Об'єктом технічного захисту



Дата конвертації17.06.2016
Розмір445 b.





Цей нормативний документ (НД) установлює об'єкт, ціль та основні організаційно-технічні положення технічного захисту інформації (ТЗІ) на АТС, що призначені для функціонування на проводових телефонних мережах загального користування та (або) на установських (відомчих, корпоративних) системах зв'язку.

  • Цей нормативний документ (НД) установлює об'єкт, ціль та основні організаційно-технічні положення технічного захисту інформації (ТЗІ) на АТС, що призначені для функціонування на проводових телефонних мережах загального користування та (або) на установських (відомчих, корпоративних) системах зв'язку.



Об'єктом технічного захисту на програмно-керованих АТС, а також на установських (відомчих, корпоративних) АТС є конфіденційна, а також відкрита важлива для особи, суспільства і держави інформація, яка зберігається та циркулює на цих АТС.

  • Об'єктом технічного захисту на програмно-керованих АТС, а також на установських (відомчих, корпоративних) АТС є конфіденційна, а також відкрита важлива для особи, суспільства і держави інформація, яка зберігається та циркулює на цих АТС.



  • Метою ТЗІ на програмно-керованих АТС загального користування, а також на установських (відомчих, корпоративних) АТС є запобігання за допомогою інженерно-технічних заходів здійсненню загроз інформаційним ресурсам АТС.



Принцип леґітимності захисту - ТЗІ на АТС (далі - захист АТС) повинен ґрунтуватися на положеннях і вимогах чинних в Україні нормативно-правових актів і нормативних документів щодо технічного захисту інформації, в тому числі на положеннях Концепції про технічний захист інформації в Україні.

  • Принцип леґітимності захисту - ТЗІ на АТС (далі - захист АТС) повинен ґрунтуватися на положеннях і вимогах чинних в Україні нормативно-правових актів і нормативних документів щодо технічного захисту інформації, в тому числі на положеннях Концепції про технічний захист інформації в Україні.

  • Принцип комплексності захисту - захист АТС повинен забезпечуватися комплексом взаємопов'язаних програмно-технічних засобів і організаційних заходів.



Принцип безперервності захисту - захист АТС повинен забезпечуватися на всіх технологічних етапах опрацювання викликів і у всіх режимах функціонування і надання послуг, зокрема при проведенні ремонтних і реґламентних робіт.

  • Принцип безперервності захисту - захист АТС повинен забезпечуватися на всіх технологічних етапах опрацювання викликів і у всіх режимах функціонування і надання послуг, зокрема при проведенні ремонтних і реґламентних робіт.

  • Принцип мінімальної достатності захисту - захист АТС повинен забезпечувати необхідний рівень захищеності при мінімальних витратах ресурсів.



Невід'ємною частиною робіт з ТЗІ на АТС є оцінка ефективності засобів захисту, що здійснюється згідно з методиками, які враховують всю сукупність технічних характеристик оцінюваного об'єкта, включаючи технічні рішення і практичну реалізацію засобів захисту.

  • Невід'ємною частиною робіт з ТЗІ на АТС є оцінка ефективності засобів захисту, що здійснюється згідно з методиками, які враховують всю сукупність технічних характеристик оцінюваного об'єкта, включаючи технічні рішення і практичну реалізацію засобів захисту.

  • Захист АТС повинен передбачати створення систем керування комплексами засобів захисту, що дозволяють здійснити безперервний контроль ефективності засобів захисту, підтримку необхідного рівня захищеності інформаційних ресурсів АТС.



Структура програмно-керованої АТС, з позицій ТЗІ розподіляється на дві відносно незалежні підсистеми:

  • Структура програмно-керованої АТС, з позицій ТЗІ розподіляється на дві відносно незалежні підсистеми:

  • підсистема керування станцією;

  • підсистема комутації абонентських і з'єднувальних ліній зв'язку (КАЗЛ).



