Стандартизация методов и механизмов безопасности ИТ
На определенном этапе задача защиты информационных технологий разбивается на частные подзадачи, такие как обеспечение конфиденциальности, целостности и доступности. Для этих подзадач должны вырабатываться конкретные решения по организации взаимодействия объектов и субъектов информационных систем. К таким решениям относятся методы:
· аутентификации субъектов и объектов информационного взаимодействия, предназначенные для предоставления взаимодействующим сторонам возможности удостовериться, что противоположная сторона действительно является тем, за кого себя выдает;
· шифрования информации, предназначенные для защиты информации в случае перехвата ее третьими лицами;
· контроля целостности, предназначенные для обеспечения того, чтобы информация не была искажена или подменена;
· управления доступом, предназначенные для разграничения доступа к информации различных пользователей;
· повышения надежности и отказоустойчивости функционирования системы, предназначенные для обеспечения гарантий выполнения информационной системой целевых функций;
· управления ключами, предназначенные для организации создания, распространения и использования ключей субъектов и объектов информационной системы, с целью создания необходимого базиса для процедур аутентификации, шифрования, контроля подлинности и управления доступом.
Организации по стандартизации уделяют большое внимание разработке типовых решений для указанных выше аспектов безопасности. К ним, в первую очередь отнесем следующие международные стандарты:
· ISO/IEC 9798-91 – «Информационные технологии. Защита информации. Аутентификация объекта».
Часть 1. Модель.
Часть 2. Механизмы, использующие симметричные криптографические алгоритмы.
Часть 3. Аутентификация на базе алгоритмов с открытыми ключами.
Часть 4. Механизмы, использующие криптографическую контрольную функцию.
На определенном этапе задача защиты информационных технологий разбивается на частные подзадачи, такие как обеспечение конфиденциальности, целостности и доступности. Для этих подзадач должны вырабатываться конкретные решения по организации взаимодействия объектов и субъектов информационных систем. К таким решениям относятся методы:
· аутентификации субъектов и объектов информационного взаимодействия, предназначенные для предоставления взаимодействующим сторонам возможности удостовериться, что противоположная сторона действительно является тем, за кого себя выдает;
· шифрования информации, предназначенные для защиты информации в случае перехвата ее третьими лицами;
· контроля целостности, предназначенные для обеспечения того, чтобы информация не была искажена или подменена;
· управления доступом, предназначенные для разграничения доступа к информации различных пользователей;
· повышения надежности и отказоустойчивости функционирования системы, предназначенные для обеспечения гарантий выполнения информационной системой целевых функций;
· управления ключами, предназначенные для организации создания, распространения и использования ключей субъектов и объектов информационной системы, с целью создания необходимого базиса для процедур аутентификации, шифрования, контроля подлинности и управления доступом.
Организации по стандартизации уделяют большое внимание разработке типовых решений для указанных выше аспектов безопасности. К ним, в первую очередь отнесем следующие международные стандарты:
· ISO/IEC 9798-91 – «Информационные технологии. Защита информации. Аутентификация объекта».
Часть 1. Модель.
Часть 2. Механизмы, использующие симметричные криптографические алгоритмы.
Часть 3. Аутентификация на базе алгоритмов с открытыми ключами.
Часть 4. Механизмы, использующие криптографическую контрольную функцию.
Часть 5. Механизмы, использующие алгоритмы с нулевым разглашением.
· ISO/IEC 09594-8-88 – « Взаимосвязь открытых систем. Справочник. Часть 8. Основы аутентификации»;
· ISO/IEC 11577-94 – «Информационные технологии. Передача данных и обмен информацией между системами. Взаимосвязь открытых систем. Протокол защиты информации на сетевом уровне»;
· ISO/IEC DTR 10736 – «Информационные технологии. Передача данных и обмен информацией между системами. Протокол защиты информации на транспортном уровне»;
· ISO/IEC CD 13888 – «Механизмы предотвращения отрицания».
Часть 1. Общая модель.
Часть 2. Использование симметричных методов.
Часть 3. Использование асимметричных методов;
· ISO/IEC 8732-88 – «Банковское дело. Управление ключами»;
· ISO/IEC 11568-94 – «Банковское дело. Управление ключами».
Часть 1. Введение. Управление ключами.
Часть 2. Методы управления ключами для симметричных шифров.
Часть 3. Жизненный цикл ключа для симметричных шифров;
· ISO/IEC 11166-94 – «Банковское дело. Управление ключами посредством асимметричного алгоритма».
Часть 1. Принципы процедуры и форматы.
Часть 2. Принятые алгоритмы, использующие криптосистему RSA;
· ISO/IEC DIS 13492 – «Банковское дело. Управление ключами, относящимися к элементам данных»;
· ISO/IEC CD 11770 – «Информационные технологии. Защита информации. Управление ключами».
