Присоединяйтесь!
Зарегистрированных пользователей портала: 505 922. Присоединяйтесь к нам, зарегистрироваться очень просто →
Законодательство
Законодательство

"ИНФОРМАЦИОННАЯ ТЕХНОЛОГИЯ. МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ. ОСНОВЫ ДОВЕРИЯ К БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ. ЧАСТЬ 3. АНАЛИЗ МЕТОДОВ ДОВЕРИЯ. ГОСТ Р 54583-2011" (утв. Приказом Росстандарта от 01.12.2011 N 691-ст)

Дата документа01.12.2011
Статус документаДействует
МеткиСтандарт · Приказ · Гост · Гост р

    

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

 

ИНФОРМАЦИОННАЯ ТЕХНОЛОГИЯ

 

МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ

 

ОСНОВЫ ДОВЕРИЯ К БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

 

Часть 3
Анализ методов доверия

 

Information technology. Security techniques.
A framework for IT security assurance. Part 3. Analysis of assurance methods

 

ГОСТ Р 54583-2011

 

Дата введения - 2012-12-01

 

Предисловие

 
    Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом от 27 декабря 2002 г.N 184-ФЗтехническом регулировании", а правила применения национальных стандартов Российской Федерации - ГОСТ Р 1.0-2004 "Стандартизация в Российской Федерации. Основные положения"
 

Сведения о стандарте

 
    1 ПОДГОТОВЛЕН Федеральным государственным учреждением "Государственный научно-исследовательский испытательный институт проблем технической защиты информации Федеральной службы по техническому и экспортному контролю" (ФГУ "ГНИИИ ПТЗИ ФСТЭК России"), Обществом с ограниченной ответственностью "Центр безопасности" (ООО "ЦБИ") на основе собственного аутентичного перевода на русский язык стандарта, указанного в пункте 4
    2 ВНЕСЕН Техническим комитетом по стандартизации ТК-362 "Защита информации"
    3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 1 декабря 2011 г. N 691-ст
    4 Настоящий стандарт идентичен международному документу ISO/IEC TR 15443-3:2007 "Информационная технология. Методы и средства обеспечения безопасности. Основы доверия к безопасности ИТ. Часть 3. Анализ методов доверия" (ISO/IEC TR 15443-3:2007 ("Information technology - Security techniques - A framework for IT security assurance - Part 3: Analysis of assurance methods")
    5 ВВЕДЕН ВПЕРВЫЕ
 

