ISBN 978–966–2970–87–6 8 page

перелік розпорядчих, організаційно-методичних нормативних документів ТЗІ, а також вказівки: щодо їхнього застосування;

інструкції про порядок реалізації організаційних, первинних технічних та основних технічних заходів захисту;

інструкції, що встановлюють обов’язки, права та відповідальність персоналу;

календарний план технічного захисту інформації.

Технічне завдання і план технічного захисту інформації розробляють спеціалісти з технічного захисту інформації, узгоджують з зацікавленими підрозділами (організаціями). Затверджує їх керівник організації.

Вимоги з захисту інформації визначаються замовником, погоджуються з розробником інформаційної системи і виконавцем робіт по створенню комплексної системи захисту інформації в інформаційній системі. Виконавець повинен мати відповідну ліцензію Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України. У випадках, передбачених Положенням про технічний захист інформації в Україні, технічне завдання на комплексну систему захисту інформації погоджується з Департаментом. Оформляється воно відповідно до того ж самого стандарту, що і основне технічне завдання на інформаційну систему, і в загальному випадку повинно містити такі основні підрозділи:

загальні відомості;

мета і призначення комплексної системи захисту інформації;

загальна характеристика інформаційної системи та умови її функціонування;

вимоги до комплексної системи захисту інформації;

вимоги до складу проектної та експлуатаційної документації;

етапи виконання робіт;

порядок внесення змін і доповнень до технічного завдання;

порядок проведення випробувань комплексної системи захисту інформації.

3.3. Криптографічні засоби захисту інформації з обмеженим доступом

Криптографічні технології забезпечують нині три основних типи послуг: аутентифікацію (яка включає ідентифікацію), неможливість відмови від довершеного (non-repudiation) і збереження таємниці. Ідентифікація (підвид аутентификації) перевіряє, чи є відправник послання тим, за кого себе видає. Аутентифікація йде ще далі – перевіряє не тільки особистість відправника, але і відсутність змін в посланні. Реалізація вимоги неможливості відмови не дозволяє будь-кому заперечувати, що він відправив або отримав певний файл або дані (це схоже з відправкою рекомендованого листа поштою). І нарешті, збереження таємниці – це захист послань від несанкціонованого перегляду.

Зважаючи на таке криптографію (математичні методи перетворення даних для забезпечення безпеки) можна застосовувати для багатьох різних цілей в інформаційній безпеці, наприклад, криптографія може допомогти забезпечити конфіденційність та (або) цілісність даних, а також неспростовність проведеної ідентифікації та автентифікації. При цьому в обставинах, коли важливо зберігати конфіденційність, тобто коли інформація є надзвичайно чутливою, треба розглядати засоби безпеки, що зашифровують інформацію для зберігання чи передавання мережею. За обставин, коли важливим є цілісність даних, що зберігаються чи оброблюються, для безпеки цих даних треба розглянути геш-функції, цифрові підписи та (або) засоби забезпечення цілісності. Засоби безпеки цілісності надають безпеку від випадкової чи зловмисної зміни, добавлення чи вилучення інформації. Засоби цифрових підписів можуть забезпечувати безпеку, схожу до засобів цілісності повідомлень, але також мають властивості, що дозволяють уможливити неспростовність. Під час вирішення питання про використання засобів шифрування, цифрових підписів чи інших засобів забезпечення цілісності треба брати до уваги відповідні державні закони і норми, вимоги до управління ключами (відповідну інфраструктуру відкритих ключів) та труднощі, які необхідно подолати для гарантування того, що справжнього поліпшення безпеки можна досягти без створення нових вразливостей.

Методи криптографії (наприклад, засновані на використанні цифрових підписів) можуть бути використанні для повідомлень, комунікацій та транзакцій з метою підтвердження чи спростування відправлення, передавання, подання, доставлення, оповіщення про отримання тощо. У ситуаціях, коли є важливою автентичність даних, для підтвердження достовірності даних може бути використаний цифровий підпис. Ця необхідність проявляється особливо, коли використовуються дані, на які посилає третя сторона, або коли велика кількість людей залежить від точності даних джерел, на які посилаються. Цифрові підписи також можна використовувати для підтвердження факту, що дані створені чи передані певною особою.

