Приложение В (справочное). Область безопасности, угрозы и профили защиты

Приложение В
(справочное)

Область безопасности, угрозы и профили защиты

В.1 Область безопасности

Для защиты активов владельцы ИСОП должны понимать, что представляют собой угрозы, как именно реагировать на них и какие меры и механизмы должны быть реализованы при этом.

Банки и финансовые учреждения находятся за пределами области безопасности, так как считаются доверенными лицами. Регистратор также находится за пределами области безопасности, потому что он считается заслуживающим доверия, а информация, управляемая секретарем, не требует конфиденциальности. Другие ИСОП недоступны в связи с тем, что владелец одной ИСОП не имеет никакого влияния или контроля над другими системами. Клиент также является внешним, так как контроль поведения клиента из области безопасности не возможен.

В.2 Угрозы

Основная цель анализа угроз и уязвимости заключается в том, чтобы минимизировать риски, связанные с внедрением и управлением ИСОП. Анализ угроз и уязвимостей включает общую оценку наиболее вероятных угроз и уязвимость системы по отношению к этим угрозам.

Анализ угроз включает выявление возможных хакеров, целей угроз и оценку уязвимости целей к применяемым хакерским методам для доступа, изменения, использования, копирования и/или извлечения активов.

Хакеров можно классифицировать следующим образом:

- класс 1 - умные (посторонние лица).

Эти лица могут быть квалифицированными и иметь соответствующие инструменты для проведения хакерских атак, но недостаточно осведомленными о системе и ее недостатках для достижения своих целей;

- класс 2 - знающие (посторонние лица).

Данная группа лиц потенциально имеет доступ ко всей системе, обладает специальным техническим образованием и опытом работы со специализированными инструментами, предназначенными для хакерских атак;

- класс 3 - финансируемые организации.

Группы посторонних организаций, имеющие достаточное финансирование, обладающие специалистами, возможно, использующие хакеров класса 2 с набором самых современных инструментов для осуществления хакерских атак;

- класс 4 - инсайдер.

В этой группе лица, имеющие доступ к конфиденциальной информации, процессам и модулям, которые могут быть использованы ими или другими посторонними лицами.

Классификация хакеров (от 1-го до 4-го классов) приведена для того, чтобы показать, что чем выше класс, тем выше вероятность атак и тяжесть их последствий. С другой стороны, чем выше класс, тем меньше количество людей, которые могли бы осуществить хакерскую атаку, и наоборот. Это можно использовать позже для того, чтобы оценить вероятность осуществления фактической атаки.

В.3 Профили защиты

Угрозы безопасности должны предупреждаться различными мерами безопасности, включая спецификации требований безопасности.

Под ПЗ понимается набор требований безопасности для категории продуктов или систем, которые отвечают конкретным потребностям. Типичным примером может служить ПЗ для среды клиента, которая будет использована в ИСОП, и в этом случае ПЗ будет независимым от реализации набором требований безопасности для среды клиента, удовлетворяющим потребности операторов и пользователей в безопасности.

Основная цель ПЗ состоит в том, чтобы определить требования к безопасности, связанные с угрозами, выявленными в результате анализа среды безопасности. Изучаемый предмет называется ЦО.

Содержание ПЗ организовано следующим образом:

а) введение;

б) ЦО - область применения ЦО, например валидатор, должна быть указана;

в) безопасная окружающая среда - определение методов разработки, функционирования и управления ЦО для уточнения рабочих/эксплуатационных требований. В отношении этих требований должны быть указаны ИТ-активы, которые ЦО должна защищать, и угрозы безопасности, которым подвергается ЦО;

г) цели безопасности (ЦБ) - определение политики безопасности от угроз. ЦБ подразделены на технические политики и политику оперативного управления и должны соответствовать оперативным целям продукта. Политика операционного управления определена в качестве персональных и физических целей в статусе, в котором используется ЦО. Политика операционного управления включает в себя правила по управлению и эксплуатации для операторов;

д) требования безопасности - в соответствии с ЦБ конкретные требования безопасности для предотвращения угроз безопасности, указанных в перечислении в), состоят из функциональных требований (технических требований) и требований к обеспечению качества безопасности;

е) разумное обоснование/эффективность - содержание ПЗ проверяют при необходимости на соответствие требованиям безопасности для ЦО.

Проверенные элементы отображены следующим образом:

- удовлетворение всех необходимых условий безопасности;

- соответствие целям и условиям безопасности;

- обеспечение требований безопасности в соответствии с ЦБ.