Электронный фонд правовой
и нормативно-технической документации
ГОСТ Р ИСО/МЭК 18045-2008 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Методология оценки безопасности информационных технологий
ГОСТ Р ИСО/МЭК 18045-2008
Группа П85
НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ
Информационная технология
МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ
Методология оценки безопасности информационных технологий
Information technology. Security techniques. Methodology for IT security evaluation
ОКС 35.040
Дата введения 2009-10-01
Предисловие
Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом от 27 декабря 2002 г. N 184-ФЗ "О техническом регулировании", а правила применения национальных стандартов Российской Федерации - ГОСТ Р 1.0-2004 "Стандартизация в Российской Федерации. Основные положения"
1 ПОДГОТОВЛЕН Обществом с ограниченной ответственностью "Центр безопасности информации" (ООО "ЦБИ"), Федеральным государственным учреждением "4 Центральный научно-исследовательский институт Министерства обороны России" (ФГУ "4 ЦНИИ Минобороны России"), Федеральным государственным унитарным предприятием "Научно-технический и сертификационный центр по комплексной защите информации" (ФГУП Центр "Атомзащитаинформ"), Федеральным государственным унитарным предприятием "Центральный научно-исследовательский институт управления, экономики и информации Росатома" (ФГУП "ЦНИИАТОМИНФОРМ") при участии экспертов Международной рабочей группы по Общим критериям на основе собственного аутентичного перевода стандарта, указанного в пункте 4
2 ВНЕСЕН Техническим комитетом по стандартизации ТК 362 "Защита информации"
3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 18 декабря 2008 г. N 522-ст
4 Настоящий стандарт идентичен международному стандарту ИСО/МЭК 18045:2005 "Информационная технология. Методы и средства обеспечения безопасности. Методология оценки безопасности информационных технологий" (ISO/IEC 18045:2005 "Information technology - Security techniques - Methodology for IT security evaluation").
При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты Российской Федерации, сведения о которых приведены в дополнительном приложении В
5 ВВЕДЕН ВПЕРВЫЕ
Информация об изменениях к настоящему стандарту публикуется в ежегодно издаваемом информационном указателе "Национальные стандарты", а текст изменений и поправок - в ежемесячно издаваемых информационных указателях "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ежемесячно издаваемом информационном указателе "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет
Введение
Международный стандарт ИСО/МЭК 18045:2005 подготовлен Совместным техническим комитетом ИСО/МЭК СТК 1 "Информационные технологии", Подкомитетом ПК 27 "Методы и средства обеспечения безопасности ИТ". Идентичный ИСО/МЭК 18045:2005 текст опубликован организациями-спонсорами проекта "Общие критерии" как "Общая методология оценки безопасности информационных технологий", версия 2.3 (ОМО, версия 2.3).
Методология оценки безопасности информационных технологий (ИТ), представленная в настоящем стандарте, идентичном ИСО/МЭК 18045:2005, ограничена оценками для оценочных уровней доверия (ОУД) ОУД1-ОУД4, определенных в ИСО/МЭК 15408:2005. Это не обеспечивает руководство для оценки по ОУД 5-7, а также для оценок, использующих другие пакеты доверия.
Потенциальные пользователи настоящего стандарта - прежде всего оценщики, применяющие ИСО/МЭК 15408, и органы по сертификации, подтверждающие действия оценщика, заявители оценки, разработчики, авторы профилей защиты (ПЗ) и заданий по безопасности (ЗБ) и другие стороны, заинтересованные в безопасности ИТ.
Настоящим стандартом признано, что не на все вопросы оценки безопасности ИТ можно найти в нем ответы и что дальнейшие интерпретации будут необходимы. В конкретных системах оценки должно быть решено, как обращаться с такими интерпретациями, хотя они могут быть подчинены соглашениям о взаимном признании. Список связанных с методологией вопросов, которые могут быть определены в конкретной системе оценки, приведен в приложении А.
