Режа: Ахборот тизимларининг хавфсизлигига қўйиладиган талаблар ва хавфсизлик талабларини таҳлил қилиш ва спецификациялаш

Чиқувчи маълумотларни текшириш
Ахборотга ишлов бериш тўғри бажарилганлигига ишонч ҳосил қилиш учун иловалардан чиқариладиган маълумотларнинг тўғрилигини текшириш зарур.
Чиқариладиган маълумотлар тўғрилигининг тасдиғи қуйидагиларни ўз ичига олиши керак:
а) чиқариладиган маълумотларни қабул қилиш мумкинлигини аниқлаш мақсадида тўғрилигини текшириш;
b) барча маълумотларга ишлов берилганлигига амин бўлиш учун назорат ҳисоблагичларини текшириш;
c) чиқариш натижаларини олувчи ёки ишлов беришнинг кейинги тизими ахборотнинг тўғрилигини ва таснифини аниқлаши мумкин бўлиши учун уларни етарли ахборот билан таъминлаш;
d) чиқувчи маълумотларнинг ишончлилиги ва тўғрилигини тестдан ўтказиш натижаларига муносабат билдириш процедуралари;
e) маълумотларни чиқариш жараёнига жалб қилинган барча ходимлар мажбуриятларини белгилаш;
f) маълумотлар чиқарилишининг тўғрилигини текшириш жараёнида бажариладиган амалларни рўйхатга олиш журналини яратиш.
Одатда, тизимлар текширувлар ва тестдан ўтказишлар тўғрилигининг тегишли тасдиқлари мавжудлигида чиқариладиган маълумотлар доим тўғри бўлади, деган фикрга асосланиб тузилади. Бироқ, ушбу таҳмин ҳар доим ҳам тўғри эмас; яъни баъзи бир ҳолатларда текширилган тизимлар ҳам нотўғри натижа бериши мумкин.
Муҳофаза қилишнинг криптографик воситалари
Мақсад: ахборотнинг конфиденциаллиги, асл нусхасига мувофиқлиги ва бутлигини криптографик воситалар билан муҳофаза қилиш.
Бошқаришнинг криптографик воситаларидан фойдаланиш сиёсатини ишлаб чиқиш керак. Криптогрфик методларни сақлаш ва улардан фойдаланиш учун калитларни бошқариш принципларини жорий қилиш керак.
Муҳофаза қилишнинг криптографик воситаларидан фойдаланиш сиёсати. Бошқариш воситаси
Ахборотни муҳофаза қилишнинг криптографик воситаларидан фойдаланиш сиёсатини ишлаб чиқиш ва жорий қилиш керак.
Криптографик воситалардан фойдаланиш сиёсатини ишлаб чиқишда қуйидагиларни аниқлаш керак:
а) ташкилотда криптографик воситалардан фойдаланиш методикаси, шу жумладан бизнес-ахборот муҳофаза қилиниши керак бўлган умумий принциплар (5.1.1);
b) шифрлашнинг талаб қилинган алгоритмининг тури, барқарорлиги ва сифатини эътиборга олган ҳолда хавфларни аниқлашга асосланган муҳофазанинг талаб қилинган даражаси;
с) мобил ёки алмашинувчи ташувчиларда, қурилмаларда олиб юриладиган ёхуд телекоммуникация линиялари бўйича узатиладиган конфиденциал ахборотни муҳофаза қилиш учун шифрлашдан фойдаланиш;
d) калитларни бошқариш принциплари, шу жумладан калитлар йўқотилган, компрометация қилинган ёки шикастланган ҳолда шифрланган ахборотни тиклаш методлари;
e) қуйидагилар учун жавобгар мансабдор шахсларнинг вазифалари ва мажбуриятларини тақсимлаш:
1) сиёсатни амалга ошириш;
2) калитларни бошқариш, жумладан калитларни яратиш (12.3.2);
f) ташкилотда криптомуҳофаза методларини самарали жорий қилишни таъминлаш учун қабул қилиниши керак бўлган стандартлар (қандай ечимлардан фойдаланилади, қандай бизнес-жараёнлар учун);
g) шифрланган ахборотдан фойдаланишнинг таркибни таҳлил қилишга асосланган бошқариш воситаларига таъсири (масалан, вирусларни аниқлаш).