спеціалізовані пристрої керування, що реалізують принцип програмного керування і складаються, здебільшого, з процесорів, пристроїв внутрішньої і зовнішньої пам'яті, периферійних пристроїв, спеціалізованих модулів керування сигналізацією, опрацюванням викликів, наданням послуг і деяких інших програмно-апаратних компонентів, які є характерними для комп'ютерної техніки;

  • спеціалізовані пристрої керування, що реалізують принцип програмного керування і складаються, здебільшого, з процесорів, пристроїв внутрішньої і зовнішньої пам'яті, периферійних пристроїв, спеціалізованих модулів керування сигналізацією, опрацюванням викликів, наданням послуг і деяких інших програмно-апаратних компонентів, які є характерними для комп'ютерної техніки;

  • термінали обслуговування, що під'єднані до пристроїв керування через канали технологічного обслуговування АТС і до підсистеми КАЗЛ - через канали інформаційного обслуговування абонентів.



пристрої, що реалізують процеси комутації, мультиплексирування та концентрації абонентських і міжстанційних з'єднувальних ліній, а також компоненти устаткування абонентських ліній зв'язку - абонентські прикінцеві пристрої, фізичні лінії зв'язку, пристрої мультиплексирування абонентських ліній, станційні абонентські комплекти і т. ін.

  • пристрої, що реалізують процеси комутації, мультиплексирування та концентрації абонентських і міжстанційних з'єднувальних ліній, а також компоненти устаткування абонентських ліній зв'язку - абонентські прикінцеві пристрої, фізичні лінії зв'язку, пристрої мультиплексирування абонентських ліній, станційні абонентські комплекти і т. ін.



порушення конфіденційності (тобто, ознайомлення з інформацією обмеженого доступу неавторизованими особами);

  • порушення конфіденційності (тобто, ознайомлення з інформацією обмеженого доступу неавторизованими особами);

  • порушення цілісності (тобто, несанкціонована законним власником зміна, підміна або знищення інформації);

  • порушення доступності або відмова в обслуговуванні (тобто, позаштатні обмеження в реалізації авторизованими користувачами штатних процедур доступу до інформаційних ресурсів);



порушення спостережності або керованості (тобто, порушення штатних процедур ідентифікації і (або) автентифікації, контролю доступу і контролю дій користувачів, повна або часткова втрата керованості станцією);

  • порушення спостережності або керованості (тобто, порушення штатних процедур ідентифікації і (або) автентифікації, контролю доступу і контролю дій користувачів, повна або часткова втрата керованості станцією);

  • несанкціоноване користування інформаційними ресурсами станції (зокрема, несанкціоноване користування послугами, що надаються станцією і т. ін.).



шляхом НСД до інформаційних ресурсів АТС, коли порушуються встановлені правила розмежування доступу (ПРД) і (або) правові норми з метою реалізації будь-якої з видів загроз для інформації на АТС через канал спеціального неприпустимого реґламентом впливу за допомогою штатних засобів доступу на устаткування, програми, дані та процеси;

  • шляхом НСД до інформаційних ресурсів АТС, коли порушуються встановлені правила розмежування доступу (ПРД) і (або) правові норми з метою реалізації будь-якої з видів загроз для інформації на АТС через канал спеціального неприпустимого реґламентом впливу за допомогою штатних засобів доступу на устаткування, програми, дані та процеси;



через канал спеціального неприпустимого реґламентом впливу із застосуванням штатних основних або додаткових програмних і (або) технічних засобів станції (але не штатних засобів доступу) на устаткування, програми, дані і процеси, що утворений з метою реалізації будь-якої з видів загроз для інформації на АТС;

  • через канал спеціального неприпустимого реґламентом впливу із застосуванням штатних основних або додаткових програмних і (або) технічних засобів станції (але не штатних засобів доступу) на устаткування, програми, дані і процеси, що утворений з метою реалізації будь-якої з видів загроз для інформації на АТС;

  • через канал спеціального неприпустимого реґламентом впливу на параметри середовища функціонування АТС, що утворений з метою порушень доступності до інформації на АТС;



через канал спеціального впливу позаштатними програмними і (або) програмно-технічними засобами на елементи устаткування, програми, дані і процеси на АТС, встановленими на передексплуатаційних стадіях і в процесі її експлуатації з метою реалізації будь-якої з видів загроз для інформації на АТС;

  • через канал спеціального впливу позаштатними програмними і (або) програмно-технічними засобами на елементи устаткування, програми, дані і процеси на АТС, встановленими на передексплуатаційних стадіях і в процесі її експлуатації з метою реалізації будь-якої з видів загроз для інформації на АТС;

