Цель программы «Защищенные информационные системы» заключается в том, чтобы пользователи относились к компьютерным системам так же, как они сейчас относятся к телефонной связи: они не раздумывают, если им нужно сделать важный телефонный звонок, а просто снимают трубку и набирают нужный номер, будучи при этом абсолютно уверенными в том, что никто не подслушивает их разговор.

Новый директор по стратегиям безопасности (Chief Security Strategist) корпорации Microsoft Скотт Чарни (Scott Charney), имеющий опыт разработки и реализации систем безопасности, а также длительное время работавший с правовыми аспектами безопасности, считает, что в основе разработки компьютерных продуктов, которым можно доверять, лежат четыре понятия.

• Безопасность. Надежна ли защита конфиденциальности, целостности и доступности данных?
• Конфиденциальность. Получают ли пользователи следующую информацию: (а) какие персональные сведения собирает организация, (б) каким образом они будут использоваться, (в) возможен ли доступ к ним, их исправление и уточнение и (г) можно ли при необходимости отозвать эти сведения?
• Надежность. Будет ли компьютерная система доступна в тот момент, когда она понадобится пользователю, и будет ли она работать так, как требуется и как было заявлено?
• Экономическая целостность. Можно ли доверять организации, предлагающей данную компьютерную систему?

Если сеть MSN безопасна, она должна обеспечивать конфиденциальность, то есть сведения о пользователе или его работе с MSN являются закрытыми, если только от него не было получено особое разрешение на их распространение. Кроме того, сеть MSN должна быть надежной: пользователь в любое время должен иметь возможность доступа к ней и получения всех услуг, заявленных ее создателями. И наконец, корпорация Microsoft, предлагающая сеть MSN, должна обеспечивать целостность – то есть в полной мере поддерживать безопасность, конфиденциальность и надежность предоставляемых услуг. Пользователи смогут убедиться в том, что корпорация Microsoft предоставляет комплексные услуги, если она будет постоянно обеспечивать безопасность, конфиденциальность и надежность своих служб и давать подробные разъяснения по поводу всех политик конфиденциальности и правил обслуживания, а также изменений, вносимых в эти правила и политики.

Какое отношение имеет программа «Защищенные информационные системы» к возникшим в последнее время проблемам безопасности продуктов Microsoft? Эта программа определяет долгосрочные цели и перспективы разработки безопасных компьютерных систем, а модернизация систем безопасности существующих продуктов является необходимым первым шагом на пути ее реализации.

• Крупные организации. Статистика продаж программного обеспечения показывает, что сегодня более чем когда-либо корпорация Microsoft направляет свои усилия на работу с крупными организациями и особое внимание уделяет поставке серверного программного обеспечения в ИТ-отделы таких организаций. В период, когда политика Microsoft была ориентирована в основном на отдельных пользователей, рабочие группы и небольшие организации, было выпущено большое количество недорогих программных средств, в которых вопросы защиты не играли первостепенной роли. Для крупных организаций проблема безопасности имеет гораздо большее значение.
• Электронные развлечения. Развитие и массовое распространение электронных развлечений вызывают у их разработчиков обеспокоенность в связи с тем, что возможности персональных компьютеров позволяют пользователям незаконно тиражировать содержимое носителей информации практически без потери качества. Корпорация Microsoft должна убедить правообладателей, что ПК является удобной платформой для развития средств развлечения и ему можно доверять. Если Microsoft не удастся этого сделать, то владельцы прав будут препятствовать развитию средств развлечения для компьютеров (например, компания Sony Music уже начала выпуск компакт-дисков, которые невозможно воспроизвести на обычном компьютере).
• Глобальная сеть Интернет. Интернет предоставляет доступ к той или иной корпоративной компьютерной системе огромному числу независимых пользователей и систем, которые могут нанести ей ущерб. Поэтому обеспечение безопасности таких систем имеет особое значение. Кроме того, корпорация Microsoft считает, что для роста продаж компьютеров и программного обеспечения весьма перспективна интернет-торговля; однако ее развитие сдерживается тем, что многие пользователи опасаются хранить и передавать с помощью компьютерных систем конфиденциальные сведения, например, номера кредитных карт или информацию о балансах счетов.
• Недоверие и репутация. Выявление недостатков в системах безопасности продуктов Microsoft серьезно повлияло на репутацию корпорации, что не могло не отразиться на уровне продаж ее продуктов.
• Стимулы к обновлению. Повышение надежности оборудования и программного обеспечения может стимулировать рост расходов на обновление компьютерных систем: во-первых, обновление больше не будет считаться рискованным, а во-вторых, компании-изготовители будут предлагать и гарантировать более высокий уровень надежности и безопасности новых продуктов по сравнению с существующими.

