Сертификация средств, включающих криптографические компоненты

Находящаяся в ведении ФАПСИ защищенная телекоммуникационная среда позволяет эффективно решать и задачи по выполнению президентской программы «Правовая информатизация органов государственной власти Российской Федерации». При этом использование криптографических методов обеспечивает целостность и достоверность правовых актов, предотвращает их фальсификацию при передаче в субъекты Федерации.

Таким образом, деятельность ФАПСИ строго регламентирована комплексом нормативных правовых актов России, а решаемые задачи тесно взаимоувязаны между собой и не дублируют задачи других специальных служб и иных государственных органов.

2. С какими ведомствами взаимодействует ФАПСИ в области информационной безопасности и где проходит разграничительная линия между ними?

В соответствии с основными направлениями своей деятельности ФАПСИ взаимодействует со всеми министерствами и ведомствами, решающими в той или иной степени задачи по обеспечению информационной безопасности. Это взаимодействие осуществляется как в рамках различных существующих межведомственных институтов, например Межведомственной комиссии по защите государственной тайны или Межведомственной комиссии по информационной безопасности, так и в рамках двусторонних или многосторонних отношений. Права и полномочия каждого ведомства определены действующим законодательством, соглашениями между ними и совместно принимаемыми решениями. Большинство этих документов опубликовано и нет смысла пересказывать содержащиеся в них положения. Об основных направлениях деятельности Федерального агентства, задачах, которые поручено решать нашему ведомству, я уже сказал выше.

3. В 1998 году был принят закон о лицензировании отдельных видов деятельности. Изменил ли он что-либо в практике ФАПСИ?

Принятие любого законодательного акта всегда вносит определенные изменения и уточнения в регулируемые этим актом процессы. В этом смысле не стал исключением и принятый закон. В соответствии с его требованиями внесены изменения в процедуру взаимодействия с соискателем лицензии как на стадии подачи заявления на получение лицензии, так и на стадии вручения документа, подтверждающего ее наличие. Изменен также порядок оформления лицензий. Теперь они выдаются отдельно на каждый заявляемый вид деятельности с указанием конкретного состава работ, право выполнения которых предоставляется лицензиату полученной лицензией. Приведены в соответствие с законом формулировки видов деятельности, лицензирование которых осуществляется Федеральным агентством. С учетом требований закона скорректирована процедура ведения государственных реестров, размеры и порядок взимания соответствующих платежей. В целом же принципы и правила, которыми руководствовалось ФАПСИ и которые вносились нами в качестве предложений при работе над текстом закона, существенных изменений не претерпели и нашли свое отражение в соответствующих статьях.

4. Какими опубликованными критериями руководствуется ФАПСИ при сертификации средств, включающих криптографические компоненты?

Вопрос публикации используемых Федеральным агентством критериев в силу понятной специфики такой предметной области как криптография является отнюдь не простым. Понимая важность для потенциального пользователя доступности различных параметров и характеристик, позволяющих оценить уровень обеспечения информационной безопасности при использовании тех или иных средств или систем, мы постоянно проводим работу по совершенствованию используемой нами нормативной базы. Результаты этой работы, не содержащие сведений, составляющих государственную тайну, публикуются в различных изданиях, в том числе и в вашем информационном бюллетене. В настоящее время ФАПСИ опубликованы «Система сертификации средств криптографической защиты», «Положение о порядке разработки, производства, реализации и использования средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну» (ПКЗ-99), а также различные комментарии и разъяснения действующего порядка сертификации средств криптографической защиты. Указанные документы и публикации определяют ряд критериев, которыми руководствуется ФАПСИ:

• обязательность использования криптографических алгоритмов, являющихся государственными стандартами или рекомендованных ФАПСИ;
• принятие на сертификацию изделий только от заявителей, имеющих лицензию ФАПСИ на соответствующие виды деятельности;
• принятие на сертификацию только готовых изделий в целом, а не их составных частей или отдельных компонентов;
• независимость субъектов сертификации по отношению друг к другу;
• возможность сертификации по различным классам защищенности и уровням защиты.

5. Реальность такова, что Агентство не только осуществляет лицензирование и сертификацию в области информационной безопасности, но и разрабатывает криптосредства (или, по крайней мере, координирует такие разработки). Можно ли перечислить продукты, реализованные под эгидой ФАПСИ?

В «Положении о сертификации средств защиты информации», утвержденном постановлением Правительства Российской Федерации от 29 марта 1999 года No 342 записано: «Криптографические (шифровальные) средства должны быть отечественного производства и выполнены на основе криптографических алгоритмов, рекомендованных ФАПСИ».

Агентство в соответствии с действующим законодательством принимало и будет принимать участие в разработке и создании всех криптографических средств, которые в законном порядке распространяются и функционируют на территории Российской Федерации. В первую очередь это касается криптографических средств защиты информации, содержащей государственную тайну. Одновременно мы не забываем и потребности, в частности, кредитно-финансовой сферы, где необходимо защищать конфиденциальную информацию. Здесь, я думаю, Вам хорошо известны различные средства криптографической защиты, созданные на базе ГОСТ 28147-89.

6. Как взаимодействует ФАПСИ с разработчиками, которых можно назвать независимыми?

