Стандарты категорий безопасности информации и информационных систем
Авторы: Donald L. Evans, Phillip J. Bond, Arden L. Bement
Перевод: Никуленко Е. Д.
Источник: http://csrc.nist.gov/publications/fips/fips199/FIPS-PUB-199-final.pdf
Cтр. 5 - 8
Категории информации и информационных систем
Эта публикация устанавливает категории безопасности для информации и информационных систем.
Эти категории основаны на потенциальном влиянии, которое может быть оказано на организацию, с вытекающими последствиями, которые могут угрожать информации и информационным системам, которые являются составными частями функционирования организации, защищают ее интересы, а так же выполняют свои обязательства и ежедневные функции.
Категории безопасности, которые будут использоваться в сочетании с уязвимостями и угрозами информации применяются в оценке риска организации.
Цели безопасности
FISMA определяет три цели для обеспечения безопасности информации и информационных систем:
КОНФИДЕНЦИАЛЬНОСТЬ
«Сохранение уполномоченными лицами ограничения на доступ к информации и раскрытие информации, включая средства для защиты личной жизни и служебной информации ...»
Потеря конфиденциальности - это результат несанкционированного раскрытия информации.
ЦЕЛОСТНОСТЬ
«Защита от неправильной модификации или уничтожения информации, включает в себя обеспечение информационной подлинности ...»
Потери целостности – результат несанкционированной модификации или уничтожения информации.
ДОСТУПНОСТЬ
«Обеспечение своевременного и надежного доступа к информации ...» потери доступности нарушение доступа или использования информации или информационной системы.
Потенциальное влияние на организации и частных лиц
FIPS 199 определяет три уровня потенциального воздействия на организации или отдельных лиц, в результате которых могут быть нарушения безопасности (т. е. потери конфиденциальности, целостности или доступности). Применение этих понятий должно происходить не только в рамках отдельных организации, но и в общих национальных интересах.
Потенциальное воздействия НИЗКОЕ, если потери конфиденциальности, целостности или доступности могут быть прогнозируемы и имеют ограниченное негативное влияние на деятельность самой организации, ее активы или отдельных лиц.
Дополнение: ограниченное негативное влияние означает, что, например, потеря конфиденциальности, целостности или доступности может:
1 - быть причиной деградации организации, которая будет в состоянии выполнять свои основные функции, но эффективность функций заметно уменьшается;
2 - принести незначительный вред активам организации;
3 - принести незначительных финансовых потери;
4 – принести в результате незначительный ущерб физическим лицам.
Потенциальное воздействие УМЕРЕННОЕ, если потери конфиденциальности, целостности или доступности, которые можно предвидеть, окажут серьезное негативное влияние на деятельность организации, ее активы или отдельных лиц.
Дополнение: серьезное негативное влияние означает, что, например, потеря конфиденциальности, целостности или доступности может:
1 - вызывать значительное ухудшение деятельности организации, то есть организация будет в состоянии выполнять свои основные функции, но эффективность функции значительно сокращается;
2 - привести к значительному повреждению активов компании;
3 - привести к значительным финансовым потерям;
4 -нанести значительный ущерб отдельным лицам, который не связан с гибелью людей или получением серьезных травм.
Потенциального воздействия ВЫСОКОЕ, если потери конфиденциальности, целостности или доступности, которые можно предвидеть, имеют серьезное или катастрофическое неблагоприятное влияние на деятельность организации, ее активы или отдельных лиц.
Дополнение: тяжелое или катастрофическое неблагоприятное воздействие означает, что, например, потери конфиденциальности, целостности или доступности может:
1 – быть причиной серьезной деградации организации и продолжительности, после которой организация не в состоянии выполнять какую-либо из своих основных функций;
2 – привести в результате к серьезному ущербу активам организации;
3 – привести к крупным финансовым потерям;
4 – привести к тяжелому или катастрофическому ущербу физическим лицам с гибелью людей или получению серьезных травм.
Классификация безопасности применительно к типам информации
Категория безопасности информации может быть связана как с информацией пользователя, так и с информацией системы и может быть применим к информации в электронной или неэлектронной форме. Она также может быть использована в качестве входных данных при рассмотрении соответствующего класса безопасности информационной системы (см. ниже). Создание соответствующей категории безопасности информации или информационной системы требует определения потенциального воздействия по каждой части системы, которая связанна с определенным типом информации.
