home *** CD-ROM | disk | FTP | other *** search
/ Hackers Underworld 2: Forbidden Knowledge / Hackers Underworld 2: Forbidden Knowledge.iso / HACKING / TRUSTBLT.TXT < prev    next >
Text File  |  1994-07-17  |  15KB  |  310 lines
  1.                          NCSL BULLETIN
  2.          Advising users on computer systems technology
  3.                            July 1990
  4.  
  5.  
  6. NCSL Bulletins are published by the National Computer Systems
  7. Laboratory (NCSL) of the National Institute of Standards and
  8. Technology (NIST).  Each bulletin presents an in-depth
  9. discussion of a single topic of significant interest to the
  10. information systems community.  Bulletins are issued on an
  11. as-needed basis and are available from NCSL Publications,
  12. National Institute of Standards and Technology, B151,
  13. Technology Building, Gaithersburg, MD  20899, telephone (301)
  14. 975-2821 or FTS 879-2821.  
  15.  
  16. The following bulletins are available:
  17.  
  18.      Data Encryption Standard, June 1990
  19.  
  20.  
  21.                  GUIDANCE TO FEDERAL AGENCIES
  22.                         ON THE USE OF 
  23.                   TRUSTED SYSTEMS TECHNOLOGY
  24.                                
  25.  
  26. INTRODUCTION
  27.  
  28. Purpose.  The purpose of this document is to provide initial
  29. guidance to federal departments and agencies on the use of
  30. trusted systems technology in computer systems which handle
  31. unclassified sensitive information.  
  32.  
  33. Background.  The National Institute of Standards and
  34. Technology (NIST) has received many inquiries from federal
  35. agencies regarding the applicability of Department of Defense
  36. (DoD) Standard 5200.28-STD, DoD Trusted Computer Systems
  37. Evaluation Criteria (TCSEC), and National Telecommunications
  38. and Information Systems Security Policy (NTISSP) Number 200,
  39. National Policy on Controlled Access Protection, to computer
  40. systems which are used to process unclassified sensitive
  41. information and which are covered by the Computer Security
  42. Act of 1987 (Public Law 100-235).  The TCSEC, often called
  43. the "Orange Book," was developed by the National Computer
  44. Security Center (NCSC) of the National Security Agency (NSA). 
  45. NTISSP 200 was published under authority of National Security
  46. Decision Directive (NSDD) 145 prior to the passage of the
  47. Computer Security Act, which established new federal
  48. authorities and policy on protection of unclassified computer
  49. systems.
  50.  
  51. Authority -- NIST Responsibilities under Computer Security
  52. Act.  The Computer Security Act of 1987 assigns NIST the
  53. responsibility for developing security standards and
  54. guidelines for federal computer systems, with the exception
  55. of classified and a specified category of Department of
  56. Defense unclassified systems (referred to as "Warner
  57. Amendment" systems).  NIST is therefore responsible for
  58. advising all federal agencies on the use  of trusted systems
  59. technology in most unclassified computer systems.
  60.  
  61. Objectives.  Specific objectives of this document are to:
  62.      o    provide guidance to federal agencies on the use of
  63.           trusted systems technology; 
  64.      o    clarify the applicability of the TCSEC and NTISSP
  65.           Number 200; and
  66.      o    describe NIST's long-range plans for the development
  67.           of additional policy, guidance, and technical
  68.           recommendations on the use of trusted system
  69.           technology.
  70.  
  71. Definition.  Trusted Systems Technology - The technical
  72. methods and mechanisms that are used to develop trusted
  73. systems, are used to assure the enforcement of a security
  74. policy in such systems, and are contained within the trusted
  75. systems.  Examples of trusted systems are trusted operating
  76. systems, trusted networks, trusted databases, and trusted
  77. applications.  Examples of methods are modeling, software
  78. engineering, and automated evaluation.  Examples of
  79. mechanisms include identification, authentication, auditing,
  80. and access control.  
  81.  
  82. Applicability.  This guidance applies to those federal
  83. computer systems defined in the Computer Security Act of
  84. 1987.