1 Область применения
Настоящий стандарт - нормативный документ, применяемый совместно с ИСО/МЭК 15408. Настоящий стандарт описывает минимум действий, выполняемых оценщиком при проведении оценки безопасности информационных технологий (ИТ) по ИСО/МЭК 15408 с использованием критериев и свидетельств оценки, определенных в ИСО/МЭК 15408.
2 Нормативные ссылки
В настоящем стандарте использованы нормативные ссылки на следующие международные стандарты:
ИСО/МЭК 15408-1:2005 Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности ИТ. Часть 1. Введение и общая модель
ИСО/МЭК 15408-2:2005 Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности ИТ. Часть 2. Функциональные требования безопасности
ИСО/МЭК 15408-3:2005 Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности ИТ. Часть 3. Требования к обеспечению защиты
Доступ к полной версии документа ограничен
Документ «ГОСТ Р ИСО МЭК 18045 2008» устанавливает методологию оценки безопасности информационных технологий, направленную на обеспечение защиты информации и ресурсов в различных сферах применения. Он охватывает широкий спектр аспектов, связанных с оценкой безопасности, включая методы анализа и тестирования, что делает его актуальным для организаций, занимающихся разработкой и внедрением информационных систем.
Ключевыми регламентируемыми аспектами данного стандарта являются методы оценки безопасности, параметры, которые необходимо учитывать при проведении испытаний, а также требования к документированию результатов. Стандарт определяет процедуры, которые должны быть выполнены для подтверждения уровня безопасности информационных технологий, что позволяет систематизировать подход к оценке и обеспечению защиты данных.
Технические детали, предусмотренные стандартом, включают условия испытаний, классификации систем по уровням безопасности и измеряемые величины, такие как вероятность успешной атаки и последствия для системы в случае нарушения безопасности. Эти аспекты необходимы для оценки рисков и определения адекватных мер защиты, что особенно важно в условиях растущих киберугроз.
Целевая аудитория стандарта включает производителей информационных технологий, аккредитованные лаборатории, а также контролирующие органы, ответственные за соблюдение норм безопасности. Стандарт служит основой для разработки и внедрения систем управления безопасностью информации, что позволяет организациям повысить уровень защиты и соответствовать международным требованиям.
Практическое значение стандарта заключается в его влиянии на безопасность, качество и совместимость информационных технологий. Он способствует формированию единого подхода к оценке безопасности, что, в свою очередь, повышает доверие к разработанным системам и защищает интересы пользователей. В случае изменений или дополнений к стандарту, они касаются уточнения методов оценки и адаптации к новым угрозам, что позволяет поддерживать актуальность и эффективность применяемых мер безопасности.
Описание документа носит справочный характер, достоверность этого материала не гарантируется.
Чтобы получить полный доступ к этому и другим документам, приобретайте доступ к Информационной сети «Техэксперт» - лидеру в области комплексного обеспечения предприятий нормативно-технической документацией.
доступны в системах «Техэксперт» и «Кодекс»
Возможно вас заинтересуют
ГОСТ Р ИСО/МЭК 19794-1-2008 Автоматическая идентификация. Идентификация биометрическая. Форматы обмена биометрическими данными. Часть 1. Структура
ГОСТ Р 21.1002-2008 Система проектной документации для строительства (СПДС). Нормоконтроль проектной и рабочей документации
ГОСТ Р 8.647-2008 Государственная система обеспечения единства измерений (ГСИ). Метрологическое обеспечение определения количества нефти и нефтяного газа, добытых на участке недр. Основные положения
ГОСТ Р ИСО/МЭК 15408-3-2008 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности
ГОСТ Р ИСО/МЭК 15408-2-2008 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности
ГОСТ Р ИСО 14965-2008 Качество воздуха. Определение неметановых органических соединений. Метод предварительного криогенного концентрирования и прямого определения с помощью пламенно-ионизационного детектора