Обобщенный формат для выражения категории безопасности (КБ) применительно к типу информации:
КБ информацию о типе = {(конфиденциальность, воздействия), (целостность, воздействия), (доступность, воздействия)},
где допустимые значения для потенциального воздействия являются низкое (низ), умеренное (ум), высокое (выс) или не применимо (н.п).
Пример 1: Организация управления общественной информацией на своем веб-сервере определила, что нету риска потери конфиденциальности (например, требования конфиденциальности не применяются), умеренной потенциальное воздействие от потери целостности, и умеренные потенциальное воздействие от потери доступности. В результате категории безопасности, КБ, эта информация типа выражается как:
КБ общественной информации = {(конфиденциальность, н.п), (целостность, ум), (доступность, ум)}.
Пример 2: организация правоохранительной управления следственной информации определяет, что потенциальное воздействие от потери конфиденциальности высока, потенциальное воздействие от потери целостности является умеренной, и потенциальное воздействие от потери доступности умеренно. В результате категории безопасности, КБ, эта информация типа выражается как:
КБ следственной информации = {(конфиденциальность, выс), (целостность, ум), (доступность, ум)}.
Пример 3: финансовая организация, управляющая рутинной административной информацией ( не конфиденциальность информация) определяет, что риск от потери конфиденциальности низкий, риск от потери целостности тоже низкий, и риск потери доступности тоже низкий. В результате категории безопасности, КБ, эта информация выражается как:
КБ административной информации = {(конфиденциальность, низ), (целостность, низ), (доступность, низ)}.
Классификация безопасности применительно к информационным системам
Определение категории безопасности информационной системы требует несколько более тщательного анализа и должно рассмотреть категории безопасности всех составляющих информации на информационной системы. Для информационной системы риск воздействия, преследующий потерю безопасности какого-либо свойства (конфиденциальность, целостность, доступность) должен иметь высокое значение (например, высокая оценка воды) из числа тех, безопасности категорий, которые были определены для каждого типа информации, присутствующие в информационной системе.
Обобщенная формула для выражения категории безопасности, КБ, из информационной системы:
КБ информационной системы = {(конфиденциальность, воздействия), (целостность, воздействия), (доступность, воздействия)},
где допустимые значения для потенциального воздействия являются низкое, умеренное или высокое.
Отметим, что значение не применимо не может быть отнесено к какой-либо законной цели в контексте создания категории безопасности для информационной системы. Это признание того, что существует низкая минимальная потенциального воздействия (например, отметка уровня малой воды) на потери конфиденциальности, целостности и доступности для информационной системы в связи с фундаментальным требованием для защиты функций на уровне системы обработки и информацию, необходимых для работы информационной системы.
Пример 4: информационная система используется для крупных приобретений в подрядной организации и содержит засекреченные документы, и рутинную административную информацию. В рамках управления подрядная организация определяет, что:
(1) для конфиденциальной засекреченной информации, потенциальное воздействие от потери конфиденциальности умеренное, потенциальное воздействие от потери целостности является умеренным, и потенциальное воздействие от потери доступности низким;
(2) для рутинной административной информации (не конфиденциальной), потенциальное воздействие от потери конфиденциальности низкое, потенциальное воздействие от потери целостности низкое, и потенциальное воздействие от потери доступности низка. В результате категория безопасности, КБ, из этих видов информации выражаются в виде:
КБ засекреченной информация = {(конфиденциальность, ум), (целостность, ум), (доступность, низ)},
КБ административной информации = {(конфиденциальность, низ), (целостность, низ), (доступность, низ)}.
В результате категории безопасности информационной системы выражается в виде:
КБ система сбора = {(конфиденциальность, ум), (целостность, ум), (доступность, низ)},
И представляет максимально возможное значение воздействия на каждую ценную бумагу и информационную систему в целом.
Пример 5: электростанции содержит SCADA (диспетчерское управление и сбор данных) систему управления распределением электроэнергии на большие военные установки. SCADA система содержит как в режиме реального времени данные датчика и административную информации. Управления на электростанции определяет, что:
1 - для датчиков приобретаются системы SCADA, нет потенциальных последствий от потери конфиденциальности, высокий риск от потери целостности, и высокий риск воздействия от потери доступности;
2 - для административной информации, обрабатываемой системой, существует низкий риск от потери конфиденциальности, низкий риск от потери целостности, и низкий риск от потери доступность. В результате категорий безопасности, КБ, из этих видов информации выражаются в виде:
КБ данные датчика = {(конфиденциальность, н. п.), (целостность, выс ), (доступность, выс)},
= > КБ административной информации = {(конфиденциальность, низ), (целостность, низ), (доступность, низ)}.
