Информационные технологии используются в государственных системах, финансовой сфере, медицине, промышленности, телекоммуникациях. Любой информационный продукт хранит, обрабатывает либо передает данные. Ошибки в защите способны привести к утечкам сведений, финансовым потерям, нарушению работы сервисов.
Что такое ISO/IEC 15408
ISO/IEC 15408 представляет собой международный стандарт в области оценки безопасности средств информационных технологий. Второе название документа — Common Criteria. В переводе термин означает «Общие критерии».
Основная задача стандарта заключается в формировании единого подхода к проверке программного обеспечения, аппаратных платформ, сетевых решений, иных ИТ-разработок. Документ позволяет проводить объективную проверку защитных механизмов, сравнивать различные продукты по единым правилам.
ISO, совместно с IEC (МЭК), разработали систему требований, которая применяется во многих государствах. Благодаря этому результаты проверки признаются на международном уровне.
Ключевые преимущества стандарта:
универсальный метод оценки различных ИТ-решений;
возможность выбора требований под конкретную задачу;
высокий уровень доверия со стороны заказчиков;
снижение рисков информационных инцидентов;
повышение качества процессов разработки;
удобное обеспечение сопоставимости результатов проверки.
В российской практике применяется адаптированная версия стандарта — ГОСТ Р ИСО/МЭК 15408. Документ сохраняет основные положения International Organization for Standardization, учитывает требования отечественной нормативной базы в области защиты данных.
СПРАВКА: система evaluation criteria позволяет заранее выявлять уязвимости, проверять эффективность механизмов защиты, повышать уровень доверия к программным продуктам, аппаратным средствам, комплексным платформам.
Для чего применяется международный стандарт ISO 15408
Основные направления применения:
анализ уровня защиты программного обеспечения;
проверка аппаратных средств;
оценка комплексных информационных систем;
подтверждение соответствия требованиям заказчика;
подготовка к сертификации;
выбор надежных решений для государственных, коммерческих структур.
СПРАВКА: использование стандарта позволяет оценивать не только функции защиты, но также степень доверия к результатам проверки.
Стандарт помогает формировать единые нормы к разработчикам, поставщикам, заказчикам. Благодаря этому повышается прозрачность процессов проверки, упрощается выбор защищенных ИТ-решений.
Какие ИТ-продукты оцениваются по ISO/IEC 15408
Объектами проверки могут выступать:
операционные системы;
базы данных;
мобильные приложения;
корпоративное программное обеспечение;
криптографические средства;
серверные платформы;
сетевое оборудование;
средства контроля доступа;
облачные сервисы;
специализированные программно-аппаратные комплексы.
Государственные структуры используют стандарт при разработке цифровых платформ, информационных систем, сервисов.
В финансовой сфере оценку проходят решения для обработки платежей, банковских данных, клиентской информации.
В медицине стандарт применяют для проверки программных комплексов, включая системы искусственного интеллекта для диагностики, работы с медицинскими данными.
Структура стандарта ISO/IEC 15408
Стандарт включает три взаимосвязанные части. Каждая часть отвечает за отдельное направление оценки безопасности.
Часть 1. Введение и общая модель
ГОСТ Р ИСО/МЭК 15408-1 содержит базовые понятия, которые используются при проведении оценки.
В документе рассматриваются:
угрозы безопасности;
предположения об условиях эксплуатации;
цели защиты;
принципы проведения оценки;
структура документации.
Данная часть формирует общую модель взаимодействия между разработчиком, экспертом, заказчиком.
Часть 2. Функциональные компоненты безопасности
ГОСТ Р ИСО/МЭК 15408-2 устанавливает функциональные требования.
Здесь описываются механизмы, которые должны обеспечивать безопасность системы.
К таким механизмам относятся:
идентификация пользователей;
аутентификация;
разграничение доступа;
защита информации;
контроль действий пользователей;
регистрация событий безопасности;
управление средствами защиты.
Функциональные требования позволяют определить, какие задачи должна выполнять система для защиты данных.
Часть 3. Компоненты доверия к безопасности
ГОСТ Р ИСО/МЭК 15408-3 посвящен требованиям доверия.
Документ определяет, насколько обоснованно можно считать заявленные функции защиты эффективными.
Для этого используются:
анализ уязвимостей;
тестирование;
проверка документации;
оценка процессов разработки;
исследование жизненного цикла продукта.
Отдельное значение имеют уровни доверия EAL (Evaluation Assurance Level).
Шкала включает семь уровней:
EAL1 — базовая проверка;
EAL2–EAL4 — расширенная оценка;
EAL5–EAL6 — высокий уровень доверия;
EAL7 — максимально строгий контроль.
Чем выше уровень, тем глубже проводится анализ продукта, тем больше доказательств требуется для подтверждения соответствия нормативам безопасности (security criteria).
Оценка и сертификация ИТ-продуктов по ISO/IEC 15408
Проверка строится на двух группах требований.
Первая группа — функциональные требования.
Они определяют, какие функции защиты обязана выполнять система. Например, контролировать доступ к данным, проводить аутентификацию пользователей, защищать каналы передачи информации.
Вторая группа — требования доверия.
Они показывают степень уверенности в том, что заявленные механизмы действительно работают корректно.
Для подтверждения используются:
анализ архитектуры продукта;
исследование исходной документации;
тестирование функций защиты;
поиск уязвимостей;
проверка процессов разработки.
Все требования стандарта имеют иерархическую структуру:
класс;
семейство;
компонент;
элемент.
Такой подход позволяет гибко формировать программу оценки под конкретный информационный продукт.
Результатом становится объективная оценка уровня защищенности, подтверждение соответствия установленным нормами надежности, получение материалов для дальнейшей сертификации.
Связь ISO/IEC 15408 с ISO/IEC 18045 и ГОСТ Р ИСО/МЭК 15408
Для оценки по ISO/IEC 15408 применяется стандарт ISO/IEC 18045. Если ISO 15408 устанавливает требования к безопасности, то ISO/IEC 18045 определяет порядок проверки, методы испытаний, правила проведения проверки. В России действуют ГОСТ Р ИСО/МЭК 15408-1, 15408-2, 15408-3, а также ГОСТ Р ИСО/МЭК 18045.
Совместное применение этих документов обеспечивает единый подход к проверке программных продуктов, средств защиты информации, ИТ-систем.
Это позволяет подтверждать уровень доверия к решениям, выявлять уязвимости, повышать качество разработки.
Где оформить
Получить помощь по вопросам внедрения требований ИСО, подготовки документации, прохождения оценки соответствия можно в ЦС «РТУ».
Специалисты также оказывают поддержку по следующим направлениям:
внедрение систем менеджмента качества по стандарту ИСО 9001;
разработка документации СМК;
оформление документов на результаты интеллектуальной деятельности;
регистрация товарных знаков;
патентование программного обеспечения;
разработка ТУ;
подготовка руководства по эксплуатации;
разработка обоснования безопасности (ОБ);
получение разрешительной документации по требованиям ТР ТС/ЕАЭС;
организация испытаний по степени защиты IP;
оформление сертификатов пожаробезопасности;
регистрация программных продуктов в реестре Минцифры России (бывший реестр Минкомсвязи).
Комплексная работа с нормативной документацией помогает выполнить требования законодательства, повысить уровень доверия к программным продуктам, подготовить ИТ-решение к прохождению процедур оценки безопасности.
