Безкоштовно

Міжнародний стандарт ISO 15408. Основні критерії

views 52

Курсова робота

з дисципліни «Системи технічного захисту інформації»

на тему: «Міжнародний стандарт ISO 15408. Основні критерії»

Безпека інформаційних технологій (ІТ) стоїть у ряду найактуальніших проблем інформатизації суспільства. Її розв’язання значною мірою визначається досконалістю відповідної нормативно-методичної бази. Дана доповідь присвячена одному з найбільш значущих в цьому плані документів – міжнародному стандарту ISO / IEC 15408 “Критерії оцінки безпеки інформаційних технологій ”

Стандарт ISO 15408 – один з найбільш поширених стандартів у галузі безпеки. У його створенні взяли участь організації зі США, Канади, Англії, Франції, Німеччини, Голландії. У стандарті, що отримав назву «Загальні критерії оцінки безпеки інформаційних технологій » (The Common Criteria for Information Technology Security Evaluation), докладно розглянуто загальні підходи, методи та функції забезпечення захисту інформації в організаціях.

Функції системи інформаційної безпеки забезпечують виконання вимог конфіденційності, цілісності, достовірності та доступності інформації. Всі функції представлені у вигляді чотирирівневої ієрархічної структури: клас – сімейство – компонент – елемент.

За аналогією представлені вимоги якості. Подібна градація дозволяє описати будь-яку систему інформаційної безпеки і зіставити створену модель з поточним станом справ.

У стандарті виділені 11 класів функцій: аудит, ідентифікація та аутентифікація, криптографічний захист, конфіденційність, передача даних, захист даних користувача, управління безпекою, захист функцій безпеки системи, використання ресурсів, доступ до системи, надійність засобів.

Оцінка інформаційної безпеки базується на моделях системи безпеки, що складаються з перерахованих у стандарті функцій. У ISO 15408 міститься ряд зумовлених моделей (так званих профілів), що описують стандартні модулі системи безпеки. З їх допомогою можна не створювати моделі поширених засобів захисту самостійно, винаходячи велосипед, а користуватися вже готовими наборами описів, цілей, функцій і вимог до цих засобів. Простим прикладом профілів може служити модель міжмережевого екрану.

Сертифікований профіль являє собою повний опис певної частини (або функції) системи безпеки. У ньому міститься аналіз внутрішнього і зовнішнього середовища об’єкта, вимоги до його функціональності і надійності, логічне обгрунтування його використання, можливості та обмеження розвитку об’єкта.

Стандарт ISO 15408 вигідно відрізняє відкритість. Описує ту чи іншу область системи безпеки профіль можна створити самостійно за допомогою розробленої в ISO 15408 структури документа. У стандарті визначена також послідовність дій для самостійного створення профілів.

Базовими документами, які лягли в основу Загальних критеріїв (ЗК), є:

  • Помаранчева книга (TCSEC) 1985р.;
  • Європейські критерії (ITSEC) 1991р.;
  • Канадські критерії 1993р.;
  • Федеральні критерії США 1993р.

Загальні критерії узагальнили зміст і досвід використання Помаранчевої книги, розвинули рівні впевненості Європейських критеріїв, втілили в реальні структури концепцію профілів захисту Федеральних критеріїв США.

Стандарт ISO/IEC 15408 «Загальні критерії оцінки безпеки інформаційних технологій» (англ. Common Criteria for Information Technology Security Evaluation) описує інфраструктуру (Framework) в якій користувачі комп’ютерної системи можуть описати вимоги, розробники можуть заявити про властивості безпеки продуктів, а експерти з безпеки визначити, чи задовольняє продукт заявам. Таким чином цій стпндарт дозволяє бути впевненим, що процес опису, розробки та перевірки продукту був проведений в строгому порядку. Прообразом даного документа послужили «Критерії оцінки безпеки інформаційних технологій» (англ. Evaluation Criteria for IT Security, ECITS), робота над якими почалася в 1990 році.  В Росії цей стандарт введено як «ГОСТ ИСО/МЭК 15408-2002». В Україні цей документ введено до Плану національної стандартизації на 2007 рік.

У “Загальних критеріях ” (ЗК) проведена класифікація широкого набору функціональних вимог і вимог довіри до безпеки, визначені структури їх групування і принципи цільового використання.

Розробці «Загальних критеріїв» передувала розробка документа «Критерії оцінки безпеки інформаційних технологій» (англ. Evaluation Criteria for IT Security, ECITS), розпочата в 1990 році, і виконана робочою групою 3 підкомітету 27 першого спільного технічного комітету (або JTC1/SC27/WG3 ) Міжнародної організації зі стандартизації (ISO).