• безопасность при разработке – вопросы безопасности необходимо учитывать при разработке всех компонентов любого продукта;
• безопасность при установке – безопасность продуктов не должна нарушаться во время их установки и настройки;
• безопасность при использовании – безопасность должна поддерживаться на протяжении всего жизненного цикла продукта и совершенствоваться при появлении новых угроз или обнаружении уязвимых мест.

В этой статье рассматриваются Службы управления правами (Microsoft Right Management Services, RMS) для Windows Server 2003 и связанные с ними технологии. Службы управления правами предоставляют простые в использовании, гибкие и эффективные способы создания и применения политик, направленные на оказание помощи корпоративным заказчикам в области контроля и защиты электронной информации, включая закрытую деловую информацию и другие жизненно важные ресурсы организаций.

Вся электронная информация уязвима. Сюда можно отнести любые виды данных – от частных записок и интерактивных данных для заказчиков до военных оборонных стратегий и другой секретной правительственной информации. В своем отчете³ за 2002 год компания PricewaterhouseCoopers отметила, что за последние годы почти в третьей части всех наиболее серьезных нарушений информационной безопасности был повинен собственный персонал организаций, а в больших компаниях доля таких нарушений возрастает почти до половины.

Финансовая сфера, государственные и юридические организации, учреждения здравоохранения все в большей мере нуждаются в усилении защиты электронной информации, которая в дополнение к необходимости устранения угрозы, обусловленной компьютерными преступлениями, должна решать проблему соответствия вновь вводимым юридическим нормам. Акт о страховании здоровья граждан (Healthcare Insurance Portability and Accessibility Act, HIPAA⁴ ), а также Акт Грэмма-Лича-Блайли (Gramm-Leach-Bliley Act, GLBA⁵ ) в сфере финансовых услуг являются относительно новыми юридическими мерами, которые требуют от организаций выполнения конкретных шагов по защите электронной информации.

Инфраструктура открытых ключей (Public Key Infrastructures, PKI), использующая S/MIME-шифрование⁶ , является ценным и широко применяемым средством надежной защиты корпоративной электронной почты во время ее пересылки и обеспечивает получение сообщения в первую очередь теми лицами, которым оно адресовано. Однако получатели по-прежнему имеют полную свободу действий в отношении любой информации, попадающей им в руки. Например, полученные ими данные могут быть переправлены другому лицу, скопированы на другой компьютер или размещены в сети. Даже случайные нарушения безопасности способны нанести серьезный ущерб организации. Засекреченные электронные сообщения или документы могут быть по ошибке направлены потенциальному злоумышленнику.

Во многих случаях информация подвергается риску внутри периметра сети, охраняемого брандмауэром, когда служащие передают эту информацию с корпоративных серверов на свои персональные компьютеры или когда она сохраняется в какой-либо форме на таких съемных носителях, как компакт-диски. При этом риск особенно возрастает при передаче данных за пределы корпоративного брандмауэра. Применяемые в настоящее время решения, основанные на пограничной защите, не способны помочь в соблюдении бизнес-правил в области использования и распространения электронной информации. Вместо них требуются сквозные программные решения, которые помогают защитить информацию на всем пути ее следования.

В ответ на возникновение этих потребностей корпорация Microsoft разработала Службы управления правами (Rights Management Services, RMS), с помощью которых возможности Windows Server 2003 объединяются со средствами разработки, а также с протестированными и доказавшими свою эффективность технологиями обеспечения безопасности, включающими шифрование, сертификаты и проверку подлинности.

Технологии служб управления правами расширяют сферу обеспечения безопасности электронной информации за пределы традиционных средств и позволяют защитить корпоративную информацию и соблюсти имеющиеся корпоративные инструкции (рис. 1).Внедрение и использование этой новой технологии позволяет защитить такую важную деловую информацию, как планы слияния и приобретения компаний, заявки на получение ссуд, сведения о платежах и заработной плате и производственные отчеты, включая все увеличивающийся объем подобной информации, доступной через информационные корпоративные порталы⁷ .

