To tylko jedna z 19 stron tej notatki. Zaloguj się aby zobaczyć ten dokument.
Zobacz
całą notatkę
Ocena systemu bezpieczeństwa Czy użytkowany s.i. jest bezpieczny? Odpowiedź na takie pytanie wymaga przeprowadzenia procesu oceny bezpieczeństwa s.i. Oceną nazywa się proces określania miary określonej odporności produktu lub systemu informatycznego (według określonych kryteriów) dla określonej polityki bezpieczeństwa oraz spójnego opisu wymaganych funkcji zabezpieczenia i docelowego poziomu miary gwarantowanej odporności. Wynikiem oceny powinien być raport oceniającego dla wyznaczonego organu aprobującego, opisujący procedury badawcze i testujące zastosowane podczas analizy właściwości zabezpieczenia systemu informatycznego wraz z opisem i wynikami testów, zastosowanych w celu potwierdzenia lub zaprzeczenia istnienia określonych wad systemu (które mogłyby zezwolić na pozyskanie identyfikowalnego, klasyfikowanego materiału z zabezpieczonych lub chronionych plików). Miara gwarantowanej odporności powinna dawać nam pewność, że obiekt oceniany spełnia cele zabezpieczenia. Zwykle jest nią właściwość obiektu ocenianego dająca podstawy aby sądzić, że jego funkcje zabezpieczenia realizują koncepcję bezpieczeństwa określoną dla obiektu.
Wyróżnia się:
miarę gwarantowanej odporności związaną z oceną (ang . evaluation assuranse ) - jest to ta część miary gwarantowanej odporności wynikająca z zestawu składników miary gwarantowanej odporności określających fakty i działania wymagane przez oceniającego;
miarę gwarantowanej odporności związaną z projektowaniem (ang. development assuranse ) - jest to ta część miary gwarantowanej odporności wynikająca z zestawienia składników miary gwarantowanej odporności, określająca parametry i działania wymagane przez wytwórcę. Oceną zabezpieczenia (ang . security evaluation ) nazywamy ocenę przeprowadzoną w celu oszacowania stopnia wiarygodności, jaka może być pokładana w systemie informatycznym w związku z bezpieczną obsługą informacji wrażliwej. Ocena ta jest przeprowadzana w celu oszacowania środków zabezpieczenia systemu informatycznego z uwzględnieniem określonych zadań operacyjnych i stanowi podstawowy krok w procesach certyfikacji i akredytacji.
Poziom gwarantowanej odporności systemu jest to określony zestaw składników miary gwarantowanej odporności, za pomocą którego przypisuje się miarę właściwej jakości zabezpieczenia do obiektu.
Poziom oceny gwarantowanej odporności jest to określony zestaw składników miary gwarantowanej odporności reprezentujący punkt na skali miary gwarantowanej odporności nadzorowanej konfiguracji.
Próby ustandardowienia zagadnień związanych z ochroną i oceną bezpieczeństwa informacji w systemach informatycznych były podejmowane w praktyce od połowy lat sześćdziesiątych, gdy zaczęły wchodzić do powszechnego użytku systemy wielodostępne oraz pojawiły się pierwsze sieci komputerowe. Pierwszymi udanymi (tj. takimi, które wywarły istotny wpływ na sposób rozumienia problematyki bezpieczeństwa w systemach informatycznych i na wiele lat stały się podstawą do opracowywania lokalnych standardów w tym zakresie) były zalecenia wydane w USA w 1983 roku w postaci tzw. „Pomarańczowej książki”.
(…)
… systemu zgodnie z tymi kryteriami jest podobny do oceniania jakości produktu na podstawie obserwacji procesu jego wytwarzania, a nie traktowaniu tego procesu jako "czarnej skrzynki".
W tej klasie wymaga się również większego poziomu zaufania procesu upoważniania, aby nie dopuścić m.in. do penetracji systemu w następujący sposób:
Użytkownik - intruz chce zdobyć hasło dostępu pewnego użytkownika…
… kryteriów klasy Al, zwanej klasą weryfikowanego projektowania, jest stosowanie narzędzi matematycznych, a w szczególności modeli matematycznych z jasno sformułowanymi i udowodnionymi twierdzeniami bezpieczeństwa. Rozwinięciem tych modeli są specyfikacje w języku wysokiego poziomu. Specyfikacje mogą być poddawane formalnym analizom w celu udowodnienia ich poprawności i spójności.
Jeśli więc specyfikacje…
… ochronianego systemu produktu, jest niemożliwe.
Struktura systematycznego podziału kryteriów na poziomy i klasy przedstawia się następująco :
• POZIOM D (poziom ten posiada jedną klasę).
Zaliczenia systemu do poziomu D który ma tylko jedną klasę D l oznacza, że dany system nie spełnia wymagań żadnej z klas wyższych poziomów. =» Klasa CL
Jest najniższą klasą poziomu C i jednocześnie pierwszą, w której system…
... zobacz całą notatkę
Komentarze użytkowników (0)