Учебно-методический комплекс теоретические основы компьютерной безопасности

2.3. МОДЕЛИ БЕЗОПАСНОСТИ НА ОСНОВЕ ТЕМАТИЧЕСКОЙ ПОЛИТИКИ

2.3.1. Общая характеристика тематического разграничения доступа

Как уже не раз отмечалось многие механизмы и принципы разграничения доступа к информации "подсмотрены" во внекомпьютерной сфере, что обеспечило формирование двух базовых политик безопасности – дискреционного и мандатного доступа. Вместе с тем, данные политики безопасности отражают не все организационно-технологические схемы защиты конфиденциальной информации, исторически наработанные и апробированные в "бумажных" сферах.
Важным аспектом, присутствующим в практике разграничения доступа к "бумажным" ресурсам является тематическая "окрашенность" информационных ресурсов предприятий, учреждений по организационнотехнологическим процессам и профилям деятельности¹. Организация доступа сотрудников к информационным ресурсам организации (в библиотеках, архивах, документальных хранилищах) осуществляется на основе тематических классификаторов. Все документы информационного хранилища тематически индексируются, т. е. соотносятся с теми или иными тематическими рубриками классификатора. Сотрудники предприятия согласно своим функциональным обязанностям или по другим основаниям получают права работы с документами определенной тематики. Данный подход, в сочетании с избирательным и мандатным доступом, обеспечивает более адекватную и гибкую настройку системы разграничения доступа на конкретные функционально-технологические процессы, предоставляет дополнительные средства контроля и управления доступом.
Помимо уже указанной MLS-решетки, попытки отразить тематический аспект в организации разграничения доступа, имелись еще в ранних работах по моделям дискреционного доступа, в частности, в одной из первых дискреционных моделей АДЕПТ-50, в модели на основе типизованной матрицы доступа, в расширениях базовой модели безопасности ОС UNIX – модели DTE. Вместе с тем, использование тематических категорий субъектов и объектов доступа в данных моделях являлось второстепенным фактором, служащим для уточнения или корректировки некоторых аспектов базовой политики безопасности. Кроме того, назначение субъектам и объектам доступа единичных категорий из простого неупорядоченного списка тематик обеспечивает лишь наиболее простой и грубый способ тематического разграничения доступа к информации.
В общем плане принцип тематической политики безопасности можно пояснить схемой, приведенной на рис. 2.16.
Рис. 2.16. Общий принцип тематической политики безопасности


Анализ библиотечных и других автоматизированных систем документального поиска, основанных на тематическом индексировании содержания документов (текстов), показывает, что определяющее значение в таких системах имеет тематико-классификационная схема, в большинстве случаев именуемая тематическим рубрикатором. Применяются три основных способа тематической классификации:

• 
  перечислительная классификация (дескрипторный подход);
  
• 
  систематизированная классификация (иерархический подход);
  
• 
  аналитико-синтетическая классификация (фасетный подход). При дескрипторном подходе классификационная схема представляет неупорядоченный¹ перечень тематик (рубрик, предметов, ключевых слов и т. д.), произвольной совокупностью которых можно отразить содержание (тематику) конкретного документа – см. рис. 2/17.
  

Сотрудники предприятия получают права работы с документами определенного набора тематических рубрик, т.е. фактически так же, как и документальные ресурсы тематически классифицируются.

При иерархическом подходе тематико-классификационная схема представляет корневую древовидную структуру, основанную на таксономическом принципе ("род-вид"). Тематика документа определяется тематическими узлами классификатора с автоматическим распространением на объект классификации всех соответствующих подчиненных тематических узлов – см. рис. 2.18. Сотрудникам предприятия предоставляется право работы с документами, тематика которых соответствует одному или нескольким узлам классификатора с автоматическим распространением прав работы на документы с тематикой соответствующих подчиненных узлов.

Рис. 2.18. Иерархическая классификация

Основу фасетной классификации составляет определенное количество тематических блоков-фасет¹, отражающих логику соответствующей предметной сферы (например, "материал"-"конструкция"-"нагрузки" или "время"-"место"-"состав"-"действие" и т. д.). Каждый фасет, в свою очередь, представляет классификационную подсистему тематик (рубрик) иерархического типа. Тематика конкретного информационного объекта строится на основе сочетания тематических узлов фасетных рубрик – см. рис. 2.19. Права доступа сотрудников к документам определяются также сочетанием определенных рубрик по фасетам классификатора.

Рис. 2.19. Фасетная классификация
Общим правилом (критерием) предоставления доступа пользователям к ресурсам (объектам) по всем способам классификации является следующее:
Определение 2.3.1 (Общее правило тематического доступа). Документ доступен сотруднику, если он не содержит рубрик, запрещенных (не разрешенных) для данного сотрудника.
В документальных хранилищах, библиотеках и архивах ввиду их очевидного предназначения под доступом понимается, прежде всего, чтение документов. Иначе говоря, в данных системах присутствует перенос информации (информационные потоки) только из документов к сотрудникам¹.
В системах, где документы не только изучаются, используются, но и создаются, корректируются (например, системы делопроизводства и документооборота), возможны как потоки из документов к сотрудникам, так от сотрудников в документы. Однако, совершенно ясно, что в "бумажном контуре" при создании и, в особенности, при изменении документов вносить или изменять информацию в документ, не "видя" все остальное содержимое документа невозможно. Поэтому, в отличие от правила NWD мандатного доступа, кстати сказать, огрубленного и идеалистически абстрактного для реализации в "бумажном контуре", в системах делопроизводства в большинстве случаев используются следующие правила:

• 
  тематика создаваемого (редактируемого) документа назначается (уточняется) исполнителем документа (автором, ответственным и т. д.) в пределах тематики данного исполнителя¹;
  
• 
  создание или изменение документов может происходить на основе объединения (слияния) в один общий документ совокупности других документов, при этом тематика общего документа формируется как объединенная тематика совокупности вошедших в него документов, а процедуру объединения (слияния) осуществляет сотрудник, допущенной ко всей объединенной тематике.
  

Отмеченные правила преследуют цель обеспечения конфиденциальности (безопасности) информации в системе, что можно сформулировать следующим общим критерием безопасности тематического разграничения доступа.
Определение 2.3.2 (Критерий безопасности тематического доступа). Система безопасна, если пользователи ни при каких обстоятельствах не могут получить доступ к информации "не своей" тематики. Система и порядок тематического разграничения доступа регламентируются нормативными документами предприятий, организаций, ведомств, и совершенно очевидно, что, автоматизируя документальные информационные системы, подобные регламентации необходимо воспроизводить в виде формализованных процедур, схем представления и манипулирования с информацией в КС, т. е. в виде моделей тематического разграничения доступа.