Решая возложенные на наше ведомство задачи, Федеральное агентство взаимодействует со всеми организациями, работающими в области информационной безопасности, как входящими в структуру федеральных органов правительственной связи и информации, так и не входящими в эту структуру. Все эти организации являются самостоятельными юридическими лицами, и существующий порядок взаимоотношений с ними не имеет принципиальных отличий, за исключением организаций ведомственной подчиненности, и соответствует требованиям и правилам, которые определены соответствующими нормативными правовыми актами и положениями. ФАПСИ осуществляет лицензирование этих организаций, координирует работу по заказу разработки средств защиты информации, согласует технические задания на проведение НИР и ОКР, порядок проведения работ по созданию средств защиты информации, сертификацию этих средств, а также осуществляет контроль за их использованием.

7. В современных информационных системах криптосредства оказываются, если можно так выразиться, глубоко инфраструктурными. Ими пользуются многие компоненты операционных систем и приложений. Как Вы считаете, учитывается ли в должной мере этот программистский аспект? Реально ли организовать программную среду с современной функциональностью и полностью сертифицированными средствами безопасности, в том числе криптографическими? Если нет, то что делать организациям-пользователям?

Говорить о том, что в современных информационных системах все криптографические средства являются, как вы выражаетесь «глубоко инфраструктурными», не совсем верно. Достаточно хорошо вписываются в такие системы наложенные средства криптографической защиты, особенно когда дело касается защиты информации, передаваемой по каналам связи и хранящейся на физических носителях. В качестве средств защиты для решения этих задач используются исключительно отечественные программно-аппаратные комплексы. К сожалению, не все задачи обеспечения информационной безопасности для современных информационных систем (ИС) можно решить наложенными средствами. Действительно, для реализации функций аутентификации, управления доступом, обеспечения целостности и конфиденциальности в программных средах современных ИС должен учитываться целый комплекс требований, в том числе и к программному обеспечению, взаимодействующему со средствами криптографической защиты. Практика показывает, что и для сложных современных ИС могут быть предложены комплексные решения по обеспечению безопасности, которые, как правило, несколько ограничивают функциональность исходных систем. Решения эти разрабатываются квалифицированными организациями – лицензиатами ФАПСИ в тесном сотрудничестве с организациями – заказчиками, так что баланс между защитой и функциональностью обычно вырабатывается.

8. Каковы предпочтения ФАПСИ среди аппаратных платформ и операционных систем? В частности, существуют ли планы, касающиеся популярной сейчас ОС Linux?

Не секрет, что при выборе аппаратных платформ и операционных систем ФАПСИ отдает предпочтение отечественным разработкам.

Следует отметить, что применение непроверенных специальными организациями технических средств в системах, где обрабатывается конфиденциальная информация, недопустимо. Предпочтение в построении информационных систем для государственных и экономически значимых структур отдается отечественному производителю, в том числе и для случая лицензионных производств. Так, на заводе «Калугаприбор» по лицензии фирмы «Сименс» изготавливаются цифровые АТС типа НIСОМ 300, которые могут выпускаться и в информационно-безопасном исполнении в соответствии с рекомендациями ФАПСИ.

Мы хорошо знаем ОС Linux и считаем, что это одна из перспективных систем, положительными качествами которой являются открытость исходных текстов и значительное количество независимых разработчиков и тестеров. В большинстве известных нам дистрибутивных версиях этой системы вопросы безопасности решены неудовлетворительно. Специалисты ФАПСИ представляют, какой должна быть защищенная ОС на базе Linux, чтобы в ней можно было бы обрабатывать информацию различных категорий конфиденциальности, принадлежащую разным пользователям, с соблюдением правил разграничения доступа и обеспечением конфиденциальности, целостности и безотказности. При этом за счет соблюдения стандартов POSIX, удается сохранить для защищенной ОС широкий спектр приложений.

9. Согласны ли Вы с тем, что спектр национальных стандартов в области криптографии слишком узок? Планируется ли расширить его? Если да, то какие направления являются приоритетными?

В настоящее время в Российской Федерации в качестве государственных стандартов действуют три алгоритма криптографической защиты информации: алгоритм шифрования, реализующий стандарт защиты данных (ГОСТ 28147-89), алгоритм электронной цифровой подписи (ГОСТ Р 34.10-94), алгоритм функции хеширования (ГОСТ Р 34.11-94). Аналогичные криптографические алгоритмы стандартизованы в ряде зарубежных стран. Например, в США имеются подобные национальные стандарты в области криптографии.

По нашему мнению, стандартизованы должны быть лишь те криптографические алгоритмы, универсальность или особенности использования которых требуют придания им статуса государственных стандартов. В настоящее время к их числу следует отнести в первую очередь алгоритм цифровой подписи (включая функцию хеширования). Это вызвано широким использованием цифровой подписи в финансовых расчетах, включая систему платежей и электронную торговлю, а также предполагаемым закреплением роли цифровой подписи в законодательстве Российской Федерации.

Жизнь показала, что полезным является и наличие несекретного государственного стандарта шифрования данных, предназначенного для защиты информации в информационно-телекоммуникационных системах коммерческого применения. Здесь следует отметить, что шифрование данных находит широкое применение в различных информационных процессах. Наличие же несекретного государственного стандарта шифрования данных позволяет сохранить единое информационное пространство в масштабах страны, а также, затрудняет использование недоброкачественных алгоритмов шифрования, разработанных коммерческими фирмами. Несекретный государственный стандарт позволяет операторам связи оказывать услуги, связанные с предоставлением закрытого канала для коммерческого использования. Следует добавить, что ГОСТ 28147-89 может применяться и применяется почти во всех сферах информационного обмена, например, в качестве составляющей части стандарта хеширования (ГОСТ Р 34.11-94).