  • через канал побічних електромагнітних випромінювань і наводок (ПЕМВН) із метою порушень конфіденційності на АТС;



через канал спеціального впливу на компоненти АТС за допомогою закладних пристроїв і (або) програмних закладок, впроваджених у середовище функціонування АТС на передексплуатаційних стадіях і в процесі її експлуатації з метою реалізації будь-яких з видів загроз для інформації на АТС;

  • через канал спеціального впливу на компоненти АТС за допомогою закладних пристроїв і (або) програмних закладок, впроваджених у середовище функціонування АТС на передексплуатаційних стадіях і в процесі її експлуатації з метою реалізації будь-яких з видів загроз для інформації на АТС;

  • через канал побічних акусто-електричних перетворень інформативних сигналів на прикінцевому устаткуванні ліній зв'язку з метою порушень конфіденційності інформації на АТС;



через кількісну і (або) якісну недостатність компонентів і (або) всієї АТС у цілому з метою реалізації будь-якої з видів загроз для інформації на АТС;

  • через кількісну і (або) якісну недостатність компонентів і (або) всієї АТС у цілому з метою реалізації будь-якої з видів загроз для інформації на АТС;

  • за рахунок використання випадкових збоїв і відмов у роботі устаткування АТС з метою реалізації будь-яких з видів загроз для інформації на АТС;

  • за рахунок використання помилок і некоректних (зокрема, зловмисних) дій відповідальних осіб при збереженні критичної інформації на фізичних носіях з метою реалізації будь-яких з видів загроз для інформації на АТС.



  • За порушників на АТС розглядаються суб'єкти , внаслідок навмисних або випадкових дій котрих, і (або) випадкові події, внаслідок настання яких можливі реалізації загроз для інформації.



Розглядаються три групи моделей порушників на АТС.

  • Розглядаються три групи моделей порушників на АТС.

  • Перша група містить у собі моделі порушників, що реалізують загрози на одній підсистемі АТС з боку іншої підсистеми.

  • Друга група містить у собі моделі порушників, що реалізують загрози на підсистемі керування станцією.

  • Третя група містить у собі моделі порушників, що реалізують загрози на підсистемі КАЗЛ АТС.









Забезпечення систем ТЗІ на АТС здійснюється:

  • Забезпечення систем ТЗІ на АТС здійснюється:

  • сукупністю технічних і (або) програмних підсистем захисту, що функціонують на стадії її промислової експлуатації;

  • системою організаційно-технічних заходів;

  • системою ліквідації наслідків реалізованих загроз для інформації на АТС;

  • системою керування засобами ТЗІ.



Системи ТЗІ на АТС виконують функції, що забезпечують реалізацію визначеної номенклатури функціональних послуг захисту згідно з ISO 7498-2 (Рекомендацією Х.800 ССІТТ) та НД ТЗІ 2.5-001-99 “Технічний захист інформації на програмно-керованих АТС загального користування. Специфікації функціональних послуг захисту.”

  • Системи ТЗІ на АТС виконують функції, що забезпечують реалізацію визначеної номенклатури функціональних послуг захисту згідно з ISO 7498-2 (Рекомендацією Х.800 ССІТТ) та НД ТЗІ 2.5-001-99 “Технічний захист інформації на програмно-керованих АТС загального користування. Специфікації функціональних послуг захисту.”



реалізація ПРД суб'єктів і їхніх процесів із боку моніторів обслуговування до програм, даних, процесів і пристроїв на підсистемі керування АТС;

  • реалізація ПРД суб'єктів і їхніх процесів із боку моніторів обслуговування до програм, даних, процесів і пристроїв на підсистемі керування АТС;

  • реалізація ПРД суб'єктів і їхніх процесів із боку телефонних комутаторів і прикінцевих абонентських пристроїв до сервісних функцій і послуг АТС;

  • контроль доступу до підсистеми керування станцією з боку віддалених терміналів обслуговування;

  • ізоляція програм, що виконуються в інтересах суб'єкта, від інших суб'єктів;



керування потоками даних і команд з метою запобігання помилкових з'єднань, помилкового надання послуг і відмов в обслуговуванні ;

  • керування потоками даних і команд з метою запобігання помилкових з'єднань, помилкового надання послуг і відмов в обслуговуванні ;

  • ідентифікація й упізнання (автентифікація) суб'єктів;

