что значит разграничение и контроль доступа к информации
Разграничение и контроль доступа к информации
Разграничение доступа в автоматизированной системе заключается в разделении информации, циркулирующей в ней, на части и организации доступа к ней должностных лиц в соответствии с их функциональными обязанностями и полномочиями. Задача такого разграничения доступа к информации: сокращение количества должностных лиц, не имеющих к ней отношения при выполнении своих функций, т.е. защита информации от нарушителя среди законных пользователей.
Принимая во внимание, что доступ осуществляется с различных технических средств, начинать разграничение можно путем разграничения доступа к техническим средствам, разместив их в отдельных помещениях. Все подготовительные функции технического обслуживания аппаратуры, ее ремонта, профилактики, перезагрузки программного обеспечения и другие должны быть технически и организационно отделены от основных задач системы. Комплекс средств автоматизации и организация его обслуживания должны быть построены следующим образом:
— техническое обслуживание КСА в процессе эксплуатации должно выполняться специальным техническим персоналом без доступа к информации, подлежащей защите;
— перезагрузка программного обеспечения и его изменения должны производиться выделенным для этой цели проверенным специалистом;
— функции обеспечения безопасности информации должны выполняться специальным подразделением в организации-владельце КСА, вычислительной сети или АСУ;
— организация доступа пользователей к памяти КСА должна обеспечивать возможность разграничения доступа к информации, хранящейся в ней, с достаточной степенью детализации и в соответствии с заданными уровнями полномочий пользователей;
— регистрация и документирование технологической и оперативной информации должны быть разделены.
Разграничение доступа пользователей может осуществляться также по следующим параметрам:
— виду, характеру, назначению, степени важности и секретности информации;
— способам ее обработки: считать, записать, внести изменения, выполнить команду;
— условному номеру терминала;
— времени обработки и др.
Руководящий документ
Утверждено решением председателя Гостехкомиссии России от 30 марта 1992 г.
Настоящий руководящий документ устанавливает термины и определения понятий в области защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации.
Установленные термины обязательны для применения во всех видах документации.
Для каждого понятия установлен один термин. Применение синонимов термина не допускается.
Для отдельных терминов даны (в скобках) краткие формы, которые разрешается применять в случаях, исключающих возможность их различного толкования.
Для справок приведены иностранные эквиваленты русских терминов на английском языке, а также алфавитные указатели терминов на русском и английском языках.
1. Термины и определения
1. Доступ к информации
(Доступ)
Access to information
Ознакомление с информацией, ее обработка, в частности, копирование модификация или уничтожение информации
2. Правила разграничения доступа
(ПРД)
Security policy
Совокупность правил, регламентирующих права доступа субъектов доступа к объектам доступа
3. Санкционированный доступ к информации
Authorized access to information
Доступ к информации, не нарушающий правила разграничения доступа
4. Несанкционированный доступ к информации
(НСД)
Unauthorized access to information
Доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами.