Застосовуючи криптографію, треба подбати про те, щоб дотримувалися всі правові та регуляторні вимоги в цій сфері. Один з найважливіших аспектів криптографії – адекватна система управління ключами. Криптографія з відкритим ключем заснована на концепції ключової пари. Кожна половина пари (один ключ) шифрує інформацію таким чином, що її може розшифрувати тільки інша половина (другий ключ). Одна частина ключової пари – особистий ключ, відома тільки його власнику. Інша половина – відкритий ключ, розповсюджується серед всіх його кореспондентів, але пов’язана тільки з цим власником. Ключові пари володіють унікальною особливістю: дані, зашифровані будь-яким з ключів пари, можуть бути розшифровані тільки іншим ключем з цієї пари. Іншими словами, немає ніякої різниці, особистий або відкритий ключ використовується для шифрування послання; одержувач зможе застосувати для розшифровки другу половину пари. Ключі можна використати і для забезпечення конфіденційності послання, і для аутентифікації його автора. У першому випадку для шифрування послання відправник використовує відкритий ключ одержувача, і таким чином воно залишиться зашифрованим, поки одержувач не розшифрує його особистим ключем, У другому випадку, відправник шифрує послання особистим ключем, до якого тільки він сам має доступ. При цьому слід враховувати, що процедури управління ключами залежать від використовування алгоритму наміру щодо використання ключів та політики безпеки.

Для вирішення цих завдань у 1985 році Коблиць і Міллер незалежно один від одного запропонували використовувати при побудові криптосистем алгебраїчні структури, визначені на множині точок на еліптичних кривих. Розглянемо випадок визначення еліптичних кривих над простими кінцевими полями довільної характеристики і над полями Галуа характеристики 2.

Нехай – просте число, такі, що Еліптичною кривою над полем називається множина рішень рівняння над полем разом з додатковою точкою яка має назву точки нескінченності.

Позначимо кількість точок на еліптичній кривій через ﭕ# . Верхня і нижня границі для # визначаються теоремою Хассе:

# .

Задамо бінарну операцію на (в адитивному запису) наступними правилами:

(I) ;

(II) ;

(III) ;

(IV) ,

де .

(V) ,

де ,

Множина точок еліптичної кривої із заданої в такий спосіб сукупності утворить абелеву групу. Якщо # = то крива називається суперсигулярною. При цьому суперсигулярна крива над полем характеристики задається в такий спосіб. Нехай - ціле число. Нехай Еліптична крива над полем називається множиною рішень рівняння

над полем разом з додатковою точкою названою точкою нескінченності.

Кількість точок на кривій також визначається теоремою Хассе:

# .

де Більш того, # парне.

Операція додавання на у цьому випадку задається такими правилами:

(I) ;

(II) ;

(III)

(IV) ,

де

(V) ,

де

У цьому випадку множина точок еліптичної кривої із заданої в такій спосіб сукупності також утворить абелеву групу. Користуючись операцією додавання точок на кривій, можна природним чином визначити операцію множення точки на довільне ціле число :

де операція додавання виконується раз.

Тепер побудуємо однобічну функцію, на основі якої можна буде створити криптографічну систему. Нехай – еліптична крива, – точка на цій кривій. Оберемо ціле число < # . Тоді як пряму функцію виберемо добуток . Для його обчислення по оптимальному алгоритму буде потрібно не менше операцій додавання. Зворотну задачу сформулюємо в такий спосіб: по заданій еліптичної кривої , крапці і добутку знайти . В даний час усі відомі алгоритми рішення цієї задачі вимагають експонентного часу.

Для встановлення захищеного зв’язку два користувача і спільно вибирають еліптичну криву і крапку на ній. Потім кожен з користувачів вибирає своє секретне ціле число, відповідно і . Користувач обчислює добуток , а користувач – .Далі вони обмінюються обчисленими значеннями При цьому параметри самої кривої, координати крапки на ній і значення добутків є відкритими і можуть передаватися по незахищених каналах зв’язку. Потім користувач множить отримане значення на , а користувач множить отримане їм значення на . У силу властивостей операції множення на число . Таким чином, обоє користувача одержать загальне секретне значення (координати крапки ), що вони можуть використовувати для одержання ключа шифрування.

Зловмиснику для відновлення ключа буде потрібно вирішити складну з обчислювальної точки зору задачу визначення і по відомим , і .