Придание статуса государственного стандарта другим криптографическим алгоритмам в настоящее время, на наш взгляд, нецелесообразно.

10. Некоторые международные стандарты и рекомендации, такие, например, как IPv6, включают в себя криптографические компоненты с обязательной поддержкой «чужих» криптографических алгоритмов. Какова позиция ФАПСИ по отношению к подобным стандартам? Можно ли импортировать соответствующие продукты? Планируются ли собственные реализации аналогичных средств? Ведется ли деятельность по включению национальных криптосредств в число алгоритмов, учитываемых международным программистским сообществом?

При подключении к открытым публичным сетям в качестве протокола для связи компьютеров наиболее часто используется протокол TCP/IP. Он применяется уже более 20 лет. В настоящее время широко распространена версия протокола IP номер 4, но существует и новая версия – 6, обещающая в ближайшем будущем составить конкуренцию 4-ой версии, а в перспективе и вытеснить ее совсем.

К сожалению, разработка некоторых стандартов IPv6 на настоящий момент не завершена. Но в целом можно сказать, что IPv6 позволит решить проблему нехватки адресов, упростит обработку сетевых пакетов, позволит создавать более гибкие сети и обеспечить надежную криптографическую защиту, как передаваемых данных, так и управляющих сообщений самого IP (что особенно важно в тех системах, где циркулирует информация различной степени секретности). Неразрешимых технических проблем при включении российских криптографических стандартов в инфраструктуру обеспечения безопасности протокола IPv6 нет, соответственно и лицензиаты ФАПСИ могут создавать реализации криптографических библиотек, отдельных криптографических функций и законченных средств криптографической защиты для работы с протоколом IPv6.

11. В сентябре с.г. Президент Российской Федерации В. В. Путин утвердил Доктрину информационной безопасности. Какую роль, на Ваш взгляд, она сыграет в развитии отечественных информационных технологий и средств защиты информации?

Информационные технологии – бурно и динамично развивающаяся отрасль мирового хозяйства. Объем рынка информационной продукции составил за прошлый год 2 триллиона долларов США, что сопоставимо с бизнесом в сферах топлива и энергетики, автомобилестроения. Серьезную опасность для России представляют стремления ряда стран к доминированию в мировом информационном пространстве, вытеснению России с внутреннего и внешнего рынка информационных услуг, разработка рядом государств концепций «информационных войн», предусматривающих создание средств воздействия на информационные сферы других стран мира, нарушение нормального функционирования информационных и телекоммуникационных систем, а также сохранности информационных ресурсов, получение несанкционированного доступа к ним.

Поэтому объективно и закономерно, что вслед за Военной доктриной Президент Российской Федерации В. В. Путин утвердил Доктрину информационной безопасности. Документ готовился Советом Безопасности Российской Федерации в течение нескольких лет с привлечением специалистов заинтересованных министерств и ведомств, в том числе и ФАПСИ.

Доктрина информационной безопасности закладывает основы информационной политики государства. С учетом существующих угроз для защиты национальных интересов России государство планирует активно развивать отечественную индустрию средств информации, коммуникации и связи с последующим выходом продукции на мировой рынок, обеспечивать гарантии безопасности для национальных информационных и телекоммуникационных систем и защиту государственных секретов с помощью соответствующих технических средств. Одновременно предусматривается повышать эффективность информационного обеспечения деятельности государства.

После утверждения Доктрины информационной безопасности для выполнения поставленных в ней задач главой государства будут разрабатываться ряд конкретных программ. Принятие данного документа ставит в повестку дня и вопрос о необходимости совершенствования российского законодательства. К примеру, речь идет о принятии законов, касающихся пресечения компьютерной преступности.

Федеральное агентство в рамках своей компетенции будет принимать самое деятельное и непосредственное участие в решении задач, определенных Доктриной информационной безопасности Российской Федерации.

Интервью заместителя начальника отдела лицензирования и сертификации Гостехкомиссии России Калайды Игоря Алексеевича информационному бюллетеню JetInfo

1. Уважаемый Игорь Алексеевич, прежде всего, хотелось бы узнать об организационных изменениях, произошедших относительно недавно в Гостехкомиссии России. Как теперь устроены лицензирование и сертификация?

За последние несколько месяцев в Гостехкомиссии России действительно произошли некоторые оргштатные преобразования. В частности, на базе отдела технической защиты информации, был создан самостоятельный отдел лицензирования и сертификации. Основными задачами отдела являются:

• проведениесовместносФСБРоссииспециальных экспертиз по допуску предприятий, учреждений и организаций к проведению работ, связанных с использованием сведений, составляющих государственную тайну;

• организация работ по лицензированию деятельности предприятий, учреждений и организаций по проведению работ, связанных с созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны;

• организация работ по сертификации средств защиты информации;

• организация работ по аттестации объектов информатизации, предназначенных для обработки информации, содержащей сведения, составляющие государственную тайну;

• аккредитация лицензионных центров, органов по сертификации средств защиты информации, испытательных центров (лабораторий) и органов по аттестации объектов информатизации;

• совершенствование деятельности систем лицензирования и сертификации Гостехкомиссии России;

• контроль проведения лицензионными центрами специальных экспертиз и выполнения предприятиями, учреждениями и организациями лицензионных условий;

• контроль деятельности лицензионных центров, органов по сертификации, испытательных центров (лабораторий) и органов по аттестации объектов информатизации, качества выполняемых организациямилицензиатами Гостехкомиссии России работ и оказываемых ими услуг в области технической защиты информации;

• организация и сопровождение разработки нормативнометодических документов по лицензированию и сертификации средств защиты информации;

• подготовка предложений и разработка нормативных правовых актов, заключений на нормативные правовые акты, поступающие на согласование в Гостехкомиссию России, по вопросам, входящим в компетенцию отдела;

• ведение государственных реестров систем лицензирования и сертификации Гостехкомиссии России (организацийлицензиатов, лицензионных центров, органов по сертификации, испытательных центров (лабораторий), органов по аттестации объектов информатизации, сертифицированных средств защиты информации).

