Товары в корзине: 0 шт Оформить заказ
Стр. 1 

233 страницы

- нормативный документ, применяемый совместно с ИСО/МЭК 15408.

Стандарт описывает минимум действий, выполняемых оценщиком при проведении оценки безопасности информационных технологий по ИСО/МЭК 15408 с использованием критериев и свидетельств оценки, определенных в ИСО/МЭК 15408.

 Скачать PDF

Оглавление

1 Область применения

2 Нормативные ссылки

3 Термины и определения

4 Обозначения и сокращения

5 Краткий обзор

     5.1 Структура стандарта

6 Принятые соглашения

     6.1 Терминология

     6.2 Применение глаголов

     6.3 Общие указания по оценке

     6.4 Взаимосвязь между структурами ИСО/МЭК 15408 и настоящего стандарта

     6.5 Вердикты оценщика

7 Общие задачи оценки

     7.1 Введение

     7.2 Задача получения исходных данных для оценки

     7.2.1 Цели

     7.2.2 Замечания по применению

     7.2.3 Подзадача управления свидетельством оценки

     7.3 Задача оформления результатов оценки

     7.3.1 Цели

     7.3.2 Замечания по применению

     7.3.3 Подзадача подготовки СП

     7.3.4 Подзадача подготовки ТОО

     7.3.5 Подвиды деятельности по оценке

8 Оценка профиля защиты

     8.1 Введение

     8.2 Организация оценки ПЗ

     8.3 Вид деятельности «Оценка профиля защиты»

     8.3.1 Оценка раздела «Описание 00» (APEDES.1)

     8.3.2 Оценка раздела «Среда безопасности ОО» (APEENV.1)

     8.3.3 Оценка раздела «Введение ПЗ» (APEJNT.1)

     8.3.4 Оценка раздела «Цели безопасности» (APE_OBJ.1)

     8.3.5 Оценка раздела «Требования безопасности ИТ» (APEREQ.1)

     8.3.6 Оценка требований безопасности ИТ, сформулированных в явном виде (APE_SRE.1)

9 Оценка задания по безопасности

     9.1 Введение

     9.2 Организация оценки ЗБ

     9.3 Вид деятельности «Оценка задания по безопасности»

     9.3.1 Оценка раздела «Описание ОО» (ASEDES.1)

     9.3.2 Оценка раздела «Среда безопасности ОО» (ASEENV.1)

     9.3.3 Оценка раздела «Введение ЗБ» (ASEJNT.1)

     9.3.4 Оценка целей безопасности (ASE_OBJ.1)

     9.3.5 Оценка раздела «Утверждение о соответствии ПЗ» (ASE_PPC1)

     9.3.6 Оценка раздела «Требования безопасности ИТ» (ASEREQ.1)

     9.3.7 Оценка требований безопасности ИТ, сформулированных в явном виде (ASE_SRE.1)

     9.3.8 Оценка раздела «Краткая спецификация ОО» (ASE_TSS.1)

10 Оценка по ОУД1

     10.1 Введение

     10.2 Цели

     10.3 Организация оценки по ОУД1

     10.4 Вид деятельности «Управление конфигурацией»

     10.4.1 Оценка возможностей УК (АСМ_САР 1)

     10.5 Вид деятельности «Поставка и эксплуатация»

     10.5.1 Оценка установки, генерации и запуска (ADOJGS.1)

     10.6 Вид деятельности «Разработка»

     10.6.1 Замечания по применению

     10.6.2 Оценка функциональной спецификации (ADV_FSP.1)

     10.6.3 Оценка соответствия представлений (ADV_RCR.1)

     10.7 Вид деятельности «Руководства»

     10.7.1 Замечания по применению

     10.7.2 Оценка руководства администратора (AGD_ADM.1)

     10.7.3 Оценка руководства пользователя (AGD_USR.1)

     10.8 Вид деятельности «Тестирование».

     10.8.1 Замечания по применению

     10.8.2 Оценка путем независимого тестирования (ATEJND.1)

11 Оценка по ОУД2

     11.1 Введение

     11.2 Цели

     11.3 Организация оценки по ОУД2

     11.4 Вид деятельности «Управление конфигурацией»

     11.4.1 Оценка возможностей УК (АСМ_САР2)

     11.5 Вид деятельности «Поставка и эксплуатация»

     11.5.1 Оценка поставки (ADO_DEL.1)

     11.5.2 Оценка установки, генерации и запуска (ADOJGS.1)

     11.6 Вид деятельности «Разработка»

     11.6.1 Замечания по применению

     11.6.2 Оценка функциональной спецификации (ADV_FSP.1)

     11.6.3 Оценка проекта верхнего уровня (ADVJHLD.1)

     11.6.4 Оценка соответствия представлений (ADV_RCR.1)

     11.7 Вид деятельности «Руководства»

     11.7.1 Замечания по применению

     11.7.2 Оценка руководства администратора (AGD_ADM.1)

     11.7.3 Оценка руководства пользователя (AGD_USR.1)

     11.8 Вид деятельности «Тестирование»

     11.8.1 Замечания по применению

     11.8.2 Оценка покрытия (ATECOV.1)