  85.  
  86.  
  87. POLICY GUIDANCE
  88.  
  89. Use of Trusted Systems Technology.  Each agency should select
  90. computer security controls, including trusted systems
  91. technology, for its systems which are commensurate with the
  92. estimated risk and magnitude of potential loss of
  93. confidentiality, integrity or availability.  The selection
  94. should be based upon an analysis of the security risks for
  95. each system within its particular environment.  Trusted
  96. systems technology can be particularly useful for agencies
  97. with significant requirements for confidentiality of
  98. computer-based information.  It can also provide basic access
  99. control protection to help meet information integrity
  100. requirements.
  101.  
  102. Applicability of NTISSP Number 200.  There is no binding
  103. national policy on the applicability and use of trusted
  104. systems technology in federal computer systems which process
  105. unclassified information.  In particular, NTISSP Number 200
  106. does not apply to unclassified systems covered by the
  107. Computer Security Act of 1987.
  108.  
  109.  
  110. USE OF TRUSTED SYSTEMS TECHNOLOGY
  111.  
  112. Value of Trusted Systems.  NIST recommends the use of trusted
  113. systems technology when such technology satisfies
  114. requirements for adequate and cost-effective access control
  115. protection.  Such requirements exist when there is a need for
  116. safeguarding the confidentiality and integrity of
  117. information.  In addition, the assurance process which is a
  118. part of trusted systems technology can help support system
  119. availability requirements.  All these requirements should be
  120. planned for and validated by a formal risk management
  121. procedure.  As an integral part of the planning process
  122. required by the Computer Security Act, the first step in risk
  123. management is the conduct of a thorough risk analysis.  The
  124. second step in risk management is selection of appropriate
  125. security controls based on the analysis of the security risks
  126. for the environment involved.  This risk management process
  127. should balance security and performance requirements and
  128. provide for cost-effective security and privacy of sensitive
  129. information in the system.  Effective use of trusted systems
  130. technology, like any other security control, should
  131. substantially increase the protection relative to the
  132. additional acquisition, operating and maintenance costs of
  133. the security mechanisms obtained.
  134.  
  135. Computer Security Planning and Protection Strategy.   A
  136. security protection strategy consists of a mix of physical,
  137. administrative, and technical safeguards, including trusted
  138. systems technology.  The use of trusted system technology can
  139. be an effective part of a larger computer security protection
  140. strategy for satisfying confidentiality, integrity, and
  141. availability requirements.  As with other types of protection
  142. mechanisms, the benefits attainable from trusted systems
  143. technology can only be realized if these mechanisms are used
  144. properly in a complementary fashion. 
  145.  
  146. Use of Evaluated Products.  Agencies with a need for systems
  147. with trusted technology features should select those systems
  148. from NSA's Evaluated Products List (EPL).  If EPL products
  149. are not available, then agencies may select or design systems
  150. that best meet their security requirements using the TCSEC as
  151. a guide.  NSA's Information Systems Security Products and
  152. Services Catalog contains the EPL, which lists evaluated
  153. products, those systems that are currently undergoing
  154. evaluation, and the current status of such evaluations.  
  155.  
  156. Use of Class "C2" Systems.  Systems designed to meet "C2" or
  157. higher classes of the TCSEC should first be considered when
  158. acquiring multi-user computer systems with a requirement to
  159. control user access to information according to "need to
  160. know" and authorization.  The "C2" and other TCSEC criteria
  161. were designed to achieve confidentiality through improved
  162. access control.  The same access control mechanisms can also
  163. be beneficial for helping to maintain information integrity. 
  164. While it should be recognized that access controls are a
  165. necessary part of achieving integrity and availability, there
  166. are other requirements for integrity and availability not
  167. covered by the TCSEC.  NIST recommends that federal
  168. departments and agencies consider using "C2" functionality as
  169. a minimum to help protect their multi-user systems having
  170. confidentiality or integrity control requirements.
  171.  
  172. Use of Division "B" Systems.  When acquiring multi-user
  173. computer systems with a req