  • реєстрація дій суб'єкта і його процесу;

  • надання можливостей вилучення або включення нових суб'єктів і об'єктів доступу , а також зміни повноважень суб'єктів;

  • реакція на спроби НСД, наприклад, сигналізація, блокування, знищення ресурсу, відновлення після НСД;



шифрація інформаційних ресурсів;

  • шифрація інформаційних ресурсів;

  • тестування засобів захисту від НСД;

  • очищення робочих областей пам'яті ЕОМ після завершення роботи з даними, що захищаються;

  • облік вихідних друкарських і графічних форм і твердих копій;

  • контроль цілісності програмної й інформаційної частин системи розмежування доступу (СРД).



Функціональна послуга захисту (ФПЗ) являє собою взаємопов'язаний набір виконуваних у середовищі експлуатації АТС елементарних функцій, що дозволяє протистояти певній множині загроз для інформації.

  • Функціональна послуга захисту (ФПЗ) являє собою взаємопов'язаний набір виконуваних у середовищі експлуатації АТС елементарних функцій, що дозволяє протистояти певній множині загроз для інформації.

  • У найпростішому випадку ФПЗ є одна елементарна функція, спрямована на протидію визначеній одній загрозі.

  • З позицій ТЗІ АТС разом із реалізованою на ній системою захисту розглядається як набір ФПЗ.

  • Нормовані специфікації ФПЗ, структуровані за видами загроз для інформації і за способами здійснення цих загроз, наведені в НД ТЗІ 2.5-001-99 .



  • ФПЗ на АТС здійснюються за допомогою конкретних засобів і механізмів. Засоби і механізми захисту необхідно розглядати в двох аспектах - із позицій їхньої ефективності і коректності.



При цьому під ефективністю засобу або механізму захисту розуміється його спроможність протистояти як прямим атакам, так і всіляким лазівкам, що пов'язані з роботою засобу або механізму захисту в конкретних умовах застосування (зокрема, спроможність протистояти відключенням, обходам, ушкодженням, обманам, провокуванням і т.ін.).

  • При цьому під ефективністю засобу або механізму захисту розуміється його спроможність протистояти як прямим атакам, так і всіляким лазівкам, що пов'язані з роботою засобу або механізму захисту в конкретних умовах застосування (зокрема, спроможність протистояти відключенням, обходам, ушкодженням, обманам, провокуванням і т.ін.).

  • Під коректністю засобу або механізму захисту розуміється його спроможність правильно реалізувати визначену ФПЗ.



Спроможність механізму захисту протистояти прямим атакам (тобто, спробам його безпосереднього злому) називається стійкістю (потужністю) механізму. З метою оцінки захищеності АТС специфікуються три рівня стійкості механізмів захисту (базовий, середній і високий).

  • Спроможність механізму захисту протистояти прямим атакам (тобто, спробам його безпосереднього злому) називається стійкістю (потужністю) механізму. З метою оцінки захищеності АТС специфікуються три рівня стійкості механізмів захисту (базовий, середній і високий).

  • Нормовані специфікації рівнів стійкості механізмів захисту наведені в НД ТЗІ 2.5 - 001 – 99.





Цей нормативний документ (НД) містить специфікації функціональних послуг захисту (ФПЗ) інформаційних ресурсів АТС, а також специфікації рівнів стійкості механізмів захисту інформації, які ці ФПЗ реалізують.

  • Цей нормативний документ (НД) містить специфікації функціональних послуг захисту (ФПЗ) інформаційних ресурсів АТС, а також специфікації рівнів стійкості механізмів захисту інформації, які ці ФПЗ реалізують.

  • Дія цього документу поширюється на програмно-керовані АТС, що функціонують на мережі електрозв’язку загального користування, а також у складі відомчих (корпоративних, установських) проводових телефонних мереж, у яких зберігається та циркулює інформація, що підлягає технічному захисту.



Спецікації ФПЗ для АТС, що наведені в цьому документі, є нормами, які спрямовані на розв’язання таких задач:

  • Спецікації ФПЗ для АТС, що наведені в цьому документі, є нормами, які спрямовані на розв’язання таких задач:

  • створення та оцінка захищених АТС за критеріями ТЗІ;

  • створення та оцінка систем і засобів ТЗІ на АТС за критеріями ТЗІ;

  • контроль рівня захищеності інформаційних ресурсів на АТС від ураження через технічні канали.

