Применение стандарта ГОСТ Р ИСО/МЭК 15408-2008 "Критерии оценки

безопасности информационных технологий" ("Общие критерии")

В 1999 г. Международная Организация по Стандартизации (ISO) приняла международный стандарт ISO 15408 под названием "Information technology. Security techniques. Evaluation criteria for IT security".

Российский стандарт носит название ГОСТ Р ИСО/МЭК 15408 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий" и представляет собой точный перевод международного стандарта. Он принят постановлением Госстандарта России от 4.04.2002 г. № 133-ст с датой введения в действие 1 января 2004 г. Часто в литературе данный стандарт именуется как "Общие критерии".

В данном стандарте наиболее полно представлены критерии для оценки механизмов безопасности программно-технического уровня. "Общие критерии" определяют два основных вида требований безопасности:

• функциональные требования безопасности (security functional requirements) к функциям безопасности и реализующим их механизмам – активный аспект защиты;
• требования доверия (security assurance requirements) к технологии и процессу разработки и эксплуатации – пассивный аспект защиты.

"Общие критерии" способствуют формированию двух базовых видов используемых на практике нормативных документов – профиль защиты и задание по безопасности. Профиль защиты представляет собой типовой набор требований, которым должны удовлетворять продукты и/или системы определенного класса. Задание по безопасности содержит совокупности требований к конкретному продукту. Их выполнение должно позволять решить поставленные задачи по обеспечению безопасности.

На основе данного стандарта, регулятором разработаны профили защиты для следующих продуктов и систем информационных технологий:

• Системы обнаружения вторжений;
• Средства антивирусной защиты;
• Средства доверенной загрузки;
• Средства контроля съемных машинных носителей информации.

Со временем данный список будет только расширяться.

ГИЦ ПС ВТ производит консультации по применению стандарта ГОСТ Р ИСО/МЭК 15408 и нормативных документов, основанных на методологии "Общие критерии". Испытательная лаборатория СЗИ ГИЦ ПС ВТ предоставляет следующие услуги:

• консультации по разработке профилей защиты и заданий по безопасности;
• консультации по подготовке средств защиты информации к сертификации в соответствии с методологией стандарта "Общие критерии";
• помощь в разработке программных документов (свидетельств оценщика), необходимых при проведении сертификационных испытаний в соответствии с методологией стандарта "Общие критерии";
• предварительная оценка средств защиты информации и их документации, с целью определения возможности проведения сертификации по стандарту "Общие критерии".