Определение: ISO 15408 The Common Criteria for Information Technology Security Evaluation — «Общие критерии оценки безопасности информационных технологий», международный стандарт в области безопасности, в котором подробно рассмотрены общие подходы, методы и функции обеспечения защиты информации в организациях.

Стандарт ISO 15408 — один из наиболее распространенных стандартов в области безопасности. В его создании приняли участие организации из США, Канады, Англии, Франции, Германии, Голландии. В стандарте, получившем название «Общие критерии оценки безопасности информационных технологий» (The Common Criteria for Information Technology Security Evaluation), подробно рассмотрены общие подходы, методы и функции обеспечения защиты информации в организациях.

Функции системы информационной безопасности обеспечивают выполнение требований конфиденциальности, целостности, достоверности и доступности информации. Все функции представлены в виде четырехуровневой иерархической структуры: класс — семейство — компонент — элемент. По аналогии представлены требования качества. Подобная градация позволяет описать любую систему информационной безопасности и сопоставить созданную модель с текущим положением дел. В стандарте выделены 11 классов функций: аудит, идентификация и аутентификация, криптографическая защита, конфиденциальность, передача данных, защита пользовательских данных, управление безопасностью, защита функций безопасности системы, использование ресурсов, доступ к системе, надежность средств.

Оценка информационной безопасности базируется на моделях системы безопасности, состоящих из перечисленных в стандарте функций. В ISO 15408 содержится ряд предопределенных моделей (так называемых профилей), описывающих стандартные модули системы безопасности. С их помощью можно не создавать модели распространенных средств защиты самостоятельно, изобретая велосипед, а пользоваться уже готовыми наборами описаний, целей, функций и требований к этим средствам. Простым примером профилей может служить модель межсетевого экрана или СУБД.

В мире уже создано и сертифицировано большое количество профилей. Каждый из них имеет отличительные черты, в том числе: область применения (например, профили «Контроль доступа» или «Программный межсетевой экран»); уровень надежности; статус сертификации (скажем, «проект», «в стадии разработки» или «сертифицирован»).

Сертифицированный профиль представляет собой полное описание определенной части (или функции) системы безопасности. В нем содержится анализ внутренней и внешней среды объекта, требования к его функциональности и надежности, логическое обоснование его использования, возможности и ограничения развития объекта.

Стандарт ISO 15408 выгодно отличает открытость. Описывающий ту или иную область системы безопасности профиль можно создать самостоятельно с помощью разработанной в ISO 15408 структуры документа. В стандарте определена также последовательность действий для самостоятельного создания профилей.

Отличающийся значительной полнотой, универсализмом и большим потенциалом развития ISO 15408 получил признание во многих странах мира, в том числе и в России. (По инициативе Гостехкомиссии РФ проводится активная работа по гармонизации российских и международных стандартов информационной безопасности; в частности, на основе адаптации ISO 15408 предложен отечественный ГОСТ Р ИСО/ МЭК 15408-х-2002. — Прим. ред.)

Процедуры и требования к сертификации

Гостехкомиссия РФ имеет разработанные процедуры и требования к сертификации различных продуктов. Так, в руководящем документе «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» представлена классификация межсетевых экранов, основанная на перечне показателей защищенности. К данным показателям отнесены:

  • Управление доступом.
  • Идентификация и аутентификация.
  • Регистрация.
  • Администрирование: идентификация и аутентификация.
  • Администрирование: регистрация.
  • Администрирование: простота использования.
  • Целостность.
  • Восстановление.
  • Тестирование.
  • Руководство администратора защиты.
  • Тестовая документация.
  • Конструкторская (проектная) документация.

Кроме того, в документе изложены требования к различным межсетевым экранам и дано подробное описание показателей защищенности для каждого класса.

Так, например, для пятого (самого низкого) класса защищенности показатель «Администрирование: идентификация и аутентификация» определяет требования к идентификации и аутентификации администратора межсетевого экрана. В этом классе доступ осуществляется с помощью идентификатора и пароля условно-постоянного действия. Для первого (наивысшего) класса защищенности правила доступа становятся более жесткими. В частности, предполагается идентификация и аутентификация по биометрическим характеристикам или с помощью специальных устройств (жетонов, карт, электронных ключей) и паролю временного действия. Кроме того, межсетевой экран должен обеспечивать защищенный доступ для удаленных запросов администратора и противодействовать доступу неидентифицированного субъекта или субъекта, подлинность идентификации которого не подтвердилась.

Профили средств безопасности могут использоваться не только в системе государственной сертификации, но и в деятельности коммерческих организаций. Так, например, для организации с территориально-распределенной инфраструктурой целесообразно установить единые правила по обеспечению защиты данных. В этом случае может быть разработан профиль, описывающий правила доступа и информационного обмена с удаленными объектами.

Павел Рудаков — консультант по аналитике и маркетингу компании NV Consulting. С ним можно связаться по электронной почте


Почувствуйте разницу

Особенности ISO 15408 по сравнению с другими стандартами в области безопасности

Стандарт позволяет определить полный перечень требований к средствам безопасности, а также критерии их оценки (показатели защищенности информации)

Стандарт определяет полный перечень объектов анализа и требований к ним, не заостряя внимания на методах создания, управления и оценки системы безопасности

Стандарт позволяет оценить полноту системы информационной безопасности с технической точки зрения, не рассматривая при этом комплекс организационных мер по обеспечению защиты информации

Поделитесь материалом с коллегами и друзьями