     11.8.3 Оценка функциональных тестов (ATE_FUN.1)

     11.8.4 Оценка путем независимого тестирования (ATEJND.2)

     11.9 Вид деятельности «Оценка уязвимостей»

     11.9.1 Оценка стойкости функций безопасности ОО (AVA_SOF.1)

     11.9.2 Оценка анализа уязвимостей (AVA_VLA.1)

12 Оценка по ОУДЗ

     12.1 Введение

     12.2 Цели

     12.3 Организация оценки по ОУДЗ

     12.4 Вид деятельности «Управление конфигурацией»

     12.4.1 Оценка возможностей УК (АСМСАР.З)

     12.4.2 Оценка области УК (ACM_SCP1)

     12.5 Вид деятельности «Поставка и эксплуатация»

     12.5.1 Оценка поставки (ADO_DEL.1)

     12.5.2 Оценка установки, генерации и запуска (ADOJGS.1)

     12.6 Вид деятельности «Разработка»

     12.6.1 Замечания по применению

     12.6.2 Оценка функциональной спецификации (ADV_FSP1)

     12.6.3 Оценка проекта верхнего уровня (ADVJHLD.2)

     12.6.4 Оценка соответствия представлений (ADV_RCR.1)

     12.7 Вид деятельности «Руководства»

     12.7.1 Замечания по применению

     12.7.2 Оценка руководства администратора (AGD_ADM.1)

     12.7.3 Оценка руководства пользователя (AGD_USR.1)

     12.8 Вид деятельности «Поддержка жизненного цикла»

     12.8.1 Оценка безопасности разработки (ALC_DVS.1)

     12.9 Вид деятельности «Тестирование»

     12.9.1 Замечания по применению

     12.9.2 Оценка покрытия (ATECOV.2)

     12.9.3 Оценка глубины (ATE_DPT.1)

     12.9.4 Оценка функциональных тестов (ATE_FUN.1)

     12.9.5 Оценка путем независимого тестирования (ATEJND.2)

     12.10 Вид деятельности «Оценка уязвимостей»

     12.10.1 Оценка неправильного применения (AVA_MSU.1)

     12.10.2 Оценка стойкости функций безопасности ОО (AVA_SOF.1)

     12.10.3 Оценка анализа уязвимостей (AVA_VLA.1)

13 Оценка по ОУД4

     13.1 Введение

     13.2 Цели

     13.3 Организация оценки по ОУД4

     13.4 Вид деятельности «Управление конфигурацией»

     13.4.1 Оценка автоматизации УК (ACM_AUT1)

     13.4.2 Оценка возможностей УК (АСМ_САР.4)

     13.4.3 Оценка области УК (ACM_SCP.2)

     13.5 Вид деятельности «Поставка и эксплуатация»

     13.5.1 Оценка поставки (ADO_DEL2)

     13.5.2 Оценка установки, генерации и запуска (ADOJGS.1)

     13.6 Вид деятельности «Разработка»

     13.6.1 Замечания по применению

     13.6.2 Оценка функциональной спецификации (ADV_FSP2)

     13.6.3 Оценка проекта верхнего уровня (ADVJHLD.2)

     13.6.4 Оценка представления реализации (ADVJMP1)

     13.6.5 Оценка проекта нижнего уровня (ADVLLD.1)

     13.6.6 Оценка соответствия представлений (ADV_RCR.1)

     13.6.7 Оценка моделирования политики безопасности ОО (ADV_SPM.1)

     13.7 Вид деятельности «Руководства»

     13.7.1 Замечания по применению

     13.7.2 Оценка руководства администратора (AGD_ADM.1)

     13.7.3 Оценка руководства пользователя (AGD_USR.1)

     13.8 Вид деятельности «Поддержка жизненного цикла»

     13.8.1 Оценка безопасности разработки (ALC_DVS.1)

     13.8.2 Оценка определения жизненного цикла (ALC_LCD.1)

     13.8.3 Оценка инструментальных средств и методов (ALC_TAT1)

     13.9 Вид деятельности «Тестирование»

     13.9.1.Замечания по применению

     13.9.2 Оценка покрытия (ATECOV.2)

     13.9.3 Оценка глубины (ATE_DPT.1)

     13.9.4 Оценка функциональных тестов (ATE_FUN.1)

     13.9.5 Оценка путем независимого тестирования (ATEJND.2)

     13.10 Вид деятельности «Оценка уязвимостей»

     13.10.1 Оценка неправильного применения (AVA_MSU.2)

     13.10.2 Оценка стойкости функций безопасности ОО (AVA_SOF1)

     13.10.3 Оценка анализа уязвимостей (AVA_VLA.2)

14 Подвид деятельности «Устранение недостатков»

     14.1 Оценка устранения недостатков (ALC_FLR.1)

     14.1.1 Цели

     14.1.2 Исходные данные

     14.1.3 Действие ALC_FLR.1.1E

     14.2 Оценка устранения недостатков (ALC_FLR.2)

     14.2.1 Цели

     14.2.2 Исходные данные

     14.2.3 Действие ALC_FLR.2.1E

     14.3 Оценка устранения недостатков (ALC_FLR.3)

