ГОСТ Р 54581-2011 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Основы доверия к безопасности ИТ. Часть 1. Обзор и основы.
ГОСТ Р 54581-2011
/ISO/IEC/TR 15443-1:2005
НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ
Информационная технология
МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ
Основы доверия к безопасности ИТ
Часть 1
Обзор и основы
Information technology. Security techniques. A framework for IT security assurance. Part 1. Overview and framework
ОКС 35.040
Дата введения 2012-07-01
Предисловие
1 ПОДГОТОВЛЕН Федеральным государственным учреждением "Государственный научно-исследовательский испытательный институт проблем технической защиты информации Федеральной службы по техническому и экспортному контролю" (ФГУ "ГНИИИ ПТЗИ ФСТЭК России"), Обществом с ограниченной ответственностью "Центр безопасности информации" (ООО "ЦБИ") на основе собственного перевода на русский язык англоязычной версии документа, указанного в пункте 4
2 ВНЕСЕН Техническим комитетом по стандартизации "Защита информации" ТК 362
3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 1 декабря 2011 г. N 689-ст
4 Настоящий стандарт идентичен международному документу ISO/IEC TR 15443-1:2005* "Информационная технология. Методы и средства обеспечения безопасности. Основы доверия к безопасности ИТ Часть 1. Обзор и основы" (ISO/IEC TR 15443-1:2005 "Information technology - Security techniques - A framework for IT security assurance - Part 1: Overview and framework", IDT)
5 ВВЕДЕН ВПЕРВЫЕ
6 ПЕРЕИЗДАНИЕ. Октябрь 2018 г.
Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ежемесячном информационном указателе "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)
Введение
На пленарном заседании ИСО/МЭК СТК 1/ПК 27 в ноябре 1994 года была создана исследовательская группа для рассмотрения вопросов тестирования методов обеспечения доверия и оценки соответствия продуктов и систем информационных технологий (ИТ) стандартам безопасности ПК 27 и других организаций (например, стандартам ПК 21 и Европейского института стандартов по телекоммуникациям, а также некоторым Интернет-стандартам, содержащим аспекты, связанные с безопасностью). Параллельно в начале 1996 года для проекта "Общие критерии" была создана рабочая группа, занимающаяся методами обеспечения доверия. ISO/IEC TR 15443 является результатом деятельности этих двух групп.
Назначением ISO/IEC TR 15443 является представление различных методов обеспечения доверия и содействие специалистам в области ИТ в выборе соответствующего метода обеспечения доверия (или комбинации методов) с целью получения уверенности в том, что оцениваемый объект удовлетворяет установленным требованиям доверия к безопасности ИТ. В ISO/IEC TR 15443 изучаются подходы и методы обеспечения доверия, предложенные организациями различного типа, независимо от того, включают ли в себя эти методы и подходы утвержденные стандарты или стандарты "де-факто".
ISO/IEC TR 15443 рассматривает:
a) структурную модель взаимосвязи существующих методов обеспечения доверия;
b) совокупность методов обеспечения доверия, их описание и ссылки на них;
c) представление общих и уникальных свойств, присущих методам обеспечения доверия;
d) качественное и (по возможности) количественное сравнение существующих методов обеспечения доверия;
e) идентификацию систем оценки доверия, связанных с методами обеспечения доверия;
f) описание взаимосвязей между различными методами обеспечения доверия;
g) руководство по созданию, применению и идентификации методов обеспечения доверия.
