OS drošības nodrošināšana

Microsoft operētājsistēmas patlaban ieņem monopola stāvokli pasaulē vienkāršo lietotāju personālo datoru nišā, bet serveru nišā dominējošo stāvokli ieņem atvērtā pirmkoda programmatūra (piemēram, Apache), tajā skaitā gan Latvijā (patlaban vairāk nekā 70% serveriem), gan arī ārvalstīs, kur tā tiek lietota aptuveni 90% serveriem, tajā skaitā lielākajā daļā pasaulē jaudīgākajiem serveriem.

Atvērtā pirmkoda programmatūras lietošana gan valsts un pašvaldību iestādēm, organizācijām, gan uzņēmumiem, gan arī vienkāršiem lietotājiem ir izdevīga vairāku iemeslu dēļ. Tomēr šajā darbā citi ar atvērtā pirmkoda programmatūru saistītie jautājumi netiks plašāk aplūkoti, ar tiem var iepazīties Latvijas Atvērtā koda asociācijā, kā arī daudzos citos Internet resursos.

Vērtējot no IS drošība aspekta, jāuzsver, ka nevienas konkrētas operētājsistēmas lietošana negarantē IS drošību. Jebkurai OS ir savas nepilnības, tāpēc IS drošības nodrošinājumam, kā jau iepriekš minēts, vajadzīga kompleksa sistēmiska pieeja. IS drošības firmas Counterpane Internet Security, Inc. dibinātājs B. Šneijers (Bruce Schneier) pārskatā par IS drošības problēmām trāpīgi norādīja: «IS drošība nav produkts, bet gan process.» Tāpēc nav pareizi paļauties uz kaut kādu noteiktu programmatūru, pat ja tā tiek raksturota kā drošākā, jo vienalga pastāvīgi būs dažādi draudi, kuru novēršana iespējama vien tad, ja IS pārzinis pastāvīgi sekos līdzi IS darbībai un konfigurācijai, visām apdraudējuma pazīmēm, un pastāvīgi strādās pie drošības aspektu pilnveidošanas attiecībā uz visiem IS informācijas un tehniskajiem resursiem.

IS drošības eksperti, veicot pazīstamāko OS salīdzinājumu, kā drošākās un stabilākās bieži nosauc uz Unix standarta izstrādātās operētājsistēmas, tajā skaitā BSD91 saimes OS, pirmkārt jau OpenBSD, no kuras īpaši daudz neatpaliek FreeBSD, NetBSD, BSDi, DragonFlyBSD, kā arī Linux operētājsistēmas dažādas distribūcijas, īpaši SELinux Trustix Secure Linux, Astaro Security Linux, un arī Mac OS X.

Minētā ir plašam personu lokam pieejamā programmatūra, kas tāpēc arī tiek biežāk publiski vērtēta. Bez šās grupas var norādīt arī vairākas kompilētā pirmkoda operētājsistēmas, kas atbilst pat augstākiem formālajiem drošības un stabilitātes standartiem, kādiem neatbilst nedz Linux, nedz Microsoft programmatūra, tajā skaitā GEMSOS, Trusted Solaris, AIX, LynxOS 178 RTOS.

Operētājsistēmas darbības drošības novērtēšanai (noteiktā informācijas sistēmas konfigurācijā), savienojot dažādu valstu standartus, kopš XX gs. deviņdesmitajiem gadiem tiek piemērots vienots starptautiskais standarts, kuru 1999. gadā pieņēma kā Starptautiskās standartu organizācijas ISO standartu ISO 15408 «Informācijas sistēmu drošības novērtējuma kritēriji». Saskaņā ar ASV Aizsardzības departamenta 1985. gada «Oranžo grāmatu», šis ISO standarts atbilst tā sauktajam vienotajam kritērijam (CC Common Criteria).

Common Criteria standarts sadalīts trīs daļās: «Ievads un vispārējais modelis. Drošības funkcionālās prasības. Drošības garantēšanas prasības.» Atbilstība drošības funkcionālajām prasībām tiek noteikta pēc «klasēm» (Classes), kur katra klase ietver daudzpusīgu novērtējumu identifikācijai un autentifikācijai informācijas sistēmā, datu aizsardzībai, drošības menedžmentam, komunikāciju drošībai un auditam, savukārt atbilstība drošības garantēšanas un kontroles prasībām attiecīgās klasēs tiek novērtēta ar «novērtēšanas garantijas līmeni» EAL (Evaluation Assurance Level). Kopumā ir septiņi EAL līmeņi, no kuriem EAL7 šajā drošības standartā ir visaugstākais. Tie atbilst noteiktām klasēm, kuras secībā no viszemākā un augstāko sarindotas šādi: D, C1, C2, B1, B2, B3, A1. Patlaban notiek darbs pie A2 līmeņa izveides.