     14.3.1 Цели

     14.3.2 Исходные данные

     14.3.3 Действие ALC_FLR.3.1E

Приложение А(обязательное) Общие указания по оценке

     А.1 Цели

     А.2 Выборка

     А.3 Анализ непротиворечивости

     А.4 Зависимости

     А.4.1 Зависимости между видами деятельности

     А.4.2 Зависимости между подвидами деятельности

     А.4.3 Зависимости между действиями

     А.5 Посещение объектов

     А.6 Границы объекта оценки

     А.6.1 Продукт и система

     А.6.2 Объект оценки

     А.6.3 Функции безопасности объекта оценки

     А.6.4 Оценка

     А.6.5 Сертификация

     А.7 Угрозы и требования класса FPT

     А.7.1 Объекты оценки, для которых не обязательны требования класса FPT

     А.7.1.1 Объект оценки с ограниченным интерфейсом пользователя

     А.7.1.2 Объект оценки, не осуществляющий соответствующую политику безопасности

     А.7.1.3 Защита обеспечивается средой

     А.7.2 Воздействие на семейства доверия

     А.7.2.1 ADV

     А.7.2.2 AVA_VLA

     А.7.2.3 ATEJND

     А.8 Стойкость функций безопасности и анализ уязвимостей

     А.8.1 Потенциал нападения

     А.8.1.1 Применение потенциала нападения

     А.8.1.2 Трактовка мотивации

     А.8.2 Вычисление потенциала нападения

     А.8.2.1 Идентификация и использование

     А.8.2.2 Учитываемые факторы

     А.8.2.3 Подход к вычислению

     А.8.3 Пример анализа стойкости функции

     А.9 Сфера ответственности системы оценки

Приложение В (справочное) Сведения о соответствии национальных стандартов Российской Федерации ссылочным международным стандартам

 

233 страницы

Дата введения01.10.2009
Добавлен в базу01.09.2013
Завершение срока действия01.07.2014
Актуализация01.01.2021

Этот ГОСТ находится в:

Организации:

18.12.2008УтвержденФедеральное агентство по техническому регулированию и метрологии522-ст
РазработанООО ЦБИ
РазработанФГУП Центр Атомзащитаинформ
РазработанФГУП ЦНИИАТОМИНФОРМ
РазработанФГУ 4 ЦНИИ Минобороны Росссии
ИзданСтандартинформ2009 г.

Information technology. Security techniques. Methodology for IT security evaluation

Стр. 1
стр. 1
Стр. 2
стр. 2
Стр. 3
стр. 3
Стр. 4
стр. 4
Стр. 5
стр. 5
Стр. 6
стр. 6
Стр. 7
стр. 7
Стр. 8
стр. 8
Стр. 9
стр. 9
Стр. 10
стр. 10
Стр. 11
стр. 11
Стр. 12
стр. 12
Стр. 13
стр. 13
Стр. 14
стр. 14
Стр. 15
стр. 15
Стр. 16
стр. 16
Стр. 17
стр. 17
Стр. 18
стр. 18
Стр. 19
стр. 19
Стр. 20
стр. 20
Стр. 21
стр. 21
Стр. 22
стр. 22
Стр. 23
стр. 23
Стр. 24
стр. 24
Стр. 25
стр. 25
Стр. 26
стр. 26
Стр. 27
стр. 27
Стр. 28
стр. 28
Стр. 29
стр. 29
Стр. 30
стр. 30

ФЕДЕРАЛЬНОЕ АГЕНТСТВО ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ



НАЦИОНАЛЬНЫЙ

СТАНДАРТ

РОССИЙСКОЙ

ФЕДЕРАЦИИ


ГОСТ Р исо/мэк 18045—

2008


Информационная технология

МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ


Методология оценки безопасности информационных технологий

ISO/IEC 18045:2005 Information technology — Security techniques — Methodology for IT security evaluation (IDT)


Издание официальное


8

I

<4


со

10


Москва

Стандартинформ

2009


ГОСТ Р ИСО/МЭК18045—2008

Предисловие

Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом от 27 декабря 2002 г. № 184-ФЗ «О техническом регулировании», а правила применения национальных стандартов Российской Федерации — ГОСТ Р 1.0 — 2004 «Стандартизация в Российской Федерации. Основные положения»

Сведения о стандарте

1    ПОДГОТОВЛЕН Обществом с ограниченной ответственностью «Центр безопасности информации» (ООО «ЦБИ»), Федеральным государственным учреждением «4 Центральный научно-исследовательский институт Министерства обороны России» (ФГУ «4 ЦНИИ Минобороны России»), Федеральным государственным унитарным предприятием «Научно-технический и сертификационный центр по комплексной защите информации» (ФГУП Центр «Атомзащитаинформ»), Федеральным государственным унитарным предприятием «Центральный научно-исследовательский институт управления, экономики и информации Росатома» (ФГУП «ЦНИИАТОМИНФОРМ») при участии экспертов Международной рабочей группы по Общим критериям на основе собственного аутентичного перевода стандарта, указанного в пункте 4

2    ВНЕСЕН Техническим комитетом по стандартизации ТК 362 «Защита информации»

3    УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 18 декабря 2008 г. № 522-ст

4    Настоящий стандарт идентичен международному стандарту ИСО/МЭК 18045:2005 «Информационная технология. Методы и средства обеспечения безопасности. Методология оценки безопасности информационных технологий» (ISO/IEC 18045:2005 «Information technology—Secunty techniques — Methodology for IT security evaluation»).

