4.3.6 Перспективы Общих критериев

В рамках программы "Общих критериев" специалисты рабочей группы WG 3 "Критерии оценки безопасности" подкомитета SC 27 "Методы и средства защиты информации" объединенного технического комитета JTC1 "Информационные технологии" ISO/IEC разрабатывают проекты других документов:

• глоссарий в области безопасности ИТ;

• руководство по процедуре регистрации профилей защиты;

• руководство по обеспечению гарантий безопасности ИТ;

• руководство по разработке профилей защиты и целей безопасности;

• руководство по формулированию требований к криптографическим сервисам в ПЗ и ЦБ;

• руководство по общей методологии проведения испытаний безопасности ИТ на основе ОК.

Новая концепция ОК, по которой предметом стандартизации оказываются каталоги функциональных и гарантийных требований безопасности и общие принципы формирования из них критериев безопасности (ПЗ, ЦБ), создала базу для единого подхода к методологии сертификационных испытаний продуктов и систем ИТ. Проект таких документов под названием "Общая методология оценки безопасности информационных технологий" (Common Evaluation Methodology for Information Technology Security) был выпущен организациями-спонсорами проекта ОК в двух частях: "Часть 1. Введение и общая модель" (CEM-97/017. Part 1: Introduction and general model. Version 0.6. 97/01/11), "Часть 2. Методология испытаний" (CEM-99/008. Part 2: Evaluation Methodology. Version 0.6. January 1999).

В основу "Общей методологии" положены следующие базовые принципы.

Соответствие: действия, предпринимаемые для достижения требуемого уровня гарантии, должны соответствовать этому уровню, т. е. требования, предъявляемые к действиям участников процесса испытаний, должны отвечать требованиям, определенным в соответствующем уровне гарантии оценки.

Беспристрастность: все оценки, полученные в результате испытаний, должны быть непредвзятыми. Суть этого принципа заключается в том, что ни одна из сторон, участвующих в процессе испытаний, не должна иметь предвзятого мнения относительно ПОБ или ПЗ.

Объективность: роль субъективного фактора в результате испытаний должна быть сведена к минимуму. Задача минимизации субъективного фактора возлагается на технический контроль и интерпретацию результатов.

Повторимость и воспроизводимость: повторные сертификационные испытания ПОБ или ПЗ при неизменных требованиях и таких же условиях испытаний должны обеспечивать одинаковые результаты. Результат каждой операции процесса испытаний не должен зависеть от того, кто ее выполняет. Воспроизводимость отличается от повторимости тем, что требует совпадения результатов, полученных различными экспертами, в то время как последняя требует совпадения результатов, полученных одним и тем же экспертом.

Терминология. Все участники испытаний должны использовать единую терминологию.

Общая модель методологии испытаний - это определение ролей и сфер ответственности всех участников испытаний. Она не содержит конкретных рекомендаций по проведению испытаний, но определяет требования, которым должны удовлетворять методики испытаний, чтобы результаты получили взаимное признание.

"Соглашение о взаимном признании сертификатов в области безопасности информационных технологий" (Arrangement on the Mutual Recognition of Common Criteria Certificates in the field of Information Technology Security, 5 October 1998), инициаторами которого выступили правительственные организации по стандартизации США и ведущих западноевропейских стран (под их патронажем были созданы ОК и проект "Общей методологии"), логически завершает серию документов из ОК и "Общей методологии". Если два предыдущих документа создают методологическую базу для признания сертификатов, то соглашение закрепляет ее юридически. Цели соглашения:

• обеспечить высокий уровень стандартов, регламентирующих проведение испытаний продуктов ИТ и оценки ПЗ, чтобы способствовать повышению уверенности в их безопасности;

• обеспечить доступ на рынки других стран сертифицированных продуктов ИТ, обладающих повышенной безопасностью, и соответствующих ПЗ;

• исключить дублирование при проведении испытаний продуктов ИТ и оценки ПЗ;

• повысить эффективность и уменьшить стоимость процессов испытаний и сертификации продуктов и систем ИТ и оценки ПЗ.

Участники соглашения обязуются признавать сертификаты на продукты ИТ и ПЗ, выданные на основе ОК каждому участнику соглашения в соответствии с национальным законодательством. Данное соглашение действует в отношении сертификатов, подтверждающих с 1-го по 4-й уровни гарантии ОК.

Если признание сертификата, выданного на основе общих критериев, связано для участника с действиями, противоречащими национальному законодательству, международным соглашениям или обязательствам в рамках Европейского союза, он может не признавать такой сертификат. В частности, когда применение продукта ИТ или ПЗ связано с защитой информации, доступ к которой регулируется национальным законодательством, нормативными актами или административными инструкциями, участник может в части, касающейся обработки такой информации, не признавать сертификат.

Наиболее активные усилия по внедрению ОК предпринимают специалисты Национального института стандартов и технологий (NIST), которые за последние полтора года представили для обсуждения проекты нескольких профилей защиты:

• CS2 - соответствует одноименному профилю защиты из проекта американских Федеральных критериев безопасности ИТ; ориентирован на коммерческие системы общего назначения с жесткими требованиями информационной безопасности;

• RBAC - профиль защиты управления доступом на основе ролей (функциональных обязанностей персонала в пределах одной организации);

• два правительственных профиля защиты межсетевых экранов: ПЗ межсетевого экрана прикладного уровня и ПЗ межсетевого экрана фильтра трафика для операционной среды с низкими рисками.

Осенью 1997 г. NIST и Агентство национальной безопасности США (NSA) обнародовали новую совместную инициативу - The National Information Assurance Partnership (NIAP). Она должна обеспечить безопасность информационных систем и сетей путем реализации экономически эффективных программ тестирования, оценки и сертификации на основе ОК.

Основные направления деятельности в рамках NIAP:

• обеспечение руководствами по разработке ПЗ и ЦБ;

• обеспечение обучения специалистов по разработке ПЗ и ЦБ;

• создание средств анализа и разработки ПЗ и ЦБ;

• обеспечение финансовой поддержки разработки ПЗ;

• поддержка рецензирования и утверждения ПЗ на базе ОК;

• ведение каталогов ПЗ на базе ОК.

В рамках NIAP разрабатываются следующие профили защиты:

• телекоммуникационных коммутаторов (Telecommunication Switch PP project);

• межсетевых экранов (Firewall PP project);

• обнаружения проникновения (Intrusion Detection PP project);

• для офисных АТС (Private Branch Exchange PP Project);

• управляемого доступа на основе класса С2 "Оранжевой книги" (Controlled Access PP project);

• обеспечения безопасности с использованием меток на основе класса В1 "Оранжевой книги" (Labeled Security PP project).

Также выполняются проекты по разработке автоматизированных средств проектирования ПЗ и ЦБ на базе ОК (Common Criteria Toolbox project) и по популяризации ОК (Common Criteria Usage Class project). Готовятся к выполнению проекты по разработке ПЗ медицинских и финансовых информационных систем, а также ПЗ для распределенной системы управления воздушным движением США.