Примечание. Под штатными средствами понимается совокупность программного, микропрограммного и технического обеспечения средств вычислительной техники или автоматизированных систем
5. Защита от несанкционированного доступа
(Защита от НСД)
Protection from unauthorized access
Предотвращение или существенное затруднение несанкционированного доступа
6. Субъект доступа
(Субъект)
Access subject
Лицо или процесс, действия которого регламентируются правилами разграничения доступа
7. Объект доступа
(Объект)
Access object
Единица информационного ресурса автоматизированной системы, доступ к которой регламентируется правилами разграничения доступа
8. Матрица доступа
Access matrix
Таблица, отображающая правила разграничения доступа
9. Уровень полномочий субъекта доступа
Subject privilege
Совокупность прав доступа субъекта доступа
10. Нарушитель правил разграничения доступа
(Нарушитель ПРД)
Security policy violator
Субъект доступа, осуществляющий несанкционированный доступ к информации
11. Модель нарушителя правил разграничения доступа
(Модель нарушителя ПРД)
Security policy violator’s model
Абстрактное (формализованное или неформализованное) описание нарушителя правил разграничения доступа
12. Комплекс средств защиты
(КСЗ)
Trusted computing base
Совокупность программных и технических средств, создаваемая и поддерживаемая для обеспечения защиты средств вычислительной техники или автоматизированных систем от несанкционированного доступа к информации
13. Система разграничения доступа
(СРД)
Security policy realization
Совокупность реализуемых правил разграничения доступа в средствах вычислительной техники или автоматизированных системах
14. Идентификатор доступа
Access identifier
Уникальный признак субъекта или объекта доступа
15. Идентификация
Identification
Присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов
16. Пароль
Password
Идентификатор субъекта доступа, который является его (субъекта) секретом
17. Аутентификация
Authentication
Проверка принадлежности субъекту доступа предъявленного им идентификатора; подтверждение подлинности
18. Защищенное средство вычислительной техники
(защищенная автоматизированная система)
Trusted computer system
Средство вычислительной техники (автоматизированная система), в котором реализован комплекс средств защиты
19. Средство защиты от несанкционированного доступа
(Средство защиты от НСД)
Protection facility
Программное, техническое или программно-техническое средство, предназначенное для предотвращения или существенного затруднения несанкционированного доступа
20. Модель защиты
Protection model
Абстрактное (формализованное или неформализованное) описание комплекса программно-технических средств и (или) организационных мер защиты от несанкционированного доступа
21. Безопасность информации
Information security
Состояние защищенности информации, обрабатываемой средствами вычислительной техники или автоматизированной системы, от внутренних или внешних угроз
22. Целостность информации
Information integrity
Способность средства вычислительной техники или автоматизированной системы обеспечивать неизменность информации в условиях случайного и (или) преднамеренного искажения (разрушения)
23. Конфиденциальная информация
Sensitive information
Информация, требующая защиты
24. Дискреционное управление доступом
Discretionary access control
Разграничение доступа между поименованными субъектами и поименованными объектами. Субъект с определенным правом доступа может передать это право любому другому субъекту
25. Мандатное управление доступом
Mandatory access control
Разграничение доступа субъектов к объектам, основанное на характеризуемой меткой конфиденциальности информации, содержащейся в объектах, и официальном разрешении (допуске) субъектов обращаться к информации такого уровня конфиденциальности
26. Многоуровневая защита
Multilevel secure
Защита, обеспечивающая разграничение доступа субъектов с различными правами доступа к объектам различных уровней конфиденциальности
27. Концепция диспетчера доступа
Reference monitor concept
Концепция управления доступом, относящаяся к абстрактной машине, которая посредничает при всех обращениях субъектов к объектам
28. Диспетчер доступа
(ядро защиты)
Security kernel
Технические, программные и микропрограммные элементы комплекса средств защиты, реализующие концепцию диспетчера доступа
29. Администратор защиты
Security administrator
Субъект доступа, ответственный за защиту автоматизированной системы от несанкционированного доступа к информации
30. Метка конфиденциальности
(Метка)
Sensitivity label
Элемент информации, который характеризует конфиденциальность информации, содержащейся в объекте
31. Верификация
Verification
Процесс сравнения двух уровней спецификации средств вычислительной техники или автоматизированных систем на надлежащее соответствие
32. Класс защищенности средств вычислительной техники (автоматизированной системы)
Protection class of computer systems
Определенная совокупность требований по защите средств вычислительной техники (автоматизированной системы) от несанкционированного доступа к информации
33. Показатель защищенности средств вычислительной техники
(Показатель защищенности)
Protection criterion of computer systems
Характеристика средств вычислительной техники, влияющая на защищенность и описываемая определенной группой требований, варьируемых по уровню, глубине в зависимости от класса защищенности средств вычислительной техники