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты Российской Федерации, сведения о которых приведены в дополнительном приложении В

5    ВВЕДЕН ВПЕРВЫЕ

Информация об изменениях к настоящему стандарту публикуется в ежегодно издаваемом информационном указателе «Национальные стандарты». а текст изменений и поправок — в ежемесячно издаваемых информационных указателях «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ежемесячно издаваемом информационном указателе «Национальные стандарты». Соответствующая информация. уведомление и тексты размещаются также в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет

© Стандартинформ, 2009

Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и распространен в качестве официального издания без разрешения Федерального агентства по техническому регулированию и метрологии

II

ГОСТ Р ИСО/МЭК18045—2008

Содержание

1    Область применения....................................... 1

2    Нормативные ссылки....................................... 1

3    Термины и определения...................................... 1

4    Обозначения и сокращения.................................... 2

5    Краткий обзор.......................................... 3

5.1    Структура стандарта...................................... 3

6    Принятые соглашения....................................... 3

6.1    Терминология......................................... 3

6.2    Применение глаголов..................................... 3

6.3    Общие указания по оценке.................................. 3

6.4    Взаимосвязь между структурами ИСО/МЭК 15408 и настоящего стандарта.......... 4

6.5    Вердикты оценщика...................................... 4

7    Общие задачи оценки....................................... 5

7.1    Введение........................................... 5

7.2    Задача получения исходных данных для оценки........................ 5

7.2.1    Цели.......................................... 5

7.2.2    Замечания по применению................................ 5

7.2.3    Подзадача управления свидетельством оценки..................... 6

7.3    Задача оформления результатов оценки........................... 7

7.3.1    Цели.......................................... 7

7.3.2    Замечания по применению............................... 7

7.3.3    Подзадача подготовки СП................................ 7

7.3.4    Подзадача подготовки ТОО............................... 7

7.3.5    Подвиды деятельности по оценке............................ 12

8    Оценка профиля защиты...................................... 12

8.1    Введение........................................... 12

8.2    Организация оценки ПЗ.................................... 12

8.3    Вид деятельности «Оценка профиля защиты»......................... 13

8.3.1    Оценка раздела «Описание ОО» (APE_DES.1)...................... 13

8.3.2    Оценка раздела «Среда безопасности ОО» (APE_ENV.1)................ 14

8.3.3    Оценка раздела «Введение ПЗ» (APEJNT.1)....................... 16

8.3.4    Оценка раздела «Цели безопасности» (APE_OBJ.1)................... 16

8.3.5    Оценка раздела «Требования безопасности ИТ» (APE_REQ.1).............. 19

8.3.6    Оценка требований безопасности ИТ. сформулированных в явном виде (APE_SRE.1) . . 27

9    Оценка задания по безопасности................................. 29

9.1    Введение........................................... 29

9.2    Организация оценки ЗБ.................................... 29

9.3    Вид деятельности «Оценка задания по безопасности»..................... 30

9.3.1    Оценка раздела «Описание ОО» (ASE_DES.1)...................... 30

9.3.2    Оценка раздела «Среда безопасности ОО» (ASE ENV.1)................ 31

9.3.3    Оценка раздела «Введение ЗБ» (ASEJNT.1)....................... 33

9.3.4    Оценка целей безопасности (ASE_OBJ.1)........................ 34

9.3.5    Оценка раздела «Утверждение о соответствии ПЗ» (ASE_PPC.1)............. 37

9.3.6    Оценка раздела «Требования безопасности ИТ» (ASE_REQ.1).............. 38

9.3.7    Оценка требований безопасности ИТ. сформулированных в явном виде (ASE^SRE. 1) . .    46