  • Цим документом необхідно керуватись згідно з НД ТЗІ 2.7-001-99 на стадіях розробки та реалізації техно-робочого проекту системи ТЗІ для АТС, а також на стадії оцінки АТС за критеріями ТЗІ.



Для позначення ФПЗ використовуються наведені синтаксичні і семантичні правила формування термів – позначень ФПЗ.

  • Для позначення ФПЗ використовуються наведені синтаксичні і семантичні правила формування термів – позначень ФПЗ.

  • Перший символ терма – літера Ф, дозволяє відрізнити позначення (терм) ФПЗ АТС від інших термів.

  • Другий і третій символи терма – двозначне десяткове число (код підсистеми), що відображає тип підсистем захисту інформаційних ресурсів АТС, які структуровані за видами технічних каналів витоку, спеціальних впливів та НСД.





Решта символів терма є послідовність змістовних скорочень, що поєднані між собою спеціальними розмежувачами, які разом із трьома попередніми символами утворюють у контексті код ФПЗ.

  • Решта символів терма є послідовність змістовних скорочень, що поєднані між собою спеціальними розмежувачами, які разом із трьома попередніми символами утворюють у контексті код ФПЗ.

  • Змістовні скорочення складаються з трьох семантичних частин:

  • скорочення для позначення дій (дієслова);

  • скорочення для позначення місць і (або) предметів розгляду (іменники);

  • скорочення для уточнення дій, місць та предметів розгляду (прикметники).

  • Дієслова мають трьохлітерні мнемонічні позначення. Іменники позначаються двома літерами. Позначення прикметників – однолітерні.











Частина позначення …/РДО/ТЗ вказує, що маються на увазі правила розмежування доступу, що реалізовані через технічні засоби (або, інакше кажучи, за допомогою технічних засобів).

  • Частина позначення …/РДО/ТЗ вказує, що маються на увазі правила розмежування доступу, що реалізовані через технічні засоби (або, інакше кажучи, за допомогою технічних засобів).

  • Частина позначення …/РДО\ТЗ вказує, що маються на увазі правила розмежування доступу (застосовані) до технічних засобів (елементів устаткування).

  • Частина позначення …/ТЗ’ПЗ\ПС\УО вказує, що мається на увазі технічне і (або) програмне забезпечення для підтримки послуг адміністраторів захисту (уповноважених осіб).

  • Запис частини специфікації послуги змінної довжини завжди починається із розмежувача «/» і має ієрархічну структуру: скорочення, що розміщене у запису специфікації лівіше, має більш загальний зміст ніж скорочення, що міститься правіше.



Ф01/РДО/Д/АЛ\ПС – мнемонічне позначення ФПЗ, що протидіє загрозам спеціальних впливів суб’єктів доступу через штатні термінали обслуговування і штатні абонентські прикінцеві пристрої (01). Конкретний зміст цієї ФПЗ специфікується за допомогою підтерма /РДО/Д/АЛ\ПС – розмежування доступу (РДО) з використанням довірчих (Д) правил з боку телефонних комутаторів і прикінцевих абонентських пристроїв (АЛ), які застосовуються до сервісних функцій і послуг (ПС) АТС .

  • Ф01/РДО/Д/АЛ\ПС – мнемонічне позначення ФПЗ, що протидіє загрозам спеціальних впливів суб’єктів доступу через штатні термінали обслуговування і штатні абонентські прикінцеві пристрої (01). Конкретний зміст цієї ФПЗ специфікується за допомогою підтерма /РДО/Д/АЛ\ПС – розмежування доступу (РДО) з використанням довірчих (Д) правил з боку телефонних комутаторів і прикінцевих абонентських пристроїв (АЛ), які застосовуються до сервісних функцій і послуг (ПС) АТС .

  • Кожній ФПЗ ставиться у відповідність перелік загроз, яким вона запобігає. Види загроз закодовані однією літерою слов’янського алфавіту, а саме:

  • К – порушення конфіденційності;

  • Ц – порушення цілісності;

  • Д – порушення доступності;

  • С – порушення спостережності або керованості;

  • Р – несанкціоноване користування ресурсами.