3.4. Доопрацювання засобів захисту

Всі засоби захисту потрібно використовувати так, щоб вони функціонували і продовжували функціонувати передбачуваним і відповідним способом. Цей аспект безпеки є одним з найважливіших, однак йому часто приділяють мало уваги. Частіше система або служба вже існують, тому захист впроваджують пізніше і потім залишають без нагляду. Існує навіть тенденція ігнорувати засоби захисту, які були застосовані, а підтримці або убезпечуванню приділяти незначну увагу. Більше того, втрату ефективності засобів захисту потрібно спрогнозувати в планах, а не спостерігати вже як факт. Також необхідно перевіряти узгодженість захисту, контролювати робоче оточення, оглядати записи у журналі та обробляти інциденти для гарантії тривалості процесу убезпечування. Доопрацювання, навіть враховуючи те, що ним часто нехтують, є одним з найважливіших положень безпеки інформаційних технологій. Реалізовані засоби захисту можуть працювати ефективно, якщо вони перевірені в реальному циклі ділової активності. Потрібно бути впевненим, що їх використовують правильно і що будь-які інциденти і зміни захисту виявлені та вжито відповідних заходів. Основні задачі завершальної діяльності полягають у тому, щоб забезпечити правильність функціонування засобів захисту. Через деякий час з’являється тенденція погіршення роботи служб чи механізмів. Доопрацювання призначено для виявлення цих погіршень і ініціювання коригувальних дій. Це єдиний спосіб підтримувати рівні засобів захисту, необхідні для забезпечення захисту системи інформаційних технологій. Керування безпекою інформаційних технологій є безперервним процесом, що не припиняється після реалізації плану безпеки інформаційних технологій.

Діяльність “механізму доопрацювання” охоплює:

обслуговування засобів захисту для забезпечення їхньої безперервної й ефективної роботи;

перевіряння, яке гарантує, що засоби захисту задовольняють обумовлені методики і проекти;

контролювання активів, загроз, уразливості і засобів захисту щодо відхилень, щоб виявити зміни, які впливають на ризики;

досліджування інциденту, щоб гарантувати відповідну реакцію на небажані події.

Механізм доопрацювання – тривалий процес, який повинен містити переоцінку рішень, прийнятих раніше.

Супровід

Більшість засобів захисту вимагає супроводу і підтримування керівництвом для забезпечення правильного і відповідного функціонування в процесі їхньої діяльності. Ці дії (супровід і підтримування керівництвом) мають бути заплановані і виконуватися згідно з графіком. Таким способом накладні витрати можуть бути мінімізовані і збережена цінність засобів захисту.

Для виявлення несправностей необхідна періодична перевірка. Захисний засіб, що ніколи не перевірявся, не має великої цінності, тому що неможливо визначити ступінь довіри йому.

Діяльність щодо супроводу містить:

перевірку журналів;

зміну параметрів, щоб відобразити зміни і доповнення;

повторне ініціювання початкових значень або лічильників;

адаптацію до нових версій.

Вартість супроводу і підтримування керівництвом завжди треба брати до уваги під час визначання і вибирання засобів захисту, тому що витрати на супровід і керування можуть дуже відрізнятися залежно від різних засобів захисту, а це може слугувати вирішальним чинником для їхнього вибору. Взагалі, необхідно мінімізувати витрати із супроводу і підтримування керівництвом засобів захисту, тому що можливо після вибору конкретних засобів захисту вони можуть вимагати не тільки одноразових витрат, але й подальших.

Обслуговування

Обслуговування засобів захисту, що охоплює також і управління, є важливою частиною програми безпеки організації. Всі рівні керівництва відповідальні за обслуговування, щоб гарантувати:

виділення необхідних ресурсів організації для обслуговування засобів захисту;

періодичну переатестацію засобів захисту для гарантування виконання ними своїх функцій;

модернізацію засобів захисту у разі появи нових вимог;

чітко визначену відповідальність за обслуговування засобів захисту;

незмінність визначеного рівня ефективності наявних засобів захисту під час модифікації технічного й програмного забезпечень у разі розширення системи інформаційних технологій;

запобігання новим загрозам або ураженням при модернізації технологій.