9.3.8    Оценка раздела «Краткая спецификация ОО» (ASE_TSS.1)............... 48

10    Оценка по ОУД1......................................... 51

10.1    Введение.......................................... 51

10.2    Цели............................................. 51

10.3    Организация оценки по ОУД1................................. 51

10.4    Вид деятельности «Управление конфигурацией»....................... 51

10.4.1 Оценка возможностей УК (АСМ    САР.1)........................ 52

ГОСТ Р ИСО/МЭК18045—2008

10.5    Вид деятельности «Поставка и эксплуатация»........................ 52

10.5.1    Оценка установки, генерации и запуска (ADOJGS.1)................. 52

10.6    Вид деятельности «Разработка»............................... 53

10.6.1    Замечания по применению.............................. 53

10.6.2    Оценка функциональной спецификации (ADV_FSP.1).................. 54

10.6.3    Оценка соответствия представлений (ADV_RCR.1).................. 57

10.7    Вид деятельности «Руководства».............................. 57

10.7.1    Замечания по применению............................... 58

10.7.2    Оценка руководства администратора (AGD_ADM.1).................. 58

10.7.3    Оценка руководства пользователя (AGD_USR.1)................... 60

10.8    Вид деятельности «Тестирование».............................. 62

10.8.1    Замечания по применению.............................. 62

10.8.2    Оценка путем независимого тестирования (ATEJND.1)................ 62

11    Оценка по ОУД2......................................... 65

11.1    Введение........................................... 65

11.2    Цели............................................. 65

11.3    Организация оценки по ОУД2................................. 65

11.4    Вид деятельности «Управление конфигурацией»....................... 66

11.4.1    Оценка возможностей УК (АСМ_САР2)........................ 66

11.5    Вид деятельности «Поставка и эксплуатация»........................ 68

11.5.1    Оценка поставки (ADO_DEL.1)............................. 68

11.5.2    Оценка установки, генерации и запуска (ADOJGS.1)................. 69

11.6    Вид деятельности «Разработка»............................... 70

11.6.1    Замечания по применению............................... 70

11.6.2    Оценка функциональной спецификации (ADV_FSP.1).................. 70

11.6.3    Оценка проекта верхнего уровня (ADV_HLD.1)..................... 74

11.6.4    Оценка соответствия представлений (ADV RCR.1)................... 76

11.7    Вид деятельности «Руководства».............................. 77

11.7.1    Замечания по применению.............................. 77

11.7.2    Оценка руководства администратора (AGD_ADM.1).................. 77

11.7.3    Оценка руководства пользователя (AGD_USR.1).................... 79

11.8    Вид деятельности «Тестирование».............................. 81

11.8.1    Замечания по применению.............................. 81

11.8.2    Оценка покрытия (ATE_COV.1)............................. 81

11.8.3    Оценка функциональных тестов (ATE_FUN.1)...................... 83

11.8.4 Оценка путем независимого тестирования (ATEJND.2)................. 86

11.9    Вид деятельности «Оценка уязвимостей».......................... 90

11.9.1    Оценка стойкости функций безопасности ОО (AVA_SOF. 1)............... 90

11.9.2    Оценка анализа уязвимостей (AVA_VLA.1)....................... 93

12    Оценка по ОУДЗ.......................................... 97

12.1    Введение.......................................... 97

12.2    Цели............................................. 97

12.3    Организация оценки по ОУДЗ................................. 97

12.4    Вид деятельности «Управление конфигурацией»....................... 98

12.4.1    Оценка возможностей УК (АСМ_САР.З)........................ 98

12.4.2    Оценка области УК (ACM_SCP1)...........................101

12.5    Вид деятельности «Поставка и эксплуатация»........................101

12.5.1    Оценка поставки (ADO_DEL.1).............................101

12.5.2    Оценка установки, генерации и запуска (ADOJGS.1).................102

12.6    Вид деятельности «Разработка»...............................103

12.6.1    Замечания по применению..............................103

12.6.2    Оценка функциональной спецификации (ADV_FSP1)..................104

12.6.3    Оценка проекта верхнего уровня (ADV HLD.2).....................107

12.6.4    Оценка соответствия представлений (ADV_RCR.1)...................110

IV

ГОСТ Р ИСО/МЭК18045—2008

12.7    Вид деятельности «Руководства»...............................111

12.7.1    Замечания по применению...............................111

12.7.2    Оценка руководства администратора (AGD_ADM.1)..................111

12.7.3    Оценка руководства пользователя (AGD_USR.1)....................113

12.8    Вид деятельности «Поддержка жизненного цикла»......................115

12.8.1    Оценка безопасности разработки (ALC_DVS.1)....................115

12.9    Вид деятельности «Тестирование»..............................117

12.9.1    Замечания по применению..............................117

12.9.2    Оценка покрытия (ATE_COV.2)............................119

12.9.3    Оценка глубины (ATE_DPT.1).............................120

12.9.4    Оценка функциональных тестов (ATE_FUN.1).....................122

12.9.5    Оценка путем независимого тестирования (ATEJND.2)................126

12.10    Вид деятельности «Оценка уязвимостей»..........................130

12.10.1    Оценка неправильного применения (AVA_MSU.1)..................130

12.10.2    Оценка стойкости функций безопасности ОО (AVA_SOF.1)..............132

12.10.3    Оценка анализа уязвимостей (AVA_VLA.1)......................134

13 Оценка по ОУД4..........................................139

13.1    Введение..........................................139

13.2    Цели.............................................139

13.3    Организация оценки по ОУД4.................................139

13.4    Вид деятельности «Управление конфигурацией».......................139

13.4.1    Оценка автоматизации УК (ACM_AUT.1)........................140

13.4.2    Оценка возможностей УК (АСМ_САР.4)........................141

13.4.3    Оценка области УК (ACM_SCP2)...........................145

13.5    Вид деятельности «Поставка и эксплуатация»........................145

13.5.1    Оценка поставки (ADO_DEL.2)............................145

13.5.2    Оценка установки, генерации и запуска (ADOJGS.1).................147

13.6    Вид деятельности «Разработка»...............................148

13.6.1    Замечания по применению..............................148

13.6.2    Оценка функциональной спецификации (ADV_FSP.2).................149

13.6.3    Оценка проекта верхнего уровня (ADV HLD.2)....................152

13.6.4    Оценка представления реализации (ADVJMP.1)....................155

13.6.5    Оценка проекта нижнего уровня (ADV_LLD.1).....................157

13.6.6    Оценка соответствия представлений (ADV_RCR.1)...................160

13.6.7    Оценка моделирования политики безопасности ОО (ADV_SPM.1)...........161

