Как на собеседовании классифицируют требования к безопасности?

Как классифицируют требования к безопасности?

• Безопасность относится к основным аспектам программного обеспечения и информационных систем
• Функциональные: определяют защиту функций и данных
• Нефункциональные: характеризуют уровень безопасности, производительность и надежность
• Требования к конфиденциальности: предотвращают неавторизованный доступ к данным
• Требования к целостности: обеспечивают сохранность данных без подделок и изменений
• Требования к доступности: обеспечивают постоянный доступ к ресурсам
• Требования к аутентификации и авторизации: подтверждают личность пользователя и его права
• Нормативные: обеспечивают соответствие стандартам и законам (GDPR, PCI DSS)
• Практическое применение: помогают систематизировать разработку и аудит безопасности систем

Подробный ответ

Основной ответ

Требования к безопасности принято разделять на несколько основных категорий, каждая из которых описывает отдельную сторону защиты информационных систем. В основе классификации лежат три свойства безопасности — конфиденциальность, целостность и доступность (CIA triad). Кроме того, требования группируют по уровню, области применения и степени детализации.

Ключевые моменты

• Конфиденциальность (Confidentiality) означает защиту информации от несанкционированного доступа и разглашения. К соответствующим мерам относятся шифрование данных и контроль доступа.
• Целостность (Integrity) обеспечивает сохранение данных в исходном виде и защищает их от подделки или случайного повреждения. Для этого применяются контрольные суммы, цифровые подписи и аудит.
• Доступность (Availability) предполагает своевременное и надежное предоставление ресурсов уполномоченным пользователям. Для ее поддержания используют отказоустойчивость, резервирование и защиту от DDoS.
• Кроме того, отдельно рассматривают требования к аутентификации и авторизации, обеспечению неотказуемости (чтобы участник не мог отрицать факт совершенного действия) и проведению аудита безопасности.
• По уровням требования могут быть стратегическими (политики и стандарты), тактическими (процедуры и процессы) и техническими (конкретные механизмы и средства защиты).

Практический контекст

В крупных компаниях требования к безопасности информации часто реализуют в проектах по созданию банковского ПО или медицинских систем с использованием стандарта ISO/IEC 27001. Он подробно описывает требования к каждому из перечисленных аспектов. Также требования разделяют на функциональные (конкретные защитные возможности) и нефункциональные (например, производительность системы под нагрузкой при сохранении защиты). Такой подход позволяет комплексно оценивать риски и внедрять необходимые меры контроля.