Модель управления доступом Astra Linux как основа для ГОСТов
По сообщению ГК Astra Linux, разработанные в компании стандарты на формальные модели управления доступом утверждены в качестве ГОСТов. Их применение при создании СЗИ позволяет выполнить требования ФСТЭК России. Это означает, что средства защиты информации для значимых объектов КИИ и информационных систем, обрабатывающих данные ограниченного доступа, теперь должны разрабатываться с применением данных ГОСТов.
Федеральное агентство по техническому регулированию и метрологии (Росстандарт) утвердило национальные стандарты ГОСТ Р 59453.1-2021 «Защита информации. Формальная модель управления доступом. Часть 1. Общие положения» и ГОСТ Р 59453.2-2021 «Защита информации. Формальная модель управления доступом. Часть 2. Рекомендации по верификация формальной модели управления доступом». Основным их автором является ГК Astra Linux, в создании второго стандарта также приняли участие специалисты Института системного программирования им. В.П. Иванникова Российской академии наук (ИСП РАН).
Разработка формальной модели управления доступом и ее верификация с применением инструментальных средств – это часть требований 4 и 3 уровней доверия, согласно утвержденной приказом ФСТЭК России от 2 июня 2020 г. № 76 второй редакции «Требований по безопасности информации, устанавливающих уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий». Именно на нормативное обеспечение выполнения этих требований направлены новые национальные стандарты.
Получение сертификата ФСТЭК России по 4 уровню доверия обязательно для программных продуктов, которые применяются на значимых объектах КИИ до первого класса включительно и в автоматизированных системах управления процессами, а начиная с 3 уровня доверия – в ГИС первого класса, в том числе обрабатывающих персональные данные и гостайну.
Стандарт Р 59453.1-2021 устанавливает критерии, которым должна соответствовать формальная модель управления доступом, описанная на математическом или формализованном (машиночитаемом) языке. Кроме того, в документе можно найти определения тех ключевых терминов, что используют разработчики средств защиты информации: политик дискреционного, мандатного и ролевого управления доступом, а также мандатного контроля целостности.
Во втором ГОСТе изложены рекомендации в части перевода описания формальной модели на формализованный язык и ее верификации с применением инструментальных средств.
Во время разработки и обсуждения национальных стандартов с ТК 362 в ГК Astra Linux велась их апробация. Эксперты проверяли, насколько им соответствует формальная модель управления доступом (МРОСЛ ДП-модели), на основе которой в ОС специального назначения Astra Linux Special Edition реализован механизм защиты PARSEC. Кроме того, отрабатывались соответствующие стандартам технологии перевода этой модели с математического языка на формализованный язык метода Event-B с последующей ее верификаций инструментальными средствами Rodin и ProB.
В ходе апробации национальных стандартов, подчеркивают в ГК Astra Linux, на примере сертифицированной по первому классу защиты разработанной компанией ОС удалось, во-первых, на практике выполнить при ее разработке соответствующие требования доверия, во-вторых, повысить качество самих стандартов, внести в них необходимые корректировки. Новые стандарты положительно скажутся на развитии научно обоснованных подходов, применяемых при создании и обеспечении доверия к средствам защиты информации, и на дальнейшей стандартизации в этой области.