ISO/IEC TR 15443 состоит из трех частей:
- часть 1. Обзор и основы; представляет собой обзор фундаментальных концепций и общее описание методов обеспечения доверия. Данный материал способствует пониманию частей 2 и 3 ISO/IEC TR 5443. Часть 1 предназначена для руководителей в области безопасности, ответственных за разработку программы обеспечения доверия к безопасности, определение степени доверия к безопасности своих объектов, осуществление проверки оценки степени доверия (например, ИСО 9000, SSE-CMM (ИСО/МЭК 21827), ИСО/МЭК 15408-3) или других видов деятельности по обеспечению доверия;
- часть 2. Методы доверия; приводится описание различных методов обеспечения доверия и подходов, их связи со структурной моделью обеспечения доверия к безопасности из части 1. Акцент делается на идентификацию качественных характеристик методов обеспечения доверия. Данный документ способствует пониманию специалистом в области безопасности ИТ процедуры получения доверия на различных этапах жизненного цикла объекта;
- часть 3. Анализ методов доверия; приводится анализ обеспечения доверия относительно их различных характеристик. Анализ способствует принятию органом обеспечения доверия решения по относительной значимости каждого подхода к обеспечению доверия и выбору подхода(ов), который(е) обеспечит(ат) результаты, наиболее соответствующие требованиям этого органа. Анализ также способствует органу обеспечения доверия в использовании результатов доверия для получения требуемой уверенности в объекте. Данный документ предназначен для специалистов в области безопасности ИТ, которые должны осуществить выбор методов обеспечения доверия и подходов к ним.
В ISO/IEC TR 15443 анализируются методы обеспечения доверия, которые могут предназначаться не только для безопасности ИТ; однако руководство, приведенное в ISO/IEC TR 15443, ограничивается требованиями к безопасности ИТ. В ISO/IEC TR 15443 включены дополнительные термины и понятия, регламентированные в других инициативах международной стандартизации (CASCO) и международных руководствах (например, в Руководстве 2 ИСО/МЭК), однако представленное в ISO/IEC TR 15443 руководство предназначено только для области обеспечения безопасности ИТ и не предназначено для общего менеджмента и оценки качества или обеспечения соответствия ИТ требованиям безопасности.
1 Область применения
1.1 Назначение
Настоящий стандарт предназначен для описания методов обеспечения доверия к безопасности, соотнесения их с базовой моделью жизненного цикла объекта и классификации методов обеспечения доверия для получения высокой степени уверенности в функциональных возможностях обеспечения безопасности объекта.
1.2 Подход
В настоящем стандарте представлен краткий обзор основных понятий обеспечения доверия и терминов, необходимых для понимания и применения методов обеспечения доверия, посредством идентификации различных подходов и стадий обеспечения доверия.
1.3 Применение
Классификация методов обеспечения доверия с учетом требований ISO/IEC TR 15443 позволяет пользователю осуществлять выбор и возможное сочетание методов обеспечения доверия, которые целесообразно применить к конкретному объекту.
1.4 Сфера применения
Настоящий стандарт содержит руководство по классификации методов обеспечения доверия, включая методы, неспецифичные для обеспечения безопасности ИТ. Настоящее руководство может применяться даже в областях, не связанных с безопасностью ИТ, но критичных к обеспечению доверия.
1.5 Ограничения
Требования настоящего стандарта применяют только к объектам, указанным в 4.3 и связанным с ними организационным вопросам обеспечения безопасности.
2 Термины и определения
В настоящем стандарте применены следующие термины с соответствующими определениями:
Примечание - Термины и определения представлены в общем виде для поддержки общей модели доверия, представленной в настоящем стандарте, в целях обеспечения ее применимости к широкому ряду подходов обеспечения доверия.
В ISO/IEC TR 15443 применены термины и определения, обеспечивающие нейтральность структуры обеспечения доверия и ее применимость для широкого ряда методов обеспечения доверия. Для этого применялись термины из международных стандартов, в частности для поддержки совместимости настоящего стандарта с частями 1-3 ИСО/МЭК 15408 и серией стандартов ИСО 9000.
При наличии нескольких определений для одного и того же термина вначале представлено основное определение, соответствующее целям ISO/IEC TR 15443. Альтернативные определения, выделенные курсивом, считают применимыми только в контексте их источника.
2.1 аттестация (accreditation): Процедура, посредством которой официальный орган формально признает, утверждает и принимает остаточный риск:
a) для эксплуатации автоматизированной системы в определенном безопасном режиме с использованием заданного набора мер безопасности
[адаптировано из AGCA];
b) того, что орган или лицо, обеспечивающее безопасность, достаточно компетентны для выполнения конкретных задач
[адаптировано из Руководства 2 ИСО/МЭК] и
c) того, что услуга по обеспечению безопасности соответствует предопределенной среде применения.