Введение

 
    Назначением ИСО/МЭК ТО 15443 является представление различных методов обеспечения доверия и содействие специалистам в области ИТ в выборе соответствующего метода обеспечения доверия (или комбинации методов) с целью получения уверенности в том, что оцениваемый объект удовлетворяет установленным для него требованиям доверия к безопасности ИТ. В ИСО/МЭК ТО 15443 изучаются подходы и методы обеспечения доверия, предложенные организациями различного типа, независимо от того, являются ли эти методы и подходы частью утвержденных или неофициальных стандартов.
    ИСО/МЭК ТО 15443 рассматривает:
    - структурную модель взаимосвязи существующих методов обеспечения доверия;
    - совокупность методов обеспечения доверия, их описание и ссылки на них;
    - представление общих и уникальных свойств, присущих методам обеспечения доверия;
    - качественное и по возможности количественное сравнение существующих методов обеспечения доверия;
    - идентификацию систем оценки доверия, связанных с методами обеспечения доверия;
    - описание взаимосвязей между различными методами обеспечения доверия;
    - руководство по созданию, применению и идентификации методов обеспечения доверия.
    ИСО/МЭК ТО 15443 состоит из трех частей:
    - часть 1. Обзор и основы; представляет собой обзор фундаментальных концепций и общее описание методов обеспечения доверия. Данный материал способствует пониманию частей 2 и 3 ИСО/МЭК ТО 15443. Часть 1 предназначена для руководителей в области безопасности, ответственных за разработку программы обеспечения доверия к безопасности, определение степени доверия к безопасности своих объектов, осуществление проверки оценки степени доверия [например, ИСО 9000, SSE-CMM (ИСО/МЭК 21827), ИСО/МЭК 15408-3] или других видов деятельности по обеспечению доверия;
    - часть 2. Методы доверия; приводится описание различных методов обеспечения доверия и подходов их связи со структурной моделью обеспечения доверия к безопасности из части 1. Акцент делается на идентификацию качественных характеристик методов обеспечения доверия. Данный документ способствует пониманию специалистом в области безопасности ИТ процедуры получения доверия на различных этапах жизненного цикла объекта;
    - часть 3. Анализ методов доверия; приводится анализ обеспечения доверия относительно их различных характеристик. Анализ способствует принятию органом обеспечения доверия решения по относительной значимости каждого подхода к обеспечению доверия и выбору подхода(ов), который(е) обеспечит(ат) результаты, наиболее соответствующие требованиям этого органа. Анализ также способствует органу обеспечения доверия в использовании результатов доверия для получения требуемой уверенности в объекте. Данный документ предназначен для специалистов в области безопасности ИТ, которые должны осуществить выбор методов обеспечения доверия и подходов к ним.
    В ИСО/МЭК ТО 15443 анализируются методы обеспечения доверия, которые могут предназначаться не только для безопасности ИТ; однако руководство, приведенное в ИСО/МЭК ТО 15443, ограничивается требованиями к безопасности ИТ. В ИСО/МЭК ТО 15443 включены дополнительные термины и понятия, регламентированные в других инициативах международной стандартизации (CASCO) и международных руководствах (например, в Руководстве 2 ИСО/МЭК), однако представленное в ИСО/МЭК ТО 15443 руководство предназначено только для области обеспечения безопасности ИТ и не предназначено для общего менеджмента и оценки качества или обеспечения соответствия ИТ требованиям безопасности.
 

1. Область применения

 

1.1. Назначение

 
    Назначением настоящего стандарта является предоставление органу по обеспечению доверия общего руководства по выбору подходящего метода обеспечения доверия к информационным и коммуникационным технологиям и формированию структуры анализа конкретных методов обеспечения доверия в конкретных условиях.
 

1.2. Применение

 
    Настоящий стандарт позволяет пользователю согласовывать конкретные требования доверия и/или типичные ситуации с доверием с общими характеристиками имеющихся методов обеспечения доверия.
 

1.3. Область применения

 
    Руководство, представленное в настоящем стандарте, применимо для разработки, внедрения и эксплуатации продуктов и систем информационных и коммуникационных технологий с требованиями безопасности.
 

1.4. Недостатки

 
    Требования безопасности могут быть слишком сложными, методы обеспечения доверия - очень разнородными, а ресурсы и корпоративные культуры организаций могут в значительной степени отличаться друг от друга.
    По этим причинам руководство, приведенное в настоящем стандарте, является кратким и относится к качественным характеристикам, и пользователю следует самому принимать решение о том, какие методы в соответствии с ИСО/МЭК ТО 15443-2 лучше всего соответствуют его конкретным объектам и соответствуют требованиям безопасности организации.
 

