Электронный фонд правовой
и нормативно-технической документации
ГОСТ Р 57628-2017 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Руководство по разработке профилей защиты и заданий по безопасности
ГОСТ Р 57628-2017
Группа П80
НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ
Информационная технология
МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ
Руководство по разработке профилей защиты и заданий по безопасности
Information technology. Security techniques. Guide for the production of Protection Profiles and Security Targets
ОКС 35.240
Дата введения 2018-01-01
Предисловие
1 РАЗРАБОТАН Обществом с ограниченной ответственностью "Центр безопасности информации" (ООО "ЦБИ")
2 ВНЕСЕН Техническим комитетом по стандартизации ТК 362 "Защита информации"
3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 25 августа 2017 г. N 967-ст
4 Настоящий стандарт разработан с учетом основных положений международного стандарта ISO/IEC TR 15446:2009* "Информационная технология. Методы и средства обеспечения безопасности. Руководство по разработке профилей защиты и заданий по безопасности" (ISO/IEC TR 15446:2004 "Information technology - Security techniques - Guide for the production of Protection Profiles and Security Targets", NEQ)
________________
* Доступ к международным и зарубежным документам, упомянутым в тексте, можно получить, обратившись в Службу поддержки пользователей. - Примечание изготовителя базы данных.
5 ВЗАМЕН ГОСТ Р ИСО/МЭК TO 15446-2008
Правила применения настоящего стандарта установлены в статье 26 Федерального закона "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)
Введение
Предназначение профиля защиты (далее - ПЗ) состоит в том, чтобы изложить проблему безопасности для определенной совокупности продуктов (изделий) информационных технологий (далее - ИТ), называемых объектами оценки (далее - ОО), и сформулировать требования безопасности для решения данной проблемы. При этом ПЗ не регламентирует то, каким образом данные требования будут выполнены, обеспечивая таким образом независимое от реализации описание требований безопасности.
Профиль защиты содержит взаимосвязанную информацию, имеющую отношение к безопасности ИТ, в том числе:
а) формулировку потребности в безопасности, соответствующую проблеме безопасности и выраженную в терминах, ориентированных на пользователей ИТ;
б) описание проблемы безопасности, уточняющее формулировку потребности в безопасности с учетом порождаемых средой угроз безопасности информации, которым нужно противостоять, политики безопасности организации, которая должна выполняться, и сделанных предположений;
в) цели безопасности ОО, основанные на описании проблемы безопасности и предоставляющие информацию относительно того, как и в какой мере должны быть удовлетворены потребности в безопасности. Предназначение целей безопасности заключается в том, чтобы снизить риск реализации угроз безопасности информации и обеспечить поддержание политики безопасности организации, в интересах которой ведется разработка ПЗ;
г) функциональные требования безопасности и требования доверия к безопасности, которые направлены на решение проблемы безопасности в соответствии с описанием проблемы безопасности и целями безопасности для ОО. Функциональные требования безопасности выражают то, что должно выполняться ОО для удовлетворения целей безопасности. Требования доверия к безопасности определяют степень уверенности в правильности реализации функций безопасности ОО;
д) обоснование, показывающее, что функциональные требования и требования доверия к безопасности являются соответствующими для удовлетворения сформулированной потребности в безопасности. Посредством целей безопасности должно быть показано, что необходимо сделать для решения проблемы безопасности. Функциональные требования безопасности должны удовлетворять целям безопасности.
Задание по безопасности (ЗБ) во многом похоже на ПЗ, но содержит дополнительную информацию, ориентированную на конкретную реализацию продукта ИТ и разъясняющую, каким образом требования ПЗ реализуются в конкретном продукте ИТ. Задание по безопасности содержит следующую дополнительную по отношению к ПЗ информацию:
а) краткую спецификацию ОО, которая представляет функции безопасности и меры доверия к безопасности для конкретного ОО;
б) утверждение о соответствии ЗБ одному или более ПЗ (если применимо);
в) материалы обоснования, устанавливающие, что краткая спецификация ОО обеспечивает удовлетворение требований безопасности, а любые утверждения о соответствии ПЗ действительны.
Профиль защиты может быть использован для определения типового набора требований безопасности, которым должны удовлетворять один или более продуктов ИТ. Профиль защиты может быть применен к определенному виду или типу продуктов (например, операционным системам, системам управления базами данных, межсетевым экранам, средствам антивирусной защиты, средствам контроля съемных машинных носителей информации, системам обнаружения вторжений и т.д.).
