Причины существования нарушений информационной безопасности

Уязвимость защиты (УЗ) — совокупность причин, условий и обстоятельств, наличие которых в конечном итоге может привести к нарушению нормального функционирования ВС и нарушению безопасности (несанкционированному доступу, ознакомлению, уничтожению или искажению данных).

В 70-х годах были предприняты попытки формального описания и систематизации информации о УЗ. Исследования проводились по проектам RISOS (Исследование безопасности защищенных операционных систем) и РА (Анализ защиты).

Предлагаемые методики поиска ошибок безопасности в операционных системах достаточно ограничены в практическом применении. Это можно объяснить предпринятой попыткой обеспечить универсальность методик, что отрицательно сказалось на возможности их развития и адаптации для новых ОС. С другой стороны усилия исследователей слишком рано были перенаправлены от изучения УЗ в сторону разработки универсальной технологии создания защищенных операционных систем, свободных от подобных ошибок.

К причинам нарушения безопасности ВС относятся:

• 1) предопределенные на стадии разработки требований выбора модели безопасности, не соответствующей назначению или архитектуре ВС;
• 2) обусловленные принципами организации системы обеспечения безопасности:
  • * неправильное внедрение модели безопасности;
  • * отсутствие идентификации и/или аутентификации субъектов и объектов;
  • * отсутствие контроля целостности средств обеспечения безопасности;
• 3) обусловленные реализацией:
  • * ошибок, допущенных в ходе программной реализации средств обеспечения безопасности;
  • * наличием средств отладки и тестирования в конечных продуктах;
• 4) ошибки администрирования.

Предложенный подход к классификации причин нарушения безопасности в отличие от существующих подходов позволяет определить полное множество независимых первопричин нарушений безопасности, не сводимых одна к другой, и образующих ортогональное пространство факторов, которые определяют реальную степень безопасности системы.

Сопоставление таксономии причин нарушений безопасности и классификации источников появления УЗ демонстрирует тот факт, что источником появления наибольшего количества категорий УЗ является неправильное внедрение модели безопасности и ошибки в ходе программной реализации. Это означает, что перечисленные причины являются наиболее значимыми и должны быть устранены в первую очередь.

Сопоставление причин нарушений безопасности и классификации УЗ по этапу внесения показывает, что появление основных причин нарушения безопасности закладывается на этапе разработки, причем в основном на стадии задания спецификаций. Это вполне ожидаемый результат, так как именно этап составления спецификаций является одним из самых трудоемких, а последствия ошибок в спецификациях сказываются на всех последующих этапах разработки и распространяются на все взаимосвязанные компоненты системы.