Что касается систем лицензирования и сертификации, то кардинальных изменений в них не произошло. Основные положения относительно систем лицензирования и сертификации изложены в следующих документах:

• Закон Российской Федерации «О сертификации продукции и услуг» с учетом изменений и дополнений, внесенных Федеральным законом от 31.07.98 No 154ФЗ;

• Закон Российской Федерации от 21.07.1993 г. No 54851 «О государственной тайне» (в редакции Федерального закона «О внесении изменений и дополнений в Закон Российской Федерации О государственной тайне» от 6.10.1997 г. No 131ФЗ);

• Федеральный закон от 4.07. 1996 г. No 85ФЗ «Об участии в международном информационном обмене»;

• Постановление Правительства РФ от 15.04.1995 г. No 333 «О лицензировании деятельности предприятий, учреждений и организаций по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны» (с изменениями от 23.04.96, 30.04.97, 29.07.98);

• Постановление Правительства РФ от 26. 06.1995 г. No 608 «О сертификации средств защиты информации»;

• Постановление Правительства РФ от 11.04.2000 г. N 326 «О лицензировании отдельных видов деятельности»;

• Указ Президента РФ от 19.02.1999 г. No 212 «Вопросы Государственной технической комиссии при Президенте Российской Федерации»;

• «Правила по проведению сертификации в Российской Федерации», утвержденных постановлением Госстандарта России от 10.05.2000г. No26;

• «Порядок проведения сертификации продукции в Российской Федерации» с изменениями No1, утвержденными постановлением Госстандарта России соответственно от 21.09.94 No15 и от 25.07.96 No15;

• Положение «О государственном лицензировании деятельности в области защиты информации» (утверждено совместным решением No 10 ФАПСИ и Гостехкомиссии России от 27.04.1994 г., с изменениями в соответствии с совместным решением No60 от 24.06.1997 г);

• Положение о сертификации средств защиты информации по требованиям безопасности информации. (введено в действие приказом Председателя Гостехкомиссии России No 199 от 27.10.1995 г.).

2. Говорят, Гостехкомиссия России планирует пересмотреть нормативную базу сертификации, перейдя на рельсы международного стандарта – так называемых «Общих критериев». Если это так, то можно ли назвать какието сроки, этапы на пути перехода ?

Сегодня очевидным является тот факт, что нормативные документы по критериям оценки защищенности средств вычислительной техники и автоматизированных систем, разработанные в начале 90х годов , устарели. Предвидя это, Гостехкомиссия России в 1997 году организовала работу по анализу возможности использования проекта международного стандарта «Common Criteria for Information Technology Security Evaluation (CCEB) Version 1.0», как основы для разработки современной отечественной нормативной базы по оценке безопасности информационных технологий.

Результаты этой работы превзошли все ожидания. На сегодняшний день:

• осуществлен аутентичный перевод не только проекта, но и самого международного стандарта ISO 15408 «Критерии оценки безопасности информационных технологий».
• организована работа по согласованию перевода с разработчиками стандарта ISO 15408;
• разрабатывается проект российского стандарта ГОСТ Р ИСО/МЭК 15408 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий», состоящий из трех частей и определяющий общие положения, термины и определения, функциональные и гарантийные требования, концепцию оценки безопасности продуктов и систем информационных технологий;
• разрабатываются нормативные документы, определяющие методологию формирования профилей защиты типовых продуктов и систем информационных технологий;
• разрабатываются проекты профилей защиты для типовых продуктов и систем информационных технологий (ОС, СУБД, межсетевые экраны и др.).

Что касается сроков и этапов перехода к использованию новой нормативной базы, то единственное, что можно утверждать определенно – это произойдет не в этом году.

3. Планируется ли предпринять шаги по вхождению России в международные органы, занимающиеся информационной безопасностью? Есть ли надежда на заключение соглашения о взаимном признании сертификатов?

Вопрос о планах участия или причинах неучастия России в работе международных комитетов по стандартизации, на мой взгляд, уместнее задать в Госстандарте России. Что касается совместных работ в области защиты информации (в том числе по вопросу сертификации средств защиты информации), то на сегодняшний день Гостехкомиссия России активно взаимодействует с аналогичными структурами некоторых стран СНГ. Прежде всего, с Государственным центром безопасности информации при Совете Безопасности Республики Беларусь в рамках совместной программы по защите общих информационных ресурсов Беларуси и России. С Комитетом Национальной Безопасности Республики Казахстан Гостехкомиссия России взаимодействует с 1994 года в соответствии с соглашением между Правительством Российской Федерации и Правительством Республики Казахстан о сотрудничестве в области защиты информации.

В последнее время активно ведутся работы по подготовке Договоров о взаимодействии в области технической защиты информации с Комитетом Безопасности Украины, Узбекистана.

Взаимное признание сертификатов даже теоретически возможно только в том случае, если предъявляемые требования к объекту оценки гармонизированы, если применяются единые методики оценки. Таких требований (гармонизированных) и единых методик оценки в настоящее время нет. Наиболее реальные перспективы признания сертификатов у России и Беларуси при условии использования «Общих критериев» в качестве методической базы для разработки национальных стандартов.

