Значимость уязвимостей

Подход к доверию

Основные принципы ОК

Парадигма доверия ОК

Область применения

Данная часть ОК определяет требования доверия ОК. Она включает оценочные уровни доверия (ОУД), определяющие шкалу для измерения доверия для составляющих Объектов Оценки (ОО), составные пакеты доверия, определяющие шкалу для измерения доверия для составных Объектов Оценки (ОО), отдельные компоненты доверия, из которых составлены уровни и пакеты доверия, а также критерии для оценки ПЗ и ЗБ.

Цель данного раздела состоит в изложении основных принципов и подходов к установлению доверия к безопасности. Данный раздел позволит понять логическое обоснование требований доверия, приведенных в данной части ОК.

Основные принципы ОК состоят в том, что следует четко сформулировать угрозы безопасности и положения политики безопасности организации, а предложенным мерам безопасности следует быть явно достаточными для достижения намеченной цели.

Более того, следует принять меры по уменьшению вероятности наличия уязвимостей, возможности использования какой-либо уязвимости (т.е. преднамеренного использования или непреднамеренной активизации), а также степени ущерба, который может явиться следствием использования уязвимости. Дополнительно следует предпринять меры для облегчения последующего определения уязвимостей, а также по их устранению, ослаблению и/или оповещению об их использовании или активизации.

Основная концепция ОК – обеспечение доверия, основанное на оценке (активном исследовании) продукта ИТ, который должен быть доверенным. Оценка была традиционным способом обеспечения доверия и являлась основой предшествующих критериев оценки. Для согласования с существующими подходами в ОК принят тот же самый основной принцип. В ОК предполагается, что проверку правильности документации и разработанного продукта ИТ будут проводить опытные оценщики, уделяя особое внимание области, глубине и строгости оценки.

В ОК не отрицаются и не упоминаются относительные достоинства других способов получения доверия. Продолжаются исследования альтернативных путей достижения доверия. Если в результате этих исследований будут выявлены другие отработанные альтернативные подходы, то они могут в дальнейшем быть включены в ОК, который структурно организован так, что предусматривает такую возможность.

Предполагается, что имеются источники угроз, которые будут активно стремиться использовать возможности нарушения политики безопасности, как для получения незаконной выгоды, так и для выполнения незлонамеренных, но, тем не менее, опасных действий. Источники угроз могут также случайно активизировать уязвимости безопасности, нанося вред организации. При необходимости обрабатывать чувствительную информацию и отсутствии достаточно доверенных продуктов имеется значительный риск из-за отказов ИТ. Поэтому вероятно, что нарушения безопасности ИТ могут вызвать значительные потери.

Нарушения безопасности ИТ возникают вследствие преднамеренного использования или случайной активизации уязвимостей при применении ИТ по назначению.

Следует предпринять ряд шагов для предотвращения уязвимостей, возникающих в продуктах ИТ. По возможности уязвимости следует:

a) устранить, т.е. следует предпринять активные действия для выявления, а затем удаления или нейтрализации всех уязвимостей, которые могут быть использованы;

b) минимизировать, т.е. следует предпринять активные действия для уменьшения до допустимого остаточного уровня возможного воздействия от любого использования некоторой уязвимости;

c) отслеживать, т.е. следует предпринять активные действия для обнаружения любой попытки использовать остаточную уязвимость с тем, чтобы можно было предпринять действия по ограничению ущерба.

Дата добавления: 2014-01-15