Процесс разработки профилей защиты и заданий по безопасности

Разработка ПЗ или ЗБ осуществляется в следующей последовательности (например, для случая разработки ЗБ):

а) первоначальное определение проблемы безопасности; б) идентификация целей безопасности, направленных на решение

проблемы безопасности; в) формирование требований безопасности, направленных на

удовлетворение целей безопасности для ОО; г) выбор конкретных функциональных возможностей безопасности,

направленных на выполнение требований безопасности.

В общем случае процесс разработки ПЗ и ЗБ чаще всего носит итеративный характер. Например, формирование требований безопасности может способствовать корректировке целей безопасности или даже проблемы безопасности. Может потребоваться целый ряд итераций для наиболее полного учета взаимосвязей между угрозами, ПБОр, целями и требованиями безопасности, а также функциями безопасности, в частности при формировании обоснований. При этом только когда все проблемы формирования обоснований решены, процесс разработки ПЗ или ЗБ можно считать завершенным.

Процесс разработки ПЗ или ЗБ может также включать в себя внесение изменений в документ при появлении новой информации в рамках проблемы безопасности, чтобы отразить изменения условий применения, например:

а) идентификацию новых угроз; б) изменение политики безопасности организации;

в) изменения в распределении задач по обеспечению безопасности информации, возлагаемой соответственно на ОО и среду ОО, связанные со стоимостными и временными ограничениями;

г) корректировку проблемы безопасности для ОО вследствие изменения предполагаемого потенциала нападения нарушителя.

Также возможно (в особенности для случая, когда объектом оценки является уже существующий продукт ИТ), что разработчики ПЗ или ЗБ имеют четкое представление относительно функциональных возможностей безопасности, которые предоставляет ОО (даже если эти требования еще не были выражены в стиле функциональных требований безопасности по ГОСТ Р ИСО/МЭК 15408). В таких случаях на определение проблемы безопасности и целей безопасности будут влиять сведения о том, каким образом ОО решает проблему безопасности. Процесс разработки ПЗ или ЗБ в таком случае будет в некоторой степени «восходящим».

Восприятия и понимания профилей защиты и заданий по безопасности

Для детального понимания содержания ПЗ и ЗБ следует изучить ГОСТ Р ИСО/МЭК 15408-1, в частности приложения А и В, в которых представлена детальная информация относительно заданий по безопасности и профилей защиты соответственно. Также необходимо изучить опубликованные ПЗ и ЗБ, находящиеся в открытом доступе. Профили защиты, выпущенные ФСТЭК России для целого ряда видов и типов средств защиты информации (например, средств антивирусной защиты, систем обнаружения вторжений, средств доверенной загрузки, средств контроля использования съемных машинных носителей информации, межсетевых экранов), представлены на официальном сайте ФСТЭК России (www.fstec.ru).

Существует целый ряд международных реестров, из которых можно получить ПЗ и ЗБ. Самым известным является портал Common Criteria («Общие критерии»). Этот реестр признан ИСО и МЭК в качестве официального реестра для профилей защиты и пакетов, сформированных в соответствии с ГОСТ Р ИСО/МЭК 15408.

Цели безопасности для среды функционирования

Среда функционирования представляет собой общее месторасположение, в котором будет размещен ОО. Для правильного функционирования ОО в этой среде должны быть реализованы определенные ограничения. Например, если ОО представляет собой межсетевой экран, этот ОО должен быть защищен от возможности физического доступа нарушителей. Такая защита может быть обеспечена самим ОО (например, защита от вскрытия), но в общем случае эту проблему следует решать именно в среде функционирования путем указания требований к размещению межсетевого экрана в изолированном защищенном серверном помещении.

Подобные требования к среде функционирования рассматриваются в ПЗ или ЗБ в разделе «Цели безопасности для среды функционирования». Цели безопасности для среды функционирования описывают, чего необходимо достичь в рамках среды функционирования ОО, чтобы ОО отвечал требованиям безопасности.

Очень важное понимать, что цели - это не рекомендации, а необходимые условия для функционирования ОО согласно спецификации. Все эти цели (задачи) должны быть достигнуты в полной мере, и ответственность за их достижение возлагается на пользователя ОО или его организацию (например, оператора информационной системы); сам ОО не будет достигать этих целей. Если хотя бы одна из этих целей не достигается, может возникнуть ситуация, когда ОО будет функционировать в небезопасном режиме. Поэтому крайне важно сделать заключение о том, являются ли цели безопасности для среды достижимыми в организации пользователя ОО (у оператора информационной системы), и если хотя бы одна из целей недостижима, этот ОО не подходит для использования данным пользователем ОО (оператором информационной системы).