Якщо здійснено описані вище заходи з обслуговування, то засоби захисту продовжуватимуть виконувати визначені функції, що дасть змогу уникати несприятливих і збиткових уражень.

Відповідність засобів захисту

Перевіряння відповідності засобів захисту, тобто аудит чи ревізія захисту, є дуже важливим для гарантування відповідності й узгодженості з планом безпеки системи інформаційних технологій. Щоб гарантувати, що рівень безпеки інформаційних технологій залишається ефективним, важливо, щоб впроваджувані засоби захисту завжди відповідали проекту чи плану захисту системи інформаційних технологій. Це треба затверджувати на усіх етапах проходження проектів і систем, а саме на етапах проектування і впровадження, життєвого циклу експлуатації, а також етапу заміни або переміщення.

Перевіряння відповідності захисту треба планувати і об’єднувати з іншими запланованими заходами. Вибіркові перевіряння особливо корисні для визначання, чи відповідає виконавчий персонал і користувачі певним засобам захисту і процесам. Процедури перевірки необхідні для забезпечення коректності функціонування засобів захисту, правильності їхнього впровадження і використовування і, за потреби, проведення випробовування. Там, де виявлено, що засоби захисту не відповідають безпеці, повинен бути створений і реалізований план коригувальних дій з подальшим аналізом результатів. Перевіряння відповідності захисту можна використовувати у випадках:

нових систем і після впровадження служб інформаційних технологій (після того, як були реалізовані);

наявних систем чи після впровадження служб інформаційних технологій через деякі проміжки часу (наприклад щорічно);

наявних систем і служб інформаційних технологій у разі змін у методиках безпеки системи інформаційних технологій для визначання необхідних коригувань з метою забезпечення необхідного рівня засобів захисту.

Перевіряти відповідність захисту може зовнішній чи внутрішній персонал, використовуючи контрольні списки, що стосуються методики безпеки системи інформаційних технологій. При цьому власне засоби захисту, що забезпечують захист системи інформаційних технологій, можуть бути перевірені за допомогою:

проведення періодичного контролювання і випробовування;

контролювання ефективності функціонування стосовно фактичної появи інцидентів;

проведення вибіркових перевірянь стану рівнів захисту і цілей у специфічних сферах критичності або важливості.

Під час будь-якого перевіряння відповідності захисту можна одержати цінну інформацію щодо дій системи інформаційних технологій за допомогою:

використання пакетів програм для фіксування подій;

використання контрольних точок для відстежування повної хронології подій.

Перевіряння відповідності захисту для підтвердження і наступні регулярні перевіряння повинні ґрунтуватись на погоджених переліках засобів захисту, отриманих в результаті останнього аналізу ризику, на методиці безпеки системи інформаційних технологій, а також на процедурах функціонування захисту інформаційних технологій, що затверджені керівництвом, включаючи звіти про інциденти. Цілі полягають в тому, щоб визначити, чи реалізовані засоби захисту, чи правильно впроваджені, чи використовуються правильно, і, де необхідно, чи перевірені. За нормального режиму функціонування системи необхідно щоденно перевіряти використовування засобів захисту. Співбесіди зазвичай теж необхідні у цьому випадку, але результати повинні бути максимально точними і перевіреними. Сказане кимсь, може бути суб’єктивним поглядом і повинно бути підтвердженим особами, з якими він (вона) працює.

Це допомагає одержати всеосяжний контрольний список і погоджені форми звіту. Контрольні списки повинні охоплювати загальну ідентифікаційну інформацію, наприклад, деталі конфігурації, важливість захисту, методичні документи, навколишнє середовище. Фізичний захист повинен стосуватися зовнішніх аспектів, таких як зовнішні споруди, включаючи доступність крізь отвори і прорізи люків, і внутрішні аспекти, такі як міцність приміщень, блокування, системи виявлення і запобігання пожежам (включаючи сигналізацію), аналогічно і для виявлення води або рідини, несправності систем живлення тощо.

