AEDP-03 - керівні матеріали з санітарної обробки пам'яті розширених систем зберігання даних

Що це таке

AEDP-03 - це NATO Allied Engineering Documentation Publication із керівними матеріалами з санітарної обробки технології розширеного зберігання даних у реєстраторах Intelligence, Surveillance and Reconnaissance (ISR): flash твердотільної пам'яті, твердотільних дисків і магнітних дисків або RAID на інтерфейсі STANAG 4575. Документ існує, бо Removable Memory Modules містять чутливі до часу дані ISR, які потрібно зробити невідновлюваними, перш ніж носій повторно використати, відправити на ремонт поза контролем програми або зняти гриф секретності. AEDP-03 сам по собі нікого не зобов'язує. Це керівні матеріали, і «національні вимоги можуть замінити цей документ»; рекомендацію країнам використовувати його зафіксовано в STANREC 4750, Рекомендації зі стандартизації, а не ратифікованому STANAG, тож національні офіцери самі вирішують, чи і як це застосовується до їхніх систем. Видання перед вами - Edition C, опубліковане 16 серпня 2016 року, замінює попередню версію того ж видання.

Для кого призначений AEDP-03

AEDP-03 звертається до персоналу програм і безпеки NATO, а не до системи менеджменту постачальника. Менеджерам з закупівель рекомендовано «переконатися, що інтерфейси, параметри керування, структура команд, ОС та/або BIOS закуплених пристроїв зберігання даних здатні підтримувати вимоги санітарної обробки цього AEDP у їхніх системах». Очікується, що менеджер програми з закупівель «перевірить тестом і демонстрацією (тобто First Article Inspection/Test)», що розроблена пам'ять ADST реалізує процедури, які документ визначає. А офіцер з безпеки програми визначає процедуру санітарної обробки для системи і, після очищення або знищення пам'яті, «оцінить ризик оголошення елемента пам'яті «declassified» і визначить, чи належно виконано потрібні процедури». Саме ці три ролі, а не орган сертифікації і не ця сторінка, AEDP-03 ставить відповідальними.

Три рівні: Clear, Purge, Destroy

Документ описує три рівні санітарної обробки, застосовані по-різному залежно від типу носія. Clear - це «Erase» усього каталогу та всього елемента зберігання даних перевіреною технологічно відповідною процедурою», придатною для рутинного повторного використання в контрольованому середовищі; звичайне видалення файлу на жодному рівні не зараховується, бо вміст файлу лишається «вразливим до відновлення простими засобами». Purge «застосовує фізичні або логічні методи, що роблять відновлення цільових даних неможливим з використанням сучасних лабораторних методів». Destroy - це остаточне фізичне знищення носія, зарезервоване для кінця життєвого циклу або надзвичайної ситуації, коли знищення - єдиний доступний варіант.

Процедури за технологією зберігання і хто обирає

AEDP-03 розглядає окремі процедури Clear, Purge і Destroy для FLASH твердотільної пам'яті, для магнітних жорстких дисків і RAID і для Removable Memory Modules на твердотільних дисках, бо один підхід не санітизує кожну технологію однаково. Документ зауважує, що внутрішня архітектура пристрою не завжди очевидна ззовні, оскільки «новий користувач може не знати внутрішніх компонентів RMM і має мати можливість покладатися на зазначену або вбудовану процедуру санітарної обробки», і виключає дегаусинг для flash-носіїв: дегаусинг «не слід виконувати як метод санітарної обробки flash-пристроїв зберігання». Яка процедура застосовується до конкретного пристрою і з якими параметрами, AEDP-03 залишає рішенню офіцера з безпеки програми згідно з національною політикою, а не друкує тут як крок для виконання: сам документ покладає ризик помилкового судження на користувача, замовника, програму або менеджера з безпеки.

Криптографічне стирання на self-encrypting drives

Якщо пристрій - self-encrypting drive, криптографічне стирання санітизує ключ шифрування диска, а не самі дані. AEDP-03 чітко вказує, коли на це можна покладатися: його «слід використовувати лише коли всі дані на RMM автоматично зашифровані», і після знищення ключа все одно потрібна перевірка, що він справді зник, перш ніж пам'ять вважатиметься санітизованою. Щодо базового шифрування та генерації ключів AEDP-03 посилається на опубліковані керівні матеріали NIST, а не переписує їх.

Перевірка, несправні комірки та відповідальність програми

Purge не завершено, доки його не перевірено: «перевірка процесу санітарної обробки - обов'язковий крок для збереження конфіденційності і завжди потрібний крок у процедурах PURGE», чи то читанням всього носія, чи визначеним методом вибірки. Несправні або пошкоджені блоки даних мають власне рішення: документ рекомендує перезаписувати їх, де це практично, але залишковий ризик офіцер з безпеки зважує з типом даних і способом запису. Вся відповідальність на рівні програми: «визначення ризику, що належну та відповідну санітарну обробку ефективно впроваджено, лежить на Program Security Manager і має базуватися на відповідній Country Policy». Програми також мають планувати носії, що виходять з-під їхнього контролю, наприклад при поверненні виробнику на ремонт, і мати окрему процедуру для носіїв, які катастрофічно відмовили і більше не доступні через звичайний інтерфейс.

Як це оцінюють

Сертифікації за AEDP-03 немає, і документ не називає акредитованого або notified body. Оцінка відбувається на рівні програми: менеджер програми з закупівель перевіряє тестом, що розроблена пам'ять ADST реалізує потрібні процедури, а офіцер з безпеки після purge або destroy оцінює ризик оголошення елемента пам'яті «declassified» і підтверджує виконання процедур. Офіцер з безпеки перевіряє документацію, а не сертифікат: власні процедури системи «мають містити чітке визначення критеріїв перевірки, що пам'ять санітизована, і перелік усіх форм і записів, які потрібно заповнити». Фіксованого циклу немає; підписання відбувається щоразу при purge, destroy або після First Article Test, а прийнятність результату вирішує національний орган безпеки за програмою, ніколи ця сторінка.

На що посилається AEDP-03

AEDP-03 опубліковано для країн NATO під STANREC 4750, Рекомендацією зі стандартизації, яка є його обкладинкою, і він безпосередньо пов'язаний із STANAG 4575, NATO Advanced Data Storage Interface: Removable Memory Module визначено щодо «інтерфейсу STANAG 4575 у системі, сумісній з STANAG 4575». Щодо криптографії за криптографічним стиранням документ посилається на опубліковані Special Publications NIST про шифрування носіїв, санітарну обробку та генерацію ключів, а також на власні директиви NATO INFOSEC і глосарій AAP-6(V) для термінів declassification і downgrade, не переписуючи жодного з них.

Стандарти, на які він посилається

• STANAG 4575Довідково
• APP-06Довідково

Інші стандарти в темі «Авіаційні озброєння»

• AEDP-02AEDP-02 - архітектура взаємодії ISR NATO
• AEDP-05AEDP-05 - посібник з впровадження інтерфейсу бібліотеки ISR NATO
• AEDP-06AEDP-06 - інтерфейс розширеного зберігання даних NATO (NADSI)
• AEDP-12AEDP-12 стандарт NATO на дані супроводу цілей для ISR
• AEDP-17AEDP-17 - стандартний інтерфейс бібліотеки ISR NATO
• AEDP-18AEDP-18 стандартні служби потокової передачі ISR для NATO