Стандарты в области информационной безопасности ISO-15408

Международный стандарт ISO 15408 был разработан на основе стандарта «Общие критерии безопасности информационных технологий» вер.2.1. В 2002 году этот стандарт был принят в России как ГОСТ Р ИСО/МЭК 15408-2002 «Информационная технология. Методы обеспечения безопасности. Критерии оценки безопасности информационных технологий» [3], часто в литературе называемый «Общие критерии». Ранее в отечественных нормативных документах в области ИБ понятие риска не вводилось.

оценивают   хотят минимизировать   предпринимают чтобы уменьшить     которые которые могут направлены на быть уменьшены   могут знать     ведущие к которые используют     которые для повышают     порождают   для     хотят злоупотребить и/или могут нанести ущерб

ВЛАДЕЛЬЦЫ

КОНТРМЕРЫ

УЯЗВИМОСТИ

РИСК

АКТИВЫ

ИСТОЧНИКИ УГРОЗ (НАРУШИТЕЛИ)

УГРОЗЫ

Рисунок 4. Понятия безопасности и их взаимосвязь в соответствии с ГОСТ Р ИСО/МЭК 15408-2002.

На рис. 4 представлена определяемая стандартом взаимосвязь высокоуровневых понятий в области ИБ. Безопасность связана с защитой активов ИС от угроз. За сохранность рассматриваемых активов отвечают их владельцы, для которых эти активы имеют ценность. Существующие или предполагаемые нарушители также могут придавать значение этим активам и стремиться использовать их вопреки интересам их владельца. Владельцы будут воспринимать подобные угрозы как потенциал воздействия на активы, приводящего к понижению их ценности для владельца.

Владельцы активов будут анализировать возможные угрозы, чтобы решить, какие из них действительно присущи их среде. В результате анализа определяются риски. Анализ может помочь при выборе контрмер для противостояния угрозам и уменьшения рисков до приемлемого уровня.

Контрмеры предпринимают для уменьшения уязвимостей и выполнения политики безопасности владельцев активов (прямо или косвенно распределяя между этими составляющими). Но и после введения этих контрмер могут сохраняться остаточные уязвимости. Такие уязвимости могут использоваться нарушителями, представляя уровень остаточного риска для активов. Владельцы будут стремиться минимизировать этот риск, задавая дополнительные ограничения.

Основные структуры «Общих критериев» – это профиль защиты и задание по безопасности. Профиль защиты определяется как «независимая от реализации совокупность требований безопасности для некоторой категории ОО, отвечающая специфическим запросам потребителя». Профиль состоит из компонентов или пакетов функциональных требований и одного из уровней гарантированности. Структура профиля защиты представлена на рис. 5. Количество стандартизованных профилей потенциально не ограничено.

В [4] описывается методика определения потенциала нападения при оценке стойкости функций безопасности и анализе уязвимостей сетевых ИТ. СФБ может быть базовой, средней и высокой.

Базовая стойкость означает, что функция обеспечивает адекватную защиту от случайного нарушения безопасности ОО нарушителем с низким потенциалом нападения.

Средняя стойкость – функция обеспечивает защиту от целенаправленного нарушения безопасности ОО нарушителем с умеренным потенциалом нападения.

Высокая стойкость – уровень стойкости функции безопасности ОО, на котором она обеспечивает защиту от тщательно спланированного и организованного нарушения безопасности ОО нарушителем с высоким потенциалом нападения.

Потенциал нападения зависит от компетенции ресурсов и мотивации нарушителя.

Мотивация – фактор потенциала нападения, который может использоваться, чтобы описать разные аспекты, связанные с нарушителем и активами, которые его интересуют. Мотивация может:

· косвенно выражать вероятность нападения;

· быть связана с ценностью актива (хотя ценность актива может быть субъективна);

· быть связана с компетентностью и ресурсами нарушителя.