2. Термины и определения

 
    В настоящем стандарте применены термины по ИСО/МЭК ТО 15443-1 и ИСО/МЭК ТО 15443-2, а также следующие термины с соответствующими определениями.
    2.1. активы (assets): Все, имеющее ценность для организации.
    2.2. оценка (assessment): Систематическая проверка степени, в которой субъект способен выполнить определенные требования; является синонимом термина "оценивание" при применении к объекту.
    2.3. метод оценки (assessment method): Действие по применению конкретных документированных критериев оценки к объекту с целью определения приемлемости или разрешения на выпуск этого объекта.
    2.4. орган обеспечения доверия (assurance authority): Лицо или организация, уполномоченные принимать решения (например, по выбору, спецификации, принятию, контролю за исполнением), связанные с обеспечением доверия к объекту, что однозначно приводит к формированию уверенности в безопасности объекта.
    Примечание - В конкретных системах и организациях термин "орган обеспечения доверия" может иметь вид "орган оценки".
    2.5. администратор доверия (assurance administrator): Лицо, ответственное (подотчетное) за выбор, внедрение или приемку объекта.
    2.6. цель обеспечения доверия (assurance goal): Общие ожидаемые результаты в области безопасности, получаемые посредством применения действий по формальной и неформальной оценке.
    2.7. предмет обеспечения доверия (assurance concern): Общий тип цели доверия, выполняемой главной группой органов доверия.
    Примечание - В настоящем стандарте предмет доверия используется в целях обоснования анализов и выводов для руководства по обеспечению доверия, данного группе пользователей.
    2.8. объект (deliverable): Продукт безопасности информационной технологии, система, услуга, процесс или в особенности фактор среды (то есть персонал, организация) как объект оценки доверия.
    Примечания
    1. Как определено ИСО/МЭК 15408-1, объектом может быть профиль защиты (ПЗ) или задание по безопасности (ЗБ).
    1. В ИСО 9000 утверждается, что при использовании стандартов ИСО 9000 услугой является тип продукта или "продукта и/или услуги".
    3. В настоящем стандарте и аналогично применению в ИСО 9000 термин "продукт" будет применяться вместо термина "объект" во всех частях ИСО/МЭК ТО 15443.
    2.9. среда (environment): Условия, в которых выполняются процессы жизненного цикла (то есть люди, оборудование и другие ресурсы), и связанные с этими условиями характеристики доверия (например, репутация, сертификация).
    Примечание - В настоящем стандарте "доверие к среде" означает то же, что "доверие к продукту" и "доверие к процессу".
    2.10. система менеджмента информационной безопасности (information security management system; ISMS); СМИБ: Часть общей системы менеджмента, основанная на использовании методов оценки бизнес-рисков для разработки, внедрения, функционирования, мониторинга, анализа, поддержки и улучшения информационной безопасности.
    2.11. метод (method): Способ выполнения определенных действий в соответствии с планом получения воспроизводимых результатов систематическим и отслеживаемым образом.
    2.12. показатель (metric): Количественная шкала и метод, которые могут применяться для измерений.
    2.13. возможность процесса (process capability): Способность процесса к достижению требуемой цели.
    2.14. продукт (product): Продукт, система, услуга безопасности информационных технологий.
    Примечания
    1. В ИСО/МЭК ТО 15443 и аналогично применению в ИСО 9000 во всех частях ИСО/МЭК ТО 15443 будет при-меняться термин "продукт" вместо термина "объект".
    2. Термин "продукт" является синонимом термина "объект".
    2.15. остаточный риск (residual risk): Риск, остающийся после обработки риска.
    2.16. оценка риска (risk assessment): Общий процесс анализа и оценивания риска.
    Примечания
    1. Оценивание риска является процессом сравнения оцененного риска с заданными критериями риска для определения значимости риска.
    2. В настоящем стандарте "оценка риска", "анализ риска" и "анализ риска угрозы" обобщенно называются "оценкой риска".
    2.17. обработка риска (risk treatment): Процесс выбора и осуществления мер по модификации риска.
    2.18. безопасность (security): Все аспекты, связанные с определением, достижением и поддержанием конфиденциальности, целостности, доступности, подотчетности, аутентичности и достоверности.
    2.19. цель безопасности (security objective): Изложенное намерение противостоять установленным угрозам и/или соответствовать установленной политике безопасности организации и предположениям.
    2.20. политика безопасности (security policy): Свод правил, являющийся внутренним сводом для подразделений организации и регламентирующий управление этими подразделениями защитой своих активов, с тем чтобы соответствовать заданным целям организации в рамках ее правового и культурного контекстов.
    2.21. этап (stage): Период в рамках жизненного цикла объекта, включающего в себя процессы и виды деятельности.
    Примечание - Заимствовано из ИСО/МЭК 15288.
 

3. Сокращения

 
    В настоящем стандарте применяются сокращения по ИСО/МЭК ТО 15443-1, ИСО/МЭК ТО 15443-2, а также следующие сокращения:
    COBIT - цели управления информацией и связанной с ней технологией, метод ISACA;
    ISACA - Ассоциация аудита и контроля информационных систем;
    ISSEA - Международная ассоциация проектирования безопасности систем;
    ДИ (IA) - доверие к интеграции;
    ДР (DA) - доверие к разработке;
    ДЭ (OA) - доверие к эксплуатации;
    ЗБ (ST) - задание безопасности.
 

