 |
 |
№ 4 июль – август 2005 г.
Тема номера: РАЗВИТИЕ НОРМАТИВНОЙ БАЗЫ В ОБЛАСТИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
|
|
МЕТОДОЛОГИЯ ОЦЕНКИ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ
ПО ОБЩИМ КРИТЕРИЯМ
М. Т. Кобзарь,
к. т. н., с. н. с., ведущий научный сотрудник
А. А. Сидак,
к. т. н., с. н. с., начальник научно-методического отдела
Центр безопасности информации |
|
  |
1. История вопроса
Основным лейтмотивом создания Общей методологии оценки (ОМО) явилась унификация на международном уровне способов и приемов проведения оценки в соответствии с Общими критериями (ОК) в целях взаимного признания оценок и, таким образом, устранения накладных расходов, связанных с дублированием оценок продуктов информационных технологий (ИТ) и профилей защиты (ПЗ).
Согласно международному Соглашению о взаимном признании сертификатов (CCRA) признание сертификатов ОК должно базироваться на уверенности в том, что «…оценка безопасности ИТ проводилась с использованием принятых методов оценки безопасности ИТ». При этом в качестве документа по методам оценки определена ОМО.
2. Существующие версии Общей методологии оценки безопасности информационных технологий
Выход первой версии ОМО датирован августом 1999 года. Соответствующий документ носит название Common Methodology for Information Technology Security Evaluation и состоит из двух частей:
- Part 1: Introduction and General Model (Часть 1. Введение и общая модель) [6];
- Part 2: Evaluation Methodology (Часть 2. Методология оценки) [7].
Отличительной особенностью ОМО версии 1.0 (часть 2 ОМО) является то, что структуризация действий и шагов оценивания проведена по оценочным уровням доверия (ОУД1 – ОУД4).
Это, с одной стороны, удобно при оценке по конкретному ОУД. При этом в тексте имеется много повторов в силу того, что одни и те же компоненты требований содержатся в различных ОУД (например, компонент ADV_FSP.1 входит в состав ОУД1, ОУД2 и ОУДЗ).
Кроме того, в ПЗ/ЗБ для продуктов и систем ИТ редко когда какой-либо ОУД используется в «чистом» виде (без компонентов доверия, его дополняющих). Как правило, используется именно ОУД усиленный (то есть некоторый ОУД+), для оценки по которому до конца непонятно, как использовать часть 2 ОМО, а именно как из нее «вырывать» отдельные составляющие (соответствующие дополнительным по отношению к конкретному ОУД компонентам доверия) и как эти составляющие интегрировать в часть ОМО, относящуюся к конкретному ОУД.
Следует также отметить, что часть 1 рассматриваемой версии ОМО появилась намного раньше, чем часть 2, а именно в 1997 году, то есть даже раньше, чем версия 2.0 ОК, положенная в основу международного стандарта ISO/IEC 15408. Это привело к тому, что между частями ОМО есть некоторые противоречия, которые следует разрешать в пользу части 2 ОМО и этой частью необходимо руководствоваться. Разработчиками ОМО предполагалось актуализировать часть 1 ОМО и объединить ее с частью 2 ОМО.
В апреле 2002 года вышла ОМО версии 1.1а (не в полном объеме) под названием Evaluation Methodology for the Common Criteria for Information Technology Security Evaluation.
Новая версия ОМО претерпела ряд существенных изменений.
1. В отличие от предыдущей указанная версия ОМО [8] не разделена на две части.
2. Структуризация действий и шагов оценивания проведена не по ОУД, а по видам деятельности, соответствующим классам доверия ОК.
3. Существенной переработке планировалось подвергнуть следующие главы ОМО:
- глава 3 «Оценка ПЗ»;
- глава 4 «Оценка ЗБ»;
- глава 12 «Вид деятельности AVA» (оценка уязвимостей)
4. Должны были быть добавлены следующие главы
- глава 5 «Пакеты доверия»;
- глава 13 «Поддержка доверия» (AMA).
5. Добавлен подраздел 10.4 «Оценка устранения недостатков» (компоненты семейства ALC_FLR не входят ни в один ОУД и могут быть использованы для дополнения предопределенных ОУД).
ОМО, как и ОК, является динамично развивающимся документом. В версии 1.1а структура ОМО изменена таким образом, чтобы впоследствии охватить все компоненты доверия из части 3 ОК. В рассматриваемом документе учтены также все относящиеся к ОМО интерпретации, выпущенные после выхода версии 1.0 ОМО.