34. Система защиты секретной информации
(СЗСИ)
Secret information security system
Комплекс организационных мер и программно-технических (в том числе криптографических) средств обеспечения безопасности информации в автоматизированных системах
35. Система защиты информации от несанкционированного доступа
(СЗИ НСД)
System of protection from unauthorized access to information
Комплекс организационных мер и программно-технических (в том числе криптографических) средств защиты от несанкционированного доступа к информации в автоматизированных системах
36. Средство криптографической защиты информации
(СКЗИ)
Cryptographic information protection facility
Средство вычислительной техники, осуществляющее криптографическое преобразование информации для обеспечения ее безопасности
37. Сертификат защиты
(Сертификат)
Protection certificate
Документ, удостоверяющий соответствие средства вычислительной техники или автоматизированной системы набору определенных требований по защите от несанкционированного доступа к информации и дающий право разработчику на использование и (или) распространение их как защищенных
38. Сертификация уровня защиты
(Сертификация)
Protection level certification
Процесс установления соответствия средства вычислительной техники или автоматизированной системы набору определенных требований по защите
2. Алфавитный указатель терминов на русском языке
Дискреционное управление доступом
Доступ к информации
Защита от несанкционированного доступа
Защищенное средство вычислительной техники (защищенная автоматизированная система)
Класс защищенности средств вычислительной техники (автоматизированной системы)
Комплекс средств защиты
Концепция диспетчера доступа
Мандатное управление доступом
Модель нарушителя правил разграничения доступа
Нарушитель правил разграничения доступа
Несанкционированный доступ к информации
Показатель защищенности средств вычислительной техники
Правила разграничения доступа
Санкционированный доступ к информации
Сертификация уровня защиты
Система защиты информации от несанкционированного доступа
Система защиты секретной информации
Система разграничения доступа
Средство защиты от несанкционированного доступа
Средство криптографической защиты информации
Уровень полномочий субъекта доступа
3. Алфавитный указатель терминов на английском языке
Access to information
Authorized access to information
Cryptographic information protection facility
Discretionary access control
Mandatory access control
Protection class of computer systems
Protection criterion of computer systems
Protection from unauthorized access
Protection level certification
Reference monitor concept
Secret information security system
Security policy realization
Security policy violator
Security policy violator’s model
System of protection from unauthorized access to information
Политики управления правами доступа
Аудит и классификация данных
на базе системы
Г рамотное построение политики управления данными предусматривает не только их рациональное хранение и обработку, но и обеспечение эффективной информационной безопасности. Из-за того, что сегодня практически любая информация, которая применяется в работе компаний, используется в электронном виде, она становится более уязвимой к различным угрозам.
Внешние угрозы вынуждают организации обеспечивать грамотное управление доступом и защищать корпоративную информацию от различных способов хищения извне. Во избежание внутренних угроз компаниям следует обеспечить ограничение доступа к важной информации для своих же сотрудников.
На сегодня существует огромное разнообразие специального программного обеспечения, с помощью которого легко настраивать и управлять правами пользователей всех компьютеров, подключенных к общей сети, начиная от первичной авторизации и заканчивая управлением правами в прикладных приложениях. Система, с помощью которой осуществляется управление базой данных, используется для разграничения доступа к любым сведениям, и, к примеру, если одни пользователи могут только читать определенные файлы, другие смогут их добавлять, удалять или редактировать.
Какими бывают политики управления доступом к данным
Существует широчайшее разнообразие политик, которые могут использоваться для управления доступом к корпоративной информации.
Сегодня наиболее распространены следующие:
1. Избирательное управление доступом. В основе данной политики лежит применение матрицы доступа, в соответствии с которой по одному измерению назначаются субъекты доступа, а по другому устанавливается перечень объектов, к которым они могут получить доступ. На пересечении определенных столбцов и строк прописывается перечень прав, которые имеет субъект по отношению к тому или иному объекту. Регулировать их может собственник объекта или пользователь, имеющий соответствующие полномочия, то есть администратор БД или системный администратор.
2. Мандатное управление доступом. В основе этой техники лежит назначение грифов доступа различным объектам, а также выдача субъектам разрешений на то, чтобы отправлять запросы к информации с грифами, благодаря чему защищаемые сведения не могут использоваться посторонними лицами. Этот подход основывается на принципах традиционного делопроизводства, в котором документы отправлялись в специальные папки, отмеченные как «Секретно», «Для служебного пользования» и подобным образом.