2.2 подход (approach): Метод или определенные действия (процедуры), используемые или предпринимаемые для выполнения задания или решения задачи.
2.3 оценка (assessment): Верификация оцениваемого объекта доверия с помощью соответствующего подхода с целью установления соответствия стандарту и определения степени (уровня) доверия.
2.4 доверие (assurance): Выполнение соответствующих действий или процедур для обеспечения уверенности в том, что оцениваемый объект соответствует своим целям безопасности.
а) основание для уверенности в том, что сущность отвечает своим целям безопасности.
2.5 подход к обеспечению доверия (assurance approach): Группирование методов обеспечения доверия в соответствии с исследуемым аспектом.
2.6 аргумент доверия (assurance argument): Совокупность структурированных утверждений о доверии, поддерживаемых свидетельством и обоснованием, которые наглядно демонстрируют то, как были удовлетворены требования доверия.
2.7 оценка доверия (assurance assessment): Верификация и фиксирование всех видов и результатов обеспечения доверия, связанных с оцениваемым объектом (приобщенных к аргументу доверия).
2.8 орган обеспечения доверия (assurance authority): Лицо или организация, уполномоченные принимать решения (например, по выбору, спецификации, принятию, контролю за исполнением), связанные с обеспечением доверия к оцениваемому объекту, что однозначно приводит к формированию уверенности в безопасности данного объекта.
Примечание - В конкретных системах и организациях понятие "орган обеспечения доверия" может иметь другое значение, например, "орган оценки".
2.9 свидетельство обеспечения доверия (assurance evidence): Результаты анализа обеспечения доверия к объекту (включая итоговые отчеты или другие обоснования), поддерживающие утверждение о доверии.
2.10 уровень доверия (assurance level): Степень доверия, соответствующая специальной шкале, применяемой в методе обеспечения доверия.
Примечания
1 Уровень доверия не измеряется количественными показателями.
2 Степень доверия обычно определяется усилиями, затраченными на выполнение определенных действий.
2.11 метод обеспечения доверия (assurance method): Общепризнанная спецификация получения воспроизводимых результатов обеспечения доверия.
2.12 характеристика обеспечения доверия (assurance property): Параметр метода обеспечения доверия, способствующий получению результатов доверия.
2.13 результат обеспечения доверия (assurance result): Документированное числовое или количественное утверждение об обеспечении доверия, относящееся к какому-либо оцениваемому объекту.
2.14 система обеспечения доверия (assurance scheme): Организационно-правовая структура, в рамках которой метод обеспечения доверия применяется органом обеспечения доверия в пределах определенного сообщества или организации.
а) организационно-правовая структура, в рамках которой в определенном сообществе органы оценки применяют требования ИСО/МЭК 15408.
2.15 стадия обеспечения доверия (assurance stage): Стадия жизненного цикла оцениваемого объекта, на которой используется заданный метод обеспечения доверия. При обеспечении общего доверия к оцениваемому объекту учитываются результаты реализации методов обеспечения доверия, применяемых на всех стадиях его жизненного цикла.
2.16 свидетельство доверия (assurance evidence): Документированные результаты, представленные данными, полученными при анализе доверия к оцениваемому объекту, включая отчеты (обоснования) в поддержку утверждения о доверии.
2.17 сертификация (certification): Процедура выдачи официального подтверждения о соответствии оцениваемого объекта установленным требованиям. Сертификация может проводиться третьей стороной.
[адаптировано из Руководства 2 ИСО/МЭК]
a) выдача официального подтверждения результатов оценки и правильности применения критериев оценки.
[Стандарт ITSEC]
b) процесс сертификации является независимой проверкой результатов оценивания, приводящей к получению окончательного сертификата или утверждения.
c) всесторонняя оценка технических и нетехнических характеристик безопасности системы информационных технологий, осуществленная в поддержку сертификации, которая устанавливает степень соответствия системы установленной политике безопасности.
