Общие критерии безопасности информационных технологий

Общие критерии безопасности информационных технологий (Common Criteria for Information Technology Security Evaluation, далее – Общие критерии) являются результатом совместных усилий авторов Европейских критериев безопасности информационных технологий, Федеральных критериев безопасности информационных технологий и Канадских критериев безопасности компьютерных систем, направленных на объединение основных положений этих документов и создание единого международного стандарта безопасности информационных технологий.

Версия 2.1 данного стандарта утверждена Международной организацией по стандартизации (ISO) в 1999 году в качестве международного стандарта информационной безопасности ISO/IEC 15408.

Первая версия Общих критериев была опубликована 31 января 1996 г. Разработчиками документа выступили Национальный институт стандартов и технологий и Агентство национальной безопасности США, а также соответствующие организации Великобритании, Канады, Финляндии и Нидерландов. Вторая версия вышла в мае 1998 г., причем она отличается от первоначальной довольно существенными исправлениями и дополнениями.

Общие критерии сохраняют совместимость с существующими стандартами и развивают их путем введения новых концепций, соответствующих современному уровню развития информационных технологий, интеграции национальных информационных систем в единое мировое информационное пространство. Общие критерии оперируют уже знакомым понятием ИТ-продукт и используют концепцию профиля защиты.

Общие критерии разрабатывались в расчете на то, чтобы удовлетворить запросы трех групп специалистов, в равной степени являющихся пользователями таких документов: производителей и потребителей продуктов информационных технологий, а также экспертов по оценке уровня их безопасности.

Производители должны использовать Общие критерии при проектировании и разработке ИТ-продуктов, а также в подготовке их к квалификационному анализу и сертификации. Этот документ дает возможность производителям на основании анализа запросов потребителя определить набор требований, которым должен удовлетворять разрабатываемый ими продукт. Кроме того, производители могут использовать Общие критерии для определения границ своей ответственности, а также условий, которые необходимо выполнить для успешного прохождения квалификационного анализа и сертификации ими продукта.

Потребители используют предлагаемую Общими критериями технологию для обоснования своих претензий на то, что поставляемый им ИТ-продукт успешно противостоит угрозам безопасности, на основании того, что он удовлетворяет выдвинутым функциональным требованиям и их реализация осуществлена с достаточным уровнем адекватности.

Экспертыпо сертификации используют этот документ в качестве критериев определения соответствия средств защиты ИТ-продукта требованиям, предъявляемым к нему потребителями, и угрозам, действующим в среде его эксплуатации. Общие критерии описывают только общую схему проведения квалификационного анализа и сертификации, но не регламентируют процедуру их осуществления. Вопросам методологии квалификационного анализа и сертификации посвящен отдельный раздел – Общая методология оценки безопасности информационных технологий.

Таким образом, Общие критерии обеспечивают нормативную поддержку процесса выбора ИТ-продукта, к которому предъявляются требования функционирования в условиях действия определенных угроз, служат руководящим материалом для разработчиков таких систем, а также регламентируют технологию их создания и процедуру оценки обеспечиваемого уровня безопасности.

Общие критерии рассматривают информационную безопасность, во‑первых, как совокупность конфиденциальности и целостности, обрабатываемой ИТ-продуктом информации, а также доступности ресурсов ВС, и, во-вторых, ставят перед средствами защиты задачу противодействия угрозам, актуальным для среды эксплуатации этого продукта и реализации политики безопасности, принятой в этой среде эксплуатации. Поэтому в концепцию Общих критериев входят все аспекты процесса проектирования, производства и эксплуатации ИТ-продуктов, предназначенных для работы в условиях действия определенных угроз безопасности.

Общие критерии регламентируют все стадии разработки, квалификационного анализа и эксплуатации ИТ-продуктов используя схему, заимствованную из Федеральных критериев. Они предлагают достаточно сложную и бюрократичную концепцию процесса разработки и квалификационного анализа, требующую от потребителей и производителей большой работы по составлению и оформлению весьма объемных и подробных отчетных документов.

Разработчики Общих критериев также продолжили подход Федеральных критериев, направленный на отказ от единой шкалы безопасности и усилили гибкость предложенных в них решений путем введения частично упорядоченных шкал, благодаря чему потребители и производители получили дополнительные возможности по выбору требований и их адаптации к своим прикладным задачам.

Особое внимание стандарт уделяет адекватности реализации функциональных требований, которая обеспечивается как независимым тестированием и анализом ИТ-продукта, так и применением соответствующих технологий на всех этапах его проектирования и разработки.

В целом требования Общих критериев охватывают практически все аспекты безопасности ИТ-продуктов и технологии их создания, а также содержат все исходные материалы, необходимые потребителям и разработчикам для формирования соответствующих документов. Как следствие, требования Общих критериев являются практически всеобъемлющей энциклопедией информационной безопасности, поэтому их можно использовать в качестве справочника по безопасности информационных технологий.

Данный стандарт ознаменовал собой новый уровень стандартизации информационных технологий, подняв его на межгосударственный уровень. За этим проглядывается реальная перспектива создания единого безопасного информационного пространства, в котором сертификация безопасности систем обработки информации будет осуществляться на глобальном уровне, что даст возможности для интеграции национальных информационных систем, а это в свою очередь откроет совершенно новые сферы применения информационных технологий.