В результате категория безопасности информационной может быть представлены следующим образом:
КБ SCADA системы = {(конфиденциальность, низ), (целостность, выс), (доступность, выс)},
Представляет максимально возможное значение воздействия на каждую ценную бумагу и информационную систему SCADA в целом. Управление на электростанции выбирает увеличить потенциальное воздействие от потери конфиденциальности от низкого до умеренного отражающие более реалистичное представление о потенциальном воздействии на информационной системы должно ли быть нарушения безопасности из-за несанкционированного раскрытия системного уровня или функции обработки. Последняя категория безопасности информационной системы выражается в виде:
КБ SCADA системы = {(конфиденциальность, средний), (честность, высокий), (наличие, высокий)}.
ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ
Информационные ресурсы: информация и соответствующие ресурсы, такие как персонал, оборудование, средства и информационные технологии.
Информационная безопасность: защита информации и информационных систем от несанкционированного доступа, использования, разглашения, разрушения, модификации или уничтожения в целях обеспечения конфиденциальности, целостности и доступности.
Информационная система: дискретный набор информационных ресурсов, организованной для сбора, обработки, хранения, использования, обмена, распространения или размещения информации.
Информационные технологии: любое оборудование или взаимосвязанная система или подсистема оборудования, которая используется в автоматическом приобретения, хранении, обработке, управлении движением,
управлении, отображении, коммутации, обмене, передаче или приеме данных или информации от органа исполнительной власти.
Тип информации: конкретная категория информации (например, неприкосновенность частной жизни, медицинское, имущественной, финансовой, следственных, подрядчик чувствительны, управление безопасностью), определенная организация, или в некоторых случаях, по конкретным законом,
приказам или регулированиям.
Категория безопасности: характеристика информации или информационной системы на основе оценки потенциального воздействия, что потеря конфиденциальности, целостности или доступности такой информации или информационной системы будет иметь результат на деятельность организации, ее активы отдельных лиц.
Контроль безопасности: управление, эксплуатация и технический контроль (то есть, гарантий или контрмер), предписанные для информационной системы для защиты конфиденциальности, целостности и доступности системы и ее информацию.
Требования к свойствам безопасности: конфиденциальность, целостность и доступность.
В таблице 1 приведены определения потенциальных последствий для каждой ценной бумаги с целью нарушения свойств конфиденциальности, целостности и доступности.
| Цель безопасности | Низкий | Умеренный | Высокий |
| Конфиденциальность. Сохранение уполномоченными лицами ограничений на доступ к информации и раскрытию информации, включая средства для защиты личной жизни и служебной информации | Несанкционированное раскрытие информации: можно ожидать ограниченное негативное влияние на деятельность организации, активы организации или отдельных лиц | Несанкционированное разглашения информации: можно ожидать, что окажет серьезное негативное влияние на деятельность организации, активы организации или отдельных лиц | Несанкционированное раскрытие информации: можно ожидать тяжелое или катастрофическое неблагоприятное влияние на деятельность организации, активы организации или отдельных лиц |
| Целостность. Защита от ненадлежащей модификации или уничтожения, включает в себя обеспечение информационной безотказности и аутентичности | Несанкционированная модификация или уничтожение информации: можно ожидать ограниченное негативное влияние на деятельность организации, активы организации или отдельных лиц | Несанкционированная модификация или уничтожение информации: можно ожидать серьезное негативное влияние на деятельность организации, активы организации или отдельных лиц | Несанкционированная модификация или уничтожение информации: можно ожидать серьезные или катастрофические неблагоприятное влияние на деятельность организации, активы организации или отдельных лиц |
| Доступность. Обеспечение своевременного и надежного доступа и использования информации | Нарушение доступа или использования информации или информационной системы, можно ожидать : ограниченное негативное влияние на деятельность организации, активы организации или отдельных лиц | Нарушение доступа или использования информации или информационной системы, можно ожидать : серьезное негативное влияние на деятельность организации, активы организации или отдельных лиц | Нарушение доступа или использования информации или информационной системы, можно ожидать : серьезные или катастрофические неблагоприятное влияние на деятельность организации, активы организации или отдельных лиц |