4. Понятие "доверие"

 
    Целью обеспечения доверия является создание уверенности в надежном функционировании продукта в заданных условиях. В настоящем разделе рассматриваются некоторые общие вопросы, тогда как детальный анализ и руководство представлены далее.
    Исходя из концепций, разработанных в ИСО/МЭК ТО 15443-1, ИСО/МЭК ТО 15443-2, надежное функционирование продукта отвечает заданной цели доверия. Цель доверия следует устанавливать более или менее формальным образом, и пользователь должен быть осведомлен об остаточном риске.
    Уверенность достигается посредством использования и интерпретации результатов доверия, которые уже могут быть в наличии или которые можно получить применением методов обеспечения доверия. Эти методы следует выбирать и применять должным образом.
    Существует большое число методов, и многие из них представлены в ИСО/МЭК ТО 15443-2. Некоторые основные аспекты их применения разъясняются в 4.2.
    Пользователь результата доверия может потребовать использование методов разных уровней сложности. Эта сложность может обуславливать связанный с ней уровень строгости методов обеспечения доверия (см. 4.2.1), диапазон применения (см. 4.2.2) и стадии жизненного цикла (см. 4.2.3).
    Особое внимание следует уделять оценке результатов доверия. Для достижения более высоких степеней уверенности может потребоваться формальная оценка или сертификация (см. 4.3).
 

4.1 Определение цели доверия

 
    Цели доверия зависят от следующих заданных требований доверия:
    - поставщик продуктов может иметь обобщенные требования доверия, предназначенные для удовлетворения конкретных требований более чем одного пользователя, то есть требованиям коллектива пользователей его продукта, системы или услуги;
    - у пользователя продукта существуют очень специфические требования, обычно зависящие от конкретной политики безопасности организации пользователя.
    Ниже дается разъяснение заданных требований доверия и показана их связь с соответствующими предложениями доверия и их использованием.
    Примечания
    1. В А.1 приложения А приводятся различия между поставщиком аппаратных средств, поставщиком программного обеспечения, провайдером сети, оператором сервера, поставщиком он-лайновой информации и предприятием в качестве пользователя. В этом примере поставщики, очевидно, принадлежат к первой группе провайдеров доверия, а организация пользователя - к группе пользователей доверия. Однако остальные являются как поставщиками (провайдерами), так и пользователями доверия.
    2. Организации может потребоваться объединение результатов доверия вследствие наличия двух или более источников доверия в совместимый общий результат. Это является важным аспектом, который будет рассматриваться в 5.2 и 6.2.3.1. Подобная ситуация возникает при наличии многочисленных результатов доверия для пользователя или при планировании провайдером доверия использования двух или более методов обеспечения доверия.
    4.1.1 и 4.1.2 относятся к доверию к продукту во время его разработки и интеграции. Различие между предметами доверия обсуждается в разделе 6.
    3. Следует учитывать, что организация пользователя обычно полностью отвечает за эксплуатацию продукта, даже если услуги по безопасности обусловлены субдоговором с провайдером услуг. Таким образом, требования пунктов 4.1.1 и 4.1.2 неприменимы напрямую к доверию к эксплуатации продукта.
 

4.1.1 Предложение доверия

 
    С точки зрения организации, предлагающей продукты, системы или услуги в промышленных масштабах (или внутренним потребителям), применение соответствующего(их) метода(ов) обеспечения доверия будет определяться перспективным пользователем или коллективом пользователей, их опытом и размером их организации. Вследствие этих различий доверие придется модифицировать в соответствии с требованиями потребителя. В частности, доверие должно быть достаточно обобщенным, если получателем является коллектив пользователей.
    Обычно, исходя из дополнительного периода от начала разработки изделия до выхода его на рынок и/или стоимости изделия, обеспечение доверия становится значимым фактором. Организации, обеспечивающей доверие, следует сравнить выгоды от обеспечения доверия со своими издержками на это обеспечение.
    При условии вышеуказанного первыми двумя этапами процесса принятия решения является идентификация:
    - причины возможной готовности пользователя заплатить за доверие;
    - цели использования доверия пользователем.
    Разрабатывая далее эти этапы, мы можем определить требования доверия потребителя и в итоге - приемлемые методы обеспечения доверия.
 