13.7    Вид деятельности «Руководства»..............................164

13.7.1    Замечания по применению..............................164

13.7.2    Оценка руководства администратора (AGD_ADM.1)..................165

13.7.3    Оценка руководства пользователя (AGD_USR.1)...................167

13.8    Вид деятельности «Поддержка жизненного цикла»......................169

13.8.1    Оценка безопасности разработки (ALC_DVS.1)....................169

13.8.2    Оценка определения жизненного цикла (ALC_LCD.1).................171

13.8.3    Оценка инструментальных средств и методов (ALC_TAT.1)...............172

13.9    Вид деятельности «Тестирование»..............................173

13.9.1.Замечания по применению...............................173

13.9.2    Оценка покрытия (ATE_COV.2).............................175

13.9.3    Оценка глубины (ATE_DPT.1).............................176

13.9.4    Оценка функциональных тестов (ATE_FUN.1)......................178

13.9.5    Оценка путем независимого тестирования (ATEJND.2)................181

13.10 Вид деятельности «Оценка уязвимостей»..........................186

13.10.1    Оценка неправильного применения (AVA MSU.2)..................186

13.10.2    Оценка стойкости функций безопасности ОО (AVA_SOF.1)..............189

13.10.3    Оценка анализа уязвимостей (AVA_VLA.2)......................191

V

ГОСТ Р ИСО/МЭК18045—2008

14 Подвид деятельности «Устранение недостатков».........................ЛЛ

14.1    Оценка устранения недостатков (ALC_FLR.1).........................231

14.1.1    Цели.........................................201

14.1.2    Исходные данные...................................231

14.1.3    Действие ALC_FLR.1.1E................................201

14.2    Оценка устранения недостатков (ALC_FLR.2).........................233

14.2.1    Цели.........................................203

14.2.2    Исходные данные...................................203

14.2.3    Действие ALC_FLR.2.1E................................203

14.3    Оценка устранения недостатков (ALC_FLR.3).........................233

14.3.1    Цели.........................................206

ОГЛ

14.3.2    Исходные данные...................................

14.3.3    Действие ALC_FLR.3.1E................................206

Приложение А(обязательное) Общие указания по оценке.......................211

А.1 Цели.............................................211

А.2 Выборка...........................................2^

А.З Анализ непротиворечивости..................................212

А.4 Зависимости.........................................2^3

А.4.1 Зависимости между видами деятельности........................2^3

А.4.2 Зависимости между подвидами деятельности......................2^4

А.4.3 Зависимости между действиями............................214

А.5 Посещение объектов.....................................2^4

А.6 Границы объекта оценки....................................213

А.6.1 Продукт и система...................................213

А.6.2 Объект оценки......................................2^3

А.6.3 Функции безопасности объекта оценки.........................2^3

А.6.4 Оценка.........................................213

А.6.5 Сертификация......................................*10

А.7 Угрозы и требования класса FPT...............................2^3

А.7.1 Объекты оценки, для которых не обязательны требования класса FPT..........2^3

А.7.1.1 Объект оценки с ограниченным интерфейсом пользователя...........2^3

А.7.1.2 Объект оценки, не осуществляющий соответствующую политику безопасности . 217

А.7.1.3 Защита обеспечивается средой.........................2^7

А.7.2 Воздействие на семейства доверия...........................217

А.7.2.1 ADV.......................................217

А.7.2.2 AVA_VLA....................................217

А.7.2.3 ATEJND.....................................217

А.8 Стойкость функций безопасности и анализ уязвимостей....................217

А.8.1 Потенциал нападения..................................218

А.8.1.1 Применение потенциала нападения.......................218

А.8.1.2 Трактовка мотивации..............................218

А.8.2 Вычисление потенциала нападения...........................219

А.8.2.1 Идентификация и использование........................219

А.8.2.2 Учитываемые факторы.............................219

А.8.2.3 Подход к вычислению..............................220

А.8.3 Пример анализа стойкости функции...........................222

А.9 Сфера ответственности системы оценки............................223

Приложение В (справочное) Сведения о соответствии национальных стандартов Российской Федерации ссылочным международным стандартам......................224

VI

ГОСТ Р ИСО/МЭК18045—2008

Введение

Международный стандарт ИСО/МЭК 18045:2005 подготовлен Совместным техническим комитетом ИСО/МЭК СТК 1 «Информационные технологии», Подкомитетом ПК 27 «Методы и средства обеспечения безопасности ИТ». Идентичный ИСО/МЭК 18045:2005 текст опубликован организациями—спонсорами проекта «Общие критерии» как «Общая методология оценки безопасности информационных технологий», версия 2.3 (ОМО. версия 2.3).

Методология оценки безопасности информационных технологий (ИТ), представленная в настоящем стандарте, идентичном ИСО/МЭК 18045:2005, ограничена оценками для оценочных уровней доверия (ОУД) ОУД1 — ОУД4, определенных в ИСО/МЭК 15408:2005. Это не обеспечивает руководство для оценки по ОУД 5-7, а также для оценок, использующих другие пакеты доверия.