---

Рис. 1. Преимущества технологий служб управления правами.

1. Информация, циркулирующая в интрасети. Менеджеру, работающему в большой транснациональной фармацевтической компании, предоставили доступ в интерактивную систему продаж. На корпоративном информационном портале он просматривает данные о ежегодных продажах, которые отображаются на экране в программе-обозревателе. Так как эта информация закрытая, на отчет, с которым работает менеджер, накладываются специальные ограничения по использованию. Менеджер без особого труда получает необходимую секретную информацию о продажах, но, поскольку ее нельзя распечатать, скопировать или вставить данные в другую программу, эта информация защищена от неосторожного или преднамеренного попадания к конкурентам.

2. Электронная почта. Глава компании хочет отправить своим партнерам электронное сообщение с вложенным конфиденциальным предложением о заключении контракта. В своей клиентской программе обработки текста он указывает, что читать его предложение могут только старшие руководители; при этом в соответствии с корпоративными правилами работы с конфиденциальными документами они не могут копировать, вставлять или редактировать переданную информацию. В качестве дополнительной меры предосторожности глава компании указывает, что само электронное сообщение нельзя переадресовывать. Клиентские программы обработки электронной почты и текста у адресатов в явном виде применяют эти политики и обеспечивают выполнение указанных выше требований, так что соответствующие руководители получают возможность изучить сделанное предложение. Все партнеры уверены, что лица, не обладающие необходимыми полномочиями, не получат доступа к данному сообщению. Поэтому компания проявляет меньше беспокойства по поводу утечек информации, которые могут нанести ущерб идущим переговорам.

3. Документы. С помощью простой диалоговой подсказки, встроенной в программу обработки текста, сотрудница рекламного агентства использует средства управления правами для последней, еще не опубликованной копии рекламы, чтобы разрешить клиенту просматривать и редактировать файл в течение одной недели. По электронной почте она отправляет нескольким служащим компании-заказчика этот документ с установленными правами. Когда каждый из этих служащих загружает полученный документ, текстовый процессор устанавливает ограничения по времени, и спустя неделю документ становится недоступным. Для передачи в нужные руки описаний нового продукта, относящихся к рекламной кампании, представитель агентства отслеживает комментарии разных служащих с помощью электронной таблицы, которая также защищена Службами управления правами.

Так как настройки политик управления правами могут передаваться вместе с информацией, эти политики могут устанавливаться даже в том случае, когда информация с управляемыми правами покидает пределы сети. Предоставляя средства управления порядком использования и распространения информации независимо от места ее конечного назначения, технологии управления правами помогают корпоративным заказчикам более эффективно использовать компьютеры.

---

Рис. 2. Развертывание служб управления правами внетри организации.

Клиентские компьютеры, работающие под управлением Windows (Windows 98 Second Edition и более поздних версий операционных систем Microsoft), имеют доступ к API-интерфейсу Служб управления правами. Кроме того, клиентский набор инструментальных средств (SDK) Служб управления правами включает инструменты и документацию, которые должны помочь независимым разработчикам программного обеспечения, системным интеграторам, корпоративным разработчикам и другим пользователям расширить функциональные возможности своих решений благодаря установке Служб управления правами непосредственно на персональном компьютере. Используя эти средства, профессионалы могут разрабатывать надежные клиентские приложения, способные создавать, распределять и обрабатывать информационные материалы с управляемыми правами.

Для обеспечения дополнительной защиты и повышения уровня взаимодействия Службы управления правами используют язык XrML (Extensible Rights Markup Language) – новый стандарт языка с поддержкой прав доступа, основанный на языке XML (Extensible Markup Language). Язык XrML предоставляет простое в использовании и предназначенное для работы с электронными данными средство создания прав и политик, а также управления ими. Это гибкий, расширяемый, обладающий возможностями взаимодействия стандарт, который содержит все необходимое для удовлетворения нужд организаций независимо от специфики отрасли, платформы, формата, типа носителей, используемой бизнес-модели или архитектуры доставки информации.

Защита с помощью Служб управления правами разработана таким образом, чтобы она была простой в использовании и прозрачной для конечных пользователей. Для защиты электронной информации с применением технологий управления правами пользователи просто выполняют ту же логичную и взаимосвязанную последовательность операций делопроизводства, которой они традиционно придерживаются при работе с такой информацией (рис. 3).

