- •Загальні критерії безпеки інформаційних технологій
- •1 Основні положення загальних критеріїв безпеки інформаційних технологій
- •1.1. Мета розробки, основні положення та склад "Загальних критеріїв"
- •3 Вимоги гарантій засобів захисту
- •3.1. Загальна характеристика вимог гарантій безпеки
- •3.2. Класи вимог гарантій безпеки
- •3.3 Рівні гарантій безпеки
Загальні критерії безпеки інформаційних технологій
1 Основні положення загальних критеріїв безпеки інформаційних технологій
1.1. Мета розробки, основні положення та склад "Загальних критеріїв"
Загальні критерії безпеки інформаційних технологій [Common Criteria for Information Technology Security Evaluation (CCITSE)] — стандарт інформаційної безпеки [14], що узагальнює зміст і досвід використання "Оранжевої книги".
В ньому розвинені "Європейські критерії", втілена в реальні структури концепція типових профілів захисту "Федеральних критеріїв" США і відповідно до "Канадських критеріїв" представлена однакова основа для формулювання розробниками, користувачами та оцінювачами інформаційних технологій (експертами з кваліфікації) вимог, метрик і гарантій безпеки.
Версія 2.1 цього стандарту затверджена Міжнародною організацією із стандартизації (ISO) в 1999 році в якості міжнародного стандарту інформаційної безпеки ISO/IES 15408.
Матеріали стандарту являють собою енциклопедію вимог і гарантій з інформаційної безпеки, які можуть відбиратися та реалізовуватися у функціональні стандарти (профілі захисту) забезпечення інформаційної безпеки для конкретних систем, мереж і засобів як користувачами (по відношенню до того, що вони хочуть одержати в продукті, який пропонується), так і розробниками й операторами мереж (по відношенню до того, що вони гарантують у продукті, який реалізується).
Pue. 1. Структура Загальних критеріїв безпеки інформаційних технологій
частина 1 — "Уявлення та загальна модель" [Part 1: Introduction and general model];
частина 2 —"Вимоги до функцій безпеки" [Part I: Security functional requirements] ;
частина 3 — "Вимоги гарантій безпеки" [Part I: Security assurance requirements].
За межі стандарту винесена частина 4 — "Напередвизначені профілі захисту", із-за необхідності постійного поповнення каталогу профілів захисту.
3 Вимоги гарантій засобів захисту
3.1. Загальна характеристика вимог гарантій безпеки
Вимоги гарантій безпеки (ВГБ) [security assurance requirements] — вимоги безпеки, які в "Загальних критеріях" представляють собою характеристику ІТ-продукту, що показує, наскільки ефективно забезпечується заявлений рівень безпеки, а також ступінь коректності реалізації засобів захисту. Як і функціональні вимоги безпеки, ВГБ детально структурировані та регламентують усі етапи проектування, створення та експлуатації ІТ-продукту дуже детально. Структура вимог гарантій аналогічна функціональним вимогам.
Клас ВГБ [assurance class] — верхній рівень формальної структури вимог гарантій безпеки. Містить наступні елементи:
назву класу [class name];
опис класу [class introduction];
розділи вимог гарантій безпеки [assurance family].
Вимоги розподілені на 7 класів ВГБ (рис. 7 ):
Рис. 7. Структура вимог гарантій безпеки
керування проектом;
дистрибуція;
розробка;
документація;
процес розробки;
тестування;
аналіз захисту.
Розділ ВГБ [assurance family] — складова частина класу ВГБ. Структура розділу містить наступні елементи:
назва та позначення розділу [family name];
мета [objectives];
ранжирування вимог [component levelling];
опис застосування [application notes];
вимоги [assurance component].
Кожний розділ має свою унікальну назву і семисимвольний ідентифікатор, який складається з трибуквеного ідентифікатора класу, знаку підкреслення і трибуквеного позначення розділу. Ранжирування стандартних вимог представлене у вигляді впорядкованих списків.
Структура ВГБ складається з наступних елементів:
назва вимоги [component identification] ;
мета [objectives];
опис застосування [application notes];
сполучені вимоги [dependencies];
елементи вимоги [assurance element].
Вимоги гарантій використовуються в ході кваліфікаційного аналізу ІТ-продукту відповідного рівня гарантій.