Потенциальные пользователи настоящего стандарта — прежде всего оценщики, применяющие ИСО/МЭК 15408, и органы по сертификации, подтверждающие действия оценщика, заявители оценки, разработчики, авторы профилей защиты (ПЗ) и заданий по безопасности (ЗБ) и другие стороны, заинтересованные в безопасности ИТ.

Настоящим стандартом признано, что не на все вопросы оценки безопасности ИТ можно найти в нем ответы и что дальнейшие интерпретации будут необходимы. В конкретных системах оценки должно быть решено, как обращаться с такими интерпретациями, хотя они могут быть подчинены соглашениям о взаимном признании. Список связанных с методологией вопросов, которые могут быть определены в конкретной системе оценки, приведен в приложении А.

VII

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

Информационная технология МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ Методология оценки безопасности информационных технологий

Information technology. Security techniques. Methodology for IT security evaluation

Дата введения — 2009 — 10 — 01

1    Область применения

Настоящий стандарт — нормативный документ, применяемый совместно с ИСО/МЭК 15408. Настоящий стандарт описывает минимум действий, выполняемых оценщиком при проведении оценки безопасности информационных технологий (ИТ) по ИСО/МЭК 15408 с использованием критериев и свидетельств оценки, определенных в ИСО/МЭК 15408.

2    Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие международные стандарты:

ИСО/МЭК 15408-1:2005 Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности ИТ. Часть 1. Введение и общая модель

ИСО/МЭК 15408-2:2005 Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности ИТ. Часть 2. Функциональные требования безопасности

ИСО/МЭК 15408-3:2005 Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности ИТ. Часть 3. Требования к обеспечению защиты

ИСО 9000:2000 Системы менеджмента качества. Основные положения и словарь

3    Термины и определения

В настоящем стандарте применены следующие термины с соответствующими определениями:

Примечание - Для терминов, выделенных в тексте определений полужирным шрифтом, в настоящем разделе даны собственные определения.

3.1    действие (action): Элемент действий оценщика по ИСО/МЭК 15408-3. Эти действия или сформулированы в явном виде как действия оценщика, или неявно следуют из действий разработчика (подразумеваемые действия оценщика) в рамках компонентов доверия ИСО/МЭК 15408-3.

3.2    вид деятельности (activity): Применение класса доверия по ИСО/МЭК 15408-3.

3.3    проверить (check): Вынести вердикт посредством простого сравнения, при этом специальные знания и опыт оценщика не требуются. В формулировке, в которой используется этот глагол, должно быть описано то, что подлежит сравнению.

3.4    поставка для оценки (evaluation deliverable): Любой ресурс, который оценщик или орган оценки требует от заявителя или разработчика для выполнения одного или нескольких видов деятельности по проведению оценки или по надзору за оценкой.

3.5    свидетельство оценки (evaluation evidence): Фактическая поставка для оценки.

Издание официальное

3.6    технический отчет об оценке (evaluation technical report): Отчет, выпущенный оценщиком, представленный в орган оценки и содержащий общий вердикт и его логическое обоснование.

3.7    исследовать (examine): Вынести вердикт на основе анализа с использованием специальных знаний и опыта оценщика. Формулировка, в которой используется этот глагол, указывает на то. что конкретно и какие свойства должны быть подвергнуты анализу.

3.8    интерпретация (interpretation): Разъяснение или расширение требования ИСО/МЭК 15408, настоящего стандарта или системы оценки.

3.9    методология (methodology): Система принципов, процедур и процессов, применяемых для оценки безопасности информационных технологий.

3.10    сообщение о проблеме (observation report): Сообщение, документально оформленное оценщиком, в котором он просит разъяснений или указывает на возникшую при оценке проблему.

3.11    общий вердикт (overall verdict): Положительный или отрицательный вывод оценщика по результатам оценки.

3.12    вердикт органа оценки (oversight verdict): Вывод органа оценки, подтверждающий или отклоняющий общий вердикт, который основан на результатах деятельности по надзору за оценкой.

3.13    зафиксировать (record): Сохранить в документальной форме описания процедур, событий, данных наблюдений, предположений и результатов на уровне детализации, достаточном для обеспечения воспроизведения в будущем процесса выполнения оценки.

3.14    привести в отчете (сообщении) (report): Включить результаты оценки и вспомогательные материалы в технический отчет об оценке или в сообщение о проблеме.

3.15    система оценки (scheme): Совокупность правил, установленных органом оценки и определяющих среду оценки, включая критерии и методологию, требуемые для проведения оценки безопасности информационных технологий.

3.16    подвид деятельности (sub-activity): Применение компонента доверия ИСО/МЭК 15408-3. Семейства доверия прямо не рассматриваются в настоящем стандарте, поскольку при проведении оценки всегда используется только один компонент доверия из применяемого семейства.

3.17    прослеживание (tracing): Однонаправленная связь между двумя совокупностями сущностей, которая показывает, какие сущности в первой совокупности каким сущностям из второй соответствуют.