---

Рис. 3. Документооборот с использованием Служб управления правами.

• Создание и установка политик. С помощью приложений, поддерживающих функции Служб управления правами, пользователи могут легко создавать информацию с контролируемыми правами. Повседневно используемые в деятельности организаций приложения, обеспечивающие управление данными и создание авторских версий (например, программы автоматизированного проектирования или пакет офисных приложений Microsoft Office), могут включать в себя функции управления правами. Используя обычные процедуры управления задачами в знакомой экранной среде, пользователи имеют возможность задавать политики для любого объекта, например электронного сообщения или документа. Для автоматической установки заранее определенных политик управления правами могут применяться настраиваемые шаблоны. Службы управления правами позволяют бизнес-приложениям, интегрированным в существующую систему документооборота организации, автоматически управлять созданием и установкой политик.
• Распространение и лицензирование. Службы управления правами функционируют внутри потока защищенных электронных данных. Эти службы используются приложениями, создающими и устанавливающими политики, для предоставления лицензий пользователям на основе заданных политик и личности пользователя. Таким способом, например, консультационная компания может применить управление правами к производственному отчету, в результате чего с ним никто не сможет ознакомиться, кроме заказчика, оплатившего выполнение работ.
• Применение политик. Приложения, разработанные с учетом поддержки технологий управления правами – например, пользовательское приложение контроля платежей или текстовый процессор – могут применять политики в области управления правами. Для взаимодействия со Службами управления правами приложения используют API-интерфейс этих служб, поставляемый для Windows 98 SE или более поздних версий Windows. Приложение запрашивает лицензию на защищенную информацию и обеспечивает соблюдение прав, сформулированных в лицензии, разрешая просмотр и использование электронной информации в соответствии с правилами, определенными собственником данных в публикуемой лицензии. Другие примеры таких приложений включают Microsoft Office, расширение Служб управления правами (Rights Management Add-On) для обозревателя Internet Explorer или любое другое приложение, поддерживающее функции управления правами.

Благодаря этим возможностям государственные структуры, частные консультационные компании, учреждения здравоохранения, биржевые маклеры и многие другие организации получают в свое распоряжение эффективное средство, позволяющее им обезопасить следующую информацию.

• Операции. Статистика контроля качества, планы и предложения по развертыванию, данные о складских запасах, лабораторные исследования, подробности производства, заказы на закупки, отчеты о доставке и данные по планированию ресурсов организации.
• Финансы. Планы слияния или приобретения компаний, планы и предложения по заявкам на контракты, финансовая статистика, заявки на страхование и получение ссуды, прогнозы затрат, бюджеты, счета-фактуры, отчеты о расходах и контракты.
• Персонал и кадровые вопросы. Информация о найме, платежная ведомость и сведения о зарплате, медицинские записи, анализ эффективности работы сотрудников и поставщиков, организационные сообщения.
• Исследования и разработки. Спецификации проектов и обзоры продуктов, информационные документы и официальные отчеты об исследованиях, стратегии развития организации, сведения о поставщиках, анализ издержек и прибыли, отчеты о состоянии производства, документация и учебные руководства.
• Маркетинг и связи с общественностью. Информация о ценообразовании и продвижении товара, проекты брошюр и информационных бюллетеней, презентации, пресс-релизы, рекомендательные письма, отчеты о продажах и результаты анализа, бизнес-планы, требования клиентов и заинтересованных лиц, отзывы.

Управление правами обеспечивает также гибкие возможности развертывания – от однократной установки до реализации глобальной распределенной топологии – и предоставляет все необходимое для развертывания и применения средств управления правами в рамках разнообразных сценариев. Разработчики – как внутри самой организации, так и со стороны – могут встраивать средства управления правами в специализированные приложения и системы с помощью имеющихся наборов инструментальных средств разработки (SDK). Кроме того, при необходимости Службы управления правами могут свободно масштабироваться в соответствии с требованиями, которые предъ-являются сетями с широкими возможностями доступа. Разносторонняя поддержка клиентов, централизованное администрирование, опубликованные API-интерфейсы клиента и сервера управления правами, а также интеграция со службой каталогов Windows Active Directory помогают придать Службам управления правами требуемую гибкость.

