Объединенная экспертная группа по инициативе преобразования



страница33/48
Дата09.05.2018
Размер6.15 Mb.
1   ...   29   30   31   32   33   34   35   36   ...   48




КОРРЕКТИРОВКА БАЗОВЫХ НАБОРОВ МЕР БЕЗОПАСНОСТИ

РАЗМЕЩЕНИЕ МЕР БЕЗОПАСНОСТИ И ПРИСВОЕНИЕ ПРИОРИТЕТНЫХ КОДОВ УПОРЯДОЧИВАНИЯ

С каждой версией SP 800-53, с базовыми мерами безопасности могут происходить незначительные корректировки, включая, например, размещение дополнительных мер безопасности и/или улучшений мер безопасности, устранение выбранных меры безопасности/улучшений и изменение приоритетных кодов упорядочивания (P-кодов). Эти изменения отражают: (i) продолжающееся получение и анализ информации об угрозах; (ii) периодическая перепроверка начальных предположений, которые генерировали базовые наборы мер безопасности; (iii) стремление обобщить начальные базовые наборы мер безопасности для систем национальной безопасности и не относящихся к национальной безопасности, чтобы достигнуть сходимости для всего сообщества (полагаясь впоследствии на частные оверлеи, чтобы описать любые корректировки от общих начальных наборов); и (iv) периодическая переоценка приоритетных кодов, чтобы соответственно сбалансировать рабочую нагрузку по реализации мер безопасности. Со временем, поскольку каталог меры безопасности расширяется, чтобы соответствовать продолжающимся вызовам со стороны динамичного и растущего пространства угрозы, которое становится все более и более сложным, организации придут к тому, чтобы полагаться в намного большей степени на оверлеи, для обеспечения необходимой специализации их планов обеспечения безопасности.




ПРИЛОЖЕНИЕ E

ДОВЕРИЕ И ДОВЕРЕННОСТЬ

МЕРЫ УВЕРЕННОСТИ В БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ СИСТЕМ


Доверие к безопасности - критический аспект в определении доверенности информационных систем. Доверие - мера уверенности в том, что функции безопасности, возможности, методы, политики, процедуры, механизмы и архитектура информационных систем организации точно интерпретируют и проводят в жизнь установленные политики безопасности.94 Цель этого приложения:

Поощрять организации включать требования доверия в приобретение информационных систем, системных компонентов и сервисов;

Поощрять разработчиков аппаратных средств, программного обеспечения и встроенного микропрограммного обеспечения использовать такие методы разработки, результат которых выражался бы в более доверенных продуктах и системах информационных технологий;

Поощрять организации идентифицировать, выбирать и использовать продукты информационных технологий, которые были созданы с соответствующими уровнями доверия и использовать правильные системы и инженерные технологии и методы обеспечения безопасности в течение процесса жизненного цикла разработки систем;

Уменьшать риск информационной безопасности, развертывая более доверенные продукты информационных технологий в критических информационных системах или системных компонентах; и

Поощрять разработчиков и организации получать на непрерывной основе свидетельства доверия для того, чтобы поддерживать доверенность информационных систем.

Минимальные требования безопасности для федеральной информации и информационных систем определены в FIPS публикации 200. Эти требования могут быть удовлетворены путем выбора, адаптации, реализации и получения свидетельств доверия для мер безопасности в низком, умеренном или высоком базовых наборах мер в Приложении D.95 Базовые наборы включают также связанные с доверием меры безопасности для минимальных требований доверия, которые применимы в общем к федеральной информации и информационным системам.96 Однако, рассматривая текущее пространство угроз и увеличивающийся риск к деятельности и активам организаций, людям, другим организациям и Нации, которую несут постоянные совершенствующиеся угрозы (APT), организации могут хотеть реализовать дополнительные, связанные с доверием, меры безопасности из Приложения F. Эти дополнительные меры безопасности могут быть выбраны, основываясь на руководстве по адаптации, представленном в Разделе 3.2. Организации могут также рассмотреть разработку оверлеев высокого доверия для критических функций предназначения/деятельности, специализированных сред эксплуатации и/или информационных технологий (см. Раздел 3.3 и Приложение I). Когда связанные с доверием меры безопасности не могут быть удовлетворены, организации могут предложить компенсирующие мер безопасности (например, процедурные/эксплуатационные решения, компенсирующие недостаточные решения, основанные на технологиях) или принять больший уровень риска относительно фактически достигнутых возможностей безопасности.


