IA-enabled information technology product

IA-enabled information technology product (IA-включённый информационно-технологический продукт) — это продукт или технология, чьё основное назначение не связано с обеспечением безопасности, но которые предоставляют сервисы безопасности как сопутствующую функцию своих основных рабочих возможностей. Термин закреплён в глоссарии NIST Computer Security Resource Center и восходит к определению CNSSI-4009.

Что означает термин

Термин описывает класс программных и аппаратных продуктов, у которых обеспечение информационной безопасности не является главной задачей, а реализуется как дополнительная, встроенная возможность. Под сервисами безопасности в этом контексте понимаются функции защиты информации — конфиденциальность, аутентификация, контроль целостности, управление доступом и неотрекаемость, — встроенные в продукт, основная роль которого состоит в решении иной прикладной задачи.

Аббревиатура IA в названии термина происходит от «Information Assurance» и указывает на историческую привязку понятия к нормативной базе, сформированной в Министерстве обороны США и закреплённой в глоссарии CNSSI-4009.

Как устроено

Структурно IA-enabled IT-продукт отличается от специализированного средства защиты тем, что сервисы безопасности в нём реализованы не как самостоятельная функция, а как связанный с основной функциональностью компонент. Продукт проектируется для выполнения определённой рабочей задачи, а возможности по защите информации добавляются на этапе разработки либо в виде встроенных модулей, которые неотделимы от основной функции без потери работоспособности.

Такая архитектура предполагает, что механизмы защиты привязаны к конкретным операциям продукта, а не существуют в виде отдельной системы. Например, веб-браузер не является системой безопасности как таковой, но встроенная в него проверка сертификатов и фильтрация содержимого делают его IA-enabled продуктом.

Где применяется

NIST CSRC в качестве типичных примеров IA-enabled IT-продуктов приводит веб-браузеры с функциями безопасности, маршрутизаторы с функцией фильтрации (screening routers), доверенные операционные системы и системы обмена сообщениями с поддержкой безопасности. Во всех этих случаях основной рабочей функцией продукта остаётся, соответственно, отображение веб-страниц, маршрутизация трафика, выполнение прикладных задач или передача сообщений, а защитные механизмы являются сопутствующими.

В нормативном контексте понятие используется в документах Министерства обороны США и применяется при оценке и закупке продуктов, задействованных в защите информационных систем. Контрольный каталог NIST SP 800-53 (версия 4) отдельно рассматривает случай, когда IA-enabled IT-продукты применяются для защиты классифицированной информации криптографическими методами: тогда может потребоваться использование NSA-одобренного управления ключами.

Отличие от близких понятий

В глоссарии NIST CSRC параллельно существуют три близких термина: IA-enabled information technology product, IA-enabled product и IA product. Различие между ними состоит в том, какая роль отводится безопасности. Для IA-enabled продуктов безопасность — сопутствующая функция, тогда как IA product определяется как продукт, чьё основное назначение состоит именно в предоставлении сервисов безопасности — конфиденциальности, аутентификации, целостности, контроля доступа, неотрекаемости. В источниках разграничение этих терминов не всегда последовательно.

История возникновения

Определение восходит к глоссарию CNSSI-4009, использовавшемуся в нормативных документах Министерства обороны США, и закреплено в NIST Computer Security Resource Center. В академической литературе также предпринимались попытки уточнить определение: в 2010 году на конференции IEEE была опубликована работа P. Campbell, предлагавшая строить определение IA и IA-enabled продуктов на основе категорий угроз, в противовес каноническому определению, построенному вокруг понятия «security services».

NIST CSRC отмечает, что с переходом DoDI 8500.01 от термина «information assurance» к термину «cybersecurity» связанные с IA термины, включая данный, могут подвергаться пересмотру, что создаёт потенциальную неоднозначность при использовании термина в новых контрактах и политиках.