Безопасность в Общих критериях
Защита информации
Угрозы, относящиеся к умышленным и прочим действиям человека
Угрозы ведут к снижению ценности информации
Разглашение неуполномоченным лицам (конфиденциальность)
Несанкционированная модификация (целостность)
Несанкционированное лишение доступа (доступность)
Понятие безопасности и их взаимосвязь
Данная схема иллюстрирует почему необходимо защищать.
Активы – информация, подлежащая защите (исполняемые файлы (пароли, образы паролей и т.д.))
Источники угроз (нарушители, если люди). Пожар, наводнение и т.д. определяются как сбой или отказ оборудования. Порождают угрозы для активов.
Данная схема просматривается в ИСПдн. Вводятся базовые требования, предлагается проанализировать текущие угрозы и на их основе разрабатывать текущие требования.
Что такое Общие критерии?
Общие Критерии – набор критериев и инструментарий для построение требований.
Такие требования служат в качестве
разглашение неуполномоченным получателям (конфиденциальность)
несанкционированная модификация (целостность)
несанкционированное лишение доступа (доступность)
История создания ок и регламентирующие документы в России и Мире.
На момент 1995 года существовало огромное количество критериев, что препятствовало распространению продуктов компаний на международный уровень. Разработчики критериев стали понимать, что требования идентичны, различны только формулировки и классификация. Появилась идея объединения под Общими критериями (Common Criteria v 0.9). В 2009 году CC перешли в IS.
ГОСТ Р ИСО/МЭК 15408-2008 «Информационные технологии. Методы и средства обеспечения безопасности. Критерии оценки безопасности ИТ» - полная копия CC v2.3
ГОСТ Р ИСО/МЭК 15408-1-2008 «Информационные технологии. Методы и средства обеспечения безопасности. Критерии оценки безопасности ИТ» Часть 1: Введение и общая модель.
Данная часть методологическая - описывает угрозы, терминологию, методику использования частей 2 и 3.
ГОСТ Р ИСО/МЭК 15408-2-2008 «Информационные технологии. Методы и средства обеспечения безопасности. Критерии оценки безопасности ИТ» Часть 2: Функциональные требования безопасности. (Функциональные компоненты безопасности).
Авторы собрали и систематизировали требования, которые когда-то предъявлялись, предъявляются и, с точки зрения авторов, могут применяться в будущем к продуктам обеспечения безопасности. Иными словами содержит каталог требований, которые можно использовать для предъявления требований к средствам защиты. Основное преимущество – гибкость каталога, т.е. возможность включения новых требований. Преимущественно используется при разработке продуктов обеспечения безопасности.
ГОСТ Р ИСО/МЭК 15408-3-2008 «Информационные технологии. Методы и средства обеспечения безопасности. Критерии оценки безопасности ИТ» Часть 3: Требования доверия к безопасности. (Компоненты доверия к безопасности)
Это тоже каталог, но уже требований доверия. Требования доверия – это требования (к разработчику, документации, порядку разработки, доставка продуктов потребителю), выполнение которых повышает уверенность в том, что механизмы, заложенные в продукты, достигают поставленных целей безопасности.
На сайте commoncriteriaportal.org есть все самые «свежие» Общие Критерии. На текущий момент действует CC v3.1. На базе СС v 3.1 выпущен 15408 в 2009 году – первая часть, в 2008 – вторая и третья. Планируется выпустить ГОСТ Р ИСО/МЭК 15408-2013