Новый взгляд на доверие

Несмотря на то, что предыдущие версии Специальной публикации 800-53 содержали минимальные требования доверия, фокус был на высокоуровневых, более абстрактных требованиях, применяемых к низкому, умеренному и высокому базовым наборам мер. Этот пересмотр использует фундаментально отличный подход к доверию, определяя конкретные, связанные с доверием меры безопасности в Приложении F, которые могут быть реализованы организациями, основываясь на категорировании безопасности их информационных систем - создавая требования доверия более практичные и обеспечивающие возможности для повышения уровней доверия, основываясь на потребностях предназначения и деятельности, текущих/перспективных угрозах, конкретных средах эксплуатации или использовании новых технологий. Идентификация конкретных связанных с доверием мер обеспечения в низком, умеренном и высоком базовых наборах мер в легко читаемых таблицах (Таблицы E-1, E-2, E-3) помогает организациям быстро определить меры безопасности, необходимые, чтобы удовлетворить минимальные требования доверия. Дополнительные связанные с доверием меры безопасности в Таблице E-4 предоставляют организациям специфический язык для использования в приобретениях, нацеленный на разработчиков информационных систем, системных компонентов и сервисов информационных систем. Меры безопасности определяют конкретные методологии, технологии, проектные и архитектурные соображения, а так же проверенные системные и инженерные принципы обеспечения безопасности, чтобы существенно улучшить качество компонентов аппаратных средств, программного обеспечения и встроенного микропрограммного обеспечения, которые будут интегрированы в информационные системы организаций или критическую инфраструктуру. Выделение связанных с доверием мер безопасности не предназначено, чтобы подразумевать более важный уровень для таких мер безопасности. Достижение адекватной безопасности для информационных систем организаций требует корректной комбинации и функциональных и связанных с доверием мер безопасности. Только понимая важность концепции доверия и распознавая то, какие меры безопасности более ориентированы на доверие относительно более ориентированных на функциональность, организации смогут выбирать самую соответствующую комбинацию мер безопасности, чтобы защитить их деятельность и активы, людей, другие организации и Нацию.



Следующие разделы обеспечивают описание связанных с доверием мер безопасности, которые включены в каждый из базовых наборов мер безопасности в Приложении D. Критерии для определения того, связана ли мера безопасности с доверием или связана с функциональностью, основаны на полных характеристиках меры безопасности. В общем, связанные с доверием меры безопасности, это меры, которые: (i) определяют процессы, процедуры, технологии или методологии проектирования и разработки информационных систем и системных компонентов (то есть, аппаратных средств, программного обеспечения, встроенного микропрограммного обеспечения); (ii) обеспечивают процессы, поддерживающие деятельность, включая улучшение качества систем/компонентов/процессов; (iii) предоставляют свидетельство безопасности действий, связанных с разработкой или эксплуатацией; (iv) определяют эффективность мер безопасности или риски (например, аудит, тестирование, оценка, анализ, определение, проверка, подтверждение соответствия, мониторинг); или (v) улучшают квалификацию, знания и понимание персонала (например, освоение/обучение безопасности, обучение реакции на инциденты, обучение действиям в чрезвычайных ситуациях).