[AGCA]
2.18 уверенность (confidence): Убежденность в том, что оцениваемый объект будет функционировать в соответствии с заданным или установленным порядком (то есть корректно, надежно, эффективно, в соответствии с политикой безопасности).
2.19 оцениваемый объект (deliverable): Продукт, система, услуга, процесс безопасности ИТ или составной элемент среды функционирования (связанный, например, с персоналом, организацией) или другой объект, поставляемый для оценки доверия. Таким объектом может быть профиль защиты или задание по безопасности, определенные в ИСО/МЭК 15408-1.
Примечание - В ИСО 9000:2000 услуга (сервис) считается одним из типов продукта и в серии стандартов ИСО 9000 используется сочетание "продукт и/или услуга".
2.20 оценивание (evaluation): Оценка оцениваемого объекта на соответствие установленным критериям (адаптировано из ИСО/МЭК 15408-1).
а) систематическое оценивание (оценивание качества) степени, в которой логический объект способен выполнять установленные требования.
[ИСО/МЭК 14598-1]
2.21 гарантия (guarantee): См. определение "гарантийное обязательство" в 2.36.
2.22 продукт безопасности ИТ (IT security product): Совокупность программных, программно-аппаратных и/или аппаратных средств ИТ, предоставляющая определенные функциональные возможности и предназначенная для непосредственного использования или включения в различные системы.
2.23 стадия жизненного цикла (life cycle stage): Период жизненного цикла оцениваемого объекта, связанный с его определенным состоянием.
а) период в пределах жизненного цикла системы, относящийся к состоянию системного описания или непосредственно к самой системе.
2.24 предыстория (pedigree): Неформальное признание того, что поставщик обеспечивает соответствующую воспроизводимость оцениваемых объектов, которые удовлетворяют требованиям их политики безопасности или функционируют в соответствии с заявлением поставщика (предыстория является фактором среды, связанным с поставщиком или оцениваемым объектом).
2.25 процесс (process): Упорядоченная совокупность действий, использующая ресурсы для преобразования входных данных в выходные.
2.26 доверие к процессу (process assurance): Доверие, основанное на результатах оценки процесса.
2.27 продукт (product) - См. определение термина "оцениваемый объект".
2.28 система оценки (sheme): Совокупность правил, определяющих условия среды, необходимые для проведения оценки, включая критерии и методологию.
[Адаптировано из ИСО/МЭК 18045 (Общая методология оценки)]
2.29 безопасность (security): Все аспекты, связанные с определением, достижением и поддержанием конфиденциальности, целостности, доступности, подотчетности, аутентичности и достоверности.
Примечание - Считаются защищенными до тех пор, пока их пользователи могут быть уверенными в их должном функционировании. Защищенность продукта, системы или услуги обычно рассматривается в контексте оценки фактических или ожидаемых угроз.
а) способность программного продукта защитить информацию и данные так, чтобы неуполномоченные лица или системы не могли их считать или модифицировать, а уполномоченные - не получали бы отказ в доступе к ним.
[ИСО/МЭК 9126-1]
2.30 оценка безопасности (security assessment): Верификация соответствия защищенного оцениваемого объекта требованиям стандарта безопасности, используя соответствующий метод обеспечения безопасности и определения доверия к безопасности.
а) последний этап процесса оценки продукта.
[ИСО/МЭК 14598-1]
2.31 элемент безопасности (security element): Неделимое требование безопасности.
2.32 услуга (service): Связанные с обеспечением безопасности процесс или задача, выполняемый или решаемая оцениваемым объектом, организацией или конкретным лицом.
2.33 правообладатель (stakeholder): Сторона, имеющая некоторые права, акции, а также активы, подверженные риску по отношению к оцениваемому объекту или их характеристикам, отвечающим потребностям и ожиданиям этой стороны.
а) сторона, владеющая правом, долей или активом в системе с характеристиками, отвечающими потребностям и ожиданиям этой стороны.
