Стандарты и спецификации в области информационной безопасности

Стандарт ISO/IEC 15408 "Критерии оценки безопасности информационных технологий". Основные понятия

Мы возвращаемся к теме оценочных стандартов, приступая к рассмотрению самого полного и современного среди них - "Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий" (введен в действие 1 декабря 2013 года).

По историческим причинам данный стандарт часто называют "Общими критериями" (или даже ОК). Мы также будем использовать это сокращение.

"Общие критерии" на самом деле являются метастандартом, определяющим инструменты оценки безопасности ИС и порядок их использования. В отличие от "Оранжевой книги", ОК не содержат предопределенных "классов безопасности". Такие классы можно строить, исходя из требований безопасности, существующих для конкретной организации и/или конкретной информационной системы.

С программистской точки зрения ОК можно считать набором библиотек, помогающих писать содержательные "программы" - задания по безопасности, типовые профили защиты и т.п. Программисты знают, насколько хорошая библиотека упрощает разработку программ, повышает их качество. Без библиотек, "с нуля", программы не пишут уже очень давно; оценка безопасности тоже вышла на сопоставимый уровень сложности, и "Общие критерии" предоставили соответствующий инструментарий.

Важно отметить, что требования могут быть параметризованы, как и полагается библиотечным функциям.

Как и "Оранжевая книга", ОК содержат два основных вида требований безопасности:

• функциональные, соответствующие активному аспекту защиты, предъявляемые к функциям безопасности и реализующим их механизмам;
• требования доверия, соответствующие пассивному аспекту, предъявляемые к технологии и процессу разработки и эксплуатации.

Требования безопасности предъявляются, а их выполнение проверяется для определенного объекта оценки (ОО) - совокупности программного, программно-аппаратного и/или аппаратного обеспечения, возможно сопровождаемая руководствами.

На рисунке 5.1 представлена взаимосвязь понятий, используемых при оценке и их взаимосвязь

Рис. 5.1. Понятия, используемые при оценке, и их взаимосвязь.

По стандарту ИСО/МЭК 15408 признают два типа оценки: оценка ЗБ/ОО и оценка ПЗ, которая определяется в ИСО/МЭК 15408-3.

Профиль защиты - независимое от реализации изложение потребностей в безопасности для некоторого типа ОО.

Задание по безопасности - зависимое от реализации изложение потребностей в безопасности для конкретного идентифицированного ОО.

По ИСО/МЭК 15408 оценка ЗБ/ОО проходит в два этапа:

• оценка ЗБ: на этом этапе определяют достаточность ОО и среды функционирования;
• оценка ОО: на этом этапе определяют корректность ОО; как отмечалось ранее, оценка ОО не включает оценку корректности среды функционирования.

Оценку ЗБ выполняют путем применения критериев оценки заданий по безопасности (которые определены в разделе ASE ИСО/МЭК 15408-3). Конкретный способ применения критериев ASE определяется используемой методологией оценки.

В то время как ЗБ всегда описывает конкретный ОО (например, межсетевой экран Х-2, версия 3.1), ПЗ предназначен для описания типа ОО (например, межсетевые экраны прикладного уровня). Поэтому один и тот же ПЗ можно использовать в качестве шаблона для множества различных ЗБ, которые будут использовать в различных оценках. Подробное описание ПЗ приведено в приложении В.

Обычно ЗБ описывает требования для ОО и его формирует разработчик ОО, в то время как ПЗ описывает общие требования для некоторого типа ОО и поэтому обычно разрабатывается:

• сообществом пользователей, стремящихся прийти к консенсусу относительно требований для данного типа ОО;
• разработчиком ОО или группой разработчиков подобных ОО, желающих установить минимальный базис для конкретного типа ОО;
• правительственной организацией или крупной корпорацией, определяющими свои требования как часть процесса закупки.

Задание по безопасности либо соответствует рассматриваемому ПЗ, либо не соответствует. ИСО/МЭК 15408 не признает "частичное" соответствие. В стандарте приведены содержания ПЗ и ЗБ.

В ОК нет готовых классов защиты. Сформировать классификацию в терминах "Общих критериев" - значит определить несколько иерархически упорядоченных (содержащих усиливающиеся требования) профилей защиты, в максимально возможной степени использующих стандартные функциональные требования и требования доверия безопасности.

На основе ГОСТ Р 15408 ФСТЭК сформировала профили для систем антивирусной защиты и систем обнаружения вторжений . Профили представляют из себя наборы "деталей" ГОСТ Р 15408. Сами "детали" в терминологии ГОСТ 15408 называются компонентами, которые систематизированы в семейства, а те в свою очередь составляют классы. ГОСТ Р 15408 Часть 2 "Функциональные требования" содержит 11 классов, 66 семейств и 135 компонентов, а ГОСТ Р 15408 Часть 3 "Требования доверия" - 8 классов, 44 семейства, 93 компонента. Компоненты могут состоять из нескольких элементов, но компоненты неделимы при формировании профилей защиты и заданий по безопасности.