ГОСТ Р ИСО/МЭК 27033-3—2014
Ниже перечислены свойства безопасности, которые используются в настоящем стандарте для
совершенствования сдерживающих мер и контрмер объективным способом. Уточнения, касающиеся
каждого свойства безопасности (в дополнение к конфиденциальности, целостности и доступности),
описываются ниже:
- конфиденциальность связана с защитой данных от несанкционированного раскрытия;
- целостность связана с сохранением правильности или точности данных и защитой от несанк
ционированного изменения, удаления, создания и тиражирования:
- доступность связана с обеспечением уверенности в том, что не существует отказа в санкцио
нированном доступе к элементам сети, хранимой информации, информационным потокам, услугам и
приложениям;
- управление доступом обеспечивает, с помощью аутентификации и авторизации, управление
доступом к сетевым устройствам и услугам, а также обеспечивает уверенность в том. что только
уполномоченному персоналу или устройствам разрешен доступ к элементам сети, хранимой инфор
мации. информационным потокам, услугам и приложениям. Например, при использовании IPTV1’ од на
из известных рекомендаций по безопасности — отключение интерфейса отладки на абонентском
комплекте приставки — получена исходя из рассмотрения свойств элемента управления доступом.
Анализ конфиденциальности, целостности или доступности не приведет к каким-либо другим реко
мендациям;
- аутентификация связана с подтверждением или доказательством заявленной идентичности
пользователя или взаимодействующих сторон при использовании управления доступом для автори
зации. а также она обеспечивает уверенность в том. что сущность не пытается имитировать или не
санкционированно воспроизводить предыдущее сообщение. Например, человек может получить до
ступ к системе управления сетью, но потребуется осуществить аутентификацию для обновления за
писей абонентских услуг. Таким образом, возможность осуществления деятельности по управлению
сетью не может быть обеспечена посредством простого рассмотрения конфиденциальности, целост
ности. доступности или управления доступом.
П р и м е ч а н и е - В управлении доступом, основанном на ролях, авторизация осуществляется в отно
шении пользователя, назначенного на роль. Также в процессе управления доступом до предоставления доступа
проверяется роль, назначенная пользователю. Кроме того, по спискам управления доступом доступ предостав
ляется всем, кто удовлетворяет политике, таким образом, если вы удовлетворяете требованиям политики, вы
имеете право доступа. В этом случае функции аутентификации и авторизации являются несущественными;
- безопасность связи и безопасность передачи информации касается обеспечения уверенности
в том. что информация только перемещается между авторизованными конечными точками без пере
направления и перехватов;
- неотказуемостъ связана с поддержанием контрольных записей с тем. чтобы не могло быть от
казано в информации об исходных данных, причинах события или действия. Определение авторизо
ванного лица, которое осуществило несанкционированное действие с защищенными данными, не
связано с конфиденциальностью, целостностью, доступностью данных;
- непрозрачность связана с защитой информации, которая может быть получена из наблюдений
за сетевой активностью. Непрозрачность признает необходимость защиты действий в дополнение к
информации. Защита информации решается путем обеспечения конфиденциальности. Защита теле
фонного разговора между лицом А и лицом Б защищает их конфиденциальность. Защита того
факта, что лицо А и лицо Б вели телефонный разговор, обеспечивает уверенность в непрозрачности.
Для всех сценариев, описанных в настоящем стандарте, вышеуказанные свойства безопасности
рассматриваются как часть методики проектирования безопасности и фазы контроля. В таблице 2
приведены примеры механизмов обеспечения безопасности сети, которые могут быть реализованы
для обеспечения свойств безопасности, выбранных для уменьшения потенциального риска.
" IPTV (Internet Protocol Television) - Передача цифрового телевизионного сигнала по протоколу IP.
5