2.34 система (system): Специфическое воплощение ИТ с конкретным назначением и условиями эксплуатации.
а) комбинация взаимодействующих компонентов, организованных для достижения одной или нескольких поставленных целей.
Примечания
1 Система может рассматриваться как продукт или совокупность услуг, которые она обеспечивает.
2 На практике интерпретация данного зачастую уточняется с помощью ассоциативного существительного, например, "система самолета". В некоторых случаях слово "система" допускается заменять, например, контекстным синонимом "самолет", хотя это может впоследствии затруднить восприятие системных принципов.
2.35 жизненный цикл системы (system life cycle): Развитие рассматриваемой системы во времени от замысла до списания.
2.36 гарантийное обязательство (warranty): Услуга (сервис) безопасности, связанная(ый) с корректировками и улучшениями в части эксплуатации (развертывания, функционирования или доставки) оцениваемого объекта, если они не соответствуют его политике безопасности.
2.37 рабочая продукция (work product): Все элементы (то есть документы, отчеты, файлы, данные и т.д.), полученные в ходе выполнения любого процесса по разработке и поставке оцениваемого объекта.
[SSE-CMM (ИСО/МЭК 21827)]
а) результат выполнения совокупности действий, использующих ресурсы для преобразования входных данных в выходные.
[ИСО 9001]
3 Обозначения и сокращения
|
|
BSI | - немецкое агентство информационной безопасности; |
CASCO | - комитет ИСО по оценке соответствия; |
CEM | - общая методология оценки; |
CMM | - модель зрелости возможностей; |
CSE | - Институт безопасности коммуникаций (канадская Организация по безопасности ИТ); |
CTCPEC | - канадские критерии оценки надежного программного продукта (издаваемые CSE); |
ITSEC | - европейский стандарт оценки безопасности компьютерных систем; |
ITSEM | - методология оценки безопасности информационных технологий; |
HCD | - проектирование, основанное на участии человека; |
NSA | - Агентство национальной безопасности (США); |
SE-CMM | - модель зрелости системного проектирования (модель технологической зрелости является торговым знаком университета Карнеги Мелона); |
SSAM® | - методология оценки в соответствии с SSE-CMM; |
SSE-CMM®
| - Проектирование систем безопасности - Модель зрелости процесса ИСО/МЭК 21827; |
TCSEC | - критерии оценки доверенных компьютерных систем; |
TREP | - доверенная программа оценивания продукта (стандарты TCSEC и CTCPEC); |
АЗБ (AST) | - абстрактное задание по безопасности; |
ИСО (ISO) | - Международная организация по стандартизации; |
ИТ (IT) | - информационная технология; |
ЗБ (ST) | - задание по безопасности (определено в ИСО/МЭК 15408-1); |
МЭК (IEC) | - международная электротехническая комиссия; |
ОО (TOE) | - объект оценки (термин, специфичный для ИСО/МЭК 15408 и определенный в ИСО/МЭК 15408-1); |
ПЗ (PP) | - профиль защиты (определено в ИСО/МЭК 15408-1); |
СТС (SCT) | - строгое тестирование на соответствие (требованиям безопасности). |
4 Общие понятия
Настоящий раздел содержит общие понятия обеспечения доверия и предназначен для определения применимости этих понятий к обеспечению доверия к безопасности ИТ в целом. Приведенные в настоящем разделе понятия используются в широком смысле, а не относятся непосредственно к обеспечению безопасности ИТ или оценке соответствия.
4.1 Необходимость доверия
Системы ИТ вследствие ошибок и уязвимостей подвержены сбоям и нарушениям в обеспечении безопасности. Эти ошибки и уязвимости могут быть следствием частого изменения технологий, ошибок оператора, неудовлетворительных технических требований и организации процессов разработки или результатом недооценки угроз. Кроме того, проводятся модификации систем, появляются новые дефекты и атаки на системы, способствующие увеличению числа уязвимостей, сбоев и нарушений обеспечения безопасности в течение всего жизненного цикла системы ИТ.
