Часть 1: Концептуальные основы и методология оценки.

Определяет общие понятия, концепции и терминологию, используемые в рамках стандартов Common Criteria. Включает классификацию объектов оценки (например, операционные системы, базы данных, приложения и устройства связи).

Основные компоненты части 1 включают:

- Определение целей оценки,

- Типы угроз и рисков,

- Методы защиты и механизмы безопасности,

- Оценочные уровни доверия (EALs),

- Основные требования к продуктам ИТ и процессам разработки.

Часть 2: Безопасностные функциональные требования.

Предоставляет детализированные рекомендации относительно функциональности и характеристик безопасности продукта. Эти требования охватывают широкий спектр аспектов безопасности, включая управление доступом, аутентификацию пользователей, шифрование данных, защиту от атак и аудит действий.

Типичные категории функциональных требований включают:

- Идентификация и аутентификация,

- Управление доступом,

- Конфиденциальность и целостность данных,

- Аудит и регистрация действий,

- Устойчивость к отказам и восстановление после сбоев.

Часть 3: Требования к процессу оценки.

Регламентирует процессы и процедуры оценки безопасности ИТ-продуктов и систем. Описывает методы тестирования, анализа документации и проверки соответствия требованиям безопасности.

Основные этапы процесса оценки:

- Анализ спецификаций и проектной документации,

- Проведение тестов и экспериментов,

- Проверка наличия уязвимостей и недостатков,

- Подготовка отчетов и сертификатов соответствия стандартам.

Практическое применение:

Стандарт используется организациями для сертификации продукции, особенно критически важной инфраструктуры, государственных учреждений и оборонных предприятий. Продукты, прошедшие сертификацию по ГОСТ Р ИСО/МЭК 15408, признаются безопасными и надежными для эксплуатации в условиях повышенного риска кибератак и утечек конфиденциальной информации.

Примеры сертифицированных решений:

- Операционные системы Linux и Windows Server,

- Средства криптографической защиты данных,

- Брандмауэры и антивирусные программы,

- Программные комплексы управления идентификацией и доступом.

75. Оранжевая книга. Международный стандарт iso/iec 15408. Критерии оценки безопасности информационных систем.

Международный стандарт ISO/IEC 15408, известный как Common Criteria for Information Technology Security Evaluation («Общие критерии»), является одним из ключевых документов, используемых для оценки безопасности информационных технологий и систем. Хотя часто возникает путаница с названием «Оранжевая книга», важно понимать различия между этими двумя стандартами.

Термином «Оранжевая книга» обозначают документ под названием Trusted Computer System Evaluation Criteria (TCSEC) («Критерии оценки доверенных компьютерных систем»). Она была разработана Министерством обороны США в 1985 году и представляла собой руководство по оценке безопасности компьютерных систем. Документ получил прозвище «Оранжевая книга» благодаря своему оранжевому цвету обложки.

Главная цель TCSEC: установить классификации уровней безопасности для компьютерной техники и программного обеспечения, исходя из степени защищённости систем от несанкционированного доступа и взлома.

Стандарты TCSEC включали четыре основных класса безопасности:

- D класс (Minimal Protection)

- C классы (Discretionary Protection)

- B классы (Mandatory Protection)

- A класс (Verified Protection)

Эти классы определяли степень контроля доступа, целостности данных и механизмов аудита, необходимых для каждой группы систем.

Однако, несмотря на свою популярность и широкое использование, «Оранжевая книга» имела ряд ограничений и устаревала по мере развития технологий. Поэтому возникла необходимость разработать новый международный стандарт, учитывающий современные угрозы и тенденции в области информационной безопасности.

Международные стандарты: ISO/IEC 15408 (Common Criteria)

Международный стандарт ISO/IEC 15408 был разработан совместными усилиями международной организации по стандартизации (ISO) и Международной электротехнической комиссии (IEC) и стал заменой «Оранжевой книге».

Цель Common Criteria: создание универсального набора критериев и методов оценки безопасности информационных технологий и систем независимо от географического региона и конкретного производителя оборудования или ПО.

Этот стандарт включает три основные части:

1) Концептуальная основа и методология оценки. Эта часть определяет ключевые термины, концептуальные модели и общую структуру оценки безопасности.

2) Безопасностные функциональные требования. Здесь представлены конкретные требования к различным компонентам ИТ-инфраструктуры, таким как средства идентификации и аутентификации, контроль доступа, защита конфиденциальности и целостности данных, обработка ошибок и аварийных ситуаций.

3) Требования к процессу оценки. Данная часть описывает методики и подходы к проведению оценочных мероприятий, включая тестирование, проверку исходного кода и анализ технической документации.

ISO/IEC 15408 охватывает более широкие сферы, чем «Оранжевая книга», включая сетевые технологии, мобильные устройства, облачные сервисы и другие элементы современной ИТ-инфраструктуры

Применение стандартов:

Несмотря на некоторые сходства, Common Criteria значительно превосходит «Оранжевую книгу» по уровню охвата современных технологий и гибкости подходов к оценке безопасности. Сегодня большинство крупных производителей и поставщиков ИТ-решений используют именно этот международный стандарт для сертификации своей продукции.