Возможно, важнее всего то, что Службы управления правами просты в применении. Разработчики программного обеспечения обладают самыми разнообразными возможностями при реализации технологии управления правами в своих приложениях. Благодаря этому они могут предоставлять получателям информации либо все права на ее распечатку, копирование и изменение, либо только часть из них. Кроме того, если приложение это позволяет, настройки могут быть применены к отдельным фрагментам информации. Службы управления правами предоставляют надежное, масштабируемое решение для встраивания средств управления правами в приложения. Таким образом, управление передается в руки разработчиков приложений, и приложения получают механизмы проведения в жизнь политик управления правами, совместимые с пользовательским интерфейсом самого приложения. Создание информации с управляемыми правами и работа с ней могут протекать полностью в автономном режиме. Доступ к защищенной информации и ее использование могут осуществляться на нескольких компьютерах. Чтобы открыть данные, снабженные управляемыми правами, пользователю достаточно просто щелкнуть эти данные. Управление ключами и лицензиями, а также другие технические вопросы обеспечения безопасности информации решаются в большинстве своем незаметно для конечного пользователя.

Набор инструментальных средств разработки (SDK) Служб управления правами позволяет разработчикам и независимым производителям программного обеспечения добавлять в свои программы функциональные возможности по управлению правами. При этом средства управления правами для защиты электронной информации включают не только приложения, разработанные корпорацией Microsoft, но и приложения других производителей. В результате расширенные возможности управления правами становятся доступными для приложений, выпущенных как корпорацией Microsoft, так и сторонними производителями, что позволяет создавать разнообразные многоуровневые решения.

Если получатели информационных материалов, защищенных с применением технологии управления правами, не располагают программным обеспечением, поддерживающим Службы управления правами, они могут воспользоваться расширением (Add-On) к обозревателю Internet Explorer, реализующим функции управления правами. Благодаря этому расширению система Windows позволяет просматривать документы с поддержкой функций управления правами, в том числе электронную почту и другую защищенную информацию в формате HTML. Используя возможность предоставления клиентам защищенных HTML-документов, это расширение также помогает реализовать широкий круг сценариев работы информационных интранет/интернет-порталов.

Для государственных структур и других организаций, которые поддерживают и используют специализированные внутриведомственные программы, набор инструментальных средств разработки (SDK) Служб управления правами предоставляет технологию, помогающую создавать и применять политики в области информационной безопасности, а также управлять ими.

Стандарт Common Criteria, утвержденный в качестве международного в 1999 году, пришел на смену таким старым методикам оценки, как американский стандарт US TCSEC (определявший, в частности, широко известный уровень защиты C2) и европейский стандарт European ITSEC. Страны, ратифицировавшие Common Criteria, рассчитывают, что использование этого стандарта приведет к повышению надежности продуктов, в которых применяются технологии защиты данных. Он поможет потребителям информационных технологий лучше ориентироваться при выборе программного обеспечения и будет способствовать повышению уверенности пользователей в безопасности ИТ-продуктов.

В соответствии с требованиями Common Criteria продукты определенного класса (например, операционные системы) оцениваются на соответствие ряду функциональных критериев и критериев надежности – так называемых «профилей защиты» (Protection Profiles). Существуют различные определения профилей защиты в отношении операционных систем, брандмауэров, смарт-карт и прочих продуктов, которые должны соответствовать определенным требованиям в области безопасности. Например, профиль защиты систем с разграничением доступа (Controlled Access Protection Profile) действует в отношении операционных систем и должен заменить старый уровень защиты С2. Стандарт Common Criteria также устанавливает ряд гарантированных уровней соответствия Evaluation Assurance Levels (EAL), используемых при оценке продуктов. Сертификация на более высокий уровень EAL означает более высокую степень уверенности в том, что система защиты продукта работает правильно и эффективно. Профили защиты для уровней EAL1-EAL4 являются общими для всех стран, поддерживающих стандарт Common Criteria. Для высших уровней EAL5-EAL7 профили защиты индивидуально разрабатываются каждой страной для учета национальных особенностей защиты государственных секретов. Поэтому EAL4 является высшим уровнем, которого могут достигнуть продукты, не создававшиеся изначально с учетом соответствия требованиям EAL5-EAL7.