4. Справятся ли органы аттестации, сертификации, испытательные лаборатории с работой в новых условиях? Существует ли программа повышения их квалификации?

Одной из основных функций Гостехкомиссии России является методическое руководство подготовкой, профессиональной переподготовкой и повышением квалификации специалистов в области технической защиты информации.

В рамках осуществляемых и планируемых Гостехкомиссией России научноисследовательских работ и совместных программ по взаимодействию со странами СНГ предусмотрена разработка новых учебных программ, учитывающих происходящие изменения нормативной, методической и инструментальной базы в области защиты информации.

Подготовка и переподготовка специалистов органов по аттестации, сертификации, испытательных лабораторий – одно из новшеств, которое будет внедряться на практике уже в этом году. Так на базе Головной научной организации – института технической защиты информации, Центрального института повышения квалификации работников Минатома России, Центра безопасности информации (г.Юбилейный) планируется осуществлять подготовку экспертоваудиторов. Наличие таких экспертов в испытательных лабораториях, органах по сертификации и органах по аттестации объектов информатизации с 2001 года будет обязательным условием при их аккредитации или продлении аттестатов аккредитации.

5. Насколько решительным предполагается переход? Не получим ли мы смесь нового и старого, которая по меньшей мере затормозит движение вперед?

Переход к использованию новых нормативных документов, о которых мы упоминали ранее, на мой взгляд, произойдет естественным, а не директивным путем по нескольким причинам:

• при разработке новых нормативных документов обеспечена преемственная связь с используемыми в настоящее время нормативными документами. Новые требования по безопасности продуктов и систем информационных технологий не отменяют, а дополняют старые требования с учетом специфики и особенностей современных информационных технологий, изменившейся модели угроз и др.;

• несколько проектов нормативных документов, разработанных на основе «Общих критериев» в настоящее время прошли или проходят экспертизу в разных министерствах и агенствах. Также проводятся экспериментальные испытания нескольких программных продуктов на соответствие профилям защиты, разработанных на основе «Общих критериев» и соответствующих требованиям для определенных классов защищенности Руководящих документов Гостехкомиссии России.

• уже существует положительный опыт формирования заданий по безопасности к вновь разрабатываемым системам, в которых учитываются не только требования действующих нормативных документов, но и дополнительные требования «Общих критериев».

Таким образом, рассматривая «Общие критерии» как смесь непротиворечивых и уже апробированных новых и старых требований по безопасности, можно с большой степенью уверенности утверждать, что эта смесь получилась не гремучей.

6. Теперь, если можно, позвольте перейти к рассмотрению Руководящего документа Гостехкомиссии России по контролю недекларированных возможностей, который был опубликован в No2 за 2000 г. В этом документе рассматривается один из аспектов гарантий безопасности. Нужен ли такой документ, если в тех же «Общих критериях» требования гарантированности анализируются гораздо более детально и всесторонне?

Требования руководящего документа (РД) по сути являются подмножеством множества требований гарантированности безопасности «Общих критериев» (класс ATE (тестирование) и класс AGD (документация). Поэтому это еще один аргумент в пользу перехода к «Общим критериям», которые со временем заменят существующие руководящие документы, в том числе и руководящий документ по контролю недекларированных возможностей. Но до принятия «Общих критериев» в России считаю использование РД уместным и необходимым.

Недекларированные возможности в программном обеспечении средств защиты информации

Основные понятия

Этой статьей мы начинаем цикл, посвященный рассмотрению на сегодняшний день темы недекларируемых возможностей в программном обеспечении.

В условиях широкого использования в государственном секторе импортных средств защиты информации и общего программного обеспечения стало не достаточным решение вопроса защиты от несанкционированного доступа, без решения вопроса защиты от социальных воздействий на информацию в целях ее уничтожения, искажения и блокирования.

В отличии от технологии проведения «спецпроверок» аппаратуры, технология проверки программного обеспечения на отсутствие (наличие) недекларированных возможностей еще только начинает применяться в практике сертификационных испытаний.

Поводом для обсуждения этой темы явилось введение в действие руководящего документа (РД) «Защита от несанкционированного доступа» Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей».

Краткая историческая справка о ходе разработки РД:

• ноябрь 1997 года — май 1998 года. Разработка первой редакции документа с рабочим названием «Программное обеспечение автоматизированных систем и средств вычислительной техники. Защита от несанкционированного доступа к информации. Классификация программного обеспечения и требования по отсутствию недекларированных возможностей»;
• май — ноябрь 1998 года. Разработка второй редакции документа с рабочим названием «Программное обеспечение автоматизированных систем и средств вычислительной техники. Классификация по уровню гарантированности отсутствия недекларированных возможностей»;
• ноябрь 1998 года — июнь 1999 года. Разработка третьей редакции документа, согласование положений РД в 13 министерствах и ведомствах РФ и утверждение приказом Председателя Гостехкомиссии Росии (N 114 от 4.06.99г.).

Последние шесть месяцев работа над РД осуществлялась рабочей группой из 26 высококвалифицированных представителей Гостехкомиссии, Министерства обороны, ФАПСИ, ФСБ, СВР, Минатома, Минэкономики, МЧС и др. Было проведено шесть технических совещаний по рассмотрению положений настоящего РД.

В процессе разработки и согласования РД одним из принципиальных вопросов был вопрос корректности используемых терминов. Основной термин, используемый в РД — это недекларированные возможности программного обеспечения (ПО) средств защиты информации (СЗИ).

