Orange Book

TCSEC: es el acrónimo de Trusted Computer System Evaluation Criteria que significa “Criterios confiables para evaluación de sistema”. Su objetivo es aplicar a la política de seguridad deldepartamento de defensa Estadounidense, fundamentalmente mantener confidencial la información clasificada a nivel nacional.
El Libro Naranja (Orange Book) fue desarrollado por el NCSC (Centro Nacional deSeguridad Computacional) de la NSA (Agencia de Seguridad Nacional) del Departamento de Defensa de EEUU.
Actualmente, la responsabilidad sobre la seguridad de SI la ostenta un organismo civil, el NIST(Instituto Nacional de Estándares y Tecnología).
ORANGE BOOK

El libro naranja es consecuencia de la necesidad por estandarizar el propósito y el uso de las computadoras por el gobierno federal deEstados Unidos.
El Orange book define cuatro divisiones jerárquicas de seguridad para la protección de la información.
D – Protección Mínima
C – Protección Discrecional (C1, C2)
B – ProtecciónObligatoria (B1, B2, B3)
A– Protección Controlada (A1)

Cada clase define un grupo específico de criterios que un sistema debe cumplir para ser certificado de alguna clase.
Las cuatro categoríasgenerales son: Seguridad, Confianza, Responsabilidad y Documentación.

Si un sistema es seguro, esté controlará a través del uso de características específicas de seguridad, el acceso a la información,deforma tal, que solamente los individuos autorizados correctamente, o los procesos que obtienen los permisos adecuados, tendrán acceso para leer, escribir, crear, modificar o eliminar la información.Se tienen seis requisitos fundamentales, los cuales se derivan de esta declaración básica; cuatro de ellos parten de la necesidad de proporcionar un control de acceso a la información y los dosrestantes de cómo puede obtenerse una seguridad demostrable, logrando así un sistema informático confiable.
Requisito 1 - POLITICA DE SEGURIDAD: Debe existir una política de seguridad explícita y bien...