3. Ролевое управление доступом. Данная политика предусматривает модернизированную версию избирательной. Предусматривает группировку прав доступа нескольких субъектов, за счет чего появляются своеобразные роли, то есть определенная совокупность прав доступа. Благодаря этому значительно упрощается процедура назначения прав, выдаваемых сразу большому количеству пользователей, а также возможность их удобной корректировки по необходимости. Благодаря этому уполномоченные сотрудники компании могут в любой момент усовершенствовать текущую политику информационной безопасности компании.
На практике в большинстве современных организаций используется комбинация из перечисленных политик управления доступом.
Принципы управления политикой доступа
Настраивая права доступа, нужно отталкиваться от используемого принципа разграничения этих прав. Если права доступа будут настроены некорректно, в дальнейшем можно столкнуться с проблемами при попытке использования функционала программы.
Стандартные принципы разграничения выглядят следующим образом:
1. «Разрешить все». Пользователи могут управлять файлами в папке или директории как угодно вне зависимости от политики доступа. Все пользователи, подключенные к сети, могут без каких-либо ограничений пользоваться документами. Также им не требуется предварительная проверка для получения доступа.
2. «Запретить все». Запрещается выполнять какие-либо манипуляции в независимости от того, какая используется политика доступа. Устанавливая такое правило, администратор запрещает всем пользователям запускать функционал программы, работать в системе, и в дальнейшем выполнять любые манипуляции с ней сможет только он сам.
3. «Запретить, если не разрешено». Пользователь не может выполнять любые манипуляции, если на них предварительно ему не было выдано соответствующее разрешение.
4. «Разрешить, если не запрещено». Пользователь может выполнять любые манипуляции с данными, если на них не было установлено конкретных ограничений.
В первых двух случаях система даже не будет пытаться вычислять политику, так как вне зависимости от ее типа будет использоваться определенное разграничение прав, предусматривающие наложение запрета на всех или же, наоборот, выдачу разрешения на проведение любых манипуляций.
Два последних принципа предусматривают первоначальный отбор политик, которые могут применяться в указанном контексте. После чего проводятся вычисления и комбинируются ответы для того чтобы вынести окончательное решение касательно возможности реализации запроса пользователя в соответствии с политикой разграничения. Под вычислением политики в данном случае предусматривается вычисление всех ее комбинаций и правил, отталкиваясь от установленного алгоритма комбинации.
В результате вычисления тех или иных правил в итоге может быть вынесено одно из четырех решений:
Комбинации правил
Для того чтобы упростить работу системы и дальнейшее управление ее работой, можно использовать специальные алгоритмы для построения комбинации правил.
Они могут быть следующими:
1. «Запретить, если все запретили». Использование этой политики предусматривает наложение запрета на реализацию запроса пользователя в том случае, если после вычисления всех правил было вынесено решение о запрете. В противном случае пользователь сможет получить доступ к данным.
2. «Разрешить, если все разрешили». Обратный вариант, при котором пользователю предоставляется доступ к информации только в том случае, если соответствующее решение будет вынесено при вычислении каждого из правил, а в противном случае ему откажут в доступе.
3. «Запретить, если не разрешено». В таком случае запрет на получение доступа к информации пользователю отправляется только в том случае, если ни одно из вычислений правил не дало результата «Разрешить». В противном случае он может получить данные.
4. «Разрешить, если не запрещено». Пользователь получает доступ к информации только в том случае, если ни одно из вычислений правил не дало результата «Запретить». В противном случае ему отравляется отказ.
5. «Запретить, если один запретил». Пользователю не дается возможности воспользоваться данными, если решение о запрете было вынесено при вычислении хотя бы одного из правил. В противном случае ему предоставляется доступ или устанавливается статус «Не определено» или «Неприменимо», если такой результат был получен при вычислении хотя бы одного или всех правил.