Даний документ став основою для початку роботи над документом Загальні критерії оцінки безпеки інформаційних технологій (англ. Common Criteria for IT Security Evaluation), розпочатої в 1993 році. У цій роботі брали участь урядові організації шести країн (США, Канада, Німеччина, Великобританія, Франція, Нідерланди). У роботі над проектом брали участь такі інститути:

  • Національний інститут стандартів і технології і Агентство національної безпеки (США);
  • Установа безпеки комунікацій (Канада);
  • Агентство інформаційної безпеки (Німеччина);
  • Органи виконання програми безпеки і сертифікації ІТ (Англія);
  • Центр забезпечення безпеки систем (Франція);
  • Агентство національної безпеки комунікацій (Нідерланди).

Стандарт був прийнятий в 2005 році комітетом ISO і має статус міжнародного стандарту, ідентифікаційний номер ISO / IЕC 15408. У фахових колах за цим документом згодом закріпилося коротку назву – англ. Common Criteria, CC; рос. «Загальні критерії»

Загальні критерії дозволяють підвищити довіру до засобів захисту і самої інформації, що захищається за рахунок трьох основних якостей:

1. Можливості гнучкого завдання вимог до засобів захисту інформації з урахуванням їх призначення і умов застосування.

2. Більш повного і обгрунтованого набору вимог безпеки.

3. Наявності методології оцінки, що забезпечує об’єктивність і порівнянність результатів.

Загальні критерії являють собою набір з п’яти окремих взаємопов’язаних частин. До них відносяться:

– Введення і загальна модель.

– Функціональні вимоги безпеки.

– Вимоги до надійності захисних механізмів.

– Попереднє визначення профілі захисту.

– Процедури реєстрації профілів захисту.

Основними відмітними рисами ЗК є наступні:

1. Перш за все, ЗК – це певна методологія та система формування вимог і оцінки безпеки ІТ. Системність простежується, починаючи від термінології та рівнів абстракції представлення вимог аж до їх застосування при оцінці безпеки на всіх етапах життєвого циклу продуктів і систем ІТ.

2. Загальні критерії характеризуються найбільш повною на сьогоднішній день сукупністю вимог безпеки ІТ.

3. У ЗК проведено чіткий поділ вимог безпеки на функціональні вимоги і вимоги довіри до безпеки. Функціональні вимоги (11 класів, 66 родин, 135 компонентів) відносяться до функцій безпеки (ідентифікації, аутентифікації, управління доступом, аудиту і т. д.), а вимоги довіри (8 класів, 44 сімейства, 93 компонента) – до досягнення впевненості в коректності реалізації та ефективності функцій безпеки шляхом оцінки технології розробки, тестування, аналізу вразливостей експлуатаційної документації, постачання і супроводу продуктів та систем ІТ.

4. Загальні критерії включають шкалу довіри до безпеки (оціночні рівні довіри – ОРД), яка може використовуватися для отримання різного ступеня впевненості у безпеці продуктів і систем ІТ

5. Систематизація і класифікація вимог щодо ієрархії “клас” – “сімейство” – “компонент “- “елемент”з унікальними ідентифікаторами вимог забезпечує зручність їх використання.

6. Компоненти вимог в родинах і класах ранжовані за ступенем повноти і строгості, а вимоги довіри згруповані в пакети вимог

7. Гнучкість у підході до формування вимог безпеки для різних типів продуктів і систем ІТ та умов їх застосування забезпечується можливістю цілеспрямованого формування необхідних наборів вимог у вигляді певних в ЗК стандартизованих структур (пакетів вимог, профілів захисту і завдань з безпеки).

8. Загальні критерії володіють відкритістю і розширюваністю, тобто дозволяють уточнювати існуючі і вводити додаткові вимоги.

Як показують оцінки фахівців у галузі інформаційної безпеки за рівнем систематизації, повноті і можливостям деталізації вимог, універсальності і гнучкості в застосуванні ЗК представляють найбільш досконалий з існуючих в даний час стандартів. Причому, що дуже важливо, в силу особливостей побудови він має практично необмежені можливості для розвитку і являє собою базовий стандарт, що містить методологію завдання вимог і оцінки безпеки ІТ, а також систематизований каталог вимог безпеки. Як функціональних стандартів, в яких формулюються вимоги до безпеки певних типів продуктів і систем ІТ, передбачається використання профілів захисту (ПЗ), що створюються за методологією і на основі каталогу вимог ЗК. У ПЗ можуть бути включені і будь-які інші вимоги, які є необхідними для забезпечення безпеки конкретного типу продуктів або систем ІТ.

На підтримку стандарту розроблено цілий ряд нормативно-методичних документів. Серед них:

– керівництво з розробки профілів захисту і завдань з безпеки;

– процедури реєстрації профілів захисту;

– загальна методологія оцінки безпеки інформаційних технологій;

– Інструментальні засоби автоматизації розробки профілів захисту і завдань з безпеки.

Загальні критерії отримали широке визнання у світі. У 1998 році урядовими організаціями Канади, Франції, Німеччини, Великобританії і США було підписано угоду про взаємне визнання оцінок (The International Mutual Recognition Arrangement – MRA), отриманих на основі Загальних критеріїв.

У травні 2000 року представниками вже чотирнадцяти країн було підписано більш універсальне (у порівнянні з MRA) угоду CCRA (CC Recognition Arrangement). Угода CCRА значно розширює можливості приєднання нових країн-учасниць. Як очікується, найближчим часом їхня кількість наблизиться до двадцяти.

