ГОСТ Р ИСО/МЭК 15408-2-2013 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности

ГОСТ Р ИСО/МЭК 15408-2-2013

Группа П85

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

Информационная технология

МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ. КРИТЕРИИ ОЦЕНКИ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

Часть 2

Функциональные компоненты безопасности

Information technology. Security techniques. Evaluation criteria for IT security. Part 2. Security functional components

ОКС 35.040
ОКСТУ 4002

Дата введения 2014-09-01

Предисловие

1 ПОДГОТОВЛЕН Обществом с ограниченной ответственностью "Центр безопасности информации" (ООО "ЦБИ"), Федеральным автономным учреждением "Государственный научно-исследовательский испытательный институт проблем технической защиты информации Федеральной службы по техническому и экспортному контролю" (ФАУ "ГНИИИ ПТЗИ ФСТЭК России")

2 ВНЕСЕН Техническим комитетом по стандартизации "Защита информации" ТК 362

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 8 ноября 2013 г. N 1339-ст

4 Настоящий стандарт идентичен международному стандарту ИСО/МЭК 15408-2:2008* "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности" (ISO/IEC 15408-2:2008 "Information technology - Security techniques - Evaluation criteria for IT security - Part 2: Security functional components".

________________

* Доступ к международным и зарубежным документам, упомянутым в тексте, можно получить, обратившись в Службу поддержки пользователей. - Примечание изготовителя базы данных.

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты Российской Федерации, сведения о которых приведены в дополнительном приложении ДА

5 ВЗАМЕН ГОСТ Р ИСО/МЭК 15408-2-2008

Правила применения настоящего стандарта установлены в ГОСТ Р 1.0-2012** (раздел 8). Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (gost.ru)

Введение

Международный стандарт ISO/IEC 15408:2008 был подготовлен Совместным техническим комитетом ISO/IEC JTC 1 "Информационные технологии", Подкомитетом SC 27 "Методы и средства обеспечения безопасности ИТ". Идентичный ISO/IEC 15408 текст опубликован организациями-спонсорами проекта "Общие критерии" как "Общие критерии оценки безопасности информационных технологий".

Третья редакция стандарта отменяет и заменяет вторую редакцию (ISO/IEC 15408:2005), которая подверглась технической переработке.

ИСО/МЭК 15408, идентичный ISO/IEC 15408:2008, состоит из следующих частей под общим заголовком "Информационная технология - Методы и средства обеспечения безопасности - Критерии оценки безопасности информационных технологий":

- Часть 1: Введение и общая модель;

- Часть 2: Функциональные компоненты безопасности;

- Часть 3: Компоненты доверия к безопасности.

Функциональные компоненты безопасности, которые определены в данной части ИСО/МЭК 15408, являются основой для функциональных требований безопасности, отражаемых в профиле защиты (ПЗ) или задании по безопасности (ЗБ). Эти требования описывают необходимый режим функционирования объекта оценки (ОО) и направлены на достижение целей безопасности, определяемых в ПЗ или ЗБ. Эти требования описывают свойства безопасности, которые могут выявить пользователи путем непосредственного взаимодействия с ИТ (т.е. при вводе, выводе информации) или по отклику ИТ на некоторое воздействие.

Функциональные компоненты безопасности отражают требования безопасности, направленные на противодействие угрозам в предполагаемой среде функционирования ОО и выполнение принятых в организации политик и предположений безопасности.

Этот международный стандарт предназначается для потребителей, разработчиков и оценщиков продуктов, обеспечивающих безопасность ИТ. В пятом разделе стандарта ИСО/МЭК 15408-1 предоставлена дополнительная информация о целевой аудитории ИСО/МЭК 15408, а также по использованию ИСО/МЭК 15408 отдельными группами лиц, составляющими целевую аудиторию. Эти группы могут использовать данную часть ИСО/МЭК 15408 следующим образом:

a) потребители могут использовать данную часть ИСО/МЭК 15408 для выбора компонентов, выражающих функциональные требования для удовлетворения целей безопасности, отраженных в ПЗ или ЗБ. В ИСО/МЭК 15408-1 дается более детальная информация по поводу взаимосвязи между целями и требованиями безопасности;

b) разработчики, которые при производстве ОО учитывают существующие предполагаемые требования безопасности потребителей, могут найти в данной части ИСО/МЭК 15408 стандартизованный метод понимания этих требований. Также они могут использовать данную часть ИСО/МЭК 15408 как основу для дальнейшего определения функциональных возможностей и механизмов безопасности ОО, соответствующих этим требованиям;

c) оценщики могут использовать функциональные требования, определенные в данной части ИСО/МЭК 15408 для подтверждения того, что функциональные требования к ОО, отраженные в ПЗ и ЗБ, удовлетворяют целям безопасности ИТ, а все зависимости учтены и продемонстрировано их удовлетворение. Также оценщикам следует использовать данную часть ИСО/МЭК 15408 при вынесении заключения о том, удовлетворяет ли данный ОО предъявляемым к нему требованиям.

1 Область применения

Название документа

ГОСТ Р ИСО/МЭК 15408-2-2013 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности

Номер документа

ИСО/МЭК 15408-2-2013

Вид документа

Нормативно-технический документ

Принявший орган

Росстандарт

Классификация ОКС

35 Информационные технологии 35.040 Кодирование информации

Статус

Скрыто

Дата принятия

Скрыто

Дата начала действия

Скрыто

Документ «ГОСТ Р ИСО МЭК 15408 2 2013» представляет собой стандарт, посвящённый методам и средствам обеспечения безопасности информационных технологий. Основное назначение данного документа заключается в установлении критериев оценки безопасности, которые применяются для оценки функциональных компонентов систем информационной безопасности. Стандарт охватывает различные аспекты, включая методы тестирования и оценки, а также параметры, необходимые для определения уровня безопасности информационных технологий.

Сфера применения данного стандарта охватывает разработчиков программного обеспечения, производителей оборудования, а также организации, занимающиеся оценкой и сертификацией систем безопасности. Ключевыми регламентируемыми аспектами являются функциональные компоненты безопасности, которые включают в себя механизмы аутентификации, управления доступом, защиты данных и обеспечения целостности информации. Эти компоненты играют важную роль в формировании надежных систем защиты информации.

Важными техническими деталями стандарта являются условия испытаний, которые должны проводиться для проверки соответствия систем установленным критериям. Стандарт также описывает классификацию компонентов безопасности и измеряемые величины, которые могут использоваться для оценки их эффективности. Это позволяет обеспечить единообразие в подходах к тестированию и оценке систем безопасности, что является необходимым для повышения их надёжности.

Целевая аудитория стандарта включает производителей программного обеспечения и оборудования, а также аккредитованные лаборатории и контролирующие органы, которые занимаются сертификацией и оценкой систем безопасности. Эти группы заинтересованы в получении четких и понятных критериев для оценки функциональных возможностей и надёжности своих продуктов, что способствует повышению качества и безопасности информационных технологий.

Практическое значение стандарта заключается в его влиянии на безопасность информационных систем, что, в свою очередь, способствует повышению качества и совместимости различных технологий. Стандарт может помочь организациям в разработке более безопасных и эффективных решений, а также в соблюдении требований законодательства в области защиты информации. Изменения и дополнения к стандарту, внесённые в ходе его актуализации, касаются уточнения критериев оценки и расширения перечня функциональных компонентов, что улучшает его применимость в современных условиях.

Описание документа носит справочный характер, достоверность этого материала не гарантируется.