3.18    вердикт (verdict): Вывод оценщика (положительный, отрицательный или неокончательный) применительно к некоторому элементу действий оценщика, компоненту или классу доверия из ИСО/МЭК 15408. См. также общий вердикт.

3.19    шаг оценивания (work unit): Наименьшая структурная единица работ по оценке. Каждое действие в методологии оценки включает в себя один или несколько шагов оценивания, которые сгруппированы в пределах действия методологии оценки применительно к элементам содержания и представления свидетельств или элементам действий разработчика ИСО/МЭК 15408-3. Шаги оценивания представлены в настоящем стандарте в том же порядке, что и элементы ИСО/МЭК 15408-3, из которых они следуют. Шаги оценивания идентифицированы условным обозначением типа 4:ALC_TAT.1-2. В этом обозначении первая цифра (4) указывает на оценочный уровень доверия (ОУД), последовательность символов ALC_TAT. 1 указывает на компонент ИСО/МЭК 15408-3 (т.е. на подвид деятельности из настоящего стандарта), а завершающая цифра (2) указывает, что это второй шаг оценивания в подвиде деятельности ALC_TAT. 1.

4 Обозначения и сокращения

В настоящем стандарте применены следующие сокращения:

ЗБ (ST) — задание по безопасности:

ИТ(ГТ) — информационная технология;

HOBO(TSFI) — интерфейс функции безопасности объекта оценки;

ОДФ (TSC) — область действия функции безопасности объекта оценки;

ОО(ТОЕ) — объект оценки:

ОУД (EAL) — оценочный уровень доверия;

ПВО (TSP) — политика безопасности объекта оценки;

ПЗ(РР) — профиль защиты;

2

ГОСТ Р ИСО/МЭК18045— 2008

ПФБ (SFP) — политика функции безопасности;

СФБ (SOF) — стойкость функции безопасности;

СП (OR) — сообщение о проблеме;

ТОО (ETR) — технический отчет об оценке;

УК (СМ) — управление конфигурацией;

ФБ (SF) — функция безопасности;

ФБО (TSF) — функции безопасности объекта оценки.

5    Краткий обзор

5.1    Структура стандарта

Раздел 6 определяет соглашения, используемые в настоящем стандарте.

В разделе 7 описаны общие задачи оценки без определения вердиктов, связанных с ними, поскольку эти задачи не отображаются на элементы действий оценщика из ИСО/МЭК 15408-3.

Раздел 8 определяет оценку профиля защиты.

Раздел 9 определяет оценку задания по безопасности.

В разделах 10—13 определены минимальные усилия по оценке, необходимые для успешного выполнения оценки по ОУД1—ОУД4. и предоставлено руководство по способам и средствам выполнения оценки.

Раздел 14 определяет виды деятельности по оценке устранения недостатков.

Приложение А охватывает базовые методы оценки, используемые для предоставления технических свидетельств результатов оценки.

6    Принятые соглашения

6.1    Терминология

В отличие от ИСО/МЭК 15408, где каждый соответствующий элемент во всех компонентах одного семейства доверия имеет один и тот же номер, указанный последней цифрой его условного обозначения, настоящий стандарт может вводить новые шаги оценивания при изменении элемента действий оценщика из ИСО/МЭК 15408 в зависимости от подвида деятельности; в результате, последняя цифра условного обозначения последующих шагов оценивания изменится, хотя шаг оценивания останется тем же самым. Например, если для ОУД4 добавлен новый шаг оценивания, помеченный 4;ADV FSP.2-7, то номера последующих шагов оценивания подвида деятельности FSP увеличиваются на единицу. Тогда шагу оценивания 3:ADV_FSP.1-8 соответствует шаг оценивания 4:ADV_FSP.2-9, хотя каждый из указанных шагов содержит одно и то же требование, их нумерация внутри своего подвида деятельности более не совпадает.

Любая определенная в методологии работа по оценке, которая не следует непосредственно из требований ИСО/МЭК 15408, называется задачей или подзадачей.

6.2    Применение глаголов

Любому основному глаголу описания шага оценивания или подзадачи предшествует вспомогательный глагол «должен». Вспомогательный глагол «должен» используют при обязательности содержащего его текста и. следовательно, только в рамках шага оценивания или подзадачи. Шаги оценивания и подзадачи содержат обязательные действия, которые оценщик должен выполнить, чтобы вынести вердикт.

Текст, сопровождающий шаги оценивания и подзадачи, содержит дальнейшие разъяснения использования формулировок ИСО/МЭК 15408 при оценке.

Глаголы «проверить» (check), «исследовать» (examine), «привести в отчете» (report) и «зафиксировать» (record) в тексте настоящего стандарта имеют точный смысл, указанный в определениях раздела 3.

6.3    Общие указания по оценке

Материал, который применим более чем к одному подвиду деятельности, приведен в одном месте. Указания, которые являются широко применимыми (к нескольким видам деятельности или ОУД), приведены в приложении А. Указания, относящиеся к нескольким подвидам одного вида деятельности, содержатся во вводной части описания этого вида деятельности. Если указания относятся только к одному подвиду деятельности, они содержатся только в его описании.

3