Дитмар Эльяшевич Розенталь для авторов РД является несомненным авторитетом в области грамматики и стилистики русского языка. Поэтому недекларированные (ср.: тайные) возможности в РД пишутся слитно. Это принципиальный момент, т.к. объектом дальнейшего обсуждения в статье являются именно тайные (син.: скрытые, необъявленные и т.д.) возможности ПО СЗИ. При этом не следует абсолютно отождествлять недекларированные возможности и преднамеренные программные «закладки», т.к. вторые являются лишь частным случаем первых. К числу недекларированных возможностей ПО следует относить и случайные ошибки в ПО, приводящие к нарушению конфиденциальности, доступности или целостности обрабатываемой информации. Например, синтаксические ошибки в сообщениях, формируемых в процессе функционирования ПО, не являются недекларированными возможностями. Таким образом, обсуждение термина закончим определением из РД:

недекларированные возможности — функциональные возможности ПО, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации.

Перечень документации, в которой должны быть декларированы возможности ПО, приведен в РД и включает:

• Спецификацию;
• Описание программы;
• Описание применения;
• Пояснительную записку;
• Тексты программ, входящих в состав ПО.

Следующий используемый в РД термин — функциональный объект (ФО) трактуется как элемент программы, осуществляющий выполнение действий по реализации законченного фрагмента алгоритма программы. В зависимости от уровня детализации контроля недекларированных возможностей анализируемыми функциональными объектами могут быть: процедуры, функции, ветви, операторы.

Вышеуказанные понятия можно найти в любом учебнике по программированию. Однако, чтобы не утруждать читателя приведем опре-

деления процедуры, функции, ветви, оператора из толкового словаря современной компьютерной лексики (Дорот В.Л., Новиков Ф.А СПб.: БХВ-Санкт-Петербург, 1999 год — 384 стр., ил.)

Процедура (procedure) — конструкция языков программирования высокого уровня, соответствующая понятию подпрограммы. Представляет собой имеющую имя часть программы (блок программы или группу описаний и операторов), которая может выполнять некоторые четко заданные действия над условными данными, определяемыми с помощью формальных параметров. Выполнение процедуры может быть инициировано из любого места программы одним оператором. При вызове процедуры вместо формальных параметров указываются фактические параметры, определяющие конкретные данные, над которыми и выполняются запрограммированные в процедуре действия. Возможны процедуры, в которых нет формальных параметров. В них операторы сразу задают действия над объектами, определенными в главной программе. Процедура вводится в программу с помощью описания процедуры, которое обычно располагается в разделе описаний. Описание процедуры состоит из заголовка и тела процедуры. Заголовок служит для присвоения процедуре некоторого имени и, возможно, указания формальных параметров. В теле порграммируется выполняемый процедурой алгоритм.

Функция (function) в языках программирования высокого уровня (например, Паскале и Си) аналогичная процедуре конструкция, соответствующая понятию подпрограммы.

Ветвь программы (programm branch) — (линейный — ред. авт.) участок программы, которому может быть передано управление при выполнении программы.

Оператор (statement, operator) — допустимое в языке программирования высокого уровня предложение, задающее целостное законченное действие ЭВМ, или представляющее набор описаний. Типичными операторами в традиционных языках программирования явялются операторы ввода-вывода, присваивания, перехода, цикла и др.

В США принят план защиты информационных систем

1. Введение

Администрация США выступила с новой инициативой в области национальной безопасности.

В своем послании президент Клинтон охарактеризовал подписанный им 8 января 2000 г. «Национальный план защиты информационных систем» как «всеобъемлющее видение задач по защите ключевых секторов экономики, национальной безопасности, общественного здравоохранения и личной безопасности граждан». Следует отметить, что это далеко не первая попытка федерального правительства решить проблему обеспечения информационной безопасности современного американского общества.

2. История вопроса

Еще в начале 90-х годов в руководящих кругах США начали высказывать обеспокоенность по поводу новой угрозы интересам национальной безопасности. После войны в Персидском заливе появились привычные теперь понятия «информационной войны» и «информационного оружия». К этому периоду относится директива Министерства обороны США TS3600.1 от 21 декабря 1992 г. под названием «Информационное противоборство», в которой было прямо указано на «необходимость всестороннего учета информационных ресурсов при организации планирования и функционирования систем управления в интересах повышения эффективности действия своих войск в условиях противодействия противника».

Начиная с этого времени, в США активно ведутся военные НИОКР в области «борьбы с системами управления», основная цель которых – создание «информационного превосходства», понимаемого как «возможности собирать, обрабатывать и передавать непрерывный поток информации при одновременном противодействии противнику».

В 1993 г. Комитет начальников штабов выпускает меморандум MOP-30 с детальным обоснованием концепции борьбы с системами управления.

В 1994 г. Комитет по науке МО США публикует два специальных доклада, посвященных безопасности национальной информационной инфраструктуры, где приводятся рекомендации по разработке специальных огранизационнотехнических мер защиты и выделению соответствующих ассигнований.

В феврале 1996 г. увидел свет новый полевой устав Армии США, посвященный вопросам ведения сухопутными войсками информационной войны на поле боя – «Информационные операции» FM-106, под которыми понимаются «действия, предпринятые против информации и информационных систем противника при одновременной защите собственной информации и информационных систем».

Однако было бы неправильно рассматривать развитие взглядов на ведение информационной войны в США только в военной плоскости.

