Рекомендации X.800. 
Безопасность информационных систем

" Оранжевая книга" Министерства обороны США и Руководящие документы Гостехкомиссии при Президенте РФ создавались в расчете на централизованные конфигурации, основу которых составляют большие машины. Распределенная организация современных информационных систем требует внесения существенных изменений и дополнений как в политику безопасности, так и в способы проведения ее в жизнь. Появились новые угрозы, для противодействия которым нужны новые функции и механизмы защиты. Основополагающим документом в области защиты распределенных систем стали рекомендации X.800 [5:95]. В этом документе перечислены основные сервисы (функции) безопасности, характерные для распределенных систем, и роли, которые они могут играть. Кроме того, здесь указан перечень основных механизмов, с помощью которых можно реализовать эти сервисы.

Проектирование системы защиты данных

Для разработки системы защиты информации проектировщикам необходимо выполнить следующие виды работ:

• * на предпроектной стадии определить особенности хранимой информации, выявить виды угроз и утечки информации и оформить ТЗ на разработку системы;
• * на стадии проектирования выбрать концепцию и принципы построения системы защиты и разработать функциональную структуру системы защиты;
• * выбрать механизмы — методы защиты, реализующие выбранные функции;
• * разработать программное, информационное и технологическое и организационное обеспечение системы защиты;
• * провести отладку разработанной системы;
• * разработать пакет технологической документации;
• * осуществить внедрение системы;
• * проводить комплекс работ по эксплуатации и администрированию системы защиты.

Создание базовой системы защиты информации в ИС должно основываться на главных принципах:

• * Комплексный подход к построению системы защиты, означающий оптимальное сочетание программных, аппаратных средств и организационных мер защиты.
• * Разделение и минимизация полномочий по доступу к обрабатываемой информации и процедурам обработки.
• * Полнота контроля и регистрация попыток несанкционированного доступа.
• * Обеспечение надежности системы защиты, т. е. невозможность снижения уровня надежности при возникновении в системе сбоев, отказов, преднамеренных действий нарушителя или непреднамеренных ошибок пользователей и обслуживающего персонала.
• * «Прозрачность» системы защиты информации для общего, прикладного программного обеспечения и пользователей информационной системой.

Технологический процесс функционирования системы защиты информации от несанкционированного доступа, как комплекса программно-технических средств и организационных (процедурных) решений, предусматривает выполнение следующих процедур:

• * учет, хранение и выдачу пользователям информационных носителей, паролей, ключей;
• * ведение служебной информации (генерация паролей, ключей, сопровождение правил разграничения доступа);
• * оперативный контроль функционирования систем защиты секретной информации;
• * контроль соответствия общесистемной программной среды эталону;
• * контроль хода технологического процесса обработки информации путем регистрации анализа действий пользователей.