ГОСТ ISO/TS 22600-3—2013
А.5.9 Отделение функций безопасности от логики бизнес-процессов
При конструировании базовой инфраструктуры управления привилегиями необходимо проводить различия
между применением политики безопасности и логики бизнес-процессов. Насаждение этой логики инфраструктуре
управления привилегиями может привести к ослаблению безопасности системы и к ухудшению архитектуры и не
обеспечивает выделения точно описанных ролей безопасности. Поэтому по возможности необходимо отделять и
изолировать программный код приложений безопасности и приложений логики бизнес-процессов. Такое отделе
ние существенно помогает разработчикам системы безопасности определять периметры безопасности, гаранти
ровать. что изменения в логике бизнес-процессов не воздействуют на программный кодприложений безопасности, и
сертифицировать безопасность системы.
Отделение функций безопасности от логики бизнес-процессов может оказаться затруднительным. В общем
случае доступ к ресурсу в рамках логики бизнес-процесса организован в виде взаимодействия с совокупностью
ресурсов, к которым пользователю разрешендоступ.Логика функций безопасности можетбыть идентифицирована с
помощью описанных далее критериев.
Целесообразно рассмотреть следующие факторы:
- изменение категории конфиденциальности (например, преобразование конфиденциальной информации в
неконфиденциальную).
- необходимые уровни конфиденциальности, целостности идоступности данных;
- применение принципов минимально необходимых привилегий, необходимости знания информации для
выполнения служебных обязанностей, запретов совмещения обязанностей;
- нормативные акты и организационно-распорядительные документы, регулирующие вопросы безопас
ности.
А.5.10 Руководство по использованию точки применения политик
Архитектура инфраструктуры управления привилегиями может повлиять на место размещения точки приме
нения политик. В распределенной инфраструктуре управления привилегиями точка применения политик может
быть размещена на уровне приложений или на корпоративном уровне. При принятии решения о размещении важно
учесть следующие факторы:
- доступность точки применения политик;
- сокращение числа точек применения политик.
- возможность централизованного управления;
- сопровождение точки применения политик 8течение ее жизненного цикла;
- физическая безопасность точки применения политик;
- необходимость сетевого доступ к точке применения политик:
- максимально возможная близость точки применения политик к приложению.
Совмещение места размещения точки применения политик с приложениями снижает время реакции. В этом
случаедолжнобыть использовано местное хранилище политик, позволяющее использовать политики в отсутствие
доступа к внешним сетям.
А.6 Сравнение сервисов на базе каталога LDAP и сервисов обработки политик
А.6.1 Общие сведения
Выбор механизмов обработки заявлений может влиять напроизводительностьисложность базовой инфрас
труктуры управления привилегиями. Механизмы на базе каталога LDAP обычно обеспечивают хорошее время
реакции, но при этом оперируют простыми данными, позволяя, кпримеру, определить, является ли заявитель чле ном
определенной роли. В отличие от них сервисы обработки политик позволяют включить в процесс принятия
решения об авторизации несколько независимых элементов. Обсуждение этих вариантов приведено в
А.6.2—А.6.4.
А.6.2 Сервисы на базе каталога LDAP
Использование сервисана базе каталога LDAP целесообразно втом случае,если требуется быстрая реакция
и решение об авторизации может быть основано на факте обладания определенной роли, в первую очередь струк
турной.
При принятии решения об использовании такого сервиса необходимо учитывать следующее:
- извлекаемые из каталога данные состоят из простых строк;
- требуемая дополнительная обработка обладает определенной чувствительностью;
- необходимо документировать интерфейс;
- обработка политик не требуется.
А.6.3 Сервисы обработки политик
Применение сервисов обработки политик обеспечивает гибкие возможности, но при их реализации с
помощью аппаратно-программных средств общего назначения скорость обработки запросов оказывается ниже,
нежели в случае применения сервисов на базе каталога LOAP. При реализации с помощью специальных аппарат но-
программныхсредствсервисы обработки политикболее эффективны посравнению с LDAP при обработке слож ных
правил и ограничений, в также при комбинировании правил, предоставляемых несколькими точками
информациио политиках. Учтите, что кэширование решений (на время срока их действия), принимаемых сервисом
обработки политик, с использованием для поиска в кэше свертки атрибутов запроса может значительно повысить
33