Види політики безпеки

Основу політики безпеки складає спосіб керування доступом, який визначає порядок доступу суб’єктів системи до об’єктів системи. Назва цього способу, як правило, визначає назву політики безпеки.

Нині найкраще вивчені два види політики безпеки, засновані відповідно на вибірковому і повноважному способах керування доступом.

Основою вибіркової політики безпеки є вибіркове керування доступом, яке припускає, що:

- всі суб’єкти і об’єкти системи повинні бути ідентифіковані;

- права доступу суб’єктів до об’єктів системи визначаються на основі деякого правила (властивість вибірковості).

Для опису властивостей вибіркового керування доступом застосовується модель системи на основі матриці доступу, інколи її називають матрицею контролю доступу. Така модель отримала назву матричної.

Матриця доступу – це прямокутна матриця, в якій об’єкту системи відповідає рядок, а суб’єкту - стовпець. На перетині стовпця і рядка матриці указується тип дозволеного доступу суб’єкта до об’єкта, як “доступ на читання”, “доступ на записування”, “доступ на виконання” тощо.

Вибіркова політика безпеки найширше застосовується у комерційному секторі, оскільки її реалізація на практиці відповідає вимогам комерційних організацій з розмежуванням доступу і підзвітності, а також має прийнятну вартість і невеликі накладні витрати.

Основу повноважної політики безпеки складає повноважне керування доступом, яке припускає, що:

- всі суб’єкти і об’єкти системи повинні бути однозначно ідентифіковані;

- кожному об’єкту системи присвоєна мітка критичності, що означає цінність інформації, яка міститься у ньому;

- кожному об’єкту системи присвоєнийрівень прозорості, що означає максимальне значення мітки критичності об’єктів, до яких суб’єкт має доступ.

Коли сукупність міток має однакове значення, кажуть що вони належать до одного рівня безпеки. Організація міток має ієрархічну структуру і, таким чином, у системі можна реалізовувати ієрархічно висхідний потік інформації (наприклад, від рядових виконавців до керівництва). Чим важливіший об’єкт чи суб’єкт, тим вище його мітка критичності. Тому найбільш захищеними виявляються об’єкти з найбільш високим значенням мітки критичності.

Основне призначення повноважної політики безпеки - регулювання доступу суб’єктів системи до об’єктів з різним рівнем критичності і запобігання витоку інформації з верхніх рівнів посадової ієрархії в нижні, а також блокування можливого проникнення з нижніх рівнів у верхні. При цьому вона функціонує на фоні вибірної політики, надаючи її вимогам ієрархічно упорядкованого характеру (згідно з рівнем безпеки).