Криптографик воситалардан фойдаланиш сиёсатини ишлаб чиқишда қонун ҳужжатлари талабларини ва турли мамлакатларда криптографик методлардан фойдаланиш борасида қўлланиши мумкин бўлган чеклашларни, шунингдек, давлатлар чегараси орқали узатиладиган шифрланган ахборот оқимининг ҳажмига тегишли масалаларни ҳисобга олиш зарур (15.1.6).
Бошқаришнинг криптографик воситаларидан хавфсизликнинг турли мақсадларига эришиш учун фойдаланиш мумкин, масалан:
а) конфиденциалликка: сақланадиган ва узатиладиган конфиденциал ва сезгир ахборотни муҳофаза қилиш учун ахборотни шифрлашдан фойдаланиш;
b) бутлик/ҳақиқийликка: сақланадиган ёки узатиладиган конфиденциал ёки сезгир ахборотнинг бутлигини/ҳақиқийлигини муҳофаза қилиш учун электрон рақамли имзолардан ёки хабарни аутентификация қилиш кодларидан фойдаланиш;
с) аппеляция қилинишига: ҳодиса ёки хатти-ҳаракатнинг пайдо бўлиши ёки йўқлигининг исботларини олиш учун криптографик методлардан фойдаланиш.
Криптографик муҳофазани қўллашга тегишли қарорларга хавфларни баҳолаш ва ахборот хавфсизлигини таъминлаш бўйича тадбирларни танлаш умумий жараёнининг таркибий қисми каби қараш керак.
Ушбу баҳодан криптографик воситалар, уларнинг турларини қўллаш мақсадга мувофиқлигини, шунингдек, уларни қандай мақсадда ва қандай бизнес-жараёнлар учун қўллаш кераклигини аниқлаш учун фойдаланилади.
Бошқаришнинг криптографик воситаларидан фойдаланиш сиёсати криптографик методлардан максимал фойда олиш ва фойдаланиш хавфларини минимумга келтириш учун, шунингдек, рухсатсиз ёки ноқонуний фойдаланишга йўл қўймаслик учун зарур. Электрон рақамли имзолардан фойдаланишда тегишли қонун ҳужжатларини, хусусан электрон рақамли имзо юридик мажбурятларни юклайдиган шартларни таърифловчи қонун ҳужжатларини кўриб чиқиш керак (15.1).
Муҳофаза қилишнинг талаб қилинган даражасини ва калитларни бошқариш хавфсиз усулларининг муҳофаза қилинишини таъминловчи ва амалга оширилишини қўллаб-қувватловчи мақбул спецификацияларини таъминлаш учун мутахассисларнинг тавсияларидан фойдаланиш керак (12.3.2).
JTCI SC27 ISO/IEC қўмитаси криптографик бошқарув билан боғлиқ бир неча стандартларни ишлаб чиқди. Бундан кейинги ахборот IEEE P1363 да ва OECD криптографияси бўйича қўлланмада мавжуд.
Калитларни бошқариш. Бошқариш воситаси
Ташкилотда криптографик методлардан фойдаланишни таъминлаш учун калитларни бошқаришни жорий этиш керак.
Барча криптографик калитлар ўзгартириш, йўқотиш ва бузилишлардан муҳофазаланган бўлиши керак. Бундан ташқари, махфий ва шахсий калитлар рухсатсиз очишдан муҳофаза қилиниши зарур. Калитларни тайёрлаш, сақлаш ва архивлаштириш учун ишлатиладиган ускуналарни жисмоний муҳофаза қилиш керак.