Для ФПЗ Ф01/РДО/Д/АЛ\ПС, що наведена у прикладі 1, перелік загроз КЦ__Р складається з усіх перелічених вище загроз, за винятком порушень доступності і порушень спостержності або керованості.

  • Для ФПЗ Ф01/РДО/Д/АЛ\ПС, що наведена у прикладі 1, перелік загроз КЦ__Р складається з усіх перелічених вище загроз, за винятком порушень доступності і порушень спостержності або керованості.







  • Цей нормативний документ (НД) установлює вимоги до гарантій захисту інформації, що циркулює на програмно - керованих АТС загального користування, а також на установських (відомчих, корпоративних) АТС.



У цьому документі надані специфікації гарантій захисту інформаційних ресурсів технологічних середовищ створення та експлуатації АТС.

  • У цьому документі надані специфікації гарантій захисту інформаційних ресурсів технологічних середовищ створення та експлуатації АТС.

  • Специфікації гарантій захисту необхідні для визначення рівнів довіри до коректності розробок, реалізацій та експлуатації систем ТЗІ на оцінюваних АТС.



У цьому документі специфіковані гарантії за п'ятьма аспектами забезпечення захищеності інформації в технологічному середовищі створення та експлуатації систем ТЗІ і АТС у цілому:

  • У цьому документі специфіковані гарантії за п'ятьма аспектами забезпечення захищеності інформації в технологічному середовищі створення та експлуатації систем ТЗІ і АТС у цілому:

  • гарантії безпеки середовища персоналу;

  • гарантії стандартизації технологічного середовища;

  • гарантії забезпечення спостережності і керованості технологічного середовища;

  • гарантії забезпечення конфіденційності і цілісності інформаційних ресурсів технологічного середовища;

  • гарантії якості документації.















Цей нормативний документ (НД) установлює вимоги до довірчих оцінок коректності реалізації захисту інформації, що циркулює на програмно-керованих АТС загального користування, а також на установських (відомчих, корпоративних) АТС.

  • Цей нормативний документ (НД) установлює вимоги до довірчих оцінок коректності реалізації захисту інформації, що циркулює на програмно-керованих АТС загального користування, а також на установських (відомчих, корпоративних) АТС.



Специфікації довірчих оцінок необхідні для визначення рівнів довіри до коректності розробок та реалізацій систем ТЗІ в оцінюваних АТС, якщо оцінка рівнів довіри виконується відповідно до базової методики оцінки захищеності інформації на АТС НД ТЗІ 3.7-002-99, що грунтується на єдиних (уніфікованих) для Європейського Союзу "Критеріях оцінки безпеки систем інформаційної техніки - ITSEC".

  • Специфікації довірчих оцінок необхідні для визначення рівнів довіри до коректності розробок та реалізацій систем ТЗІ в оцінюваних АТС, якщо оцінка рівнів довіри виконується відповідно до базової методики оцінки захищеності інформації на АТС НД ТЗІ 3.7-002-99, що грунтується на єдиних (уніфікованих) для Європейського Союзу "Критеріях оцінки безпеки систем інформаційної техніки - ITSEC".



У цьому НД специфіковано шість рівнів довіри - від Е1 до Е6 включно.

  • У цьому НД специфіковано шість рівнів довіри - від Е1 до Е6 включно.

  • Специфікації довірчих оцінок у цьому документі розміщені в шести розділах - згідно кількості рівнів довіри.



Документ спрямований на рішення таких задач:

  • Документ спрямований на рішення таких задач:

  • розробка вимог щодо захисту інформації на АТС;

  • створення захищених АТС ;

  • створення систем і засобів ТЗІ на АТС;

  • оцінка захищеності інформації на АТС;

  • оцінка ефективності систем і засобів ТЗІ на АТС.



Специфікації довірчої оцінки коректності захисту для рівнів Е1-Е6 визначають:

  • Специфікації довірчої оцінки коректності захисту для рівнів Е1-Е6 визначають:

  • вимоги до документації, що описує результати створення системи ТЗІ

  • гарантії забезпечення захищеності інформації в середовищі створення оцінюваної АТС

  • вимоги до експлуатаційної документації

  • гарантії забезпечення захищеності інформації в експлуатаційному середовищі




База даних захищена авторським правом ©pres.in.ua 2016
звернутися до адміністрації

    Головна сторінка