Как определить классы АС ? По какому принципу АС относиться к конкретной букве по классам ? - Форум по вопросам информационной безопасности

Игорь, спасибо.
sekira, рад что Вы подключились.

Мне кажется, дело в искажении понятийного аппарата.
Получается, что в АС реализованы две модели доступа.
Мандатная, т.е. разграничение прав по форме допуска к информации ("разграничение потоков");
Дискреционная, т.е. разграничение прав на физический доступ к самой информации (файлы, папки, процессы...).
И в классификации АС в РД "равные права на доступ к информации" нужно понимать именно в контексте мандатного доступа.
Это и есть "уровень полномочий субъектов доступа АС на доступ к конфиденциальной информации". В этом пункте (п.1.7) про файлы и папки ни слова нет.
Если в АС 2А абсолютно у всех абсолютно ко всему абсолютно равные права, то зачем там вообще подсистемы разграничения доступа? Аутентифицировался - и видишь все, что там есть.
Взять мой пример. Все пользователи допущены по 3 группе? Все. Вот и равные права. А видеть всем одни и те же секретные документы - да такого не бывает.

Еще пример и вообще мнение такое - АС класса 2А может содержать информацию ГТ - "С", "СС", "ОВ" - главное, чтобы при этом ВСЕ пользователи АС были допущены к информации НЕ НИЖЕ максимального грифа информации в АС. АС "СС" - все пользователи допущены к "СС". Там может быть и "С", и "ДСП", и без грифа информация (вот они "носители разного уровня конфидециальности"), но все допущены по максимуму, значит автоматически и к низшим грифам. И то, что файловый доступ при этом разграничен - это естественно.
Но как только в эту, скажем, "СС" АС требуется впустить пользователя, допущенного по "С" - вот тут то она и становится 1 группы. Конкретно в этом случае 1Б. Вот тут-то и появляются "разные права". Тут надо не просто спрятать документ от других. Тут надо не допустить ознакомления человека с информацией, до которой он не допущен. По сути не допустить разглашения ГТ! Отсюда совсем другие требования.

Уважаемые товарищи, прошу прощения за много букАв, необходимо разъяснить тему, буду рад любым доводам за и против!!!

"И в классификации АС в РД "равные права на доступ к информации" нужно понимать именно в контексте мандатного доступа."

Равные права доступа нужно понимать в контексте всего - и мандатного, и дискреционного доступа.

"Если в АС 2А абсолютно у всех абсолютно ко всему абсолютно равные права, то зачем там вообще подсистемы разграничения доступа?"

Вот тут как раз разграничение нужно в свете мандатного доступа по потокам информации, так как в такой АС может обрабатываться информация разного уровня конфиденциальности (секретности).

"Взять мой пример. Все пользователи допущены по 3 группе? Все. Вот и равные права. А видеть всем одни и те же секретные документы - да такого не бывает."

Вообще-то 3 группа - это когда в АС работает один пользователь, а не несколько.
И почему, интересно, всем видеть одни и те же секретные документы нельзя? Откуда такое представление? Какие-то у Вас искаженные представления о классификации и работе с секретной информацией. Взять РСП - там все сотрудники допущены и работают со всеми секретными документами, вот вам и одинаковые права по доступу

Игорь,

Про 3 группу: я имел в виду 3 форму ("С"). Повторюсь.
Взять мой пример. Все пользователи допущены по 3 форме? Все. Вот и равные права.

Далее, Вы пишите про 2А
"Вот тут как раз разграничение нужно в свете мандатного доступа по потокам информации, так как в такой АС может обрабатываться информация разного уровня конфиденциальности (секретности)."

И сами себе противоречите! Если в 2А по мандатному доступу все одинаковые, зачем разграничивать доступ? Информация по грифу разная, но все допущены ко всей информации, и зачем тогда мандаты?

Alvin,
Не нужно мешать форму допуска к ГТ и группы по классификации АС. Допуск должен быть абсолютно у всех пользователей, независимо от их прав доступа. И никакого отношения к классам АС он не имеет.
А как тогда быть с конфиденциальной информацией и АС классов 2Б, 1Г? Там допуска вообще никому не требуется, а права по доступу к защищаемой информации могут быть или одинаковыми, или разными.

"и зачем тогда мандаты?" (2А)
Чтобы не смешивать потоки информации разной степени секретности. В этой АС кроме "С", "СС" может быть обрабатывается информации и ДСП, и Н/С.

По моему все эти рассуждения ни о чем. И порядок классификации АС давным давно определен и ни у кого не вызывает сомнений. Вы первый, кто так понимает эти права по доступу к информации и так их трактует

Да полно у всех сомнений. Тут на форуме тем 10 про классификацию АС, да про косяки в РД. Рассуждаете по принципу "я вот так прочитал, а ты неправильно", а доказать не можете.
Новый взгляд - это же хорошо, ну а к нового и непонятного люди всегда поначалу боятся.