Обычно безошибочное и устойчивое функционирование системы ИТ в рамках приемлемых ограничений по стоимости и времени невозможно осуществить в течение всего ее жизненного цикла вследствие ошибок или недосмотра оператора, отказа какого-либо компонента оборудования или несовершенства механизмов обеспечения безопасности. В данной ситуации почти невозможно гарантировать безошибочность, устойчивость и безопасность функционирования системы ИТ.
В соответствии с вышеизложенным очевидно, что ошибки, уязвимости и риски, по-видимому, будут всегда существовать и изменяться на всех стадиях жизненного цикла оцениваемого объекта. Следовательно, ошибками, уязвимостями и рисками надо управлять в пределах допустимых параметров в течение жизненного цикла оцениваемого объекта, иначе доверие к нему будет изменяться. Задачами при проектировании и управлении безопасностью ИТ являются обеспечение менеджмента рисков безопасности посредством ослабления уязвимостей и угроз, используя технические и организационные меры безопасности с целью обеспечения достаточно приемлемого уровня доверия к безопасности оцениваемого объекта. Дополнительной задачей управления безопасностью ИТ является установление приемлемого уровня доверия обеспечения менеджмента риска. Таким образом, правообладатели, связанные с системой ИТ, получат обоснованную уверенность в том, что оцениваемый объект будет функционировать в соответствии с намеченным и утвержденным планом, с приемлемым риском и в рамках бюджета. С точки зрения безопасности это означает уверенность в осуществлении оцениваемым объектом принятой политики безопасности.
4.2 Отличие доверия от уверенности
Следует отметить, что "доверие" и "уверенность" не являются идентичными и взаимозаменяемыми. Очень часто из-за их тесной взаимосвязи понятия используются неправильно. Важно, чтобы пользователь понимал различие между этими понятиями. Уверенность, с точки зрения отдельного лица, связана с убеждением, что он обладает доверием к оцениваемому объекту, тогда как доверие связано с доказанной способностью данного объекта обеспечивать выполнение цели безопасности. Таким образом, уверенность не является несомненным фактом, а выражением убежденности, полученной через оценку доверия.
Доверие определяется свидетельством, полученным в результате оценки объекта. Свидетельство, обычно включающее в себя аргумент доверия, документацию и другие соответствующие рабочие материалы, служит основанием для утверждения доверия, которое основано на результатах действий, связанных с проектированием и оценкой безопасности.
Уверенность является предметом восприятия отдельным лицом специфических требований безопасности и информации, полученной в результате оценки, о том, что оцениваемый объект будет функционировать в соответствии с установленными требованиями. Уверенность подразумевает знание критериев, метода, системы обеспечения доверия и используемых процедур оценки. Более того, репутация оценщиков и операторов является важным фактором формирования уверенности в оцениваемом объекте, поскольку их квалификация и опыт могут быть востребованы. В результате индивидуального восприятия у правообладателей могут возникнуть различные степени уверенности в результате использования соответствующего метода обеспечения доверия как отдельным лицом, так и организацией в целом.
4.3 Что такое "оцениваемый объект"
Традиционно термин "доверие" ассоциировался только с продуктами и системами ИТ, состоящими из аппаратных средств и программного обеспечения (ПО), и рассматривался как доверие к продукту или системе. Теперь общепризнано, что для рассмотрения более широкого диапазона рисков существует потребность в доверии к другим объектам, таким как услуга обеспечения безопасности, процесс, персонал, организация и другие факторы внешней среды, влияющие на безопасность. С учетом этого нового фактора и используется термин "оцениваемый объект" для ссылки на объект оценки безопасности.