Поставщики продукта ИТ в соответствии с потребностями безопасности, сформулированными в ПЗ, могут разработать ЗБ, которое будет демонстрировать то, как их продукт ИТ удовлетворяет потребностям безопасности. Тем не менее соответствие задания по безопасности профилю защиты не всегда является обязательным (если не требуется при сертификации).
1 Область применения
Настоящий стандарт представляет собой руководство по разработке профилей защиты (ПЗ) и заданий по безопасности (ЗБ) в соответствии с комплексом стандартов ГОСТ Р ИСО/МЭК 15408.
Настоящий стандарт не предназначен для использования в качестве вводного материала по оценке безопасности продуктов ИТ в соответствии с ГОСТ Р ИСО/МЭК 15408. Для получения такой информации следует использовать ГОСТ Р ИСО/МЭК 15408-1.
Доступ к полной версии документа ограничен
Документ «ГОСТ Р 57628-2017» представляет собой руководство по разработке профилей защиты и заданий по безопасности в области информационных технологий. Основное назначение стандарта заключается в обеспечении систематизированного подхода к созданию и внедрению мер по защите информации, что актуально для организаций, работающих с конфиденциальными данными и критической информационной инфраструктурой. Сфера применения охватывает как государственные, так и частные учреждения, а также разработчиков программного обеспечения и систем безопасности.
Ключевыми регламентируемыми аспектами данного стандарта являются методы оценки рисков, параметры защиты, требования к системам безопасности и процедуры их внедрения. Стандарт описывает подходы к разработке профилей защиты, которые помогают идентифицировать уязвимости систем и выработать меры по их устранению. Также в документе приводятся рекомендации по формированию заданий по безопасности, что способствует более эффективному управлению рисками в области ИТ.
Важные технические детали включают в себя условия испытаний систем безопасности, а также классификацию защищаемых объектов и измеряемые величины, такие как уровень угроз и степень уязвимости. Стандарт также устанавливает требования к документации, что позволяет обеспечить прозрачность и последовательность в процессе разработки мер безопасности. Это способствует более высокому уровню доверия к системам защиты информации.
Целевая аудитория «ГОСТ Р 57628-2017» включает производителей программного обеспечения, лаборатории, занимающиеся испытаниями и сертификацией, а также контролирующие органы, ответственные за соблюдение стандартов безопасности. Документ ориентирован на специалистов в области информационной безопасности, которые занимаются разработкой и внедрением защитных решений, а также на менеджеров, принимающих решения о безопасности информационных систем.
Практическое значение стандарта заключается в его влиянии на повышение уровня безопасности информационных систем, улучшение качества защиты данных и соблюдение требований охраны труда. Он способствует созданию совместимых и безопасных решений, что важно для обеспечения защиты информации в условиях растущих киберугроз. В случае наличия изменений или дополнений в документе, они касаются актуализации методов оценки рисков и уточнения требований к средствам защиты, что позволяет поддерживать стандарт в соответствии с современными вызовами в области информационной безопасности.
Описание документа носит справочный характер, достоверность этого материала не гарантируется.
Чтобы получить полный доступ к этому и другим документам, приобретайте доступ к Информационной сети «Техэксперт» - лидеру в области комплексного обеспечения предприятий нормативно-технической документацией.
доступны в системах «Техэксперт» и «Кодекс»
Возможно вас заинтересуют
ГОСТ Р 57627-2017 (ИСО 9073-14:2006) Материалы текстильные. Методы испытаний нетканых материалов. Часть 14. Определение обратного проникания жидкости сквозь покрытие
ГОСТ 34133-2017 Мясо и мясные продукты. Метод определения аскорбиновой кислоты и аскорбатов высокоэффективной жидкостной хроматографией (Переиздание)
ГОСТ 34112-2017 Консервы овощные. Горошек зеленый. Технические условия
ГОСТ Р ИСО 5978-2017 Ткани с резиновым или полимерным покрытием. Метод определения устойчивости к слипанию
ГОСТ Р 57625-2017/ISO/TS 14071:2014 Экологический менеджмент. Оценка жизненного цикла. Процессы критического анализа и компетенции эксперта-рецензента
ГОСТ Р ИСО 14931-2017 Кожа для одежды. Технические условия