Меры безопасности могут быть определены как меры связанные с доверием, даже когда меры безопасности выражают некоторые функциональные характеристики или свойства (например, SI-4, Мониторинг информационной системы). Различие между функциональностью и доверием менее важно, когда описываются связанные с доверием меры безопасности в базовых наборах - прежде всего, потому что меры безопасности в трех базовых наборах после применения процесса адаптации становятся частью планов обеспечения безопасности для информационных систем и для организаций.97 Однако различие становится более важным, когда организации используют вариант выбора дополнительных мер безопасности, чтобы увеличить уровень доверия (или степень уверенности) в функциональности безопасности и возможностях безопасности.



Минимальные требования доверия - Системы низкого уровня воздействия

Требование доверия: Организация, базируясь на ее требования безопасности, политику безопасности и необходимые возможности безопасности, ожидает: (i) ограниченную стойкость функциональности безопасности; и (ii) ограниченный уровень уверенности, поддержанный глубиной и покрытием соответствующего свидетельства безопасности, что функциональность безопасности полна, непротиворечива и корректна.

Дополнительное руководство: Функциональность и доверие к безопасности для систем низкого уровня воздействия достигаются реализацией мер безопасности адаптированного базового набора мер низкого уровня из Приложении D. Требования доверия для систем низкого воздействия (включая компоненты информационной технологии, которые являются частью этих систем), соответствуют тому, что легко достижимо с не модифицируемыми, коммерческими серийными (COTS) продуктами и услугами. Вследствие ограниченной стойкости функциональности, ожидаемой для систем низкого воздействия, глубина/покрытие свидетельства безопасности98 является минимальной и не ожидается, что будет больше чем то, что обычно обеспечивается производителями, поставщиками и торговыми посредниками COTS. Свидетельство глубины/покрытия далее дополняется результатами оценок мер безопасности и постоянным мониторингом информационных систем организации и сред, в которых работают системы. Помимо основанной на технологии функциональности, акцент делается на ограниченный уровень уверенности в законченности, корректности и согласованности процедурной и/или эксплуатационной функциональности безопасности (например, политик, процедур, физической безопасности и безопасности персонала). Требования доверия, определенные в форме связанных с разработкой и эксплуатационных мер обеспечения доверия для систем низкого уровня воздействия, перечислены в Таблице E-1. Организации, посредством процесса адаптации (включая оценку риска организации), могут добавлять другие связанные с доверием меры безопасности и/или улучшения мер безопасности к набору, включенному в Таблицу E-1.

ТАБЛИЦА E-1: СВЯЗАННЫЕ С ДОВЕРИЕМ МЕРЫ БЕЗОПАСНОСТИ ДЛЯ СИСТЕМ НИЗКОГО УРОВНЯ ВОЗДЕЙСТВИЯ99

ID

МЕРЫ БЕЗОПАСНОСТИ

ID

МЕРЫ БЕЗОПАСНОСТИ

AC

AC-1

MP

MP-1

AT

AT-1, AT-2, AT-3, AT-4

PE

PE-1, PE-6, PE-8

AU

AU-1, AU-6

PL

PL-1, PL-2, PL-4

CA

CA-1, CA-2, CA-3, CA-5, CA-6, CA-7, CA-9

PS

PS-1, PS-6, PS-7

CM

CM-1, CM-2, CM-4, CM-8

RA

RA-1, RA-3, RA-5

CP

CP-1, CP-3, CP-4

SA

SA-1, SA-2, SA-3, SA-4, SA-4(10), SA-5, SA-9

IA

IA-1

SC

SC-1, SC-39

IR

IR-1, IR-2, IR-5

SI

SI-1, SI-4, SI-5

MA

MA-1



Минимальные требования доверия - Системы умеренного уровня воздействия

Требование доверия: Организация, базируясь на ее требования безопасности, политику безопасности и необходимые возможности безопасности, ожидает: (i) умеренную стойкость функциональности безопасности; и (ii) умеренный уровень уверенности, поддержанный глубиной и покрытием соответствующего свидетельства безопасности, что функциональность безопасности полна, непротиворечива и корректна.