Признание соответствия того или иного продукта стандарту Common Criteria происходит лишь после прохождения им весьма строгой и длительной процедуры проверки. Именно поэтому первые результаты тестирования операционных систем и других программных продуктов, заявленных на сертификацию сразу после принятия стандарта в 1999 году, появляются лишь сейчас.

Во-первых, этот стандарт является своего рода гарантией качества: принимая решение о приобретении ИТ-продукта, пользователи, помимо всего прочего, могут оценить его на основе результатов строгого независимого тестирования, учитывающего весь комплекс критериев. Таким образом, стандарт Common Criteria способствует повышению требований к качеству продуктов и гарантирует более высокий уровень «правдивости» рекламных заявлений. Это не означает, что все продукты, сертифицированные на соответствие стандарту Common Criteria, не имеют ни одного уязвимого места в системе безопасности (такие продукты просто не существуют), однако наличие такой сертификации позволяет с большей степенью уверенности утверждать, что продукт обладает надежной защитой.

Во-вторых, в рамках программы тестирования продуктов по стандарту Common Criteria пользователи могут получить массу ценной информации, помогающей повысить безопасность систем, построенных на основе прошедших тестирование продуктов. Производители, пользующиеся предоставляемыми стандартом Common Criteria возможностями, могут помочь своим заказчикам в создании более безопасных ИТ-систем.

• Пользователи могут применять четкие и универсальные критерии для оценки собственных потребностей и выбора необходимого уровня защиты.
• Пользователям становится проще определить, соответствует ли конкретный продукт их требованиям в области безопасности. Поскольку стандарт Common Criteria предусматривает составление сертифицирующими организациями подробных отчетов о характеристиках защиты продуктов, успешно прошедших сертификацию, потребители могут использовать данные отчеты для сравнения конкурирующих ИТ-продуктов.
• Пользователи могут доверять оценкам, сделанным в ходе аттестации на соответствие стандарту Common Criteria, поскольку оценивание производится не самим производителем, а независимой тестирующей лабораторией. Государственные структуры и крупные компании все чаще ориентируются на этот стандарт при принятии решений о покупке.
• Поскольку Common Criteria является международным стандартом, организации, использующие сертифицированные по этому стандарту продукты, будут удовлетворять требованиям к безопасности, которые предъявляются к филиалам этой организации в каждой стране.

• ГОСТ Р ИСО/МЭК 15408–1-2002;
• ГОСТ Р ИСО/МЭК 15408–2-2002;
• ГОСТ Р ИСО/МЭК 15408–3-2002.

Принятие новых стандартов и взаимное международное признание сертификатов стандарта Common Criteria приведет к тому, что:

• пользователи смогут сократить свои затраты на сертификацию продуктов;
• сертифицирующие органы смогут привлечь дополнительный поток заказов на сертификацию из-за рубежа;
• производители российских высокотехнологичных продуктов смогут получить международные сертификаты в России, что позволит им выйти на закрытые ранее зарубежные рынки.

Поскольку Microsoft Windows 2000 обладает бoльшей функциональностью и бoльшими возможностями, чем должно быть у продукта для соответствия требованиям профиля защиты, было решено протестировать эту операционную систему на соответствие требованиям стандарта Common Criteria еще по ряду параметров, выходящих за рамки Controlled Access Protection Profile. В результате Microsoft Windows 2000 прошла успешное тестирование по следующим параметрам, предусмотренным для ИТ-продуктов, оснащенных функциями защиты информации (Information Assurance):

• шифрующая файловая система EFS как средство защиты конфиденциальных данных;
• службы каталогов Active Directory управления защищенным доступом, в том числе с множественными мастер-каталогами;
• виртуальные частные сети на основе стандартных протоколов L2TP и IPSEc;
• защищенные от действий злоумышленников средства создания цифровых подписей;
• однократный вход в систему (Single Sign On);
• средства сетевого администрирования, в том числе для управления политиками безопасности;
• средства администрирования настольных компьютеров, в том числе механизмы групповых политик.

Сертификация Microsoft Windows 2000 проводилась корпорацией Microsoft для независимой стандартной оценки качеств этой платформы с точки зрения безопасности. Получение сертификата Common Criteria стало большим шагом вперед, направленным на реализацию поставленной руководством Microsoft цели – обеспечить всех своих клиентов защищенными информационными системами (в рамках концепции Trustworthy Computing).