У країнах, що беруть участь в Угоді з Загальними критеріями (перш за все, в США, Великобританії, Франції та ін), розроблено вже декілька десятків профілів захисту для різних типів продуктів ІТ: систем управління доступом, операційних систем, систем управління базами даних, міжмережевих екранів, компонентів інфраструктури управління ключами, смарт-карт і ін Частина з них пройшла експертизу і включена в національні реєстри. Існує міжнародний реєстр сертифікованих профілів захисту, а також знаходяться в процесі оцінки і сертифікованих продуктів ІТ. У рамках ОК пройшли оцінку і сертифікацію більше 40 продуктів і систем ІТ і близько 20 знаходиться в процесі оцінки.

Проблема забезпечення безпеки інформаційних технологій займає усе більш значне місце в реалізації комп’ютерних систем та мереж у міру того, як зростає їх роль в інформатизації суспільства. Забезпечення безпеки інформаційних технологій (ІТ) являє собою комплексну проблему, яка вирішується в напрямках вдосконалення правового регулювання застосування ІТ, вдосконалення методів і засобів їх розробки, розвитку системи сертифікації, забезпечення відповідних організаційно-технічних умов експлуатації. Ключовим аспектом вирішення проблеми безпеки ІТ є вироблення системи вимог, критеріїв та показників для оцінки рівня безпеки ІТ.

ДСТУ ISO / IEC 15408 містить загальні критерії оцінки безпеки інформаційних технологій.

ДСТУ ISO / IEC 15408-1 встановлює загальний підхід до формування вимог до оцінки безпеки (функціональні та довіри), основні конструкції (профіль захисту, завдання з безпеки) подання вимог безпеки в інтересах споживачів, розробників і оцінювачів продуктів і систем ІТ. Вимоги безпеки об’єкта оцінки (00) за методологією Загальних критеріїв визначаються виходячи з цілей безпеки, які, у свою чергу, грунтуються на аналізі призначення 00 і умов середовища його використання (загроз, припущень, політики безпеки).

ДСТУ ISO / IEC 15408-2 містить універсальний систематизований каталог функціональних вимог безпеки і передбачає можливість їх деталізації і розширення за певними правилами.

ДСТУ ISO / IEC 15408-3 включає в себе систематизований каталог вимог довіри, визначають заходи, які повинні бути прийняті на всіх етапах життєвого циклу продукту або системи ІТ для забезпечення впевненості в тому, що вони задовольняють пред’явленим до них функціональним вимогам. Тут же містяться оціночні рівні довіри, що визначають шкалу вимог, які дозволяють з зростаючої ступенем повноти і строгості оцінити проектну, тестову та експлуатаційну документацію, правильність реалізації функцій безпеки 00, уразливості продукту або системи ІТ, стійкість механізмів захисту і зробити висновок про рівень довіри до безпеки об’єкта оцінки.

Особливості ISO 15408 в порівнянні з іншими стандартами в галузі безпеки:

– Стандарт дозволяє визначити повний перелік вимог до засобів безпеки, а також критерії їх оцінки (показники захищеності інформації)

– Стандарт визначає повний перелік об’єктів аналізу і вимог до них, не загострюючи уваги на методах створення, управління та оцінки системи безпеки

– Стандарт дозволяє оцінити повноту системи інформаційної безпеки з технічної точки зору, не розглядаючи при цьому комплекс організаційних заходів щодо забезпечення захисту інформації

Висновок

Вивчення існуючих критеріїв оцінки безпеки АЕС дозволяє зробити наступні висновки:

1. Для того, щоб результати сертифікаційних випробувань можна було порівнювати між собою, вони мають проводитися в рамках надійної схеми, що встановлюється відповідними стандартами в цій галузі і дозволяє контролювати якість оцінки безпеки.

2. В даний час в деяких країнах існують такі схеми, але вони базуються на різних критеріях оцінки. Однак, ці критерії мають між собою багато спільного, тому що використовують подібні концепції, що дозволяє здійснювати їх порівняння. “Єдині критерії” підтримують сумісність з вже існуючими. Це дозволяє використовувати наявні результати та методики оцінок.

3. Єдині критерії визначають загальний набір понять, структур даних і мова для формулювання питань і тверджень щодо безпеки АЕС. Це дозволяє експертам, які проводять оцінку, використовувати вже накопичений у цій області досвід.

4. Вимоги, що містяться в “Єдиних критеріях”, можуть також використовуватися при виборі відповідних засобів забезпечення безпеки АЕС. Потенційні користувачі АС, спираючись на результати сертифікації, можуть визначити чи задовольняє даний програмний продукт або система їх вимогам безпеки.

5. Крім цього, “Єдині критерії” покращують існуючі критерії, вводячи нові концепції і уточнюючи зміст наявних.

Написати коментар:

Ваша пошт@ не публікуватиметься. Обов’язкові поля позначені *