Please enable JavaScript.
Coggle requires JavaScript to display documents.
НД ТЗІ 1.1-003-99 — Мороз В.Р. - Coggle Diagram
НД ТЗІ 1.1-003-99 — Мороз В.Р.
Галузь використання
Цей документ установлює терміни і визначення понять у галузі захисту
інформації в комп’ютерних системах від несанкціонованого доступу.
Основні поняття
Обчислювальна система; ОС (computer system) — сукупність програмних-апаратних засобів, призначених для обробки інформації.
Автоматизована система; АС (automated system) — організаційнотехнічна система, що реалізує інформаційну технологію і об’єднує ОС, фізичне середовище, персонал і інформацію, яка обробляється.
Політика безпеки інформації (information security policy) — сукупність законів, правил, обмежень, рекомендацій, інструкцій тощо, які регламентують порядок обробки інформації.
Комплексна система захисту інформації; КСЗІ — сукупність організаційних і інженерних заходів, програмно-апаратних засобів, які забезпечують захист інформації в АС.
Захищена комп’ютерна система; захищена КС (trusted computer system, trusted computer product) — комп’ютерна система, яка здатна забезпечувати захист оброблюваної інформації від певних загроз.
Властивості інформації і загрози
Компрометація (compromise) — порушення політики безпеки; несанкціоноване ознайомлення.
Пропускна здатність прихованого каналу (covert channel bandwidth) — кількість інформації, що одержується використанням прихованого каналу за одиницю часу.
Комп’ютерний вірус (computer virus) — програма, що володіє здатністю до самовідтворення і, як правило, здатна здійснювати дії, які можуть порушити функціонування КС і/або зумовити порушення політики безпеки.
Програмна закладка (program bug) — потайно впроваджена програма або недокументовані властивості програмного забезпечення, використання яких може призвести до обходу КЗЗ і/або порушення політики безпеки.
Люк (trap door) — залишені розробником недокументовані функції, використання яких дозволяє обминути механізми захисту.
Збирання сміття — загроза, що полягає в захопленні і аналізі користувачем або процесом спільно використовуваних об’єктів, звільнених іншим користувачем чи процесом, з метою одержання інформації, що в них знаходиться
Створення і експлуатація захищених систем
Модель загроз (model of threats) — абстрактний формалізований або неформалізований опис методів і засобів здійснення загроз.
Залишковий ризик (residual risk) — ризик, що залишається після впровадження заходів забезпечення безпеки.
Політика безпеки послуги (service security policy) — правила, згідно з якими функціонують механізми, що реалізують послугу.
Рівень послуги (level of service) — міра ефективності і/або стійкості механізмів, що реалізують послугу, відносно до введеної для даної послуги шкали оцінки.
Гарантії (assurance) — сукупність вимог (шкала оцінки) для визначення міри упевненості, що КС коректно реалізує політику безпеки.
Домен КС (domain) — ізольована логічна область КС, що характеризується унікальним контекстом, всередині якої об’єкти володіють певними властивостями, повноваженнями і зберігають певні відносини між собою
Принципи, послуги і механізми забезпечення безпеки
Довірче керування доступом (discretionary access control) — принцип керування доступом, який полягає в тому, що звичайним користувачам дозволено керувати (довіряють керування) потоками інформації між іншими користувачами і об’єктами свого домена (наприклад, на підставі права володіння об’єктами) без втручання адміністратора.
Адміністративне керування доступом (mandatory access control) — принцип керування доступом, який полягає в тому, що керувати потоками інформації між користувачами і об’єктами дозволено тільки спеціально авторизованим користувачам, а звичайні користувачі не мають можливості створити потоки інформації, які могли б призвести до порушення встановлених ПРД.
Довірча конфіденційність (discretionary confidentiality) — послуга, що забезпечує конфіденційність інформації відповідно до принципів довірчого керування доступом.
Адміністративна конфіденційність (mandatory confidentiality) —послуга, що забезпечує конфіденційність інформації відповідно до принципів адміністративного керування доступом.
Повторне використання об’єкта (object reuse) — послуга, що забезпечує очищення пам’яті і призупинення дії повноважень щодо розділюваного об’єкта, який раніше використовувався одним користувачем або процесом, перед наданням його іншому користувачеві або процесу.
Аналіз прихованих каналів (covert channels analyse) — послуга, яка забезпечує гарантію того, що приховані канали в КС відсутні, знаходяться під наглядом або, принаймні, відомі.
Керування потоками (flow control) — сукупність функцій і процедур, які забезпечують неможливість передачі інформації прихованими каналами, тобто в обхід КЗЗ. В більш вузькому значенні часто розуміється сукупність процедур, які забезпечують неможливість передачі інформації від об’єкта КС з більш високим рівнем доступу до об’єкта КС з більш низьким рівнем доступу
Завірення (notarization) — реєстрація даних у довіреної третьої особи з метою забезпечення надалі впевненості в правильності таких характеристик як зміст, джерело даних, час відправлення чи одержання тощо.