Часть 1. Общие положения.
Часть 2. Механизмы, использующие симметричные методы.
Часть 3. Механизмы, использующие асимметричные методы;
· ISO/IEC DTR 10181- «Информационные технологии.
Взаимосвязь открытых систем. Основы защиты информации для открытых систем».
Часть 1. Общее описание основ защиты информации в ВОС.
Часть 2. Основы аутентификации.
Часть 3. Управление доступом.
Часть 4. Безотказность получения.
Часть 5. Конфиденциальность.
Часть 6. Целостность.
Часть 7. Основы проверки защиты.
К этому же уровню следует отнести стандарты, описывающие интерфейсы механизмов безопасности ИТ:
· ISO/IEC 10164-7-92. «Информационные технологии. Взаимосвязь открытых систем. Административное управление системы. Часть 7. Функции уведомления о нарушениях информационной безопасности».
· ISO/IEC DTR 11586. «Информационные технологии. Взаимосвязь открытых систем. Общие функции защиты верхних уровней».
Часть 1. Общее описание, модели и нотация.
Часть 2. Определение услуг сервисного элемента обмена информацией защиты.
Часть 3. Спецификация протокола сервисного элемента обмена информацией защиты.
Часть 4. Спецификация синтаксиса защищенной передачи.
В стандартах этого уровня, как правило, не указываются конкретные криптографические алгоритмы, а декларируется, что может быть использован любой криптоалгоритм, при этом подразумевалось использование определенных зарубежных криптографических алгоритмов. Поэтому в ряде случаев при использовании некоторых стандартов может потребоваться их адаптация к отечественным криптоалгоритмам.
Часть 5. Механизмы, использующие алгоритмы с нулевым разглашением.
· ISO/IEC 09594-8-88 – « Взаимосвязь открытых систем. Справочник. Часть 8. Основы аутентификации»;
· ISO/IEC 11577-94 – «Информационные технологии. Передача данных и обмен информацией между системами. Взаимосвязь открытых систем. Протокол защиты информации на сетевом уровне»;
· ISO/IEC DTR 10736 – «Информационные технологии. Передача данных и обмен информацией между системами. Протокол защиты информации на транспортном уровне»;
· ISO/IEC CD 13888 – «Механизмы предотвращения отрицания».
Часть 1. Общая модель.
Часть 2. Использование симметричных методов.
Часть 3. Использование асимметричных методов;
· ISO/IEC 8732-88 – «Банковское дело. Управление ключами»;
· ISO/IEC 11568-94 – «Банковское дело. Управление ключами».
Часть 1. Введение. Управление ключами.
Часть 2. Методы управления ключами для симметричных шифров.
Часть 3. Жизненный цикл ключа для симметричных шифров;
· ISO/IEC 11166-94 – «Банковское дело. Управление ключами посредством асимметричного алгоритма».
Часть 1. Принципы процедуры и форматы.
Часть 2. Принятые алгоритмы, использующие криптосистему RSA;
· ISO/IEC DIS 13492 – «Банковское дело. Управление ключами, относящимися к элементам данных»;
· ISO/IEC CD 11770 – «Информационные технологии. Защита информации. Управление ключами».
Часть 1. Общие положения.
Часть 2. Механизмы, использующие симметричные методы.
Часть 3. Механизмы, использующие асимметричные методы;
· ISO/IEC DTR 10181- «Информационные технологии.
Взаимосвязь открытых систем. Основы защиты информации для открытых систем».
Часть 1. Общее описание основ защиты информации в ВОС.
Часть 2. Основы аутентификации.
Часть 3. Управление доступом.
Часть 4. Безотказность получения.
Часть 5. Конфиденциальность.
Часть 6. Целостность.
Часть 7. Основы проверки защиты.
К этому же уровню следует отнести стандарты, описывающие интерфейсы механизмов безопасности ИТ:
· ISO/IEC 10164-7-92. «Информационные технологии. Взаимосвязь открытых систем. Административное управление системы. Часть 7. Функции уведомления о нарушениях информационной безопасности».
· ISO/IEC DTR 11586. «Информационные технологии. Взаимосвязь открытых систем. Общие функции защиты верхних уровней».
Часть 1. Общее описание, модели и нотация.
Часть 2. Определение услуг сервисного элемента обмена информацией защиты.
Часть 3. Спецификация протокола сервисного элемента обмена информацией защиты.
Часть 4. Спецификация синтаксиса защищенной передачи.
В стандартах этого уровня, как правило, не указываются конкретные криптографические алгоритмы, а декларируется, что может быть использован любой криптоалгоритм, при этом подразумевалось использование определенных зарубежных криптографических алгоритмов. Поэтому в ряде случаев при использовании некоторых стандартов может потребоваться их адаптация к отечественным криптоалгоритмам.