Нині існує багато проблем, які необхідно виявляти:

зони, відкриті для фізичного проникнення чи для обходу контролю; наприклад, блокатори дверей (кодові замки клавішні і карткові);

неадекватні механізми чи невірне встановлювання технічних засобів, наприклад, відсутність чи недостатнє встановлення, чи невірний тип датчиків контролю. Чи досить детекторів диму/нагрівання для приміщень, чи вірна висота встановлювання? Чи є адекватна реакція на сигналізацію? Чи під’єднана пожежна сигналізація до пункту контролю? Чи є нові джерела небезпеки: можливо, хтось використовує приміщення для збереження легкозаймистих матеріалів? Чи використовують засоби резервного живлення і системи відновлення? Чи використовують кабелі відповідних типів і чи не проходять вони поблизу гострих країв? Щоб знайти прогалини в захисті для інших аспектів безпеки, для захисту персоналу та управління цим процесом, а також захисту програмного забезпечення можуть виявитися корисними такі питання:

1) для захисту персоналу: Чи отримані інструкції? Чи ліквідовані виявлені прогалини? Чи персонал дійсно усвідомлює ситуацію і добре обізнаний в захисті? Чи залежить ключова функція від однієї особи?;

2) для управління захистом: Як насправді розпоряджаються документами? Чи є сучасною і актуальною документація загального користування? Чи використовують аналіз ризику, перевіряння стану і ведення звітності інцидентів так, як їх треба здійснювати? Чи правильні плани продовження роботи, і чи дійсно вони сучасні?;

3) для захисту програмного забезпечення: Чи має місце дублювання на необхідному рівні? Наскільки ефективний вибір ідентифікатора/пароля користувача і процедури? Чи охоплюють контрольні точки реєстрацію помилок і положення трасування до правильного вибору і градації? Чи відповідають оцінені продукти вимогам? Чи необхідне дублювання для захисту комунікацій? Якщо є віддалений доступ, чи є необхідне устаткування і програмне забезпечення і чи використовують їх належним чином? Якщо вимагаються кодування або авторизація повідомлення, то наскільки ефективна система управління ключами і відповідними операціями?

У цілому перевіряння відповідності захисту – це досить складне завдання і вимагає практичного досвіду й поінформованості для успішного завершення. Ці дії є незалежними від внутрішнього огляду або контролювання.

Керування змінами

Системи інформаційних технологій і оточення, в якому вони діють, постійно змінюються. Ці зміни розглядаються як результат появи нових особливостей і служб чи виявлення нових загроз і вразливостей. Ці зміни також можуть спричинити нові загрози і вразливості. Зміни системи інформаційних технологій можуть містити:

нові процедури;

нові особливості;

модифікації програм;

апаратні перевірки;

нові користувачі, що включають зовнішні групи чи анонімні групи;

додаткову роботу з мережами і з’єднаннями.

Коли відбуваються заплановані зміни в системі, важливо встановити порушення, як такі що викликають зміни в захисті системи. Якщо система має пункт керування її конфігурацією чи іншу організаційну структуру з керування технічними змінами системи, то повинен бути призначений системний фахівець та його представники на пункті з обов’язками робити висновки щодо того, чи викликає будь-яку зміну захисту порушення, а якщо так, то яким способом. Для змін, що спричинені придбанням нових апаратних засобів, програмного забезпечення чи служб, необхідне аналізування, щоб встановити нові вимоги захисту. З іншого боку, багато змін, зроблених у системі, незначні і не вимагають значного аналізування, що необхідне для великих змін, але все-таки певного аналізування потребують. Для обох типів змін потрібно виконати аналізування, що оцінює переваги і витрати. Для незначних змін це можна виконати неофіційно на зустрічах, але результати і рішення керівництва мають бути задокументовані.

Контролювання

Контролювання – вирішальна частина циклу захисту інформаційних технологій. Якщо його проводять коректно, то це дає адміністрації чітке уявлення про те:

що було досягнуто порівняно з поставленими цілями;

чи переконливими є досягнення, і які специфічні ініціативи впроваджено.

Всі зміни в активах, загрозах, вразливості засобів захисту потенційно можуть мати істотний вплив на ризики, і раннє виявлення змін дозволяє здійснити запобіжні заходи. Ведуться журнали з безпеки для фіксації подій. Ці журнали треба, як мінімум, періодично переглядати, і, якщо можливо, аналізувати за допомогою статис­тичних методів для раннього прогнозування тенденцій до змін і прогнозування повторів неспри­ятливих подій. Використовування журналів тільки для аналізування подій, що відбулися, веде до втрати потенційних можливостей засобів захисту.