ГОСТ Р ИСО/МЭК 15408-2002 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий"

ГОСТ Р ИСО/МЭК 15408-2002 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий" относится к разновидности стандартов, оформленных на основе аутентичного текста. Основой для него стал описанный выше международный стандарт ISO/IEС 15408-99 "Общие критерии безопасности информационных технологий" (далее – Общие критерии или ОК).

Общие критерии состоят из 3-х частей:

1. Введение и общая модель.

2. Функциональные требования безопасности.

3. Требования доверия к безопасности.

Область использования ОК включает как процесс разработки ИТ‑продуктов или АС, так и приобретение коммерческих продуктов и систем. При проведении оценки такой продукт или систему информационных технологий называют объектом оценки (ОО), к числу которых ОК относят: ВС, ОС, распределённые системы, вычислительные сети и приложения.

К числу основных пользователей ОК относит следующих физических и юридических лиц:

1. Сотрудников служб безопасности (СБ), ответственных за определение и выполнение политики и требований безопасности организации в области ИТ.

2. Сотрудников, ответственных за техническое состояние оборудования.

3. Аудиторов (внешних и внутренних).

4. Проектировщиков систем безопасности, ответственных за спецификацию систем безопасности и продуктов ИТ.

5. Аттестующих, ответственных за приёмку системы ИТ в эксплуатацию в конкретной среде.

6. Заявителей, заказывающих оценку и обеспечивающих её проведение.

7. Органы оценки, ответственных за руководство и надзор за программами проведения оценок безопасности ИТ.

Часть 1 стандарта включает методологию оценки безопасности ИТ, определяет виды требований безопасности (функциональные и доверия), основные конструкции (профиль защиты, задание по безопасности) представления требований безопасности в интересах трёх категорий пользователей: потребителей, разработчиков и оценщиков продуктов и систем ИТ. Требования безопасности ОО по методологии Общих критериев определяются исходя из целей безопасности, которые, в свою очередь, основываются на анализе назначения ОО и условий среды его использования (угроз, предположений, политики безопасности).

В первой части определено от чего надо защищать информацию:

от несанкционированного раскрытия (конфиденциальность);

от модификации (целостность);

от потери возможности её использования (доступность).

Часть 2 стандарта включает универсальный систематизированный каталог функциональных требований безопасности и предусматривает возможность их детализации и расширения по определённым правилам.

Часть 3 стандарта включает систематизированный каталог требований доверия, определяющих меры, которые должны быть приняты на всех этапах жизненного цикла продукта или системы ИТ для обеспечения уверенности в том, что они удовлетворяют предъявленным к ним функциональным требованиям. В этой же части содержится описание оценочных уровней доверия, определяющих шкалу требований, которые позволяют с возрастающей степенью полноты и строгости провести оценку проектной, тестовой и эксплуатационной документации, правильности функционирования комплекса средств безопасности, оценку уязвимостей продукта или системы ИТ, стойкости механизмов защиты и сделать заключение об уровне безопасности объекта оценки.

Некоторые вопросы рассматриваются как лежащие вне области действия ОК, поскольку они требуют привлечения специальных методов или являются смежными по отношению к безопасности ИТ. Часть из них перечислена ниже.

Стандарт не содержит критериев оценки безопасности, касающихся административных мер безопасности (организационные меры, управление персоналом, физическая защита и процедурный контроль), непосредственно не относящихся к мерам безопасности ИТ.

Оценка специальных физических аспектов безопасности ИТ, таких как контроль электромагнитного излучения, прямо не затрагивается, хотя многие концепции ОК применимы и в этой области. В частности, рассмотрены некоторые аспекты физической защиты ОО.

В ОК не рассматривается ни методология оценки, ни административно-правовая структура, в рамках которой критерии могут применяться органами оценки и сертификации. Тем не менее, ожидается, что ОК будут использоваться для целей оценки в контексте такой структуры и такой методологии.

Процедуры использования результатов оценки при аттестации продуктов и систем ИТ находятся вне области действия ОК. Аттестация продукта или системы ИТ является административным процессом, посредством которого предоставляются полномочия на их использование в конкретной среде эксплуатации.

Критерии для оценки специфических качеств криптографических алгоритмов также не входят в ОК. Если требуется независимая оценка математических свойств криптосистем, встроенной в ОО, то в системе оценки, в рамках которой применяются ОК, необходимо предусмотреть проведение таких оценок.

ОК определяют следующий перечень сокращений, являющихся обязательными для всех частей стандарта.

ЗБ (ST) – задание по безопасности;

ИТ (IT) – информационная технология;

ИФБО (TSFI) – интерфейс ФБО;

ОДФ (TSC) – область действия ФБО;

ОК (CC) – общие критерии;

ОО (TOE) – объект оценки;

ОУД (EAL) – оценочный уровень доверия;

ПБО (TSP) – политика безопасности ОО;

ПЗ (РР) – профиль защиты;

ПФБ (SFP) – политика функции безопасности;

СФБ (SOF) – стойкость функции безопасности;

ФБ (SF) – функция безопасности;

ФБО (TSF) – функция безопасности ОО.