O politică de securitate informatică este un ansamblu de obiective, reguli și principii care stabilesc modul în care o organizație își protejează informațiile și sistemele informatice. Ea poate fi exprimată formal, prin modele și controale definite riguros, sau informal, prin reguli organizaționale și proceduri interne.

În mod clasic, politicile și modelele de securitate informatică sunt analizate în raport cu cele trei obiective fundamentale ale securității informației: confidențialitate, integritate și disponibilitate. Confidențialitatea urmărește prevenirea divulgării neautorizate a informațiilor, integritatea vizează protejarea exactității și completitudinii acestora, iar disponibilitatea presupune accesul fiabil și la timp pentru utilizatorii autorizați.

Printre modelele formale clasice se numără modelul Bell–LaPadula, orientat spre protejarea confidențialității informației în sisteme cu niveluri de clasificare, și modelul Biba, orientat spre protejarea integrității datelor. Aceste modele oferă o descriere abstractă a stărilor permise ale sistemului și a regulilor de acces, iar implementările tehnice concrete urmăresc să aplice aceste cerințe prin mecanisme de control al accesului și alte măsuri de securitate.

Descriere formală În descrierea formală a securității informatice, un sistem poate fi modelat ca un automat finit sau, mai general, ca un sistem de stări și tranziții, în care fiecare operațiune produce o trecere dintr-o stare în alta.

În acest cadru, o politică de securitate caracterizează mulțimea stărilor de protecție autorizate ale sistemului și separă aceste stări de cele neautorizate. Prin urmare, un sistem este considerat securizat dacă începe într-o stare autorizată și nu poate ajunge niciodată, prin tranzițiile permise, într-o stare neautorizată.

În această interpretare, mecanismele de securitate au rolul de a împiedica sistemul să intre în stări neautorizate, iar o încălcare a securității apare atunci când sistemul ajunge într-o asemenea stare.

Modele formale de politici Modelele formale de politici de securitate pot fi grupate, în linii mari, după obiectivul principal urmărit, cum ar fi confidențialitatea, integritatea sau prevenirea conflictelor de interese.

Modelul politicii de confidențialitate Modelul Bell–LaPadula, orientat spre controlul divulgării neautorizate a informațiilor și specific mediilor cu clasificări de securitate.

Modelul politicii de integritate Modelul Biba, orientat spre prevenirea modificării neautorizate sau contaminate a datelor. Modelul Clark–Wilson, orientat spre integritatea în mediile comerciale, prin tranzacții bine formate și separarea atribuțiilor.

Modelul politicii hibrid Chinese Wall, cunoscut și ca modelul Brewer–Nash, orientat spre prevenirea conflictelor de interese prin restricții de acces care depind de istoricul accesărilor anterioare.

Limbile politicilor Pentru reprezentarea unei politici concrete, mai ales atunci când aceasta trebuie analizată sau aplicată automat, este necesar un limbaj de descriere a politicii. Astfel de limbaje permit exprimarea regulilor de acces, a constrângerilor și a condițiilor necesare pentru interpretarea și impunerea coerentă a politicii de securitate.

Există numeroase limbaje specifice unei aplicații sau unui mecanism de securitate, strâns legate de modul concret în care politica este pusă în aplicare în sistemul respectiv. În paralel, există și limbaje de politică mai abstracte, care urmăresc să descrie cerințele de securitate independent de mecanismul tehnic folosit pentru aplicarea lor.

Un exemplu clasic de astfel de reprezentare abstractă este Domain and Type Enforcement (DTE), unde procesele sunt asociate unor domenii, iar obiectele unor tipuri, iar regulile de acces sunt definite între aceste domenii și tipuri, nu direct prin mecanisme dependente de o singură aplicație.

Note

Bibliografie

Clark, D.D. and Wilson, D.R., 1987, April. A comparison of commercial and military computer security policies. In 1987 IEEE Symposium on Security and Privacy (pp. 184–184). IEEE.

Vezi și Antivirus Asigurarea informațiilor - CIA Triad Firewall (calculator)

Categorie:Informatică