Больше всего в правительственных кругах США обеспокоены отсутствием должного понимания к вопросам защиты национальных информационных ресурсов со стороны общества в целом. Несмотря на то, что уже созданы и действуют центры информационной безопасности в Министерстве обороны, видах вооруженных сил и объединенных командованиях, а также в ЦРУ и других разведывательных ведомствах, приняты соответствующие ведомственные нормативные документы, единой концепции решения этой проблемы на национальном уровне нет до сих пор. Именно этим и было вызвано появление в начале 2000 г. «Национального плана защиты информационных систем», призванного стать в соответствии с президентской директивой PDD63 от 22 мая 1998 г. координирующим началом долгосрочной общенациональной программы в области информационной безопасности.

3. Основные положения программы

Каковы решаемые задачи и пути их достижения, намеченные новым планом администрации США? Основная цель плана – «создание системы защиты в первоначальном (ограниченном) варианте к декабрю 2000 г. и в окончательном (полномасштабном) – к маю 2003 г.».

План содержит, по сути, 10 самостоятельных программ, объединенных общей целью и связанных с решением задач в сфере определения важнейших объектов и их уязвимых сторон, обучения и переподготовки специалистов, проведения НИОКР, внедрения технических средств защиты, принятия новых законов, соблюдения гражданских прав и свобод. Важнейшим является тезис о консолидации усилий правительства, федеральных ведомств и частного сектора в защите национальных информационных ресурсов как непременного условия достижения поставленной цели.

Рассмотрим коротко содержание этих программ.

Первой в списке стоит программа «Определение критически важных ресурсов инфраструктуры, их взаимосвязей и стоящих перед ними угроз».

Вторая программа – «Обнаружение нападений и несанкционированных вторжений» – направлена на создание многоступенчатой системы защиты для важнейших компьютерных систем.

Третья программа – «Разработка разведывательного обеспечения и правовых актов по защите критических информационных систем».

Разведывательным организациям предоставлены права собирать сведения о методах и способах ведения информационной войны за рубежом. По оценкам ЦРУ, 1% бюджетных ассигнований на разведку, затрачиваемых на отрытые источники, дает около 40% всей добываемой информации. В ФБР уже создан и действует так называемый Национальный центр защиты инфраструктуры (NIPC), призванный обеспечить раннее предупреждение о нападении, используя все доступные (открытые и закрытые) источники информации, а также проведение оперативных мероприятий по обнаружению факта и локализации источника нападения, оценке масштабов ущерба, поиске преступников. Предполагается, что в дальнейшем этой информацией смогут пользоваться власти штатов и частный сектор.

Четвертая программа – «Своевременный обмен информацией о нападении» – затрагивает одно из наиболее важных направлений защиты информационных систем.Предусматривается, что обмен информацией должен осуществляться постоянно в реальном масштабе времени. Администраторы федеральных систем, накапливая информацию по каждому отдельному случаю аномалии или вторжения, должны своевременно передавать ее в главный федеральный центр (FedCIRC), а в случае, если действия подпадают под прямое нарушение закона, – в Национальный центр защиты инфраструктуры (NIPC) при ФБР. Располагая полной информацией, оба центра (FedCIRC, NIPC) могут определить место, откуда исходит угроза, и оперативно устранить ее возможные негативные последствия.

Для частного сектора и правительств штатов предусмотрено создание так называемых центров анализа информации (ISAC). В настоящее время несколько промышленных групп уже приняли решение создать такие центры. Одним из первых подобный центр был создан в Министерстве финансов для обеспечения безопасности банковской и финансовой систем США.

Пятая программа – «Создание средств реагирования, реконфигурации и восстановления» – нацелена на ограничение масштабов ущерба информационной инфраструктуре в ходе вторжения, на основе разработки специальных корпоративных и индивидуальных планов действий. После обнаружения факта нападения центры безопасности, обменявшись информацией, вырабатывают совместный план ответных действий.

Особая роль в этом направлении отводится федеральному агентству по действиям в чрезвычайных условиях (ФЕМА, аналог нашего МЧС), модернизация системы связи которого в рамках данной программы будет проведена в течение 2000 – 2003 гг.

Шестая программа «Активизация НИОКР по поддержке программ 1-5» устанавливает приоритеты в техническом обеспечении «Национального плана защиты информационных систем», требования к оборудованию систем защиты для поддержания на необходимом уровне безопасности всей инфраструктуры в целом. Предусматривается создание специально для этих целей новой научной организации – Института проблем защиты информационной инфраструктуры (I3P).

Седьмая программа – «Подготовка и распределение необходимого количества специалистов в области информационной безопасности». Несмотря на то, что еще в 1992 г. была разработана «Национальная программа подготовки специалистов в области информационной безопасности», в настоящее время США испытывают острую нехватку в квалифицированных специалистах в этой области. В рамках данной программы предполагается создать центры повышения квалификации для изучения передового опыта, ежегодно готовить до 300 специалистов (студентов и аспирантов) на факультетах информационной безопасности, привлекать наиболее подготовленных студентов и старшеклассников для практики с последующим приемом на работу, широко пропагандировать основы информационной безопасности в рамках компьютерной грамотности.

Восьмая программа «Информирование американского общества о необходимости прогресса в информационной безопасности». В сознании большинства американцев еще нет понимания истинного масштаба новых угроз, появившихся как результат внедрения современных информационных технологий. Предполагается ввести в школах изучение этики обращения с информационными и телекоммуникационными ресурсами, тесно сотрудничать с лидерами компьютерной индустрии, сделать пользователей федеральных информационных систем эталоном в знании основ информационной безопасности.

