numărul 17, martie 2010 - Serviciul Român de Informaţii

SINFO
EC
STANDARDIZAREA ŞI EVALUAREA
MĂSURILOR DE PROTECŢIE A
SURSELOR GENERATOARE DE
INFORMAŢII
Articolul de faţă prezintă standardul de facto din domeniul evaluării criptografice, cunoscut sub acronimul
FIPS PUB 140-2, precum şi metodologia de aplicare a acestuia în cadrul procesului de evaluare criptografică.
Emil Simion
L egea 182/2002 [9] şi normele de aplicare ale
acesteia, prevăzute în H.G. 585/2002 [6], cu
desfăşoară activitatea în cadrul Institutului pentru
Tehnologii Avansate (ITA), institut aflat în subordinea
Serviciului Român de Informaţii.
completările şi modificările ulterioare, stabilesc cadrul SISTEMUL DE SECURITATE AL
normativ de protecţie a informaţiilor naţionale
clasificate. Astfel, o parte dintre măsurile prevăzute în
INFORMAŢIILOR
H.G. 585/2002 sunt cele referitoare la protecţia În cele ce urmează, vom încerca să definim ierarhizat
surselor generatoare de informaţii - INFOSEC. sistemul de securitate al informaţiilor INFOSEC, aşa
Oficiul Registrului Naţional al Informaţiilor Secrete cum rezultă din standardele internaţionale din
de Stat (ORNISS), ce funcţionează în baza O.G.U. domeniul securităţii informatice, reprezentate, spre
153/2002 [7], este autoritatea naţională cu atribuţii în exemplu, de ISO 15408 şi FIPS PUB 140-2, şi ale
domeniul certificării Sistemelor Informatice şi de legislaţiei naţionale reprezentate de Legea 182/2002
Comunicaţii (SIC) ce vehiculează informaţii naţionale privind protecţia informaţiilor clasificate şi H.G.
clasificate. Această certificare presupune, printre 585/2002 referitoare la normele de aplicare ale
altele, verificarea conformităţii SIC cu normativele
naţionale. O atenţie deosebită, fără a neglija factorul
acesteia.
uman, măsurile procedurale şi cele administrative,
trebuie acordată securităţii IT şi a comunicaţiilor,
Legislaţie şi standarde internaţionale
măsurilor TEMPEST, precum şi măsurilor Reţelele de comunicaţii şi sistemele informatice au
criptografice. În cele ce urmează, vom realiza un devenit un factor cheie în dezvoltarea economicostudiu
al standardelor criptografice utilizate în socială şi de aceea integritatea şi disponibilitatea lor a
proiectarea şi evaluarea sistemelor criptografice ca
părţi componente ale unui SIC.
căpătat o importanţă vitală.
Practica în domeniul evaluării sistemelor Rezoluţia Consiliului European din 30 mai
criptografice a impus ca standard de facto standardul 2001 defineşte securitatea informaţiilor şi reţelelor ca
FIPS PUB 140-2, elaborat de către National Institute reprezentând mijloacele care:
of Standards and Technologies (NIST). În România, ◦ asigură disponibilitatea serviciilor şi datelor;
prin directiva INFOSEC 12 [2], emisă de către ◦ previn distrugerea şi interceptarea neautorizată a
ORNISS, s-a creat cadrul legal de funcţionare al comunicaţiilor;
entităţilor de evaluare. Până la ora actuală, sunt ◦ asigură confidenţialitatea datelor;
certificate la nivel naţional, de către ORNISS, trei ◦ protejează sistemele informatice împotriva accesului
laboratoare de evaluare a produselor criptografice şi neautorizat;
patru laboratoare de evaluare TEMPEST. Unul dintre ◦ asigură protecţia împotriva atacurilor prin software
cele trei laboratoare de evaluare a produselor cu destinaţie răuvoitoare;
criptografice, ce a fost certificat de către ORNISS, îşi ◦ asigură sistemele de autentificare.
martie-mai 2010 97