Криптографик калитларни бошқариш тизими келишилган стандартлар, процедуралар ва қуйидаги хавфсиз методларга асосланган бўлиши керак:
а) турли криптографик тизимлар ва турли иловалардан фойдаланишда калитларни генерациялаш;
b) генерациялаш ва очиқ калитлар сертификатларини олиш;
c) калитларни, жумладан уларни олишда активация қилиш бўйича йўриқномани мўлжалланган фойдаланувчиларга тарқатиш;
d) калитларни сақлаш, жумладан авторизация қилинган фойдаланувчиларнинг калитлардан фойдаланиш ҳуқуқини олиш усули;
e) калитларни алмаштириш ёки янгилаш, жумладан калитларни алмаштириш тартиб қоидалари ва муддатлари;
f) компрометация қилинган калитларга нисбатан хатти-ҳаракатлар тартиби;
g) агар калитлар компрометация қилинган ва фойдаланувчи ташкилотдан бўшаб кетган бўлса (бу ҳолда калитларни архивлаштириш керак), калитларни бекор қилиш, жумладан калитларни бекор қилиш ва дезактивация қилиш усуллари;
h) шифрланган ахборотнинг сирини ошкор қилиш учун йўқотилган ёки бузилган калитларни тиклаш;
i) калитларни архивлаштириш, масалан, архивлаштирилган ёки резервланган ахборот учун;
j) калитларни йўқ қилиш;
k) рўйхатга олиш ва калитларни бошқариш билан боғлиқ хатти-
ҳаракатлар аудити.
Калитларни компрометация қилиш эҳтимолини камайтириш учун улардан криптографик воситалардан фойдаланиш ҳолатлари ва ахборотни ошкор қилиш хавфининг даражасига боғлиқ бўлган чекланган вақт оралиғи давомида фойдаланиш мумкин бўлиши учун уларни активизация ва дезактивизация қилиш санаси белгиланган бўлиши зарур.
Махфий ва шахсий калитларни хавфсиз бошқаришга қўшимча равишда очиқ калитларнинг ҳақиқийлигини муҳофаза қилишни кўриб чиқиш зарур. Ушбу ҳақиқийликни текшириш жараёнини, одатда, ишончнинг талаб қилинган даражасини таъминлайдиган тегишли қоидалар ва процедураларга амал қиладиган, расман тан олинган ташкилот бўлиши керак бўлган сертификатлаштириш маркази томонидан бериладиган очиқ калитлар сертификати ёрдамида бажариш мумкин.
Криптографик хизматларнинг ташқи етказиб берувчилари билан, масалан, сертификатлаштириш органи билан тузилган контрактларда хизматларнинг жавобгарлиги, хизматлар ишончлилиги ва уларнинг такдим этилиши бўйича сўровларга муносабат билдириш вақти бўйича талаблар киритилган бўлиши зарур (6.2.3).
Криптографик калитларни бошқариш криптографик методлардан самарали фойдаланиш учун муҳим. ISO/IEC 11770 стандарти калитларни бошқариш бўйича кейинги ахборотни тақдим этади. Криптографик методларнинг иккита тури мавжуд:
а) икки ва ундан ортиқ томон биргаликда битта калитдан фойдаланадиган ва ушбу калит ахборотни шифрлаш каби, дешифровкалаш учун ҳам қўлланадиган жойларда махфий калитларга тегишли методлар. Бу калит сир сақланиши керак, чунки ушбу калитдан фойдалана оладиган ҳар қандай фойдаланувчи калит ёрдамида шифрланган барча ахборотни дешифровкалаши ёки рухсат берилмаган ахборотни киритиши мумкин;
b) ҳар бир фойдаланувчи бир жуфт калитга, очиқ калитга (исталган одам фойдаланиши мумкин бўлган) ва шахсий калитга (сир сақланиши керак бўлган) эга бўлган жойда очиқ калитларга тегишли методлар; очиқ калит билан шифрлаш методлари шифрлаш каби, рақамли имзоларни генерациялаш учун ҳам ишлатилиши мумкин (шунингдек, ISO/IEC 9796 ва ISO/IEC 14888 стандартлари қаралсин).
Электрон рақамли имзоларни соҳталаштириш ва фойдаланувчиларнинг очиқ калитини алмаштириб қўйиш хавфи мавжуд. Ушбу муаммо очиқ калитлар сертификатлари ёрдамида ҳал этилади.
Криптографик методлардан, шунингдек, криптографик калитларни муҳофаза қилиш учун ҳам фойдаланиш мумкин. Криптографик калитлардан юридик асосланган фойдаланишни тақдим этиш имкониятларини кўзда тутиш зарур, масалан, судда исбот сифатида фойдаланиладиган ахборотни расшифровка қилиш учун.