Федеральное государственное образовательное бюджетное
Учреждение высшего образования
«Финансовый университет
При Правительстве Российской Федерации»
(Финансовый университет)
Национальный стандарт
ГОСТ Р ИСО/МЭК 15408-1-2012
("Общая модель оценки")
Студент группы ИБ3-1
Анточи А.С
Назначение стандарта
- Методы обеспечения безопасности
- Средства обеспечения безопасности
- Критерии оценки безопасности ИТ
МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ. КРИТЕРИИ ОЦЕНКИ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ
Security techniques. Evaluation criteria for IT security
- Методы (техники) обеспечения безопасности
Средства обеспечения безопасности- Критерии оценки безопасности ИТ
РУС.
АНГ.
В чем может помочь данный стандарт
- В разработке, оценке и приобретении (выборе) средств ИТ с функциональными возможностями безопасности
- В защите информации от угроз, выходящими за пределы конфиденциальности, целостности и доступности (защита от рисков)
- В определении общей оценки характеристик безопасности продуктов ИТ
- В доработке компонентов посредством разрешенных операций для конкретного применения
- В получении инструкции по спецификации заданий по безопасности
- В получении информации о методологии оценки продуктов ИТ
Вступительная часть (начало документа)
Отрывок из раздела №8 ГОСТ Р 1.0-2012 -
"Применение документов в области стандартизации":
Сказано, где искать изменения, но не сказано, что делать
=> необходимо отслеживать изменения и вводить их по мере появления, иначе - несоответствие требованиям
Понятие объекта оценки (ОО) и связь с понятием конфигурации ОО
Относительно ИСО/МЭК 15408 четкое соотношение между ОО и любыми продуктами ИТ является важным только в одном аспекте: оценку ОО, содержащего часть продукта ИТ, не следует ошибочно представлять как оценку продукта ИТ в целом.
ОО - это абстракция, границы которой определяются пользователем стандарта.
Примеры абстракций "ОО":
- прикладная программа;
- операционная система;
- прикладная программа в сочетании с операционной системой;
- прикладная программа в сочетании с операционной системой и рабочей станцией;
- операционная система в сочетании с рабочей станцией;
- интегральная схема смарт-карты;
- локальная вычислительная сеть, включая все терминалы, серверы, сетевое оборудование и программные средства;
Если руководства ОО допускают более одной конфигурации, то все эти конфигурации вместе именуются "ОО", и каждая такая конфигурация должна удовлетворять требованиям, предъявляемым к ОО
...что подтверждает ответственность лица, использующего стандарт за формирования абстракций ОО
ОО <> среде функционирования.
Т.е стандарт явно отделяет ОО от той среды, в которой он функционирует и которая может быть "некорректной"
Структура оценки ОО
Все критерии оценки структурированы в интересах 3х групп пользователей:
- Потребители - удовлетворение потребностей при выборе нужных ИТ-продуктов
- Разработчики - понимание того, "что" необходимо сделать на этапе разработки
- Оценщики - критерии для формирования заключений об оценке
Взаимосвязь понятий при оценке ОО
- Задание по безопасности(ЗБ) -> Цели безопасности -> Выработка контрмер
- Контремеры -> Оценка -> Определение корректности
Профили защиты(ПЗ) и задания безопасности(ЗБ) при оценки ОО
Профиль защиты - это общие правила для конкретного типа ОО, подлежащие уточнению в задании по безопаснсоти
Задание безопасности - уточнение общих правил из профиля, добавление дополнительных в зависимости от конкретного ОО
ПЗ могут разрабатываться сообществом лиц, заинтересованных в оценке определенного типа ОО, в то время как ЗБ разрабатываются уже непосредственно разработчиками конкретных ОО
Профили защиты(ПЗ) и задания безопасности(ЗБ) при оценки ОО
Упрощение процесса оценки ОО с помощью ПЗ:
- Организация, заинтересованная в приобретении конкретного типа продукта безопасности ИТ, излагает свои потребности в безопасности в ПЗ, затем обеспечивает его оценку и выпуск
- Разработчик получает этот ПЗ, разрабатывает ЗБ, которое содержит утверждение о соответствии данному ПЗ, и обеспечивает оценку этого ЗБ
- Разработчик создает ОО (или использует существующий) и обеспечивает его оценку на соответствие ЗБ
- Разработчик может доказать, что его ОО удовлетворяет потребностям в безопасности организации: поэтому организация может закупить этот ОО
Результаты оценки
Основной итог оценки - определение соответствия/несоответствия ОО по отношению к ЗБ
Утверждение о соответствии включает:
-
описание версии ИСО/МЭК 15408, о соответствии которой заявлено в ПЗ или ЗБ
-
"соответствие именованному пакету" - ПЗ или ЗБ соответствует предопределенному именованному пакету (например, ОУД)
- "соответствие ПЗ" - ПЗ или ОО удовлетворяет конкретному(ым) профилю(ям) защиты, который(ые) перечислен(ы) как часть утверждения о соответствии
Итоговая модель оцениваемого объекта ИТ
ГОСТ 15408-1 2012
By Anton Antochi
ГОСТ 15408-1 2012
Семинар по управлению ИБ