Понятие "оцениваемый объект" (далее - объект) в широком смысле охватывает элементы безопасности, перечисленные в договоре и обязательные для выполнения или предоставления клиенту (например, услуги) в зависимости от обстоятельств и условий. В пункты договора могут включаться продукты безопасности ИТ, услуги и любые другие материальные и нематериальные элементы безопасности, продаваемые (произведенные поштучно или в массовом порядке), сдаваемые в аренду или используемые для обучения. Более того, указанные составляющие договора подразумевают любой объект, представленный услугой, условно-бесплатным ПО, свободно распространяемым ПО, образцами или другими средствами и поставляемый прямо или опосредованно (гарантийное обязательство, поручительство, предыстория и т.д.) или предлагаемый поставщиком для поставки (предыстория, гарантийное обязательство и т.д.). Объекты имеют измеряемые атрибуты безопасности, которые можно верифицировать на предмет их соответствия политике безопасности. Например, объект может ссылаться на услугу по оценке рисков и угроз, осуществляемую какой-либо организацией, или на сертификацию персонала, компетентного в выполнении оценок с помощью критериев ИСО/МЭК 15408. Персонал, предоставляющий услугу или выполняющий задачу по обеспечению безопасности, также считается объектом. Например, лица, обучаемые по специальности оценщика, заключают контракт с обучающей организацией и оцениваются по их способности воспринимать знания и выполнять конкретные действия. Консультанты в области безопасности, предоставляющие услугу или выполняющие задачу, также работают по контракту.
Некоторые объекты не всегда являются отдельными элементами, хотя обеспечивают различные степени доверия к органам обеспечения доверия, и, следовательно, должны подвергаться оценке безопасности по частям. Например, гарантийные обязательства и поручительства являются специфичными услугами, предоставляемыми поставщиком отдельно или в качестве дополнительной функции, или поставляемой в комплекте с объектом. Услуги по предоставлению гарантийного обязательства способствуют корректированию или снижению требований к функционированию объекта (ввод в действие, функционирование или доставка), если он не соответствует требованиям его политике безопасности. Предыстория является фактором влияния внешней среды, связанным с поставщиком или объектом. Этот фактор, несмотря на его некоторую расплывчатость, нельзя игнорировать из-за предыстории специфического функционирования объекта, например, непрерывного или циклического с тем, чтобы соответствовать политике безопасности или утверждениям поставщика.
Примечание - Данное определение объекта подобно определению понятия "объект оценки", приведенному в ИСО/МЭК 15408-1, за исключением того, что объект имеет более широкое применение.
4.4 Правообладатели
В состав оцениваемого объекта могут входить подверженные риску активы, принадлежащие различным правообладателям. Следовательно, для правообладателей может потребоваться определение приемлемого метода обеспечения доверия и уровня доверия. Некоторые из этих сторон указаны ниже:
a) органы по стандартизации;
b) национальные, международные законы и положения;
c) специальные организации (такие как правительство или банковские организации);
d) полномочные подразделения внутри организации;
e) владельцы политик (политик безопасности, политик в отношении персонала, закупок, маркетинга, сертификации и т.д.);
f) владельцы системы;
g) органы аттестации системы;
h) конечные пользователи;
i) общественность.
4.5 Требования доверия
Исходя из безопасности ИТ, приемлемое (адекватное) доверие означает удовлетворение специальных заранее определенных требований посредством выполнения соответствующих процедур и действий по обеспечению доверия, то есть в соответствии с выбранным методом обеспечения доверия. Требования доверия определяются исходя из требований безопасности и других факторов.
Требования доверия к безопасности определяются анализом требований безопасности для объекта, факторов влияния, требований безопасности (политик), развития бизнеса и целевой среды объекта. Факторами влияния являются любые соображения, подлежащие изучению, поскольку они могут оказать воздействие на формирование требования доверия к объекту. Влияние может включать в себя любую предысторию и даже быть представлено нематериально, например, политикой, культурой, местными законами и обязательными (предписанными) требованиями. Оценка риска проводится с целью тщательного изучения конфиденциальности актива, уязвимостей и угроз, а также для определения остаточного риска и рекомендаций по использованию существующих и предполагаемых мер безопасности. Реализованные рекомендации включаются в первичные требования безопасности для пересмотра требований доверия к безопасности.
Для получения доступа к полной версии без ограничений вы можете выбрать подходящий тариф или активировать демо-доступ.