6. «Разрешить, если один разрешил». Пользователь получает доступ к информации, если соответствующее решение будет вынесено в результате вычисления хотя бы одного из правил. В противном случае ему не предоставляется доступ или устанавливается статус «Не определено» или «Неприменимо», если такой результат был получен при вычислении хотя бы одного или всех правил.
7. «Первое применимое». Решение о предоставлении доступа или отказе в нем пользователю выносится на основании первого результата вычисления правила, который не будет относиться к «Неприменимо».
Организация контроля за доступом к данным является одной из важнейших задач любой развивающейся компании. Создание надежных политик и автоматизированный мониторинг работы персонала защищает организацию от потери информации.
ПОПРОБУЙТЕ «СЁРЧИНФОРМ FILEAUDITOR»!
Полнофункциональное ПО без ограничений по пользователям и функциональности.
Что значит разграничение и контроль доступа к информации
Статья 8. Право на доступ к информации
2. Гражданин (физическое лицо) имеет право на получение от государственных органов, органов местного самоуправления, их должностных лиц в порядке, установленном законодательством Российской Федерации, информации, непосредственно затрагивающей его права и свободы.
3. Организация имеет право на получение от государственных органов, органов местного самоуправления информации, непосредственно касающейся прав и обязанностей этой организации, а также информации, необходимой в связи с взаимодействием с указанными органами при осуществлении этой организацией своей уставной деятельности.
4. Не может быть ограничен доступ к:
1) нормативным правовым актам, затрагивающим права, свободы и обязанности человека и гражданина, а также устанавливающим правовое положение организаций и полномочия государственных органов, органов местного самоуправления;
2) информации о состоянии окружающей среды (экологической информации);
(п. 2 в ред. Федерального закона от 09.03.2021 N 39-ФЗ)
(см. текст в предыдущей редакции)
3) информации о деятельности государственных органов и органов местного самоуправления, а также об использовании бюджетных средств (за исключением сведений, составляющих государственную или служебную тайну);
4) информации, накапливаемой в открытых фондах библиотек, музеев, а также в государственных, муниципальных и иных информационных системах, созданных или предназначенных для обеспечения граждан (физических лиц) и организаций такой информацией;
(в ред. Федерального закона от 02.12.2019 N 427-ФЗ)
(см. текст в предыдущей редакции)
4.1) информации, содержащейся в архивных документах архивных фондов (за исключением сведений и документов, доступ к которым ограничен законодательством Российской Федерации);
(п. 4.1 введен Федеральным законом от 02.12.2019 N 427-ФЗ)
5) иной информации, недопустимость ограничения доступа к которой установлена федеральными законами.
5. Государственные органы и органы местного самоуправления обязаны обеспечивать доступ, в том числе с использованием информационно-телекоммуникационных сетей, в том числе сети «Интернет», к информации о своей деятельности на русском языке и государственном языке соответствующей республики в составе Российской Федерации в соответствии с федеральными законами, законами субъектов Российской Федерации и нормативными правовыми актами органов местного самоуправления. Лицо, желающее получить доступ к такой информации, не обязано обосновывать необходимость ее получения.
(в ред. Федерального закона от 27.07.2010 N 227-ФЗ)
(см. текст в предыдущей редакции)
6. Решения и действия (бездействие) государственных органов и органов местного самоуправления, общественных объединений, должностных лиц, нарушающие право на доступ к информации, могут быть обжалованы в вышестоящий орган или вышестоящему должностному лицу либо в суд.
7. В случае, если в результате неправомерного отказа в доступе к информации, несвоевременного ее предоставления, предоставления заведомо недостоверной или не соответствующей содержанию запроса информации были причинены убытки, такие убытки подлежат возмещению в соответствии с гражданским законодательством.
8. Предоставляется бесплатно информация:
1) о деятельности государственных органов и органов местного самоуправления, размещенная такими органами в информационно-телекоммуникационных сетях;
2) затрагивающая права и установленные законодательством Российской Федерации обязанности заинтересованного лица;
3) иная установленная законом информация.
9. Установление платы за предоставление государственным органом или органом местного самоуправления информации о своей деятельности возможно только в случаях и на условиях, которые установлены федеральными законами.