В дополнение к объявлению о получении сертификата Common Criteria корпорация Microsoft представляет ряд новых информационных материалов и средств, предназначенных для дальнейшего упрощения внедрения и эксплуатации платформы Microsoft Windows 2000 в защищенных сетевых средах:

• «Настройка Windows 2000 в соответствии с требованиями Common Criteria: руководство пользователя (EN)» Windows 2000 Common Criteria Evaluated Configuration User?s Guide;
• «Настройка Windows 2000 в соответствии с требованиями Common Criteria: руководство администратора (EN)» Windows 2000 Common Criteria Evaluated Configuration Administrator?s Guide;
• «Руководство по настройке системы безопасности Windows 2000 в соответствии с требованиями Common Criteria (EN)» Windows 2000 Common Criteria Security Configuration Guide.

Сертификация настольной операционной системы Microsoft Windows XP будет проведена на соответствие требованиям следующих руководящих документов Гостехкомиссии России:

• «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации»;
• «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей».

• «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации»;
• «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей»;
• «Безопасность информационных технологий. Критерии оценки безопасности информационных технологий».

В настоящее время ведутся подготовительные работы по проведению сертификации продуктов Microsoft в интересах государственных организаций в рамках систем сертификации ФАПСИ (ФСБ), Министерства обороны и Министерства атомной промышленности.

Доступ к исходным кодам продуктов Microsoft с целью текущей сертификации в Гостехкомиссии России и последующих сертификаций в других организациях обеспечивается в рамках программы Microsoft Government Security Program (GSP). GSP создана специально в ответ на потребности государства в области создания защищенных информационных систем. Партнерство в рамках GSP не требует оплаты и дает государственным организациям право просмотра исходного кода Windows. Кроме того, GSP позволяет правительственным служащим проводить совместные работы со специалистами Microsoft в целях верификации функций защиты, а также выполнения других проверок и исследований, намеченных участниками программы. Помимо доступа к исходному коду, участники GSP получают глубокую техническую информацию о платформе Windows, что позволяет правительству проектировать и создавать еще более защищенные вычислительные системы. Новая инициатива помогает расширить взаимодействие и сотрудничество между специалистами Microsoft в области безопасности и служащими правительственных учреждений.

«Microsoft рассматривает государственные организации, использующие программное обеспечение Microsoft, как доверенных партнеров. Government Security Program даст правительственным кругам возможность оценить защищенность и целостность разворачиваемых ими продуктов Microsoft. Во время переговоров с государственными организациями нам неоднократно говорили, что это ключевой необходимый фактор, и мы ответили на эту потребность объявлением программы GSP, – сказал Крейг Манди, генеральный директор по технологиям и старший вице-президент по передовым стратегиям корпорации Microsoft. – Помимо доступа к исходному коду, мы предоставляем техническую документацию, методику устранения неисправностей, доступ к криптографическим средствам, подлежащим экспортному контролю, а также обеспечиваем поддержку со стороны технических экспертов Microsoft, которые готовы взаимодействовать с государственными организациями по вопросам эффективного использования возможности доступа к исходному коду».

По материалам информационного бюллетеня для государственных служб «Современные подходы к обеспечению информационной безопасности» (выпуск 22), который издает московское представительство корпорации Microsoft (рассылается бесплатно вместе с данным номером журнала).

² Crime Is Soaring in Cyberspace («Рост преступлений в киберпространстве») [электронное издание]. – The New York Times, 27 января 2003 г.

³ Information Security Breaches Survey 2002 (Отчет об обследовании нарушений информационной безопасности за 2002 г.), PWC (PricewaterhouseCoopers).

⁴ Принятый в 1996 году Акт HIPAA касается сферы здравоохранения и определяет, в частности, правила использования компаниями медицинской информации.

⁵ Акт Грэмма-Лича-Блайли, также известный как акт модернизации финансовых услуг, был принят в 1999 году.

⁶ S/MIME (Secure MIME) – безопасный протокол передачи электронной почты.

⁷ «…быстрый рост внедрения программ защиты корпоративной информации (EIP) достигнет в стоимостном выражении 1 млрд. долл. к 2003 году, и рынок продолжит свой рост до 2,4 млрд. долл. в 2005 году». – Бюллетень IDC #25087, июль 2001 г.