Формы допуска и группы АС я не мешаю - это вещи абсолютно разные. Хотя классы АС и формы допуска уже начинают коррелировать, к примеру в АС класса 2А, содержащей информацию "СС", не должен работать пользователь, допущенный только по 3 форме.

Пишите "Допуск должен быть абсолютно у всех пользователей, независимо от их прав доступа" - с чего, могут люди и с допуском, и без допуска в одной АС работать, или с разным допуском наконец. Это и есть 1 группа АС.

Пишите "А как тогда быть с конфиденциальной информацией и АС классов 2Б, 1Г? Там допуска вообще никому не требуется, а права по доступу к защищаемой информации могут быть или одинаковыми, или разными" - в ваших же словах есть ответ, просто вы его не видите.
Допуска по форме тут не требуется, верно. Но опять - конфиденциальная информация на то и конфиденциальная, что знать ее надо далеко не всем. Соответственно, кто-то работает с КИ в АС, кто-то не работает. Смотрите шире, может быть АС в виде сетки на тысячу пользователей, из которых двое обрабатывает ПД а остальные косынку раскладывают - вот и 1Д, может 1Г, и парьтесь с защитой от всех остальных 998 бездельников, а выделить этих двоих в отдельную сетку - вот и 2Б, все просто.

В одной АС может существовать секретный, несекретный, конфиденциальный сегмент, и цель разграничения потоков - не допустить утечки информации с более высокой меткой конфиденциальности в сегмент с меткой ниже.

Может быть ваш новый взгляд и будет учтен в каком-нибудь новом НМД ФСТЭК, но мы обсуждаем РД АС 1992 года, где всё давно определено. Обратитесь во ФСТЭК и попытайтесь им доказать, что их подход не верен.
А ваш пример про сетку в 1000 пользователей, где только двое работают с КИ, а остальные в карты играют вообще не из этой оперы. На каком основании тогда создавались в АС учетные записи этим 998 пользователям, если они не занимаются обработкой КИ? Классифицируются только АС, предназначенные для обработки информации ограниченного доступа. Для открытой информации (те самые 998 человек) классов АС пока не придумали и к РД АС это не имеет никакого отношения

Игорь, спасибо. Так и остается непонятной сама идея авторов РД по поводу равных прав доступа. Получается, в случае ЛВС на сервере просто куча файлов, все всё видят, каждый может прочитать. удалить, редактировать что захочет..А если хоть к одному файлику хоть право на переименование не додали - всё, разные права. Смысл?..

И еще вопрос. Если в АС существует некоторая информационная система, к примеру на базе СУБД. Файловый доступ к ней пускай будет всем равный, одинаковый. Логинятся все под своими учетками. Однако внутри СУБД доступ к таблицам. записям, полям, встроенным документам и тд у всех совершенно разный, разграниченный средствами самой СУБД. К файлам СУБД - одинаковый, внутри СУБД - разный. Как в этом случае, можно считать права доступа равными?

И сами себе противоречите! Если в 2А по мандатному доступу все одинаковые, зачем разграничивать доступ? Информация по грифу разная, но все допущены ко всей информации, и зачем тогда мандаты?

Что не было возможности перенести файлы (информацию) из одного уровня в другой - понизить гриф, рассекретит.

"все всё видят, каждый может прочитать. удалить, редактировать что захочет..А если хоть к одному файлику хоть право на переименование не додали - всё, разные права."

А все - это кто? Ещё раз повторяю, что данный РД относится только к информации ограниченного доступа (конфиденциальная и ГТ) и классификация проводится только для таких АС. И в качестве пользователей регистрироваться могут только те, кто допущен к данной информации. Права устанавливают не файликам, а пользователям.

"Как в этом случае, можно считать права доступа равными?"

Значит, считайте их разными

Игорь, права устанавливаются пользователям на доступ к файлам.
Пускай есть АС в виде ЛВС, в ней реально обрабатывает информация, содержащая гостайну. И работают в ней только пользователи, допущенные к гостайне. И реально работают, в карты не играют, "левых" пользователей нет) К примеру, вся АС построена на ПО семейства Windows (сервер, рабочие станции..)
Из пресловутой Википедии:
"В операционных системах Windows NT при работе с файловой системой NTFS права доступа задаются явно для пользователей или групп (или наследуются от вышестоящих объектов). Права в себя включают право на чтение, запись исполнение, удаление, смену атрибутов и владельца, создание и удаление подпапок (для папок) и чтение прав доступа." Я правильно понимаю, для классификации АС по классу 2А у всех пользователей все указанные права должны быть одинаковыми?