Разработчики ОМО при ее создании руководствовались следующими принципами:
- объективность: результаты оценки основываются на фактических свидетельствах и не зависят от личного мнения оценщика;
- беспристрастность: результаты оценки являются непредубежденными, когда требуется субъективное суждение;
- воспроизводимость: действия оценщика, выполняемые с использованием одной и той же совокупности поставок для оценки, всегда приводят к одним и тем же результатам;
- корректность: действия оценщика обеспечивают точную техническую оценку;
- достаточность: каждый вид деятельности по оценке осуществляется до уровня, необходимого для удовлетворения всех заданных требований доверия;
- приемлемость: каждое действие оценщика способствует повышению доверия, по меньшей мере, пропорционально затраченным усилиям.
Эти принципы нашли отражение при описании представленных в методологии видов деятельности по оценке.
Между структурой ОК (класс – семейство – компонент – элемент) и структурой ОМО (вид деятельности – подвид деятельности – действие – шаг оценивания) была установлена прямая взаимосвязь. Рисунок 1 иллюстрирует соответствие между такими конструкциями ОК, как классы, компоненты и элементы действий оценщика, и рассматриваемыми в ОМО видами деятельности, подвидами деятельности и действиями. Вместе с тем, некоторые шаги оценивания ОМО могут прямо следовать из требований ОК, содержащихся в элементах действий разработчика, содержания и представления свидетельств.
В ОМО термин «Вид деятельности» (activity) используется для описания применения класса доверия из части 3 ОК.
Для описания применения компонента доверия из части 3 ОК используется термин «Подвид деятельности» (sub-activity). Заметим: семейства доверия прямо не рассматриваются в ОМО, поскольку при проведении оценки всегда используется только один компонент доверия из применяемого семейства.
В свою очередь, с элементом действий оценщика из части 3 ОК связан термин «Действие» (action). Эти действия или сформулированы в явном виде как действия оценщика, или неявно следуют из действий разработчика (подразумеваемые действия оценщика) в рамках компонентов доверия из части 3 ОК.
Термин «Шаг оценивания» (work unit) описывает неразделимый фрагмент работы по оценке. Каждое действие в ОМО включает один или несколько шагов оценивания, которые сгруппированы по элементам содержания и представления или действий разработчика соответствующего компонента из части 3 ОК. Шаги оценивания представлены в ОМО в том же порядке, что и элементы ОК, из которых они следуют.
Шаги оценивания содержат обязательные действия, которые оценщик должен выполнить, чтобы прийти к заключению.
Текст, сопровождающий шаги оценивания, содержит дальнейшие разъяснения использования формулировок ОК при оценке. Хотя сопроводительный текст не предписывает обязательных мер, он дает представление о том, что ожидается от оценщика при удовлетворении обязательных аспектов шагов оценивания.
ОМО версия 1.1а, принятая за основу при разработке проекта РД «Безопасность информационных технологий. Общая методология оценки безопасности информационных технологий», разбита на следующие главы:
Глава 1 «Введение» описывает цели, структуру, соглашения и терминологию документа.
Глава 2 «Процесс оценки и соответствующие задачи» описывает задачи, которые относятся ко всем видам деятельности по оценке (задачи получения исходных данных для оценки и оформления результатов оценки).
Глава 3 «Оценка ПЗ» описывает методологию оценки ПЗ, основанную на классе APE части 3 ОК.
Глава 4 «Оценка ЗБ» описывает методологию оценки ЗБ, основанную на классе ASE части 3 ОК. В ОМО не предусмотрено отдельного документа для оформления результатов оценки ЗБ.
Глава 5 «Пакеты доверия»(в разработке) представляет обзор выбора и/или конструирования пакетов компонентов доверия.
Главы 6–13 описывают методологию оценивания по классам и компонентам, приведенным в ОК.
Глава 14 «Общие указания по оценке» содержит те общие правила оценки (при выборке, анализе непротиворечивости, учете зависимостей, посещении объектов), которые применяются при оценивании более чем по одному классу доверия из ОК.
Приложение A «Глоссарий» содержит сокращения, а также словарь терминов и ссылки, используемые в ОМО.
Приложение Б «Сфера ответственности системы оценки» содержит перечень вопросов, которые оставлены для решения в системах оценки.
Приложение В «Границы ОО» представляет описание терминов, применяемых для идентификации сущности, подлежащей оценке.
Приложение Г «Запрос на интерпретацию ОМО» содержит краткое изложение способа подачи запроса на интерпретацию ОМО.
< ... >
| |
 |
Полную версию статьи смотрите на страницах журнала «Защита информации. Инсайд» |
Обращайтесь!!!
e-mail: magazine@inside-zi.ru
тел.: +7 (921) 958-25-50, +7 (911) 921-68-24
Предыдущая статья СОДЕРЖАНИЕ НОМЕРА Следующая статья
|
