15. ГОСУДАРСТВЕННЫЙ СТАНДАРТ ГОСТ Р ИСО/МЭК 15/408 "КРИТЕРИИ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ"
Ситуация на рынке информационных технологий сегодня на рынке сложилась так что практически 90% их является разработками иностранных фирм. При этом программные продукты включают средства и системы защиты, соответствующие требованиям иностранных фирм. Отказ от использования этой продукции по причине недоверия нанес бы значительный ущерб экономике страны, ее промышленности, финансовой сфере и т.д. из-за значительного отставания развития отечественных информационных технологий от мирового уровня. Решение проблемы возможно тремя путями:
1)необходимо договориться о признании зарубежных стандартов и сертификатов внутри страны;
2)разработать свои стандарты, гармонизированные
смеждународными стандартами;
3)обеспечить требуемый уровень доверия в средствам и системам защиты за счет должной модификации действующих стандартов.
В зависимости от области применения информационных технологий приемлем тот или иной из указанных путей, однако во всех случаях согласованная нормативная база критериев оценки эффективности защиты информации. Разработка такой базы началась еще в начале 90-х годов и завершилась в мае 1998 г. специалистами и организациями целого ряда стран (США, Канады, Великобритании, Германии, Нидерландов, и Франции) и принята в 1999 г. Международным комитетом по стандартизации в качестве международного стандарта ИСО/ МЭК 15408-99 "Информационные технологии. Методы и средства обеспече-
280
ния безопасности. Критерии", версия 2.1 (в подобного рода документах принята следующая спецификация: для обозначения самой организации, то есть международного комитета по стандартизации, пишут МОС, при ссылках на оригинал документа этой организации пишут – ISO, при ссылках на переводы пишут ИСО). Этот документ получил в обиходе краткое наименование "Общие критерии" (ОК). ОК представляют собой метастандарт, который устанавливает единый состав и структуру функций безопасности и требований по обоснованию гарантий безопасности (требований уверенности, требований адекватности – в последних переводах). Этот стандарт на основе аутентичного перевода принят сегодня как национальный стандарт ГОСТ Р 15408-2002.
Этот документ разработан на основе достижений многочисленных исследований в области безопасности информационных технологий 90-х годов и на результатах анализа опыта применения положенных в его основу стандартов: так называемой "Оранжевой книги", "Федеральных критериев", "Канадских критериев" и др. ОК оперируют с предложенным в Федеральных критериях понятиями – продукт информационной технологии и профиль защиты.
ОК разрабатывались в расчете на то, чтобы удовлетворить запросы трех групп специалистов: производителей и потребителей продуктов информационных технологий, а также экспертов по квалификации уровня их безопасности. Потребители рассматривают квалификацию уровня безопасности ИТ-продукта как метод определения соответствия ИТ-продукта их запросам. Обычно эти запросы составляются на основе результатов проведенного анализа рисков и выбранной политики безопасности. ОК играют существенную роль, влияют на формирование этих запросов, так как содержат механизмы, позволяющие сформу-
281
лировать эти запросы в виде стандартизованных требований. Это позволяет потребителям принять обоснованное решение о возможности использования тех или иных продуктов. Кроме того, ОК предоставляют потребителям механизм Профилей защиты, с помощью которых они могут выразить специфические для них требования, не заботясь о механизмах их реализации.
Производителям этот документ дает возможность на основании анализа запросов потребителей определить набор требований, которым должен удовлетворять разрабатываемый ими продукт. Производители используют предлагаемую ОК технологию для обоснования своих претензий на то, что поставляемый ими ИТ-продукт успешно противостоит угрозам безопасности, на основании того, что он удовлетворяет выдвинутым функциональным требованиям и их реализации осуществлена с достаточным уровнем адекватности (гарантии). Для осуществления этой технологии ОК предлагают производителям специальный механизм, названный Проект защиты, дополняющий Профиль защиты и позволяющий соединить описание требований, на которые ориентировался разработчик, и спецификации механизмов реализации этих требований.
Кроме того, производители могут использовать ОК для определения границ своей ответственности, а также условий, которые необходимо выполнить для успешного прохождения квалификационного анализа и сертификации созданного ими продукта.
Наконец, эксперты по квалификации используют этот документ в качестве основных критериев определения соответствия средств защиты ИТ-продукта требованиям, предъявляемым к нему потребителями, и угрозам, действующим в среде его эксплуатации. ОК описывают только общую схему проведения квалификационного анализа и
282
сертификации, но не регламентируют процедуру их осуществления. Вопросам методологии квалификационного анализа и сертификации посвящен отдельный документ - "Общая методология оценки безопасности информационных технологий", выпущенный национальным институтом стандартизации и технологий и агентством национальной безопасности США, а также аналогичными организациями Великобритании, Канады, Франции, германии и Нидер-
ландов (Common Evaluation Methodology for Information Technology Security).
Причинно-следственные связи, установленные между базовыми понятиями ОК приведены на рис.1. Потребители ИТпродуктов озабочены наличием угроз безопасности информации, приводящих к определенным рискам для обрабатываемой информации. Для противодействия этим угрозам ИТ-продукты должны включать в свой состав средства защиты, противодействующие этим угрозам, и направленные на устранение уязвимостей, однако ошибки в средствах защиты в свою очередь могут приводить к появлению уязвимостей. Сертификация средств защиты позволяет подтвердить их адекватность угрозам и рискам.
Необходимо подчеркнуть, что ОК предлагают достаточно сложную и бюрократическую концепцию процесса разработки и квалификационного анализа ИТ-продукта, требующая от потребителей и производителей огромного количества работы по составлению и оформлению весьма объемных и подробных нормативных документов. Коротко рассмотрим основные положения и разделы ОК. Но сначала введем несколько базовых понятий.
Задача защиты – базовое понятие ОК, выражающее потребность потребителей ИТ-продукта в противостоянии
283
заданному множеству угроз или в необходимости реализации заданной политики безопасности.
Профиль защиты – специальный нормативный документ, представляющий собой совокупность задач защиты, функциональных требований, требований гарантии (уверенности, адекватности) и их обоснования.
Проект защиты – специальный нормативный документ, представляющий собой совокупность задач защиты, функциональных требований, требований уверенности (адекватности, гарантий), общих спецификаций средств защиты и их обоснования.
ОК определяют множество типовых требований, которые в совокупности с механизмом Профилей защиты позволяет потребителям создавать частные наборы требований, отвечающие их нуждам. Разработчики могут использовать Профиль защиты как основу для создания спецификаций своих продуктов. Профиль защиты и спецификации средств защиты составляют Проект защиты, который и представляет ИТ-продукт в ходе квалификационного анализа. Для проведения квалификационного анализа разработчик продукта должен представить следующие материалы:
-Профиль защиты, описывающий назначение ИТпродукта и характеризующий среду его эксплуатации, а также устанавливающий задачи защиты и требования, которым должен отвечать продукт;
-Проект защиты, включающий спецификации средств защиты, а также обоснование соответствия ИТпродукта задачам защиты из Профиля защиты и указанным
внем требованиям "Общих критериев";
-различные обоснования и подтверждения свойств и возможностей ИТ-продукта, полученные разработчиком;
-сам ИТ-продукт;
284