Актуальность отражает соответствие требований и критериев стандарта постоянно развивающемуся множеству угроз безопасности и новейшим методам и средст­вам, используемым злоумышленниками. Эта характери­стика, наряду с универсальностью, является одной из важнейших, так как способность противостоять угрозам и прогнозировать их развитие фактически определяет пригодность стандарта и является решающим фактором при определении его пригодности.

Таблица 2. 5. Сопоставление стандартов информационном безопасности

Классификация рассмотренных стандартов инфор­мационной безопасности по предложенным показателям приведена в таблице 2.5.

Степень соответствия стандартов предложенным по­казателям определяется по следующей качественной шкале:

· ограниченная — недостаточное соответствие, при применении стандарта возникают существенные трудности;

· умеренная — соответствие в минимальной степе­ни, при применении стандарта в большинстве слу­чаев существенных трудностей не возникает;

· достаточная — удовлетворительное соответствие, при применении стандарта в большинстве случаев не возникает никаких трудностей, однако эффек­тивность предлагаемых решений не гарантируется;

· высокая — стандарт предлагает специальные меха­низмы и процедуры, направленные на улучшение данного показателя, применение которых позволя­ет получать достаточно эффективные решения;

· превосходная — улучшение данного показателя рассматривалось авторами стандарта в качестве одной из основных целей его разработки, что обеспечивает эффективность применения предло­женных решений.

Рассмотрим, в какой степени стандарты информаци­онной безопасности отвечают предложенным показате­лям, и проследим направления, по которым шло их раз­витие.

2.11.1. Универсальность

На этапе начального становления и развития стан­дартов информационной безопасности универсальности уделялось мало внимания, так как, во-первых, разработчикам стандартов казалось, что в обеспечении безопас­ности нуждается только ограниченный круг потребите­лей, находящихся в правительственных и военных сфе­рах, а во-вторых, темпы информатизации тогда были относительно невелики. Поэтому первый стандарт безо­пасности — «Оранжевая книга» — предназначался для систем военного применения, основанных в те годы ис­ключительно на мэйнфреймах, и его адаптация для рас­пределенных систем и баз данных потребовала разра­ботки дополнительных документов. С учетом этого опы­та сфера применения вышедших несколькими годами позже «Европейских критериев» значительно расширена — уже на уровне базового документа в этот стандарт вошли распределенные системы, сети, системы телеком­муникаций и СУБД. Однако в этом документе по-прежнему явным образом оговаривается архитектора и назначение систем, к которым он может быть применен, и никак не регламентируется среда их эксплуатации. До­кументы Гостехкомиссии России имеют довольно огра­ниченную сферу применения — это персональные (види­мо, это объясняется тотальным распространением PC в нашей стране) и многопользовательские системы, при­чем ориентация системы на обслуживание конечных пользователей является обязательным условием. «Феде­ральные критерии» подняли область применения стан­дартов на новый уровень, начав рассматривать в качест­ве объекта их применения любые продукты информаци­онных технологий, независимо от их назначения, прово­дя различие только между характеристиками среды их эксплуатации. «Канадские критерии» рассматривают в качестве области своего применения все типы компью­терных систем. Наконец, «Единые критерии» увенчали процесс расширения сферы применения стандартов ин­формационной безопасности, провозгласив себя неотъ­емлемым компонентом информационных технологий.

2.11.2. Гибкость

Гибкость положений стандарта определяет удобство ею использования потребителями и производителя­ми систем обработки информации. Возможно, именно поэтому требования первого стандарта («Оранжевой книги») были достаточно гибкими, но чересчур абстрактными для непосредственного применения во мно­гих случаях, что потребовало их комментирования, до­полнения и расширения. «Европейские критерии» унас­ледовали этот стиль изложения требований и пошли по пути экстенсивного развития, предусмотрев специаль­ные уровни и требования, рассчитанные на типовые системы (СУБД, телекоммуникации и т. д.). Руководя­щие документы ГТК по конкретности своих требований превзошли даже уровень «Оранжевой книги», так как подробно регламентируют реализацию функций защи­ты (например, это единственный стандарт, который в ультимативной форме требует применения криптогра­фии), что значительно снижает удобство их использо­вания, в конкретных ситуациях многие требования час­то оказываются избыточными и ненужными. Более то­го, ограничение области применения данного стандар­та классом систем, ориентированных на конечного пользователя, ставит отечественных разработчиков и экспертов по сертификации в затруднительное положе­ние при применении эти документов, скажем, к про­граммному обеспечению маршрутизатора или файэр-вола (у этих систем в принципе нет пользователей, яв­ляющихся физическими лицами). «Федеральные крите­рии» обеспечивают гибкость на качественно новом по сравнению с предшествующими стандартами уровне, впервые предложив механизм профилей защиты, с по­мощью которых можно создавать специальные наборы требований, соответствующие запросам потребителей конкретного продукта и угрозам среды его эксплуатации. «Канадские критерии» не рассматривают профиль защиты в качестве обязательного элемента безопасности информационных технологий, а также обладают определенной спецификой в своем подходе к основным понятиям безопасности, поэтому их гибкость можно оценить только как достаточную. Наконец, «Единые критерии» обладают практически совершенной гибкостью, так как позволяют потребителям выразить свои требования с помощью механизма профилей защиты, в форме инвариантной к механизмам реализации, а про­изводителям — продемонстрировать с помощью проекта защиты, как эти требования преобразуются в задачи защиты и реализуются на практике. В этом случае про­цесс квалификации уровня безопасности ИТ-продукта представляет собой проверку взаимного соответствия профиля защиты, проекта защиты и реализованного ИТ-продукта, а также их соответствия «Единым крите­риям».