Дополнительное руководство: Функциональность и доверие безопасности для систем умеренного уровня воздействия достигаются реализацией мер безопасности адаптированного базового набора мер умеренного уровня из Приложении D. Требования доверия для систем умеренного воздействия (включая компоненты информационной технологии, которые являются частью этих систем), добавляют к ожиданиям в низком уровне доверия: (i) включение функциональности безопасности COTS с большей стойкостью механизмов и возможностями чем стойкость механизмов и возможности, достигнутые в системах низкого воздействия; (ii) требование, возможно, некоторых специальных разработок; (iii) установление более безопасных параметров конфигурации; и (iv) требование некоторой дополнительной оценки реализованных возможностей. Вследствие умеренной стойкости функциональности, ожидаемой для систем умеренного воздействия, глубина/покрытие свидетельства безопасности100 является более существенной, чем минимального свидетельства, произведенного для систем низкого воздействия, но тем не менее в масштабе того, что обеспечивается производителями, поставщиками и торговыми посредниками COTS. Свидетельство глубины/покрытия далее дополняется результатами дополнительных оценок мер безопасности и постоянным мониторингом информационных систем организации и сред, в которых работают системы. Помимо основанной на технологии функциональности, акцент делается на умеренный уровень уверенности в законченности, корректности и согласованности процедурной и/или эксплуатационной функциональности безопасности (например, политик, процедур, физической безопасности и безопасности персонала). Требования доверия, определенные в форме связанных с разработкой и эксплуатационных мер доверия для систем умеренного уровня воздействия, перечислены в Таблице E-2. Организации, посредством процесса адаптации (включая оценку риска организации), могут добавлять другие связанные с доверием меры безопасности и/или улучшения мер к набору, включенному в Таблицу E-2.

ТАБЛИЦА E-2: СВЯЗАННЫЕ С ДОВЕРИЕМ МЕРЫ БЕЗОПАСНОСТИ ДЛЯ СИСТЕМ УМЕРЕННОГО УРОВНЯ ВОЗДЕЙСТВИЯ101

ID

МЕРЫ БЕЗОПАСНОСТИ

ID

МЕРЫ БЕЗОПАСНОСТИ

AC

AC-1

MP

MP-1

AT

AT-1, AT-2, AT-2(2), AT-3, AT-4

PE

PE-1, PE-6, PE-6(1), PE-8

AU

AU-1, AU-6, AU-6(1), AU-6(3), AU-7, AU-7(1)

PL

PL-1, PL-2, PL-2(3), PL-4, PL-4(1), PL-8

CA

CA-1, CA-2, CA-2(1), CA-3, CA-5, CA-6, CA-7, CA-7(1), CA-9

PS

PS-1, PS-6, PS-7

CM

CM-1, CM-2, CM-2(1), CM-2(3), CM-2(7), CM-3, CM-3(2), CM-4, CM-8, CM-8(1), CM-8(3), CM-8(5)

RA

RA-1, RA-3, RA-5, RA-5(1), RA-5(2), RA-5(5)

CP

CP-1, CP-3, CP-4, CP-4(1)

SA

SA-1, SA-2, SA-3, SA-4, SA-4(1), SA-4(2), SA-4(9), SA-4(10), SA-5, SA-8, SA-9, SA-9(2), SA-10, SA-11

IA

IA-1

SC

SC-1, SC-2, SC-39

IR

IR-1, IR-2, IR-3, IR-3(2), IR-5

SI

SI-1, SI-4, SI-4(2), SI-4(4), SI-4(5), SI-5, SI-7, SI-7(1), SI-7(7), SI-10, SI-16

MA

MA-1



Поделитесь с Вашими друзьями:
1   ...   29   30   31   32   33   34   35   36   ...   48


База данных защищена авторским правом ©vossta.ru 2019
обратиться к администрации

    Главная страница