Девятая программа – «Внесение изменений и дополнений в законодательство в интересах программ 1-8». Осуществление всех программ плана в той или иной степени требует координации усилий всех ветвей власти в сфере совершенствования законодательства. Действующий в настоящее время «Закон о компьютерной безопасности», принятый в 1987 г., уже не отвечает современным достижениям в области информационных технологий, поэтому правительство и частный сектор будут совместно искать пути решения проблем в этой области.

Десятая программа – «Обеспечение защиты гражданских свобод всех американцев». Несмотря на всю важность обеспечения безопасности инфраструктуры, на первом плане стоит защита гражданских прав и свобод, гарантированных конституцией.

Продумываются не только сами программы, но и механизмы их проведения в жизнь.

Предполагается ежегодно проводить дискуссии с привлечением представителей правительства, федеральных ведомств, промышленности и частного сектора о положении дел в защите инфраструктуры. Специально созданный наблюдательный совет будет периодически публиковать свои отчеты о соблюдении гражданских прав и свобод в ходе выполнения всех программ плана.

4. Заключение

Краткий обзор программ «Национального плана защиты информационных систем» достаточно наглядно показывает серьезность намерений американской администрации поднять проблему информационной безопасности на новый, общенациональный уровень, сделав фактически каждого члена общества не просто законопослушным гражданином, но и грамотным пользователем информационных ресурсов, беспокоящимся не только о своей личной безопасности, но и безопасности общества в целом.

Информационная безопасность. Ситуация в мире и России

Информационная безопасность (ИБ) является одним из важнейших аспектов интегральной безопасности, на каком бы уровне мы ни рассматривали последнюю – национальном, отраслевом, корпоративном или персональном.

К сожалению, даже согласно официальным данным, состояние информационной безопасности не просто оказывается тревожным, но продолжает быстро ухудшаться.

В марте 1999 года был опубликован очередной, четвертый по счету, годовой отчет «Компьютерная преступность и безопасность-1999: проблемы и тенденции», подготовленный Институтом компьютерной безопасности (США). В отчете констатируется резкий рост числа обращений в правоохранительные органы по поводу компьютерных преступлений (32% из числа опрошенных). Почти треть респондентов сообщили о том, что их информационные системы были взломаны внешними злоумышленниками.

Атакам через Интернет подвергались 57% опрошенных. Более половины отметили нарушения со стороны собственных сотрудников.

Примечательно, что 33% респондентов на вопрос «были ли взломаны ваши Web-серверы и системы электронной коммерции за последние 12 месяцев?» ответили «не знаю».

По данным исследовательского органа конгресса США – GAO, число атак на информационные системы каждый год удваивается. В 1996 финансовом году на федеральные компьютерные системы США было предпринято около 250 тысяч атак, 65% которых (160 тысяч) оказались успешными. Персоналом информационных систем было выявлено лишь 4% успешных атак, из которых только о 27% составили доклады. Таким образом, весьма вероятно, что фактическое положение дел в области информационной безопасности много хуже, чем «официальное», хотя и оно удручает.

Добавим, что постоянно обнаруживаются новые слабости в программном обеспечении и, как следствие, появляются новые способы проведения атак. Так, в информационном письме Национального центра защиты инфраструктуры США (National Infrastructure Protection Center, NIPC) от 21 июля 1999 года сообщается, что за период с 3 по 16 июля 1999 года выявлено девять проблем с ПО, риск использования которых оценивается как средний или высокий (общее число обнаруженных слабостей равно 17). Среди «пострадавших» операционных платформ – почти все разновидности ОС Unix, Windows, MacOS, так что никто не может чувствовать себя спокойно, поскольку новые слабости тут же начинают интенсивно эксплуатироваться.

Нет оснований считать, что Россия менее криминализована или что ее информационные системы обладают большей защищенностью.

В таких условиях системы информационной безопасности должны уметь противостоять многочисленным, разнообразным атакам, ведущимся изнутри и извне, атакам автоматизированным и скоординированным. Иногда нападение длится доли секунды; порой прощупывание слабостей ведется медленно и растягивается на часы, так что подозрительная активность практически незаметна. Целью злоумышленников может быть нарушение доступности, целостности или конфиденциальности.

Информационная безопасность относится к числу дисциплин, развивающихся чрезвычайно быстрыми темпами. Этому способствуют как общий прогресс информационных технологий, так и постоянное противоборство нападающих и защищающихся.

К сожалению, подобная динамичность объективно затрудняет обеспечение надежной защиты. Причин тому несколько:

• повышение быстродействия микросхем, развитие архитектур с высокой степенью параллелизма позволяет методом грубой силы преодолевать барьеры (прежде всего криптографические), ранее казавшиеся неприступными;

• развитие сетей, увеличение числа связей между информационными системами, рост пропускной способности каналов расширяют число злоумышленников, имеющих техническую возможность осуществить нападение;

• появление новых информационных сервисов ведет и к появлению новых угроз как «внутри» сервисов, так и на их стыках;

• конкуренциясредипроизводителейпрограммного обеспечения заставляет сокращать сроки разработки, что ведет к снижению качества тестирования и выпуску продуктов с дефектами защиты;

• навязываемая потребителям парадигма постоянного наращивания аппаратного и программного обеспечения вступает в конфликт с бюджетными ограничениями, из-за чего снижается доля ассигнований на безопасность.

Только комплексный, систематический, современный подход способен успешно противостоять нарастающим угрозам.