді специфікації, куди входять не лише
апаратура і програми, але й документація, обслуговування, навчання персоналу.
Особливу увагу слід приділити питанням сумісності нового сервісу з існуючою
конфігурацією. Зазначимо, що засоби безпеки часто не є необов’язковими
компонентами комерційних продуктів, і тому треба прослідкувати, щоб
відповідні пункти не випали з специфікації. .
Встановлення є дуже відповідальним етапом. Коли продукт закуплено, його
необхідно встановити.
По-перше, новий продукт необхідно сконфігурувати. Як правило,
комерційні продукти поставляються з відключеними засобами безпеки, їх
необхідно включити і належно налаштувати. Для великих організацій, де є
багато користувачів і даних, початкове налаштування може бути досить
трудомісткою і відповідальною справою.
По-друге, новий сервіс потребує процедурних регуляторів. Слід подбати
про чистоту і охорону приміщення, про документи, що регламентують
використання сервісу, про підготовку планів на випадок екстрених ситуацій,
про організацію навчання користувачів, тощо.
Після вжиття перелічених заходів необхідно здійснити тестування. Його
повнота і комплексність можуть служити гарантією безпеки експлуатації в
штатному режимі.
Етап експлуатації є найтривалішим і найскладнішим. З психологічної
точки зору найбільшу небезпеку становлять незначні зміни в конфігурації
сервісу, в поведінці користувачів і адміністраторів. Якщо безпеку не
підтримувати, вона слабне. Користувачі не так ретельно виконують посадові
інструкції, адміністратори менш старанно аналізують реєстраційну інформацію.
То той то інший користувач отримують додаткові привілеї. Ніби нічого не
змінилось, але насправді від колишньої безпеки не залишилось і сліду. Для
боротьби з ефектом повільних змін доводиться застосовувати періодичні
перевірки безпеки сервісу. Очевидно, після значних модифікацій такі перевірки
є обов’язковими.
Виведення з експлуатації стосується апаратно-програмних компонент
сервісу і оброблюваних ним даних. Апаратура продається, утилізується або
викидається. Тільки в специфічних випадках необхідно потурбуватись про
фізичне руйнування апаратних компонент, які зберігають конфіденційну
інформацію. Програми просто стираються, якщо ліцензійна угода не передбачає
іншого варіанту. При виведенні даних з експлуатації їх звичайно переносять на
іншу систему, архівують, викидають або просто знищують. Якщо архівування
здійснюється з наміром в подальшому прочитати дані в іншому місці, необхідно
потурбуватись про апаратно-програмну сумісність засобів читання і
записування. Інформаційні технології розвиваються дуже швидко, і через кілька
років пристроїв, здатних прочитати старий носій, може просто не виявитись.
Якщо дані архівуються в зашифрованому вигляді, необхідно зберегти ключ і
засоби розшифрування. При архівуванні і зберіганні архівної інформації не
можна забувати про підтримання конфіденційності даних.