 

Рисунок 1 - Предложение доверия

 
    Предлагаемые виды доверия можно представить, как это показано в таблице 1. Требования доверия потребителя идентифицируются в виде утверждения о доверии, обусловленного методом обеспечения доверия.
    Необходимо также учитывать вспомогательные аргументы доверия и в особенности "строгость доверия" (см. таблицу 3). Большинство методов обеспечения доверия предъявляют более одного вида требований доверия, а строгость доверия изменяется в зависимости от метода обеспечения доверия. Следовательно, выбранные методы обеспечения доверия должны тщательно комбинироваться с целью безусловного удовлетворения требований пользователей и достижения их целей доверия.
 

Таблица 1

 

Предлагаемые виды доверия

 

Вид предлагаемого доверия Целевой потребитель Требования доверия потребителя Требуемая строгость оценки
Сквозное доверие Конечный пользователь Маркировка содержимого: понятная и различимая для конечного пользователя Малая
Доверие маркетинга Общий коллектив пользователей Маркер, метка, печать:
- маркировка со ссылкой на общие требования доверия;
- представлены в очень краткой форме или защищены от внешних воздействий;
- понятная и различимая для конечного пользователя, то есть признанный "знак качества"
Низкая
Внутреннее доверие Внутренний потребитель Пользовательская форма утверждения о доверии; предоставляется внутри организации и основана на доверии Любая
Внешнее доверие Конкретный коллектив пользователей Маркировка, включающая в себя исчерпывающие вспомогательные аргументы и материалы; может иметь ограниченное обращение Высокая
Доверие к небольшой организации Небольшие организации Маркер или печать; предназначены для создания доверия посредством убежденности; понятные и различимые для конечного пользователя, то есть признанный "знак качества".
Примечание - Обычно у небольших организаций из-за их размера для верификации представленных претензий к доверию недостаточно квалификации
Средняя
Доверие к крупным организациям Крупные организации Детальное утверждение о доверии.
Примечание - Квалификации для верификации претензий к доверию достаточно
Высокая
Санкционированное доверие Конкретная современная организация Сертификат или утверждение о пригодности. Форма доверия и даже используемый метод разрешается организацией, например, посредством договорных или регистрационных требований Высокая

 

4.1.2 Использование доверия

 
    Пользователь предложения вида доверия имеет альтернативу. Будучи последней инстанцией доверия этого пользователя, целью пользователя является получение уверенности в том, что конкретный продукт соответствует его цели доверия, что и ожидается от продукта в плане безопасности в контексте организации, в рамках которой продукт должен внедряться, вводиться в действие и эксплуатироваться.
    В идеале цель доверия определяется оценкой риска или политикой организации (см. приложение Е).
    Уверенность в доверии может быть достигнута посредством выбора и применения формальных и неформальных действий по оценке, которые могут предлагаться поставщиками, системными интеграторами или осуществляться пользователями.
    Доверие может использоваться так, как показано в таблице 2. В таблице 2 также представлены виды деятельности по оценке доверия, при помощи которых можно создать уверенность пользователя в продукте.
 

Таблица 2

 

Применяемые предложения доверия

 

Профиль пользователя Искомый вид доверия Виды деятельности по оценке доверия пользователя Строгость оценки
Конкретный пользователь Маркировка содержания Проверка понятности, распознаваемости маркировки, содержания и ее применимости для воспринимаемой цели доверия Низкая
Общий пользователь Маркер, метка, печать Проверка понятности, распознаваемости маркировки, содержания и ее применимости для воспринимаемой цели доверия Низкая
Внутренний потребитель Пользовательская форма заявления о доверии Валидация внутреннего доверия, например, через соответствующий опрос Любая